WO2019102911A1 - 異常通信検知装置、異常通信検知方法、プログラム - Google Patents

異常通信検知装置、異常通信検知方法、プログラム Download PDF

Info

Publication number
WO2019102911A1
WO2019102911A1 PCT/JP2018/042080 JP2018042080W WO2019102911A1 WO 2019102911 A1 WO2019102911 A1 WO 2019102911A1 JP 2018042080 W JP2018042080 W JP 2018042080W WO 2019102911 A1 WO2019102911 A1 WO 2019102911A1
Authority
WO
WIPO (PCT)
Prior art keywords
communication
communication data
abnormal
detection
learning
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2018/042080
Other languages
English (en)
French (fr)
Inventor
卓麻 小山
靖 岡野
田中　政志
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Inc
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to EP18881775.3A priority Critical patent/EP3720054A4/en
Priority to US16/761,040 priority patent/US11856006B2/en
Priority to CN201880073138.0A priority patent/CN111357242B/zh
Priority to JP2019555273A priority patent/JP7282686B2/ja
Publication of WO2019102911A1 publication Critical patent/WO2019102911A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • B60R16/0231—Circuits relating to the driving or the functioning of the vehicle
    • B60R16/0232—Circuits relating to the driving or the functioning of the vehicle for measuring vehicle parameters and indicating critical, abnormal or dangerous conditions
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/21—Design or setup of recognition systems or techniques; Extraction of features in feature space; Blind source separation
    • G06F18/217—Validation; Performance evaluation; Active pattern learning techniques
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning
    • G06N20/20—Ensemble learning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle

Definitions

  • the present invention relates to, for example, a network mounted on a machine such as a vehicle, a machine tool, a construction machine, or an agricultural machine, a communication device connected to the network, and a communication system including them.
  • the present invention relates to an abnormal communication detection device that detects abnormal communication, an abnormal communication detection method, and a program.
  • a controller area network (CAN: Controller Area Network) is a typical example used for a communication network between ECUs.
  • the CAN network configuration is a so-called bus configuration in which the communication lines of the ECUs are shared.
  • CSMA / CR Carrier Sense Multiple Access / Collision Resolution
  • a procedure is used.
  • the communication of each ECU on the CAN includes an ID, and the ID is used to identify the priority of communication arbitration, data content, transmission node and the like.
  • Non-Patent Document 1 determines whether each communication is abnormal by combining a plurality of detectors (referred to as a filter in the same document) having different judgment indexes.
  • Non-Patent Document 1 proposes a detector based on communication ID, DLC (Data Length Code, CAN header field indicating payload length of communication), and transmission cycle (or transmission frequency).
  • Non-Patent Document 2 proposes a method in which the types of detectors are increased in the method of Non-Patent Document 1. In both methods, the normal / abnormal determination of communication is performed under an AND condition of determination by each detector.
  • Non-Patent Document 1 first determines using a detector based on ID, determines only communication determined to be normal with a detector based on DLC, and detects only communication determined to be normal based on a transmission cycle (or transmission frequency) To determine.
  • a detector based on a fixed data field proposed by Non-Patent Document 2 assigns bit assignments of payloads of each ID (whether the number of bits to which bit is a fixed value or a variable, and if it is a variable, upper limit value or lower limit value) If the data of fixed value is different from the specification, it is judged as abnormal.
  • the determination result becomes abnormal if any detector detects an abnormality. That is, if any of the detectors erroneously detect (correctly detect normal communication as abnormal), it is determined that the communication is abnormal, so it is easy to detect normal communication as abnormal (overdetection, type 1) There is a problem of error).
  • an object of the present invention is to provide an abnormal communication detection device capable of reducing overdetection.
  • the abnormal communication detection device of the present invention includes a reception unit, a knowledge information acquisition unit, a distribution rule generation unit, a distribution unit, and a plurality of detectors.
  • the receiving unit receives the learning communication data including the identifier and the detection communication data including the identifier.
  • the knowledge information acquisition unit acquires knowledge information which is information on at least one of the temporal characteristics of the learning communication data and the characteristics of the payload.
  • the distribution rule generation unit generates, based on the knowledge information, a distribution rule which is a rule that defines to which detector among the plurality of detectors the communication data of which identifier is to be distributed.
  • the distribution unit distributes the communication data to any of the detectors based on the distribution rule.
  • the plurality of detectors learn a model for detecting whether the communication data allocated to the detector is normal or abnormal, and when the communication data for detection is distributed, Based on the learned model, it detects whether the communication data for detection is normal or abnormal.
  • the abnormal communication detection device of the present invention over detection can be reduced.
  • FIG. 2 is a block diagram showing the configuration of the abnormal communication detection device of the first embodiment.
  • FIG. 2 is a block diagram showing the configuration of a detector of Example 1; 6 is a flowchart showing the operation of the abnormal communication detection device of the first embodiment.
  • FIG. 7 is a block diagram showing the configuration of an abnormal communication detection device according to a second embodiment.
  • FIG. 7 is a block diagram showing the configuration of a detector of Example 2; 6 is a flowchart showing the operation of the abnormal communication detection device of the second embodiment.
  • FIG. 7 is a block diagram showing the configuration of an abnormal communication detection device according to a third embodiment. 10 is a flowchart showing the operation of the abnormal communication detection device of the third embodiment.
  • CAN Controller Area Network
  • LIN Local IN Terconnect Network
  • in-vehicle Ethernet a communication network protocol other than CAN (e.g., FlexRay, LIN (Local IN Terconnect Network), in-vehicle Ethernet) as an abnormal communication detection target.
  • characteristics of communication behavior (such as transmission cycle and frequency of normal communication) based on interception or interception of interception of normal communication on the communication network.
  • One or more types are prepared, learning and detection are performed for each group, and based on the detection result for each group, overall normality / abnormality is detected.
  • the abnormal communication detection device and the abnormal communication detection method of the following embodiment execute three phases (knowledge information acquisition phase / learning phase / detection phase). Each phase will be described.
  • ⁇ Knowledge information acquisition phase In the knowledge information acquisition phase, the characteristics of the communication data, the characteristics of one or both of the characteristics of the payload, or both are learned, and the communication is classified into several groups according to the learning result.
  • the procedure to learn is called knowledge information acquisition, and the learning result (classification result) by knowledge information acquisition is called knowledge information.
  • knowledge information only each group and the elements contained in the group may be recorded, and estimated values of characteristics calculated in the process of learning each element, and various statistical information such as average and variance are also recorded together. It is also good.
  • a rule that defines which identifier (in the case of CAN, ID) communication data is distributed to which one of the plurality of detectors based on the knowledge information is referred to as a distribution rule.
  • the means for acquiring knowledge information may use any method. For example, if the specification of an object is clear, knowledge information on characteristics such as transmission cycle, transmission frequency, and bit assignment of payload may be determined based on the specification. On the other hand, when the specification is unknown, machine learning may be performed based on a data string acquired by interception or interception of a normal communication, and respective characteristics may be modeled to acquire knowledge information. Furthermore, after acquiring knowledge information by machine learning, knowledge information may be acquired by a heuristic method that combines an algorithm and human judgment, such as manually adjusting parameters of the knowledge information manually.
  • the learning method may use any algorithm.
  • transmission periodic characteristics can be modeled based on normal communication and classified into several types for each ID. Specifically, by assuming the appearance distribution of the communication interval of the periodic type ID, which is the ID of the communication always transmitted in a constant cycle, by measuring the matching degree of the distribution of each ID with the distribution of the periodic type ID Learn, classify. If the ID completely matches the distribution of the periodic ID, the periodic ID, if there is a singular point that almost matches the distribution of the periodic ID but does not match, then the cycle + event type ID, almost entirely If the distribution does not match the distribution of periodic IDs, it may be classified as an event type ID.
  • a cycle + event type ID is transmitted at a fixed cycle, but with some trigger (event), it has a periodic characteristic that is transmitted at short intervals (or long intervals) exceeding the allowable value of the cycle only at that time. Point to the ID.
  • an event type ID refers to an ID of a communication having a periodic characteristic that is transmitted only at that time, not having a fixed period, for any event.
  • the appearance distribution of the periodic type ID may be any probability distribution such as a normal distribution or a gamma distribution. Furthermore, classification is based on other time characteristics such as long and short communication intervals of periodic ID, statistical information such as dispersion of communication intervals, skewness, communication frequency within a fixed time, period + event type of event type ID, etc. Alternatively, a combination of a plurality of these characteristics may be used as knowledge information.
  • the payload bit assignments can also be classified into several types.
  • the continuous value field may be an unsigned continuous value field that takes only a positive number greater than or equal to zero such as vehicle speed, or a signed continuous value field that takes positive and negative values such as a steering angle based on a steering angle when going straight.
  • classification examples include the rate of change of the field value, the average and variance of the difference between the values at the time of change, and the bit length of each field.
  • a communication having an 8-bit continuous value field that identifies a communication having a status value field that always changes in value each time and a communication having a status value field that changes only once in 10 communications.
  • an arbitrary algorithm may be used as well as learning of the transmission period characteristics.
  • the ID of the header information can be used as an identifier for classifying the communication exclusively, the procedure for acquiring the knowledge information and the knowledge information are described above based on the ID, but other header information It may be classified based on an arbitrary identifier such as footer information and characteristics of a specific bit position of the payload.
  • the distribution rule is determined by one of the following methods after determining the detector to be mounted. First, in the case where a group that each detector can accurately detect is known in advance, the distribution rule is determined immediately if the knowledge information is obtained. On the other hand, if it is unclear which detector is good at detecting which group, prepare the simulated attack communication data in which the attack is inserted in the normal communication data, and apply each detector individually to determine which group After clarifying whether detection can be performed most accurately, distribution rules may be defined. Also, each group may be distributed to any one detector or may be allocated to a plurality of detectors. When one group is allocated to a plurality of detectors, a process of collectively determining a plurality of determination results in a detection phase to be described later is performed.
  • the distribution rule may be realized as a table or the like in which each detector and an identifier such as an ID are directly associated, or a table in which each characteristic group of detectors can be detected, each group It may be realized as a set of tables, etc., which record which ID belongs to.
  • ⁇ Learning phase In the learning phase, only normal communication or normal communication and abnormal communication, and normality of each communication classified into each group based on knowledge information, using a learning device corresponding to each mounted detector ( Abnormality) Learn and generate models. For example, when a method for detecting each ID based on the payload is installed, which field position is likely to be attacked by using the payload characteristics (bit assignment and various statistical information) recorded in the knowledge information, in other words, Since it is possible to estimate the field position which must be learned, the range of values for each field, etc., the determination of the threshold of the learning device and the model generation are made efficient.
  • the learning communication data used for model learning of each detector may be the same as or different from the learning communication data used in the knowledge information acquisition phase.
  • ⁇ Detection phase In the detection phase, when the communication to be detected is received by the communication network, the communication data for detection is distributed to an appropriate detector according to the distribution rule, and each detector in charge is detected as normal or abnormal. Since the communication is distributed to the optimal (high detection accuracy) detectors according to the distribution rule, the over detection rate can be lowered compared to the case where all the detectors are connected to output the detection result. Each detector may output a determination result as to whether it is normal or abnormal for each communication 1 message, or may output the result only when it is determined as abnormal.
  • the distribution rule can also be generated so that one communication data can be distributed to a plurality of detectors simultaneously.
  • detection results of a plurality of detectors are totaled in accordance with the following determination criteria, and the final detection results are output based on the totalized detection results. Note that this operation may be performed by a detection result aggregation unit described later.
  • overdetection increases if it is attempted to reduce missed communication (type 2 error) in abnormal communication, and it is missed if it is attempted to reduce overdetection (type 1 error) (type 2) Errors) increase.
  • the user decides the policy in advance. For example, when it is desired to reduce missed data as much as possible, the final detection result (final detection result) of the present apparatus (the present method) may be abnormal if any detector detects an abnormality. On the other hand, when it is desired to reduce overdetection as much as possible, if all or a majority of the distributed detectors detect an abnormality, the final detection result of the present apparatus (this method) may be made abnormal.
  • weighting may be performed on each detector, each detection result may be multiplied by each weighting and added, and an abnormality degree may be calculated as a likelihood to be a final detection result.
  • the abnormal communication detection device 1 of this embodiment includes a phase switching unit 11, a receiving unit 12, a temporary holding unit 13, a knowledge information acquiring unit 14, a knowledge information storage unit 14a, Minute rule generation unit 15, distribution rule storage unit 15a, distribution unit 16, and N detectors (N is a natural number of 2 or more) first detectors 17-1, ..., N detectors 17-N and a detection result totaling unit 18.
  • the n-th detector 17-n may have components other than the components shown in the drawing, or may not have a part of the components shown in the drawing.
  • the receiving unit 171 of the n-th detector 17-n may transmit the learning communication data directly to the learning unit 173 without passing through the temporary holding unit 172, or the learning communication data may be temporary holding unit It may be transmitted to the learning unit 173 via 172.
  • N 3
  • the first detector 17-1 executes learning and detection based only on the transmission interval that is a temporal characteristic
  • the second detector 17-2 third detection
  • the device 17-3 learns and detects on the basis of a plurality of temporal characteristics and both characteristics of the payload.
  • the learning device corresponding to each detector is realized as a learning unit which is one function inside the detector.
  • the apparatus will be described on the assumption of the above configuration, but the number and method of detectors to which the present invention can be applied, the content of knowledge information, and the target network configuration are not limited.
  • the receiving unit 12 receives communication data generated by communication of the communication network or processing of the communication together with its identifier (ID in the case of CAN), and adds reception time to the communication data. (S12).
  • ID in the case of CAN
  • S12 The operation of each configuration requirement for each phase will be described below.
  • the communication data received by the receiving unit 12 will be referred to as learning communication data.
  • the receiving unit 12 transmits the learning communication data to the temporary holding unit 13.
  • the temporary holding unit 13 has a storage capacity capable of holding at least one learning communication data and at the maximum all of the learning communication data, and temporarily holds the learning communication data received from the receiving unit 12 (S13) ).
  • the knowledge information acquiring unit 14 among the temporal characteristics of the learning communication data and the characteristics of the payload.
  • the knowledge information which is information on at least one of the characteristics of is acquired (S14). Assuming that ID-a is determined to be a periodic type, ID-b is a period + event type, and ID-c is an event type based on a method of determining temporal characteristics based on the rate of change of differences between communication intervals. Do.
  • the knowledge information acquisition unit 14 stores (stores) the grouping result of each ID and the statistical information of each field as knowledge information in the knowledge information storage unit 14 a.
  • the knowledge information acquisition unit 14 stores the knowledge information corresponding to the communication data of all the IDs held in the temporary holding unit 13 in the knowledge information storage unit 14 a, the knowledge information acquisition unit 14 sends a predetermined notification to the distribution rule generation unit 15.
  • the distribution rule generation unit 15 generates a distribution rule based on the knowledge information, the setting, and the like (S15). For example, as prior knowledge, it is assumed that it has already been known that the first detector 17-1 exceeds the second detector 17-2 and the third detector 17-3 in detection accuracy of the periodic ID. Further, it is assumed that the second detector 17-2 has already been known to be a detector that uses the change in the checksum of the payload. Also, it is assumed that the third detector 17-3 has already been known to be a detector that utilizes changes in both the state value and the counter. In this case, these prior knowledge is stored in advance in the setting.
  • the receiving unit 12 receives the setting from an external device or the like, and transmits the received setting to the distribution rule generating unit 15.
  • the distribution rule generation unit 15 generates, based on the knowledge information, a distribution rule, which is a rule that specifies which identifier (ID) communication data is to be distributed to which one of the plurality of detectors. (S15). For example, the distribution rule generation unit 15 distributes, to the first detector 17-1, the communication data of the ID-a which is determined to be a periodic ID based on the knowledge information, based on the received setting. Generate Similarly, the distribution rule generation unit 15 performs a second detection based on the received setting of the communication data of the ID-c estimated to be composed of the state value, the counter and the checksum based on the knowledge information. The distribution rule to be distributed to the device 17-2 is generated.
  • a distribution rule which is a rule that specifies which identifier (ID) communication data is to be distributed to which one of the plurality of detectors.
  • a distribution rule is generated to distribute the communication data of ID-b estimated to be composed of the fixed value, the state value, and the counter to the third detector 17-3 based on the received setting.
  • the distribution rule generation unit 15 stores the generated distribution rule in the distribution rule storage unit 15a, and transmits a notification of processing completion to the phase switching unit 11.
  • the phase switching unit 11 that has received the notification of processing completion from the distribution rule generation unit 15 erases the stored content of the temporary holding unit 13 and switches the abnormal communication detection device 1 to the learning phase. Alternatively, after erasing the stored contents of the temporary holding unit 13, the phase switching unit 11 requests the user of the abnormal communication detection device 1 to switch the phase by some means.
  • the receiving unit 12 receives the learning communication data and transmits the learning communication data to the distribution unit 16 one by one. Based on the distribution rule stored in the distribution rule storage unit 15a, the distribution unit 16 determines to which detector the received learning communication data is to be distributed based on the ID, and a detector at the distribution destination The communication data for learning is transmitted to (S16).
  • the receiving unit 171 of the n-th detector 17-n receives the learning communication data assigned to itself (S171).
  • the temporary holding unit 172 of the n-th detector 17-n temporarily holds the received learning communication data (S172).
  • the learning unit 173 of the n-th detector 17-n learns a model for detecting whether the communication data assigned to the detector is normal or abnormal (S173).
  • the learning unit 173 of the first detector 17-1 learns the model of the ID-a based on the received learning communication data (S173). Specifically, since the reception time in the abnormal communication detection device 1 is added to the communication data, the learning unit 173 of the first detector 17-1 calculates the transmission interval between the communication data, and The average value, the variance, and the like are calculated, and the transmission cycle model (including the threshold value of the value) of ID-a in normal communication data is learned.
  • the learning unit 173 of the first detector 17-1 receives an external notification such as setting that all the learning communication data of ID-a has been transmitted to the first detector 17-1, and the learned model is The notification is stored in the model storage unit 173 a and transmitted to the phase switching unit 11. Similar to the first detector 17-1, the other detectors also learn models (including a threshold value) for the learning communication data of the ID for which the own device is in charge. After receiving the notification from all the detectors, the phase switching unit 11 switches the abnormal communication detection device 1 to the detection phase. Alternatively, the user of the abnormal communication detection device 1 is requested to switch the phase by some means.
  • the communication data received by the receiving unit 12 is referred to as detection communication data.
  • the receiving unit 12 transmits the received detection communication data to the distribution unit 16 one by one.
  • the distribution unit 16 determines to which detector the received detection communication data should be distributed based on the ID, and a detector at the distribution destination
  • the communication data for detection is transmitted to (S16).
  • the receiving unit 171 of the n-th detector 17-n receives the detection communication data assigned to itself (S171).
  • the temporary holding unit 172 of the n-th detector 17-n temporarily holds the received communication data for detection (S172).
  • the detection unit 174 of the n-th detector 17-n detects whether the communication data for detection is normal or abnormal based on the model learned in step S173 and stored in the model storage unit 173a (S174).
  • the detection unit 174 of the first detector 17-1 is for detection of the immediately preceding ID-a.
  • the time difference between the communication data and the latest detection communication data is obtained, and whether the short interval below the threshold in the above-mentioned model has occurred detects whether normal or abnormal (S174).
  • the detection unit 174 of the second detector 17-2 correlates the status value with the checksum. It is detected whether the payload of the communication data for detection conforms to the model or not on the basis of the model in which the whole is stored (S 174).
  • step S174 when the detection communication data of ID-b is distributed to the third detector 17-3, the detection communication data of the immediately preceding ID-b and the detection of the latest ID-b are performed. Whether normal or abnormal is detected is detected depending on whether the order of the status value of the communication data and the counter conforms to the model (S174).
  • Each detector transmits the detection result of the detection unit 174 to the detection result aggregation unit 18 as needed.
  • the detection result totaling unit 18 outputs the final detection result (final detection result) to the outside of the apparatus.
  • the detection result aggregating unit 18 may output the output of each detector as it is to the outside as the output of the abnormal communication detection device 1, or the information It may be additionally output (eg, which message was detected by which detector, etc.).
  • the receiving unit 12 may obtain communication data by intercepting a network or a gateway, or may separately obtain communication data as data such as a log from another monitoring device. Although the reception time is given to the intercepted communication data, the time giving may be omitted if the reception time is already given to the communication data such as the log.
  • the abnormal communication detection device 1 operates the phase switching unit 11 at an arbitrary timing by receiving an input such as setting or a predetermined communication, and has a function to shift to an arbitrary phase.
  • the abnormal communication detection device 1 of the present embodiment may shift to the knowledge information acquisition phase or the learning phase at an arbitrary timing even after shifting to the detection phase.
  • additional learning based on the existing knowledge information and the normal model may be performed according to the algorithm of the knowledge information acquisition unit 14 and the learning unit 173, or the existing knowledge information and the normal model may be deleted. You may learn again.
  • the abnormal communication detection device 1 of this embodiment may be configured by combining a plurality of device groups that execute only each phase, or may be configured by combining a plurality of devices, such as making each detector an independent device. May be Further, the abnormal communication detection device 1 of this embodiment may be regarded as one of the detectors, and a plurality of detection devices may be nested.
  • communication in which which detector should be assigned changes depending on the machine state, for example, the difference in the state of stopping, traveling, automatic traveling or the like in the vehicle.
  • communication data from a vehicle includes an ID that appears as a cycle + event type when the ignition of the vehicle is ON, but appears as an event type when the ignition is OFF.
  • the abnormal communication detection device 2 of this embodiment includes a phase switching unit 11, a reception unit 12, a temporary holding unit 13, a knowledge information acquisition unit 24, a knowledge information storage unit 14a, First rule detector 27-1, ..., an Nth detector which is a minute rule generation unit 25, a distribution rule storage unit 15a, a distribution unit 16, and N detectors (N is a natural number of 2 or more) 27-N and the detection result totaling unit 18, and the configuration other than the knowledge information acquisition unit 24, the distribution rule generation unit 25, the first detectors 27-1, ..., and the N-th detector 27-N is implemented. It has the same function as Example 1.
  • the knowledge information acquisition unit 24 acquires knowledge information for each machine state (for example, two ways of ON / OFF of the ignition) (S24), and the distribution rule generation unit 25 acquires each machine state.
  • a distribution rule is generated in step S25 and stored in the distribution rule storage unit 15a.
  • the learning unit 273 of the n-th detector 27-n learns a model for each machine state (S273), and stores the model in the model storage unit 173a.
  • the receiving unit 12 receives a communication indicating a machine state or receives a setting indicating a machine state.
  • the distribution unit 16 distributes the detection communication data to an appropriate detector based on the received machine state, based on the distribution rule generated in step S25 (S16). As a result, abnormality detection can be performed on an ID whose characteristics change depending on the machine state.
  • the combination of mounted detectors, etc. most of communication data may belong to one group and may be distributed to only a specific detector.
  • the abnormal communication detection device can process a plurality of tasks in parallel, or the detectors can be configured as independent devices, etc., processing required for learning and detection by preparing a plurality of identical learning devices and detectors. Time and processing load can be reduced and distributed.
  • the abnormal communication detection device 3 of this embodiment includes a phase switching unit 11, a receiving unit 12, a temporary holding unit 13, a knowledge information acquisition unit 14, a knowledge information storage unit 14 a, Minute rule generation unit 35, distribution rule storage unit 15a, distribution unit 16, and first detectors 37-1 to N detectors (N is a natural number of 2 or more) 37-N, including the detection result totaling unit 18, and for the configuration other than the distribution rule generation unit 35, the first detectors 37-1, ..., and the N-th detector 37-N, the same functions as in the first embodiment are provided.
  • N is a natural number of 2 or more
  • the first detectors 37-1, ..., N-th detectors 37-N include a specific detector group which is a group of m (2 (m ⁇ N-1) detectors having the same performance. It shall be. An operation different from that of the first embodiment will be described below with reference to FIG.
  • the distribution rule generation unit 35 generates a distribution rule so that the total communication amount per unit time of the communication data distributed to each of the detectors belonging to the specific detector group becomes uniform (S35).
  • detectors E 1 and E 2 For example, assuming that there are two detectors having the same performance belonging to a specific detector group, these are referred to as detectors E 1 and E 2 and a set of learning communication data distributed to the specific detector group is set. It is called F.
  • the communication interval for learning included in the set F is different depending on the ID.
  • the learning communication data of the set F is divided into two by the ID.
  • the IDs can be sorted so that the communication volume per unit time becomes uniform (approximately half each), and each can be distributed to the detector E 1 A set F 1 of learning communication data, and a set F 2 of learning communication data distributed to the detector E 2 .
  • the distribution rule generator 35 communication data ID belonging to the set F 1 the detector E 1 is distributed, as communication data ID belonging to the set F 2 the detector E 2 are distributed, the distribution Generate a rule.
  • the processing load of each detector belonging to the specific detector group can be made uniform and reduced, and the processing of the entire abnormal communication detection device 3 can be made efficient.
  • the distribution rules so that the learning communication data can be distributed uniformly to each learning device in the specific learning device group, which is a plurality of learning device groups having the same performance as described above. Learning time such as model generation can be reduced.
  • the abnormal communication detection devices 1 to 3 described in the first to third embodiments knowledge information of the acquired communication data (characteristics of communication behavior, temporal characteristics such as transmission cycle and frequency of normal communication, or characteristics of payload, Or according to the result of learning both characteristics and the result of classifying the communication according to the learning result), the detection of the normal / abnormal is detected using the detector with the highest detection accuracy, so the over detection is reduced and the detection accuracy Can be improved. Further, by preparing a plurality of detectors and distributing communication data to an appropriate detector for each ID, detection accuracy is improved as compared with the case where a single detector is applied to the entire communication.
  • an appropriate learning device and a suitable learning device can be obtained without knowing design values and specifications regarding communication. Since a model can be learned using a detector and normal / abnormal communication data can be detected, it is easy to apply to various vehicle types and machines.
  • the detection accuracy is improved by properly using the distribution rule according to the machine state.
  • communication data is uniformly distributed to a plurality of specific learning device groups and specific detection device groups based on knowledge information of the target communication and the distribution rule. The processing load of each learning device and detector can be distributed, and equalization of the entire processing of the abnormal communication detection device can be achieved.
  • the apparatus is, for example, an input unit to which a keyboard or the like can be connected, an output unit to which a liquid crystal display or the like can be connected as a single hardware entity, or a communication device (for example, communication cable) capable of communicating outside the hardware entity.
  • Communication unit that can be connected, CPU (central processing unit, cache memory, registers, etc. may be provided), RAM or ROM that is memory, external storage device that is hard disk, input unit for these, output unit, communication unit , CPU, RAM, ROM, and a bus connected so as to enable exchange of data between external storage devices.
  • the hardware entity may be provided with a device (drive) capable of reading and writing a recording medium such as a CD-ROM. Examples of physical entities provided with such hardware resources include general purpose computers and embedded devices.
  • the external storage device of the hardware entity stores a program necessary for realizing the above-mentioned function, data required for processing the program, and the like (not limited to the external storage device, for example, the program is read) It may be stored in the ROM which is a dedicated storage device). In addition, data and the like obtained by the processing of these programs are appropriately stored in a RAM, an external storage device, and the like.
  • each program stored in the external storage device (or ROM etc.) and data necessary for processing of each program are read into the memory as necessary, and interpreted and processed appropriately by the CPU .
  • the CPU realizes predetermined functions (each component requirement expressed as the above-mentioned,...
  • the present invention is not limited to the above-described embodiment, and various modifications can be made without departing from the spirit of the present invention. Further, the processing described in the above embodiment may be performed not only in chronological order according to the order of description but also may be performed in parallel or individually depending on the processing capability of the device that executes the processing or the necessity. .
  • the processing function in the hardware entity (the apparatus of the present invention) described in the above embodiment is implemented by a computer or an embedded device
  • the processing content of the function that the hardware entity should have is described by a program Be done.
  • the processing function of the hardware entity is realized on the computer and the embedded device by executing the program on the computer and the embedded device.
  • the program describing the processing content can be recorded in a recording medium readable by a computer or an embedded device.
  • a magnetic recording device an optical disk, a magneto-optical recording medium, a semiconductor memory, or the like may be used as a recording medium readable by a computer or an embedded device.
  • a magnetic recording device a hard disk drive, a flexible disk, a magnetic tape or the like as an optical disk, a DVD (Digital Versatile Disc), a DVD-RAM (Random Access Memory), a CD-ROM (Compact Disc Read Only) Memory), CD-R (Recordable) / RW (Rewritable), etc. as magneto-optical recording medium, MO (Magneto-Optical disc) etc., as semiconductor memory, EEP-ROM (Electronically Erasable and Programmable Only Read Memory) etc. Can be used.
  • this program is carried out, for example, by selling, transferring, lending, etc. a portable recording medium such as a DVD, a CD-ROM, etc. in which the program is recorded.
  • the program may be stored in a storage device of a server computer, and the program may be distributed by transferring the program from the server computer to another computer or an embedded device through a network.
  • the computer that executes such a program and the embedded device first temporarily store the program recorded in the portable recording medium or the program transferred from the server computer in its own storage device. Then, at the time of execution of the process, the computer and the embedded device read the program stored in the storage medium of the computer and execute the process according to the read program. Also, as another execution form of this program, a computer or an embedded device may read the program directly from a portable recording medium and execute processing according to the program. Each time a program is transferred from the server computer, processing according to the received program may be executed sequentially. Also, the above processing is performed by a so-called application service provider (ASP) type service that realizes processing functions only by executing instructions and acquiring results from the server computer without transferring the program to the computer and the embedded device.
  • ASP application service provider
  • the program in this embodiment is information provided for processing by a computer, which conforms to the program (it is not a direct command to a computer or an embedded device but has a property defining a process of the computer or the embedded device). Data etc.) shall be included.
  • the hardware entity is configured by executing a predetermined program on a computer or an embedded device, but at least a part of the processing content is realized as hardware. It is also good.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Artificial Intelligence (AREA)
  • Evolutionary Computation (AREA)
  • Mechanical Engineering (AREA)
  • Automation & Control Theory (AREA)
  • Medical Informatics (AREA)
  • Mathematical Physics (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Evolutionary Biology (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Small-Scale Networks (AREA)
  • Maintenance And Management Of Digital Transmission (AREA)

Abstract

過検知を減らすことができる異常通信検知装置を提供する。識別子を含む学習用通信データと、識別子を含む検知用通信データを受信する受信部と、学習用通信データの時間的特性、ペイロードの特性のうちの少なくとも何れか一方の特性に関する情報である知識情報を取得する知識情報取得部と、知識情報に基づいて、複数の検知器のうちの何れの検知器に何れの識別子の通信データを振り分けるかを規定するルールである振分ルールを生成する振分ルール生成部と、振分ルールに基づいて、検知器の何れかに通信データを振り分ける振分部と、学習用通信データが振り分けられた場合に、当該検知器に振り分けられる通信データの正常、異常の別を検知するモデルを学習し、検知用通信データが振り分けられた場合に、学習したモデルに基づいて検知用通信データの正常、異常の別を検知する複数の検知器を含む。

Description

異常通信検知装置、異常通信検知方法、プログラム
　本発明は、例えば車両、工作機械、建設機械、農業機械等の機械類に搭載されたネットワーク、そのネットワークに接続された通信装置、および、それらで構成される通信システムにおいて、攻撃通信等に起因する異常通信の検知を行う異常通信検知装置、異常通信検知方法、プログラムに関する。
　車両(自動車、特殊車両、自動二輪車、自転車等)、工作機械、建設機械、農業機械等の機械類には複数の電子制御装置（ＥＣＵ：Electronic Control Unit）が搭載されているものがあり、それらＥＣＵ間の通信ネットワークに用いられる代表的なものに、コントローラエリアネットワーク（ＣＡＮ：Controller Area Network）がある。ＣＡＮのネットワーク構成は各ＥＣＵの通信線が共有される、いわゆるバス型構成をとる。ＥＣＵのバスにおける通信手順には、ＣＳＭＡ／ＣＲ(Carrier Sense Multiple Access/Collision Resolution)、即ち、通信衝突する場合には優先順位の高い通信は衝突影響をうけず、優先順位の低い通信は再送する手順が用いられる。ＣＡＮ上の各ＥＣＵの通信にはＩＤが含まれており、ＩＤは通信調停の優先順位、データ内容や送信ノード等の識別に用いられる。
　これらの機械制御情報通信ネットワークに対するサイバー攻撃の危険性が示唆されている。ネットワークへの不正なＥＣＵの接続や既存ＥＣＵに対する不正な動作書き換え等の手段により、攻撃対象機能と関連するＩＤの攻撃送信を挿入し、その対象機能の不正な動作を誘発可能であることが知られている。
　これらの攻撃、異常通信を検知する方法として、例えば非特許文献１、非特許文献２がある。非特許文献１は、判定指標が異なる複数の検知器（同文献ではフィルタと呼称）を組み合わせて各通信が異常かどうかを判定する。非特許文献１は、通信のＩＤ、ＤＬＣ（Data Length Code、通信のペイロード長を示すＣＡＮのヘッダフィールド）、送信周期（または送信頻度）を指標とした検知器を提案している。非特許文献２は非特許文献１の方式において検知器の種類を増やした方式を提案している。両方式は、通信の正常／異常判定を各検知器による判定のＡＮＤ条件で実施する。例えば、非特許文献１の方式はまずＩＤによる検知器を用いて判定し、正常と判定した通信のみＤＬＣによる検知器で判定し、さらに正常と判定した通信のみ送信周期（または送信頻度）による検知器で判定する。なお、両方式の全ての検知器は車両の仕様が明らかであることを前提とする。例えば、非特許文献２が提案する固定データフィールドによる検知器は、各ＩＤのペイロードのビットアサイン（何ビット目から何ビット目までが固定値か変数かどうか、また変数ならば上限値や下限値といった仕様）を判定指標として、本来固定値のデータが仕様と異なる値だったら異常と判定する。
氏家良浩、岸川剛、芳賀智之、松島秀樹、田邊正人、北村嘉彦、安齋潤、「車載ネットワークにおけるCANフィルタの提案」、Symposium on Cryptography and Information Security SCIS 2015, Jan. 20-23, 2015. 田邊正人、安齋潤、前田学、氏家良浩、松島秀樹、若林徹、「車載ゲートウェイにおける多層連携CANフィルタの提案」、Symposium on Cryptography and Information Security SCIS 2016, Jan. 19-22, 2016.
　従来の異常検知方法では、全ての検知結果のＡＮＤ条件によって正常な通信かどうかを判定するため、いずれかの検知器が異常と検知すれば判定結果は異常となる。つまりいずれかの検知器が誤検知（正常な通信を異常と誤って検知すること）すれば、その通信を異常と判定するので、正常な通信を異常と検知しやすい（過検知、第一種過誤）という課題がある。
　そこで本発明では、過検知を減らすことができる異常通信検知装置を提供することを目的とする。
　本発明の異常通信検知装置は、受信部と、知識情報取得部と、振分ルール生成部と、振分部と、複数の検知器を含む。
　受信部は、識別子を含む学習用通信データと、識別子を含む検知用通信データを受信する。知識情報取得部は、学習用通信データの時間的特性、ペイロードの特性のうちの少なくとも何れか一方の特性に関する情報である知識情報を取得する。振分ルール生成部は、知識情報に基づいて、複数の検知器のうちの何れの検知器に何れの識別子の通信データを振り分けるかを規定するルールである振分ルールを生成する。振分部は、振分ルールに基づいて、検知器の何れかに通信データを振り分ける。複数の検知器は、学習用通信データが振り分けられた場合に、当該検知器に振り分けられる通信データの正常、異常の別を検知するモデルを学習し、検知用通信データが振り分けられた場合に、学習したモデルに基づいて検知用通信データの正常、異常の別を検知する。
　本発明の異常通信検知装置によれば、過検知を減らすことができる。
実施例１の異常通信検知装置の構成を示すブロック図。 実施例１の検知器の構成を示すブロック図。 実施例１の異常通信検知装置の動作を示すフローチャート。 実施例２の異常通信検知装置の構成を示すブロック図。 実施例２の検知器の構成を示すブロック図。 実施例２の異常通信検知装置の動作を示すフローチャート。 実施例３の異常通信検知装置の構成を示すブロック図。 実施例３の異常通信検知装置の動作を示すフローチャート。
　以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。
　以下では、通信ネットワークのプロトコルとしてＣＡＮ（Controller Area Network）を利用するものと想定して説明を進める場合があるが、本発明の異常通信検知装置が異常通信検知を実行する通信ネットワークのプロトコルは、必ずしもＣＡＮに限定されない。本発明の異常通信検知装置は、ＣＡＮ以外の通信ネットワークのプロトコル（例えば、FlexRay、ＬＩＮ(Local INterconnect Network)、車載Ethernet）を異常通信検知対象としてもよい。
　以下の実施例の異常通信検知装置、異常通信検知方法では、通信ネットワーク上の正常な通信の傍受あるいは傍受により得たデータ列を基に、通信の振る舞いの特性（正常通信の送信周期や頻度といった時間的特性、またはペイロードの特性、あるいはその両方の特性）によって、通信データを相異なるいくつかのグループに分類し、各グループの特性に応じた検知器、および検知精度向上に必要な学習器を１ないし複数種類用意し、グループ毎に学習および検知を実施して、グループ毎の検知結果を基に、総合的に正常／異常を検知する。
　以下の実施例の異常通信検知装置、異常通信検知方法は、三段階のフェーズ（知識情報取得フェーズ／学習フェーズ／検知フェーズ）を実行する。各フェーズについて説明する。
＜知識情報取得フェーズ＞
　知識情報取得フェーズでは、通信データの時間的特性、ペイロードの特性のうち何れか一方の特性、あるいはその両方の特性を学習し、学習結果に応じて、通信をいくつかのグループに分類する。学習する手順を知識情報取得と呼称し、知識情報取得による学習結果（分類結果）を知識情報と呼称する。なお、知識情報には各グループとそれに含まれる要素だけが記録されてもよいし、各要素を学習する過程で算出した特性の推定値や平均や分散などの各種統計情報も併せて記録されてもよい。そして、知識情報に基づいて複数の検知器のうちの何れの検知器に何れの識別子（ＣＡＮの場合、ＩＤ）の通信データを振り分けるかを規定するルールを振分ルールと呼称する。
　知識情報取得の手段は任意の方法を用いてよい。例えば、対象の仕様が明らかであれば、送信周期や送信頻度、ペイロードのビットアサインといった特性に関する知識情報をその仕様に基づいて決めてもよい。他方、仕様が不明である場合には、正常な通信の傍受あるいは傍受により取得したデータ列を基に機械学習を実施し、それぞれの特性をモデル化して知識情報を取得してもよい。さらに、機械学習による知識情報取得の後に、人手で知識情報のパラメータを微調整するなど、アルゴリズムと人間の判断を組み合わせたヒューリスティック手法によって知識情報を取得してもよい。
　知識情報取得において機械学習を利用する場合、その学習方法は任意のアルゴリズムを用いてよい。例えばＣＡＮの場合、正常な通信を基に送信周期特性をモデル化してＩＤ毎にいくつかの型に分類できる。具体的には、常に一定周期で送信される通信のＩＤである周期型ＩＤの通信間隔の出現分布を仮定し、各ＩＤの分布に対して周期型ＩＤの分布との合致度合いを測ることで学習、分類する。あるＩＤが周期型ＩＤの分布に完全に合致していれば周期型ＩＤ、周期型ＩＤの分布にほぼ合致しているものの合致しない特異点が存在する場合は周期＋イベント型ＩＤ、ほぼ全体に渡って周期型ＩＤの分布に合致しない場合はイベント型ＩＤと分類すればよい。
　周期＋イベント型ＩＤとは、一定周期で送信されるが、何らかの契機（イベント）で、そのときのみ周期の許容値を超えた短間隔（あるいは長間隔）で送信される周期特性を有する通信のＩＤを指す。同様にイベント型ＩＤとは、一定の周期を持たず、何らかのイベントで、そのときのみ送信される周期特性を有する通信のＩＤを指す。
　周期型ＩＤの出現分布は正規分布やガンマ分布など任意の確率分布を用いてよい。さらに、周期型ＩＤの通信間隔の長短や通信間隔の分散や歪度等の統計情報、一定時間内の通信頻度、周期＋イベント型ＩＤのイベントの発生特性による違い等その他の時間的特性によって分類してもよいし、これらの特性を複数組み合わせて細かく分類した結果を知識情報としてもよい。
　またＣＡＮの場合、ペイロードのビットアサインもまたいくつかの型に分類できる。例えばＣＡＮの場合、ペイロードの変化の特性を基にして、一切その値が変化しない固定値フィールド、車速などセンサ情報を示し連続的に変化する連続値フィールド、シフトポジションなどあらかじめ決められた状態のいずれかを示す状態値フィールド、送信回数などを示すカウンタフィールド、通信エラー訂正などに利用するためのチェックサムフィールド等に分類できる。さらに、例えば連続値フィールドは車速などゼロ以上の正数だけを取る符号無し連続値フィールドや、直進時の舵角を基準とした場合の操舵角など正負の値を取る符号付き連続値フィールドなどと細かく分類してもよい。その他の分類例として、フィールドの値の変化率や変化時の値の差分の平均や分散、各フィールドのビット長等が挙げられる。具体的には、毎回必ず値が変化する状態値フィールドを有する通信と、１０回の通信のうち１回だけ変化する状態値フィールドを有する通信を識別する、８ビット長の連続値フィールドを持つ通信と１６ビット長の連続値フィールドを持つ通信とを識別する等である。ペイロードの特性を機械学習する場合もまた、送信周期特性を学習するときと同様に任意のアルゴリズムを用いてよい。
　なお、ＣＡＮの場合は通信を排他的に分類するための識別子として、ヘッダ情報のＩＤを利用できるため上記ではＩＤを基に知識情報取得の手順および知識情報を説明したが、その他のヘッダ情報やフッタ情報、ペイロードの特定ビット位置の特性など、任意の識別子を基準に分類してもよい。
　振分ルールは、搭載する検知器を決めた後に次のいずれかの方法で決める。まず各検知器が精度良く検知できるグループがあらかじめ判明している場合、知識情報が得られれば、振分ルールは直ちに決まる。他方、どの検知器がどのグループの検知を得意とするか不明な場合、正常な通信データに攻撃を挿入した擬似的な攻撃通信データを準備し、各検知器を個別に適用してどのグループの検知を最も精度良く実施できるか明らかにしたのち、振分ルールを定めてもよい。また、各グループをいずれか１つの検知器に振り分けてもよいし、複数の検知器に振り分けてもよい。１つのグループを複数の検知器に振り分ける場合は、後述する検知フェーズにて複数の判定結果をまとめて総合的に判断する処理を行う。振分ルールは、各検知器とＩＤ等の識別子とを直接対応づけた表などとして実現してもよいし、各検知器がどのような特性のグループを検知可能かを記録した表、各グループにどのＩＤが属しているかを記録した表、などといった集合同士を対応づけたものとして実現してもよい。
＜学習フェーズ＞
　学習フェーズでは、搭載する各検知器に対応する学習器を用いて、正常な通信のみ、または正常な通信と異常な通信、および知識情報を基にして各グループに分類される各通信の正常（異常）モデルを学習、生成する。例えば、ペイロードを基にＩＤ毎に検知を行う方式を搭載する場合、知識情報に記録されたペイロードの特性（ビットアサインや各種統計情報）を用いることで、どのフィールド位置が攻撃されやすいか、言い換えると学習しなければならないフィールド位置はどこか、フィールド毎の値域等が推定できるため、学習器の閾値の決定やモデル生成が効率化される。
　各検知器のモデル学習に用いる学習用通信データは、知識情報取得フェーズで用いる学習用通信データと同一であってもよいし異なっていてもよい。
＜検知フェーズ＞
　検知フェーズでは、通信ネットワークにて検知対象となる通信を受信したら、振分ルールに従って検知用通信データを適切な検知器に振り分け、担当する検知器それぞれが正常、異常の別を検知する。振分ルールに従って、最適な（検知精度が高い）検知器に通信を振り分けているため、全ての検知器を連結して検知結果を出す場合と比べて過検知率を下げることができる。なお、各検知器は通信１メッセージごとに正常か異常かの判定結果を出力してもよいし、異常と判定した場合のみ結果を出力してもよい。
　１つの通信データが複数の検知器に同時に振り分けられるように振分ルールを生成することもできる。この場合、以下の判断基準に従い、複数の検知器による検知結果を集計し、集計された検知結果に基づいて、最終検知結果を出力する。なお、この動作は後述する検知結果集計部が行えばよい。
　一般的に、異常通信の見逃し（第二種過誤）を減らそうとすれば過検知（第一種過誤）が増え、過検知（第一種過誤）を減らそうとすれば見逃し（第二種過誤）が増える。利用者は事前に方針を決定する。例えば、見逃しをなるべく減らしたい場合、いずれかの検知器が異常を検知したら本装置（本方法）の最終的な検知結果（最終検知結果）も異常とすればよい。一方、過検知をなるべく減らしたい場合、振り分けられた全てあるいは過半数の検知器が異常を検知したら本装置（本方法）の最終検知結果を異常とすればよい。その他の方法として、各検知器に重み付けを行い、各検知結果をそれぞれの重み付けと乗じて足し合わせ、異常度を尤度として算出し、最終検知結果としてもよい。
　以下、図１、図２を参照して通信ネットワークにおける各電子制御装置の通信から異常通信を検知する実施例１の異常通信検知装置の構成を説明する。図１に示すように、本実施例の異常通信検知装置１は、フェーズ切替部１１と、受信部１２と、一時保持部１３と、知識情報取得部１４と、知識情報記憶部１４ａと、振分ルール生成部１５と、振分ルール記憶部１５ａと、振分部１６と、Ｎ個（Ｎは２以上の自然数）の検知器である第１検知器１７－１、…、第Ｎ検知器１７－Ｎと、検知結果集計部１８を含む。
　図２に示すように、第ｎ検知器１７－ｎ（ｎ＝１，…，Ｎ）は、受信部１７１と、一時保持部１７２と、学習部１７３と、モデル記憶部１７３ａと、検知部１７４を含む。なお、第ｎ検知器１７－ｎは同図に示す構成要件以外の構成要件を有してもよいし、同図に示す構成要件の一部を有さなくてもよい。例えば、第ｎ検知器１７－ｎの受信部１７１は学習用通信データを、一時保持部１７２を経由せずに直接学習部１７３に送信してもよいし、学習用通信データを、一時保持部１７２を経由して学習部１７３に送信してもよい。
　以下の説明では、Ｎ＝３とし、第１検知器１７－１は、時間的特性である送信間隔のみを基に学習・検知を実行するものとし、第２検知器１７－２、第３検知器１７－３は、複数の時間的特性とペイロードの両特性を基に学習・検知するものとする。
　また以下の説明では、知識情報として時間的特性とペイロードの特性の両方を取得する場合、そして対象となるネットワークに３つの異なるＩＤ（ＩＤ－ａ、ＩＤ－ｂ、ＩＤ－ｃ）に係る通信データが送受信されている場合について述べる。
　また以下の説明では、各検知器に対応する学習器は、検知器内部の１機能である学習部として実現することとした。本実施例では以上の構成を仮定して装置を説明するが、本発明が適用可能な検知器の個数や方式、知識情報の内容、対象のネットワーク構成を限定するものではない。
　以下、図３を参照して、異常通信検知装置１の動作について説明する。まず、受信部１２は、各フェーズにおいて、通信ネットワークの通信、または通信の加工等により生成された通信データをその識別子（ＣＡＮの場合、ＩＤ）と共に受信し、当該通信データに受信時刻を付与する（Ｓ１２）。以下、フェーズごとの各構成要件の動作について説明する。
＜知識情報取得フェーズ＞
　異常通信検知装置１が知識情報取得フェーズ、学習フェーズにある場合、受信部１２が受信する通信データを学習用通信データと呼称する。この場合、受信部１２は、一時保持部１３に学習用通信データを送信する。一時保持部１３は少なくとも学習用通信データを１つ、最大で学習用通信データの全てを保持できる記憶容量を有するものとし、受信部１２から受信した学習用通信データを一時的に保持する（Ｓ１３）。
　次に、知識情報取得部１４は事前に規定された知識情報取得方法に従い、一時保持部１３に保持された学習用通信データを基に、学習用通信データの時間的特性、ペイロードの特性のうちの少なくとも何れか一方の特性に関する情報である知識情報を取得する（Ｓ１４）。仮に各通信間隔の差分の変化率を基準にして時間的特性を判定する方法を基に、ＩＤ－ａは周期型、ＩＤ－ｂは周期＋イベント型、ＩＤ－ｃはイベント型と判定されたとする。さらに、ペイロードのフィールドを推定する任意のアルゴリズムを適用し、ＩＤ－ａのペイロードは固定値と連続値、ＩＤ－ｂは固定値と状態値とカウンタ、ＩＤ－ｃは状態値とカウンタとチェックサムから構成されていると推定されたとする。この場合、知識情報取得部１４はこれらの各ＩＤのグループ分けの結果および、各フィールドの統計情報を知識情報として、知識情報記憶部１４ａに記憶（格納）する。知識情報取得部１４は、一時保持部１３に保持された全ＩＤの通信データに対応する知識情報を知識情報記憶部１４ａに記憶した場合、振分ルール生成部１５に所定の通知を行う。
　振分ルール生成部１５は、知識情報、設定等に基づいて振分ルールを生成する（Ｓ１５）。例えば、事前知識として、第１検知器１７－１は周期型ＩＤの検知精度において第２検知器１７－２、第３検知器１７－３を上回ることが既に分かっていたものとする。また、第２検知器１７－２はペイロードのチェックサムの変化を利用する検知器であることが既に分かっていたものとする。また、第３検知器１７－３は状態値とカウンタの両方の変化を利用する検知器であることが既に分かっていたものとする。この場合、これらの事前知識を設定に予め記憶しておく。受信部１２は、当該設定を外部装置などから受信し、受信した設定を振分ルール生成部１５に送信する。
　振分ルール生成部１５は、知識情報に基づいて、複数の検知器のうちの何れの検知器に何れの識別子（ＩＤ）の通信データを振り分けるかを規定するルールである振分ルールを生成する（Ｓ１５）。例えば振分ルール生成部１５は、知識情報に基づいて周期型ＩＤと判明しているＩＤ－ａの通信データを、受信した設定に基づいて、第１検知器１７－１に振り分ける振分ルールを生成する。同様に、振分ルール生成部１５は、知識情報に基づいて状態値とカウンタとチェックサムから構成されていると推定されるＩＤ－ｃの通信データを、受信した設定に基づいて、第２検知器１７－２に振り分ける振分ルールを生成する。同様に、固定値と状態値とカウンタから構成されていると推定されるＩＤ－ｂの通信データを、受信した設定に基づいて、第３検知器１７－３に振り分ける振分ルールを生成する。振分ルール生成部１５は、生成した振分ルールを振分ルール記憶部１５ａに記憶し、フェーズ切替部１１に処理完了の通知を送信する。
　振分ルール生成部１５から処理完了の通知を受け取ったフェーズ切替部１１は、一時保持部１３の記憶内容を消去し、異常通信検知装置１を学習フェーズに切り替える。または、フェーズ切替部１１は、一時保持部１３の記憶内容を消去した後、異常通信検知装置１の利用者に対して何らかの手段によるフェーズの切替を要求する。
＜学習フェーズ＞
　異常通信検知装置１が学習フェーズにある場合、受信部１２は、学習用通信データを受信して、当該学習用通信データを１つずつ振分部１６に送信する。振分部１６は振分ルール記憶部１５ａに記憶されている振分ルールに基づいて、受信した学習用通信データをどの検知器に振り分けるか、ＩＤを基に判断し、振分先の検知器に学習用通信データを送信する（Ｓ１６）。
　第ｎ検知器１７－ｎの受信部１７１は、自器に振り分けられた学習用通信データを受信する（Ｓ１７１）。第ｎ検知器１７－ｎの一時保持部１７２は、受信した学習用通信データを一時的に保持する（Ｓ１７２）。第ｎ検知器１７－ｎの学習部１７３は、当該検知器に振り分けられる通信データの正常、異常の別を検知するモデルを学習する（Ｓ１７３）。
　上記ステップＳ１７３について、ＩＤ－ａの学習用通信データが第１検知器１７－１に振り分けられた場合の動作例を開示する。この場合、第１検知器１７－１の学習部１７３は、受信した学習用通信データを基にＩＤ－ａのモデルを学習する（Ｓ１７３）。具体的には、通信データには異常通信検知装置１における受信時間が付与されているので、第１検知器１７－１の学習部１７３は、通信データ間の送信間隔を算出し、送信間隔の平均値や分散などを算出し、正常通信データにおけるＩＤ－ａの送信周期モデル（その値の閾値を含む）を学習する。第１検知器１７－１の学習部１７３は、ＩＤ－ａの学習用通信データが全て第１検知器１７－１に送信されたことを設定等、外部からの通知を受け、学習したモデルをモデル記憶部１７３ａに記憶して、フェーズ切替部１１に通知を送信する。他の検知器も、第１検知器１７－１と同様に、自器が担当するＩＤの学習用通信データに対して、モデル（閾値を含む）を学習する。フェーズ切替部１１は、全ての検知器から通知を受け取ったのち、異常通信検知装置１を検知フェーズに切り替える。または、異常通信検知装置１の利用者に対して何らかの手段によるフェーズの切替を要求する。
＜検知フェーズ＞
　異常通信検知装置１が検知フェーズにある場合、受信部１２が受信する通信データを検知用通信データと呼称する。受信部１２は、受信した検知用通信データを１つずつ振分部１６に送信する。振分部１６は振分ルール記憶部１５ａに記憶されている振分ルールに基づいて、受信した検知用通信データをどの検知器に振り分けるか、ＩＤを基に判断し、振分先の検知器に検知用通信データを送信する（Ｓ１６）。
　第ｎ検知器１７－ｎの受信部１７１は、自器に振り分けられた検知用通信データを受信する（Ｓ１７１）。第ｎ検知器１７－ｎの一時保持部１７２は、受信した検知用通信データを一時的に保持する（Ｓ１７２）。第ｎ検知器１７－ｎの検知部１７４は、ステップＳ１７３で学習され、モデル記憶部１７３ａに記憶済みのモデルに基づいて検知用通信データの正常、異常の別を検知する（Ｓ１７４）。
　上記ステップＳ１７４について、ＩＤ－ａの検知用通信データが第１検知器１７－１に振り分けられた場合、第１検知器１７－１の検知部１７４は、１つ前のＩＤ－ａの検知用通信データと直近の検知用通信データの時間差を求め、上記のモデルにおける閾値を下回る短間隔が発生したかどうかで正常、異常の別を検知する（Ｓ１７４）。また、上記ステップＳ１７４について、ＩＤ－ｃの検知用通信データが第２検知器１７－２に振り分けられた場合、第２検知器１７－２の検知部１７４は、状態値とチェックサムの対応関係を丸ごと記憶したモデルを基に検知用通信データのペイロードがモデルに従うかどうかで正常、異常の別を検知する（Ｓ１７４）。また、上記ステップＳ１７４について、ＩＤ－ｂの検知用通信データが第３検知器１７－３に振り分けられた場合、１つ前のＩＤ－ｂの検知用通信データと、直近のＩＤ－ｂの検知用通信データの状態値とカウンタとの順序性がモデルに従うかどうかで正常、異常の別を検知する（Ｓ１７４）。
　各検知器は検知部１７４の検知結果を随時、検知結果集計部１８に送信する。検知結果集計部１８は最終的な検知結果（最終検知結果）を装置外部に出力する。本実施例では各ＩＤの通信データを各検知器に振り分けたので、検知結果集計部１８は各検知器の出力をそのまま異常通信検知装置１の出力として外部に出力してもよいし、情報を追加して出力してもよい（例えば、どのメッセージをどの検知器がいつ検知したか等）。
　なお、各フェーズにおいて受信部１２はネットワークやゲートウェイを傍受することで通信データを得てもよいし、別途、他のモニタリング機器からログ等のデータとして通信データを得てもよい。傍受した通信データにはその受信時刻を付与するが、ログ等の通信データにすでに受信時刻が付与されているなら時刻付与は省略してもよい。
　本実施例の異常通信検知装置１は、設定等の入力あるいはあらかじめ定めた通信を受信することにより、任意のタイミングでフェーズ切替部１１を動作させ、任意のフェーズに移行する機能を備えていてもよい。つまり、本実施例の異常通信検知装置１は、検知フェーズに移行した後も任意のタイミングで知識情報取得フェーズあるいは学習フェーズに移行してもよい。その際は、知識情報取得部１４および学習部１７３のアルゴリズムに応じて、既存の知識情報および正常モデルを基にした追加学習を実施してもよいし、既存の知識情報および正常モデルを消去して学習しなおしてもよい。
　本実施例の異常通信検知装置１は、各フェーズのみを実行する複数の装置群を組み合わせて構成してもよいし、各検知器を独立した装置とするなど、複数の装置を組み合わせて構成してもよい。また、本実施例の異常通信検知装置１を検知器の１つとみなし、複数の検知装置が入れ子状となるように構成してもよい。
　機械状態、例えば、車両における停車、走行、自動走行等の状態の違いによって、何れの検知器に振り分けるべきかが変化する通信がある。例えば、車両からの通信データには、車両のイグニッションがＯＮの状態では周期＋イベント型で出現するが、ＯＦＦの状態ではイベント型で出現するＩＤがある。
　以下、図４、図５を参照して複数の機械状態を持つ電子制御装置から送信された通信データを取り扱う、実施例２の異常通信検知装置の構成を説明する。図４に示すように、本実施例の異常通信検知装置２は、フェーズ切替部１１と、受信部１２と、一時保持部１３と、知識情報取得部２４と、知識情報記憶部１４ａと、振分ルール生成部２５と、振分ルール記憶部１５ａと、振分部１６と、Ｎ個（Ｎは２以上の自然数）の検知器である第１検知器２７－１、…、第Ｎ検知器２７－Ｎと、検知結果集計部１８を含み、知識情報取得部２４、振分ルール生成部２５、第１検知器２７－１、…、第Ｎ検知器２７－Ｎ以外の構成については、実施例１と同じ機能を有する。
　図５に示すように、第ｎ検知器２７－ｎ（ｎ＝１，…，Ｎ）は、受信部１７１と、一時保持部１７２と、学習部２７３と、モデル記憶部１７３ａと、検知部１７４を含み、学習部２７３以外の構成については、実施例１と同じ機能を有する。以下、図６を参照して、実施例１と異なる動作について説明する。
＜知識情報取得フェーズ＞
　図６に示すように、知識情報取得部２４は、機械状態毎（例えば、イグニッションのＯＮ／ＯＦＦの２通り）に知識情報を取得し（Ｓ２４）、振分ルール生成部２５は、機械状態毎に振分ルールを生成し（Ｓ２５）、振分ルール記憶部１５ａに記憶する。
＜学習フェーズ＞
　第ｎ検知器２７－ｎの学習部２７３は、機械状態毎にモデルを学習し（Ｓ２７３）、モデル記憶部１７３ａに記憶する。
＜検知フェーズ＞
　受信部１２は、機械状態を示す通信を受信するか、機械状態を示す設定を受信する。振分部１６は、受信した機械状態に基づき、ステップＳ２５で生成された振分ルールに基づいて、検知用通信データを適切な検知器に振り分ける（Ｓ１６）。これにより、機械状態によりその特性が変化するＩＤに対しても異常検知を実施することができる。
　機械の構成や、搭載した検知器の組み合わせ等によって、通信データの大部分が１つのグループに所属し、特定の検知器のみに振り分けられる場合がある。異常通信検知装置が複数のタスクを並列処理可能であるか、検知器を独立した装置として構成できる等の場合は、同一の学習器、検知器を複数用意することで、学習および検知に要する処理時間、処理負荷を削減、分散できる。
　以下、図７を参照して同一の検知器を複数用意した実施例３の異常通信検知装置の構成を説明する。図７に示すように、本実施例の異常通信検知装置３は、フェーズ切替部１１と、受信部１２と、一時保持部１３と、知識情報取得部１４と、知識情報記憶部１４ａと、振分ルール生成部３５と、振分ルール記憶部１５ａと、振分部１６と、Ｎ個（Ｎは２以上の自然数）の検知器である第１検知器３７－１、…、第Ｎ検知器３７－Ｎと、検知結果集計部１８を含み、振分ルール生成部３５、第１検知器３７－１、…、第Ｎ検知器３７－Ｎ以外の構成については、実施例１と同じ機能を有する。第１検知器３７－１、…、第Ｎ検知器３７－Ｎの中には、性能が同一なｍ個（２≦ｍ≦Ｎ－１）の検知器群である特定検知器群が含まれるものとする。以下、図８を参照して、実施例１と異なる動作について説明する。
＜知識情報取得フェーズ＞
　振分ルール生成部３５は、特定検知器群に属する検知器のそれぞれに振り分けられる通信データの単位時間当たりの通信量の合計が均一になるように、振分ルールを生成する（Ｓ３５）。
　例えば、特定検知器群に属する、性能が同一な検知器が二つあるものとし、これらを検知器Ｅ１，Ｅ２と呼称し、特定検知器群に振り分けられる学習用通信データの集合を集合Ｆと呼称する。集合Ｆに含まれる学習用通信データはＩＤによって送信間隔が異なるものとする。
　例えば、特定検知器群に属する検知器1器あたりの負荷を均等にする（すなわち、この場合は負荷を半分ずつにする）ためには、まず集合Ｆの学習用通信データをＩＤによって二分する。具体的には、知識情報から得られる各ＩＤの送信間隔をもとに単位時間あたりの通信量が均一（ほぼ半分ずつ）になるようにＩＤを仕分け、それぞれを、検知器Ｅ１に振り分けられる学習用通信データの集合Ｆ１、検知器Ｅ２に振り分けられる学習用通信データの集合Ｆ２とする。
　従って、振分ルール生成部３５は、検知器Ｅ１に集合Ｆ１に属するＩＤの通信データが振り分けられ、検知器Ｅ２に集合Ｆ２に属するＩＤの通信データが振り分けられるように、振分ルールを生成する。これにより、特定検知器群に属する各検知器の処理負荷を均一にし、低減することができ、異常通信検知装置３全体の処理が効率化される。また、上記と同様に性能が同一な複数個の学習器群である特定学習器群におけるそれぞれの学習器に対し、学習用通信データが均一に振り分けられるように、振分ルールを生成することでモデル生成等の学習時間を削減できる。
［実施例１～３に記載の異常通信検知装置１～３が奏する効果］
　実施例１～３に記載の異常通信検知装置１～３によれば、取得した通信データの知識情報（通信の振る舞いの特性、正常通信の送信周期や頻度といった時間的特性、またはペイロードの特性、あるいはその両方の特性を学習した結果および学習結果によって通信を分類した結果）に応じて、最も検知精度が高い検知器を用いて正常、異常の別を検知するため、過検知を減らし、検知精度を向上できる。また、複数の検知器を用意しておき、ＩＤ毎に適切な検知器に通信データを振り分けることにより、単独の検知器を通信全体に適用する場合と比較して検知精度が向上する。
　また、実施例１～３に記載の異常通信検知装置１～３によれば、取得した各通信データの知識情報を用いることで、通信に関する設計値や仕様を知らなくとも、適切な学習器および検知器を用いてモデルを学習し、通信データの正常、異常の別を検知することができるため、様々な車種や機械に適用させることが容易である。
　また、実施例２に記載の異常通信検知装置２によれば、機械状態に応じて振分ルールを使い分けることにより、検知精度が向上する。また、実施例３に記載の異常通信検知装置２によれば、対象通信の知識情報および振分ルールを基に複数の特定学習器群および特定検知器群に通信データを均一に振り分けることで、個々の学習器および検知器の処理負荷を分散させ、異常通信検知装置の処理全体の平準化を図ることができる。
＜補記＞
　本発明の装置は、例えば単一のハードウェアエンティティとして、キーボードなどが接続可能な入力部、液晶ディスプレイなどが接続可能な出力部、ハードウェアエンティティの外部に通信可能な通信装置（例えば通信ケーブル）が接続可能な通信部、ＣＰＵ（Central Processing Unit、キャッシュメモリやレジスタなどを備えていてもよい）、メモリであるＲＡＭやＲＯＭ、ハードディスクである外部記憶装置並びにこれらの入力部、出力部、通信部、ＣＰＵ、ＲＡＭ、ＲＯＭ、外部記憶装置の間のデータのやり取りが可能なように接続するバスを有している。また必要に応じて、ハードウェアエンティティに、ＣＤ－ＲＯＭなどの記録媒体を読み書きできる装置（ドライブ）などを設けることとしてもよい。このようなハードウェア資源を備えた物理的実体としては、汎用コンピュータ、組込機器などがある。
　ハードウェアエンティティの外部記憶装置には、上述の機能を実現するために必要となるプログラムおよびこのプログラムの処理において必要となるデータなどが記憶されている（外部記憶装置に限らず、例えばプログラムを読み出し専用記憶装置であるＲＯＭに記憶させておくこととしてもよい）。また、これらのプログラムの処理によって得られるデータなどは、ＲＡＭや外部記憶装置などに適宜に記憶される。
　ハードウェアエンティティでは、外部記憶装置（あるいはＲＯＭなど）に記憶された各プログラムとこの各プログラムの処理に必要なデータが必要に応じてメモリに読み込まれて、適宜にＣＰＵで解釈実行・処理される。その結果、ＣＰＵが所定の機能（上記、…部、…手段などと表した各構成要件）を実現する。
　本発明は上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。また、上記実施形態において説明した処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されるとしてもよい。
　既述のように、上記実施形態において説明したハードウェアエンティティ（本発明の装置）における処理機能をコンピュータ、組込機器によって実現する場合、ハードウェアエンティティが有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータ、組込機器で実行することにより、上記ハードウェアエンティティにおける処理機能がコンピュータ、組込機器上で実現される。
　この処理内容を記述したプログラムは、コンピュータ、組込機器で読み取り可能な記録媒体に記録しておくことができる。コンピュータ、組込機器で読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ－ＲＡＭ（Random Access Memory）、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ－Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ－ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）等を用いることができる。
　また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ－ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータ、組込機器にそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
　このようなプログラムを実行するコンピュータ、組込機器は、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータ、組込機器は、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータ、組込機器が可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータ、組込機器にサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータ、組込機器へのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータ、組込機器に対する直接の指令ではないがコンピュータ、組込機器の処理を規定する性質を有するデータ等）を含むものとする。
　また、この形態では、コンピュータ、組込機器上で所定のプログラムを実行させることにより、ハードウェアエンティティを構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

Claims (8)

  1. 　通信ネットワークにおける各電子制御装置の通信から異常通信を検知する異常通信検知装置であって、
    　識別子を含む学習用通信データと、前記識別子を含む検知用通信データを受信する受信部と、
    　前記学習用通信データの時間的特性、ペイロードの特性のうちの少なくとも何れか一方の特性に関する情報である知識情報を取得する知識情報取得部と、
    　前記知識情報に基づいて、複数の検知器のうちの何れの前記検知器に何れの前記識別子の通信データを振り分けるかを規定するルールである振分ルールを生成する振分ルール生成部と、
    　前記振分ルールに基づいて、前記検知器の何れかに前記通信データを振り分ける振分部と、
    　前記学習用通信データが振り分けられた場合に、当該検知器に振り分けられる前記通信データの正常、異常の別を検知するモデルを学習し、前記検知用通信データが振り分けられた場合に、学習した前記モデルに基づいて前記検知用通信データの正常、異常の別を検知する複数の前記検知器を含む
    　異常通信検知装置。
  2. 　請求項１に記載の異常通信検知装置であって、
    　前記通信データが複数の機械状態を持つ前記電子制御装置から送信された前記通信データである場合に、
    　前記知識情報取得部は、
    　前記機械状態毎に前記知識情報を取得し、
    　前記振分ルール生成部は、
    　前記機械状態毎に前記振分ルールを生成し、
    　前記検知器は、
    　前記機械状態毎に前記モデルを学習する
    　異常通信検知装置。
  3. 　請求項１または２に記載の異常通信検知装置であって、
    　性能が同一な検知器群である特定検知器群を含み、
    　前記振分ルール生成部は、
    　前記特定検知器群に属する前記検知器のそれぞれに振り分けられる前記通信データの単位時間当たりの通信量の合計が均一になるように、前記振分ルールを生成する
    　異常通信検知装置。
  4. 　請求項１から３の何れかに記載の異常通信検知装置であって、
    　前記振分ルール生成部は、
    　前記通信データが複数の前記検知器に同時に振り分けられるように前記振分ルールを生成し、
    　前記通信データに対する複数の前記検知器による検知結果を集計して、集計された前記検知結果に基づいて、前記通信データの最終検知結果を出力する検知結果集計部を含む
    　異常通信検知装置。
  5. 　通信ネットワークにおける各電子制御装置の通信から異常通信を検知する異常通信検知方法であって、
    　識別子を含む学習用通信データと、前記識別子を含む検知用通信データを受信する受信ステップと、
    　前記学習用通信データの時間的特性、ペイロードの特性のうちの少なくとも何れか一方の特性に関する情報である知識情報を取得する知識情報取得ステップと、
    　前記知識情報に基づいて、複数の検知器のうちの何れの前記検知器に何れの前記識別子の通信データを振り分けるかを規定するルールである振分ルールを生成する振分ルール生成ステップと、
    　前記振分ルールに基づいて、前記検知器の何れかに前記通信データを振り分ける振分ステップと、
    　前記学習用通信データが振り分けられた場合に、当該検知器に振り分けられる前記通信データの正常、異常の別を検知するモデルを学習する学習ステップと、
    　前記検知用通信データが振り分けられた場合に、学習した前記モデルに基づいて前記検知用通信データの正常、異常の別を検知する検知ステップを含む
    　異常通信検知方法。
  6. 　請求項５に記載の異常通信検知方法であって、
    　前記通信データが複数の機械状態を持つ前記電子制御装置から送信された前記通信データである場合に、
    　前記知識情報取得ステップは、
    　前記機械状態毎に前記知識情報を取得し、
    　前記振分ルール生成ステップは、
    　前記機械状態毎に前記振分ルールを生成し、
    　前記学習ステップは、
    　前記機械状態毎に前記モデルを学習する
    　異常通信検知方法。
  7. 　請求項５または６に記載の異常通信検知方法であって、
    　前記振分ルール生成ステップは、
    　性能が同一な検知器群である特定検知器群に属する前記検知器のそれぞれに振り分けられる前記通信データの単位時間当たりの通信量の合計が均一になるように、前記振分ルールを生成する
    　異常通信検知方法。
  8. 　コンピュータを請求項１から４の何れかに記載の異常通信検知装置として機能させるプログラム。
PCT/JP2018/042080 2017-11-27 2018-11-14 異常通信検知装置、異常通信検知方法、プログラム Ceased WO2019102911A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
EP18881775.3A EP3720054A4 (en) 2017-11-27 2018-11-14 DEVICE FOR DETECTING ABNORMAL COMMUNICATION, METHOD FOR DETECTING ABNORMAL COMMUNICATION AND PROGRAM
US16/761,040 US11856006B2 (en) 2017-11-27 2018-11-14 Abnormal communication detection apparatus, abnormal communication detection method and program
CN201880073138.0A CN111357242B (zh) 2017-11-27 2018-11-14 异常通信探测装置及其方法、计算机可读取的记录介质
JP2019555273A JP7282686B2 (ja) 2017-11-27 2018-11-14 異常通信検知装置、異常通信検知方法、プログラム

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017226556 2017-11-27
JP2017-226556 2017-11-27

Publications (1)

Publication Number Publication Date
WO2019102911A1 true WO2019102911A1 (ja) 2019-05-31

Family

ID=66631000

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/042080 Ceased WO2019102911A1 (ja) 2017-11-27 2018-11-14 異常通信検知装置、異常通信検知方法、プログラム

Country Status (5)

Country Link
US (1) US11856006B2 (ja)
EP (1) EP3720054A4 (ja)
JP (1) JP7282686B2 (ja)
CN (1) CN111357242B (ja)
WO (1) WO2019102911A1 (ja)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2021015535A (ja) * 2019-07-16 2021-02-12 株式会社ベリサーブ 処理システム、及び処理プログラム
WO2021065068A1 (ja) * 2019-09-30 2021-04-08 株式会社オートネットワーク技術研究所 検知装置、車両、検知方法および検知プログラム
JP2021072582A (ja) * 2019-10-31 2021-05-06 トヨタ自動車株式会社 通信装置および異常判定装置
JP2022018265A (ja) * 2020-07-15 2022-01-27 株式会社東芝 通信解析装置およびプログラム
US11870789B2 (en) 2019-09-30 2024-01-09 Autonetworks Technologies, Ltd. Detection device, vehicle, detection method, and detection program

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7411895B2 (ja) * 2019-12-05 2024-01-12 パナソニックＩｐマネジメント株式会社 情報処理装置、異常検知方法およびコンピュータプログラム
JPWO2021161405A1 (ja) * 2020-02-12 2021-08-19
KR20230086045A (ko) * 2021-12-08 2023-06-15 고려대학교 산학협력단 Can 메시지 분석과 신경망 모델을 이용한 경량화된 실시간 이상 탐지 방법

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20160350657A1 (en) * 2015-06-01 2016-12-01 Qualcomm Incorporated Cross-Module Behavioral Validation

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8615800B2 (en) * 2006-07-10 2013-12-24 Websense, Inc. System and method for analyzing web content
WO2009125627A1 (ja) * 2008-04-11 2009-10-15 三菱電機株式会社 機器状態検出装置及び機器状態検出方法並びに生活者異常検知装置、生活者異常検知システム及び生活者異常検知方法
KR20150093254A (ko) * 2012-03-01 2015-08-17 시스-테크 솔루션스 인코포레이티드 마킹된 특징부에서 유래된 고유 식별 정보
CN103024065A (zh) * 2012-12-25 2013-04-03 曙光信息产业(北京)有限公司 用于云存储系统的系统配置管理方法
CN103903389A (zh) * 2012-12-30 2014-07-02 青岛海尔软件有限公司 应用热释电红外探测器的居家老人看护系统
CN103955425B (zh) * 2014-04-16 2017-02-15 中国工商银行股份有限公司 网页web探索测试装置及方法

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20160350657A1 (en) * 2015-06-01 2016-12-01 Qualcomm Incorporated Cross-Module Behavioral Validation

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
MASATO TANABEJUN ANZAIMANABU MAEDAYOSHIHIRO UJIIEHIDEKI MATSUHIMATORN WAKABAYASHI: "Proposal of Multi-Layer Cooperative CAN Filtering Technology for In-Vehicle Gateway ECU", SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY SCIS 2016, 19 January 2016 (2016-01-19)
See also references of EP3720054A4
YOSHIHIRO UJIIETAKESHI KISHIKAWATOMOYUKI HAGAHIDEKI MATSUSHIMAMASATO TANABEYOSHIHIKO KITAMURAJUN ANZAI: "Proposal of CAN Filtering Technology for In-Vehicle Network", SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY SCIS 2015, 20 January 2015 (2015-01-20)

Cited By (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2021015535A (ja) * 2019-07-16 2021-02-12 株式会社ベリサーブ 処理システム、及び処理プログラム
JP7316129B2 (ja) 2019-07-16 2023-07-27 株式会社ベリサーブ 処理システム、及び処理プログラム
WO2021065068A1 (ja) * 2019-09-30 2021-04-08 株式会社オートネットワーク技術研究所 検知装置、車両、検知方法および検知プログラム
CN113994635A (zh) * 2019-09-30 2022-01-28 株式会社自动网络技术研究所 检测装置、车辆、检测方法及检测程序
US11849324B2 (en) 2019-09-30 2023-12-19 Autonetworks Technologies, Ltd. Detection device, vehicle, detection method, and detection program
US11870789B2 (en) 2019-09-30 2024-01-09 Autonetworks Technologies, Ltd. Detection device, vehicle, detection method, and detection program
JP7435616B2 (ja) 2019-09-30 2024-02-21 株式会社オートネットワーク技術研究所 検知装置、車両、検知方法および検知プログラム
JP2021072582A (ja) * 2019-10-31 2021-05-06 トヨタ自動車株式会社 通信装置および異常判定装置
JP7226248B2 (ja) 2019-10-31 2023-02-21 トヨタ自動車株式会社 通信装置および異常判定装置
JP2022018265A (ja) * 2020-07-15 2022-01-27 株式会社東芝 通信解析装置およびプログラム
JP7413172B2 (ja) 2020-07-15 2024-01-15 株式会社東芝 通信解析装置およびプログラム
US11909747B2 (en) 2020-07-15 2024-02-20 Kabushiki Kaisha Toshiba Network packet analyzer and computer program product

Also Published As

Publication number Publication date
EP3720054A1 (en) 2020-10-07
CN111357242A (zh) 2020-06-30
CN111357242B (zh) 2022-02-01
US11856006B2 (en) 2023-12-26
JP7282686B2 (ja) 2023-05-29
JPWO2019102911A1 (ja) 2020-11-19
EP3720054A4 (en) 2021-08-25
US20210178995A1 (en) 2021-06-17

Similar Documents

Publication Publication Date Title
JP7282686B2 (ja) 異常通信検知装置、異常通信検知方法、プログラム
US11171969B2 (en) Systems and methods for real-time configurable load determination
CN110690928B (zh) 一种量子中继链路虚拟化方法与装置
US10419965B1 (en) Distributed meters and statistical meters
US9425966B1 (en) Security mechanism evaluation service
JP6911936B2 (ja) 攻撃通信検出装置、攻撃通信検出方法、プログラム
JP6939898B2 (ja) ビットアサイン推定装置、ビットアサイン推定方法、プログラム
CN115412923A (zh) 多源传感器数据可信融合方法、系统、设备及存储介质
US9049140B2 (en) Backbone network with policy driven routing
CN114095499B (zh) 区块链中继通信网络的中立性验证方法及装置
Selvarajan et al. Testing and substantiation of zero trust devices with blockchain procedures for secured data transfer approach
US12003648B2 (en) Method and apparatus for securing real-time data transfer from a device
US7394835B2 (en) Apparatus and method for guaranteeing performance of packet in Ethernet system
CN109195160B (zh) 网络设备资源探查信息的防篡改存储系统及其控制方法
CN108449252B (zh) 一种访问日志的转储方法及装置
US11791932B2 (en) SD-WAN communication network forward error correction systems and methods
CN116915424A (zh) 一种数据处理方法
WO2023188258A1 (ja) 計算装置、計算方法、およびプログラム
CN116743407B (zh) 一种数据处理方法及设备
CN116346322B (zh) 基于量子密钥分发网络的攻击检测缓解方法及相关设备
CN116318805A (zh) 数据传输方法、装置、电子设备及存储介质
CN120528970A (zh) 跨区域图结构的处理方法、设备及计算机程序产品
CN121193528A (zh) 安全检测方法、装置、电子设备及存储介质
KR20250062397A (ko) 스마트 건강 분석 시스템 및 방법
CN117992996A (zh) 一种数据处理方法、装置、设备及介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18881775

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2019555273

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2018881775

Country of ref document: EP

Effective date: 20200629