(57)【要約】      （修正有）【課題】ビークルのサイバー攻撃事象を検知する。【解決手段】ビークルサイバー攻撃検知システム１００は、システムログデータを受信するように構成された、少なくとも１つの第１段階セキュリティモジュール１１０を含む。第１段階セキュリティモジュールは、システムログデータ自然言語処理により抽出特徴を抽出し、抽出特徴から求めたシステムエントロピー測定値に基づき、第１のサイバー攻撃を判定する、第１のサイバー攻撃異常検知モジュール１１３と、抽出特徴の分類に基づき第２のサイバー攻撃を特定する深層学習コンポーネント１１８を含む第２のサイバー攻撃異常検知モジュール１１７と、を含む。サイバー攻撃警告モジュール１３０は、第１段階セキュリティモジュールに接続されており、ビークル従業者１９０にサイバー攻撃の診断と復旧を実行させるよう、第１のサイバー攻撃及び第２のサイバー攻撃のうちの一以上の通知を生成する。【選択図】図１
2019145081.tif 000002
【特許請求の範囲】
【請求項１】
ビークルサイバー攻撃検知システムであって、
各ビークルの少なくとも１つの搭載システムに接続され、前記各ビークルの前記少なくとも１つの搭載システムによって生成されたシステムログデータを受信するように構成された、少なくとも１つの第１段階セキュリティモジュールであって、前記システムログデータから自然言語処理により抽出特徴を抽出するように構成され、かつ
第１のサイバー攻撃異常検知モジュールにより前記抽出特徴から求めたシステムエントロピー測定値に基づいて、第１のサイバー攻撃を特定するように構成された、前記第１のサイバー攻撃異常検知モジュール、及び
前記抽出特徴の分類に基づいて第２のサイバー攻撃を特定するように構成された深層学習コンポーネントを含む、第２のサイバー攻撃異常検知モジュール
を含む、少なくとも１つの第１段階セキュリティモジュールと、
前記少なくとも１つの第１段階セキュリティモジュールに接続され、ユーザインターフェースを含む、サイバー攻撃警告モジュールであって、ビークル従業者にサイバー攻撃診断及び復旧を実行させるよう、前記第１のサイバー攻撃及び前記第２のサイバー攻撃のうちの一以上の通知を前記ユーザインターフェース上に生成するように構成された、サイバー攻撃警告モジュールと
を含む、ビークルサイバー攻撃検知システム。
【請求項２】
前記抽出特徴が、前記第１のサイバー攻撃異常検知モジュールについての抽出特徴の第１の群と、前記第２のサイバー攻撃異常検知モジュールについての抽出特徴の第２の群とを含み、抽出特徴の前記第１の群が、抽出特徴の前記第２の群とは異なる、請求項１に記載のビークルサイバー攻撃検知システム。
【請求項３】
前記少なくとも１つの第１段階セキュリティモジュール及び前記サイバー攻撃警告モジュールに接続された、少なくとも１つの第２段階セキュリティモジュールであって、少なくともビークルオペレータデータベースに接続され、前記第１のサイバー攻撃及び前記第２のサイバー攻撃のうちの一以上を、ビークルオペレーションデータと相関させて、少なくとも１つのサイバー攻撃動向を特定するように構成された、少なくとも１つの第２段階セキュリティモジュールを更に含み、
前記サイバー攻撃警告モジュールは、前記ビークル従業者に前記サイバー攻撃の診断及び復旧を実行させるよう、前記少なくとも１つのサイバー攻撃動向についての別の通知を前記ユーザインターフェース上に生成するように構成されている、請求項１又は２に記載のビークルサイバー攻撃検知システム。
【請求項４】
前記ビークルオペレーションデータがエアラインオペレーションデータである、請求項３に記載のビークルサイバー攻撃検知システム。
【請求項５】
前記少なくとも１つの第１段階セキュリティモジュールが、少なくとも１つのビークル群の各ビークルの各第１段階セキュリティモジュールを含む、請求項１から４の何れか一項に記載のビークルサイバー攻撃検知システム。
【請求項６】
前記少なくとも１つの第１段階セキュリティモジュールが、少なくとも１つのビークル群の前記各ビークルの追加又は除外に応じて、前記ビークルサイバー攻撃検知システムに付加されるか或いは除かれるように構成されている、請求項１から５の何れか一項に記載のビークルサイバー攻撃検知システム。
【請求項７】
前記第２のサイバー攻撃異常検知モジュールの前記深層学習コンポーネントが人工ニューラルネットワークを含む、請求項１から６の何れか一項に記載のビークルサイバー攻撃検知システム。
【請求項８】
前記第１のサイバー攻撃異常検知モジュールが、
重複窓掛けシステムログデータの各窓がシステムログデータの各バッチを含む前記重複窓掛けシステムログデータの時系列を、前記システムログデータから生成し、
前記重複窓掛けシステムログデータの少なくとも１つの窓からのシステムログデータの前記各バッチから、前記抽出特徴を抽出し、
前記重複窓掛けシステムログデータの前記少なくとも１つの窓からのシステムログデータの前記各バッチから抽出した前記抽出特徴から、前記システムエントロピー測定値を求める
ように構成されている、請求項１から７の何れか一項に記載のビークルサイバー攻撃検知システム。
【請求項９】
前記抽出特徴の前記分類が、前記システムログデータの個々のログアイテムが前記第２のサイバー攻撃を示すかどうかを予測する、前記抽出特徴の二値分類である、請求項１から８の何れか一項に記載のビークルサイバー攻撃検知システム。
【請求項１０】
ビークルサイバー攻撃検知システムを用いてビークルサイバー攻撃を検知する方法であって、
各ビークルの少なくとも１つの搭載システムに接続された少なくとも１つの第１段階セキュリティモジュールによって、前記各ビークルの前記少なくとも１つの搭載システムによって生成されたシステムログデータを、受信することと、
前記少なくとも１つの第１段階セキュリティモジュールによって、自然言語処理により前記システムログデータから抽出特徴を抽出することと、
前記少なくとも１つの第１段階セキュリティモジュールの第１のサイバー攻撃異常検知モジュールによって、前記第１のサイバー攻撃異常検知モジュールが前記抽出特徴から求めたシステムエントロピー測定値に基づき、第１のサイバー攻撃を特定することと、
前記少なくとも１つの第１段階セキュリティモジュールの、深層学習コンポーネントを含む第２のサイバー攻撃異常検知モジュールによって、前記抽出特徴の分類に基づき、第２のサイバー攻撃を特定することと、
ビークル従業者にサイバー攻撃診断と復旧を実行させるよう、前記少なくとも１つの第１段階セキュリティモジュールに接続されたサイバー攻撃警告モジュールのユーザインターフェース上に、前記第１のサイバー攻撃及び前記第２のサイバー攻撃のうちの一以上の通知を生成することと、を含む、方法。
【請求項１１】
前記少なくとも１つの第１段階セキュリティモジュール、前記サイバー攻撃警告モジュール、及び少なくともビークルオペレータデータベースに接続された、少なくとも１つの第２段階セキュリティモジュールによって、前記第１のサイバー攻撃及び前記第２のサイバー攻撃のうちの一以上を、ビークルオペレーションデータと相関させて、少なくとも１つのサイバー攻撃動向を特定することと、
前記ビークル従業者に前記サイバー攻撃診断と復旧を実行させるよう、前記サイバー攻撃警告モジュールによって、前記少なくとも１つのサイバー攻撃動向についての別の通知を前記ユーザインターフェース上に生成することと
を更に含む、請求項１０に記載の方法。
【請求項１２】
前記少なくとも１つの第１段階セキュリティモジュールから前記少なくとも１つの第２段階セキュリティモジュールへのデータ転送が非同期通信である、請求項１１に記載の方法。
【請求項１３】
前記第１のサイバー攻撃異常検知モジュールによって、
重複窓掛けシステムログデータの各窓がシステムログデータの各バッチを含む前記重複窓掛けシステムログデータの時系列を、前記システムログデータから生成することと、
前記重複窓掛けシステムログデータの少なくとも１つの窓からのシステムログデータの前記各バッチから、前記抽出特徴を抽出することと、
前記重複窓掛けシステムログデータの前記少なくとも１つの窓からのシステムログデータの前記各バッチから抽出した前記抽出特徴から、前記システムエントロピー測定値を求める、
を更に含む、請求項１０から１２の何れか一項に記載の方法。
【請求項１４】
前記少なくとも１つの第１段階セキュリティモジュールが、前記ビークルの就航の間に、前記各ビークルの前記少なくとも１つの搭載システムと通信する、請求項１０から１３の何れか一項に記載の方法。
【請求項１５】
前記少なくとも１つの第１段階セキュリティモジュールが、所定の時間的間隔で、前記各ビークルの前記少なくとも１つの搭載システムと通信するように構成されている、請求項１０から１３の何れか一項に記載の方法。
【発明の詳細な説明】
【背景技術】
【０００１】
本書の例示的な実施形態は、広くはビークル搭載ネットワークシステムのサイバー攻撃事象の検知に関し、より詳細にはスケーラブルなシステムログ解析によるサイバー攻撃事象の検知に関する。
【０００２】
一般に、セキュリティ侵害を判定する解析ツールでは、プロファイル／シグネチャや明示的な規則を用いてオフラインデータマイニングを行い、安全性の侵害を探索し検査する。エキスパートシステムはセキュリティログの履歴検証や情報に基づいて、当該セキュリティ侵害に対応するプロファイル／シグネチャのコレクションを含む規則のベースを作成することができる。任意のセキュリティ上の事象ついての最終決定は通常、統計的に或いは分野の専門家によって作成された閾値によってなされる。例えば、幾つかの優先度の高い特定のログイベントが所定の期間（例えば１週間、１カ月間など）の間に所定の頻度を超えると、従来型の解析ツールによって、手動でのフォローアップ検証が提案され得る。そのようなフォローアップ検証は、同じ探索／データマイニングツールを適用し更に複雑なクエリを用いて手動で実施され、状況評価のため詳細なログコンテンツが抽出される。
【０００３】
一般に、オフラインかつ閾値による解析ツールには限界があることがある。閾値方式は例えば、ゼロデイサイバー攻撃やこれまでにない攻撃に対しては効果的でないのが普通である（サイバー攻撃は日進月歩で精鋭化しており、低強度、ポリモーフィズム、難読化技術などによってその痕跡も残らなくなっていることに留意されたい）。更に、サイバーセキュリティの判定がオフラインである（例えば遅延すること）によって、サイバー攻撃への対策を検討する機会を逸することがある。また、閾値によるサイバー攻撃検知方法は通常スケーラブルでなく、あるタイプのサイバー攻撃のルールや閾値が別のタイプのサイバー攻撃には当てはまらないことがある。しかもオフラインかつ閾値による解析ツールは、フォローアップ検証を完了するのに手動での意思決定が必要となるため、コストに際限がない。
【０００４】
サイバーセキュリティ事象を検知するその他の従来型の方式としては、クラスタリング又は近接モデルや分類関数を用いて、システムデータログ特徴空間内のユーザ挙動における外れ値を求める方式がある。クラスタリング又は近接性ベースの外れ値検知は通常、他のほとんどのデータから大幅に逸脱する外れ値の近接性によるものである。したがって、ビークル搭載ネットワークセキュリティログデータにおいては、意味のある近接性又はコンテクスト／意味的距離を形成することは困難である。更に、クラスタリング又は近接性ベースの外れ値検知に先立って、利用可能なデータクラスタの数の情報や知識が全く或いはほとんどないことがある。
【発明の概要】
【０００５】
したがって、上記の懸念のうちの少なくとも１つに対処しようとする装置及び方法が存在すれば有用であろう。
【０００６】
下記は本開示による主題に係る実施例の非網羅的な列挙であるが、これらは特許請求されるか或いは特許請求されないこともある。
【０００７】
本開示による主題の一例はビークルサイバー攻撃検知システムに関し、当該システムは、少なくとも１つの第１段階セキュリティモジュール、及びサイバー攻撃警告モジュールを含む。少なくとも１つの第１段階セキュリティモジュールは、各ビークルの少なくとも１つの搭載システムに接続されて、各ビークルの少なくとも１つの搭載システムによって生成されたシステムログデータを受信するように構成されており、システムログデータから抽出特徴を自然言語処理によって抽出するように構成されており、かつ、抽出特徴から第１のサイバー攻撃異常検知モジュールが求めたシステムエントロピー測定値に基づいて第１のサイバー攻撃を特定するように構成された第１のサイバー攻撃異常検知モジュールと、抽出特徴の分類に基づいて第２のサイバー攻撃を特定するように構成された深層学習コンポーネントを含む第２のサイバー攻撃異常検知モジュールと、を含む。サイバー攻撃警告モジュールは、少なくとも１つの第１段階セキュリティモジュールに接続されており、ユーザインターフェースを含み、サイバー攻撃診断と復旧がビークル従業者によって実行されるように、第１のサイバー攻撃及び第２のサイバー攻撃のうちの一以上の通知をユーザインターフェース上に生成するように構成されている。
【０００８】
本開示による主題の別の例はビークルサイバー攻撃検知システムに関し、当該システムは、サイバー攻撃検知モジュールの階層構造、及びサイバー攻撃警告モジュールを含む。サイバー攻撃検知モジュールの階層構造は、少なくとも１つの第１段階セキュリティモジュール、及び少なくとも１つの第２段階セキュリティモジュールを含む。少なくとも１つの第１段階セキュリティモジュールは、各ビークルの少なくとも１つの搭載システムに接続されて、各ビークルの少なくとも１つの搭載システムによって生成されたシステムログデータを受信するように構成されており、挙動ベースのサイバー攻撃検知と分類ベースのサイバー攻撃検知のうちの一以上のために、自然言語処理によってシステムログデータから抽出特徴を抽出するように構成されている。少なくとも１つの第２段階セキュリティモジュールは、少なくとも１つの第１段階セキュリティモジュール及び少なくともビークルオペレータデータベースに接続されており、少なくとも１つの第１段階セキュリティモジュールによって特定されたサイバー攻撃を、ビークルオペレーションデータに相関させて、少なくとも１つのサイバー攻撃動向を特定するように構成されている。サイバー攻撃警告モジュールは、少なくとも１つの第１段階セキュリティモジュール及び少なくとも１つの第２段階セキュリティモジュールのうちの一以上に接続されており、ユーザインターフェースを含み、ビークル従業者によるサイバー攻撃診断と復旧を実行させるよう、少なくとも１つの第１段階セキュリティモジュールによって特定されたサイバー攻撃のうちの一以上と、少なくとも１つの第２段階セキュリティモジュールによって特定された少なくとも１つのサイバー攻撃動向と、の通知のうちの一以上をユーザインターフェース上に生成するように構成されている。
【０００９】
本開示による主題の更に別の例は、ビークルサイバー攻撃検知システムを用いた、ビークルサイバー攻撃検知方法に関する。方法は、各ビークルの少なくとも１つの搭載システムによって生成されたシステムログデータを、各ビークルの少なくとも１つの搭載システムに接続された少なくとも１つの第１段階セキュリティモジュールによって受信することと、少なくとも１つの第１段階セキュリティモジュールによって、自然言語処理によりシステムログデータから抽出特徴を抽出することと、少なくとも１つの第１段階セキュリティモジュールの第１のサイバー攻撃異常検知モジュールによって、第１のサイバー攻撃異常検知モジュールが抽出特徴から求めたシステムエントロピー測定値に基づき、第１のサイバー攻撃を特定することと、少なくとも１つの第１段階セキュリティモジュールの、深層学習コンポーネントを含む第２のサイバー攻撃異常検知モジュールによって、抽出特徴の分類に基づき、第２のサイバー攻撃を特定することと、ビークル従業者にサイバー攻撃診断と復旧を実行させるよう、少なくとも１つの第１段階セキュリティモジュールに接続されたサイバー攻撃警告モジュールのユーザインターフェース上に、第１のサイバー攻撃及び第２のサイバー攻撃のうちの一以上の通知を生成することと、を含む。
【００１０】
本開示の前述の実施例は概括的に説明されており、以下で添付図面を参照するが、それらは必ずしも正寸で描かれておらず、複数の図において類似の参照記号は同一又は類似の部分を示している。
【図面の簡単な説明】
【００１１】
【図１】本開示の態様によるビークルサイバー攻撃検知システムの概略ブロック図である。
【図２】本開示の態様による図１のビークルサイバー攻撃検知システムの例示的実装の概略図である。
【図３Ａ】本開示の態様による図１のビークルサイバー攻撃検知システムの一部の概略図である。
【図３Ｂ】本開示の態様による図１のビークルサイバー攻撃検知システムの一部の概略図である。
【図４】本開示の態様による第１のサイバー攻撃判定方法のフロー図である。
【図５Ａ】本開示の態様によるビークルサイバー攻撃検知システムの第２のサイバー攻撃異常検知モジュール訓練方法のフロー図である。
【図５Ｂ】本開示の態様による第２のサイバー攻撃判定方法のフロー図である。
【図６】本開示の態様による図１のビークルサイバー攻撃検知システムの例示的実装の概略図である。
【図７】本開示の態様による図１のビークルサイバー攻撃検知システムの一部の概略図である。
【図８】本開示の態様によるビークルサイバー攻撃検知方法のフロー図である。
【図９】本開示の態様による図１のビークルの例示である。
【図１０】航空機の製造及び保守方法のフロー図である。
【発明を実施するための形態】
【００１２】
図１及び９を参照すると、本開示の態様が定翼航空機、例えば例示的にのみ示す航空機１９９Ａに関して記載される。しかしながら、本開示の態様は、航空宇宙ビークル、回転翼機、無人航空機（ＵＡＶ）、固定機、軽航空機、水上機、及び自動車両を含むがこれらに限定されない任意の適切なビークル１９９に展開可能であることを理解されたい。一態様で、ビークル１９９は、一以上の（例えば複数の）各構成要素（例えばエンジンとその構成要素、空調システムとその構成要素など）をそれぞれ有する、一以上の搭載システム１９８を含む。搭載システム１９８は、アビオニクスシステム１９８Ｈ、推進システム１９８Ａ、油圧システム１９８Ｅ、電気システム１９８Ｄ、主降着装置システム１９８Ｂ、及び機首降着装置システム１９８Ｃを含み得る。ビークル１９９は、環境システム１９８Ｇ及び乗客情報／娯楽システム１９８Ｊを有した内装１９９ＩＮＴも含み得る。他の態様では、搭載システム１９８は、ビークル１９９の機体１９９ＦＲＭに接続された一以上の制御システム、例えばフラップ、スポイラ、エルロン、スラット、方向舵、エレベータ、及びトリムタブも含み得る。これら搭載システム１９８のうちの一又は複数は、サイバー攻撃に晒され得る関連システム制御部（一又は複数）１９６を有し得る。したがって、本書で言及する搭載システム１９８とは、各搭載システム１９８のうちの一以上に関連する任意のシステム制御部（一又は複数）を含むよう意図されている。
【００１３】
例えばビークル１９９などのビークルにおいて、連続的あるいは間欠的に通信ネットワーク（例えばインターネット／クラウドベースの通信ネットワーク）に接続され得る搭載システム１９８への依存が増大することで、ゼロデイ攻撃、サービス拒否、精緻／高度な持続的マルウェア，構造化照会言語（ＳＱＬ）インジェクション攻撃、セッションハイジャック・中間者攻撃、ネットワーク探査、ブルートフォースクラック、ランサムウェア、及び内部関係者脅威などを含むがこれらに限定されない潜在的サイバー攻撃に、ビークル１９９が直面することがある。一般に、ビークル１９９、例えばＥ−ｅｎａｂｌｅｄ（電子技術利用）ビークルの搭載システム１９８は、システム健全性、データロード、ファイルサービス、ネットワークメッセージ、ネットワーク性能、通信状態、セキュリティ事象などの様々な情報を捕捉するシステムログデータ１９７を生成する。本書で用いるＥ−ｅｎａｂｌｅｄビークルとは、伝送制御プロトコル（ＴＣＰ）及び／又はインターネットプロトコル（ＩＰ）、又は任意の他の適切な通信プロトコルを用いて、乗客情報システム、娯楽システム、及び航空機の場合はアビオニクスシステムなどのビークル通信の主なバックボーンのうちの一以上を、ビークルの相互接続ネットワークドメインサーバを仮想的に作製するように相互接続するビークルである。
【００１４】
搭載システム１９８によって生成されたシステムログデータ１９７は、対象となるビークル１９９のセキュリティリスクを特定する機会をもたらすセキュリティ関連メッセージのコレクションを含む。しかしながら、システムログデータ１９７は、サイバー攻撃の解析に利用できる限られた情報しか含まない。従来のサイバー攻撃インフラ防御が効を奏しており、訓練データを提供する成功した攻撃の例がほとんどないからである。また、システムログデータ１９７は通常、ネットワークトラフィックデータよりもむしろ、関連する事象についての記述を提供するテキストログメッセージで記録されている。従来のサイバー攻撃インフラ防御ではネットワークラフトラフィックデータが用いられている（例えば、従来のサイバー攻撃インフラ防御は通常、テキストログメッセージを解析できない）。本開示の態様は、システムログデータ１９７内のテキストログメッセージを解析するサイバー攻撃事象の検知方法及びシステムを提供する。例えば、本開示の態様は、一以上のサイバー攻撃を検知するために、自然言語処理によって生成した挙動特性に基づいて、テキストログメッセージから特徴ベクトルの一以上の組（例えば、抽出特徴）を抽出する、階層型又は段階型ビークルサイバー攻撃検知システム１００を含む。本開示の態様によるビークルサイバー攻撃検知システム１００は、自然言語処理を利用して、テキストログメッセージの意味を保持しているテキストログメッセージから、特徴（例えばキーワードやその他の属性値）を抽出する、一以上のサイバー攻撃の深層学習を用いた検知も提供する。本開示の態様に係るサイバー攻撃検知は、実質的にリアルタイムで実施され得る。本書で用いるリアルタイムとは、ビークル１９９の使用と実質的に同時、ビークルが複数の就航の間にあるとき、あるいは、少なくともシステムログデータ１９７をビークルサイバー攻撃検知システム１００に送信するためにビークル１９９が通信ネットワークと繋がっている任意の他の所定の期間であると定められ得る。
【００１５】
本開示の態様は、一以上の第１のサイバー攻撃異常検知モジュール１１３（例えば挙動ベースの異常検知エージェント）と一以上の第２のサイバー攻撃異常検知モジュール１１７（例えば、教師あり深層学習検知エージェント）とを用いて一以上のビークルのシステムログデータ１９７を解析することで搭載システム１９８の潜在的なセキュリティリスクを特定し予測し得る複数段階のアーキテクチャを含んだ、スケーラブルな複数段階のビークルサイバー攻撃検知システム１００を提供する。一以上の第１のサイバー攻撃異常検知モジュール１１３は、自然言語処理ベースの特徴抽出、及びシステムエントロピー測定値１１６を用いた教師なし挙動ベースの異常検知を含む。自然言語処理への入力は、スライド時間窓１２７を通じて捕捉されるシステムログデータ１２８の一以上のバッチである。第１のサイバー攻撃異常検知モジュール１１３の出力は、第１のサイバー攻撃１１４の表示である。第１のサイバー攻撃異常検知モジュール１１３は真値（ｇｒｏｕｎｄ  ｔｒｕｔｈ）データを必要としない。
【００１６】
一以上の第２のサイバー攻撃異常検知モジュール１１７は、個々のシステムログデータ１９７エントリを１つずつ評価する。一以上の第２のサイバー攻撃異常検知モジュール１１７は、システムログデータ解析の自然言語処理特徴抽出と組み合わされる。自然言語処理はテキストログメッセージを構文解析し、深層学習コンポーネント１１８（例えば、各第２のサイバー攻撃異常検知モジュール１１７のモジュール／エージェント）の訓練データとして、キーワード又はトークンの一以上の組を抽出する。深層学習コンポーネント１１８の訓練に関するデータのタグ付け（例えば、サイバー攻撃がないことを示す良（ｇｏｏｄ）データ／サイバー攻撃を示す不良（ｂａｄ）データ）は、分野の専門家によって達成される。訓練された深層学習コンポーネント１１８は、自動のセキュリティ解析を実質的にリアルタイムで提供する。マニュアルでの意思決定や予測が必要な規則ベースのシステムに主に依存する従来のセキュリティ管理手法よりも有利である。
【００１７】
本書で用いる用語「モジュール」及び「エージェント」は、ビークルサイバー攻撃検知システム１００の構築ブロックとして機能する内蔵ユニットをいう。一態様で、内蔵ユニットとは、本書に記載の機能を各モジュールに対して実施するように構成された非一過性のコンピュータプログラムコードの個別的かつ識別可能なユニットである。別の態様で、内蔵ユニットとは、本書に記載の機能を各モジュールに対して実施するように構成されて基板上にパッケージングされた独立した電子回路のセレクションである。
【００１８】
本開示に係る主題の例示的で非網羅的な実施例が、以下で提供される。これらの実施例は、特許請求されることもあり、又はされないこともある。
【００１９】
図１及び２を参照すると、ビークルサイバー攻撃検知システム１００は、サイバー攻撃検知モジュール２００の階層構造、及びサイバー攻撃警告モジュール１３０を含む。サイバー攻撃検知モジュール２００の階層構造は、少なくとも１つの第１段階セキュリティモジュール１１０（本書では第１段階エージェントともいう）、及び少なくとも１つの第２段階セキュリティモジュール１５０（本書では第２段階エージェントともいう）を含む。
【００２０】
少なくとも１つの第１段階セキュリティモジュール１１０はシステムログデータ１９７を入力として消費し、ビークル１９９からシステムログデータ１９７を取得すると或いはシステムログデータ１９７が利用可能となるとすぐに、サイバーセキュリティ分析を飛行中に（ｏｎ  ｔｈｅ  ｆｌｙで）行う。少なくとも１つの第１段階セキュリティモジュール１１０の出力は、サイバー攻撃が発生したかどうかの表示である。本書で示すように、システムログデータ１９７はパケットレベルの詳細を含まないことがあるため、従来のサイバーセキュリティ侵入検知手法では適切なサイバー攻撃検知がもたされないことがある。本開示の態様によれば、少なくとも１つの第１段階セキュリティモジュール１１０が、セキュリティ関連の事象を抽出するために、ログイベントの自由形式テキスト表記を認識するように構成されている。本書に例示目的で記載する少なくとも１つの第１段階セキュリティモジュール１１０は、挙動ベースの異常検知、訓練可能な深層学習異常検知、及び知識中心のシグネチャ（異常検知についての動作上の知識を作成する）を用いて、サイバー攻撃の発生を特定するように構成されている。
【００２１】
少なくとも１つの第１段階セキュリティモジュール１１０は、任意の適切な数の第１段階セキュリティモジュール１１０Ａ−１１０ｎを含み得る。本開示の態様によれば、少なくとも１つの第１段階セキュリティモジュール１１０は、少なくとも１つのビークル群２００Ａ−２００ｎの各ビークル１９９Ａ−１９９Ｆの各第１段階セキュリティモジュール１１０Ａ−１１０ｎを含む。少なくとも１つの第１段階セキュリティモジュール１１０はモジュール式であるように構成されているので、少なくとも１つの第１段階セキュリティモジュール１１０は、少なくとも１つのビークル群の各ビークルの追加又は除外に応じて、ビークルサイバー攻撃検知システムに付加されるか或いは除かれる。少なくとも１つの第１段階セキュリティモジュール１１０は、各ビークル１９９の少なくとも１つの搭載システム１９８に接続１８０Ｅで接続されており、各ビークル１９７の少なくとも１つの搭載システム１９８によって生成されたシステムログデータ１９７を接続１８０Ｅで受信するように構成されている。接続１８０Ｅは、任意の適切な有線又は無線の通信接続であってよい。一態様では、通信接続が、（例えばインターネット上でなされる）クラウドベースの通信接続であり得る。一態様では接続１８０ＥがＴＣＰ／ＩＰプロトコルを用いるが、他の態様では任意の適切な通信プロトコルが用いられてもよい。他の態様で、少なくとも１つの第１段階セキュリティモジュール１１０は各ビークル１９９に搭載されるが、他の態様では少なくとも１つの第１段階セキュリティモジュールが各ビークル１９９に搭載される。
【００２２】
図１及び３Ａを参照すると、挙動ベースのサイバー攻撃検知と分類ベースのサイバー攻撃検知のうちの一以上のために、少なくとも１つの第１段階セキュリティモジュール１１０の各々は自然言語処理モジュール１１２を含み、例えば自然言語処理モジュール１１２を介して、システムログデータ１９７から自然言語処理で、抽出特徴１１１を抽出するように構成されている。例えば、自然言語処理モジュール１１２は、少なくとも１つの第１段階セキュリティモジュール１１０の第１のサイバー攻撃異常検知モジュール１１３と第２のサイバー攻撃異常検知モジュール１１７の各々についてシステムログデータ１９７から抽出特徴１１１を抽出する、自然言語前処理３００と特徴抽出３１０を含む。
【００２３】
図１、３Ａ、３Ｂ、及び４を参照すると、抽出特徴１１１を抽出するのに、第１のサイバー攻撃異常検知モジュール１１３は、搭載システム１９８からシステムログデータ１９７を任意の適切な方式で取得する（図４、ブロック４１０）。例えば一態様では、少なくとも１つの第１段階セキュリティモジュール１１０が各ビークル１９９の少なくとも１つの搭載システム１９８に接続して、ビークル１９９の就航の間に（例えば飛行、任務など。航空機の場合、就航間とは着陸後、離陸前を含む）、システムログデータ１９７を取得するように構成されている。他の態様では、少なくとも１つの第１段階セキュリティモジュール１１０が各ビークル１９９の少なくとも１つの搭載システム１９８に接続するように構成されており、所定の間隔（例えば運航中又は待機中のビークル１９９。航空機の場合は飛行中か飛行と飛行の間）で、システムログデータ１９７を取得する。
【００２４】
第１のサイバー攻撃異常検知モジュール１１３は、システムログデータ１９７から重複窓掛けシステムログデータ１２６の時系列１２７Ａ−１２７ｎ（図３Ａ及び３Ｂ）を生成するように構成された、窓掛けモジュール１２６を含む。重複窓掛けシステムログデータ１２６の各時間窓１２７は、システムログデータ１２８の各バッチを含む（図４、ブロック４２０）。各時間窓１２７のサイズは任意の適切な所定のサイズであってよく、時間窓１２７間の重複は、任意の適切な方式で設定された任意の適切な重複であってよい（図４、ブロック４１５）。抽出特徴１１１は、重複窓掛けシステムログデータ１２６の少なくとも１つの窓１２７から、システムログデータ１２８の各バッチから挙動キーワード（図４、ブロック４２５）を用いて抽出される（図４、ブロック４３０）。挙動キーワードは任意の適切な方式で、例えば分野の専門家によって設定されてよい。例えば、自然言語処理モジュール１１２の自然言語前処理３００はまず、システムログデータ１２８の各バッチを形成しているテキストメッセージを個々の用語へ分割して、システムログデータ１９７（例えばシステムログデータ１２８の各バッチ）をトークン化する。ストップワード（例えば「ｆｏｒ」、「ｔｈｅ」、「ｉｓ」、「ａｒｅ」など）が除かれ、正規化処理１１１ＮＰが、トークンの文字並びの表面上の違いにより用語を一致させたり統合したりすることによって、トークンを標準化する。例えば、「ＵＳＡ」と「Ｕ．Ｓ．Ａ．」が等しく扱われ、「サイバー攻撃」と「サイバー・攻撃」が等しく扱われ、「言葉（ｗｏｒｄｓ）」と「言葉（ｗｏｒｄ）」が等しく扱われ、「フェイルした」と「フェイル」が等しく扱われるなどである。システムログデータ１９７の少なくとも幾つかが正規化される（例えば、情報源、例えばＩＰアドレス、ＭＡＣアドレスを特定するデータなどのシステムログデータは正規化されなくてもよい）ことに留意されたい。正規化及び／又は前処理したシステムログデータ１２８の各バッチに対して、特徴抽出３１０が実施される。特徴抽出３１０は一般に、特徴選択ステップと特徴量エンジニアリングステップを含む。特徴選択ステップは、キーワード（又は用語）の組を自然言語処理によって選択する。非限定的な例として、第１のサイバー攻撃異常検知モジュール１１３は、ポートスキャン攻撃を検知するために例えば「サーバＩＰアドレス」、「ソースポート」、「送信先ポート」などの用語を選ぶであろう。特徴量エンジニアリングステップでは、例えば図３Ａに示すように、「特徴的なサーバ  ＩＰアドレスの数」、「特徴的なソースポートの数」などの選択した特徴から、抽出特徴１１１を評価し作成する。抽出特徴１１１は特徴ベクトル１１１Ｖ１、１１１Ｖ２を形成するか或いは他の方式で配列され、第１のサイバー攻撃異常検知モジュール１１３のエントロピーモジュール１１５に入力される。システムログデータ１２８の各バッチは、重複窓掛けシステムログデータ１２６の時系列１２７Ａ−１２７ｎの各時間窓１２７に対応する、特徴ベクトル１１１Ｓ１−１１１Ｓｎの各組を有する。
【００２５】
第１のサイバー攻撃異常検知モジュール１１３はまた、抽出特徴１１１から第１のサイバー攻撃異常検知モジュール１１３が求めたシステムエントロピー測定値１１６に基づき、第１のサイバー攻撃１１４を特定するように構成されている。エントロピー値に目に見えて変化があれば、例えば中断／ディセーブルされたサービス、又はサイバー攻撃によるシステム挙動パターンの変化を示し得ることに留意されたい。時系列１２７Ａ−１２７ｎの各時間窓１２７は、時系列１２７Ａ−１２７ｎの前の窓１２７に重複し、異常評価の対象である動向を監視する。一例として、エントロピーモジュール１１５は、重複窓掛けシステムログデータ１２６の少なくとも１つの窓１２７からのシステムログデータ１２８の各バッチから抽出した抽出特徴１１１から、システムエントロピー測定値を求めるように構成されている（図４、ブロック４４０）。エントロピーモジュール１１５は、システムログデータ１９７のシャノンエントロピーなどの任意の適切なシステムエントロピー測定値１１６を求めるように構成されている。システムエントロピー測定値１１６Ａ−１１６ｎは、エントロピー時系列１１６ＴＳを形成するために特徴ベクトル１１１Ｓ１−１１１Ｓｎの各組について求められ得る。第１のサイバー攻撃異常検知モジュール１１３は、統計的に有意な値（例えば平均、標準偏差など）３２０をエントロピー時系列１１６ＴＳから判定し、それらの統計的に有意値３２０を所定の閾値３３０と比較して、異常が存在するかどうかを判定する（例えば異常検知３４０）（図４、ブロック４５０）。異常検知によって第１のサイバー攻撃１１４が示され得る。所定の閾値３３０は任意の適切な閾値、例えばシステムエントロピーの統計的有意値であってよい。例えば、第１のサイバー攻撃異常検知モジュール１１３が異常検知３４０を明示する閾値３３０は、エントロピー時系列１１６ＴＳの平均値に、エントロピー時系列１１６ＴＳの標準偏差に所定のパラメータを掛けたものを足した値であり得る（例えば閾値＝平均＋（標準偏差×所定のパラメータ））。所定のパラメータは１、２、３などの整数である。
【００２６】
例示的なエントロピーベースの異常検知アルゴリズムは下記の通りである（図３Ｂを参照）。
所定の窓サイズ、所定の窓重複サイズ、及びデータ窓の数Ｎにおいて
ｉ＝１，２，３，…，Ｎ（例えば正の整数）について：
ｉ番目のデータ窓から、システムログデータＸ（ｉ）（例えばシステムログデータ１２８の各バッチ）をとる（ここでもｉ＝１，２，３，…，Ｎである）；
自然言語処理を用いてシステムログデータＸ（ｉ）（例えばシステムログデータ１２８の各バッチ）からキーワードを抽出する；
システムログデータＸ（ｉ）から抽出されたキーワードから特徴ベクトルｆ（ｉ）（例えば特徴ベクトル１１１Ｖ１−１１１Ｖｎ）を生成する（例えば、特徴ベクトル１１１Ｓ１−１１１Ｓｎを形成）；
特徴ベクトルｆ（ｉ）に基づいてシステムエントロピーＥ（ｉ）（例えば各エントロピー測定値１１６Ａ−１１６ｎ）を算出する；
次のデータ窓（ｉ＝ｉ＋１）へスライドする
終了；
エントロピー時系列Ｅ＝｛Ｅ（１），Ｅ（２），…，Ｅ（Ｎ）｝を生成する；
エントロピー時系列Ｅの平均Ｍ及び標準偏差Ｓを算出する；
エントロピー閾値Ｔ＝ｆ（Ｍ，Ｓ）を判定する。
【００２７】
エントロピーベースの異常検知アルゴリズムの例示的なオンライン／リアルタイム実装は下記の通りである。
【００２８】
少なくとも１つの（もしくは各）時間窓１２７について、所定の窓サイズ、所定の窓重複サイズ、及びエントロピー閾値Ｔにおいて
【００２９】
オンライン／リアルタイム窓掛けシステムログデータバッチ（例えば、システムログデータ１２８の各バッチ）を捕捉する（図４、ブロック４１０）；
捕捉したシステムログデータ１２８の窓掛けバッチから、自然言語処理を用いてキーワードを抽出する（図４、ブロック４２０及び４３０）；
捕捉したシステムログデータ１２８の窓掛けバッチから抽出したキーワードから、特徴ベクトル（一又は複数）「Ｘ」１１１Ｖ１−１１１Ｖｎを生成する（図４、ブロック４２０及び４３０）；
特徴ベクトル（一又は複数）「Ｘ」１１１Ｖ１−１１１Ｖに基づいて、システムエントロピーＥ（Ｘ）を算出する（図４、ブロック４４０）；
システムエントロピーＥ（Ｘ）がエントロピー閾値Ｔよりも大きい場合、異常を明示する（図４、ブロック４５０）；
次のオンライン／リアルタイム窓掛けログデータバッチを待機。
【００３０】
図１、５Ａ、及び５Ｂを参照すると、第２のサイバー攻撃異常検知モジュール１１７は深層学習コンポーネント１１８を含み、例えば抽出特徴１１１の分類に基づき第２のサイバー攻撃１１９を特定するように構成されている。一態様では、第１のサイバー攻撃１１４と第２のサイバー攻撃１１９が同じタイプのサイバー攻撃を含む。一態様では第１のサイバー攻撃１１４が第１のタイプのサイバー攻撃１１４Ａを含み、第２のサイバー攻撃１１９は、第１のタイプのサイバー攻撃１１４Ａとは異なる第２のタイプのサイバー攻撃１１９Ａを含む。一態様では、第１のサイバー攻撃１１４と第２のサイバー攻撃１１９のうちの一以上が、非限定的に、ゼロデイ攻撃、サービス拒否、精緻／高度な持続的マルウェア、構造化照会言語（ＳＱＬ）インジェクション攻撃、セッションハイジャック・中間者攻撃、ネットワーク探査、ブルートフォースクラック、ランサムウェア、及び内部関係者脅威のうちの一以上を含む。抽出特徴１１１は、第１のサイバー攻撃異常検知モジュール１１３の抽出特徴１１１の第１の群１１１Ａと、第２のサイバー攻撃異常検知モジュール１１７の抽出特徴１１１の第２の群１１１Ｂとを含み得る。一態様では、抽出特徴１１１の第１の群１１１Ａが、抽出特徴１１１の第２の群１１１Ｂとは異なる。例えば、第１のサイバー攻撃異常検知モジュール１１３が使用するより少ない数の特徴ベクトル１１１Ｖ（例えば抽出特徴）と比較して、第２のサイバー攻撃異常検知モジュール１１７の抽出特徴１１１の第２の群１１１Ｂは、システムログデータの自然言語処理で得たキーワードとそれらの属性値を、抽出特徴１１１として実質的にすべて使用し得る（例えば、キーワード「サーバＩＰアドレス」がシステムログデータ１９７の約１００を超える特徴的なＩＰアドレス属性値を有し得る。キーワード「ソースポート」及び「送信先ポート」がシステムログデータ１９７の約２００を超える属性値を有し得る、等）。
【００３１】
第２のサイバー攻撃異常検知モジュール１１７の深層学習コンポーネント１１８は、任意の適切な人工ニューラルネットワーク（ＡＮＮ）１２１を含む。一態様で、人工ニューラルネットワーク１２１は畳み込みニューラルネットワークを含むが、他の態様では任意の他の適切なタイプの人工ニューラルネットワーク又は深層学習、例えば複数の隠れ層を用いたものなどが使用されてもよい。深層学習コンポーネント１１８は任意の適切な方式で訓練されてよい。例えば、第２のサイバー攻撃異常検知モジュール５００Ａの訓練方法を参照すると、深層学習コンポーネント１１８は、受信した履歴システムログデータ５０２（図５Ａ）と所定の挙動キーワード５０５（図５Ａ）で訓練され得る。受信した履歴システムログデータ５０２は、任意の適切な履歴期間に集められた（例えば同じ又は同様のタイプの搭載システム１９８を有する）任意の数のビークル１９９から得たシステムログデータであり得る。所定の挙動キーワード５０５は、分野の専門家などにより任意の適切な方式で生成され得る。挙動キーワード５０５に基づき、履歴システムログデータ５０２に対して自然言語処理（ブロック５１０、図５Ａ）が実施され、システムログデータ１９７にサイバー攻撃異常が存在するのを認識するために深層学習コンポーネント１１８（ブロック５１５，図５）を訓練する。一例として、深層学習コンポーネント１１８が、抽出特徴１１１の分類１２０によりサイバー攻撃異常を特定するよう訓練され得る。一態様では、抽出特徴１１１の分類１２０が、システムログデータ１９７の個々のログアイテムが第２のサイバー攻撃１１９を示すかどうかを予測する、抽出特徴１１１の二値分類である。他の態様で、抽出特徴１１１の分類１２０は、システムログデータ１９７の個々のログアイテムが第２のサイバー攻撃１１９を示すかどうかの予測をもたらす任意の適切な分類であってよい。動作において、第２のサイバー攻撃５００Ｂの判定方法を参照すると、システムログデータ１９７は第１段階セキュリティモジュール１１０（ブロック５２０，図５Ｂ）によって受信され、自然言語処理モジュール１１２（ブロック５２５，図５Ｂ）により挙動キーワード５０５に基づき処理されて、抽出特徴１１１が生成される。第２のサイバー攻撃異常検知モジュール１１７の深層学習コンポーネント１１８は、抽出特徴１１１を分類するなどして異常検知（ブロック５３０，図５Ｂ）を実施し、第２のサイバー攻撃１１９を示すものがシステムログデータ１９７に存在するかどうかを判定する。
【００３２】
図１，２，６、及び７を参照すると、少なくとも１つの第２段階セキュリティモジュール１５０は、少なくとも１つの第１段階セキュリティモジュール１１０及び少なくとも１つのビークルオペレータデータベース１４０に、任意の適切な方式で接続される。例えば、第２段階セキュリティモジュール１５０は、少なくとも１つの第１段階セキュリティモジュール１１０に接続１８０Ａを介して接続されており、少なくとも１つのビークルオペレータデータベースに接続１８０Ｃを介して接続されている。各接続１８０Ａ，１８０Ｃは、上述の接続１８０Ｅと実質的に同様のものであり得る。少なくとも１つの第２段階セキュリティモジュール１５０は、少なくとも１つの第１段階セキュリティモジュール１１０によって特定されたサイバー攻撃（例えば、第１のサイバー攻撃１１４と第２のサイバー攻撃１１９のうちの一又は複数）を、ビークルオペレーションデータ１４１（航空機の場合は、エアラインオペレーションデータ１４２）に相関させて、少なくとも１つのサイバー攻撃動向１５２を特定するように構成されている。一例として、少なくとも１つのサイバー攻撃動向１５２は、特定のビークル（例えば航空機の場合、エアライン）オペレータ、特定の型のビークル、及び／又は特定の空港に対する一以上のサイバー攻撃（一又は複数）を含むがこれらに限定されない。
【００３３】
図６は、ビークル群２００Ａのビークル１９９Ａ−１９９Ｃの第１段階セキュリティモジュール１１０Ａ−１１０Ｃに共通の、第２段階セキュリティモジュール１５０の例を示す。図２は、複数の第２段階セキュリティモジュール１５０Ａ−１５０ｎのより広範な利用を示す。複数の第２段階セキュリティモジュール１５０Ａ−１５０ｎは、複数のビークル群２００Ａ−２００ｎのビークル１９９Ａ−１９９ｎの第１段階セキュリティモジュール１１０Ａ−１１０ｎに接続され、種々のサイバー攻撃動向１５２を判定する。例えば、図６で示す第２段階セキュリティモジュール１５０は、図２で示す第２段階セキュリティモジュール１５０Ｂ，１５０Ｅに類似のものである。これらの第２段階セキュリティモジュール１５０，１５０Ｂ，１５０Ｅは、各ビークル群２００Ａ，２００Ｂのビークル１９９Ａ−Ｃ，１９９Ｄ−Ｆに接続されており、各ビークル群２００Ａ，２００Ｂを対象とするサイバー攻撃（例えば、各ビークルオペレータが各ビークル群２００Ａ，２００Ｂを運航する場合は特定のビークルオペレータに対する攻撃、又は、単一のビークルオペレータが１よりも多いビークル群を運航する場合は特定のビークル群２００Ａ，２０Ｂに対する攻撃）の発生を少なくとも判定する。その他の例では、ビークル群２００Ａに複数の異なる第２段階セキュリティモジュール１５０Ｂ，１５０Ｂ１が関連付けられていてもよい。同様に、ビークル群２００Ｂが複数の異なる第２段階セキュリティモジュール１５０Ｅ，１５０Ｅ１，１５０Ｅ２に関連付けられていてもよい。ビークル群２００Ａの種々の第２段階セキュリティモジュール１５０Ｂ，１５０Ｂ１と、ビークル群２００Ｂの種々の第２段階セキュリティモジュール１５０Ｅ，１５０Ｅ１，１５０Ｅ２とはそれぞれ、別々の動向を検知するように構成され得る。例えば、第２段階セキュリティモジュール１５０Ｂ，１５０Ｅが、各ビークル群２００Ａ，２００Ｂを対象とするサイバー攻撃動向１５２を検知するように構成され得る。第２段階セキュリティモジュール１５０Ｂ１，１５０Ｅ１，１５０Ｅ２は、各ビークル群２００Ａ，２００Ｂのうちの特定のビークルタイプ／型を対象とするサイバー攻撃動向１５２を検知するように構成され得る。
【００３４】
第２段階セキュリティモジュール１５０Ａ，１５０Ｆは、特定の空港Ａ−ｎに着陸しているビークル群２００Ａ−２００ｎの各ビークル１９９Ａ−１９９ｎの第１段階セキュリティモジュール１１０Ａ−１１０ｎに接続されている。これら第２段階セキュリティモジュール１５０Ａ，１５０Ｆは、各空港Ａ−ｎに対する種々のサイバー攻撃動向１５２を判定するように構成され得る。第２段階セキュリティモジュール１５０Ｃは、（例えば、複数のビークル群２００Ａ−２００ｎ全体の）第１のタイプ／型のビークルの第１段階セキュリティモジュール１１０Ａ−１１０ｎに接続され、第２段階セキュリティモジュール１５０Ｄは、（例えば、複数のビークル群２００Ａ−２００ｎ全体の）第２のタイプ／型ビークルの第１段階セキュリティモジュール１１０Ａ−１１０ｎに接続される。第２段階セキュリティモジュール１５０Ｃ，１５０Ｄは、ビークルの各タイプ／型を対象とするサイバー攻撃動向１５２を、当該タイプ／型のビークルがどのビークル群２００Ａ−２００ｎに属しているかに関わらず特定するように構成され得る。本開示の態様によれば第２段階セキュリティモジュール１５０Ａ−１５０ｎと第１段階セキュリティモジュール１１０Ａ−１１０ｎとの間で様々な他の接続の組み合わせが可能であり、特定のタイプ／型のビークル、特定の数／群のビークル、特定のビークル  基地やデポ（例えば航空機の場合は空港）、特定のビークル製造者などについて任意の適切なサイバー攻撃動向１５２を特定する。
【００３５】
図１及び７を参照すると、例示的な第２段階セキュリティモジュール１５０が示されている。第２段階セキュリティモジュール１５０は単独で或いは他の第２段階セキュリティモジュール１５０Ａ−１５０ｎ（図２）と併用されてもよく、各第１段階セキュリティモジュール１１０（図１）１００Ａ−１００ｎ（図２）からサイバー攻撃判定を受信し、セキュリティ事象概況を構築して、サイバー攻撃事象が個々のビークルオペレータ、特定のビークルタイプ／型、及び／又はビークルが離発着する特定の基地やデポ（例えば、航空機の場合は空港）を標的としているかどうかをよりよく理解するための状況認識を強化する。第２段階セキュリティモジュール１５０はイベント駆動型であるので、ビークル運航の状況認識及びセキュリティ監視が強化されて、ユーザ（ビークルのオペレータ、製造者、空港従業員など）によるビークル運航における実用的情報の作成や管理が支援される。
【００３６】
第２段階セキュリティモジュール１５０は、入力モジュール７００、相関モジュール１５１、及び報告生成・伝播モジュール７４０を含む。入力モジュール７００は、接続１８０Ａなどを介して、第１段階セキュリティモジュール１１０から第１のサイバー攻撃１１４及び第２のサイバー攻撃１１９の一以上の通知を受信するように構成されている。一態様では、少なくとも１つの第２段階セキュリティモジュール１５０は、少なくとも１つの第１段階セキュリティモジュール１１０から少なくとも１つの第２段階セキュリティモジュール１５０へのデータ転送が非同期通信であるように、少なくとも１つの第１段階セキュリティモジュール１１０に接続されている。非同期通信は、少なくとも１つの第１段階セキュリティモジュール１１０からの（例えば第１のサイバー攻撃１１４及び／又は第２のサイバー攻撃１１９の発生についての）メッセージを、少なくとも１つの第２段階セキュリティモジュール１５０での消費のためにキュー１７０に保存することを含む。少なくとも１つの第１段階セキュリティモジュール１１０と少なくとも１つの第２段階セキュリティモジュール１５０との間の非同期メッセージングによって、疎な結合と円滑なデータフローがもたらされる。少なくとも１つの第１段階セキュリティモジュール１１０がシステムログデータ１９７を少なくとも１つの第２段階セキュリティモジュール１５０からの応答に関わらず処理できるためである（これにより、少なくとも１つの第１段階セキュリティモジュール１１０と少なくとも１つの第２段階セキュリティモジュール１５０がオンラインであること、例えば、接続１８０Ａが属している通信ネットワークへ同時又は別時にアクセスすることがもたらされる）。少なくとも１つの第１段階セキュリティモジュール１１０と少なくとも１つの第２段階セキュリティモジュール１５０との間の非同期メッセージングによって、少なくとも１つの第１段階セキュリティモジュール１１０からの別々のキュー１７０から到着する出力（例えばサイバー攻撃の表示）の、少なくとも１つの第２段階セキュリティモジュール１５０による統合も、少なくとも１つの第１段階セキュリティモジュール１１０からの出力ロードに関わらず、もたらされ得る。更に、少なくとも１つの第１段階セキュリティモジュール１１０と少なくとも１つの第２段階セキュリティモジュール１５０との間の非同期メッセージングによって、ビークルサイバー攻撃検知システム１００のユーザに対し、ダウンストリームのロード均衡を、ユーザの処理能力に応じて提供し得る。
【００３７】
相関モジュール１５１は、任意の適切な機械学習、統計的もしくは相関処理を含み得る。第１のサイバー攻撃１１４と第２のサイバー攻撃１１９の発生を、ビークルオペレータデータベース１４０からのビークルオペレーションデータ１４１と相関させて、少なくとも１つのサイバー攻撃動向１５２を特定するように構成されている。例えば、相関モジュール１５１は、通知モジュール７１０及び警告決定モジュール７３０を含み得る。これらのモジュールは、任意の適切な訓練データ７９０を用いて任意の適切な方式で訓練される。訓練データは、一致検出モジュール７１０が特定のビークルについてビークルタイプ、空港、製造者、ビークル群などの間でサイバー攻撃の一致を判定するよう構成されており、かつ／又は、警告決定モジュール７３０が特定のビークルについてビークルタイプ、空港、製造者、ビークル群などの間でサイバー攻撃事象の警告を発するかどうかを決定するよう構成されている。ビークルオペレーションデータ１４１は一致検出モジュール７１０に入力され、特定のビークル、ビークルタイプ、空港、製造者、ビークル群などの状態が、一致検出モジュール７１０が行った一致判定（例えば動向）とビークルオペレーションデータ１４１を基に、状態更新モジュール７２０によって更新される。警告決定モジュールは、特定のビークル、ビークルのタイプ、空港、製造者、ビークル群などの更新された状態と、ビークルオペレーションデータ１４１とに基づいて、サイバー攻撃警告が用いられるべきかを任意の適切な方式で決定する。報告生成・伝播モジュール７４０は、相関モジュール１５１が特定したサイバー攻撃動向１５２を、例えばサイバー攻撃警告モジュール１３０に報告する。
【００３８】
図１及び２を参照すると、サイバー攻撃警告モジュール１３０は、接続１８０Ｂ、１８０Ｄなどの任意の適切な方式で、少なくとも１つの第１段階セキュリティモジュール１１０と少なくとも１つの第２段階セキュリティモジュール１５０のうちの一以上に接続されている。接続１８０Ｂ、１８０Ｄは上述の接続１８０Ｅと実質的に同様のものであり得る。ビークルサイバー攻撃検知システム１００の各ユーザに対しサイバー攻撃警告モジュール１３０があり得る。例えば図２を参照すると、ビークルサイバー攻撃検知システム１００の一ユーザが、当該製造者のビークル／ビークル群、及びビークル／ビークル群が運航する空港を監視するオムニバスオペレーションセンター２９９を運営するビークル製造者であり得る。別の例として、ビークルサイバー攻撃検知システム１００のユーザは、各ビークル群２００Ａ−２００ｎのオペレータにそれぞれ対応し得る一以上のビークル群オペレーションセンター２００ＡＦＯ−２００ｎＦＯを含み得る。他の態様では、ビークルサイバー攻撃検知システム１００のユーザは、空港を運営する空港オペレーションセンター（図示せず）、又は任意の他の適切なユーザを含み得る。各オムニバスオペレーションセンター２９９と一以上のビークル群オペレーションセンター２００ＡＦＯ−２００ｎＦＯは、各サイバー攻撃警告モジュール１３０を含む。各サイバー攻撃警告モジュール１３０は、ユーザインターフェース１３１と通知生成モジュール１３５を含む。サイバー攻撃警告モジュール１３０の通知生成モジュール１３５は、ビークル従業者１９０（例えば、ビークル製造者の従業者、ビークルオペレータの従業者、空港の従業者）によるサイバー攻撃診断と復旧を実施させるように、少なくとも１つの第１段階セキュリティモジュール１１０によって特定されたサイバー攻撃（例えば、第１のサイバー攻撃１１４及び／又は第２のサイバー攻撃１１９）と、少なくとも１つの第２段階セキュリティモジュール１５０によって特定された少なくとも１つのサイバー攻撃動向１５２と、のうちの一以上の通知を、ユーザインターフェース１３１上で生成するように構成されている。例えば、通知生成モジュール１３５は、少なくとも１つの第１段階セキュリティモジュール１１０によって特定された第１のサイバー攻撃１１４及び第２のサイバー攻撃１１９のうちの一以上の発生を示す、第１の通知１３２を生成するように構成されている。通知生成モジュール１３５は、少なくとも１つの第２段階セキュリティモジュール１５０によって特定されたサイバー攻撃動向１５２を示す、第２の通知１３３を生成するように構成されている。
【００３９】
図１及び８を参照して、ビークルサイバー攻撃検知方法８００に関するビークルサイバー攻撃検知システム１００の例示的な動作を説明する。各ビークル１９９の少なくとも１つの搭載システム１９８によって生成されたシステムログデータ１９７が、各ビークル１９９の少なくとも１つの搭載システム１９８に接続された少なくとも１つの第１段階セキュリティモジュール１１０によって、受信される（ブロック８１０，図８）。少なくとも１つの第１段階セキュリティモジュールによって、抽出特徴１１１が、システムログデータ１９７から自然言語処理により抽出される（ブロック８２０，図８）。少なくとも１つの第１段階セキュリティモジュール１１０の第１のサイバー攻撃異常検知モジュール１１３によって、第１のサイバー攻撃異常検知モジュール１１３が抽出特徴１１１から求めたシステムエントロピー測定値１１６に基づき、第１のサイバー攻撃１１４が特定される（ブロック８３０，図８）。少なくとも１つの第１段階セキュリティモジュール１１０の、深層学習コンポーネント１１８を含む第２のサイバー攻撃異常検知モジュール１１７によって、抽出特徴１１１の分類１２０に基づき、第２のサイバー攻撃１１９が特定される（ブロック８４０，図８）。図８のブロック８３０及び８４０は並行して起こってもよく連続して起こってもよい。ビークル従業者１９０にサイバー攻撃診断と復旧を実行させるために、第１のサイバー攻撃１１４と第２のサイバー攻撃１１９のうちの一以上の通知（例えば第１の通知１３２）が、少なくとも１つの第１段階セキュリティモジュール１１０に接続されたサイバー攻撃警告モジュール１３０のユーザインターフェース１３１上に、生成される（図８、ブロック８５０）。少なくとも１つの第１段階セキュリティモジュール１１０、サイバー攻撃警告モジュール１３０、及び少なくともビークルオペレータデータベース１４０に接続された、少なくとも１つの第２段階セキュリティモジュール１５０によって、第１のサイバー攻撃１１４と第２のサイバー攻撃１１９のうちの一又は複数が、ビークルオペレーションデータ１４１と相関させられて、少なくとも１つのサイバー攻撃動向１５２を特定する（ブロック８６０，図８）。ビークル従業者１９０によるサイバー攻撃の診断と復旧を実行させるために、サイバー攻撃警告モジュール１３０によって、少なくとも１つのサイバー攻撃動向１３２についての別の通知（例えば第２の通知１３３）がユーザインターフェース１３１上に生成される（ブロック８７０，図８）。
【００４０】
上記で示すように、ビークルサイバー攻撃検知システム１００は、システムログデータ１９７の挙動特性を利用する。システムログデータ１９７の挙動特性は、システムログデータ１９７の生テキストログメッセージを特徴ベクトル１１１Ｖの組に変換する自然言語処理  ベースの特徴エンジニアリングにより生成される。特徴ベクトル１１１Ｖの組は第１のサイバー攻撃異常検知モジュール１１３で消費される。ビークルサイバー攻撃検知システム１００は、第２のサイバー攻撃異常検知モジュール１１７の深層学習も利用する。第２のサイバー攻撃異常検知モジュール１１７には自然言語処理済みのビークルセキュリティログ１９７が入力されており、ビークルセキュリティログ１９７の意味内容を保持したキーワードや値の正規化／トークン化されたアレイが抽出される。訓練されると、第２のサイバー攻撃異常検知モジュール１１７の深層学習コンポーネント１１８は、システムログデータ１９７の個々のログデータを、実質的にリアルタイムかつオンラインのサイバー攻撃セキュリティ解析のため評価する。サイバー攻撃検知システム１００の段階的アーキテクチャにより、スケーラブルなシステムがもたらされ、監視されている幾つかのビークルに応じて（例えば垂直スケーラビリティ）、及び、サイバー攻撃動向１５２を判定すべきサイバー攻撃のカテゴリ（例えばビークルの製造者、オペレータ、タイプ／型）に応じて（例えば水平スケーラビリティ）、第１段階セキュリティモジュール１１０と第２段階セキュリティモジュール１５０が追加又は除去され得る。本開示の態様によって、ビークル群規模、航空機の場合はエアライン規模のサイバー攻撃セキュリティ監視、及び（例えばオペレーションセンターなど）のダウンストリームシステムとのインテグレーションが向上し得る。
【００４１】
図９及び１０を参照すると、本開示の例は、図１０に示す航空機の製造及び保守方法１０００に照らして説明され得る。他の態様では、本開示の例が、例えば上述のように自動車、海洋、航空宇宙などの任意の適切な産業に応用され得る。航空機の製造について、製造前の段階で、例示的な方法１０００は、航空機１１９Ａの仕様及び設計（ブロック１０１０）と材料調達（ブロック１０２０）とを含み得る。製造段階では、航空機１９９Ａの構成要素及びサブアセンブリの製造（ブロック１０３０）と、システムインテグレーション（ブロック１０４０）とが行われ得る。その後、航空機１１９Ａは認可及び納品（ブロック１０５０）を経て運航（ブロック１０６０）される。運航中、航空機１１９Ａは定期的に保守及び点検（ブロック１０７０）がスケジューリングされ得る。定期的に保守及び点検は、本書に記載のｆａｕｌｔ判定を含み、かつ／又はそれによって促進される、航空機１９９Ａの一以上のシステムの改変、再構成、改修などを含み得る。
【００４２】
例示的な方法１０００のプロセスの各々は、システムインテグレータ、第三者、及び／又は顧客などのオペレータによって実行又は実施され得る。本明細書の目的のために、システムインテグレータは、限定しないが、任意の数の航空機製造者、及び主要システムの下請業者を含み得、第三者は、限定しないが、任意の数のベンダー、下請業者、及び供給業者を含み得、オペレータは、航空会社、リース会社、軍事団体、サービス機関などであり得る。
【００４３】
本書で示され説明されている装置（一又は複数）及び方法（一又は複数）は、製造及び保守方法１０００の一又は複数の任意の段階において用いられ得る。例えば、コンポーネント及びサブアセンブリの製造（ブロック１０３０）に対応するコンポーネント又はサブアセンブリは、航空機１２００の運航（ブロック１０６０）中に製造されるコンポーネント又はサブアセンブリと同様の方法で製作又は製造され得る。同様に、装置又は方法を実現する１つ又は複数の実施例、或いはこれらの組み合わせは、例えば、限定するわけではないが、航空機１１０２の運航（ブロック１０６０）中に、及び／又は整備及び保守（ブロック１０７０）において利用することができる。
【００４４】
本開示の態様によれば下記が提供される。
【００４５】
Ａ１．
ビークルサイバー攻撃検知システムであって、
各ビークルの少なくとも１つの搭載システムに接続され、各ビークルの少なくとも１つの搭載システムによって生成されたシステムログデータを受信するように構成され、システムログデータから自然言語処理により抽出特徴を抽出するように構成された、少なくとも１つの第１段階セキュリティモジュールであって、
第１のサイバー攻撃異常検知モジュールにより抽出特徴から求めたシステムエントロピー測定値に基づいて第１のサイバー攻撃を特定するように構成された、第１のサイバー攻撃異常検知モジュール、及び
抽出特徴の分類に基づいて第２のサイバー攻撃を特定するように構成された深層学習コンポーネントを含む、第２のサイバー攻撃異常検知モジュール
を含む、少なくとも１つの第１段階セキュリティモジュールと、
少なくとも１つの第１段階セキュリティモジュールに接続され、ユーザインターフェースを含み、ビークル従業者にサイバー攻撃診断及び復旧を実行させるよう、第１のサイバー攻撃及び第２のサイバー攻撃のうちの一以上の通知をユーザインターフェース上に生成するように構成された、サイバー攻撃警告モジュールと
を含む、ビークルサイバー攻撃検知システム。
【００４６】
Ａ２．
抽出特徴が、第１のサイバー攻撃異常検知モジュールについての抽出特徴の第１の群と、第２のサイバー攻撃異常検知モジュールについての抽出特徴の第２の群とを含み、抽出特徴の第１の群が、抽出特徴の第２の群とは異なる、段落Ａ１に記載のビークルサイバー攻撃検知システム。
【００４７】
Ａ３．
少なくとも１つの第２段階セキュリティモジュールであって、少なくとも１つの第１段階セキュリティモジュール及びサイバー攻撃警告モジュールに接続され、少なくともビークルオペレータデータベースに接続され、第１のサイバー攻撃及び第２のサイバー攻撃のうちの一以上を、ビークルオペレーションデータと相関させて、少なくとも１つのサイバー攻撃動向を特定するように構成された、少なくとも１つの第２段階セキュリティモジュール
を更に含み、
サイバー攻撃警告モジュールは、ビークル従業者にサイバー攻撃診断及び復旧を実行させるよう、少なくとも１つのサイバー攻撃動向の別の通知をユーザインターフェース上に生成するように構成されている、
段落Ａ１に記載のビークルサイバー攻撃検知システム。
【００４８】
Ａ４．
ビークルオペレーションデータがエアラインオペレーションデータである、段落Ａ３に記載のビークルサイバー攻撃検知システム。
【００４９】
Ａ５．
少なくとも１つの第２段階セキュリティモジュールが、無線通信接続を介して、少なくとも１つの第１段階セキュリティモジュール及びサイバー攻撃警告モジュールのうちの一以上に接続されている、段落Ａ３に記載のビークルサイバー攻撃検知システム。
【００５０】
Ａ６．
無線通信接続がクラウドベースの通信接続である、段落Ａ５に記載のビークルサイバー攻撃検知システム。
【００５１】
Ａ７．
少なくとも１つの第２段階セキュリティモジュールが、有線通信接続を介して、少なくとも１つの第１段階セキュリティモジュール及びサイバー攻撃警告モジュールのうちの一以上に接続されている、段落Ａ３に記載のビークルサイバー攻撃検知システム。
【００５２】
Ａ８．
少なくとも１つの第２段階セキュリティモジュールは、少なくとも１つの第１段階セキュリティモジュールから少なくとも１つの第２段階セキュリティモジュールへのデータ転送が非同期通信であるように、少なくとも１つの第１段階セキュリティモジュールに接続されている、  段落Ａ３に記載のビークルサイバー攻撃検知システム。
【００５３】
Ａ９．
非同期通信が、少なくとも１つの第１段階セキュリティモジュールからのメッセージを、少なくとも１つの第２段階セキュリティモジュールによる消費のためにキューに保存することを含む、段落Ａ８に記載のビークルサイバー攻撃検知システム。
【００５４】
Ａ１０．
第１のサイバー攻撃と第２のサイバー攻撃が同じタイプのサイバー攻撃を含む、段落Ａ１に記載のビークルサイバー攻撃検知システム。
【００５５】
Ａ１１．
第１のサイバー攻撃が第１のタイプのサイバー攻撃を含み、第２のサイバー攻撃は、第１のタイプのサイバー攻撃とは異なる第２のタイプのサイバー攻撃を含む、段落Ａ１に記載のビークルサイバー攻撃検知システム。
【００５６】
Ａ１２．
第１のサイバー攻撃及び第２のサイバー攻撃のうちの一以上が、ゼロデイ攻撃、サービス拒否、精緻／高度な持続的マルウェア、構造化照会言語（ＳＱＬ）インジェクション攻撃、セッションハイジャック・中間者攻撃、ネットワーク探査、ブルートフォースクラック、ランサムウェア、及び内部関係者脅威のうちの一以上を含む、段落Ａ１に記載のビークルサイバー攻撃検知システム。
【００５７】
Ａ１３．
少なくとも１つの第１段階セキュリティモジュールが、少なくとも１つのビークル群の各ビークルの各第１段階セキュリティモジュールを含む、段落Ａ１に記載のビークルサイバー攻撃検知システム。
【００５８】
Ａ１４．  
少なくとも１つの第１段階セキュリティモジュールが、少なくとも１つのビークル群の各ビークルの追加又は除外に応じて、ビークルサイバー攻撃検知システムに付加されるか或いは除かれるように構成されている、段落Ａ１に記載のビークルサイバー攻撃検知システム。
【００５９】
Ａ１５．  
第２のサイバー攻撃異常検知モジュールの深層学習コンポーネントが人工ニューラルネットワークを含む、段落Ａ１に記載のビークルサイバー攻撃検知システム。
【００６０】
Ａ１６．  
人工ニューラルネットワークが畳み込みニューラルネットワークを含む、段落Ａ１５に記載のビークルサイバー攻撃検知システム。
【００６１】
Ａ１７．  
第１のサイバー攻撃異常検知モジュールが、
重複窓掛けシステムログデータの各窓がシステムログデータの各バッチを含む重複窓掛けシステムログデータの時系列を、システムログデータから生成し、
重複窓掛けシステムログデータの少なくとも１つの窓からのシステムログデータの各バッチから、抽出特徴を抽出し、
重複窓掛けシステムログデータの少なくとも１つの窓からのシステムログデータの各バッチから抽出した抽出特徴から、システムエントロピー測定値を求める
ように構成されている、段Ａ１に記載のビークルサイバー攻撃検知システム。
【００６２】
Ａ１８．
抽出特徴が、システムログデータのうちの少なくとも幾つかの正規化を含む、段落Ａ１に記載のビークルサイバー攻撃検知システム。
【００６３】
Ａ１９．
抽出特徴の分類が、システムログデータの個々のログアイテムが第２のサイバー攻撃を示すかどうかを予測する、抽出特徴の二値分類である、段落Ａ１に記載のビークルサイバー攻撃検知システム。
【００６４】
Ａ２０．
少なくとも１つの第１段階セキュリティモジュールが、ビークルの複数の就航の間に、各ビークルの少なくとも１つの搭載システムに接続されるように構成されている、段落Ａ１に記載のビークルサイバー攻撃検知システム。
【００６５】
Ａ２１．
少なくとも１つの第１段階セキュリティモジュールが、所定の時間的間隔で、各ビークルの少なくとも１つの搭載システムに接続されるように構成されている、段落Ａ１に記載のビークルサイバー攻撃検知システム。
【００６６】
Ａ２２．
少なくとも１つの第１段階セキュリティモジュールが各ビークルの少なくとも１つの搭載システムに無線通信接続を介して接続されている、段落Ａ１に記載のビークルサイバー攻撃検知システム。
【００６７】
Ａ２３．
無線通信接続がクラウドベースの通信接続である、段落Ａ２２に記載のビークルサイバー攻撃検知システム。
【００６８】
Ａ２４．
少なくとも１つの第１段階セキュリティモジュールが各ビークルの少なくとも１つの搭載システムに、有線通信接続を介して接続されている、段落Ａ１に記載のビークルサイバー攻撃検知システム。
【００６９】
Ａ２５．
サイバー攻撃警告モジュールが少なくとも１つの第１段階セキュリティモジュールに、無線通信接続を介して接続されている、段落Ａ１に記載のビークルサイバー攻撃検知システム。
【００７０】
Ａ２６．
無線通信接続がクラウドベースの通信接続である、段落Ａ２５に記載のビークルサイバー攻撃検知システム。
【００７１】
Ａ２７．
サイバー攻撃警告モジュールが少なくとも１つの第１段階セキュリティモジュールに、有線通信接続を介して接続されている、段落Ａ１に記載のビークルサイバー攻撃検知システム。
【００７２】
Ａ２８．
少なくとも１つの第１段階セキュリティモジュールが各ビークルに搭載されている、段落Ａ１に記載のビークルサイバー攻撃検知システム。
【００７３】
Ｂ１．
ビークルサイバー攻撃検知システムであって、
サイバー攻撃検知モジュールの階層構造であって、
各ビークルの少なくとも１つの搭載システムに接続されて、各ビークルの少なくとも１つの搭載システムによって生成されたシステムログデータを受信するように構成されており、挙動ベースのサイバー攻撃検知及び分類ベースのサイバー攻撃検知のうちの一以上のために、システムログデータから自然言語処理によって抽出特徴を抽出するように構成された、少なくとも１つの第１段階セキュリティモジュール、及び
少なくとも１つの第１段階セキュリティモジュール及び少なくともビークルオペレータデータベースに接続されて、少なくとも１つの第１段階セキュリティモジュールによって特定されたサイバー攻撃を、ビークルオペレーションデータと相関させて、少なくとも１つのサイバー攻撃動向を特定するように構成された、少なくとも１つの第２段階セキュリティモジュール
を含む、サイバー攻撃検知モジュールの階層構造と、
少なくとも１つの第１段階セキュリティモジュール及び少なくとも１つの第２段階セキュリティモジュールのうちの一以上に接続されて、ユーザインターフェースを含み、少なくとも１つの第１段階セキュリティモジュールによって特定されたサイバー攻撃、及び少なくとも１つの第２段階セキュリティモジュールによって特定された少なくとも１つのサイバー攻撃動向、のうちの一以上の通知のうちの一以上を、ユーザインターフェース上に生成して、ビークル従業者にサイバー攻撃診断及び復旧を実行させるように構成された、サイバー攻撃警告モジュールと
を含む、ビークルサイバー攻撃検知システム。
【００７４】
Ｂ２．
ビークルオペレーションデータがエアラインオペレーションデータである、段落Ｂ１に記載のビークルサイバー攻撃検知システム。
【００７５】
Ｂ３．
少なくとも１つの第１段階セキュリティモジュールが、システムログデータから自然言語処理により抽出特徴を抽出するように構成されており、かつ、
第１のサイバー攻撃異常検知モジュールが抽出特徴から判定したシステムエントロピー測定値に基づき、第１のサイバー攻撃を特定するように構成された、第１のサイバー攻撃異常検知モジュールと、
抽出特徴の分類に基づき、第２のサイバー攻撃を特定するように構成された深層学習コンポーネントを含む、第２のサイバー攻撃異常検知モジュールと
を含む、段落Ｂ１に記載のビークルサイバー攻撃検知システム。
【００７６】
Ｂ４．
第１のサイバー攻撃と第２のサイバー攻撃が同じタイプのサイバー攻撃を含む、段落Ｂ３に記載のビークルサイバー攻撃検知システム。
【００７７】
Ｂ５．
第１のサイバー攻撃が第１のタイプのサイバー攻撃を含み、第２のサイバー攻撃は、第１のタイプのサイバー攻撃とは異なる第２のタイプのサイバー攻撃を含む、段落Ｂ３に記載のビークルサイバー攻撃検知システム。
【００７８】
Ｂ６．
第１のサイバー攻撃及び第２のサイバー攻撃のうちの一以上が、ゼロデイ攻撃、サービス拒否、精緻／高度な持続的マルウェア、構造化照会言語（ＳＱＬ）インジェクション攻撃、セッションハイジャック・中間者攻撃、ネットワーク探査、ブルートフォースクラック、ランサムウェア、及び内部関係者脅威のうちの一以上を含む、段落Ｂ３に記載のビークルサイバー攻撃検知システム。
【００７９】
Ｂ７．
第２のサイバー攻撃異常検知モジュールの深層学習コンポーネントが人工ニューラルネットワークを含む、段落Ｂ３に記載のビークルサイバー攻撃検知システム。
【００８０】
Ｂ８．
人工ニューラルネットワークが畳み込みニューラルネットワークを含む、段落Ｂ７に記載のビークルサイバー攻撃検知システム。
【００８１】
Ｂ９．
第１のサイバー攻撃異常検知モジュールが、
重複窓掛けシステムログデータの各窓がシステムログデータの各バッチを含む重複窓掛けシステムログデータの時系列を、システムログデータから生成し、
重複窓掛けシステムログデータの少なくとも１つの窓からのシステムログデータの各バッチから、抽出特徴を抽出し、
重複窓掛けシステムログデータの少なくとも１つの窓からのシステムログデータの各バッチから抽出した抽出特徴から、システムエントロピー測定値を求める
ように構成されている、段落Ｂ３に記載のビークルサイバー攻撃検知システム。
【００８２】
Ｂ１０．
少なくとも１つの第２段階セキュリティモジュールが、無線通信接続を介して、少なくとも１つの第１段階セキュリティモジュール及びサイバー攻撃警告モジュールのうちの一以上に接続されている、段落Ｂ１に記載のビークルサイバー攻撃検知システム。
【００８３】
Ｂ１１．
無線通信接続がクラウドベースの通信接続である、段落Ｂ１０に記載のビークルサイバー攻撃検知システム。
【００８４】
Ｂ１２．
少なくとも１つの第２段階セキュリティモジュールが、有線通信接続を介して、少なくとも１つの第１段階セキュリティモジュール及びサイバー攻撃警告モジュールのうちの一以上に接続されている、段落Ｂ１に記載のビークルサイバー攻撃検知システム。
【００８５】
Ｂ１３．
少なくとも１つの第２段階セキュリティモジュールは、少なくとも１つの第１段階セキュリティモジュールから少なくとも１つの第２段階セキュリティモジュールへのデータ転送が非同期通信であるように、少なくとも１つの第１段階セキュリティモジュールに接続されている、  段落Ｂ１に記載のビークルサイバー攻撃検知システム。
【００８６】
Ｂ１４．
非同期通信が、少なくとも１つの第１段階セキュリティモジュールからのメッセージを、少なくとも１つの第２段階セキュリティモジュールによる消費のためにキューに保存することを含む、段落Ｂ１３に記載のビークルサイバー攻撃検知システム。
【００８７】
Ｂ１５．
少なくとも１つの第１段階セキュリティモジュールが、少なくとも１つのビークル群の各ビークルの各第１段階セキュリティモジュールを含む、段落Ｂ１に記載のビークルサイバー攻撃検知システム。
【００８８】
Ｂ１６．
少なくとも１つの第１段階セキュリティモジュールが、少なくとも１つのビークル群の各ビークルの追加又は除外に応じて、ビークルサイバー攻撃検知システムに付加されるか或いは除かれるように構成されている、段落Ｂ１に記載のビークルサイバー攻撃検知システム。
【００８９】
Ｂ１７．
抽出特徴が、システムログデータのうちの少なくとも幾つかの正規化を含む、段落Ｂ１に記載のビークルサイバー攻撃検知システム。
【００９０】
Ｂ１８．
分類ベースのサイバー攻撃検知が、システムログデータの個々のログアイテムが第２のサイバー攻撃を示すかどうかを予測する、抽出特徴の二値分類である、段落Ｂ１に記載のビークルサイバー攻撃検知システム。
【００９１】
Ｂ１９．
少なくとも１つの第１段階セキュリティモジュールが、各ビークルの複数の就航の間に、各ビークルの少なくとも１つの搭載システムに接続されるように構成されている、段落Ｂ１に記載のビークルサイバー攻撃検知システム。
【００９２】
Ｂ２０．
少なくとも１つの第１段階セキュリティモジュールが、所定の時間的間隔で、各ビークルの少なくとも１つの搭載システムに接続されるように構成されている、段落Ｂ１に記載のビークルサイバー攻撃検知システム。
【００９３】
Ｂ２１．
少なくとも１つの第１段階セキュリティモジュールが各ビークルの少なくとも１つの搭載システムに無線通信接続を介して接続されている、段落Ｂ１に記載のビークルサイバー攻撃検知システム。
【００９４】
Ｂ２２．
無線通信接続がクラウドベースの通信接続である、段落Ｂ１に記載のビークルサイバー攻撃検知システム。
【００９５】
Ｂ２３．
少なくとも１つの第１段階セキュリティモジュールが各ビークルの少なくとも１つの搭載システムに、有線通信接続を介して接続されている、段落Ｂ１に記載のビークルサイバー攻撃検知システム。
【００９６】
Ｂ２４．
サイバー攻撃警告モジュールが少なくとも１つの第１段階セキュリティモジュールに、無線通信接続を介して接続されている、段落Ｂ１に記載のビークルサイバー攻撃検知システム。
【００９７】
Ｂ２５．
無線通信接続がクラウドベースの通信接続である、段落Ｂ２４に記載のビークルサイバー攻撃検知システム。
【００９８】
Ｂ２６．
サイバー攻撃警告モジュールが少なくとも１つの第１段階セキュリティモジューに、有線通信接続を介して接続されている、段落Ｂ１に記載のビークルサイバー攻撃検知システム。
【００９９】
Ｂ２７．
少なくとも１つの第１段階セキュリティモジュールが各ビークルに搭載されている、段落Ｂ１に記載のビークルサイバー攻撃検知システム。
【０１００】
Ｃ１．
ビークルサイバー攻撃検知システムを用いてビークルサイバー攻撃を検知する方法であって、
各ビークルの少なくとも１つの搭載システムに接続された少なくとも１つの第１段階セキュリティモジュールによって、各ビークルの少なくとも１つの搭載システムによって生成されたシステムログデータを、受信することと、
少なくとも１つの第１段階セキュリティモジュールによって、自然言語処理によりシステムログデータから抽出特徴を抽出することと、
少なくとも１つの第１段階セキュリティモジュールの第１のサイバー攻撃異常検知モジュールによって、第１のサイバー攻撃異常検知モジュールにより抽出特徴から求めたシステムエントロピー測定値に基づき、第１のサイバー攻撃を特定することと、
少なくとも１つの第１段階セキュリティモジュールの、深層学習コンポーネントを含む第２のサイバー攻撃異常検知モジュールによって、抽出特徴の分類に基づき、第２のサイバー攻撃を特定することと、
ビークル従業者にサイバー攻撃診断と復旧を実行させるよう、第１のサイバー攻撃及び第２のサイバー攻撃のうちの一以上の通知を、少なくとも１つの第１段階セキュリティモジュールに接続されたサイバー攻撃警告モジュールのユーザインターフェース上に生成することと、を含む、方法。
【０１０１】
Ｃ２．
少なくとも１つの第１段階セキュリティモジュール、サイバー攻撃警告モジュール、及び少なくともビークルオペレータデータベースに接続された、少なくとも１つの第２段階セキュリティモジュールによって、第１のサイバー攻撃及び第２のサイバー攻撃のうちの一以上をビークルオペレーションデータと相関させて、少なくとも１つのサイバー攻撃動向を特定することと、
ビークル従業者にサイバー攻撃診断と復旧を実行させるよう、サイバー攻撃警告モジュールによって、少なくとも１つのサイバー攻撃動向についての別の通知をユーザインターフェース上に生成することと
を更に含む、段落Ｃ１に記載の方法。
【０１０２】
Ｃ３．
ビークルオペレーションデータがエアラインオペレーションデータである、段落Ｃ２に記載の方法。
【０１０３】
Ｃ４．
少なくとも１つの第２段階セキュリティモジュールが、少なくとも１つの第１段階セキュリティモジュール及びサイバー攻撃警告モジュールのうちの一以上と無線通信接続を介して通信する、段落Ｃ２に記載の方法。
【０１０４】
Ｃ５．
無線通信接続がクラウドベースの通信接続である、段落Ｃ４に記載の方法。
【０１０５】
Ｃ６．
少なくとも１つの第２段階セキュリティモジュールは、少なくとも１つの第１段階セキュリティモジュール及びサイバー攻撃警告モジュールのうちの一以上と有線通信接続を介して通信する、段落Ｃ２に記載の方法。
【０１０６】
Ｃ７．
少なくとも１つの第１段階セキュリティモジュールから少なくとも１つの第２段階セキュリティモジュールへのデータ転送が非同期通信である、段落Ｃ２に記載の方法。
【０１０７】
Ｃ８．
非同期通信が、少なくとも１つの第１段階セキュリティモジュールからのメッセージを、少なくとも１つの第２段階セキュリティモジュールによる消費のためにキューに保存することを含む、段落Ｃ７に記載の方法。
【０１０８】
Ｃ９．
第１のサイバー攻撃と第２のサイバー攻撃が同じタイプのサイバー攻撃を含む、段落Ｃ１に記載の方法。
【０１０９】
Ｃ１０．  
第１のサイバー攻撃が第１のタイプのサイバー攻撃を含み、第２のサイバー攻撃が第１のタイプのサイバー攻撃とは異なる第２のタイプのサイバー攻撃を含む、段落Ｃ１に記載の方法。
【０１１０】
Ｃ１１．
第１のサイバー攻撃及び第２のサイバー攻撃のうちの一以上が、ゼロデイ攻撃、サービス拒否、精緻／高度な持続的マルウェア、構造化照会言語（ＳＱＬ）インジェクション攻撃、セッションハイジャック・中間者攻撃、ネットワーク探査、ブルートフォースクラック、ランサムウェア、及び内部関係者脅威のうちの一以上を含む、段落Ｃ１に記載の方法。
【０１１１】
Ｃ１２．
少なくとも１つの第１段階セキュリティモジュールが、少なくとも１つのビークル群の各ビークルの追加又は除外に応じて、ビークルサイバー攻撃検知システムに付加されるか或いは除かれる、段落Ｃ１に記載の方法。
【０１１２】
Ｃ１３．
第２のサイバー攻撃異常検知モジュールの深層学習コンポーネントが人工ニューラルネットワークを含む、段落Ｃ１に記載の方法。
【０１１３】
Ｃ１４．
人工ニューラルネットワークが畳み込みニューラルネットワークを含む、段落Ｃ１３に記載の方法。
【０１１４】
Ｃ１５．
第１のサイバー攻撃異常検知モジュールが、
重複窓掛けシステムログデータの各窓がシステムログデータの各バッチを含む重複窓掛けシステムログデータの時系列を、システムログデータから生成し、
重複窓掛けシステムログデータの少なくとも１つの窓からのシステムログデータの各バッチから、抽出特徴を抽出し、
重複窓掛けシステムログデータの少なくとも１つの窓からのシステムログデータの各バッチから抽出した抽出特徴から、システムエントロピー測定値を求める、
段落Ｃ１に記載の方法。
【０１１５】
Ｃ１６．
抽出特徴が、システムログデータのうちの少なくとも幾つかの正規化を含む、段落Ｃ１に記載の方法。
【０１１６】
Ｃ１７．
抽出特徴の分類が、システムログデータの個々のログアイテムが第２のサイバー攻撃を示すかどうかを予測する、抽出特徴の二値分類である、段落Ｃ１に記載の方法。
【０１１７】
Ｃ１８．
少なくとも１つの第１段階セキュリティモジュールが、ビークルの複数の就航の間に、各ビークルの少なくとも１つの搭載システムと通信するように構成されている、段落Ｃ１に記載の方法。
【０１１８】
Ｃ１９．
少なくとも１つの第１段階セキュリティモジュールが、所定の時間的間隔で、各ビークルの少なくとも１つの搭載システムと通信するように構成されている、段落Ｃ１に記載の方法。
【０１１９】
Ｃ２０．
少なくとも１つの第１段階セキュリティモジュールが、各ビークルの少なくとも１つの搭載システムと無線通信接続を介して通信するように構成されている、段落Ｃ１に記載の方法。
【０１２０】
Ｃ２１．
無線通信接続がクラウドベースの通信接続である、段落Ｃ２０に記載の方法。
【０１２１】
Ｃ２２．
少なくとも１つの第１段階セキュリティモジュールが、各ビークルの少なくとも１つの搭載システムと有線通信接続を介して通信するように構成されている、段落Ｃ１に記載の方法。
【０１２２】
Ｃ２３．
サイバー攻撃警告モジュールが、少なくとも１つの第１段階セキュリティモジュールと無線通信接続を介して通信する、段落Ｃ１に記載の方法。
【０１２３】
Ｃ２４．
無線通信接続がクラウドベースの通信接続である、段落Ｃ２３に記載の方法。
【０１２４】
Ｃ２５．
サイバー攻撃警告モジュールが、少なくとも１つの第１段階セキュリティモジュールと有線通信接続を介して通信する、段落Ｃ１に記載の方法。
【０１２５】
上述の図面において様々な要素及び／又は構成要素を接続する実線が存在する場合、これら実線は、機械的、電気的、流体的、光学的、電磁的、ワイヤレス及びそれ以外の接続及び／又は組合せを表し得る。本書で使用する際、「接続される」とは、直接的にまたは間接的に関連付けられることを意味する。例えば、部材Ａは部材Ｂに直接的に関連付けられるか、又は例えば別の部材Ｃを介して間接的に関連付けられていてよい。開示される種々の要素間の関係が全て表されているわけではないことは、理解されるであろう。そのため、図示されているもの以外の接続も存在し得る。様々な要素及び／又は構成要素を示すブロックを接続する破線が存在する場合、これらの破線は、機能及び目的の点で実線によって表されているものに類似した接続を表す。しかし、破線によって表された接続は、選択的に提供されるか、又は、本開示の代替的な実施例に関するかのどちらかであり得る。同様に、破線で表された要素及び／又は構成要素が存在する場合、それらは本開示の代替的な実施例を示す。実線及び／又は破線で示される一以上の要素は、本開示の範囲から逸脱することなく、特定の例示から省略され得る。環境要素が存在する場合、それらは点線で表わされる。仮想（架空）の要素もまた、明確にするために図示され得る。ある図に示す特徴のうちの幾つかは、その図、他の図、及び／又は付随する記載に記載された他の特徴を含むことを必要とせずに、様々な方法で組み合わせることが可能であるが、一又は複数のかかる組み合わせは本書で明示的に示されていないことを、当業者は理解するであろう。同様に、提示されている実施例に限定されない追加的な特徴が、本書で示され説明されている特徴のうちの幾つか又は全てと組み合わされ得る。
【０１２６】
上記の図４，５Ａ，５Ｂ，８及び１０で、ブロックは動作及び／又はその一部を表すことが可能であり、様々なブロックを接続する線は、動作又はその一部のいかなる特定の順番又は依存性も暗示しない。破線で示されるブロックは、代替的な工程及び／又はその一部を表す。様々なブロックを繋ぐ破線が存在する場合、それらは工程又はその一部の代替的な従属関係を表す。様々な開示された工程間のすべての従属関係が必ずしも表わされるわけではないことを理解されよう。本書に明記された一又は複数の方法の実施を説明する、図４，５Ａ，５Ｂ，８及び１０並びにこれらに付随する記載は、必ずしも、動作が実行されるシーケンスを決定すると解釈すべきではない。むしろ、１つの例示的な順番が示されていても、工程の配列は、適切な場合には改変され得ると理解されたい。そのため、ある工程が異なる順番で又は実質的に同時に実行され得る。更に、当業者であれば、記載された全ての工程を実施する必要はないことを認識するであろう。
【０１２７】
以下の説明において、記載されている概念の完全な理解を提供するために、多数の特定の詳細が明記されるが、その概念はこれらの特定事項の一部又は全てがなくとも実践されうる。他の事例においては、開示を不必要に分かりにくくすることを避けるために、既知のデバイス及び／又はプロセスの詳細が省略されている。幾つかの概念は特定の実施例と関連付けて説明されるが、これらの実施例は限定を意図していないことが理解されよう。
【０１２８】
別途提示されない限り、「第１」「第２」などの語は、本書では単に符号として使用され、それらの語が表すアイテムに順序的、位置的、又は序列的な要件を課すことは意図していない。更に、例えば、「第２」のアイテムが言及された場合、例えば、「第１」の若しくはより小さい数のアイテム、及び／又は、「第３」の若しくはより大きい数のアイテムが必要とされたり、除外されたりすることはない。
【０１２９】
本書の「一実施例」への言及は、当該実施例に関連して説明される一又は複数の特徴、構造又は特性が、少なくとも１つの実行形態に含まれることを意味する。明細書内に頻出する「一実施例」という表現は、同一の実施例を表すか、又はそうではないこともある。
【０１３０】
本明細書において、特定の機能を実施するように「構成／設定された」システム、装置、構造、物品、要素、構成要素、又はハードウェアは、実際には、任意の変更も伴わずにその特定の機能を実施することが可能であり、さらなる改変の後にその特定の機能を実施する可能性があるにすぎないというものではない。言い換えると、特定の機能を実施するように「構成／設定された」システム、装置、構造、物品、要素、構成要素、又はハードウェアは、その特定の機能を実施するという目的のために、特に選択、創出、実装、利用、プログラミング、且つ／又は設計される。本明細書において、「ように構成／設定された（ｃｏｎｆｉｇｕｒｅｄ  ｔｏ）」という表現は、システム、装置、構造、物品、要素、構成要素、又はハードウェアがさらなる改変なしで特定の機能を実行することを可能にする、システム、装置、構造、物品、要素、構成要素、又はハードウェアの既存の特性を意味する。この開示の目的のために、特定の機能を実施するように「構成／設定されている」と説明されたシステム、装置、構造、物品、要素、構成要素、又はハードウェアは、追加的又は代替的には、その機能を実施するよう「適合している（ａｄａｐｔｅｄ  ｔｏ）」、且つ／又は「動作可能である（ｏｐｅｒａｔｉｖｅ  ｔｏ）」と説明してもよい。
【０１３１】
本書で開示されている装置及び方法の種々の実施例は、多種多様な構成要素、特徴及び機能を含む。本明細書で開示された装置及び方法の様々な実施例は、本明細書で開示された装置及び方法のその他の任意の実施例の任意の構成要素、特徴、及び機能を任意の組み合わせで含んでもよく、かかる可能性は全て本開示の範囲内に含まれることが意図されていることを理解すべきである。
【０１３２】
上記の説明及び添付図面に提示された教示を利用して、本開示が関係する当業者には、本明細書に明記された実施例の多数の修正例が、想起されるであろう。
【０１３３】
したがって、本開示は例示された特定の実施例に限定されることがないことと、修正例及びその他の実施例は添付の特許請求の範囲内に含まれることが意図されていることとを理解されたい。さらに、上述の記載及びこれに関連する図面では、要素及び／または機能の特定の例示的な組み合わせに照らして本開示の実施例が記載されているが、添付の特許請求の範囲から逸脱することなく、代替的な実装形態によって、要素及び／又は機能の異なる組み合わせを提供することができることを理解するべきである。そのため、添付の特許請求の範囲において括弧書きされた参照番号は、例示目的でのみ提示されており、特許請求される主題の範囲を本開示で提供される特定の実施例に限定することを意図するものではない。
【図１】
2019145081.tif 000003
【図２】
2019145081.tif 000004
【図３Ａ】
2019145081.tif 000005
【図３Ｂ】
2019145081.tif 000006
【図４】
2019145081.tif 000007
【図５Ａ】
2019145081.tif 000008
【図５Ｂ】
2019145081.tif 000009
【図６】
2019145081.tif 000010
【図７】
2019145081.tif 000011
【図８】
2019145081.tif 000012
【図９】
2019145081.tif 000013
【図１０】
2019145081.tif 000014
【外国語明細書】
2019145081000001.pdf
2019145081000002.pdf
2019145081000003.pdf
2019145081000004.pdf