(57)【要約】  モビリティネットワークを流れるＥｔｈｅｒｎｅｔフレームから統計情報を生成する統計情報生成装置（１００Ａ）は、Ｅｔｈｅｒｎｅｔフレームを送受信する送受信部（１０１Ａ）と、送受信部（１０１Ａ）が所定の時間内に送信もしくは受信するＥｔｈｅｒｎｅｔフレームを複数収集し、収集した複数のＥｔｈｅｒｎｅｔフレームのうち、Ｅｔｈｅｒｎｅｔフレームに含まれる宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、および、プロトコルが同一であり、かつ、Ｅｔｈｅｒｎｅｔフレームのペイロードに含まれるモビリティ制御に関わる識別情報が同一である複数のＥｔｈｅｒｎｅｔフレームを、同じグループに分類し、グループに分類した複数のＥｔｈｅｒｎｅｔフレームからグループごとに統計情報を生成し、生成した統計情報を送受信部（１０１Ａ）により送信する、統計情報生成部（１０６Ａ）とを備える。
2020137304.tif 000002
【特許請求の範囲】
【請求項１】
モビリティネットワークを流れるＥｔｈｅｒｎｅｔ（登録商標）フレームから統計情報を生成する統計情報生成装置であって、
前記Ｅｔｈｅｒｎｅｔフレームを送受信する送受信部と、
（ａ）前記送受信部が所定の時間内に送信もしくは受信する前記Ｅｔｈｅｒｎｅｔフレームを複数収集し、収集した複数の前記Ｅｔｈｅｒｎｅｔフレームのうち、前記Ｅｔｈｅｒｎｅｔフレームに含まれる宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、および、プロトコルが同一であり、かつ、前記Ｅｔｈｅｒｎｅｔフレームのペイロードに含まれるモビリティ制御に関わる識別情報が同一である複数の前記Ｅｔｈｅｒｎｅｔフレームを、同じグループに分類し、
（ｂ）前記グループに分類した複数の前記Ｅｔｈｅｒｎｅｔフレームからグループごとに統計情報を生成し、
（ｃ）生成した前記統計情報を前記送受信部により送信する、統計情報生成部とを備える
統計情報生成装置。
【請求項２】
前記統計情報生成部は、第一モードおよび第二モードのいずれかの動作モードで前記統計情報を生成し、
前記第一モードでは、
（ｄ）前記送受信部が所定の時間内に送信もしくは受信する前記Ｅｔｈｅｒｎｅｔフレームを複数収集し、収集した複数の前記Ｅｔｈｅｒｎｅｔフレームのうち前記Ｅｔｈｅｒｎｅｔフレームに含まれる宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、および、プロトコルが同一である複数の前記Ｅｔｈｅｒｎｅｔフレームを、同じグループに分類し、
（ｅ）前記グループに分類した複数の前記Ｅｔｈｅｒｎｅｔフレームからグループごとに統計情報を生成し、
（ｆ）生成した前記統計情報を前記送受信部により送信し、
前記第二モードでは、
前記（ａ）、前記（ｂ）および前記（ｃ）により前記統計情報を送信する
請求項１に記載の統計情報生成装置。
【請求項３】
前記統計情報生成部は、
所定の条件が満たされるか否かを判定し、
前記所定の条件が満たされると判定した場合に、前記動作モードを、前記第一モードと前記第二モードとの一方から他方へ切り替える
請求項２に記載の統計情報生成装置。
【請求項４】
前記統計情報生成部は、
動作モードを切り替える指示を含むＥｔｈｅｒｎｅｔフレームを前記送受信部により受信したという条件を、前記所定の条件として用いて、前記判定をする
請求項３に記載の統計情報生成装置。
【請求項５】
前記統計情報生成部は、
前記モビリティネットワーク内で異常が発生したことを検知したという条件を、前記所定の条件として用いて、前記判定をし、
前記条件が満たされたと判定した場合に、前記第一モードから前記第二モードへ切り替える
請求項３に記載の統計情報生成装置。
【請求項６】
前記統計情報生成部は、さらに、
送信元ＩＰアドレスもしくは宛先ＩＰアドレスが所定のＩＰアドレスである一のＥｔｈｅｒｎｅｔフレームを前記送受信部が受信したと判定した場合に、前記一のＥｔｈｅｒｎｅｔフレームについては、前記第二モードで統計情報を生成する
請求項２〜５のいずれか１項に記載の統計情報生成装置。
【請求項７】
前記統計情報生成部は、さらに、
モビリティ制御指示に関する一のＥｔｈｅｒｎｅｔフレームを前記送受信部が受信したと判定した場合に、前記一のＥｔｈｅｒｎｅｔフレームについては、前記第二モードで統計情報を生成する
請求項２〜５のいずれか１項に記載の統計情報生成装置。
【請求項８】
モビリティネットワークを流れるＥｔｈｅｒｎｅｔフレームから統計情報を生成する統計情報生成装置が実行する統計情報生成方法であって、
前記統計情報生成装置は、
前記Ｅｔｈｅｒｎｅｔフレームを送受信する送受信部を備え、
前記統計情報生成方法は、
（ａ）前記送受信部が所定の時間内に送信もしくは受信する前記Ｅｔｈｅｒｎｅｔフレームを複数収集し、収集した複数の前記Ｅｔｈｅｒｎｅｔフレームのうち、前記Ｅｔｈｅｒｎｅｔフレームに含まれる宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、および、プロトコルが同一であり、かつ、前記Ｅｔｈｅｒｎｅｔフレームのペイロードに含まれるモビリティ制御に関わる識別情報が同一である複数の前記Ｅｔｈｅｒｎｅｔフレームを、同じグループに分類し、
（ｂ）前記グループに分類した複数の前記Ｅｔｈｅｒｎｅｔフレームからグループごとに統計情報を生成し、
（ｃ）生成した前記統計情報を前記送受信部により送信する
統計情報生成方法。
【請求項９】
請求項８に記載の統計情報生成方法をコンピュータに実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、統計情報生成装置、統計情報生成方法、および、プログラムに関する。
【背景技術】
【０００２】
近年、ＣＡＮとＥｔｈｅｒｎｅｔ（登録商標）が混在する車載ネットアーキテクチャがある（例えば特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１２−６４４６号公報
【非特許文献】
【０００４】
【非特許文献１】Specification of the IP Flow Information Export (IPFIX) Protocol for the Exchange of Flow Information (RFC7011)
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、車載ネットワーク上に流れるトラフィック全体を把握することができないという問題がある。また、車載ネットワーク上で起きている異常の内容を把握することが困難であるという問題がある。なお、この問題は、車載ネットワークに限らず、広くモビリティネットワークにおいて起こり得る。【０００６】
そこで、本発明は、モビリティネットワークにおける異常を適切に分析する統計情報生成装置などを提供する。
【課題を解決するための手段】
【０００７】
本発明の一態様に係る統計情報生成装置は、モビリティネットワークを流れるＥｔｈｅｒｎｅｔフレームから統計情報を生成する統計情報生成装置であって、前記Ｅｔｈｅｒｎｅｔフレームを送受信する送受信部と、（ａ）前記送受信部が所定の時間内に送信もしくは受信する前記Ｅｔｈｅｒｎｅｔフレームを複数収集し、収集した複数の前記Ｅｔｈｅｒｎｅｔフレームのうち、前記Ｅｔｈｅｒｎｅｔフレームに含まれる宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、および、プロトコルが同一であり、かつ、前記Ｅｔｈｅｒｎｅｔフレームのペイロードに含まれるモビリティ制御に関わる識別情報が同一である複数の前記Ｅｔｈｅｒｎｅｔフレームを、同じグループに分類し、（ｂ）前記グループに分類した複数の前記Ｅｔｈｅｒｎｅｔフレームからグループごとに統計情報を生成し、（ｃ）生成した前記統計情報を前記送受信部により送信する、統計情報生成部とを備える。【０００８】
なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ−ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。
【発明の効果】
【０００９】
本発明の統計情報生成装置は、モビリティネットワークにおける異常を適切に分析することができる。
【図面の簡単な説明】
【００１０】
【図１】図１は、実施の形態における車載ネットワークの全体構成図である。
【図２】図２は、実施の形態におけるＣＡＮフレームのフォーマットを示す説明図である。
【図３】図３は、実施の形態におけるＥｔｈｅｒｎｅｔフレームのフレームフォーマットを示す説明図である。
【図４】図４は、実施の形態におけるＣＡＮゲートウェイによるフレームの変換処理を示す説明図である。
【図５】図５は、実施の形態におけるＣＡＮゲートウェイの構成を示すブロック図である。
【図６】図６は、実施の形態における自動運転ＤＣＵの構成を示すブロック図である。
【図７】図７は、実施の形態におけるセントラルゲートウェイの構成を示すブロック図である。
【図８】図８は、実施の形態における動作モードの切替条件を示す図である。
【図９】図９は、実施の形態における統計情報の生成および送信の処理を示すフロー図である。
【図１０】図１０は、実施の形態における統計情報生成の処理を詳細に示すフロー図である。
【図１１】図１１は、実施の形態における統計情報を利用した異常検知に係る、車両内の各装置の処理を示すフロー図である。
【図１２】図１２は、実施の形態における、統計情報生成部が通常モードにおいて生成した統計情報の例を示す説明図である。
【図１３】図１３は、実施の形態におけるＥｔｈｅｒｎｅｔフレームのデータフィールドにＣＡＮメッセージが含まれる場合のフローの分類の例を示す図である。
【図１４】図１４は、実施の形態における、統計情報生成部が拡張モードにおいて生成し、統計情報収集部が収集した統計情報の例を示す説明図である。
【図１５】図１５は、実施の形態における異常検知ルールを含むルールテーブルの例を示す説明図である。
【図１６】図１６は、実施の形態におけるサーバにおける統計情報を用いた監視画面の第一例を示す説明図である。
【図１７】図１７は、実施の形態におけるサーバにおける統計情報を用いた監視画面の第二例を示す説明図である。
【図１８】図１８は、実施の形態の変形例１におけるＳＯＭＥ／ＩＰメッセージを含むＥｔｈｅｒｎｅｔフレームのフレームフォーマットを示す説明図である。
【図１９】図１９は、実施の形態の変形例１におけるＳＯＭＥ／ＩＰ通信についての統計情報の生成および送信の処理を示すフロー図である。
【図２０】図２０は、実施の形態の変形例２における統計情報生成装置の構成を示すブロック図である。
【図２１】図２１は、実施の形態の変形例２における統計情報生成方法の処理を示すフロー図である。
【発明を実施するための形態】
【００１１】
（本発明の基礎となった知見）
本発明者は、「背景技術」の欄において記載した車載ネットアーキテクチャに関し、以下の問題が生じることを見出した。
【００１２】
近年、自動車の中のシステムには、電子制御ユニット（ＥＣＵ：Electronic Control Unit）と呼ばれる装置が多数配置されている。これらのＥＣＵをつなぐネットワークは車載ネットワークと呼ばれる。
【００１３】
車載ネットワークには、多数の規格が存在する。その中でも最も主流な車載ネットワークの一つに、ＩＳＯ１１８９８−１で規定されているＣＡＮ（Controller Area Network）という規格が存在する。一方、より多くの情報を伝送するための規格として、ＩＥＥＥ  ８０２．３で規定されているＥｔｈｅｒｎｅｔ（登録商標）という規格が存在する。
【００１４】
先進運転支援システム又は自動運転においては、カメラ若しくはＬＩＤＡＲ（Light Detection and Ranging）などのセンサーが取得したデータ、又は、ダイナミックマップなどに関連する膨大な情報を処理する必要がある。そのため、データ伝送速度が高いＥｔｈｅｒｎｅｔの車載ネットワークへの導入が進んでいる。一方で、従来から存在するＣＡＮも車両制御系としては利用され続ける。そのため、ＣＡＮとＥｔｈｅｒｎｅｔとが混在する車載ネットアーキテクチャが増えている。
【００１５】
ところで、自動車の外部ネットワークと接続され、そして電子制御化が進むことにより、自動車の制御系コマンドを疑似することで自動車が不正に操作される脅威がある。
【００１６】
ＩＴネットワークにおいて、ネットワーク全体のトラフィックを監視する方法としてＩＰＦＩＸという仕様がある（非特許文献１参照）。ＩＰＦＩＸでは、送信元および宛先のＩＰアドレス、送信元および宛先のポート番号、並びに、プロトコル（５−ｔｕｐｌｅｓ）が同一の通信パケット（又は通信フレーム）を同じグループとして分類する。そして、そのグループに属する通信パケットからフロー情報と呼ばれる統計情報を生成し、生成したフロー情報をコレクターと呼ばれる端末へ送信し、コレクター上でネットワークのトラフィックを監視する方法が知られている。なお、通信パケットを単にパケットともいい、通信フレームを単にフレームともいう。
【００１７】
しかし、５−ｔｕｐｌｅｓによる分類では、詳細なトラフィックの分析が困難である。特に車載ネットワークの場合は、５−ｔｕｐｌｅｓの内容が同一であっても、Ｅｔｈｅｒｎｅｔフレームのペイロードに含まれる、車両を制御するＣＡＮメッセージは異なるものが格納されているケースがある。このようなケースにおいては、Ｅｔｈｅｒｎｅｔフレームのペイロードに含まれる車両を制御するＣＡＮメッセージの種別ごとにトラフィックを監視することができず、異常が検知できたとしても、どのような異常が発生したのかの詳細を把握することが困難である。
【００１８】
また、特許文献１では、車両ネットワーク上での異常検知箇所を特定するために、ゲートウェイで受信したメッセージの送信元情報を外部の診断装置に送信している。しかし、送信元のメッセージに応じて生成した統計情報を用いた異常検知を行っていない。そのため、車載ネットワーク上に流れるトラフィック全体を把握することができず、また、どのような異常が起きているか、言い換えれば異常内容を把握することが困難である。
【００１９】
そこで、本発明は、モビリティネットワークにおける異常を適切に分析する統計情報生成装置などを提供する。
【００２０】
このような問題を解決するために、本発明の一態様に係る統計情報生成装置は、モビリティネットワークを流れるＥｔｈｅｒｎｅｔフレームから統計情報を生成する統計情報生成装置であって、前記Ｅｔｈｅｒｎｅｔフレームを送受信する送受信部と、（ａ）前記送受信部が所定の時間内に送信もしくは受信する前記Ｅｔｈｅｒｎｅｔフレームを複数収集し、収集した複数の前記Ｅｔｈｅｒｎｅｔフレームのうち、前記Ｅｔｈｅｒｎｅｔフレームに含まれる宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、および、プロトコルが同一であり、かつ、前記Ｅｔｈｅｒｎｅｔフレームのペイロードに含まれるモビリティ制御に関わる識別情報が同一である複数の前記Ｅｔｈｅｒｎｅｔフレームを、同じグループに分類し、（ｂ）前記グループに分類した複数の前記Ｅｔｈｅｒｎｅｔフレームからグループごとに統計情報を生成し、（ｃ）生成した前記統計情報を前記送受信部により送信する、統計情報生成部とを備える。
【００２１】
上記態様によれば、統計情報生成装置は、５−ｔｕｐｌｅｓ（宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、および、プロトコル）の情報に加えて、モビリティ制御に関わる識別情報をも考慮して、複数のＥｔｈｅｒｎｅｔフレームを単位として統計情報を生成する。よって、５−ｔｕｐｌｅｓの情報だけを考慮して統計情報を生成する場合よりも、より詳細な単位で統計情報を生成することができる。このように生成した統計情報を用いれば、５−ｔｕｐｌｅｓの情報だけを考慮して生成された統計情報よりも、より詳細な分析が可能となり、より精密に異常を検知することができる。よって、統計情報生成装置は、モビリティネットワークにおける異常を適切に分析することができる。
【００２２】
例えば、前記統計情報生成部は、第一モードおよび第二モードのいずれかの動作モードで前記統計情報を生成し、前記第一モードでは、（ｄ）前記送受信部が所定の時間内に送信もしくは受信する前記Ｅｔｈｅｒｎｅｔフレームを複数収集し、収集した複数の前記Ｅｔｈｅｒｎｅｔフレームのうち前記Ｅｔｈｅｒｎｅｔフレームに含まれる宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、および、プロトコルが同一である複数の前記Ｅｔｈｅｒｎｅｔフレームを、同じグループに分類し、（ｅ）前記グループに分類した複数の前記Ｅｔｈｅｒｎｅｔフレームからグループごとに統計情報を生成し、（ｆ）生成した前記統計情報を前記送受信部により送信し、前記第二モードでは、前記（ａ）、前記（ｂ）および前記（ｃ）により前記統計情報を送信してもよい。
【００２３】
上記態様によれば、統計情報生成装置は、あるタイミングでは５−ｔｕｐｌｅｓの情報を考慮してモビリティネットワークのフローの統計情報を生成することができ、別のあるタイミングでは５−ｔｕｐｌｅｓの情報とモビリティ制御に関わる識別情報とを考慮して統計情報を生成することができる。このようにして統計情報生成装置は、従来の（つまり通常の）統計情報の生成とそれに基づく分析をすることができるとともに、必要に応じて、詳細な統計情報の生成とそれに基づく精密な分析をも行うことができる。このように、統計情報生成装置は、モビリティネットワークにおける異常をより一層適切に分析することができる。
【００２４】
例えば、前記統計情報生成部は、所定の条件が満たされるか否かを判定し、前記所定の条件が満たされると判定した場合に、前記動作モードを、前記第一モードと前記第二モードとの一方から他方へ切り替えてもよい。
【００２５】
上記態様によれば、統計情報生成装置は、所定の条件が満たされた場合に、詳細な統計情報の生成とそれに基づく精密な分析を行うように、動作モードを切り替えることができる。精密な分析が必要となる状況を表現する条件を、所定の条件として用いるようにすれば、統計情報生成装置は、精密な分析が必要であるときに、精密な分析を行うように動作モードを切り替えることができる。このように、統計情報生成装置は、モビリティネットワークにおける異常をより一層適切に分析することができる。
【００２６】
例えば、前記統計情報生成部は、動作モードを切り替える指示を含むＥｔｈｅｒｎｅｔフレームを前記送受信部により受信したという条件を、前記所定の条件として用いて、前記判定をしてもよい。
【００２７】
上記態様によれば、統計情報生成装置は、切替指示を受信した場合に、切替指示に従って動作モードを切り替えることができる。切替指示は、ＥＣＵ又は外部のサーバなどから送信され得るので、統計情報生成装置は、ＥＣＵ又は外部のサーバなどからの切替指示に従って異常を分析することができる。このように、統計情報生成装置は、モビリティネットワークにおける異常をより適切に分析することができる。
【００２８】
例えば、前記統計情報生成部は、前記モビリティネットワーク内で異常が発生したことを検知したという条件を、前記所定の条件として用いて、前記判定をし、前記条件が満たされたと判定した場合に、前記第一モードから前記第二モードへ切り替えてもよい。
【００２９】
上記態様によれば、統計情報生成装置は、モビリティネットワーク内で発生し得る異常の検知に基づいて、精密な分析を行うように動作モードを切り替えることができる。このように、統計情報生成装置は、モビリティネットワークにおける異常をより適切に分析することができる。
【００３０】
例えば、前記統計情報生成部は、さらに、送信元ＩＰアドレスもしくは宛先ＩＰアドレスが所定のＩＰアドレスである一のＥｔｈｅｒｎｅｔフレームを前記送受信部が受信したと判定した場合に、前記一のＥｔｈｅｒｎｅｔフレームについては、前記第二モードで統計情報を生成してもよい。
【００３１】
上記態様によれば、統計情報生成装置は、特定のＩＰアドレスを宛先または送信元とするＥｔｈｅｒｎｅｔフレームに対して、精密な分析を行うことができる。例えば、詳細に解析したい特定のＩＰアドレスを含んだＥｔｈｅｒｎｅｔフレームについてペイロードまで含めて統計情報が生成されるので、不正な車両制御指示が流れているか否か、又は、車両が攻撃されているか否かを監視することが可能となる。このように、統計情報生成装置は、モビリティネットワークにおける異常をより適切かつ柔軟に分析することができる。
【００３２】
例えば、前記統計情報生成部は、さらに、モビリティ制御指示に関する一のＥｔｈｅｒｎｅｔフレームを前記送受信部が受信したと判定した場合に、前記一のＥｔｈｅｒｎｅｔフレームについては、前記第二モードで統計情報を生成してもよい。
【００３３】
上記態様によれば、統計情報生成装置は、特定のモビリティ制御指示に関するＥｔｈｅｒｎｅｔフレームに対して、精密な分析を行うことができる。例えば、走る、曲がる、止まるといった車両制御を司るＥＣＵから送信される、もしくは、上記ＥＣＵへ送信されるＥｔｈｅｒｎｅｔフレームについてペイロードまで含めた統計情報が生成されるので、不正な車両制御指示が流れているか否か監視することが可能となる。このように、統計情報生成装置は、モビリティネットワークにおける異常をより適切かつ柔軟に分析することができる。
【００３４】
また、本発明の一態様に係る統計情報生成方法は、モビリティネットワークを流れるＥｔｈｅｒｎｅｔフレームから統計情報を生成する統計情報生成装置が実行する統計情報生成方法であって、前記統計情報生成装置は、前記Ｅｔｈｅｒｎｅｔフレームを送受信する送受信部を備え、前記統計情報生成方法は、（ａ）前記送受信部が所定の時間内に送信もしくは受信する前記Ｅｔｈｅｒｎｅｔフレームを複数収集し、収集した複数の前記Ｅｔｈｅｒｎｅｔフレームのうち、前記Ｅｔｈｅｒｎｅｔフレームに含まれる宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、および、プロトコルが同一であり、かつ、前記Ｅｔｈｅｒｎｅｔフレームのペイロードに含まれるモビリティ制御に関わる識別情報が同一である複数の前記Ｅｔｈｅｒｎｅｔフレームを、同じグループに分類し、（ｂ）前記グループに分類した複数の前記Ｅｔｈｅｒｎｅｔフレームからグループごとに統計情報を生成し、（ｃ）生成した前記統計情報を前記送受信部により送信する。
【００３５】
これにより、上記統計情報生成装置と同様の効果を奏する。
【００３６】
また、本発明の一態様に係るプログラムは、上記の統計情報生成方法をコンピュータに実行させるためのプログラムである。
【００３７】
これにより、上記統計情報生成装置と同様の効果を奏する。
【００３８】
なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ−ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムまたは記録媒体の任意な組み合わせで実現されてもよい。
【００３９】
以下、実施の形態について、図面を参照しながら具体的に説明する。
【００４０】
なお、以下で説明する実施の形態は、いずれも包括的または具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、本発明を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。
【００４１】
（実施の形態）
本実施の形態において、モビリティネットワークにおける異常を適切に分析する統計情報生成装置について説明する。
【００４２】
本実施の形態における統計情報生成装置は、モビリティネットワークを流れるＥｔｈｅｒｎｅｔフレームから統計情報を生成する装置であり、送受信部と、統計情報生成部とを備える。
【００４３】
送受信部は、Ｅｔｈｅｒｎｅｔフレームを送受信する。
【００４４】
統計情報生成部は、（ａ）送受信部が所定の時間内に送信もしくは受信するＥｔｈｅｒｎｅｔフレームを複数収集し、収集した複数のＥｔｈｅｒｎｅｔフレームのうち、Ｅｔｈｅｒｎｅｔフレームに含まれる宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、および、プロトコルが同一であり、かつ、Ｅｔｈｅｒｎｅｔフレームのペイロードに含まれるモビリティ制御に関わる識別情報が同一である複数のＥｔｈｅｒｎｅｔフレームを、同じグループに分類する。また、（ｂ）グループに分類した複数のＥｔｈｅｒｎｅｔフレームからグループごとに統計情報を生成する。そして、（ｃ）生成した統計情報を送受信部により送信する。
【００４５】
また、統計情報生成部は、第一モードおよび第二モードのいずれかの動作モードで統計情報を生成してもよい。ここで、第一モードでは、（ｄ）送受信部が所定の時間内に送信もしくは受信するＥｔｈｅｒｎｅｔフレームを複数収集し、収集した複数のＥｔｈｅｒｎｅｔフレームのうちＥｔｈｅｒｎｅｔフレームに含まれる宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、および、プロトコルが同一である複数のＥｔｈｅｒｎｅｔフレームを、同じグループに分類する。また、（ｅ）グループに分類した複数のＥｔｈｅｒｎｅｔフレームからグループごとに統計情報を生成する。そして、（ｆ）生成した統計情報を送受信部により送信する。また、第二モードでは、上記（ａ）、（ｂ）および（ｃ）により統計情報を送信する。
【００４６】
なお、第一モードは、ＩＰＦＩＸに従ってフロー情報を生成する通常モードに相当し、５−ｔｕｐｌｅｓの内容に基づいてフローを分類してフロー情報を生成するモードである。また、第二モードは、Ｅｔｈｅｒｎｅｔペイロードの内容に応じてフロー情報を生成する拡張モードに相当し、５−ｔｕｐｌｅｓの内容およびデータに含まれる識別情報に基づいてフローを分類してフロー情報を生成するモードである。
【００４７】
また、統計情報生成部は、所定の条件が満たされるか否かを判定し、所定の条件が満たされると判定した場合に、動作モードを、第一モードと第二モードとの一方から他方へ切り替えてもよい。
【００４８】
また、統計情報生成部は、動作モードを切り替える指示を含むＥｔｈｅｒｎｅｔフレームを送受信部により受信したという条件を、所定の条件として用いて、上記判定をしてもよい。
【００４９】
また、統計情報生成部は、モビリティネットワーク内で異常が発生したことを検知したという条件を、所定の条件として用いて、上記判定をし、上記条件が満たされたと判定した場合に、第一モードから第二モードへ切り替えてもよい。
【００５０】
また、統計情報生成部は、さらに、送信元ＩＰアドレスもしくは宛先ＩＰアドレスが所定のＩＰアドレスである一のＥｔｈｅｒｎｅｔフレームを送受信部が受信したと判定した場合に、上記一のＥｔｈｅｒｎｅｔフレームについては、第二モードで統計情報を生成してもよい。
【００５１】
また、統計情報生成部は、さらに、モビリティ制御指示に関する一のＥｔｈｅｒｎｅｔフレームを送受信部が受信したと判定した場合に、上記一のＥｔｈｅｒｎｅｔフレームについては、第二モードで統計情報を生成してもよい。
【００５２】
以降において、モビリティネットワークである車載ネットワークの構成における統計情報生成装置について具体的に説明する。
【００５３】
図１は、本実施の形態における車載ネットワークの全体構成図である。車両１の車載ネットワークは、Ｅｔｈｅｒｎｅｔ１０とＣＡＮ２０とを含んで構成される。
【００５４】
車両１は、１以上のＥＣＵおよび１以上のＤＣＵ（Domain Control Unit）を備える。
【００５５】
具体的には、車両１は、自動運転ＤＣＵ１００と、自動運転ＥＣＵ１１０と、カメラ１２０と、ＬＩＤＡＲ１３０と、ダイナミックマップＥＣＵ１４０と、ＣＡＮゲートウェイ２００と、エンジンＥＣＵ２１０と、ステアリングＥＣＵ２２０と、ブレーキＥＣＵ２３０と、ウィンドウＥＣＵ２４０と、インフォテインメントＤＣＵ３００と、ＩＶＩ３１０と、セントラルゲートウェイ４００と、テレマティクスコントロールユニット４１０と、診断ポート４２０とを備える。
【００５６】
自動運転ＤＣＵ１００と、ＣＡＮゲートウェイ２００と、セントラルゲートウェイ４００とのそれぞれが、統計情報生成装置に相当する。
【００５７】
セントラルゲートウェイ４００には、テレマティクスコントロールユニット４１０と診断ポート４２０と、自動運転ＤＣＵ１００と、ＣＡＮゲートウェイ２００と、インフォテインメントＤＣＵ３００とが、Ｅｔｈｅｒｎｅｔ１０で接続される。
【００５８】
テレマティクスコントロールユニット４１０は、車両１が外部ネットワーク３０に接続されたサーバ２と通信するためユニットであり、本実施の形態では、携帯電話網又はＷｉＦｉ（登録商標）などの通信インタフェースを含む。
【００５９】
診断ポート４２０は、ディーラが車両１の故障診断に使うためのポートであり、診断用のコマンドの送受信に利用されるポートである。
【００６０】
自動運転ＤＣＵ１００には、自動運転ＥＣＵ１１０と、車外の状況を撮影するカメラ１２０と、車外の障害物を感知するためのＬＩＤＡＲ１３０と、ダイナミックマップの受信や制御をするためのダイナミックマップＥＣＵ１４０とが、Ｅｔｈｅｒｎｅｔ１０で接続されている。
【００６１】
ＣＡＮゲートウェイ２００は、ＣＡＮ２０とＥｔｈｅｒｎｅｔ１０とに接続されている。ＣＡＮゲートウェイ２００は、本実施の形態では、制御系バスとボディ系バスとの２本のＣＡＮバスに接続されている。制御系バスには、エンジンＥＣＵ２１０と、ステアリングＥＣＵ２２０と、ブレーキＥＣＵ２３０とが接続されている。ボディ系バスには、ウィンドウ開閉を制御するウィンドウＥＣＵ２４０が接続されている。
【００６２】
インフォテインメントＤＣＵ３００は、ＩＶＩ（In-Vehicle Infotainment）３１０とＥｔｈｅｒｎｅｔ１０で接続されており、情報系ネットワークのドメイン管理を行う。
【００６３】
図２は、本実施の形態におけるＣＡＮのフレームフォーマットを示す説明図である。
【００６４】
ＣＡＮのフレームフォーマットには、一般に、図２の（ａ）に示される標準フォーマットと、図２の（ｂ）に示される拡張フォーマットとが存在する。本実施の形態では、ＣＡＮフレームが標準フォーマットを有するとして説明するが、拡張フォーマットを有してもよい。
【００６５】
図３は、本実施の形態におけるＥｔｈｅｒｎｅｔフレームのフレームフォーマットを示す説明図である。
【００６６】
Ｅｔｈｅｒｎｅｔフレームは、Ｅｔｈｅｒｎｅｔヘッダーと、ＩＰヘッダーと、ＴＣＰヘッダーまたはＵＤＰヘッダーと、データとを含んで構成される。
【００６７】
Ｅｔｈｅｒｎｅｔヘッダーは、宛先ＭＡＣアドレスと送信元ＭＡＣアドレスとを含む。
【００６８】
ＩＰヘッダーは、送信元ＩＰアドレスと宛先アドレスとを含む。
【００６９】
ＴＣＰヘッダーまたはＵＤＰヘッダーは、送信元ポート番号と宛先ポート番号とを含む。
【００７０】
データ、つまり、Ｅｔｈｅｒｎｅｔペイロード（より特定的には、ＴＣＰペイロード又はＵＤＰペイロード）には、当該Ｅｔｈｅｒｎｅｔフレームによって運ばれるデータが格納される。データには、例えば、車両制御が行われるタイミングでは、ＣＡＮフレームが格納される。また、データには、例えば、カメラ映像、ＬｉＤＡＲ、センサー又はダイナミックマップの情報が格納されてもよい。本実施の形態では、ＣＡＮフレームが格納されるケースとして説明する。
【００７１】
図４は、本実施の形態におけるＣＡＮゲートウェイ２００によるフレームの変換処理を示す説明図である。具体的には、図４は、ＣＡＮゲートウェイ２００が入出力するフレームを示す図である。
【００７２】
ＣＡＮゲートウェイ２００は、ＣＡＮ２０からＣＡＮフレームを受信すると、Ｎ個のＣＡＮフレームを連結してＥｔｈｅｒｎｅｔフレームのデータとして設定する。そして、ＣＡＮの情報をＥｔｈｅｒｎｅｔ上に接続される所望の宛先に、ＥｔｈｅｒｎｅｔフレームとしてＥｔｈｅｒｎｅｔ送受信部２０１を介して送信する。なお、Ｎは予め決められた整数値である。
【００７３】
また、ＣＡＮゲートウェイ２００は、上記の逆の経路として、Ｅｔｈｅｒｎｅｔ１０からＥｔｈｅｒｎｅｔフレームを受信すると、ＥｔｈｅｒｎｅｔフレームのデータにＣＡＮフレームが格納されているか否かを判定する。ＣＡＮフレームが格納されていた場合には、格納されているＣＡＮフレームを抽出して、ＣＡＮバスへ送信する。
【００７４】
図５は、本実施の形態におけるＣＡＮゲートウェイ２００の構成を示すブロック図である。
【００７５】
図５に示されるように、ＣＡＮゲートウェイ２００は、Ｅｔｈｅｒｎｅｔ送受信部２０１と、ＣＡＮ送受信部２０２及び２０２Ａと、転送判断部２０３と、転送ルール保持部２０４と、統計情報生成部２０６とを備える。
【００７６】
ＣＡＮゲートウェイ２００は、ＣＡＮ送受信部２０２又は２０２ＡからＣＡＮフレームを受信すると、受信したＣＡＮメッセージをＥｔｈｅｒｎｅｔフレームに変換して、Ｅｔｈｅｒｎｅｔ送受信部２０１を利用してＥｔｈｅｒｎｅｔ１０へ転送する。
【００７７】
また、ＣＡＮゲートウェイ２００は、Ｅｔｈｅｒｎｅｔ送受信部２０１からＥｔｈｅｒｎｅｔフレームを受信すると、受信したＥｔｈｅｒｎｅｔフレームをＣＡＮフレームに変換して、ＣＡＮ送受信部２０２又は２０２Ａを利用してＣＡＮ２０へ転送する。
【００７８】
Ｅｔｈｅｒｎｅｔ送受信部２０１は、Ｅｔｈｅｒｎｅｔ１０にＥｔｈｅｒｎｅｔフレームを送信し、また、Ｅｔｈｅｒｎｅｔ１０からＥｔｈｅｒｎｅｔフレームを受信する通信インタフェースである。
【００７９】
ＣＡＮ送受信部２０２は、ＣＡＮ２０のうちのバス１に接続されている通信インタフェースである。ＣＡＮ送受信部２０２は、ＣＡＮ２０（バス１）にＣＡＮフレームを送信し、また、ＣＡＮ２０（バス１）からＣＡＮフレームを受信する。
【００８０】
ＣＡＮ送受信部２０２Ａは、ＣＡＮ送受信部２０２と同じ機能を有する通信インタフェースであり、ＣＡＮ送受信部２０２とは独立に動作する。ＣＡＮ送受信部２０２Ａは、ＣＡＮ２０のうちのバス２に接続されている。
【００８１】
転送判断部２０３は、Ｅｔｈｅｒｎｅｔ送受信部２０１と、ＣＡＮ送受信部２０２又は２０２Ａとの間のフレームの転送可否を判断する処理部である。転送判断部２０３は、転送ルール保持部２０４が保持している転送ルールを参照して、フレームの転送可否を判断し、当該フレームの転送をさせる、又は、させない（つまり、転送を禁止する）ように、Ｅｔｈｅｒｎｅｔ送受信部２０１、ＣＡＮ送受信部２０２又は２０２Ａを制御する。
【００８２】
転送ルール保持部２０４は、Ｅｔｈｅｒｎｅｔ送受信部２０１と、ＣＡＮ送受信部２０２又は２０２Ａとの間のフレームの転送可否を示すルールを保持している記憶装置である。
【００８３】
統計情報生成部２０６は、Ｅｔｈｅｒｎｅｔ送受信部２０１で受信したＥｔｈｅｒｎｅｔフレームから、統計情報を生成する。統計情報生成部２０６は、ＩＰＦＩＸに従ってフロー情報を生成する通常モードと、それとは異なりＥｔｈｅｒｎｅｔペイロードの内容に応じてフロー情報を生成する拡張モードとの２つの動作モードのいずれかで統計情報を生成する。統計情報生成部２０６は、生成した統計情報をＥｔｈｅｒｎｅｔ送受信部２０１を介してセントラルゲートウェイ４００に送信する。
【００８４】
また、統計情報生成部２０６は、モード切替指示コマンド（単に切替指示ともいう）をＥｔｈｅｒｎｅｔ送受信部２０１より受信して、モードを切り替えを行う。
【００８５】
なお、統計情報生成部２０６が生成する統計情報には、統計情報生成部２０６に固有の識別情報であるプローブＩＤが含まれている。統計情報は、自動運転ＤＣＵ１００の統計情報生成部１０６、又は、セントラルゲートウェイ４００の統計情報生成部４０６によっても生成される。そのため、統計情報生成部２０６が生成した統計情報を、他の統計情報生成部が生成した統計情報と区別するために、どの統計情報生成部が生成した情報であるかを示すプローブＩＤが付与される。本実施の形態では、ＣＡＮゲートウェイ２００つまり統計情報生成部２０６のプローブＩＤが「１２３」であるとして説明する。
【００８６】
図６は、本実施の形態における自動運転ＤＣＵ１００の構成を示すブロック図である。
【００８７】
図６に示されるように、自動運転ＤＣＵ１００は、Ｅｔｈｅｒｎｅｔ送受信部１０１と、スイッチ処理部１０２と、スイッチルール保持部１０３と、統計情報生成部１０６とを含んで構成される。
【００８８】
Ｅｔｈｅｒｎｅｔ送受信部１０１は、本実施の形態では５つのＥｔｈｅｒｎｅｔポートを備え、それぞれ自動運転ＥＣＵ１１０、カメラ１２０、ＬＩＤＡＲ１３０、ダイナミックマップＥＣＵ１４０、およびセントラルゲートウェイ４００と、Ｅｔｈｅｒｎｅｔ１０で接続されている。なお、ポートの個数は５に限られない。
【００８９】
スイッチ処理部１０２は、Ｅｔｈｅｒｎｅｔ送受信部１０１で受信したＥｔｈｅｒｎｅｔフレームを、スイッチルール保持部１０３が保持するルール（スイッチルールともいう）に基づき、適切な転送先に転送する処理を行う。
【００９０】
スイッチルール保持部１０３は、スイッチ処理部１０２によるＥｔｈｅｒｎｅｔフレームの転送に用いられるスイッチルールを保持している記憶装置である。
【００９１】
統計情報生成部１０６は、Ｅｔｈｅｒｎｅｔ送受信部１０１で受信したＥｔｈｅｒｎｅｔフレームから、統計情報を生成する。統計情報生成部１０６は、ＩＰＦＩＸに従ってフロー情報を生成する通常モードと、それとは異なりＥｔｈｅｒｎｅｔペイロードの内容に応じてフロー情報を生成する拡張モードとの２つの動作モードのいずれかで統計情報を生成する。統計情報生成部１０６は、生成した統計情報をセントラルゲートウェイ４００に送信する。
【００９２】
また、統計情報生成部１０６は、モード切替指示コマンドつまり切替指示をＥｔｈｅｒｎｅｔ送受信部１０１より受信して、モードを切り替えを行う。
【００９３】
なお、統計情報生成部１０６が生成する統計情報には、ＣＡＮゲートウェイ２００の統計情報生成部２０６における説明と同様の理由で、どの統計情報生成部が生成した情報であるかを示すプローブＩＤが付与される。本実施の形態では、自動運転ＤＣＵ１００つまり統計情報生成部１０６のプローブＩＤが「４５６」であるとして説明する。
【００９４】
図７は、本実施の形態におけるセントラルゲートウェイ４００の構成を示すブロック図である。
【００９５】
図７に示されるように、セントラルゲートウェイ４００は、Ｅｔｈｅｒｎｅｔ送受信部４０１と、スイッチ処理部４０２と、スイッチルール保持部４０３と、統計情報生成部４０６と、異常検知処理部４０４と、異常検知ルール保持部４０５と、統計情報生成部４０６と、切替指示部４０７とを含んで構成される。
【００９６】
Ｅｔｈｅｒｎｅｔ送受信部４０１は、本実施の形態では５つのＥｔｈｅｒｎｅｔポートを備え、それぞれ診断ポート４２０、テレマティクスコントロールユニット４１０、インフォテインメントＤＣＵ３００、自動運転ＤＣＵ１００、およびＣＡＮゲートウェイ２００と、Ｅｔｈｅｒｎｅｔ１０で接続されている。なお、ポートの個数は５に限られない。
【００９７】
スイッチ処理部４０２は、Ｅｔｈｅｒｎｅｔ送受信部４０１で受信したＥｔｈｅｒｎｅｔフレームを、スイッチルール保持部４０３が保持するルールに基づき、適切な転送先に転送する処理を行う。
【００９８】
スイッチルール保持部４０３は、スイッチ処理部４０２によるＥｔｈｅｒｎｅｔフレームの転送に用いられるスイッチルールを保持している記憶装置である。
【００９９】
統計情報生成部４０６は、Ｅｔｈｅｒｎｅｔ送受信部４０１で受信したＥｔｈｅｒｎｅｔフレームから、統計情報を生成する。統計情報生成部４０６は、ＩＰＦＩＸに従ってフロー情報を生成する通常モードと、それとは異なりＥｔｈｅｒｎｅｔペイロードの内容に応じてフロー情報を生成する拡張モードとの２つの動作モードのいずれかで統計情報を生成する。
【０１００】
また、統計情報生成部４０６は、モード切替指示コマンドつまり切替指示をＥｔｈｅｒｎｅｔ送受信部４０１より受信して、モードを切り替えを行う。
【０１０１】
なお、統計情報生成部４０６が生成する統計情報には、ＣＡＮゲートウェイ２００の統計情報生成部２０６における説明と同様の理由で、どの統計情報生成部が生成した情報であるかを示すプローブＩＤが付与される。本実施の形態では、セントラルゲートウェイ４００つまり統計情報生成部４０６のプローブＩＤが「７８９」であるとして説明する。
【０１０２】
統計情報収集部４０８は、統計情報を収集する。具体的には、統計情報収集部４０８は、セントラルゲートウェイ４００の統計情報を統計情報生成部４０６から取得することで収集する。また、統計情報収集部４０８は、自動運転ＤＣＵ１００が生成した統計情報、および、ＣＡＮゲートウェイ２００が生成した統計情報を、Ｅｔｈｅｒｎｅｔ送受信部４０１を介して受信することで収集する。また、統計情報収集部４０８は、定期的に収集した統計情報を外部のサーバ２に送信する。サーバ２は、ＳＩＥＭ（Security Information and Event Management）機能を備え、受信した統計情報を用いて異常検知を行う。
【０１０３】
異常検知処理部４０４は、統計情報収集部４０８が収集した統計情報について、異常検知ルール保持部４０５が保持するルールに基づき、車載ネットワーク上のトラフィックに異常があるか否かを判定する。異常を検知した場合は、異常内容をログとして保存するとともに、異常検知内容をテレマティクスコントロールユニット４１０を介してサーバ２に通知する。（不図示）。
【０１０４】
異常検知ルール保持部４０５は、異常検知処理部４０４による異常検知処理に用いられるルール（異常検知ルールともいう）を保持している記憶装置である。
【０１０５】
切替指示部４０７は、統計情報生成部４０６の動作モードを切り替え、また、他の装置の統計情報生成部、つまり、自動運転ＤＣＵ１００の統計情報生成部１０６およびＣＡＮゲートウェイ２００の統計情報生成部２０６の動作モードを切り替える。統計情報生成部１０６および２０６の動作モードを切り替える際には、動作モードの切り替え指示をＥｔｈｅｒｎｅｔ１０を通じて送信する。
【０１０６】
切替指示部４０７は、後述する切替条件が満たされるか否かを判定し、切替条件が満たされると判定した場合に、統計情報生成部４０６等の動作モードを通常モードから拡張モードに切り替え、また、自動運転ＤＣＵ１００（つまり統計情報生成部１０６）およびＣＡＮゲートウェイ２００（つまり統計情報生成部２０６）に切替指示を送信する。
【０１０７】
図８は、本実施の形態における動作モードの切替条件の例である切替条件８００を示す図である。具体的には、図８は、自動運転ＤＣＵ１００の切替指示部４０７が、通常モードから拡張モードへ動作モードを切り替えるときの切替条件を示したものである。ここでは、５つの条件が登録されている例を示している。
【０１０８】
条件１は、テレマティクスコントロールユニット（ＴＣＵ）４１０による通信における異常を検知したという条件である。例えば、外部からの通信フレームをテレマティクスコントロールユニット４１０により受信したとき、もしくはテレマティクスコントロールユニット４１０から外部へ通信フレームを送信したときに異常を検知した場合に、本条件が成立する。外部ネットワーク３０と接続しているテレマティクスコントロールユニット４１０は、外部から車両１への通信の入り口になり、攻撃を受ける可能性が高い。また、車両１がマルウェアに感染してＣ＆Ｃ（コマンド＆コントロール）サーバとの通信が発生した場合においても、テレマティクスコントロールユニット４１０による通信において異常な通信が発生し、車両１の不正制御への攻撃に発展するリスクがある。そのため、上記異常を検知した場合には、動作モードを通常モードから拡張モードへ切り替え、車載ネットワーク全体のトラフィックをより詳細に分析して攻撃内容を早期に把握することが想定される。
【０１０９】
条件２は、診断ポート４２０からの通信で異常を検知したという条件である。診断ポート４２０も外部から車両１への通信の入り口になり、攻撃を受ける可能性が高い。そのため、診断ポート４２０の通信で異常を検知した場合には、診断ポート４２０経由での車両１の不正制御への攻撃に発展する前に、統計情報の動作モードを通常モードから拡張モードへ切り替え、車載ネットワーク全体のトラフィックをより詳細に分析して攻撃内容を早期に把握することが想定される。
【０１１０】
条件３は、ＩＶＩ３１０からの通信で異常を検知したという条件である。ＩＶＩ３１０は、スマートフォン又はＵＳＢ（Universal Serial Bus）等により接続される外部デバイスとの接続経由で、車両１の不正制御の攻撃に発展するリスクがある。そのため、ＩＶＩ３１０による通信において異常を検知した場合に、動作モードを通常モードから拡張モードへ切り替え、車載ネットワーク全体のトラフィックをより詳細に分析して攻撃内容を早期に把握することが想定される。
【０１１１】
条件４は、車内に存在しないＩＰアドレス、つまり、通常では観測され得ないＩＰアドレスとの通信を検知したという条件である。この場合は、Ｃ＆Ｃサーバのような不正な外部サーバと接続されているリスク、又は、不正な外部デバイスが車内に接続されているリスクがある。そこで、このような異常を検知した場合にも、動作モードを通常モードから拡張モードへ切り替え、車載ネットワーク全体のトラフィックをより詳細に分析して攻撃内容を早期に把握することが想定される。
【０１１２】
条件５は、車内に存在しないＭＡＣアドレス、つまり、通常では観測され得ないＭＡＣアドレスとの通信を検知したという条件である。これは、条件４と同様に、車内に不正なデバイスが接続されているリスクがある。そこで、このような異常を検知した場合にも、動作モードを通常モードから拡張モードへ切り替え、車載ネットワーク全体のトラフィックをより詳細に分析して攻撃内容を早期に把握することが想定される。
【０１１３】
図９は、統計情報の生成および送信の処理を示すフロー図である。具体的には、図９に示される処理は、統計情報生成部１０６、２０６および４０６が実行する処理を示したフロー図である。ここでは、統計情報生成部１０６が実行する処理として説明するが、統計情報生成部２０６又は４０６についても同様である。
【０１１４】
ステップＳ１０１において、統計情報生成部１０６は、Ｅｔｈｅｒｎｅｔ送受信部１０１からＥｔｈｅｒｎｅｔフレームを受信する。
【０１１５】
ステップＳ１０２において、統計情報生成部１０６は、ステップＳ１０１で受信したＥｔｈｅｒｎｅｔフレームが、拡張モードへの切替指示を含むか否かを判定する。判定の結果、拡張モードへの切替指示を含むと判定した場合（ステップＳ１０２でＹｅｓ）にはステップＳ１０７へ処理を移し、そうでない場合（ステップＳ１０２でＮｏ）には、ステップＳ１０３へ処理を移す。
【０１１６】
ステップＳ１０３において、統計情報生成部１０６は、現在の車両１の状態がＡＤＡＳ（Advanced driver-assistance systems）モード又は自動運転モードであるか否かを判定する。判定の結果、ＡＤＡＳモード又は自動運転モードであると判定した場合（ステップＳ１０３でＹｅｓ）は、ステップＳ１０７へ処理を移し、そうでない場合（ステップＳ１０３でＮｏ）には、ステップＳ１０４へ処理を移す。
【０１１７】
ステップＳ１０４において、統計情報生成部１０６は、ステップＳ１０１で受信したＥｔｈｅｒｎｅｔフレームの宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ＭＡＣアドレス、又は、送信元ＭＡＣアドレスがＡＤＡＳ又は自動運転に関わる制御ユニット（ＥＣＵ、ＤＣＵ又はＧＷ等）のアドレスであるか否かを判定する。判定の結果、ＡＤＡＳ又は自動運転に関わる制御ユニットのアドレスであると判定した場合（ステップＳ１０４でＹｅｓ）には、ステップＳ１０７へ処理を移し、そうでない場合（ステップＳ１０４でＮｏ）には、ステップＳ１０５へ処理を移す。
【０１１８】
ステップＳ１０５において、統計情報生成部１０６は、ステップＳ１０１で受信したＥｔｈｅｒｎｅｔフレームのペイロードにＣＡＮフレームが含まれているかを判定する。判定の結果、ＣＡＮフレームが含まれていると判定した場合（ステップＳ１０５でＹｅｓ）には、ステップＳ１０７へ処理を移し、そうでない場合（ステップＳ１０５でＮｏ）には、ステップＳ１０６へ処理を移す。
【０１１９】
ステップＳ１０６において、統計情報生成部１０６は、動作モードを通常モードに設定する。
【０１２０】
ステップＳ１０７において、統計情報生成部１０６は、動作モードを拡張モードに設定する。
【０１２１】
ステップＳ１０８において、統計情報生成部１０６は、動作モードに応じて、通常モード又は拡張モードで統計情報を生成し、生成した統計情報を出力する。
【０１２２】
ステップＳ１０９において、統計情報生成部１０６は、ステップＳ１０８で生成した統計情報を、統計情報収集部４０８を備える制御ユニットに送信する。本実施の形態では、統計情報収集部４０８を備える制御ユニットは、セントラルゲートウェイ４００であるので、統計情報生成部１０６、２０６又は４０６が生成した統計情報が、セントラルゲートウェイ４００の統計情報収集部４０８に集約される。
【０１２３】
なお、統計情報生成部１０６は、送信元ＩＰアドレスもしくは宛先ＩＰアドレスが所定のＩＰアドレスである一のＥｔｈｅｒｎｅｔフレームを送受信部が受信したと判定した場合に、上記一のＥｔｈｅｒｎｅｔフレームについては、拡張モードで統計情報を生成してもよい。言い換えれば、上記一のＥｔｈｅｒｎｅｔフレームについては拡張モードで統計情報を生成し、その後のＥｔｈｅｒｎｅｔフレームについては通常モードで統計情報を生成するようにしてもよい。
【０１２４】
また、統計情報生成部１０６は、ビリティ制御指示に関する一のＥｔｈｅｒｎｅｔフレームを送受信部が受信したと判定した場合に、上記一のＥｔｈｅｒｎｅｔフレームについては、第二モードで統計情報を生成してもよい。言い換えれば、上記一のＥｔｈｅｒｎｅｔフレームについては拡張モードで統計情報を生成し、その後のＥｔｈｅｒｎｅｔフレームについては通常モードで統計情報を生成するようにしてもよい。
【０１２５】
図１０は、図９の統計情報の生成および送信の処理（ステップＳ１０８）を詳細に示すフロー図である。
【０１２６】
ステップＳ２０１において、統計情報生成部１０６は、Ｅｔｈｅｒｎｅｔフレームのヘッダーをキャプチャする。
【０１２７】
ステップＳ２０２において、統計情報生成部１０６は、Ｅｔｈｅｒｎｅｔフレームに、タイムスタンピング、つまり、当該Ｅｔｈｅｒｎｅｔフレームを受信した時刻情報を対応付ける。
【０１２８】
ステップＳ２０３において、統計情報生成部１０６は、Ｅｔｈｅｒｎｅｔフレームのヘッダーに格納されている情報、つまり、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポートアドレス、宛先ポートアドレスおよびプロトコルごとに、グループに分類する。統計情報生成部１０６は、上記の各要素が同一のＥｔｈｅｒｎｅｔフレームを、同一グループに分類する。
【０１２９】
ステップＳ２０４において、統計情報生成部１０６は、現在の動作モードが拡張モードであるか否かを判定する。判定の結果、拡張モードであると判定した場合（ステップＳ２０４でＹｅｓ）にはステップＳ２０５へ処理を移し、そうでない場合（ステップＳ２０４でＮｏ）にはステップＳ２０６へ処理を移す。
【０１３０】
ステップＳ２０５において、統計情報生成部１０６は、ステップＳ２０３で同一グループに分類されたＥｔｈｅｒｎｅｔフレームを、Ｅｔｈｅｒｎｅｔフレームのペイロードに基づき、再分類する。
【０１３１】
ステップＳ２０６において、統計情報生成部１０６は、ステップＳ２０３の分類、又は、ステップＳ２０５が実行された場合にはステップＳ２０３の分類とステップＳ２０５の再分類によるグループごとに、統計情報を生成する。
【０１３２】
ステップＳ２０７において、統計情報生成部１０６は、ステップＳ２０６で生成した統計情報を出力する。
【０１３３】
なお、ステップＳ２０６及びＳ２０７の統計情報の生成及び出力は、Ｅｔｈｅｒｎｅｔフレームを受信するごとに毎回なされなくてもよく、予め決められた時間ごとになされてもよい。その場合、Ｅｔｈｅｒｎｅｔフレームを受信する（ステップＳ１０１）ことがなくても、ステップＳ２０６及びＳ２０７の統計情報の生成及び出力がなされてもよい。
【０１３４】
図１１は、本実施の形態における統計情報を利用した異常検知に係る、車両１内の各装置の処理を示すフロー図である。図１１には、通常モードで統計情報を収集したときに異常を検知した場合の各装置の処理が示されている。
【０１３５】
セントラルゲートウェイ４００の処理について以下で説明する。
【０１３６】
ステップＳ４０１において、Ｅｔｈｅｒｎｅｔ送受信部４０１は、Ｅｔｈｅｒｎｅｔフレームを受信したか否かを判定する。Ｅｔｈｅｒｎｅｔフレームを受信したと判定した場合（ステップＳ４０１でＹｅｓ）には、ステップＳ４０２に処理を移し、そうでない場合（ステップＳ４０１でＮｏ）には、ステップＳ４０１を再び実行する。つまり、Ｅｔｈｅｒｎｅｔ送受信部４０１は、Ｅｔｈｅｒｎｅｔフレームを受信するまでステップＳ４０１で待機する。ステップＳ４０１は、図９のステップＳ１０１に相当する。
【０１３７】
ステップＳ４０２において、統計情報収集部４０８は、統計情報を生成する。ステップＳ４０２は、図９のステップＳ１０２〜Ｓ１０８に相当する。統計情報収集部４０８は、統計情報を生成するにあたり、拡張モードで統計情報を生成する場合、つまり、図９のステップＳ１０２〜Ｓ１０５のいずれかの条件が満たされた場合には、動作モードを拡張モードに変更したうえで、統計情報を生成する。
【０１３８】
ステップＳ４０３において、統計情報収集部４０８は、統計情報を受信することで収集する。統計情報収集部４０８が受信する統計情報は、後述するステップＳ５０５で自動運転ＤＣＵ１００の統計情報生成部１０６が送信する統計情報と、後述するステップＳ６０５でＣＡＮゲートウェイ２００の統計情報生成部２０６が送信する統計情報とを含む。
【０１３９】
ステップＳ４０４において、異常検知処理部４０４は、ステップＳ４０３で統計情報収集部４０８が収集した統計情報に対して、異常検知ルール保持部４０５のルールに従って異常検知を行う。異常検知処理部４０４は、異常を検知した場合（ステップＳ４０４でＹｅｓ）には、ステップＳ４０５に処理を移し、そうでない場合（ステップＳ４０４でＮｏ）には、ステップＳ４０６に処理を移す。
【０１４０】
ステップＳ４０５において、異常検知処理部４０４は、ステップＳ４０４で検知した異常の内容をサーバ２に通知する。
【０１４１】
ステップＳ４０６において、切替指示部４０７は、自動運転ＤＣＵ１００及びＣＡＮゲートウェイ２００の動作モードを通常モードから拡張モードに切り替えるか否かを判定する。具体的には、切替指示部４０７は、自動運転ＤＣＵ１００及びＣＡＮゲートウェイ２００から取得した統計情報に対して、図９のステップＳ１０２〜Ｓ１０５の条件のいずれかが満たされるか否かを判定し、図９のステップＳ１０２〜Ｓ１０５の条件のいずれかが満たされると判定した場合に、動作モードを通常モードから拡張モードに切り替えると判定する。なお、切替指示部４０７は、上記とともに、セントラルゲートウェイ４００の動作モードを通常モードから拡張モードに切り替えるか否かを判定してもよい。具体的には、切替指示部４０７は、セントラルゲートウェイ４００の統計情報に対して、図９のステップＳ１０２〜Ｓ１０５の条件のいずれかが満たされるか否かを判定し、図９のステップＳ１０２〜Ｓ１０５の条件のいずれかが満たされると判定した場合に、動作モードを通常モードから拡張モードに切り替えると判定する。
【０１４２】
ステップＳ４０７において、切替指示部４０７は、自動運転ＤＣＵ１００及びＣＡＮゲートウェイ２００に切替指示を送信する。なお、切替指示部４０７は、セントラルゲートウェイ４００の動作モードを通常モードから拡張モードに切り替えると判定した場合には、統計情報生成部４０６に切替指示を送信する。ステップＳ４０７を終えたら、ステップＳ４０１に処理を移す。
【０１４３】
次に、自動運転ＤＣＵ１００の処理について下記で説明する。
【０１４４】
ステップＳ５０１において、Ｅｔｈｅｒｎｅｔ送受信部１０１は、Ｅｔｈｅｒｎｅｔフレームを受信したか否かを判定する。Ｅｔｈｅｒｎｅｔフレームを受信したと判定した場合（ステップＳ５０１でＹｅｓ）には、ステップＳ５０２に処理を移し、そうでない場合（ステップＳ５０１でＮｏ）には、ステップＳ５０１を再び実行する。つまり、Ｅｔｈｅｒｎｅｔ送受信部１０１は、Ｅｔｈｅｒｎｅｔフレームを受信するまでステップＳ５０１で待機する。
【０１４５】
ステップＳ５０２において、統計情報生成部１０６は、ステップＳ５０１で受信したＥｔｈｅｒｎｅｔフレームが切替指示を含んでいるか否かを判定する。切替指示を含んでいると判定した場合（ステップＳ５０２でＹｅｓ）にはステップＳ５０３に処理を移し、そうでない場合（ステップＳ５０２でＮｏ）には、ステップＳ５０４に処理を移す。
【０１４６】
ステップＳ５０３において、統計情報生成部１０６は、動作モードを通常モードから拡張モードへ切り替える。
【０１４７】
ステップＳ５０４において、統計情報生成部１０６は、動作モードに応じて、通常モード又は拡張モードで統計情報を生成する。
【０１４８】
ステップＳ５０５において、統計情報生成部１０６は、ステップＳ５０４で生成した統計情報を、統計情報収集部４０８を備えるセントラルゲートウェイ４００に送信する。ステップＳ５０５を終えたら、ステップＳ５０１に処理を移す。
【０１４９】
次に、ＣＡＮゲートウェイ２００の処理について以下で説明する。
【０１５０】
ステップＳ６０１において、Ｅｔｈｅｒｎｅｔ送受信部２０１は、Ｅｔｈｅｒｎｅｔフレームを受信したか否かを判定する。Ｅｔｈｅｒｎｅｔフレームを受信したと判定した場合（ステップＳ６０１でＹｅｓ）には、ステップＳ６０２に処理を移し、そうでない場合（ステップＳ６０１でＮｏ）には、ステップＳ６０１を再び実行する。つまり、Ｅｔｈｅｒｎｅｔ送受信部２０１は、Ｅｔｈｅｒｎｅｔフレームを受信するまでステップＳ６０１で待機する。
【０１５１】
ステップＳ６０２において、統計情報生成部２０６は、ステップＳ６０１で受信したＥｔｈｅｒｎｅｔフレームが切替指示を含んでいるか否かを判定する。切替指示を含んでいると判定した場合（ステップＳ６０２でＹｅｓ）にはステップＳ６０３に処理を移し、そうでない場合（ステップＳ６０２でＮｏ）には、ステップＳ６０４に処理を移す。
【０１５２】
ステップＳ６０３において、統計情報生成部２０６は、動作モードを通常モードから拡張モードへ切り替える。
【０１５３】
ステップＳ６０４において、統計情報生成部２０６は、動作モードに応じて、通常モード又は拡張モードで統計情報を生成する。
【０１５４】
ステップＳ６０５において、統計情報生成部２０６は、ステップＳ６０４で生成した統計情報を、統計情報収集部４０８を備えるセントラルゲートウェイ４００に送信する。ステップＳ６０５を終えたら、ステップＳ６０１に処理を移す。
【０１５５】
次に、サーバ２の処理について以下で説明する。
【０１５６】
ステップＳ３０１において、サーバ２は、セントラルゲートウェイ４００から異常の通知を受信する。サーバ２が受信する異常の通知は、ステップＳ４０６でセントラルゲートウェイ４００が送信する異常の通知を含む。
【０１５７】
ステップＳ３０２において、サーバ２は、統計情報を表示画面に表示する。表示画面は、サーバ２に接続された表示装置に表示されるものであってもよいし、サーバ２に通信回線を介して接続された端末等の表示装置に表示されるものであってもよい。表示される統計情報は、例えば分析官によって視認され、分析官による分析の対象となることが想定される。
【０１５８】
図１２は、本実施の形態における、統計情報生成部１０６等が通常モードにおいて生成した統計情報の例である統計情報９００を示す説明図である。
【０１５９】
図１２に示される統計情報９００は、Ｅｔｈｅｒｎｅｔ送受信部１０１が送受信するＥｔｈｅｒｎｅｔフレームから生成されるフロー情報の一例である。統計情報９００において、１つのフローが１つのエントリに対応している。ここで、１つのフローは、宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、および、プロトコルが同一である複数のＥｔｈｅｒｎｅｔフレームのグループであり、統計情報生成部１０６が通常モードで生成したものである。
【０１６０】
図１２に示されるように、統計情報９００は、プローブＩＤと、フローＩＤと、送信元ＩＰアドレスと、宛先ＩＰアドレスと、送信元ＭＡＣアドレスと、宛先ＭＡＣアドレスと、送信元ポート番号と、宛先ポート番号と、プロトコルと、流量と、セッション継続時間とを含んで構成される。
【０１６１】
プローブＩＤは、当該エントリに対応するフローを検出した装置に対応付けられた識別子である。自動運転ＤＣＵ１００の統計情報生成部１０６が検出したフローについては、プローブＩＤが４５６であり、ＣＡＮゲートウェイ２００の統計情報生成部２０６が検出したフローについては、プローブＩＤが１２３であり、セントラルゲートウェイ４００の統計情報生成部４０６が検出したフローについては、プローブＩＤが７８９である。
【０１６２】
フローＩＤは、当該エントリに対応するフローを一意に特定し得る識別子である。
【０１６３】
送信元ＩＰアドレスと、宛先ＩＰアドレスと、送信元ＭＡＣアドレスと、宛先ＭＡＣアドレスと、送信元ポート番号と、宛先ポート番号と、プロトコルとは、それぞれ、当該エントリに対応するフローの送信元ＩＰアドレスと、宛先ＩＰアドレスと、送信元ＭＡＣアドレスと、宛先ＭＡＣアドレスと、送信元ポート番号と、宛先ポート番号と、プロトコルとである。
【０１６４】
流量は、当該エントリに対応するフローの通信量である。
【０１６５】
セッション継続時間は、当該エントリに対応するフローが継続している時間である。セッション継続時間は、プロトコルがＴＣＰである場合には、ＴＣＰセッションの継続時間に相当する。プロトコルがＵＤＰである場合には、ＵＤＰのプロトコルとしての継続時間の管理はなされないが、当該フローに属するパケットが最初に検出されてから最後に検出されるまでの時間として観測され得る。
【０１６６】
なお、統計情報に含まれる情報は、上記の項目に限定されない。例えば、Ｅｔｈｅｒｎｅｔ送受信部１０１が送信したＥｔｈｅｒｎｅｔフレームから生成された統計情報であるのか、又は、Ｅｔｈｅｒｎｅｔ送受信部１０１が受信したＥｔｈｅｒｎｅｔフレームから生成された統計情報であるのかを識別できる情報が、統計情報に追加されていてもよい。
【０１６７】
図１３は、本実施の形態におけるＥｔｈｅｒｎｅｔフレームのデータフィールドにＣＡＮメッセージが含まれる場合のフローの分類の例を示す図である。具体的には、図１３は、ＥｔｈｅｒｎｅｔフレームのデータフィールドにＣＡＮメッセージが含まれる場合に、統計情報生成部１０６が拡張モードにおいて統計情報を生成するときの、ＣＡＮ  ＩＤごとに統計情報を生成する処理を示している。
【０１６８】
図１３には、複数のＥｔｈｅｒｎｅｔフレームが示されている。複数のＥｔｈｅｒｎｅｔフレームを、上から順にフレーム＃１、＃２、＃１１、＃１２、＃１３、＃１４、＃２１ともいう。
【０１６９】
図１３に示される複数のＥｔｈｅｒｎｅｔフレームでは、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ＭＡＣアドレス、宛先ＭＡＣアドレス、送信元ポート番号、宛先ポート番号が同一であり、ペイロードに含まれるＣＡＮ  ＩＤが１００と２００とで異なる。
【０１７０】
この場合、統計情報生成部１０６は、図１３に示される複数のＥｔｈｅｒｎｅｔフレームのうち、ＣＡＮ  ＩＤが１００であるＥｔｈｅｒｎｅｔフレーム＃１、＃２、＃１１、＃１３および＃２１を、１つのグループに分類する。このグループを、フローＩＤが１０であるフローともいう。
【０１７１】
また、統計情報生成部１０６は、図１３に示される複数のＥｔｈｅｒｎｅｔフレームのうち、ＣＡＮ  ＩＤが２００であるＥｔｈｅｒｎｅｔフレーム＃１２および＃１４を、１つのグループに分類する。このグループを、フローＩＤが２０であるフローともいう。
【０１７２】
そして、統計情報生成部１０６は、フローごとに統計情報を生成する。
【０１７３】
図１４は、本実施の形態における、統計情報生成部１０６等が拡張モードにおいて生成し、統計情報収集部４０８が収集した統計情報の例である統計情報１０００を示す説明図である。
【０１７４】
図１４に示される統計情報１０００は、Ｅｔｈｅｒｎｅｔ送受信部１０１が送受信するＥｔｈｅｒｎｅｔフレームから生成されるフロー情報の一例である。統計情報１０００において、１つのフローが１つのエントリに対応している。ここで、１つのフローは、宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、および、プロトコルが同一であり、かつ、ＣＡＮ  ＩＤが同一である複数のＥｔｈｅｒｎｅｔフレームのグループであり、統計情報生成部１０６が拡張モードで生成したものである。
【０１７５】
図１４に示されるように、統計情報１０００は、プローブＩＤと、フローＩＤと、送信元ＩＰアドレスと、宛先ＩＰアドレスと、送信元ＭＡＣアドレスと、宛先ＭＡＣアドレスと、送信元ポート番号と、宛先ポート番号と、プロトコルと、ＣＡＮ  ＩＤと、流量と、セッション継続時間とを含んで構成される。
【０１７６】
統計情報１０００について、通常モードで生成された統計情報９００（図１２参照）と異なるのは、ＣＡＮ  ＩＤが含まれていることである。
【０１７７】
ＣＡＮ  ＩＤは、当該エントリに対応するＣＡＮ  ＩＤである。ＣＡＮ  ＩＤは、モビリティ制御に関わる識別情報の一例である。
【０１７８】
統計情報生成部１０６は、上記のように、Ｅｔｈｅｒｎｅｔフレームのデータ領域に含まれるＣＡＮ  ＩＤごとに区別して、統計情報を生成することが可能となる。
【０１７９】
図１５は、本実施の形態における異常検知ルールを含むルールテーブルの例であるルールテーブル１１００を示す説明図である。図１５には、セントラルゲートウェイ４００の異常検知ルール保持部４０５が保持する異常検知ルールが示されている。
【０１８０】
図１５には、許可されるＥｔｈｅｒｎｅｔのフローの条件が列挙されたホワイトリストである。なお、ホワイトリストに代えて、許可されない（つまり禁止される）Ｅｔｈｅｒｎｅｔのフローの条件が列挙されたブラックリストを使用することも可能である。
【０１８１】
例えば、ルールＩＤが００１であるルールは、プローブＩＤが１２３又は７８９であり、送信元ＩＰアドレスが１９２．１６８．０．１０であり、宛先ＩＰアドレスが１９２．１６８．０．２０であり、送信元ＭＡＣアドレスがＡＡ：ＢＢ：ＣＣ：ＤＤ：ＥＥ：ＦＦであり、宛先ＭＡＣアドレスがＡＢ：ＡＢ：ＡＢ：ＣＤ：ＣＤ：ＣＤであり、送信元ポート番号が１０であり、宛先ポート番号が２０であり、ＣＡＮ  ＩＤが１００であるフローについて、流量が０．８〜１．２Ｍｂｐｓの範囲内であり、セッション継続時間が１秒以上であることが条件として示されている。
【０１８２】
また、例えば、ルールＩＤが００５であるルールは、プローブＩＤがＡＬＬであり（つまり何でもよく）、送信元ＩＰアドレスが１９２．１６８．０．１０であるフローについて、同時接続セッション数の上限が２であることが条件として示されている。
【０１８３】
異常検知処理部４０４は、各ルールに定義されている条件を逸脱した統計情報を観測した場合には、異常と判定する。なお、ブラックリストが使用される場合には、異常検知処理部４０４は、各ルールに定義されている条件を満たした統計情報を観測した場合に異常と判定する。
【０１８４】
図１６は、本実施の形態におけるサーバ２における統計情報を用いた監視画面の第一例を示す説明図である。
【０１８５】
図１６は、統計情報収集部４０８が収集した統計情報を外部のサーバ２に送信し、サーバ２により提供される、統計情報を用いて車両１をリモートで監視する際に用いる監視画面の一例を示したものである。
【０１８６】
図１６は、プローブＩＤが１２３である統計情報と、プローブＩＤが４５６である統計情報との表示をＯＮにし、プロープＩＤが７８９である統計情報の表示をＯＦＦにしたときの監視画面の例である。
【０１８７】
サーバ２は、この画面において、自動運転ＤＣＵ１００とＣＡＮゲートウェイ２００との間のＥｔｈｅｒｎｅｔ通信において、どのようなＣＡＮメッセージが送受信されているかを表示する。この画面を視認するユーザ（例えば分析官）は、この画面により、自動運転ＤＣＵ１００とＣＡＮゲートウェイ２００との間のＥｔｈｅｒｎｅｔ通信において、どのようなＣＡＮメッセージが送受信されているかを観測できる。
【０１８８】
図１６では、自動運転ＤＣＵ１００（ＩＰ：１９２．１６８．０．１０、送信元ポート番号：１０）から、ＣＡＮゲートウェイ２００（ＩＰアドレス：１９２．１６８．０．２０、宛先ポート番号：２０）へＣＡＮ  ＩＤが１００であるＣＡＮフレームをペイロードに含んだＥｔｈｅｒｎｅｔフレームに係るフローＦ１が、流量１Ｍｂｐｓで流れていることが、矢印の図形として示されている。図形は、矢印に限られない。なお、流量の大きさが矢印の太さとして表現されてもよい。さらに、後述するフローＦ２、Ｆ４、Ｆ５およびＦ６についても、図形としての表現方法は、フローＦ１と同様である。
【０１８９】
また、自動運転ＤＣＵ１００からＣＡＮゲートウェイ２００へＣＡＮ  ＩＤが２００であるＣＡＮフレームをペイロードに含んだＥｔｈｅｒｎｅｔフレームに係るフローＦ２が、流量０．１Ｍｂｐｓで流れていることが示されている。
【０１９０】
図１５の異常検知ルールでは、自動運転ＤＣＵ１００（送信元ポート番号：１０）から、ＣＡＮゲートウェイ２００（宛先ポート番号：２０）へは、ＣＡＮ  ＩＤが１００であるフローが流れることは許可されているが、ＣＡＮ  ＩＤが２００であるフローは許可されていないので、フローＦ２が異常であることが、異常検知処理部４０４により判定される。
【０１９１】
その結果を示すべく、サーバ２は、フローＦ２の近傍、より具体的には、フローＦ２を示す図形に重なる位置に、印Ｍを表示している。
【０１９２】
図１７は、本実施の形態におけるサーバ２における統計情報を用いた監視画面の第二例を示す説明図である。
【０１９３】
図１７は、統計情報収集部４０８が収集した統計情報を外部のサーバ２に送信し、サーバ２により提供される、統計情報を用いて車両１をリモートで監視する際に用いる監視画面の別の例を示したものである。
【０１９４】
図１７は、プローブＩＤが１２３である統計情報と、プローブＩＤが４５６である統計情報との表示をＯＦＦにし、プロープＩＤが７８９である統計情報の表示をＯＮにしたときの監視画面の例である。
【０１９５】
サーバ２は、この画面において、自動運転ＤＣＵ１００とＣＡＮゲートウェイ２００との間のＥｔｈｅｒｎｅｔ通信において、どのようなＣＡＮメッセージが送受信されているかを表示する。この画面を視認するユーザ（例えば分析官）は、この画面により、自動運転ＤＣＵ１００とＣＡＮゲートウェイ２００との間のＥｔｈｅｒｎｅｔ通信において、どのようなＣＡＮメッセージが送受信されているかを観測できる。
【０１９６】
図１７では、自動運転ＤＣＵ１００（ＩＰ：１９２．１６８．０．１０、送信元ポート番号：１０）から、ＣＡＮゲートウェイ２００（ＩＰアドレス：１９２．１６８．０．２０、宛先ポート番号：２０）へＣＡＮ  ＩＤが１００であるＣＡＮフレームをペイロードに含んだＥｔｈｅｒｎｅｔフレームに係るフローＦ４が、流量１Ｍｂｐｓで流れていることが示されている。
【０１９７】
また、自動運転ＤＣＵ１００からＣＡＮゲートウェイ２００へＣＡＮ  ＩＤが１１０であるＣＡＮフレームをペイロードに含んだＥｔｈｅｒｎｅｔフレームに係るフローＦ５が流量０．１Ｍｂｐｓで流れていることが観測できる。
【０１９８】
また、自動運転ＤＣＵ１００からＣＡＮゲートウェイ２００へＣＡＮ  ＩＤが２００であるＣＡＮフレームをペイロードに含んだＥｔｈｅｒｎｅｔフレームに係るフローＦ６が流量０．１Ｍｂｐｓで流れていることが観測できる。
【０１９９】
図１５の異常検知ルールでは、自動運転ＤＣＵ１００（送信元ポート番号：１０）からＣＡＮゲートウェイ２００（宛先ポート番号：２０）へは、ＣＡＮ  ＩＤが１００であるフローが流れることは許可されているが、ＣＡＮ  ＩＤが１１０又は２００であるフローは許可されていないので、フローＦ５及びＦ６が異常であることが、異常検知処理部４０４により判定される。
【０２００】
許可されていないＥｔｈｅｒｎｅｔフレームに係るフローが観測されるということは、車両１が攻撃されている可能性があり、図１６又は図１７のように可視化することで、攻撃を早期に検知することが可能となる。
【０２０１】
（実施の形態の変形例１）
本変形例において、ＳＯＭＥ／ＩＰ（Scalable service-oriented middleware over IP)通信を用いた車載ネットワークにおいて、モビリティネットワークにおける異常を適切に分析する統計情報生成装置について説明する。
【０２０２】
図１８は、本変形例におけるＳＯＭＥ／ＩＰメッセージを含むＥｔｈｅｒｎｅｔフレームのフレームフォーマットを示す説明図である。
【０２０３】
図１８に示されるＥｔｈｅｒｎｅｔフレームにおいて、データ、つまり、ＥｔｈｅｒｎｅｔペイロードにＳＯＭＥ／ＩＰで使われるＭｅｓｓａｇｅ  ＩＤ（Service ID/Method ID）、Ｒｅｑｕｅｓｔ  ＩＤ（Client ID/Session ID）、およびＰｒｏｔｏｃｏｌ  Ｖｅｒｓｉｏｎなどが格納されている。
【０２０４】
図１９は、本変形例におけるＳＯＭＥ／ＩＰ通信についての統計情報の生成および送信の処理を示すフロー図である。
【０２０５】
図１９に示されるフロー図は、図９で説明したＥｔｈｅｒｎｅｔペイロードにＣＡＮフレームが格納された場合とほぼ同じフローである。図１９に示されるフロー図において、図９と異なる部分は、ステップＳ７０５及びステップＳ７０８である。ステップＳ７０１〜Ｓ７０４、Ｓ７０６、Ｓ７０７、Ｓ７０９は、それぞれ、図９に示されるステップＳ１０１〜Ｓ１０４、Ｓ１０６、Ｓ１０７、Ｓ１０９と同じである。
【０２０６】
具体的には、ステップＳ７０５において、統計情報生成部１０６は、ステップＳ７０１で受信したＥｔｈｅｒｎｅｔフレームのペイロードにＳＯＭＥ／ＩＰメッセージが含まれているかを判定する。判定の結果、ＳＯＭＥ／ＩＰメッセージが含まれている場合（ステップＳ７０５でＹｅｓ）には、ステップＳ７０７へ処理を移し、そうでない場合（ステップＳ７０５でＮｏ）、ステップＳ７０６へ処理を移す。
【０２０７】
ステップＳ７０８において、統計情報生成部１０６は、動作モードに応じて、通常モード又は拡張モードで統計情報を生成し、生成した統計情報を出力する。このとき、統計情報生成部１０６は、ＳＯＭＥ／ＩＰメッセージに含まれる項目により分類する。具体的には、統計情報生成部１０６は、例えば、Ｍｅｓｓａｇｅ  ＩＤ別に分類して統計情報を生成してもよいし、Ｒｅｑｕｅｓｔ  ＩＤ別に分離して統計情報を生成してもよい。
【０２０８】
このようにすることで、ＳＯＭＥ／ＩＰ通信における制御指示の送受信の流れを、把握することが可能であり、ＳＯＭＥ／ＩＰ通信に特化した攻撃も早期に検知することが可能となる。
【０２０９】
（実施の形態の変形例２）
本変形例において、モビリティネットワークにおける異常を適切に分析する統計情報生成装置の別の構成例を説明する。
【０２１０】
図２０は、本変形例における統計情報生成装置１００Ａの構成を示すブロック図である。
【０２１１】
図２０に示されるように、統計情報生成装置１００Ａは、送受信部１０１Ａと、統計情報生成部１０６Ａとを備える。
【０２１２】
送受信部１０１Ａは、Ｅｔｈｅｒｎｅｔフレームを送受信する。
【０２１３】
統計情報生成部１０６Ａは、送受信部１０１Ａが所定の時間内に送信もしくは受信するＥｔｈｅｒｎｅｔフレームを複数収集し、収集した複数のＥｔｈｅｒｎｅｔフレームのうち、Ｅｔｈｅｒｎｅｔフレームに含まれる宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、および、プロトコルが同一であり、かつ、Ｅｔｈｅｒｎｅｔフレームのペイロードに含まれるモビリティ制御に関わる識別情報が同一である複数のＥｔｈｅｒｎｅｔフレームを、同じグループに分類する。また、統計情報生成部１０６Ａは、グループに分類した複数のＥｔｈｅｒｎｅｔフレームからグループごとに統計情報を生成する。また、統計情報生成部１０６Ａは、生成した統計情報を送受信部１０１Ａにより送信する。
【０２１４】
これにより、モビリティネットワークにおける異常を適切に分析することができる。
【０２１５】
図２１は、本変形例における統計情報生成方法の処理を示すフロー図である。
【０２１６】
図２１に示される統計情報生成方法は、ステップＳ１において、送受信部１０１Ａが所定の時間内に送信もしくは受信するＥｔｈｅｒｎｅｔフレームを複数収集し、収集した複数のＥｔｈｅｒｎｅｔフレームのうち、Ｅｔｈｅｒｎｅｔフレームに含まれる宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、および、プロトコルが同一であり、かつ、Ｅｔｈｅｒｎｅｔフレームのペイロードに含まれるモビリティ制御に関わる識別情報が同一である複数のＥｔｈｅｒｎｅｔフレームを、同じグループに分類する。
【０２１７】
ステップＳ２において、グループに分類した複数のＥｔｈｅｒｎｅｔフレームからグループごとに統計情報を生成する。
【０２１８】
ステップＳ３において、生成した統計情報を送受信部１０１Ａにより送信する。
【０２１９】
これにより、モビリティネットワークにおける異常を適切に分析することができる。
【０２２０】
以上のように、本実施の形態における統計情報生成装置は、５−ｔｕｐｌｅｓ（宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、送信元ポート番号、および、プロトコル）の情報に加えて、モビリティ制御に関わる識別情報をも考慮して、複数のＥｔｈｅｒｎｅｔフレームを単位として統計情報を生成する。よって、５−ｔｕｐｌｅｓの情報だけを考慮して統計情報を生成する場合よりも、より詳細な単位で統計情報を生成することができる。このように生成した統計情報を用いれば、５−ｔｕｐｌｅｓの情報だけを考慮して生成された統計情報よりも、より詳細な分析が可能となり、より精密に異常を検知することができる。よって、統計情報生成装置は、モビリティネットワークにおける異常を適切に分析することができる。
【０２２１】
また、統計情報生成装置は、あるタイミングでは５−ｔｕｐｌｅｓの情報を考慮してモビリティネットワークのフローの統計情報を生成することができ、別のあるタイミングでは５−ｔｕｐｌｅｓの情報とモビリティ制御に関わる識別情報とを考慮して統計情報を生成することができる。このようにして統計情報生成装置は、従来の（つまり通常の）統計情報の生成とそれに基づく分析をすることができるとともに、必要に応じて、詳細な統計情報の生成とそれに基づく精密な分析をも行うことができる。このように、統計情報生成装置は、モビリティネットワークにおける異常をより一層適切に分析することができる。
【０２２２】
また、統計情報生成装置は、所定の条件が満たされた場合に、詳細な統計情報の生成とそれに基づく精密な分析を行うように、動作モードを切り替えることができる。精密な分析が必要となる状況を表現する条件を、所定の条件として用いるようにすれば、統計情報生成装置は、精密な分析が必要であるときに、精密な分析を行うように動作モードを切り替えることができる。このように、統計情報生成装置は、モビリティネットワークにおける異常をより一層適切に分析することができる。
【０２２３】
また、統計情報生成装置は、切替指示を受信した場合に、切替指示に従って動作モードを切り替えることができる。切替指示は、ＥＣＵ又は外部のサーバなどから送信され得るので、統計情報生成装置は、ＥＣＵ又は外部のサーバなどからの切替指示に従って異常を分析することができる。このように、統計情報生成装置は、モビリティネットワークにおける異常をより適切に分析することができる。
【０２２４】
また、統計情報生成装置は、モビリティネットワーク内で発生し得る異常の検知に基づいて、精密な分析を行うように動作モードを切り替えることができる。このように、統計情報生成装置は、モビリティネットワークにおける異常をより適切に分析することができる。
【０２２５】
また、統計情報生成装置は、特定のＩＰアドレスを宛先または送信元とするＥｔｈｅｒｎｅｔフレームに対して、精密な分析を行うことができる。例えば、詳細に解析したい特定のＩＰアドレスを含んだＥｔｈｅｒｎｅｔフレームについてペイロードまで含めて統計情報が生成されるので、不正な車両制御指示が流れているか否か、又は、車両が攻撃されているか否かを監視することが可能となる。このように、統計情報生成装置は、モビリティネットワークにおける異常をより適切かつ柔軟に分析することができる。
【０２２６】
また、統計情報生成装置は、特定のモビリティ制御指示に関するＥｔｈｅｒｎｅｔフレームに対して、精密な分析を行うことができる。例えば、走る、曲がる、止まるといった車両制御を司るＥＣＵから送信される、もしくは、上記ＥＣＵへ送信されるＥｔｈｅｒｎｅｔフレームについてペイロードまで含めた統計情報が生成されるので、不正な車両制御指示が流れているか否か監視することが可能となる。このように、統計情報生成装置は、モビリティネットワークにおける異常をより適切かつ柔軟に分析することができる。
【０２２７】
（他の実施の形態）
以上のように、本発明に係る技術の例示として実施の形態および変形例を説明した。しかしながら、本発明に係る技術は、これに限定されず、適宜、変更、置き換え、付加、省略等を行った実施の形態にも適用可能である。例えば、以下のような変形例も本発明の一実施態様に含まれる。
【０２２８】
（１）上記実施の形態および変形例では、自動車に搭載される車載ネットワークにおけるサイバーセキュリティ対策として統計情報生成装置を適用する例を説明したが、適用範囲はこれに限られない。自動車に限らず、建機、農機、船舶、鉄道、飛行機などのモビリティにも適用してもよい。すなわち、モビリティネットワークおよびモビリティネットワークシステムにおけるサイバーセキュリティ対策として統計情報生成装置を適用することも可能である。また、工場又はビルなどの産業制御システムで利用される通信ネットワーク、又は、組込みデバイスを制御するための通信ネットワークに適用してもよい。
【０２２９】
（２）上記実施の形態および変形例では、統計情報生成部が、受信したＥｔｈｅｒｎｅｔフレームに対して統計情報を生成していたが、送信するＥｔｈｅｒｎｅｔフレームに対しても統計情報を生成してもよい。送信するＥｔｈｅｒｎｅｔフレームに対して統計情報を生成することで、不正なＥｔｈｅｒｎｅｔフレームを送信している送信元装置を特定することが容易になる。
【０２３０】
（３）上記実施の形態および変形例では、ＥｔｈｅｒｎｅｔのペイロードにＣＡＮフレーム又はＳＯＭＥ／ＩＰメッセージが含まれる例を説明したが、ＥｔｈｅｒｎｅｔのペイロードにはＣＡＮ−ＦＤ（CAN with Flexible Data rate）が含まれるものに適用してもよい。また、これら以外のプロトコルであってもよい。また、ＬＩＮ（Local Interconnect Network）、ＭＯＳＴ（登録商標）（Media Oriented Systems Transport）、ＦｌｅｘＲａｙ（登録商標）、Ｅｔｈｅｒｎｅｔ（登録商標）等を用いてもよい。また、これらのプロトコルを用いたネットワークをサブネットワークとして、複数種類のプロトコルに係るサブネットワークを組み合わせて、車載ネットワークを構成してもよい。また、Ｅｔｈｅｒｎｅｔ（登録商標）プロトコルは、ＩＥＥＥ８０２．１に係るＥｔｈｅｒｎｅｔ（登録商標）ＡＶＢ（Audio Video Bridging）、或いは、ＩＥＥＥ８０２．１に係るＥｔｈｅｒｎｅｔ（登録商標）ＴＳＮ（Time Sensitive Networking）、Ｅｔｈｅｒｎｅｔ（登録商標）／ＩＰ（Industrial Protocol）、ＥｔｈｅｒＣＡＴ（登録商標）（Ethernet（登録商標） for Control Automation Technology）等の派生的なプロトコルを包含する広義の意味のものと扱われることとしてもよい。なお、車載ネットワークのネットワークバスは、例えば、ワイヤ、光ファイバ等で構成される有線通信路であり得る。
【０２３１】
（４）上記実施の形態および変形例では、統計情報生成モード切替指示は、車内ネットワークで異常を検知したＥＣＵから送信していたが、外部のサーバ２から送信してもよい。外部のサーバ２から送信することにより、リモートから統計情報生成モードを切り替えることができることになり、つまり、リモートから任意のタイミングでＥｔｈｅｒｎｅｔフレームのペイロードを含めた詳細なフロー監視が可能となる。
【０２３２】
（５）上記の実施の形態及び変形例では、先進運転支援システムの制御又は自動運転制御コマンドを含むＥｔｈｅｒｎｅｔフレームに対して、拡張モードにおいてペイロードを含めた統計情報を生成するようにしているが、これら以外の制御のパケットに対しても拡張モードにおいてペイロードを含めた統計情報を生成するようにしてもよい。
【０２３３】
（６）上記実施の形態では、図１５に示した異常検知ルールが、ホワイトリストとして定義されている（つまり、正常なフローが満たすべき条件が定義されている）が、ブラックリストとして定義されてもよい（つまり、異常なフローが満たすべき条件が定義されていてもよい）。また、ホワイトリストとブラックリストとを合わせて異常検知をしてもよい。
【０２３４】
（７）上記実施の形態及び変形例では、統計情報収集の機能をセントラルゲートウェイに持たせていたが、それ以外のデバイスにもたせてもよい。また、統計情報収集機能は、車両内に複数持たせてもよい。例えば、ＶＬＡＮなどで論理的にドメインが分けられている場合は、ドメインごとに統計情報収集機能を持たせてもよい。
【０２３５】
（８）上記の実施の形態及び変形例では、図１３にはＥｔｈｅｒｎｅｔフレームのペイロードに１つのＣＡＮフレームしか格納されていないが、図４に示すような複数のＣＡＮフレームが格納された場合にも適応可能である。複数のＣＡＮフレームが格納されている場合は、統計情報を生成する際に、それぞれのＣＡＮ  ＩＤを抽出し、統計情報に複数のＣＡＮ  ＩＤを含めればよい。
【０２３６】
（９）上記実施の形態及び変形例で示したＥＣＵ等の各装置は、メモリ、プロセッサ等の他に、ハードディスクユニット、ディスプレイユニット、キーボード、マウス等を備えるものであっても良い。また、上記実施の形態及び変形例で示したＥＣＵ等の各装置は、メモリに記憶されたプログラムがプロセッサにより実行されてソフトウェア的にその各装置の機能を実現するものであっても良いし、専用のハードウェア（デジタル回路等）によりプログラムを用いずにその機能を実現するものであっても良い。また、その各装置内の各構成要素の機能分担は変更可能である。
【０２３７】
（１０）上記実施の形態及び変形例における各装置を構成する構成要素の一部又は全部は、１個のシステムＬＳＩ（Large Scale Integration：大規模集積回路）から構成されているとしても良い。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等を含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。また、上記各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部又は全部を含むように１チップ化されても良い。また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現しても良い。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Field Programmable Gate Array）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用しても良い。更には、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行っても良い。バイオ技術の適用等が可能性としてあり得る。
【０２３８】
（１１）上記各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしても良い。前記ＩＣカード又は前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。前記ＩＣカード又は前記モジュールは、上記の超多機能ＬＳＩを含むとしても良い。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、前記ＩＣカード又は前記モジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしても良い。
【０２３９】
（１２）本発明の一態様としては、異常検知の方法をコンピュータにより実現するプログラム（コンピュータプログラム）であるとしても良いし、前記コンピュータプログラムからなるデジタル信号であるとしても良い。また、本発明の一態様としては、前記コンピュータプログラム又は前記デジタル信号をコンピュータで読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Blu-ray（登録商標） Disc）、半導体メモリ等に記録したものとしても良い。また、これらの記録媒体に記録されている前記デジタル信号であるとしても良い。また、本発明の一態様としては、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしても良い。また、本発明の一態様としては、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記録しており、前記マイクロプロセッサは、前記コンピュータプログラムに従って動作するとしても良い。また、前記プログラム若しくは前記デジタル信号を前記記録媒体に記録して移送することにより、又は、前記プログラム若しくは前記デジタル信号を、前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしても良い。
【０２４０】
（１３）上記実施の形態及び上記変形例で示した各構成要素及び機能を任意に組み合わせることで実現される形態も本発明の範囲に含まれる。
【産業上の利用可能性】
【０２４１】
本発明は、モビリティネットワークにおける異常を適切に分析する統計情報生成装置に利用できる。
【符号の説明】
【０２４２】
１  車両
２  サーバ
１０  Ｅｔｈｅｒｎｅｔ
２０  ＣＡＮ
３０  外部ネットワーク
１００  自動運転ＤＣＵ
１００Ａ    統計情報生成装置
１０１、２０１、４０１  Ｅｔｈｅｒｎｅｔ送受信部
１０１Ａ    送受信部
１０２、４０２  スイッチ処理部
１０３、４０３  スイッチルール保持部
１０６、１０６Ａ、２０６、４０６  統計情報生成部
１１０  自動運転ＥＣＵ
１２０  カメラ
１３０  ＬＩＤＡＲ
１４０  ダイナミックマップＥＣＵ
２００  ＣＡＮゲートウェイ
２０２、２０２Ａ  ＣＡＮ送受信部
２０３  転送判断部
２０４  転送ルール保持部
２１０  エンジンＥＣＵ
２２０  ステアリングＥＣＵ
２３０  ブレーキＥＣＵ
２４０  ウィンドウＥＣＵ
３００  インフォテインメントＤＣＵ
３１０  ＩＶＩ
４００  セントラルゲートウェイ
４０４  異常検知処理部
４０５  異常検知ルール保持部
４０７  切替指示部
４０８  統計情報収集部
４１０  テレマティクスコントロールユニット
４２０  診断ポート
８００  切替条件
９００、１０００  統計情報
１１００  ルールテーブル
Ｆ１、Ｆ２、Ｆ４、Ｆ５、Ｆ６  フロー
Ｍ  印
【図１】
2020137304.tif 000003
【図２】
2020137304.tif 000004
【図３】
2020137304.tif 000005
【図４】
2020137304.tif 000006
【図５】
2020137304.tif 000007
【図６】
2020137304.tif 000008
【図７】
2020137304.tif 000009
【図８】
2020137304.tif 000010
【図９】
2020137304.tif 000011
【図１０】
2020137304.tif 000012
【図１１】
2020137304.tif 000013
【図１２】
2020137304.tif 000014
【図１３】
2020137304.tif 000015
【図１４】
2020137304.tif 000016
【図１５】
2020137304.tif 000017
【図１６】
2020137304.tif 000018
【図１７】
2020137304.tif 000019
【図１８】
2020137304.tif 000020
【図１９】
2020137304.tif 000021
【図２０】
2020137304.tif 000022
【図２１】
2020137304.tif 000023
【国際調査報告】
2020137304.tif 000024
2020137304.tif 000025
2020137304.tif 000026
2020137304.tif 000027