2020-013386

第１ 手続の経緯

本願は，本願は，平成３１年３月４日の出願であって，その手続の経緯は，概略，以下のとおりである。

令和元年１２月２６日付け 拒絶理由通知

令和２年 ２月２６日 意見書・手続補正書 提出

令和２年 ７月 ２日付け 拒絶査定

令和２年 ９月２５日 審判請求書・手続補正書 提出

令和３年 ８月２４日付け 拒絶理由通知

令和３年１０月１４日 意見書・手続補正書 提出

第２ 原査定の概要

原査定（令和２年７月２日付け拒絶査定）の概要は次のとおりである。

１．（明確性）本願の特許請求の範囲の請求項１－８の記載が不明瞭であるから、特許法第３６条第６項第２号に規定する要件を満たしていない。

２．（新規性）本願の特許請求の範囲の請求項１，３－５に係る発明は，以下の引用文献Ａに記載された発明であるから，特許法第２９条第１項第３号に該当し，特許を受けることができない。

３．（進歩性）本願の特許請求の範囲の請求項１－８に係る発明は，以下の引用文献ＡないしＤに基いて，その出願前にその発明の属する技術の分野における通常の知識を有する者（以下、「当業者」という。）が容易に発明をすることができたものであるから，特許法第２９条第２項の規定により特許を受けることができない。

記

Ａ．国際公開第２０１７／１１９０２７号

Ｂ.特開２０１８－１６０７８６号公報

Ｃ.特開２０１８－９３３３１号公報

Ｄ.特開２０１９－９６１７号公報

第３ 当審拒絶理由の概要

令和３年８月２４日付けで当審が通知した拒絶理由の概要は，次のとおりのものである。

１．（新規性）本願の特許請求の範囲の請求項１に係る発明は，その出願前に日本国内又は外国において，頒布された引用文献１に記載された発明又は電気通信回線を通じて公衆に利用可能となった発明であるから，特許法第２９条第１項第３号に該当し，特許を受けることができない。

２．（進歩性）本願の特許請求の範囲の請求項１ないし８に係る発明は，本願の出願前に日本国内又は外国において，頒布された又は電気通信回線を通じて公衆に利用可能となった以下の引用文献１に記載された発明及び引用文献２に記載された事項ならびに引用文献３に記載された事項に基づいて，その出願前にその発明の属する技術の分野における通常の知識を有する者が容易に発明をすることができたものであるから，特許法２９条２項の規定により特許を受けることができない。

記

１.国際公開第２０１７／１１９０２７号（原査定の引用文献Ａ）

２.特開２０１８－１６０７８６号公報（原査定の引用文献Ｂ）

３.特開２０１９－９６１７号公報（原査定の引用文献Ｄ）

第４ 本願発明

本願請求項１－５に係る発明（以下、それぞれ「本願発明１」－「本願発明５」という。）は、令和３年１０月１４日提出の手続補正書によって補正（以下，「本件補正」という。）された特許請求の範囲の請求項１－５に記載された事項により特定される以下のとおりの発明である。（下線部が補正箇所である。）

「【請求項１】

複数の制御装置の間で送受信される通信フレームを受信可能な通信部と、

前記複数の制御装置の間で送受信される複数の通信フレーム間で満たすべき関係性を示す関係性データを記憶した記憶部と、

前記関係性データを参照し、前記通信フレームのうちで前記関係性を逸脱している通信フレームを不正通信フレームとして検知する検知部と、

続きを表示（全27行）

前記検知部が前記不正通信フレームを検知した場合に、設定された処理を実行する処理部と、を備え、

前記関係性データは、前記通信フレーム中にデータ本体として格納される通知情報が表す状態量の組み合わせを表し、

前記検知部は、前記関係性データが表す前記組み合わせに含まれる状態量と内容が一致する前記通知情報を格納した通信フレームを前記通信部が受信した後、前記通信部が受信する前記通信フレームのうちで、前記組み合わせに含まれる他の状態量と種類が一致し、

且つ前記他の状態量の内容が一致しない前記通知情報を格納した前記通信フレームを前記不正通信フレームとして検知し、

前記関係性データは、車両の外部の情報処理装置によって生成され、前記外部の情報処理装置から送信され前記記憶部に記憶され、

前記処理部は、前記設定された処理として、前記不正通信フレームが検知されたことを前記外部の情報処理装置に通知するための処理を行い、

前記処理部は、前記不正通信フレームと、前記不正通信フレームの前後に受信した複数の前記通信フレームを送信し、

前記不正通信フレームと、前記不正通信フレームの前後に受信した前記複数の通信フレームに基づいて前記外部の情報処理装置により生成された新たな前記関連性データが、前記外部の情報処理装置から送信され前記記憶部に記憶され、

前記車両に設置された通信監視装置。

【請求項２】

前記関係性データは、前記組み合わせに含まれる状態量と内容が一致する前記通知情報を格納した通信フレームの送信順序、を更に表し、

前記検知部は、前記関係性データが表す前記組み合わせに含まれる状態量と内容が一致する前記通知情報を格納した通信フレームを前記通信部が受信した後、前記通信部が受信する前記通信フレームのうちで、前記組み合わせに含まれる他の状態量と種類、及び内容が一致する前記通知情報を格納し、且つ前記通信部が受信する順序が前記送信順序と一致

しない前記通信フレームを前記不正通信フレームとして検知する、

請求項１に記載の通信監視装置。

【請求項３】

前記処理部は、前記設定された処理として、前記不正通信フレームの破棄のための処理を行う、

請求項１、または２に記載の通信監視装置。

【請求項４】

前記複数の制御装置を構成する２台以上の制御装置が第１の制御装置として車両に搭載され、異なる前記第１の制御装置からそれぞれ、前記車両の乗員が行った動作を前記状態量として表す前記通知情報を格納した第１の通信フレーム、及び前記動作に関係する前記状態量を表す前記通知情報を格納した第２の通信フレームが送信可能な、

請求項１、または２に記載の通信監視装置。

【請求項５】

前記複数の制御装置を構成する１台以上の制御装置が第１の制御装置として車両に搭載され、前記複数の制御装置を構成する１台以上の制御装置が第２の制御装置として移動体、及び道路脇に設置された通信設備のうちの少なくとも一方に搭載され、前記第１の制御装置から、前記車両の進行先を前記状態量として表す前記通知情報を格納した第１の通信フレームが送信可能であり、前記第２の制御装置から、前記車両の進行先に係わる状況を前記状態量として表す前記通知情報を格納した第２の通信フレームが送信可能な、

請求項１、または２に記載の通信監視装置。」

第５ 引用文献

１ 引用文献１

（１）引用文献１の記載

引用文献１には，以下の記載がある。（下線は，当審が付加した。以下同様。）

ア 「技術分野

[0001] 本開示は，電子制御ユニットが通信を行う車載ネットワークにおける不正なフレームの送信を検知する技術に関する。

背景技術

[0002] 近年，自動車の中のシステムには，電子制御ユニット（ＥＣＵ：Electronic Control Unit）と呼ばれる装置が多数配置されている。これらのＥＣＵをつなぐネットワークは車載ネットワークと呼ばれる。車載ネットワークには，多数の規格が存在する。その中でも最も主流な車載ネットワークの一つに，ＩＳＯ１１８９８－１で規定されているＣＡＮ（Controller Area Network）という規格が存在する。

続きを表示（全17行）

（中略）

[0004] またＣＡＮでは送信先や送信元を指す識別子は存在せず，送信ノードはフレーム毎にＩＤを付けて送信し（つまりバスに信号を送出し），各受信ノードは予め定められたＩＤのフレームのみを受信する（つまりバスから信号を読み取る）。

（中略）

[0005] ＣＡＮの車載ネットワークシステムについては，攻撃者がバスにアクセスして不正なフレーム（攻撃のためのフレーム）を送信することでＥＣＵを不正に制御するといった脅威が存在し，セキュリティ対策が検討されている。

[0006] 例えば特許文献１に記載された車載ネットワーク監視装置は，ＣＡＮのバスに送信されたフレームについて測定される受信間隔と予め規定された通信間隔との差が規定された基準範囲から外れる場合にそのフレームを不正と判断する不正検知方法を行う。

先行技術文献

特許文献

[0007] 特許文献１：特許第５６６４７９９号公報

特許文献２：国際公開第２０１５／０４１１６１号

発明の概要

発明が解決しようとする課題

[0008] しかしながら，特許文献１のような不正検知方法では，攻撃者が，正規のＥＣＵのファームウェアを不正に書き換えることで支配し，そのＥＣＵに，車載ネットワークシステムで規定された正規の送信間隔で，攻撃のためのフレームを送信させる場合には，その攻撃のためのフレームを検知できない。また，ＥＣＵのファームウェアが書き換えられなくても，マルウェア（不正なプログラム）がＥＣＵ上で実行されると同様の状況が発生し，そのＥＣＵがＣＡＮのバスに送信する，攻撃のためのフレームを検知できない。また，特許文献２は，ＥＣＵと通信することでＥＣＵのプログラム又はデータの不正な書き換えを検出する技術を示すが，この技術を用いて車載ネットワークのバスに接続された各ＥＣＵの不正な書き換えを随時確認するためには各ＥＣＵとの通信が必要となり，バストラフィック量の増大という弊害が生じてしまう。

[0009] そこで，本開示は，ファームウェアの不正な書き換え，マルウェアの実行等によりＥＣＵが不正状態になった場合においても，バスで送信されるフレームを監視することで不正状態（異常）が発生したことを検知し得る不正検知方法を提供する。また，本開示は，その不正検知方法を用いる車載ネットワークシステム，及び，その車載ネットワークシステムにおいて不正検知を行う監視電子制御ユニット（監視ＥＣＵ）を提供する。」

イ 図１

［図：0001380479000001.jpg］

ウ 「[0034] ［１．１ 車載ネットワークシステム１０の全体構成］

図１は，車載ネットワークシステム１０の全体構成を示す図である。

[0035] 車載ネットワークシステム１０は，ＣＡＮプロトコルに従って通信するネットワーク通信システムの一例であり，制御装置，センサ，アクチュエータ，ユーザインタフェース装置等の各種機器が搭載された車両におけるネットワーク通信システムである。車載ネットワークシステム１０は，車載ネットワークを構成するＣＡＮのバスを介してフレームに係る通信を行う複数の装置を備え，不正検知方法を用いる。具体的には図１に示すように車載ネットワークシステム１０は，バス３００と，監視ＥＣＵ１００，各種機器に接続されたＥＣＵ２００ａ，ＥＣＵ２００ｂ，ＥＣＵ２００ｃ，ＥＣＵ２００ｄ等の各ＥＣＵといったバス３００に接続された各ノードとを含んで構成される。

（中略）

[0036] ＥＣＵ２００ａ，ＥＣＵ２００ｂ，ＥＣＵ２００ｃ，及び，ＥＣＵ２００ｄは，バス３００と接続され，それぞれ速度センサ２１０，加速度センサ２２０，ギア（変速機構）２３０，インストルメントパネル（インパネ）２４０に接続されている。ＥＣＵ２００ａは，周期的に速度センサ２１０から車両の速度を取得し，取得した速度を通知するデータフレームを，周期的にバス３００へ送信する。ＥＣＵ２００ｂは，周期的に加速度センサ２２０から車両の加速度を取得し，取得した加速度を通知するデータフレームを，周期的にバス３００へ送信する。ＥＣＵ２００ｃは，周期的にギア２３０の状態を取得し，ギア２３０の状態を通知するデータフレームを，周期的にバス３００へ送信する。ＥＣＵ２００ｄは，車両の速度或いはギアの状態を通知する各データフレームを受信して，インパネ２４０で表示する情報を更新する。

[0037] 監視ＥＣＵ１００は，バス３００に接続される一種のＥＣＵであり，バス上に流れるデータフレーム（つまりバス上に現れるデータフレーム）を監視して，不正なデータフレームが送信されたか否かの判定（不正判定）を行うための不正検知処理を行う。

」

エ 図４

［図：0001380479000002.jpg］

オ 「[0056] ［１．４ 監視ＥＣＵ１００の構成］

図４は，監視ＥＣＵ１００の構成図である。監視ＥＣＵ１００は，フレーム送受信部１１０と，フレーム処理部１２０と，不正判定部１３０と，不正対応部１４０と，フレーム生成部１５０と，フレーム受信履歴保持部１６０と，不正検知ルール保持部１７０と，不正判定結果保持部１８０と，ＥＣＵ情報テーブル保持部１９０とを含んで構成される。図４に示した監視ＥＣＵ１００の各構成要素は，監視ＥＣＵ１００のメモリ等の記憶媒体，通信回路，メモリに格納されたプログラムを実行するプロセッサ等で，実現され得る。

[0057] フレーム送受信部１１０は，バス３００に対して，ＣＡＮのプロトコルに従ったフレーム（データフレーム等）を送受信する。フレーム送受信部１１０は，バス３００からフレームを１ｂｉｔずつ受信する受信部としての機能を有する。フレーム送受信部１１０は，エラー無くデータフレームの受信を完了すると，データフレーム内のＩＤ，ＤＬＣ，データといった情報をフレーム処理部１２０に転送する。また，フレーム送受信部１１０は，ＣＡＮプロトコルに則っていないデータフレームと判断した場合は，エラーフレームを送信する。また，フレーム送受信部１１０は，データフレームの受信中にエラーフレームを受信した場合，つまり受け取ったデータフレームにおける値からエラーフレームになっていると解釈した場合には，それ以降はそのデータフレームを破棄する。フレーム送受信部１１０は，フレーム生成部１５０からデータフレームの送信要求を受けた場合には，そのデータフレームの内容をバス３００に１ｂｉｔずつ送信する。通信調停といったＣＡＮのプロトコルに則った処理も，フレーム送受信部１１０において実現される。

[0058] フレーム処理部１２０は，フレーム送受信部１１０よりデータフレームの情報を受け取り，データフレームの内容を解釈する。フレーム処理部１２０は，ＥＣＵ２００ａ，２００ｂ，２００ｃのそれぞれから送信されるデータフレームが示す車速，加速度，或いは，ギアの状態等の情報を取得し，取得した情報に基づいて，フレーム受信履歴保持部１６０に格納されている各データフレームに関する情報（フレーム受信履歴）を更新する。

[0059] 不正判定部１３０は，不正なデータフレームを受信したか否かの判定（不正なデータフレームが送信されたか否かに係る不正判定）を，不正検知ルール保持部１７０が保持する不正検知ルール情報と，フレーム受信履歴保持部１６０が保持するフレーム受信履歴とに基づいて，所定の単位時間（例えば１００ｍｓ）を周期として周期的に行う。不正判定部１３０は，不正検知ルール情報が示す複数の異なるＩＤを有するフレーム間の関係に係る条件毎について条件が満たされるか否かにより不正判定を行い，例えば，条件が満たされなかった場合に不正と判定する。不正判定部１３０は，不正判定の結果に基づいて，不正判定結果保持部１８０が保持する不正判定結果を更新する。なお，不正判定部１３０は，フレームの各ＩＤについて，そのＩＤのフレームに関して不正検知ルール情報が示す条件に基づいて不正と検知された数（例えば満たされなかった条件の数）に応じて，異常度を算定し，異常度を，不正判定結果保持部１８０が保持する不正判定結果に付加する。不正と検知された数が０であれば異常度は０となり，異常度の０は，異常が検知されなかったことを表す。また，不正判定部１３０は，不正判定の結果として不正と判定された場合（つまり不正状態の発生が検知された場合）に，不正を検知したことを不正対応部１４０へ通知する。

[0060] 不正対応部１４０は，不正判定部１３０から不正を検知したことが通知されると，不正判定結果保持部１８０に格納されている不正判定結果と，ＥＣＵ情報テーブル保持部１９０に格納されているＥＣＵ情報テーブルとを参照して，不正への対応としての対処処理の内容を決定する。不正対応部１４０は，対処処理を決定した場合において，その対処処理の実行のための制御を行う。例えば，不正対応部１４０は，不正判定結果から，特定のＩＤを有するデータフレームに関連して不正が検知された場合（一例としては不正が検知されかつ算定された異常度が最も高い場合）に，ＥＣＵ情報テーブルを参照して，該当するデータフレームを送信するＥＣＵに対する診断メッセージの生成をフレーム生成部１５０に要求する。

（中略）

[0063] 不正検知ルール保持部１７０は，不正判定部１３０が不正判定のために参照する不正検知ルール情報（図６参照）を保持する。」

カ 図６

［図：0001380479000003.jpg］

キ 「[0068] ［１．６ 不正検知ルール情報］

図６は，不正検知ルール保持部１７０が保持する不正検知ルール情報の一例を示す。不正検知ルール情報は，互いに異なるＩＤのデータフレームの内容間の関係に係る条件（ルール）を１つ以上（図６の例では３つ）含んでいる。

[0069] 図６の例では，不正検知ルール情報は，ルール番号１のルールとして，ＩＤが０ｘ１００のデータフレームの内容（車速）とＩＤが０ｘ２００のデータフレームの内容（加速度）との関係についての条件を含んでいる。この条件は，ある単位時間（例えば１００ｍｓ）内に受信されたＩＤが０ｘ１００のデータフレームが示す車速（速度）の値は，その単位時間及びそれより過去の単位時間（例えば車両の走行の開始時以降の各単位時間）に受信されたＩＤが０ｘ２００のデータフレームが示す加速度の値を累積してなる，加速度の積分値の±１ｋｍ／ｈの範囲に入るという条件である。この条件が満たされれば適正な関係が保たれている正常状態であることになり，この条件が満たされなければ不正判定部１３０により不正と判定されること（つまり不正状態が発生していること）になる。なお，加速度の積分値は，例えば単位の換算を含めて以下の式で算定できる。

[0070] 積分値＝（Σ（受信したＩＤ０ｘ２００のデータフレームが示す加速度×３．６））÷（１／ＩＤ０ｘ２００のデータフレームの送信周期）

また，図６の例では，不正検知ルール情報は，ルール番号２のルールとして，ＩＤが０ｘ１００のデータフレームの内容（車速）とＩＤが０ｘ３００のデータフレームの内容（ギアの状態）との関係についての条件を含んでいる。この条件は，ある単位時間内に受信されたＩＤが０ｘ３００のデータフレームが示すギアの状態の値が「Ｄ」（ドライブ）を表す場合には，同じ単位時間内に受信されたＩＤが０ｘ１００のデータフレームが示す車速の，前回の単位時間内に受信されたデータフレームが示す車速からの変化量（例えば差分）が，１．０ｋｍ／ｈ以下に抑えられ，「Ｄ」ではなく「Ｒ」（リバース）を表す場合には，その車速の変化量が，０．５ｋｍ／ｈ以下に抑えられているという条件である。この条件が満たされなければ不正判定部１３０により不正と判定されることになる。

[0071] また，図６の例では，不正検知ルール情報は，ルール番号３のルールとして，ＩＤが０ｘ２００のデータフレームの内容（加速度）とＩＤが０ｘ３００のデータフレームの内容（ギアの状態）との関係についての条件を含んでいる。この条件は，ある単位時間内に受信されたＩＤが０ｘ３００のデータフレームが示すギアの状態の値が「Ｄ」（ドライブ）を表す場合には，同じ単位時間内に受信されたＩＤが０ｘ２００のデータフレームが示す加速度の，前回の単位時間内に受信されたデータフレームが示す加速度からの変化量（例えば差分）が，１．０ｍ／ｓ＾２以下に抑えられ，「Ｄ」ではなく「Ｒ」（リバース）を表す場合には，その加速度の変化量が，０．５ｍ／ｓ＾２以下に抑えられているという条件である。この条件が満たされなければ不正判定部１３０により不正と判定されることになる。」

ク 「[0089] 異常（不正状態の発生）が検知された場合には，監視ＥＣＵ１００は，不正対応部１４０により，不正への対応としての対処処理の内容を決定する。具体的には，異常が検知された場合に，監視ＥＣＵ１００は，不正判定結果保持部１８０に保持されている不正判定結果において最も高い異常度のＩＤを有するデータフレームを送信するＥＣＵについての情報を，ＥＣＵ情報テーブル保持部１９０のＥＣＵ情報テーブルを参照することで取得して，ＥＣＵを特定し（ステップＳ１１０５），特定したＥＣＵに対する診断メッセージをそのＥＣＵに送信することで，例えばそのＥＣＵから診断用情報を受信する等によってそのＥＣＵの状態を確認する（ステップＳ１１０６）。ステップＳ１１０６の後に，監視ＥＣＵ１００は，ステップＳ１１０１に移行し，次の不正判定のタイミングの到来を待つ。なお，ステップＳ１１０６でのＥＣＵの状態の確認によりそのＥＣＵに異常が生じていることを検知した場合には，監視ＥＣＵ１００は，車両の運転者等への警告通知，外部のサーバへの情報通知その他の対処のための制御を行い得る。」

（２）引用発明

上記（１）より，特に，下線部に着目すると，引用文献１には，以下の発明（以下，「引用発明」という。）が記載されていると認められる。

「ファームウェアの不正な書き換え，マルウェアの実行等によりＥＣＵが不正状態になった場合においても，バスで送信されるフレームを監視することで不正状態（異常）が発生したことを検知し得る車載ネットワークシステムにおいて不正検知を行う監視電子制御ユニット（監視ＥＣＵ）であって，

車載ネットワークシステム１０は，ＣＡＮプロトコルに従って通信するネットワーク通信システムであり，バス３００と，監視ＥＣＵ１００，各種機器に接続されたＥＣＵ２００ａ，ＥＣＵ２００ｂ，ＥＣＵ２００ｃ，ＥＣＵ２００ｄ等の各ＥＣＵといったバス３００に接続された各ノードとを含んで構成されており，

ＥＣＵ２００ａ，ＥＣＵ２００ｂ，ＥＣＵ２００ｃ，及び，ＥＣＵ２００ｄは，バス３００と接続され，それぞれ速度センサ２１０，加速度センサ２２０，ギア（変速機構）２３０，インストルメントパネル（インパネ）２４０に接続されており，

ＥＣＵ２００ａは，周期的に速度センサ２１０から車両の速度を取得し，取得した速度を通知するデータフレームを，周期的にバス３００へ送信しており，

続きを表示（全19行）

ＥＣＵ２００ｂは，周期的に加速度センサ２２０から車両の加速度を取得し，取得した加速度を通知するデータフレームを，周期的にバス３００へ送信しており，

ＥＣＵ２００ｃは，周期的にギア２３０の状態を取得し，ギア２３０の状態を通知するデータフレームを，周期的にバス３００へ送信しており，

監視ＥＣＵ１００は，バス３００に接続される一種のＥＣＵであり，バス上に流れるデータフレーム（つまりバス上に現れるデータフレーム）を監視して，不正なデータフレームが送信されたか否かの判定（不正判定）を行うための不正検知処理を行う監視ＥＣＵ１００であって，

監視ＥＣＵ１００は，フレーム送受信部１１０と，フレーム処理部１２０と，不正判定部１３０と，不正対応部１４０と，フレーム生成部１５０と，フレーム受信履歴保持部１６０と，不正検知ルール保持部１７０と，不正判定結果保持部１８０と，ＥＣＵ情報テーブル保持部１９０とを含んで構成されており，

フレーム送受信部１１０は，バス３００に対して，ＣＡＮのプロトコルに従ったフレーム（データフレーム等）を送受信しており，

フレーム処理部１２０は，フレーム送受信部１１０よりデータフレームの情報を受け取り，データフレームの内容を解釈し，ＥＣＵ２００ａ，２００ｂ，２００ｃのそれぞれから送信されるデータフレームが示す車速，加速度，或いは，ギアの状態等の情報を取得し，取得した情報に基づいて，フレーム受信履歴保持部１６０に格納されている各データフレームに関する情報（フレーム受信履歴）を更新しており，

不正判定部１３０は，不正なデータフレームを受信したか否かの判定（不正なデータフレームが送信されたか否かに係る不正判定）を，不正検知ルール保持部１７０が保持する不正検知ルール情報と，フレーム受信履歴保持部１６０が保持するフレーム受信履歴とに基づいて，所定の単位時間（例えば１００ｍｓ）を周期として周期的に行っており，不正検知ルール情報が示す複数の異なるＩＤを有するフレーム間の関係に係る条件毎について条件が満たされるか否かにより不正判定を行い，条件が満たされなかった場合に不正と判定し，不正判定の結果として不正と判定された場合（つまり不正状態の発生が検知された場合）に，不正を検知したことを不正対応部１４０へ通知しており，

不正対応部１４０は，不正判定部１３０から不正を検知したことが通知されると，不正判定結果保持部１８０に格納されている不正判定結果と，ＥＣＵ情報テーブル保持部１９０に格納されているＥＣＵ情報テーブルとを参照して，不正への対応としての対処処理の内容を決定し，対処処理を決定した場合において，その対処処理の実行のための制御を行っており，

不正検知ルール保持部１７０は，不正判定部１３０が不正判定のために参照する不正検知ルール情報を保持しており，

不正検知ルール保持部１７０が保持する不正検知ルール情報は，互いに異なるＩＤのデータフレームの内容間の関係に係る条件（ルール）であり，

不正検知ルール情報は，ルール番号１のルールとして，ＩＤが０ｘ１００のデータフレームの内容（車速）とＩＤが０ｘ２００のデータフレームの内容（加速度）との関係についての条件を含んでおり，この条件は，ある単位時間（例えば１００ｍｓ）内に受信されたＩＤが０ｘ１００のデータフレームが示す車速（速度）の値は，その単位時間及びそれより過去の単位時間（例えば車両の走行の開始時以降の各単位時間）に受信されたＩＤが０ｘ２００のデータフレームが示す加速度の値を累積してなる，加速度の積分値の±１ｋｍ／ｈの範囲に入るという条件であり，この条件が満たされれば適正な関係が保たれている正常状態であることになり，この条件が満たされなければ不正判定部１３０により不正と判定されること（つまり不正状態が発生していること）になるものであり，

不正検知ルール情報は，ルール番号２のルールとして，ＩＤが０ｘ１００のデータフレームの内容（車速）とＩＤが０ｘ３００のデータフレームの内容（ギアの状態）との関係についての条件を含んでおり，この条件は，ある単位時間内に受信されたＩＤが０ｘ３００のデータフレームが示すギアの状態の値が「Ｄ」（ドライブ）を表す場合には，同じ単位時間内に受信されたＩＤが０ｘ１００のデータフレームが示す車速の，前回の単位時間内に受信されたデータフレームが示す車速からの変化量（例えば差分）が，１．０ｋｍ／ｈ以下に抑えられ，「Ｄ」ではなく「Ｒ」（リバース）を表す場合には，その車速の変化量が，０．５ｋｍ／ｈ以下に抑えられているという条件であり，この条件が満たされなければ不正判定部１３０により不正と判定されることになるものであり，

不正検知ルール情報は，ルール番号３のルールとして，ＩＤが０ｘ２００のデータフレームの内容（加速度）とＩＤが０ｘ３００のデータフレームの内容（ギアの状態）との関係についての条件を含んでおり，この条件は，ある単位時間内に受信されたＩＤが０ｘ３００のデータフレームが示すギアの状態の値が「Ｄ」（ドライブ）を表す場合には，同じ単位時間内に受信されたＩＤが０ｘ２００のデータフレームが示す加速度の，前回の単位時間内に受信されたデータフレームが示す加速度からの変化量（例えば差分）が，１．０ｍ／ｓ＾２以下に抑えられ，「Ｄ」ではなく「Ｒ」（リバース）を表す場合には，その加速度の変化量が，０．５ｍ／ｓ＾２以下に抑えられているという条件であり，この条件が満たされなければ不正判定部１３０により不正と判定されることになるものであり，

ＥＣＵに異常が生じていることを検知した場合には，外部のサーバへの情報通知その他の対処のための制御を行い得る

監視電子制御ユニット（監視ＥＣＵ）。」

２ 引用文献

（１）引用文献２の記載

引用文献２には，以下の記載がある。

ア 「【技術分野】

【０００１】

本発明はデータ処理技術に関し、特に監視装置、監視方法およびコンピュータプログラムに関する。

【背景技術】

続きを表示（全18行）

【０００２】

近年、自動車には、多数の電子制御ユニット（Electronic Control Unit、以下「ＥＣＵ」と呼ぶ。）が搭載されている。これらのＥＣＵを繋ぐネットワークは車載ネットワークと呼ばれる。車載ネットワークには多数の規格が存在するが、広く普及した規格としてＣＡＮ（Controller Area Network）がある。

【０００３】

自動車の電動化に伴い、車載ネットワーク経由でステアリング等のアクチュエータを制御することが可能である。一方で、車載ネットワークで不正コマンドが伝送されることによるアクチュエータの不正操作等を防止するため、メッセージ認証コード（Message Authentication Code、以下「ＭＡＣ」と呼ぶ。）を用いたメッセージ認証が実行されることがある（例えば特許文献１参照）。

【先行技術文献】

【特許文献】

【０００４】

【特許文献１】 国際公開第２０１３／０６５６８９号

【発明の概要】

【発明が解決しようとする課題】

【０００５】

今後、インターネットへ常時接続される車両の普及に伴い、インターネットを介して車両と接続された装置群（以下「クラウド」とも呼ぶ。）が、車両のセキュリティ状態を常時監視することが考えられる。このようなクラウドサービスを利用する車両は、自車のセキュリティ状態をクラウドへ通報する必要があるが、通信量が過度に増加することは好ましくない。

【０００６】

本願発明は上記課題に鑑みたもので、１つの目的は、自装置のセキュリティ状態に応じた適切な内容またはタイミングで、外部装置への通報を実現することである。」

イ 「【００２７】

無効化部４０は、対象フレームの無効化処理として、ＣＡＮ２４のバス上に存在する対象フレームを消去する処理を実行する。具体的には、無効化部４０は、対象フレームに対するエラーフレームを生成し、フレーム送信部３２からＣＡＮ２４へエラーフレームを出力させる。これにより、ＣＡＮ２４上の他の装置（ＥＣＵ１４等）における対象フレームも無効にする。フレームの無効化処理には、非特許文献「T. Matsumoto, M. Hata, M. Tanabe, K. Yoshioka, and K. Oishi, "A Method of Preventing Unauthorized Data Transmission in Controller Area Network,"Vehiclular Technology Conference, 2012.」に記載の技術を適用してもよい。実施例のＣＧＷ２０は、不正なフレームに対して無効化処理を実行するが、後述のＥＣＵ１４と同様に、不正なフレームに対して破棄処理（言い換えればフィルタ処理）を実行してもよい。」

ウ 図１

［図：0001380479000004.jpg］

上記図１より「ルール生成装置２９」は，車両１０外に設置されていると認められる。

エ 図２

［図：0001380479000005.jpg］

オ 「【００２９】

ログ保存部４４は、ＭＡＣ検証部３４により対象フレームが不正と判定され、振る舞い検証部３６により対象フレームが正当と判定された場合に、少なくとも対象フレームに関するログデータを保存する。そして、オフライン上で（例えばディーラーでのメンテナンスにおいて）、保存されたログデータを収集し、上記判定結果をルール生成装置２９へ送信する。これにより、ルール生成装置２９は、振る舞い検証において対象フレームが不正と判断されるように、振る舞いルールを更新する。具体的には、ログ保存部４４は、受信フレーム記憶部４２に保持されたフレームのうち対象フレームとＩＤが一致する過去のフレームと、対象フレームとを含むルール更新指示データをログデータとして保存する。例えば、対象フレームと過去のフレームはともに、ステアリングの制御コマンドを指定し、かつ、ステアリングの回動角度を指定するものであってもよい。

【００３０】

過去のフレームは、ＭＡＣ検証部３４による判定結果と振る舞い検証部３６による判定結果の組み合わせが対象フレームとは異なるフレームであってもよい。そのため、過去のフレームを含めてルール生成装置２９へ提供することにより、ルール生成装置２９による振る舞いルール更新を支援できる。また、ログ保存部４４は、過去のフレームと対象フレームそれぞれの、ＭＡＣ検証部３４による判定結果と振る舞い検証部３６による判定結果を、ログデータとしてルール更新指示データに含めてもよい。また、対象フレームより後に受信されたフレームのうち対象フレームとＩＤが一致するフレームをルール更新データに含めてもよい。

【００３１】

ルール生成装置２９は、生成または更新した振る舞いルールを外部通信網２８を介して車両１０へ配信する。ルール更新部４６は、ルール生成装置２９から提供された振る舞いルールをＣＡＮ２４を介して取得する。そしてルール更新部４６は、取得した振る舞いルールを振る舞い検証部３６に渡し、振る舞い検証部３６が保持する振る舞いルールを更新させる。」

（２）引用文献２に記載の周知技術

上記（１）アおよびイより，特に下線部の記載に着目すると，引用文献２には，以下の周知技術が記載されていると認められる。

「車載ネットワークとして広く普及した規格であるＣＡＮ（Controller Area Network）において，

対象フレームに対するエラーフレームを生成し，対象フレームを無効にすることにより，

不正なフレームに対して無効化処理を実行すること。」

（３）引用文献２に記載の技術事項

上記（１）ウないしオより，特に下線部の記載に着目すると，引用文献２には，以下の技術事項が記載されていると認められる。

「（車載ネットワークシステム１２内の）ログ保存部４４は、ＭＡＣ検証部３４により対象フレームが不正と判定され、振る舞い検証部３６により対象フレームが正当と判定された場合に、対象フレームに関するログデータを保存して、オフライン上で（例えばディーラーでのメンテナンスにおいて）、保存されたログデータを収集し、上記判定結果を（車外の）ルール生成装置２９へ送信しており，

（車外の）ルール生成装置２９は、振る舞い検証において対象フレームが不正と判断されるように、振る舞いルールを更新するものであり，

ログ保存部４４は、受信フレーム記憶部４２に保持されたフレームのうち対象フレームとＩＤが一致する過去のフレームと、対象フレームとを含むルール更新指示データをログデータとして保存し，また、対象フレームより後に受信されたフレームのうち対象フレームとＩＤが一致するフレームをルール更新データに含めてもよく，

（車外の）ルール生成装置２９は、生成または更新した振る舞いルールを外部通信網２８を介して車両１０へ配信し，

（車載ネットワークシステム１２内の）ルール更新部４６は、（車外の）ルール生成装置２９から提供された振る舞いルールをＣＡＮ２４を介して取得し，振る舞い検証部３６が保持する振る舞いルールを更新させること。」

４ 引用文献３の記載

（１）引用文献３の記載

引用文献３には，以下の記載がある。

ア 「【技術分野】

【０００１】

本発明は，車載ネットワークにおける異常検知装置，異常検知システム，異常検知方法，異常検知プログラム及び記録媒体に関する。

【背景技術】

続きを表示（全20行）

【０００２】

従来から，通信ネットワークの外部からの不審なアクセスやデータがないかを検知するネットワーク侵入検知システム（ＮＩＤＳ：Network-based Intrusion Detection System）が知られている。

【０００３】

特許文献１は，監視対象ネットワークに接続されたホスト計算機の構成情報に対応するルールセットだけを参照して不正パケットの検知処理を行なうことにより，処理能力の消費量を低減する侵入検知装置について開示している。

【先行技術文献】

【特許文献】

【０００４】

【特許文献１】 特開２００３－０９２６０３号公報

【発明の概要】

【発明が解決しようとする課題】

【０００５】

近年，自動車等の車両内においても，車両の制御や車両状態の表示等のために，車載ネットワークと呼ばれる通信ネットワークを利用した通信が利用されている。このような車載ネットワークにおいても，ＤＣＭ（Data Communication Module）やＤＣＵ（Data Communication Unit）といった無線通信ユニットを介した無線通信が利用されており，このような無線通信ユニットを介した車載ネットワークに対する不正なアクセス，及びこの不正なアクセスに起因する車両ネットワーク内の不正な通信等に対する対策が求められている。

【０００６】

ところで，車両内に配置される車載ネットワークでは，情報処理機器の配置スペースは限られており，また通信のリアルタイム性が要求されるため，不正アクセスに対する検知処理は，より処理負荷を小さくすることが望まれている。そこで，特許文献１のような技術を適用して，処理負荷を低減することが考えられるが，「ホスト計算機の構成情報」がほぼ変化しない車載ネットワークにおいてこのような技術の適用は難しい。

【０００７】

本開示は，上述の事情に鑑みてされたものであり，車載ネットワークにおいて，より効率的に不正な通信を検知する異常検知装置，異常検知システム，異常検知方法，異常検知プログラム及び記録媒体を提供することを目的とする。」

イ 「【００２２】

図３に示されるように，運転状況判定装置３００は，情報取得部３０２と，判定部３０４とを有している。ここで情報取得部３０２は，操作情報，挙動情報及び周辺情報のうち少なくともいずれか一つに含まれる情報を取得することとしてもよい。判定部３０４は，取得した情報に基づいて複数の運転状況の中から一つの運転状況を判定する。運転状況判定装置３００は，判定された運転状況を異常検知装置２００に対して提供する。ここで，「提供」は車載ネットワークを介した提供でもよいし，無線通信等を介した提供でもよいし，同一装置内からの提供でもよい意味である。

【００２３】

操作情報は，例えばハンドルやブレーキ等の操作対象に対する操作についての情報を意味する。より具体的には，操作情報は，アクセルペダルの踏み込み量を検出するアクセルペダルセンサ，ブレーキペダルの踏み込み量を検出するブレーキペダルセンサから出力される情報であってもよい。また，操作情報は，ステアリングホイールの操舵角度を検出するステアリングセンサ，方向指示器を作動させるための方向指示スイッチ，及びトランスミッションのシフト位置を検出するポジションセンサ等から出力される情報であってもよい。また，情報取得部３０２又は判定部３０４は，このような出力された情報から，例えば停止，加速，定速，減速，旋回及び後退等の運転状況を構成する要素情報に結びつける処理を行ってもよい。

【００２４】

また，挙動情報は，例えば速度や加速度等の車両の挙動についての情報を意味する。より具体的には，挙動情報は，車両の走行速度を検出する速度センサ，車両の前後方向の加速度を検出する前後加速度センサ，及び車両の横方向の加速度を検出する横加速度センサ等から出力される情報であってもよい。周辺情報は，例えば位置情報，緯度経度，道路地図情報，施設情報，気象情報等の車両の位置を含む。より具体的には，周辺情報は，例えば車両の周囲を撮影するカメラ，前方を走行する車両や障害物までの距離を計測するレーダ装置，緯度経度を計測するＧＰＳシステム，道路や施設の情報を含む地図データベース，Ｖ２Ｘを利用した他車両又は路側機等から出力される情報であってもよい。情報取得部３０２又は判定部３０４は，このような周辺情報から，例えば一般路，市街地，高速道路，駐車施設，道路幅，車線数，急カーブ及び渋滞具合等の運転状況を構成する要素情報に結びつける処理を行ってもよい。このように，操作情報，挙動情報及び周辺情報のうち少なくともいずれか一つに含まれる情報に基づいて運転状況を判定することにより，より正確で詳細な運転状況を定めることができる。」

ウ 「【００２８】

図５のデータ構造では，運転状況として『高速道路走行』，『交差点侵入』及び『停止』を例として挙げている。『高速道路走行』の運転状況の場合の監視対象パケットは，速度センサ，ステアリングセンサ及びブレーキペダルセンサの各出力によるパケットを指定することができる。ここでルール情報データベース４００には，判定基準が更に保存されていてもよい。この場合，判定基準として正常と判定される範囲が示されることとすると，例えば，速度センサが高速を示す速度範囲（例えば７０ｋｍ／ｈ以上），ステアリングセンサにおける変化量が小さい範囲（例えば±１５°以内）等とすることができる。また，ブレーキペダルセンサにおける踏み込みが小さい範囲等としてもよい。そして，これら以外の範囲を示す監視対象パケットを受信した場合には，不正アクセスに起因するパケットの可能性があることを示すものとすることができる。」

第６ 対比・判断

１ 本願発明１について

（１）対比

本願発明１と引用発明を対比すると，以下のとおりとなる。

ア 引用発明は「ファームウェアの不正な書き換え，マルウェアの実行等によりＥＣＵが不正状態になった場合においても，バスで送信されるフレームを監視することで不正状態（異常）が発生したことを検知し得る車載ネットワークシステムにおいて不正検知を行う監視電子制御ユニット（監視ＥＣＵ）」であり，通信を監視している装置であるといえるから，引用発明の「監視電子制御ユニット（監視ＥＣＵ）」も，本願発明１と同様に，「通信監視装置」であるといえる。

イ 引用発明において，「ＥＣＵ２００ａは，周期的に速度センサ２１０から車両の速度を取得し，取得した速度を通知するデータフレームを，周期的にバス３００へ送信しており，ＥＣＵ２００ｂは，周期的に加速度センサ２２０から車両の加速度を取得し，取得した加速度を通知するデータフレームを，周期的にバス３００へ送信しており，ＥＣＵ２００ｃは，周期的にギア２３０の状態を取得し，ギア２３０の状態を通知するデータフレームを，周期的にバス３００へ送信しており，監視ＥＣＵ１００は，バス３００に接続される一種のＥＣＵであり，バス上に流れるデータフレーム（つまりバス上に現れるデータフレーム）を監視して，不正なデータフレームが送信されたか否かの判定（不正判定）を行うための不正検知処理を行う監視ＥＣＵ１００であって，監視ＥＣＵ１００は，フレーム送受信部１１０（中略）を含んで構成されており，フレーム送受信部１１０は，バス３００に対して，ＣＡＮのプロトコルに従ったフレーム（データフレーム等）を送受信して」いるとされている。

ここで，引用発明の「ＥＣＵ２００ａ」，「ＥＣＵ２００ｂ」および「ＥＣＵ２００ｃ」は，本願発明１の「複数の制御装置」に相当し，引用発明の「データフレーム」は，本願発明１の「通信フレーム」に相当する。

また，引用発明の監視ＥＣＵ１００の「フレーム送受信部１１０」は，「バス３００に対して，ＣＡＮのプロトコルに従ったフレーム（データフレーム等）を送受信して」おり，これらの「データフレーム」は，「ＥＣＵ２００ａ」，「ＥＣＵ２００ｂ」および「ＥＣＵ２００ｃ」が各種センサデータを「バス上に流」したものであるから，本願発明１の「通信部」と同様，「複数の制御装置の間で送受信される通信フレームを受信可能」であるといえる。

したがって，本願発明１と引用発明とは，「複数の制御装置の間で送受信される通信フレームを受信可能な通信部」「を備え」た「通信監視装置」である点で共通するといえる。

ウ 引用発明において，「監視ＥＣＵ１００は，（中略）不正検知ルール保持部１７０（中略）を含んで構成されており，」「不正検知ルール保持部１７０は，不正判定部１３０が不正判定のために参照する不正検知ルール情報を保持しており，不正検知ルール保持部１７０が保持する不正検知ルール情報は，互いに異なるＩＤのデータフレームの内容間の関係に係る条件（ルール）であ」るとされている。

ここで，引用発明の「異なるＩＤのデータフレームの内容間の関係に係る条件（ルール）」は，本願発明１の「複数の通信フレーム間で満たすべき関係性を示す関係性データ」に相当する

また，上記イで述べたように，引用発明の「データフレーム」は，「ＥＣＵ２００ａ」，「ＥＣＵ２００ｂ」および「ＥＣＵ２００ｃ」が各種センサデータを「バス上に流」したものであるから，本願発明１の「通信フレーム」と同様，「前記複数の制御装置の間で送受信される複数の通信フレーム」であるといえる。

したがって，本願発明１と引用発明とは，「前記複数の制御装置の間で送受信される複数の通信フレーム間で満たすべき関係性を示す関係性データを記憶した記憶部」「を備え」た「通信監視装置」である点で共通するといえる。

エ 引用発明において，「監視ＥＣＵ１００は，（中略）不正判定部１３０（中略）を含んで構成されており，」「不正判定部１３０は，不正なデータフレームを受信したか否かの判定（不正なデータフレームが送信されたか否かに係る不正判定）を，不正検知ルール保持部１７０が保持する不正検知ルール情報と，フレーム受信履歴保持部１６０が保持するフレーム受信履歴とに基づいて，所定の単位時間（例えば１００ｍｓ）を周期として周期的に行っており，不正検知ルール情報が示す複数の異なるＩＤを有するフレーム間の関係に係る条件毎について条件が満たされるか否かにより不正判定を行い，条件が満たされなかった場合に不正と判定し」ているとされている。

ここで，引用発明の「不正検知ルール保持部１７０が保持する不正検知ルール情報（中略）に基づいて，不正検知ルール情報が示す複数の異なるＩＤを有するフレーム間の関係に係る条件毎について条件が満たされるか否かにより不正判定を行い，条件が満たされなかった場合に不正と判定」することは，本願発明１の「前記関係性データを参照し，前記通信フレームのうちで前記関係性を逸脱している通信フレームを不正通信フレームとして検知する」ことに相当する。

したがって，本願発明１と引用発明とは，「前記関係性データを参照し，前記通信フレームのうちで前記関係性を逸脱している通信フレームを不正通信フレームとして検知する検知部」「を備え」た「通信監視装置」である点で共通するといえる。

オ 引用発明において，「監視ＥＣＵ１００は，（中略）不正対応部１４０（中略）を含んで構成されており，」「不正対応部１４０は，不正判定部１３０から不正を検知したことが通知されると，不正判定結果保持部１８０に格納されている不正判定結果と，ＥＣＵ情報テーブル保持部１９０に格納されているＥＣＵ情報テーブルとを参照して，不正への対応としての対処処理の内容を決定し，対処処理を決定した場合において，その対処処理の実行のための制御を行って」いるとされている。

ここで，引用発明の「不正判定結果保持部１８０に格納されている不正判定結果と，ＥＣＵ情報テーブル保持部１９０に格納されているＥＣＵ情報テーブル保持部１９０に格納されているＥＣＵ情報テーブルとを参照して，」「決定」された「不正への対応としての対処処理の内容」は，本願発明１の「設定された処理」に相当する。

また，引用発明の「対処処理の実行のための制御を行」うことは，本願発明１の「設定された処理を実行する」ことに相当する。

したがって，本願発明１と引用発明とは，「前記検知部が前記不正通信フレームを検知した場合に，設定された処理を実行する処理部と，を備え」た「通信監視装置」である点で共通するといえる。

カ 引用発明において，「不正検知ルール保持部１７０が保持する不正検知ルール情報は，互いに異なるＩＤのデータフレームの内容間の関係に係る条件（ルール）であり，不正検知ルール情報は，ルール番号１のルールとして，ＩＤが０ｘ１００のデータフレームの内容（車速）とＩＤが０ｘ２００のデータフレームの内容（加速度）との関係についての条件を含んでおり，」「ルール番号２のルールとして，ＩＤが０ｘ１００のデータフレームの内容（車速）とＩＤが０ｘ３００のデータフレームの内容（ギアの状態）との関係についての条件を含んでおり，」「ルール番号３のルールとして，ＩＤが０ｘ２００のデータフレームの内容（加速度）とＩＤが０ｘ３００のデータフレームの内容（ギアの状態）との関係についての条件を含んで」いるとされている。

ここで，引用発明の「ＩＤが０ｘ１００のデータフレームの内容（車速）とＩＤが０ｘ２００のデータフレームの内容（加速度）」，「ＩＤが０ｘ１００のデータフレームの内容（車速）とＩＤが０ｘ３００のデータフレームの内容（ギアの状態）」，「ＩＤが０ｘ２００のデータフレームの内容（加速度）とＩＤが０ｘ３００のデータフレームの内容（ギアの状態）」は，いずれも，本願発明１の「通信フレーム中にデータ本体として格納される通知情報が表す状態量の組み合わせ」に相当する。

したがって，本願発明１と引用発明とは，「前記関係性データは，前記通信フレーム中にデータ本体として格納される通知情報が表す状態量の組み合わせを表し」ている点で共通するといえる。

キ 引用発明の「監視電子制御ユニット（監視ＥＣＵ）」において，「ＥＣＵに異常が生じていることを検知した場合には，外部のサーバへの情報通知その他の対処のための制御を行い得る」とされている。

ここで，引用発明の「外部のサーバ」および「監視電子制御ユニット（監視ＥＣＵ）」は，それぞれ，本願発明１の「外部の情報処理装置」および「車両に設置された通信監視装置」に相当する。

引用発明において，「ＥＣＵに異常が生じていることを検知した場合」には，「不正通信フレームが検知されたこと」も含まれることは，上記アで述べたように引用発明は「バスで送信されるフレームを監視することで不正状態（異常）が発生したことを検知し得る車載ネットワークシステム」であるから，当業者にとって明らかである。

したがって，本願発明１と引用発明とは，「前記処理部は、前記設定された処理として、前記不正通信フレームが検知されたことを前記外部の情報処理装置に通知するための処理を行」う「前記車両に設置された通信監視装置」である点で共通するといえる。

（２）一致点

本願発明１と，引用発明とは，以下の点で一致する。

「複数の制御装置の間で送受信される通信フレームを受信可能な通信部と，

前記複数の制御装置の間で送受信される複数の通信フレーム間で満たすべき関係性を示す関係性データを記憶した記憶部と，

前記関係性データを参照し，前記通信フレームのうちで前記関係性を逸脱している通信フレームを不正通信フレームとして検知する検知部と，

前記検知部が前記不正通信フレームを検知した場合に，設定された処理を実行する処理部と，を備え，

前記関係性データは，前記通信フレーム中にデータ本体として格納される通知情報が表す状態量の組み合わせを表し，

前記処理部は、前記設定された処理として、前記不正通信フレームが検知されたことを前記外部の情報処理装置に通知するための処理を行う

前記車両に設置された通信監視装置。」

（３）相違点

本願発明と，引用発明とは，以下の点で相違する。

ア 相違点１

本願発明１では，「前記検知部は，前記関係性データが表す前記組み合わせに含まれる状態量と内容が一致する前記通知情報を格納した通信フレームを前記通信部が受信した後，前記通信部が受信する前記通信フレームのうちで，前記組み合わせに含まれる他の状態量と種類が一致し，且つ前記他の状態量の内容が一致しない前記通知情報を格納した前記通信フレームを前記不正通信フレームとして検知する」のに対し，引用発明の「ルール番号２のルール」では，「条件は，ある単位時間内に受信されたＩＤが０ｘ３００のデータフレームが示すギアの状態の値が「Ｄ」（ドライブ）を表す場合には，同じ単位時間内に受信されたＩＤが０ｘ１００のデータフレームが示す車速の，前回の単位時間内に受信されたデータフレームが示す車速からの変化量（例えば差分）が，１．０ｋｍ／ｈ以下に抑えられ」ることであり，「ギアの状態」（状態量）の値（内容）が「Ｄ」（ドライブ）を表す」「データフレーム」を受信するタイミングと，「車速」（状態量）の値（内容）が「前回の単位時間内に受信されたデータフレームが示す車速からの変化量（例えば差分）が，１．０ｋｍ／ｈ以下」でない（内容が一致しない）フレームを受信するタイミングに前後関係があるか否か不明な点。

イ 相違点２

本願発明１では，「前記記憶部に記憶され」た「関係性データ」が「車両の外部の情報処理装置によって生成され、前記外部の情報処理装置から送信され」たものであり，「前記処理部は、前記不正通信フレームと、前記不正通信フレームの前後に受信した複数の前記通信フレームを送信し、前記不正通信フレームと、前記不正通信フレームの前後に受信した前記複数の通信フレームに基づいて前記外部の情報処理装置により生成された新たな前記関連性データが、前記外部の情報処理装置から送信され前記記憶部に記憶され」るのに対して，

引用発明では，「前記記憶部に記憶され」た「関係性データ」が「車両の外部の情報処理装置によって生成され、前記外部の情報処理装置から送信され」たものではなく，「前記処理部は、前記不正通信フレームと、前記不正通信フレームの前後に受信した複数の前記通信フレームを送信し、前記不正通信フレームと、前記不正通信フレームの前後に受信した前記複数の通信フレームに基づいて前記外部の情報処理装置により生成された新たな前記関連性データが、前記外部の情報処理装置から送信され前記記憶部に記憶され」る構成を備えていない点。

（４）相違点について

事案に鑑みて，上記相違点２について，先に検討する。

ア 新規性

まず，上記相違点２に係る構成により，「車両１００側では、関係性データ１２３ａを必ずしも生成しなくとも良」く、「そのため、関係性更新部１２４は、省くことができ」(段落０００７)、機器の製造コストが低減でき、また、複数の車両に対して、通信によって関係性データ１２３ａを更新することができるという効果を奏しているから，当該相違点２は実質的なものであるといえる。

したがって，本願発明１は，引用文献１に記載されたものではない。

イ 進歩性

相違点２に関連して，引用文献２の上記第５の２（３）で述べたように，引用文献２には，以下の技術事項が記載されている。

「（車載ネットワークシステム１２内の）ログ保存部４４は、ＭＡＣ検証部３４により対象フレームが不正と判定され、振る舞い検証部３６により対象フレームが正当と判定された場合に、対象フレームに関するログデータを保存して、オフライン上で（例えばディーラーでのメンテナンスにおいて）、保存されたログデータを収集し、上記判定結果を（車外の）ルール生成装置２９へ送信しており，

（車外の）ルール生成装置２９は、振る舞い検証において対象フレームが不正と判断されるように、振る舞いルールを更新するものであり，

ログ保存部４４は、受信フレーム記憶部４２に保持されたフレームのうち対象フレームとＩＤが一致する過去のフレームと、対象フレームとを含むルール更新指示データをログデータとして保存し，また、対象フレームより後に受信されたフレームのうち対象フレームとＩＤが一致するフレームをルール更新データに含めてもよく，

（車外の）ルール生成装置２９は、生成または更新した振る舞いルールを外部通信網２８を介して車両１０へ配信し，

（車載ネットワークシステム１２内の）ルール更新部４６は、（車外の）ルール生成装置２９から提供された振る舞いルールをＣＡＮ２４を介して取得し，振る舞い検証部３６が保持する振る舞いルールを更新させること。」

ここで，上記引用文献２記載の技術事項の「（車外の）ルール生成装置２９」，「不正と判定され」た「対象フレーム」，「対象フレームとＩＤが一致する過去のフレーム」および「対象フレームより後に受信されたフレームのうち対象フレームとＩＤが一致するフレーム」，「振る舞い検証部３６が保持する振る舞いルール」は，それぞれ，本願発明１の「外部の情報処理装置」，「不正通信フレーム」，「不正通信フレームの前後に受信した複数の前記通信フレーム」，「記憶部に記憶され」た「関連性データ」に対応するといえる。

したがって，引用発明に，上記引用文献２記載の技術事項を適用すれば，「不正通信フレームと、前記不正通信フレームの前後に受信した前記複数の通信フレームに基づいて」「外部の情報処理装置により生成された新たな前記関連性データが、前記外部の情報処理装置から送信され前記記憶部に記憶」することは，当業者が容易に想到し得たものであるといえる。

一方，本願発明１において，「外部の情報処理装置」は，「不正通信フレームが検知されたことを」「通知」されるものであり，かつ，「不正通信フレームと、前記不正通信フレームの前後に受信した前記複数の通信フレームに基づいて」「新たな前記関連性データ」を「生成」するものである。

よって，引用発明に引用文献２記載の技術事項を適用しても，「外部の情報処理装置」は，「不正通信フレームが検知されたことを」「通知」されるものであり，かつ，「不正通信フレームと、前記不正通信フレームの前後に受信した前記複数の通信フレームに基づいて」「新たな前記関連性データ」を「生成」するものである構成には至らない。

さらに，引用発明において，「不正通信フレームが検知されたことを前記外部の情報処理装置に通知するための処理を行」う「外部の情報処理装置」は，異常発生の「対処」のためのものであるのに対して，上記引用文献２記載の技術事項において，「外部の情報処理装置」に対応する「（車外の）ルール生成装置２９」は，「オフライン上で（例えばディーラーでのメンテナンスにおいて）、保存されたログデータを収集し」て「振る舞いルール」（関係性データ）を更新・生成するためのものであり，異常発生の「対処」のためのものではないから，引用発明に，上記引用文献２記載の技術事項を適用しても，「不正通信フレームが検知されたことを」「通知」される対象としての，「外部の情報処理装置」と，「不正通信フレームと、前記不正通信フレームの前後に受信した前記複数の通信フレームに基づいて」「新たな前記関連性データ」を「生成」する「外部の情報処理装置」という異なる処理を行う２つの「外部の情報処理装置」を同一のものとする動機付けはないといえる。

したがって，引用発明および引用文献２記載の技術事項に基づいて，本願発明１の相違点２に係る「外部の情報処理装置」は，「不正通信フレームが検知されたことを」「通知」されるものであり，かつ，「不正通信フレームと、前記不正通信フレームの前後に受信した前記複数の通信フレームに基づいて」「新たな前記関連性データ」を「生成」するものであるという構成は，当業者が想到し得たものではない。

また，当該相違点２に係る「外部の情報処理装置」は，「不正通信フレームが検知されたことを」「通知」されるものであり，かつ，「不正通信フレームと、前記不正通信フレームの前後に受信した前記複数の通信フレームに基づいて」「新たな前記関連性データ」を「生成」するものであるという構成は，引用文献３などにも，記載も示唆も無い。

（５）小括

以上から，相違点１について検討するまでもなく，本願発明１は，引用発明および引用文献２、３に記載された技術的事項に基づいて，当業者が容易に想到し得たものではない。

２ 本願発明２ないし５について

本願発明２ないし５も、本願発明１の相違点２に係る「外部の情報処理装置」は，「不正通信フレームが検知されたことを」「通知」されるものであり，かつ，「不正通信フレームと、前記不正通信フレームの前後に受信した前記複数の通信フレームに基づいて」「新たな前記関連性データ」を「生成」するものであるという構成を備えるものであるから、本願発明１と同じ理由により、当業者であっても、引用発明、引用文献２、３に記載された技術的事項に基づいて容易に発明できたものとはいえない。

第７ 原査定についての判断

１ 原査定の理由１（明確性）について

令和３年１０月１４日提出の手続補正書により，補正後の請求項１ないし５は，いずれも，明確性要件を満たしている。

２ 原査定の理由２（新規性），理由３（進歩性）について

令和３年１０月１４日提出の手続補正書により，補正後の請求項１ないし５は，「外部の情報処理装置」は，「不正通信フレームが検知されたことを」「通知」されるものであり，かつ，「不正通信フレームと、前記不正通信フレームの前後に受信した前記複数の通信フレームに基づいて」「新たな前記関連性データ」を「生成」するものであるという技術的事項を有するものとなった。当該「外部の情報処理装置」は，「不正通信フレームが検知されたことを」「通知」されるものであり，かつ，「不正通信フレームと、前記不正通信フレームの前後に受信した前記複数の通信フレームに基づいて」「新たな前記関連性データ」を「生成」するものであるという技術的事項は、原査定における引用文献ＡないしＤ（当審拒絶理由における引用文献１ないし３を含む）には記載されておらず、本願優先日前における周知技術でもないので、本願発明１－５は、当業者であっても、原査定における引用文献ＡないしＤに基づいて容易に発明できたものではない。

したがって、原査定を維持することはできない。

第８ むすび

以上のとおり、原査定の理由によって、本願を拒絶することはできない。

他に本願を拒絶すべき理由を発見しない。

よって，結論のとおり審決する。