[发明专利]异常车辆检测服务器以及异常车辆检测方法

权利要求书

1.一种异常车辆检测服务器，具备：

异常得分获得部，根据从多个车辆分别接收的多个车辆信息，检测与规定的驾驶行为不同的可疑行为，针对所述多个车辆的每一个，获得示出该车辆正在被进行逆向工程的可能性的异常得分，所述多个车辆信息分别是基于包括车辆系统中发生的事件内容的车辆日志的车辆信息；以及

异常车辆判断部，根据所述多个车辆之中的一个车辆的所述异常得分以及所述多个车辆之中的两个以上的车辆的所述异常得分的统计值，判断所述一个车辆是否是异常车辆。

2.如权利要求1所述的异常车辆检测服务器，

所述两个以上的车辆包括，与所述一个车辆相同的车型的车辆，

所述异常车辆判断部，对所述一个车辆的所述异常得分、与基于与所述一个车辆相同的车型的所述异常得分的所述统计值进行比较，根据比较结果，判断所述一个车辆是否是所述异常车辆。

3.如权利要求1所述的异常车辆检测服务器，

所述两个以上的车辆包括，位于与所述一个车辆相同的区域的车辆，

所述异常车辆判断部，对所述一个车辆的所述异常得分、与基于位于与所述一个车辆相同的区域的车辆的所述异常得分的所述统计值进行比较，根据比较结果，判断所述一个车辆是否是所述异常车辆。

4.如权利要求1至3的任一项所述的异常车辆检测服务器，

所述异常车辆判断部，进一步，在与所述异常车辆相同的车型即异常车型中、或检测出所述异常车辆的区域即异常区域中，存在规定的台数以下的所述异常车辆的情况下，将所述逆向工程中的攻击的进展度判断为第一攻击阶段，在存在比所述规定的台数多的所述异常车辆的情况下，判断为与所述第一攻击阶段相比所述逆向工程中的攻击的进展度更进展的第二攻击阶段。

5.如权利要求1至4的任一项所述的异常车辆检测服务器，

所述异常得分获得部，根据所述车辆日志中包括的所述事件内容，计算所述异常得分，将根据所述事件内容确定的网络设备的连接频发、互联网连接异常、诊断指令的频发、访问目的地地址的变化、访问源地址的变化的任意一个，检测为所述可疑行为，在检测出所述可疑行为的情况下，将所述可疑行为判断为网络分析活动，使所述一个车辆的所述异常得分增加。

6.如权利要求5所述的异常车辆检测服务器，

所述异常车辆检测服务器还具备异常对策通知部，

在所述异常得分获得部将所述可疑行为判断为所述网络分析活动的情况下，所述异常对策通知部，按照所述异常得分的值，执行网络接口的遮断、访问目的地以及访问源的地址的限制、所述网络设备的连接数的限制、以及向驾驶员的警告的任意一个以上。

7.如权利要求1至4的任一项所述的异常车辆检测服务器，

所述异常得分获得部，根据所述车辆日志中包括的所述事件内容，计算所述异常得分，将根据所述事件内容确定的车辆控制功能的频发、系统错误的频发、系统错误的删除、故障代码的频发、系统登录以及文件数或过程数的变化的任意一个，检测为所述可疑行为，在检测出所述可疑行为的情况下，将所述可疑行为判断为系统分析活动，使所述一个车辆的所述异常得分增加。

8.如权利要求7所述的异常车辆检测服务器，

所述异常车辆检测服务器还具备异常对策通知部，

在所述异常得分获得部将所述可疑行为判断为所述系统分析活动的情况下，所述异常对策通知部，按照所述异常得分的值，执行车辆控制功能的启动停止、所述车辆日志的发送频度的增加、所述车辆日志的种类数的增加、以及向驾驶员的警告的任意一个以上。

9.如权利要求1至8的任一项所述的异常车辆检测服务器，

所述异常得分获得部，即使在检测出所述可疑行为的情况下，在基于检测出所述可疑行为的时刻的规定的期间内再次检测出所述可疑行为的情况下，或者，在规定的区域检测出所述可疑行为的情况下，也不使所述异常得分增加。