知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2023-04-25
(45)【発行日】2023-05-08
(54)【発明の名称】メッセージの特徴を推定する方法および情報処理装置
(51)【国際特許分類】
H04L 43/08 20220101AFI20230426BHJP
H04L 12/22 20060101ALI20230426BHJP
H04L 12/28 20060101ALI20230426BHJP
H04L 12/66 20060101ALI20230426BHJP
【ＦＩ】
H04L43/08
H04L12/22
H04L12/28 100A
H04L12/66
【請求項の数】
7
(21)【出願番号】P 2019178794
(22)【出願日】2019-09-30
(65)【公開番号】P2021057741
(43)【公開日】2021-04-08
【審査請求日】2022-06-09
(73)【特許権者】
【識別番号】000005223
【氏名又は名称】富士通株式会社
(74)【代理人】
【識別番号】100074099
【弁理士】
【氏名又は名称】大菅 義之
(74)【代理人】
【識別番号】100121083
【弁理士】
【氏名又は名称】青木 宏義
(74)【代理人】
【識別番号】100138391
【弁理士】
【氏名又は名称】天田 昌行
(72)【発明者】
【氏名】矢嶋 純
(72)【発明者】
【氏名】森川 郁也
(72)【発明者】
【氏名】長谷部 高行
【審査官】佐々木 洋
(56)【参考文献】
【文献】国際公開第２０１８／１０５３３０（ＷＯ，Ａ１）
【文献】特開２０１９－１２６００４（ＪＰ，Ａ）
【文献】特開平７－３２１７８３（ＪＰ，Ａ）
【文献】特開２０１８－１８２７２５（ＪＰ，Ａ）
【文献】特開２０１８－１５２７４５（ＪＰ，Ａ）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｈ０４Ｌ １２／００－１２／６６
Ｈ０４Ｌ ４１／００－１０１／６９５
(57)【特許請求の範囲】
【請求項1】
ネットワーク内で送信されるメッセージの特徴を推定する推定方法であって、各メッセージの受信時刻および各メッセージに格納されているデータが記録された通信ログを参照し、
各メッセージについて、当該メッセージの受信時刻と当該メッセージの受信前に受信したメッセージの受信時刻との差分を表す受信間隔を計算し、
各メッセージのデータ領域内の位置および長さの組合せで指定される複数の異なる部分領域それぞれに格納されている値を検出することで、各部分領域について、検出される異なる値の数を表すパターン数をそれぞれカウントし、
各部分領域に対して設けられている、メッセージの受信間隔が所定の送信周期と対応するか否かを表す第１の変数、および、メッセージの受信間隔が所定のイベントの発生時以外の期間において前記送信周期と対応するか否かを表す第２の変数を、前記受信間隔および当該部分領域に格納されている値に基づいてそれぞれ更新し、
前記第１の変数、前記第２の変数、および前記パターン数に基づいて、メッセージの送信タイプおよびメッセージのデータ領域内に格納されているデータの形式を推定する
ことを特徴とする推定方法。
【請求項2】
前記第２の変数は、メッセージの受信間隔が所定のイベントの発生時以外の期間において前記送信周期と対応するか否か、及び、イベントの発生時以外の期間において当該部分領域に格納される値がイベント発生時以外に格納されるべき値であるか否かを表すことを特徴とする請求項１に記載の推定方法。
【請求項3】
前記第１の変数および前記第２の変数の初期状態はそれぞれ第１の状態であり、処理対象の受信メッセージとその直前に受信した同じ識別子を有する受信メッセージとの間の受信間隔が前記送信周期より短いときに、各部分領域に対して設けられている第１の変数をそれぞれ第２の状態に更新し、
前記受信間隔が前記送信周期より短く、且つ、前記処理対象の受信メッセージ中の第１の部分領域の値が最初の受信メッセージ中の第１の部分領域の値と一致するときに、前記第１の部分領域に対して設けられている第２の変数を第２の状態に更新し、
前記受信間隔が前記送信周期より長いときに、各部分領域に対して設けられている第１の変数および第２の変数をそれぞれ第２の状態に更新し、
前記複数の部分領域のうちの少なくとも１つの部分領域に対して設けられている第２の変数が第１の状態を表し、且つ、前記少なくとも１つの部分領域のパターン数が２以上であるときに、
受信メッセージは、前記所定のイベントが発生しない期間には前記送信周期で送信され、且つ、
前記受信メッセージは、前記所定のイベントの発生時に特定の値が設定される部分領域を含む、と推定する
ことを特徴とする請求項１に記載の推定方法。
【請求項4】
前記第１の変数および前記第２の変数の初期状態はそれぞれ第１の状態であり、処理対象の受信メッセージとその直前に受信した同じ識別子を有する受信メッセージとの間の受信間隔が前記送信周期より短いときに、各部分領域に対して設けられている第１の変数をそれぞれ第２の状態に更新し、
前記受信間隔が前記送信周期より短く、且つ、前記処理対象の受信メッセージ中の第１の部分領域の値がその直前の受信メッセージ中の第１の部分領域の値と一致するときに、前記第１の部分領域に対して設けられている第２の変数を第２の状態に更新し、
前記受信間隔が前記送信周期より長いときに、各部分領域に対して設けられている第１の変数および第２の変数をそれぞれ第２の状態に更新し、
前記複数の部分領域のうちの少なくとも１つの部分領域に対して設けられている第２の変数が第１の状態を表すときに、
受信メッセージは、前記所定のイベントが発生しない期間には前記送信周期で送信され、且つ、
前記受信メッセージは、前記所定のイベントの発生時に値が変化する部分領域を含む、と推定する
ことを特徴とする請求項１に記載の推定方法。
【請求項5】
前記第２の変数は、メッセージの受信間隔が所定のイベントの発生時以外の期間において前記送信周期と対応するか否か、及び、イベントの発生時以外の期間において当該部分領域に格納される値がイベント発生時以外に格納されるべき値であるか否かを表し、前記受信間隔が前記送信周期と対応し、且つ、前記処理対象の受信メッセージ中の第２の部分領域の値がイベント発生時以外に格納されるべき値と異なるときに、前記第２の部分領域に対して設けられている第２の変数を第２の状態に更新する
ことを特徴とする請求項３または４に記載の推定方法。
【請求項6】
各メッセージの受信時刻および各メッセージに格納されているデータが記録された通信ログを参照し、各メッセージについて、当該メッセージの受信時刻と当該メッセージの受信前に受信したメッセージの受信時刻との差分を表す受信間隔を計算し、
各メッセージのデータ領域内の位置および長さの組合せで指定される複数の異なる部分領域それぞれに格納されている値を検出することで、各部分領域について、検出される異なる値の数を表すパターン数をそれぞれカウントし、
各部分領域に対して設けられている、メッセージの受信間隔が所定の送信周期と対応するか否かを表す第１の変数、および、メッセージの受信間隔が所定のイベントの発生時以外の期間において前記送信周期と対応するか否かを表す第２の変数を、前記受信間隔および当該部分領域に格納されている値に基づいてそれぞれ更新し、
前記第１の変数、前記第２の変数、および前記パターン数に基づいて、メッセージの送信タイプおよびメッセージのデータ領域内に格納されているデータの形式を推定する
処理をコンピュータに実行させるプログラム。
【請求項7】
ネットワーク内で送信されるメッセージの特徴を推定する情報処理装置であって、各メッセージの受信時刻および各メッセージに格納されているデータが記録された通信ログを保存する保存部と、
前記通信ログを参照して、各メッセージについて、当該メッセージの受信時刻と当該メッセージの受信前に受信したメッセージの受信時刻との差分を表す受信間隔を計算する受信間隔計算部と、
前記通信ログを参照して、各メッセージのデータ領域内の位置および長さの組合せで指定される複数の異なる部分領域それぞれに格納されている値を検出することで、各部分領域について、検出される異なる値の数を表すパターン数をそれぞれカウントするカウンタと、
各部分領域に対して設けられている、メッセージの受信間隔が所定の送信周期と対応するか否かを表す第１の変数、および、メッセージの受信間隔が所定のイベントの発生時以外の期間において前記送信周期と対応するか否かを表す第２の変数を、前記受信間隔および当該部分領域に格納されている値に基づいてそれぞれ更新する更新部と、
前記第１の変数、前記第２の変数、および前記パターン数に基づいて、メッセージの送信タイプおよびメッセージのデータ領域内に格納されているデータの形式を推定する推定部と、
を備える情報処理装置。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、ネットワーク内で送信されるメッセージの特徴を推定する方法および情報処理装置に係わる。
【背景技術】
【0002】
自動車の車載ネットワークにおいて、ＣＡＮ（Controller Area Network）と呼ばれるネットワーク技術が使用されることがある。ＣＡＮを使用するネットワークにおいては、各ノードにＥＣＵ（electronic control unit）が実装される。
【0003】
ＥＣＵから送信されるメッセージには、識別情報（ＩＤ）が付与されている。このメッセージは、ネットワーク内のＥＣＵにブロードキャストされる。ここで、各ＥＣＵは、自分が取得すべきメッセージのＩＤを認識している。そして、各ＥＣＵは、受信メッセージのＩＤをチェックすることにより、必要なメッセージを取得する。
【0004】
上記構成のＣＡＮシステムにおいて、悪意ある第３者によりＥＣＵが乗っ取られ、そのＥＣＵから悪意あるメッセージが出力される攻撃が行われることがある。例えば、ＣＡＮシステムにおいて使用されるＩＤが、悪意あるメッセージに付与される。そうすると、そのメッセージを受信したＥＣＵは、意図しない処理を実行するおそれがある。よって、ネットワークへの攻撃または不正なアクセスを検知する方法が検討されている。
【0005】
なお、多様で変化し得る攻撃に適応して攻撃フレームを検知し得るセキュリティ装置が提案されている（例えば、特許文献１）。複数の電子制御ユニット（ＥＣＵ）が通信するネットワークにおいて、ネットワークから受信したフレームが不正か否かを判定する情報処理装置が提案されている（例えば、特許文献２）。車載ネットワークを流れるデータフレームを処理する情報処理方法が提案されている（例えば、特許文献３）。
【先行技術文献】
【特許文献】
【0006】
【文献】特開２０１７－０８５６６３号公報
【文献】特開２０１９－００８６１８号公報
【文献】ＷＯ２０１８／１０５３３０
【発明の概要】
【発明が解決しようとする課題】
【0007】
ＣＡＮシステムにおいては、メッセージに付与される識別子毎に、送信タイプ（又は、送信パターン）が異なることがある。送信タイプとしては、例えば、下記の３つが想定される。
（１）周期メッセージ
（２）非周期メッセージ
（３）イベント送信付き周期メッセージ
なお、周期メッセージは、あるＥＣＵにより一定の周期で送信される。イベント送信付き周期メッセージは、通常は、一定の周期で送信されるが、あるイベントが発生したときには、そのイベントの発生に起因して送信される。非周期メッセージは、周期メッセージまたはイベント送信付き周期メッセージ以外のメッセージである。
（１）周期メッセージ
（２）非周期メッセージ
（３）イベント送信付き周期メッセージ
なお、周期メッセージは、あるＥＣＵにより一定の周期で送信される。イベント送信付き周期メッセージは、通常は、一定の周期で送信されるが、あるイベントが発生したときには、そのイベントの発生に起因して送信される。非周期メッセージは、周期メッセージまたはイベント送信付き周期メッセージ以外のメッセージである。
【0008】
そして、攻撃検知においては、識別子ごとにメッセージの送信タイプが分かっていることが好ましい。加えて、攻撃検知においては、受信フレーム内のどの領域にどのような形式（または、属性）のデータが書き込まれているのかを認識できることが好ましい。
【0009】
しかし、従来の技術では、送信タイプの判定およびフレーム内の各データの形式の判定を効率よく実行できない。一例としては、２つの判定処理が独立して実行される。また、従来の技術では、イベント送信付き周期メッセージを認識した攻撃検知を行っていない。したがって、従来の技術の攻撃検知方法は、改善の余地がある。
【0010】
本発明の１つの側面に係わる目的は、ネットワーク内で送信されるメッセージの特徴を精度よく推定する方法を提供することである。
【課題を解決するための手段】
【0011】
本発明の１つの態様の推定方法は、ネットワーク内で送信されるメッセージの特徴を推定する。この推定方法は、各メッセージの受信時刻および各メッセージに格納されているデータが記録された通信ログを参照し、各メッセージについて、当該メッセージの受信時刻と当該メッセージの受信前に受信したメッセージの受信時刻との差分を表す受信間隔を計算し、各メッセージのデータ領域内の位置および長さの組合せで指定される複数の異なる部分領域それぞれに格納されている値を検出することで、各部分領域について、検出される異なる値の数を表すパターン数をそれぞれカウントし、各部分領域に対して設けられている、メッセージの受信間隔が所定の送信周期と対応するか否かを表す第１の変数、および、メッセージの受信間隔が所定のイベントの発生時以外の期間において前記送信周期と対応するか否かを表す第２の変数を、前記受信間隔および当該部分領域に格納されている値に基づいてそれぞれ更新し、前記第１の変数、前記第２の変数、および前記パターン数に基づいて、メッセージの送信タイプおよびメッセージのデータ領域内に格納されているデータの形式を推定する。
【発明の効果】
【0012】
上述の態様によれば、ネットワーク内で送信されるメッセージの特徴を精度よく推定できる。
【図面の簡単な説明】
【0013】
【図1】推定装置が使用されるネットワークの一例を示す図である。
【図2】イベント送信付き周期メッセージについて説明する図である。
【図3】メッセージを伝送するフレームのフォーマットの例を示す図である。
【図4】推定装置が実装されるＥＣＵのハードウェア構成の一例を示す図である。
【図5】メッセージ内に格納される各データの形式の例を示す図である。
【図6】本発明の実施形態に係わる推定装置の一例を示す図である。
【図7】通信ログの一例を示す図である。
【図8】部分領域の例を示す図である。
【図9】本発明の実施形態に係わる推定処理の一例を示すフローチャートである。
【図10】変数管理テーブルの一例を示す図である。
【図11】前処理の一例を示すフローチャートである。
【図12】推定処理の一例を示すフローチャートである。
【図13】第２の実施形態の前処理を示すフローチャートである。
【図14】第２の実施形態の推定処理を示すフローチャートである。
【図15】実施例１および実施例２で参照される通信ログの例を示す図である。
【図16】実施例１における更新結果を示す図（その１）である。
【図17】実施例１における更新結果を示す図（その２）である。
【図18】実施例１における更新結果を示す図（その３）である。
【図19】実施例１における更新結果を示す図（その４）である。
【図20】実施例２における更新結果を示す図（その１）である。
【図21】実施例２における更新結果を示す図（その２）である。
【図22】実施例２における更新結果を示す図（その３）である。
【発明を実施するための形態】
【0014】
図１は、本発明の実施形態に係わる推定装置が使用されるネットワークの一例を示す。図１に示すネットワーク１００は、複数のＥＣＵ（ＥＣＵ０～ＥＣＵｋ）を備える。複数のＥＣＵは、バスを介して互いに接続されている。そして、この実施例では、複数のＥＣＵは、ＣＡＮ（Controller Area Network）システムを構成する。
【0015】
各ＥＣＵは、バスを介してメッセージを送信できる。このメッセージは、ネットワーク１００の全てのＥＣＵにブロードキャストされる。このとき、メッセージは、送信元ノードにも到着する。また、各メッセージには、識別子（ＩＤ）が付与されている。ここで、各ＥＣＵは、自分が取得すべきメッセージのＩＤを認識している。そして、各ＥＣＵは、受信メッセージのＩＤをチェックすることにより、必要なメッセージを取得する。なお、各ＥＣＵは、「通信装置」の一例である。
【0016】
上記ネットワーク１００において、複数のＥＣＵの中の１つに推定装置が実装される。図１に示す実施例では、ＥＣＵ０に推定装置が実装されている。この場合、推定装置が実装されるＥＣＵは、「情報処理装置」の一例である。また、推定装置は、いずれかのＥＣＵに実装されるのではなく、コンピュータ等の情報処理装置に実装されてもよい。さらに、車外のコンピュータにおいて当該技術を利用して特徴を推定し、推定した特徴を用いて、車内のＥＣＵまたはコンピュータ、あるいは車外のコンピュータにて攻撃検知を行っても良い。
【0017】
推定装置は、ネットワーク１００内を伝送されるメッセージの送信タイプおよびメッセージ中に含まれるデータの形式（または、属性）を推定する。なお、推定装置は、攻撃検知装置と共に使用されることがある。この場合、攻撃検知装置は、推定装置の推定結果を利用して、受信メッセージが攻撃メッセージであるか否かを判定する。また、推定装置および攻撃検知装置は、同じＥＣＵ内に実装されてもよい。
【0018】
ＥＣＵ１～ＥＣＵｋは、指定された識別子を含むメッセージを送信する。図１に示す例では、ＥＣＵ１は、識別情報ＩＤ＿Ａを含むメッセージを送信し、ＥＣＵ２は、識別情報ＩＤ＿Ｂを含むメッセージを送信し、ＥＣＵ３は、識別情報ＩＤ＿Ｃを含むメッセージを送信する。ここで、各メッセージは、ネットワーク１００内でブロードキャストされる。よって、推定装置が実装されるＥＣＵ（ここでは、ＥＣＵ０）は、すべてのメッセージを受信できる。なお、図１のタイミングチャートは、ＥＣＵ１～ＥＣＵ３から送信されるメッセージがＥＣＵ０に到着する様子を示している。
【0019】
ネットワーク１００において送信されるメッセージは、識別子ごとに、下記のいずれかに分類される。
（１）周期メッセージ
（２）非周期メッセージ
（３）イベント送信付き周期メッセージ
（１）周期メッセージ
（２）非周期メッセージ
（３）イベント送信付き周期メッセージ
【0020】
周期メッセージは、あるＥＣＵにより一定の周期で送信される。例えば、ＩＤ＝０ｘ１２３を含むメッセージは１０ｍ秒間隔で送信され、ＩＤ＝０ｘ４５６を含むメッセージは２０ｍ秒間隔で送信される。
【0021】
イベント送信付き周期メッセージは、通常は、一定の周期で送信されるが、あるイベントが発生したときには、そのイベントの発生に起因して送信される。図２に示す例では、メッセージは、通常時には、周期Ｔ１で送信される。具体的には、メッセージＭ１～Ｍ４は、周期Ｔ１で送信されている。但し、所定のイベント（例えば、ユーザの指示またはアラームの検知など）が発生すると、そのイベントの発生に起因してメッセージが送信される。図２では、イベントの発生に起因してメッセージＭ５が送信されている。このとき、メッセージＭ４の送信タイミングとメッセージＭ５の送信タイミングとの差分Ｔ２は、周期Ｔ１より短くなる。この後、メッセージＭ６～Ｍ７が送信される。このとき、メッセージの送信間隔は、Ｔ１に戻る。
【0022】
なお、イベントの発生に起因して送信されるメッセージの所定の領域には、特定の値が設定される。例えば、図２に示すケース１では、メッセージＭ１～Ｍ４、Ｍ６～Ｍ７の所定の領域には「１」が設定されているが、メッセージＭ５の同じ領域には「３」が設定される。或いは、イベントの発生に起因して、メッセージの所定の領域の値が変化する。例えば、ケース２では、メッセージＭ１～Ｍ４の所定の領域には「１」が設定され、メッセージＭ５以降の同じ領域には「７」が設定されている。
【0023】
なお、車載ネットワークにおいては、複数のＥＣＵは、車両を制御するために使用される。例えば、ＩＤ＝０ｘ１２３を含むメッセージは、アクセル開度を表すデータを伝送する。また、ＩＤ＝０ｘ４５６を含むメッセージは、ブレーキ踏込み角度を表すデータを伝送する。
【0024】
図３は、メッセージを伝送するフレームのフォーマットの例を示す。標準仕様のフレームは、ＳＯＦ（Start of Frame）、調停（arbitration）フィールド、コントロールフィールド、データフィールド、ＣＲＣフィールド、ＡＣＫフィールド、およびＥＯＦ（End of Frame）を含む。調停フィールドは、ＩＤおよびＲＴＲ（Remote Transmission Request）を含む。ＩＤは、メッセージを識別するための識別情報を表す。コントロールフィールドは、ＩＤＥ（Identifier Extension）、予約ビット、ＤＬＣ（Data Length Code）を含む。ＣＲＣフィールドは、ＣＲＣシーケンスおよびＣＲＣデリミタを含む。ＡＣＫフィールドは、ＡＣＫスロットおよびＡＣＫデリミタを含む。なお、図３において各情報要素に対して表記されている値は、ビット長を表す。例えば、ＩＤの長さは１１ビットであり、データフィールドの長さは０～６４ビットの可変長である。
【0025】
標準仕様のフレームと同様に、拡張仕様で使用されるフレームも、ＳＯＦ、調停フィールド、コントロールフィールド、データフィールド、ＣＲＣフィールド、ＡＣＫフィールド、ＥＯＦを含む。ただし、拡張仕様では、より多くのビット数で識別情報が表される。
【0026】
以下の記載では、標準仕様のフレームを利用してメッセージが伝送されるものとする。ただし、本発明の実施形態に係わる推定方法は、拡張仕様のフレームを利用してメッセージが伝送されるケースにも適用される。また、本発明の実施形態に係わる推定方法は、ＣＡＮ－ＦＤと呼ばれる規格にも対応可能である。
【0027】
図４は、推定装置が実装されるＥＣＵのハードウェア構成の一例を示す。ＥＣＵ２００は、この例では、ＣＡＮトランシーバ２０１、ＣＡＮコントローラ２０２、処理回路２０３を含む。処理回路２０３は、プロセッサ２０４およびメモリ２０５を含む。
【0028】
ＣＡＮトランシーバ２０１は、図３に示すフレームを送信および受信する機能を備える。ＣＡＮコントローラ２０２は、ＣＡＮトランシーバ２０１が受信したフレームからデータを抽出すると共に、そのフレームの受信時刻を測定する。なお、ＣＡＮコントローラ２０２は、受信フレームに対してＣＲＣチェックを実行してもよい。また、ＣＡＮコントローラ２０２は、送信フレームにデータを格納することができる。プロセッサ２０４は、メモリ２０５に格納されているプログラムを実行することにより、メッセージの送信タイプの推定およびメッセージ中に含まれるデータの形式の推定を実現する。この場合、このプログラムは、後述するフローチャートの手順を記述している。
【0029】
本発明の実施形態に係わる推定装置は、ネットワークへの攻撃を検知する攻撃検知装置が利用する情報を生成する。すなわち、推定装置は、識別子ごとにメッセージの送信タイプを推定し、また、識別子ごとにメッセージ中に含まれるデータの形式を推定する。
【0030】
ここで、攻撃検知は、下記の前提条件の下で行われるものとする。
（１）識別子ごとに検知を行う。
（２）検知対象の識別子を含むメッセージが、周期メッセージ、イベント送信付き周期メッセージ、または非周期メッセージのいずれであるのかは不明である。
（３）ただし、周期メッセージまたはイベント送信付き周期メッセージの送信周期は、既知であるか、検出可能である。
（４）データ領域にどのような形式のデータが格納されているか（例えば、「第５ビットから８ビット分の領域に固定値が格納されている」）は不明である。
（１）識別子ごとに検知を行う。
（２）検知対象の識別子を含むメッセージが、周期メッセージ、イベント送信付き周期メッセージ、または非周期メッセージのいずれであるのかは不明である。
（３）ただし、周期メッセージまたはイベント送信付き周期メッセージの送信周期は、既知であるか、検出可能である。
（４）データ領域にどのような形式のデータが格納されているか（例えば、「第５ビットから８ビット分の領域に固定値が格納されている」）は不明である。
【0031】
これらの前提条件の下では、攻撃検知装置（または、検知者）は、攻撃検知の前に下記の事前準備を行う。
準備処理１：事前に取得した通信ログに基づいて、識別子ごとにメッセージの送信タイプを推定する。
準備処理２：準備手順１で得られる送信タイプに対応する検知方法を準備する。
準備処理１：事前に取得した通信ログに基づいて、識別子ごとにメッセージの送信タイプを推定する。
準備処理２：準備手順１で得られる送信タイプに対応する検知方法を準備する。
【0032】
検知方法としては、メッセージの送信周期を利用して、送信周期から外れて到着したメッセージを攻撃メッセージと判定する方法が提案されている。また、メッセージ内のデータの振舞いに基づいて攻撃メッセージを検知する方法も提案されている。非周期メッセージまたはイベント送信付き周期メッセージに対しては、メッセージ内のデータの振舞いに基づく方法が有効である。
【0033】
データの振舞いに基づく検知手法においては、例えば、特定の識別子を含むメッセージのデータ領域の先頭の８ビットが固定値である場合、受信メッセージの先頭の８ビットの値がその固定値と異なるときは、そのメッセージが攻撃メッセージであると判定される。或いは、順番に送信されるメッセージの所定の領域の値が所定のルール（例えば、１ずつインクリメントされる）に従って変化する場合、受信メッセージがそのルールに従わなければ、そのメッセージが攻撃メッセージであると判定される。他にも多くのルールが存在し、受信メッセージがそれぞれのルールから逸脱したときに、その受信メッセージが攻撃メッセージであると判定される。
【0034】
よって、データの振舞いに基づく検知手法を実行する場合、識別子ごとに、データ領域内の何ビット目から何ビット目までの間にどのような形式のデータが格納されているのかを事前に知っておく必要がある。具体的には、攻撃検知を行う前に、ネットワークの通信ログに基づいて、メッセージ内にどのような形式のデータが格納されているのかを調査する必要がある。すなわち、検知者は、攻撃検知を行う前に、下記の２つの処理を行う。
処理Ａ：ネットワークの通信ログに基づいて、識別子ごとに、メッセージの送信タイプを推定する。
処理Ｂ：ネットワークの通信ログに基づいて、識別子ごとに、メッセージのデータ領域内にどのような形式のデータが含まれているのかを推定する。
処理Ａ：ネットワークの通信ログに基づいて、識別子ごとに、メッセージの送信タイプを推定する。
処理Ｂ：ネットワークの通信ログに基づいて、識別子ごとに、メッセージのデータ領域内にどのような形式のデータが含まれているのかを推定する。
【0035】
図５は、メッセージ内に格納される各データの形式の例を示す。この例では、先頭の１６ビットのデータ形式が連続値であり、次の８ビットのデータ形式が固定値であり、最後の８ビットのデータ形式がチェックサムである。ここで、「連続値」は、ある受信メッセージに格納されている値とその次の受信メッセージに格納されている値との差分が所定の閾値より小さいデータを表す。例えば、所定の時間間隔（例えば、１０ｍ秒）で検出されるハンドル角度の変化量は、所定値より大きくなることはないと考えられる。よって、ある受信メッセージから検出される値とその次の受信メッセージから検出される値との差分が閾値より大きいときは、攻撃が発生したと判定される。或いは、「固定値」が格納されている領域において他の値が検出されたときには、攻撃が発生したと判定される。
【0036】
ここで、処理Ｂ（即ち、メッセージのデータ領域内のどの位置にどのような形式のデータが格納されているのかの推定）については、例えば、文献Ｘまたは文献Ｙに記載されている。
文献Ｘ：Field Classification, Modeling and Anomaly Detection in Unknown CAN Bus Networks (Markovitz, Wool)(国際会議escar 2015)
文献Ｙ：ＷＯ２０１８／１０５３３０
文献Ｘ：Field Classification, Modeling and Anomaly Detection in Unknown CAN Bus Networks (Markovitz, Wool)(国際会議escar 2015)
文献Ｙ：ＷＯ２０１８／１０５３３０
【0037】
文献Ｘに記載されている方法では、データのユニーク性を利用して３つの形式（固定値、マルチ値、連続値／センサ値）が識別される。また、文献Ｙに記載されている方法では、データのユニーク性およびデータの時系列変化に関する特徴量（分散など）を利用することで、５つの形式（固定値、カウンタ、連続値、チェックサム、ステータス（マルチ値））が識別される。
【0038】
しかし、文献Ｘまたは文献Ｙに記載されている方法では、イベント送信付き周期メッセージからイベント領域を検出することは困難である。なお、「イベント領域」は、この明細書では、イベント送信付き周期メッセージにおいてイベントの発生時に特定の値が設定される領域、又は、イベント送信付き周期メッセージにおいて通常時には固定値であるがイベントの発生時にはその値が変化する領域を意味する。また、文献Ｘまたは文献Ｙに記載されている方法では、上述した処理Ｂと同時または平行に、上述した処理Ａを行うことは困難である。このため、攻撃検知の準備に要する時間が長くなってしまう。そこで、本発明の実施形態に係わる推定方法は、これらの問題を解決する機能を備える。
【0039】
＜第１の実施形態＞
図６は、本発明の実施形態に係わる推定装置の一例を示す。本発明の実施形態に係わる推定装置１０は、通信ログデータベース１１、制御部１２、パターン数カウンタ１３、受信間隔判定部１４、変数更新部１５、形式推定部１６、途中結果格納部１７、および最終結果推定部１８を備える。なお、推定装置１０は、図６に示していない他の回路または機能を備えていてもよい。
図６は、本発明の実施形態に係わる推定装置の一例を示す。本発明の実施形態に係わる推定装置１０は、通信ログデータベース１１、制御部１２、パターン数カウンタ１３、受信間隔判定部１４、変数更新部１５、形式推定部１６、途中結果格納部１７、および最終結果推定部１８を備える。なお、推定装置１０は、図６に示していない他の回路または機能を備えていてもよい。
【0040】
推定装置１０は、複数のＥＣＵを含む通信ネットワークに接続される。そして、推定装置１０は、各ＥＣＵから送信されるフレームを受信する。各フレームには、メッセージが格納されている。すなわち、推定装置１０は、各ＥＣＵから送信されるメッセージを受信する。図１に示す例では、ＥＣＵ０が推定装置１０として動作してもよい。この場合、推定装置１０は、ＥＣＵ１～ＥＣＵｋから送信されるメッセージを受信する。あるいは、推定装置１０は、複数のＥＣＵを含む通信ネットワークから取得した通信ログを分析する、外部の計算装置に実装されたコンピュータプログラムである。この場合、各ＥＣＵから送信された通信ログから１個ずつフレームのログを取得して処理を行う。
【0041】
推定装置１０は、メッセージの送信タイプを識別する機能を備える。すなわち、推定装置１０は、周期メッセージ、非周期メッセージ、又はイベント送信付き周期メッセージを識別する機能を備える。イベント送信付き周期メッセージは、図２を参照して説明したように、通常時は一定の周期で送信されるが、所定のイベントが発生したときは、そのイベントの発生に起因して送信される。したがって、イベント送信付き周期メッセージは、通常時は一定の周期で送信されるが、イベントの発生時には、その周期より短い時間間隔で送信される。また、第１の実施形態において検出されるイベント送信付き周期メッセージは、イベントの発生時には、図２に示すケース１のように、メッセージ中の所定の領域に特定の値が設定されるものとする。
【0042】
通信ログデータベース１１には、推定装置１０が受信するメッセージに係わる通信ログが保存される。通信ログには、図７に示すように、メッセージの受信時刻、メッセージに含まれる識別子、およびメッセージのデータ領域に格納されているデータが記録される。なお、この実施例では、図３に示すように、データ領域は６４ビットである。よって、各メッセージに格納されるデータの長さは、最大で６４ビットである。
【0043】
推定装置１０は、通信ログデータベース１１に保存されている通信ログを利用して、識別子ごとに、メッセージの送信タイプおよびメッセージに格納されているデータの特徴を推定する。なお、以下の説明では、特に断らない限り、推定対象の識別子に対する処理について記載する。
【0044】
制御部１２は、所定のモニタ期間を指定する。そして、制御部１２は、モニタ期間に対応する通信ログから、各メッセージの受信時刻を表す情報およびデータ領域に格納されているデータを取得する。以下の記載では、ｉ番目に推定装置１０に到着したメッセージの受信時刻を「ｔ（ｉ）」と表記し、そのメッセージに格納されているデータを「Ｄａｔａ（ｉ）」と表記することがある。
【0045】
ここで、推定装置１０は、各メッセージに格納されているデータの振舞いに基づく攻撃検知を実現するための情報を生成する。このため、推定装置１０は、各メッセージのデータ領域を解析する。ただし、推定装置１０にとって、データ領域内のどの位置にどのような長さのデータが格納されているのかは未知である。よって、推定装置１０は、すべての格納パターンについてデータの値を解析する。
【0046】
なお、以下の記載では、６４ビットのデータ領域内に１または複数の個別データが格納されるとき、各個別データが格納される領域を「部分領域」と呼ぶことがある。例えば、図５に示す実施例では、データ領域は、ハンドル角度データを格納する１６ビットの部分領域、固定データを格納する８ビットの部分領域、およびチェックサムデータを格納する８ビットの部分領域を含んでいる。
【0047】
推定装置１０は、各部分領域に格納されているデータを解析する。ここで、個別データを格納する部分領域の開始位置および長さは未知である。よって、推定装置１０は、すべての格納パターンについてデータの値を解析する。例えば、部分領域の長さが１ビットである場合、第１ビットから開始される部分領域、第２ビットから開始される部分領域・・・第６４ビットから開始される部分領域、が存在し得る。すなわち、部分領域の長さが１ビットである場合、６４種類の部分領域が存在し得る。また、部分領域の長さが２ビットである場合、第１ビットから開始される部分領域、第１ビットから開始される部分領域・・・第６３ビットから開始される部分領域、が存在し得る。すなわち、部分領域の長さが２ビットである場合、６３種類の部分領域が存在し得る。以下、同様に、部分領域の長さがｋビットである場合、「６４＋１－ｋ」種類の部分領域が存在し得る。よって、合計で２０８０パターンの部分領域が存在することになる。
【0048】
このように、各部分領域は、データ領域内での開始位置および長さの組合せで識別される。よって、以下の記載では、開始位置Ｐおよび長さＬで識別される部分領域またはその部分領域に格納されている値を「Ｄａｔａ（Ｐ，Ｌ）」と表記することがある。例えば、図８において、ハンドル角度データは、データ領域内の第１ビットから格納され、その長さは１６ビットである。よって、ハンドル角度データが格納されている部分領域は「Ｄａｔａ（１，１６）」で表される。また、固定データは、データ領域内の第１７ビットから格納され、その長さは８ビットである。よって、固定データが格納されている部分領域は「Ｄａｔａ（１７，８）」で表される。
【0049】
パターン数カウンタ１３は、各部分領域についてパターン数をカウントする。即ち、２０８０通りの部分領域それぞれについてパターン数がカウントされる。パターン数は、モニタ期間内に推定装置１０に到着したメッセージにおいて現れる、異なる値の数を表す。例えば、全ての受信メッセージに同じ値が格納されているときは、パターン数は「１」である。また、１０個の受信メッセージのうち、５個のメッセージに値Ｘが格納され、残りの５個のメッセージに値Ｙが格納されているときは、パターン数は「２」である。更に、１０個の受信メッセージのうち、５個のメッセージに値Ｘが格納され、３個のメッセージに値Ｙが格納され、残りの２個のメッセージに値Ｚが格納されているときは、パターン数は「３」である。なお、以下の記載においては、部分領域Ｄａｔａ（Ｐ，Ｌ）のパターン数を「ＤＰ（Ｐ，Ｌ）」と表記することがある。
【0050】
受信間隔判定部１４は、各受信メッセージについて、当該メッセージの受信時刻と当該メッセージの直前のメッセージの受信時刻の差分を表す受信間隔を計算する。すなわち、ｉ番目のメッセージに対して、受信時刻ｔ（ｉ）と受信時刻ｔ（ｉ－１）との差分を計算することにより受信間隔ｄｔ（ｉ）が計算される。また、受信間隔判定部１４は、各受信メッセージに対して送信周期と受信間隔ｄｔ（ｉ）とを比較して、その比較結果を制御部１２に通知する。
【0051】
変数更新部１５は、各部分領域に対して、下記の３つの変数を管理する。即ち、２０８０通りの部分領域それぞれに対して各変数が管理される。なお、下記の送信間隔は、推定対象の識別子を含むメッセージの送信間隔を表す。
（１）メッセージの受信間隔が送信周期より短いか否かを表す変数ｓ＿ｆ
（２）メッセージの受信間隔が送信周期と一致するか否かを表す変数ｐ＿ｆ
（３）メッセージの受信間隔が所定のイベントの発生時以外の期間において送信周期と一致するか否かを表す変数ｆ＿ｆ
なお、変数ｆ＿ｆは、メッセージの受信間隔が所定のイベントの発生時以外の期間において送信周期と一致するか否かを表すことに加えて、イベント発生時以外の期間にデータが一定であるか否かを表してもよい。すなわち、変数ｆ＿ｆは、メッセージの受信間隔が所定のイベントの発生時以外の期間において送信周期と一致するか否かを表すことに加えて、イベントの発生時以外の期間において部分領域に格納される値がイベント発生時以外に格納されるべき値であるか否かを表してもよい。そして、変数更新部１５は、メッセージの受信間隔に基づいて、これらのメッセージを更新する。このとき、ある部分領域に係わる変数は、メッセージの受信間隔およびその部分領域の値に基づいて更新されることがある。これらの変数の初期値は、それぞれ「１」である。また、これらの変数は、いったん「０」に更新された後は、「１」に戻ることはない。なお、以下の記載では、開始位置Ｐおよび長さＬで識別される部分領域に係わる変数をそれぞれ「ｓ＿ｆ（Ｐ，Ｌ）」「ｐ＿ｆ（Ｐ，Ｌ）」「ｆ＿ｆ（Ｐ，Ｌ）」と表記することがある。
（１）メッセージの受信間隔が送信周期より短いか否かを表す変数ｓ＿ｆ
（２）メッセージの受信間隔が送信周期と一致するか否かを表す変数ｐ＿ｆ
（３）メッセージの受信間隔が所定のイベントの発生時以外の期間において送信周期と一致するか否かを表す変数ｆ＿ｆ
なお、変数ｆ＿ｆは、メッセージの受信間隔が所定のイベントの発生時以外の期間において送信周期と一致するか否かを表すことに加えて、イベント発生時以外の期間にデータが一定であるか否かを表してもよい。すなわち、変数ｆ＿ｆは、メッセージの受信間隔が所定のイベントの発生時以外の期間において送信周期と一致するか否かを表すことに加えて、イベントの発生時以外の期間において部分領域に格納される値がイベント発生時以外に格納されるべき値であるか否かを表してもよい。そして、変数更新部１５は、メッセージの受信間隔に基づいて、これらのメッセージを更新する。このとき、ある部分領域に係わる変数は、メッセージの受信間隔およびその部分領域の値に基づいて更新されることがある。これらの変数の初期値は、それぞれ「１」である。また、これらの変数は、いったん「０」に更新された後は、「１」に戻ることはない。なお、以下の記載では、開始位置Ｐおよび長さＬで識別される部分領域に係わる変数をそれぞれ「ｓ＿ｆ（Ｐ，Ｌ）」「ｐ＿ｆ（Ｐ，Ｌ）」「ｆ＿ｆ（Ｐ，Ｌ）」と表記することがある。
【0052】
形式推定部１６は、各部分領域に格納されているデータの形式（または、属性）を推定する。このとき、形式推定部１６は、格納されているデータの値、パターン数カウンタ１３により得られるパターン数ＤＰ、および変数更新部１５により更新された変数に基づいて、各部分領域に格納されているデータの形式を推定する。
【0053】
途中結果格納部１７は、パターン数カウンタ１３、受信間隔判定部１４、変数更新部１５および形式推定部１６の処理結果を一時的に保存する。
【0054】
制御部１２は、モニタ期間内のすべての通信ログについて処理が終了すると、終了通知を生成して最終結果推定部１８に与える。そうすると、最終結果推定部１８は、途中結果格納部１７に保存されている処理結果を利用して、識別子ごとに、メッセージの送信タイプおよびメッセージに格納されているデータの形式を推定する。このとき、最終結果推定部１８は、各部分領域についての推定結果に基づいて、メッセージの送信タイプおよびメッセージに格納されているデータの形式を推定する。
【0055】
図９は、本発明の実施形態に係わる推定処理の一例を示すフローチャートである。このフローチャートの処理は、指定されたモニタ期間および指定された識別子に対して実行される。
【0056】
Ｓ１において、推定装置１０は、推定処理において使用する変数を初期化する。具体的には、全ての部分領域について、パターン数ＤＰ（Ｐ，Ｌ）が「ゼロ」に初期化される。また、全ての部分領域について、変数ｓ＿ｆ、ｐ＿ｆ、ｆ＿ｆがそれぞれ「１」に初期化される。
【0057】
各変数は、図１０に示す変数管理テーブルにより管理される。図１０において、部分領域を識別する２つの数字は、データ領域内の開始位置Ｐおよび長さＬを表す。また、形式１～８については後で説明する。この変数管理テーブルは、例えば、途中経過格納部１７に保存される。なお、変数管理テーブルは、図１０に示す変数に加えて、図１０に示していない他の変数を管理してもよい。
【0058】
Ｓ２において、推定装置１０は、前処理を実行する。前処理は、各受信メッセージに対して、且つ、各受信メッセージ内の各部分領域に対して実行される。すなわち、推定装置１０は、通信ログから１レコード分のデータを取り出す毎に、２０８０個の部分領域それぞれに対して前処理を実行する。
【0059】
Ｓ３において、推定装置１０は、推定処理を実行する。推定処理は、各部分領域に格納されているデータの形式を推定する処理、および各部分領域のデータ形式に基づいてメッセージの送信タイプを推定する処理を含む。
【0060】
Ｓ４において、推定装置１０は、重複解消処理を実行する。重複解消処理は、部分領域に格納されているデータの形式を確定させる処理を含む。
【0061】
図１１は、前処理の一例を示すフローチャートである。この前処理は、図９に示すＳ２に相当する。よって、この前処理は、各部分領域に対して実行される。以下の記載では、前処理が実行される部分領域を「対象部分領域」と呼ぶことがある。
【0062】
Ｓ１１において、形式判定部１６は、対象部分領域に格納されているデータの形式を推定する。この実施例では、データは、以下の１０個の形式のうちのいずれか１つの該当するものとする。
形式１：固定値
形式２：チェックサム（計算式）
形式３：カウンタ
形式４：単調増加
形式５：符号なし連続値
形式６：符号付き連続値
形式７：チェックサム（一様）
形式８：マルチ値
形式９：イベント（特定値：イベント発生時に特定の値が設定される）
形式１０：イベント（変化：イベント発生時に値が変化する）
なお、形式１０は、後述する第２の実施形態において検出される。そして、Ｓ１１においては、形式判定部１６は、対象部分領域に格納されているデータの形式が上述の形式１～４のいずれかに該当する可能性があるか否かを判定する。そして、形式判定部１６は、対象部分領域に格納されているデータの形式がある形式に該当し得るときは、その形式に対応するフラグに「１」が設定され、そうでないときは、その形式に対応するフラグに「０」が設定される。
形式１：固定値
形式２：チェックサム（計算式）
形式３：カウンタ
形式４：単調増加
形式５：符号なし連続値
形式６：符号付き連続値
形式７：チェックサム（一様）
形式８：マルチ値
形式９：イベント（特定値：イベント発生時に特定の値が設定される）
形式１０：イベント（変化：イベント発生時に値が変化する）
なお、形式１０は、後述する第２の実施形態において検出される。そして、Ｓ１１においては、形式判定部１６は、対象部分領域に格納されているデータの形式が上述の形式１～４のいずれかに該当する可能性があるか否かを判定する。そして、形式判定部１６は、対象部分領域に格納されているデータの形式がある形式に該当し得るときは、その形式に対応するフラグに「１」が設定され、そうでないときは、その形式に対応するフラグに「０」が設定される。
【0063】
このとき、データ形式の推定において下記の情報が参照される。
（１）データの出現パターン数
（２）データを符号なしデータとみなしたときのデータの変化量の分散値
（３）データを符号付きデータとみなしたときのデータの変化量の分散値
（４）チェックサムの計算式（どの部分の値に基づいて、どのように計算するのかを表す情報）
（５）データの一様分布性
（６）直前のメッセージの値との差分値
Ｓ１１においては、下記の処理が実行される。
（１）データの出現パターン数が２以上になったときは、形式１に対応する固定値可能性フラグに「０」を設定する。
（２）チェックサム計算の結果が対象部分領域に格納されている値と一致しないときは、形式２に対応するチェックサム（計算式）可能性フラグに「０」を設定する。なお、チェックサムは、通常、ｎバイト（ｎは、整数）のデータに対して実行されるので、データ長がこの条件に該当しないときは、即座に、チェックサム（計算式）可能性フラグに「０」を設定してもよい。
（３）直前のメッセージの値との差分値がプラス方向およびマイナス方向の双方に変化することあるときは、形式３に対応するカウンタ可能性フラグに「０」を設定すると共に、形式４に対応する単調増加可能性フラグにも「０」を設定する。
（４）直前のメッセージの値との差分値が全てのメッセージについてプラス方向またはマイナス方向のいずれか一方向であるが、差分値の大きさが一定以上であるときは、形式４に対応する単調増加可能性フラグに「０」を設定する。
（５）直前のメッセージの値との差分値がゼロ以外の一定値ではないときは、形式３に対応するカウンタ可能性フラグに「０」を設定する
（６）直前のメッセージの値との差分値差分値がゼロ以外の一定値であるときは、形式４に対応する単調増加可能性フラグに「０」を設定する。
（１）データの出現パターン数
（２）データを符号なしデータとみなしたときのデータの変化量の分散値
（３）データを符号付きデータとみなしたときのデータの変化量の分散値
（４）チェックサムの計算式（どの部分の値に基づいて、どのように計算するのかを表す情報）
（５）データの一様分布性
（６）直前のメッセージの値との差分値
Ｓ１１においては、下記の処理が実行される。
（１）データの出現パターン数が２以上になったときは、形式１に対応する固定値可能性フラグに「０」を設定する。
（２）チェックサム計算の結果が対象部分領域に格納されている値と一致しないときは、形式２に対応するチェックサム（計算式）可能性フラグに「０」を設定する。なお、チェックサムは、通常、ｎバイト（ｎは、整数）のデータに対して実行されるので、データ長がこの条件に該当しないときは、即座に、チェックサム（計算式）可能性フラグに「０」を設定してもよい。
（３）直前のメッセージの値との差分値がプラス方向およびマイナス方向の双方に変化することあるときは、形式３に対応するカウンタ可能性フラグに「０」を設定すると共に、形式４に対応する単調増加可能性フラグにも「０」を設定する。
（４）直前のメッセージの値との差分値が全てのメッセージについてプラス方向またはマイナス方向のいずれか一方向であるが、差分値の大きさが一定以上であるときは、形式４に対応する単調増加可能性フラグに「０」を設定する。
（５）直前のメッセージの値との差分値がゼロ以外の一定値ではないときは、形式３に対応するカウンタ可能性フラグに「０」を設定する
（６）直前のメッセージの値との差分値差分値がゼロ以外の一定値であるときは、形式４に対応する単調増加可能性フラグに「０」を設定する。
【0064】
なお、可能性フラグが「０」である状態は、対象部分領域に格納されているデータが対応する形式に該当しないことを表す。換言すれば、可能性フラグが「１」である状態は、対象部分領域に格納されているデータが対応する形式に該当し得ることを表す。このように、Ｓ１１においては、対象部分領域に格納されているデータが形式１～４に該当し得るか否かが判定される。
【0065】
Ｓ１２～Ｓ１３において、パターン数カウンタ１３は、必要に応じて、対象部分領域のパターン数ＤＰを更新する。具体的には、新たな受信メッセージの対象部分領域の値が、過去の受信メッセージの対処部分領域に格納されていたいずれの値にも一致しないときには、パターン数ＤＰが１だけインクリメントされ、また、その新たな値が保存される。なお、パターン数ＤＰが３以上であるときは、メモリ領域を節約するために、その新たな値を保存しなくてもよい。
【0066】
Ｓ１４において、受信間隔判定部１４は、メッセージの受信間隔ｄｔを計算する。すなわち、処理対象のメッセージの受信時刻と直前に受信したメッセージの受信時刻との差分が計算される。なお、受信間隔は、すべての部分領域に対して同じなので、受信間隔判定部１４は、各部分領域に対して受信間隔を計算する必要はない。
【0067】
Ｓ１５において、受信間隔判定部１４は、受信間隔ｄｔが送信周期Ｔより小さいか否かを判定する。なお、Ｓ１５の判定において、送信周期Ｔは、送信周期Ｔよりも所定量ｔｈ１だけ小さい値（Ｔ－ｔｈ１）を意味する。そして、受信間隔ｄｔが送信周期Ｔより小さいときは、Ｓ１６において、変数更新部１５は、変数ｐ＿ｆを「０」に更新する。
【0068】
Ｓ１７において、変数更新部１５は、対象部分領域に格納されている値（Ｄａｔａ（Ｐ，Ｌ））が最初の受信メッセージの対象部分領域に格納されていた値（ｄ（１））と一致するか否かを判定する。ここで、Ｓ１７の処理は、Ｓ１５の判定が「Ｙｅｓ」であったときに実行される。すなわち、受信間隔ｄｔが送信周期Ｔより小さく、且つ、対象部分領域に格納されている値（Ｄａｔａ（Ｐ，Ｌ））が最初の受信メッセージの対象部分領域に格納されていた値（ｄ（１））と一致するときに、Ｓ１７の判定が「Ｙｅｓ」となる。そして、この状況は、「通常は、一定の周期で送信されるが、あるイベントが発生したときには、そのイベントの発生に起因して特定の値が設定される」を満足しないことになる。よって、Ｓ１７の判定が「Ｙｅｓ」となるときは、Ｓ１８において、変数更新部１５は、変数ｆ＿ｆを「０」に更新する。
【0069】
例えば、図２に示すケース１において、メッセージＭ５のデータがメッセージＭ１のデータと一致する場合には、Ｓ１７の判定が「Ｙｅｓ」となり、Ｓ１８において変数ｆ＿ｆが「０」に更新される。一方、メッセージＭ５のデータがメッセージＭ１のデータと異なるときは、Ｓ１７の判定が「Ｎｏ」となり、変数ｆ＿ｆは更新されない。
【0070】
Ｓ１９において、受信間隔判定部１４は、受信間隔ｄｔが送信周期Ｔより大きいか否かを判定する。なお、Ｓ１９の判定において、送信周期Ｔは、送信周期Ｔよりも所定量ｔｈ２だけ大きい値（Ｔ－ｔｈ２）を意味する。そして、受信間隔ｄｔが送信周期Ｔより大きいときには、Ｓ２０において、変数更新部１５は、変数ｓ＿ｆ、ｐ＿ｆ、ｆ＿ｆをそれぞれ「０」に更新する。
【0071】
受信間隔ｄｔが送信間隔Ｔと一致または略一致するとき（Ｔ－ｔｈ１＜ｄｔ＜Ｔ＋ｔｈ２）には、Ｓ２１において、変数更新部１５は、対象部分領域に格納されている値が最初の受信メッセージの対象部分領域に格納されていた値と一致するか否かを判定する。ここで、Ｓ２１の処理は、実質的に、Ｓ１７と同じである。そして、受信間隔ｄｔが送信間隔Ｔと一致または略一致し、且つ、対象部分領域に格納されている値が最初の受信メッセージの対象部分領域に格納されていた値と異なるときは、変数更新部１５は、Ｓ２２において、変数ｆ＿ｆを「０」に更新する。一方、Ｓ２１において対象部分領域に格納されている値が最初の受信メッセージの対象部分領域に格納されていた値と一致するときは、変数ｓ＿ｆ、ｐ＿ｆ、ｆ＿ｆは保持される。
【0072】
このように、受信間隔ｄｔが送信周期Ｔより小さく、且つ、対象部分領域に格納されている値が最初の受信メッセージの対象部分領域に格納されている値と一致するときに、変数ｆ＿ｆが「０」に更新される。また、受信間隔ｄｔが送信間隔Ｔと一致または略一致し、且つ、対象部分領域に格納されている値が最初の受信メッセージの対象部分領域に格納されていた値と異なるときも、変数ｆ＿ｆを「０」に更新してもよい。
【0073】
なお、ある部分領域に対応する変数が「０」である状態は、その部分領域を含むメッセージの送信タイプが、その変数に対応する送信タイプに該当しないことを表す。換言すれば、モニタ期間の全ての受信メッセージに対して前処理が終了したときに、ある部分領域に対応する変数が「１」である状態は、その部分領域を含むメッセージが、その変数に対応する送信タイプで送信されている可能性があると推定される。
【0074】
図１２は、推定処理の一例を示すフローチャートである。この推定処理は、図９に示すＳ３に相当する。なお、推定処理は、図１１に示す前処理が終了した後に実行される。したがって、推定処理が実行されるときには、各部分領域について、パターン数ＤＰおよび変数ｓ＿ｆ、ｐ＿ｆ、ｆ＿ｆの更新は終了している。
【0075】
形式推定部１６は、各部分領域についてＳ３１～Ｓ３６の処理を実行する。よって、推定処理が実行される部分領域「対象部分領域」と呼ぶことがある。
【0076】
Ｓ３１において、形式推定部１６は、対象部分領域に対して設けられているパターン数ＤＰおよび変数ｓ＿ｆ、ｐ＿ｆ、ｆ＿ｆが下記の３つの条件を満たしているか否かを判定する。
（１）パターン数ＤＰは「２」である
（２）変数ｓ＿ｆは「１」である
（３）変数ｆ＿ｆは「１」である
なお、条件（１）は、モニタ期間内に受信するメッセージの対象部分領域に、２種類の値が現れたことを表す。条件（２）は、モニタ期間内に、少なくとも１回、送信周期より短い受信間隔でメッセージが到着したことを表す。条件（３）は、受信メッセージがイベント送信付き周期メッセージである可能性があることを表す。
（１）パターン数ＤＰは「２」である
（２）変数ｓ＿ｆは「１」である
（３）変数ｆ＿ｆは「１」である
なお、条件（１）は、モニタ期間内に受信するメッセージの対象部分領域に、２種類の値が現れたことを表す。条件（２）は、モニタ期間内に、少なくとも１回、送信周期より短い受信間隔でメッセージが到着したことを表す。条件（３）は、受信メッセージがイベント送信付き周期メッセージである可能性があることを表す。
【0077】
上記３つの条件を満足するときは、形式推定部１６は、Ｓ３２において、対象部分領域を含むメッセージの送信タイプが「イベント送信付き周期メッセージ（特定値）」であると推定する。一方、上記３つの条件を満足しないときは、形式推定部１６の処理はＳ３３に進む。
【0078】
Ｓ３３において、形式推定部１６は、対象部分領域に対して設けられている変数ｐ＿ｆが「１」であるか否かを判定する。なお、変数ｐ＿ｆが「１」である状態は、すべての受信メッセージの受信間隔が送信周期Ｔと一致または略一致したときに得られる。そして、変数ｐ＿ｆが「１」であるときは、形式推定部１６は、Ｓ３４において、対象部分領域を含むメッセージの送信タイプが「周期メッセージ」であると推定する。一方、変数ｐ＿ｆが「１」でないときは、形式推定部１６は、Ｓ３５において、対象部分領域を含むメッセージの送信タイプが「非周期メッセージ」であると推定する。
【0079】
Ｓ３６において、形式推定部１６は、対象部分領域に格納されているデータの形式が上述した形式５～８のいずれかに該当し得るか否かを判定する。具体的には、下記の処理が実行される。
（１）対象部分領域に格納されているデータを「符号なしデータ」とみなしたときのデータの変化量の分散値が一定値を超えているときは、形式５に対応する符号なし連続値可能性フラグに「０」を設定する。
（２）対象部分領域に格納されているデータを「符号付きデータ」とみなしたときのデータの変化量の分散値が一定値を超えているときは、形式６に対応する符号付き連続値可能性フラグに「０」を設定する。
（３）対象部分領域に格納されているデータが一様に分布していないときは、形式７に対応するチェックサム（一様）可能性フラグに「０」を設定する。
（４）形式８に対応するマルチ値可能性フラグを「１」に設定する。或いは、形式推定部１６は、マルチ値可能性フラを使用しなくてもよい。
（１）対象部分領域に格納されているデータを「符号なしデータ」とみなしたときのデータの変化量の分散値が一定値を超えているときは、形式５に対応する符号なし連続値可能性フラグに「０」を設定する。
（２）対象部分領域に格納されているデータを「符号付きデータ」とみなしたときのデータの変化量の分散値が一定値を超えているときは、形式６に対応する符号付き連続値可能性フラグに「０」を設定する。
（３）対象部分領域に格納されているデータが一様に分布していないときは、形式７に対応するチェックサム（一様）可能性フラグに「０」を設定する。
（４）形式８に対応するマルチ値可能性フラグを「１」に設定する。或いは、形式推定部１６は、マルチ値可能性フラを使用しなくてもよい。
【0080】
なお、可能性フラグが「０」である状態は、対象部分領域に格納されているデータが対応する形式に該当しないことを表す。換言すれば、可能性フラグが「１」である状態は、対象部分領域に格納されているデータが対応する形式に該当し得ることを表す。このように、Ｓ３６においては、対象部分領域に格納されているデータが形式５～８に該当し得るか否かが判定される。
【0081】
このように、Ｓ３１～Ｓ３６において、各部分領域について、データ形式および送信タイプが推定される。この後、形式推定部１６は、Ｓ３７において、メッセージの送信タイプを推定する。一例としては、１以上の部分領域に対してＳ３１の判定が「Ｙｅｓ」であったときは、形式推定部１６は、メッセージの送信タイプが「イベント送信付き周期メッセージ」であると推定する。また、Ｓ３１において「Ｙｅｓ」と判定された部分領域が存在せず、且つ、１以上の部分領域に対してＳ３３の判定が「Ｙｅｓ」であったときには、形式推定部１６は、メッセージの送信タイプが「周期メッセージ」であると推定する。上記２つのケースに該当しないときは、形式推定部１６は、メッセージの送信タイプが「非周期メッセージ」であると推定する。
【0082】
上述の前処理および推定処理により、各部分領域について、データ形式の候補としてありえないものが除去された結果を表す可能性フラグが得られる。ただし、１つの部分領域に対して複数の候補が残っていることがある。また、ある部分領域が他の部分領域に包含されていることがある。したがって、図９に示す重複解消処理が実行される。なお、「連続値」は、所定長より短いデータに対しては意味をなさないので、例えば、部分領域の長さが４ビットより短いときは、連続値可能性フラグに「０」を設定してもよい。「チェックサム」も同様である。
【0083】
図９に示す重複解消処理は、例えば、下記の処理を含む。なお、重複解消処理は、例えば、最終結果推定部１８により実行される。
【0084】
（１）部分領域のデータ長を１ビットから６４ビットまでインクリメントしながら、或いは、部分領域のデータ長を６４ビットから１ビットまで１ずつデクリメントしながら、固定値可能性フラグが「１」に設定されている部分領域のデータ形式を「固定値」に決定する。
【0085】
（２）部分領域の開始位置を表す変数ｉおよび部分領域のデータ長を表す変数ｊを用意する。変数ｉは、第１ビットからデータ長ビット目までを順番に指定する。変数ｊは、第ｉビットからデータ形式が決定されていないビットまでの長さを初期値として、１までデクリメントしていく。ただし、ｉ＋ｊの値が８の倍数になるときは、その値に対応する部分領域を優先して処理する。そして、変数ｉおよび変数ｊを変えながら、下記の重複解消処理が実行される。なお、下記の記載において（ｉ，ｊ）は、開始位置が第ｉビットであり、長さがｊビットである部分領域を表す。
（２ａ）（ｉ，ｊ）のチェックサム（計算式）可能性フラグが「１」であるときは、第ｉビットからｊビット分の領域に格納されているデータを「チェックサム（計算式）」に決定する。
（２ｂ）（ｉ，ｊ）のイベント（特定値）可能性フラグが「１」であるときは、第ｉビットからｊビット分の領域に格納されているデータを「イベント（特定値）」に決定する。
（２ｃ）（ｉ，ｊ）のイベント（変化）可能性フラグが「１」であるときは、第ｉビットからｊビット分の領域に格納されているデータを「イベント（変化）」に決定する。尚、「イベント（変化）」については、後述する第２の実施形態で説明する。
（２ｄ）（ｉ，ｊ）のカウンタ可能性フラグが「１」であるときは、第ｉビットからｊビット分の領域に格納されているデータを「カウンタ」に決定する。
（２ｅ）（ｉ，ｊ）の単調増加可能性フラグが「１」であるときは、第ｉビットからｊビット分の領域に格納されているデータを「単調増加」に決定する。
（２ｆ）（ｉ，ｊ）の符号なし連続値可能性フラグが「１」であり、且つ、符号付き連続値可能性フラグも「１」であるときは、第ｉビットからｊビット分の領域に格納されているデータを、分散の小さい方の形式に決定する。
（２ｇ）（ｉ，ｊ）の符号なし連続値可能性フラグが「１」であり、且つ、符号付き連続値可能性フラグが「０」であるときは、第ｉビットからｊビット分の領域に格納されているデータを「符号なし連続値」に決定する。
（２ｈ）（ｉ，ｊ）の符号なし連続値可能性フラグが「０」であり、且つ、符号付き連続値可能性フラグが「１」であるときは、第ｉビットからｊビット分の領域に格納されているデータを「符号付き連続値」に決定する。
（２ｉ）（ｉ，ｊ）のチェックサム（一様）可能性フラグが「１」であるときは、第ｉビットからｊビット分の領域に格納されているデータを「チェックサム（一様）」に決定する。
（２ｊ）第ｉビットから１ビット分を「マルチ値」に決定する。
（２ｋ）「マルチ値」以外の形式に決定されているときは、ｉにｊを加えてループを継続する。「マルチ値」と決定されているときは、ｉに「１」を加えてループを継続する。
（２ａ）（ｉ，ｊ）のチェックサム（計算式）可能性フラグが「１」であるときは、第ｉビットからｊビット分の領域に格納されているデータを「チェックサム（計算式）」に決定する。
（２ｂ）（ｉ，ｊ）のイベント（特定値）可能性フラグが「１」であるときは、第ｉビットからｊビット分の領域に格納されているデータを「イベント（特定値）」に決定する。
（２ｃ）（ｉ，ｊ）のイベント（変化）可能性フラグが「１」であるときは、第ｉビットからｊビット分の領域に格納されているデータを「イベント（変化）」に決定する。尚、「イベント（変化）」については、後述する第２の実施形態で説明する。
（２ｄ）（ｉ，ｊ）のカウンタ可能性フラグが「１」であるときは、第ｉビットからｊビット分の領域に格納されているデータを「カウンタ」に決定する。
（２ｅ）（ｉ，ｊ）の単調増加可能性フラグが「１」であるときは、第ｉビットからｊビット分の領域に格納されているデータを「単調増加」に決定する。
（２ｆ）（ｉ，ｊ）の符号なし連続値可能性フラグが「１」であり、且つ、符号付き連続値可能性フラグも「１」であるときは、第ｉビットからｊビット分の領域に格納されているデータを、分散の小さい方の形式に決定する。
（２ｇ）（ｉ，ｊ）の符号なし連続値可能性フラグが「１」であり、且つ、符号付き連続値可能性フラグが「０」であるときは、第ｉビットからｊビット分の領域に格納されているデータを「符号なし連続値」に決定する。
（２ｈ）（ｉ，ｊ）の符号なし連続値可能性フラグが「０」であり、且つ、符号付き連続値可能性フラグが「１」であるときは、第ｉビットからｊビット分の領域に格納されているデータを「符号付き連続値」に決定する。
（２ｉ）（ｉ，ｊ）のチェックサム（一様）可能性フラグが「１」であるときは、第ｉビットからｊビット分の領域に格納されているデータを「チェックサム（一様）」に決定する。
（２ｊ）第ｉビットから１ビット分を「マルチ値」に決定する。
（２ｋ）「マルチ値」以外の形式に決定されているときは、ｉにｊを加えてループを継続する。「マルチ値」と決定されているときは、ｉに「１」を加えてループを継続する。
【0086】
ｉ＋ｊの値が８の倍数になるときに、その値に対応する部分領域を優先して処理する理由は、データ領域の先頭からカウントして８の倍数のビット位置にデータの境界が設定されることが多いためである。また、上述の手順では、データ領域の先頭から処理が行われるが、データ領域の最後尾から処理が行われてもよい。さらに、上記２ｂ、２ｃは、互いに入れ替えてもよい。上記２ｆ、２ｇ、２ｈは、互いに入れ替えてもよい。上記２ａと上記２ｂ、２ｃとを互いに入れ替えてもよい。
【0087】
なお、第１の実施形態において、推定装置１０は、Ｓ１３の後でＳ１１の処理を実行してもよし、Ｓ１４の後でＳ１１の処理を実行してもよい。また、推定装置１０は、前処理の直後にＳ３６の処理を実行してもよいし、重複処理の直前にＳ３６の処理を実行してもよい。さらに、推定装置１０は、前処理が終了した後であれば、任意のタイミングで重複処理を実行してもよい。
【0088】
図９～図１２に示す例では、３つの変数ｓ＿ｆ、ｐ＿ｆ、ｆ＿ｆを使用するが、推定装置１０は、２つの変数を使用して推定処理を行ってもよい。例えば、推定装置１０は、イベント送信付きメッセージ可能性フラグおよび周期メッセージ可能性フラグを使用する。この場合、図１１～図１２に示す処理は、下記のように実行される。すなわち、Ｓ１５において受信間隔ｄｔが送信周期より短いときは、周期メッセージ可能性フラグが「０」に更新される。Ｓ１７において対象部分領域の値が最初の受信メッセージの対象部分領域に格納されていた値と一致するときは、イベント送信付きメッセージ可能性フラグが「０」に更新される。Ｓ１９において受信間隔ｄｔが送信周期より長いときは、イベント送信付きメッセージ可能性フラグおよび周期メッセージ可能性フラグが「０」に更新される。そして、Ｓ３１において、パターン数ＤＰが「２」であり、且つ、イベント送信付きメッセージ可能性フラグが「１」であれば、送信タイプが「イベント（特定値）」であると推定される。なお、イベント送信付きメッセージ可能性フラグおよび周期メッセージ可能性フラグは、それぞれ変数ｆ＿ｆおよび変数ｐ＿ｆに相当する。
【0089】
また、図１２に示す例では、Ｓ３１において３つの条件に基づいて対象部分領域を含むメッセージの送信タイプが推定されるが、第１の実施形態はこの方法に限定されるものではない。例えば、パターン数ＤＰが「２」であり、且つ、変数ｓ＿ｆが「１」であり、且つ、変数ｆ＿ｆが「１」であり、且つ、変数ｐ＿ｆが「０」であるときに、対象部分領域を含むメッセージの送信タイプを「イベント（特定値）」と推定してもよい。
【0090】
さらに、図１２に示す例では、Ｓ３１において対象部分領域のパターン数ＤＰが「２」であるか否かが判定される。ここで、パターン数ＤＰが「２」である状態は、通常時に所定の固定値が設定され、イベント発生時にその固定値と異なる特定値が設定されるメッセージ送信に相当する。例えば、図２に示すケース１では、通常時に「１（固定値）」が設定され、イベント発生に起因して送信されるメッセージＭ５において「３（特定値）」が設定されている。ただし、第１の実施形態の「イベント（特定値）」は、このケースに限定されるものではない。すなわち、「イベント（特定値）」は、通常時に任意の値が設定され、イベント発生時に特定値が設定されるメッセージであってもよい。この場合、Ｓ３１において、対象部分領域のパターン数ＤＰが「２以上」であるか否かが判定される。
【0091】
＜第２の実施形態＞
第１の実施形態では、イベント送信付き周期メッセージは、イベント発生時に特定値が設定される部分領域を含む。これに対して、第２の実施形態では、イベント送信付き周期メッセージは、イベント発生時に値が変化する部分領域を含む。例えば、図２に示すケース２では、メッセージＭ１～Ｍ４のデータは「１」であるが、イベントの発生に起因して生成されるメッセージＭ５以降のデータは「７」に変化している。
第１の実施形態では、イベント送信付き周期メッセージは、イベント発生時に特定値が設定される部分領域を含む。これに対して、第２の実施形態では、イベント送信付き周期メッセージは、イベント発生時に値が変化する部分領域を含む。例えば、図２に示すケース２では、メッセージＭ１～Ｍ４のデータは「１」であるが、イベントの発生に起因して生成されるメッセージＭ５以降のデータは「７」に変化している。
【0092】
推定装置１０の構成は、第１の実施形態および第２の実施形態において実質的に同じであり、図６に示す通りである。また、推定方法の手順は、第１の実施形態および第２の実施形態においてほぼ同じであり、図９に示すフローチャートの通りである。ただし、第２の実施形態に係わる前処理および推定処理は、それぞれ第１の実施形態と異なる処理を含む。
【0093】
図１３は、第２の実施形態において実行される前処理の一例を示すフローチャートである。なお、Ｓ１１、Ｓ１４～１６、Ｓ１９～Ｓ２０は、第１の実施形態および第２の実施形態において実質的に同じである。また、第２の実施形態では、図１１に示すＳ１２～Ｓ１３を実行する必要はない。よって、図１３では、Ｓ１２～Ｓ１３は省略されているが、第２の実施形態においてＳ１２～Ｓ１３を実行してもよい。
【0094】
第２の実施形態では、図１１に示すＳ１７の代わりにＳ４１の処理が実行される。Ｓ４１においては、変数更新部１５は、対象部分領域に格納されている値（Ｄａｔａ（ｉ））が、直前の受信メッセージの対象部分領域に格納されていた値（Ｄａｔａ（ｉ－１））と一致するか否かを判定する。ここで、Ｓ４１の処理は、Ｓ１５の判定が「Ｙｅｓ」であったときに実行される。即ち、受信間隔ｄｔが送信周期Ｔより小さく、且つ、対象部分領域に格納されている値が、直前の受信メッセージの対象部分領域に格納されている値と一致するときに、Ｓ４１の判定が「Ｙｅｓ」となる。そして、この状況は、「所定のイベントが発生したときに、対象部分領域の値が変化する」を満足しないことになる。よって、Ｓ４１の判定が「Ｙｅｓ」となるときは、Ｓ１８において、変数更新部１５は、変数ｆ＿ｆを「０」に更新する。
【0095】
例えば、図２に示すケース２において、メッセージＭ５のデータがメッセージＭ４のデータと一致する場合には、Ｓ４１の判定が「Ｙｅｓ」となり、Ｓ１８において変数ｆ＿ｆが「０」に更新される。一方、メッセージＭ５のデータがメッセージＭ４のデータと異なるときは、Ｓ４１の判定が「Ｎｏ」となり、変数ｆ＿ｆは更新されない。
【0096】
受信間隔ｄｔが送信間隔Ｔと一致または略一致するとき（Ｔ－ｔｈ１＜ｄｔ＜Ｔ＋ｔｈ２）には、Ｓ４２において、変数更新部１５は、対象部分領域に格納されている値が直前の受信メッセージの対象部分領域に格納されていた値と一致するか否かを判定する。ここで、Ｓ４２の処理は、実質的に、Ｓ４１と同じである。そして、受信間隔ｄｔが送信間隔Ｔと一致または略一致し、且つ、対象部分領域に格納されている値が直前の受信メッセージの対象部分領域に格納されていた値と異なるときは、変数更新部１５は、Ｓ４３において、変数ｆ＿ｆを「０」に更新する。一方、Ｓ４２において対象部分領域に格納されている値が最初の受信メッセージの対象部分領域に格納されていた値と一致するときは、変数ｓ＿ｆ、ｐ＿ｆ、ｆ＿ｆは保持される。
【0097】
このように、第２の実施形態の前処理では、受信間隔ｄｔが送信周期Ｔより小さく、且つ、対象部分領域に格納されている値が直前の受信メッセージの対象部分領域に格納されている値と一致するときに、変数ｆ＿ｆが「０」に更新される。また、受信間隔ｄｔが送信間隔Ｔと一致または略一致し、且つ、対象部分領域に格納されている値が直前の受信メッセージの対象部分領域に格納されていた値と異なるときも、変数ｆ＿ｆを「０」に更新してもよい。
【0098】
図１４は、第２の実施形態において実行される推定処理の一例を示すフローチャートである。なお、Ｓ３３～Ｓ３７は、第１の実施形態および第２の実施形態において実質的に同じである。
【0099】
第２の実施形態では、図１２に示すＳ３１～Ｓ３２の代わりにＳ４４～Ｓ４５の処理が実行される。Ｓ４４においては、形式推定部１６は、変数ｓ＿ｆ、ｐ＿ｆ、ｆ＿ｆが下記の２つの条件を満たしているか否かを判定する。
（１）変数ｓ＿ｆは「１」である
（２）変数ｆ＿ｆは「１」である
条件（１）は、モニタ期間内に、少なくとも１回、送信周期より短い受信間隔でメッセージが到着したことを表す。条件（２）は、受信メッセージがイベント送信付き周期メッセージである可能性があることを表す。
（１）変数ｓ＿ｆは「１」である
（２）変数ｆ＿ｆは「１」である
条件（１）は、モニタ期間内に、少なくとも１回、送信周期より短い受信間隔でメッセージが到着したことを表す。条件（２）は、受信メッセージがイベント送信付き周期メッセージである可能性があることを表す。
【0100】
上記２つの条件を満足するときは、形式推定部１６は、Ｓ４５において、対象部分領域を含むメッセージの送信タイプが「イベント送信付き周期メッセージ（変化）」であると推定する。一方、上記２つの条件を満足しないときは、形式推定部１６の処理はＳ３３に進む。
【0101】
なお、第２の実施形態において、推定装置１０は、Ｓ１４の後でＳ１１の処理を実行してもよい。また、推定装置１０は、前処理の直後にＳ３６の処理を実行してもよいし、重複処理の直前にＳ３６の処理を実行してもよい。さらに、推定装置１０は、前処理が終了した後であれば、任意のタイミングで重複処理を実行してもよい。
【0102】
図１３～図１４に示す例では、３つの変数ｓ＿ｆ、ｐ＿ｆ、ｆ＿ｆを使用するが、２つの変数を使用して推定処理を行ってもよい。例えば、推定装置１０は、イベント送信付きメッセージ可能性フラグおよび周期メッセージ可能性フラグを使用する。この場合、図１３～図１４に示す処理は、下記のように実行される。すなわち、Ｓ１５において受信間隔ｄｔが送信周期より短いときは、周期メッセージ可能性フラグが「０」に更新される。Ｓ４１において対象部分領域の値が直前の受信メッセージの対象部分領域の値と一致するときは、イベント送信付きメッセージ可能性フラグが「０」に更新される。Ｓ１９において受信間隔ｄｔが送信周期より長いときは、イベント送信付きメッセージ可能性フラグおよび周期メッセージ可能性フラグがそれぞれ「０」に更新される。Ｓ４４においてイベント送信付きメッセージ可能性フラグが「１」であれば、送信タイプが「イベント（変化）」であると推定される。なお、イベント送信付きメッセージ可能性フラグおよび周期メッセージ可能性フラグは、それぞれ、変数ｆ＿ｆおよび変数ｐ＿ｆに相当する。
【0103】
また、推定装置１０は、第１の実施形態の推定および第２の実施形態の推定の双方を実行してもよい。この場合、メッセージの受信間隔が所定のイベントの発生時以外の期間において送信周期と一致するか否かを表す変数（ｆ＿ｆ）として、イベント発生時に特定の値が設定されるメッセージを検出するための変数ｆ＿ｆ１、及び、イベント発生時に値が変化するメッセージを検出するための変数ｆ＿ｆ２、を個々に管理することが好ましい。
【0104】
＜実施例１＞
この実施例では、図１５に示す通信ログが得られている。また、説明を簡単にするために、受信時刻（タイムスタンプ）は小数点以下２桁で表され、各メッセージのデータ領域の長さは４ビットである。実際のＣＡＮにおいては、データはバイト単位で形成されるが、簡単のためにデータ長が４ビットである例を示す。チェックサム計算は、データ領域内の第１～第３ビットの加算結果を第４ビットに書き込む。ＩＤ＝１００を含むメッセージの送信周期およびＩＤ＝２００を含むメッセージの基本送信周期は、いずれも１秒である。
この実施例では、図１５に示す通信ログが得られている。また、説明を簡単にするために、受信時刻（タイムスタンプ）は小数点以下２桁で表され、各メッセージのデータ領域の長さは４ビットである。実際のＣＡＮにおいては、データはバイト単位で形成されるが、簡単のためにデータ長が４ビットである例を示す。チェックサム計算は、データ領域内の第１～第３ビットの加算結果を第４ビットに書き込む。ＩＤ＝１００を含むメッセージの送信周期およびＩＤ＝２００を含むメッセージの基本送信周期は、いずれも１秒である。
【0105】
推定装置１０は、ＩＤ＝１００を含むメッセージの特徴を推定する。ここで、この実施例では、各メッセージのデータ領域の長さが４ビットなので、部分領域の種類（即ち、開始位置および長さの組合せ）は、下記の１０通りである。
（１）開始位置＝１、長さ＝１
（２）開始位置＝１、長さ＝２
（３）開始位置＝１、長さ＝３
（４）開始位置＝１、長さ＝４
（５）開始位置＝２、長さ＝１
（６）開始位置＝２、長さ＝２
（７）開始位置＝２、長さ＝３
（８）開始位置＝３、長さ＝１
（９）開始位置＝３、長さ＝２
（１０）開始位置＝４、長さ＝１
（１）開始位置＝１、長さ＝１
（２）開始位置＝１、長さ＝２
（３）開始位置＝１、長さ＝３
（４）開始位置＝１、長さ＝４
（５）開始位置＝２、長さ＝１
（６）開始位置＝２、長さ＝２
（７）開始位置＝２、長さ＝３
（８）開始位置＝３、長さ＝１
（９）開始位置＝３、長さ＝２
（１０）開始位置＝４、長さ＝１
【0106】
そして、推定装置１０は、図１５に示す通信ログの１番目のレコードから順番にデータを取得して図９（図１１～図１２または図１３～図１４）に示すフローチャートの処理を実行する。なお、各部分領域のパターン数ＤＰの初期値はゼロである。変数ｓ＿ｆ、ｐ＿ｆ、ｆ＿ｆの初期値は１である。Ｓ１５およびＳ１９において、マージン（即ち、ｔｈ１及びｔｈ２）は、それぞれ０．２秒である。
【0107】
（１）１番目のレコードのデータを取得
通信ログの１番目のレコードに記録されているデータは「受信時刻＝１．００、ＩＤ＝１００、値＝０００１」である。ここで、このメッセージは「ＩＤ＝１００」を含む。よって、推定装置１０は推定処理を実行する。そして、推定装置１０による実行結果は下記の通りである。
通信ログの１番目のレコードに記録されているデータは「受信時刻＝１．００、ＩＤ＝１００、値＝０００１」である。ここで、このメッセージは「ＩＤ＝１００」を含む。よって、推定装置１０は推定処理を実行する。そして、推定装置１０による実行結果は下記の通りである。
【0108】
（１ａ）開始位置＝１、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（１，１）（１）は「０」である。また、パターン数ＤＰ（１，１）は「１」に更新さる。さらに、部分領域の長さが４ではないので、チェックサム（計算式）データとはなり得ない。よって、チェックサム（計算式）可能性フラグ（１，１）が「０」に更新される。
この部分領域に格納されている値は「０」である。即ち、ｄ（１，１）（１）は「０」である。また、パターン数ＤＰ（１，１）は「１」に更新さる。さらに、部分領域の長さが４ではないので、チェックサム（計算式）データとはなり得ない。よって、チェックサム（計算式）可能性フラグ（１，１）が「０」に更新される。
【0109】
（１ｂ）開始位置＝１、長さ＝２の部分領域
この部分領域に格納されている値は「００」である。すなわち、ｄ（１，２）（１）は「００」である。また、パターン数ＤＰ（１，２）は「１」に更新される。更に、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（１，２）が「０」に更新される。
この部分領域に格納されている値は「００」である。すなわち、ｄ（１，２）（１）は「００」である。また、パターン数ＤＰ（１，２）は「１」に更新される。更に、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（１，２）が「０」に更新される。
【0110】
（１ｃ）開始位置＝１、長さ＝３の部分領域
この部分領域に格納されている値は「０００」である。すなわち、ｄ（１，３）（１）は「０００」である。また、パターン数ＤＰ（１，３）は「１」に更新される。更に、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（１，３）が「０」に更新される。
この部分領域に格納されている値は「０００」である。すなわち、ｄ（１，３）（１）は「０００」である。また、パターン数ＤＰ（１，３）は「１」に更新される。更に、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（１，３）が「０」に更新される。
【0111】
（１ｄ）開始位置＝１、長さ＝４の部分領域
この部分領域に格納されている値は「０００１」である。即ち、ｄ（１，４）（１）は「０００１」である。また、パターン数ＤＰ（１，４）は「１」に更新される。ここで、部分領域の長さが４である。ただし、第１～第３ビットの和が第４ビットの値に一致していない。したがって、チェックサム（計算式）可能性フラグ（１，４）が「０」に更新される。
この部分領域に格納されている値は「０００１」である。即ち、ｄ（１，４）（１）は「０００１」である。また、パターン数ＤＰ（１，４）は「１」に更新される。ここで、部分領域の長さが４である。ただし、第１～第３ビットの和が第４ビットの値に一致していない。したがって、チェックサム（計算式）可能性フラグ（１，４）が「０」に更新される。
【0112】
（１ｅ）開始位置＝２、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（２，１）（１）は「０」である。また、パターン数ＤＰ（２，１）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（２，１）が「０」に更新される。
この部分領域に格納されている値は「０」である。即ち、ｄ（２，１）（１）は「０」である。また、パターン数ＤＰ（２，１）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（２，１）が「０」に更新される。
【0113】
（１ｆ）開始位置＝２、長さ＝２の部分領域
この部分領域に格納されている値は「００」である。すなわち、ｄ（２，２）（１）は「００」である。また、パターン数ＤＰ（２，２）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（２，２）が「０」に更新される。
この部分領域に格納されている値は「００」である。すなわち、ｄ（２，２）（１）は「００」である。また、パターン数ＤＰ（２，２）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（２，２）が「０」に更新される。
【0114】
（１ｇ）開始位置＝２、長さ＝３の部分領域
この部分領域に格納されている値は「００１」である。すなわち、ｄ（２，３）（１）は「００１」である。また、パターン数ＤＰ（２，３）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（２，３）が「０」に更新される。
この部分領域に格納されている値は「００１」である。すなわち、ｄ（２，３）（１）は「００１」である。また、パターン数ＤＰ（２，３）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（２，３）が「０」に更新される。
【0115】
（１ｈ）開始位置＝３、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（３，１）（１）は「０」である。また、パターン数ＤＰ（３，１）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（３，１）が「０」に更新される。
この部分領域に格納されている値は「０」である。即ち、ｄ（３，１）（１）は「０」である。また、パターン数ＤＰ（３，１）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（３，１）が「０」に更新される。
【0116】
（１ｉ）開始位置＝３、長さ＝２の部分領域
この部分領域に格納されている値は「０１」である。すなわち、ｄ（３，２）（１）は「０１」である。また、パターン数ＤＰ（３，２）は「１」に更新される。更に、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（３，２）が「０」に更新される。
この部分領域に格納されている値は「０１」である。すなわち、ｄ（３，２）（１）は「０１」である。また、パターン数ＤＰ（３，２）は「１」に更新される。更に、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（３，２）が「０」に更新される。
【0117】
（１ｊ）開始位置＝１、長さ＝１の部分領域
この部分領域に格納されている値は「１」である。即ち、ｄ（４，１）（１）は「１」である。また、パターン数ＤＰ（４，１）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（４，１）が「０」に更新される。
この部分領域に格納されている値は「１」である。即ち、ｄ（４，１）（１）は「１」である。また、パターン数ＤＰ（４，１）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（４，１）が「０」に更新される。
【0118】
図１６は、上記１ａ～１ｊの処理結果を示す。なお、図１６に示す形式２は、チェックサム（計算式）を表す。すなわち、各部分領域に格納されているデータは、いずれも、チェックサム（計算式）である可能性が否定されている。また、推定装置１０は、当該メッセージの受信時刻を、後続のメッセージの処理のために「前回受信時刻＝１．００」として記録する。
【0119】
（２）２番目のレコードのデータを取得
通信ログの２番目のレコードに記録されているデータは「受信時刻＝１．５０、ＩＤ＝２００、値＝００００」である。ここで、このメッセージは「ＩＤ＝１００」を含まないので、取得したデータは破棄される。
通信ログの２番目のレコードに記録されているデータは「受信時刻＝１．５０、ＩＤ＝２００、値＝００００」である。ここで、このメッセージは「ＩＤ＝１００」を含まないので、取得したデータは破棄される。
【0120】
（３）３番目のレコードのデータを取得
通信ログの３番目のレコードに記録されているデータは「受信時刻＝２．００、ＩＤ＝１００、値＝０１１０」である。ここで、このメッセージは「ＩＤ＝１００」を含むので、推定装置１０は推定処理を実行する。
通信ログの３番目のレコードに記録されているデータは「受信時刻＝２．００、ＩＤ＝１００、値＝０１１０」である。ここで、このメッセージは「ＩＤ＝１００」を含むので、推定装置１０は推定処理を実行する。
【0121】
なお、推定装置１０は、当該メッセージの受信時刻と同じ識別子を含む直前の受信メッセージの受信時刻との差分を計算して「受信間隔ｄｔ＝１．００」を得る。ここで、受信間隔ｄｔは、「送信周期－ｔｈ１」以上、且つ、「送信周期＋ｔｈ２」以下である。したがって、推定装置１０は、変数ｓ＿ｆ、ｐ＿ｆを更新しない。ただし、部分領域に格納されている値がメッセージＭ１の同じ部分領域の値と異なるときは、推定装置１０は、その部分領域の変数ｆ＿ｆを「０」に更新する。
【0122】
なお、変数ｓ＿ｆ、ｐ＿ｆ、ｆ＿ｆ、およびデータ形式１～８に対応する各フラグは、いったん「０」に更新された後は、「１」に戻ることはない。したがって、既に「０」に更新されている変数またはフラグについては、「１」を「０」に更新する事象が発生しても、その記載を省略する。
【0123】
（３ａ）開始位置＝１、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（１，１）（２）は「０」であり、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（１，１）（１））と同じである。よって、パターン数ＤＰ（１，１）は「１」のまま保持される。また、カウンタ可能性フラグ（１，１）および単調増加可能性フラグ（１，１）がそれぞれ「０」に更新される。
この部分領域に格納されている値は「０」である。即ち、ｄ（１，１）（２）は「０」であり、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（１，１）（１））と同じである。よって、パターン数ＤＰ（１，１）は「１」のまま保持される。また、カウンタ可能性フラグ（１，１）および単調増加可能性フラグ（１，１）がそれぞれ「０」に更新される。
【0124】
（３ｂ）開始位置＝１、長さ＝２の部分領域
この部分領域に格納されている値は「０１」である。すなわち、ｄ（１，２）（２）は「０１」であり、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（１，２）（１））と異なる。この結果、パターン数ＤＰ（１，２）は「２」に更新され、固定値可能性フラグ（１，２）が「０」に更新され、変数ｆ＿ｆ（１，２）が「０」に更新される。
この部分領域に格納されている値は「０１」である。すなわち、ｄ（１，２）（２）は「０１」であり、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（１，２）（１））と異なる。この結果、パターン数ＤＰ（１，２）は「２」に更新され、固定値可能性フラグ（１，２）が「０」に更新され、変数ｆ＿ｆ（１，２）が「０」に更新される。
【0125】
（３ｃ）開始位置＝１、長さ＝３の部分領域
この部分領域に格納されている値は「０１１」である。すなわち、ｄ（１，３）（２）は「０１１」であり、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（１，３）（１））と異なる。この結果、パターン数ＤＰ（１，３）は「２」に更新され、固定値可能性フラグ（１，３）が「０」に更新され、変数ｆ＿ｆ（１，３）が「０」に更新される。
この部分領域に格納されている値は「０１１」である。すなわち、ｄ（１，３）（２）は「０１１」であり、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（１，３）（１））と異なる。この結果、パターン数ＤＰ（１，３）は「２」に更新され、固定値可能性フラグ（１，３）が「０」に更新され、変数ｆ＿ｆ（１，３）が「０」に更新される。
【0126】
（３ｄ）開始位置＝１、長さ＝４の部分領域
この部分領域に格納されている値は「０１１０」である。即ち、ｄ（１，４）（２）は「０１１０」であり、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（１，４）（１））と異なる。したがって、パターン数ＤＰ（１，４）は「２」に更新され、固定値可能性フラグ（１，４）が「０」に更新され、変数ｆ＿ｆ（１，４）が「０」に更新される。さらに、当該部分領域に格納されている値と、前回のメッセージの同じ部分領域に格納されていた値（ｄ（１，４）（１））との差分が５であり、閾値より大きいので、単調増加可能性フラグ（１，４）が「０」に更新される。なお、この実施例では、閾値は５であるものとする。
この部分領域に格納されている値は「０１１０」である。即ち、ｄ（１，４）（２）は「０１１０」であり、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（１，４）（１））と異なる。したがって、パターン数ＤＰ（１，４）は「２」に更新され、固定値可能性フラグ（１，４）が「０」に更新され、変数ｆ＿ｆ（１，４）が「０」に更新される。さらに、当該部分領域に格納されている値と、前回のメッセージの同じ部分領域に格納されていた値（ｄ（１，４）（１））との差分が５であり、閾値より大きいので、単調増加可能性フラグ（１，４）が「０」に更新される。なお、この実施例では、閾値は５であるものとする。
【0127】
（３ｅ）開始位置＝２、長さ＝１の部分領域
この部分領域に格納されている値は「１」である。即ち、ｄ（２，１）（２）は「１」であり、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（２，１）（１））と異なる。この結果、パターン数ＤＰ（２，１）は「２」に更新され、固定値可能性フラグ（２，１）が「０」に更新され、変数ｆ＿ｆ（２，１）が「０」に更新される。
この部分領域に格納されている値は「１」である。即ち、ｄ（２，１）（２）は「１」であり、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（２，１）（１））と異なる。この結果、パターン数ＤＰ（２，１）は「２」に更新され、固定値可能性フラグ（２，１）が「０」に更新され、変数ｆ＿ｆ（２，１）が「０」に更新される。
【0128】
（３ｆ）開始位置＝２、長さ＝２の部分領域
この部分領域に格納されている値は「１１」である。すなわち、ｄ（２，２）（２）は「１１」であり、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（２，２）（１））と異なる。この結果、パターン数ＤＰ（２，２）は「２」に更新され、固定値可能性フラグ（２，２）が「０」に更新され、変数ｆ＿ｆ（２，２）が「０」に更新される。
この部分領域に格納されている値は「１１」である。すなわち、ｄ（２，２）（２）は「１１」であり、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（２，２）（１））と異なる。この結果、パターン数ＤＰ（２，２）は「２」に更新され、固定値可能性フラグ（２，２）が「０」に更新され、変数ｆ＿ｆ（２，２）が「０」に更新される。
【0129】
（３ｇ）開始位置＝２、長さ＝３の部分領域
この部分領域に格納されている値は「１１０」である。すなわち、ｄ（２，３）（２）は「１１０」であり、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（２，３）（１））と異なる。この結果、パターン数ＤＰ（２，３）は「２」に更新され、固定値可能性フラグ（２，３）が「０」に更新され、変数ｆ＿ｆ（２，３）が「０」に更新される。さらに、当該部分領域に格納されている値と、前回のメッセージの同じ部分領域に格納されていた値（ｄ（２，３）（１））との差分が５であり、閾値より大きいので、単調増加可能性フラグ（２，３）が「０」に更新される。
この部分領域に格納されている値は「１１０」である。すなわち、ｄ（２，３）（２）は「１１０」であり、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（２，３）（１））と異なる。この結果、パターン数ＤＰ（２，３）は「２」に更新され、固定値可能性フラグ（２，３）が「０」に更新され、変数ｆ＿ｆ（２，３）が「０」に更新される。さらに、当該部分領域に格納されている値と、前回のメッセージの同じ部分領域に格納されていた値（ｄ（２，３）（１））との差分が５であり、閾値より大きいので、単調増加可能性フラグ（２，３）が「０」に更新される。
【0130】
（３ｈ）開始位置＝３、長さ＝１の部分領域
この部分領域に格納されている値は「１」である。即ち、ｄ（３，１）（２）は「１」であり、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（３，１）（１））と異なる。したがって、パターン数ＤＰ（３，１）は「２」に更新され、固定値可能性フラグ（３，１）が「０」に更新される、変数ｆ＿ｆ（３，１）が「０」に更新され。
この部分領域に格納されている値は「１」である。即ち、ｄ（３，１）（２）は「１」であり、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（３，１）（１））と異なる。したがって、パターン数ＤＰ（３，１）は「２」に更新され、固定値可能性フラグ（３，１）が「０」に更新される、変数ｆ＿ｆ（３，１）が「０」に更新され。
【0131】
（３ｉ）開始位置＝３、長さ＝２の部分領域
この部分領域に格納されている値は「１０」である。すなわち、ｄ（３，２）（２）は「１０」であり、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（３，２）（１））と異なる。この結果、パターン数ＤＰ（３，２）は「２」に更新され、固定値可能性フラグ（３，２）が「０」に更新され、変数ｆ＿ｆ（３，２）が「０」に更新される。
この部分領域に格納されている値は「１０」である。すなわち、ｄ（３，２）（２）は「１０」であり、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（３，２）（１））と異なる。この結果、パターン数ＤＰ（３，２）は「２」に更新され、固定値可能性フラグ（３，２）が「０」に更新され、変数ｆ＿ｆ（３，２）が「０」に更新される。
【0132】
（３ｊ）開始位置＝４、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（４，１）（２）は「０」であり、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（４，１）（１））と異なる。この結果、パターン数ＤＰ（４，１）は「２」に更新され、固定値可能性フラグ（４，１）が「０」に更新され、変数ｆ＿ｆ（４，１）が「０」に更新される。
この部分領域に格納されている値は「０」である。即ち、ｄ（４，１）（２）は「０」であり、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（４，１）（１））と異なる。この結果、パターン数ＤＰ（４，１）は「２」に更新され、固定値可能性フラグ（４，１）が「０」に更新され、変数ｆ＿ｆ（４，１）が「０」に更新される。
【0133】
図１７は、上記３ａ～３ｊの処理結果を示す。なお、形式１は、固定値を表す。形式３は、カウンタを表す。形式４は、単調増加を表す。また、推定装置１０は、当該メッセージの受信時刻を、後続のメッセージの処理のために「前回受信時刻＝２．００」として記録する。
【0134】
（４）４番目のレコードのデータを取得
通信ログの４番目のレコードに記録されているデータは「受信時刻＝２．５０、ＩＤ＝２００、値＝００００」である。ここで、このメッセージは「ＩＤ＝１００」を含まないので、取得したデータは破棄される。
通信ログの４番目のレコードに記録されているデータは「受信時刻＝２．５０、ＩＤ＝２００、値＝００００」である。ここで、このメッセージは「ＩＤ＝１００」を含まないので、取得したデータは破棄される。
【0135】
（５）５番目のレコードのデータを取得
通信ログの５番目のレコードに記録されているデータは「受信時刻＝３．００、ＩＤ＝１００、値＝１００１」である。ここで、このメッセージは「ＩＤ＝１００」を含むので、推定装置１０は推定処理を実行する。
通信ログの５番目のレコードに記録されているデータは「受信時刻＝３．００、ＩＤ＝１００、値＝１００１」である。ここで、このメッセージは「ＩＤ＝１００」を含むので、推定装置１０は推定処理を実行する。
【0136】
なお、推定装置１０は、当該メッセージの受信時刻と同じ識別子を含む直前の受信メッセージの受信時刻との差分を計算して「受信間隔ｄｔ＝１．００」を得る。ここで、受信間隔ｄｔは、「送信周期－ｔｈ１」以上、且つ、「送信周期＋ｔｈ２」以下である。したがって、推定装置１０は、変数ｓ＿ｆ、ｐ＿ｆを更新しない。ただし、部分領域に格納されている値がメッセージＭ１の同じ部分領域の値と異なるとき、または、部分領域に格納されている値がメッセージＭ３の同じ部分領域の値と異なるときは、推定装置１０は、その部分領域の変数ｆ＿ｆを「０」に更新する。
【0137】
（５ａ）開始位置＝１、長さ＝１の部分領域
この部分領域に格納されている値は「１」である。即ち、ｄ（１，１）（３）は「１」である。そして、この値は、過去の受信メッセージの同じ部分領域に格納されていたいずれの値とも異なる。よって、パターン数ＤＰ（１，１）は「２」に更新される。また、固定値可能性フラグ（１，１）が「０」に更新される。さらに、変数ｆ＿ｆ（１，１）が「０」に更新される。
この部分領域に格納されている値は「１」である。即ち、ｄ（１，１）（３）は「１」である。そして、この値は、過去の受信メッセージの同じ部分領域に格納されていたいずれの値とも異なる。よって、パターン数ＤＰ（１，１）は「２」に更新される。また、固定値可能性フラグ（１，１）が「０」に更新される。さらに、変数ｆ＿ｆ（１，１）が「０」に更新される。
【0138】
（５ｂ）開始位置＝１、長さ＝２の部分領域
この部分領域に格納されている値は「１０」である。すなわち、ｄ（１，２）（３）は「１０」である。そして、この値は、過去に受信したメッセージの同じ部分領域に格納されていたいずれの値とも異なる。よって、パターン数ＤＰ（１，２）は「３」に更新される。
この部分領域に格納されている値は「１０」である。すなわち、ｄ（１，２）（３）は「１０」である。そして、この値は、過去に受信したメッセージの同じ部分領域に格納されていたいずれの値とも異なる。よって、パターン数ＤＰ（１，２）は「３」に更新される。
【0139】
（５ｃ）開始位置＝１、長さ＝３の部分領域
この部分領域に格納されている値は「１００」である。すなわち、ｄ（１，３）（３）は「１００」である。そして、この値は、過去に受信したメッセージの同じ部分領域に格納されていたいずれの値とも異なる。したがって、パターン数ＤＰ（１，３）は「３」に更新される。また、当該部分領域に格納されている値の変化量は、ゼロ以外の一定値ではない。具体的には、ｄ（１，２）（１）とｄ（１，２）（２）との差分が「３」であり、ｄ（１，２）（２）とｄ（１，２）（３）との差分が「４」である。よって、カウンタ可能性フラグ（１，４）が「０」に更新される。
この部分領域に格納されている値は「１００」である。すなわち、ｄ（１，３）（３）は「１００」である。そして、この値は、過去に受信したメッセージの同じ部分領域に格納されていたいずれの値とも異なる。したがって、パターン数ＤＰ（１，３）は「３」に更新される。また、当該部分領域に格納されている値の変化量は、ゼロ以外の一定値ではない。具体的には、ｄ（１，２）（１）とｄ（１，２）（２）との差分が「３」であり、ｄ（１，２）（２）とｄ（１，２）（３）との差分が「４」である。よって、カウンタ可能性フラグ（１，４）が「０」に更新される。
【0140】
（５ｄ）開始位置＝１、長さ＝４の部分領域
この部分領域に格納されている値は「１００１」である。即ち、ｄ（１，４）（３）は「１００１」である。そして、この値は、過去に受信したメッセージの同じ部分領域に格納されていたいずれの値とも異なる。したがって、パターン数ＤＰ（１，４）は「３」に更新される。また、当該部分領域に格納されている値の変化量は、ゼロ以外の一定値ではない。よって、カウンタ可能性フラグ（１，４）が「０」に更新される。
この部分領域に格納されている値は「１００１」である。即ち、ｄ（１，４）（３）は「１００１」である。そして、この値は、過去に受信したメッセージの同じ部分領域に格納されていたいずれの値とも異なる。したがって、パターン数ＤＰ（１，４）は「３」に更新される。また、当該部分領域に格納されている値の変化量は、ゼロ以外の一定値ではない。よって、カウンタ可能性フラグ（１，４）が「０」に更新される。
【0141】
（５ｅ）開始位置＝２、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（２，１）（３）は「０」である。そして、当該部分領域に格納されている値は、増加することもあるし、減少することもある。具体的には、ｄ（２，１）（１）とｄ（２，１）（２）との差分が「＋１」であり、ｄ（２，１）（２）とｄ（２，１）（３）との差分が「－１」である。したがって、カウンタ可能性フラグ（２，１）が「０」に更新され、単調増加可能性フラグ（２，１）が「０」に更新される。
この部分領域に格納されている値は「０」である。即ち、ｄ（２，１）（３）は「０」である。そして、当該部分領域に格納されている値は、増加することもあるし、減少することもある。具体的には、ｄ（２，１）（１）とｄ（２，１）（２）との差分が「＋１」であり、ｄ（２，１）（２）とｄ（２，１）（３）との差分が「－１」である。したがって、カウンタ可能性フラグ（２，１）が「０」に更新され、単調増加可能性フラグ（２，１）が「０」に更新される。
【0142】
（５ｆ）開始位置＝２、長さ＝２の部分領域
この部分領域に格納されている値は「００」である。すなわち、ｄ（２，２）（３）は「００」である。そして、当該部分領域に格納されている値は、増加することもあるし、減少することもある。よって、カウンタ可能性フラグ（２，２）が「０」に更新され、単調増加可能性フラグ（２，２）が「０」に更新される。
この部分領域に格納されている値は「００」である。すなわち、ｄ（２，２）（３）は「００」である。そして、当該部分領域に格納されている値は、増加することもあるし、減少することもある。よって、カウンタ可能性フラグ（２，２）が「０」に更新され、単調増加可能性フラグ（２，２）が「０」に更新される。
【0143】
（５ｇ）開始位置＝２、長さ＝３の部分領域
この部分領域に格納されている値は「００１」である。すなわち、ｄ（２，３）（３）は「００１」である。そして、当該部分領域に格納されている値の変化量は、ゼロ以外の一定値ではない。したがって、カウンタ可能性フラグ（２，３）が「０」に更新される。
この部分領域に格納されている値は「００１」である。すなわち、ｄ（２，３）（３）は「００１」である。そして、当該部分領域に格納されている値の変化量は、ゼロ以外の一定値ではない。したがって、カウンタ可能性フラグ（２，３）が「０」に更新される。
【0144】
（５ｈ）開始位置＝３、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（３，１）（３）は「０」である。そして、当該部分領域に格納されている値は、増加することもあるし、減少することもある。したがって、カウンタ可能性フラグ（３，１）が「０」に更新され、単調増加可能性フラグ（３，１）が「０」に更新される。
この部分領域に格納されている値は「０」である。即ち、ｄ（３，１）（３）は「０」である。そして、当該部分領域に格納されている値は、増加することもあるし、減少することもある。したがって、カウンタ可能性フラグ（３，１）が「０」に更新され、単調増加可能性フラグ（３，１）が「０」に更新される。
【0145】
（５ｉ）開始位置＝３、長さ＝２の部分領域
この部分領域に格納されている値は「０１」である。すなわち、ｄ（３，２）（３）は「０１」である。そして、当該部分領域に格納されている値は、増加することもあるし、減少することもある。よって、カウンタ可能性フラグ（３，２）が「０」に更新され、単調増加可能性フラグ（３，２）が「０」に更新される。
この部分領域に格納されている値は「０１」である。すなわち、ｄ（３，２）（３）は「０１」である。そして、当該部分領域に格納されている値は、増加することもあるし、減少することもある。よって、カウンタ可能性フラグ（３，２）が「０」に更新され、単調増加可能性フラグ（３，２）が「０」に更新される。
【0146】
（５ｊ）開始位置＝４、長さ＝１の部分領域
この部分領域に格納されている値は「１」である。即ち、ｄ（４，１）（３）は「１」である。そして、当該部分領域に格納されている値は、増加することもあるし、減少することもある。したがって、カウンタ可能性フラグ（４，１）が「０」に更新され、単調増加可能性フラグ（４，１）が「０」に更新される。
この部分領域に格納されている値は「１」である。即ち、ｄ（４，１）（３）は「１」である。そして、当該部分領域に格納されている値は、増加することもあるし、減少することもある。したがって、カウンタ可能性フラグ（４，１）が「０」に更新され、単調増加可能性フラグ（４，１）が「０」に更新される。
【0147】
図１８は、上記５ａ～５ｊの処理結果を示す。なお、推定装置１０は、当該メッセージの受信時刻を、後続のメッセージの処理のために「前回受信時刻＝３．００」として記録する。
【0148】
（６）６番目のレコードのデータを取得
通信ログの６番目のレコードに記録されているデータは「受信時刻＝３．２５、ＩＤ＝２００、値＝０１００」である。ここで、このメッセージは「ＩＤ＝１００」を含まないので、取得したデータは破棄される。
通信ログの６番目のレコードに記録されているデータは「受信時刻＝３．２５、ＩＤ＝２００、値＝０１００」である。ここで、このメッセージは「ＩＤ＝１００」を含まないので、取得したデータは破棄される。
【0149】
（７）７番目のレコードのデータを取得
通信ログの７番目のレコードに記録されているデータは「受信時刻＝４．００、ＩＤ＝１００、値＝０１１１」である。ここで、このメッセージは「ＩＤ＝１００」を含むので、推定装置１０は推定処理を実行する。
通信ログの７番目のレコードに記録されているデータは「受信時刻＝４．００、ＩＤ＝１００、値＝０１１１」である。ここで、このメッセージは「ＩＤ＝１００」を含むので、推定装置１０は推定処理を実行する。
【0150】
なお、推定装置１０は、当該メッセージの受信時刻と同じ識別子を含む直前の受信メッセージの受信時刻との差分を計算して「受信間隔ｄｔ＝１．００」を得る。ここで、受信間隔ｄｔは、「送信周期－ｔｈ１」以上、且つ、「送信周期＋ｔｈ２」以下である。したがって、推定装置１０は、変数ｓ＿ｆ、ｐ＿ｆ、ｆ＿ｆを更新しない。
【0151】
（７ａ）開始位置＝１、長さ＝１の部分領域
この部分領域に格納されている値は「１」である。即ち、ｄ（１，１）（４）は「１」である。
この部分領域に格納されている値は「１」である。即ち、ｄ（１，１）（４）は「１」である。
【0152】
（７ｂ）開始位置＝１、長さ＝２の部分領域
この部分領域に格納されている値は「０１」である。すなわち、ｄ（１，２）（４）は「０１」である。そして、当該部分領域に格納されている値は、増加することもあるし、減少することもある。よって、カウンタ可能性フラグ（１，２）が「０」に更新され、単調増加可能性フラグ（１，２）が「０」に更新される。
この部分領域に格納されている値は「０１」である。すなわち、ｄ（１，２）（４）は「０１」である。そして、当該部分領域に格納されている値は、増加することもあるし、減少することもある。よって、カウンタ可能性フラグ（１，２）が「０」に更新され、単調増加可能性フラグ（１，２）が「０」に更新される。
【0153】
（７ｃ）開始位置＝１、長さ＝３の部分領域
この部分領域に格納されている値は「０１１」である。すなわち、ｄ（１，３）（４）は「０１１」である。そして、当該部分領域に格納されている値は、増加することもあるし、減少することもある。したがって、単調増加可能性フラグ（１，３）が「０」に更新される。
この部分領域に格納されている値は「０１１」である。すなわち、ｄ（１，３）（４）は「０１１」である。そして、当該部分領域に格納されている値は、増加することもあるし、減少することもある。したがって、単調増加可能性フラグ（１，３）が「０」に更新される。
【0154】
（７ｄ）開始位置＝１、長さ＝４の部分領域
この部分領域に格納されている値は「０１１１」である。即ち、ｄ（１，４）（４）は「０１１１」である。この値は、過去に受信したメッセージの同じ部分領域に格納されていたいずれの値とも異なる。よって、パターン数ＤＰ（１，４）は「４」に更新される。
この部分領域に格納されている値は「０１１１」である。即ち、ｄ（１，４）（４）は「０１１１」である。この値は、過去に受信したメッセージの同じ部分領域に格納されていたいずれの値とも異なる。よって、パターン数ＤＰ（１，４）は「４」に更新される。
【0155】
（７ｅ）開始位置＝２、長さ＝１の部分領域
この部分領域に格納されている値は「１」である。即ち、ｄ（２，１）（４）は「１」である。
この部分領域に格納されている値は「１」である。即ち、ｄ（２，１）（４）は「１」である。
【0156】
（７ｆ）開始位置＝２、長さ＝２の部分領域
この部分領域に格納されている値は「１１」である。すなわち、ｄ（２，２）（４）は「１１」である。
この部分領域に格納されている値は「１１」である。すなわち、ｄ（２，２）（４）は「１１」である。
【0157】
（７ｇ）開始位置＝２、長さ＝３の部分領域
この部分領域に格納されている値は「１１１」である。すなわち、ｄ（２，３）（４）は「１１１」である。この値は、過去に受信したメッセージの同じ部分領域に格納されていたいずれの値とも異なる。よって、パターン数ＤＰ（２，３）は「３」に更新される。
この部分領域に格納されている値は「１１１」である。すなわち、ｄ（２，３）（４）は「１１１」である。この値は、過去に受信したメッセージの同じ部分領域に格納されていたいずれの値とも異なる。よって、パターン数ＤＰ（２，３）は「３」に更新される。
【0158】
（７ｈ）開始位置＝３、長さ＝１の部分領域
この部分領域に格納されている値は「１」である。即ち、ｄ（３，１）（４）は「１」である。
この部分領域に格納されている値は「１」である。即ち、ｄ（３，１）（４）は「１」である。
【0159】
（７ｉ）開始位置＝３、長さ＝２の部分領域
この部分領域に格納されている値は「１１」である。すなわち、ｄ（３，２）（４）は「１１」である。この値は、過去に受信したメッセージの同じ部分領域に格納されていたいずれの値とも異なる。よって、パターン数ＤＰ（３，２）は「３」に更新される。
この部分領域に格納されている値は「１１」である。すなわち、ｄ（３，２）（４）は「１１」である。この値は、過去に受信したメッセージの同じ部分領域に格納されていたいずれの値とも異なる。よって、パターン数ＤＰ（３，２）は「３」に更新される。
【0160】
（７ｊ）開始位置＝４、長さ＝１の部分領域
この部分領域に格納されている値は「１」である。即ち、ｄ（４，１）（４）は「１」である。
この部分領域に格納されている値は「１」である。即ち、ｄ（４，１）（４）は「１」である。
【0161】
図１９は、上記７ａ～７ｊの処理結果を示す。メッセージの送信タイプ（イベント、周期、非周期）については、後で説明する。また、推定装置１０は、当該メッセージの受信時刻を、後続のメッセージの処理のために「前回受信時刻＝４．００」として記録する。
【0162】
（８）８番目のレコードのデータを取得
通信ログの８番目のレコードに記録されているデータは「受信時刻＝４．２５、ＩＤ＝２００、値＝００００」である。ここで、このメッセージは「ＩＤ＝１００」を含まないので、取得したデータは破棄される。
通信ログの８番目のレコードに記録されているデータは「受信時刻＝４．２５、ＩＤ＝２００、値＝００００」である。ここで、このメッセージは「ＩＤ＝１００」を含まないので、取得したデータは破棄される。
【0163】
（９）送信タイプの推定
推定装置１０は、各部分領域について、図１２のＳ３１～Ｓ３５（又は、図１４のＳ３３～Ｓ３５、Ｓ４４、Ｓ４５）を実行する。ここで、この例では、変数ｓ＿ｆ、ｐ＿ｆ、ｆ＿ｆはいずれも「１」のまま更新されていない。この結果、図１９に示すように、すべての部分領域において、変数ｐ＿ｆが「１」である。すなわち、すべての部分領域に対して、Ｓ３３～Ｓ３４により「送信タイプ＝周期メッセージ」が得られる。よって、推定装置１０は、ＩＤ＝１００を含むメッセージは「周期メッセージ」であると推定する。
推定装置１０は、各部分領域について、図１２のＳ３１～Ｓ３５（又は、図１４のＳ３３～Ｓ３５、Ｓ４４、Ｓ４５）を実行する。ここで、この例では、変数ｓ＿ｆ、ｐ＿ｆ、ｆ＿ｆはいずれも「１」のまま更新されていない。この結果、図１９に示すように、すべての部分領域において、変数ｐ＿ｆが「１」である。すなわち、すべての部分領域に対して、Ｓ３３～Ｓ３４により「送信タイプ＝周期メッセージ」が得られる。よって、推定装置１０は、ＩＤ＝１００を含むメッセージは「周期メッセージ」であると推定する。
【0164】
（１０）形式５～８の推定
データ領域に格納されている値を「符号付きデータ」と仮定すると、その値は「１」→「６」→「－７」→「７」と推移し、その分散は大きい。よって、符号付き連続値可能性フラグ（１，４）は「０」に更新される。一方、データ領域に格納されている値を「符号なしデータ」と仮定すると、その値は「１」→「６」→「９」→「７」と推移し、その分散は小さい。したがって、符号なし連続値可能性フラグ（１，４）は「１」のまま保持される。
データ領域に格納されている値を「符号付きデータ」と仮定すると、その値は「１」→「６」→「－７」→「７」と推移し、その分散は大きい。よって、符号付き連続値可能性フラグ（１，４）は「０」に更新される。一方、データ領域に格納されている値を「符号なしデータ」と仮定すると、その値は「１」→「６」→「９」→「７」と推移し、その分散は小さい。したがって、符号なし連続値可能性フラグ（１，４）は「１」のまま保持される。
【0165】
各部分領域に格納されている値は、一様に分布しているとはいえない。よって、すべての部分領域について、チェックサム（一様）可能性フラグが「０」に更新される。
【0166】
（１１）重複解消処理
すべての部分領域に対して、固定値可能性フラグ（図１９では、形式１）が「０」に更新されている。よって、ＩＤ＝１００を含むメッセージは、固定値データを格納していないと推定される。また、開始位置（ｉ）とデータ長（ｊ）との和が８の倍数となる部分領域は存在しない。したがって、推定装置１０は、データ長の長い部分領域（すなわち、部分領域（１，４））から重複解消処理を開始する。
（１１ａ）部分領域（１，４）のチェックサム（計算式）可能性フラグ（図１９では、形式２）が「０」に更新されているので、データ形式は確定しない。
（１１ｂ）部分領域（１，４）のイベント可能性フラグが「０」に更新されているので、データ形式は確定しない。
（１１ｃ）部分領域（１，４）のカウンタ可能性フラグ（図１９では、形式３）が「０」に更新されているので、データ形式は確定しない。
（１１ｄ）部分領域（１，４）の単調増加可能性フラグ（図１９では、形式４）が「０」に更新されているので、データ形式は確定しない。
（１１ｅ）部分領域（１，４）の符号なし連続値可能性フラグは、上述したように「１」のまま保持されている。よって、推定装置１０は、データ領域に格納されているデータの形式が「符号なし連続値」であると推定する。
すべての部分領域に対して、固定値可能性フラグ（図１９では、形式１）が「０」に更新されている。よって、ＩＤ＝１００を含むメッセージは、固定値データを格納していないと推定される。また、開始位置（ｉ）とデータ長（ｊ）との和が８の倍数となる部分領域は存在しない。したがって、推定装置１０は、データ長の長い部分領域（すなわち、部分領域（１，４））から重複解消処理を開始する。
（１１ａ）部分領域（１，４）のチェックサム（計算式）可能性フラグ（図１９では、形式２）が「０」に更新されているので、データ形式は確定しない。
（１１ｂ）部分領域（１，４）のイベント可能性フラグが「０」に更新されているので、データ形式は確定しない。
（１１ｃ）部分領域（１，４）のカウンタ可能性フラグ（図１９では、形式３）が「０」に更新されているので、データ形式は確定しない。
（１１ｄ）部分領域（１，４）の単調増加可能性フラグ（図１９では、形式４）が「０」に更新されているので、データ形式は確定しない。
（１１ｅ）部分領域（１，４）の符号なし連続値可能性フラグは、上述したように「１」のまま保持されている。よって、推定装置１０は、データ領域に格納されているデータの形式が「符号なし連続値」であると推定する。
【0167】
＜実施例２＞
実施例１と同様に、実施例２においても、図１５に示す通信ログに基づいてメッセージの特徴を推定する。ただし、実施例２では、推定装置１０は、ＩＤ＝２００を含むメッセージの特徴を推定する。また、実施例２では、第１の実施形態に係わる推定（すなわち、イベント発生時に特定値が設定される部分領域を含むイベント送信付きメッセージの検出）が行われる。
実施例１と同様に、実施例２においても、図１５に示す通信ログに基づいてメッセージの特徴を推定する。ただし、実施例２では、推定装置１０は、ＩＤ＝２００を含むメッセージの特徴を推定する。また、実施例２では、第１の実施形態に係わる推定（すなわち、イベント発生時に特定値が設定される部分領域を含むイベント送信付きメッセージの検出）が行われる。
【0168】
（１）１番目のレコードのデータを取得
通信ログの１番目のレコードに記録されているデータは「受信時刻＝１．００、ＩＤ＝１００、値＝０００１」である。ここで、このメッセージは「ＩＤ＝２００」を含まないので、取得したデータは破棄される。
通信ログの１番目のレコードに記録されているデータは「受信時刻＝１．００、ＩＤ＝１００、値＝０００１」である。ここで、このメッセージは「ＩＤ＝２００」を含まないので、取得したデータは破棄される。
【0169】
（２）２番目のレコードのデータを取得
通信ログの２番目のレコードに記録されているデータは「受信時刻＝１．５０、ＩＤ＝２００、値＝００００」である。ここで、このメッセージは「ＩＤ＝２００」を含むので、推定装置１０は推定処理を実行する。そして、推定装置１０による実行結果は下記の通りである。
通信ログの２番目のレコードに記録されているデータは「受信時刻＝１．５０、ＩＤ＝２００、値＝００００」である。ここで、このメッセージは「ＩＤ＝２００」を含むので、推定装置１０は推定処理を実行する。そして、推定装置１０による実行結果は下記の通りである。
【0170】
（２ａ）開始位置＝１、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（１，１）（１）は「０」である。また、パターン数ＤＰ（１，１）は「１」に更新さる。さらに、部分領域の長さが４ではないので、チェックサム（計算式）データとはなり得ない。よって、チェックサム（計算式）可能性フラグ（１，１）が「０」に更新される。
この部分領域に格納されている値は「０」である。即ち、ｄ（１，１）（１）は「０」である。また、パターン数ＤＰ（１，１）は「１」に更新さる。さらに、部分領域の長さが４ではないので、チェックサム（計算式）データとはなり得ない。よって、チェックサム（計算式）可能性フラグ（１，１）が「０」に更新される。
【0171】
（２ｂ）開始位置＝１、長さ＝２の部分領域
この部分領域に格納されている値は「００」である。すなわち、ｄ（１，２）（１）は「００」である。また、パターン数ＤＰ（１，２）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（１，２）が「０」に更新される。
この部分領域に格納されている値は「００」である。すなわち、ｄ（１，２）（１）は「００」である。また、パターン数ＤＰ（１，２）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（１，２）が「０」に更新される。
【0172】
（２ｃ）開始位置＝１、長さ＝３の部分領域
この部分領域に格納されている値は「０００」である。すなわち、ｄ（１，３）（１）は「０００」である。また、パターン数ＤＰ（１，３）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（１，３）が「０」に更新される。
この部分領域に格納されている値は「０００」である。すなわち、ｄ（１，３）（１）は「０００」である。また、パターン数ＤＰ（１，３）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（１，３）が「０」に更新される。
【0173】
（２ｄ）開始位置＝１、長さ＝４の部分領域
この部分領域に格納されている値は「００００」である。即ち、ｄ（１，４）（１）は「００００」である。また、パターン数ＤＰ（１，４）は「１」に更新される。なお、当該部分領域の長さは４であり、第１～第３ビットの和が第４ビットの値と一致しているので、チェックサム（計算式）可能性フラグ（１，４）は「１」のまま保持される。
この部分領域に格納されている値は「００００」である。即ち、ｄ（１，４）（１）は「００００」である。また、パターン数ＤＰ（１，４）は「１」に更新される。なお、当該部分領域の長さは４であり、第１～第３ビットの和が第４ビットの値と一致しているので、チェックサム（計算式）可能性フラグ（１，４）は「１」のまま保持される。
【0174】
（２ｅ）開始位置＝２、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（２，１）（１）は「０」である。また、パターン数ＤＰ（２，１）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（２，１）が「０」に更新される。
この部分領域に格納されている値は「０」である。即ち、ｄ（２，１）（１）は「０」である。また、パターン数ＤＰ（２，１）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（２，１）が「０」に更新される。
【0175】
（２ｆ）開始位置＝２、長さ＝２の部分領域
この部分領域に格納されている値は「００」である。すなわち、ｄ（２，２）（１）は「００」である。また、パターン数ＤＰ（２，２）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（２，２）が「０」に更新される。
この部分領域に格納されている値は「００」である。すなわち、ｄ（２，２）（１）は「００」である。また、パターン数ＤＰ（２，２）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（２，２）が「０」に更新される。
【0176】
（２ｇ）開始位置＝２、長さ＝３の部分領域
この部分領域に格納されている値は「０００」である。すなわち、ｄ（２，３）（１）は「０００」である。また、パターン数ＤＰ（２，３）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（２，３）が「０」に更新される。
この部分領域に格納されている値は「０００」である。すなわち、ｄ（２，３）（１）は「０００」である。また、パターン数ＤＰ（２，３）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（２，３）が「０」に更新される。
【0177】
（２ｈ）開始位置＝３、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（３，１）（１）は「０」である。また、パターン数ＤＰ（３，１）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（３，１）が「０」に更新される。
この部分領域に格納されている値は「０」である。即ち、ｄ（３，１）（１）は「０」である。また、パターン数ＤＰ（３，１）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（３，１）が「０」に更新される。
【0178】
（２ｉ）開始位置＝３、長さ＝２の部分領域
この部分領域に格納されている値は「００」である。すなわち、ｄ（３，２）（１）は「００」である。また、パターン数ＤＰ（３，２）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（３，２）が「０」に更新される。
この部分領域に格納されている値は「００」である。すなわち、ｄ（３，２）（１）は「００」である。また、パターン数ＤＰ（３，２）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（３，２）が「０」に更新される。
【0179】
（２ｊ）開始位置＝４、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（４，１）（１）は「０」である。また、パターン数ＤＰ（４，１）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（４，１）が「０」に更新される。
この部分領域に格納されている値は「０」である。即ち、ｄ（４，１）（１）は「０」である。また、パターン数ＤＰ（４，１）は「１」に更新される。さらに、部分領域の長さが４ではないので、チェックサム（計算式）可能性フラグ（４，１）が「０」に更新される。
【0180】
図２０は、上記２ａ～２ｊの処理結果を示す。なお、図２０に示す形式２は、チェックサム（計算式）を表す。また、推定装置１０は、当該メッセージの受信時刻を、後続のメッセージの処理のために「前回受信時刻＝１．５０」として記録する。
【0181】
（３）３番目のレコードのデータを取得
通信ログの３番目のレコードに記録されているデータは「受信時刻＝２．００、ＩＤ＝１００、値＝０１１０」である。ここで、このメッセージは「ＩＤ＝２００」を含まないので、取得したデータは破棄される。
通信ログの３番目のレコードに記録されているデータは「受信時刻＝２．００、ＩＤ＝１００、値＝０１１０」である。ここで、このメッセージは「ＩＤ＝２００」を含まないので、取得したデータは破棄される。
【0182】
（４）４番目のレコードのデータを取得
通信ログの４番目のレコードに記録されているデータは「受信時刻＝２．５０、ＩＤ＝２００、値＝００００」である。ここで、このメッセージは「ＩＤ＝２００」を含むので、推定装置１０は推定処理を実行する。
通信ログの４番目のレコードに記録されているデータは「受信時刻＝２．５０、ＩＤ＝２００、値＝００００」である。ここで、このメッセージは「ＩＤ＝２００」を含むので、推定装置１０は推定処理を実行する。
【0183】
推定装置１０は、当該メッセージの受信時刻と同じ識別子を含む直前の受信メッセージの受信時刻との差分を計算して「受信間隔ｄｔ＝１．００」を得る。ここで、受信間隔ｄｔは、「送信周期－ｔｈ１」以上、且つ、「送信周期＋ｔｈ２」以下である。よって、推定装置１０は、変数ｓ＿ｆ、ｐ＿ｆを更新しない。ただし、部分領域に格納されている値が、「ＩＤ＝２００」を含む最初のメッセージ（即ち、メッセージＭ２）の同じ部分領域の値と異なるときは、推定装置１０は、その部分領域の変数ｆ＿ｆを「０」に更新する。
【0184】
（４ａ）開始位置＝１、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（１，１）（２）は「０」である。そして、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（１，１）（１））と同じである。したがって、パターン数ＤＰ（１，１）は「１」のまま保持される。また、カウンタ可能性フラグ（１，１）および単調増加可能性フラグ（１，１）がそれぞれ「０」に更新される。なお、受信間隔ｄｔが送信周期と一致しているが、当該部分領域の値（すなわち、「０」）は、「ＩＤ＝２００」を含む最初のメッセージ（すなわち、メッセージＭ２の）の同じ部分領域の値（すなわち、「０」）と同じなので、変数ｆ＿ｆ（１，１）は更新されない。他の部分領域についても同様である。
この部分領域に格納されている値は「０」である。即ち、ｄ（１，１）（２）は「０」である。そして、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（１，１）（１））と同じである。したがって、パターン数ＤＰ（１，１）は「１」のまま保持される。また、カウンタ可能性フラグ（１，１）および単調増加可能性フラグ（１，１）がそれぞれ「０」に更新される。なお、受信間隔ｄｔが送信周期と一致しているが、当該部分領域の値（すなわち、「０」）は、「ＩＤ＝２００」を含む最初のメッセージ（すなわち、メッセージＭ２の）の同じ部分領域の値（すなわち、「０」）と同じなので、変数ｆ＿ｆ（１，１）は更新されない。他の部分領域についても同様である。
【0185】
（４ｂ）開始位置＝１、長さ＝２の部分領域
この部分領域に格納されている値は「００」である。すなわち、ｄ（１，２）（２）は「００」である。そして、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（１，２）（１））と同じである。したがって、パターン数ＤＰ（１，２）は「１」のまま保持される。また、カウンタ可能性フラグ（１，２）および単調増加可能性フラグ（１，２）がそれぞれ「０」に更新される。
この部分領域に格納されている値は「００」である。すなわち、ｄ（１，２）（２）は「００」である。そして、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（１，２）（１））と同じである。したがって、パターン数ＤＰ（１，２）は「１」のまま保持される。また、カウンタ可能性フラグ（１，２）および単調増加可能性フラグ（１，２）がそれぞれ「０」に更新される。
【0186】
（４ｃ）開始位置＝１、長さ＝３の部分領域
この部分領域に格納されている値は「０００」である。すなわち、ｄ（１，３）（２）は「０００」である。そして、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（１，３）（１））と同じである。したがって、パターン数ＤＰ（１，３）は「１」のまま保持される。また、カウンタ可能性フラグ（１，３）および単調増加可能性フラグ（１，３）がそれぞれ「０」に更新される。
この部分領域に格納されている値は「０００」である。すなわち、ｄ（１，３）（２）は「０００」である。そして、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（１，３）（１））と同じである。したがって、パターン数ＤＰ（１，３）は「１」のまま保持される。また、カウンタ可能性フラグ（１，３）および単調増加可能性フラグ（１，３）がそれぞれ「０」に更新される。
【0187】
（４ｄ）開始位置＝１、長さ＝４の部分領域
この部分領域に格納されている値は「００００」である。即ち、ｄ（１，４）（２）は「００００」である。そして、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（１，４）（１））と同じである。したがって、パターン数ＤＰ（１，４）は「１」のまま保持される。また、カウンタ可能性フラグ（１，４）および単調増加可能性フラグ（１，４）がそれぞれ「０」に更新される。
この部分領域に格納されている値は「００００」である。即ち、ｄ（１，４）（２）は「００００」である。そして、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（１，４）（１））と同じである。したがって、パターン数ＤＰ（１，４）は「１」のまま保持される。また、カウンタ可能性フラグ（１，４）および単調増加可能性フラグ（１，４）がそれぞれ「０」に更新される。
【0188】
（４ｅ）開始位置＝２、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（２，１）（２）は「０」である。そして、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（２，１）（１））と同じである。したがって、パターン数ＤＰ（２，１）は「１」のまま保持される。また、カウンタ可能性フラグ（２，１）および単調増加可能性フラグ（２，１）がそれぞれ「０」に更新される。
この部分領域に格納されている値は「０」である。即ち、ｄ（２，１）（２）は「０」である。そして、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（２，１）（１））と同じである。したがって、パターン数ＤＰ（２，１）は「１」のまま保持される。また、カウンタ可能性フラグ（２，１）および単調増加可能性フラグ（２，１）がそれぞれ「０」に更新される。
【0189】
（４ｆ）開始位置＝２、長さ＝２の部分領域
この部分領域に格納されている値は「００」である。すなわち、ｄ（２，２）（２）は「００」である。そして、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（２，２）（１））と同じである。よって、パターン数ＤＰ（２，２）は「１」のまま保持される。また、カウンタ可能性フラグ（２，２）および単調増加可能性フラグ（２，２）がそれぞれ「０」に更新される。
この部分領域に格納されている値は「００」である。すなわち、ｄ（２，２）（２）は「００」である。そして、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（２，２）（１））と同じである。よって、パターン数ＤＰ（２，２）は「１」のまま保持される。また、カウンタ可能性フラグ（２，２）および単調増加可能性フラグ（２，２）がそれぞれ「０」に更新される。
【0190】
（４ｇ）開始位置＝２、長さ＝３の部分領域
この部分領域に格納されている値は「０００」である。すなわち、ｄ（２，３）（２）は「０００」である。そして、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（２，３）（１））と同じである。よって、パターン数ＤＰ（２，３）は「１」のまま保持される。また、カウンタ可能性フラグ（２，３）および単調増加可能性フラグ（２，３）がそれぞれ「０」に更新される。
この部分領域に格納されている値は「０００」である。すなわち、ｄ（２，３）（２）は「０００」である。そして、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（２，３）（１））と同じである。よって、パターン数ＤＰ（２，３）は「１」のまま保持される。また、カウンタ可能性フラグ（２，３）および単調増加可能性フラグ（２，３）がそれぞれ「０」に更新される。
【0191】
（４ｈ）開始位置＝３、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（３，１）（２）は「０」である。そして、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（３，１）（１））と同じである。したがって、パターン数ＤＰ（３，１）は「１」のまま保持される。また、カウンタ可能性フラグ（３，１）および単調増加可能性フラグ（３，１）がそれぞれ「０」に更新される。
この部分領域に格納されている値は「０」である。即ち、ｄ（３，１）（２）は「０」である。そして、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（３，１）（１））と同じである。したがって、パターン数ＤＰ（３，１）は「１」のまま保持される。また、カウンタ可能性フラグ（３，１）および単調増加可能性フラグ（３，１）がそれぞれ「０」に更新される。
【0192】
（４ｉ）開始位置＝３、長さ＝２の部分領域
この部分領域に格納されている値は「００」である。すなわち、ｄ（３，２）（２）は「００」である。そして、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（３，２）（１））と同じである。よって、パターン数ＤＰ（３，２）は「１」のまま保持される。また、カウンタ可能性フラグ（３，２）および単調増加可能性フラグ（３，２）がそれぞれ「０」に更新される。
この部分領域に格納されている値は「００」である。すなわち、ｄ（３，２）（２）は「００」である。そして、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（３，２）（１））と同じである。よって、パターン数ＤＰ（３，２）は「１」のまま保持される。また、カウンタ可能性フラグ（３，２）および単調増加可能性フラグ（３，２）がそれぞれ「０」に更新される。
【0193】
（４ｊ）開始位置＝４、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（４，１）（２）は「０」である。そして、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（４，１）（１））と同じである。したがって、パターン数ＤＰ（４，１）は「１」のまま保持される。また、カウンタ可能性フラグ（４，１）および単調増加可能性フラグ（４，１）がそれぞれ「０」に更新される。
この部分領域に格納されている値は「０」である。即ち、ｄ（４，１）（２）は「０」である。そして、当該部分領域に格納されている値は、前回のメッセージの同じ部分領域に格納されていた値（ｄ（４，１）（１））と同じである。したがって、パターン数ＤＰ（４，１）は「１」のまま保持される。また、カウンタ可能性フラグ（４，１）および単調増加可能性フラグ（４，１）がそれぞれ「０」に更新される。
【0194】
図２１は、上記４ａ～４ｊの処理結果を示す。なお、形式３は、カウンタを表す。形式４は、単調増加を表す。また、推定装置１０は、当該メッセージの受信時刻を、後続のメッセージの処理のために「前回受信時刻＝２．５０」として記録する。
【0195】
（５）５番目のレコードのデータを取得
通信ログの５番目のレコードに記録されているデータは「受信時刻＝３．００、ＩＤ＝１００、値＝１００１」である。ここで、このメッセージは「ＩＤ＝２００」を含まないので、取得したデータは破棄される。
通信ログの５番目のレコードに記録されているデータは「受信時刻＝３．００、ＩＤ＝１００、値＝１００１」である。ここで、このメッセージは「ＩＤ＝２００」を含まないので、取得したデータは破棄される。
【0196】
（６）６番目のレコードのデータを取得
通信ログの６番目のレコードに記録されているデータは「受信時刻＝３．２５、ＩＤ＝２００、値＝０１００」である。ここで、このメッセージは「ＩＤ＝２００」を含むので、推定装置１０は推定処理を実行する。
通信ログの６番目のレコードに記録されているデータは「受信時刻＝３．２５、ＩＤ＝２００、値＝０１００」である。ここで、このメッセージは「ＩＤ＝２００」を含むので、推定装置１０は推定処理を実行する。
【0197】
なお、推定装置１０は、当該メッセージの受信時刻と同じ識別子を含む直前の受信メッセージの受信時刻との差分を計算して「受信間隔ｄｔ＝０．７５」を得る。ここで、受信間隔ｄｔは、「送信周期－ｔｈ１」以下である。したがって、推定装置１０は、図２２に示すように、各部分領域の変数ｐ＿ｆをそれぞれ「０」に更新する。なお、この処理は、図１１または図１３に示すＳ１５～Ｓ１６に相当する。
【0198】
（６ａ）開始位置＝１、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（１，１）（３）は「０」である。ここで、当該部分領域に格納されている値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（１，１）は「１」のまま保持される。また、受信間隔ｄｔが「送信周期－ｔｈ１」以下である状況において、当該部分領域に格納されている値は、最初のメッセージの同じ部分領域に格納されている値（ｄ（１，１）（１））と同じである。よって、変数ｆ＿ｆ（１，１）が「０」に更新される。この処理は、図１１に示すＳ１７～Ｓ１８に相当する。
この部分領域に格納されている値は「０」である。即ち、ｄ（１，１）（３）は「０」である。ここで、当該部分領域に格納されている値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（１，１）は「１」のまま保持される。また、受信間隔ｄｔが「送信周期－ｔｈ１」以下である状況において、当該部分領域に格納されている値は、最初のメッセージの同じ部分領域に格納されている値（ｄ（１，１）（１））と同じである。よって、変数ｆ＿ｆ（１，１）が「０」に更新される。この処理は、図１１に示すＳ１７～Ｓ１８に相当する。
【0199】
（６ｂ）開始位置＝１、長さ＝２の部分領域
この部分領域に格納されている値は「０１」である。すなわち、ｄ（１，２）（３）は「０１」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されているいずれの値とも異なる。したがって、パターン数ＤＰ（１，２）は「２」に更新され、固定値可能性フラグ（１，２）は「０」に更新される。
この部分領域に格納されている値は「０１」である。すなわち、ｄ（１，２）（３）は「０１」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されているいずれの値とも異なる。したがって、パターン数ＤＰ（１，２）は「２」に更新され、固定値可能性フラグ（１，２）は「０」に更新される。
【0200】
（６ｃ）開始位置＝１、長さ＝３の部分領域
この部分領域に格納されている値は「０１０」である。すなわち、ｄ（１，３）（３）は「０１０」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されているいずれの値とも異なる。したがって、パターン数ＤＰ（１，３）は「２」に更新され、固定値可能性フラグ（１，３）が「０」に更新される。
この部分領域に格納されている値は「０１０」である。すなわち、ｄ（１，３）（３）は「０１０」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されているいずれの値とも異なる。したがって、パターン数ＤＰ（１，３）は「２」に更新され、固定値可能性フラグ（１，３）が「０」に更新される。
【0201】
（６ｄ）開始位置＝１、長さ＝４の部分領域
この部分領域に格納されている値は「０１００」である。即ち、ｄ（１，４）（３）は「０１００」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されているいずれの値とも異なる。したがって、パターン数ＤＰ（１，４）は「２」に更新され、固定値可能性フラグ（１，４）が「０」に更新される。また、当該部分領域の第１～第３ビットの和が第４ビットの値と一致していないので、チェックサム（計算式）可能性フラグ（１，４）は「０」に更新される。
この部分領域に格納されている値は「０１００」である。即ち、ｄ（１，４）（３）は「０１００」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されているいずれの値とも異なる。したがって、パターン数ＤＰ（１，４）は「２」に更新され、固定値可能性フラグ（１，４）が「０」に更新される。また、当該部分領域の第１～第３ビットの和が第４ビットの値と一致していないので、チェックサム（計算式）可能性フラグ（１，４）は「０」に更新される。
【0202】
（６ｅ）開始位置＝２、長さ＝１の部分領域
この部分領域に格納されている値は「１」である。即ち、ｄ（２，１）（３）は「１」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されているいずれの値とも異なる。したがって、パターン数ＤＰ（２，１）は「２」に更新され、固定値可能性フラグ（２，１）が「０」に更新される。
この部分領域に格納されている値は「１」である。即ち、ｄ（２，１）（３）は「１」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されているいずれの値とも異なる。したがって、パターン数ＤＰ（２，１）は「２」に更新され、固定値可能性フラグ（２，１）が「０」に更新される。
【0203】
（６ｆ）開始位置＝２、長さ＝２の部分領域
この部分領域に格納されている値は「１０」である。すなわち、ｄ（２，２）（３）は「１０」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されているいずれの値とも異なる。したがって、パターン数ＤＰ（２，２）は「２」に更新され、固定値可能性フラグ（２，２）が「０」に更新される。
この部分領域に格納されている値は「１０」である。すなわち、ｄ（２，２）（３）は「１０」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されているいずれの値とも異なる。したがって、パターン数ＤＰ（２，２）は「２」に更新され、固定値可能性フラグ（２，２）が「０」に更新される。
【0204】
（６ｇ）開始位置＝２、長さ＝３の部分領域
この部分領域に格納されている値は「１００」である。すなわち、ｄ（２，３）（３）は「１００」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されているいずれの値とも異なる。したがって、パターン数ＤＰ（２，３）は「２」に更新され、固定値可能性フラグ（２，３）が「０」に更新される。
この部分領域に格納されている値は「１００」である。すなわち、ｄ（２，３）（３）は「１００」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されているいずれの値とも異なる。したがって、パターン数ＤＰ（２，３）は「２」に更新され、固定値可能性フラグ（２，３）が「０」に更新される。
【0205】
（６ｈ）開始位置＝３、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（３，１）（３）は「０」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。したがって、パターン数ＤＰ（３，１）は「１」のまま保持される。また、受信間隔ｄｔが「送信周期－ｔｈ１」以下である状況において、当該部分領域に格納されている値は、最初のメッセージの同じ部分領域に格納されている値（ｄ（３，１）（１））と同じである。したがって、変数ｆ＿ｆ（３，２）が「０」に更新される。
この部分領域に格納されている値は「０」である。即ち、ｄ（３，１）（３）は「０」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。したがって、パターン数ＤＰ（３，１）は「１」のまま保持される。また、受信間隔ｄｔが「送信周期－ｔｈ１」以下である状況において、当該部分領域に格納されている値は、最初のメッセージの同じ部分領域に格納されている値（ｄ（３，１）（１））と同じである。したがって、変数ｆ＿ｆ（３，２）が「０」に更新される。
【0206】
（６ｉ）開始位置＝３、長さ＝２の部分領域
この部分領域に格納されている値は「００」である。すなわち、ｄ（３，２）（３）は「００」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。したがって、パターン数ＤＰ（３，２）は「１」のまま保持される。また、受信間隔ｄｔが「送信周期－ｔｈ１」以下である状況において、当該部分領域に格納されている値は、最初のメッセージの同じ部分領域に格納されている値（ｄ（３，２）（１））と同じである。したがって、変数ｆ＿ｆ（３，２）が「０」に更新される。
この部分領域に格納されている値は「００」である。すなわち、ｄ（３，２）（３）は「００」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。したがって、パターン数ＤＰ（３，２）は「１」のまま保持される。また、受信間隔ｄｔが「送信周期－ｔｈ１」以下である状況において、当該部分領域に格納されている値は、最初のメッセージの同じ部分領域に格納されている値（ｄ（３，２）（１））と同じである。したがって、変数ｆ＿ｆ（３，２）が「０」に更新される。
【0207】
（６ｊ）開始位置＝４、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（４，１）（３）は「０」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。したがって、パターン数ＤＰ（４，１）は「１」のまま保持される。また、受信間隔ｄｔが「送信周期－ｔｈ１」以下である状況において、当該部分領域に格納されている値は、最初のメッセージの同じ部分領域に格納されている値（ｄ（４，１）（１））と同じである。したがって、変数ｆ＿ｆ（４，１）が「０」に更新される。
この部分領域に格納されている値は「０」である。即ち、ｄ（４，１）（３）は「０」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。したがって、パターン数ＤＰ（４，１）は「１」のまま保持される。また、受信間隔ｄｔが「送信周期－ｔｈ１」以下である状況において、当該部分領域に格納されている値は、最初のメッセージの同じ部分領域に格納されている値（ｄ（４，１）（１））と同じである。したがって、変数ｆ＿ｆ（４，１）が「０」に更新される。
【0208】
図２２は、上記６ａ～６ｊの処理結果を示す。なお、上述したように、各部分領域の変数ｐ＿ｆは、いずれも「０」に更新されている。また、推定装置１０は、当該メッセージの受信時刻を、後続のメッセージの処理のために「前回受信時刻＝３．２５」として記録する。
【0209】
（７）７番目のレコードのデータを取得
通信ログの７番目のレコードに記録されているデータは「受信時刻＝４．００、ＩＤ＝１００、値＝０１１１」である。ここで、このメッセージは「ＩＤ＝２００」を含まないので、取得したデータは破棄される。
通信ログの７番目のレコードに記録されているデータは「受信時刻＝４．００、ＩＤ＝１００、値＝０１１１」である。ここで、このメッセージは「ＩＤ＝２００」を含まないので、取得したデータは破棄される。
【0210】
（８）８番目のレコードのデータを取得
通信ログの８番目のレコードに記録されているデータは「受信時刻＝４．２５、ＩＤ＝２００、値＝００００」である。ここで、このメッセージは「ＩＤ＝２００」を含むので、推定装置１０は推定処理を実行する。
通信ログの８番目のレコードに記録されているデータは「受信時刻＝４．２５、ＩＤ＝２００、値＝００００」である。ここで、このメッセージは「ＩＤ＝２００」を含むので、推定装置１０は推定処理を実行する。
【0211】
推定装置１０は、当該メッセージの受信時刻と同じ識別子を含む直前の受信メッセージの受信時刻との差分を計算して「受信間隔ｄｔ＝１．００」を得る。ここで、受信間隔ｄｔは、「送信周期－ｔｈ１」以上、且つ、「送信周期＋ｔｈ２」以下である。よって、推定装置１０は、変数ｓ＿ｆ、ｐ＿ｆを更新しない。ただし、部分領域に格納されている値が、「ＩＤ＝２００」を含む最初のメッセージ（即ち、メッセージＭ２）の同じ部分領域の値と異なるときは、推定装置１０は、その部分領域の変数ｆ＿ｆを「０」に更新する。
【0212】
（８ａ）開始位置＝１、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（１，１）（４）は「０」である。ここで、当該部分領域に格納されている値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（１，１）は更新されない。
この部分領域に格納されている値は「０」である。即ち、ｄ（１，１）（４）は「０」である。ここで、当該部分領域に格納されている値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（１，１）は更新されない。
【0213】
（８ｂ）開始位置＝１、長さ＝２の部分領域
この部分領域に格納されている値は「００」である。すなわち、ｄ（１，２）（４）は「００」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（１，２）は更新されない。
この部分領域に格納されている値は「００」である。すなわち、ｄ（１，２）（４）は「００」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（１，２）は更新されない。
【0214】
（８ｃ）開始位置＝１、長さ＝３の部分領域
この部分領域に格納されている値は「０００」である。すなわち、ｄ（１，３）（４）は「０００」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（１，３）は更新されない。
この部分領域に格納されている値は「０００」である。すなわち、ｄ（１，３）（４）は「０００」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（１，３）は更新されない。
【0215】
（８ｄ）開始位置＝１、長さ＝４の部分領域
この部分領域に格納されている値は「００００」である。即ち、ｄ（１，４）（４）は「００００」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（１，４）は更新されない。
この部分領域に格納されている値は「００００」である。即ち、ｄ（１，４）（４）は「００００」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（１，４）は更新されない。
【0216】
（８ｅ）開始位置＝２、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（２，１）（４）は「０」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（２，１）は更新されない。
この部分領域に格納されている値は「０」である。即ち、ｄ（２，１）（４）は「０」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（２，１）は更新されない。
【0217】
（８ｆ）開始位置＝２、長さ＝２の部分領域
この部分領域に格納されている値は「００」である。すなわち、ｄ（２，２）（４）は「００」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（２，２）は更新されない。
この部分領域に格納されている値は「００」である。すなわち、ｄ（２，２）（４）は「００」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（２，２）は更新されない。
【0218】
（８ｇ）開始位置＝２、長さ＝３の部分領域
この部分領域に格納されている値は「０００」である。すなわち、ｄ（２，３）（４）は「０００」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（２，３）は更新されない。
この部分領域に格納されている値は「０００」である。すなわち、ｄ（２，３）（４）は「０００」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（２，３）は更新されない。
【0219】
（８ｈ）開始位置＝３、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（３，１）（４）は「０」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（３，１）は更新されない。
この部分領域に格納されている値は「０」である。即ち、ｄ（３，１）（４）は「０」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（３，１）は更新されない。
【0220】
（８ｉ）開始位置＝３、長さ＝２の部分領域
この部分領域に格納されている値は「００」である。すなわち、ｄ（３，２）（４）は「００」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（３，２）は更新されない。
この部分領域に格納されている値は「００」である。すなわち、ｄ（３，２）（４）は「００」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（３，２）は更新されない。
【0221】
（８ｊ）開始位置＝４、長さ＝１の部分領域
この部分領域に格納されている値は「０」である。即ち、ｄ（４，１）（４）は「０」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（４，１）は更新されない。
この部分領域に格納されている値は「０」である。即ち、ｄ（４，１）（４）は「０」である。ここで、この値は、過去に受信したメッセージの同じ部分領域に格納されている値に対して新たな値ではない。よって、パターン数ＤＰ（４，１）は更新されない。
【0222】
（９）送信タイプの推定
推定装置１０は、各部分領域について、図１２のＳ３１～Ｓ３５を実行する。ここで、上記処理が終了した時点で、部分領域（１，１）、（３，１）、（３，２）、（４，１）に対して設けられる変数ｐ＿ｆおよび変数ｆ＿ｆがそれぞれ「０」に更新されている。したがって、これらの部分領域に対応する送信タイプは、図２２に示すように、「非周期」と判定される。他の部分領域は、図１２のＳ３１の条件を満たすので、その送信タイプは「イベント（特定値）」と判定される。
推定装置１０は、各部分領域について、図１２のＳ３１～Ｓ３５を実行する。ここで、上記処理が終了した時点で、部分領域（１，１）、（３，１）、（３，２）、（４，１）に対して設けられる変数ｐ＿ｆおよび変数ｆ＿ｆがそれぞれ「０」に更新されている。したがって、これらの部分領域に対応する送信タイプは、図２２に示すように、「非周期」と判定される。他の部分領域は、図１２のＳ３１の条件を満たすので、その送信タイプは「イベント（特定値）」と判定される。
【0223】
さらに、１以上の部分領域に対応する送信タイプが「イベント（特定値）」と判定されたときは、推定装置１０は、メッセージの送信タイプが「イベント（特定値）」であると推定する。したがって、推定装置１０は、ＩＤ＝２００を含むメッセージは、「イベント送信付き周期メッセージ」であると推定する。
【0224】
（１０）形式５～８の推定
データ領域に格納されている値を「符号付きデータ」と仮定すると、その値は「０」→「４」→「０」→「０」と推移し、その分散は小さい。よって、符号付き連続値可能性フラグ（１，４）は「１」のまま保持される。また、データ領域に格納されている値を「符号なしデータ」と仮定したケースでも、その値の推移は同じなので、符号なし連続値可能性フラグ（１，４）も「１」のまま保持される。
データ領域に格納されている値を「符号付きデータ」と仮定すると、その値は「０」→「４」→「０」→「０」と推移し、その分散は小さい。よって、符号付き連続値可能性フラグ（１，４）は「１」のまま保持される。また、データ領域に格納されている値を「符号なしデータ」と仮定したケースでも、その値の推移は同じなので、符号なし連続値可能性フラグ（１，４）も「１」のまま保持される。
【0225】
各部分領域に格納されている値は、一様に分布しているとはいえない。よって、すべての部分領域について、チェックサム（一様）可能性フラグが「０」に更新される。
【0226】
（１１）重複解消処理
図２２に示すように、部分領域（１，１）（３，１）（４，１）に対して設けられている固定値可能性フラグがそれぞれ「１」である。すなわち、データ領域内の第１ビット、第３ビット、および第４ビットの固定値可能性フラグがそれぞれ「１」である。よって、これらのビットは、それぞれ「固定値」に確定する。したがって、第２ビットについてデータ形式の推定が行われる。ここで、開始位置（ｉ）とデータ長（ｊ）との和が８の倍数となる部分領域は存在しない。よって、推定装置１０は、データ長の長い部分領域（すなわち、部分領域（２，１））から重複解消処理を開始する。
（１１ａ）部分領域（２，１）のチェックサム（計算式）可能性フラグ（図２２では、形式２）は「０」に更新されているので、データ形式は確定しない。
（１１ｂ）部分領域（２，１）のイベント可能性フラグは「１」のまま保持されているので、データ形式が「イベント（特定値）」に確定される。したがって、推定装置１０は、第１ビット、第３ビット、および第４ビットのデータを「固定値」と推定し、第２ビットのデータを「イベント（特定値）」と推定する。
図２２に示すように、部分領域（１，１）（３，１）（４，１）に対して設けられている固定値可能性フラグがそれぞれ「１」である。すなわち、データ領域内の第１ビット、第３ビット、および第４ビットの固定値可能性フラグがそれぞれ「１」である。よって、これらのビットは、それぞれ「固定値」に確定する。したがって、第２ビットについてデータ形式の推定が行われる。ここで、開始位置（ｉ）とデータ長（ｊ）との和が８の倍数となる部分領域は存在しない。よって、推定装置１０は、データ長の長い部分領域（すなわち、部分領域（２，１））から重複解消処理を開始する。
（１１ａ）部分領域（２，１）のチェックサム（計算式）可能性フラグ（図２２では、形式２）は「０」に更新されているので、データ形式は確定しない。
（１１ｂ）部分領域（２，１）のイベント可能性フラグは「１」のまま保持されているので、データ形式が「イベント（特定値）」に確定される。したがって、推定装置１０は、第１ビット、第３ビット、および第４ビットのデータを「固定値」と推定し、第２ビットのデータを「イベント（特定値）」と推定する。
【0227】
このように、本発明の実施形態に係わる推定方法は、データ領域内のデータの振る舞いに基づいてデータの形式を推定しながら、メッセージの送信タイプを推定できる。したがって、攻撃検知のための事前準備処理において、通信ログを解析する時間が削減される。これ加えて、通常時には周期的に送信され、且つ、イベント発生時には送信周期に対して非同期で送信されるメッセージ（上述の例では、イベント送信付き周期メッセージ）を識別できる。よって、本発明の実施形態に係わる推定方法により得られる推定結果を利用すれば、攻撃検知の精度が向上する。
【0228】
上述の実施例を含む実施形態に関し、さらに下記の付記を開示する。
（付記１）
ネットワーク内で送信されるメッセージの特徴を推定する推定方法であって、
各メッセージの受信時刻および各メッセージに格納されているデータが記録された通信ログを参照し、
各メッセージについて、当該メッセージの受信時刻と当該メッセージの受信前に受信したメッセージの受信時刻との差分を表す受信間隔を計算し、
各メッセージのデータ領域内の位置および長さの組合せで指定される複数の異なる部分領域それぞれに格納されている値を検出することで、各部分領域について、検出される異なる値の数を表すパターン数をそれぞれカウントし、
各部分領域に対して設けられている、メッセージの受信間隔が所定の送信周期と対応するか否かを表す第１の変数、および、メッセージの受信間隔が所定のイベントの発生時以外の期間において前記送信周期と対応するか否かを表す第２の変数を、前記受信間隔および当該部分領域に格納されている値に基づいてそれぞれ更新し、
前記第１の変数、前記第２の変数、および前記パターン数に基づいて、メッセージの送信タイプおよびメッセージのデータ領域内に格納されているデータの形式を推定する
ことを特徴とする推定方法。
（付記２）
前記第２の変数は、メッセージの受信間隔が所定のイベントの発生時以外の期間において前記送信周期と対応するか否か、及び、イベントの発生時以外の期間において当該部分領域に格納される値がイベント発生時以外に格納されるべき値であるか否かを表す
ことを特徴とする付記１に記載の推定方法。
（付記３）
前記第１の変数および前記第２の変数の初期状態はそれぞれ第１の状態であり、
処理対象の受信メッセージとその直前に受信した同じ識別子を有する受信メッセージとの間の受信間隔が前記送信周期より短いときに、各部分領域に対して設けられている第１の変数をそれぞれ第２の状態に更新し、
前記受信間隔が前記送信周期より短く、且つ、前記処理対象の受信メッセージ中の第１の部分領域の値が最初の受信メッセージ中の第１の部分領域の値と一致するときに、前記第１の部分領域に対して設けられている第２の変数を第２の状態に更新し、
前記受信間隔が前記送信周期より長いときに、各部分領域に対して設けられている第１の変数および第２の変数をそれぞれ第２の状態に更新し、
前記複数の部分領域のうちの少なくとも１つの部分領域に対して設けられている第２の変数が第１の状態を表し、且つ、前記少なくとも１つの部分領域のパターン数が２以上であるときに、
受信メッセージは、前記所定のイベントが発生しない期間には前記送信周期で送信され、且つ、
前記受信メッセージは、前記所定のイベントの発生時に特定の値が設定される部分領域を含む、と推定する
ことを特徴とする付記１に記載の推定方法。
（付記４）
前記複数の部分領域のうちの少なくとも１つの部分領域に対して設けられている第２の変数が第１の状態を表し、且つ、前記少なくとも１つの部分領域のパターン数が２以上であり、且つ、前記少なくとも１つの部分領域に対して設けられている第１の変数が第２の状態を表すときに、
受信メッセージは、前記所定のイベントが発生しない期間には前記送信周期で送信され、且つ、
前記受信メッセージは、前記所定のイベントの発生時に特定の値が設定される部分領域を含む、と推定する
ことを特徴とする付記３に記載の推定方法。
（付記５）
各部分領域に対して設けられている、メッセージの受信間隔が所定の送信周期より短いか否かを表す第３の変数を管理し、
前記第３の変数の初期状態は第１の状態であり、
前記受信間隔が前記送信周期以上であるときに、各部分領域に対して設けられている前記第３の変数をそれぞれ第２の状態に更新し、
前記複数の部分領域のうちの少なくとも１つの部分領域に対して設けられている第２の変数が第１の状態を表し、且つ、前記少なくとも１つの部分領域のパターン数が２以上であり、且つ、前記少なくとも１つの部分領域に対して設けられている第３の変数が第１の状態を表すときに、
受信メッセージは、前記所定のイベントが発生しない期間には前記送信周期で送信され、且つ、
前記受信メッセージは、前記所定のイベントの発生時に特定の値が設定される部分領域を含む、と推定する
ことを特徴とする付記３に記載の推定方法。
（付記６）
前記第１の変数および前記第２の変数の初期状態はそれぞれ第１の状態であり、
処理対象の受信メッセージとその直前に受信した同じ識別子を有する受信メッセージとの間の受信間隔が前記送信周期より短いときに、各部分領域に対して設けられている第１の変数をそれぞれ第２の状態に更新し、
前記受信間隔が前記送信周期より短く、且つ、前記処理対象の受信メッセージ中の第１の部分領域の値がその直前の受信メッセージ中の第１の部分領域の値と一致するときに、前記第１の部分領域に対して設けられている第２の変数を第２の状態に更新し、
前記受信間隔が前記送信周期より長いときに、各部分領域に対して設けられている第１の変数および第２の変数をそれぞれ第２の状態に更新し、
前記複数の部分領域のうちの少なくとも１つの部分領域に対して設けられている第２の変数が第１の状態を表すときに、
受信メッセージは、前記所定のイベントが発生しない期間には前記送信周期で送信され、且つ、
前記受信メッセージは、前記所定のイベントの発生時に値が変化する部分領域を含む、と推定する
ことを特徴とする付記１に記載の推定方法。
（付記７）
各部分領域に対して設けられている、メッセージの受信間隔が所定の送信周期より短いか否かを表す第３の変数を管理し、
前記第３の変数の初期状態は第１の状態であり、
前記受信間隔が前記送信周期以上であるときに、各部分領域に対して設けられている前記第３の変数をそれぞれ第２の状態に更新し、
前記複数の部分領域のうちの少なくとも１つの部分領域に対して設けられている第２の変数が第１の状態を表し、且つ、前記少なくとも１つの部分領域に対して設けられている第３の変数が第１の状態を表すときに、
受信メッセージは、前記所定のイベントが発生しない期間には前記送信周期で送信され、且つ、
前記受信メッセージは、前記所定のイベントの発生時に値が変化する部分領域を含む、と推定する
ことを特徴とする付記６に記載の推定方法。
（付記８）
前記第２の変数は、メッセージの受信間隔が所定のイベントの発生時以外の期間において前記送信周期と対応するか否か、及び、イベントの発生時以外の期間において当該部分領域に格納される値がイベント発生時以外に格納されるべき値であるか否かを表し、
前記受信間隔が前記送信周期と対応し、且つ、前記処理対象の受信メッセージ中の第２の部分領域の値がイベント発生時以外に格納されるべき値と異なるときに、前記第２の部分領域に対して設けられている第２の変数を第２の状態に更新する
ことを特徴とする付記３または６に記載の推定方法。
（付記９）
メッセージのデータ領域に格納されているデータの形式が、イベントが発生したときに特定の値に設定されるデータ、イベントが発生したときに値が変化するデータ、固定値、符号なし連続値、符号付き連続値、計算式によるチェックサム、一様性を示すチェックサム、カウンタ、単調増加、マルチ値のいずれに該当するかを判定する
ことを特徴とする付記１～８のいずれか１つに記載の推定方法。
（付記１０）
各メッセージの受信時刻および各メッセージに格納されているデータが記録された通信ログを参照し、
各メッセージについて、当該メッセージの受信時刻と当該メッセージの受信前に受信したメッセージの受信時刻との差分を表す受信間隔を計算し、
各メッセージのデータ領域内の位置および長さの組合せで指定される複数の異なる部分領域それぞれに格納されている値を検出することで、各部分領域について、検出される異なる値の数を表すパターン数をそれぞれカウントし、
各部分領域に対して設けられている、メッセージの受信間隔が所定の送信周期と対応するか否かを表す第１の変数、および、メッセージの受信間隔が所定のイベントの発生時以外の期間において前記送信周期と対応するか否かを表す第２の変数を、前記受信間隔および当該部分領域に格納されている値に基づいてそれぞれ更新し、
前記第１の変数、前記第２の変数、および前記パターン数に基づいて、メッセージの送信タイプおよびメッセージのデータ領域内に格納されているデータの形式を推定する
処理をコンピュータに実行させるプログラム。
（付記１１）
ネットワーク内で送信されるメッセージの特徴を推定する情報処理装置であって、
各メッセージの受信時刻および各メッセージに格納されているデータが記録された通信ログを保存する保存部と、
前記通信ログを参照して、各メッセージについて、当該メッセージの受信時刻と当該メッセージの受信前に受信したメッセージの受信時刻との差分を表す受信間隔を計算する受信間隔計算部と、
前記通信ログを参照して、各メッセージのデータ領域内の位置および長さの組合せで指定される複数の異なる部分領域それぞれに格納されている値を検出することで、各部分領域について、検出される異なる値の数を表すパターン数をそれぞれカウントするカウンタと、
各部分領域に対して設けられている、メッセージの受信間隔が所定の送信周期と対応するか否かを表す第１の変数、および、メッセージの受信間隔が所定のイベントの発生時以外の期間において前記送信周期と対応するか否かを表す第２の変数を、前記受信間隔および当該部分領域に格納されている値に基づいてそれぞれ更新する更新部と、
前記第１の変数、前記第２の変数、および前記パターン数に基づいて、メッセージの送信タイプおよびメッセージのデータ領域内に格納されているデータの形式を推定する推定部と、
を備える情報処理装置。
（付記１）
ネットワーク内で送信されるメッセージの特徴を推定する推定方法であって、
各メッセージの受信時刻および各メッセージに格納されているデータが記録された通信ログを参照し、
各メッセージについて、当該メッセージの受信時刻と当該メッセージの受信前に受信したメッセージの受信時刻との差分を表す受信間隔を計算し、
各メッセージのデータ領域内の位置および長さの組合せで指定される複数の異なる部分領域それぞれに格納されている値を検出することで、各部分領域について、検出される異なる値の数を表すパターン数をそれぞれカウントし、
各部分領域に対して設けられている、メッセージの受信間隔が所定の送信周期と対応するか否かを表す第１の変数、および、メッセージの受信間隔が所定のイベントの発生時以外の期間において前記送信周期と対応するか否かを表す第２の変数を、前記受信間隔および当該部分領域に格納されている値に基づいてそれぞれ更新し、
前記第１の変数、前記第２の変数、および前記パターン数に基づいて、メッセージの送信タイプおよびメッセージのデータ領域内に格納されているデータの形式を推定する
ことを特徴とする推定方法。
（付記２）
前記第２の変数は、メッセージの受信間隔が所定のイベントの発生時以外の期間において前記送信周期と対応するか否か、及び、イベントの発生時以外の期間において当該部分領域に格納される値がイベント発生時以外に格納されるべき値であるか否かを表す
ことを特徴とする付記１に記載の推定方法。
（付記３）
前記第１の変数および前記第２の変数の初期状態はそれぞれ第１の状態であり、
処理対象の受信メッセージとその直前に受信した同じ識別子を有する受信メッセージとの間の受信間隔が前記送信周期より短いときに、各部分領域に対して設けられている第１の変数をそれぞれ第２の状態に更新し、
前記受信間隔が前記送信周期より短く、且つ、前記処理対象の受信メッセージ中の第１の部分領域の値が最初の受信メッセージ中の第１の部分領域の値と一致するときに、前記第１の部分領域に対して設けられている第２の変数を第２の状態に更新し、
前記受信間隔が前記送信周期より長いときに、各部分領域に対して設けられている第１の変数および第２の変数をそれぞれ第２の状態に更新し、
前記複数の部分領域のうちの少なくとも１つの部分領域に対して設けられている第２の変数が第１の状態を表し、且つ、前記少なくとも１つの部分領域のパターン数が２以上であるときに、
受信メッセージは、前記所定のイベントが発生しない期間には前記送信周期で送信され、且つ、
前記受信メッセージは、前記所定のイベントの発生時に特定の値が設定される部分領域を含む、と推定する
ことを特徴とする付記１に記載の推定方法。
（付記４）
前記複数の部分領域のうちの少なくとも１つの部分領域に対して設けられている第２の変数が第１の状態を表し、且つ、前記少なくとも１つの部分領域のパターン数が２以上であり、且つ、前記少なくとも１つの部分領域に対して設けられている第１の変数が第２の状態を表すときに、
受信メッセージは、前記所定のイベントが発生しない期間には前記送信周期で送信され、且つ、
前記受信メッセージは、前記所定のイベントの発生時に特定の値が設定される部分領域を含む、と推定する
ことを特徴とする付記３に記載の推定方法。
（付記５）
各部分領域に対して設けられている、メッセージの受信間隔が所定の送信周期より短いか否かを表す第３の変数を管理し、
前記第３の変数の初期状態は第１の状態であり、
前記受信間隔が前記送信周期以上であるときに、各部分領域に対して設けられている前記第３の変数をそれぞれ第２の状態に更新し、
前記複数の部分領域のうちの少なくとも１つの部分領域に対して設けられている第２の変数が第１の状態を表し、且つ、前記少なくとも１つの部分領域のパターン数が２以上であり、且つ、前記少なくとも１つの部分領域に対して設けられている第３の変数が第１の状態を表すときに、
受信メッセージは、前記所定のイベントが発生しない期間には前記送信周期で送信され、且つ、
前記受信メッセージは、前記所定のイベントの発生時に特定の値が設定される部分領域を含む、と推定する
ことを特徴とする付記３に記載の推定方法。
（付記６）
前記第１の変数および前記第２の変数の初期状態はそれぞれ第１の状態であり、
処理対象の受信メッセージとその直前に受信した同じ識別子を有する受信メッセージとの間の受信間隔が前記送信周期より短いときに、各部分領域に対して設けられている第１の変数をそれぞれ第２の状態に更新し、
前記受信間隔が前記送信周期より短く、且つ、前記処理対象の受信メッセージ中の第１の部分領域の値がその直前の受信メッセージ中の第１の部分領域の値と一致するときに、前記第１の部分領域に対して設けられている第２の変数を第２の状態に更新し、
前記受信間隔が前記送信周期より長いときに、各部分領域に対して設けられている第１の変数および第２の変数をそれぞれ第２の状態に更新し、
前記複数の部分領域のうちの少なくとも１つの部分領域に対して設けられている第２の変数が第１の状態を表すときに、
受信メッセージは、前記所定のイベントが発生しない期間には前記送信周期で送信され、且つ、
前記受信メッセージは、前記所定のイベントの発生時に値が変化する部分領域を含む、と推定する
ことを特徴とする付記１に記載の推定方法。
（付記７）
各部分領域に対して設けられている、メッセージの受信間隔が所定の送信周期より短いか否かを表す第３の変数を管理し、
前記第３の変数の初期状態は第１の状態であり、
前記受信間隔が前記送信周期以上であるときに、各部分領域に対して設けられている前記第３の変数をそれぞれ第２の状態に更新し、
前記複数の部分領域のうちの少なくとも１つの部分領域に対して設けられている第２の変数が第１の状態を表し、且つ、前記少なくとも１つの部分領域に対して設けられている第３の変数が第１の状態を表すときに、
受信メッセージは、前記所定のイベントが発生しない期間には前記送信周期で送信され、且つ、
前記受信メッセージは、前記所定のイベントの発生時に値が変化する部分領域を含む、と推定する
ことを特徴とする付記６に記載の推定方法。
（付記８）
前記第２の変数は、メッセージの受信間隔が所定のイベントの発生時以外の期間において前記送信周期と対応するか否か、及び、イベントの発生時以外の期間において当該部分領域に格納される値がイベント発生時以外に格納されるべき値であるか否かを表し、
前記受信間隔が前記送信周期と対応し、且つ、前記処理対象の受信メッセージ中の第２の部分領域の値がイベント発生時以外に格納されるべき値と異なるときに、前記第２の部分領域に対して設けられている第２の変数を第２の状態に更新する
ことを特徴とする付記３または６に記載の推定方法。
（付記９）
メッセージのデータ領域に格納されているデータの形式が、イベントが発生したときに特定の値に設定されるデータ、イベントが発生したときに値が変化するデータ、固定値、符号なし連続値、符号付き連続値、計算式によるチェックサム、一様性を示すチェックサム、カウンタ、単調増加、マルチ値のいずれに該当するかを判定する
ことを特徴とする付記１～８のいずれか１つに記載の推定方法。
（付記１０）
各メッセージの受信時刻および各メッセージに格納されているデータが記録された通信ログを参照し、
各メッセージについて、当該メッセージの受信時刻と当該メッセージの受信前に受信したメッセージの受信時刻との差分を表す受信間隔を計算し、
各メッセージのデータ領域内の位置および長さの組合せで指定される複数の異なる部分領域それぞれに格納されている値を検出することで、各部分領域について、検出される異なる値の数を表すパターン数をそれぞれカウントし、
各部分領域に対して設けられている、メッセージの受信間隔が所定の送信周期と対応するか否かを表す第１の変数、および、メッセージの受信間隔が所定のイベントの発生時以外の期間において前記送信周期と対応するか否かを表す第２の変数を、前記受信間隔および当該部分領域に格納されている値に基づいてそれぞれ更新し、
前記第１の変数、前記第２の変数、および前記パターン数に基づいて、メッセージの送信タイプおよびメッセージのデータ領域内に格納されているデータの形式を推定する
処理をコンピュータに実行させるプログラム。
（付記１１）
ネットワーク内で送信されるメッセージの特徴を推定する情報処理装置であって、
各メッセージの受信時刻および各メッセージに格納されているデータが記録された通信ログを保存する保存部と、
前記通信ログを参照して、各メッセージについて、当該メッセージの受信時刻と当該メッセージの受信前に受信したメッセージの受信時刻との差分を表す受信間隔を計算する受信間隔計算部と、
前記通信ログを参照して、各メッセージのデータ領域内の位置および長さの組合せで指定される複数の異なる部分領域それぞれに格納されている値を検出することで、各部分領域について、検出される異なる値の数を表すパターン数をそれぞれカウントするカウンタと、
各部分領域に対して設けられている、メッセージの受信間隔が所定の送信周期と対応するか否かを表す第１の変数、および、メッセージの受信間隔が所定のイベントの発生時以外の期間において前記送信周期と対応するか否かを表す第２の変数を、前記受信間隔および当該部分領域に格納されている値に基づいてそれぞれ更新する更新部と、
前記第１の変数、前記第２の変数、および前記パターン数に基づいて、メッセージの送信タイプおよびメッセージのデータ領域内に格納されているデータの形式を推定する推定部と、
を備える情報処理装置。
【符号の説明】
【0229】
１０ 推定装置
１１ 通信ログデータベース
１２ 制御部
１３ パターン数カウンタ
１４ 受信間隔判定部
１５ 変数更新部
１６ 形式推定部
１８ 最終結果推定部
２００ ＥＣＵ
２０４ プロセッサ
１１ 通信ログデータベース
１２ 制御部
１３ パターン数カウンタ
１４ 受信間隔判定部
１５ 変数更新部
１６ 形式推定部
１８ 最終結果推定部
２００ ＥＣＵ
２０４ プロセッサ
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】
【図21】
【図22】