JP2022017889A - ログ管理装置及びセキュリティ攻撃検知・分析システム - Google Patents

Abstract

【課題】センタ装置との通信量を削減するとともに、センタ装置の処理量を削減することができるログ管理装置を提供する。【解決手段】ログ管理装置が、通信ネットワークを介して、センタ装置に接続されているセキュリティ攻撃検知・分析システムにおいて、ログ管理装置１００は、ログ収集部１０１と、保存部１０２と、統計分析部１０４と、送信部１０６と、を有する。ログ収集部は、ＥＣＵ１、ＥＣＵ２のセキュリティセンサが生成したログを受信する。保存部は、受信したログを保存する。統計分析部は、複数のログの統計分析を行うことで統計計算結果を求める。送信部は、所定の条件に応じて、ログ又は統計計算結果をセンタ装置に送信する。【選択図】図２

Description

本発明は、サイバー攻撃を検知・分析するシステムであって、主に移動体に搭載されるログ管理装置、及び移動体の外部に設けられたセンタ装置、からなるセキュリティ攻撃検知・分析システムに関する。

近年、車車間通信や路車間通信のようなＶ２Ｘをはじめ、運転支援や自動運転制御を行う技術が注目されている。これに伴い、車両が通信機能を備えるようになり、いわゆる車両のコネクティッド化が進んでいる。この結果、車両がサイバー攻撃を受ける可能性が増加している。車両は高速で移動するため、サイバー攻撃に伴い車両のコントロールを失う可能性があるため、サイバー攻撃に対してより強固な防御手段が必要となる。

ここで、コンピュータシステムの分野においては、以前からサイバー攻撃に対する対応策が講じられている。

例えば、特許文献１には、セキュリティログの出力要否を決定するログ出力装置等が記載されている。

特開２０２０－３８４３９号公報

ここで、本発明者は、以下の課題を見出した。
移動体である車両に搭載された電子制御装置（ＥＣＵ）にはセキュリティセンサが搭載されており、セキュリティセンサがＥＣＵ自体やＥＣＵの通信の監視を行いセキュリティログを出力する。このセキュリティログの分析をセンタ装置で行う場合、すべてのセキュリティログをセンタ装置にアップロードするとすれば、通信量が大きくなってしまう。
また、一般的にはセンタ装置の方が、車両に搭載された電子制御装置よりも処理能力が高い。そのため、車両に搭載された電子制御装置では異常検知ができなくても、センタ装置であれば異常検知が可能な場合がある。
さらに、センタ装置で異常検知を行う場合であっても、セキュリティログ等の情報が十分でない場合がある。この場合、当該車両や同種の車両から追加の情報を得ることができれば、より正確な異常検知を行うことができるとともに、複数の車両に対する分析を行うことができる。

本発明は、センタ装置との通信量を削減するとともに、センタ装置の処理量を削減することができるログ管理装置を実現することを目的とする。
また、本発明は、センタ装置で攻撃分析を行うとともに、必要な情報を収集することができるセンタ装置を実現することを目的とする。

なお、上記課題はログ管理装置が車両に搭載される場合を例に挙げているが、これは課題の一例として記載している。ログ管理装置が車両に搭載されない場合も、通信量の増大や、各ユニットやエンティティでの処理量の適切な配分という課題が生じうる。

本開示のログ管理装置（１００）は、
セキュリティセンサが生成したログを受信するログ収集部（１０１）と、
前記ログを保存する保存部（１０２）と、
複数の前記ログの統計分析を行うことで統計計算結果を求める統計分析部（１０４）と、
所定の条件に応じて、前記ログ又は前記統計計算結果を送信する送信部（１０６）と、を有する。

なお、特許請求の範囲、及び本項に記載した発明の構成要件に付した括弧内の番号は、本発明と後述の実施形態との対応関係を示すものであり、本発明を限定する趣旨ではない。

上述のような構成により、センタ装置との通信量を削減するとともに、センタ装置の処理量を削減することができる。
また、センタ装置で攻撃分析を行うとともに、必要な情報を収集することができる。

本開示の実施形態のセキュリティ攻撃検知・分析システムの構成例を示す図 本開示の実施形態のログ管理装置の構成例を示すブロック図 本開示の実施形態のセンタ装置の構成例を示すブロック図 本開示の実施形態のログ管理装置の動作を示すフローチャート 本開示の実施形態のログ管理装置の動作を示すフローチャート 本開示の実施形態のセンタ装置の動作を示すフローチャート 本開示の実施形態のセンタ装置の動作を示すフローチャート

以下、本発明の実施形態について、図面を参照して説明する。

なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともかぎ括弧内の語句は、特許請求の範囲又は課題を解決するための手段の項に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。

特許請求の範囲の従属項に記載の構成及び方法は、特許請求の範囲の独立項に記載の発明において任意の構成及び方法である。従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明において任意の構成及び方法である。特許請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成及び方法も、本発明の構成及び方法の例示であるという意味で、本発明において任意の構成及び方法である。いずれの場合も、特許請求の範囲の独立項に記載することで、本発明の必須の構成及び方法となる。

実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。

複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせても良い。また、複数の実施形態それぞれに開示の構成を集めて組み合わせても良い。

発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の構成及び方法と共に発明の進歩性を肯定する事実である。

１．第１の実施形態
（１）セキュリティ攻撃検知・分析システムの全体の構成
図１を用いて、本実施形態のセキュリティ攻撃検知・分析システムの全体構成をまず説明する。

セキュリティ攻撃検知・分析システム１は、ログ管理装置１００及びセンタ装置２００からなる。

ログ管理装置１００は、通信ネットワーク２を介して、センタ装置２００と接続されている。
ログ管理装置１００は、本実施形態の場合、「移動体」である車両に「搭載されている」。もっとも、移動体ではなく固定物に搭載されていてもよい。
ここで、「移動体」とは、移動可能な物体をいい、移動速度は任意である。また移動体が停止している場合も当然含む。例えば、自動車、自動二輪車、自転車、歩行者、船舶、航空機、及びこれらに搭載される物を含み、またこれらに限らない。
また、「搭載されている」とは、移動体に直接固定されている場合の他、移動体に固定されていないが移動体と共に移動する場合も含む。例えば、移動体に乗った人が所持している場合、移動体に載置された積荷に搭載されている場合、が挙げられる。

通信ネットワーク２は、無線通信方式の場合、例えば、ＩＥＥＥ８０２．１１（ＷｉＦｉ（登録商標））やＩＥＥＥ８０２．１６（ＷｉＭＡＸ（登録商標））、Ｗ－ＣＤＭＡ（Wideband Code Division Multiple Access）、ＨＳＰＡ（High Speed Packet Access）、ＬＴＥ（Long Term Evolution）、ＬＴＥ－Ａ（Long Term Evolution Advanced）、４Ｇ、５Ｇ等を用いることができる。あるいは、ＤＳＲＣ(Dedicated Short Range Communication)を用いることができる。
通信ネットワークは、有線通信方式の場合、例えば、ＬＡＮ（Local Area Network）やインターネット、固定電話回線を用いることができる。
無線通信ネットワークは、無線通信方式と有線通信方式とを組み合わせてもよい。例えば、ログ管理装置１００とセルラーシステムにおける基地局装置との間は無線通信方式で、基地局装置とセンタ装置２００との間は、通信事業者の基幹回線やインターネット等の有線通信方式で、それぞれ接続されてもよい。

（２）ログ管理装置の構成
図２を用いて、本実施形態のログ管理装置１００の構成について説明する。

ログ管理装置１００は、ログ収集部１０１、保存部１０２、制御部１０３、送信部１０６、及び受信部１０７からなる。また、制御部１０３は、統計分析部１０４及び攻撃検知部１０５を実現する。

ログ管理装置１００は、汎用のＣＰＵ（Central Processing Unit）、ＲＡＭ等の揮発性メモリ、ＲＯＭ、フラッシュメモリ、又はハードディスク等の不揮発性メモリ、各種インターフェース、及びこれらを接続する内部バスで構成することができる。そして、これらのハードウェア上でソフトウェアを実行することにより、図２に記載の各機能ブロックの機能を発揮させるように構成することができる。後述の図３で示されるセンタ装置２００においても同様である。
もちろん、ログ管理装置１００を、ＬＳＩ等の専用のハードウェアで実現してもよい。

ログ管理装置１００は、本実施形態では半完成品としての電子制御装置（ＥＣＵ（Electric Control Unit）、以下ＥＣＵと略する。）の形態を想定しているが、これに限らない。例えば、部品の形態としては、半導体回路や半導体モジュール、完成品の形態としては、パーソナルコンピュータ（ＰＣ）、スマートフォン、携帯電話、ナビゲーションシステムが挙げられる。
なお、ログ管理装置１００は、単一のＥＣＵの他、複数のＥＣＵで構成されてもよい。例えば、外部との通信を通信ＥＣＵが担当するようにしてもよい。
あるいは、視点を変えて、通信ＥＣＵを含めた複数のＥＣＵを、本実施形態のログ管理装置１００と把握してもよい。

ログ収集部１０１は、ログ管理装置１００に接続された単数又は複数のＥＣＵと、車載ネットワークを介して接続され、各ＥＣＵに設けられたセキュリティセンサから送信されたセキュリティログを受信する。セキュリティセンサは、各ＥＣＵ自身や各ＥＣＵの通信を監視し、攻撃等の異常を検知し、セキュリティログによって正常報告や異常報告を行う。
図２では、ログ収集部１０１は、ＥＣＵ１、ＥＣＵ２、及びＥＣＵ３と車載ネットワークを介して接続されている。ＥＣＵ１、ＥＣＵ２には、それぞれのＥＣＵ自身やそれぞれのＥＣＵの通信を監視するセキュリティセンサが設けられている。ＥＣＵ３には、セキュリティセンサが設けられていない。
なお、この他、ＥＣＵ１、ＥＣＵ２、ＥＣＵ３には、セキュリティセンサ以外に、防御機能やそれぞれのＥＣＵ動作状態を通知するログを生成する機能が備わっていてもよい。そして、セキュリティログに代えて、又はセキュリティログとともに、このログを本実施形態の処理対象としてもよい。

ＥＣＵ１、ＥＣＵ２、ＥＣＵ３は任意のＥＣＵであるが、例えば、エンジン、ハンドル、ブレーキ等の制御を行う駆動系電子制御装置、メータやパワーウインドウ等の制御を行う車体系電子制御装置、ナビゲーション装置等の情報系電子制御装置、あるいは、障害物や歩行者との衝突を防止するための制御を行う安全制御系電子制御装置が挙げられる。また、ＥＣＵ同士が並列ではなく、マスターとスレーブとに分類されていてもよい。

車載ネットワークは、例えばＣＡＮ（Controller Area Network）、ＬＩＮ（Local Interconnect Network）といった通信方式の他、Ｅｔｈｅｒｎｅｔ（登録商標）やＷｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等、任意の通信方式を用いることができる。

保存部１０２は、ログ収集部１０１から制御部１０３を介して、又はログ収集部１０１から直接、ログ収集部１０１で収集したセキュリティログを保存する。後述の統計分析部１０４で求めた統計計算結果も保存するようにしてもよい。
保存部１０２は、不揮発性メモリ又は揮発性メモリで構成されている。

制御部１０３は、ログ収集部１０１、保存部１０２、送信部１０６、及び受信部１０７の動作を制御する。また、制御部１０３は、それ自身で、統計分析部１０４及び攻撃検知部１０５を実現している。

統計分析部１０４は、ログ収集部１０１で収集した複数のセキュリティログの統計分析を行うことで、統計計算結果を求める。統計分析の例としては、例えば同一種類のセキュリティログの発生回数、頻度、時間的分散、又は相関などが挙げられる。その他の例として、後述の攻撃検知部１０５がセキュリティログから特定した攻撃検知結果の回数、頻度、時間的分散、又は相関などが挙げられる。このように、セキュリティログの統計分析とは、セキュリティログに対する直接的又は間接的な統計分析の両方を含む。

攻撃検知部１０５は、ログ収集部１０１で収集したセキュリティログに基づき攻撃検知を行い、攻撃検知結果を求める。攻撃検知は、攻撃特定、攻撃経路特定、被害箇所特定、のように複数段階が存在し、攻撃検知部１０５は、これらのうち少なくとも１つを行うことができればよい。
攻撃特定とは、異常がセキュリティ攻撃由来であると特定することをいう。
攻撃経路特定とは、どのＥＣＵやどのネットワークを経由して攻撃されているかを特定することをいう。
被害箇所特定とは、どのＥＣＵやどのネットワークが被害を受けているかを特定することをいう。
なお、前段落で述べたとおり、攻撃検知部１０５で求めた攻撃検知結果を、統計分析部１０４で分析してもよい。この場合、セキュリティログを間接的に統計分析することになる。

送信部１０６は、「所定の条件」に応じて、セキュリティログ又は統計計算結果をセンタ装置にアンテナＡを介して送信する。具体例としては、「所定の条件」に応じて、セキュリティログ又は統計計算結果のいずれかを送信する。所定の条件の例として、攻撃検知の回数、センタ装置から受信したアップロード要求、当該アップロード要求に加えてセキュリティログの量、が挙げられるが、これらは後述のログ管理装置の動作の項で説明する。所定の条件を満たすか否かは、制御部１０３で判定することができる。
ここで、「所定の条件」とは、ログや統計計算結果に関する内部条件の他、他装置からの指示や情報に基づく外部条件であってもよい。

なお、外部通信を担当する通信ＥＣＵがログ管理装置とは別に設けられている場合は、送信部１０６は通信ＥＣＵにセキュリティログや統計計算結果を送信する。しかし、この場合も送信部１０６は、通信ＥＣＵを介してセンタ装置にセキュリティログや統計計算結果を送信することに相違ない。

受信部１０７は、センタ装置２００から、セキュリティログや統計計算結果のアップロードを要求するアップロード要求をアンテナＡを介して受信する。

（３）センタ装置の構成
図３を用いて、本実施形態のセンタ装置２００の構成について説明する。

センタ装置２００は、受信部２０１、制御部２０２、保存部２０４、送信部２０５を有する。また、制御部２０２は、分析部２０３を実現する。

センタ装置２００は、本実施形態では完成品としてのサーバ装置の形態を想定しているが、これに限らない。例えば、完成品の形態として、ワークステーション、パーソナルコンピュータ（ＰＣ）、半完成品の形態としてＥＣＵ、部品の形態として半導体回路素子が挙げられる。

受信部２０１は、ログ管理装置１００から送信されたセキュリティログ又は統計計算結果をアンテナＡを介して受信する。

制御部２０２は、受信部２０１、保存部２０４、及び送信部２０５の動作を制御する。また、制御部２０２は、それ自身で、分析部２０３を実現している。

分析部２０３は、受信部２０１で受信したセキュリティログ又は統計計算結果を分析する。そして、分析結果に基づき、ログ管理装置１００に対し追加のログ又は追加の統計計算結果のアップロードを要求するアップロード要求を生成する。

アップロード要求の送信対象は、受信部２０１で受信した受信元のログ管理装置１００に限らない。例えば、「同種」の他の車両に搭載されたログ管理装置１００が送信対象であってもよい。
ここで、「同種」とは、同一車種の場合の他、同一の部品を搭載する場合、同一のプラットフォームを搭載する場合等、何らかの共通性があれば足りる。

保存部２０４は、受信部２０１で受信したセキュリティログや統計計算結果を保存する。また、分析部２０３で生成したアップロード要求を保存するようにしてもよい。

送信部２０５は、アップロード要求を、セキュリティログや統計計算結果の送信元のログ管理装置１００に対して、及び／又は「同種」の他の車両に搭載されたログ管理装置１００に対して送信する。

（４）ログ管理装置の動作
図４及び図５のフローチャートを用いて、本実施形態のログ管理装置１００の動作について説明する。
なお、以下の動作は、ログ管理装置１００で実行されるログ管理方法を示すだけでなく、ログ管理装置１００で実行可能なログ管理プログラムの処理手順を示すものである。
そして、これらの処理は、図４及び図５で示した順序には限定されない。すなわち、あるステップでその前段のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

図４は、ログ管理装置１００の定常的なログ収集に関する動作である。
ログ収集部１０１は、ＥＣＵ１及びＥＣＵ２のセキュリティセンサで生成及び送信されたセキュリティログを受信する（Ｓ１０１）。そして、保存部１０２は、セキュリティログを保存する。

攻撃検知部１０５は、受信したセキュリティログに基づき攻撃検知を行う（Ｓ１０２）。
攻撃検知は、攻撃特定、攻撃経路特定、被害箇所特定の少なくともいずれかであればよい。攻撃検知がされていない場合（Ｓ１０２：Ｎｏ）、正常ログに対して統計分析を行い、統計計算結果を求める。攻撃検知がされた場合（Ｓ１０２：Ｙｅｓ）、Ｓ１０４に処理を移す。

攻撃検知部１０５による攻撃検知が所定の回数「以上」の場合に、統計分析部１０４は統計分析を行うことで統計計算結果を求める。
また、制御部１０３は、所定の条件を攻撃検知の回数とした場合、攻撃検知が所定の回数「以下」の場合に、セキュリティログをセンタ装置２００に送信するよう送信部１０６に指示し、送信部１０６はセキュリティログをセンタ装置２００に送信する。また、制御部１０３は、攻撃検知が所定の回数「以上」の場合に、センタ装置２００からのアップロード要求を待って、統計計算結果をセンタ装置２００に送信するよう送信部１０６に指示し、送信部１０６は統計計算結果をセンタ装置２００に送信する。
ここで、「以上」とは、所定の回数を含む場合、含まない場合のいずれも含む。
「以下」とは、所定の回数を含む場合、含まない場合のいずれも含む。

本実施形態においては、制御部１０３は、所定の条件として攻撃検知が１回目の場合（Ｓ１０４：Ｙｅｓ）、送信部１０６に対し攻撃検知を行う際に使用したセキュリティログをセンタ装置２００に送信するように指示をする。そして、送信部１０６は、セキュリティログをセンタ装置２００に送信する（Ｓ１０５）。
なお、セキュリティログに加え、図示しない車両状態監視機能が出力した車両状態を示す車両情報や、車両情報の統計計算結果を併せて送信するようにしてもよい。次段落においても同様である。

また、本実施形態において、所定の条件として攻撃検知が２回目以上の場合（Ｓ１０４：Ｎｏ）、統計分析部１０４は、複数のセキュリティログの統計分析を行い、統計計算結果を求める（Ｓ１０３）。例えば、同一種類のセキュリティログの発生回数、頻度、時間的分散、又は相関などを求める。又は、攻撃検知部１０５がセキュリティログから特定した攻撃検知結果の回数、頻度、時間的分散、又は相関などを求める。
求めた統計計算結果はすぐに送信せず、制御部１０３は、センタ装置２００からのアップロード要求を待って統計計算結果を送信するよう送信部１０６に指示し、送信部１０６は統計計算結果を送信する。統計計算結果を送信した場合、攻撃回数をリセットする。
もっとも、求めた統計計算結果を速やかに送信部１０６から送信するようにしてもよい。

なお、Ｓ１０４で、所定の条件として所定の回数を１回としたが、所定の回数を２以上としてもよい。例えば、所定の回数を３とした場合、異常検知が３回まではセキュリティログを送信し、４回以上は統計分析を行うことで統計計算結果を求め、センタ装置２００からのアップロード要求を待って統計計算結果を送信するようにしてもよい。

さらに、所定の条件として、攻撃検知の回数以外の条件を設定してもよい。例えば、セキュリティログの受信回数や受信頻度としてもよい。

所定の条件は、必要に応じて、又は条件に応じて自動的に変更可能としてもよい。
統計分析の内容も、必要に応じて、又は条件に応じて自動的に変更可能としてもよい。

このように、本実施形態によれば、攻撃の回数に応じて送信対象をセキュリティログ又は統計計算結果のいずれかとしているので、すべてのログをセンタ装置に送信する必要がなく、通信量を削減することができる。
また、本実施形態によれば、センタ装置２００からの要求を待って統計計算結果を送信するので、センタ装置２００が必要だと判断したときに統計計算結果を送信すれば足り、通信量を削減することができる。
そして、本実施形態によれば、センタ装置２００は統計計算結果を求める必要がないので、処理量を削減することができる。

図５は、ログ管理装置１００がセンタ装置２００からアップロード要求を受信した場合の動作である。つまり、アップロード要求が所定の条件の場合である。
受信部１０７は、センタ装置２００からアップロード要求を受信する（Ｓ１１１）。

制御部１０３は、セキュリティログ又は統計計算結果が送信可能かどうかを判定する（Ｓ１１２）。判定には、図示しない車両状態監視機能が出力した車両情報を用いる。例えば、車両がスリープ時には待機電源しか利用できないので、送信が可能でないと判定する（Ｓ１１２：Ｎｏ）。送信が可能であると判定した場合（Ｓ１１２：Ｙｅｓ）、処理をＳ１１３に移す。

制御部１０３は、所定の条件として、受信したセキュリティログの「量」とした場合、セキュリティログの量が所定の数「以下」の場合に、セキュリティログをセンタ装置２００に送信するよう送信部１０６に指示し、送信部１０６はセキュリティログをセンタ装置２００に送信する。また、制御部１０３は、セキュリティログの量が所定の数「以上」の場合に、統計計算結果をセンタ装置２００に送信するよう送信部１０６に指示し、送信部１０６は統計計算結果をセンタ装置２００に送信する。
ここで、「量」とは、ログのサイズの他、ログの数やログの受信頻度等も含む。
「以上」とは、所定の回数を含む場合、含まない場合のいずれも含む。
「以下」とは、所定の回数を含む場合、含まない場合のいずれも含む。

本実施形態においては、制御部１０３は、セキュリティログの数が１つの場合（Ｓ１１３：Ｙｅｓ）、送信部１０６に対しセキュリティログをセンタ装置２００に送信するよう指示する。そして、送信部１０６は、セキュリティログをセンタ装置２００に送信する（Ｓ１１４）。

また、本実施形態において、制御部１０３は、セキュリティログの数が２つ以上の場合（Ｓ１１３：Ｎｏ）、送信部１０６に対し統計計算結果をセンタ装置２００に送信するよう指示する。そして、送信部１０６は、統計計算結果をセンタ装置２００に送信する（Ｓ１１５）。

Ｓ１１２でＮｏの場合、統計分析部１０４は、セキュリティログを送信できない要因の分析のため、送信できない理由の統計分析を行う（Ｓ１１６）。そして、送信可能になった場合（Ｓ１１７：Ｙｅｓ）、それまで受信したアップロード要求の中で最新のアップロード要求に応じて、処理をＳ１１３に移す。送信可能になった場合の例として、次回のＩＧ－ＯＮ（イグニッションオン）時が挙げられる。送信可能になった場合（Ｓ１１７：Ｙｅｓ）、さらに送信できない理由の統計分析の統計計算結果を送信するようにしてもよい。

なお、Ｓ１１３で、所定の条件としてセキュリティログの数が１としたが、２以上としてもよい。例えば、セキュリティログの数を３とした場合、セキュリティログの数が３まではセキュリティログを送信し、４以上の場合は統計計算結果を送信するようにしてもよい。

さらに、所定の条件として、セキュリティログの数以外の条件を設定してもよい。

所定の条件は、必要に応じて、又は条件に応じて自動的に変更可能としてもよい。
統計分析の内容も、必要に応じて、又は条件に応じて自動的に変更可能としてもよい。

このように、本実施形態によれば、セキュリティログの数に応じて送信対象をセキュリティログか統計計算結果のいずれかとしているので、すべてのログをセンタ装置に送信する必要がなく、通信量を削減することができる。
また、本実施形態によれば、センタ装置２００からの要求を待って統計計算結果を送信するので、センタ装置２００が必要だと判断したときに統計計算結果を送信すれば足り、通信量を削減することができる。
そして、本実施形態によれば、センタ装置２００は分析の過程で行う必要があった統計計算結果を求める必要がないので、処理量を削減することができる。すなわち、センタ装置２００での分析精度を低下させることなく、センタ装置２００との通信量を削減することができる。

（５）センタ装置の動作
図６及び図７のフローチャートを用いて、本実施形態のセンタ装置２００の動作について説明する。
なお、以下の動作は、センタ装置２００で実行されるセキュリティ攻撃・分析方法を示すだけでなく、センタ装置２００で実行可能なセキュリティ攻撃・分析プログラムの処理手順を示すものである。
そして、これらの処理は、図６及び図７で示した順序には限定されない。すなわち、あるステップでその前段のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

図６は、車両のログ管理装置１００からセキュリティログ又は統計計算結果を受信した場合の動作である。
センタ装置２００の受信部２０１は、特定の車両から送信されたセキュリティログ又は統計計算情報を受信する（Ｓ２０１）。ここで受信するセキュリティログ又は統計計算情報は、図４に示すような、特定の車両のログ管理装置１００の定常的なログ収集に基づくセキュリティログ（Ｓ１０５）又は統計計算結果（Ｓ１０３）であっても、図５に示すような、センタ装置２００からのアップロード要求に対して送信するセキュリティログ（Ｓ１１４）又は統計計算結果（Ｓ１１５）であってもよい。すなわち、図６のフローチャートは、図４や図５に接続されて実行される。

分析部２０３は、Ｓ２０１で受信したセキュリティログ又は統計計算情報を用いて攻撃分析を行う（Ｓ２０２）。攻撃分析は、車両のログ管理装置１００の攻撃検知部１０５と同様のアルゴリズムでもよいが、更に精緻な攻撃分析を行ってもよい。攻撃分析の手法は、公知の手法を用いることができる。

分析部２０３は、特定の車両に対して攻撃有と判定した場合、あるいは攻撃の有無が判定できず追加分析が必要と判定した場合は（Ｓ２０３：Ｙｅｓ）、Ｓ２０４に処理を移す。この際、追加分析に必要な情報が、当該特定の車両からのみ必要か、又はセキュリティーホールの存在等同一車種にも危険が及んでいる場合、若しくは広く情報収集が必要な場合か、をさらに判定してもよい。分析部２０３は、特定の車両に対して攻撃なしと判定した場合は、処理を終了する。

分析部２０３は、送信部２０５に対して、特定の車両、又は特定の車両と同一車種の一部又は全部から情報を収集するため、アップロード要求の送信を指示する（Ｓ２０４）。そして、送信部２０５は、特定の車両、又は特定の車両と同一車種の一部又は全部に対して、アップロード要求を送信する。同一車種の送信先は、センタ装置２００の保存部２０４に保存された車両登録データを用いることで特定することができる。

受信部２０１は、特定の車両である単数の車両、又は特定の車両と同一車種の一部又は全部である複数の車両からセキュリティログ又は統計計算情報を受信する。そして、分析部２０３はこれらの情報を用いて攻撃分析を行う（Ｓ２０５）。複数の車両の中には、特定の車両を含めても、含めなくてもよい。

このように、本実施形態によれば、センタ装置２００で攻撃分析を行うとともに、必要な情報を広く収集して攻撃分析を行うことができる。

図７は、図６と同様、車両のログ管理装置１００からセキュリティログ又は統計計算結果を受信した場合の動作である。図６と同じステップは図６の説明を引用して説明を省略する。

分析部２０３は、Ｓ２０１で特定の車両からセキュリティログを受信した場合、保存部２０４に対して過去に当該特定の車両から統計計算結果を受信・保存していないかを確認する（Ｓ２１１）。過去に受信していなければ（Ｓ２１１：Ｎｏ）、分析部２０３は、当該特定の車両に対して、統計計算結果の追加アップロード要求を送信するよう、送信部２０５に指示する。そして、送信部２０５は、追加アップロード要求を送信する（Ｓ２１２）。過去に受信していれば（Ｓ２１１：Ｙｅｓ）、処理をＳ２０２に移す。

このように、本実施形態によれば、センタ装置２００で攻撃分析を行うに際し、特定の車両からの情報を十分に収集することにより、攻撃分析の精度を上げることができる。

３．その他
（１）対象ログ送信と統計計算結果の送信条件の変更
図４のＳ１０３や図５のＳ１１３で、所定の条件を攻撃検知回数やセキュリティログの数としたが、セキュリティセンサの設置場所（例えば特定のＥＣＵ）やセキュリティセンサが接続されている通信バスの重要度に応じて、所定の条件を自動又は手動で設定するようにしてもよい。例えば、所定の条件としての攻撃検知の回数を設定することができるようにしてもよい。

また、安全に関する情報や、位置情報などのプライバシーに関する情報について、他のログと所定の条件を変更してもよい。例えば、安全に関する情報は、所定の条件としての攻撃検知回数やセキュリティログの数を大きくすることにより、加工していない生のデータ量を大きくすることができる。また、プライバシ―に関する情報は、所定の条件として攻撃検知回数やセキュリティログの数を小さくすることにより、直接プライバシーの内容が明らかになる生のデータ量を小さくすることができる。

（２）対象ログや統計計算結果の優先順位
対象ログの送信の際、例えば、安全に関する情報や、位置情報などのプライバシーに関する情報の優先度を高くして、他のログに優先して送信するようにしてもよい。

（３）別の観点での発明の把握
本開示は、以下の発明としても把握することができる。
セキュリティセンサが生成したログを受信するログ収集部（１０１）と、
前記ログを保存する保存部（１０２）と、
前記ログを外部へ送信する送信部（１０６）と、
複数の前記ログの統計分析を行うことで統計計算結果を求める統計分析部（１０４）と、を有し、
前記送信部は、所定の条件を満たす場合、前記ログに代えて前記統計計算結果を外部へ送信するログ管理装置（１００）。

４．総括
以上、本発明の各実施形態におけるログ管理装置、センタ装置、及びセキュリティ攻撃検知・分析システムの特徴について説明した。

各実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。

実施形態の説明に用いたブロック図は、装置の構成を機能毎に分類及び整理したものである。それぞれの機能を示すブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明、及び当該方法を実現するプログラムの発明の開示としても把握できるものである。

各実施形態に記載した処理、フロー、及び方法として把握できる機能ブロック、については、一のステップでその前段の他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

各実施形態、及び特許請求の範囲で使用する、第１、第２、乃至、第Ｎ（Ｎは整数）、の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。

各実施形態は、車両に搭載される車両用のログ管理装置を前提としているが、本発明は、特許請求の範囲で特に限定する場合を除き、車両用以外の専用又は汎用のログ管理装置も含むものである。

各実施形態では、各実施形態に開示のログ管理装置を車両に搭載する前提で説明したが、歩行者が所持する前提としてもよい。

また、本発明のログ管理装置やセンタ装置の形態の例として、以下のものが挙げられる。
部品の形態として、半導体素子、電子回路、モジュール、マイクロコンピュータが挙げられる。
半完成品の形態として、電子制御装置（ＥＣＵ（Electric Control Unit））、システムボードが挙げられる。
完成品の形態として、携帯電話、スマートフォン、タブレット、パーソナルコンピュータ（ＰＣ）、ワークステーション、サーバが挙げられる。
その他、通信機能を有するデバイス等を含み、例えばビデオカメラ、スチルカメラ、カーナビゲーションシステムが挙げられる。

またログ管理装置やセンタ装置に、アンテナや通信用インターフェースなど、必要な機能を追加してもよい。

本発明のセンタ装置は、各種サービスの提供を目的とするために用いられることが想定される。かかるサービスの提供に伴い、本発明のセンタ装置が使用され、本発明の方法が使用され、又は／及び本発明のプログラムが実行されることになる。

加えて、本発明は、各実施形態で説明した構成及び機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記録媒体に記録した本発明を実現するためのプログラム、及びこれを実行可能な専用又は汎用ＣＰＵ及びメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。

専用や汎用のハードウェアの非遷移的実体的記録媒体（例えば、外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ／ＢＤ等）、又は内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記録媒体を介して、あるいは記録媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。

本発明のログ管理装置は、主として自動車に搭載される車両用の電子制御装置として説明したが、自動二輪車、電動機付自転車、鉄道はもちろん、歩行者、船舶、航空機等、移動する移動体全般に適用することが可能である。
また、携帯電話やタブレット、ゲーム機等、様々な用途に用いられる装置に適用可能である。

１００ ログ管理装置、１０１ ログ収集部、１０２ 保存部、１０４ 統計分析部、１０５ 攻撃検知部、１０６ 送信部、１０７ 受信部、２００ センタ装置、２０１ 受信部、２０３ 分析部、２０４ 保存部、２０５ 送信部

Claims (14)

1. セキュリティセンサが生成したログを受信するログ収集部（１０１）と、
   前記ログを保存する保存部（１０２）と、
   複数の前記ログの統計分析を行うことで統計計算結果を求める統計分析部（１０４）と、
   所定の条件に応じて、前記ログ又は前記統計計算結果を送信する送信部（１０６）と、を有する、
   ログ管理装置（１００）。
2. さらに、前記ログに基づき攻撃検知を行う攻撃検知部（１０５）を有し、
   前記統計分析部は、攻撃検知が所定の回数以上の場合に、統計分析を行うことで統計計算結果を求める、
   請求項１記載のログ管理装置。
3. さらに、前記ログに基づき攻撃検知を行う攻撃検知部（１０５）を有し、
   前記所定の条件は、攻撃検知の回数である、
   請求項１記載のログ管理装置。
4. 前記送信部は、
   前記攻撃検知が所定の回数以下の場合に、前記ログをセンタ装置に送信し、
   前記攻撃検知が所定の回数以上の場合に、前記センタ装置からのアップロード要求を待って前記統計計算結果を前記センタ装置に送信する、
   請求項３記載のログ管理装置。
5. 前記セキュリティセンサの設置場所又は前記セキュリティセンサが接続されている通信バスの重要度に応じて、所定の条件としての攻撃検知の回数を設定することができる、
   請求項３記載のログ管理装置。
6. さらに、前記センタ装置から前記ログ又は前記統計計算結果のアップロードを要求するアップロード要求を受信する受信部（１０７）を有し、
   前記所定の条件は、前記アップロード要求である、
   請求項１記載のログ管理装置。
7. 前記所定の条件は、前記アップロード要求に加え、前記ログの量である、
   請求項６記載のログ管理装置。
8. 前記送信部は、
   前記ログの量が所定の数以下の場合に、前記ログをセンタ装置に送信し、
   前記ログの量が所定の数以上の場合に、前記統計計算結果を前記センタ装置に送信する、
   請求項７記載のログ管理装置。
9. 前記送信部は、前記ログ又は前記統計計算結果が送信できない場合を経て送信可能となった場合、最新の前記アップロード要求に応じて前記ログ又は前記統計計算結果を送信する、
   請求項６記載のログ管理装置。
10. 当該ログ管理装置は、移動体に搭載されている、
    請求項１～９いずれかに記載のログ管理装置。
11. ログ管理装置で実行されるログ管理方法であって、
    セキュリティセンサが生成したログを受信し、
    前記ログを保存し、
    複数の前記ログの統計分析を行うことで統計計算結果を求め、
    所定の条件に応じて、前記ログ又は前記統計計算結果を送信する、
    ログ管理方法。
12. ログ管理装置で実行可能なログ管理プログラムであって、
    セキュリティセンサが生成したログを受信し、
    前記ログを保存し、
    複数の前記ログの統計分析を行うことで統計計算結果を求め、
    所定の条件に応じて、前記ログ又は前記統計計算結果を送信する、
    ログ管理プログラム。
13. ログ管理装置（１００）及びセンタ装置（２００）からなるセキュリティ攻撃検知・分析システム（１）であって、
    前記ログ管理装置は、
    セキュリティセンサが生成したログを受信するログ収集部（１０１）と、
    前記ログを保存する保存部（１０２）と、
    複数の前記ログの統計分析を行うことで統計計算結果を求める統計分析部（１０４）と、
    所定の条件に応じて、前記ログ又は前記統計計算結果を送信する送信部（１０６）と、を有し、
    前記センタ装置は、
    前記ログ又は前記統計計算結果を受信する受信部（２０１）と、
    前記ログ又は前記統計計算結果を分析するとともに、分析結果に基づき追加のログ又は追加の統計計算結果のアップロードを要求するアップロード要求を生成する分析部（２０３）と、
    前記ログ管理装置に対し、前記アップロード要求を送信する送信部（２０５）と、を有する、
    セキュリティ攻撃検知・分析システム（１）。
14. 前記ログ管理装置は、移動体に搭載されており、
    前記センタ装置の送信部は、前記移動体の前記ログ管理装置及び／又は同種の他の移動体に搭載されたログ管理装置対し、前記アップロード要求を送信する、
    請求項１３記載のセキュリティ攻撃検知・分析システム。
    
    
    
    

Images