JP2022024266A

JP2022024266A - ログ分析装置

Info

Publication number: JP2022024266A
Application number: JP2020120382A
Authority: JP
Inventors: 啓悟長柄; Keigo Nagara; 泰司安部; Taiji Abe
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2020-07-14
Filing date: 2020-07-14
Publication date: 2022-02-09
Anticipated expiration: 2040-07-14
Also published as: US20220019661A1; JP7439669B2; US11971982B2

Abstract

【課題】
ログの分析結果に応じて、ログを送信する優先度を適宜決定する。
【解決手段】
ログ分析装置は、移動体に搭載された電子制御システム２０から、前記電子制御システムの状態を示すログを受信する受信部１０１と、前記受信部が受信した前記ログを用いて、前記電子制御システムにおける異常に関し分析するログ分析部１０３と、前記ログ分析部における分析結果に応じて、前記電子制御システムが当該ログ分析装置に前記ログを送信するための優先度を当該ログ毎に決定する優先度決定部１０４と、前記優先度決定部が決定した前記優先度に基づいて前記ログを送信制御することを指示する指示情報を生成する指示生成部１０６と、前記指示情報を前記電子制御システムに送信する送信部１０７と、を備える。
【選択図】図１

Description

本発明は、主に自動車をはじめとする移動体に搭載される電子制御システムのログの分析を行うログ分析装置に関する。

近年、車車間通信や路車間通信のようなＶ２Ｘをはじめ、運転支援や自動運転制御を行う技術が注目されている。これに伴い、車両が通信機能を備えるようになり、いわゆる車両のコネクティッド化が進んでいる。この結果、車両がサイバー攻撃を受ける可能性が増加している。

車両に対するサイバー攻撃が発生した場合、攻撃により車両のコントロールに支障をきたすおそれがあるため、これを事前に予防する、あるいは攻撃に対する対応や復旧を迅速に行うべく事案の分析が重要になる。そこで、リソースが豊富なサーバ装置が車載装置のログを収集して解析することが知られている。

例えば、特許文献１には、サーバ装置が車載装置から受信したログを解析し、サイバー攻撃の可能性を検知すると、車載装置に蓄積させるログの優先度を変更する更新指令を車載装置に送信することが開示されている。そして、車載装置は、サイバー攻撃の判断に用いるログの優先度が高くなるように優先度を変更させる更新指令を受信すると、優先度に従ってログを蓄積してサーバ装置に送信する。これにより、特許文献１によれば、サーバ装置は、限定されたリソースを利用しながらログを収集することができる。

特開２０１８－３２２５４号公報

ここで、本発明者は、以下の課題を見出した。車載装置が受けたサイバー攻撃の内容に応じて、サイバー攻撃の詳細をさらに解析したり、攻撃に対する対策を実行するために必要とされるログは異なってくる。そのため、サーバ装置ではログを分析した結果に応じて、更なる分析に必要なログの優先度を適宜判定して、設定する必要がある。

本発明は、ログ分析装置によるログの分析結果に応じて、車載システムからログ分析装置にログを送信する優先度を適宜決定することを目的とする。

本開示の一態様によるログ分析装置は、移動体に搭載された電子制御システム（２０）から、前記電子制御システムの状態を示すログを受信する受信部（１０１）と、前記受信部が受信した前記ログを用いて、前記電子制御システムにおける異常に関し分析するログ分析部（１０３）と、前記ログ分析部における分析結果に応じて、前記電子制御システムが当該ログ分析装置に前記ログを送信するための優先度を当該ログ毎に決定する優先度決定部（１０４）と、前記優先度決定部が決定した前記優先度に基づいて前記ログを送信制御することを指示する指示情報を生成する指示生成部（１０６）と、前記指示情報を前記電子制御システムに送信する送信部（１０７）と、を備える。

なお、特許請求の範囲、及び本項に記載した発明の構成要件に付した括弧内の番号は、本発明と後述の実施形態との対応関係を示すものであり、本発明を限定する趣旨ではない。

上述のような構成により、本開示のログ分析装置は、車載装置がログ分析装置にログを送信する優先度をログの分析結果に応じて適切に決定することができる。

ログ分析装置の構成例を示すブロック図ログ分析部の影響特定機能が特定する影響度の例を説明する図ログ分析装置の動作を説明するフローチャートログ分析装置の動作を説明するフローチャートログ分析装置によるログの分析を説明する図ログ分析装置によるログの分析を説明する図ログ分析装置によるログの分析を説明する図ログ分析装置と通信を行う車載システムの構成例を示すブロック図車載システムが有するログ送信制御装置の構成例を示すブロック図ログ分析装置及び車載システムからなるログ収集システムの構成例を示す図

以下、本発明の実施形態について、図面を参照して説明する。

なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともかぎ括弧内の語句は、特許請求の範囲又は課題を解決するための手段の項に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。

特許請求の範囲の従属項に記載の構成及び方法は、特許請求の範囲の独立項に記載の発明において任意の構成及び方法である。従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明において任意の構成及び方法である。特許請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成及び方法も、本発明の構成及び方法の例示であるという意味で、本発明において任意の構成及び方法である。いずれの場合も、特許請求の範囲の独立項に記載することで、本発明の必須の構成及び方法となる。

実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。

複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせてもよい。また、複数の実施形態それぞれに開示の構成を集めて組み合わせてもよい。

発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の構成及び方法と共に発明の進歩性を肯定する事実である。

１．ログ分析装置
（１）ログ分析装置の構成
図１を用いて、本開示のログ分析装置１０の構成を説明する。なお、以下の実施形態では、ログ分析装置１０は、「移動体」である車両に搭載された車載システム（「電子制御システム」に相当）と通信を行うサーバ装置を想定して説明している。しかしながら、ログ分析装置１０は、車載システムと通信を行うサーバ装置に限定されるものではない。例えば、ログ分析装置１０は、車両とは異なる移動体に搭載された電子制御システムと通信を行うログ分析装置であってもよく、あるいは、ログ分析装置１０自体が移動体に搭載されて、ログを分析するものであってもよい。なお、ログ分析装置１０と通信を行う車載システム２０については後述する。

ここで、「移動体」とは、移動可能な物体をいい、移動速度は任意である。また移動体が停止している場合も当然含む。例えば、自動車、自動二輪車、自転車、歩行者、船舶、航空機、及びこれらに搭載される物を含み、またこれらに限らない。

ログ分析装置１０の形態は、部品、半完成品、完成品のいずれでもよい。本実施形態では、ログ分析装置１０はサーバ装置内部の半導体回路によって実現されているので、部品の形態に属する。
その他、部品の例として半導体モジュール、半完成品の形態として独立したＥＣＵ、完成品の形態として、サーバ、ワークステーション、パーソナルコンピュータ（ＰＣ）、スマートフォン、携帯電話、ナビゲーションシステムが挙げられるが、これらに限らない。

ログ分析装置１０は、汎用のＣＰＵ（Central Processing Unit）、ＲＡＭ等の揮発性メモリ、ＲＯＭ、フラッシュメモリ、又はハードディスク等の不揮発性メモリ、各種インターフェース、及びこれらを接続する内部バスで構成することができる。そして、これらのハードウェア上でソフトウェアを実行することにより、図１に記載の各機能ブロックの機能を発揮させるように構成することができる。

ログ分析装置１０は、受信部１０１、データベース１０２、ログ分析部１０３、優先度決定部１０４、対応決定部１０５、指示生成部１０６、及び送信部１０７を備える。

受信部１０１は、無線通信ネットワークを用いて車載システム２０と通信を行い、車載システム２０から送信されたログを受信する。このログは、車載システム２０の「状態」を示すログである。車載システム２０の状態とは、車載システム２０全体の状態はもちろん、車載システムを構成するＥＣＵや車内ネットワークそれぞれの状態も含む。

ここで、「状態」を示すログ、とは、例えば、電子制御システムを構成するＥＣＵやネットワークの動作といった常に変化する動的な状態を記録したものの他、ＥＣＵのバージョンや機能といった基本的には変化しない静的な状態を記録したものも含む。

データベース１０２は、ログデータベース（以下、ログＤＢ）１０２１、セキュリティデータベース（以下、セキュリティＤＢ）１０２２、車両情報データベース（以下、車両情報ＤＢ）１０２３を含むデータベースである。ログＤＢ１０２１は、受信部１０１が受信した車載システム２０のログを収集して蓄積する。セキュリティＤＢ１０２２は、後述するログ分析部１０３における分析結果や、過去のサイバー攻撃に関する脅威、車載システム２０の脆弱性に関する情報を蓄積する。車両情報ＤＢ１０２３は、ログ分析装置１０と通信を行う車載システム２０の構成、例えば、車載システム２０を構成するＥＣＵの機能、ＥＣＵの配置、ＥＣＵのバージョン情報、及びＥＣＵ同士を接続するネットワークに関する情報を蓄積する。

ログ分析部１０３は、セキュリティＤＢ１０２２や車両情報ＤＢ１０２３に蓄積された情報を利用して、受信部１０１が受信したログを分析する。ログ分析部１０３は、様々な種類のセキュリティセンサを有し、これらのセキュリティセンサを用いてログを分析する。以下に説明する例では、ログ分析部１０３は、ログを分析することによって主に３つの分析を実行する。３つの分析とは、車載システム２０に異常（例えば、サイバー攻撃）が発生したことを検知する分析（「第１の分析」に相当）、検知した異常の内容を詳細に解析する分析（「第２の分析」に相当）、及び異常に対する対応が実行された場合に、対応後の車載システム２０の状態を確認する分析（「第３の分析」に相当）である。

ログ分析部１０３は複数の機能を有し、これらの機能を用いて上述した３つの分析を実行してもよい。図１に示す例では、ログ分析部１０３は、車載システム２０に対するサイバー攻撃を検知する攻撃検知機能１０３１、攻撃検知機能で検知した攻撃による被害箇所や被害状況を特定する被害特定機能１０３２、攻撃の攻撃経路や攻撃元を特定する経路特定機能１０３３、及びサイバー攻撃によって生じる影響を分析する影響分析機能１０３４、を有する。ログ分析部１０３によるログの詳細な分析方法については後述する。

なお、以下に示す実施形態では、ログ分析部１０３は、車載システム２０に発生した異常がサイバー攻撃である例を挙げて説明する。しかしながら、ログ分析部１０３は、ログを分析することによって、サイバー攻撃を原因とせずに発生した車載システム２０の異常を分析するものであってもよい。

優先度決定部１０４は、ログ分析部１０３におけるログの分析結果に応じて、車載システム２０がログ分析装置１０にログを送信するための「優先度」を決定する。なお、優先度決定部１０４は、ログの分析結果に応じて、優先度の値を決定するだけでなく、優先度を決定すべき対象のログをさらに決定してもよい。なお、ログを送信するための「優先度」とは、車載システム２０がログを送信する優先度はもちろん、車載システム２０がログ分析装置１０にログを送信するために、車載システム２０を構成する各電子制御装置からログを収集する優先度も含む。

ここで、「優先度」は、所定の評価基準に基づいて定められる指標であり、表現方法は任意である。例えば、数字で表す場合の他、記号で表してもよい。指標によって分類される数は複数であればよく、有限であっても無限であってもよい。

優先度決定部１０４は、ログ分析部１０３におけるログの分析結果に応じて、少なくとも２回、優先度を決定することが望ましい。まず、ログ分析部１０３がログを分析した結果、車載システム２０のＥＣＵに異常が発生したこと、例えば、サイバー攻撃を受けたことを検知した場合、ログ分析部１０３において攻撃の内容を詳細に解析するために必要なログを収集する必要がある。そこで、優先度決定部１０４は、車載システム２０が攻撃を受けたことを検知した分析結果に応じて、優先度を決定する。以下の説明では、サイバー攻撃を検知した分析結果に応じて決定する優先度を、第１の優先度とする。

優先度決定部１０４はさらに、ログ分析部１０３が、第１の優先度に基づいて車載システム２０から送信されたログ（「第１のログ」に相当）を分析した結果、サイバー攻撃に対する対応が車載システム２０に実行された後に優先度を決定する。サイバー攻撃に対する対応が実行された場合、ログ分析部１０３は、攻撃に対する対応が適切であるか否か、攻撃による被害が解消されたか否か等といった、攻撃対応後の車載システム２０の状態を、ログを分析して確認することが望ましい。そこで、優先度決定部１０４は、対応後の車載システム２０の状態を確認するログを収集するために、優先度を決定する。以下の説明では、サイバー攻撃への対応後のログを分析するために決定する優先度を、第２の優先度とする。なお、対応後の車載システム２０の状態を確認する必要があるログは、ログ分析部１０３が攻撃の内容を解析した結果判明する。したがって、第２の優先度は、ログ分析部１０３が攻撃の内容を解析したログの分析結果に応じて決定されるものである。ログ分析部１０３は、第２の優先度に基づいて車載システム２０から送信されたログ（「第２のログ」に相当）を分析することにより、車載システム２０の状態を確認することができる。

なお、以下の実施形態では、優先度決定部１０４が第１の優先度及び第２の優先度を決定する構成を説明するが、優先度決定部１０４はログ分析状況に応じて、複数回にわたって優先度を決定してもよい。

また、優先度決定部１０４によって決定される優先度は、例えば、１～１０といった数値であってもよく、また、高・中・低といったいくつかのレベルで表されるものであってもよい。あるいは、他のログや過去のログとの相対評価で、すなわち、過去の優先度よりも優先度が高く又は低くなるように優先度を決定してもよい。

対応決定部１０５は、ログ分析部１０３が検知したサイバー攻撃に対する対応を決定する。例えば、対応決定部１０５は、第１の優先度に基づいて車載システム２０から送信されたログを解析した結果に基づいて攻撃への対応を決定する。対応決定部１０５は、サイバー攻撃に対する対応として、例えば、車載システム２０が有するＥＣＵを再起動すること、攻撃を受けたＥＣＵを他のＥＣＵから隔離すること、又は無線通信ネットワークを利用したリプログラムを実行することを決定する。

対応決定部１０５は、例えば、攻撃を受けて動作が停止したＥＣＵや、正常な動作ができないＥＣＵに対しては、攻撃に対する対応としてＥＣＵの再起動を決定する。
また、攻撃を受けたＥＣＵが他のＥＣＵに影響を与える恐れがある場合、攻撃を受けたＥＣＵを他のＥＣＵから遮断又は隔離することが望ましい。ログ分析部１０３がＤｏＳ攻撃を検知した場合には、ＥＣＵの遮断又は隔離を行い、ＥＣＵ同士又は車外との通信を制限することが望ましい。そこで、対応決定部１０５は、特定のＥＣＵを他のＥＣＵから遮断又は隔離することを決定してもよい。さらに、重要性の高い情報（例えば、暗号鍵）を管理するＥＣＵを遮断することで、重要な情報が流出するのを防いでもよい。
さらに、ＥＣＵの再起動や遮断又は隔離では攻撃に対する対応が十分ではない場合、ＥＣＵ、ソフトウェア、ファイル、及び暗号鍵をリプログラムや更新することを決定してもよい。

ただし、サイバー攻撃による被害が大きく、上述した再起動、遮断又は隔離、リプログラムでは車載システム２０を復旧できず、車両の販売会社や修理工場での対応が必要になる場合がある。このような場合は、対応決定部１０５は、修理工場等での対応が必要であることを車両のユーザに通知することを決定してもよい。

なお、サイバー攻撃を受けた車両と車種や型式が等しい車両や、サイバー攻撃を受けたＥＣＵと同じ種類及びバージョンを有するＥＣＵを備える他の車両では、同様の攻撃を受ける可能性がある。そこで、対応決定部１０５はさらに、攻撃を受けた車両と同等の車両や、攻撃を受けたＥＣＵと同じＥＣＵを搭載する車両に対して、同様の攻撃が発生しているか否かを確認するか否かを決定してもよい。攻撃を受けた車両と同等の車両や、同じＥＣＵを搭載する車両は、車両情報ＤＢ１０２３に蓄積されている情報から判定することができる。

指示生成部１０６は、優先度決定部１０４が決定した優先度に「基づいて」ログを送信することを車載システム２０に指示する指示情報（以下、優先度指示情報）を生成する。

ここで、優先度に「基づいて」ログを送信する、とは、優先度を用いることで、優先度が低いログと比較して優先度が高いログを優先的に送信することを実現していればよく、例えば、優先度が高いログから順次送信すること、優先度が高いログの送信頻度を優先度が低いログの送信頻度より高くすること、を含む。

指示生成部１０６はさらに、対応決定部１０５が攻撃に対する対応を決定した場合には、対応を実行することを車載システム２０に指示する指示情報（以下、対応指示情報）を生成する。なお、対応決定部１０５がリプログラムをすることを決定した場合、指示生成部１０６がリプログラム用のプログラムを生成してもよいが、ログ分析装置１０の外部に設けられた専用の装置から、リプログラムを取得する構成としてもよい。

優先度指示情報はさらに、車載システム２０がログに優先度を付与するタイミングを指示してもよい。例えば、優先度指示情報は、車両のイグニッションがＯＦＦからＯＮになったときに、ログへの優先度付与を開始することを指示する。ただし、車両のイグニッションがＯＦＦであっても、ＡＣＣ電源がＯＮのときに動作する装置（例えば、カーナビゲーションシステム）もある。そのため、イグニッションがＯＦＦ時に動作する装置の状態を示すログについては、イグニッションがＯＦＦのときに取得されたログに遡って、優先度を付与するように指示をしてもよい。あるいは、車載システム２０に蓄積されている過去のログに対し、優先度を付与することを指示してもよい。

送信部１０７は、指示生成部１０６が生成した指示情報、すなわち、優先度指示情報及び対応指示情報を車載システム２０に送信する。

（２）ログ分析部におけるログの分析
次に、ログ分析部１０３におけるログの分析方法を説明する。

（２－１）攻撃検知機能におけるログの分析
ログ分析部１０３の攻撃検知機能１０３１は、受信部１０１が受信したログが正常であるか否かを分析し、正常ではない場合は攻撃が発生したことを検知する。また、車載システム２０が異常検出装置を有している場合、異常又は正常であることを示すフラグや付加情報がログに付与されていることがある。そこで、ログに異常であることを示すフラグや付加情報が付与されている場合には、攻撃検知機能１０３１は、このログが本当に異常なログであるか否かを判定してもよい。攻撃検知機能１０３１は、以下の方法を用いて、車載システム２０に対する攻撃を検知する。

攻撃検知機能１０３１は、受信部１０１が定期的に受信するログを分析し、ログに異常が発生している場合には、車載システム２０にサイバー攻撃が発生したことを検知する。
攻撃検知機能１０３１は、セキュリティセンサのログから、車載システム２０に攻撃が発生したことを検知する。セキュリティセンサのログとは、ログに、異常が発生したことを示すフラグや付加情報が付与されているログである。
あるいは、車載システム２０を構成する複数のＥＣＵの状態を示すログの相関から、攻撃が発生したことを検知する。例として、ギアのポジションを示すログ（以下、ログａ）と、車両速度を示すログ（以下、ログｂ）の相関が挙げられる。ギアがパーキング（Ｐ）のポジションにある場合、車両速度は０となる。しかしながら、ログａがパーキングのポジションを示しているにもかかわらず、ログｂが０以上の速度を示している場合、車両には何らかの異常が発生している、あるいは、ログが正しくなく、攻撃によって書き換えられた可能性がある。このようなログの相関から、攻撃検知機能１０３１は、攻撃が発生したことを検知してもよい。

攻撃検知機能１０３１が攻撃を検知する手法は任意であるが、例えば、車載システム２０から受信するログのリストと照らし合わせて異常の有無を検知するブラックリスト及びホワイトリスト、ログが示すＥＣＵのバージョンの整合性をチェックする手法、機械学習アルゴリズムを用いた各ログが示す値の異常値のアノマリー検出などが想定される。あるいは、ログ分析装置１０を使用するセキュリティアナリストなどのユーザが、ログの内容を確認することで異常を発見し、サイバー攻撃の発生を検知してもよい。

なお、攻撃検知機能１０３１が攻撃の発生を検知した場合、攻撃が発生した時刻、攻撃検知機能１０３１が攻撃を特定した時刻、及び攻撃の検知に利用したログ等をセキュリティＤＢ１０２２に保存することが望ましい。

（２－２）被害特定機能におけるログの分析
ログ分析部１０３の被害特定機能１０３２は、攻撃検知機能１０３１が攻撃を検知すると、例えば、以下の方法を用いて、サイバー攻撃によって車載システム２０に発生した被害を特定する。車載システム２０に発生した被害とは、被害が発生した箇所、及び被害の程度を含んでもよい。

被害特定機能１０３２は、車載システム２０を構成するＥＣＵのうち、エントリポイントのＥＣＵの状態を示すログに異常を検出した場合、これらのＥＣＵに接続されているＥＣＵのログに異常がないかどうかを確認して、これらのＥＣＵに攻撃による被害が発生しているかどうかを特定する。アプリに関連するログの異常を検出した場合、被害特定機能１０３２はアプリの階層が被害を受けていることを特定する。ここで、エントリポイントのＥＣＵとは、車外と通信を行う外部通信ＥＣＵや、ゲートウェイＥＣＵを想定しているが、これらに限定されるものではない。
被害特定機能１０３２はさらに、ログの対象項目から、不正アクセスしたプロセス、改ざんされたプロセス、又はリソースを異常使用しているプロセスを特定する。
被害特定機能１０３２はさらに、ログの対象項目から、攻撃を受けて停止した、車載システム２０の防御機能や異常検知機能を特定することにより、攻撃によって被害を受けた箇所を特定してもよい。

また、別の方法として、被害特定機能１０３２は、ＯＳログの異常を検出した場合、ＯＳの階層が被害を受けていることを特定する。
被害特定機能１０３２が、ＯＳの階層が被害を受けていることを特定する場合にも、ログの対象項目から、不正にログが改ざんされたプロセスを特定したり、リソースを異常使用しているプロセスを特定してもよい。

さらに別の方法として、被害特定機能１０３２は、セキュアブートのログに異常を検出した場合、ＯＳの階層が被害を受けていることを特定する。
また、被害特定機能１０３２は、ログの対象項目からプログラムファイル名を確認して、不正なプログラムファイルを特定してもよい。

また、被害特定機能１０３２は、車載システム２０を構成するＥＣＵ同士を接続するネットワークの通信ログの異常を検出した場合、ネットワークの階層が被害を受けていることを特定する。
さらに、被害特定機能１０３２は、ログの対象項目から、改ざんされたメッセージを確認して不正なメッセージを特定する、予め設定された仕様違反をしているメッセージを確認して不正なメッセージを特定する、Ｄｏｓ攻撃をしているメッセージを特定して不正なメッセージを特定する、又は、不正なドメイン、ポート番号、ＩＰアドレスから送信されたメッセージを確認して不正なメッセージを特定することにより、被害を受けた箇所を特定してもよい。

また、被害特定機能１０３２は、証明書のログに異常を検出した場合、証明書の管理階層が被害を受けていることを特定する。

なお、被害特定機能１０３２が、サイバー攻撃による被害箇所を特定した場合、特定した被害箇所、被害の程度を記録しておくことが望ましい。例えば、被害を受けたＥＣＵ、被害を受けたＥＣＵの階層（例えば、アプリ、ＯＳ、基盤ソフトウェア、ネットワーク、半導体、マネジメント）と共に、被害箇所を特定するために利用したログや、当該ログが状態を示すＥＣＵを対応付けて、セキュリティＤＢ１０２２に記録してもよい。

（２－３）経路特定機能におけるログの分析
ログ分析部１０３の経路特定機能１０３３は、被害特定機能１０３２が被害を特定した後、例えば、以下の方法を用いて車載システム２０に発生したサイバー攻撃の攻撃経路や侵入経路を特定する。経路特定機能１０３３はさらに、攻撃経路に加えて、攻撃者（例えば、ＩＰアドレスなどの通信元）を特定してもよい。

経路特定機能１０３３は、例えば、通信ログに基づいて、車外からエントリポイントまでの侵入経路を特定する。
具体的には、経路特定機能１０３３は、車外通信ログに基づいて、攻撃に使用された、つまり、攻撃によって乗っ取られたエントリポイントＥＣＵを特定する。また、経路特定機能１０３３は、異常が発生したログの送信元及び送信先に基づいて、攻撃に至った経路を特定してもよい。あるいは、送信先とエントリポイントの車外通信ログの送信元に基づいて侵入経路を特定してもよく、接続先ＥＣＵからエントリポイントまでに経由するＥＣＵの情報を示すログに基づいて、侵入経路を特定してもよい。

経路特定機能１０３３はさらに、エントリポイントからエンドポイント（例えば、末端ＥＣＵ）までの間で、サイバー攻撃に使用された可能性がある経路をログから特定してもよい。具体的には、車載システム２０内で通信される通信ログを紐付けて、攻撃に使用された可能性がある経路を特定する。例えば、異常が検出されたログの送信元及び送信先のＥＣＵ、エンドポイントの接続先ＥＣＵの情報、接続先ＥＣＵから外部通信ＥＣＵまでに経由するＥＣＵの情報から、攻撃経路を特定する。

経路特定機能１０３３が、サイバー攻撃の攻撃経路や侵入経路を特定した場合、特定した経路や、特定結果を記録しておくことが望ましい。例えば、外部通信ＥＣＵやゲートウェイＥＣＵのログや、これらのＥＣＵで行われた通信を示すログ、あるいは、外部通信ＥＣＵやゲートウェイＥＣＵから末端のＥＣＵまでに、攻撃が辿った可能性がある経路を特定して記録する。

（２－４）影響分析機能におけるログの分析
ログ分析部の影響分析機能１０３４は、例えば、以下の方法を用いて車載システム２０に発生したサイバー攻撃による影響度を定量的に分析する。ここで、影響度とは、被害を受けたＥＣＵに生じる影響だけでなく、車両そのもの、及び車両を使用するユーザ（例えば、乗員、乗客）に生じる影響も含む。

サイバー攻撃の影響度は、例えば、異常の発生箇所や、異常の内容、異常の対応に係る難易度、及び攻撃の容易さに応じて分析することができる。異常の発生箇所が、車両の走行に直接影響を与えるＥＣＵやソフトウェアである場合、異常が発生したことによる影響度は高いと分析することができる。これに対し、例えば、異常の発生箇所が、車両の走行に直接影響を与える箇所ではなく、例えば、車両のユーザの娯楽用のＥＣＵやソフトウェアの場合には、異常が発生したことによる影響度は低いと分析することができる。
また、同じＥＣＵで発生した異常であっても、異常の内容で影響度は異なるため、ＥＣＵで発生した異常の種別や、ログが示す異常な値と正常値との差分に応じて、影響度を分析する。
また、攻撃に対応するために、例えば、ＥＣＵを車内ネットワークから隔離や遮断することが必要なのか、無線通信によるリプログラムが可能であるか否か、あるいは、リコールが必要なのかによって、影響度を分析してもよい。例えば、無線通信によるリプログラムが可能な場合、リコールが必要とされる場合よりも、サイバー攻撃による影響度は低いと分析してもよい。
さらに、影響分析機能１０３４は、サイバー攻撃の難易度に応じて影響度を分析してもよい。例えば、攻撃の難易度が低い場合、同様の攻撃が繰り返し行われたり、あるいは、他の車両の車載装置にも同様の攻撃が行われる可能性が高い。そのため、攻撃の難易度が低い場合には、影響度が高いと分析をしてもよい。

なお、影響分析機能１０３４は、上述したパラメータを総合的に判断して、車両及び車両のユーザに発生するリスクから影響度を分析してもよい。影響分析機能１０３４がログを分析して判定する影響度の一例を図２に示す。図２に示す例は、影響分析機能１０３４が６段階で影響度を判定する例を説明している。。

例えば、影響度６は、死亡事故や重傷事故の可能性があることを示している。上述したように、攻撃の発生箇所や、攻撃による被害箇所が、車両の走行に直接影響を与える箇所である場合、車両の死亡事故や重傷事故が発生する可能性はある。そこで、このような場合は、影響分析機能１０３４は、影響度が最も高い、つまり影響度は６であると判定する。一方、攻撃の発生箇所や被害箇所が、ユーザの娯楽用の機能に関するものである場合、ユーザが不快を感じる可能性はあるが、車両の走行に影響を与える可能性は低い。そこで、影響分析機能１０３４は、影響度は最も低い、つまり１であると判定する。

他の例では、影響分析機能１０３４は、検知したサイバー攻撃の攻撃シナリオや、多層防御システムを有する場合の攻撃の侵入度合いで、影響度を分析してもよい。

多層防御システムは、車両のセキュリティを保護するシステムとして用いられるものであり、例えば、外部接続との認証機能、外部からの攻撃を車内と分離するゲートウェイ機能、車内の通信システムをセキュアにする認証機能、及び電子制御装置を保護するＥＣＵ防御機能を用いて車両を保護するシステムである。このうち、攻撃が１層目（例えば、外部接続との認証機能）で異常が検知されずに、２層目（例えば、ゲートウェイ機能）まで攻撃された場合、影響度は高いと判定することができる。

また、影響分析機能１０３４は、攻撃を受けたＥＣＵの配置に応じて、影響度を重み付けして、影響度を分析してもよい。

異常が重複すると、攻撃による影響度は深刻となるため、他のセンサが正常に動作しているかいないかで、影響度を補正してもよい。

また、車載システム２０側での異常の検知状況に応じて影響度を分析してもよい。車載システム２０が異常に対する検知機能を有している場合があるが、車載システムの検知機能が動作をせずに異常や攻撃を検知できなかった場合、車両に対する影響度は高いと言える。そこで、車載システム２０側で異常検知機能が動作したかどうか、及び車載システム２０側が異常を検知できた場合あっても、攻撃の侵入段階で検知したか否かに応じて、影響度を分析してもよい。

また、サイバー攻撃を構造化したサイバーキルチェーンに基づいて、攻撃の進行度を特定できる場合には、その進行度から影響度を分析してもよい。

ログ分析部１０３が、攻撃検知機能１０３１、被害特定機能１０３２、経路特定機能１０３３、影響分析機能１０３４を用いてログを分析する場合、車載システム２０から受信したログに加えて、車両情報ＤＢ１０２３に保存された車両情報を利用してログを分析してもよい。例えば、ログ分析部１０３の被害特定機能１０３２、経路特定機能１０３３、影響分析機能１０３４は、車両情報から得られる車両の機能や通信、ＥＣＵ同士の接続や関連性に基づいて、被害箇所、攻撃経路、影響度を分析する。
具体的には、車両情報ＤＢ１０２３に保存された車両情報を利用して、ＥＣＵバージョン情報、ＥＣＵ種別、車両の型式、車種の順に分析の範囲を絞ったうえでログを分析し、分析が進むにつれて、分析対象を拡大してもよい。

（３）ログ分析装置の動作
次に、図３、４を用いて、ログ分析装置１０の動作を説明する。なお、以下の動作は、ログ分析装置１０を用いたログ分析方法を示すだけでなく、ログ分析装置１０で実行されるプログラムの処理手順を示すものである。また、これらの処理は、図３、４で示した順序には限定されない。すなわち、あるステップでその前段のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。以上、本実施形態だけでなく、他の実施形態においても同様である。

図３は、車載システム２０から受信したログを分析した結果、サイバー攻撃を検知した場合、ログ分析部１０３において攻撃の内容を詳細に解析する分析を行うために第１の優先度を決定する処理のフローチャートを示している。

Ｓ１０１において、受信部１０１は、車載システム２０から送信されたログを受信する。
Ｓ１０２において、ログ分析部１０３は、Ｓ１０１で受信したログを分析する。
Ｓ１０３において、ログ分析部１０３が、サイバー攻撃を検知した場合（Ｓ１０３：Ｙｅｓ）、優先度決定部１０４は、ログの分析結果に応じて第１の優先度を決定する（Ｓ１０４）。なお、Ｓ１０４では、ログ分析部１０３において攻撃の内容を詳細に解析するために必要とされるログの優先度が高くなるように第１の優先度を決定する。
Ｓ１０５において、指示生成部１０６は、Ｓ１０４で決定した第１の優先度に基づいてログを送信制御することを指示する優先度指示情報を生成する。
Ｓ１０６において、Ｓ１０５で生成した優先度指示情報を車載システム２０に送信する。

図４は、図３の処理で決定された第１の優先度に基づいて車載システム２０から送信されたログを解析した結果、サイバー攻撃に対する対応が車載システム２０に実行された後に、第２の優先度を決定する処理のフローチャートを示している。

Ｓ２０１において、サイバー攻撃に対する対応指示情報が車載システム２０に送信されたか否かを判定する。
対応指示情報が送信されたと判定した場合（Ｓ２０１：Ｙｅｓ）には、Ｓ２０２において、優先度決定部１０４は、ログの分析結果に応じて第２の優先度を決定する。ここで、Ｓ２０２では、対応指示情報に含まれるサイバー攻撃に対する対応が適切であるか否かといった、対応後の車載システム２０の状態を確認するために必要とされるログの優先度が高くなるように第２の優先度を決定する。
Ｓ２０３において、指示生成部１０６は、Ｓ２０２で決定した第２の優先度に基づいてログを送信制御することを指示する優先度指示情報を生成する。
Ｓ２０４において、Ｓ２０３で生成した優先度指示情報を車載システム２０に送信する。

（４）優先度の決定
本項では、優先度決定部１０４が決定する優先度の具体例を説明する。

（ａ）第１の優先度の決定
（ｉ）異常の種別、及び異常を検知したセキュリティセンサの種類に応じた優先度の決定
ログ分析部１０３は、検知した異常の種別や、異常を検知したセキュリティセンサの種類に応じて、異常が検知されたログと、それに関連するログの優先度の値を決定する。図５は、検知した異常や、異常を検知したセキュリティセンサに応じて優先度を設定する一例を示している。
ログ分析部１０３が検知する異常には、サイバー攻撃によって発生する異常と、攻撃によらずに発生する異常が考えられる。そこで、ログ分析部１０３がサイバー攻撃によって発生した異常を検知した場合、優先度決定部１０４は高い優先度を第１の優先度として決定する。サイバー攻撃による異常は、セントラルＥＣＵ（以下、Ｃ－ＥＣＵ）や、エントリポイントのＥＣＵ（以下、ＥＰＥＣＵ）等のサンドボックス異常検知センサ、アンチウイルス異常検知センサといったセキュリティセンサで検知される。
これに対し、ログ分析部１０３が攻撃によらずに発生した異常を検知した場合、優先度決定部１０４は攻撃によって発生した異常よりも低い優先度、例えば、中程度の優先度を決定する。攻撃によらずに発生した異常は、Ｃ－ＥＣＵのＣＡＮＩＤやメッセージの異常検知センサや、各ＥＣＵのプロセス・権限監視センサといったセキュリティセンサで検知される。
さらに、ログ分析部１０３が検知した異常が、通信タイミングのずれといった車載システム２０に対する影響の小さい異常については、優先度を高くする必要性は低い。また、車載システム２０側で異常又は攻撃を検知した結果、通信拒否やログの廃棄といった対応が既に実行されて成功しているものについては、ログの優先度を高くする必要性は低い。そこで、このような場合は、優先度決定部１０４は、攻撃等を検知した場合と比べて低い優先度を第１の優先度として決定してもよい。上記のような異常や、異常への対応の有無は、例えば、Ｃ－ＥＣＵのＣＡＮ／ＥｔｈｅｒＩＤＳ、ＥＰＥＣＵやＣ－ＥＣＵのファイアウォール、Ｅｔｈｅｒｎｅｔのファイアウォールといったセキュリティセンサで検知される。ただし、異常に対する対応を実行したが失敗している場合には、高い優先度を設定することが望ましい。

（ｉｉ）車両の状態に応じた優先度の決定
優先度決定部１０４は、車両の状態に応じて優先度を決定してもよい。例えば、優先度決定部１０４は、車両の状態に応じて稼働するＥＣＵの優先度が高くなるように優先度を決定する。具体的には、車両が走行している場合、走行に関するＥＣＵのログの優先度が高くなり、停車中は、走行に関するＥＣＵ以外のＥＣＵのログの優先度が高くなるように優先度を決定する。

あるいは、優先度決定部１０４は、車両、車載システム、及びＥＣＵの電源状態の変化に伴って、優先度を決定してもよい。例えば、ＥＣＵの起動時は攻撃を受けやすく、また異常な挙動が起きやすい。また、ＥＣＵの起動後、ＥＣＵが正常であるか否かを即座に把握したいというニーズがある。そこで、ＩＧ（イグニッション）やＡＣＣ（アクセサリー電源）の電源状態が変化したときに、それに伴って起動するＥＣＵのログの優先度が高くなるように優先度を決定する。

図６は、電源状態に応じて高い優先度を決定する対象となるＥＣＵの例を示している。図６の例では、ＩＧやＡＣＣがＯＦＦであって、＋Ｂ、つまり、常時電源のみがＯＮの場合、ＡＣＣがＯＮの状態の場合、並びに、ＩＧ及びＡＣＣの双方ともＯＮの状態にある場合をそれぞれ例に挙げて示している。
例えば、ＩＧとＡＣＣがＯＦＦであって、常時電源のみがＯＮの状態にある場合、電源コストの観点から、車載システム２０ではログを収集しない可能性が高い。しかしながら、＋Ｂで起動するＥＣＵに関するログについては、常時電源のみがＯＮの状態にある場合でも高い優先度となるように、優先度を決定してもよい。例えば、ドアロックや、ホーンに関するログが想定される。
また、ＩＧがＯＦＦであり、ＡＣＣがＯＮの状態では、ＡＣＣで起動するＥＣＵに関するログの優先度が高くなるように優先度を決定してもよい。例えば、カーナビやＥＣＴに関するログが想定される。
さらに、ＩＧ及びＡＣＣの双方ともＯＮの状態では、ＩＧで起動するＥＣＵに関するログの優先度が高くなるように、優先度を決定してもよい。例えば、エアコン、パワーウィンドウといったＥＣＵのログが想定される。ＩＧのＯＮ／ＯＦＦによりＡＣＣ電源がリセットされる場合には、ＩＧがＯＮになったときに、ＡＣＣ電源に関するログの優先度が高くなるように、優先度を決定してもよい。なお、ＩＧがＯＮの状態では、基本的に全てのＥＣＵが起動しているため、ＩＧがＯＮの状態では特定のＥＣＵのログの優先度が高くなるようにしなくともよい。
なお、ログ分析部１０３の経路特定機能１０３３が攻撃経路を特定した場合において、収集すべきログ又は収集すべきログを出力するＥＣＵが複数ある場合、上述のように、車両の状態に応じて、ログの優先度を決定してもよい。

以上のとおり、優先度決定部１０４は、車両、ひいては車載システムの電源状態と、各ＥＣＵの電源状態とに応じて、ログの優先度を決定してもよい。ここで、優先度が決定されるログは、電源状態が判定されるＥＣＵから出力されるログである。

（ｉｉｉ）特定した攻撃経路に応じた優先度の決定
ログ分析部１０３の経路特定機能１０３３が攻撃経路を特定した場合、攻撃経路に存在するＥＣＵが保護する情報やＥＣＵの機能に応じて、優先度決定部１０４はログの優先度を決定してもよい。

図７は、攻撃経路となるＥＣＵ毎に、攻撃によって流出する可能性がある情報や、攻撃によって悪用される可能性がある機能の一例を説明している。
例えば、攻撃経路としてＥＰＥＣＵが使用された場合、通信履歴の情報、具体的には、サービサ（センタ）の情報や、プライバシーとしてのアクセス情報が流出する恐れがある。また、ＥＰＥＣＵが攻撃経路として使用されると、外部への通信やＣ－ＥＣＵへのアクセス機能が悪用され、外部への不正な通信が行われたり、Ｃ－ＥＣＵへの不正アクセスが行われる可能性がある。そこで、攻撃経路としてＥＰＥＣＵが使用されたことを特定した場合には、ＥＰＥＣＵに関するログの優先度が高くなるように優先度を決定する。
あるいは、攻撃経路としてＣ－ＥＣＵが使用された場合、プライバシー情報、例えば、走行履歴や位置情報、住所・氏名・電話番号といった登録情報が流出する可能性がある。特に、Ｃ－ＥＣＵは多くのプライバシー情報を有しているため、Ｃ－ＥＣＵが攻撃経路に使用されると、その攻撃経路上のＥＣＵの脆弱性が悪用されて情報が流出するおそれがある。また、Ｃ－ＥＣＵよりも下層のＥＣＵへのアクセス機能が悪用され、不正にアクセスされる可能性がある。そこで、攻撃経路としてＣ－ＥＣＵが使用されたことを特定した場合には、Ｃ－ＥＣＵに関するログの優先度が高くなるように優先度を決定する。

このように、ＥＰＥＣＵやＣ－ＥＣＵが攻撃経路として使用された場合、情報の秘匿性や重要性が高い情報が流出する可能性がある。そこで、優先度決定部１０４は、各ＥＣＵで保護される情報、つまり、ＥＣＵが攻撃されることによって流出する可能性がある情報の種別に応じて優先度を決定してもよい。情報の「種別」とは、プライバシー情報であるか否かといった情報の内容だけでなく、情報の秘匿性や重要度も含むものである。保護される情報の種別が、プライバシー情報である場合や、秘匿性や重要性が高いものである場合には、ログの優先度が高くなるように優先度を決定する。例えば、Ｃ－ＥＣＵやＥＰＥＣＵが攻撃経路として使用された場合には、ユーザの個人情報を保護するためにＣ－ＥＣＵの優先度が最も高くなり、ＥＰＥＣＵの優先度が中程度となるように、優先度を決定してもよい。

さらに、ＥＰＥＣＵやＣ－ＥＣＵが攻撃経路として使用された場合、外部や他のＥＣＵへの不正アクセスによって被害が拡大するおそれがある。そこで、優先度決定部１０４は、ＥＣＵが実現する機能の種別に応じて、優先度を決定してもよい。

なお、車両に一般的に設けられる、車両の様々な機能を実現するＥＣＵが攻撃経路として使用された場合、Ｅ－ＥＣＵやＥＰＥＣＵと比較して、プライバシー情報が流出する可能性は低い。しかしながら、車両制御（例えば、走行制御やドアロックの解除）が乗っ取られる可能性や、他のＥＣＵへの不正アクセスが行われる可能性もある。そこで、攻撃経路として通常のＥＣＵが使用された場合には、攻撃経路として使用された各ＥＣＵに関するログの優先度が高くなるように優先度を決定してもよい。

（ｂ）第２の優先度の決定

再起動後のログを分析するために、優先度決定部１０４は、ＥＣＵの機能（例えば、エントリポイントや防御機能を含む）に関連するログ、具体的には、ＥＣＵのプロセスを示すログ、リソースを示すログ、入出力を示すログ、に対して第２の優先度を決定する。

隔離又は遮断後のログを分析するために、優先度決定部１０４は、例えば、隔離又は遮断されたＥＣＵやプログラムのプロセス、リソース、出力に関連するログ、対象のネットワークのパケットに関するログに対して第２の優先度を決定する。

リプログラム後のログを分析するために、優先度決定部１０４は、例えば、リプログラムされたＥＣＵの機能に関連するログや、リプログラムされたＥＣＵやソフトウェアのバージョンを示すログに対して第２の優先度を決定する。

（５）小括
本開示のログ分析装置１０によれば、ログ分析部１０３におけるログの分析結果に応じて、優先度決定部１０４は収集すべきログ、及びログの優先度を決定することができる。これにより、サイバー攻撃の解析や、攻撃に対する対応後の車載システムの状態を確認するのに必要なログを効率的に収集して分析することが可能となる。

さらに、本開示のログ分析装置１０によれば、サイバー攻撃の内容を解析するための優先度と、サイバー攻撃に対する対応を実行した後に、実行した対応が適切であるか否かを確認するための優先度とをそれぞれ決定することにより、サイバー攻撃の解析フェーズ、解析後の対応フェーズそれぞれに応じた適切なログを効率的に収集して分析することが可能となる。

５．車載システム
（１）車載システムの概要
図８を用いて、車載システム２０の構成を説明する。車載システム２０は、セントラルゲートウェイ装置（以下、ＣＧＷ）２１、外部通信電子制御装置（以下、外部通信ＥＣＵ）２２、電子制御装置（以下、ＥＣＵ）２３、及びこれらを接続するネットワーク２４、を有する。

ＣＧＷ２１は、ネットワーク２４を介して外部通信ＥＣＵ２２及びＥＣＵ２３の間、あるいはＥＣＵ２３同士の間の通信を中継する電子制御装置である。

外部通信ＥＣＵ２２は、通信ネットワーク２を用いて、ログ分析装置１０と無線通信を行う電子制御装置である。

ＥＣＵ２３は、それぞれの機能を実現する電子制御装置である。ＥＣＵ２３は、任意のＥＣＵを割り当てることができる。例えば、エンジン、ハンドル、ブレーキ等の制御を行う駆動系電子制御装置、メータやパワーウインドウ等の制御を行う車体系電子制御装置、ナビゲーション装置等の情報系電子制御装置、あるいは、障害物や歩行者との衝突を防止するための制御を行う安全制御系電子制御装置が挙げられる。

なお、ＥＣＵ同士は並列ではなく、主従関係を有するように分類されていてもよい。すなわちマスターとスレーブとに分類されていてもよい。また、特定のＥＣＵ２３の下に、さらにサブネットワークを介して複数のＥＣＵ２３を設けるようにしてもよい。その場合、特定のＥＣＵ２３はサブゲートウェイとしての機能を有する。

ネットワーク２４は、ＣＧＷ２１、外部通信ＥＣＵ２２、及びＥＣＵ２３を接続するネットワークである。以下に示す各実施形態では、ネットワーク２４は車載ネットワークであり、例えば、ＣＡＮ（Controller Area Network）、ＬＩＮ（Local Interconnect Network）といった通信方式の他、Ｅｔｈｅｒｎｅｔ（登録商標）やＷｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等、任意の通信方式を用いることができる。

（２）ログ送信制御装置の構成
次に、車載システム２０が備えるログ送信制御装置２００の構成を説明する。ログ送信制御装置２００は、ログ分析装置１０から受信した優先度指示情報に基づいて、電子制御システムの状態を示すログに対して優先度を付与すると共に、優先度に基づいてログ分析装置１０にログを送信するように制御する装置である。

ログ送信制御装置２００は、例えば、図８のＣＧＷ２１の内部に設けられる。もっとも、ログ送信制御装置２００が設けられている場所はこれに限られず、例えばネットワーク２４に接続された任意の場所に設けることができる。例えば、独立した専用のＥＣＵとして設けてもよいし、サブゲートウェイの役割を有するＥＣＵ２３に設けられてもよい。

図９を用いて、ログ送信制御装置２００の構成を説明する。ログ送信制御装置２００は、ログ取得部２０１、ログ保存部２０２、指示取得部２０３、優先度設定部２０４、及びログ送信部２０５を備える。

ログ取得部２０１は、ログ送信制御装置２００に接続されたＥＣＵ２３やネットワークの状態を示すログを取得する。ＥＣＵ２３の状態を示すログは、例えば、ＥＣＵ２３が実現する各々の機能の動作の他、ＥＣＵ２３へのデータの入出力（データを入力又は出力する間隔、入出力されたデータのサイズ等）、ＥＣＵ２３自体のＣＰＵ使用率やメモリ使用量といったリソースを記録したログである。状態ログはさらに、ＥＣＵ２３の機能やバージョン情報、ログ送信制御装置２００が搭載された自動車の種別情報等を記録するものであってもよい。また、ログはさらに、ＥＣＵ２３の状態に加えて、時刻情報やＥＣＵの識別情報といった情報を含んでもよい。

ログ保存部２０２は揮発性又は不揮発性のメモリであり、ログ取得部２０１が取得した状態ログを保存する。

指示取得部２０３は、ログ分析装置１０から送信された優先度指示情報を受信する。

ログ送信制御装置２００がＣＧＷ２１の内部に設けられる場合には、指示取得部２０３はさらに、ログ分析装置１０から送信された対応指示情報をさらに受信してもよい。

優先度設定部２０４は、指示取得部２０３が取得した優先度指示情報が指示する優先度を、ログ保存部２０２に保存されるログに付与する。

なお、本実施形態では、優先度設定部２０４は、ログ分析装置１０で決定された第１の優先度又は第２の優先度をログに付与する構成を説明する。しかしながら、車両の製造業者や販売業者によって設定されたデフォルト優先度が予め保存されている、又は、車載システム２０の内部に優先度を決定して指示する装置が設けられている場合には、優先度設定部２０４はさらにデフォルト優先度や、車載システム２０の内部からの指示に基づく優先度をログに付与するものであってもよい。この場合、指示取得部２０３が優先度指示情報を受信すると、デフォルト優先度を第１の優先度又は第２の優先度に更新し、更新後の優先度をログに付与する。

ログ送信部２０５は、ログに付与された優先度に基づいて、ログ保存部２０２に保存されたログをログ分析装置１０に送信する。ここで、ログ送信部２０５は、ログ保存部２０２に保存されたログのうち、高い優先度が付与されたログから順に送信を行う。あるいは、優先度が高い状態ログについては高い頻度で、優先度が低い状態ログについては低い頻度でログ分析装置１０に送信してもよい。

６．ログ収集システム
図１０は、ログ分析装置１０及び車載システム２０を有するログ収集システム１の例を説明する。ログ分析装置１０と電子制御システム２０とは通信ネットワーク２を介して通信を行う。なお、以下の各実施形態では、ログ収集システム１を構成する電子制御システムが自動車に搭載される車載システム２０であるものとして説明する。しかしながら、電子制御システムは車載装置に限定されるものではない。

通信ネットワーク２は、無線通信方式の場合、例えば、ＩＥＥＥ８０２．１１（ＷｉＦｉ（登録商標））やＩＥＥＥ８０２．１６（ＷｉＭＡＸ（登録商標））、Ｗ－ＣＤＭＡ（Wideband Code Division Multiple Access）、ＨＳＰＡ（High Speed Packet Access）、ＬＴＥ（Long Term Evolution）、ＬＴＥ－Ａ（Long Term Evolution Advanced）、４Ｇ、５Ｇ等を用いることができる。あるいは、ＤＳＲＣ（Dedicated Short Range Communication）を用いることができる。また、有線通信方式の場合、例えば、有線ＬＡＮ（Local Area Network）やインターネット、固定電話回線を用いることができる。

７．総括
以上、本発明の各実施形態におけるログ分析装置、及びログ分析装置と通信を行う車載システム等の特徴について説明した。

各実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。

実施形態の説明に用いたブロック図は、装置の構成を機能毎に分類及び整理したものである。それぞれの機能を示すブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明、及び当該方法を実現するプログラムの発明の開示としても把握できるものである。

各実施形態に記載した処理、フロー、及び方法として把握できる機能ブロック、については、一のステップでその前段の他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

各実施形態、及び特許請求の範囲で使用する、第１、第２、乃至、第Ｎ（Ｎは整数）、の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。

各実施形態は、車両に搭載される車載システムと通信を行うログ分析装置を前提としているが、本発明は、特許請求の範囲で特に限定する場合を除き、車両用以外の専用又は汎用の装置と通信を行う装置も含むものである。

各実施形態では、ログ分析装置と通信するシステムを車両に搭載する前提で説明したが、歩行者が所持する前提としてもよい。

また、本発明のログ分析装置の形態の例として、以下のものが挙げられる。
部品の形態として、半導体素子、電子回路、モジュール、マイクロコンピュータが挙げられる。
半完成品の形態として、電子制御装置（ＥＣＵ（Electric Control Unit））、システムボードが挙げられる。
完成品の形態として、携帯電話、スマートフォン、タブレット、パーソナルコンピュータ（ＰＣ）、ワークステーション、サーバが挙げられる。
その他、通信機能を有するデバイス等を含み、例えばビデオカメラ、スチルカメラ、カーナビゲーションシステムが挙げられる。

またログ分析装置に、アンテナや通信用インターフェースなど、必要な機能を追加してもよい。

本発明は、各実施形態で説明した構成及び機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記録媒体に記録した本発明を実現するためのプログラム、及びこれを実行可能な専用又は汎用ＣＰＵ及びメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。

専用や汎用のハードウェアの非遷移的実体的記録媒体（例えば、外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ／ＢＤ等）、又は内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記録媒体を介して、あるいは記録媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。

本開示のログ分析装置は、主として自動車に搭載される車載システムと通信を行うサーバ装置を対象としているが、ログ分析装置はサーバ装置に限定されるものではなく、また、自動車に搭載されない通常の電子制御システムと通信を行う装置であってもよい。

１０ログ分析装置、１０１受信部、１０２データベース、１０３ログ分析部、１０４優先度決定部、１０６指示生成部、１０７送信部、２０車載システム

Claims

移動体に搭載された電子制御システム（２０）から、前記電子制御システムの状態を示すログを受信する受信部（１０１）と、
前記受信部が受信した前記ログを用いて、前記電子制御システムにおける異常に関し分析するログ分析部（１０３）と、
前記ログ分析部における分析結果に応じて、前記電子制御システムが当該ログ分析装置に前記ログを送信するための優先度を当該ログ毎に決定する優先度決定部（１０４）と、
前記優先度決定部が決定した前記優先度に基づいて前記ログを送信制御することを指示する指示情報を生成する指示生成部（１０６）と、
前記指示情報を前記電子制御システムに送信する送信部（１０７）と、
を備える、ログ分析装置（１０）。
前記ログ分析部は、前記ログを分析することにより、
前記電子制御システムに異常が発生したことを検知する第１の分析と、
前記第１の分析によって検知した前記異常の内容を解析する第２の分析と、
前前記異常に対する対応が実行された場合に、前記対応後の前記電子制御システムの状態を確認する第３の分析と、
を実行する、
請求項１記載のログ分析装置。
前記優先度決定部は、
前記第１の分析の結果に応じて第１の優先度を決定し、
前記第２の分析の結果に応じて第２の優先度を決定し、
前記ログ分析部は、
前記第１の優先度に基づいて前記電子制御システムから送信されたログである第１のログを分析することにより、前記第２の分析を実行し、
前記第２の優先度に基づいて前記電子制御システムから送信されたログである第２のログを分析することにより、前記第３の分析を実行する、
請求項２記載のログ分析装置。
前記優先度決定部は、前記ログ分析部のセキュリティセンサの検知機能に応じて、前記ログの優先度を決定する、
請求項１記載のログ分析装置。
前記優先度決定部は、前記ログ分析部が検知した異常の内容に応じて、前記ログの優先度を決定する、
請求項１記載のログ分析装置。
前記優先度決定部は、前記電子制御システムが有する電子制御装置で保護される情報の種別に応じて、前記ログの優先度を決定する、
請求項１記載のログ分析装置。
前記優先度決定部は、前記電子制御システムの電源状態と、前記電子制御システムが有する電子制御装置の電源状態とに応じて、前記ログの優先度を決定する、
請求項１記載のログ分析装置。