JP6794383B2

JP6794383B2 - 電子装置、方法、プログラム及びサーバ、方法、プログラム

Info

Publication number: JP6794383B2
Application number: JP2018004508A
Authority: JP
Inventors: 丹蒋; 利之鬼頭
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 2018-01-15
Filing date: 2018-01-15
Publication date: 2020-12-02
Anticipated expiration: 2038-01-15
Also published as: US20190221051A1; JP2019125892A; US11170583B2

Description

本発明の実施形態は、車両を管理するシステムにおいて、車両に搭載される電子装置と、その電子装置のログを検証するサーバに関する。

近年、自動車等の車両にあっては、外部との通信環境が整備されつつあるが、外部からの情報セキュリティ攻撃の恐れも高まっている。このため、その攻撃によって車両が事故に遭い、人命を失うことのないように、車両および車両走行環境での異常検知が必要になる。

このような異常検知を行うために、車両に搭載される電子装置では、多くの種類の制御処理におけるログデータを順次取得して改ざん検証値を生成し、その改ざん検証値とログデータの組を車内の記録媒体で一時保存した後、インターネットを経由して異常検知を行うサーバまたはサーバ群（以降クラウドと呼ぶ）に転送するようにしている。

しかしながら、従来のシステムでは、ログデータの改ざんの検証に時間がかかったり、一部が改ざんされていた場合に、その他改ざんされていないログデータを確保することができない等の問題がある。

特開２０１０−１０７８３２号公報

本実施形態の課題は、車両のログデータの正当性を効率的に検証でき、あわせて改ざんされていないログデータの確保が可能な電子装置及びサーバを提供することにある。

本実施形態の電子装置は、車両に搭載され、前記車両のログ及びその正当性を検証するためのコードを生成する生成手段と、前記車両のログをサーバに送信する送信手段とを備える。前記生成手段は、前記車両の第１期間の第１ログと、前記第１ログの正当性を検証するための第１コードと、前記車両の第２期間の第２ログと、前記第２ログの正当性を検証するための第２コードと、前記車両の第３期間の第３ログと、前記第３ログの正当性を検証するための第３コードと、前記車両の第４期間の第４ログと、前記第４ログの正当性を検証するための第４コードと、前記第１ログと前記第２ログとの正当性を一括して検証するための第５コードと、前記第３ログと前記第４ログとの正当性を一括して検証するための第６コードと、前記第１乃至第４ログの正当性を一括して検証するための第７コードとを生成する。前記送信手段は、前記第１乃至第７コードをサーバへ送信し、前記第１乃至第７コードをサーバへ送信した後、前記第１乃至第４ログを前記サーバへ送信する。前記サーバは、受信手段と、処理手段とを備える。前記受信手段は、前記車両に搭載された電子装置より前記第１乃至第７コードを受信し、前記第１乃至第７コードを受信した後、前記第１乃至第４ログを受信する。前記処理手段は、第７コードを検証して正当性を判定し、正当性有りのとき第１ログ乃至前記第４ログを正しいものと取り扱い、正当性無しのとき前記第５コード、前記第６コードの少なくとも一方を用いて前記第１ログ乃至前記第４ログの少なくとも１以上のログの正当性を判定する。

本実施形態に係る車両管理システムの全体構成を示すブロック図。図１に示す車両に搭載される電子装置の構成を示すブロック図。図１に示すシステムの電子装置及びクラウドの具体的な構成を示すブロック図。図３に示す電子装置のログシステムにおける処理手順を示すフローチャート。図３に示す電子装置の通信ログデータ、及び対応する階層化検証値と紐付け情報の具体例を示す図。図３に示すログサーバで実行する改ざん検証のための処理手順を示すフローチャート。実施形態に係る車両管理システムに適用可能なコンピュータ装置の構成を示すブロック図。

以下、図面を参照して、本発明を実施するための最良の形態（以下、単に実施形態と称する）について詳細に説明する。
なお、以下の説明において、車両とは、例えば自動車、トラック、クレーン車、トラクター、ロボット、電車、飛行機である。また、車両のログとは、車両の状態に関する履歴であればどのようなものであってもよく、例えば、車両の状態（操作状況）、走行状態（停止、走行、速度、右左折、アイドリングストップ、エンジンのＯＮ／ＯＦＦ等）、位置の移動状況に関する履歴である。なお、各ログは、識別情報（ＩＤ）、例えばＣＡＮ（Controller Area Network）−ＩＤによって識別される。また、コードとは、対象のデータの正当性を検証できればどのようなものであってもよく、例えば、ハッシュ、ＭＡＣ（Message Authentication Code)、ＭＩＣ（Message Integrity Code）、ＣＲＣ（Cyclic Redundancy Check）等が用いられる。通信データの特徴とは、通信データを識別する情報等であればよく、少なくとも通信ネットワーク（ＣＡＮ／ＣＡＮ−ＦＤ、車載Ｅｔｈｅｒｎｅｔ（登録商標）等）に対応する識別情報（ＣＡＮ−ＩＤ、ＩＰアドレス等）、データサイズ等が含まれる。

図１は本発明の一実施形態に係る車両管理システムとして、複数車両から転送される車載ログデータの改ざん検証及び異常対策処理を行う場合の構成を示すブロック図である。
図１に示す車両管理システムは、それぞれ電子装置を搭載する複数の車両１Ａ，１Ｂ，…と、車両１Ａ，１Ｂ，…で生成される車載ログデータを転送する無線または有線による通信路２Ａ，２Ｂ，…と、車両１Ａ，１Ｂ，…から転送される車載ログデータに基づいて各車両１Ａ，１Ｂ，…を管理するクラウド３とを備える。クラウド３は、ログサーバ３１と解析サーバ３２とを備える。

上記車両１Ａ，１Ｂ，…は、図２に示す電子装置１１を搭載する。この電子装置１１は、従来の走行機能に加え、自動運転機能、車外との通信機能を備える。
上記ログサーバ３１は、車両１Ａ，１Ｂ，…から通信路２Ａ，２Ｂ…を通じて車載ログデータを収集する通信機能、車載ログデータが改ざんされたかどうかを確認する改ざん検知機能、およびクラウド３の内部にある他のサーバとの通信機能を備える。なお、ログサーバ３１はセキュリティ性が担保されており、データの改ざんがされにくいものと想定する。

上記ログサーバ３１は、車両１Ａ，１Ｂ，…から転送された車載ログデータが改ざんされたかを検証し、改ざんされていない車載ログデータや、改ざんを発見した異常状況をまとめて解析サーバ３２に入力する。
上記解析サーバ３２は、クラウド３の内部の他のサーバとの通信機能、異常検知や分析機能、異常対策の策定機能、車両１Ａ，１Ｂ，…に異常対策を送信するための通信機能を備える。すなわち、解析サーバ３２は、ログサーバ３１から転送されたデータの元に異常検知や事故分析などの処理を行い、一時的な対策がある場合は、対象車両にその対策を送信する。

なお、上記ログサーバ３１と解析サーバ３２は、本実施形態では別々の場合を例として説明しているが、必要に応じて同じサーバにそれぞれの機能を搭載するようにしてもよい。
上記車両１Ａ，１Ｂ，…に搭載される電子装置１１は、図２に示すように、主にＥＣＵ（Electronic Control Unit：電子制御装置）群１１１、ゲートウェイ１１２、ログシステム１１３、通信モジュール１１４，１１５を備える。

上記ＥＣＵ群１１１の各ユニットは、制御機能等に応じて分割した各ドメインにおいて、それぞれのドメインに対応するアクチュエータと繋がっており、運転者または自動運転システムの操作制御指令により、相互通信によって協調して車両の運転に対する操作を制御する。

上記ゲートウェイ１１２は、主にＥＣＵ群１１１のユニット間、および車外と車内の間で通信パケットを転送する。上記ログシステム１１３は、ゲートウェイ１１２と繋がっており、通信データを始め、車両内で発生する情報を車載ログデータとして記録する。

上記通信モジュール１１４，１１５は、それぞれの通信路を介して車外から車内へ、または車内から車外への通信データを転送する。例えば、通信モジュール１１４は、ゲートウェイ１１２と接続され、700MHz近距離無線によってゲートウェイ１１２と他のコネクテッドカーやインフラの信号機等との通信を行う。また、通信モジュール１１５は、ログシステム１１３と接続され、携帯電話用ネットワークを介して、クラウド３側のログサーバ３１にログシステム１１３からのログデータ等の情報を転送する。

なお、上記電子装置１１は、情報セキュリティ面から、車外からの攻撃ルートが作られないように、通信モジュール１１５において、外部からのデータが入り込めないように設定するとよい。また、ゲートウェイ１１２とログシステム１１３は、必要に応じて一体化するようにしてもよい。

図３は、本実施形態に係る車両管理システムの電子装置１１及びログサーバ３１及び解析サーバ３２の具体的な機能構成及び関連性を示している。
上記ゲートウェイ１１２は、通信部１１２１、記憶部１１２２、転送処理部１１２３、時刻管理部１１２４を備える。
上記通信部１１２１は、ゲートウェイ１１２を経由する通信データを受け取る。上記記憶部１１２２は揮発メモリであり、受信した通信データを一時保持する。上記転送処理部１１２３は、受信した通信データを宛先情報により車内の各ドメインまたは車外に転送する。さらに、記憶部１１２２に溜まる通信データのサイズが一定量に達すると、その通信データを車載ログデータとしてログシステム１１３に転送する。上記時刻管理部１１２４は、受信した通信データに、ゲートウェイ１１２のローカル時計の時刻情報を適切なタイミングで付与する処理を行う。実施形態ではms単位の精度で時刻情報が付与されるものとするが、実際の要求に応じてs単位の精度、μs単位の精度でも対応可能である。

上記ログシステム１１３は、通信部１１３１、記憶部１１３２、階層化関連情報生成部１１３３、暗号処理部１１３４、記録部１１３５、書込み処理部１１３６、読出し処理部１１３７、転送処理部１１３８を備える。
上記通信部１１３１は、ゲートウェイ１１２から転送された車載ログデータを受け取る。上記記憶部１１３２が揮発メモリであり、受信した車載ログデータを一時保持する。上記階層化関連情報生成部１１３３は、車載ログデータに対応する階層化検証値および紐付情報の生成処理を行う。

ここで、紐付情報のコードは、いずれのログに対して正当性を検証するものかを識別可能であればどのようなものであってもよい。また、ゲートウェイ１１２の通信部１１２１とログシステム１１３の通信部１１３１とが同一であってもよい。上記階層化検証値の生成時に参照する階層化ルールは、事前に規定して記録部１１３２に保存したファイルでもよいし、クラウド３側のサーバからの指令を記憶部１１３２にて一時保持したファイルでもよい。

上記暗号処理部１１３４は、主に改ざん検証値の生成処理を行う。上記記録部１１３５は車載ログデータ、並びにログシステム１１３の処理に必要な暗号鍵等の情報を長時間保存する。上記書込み処理部１１３６は、車載ログデータを記録部１１３５に書き込む処理を行う。上記読出し処理部１１３７は、記録部１１３５から車載ログデータを読み出す処理を行う。上記転送処理部１１３８は、生成した階層化関連情報、または読み出した車載ログデータをクラウド３側のログサーバ３１に転送する。情報セキュリティの面を考慮して、転送処理部１１３８で、車内から車外に送出するデータ、すなわちアウトバウントのデータしか通過させないようにする。

上記ログシステム１１３は、図４に示す手順で階層化関連情報を処理する。まず、通信部１１３１でゲートウェイ１１２からログデータを受信した後（ステップＳ１１）、記憶部１１３２に余裕スペースがあるかどうかを確認する（ステップＳ１２）。余裕スペースがない場合には、記憶部１１３２から古い順に一定量のデータを削除する（ステップＳ１３）。記憶部１１３２に一定量のデータが溜まったか判断し（ステップＳ１４）、一定量のデータが溜まっていなければステップＳ１１の受信処理に移行する。一定量のデータが溜まった場合には、階層化関連情報生成部１１３３で階層化関連情報を生成する（ステップＳ１５，Ｓ１６）。階層化関連情報は階層化検証値と紐付情報を含む。階層化関連情報は階層化ルールに参照して生成されるが、その階層化ルールは事前にクラウド３のログサーバ３１と共有、またはログサーバ３１から指定することが可能であるものとする。階層化ルールは具体的に、階層の分類ルールおよび各階層の紐付情報を生成する方法を規定するファイルである。

例えば、一つのデータの塊に対して、以下の４階層を形成するものとする。
第１層：データ全体を対象とし、紐付情報は先頭および末尾の時刻情報とデータ全体の個数を規定する。
第２層：ネットワークの種類に応じてデータを分類するものとし、紐付情報は各ネットワークの種類の名称とそれぞれ対応するデータ個数を示すものとする。
第３層：送信元の識別子に応じて第２層の分類を元にさらにデータを分類するものとし、紐付情報は各識別子とそれぞれ対応するデータ個数とする。
第４層：個々のデータを対象とする。ここでは、紐付情報は不要である。

以上のようにして、階層化の階数と各階層においての分類ルール、紐付情報生成方法を規定する。
上記階層化関連情報の生成後、当該情報を転送処理部１１３８を通じてログサーバ３１に転送する（ステップＳ１７）。ここで、転送が成功したか判断し（ステップＳ１８）、転送が成功しなかった場合には、記憶部１１３２にログデータが一定量溜まったか判断し（ステップＳ１９）、一定量溜まっていない場合には、ステップＳ１７に戻って上記階層化関連情報の転送を実行する。ステップＳ１９で一定量溜まっていた場合には、未転送の階層化関連情報を記憶部１１３２で一時保持しておく。

上記ステップＳ１８で転送が成功したと判断された場合には、書込み処理部１１３６で対象ログデータを記録部１１３５に書き込む（ステップＳ２１）。この書込みが成功したか判断し（ステップＳ２２）、書込みが成功しなかった場合には、記憶部１１３２にログデータが一定量溜まったか判断し（ステップＳ２３）、一定量溜まっていなかった場合にはステップＳ２１に戻って上記階層化関連情報の書込みを実行する（ステップＳ２４）。ステップＳ２３で一定量溜まっていた場合には、未書込みの階層化関連情報を記憶部１１３２で一時保持しておく。上記ステップＳ２２で書込みが成功したと判断された場合には、一連の処理を終了して次のログデータの処理に取組む。

なお、記録部１１３５に書き込んだログデータは、後で順次、ログサーバ３１に転送する。ログデータの転送タイミングは定期的（３０分毎）または事前に定義されたトリガ（被搭載車のエンジンＯＦＦ時等）により決まる。
図５に通信ログデータ、および対応する階層化検証値と紐付情報の一例を示す。図５において、列Ａ〜Ｃの部分は通信ログのデータ本体となり、識別子、通信データ、時刻から構成される。表の列Ｄ〜Ｇは階層化検証値となり、本実施例では４階層構造で、列Ｄは第４層でログデータ個々に対応する検証値となり、列Ｅは第３層でデータの識別子番号で分割したログデータに対応する検証値となり、列Ｆは第２層でログデータのタイプで分割したログデータに対応する検証値となり、列Ｇは第１層でログデータ全体に対応する検証値となる。最後に、表の列Ｈ〜Ｊは階層化検証値に対応する紐付情報となり、最下位層（第４層）はログデータと一対一になるため紐付情報が不要となる。

ただし、階層化ルールによってログデータをソートする必要があるため、第１層以外の各階層の検証値の順番が図５で例示するログデータ本体の順番と異なる場合がある。
続いて、クラウド３のログサーバ３１及び解析サーバ３２の構成について説明する。
図３において、ログサーバ３１は、通信部３１１、記憶部３１２、記録部３１３、マッチング部３１４、改ざん検証部３１５、暗号処理部３１６、入力データ生成部３１７、転送処理部３１８を備える。

上記通信部３１１は、車両の電子装置１１から転送される車載ログデータ、階層化関連情報等を受信する。上記記憶部３１２は、通信部３１１の受信データを一時保持する。上記記録部３１３は、記憶部３１２に一時保持された受信データを記録する。また、事前に規定された階層化ルールを保存する。

上記マッチング部３１４は、事前に規定された階層化ルールに従い、受信データから第１層の紐付情報を得て、それとふさわしい階層化関連情報を記録部３１３からピックアップする。上記改ざん検証部３１５は、マッチング部３１７のマッチングの成立結果からログデータの改ざんの有無を検証する。上記暗号処理部３１６は、主に改ざん検証値の生成処理を行う。

上記入力データ生成部３１７は、各階層での改ざん検証結果を一般入力データ（検証成功）または異常入力データ（検証失敗）としてまとめる。上記転送処理部３１８は、入力データ生成部３１７で生成された一般／異常入力データを通信部３１１を通じて解析サーバ３２に転送する。

上記解析サーバ３２は、通信部３２１、解析部３２２、対策生成部３２３、転送処理部３２４を備える。
上記通信部３２１は、ログサーバ３１１から転送される入力データを受信する。上記解析部３２２は、受信した入力データを解析して、異常の有無を検出する。上記対策生成部３２３は、上記解析部３２２の解析結果で異常が検出された場合に、その対策のための制御情報を生成する。上記転送処理部３２４は、対策生成部３２３で生成された対策制御情報を通信部３２１を通じて車両の電子装置１１に送信する。

上記クラウド３の構成において、図６を参照してログサーバ３１の改ざん検証処理手順を説明する。
通信部３１１で車両の電子装置１１から転送される車載ログデータ、階層化関連情報等を受信し（ステップＳ３１）、その受信データを記憶部３１２で一時保持しつつ、順次記録部３１３に書込み（ステップＳ３２）、改ざん検証を開始する。マッチング部３１４では、事前に規定された階層化ルールに従い、受信データから第１層の紐付情報を得て、その紐付情報に対応する階層化関連情報を記録部３１３からピックアップする（ステップＳ３３）。

上記マッチング処理の詳細を、第１層を例として説明する。ここでの階層化ルールは、第１層の紐付情報をログデータ先頭と末尾の時刻情報、およびログデータ個数から構成されると規定する。この場合、ログデータを受信すると、そのログデータの先頭と末尾の時刻情報、およびログデータの個数情報を抽出する。抽出した時刻情報およびデータ個数を用いて、記録部３１３に保存される階層化関連情報の紐付情報部分と比較する。時刻情報が一致、かつ個数も一致する場合のみ、マッチング成立とし、その階層化関連情報をピックアップする。

上記マッチングの成立を判断する（ステップＳ３４）。失敗（不成立）と判断された場合には、改ざんを受けていない多くのデータを確保するため、マッチング部３１４で第１層以下の各階層の紐付情報を比較し（ステップＳ３５）、マッチングが成立した部分のみ改ざん検証部３１５に転送し、改ざん検証を行う（ステップＳ３６）。第１層以下でどのような順序で階層を比較するかは、それぞれの紐付情報に基づいてどのような順序に決定されてよく、例えば、紐付情報のデータ個数に基づいて、個数の小さい順から検証する方法がある。

すなわち、マッチングが失敗（不成立）した場合、それは転送されたログデータの先頭/末尾のデータがすでに書換えられた、またはデータの削除があるということを意味を示している。このため、ステップＳ３５，Ｓ３６では、できるだけ多くの改ざんされていないデータを確保するために、下位の階層でマッチングが成立する階層があるかどうかを探索し、成立した階層の改ざん検証を行う。ログサーバ３１は、入力データ生成部３１７で、改ざんされていないデータを一般入力データとして、異常状況の情報（異常入力データ）と共にまとめ（ステップＳ３７）、転送処理部３１８で解析サーバ３２に転送する（ステップＳ３８）。

一方、ステップＳ３４でマッチングの成立が得られた場合、第１層の検証値を用いて、受信した車載ログデータ全体の改ざん検証を行い（ステップＳ３９）、改ざんの有無を判断する（ステップＳ４０）。検証が成功した場合は改ざん無しと判断し、入力データ生成部３１７で受信した車載ログデータを全部、解析サーバ３２の一般入力データとしてまとめる。

ステップＳ４０において、検証が失敗して改ざんありと判断した場合、改ざん検証部３１５において、階層化ルールに従い、次の階層でデータを分類し、分類後、データの個数の少ない部分から、第２階層の検証値および紐付情報で改ざんを検証する。さらに改ざんありの部分に特定し、第３階層の検証値および紐付情報、第４階層の検証値で次々と範囲を絞る（ステップＳ４２）。絞った範囲及び階層化ルールにより、改ざんの原因や改ざん対象の発生時間帯等の異常情報が推測可能となる。この過程において、入力データ生成部５１７では、各階層での検証結果を一般入力データ（検証成功）または異常入力データ（検証失敗）としてまとめる。最下位層まで全部の検証を行い（ステップＳ４４）、その全部の検証が終わると、ステップＳ３８に移行して入力データを解析サーバ３２に転送する。その転送が成功した場合には、一連の処理を終了して次のログを取り込み、成功しなかった場合には、入力データを記憶部３１２に一時保持して次回にまわす。

以上のように、本実施形態に係る車両管理システムでは、改ざん検証処理において、上位の階層から順に範囲が次第に縮小され、必ずしも全てのデータを検証することがなくなり、全体の処理時間が一定程度短縮可能となる。
すなわち、階層化検証により、車載ログデータを分割した塊の単位で検証し、問題のない塊について個々のデータを検証する必要がなくなる。このため、より早く問題のある箇所に絞り、対象ログデータに対する改ざん検証をより早く終わらせることが可能となり、単位時間内より多くの車両からのログデータを処理することができる。

また、階層化関連情報が先にクラウドのログサーバに転送されることにより、紐付情報でログデータ本体の削除の有無が一目で分かるようになり、さらに階層化検証値によりその削除の範囲を一定程度まで絞ることもできる。
さらに、階層化関連情報を車内のログ記録媒体に保存しないため、一定的な余裕スペースを作ることにより、コストの変わらない同じ容量の記録媒体でもより多くの車載ログデータを確保することができる。

なお、上記ゲートウェイ１１２とログシステム１１３を一体化し、階層化関連情報の生成機能等を含む構造とすることもできる。また、上記実施形態の階層化ルールとは異なる階層化ルールで規定することも可能であり、異なる階層数で処理することも可能である。また、階層化ルールを動的に定義することもできる。例えば、車両の状態に応じて動的に事前保持のファイルから階層化ルールを選ぶか、ログサーバから有効範囲が規定される階層化ルールを受信する。ただし、動的な場合は、階層化ルールの識別子相当の情報を、第１層の紐付情報の中に入れる必要がある。第２層、第３層の階層化ルールは、例えば車両の状態、車両の位置、車両の走行状態、通信データの特徴のいずれかに基づいて決定される。

なお、実施形態の車両管理システムに用いられる電子装置、サーバは、例えば、汎用のコンピュータ装置を基本ハードウェアとして用いることでも実現することが可能である。すなわち、各機能ブロックは、上記のコンピュータ装置に搭載されたプロセッサにプログラムを実行させることにより実現することができる。

上記構成による車両管理システムの電子装置またはサーバに適用可能なコンピュータ装置は、図７に示すように、ＣＰＵ（Central Processing Unit）４０１などの制御装置と、ＲＯＭ（Read Only Memory）４０２やＲＡＭ（Random Access Memory）４０３などの記憶装置と、マイクロホン、操作入力装置、表示装置等が接続される入出力Ｉ／Ｆ４０４と、ネットワークに接続して通信を行う通信Ｉ／Ｆ４０５と、各部を接続するバス４０６を備えている。上記のプログラムをコンピュータ装置に予めインストールすることで実現してもよいし、ＣＤ−ＲＯＭなどの記憶媒体に記憶して、あるいはネットワークを介して上記のプログラムを配布して、このプログラムをコンピュータ装置に適宜インストールすることで実現してもよい。また、各機能ブロックは、上記のコンピュータ装置に内蔵あるいは外付けされたメモリ、ハードディスク若しくはＣＤ−Ｒ、ＣＤ−ＲＷ、ＤＶＤ−ＲＡＭ、ＤＶＤ−Ｒなどの記憶媒体などを適宜利用して実現することができる。

なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。

１Ａ，１Ｂ，…車両、
１１…電子装置、
１１１…ＥＣＵ（Electronic Control Unit：電子制御装置）群、
１１２…ゲートウェイ、１１２１…通信部、１１２２…記憶部、１１２３…転送処理部、１１２４…時刻管理部、
１１３…ログシステム、１１３１…通信部、１１３２…記憶部、１１３３…階層化関連情報生成部、１１３４…暗号処理部、１１３５…記録部、１１３６…書込み処理部、１１３７…読出し処理部、１１３８…転送処理部、
１１４，１１５…通信モジュール、
２Ａ，２Ｂ，…通信路、
３…クラウド、
３１…ログサーバ、３１１…通信部、３１２…記憶部、３１３…記録部、３１４…マッチング部、３１５…改ざん検証部、３１６…暗号処理部、３１７…入力データ生成部、３１８…転送処理部、
３２…解析サーバ、３２１…通信部、３２２…解析部、３２３…対策生成部、３２４…転送処理部、
４０１…ＣＰＵ、４０２…ＲＯＭ、４０３…ＲＡＭ、４０４…入出力Ｉ／Ｆ、４０５…通信Ｉ／Ｆ、４０６…バス。

Claims

車両に搭載され、前記車両のログ及びその正当性を検証するためのコードを生成する生成手段と、
前記車両のログをサーバに送信する送信手段と
を具備し、
前記生成手段は、
前記車両の第１期間の第１ログと、
前記第１ログの正当性を検証するための第１コードと、
前記車両の第２期間の第２ログと、
前記第２ログの正当性を検証するための第２コードと、
前記車両の第３期間の第３ログと、
前記第３ログの正当性を検証するための第３コードと、
前記車両の第４期間の第４ログと、
前記第４ログの正当性を検証するための第４コードと、
前記第１ログ及び前記第２ログの正当性を一括して検証するための第５コードと、
前記第３ログ及び前記第４ログの正当性を一括して検証するための第６コードと、
前記第１ログ乃至前記第４ログの正当性を一括して検証するための第７コードと、を生成し、
前記送信手段は、
前記第１コード乃至前記第７コードを前記サーバへ送信し、前記第１コード乃至第７コードを前記サーバへ送信した後、前記第１ログ乃至第４ログを前記サーバへ送信する、
電子装置。
前記生成手段は、
前記第５コードが、正当性を一括して検証可能なログが前記第１ログ及び前記第２ログであることを識別可能とする第１紐付情報と、
前記第６コードが、正当性を一括して検証可能なログが前記第３ログ及び前記第４ログであることを識別可能とする第２紐付情報と、
前記第７コードが、正当性を一括して検証可能なログが前記第１ログ乃至前記第４ログであることを識別可能とする第３紐付情報と、
を生成し、
前記送信手段は、前記第１ログ乃至前記第４ログを前記サーバへ送信する前に、前記第１紐付情報、前記第２紐付情報、前記第３紐付情報を、前記サーバに送信する請求項１記載の電子装置。
前記第５コード、前記第６コード、または、前記第７コードのいずれか１つについて、正当性を一括して検証可能な２つ以上のログは、前記車両の状態に基づいて決定される請求項１または請求項２に記載の電子装置。
前記第５コード、前記第６コード、または、前記第７コードのいずれか１つについて、正当性を一括して検証可能な２つ以上のログは、前記車両の位置に基づいて決定される請求項１または請求項２に記載の電子装置。
前記第５コード、前記第６コード、または、前記第７コードのいずれか１つについて、正当性を一括して検証可能な２つ以上のログは、前記車両の走行状態に基づいて決定される請求項１または請求項２に記載の電子装置。
前記第５コード、前記第６コード、または、前記第７コードのいずれか１つについて、正当性を一括して検証可能な２つ以上のログは、前記車両の通信データの特徴に基づいて決定される請求項１または請求項２に記載の電子装置。
車両に搭載可能な電子装置により少なくとも一部が実行される方法であって、
前記車両の第１期間の第１ログと、
前記第１ログの正当性を検証するための第１コードと、
前記車両の第２期間の第２ログと、
前記第２ログの正当性を検証するための第２コードと、
前記車両の第３期間の第３ログと、
前記第３ログの正当性を検証するための第３コードと、
前記車両の第４期間の第４ログと、
前記第４ログの正当性を検証するための第４コードと、
前記第１ログ及び前記第２ログの正当性を一括して検証するための第５コードと、
前記第３ログ及び前記第４ログの正当性を一括して検証するための第６コードと、
前記第１ログ乃至前記第４ログの正当性を一括して検証するための第７コードと、
を生成し、
前記第１コード乃至前記第７コードをサーバへ送信し、
前記第１コード乃至前記第７コードを前記サーバへ送信した後、前記第１ログ乃至前記第４ログを前記サーバへ送信する、方法。
車両に搭載可能な電子装置に実行させるためのプログラムであって、
前記電子装置に、
前記車両の第１期間の第１ログと、
前記第１ログの正当性を検証するための第１コードと、
前記車両の第２期間の第２ログと、
前記第２ログの正当性を検証するための第２コードと、
前記車両の第３期間の第３ログと、
前記第３ログの正当性を検証するための第３コードと、
前記車両の第４期間の第４ログと、
前記第４ログの正当性を検証するための第４コードと、
前記第１ログ及び前記第２ログの正当性を一括して検証するための第５コードと、
前記第３ログ及び前記第４ログの正当性を一括して検証するための第６コードと、
前記第１ログ乃至前記第４ログの正当性を一括して検証するための第７コードと、を生成するステップと、
前記第１コード乃至前記第７コードをサーバへ送信するステップと、
前記第１コード乃至前記第７コードを前記サーバへ送信した後、前記第１ログ乃至前記第４ログを前記サーバへ送信するするステップと、
を実行させるプログラム。
車両の第１期間の第１ログと、前記第１ログの正当性を検証するための第１コードと、前記車両の第２期間の第２ログと、前記第２ログの正当性を検証するための第２コードと、前記車両の第３期間の第３ログと、前記第３ログの正当性を検証するための第３コードと、前記車両の第４期間の第４ログと、前記第４ログの正当性を検証するための第４コードと、前記第１ログ及び前記第２ログの正当性を一括して検証するための第５コードと、前記第３ログ及び前記第４ログの正当性を一括して検証するための第６コードと、前記第１ログ乃至前記第４ログの正当性を一括して検証するための第７コードとのうち、前記車両に搭載された電子装置より前記第１コード乃至前記第７コードを受信し、前記第１コード乃至前記第７コードを受信した後、前記第１ログ乃至前記第４ログを受信する受信手段と、
前記第７コードを検証して正当性を判定し、正当性有りのとき前記第１ログ乃至前記第４ログを正しいものと取り扱い、正当性無しのとき前記第５コード、前記第６コードの少なくとも一方を用いて前記第１ログ乃至前記第４ログの少なくとも１以上のログの正当性を判定する処理手段と、
を具備するサーバ。
前記電子装置で、前記第５コードが、正当性を一括して検証可能なログが前記第１ログ及び前記第２ログであることを識別可能とする第１紐付情報と、前記第６コードが、正当性を一括して検証可能なログが前記第３ログ及び前記第４ログであることを識別可能とする第２紐付情報と、前記第７コードが、正当性を一括して検証可能なログが前記第１ログ乃至前記第４ログであることを識別可能とする第３紐付情報と、を生成し、前記第１ログ乃至前記第４ログを前記サーバへ送信する前に、前記第１紐付情報、前記第２紐付情報、前記第３紐付情報を、前記サーバに送信するとき、
前記処理手段は、前記第５コード及び前記第６コードの使用順序を前記第１紐付情報、前記第２紐付情報、前記第３紐付情報に基づいて決定する請求項９記載のサーバ。
前記処理手段は、受信された前記第１コード乃至前記第７コードそれぞれの正当性の判定結果で正当性有りの場合に対応するログの異常の有無を判定する請求項９記載のサーバ。
車両に搭載可能な電子装置とネットワークを介して接続されるサーバにより少なくとも一部が実行される方法であって、
前記電子装置が、
前記車両の第１期間の第１ログと、
前記第１ログの正当性を検証するための第１コードと、
前記車両の第２期間の第２ログと、
前記第２ログの正当性を検証するための第２コードと、
前記車両の第３期間の第３ログと、
前記第３ログの正当性を検証するための第３コードと、
前記車両の第４期間の第４ログと、
前記第４ログの正当性を検証するための第４コードと、
前記第１ログ及び前記第２ログの正当性を一括して検証するための第５コードと、
前記第３ログ及び前記第４ログの正当性を一括して検証するための第６コードと、
前記第１ログ乃至前記第４ログの正当性を一括して検証するための第７コードと、を生成し、
前記第１コード乃至前記第７コードを送信し、
前記第１コード乃至前記第７コードを送信した後、前記第１ログ乃至前記第４ログを送信するとき、
前記第１コード乃至前記第７コードを受信し、
前記第１コード乃至前記第７コードを受信した後、前記第１ログ乃至前記第４ログを受信し、
前記第７コードを検証して正当性を判定し、正当性有りのとき前記第１ログ乃至前記第４ログを正しいものと取り扱い、正当性無しのとき前記第５コード、前記第６コードの少なくとも一方を用いて前記第１ログ乃至前記第４ログの少なくとも１以上のログの正当性を判定する、
方法。
車両に搭載される電子装置とネットワークを介して接続されるサーバに実行させるためのプログラムであって、
前記電子装置が、
前記車両の第１期間の第１ログと、
前記第１ログの正当性を検証するための第１コードと、
前記車両の第２期間の第２ログと、
前記第２ログの正当性を検証するための第２コードと、
前記車両の第３期間の第３ログと、
前記第３ログの正当性を検証するための第３コードと、
前記車両の第４期間の第４ログと、
前記第４ログの正当性を検証するための第４コードと、
前記第１ログ及び前記第２ログの正当性を一括して検証するための第５コードと、
前記第３ログ及び前記第４ログの正当性を一括して検証するための第６コードと、
前記第１ログ乃至前記第４ログの正当性を一括して検証するための第７コードとを生成し、
前記第１コード乃至前記第７コードを送信し、前記第１コード乃至前記第７コードを送信した後、前記第１ログ乃至前記第４ログを送信するとき、
前記第１コード乃至前記第７コードを受信するステップと、
前記第１コード乃至前記第７コードを受信した後、前記第１ログ乃至前記第４ログを受信するステップと、
前記第７コードを検証して正当性を判定し、正当性有りのとき前記第１ログ乃至前記第４ログを正しいものと取り扱い、正当性無しのとき前記第５コード、前記第６コードの少なくとも一方を用いて前記第１ログ乃至前記第４ログの少なくとも１以上のログの正当性を判定するステップと、
を実行させるプログラム。