JP7373803B2 - 情報送信装置、サーバ、及び、情報送信方法 - Google Patents

情報送信装置、サーバ、及び、情報送信方法 Download PDF

Info

Publication number
JP7373803B2
JP7373803B2 JP2020163044A JP2020163044A JP7373803B2 JP 7373803 B2 JP7373803 B2 JP 7373803B2 JP 2020163044 A JP2020163044 A JP 2020163044A JP 2020163044 A JP2020163044 A JP 2020163044A JP 7373803 B2 JP7373803 B2 JP 7373803B2
Authority
JP
Japan
Prior art keywords
information
detection information
log information
vehicle
monitoring
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2020163044A
Other languages
English (en)
Other versions
JP2022055558A (ja
Inventor
唯之 鳥崎
薫 横田
崇之 藤井
章人 竹内
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Intellectual Property Management Co Ltd
Original Assignee
Panasonic Intellectual Property Management Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Intellectual Property Management Co Ltd filed Critical Panasonic Intellectual Property Management Co Ltd
Priority to JP2020163044A priority Critical patent/JP7373803B2/ja
Priority to DE102021123618.5A priority patent/DE102021123618A1/de
Priority to US17/479,734 priority patent/US20220103583A1/en
Publication of JP2022055558A publication Critical patent/JP2022055558A/ja
Application granted granted Critical
Publication of JP7373803B2 publication Critical patent/JP7373803B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Description

本開示は、情報送信装置、サーバ、及び、情報送信方法に関する。
近年、車両、電子機器（例えば、家電機器）などの物体が、インターネット等の通信ネットワークを介して外部の装置と通信可能に接続されている。これにより、物体は、通信ネットワークを介して外部の装置から制御可能となるが、一方で通信ネットワークを介してのサイバー攻撃の脅威にさらされている。例えば、車両がサイバー攻撃を受けると、不正な制御命令により車両が誤動作するおそれがある。そこで、物体に搭載されたセンサ等の情報に基づいて、当該物体のセキュリティ状態の監視等を行うことが検討されている。特許文献１には、少ない通信量で複数の物体のセキュリティ状態を監視するセキュリティ監視方法が開示されている。
特許第５４４７３９４号公報
ところで、サイバー攻撃の内容、又は、サイバー攻撃による物体への影響等の分析処理を、物体からの情報に基づいてサーバが行うことが検討されている。このとき、サーバでの処理負担が低減されることが望まれる。
そこで、本開示では、サーバの処理負担を低減することができる情報送信装置、サーバ、及び、情報送信方法を提供する。
本開示の一態様に係る情報送信装置は、１以上の機器及び各機器を監視する監視センサを有する物体に搭載される情報送信装置であって、前記１以上の機器のいずれかの機器において異常を検知したことを示す第１の検知情報を前記監視センサから取得する取得部と、前記監視センサから取得された前記１以上の機器のいずれかの機器において異常を検知したことを示す第２の検知情報であって、前記第１の検知情報に関連し、かつ、当該第１の検知情報よりも前に外部の装置に送信された第２の検知情報と、前記第１の検知情報との関連を示す関連情報、及び、前記第１の検知情報を含む監視情報を前記外部の装置に送信する送信部とを備える。
本開示の一態様に係るサーバは、上記に記載の情報送信装置から送信された前記第１の検知情報を受信する受信部と、前記第１の検知情報と、前記第１の検知情報に含まれる前記関連情報が示す前記第２の検知情報であって前記第１の検知情報よりも前に受信した前記第２の検知情報とに基づいて、前記物体へのサイバー攻撃に関する分析を行う制御部とを備える。
本開示の一態様に係る情報送信方法は、１以上の機器及び各機器を監視する監視センサを有する物体における情報送信方法であって、前記１以上の機器のいずれかの機器において異常を検知したことを示す第１の検知情報を前記監視センサから取得し、前記監視センサから取得された前記１以上の機器のいずれかの機器において異常を検知したことを示す第２の検知情報であって、前記第１の検知情報に関連し、かつ、当該第１の検知情報よりも前に外部の装置に送信された第２の検知情報と、前記第１の検知情報との関連を示す関連情報、及び、前記第１の検知情報を含む監視情報を前記外部の装置に送信する。
本開示の一態様に係る情報送信装置等は、サーバの処理負担を低減することができる。
図１は、実施の形態に係る車両監視システムの機能構成を示すブロック図である。 図２は、実施の形態に係る送信判定モジュールの機能構成を示すブロック図である。 図３は、実施の形態に係る送信判定モジュールの基本動作を示すフローチャートである。 図４は、監視センサによる異常検知の一例を示す図である。 図５は、時刻ｔ１におけるアラートＡに基づいて生成される車両監視ログ情報の概要を示す図である。 図６は、時刻ｔ２におけるアラートＢに基づいて生成される車両監視ログ情報の概要を示す図である。 図７は、図４に示す異常が検知されたときに送信判定モジュールが行う一連の動作の一例を示すフローチャートである。 図８は、図７に示すステップＳ２０３で送信される車両監視ログ情報の概要を示す図である。 図９は、図７に示すステップＳ２０８で送信される車両監視ログ情報の概要を示す図である。 図１０は、図７に示すステップＳ２０９で送信される車両監視ログ情報の概要を示す図である。 図１１は、図７に示すステップＳ２１１で送信される車両監視ログ情報の概要を示す図である。 図１２は、実施の形態に係る送信判定モジュールの詳細動作を示すフローチャートである。 図１３は、送信状態保存部に保存されている送信状態情報の一例を示す図である。 図１４は、送信状態保存部に保存されている送信状態情報の他の一例を示す図である。 図１５は、実施の形態に係る監視システムの動作を示すフローチャートである。 図１６は、比較例に係る送信判定モジュールの機能構成を示すブロック図である。 図１７は、比較例に係る送信判定モジュールの動作を示すフローチャートである。
（本開示に至った経緯）
本開示の実施の形態の説明に先立ち、本開示に至った経緯について説明する。
「背景技術」でも記載したように、近年、車両、電子機器などの物体からの情報に基づいて当該物体のセキュリティ状態を監視することが検討されている。例えば、物体が車両である場合、当該車両に搭載された各監視センサの異常検知結果に基づいて、サーバにより当該車両のセキュリティ状態（例えば、サイバー攻撃の内容、又は、サイバー攻撃による物体への影響）を監視することが検討されている。この場合、車両には、例えば、車両に搭載される車載機器の異常を検知したことを示す異常検知結果を含むログ情報を各監視センサから集約し、サーバに送信する送信判定モジュールが搭載される。このような送信判定モジュールとして想定される構成について、図１６を参照しながら説明する。図１６は、比較例に係る送信判定モジュール４１０ａの機能構成を示すブロック図である。
図１６に示すように、送信判定モジュール４１０ａは、取得部４１１と、監視ログ保存部４１２と、送信判定部４１３と、生成部４１４と、出力部４１５とを有する。
取得部４１１は、車両が備える各監視センサからログ情報を取得する。ログ情報は、監視センサによる車載機器の監視結果を含む情報であり、例えば、監視センサが異常を検知したことを示す情報を含む。また、ログ情報は、異常を検知した車載機器を特定する情報、異常の種別を示す情報、異常の発生時刻を示す情報などの少なくとも１つを含んでいてもよい。
監視ログ保存部４１２は、取得部４１１が取得したログ情報を保存する。
送信判定部４１３は、監視ログ保存部４１２に保存されたログ情報を監視システム５００に送信するか否かを判定する。送信判定部４１３は、例えば、所定数のログ情報が監視ログ保存部４１２に保存されると、保存された複数のログ情報を監視システム５００に送信すると判定してもよい。
生成部４１４は、送信判定部４１３がログ情報を送信すると判定した場合、複数のログ情報を監視システム５００に送信するための車両監視ログ情報を生成する。
出力部４１５は、生成部４１４が生成した車両監視ログ情報を監視システム５００に送信する。
また、監視システム５００は、送信判定モジュール４１０ａが搭載された車両のセキュリティ状態を監視する。監視システム５００は、送信判定モジュール４１０ａから送信された複数のログ情報に基づいて、車両のセキュリティ状態を分析する。
ここで、車両は、複数の車載機器（例えば、ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ：電子制御ユニット））を有しており、当該複数の車載機器により１つの車載ネットワークシステムが構築されている。そのため、車両へのサイバー攻撃（以降、単に攻撃とも記載する）は、各車載機器への攻撃、つまり複数の攻撃の組み合わせにより行われることが多い。このため、車両への攻撃内容、攻撃による影響等を正確に把握するためには、１つの車載機器への攻撃を分析するだけでは不十分であり、複数の攻撃（例えば、連続し行われる複数の攻撃）をまとめて分析することが求められる。つまり、監視システム５００は、複数のログ情報を用いて車両へのサイバー攻撃に対する分析処理を行うことが求められる。監視システム５００は、互いに関連のある複数の攻撃を１つの攻撃とみなし、車両へのサイバー攻撃に対する分析処理を行うことが求められるとも言える。１つの攻撃とみなされる複数の攻撃を一連の攻撃とも記載する。一連の攻撃は、同一の攻撃者による攻撃であってもよいし、同一の攻撃目的を達成するための攻撃であってもよいし、所定時間内に行われる攻撃であってもよいし、所定の領域（地図上の領域）で行われる攻撃であってもよい。
送信判定部４１３は、例えば、一連の攻撃に対する複数のログ情報が監視ログ保存部４１２に保存された場合、当該複数のログ情報を含む車両監視ログ情報を監視システム５００へ送信してもよい。これにより、監視システム５００では、一連の攻撃に対する複数のログ情報を一括して取得することができるので、送信判定モジュール４１０ａが搭載された車両へのサイバー攻撃に対する分析処理を効率的に行うことができる。
続いて、上記のような送信判定システム４００ａにおいて想定される動作について図１７を参照しながら説明する。図１７は、比較例に係る送信判定モジュール４１０ａの動作を示すフローチャートである。
図１７に示すように、取得部４１１は、各監視センサからログ情報を収集する（Ｓ５０１）。取得部４１１は、収集したログ情報を監視ログ保存部４１２に保存する。
次に、送信判定部４１３は、ステップＳ５０１で収集したログ情報を監視システム５００に送信必要か否かを判定する（Ｓ５０２）。送信判定部４１３は、例えば、車両への一連の攻撃に対するログ情報が監視ログ保存部４１２に保存されたか否かにより、ステップＳ５０２の判定を行う。
次に、生成部４１４は、送信判定部４１３が送信必要と判定すると（Ｓ５０２でＹｅｓ）、複数のログ情報に基づいて車両監視ログ情報を生成し（Ｓ５０３）、生成した車両監視ログ情報を監視システム５００に送信する（Ｓ５０４）。また、取得部４１１は、送信判定部４１３が送信必要ではないと判定すると（Ｓ５０２でＮｏ）、ログ情報の収集を継続する。
しかしながら、車両において、複数のログ情報を保存（記憶）するには、多大な記憶領域（メモリ容量）が必要となる。一方、監視ログ保存部４１２の記憶領域は、制約を受けることがある。つまり、監視ログ保存部４１２は、一連の攻撃に対する複数のログ情報を保存するための記憶領域を有していないことがある。
このような場合、一連の攻撃に対する複数のログ情報を分割して監視システム５００に送信することが想定される。監視システム５００は、複数回受信したログ情報のどれが一連の攻撃に対するログ情報であるかを判定し、一連の攻撃に対するログ情報であると判定された１以上のログ情報を用いて車両へのサイバー攻撃を分析することができる。
しかしながら、一連の攻撃に対するログ情報であるか否かの判定処理を監視システム５００が行うので、監視システム５００における処理負担が増加する。監視システム５００には複数の車両からログ情報が送信されてくるので、それぞれの車両に対しての判定処理を行う場合、その処理負担は大きなものとなり得る。このため、一連の攻撃に対する複数のログ情報が分割して監視システム５００に送信される場合、監視システム５００における処理負担が増加することが抑制されることが望まれる。
そこで、本願発明者らは、一連の攻撃に対する複数のログ情報が分割して監視システム５００に送信される場合であっても、監視システム５００における処理負担の増加を抑制する、つまり監視システム５００における処理負担を低減することができる情報送信装置等について鋭意検討を行い、以下に示す情報送信装置等を創案した。
本開示の一態様に係る情報送信装置は、１以上の機器及び各機器を監視する監視センサを有する物体に搭載される情報送信装置であって、前記１以上の機器のいずれかの機器において異常を検知したことを示す第１の検知情報を前記監視センサから取得する取得部と、前記監視センサから取得された前記１以上の機器のいずれかの機器において異常を検知したことを示す第２の検知情報であって、前記第１の検知情報に関連し、かつ、当該第１の検知情報よりも前に外部の装置に送信された第２の検知情報と、前記第１の検知情報との関連を示す関連情報、及び、前記第１の検知情報を含む監視情報を前記外部の装置に送信する送信部とを備える。
これにより、外部の装置（例えば、サーバ）は、監視情報を取得するだけで、第１の検知情報と既に受信している第２の検知情報との関連を示す情報を取得することができる。つまり、第１の検知情報と第２の検知情報とを処理する外部の装置において、第１の検知情報と第２の検知情報との関連を判定するための処理を行わなくてもよい。よって、情報送信装置は、外部の装置の処理負担を低減することができる。
また、例えば、前記関連情報は、前記第２の検知情報が存在することを示す情報、及び、前記第２の検知情報を特定するための情報であって当該第２の検知情報に含まれる情報の少なくとも一方を含んでいてもよい。
これにより、外部の装置における、第２の検知情報が存在するか否かの判定処理、及び、複数の検知情報の中から第２の検知情報を特定するための処理の少なくとも一方を省くことができる。
また、例えば、前記送信部は、所定の条件を満たす場合に前記第１の検知情報を送信し、前記監視情報には、さらに前記所定の条件を満たすことを示す情報が含まれてもよい。
これにより、外部の装置は、所定の条件を満たすことを示す情報、つまり第１の検知情報が送信されるに至った理由を取得することができる。つまり、外部の装置は、第１の検知情報に対して当該理由に応じた処理を実行可能である。よって、情報送信装置は、外部の装置における処理を効率的に行わせることができるので、外部の装置の処理負担をさらに低減することができる。
また、例えば、さらに前記第１の検知情報が保存される保存部を備え、前記所定の条件は、前記第１の検知情報が示す異常の影響度が所定の影響度以上であること、異常の原因となったサイバー攻撃が終了したと判定されること、前記第１の検知情報が示す異常が検知されてから所定時間が経過したこと、及び、前記保存部の空き容量が所定の容量以下であることの少なくとも１つを含んでいてもよい。
これにより、外部の装置は、第１の検知情報が示す異常の影響度が所定の影響度以上である場合、異常の原因となったサイバー攻撃が終了した場合、第１の検知情報が示す異常が検知されてから所定時間が経過した場合、及び、保存部の空き容量が所定の容量以下となった場合のいずれかに応じた処理を行うことができる。例えば、所定の条件が、第１の検知情報が示す異常の影響度が所定の影響度以上である場合、物体が脅威にさらされている可能性があるので、外部の装置は、第１の検知情報及び既に取得している第２の検知情報のみを用いて先行して分析等の処理を行うことができる。また、例えば、所定の条件が、保存部の空き容量が所定の容量以下である場合、第１の検知情報の後にさらに検知情報を取得する（サイバー攻撃が継続している）可能性があるので、外部の装置は、サイバー攻撃が終了するまで待機しサイバー攻撃の終了後に処理を行うことで、サイバー攻撃に対する複数の検知情報を一括して効率的に処理することができる。
また、例えば、前記所定の条件は、さらに前記第１の検知情報及び前記第２の検知情報が示す異常の影響度が前記所定の影響度以上であることを含んでいてもよい。
これにより、第１の検知情報及び第２の検知情報に基づいた物体としての異常の影響度に応じて第１の検知情報が送信される。例えば、物体が脅威にさらされている場合に第１の検知情報がすぐに送信されるので、外部の装置において、当該第１の検知情報に対する処理を迅速に行うことが可能となる。
また、例えば、さらに、前記第１の検知情報及び前記第２の検知情報の取得時刻、又は、前記第１の検知情報及び前記第２の検知情報が示す異常が検知された機器及び異常の種別の時系列パターンに基づいて、前記第２の検知情報が前記第１の検知情報に関連するか否かを判定する判定部を備えていてもよい。
これにより、情報送信装置は、検知情報を取得してから、当該検知情報に対応する監視情報を送信するまでの処理を、一括して行うことができる。
また、例えば、前記判定部は、前記第２の検知情報が取得されてから所定時間以内に前記第１の検知情報が取得された場合、又は、前記時系列パターンが予め設定された時系列パターンの少なくとも一部と一致する場合、前記第２の検知情報が前記第１の検知情報に関連すると判定してもよい。
これにより、情報送信装置は、第１の検知情報及び第２の検知情報の取得時刻の差分を算出する、又は、第１の検知情報及び第２の検知情報に基づく時系列パターンと、予め設定された時系列パターンとを比較するだけで、第１の検知情報と第２の検知情報との関連に関する情報を取得することができる。つまり、判定部における判定処理に対する処理負担を低減することができる。
また、例えば、前記判定部は、前記第１の検知情報よりも前に前記監視センサから取得され、かつ、当該第１の検知情報が取得された時点で送信されていない第３の検知情報と前記第１の検知情報とが関連するか否かを判定し、前記送信部は、前記判定部が前記第１の検知情報及び前記第２の検知情報と前記第３の検知情報とが関連すると判定した場合、前記第１の検知情報と前記第３の検知情報とをまとめて送信してもよい。
これにより、第１の検知情報と関連があり、かつ、未送信である第３の検知情報を、第１の検知情報とまとめて送信することができる。外部の装置では、第３の検知情報も用いて処理を行うことができるので、例えば外部の装置における分析精度の向上が期待できる。
また、例えば、前記物体は、車両であり、前記１以上の機器及び前記情報送信装置は、通信路を介して接続された車載ネットワークを構成してもよい。
これにより、車両の車載ネットワークに当該情報送信装置を用いることができる。
また、本開示の一態様に係るサーバは、上記に記載の情報送信装置から送信された前記第１の検知情報を受信する受信部と、前記第１の検知情報と、前記第１の検知情報に含まれる前記関連情報が示す前記第２の検知情報であって前記第１の検知情報よりも前に受信した前記第２の検知情報とに基づいて、前記物体へのサイバー攻撃に関する分析を行う制御部とを備える。
これにより、サーバは、監視情報を取得するだけで、第１の検知情報と既に受信している第２の検知情報との関連を示す情報を取得することができる。つまり、サーバは、第１の検知情報と第２の検知情報との関連を判定するための処理を行わなくてもよい。よって、サーバの処理負担が低減される。
また、本開示の一態様に係る情報送信方法は、１以上の機器及び各機器を監視する監視センサを有する物体における情報送信方法であって、前記１以上の機器のいずれかの機器において異常を検知したことを示す第１の検知情報を前記監視センサから取得し、前記監視センサから取得された前記１以上の機器のいずれかの機器において異常を検知したことを示す第２の検知情報であって、前記第１の検知情報に関連し、かつ、当該第１の検知情報よりも前に外部の装置に送信された第２の検知情報と、前記第１の検知情報との関連を示す関連情報、及び、前記第１の検知情報を含む監視情報を前記外部の装置に送信する。
これにより、上記情報送信装置と同様の効果を奏する。
なお、これらの全般的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータで読み取り可能なＣＤ－ＲＯＭ等の非一時的記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムまたは記録媒体の任意な組み合わせで実現されてもよい。プログラムは、記録媒体に予め記憶されていてもよいし、インターネット等を含む広域通信網を介して記録媒体に供給されてもよい。
以下、実施の形態について、図面を参照しながら具体的に説明する。
なお、以下で説明する実施の形態は、いずれも包括的または具体的な例を示すものである。以下の実施の形態で示される数値、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、独立請求項に記載されていない構成要素については、任意の構成要素として説明される。また、各図は、模式図であり、必ずしも厳密に図示されたものではない。また、各図において、同じ構成部材については同じ符号を付している。
また、本明細書において、一致、同じなどの要素間の関係性を示す用語、及び、数値は、厳格な意味のみを表す表現ではなく、実質的に同等な範囲、例えば数％程度の差異をも含むことを意味する表現である。
（実施の形態）
以下、本実施の形態に係る送信判定モジュールを備える車両監視システムについて、図面を参照しながら説明する。
［１．車両監視システムの構成］
まずは、本実施の形態に係る車両監視システム１の構成について、図１及び図２を参照しながら説明する。図１は、本実施の形態に係る車両監視システム１の機能構成を示すブロック図である。車両監視システム１は、車両１００からのログ情報に基づいて当該車両１００へのサイバー攻撃の分析処理を行う情報処理システムである。
図１に示すように、車両監視システム１は、車両１００と、通信ネットワーク２００と、監視システム３００とを備える。なお、図１では、１台の車両１００を図示しているが、車両監視システム１が備える車両１００の数は特に限定されず、２台以上であってもよい。
車両１００は、ゲートウェイ１１０と、１以上のＥＣＵ１２０、１２１、１３０、１３１、１４０、１４１及び１４２と、ＩＶＩ（Ｉｎ－Ｖｅｈｉｃｌｅ Ｉｎｆｏｔａｉｎｍｅｎｔ：車載インフォテイメント）１５０と、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｎｔｒｏｌ Ｕｎｉｔ：テレマティクス通信ユニット）１６０とを有する。以降において、１以上のＥＣＵ１２０、１２１、１３０、１３１、１４０、１４１及び１４２を区別なく記載する場合は、ＥＣＵ１２０等とも記載する。なお、ゲートウェイ１１０、ＥＣＵ１２０等、ＩＶＩ１５０及びＴＣＵ１６０は、機器（車載機器）の一例である。また、車両１００が備える機器の数は特に限定されず、１以上であればよい。
なお、１以上のＥＣＵ１２０等は、互いに車載ネットワークで接続されている。車載ネットワークには、多数の通信規格（通信プロトコル）が存在するが、その中でも最も主流な車載ネットワークの一つに、Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ（以降、ＣＡＮ（登録商標、以下同様））という通信規格が存在する。本実施の形態では、１以上のＥＣＵ１２０等はＣＡＮにより接続されているとするが、これに限定されず、ＣＡＮ－ＦＤ（ＣＡＮ ｗｉｔｈ Ｆｌｅｘｉｂｌｅ Ｄａｔａ Ｒａｔｅ）、ＦｌｅｘＲａｙ（登録商標）、Ｅｔｈｅｒｎｅｔ（登録商標）などにより接続されていてもよい。また、バスごとに通信規格が異なっていてもよい。
ゲートウェイ１１０は、ＥＣＵ１２０等、ＩＶＩ１５０及びＴＣＵ１６０との間でログ情報などのデータを交換する。本実施の形態では、ゲートウェイ１１０は、各ＥＣＵ１２０等、ＩＶＩ１５０及びＴＣＵ１６０からのログ情報を集約する集約装置として機能する。また、ゲートウェイ１１０は、受信したデータを他のバスへ転送する処理を行ってもよい。
ゲートウェイ１１０は、バスを介して車両１００が有する各構成要素と接続される。ゲートウェイ１１０は、例えば、バス（第１のバス）を介してＥＣＵ１２０及び１２１と接続され、バス（第２のバス）を介してＥＣＵ１３０及び１３１と接続され、バス（第３のバス）を介してＥＣＵ１４０と接続される。また、ゲートウェイ１１０は、バス（第４のバス）を介してＩＶＩ１５０と接続され、バス（第５のバス）を介してＴＣＵ１６０と接続される。また、ゲートウェイ１１０は、ＥＣＵ１４０を介してＥＣＵ１４１及び１４２と接続される。ＥＣＵ１４１及び１４２とＥＣＵ１４０とはそれぞれ、バス（第６のバス及び第７のバス）を介して接続される。ゲートウェイ１１０、ＥＣＵ１２０等、ＩＶＩ１５０及びＴＣＵ１６０は、バス（通信路）を介して構成された車載ネットワークに接続されて、相互にデータの送受信を行う。
ゲートウェイ１１０は、送信判定モジュール１１０ａと監視センサ１１０ｂとを有する。
送信判定モジュール１１０ａは、車両１００の各構成要素（例えば、各車載機器）から取得したログ情報を監視システム３００に送信するための処理を行う処理部である。送信判定モジュール１１０ａの詳細は後述するが、いずれかの車載機器において異常が検知された場合、異常が検知されたことを示す車両監視ログ情報を生成し、生成した車両監視ログ情報を監視システム３００に向けて送信する。なお、送信判定モジュール１１０ａは、情報送信装置の一例である。
監視センサ１１０ｂは、ゲートウェイ１１０を監視するセンサである。監視センサ１１０ｂは、ゲートウェイ１１０における異常を検知する。
ＥＣＵ１２０等は、コンピュータの一種であり、コンピュータプログラムによって所望の機能を実現する。ＥＣＵ１２０等は、車両１００が有する車載コンピュータである。ＥＣＵ１２０等には、例えば、エンジン制御機能を有するＥＣＵ、ハンドル制御機能を有するＥＣＵ、ブレーキ制御機能を有するＥＣＵなどが含まれる。
ＥＣＵ１２０等はそれぞれ、例えば、当該ＥＣＵを監視する監視センサを有する。ＥＣＵ１２０は監視センサ１２０ａを有し、ＥＣＵ１２１は監視センサ１２１ａを有し、ＥＣＵ１３０は監視センサ１３０ａを有し、ＥＣＵ１４０は監視センサ１４０ａを有する。
ＩＶＩ１５０は、車両１００に乗車するユーザに情報、娯楽等を提供する機能を有する。ＩＶＩ１５０は、ナビゲーション機能、位置情報サービス機能、音楽又は動画などのマルチメディア再生機能、音声通信機能、データ通信機能、インターネット接続機能などを有していてもよい。また、ＩＶＩ１５０は、ユーザからの入力を受け付けるキーボード、マウス等の入力デバイスと、データ表示を行うための液晶表示装置等の表示デバイスとを有していてもよい。また、ＩＶＩ１５０は、データ入力とデータ表示の両方が可能なタッチパネル機能付きの表示デバイスであってもよい。
ＩＶＩ１５０は、例えば、ゲートウェイ１１０を介してＥＣＵ１２０等と通信を行う。また、ＩＶＩ１５０は、例えば、ゲートウェイ１１０及びＴＣＵ１６０を介して車両１００の外部の装置と通信を行う。なお、ＩＶＩ１５０は、バスを介してＴＣＵ１６０と直接接続されていてもよい。
ＩＶＩ１５０は、当該ＩＶＩ１５０を監視する監視センサ１５０ａを有する。監視センサ１５０ａは、ＩＶＩ１５０の異常を検知する機能を有する。
ＴＣＵ１６０は、通信装置であり、車両１００の外部の装置との無線通信を実行することによって、外部の装置と通信する。本実施の形態では、ＴＣＵ１６０は、通信ネットワーク２００を利用して、監視システム３００と通信する。
ＴＣＵ１６０は、当該ＴＣＵ１６０を監視する監視センサ１６０ａを有する。監視センサ１６０ａは、ＴＣＵ１６０の異常を検知する機能を有する。
監視センサ１２０ａ等は、対象となる車載機器を監視する。監視センサ１２０ａ等は、車載機器への制御信号に車両１００に異常な動作を起こさせる信号が含まれる場合、異常を検知してもよいし、車載機器が制御する制御対象を計測し（例えば、速度、加速度、舵角などを計測し）、計測結果に基づいて異常を検知してもよい。監視センサ１２０ａ等は、異常を検知すると異常を検知したことを含むログ情報を送信判定モジュール１１０ａに出力する。監視センサ１２０ａ等が送信判定モジュール１１０ａに出力するログ情報は、検知情報（例えば、第１の検知情報、第２の検知情報）の一例である。
監視センサ１２０ａ等は、振動、歪み、音、温度、湿度、加速度、角速度、舵角等の１以上の項目を測定可能なセンサ、又は、画像解析用のカメラを含んで構成されてもよい。また、監視センサ１２０ａ等は、接続されたバスの通信データを監視する監視センサであってもよい。また、監視センサ１２０ａ等は、車載機器への制御信号を分析可能な処理部を含んで構成されてもよい。なお、車両１００が備える監視センサ１２０ａ等の数は特に限定されず、１以上であればよい。また、１つの監視センサ１２０ａ等が複数の車載機器を監視してもよい。
通信ネットワーク２００は、車両１００と監視システム３００とが通信するためのネットワークであり、例えば、インターネット等の広域ネットワークであってもよく、ローカルエリアネットワーク（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ：ＬＡＮ）であってもよい。また、通信ネットワーク２００は、有線ネットワーク若しくは無線ネットワークであってもよく、又は、有線ネットワークと無線ネットワークとの組合せであってもよい。本実施の形態では、通信ネットワーク２００は、無線ネットワークである。
監視システム３００は、車両１００とは異なる遠隔地に設けられる車両１００の監視のためのシステムであり、例えば、車両１００の監視のための監視センター内に配置される。監視システム３００は、受信した車両監視ログ情報に基づいて、車両１００を監視する。具体的には、監視システム３００は、受信した車両監視ログ情報に基づいて、車両１００のサイバー攻撃に対する分析処理を行う。
監視センターは、監視システム３００を用いてログ情報を監視する組織であるＳＯＣ（Ｓｅｃｕｒｉｔｙ Ｏｐｅｒａｔｉｏｎ Ｃｅｎｔｅｒ）が管理するセンターであってもよい。監視システム３００は、車両監視ログ受信部３１０と、制御部３２０と、表示部３３０と、操作部３４０とを有する。
車両監視ログ受信部３１０は、車両１００と通信するための通信インターフェースである。車両監視ログ受信部３１０は、通信ネットワーク２００を介して車両１００から車両監視ログ情報を受信する。車両監視ログ受信部３１０は、例えば、一連の攻撃に対する複数のログ情報を複数回に分けて受信する。車両監視ログ受信部３１０は、例えば、アンテナと、無線通信回路とにより実現されるが、これに限定されない。車両監視ログ受信部３１０は、受信部の一例である。
制御部３２０は、監視システム３００が有する各構成要素を制御する処理部である。制御部３２０は、例えば、車両監視ログ受信部３１０が受信した車両監視ログ情報を保存部（図示しない）に保存する。また、制御部３２０は、車両監視ログ情報に含まれるログ情報を分析することにより車両１００へのサイバー攻撃を分析する。制御部３２０は、例えば、車両１００から一連の攻撃に対する複数のログ情報が複数回に分割して送信された場合、複数のログ情報をまとめて分析することにより車両１００へのサイバー攻撃を分析する。制御部３２０は、複数の車両監視ログ情報を受信した場合、当該複数の車両監視ログ情報のそれぞれに含まれるログ情報のうち、関連する１以上のログ情報を抽出して分析することにより車両１００へのサイバー攻撃を分析するとも言える。また、制御部３２０は、例えば、現時点で取得した車両監視ログ情報に含まれるログ情報（対象ログ情報）と、当該車両監視ログ情報に含まれる関連情報が示すログ情報（先行ログ情報）であって、対象ログ情報よりも前に受信した先行ログ情報とに基づいて、車両１００へのサイバー攻撃に関する分析を行うとも言える。関連情報は、対象ログ情報と先行ログ情報との関連性を示す情報である。
なお、制御部３２０は、車両監視ログ受信部３１０が受信した車両監視ログ情報に関連する車両監視ログ情報を既に受信しているか否かの判定は行わない。また、以降において、車両監視ログ情報に含まれるログ情報を分析することを、単にログ情報を分析するとも記載する。
監視システム３００における車両監視ログ受信部３１０及び制御部３２０によりサーバ装置が実現されてもよい。
なお、保存部は、制御部３２０が実行する制御プログラム等を保存してもよい。
表示部３３０は、車両１００へのサイバー攻撃の分析結果を、車両１００を監視する監視者に表示する。表示部３３０は、例えば、液晶ディスプレイ又は有機ＥＬ（Ｅｌｅｃｔｒｏ Ｌｕｍｉｎｅｓｃｅｎｃｅ）ディスプレイ等のモニタ装置である。なお、監視者は、走行する車両１００を直接的に監視できない遠隔地から当該車両１００を監視する。直接的に監視できないとは、例えば、車両１００を肉眼で視認することができないことを意味している。つまり、監視者は、車両１００の周囲とは異なる位置から当該車両１００を遠隔監視する。また、車両１００が自動運転車両である場合、監視者は、当該車両１００を遠隔操作してもよい。
操作部３４０は、監視者からの操作を受け付ける。操作部３４０は、キーボード、マウス、押しボタン、タッチパネルなどにより実現される。また、操作部３４０は、監視者の音声、ジェスチャなどにより操作を受け付ける構成であってもよい。
ここで、送信判定モジュール１１０ａの構成について、図２を参照しながら説明する。図２は、本実施の形態に係る送信判定モジュール１１０ａの機能構成を示すブロック図である。
図２に示すように、送信判定モジュール１１０ａは、取得部１１１と、監視ログ保存部１１２と、送信判定部１１３と、送信状態保存部１１４と、関連づけ判定部１１５と、生成部１１６と、出力部１１７とを有する。
取得部１１１は、ＥＣＵ１２０等、ＩＶＩ１５０、ＴＣＵ１６０等の車載機器からログ情報を取得する。具体的には、取得部１１１は、各車載機器がそれぞれ有する監視センサからログ情報を取得する。取得部１１１は、取得したログ情報を監視ログ保存部１１２に保存する。
監視ログ保存部１１２は、取得部１１１が取得したログ情報及び監視センサ１１０ｂから取得したログ情報を保存する。監視ログ保存部１１２は、上記でも説明したように、記憶領域の制約（メモリ容量の制約）により、一連の攻撃に対する複数のログ情報の全てを保存するだけの十分な記憶領域を有していないことがある。監視ログ保存部１１２は、保存部の一例である。
送信判定部１１３は、監視ログ保存部１１２に保存されたログ情報を監視システム３００に送信するか否かを判定する。本実施の形態では、送信判定部１１３は、一連の攻撃に対する複数のログ情報を分割して送信するか否かを判定する。
送信状態保存部１１４は、ログ情報に対する、送信判定部１１３による判定結果、出力部１１７による送信結果等の送信状態情報を保存する。送信状態情報の詳細は図１３及び図１４を参照しながら後述するが、監視センサ、異常の種別（アラートの種別）、送信に関するフラグ、送信に関する識別子（ＩＤ）などが対応付けられた情報である。送信状態情報は、例えば、送信判定部１１３が送信必要か否かの判定を行う、又は、出力部１１７が車両監視ログ情報を送信するごとに更新されるが、これに限定されない。
関連づけ判定部１１５は、送信判定部１１３が送信すると判定したログ情報（対象ログ情報）と、当該対象ログ情報よりも前に検知された異常を示すログ情報であって、既に送信済みのログ情報の履歴とに基づいて、対象ログ情報と関連する送信済みのログ情報（先行ログ情報）があるか否かを判定する。関連づけ判定部１１５は、例えば、対象ログ情報と送信状態情報とに基づいて、当該対象ログ情報に関連する先行ログ情報があるか否かを判定する。関連づけ判定部１１５は、対象ログ情報と関連する先行ログ情報がある場合、２つのログ情報を関連づける。先行ログ情報は、送信判定部１１３により送信すると判定されたログ情報である。なお、先行ログ情報は、第２の検知情報の一例である。
また、関連づけ判定部１１５は、対象ログ情報と、当該対象ログ情報よりも前に検知された異常を示すログ情報であって送信判定部１１３により送信が必要ではないと判定されたログ情報（未送信ログ情報）の履歴とに基づいて、対象ログ情報と関連する未送信ログ情報があるか否かを判定してもよい。
関連づけ判定部１１５は、少なくとも先行ログ情報があるか否かを判定すればよい。関連づけ判定部１１５は、判定部の一例である。
生成部１１６は、送信判定部１１３が送信すると判定したログ情報（対象ログ情報）と、当該ログ情報に対して関連づけ判定部１１５が判定した判定結果とに基づいて、監視システム３００へ送信するための車両監視ログ情報を生成する。生成部１１６は、例えば、対象ログ情報と関連がある送信済みログ情報が存在する場合、対象ログ情報と、当該対象ログ情報及び送信済み情報の関連性を示す情報（関連情報）とを含む車両監視ログ情報を生成する。
出力部１１７は、生成部１１６が生成した車両監視ログ情報を監視システム３００に送信する。出力部１１７は、送信部の一例である。
取得部１１１、送信判定部１１３、関連づけ判定部１１５、生成部１１６及び出力部１１７等の処理部は、例えば、保存部（図示しない）に保存される制御プログラム及び当該制御プログラムを実行するプロセッサにより実現される。
監視ログ保存部１１２、送信状態保存部１１４及び保存部は、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等により実現される。
上記のように、送信判定モジュール１１０ａは、１以上の車載機器（機器の一例）及び各機器を監視する監視センサ（例えば、１以上の監視センサ１２０ａ等）を有する車両１００に搭載される装置であって、１以上の車載機器のいずれかの車載機器において異常を検知したことを示す第１のログ情報（第１の検知情報の一例）を監視センサから取得する取得部１１１と、監視センサから取得された１以上の車載機器のいずれかの車載機器において異常を検知したことを示す第２のログ情報（第２の検知情報の一例）であって、第１のログ情報に関連し、かつ、当該第１のログ情報よりも前に監視システム３００（外部の装置の一例）に送信された第２のログ情報と、第１のログ情報との関連を示す関連情報、及び、第１のログ情報を含む車載監視ログ情報（監視情報の一例）を監視システム３００に送信する出力部１１７（送信部の一例）とを備える。
なお、第１のログ情報及び第２のログ情報は、同一の車載機器において異常が検知された場合のログ情報であってもよいし、互いに異なる車載機器において異常が検知された場合のログ情報であってもよい。また、例えば、第１のログ情報及び第２のログ情報は、同一の外部の装置に送信される。
［２．車両監視システムの動作］
続いて、上記の車両監視システム１の動作について、図３～図１５を参照しながら説明する。
［２－１．送信判定モジュールの動作］
まずは、送信判定モジュール１１０ａの基本動作について図３を参照しながら説明する。図３は、本実施の形態に係る送信判定モジュール１１０ａの基本動作を示すフローチャートである。
図３に示すように、取得部１１１は、ＥＣＵ１２０等の車載機器が有する監視センサ１２０ａ等からログ情報を収集する（Ｓ１０１）。言い換えると、監視センサ１２０ａ等は、異常を検知すると、異常を検知したことを示すログ情報を、送信判定モジュール１１０ａに出力する。取得部１１１は、取得したログ情報を、監視ログ保存部１１２に保存する。
次に、送信判定部１１３は、取得したログ情報を監視システム３００に送信する必要があるか否かを判定する（Ｓ１０２）。送信判定部１１３は、例えば、ログ情報が示す異常に対する車両１００への影響度が高い場合、ログ情報を送信必要であると判定する。影響度が高いとは、例えば、車両１００の安全性に対する影響度が所定の影響度以上であること、つまり危険度が所定以上であることを示す。送信判定部１１３は、ログ情報が示す異常の種別（エラーの種別）と、異常の種別及び影響度が対応付けられたテーブルとに基づいて、当該ログ情報に対する影響度を取得するが、影響度の取得方法はこれに限定されない。
また、送信判定部１１３は、ログ情報及び当該ログ情報より過去に取得されたログ情報と、異常の検知箇所及び異常の種別の少なくとも１つの組み合わせを示す異常パターンとのパターンマッチングにおける一致度により送信するか否かを判定してもよい。異常パターンは、例えば、複数の攻撃が一連の攻撃であるか否かを判定するための、異常の検知箇所及び異常の種別の少なくとも１つの時系列パターンである。異常の検知箇所は、異常が検知された車載機器を示す。例えば、異常パターンは、複数の車載機器において異常が検知された場合、異常が検知された車載機器の順番、及び、異常が検知された車載機器それぞれの異常の種別を含む。
なお、異常パターンは、予め設定されており、保存部に保存されている。異常パターンは、過去に一連の攻撃を受けたときの異常の検知箇所及び異常の種別の時系列データに基づいて決定されてもよいし、攻撃を受ける際に想定される異常の検知箇所及び異常の種別の時系列データの予想に基づいて決定されてもよい。
送信判定部１１３は、例えば一致度が所定以上である場合、ログ情報を送信すると判定し、一致度が所定未満である場合、関連するログ情報がない又は少ないので、ログ情報を送信しないと判定してもよい。これにより、一連の攻撃が行われている可能性が高い場合に、ログ情報を監視システム３００に優先して送信することができる。
なお、送信判定部１１３は、例えば一致度が所定以上である場合、ログ情報を送信しないと判定し、一致度が所定未満である場合、ログ情報を送信すると判定してもよい。また、送信判定部１１３は、監視ログ保存部１１２の空き容量が所定以下となった場合、ログ情報を送信すると判定してもよい。
これにより、一連の攻撃に対する複数のログ情報の少なくとも一部をまとめて送信することができるので、通信量の削減につながる。さらに、監視システム３００は、一連の攻撃に対する複数のログ情報のうちの少なくとも一部のログ情報をまとめて受信するので、当該少なくとも一部のログ情報に対する処理を一括して行うことができる。
また、送信判定部１１３は、例えば、一連の攻撃が終了した場合、つまり異常の原因となったサイバー攻撃が終了した場合（例えば、サイバー攻撃が終了したと判定した場合）、ログ情報を送信必要であると判定してもよい。送信判定部１１３は、ログ情報及び当該ログ情報より過去に取得されたログ情報と、異常パターンとに基づいて、サイバー攻撃が終了したか否かを判定してもよい。送信判定部１１３は、例えば、ログ情報が示す異常が予め設定された異常パターンにおいて最後に発生する異常と一致する場合、ログ情報を送信必要であると判定してもよい。なお、一連の攻撃が終了したか否かの判定は、異常パターンを用いることに限定されず、他の方法により行われてもよい。送信判定部１１３は、例えば、ログ情報を取得してから所定期間経過すると一連の攻撃が終了したと判定してもよい。
また、送信判定部１１３は、例えば、ログ情報を取得してから所定時間経過した場合（タイムアウトした場合）、ログ情報を送信必要であると判定してもよい。所定時間は、共通の値であってもよいし、異常の種別ごとに互いに異なる値であってもよい。
また、送信判定部１１３は、例えば、監視ログ保存部１１２の空き容量が所定の容量以下となった場合（例えば、監視ログ保存部１１２がメモリフルとなった場合）、ログ情報を送信必要であると判定してもよい。
ログ情報が示す異常の影響度が所定の影響度以上であること、異常の原因となったサイバー攻撃が終了したこと、ログ情報が示す異常が検知されてから所定時間が経過したこと、及び、監視ログ保存部１１２の空き容量が所定の容量以下となったことの少なくとも１つは、ログ情報を送信するか否かを判定するための所定の条件の一例である。
送信判定部１１３は、ログ情報が送信必要である場合(Ｓ１０２でＹｅｓ)、送信状態保存部１１４に当該ログ情報の送信状態を保存する（Ｓ１０３）。送信判定部１１３は、例えば、当該ログ情報と、送信必要であることを示す情報（例えば、送信フラグを「１」）とを対応づけて、送信状態保存部１１４に保存する。また、送信判定部１１３は、ログ情報が送信必要ではない場合(Ｓ１０２でＮｏ)、ステップＳ１０１に戻り処理を継続する。
なお、送信判定部１１３は、ステップＳ１０２でＮｏと判定した場合、当該ログ情報と、当該ログ情報を送信する必要がないことを示す情報（例えば、送信フラグ「０」）とを対応づけて、送信状態保存部１１４に保存してもよい。
次に、関連づけ判定部１１５は、送信必要と判定されたログ情報（対象ログ情報）に先行ログ情報があるか否かを判定する(Ｓ１０４)。先行ログ情報は、対象ログ情報より前に取得されたログ情報であって、対象ログ情報と関連するログ情報であり、かつ、既に監視システム３００に送信されたログ情報（送信済みのログ情報）である。関連するとは、先行ログ情報と対象ログ情報とが一連の攻撃に対して検知された一連のログ情報であることを意味する。
関連づけ判定部１１５は、例えば、対象ログ情報及び送信済みのログ情報の取得時刻、又は、対象ログ情報及び送信済みのログ情報が示す異常が検知された機器及び異常の種別の時系列パターンの一致度に基づいて、送信済みのログ情報が対象ログ情報に関連するか否かを判定する。関連づけ判定部１１５は、送信済みのログ情報が取得されてから所定時間以内に対象ログ情報が取得された場合、又は、対象ログ情報及び送信済みのログ情報が示す異常が検知された機器及び異常の種別の時系列の異常パターンが予め設定された異常パターンの少なくとも一部と一致する場合、送信済みのログ情報が対象ログ情報に関連すると判定する。つまり、関連づけ判定部１１５は、対象ログ情報に対する先行ログ情報があると判定する。
関連づけ判定部１１５は、先行ログ情報がある場合（Ｓ１０４でＹｅｓ）、対象ログ情報に関連づけ情報を設定する（Ｓ１０５）。関連づけ判定部１１５は、送信状態保存部１１４に保存されている送信状態情報に、対象ログ情報に関係するログ情報として先行ログ情報に関する情報を追加する。先行ログ情報に関する情報は、監視システム３００が受信した複数のログ情報の中から対象ログ情報に関連するログ情報（先行ログ情報）を特定可能な情報であればよい。先行ログ情報に関する情報は、例えば、先行ログ情報を送信したときのログ送信ＩＤであるが、先行ログ情報の送信時刻又は異常の検知時刻であってもよい。また、関連づけ判定部１１５は、先行ログ情報が存在することを示すフラグ情報と共に、先行ログ情報を送信したときのログ送信ＩＤを、対象ログ情報を送信するときのログ送信ＩＤとして使用する、あるいは同一の一連の攻撃に関連するログであることを示す共通の攻撃判定ＩＤを追加することで、先行ログ情報の存在と対象ログ情報との関連を特定可能としてもよい。
次に、生成部１１６は、送信必要と判定されたログ情報を含む車両監視ログ情報を生成する（Ｓ１０６）。ステップＳ１０４でＹｅｓの場合、車両監視ログ情報には、関連づけ情報（関連情報）が含まれる。
次に、出力部１１７は、生成部１１６が生成した車両監視ログ情報を監視システム３００に向けて送信する（Ｓ１０７）。なお、ステップＳ１０２でＮｏである場合、車両監視ログ情報は送信されない。つまり、出力部１１７は、所定の条件を満たす場合に対象ログ情報を含む車両監視ログ情報を監視システム３００に送信する。
なお、ステップＳ１０４の判定処理は、先行ログ情報と対象ログ情報とが一連の攻撃に対して検知された一連のログ情報であるかどうかを判定するとしたが、先行ログ情報の存在を判定するのみであり、先行ログ情報と対象ログ情報とが一連の攻撃に対して検知されたものであるか否かは判定しなくてもよい。この場合、先行ログ情報が存在するなら、対象ログ情報は前記先行ログ情報と関連があるものとされる。また、ステップＳ１０４の判定処理は、送信判定モジュール１１０ａ以外の他の装置により行われ、送信判定モジュール１１０ａは他の装置の判定結果を取得してもよい。なお、例えば、当該他の装置に、監視システム３００は含まれない。また、ステップＳ１０２、および／またはステップＳ１０４における、対象ログ情報とそれ以前に受信したログ情報が一連の攻撃に対して検知された一連のログ情報であるか否かの判定は、送信判定モジュール１１０ａ以外の他の装置により行われ、送信判定モジュール１１０ａは他の装置の判定結果を取得してもよい。
続いて、２つの監視センサにおいて連続して異常が検知された場合の動作について、図４～図１１を参照しながら説明する。図４は、監視センサによる異常検知の一例を示す図である。アラートＡ及びＢは、ログ情報の一例である。
図４では、監視センサＡ及びＢの２台の監視センサにおいて、連続して異常が検知された例を示している。具体的には、時刻ｔ１において監視センサＡにより異常（アラートＡ）が検知され、時刻ｔ１より後の時刻ｔ２において監視センサＢにより異常（アラートＢ）が検知された例を示している。なお、図４では、監視センサＡ及びＢは互いに異なる監視センサである例を示しているが、同一の監視センサであってもよい。なお、監視センサＡに対するアラートＡ、及び、監視センサＢに対するアラートＢは、一連の攻撃によるものとする。
時刻ｔ１では、監視センサＡ及びＢのうち、監視センサＡのみにおいて異常が検知されたとする。この場合、送信判定モジュール１１０ａの取得部１１１は、監視センサＡからアラートＡを含むログ情報を取得する。そして、ステップＳ１０２において、送信必要と判定されると、生成部１１６は、図５に示す車両監視ログ情報を生成する。図５は、時刻ｔ１におけるアラートＡに基づいて生成される車両監視ログ情報の概要を示す図である。
図５に示すように、アラートＡに対応する車両監視ログ情報（ログＡ送信内容）には、ログ送信ＩＤ、アラート種別、先行ログ有無、先行ログ送信ＩＤ、影響度高、攻撃終了、タイムアウト及びメモリフルに関する情報が含まれる。車両監視ログ情報には、アラートＡが検知された時刻に関する項目が含まれていてもよい。
ログ送信ＩＤは、アラートＡを含むログ情報を送信する際に付される識別情報である。
アラート種別は、監視センサＡで検知された異常の種別を示す。図５では、アラートＡに対応する異常が監視センサＡで検知された例を示している。
先行ログ有無は、アラートＡに対応するログ情報に関連する先行ログ情報があるか否かを示す。図５の例では、先行ログ情報がないことを示している。
先行ログ送信ＩＤは、先行ログ情報がある場合、当該先行ログ情報を送信する際に付されたログ送信ＩＤが設定される。先行ログ送信ＩＤは、先行ログ情報を特定するための情報であって、先行ログ情報に含まれる情報である。図５の例では、先行ログ情報がないので、先行ログ送信ＩＤは設定されない。
影響度高は影響度が高いか否かを示す情報である。図５の例では、影響度が高いことを示している。
攻撃終了は、アラートＡが示す異常により一連の攻撃が終了したか否かを示す。図５の例では、攻撃が継続していることを示す。
タイムアウトは、アラートＡが検知されてからの経過時間が所定時間を経過したか否かを示す。図５の例では、タイムアウトしていないことを示している。
メモリフルは、監視ログ保存部１１２の空き容量が所定の容量以下であるか否かを示す。図５の例は、メモリフルではないことを示している。
なお、影響度、攻撃終了、タイムアウト及びメモリフルの項目は、アラートＡを送信必要と判定した理由を示す情報であるとも言える。図５では、アラートＡの影響度が高いので、送信判定部によりアラートＡを単独で送信すると判定された例を示している。つまり、アラートＡの危険度が高く緊急性が高いので、当該両監視ログ情報が送信されたことを示している。このように、車両監視ログ情報には、対象ログ情報が送信必要と判定された理由を示す情報が含まれる。車両監視ログ情報には、送信必要と判定されるための所定の条件を満たすことを示す情報が含まれるとも言える。
次に、時刻ｔ２におけるアラートＢに基づいて生成される車両監視ログ情報（ログＢ送信内容）について、図６を参照しながら説明する。図６は、時刻ｔ２におけるアラートＢに基づいて生成される車両監視ログ情報の概要を示す図である。なお、車両監視ログ情報の項目は、図５と同様である。
図６に示すように、ログ送信ＩＤには、時刻ｔ１に送信した車両監視ログ情報のログ送信ＩＤとは別のＩＤが設定される。つまり、ログ送信ＩＤにより、アラートＡ又はＢを特定可能である。なお、設定されるログ送信ＩＤは特に限定されない。
先行ログ情報が存在する場合、先行ログ有無には、先行ログ情報が存在することを示す「１」が設定され、先行ログ送信ＩＤには既に送信済みであるアラートＡに対応する車両監視ログ情報のログ送信ＩＤが設定される。
これにより、監視システム３００は、例えば、アラートＢに対応する車両監視ログ情報の先行ログ送信ＩＤの情報を確認するだけで、既に受信済みであるアラートＡに対応する車両監視ログ情報と関連があることがわかる。
なお、先行ログ送信ＩＤにアラートＡの送信ＩＤが設定されている場合、アラート種別にアラートＡは含まれない。
なお、先行ログ有無及び先行ログ送信ＩＤは、２つのログ情報の関連性を示す関連情報の一例である。先行ログ有無及び先行ログ送信ＩＤは、２つのログ情報の相関を示す情報であるとも言える。また、車両監視ログ情報には、先行ログ有無及び先行ログ送信ＩＤの少なくとも１つが含まれていればよい。つまり、関連情報は、先行ログ情報が存在することを示す情報、及び、先行ログ情報を特定するための情報であって当該先行ログ情報に含まれる情報の少なくとも一方を含んでいればよい。車両監視ログ情報に先行ログ有無が含まれることで、監視システム３００による先行ログ情報があるか否かの判定処理を省くことができる。また、車両監視ログ情報に先行ログ送信ＩＤが含まれることで、監視システム３００による先行ログ情報を抽出する処理を省くことができる。監視システム３００の処理負担をより低減する観点から、車両監視ログ情報には先行ログ送信ＩＤが含まれているとよい。なお、先行ログ有無を示す情報と、同一の一連の攻撃に関連するログであることを示す共通の攻撃判定ＩＤとを車両監視ログ情報に追加することにより、監視システム３００による処理負担を低減してもよい。関連づけ判定部１１５は、例えば、ステップＳ１０５において、一連の攻撃と判定されたログ情報に同一の攻撃判定ＩＤ（共通の攻撃判定ＩＤ）を、関連づけ情報として設定してもよい。この場合、監視システム３００は、攻撃判定ＩＤが一致するか否かを判定するだけで、既に取得したログ情報の中から対象ログ情報と関連するログ情報を抽出することができる。
なお、車両監視ログ情報には、影響度、攻撃終了、タイムアウト及びメモリフルに関する情報は含まれなくてもよい。
図７は、図４に示す異常が検知されたときに送信判定モジュール１１０ａが行う一連の動作の一例を示すフローチャートである。なお、時刻ｔ１以前にアラートＡと関連するアラートは検知されていないものとする。つまり、アラートＡは、一連の攻撃において最初に検知された異常に対するアラートであるとする。
取得部１１１は、時刻ｔ１に検知された異常を示すアラートＡを取得する（Ｓ２０１）。ステップＳ２０１は、図３に示すステップＳ１０１に相当する。
次に、送信判定部１１３は、アラートＡが送信必要か否かを判定する（Ｓ２０２）。
次に、出力部１１７は、アラートＡが送信必要である場合（Ｓ２０２でＹｅｓ）、生成部１１６が生成したアラートＡを含む車両監視ログ情報を監視システム３００に向けて送信する。つまり、出力部１１７は、アラートＡを送信する（Ｓ２０３）。また、出力部１１７は、アラートＡが送信必要ではない場合（Ｓ２０２でＮｏ）、アラートＡを含む車両監視ログ情報の送信を行わない。ステップＳ２０２は、図３に示すＳ１０２に相当し、ステップＳ２０３は図３に示すＳ１０７に相当する。
図８は、図７に示すステップＳ２０３で送信される車両監視ログ情報の概要を示す図である。なお、図８～図１１では、車両監視ログ情報に含まれる各項目のうち一部の項目を抜粋して示している。
図８に示すように、ステップＳ２０３で送信される車両監視ログ情報には、ログ送信ＩＤが「ＸＸＸＸＡ」であり、アラート種別が「アラートＡ」であり、先行ログ有無が「なし」であることが含まれる。
図７を再び参照して、次に、取得部１１１は、時刻ｔ２に検知された異常を示すアラートＢを取得する（Ｓ２０４）。ステップＳ２０４は、図３に示すステップＳ１０１に相当する。
次に、送信判定部１１３は、アラートＡ及びＢが一連の攻撃によるものであるか否かを判定する（Ｓ２０５）。ステップＳ２０５の判定は、アラートＡ及びＢが関連しているか否かを判定することに相当する。送信判定部１１３は、アラートＡ及びＢが一連の攻撃によるものである場合（Ｓ２０５でＹｅｓ）、アラートＡ及びＢが送信必要か否かを判定する（Ｓ２０６）。送信判定部１１３は、アラートＡ及びＢを１つのアラートとした場合の影響度に基づいてステップＳ２０６の判定を行ってもよい。当該影響度は、例えば、アラートＡの後にアラートＢが起こった場合の影響度であってもよいし、アラートＡの影響度及びアラートＢの影響度に所定の演算（例えば、重み付け加算）を行うことで算出された影響度であってもよい。
次に、送信判定部１１３は、アラートＡ及びＢが送信必要である場合（Ｓ２０６でＹｅｓ）、さらにアラートＡが送信済みであるか否かを判定する（Ｓ２０７）。送信判定部１１３は、例えば、送信状態保存部１１４に保存されている送信状態情報（例えば、図１３に示す送信済みフラグ）に基づいて、アラートＡが送信済みであるか否かを判定する。
次に、出力部１１７は、アラートＡが送信済みである場合（Ｓ２０７でＹｅｓ）、生成部１１６が生成したアラートＢを含む車両監視ログ情報を監視システム３００に向けて送信する。つまり、出力部１１７は、アラートＢを送信する（Ｓ２０８）。
図９は、図７に示すステップＳ２０８で送信される車両監視ログ情報の概要を示す図である。
図９に示すように、ステップＳ２０８で送信される車両監視ログ情報には、ログ送信ＩＤが「ＸＸＸＸＢ」であり、アラート種別が「アラートＢ」であり、先行ログ有無が「あり」であり、先行ログ送信ＩＤが「ＸＸＸＸＡ」であることが含まれる。つまり、アラートＢの先行ログ情報は、ステップＳ２０３で送信されたアラートＡであることを示す情報が含まれる。
図７を再び参照して、出力部１１７は、アラートＡが未送信である場合（Ｓ２０７でＮｏ）、生成部１１６が生成したアラートＡ及びＢを含む車両監視ログ情報を監視システム３００に向けて送信する。つまり、出力部１１７は、アラートＡ及びＢを送信する（Ｓ２０９）。
図１０は、図７に示すステップＳ２０９で送信される車両監視ログ情報の概要を示す図である。
図１０に示すように、ステップＳ２０９で送信される車両監視ログ情報には、ログ送信ＩＤが「ＸＸＸＸＢ」であり、アラート種別が「アラートＡ、Ｂ」であり、先行ログ有無が「なし」であることが含まれる。つまり、ステップＳ２０９では、アラートＡ及びＢの両方が送信される。また、アラートＡ及びＢは同じタイミングで送信されるので、共通のログ送信ＩＤが設定される。
図７を再び参照して、送信判定部１１３は、アラートＡ及びＢが送信必要ではない場合（Ｓ２０６でＮｏ）、処理を終了する。
また、送信判定部１１３は、アラートＡ及びＢが一連の攻撃によるものではない場合（Ｓ２０５でＮｏ）、アラートＢが送信必要か否かを判定する（Ｓ２１０）。
次に、出力部１１７は、アラートＢが送信必要である場合（Ｓ２１０でＹｅｓ）、生成部１１６が生成したアラートＢを含む車両監視ログ情報を監視システム３００に向けて送信する。つまり、出力部１１７は、アラートＢを送信する（Ｓ２１１）。
図１１は、図７に示すステップＳ２１１で送信される車両監視ログ情報の概要を示す図である。
図１１に示すように、ステップＳ２１１で送信される車両監視ログ情報には、ログ送信ＩＤが「ＸＸＸＸＢ」であり、アラート種別が「アラートＢ」であり、先行ログ有無が「なし」であることが含まれる。つまり、ステップＳ２１１では、関連するログ情報がないことを示す情報を含む車両監視ログ情報が送信される。
図７を再び参照して、送信判定部１１３は、アラートＢが送信必要ではない場合（Ｓ２１０でＮｏ）、処理を終了する。
なお、ステップＳ２０５は、図３に示すステップＳ１０４に相当し、ステップＳ２０６及びＳ２１０は、図３に示すステップＳ１０２に相当し、ステップＳ２０８、Ｓ２０９、Ｓ２１１は、図３に示すステップＳ１０７に相当する。
続いて、送信判定モジュール１１０ａの詳細動作を、図１２を参照しながら説明する。図１２は、本実施の形態に係る送信判定モジュール１１０ａの詳細動作を示すフローチャートである。図１２では、送信状態保存部１１４に保存される送信状態情報を用いて説明する。なお、図１２では、影響度の一例である単体スコア及び車両スコアを用いて、アラートを送信するか否かを判定する例について説明する。
図１２に示すように、取得部１１１は、アラート（対象アラート）を取得する（Ｓ３０１）。ステップＳ３０１は、図３に示すＳ１０１に相当する。
次に、送信判定部１１３は、単体スコアを設定する（Ｓ３０２）。単体スコアは、アラートによる脅威（例えば、車両１００の安全性に対する脅威）の度合いを示している。単体スコアは、脅威の度合いが高いほど、例えば影響度が高いほど、高く設定される。単体スコアは、例えば、０～１００の数値であるがこれに限定されない。送信判定部１１３は、例えば、アラートの検知箇所及びアラートの種別と単体スコアとが対応づけられたテーブルに基づいて、ステップＳ３０１で取得したアラートに対する単体スコアを設定してもよい。
次に、送信判定部１１３は、単体スコアが第１閾値以上であるか否かを判定する（Ｓ３０３）。ステップＳ３０３では、ステップＳ３０１で取得したアラート（対象アラート）が送信必要であるか否かが判定される。第１閾値は、例えば、予め設定されており、保存部に保存されている。
次に、送信判定部１１３は、単体スコアが第１閾値以上である場合（Ｓ３０３でＹｅｓ）、送信フラグをセットする（Ｓ３０４）。つまり、送信判定部１１３は、ステップＳ３０３でＹｅｓである場合、送信フラグを「１」に設定する。ステップＳ３０３でＹｅｓと判定されることは、送信必要と判定されることに相当する。
ここで、送信状態保存部１１４に保存されている送信状態情報について図１３を参照しながら説明する。図１３は、送信状態保存部１１４に保存されている送信状態情報の一例を示す図である。
図１３に示すように、送信状態情報には、センサと、アラート種別、単体スコア、車両スコア、アラートＩＤ、送信フラグ、送信済みフラグ、ログ送信ＩＤ、先行ログ送信ＩＤ、及び、有効タイマの項目を含む。なお、図１３及び図１４に示す送信状態情報には、３つの監視センサの異常の検知に対する情報が含まれるが、１行目から３行目の順に異常が検知され、当該３つの異常は、一連の攻撃によるものであるとする。また、送信状態情報には、異常が検知された時刻を示す情報が含まれていてもよい。
センサは、異常を検知した監視センサがどの車載機器に配置される監視センサであるか、つまりどの車載機器で異常が検知されたかを示す。センサは、異常を検知した検知箇所を示すとも言える。例えば、１行目はＩＶＩ１５０が有する監視センサ１５０ａが異常を検知したことを示す。
アラート種別は、監視センサが検知した異常の種別を示す。
単体スコアは、アラートによる脅威を示す数値であり、ステップＳ３０２で設定される数値である。
アラートＩＤは、アラートを識別する識別情報である。
送信フラグは、送信必要か否かの判定結果を示す。送信フラグ「１」は送信必要であることを示しており、送信フラグ「０」は送信不要であることを示す。
送信済みフラグは、アラートが監視システム３００に向けて送信されたか否かの送信結果を示す。送信済みフラグ「１」は、送信済みであることを示しており、送信済みフラグ「０」は未送信であることを示している。
例えば、ＩＶＩ１５０及びゲートウェイ１１０（ＧＷ）のアラートは、送信フラグ及び送信済みフラグとも「１」であるので、送信必要であり、かつ、送信済みである。また、例えば、ＣＡＮ（例えば、いずれかのＥＣＵ）のアラートは、送信フラグが「１」であり、送信済みフラグが「０」であるので、送信必要であるが、未送信である。
先行ログ送信ＩＤは、関連する先行ログ情報のログ送信ＩＤを示す。例えば、図１３の例では、ゲートウェイ１１０のアラートは、ＩＶＩ１５０のアラートと関連があり、例えば、ＣＡＮのアラートは、ＩＶＩ１５０及びＧＷ１１０と関連があることを示している。
有効タイマは、一連の攻撃と判定するための時間を示す。例えばＩＶＩ１５０では、有効タイマが３０秒に設定されているので、ＩＶＩ１５０でアラート種別Ａのアラートが検知された後、車両１００の各車載機器のいずれかの要素において３０秒以内にアラートがさらに検知された場合、当該アラートはＩＶＩ１５０のアラートＡと関連していると判定される。
送信判定部１１３は、ステップＳ３０３でＹｅｓの場合、当該アラートに対する送信フラグを「０」から「１」に更新する。
図１２を再び参照して、関連づけ判定部１１５は、単体スコアが第１閾値未満である場合（Ｓ３０３でＮｏ）、又は、ステップＳ３０４の処理の後に、関連アラートがあるか否かを判定する（Ｓ３０５）。関連アラートは、対象アラートと関連があるアラートである。
次に、送信判定部１１３は、関連アラートがある場合（Ｓ３０５でＹｅｓ）、車両スコアを算出する（Ｓ３０６）。車両スコアは、対象アラート及び関連アラートを含む車両１００の総合的な脅威の度合いを示す。車両スコアは、脅威の度合いが高いほど、例えば影響度が高いほど、高く設定される。車両スコアは、例えば、０～１００の数値であるがこれに限定されない。送信判定部１１３は、例えば、対象アラート及び関連アラートの出方（例えば、アラートの検知箇所、種別の時系列データなど）と、車両スコアとが対応づけられたテーブルを用いて、車両スコアを算出するが、これに限定されない。
次に、送信判定部１１３は、車両スコアが第２閾値以上であるか否かを判定する（Ｓ３０７）。第２閾値は第１閾値と同じ値であってもよいし、異なっていてもよい。例えば、第２閾値は、第１閾値より大きな値であってもよい。
次に、送信判定部１１３は、車両スコアが第２閾値以上である場合（Ｓ３０７でＹｅｓ）、関連アラートが送信済みであるか否かを判定する（Ｓ３０８）。送信判定部１１３は、図１３に示す送信状態情報において、関連アラートの送信済みフラグが「１」であるか「０」であるかによってステップＳ３０８の判定を行う。
送信判定部１１３は、関連アラートの送信済みフラグが「１」である場合、つまり関連アラートが送信済みである場合（Ｓ３０８でＹｅｓ）、関連アラートのログ送信ＩＤを対象アラートの先行ログ送信ＩＤにセットする（Ｓ３０９）。また、送信判定部１１３は、関連アラートの送信済みフラグが「０」である場合、つまり関連アラートが未送信である場合（Ｓ３０８でＮｏ）、関連アラートの送信フラグをセットする（Ｓ３１０）。つまり、送信判定部１１３は、ステップＳ３０８でＮｏの場合、関連アラートの送信フラグを「０」から「１」に更新する。なお、関連アラートの送信済みフラグが「０」であり、かつ、送信フラグが「１」である場合、ステップＳ３１０は省略されてもよい。
次に、送信判定部１１３は、対象アラートの送信フラグをセットする（Ｓ３１１）。つまり、送信判定部１１３は、対象アラートの送信フラグを「１」にする。
また、送信判定部１１３は、関連アラートがない場合（Ｓ３０５でＮｏ）、車両スコアが第２閾値未満である場合（Ｓ３０７でＮｏ）、又は、ステップＳ３１１の処理の後に、対象アラートを送信状態情報に登録する（Ｓ３１２）。つまり、送信判定部１１３は、ステップＳ３１１までの処理においてセットされたフラグを含む対象アラートの情報を、送信状態情報に追加する。
次に、送信判定部１１３は、対象アラートの送信フラグ及び送信済みフラグが「１」であるか否かを判定する（Ｓ３１３）。送信判定部１１３は、対象アラートの送信フラグ及び送信済みフラグが「１」ではない場合（Ｓ３１３でＮｏ）、対象アラートを含む車両監視ログ情報を監視システム３００に向けて送信する（Ｓ３１４）。ステップＳ３１３でＮｏと判定されるのは、例えば、対象アラートの送信フラグが「１」であり、かつ、送信済みフラグが「０」である場合である。
ここで、例えば、送信済みの関連アラートがある場合、車両監視ログ情報には、当該関連アラートのログ送信ＩＤが先行ログ送信ＩＤに設定され、未送信の関連アラートがある場合、車両監視ログ情報には当該関連アラートが含まれ、関連アラートがない場合、車両監視ログには関連アラートがないことを示す情報が含まれる。なお、送信済みの関連アラートがある場合、車両監視ログ情報には関連アラートがあることを示す情報（先行ログ有無）が含まれてもよい。
次に、送信判定部１１３は、車両監視ログ情報の送信が成功すると（Ｓ３１５でＹｅｓ）、図１３に示す送信状態情報に登録する（Ｓ３１６）。つまり、送信判定部１１３は、送信状態情報の送信済みフラグを「０」から「１」に更新する。送信判定部１１３は、未送信の関連アラートがある場合、未送信の関連アラート及び対象アラートの送信済みフラグを「０」から「１」に更新し、それ以外の場合は対象アラートの送信済みフラグを「０」から「１」に更新する。また、送信判定部１１３は、車両監視ログ情報の送信が失敗すると（Ｓ３１５でＮｏ）、ステップＳ３０５に戻り処理を継続する。なお、成功の有無は、例えば、監視システム３００からの返信により取得可能である。
送信判定部１１３は、対象アラートの送信フラグ及び送信済みフラグが「１」である場合（Ｓ３１３でＹｅｓ）、又は、ステップＳ３１６の後、処理を終了する。
ここで、図１３及び図１４について説明する。
図１３は、ＩＶＩ１５０においてアラートＡが検知され、当該アラートＡが監視システム３００に向けて送信された後、ゲートウェイ１１０（ＧＷ）においてアラートＢが検知され、さらに、当該アラートＢが監視システム３００に向けて送信された後、ＣＡＮにおいてアラートＣが検知されたときの送信状態情報を示している。なお、アラートＣに対する送信済みフラグが「０」であるので、アラートＣは未送信である。第１閾値及び第２閾値は、例えば、７０であるとする。
アラートＡの車両スコアが７０から１００に更新されている。アラートＡの単体スコアは７０であり、そのときの車両スコアは７０である。また、アラートＢの単体スコアは９０である。アラートＢが検知され、アラートＢはアラートＡと関連があるので、アラートＢの車両スコアは、アラートＡ及びＢのときのスコアに更新される。図１３の例では、アラートＡ及びＢのときの車両スコアは、アラートＡ及びＢそれぞれの単体スコアよりも高く、例えば１００である。そのため、アラートＡに対する車両スコアも、アラートＢが検知された後、アラートＡ及びＢの車両スコアである１００に更新される。なお、車両スコアが７０から１００に更新された履歴は、送信状態情報に保存されていなくてもよい。図１３では、車両スコアの時間変化を示すために７０から１００に変化したことを図示しているが、変更後の車両スコアのみが送信状態情報に保存されていればよい。
また、アラートＢの先行ログ送信ＩＤは、アラートＡのログ送信ＩＤである。監視システム３００は、アラートＢを受信することで、アラートＢがアラートＡと関連があることを認識することができる。また、アラートＣの先行ログ送信ＩＤは、アラートＡ及びＢのログ送信ＩＤである。監視システム３００は、アラートＣを受信することで、アラートＣがアラートＡ及びＢと関連があることを認識することができる。このように、監視システム３００は、アラートＣを受信することで、アラートＡ～Ｃが一連の攻撃に対するアラートであることがわかるので、アラートＡ～Ｃが一連の攻撃に対するアラートであるか否かを判定することなく、アラートＡ～Ｃに基づいて車両１００へのサイバー攻撃を分析することができる。
また、図１４は、送信状態保存部１１４に保存されている送信状態情報の他の一例を示す図である。
図１４は、ＩＶＩ１５０においてアラートＰが検知され、当該アラートＰが送信不要と判定された後、ゲートウェイ１１０においてアラートＱが検知され、さらに、当該アラートＰ及びＱが監視システム３００に向けて送信された後、ＣＡＮにおいてアラートＲが検知され、当該アラートＲが監視システム３００に向けて送信された状態の送信状態情報を示している。第１閾値及び第２閾値は、例えば、８０であるとする。
アラートＰでの単体スコアは５０（＜第１閾値）であるので、アラートＰ単体でのステップＳ３０３及びＳ３０７の判定はＮｏとなる。つまり、アラートＰ～ＲのうちアラートＰしか取得していない状態では、アラートＰは送信不要と判定されるので、アラートＰは送信されない。よって、アラートＰの送信フラグ及び送信済みフラグはともに「０」である。
次に、アラートＱが取得されるが、アラートＱの単体スコアは７０（＜第１閾値）であるので、アラートＱ単体ではアラートＱは送信不要と判定される。しかしながら、アラートＰ及びＱの車両スコアが９０（＞第２閾値）となるので、この時点でアラートＰ及びＱは送信必要と判定される。つまり、アラートＰ及びＱは同じタイミングで送信される。よって、アラートＰの送信フラグ及び送信済みフラグは「０」から「１」に更新される。また、アラートＰ及びＱのログ送信ＩＤは、共通のＩＤとなる。このときの、アラートＰは、アラートＱと関連があり、かつ未送信なアラートであり、第３の検知情報の一例である。
例えば、図１２に示すステップＳ３０１でアラートＱが取得された場合（アラートＱが対象アラートである場合）、送信判定部１１３は、ステップＳ３０５において、アラートＱ（第１の検知情報の一例）よりも前に１以上の監視センサ１２０ａ等から取得され、かつ、当該アラートＱが取得された時点で送信されていないアラートＰとアラートＱとが関連するか否かを判定する。そして、出力部１１７は、送信判定部１１３がアラートＰ及びＱが関連すると判定した場合、アラートＰ及びＱをまとめて送信してもよい。つまり、出力部１１７は、アラートＰ及びＱを一括で送信してもよい。
なお、送信判定部１１３は、ステップＳ３０５において、さらにアラートＱと関連があり、かつ、送信済みのアラート（第２の検知情報の一例）がある場合、アラートＱ及び送信済みのアラートと、アラートＰとが関連するか否かを判定してもよい。
なお、アラートＱを取得した時点でアラートＰが送信済みであり、かつ、アラートＱ単体スコアが第２閾値未満であるとする。この場合、アラートＱ単体では、アラートＱは送信不要と判定される。しかしながら、アラートＰ及びＱの車両スコアが第２閾値以上となる場合、アラートＱは送信必要と判定される。つまり、アラートＱが送信必要と判定される条件は、アラートＰ及Ｑが示す車両スコア（異常の影響度の一例）が第２閾値（所定の影響度の一例）以上であることであってもよい。当該条件は、所定の条件の一例である。この場合、例えば、車両監視ログ情報における影響度高の項目に「１」が設定される。
図１４を再び参照して、次に、アラートＲが取得される。アラートＲ単体スコア及び車両スコアはともに１００（＞第１閾値及び第２閾値）となっている。つまり、アラートＲは送信必要と判定される。アラートＲの先行ログ送信ＩＤには、アラートＰ及びＱに共通のログ送信ＩＤが設定される。
監視システム３００は、アラートＲを受信することで、アラートＰ～Ｒが一連の攻撃に対するアラートであることがわかるので、アラートＰ～Ｒが一連の攻撃に対するアラートであるか否かを判定することなく、アラートＰ～Ｒに基づいて車両１００へのサイバー攻撃を分析することができる。
［２－２．監視システムの動作］
続いて、監視システム３００の動作について図１５を参照しながら説明する。図１５は、本実施の形態に係る監視システム３００の動作を示すフローチャートである。具体的には、図１５は、車両監視ログ受信部３１０及び制御部３２０を含んで構成されるサーバの動作を示すフローチャートである。なお、以下において、一例として、ステップＳ４０１において図１４に示すアラートＲを取得した場合について補足する。
図１５に示すように、監視システム３００の車両監視ログ受信部３１０は、車両監視ログ情報を取得する（Ｓ４０１）。車両監視ログ受信部３１０は、アラートＲを含む車両監視ログ情報を受信する。
次に、制御部３２０は、ステップＳ４０１で取得した車両監視ログ情報に先行ログ送信ＩＤがあるか否かを判定する（Ｓ４０２）。制御部３２０は、アラートＲを含む車両監視ログ情報に含まれる先行ログ送信ＩＤを抽出することで、先行ログ情報があるか否かを判定する。なお、車両監視ログ情報が先行ログ送信ＩＤに代えて先行ログ有無の情報を含む場合、制御部３２０は、当該先行ログ有無の情報に基づいてステップＳ４０２の判定を実行可能である。このように制御部３２０は、自装置により先行ログ情報の有無を判定することなく、車両監視ログ情報に含まれる情報を抽出することで先行ログ情報の有無を取得する。
次に、制御部３２０は、先行ログ情報がある場合（Ｓ４０２でＹｅｓ）、攻撃が終了したか否かを判定する（Ｓ４０３）。制御部３２０は、車両監視ログ情報に攻撃終了に関する情報（図５及び図６を参照）が含まれる場合、当該情報に基づいて攻撃が終了したか否かを判定する。制御部３２０は、アラートＲが一連の攻撃による最後のアラートであるか否かを判定する。
制御部３２０は、攻撃が終了した場合（Ｓ４０３でＹｅｓ）、取得した車両監視ログ情報、及び、先行ログ情報に基づいて車両１００へのサイバー攻撃を分析する（Ｓ４０４）。つまり、制御部３２０は、複数のアラート（例えば、アラートＰ～Ｒ）を一連の攻撃に属するアラートとして処理する。また、制御部３２０は、攻撃が終了していない場合（Ｓ４０３でＮｏ）、ステップＳ４０１に戻り処理を継続する。
また、制御部３２０は、先行ログ情報がない場合（Ｓ４０２でＮｏ）、取得した車両監視ログ情報に基づいて車両１００へのサイバー攻撃を分析する（Ｓ４０５）。
次に、制御部３２０は、ステップＳ４０４又はＳ４０５の分析結果を出力する（Ｓ４０６）。制御部３２０は、例えば、分析結果を表示部３３０に表示する。
これにより、監視システム３００は、取得した車両監視ログ情報から先行ログ情報の有無を取得することができるので、先行ログ情報の有無についての判定処理を行わなくてもよい。よって、一連の攻撃に対する複数のログ情報が分割されて監視システム３００に送信される場合であっても、監視システム３００における処理負担が増加することを抑制する、つまり監視システム３００における処理負担を低減することができる。
なお、攻撃が終了したか否かの判定（Ｓ４０３）を省略して、ステップＳ４０４を実施してもよい。
（他の実施の形態）
以上、一つまたは複数の態様に係る車両監視システム１について、実施の形態に基づいて説明したが、本開示は、この実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、本開示に含まれてもよい。
例えば、上記実施の形態において、送信判定モジュール１１０ａはゲートウェイ１１０が有する例について説明したが、これに限定されない。例えば、車両１００に搭載されたいずれかのＥＣＵを送信判定モジュールとして機能させることで、送信判定モジュール１１０ａが実現されてもよい。
また、上記実施の形態では、関連情報に先行ログ送信ＩＤが含まれる例について説明したが、先行ログ送信ＩＤに替えて又は先行ログ送信ＩＤに加えて先行ログ情報が検知された時刻が含まれてもよい。つまり、関連情報は、先行ログ情報が検知された時刻を示す情報であってもよい。
また、上記実施の形態では、車両１００には複数の監視センサ１２０ａ等が搭載される例について説明したがこれに限定されず、搭載される監視センサ１２０ａは１つでもよい。
また、上記実施の形態では、送信判定モジュール１１０ａが車両１００に搭載される例について説明したが、これに限定されない。送信判定モジュール１１０ａは、１以上の機器を備え、かつ、外部の装置と無線通信可能に接続される装置に搭載されてもよい。当該装置は、例えば、ドローンなどの飛行体であってもよいし、宅内等に設置される１以上の家電機器を備える宅内機器システムであってもよい。
また、上記実施の形態では、車両１００が有する各車載機器は、有線通信により通信する例について説明したが、これに限定されず、少なくとも一部の機器間では無線通信により通信が行われてもよい。
また、ブロック図における機能ブロックの分割は一例であり、複数の機能ブロックを１つの機能ブロックとして実現したり、１つの機能ブロックを複数に分割したり、一部の機能を他の機能ブロックに移してもよい。例えば、監視ログ保存部１１２と送信状態保存部１１４とは１つの記憶装置により実現されてもよいし、３つ以上の記憶装置により実現されてもよい。また、表示部３３０及び操作部３４０は、監視システム３００が有していなくてもよい。例えば、表示部３３０及び操作部３４０は、監視システム３００と通信可能に接続され、かつ、監視センターとは異なる場所に設置されていてもよい。また、類似する機能を有する複数の機能ブロックの機能を単一のハードウェア又はソフトウェアが並列又は時分割に処理してもよい。
また、フローチャートにおける各ステップが実行される順序は、本開示を具体的に説明するために例示するためのものであり、上記以外の順序であってもよい。また、上記ステップの一部が、他のステップと同時（並列）に実行されてもよい。
また、上記実施の形態における送信判定モジュール１１０ａ及び監視システム３００が有する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。
システムＬＳＩは、複数の処理部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などを含んで構成されるコンピュータシステムである。ＲＯＭには、コンピュータプログラムが記憶されている。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。なお、上記各種処理の全部又は一部は、電子回路等のハードウェアにより実現されてもよい。
また、本開示の一態様は、送信判定モジュール１１０ａ及び監視システム３００の制御方法に含まれる特徴的な各ステップをコンピュータに実行させるコンピュータプログラムであってもよい。また、本開示の一態様は、そのようなプログラムが記録された、コンピュータ読み取り可能な非一時的な記録媒体であってもよい。例えば、そのようなプログラムを記録媒体に記録して頒布又は流通させてもよい。例えば、頒布されたプログラムを、他のプロセッサを有する装置にインストールして、そのプログラムをそのプロセッサに実行させることで、その装置に、上記各処理を行わせることが可能となる。
本開示は、通信ネットワークを介して外部の装置と通信可能な物体を監視するシステムに有効である。
１ 車両監視システム
１００ 車両
１１０ ゲートウェイ
１１０ａ、４１０ａ 送信判定モジュール（情報送信装置）
１１０ｂ、１２０ａ、１２１ａ、１３０ａ、１４０ａ、１５０ａ、１６０ａ 監視センサ
１１１、４１１ 取得部
１１２、４１２ 監視ログ保存部
１１３、４１３ 送信判定部
１１４ 送信状態保存部
１１５ 関連づけ判定部（判定部）
１１６、４１４ 生成部
１１７、４１５ 出力部（送信部）
１２０、１２１，１３０、１３１、１４０、１４１、１４２ ＥＣＵ
１５０ ＩＶＩ
１６０ ＴＣＵ
２００ 通信ネットワーク
３００、５００ 監視システム
３１０ 車両監視ログ受信部（受信部）
３２０ 制御部
３３０ 表示部
３４０ 操作部

Claims (11)

  1. １以上の機器及び各機器を監視する監視センサを有する物体に搭載される情報送信装置であって、
    前記１以上の機器のいずれかの機器において異常を検知したことを示す第１の検知情報を前記監視センサから取得する取得部と、
    前記監視センサから取得された前記１以上の機器のいずれかの機器において異常を検知したことを示す第２の検知情報であって、前記第１の検知情報に関連し、かつ、当該第１の検知情報よりも前に外部の装置に送信された第２の検知情報と、前記第１の検知情報との関連を示す関連情報、及び、前記第１の検知情報を含む監視情報を前記外部の装置に送信する送信部とを備える
    情報送信装置。
  2. 前記関連情報は、前記第２の検知情報が存在することを示す情報、及び、前記第２の検知情報を特定するための情報であって当該第２の検知情報に含まれる情報の少なくとも一方を含む
    請求項１に記載の情報送信装置。
  3. 前記送信部は、所定の条件を満たす場合に前記第１の検知情報を送信し、
    前記監視情報には、さらに前記所定の条件を満たすことを示す情報が含まれる
    請求項１又は２に記載の情報送信装置。
  4. さらに前記第１の検知情報が保存される保存部を備え、
    前記所定の条件は、前記第１の検知情報が示す異常の影響度が所定の影響度以上であること、異常の原因となったサイバー攻撃が終了したと判定されること、前記第１の検知情報が示す異常が検知されてから所定時間が経過したこと、及び、前記保存部の空き容量が所定の容量以下であることの少なくとも１つを含む
    請求項３に記載の情報送信装置。
  5. 前記所定の条件は、さらに前記第１の検知情報及び前記第２の検知情報が示す異常の影響度が前記所定の影響度以上であることを含む
    請求項４に記載の情報送信装置。
  6. さらに、前記第１の検知情報及び前記第２の検知情報の取得時刻、又は、前記第１の検知情報及び前記第２の検知情報が示す異常が検知された機器及び異常の種別の時系列パターンに基づいて、前記第２の検知情報が前記第１の検知情報に関連するか否かを判定する判定部を備える
    請求項１～５のいずれか１項に記載の情報送信装置。
  7. 前記判定部は、前記第２の検知情報が取得されてから所定時間以内に前記第１の検知情報が取得された場合、又は、前記時系列パターンが予め設定された時系列パターンの少なくとも一部と一致する場合、前記第２の検知情報が前記第１の検知情報に関連すると判定する
    請求項６に記載の情報送信装置。
  8. 前記判定部は、前記第１の検知情報よりも前に前記監視センサから取得され、かつ、当該第１の検知情報が取得された時点で送信されていない第３の検知情報と前記第１の検知情報とが関連するか否かを判定し、
    前記送信部は、前記判定部が前記第１の検知情報及び前記第２の検知情報と前記第３の検知情報とが関連すると判定した場合、前記第１の検知情報と前記第３の検知情報とをまとめて送信する
    請求項６又は７に記載の情報送信装置。
  9. 前記物体は、車両であり、
    前記１以上の機器及び前記情報送信装置は、通信路を介して接続された車載ネットワークを構成する
    請求項１～８のいずれか１項に記載の情報送信装置。
  10. 請求項１～９のいずれか１項に記載の情報送信装置から送信された前記第１の検知情報を受信する受信部と、
    前記第１の検知情報と、前記第１の検知情報に含まれる前記関連情報が示す前記第２の検知情報であって前記第１の検知情報よりも前に受信した前記第２の検知情報とに基づいて、前記物体へのサイバー攻撃に関する分析を行う制御部とを備える
    サーバ。
  11. １以上の機器及び各機器を監視する監視センサを有する物体における情報送信方法であって、
    前記１以上の機器のいずれかの機器において異常を検知したことを示す第１の検知情報を前記監視センサから取得し、
    前記監視センサから取得された前記１以上の機器のいずれかの機器において異常を検知したことを示す第２の検知情報であって、前記第１の検知情報に関連し、かつ、当該第１の検知情報よりも前に外部の装置に送信された第２の検知情報と、前記第１の検知情報との関連を示す関連情報、及び、前記第１の検知情報を含む監視情報を前記外部の装置に送信する
    情報送信方法。
JP2020163044A 2020-09-29 2020-09-29 情報送信装置、サーバ、及び、情報送信方法 Active JP7373803B2 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2020163044A JP7373803B2 (ja) 2020-09-29 2020-09-29 情報送信装置、サーバ、及び、情報送信方法
DE102021123618.5A DE102021123618A1 (de) 2020-09-29 2021-09-13 Informationsübermittlungsvorrichtung, Server und Informationsübermittlungsverfahren
US17/479,734 US20220103583A1 (en) 2020-09-29 2021-09-20 Information transmission device, server, and information transmission method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2020163044A JP7373803B2 (ja) 2020-09-29 2020-09-29 情報送信装置、サーバ、及び、情報送信方法

Publications (2)

Publication Number Publication Date
JP2022055558A JP2022055558A (ja) 2022-04-08
JP7373803B2 true JP7373803B2 (ja) 2023-11-06

Family

ID=80624590

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2020163044A Active JP7373803B2 (ja) 2020-09-29 2020-09-29 情報送信装置、サーバ、及び、情報送信方法

Country Status (3)

Country Link
US (1) US20220103583A1 (ja)
JP (1) JP7373803B2 (ja)
DE (1) DE102021123618A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018032354A (ja) 2016-08-26 2018-03-01 富士通株式会社 サイバー攻撃分析支援プログラム、サイバー攻撃分析支援方法およびサイバー攻撃分析支援装置
JP2019125344A (ja) 2018-01-12 2019-07-25 パナソニックＩｐマネジメント株式会社 車両用システム及び制御方法
WO2020184001A1 (ja) 2019-03-14 2020-09-17 日本電気株式会社 車載セキュリティ対策装置、車載セキュリティ対策方法およびセキュリティ対策システム

Family Cites Families (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2010079694A1 (ja) 2009-01-07 2010-07-15 日本電気株式会社 セキュリティ監視方法、セキュリティ監視システム、セキュリティ監視プログラム
US9519781B2 (en) * 2011-11-03 2016-12-13 Cyphort Inc. Systems and methods for virtualization and emulation assisted malware detection
US10033758B2 (en) * 2015-03-06 2018-07-24 Radware, Ltd. System and method for operating protection services
US10798114B2 (en) * 2015-06-29 2020-10-06 Argus Cyber Security Ltd. System and method for consistency based anomaly detection in an in-vehicle communication network
US10320820B2 (en) * 2016-03-24 2019-06-11 Carbon Black, Inc. Systems and techniques for guiding a response to a cybersecurity incident
JP6956624B2 (ja) * 2017-03-13 2021-11-02 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 情報処理方法、情報処理システム、及びプログラム
CN109804603B (zh) * 2017-07-19 2022-04-29 松下电器（美国）知识产权公司 车载中继装置、中继方法以及介质
US10771486B2 (en) * 2017-09-25 2020-09-08 Splunk Inc. Systems and methods for detecting network security threat event patterns
US10659477B2 (en) * 2017-12-19 2020-05-19 The Boeing Company Method and system for vehicle cyber-attack event detection
CN110463142B (zh) * 2018-01-22 2022-03-01 松下电器（美国）知识产权公司 车辆异常检测服务器、车辆异常检测系统及车辆异常检测方法
WO2019193786A1 (ja) * 2018-04-06 2019-10-10 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ ログ出力方法、ログ出力装置及びプログラム
US20190379682A1 (en) * 2018-06-08 2019-12-12 Nvidia Corporation Protecting vehicle buses from cyber-attacks
US11003766B2 (en) * 2018-08-20 2021-05-11 Microsoft Technology Licensing, Llc Enhancing cybersecurity and operational monitoring with alert confidence assignments
CN112654969A (zh) * 2018-10-11 2021-04-13 日本电信电话株式会社 信息处理装置、数据分析方法及程序
US11528325B2 (en) * 2018-10-11 2022-12-13 Nippon Telegraph And Telephone Corporation Prioritizing data using rules for transmission over network
US11700270B2 (en) * 2019-02-19 2023-07-11 The Aerospace Corporation Systems and methods for detecting a communication anomaly
US10929337B2 (en) * 2019-05-24 2021-02-23 Intel Corporation Distributed error and anomaly communication architecture for analog and mixed-signal systems
US11688213B2 (en) * 2019-09-24 2023-06-27 Lyft, Inc. Telematics data processing for collision detection
JP7065356B2 (ja) * 2019-11-11 2022-05-12 パナソニックＩｐマネジメント株式会社 情報処理装置、情報処理方法、およびプログラム
US20220044133A1 (en) * 2020-08-07 2022-02-10 Sap Se Detection of anomalous data using machine learning
JP2023170125A (ja) * 2022-05-18 2023-12-01 パナソニックＩｐマネジメント株式会社 セキュリティ方法、および、セキュリティ装置

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018032354A (ja) 2016-08-26 2018-03-01 富士通株式会社 サイバー攻撃分析支援プログラム、サイバー攻撃分析支援方法およびサイバー攻撃分析支援装置
JP2019125344A (ja) 2018-01-12 2019-07-25 パナソニックＩｐマネジメント株式会社 車両用システム及び制御方法
WO2020184001A1 (ja) 2019-03-14 2020-09-17 日本電気株式会社 車載セキュリティ対策装置、車載セキュリティ対策方法およびセキュリティ対策システム

Also Published As

Publication number Publication date
DE102021123618A1 (de) 2022-03-31
US20220103583A1 (en) 2022-03-31
JP2022055558A (ja) 2022-04-08

Similar Documents

Publication Publication Date Title
EP3621246B1 (en) Security processing method and server
US9380070B1 (en) Intrusion detection mechanism
JP7056752B2 (ja) 分析装置、分析システム、分析方法及びプログラム
CN107209829B (zh) 数据判定装置及数据判定方法
JP2015136107A5 (ja)
CN107431709A (zh) 攻击识别方法、攻击识别装置和用于汽车的总线系统
US11528325B2 (en) Prioritizing data using rules for transmission over network
EP3547190B1 (en) Attack detection device, attack detection method, and attack detection program
JP7173039B2 (ja) 情報処理装置、移動装置、および方法、並びにプログラム
US11962605B2 (en) Information processing apparatus, data analysis method and program
US11829472B2 (en) Anomalous vehicle detection server and anomalous vehicle detection method
EP4092553A1 (en) Intrusion-path analyzing device and intrusion-path analyzing method
JPWO2020075801A1 (ja) 情報処理装置、異常分析方法及びプログラム
JP7373803B2 (ja) 情報送信装置、サーバ、及び、情報送信方法
US20220407873A1 (en) Analysis device and analysis method
WO2016092834A1 (ja) 通信監視システム、重要度算出装置及びその算出方法、提示装置、並びにコンピュータ・プログラムが格納された記録媒体
US20200312060A1 (en) Message monitoring system, message transmission electronic control unit, and monitoring electronic control unit
JP2022134679A (ja) 判定装置、移動体、判定方法及びプログラム
US20230319084A1 (en) On-vehicle device and log management method
EP4350551A1 (en) Integrity verification device and integrity verification method
EP3817325A2 (en) Communication device, abnormality determination device, method, and storage medium
KR102011020B1 (ko) 해저드 모델 기반의 차량 네트워크 이상 징후 탐지 장치
JP2013096774A (ja) 信号処理装置及び信号処理方法及びプログラム
CN117978733A (zh) 车辆流量的处理方法、装置和车辆

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20230217

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20230920

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20231010

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20231016

R151 Written notification of patent or utility model registration

Ref document number: 7373803

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R151

S111 Request for change of ownership or part of ownership

Free format text: JAPANESE INTERMEDIATE CODE: R313113

SZ03 Written request for cancellation of trust registration

Free format text: JAPANESE INTERMEDIATE CODE: R313Z03