JP7439668B2 - ログ送信制御装置 - Google Patents

Description

本発明は、サーバ装置へのログの送信を制御する装置であって、主に自動車をはじめとする移動体に搭載されるログ送信制御装置、ならびに当該ログ送信制御装置で実行されるログ送信制御方法及びログ送信制御プログラムに関する。

近年、車車間通信や路車間通信のようなＶ２Ｘをはじめ、運転支援や自動運転制御を行う技術が注目されている。これに伴い、車両が通信機能を備えるようになり、いわゆる車両のコネクティッド化が進んでいる。この結果、車両がサイバー攻撃を受ける可能性が増加している。

車両に対するサイバー攻撃が発生した場合、攻撃により車両のコントロールに支障をきたすおそれがあるため、これを事前に予防する、あるいは攻撃に対する対応や復旧を迅速に行うべく事案の分析が重要になる。そこで、リソースが豊富なサーバ装置が車載装置のログを収集して解析することが知られている。しかしながら、車載装置で発生する大量のログ全てをサーバ装置に送信することは、車載装置のリソースの不足やネットワーク負荷の観点から望ましくない。

例えば、特許文献１には、サーバ装置が車載装置から受信したログを解析し、サイバー攻撃の可能性を検知すると、車載装置に蓄積させるログの優先度を変更する更新指令を車載装置に送信することが開示されている。そして、車載装置は、サイバー攻撃の判断に用いるログの優先度が高くなるように優先度を変更させる更新指令を受信すると、優先度に従ってログを蓄積してサーバ装置に送信する。これにより、特許文献１によれば、サーバ装置は、限定されたリソースを利用しながら、サイバー攻撃を判断するのに適したログを収集することができる。

特開２０１８－３２２５４号公報

ここで、本発明者は、以下の課題を見出した。車載装置がサーバ装置からの指示に基づいてログの優先度を更新する場合、サーバ装置におけるログ解析に時間がかかり、ひいては優先度の更新指示を送信するまでに時間がかかる場合、サイバー攻撃の発生から車載装置において優先度が変更されるまでに時間を要することがある。また、車載装置とサーバ装置との間の通信環境が良好でない場合、車載装置がサーバ装置から送信された更新指示を受信できないことが起こりうる。このような場合、優先度が高いログを収集するのに時間がかかるだけでなく、車載装置が優先度の更新指示を受信して優先度を更新するまでにサイバー攻撃の解析に必要なログが失われるおそれがある。また、サーバ装置にアップロードする必要がないログが高い優先度に設定されたまま蓄積及び送信され続けると、車載装置のリソースを無駄に消費するおそれがある。

本発明は、車載装置及びサーバ装置からの指示に基づいて高い優先度が設定されたログによって、車載装置のリソースが必要以上に消費されるのを防ぐことを目的とする。

本開示の一態様によるログ収集システム（１）は、移動体に搭載されるログ送信制御装置（１００）と、前記移動体の外部に位置するサーバ装置（３０）とを有し、
前記ログ送信制御装置は、
前記ログ送信制御装置に接続された複数の電子制御装置の状態を示すログを取得するログ取得部（１０１）と、
前記サーバ装置に前記ログを送信する優先度を示す優先度情報を保存する優先度保存部（１０２）と、
前記移動体に搭載された更新指示装置（３００）で生成された更新指示であって、前記優先度保存部に保存された前記優先度情報を更新することを指示する第１の更新指示、及び、前記サーバ装置で生成された更新指示であって、前記優先度情報を更新することを指示する第２の更新指示及び第３の更新指示を取得する更新指示取得部（１０４）と、
前記第１の更新指示、前記第２の更新指示、及び前記第３の更新指示に基づいて前記優先度情報を更新する優先度更新部（１０５）と、
更新後の前記優先度情報が示す優先度に基づいて、前記ログを前記サーバ装置に送信する送信部（１０６）と、を備え、
前記サーバ装置は、
前記送信部から送信された前記ログを受信する通信部（２１）と、
前記通信部が受信したログを解析し、前記移動体に発生したセキュリティ異常を解析するログ解析部（２３）と、
前記ログ解析部における解析結果に基づいて、前記優先度情報を更新することを指示する前記第２の更新指示及び前記第３の更新指示を生成するサーバ側指示生成部（３２）と、を備え、
前記通信部は、前記第２の更新指示を前記ログ送信制御装置に送信し、
前記第１の更新指示及び前記第２の更新指示は、前記優先度情報が示す前記優先度を所定の優先度よりも高い優先度に更新する指示であり、前記第３の更新指示は、前記優先度情報が示す前記優先度を前記所定の優先度に更新する指示である。

本開示の他の態様による、移動体に搭載されるログ送信制御装置（１００）は、
当該ログ送信制御装置に接続された複数の電子制御装置の状態を示すログを取得するログ取得部（１０１）と、
前記移動体の外部に位置するサーバ装置（３０）に前記ログを送信する優先度を示す優先度情報を保存する優先度保存部（１０２）と、
前記移動体に搭載された更新指示装置（３００）で生成された更新指示であって、前記優先度保存部に保存された前記優先度情報を更新することを指示する第１の更新指示、及び、前記サーバ装置で生成された更新指示であって、前記優先度情報を更新することを指示する第２の更新指示及び第３の更新指示を取得する更新指示取得部（１０４）と、
前記更新指示に基づいて前記優先度情報を更新する優先度更新部（１０５）と、
更新後の前記優先度情報が示す優先度に基づいて、前記ログを前記サーバ装置に送信する送信部（１０６）と、を備え、
前記第１の更新指示及び前記第２の更新指示は、前記優先度情報が示す前記優先度を所定の優先度よりも高い優先度に更新する指示であり、前記第３の更新指示は、前記優先度情報が示す前記優先度を前記所定の優先度に更新する指示である。

なお、特許請求の範囲、及び本項に記載した発明の構成要件に付した括弧内の番号は、本発明と後述の実施形態との対応関係を示すものであり、本発明を限定する趣旨ではない。

上述のような構成により、本開示のログ送信制御装置は、サーバ装置がログを収集する必要がなくなると、車載装置及びサーバ装置において生成されたログの優先度の更新指示に基づいて優先度をデフォルトの優先度に更新することにより、不要なログが車載装置に蓄積されたり、サーバ装置に送信されるのを防ぐことができる。

各実施形態に共通のログ収集システムの構成例を示すブロック図 各実施形態に共通の車載システムの構成例を示すブロック図 実施形態１乃至３のログ送信制御装置の構成例を示すブロック図 実施形態１の優先度保存部に保存される情報を説明する図 実施形態１乃至３の更新指示装置の構成例を示すブロック図 実施形態１乃至３の更新情報保存部に保存される情報を説明する図 実施形態１のサーバ装置の構成例を示すブロック図 実施形態１、２のログ送信制御装置の動作を説明するフローチャート 実施形態２、３のサーバ装置の構成例を示すブロック図 実施形態２の優先度保存部に保存される情報を説明する図 実施形態３のログ送信制御装置の動作を説明するフローチャート

以下、本発明の実施形態について、図面を参照して説明する。

なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともかぎ括弧内の語句は、特許請求の範囲又は課題を解決するための手段の項に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。

特許請求の範囲の従属項に記載の構成及び方法は、特許請求の範囲の独立項に記載の発明において任意の構成及び方法である。従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明において任意の構成及び方法である。特許請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成及び方法も、本発明の構成及び方法の例示であるという意味で、本発明において任意の構成及び方法である。いずれの場合も、特許請求の範囲の独立項に記載することで、本発明の必須の構成及び方法となる。

実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。

複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせてもよい。また、複数の実施形態それぞれに開示の構成を集めて組み合わせてもよい。

発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の構成及び方法と共に発明の進歩性を肯定する事実である。

１．各実施形態に共通の構成
（１）ログ収集システム
図１を用いて、各実施形態に共通のログ収集システム１の例を説明する。ログ収集システム１は、自動車に搭載される電子制御システム１０と、自動車の外部に位置するサーバ装置２０又はサーバ装置３０とから構成される。電子制御システム１０とサーバ装置２０、３０は通信ネットワーク２を介して通信を行う。なお、以下の各実施形態では、ログ収集システム１を構成する電子制御システムが自動車に搭載される車載システム１０であるものとして説明する。しかしながら、電子制御システムは車載システムに限定されるものではない。

通信ネットワーク２は、無線通信方式の場合、例えば、ＩＥＥＥ８０２．１１（ＷｉＦｉ（登録商標））やＩＥＥＥ８０２．１６（ＷｉＭＡＸ（登録商標））、Ｗ－ＣＤＭＡ（Wideband Code Division Multiple Access）、ＨＳＰＡ（High Speed Packet Access）、ＬＴＥ（Long Term Evolution）、ＬＴＥ－Ａ（Long Term Evolution Advanced）、４Ｇ、５Ｇ等を用いることができる。あるいは、ＤＳＲＣ（Dedicated Short Range Communication）を用いることができる。また、有線通信方式の場合、例えば、有線ＬＡＮ（Local Area Network）やインターネット、固定電話回線を用いることができる。

（２）車載システム
図２を用いて、車載システム１０の構成を説明する。車載システム１０は、セントラルゲートウェイ装置（以下、ＣＧＷ）１１、外部通信電子制御装置（以下、外部通信ＥＣＵ）１２、電子制御装置（以下、ＥＣＵ）１３、及びこれらを接続するネットワーク１４、を有する。

ＣＧＷ１１は、ネットワーク１４を介して外部通信ＥＣＵ１２及びＥＣＵ１３の間、あるいはＥＣＵ１３同士の間の通信を中継する電子制御装置である。

外部通信ＥＣＵ１２は、通信ネットワーク２を用いて、サーバ装置２０、３０と無線通信を行う電子制御装置である。

ＥＣＵ１３は、それぞれの機能を実現する電子制御装置である。ＥＣＵ１３は、任意のＥＣＵを割り当てることができる。例えば、エンジン、ハンドル、ブレーキ等の制御を行う駆動系電子制御装置、メータやパワーウインドウ等の制御を行う車体系電子制御装置、ナビゲーション装置等の情報系電子制御装置、あるいは、障害物や歩行者との衝突を防止するための制御を行う安全制御系電子制御装置が挙げられる。

なお、ＥＣＵ同士は並列ではなく、主従関係を有するように分類されていてもよい。すなわちマスターとスレーブとに分類されていてもよい。また、特定のＥＣＵ１３の下に、さらにサブネットワークを介して複数のＥＣＵ１３を設けるようにしてもよい。その場合、特定のＥＣＵ１３はサブゲートウェイとしての機能を有する。

ネットワーク１４は、ＣＧＷ１１、外部通信ＥＣＵ１２、及びＥＣＵ１３を接続するネットワークである。以下に示す各実施形態では、ネットワーク１４は車載ネットワークであり、例えば、ＣＡＮ（Controller Area Network）、ＬＩＮ（Local Interconnect Network）といった通信方式の他、Ｅｔｈｅｒｎｅｔ（登録商標）やＷｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等、任意の通信方式を用いることができる。

２．実施形態１
（１）ログ送信制御装置の構成
図３を用いて、本実施形態のログ送信制御装置１００の構成について説明する。ログ送信制御装置１００は、「移動体」である自動車に搭載されている。そして、ログ送信制御装置１００は、ログ取得部１０１、優先度保存部１０２、ログ保存部１０３、更新指示取得部１０４、優先度更新部１０５、及びログ送信部１０６を備える。

ここで、「移動体」とは、移動可能な物体をいい、移動速度は任意である。また移動体が停止している場合も当然含む。例えば、自動車、自動二輪車、自転車、歩行者、船舶、航空機、及びこれらに搭載される物を含み、またこれらに限らない。

本実施形態を含め、以下に示す実施形態では、ログ送信制御装置１００は、図２のＣＧＷ１１の内部に設けられているとして説明する。もっとも、ログ送信制御装置１００が設けられている場所はこれに限られず、例えばネットワーク１４に接続された任意の場所に設けることができる。例えば、独立した専用のＥＣＵとして設けてもよいし、サブゲートウェイの役割を有するＥＣＵ１３に設けられてもよい。

ログ送信制御装置１００の形態は、部品、半完成品、完成品のいずれでもよい。本実施形態ではログ送信制御装置１００はＣＧＷ１１の内部の半導体回路によって実現されているので、部品の形態に属する。
その他、部品の例として半導体モジュール、半完成品の形態として独立したＥＣＵ、完成品の形態として、サーバ、ワークステーション、パーソナルコンピュータ（ＰＣ）、スマートフォン、携帯電話、ナビゲーションシステムが挙げられるが、これらに限らない。

ログ送信制御装置１００は、汎用のＣＰＵ（Central Processing Unit）、ＲＡＭ等の揮発性メモリ、ＲＯＭ、フラッシュメモリ、又はハードディスク等の不揮発性メモリ、各種インターフェース、及びこれらを接続する内部バスで構成することができる。そして、これらのハードウェア上でソフトウェアを実行することにより、図３に記載の各機能ブロックの機能を発揮させるように構成することができる。

ログ取得部１０１は、ログ送信制御装置１００に接続されたＥＣＵ１３の「状態」を示すログを取得する。ＥＣＵ１３の状態を示すログ（以下、状態ログ）はサーバ装置２０におけるログ解析に使用されるログであり、例えば、ＥＣＵ１３が実現する各々の機能の動作の他、ＥＣＵ１３へのデータの入出力（データを入力又は出力する間隔、入出力されたデータのサイズ等）、ＥＣＵ１３自体のＣＰＵ使用率やメモリ使用量といったリソースを記録したログである。状態ログはさらに、ＥＣＵ１３の機能やバージョン情報、ログ送信制御装置１００が搭載された自動車の種別情報等を記録するものであってもよい。また、状態ログはさらに、ＥＣＵ１３の状態に加えて、時刻情報やＥＣＵの識別情報といった情報を含んでもよい。

ここで、「状態」を示すログ、とは、例えば、ＥＣＵの動作といった常に変化する動的な状態を記録したものの他、ＥＣＵのバージョンや機能といった基本的には変化しない静的な状態を記録したものも含む。

優先度保存部１０２は、サーバ装置２０に状態ログを送信する「優先度」を示す優先度情報を保存する。優先度保存部１０２に保存される優先度情報の詳細は後述する。

ここで、「優先度」は、所定の評価基準に基づいて定められる指標であり、表現方法は任意である。例えば、数字で表す場合の他、記号で表してもよい。指標によって分類される数は複数であればよく、有限であっても無限であってもよい。

ログ保存部１０３は揮発性又は不揮発性のメモリであり、ログ取得部１０１が取得した状態ログを保存する。ログ保存部１０３に保存される状態ログは、ログ保存部１０３の保存容量を確保するために、後述するログ送信部１０６から送信された後に自動的に削除される。また、状態ログの容量がログ保存部１０３の保存容量に達した場合には、ログ保存部１０３に保存されている状態ログのうち、優先度情報が示す優先度が低い状態ログから順に破棄されてもよい。また、サーバ装置２０から特定の状態ログを破棄する指示を受信した場合にも、ログ保存部１０３に保存された状態ログを破棄してもよい。サーバ装置２０は、例えば、サイバー攻撃によって改ざんされた状態ログや、故障によって異常な値を示す状態ログを破棄することを指示することが想定される。

更新指示取得部１０４は、後述する更新指示装置３００で生成された更新指示を取得する。この更新指示は、優先度保存部１０２に保存された優先度情報を更新することを指示するものであり、優先度情報の更新内容を含む。例えば、更新指示は、優先度を更新すべき状態ログの種別、各状態ログの優先度の更新値、優先度の更新値の有効期限を含む。

優先度更新部１０５は、更新指示取得部１０４が取得した更新指示に基づいて、優先度保存部１０２に保存されている優先度情報を更新する。

ログ送信部１０６（「送信部」に相当）は、優先度保存部１０２に保存された優先度情報が示す優先度に「基づいて」、ログ保存部１０３に保存された状態ログをサーバ装置２０に送信する。優先度更新部１０５によって優先度情報が更新されている場合には、ログ送信部１０６は、状態ログとともに、更新後の優先度情報をサーバ装置２０に送信してもよい。

ここで、優先度に「基づいて」ログを送信する、とは、優先度を用いることで、優先度が低いログと比較して優先度が高いログを優先的に送信することを実現していればよく、例えば、優先度が高いログから順次送信すること、優先度が高いログの送信頻度を優先度が低いログの送信頻度より高くすること、を含む。

例えば、ログ取得部１０１が状態ログを取得すると、優先度保存部１０２に保存されている優先度情報の中から取得した状態ログに対応する優先度が抽出され、抽出した優先度が付与された状態ログがログ保存部１０３に保存される。そして、ログ送信部１０６には、高い優先度が付与された状態ログから順に出力される。これにより、ログ送信部１０６は、優先度に基づいて、つまり、優先度が高いものから順に状態ログをサーバ装置２０に順次送信する。

あるいは、優先度が高い状態ログについては高い頻度で、優先度が低い状態ログについては低い頻度でサーバ装置２０に送信してもよい。

図４は優先度保存部１０２に保存される優先度情報の一例を示している。図４の例では、優先度保存部１０２には、優先度情報として、サーバ装置２０に送信する状態ログの種別、状態ログの優先度、及び優先度の有効期限がそれぞれ保存されている。また、優先度は、最新の優先度及びデフォルト優先度を含む。図４に示す例では、優先度は１～１５の数値で表されており、数値が小さいほど優先順位が高いことを示している。また、優先度の有効期限とは、最新の優先度の有効期限である。

デフォルト優先度（「所定の優先度」に相当）は、例えば、ＣＧＷ１１や車載システム１０の製造業者、又は車載システム１０を搭載する自動車の販売業者によって予め設定される所定の値を有する優先度である。そして、最新の優先度は状態ログをサーバ装置２０に送信する際に使用する優先度であり、優先度更新部１０５は、最新の優先度の値を更新指示が指示する優先度の値に更新する。なお、このデフォルト優先度として、複数のデフォルト優先度が予め設定されていてもよい。複数のデフォルト優先度が設定されている場合には、車両の状態に応じて、いずれのデフォルト優先度を使用するかを決定してもよい。

図４ａは、初期状態として優先度保存部１０２に保存されている情報を示している。そのため、最新の優先度はデフォルト優先度と等しい。また、最新の優先度の有効期限は設定されておらず、更新指示によって最新優先度が更新されるまで、デフォルト優先度と等しい最新の優先度が使用される。図４ａの例では、各状態ログの優先度はいずれも１０～１５のいずれかであり、各状態ログの優先度はいずれも然程高くないことが分かる。

優先度保存部１０２が図４ａに示す情報を保存している場合、ログ送信部１０６は、図４ａに示す最新の優先度に基づいて、各状態ログをサーバ装置２０に送信する。

なお、最も低い優先度は、状態ログを送信しないことを示してもよい。優先度が最も低く、状態ログを送信しないことを示している場合、この優先度に対応する状態ログは、優先度情報が更新されるまでサーバ装置２０に送信されない。

これに対し、図４ｂは、更新指示に基づいて優先度情報が更新された後の優先度保存部１０２に保存されている情報を示している。図４ｂでは各状態ログの優先度はいずれも２～５であり、最新の優先度がデフォルト優先度とは異なる値に更新されている。図４の例では、更新指示に基づいて、各状態ログの優先度がデフォルト優先度よりも高くなるように更新されたことが分かる。さらに、図４ｂでは、図４ａとは異なり、有効期限が設定されている。これは、更新された最新の優先度の有効期限を示しており、有効期限を過ぎると最新の優先度はデフォルト優先度に再び更新される。

優先度保存部１０２が図４ｂに示す情報を保存している場合、ログ送信部１０６は、図４ｂに示す最新の優先度に基づいて、各状態ログをサーバ装置２０に送信する。この例では、ＥＣＵ－Ａのバージョン情報ログ及びＥＣＵ－Ｂのバージョン情報ログの優先度が最も高いため、これらの状態ログから順にサーバ装置２０に送信する。

（２）更新指示装置の構成
次に、図５を用いて、更新指示装置３００の構成を説明する。更新指示装置３００は、異常検出部３０１、更新情報保存部３０２、指示生成部３０３、及び送信部３０４を備える。

更新指示装置３００は、ログ送信制御装置１００と同様に、自動車に搭載されている。本実施形態を含め、以下に示す実施形態では、更新指示装置３００は、ログ送信制御装置１００の外部、例えば、図２のＥＣＵ１３の内部に設けられているとして説明する。更新指示装置３００が、ＥＣＵ１３の内部に設けられる場合、各機能に近い場所に設けられることになる。そのため、更新指示装置３００は、異常が発生してからのタイムラグが少ない状態で異常の検知、及び更新指示を行うことができ、解析に必要な情報が失われるのを防ぐことができる。しかしながら、更新指示装置３００が設けられている場所はこれに限られず、ログ送信制御装置１００とともにＣＧＷ１１に設けられてもよい。ＣＧＷ１１は一般に車載システム１０を構成するＥＣＵの中でも特に高い性能を有する。そのため、更新指示装置３００をＣＧＷ１１に設けることにより、ＣＧＷ１１よりも性能が低いＥＣＵ１３の負荷が増大するのを防ぐことができる。さらに、ＣＧＷ１１は多くの車載ネットワーク１４に接続されているため、各ネットワークの監視も行うことができる。

異常検出部３０１は、ＥＣＵ１３に発生した異常を「検出」する。異常検出部３０１は、例えば、ＣＦＩ（Control Flow Integrity）、ＩＤＳ（Intrusion Detection System）、ＳＳＬ証明書のエラーや伝送エラー等のエラーチェック、フィルタリングすべき通信の検出、リソースモニタリング等によって異常な状態を示す状態ログを検出することにより、ＥＣＵ１３に発生した異常を検出する。又は、異常検出部３０１は、更新指示装置３００とは別のＥＣＵ１３に設けられた異常検出装置（図示せず）から異常が発生したことを示す情報を取得することにより、ＥＣＵ１３に発生した異常を「検出」してもよい。異常検出部３０１はＥＣＵ１３をリアルタイムでモニタして異常を検出することができるため、サイバー攻撃を受けた後に遅滞なく異常を検出できる可能性が高い。

ここで、「検出」する、とは、異常検出部自体が異常を発見することによって異常を検出する場合の他、他の装置から異常が発見されたことを示す情報を取得することにより、異常を検出することを含む。

更新情報保存部３０２は、異常検出部３０１が検出しうる異常の内容毎に、優先度を更新すべき状態ログ、優先度の更新値、及び優先度の有効期限を保存している。更新情報保存部３０２に保存される情報の詳細については後述する。

指示生成部３０３は、異常検出部３０１が異常を検出すると、更新情報保存部３０２から、検出した異常の「内容」に対応する、更新すべき状態ログ、優先度の更新値、及び有効期限の情報を抽出して更新指示を生成する。つまり、指示生成部３０３は、所定の状態ログについて、検出された異常の「内容」に応じた優先度に所定の有効期間だけ更新することを指示する更新指示を生成する。

ここで、異常の「内容」とは、異常の種別の他、異常の程度、異常が発生した場所、更には異常発生の事実も含む。

送信部３０４は、指示生成部３０３が生成した更新指示をログ送信制御装置１００に送信する。送信部３０４はさらに、異常な状態を示す状態ログに対し、異常検出部３０１が検出した異常の種別等を示す異常情報を付与して、ログ送信制御装置１００に送信してもよい。

図６は、更新情報保存部３０２に保存される情報の一例を示している。図６の例では、異常検出部３０１が検出する異常の例として、ＥＣＵ－ＡのＣＦＩ異常及びＣＡＮ通信のログ異常を挙げている。更新情報保存部３０２はさらに、これらの異常が検出された場合に、優先度を更新すべき状態ログの種別と、それぞれの状態ログの優先度の更新値及び有効期限を保存している。

例えば、異常検出部３０１がＥＣＵ－ＡのＣＦＩ異常を検出した場合、図６に示す５つの状態ログについて、それぞれの優先度の更新値に優先度情報を更新することを指示する更新指示を生成する。

なお、図６に示すとおり、異常検出部３０１がＥＣＵ－Ａの異常を検出した場合でも、優先度を更新すべき状態ログはＥＣＵ－Ａの状態ログに限定されない。例えば、更新情報保存部３０２は、外部通信ＥＣＵ１２から異常が発生したＥＣＵ（例えば、ＥＣＵ－Ａ）までの経路に存在するＥＣＵ、つまり、ＣＧＷ１１や外部通信ＥＣＵ１２の状態ログについても、優先度を更新すべき状態ログとしてもよい。外部通信ＥＣＵ１２から異常が発生したＥＣＵまでの経路に存在するＥＣＵは、サイバー攻撃を受けた経路に存在しているため、サイバー攻撃による影響を受けている可能性がある。そこで、このような経路上に存在するＥＣＵの状態ログの優先度を高い優先度に更新して、サーバ装置２０に送信することにより、サーバ装置２０では、これらのＥＣＵの被害状況の把握、攻撃経路の特定、又はＥＣＵの脆弱性を特定できる可能性がある。同様に、異常検出部３０１がＣＡＮ通信のログの異常を検出した場合、異常が発生したＥＣＵとバスで接続されたＥＣＵや、異常が検出されたログと同じＩＤを有するログを送受信するＥＣＵにおける状態ログを、優先度を更新すべき状態ログとしてもよい。

このように、異常が発生したＥＣＵに限定せず、異常が発生したＥＣＵに関連するＥＣＵの状態ログの優先度についても、優先度を更新すべき状態ログとして更新情報保存部３０２に保存しておくことが望ましい。これにより、サーバ装置２０は、サイバー攻撃の可能性又は被害状況を詳細に解析することが可能となる。

更新情報保存部３０２に保存される、優先度を更新すべき状態ログの種別、優先度の更新値、及び優先度の有効期限は、ＥＣＵの機能の重要度、ＥＣＵ同士の関連性等を考慮して設定され、例えば、優先度保存部１０２に保存される優先度情報と同様、製造メーカ等によって予め保存される、あるいは、サーバ装置２０からの指示によって定期的に更新されてもよい。なお、サイバー攻撃に対する対応までに要する期間は一般に、平均１週間、最長１月程度であると考えられている。そのため、優先度の有効期間は、規定値として１週間としてもよい。

さらに、更新情報保存部３０２は、異常の種別が同じであっても、異常の深刻度に応じて、異なる状態ログ、優先度の更新値、有効期限を設定してもよい。異常の深刻度は、例えば、異常の程度（例えば、異常なログが示す値と閾値との差分）や、異常が発生した箇所によって設定されてもよい。また、送信部３０４が、異常が検出された状態ログをログ送信制御装置１００に送信する場合には、異常の種別や深刻度の情報を状態ログに付与して送信してもよい。なお、当然のことながら、更新情報保存部３０２に保存される異常の内容、及び優先度を更新すべき状態ログ等は、図６に示す例には限定されない。

また、図６の例では、ＥＣＵ－ＡのＣＦＩ異常が発生したときのＥＣＵ－ＡのＣＦＩログの優先度更新値は２であり、ＣＡＮ通信のログ異常が発生したときのＥＣＵ－ＡのＣＦＩログの優先度更新値は３である。そのため、万一、ＥＣＵ－ＡのＣＦＩ異常が発生した後にＣＡＮ通信のログ異常が発生した場合、ログ送信制御装置１００の優先度保存部１０２に保存されたＥＣＵ－ＡのＣＦＩログに対応する優先度は、最初の更新指示によって“２”に更新された後、次の更新指示によって“３”に更新されることになり、低い優先度で上書きされるおそれがある。そのため、ログ送信制御装置１００の優先度更新部１０５は、更新指示に基づいて更新された優先度情報が示す優先度は、低い優先度に上書きされないように予め設定してもよい。

（３）サーバ装置
図７を用いて、サーバ装置２０の構成を説明する。サーバ装置２０は、通信部２１、データベース２２、及びログ解析部２３を備える。

通信部２１は、通信ネットワーク２を用いて、車載システム１０と通信を行う。

データベース２２は、ログデータベース（以下、ログＤＢ）２２１、セキュリティデータベース（以下、セキュリティＤＢ）２２２を含むデータベースである。ログＤＢ２２１は、車載システム１０から送信され、通信部２１で受信したログを収集して保存する。セキュリティＤＢ２２２は、後述するログ解析部２３での解析結果や、過去のサイバー攻撃に関する脅威、車載システム１０の脆弱性に関する情報を保存する。

ログ解析部２３は、ログ送信制御装置１００のログ送信部１０６から送信されたログを解析することにより、車両に発生したセキュリティ異常、つまり、サイバー攻撃の詳細、例えば、攻撃者、攻撃経路、原因、攻撃による影響等を解析する。ログ解析部２３によるセキュリティ異常の解析手法は任意である。例えば、ログ解析部２３は、セキュリティＤＢ２２２の情報等を用いて解析してもよい。ログ解析部２３による解析結果は車載システム１０にフィードバックする、又はセキュリティ管理者にレポートとして出力してもよい。

（４）ログ送信制御装置の動作
次に、図８を用いて、ログ送信制御装置１００の動作を説明する。なお、以下の動作は、ログ送信制御装置１００を用いたログ送信制御方法を示すだけでなく、ログ送信制御装置１００で実行されるプログラムの処理手順を示すものである。また、これらの処理は、図８で示した順序には限定されない。すなわち、あるステップでその前段のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。以上、本実施形態だけでなく、他の実施形態においても同様である。

Ｓ１０１において、更新指示取得部１０４が更新指示を取得すると（Ｓ１０１：Ｙｅｓ）、更新指示に基づいて優先度保存部１０２に保存されている優先度情報を更新する（Ｓ１０２）。Ｓ１０３において、ログ取得部１０１は、ＥＣＵ１３から送信される状態ログを取得する（Ｓ１０３）。

優先度保存部１０２に保存されている優先度情報が示す優先度に基づいて、Ｓ１０３において取得した状態ログをサーバ装置２０に送信する。Ｓ１０２において優先度情報が更新されている場合、更新後の優先度情報が示す優先度に基づいて、状態ログは送信される。

優先度保存部１０２に保存された優先度の有効期限となるまで、Ｓ１０２で更新された更新後の優先度情報は維持される。そして、優先度保存部１０２に保存された優先度の有効期限になると（Ｓ１０５：Ｙｅｓ）、優先度更新部１０５は、優先度保存部１０２に保存された優先度の値を、デフォルト優先度に更新する（Ｓ１０６）。

（５）小括
以上、本実施形態のログ送信制御装置１００によれば、自動車に搭載された更新指示装置３００からの更新指示に基づいて状態ログの優先度情報を更新する。自動車に搭載された更新指示装置３００では、サイバー攻撃を受けてからタイムラグなく異常を検知して更新指示を生成することができるため、優先度保存部１０２に保存された状態ログの優先度情報を迅速に更新することができる。

（６）変形例１
上述した実施形態１では、更新指示に基づいて優先度情報が更新された場合、ログ送信制御装置１００は更新後の優先度情報に基づいてログ取得部１０１が取得する状態ログをサーバ装置２０に送信した。ここで、ログ送信制御装置１００がサーバ装置２０に送信する状態ログは、優先度情報を更新する前にログ保存部１０３に保存された状態ログであってもよい。優先度更新部１０５が優先度情報を更新する前にログ保存部１０３に保存された状態ログ（「更新前ログ」に相当）には、更新前のデフォルト優先度が付与されている。しかしながら、優先度更新部１０５が優先度を更新すると、ログ保存部１０３に保存された状態ログには、更新後の優先度が改めて付与される。これにより、ログ保存部１０３に保存されている状態ログは、更新後の優先度情報が示す優先度に基づいてサーバ装置２０に送信される。

これにより、サーバ装置２０は、異常が発生する前、つまり正常時の状態ログと、異常発生後の状態ログの双方を用いてログ解析を行うことができるため、より詳細にサイバー攻撃の解析を行うことが可能となる。

（７）変形例２
上述した実施形態１では、優先度情報とは、ログ送信制御装置１００がサーバ装置２０に状態ログを送信する優先度を示す情報であると説明した。しかしながら、優先度情報は、サーバ装置２０に状態ログを送信する優先度に加えて、ログ保存部１０３に状態ログを蓄積する優先度を示す情報をさらに示すものであってもよい。

優先度の有効期限を長く設定した場合、サーバ装置２０がサイバー攻撃の解析を行うのに必ずしも必要がない多くの状態ログがログ送信部１０６から送信されることになるため、ログ送信制御装置１００のリソースを多く消費する可能性がある。しかしながら、優先度の有効期限を短く設定すると、サーバ装置２０での解析に必要な状態ログの優先度がデフォルト優先度に自動的に更新されて、誤って破棄されるおそれがある。

そこで、本変形例では、サーバ装置２０に状態ログを送信する優先度とは別に、ログ保存部１０３に状態ログを蓄積する優先度を設定する。この場合、サーバ装置２０に状態ログを送信する有効期限が過ぎて優先度がデフォルト優先度に更新され、状態ログを送信する順序や頻度が低下しても、ログ保存部１０３に保存する優先度を高い値に設定しておくことで、必要な状態ログが破棄されるのを防ぐことができる。そして、サーバ装置２０から、特定の状態ログのアップロード要求があったときは、ログ保存部１０３に保存されている状態ログをサーバ装置２０に送信することができる。

（８）変形例３
上述した実施形態では、更新指示装置３００は、異常検出部３０１が異常を検出したときに、優先度を更新する更新指示を生成する構成を説明した。しかしながら、更新指示装置３００は、異常を検出していない場合であっても優先度を更新する更新指示を生成する構成としてもよい。

例えば、更新指示装置３００は、車両の走行中、停車中、自動運転中、高速道路などの特定の道路の走行中、などといった車両の状態に応じて、優先度を更新することを指示する更新指示を生成してもよい。この場合、更新指示装置３００は、優先度を更新することを指示することに加えて、車両の状態に応じてさらに、優先度をデフォルト優先度に更新することを指示する更新指示を生成してもよい。例えば、車両が高速道路を走行している場合には特定のログの優先度が高くなるように優先度を更新し、高速道路から一般道に移動した場合には、ログの優先度がデフォルト優先度となるように優先度を更新してもよい。

３．実施形態２
本実施形態は、ログ送信制御装置１００の更新指示取得部１０４が、更新指示装置３００が生成した更新指示に加えて、サーバ装置が生成した更新指示を取得し、これらの更新指示に基づいて優先度情報を更新するものである。

本実施形態のログ送信制御装置１００及び更新指示装置３００の構成は、図３、図５を参照して説明する。

（１）サーバ装置の構成
図９は、本実施形態のサーバ装置３０の構成を示している。サーバ装置３０は、実施形態１のサーバ装置２０が有する各構成に加えて、更新情報保存部３１及び指示生成部３２を備える。更新情報保存部３１及び指示生成部３２はそれぞれ、実施形態１の更新指示装置３００の更新情報保存部３０２及び指示生成部３０３と同様の機能を有する。すなわち、更新情報保存部３１は、ログ解析部２３によるログ、ひいては車両の車載システムに発生したセキュリティ異常の解析結果に応じて、優先度を更新すべき状態ログ、優先度の更新値、有効期限を保存する。また、指示生成部３２（「サーバ側指示生成部」に相当）は、ログ解析部２３によるセキュリティ異常の解析結果に基づいて、ログ送信制御装置１００の優先度保存部１０２に保存された優先度情報を更新することを指示する更新指示（「第２の更新指示」に相当）を生成する。

ただし、ログ解析部２３は、セキュリティＤＢに保存されたサイバー攻撃に関する多くの情報や、サーバ装置３０の豊富なリソースを利用して解析を行うことができるため、サイバー攻撃の詳細な解析に有用と思われる状態ログの優先度をより高い精度で判定して設定することができる。そのため、サーバ装置３０の更新情報保存部３１は、更新指示装置３００の更新情報保存部３０２よりも詳細に分類された更新情報を保存していることが望ましい。あるいは、サーバ装置３０は更新情報保存部３１に代えて、ログの解析結果に応じて適切な状態ログの優先度の更新値を適宜判定する更新情報判定部（図示せず）を有してもよい。あるいは、サーバ装置３０のユーザが、ログ解析部２３による解析結果に基づいて、優先度の更新値を手動で設定してもよい。更新情報保存部３０２に保存される情報と同様、サーバ装置３０では、異常の種別が同じであっても、異常の深刻度に応じて、異なる状態ログ、優先度の更新値、有効期限を設定してもよい。

そして、指示生成部３２は、優先度保存部１０２に保存された優先度情報を更新することを指示する更新指示を生成し、通信部２１を介してログ送信制御装置１００に送信する。

（２）ログ送信制御装置
本実施形態のログ送信制御装置１００の更新指示取得部１０４は、更新指示装置３００で生成された更新指示（「第１の更新指示」に相当）に加えて、サーバ装置３０の指示生成部３２で生成された更新指示（「第２の更新指示」に相当）を外部通信ＥＣＵ１２を介して取得する。

優先度更新部１０５は、更新指示装置３００で生成された更新指示、及びサーバ装置３０で生成された更新指示に基づいて優先度情報を更新する。

本実施形態におけるログ送信制御装置１００の動作は、実施形態１と同様である。ただし、Ｓ１０１で取得する更新指示は、更新指示装置３００で生成された更新指示、又はサーバ装置３０で生成された更新指示のいずれかである。

サーバ装置３０は、車載システム１０から送信される状態ログに基づいて異常の解析を行い、その解析結果に基づいて、サイバー攻撃の更なる解析に必要な状態ログの優先度を高くするための更新指示を生成する。そのため、指示生成部３２が更新指示を生成するまでに時間がかかる可能性がある。また、指示生成部３２が生成した更新指示をログ送信制御装置１００に送信する際、ネットワーク２の通信環境が悪いと、ログ送信制御装置１００が更新指示を取得するまでに時間がかかる可能性がある。

しかしながら、本実施形態では、サーバ装置３０からの更新指示を取得する前に、更新指示装置３００の指示生成部３０３で生成された更新指示に基づいて、状態ログの優先度情報を更新することができる。そのため、サイバー攻撃が発生してから、ログ送信制御装置１００がサーバ装置３０からの更新指示を取得するまでにタイムラグが発生しても、更新指示装置３００からの更新指示に基づいて更新された優先度情報が示す優先度を用いて、状態ログをサーバ装置３０に送信することができる。その結果、サーバ装置３０からの更新指示を取得するまでに、ログ解析に必要とされる状態ログが誤って失われるのを防ぐことができる。

なお、本実施形態の更新指示は、更新指示の指示元が更新指示装置３００又はサーバ装置３０のいずれであるかを示す指示元情報を含んでもよい。つまり、更新指示装置３００で生成された更新指示には、優先度を更新する指示元が更新指示装置３００であることを示す指示元情報（「第１の指示元情報」に相当）を含み、サーバ装置３０で生成された更新指示には、指示元がサーバ装置３０であることを示す指示元情報（「第２の指示元情報」に相当）を含む。この場合、優先度保存部１０２は、図４に示す各情報に加えて指示元情報を保存する。

サーバ装置３０で生成された更新指示はさらに、当該更新指示に基づいて更新された優先度情報が、更新指示装置３００で生成された更新指示によって更新されないことを示す情報を含んでもよい。

例えば、サーバ装置３０で生成された更新指示に基づいて優先度情報が更新された後、更新指示装置３００が新たな異常を検出して、新たな更新指示を生成する可能性がある。この場合、サーバ装置３０で生成された更新指示に基づいて更新された優先度情報は、更新指示装置３００で生成された新たな更新指示に基づいて再度更新される。しかしながら、先に発生した異常の解析に必要とされる十分な状態ログがサーバ装置３０に送信される前に優先度情報が再び更新されると、サーバ装置３０は先に発生した異常を解析するのに十分な状態ログを収集できないおそれがある。そこで、サーバ装置３０で生成される更新指示に基づく優先度情報が、更新指示装置３００の更新指示によって更新されないことを示す情報を含むことにより、更新指示装置３００で生成された新たな更新指示に基づいて優先度情報が再び更新され、上書きされるのを防ぐことができる。なお、サーバ装置３０の更新指示は、サーバ装置３０の更新指示による更新のみを許可する情報を含むことにより、更新指示装置３００の更新指示によって更新されないことを示してもよい。

さらに、更新指示が指示元情報を含む場合、指示元情報が更新指示装置３００の更新指示によって優先度情報が更新されないことを示してもよい。例えば、サーバ装置３０からの更新指示は、更新指示装置３００の更新指示によって優先度情報が更新されないことを示す指示元情報（例えば、指示元ＩＤ：0000）、又は更新指示装置３００の更新指示によって優先度情報の更新を許可することを示す指示元情報（例えば、指示元ＩＤ：1111）のいずれかを含むものとする。同じサーバ装置３０で生成される更新指示であるが、異なる指示元情報を含むことにより、更新指示の情報量を増やすことなく、更新指示装置３００の更新指示によって更新されるか否かを示すことができる。なお、これらの指示元情報は、更新指示装置３００の更新指示による優先度情報の更新可否のいずれを示すかを予め特定している必要がある。したがって、このような指示元情報は、更新指示装置３００の更新指示によって更新されるか否かを示す情報であるといえる。

図１０は、本実施形態による優先度保存部１０２に保存された優先度情報の更新の一例を示している。図１０ａは初期状態として優先度保存部１０２に保存されている情報を示しており、図１０ｂは、更新指示装置３００の更新指示に基づいて優先度情報が更新された後の優先度保存部１０２に保存されている情報を示している。また、図１０ａ、図１０ｂはそれぞれ、図４ａ、図４ｂに対応しているが、図４とは異なり、指示元情報及び更新指示装置３００による更新の可否情報が含まれている。図１０ａはデフォルトの優先度を示しているため、指示元は明示されていない。しかしながら、デフォルトの優先度がサーバ装置３０から送信されている場合には、指示元情報はサーバ装置３０を示してもよい。また、図１０ｂは、更新指示装置３００の更新指示に基づいて優先度情報が更新された後の情報であるため、指示元情報は指示元が更新指示装置３００であることを示している。

図１０ｃは、サーバ装置３０の更新指示に基づいて優先度情報が更新された後の優先度保存部１０２に保存されている情報を示している。図１０ｃでは、ＥＣＵ－Ａのバージョン情報ログ及びＥＣＵ－ＡのＣＦＩログの最新の優先度は、図１０ｂの最新の優先度と異なっている。これは、サーバ装置３０の更新指示に基づいて、優先度情報が更新されたことを示している。そのため、これら２つの状態ログに対応する指示元情報は、指示元がサーバ装置であることを示している。さらに、これら２つの状態ログの指示元はサーバ装置であるため、優先度情報がさらに更新指示装置３００によって更新可能か否かを示す情報が更新されている。図１０ｃの例では、ＥＣＵ－Ａのバージョン情報ログについては、更新指示装置３００の更新指示によって更新されてもよく、ＥＣＵ－ＡのＣＦＩログについては、更新指示装置３００の更新指示によって更新されないことを示している。

本実施形態では、更新指示装置３００からの更新指示に基づいて更新された更新後の優先度情報をサーバ装置３０に送信することが望ましい。更新後の優先度情報をサーバ装置３０に送信することにより、サーバ装置３０は、ログ送信制御装置１００において設定されている状態ログの優先度を把握することができる。そのため、更新指示装置３００からの更新指示によって既に優先度情報が更新されており、サーバ装置３０からの更新指示によって優先度情報を更新する必要がない場合には、更新指示から不要な情報を除外してログ送信制御装置１００に送信することができ、更新指示による通信量を抑制することが可能となる。

本実施形態によれば、更新指示装置３００における簡易的な異常検出結果を用いて、迅速な優先度の更新を行い、さらにサーバ装置３０による詳細なログの解析結果を用いて、優先度の更なる更新を行う。これにより、更新指示装置３００からの更新指示のみに基づいて優先度の更新を行う場合よりも、サイバー攻撃の解析に必要な状態ログをより高い精度で判定して、適切な優先度を設定して更新することができる。さらに、サーバ装置３０からの更新指示のみに基づいて優先度の更新を行う場合よりも、迅速に優先度を更新することが可能となり、車載システム１０とサーバ装置３０との通信環境が悪く、サーバ装置３０からの優先度の更新指示を適切に受信できない場合であっても、必要なログが誤って失われるのを防ぐことができる。

４．実施形態３
上述した実施形態では、優先度に有効期限を設ける構成を説明した。優先度に有効期限を設ける場合、有効期限を過ぎると優先度はデフォルト優先度に自動的に更新されるため、状態ログの優先度が高い値に更新されたままサーバ装置に送信され続けることはない。しかしながら、サーバ装置による解析が完了する前に有効期限が過ぎると、サーバ装置は解析に必要とされる十分な状態ログを収集できないおそれがある。有効期限を長く設定することによって十分な状態ログを収集することはできるが、この場合、状態ログの蓄積量や送信量が増大することにより、ログ送信制御装置のリソースを圧迫するおそれがある。

そこで、本実施形態では、ログ送信制御装置１００の更新指示取得部１０４が、サーバ装置からの更新指示に基づいて、優先度をデフォルト優先度に戻すように更新するとともに、優先度が低い状態ログを必要に応じて削除する構成を説明する。

（１）サーバ装置の構成
本実施形態のサーバ装置の構成は、実施形態２と同様であり図９を参照して説明する。本実施形態のサーバ装置３０の更新情報保存部３１は、ログ解析部２３によるログの解析結果、ひいては車両の車載システムに発生したセキュリティ異常の解析結果に応じて、優先度を更新すべき状態ログ、優先度の更新値を保存する。ただし、本実施形態の更新情報保存部３１では、優先度の有効期限は保存しない。

本実施形態の指示生成部３２は、ログ送信制御装置１００の優先度保存部１０２に保存された優先度情報を更新することを指示する更新指示を少なくとも２回生成する。最初は、実施形態２と同様、ログ解析部２３が車両の車載システムに発生したセキュリティ異常を解析した結果に応じて、指示生成部３２は、サイバー攻撃の詳細な解析に有用と思われる状態ログの優先度を高くすることを指示する更新指示（「第２の更新指示」に相当）を生成する。

次は、ログ解析部２３が、最初の更新指示によって優先度が高く設定された状態ログを収集して解析した結果、サイバー攻撃に対する対応が完了したタイミングであることが望ましい。サイバー攻撃に対する対応が完了とは、攻撃による影響をなくして、再び同様のサイバー攻撃を受けないような対策が完了したことであり、例えば、攻撃の対象になった脆弱性のあるＥＣＵを、無線通信ネットワークを介してリプログラムするといった対応が考えられる。このような場合、サーバ装置３０は、サイバー攻撃に関係する状態ログを収集する必要がなくなるため、指示生成部３２は優先度をデフォルト優先度に戻すことを指示する更新指示（「第３の更新指示」に相当）を生成する。以下、デフォルト優先度に戻すことを指示する更新指示をデフォルト更新指示とする。

あるいは、サイバー攻撃に対する対応が完了したときに代えて、サイバー攻撃の詳細な解析が完了したときに指示生成部３２は優先度をデフォルト優先度に戻すことを指示する更新指示を生成してもよい。サイバー攻撃の解析が完了し、攻撃による影響が許容できることが判明した場合や、サイバー攻撃に対する対応フェーズに移行した場合には、高い優先度で状態ログを収集することは不要であると判断できることがある。そこで、このような場合には、指示生成部３２は、サイバー攻撃の解析が完了したタイミングで、デフォルト更新指示を生成してもよい。あるいは、解析の途中に高い優先度で状態ログを収集することを不要であると判断した場合にも、指示生成部３２はデフォルト更新指示を生成してもよい。

ここで、サイバー攻撃に対する対応が完了したタイミングや、サイバー攻撃の解析が完了したタイミングは、ログ解析部２３の解析状況や、サーバ装置３０からリプログラミング用のデータが送信されたか否かに基づいて指示生成部３２が自動的に判断することを想定している。しかしながら、サーバ装置３０のユーザが、サイバー攻撃に対する対応が完了したことや、サイバー攻撃の解析が完了したことを手動で入力する、あるいは、デフォルト優先度に戻す指示を手動で入力した場合に、指示生成部３２はデフォルト更新指示を生成してもよい。

指示生成部３２がデフォルト更新指示を生成する場合、全ての状態ログについて優先度をデフォルト優先度に戻すことを指示する更新指示としてもよく、あるいは、特定の状態ログを指定してデフォルト優先度に戻すことを指示する更新指示としてもよい。すべての状態ログについてデフォルト優先度に戻す指示は、サーバ装置３０における優先度情報の管理及び通信にかかる処理を簡易にすることができる。これに対し、特定の状態ログのみをデフォルト優先度に戻すことを指示する場合には、サイバー攻撃に対する対応又は解析が完了して、収集が不要となった状態ログの優先度のみをデフォルト優先度に戻すことができる。特定の状態ログのみをデフォルト優先度に戻すことを指示する場合、例えば、状態ログに予め割り当てられた識別番号を指定する、あるいは、特定のセンサによって取得される状態ログを指定してデフォルト更新指示を生成する。

デフォルト更新指示を生成する場合、指示生成部３２はさらに、ログ送信制御装置１００の優先度保存部１０２に保存されていると推定した優先度情報を含むようにデフォルト更新指示を生成してもよい。以下の説明では、指示生成部３２が、優先度保存部１０２に保存されていると推定した優先度情報を、推定優先度情報と称する。優先度保存部１０２に保存されている優先度情報は、指示生成部３２が過去に生成した更新指示に基づいて更新された優先度情報と一致するはずである。そのため、指示生成部３２は、過去に生成した更新指示に基づく更新後の優先度情報が、優先度保存部１０２に保存されている優先度情報であると推定することができる。

（２）ログ送信制御装置の構成
本実施形態のログ送信制御装置１００及び更新指示装置３００の構成は、図３、図５を参照し、実施形態２との相違点を説明する。

実施形態２と同様、本実施形態のログ送信制御装置１００の更新指示取得部１０４は、更新指示装置３００で生成された更新指示（「第１の更新指示」に相当）に加えて、サーバ装置３０の指示生成部３２で生成された、サイバー攻撃の更なる解析に必要な状態ログの優先度が高くなるように更新することを指示する更新指示（「第２の更新指示」に相当）を外部通信ＥＣＵ１２を介して取得する。本実施形態の更新指示取得部１０４はさらに、状態ログの優先度がデフォルト優先度に戻するように更新することを指示するデフォルト更新指示（「第３の更新指示」に相当）を外部通信ＥＣＵ１２を介して取得する。

更新指示取得部１０４がデフォルト更新指示を取得した場合、優先度更新部１０５は、デフォルト更新指示に基づいて、優先度保存部１０２に保存されている優先度情報が示す優先度をデフォルト優先度に戻すように更新する。

また、更新指示取得部１０４が、デフォルト更新指示とともに推定優先度情報を受信した場合、優先度更新部１０５は、優先度保存部１０２に保存されている優先度情報と、受信した推定優先度情報とを比較する。そして、比較した結果、推定優先度情報と、優先度保存部１０２に保存されている優先度情報とが一致する場合には、デフォルト更新指示に基づいて状態ログの優先度をデフォルト優先度に戻すように更新をする。一方、推定優先度情報と、優先度保存部１０２に保存されている優先度情報とが異なる場合には、デフォルト更新指示に基づいて優先度情報を更新しない。優先度情報は、例えば、ハッシュ値を用いて比較してもよい。

推定優先度情報と、優先度保存部１０２に保存された優先度情報とが異なるということは、サーバ装置３０が優先度情報を更新する更新指示を送信した後に、更新指示装置３００が新たな異常を検出して新たな更新指示を生成し、新たな更新指示に基づいて優先度情報がさらに更新された可能性がある。そのため、デフォルト更新指示に基づいてデフォルト優先度に更新すると、新たに発生した異常の解析に必要な状態ログの優先度についてもデフォルト優先度に更新されるため、サーバ装置３０が解析に必要な状態ログを収集できないおそれがある。

そこで、推定優先度情報と、優先度保存部１０２に保存されている優先度情報とが一致する場合に限り、つまり、新たな更新指示に基づいて優先度情報が更新されていない場合に、優先度更新部１０５は状態ログの優先度をデフォルト優先度に戻す処理を行う。これにより、更新指示装置３００で生成された新たな更新指示によって更新された優先度情報が、デフォルト更新指示に基づいて上書きされるのを防ぐことができる。

この構成では、ログ送信制御装置１００は、デフォルト更新指示に基づいて優先度情報が更新されたことを示す情報をサーバ装置３０に送信することが望ましい。推定優先度情報と優先度保存部１０２に保存されている優先度情報が一致し、更新が成功した場合には、ログ送信制御装置１００はデフォルト優先度への更新が完了したことを示す情報をサーバ装置３０に送信する。これにより、サーバ装置３０は、優先度保存部１０２に保存されている優先度情報が示す優先度がデフォルト優先度であると判断することができる。

なお、推定優先度情報と優先度保存部１０２に保存されている優先度情報が異なり、デフォルト優先度への更新が失敗した場合には、ログ送信制御装置１００はデフォルト優先度への更新が失敗したことを示す情報をサーバ装置３０に送信してもよい。これにより、サーバ装置３０は、優先度保存部１０２に保存されている優先度情報が示す優先度が、サーバ装置３０で管理している優先度とは異なると判断することができる。

デフォルト優先度に更新されると、状態ログの優先度は低く更新されるため、サーバ装置３０への状態ログの送信順序が他の状態ログよりも後になる、又は送信頻度が低下することになる。このような、低い優先度の状態ログがログ保存部１０３に蓄積されると、ログ保存部１０３のリソースを消費するだけでなく、優先度の高い状態ログをログ保存部１０３に保存できなくなるおそれがある。そこで、ログ保存部１０３の保存容量に達した場合には、優先度が低い状態ログから順に削除されることが望ましい。デフォルト優先度は低い値で設定されるため、本実施形態では、デフォルト優先度が付与された状態ログから順に、ログ保存部１０３から削除されることになる。なお、ログ保存部１０３の保存容量とは、必ずしもログ保存部１０３の保存可能容量ではなくともよく、予め設定された保存容量の上限値であってもよい。

あるいは、優先度更新部１０５により、優先度情報が示す優先度がデフォルト優先度に更新されるタイミングで、ログ保存部１０３に保存されたログのうち優先度が低いログを破棄してもよい。

なお、デフォルト優先度として複数のデフォルト優先度が設定されている場合、いずれのデフォルト優先度に更新するかは、サーバ装置３０が指示してもよく、あるいは、ログ送信制御装置１００が車両の状態に応じて判断をしてもよい。

（３）ログ送信制御装置の動作
次に、図１１を用いて本実施形態のログ送信制御装置１００の動作を説明する。図８と同じ処理については同じ符号を付し、説明は省略する。

Ｓ１０１において、更新指示取得部１０４は更新指示を取得する。ここで、本実施形態のＳ１０１で取得する更新指示は、更新指示装置３００で生成された更新指示、あるいは、サーバ装置３０で生成された、優先度を高くすることを指示する更新指示又はデフォルト優先度に戻すことを指示するデフォルト更新指示のいずれかである。

Ｓ２０１において、ログ保存部１０３の保存容量の上限に到達したと判定すると（Ｓ２０１：Ｙｅｓ）、優先度が低い状態ログから順に削除する（Ｓ２０２）。また、ログ保存部１０３の保存容量に余裕がある場合には（Ｓ２０１：Ｎｏ）、処理を終了する。

（４）小括
以上のとおり、本実施形態によれば、ログ送信制御装置１００の優先度保存部１０２に保存される優先度情報は、サーバ装置３０からの更新指示に基づいてデフォルト優先度に戻す更新が行われる。これにより、サーバ装置３０が状態ログを必要としなくなった時点で状態ログの優先度を低くすることができるため、不要な状態ログがログ保存部１０３に保存されたり、サーバ装置３０に送信されるのを防ぎ、ログ送信制御装置１００のリソースを有効に利用することが可能となる。さらに、サーバ装置３０がサイバー攻撃の解析に必要な状態ログが誤って破棄されるのを防ぐことが可能となる。

なお、優先度の有効期限を設けないことを前提として、本実施形態３を説明した。しかしながら、他の実施形態と同様、本実施形態においても優先度の有効期限を設定しておいてもよい。この場合、有効期限は、サーバ装置が必要な状態ログを収集するのに十分長い有効期限が設定されることが望ましい。これにより、仮に、車載システム１０とサーバ装置３０との間の通信状況が悪く、優先度をデフォルト優先度に戻す更新指示を送受信できない場合であっても、優先度が高い値の状態が続いてログ送信制御装置１００のリソースを消費し続けるのを防ぐことができる。

また、実施形態３では、実施形態２と同様、サーバ装置３０の指示生成部３２は、サイバー攻撃の更なる解析に必要な状態ログの優先度が高くなるように更新することを指示する更新指示を生成することを前提として説明した。しかしながら、指示生成部３２は、デフォルト更新指示のみを生成するものであってもよい。この場合、サーバ装置３０は、更新指示措置３００で生成された更新指示に基づく更新後の優先度情報をログ送信制御装置１００から受信することにより、優先度保存部１０２に保存されている優先度情報を推定することができる。

５．総括
以上、本発明の各実施形態におけるログ送信制御装置等の特徴について説明した。

各実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。

実施形態の説明に用いたブロック図は、装置の構成を機能毎に分類及び整理したものである。それぞれの機能を示すブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明、及び当該方法を実現するプログラムの発明の開示としても把握できるものである。

各実施形態に記載した処理、フロー、及び方法として把握できる機能ブロック、については、一のステップでその前段の他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

各実施形態、及び特許請求の範囲で使用する、第１、第２、乃至、第Ｎ（Ｎは整数）、の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。

各実施形態は、車両に搭載される車両用の装置を前提としているが、本発明は、特許請求の範囲で特に限定する場合を除き、車両用以外の専用又は汎用の装置も含むものである。

各実施形態では、各実施形態に開示の装置を車両に搭載する前提で説明したが、歩行者が所持する前提としてもよい。

また、本発明のログ送信制御装置の形態の例として、以下のものが挙げられる。
部品の形態として、半導体素子、電子回路、モジュール、マイクロコンピュータが挙げられる。
半完成品の形態として、電子制御装置（ＥＣＵ（Electric Control Unit））、システムボードが挙げられる。
完成品の形態として、携帯電話、スマートフォン、タブレット、パーソナルコンピュータ（ＰＣ）、ワークステーション、サーバが挙げられる。
その他、通信機能を有するデバイス等を含み、例えばビデオカメラ、スチルカメラ、カーナビゲーションシステムが挙げられる。

またログ送信制御装置に、アンテナや通信用インターフェースなど、必要な機能を追加してもよい。

本発明は、各実施形態で説明した構成及び機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記録媒体に記録した本発明を実現するためのプログラム、及びこれを実行可能な専用又は汎用ＣＰＵ及びメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。

専用や汎用のハードウェアの非遷移的実体的記録媒体（例えば、外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ／ＢＤ等）、又は内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記録媒体を介して、あるいは記録媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。

本開示のログ送信制御装置は、主として自動車に搭載される電子制御装置を対象としているが、自動車に搭載されない通常の電子制御装置を対象としてもよい。

３０ サーバ装置、１００ ログ送信制御装置、１０１ ログ取得部、１０２ 優先度保存部、１０３ ログ保存部、１０４ 更新指示取得部、１０５ 優先度更新部、１０６ 送信部、３００ 更新指示装置

Claims (14)

1. 移動体に搭載されるログ送信制御装置（１００）と、前記移動体の外部に位置するサーバ装置（３０）とを有するログ収集システム（１）であって、
   前記ログ送信制御装置は、
   前記ログ送信制御装置に接続された複数の電子制御装置の状態を示すログを取得するログ取得部（１０１）と、
   前記サーバ装置に前記ログを送信する優先度を示す優先度情報を保存する優先度保存部（１０２）と、
   前記移動体に搭載された更新指示装置（３００）で生成された更新指示であって、前記優先度保存部に保存された前記優先度情報を更新することを指示する第１の更新指示、及び、前記サーバ装置で生成された更新指示であって、前記優先度情報を更新することを指示する第２の更新指示及び第３の更新指示を取得する更新指示取得部（１０４）と、
   前記第１の更新指示、前記第２の更新指示、及び前記第３の更新指示に基づいて前記優先度情報を更新する優先度更新部（１０５）と、
   更新後の前記優先度情報が示す優先度に基づいて、前記ログを前記サーバ装置に送信する送信部（１０６）と、を備え、
   前記更新指示取得部は、前記第３の更新指示とともに、前記サーバ装置が前記優先度保存部に保存されている優先度情報であると推定した推定優先度情報を取得し、
   前記優先度更新部は、
   前記推定優先度情報と、前記優先度保存部に保存されている前記優先度情報とが一致する場合、前記第３の更新指示に基づいて前記優先度情報を更新し、
   前記推定優先度情報と、前記優先度保存部に保存されている前記優先度情報とが異なる場合、前記第３の更新指示に基づいて前記優先度情報を更新せず、
   前記サーバ装置は、
   前記送信部から送信された前記ログを受信する通信部（２１）と、
   前記通信部が受信したログを解析し、前記移動体に発生したセキュリティ異常を解析するログ解析部（２３）と、
   前記ログ解析部における解析結果に基づいて、前記優先度情報を更新することを指示する前記第２の更新指示及び前記第３の更新指示を生成するサーバ側指示生成部（３２）と、を備え、
   前記通信部は、前記第２の更新指示を前記ログ送信制御装置に送信し、
   前記第１の更新指示及び前記第２の更新指示は、前記優先度情報が示す前記優先度を所定の優先度よりも高い優先度に更新する指示であり、前記第３の更新指示は、前記優先度情報が示す前記優先度を前記所定の優先度に更新する指示である、
   ログ収集システム。
2. 移動体に搭載されるログ送信制御装置（１００）と、前記移動体の外部に位置するサーバ装置（３０）とを有するログ収集システム（１）であって、
   前記ログ送信制御装置は、
   前記ログ送信制御装置に接続された複数の電子制御装置の状態を示すログを取得するログ取得部（１０１）と、
   前記サーバ装置に前記ログを送信する優先度を示す優先度情報を保存する優先度保存部（１０２）と、
   前記移動体に搭載された更新指示装置（３００）で生成された更新指示であって、前記優先度保存部に保存された前記優先度情報を更新することを指示する第１の更新指示、及び、前記サーバ装置で生成された更新指示であって、前記優先度情報を更新することを指示する第２の更新指示及び第３の更新指示を取得する更新指示取得部（１０４）と、
   前記第１の更新指示、前記第２の更新指示、及び前記第３の更新指示に基づいて前記優先度情報を更新する優先度更新部（１０５）と、
   更新後の前記優先度情報が示す優先度に基づいて、前記ログを前記サーバ装置に送信する送信部（１０６）と、を備え、
   前記サーバ装置は、
   前記送信部から送信された前記ログを受信する通信部（２１）と、
   前記通信部が受信したログを解析し、前記移動体に発生したセキュリティ異常を解析するログ解析部（２３）と、
   前記ログ解析部における解析結果に基づいて、前記優先度情報を更新することを指示する前記第２の更新指示及び前記第３の更新指示を生成するサーバ側指示生成部（３２）と、を備え、
   前記通信部は、前記第２の更新指示を前記ログ送信制御装置に送信し、
   前記第１の更新指示及び前記第２の更新指示は、前記優先度情報が示す前記優先度を所定の優先度よりも高い優先度に更新する指示であり、前記第３の更新指示は、前記優先度情報が示す前記優先度を前記所定の優先度に更新する指示であり、
   前記優先度更新部は、前記優先度保存部に保存されている前記優先度情報が前記所定の優先度とは異なる場合に、前記更新指示取得部が取得した更新指示に基づいて前記優先度情報の更新可否を判定し、前記優先度情報を更新可と判定した場合は前記優先度情報を更新し、更新否と判定した場合は前記優先度情報を更新しない、
   ログ収集システム。
3. 移動体に搭載されるログ送信制御装置（１００）であって、
   当該ログ送信制御装置に接続された複数の電子制御装置の状態を示すログを取得するログ取得部（１０１）と、
   前記移動体の外部に位置するサーバ装置（３０）に前記ログを送信する優先度を示す優先度情報を保存する優先度保存部（１０２）と、
   前記移動体に搭載された更新指示装置（３００）で生成された更新指示であって、前記優先度保存部に保存された前記優先度情報を更新することを指示する第１の更新指示、及び、前記サーバ装置で生成された更新指示であって、前記優先度情報を更新することを指示する第２の更新指示及び第３の更新指示を取得する更新指示取得部（１０４）と、
   前記更新指示に基づいて前記優先度情報を更新する優先度更新部（１０５）と、
   更新後の前記優先度情報が示す優先度に基づいて、前記ログを前記サーバ装置に送信する送信部（１０６）と、
   を備え、
   前記第１の更新指示及び前記第２の更新指示は、前記優先度情報が示す前記優先度を所定の優先度よりも高い優先度に更新する指示であり、前記第３の更新指示は、前記優先度情報が示す前記優先度を前記所定の優先度に更新する指示であり、
   前記更新指示取得部は、前記第３の更新指示とともに、前記サーバ装置が前記優先度保存部に保存されている優先度情報であると推定した推定優先度情報を取得し、
   前記優先度更新部は、
   前記推定優先度情報と、前記優先度保存部に保存されている前記優先度情報とが一致する場合、前記第３の更新指示に基づいて前記優先度情報を更新し、
   前記推定優先度情報と、前記優先度保存部に保存されている前記優先度情報とが異なる場合、前記第３の更新指示に基づいて前記優先度情報を更新しない、
   ログ送信制御装置。
4. 移動体に搭載されるログ送信制御装置（１００）であって、
   当該ログ送信制御装置に接続された複数の電子制御装置の状態を示すログを取得するログ取得部（１０１）と、
   前記移動体の外部に位置するサーバ装置（３０）に前記ログを送信する優先度を示す優先度情報を保存する優先度保存部（１０２）と、
   前記移動体に搭載された更新指示装置（３００）で生成された更新指示であって、前記優先度保存部に保存された前記優先度情報を更新することを指示する第１の更新指示、及び、前記サーバ装置で生成された更新指示であって、前記優先度情報を更新することを指示する第２の更新指示及び第３の更新指示を取得する更新指示取得部（１０４）と、
   前記更新指示に基づいて前記優先度情報を更新する優先度更新部（１０５）と、
   更新後の前記優先度情報が示す優先度に基づいて、前記ログを前記サーバ装置に送信する送信部（１０６）と、
   を備え、
   前記第１の更新指示及び前記第２の更新指示は、前記優先度情報が示す前記優先度を所定の優先度よりも高い優先度に更新する指示であり、前記第３の更新指示は、前記優先度情報が示す前記優先度を前記所定の優先度に更新する指示であり、
   前記優先度更新部は、前記優先度保存部に保存されている前記優先度情報が前記所定の優先度とは異なる場合に、前記更新指示取得部が取得した更新指示に基づいて前記優先度情報の更新可否を判定し、前記優先度情報を更新可と判定した場合は前記優先度情報を更新し、更新否と判定した場合は前記優先度情報を更新しない、
   ログ送信制御装置。
5. 前記送信部は、前記第３の更新指示に基づいて前記優先度情報が更新されたことを示す情報を前記サーバ装置に送信する、
   請求項３又は４記載のログ送信制御装置。
6. 当該ログ送信制御装置はさらに、前記ログ取得部が取得した前記ログを保存するログ保存部（１０３）を備え、
   前記優先度更新部により、前記優先度情報が示す前記優先度が前記所定の優先度に更新されると、前記ログ保存部に保存された前記ログのうち前記優先度情報が示す前記優先度が低いログを破棄する、
   請求項３又は４記載のログ送信制御装置。
7. 当該ログ送信制御装置はさらに、前記ログ取得部が取得した前記ログを保存するログ保存部（１０３）を備え、
   前記ログ保存部に保存された前記ログは、前記優先度情報が示す前記優先度が低いログから順に破棄される、
   請求項３又は４記載のログ送信制御装置。
8. 移動体に搭載されるログ送信制御装置（１００）で実行されるログ送信制御方法であって、
   前記ログ送信制御装置は、前記移動体の外部に位置するサーバ装置（３０）にログを送信する優先度を示す優先度情報を保存する優先度保存部（１０２）を備え、
   当該ログ送信制御方法は、
   前記ログ送信制御装置に接続された複数の電子制御装置の状態を示すログを取得し、
   前記移動体に搭載された更新指示装置（３００）で生成された更新指示であって、前記優先度保存部に保存された前記優先度情報を更新することを指示する第１の更新指示、及び、前記サーバ装置で生成された更新指示であって、前記優先度情報を更新することを指示する第２の更新指示及び第３の更新指示を取得し、
   前記更新指示に基づいて前記優先度情報を更新し、
   更新後の前記優先度情報が示す優先度に基づいて、前記ログを前記サーバ装置に送信し、
   前記第１の更新指示及び前記第２の更新指示は、前記優先度情報が示す前記優先度を所定の優先度よりも高い優先度に更新する指示であり、前記第３の更新指示は、前記優先度情報が示す前記優先度を前記所定の優先度に更新する指示であり、
   前記ログ送信制御装置は、前記第３の更新指示とともに、前記サーバ装置が前記優先度保存部に保存されている優先度情報であると推定した推定優先度情報を取得し、
   前記優先度情報の更新において、
   前記推定優先度情報と、前記優先度保存部に保存されている前記優先度情報とが一致する場合、前記第３の更新指示に基づいて前記優先度情報を更新し、
   前記推定優先度情報と、前記優先度保存部に保存されている前記優先度情報とが異なる場合、前記第３の更新指示に基づいて前記優先度情報を更新しない、
   ログ送信制御方法。
9. 移動体に搭載されるログ送信制御装置（１００）で実行されるログ送信制御方法であって、
   前記ログ送信制御装置は、前記移動体の外部に位置するサーバ装置（３０）にログを送信する優先度を示す優先度情報を保存する優先度保存部（１０２）を備え、
   当該ログ送信制御方法は、
   前記ログ送信制御装置に接続された複数の電子制御装置の状態を示すログを取得し、
   前記移動体に搭載された更新指示装置（３００）で生成された更新指示であって、前記優先度保存部に保存された前記優先度情報を更新することを指示する第１の更新指示、及び、前記サーバ装置で生成された更新指示であって、前記優先度情報を更新することを指示する第２の更新指示及び第３の更新指示を取得し、
   前記更新指示に基づいて前記優先度情報を更新し、
   更新後の前記優先度情報が示す優先度に基づいて、前記ログを前記サーバ装置に送信し、
   前記第１の更新指示及び前記第２の更新指示は、前記優先度情報が示す前記優先度を所定の優先度よりも高い優先度に更新する指示であり、前記第３の更新指示は、前記優先度情報が示す前記優先度を前記所定の優先度に更新する指示であり、
   前記優先度情報の更新において、前記優先度保存部に保存されている前記優先度情報が前記所定の優先度とは異なる場合に、取得した更新指示に基づいて前記優先度情報の更新可否を判定し、前記優先度情報を更新可と判定した場合は前記優先度情報を更新し、更新否と判定した場合は前記優先度情報を更新しない、
   ログ送信制御方法。
10. 移動体に搭載されるログ送信制御装置（１００）で実行されるログ送信制御プログラムであって、
    前記ログ送信制御装置は、前記移動体の外部に位置するサーバ装置（３０）にログを送信する優先度を示す優先度情報を保存する優先度保存部（１０２）を備え、
    当該ログ送信制御プログラムは、
    前記ログ送信制御装置に接続された複数の電子制御装置の状態を示すログを取得し、
    前記移動体に搭載された更新指示装置（３００）で生成された更新指示であって、前記優先度保存部に保存された前記優先度情報を更新することを指示する第１の更新指示、及び、前記サーバ装置で生成された更新指示であって、前記優先度情報を更新することを指示する第２の更新指示及び第３の更新指示を取得し、
    前記更新指示に基づいて前記優先度情報を更新し、
    更新後の前記優先度情報が示す優先度に基づいて、前記ログを前記サーバ装置に送信する、
    ことを含む処理を前記ログ送信制御装置に実行させ、
    前記第１の更新指示及び前記第２の更新指示は、前記優先度情報が示す前記優先度を所定の優先度よりも高い優先度に更新する指示であり、前記第３の更新指示は、前記優先度情報が示す前記優先度を前記所定の優先度に更新する指示であり、
    前記ログ送信制御装置は、前記第３の更新指示とともに、前記サーバ装置が前記優先度保存部に保存されている優先度情報であると推定した推定優先度情報を取得し、
    前記優先度情報の更新において、
    前記推定優先度情報と、前記優先度保存部に保存されている前記優先度情報とが一致する場合、前記第３の更新指示に基づいて前記優先度情報を更新し、
    前記推定優先度情報と、前記優先度保存部に保存されている前記優先度情報とが異なる場合、前記第３の更新指示に基づいて前記優先度情報を更新しない、
    ログ送信制御プログラム。
11. 移動体に搭載されるログ送信制御装置（１００）で実行されるログ送信制御プログラムであって、
    前記ログ送信制御装置は、前記移動体の外部に位置するサーバ装置（３０）にログを送信する優先度を示す優先度情報を保存する優先度保存部（１０２）を備え、
    当該ログ送信制御プログラムは、
    前記ログ送信制御装置に接続された複数の電子制御装置の状態を示すログを取得し、
    前記移動体に搭載された更新指示装置（３００）で生成された更新指示であって、前記優先度保存部に保存された前記優先度情報を更新することを指示する第１の更新指示、及び、前記サーバ装置で生成された更新指示であって、前記優先度情報を更新することを指示する第２の更新指示及び第３の更新指示を取得し、
    前記更新指示に基づいて前記優先度情報を更新し、
    更新後の前記優先度情報が示す優先度に基づいて、前記ログを前記サーバ装置に送信する、
    ことを含む処理を前記ログ送信制御装置に実行させ、
    前記第１の更新指示及び前記第２の更新指示は、前記優先度情報が示す前記優先度を所定の優先度よりも高い優先度に更新する指示であり、前記第３の更新指示は、前記優先度情報が示す前記優先度を前記所定の優先度に更新する指示であり、
    前記優先度情報の更新において、前記優先度保存部に保存されている前記優先度情報が前記所定の優先度とは異なる場合に、取得した更新指示に基づいて前記優先度情報の更新可否を判定し、前記優先度情報を更新可と判定した場合は前記優先度情報を更新し、更新否と判定した場合は前記優先度情報を更新しない、
    ログ送信制御プログラム。
12. 前記優先度保存部に保存されている前記優先度情報が前記第２の更新指示に基づいて更新された優先度であり、前記更新指示取得部が取得した更新指示が前記第１の更新指示の場合、前記優先度更新部は更新否と判定する、
    請求項２記載のログ収集システム。
13. 前記更新指示取得部が取得した更新指示が、前記優先度保存部に保存されている前記優先度情報が示す優先度よりも低い優先度に更新することを指示する場合、前記優先度更新部は更新否と判定する、
    請求項２記載のログ収集システム。
14. 前記送信部はさらに、前記優先度更新部によって更新された優先度を示す優先度情報を前記サーバ装置に送信する、
    請求項２記載のログ収集システム。