WO2019193786A1 - ログ出力方法、ログ出力装置及びプログラム - Google Patents

ログ出力方法、ログ出力装置及びプログラム Download PDF

Info

Publication number
WO2019193786A1
WO2019193786A1 PCT/JP2018/044550 JP2018044550W WO2019193786A1 WO 2019193786 A1 WO2019193786 A1 WO 2019193786A1 JP 2018044550 W JP2018044550 W JP 2018044550W WO 2019193786 A1 WO2019193786 A1 WO 2019193786A1
Authority
WO
WIPO (PCT)
Prior art keywords
log
message
unit
determination
frame
Prior art date
Application number
PCT/JP2018/044550
Other languages
English (en)
French (fr)
Inventor
前田　学
安齋　潤
剛 岸川
Original Assignee
パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ filed Critical パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority to CN201880051341.8A priority Critical patent/CN111066001A/zh
Priority to EP18913659.1A priority patent/EP3771981A4/en
Priority to JP2019556389A priority patent/JP7182559B2/ja
Publication of WO2019193786A1 publication Critical patent/WO2019193786A1/ja
Priority to US16/919,809 priority patent/US11838303B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4604—LAN interconnection over a backbone network, e.g. Internet, Frame Relay
    • H04L12/462—LAN interconnection over a bridge based backbone
    • H04L12/4625—Single bridge functionality, e.g. connection of two networks over a single bridge
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
    • G06F11/3013—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system is an embedded system, i.e. a combination of hardware and software dedicated to perform a certain function in mobile devices, printers, automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3055—Monitoring arrangements for monitoring the status of the computing system or of the computing system component, e.g. monitoring if the computing system is on, off, available, not available
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3466—Performance evaluation by tracing or monitoring
    • G06F11/3476—Data logging
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/48—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for in-vehicle communication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40006—Architecture of a communication node
    • H04L12/40013—Details regarding a bus controller
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/84—Vehicles

Definitions

  • This disclosure relates to a log output method for outputting a communication log in an in-vehicle network.
  • ECU Electronic Control Unit
  • a communication network configured using these ECUs is called an in-vehicle network.
  • One of the mainstream communication standards for in-vehicle networks is Controller Area Network (CAN).
  • CAN Controller Area Network
  • the communication path is composed of two cables, and the ECU connected to the bus is also called a node.
  • Each node connected to the bus transmits and receives data in a unit called a message or a unit called a frame obtained by dividing the message.
  • an identifier indicating a data transmission destination or transmission source is not used.
  • a node (sending node) that transmits a frame transmits a message with an ID called a message ID indicating a message type for each message, that is, sends a signal to the bus.
  • a node that receives a message (receiving node) receives only a message including a predetermined message ID, that is, reads a signal from the bus. Messages with the same ID are transmitted at a constant cycle.
  • a large number of ECUs arranged in a system in an automobile are connected to a CAN network and operate while transmitting and receiving messages to and from each other.
  • an ECU having a communication function with the outside of the CAN network is illegally controlled by somebody and illegally transmitted to the CAN network due to unauthorized access from the outside.
  • An ECU (illegal ECU) that is illegally controlled by such a person can impersonate another ECU and transmit an abnormal message to illegally control the vehicle, for example.
  • a method for detecting such a so-called spoofing attack is disclosed in Patent Document 1, for example.
  • Patent Document 1 can only detect an abnormal message inside the ECU and is difficult to detect using an external device such as a server. In addition, there is a problem that an abnormal message cannot be scrutinized later, not when the message is transmitted.
  • the present disclosure solves the above-described problem, and a log output method and a log output device that generate and output log information necessary to determine whether or not each message sent to the bus is an abnormal message
  • the purpose is to provide.
  • a log output method is a log output method for outputting a communication log in an in-vehicle network system, and anomalies of messages sent to the network are different from each other.
  • An abnormality determination step for performing a plurality of determination processes respectively determined by a method
  • a log generation step for generating the log so that information included in the log does not overlap according to a combination of the results of the plurality of determination processes
  • a log transmission step of transmitting the log is a log output method for outputting a communication log in an in-vehicle network system, and anomalies of messages sent to the network are different from each other.
  • Costs can be reduced by generating and outputting the minimum necessary logs.
  • FIG. 1 is a block diagram showing the overall configuration of the in-vehicle network system in the first embodiment.
  • FIG. 2 is a diagram showing a format of a CAN protocol message (data frame) in the first embodiment.
  • FIG. 3 is a block diagram illustrating an example of a gateway included in the in-vehicle network system according to the first embodiment.
  • FIG. 4 is a diagram showing an example of a reception ID list in the first embodiment.
  • FIG. 5 is a diagram illustrating an example of a transfer rule in the first embodiment.
  • FIG. 6 is a block diagram illustrating an example of an abnormality detection processing function group according to the first embodiment.
  • FIG. 7 is a block diagram illustrating an example of a behavior detection unit according to the first embodiment.
  • FIG. 1 is a block diagram showing the overall configuration of the in-vehicle network system in the first embodiment.
  • FIG. 2 is a diagram showing a format of a CAN protocol message (data frame) in the first embodiment.
  • FIG. 3
  • FIG. 8 is a block diagram illustrating an example of a log output processing function group according to the first embodiment.
  • FIG. 9 is a diagram illustrating a determination example of log output in the log output control unit according to the first embodiment.
  • FIG. 10 is a diagram illustrating an example of values determined to be NG included in the log according to the first embodiment.
  • FIG. 11 is a block diagram illustrating an example of an ECU included in the in-vehicle network system according to the first embodiment.
  • FIG. 12 is a block diagram illustrating an example of a server included in the in-vehicle network system according to the first embodiment.
  • FIG. 13 is a flowchart illustrating an example of the abnormality detection process in the first embodiment.
  • FIG. 14 is a flowchart illustrating an example of transfer processing according to the first embodiment.
  • FIG. 15 is a block diagram illustrating an example of a gateway according to a modification.
  • FIG. 16 is a block diagram illustrating an example of a log output processing function group in the modification.
  • FIG. 17 is a block diagram illustrating an example of a gateway according to a modification.
  • FIG. 18 is a block diagram illustrating an example of an ECU according to a modification.
  • FIG. 19 is a block diagram illustrating an example of an ECU according to a modification.
  • FIG. 20 is a block diagram illustrating an example of an ECU according to a modification.
  • FIG. 21 is a block diagram illustrating another example of the gateway in the modified example.
  • FIG. 22 is a block diagram illustrating an example of an ECU according to a modification.
  • a log output method is a log output method for outputting a log of communication in an in-vehicle network system, and a plurality of methods for respectively determining abnormalities of messages sent to the network by different methods.
  • the information included in the log is determined so that there is no duplication in the information included in the log according to the combination of the determination processing results.
  • the log containing the minimum necessary information is generated and output by determining the information used to generate the log according to the result of determining that the message sent to the network is abnormal
  • the cost can be reduced.
  • the plurality of determination processes include, as one of the different methods, a MAC that determines the anomaly by verifying a MAC (Message Authentication Code) of the message. Includes verification processing.
  • a MAC Message Authentication Code
  • the plurality of determination processes include a behavior detection process for determining the abnormality by detecting a behavior of a vehicle from the message.
  • the plurality of determination processes include a sign monitoring process for determining the abnormality by monitoring whether or not a sign indicating abnormality appears in the message. .
  • the plurality of determination processes include a behavior detection process for determining the abnormality by detecting a behavior of a vehicle from the message, and a sign indicating abnormality in the message.
  • a behavior detection process for determining the abnormality by detecting a behavior of a vehicle from the message
  • a sign indicating abnormality in the message In the log generation step, it is determined that there is an abnormality in both the behavior detection process and the sign monitoring process.
  • a log output device is a log output device that outputs a communication log in an in-vehicle network system, and includes one or more processors and a storage unit, and the storage unit is used.
  • the one or more processors generate a log according to an abnormality determination step for performing a plurality of determination processes for respectively determining anomalies of messages sent to the network in different ways, and a result of the plurality of determination processes Log generation step and a log transmission step for transmitting the generated log.
  • the log generation step according to a combination of the results of the plurality of determination processes, the information included in the log is not duplicated. The information included in the log is determined.
  • the cost can be reduced by generating and outputting the minimum necessary log. Can be suppressed.
  • a program according to an aspect of the present disclosure is a program for causing the one or more processors to perform the log output method in the log output device.
  • the cost can be reduced by generating and outputting the minimum necessary log. Can do.
  • FIG. 1 is a block diagram showing an overall configuration of an in-vehicle network system 10 according to the present embodiment.
  • the in-vehicle network system 10 is configured by a CAN network, and includes an ECU 100a, an ECU 100b, an ECU 100c, and an ECU 100d, a bus 200a and a bus 200b, a gateway 300, an external network 400, and a server 500.
  • the ECU 100a, the ECU 100b, the ECU 100c, and the ECU 100d may be collectively referred to as the ECU 100.
  • the ECU 100 may be described as the ECU 100 by referring to any of the ECU 100a, the ECU 100b, the ECU 100c, and the ECU 100d.
  • bus 200a and the bus 200b may be collectively referred to as the bus 200. Further, the bus 200 may be referred to as either the bus 200a or the bus 200b.
  • the ECU 100a is connected to the engine 101, and the ECU 100b is connected to the brake 102.
  • the ECU 100 c is connected to the door opening / closing sensor 103, and the ECU 100 d is connected to the window opening / closing sensor 104.
  • ECU100 acquires the state of the apparatus connected with ECU100, and sends the acquired message showing the state of an apparatus to the bus 200 periodically.
  • the ECU 100a acquires the number of revolutions of the engine 101, attaches a predetermined ID to a message including a data value representing the number of revolutions, and sends the message to the bus 200.
  • each ECU 100 reads a message transmitted from another ECU 100 from the bus 200, and selectively receives the message according to an ID attached to the message. This selective reception will be described later.
  • Gateway 300 connects bus 200a to which ECU 100a and ECU 100b are connected and bus 200b to which ECU 100c and ECU 100d are connected.
  • the gateway 300 has a function of transferring a message received from one bus 200 to the other bus 200.
  • the gateway 300 is also a node on the CAN network.
  • External network 400 is a communication network for communication between gateway 300 and server 500.
  • the communication method of the external network 400 may be wired or wireless. Further, the wireless communication method may be Wi-Fi (registered trademark) or 3G / LTE.
  • the server 500 communicates with the gateway 300 via the external network 400.
  • the in-vehicle network system 10 is an example for explaining a target to which a log output system or the like that determines whether a message is an abnormal message and outputs a log can be applied. Further, the application target of the log output system is not limited to the in-vehicle network system 10.
  • FIG. 2 is a diagram showing a format of a CAN protocol message (data frame). Here, a message in a standard ID format in the CAN protocol is shown.
  • the message includes SOF (Start Of Frame), ID field, RTR (Remote Transmission Request), IDE (Identifier Extension), reserved bit (also referred to as r), DLC (Data Length Code), decCryRc ) Sequence, CRC delimiter (left DEL in the figure), ACK (acknowledgement) slot, ACK delimiter (right DEL in the figure), and EOF (End Of Frame).
  • SOF Start Of Frame
  • ID field
  • RTR Remote Transmission Request
  • IDE Identity Extension
  • reserved bit also referred to as r
  • DLC Data Length Code
  • decCryRc Sequence
  • CRC delimiter left DEL in the figure
  • ACK acknowledgement
  • ACK delimiter right DEL in the figure
  • EOF End Of Frame
  • SOF is a 1-bit dominant. Dominant means dominance.
  • a dominant is in a state where a voltage is applied to two cables constituting a bus so as to transmit a value of “0”, or this “0” transmitted. Is the value of.
  • a state in which a voltage is applied so as to transmit a value of “1” to the two cables constituting the bus, or the value of “1” transmitted is called recessive. Recessive is inferior.
  • the value of “0” and a value of “1” are transmitted simultaneously from two nodes to the bus, the value of “0” is prioritized.
  • the bus in the idle state is in a recessive state.
  • Each ECU 100 starts transmitting a message by changing the state of the bus 200 from recessive to dominant, and the other ECUs 100 read this change and synchronize.
  • a portion in which a line indicating dominant or recessive constituting a message is a solid line indicates that each value of dominant or recessive can be taken. Since the SOF is fixed in the dominant state, the dominant line is a solid line and the recessive line is a broken line.
  • ID is an 11-bit value indicating the type of data included in the message.
  • the CAN is designed so that a message having a smaller ID value has a higher priority in communication arbitration between messages that a plurality of nodes have started to transmit simultaneously.
  • RTR is a 1-bit dominant indicating that a frame is a message (data frame).
  • IDE and r are 1-bit dominants, respectively.
  • DLC is a 4-bit value indicating the length of the following data field.
  • the data field is a value indicating the content of data to be transmitted, and can be adjusted in units of 8 bits with a maximum length of 64 bits.
  • the specification regarding the assignment of the data to be transmitted to the data field depends on the vehicle type and the manufacturer.
  • the CRC sequence is a 15-bit value calculated from the transmission values of the SOF, ID field, control field, and data field.
  • the CRC delimiter is fixed by 1 bit recessive and is a delimiter representing the end of the CRC sequence.
  • the receiving node determines the presence or absence of an abnormality by comparing the result calculated from the values of the SOF, ID field, control field, and data field of the received message with the CRC sequence value.
  • the ACK slot is 1 bit long, and the transmitting node transmits recessive in the ACK slot.
  • the receiving node transmits a dominant as an acknowledgment if it has successfully received the CRC sequence. Since dominant is given priority, if communication in one message is normally performed up to the CRC sequence, the bus 200 during transmission of the ACK slot is in a dominant state.
  • ACK delimiter is fixed to 1 bit recessive and is a delimiter indicating the end of ACK slot.
  • EOF is fixed to 7 bits recessive, indicating the end of the message.
  • FIG. 3 is a block diagram illustrating an example of a gateway included in the in-vehicle network system according to the present embodiment.
  • the gateway 300 includes a frame transmission / reception unit 310, a frame interpretation unit 320, a reception ID determination unit 330, a reception ID list holding unit 340, a frame processing unit 350, a transfer rule holding unit 360, and an abnormality detection.
  • a processing function group 370, a log output processing function group 375, a frame generation unit 380, and an external communication unit 390 are provided.
  • the gateway 300 includes, for example, a processing unit realized by a processor, a storage unit realized by a semiconductor memory, an input / output unit realized by an input / output port, and the like. Provided as a processing device.
  • the configuration showing the above functions is realized by reading and executing a program held in the storage unit by the processing unit, holding predetermined data in the storage unit, or executing data transmission / reception via the input / output unit May be. Or the structure which shows said function may be implement
  • the processing function group 375, the frame generation unit 380, and the external communication unit 390 may be realized by one or a plurality of ECUs 100.
  • the frame transmission / reception unit 310 transmits / receives a message according to the CAN protocol to each of the buses 200a, 200b.
  • the frame transmission / reception unit 310 reads the message sent to the bus 200 bit by bit, and transfers the read message to the frame interpretation unit 320.
  • the frame transmission / reception unit 310 sends a message to the buses 200a and 200b one bit at a time according to the bus information transmitted from the frame generation unit 380.
  • the frame transmission / reception unit 310 transmits the message received from the bus 200a to the bus 200b, and transmits the message received from the bus 200b to the bus 200a, thereby transferring the message between the buses 200a.
  • the frame interpretation unit 320 receives the message value from the frame transmission / reception unit 310, maps it to each field in the CAN protocol, and interprets the received message.
  • the frame interpretation unit 320 transfers the series of values interpreted as the ID field values to the reception ID determination unit 330.
  • the frame interpretation unit 320 further transfers the value of the ID field of the message and the data field appearing after the ID field to the frame processing unit 350 or receives the message according to the determination result notified from the reception ID determination unit 330. Decide whether to cancel.
  • the frame interpretation unit 320 determines that the received message is a message that does not conform to the CAN protocol, the frame interpretation unit 320 requests the frame generation unit 380 to transmit an error frame.
  • the error frame is a frame of a predetermined format defined by the CAN protocol, which is different from the above-mentioned message transmitted from the node when an error occurs on the CAN network.
  • message transmission on that network is interrupted.
  • the frame interpretation unit 320 interprets that an error frame transmitted by another node has been received, the frame interpretation unit 320 discards the message being read.
  • the reception ID determination unit 330 receives the value of the ID field from the frame interpretation unit 320, and determines whether to receive the read message according to the list of message IDs held by the reception ID list holding unit 340. The reception ID determination unit 330 notifies the frame interpretation unit 320 of the determination result.
  • the reception ID list holding unit 340 holds a list of message IDs received by the gateway 300 (hereinafter also referred to as reception ID list).
  • FIG. 4 is a diagram showing an example of the reception ID list in the present embodiment. Details of the reception ID list in FIG. 4 will be described later.
  • the frame processing unit 350 determines the bus 200 as the transfer destination according to the received message ID according to the data transfer rules held by the transfer rule holding unit 360, the bus 200 as the transfer destination, and the frame interpretation unit 320.
  • the message ID notified and the data to be transferred are notified to the frame generation unit 380.
  • the frame processing unit 350 sends the message received from the frame interpretation unit 320 to the abnormality detection processing function group 370, and determines whether the message is an abnormal message to the abnormality detection processing function group 370. Request to do.
  • the frame processing unit 350 does not transfer a message that is determined to be an abnormal message by the abnormality detection processing function group 370.
  • the transfer rule holding unit 360 holds a rule related to data transfer of each bus 200 (hereinafter also referred to as a transfer rule).
  • FIG. 5 is a diagram illustrating an example of a transfer rule in the present embodiment. Details of the transfer rule in FIG. 5 will be described later.
  • the abnormality detection processing function group 370 is a function group for determining whether or not the message being received is an abnormal message. Details of the functional configuration included in the abnormality detection processing function group 370 will be described later.
  • the abnormality detection processing function group 370 notifies the determination result to the frame processing unit 350 and the log output processing function group 375.
  • the log output processing function group 375 determines that the message being received by the abnormality detection processing function group 370 is an abnormal message, the log output processing function group 375 generates a log according to the determination result, and logs via the external communication unit 390 Is output to the server 500. Details of the functional configuration included in the log output processing function group 375 will be described later.
  • the frame generation unit 380 generates an error frame in accordance with the error frame transmission request from the frame interpretation unit 320, and causes the frame transmission / reception unit 310 to transmit the error frame.
  • the frame generation unit 380 generates a message frame using the message ID and data received from the frame processing unit 350, and sends the message frame to the frame transmission / reception unit 310 together with the bus information.
  • the external communication unit 390 communicates with the server 500 through the external network 400.
  • FIG. 4 is a diagram showing an example of the reception ID list in the present embodiment.
  • the reception ID list is a list of message IDs of messages received and processed by the gateway 300, and is held by the reception ID list holding unit 340.
  • the ID of the message is stored in each line of the reception ID list.
  • the message IDs are “1”, “2”, “3”, and “4”, and the gateway 300 receives messages of these message IDs.
  • the gateway 300 stops receiving a message with a message ID that is not included in the reception ID list.
  • the ID value and the number of IDs included in the reception ID list are examples for explanation, and the configuration of the reception ID list used in the gateway 300 is not limited to this.
  • FIG. 5 is a diagram illustrating an example of a transfer rule in the present embodiment.
  • the transfer rule is held in the transfer rule holding unit 360.
  • a transfer rule stores a combination of a message transfer source bus 200 and a transfer destination bus 200, and a message ID to be transferred in each row.
  • the first line of the transfer rule is a transfer source “bus 200a”, a transfer destination “bus 200b”, and an ID “*”, and the gateway 300 receives a message received from the bus 200a regardless of the ID.
  • the rule is that the data is transferred to the bus 200b.
  • the second line of the transfer rule is a transfer source “bus 200b”, a transfer destination “bus 200a”, and an ID “3”.
  • the gateway 300 may receive a message with an ID “3” from the bus 200b. In this case, the data is transferred to the bus 200a.
  • FIG. 6 is a block diagram illustrating an example of the abnormality detection processing function group 370 included in the gateway 300 according to the present embodiment.
  • the abnormality detection processing function group 370 includes a MAC (Message Authentication Code) verification unit 371, a behavior detection unit 372, and a symptom monitoring unit 373.
  • MAC Message Authentication Code
  • these structures are structures which show a function, and it implement
  • these configurations may be realized by performing transmission / reception of data via the input / output unit instead of recording predetermined data in the storage unit. Further, these configurations may be realized by a combination of the above.
  • the MAC verification unit 371 verifies the MAC of the message received from the frame processing unit 350 and outputs OK / NG.
  • the received message is composed of a message body and a MAC.
  • the MAC verification unit 371 calculates the MAC from the message body and a preset key, compares the calculated MAC with the MAC included in the message received from the frame processing unit 350, and outputs OK if they match. If they do not match, NG is output.
  • the MAC algorithm may be any generally known algorithm, such as HMAC (Hash-based Message Authentication Code), OMAC (One-key Message Authentication Code), CMAC (Cipher-based Message Authentication Code). CBC-MAC (Cipher Block Chaining Message Authentication Code) can be used.
  • HMAC Hash-based Message Authentication Code
  • OMAC One-key Message Authentication Code
  • CMAC Cipher-based Message Authentication Code
  • CBC-MAC Cipher Block Chaining Message Authentication Code
  • the MAC included in the message received from the frame processing unit 350 may be a value calculated by the MAC algorithm itself, or may use only a part of the calculated value, or may further calculate the calculated value. You may use the converted value.
  • the MAC verification unit 371 is given in advance information on which part of the calculated value is used and information on how to convert the value, and the MAC verification unit 371 Based on the information, the MAC included in the received message is verified.
  • the message received from the frame processing unit 350 may not include the MAC.
  • the MAC verification unit 371 may output OK as the verification result, or may output a result indicating that there is no MAC.
  • the behavior detection unit 372 determines whether the message received from the frame processing unit 350 is an abnormal message.
  • the behavior detection unit 372 has a plurality of detection functions, and each detection function refers to a preset rule, and determines whether or not the message received from the frame processing unit 350 is an abnormal message.
  • FIG. 7 is a block diagram showing an example of the behavior detection unit in the present embodiment.
  • the behavior detection unit 372 includes six types of determination functions. Specifically, as a determination function, an ID determination function that is a function that checks the ID field of a message, a data length determination function that is a function that checks the data length of a message, and a cycle (time interval) at which the message is transmitted is checked. A transmission cycle determination function that is a function for performing the transmission, a transmission frequency determination function that is a function for checking the frequency of message transmission, and a data value determination function that is a function for checking the value (data value) of the data field of the message.
  • a vehicle state determination function that is a function of recognizing the state of the vehicle based on the determination result of these determination functions, the transmission period, the frequency, the data value, or the amount of change in the data value and checking the vehicle state is included.
  • the behavior detection unit 372 includes a comprehensive determination function that comprehensively determines whether or not the message received from the frame processing unit 350 is an abnormal message from the determination results of these determination functions.
  • the result of the comprehensive determination function is the result of detection processing by the behavior detection unit 372.
  • the sign monitoring unit 373 determines whether or not the message received from the frame processing unit 350 indicates a sign of abnormality. Specifically, the content of the determination function is the same as that of the behavior detection unit 372. In the sign monitoring unit 373, a rule different from the rule set in the behavior detection unit 372 is set.
  • the sign monitoring unit 373 determines that there is a sign that an abnormality has occurred, and outputs an NG determination. May be.
  • the sign monitoring unit 373 since the rule held by the transmission cycle determination function of the behavior detection unit 372 is different from the rule in the sign monitoring unit 373, the sign monitoring unit 373 is that the received message is clearly an abnormal message. Since it cannot be determined, an OK determination may be output.
  • the behavior detection unit 372 may output an NG determination from a determination result other than the cycle. Further, the sign monitoring unit 373 may determine that there is a sign that an abnormality has occurred when the transmission frequency is greater than a value set in the rule, and may output an NG determination.
  • the abnormality detection processing function group 370 includes the determination result of the MAC verification unit 371 or the determination result of the behavior detection unit 372 among the determination result of the MAC verification unit 371, the determination result of the behavior detection unit 372, and the determination result of the symptom monitoring unit 373.
  • the result of NG is output to the frame processing unit 350.
  • the abnormality detection processing function group 370 determines the determination results of the MAC verification unit 371, the behavior detection unit 372, the symptom monitoring unit 373, and the behavior detection unit 372.
  • the log output processing function group 375 is notified of the result and the determination result of each determination function inside the sign monitoring unit 373.
  • the determination function of the sign monitoring unit 373 is the same as that of the behavior detection unit 372, the present invention is not limited to this.
  • the determination function of the sign monitoring unit 373 may be only a part of the determination function of the determination function of the behavior detection unit 372.
  • another determination function may be added to the determination function of the sign monitoring unit 373.
  • Another determination function may perform determination using values of various sensors attached to the vehicle, data obtained from an external device of the vehicle, or the like.
  • the sign monitoring unit 373 sets a rule different from that of the behavior detection unit 372, but is not limited thereto.
  • a part of the determination function of the sign monitoring unit 373 may be the same rule as the determination function of the behavior detection unit 372.
  • one rule determines that the behavior detection unit 372 determines NG, and a broader range including that includes the sign monitoring unit 373 determines NG. Both ranges may be included.
  • abnormalities detection processing function group a plurality of determination processes are performed for respectively determining message anomalies using different methods. Further, these determination processes are basically performed in parallel independently of each other.
  • FIG. 8 is a block diagram illustrating an example of a log output processing function group in the present embodiment.
  • the log output processing function group 375 included in the gateway 300 includes a log output control unit 376 and a log related information holding unit 377.
  • these structures are structures which show a function, and are implement
  • these configurations may be realized by performing transmission / reception of data via the input / output unit instead of recording predetermined data in the storage unit. Further, these configurations may be realized by a combination of the above.
  • the log output control unit 376 receives notification of the detection result and information related to the received message from the abnormality detection processing function group 370, for example, the received message or the reception time, and determines whether to perform log output. .
  • the log output control unit 376 notifies the external communication unit 390 of the generated log, and requests to transmit the log to the server. At this time, a vehicle identifier individually assigned to each vehicle to identify the vehicle is also transmitted.
  • FIG. 9 is a diagram illustrating a determination example of log output in the log output control unit according to the present embodiment.
  • the determination result of the MAC verification unit 371 is shown in the “MAC verification” column
  • the determination result of the behavior detection unit 372 is shown in the “behavior detection” column
  • the determination result of the sign monitoring unit 373 is “sign monitor”. ”Column.
  • the log output control unit 376 determines whether or not to output a log from the determination results of the MAC verification unit 371, the behavior detection unit 372, and the symptom monitoring unit 373, and what kind of contents to the log when the log is output. Decide whether to include it.
  • the log output control unit In step 376 it is determined that no log is output. In other cases, the log output control unit 376 determines that a log is output.
  • the log output control unit 376 determines to output the log
  • the log output control unit 376 outputs the log according to the determination result of the MAC verification unit 371, the determination result of the behavior detection unit 372, and the determination result of the sign monitoring unit 373. Change information.
  • the result is output to the log.
  • a “signature log” is generated as information.
  • the “sign indication log” includes a log type identifier that is an identifier indicating that the indication monitoring unit 373 determines NG, an indication log identifier that is an identifier indicating the reason that the indication monitoring unit 373 determines NG, and an indication monitoring unit 373. Includes a value determined to be NG and, if necessary, the ID of the received message.
  • the “behavior log” includes a log type identifier that is an identifier indicating that the behavior detector 372 determines NG, a behavior log identifier that is an identifier that indicates the reason that the behavior detector 372 determines NG, and a behavior detector 372. Includes a value determined as NG, a value determined by the behavior detection unit 372 as NG, a corresponding value of a message received in the past, and, if necessary, an ID of the received message.
  • the corresponding value of the message received in the past of the value determined by the behavior detection unit 372 as NG may be the corresponding value of the message received immediately before the message having the same ID, or a predetermined time or A plurality of values from a previous message to a message received immediately before by a predetermined number of messages may be used.
  • the log output control unit 376 acquires information related to messages received in the past from the log related information holding unit 377 and generates a behavior log.
  • the behavior detection unit 372 Different logs are generated depending on whether the reason for determining NG is the same or different from the reason for determining NG in the sign monitoring unit 373.
  • the log output control unit 376 determines that the behavior log and the sign monitoring unit 373 determine NG.
  • Log information including a log type identifier, which is an identifier indicating, and a symptom log identifier is generated.
  • log information including the behavior log and the symptom log is generated. To do.
  • the determination result of the MAC verification unit 371 is NG
  • the determination result of the behavior detection unit 372 is OK
  • the determination result of the indication monitoring unit 373 is OK
  • “all field log” Is generated.
  • the “all field log” includes a log type identifier that is an identifier indicating that the MAC verification unit 371 determines NG, and the entire received message.
  • the determination result of the MAC verification unit 371 is NG
  • the determination result of the behavior detection unit 372 is 5 in FIG.
  • the combination of the log and the identifier is used.
  • the information included in the log is determined according to the combination of the results of the plurality of determination processes for the received message so that the output information does not overlap.
  • the behavior log includes a log type identifier that is an identifier indicating that the behavior detection unit 372 determines NG, and a reason why the behavior detection unit 372 determines NG.
  • a behavior log identifier which is an identifier to be shown, and a corresponding value of a message received in the past of a value determined by the behavior detection unit 372 to be NG.
  • the behavior log need not include the value determined by the behavior detection unit 372 as NG and the ID of the received message.
  • the behavior log and the symptom log include a log type identifier, a behavior log identifier and a symptom log identifier, values determined by the behavior detection unit 372 and the symptom monitoring unit 373 to be NG, and, if necessary, an ID of the received message. Including.
  • FIG. 10 is a diagram illustrating an example of a value determined as NG included in the log according to the present embodiment.
  • the value generated as a log is changed according to the determination function determined as NG in the behavior detection unit 372 or the sign monitoring unit 373.
  • the ID determination function determines NG
  • the value determined as NG is not included in the log.
  • the log output control unit 376 generates a log including a log type identifier, a behavior log identifier or a symptom log identifier, and the received message ID.
  • the value of DLC included in the received message is set as the value determined as NG.
  • a reception time difference that is a time difference from the reception time of the message having the same ID received immediately before is set as a value determined as NG.
  • the transmission frequency determination function determines NG
  • the message reception frequency is set as the value determined as NG. At this time, regardless of the value of the ID included in the received message, if it is determined as NG when the transmission frequency is determined for all received messages, the ID of the received message is not included in the log. On the other hand, when it is determined that the transmission frequency is determined for each ID, the ID of the received message may be included in the log.
  • the data value determination function determines NG, as a value determined as NG, a data identifier that is an identifier indicating the position of data determined as NG among the data included in the received message, and data to be determined
  • the target data value that is a value is set as a log.
  • the data identifier for example, correspondence is made such that 0-bit to 3-bit data is a data identifier “1”, 4-bit data is a data identifier “2”, and 5-bit to 6-bit data is a data identifier “3”.
  • a table may be created for each ID. Further, the data position may be indicated regardless of the ID by representing the data from the 0th bit to the 3rd bit as a data identifier “(0, 3)”. Alternatively, the data from the 0th bit to the 3rd bit may be expressed as a data identifier “(0, 4)” using a size (4 bits).
  • the data identifier only needs to indicate the position of the data in the data field in the CAN protocol message format. Therefore, data identifiers other than those described above may be used.
  • a vehicle state identifier representing the vehicle state at that time and factor information which is information that causes the transition to the state are set as a value determined to be NG.
  • the ID of the received message is included in the log.
  • the ID of the received message is not included in the log.
  • the factor information a factor identifier that is an identifier indicating which factor causes the state transition, such as ID, transmission cycle, transmission frequency, data value, or data value change amount, and its value are Including.
  • the log type identifier is an identifier indicating which of the MAC verification unit 371, the behavior detection unit 372, and the sign monitoring unit 373 has determined to be NG.
  • a behavior log identifier that is an identifier indicating the reason why the behavior detecting unit 372 determines NG and a sign log identifier that is an identifier indicating the reason that the sign monitoring unit 373 determines NG are an ID determination function or a data length determination function, a transmission cycle The reason for determining NG in each of the determination function, the transmission frequency determination function, the data value determination function, and the vehicle state determination function will be described.
  • a message with an ID that should not be transmitted indicates that the transmission cycle of the received message is smaller than the value described in the rule, or is included in the payload of the received message It indicates that the data value is different from the value described in the rule, or that the amount of change of the data value from the previous reception is different from the value described in the rule.
  • the log output control unit 376 includes an ID determination function, a data length determination function, a transmission cycle determination function, a transmission frequency determination function, a data value determination function, and a vehicle state determination function included in the behavior detection unit 372 and the sign monitoring unit 373.
  • a plurality of logs may be output. Further, only a message with the highest priority may be output as a log according to a priority determined in advance.
  • the log output control unit 376 notifies the log related information holding unit 377 of information related to the received message, and requests to hold the information.
  • the information related to the message includes the received message, the reception time of the received message, the log output by the log output control unit 376, information necessary for generating the log, and the like.
  • the log output control unit 376 acquires information related to the message received from the log related information holding unit 377 as necessary.
  • the log related information holding unit 377 holds information related to the received message that has been received from the log output control unit 376. In addition, the log related information holding unit 377 notifies the log output control unit 376 of the held information in response to an acquisition request for information related to the received message from the log output control unit 376.
  • log output control unit 376 may include the reception time of the received message in the generated log.
  • FIG. 11 is a block diagram illustrating an example of an ECU included in the in-vehicle network system according to the present embodiment.
  • the ECU 100 includes a frame transmission / reception unit 110, a frame interpretation unit 120, a reception ID determination unit 130, a reception ID list holding unit 140, a frame processing unit 150, a data acquisition unit 170, and a frame generation unit 180.
  • a frame transmission / reception unit 110 the ECU 100 includes a frame transmission / reception unit 110, a frame interpretation unit 120, a reception ID determination unit 130, a reception ID list holding unit 140, a frame processing unit 150, a data acquisition unit 170, and a frame generation unit 180.
  • the ECU 100 includes, for example, a processing unit realized by a processor, a storage unit realized by a semiconductor memory, an input / output unit realized by an input / output port, and the like. Provided as a processing device.
  • the configuration showing the above functions is realized by reading and executing a program held in the storage unit by the processing unit and recording predetermined data in the storage unit.
  • these configurations may be realized by performing transmission / reception of data via the input / output unit instead of recording predetermined data in the storage unit.
  • these configurations may be realized by a combination of the above.
  • the frame transmission / reception unit 110 transmits / receives a message according to the CAN protocol via the bus 200.
  • the frame transmission / reception unit 110 reads the message sent to the bus 200 bit by bit, and transfers the read message to the frame interpretation unit 120.
  • the frame transmission / reception unit 110 sends the message received from the frame generation unit 180 to the bus 200.
  • the frame interpretation unit 120 receives the message value from the frame transmission / reception unit 110, and interprets the message so as to be mapped to each field in the CAN protocol.
  • the frame interpretation unit 120 transfers a series of values interpreted as being an ID field to the reception ID determination unit 130.
  • the frame interpretation unit 120 forwards the value of the ID field of the message and the data field appearing after the ID field to the frame processing unit 150 according to the determination result notified from the reception ID determination unit 130, or the message Decide whether to stop receiving.
  • the frame interpretation unit 120 determines that the received message is a message that does not conform to the CAN protocol, the frame interpretation unit 120 requests the frame generation unit 180 to transmit an error frame.
  • the frame interpretation unit 120 interprets that an error frame transmitted by another node has been received, the frame interpretation unit 120 discards the message being read.
  • the reception ID determination unit 130 receives the value of the ID field from the frame interpretation unit 120 and determines whether to read the read message according to the list of message IDs held by the reception ID list holding unit 140. The reception ID determination unit 130 notifies the frame interpretation unit 120 of the determination result.
  • the reception ID list holding unit 140 holds a reception ID list received by the ECU 100. Since the reception ID list has the same format as in FIG. 4, the description thereof is omitted here.
  • the frame processing unit 150 performs processing according to the received message data.
  • the content of the process differs for each ECU 100.
  • the ECU 100a when the ECU 100a receives a message indicating that the door is open when the speed of the automobile exceeds 30 km, the ECU 100a executes a process for sounding an alarm sound.
  • the ECU 100c executes a process for sounding an alarm sound.
  • the frame processing unit 150 causes the frame generation unit 180 to generate a frame sent out by the frame processing unit 150 in order to execute such processing.
  • the data acquisition unit 170 acquires the output data indicating the state of the device connected to the ECU 100, the measurement value by the sensor, and the like, and transfers the output data to the frame generation unit 180.
  • the frame generation unit 180 configures an error frame in accordance with a request for error frame transmission from the frame interpretation unit 120, and sends the error frame to the frame transmission / reception unit 110.
  • the frame generation unit 180 forms a message frame by attaching a predetermined message ID to the data value received from the data acquisition unit 170, and sends the message frame to the frame transmission / reception unit 110.
  • FIG. 12 is a block diagram illustrating an example of a server included in the in-vehicle network system according to the present embodiment. 12, the server 500 includes a receiving unit 510, a log holding unit 520, and an analyzing unit 530.
  • the receiving unit 510 receives the log from the log output control unit 376 through the external communication unit 390 of the gateway 300.
  • the receiving unit 510 requests the log holding unit 520 to hold the received log.
  • the log holding unit 520 holds a log in response to a request from the receiving unit 510. Further, the log holding unit 520 transmits a log held in response to a request from the analysis unit 530.
  • the analysis unit 530 obtains a log from the log holding unit 520 and analyzes the log to analyze whether or not an abnormality has occurred in the vehicle.
  • the log holding unit 520 may hold the logs separately for each vehicle, or may hold the logs for each vehicle in an integrated manner. It is also possible to hold both logs that integrate each log.
  • all the logs may be integrated, or may be integrated for each vehicle manufacturer, vehicle type, model, grade, vehicle size, vehicle displacement, etc. You may integrate for every vehicle class of each vehicle decided by (1).
  • the logs for each vehicle may be integrated for each vehicle location, or for each function (automatic driving function, driving support function, communication function, etc.) of each vehicle. May be. Note that the method of integrating the logs for each vehicle may be a combination of the methods listed above.
  • the server 500 may include a display unit (not shown) for displaying the received log or the analysis result of the analysis unit 530.
  • FIG. 13 is a flowchart showing an example of the abnormality detection process in the present embodiment.
  • the abnormality detection processing function group 370 receives a message from the frame processing unit 350 (step S1001).
  • the MAC verification unit 371, the behavior detection unit 372, and the symptom monitoring unit 373 of the abnormality detection processing function group 370 each make a determination on the message received from the frame processing unit 350 (S1002).
  • the log output control unit 376 checks whether or not the result of determination by the MAC verification unit 371, the behavior detection unit 372, and the symptom monitoring unit 373 includes NG determination (S1003).
  • the log output control unit 376 When the result determined by the MAC verification unit 371, the behavior detection unit 372, and the symptom monitoring unit 373 includes NG (Yes in step S1003), the log output control unit 376 generates a log (step S1004). .
  • the log output control unit 376 transmits the generated log to the server via the external communication unit 390 (S1005).
  • the log output control unit 376 ends the process.
  • FIG. 14 is a flowchart illustrating an example of transfer processing according to the present embodiment. Since the transfer process performed by the gateway 300 is substantially the same regardless of the transfer direction, an example will be described in which the gateway 300 transfers a message received from the bus 200a to the bus 200b.
  • the frame transmitting / receiving unit 310 reads a message from the bus 200a (step S1101). Thereafter, the frame transmission / reception unit 310 notifies the frame interpretation unit 320 of the data of each field of the read message.
  • the frame interpretation unit 320 determines whether the message is a message to be received and processed from the ID field value (message ID) of the read message in cooperation with the reception ID determination unit 330 ( Step S1102).
  • the frame interpretation unit 320 determines that the message is not a target message (No in step S1102), the message is not transferred.
  • the frame interpretation unit 320 determines that the received message is a message to be received and processed (Yes in step S1102), the frame interpretation unit 320 transfers the value of each field in the message to the frame processing unit 350. To do.
  • the frame processing unit 350 determines a transfer destination bus according to the transfer rule held in the transfer rule holding unit 360 (step S1103).
  • the frame processing unit 350 notifies the value of each field in the message received from the frame interpretation unit 320 to the abnormality detection processing function group 370, and requests to determine whether the message is an abnormal message.
  • the abnormality detection processing function group 370 determines whether or not the notified message is an abnormal message based on the value of each field of the notified message, and notifies the frame processing unit 350 of the determination result (step S110). S1104).
  • the abnormality detection processing function group 370 determines that the message is an abnormal message (Yes in step S1105), the message is not transferred.
  • the frame processing unit 350 determines that the message is the transfer destination determined in step S1103.
  • the frame generator 380 is requested to transfer to the bus.
  • the frame generation unit 380 receives the request from the frame processing unit 350, generates a message to be received by the designated transfer destination, and sends the message to the frame transmission / reception unit 310 (step S1106).
  • step S1104 After determining the transfer destination of the received message (step S1103), it is determined whether this message is an abnormal message (step S1104), but the present invention is not limited to this. After determining whether the received message is an abnormal message, the transfer destination of this message may be determined. In addition, determination of the transfer destination of the received message and determination of whether it is an abnormal message may be performed in parallel.
  • the abnormality detection processing function group 370 monitors messages flowing through the network of the in-vehicle network system.
  • the log output processing function group 375 generates a log and outputs it to the server 500.
  • the server 500 accumulates logs and analyzes the logs to detect an abnormality that cannot be detected by the abnormality detection processing function group 370.
  • a technology that determines that fraud has occurred is normal or abnormal. Even for a message that is difficult to determine whether it is a message, it is possible to determine whether the message is abnormal with higher accuracy from many logs. As a result, the safety of the in-vehicle network system is improved.
  • the abnormality detection processing function group 370 includes the MAC verification unit 371, the behavior detection unit 372, and the symptom monitoring unit 373, but is not limited thereto.
  • the abnormality detection processing function group 370 may include a MAC verification unit 371 and a behavior detection unit 372, or may include a MAC verification unit 371 and a sign monitoring unit 373, or a behavior detection unit 372. And a sign monitoring unit 373.
  • the abnormality detection processing function group 370 may include only the MAC verification unit 371, may include only the behavior detection unit 372, or may include only the sign monitoring unit 373.
  • the abnormality detection processing function group 370 includes the MAC verification unit 371 and the behavior detection unit 372, the column of “symptom monitoring” in FIG. 9 is OK, and “MAC verification” and “behavior detection”. The column outputs the log of the row that matches each judgment result.
  • the gateway 300 includes the frame transmission / reception unit 310, the frame interpretation unit 320, the reception ID determination unit 330, the reception ID list holding unit 340, the frame processing unit 350, and the transfer rule holding.
  • the unit 360, the abnormality detection processing function group 370, the log output processing function group 375, the frame generation unit 380, and the external communication unit 390 have been described. However, the present invention is not limited to this.
  • FIG. 15 is a block diagram illustrating an example of a gateway in a modified example.
  • the gateway 300a includes a frame transmission / reception unit 310, a frame interpretation unit 320, a reception ID determination unit 330, a reception ID list holding unit 340, a frame processing unit 350, and a transfer rule holding unit 360.
  • An abnormality detection processing function group 370, a log output processing function group 375a, and a frame generation unit 380 is an abnormality detection processing function group 370, a log output processing function group 375a, and a frame generation unit 380.
  • FIG. 16 is a block diagram illustrating an example of a log output processing function group in the modification.
  • the log output processing function group 375a includes a log output control unit 376a, a log related information holding unit 377, and a log holding unit 378.
  • the log output control unit 376 of Embodiment 1 outputs a log to the server 500 via the external communication unit 390, whereas the log output control unit 376a outputs a log to the log holding unit 378.
  • the log holding unit 378 receives and holds a log from the log output control unit 376a.
  • the log holding unit 378 outputs a held log when a log acquisition request is received from a device (not shown) connected to the outside of the gateway 300a.
  • the gateway 300 in the above embodiment includes a log output processing function group 375a instead of the log output processing function group 375, and in response to a request from a device outside the gateway 300a, via the external communication unit 390, The log held by the log holding unit 378 may be output.
  • the log output processing function group 375a may receive a log acquisition request from another device connected to the bus 200 via the bus 200 and output the log via the bus 200.
  • FIG. 17 is a block diagram illustrating an example of the gateway 300b according to the modification. As illustrated in FIG. 17, the log output processing function group 375 b outputs a log to the bus 200 via the frame processing unit 350.
  • a log can be held inside the gateway 300b. For this reason, even when there is no function that can always be connected to the server 500, logs can be collected and retained, and logs can be output to devices outside the gateway 300b as necessary. Cost can be reduced.
  • the ECU 100 includes the frame transmission / reception unit 110, the frame interpretation unit 120, the reception ID determination unit 130, the reception ID list holding unit 140, the frame processing unit 150, and the data acquisition unit 170.
  • the configuration of the ECU 100 included in the in-vehicle network system according to the present disclosure is not limited to this.
  • FIG. 18 is a block diagram illustrating an example of an ECU in a modified example.
  • the ECU 100e further includes an abnormality detection processing function group 370 and a log output processing function group 375a.
  • the frame processing unit 150 may request the abnormality detection processing function group 370 to determine whether the message is an abnormal message, or the frame interpretation unit 120 may request the abnormality detection processing function group 370. Good.
  • FIG. 19 is a block diagram illustrating an example of an ECU according to a modification.
  • the ECU 100f includes a frame transmission / reception unit 110, a frame interpretation unit 120, a frame generation unit 180, an abnormality detection processing function group 370, and a log output processing function group 375a.
  • the frame interpretation unit 120 may receive all the messages regardless of the ID, and may request the abnormality detection processing function group 370 to determine whether the messages are abnormal messages for all the messages.
  • the ECU 100f includes a reception ID determination unit 130 and a reception ID list holding unit 140, and a message having a message ID described in the reception ID list held by the reception ID list holding unit. You may receive only. Further, regarding the message, the abnormality detection processing function group 370 may be requested to determine whether or not it is an abnormal message.
  • log output processing function group 375a may be replaced with the log output processing function group 375 described above.
  • the ECU 100e or the ECU 100f may further include an external communication unit 390 as the log output processing function group 375a.
  • the gateway not only the gateway but also the ECU can output a log for analyzing whether or not the message transmitted to the bus is an abnormal message.
  • the redundancy of the mechanism for detecting an abnormality in the in-vehicle network system is improved, and the safety is further ensured.
  • FIG. 20 is a block diagram illustrating an example of an ECU in a modified example.
  • the ECU 100g illustrated in FIG. 20 includes a transmission data acquisition unit 171 that acquires data to be transmitted to the bus 200 from another connected device or an external device, an abnormality detection processing function group 370g, and a log output processing function group 375a. May be.
  • the abnormality detection processing function group 370g included in the ECU 100g may also determine whether the data received from the transmission data acquisition unit 171 is an abnormal message. Only when it is determined that the message is not an abnormal message, the frame generation unit 180 may be requested to transmit the message.
  • the configuration of the log output processing function group 375a may be replaced with the log output processing function group 375, and the EUC 100g may further include an external communication unit 390.
  • the ECU 100g used together with the car navigation system logs the server 500.
  • the server 500 By analyzing, it is possible to suppress the diffusion of abnormal messages in the in-vehicle network system.
  • the gateway 300 includes the frame transmission / reception unit 310, the frame interpretation unit 320, the reception ID determination unit 330, the reception ID list holding unit 340, the frame processing unit 350, and the transfer rule holding.
  • Unit 360 abnormality detection processing function group 370, log output processing function group 375, frame generation unit 380, and external communication unit 390, but is not limited thereto.
  • FIG. 21 is a block diagram illustrating an example of a gateway in a modified example.
  • the gateway 300c includes a frame transmission / reception unit 310, a frame interpretation unit 320, a reception ID determination unit 330, a reception ID list storage unit 340, a frame processing unit 350, and a transfer rule storage unit 360.
  • An abnormality detection processing function group 370, a log output processing function group 375, and a frame generation unit 380 is an abnormality detection processing function group 370, a log output processing function group 375, and a frame generation unit 380.
  • the log output processing function group 375 requests the frame processing unit 350 to transmit log information in order to output the log to the ECU 100h via the bus 200, instead of outputting the log to the server 500 via the external communication unit 390. To do.
  • FIG. 22 is a block diagram illustrating an example of an ECU in a modified example.
  • the ECU 100 h includes a log holding unit 190 in addition to the configuration of the ECU 100, and includes a frame processing unit 150 h instead of the frame processing unit 150.
  • the frame processing unit 150h When the received message is a log, the frame processing unit 150h notifies the log holding unit 190 and requests log holding. Further, the frame processing unit 150h determines whether or not the received message is a log using the ID of the received message. When the ID of the received message is an ID indicating a log determined in advance, the frame processing unit 150h determines that the received message is a log, and indicates that the message received by the log holding unit 190 is a log. To be notified.
  • the ECU 100e, the ECU 100f, and the ECU 100g may include the log output processing function group 375, and the log output processing function group 375 may request the frame processing unit 150 to transmit a log.
  • the gateway 300c or the ECU 100h when the gateway 300c or the ECU 100h outputs a log to the server 500, and when the gateway 300c or the ECU 100h holds the log inside the gateway 300c or the ECU 100h, the log is output according to a request.
  • the case is not limited only to the case where the gateway 300c or the ECU 100h outputs a log to another ECU 100h.
  • the gateway 300c or the ECU 100h may output the log to the server 500 while holding the log inside the gateway 300c or the ECU 100h.
  • the gateway 300c or the ECU 100h may output the log to another ECU 100h while holding the log inside the gateway 300c or the ECU 100h.
  • the gateway 300c or the ECU 100h may output the log to another ECU 100h while outputting the log to the server 500.
  • the gateway 300c or the ECU 100h may output the log to the server 500 and another ECU 100h while holding the log inside the gateway 300c or the ECU 100h.
  • the same log may be output, or the log may be changed for each output destination.
  • the amount of logs that can be held in the gateway 300c or the ECU 100h is small and a large amount of logs can be held in the other ECUs 100h or the servers 500, only information about identifiers is held in the gateway 300c or the ECU 100h.
  • the ECU 100h or the server 500 may store a value determined to be NG or a log of all fields of the CAN message. Further, information that can specify a log may be held in the gateway 300c or the ECU 100h, and the log may be held in another ECU 100h or the server 500 together with information that can specify the log. Further, all received messages may be output as logs to other ECUs 100h regardless of the detection result of the abnormality detection processing function group 370.
  • the log output control unit 376 may determine a target to output a log from the determination results of the MAC verification unit 371, the behavior detection unit 372, and the symptom monitoring unit 373.
  • the server 500 may be notified that the MAC verification unit 371 has determined NG, and “all field logs” may be output to the other ECU 100h.
  • the behavior detection unit 372 determines NG
  • the “behavior log” may be output to another EUC 100, or the log type identifier and behavior log identifier included in the “behavior log” may be output to the gateway 300c or the ECU 100h.
  • the “behavior log” may be output to another EUC 100h while being held inside.
  • the log type identifier included in the “behavior log” and the behavior log identifier are held in the gateway 300c or the ECU 100h, the “behavior log” is output to the server 500, and all the fields of the message received in the “behavior log” You may output the log which added to to other ECU100h.
  • the “sign sign log” may be output to another ECU 100 h, or the log type identifier and sign log identifier included in the “sign sign log” may be the gateway 300 c or the ECU 100 h. You may output a "signature log” to other ECU100h, hold
  • log output pattern is not limited to the above pattern, but may be a combination of the above patterns.
  • the gateway 300c or the ECU 100h including the above-described abnormality detection processing function group 370 performs abnormality detection processing while receiving a message and transmits an error frame when it is determined that the message is an abnormal message. A message being received may be invalidated.
  • the gateway 300c or the ECU 100h including the above-described abnormality detection processing function group 370 further notifies the user or an external server regarding the occurrence of the abnormality, records the abnormality in the log, or sets the vehicle in the failsafe mode. Migration may be performed.
  • a plurality of messages determined to be abnormal messages may be handled as one or more data sequences, and for each sequence, a set of data values or reception intervals may be learned as abnormal labels.
  • the message is transmitted in plain text, but the message may be encrypted.
  • the message may include a message authentication code.
  • the in-vehicle network is shown as an example of the network communication system that performs communication according to the CAN protocol.
  • the technology according to the present disclosure is not limited to use in an in-vehicle network, but may be used in a network such as a robot or an industrial device, or a network communication system that communicates according to a CAN protocol other than the in-vehicle network.
  • CAN-FD CAN with Flexible Data Rate
  • FlexRay FlexRay
  • Ethernet LIN (Local Interconnect Network)
  • MOST Media Oriented Systems Transport
  • these networks may be combined as sub-networks.
  • Each device in the above embodiment is specifically a computer including a microprocessor, a ROM (Read Only Memory), a RAM (Random Access Memory), a hard disk unit, a display unit, a keyboard, a mouse, and the like.
  • a computer program is recorded in the RAM or hard disk unit.
  • Each device achieves its functions by the microprocessor operating according to the computer program.
  • the computer program is configured by combining a plurality of instruction codes indicating instructions for the computer in order to achieve a predetermined function.
  • Each device in the above-described embodiment may be configured such that a part or all of the constituent elements are configured by one system LSI (Large Scale Integration).
  • the system LSI is an ultra-multifunctional LSI manufactured by integrating a plurality of components on a single chip, and specifically, a computer system including a microprocessor, ROM, RAM, and the like. . A computer program is recorded in the RAM.
  • the system LSI achieves its functions by the microprocessor operating according to the computer program.
  • each part of the constituent elements constituting each of the above devices may be individually made into one chip, or may be made into one chip so as to include a part or all of them.
  • the system LSI is used here, it may be referred to as an IC (Integrated Circuit), LSI, super LSI, or ultra LSI depending on the degree of integration. Further, the method of circuit integration is not limited to LSI's, and implementation using dedicated circuitry or general purpose processors is also possible.
  • An FPGA Field Programmable Gate Array
  • a reconfigurable processor that can reconfigure the connection or setting of circuit cells inside the LSI may be used.
  • a part or all of the constituent elements constituting each of the above apparatuses may be configured from an IC card or a single module that can be attached to and detached from each apparatus.
  • the IC card or module is a computer system that includes a microprocessor, ROM, RAM, and the like.
  • the IC card or the module may include the super multifunctional LSI described above.
  • the IC card or the module achieves its function by the microprocessor operating according to the computer program. This IC card or this module may have tamper resistance.
  • the present disclosure may be the method described above. Moreover, the computer program which implement
  • the present disclosure also relates to a computer program or a recording medium that can read a digital signal, such as a flexible disk, a hard disk, a CD-ROM, an MO, a DVD, a DVD-ROM, a DVD-RAM, a BD (Blu-ray (registered trademark)). ) Disc), recorded in a semiconductor memory or the like. Moreover, the digital signal currently recorded on these recording media may be sufficient.
  • a digital signal such as a flexible disk, a hard disk, a CD-ROM, an MO, a DVD, a DVD-ROM, a DVD-RAM, a BD (Blu-ray (registered trademark)).
  • a computer program or a digital signal may be transmitted via an electric communication line, a wireless or wired communication line, a network represented by the Internet, a data broadcast, or the like.
  • the present disclosure is a computer system including a microprocessor and a memory, and the memory records the computer program, and the microprocessor may operate according to the computer program.
  • program or digital signal may be recorded on a recording medium and transferred, or the program or digital signal may be transferred via a network or the like to be executed in another independent computer system.
  • a message used as a reference for detecting unauthorized communication is determined by a gateway or ECU that is connected to an in-vehicle network system for communication, or a combination of these with a server computer.
  • a system including one or more processors and a storage unit that executes such unauthorized communication detection is referred to as an unauthorized communication detection standard determination system in the present disclosure.
  • the unauthorized communication detection standard determination system is realized by one device such as one gateway connected to the in-vehicle network system, or a combination of such a gateway and ECU, or a gateway or ECU and remote And those realized by a plurality of devices such as a combination with a server computer.
  • this technique is executed as a method including a part or all of the steps of processing executed by each component in the above-described embodiments or modifications thereof, or executed by the processor of the unauthorized communication detection criterion determination system. It can also be realized as a program for the unauthorized communication detection standard determination system to execute this method.
  • the process executed by a specific component may be executed by another component instead of the specific component. Further, the order of the plurality of processes may be changed, and the plurality of processes may be executed in parallel.
  • the log output method determines a reference time for detecting fraud by determining whether arbitration has occurred during message transmission. As a result, it is possible to identify a normal message with high accuracy even for a message that has been difficult to identify as a normal message or an abnormal message. Become.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Signal Processing (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Quality & Reliability (AREA)
  • Software Systems (AREA)
  • Power Engineering (AREA)
  • Mathematical Physics (AREA)
  • Mechanical Engineering (AREA)
  • Medical Informatics (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Small-Scale Networks (AREA)
  • Debugging And Monitoring (AREA)

Abstract

車載ネットワークにおける通信のログを出力するログ出力方法であって、車載ネットワークに送出されたメッセージの異常性を互いに異なる方法でそれぞれ判定する複数の判定処理を行う異常判定ステップ（Ｓ１００２）と、複数の判定処理の結果に従って、ログを生成するログ生成ステップ（Ｓ１００４）と、生成したログを送信するログ送信ステップ（Ｓ１００５）とを含み、ログ生成ステップ（Ｓ１００４）では、複数の判定処理の結果の組み合わせに従って、ログに含まれる情報に重複が発生しないように、ログに含まれる情報を決定する。

Description

ログ出力方法、ログ出力装置及びプログラム
　本開示は、車載ネットワークにおける通信のログを出力するログ出力方法等に関する。
　近年、自動車の中のシステムには、電子制御ユニット（ＥＣＵ：Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ、以下、ＥＣＵとも表記する）と呼ばれる装置が多数配置されている。これらのＥＣＵを用いて構成された通信ネットワークは車載ネットワークと呼ばれる。車載ネットワークで用いられる通信には、多数の通信規格が存在する。主流である車載ネットワークの通信規格の一つに、Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ（ＣＡＮ）がある。
　ＣＡＮの規格を採用したネットワーク（ＣＡＮネットワーク）では、通信路（バス）は２本のケーブルで構成され、バスに接続されているＥＣＵはノードとも呼ばれる。バスに接続されている各ノードは、メッセージと呼ばれる単位又はメッセージを分割したフレームと呼ばれる単位でデータを送受信する。またＣＡＮでは、データの送信先又は送信元を示す識別子は用いられない。
　フレームを送信するノード（送信ノード）は、メッセージ毎にメッセージの種類を示すメッセージＩＤと呼ばれるＩＤを付けてメッセージを送信、つまりバスに信号を送出する。メッセージを受信するノード（受信ノード）は、予め決められたメッセージＩＤを含むメッセージのみを受信、つまりバスから信号を読み取る。同一ＩＤのメッセージは、一定の周期で送信される。
　上述の通り、自動車の中のシステムに多数配置されているＥＣＵは、それぞれがＣＡＮネットワークに接続され、メッセージを互いに送受信しながら動作している。
　ここで、ＣＡＮネットワークの外部と通信機能を持つＥＣＵが、外部から不正にアクセスされること等により、何者かに不正に制御され、ＣＡＮネットワークに対して異常なメッセージを送信することが起こり得る。このような何者かに不正に制御されたＥＣＵ（不正ＥＣＵ）は、例えば他のＥＣＵになりすまして異常なメッセージを送信し、車両を不正に制御することが可能となる。このような、いわゆるなりすまし攻撃を検知するための方法が、例えば、特許文献１に開示されている。
国際公開第２０１４／１１５４５５号
　しかしながら、特許文献１に開示されている方法では、ＥＣＵ内部において異常なメッセージを検知することしかできず、サーバなどの外部の装置を用いた検知は難しい。また、メッセージが送信された時ではなく、事後的に、異常なメッセージについて精査することができないという課題がある。
　本開示は、上記課題を解決するもので、バスに送出された個々のメッセージが異常なメッセージであるか否かを判定するために必要なログ情報を生成し出力するログ出力方法、ログ出力装置等を提供することを目的とする。
　上記課題を解決するために、本開示の一態様に係るログ出力方法は、車載ネットワークシステムにおける通信のログを出力するログ出力方法であって、前記ネットワークに送出されたメッセージの異常性を互いに異なる方法でそれぞれ判定する複数の判定処理を行う異常判定ステップと、前記複数の判定処理の結果の組み合わせに従って、前記ログに含まれる情報が重複しないように前記ログを生成するログ生成ステップと、生成した前記ログを送信するログ送信ステップとを含む。
　なお、これらの包括的または具体的な態様は、システム、装置、方法、集積回路、コンピュータプログラム又はコンピュータ読み取り可能なＣＤ－ＲＯＭなどの非一時的な記録媒体で実現されてもよく、システム、装置、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。
　本開示の一態様に係るログ出力方法等によれば、ネットワークに送出されたメッセージを異常であるか否かを判定した結果に応じて、ログを生成するために用いる情報を決定することにより、必要最小限のログを生成し、出力することで、コストを抑えることができる。
図１は、実施の形態１における車載ネットワークシステムの全体構成を示すブロック図である。 図２は、実施の形態１におけるＣＡＮプロトコルのメッセージ（データフレーム）のフォーマットを示す図である。 図３は、実施の形態１における車載ネットワークシステムに含まれるゲートウェイの一例を示すブロック図である。 図４は、実施の形態１における受信ＩＤリストの一例を示す図である。 図５は、実施の形態１における転送ルールの一例を示す図である。 図６は、実施の形態１における異常検知処理機能群の一例を示すブロック図である。 図７は、実施の形態１における振る舞い検知部の一例を示すブロック図である。 図８は、実施の形態１におけるログ出力処理機能群の一例を示すブロック図である。 図９は、実施の形態１におけるログ出力制御部におけるログ出力の判定例を示す図である。 図１０は、実施の形態１におけるログに含めるＮＧと判定した値の一例を示す図である。 図１１は、実施の形態１における車載ネットワークシステムに含まれるＥＣＵの一例を示すブロック図である。 図１２は、実施の形態１における車載ネットワークシステムに含まれるサーバの一例を示すブロック図である。 図１３は、実施の形態１における異常検知処理の一例を示すフローチャートである。 図１４は、実施の形態１における転送処理の一例を示すフローチャートである。 図１５は、変形例におけるゲートウェイの一例を示すブロック図である。 図１６は、変形例におけるログ出力処理機能群の一例を示すブロック図である。 図１７は、変形例におけるゲートウェイの一例を示すブロック図である。 図１８は、変形例におけるＥＣＵの一例を示すブロック図である。 図１９は、変形例におけるＥＣＵの一例を示すブロック図である。 図２０は、変形例におけるＥＣＵの一例を示すブロック図である。 図２１は、変形例におけるゲートウェイの別の一例を示すブロック図である。 図２２は、変形例におけるＥＣＵの一例を示すブロック図である。
　（本開示の基礎になった知見）
　ＣＡＮネットワーク上に異常なメッセージが送信されたことを判定する機能において、その判定結果、および、判定結果に関連する情報をログとして生成し、出力する場合、異常という判定に至った状況を後で詳細に確認するためには、多くのデータを必要とする。しかし、ログの出力先で必要となる記憶容量又は、出力先にデータを送信する際の通信量が多いと、多大なコストがかかってしまう。
　そこで、本開示の一態様に係るログ出力方法は、車載ネットワークシステムにおける通信のログを出力するログ出力方法であって、前記ネットワークに送出されたメッセージの異常性を互いに異なる方法でそれぞれ判定する複数の判定処理を行う異常判定ステップと、前記複数の判定処理の結果に従って、ログを生成するログ生成ステップと、生成した前記ログを送信するログ送信ステップとを含み、前記ログ生成ステップでは、前記複数の判定処理の結果の組み合わせに従って、前記ログに含まれる情報に重複が発生しないように、前記ログに含まれる情報を決定する。
　これにより、ネットワークに送出されたメッセージを異常であると判定した結果に応じて、ログを生成するために用いる情報を決定することにより、必要最小限の情報を含むログを生成し、出力することで、コストを抑えることができる。
　また、本開示の一態様に係るログ出力方法において、前記複数の判定処理は、前記異なる方法の一つとして、前記メッセージのＭＡＣ（Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｃｏｄｅ）を検証することにより前記異常性を判定するＭＡＣ検証処理を含む。
　これにより、受信したメッセージの完全性を確認することができ、ネットワークに送出されたメッセージの異常性を判定することができる。
　また、本開示の一態様に係るログ出力方法において、前記複数の判定処理は、前記メッセージから車両の振る舞いを検知することにより前記異常性を判定する振る舞い検知処理を含む。
　これにより、車両に含まれるＥＣＵが、外部から攻撃されること等により、何者かに乗っ取られ、車両が異常な振る舞いを行っていることを検知でき、ネットワークに送出されたメッセージの異常性を判定することができる。
　また、本開示の一態様に係るログ出力方法において、前記複数の判定処理は、前記メッセージに異常を示す兆候が現れているか否かを監視することにより前記異常性を判定する兆候監視処理を含む。
　これにより、メッセージの送信周期等の異常を検知することができ、ネットワークに送出されたメッセージの異常性を判定することができる。
　また、本開示の一態様に係るログ出力方法において、前記複数の判定処理は、前記メッセージから車両の振る舞いを検知することにより前記異常性を判定する振る舞い検知処理と、前記メッセージに異常を示す兆候が現れているか否かを監視することにより前記異常性を判定する兆候監視処理とを含み、前記ログ生成ステップでは、前記振る舞い検知処理と前記兆候監視処理の両方において異常性があると判定されたとき、（Ａ）前記振る舞い検知処理と前記兆候監視処理において、メッセージに異常性があると判定された理由が異なる場合、前記振る舞い検知処理で異常性があると判定された値と、前記兆候監視処理で異常性があると判定された値とを、ログとして出力し、（Ｂ）前記振る舞い検知処理と前記兆候監視処理において、異常と判定された理由が同じ場合、前記振る舞い検知処理で異常性があると判定された値と、前記兆候監視処理で異常性があると判定された値とのいずれか一方を、ログとして出力する。
　これにより、ネットワークに創出されたメッセージに異常性があると判断された場合に、出力されるログのデータ量を低減させることができる。
　また、本開示の一態様に係るログ出力装置は、車載ネットワークシステムにおける通信のログを出力するログ出力装置であって、１個以上のプロセッサと、記憶部とを含み、前記記憶部を用いて、前記１個以上のプロセッサは、前記ネットワークに送出されたメッセージの異常性を互いに異なる方法でそれぞれ判定する複数の判定処理を行う異常判定ステップと、前記複数の判定処理の結果に従って、ログを生成するログ生成ステップと、生成した前記ログを送信するログ送信ステップとを含み、前記ログ生成ステップでは、前記複数の判定処理の結果の組み合わせに従って、前記ログに含まれる情報に重複が発生しないように、前記ログに含まれる情報を決定する。
　これにより、ネットワークに送出されたメッセージを異常であると判定した結果に応じてログを生成するために用いる情報を決定することにより、必要最小限のログを生成し、出力することで、コストを抑えることができる。
　また、本開示の一態様に係るプログラムは、上記のログ出力装置において、前記１個以上のプロセッサに上記のログ出力方法を実施させるためのプログラムである。
　これにより、ネットワークに送出されたメッセージを異常と判定した結果に応じてログを生成するために用いる情報を決定することにより、必要最小限のログを生成し、出力することで、コストを抑えることができる。
　以下、実施の形態について図面を参照しながら具体的に説明する。
　なお、以下で説明する実施の形態は、いずれも包括的または具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置および接続形態、ステップ、ステップの順序などは一例であり、本開示を限定する趣旨ではない。以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素は、任意で含まれる構成要素として説明されるものである。
　（実施の形態１）
　［１．概要］
　本実施の形態では、車載ネットワークシステムにおいて、送信されているメッセージが異常なメッセージであるか否かの判定がなされ、その判定結果に応じてログを出力する場合について図面を参照しながら説明する。
　［１．１　車載ネットワークシステムの全体構成］
　図１は、本実施の形態における車載ネットワークシステム１０の全体構成を示すブロック図である。
　図１において、車載ネットワークシステム１０は、ＣＡＮネットワークで構成され、ＥＣＵ１００ａ、ＥＣＵ１００ｂ、ＥＣＵ１００ｃ、及びＥＣＵ１００ｄと、バス２００ａ及びバス２００ｂと、ゲートウェイ３００と、外部ネットワーク４００と、サーバ５００とを含む。
　以下では、ＥＣＵ１００ａ、ＥＣＵ１００ｂ、ＥＣＵ１００ｃ、ＥＣＵ１００ｄを、集合的にＥＣＵ１００とする場合がある。又、ＥＣＵ１００ａ、ＥＣＵ１００ｂ、ＥＣＵ１００ｃ、ＥＣＵ１００ｄのいずれかを指して、ＥＣＵ１００として説明する場合がある。
　また、以下では、バス２００ａ、バス２００ｂを、集合的にバス２００とする場合がある。又、バス２００ａ及びバス２００ｂのいずれか一方を指して、バス２００とする場合がある。
　ＥＣＵ１００ａはエンジン１０１に接続され、ＥＣＵ１００ｂはブレーキ１０２に接続される。また、ＥＣＵ１００ｃはドア開閉センサ１０３に接続され、ＥＣＵ１００ｄはウィンドウ開閉センサ１０４に接続されている。
　ＥＣＵ１００は、ＥＣＵ１００と接続されている機器の状態を取得し、機器の状態を表す取得したメッセージを周期的にバス２００に送出する。例えばＥＣＵ１００ａは、エンジン１０１の回転数を取得し、この回転数を表すデータ値を含むメッセージに所定のＩＤを付けてバス２００に送出する。
　また、各ＥＣＵ１００は、他のＥＣＵ１００が送信したメッセージをバス２００から読み出し、メッセージに付されたＩＤに応じて選択的に受信する。この選択的な受信については後述する。
　ゲートウェイ３００は、ＥＣＵ１００ａ及びＥＣＵ１００ｂが接続されているバス２００ａと、ＥＣＵ１００ｃ及びＥＣＵ１００ｄが接続されているバス２００ｂとを接続している。ゲートウェイ３００は一方のバス２００から受信したメッセージを、もう一方のバス２００に転送する機能を持つ。ゲートウェイ３００もまた、ＣＡＮネットワーク上ではひとつのノードである。
　外部ネットワーク４００は、ゲートウェイ３００とサーバ５００が通信するための通信ネットワークである。外部ネットワーク４００の通信方法は、有線であっても良いし、無線であっても良い。また、無線通信方式はＷｉ－Ｆｉ（登録商標）又は、３Ｇ／ＬＴＥであっても良い。
　サーバ５００は、外部ネットワーク４００を介して、ゲートウェイ３００と通信を行う。
　なお、車載ネットワークシステム１０は、メッセージが異常なメッセージであるか否かの判定をし、ログを出力するログ出力システム等が適用可能な対象を説明するための例である。また、ログ出力システムの適用対象は車載ネットワークシステム１０に限定されない。
　［１．２　メッセージのデータフォーマット］
　図２は、ＣＡＮプロトコルのメッセージ（データフレーム）のフォーマットを示す図である。ここではＣＡＮプロトコルにおける標準ＩＤフォーマットにおけるメッセージを示している。
　メッセージは、ＳＯＦ（Ｓｔａｒｔ　Ｏｆ　Ｆｒａｍｅ）と、ＩＤフィールド、ＲＴＲ（Ｒｅｍｏｔｅ　Ｔｒａｎｓｉｍｉｓｓｉｏｎ　Ｒｅｑｕｅｓｔ）、ＩＤＥ（Ｉｄｅｎｔｉｆｉｅｒ　Ｅｘｔｅｎｓｉｏｎ）、予約ｂｉｔ（ｒとも呼ぶ）、ＤＬＣ（Ｄａｔａ　Ｌｅｎｇｔｈ　Ｃｏｄｅ）、データフィールド、ＣＲＣ（Ｃｙｃｒｉｃ　Ｒｅｄｕｎｄａｎｃｙ　Ｃｈｅｃｋ）シーケンス、ＣＲＣデリミタ（図中、左のＤＥＬ）と、ＡＣＫ（Ａｃｋｎｏｗｌｅｄｇｅｍｅｎｔ）スロットと、ＡＣＫデリミタ（図中、右のＤＥＬ）と、ＥＯＦ（Ｅｎｄ　Ｏｆ　Ｆｒａｍｅ）から構成される。
　ＳＯＦは、１ｂｉｔのドミナントである。ドミナントは、優性の意である。ドミナントは、データの伝達にデジタル方式が用いられるＣＡＮネットワークにおいて、“０”の値を送信するようにバスを構成する２本のケーブルに電圧がかけられた状態、または送信されるこの“０”の値のことである。これに対し、“バスを構成する２本のケーブルに１”の値を送信するように電圧がかけられた状態、または送信されるこの“１”の値のことはレセシブと呼ばれる。レセシブは、劣勢の意である。２つのノードからバスに同時に“０”の値と“１”の値とが送信された場合には、“０”の値が優先される。アイドル状態の時のバスは、レセシブの状態である。各ＥＣＵ１００は、バス２００の状態をレセシブからドミナントへ変化させることでメッセージの送信を開始し、他のＥＣＵ１００はこの変化を読み取って同期する。図２において、メッセージを構成するドミナント又はレセシブを示す線が実線である部分は、ドミナント又はレセシブの各値を取り得ることを示す。ＳＯＦはドミナントの状態で固定されているため、ドミナントの線は実線であり、レセシブの線は破線である。
　ＩＤとは、メッセージが含むデータの種類を示す１１ｂｉｔの値である。またＣＡＮでは、複数のノードが同時に送信を開始したメッセージ間での通信調停において、ＩＤの値がより小さいメッセージがより高い優先度となるよう設計されている。
　ＲＴＲとは、フレームがメッセージ（データフレーム）であることを示す１ｂｉｔのドミナントである。
　ＩＤＥとｒは、それぞれ１ｂｉｔのドミナントである。
　ＤＬＣは、続くデータフィールドの長さを示す４ｂｉｔの値である。
　データフィールドは、送信されるデータの内容を示す値であり、最大６４ｂｉｔ長で、８ｂｉｔ単位で長さを調整できる。送信されるデータのデータフィールドへの割り当てに関する仕様は、車種及び製造者等に依存する。
　ＣＲＣシーケンスは、ＳＯＦ、ＩＤフィールド、コントロールフィールド、データフィールドの送信値より算出される１５ｂｉｔの値である。
　ＣＲＣデリミタは１ｂｉｔのレセシブで固定されており、ＣＲＣシーケンスの終了を表す区切り記号である。受信ノードは、受信したメッセージのＳＯＦ、ＩＤフィールド、コントロールフィールド、及びデータフィールドの値から算出した結果をＣＲＣシーケンスの値と比較することで異常の有無を判断する。
　ＡＣＫスロットは１ｂｉｔ長で、送信ノードはＡＣＫスロットにおいてレセシブを送信する。受信ノードはＣＲＣシーケンスまで正常に受信ができていれば確認応答としてドミナントを送信する。ドミナントが優先されるため、１メッセージにおける通信がＣＲＣシーケンスまで正常に行われていれば、ＡＣＫスロットの送信中のバス２００はドミナントの状態である。
　ＡＣＫデリミタは１ｂｉｔのレセシブに固定されており、ＡＣＫスロットの終了を表す区切り記号である。
　ＥＯＦは７ｂｉｔのレセシブに固定されており、メッセージの終了を示す。
　［１．３　ゲートウェイの構成］
　図３は、本実施の形態における車載ネットワークシステムに含まれるゲートウェイの一例を示すブロック図である。図３において、ゲートウェイ３００は、フレーム送受信部３１０と、フレーム解釈部３２０と、受信ＩＤ判定部３３０と、受信ＩＤリスト保持部３４０と、フレーム処理部３５０と、転送ルール保持部３６０と、異常検知処理機能群３７０と、ログ出力処理機能群３７５と、フレーム生成部３８０と、外部通信部３９０とを備える。
　なお、これらの構成は機能を示す構成であり、ゲートウェイ３００は、例えばプロセッサで実現される処理部、半導体メモリ等で実現される記憶部、入出力ポートで実現される入出力部等を備える情報処理装置として提供される。
　上記の機能を示す構成は、記憶部に保持されるプログラムを処理部により読み出し、実行し、記憶部へ所定のデータを保持し、若しくは入出力部を介してデータの送受信を実行することで実現されてもよい。又は、上記の機能を示す構成は、これらの組み合わせで実現されてもよい。
　なお、本開示の一態様に係るログ出力方法は、ゲートウェイによって実現されるものに限らない。フレーム送受信部３１０と、フレーム解釈部３２０と、受信ＩＤ判定部３３０と、受信ＩＤリスト保持部３４０と、フレーム処理部３５０と、転送ルール保持部３６０と、異常検知処理機能群３７０と、ログ出力処理機能群３７５と、フレーム生成部３８０と、外部通信部３９０とは、単数又は複数のＥＣＵ１００によって実現されてもよい。
　フレーム送受信部３１０は、バス２００ａ、２００ｂのそれぞれに対して、ＣＡＮのプロトコルに従ったメッセージを送受信する。
　より具体的には、フレーム送受信部３１０は、バス２００に送出されたメッセージを１ｂｉｔずつ読み出し、読み出したメッセージをフレーム解釈部３２０に転送する。
　また、フレーム送受信部３１０は、フレーム生成部３８０より送信されたバス情報に応じて、メッセージをバス２００ａ及び２００ｂに１ｂｉｔずつ送出する。
　フレーム送受信部３１０は、バス２００ａから受信したメッセージをバス２００ｂに送信し、バス２００ｂから受信したメッセージをバス２００ａに送信することでバス２００間でのメッセージの転送を実行する。
　フレーム解釈部３２０は、フレーム送受信部３１０よりメッセージの値を受け取り、ＣＡＮプロトコルにおける各フィールドにマッピングして、受信したメッセージの解釈を行う。フレーム解釈部３２０は、ＩＤフィールドの値と解釈した一連の値を、受信ＩＤ判定部３３０へ転送する。
　フレーム解釈部３２０はさらに、受信ＩＤ判定部３３０から通知される判定結果に応じて、メッセージのＩＤフィールドの値及びＩＤフィールド以降に現れるデータフィールドをフレーム処理部３５０へ転送するか、メッセージの受信を中止するかを決定する。
　また、フレーム解釈部３２０は、受信したメッセージがＣＡＮプロトコルに則っていないメッセージであると判断した場合は、エラーフレームを送信するようにフレーム生成部３８０へ要求する。
　エラーフレームは、ＣＡＮネットワーク上でエラーが発生した場合に、ノードから送信される、上述のメッセージとは異なる、ＣＡＮプロトコルで規定される所定のフォーマットのフレームである。エラーフレームがバスに送出されると、そのネットワークでのメッセージの送信は中断される。
　また、フレーム解釈部３２０は、他のノードが送信したエラーフレームを受信したと解釈した場合、読み取り中のメッセージを破棄する。
　受信ＩＤ判定部３３０は、フレーム解釈部３２０からＩＤフィールドの値を受け取り、受信ＩＤリスト保持部３４０が保持しているメッセージＩＤのリストに従い、読み出したメッセージを受信するか否かの判定を行う。受信ＩＤ判定部３３０は、この判定の結果をフレーム解釈部３２０へ通知する。
　受信ＩＤリスト保持部３４０は、ゲートウェイ３００が受信するメッセージＩＤのリスト（以下、受信ＩＤリストともいう）を保持する。図４は、本実施の形態における受信ＩＤリストの一例を示す図である。図４における受信ＩＤリストの詳細は、後述する。
　フレーム処理部３５０は、転送ルール保持部３６０が保持するデータ転送に関するルールに従って、受信したメッセージのＩＤに応じて転送先となるバス２００を決定し、転送先となるバス２００と、フレーム解釈部３２０より通知されたメッセージＩＤと、転送するデータとをフレーム生成部３８０へ通知する。
　またフレーム処理部３５０は、フレーム解釈部３２０より受け取ったメッセージを異常検知処理機能群３７０へ送り、異常検知処理機能群３７０に対して、そのメッセージが、異常なメッセージであるか否かの判定を行うように要求する。異常検知処理機能群３７０において異常なメッセージであると判定されたメッセージを、フレーム処理部３５０は転送しない。
　転送ルール保持部３６０は、各バス２００のデータ転送に関するルール（以下、転送ルールともいう）を保持する。図５は、本実施の形態における転送ルールの一例を示す図である。図５における転送ルールの詳細は、後述する。
　異常検知処理機能群３７０は、受信中のメッセージが異常なメッセージであるか否かの判定する機能群である。異常検知処理機能群３７０に含まれる機能構成の詳細は後述する。異常検知処理機能群３７０は、判定結果をフレーム処理部３５０とログ出力処理機能群３７５へ通知する。
　ログ出力処理機能群３７５は、異常検知処理機能群３７０で受信中のメッセージが異常なメッセージであると判定した場合に、その判定結果に応じてログを生成し、外部通信部３９０を介してログをサーバ５００へ出力する。ログ出力処理機能群３７５に含まれる機能構成の詳細は後述する。
　フレーム生成部３８０は、フレーム解釈部３２０からのエラーフレーム送信の要求に従い、エラーフレームを生成し、フレーム送受信部３１０にエラーフレームを送出させる。
　またフレーム生成部３８０は、フレーム処理部３５０より受け取ったメッセージＩＤ及びデータを使ってメッセージフレームを生成し、バス情報とともに、フレーム送受信部３１０にメッセージフレームを送出する。
　外部通信部３９０は、外部ネットワーク４００を通して、サーバ５００との通信を行う。
　［１．４　受信ＩＤリスト］
　図４は、本実施の形態における受信ＩＤリストの一例を示す図である。受信ＩＤリストは、ゲートウェイ３００が受信して処理するメッセージのメッセージＩＤのリストであり、受信ＩＤリスト保持部３４０で保持されている。
　図４において、受信ＩＤリストは、各行にメッセージのＩＤが格納されている。図４の受信ＩＤリストは、メッセージＩＤが、「１」、「２」、「３」及び「４」であり、ゲートウェイ３００は、これらのメッセージＩＤのメッセージを受信する。ゲートウェイ３００は、受信ＩＤリストに含まれないメッセージＩＤのメッセージの受信を中止する。
　なお、ＩＤの値及び受信ＩＤリストに含まれるＩＤの個数は説明のための一例であり、ゲートウェイ３００で用いられる受信ＩＤリストの構成をこれに限定するものではない。
　［１．５　転送ルール］
　図５は、本実施の形態における転送ルールの一例を示す図である。転送ルールは、転送ルール保持部３６０で保持されている。図５において、転送ルールは、各行にメッセージの転送元のバス２００と転送先のバス２００、及び転送対象のメッセージＩＤの組み合わせが格納されている。
　具体的には、転送ルールの１行目は、転送元「バス２００ａ」、転送先「バス２００ｂ」、ＩＤ「＊」であり、ゲートウェイ３００は、バス２００ａから受信するメッセージを、ＩＤが何であってもバス２００ｂに転送する、というルールである。転送ルールの２行目は、転送元「バス２００ｂ」、転送先「バス２００ａ」、ＩＤ「３」であり、ゲートウェイ３００は、バス２００ｂから受信するメッセージは、ＩＤが「３」のメッセージであればバス２００ａに転送する、というルールである。
　［１．６　異常検知処理機能群の構成］
　図６は、本実施の形態におけるゲートウェイ３００が備える異常検知処理機能群３７０の一例を示すブロック図である。図６において、異常検知処理機能群３７０は、ＭＡＣ（Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｃｏｄｅ）検証部３７１と、振る舞い検知部３７２と、兆候監視部３７３とを含む。
　なお、これらの構成は機能を示す構成であり、ゲートウェイ３００において記憶部に記録されるプログラムを処理部により読み出し、実行し、記憶部へ所定のデータを記録することで実現される。若しくは記憶部へ所定のデータを記録することの代わりに、入出力部を介してデータの送受信を実行することで、これらの構成が実現されてもよい。又、これらの構成は、上記の組み合わせで実現されてもよい。
　ＭＡＣ検証部３７１は、フレーム処理部３５０から受信したメッセージのＭＡＣを検証し、ＯＫ／ＮＧを出力する。受信したメッセージは、メッセージ本体とＭＡＣから構成される。ＭＡＣ検証部３７１は、メッセージ本体と事前に設定された鍵からＭＡＣを計算し、計算したＭＡＣとフレーム処理部３５０から受信したメッセージに含まれるＭＡＣとを比較し、一致する場合にＯＫを出力し、一致しない場合にＮＧを出力する。
　ここで、ＭＡＣのアルゴリズムは、一般に知られているアルゴリズムであればいずれでもよく、ＨＭＡＣ（Ｈａｓｈ－ｂａｓｅｄ　Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｃｏｄｅ）、ＯＭＡＣ（Ｏｎｅ－ｋｅｙ　Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｃｏｄｅ）、ＣＭＡＣ（Ｃｉｐｈｅｒ－ｂａｓｅｄ　Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｃｏｄｅ）、ＣＢＣ－ＭＡＣ（Ｃｉｐｈｅｒ　Ｂｌｏｃｋ　Ｃｈａｉｎｉｎｇ　Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｃｏｄｅ）などを用いることが出来る。
　また、フレーム処理部３５０から受信したメッセージに含まれるＭＡＣは、ＭＡＣのアルゴリズムにより計算された値そのものでもよいし、計算された値の一部のみを用いてもよいし、計算された値を更に変換した値を用いてもよい。この時、ＭＡＣ検証部３７１には、事前に、計算された値のどの部分を利用するかに関する情報及び、値をどのように変換するかに関する情報が与えられており、ＭＡＣ検証部３７１はそれらの情報にもとづいて、受信したメッセージに含まれるＭＡＣの検証を行う。
　なお、フレーム処理部３５０から受信したメッセージには、ＭＡＣが含まれないことがある。この場合、ＭＡＣ検証部３７１は、検証結果としてＯＫを出力してもよいし、ＭＡＣが無い旨を示す結果を出力してもよい。
　振る舞い検知部３７２は、フレーム処理部３５０から受信したメッセージが異常なメッセージであるか否かを判定する。
　振る舞い検知部３７２は、複数の検知機能を持ち、事前に設定されたルールをそれぞれの検知機能が参照し、フレーム処理部３５０から受信したメッセージが異常なメッセージであるか否かを判定する。
　図７は、本実施の形態における振る舞い検知部の一例を示すブロック図である。図７において、振る舞い検知部３７２は、６種類の判定機能を含んでいる。具体的には、判定機能として、メッセージのＩＤフィールドをチェックする機能であるＩＤ判定機能、メッセージのデータ長をチェックする機能であるデータ長判定機能、メッセージが送信される周期（時間間隔）をチェックする機能である送信周期判定機能、メッセージが送信される頻度をチェックする機能である送信頻度判定機能及びメッセージのデータフィールドの値（データ値）をチェックする機能であるデータ値判定機能を含む。さらに、これらの判定機能の判定結果、送信周期、頻度、データ値、又はデータ値の変化量などに基づいて車両の状態を認識し、車両状態をチェックする機能である車両状態判定機能を含む。また、さらに、振る舞い検知部３７２は、フレーム処理部３５０から受信したメッセージが異常なメッセージであるか否かを、これらの判定機能による判定結果から総合的に判定する総合判定機能を含む。総合判定機能の結果が、振る舞い検知部３７２による検知処理の結果となる。
　図６に戻って、異常検知処理機能群３７０の説明を続ける。
　図６において、兆候監視部３７３は、フレーム処理部３５０から受信したメッセージが、異常の兆候を示しているかどうかを判定する。具体的には、判定機能の内容は、振る舞い検知部３７２と同様である。兆候監視部３７３には、振る舞い検知部３７２に設定されているルールとは異なるルールを設定する。
　例えば、兆候監視部３７３は、メッセージが送信される周期（時間間隔）が、ルールで設定された値より短い場合に、異常が発生している兆候があると判断し、ＮＧの判定を出力してもよい。このとき、振る舞い検知部３７２の送信周期判定機能が保持しているルールは、兆候監視部３７３におけるルールとは異なるため、兆候監視部３７３は、受信したメッセージを明確に異常なメッセージであるとは判断できないことから、ＯＫの判定を出力してもよい。
　また、振る舞い検知部３７２は、周期以外の判定結果からＮＧの判定を出力する場合もある。また、兆候監視部３７３は、送信頻度がルールで設定された値より大きくなった場合に、異常が発生している兆候があると判断し、ＮＧの判定を出力してもよい。
　異常検知処理機能群３７０は、ＭＡＣ検証部３７１の判定結果と、振る舞い検知部３７２の判定結果と、兆候監視部３７３の判定結果とのうち、ＭＡＣ検証部３７１の判定結果又は振る舞い検知部３７２の判定結果のどちらかがＮＧであった場合に、フレーム処理部３５０へＮＧの結果を出力する。
　異常検知処理機能群３７０は、ＭＡＣ検証部３７１の判定結果と、振る舞い検知部３７２の判定結果と、兆候監視部３７３の判定結果のそれぞれと、振る舞い検知部３７２の内部のそれぞれの判定機能の判定結果と、兆候監視部３７３の内部のそれぞれの判定機能の判定結果とを、ログ出力処理機能群３７５へ通知する。
　なお、兆候監視部３７３の判定機能は、振る舞い検知部３７２と同一であるとしたが、これに限定するものではない。例えば、兆候監視部３７３の判定機能は、振る舞い検知部３７２の判定機能のうちの一部の判定機能だけであってもよい。また、兆候監視部３７３の判定機能に、更に他の判定機能が追加されてもよい。他の判定機能は、車両に取り付けられた各種センサの値又は、車両の外部の機器から得られたデータなどを用いた判定を行うものでもよい。
　なお、兆候監視部３７３は、振る舞い検知部３７２とは異なるルールを設定するとしたが、これに限定するものではない。例えば、兆候監視部３７３の判定機能の一部のルールが、振る舞い検知部３７２の判定機能と同じルールになっていてもよい。判定対象となるメッセージのデータの範囲が設定されているルールにおいて、１つのルールに、振る舞い検知部３７２がＮＧと判定する範囲と、それを含むより広い範囲である兆候監視部３７３がＮＧと判定する範囲の両方が含まれていてもよい。
　また、ここでは、異常だけでなく異常の兆候等も含めて、包括的に異常性と呼ぶ場合がある。異常検知処理機能群では、メッセージの異常性を互いに異なる方法でそれぞれ判定する複数の判定処理が行われる。また、これらの判定処理は、基本的に、互いに独立して、並列に行われる。
　［１．７　ログ出力処理機能群の構成］
　図８は、本実施の形態におけるログ出力処理機能群の一例を示すブロック図である。図８において、ゲートウェイ３００が備えるログ出力処理機能群３７５は、ログ出力制御部３７６と、ログ関連情報保持部３７７とを含む。
　なお、これらの構成は機能を示す構成であり、ゲートウェイ３００において記憶部に保持されるプログラムを処理部により読み出し、実行し、記憶部へ所定のデータを記録することで実現される。若しくは記憶部へ所定のデータを記録することの代わりに、入出力部を介してデータの送受信を実行することで、これらの構成が実現されてもよい。又、これらの構成は、上記の組み合わせで実現されてもよい。
　ログ出力制御部３７６は、異常検知処理機能群３７０から検知結果と受信したメッセージに関連した情報、例えば、受信したメッセージ又は受信時刻等、の通知を受け、ログ出力を行うかどうかの判定を行う。
　ログ出力制御部３７６がログ出力を行うと判定した場合には、検知結果に応じた情報を含むログを生成する。
　ログ出力制御部３７６は、生成したログを外部通信部３９０へ通知し、ログをサーバへ送信するよう要請する。この時、車両を識別するために車両ごとに個別に割り当てられた車両識別子も同時に送信する。
　ログ出力制御部３７６による判定例を、図９を用いて説明する。図９は、本実施の形態におけるログ出力制御部におけるログ出力の判定例を示す図である。図９においては、ＭＡＣ検証部３７１の判定結果を「ＭＡＣ検証」の列に示し、振る舞い検知部３７２の判定結果を「振る舞い検知」の列に示し、兆候監視部３７３の判定結果を「兆候監視」の列に示している。
　ログ出力制御部３７６は、ＭＡＣ検証部３７１、振る舞い検知部３７２、兆候監視部３７３のそれぞれの判定結果から、ログを出力するか否か及び、ログを出力する場合にログにどのような内容を含めて生成するか等決定する。
　例えば、図９の１行目の、ＭＡＣ検証部３７１の判定結果がＯＫであり、振る舞い検知部３７２の判定結果がＯＫであり、兆候監視部３７３の判定結果がＯＫの場合、ログ出力制御部３７６は、ログを出力しないと判定し、それ以外の場合には、ログ出力制御部３７６は、ログを出力すると判定する。
　更に、ログ出力制御部３７６は、ログを出力すると判定した場合に、ＭＡＣ検証部３７１の判定結果と、振る舞い検知部３７２の判定結果と、兆候監視部３７３の判定結果に応じて、ログに出力する情報を変更する。
　例えば、図９の２行目の、ＭＡＣ検証部３７１の判定結果がＯＫであり、振る舞い検知部３７２の判定結果がＯＫであり、兆候監視部３７３の判定結果がＮＧの場合、ログに出力する情報として「兆候ログ」を生成する。「兆候ログ」は、兆候監視部３７３がＮＧと判定したことを示す識別子であるログ種別識別子と、兆候監視部３７３がＮＧと判定した理由を示す識別子である兆候ログ識別子と、兆候監視部３７３がＮＧと判定した値と、さらに、必要に応じて、受信したメッセージのＩＤとを含む。
　また、図９の３行目の、ＭＡＣ検証部３７１の判定結果がＯＫであり、振る舞い検知部３７２の判定結果がＮＧであり、兆候監視部３７３の判定結果がＯＫの場合、ログに出力する情報として「振る舞いログ」を生成する。「振る舞いログ」は、振る舞い検知部３７２がＮＧと判定したことを示す識別子であるログ種別識別子と、振る舞い検知部３７２がＮＧと判定した理由を示す識別子である振る舞いログ識別子と、振る舞い検知部３７２がＮＧと判定した値と、振る舞い検知部３７２がＮＧと判定した値の過去に受信したメッセージの該当する値と、さらに、必要に応じて、受信したメッセージのＩＤとを含む。
　振る舞い検知部３７２がＮＧと判定した値の過去に受信したメッセージの該当する値としては、同じＩＤを持つメッセージの一つ前に受信したメッセージの該当する値でもよいし、あらかじめ決められた時間又はあらかじめ決められたメッセージ数だけ前のメッセージから直前に受信したメッセージまでの複数の値でもよい。ログ出力制御部３７６は、ログ関連情報保持部３７７から過去に受信したメッセージに関連する情報を取得し、振る舞いログを生成する。
　また、図９の４行目の、ＭＡＣ検証部３７１の判定結果がＯＫであり、振る舞い検知部３７２の判定結果がＮＧであり、兆候監視部３７３の判定結果がＮＧの場合、振る舞い検知部３７２のＮＧと判定した理由と、兆候監視部３７３のＮＧと判定した理由が同じであるか、異なるかによって、生成するログが異なるものになる。
　例えば、振る舞い検知部３７２がＮＧと判定した理由と、兆候監視部３７３がＮＧと判定した理由が同じ場合は、ログ出力制御部３７６は、振る舞いログと、兆候監視部３７３がＮＧと判定したことを示す識別子であるログ種別識別子と、兆候ログ識別子とを含むログ情報を生成する。
　また、振る舞い検知部３７２が受信したメッセージをＮＧと判定した理由と、兆候監視部３７３が受信したメッセージをＮＧと判定した理由が異なる場合は、振る舞いログと、兆候ログとを含むログ情報を生成する。
　すなわち、特定理由が同じ場合、振る舞い検知部３７２がＮＧと判定した値と、兆候監視部３７３がＮＧと判定した値とのうち、一方のみがログとして出力される。上記では、振る舞い検知部３７２がＮＧと判定した値のみが出力されているが、兆候監視部３７３がＮＧと判定した値のみが出力されてもよい。受信したメッセージがＮＧと判定された判定理由が異なる場合、これらの両方の値が出力される。
　また、図９の５行目の、ＭＡＣ検証部３７１の判定結果がＮＧであり、振る舞い検知部３７２の判定結果がＯＫであり、兆候監視部３７３の判定結果がＯＫの場合、「全フィールドログ」を生成する。「全フィールドログ」は、ＭＡＣ検証部３７１がＮＧと判定したことを示す識別子であるログ種別識別子と、受信したメッセージ全体を含む。
　また、図９の６、７、８行目の、ＭＡＣ検証部３７１の判定結果がＮＧであり、と、振る舞い検知部３７２の判定結果と、兆候監視部３７３の判定結果が、図９の５行目以外の組み合わせに関しては、上記ログ及び識別子の組み合わせになる。
　以上のように、受信したメッセージに対する複数の判定処理の結果の組み合わせに従って、出力される情報に重複が発生しないように、ログに含まれる情報が決定される。
　なお、図９の７、８行目のログのうち、振る舞いログは、振る舞い検知部３７２がＮＧと判定したことを示す識別子であるログ種別識別子と、振る舞い検知部３７２がＮＧと判定した理由を示す識別子である振る舞いログ識別子と、振る舞い検知部３７２がＮＧと判定した値の過去に受信したメッセージの該当する値とを含む。振る舞いログは、振る舞い検知部３７２がＮＧと判定した値と、受信したメッセージのＩＤとを含む必要は無い。
　振る舞いログと兆候ログは、ログ種別識別子と、振る舞いログ識別子及び兆候ログ識別子と、振る舞い検知部３７２及び兆候監視部３７３がＮＧと判定した値と、さらに、必要に応じて、受信したメッセージのＩＤとを含む。
　ここで、振る舞いログ識別子及び兆候ログ識別子と、振る舞い検知部３７２及び兆候監視部３７３がＮＧと判定した値について説明する。図１０は、本実施の形態におけるログに含まれるＮＧと判定した値の一例を示す図である。図１０に示すように、振る舞い検知部３７２又は兆候監視部３７３の内部でＮＧと判定した判定機能に応じて、ログとして生成する値が変更される。例えば、ＩＤ判定機能がＮＧと判定した場合は、ＮＧと判定した値はログに含まれない。ログ出力制御部３７６は、ログ種別識別子と、振る舞いログ識別子又は兆候ログ識別子と、受信したメッセージのＩＤとを含むログを生成する。
　また、データ長判定機能がＮＧと判定した場合は、ＮＧと判定した値として、受信したメッセージに含まれるＤＬＣの値を設定する。
　また、送信周期判定機能がＮＧと判定した場合は、ＮＧと判定した値として、１つ前に受信した同じＩＤを持つメッセージの受信時刻からの時間差である受信時刻差を設定する。
　また、送信頻度判定機能がＮＧと判定した場合は、ＮＧと判定した値として、メッセージの受信頻度を設定する。この時、受信したメッセージに含まれるＩＤの値に関係なく、全受信メッセージを対象に送信頻度を判定した際にＮＧと判定した場合は、ログに受信したメッセージのＩＤを含まない。一方、ＩＤごとに送信頻度を判定した際にＮＧと判定した場合は、ログに受信したメッセージのＩＤを含めてもよい。
　また、データ値判定機能がＮＧと判定した場合は、ＮＧと判定した値として、受信したメッセージに含まれるデータのうちＮＧと判定したデータの位置を示す識別子であるデータ識別子と、判定対象のデータ値である対象データ値を、ログとして設定する。
　データ識別子としては、例えば０ｂｉｔ目から３ｂｉｔ目のデータをデータ識別子「１」、４ｂｉｔ目のデータをデータ識別子「２」、５ｂｉｔ目から６ｂｉｔ目のデータをデータ識別子「３」とするというような対応表をＩＤごとに作成してもよい。また、０ｂｉｔ目から３ｂｉｔ目のデータをデータ識別子「（０，３）」と表すことでＩＤによらずデータの位置を示してもよい。また、０ｂｉｔ目から３ｂｉｔ目のデータをサイズ（４ｂｉｔ）を用いて、データ識別子「（０，４）」と表してもよい。
　データ識別子は、ＣＡＮプロトコルのメッセージのフォーマットにおけるデータフィールド内のどの位置のデータであるかを示すことが出来ればよい。そのため、上記以外のデータ識別子を用いてもよい。
　また、車両状態判定機能がＮＧと判定した場合は、ＮＧと判定した値として、その時の車両状態を表す車両状態識別子と、その状態へ遷移した要因となった情報である要因情報とを設定する。受信したメッセージにより車両状態が変化し、車両状態判定機能がＮＧと判定した場合は、受信したメッセージのＩＤとをログに含む。一方で、受信したメッセージによらず車両状態が変化した場合は、受信したメッセージのＩＤをログに含まない。ここで、要因情報としては、ＩＤ、送信周期、送信頻度、データ値、又はデータ値の変化量など状態が遷移した要因がどの情報によるものなのかを示す識別子である要因識別子と、その値を含む。
　ログ種別識別子は、ＭＡＣ検証部３７１と、振る舞い検知部３７２と、兆候監視部３７３のどれがＮＧと判定したかを示す識別子である。振る舞い検知部３７２がＮＧと判定した理由を示す識別子である振る舞いログ識別子及び兆候監視部３７３がＮＧと判定した理由を示す識別子である兆候ログ識別子は、ＩＤ判定機能又はデータ長判定機能、送信周期判定機能、送信頻度判定機能、データ値判定機能及び車両状態判定機能の各機能でＮＧと判定したときの理由を示す。
　例えば、本来送信されるべきではないＩＤのメッセージを受信したことを示したり、受信したメッセージの送信周期がルールに記載されている値より小さかったことを示したり、受信したメッセージのペイロードに含まれるデータの値がルールに記載されている値と異なることを示したり、データの値の前回受信時からの変化量がルールに記載されている値と異なることを示す。
　また、ログ出力制御部３７６は、振る舞い検知部３７２と兆候監視部３７３に含まれるＩＤ判定機能、データ長判定機能、送信周期判定機能、送信頻度判定機能、データ値判定機能及び車両状態判定機能の各機能において、１つの受信したメッセージに対して、複数の機能がＮＧと判定した場合又は、ある機能において複数の理由によりＮＧと判定した場合には、複数のログを出力してもよい。また、事前に決められた優先度に応じて、優先度の一番高いメッセージのみをログとして出力してもよい。
　また、ログ出力制御部３７６は、受信したメッセージに関連した情報をログ関連情報保持部３７７へ通知し、情報の保持を依頼する。メッセージに関連した情報としては、受信したメッセージ又は、受信したメッセージの受信時刻、ログ出力制御部３７６が出力するログ、ログを生成するために必要な情報等を含む。ログ出力制御部３７６は、ログを生成する際に、必要に応じて、ログ関連情報保持部３７７から受信したメッセージに関連した情報を取得する。
　ログ関連情報保持部３７７は、ログ出力制御部３７６から保持の依頼を受けた、受信したメッセージに関連した情報を保持する。また、ログ関連情報保持部３７７は、ログ出力制御部３７６からの受信したメッセージに関連した情報の取得依頼に応じて、保持している情報をログ出力制御部３７６へ通知する。
　なお、ログ出力制御部３７６は、生成するログに、受信したメッセージの受信時刻を含めてもよい。
　［１．８　ＥＣＵの構成］
　図１１は、本実施の形態における車載ネットワークシステムに含まれるＥＣＵの一例を示すブロック図である。図１１において、ＥＣＵ１００は、フレーム送受信部１１０と、フレーム解釈部１２０と、受信ＩＤ判定部１３０と、受信ＩＤリスト保持部１４０と、フレーム処理部１５０と、データ取得部１７０と、フレーム生成部１８０とを備える。
　なお、これらの構成は機能を示す構成であり、ＥＣＵ１００は、例えばプロセッサで実現される処理部、半導体メモリ等で実現される記憶部、入出力ポート等で実現される入出力部等を備える情報処理装置として提供される。
　上記の機能を示す構成は、記憶部に保持されるプログラムを処理部により読み出し、実行し、記憶部へ所定のデータを記録することで実現される。若しくは記憶部へ所定のデータを記録することの代わりに、入出力部を介してデータの送受信を実行することで、これらの構成が実現されてもよい。又、これらの構成は、上記の組み合わせで実現されてもよい。
　フレーム送受信部１１０は、バス２００を介して、ＣＡＮのプロトコルに従ったメッセージを送受信する。
　より具体的には、フレーム送受信部１１０は、バス２００に送出されたメッセージを１ｂｉｔずつ読み出し、読み出したメッセージをフレーム解釈部１２０に転送する。
　また、フレーム送受信部１１０は、フレーム生成部１８０より通知を受けたメッセージをバス２００に送出する。
　フレーム解釈部１２０は、フレーム送受信部１１０よりメッセージの値を受け取り、ＣＡＮプロトコルにおける各フィールドにマッピングするようにしてメッセージの解釈を行う。フレーム解釈部１２０は、ＩＤフィールドであると解釈した一連の値を、受信ＩＤ判定部１３０へ転送する。
　フレーム解釈部１２０はさらに、受信ＩＤ判定部１３０から通知される判定結果に応じて、メッセージのＩＤフィールドの値、及び、ＩＤフィールド以降に現れるデータフィールドを、フレーム処理部１５０へ転送するか、メッセージの受信を中止するかを決定する。
　また、フレーム解釈部１２０は、受信したメッセージがＣＡＮプロトコルに則っていないメッセージであると判断した場合は、エラーフレームを送信するようにフレーム生成部１８０に要求する。
　また、フレーム解釈部１２０は、他のノードが送信したエラーフレームを受信したと解釈した場合、読取中のメッセージを破棄する。
　受信ＩＤ判定部１３０は、フレーム解釈部１２０からＩＤフィールドの値を受け取り、受信ＩＤリスト保持部１４０が保持しているメッセージＩＤのリストに従い、読み出したメッセージを受信するか否かの判定を行う。受信ＩＤ判定部１３０は、この判定の結果をフレーム解釈部１２０へ通知する。
　受信ＩＤリスト保持部１４０は、ＥＣＵ１００が受信する受信ＩＤリストを保持する。受信ＩＤリストは、図４と同様の形式であるため、ここではその説明を省略する。
　フレーム処理部１５０は、受信したメッセージのデータに応じた処理を行う。処理の内容は、ＥＣＵ１００ごとに異なる。
　例えば、ＥＣＵ１００ａでは、自動車の時速が３０ｋｍを超えているときに、ドアが開いていることを示すメッセージを受信すると、アラーム音を鳴らすための処理を実行する。ＥＣＵ１００ｃは、ブレーキがかかっていないことを示すメッセージを受信しているときにドアが開くと、アラーム音を鳴らすための処理を実行する。
　これらの処理は、説明のために一例として挙げているだけであり、ＥＣＵ１００は上記以外の処理を実行してもよい。このような処理を実行するためにフレーム処理部１５０が送出するフレームを、フレーム処理部１５０はフレーム生成部１８０に生成させる。
　データ取得部１７０は、ＥＣＵ１００に接続されている機器の状態、又は、センサによる計測値等を示す出力データを取得し、出力データをフレーム生成部１８０に転送する。
　フレーム生成部１８０は、フレーム解釈部１２０からのエラーフレーム送信の要求に従い、エラーフレームを構成し、エラーフレームをフレーム送受信部１１０へ送る。
　またフレーム生成部１８０は、データ取得部１７０から受け取ったデータの値に対して予め定められたメッセージＩＤを付けてメッセージフレームを構成し、メッセージフレームをフレーム送受信部１１０へ送る。
　［１．９　サーバの構成］
　図１２は、本実施の形態における車載ネットワークシステムに含まれるサーバの一例を示すブロック図である。図１２において、サーバ５００は、受信部５１０と、ログ保持部５２０と、解析部５３０とから構成される。
　受信部５１０は、ゲートウェイ３００の外部通信部３９０を通して、ログ出力制御部３７６より、ログを受信する。また、受信部５１０は、ログ保持部５２０へ受信したログの保持を依頼する。
　ログ保持部５２０は、受信部５１０からの依頼に応じて、ログを保持する。また、ログ保持部５２０は、解析部５３０からの依頼に応じて保持しているログを送信する。
　解析部５３０は、ログ保持部５２０からログを取得し、そのログを解析することで、車両で異常が発生しているかどうかの解析を行う。
　なお、ログ保持部５２０は、ログを保持する際に、車両ごとにログを別々に保持してもよいし、車両ごとのログを統合して保持してもよいし、車両ごとのログと車両ごとのログを統合したログの両方を保持していてもよい。車両ごとのログを統合する時には、全てのログを統合してもよいし、各車両の製造メーカ又は車種、型式、グレードごとに統合してもよいし、車両の大きさ又は車両の排気量等で決まる各車両の車両クラスごとに統合してもよい。また、車両ごとのログを統合する時には、車両ごとのログを各車両の所在地ごとに統合してもよいし、各車両が持つ機能（自動運転機能、運転支援機能、通信機能等）ごとに統合してもよい。なお、車両ごとのログを統合する方法は、上に挙げた方法の組み合わせでもよい。
　なお、サーバ５００は、受信したログ又は、解析部５３０の解析結果を表示するための表示部（図示せず）を備えてもよい。
　［１．１０　異常検知処理］
　図１３は、本実施の形態における異常検知処理の一例を示すフローチャートである。
　まず、異常検知処理機能群３７０は、フレーム処理部３５０からメッセージを受信する（ステップＳ１００１）。
　異常検知処理機能群３７０のＭＡＣ検証部３７１と、振る舞い検知部３７２と、兆候監視部３７３は、フレーム処理部３５０から受け取ったメッセージに対して、それぞれ判定を行う（Ｓ１００２）。
　ログ出力制御部３７６は、ＭＡＣ検証部３７１と、振る舞い検知部３７２と、兆候監視部３７３で判定した結果に、ＮＧの判定が含まれるか否かを確認する（Ｓ１００３）。
　全ての判定結果がＯＫだった場合（ステップＳ１００３でＮｏの場合）には、処理を終了する。
　ＭＡＣ検証部３７１と、振る舞い検知部３７２と、兆候監視部３７３で判定した結果に、ＮＧが含まれる場合（ステップＳ１００３でＹｅｓの場合）、ログ出力制御部３７６はログを生成する（ステップＳ１００４）。
　ログ出力制御部３７６は、生成したログを、外部通信部３９０を介して、サーバへ送信する（Ｓ１００５）。ここで、ログ出力制御部３７６は、処理を終了する。
　［１．１１　転送処理］
　図１４は、本実施の形態における転送処理の一例を示すフローチャートである。ゲートウェイ３００が行う転送処理は、転送の方向によらず実質的に共通であるため、ゲートウェイ３００がバス２００ａから受信したメッセージをバス２００ｂへ転送する場合を例に説明する。
　まず、フレーム送受信部３１０は、バス２００ａからメッセージを読み出す（ステップＳ１１０１）。その後、フレーム送受信部３１０は、読み出したメッセージの各フィールドのデータをフレーム解釈部３２０へ通知する。
　次に、フレーム解釈部３２０は、受信ＩＤ判定部３３０と連携して、読み出したメッセージのＩＤフィールドの値（メッセージＩＤ）から、受信して処理する対象のメッセージであるか否かを判定する（ステップＳ１１０２）。
　フレーム解釈部３２０が処理する対象のメッセージではないと判定した場合（ステップＳ１１０２でＮｏ）、当該メッセージの転送は行われない。
　フレーム解釈部３２０は、受信したメッセージが、受信して処理する対象のメッセージであると判断した場合には（ステップＳ１１０２でＹｅｓの場合）、フレーム処理部３５０へメッセージ内の各フィールドの値を転送する。
　その後、フレーム処理部３５０は、転送ルール保持部３６０に保持される転送ルールに従って、転送先のバスを決定する（ステップＳ１１０３）。
　フレーム処理部３５０は、フレーム解釈部３２０から受け取ったメッセージ内の各フィールドの値を異常検知処理機能群３７０へ通知し、異常なメッセージであるか否かの判定を要求する。異常検知処理機能群３７０は、通知されたメッセージの各フィールドの値から、通知されたメッセージが異常なメッセージであるか否かを判定し、その判定の結果をフレーム処理部３５０へ通知する（ステップＳ１１０４）。
　異常検知処理機能群３７０が、メッセージは異常なメッセージであると判定した場合（ステップＳ１１０５でＹｅｓの場合）、そのメッセージの転送は行われない。
　異常検知処理機能群３７０が、メッセージは異常なメッセージではなく正常なメッセージであると判定した場合（ステップＳ１１０５でＮｏの場合）、フレーム処理部３５０は、そのメッセージをステップＳ１１０３で決定した転送先のバスに、転送するようフレーム生成部３８０へ要求する。
　フレーム生成部３８０は、フレーム処理部３５０からの要求を受けて、指定された転送先が受信するようメッセージを生成し、このメッセージをフレーム送受信部３１０に送出させる（ステップＳ１１０６）。
　なお、上記の例では、受信したメッセージの転送先の決定（ステップＳ１１０３）の後にこのメッセージが異常なメッセージであるかの判定（ステップＳ１１０４）がなされているが、これに限定されない。受信したメッセージが異常なメッセージであるかの判定の後にこのメッセージの転送先の決定がなされてもよい。また、受信したメッセージの転送先の決定と異常なメッセージであるかの判定が並行して行われてもよい。
　［１．１２　効果］
　本実施の形態では、異常検知処理機能群３７０は、車載ネットワークシステムのネットワークを流れるメッセージを監視する。異常検知処理機能群３７０が異常を検知した場合、ログ出力処理機能群３７５によりログを生成し、サーバ５００へ出力する。サーバ５００は、ログを蓄積し、このログを解析することで、異常検知処理機能群３７０で検知できなかった異常を検知することができる。これにより従来の不正検知の技術で用いられていたような、例えば所定の周期より短い時間間隔でメッセージを受信したときに、不正が発生したと判断する技術では、正常なメッセージであるか異常なメッセージであるかの判定が困難であったメッセージに関しても、多くのログからより高い精度でメッセージが異常であるか否かを判定することが可能になる。その結果、車載ネットワークシステムの安全性が高められる。
　［２．その他の変形例］
　本開示は、上記で説明した各実施の形態に限定されないのはもちろんであり、本開示の趣旨を逸脱しない限り、当業者が思いつく各種変形を実施の形態に施したもの、及び異なる実施の形態における構成要素を組み合わせて構築される形態も、本開示の範囲内に含まれる。例えば以下のような変形例も本開示に含まれる。
　（１）上記の実施の形態では、異常検知処理機能群３７０は、ＭＡＣ検証部３７１と、振る舞い検知部３７２と、兆候監視部３７３とを備えるとしたが、これに限定するものではない。例えば、異常検知処理機能群３７０は、ＭＡＣ検証部３７１と、振る舞い検知部３７２とを備えてもよいし、ＭＡＣ検証部３７１と、兆候監視部３７３とを備えてもよいし、振る舞い検知部３７２と、兆候監視部３７３とを備えてもよい。また、異常検知処理機能群３７０は、ＭＡＣ検証部３７１だけを備えてもよいし、振る舞い検知部３７２だけを備えてもよいし、兆候監視部３７３だけを備えてもよい。
　上記のそれぞれの場合において、ログ出力制御部３７６における判定例としては、例えば、図９において、ＭＡＣ検証部３７１と、振る舞い検知部３７２と、兆候監視部３７３とのうち、存在しない部の結果をＯＫとした場合のログを出力してもよい。
　つまり、異常検知処理機能群３７０が、ＭＡＣ検証部３７１と、振る舞い検知部３７２とを備える場合、図９の「兆候監視」の列がＯＫの行で、「ＭＡＣ検証」と「振る舞い検知」の列が、それぞれの判定結果にあった行のログを出力する。
　（２）上記の実施の形態では、ゲートウェイ３００は、フレーム送受信部３１０と、フレーム解釈部３２０と、受信ＩＤ判定部３３０と、受信ＩＤリスト保持部３４０と、フレーム処理部３５０と、転送ルール保持部３６０と、異常検知処理機能群３７０と、ログ出力処理機能群３７５と、フレーム生成部３８０と、外部通信部３９０とを備えると説明したが、これに限定されない。
　図１５は、変形例におけるゲートウェイの一例を示すブロック図である。図１５に示すように、ゲートウェイ３００ａは、フレーム送受信部３１０と、フレーム解釈部３２０と、受信ＩＤ判定部３３０と、受信ＩＤリスト保持部３４０と、フレーム処理部３５０と、転送ルール保持部３６０と、異常検知処理機能群３７０と、ログ出力処理機能群３７５ａと、フレーム生成部３８０とを備える。
　図１６は、変形例におけるログ出力処理機能群の一例を示すブロック図である。図１６において、ログ出力処理機能群３７５ａは、ログ出力制御部３７６ａと、ログ関連情報保持部３７７と、ログ保持部３７８とを備える。
　実施の形態１のログ出力制御部３７６が、外部通信部３９０を介して、サーバ５００へログを出力するのに対して、ログ出力制御部３７６ａは、ログ保持部３７８へログを出力する。
　ログ保持部３７８は、ログ出力制御部３７６ａからログを受信し、保持する。
　また、ログ保持部３７８は、ゲートウェイ３００ａの外部に接続された機器（図示せず）より、ログ取得の依頼があった際に、保持しているログを出力する。
　なお、上記の実施の形態におけるゲートウェイ３００が、ログ出力処理機能群３７５の代わりにログ出力処理機能群３７５ａを備え、ゲートウェイ３００ａ外部の機器からの要求に応じて、外部通信部３９０を介して、ログ保持部３７８が保持しているログを出力してもよい。
　また、ログ出力処理機能群３７５ａは、バス２００に接続された別の機器から、バス２００を介して、ログの取得依頼を受信し、バス２００を介してログを出力してもよい。図１７は、変形例におけるゲートウェイ３００ｂの一例を示すブロック図である。図１７に示すように、ログ出力処理機能群３７５ｂは、フレーム処理部３５０を介してログをバス２００へ出力する。
　これにより、ゲートウェイ３００ｂ内部にログを保持できる。そのため、サーバ５００と常時接続できる機能が無い場合においても、ログを収集・保持し、必要に応じてゲートウェイ３００ｂ外部の機器へログを出力できるため、ログ出力タイミングを柔軟に選択すること又は、通信コストを抑えることが出来る。
　（３）上記実施の形態では、ＥＣＵ１００は、フレーム送受信部１１０と、フレーム解釈部１２０と、受信ＩＤ判定部１３０と、受信ＩＤリスト保持部１４０と、フレーム処理部１５０と、データ取得部１７０と、フレーム生成部１８０とを備えると説明したが、本開示における車載ネットワークシステムが備えるＥＣＵ１００の構成はこれに限定されるものではない。
　図１８は、変形例におけるＥＣＵの一例を示すブロック図である。図１８においてＥＣＵ１００ｅは、ＥＣＵ１００に対して、さらに異常検知処理機能群３７０と、ログ出力処理機能群３７５ａとを備える。ＥＣＵ１００ｅにおいて、異常なメッセージであるか否かの判定を、フレーム処理部１５０が異常検知処理機能群３７０へ要求してもよいし、フレーム解釈部１２０が異常検知処理機能群３７０へ要求してもよい。
　図１９は、変形例におけるＥＣＵの一例を示すブロック図である。図１９において、ＥＣＵ１００ｆは、フレーム送受信部１１０と、フレーム解釈部１２０と、フレーム生成部１８０と、異常検知処理機能群３７０と、ログ出力処理機能群３７５ａとで構成される。フレーム解釈部１２０は、例えばＩＤによらず全てのメッセージを受信し、全てのメッセージについて異常検知処理機能群３７０へ異常なメッセージであるかどうかの判定を依頼してもよい。
　また、ＥＣＵ１００ｆは、図１９の構成に加えて、受信ＩＤ判定部１３０と、受信ＩＤリスト保持部１４０とを備え、受信ＩＤリスト保持部が保持する受信ＩＤリストに記載されたメッセージＩＤを持つメッセージのみを受信してもよい。また、そのメッセージに関して、異常検知処理機能群３７０へ異常なメッセージであるか否かの判定を依頼してもよい。
　なお、ログ出力処理機能群３７５ａは、上述のログ出力処理機能群３７５に代えられてもよい。また、ＥＣＵ１００ｅ又はＥＣＵ１００ｆは、ログ出力処理機能群３７５ａとして、更に、外部通信部３９０を備えてもよい。
　これにより、ゲートウェイだけでなく、ＥＣＵでも、バスに送信されているメッセージが異常なメッセージであるか否かを解析するためのログを出力できる。その結果、例えば車載ネットワークシステムにおける異常検知のための仕組の冗長性が向上し、より安全性が確保される。
　図２０は、変形例におけるＥＣＵの一例を示すブロック図である。図２０に示すＥＣＵ１００ｇは、バス２００へ送信するデータを他の接続機器又は外部の機器等から取得する送信データ取得部１７１と、異常検知処理機能群３７０ｇと、ログ出力処理機能群３７５ａとを備えてもよい。ＥＣＵ１００ｇが備える異常検知処理機能群３７０ｇは、送信データ取得部１７１から受信したデータが異常なメッセージであるか否かについても判定してもよい。また、異常なメッセージではないと判定した場合のみ、フレーム生成部１８０へメッセージの送信を依頼してもよい。
　なお、ログ出力処理機能群３７５ａの構成は、ログ出力処理機能群３７５に代えられ、ＥＵＣ１００ｇに、更に、外部通信部３９０を備えてもよい。
　これにより、例えば、何者かに不正に制御されたカーナビゲーションから異常なメッセージが車載ネットワークシステム等に向けて送信されるような場合において、カーナビゲーションと一緒に利用されるＥＣＵ１００ｇがサーバ５００でログを解析することによって、異常なメッセージの車載ネットワークシステム内での拡散を抑制することができる。また、車載ネットワークシステム内部への異常なメッセージの車両外からの送信を抑制することができる。
　（４）上記の実施の形態では、ゲートウェイ３００は、フレーム送受信部３１０と、フレーム解釈部３２０と、受信ＩＤ判定部３３０と、受信ＩＤリスト保持部３４０と、フレーム処理部３５０と、転送ルール保持部３６０と、異常検知処理機能群３７０と、ログ出力処理機能群３７５と、フレーム生成部３８０と、外部通信部３９０とを備えるとしたが、これに限定されない。
　図２１は、変形例におけるゲートウェイの一例を示すブロック図である。図２１に示すように、ゲートウェイ３００ｃは、フレーム送受信部３１０と、フレーム解釈部３２０と、受信ＩＤ判定部３３０と、受信ＩＤリスト保持部３４０と、フレーム処理部３５０と、転送ルール保持部３６０と、異常検知処理機能群３７０と、ログ出力処理機能群３７５と、フレーム生成部３８０とを備える。
　ログ出力処理機能群３７５は、外部通信部３９０を介してサーバ５００へログを出力するのではなく、バス２００を介してＥＣＵ１００ｈへログを出力するため、フレーム処理部３５０へログ情報の送信を依頼する。
　図２２は、変形例におけるＥＣＵの一例を示すブロック図である。図２２において、ＥＣＵ１００ｈは、ＥＣＵ１００の構成に加え、ログ保持部１９０を備え、フレーム処理部１５０の代わりにフレーム処理部１５０ｈを備える。
　フレーム処理部１５０ｈは、受信したメッセージがログであった場合に、ログ保持部１９０へ通知し、ログの保持を依頼する。また、フレーム処理部１５０ｈは、受信したメッセージがログであるかどうかを、受信したメッセージのＩＤを用いて判定する。受信したメッセージのＩＤが、事前に決められたログを示すＩＤの場合、フレーム処理部１５０ｈは、受信したメッセージがログであると判定し、ログ保持部１９０へ受信したメッセージがログであった旨を通知する。
　なお、ＥＣＵ１００ｅ又はＥＣＵ１００ｆ、ＥＣＵ１００ｇに、ログ出力処理機能群３７５を備え、ログ出力処理機能群３７５がフレーム処理部１５０へログの送信を依頼してもよい。
　（５）上記実施の形態では、ゲートウェイ３００ｃ又はＥＣＵ１００ｈがサーバ５００へログを出力する場合と、ゲートウェイ３００ｃ又はＥＣＵ１００ｈがログをゲートウェイ３００ｃ又はＥＣＵ１００ｈの内部に保持しつつ、要求に応じてログを出力する場合と、ゲートウェイ３００ｃ又はＥＣＵ１００ｈが他のＥＣＵ１００ｈへログを出力する場合だけに限定されない。
　例えば、ゲートウェイ３００ｃ又はＥＣＵ１００ｈがログをゲートウェイ３００ｃ又はＥＣＵ１００ｈ内部に保持しつつ、サーバ５００へログを出力してもよい。また、ゲートウェイ３００ｃ又はＥＣＵ１００ｈがログをゲートウェイ３００ｃ又はＥＣＵ１００ｈ内部に保持しつつ、他のＥＣＵ１００ｈへログを出力してもよい。また、ゲートウェイ３００ｃ又はＥＣＵ１００ｈがサーバ５００へログを出力しつつ、他のＥＣＵ１００ｈへログを出力してもよい。また、ゲートウェイ３００ｃ又はＥＣＵ１００ｈがログをゲートウェイ３００ｃ又はＥＣＵ１００ｈ内部に保持しつつ、サーバ５００と他のＥＣＵ１００ｈへログを出力してもよい。
　それぞれの場合において、同じログを出力してもよいし、出力先ごとにログを変えてもよい。例えば、ゲートウェイ３００ｃ又はＥＣＵ１００ｈ内部にログを保持出来る量が少なく、他のＥＣＵ１００ｈ又はサーバ５００に大量にログを保持できる場合は、ゲートウェイ３００ｃ又はＥＣＵ１００ｈ内部には識別子に関する情報のみを保持しておき、他のＥＣＵ１００ｈ又はサーバ５００にＮＧと判定した値又は、ＣＡＮメッセージの全フィールドのログを保持してもよい。また、ゲートウェイ３００ｃ又はＥＣＵ１００ｈ内部には、ログを特定できる情報を保持しておき、ログを、ログを特定できる情報と一緒に他のＥＣＵ１００ｈ又はサーバ５００へ保持してもよい。また、全ての受信したメッセージを、異常検知処理機能群３７０の検知結果に関係なく、他のＥＣＵ１００ｈへログとして出力してもよい。
　また、ログ出力制御部３７６は、ＭＡＣ検証部３７１、振る舞い検知部３７２、兆候監視部３７３のそれぞれの判定結果から、ログを出力する対象を決定してもよい。
　例えば、ＭＡＣ検証部３７１がＮＧと判定した場合には、サーバ５００へ、ＭＡＣ検証部３７１がＮＧと判定した旨を通知し、他のＥＣＵ１００ｈへ「全フィールドログ」を出力してもよい。また、振る舞い検知部３７２がＮＧと判定した場合には、「振る舞いログ」を他のＥＵＣ１００へ出力してもよいし、「振る舞いログ」に含まれるログ種別識別子、振る舞いログ識別子をゲートウェイ３００ｃ又はＥＣＵ１００ｈ内部に保持しつつ、「振る舞いログ」を他のＥＵＣ１００ｈへ出力してもよい。加えて、「振る舞いログ」に含まれるログ種別識別子、振る舞いログ識別子をゲートウェイ３００ｃ又はＥＣＵ１００ｈ内部に保持しつつ、「振る舞いログ」をサーバ５００へ出力し、「振る舞いログ」に受信したメッセージの全フィールドを加えたログを他のＥＣＵ１００ｈへ出力してもよい。
　また、兆候監視部３７３がＮＧと判定した場合には、「兆候ログ」を他のＥＣＵ１００ｈへ出力してもよいし、「兆候ログ」に含まれるログ種別識別子、兆候ログ識別子をゲートウェイ３００ｃ又はＥＣＵ１００ｈ内部に保持しつつ、「兆候ログ」を他のＥＣＵ１００ｈへ出力してもよい。加えて、「兆候ログ」に含まれるログ種別識別子、兆候ログ識別子をゲートウェイ３００ｃ又はＥＣＵ１００ｈ内部に保持しつつ、「兆候ログ」をサーバ５００へ出力し、「兆候ログ」に受信したメッセージの全フィールドを加えたログを他のＥＣＵ１００ｈへ出力してもよい。
　なお、個別にログ出力のパターンは、上記のパターンに限定するものではなく、上記のパターンの組み合わせでもよい。
　（６）上記実施の形態では、異常の検知に応じたアクションとして、受信したメッセージを転送しない例を示したが、これに限定されない。例えば、上述の異常検知処理機能群３７０を備えるゲートウェイ３００ｃ又はＥＣＵ１００ｈは、メッセージの受信中に異常検知処理を行い、異常なメッセージであると判定した時点で、エラーフレームを送信することで、ネットワークから受信中のメッセージを無効化してもよい。
　これにより、異常なメッセージが見つかったバスに接続された他のＥＣＵ１００ｈが異常なメッセージを受信することを防止することができる。これは、転送しないメッセージに対しても適用できる。
　また、上述の異常検知処理機能群３７０を備えるゲートウェイ３００ｃ又はＥＣＵ１００ｈは、さらに、異常の発生に関するユーザ若しくは外部のサーバ等への通知、異常の発生のログへの記録、又は車両のフェールセーフモードへの移行を実行してもよい。
　これにより、異常検知後の柔軟な対応が可能となる。また異常なメッセージと判定した複数のメッセージをデータの１以上の系列として扱い、各系列について、データの値又は受信間隔の集合を異常なラベルとして学習してもよい。
　（７）上記実施の形態では、標準フォーマットのＩＤにおける例を示したが、拡張フォーマットのＩＤであってもよい。
　（８）上記実施の形態では、メッセージは平文で送信される例を示したが、暗号化されていてもよい。またメッセージにメッセージ認証コードを含んでいてもよい。
　（９）上記実施の形態では、正常モデルと、受信ログとを平文で保持している例を示したが、正常モデルと受信ログとを暗号化して保持していてもよい。
　（１０）上記の実施の形態では、ＣＡＮプロトコルに従って通信するネットワーク通信システムの例として車載ネットワークを示した。本開示に係る技術は、車載ネットワークでの利用に限定されるものではなく、ロボット、産業機器等のネットワークその他、車載ネットワーク以外のＣＡＮプロトコルに従って通信するネットワーク通信システム等に利用してもよい。
　また、車載ネットワークとしてＣＡＮプロトコルを用いていたが、これに限るものではない。例えば、ＣＡＮ－ＦＤ（ＣＡＮ　ｗｉｔｈ　Ｆｌｅｘｉｂｌｅ　Ｄａｔａ　Ｒａｔｅ）、ＦｌｅｘＲａｙ、Ｅｔｈｅｒｎｅｔ、ＬＩＮ（Ｌｏｃａｌ　Ｉｎｔｅｒｃｏｎｎｅｃｔ　Ｎｅｔｗｏｒｋ）、ＭＯＳＴ（Ｍｅｄｉａ　Ｏｒｉｅｎｔｅｄ　Ｓｙｓｔｅｍｓ　Ｔｒａｎｓｐｏｒｔ）などを用いてもよい。あるいはこれらのネットワークをサブネットワークとして、組み合わせたネットワークであってもよい。
　（１１）上記の実施の形態における各装置は、具体的には、マイクロプロセッサ、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
　（１２）上記の実施の形態における各装置は、構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ　Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。ＲＡＭには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。
　また、上記の各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部又はすべてを含むように１チップ化されてもよい。
　また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）又は、ＬＳＩ内部の回路セルの接続又は設定を再構成可能なリコンフィギュラブル・プロセッサを利用しても良い。
　さらには、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の集積回路化技術への適用等の可能性がある。
　（１３）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されていてもよい。ＩＣカードまたはモジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。ＩＣカードまたはモジュールは、上記の超多機能ＬＳＩを含んでもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、ＩＣカードまたは前記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有してもよい。
　（１４）本開示は、上記に示す方法であってもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであってもよいし、コンピュータプログラムからなるデジタル信号であってもよい。
　また、本開示は、コンピュータプログラムまたはデジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標）　Ｄｉｓｃ）、半導体メモリなどに記録したものでもよい。また、これらの記録媒体に記録されているデジタル信号であってもよい。
　また、本開示は、コンピュータプログラムまたはデジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、又は、データ放送等を経由して伝送してもよい。
　また、本開示は、マイクロプロセッサとメモリとを備えたコンピュータシステムであって、メモリは、上記コンピュータプログラムを記録しており、マイクロプロセッサは、コンピュータプログラムにしたがって動作してもよい。
　また、プログラムまたはデジタル信号を記録媒体に記録して移送すること、またはプログラムまたはデジタル信号を、ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにおいて実施してもよい。
　（１５）上記実施の形態及び上記変形例をそれぞれ組み合わせてもよい。
　これらの各実施の形態及びその変形例では、車載ネットワークシステムに接続されて通信するゲートウェイ若しくはＥＣＵ、又はこれらとサーバコンピュータとの組み合わせによって不正通信検知の基準として用いられるメッセージが決定される。
　このような不正通信検知を実行する、１個以上のプロセッサ及び記憶部を含むシステムを、本開示では不正通信検知基準決定システムと呼ぶ。
　したがって、不正通信検知基準決定システムは車載ネットワークシステムに接続される１台のゲートウェイのように１個の装置によって実現されるものも、このようなゲートウェイとＥＣＵとの組み合わせ、又はゲートウェイ若しくはＥＣＵと遠隔にあるサーバコンピュータとの組み合わせのように複数個の装置によって実現されるものも含む。
　また、この技術は、上記各実施の形態又はその変形例において、各構成要素が実行する処理のステップの一部又は全部を含む方法として、又は不正通信検知基準決定システムのプロセッサに実行されて、不正通信検知基準決定システムがこの方法を実施させるためのプログラムとしても実現可能である。
　また、上記実施の形態又はその変形例において、特定の構成要素が実行する処理を特定の構成要素の代わりに別の構成要素が実行してもよい。また、複数の処理の順序が変更されてもよいし、複数の処理が並行して実行されてもよい。
　本開示にかかるログ出力方法等は、メッセージ送信時に調停が発生したか否かを判定することで不正を検知するための基準時刻を決定する。これにより従来では、正常なメッセージであるか異常なメッセージであるかの識別が困難であったメッセージに関しても、精度よく、正常なメッセージであると識別することができ、車載ネットワークの保護が可能となる。
　１０　車載ネットワークシステム
　１００、１００ａ、１００ｂ、１００ｃ、１００ｄ、１００ｅ、１００ｆ、１００ｈ　ＥＣＵ
　１０１　エンジン
　１０２　ブレーキ
　１０３　ドア開閉センサ
　１０４　ウィンドウ開閉センサ
　１１０　フレーム送受信部
　１２０　フレーム解釈部
　１３０　受信ＩＤ判定部
　１４０　受信ＩＤリスト保持部
　１５０、１５０ｈ　フレーム処理部
　１７０　データ取得部
　１７１　送信データ取得部
　１８０、３８０　フレーム生成部
　１９０、３７８　ログ保持部
　２００、２００ａ、２００ｂ　バス
　３００、３００ａ、３００ｂ、３００ｃ　ゲートウェイ
　３１０　フレーム送受信部
　３２０　フレーム解釈部
　３３０　受信ＩＤ判定部
　３４０　受信ＩＤリスト保持部
　３５０　フレーム処理部
　３６０　転送ルール保持部
　３７０　異常検知処理機能群
　３７１　ＭＡＣ検証部
　３７２　振る舞い検知部
　３７３　兆候監視部
　３７５、３７５ａ、３７５ｂ　ログ出力処理機能群
　３７６、３７６ａ　ログ出力制御部
　３７７　ログ関連情報保持部
　３９０　外部通信部
　４００　外部ネットワーク
　５００　サーバ
　５１０　受信部
　５２０　ログ保持部
　５３０　解析部

Claims (7)

  1. 　車載ネットワークにおける通信のログを出力するログ出力方法であって、
    　前記車載ネットワークに送出されたメッセージの異常性を互いに異なる方法でそれぞれ判定する複数の判定処理を行う異常判定ステップと、
    　前記複数の判定処理の結果に従って、前記ログを生成するログ生成ステップと、
    　生成した前記ログを送信するログ送信ステップとを含み、
    　前記ログ生成ステップでは、前記複数の判定処理の結果の組み合わせに従って、前記ログに含まれる情報に重複が発生しないように、前記ログに含まれる情報を決定する、
    ログ出力方法。
  2. 　前記複数の判定処理は、前記異なる方法の一つとして、前記メッセージのＭＡＣ（Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｃｏｄｅ）を検証することにより前記異常性を判定するＭＡＣ検証処理を含む、
    請求項１に記載のログ出力方法。
  3. 　前記複数の判定処理は、前記異なる方法の一つとして、前記メッセージから車両の振る舞いを検知することにより前記異常性を判定する振る舞い検知処理を含む、
    請求項１又は２に記載のログ出力方法。
  4. 　前記複数の判定処理は、前記異なる方法の一つとして、前記メッセージに異常を示す兆候が現れているか否かを監視することにより前記異常性を判定する兆候監視処理を含む、
    請求項１～３のいずれか１項に記載のログ出力方法。
  5. 　前記複数の判定処理は、前記メッセージから車両の振る舞いを検知することにより前記異常性を判定する振る舞い検知処理と、前記メッセージに異常を示す兆候が現れているか否かを監視することにより前記異常性を判定する兆候監視処理とを含み、
    　前記ログ生成ステップでは、
    　前記振る舞い検知処理と前記兆候監視処理の両方において前記メッセージに異常性があると判定されたとき、
    　（Ａ）前記振る舞い検知処理と前記兆候監視処理において、メッセージに異常性があると判定された理由が異なる場合、前記振る舞い検知処理で異常性があると判定された値と、前記兆候監視処理で異常性があると判定された値とを、前記ログとして出力し、
    　（Ｂ）前記振る舞い検知処理と前記兆候監視処理において、前記メッセージに異常性があると判定された理由が同じ場合、前記振る舞い検知処理で異常性があると判定された値と、前記兆候監視処理で異常性があると判定された値とのいずれか一方を、前記ログとして出力する、
    請求項１又は２に記載のログ出力方法。
  6. 　車載ネットワークシステムにおける通信のログを出力するログ出力装置であって、
    　１個以上のプロセッサと、
    　記憶部とを含み、
    　前記記憶部を用いて、前記１個以上のプロセッサは、
    　前記車載ネットワークに送出されたメッセージの異常性を互いに異なる方法でそれぞれ判定する複数の判定処理を行う異常判定ステップと、
    　前記複数の判定処理の結果に従って、前記ログを生成するログ生成ステップと、
    　生成した前記ログを送信するログ送信ステップとを行い、
    　前記ログ生成ステップでは、前記複数の判定処理の結果の組み合わせに従って、前記ログに含まれる情報に重複が発生しないように、前記ログに含まれる情報を決定する、
    ログ出力装置。
  7. 　コンピュータに請求項１に記載のログ出力方法を実行させるためのプログラム。
PCT/JP2018/044550 2018-04-06 2018-12-04 ログ出力方法、ログ出力装置及びプログラム WO2019193786A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201880051341.8A CN111066001A (zh) 2018-04-06 2018-12-04 日志输出方法、日志输出装置以及程序
EP18913659.1A EP3771981A4 (en) 2018-04-06 2018-12-04 METHOD FOR ISSUING PROTOCOLS, DEVICE FOR ISSUING PROTOCOLS AND PROGRAM
JP2019556389A JP7182559B2 (ja) 2018-04-06 2018-12-04 ログ出力方法、ログ出力装置及びプログラム
US16/919,809 US11838303B2 (en) 2018-04-06 2020-07-02 Log generation method, log generation device, and recording medium

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018073654 2018-04-06
JP2018-073654 2018-04-06

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US16/919,809 Continuation US11838303B2 (en) 2018-04-06 2020-07-02 Log generation method, log generation device, and recording medium

Publications (1)

Publication Number Publication Date
WO2019193786A1 true WO2019193786A1 (ja) 2019-10-10

Family

ID=68100614

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/044550 WO2019193786A1 (ja) 2018-04-06 2018-12-04 ログ出力方法、ログ出力装置及びプログラム

Country Status (5)

Country Link
US (1) US11838303B2 (ja)
EP (1) EP3771981A4 (ja)
JP (1) JP7182559B2 (ja)
CN (1) CN111066001A (ja)
WO (1) WO2019193786A1 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20200412756A1 (en) * 2018-05-23 2020-12-31 Panasonic Intellectual Property Corporation Of America Communication control device, anomaly detection electronic control unit, mobility network system, communication control method, anomaly detection method, and recording medium
WO2021131193A1 (ja) * 2019-12-25 2021-07-01 株式会社デンソー 攻撃監視用センター装置、及び攻撃監視用端末装置
WO2022014193A1 (ja) * 2020-07-14 2022-01-20 株式会社デンソー ログ管理装置及びセキュリティ攻撃検知・分析システム
WO2022091778A1 (ja) * 2020-10-27 2022-05-05 パナソニックＩｐマネジメント株式会社 管理装置、管理方法及びプログラム

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021144860A1 (ja) * 2020-01-14 2021-07-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車両ログ保存装置、車両ログ送信装置、車両ログ収集システムおよび車両ログ保存方法
JP7439669B2 (ja) * 2020-07-14 2024-02-28 株式会社デンソー ログ分析装置
JP7373803B2 (ja) * 2020-09-29 2023-11-06 パナソニックＩｐマネジメント株式会社 情報送信装置、サーバ、及び、情報送信方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2009038028A1 (ja) * 2007-09-18 2009-03-26 Toyota Jidosha Kabushiki Kaisha 異常検出装置、異常検出システム、サーバ、異常検出方法
JP2009168956A (ja) * 2008-01-14 2009-07-30 Denso Corp 地図配信サーバおよび地図配信システム
WO2014115455A1 (ja) 2013-01-28 2014-07-31 日立オートモティブシステムズ株式会社 ネットワーク装置およびデータ送受信システム
JP2014182715A (ja) * 2013-03-21 2014-09-29 Clarion Co Ltd 車載機器システム、携帯端末及び車載機
JP2017111796A (ja) * 2015-12-16 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7774361B1 (en) * 2005-07-08 2010-08-10 Symantec Corporation Effective aggregation and presentation of database intrusion incidents
US10665040B2 (en) * 2010-08-27 2020-05-26 Zonar Systems, Inc. Method and apparatus for remote vehicle diagnosis
CA2961560A1 (en) * 2014-09-30 2016-04-07 Paul A. Westmeyer Detecting unauthorized device access by comparing multiple independent spatial-time data sets
US9661010B2 (en) * 2014-11-21 2017-05-23 Honeywell International Inc. Security log mining devices, methods, and systems
US10798114B2 (en) * 2015-06-29 2020-10-06 Argus Cyber Security Ltd. System and method for consistency based anomaly detection in an in-vehicle communication network
US11397801B2 (en) * 2015-09-25 2022-07-26 Argus Cyber Security Ltd. System and method for controlling access to an in-vehicle communication network
US10116674B2 (en) * 2015-10-30 2018-10-30 Citrix Systems, Inc. Framework for explaining anomalies in accessing web applications
US10389741B2 (en) * 2016-03-24 2019-08-20 Cisco Technology, Inc. Edge-based detection of new and unexpected flows
US20170289185A1 (en) * 2016-03-31 2017-10-05 Qualcomm Incorporated Device assisted traffic anomaly detection
US10412111B2 (en) * 2016-12-30 2019-09-10 eSentire, Inc. System and method for determining network security threats
US10671723B2 (en) * 2017-08-01 2020-06-02 Sap Se Intrusion detection system enrichment based on system lifecycle

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2009038028A1 (ja) * 2007-09-18 2009-03-26 Toyota Jidosha Kabushiki Kaisha 異常検出装置、異常検出システム、サーバ、異常検出方法
JP2009168956A (ja) * 2008-01-14 2009-07-30 Denso Corp 地図配信サーバおよび地図配信システム
WO2014115455A1 (ja) 2013-01-28 2014-07-31 日立オートモティブシステムズ株式会社 ネットワーク装置およびデータ送受信システム
JP2014182715A (ja) * 2013-03-21 2014-09-29 Clarion Co Ltd 車載機器システム、携帯端末及び車載機
JP2017111796A (ja) * 2015-12-16 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3771981A4

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20200412756A1 (en) * 2018-05-23 2020-12-31 Panasonic Intellectual Property Corporation Of America Communication control device, anomaly detection electronic control unit, mobility network system, communication control method, anomaly detection method, and recording medium
WO2021131193A1 (ja) * 2019-12-25 2021-07-01 株式会社デンソー 攻撃監視用センター装置、及び攻撃監視用端末装置
JPWO2021131193A1 (ja) * 2019-12-25 2021-07-01
JP7255710B2 (ja) 2019-12-25 2023-04-11 株式会社デンソー 攻撃監視用センター装置、及び攻撃監視用端末装置
WO2022014193A1 (ja) * 2020-07-14 2022-01-20 株式会社デンソー ログ管理装置及びセキュリティ攻撃検知・分析システム
JP2022017889A (ja) * 2020-07-14 2022-01-26 株式会社デンソー ログ管理装置及びセキュリティ攻撃検知・分析システム
JP7392598B2 (ja) 2020-07-14 2023-12-06 株式会社デンソー ログ管理装置及びセキュリティ攻撃検知・分析システム
WO2022091778A1 (ja) * 2020-10-27 2022-05-05 パナソニックＩｐマネジメント株式会社 管理装置、管理方法及びプログラム
JP7466819B2 (ja) 2020-10-27 2024-04-15 パナソニックオートモーティブシステムズ株式会社 管理装置、管理方法及びプログラム

Also Published As

Publication number Publication date
EP3771981A4 (en) 2021-04-14
JPWO2019193786A1 (ja) 2021-03-11
US11838303B2 (en) 2023-12-05
EP3771981A1 (en) 2021-02-03
CN111066001A (zh) 2020-04-24
JP7182559B2 (ja) 2022-12-02
US20200336504A1 (en) 2020-10-22

Similar Documents

Publication Publication Date Title
WO2019193786A1 (ja) ログ出力方法、ログ出力装置及びプログラム
JP7008100B2 (ja) 不正対処方法、不正検知電子制御ユニットおよびネットワーク通信システム
US11356475B2 (en) Frame transmission prevention apparatus, frame transmission prevention method, and in-vehicle network system
US11277427B2 (en) System and method for time based anomaly detection in an in-vehicle communication
JP6684690B2 (ja) 不正検知方法、監視電子制御ユニット及び車載ネットワークシステム
EP3361673B1 (en) Security device, attack detection method, and program
JP7280082B2 (ja) 不正検知方法、不正検知装置及びプログラム
JP2017112590A (ja) 通信装置、通信方法、及び通信プログラム
JP2019146145A (ja) 通信装置、通信方法及びプログラム
JP6527647B1 (ja) 不正検知方法、不正検知装置及びプログラム
WO2021131824A1 (ja) 決定方法、決定システム及びプログラム
WO2018020833A1 (ja) フレーム伝送阻止装置、フレーム伝送阻止方法及び車載ネットワークシステム
JP2019097206A (ja) 不正対処方法、不正検知電子制御ユニット、および、ネットワーク通信システム
WO2023084624A1 (ja) 車載制御装置
CN117749555A (zh) 控制器区域网络系统和用于系统的方法
WO2017056395A1 (ja) 不正検知電子制御ユニット、車載ネットワークシステム及び通信方法
JP2015112963A (ja) 車載ネットワークシステム

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2019556389

Country of ref document: JP

Kind code of ref document: A

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18913659

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2018913659

Country of ref document: EP