WO2020110415A1

WO2020110415A1 - 車両ログ送信装置、車両ログ解析サーバ、車両ログ解析システムおよび車両ログ送受信方法

Info

Publication number: WO2020110415A1
Application number: PCT/JP2019/035423
Authority: WO
Inventors: 平野　亮; 剛岸川
Original assignee: パナソニックインテレクチュアルプロパティコーポレーションオブアメリカ
Priority date: 2018-11-30
Filing date: 2019-09-09
Publication date: 2020-06-04
Also published as: EP3889782A4; EP3889782A1; JPWO2020110415A1; US20210226974A1; JP7269955B2; US11997119B2; CN112789600A

Abstract

車両ログ送信装置（１０）は、車両ログを取得する車両ログ取得部（１１０）と、取得された車両ログを当該車両ログに含まれるＩＤを用いて分割することで、１以上の分割ログを生成する車両ログ分割加工部（１２０）と、車両ログ送信装置（１０）と車両ログ解析サーバとの間で共有されている既存の車両ログを当該既存の車両ログに含まれるＩＤを用いて分割することで生成された既存分割ログに対応する識別子のリストである既存識別子リストを記憶する既存識別子保存部（１５０）と、１以上の分割ログのそれぞれに対して識別子を生成し、生成した識別子のうち、既存識別子リストに存在する識別子に対応する分割ログを第一の分割ログと判断し、既存識別子リストに存在しない識別子に対応する分割ログを第二の分割ログと判断する車両ログ送信要否判定部（１４０）と、第一の分割ログに対応する識別子を車両ログ解析サーバへ送信し、第二の分割ログを車両ログ解析サーバへ送信する車両側通信部（１７０）と、を備える。

Description

車両ログ送信装置、車両ログ解析サーバ、車両ログ解析システムおよび車両ログ送受信方法

　本開示は、車両ログ送信装置、車両ログ解析サーバ、車両ログ解析システムおよび車両ログ送受信方法に関する。

　近年、自動車に搭載されるシステムには、電子制御装置（ＥＣＵ：ＥｌｅｃｔｒｏｎｉｃＣｏｎｔｒｏｌＵｎｉｔ）と呼ばれる装置が多数配置されている。これらのＥＣＵをつなぐネットワークは、車載ネットワークと呼ばれる。車載ネットワークには、多数の規格が存在する。その中でも最も主流な車載ネットワークの一つに、ＩＳＯ１１８９８－１で規定されているＣＡＮ（ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）という規格が存在する。

　ＣＡＮでは、通信路は２本のバスで構成され、バスに接続されているＥＣＵはノードと呼ばれる。バスに接続されている各ノードは、フレームと呼ばれるメッセージを送受信する。ＣＡＮでは、送信先ノードや送信元ノードを指す識別子は存在せず、送信ノードはフレーム毎にメッセージＩＤと呼ばれるＩＤを付けて送信し、各受信ノードは予め定められたメッセージＩＤが付いたフレームのみを受信する。

　そのため、ＣＡＮのバスにＥＣＵを接続し、異常な制御コマンドを含むフレームを正規のＥＣＵになりすまして送信することで、自動車を不正に制御できてしまうという脅威がある。

　この脅威に対して、車載ネットワークなどにおいて、不正なデータ、すなわち、異常な制御コマンドの侵入を検知する方法として、例えば、特許文献１に開示されている方法がある。

　しかしながら、車両の外部のサーバシステムが車載ネットワークシステムにおけるデータを監視する場合、大量のデータが車載ネットワークシステムから外部のサーバシステムへ送信される可能性がある。このような大量のデータを処理するための資源を準備することは容易ではない。

　この大量のデータに対して、所定のデータサイズごとに分割し、分割されたデータごとに、サーバに保存されているデータと比較し、データが一致する場合に分割されたデータのハッシュ値のみを送信し、データが一致しない場合に分割されたデータをサーバに送信することで、通信データ量を削減する方法が、特許文献２に開示されている。

特開２０１４－１４６８６８号公報特開２０１２―７９０４４号公報

　しかしながら、車載ネットワークログは、自動車の走行状況によって変動するデータと時刻データを含むため、従来技術の所定のデータサイズごとに分割する方法では、現在取得したログの分割データが、過去に取得されてサーバに保存されているログの分割データと一致する確率は低い。そのため、分割データの多くをサーバに送信する必要があり、ログを分割しない状態で送信する場合と比較して、通信データ量を大きく削減することが難しいという課題がある。

　そこで、本開示では、車両から車両の外部のサーバへ送信される車両ログの通信データ量を効果的に削減できる車両ログ送信装置等を提供する。

　上記課題を解決するために本開示の車両ログ送信装置は、データの種類を示すＩＤがそれぞれ対応付けられている複数のデータを含む車両ログを車両ログ解析サーバへ送信する車両ログ送信装置であって、前記車両ログを取得する車両ログ取得部と、取得された前記車両ログを当該車両ログに含まれるＩＤを用いて分割することで、１以上の分割ログを生成する車両ログ分割加工部と、前記車両ログ送信装置と前記車両ログ解析サーバとの間で共有されている既存の車両ログを当該既存の車両ログに含まれるＩＤを用いて分割することで生成された既存分割ログに対応する識別子のリストである既存識別子リストを記憶する既存識別子保存部と、前記１以上の分割ログのそれぞれに対して識別子を生成し、生成した識別子のうち、前記既存識別子リストに存在する識別子に対応する分割ログを第一の分割ログと判断し、前記既存識別子リストに存在しない識別子に対応する分割ログを第二の分割ログと判断する車両ログ送信要否判定部と、前記第一の分割ログに対応する識別子を前記車両ログ解析サーバへ送信し、前記第二の分割ログを前記車両ログ解析サーバへ送信する車両側通信部と、を備える。

　なお、これらの全般的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。

　本開示の一態様に係る車両ログ送信装置等は、車両と車両の外部のサーバの間で送信される車両ログの通信データ量を効果的に削減できる。その結果、大量の車両ログの通信が可能な資源を準備せずとも、車両ログを外部のサーバへ送信することができ、車両の外部サーバを用いて車両のネットワークへの不正なデータの侵入を検出することができ、車両の安全性に貢献できる。

図１は、本開示の実施の形態１における車両ログ解析システムの全体構成図である。図２は、本開示の実施の形態１における車両ログ送信装置の構成図である。図３は、本開示の実施の形態１における車両ログ解析サーバの構成図である。図４は、本開示の実施の形態１における車両ログの一例を示す図である。図５は、本開示の実施の形態１における車両ログ定義テーブルの一例を示す図である。図６は、本開示の実施の形態１における車両ログ分割加工ルールの一例を示す図である。図７は、本開示の実施の形態１における分割加工ログの一例を示す図である。図８は、本開示の実施の形態１における分割加工ログの識別子の一例を示す図である。図９は、本開示の実施の形態１における既存識別子リストの一例を示す図である。図１０は、本開示の実施の形態１における既存分割ログリストの一例を示す図である。図１１は、本開示の実施の形態１における車両ログ送信処理のシーケンスを示す図である。図１２は、本開示の実施の形態１における車両ログ受信処理のシーケンスを示す図である。図１３は、本開示の実施の形態１における異常ログ検出処理のシーケンスを示す図である。図１４は、本開示の実施の形態１における車両ログ分割加工処理のフローチャートである。図１５は、本開示の実施の形態１における分割加工ログ送信処理のフローチャートである。図１６は、本開示の実施の形態１における車両ログ復元処理のフローチャートである。

　本開示の車載ログ送信装置は、データの種類を示すＩＤがそれぞれ対応付けられている複数のデータを含む車両ログを車両ログ解析サーバへ送信する車両ログ送信装置であって、前記車両ログを取得する車両ログ取得部と、取得された前記車両ログを当該車両ログに含まれるＩＤを用いて分割することで、１以上の分割ログを生成する車両ログ分割加工部と、前記車両ログ送信装置と前記車両ログ解析サーバとの間で共有されている既存の車両ログを当該既存の車両ログに含まれるＩＤを用いて分割することで生成された既存分割ログに対応する識別子のリストである既存識別子リストを記憶する既存識別子保存部と、前記１以上の分割ログのそれぞれに対して識別子を生成し、生成した識別子のうち、前記既存識別子リストに存在する識別子に対応する分割ログを第一の分割ログと判断し、前記既存識別子リストに存在しない識別子に対応する分割ログを第二の分割ログと判断する車両ログ送信要否判定部と、前記第一の分割ログに対応する識別子を前記車両ログ解析サーバへ送信し、前記第二の分割ログを前記車両ログ解析サーバへ送信する車両側通信部と、を備える。

　これにより、車両ログにおいて、特定のシステムの動作結果または特定のメッセージの送信結果等のデータにＩＤが対応付けられている場合、車両ログをＩＤを用いて分割することで、データの種類に応じて車両ログを分割でき、データの種類と関係なく単純にデータサイズに応じて分割する場合に比べて、分割ログと既存分割ログとが一致する確率が高くなる。そのため、既存分割ログに対応する識別子と一致する第一の分割ログに対応する識別子が多くなり、第二の分割ログが送信されにくく、データサイズが小さい、第一の分割ログに対応する識別子が送信されやすくなる。したがって、車両から車両の外部のサーバ（車両ログ解析サーバ）へ送信される車両ログの通信データ量を効果的に削減できる。

　また、前記車両ログ分割加工部は、取得された前記車両ログを当該車両ログに含まれるＩＤごとに分割することで、前記１以上の分割ログを生成し、前記既存識別子保存部は、前記既存の車両ログを当該既存の車両ログに含まれるＩＤごとに分割することで生成された前記既存分割ログに対応するリストである前記既存識別子リストを記憶するとしてもよい。

　これにより、車両ログをＩＤごとに分割することで、データの種類ごとに車両ログを分割でき、分割ログと既存分割ログとが一致する確率がさらに高くなる。そのため、既存分割ログに対応する識別子と一致する第一の分割ログに対応する識別子がさらに多くなり、第二の分割ログが送信されにくく、第一の分割ログに対応する識別子が送信されやすくなる。したがって、車両から車両の外部のサーバへ送信される車両ログの通信データ量をより効果的に削減できる。

　また、前記車両ログは、所定のＩＤを起点とする複数のＩＤを１周期として当該複数のＩＤが周期的に繰り返されるように並べられた前記複数のデータを含み、前記車両ログ分割加工部は、取得された前記車両ログを当該車両ログに含まれる前記所定のＩＤを起点とする複数のＩＤごとに分割することで、前記１以上の分割ログを生成し、前記既存識別子保存部は、前記既存の車両ログを当該既存の車両ログに含まれる前記所定のＩＤを起点とする複数のＩＤごとに分割することで生成された前記既存分割ログに対応する識別子のリストである前記既存識別子リストを記憶するとしてもよい。

　これにより、車両ログにおいて、ＩＤごとの特定のシステムの動作結果またはＩＤごとの特定のメッセージの送信結果等のデータが、所定のＩＤを起点とする複数のＩＤを１周期として当該複数のＩＤが周期的に繰り返されるように並べられる場合、分割ログのそれぞれが所定のＩＤから始まるように車両ログを分割することで、分割ログに含まれる１周期のＩＤと既存分割ログに含まれる１周期のＩＤとが同一になりやすい。そのため、分割ログと既存分割ログとが一致する確率がさらに高くなり、既存分割ログに対応する識別子と一致する第一の分割ログに対応する識別子がさらに多くなり、第二の分割ログが送信されにくく、第一の分割ログに対応する識別子が送信されやすくなる。したがって、車両から車両の外部のサーバへ送信される車両ログの通信データ量をより効果的に削減できる。

　また、前記車両ログは、時刻情報がそれぞれ対応付けられている前記複数のデータを含み、前記車両ログ分割加工部は、さらに、前記１以上の分割ログに含まれる時刻情報を時刻インデックス情報に置換する処理を実施し、前記既存識別子保存部は、さらに、時刻情報が時刻インデックス情報に置換された前記既存分割ログに対応する識別子のリストである前記既存識別子リストを記憶し、前記車両側通信部は、さらに、前記車両ログ解析サーバへ時刻情報と時刻インデックス情報との対応関係を示す時刻リストを送信するとしてもよい。

　時刻情報は、分割ログと既存分割ログとで確実に異なる情報となり、分割ログと既存分割ログとの一致を妨げる要因となる情報である。これに対して、分割ログおよび既存分割ログの時刻情報が時刻インデックス情報に置き換えられることで、時刻情報を分割ログと既存分割ログとの一致判定から除外することができるため、分割ログと既存分割ログとが一致する確率がさらに高くなる。そのため、既存分割ログに対応する識別子と一致する第一の分割ログに対応する識別子がさらに多くなり、第二の分割ログが送信されにくく、第一の分割ログに対応する識別子が送信されやすくなる。したがって、車両から車両の外部のサーバへ送信される車両ログの通信データ量をより効果的に削減できる。

　また、前記車両ログ分割加工部は、さらに、前記１以上の分割ログに含まれるＩＤの値またはデータの値の大きさに応じて前記１以上の分割ログを並び替える処理を実施し、前記既存識別子保存部は、さらに、ＩＤの値またはデータの値の大きさに応じて並び替えられた前記既存分割ログに対応する識別子のリストである前記既存識別子リストを記憶するとしてもよい。

　これにより、分割ログおよび既存分割ログに変動値データが含まれる場合、分割ログおよび既存分割ログが変動値データの値の大きい順や小さい順に並び替えられることで、分割ログと既存分割ログとが一致する確率が高くなる。そのため、既存分割ログに対応する識別子と一致する第一の分割ログに対応する識別子がさらに多くなり、第二の分割ログが送信されにくく、第一の分割ログに対応する識別子が送信されやすくなる。したがって、車両から車両の外部のサーバへ送信される車両ログの通信データ量をより効果的に削減できる。

　また、前記車両ログ分割加工部は、さらに、前記１以上の分割ログに含まれるデータの値を所定値に置換する置換処理または前記データの値を丸める端数処理を実施し、前記既存識別子保存部は、さらに、前記置換処理または前記端数処理が実施された前記既存分割ログに対応する識別子のリストである前記既存識別子リストを記憶するとしてもよい。

　これにより、カウンタやチェックサムなどの車両の特定の機能の動作時刻や動作回数に応じて変動するデータなど、車両の制御と関係しないデータ、または、センサなどの細かい値などを、分割ログと既存分割ログとの一致判定から除外することができるため、分割ログと既存分割ログとが一致する確率がさらに高くなる。そのため、既存分割ログに対応する識別子と一致する第一の分割ログに対応する識別子がさらに多くなり、第二の分割ログが送信されにくく、第一の分割ログに対応する識別子が送信されやすくなる。したがって、車両から車両の外部のサーバへ送信される車両ログの通信データ量をより効果的に削減できる。

　また、前記車両ログ送信装置は、さらに、前記車両ログ送信要否判定部が前記第二の分割ログと判断した分割ログに対応する識別子を前記既存識別子リストに登録する既存識別子登録部を備えるとしてもよい。

　これにより、送信車両ログ送信装置と車両ログ解析サーバとの間で事前に分割ログを共有する必要がなくなり、事前に既存分割ログを構築しなくてもよい分、開発コストを低減できる。また、車両ログ解析サーバに車両ログが集まるほど、既存分割ログの種類数が増え、分割ログと既存分割ログとが一致する確率が高くなる。そのため、既存分割ログに対応する識別子と一致する第一の分割ログに対応する識別子がさらに多くなり、第二の分割ログが送信されにくく、第一の分割ログに対応する識別子が送信されやすくなる。したがって、車両から車両の外部のサーバへ送信される車両ログの通信データ量をより効果的に削減できる。

　また、本開示の車両ログ解析サーバは、データの種類を示すＩＤがそれぞれ対応付けられている複数のデータを含む車両ログを車両ログ送信装置から受信する車両ログ解析サーバであって、前記車両ログ送信装置から、前記車両ログを当該車両ログに含まれるＩＤを用いて分割することで生成された１以上の分割ログのうちの第一の分割ログに対応する識別子と、前記１以上の分割ログのうちの前記第一の分割ログを除く第二の分割ログとを受信するサーバ側通信部と、前記車両ログ送信装置と前記車両ログ解析サーバとの間で共有されている既存の車両ログを当該既存の車両ログに含まれるＩＤを用いて分割することで生成された既存分割ログと、前記既存分割ログに対応する識別子とのリストである既存分割ログリストを記憶する既存分割ログ保存部と、前記第一の分割ログに対応する識別子を受信した場合に前記既存分割ログリストを参照して前記既存分割ログリストにおいて当該識別子に対応する既存分割ログを取得し、前記第二の分割ログと前記既存分割ログとを結合して車両ログを復元する車両ログ復元部と、復元された前記車両ログを記憶する車両ログ保存部と、を備える。

　これにより、車両ログにおいて、特定のシステムの動作結果または特定のメッセージの送信結果等のデータにＩＤが対応付けられている場合、車両ログをＩＤを用いて分割することで、データの種類に応じて車両ログを分割でき、データの種類と関係なく単純にデータサイズに応じて分割する場合に比べて、分割ログと既存分割ログとが一致する確率が高くなる。そのため、既存分割ログに対応する識別子と一致する第一の分割ログに対応する識別子が多くなり、第二の分割ログが送信されにくく、データサイズが小さい、第一の分割ログに対応する識別子が送信されやすくなる。したがって、車両から車両の外部のサーバへ送信される車両ログの通信データ量を効果的に削減できる。

　また、前記サーバ側通信部は、前記車両ログ送信装置から、前記車両ログを当該車両ログに含まれるＩＤごとに分割することで生成された前記１以上の分割ログのうちの前記第一の分割ログに対応する識別子と、前記１以上の分割ログのうちの前記第二の分割ログとを受信し、前記既存分割ログ保存部は、前記既存の車両ログを当該既存の車両ログに含まれるＩＤごとに分割することで生成された前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである前記既存分割ログリストを記憶するとしてもよい。

　また、前記車両ログは、所定のＩＤを起点とする複数のＩＤを１周期として当該複数のＩＤが周期的に繰り返されるように並べられた前記複数のデータを含み、前記サーバ側通信部は、前記車両ログ送信装置から、前記車両ログを当該車両ログに含まれる前記所定のＩＤを起点とする複数のＩＤごとに分割することで生成された前記１以上の分割ログのうちの前記第一の分割ログに対応する識別子と、前記１以上の分割ログのうちの前記第二の分割ログとを受信し、前記既存分割ログ保存部は、前記既存の車両ログを当該既存の車両ログに含まれる前記所定のＩＤを起点とする複数のＩＤごとに分割することで生成された前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである前記既存分割ログリストを記憶するとしてもよい。

　これにより、車両ログにおいて、ＩＤごとの特定のシステムの動作結果またはＩＤごとの特定のメッセージの送信結果等のデータが、所定のＩＤを起点とする複数のＩＤを１周期として当該複数のＩＤが周期的に繰り返されるように並べられる場合、分割ログのそれぞれが所定のＩＤから始まるように車両ログを分割することで、分割ログに含まれる１周期のＩＤと既存分割ログに含まれる１周期のＩＤとが同一になる。そのため、分割ログと既存分割ログとが一致する確率がさらに高くなり、既存分割ログに対応する識別子と一致する第一の分割ログに対応する識別子がさらに多くなり、第二の分割ログが送信されにくく、第一の分割ログに対応する識別子が送信されやすくなる。したがって、車両から車両の外部のサーバへ送信される車両ログの通信データ量をより効果的に削減できる。

　また、前記車両ログ解析サーバは、さらに、復元された前記車両ログを監視し、当該車両ログに攻撃の痕跡が含まれる場合に異常ログとして検出する異常ログ検出部と、所定の通知先に車両が異常であることを通知する異常通知部と、を備えるとしてもよい。

　これにより、復元された車両ログからセキュリティ上の異常が検出された場合に、所定の通知先に車両が異常であることを通知できる。

　また、前記異常ログ検出部は、さらに、過去に異常と判定された車両ログを当該車両ログに含まれるＩＤを用いて分割することで生成された異常分割ログに対応する識別子のリストである異常識別子リストを保持し、前記サーバ側通信部が前記第一の分割ログに対応する識別子を受信した場合、当該識別子が前記異常識別子リストに含まれる場合に異常として検出し、前記サーバ側通信部が前記第二の分割ログを受信した場合に、前記第二の分割ログに攻撃の痕跡が含まれるときには、前記第二の分割ログを異常ログとして検出し、当該異常ログを当該異常ログに含まれるＩＤを用いて分割することで生成された異常分割ログを前記異常識別子リストに登録するとしてもよい。

　これにより、異常な分割ログの識別子を記憶しておくことで、車両ログをすべて復元することなく、分割ログの識別子のみで異常を検出することができる。そのため、車両ログを受信してから異常を検出するまでの時間が短くなり、異常への対策を素早く実施できる。

　また、前記車両ログは、時刻情報がそれぞれ対応付けられている前記複数のデータを含み、前記サーバ側通信部は、前記車両ログ送信装置から、時刻情報が時刻インデックス情報に置換された前記１以上の分割ログのうちの前記第一の分割ログに対応する識別子と、前記１以上の分割ログのうちの前記第二の分割ログと、時刻情報と時刻インデックス情報との対応関係を示す時刻リストとを受信し、前記既存分割ログ保存部は、さらに、時刻情報が時刻インデックス情報に置換された前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである前記既存分割ログリストを記憶し、前記車両ログ復元部は、前記第一の分割ログに対応する識別子を受信した場合に前記既存分割ログリストを参照して前記既存分割ログリストにおいて当該識別子に対応する前記既存分割ログを取得し、前記時刻リストを参照して前記既存分割ログに含まれる時刻インデックス情報を時刻情報に置換し、前記第二の分割ログと前記既存分割ログとを結合して車両ログを復元するとしてもよい。

　また、前記サーバ側通信部は、ＩＤの値またはデータの値の大きさに応じて並び替えられた前記１以上の分割ログのうちの前記第一の分割ログに対応する識別子と、前記１以上の分割ログのうちの前記第二の分割ログとを受信し、前記既存分割ログ保存部は、さらに、ＩＤの値またはデータの値の大きさに応じて並び替えられた前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである前記既存分割ログリストを記憶し、前記車両ログ復元部は、前記第一の分割ログに対応する識別子を受信した場合に前記既存分割ログリストを参照して前記既存分割ログリストにおいて当該識別子に対応する前記既存分割ログを取得し、前記時刻リストを参照して前記既存分割ログの時刻インデックス情報を時刻情報に置換し、置換された前記時刻情報を参照して前記既存分割ログを時刻が早い順に並び替え、前記第二の分割ログと前記既存分割ログとを結合して車両ログを復元するとしてもよい。

　また、前記サーバ側通信部は、データの値を所定値に置換する置換処理または前記データの値を丸める端数処理が実施された前記１以上の分割ログのうちの前記第一の分割ログに対応する識別子と、前記１以上の分割ログのうちの前記第二の分割ログとを受信し、前記既存分割ログ保存部は、さらに、前記置換処理または前記端数処理が実施された前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである前記既存分割ログリストを記憶するとしてもよい。

　また、前記車両ログ解析サーバは、さらに、前記第二の分割ログを受信した場合に、前記第二の分割ログに対応する識別子を生成し、前記第二の分割ログと当該識別子とを前記既存分割ログリストに登録する既存分割ログ登録部を備えるとしてもよい。

　また、車両ログ解析システムは、車両ログ送信装置と車両ログ解析サーバとから構成され、データの種類を示すＩＤがそれぞれ対応付けられている複数のデータを含む車両ログを前記車両ログ送信装置から前記車両ログ解析サーバへ送信する車両ログ解析システムであって、前記車両ログ送信装置は、前記車両ログを取得する車両ログ取得部と、取得された前記車両ログを当該車両ログに含まれるＩＤを用いて分割することで、１以上の分割ログを生成する車両ログ分割加工部と、前記車両ログ送信装置と前記車両ログ解析サーバの間で共有されている既存の車両ログを当該既存の車両ログに含まれるＩＤを用いて分割することで生成された既存分割ログに対応する識別子のリストである既存識別子リストを記憶する既存識別子保存部と、前記１以上の分割ログのそれぞれに対して識別子を生成し、生成した識別子のうち、前記既存識別子リストに存在する識別子に対応する分割ログを第一の分割ログと判断し、前記既存識別子リストに存在しない識別子に対応する分割ログを第二の分割ログと判断する車両ログ送信要否判定部と、前記第一の分割ログに対応する識別子を前記車両ログ解析サーバへ送信し、前記第二の分割ログを前記車両ログ解析サーバへ送信する車両側通信部と、を備え、前記車両ログ解析サーバは、前記車両側通信部から送信された前記第一の分割ログに対応する識別子と前記第二の分割ログとを受信するサーバ側通信部と、前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである既存分割ログリストを記憶する既存分割ログ保存部と、前記第一の分割ログに対応する識別子を受信した場合に前記既存分割ログリストを参照して前記既存分割ログリストにおいて当該識別子に対応する既存分割ログを取得し、前記第二の分割ログと前記既存分割ログとを結合して車両ログを復元する車両ログ復元部と、復元された車両ログを記憶する車両ログ保存部と、を備える。

　また、前記車両ログ分割加工部は、取得された前記車両ログを当該車両ログに含まれるＩＤごとに分割することで、前記１以上の分割ログを生成し、前記既存識別子保存部は、前記既存の車両ログを当該既存の車両ログに含まれるＩＤごとに分割することで生成された前記既存分割ログに対応するリストである前記既存識別子リストを記憶し、前記サーバ側通信部は、前記車両側通信部から送信された、前記１以上の分割ログのうちの前記第一の分割ログに対応する識別子と、前記１以上の分割ログのうちの前記第二の分割ログとを受信し、前記既存分割ログ保存部は、前記既存の車両ログを前記既存の車両ログに含まれるＩＤごとに分割することで生成された前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである前記既存分割ログリストを記憶するとしてもよい。

　また、前記車両ログは、所定のＩＤを起点とする複数のＩＤを１周期として当該複数のＩＤが周期的に繰り返されるように並べられた前記複数のデータを含み、前記車両ログ分割加工部は、取得された前記車両ログを当該車両ログに含まれる前記所定のＩＤを起点とする複数のＩＤごとに分割することで、前記１以上の分割ログを生成し、前記既存識別子保存部は、前記既存の車両ログを当該既存の車両ログに含まれる前記所定のＩＤを起点とする複数のＩＤごとに分割することで生成された前記既存分割ログに対応する識別子のリストである前記既存識別子リストを記憶し、前記サーバ側通信部は、前記車両側通信部から送信された、前記１以上の分割ログのうちの前記第一の分割ログに対応する識別子と、前記１以上の分割ログのうちの前記第二の分割ログとを受信し、前記既存識別子保存部は、前記既存の車両ログを当該既存の車両ログに含まれるＩＤごとに分割することで生成された前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである前記既存分割ログリストを記憶するとしてもよい。

　また、前記車両ログは、時刻情報がそれぞれ対応付けられている前記複数のデータを含み、前記車両ログ分割加工部は、さらに、前記１以上の分割ログに含まれる時刻情報を時刻インデックス情報に置換する処理を実施し、前記既存識別子保存部は、さらに、時刻情報を時刻インデックス情報に置換された前記既存分割ログに対応する識別子のリストである前記既存識別子リストを記憶し、前記車両側通信部は、さらに、前記車両ログ解析サーバへ時刻情報と時刻インデックス情報との対応関係を示す時刻リストを送信し、前記サーバ側通信部は、さらに、前記車両側通信部から、前記時刻リストを受信し、前記既存分割ログ保存部は、さらに、時刻情報が時刻インデックス情報に置換された前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである前記既存分割ログリストを記憶し、前記車両ログ復元部は、前記第一の分割ログに対応する識別子を受信した場合に前記既存分割ログリストを参照して前記既存分割ログリストにおいて当該識別子に対応する前記既存分割ログを取得し、前記時刻リストを参照して前記既存分割ログに含まれる時刻インデックス情報を時刻情報に置換し、前記第二の分割ログと前記既存分割ログとを結合して車両ログを復元するとしてもよい。

　また、前記車両ログ分割加工部は、さらに、前記１以上の分割ログに含まれるＩＤの値またはデータの値の大きさに応じて前記１以上の分割ログを並び替える処理を実施し、前記既存識別子保存部は、さらに、ＩＤの値またはデータの値の大きさに応じて並び替えられた前記既存分割ログに対応する識別子のリストである前記既存識別子リストを記憶し、前記サーバ側通信部は、ＩＤの値またはデータの値の大きさに応じて並び替えられた前記１以上の分割ログのうちの前記第一の分割ログに対応する識別子と、前記１以上の分割ログのうちの前記第二の分割ログとを受信し、前記既存分割ログ保存部は、さらに、ＩＤの値またはデータの値の大きさに応じて並び替えられた前記既存分割ログと、既存分割ログに対応する識別子とのリストである前記既存分割ログリストを記憶し、前記車両ログ復元部は、前記第一の分割ログに対応する識別子を受信した場合に前記既存分割ログリストを参照して前記既存分割ログリストにおいて当該識別子に対応する前記既存分割ログを取得し、前記時刻リストを参照して、前記既存分割ログの時刻インデックス情報を時刻情報に置換し、置換された前記時刻情報を参照して前記既存分割ログを時刻が早い順に並び替え、前記第二の分割ログと前記既存分割ログとを結合して車両ログを復元するとしてもよい。

　また、前記車両ログ分割加工部は、さらに、前記１以上の分割ログに含まれるデータの値を所定値に置換する置換処理または前記データの値を丸める端数処理を実施し、前記既存識別子保存部は、さらに、前記置換処理または前記端数処理が実施された前記既存分割ログに対応する識別子のリストである前記既存識別子リストを記憶し、前記サーバ側通信部は、前記置換処理または前記端数処理が実施された前記１以上の分割ログのうちの前記第一の分割ログに対応する識別子と、前記１以上の分割ログのうちの前記第二の分割ログとを受信し、前記既存分割ログ保存部は、さらに、前記置換処理または前記端数処理が実施された前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである既存分割ログリストを記憶するとしてもよい。

　また、前記車両ログ送信装置は、さらに、前記車両ログ送信要否判定部が前記第二の分割ログと判断した分割ログに対応する識別子を前記既存識別子リストに登録する既存識別子登録部を備え、前記車両ログ解析サーバは、さらに、前記第二の分割ログを受信した場合に、前記第二の分割ログに対応する識別子を生成し、前記第二の分割ログと当該識別子とを前記既存分割ログリストに登録する既存分割ログ登録部を備えるとしてもよい。

　また、前記車両ログ取得部は、前記車両ログのＩＤとしてフレームＩＤを含むＣＡＮまたはＣＡＮ－ＦＤプロトコルに従う車載ネットワークログと、前記車両ログのＩＤとしてスロットＩＤを含むＦｌｅｘＲａｙ（登録商標）プロトコルに従う車載ネットワークログと、前記車両ログにＩＤとしてＩＰアドレスを含むＥｔｈｅｒｎｅｔ（登録商標）プロトコルに従う車載ネットワークログと、前記車両ログにＩＤとしてプロセス番号を含むシステム動作ログとのうちの、少なくとも１つの前記車両ログを取得するとしてもよい。

　これにより、特定のプロトコルに従うログを収集することで、車両ログのフォーマットが統一化され、分割ログと既存分割ログとが一致する確率が高くなる。そのため、既存分割ログに対応する識別子と一致する第一の分割ログに対応する識別子がさらに多くなり、第二の分割ログが送信されにくく、第一の分割ログに対応する識別子が送信されやすくなる。したがって、車両から車両の外部のサーバへ送信される車両ログの通信データ量をより効果的に削減できる。

　また、本開示の車両ログ送受信方法は、車両ログ送信装置による車両ログ送信方法と車両ログ解析サーバによる車両ログ受信方法とから構成され、データの種類を示すＩＤがそれぞれ対応付けられている複数のデータを含む車両ログを前記車両ログ送信装置から前記車両ログ解析サーバへ送信する車両ログ送受信方法であって、前記車両ログ送信装置は、前記車両ログ送信装置と前記車両ログ解析サーバとの間で共有されている既存の車両ログを当該既存の車両ログに含まれるＩＤを用いて分割することで生成された既存分割ログに対応する識別子のリストである既存識別子リストを記憶する既存識別子保存部を備え、前記車両ログ解析サーバは、前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである既存分割ログリストを記憶する既存分割ログ保存部を備え、前記車両ログ送信方法は、車両ログを取得する車両ログ取得ステップと、取得された前記車両ログを当該車両ログに含まれるＩＤを用いて分割することで、１以上の分割ログを生成する車両ログ分割加工ステップと、前記１以上の分割ログのそれぞれに対して識別子を生成し、生成した識別子のうち、前記既存識別子リストに存在する識別子に対応する分割ログを第一の分割ログと判断し、前記既存識別子リストに存在しない識別子に対応する分割ログを第二の分割ログと判断する車両ログ送信要否判定ステップと、前記第一の分割ログに対応する識別子を前記車両ログ解析サーバへ送信し、前記第二の分割ログを前記車両ログ解析サーバへ送信する車両側通信ステップと、を含み、前記車両ログ受信方法は、前記車両側通信ステップにて送信された前記第一の分割ログに対応する識別子と前記第二の分割ログとを受信するサーバ側通信ステップと、前記第一の分割ログに対応する識別子を受信した場合に前記既存分割ログリストを参照して前記既存分割ログリストにおいて当該識別子に対応する既存分割ログを取得し、前記第二の分割ログと前記既存分割ログとを結合して車両ログを復元する車両ログ復元ステップと、復元された前記車両ログを記憶する車両ログ保存ステップと、を含む。

　なお、これらの全般的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータで読み取り可能なＣＤ－ＲＯＭ等の記録媒体で実現されても良く、システム、方法、集積回路、コンピュータプログラムまたは記録媒体の任意な組み合わせで実現されてもよい。

　以下、実施の形態に係る車両ログ送信装置、車両ログ解析サーバ、車両ログ解析システムおよび車両ログ送受信方法について図面を参照しながら説明する。ここで示す実施の形態は、いずれも本開示の一具体例を示すものである。従って、以下の実施の形態で示される数値、構成要素、構成要素の配置および接続形態、並びに、処理の要素としてのステップおよびステップの順序等は、一例であって本開示を限定するものではない。以下の実施の形態における構成要素のうち、独立請求項に記載されていない構成要素については、任意に付加可能な構成要素である。また、各図は、模式図であり、必ずしも厳密に図示されたものではない。

　（実施の形態１）
　［車両ログ解析システムの全体構成］
　図１は、本開示の実施の形態１における車両ログ解析システム１００の全体構成図である。

　図１において、車両ログ解析システム１００は、車両ログ解析サーバ２０と車両２００とで構成され、外部ネットワーク５０を介して車両ログ解析サーバ２０と車両２００とが接続される。外部ネットワーク５０は、例えば、インターネットである。外部ネットワーク５０の通信方法は、有線であっても無線であっても良い。また、無線通信方式は既存技術であるＷｉ－Ｆｉ（登録商標）や、３Ｇ／ＬＴＥ（Ｌｏｎｇ　Ｔｅｒｍ　Ｅｖｏｌｕｔｉｏｎ）であっても良い。

　車両２００は、車両ログ送信装置１０とＥＣＵ３０ａとＥＣＵ３０ｂとＥＣＵ３０ｃとセンサ４０ａとエンジン４０ｂとステアリング４０ｃとを備える。

　車両ログ送信装置１０は、車両ログ解析サーバ２０と外部ネットワーク５０を介して接続される。

　車両２００において、車両ネットワーク６０を介して車両ログ送信装置１０と、ＥＣＵ３０ａと、ＥＣＵ３０ｂと、ＥＣＵ３０ｃとが互いに接続される。車両ネットワーク６０は、例えば、ＣＡＮである。なお、車両ネットワーク６０は、ＣＡＮ－ＦＤ、ＦｌｅｘＲａｙ、Ｅｔｈｅｒｎｅｔ等の通信プロトコルであってもよい。

　ＥＣＵ３０ａは、センサ４０ａに接続され、ＥＣＵ３０ｂは、エンジン４０ｂに接続され、ＥＣＵ３０ｃは、ステアリング４０ｃに接続されている。

　ＥＣＵ３０ａ、３０ｂおよび３０ｃは、それぞれが接続されている機器の状態を取得し、取得した状態を表すメッセージを周期的に車両ネットワーク６０に送出する。

　ＥＣＵ３０ａは、車両２００の加速度を計測するセンサ４０ａによって計測されたセンサ情報を取得し、このセンサ情報を表すデータ値を含むメッセージを車両ネットワーク６０に送出する。

　ＥＣＵ３０ｂは、エンジン４０ｂの一状態である回転数を取得し、この回転数を表すデータ値を含むメッセージを車両ネットワーク６０に送出する。また、ＥＣＵ３０ｂは、車両ネットワーク６０から取得するエンジン４０ｂに関する情報に基づいて、エンジン４０ｂの回転数を制御する。

　ＥＣＵ３０ｃは、ステアリング４０ｃの操舵角を取得し、この操舵角を表すデータ値を含むメッセージを車両ネットワーク６０に送出する。また、ＥＣＵ３０ｃは、車両ネットワーク６０から取得するステアリング４０ｃに関する情報に基づいて、ステアリング４０ｃの操舵角を制御する。

　以降、車両ネットワーク６０に接続されるＥＣＵ３０ａ、ＥＣＵ３０ｂおよびＥＣＵ３０ｃと、センサ４０ａ、エンジン４０ｂおよびステアリング４０ｃを総称して車両システム３００とする。

　車両ログ送信装置１０は、ＥＣＵ３０ａ、３０ｂおよび３０ｃから車両ログを取得し、車両ログ解析サーバ２０へ、ＨＴＴＰＳなどの通信プロトコルを介して、取得した車両ログを送信する。車両ログの詳細は後述する。

　車両ログ解析サーバ２０は、車両ログ送信装置１０から車両ログを受信し、受信した車両ログを解析して、セキュリティ上の脅威を検出、すなわち、車両２００の異常を検出する車両２００の外部のサーバである。

　［車両ログ送信装置の構成］
　次に、車両ログ送信装置１０について説明する。

　図２は、本開示の実施の形態１における車両ログ送信装置１０の構成図である。車両ログ送信装置１０は、データの種類を示すＩＤがそれぞれ対応付けられている複数のデータを含む車両ログを車両ログ解析サーバ２０へ送信する装置である。図２において、車両ログ送信装置１０は、車両ログ取得部１１０と、車両ログ分割加工部１２０と、車両ログ分割加工ルール保存部１３０と、車両ログ送信要否判定部１４０と、既存識別子保存部１５０と、既存識別子登録部１６０と、車両側通信部１７０とを備える。

　車両ログ取得部１１０は、車両システム３００と車両ネットワーク６０を介して接続される。車両ログ取得部１１０は、車両２００の動作に関わる車両ログ（具体的には、データの種類を示すＩＤがそれぞれ対応付けられている複数のデータを含む車両ログ）を取得し、車両ログ分割加工部１２０に取得した車両ログを通知する。なお、車両ログは、所定のＩＤを起点とする複数のＩＤを１周期として当該複数のＩＤが周期的に繰り返されるように並べられた複数のデータを含んでいてもよい。また、車両ログは、時刻情報がそれぞれ対応付けられている複数のデータを含んでいてもよい。

　車両ログ分割加工部１２０は、車両ログ取得部１１０で取得された車両ログを当該車両ログに含まれるＩＤを用いて分割することで、１以上の分割ログを生成する。例えば、車両ログ分割加工部１２０は、取得された車両ログを当該車両ログに含まれるＩＤごとに分割することで、１以上の分割ログを生成してもよい。また、例えば、車両ログ分割加工部１２０は、取得された車両ログを当該車両ログに含まれる所定のＩＤを起点とする複数のＩＤごとに分割することで、１以上の分割ログを生成してもよい。また、例えば、車両ログ分割加工部１２０は、さらに、１以上の分割ログに含まれる時刻情報を時刻インデックス情報に置換する処理を実施して分割加工ログを生成してもよい。また、例えば、車両ログ分割加工部１２０は、さらに、１以上の分割ログに含まれるＩＤの値またはデータの値の大きさに応じて１以上の分割ログを並び替える処理を実施して分割加工ログを生成してもよい。また、例えば、車両ログ分割加工部１２０は、さらに、１以上の分割ログに含まれるデータの値を所定値に置換する置換処理またはデータの値を丸める端数処理を実施して分割加工ログを生成してもよい。車両ログ分割加工部１２０は、車両ログをルールに従って分割および加工して分割加工ログを生成し、生成した分割加工ログと、車両ログを分割する際に用いた番号を分割番号として、車両ログ送信要否判定部１４０に通知する機能を有する。車両ログ分割加工部１２０が分割加工ログを生成する際に使用したルールを車両ログ分割加工ルールとする。車両ログ分割加工ルールおよび分割加工ログの詳細は後述する。

　車両ログ分割加工ルール保存部１３０は、車両ログ分割加工部１２０が用いた車両ログ分割加工ルールを記憶する。

　既存識別子保存部１５０は、車両ログ送信装置１０と車両ログ解析サーバ２０との間で共有されている既存の車両ログを既存の車両ログに含まれるＩＤを用いて分割することで生成された既存分割ログに対応する識別子のリストである既存識別子リストを記憶する。識別子は、例えば、ハッシュ値である。例えば、既存識別子保存部１５０は、既存の車両ログを当該既存の車両ログに含まれるＩＤごとに分割することで生成された既存分割ログに対応するリストである既存識別子リストを記憶してもよい。また、例えば、既存識別子保存部１５０は、既存の車両ログを既存の車両ログに含まれる所定のＩＤを起点とする複数のＩＤごとに分割することで生成された既存分割ログに対応する識別子のリストである既存識別子リストを記憶してもよい。また、例えば、既存識別子保存部１５０は、さらに、時刻情報が時刻インデックス情報に置換された既存分割ログに対応する識別子のリストである既存識別子リストを記憶してもよい。また、例えば、既存識別子保存部１５０は、さらに、ＩＤの値またはデータの値の大きさに応じて並び替えられた既存分割ログに対応する識別子のリストである既存識別子リストを記憶してもよい。また、例えば、既存識別子保存部１５０は、さらに、置換処理または端数処理が実施された既存分割ログに対応する識別子のリストである既存識別子リストを記憶してもよい。既存識別子リストは、車両ログ送信装置１０が過去に車両ログ解析サーバ２０に送信した、分割加工ログの分割番号とハッシュ値との組で構成される。既存識別子リストは、車両ログ送信装置１０と車両ログ解析サーバ２０との間で共有される。

　車両ログ送信要否判定部１４０は、１以上の分割ログのそれぞれに対して識別子を生成し、生成した識別子のうち、既存識別子リストに存在する識別子に対応する分割ログを第一の分割ログと判断し、既存識別子リストに存在しない識別子に対応する分割ログを第二の分割ログと判断する。車両ログ送信要否判定部１４０は、車両ログ分割加工部１２０から受け取った分割加工ログに対するハッシュ値を識別子として分割番号ごとに生成する。生成した分割加工ログに対するハッシュ値が、既存識別子保存部１５０が記憶する既存識別子リストに含まれる場合に、車両ログ送信要否判定部１４０は、当該ハッシュ値に対応する分割加工ログは送信する必要がない第一の分割ログと判断する。生成した分割加工ログに対するハッシュ値が、既存識別子保存部１５０が記憶する既存識別子リストに含まれない場合に、車両ログ送信要否判定部１４０は、当該ハッシュ値に対応する分割加工ログは送信する必要がある第二の分割ログと判断する。

　既存識別子登録部１６０は、車両ログ送信要否判定部１４０が第二の分割ログと判断した分割ログ（分割加工ログ）に対応する識別子を既存識別子リストに登録する。具体的には、既存識別子登録部１６０は、車両ログ送信要否判定部１４０が分割加工ログを送信する必要があると判断した分割加工ログに対するハッシュ値を、既存識別子保存部１５０の既存識別子リストに追加登録する。

　車両側通信部１７０は、第一の分割ログに対応する識別子を車両ログ解析サーバ２０へ送信し、第二の分割ログを車両ログ解析サーバ２０へ送信する。具体的には、車両側通信部１７０は、車両ログ送信要否判定部１４０が送信する必要がないと判断した分割加工ログ（第一の分割ログ）のハッシュ値とその分割番号を、車両ログ解析サーバ２０へ送信し、車両ログ送信要否判定部１４０が送信する必要があると判断した分割加工ログ（第二の分割ログ）を、車両ログ解析サーバ２０へ送信する。さらに、車両側通信部１７０は、生成した車両ログ分割加工ルールを車両ログ解析サーバ２０へ送信する。例えば、車両側通信部１７０は、車両ログ解析サーバ２０へ車両ログ分割加工ルールとして時刻情報と時刻インデックス情報との対応関係を示す時刻リストを送信してもよい。

　［車両ログ解析サーバの構成］
　図３は、本開示の実施の形態１における車両ログ解析サーバ２０の構成図である。車両ログ解析サーバ２０は、データの種類を示すＩＤがそれぞれ対応付けられている複数のデータを含む車両ログを車両ログ送信装置１０から受信する装置である。図３において、車両ログ解析サーバ２０は、サーバ側通信部２１０と、車両ログ復元部２２０と、既存分割ログ保存部２３０と、車両ログ分割加工ルール保存部２４０と、車両ログ保存部２５０と、既存分割ログ登録部２６０と、異常ログ検出部２７０と、異常通知部２８０とを備える。

　サーバ側通信部２１０は、外部ネットワーク５０と接続され、外部ネットワーク５０を介して車両ログ送信装置１０から、車両ログを当該車両ログに含まれるＩＤを用いて分割することで生成された１以上の分割ログのうちの第一の分割ログに対応する識別子と、１以上の分割ログのうちの第一の分割ログを除く第二の分割ログとを受信する。具体的には、サーバ側通信部２１０は、分割加工ログまたは分割加工ログのハッシュ値と、その分割番号とを受信し、受信した分割加工ログまたは分割加工ログのハッシュ値と、その分割番号とを車両ログ復元部２２０へ通知する。さらにサーバ側通信部２１０は、車両ログ送信装置１０から車両ログ分割加工ルールを受信し、車両ログ分割加工ルール保存部２４０に記憶する。例えば、サーバ側通信部２１０は、車両ログ送信装置１０から、車両ログを当該車両ログに含まれるＩＤごとに分割することで生成された１以上の分割ログのうちの第一の分割ログに対応する識別子と、１以上の分割ログのうちの第二の分割ログとを受信してもよい。また、例えば、サーバ側通信部２１０は、車両ログ送信装置１０から、車両ログを当該車両ログに含まれる所定のＩＤを起点とする複数のＩＤごとに分割することで生成された１以上の分割ログのうちの第一の分割ログに対応する識別子と、１以上の分割ログのうちの第二の分割ログとを受信してもよい。また、例えば、サーバ側通信部２１０は、車両ログ送信装置１０から、時刻情報が時刻インデックス情報に置換された１以上の分割ログのうちの第一の分割ログに対応する識別子と、当該１以上の分割ログのうちの第二の分割ログと、時刻情報と時刻インデックス情報との対応関係を示す時刻リストとを受信してもよい。また、例えば、サーバ側通信部２１０は、ＩＤの値またはデータの値の大きさに応じて並び替えられた１以上の分割ログのうちの第一の分割ログに対応する識別子と、１以上の分割ログのうちの第二の分割ログとを受信してもよい。また、例えば、サーバ側通信部２１０は、データの値を所定値に置換する置換処理またはデータの値を丸める端数処理が実施された１以上の分割ログのうちの第一の分割ログに対応する識別子と、１以上の分割ログのうちの第二の分割ログとを受信してもよい。

　既存分割ログ保存部２３０は、車両ログ送信装置１０と車両ログ解析サーバ２０との間で共有されている既存の車両ログを当該既存の車両ログに含まれるＩＤを用いて分割することで生成された既存分割ログと、既存分割ログに対応する識別子とのリストである既存分割ログリストを記憶する。例えば、既存分割ログ保存部２３０は、既存の車両ログを当該既存の車両ログに含まれるＩＤごとに分割することで生成された既存分割ログと、既存分割ログに対応する識別子とのリストである既存分割ログリストを記憶してもよい。また、例えば、既存分割ログ保存部２３０は、既存の車両ログを当該既存の車両ログに含まれる所定のＩＤを起点とする複数のＩＤごとに分割することで生成された既存分割ログと、既存分割ログに対応する識別子とのリストである既存分割ログリストを記憶してもよい。また、例えば、既存分割ログ保存部２３０は、さらに、時刻情報が時刻インデックス情報に置換された既存分割ログと、既存分割ログに対応する識別子とのリストである既存分割ログリストを記憶してもよい。また、例えば、既存分割ログ保存部２３０は、さらに、ＩＤの値またはデータの値の大きさに応じて並び替えられた既存分割ログと、既存分割ログに対応する識別子とのリストである既存分割ログリストを記憶してもよい。また、例えば、既存分割ログ保存部２３０は、さらに、置換処理または端数処理が実施された既存分割ログと、既存分割ログに対応する識別子とのリストである既存分割ログリストを記憶してもよい。

　車両ログ復元部２２０は、第一の分割ログに対応する識別子を受信した場合に既存分割ログリストを参照して既存分割ログリストにおいて当該識別子に対応する既存分割ログを取得し、第二の分割ログと既存分割ログとを結合して車両ログを復元する。具体的には、車両ログ復元部２２０は、サーバ側通信部２１０から分割加工ログのハッシュ値とその分割番号とが通知された場合、既存分割ログ保存部２３０が記憶する既存分割ログリストから分割加工ログのハッシュ値と一致する既存分割ログを取得する。

　さらに、車両ログ復元部２２０は、既存分割ログを取得している場合に、サーバ側通信部２１０から分割加工ログ（第二の分割ログ）が通知された場合、既存分割ログと分割加工ログ（第二の分割ログ）とを、車両ログ分割加工ルール保存部２４０が記憶する車両ログ分割加工ルールを用いて、車両ログに復元する。例えば、車両ログ復元部２２０は、第一の分割ログに対応する識別子を受信した場合に既存分割ログリストを参照して既存分割ログリストにおいて当該識別子に対応する既存分割ログを取得し、時刻リストを参照して既存分割ログに含まれる時刻インデックス情報を時刻情報に置換し、第二の分割ログと既存分割ログとを結合して車両ログを復元してもよい。また、例えば、車両ログ復元部２２０は、第一の分割ログに対応する識別子を受信した場合に既存分割ログリストを参照して既存分割ログリストにおいて当該識別子に対応する既存分割ログを取得し、時刻リストを参照して既存分割ログの時刻インデックス情報を時刻情報に置換し、置換された時刻情報を参照して既存分割ログを時刻が早い順に並び替え、第二の分割ログと既存分割ログとを結合して車両ログを復元してもよい。さらに、車両ログ復元部２２０は、復元した車両ログを車両ログ保存部２５０に記録する。車両ログの復元方法の詳細は後述する。

　既存分割ログ登録部２６０は、第二の分割ログを受信した場合に、第二の分割ログに対応する識別子を生成し、第二の分割ログと当該識別子とを既存分割ログリストに登録する。具体的には、既存分割ログ登録部２６０は、サーバ側通信部２１０から分割加工ログ（第二の分割ログ）を通知された場合、分割加工ログ（第二の分割ログ）のハッシュ値を生成し、分割加工ログ（第二の分割ログ）と分割加工ログ（第二の分割ログ）のハッシュ値との組を既存分割ログ保存部２３０の既存分割ログリストに追加で記憶する。

　車両ログ分割加工ルール保存部２４０は、車両ログの分割方法および加工方法が記載される車両ログ分割加工ルールを記憶する。

　車両ログ保存部２５０は、復元された車両ログを記憶する。

　異常ログ検出部２７０は、車両ログ保存部２５０に記憶される復元された車両ログを監視し、当該車両ログに攻撃の痕跡が含まれる場合に異常ログとして検出し、異常通知部２８０に通知する。例えば、車両ログに、正常の処理シーケンスと異なるタイミングで車両装置が動作したログや正常範囲外の制御値を含むネットワーク通信が行われたログが含まれている場合に、異常ログ検出部２７０は、車両へのサイバー攻撃の痕跡があるとして、セキュリティ上の脅威として検出する機能を有する。また、例えば、異常ログ検出部２７０は、さらに、過去に異常と判定された車両ログを当該車両ログに含まれるＩＤを用いて分割することで生成された異常分割ログに対応する識別子のリストである異常識別子リストを保持し、サーバ側通信部２１０が第一の分割ログに対応する識別子を受信した場合、当該識別子が異常識別子リストに含まれる場合に異常として検出し、サーバ側通信部２１０が第二の分割ログを受信した場合に、第二の分割ログに攻撃の痕跡が含まれるときには、第二の分割ログを異常ログとして検出し、当該異常ログを当該異常ログに含まれるＩＤを用いて分割することで生成された異常分割ログを異常識別子リストに登録してもよい。

　異常通知部２８０は、所定の通知先に車両が異常であることを通知する。具体的には、異常検知部２８０は、異常ログ検出部２７０から異常な車両ログを受け取り、所定の通知先として、例えば、車両ログ解析サーバ２０を利用するオペレータや異常なログを出力した車両のドライバーに異常を通知する。

　［車両ログ］
　図４は、本開示の実施の形態１における車両ログ取得部１１０が取得する車両ログの一例を示す図である。車両ログは、データの種類を示すＩＤがそれぞれ対応付けられている複数のデータを含む。図４における車両ログには、ＩＤとして、ＩＤ１、ＩＤ２、ＩＤ３およびＩＤ４が含まれる。また、図４における車両ログには、それぞれが８バイトのデータである複数のデータが含まれる。８バイトのデータを１つのデータとしたときに、当該１つのデータに対してＩＤが対応付けられている。また、図４に示されるように、複数のデータは、所定のＩＤを起点とする複数のＩＤを１周期として当該複数のＩＤが周期的に繰り返されるように並べられる。例えば、所定のＩＤをＩＤ１とすると、ＩＤ１を起点とするＩＤ１、ＩＤ２、ＩＤ３およびＩＤ４を１周期としてＩＤ１、ＩＤ２、ＩＤ３およびＩＤ４が周期的に繰り返されるように複数のデータが並べられる。なお、所定のＩＤは、ＩＤ１に限らない。例えば、所定のＩＤをＩＤ２とすると、ＩＤ２を起点とするＩＤ２、ＩＤ３、ＩＤ４およびＩＤ１を１周期としてＩＤ２、ＩＤ３、ＩＤ４およびＩＤ１が周期的に繰り返されるように複数のデータが並べられる。また、図４に示されるように、複数のデータは、時刻情報がそれぞれ対応付けられている。例えば、「１０：１０：１０」（１０時１０分１０秒）等の時刻が時刻情報である。図４において、車両ログは、時刻と、ＩＤと、８バイトのデータ（８つの１バイトのデータ）との組で構成される。時刻は、車両ログの発生時刻である。

　ＩＤは、データの種類を示し、例えば、車両ログの発生元のイベントまたはメッセージを特定する識別子である。例えば、車両ログが、ＥＣＵのシステム動作を示すイベントの場合のＩＤは、プロセス番号であり、ＣＡＮまたはＣＡＮ－ＦＤの通信プロトコルに従うメッセージの場合のＩＤは、フレームＩＤであり、ＦｌｅｘＲａｙの通信プロトコルに従うメッセージの場合のＩＤは、スロットＩＤであり、Ｅｔｈｅｒｎｅｔの通信プロトコルに従うメッセージの場合のＩＤは、ＩＰアドレスである。

　また、複数のデータのそれぞれは、例えば、１バイトごとに０ｘ００から０ｘＦＦまでの１６進数の数値からなる８バイトのデータである。図４において、データは、１６進数表記の０ｘを省略して記載している。例えば、図４において、車両ログにおける１行目は、時刻「１０：１０：１０」に発生したイベントまたはメッセージであり、ＩＤは「ＩＤ１」であり、１バイト目に１６進数表記で「０１」、２バイト目に１６進数表記で「５０」、３バイト目に１６進数表記で「４０」、４バイト目に１６進数表記で「３０」、５バイト目に１６進数表記で「３０」、６バイト目に１６進数表記で「３０」、７バイト目に１６進数表記で「３０」、８バイト目に１６進数表記で「３０」であることを示している。

　車両ログの各バイトのデータ値が何を示しているかについては、車両ログ定義テーブルが参照される。車両ログ定義テーブルの詳細は、後述する。

　また図４において、ＩＤが「ＩＤ１」である車両ログは、時刻「１０：１０：１０」に発生した後、時刻「１０：２０：１０」、「１０：５０：１０」等にも発生しており、ＩＤが「ＩＤ１」のイベントまたはメッセージが定期的に発生していることを示している。

　また図４において、ＩＤが「ＩＤ２」である車両ログは、ＩＤが「ＩＤ１」のイベントまたはメッセージの後に続いて発生していることを示している。つまり、複数のデータは、複数のＩＤ（ここでは、ＩＤ１、ＩＤ２、ＩＤ３およびＩＤ４）が周期的に繰り返されるように並べられる。

　このように、車両ログを参照することで、イベントやメッセージの発生時刻とデータを確認することができるため、車両ログを用いて、正常の処理シーケンスと異なるタイミングで車両システム３００が動作したか否か、または、正常範囲外の制御値を含むネットワーク通信が行われたか否か等を判定でき、セキュリティ上の脅威を検出できる。

　［車両ログ定義テーブル］
　図５は、本開示の実施の形態１における車両ログ分割加工部１２０で用いる車両ログ定義テーブルの一例を示す図である。車両ログ定義テーブルは、車両ログのＩＤ毎の各バイトのデータ値が何を示しているかを示すデータ種別を定義するテーブルである。

　図５においてＩＤが「ＩＤ１」の場合、１バイト目は「カウンタ」を定義し、２バイト目から８バイト目は、「車両番号」を定義している。

　ＩＤが「ＩＤ２」の場合、１バイト目は、「カウンタ」を定義し、２バイト目は、「チェックサム」を定義し、３バイト目と４バイト目は、「速度」を定義し、５バイト目は、「シフト」を定義し、６バイト目から８バイト目は未使用であり、定義されていない。

　ＩＤが「ＩＤ３」の場合、１バイト目は、「カウンタ」を定義し、２バイト目は、「チェックサム」を定義し、３バイト目と４バイト目は、「舵角」を定義し、５バイト目から８バイト目は、未使用であり、定義されていない。

　ＩＤが「ＩＤ４」の場合、１バイト目は、「カウンタ」を定義し、２バイト目と３バイト目は、「位置情報」を定義し、４バイト目から８バイト目は未使用であり、定義されていない。

　定義された、「車両番号」は、７バイトの値であり、車両ごとに固定の値をとる。定義された、「速度」と「舵角」と「位置情報」は２バイトであり、００００からＦＦＦＦまでの値である。定義された、「チェックサム」と「カウンタ」は１バイトであり、００からＦＦまでの値である。定義された「シフト」は、「００」の値の場合、「パーキング」を示し、「０１」の値の場合、「ドライブ」を示す。

　［車両ログ分割加工ルール］
　次に車両ログ分割加工ルールについて説明する。車両ログ分割加工ルールは、車両ログ分割加工部１２０が車両ログから分割加工ログを生成する際にどのようなルールで生成したかを示すルールである。車両ログ分割加工ルールは、車両ログ分割加工部１２０が車両ログから分割加工ログを生成する際に生成される。

　図６は、本開示の実施の形態１における車両ログ分割加工ルール保存部１３０が記憶する車両ログ分割加工ルールの一例を示す図である。図６において、車両ログ分割加工ルールは、加工項目と、加工有無と、加工前の値と、加工後の値との組で構成される。

　加工項目は、「分割」、「時刻インデックス」、「ソート（昇順）」および「データ置換」のいずれかである。車両ログ分割加工ルールは、上から順に車両ログを加工するルールを示している。

　「分割」は、車両ログを分割するルールを表す。例えば、図６では、分割は、ＩＤごとに車両ログを分割するルールを示している。

　「時刻インデックス」は、車両ログの時刻を時刻インデックス情報に置換する処理のルールを表す。例えば、図６では、時刻インデックスは、ＩＤごとの時刻に対して通し番号（Ｔ１１、Ｔ１２、・・・、Ｔ５４）を割り振るルールを示している。

　「ソート（昇順）」は、ＩＤが同一のデータのうち特定のバイト、例えば、４バイト目のデータが小さい順番に並び替えられるように車両ログを加工する処理のルールを表す。なお、図６では、一例として「ソート（昇順）」を示しているが、ＩＤが同一のデータのうち、特定のバイトのデータが大きい順番に並び替えられる場合は、「ソート（降順）」と表される。

　「データ置換」は、車両ログ定義テーブルに記載されている特定のデータ種別（例えばカウンタおよびチェックサム）に該当するデータ領域のすべてを特定の値（例えば００）に置換する処理のルールを表す。

　次に、加工有無は、「有効」および「無効」のいずれかであり、対応する加工項目のルールを実施したか否かを示す。対応する加工項目のルールが実施された場合、加工有無は「有効」となり、対応する加工項目のルールが実施されなかった場合、加工有無は「無効」となる。

　加工前の値は、対応する加工項目において車両ログの元の値であり、加工後の値は、対応する加工項目において車両ログの加工後の値（つまり分割加工ログにおける値）を示す。

　図６において、加工項目「分割」は、加工有無が「有効」である。加工前の値「ＩＤ１」に対し、加工後の値「分割番号１」であり、加工前の値「ＩＤ２」に対し、加工後の値「分割番号２」と続く。このルールでは、車両ログから、加工前の値に記載されたＩＤを含むデータが抽出され、加工後の値に記載された分割番号の分割ログに分割される。

　図６において、加工項目「時刻インデックス」は、加工有無が「有効」である。加工前の値「１０：１０：１０」に対し、加工後の値「Ｔ１１」であり、加工前の値「１０：１０：２０」に対して、加工後の値「Ｔ１２」と続く。

　図６において、加工項目「ソート（昇順）」は、加工有無が「有効」である。加工前の値と加工後の値は「－」となっており、「－」は値を置換しないルールであることを示す。「ソート（昇順）」では、データは並び変えられるが、データの値自体は置換されないためである。

　また、加工項目「データ置換」は、加工有無が「有効」であり、加工前の値は「カウンタ」および「チェックサム」の値を示しており、加工後の「カウンタ」および「チェックサム」の値を「００」に置換するルールを表す。

　車両ログ分割加工部１２０は、車両ログから分割加工ログを生成する際に、車両ログ分割加工ルールもあわせて生成し、分割加工ログまたは分割加工ログの識別子を送信する際に、車両ログ分割加工ルールをあわせて送信することで車両ログ送信装置１０と車両ログ解析サーバ２０との間で車両ログ分割加工ルールを共有する。これにより、車両ログ送信装置１０で加工された分割加工ログを車両ログ解析サーバ２０で元の車両ログに戻すことができる。なお、予め定められたルールを用いて分割加工ログが生成され、当該予め定められたルールを用いて既存分割ログが生成される場合に、当該予め定められたルールを車両ログ送信装置１０と車両ログ解析サーバ２０とが予め保有しているときには、車両ログ分割加工ルールとして少なくとも時刻情報と時刻インデックス情報との対応関係を示す時刻リストが車両ログ送信装置１０から車両ログ解析サーバ２０へ送信されればよい。車両ログ解析サーバ２０は、時刻情報以外の情報については、予め定められたルールを用いて復元することができるためである。

　［分割加工ログ］
　図７は、本開示の実施の形態１における車両ログ分割加工部１２０が生成する分割加工ログの一例を示す図である。図７は、図４で説明した車両ログを図６の車両ログ分割加工ルールで分割および加工したときの分割加工ログの一例である。図７において、分割加工ログは、分割番号ごとに、時刻と、ＩＤと、８バイトのデータとの組で構成される。図７は、車両ログがＩＤごとに分割されたときに生成される分割加工ログの一例を示す。

　図７において、分割加工ログの時刻は、図６における車両ログ分割加工ルールでの「時刻インデックス」によるルールに従って、時刻インデックス（Ｔ１１、Ｔ１２、・・・、Ｔ５４）に置換されている。例えば、分割番号「１」の時刻「Ｔ１１」は、時刻「１０：１０：１０」を置換したときの時刻インデックスである。

　また、図７において、分割番号「３」で時刻「Ｔ１３」、「Ｔ２３」、「Ｔ５３」の行における４バイト目のデータの値はそれぞれ、「１０」、「２０」、「３０」であり、図６における車両ログ分割加工ルールでの「ソート（昇順）」によるルールに従って、４バイト目のデータが小さい順にソートされている。

　分割加工ログの１バイト目は、図５の車両ログ定義テーブルによると、「カウンタ」であり、図６における車両ログ分割加工ルールでの「データ置換」によるルールに従って、データの値は全て「００」に置換されている。

　以上のように、分割加工ログでは、時刻、カウンタ、チェックサム、イベント発生時間などの車両ログが発生する度に変わる可能性の高い値が、インデックス化され、または「００」などに置換される。なお、分割加工ログでは、センサなどの細かい値などを丸める端数処理がされてもよい。

　なお、図７は、車両ログをＩＤごとに分割したときの分割ログ（分割加工ログ）の一例を示すが、車両ログが所定のＩＤを起点とする複数のＩＤごとに分割されてもよい。例えば、ＩＤ１を所定のＩＤとして、ＩＤ１を起点とする複数のＩＤ（ＩＤ１、ＩＤ２、ＩＤ３およびＩＤ４）ごとに車両ログが分割されてもよい。なお、所定のＩＤは、ＩＤ１に限らず、例えば、所定のＩＤをＩＤ２とした場合、ＩＤ２を起点とする複数のＩＤ（ＩＤ２、ＩＤ３、ＩＤ４およびＩＤ１）ごとに車両ログが分割されてもよい。

　また、後述する既存分割ログについても同じように、所定のＩＤを起点とする複数のＩＤごとに分割されたものであってもよい。

　［分割加工ログの識別子］
　次に、分割加工ログの識別子について、説明する。

　図８は、本開示の実施の形態１における車両ログ送信要否判定部１４０が生成する分割加工ログの識別子の一例を示す図である。図８において、分割加工ログの識別子は、分割番号と、識別子から構成される。車両ログ送信要否判定部１４０は、分割加工ログごとにハッシュ関数を用いて分割加工ログのハッシュ値を生成し、識別子とする。

　ここで、ハッシュ関数は、同一のデータであれば同一のハッシュ値を出力する特徴を有し、ＭＤ５やＳＨＡ２５６などのアルゴリズムを用いる。

　図８において、例えば、分割番号「１」の識別子は「１１２２３３４４」である。

　［既存識別子リスト］
　次に、既存識別子リストについて説明する。

　図９は、本開示の実施の形態１における既存識別子保存部１５０で記憶される既存識別子リストの一例を示す図である。図９において、既存識別子リストは、番号と識別子との組で構成される。番号は、既存識別子リストに登録された順番を表し、識別子は、車両ログ解析サーバ２０に送信済の分割加工ログ（既存分割ログ）に対応するハッシュ値を表す。

　図９において、例えば、番号「１」の識別子は「１１２２３３４４」である。

　［既存分割ログリスト］
　次に、既存分割ログリストについて説明する。図１０は、本開示の実施の形態１における既存分割ログ保存部２３０が記憶する既存分割ログリストの一例を示す図である。図１０において、既存分割ログリストは、番号と識別子とファイルパスと異常有無との組で構成される。番号は、既存分割ログリストに登録された順番を表し、識別子は、既存分割ログに対応するハッシュ値を表し、ファイルパスは、既存分割ログが保存されている場所を表し、異常有無は既存分割ログの異常検知結果を「有」、「無」で示す。異常有無のリスト（異常識別子リスト）は、過去に異常と判定された車両ログを当該車両ログに含まれるＩＤを用いて分割することで生成された異常分割ログ（例えば、番号２または６に対応する既存分割ログ）に対応する識別子のリストである。

　図１０において、例えば、番号「１」の識別子は「１１２２３３４４」であり、既存分割ログのファイルパスは「／ｌｏｇ／２０１８０１０１Ａ．ｌｏｇ」であり、既存分割ログの異常有無が「無」である。

　車両ログ復元部２２０は、車両ログ送信装置１０から車両ログ解析サーバ２０に送信された、ハッシュ値と既存識別子リストに含まれるハッシュ値を比較し、一致するハッシュ値のファイルパスに既存分割ログが格納されているので、この既存分割ログを用いて、車両ログに復元する。

　［車両ログの送信処理のシーケンス］
　次に、車両ログ送信装置１０による車両ログの送信処理について説明する。

　図１１は、本開示の実施の形態１における車両ログ送信装置１０が車両ログを送信する処理シーケンスを示している。

　（Ｓ１１０１）車両ログ送信装置１０の車両ログ取得部１１０は、車両ログを取得し、車両ログ分割加工部１２０へ車両ログを通知する。

　（Ｓ１１０２）車両ログ分割加工部１２０は、車両ログを取得し、車両ログ定義テーブルを用いて、車両ログから分割加工ログを生成する。分割加工ログを生成する際に用いたルールを車両ログ分割加工ルールとする。

　（Ｓ１１０３）車両ログ分割加工部１２０は、車両ログ送信要否判定部１４０へ分割加工ログ通知する。このとき、図示していないが、車両ログ分割加工部１２０は、車両ログ分割加工ルールを車両ログ分割加工ルール保存部１３０に記憶するとともに車両ログ分割加工ルールを車両側通信部１７０に通知する。

　（Ｓ１１０４）車両ログ送信要否判定部１４０は、分割加工ログを取得し、分割加工ログのハッシュ値を生成する。

　（Ｓ１１０５）車両ログ送信要否判定部１４０は、生成したハッシュ値が、既存識別子保存部１５０が記憶する既存識別子リストに含まれている場合、車両側通信部１７０へ分割加工ログのハッシュ値（第一の分割ログに対応する識別子）と分割番号とを通知する。

　（Ｓ１１０６）車両側通信部１７０は、取得したハッシュ値と分割番号とを受領する。

　（Ｓ１１０７）車両ログ送信要否判定部１４０は、生成したハッシュ値が、既存識別子保存部１５０が記憶する既存識別子リストに含まれていない場合、分割加工ログ（第二の分割ログ）を車両側通信部１７０に通知し、分割加工ログ（第二の分割ログ）のハッシュ値を既存識別子登録部１６０に通知する。

　（Ｓ１１０８）既存識別子登録部１６０は、受領したハッシュ値を、既存識別子保存部１５０の既存識別子リストに追加登録する。受領したハッシュ値は、後述する図１２のステップＳ１２０５において、車両ログ解析サーバ２０でも登録されることになり、車両ログ送信装置１０と車両ログ解析サーバ２０との間で共有される。

　（Ｓ１１０９）車両側通信部１７０は、分割加工ログ（第二の分割ログ）を取得する。

　（Ｓ１１１０）車両側通信部１７０は、取得した分割加工ログ（第一の分割ログ）のハッシュ値と分割番号と車両ログ分割加工ルールとを車両ログ解析サーバ２０に送信する。

　（Ｓ１１１１）車両側通信部１７０は、取得した分割加工ログ（第二の分割ログ）と車両ログ分割加工ルールとを車両ログ解析サーバ２０に送信する。

　［車両ログ受信処理のシーケンス］
　次に、車両ログ解析サーバ２０による車両ログの受信処理について説明する。

　図１２は、本開示の実施の形態１における、車両ログ解析サーバ２０が車両ログを受信する処理シーケンスを示している。

　（Ｓ１２０１）サーバ側通信部２１０は、車両ログ送信装置１０から分割加工ログ（第一の分割ログ）のハッシュ値と分割番号と車両ログ分割加工ルールとを受信し、分割加工ログ（第一の分割ログ）のハッシュ値と分割番号と車両ログ分割加工ルールとを車両ログ復元部２２０へ通知する。また、図示していないが、サーバ側通信部２１０は、分割加工ログ（第一の分割ログ）のハッシュ値を異常ログ検出部２７０へ通知する。

　（Ｓ１２０２）車両ログ復元部２２０は、分割加工ログ（第一の分割ログ）のハッシュ値と分割番号と車両ログ分割加工ルールとを取得し、既存分割ログ保存部２３０が記憶する既存分割ログリストから、分割加工ログ（第一の分割ログ）のハッシュ値と同じハッシュ値の既存分割ログのファイルパスを取得し、そのファイルパスから既存分割ログを取得する。

　（Ｓ１２０３）サーバ側通信部２１０は、分割加工ログ（第二の分割ログ）と車両ログ分割加工ルールとを受領し、分割加工ログ（第二の分割ログ）と車両ログ分割加工ルールとを車両ログ復元部２２０へ通知する。

　（Ｓ１２０４）車両ログ復元部２２０は、分割加工ログ（第二の分割ログ）と分割番号と車両ログ分割加工ルールとを受信する。

　（Ｓ１２０５）既存分割ログ登録部２６０は、分割加工ログ（第二の分割ログ）を取得し、分割加工ログ（第二の分割ログ）のハッシュ値を生成し、分割加工ログ（第二の分割ログ）を記憶したファイルパスと生成したハッシュ値とを既存分割ログ保存部２３０の既存分割ログリストに追加登録する。今回サーバ側通信部２１０が受信した分割加工ログ（第二の分割ログ）が、以降は既存分割ログとなる。

　（Ｓ１２０６）車両ログ復元部２２０は、第一の分割ログのハッシュ値と同じハッシュ値の既存分割ログと、分割加工ログ（第二の分割ログ）と、車両ログ分割加工ルールとを用いて、車両ログを復元する。

　［異常ログ検出処理のシーケンス］
　次に、車両ログ解析サーバ２０による異常ログ検出処理について説明する。

　図１３は、本開示の実施の形態１における、車両ログ解析サーバ２０が異常ログを検出する処理シーケンスを示している。

　（Ｓ１３０１）異常ログ検出部２７０は、分割加工ログ（第一の分割ログ）のハッシュ値が、既存分割ログ保存部２３０が記憶する既存分割ログリストの識別子の項のハッシュ値と一致する行を特定し、異常有無が「有」の場合には、異常であると判断して、異常通知部２８０へ異常であることを通知する。

　（Ｓ１３０２）異常通知部２８０は、所定の通知先として、例えば、車両ログ解析サーバ２０の利用者または異常な車両ログを発生した車両のドライバーへ異常を通知する。

　（Ｓ１３０３）異常ログ検出部２７０は、分割加工ログ（第二の分割ログ）に攻撃の痕跡が含まれている場合に、異常として判断して、異常通知部２８０へ異常であることを通知する。

　（Ｓ１３０４）異常通知部２８０は、所定の通知先として、例えば、車両ログ解析サーバ２０の利用者または異常な車両ログを発生した車両のドライバーへ異常を通知する。

　（Ｓ１３０５）異常ログ検出部２７０は、検出した異常を既存分割ログ保存部２３０の既存分割ログリストに更新登録する。具体的には、異常ログ検出部２７０は、分割加工ログ（第二の分割ログ）を記憶したファイルパスと生成したハッシュ値とに異常有無として「有」を対応付けて、既存分割ログリストを更新する。

　［分割加工ログ生成処理のフローチャート］
　次に、車両ログ分割加工部１２０による、ルールに従って車両ログから分割加工ログを生成する処理について説明する。当該ルールは、例えば車両ログ解析システム１００のユーザまたは車両２００のユーザ等による設定である。

　図１４は、本開示の実施の形態１における車両ログ分割加工部１２０の分割加工ログ生成処理のフローチャートを示す。

　（Ｓ１４０１）車両ログ分割加工部１２０は、車両ログ取得部１１０から車両ログを取得する。

　（Ｓ１４０２）車両ログ分割加工部１２０は、車両ログをＩＤごとに分割するか否かをルールに応じて判断する。車両ログ分割加工部１２０は、車両ログをＩＤごとに分割すると判断する場合（ＹＥＳの場合）、加工項目「分割」、加工有無「有効」として車両ログ分割加工ルールを生成する。車両ログ分割加工部１２０は、車両ログのＩＤを加工前の値とし、分割番号として通し番号を、加工後の値としてリスト化する。次に、車両ログ分割加工部１２０は、ステップＳ１４０３の処理を実施する。車両ログ分割加工部１２０は、車両ログをＩＤごとに分割しないと判断する場合（ＮＯの場合）、加工項目「分割」、加工有無「無効」として車両ログ分割加工ルールを生成する。次に、車両ログ分割加工部１２０は、ステップＳ１４０４の処理を実施する。

　車両ログ分割加工部１２０が、車両ログをＩＤごとに分割すると判断する場合とは、例えば、上記ルールが車両ログをＩＤごとに分割するというルール（設定）になっていることを意味する。また、車両ログ分割加工部１２０が、車両ログをＩＤごとに分割しないと判断する場合とは、例えば、上記ルールが車両ログをＩＤごとに分割しないというルール（設定）になっていることを意味する。ステップＳ１４０２での判断の後に生成される車両ログ分割加工ルールは、図６における「分割」の行に対応する。

　（Ｓ１４０３）車両ログ分割加工部１２０は、車両ログをＩＤごとに分割し、分割番号ごとに分割ログを生成する。

　（Ｓ１４０４）車両ログ分割加工部１２０は、車両ログの「時刻」を加工するか否かをルールに応じて判断する。車両ログ分割加工部１２０は、車両ログの「時刻」を加工すると判断する場合（ＹＥＳの場合）、Ｓ１４０５の処理を実施する。車両ログ分割加工部１２０は、車両ログの「時刻」を加工しないと判断する場合（ＮＯの場合）、加工項目「時刻インデックス」、加工有無「無効」として車両ログ分割加工ルールを生成する。次に、車両ログ分割加工部１２０は、ステップＳ１４０７の処理を実施する。

　（Ｓ１４０５）車両ログ分割加工部１２０は、加工項目「時刻インデックス」、加工有無「有効」とし、車両ログの時刻を加工前の値とし、時刻インデックスの通し番号を加工後の値として時刻リストを生成する。

　車両ログ分割加工部１２０が、車両ログの「時刻」を加工すると判断する場合とは、例えば、上記ルールが車両ログの「時刻」を加工するというルール（設定）になっていることを意味する。また、車両ログ分割加工部１２０が、車両ログの「時刻」を加工しないと判断する場合とは、例えば、上記ルールが車両ログの「時刻」を加工しないというルール（設定）になっていることを意味する。ステップＳ１４０５で生成される車両ログ分割加工ルールは、図６における「時刻インデックス」の行に対応し、当該車両ログ分割加工ルールは、時刻情報と時刻インデックス情報との対応関係を示す時刻リストの一例である。当該時刻リストによって、例えば、時刻「１０：１０：１０」と時刻インデックス「Ｔ１１」とが対応していることがわかる。

　（Ｓ１４０６）車両ログ分割加工部１２０は、時刻リストにおける加工前の値と加工後の値とを参照し、車両ログの時刻を加工後の値である時刻インデックスの通し番号に置換する。

　（Ｓ１４０７）車両ログ分割加工部１２０は、車両ログの「データ」を小さい順にソートするか否かをルールに応じて判断する。車両ログ分割加工部１２０は、車両ログの「データ」をソートすると判断する場合（ＹＥＳの場合）、加工項目「ソート（昇順）」、加工有無「有効」、加工前の値「－」、加工後の値「－」として車両ログ分割加工ルールを生成する。次に、車両ログ分割加工部１２０は、ステップＳ１４０８の処理を実施する。車両ログ分割加工部１２０は、車両ログの「データ」をソートしないと判断する場合（ＮＯの場合）、加工項目「ソート（昇順）」、加工有無「無効」として車両ログ分割加工ルールを生成する。次に、車両ログ分割加工部１２０は、ステップＳ１４１１の処理を実施する。

　車両ログ分割加工部１２０が、車両ログの「データ」をソートすると判断する場合とは、例えば、上記ルールが車両ログの「データ」をソートするというルール（設定）になっていることを意味する。また、車両ログ分割加工部１２０が、車両ログの「データ」をソートしないと判断する場合とは、例えば、上記ルールが車両ログの「データ」をソートしないというルール（設定）になっていることを意味する。ステップＳ１４０７での判断の後に生成される車両ログ分割加工ルールは、図６における「ソート（昇順）」の行に対応する。

　（Ｓ１４０８）車両ログ分割加工部１２０は、車両ログのデータを小さい順に並び替える。

　（Ｓ１４０９）車両ログ分割加工部１２０は、車両ログの所定の「データ」を加工するか否かをルールに応じて判断する。車両ログ分割加工部１２０は、車両ログの所定の「データ」を加工すると判断する場合（ＹＥＳの場合）、加工項目「データ置換」、加工有無「有効」、加工前の値「カウンタ」、加工後の値「００」、加工前の値「チェックサム」、加工後の値「００」として車両ログ分割加工ルールを生成する。次に、車両ログ分割加工部１２０は、ステップＳ１４１０の処理を実施する。車両ログ分割加工部１２０は、車両ログの所定の「データ」を加工しないと判断する場合（ＮＯの場合）、加工項目「データ置換」、加工有無「無効」として車両ログ分割加工ルールを生成する。次に、車両ログ分割加工部１２０は、ステップＳ１４１１の処理を実施する。

　車両ログ分割加工部１２０が、車両ログの所定の「データ」を加工すると判断する場合とは、例えば、上記ルールが車両ログの所定の「データ」を加工するというルール（設定）になっていることを意味する。また、車両ログ分割加工部１２０が、車両ログの所定の「データ」を加工しないと判断する場合とは、例えば、上記ルールが車両ログの所定の「データ」を加工しないというルール（設定）になっていることを意味する。ステップＳ１４０９での判断の後に生成される車両ログ分割加工ルールは、図６における「データ置換」の行に対応する。

　（Ｓ１４１０）車両ログ分割加工部１２０は、車両ログのカウンタの値を「００」に、チェックサムの値を「００」に置換する。

　（Ｓ１４１１）車両ログ分割加工部１２０は、車両ログを分割および加工した分割加工ログを記憶する。

　［分割加工ログ送信処理のフローチャート］
　次に、車両ログ送信要否判定部１４０による、分割加工ログを送信するか否かを決定する処理について説明する。

　図１５は、本開示の実施の形態１における車両ログ送信要否判定部１４０の分割加工ログ送信処理のフローチャートを示す。

　（Ｓ１５０１）車両ログ送信要否判定部１４０は、車両ログ分割加工部１２０から分割番号ごとに分割加工ログを取得し、取得した分割加工ログを、分割加工ログ［ｉ］とする。ここで、ｉは、分割番号を示し、１からＮの整数をとり、Ｎは車両ログの分割数を示す。

　（Ｓ１５０２）車両ログ送信要否判定部１４０は、ｉを１とする。

　（Ｓ１５０３）車両ログ送信要否判定部１４０は、分割加工ログ［ｉ］のハッシュ値を生成する。

　（Ｓ１５０４）車両ログ送信要否判定部１４０は、生成したハッシュ値が既存識別子保存部１５０の既存識別子リストの識別子（ハッシュ値）と一致するか否かを判定する。言い換えると、車両ログ送信要否判定部１４０は、生成したハッシュ値が既存識別子リストに存在するか否かを判定する。車両ログ送信要否判定部１４０は、生成したハッシュ値が既存識別子リストに存在する場合（ＹＥＳの場合）に、ステップＳ１５０５の処理を実施し、生成したハッシュ値が既存識別子リストに存在しない場合（ＮＯの場合）に、ステップＳ１５０７の処理を実施する。

　（Ｓ１５０５）車両ログ送信要否判定部１４０は、対象の分割加工ログ［ｉ］を車両ログ解析サーバ２０へ送信する必要がない第一の分割ログと判断する。

　（Ｓ１５０６）車両ログ送信要否判定部１４０は、対象の分割加工ログ［ｉ］に対応するハッシュ値を生成し、生成したハッシュ値を車両ログ解析サーバ２０へ送信するように車両側通信部１７０に通知する。

　（Ｓ１５０７）車両ログ送信要否判定部１４０は、対象の分割加工ログ［ｉ］を車両ログ解析サーバ２０へ送信する必要がある第二の分割ログと判断する。

　（Ｓ１５０８）車両ログ送信要否判定部１４０は、対象の分割加工ログ［ｉ］を車両ログ解析サーバ２０へ送信するように車両側通信部１７０に通知する。

　（Ｓ１５０９）車両ログ送信要否判定部１４０は、ｉがＮか否かを判定し、ｉがＮである場合（ＹＥＳの場合）、処理を終了し、ｉがＮでない場合（ＮＯの場合）、ステップＳ１５１０の処理を実施する。

　（Ｓ１５１０）車両ログ送信要否判定部１４０は、ｉに１を加算する。ステップＳ１５０９およびステップＳ１５１０によって、車両ログの分割数分、ステップＳ１５０３からステップＳ１５０８での処理を行うことができる。

　［車両ログ復元処理のフローチャート］
　次に、車両ログ復元部２２０による、受信した分割加工ログ（第二の分割ログ）またはハッシュ値（第一の分割ログに対応する識別子）を車両ログに復元する処理について説明する。

　図１６は、本開示の実施の形態１における車両ログ復元部２２０の車両ログ復元処理のフローチャートを示す。車両ログ送信装置１０から取得した分割加工ログを、分割加工ログ［ｉ］とする。ここで、ｉは、分割番号を示し、１からＮの整数をとり、Ｎは車両ログの分割数を示す。

　（Ｓ１６０１）車両ログ復元部２２０は、サーバ側通信部２１０からＮ個分の分割加工ログ［ｉ］または分割加工ログ［ｉ］のハッシュ値を取得する。

　（Ｓ１６０２）車両ログ復元部２２０は、ｉを１とする。

　（Ｓ１６０３）車両ログ復元部２２０は、取得したのはハッシュ値か否かを判定する。取得したものが、分割加工ログ［ｉ］のハッシュ値である場合（ＹＥＳの場合）、車両ログ復元部２２０は、ステップＳ１６０４の処理を実施する。取得したものが、分割加工ログ［ｉ］のハッシュ値でない場合、すなわち、取得したものが分割加工ログ［ｉ］の場合（ＮＯの場合）、車両ログ復元部２２０は、ステップＳ１６０５の処理を実施する。

　（Ｓ１６０４）車両ログ復元部２２０は、分割加工ログ［ｉ］のハッシュ値と一致する識別子を既存分割ログ保存部２３０の既存分割ログリストから見つけ、識別子に対応するファイルパスから既存分割ログ［ｉ］を取得する。

　（Ｓ１６０５）車両ログ復元部２２０は、車両ログ分割加工ルール保存部２４０が記憶する車両ログ分割加工ルールの加工項目「時刻インデックス」の加工有無が「有効」であるか否かを判定する。車両ログ復元部２２０は、「有効」であると判断する場合（ＹＥＳの場合）、ステップＳ１６０６の処理を実施し、「有効」でないと判断する場合（ＮＯの場合）、ステップＳ１６０８の処理を実施する。

　（Ｓ１６０６）車両ログ復元部２２０は、分割加工ログ［ｉ］または既存分割ログ［ｉ］の時刻（時刻インデックス）が、車両ログ分割加工ルールの加工項目「時刻インデックス」の加工後の値が一致すれば、分割加工ログ［ｉ］または既存分割ログ［ｉ］の時刻を車両ログ分割加工ルールの加工項目「時刻インデックス」の加工前の値に置き換える。

　（Ｓ１６０７）車両ログ復元部２２０は、分割加工ログ［ｉ］または既存分割ログ［ｉ］を時刻の早い順番に並び替える。ステップＳ１６０６およびステップＳ１６０７によって、分割加工ログ［ｉ］または既存分割ログ［ｉ］は、車両ログ送信装置１０の車両ログ分割加工部１２０による加工が行われる前の状態であって、ＩＤを用いて分割された状態の分割ログ［ｉ］に戻る。

　（Ｓ１６０８）車両ログ復元部２２０は、ステップＳ１６０６およびステップＳ１６０７での処理がなされた後の分割加工ログ［ｉ］を分割ログ［ｉ］として記憶する。

　（Ｓ１６０９）車両ログ復元部２２０は、ｉがＮか否かを判定する。ｉがＮである場合（ＹＥＳの場合）、車両ログ復元部２２０はＳ１６１１の処理を実施し、ｉがＮでない場合（ＮＯの場合）、車両ログ復元部２２０はＳ１６１０の処理を実施する。

　（Ｓ１６１０）車両ログ復元部２２０は、ｉに１を加算する。ステップＳ１６０９およびステップＳ１６１０によって、車両ログの分割数分、ステップＳ１６０３からステップＳ１６０８での処理を行うことができる。

　（Ｓ１６１１）車両ログ復元部２２０は、Ｎ個の分割ログ［ｉ］を、分割番号ｉが小さい順に結合し、時刻が早い順に並び替える。

　（Ｓ１６１２）車両ログ復元部２２０は、ステップＳ１６１１での処理がなされた後のＮ個の分割ログ［ｉ］を車両ログとして記憶する。

　（他の実施の形態）
　以上のように、本開示に係る技術の例示として実施の形態１を説明した。しかしながら、本開示に係る技術は、これに限定されず、適宜、変更、置き換え、付加、省略等を行った実施の形態にも適用可能である。例えば、以下のような変形例も本開示の一実施態様に含まれる。

　（１）上記実施の形態では、自動車等の車両に対するセキュリティ対策として説明したが、本開示の適用範囲はこれに限られない。本開示は、自動車に限らず、建機、農機、船舶、鉄道、飛行機などのモビリティにも適用してもよい。

　（２）上記の実施の形態では、車両ログ送信装置１０は、車両内に設置されているとして説明したが、車両ログ送信装置１０は、複数の車両ログを取りまとめて送信するエッジサーバであってもよいし、車両ログを収集しているクラウドサーバであってもよい。

　（３）上記の実施の形態では、車両ログ解析サーバ２０は異常ログ検出部２７０と異常通知部２８０を備えると説明したが、異常ログ検出部２７０と異常通知部２８０は必須の構成要素ではない。車両ログ解析サーバ２０が異常ログ検出部２７０と異常通知部２８０を備えない場合、例えば、収集した車両ログは人手によって解析され、攻撃の痕跡があった場合に異常として検出される。

　（４）上記の実施の形態では、車両ログは、ＥＣＵのシステム動作ログまたは、ＣＡＮ、ＣＡＮ－ＦＤ、Ｅｔｈｅｒｎｅｔ、ＦｌｅｘＲａｙに従うネットワークログであるとして説明したが、ＥＣＵはＩＶＩ（Ｉｎ－Ｖｅｈｉｃｌｅ　Ｉｎｆｏｔａｉｍｅｎｔ　Ｓｙｓｔｅｍ）をであってもよいし、センサ装置であってもよいし、ネットワークはＬＩＮやＭＯＳＴであってもよいし、それぞれを組み合わせた構成であってもよい。

　（５）上記の実施の形態では、車両ログ送信装置１０と車両ログ解析サーバ２０は、車両ログ分割加工ルールを事前に共有すると説明したが、車両ログ分割加工ルールは車両ログ送信装置１０が車両ログを送信する都度に更新されてもよいし、定期的に車両ログ解析サーバ２０から更新されてもよい。この場合、既存分割ログ保存部２３０は、車両ログ送信装置１０を搭載する車両の番号や、車種に応じて異なる車両ログ分割加工ルールを保持しても良い。

　（６）上記の実施の形態では、既存識別子保存部１５０は、既存識別子リストを事前に車両ログ送信装置１０と車両ログ解析サーバ２０の間で共有すると説明したが、車両ログ分割加工ルールは車両ログ送信装置１０が車両ログを送信する都度に更新されてもよいし、定期的に車両ログ解析サーバ２０から更新されてもよい。

　（７）上記の実施の形態では、車両側通信部１７０は、分割加工ログまたは分割加工ログのハッシュ値を送信すると説明したが、ＬＨＡやＺＩＰ、７ｚ、ＲＡＲ、ＡＦＡ、ＣＡＢ、ＧＣＡ、ＤＧＣＡ、ＳｔｕｆｆＩｔ、Ｃｏｍｐａｃｔ　Ｐｒｏ、ｐａｃｋ、ｃｏｍｐｒｅｓｓ、ｂｚｉｐ、ｂｚｉｐ２、Ｚｓｔａｎｄａｒｄなど圧縮アルゴリズムを用いて圧縮したデータを送信してもよい。

　（８）上記の実施の形態では、車両ログ送信要否判定部１４０は、車両ログ送信装置１０に保存されている既存識別子リストを参照して、分割ログを送信する必要があるかないかを判断するとして説明したが、既存識別子リストは車両ログ解析サーバ２０に保存されてもよい。この場合、車両ログ送信要否判定部１４０は、分割加工ログの識別子を車両ログ解析サーバ２０へ送信し、車両ログ解析サーバ２０が保持する既存分割ログの識別子のうち、いずれか一つの既存分割ログの識別子と一致した場合に、分割加工ログを送信不要であるとして車両ログ送信要否判定部１４０に応答し、車両ログ送信要否判定部１４０は分割加工ログの識別子を送信し、既存分割ログの識別子と一致しない場合に、分割加工ログを送信必要であるとして車両ログ送信要否判定部１４０に応答し、車両ログ送信要否判定部１４０は分割加工ログを送信する。また、車両ログ解析サーバ２０は複数車両の既存ログリストを車両の種別ごとに保持してもよい。これにより、分割加工ログと既存分割ログが一致する可能性をより高くできる。

　（９）上記の実施の形態では、分割加工ログの識別子として、ハッシュ値を用いると説明したが、複数のハッシュ関数を用いて複数のハッシュ値の組み合わせを識別子としてもよいし、ハッシュ値とデータサイズの組を識別子としてもよい。これにより、異なるログの１つのハッシュ値が一致する場合であっても、識別子とログを対応づけることができる。

　（１０）上記の実施の形態では、分割加工ログが既存識別子リストと一致しない場合であっても、時刻情報を時刻インデックス情報に置き換え、ソートし、データ置換を実施すると説明したが、必ずしも実施する必要はない。

　（１１）上記の実施の形態では、分割加工ログは、時刻または時刻インデックスを含み、データは所定値に置換すると説明したが、異常ログ検出部２７０が異常なログを検出するために必要な情報に限定してもよい。例えば、異常ログ検出部２７０が、特定のデータ領域の値が所定値以上の場合に異常として検出する場合、時刻情報や詳細なデータは不要であり、時刻情報を削除またはデータを丸めるなどの処理を分割加工ログに施してもよい。また、異常ログ検出部２７０が機械学習を用いて、異常を検出する場合、機械学習で用いる時系列の差分情報などの特徴量を分割加工ログのデータとしてもよい。

　（１２）上記の実施の形態では、異常通知部２８０は、異常を車両ログ解析サーバ２０の利用者またはドライバーへ通知するとして説明したが、通知先は、警察でもよいし、交通省でもよいし、脆弱性情報の共有機関でもよい。

　（１３）上記の実施の形態では、車両ログ分割加工ルールは、車両ログ分割加工部１２０が車両ログから分割加工ログを生成する際に作成され、車両ログ送信装置１０と車両ログ解析サーバ２０の間で共有すると説明したが、車両ログ分割加工ルールの加工項目が「分割」、「ソート（昇順）」または、「データ置換」である行において、「加工有無」と「加工前の値」と「加工後の値」は分割加工ログ生成時ではなく、事前に共有されてもよい。ただし、加工項目が「時刻インデックス」である「加工前の値」と「加工後の値」は、事前に共有できないため、車両ログ分割加工部１２０が分割加工ログを生成する際に作成し、動的に車両ログ解析サーバ２０へ共有される必要がある。

　（１４）上記実施の形態における各装置を構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ　Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしても良い。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等を含んで構成されるコンピュータシステムである。ＲＡＭには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。また、上記各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部または全部を含むように１チップ化されても良い。また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路または汎用プロセッサで実現しても良い。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用しても良い。更には、半導体技術の進歩または派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行っても良い。バイオ技術の適用等が可能性としてあり得る。

　（１５）上記各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしても良い。ＩＣカードまたはモジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。ＩＣカードまたはモジュールは、上記の超多機能ＬＳＩを含むとしても良い。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、ＩＣカードまたはモジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。

　（１６）また、本開示は、車両ログ送信装置１０、車両ログ解析サーバ２０および車両ログ解析システム１００として実現できるだけでなく、車両ログ解析システム１００を構成する各要素が行う処理のステップを含む車両ログ送受信方法として実現できる。

　具体的には、車両ログ送信装置１０による車両ログ送信方法と車両ログ解析サーバ２０による車両ログ受信方法とから構成され、データの種類を示すＩＤがそれぞれ対応付けられている複数のデータを含む車両ログを車両ログ送信装置１０から車両ログ解析サーバ２０へ送信する車両ログ送受信方法であって、車両ログ送信装置１０は、車両ログ送信装置１０と車両ログ解析サーバ２０との間で共有されている既存の車両ログを当該既存の車両ログに含まれるＩＤを用いて分割することで生成された既存分割ログに対応する識別子のリストである既存識別子リストを記憶する既存識別子保存部１５０を備え、車両ログ解析サーバ２０は、既存分割ログと、既存分割ログに対応する識別子とのリストである既存分割ログリストを記憶する既存分割ログ保存部２３０を備え、車両ログ送信方法は、図１１に示されるように、車両ログを取得する車両ログ取得ステップ（ステップＳ１１０１）と、取得された車両ログを当該車両ログに含まれるＩＤを用いて分割することで、１以上の分割ログを生成する車両ログ分割加工ステップ（ステップＳ１１０２）と、１以上の分割ログのそれぞれに対して識別子を生成し、生成した識別子のうち、既存識別子リストに存在する識別子に対応する分割ログを第一の分割ログと判断し、既存識別子リストに存在しない識別子に対応する分割ログを第二の分割ログと判断する車両ログ送信要否判定ステップ（ステップＳ１１０４、Ｓ１１０５、Ｓ１１０７）と、第一の分割ログに対応する識別子を車両ログ解析サーバへ送信し、前記第二の分割ログを前記車両ログ解析サーバへ送信する車両側通信ステップ（ステップＳ１１１０、Ｓ１１１１）と、を含み、車両ログ受信方法は、図１２に示されるように、車両側通信ステップにて送信された第一の分割ログに対応する識別子と第二の分割ログとを受信するサーバ側通信ステップ（ステップＳ１２０１、Ｓ１２０３）と、第一の分割ログに対応する識別子を受信した場合に既存分割ログリストを参照して既存分割ログリストにおいて当該識別子に対応する既存分割ログを取得し、第二の分割ログと既存分割ログとを結合して車両ログを復元する車両ログ復元ステップ（ステップＳ１２０２、Ｓ１２０４、Ｓ１２０６）と、復元された車両ログを記憶する車両ログ保存ステップ（ステップＳ１２０６）と、を含む。

　（１７）本開示の一態様としては、車両ログ送受信方法をコンピュータにより実現するプログラム（コンピュータプログラム）であるとしても良いし、コンピュータプログラムからなるデジタル信号であるとしても良い。また、本開示の一態様としては、コンピュータプログラムまたはデジタル信号をコンピュータで読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕｅ―ｒａｙ（登録商標）Ｄｉｓｃ）、半導体メモリ等に記録したものとしても良い。また、これらの記録媒体に記録されているデジタル信号であるとしても良い。また、本開示の一態様としては、コンピュータプログラムまたはデジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしても良い。また、本開示の一態様としては、マイクロプロセッサとメモリを備えたコンピュータシステムであって、メモリは、上記コンピュータプログラムを記録しており、マイクロプロセッサは、コンピュータプログラムに従って動作するとしても良い。また、プログラム若しくはデジタル信号を記録媒体に記録して移送することにより、または、プログラム若しくはデジタル信号を、ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。

　（１８）上記実施の形態および上記変形例で示した各構成要素および機能を任意に組み合わせることで実現される形態も本開示の範囲に含まれる。

　本開示の車載ネットワークシステムにおける車両ログ解析システムによれば、車両と車両の外部のサーバの間で送信される車両ログのデータ量を削減することができる。その結果、大量の車両ネットワークログの通信が可能な資源を準備せずとも、車両ネットワークログを外部のサーバへ送信することができ、車両の外部サーバを用いて車両のネットワークへの不正なデータの侵入を検出することができ、自動車の安全性に貢献できる。

　１０　車両ログ送信装置
　２０　車両ログ解析サーバ
　３０ａ、３０ｂ、３０ｃ　ＥＣＵ
　４０ａ　センサ
　４０ｂ　エンジン
　４０ｃ　ステアリング
　５０　外部ネットワーク
　６０　車両ネットワーク
　１００　車両ログ解析システム
　１１０　車両ログ取得部
　１２０　車両ログ分割加工部
　１３０、２４０　車両ログ分割加工ルール保存部
　１４０　車両ログ送信要否判定部
　１５０　既存識別子保存部
　１６０　既存識別子登録部
　１７０　車両側通信部
　２００　車両
　２１０　サーバ側通信部
　２２０　車両ログ復元部
　２３０　既存分割ログ保存部
　２５０　車両ログ保存部
　２６０　既存分割ログ登録部
　２７０　異常ログ検出部
　２８０　異常通知部
　３００　車両システム

Claims

　データの種類を示すＩＤがそれぞれ対応付けられている複数のデータを含む車両ログを車両ログ解析サーバへ送信する車両ログ送信装置であって、
　前記車両ログを取得する車両ログ取得部と、
　取得された前記車両ログを当該車両ログに含まれるＩＤを用いて分割することで、１以上の分割ログを生成する車両ログ分割加工部と、
　前記車両ログ送信装置と前記車両ログ解析サーバとの間で共有されている既存の車両ログを当該既存の車両ログに含まれるＩＤを用いて分割することで生成された既存分割ログに対応する識別子のリストである既存識別子リストを記憶する既存識別子保存部と、
　前記１以上の分割ログのそれぞれに対して識別子を生成し、生成した識別子のうち、前記既存識別子リストに存在する識別子に対応する分割ログを第一の分割ログと判断し、前記既存識別子リストに存在しない識別子に対応する分割ログを第二の分割ログと判断する車両ログ送信要否判定部と、
　前記第一の分割ログに対応する識別子を前記車両ログ解析サーバへ送信し、前記第二の分割ログを前記車両ログ解析サーバへ送信する車両側通信部と、を備える、
　車両ログ送信装置。
　前記車両ログ分割加工部は、取得された前記車両ログを当該車両ログに含まれるＩＤごとに分割することで、前記１以上の分割ログを生成し、
　前記既存識別子保存部は、前記既存の車両ログを当該既存の車両ログに含まれるＩＤごとに分割することで生成された前記既存分割ログに対応するリストである前記既存識別子リストを記憶する、
　請求項１記載の車両ログ送信装置。
　前記車両ログは、所定のＩＤを起点とする複数のＩＤを１周期として当該複数のＩＤが周期的に繰り返されるように並べられた前記複数のデータを含み、
　前記車両ログ分割加工部は、取得された前記車両ログを当該車両ログに含まれる前記所定のＩＤを起点とする複数のＩＤごとに分割することで、前記１以上の分割ログを生成し、
　前記既存識別子保存部は、前記既存の車両ログを当該既存の車両ログに含まれる前記所定のＩＤを起点とする複数のＩＤごとに分割することで生成された前記既存分割ログに対応する識別子のリストである前記既存識別子リストを記憶する、
　請求項１記載の車両ログ送信装置。
　前記車両ログは、時刻情報がそれぞれ対応付けられている前記複数のデータを含み、
　前記車両ログ分割加工部は、さらに、前記１以上の分割ログに含まれる時刻情報を時刻インデックス情報に置換する処理を実施し、
　前記既存識別子保存部は、さらに、時刻情報が時刻インデックス情報に置換された前記既存分割ログに対応する識別子のリストである前記既存識別子リストを記憶し、
　前記車両側通信部は、さらに、前記車両ログ解析サーバへ時刻情報と時刻インデックス情報との対応関係を示す時刻リストを送信する、
　請求項１から３のいずれか１項に記載の車両ログ送信装置。
　前記車両ログ分割加工部は、さらに、前記１以上の分割ログに含まれるＩＤの値またはデータの値の大きさに応じて前記１以上の分割ログを並び替える処理を実施し、
　前記既存識別子保存部は、さらに、ＩＤの値またはデータの値の大きさに応じて並び替えられた前記既存分割ログに対応する識別子のリストである前記既存識別子リストを記憶する、
　請求項４記載の車両ログ送信装置。
　前記車両ログ分割加工部は、さらに、前記１以上の分割ログに含まれるデータの値を所定値に置換する置換処理または前記データの値を丸める端数処理を実施し、
　前記既存識別子保存部は、さらに、前記置換処理または前記端数処理が実施された前記既存分割ログに対応する識別子のリストである前記既存識別子リストを記憶する、
　請求項１から５のいずれか１項に記載の車両ログ送信装置。
　前記車両ログ送信装置は、さらに、前記車両ログ送信要否判定部が前記第二の分割ログと判断した分割ログに対応する識別子を前記既存識別子リストに登録する既存識別子登録部を備える、
　請求項１から６のいずれか１項に記載の車両ログ送信装置。
　データの種類を示すＩＤがそれぞれ対応付けられている複数のデータを含む車両ログを車両ログ送信装置から受信する車両ログ解析サーバであって、
　前記車両ログ送信装置から、前記車両ログを当該車両ログに含まれるＩＤを用いて分割することで生成された１以上の分割ログのうちの第一の分割ログに対応する識別子と、前記１以上の分割ログのうちの前記第一の分割ログを除く第二の分割ログとを受信するサーバ側通信部と、
　前記車両ログ送信装置と前記車両ログ解析サーバとの間で共有されている既存の車両ログを当該既存の車両ログに含まれるＩＤを用いて分割することで生成された既存分割ログと、前記既存分割ログに対応する識別子とのリストである既存分割ログリストを記憶する既存分割ログ保存部と、
　前記第一の分割ログに対応する識別子を受信した場合に前記既存分割ログリストを参照して前記既存分割ログリストにおいて当該識別子に対応する既存分割ログを取得し、前記第二の分割ログと前記既存分割ログとを結合して車両ログを復元する車両ログ復元部と、
　復元された前記車両ログを記憶する車両ログ保存部と、を備える、
　車両ログ解析サーバ。
　前記サーバ側通信部は、前記車両ログ送信装置から、前記車両ログを当該車両ログに含まれるＩＤごとに分割することで生成された前記１以上の分割ログのうちの前記第一の分割ログに対応する識別子と、前記１以上の分割ログのうちの前記第二の分割ログとを受信し、
　前記既存分割ログ保存部は、前記既存の車両ログを当該既存の車両ログに含まれるＩＤごとに分割することで生成された前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである前記既存分割ログリストを記憶する、
　請求項８記載の車両ログ解析サーバ。
　前記車両ログは、所定のＩＤを起点とする複数のＩＤを１周期として当該複数のＩＤが周期的に繰り返されるように並べられた前記複数のデータを含み、
　前記サーバ側通信部は、前記車両ログ送信装置から、前記車両ログを当該車両ログに含まれる前記所定のＩＤを起点とする複数のＩＤごとに分割することで生成された前記１以上の分割ログのうちの前記第一の分割ログに対応する識別子と、前記１以上の分割ログのうちの前記第二の分割ログとを受信し、
　前記既存分割ログ保存部は、前記既存の車両ログを当該既存の車両ログに含まれる前記所定のＩＤを起点とする複数のＩＤごとに分割することで生成された前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである前記既存分割ログリストを記憶する、
　請求項８記載の車両ログ解析サーバ。
　前記車両ログ解析サーバは、さらに、復元された前記車両ログを監視し、当該車両ログに攻撃の痕跡が含まれる場合に異常ログとして検出する異常ログ検出部と、
　所定の通知先に車両が異常であることを通知する異常通知部と、を備える、
　請求項８から１０のいずれか１項に記載の車両ログ解析サーバ。
　前記異常ログ検出部は、さらに、過去に異常と判定された車両ログを当該車両ログに含まれるＩＤを用いて分割することで生成された異常分割ログに対応する識別子のリストである異常識別子リストを保持し、前記サーバ側通信部が前記第一の分割ログに対応する識別子を受信した場合、当該識別子が前記異常識別子リストに含まれる場合に異常として検出し、前記サーバ側通信部が前記第二の分割ログを受信した場合に、前記第二の分割ログに攻撃の痕跡が含まれるときには、前記第二の分割ログを異常ログとして検出し、当該異常ログを当該異常ログに含まれるＩＤを用いて分割することで生成された異常分割ログを前記異常識別子リストに登録する、
　請求項１１記載の車両ログ解析サーバ。
　前記車両ログは、時刻情報がそれぞれ対応付けられている前記複数のデータを含み、
　前記サーバ側通信部は、前記車両ログ送信装置から、時刻情報が時刻インデックス情報に置換された前記１以上の分割ログのうちの前記第一の分割ログに対応する識別子と、前記１以上の分割ログのうちの前記第二の分割ログと、時刻情報と時刻インデックス情報との対応関係を示す時刻リストとを受信し、
　前記既存分割ログ保存部は、さらに、時刻情報が時刻インデックス情報に置換された前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである前記既存分割ログリストを記憶し、
　前記車両ログ復元部は、前記第一の分割ログに対応する識別子を受信した場合に前記既存分割ログリストを参照して前記既存分割ログリストにおいて当該識別子に対応する前記既存分割ログを取得し、前記時刻リストを参照して前記既存分割ログに含まれる時刻インデックス情報を時刻情報に置換し、前記第二の分割ログと前記既存分割ログとを結合して車両ログを復元する、
　請求項８から１２のいずれか１項に記載の車両ログ解析サーバ。
　前記サーバ側通信部は、ＩＤの値またはデータの値の大きさに応じて並び替えられた前記１以上の分割ログのうちの前記第一の分割ログに対応する識別子と、前記１以上の分割ログのうちの前記第二の分割ログとを受信し、
　前記既存分割ログ保存部は、さらに、ＩＤの値またはデータの値の大きさに応じて並び替えられた前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである前記既存分割ログリストを記憶し、
　前記車両ログ復元部は、前記第一の分割ログに対応する識別子を受信した場合に前記既存分割ログリストを参照して前記既存分割ログリストにおいて当該識別子に対応する前記既存分割ログを取得し、前記時刻リストを参照して前記既存分割ログの時刻インデックス情報を時刻情報に置換し、置換された前記時刻情報を参照して前記既存分割ログを時刻が早い順に並び替え、前記第二の分割ログと前記既存分割ログとを結合して車両ログを復元する、
　請求項１３記載の車両ログ解析サーバ。
　前記サーバ側通信部は、データの値を所定値に置換する置換処理または前記データの値を丸める端数処理が実施された前記１以上の分割ログのうちの前記第一の分割ログに対応する識別子と、前記１以上の分割ログのうちの前記第二の分割ログとを受信し、
　前記既存分割ログ保存部は、さらに、前記置換処理または前記端数処理が実施された前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである前記既存分割ログリストを記憶する、
　請求項８から１４のいずれか１項に記載の車両ログ解析サーバ。
　前記車両ログ解析サーバは、さらに、前記第二の分割ログを受信した場合に、前記第二の分割ログに対応する識別子を生成し、前記第二の分割ログと当該識別子とを前記既存分割ログリストに登録する既存分割ログ登録部を備える、
　請求項８から１５のいずれか１項に記載の車両ログ解析サーバ。
　車両ログ送信装置と車両ログ解析サーバとから構成され、データの種類を示すＩＤがそれぞれ対応付けられている複数のデータを含む車両ログを前記車両ログ送信装置から前記車両ログ解析サーバへ送信する車両ログ解析システムであって、
　前記車両ログ送信装置は、
　前記車両ログを取得する車両ログ取得部と、
　取得された前記車両ログを当該車両ログに含まれるＩＤを用いて分割することで、１以上の分割ログを生成する車両ログ分割加工部と、
　前記車両ログ送信装置と前記車両ログ解析サーバの間で共有されている既存の車両ログを当該既存の車両ログに含まれるＩＤを用いて分割することで生成された既存分割ログに対応する識別子のリストである既存識別子リストを記憶する既存識別子保存部と、
　前記１以上の分割ログのそれぞれに対して識別子を生成し、生成した識別子のうち、前記既存識別子リストに存在する識別子に対応する分割ログを第一の分割ログと判断し、前記既存識別子リストに存在しない識別子に対応する分割ログを第二の分割ログと判断する車両ログ送信要否判定部と、
　前記第一の分割ログに対応する識別子を前記車両ログ解析サーバへ送信し、前記第二の分割ログを前記車両ログ解析サーバへ送信する車両側通信部と、を備え、
　前記車両ログ解析サーバは、
　前記車両側通信部から送信された前記第一の分割ログに対応する識別子と前記第二の分割ログとを受信するサーバ側通信部と、
　前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである既存分割ログリストを記憶する既存分割ログ保存部と、
　前記第一の分割ログに対応する識別子を受信した場合に前記既存分割ログリストを参照して前記既存分割ログリストにおいて当該識別子に対応する既存分割ログを取得し、前記第二の分割ログと前記既存分割ログとを結合して車両ログを復元する車両ログ復元部と、
　復元された車両ログを記憶する車両ログ保存部と、を備える、
　車両ログ解析システム。
　前記車両ログ分割加工部は、取得された前記車両ログを当該車両ログに含まれるＩＤごとに分割することで、前記１以上の分割ログを生成し、
　前記既存識別子保存部は、前記既存の車両ログを当該既存の車両ログに含まれるＩＤごとに分割することで生成された前記既存分割ログに対応するリストである前記既存識別子リストを記憶し、
　前記サーバ側通信部は、前記車両側通信部から送信された、前記１以上の分割ログのうちの前記第一の分割ログに対応する識別子と、前記１以上の分割ログのうちの前記第二の分割ログとを受信し、
　前記既存分割ログ保存部は、前記既存の車両ログを前記既存の車両ログに含まれるＩＤごとに分割することで生成された前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである前記既存分割ログリストを記憶する、
　請求項１７記載の車両ログ解析システム。
　前記車両ログは、所定のＩＤを起点とする複数のＩＤを１周期として当該複数のＩＤが周期的に繰り返されるように並べられた前記複数のデータを含み、
　前記車両ログ分割加工部は、取得された前記車両ログを当該車両ログに含まれる前記所定のＩＤを起点とする複数のＩＤごとに分割することで、前記１以上の分割ログを生成し、
　前記既存識別子保存部は、前記既存の車両ログを当該既存の車両ログに含まれる前記所定のＩＤを起点とする複数のＩＤごとに分割することで生成された前記既存分割ログに対応する識別子のリストである前記既存識別子リストを記憶し、
　前記サーバ側通信部は、前記車両側通信部から送信された、前記１以上の分割ログのうちの前記第一の分割ログに対応する識別子と、前記１以上の分割ログのうちの前記第二の分割ログとを受信し、
　前記既存識別子保存部は、前記既存の車両ログを当該既存の車両ログに含まれるＩＤごとに分割することで生成された前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである前記既存分割ログリストを記憶する、
　請求項１７記載の車両ログ解析システム。
　前記車両ログは、時刻情報がそれぞれ対応付けられている前記複数のデータを含み、
　前記車両ログ分割加工部は、さらに、前記１以上の分割ログに含まれる時刻情報を時刻インデックス情報に置換する処理を実施し、
　前記既存識別子保存部は、さらに、時刻情報を時刻インデックス情報に置換された前記既存分割ログに対応する識別子のリストである前記既存識別子リストを記憶し、
　前記車両側通信部は、さらに、前記車両ログ解析サーバへ時刻情報と時刻インデックス情報との対応関係を示す時刻リストを送信し、
　前記サーバ側通信部は、さらに、前記車両側通信部から、前記時刻リストを受信し、
　前記既存分割ログ保存部は、さらに、時刻情報が時刻インデックス情報に置換された前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである前記既存分割ログリストを記憶し、
　前記車両ログ復元部は、前記第一の分割ログに対応する識別子を受信した場合に前記既存分割ログリストを参照して前記既存分割ログリストにおいて当該識別子に対応する前記既存分割ログを取得し、前記時刻リストを参照して前記既存分割ログに含まれる時刻インデックス情報を時刻情報に置換し、前記第二の分割ログと前記既存分割ログとを結合して車両ログを復元する、
　請求項１７から１９のいずれか１項に記載の車両ログ解析システム。
　前記車両ログ分割加工部は、さらに、前記１以上の分割ログに含まれるＩＤの値またはデータの値の大きさに応じて前記１以上の分割ログを並び替える処理を実施し、
　前記既存識別子保存部は、さらに、ＩＤの値またはデータの値の大きさに応じて並び替えられた前記既存分割ログに対応する識別子のリストである前記既存識別子リストを記憶し、
　前記サーバ側通信部は、ＩＤの値またはデータの値の大きさに応じて並び替えられた前記１以上の分割ログのうちの前記第一の分割ログに対応する識別子と、前記１以上の分割ログのうちの前記第二の分割ログとを受信し、
　前記既存分割ログ保存部は、さらに、ＩＤの値またはデータの値の大きさに応じて並び替えられた前記既存分割ログと、既存分割ログに対応する識別子とのリストである前記既存分割ログリストを記憶し、
　前記車両ログ復元部は、前記第一の分割ログに対応する識別子を受信した場合に前記既存分割ログリストを参照して前記既存分割ログリストにおいて当該識別子に対応する前記既存分割ログを取得し、前記時刻リストを参照して、前記既存分割ログの時刻インデックス情報を時刻情報に置換し、置換された前記時刻情報を参照して前記既存分割ログを時刻が早い順に並び替え、前記第二の分割ログと前記既存分割ログとを結合して車両ログを復元する、
　請求項２０記載の車両ログ解析システム。
　前記車両ログ分割加工部は、さらに、前記１以上の分割ログに含まれるデータの値を所定値に置換する置換処理または前記データの値を丸める端数処理を実施し、
　前記既存識別子保存部は、さらに、前記置換処理または前記端数処理が実施された前記既存分割ログに対応する識別子のリストである前記既存識別子リストを記憶し、
　前記サーバ側通信部は、前記置換処理または前記端数処理が実施された前記１以上の分割ログのうちの前記第一の分割ログに対応する識別子と、前記１以上の分割ログのうちの前記第二の分割ログとを受信し、
　前記既存分割ログ保存部は、さらに、前記置換処理または前記端数処理が実施された前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである既存分割ログリストを記憶する、
　請求項１７から２１のいずれか１項に記載の車両ログ解析システム。
　前記車両ログ解析サーバは、さらに、復元された前記車両ログを監視し、当該車両ログに攻撃の痕跡が含まれる場合に異常ログとして検出する異常ログ検出部と、
　所定の通知先に車両が異常であることを通知する異常通知部と、を備える、
　請求項１７から２２のいずれか１項に記載の車両ログ解析システム。
　前記異常ログ検出部は、さらに、過去に異常と判定された車両ログを当該車両ログに含まれるＩＤを用いて分割することで生成された異常分割ログに対応する識別子のリストである異常識別子リストを保持し、前記サーバ側通信部が前記第一の分割ログに対応する識別子を受信した場合、当該識別子が前記異常識別子リストに含まれる場合に異常として検出し、前記サーバ側通信部が前記第二の分割ログを受信した場合に、前記第二の分割ログに攻撃の痕跡が含まれるときには、前記第二の分割ログを異常ログとして検出し、当該異常ログを当該異常ログに含まれるＩＤを用いて分割することで生成された異常分割ログを前記異常識別子リストに登録する、
　請求項２３記載の車両ログ解析システム。
　前記車両ログ送信装置は、さらに、前記車両ログ送信要否判定部が前記第二の分割ログと判断した分割ログに対応する識別子を前記既存識別子リストに登録する既存識別子登録部を備え、
　前記車両ログ解析サーバは、さらに、前記第二の分割ログを受信した場合に、前記第二の分割ログに対応する識別子を生成し、前記第二の分割ログと当該識別子とを前記既存分割ログリストに登録する既存分割ログ登録部を備える、
　請求項１７から２４のいずれか１項に記載の車両ログ解析システム。
　前記車両ログ取得部は、前記車両ログのＩＤとしてフレームＩＤを含むＣＡＮまたはＣＡＮ－ＦＤプロトコルに従う車載ネットワークログと、前記車両ログのＩＤとしてスロットＩＤを含むＦｌｅｘＲａｙ（登録商標）プロトコルに従う車載ネットワークログと、前記車両ログにＩＤとしてＩＰアドレスを含むＥｔｈｅｒｎｅｔ（登録商標）プロトコルに従う車載ネットワークログと、前記車両ログにＩＤとしてプロセス番号を含むシステム動作ログとのうちの、少なくとも１つの前記車両ログを取得する、
　請求項１７から２５のいずれか１項に記載の車両ログ解析システム。
　車両ログ送信装置による車両ログ送信方法と車両ログ解析サーバによる車両ログ受信方法とから構成され、データの種類を示すＩＤがそれぞれ対応付けられている複数のデータを含む車両ログを前記車両ログ送信装置から前記車両ログ解析サーバへ送信する車両ログ送受信方法であって、
　前記車両ログ送信装置は、前記車両ログ送信装置と前記車両ログ解析サーバとの間で共有されている既存の車両ログを当該既存の車両ログに含まれるＩＤを用いて分割することで生成された既存分割ログに対応する識別子のリストである既存識別子リストを記憶する既存識別子保存部を備え、
　前記車両ログ解析サーバは、前記既存分割ログと、前記既存分割ログに対応する識別子とのリストである既存分割ログリストを記憶する既存分割ログ保存部を備え、
　前記車両ログ送信方法は、
　車両ログを取得する車両ログ取得ステップと、
　取得された前記車両ログを当該車両ログに含まれるＩＤを用いて分割することで、１以上の分割ログを生成する車両ログ分割加工ステップと、
　前記１以上の分割ログのそれぞれに対して識別子を生成し、生成した識別子のうち、前記既存識別子リストに存在する識別子に対応する分割ログを第一の分割ログと判断し、前記既存識別子リストに存在しない識別子に対応する分割ログを第二の分割ログと判断する車両ログ送信要否判定ステップと、
　前記第一の分割ログに対応する識別子を前記車両ログ解析サーバへ送信し、前記第二の分割ログを前記車両ログ解析サーバへ送信する車両側通信ステップと、を含み、
　前記車両ログ受信方法は、
　前記車両側通信ステップにて送信された前記第一の分割ログに対応する識別子と前記第二の分割ログとを受信するサーバ側通信ステップと、
　前記第一の分割ログに対応する識別子を受信した場合に前記既存分割ログリストを参照して前記既存分割ログリストにおいて当該識別子に対応する既存分割ログを取得し、前記第二の分割ログと前記既存分割ログとを結合して車両ログを復元する車両ログ復元ステップと、
　復元された前記車両ログを記憶する車両ログ保存ステップと、を含む、
　車両ログ送受信方法。