WO2022091778A1 - 管理装置、管理方法及びプログラム - Google Patents

管理装置、管理方法及びプログラム Download PDF

Info

Publication number
WO2022091778A1
WO2022091778A1 PCT/JP2021/037827 JP2021037827W WO2022091778A1 WO 2022091778 A1 WO2022091778 A1 WO 2022091778A1 JP 2021037827 W JP2021037827 W JP 2021037827W WO 2022091778 A1 WO2022091778 A1 WO 2022091778A1
Authority
WO
WIPO (PCT)
Prior art keywords
log
analysis
verification
processor
analysis log
Prior art date
Application number
PCT/JP2021/037827
Other languages
English (en)
French (fr)
Inventor
稔久 中野
唯之 鳥崎
潤 安齋
Original Assignee
パナソニックＩｐマネジメント株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニックＩｐマネジメント株式会社 filed Critical パナソニックＩｐマネジメント株式会社
Priority to DE112021005689.1T priority Critical patent/DE112021005689T5/de
Priority to JP2022558983A priority patent/JP7466819B2/ja
Publication of WO2022091778A1 publication Critical patent/WO2022091778A1/ja
Priority to US18/135,531 priority patent/US20230262505A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W24/00—Supervisory, monitoring or testing arrangements
    • H04W24/10—Scheduling measurement reports ; Arrangements for measurement reports
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/069—Management of faults, events, alarms or notifications using logs of notifications; Post-processing of notifications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/04—Processing captured monitoring data, e.g. for logfile generation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud

Definitions

  • This disclosure relates to management equipment, management methods and programs.
  • Patent Document 1 by receiving communication traffic data from a plurality of vehicles via a communication network, communication traffic data in a plurality of vehicles is aggregated, and high-order information on a cyber attack on the vehicle is acquired.
  • the technology is disclosed.
  • the present disclosure provides a management device and the like that can appropriately manage the analysis log obtained from the log in the operation of the processor.
  • the management device in the present disclosure acquires a log in the operation or communication of the processor and verification data for certifying that the log is legitimate information from the processor, and an acquisition unit. Based on the verification data, the verification unit that verifies whether the log is legitimate information and the analysis for analyzing the log according to the result of the verification by the verification unit. It is provided with a control unit that performs storage control for storing in a storage device as a log.
  • the management device and the like in the present disclosure can appropriately manage the analysis log obtained from the log in the operation of the processor.
  • FIG. 1 is a schematic diagram of a management system that aggregates analysis logs in a vehicle according to an embodiment on a server.
  • FIG. 2 is a schematic diagram for explaining an outline of the function of the vehicle.
  • FIG. 3 is a block diagram showing an example of the hardware configuration of the server according to the embodiment.
  • FIG. 4 is a block diagram showing an example of the hardware configuration of the vehicle according to the embodiment.
  • FIG. 5 is a block diagram showing an example of the functional configuration of the vehicle in the management system according to the embodiment.
  • FIG. 6 is a diagram for explaining how to distinguish the logs generated when the processor detects an abnormality.
  • FIG. 7 is a diagram for explaining the transmission control pattern 1.
  • FIG. 8 is a diagram for explaining the transmission control pattern 2.
  • FIG. 9 is a diagram for explaining the transmission control pattern 3.
  • FIG. 10 is a flowchart showing an example of a process of storing an analysis log in the management device according to the embodiment.
  • FIG. 11 is a flowchart showing an example of transmission control of the analysis log in the management device according to the embodiment.
  • FIG. 12 is a block diagram showing an example of the functional configuration of the management device according to (3) of the modified example.
  • the inventors have come up with a management device and a management method capable of appropriately managing the analysis log.
  • the management device includes an acquisition unit that acquires a log in the operation or communication of the processor and verification data for proving that the log is legitimate information from the processor, and the above-mentioned. Based on the verification data acquired by the acquisition unit, the verification unit that verifies whether the log is legitimate information and the log are analyzed for abnormalities according to the result of the verification by the verification unit. It is provided with a control unit for performing storage control for storing in a storage device as an analysis log for performing the analysis.
  • the analysis log can be appropriately managed in order to control the storage of the log in the storage device depending on whether the log is valid or not based on the verification data.
  • control unit may store the log in the storage device as the analysis log.
  • the storage capacity of the storage device can be reduced.
  • control unit stores the log in the storage device as the analysis log together with the unjust identification information indicating that the log is not legitimate information. May be good.
  • the log can be stored in the storage device as an unjustified analysis log.
  • the control unit transmits a retransmission request for the log and the verification data to the processor, and the acquisition unit responds to the retransmission request.
  • the log and verification data retransmitted from the processor are acquired, the verification unit performs the verification based on the retransmitted verification data, and the control unit performs the verification based on the retransmitted verification data, and as a result of the verification, the log is valid information.
  • the unjustified analysis log stored in the storage device may be updated with the retransmitted log.
  • the invalid analysis log stored in the storage device can be replaced with a legitimate analysis log.
  • control unit stores the log in which the abnormality is detected by the processor as the first analysis log in the storage device, and the log generated by the processor at the timing before and after the first analysis log. May be stored in the storage device as a second analysis log.
  • the analysis log generated when the abnormality is detected and the analysis log generated when the abnormality is not detected can be distinguished and stored in the storage device.
  • control unit may perform transmission control to transmit the analysis log to the server according to the result of the verification of the analysis log.
  • the control unit uses the analysis log together with the unjust identification information indicating that the analysis log is not legitimate information. It may be sent to the server.
  • the server can distinguish and store an illegal analysis log and a legitimate analysis log.
  • control unit sends the first analysis log to the server when the first analysis log is acquired by the acquisition unit for the first analysis log in which an abnormality is detected by the processor in the transmission control. 1
  • the analysis log is spontaneously transmitted, and the acquisition unit acquires an analysis log transmission request from the server for the second analysis log generated by the processor at the timing before and after the first analysis log. If so, the second analysis log may be transmitted to the server in response to the transmission request.
  • the management device can immediately send the first analysis log generated when an abnormality is detected to the server.
  • a determination unit for determining whether or not a cyber attack has been performed on a moving object including the processor may be provided according to the result of verification by the verification unit.
  • the processor may be an ECU (Electronic Control Unit) provided in the vehicle.
  • ECU Electronic Control Unit
  • a log in the operation or communication of the processor and verification data for proving that the log is legitimate information are acquired from the processor and acquired. Based on the verification data, it is verified whether or not the log is legitimate information, and the log is stored in a storage device as an analysis log for analyzing an abnormality according to the result of the verification. Perform memory control.
  • the analysis log can be appropriately managed in order to control the storage of the log in the storage device depending on whether the log is valid or not based on the verification data.
  • the program according to one aspect of the present disclosure is a program for causing a computer to execute the above management method.
  • the analysis log can be appropriately managed in order to control the storage of the log in the storage device depending on whether the log is valid or not based on the verification data.
  • FIG. 1 is a schematic diagram of a management system that aggregates analysis logs in a vehicle according to an embodiment on a server.
  • the management system 1 includes a server 100, a vehicle 200, and a communication network 300.
  • the server 100 acquires an analysis log from the vehicle 200 via the communication network 300, and stores the acquired analysis log.
  • the server 100 analyzes the abnormality that has occurred in the vehicle 200 by using the analysis log.
  • the vehicle 200 is a mobile body capable of communicating with the mobile communication network via the base station 310.
  • the vehicle 200 is, for example, a mobile body capable of performing driving control by automatic driving or driving control by an advanced driver assistance system.
  • the server 100 may acquire analysis logs from a plurality of vehicles 200 via the communication network 300.
  • the server 100 may analyze the abnormality that has occurred for each vehicle 200, or may analyze the abnormality that has occurred for each type of vehicle such as each vehicle type and each manufacturer.
  • FIG. 2 is a schematic diagram for explaining an outline of the function of the vehicle.
  • the vehicle 200 has a plurality of abnormality detection functions.
  • the vehicle 200 has, for example, an abnormality detection function for detecting an abnormality related to a communication traffic log in a CAN (Control Area Network) bus, an abnormality detection function for detecting an abnormality related to a communication traffic log in an Ethernet (registered trademark) bus traffic, and an abnormality detection function. It may have an abnormality detection function for detecting an abnormality related to an operation log of an ECU (Electronic Control Unit).
  • the abnormality detection function is realized by some of the ECUs of the plurality of ECUs included in the vehicle 200.
  • the vehicle 200 has a log management function that acquires a log generated by the operation of the ECU and manages the acquired log.
  • the log management function analyzes by extracting analysis logs from a plurality of acquired logs and storing them in a storage device, or by controlling transmission of the analysis logs to the server 100. This is a function to manage logs.
  • the log management function is realized by some ECUs of a plurality of ECUs included in the vehicle 200.
  • the ECU that realizes the abnormality detection function and the ECU that realizes the log management function may be realized by the same ECU or may be realized by different ECUs.
  • the ECU sequentially generates logs for its operation.
  • the ECU that realizes the abnormality detection function outputs the log generated when the abnormality is detected to the ECU that realizes the log management function together with the verification data.
  • the verification data is information for proving that the log is legitimate information.
  • the verification data is, for example, an electronic signature for proving that the log has been transmitted by the ECU that realizes the abnormality detection function.
  • FIG. 3 is a block diagram showing an example of the hardware configuration of the server according to the embodiment.
  • the server 100 includes a CPU 11 (Central Processing Unit), a main memory 12, a storage 13, and a communication IF (Interface) 14 as a hardware configuration.
  • a CPU 11 Central Processing Unit
  • main memory 12 main memory
  • storage 13 main memory
  • communication IF Interface
  • the CPU 11 is a processor that executes a control program stored in the storage 13 or the like.
  • the main memory 12 is a volatile storage area used as a work area used by the CPU 11 when executing a control program.
  • the storage 13 is a non-volatile storage area for holding a control program, an analysis log, and the like.
  • the communication IF 14 is a communication interface that communicates with a plurality of vehicles 200 via the communication network 300.
  • the communication IF 14 is, for example, a wired LAN interface.
  • the communication IF 14 may be a wireless LAN interface.
  • the communication IF 14 is not limited to the LAN interface, and may be any communication interface as long as it can establish a communication connection with the communication network.
  • FIG. 4 is a block diagram showing an example of the hardware configuration of the vehicle according to the embodiment.
  • the vehicle 200 includes a plurality of ECUs as a hardware configuration.
  • the plurality of ECUs include ECU_A21, ECU_B22, ECU_C23, ECU_D24, ECU_E25, and ECU_F26.
  • FIG. 4 shows six ECUs as a plurality of ECUs, the number thereof is not limited to six.
  • ECU_A21, ECU_B22, ECU_C23 and ECU_E25 are, for example, processors having an abnormality detection function. Further, the ECU_A21 among these ECUs may be a communication unit in which the vehicle 200 performs wireless communication with the communication network 300.
  • the ECU_A21 may be a communication unit including a cellular module corresponding to the standard of the mobile communication network.
  • the ECU_A21 may be a TCU (Telematics Control Unit).
  • At least one of the plurality of ECUs included in the vehicle may generate a control command for automatically driving the vehicle 200.
  • this ECU generates a control command for controlling a steering that steers the wheels, an engine that drives the wheels to rotate, a power source such as a motor, and a brake that brakes the wheels.
  • the control command is a control command that causes the vehicle 1 to execute at least one of forward (that is, running), turning, and stopping.
  • This ECU transmits the generated control command to a plurality of other ECUs.
  • the other plurality of ECUs included in the vehicle 200 are control circuits that execute control of various devices such as engines, motors, meters, transmissions, brakes, steering, power windows, and air conditioners included in the vehicle 200.
  • a plurality of ECUs may be provided corresponding to each of these various devices.
  • at least a part of the plurality of ECUs may include a storage unit for storing a program.
  • the storage unit is, for example, a non-volatile memory.
  • FIG. 5 is a block diagram showing an example of the functional configuration of the vehicle in the management system according to the embodiment.
  • the vehicle 200 includes a plurality of processors 210, 220, 230 and a management device 240.
  • the plurality of processors 210, 220, 230 are processors having an abnormality detection function described with reference to FIG.
  • the processor 210 has an abnormality detection unit 211.
  • the abnormality detection unit 211 detects, for example, an abnormality related to communication traffic on the CAN bus.
  • the processor 220 has an abnormality detection unit 221.
  • the anomaly detection unit 221 detects, for example, an abnormality related to communication traffic in Ethernet (registered trademark) bus traffic.
  • the processor 230 has an abnormality detection unit 231.
  • the abnormality detection unit 231 detects an abnormality related to the operation of the ECU (Electronic Control Unit).
  • each of the processors 210, 220, and 230 When an abnormality is detected by the abnormality detection units 211, 221 and 231, each of the processors 210, 220, and 230 outputs the log generated when the abnormality is detected to the management device 240 as an analysis log.
  • the processors 210, 220, and 230 also output verification data to the management device 240 together with the analysis log.
  • Each processor 210, 220, 230 may generate, for example, an electronic signature generated by encrypting the hash value of the corresponding analysis log using a private key owned by the processor as verification data.
  • each processor 210, 220, 230 may assign the time when the log was generated and an identifier for identifying the generated processor to the log, or in order to uniquely identify the log.
  • the identifier of may be given to the log.
  • the log can be uniquely identified by a set of identifiers that identify the time and the processor, or by an identifier that uniquely identifies the log.
  • Each of the plurality of processors 210, 220, 230 is realized by, for example, one of ECU_A21, ECU_B22, ECU_C23, and ECU_E25. Further, each of the plurality of processors 210, 220 and 230 may be realized by, for example, two or more combinations of ECU_A21, ECU_B22, ECU_C23 and ECU_E25.
  • the management device 240 is a device realized by the ECU that realizes the log management function described with reference to FIG.
  • the management device 240 is realized by, for example, ECU_D24.
  • the management device 240 includes an acquisition unit 241, a verification unit 242, a control unit 243, and a storage device 244.
  • the acquisition unit 241 acquires the log and the verification data from the processors 210, 220, and 230.
  • the log and verification data may be a one-to-one set or a plurality of one-to-one sets. That is, each processor 210, 220, 230 may output one verification data to the management device 240 together with one log, or may output one verification data to the management device 240 together with a plurality of logs. ..
  • the verification unit 242 verifies whether or not the log is legitimate information based on the verification data acquired by the acquisition unit 241. For example, the verification unit 242 decodes the verification data using the public key of the processor that outputs the log, and compares the hash value generated using the log with the hash value obtained by the decryption. Then, the verification unit 242 determines that the log is valid information if the two hash values match, and determines that the log is invalid information if the two hash values are different.
  • the control unit 243 controls the storage of the log in the storage device 244 according to the result of the verification by the verification unit 242. Specifically, when the log is legitimate information as a result of verification, the control unit 243 stores the log determined to be legitimate information in the storage device 244 as an analysis log. Further, the control unit 243 analyzes the log together with the unjust identification information indicating that the log is not legitimate information when the log is not legitimate information as a result of verification, that is, when the log is legitimate information. It is stored in the storage device 244 as a log.
  • the control unit 243 may store the log determined to be legitimate as an analysis log in the storage device 244 without adding the identification information as described above.
  • the log may be stored in the storage device 244 as an analysis log together with the legitimate identification information indicating that the log determined to be legitimate information is legitimate information.
  • Legitimate identification information and unjust identification information may be indicated by identification information indicating whether or not the log is legitimate. In this case, for example, the identification information is a flag indicated by 0 or 1, and if it is 0, it may indicate that the log is valid, and if it is 1, it may indicate that the log is invalid.
  • control unit 243 may distinguish and store the logs in the storage device 244 depending on whether or not the logs are generated when the abnormality is detected. This will be described with reference to FIG.
  • FIG. 6 is a diagram for explaining how to distinguish the logs generated when the processor detects an abnormality.
  • FIG. 6 shows an example in which the processor 210 is realized by ECU_A21, the processor 220 is realized by ECU_C23, and the processor 230 is realized by ECU_E25.
  • the control unit 243 of the management device 240 stores the log A-2 in which the abnormality is detected in the processor 210 in the storage device 244 as the first analysis log.
  • the control unit 243 stores the logs A-1 and the logs A-3 generated at the timing before and after the time t1 when the abnormality is detected in the storage device 244 as the second analysis log.
  • the second analysis log is a log in which no abnormality is detected. In the second analysis log, not only the log A-1 and the log A-3 that are temporally adjacent to the log A-2 in which the abnormality is detected, but also the abnormality in the log A-2 in which the abnormality is detected is detected.
  • the second analysis log may include the log generated at the timing before the log A-1 as long as it is generated in the predetermined period, or may include the log generated at the timing after the log A-3. May include logs generated in.
  • the predetermined period may be a period centered on time t1.
  • the processors 210, 220, and 230 output the log generated when an abnormality is detected among the plurality of logs sequentially generated to the management device 240 as the first analysis log, and the first one.
  • the log generated at the timing before and after the analysis log may be output to the management device 240 as the second analysis log.
  • each processor 210, 220, 230 outputs a log as a first analysis log, identification information indicating that it is the first analysis log may be added to the log, or the second analysis log may be added.
  • identification information indicating that it is a second analysis log may be added to the log.
  • each processor 210, 220, 230 may output a plurality of sequentially generated logs to the management device 240 as they are.
  • each processor 210, 220, 230 outputs information indicating a log in which an abnormality is detected to the management device 240.
  • the management device 240 extracts the first analysis log and the second analysis log from the plurality of logs acquired from the respective processors 210, 220, and 230, and the extracted first analysis log and the second analysis.
  • the log may be stored in the storage device 244.
  • the log may be stored as the first analysis log by adding identification information indicating the first analysis log and storing the log in the storage device 244.
  • the log may be stored as the second analysis log by adding the identification information indicating the second analysis log and storing it in the storage device 244.
  • the first analysis log and the second analysis log may be distinguished by dividing the storage area stored in the storage device 244. That is, the log may be stored as a first analysis log by being stored in the first storage area of the storage device 244. Further, the log may be stored as a second analysis log by being stored in a second storage area different from the first storage area of the storage device 244.
  • each processor 210, 220, 230 may output only the log generated when an abnormality is detected to the management device 240 as the first analysis log.
  • the management device 240 specifies the processor and the period during which the second analysis log was generated based on the first analysis log, and outputs a transmission request for the log generated during the specified period to the specified processor. You may.
  • the management device 240 can acquire the second analysis log from the processors 210, 220, and 230.
  • control unit 243 of the management device 240 stores the log E-2 in which the abnormality is detected in the processor 230 in the storage device 244 as the first analysis log.
  • the control unit 243 stores the logs E-1 and the logs E-3 generated at the timing before and after the time t2 when the abnormality is detected in the storage device 244 as the second analysis log. This process is the same as the process for the log detected by the processor 210.
  • control unit 243 of the management device 240 has a time t1 when an abnormality is detected by the processor 210 and a time t2 when an abnormality is detected by the processor 230 among the plurality of logs generated by the processor 220.
  • Logs C-1 and C-2 generated during the interim period are stored in the storage device 244 as a second analysis log. This is because a plurality of ECUs of the vehicle 200 are configured so that the information acquired by the ECU_A21 flows to the ECU_E25 via the ECU_C23.
  • the processor 230 is caused by the abnormality detected by the processor 210. It is highly possible that an abnormality was detected by. Therefore, it is highly possible that the log in the processor 220 on the path where the information flows from the processor 210 to the processor 230 is also affected by the abnormality, although the abnormality is not detected. Therefore, it is effective to store the logs C-1 and the log C-2 generated by the processor 220 between the time t1 and the time t2 in the storage device 244 as the second analysis log. Analysis can be performed.
  • control unit 243 is likely to be affected by the abnormality as well as the first analysis log in which the abnormality is detected from the logs generated by the processors 210, 220, and 230. 2
  • the analysis log is extracted as an analysis log for the server 100 to analyze. Therefore, the server 100 can effectively analyze the abnormality.
  • the control unit 243 may output the same log and the verification data retransmission request to the processor that outputs the log. In this case, the processing of the acquisition unit 241 and the verification unit 242 and the control unit 243 is repeated for the log and the verification data retransmitted from the processor in response to the retransmission request. Specifically, the acquisition unit 241 acquires the log and verification data resent from the processor in response to the retransmission request. The verification unit 242 verifies whether or not the log is legitimate information based on the retransmitted verification data.
  • control unit 243 updates the analysis log stored in the storage device 244 with the retransmitted analysis log. In this case, the control unit 243 also deletes the unjust identification information of the analysis log stored in the storage device 244.
  • control unit 243 performs transmission control to transmit a plurality of analysis logs stored in the storage device 244 to the server 100 according to the verification result by the verification unit 242. Specifically, the control unit 243 performs transmission control in any of the following three patterns. This transmission control will be described with reference to FIGS. 7 to 9.
  • FIG. 7 is a diagram for explaining the transmission control pattern 1.
  • FIG. 8 is a diagram for explaining the transmission control pattern 2.
  • FIG. 9 is a diagram for explaining the transmission control pattern 3.
  • pattern 1 will be described with reference to FIG. 7.
  • Pattern 1 is an example in which the control unit 243 voluntarily transmits the first analysis log to the server 100, and the second analysis log is transmitted to the server 100 in response to a transmission request from the server 100.
  • the control unit 243 performs the following transmission control for the first analysis log.
  • the control unit 243 voluntarily transmits the first analysis log to the server 100 when the first analysis log is acquired by the acquisition unit 241. Specifically, when the control unit 243 obtains the first analysis log from the processor 210 and the verification of the first analysis log is successful, that is, the first analysis log is valid. In this case, the first analysis log is voluntarily transmitted to the server 100. On the other hand, when the control unit 243 obtains the first analysis log from the processor 210 and the verification of the first analysis log fails, that is, when the first analysis log is invalid. The first analysis log is not transmitted to the server 100.
  • control unit 243 transmits the second analysis log to the server 100 when the transmission request from the server 100 is acquired, and does not voluntarily transmit the log.
  • the control unit 243 transmits the second analysis log to the server 100 in response to the transmission request.
  • the control unit 243 responds to the verification result of the second analysis log that is the target of the transmission request.
  • the second analysis log is transmitted to the server 100. Specifically, in this case, if the second analysis log is legitimate information as a result of the verification, the control unit 243 transmits the second analysis log determined to be legitimate information to the server 100.
  • the control unit 243 transmits the second analysis log to which the identification information is not added to the server 100.
  • the control unit 243 finds that the second analysis log is not legitimate information when the second analysis log is not legitimate information, that is, when the second analysis log is invalid information.
  • the second analysis log is transmitted to the server 100 together with the unjust identification information indicating that. In other words, the control unit 243 transmits the second analysis log to which the unjust identification information is added to the server 100.
  • Pattern 2 is an example in which the control unit 243 voluntarily transmits the first analysis log and the second analysis log to the server 100.
  • the control unit 243 performs the same processing as pattern 1 for the first analysis log. Since the specific processing is the same as the processing for the first analysis log of pattern 1, detailed description thereof will be omitted.
  • control unit 243 also performs the same processing on the second analysis log as on the first analysis log. Since the specific processing can be explained by replacing the first analysis log of pattern 1 with the second analysis log, detailed description thereof will be omitted.
  • Pattern 3 is an example in which the control unit 243 transmits the first analysis log and the second analysis log to the server 100 in response to a transmission request from the server 100.
  • the control unit 243 performs the same processing as the processing for the second analysis log of the pattern 1 for the first analysis log. Since the specific processing can be described by replacing the second analysis log with the first analysis log in the description of the processing for the second analysis log of the pattern 1, detailed description thereof will be omitted.
  • the control unit 243 performs the same processing as the processing for the second analysis log of pattern 1 for the second analysis log. Since the specific processing is the same as the processing for the second analysis log of pattern 1, detailed description thereof will be omitted.
  • the control unit 243 may transmit the analysis log determined to be legitimate to the server 100 without adding the identification information as described above.
  • the analysis log may be transmitted to the server 100 together with the legitimate identification information indicating that the analysis log determined to be legitimate information is legitimate information.
  • the unjustified identification information may be indicated by identification information indicating whether or not the analysis log is valid. In this case, for example, the identification information is a flag indicated by 0 or 1, and if it is 0, it may indicate that the analysis log is valid, and if it is 1, it may indicate that the analysis log is invalid. ..
  • the storage device 244 stores the first analysis log and the second analysis log.
  • the storage device 244 may temporarily store the first analysis log and the second analysis log. That is, the storage device 244 may delete the first analysis log and the second analysis log in order from the oldest information, which exceeds the predetermined storage capacity. Further, the storage device 244 may delete the first analysis log and the second analysis log transmitted to the server 100.
  • the storage device 244 is realized by a storage unit (nonvolatile memory) included in the ECU_D24. Further, the storage device 244 may be realized by a storage (not shown in FIG. 4).
  • FIG. 10 is a flowchart showing an example of a process for storing an analysis log in the management device according to the embodiment.
  • the management device 240 acquires logs and verification data from the processors 210, 220, and 230 (S11). The process of step S11 is performed by the acquisition unit 241.
  • step S12 the management device 240 verifies whether or not the log is legitimate information based on the acquired verification data (S12).
  • the process of step S12 is performed by the verification unit 242.
  • the management device 240 determines whether or not the verification in step S12 is successful, that is, whether or not the log is valid information (S13).
  • the management device 240 stores the log in which the verification is successful in the storage device 244 as an analysis log (S14).
  • the management device 240 is already the same analysis log as the analysis log in the storage device 244, and when the analysis log determined to be unreasonable is temporarily stored, the management device 240 is updated with a legitimate analysis log. That is, the management device 240 replaces the unjustified analysis log with a legitimate analysis log and stores it.
  • the management device 240 confirms whether or not the same log as the log in which the verification failed is stored in the storage device 244 (S15). Whether or not the logs are the same may be determined by the identifier given to the log.
  • the management device 240 discards the log for which verification failed (S17).
  • the management device 240 When the same log as the log for which verification has failed is not stored in the storage device 244 (No in S16), the management device 240 temporarily stores the log for which verification has failed in the storage device 244 as an analysis log (S18). ).
  • the management device 240 outputs a resend request for the same log as the log for which verification failed to the processor that outputs the log (S19).
  • the processing of steps S13 to S19 is performed by the control unit 243.
  • the management device 240 executes the processing after step S11 on the log and the verification data acquired in response to the retransmission request.
  • FIG. 11 is a flowchart showing an example of transmission control of analysis logs in the management device according to the embodiment.
  • Step S21 is performed by the acquisition unit 241.
  • the management device 240 confirms whether or not the analysis log of the target of the transmission request is stored in the storage device 244 (S22).
  • the management device 240 is valid for the verification of the analysis log, that is, the analysis log is valid. It is confirmed whether it is present or unjust (S24). Specifically, when the analysis log is stored together with the unreasonable identification information, the management device 240 determines that the analysis log is an unreasonable analysis log, and the analysis log is stored without the identification information. , If it is stored together with the legitimate identification information, it is judged as a legitimate analysis log.
  • the management device 240 transmits the analysis log to the server when the result of the verification of the analysis log is successful, that is, when the analysis log is valid information (Yes in S25). ).
  • the management device 240 has the verification data for which the verification failed and the unjust identification.
  • the analysis data to which the information is added is transmitted to the server 100 (S27).
  • the management device 240 includes an acquisition unit 241, a verification unit 242, and a control unit 243.
  • the acquisition unit 241 acquires a log in the operation of each processor 210, 220, 230 and verification data for proving that the log is legitimate information from the processor.
  • the verification unit 242 verifies whether or not the log is legitimate information based on the verification data acquired by the acquisition unit 241.
  • the control unit 243 performs storage control to store the log in the storage device 244 as an analysis log for analyzing an abnormality according to the result of the verification by the verification unit 242.
  • the management device 240 controls the storage of the log in the storage device 244 according to whether or not the log is valid based on the verification data, so that the analysis log can be appropriately managed. can.
  • the control unit 243 stores the log as an analysis log in the storage device 244. Therefore, the storage capacity of the storage device 244 can be reduced.
  • the control unit 243 stores the log as an analysis log together with the unjust identification information indicating that the log is not legitimate information. Store in device 244. Therefore, when the log is unreasonable, the log can be stored in the storage device as an unjustified analysis log.
  • the control unit 243 transmits a log and verification data retransmission request to the processor that outputs the log that is not legitimate information. do.
  • the acquisition unit 241 acquires the log and verification data resent from the processor in response to the retransmission request.
  • the verification unit 242 performs verification based on the retransmitted verification data. If the log is valid information as a result of the verification, the control unit 243 updates the invalid analysis log stored in the storage device 244 with the retransmitted log. Therefore, when the log is unreasonable, the unjustified analysis log stored in the storage device 244 can be replaced with a legitimate analysis log.
  • the control unit 243 stores the log in which the abnormality is detected by the processors 210, 220, and 230 in the storage device 244 as the first analysis log, and performs the first analysis.
  • the logs generated by the processors 210, 220, and 230 at the timing before and after the log are stored in the storage device 244 as the second analysis log. Therefore, the analysis log generated when the abnormality is detected and the analysis log generated when the abnormality is not detected can be distinguished and stored in the storage device 244.
  • the control unit 243 performs transmission control to transmit the analysis log to the server 100 according to the result of verification of the analysis log. According to this, the management device 240 controls whether or not to transmit the analysis log to the server 100 according to the result of the verification, so that the analysis log can be appropriately managed.
  • the control unit 243 indicates that the analysis log is not legitimate information when the analysis log is not legitimate information as a result of verification in the transmission control. At the same time, the analysis log is transmitted to the server 100. Therefore, the server 100 can separately store an unjustified analysis log and a legitimate analysis log.
  • the control unit 243 has acquired the first analysis log for the first analysis log for which an abnormality has been detected by the processor in the transmission control by the acquisition unit 241. At that time, the first analysis log is spontaneously transmitted to the server 100. Further, in the transmission control, the control unit 243 has acquired the analysis log transmission request from the server 100 for the second analysis log generated by the processor at the timing before and after the first analysis log. In this case, the second analysis log is transmitted to the server 100 in response to the transmission request. Therefore, the management device 240 can immediately transmit the first analysis log generated when the abnormality is detected to the server 100.
  • the management device 240 in the above embodiment is already the same analysis log as the analysis log in the storage device 244, and when the analysis log determined to be unreasonable is temporarily stored, it is a legitimate analysis log. Although it is said to be updated, the present invention is not limited to this, and both the old analysis log and the analysis log newly acquired by the retransmission request may be stored in the storage device 244. Further, when the retransmission request is repeated two or more times, the management device 240 obtains one analysis log and a plurality of analysis logs which are the same analysis logs as the one analysis log and are acquired by the retransmission request. It may be stored in the storage device 244.
  • FIG. 12 is a block diagram showing an example of the functional configuration of the management device according to (3) of the modified example.
  • the management device 240A is different from the management device 240 in the embodiment in that it further includes a determination unit 245 for determining whether or not a cyber attack is being performed on the vehicle 200. Since the other components are the same as the components of the management device 240 in the embodiment, the description thereof will be omitted.
  • the determination unit 245 cyber-terrorizes the vehicle 200 when the verification process of the verification data for the first analysis log fails one or more times, that is, when the first analysis log is unreasonable information. It may be determined that an attack has been made. In this case, the determination unit 245 may determine that a cyber attack has been performed on the processor that generated the unjustified first analysis log.
  • the determination unit 245 is a verification process of verification data for a plurality of second analysis logs received from a plurality of different processors 210, 220, 230, and the verification fails for the plurality of verification data, that is, If the second analysis log is unreasonable information, it may be determined that a cyber attack is being performed on the vehicle 200.
  • the plurality of second analysis logs are logs generated in a predetermined period. That is, in the plurality of timings in which the plurality of second analysis logs are generated, the period from the oldest timing to the newest timing is a predetermined period.
  • the vehicle 200 is an example of a moving body.
  • the control unit 243 of the management device 240A stops the automatic driving control if the vehicle 200 is performing the automatic driving control.
  • Electronic control may be switched to mechanical control by switching to manual operation control. As a result, it is possible to prevent the automatic driving control from being affected by a cyber attack, and thus prevent an accident from occurring.
  • the control unit 243 may notify the driver that a cyber attack is being performed on the vehicle 200.
  • the notification to the driver may be made by displaying the notification on the display unit (not shown) included in the vehicle 200 or by outputting the notification voice to the speaker (not shown) included in the vehicle 200. ..
  • the notification may also be, for example, a message urging the user to suspend in a safe place.
  • the driver can switch the vehicle 200 from the automatic driving control to the manual driving control, or suspend the vehicle 200 in a safe place, and can avoid an accident.
  • the management devices 240 and 240A are mounted on the vehicle 200 and included in the in-vehicle network system that performs communication for controlling the vehicle 200, but the moving body other than the vehicle 200 is shown. It may be included in the network system for controlling the controlled object of.
  • the moving body is, for example, a robot, an aircraft, a ship, a machine, an agricultural work equipment, a drone, or the like.
  • This disclosure is applicable to management devices, management methods, programs, etc. that can appropriately manage analysis logs.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Data Mining & Analysis (AREA)
  • Debugging And Monitoring (AREA)

Abstract

管理装置（２４０）は、処理器の動作におけるログと、前記ログが正当な情報であることを証明するための検証データとを前記処理器から取得する取得部（２４１）と、前記取得部により取得された前記検証データに基づいて、前記ログが正当な情報であるか否かの検証を行う検証部（２４２）と、前記検証部による検証の結果に応じて、前記ログを、異常を分析するための分析用ログとして記憶装置へ記憶する記憶制御を行う制御部（２４３）と、を備える。

Description

管理装置、管理方法及びプログラム
　本開示は、管理装置、管理方法及びプログラムに関する。
　特許文献１では、複数の車両から通信トラフィックデータを、通信ネットワークを介して受信することで、複数の車両における通信トラフィックデータを集約し、車両へのサイバー攻撃に対する高次の情報の取得を実現する技術が開示されている。
特開２０１５－１３６１０７号公報
　本開示は、処理器の動作におけるログから得られる分析用ログを適切に管理することができる管理装置などを提供する。
　本開示における管理装置は、処理器の動作又は通信におけるログと、前記ログが正当な情報であることを証明するための検証データとを前記処理器から取得する取得部と、前記取得部により取得された前記検証データに基づいて、前記ログが正当な情報であるか否かの検証を行う検証部と、前記検証部による検証の結果に応じて、前記ログを、異常を分析するための分析用ログとして記憶装置へ記憶する記憶制御を行う制御部と、を備える。
　なお、これらの全般的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。
　本開示における管理装置などは、処理器の動作におけるログから得られる分析用ログを適切に管理することができる。
図１は、実施の形態に係る車両における分析用ログをサーバに集約する管理システムの概略図である。 図２は、車両の機能の概要を説明するための概略図である。 図３は、実施の形態に係るサーバのハードウェア構成の一例を示すブロック図である。 図４は、実施の形態に係る車両のハードウェア構成の一例を示すブロック図である。 図５は、実施の形態に係る管理システムにおける車両の機能構成の一例を示すブロック図である。 図６は、処理器が異常を検知したときに生成されたログの区別の仕方について説明するための図である。 図７は、送信制御のパターン１について説明するための図である。 図８は、送信制御のパターン２について説明するための図である。 図９は、送信制御のパターン３について説明するための図である。 図１０は、実施の形態に係る管理装置における分析用ログを記憶する処理の一例を示すフローチャートである。 図１１は、実施の形態に係る管理装置における分析用ログの送信制御の一例を示すフローチャートである。 図１２は、変形例の（３）に係る管理装置の機能構成の一例を示すブロック図である。
　（本発明の基礎となった知見）
　本発明者は、「背景技術」の欄において記載した従来技術に関し、以下の問題が生じることを見出した。
　特許文献１に記載の技術では、通信トラフィックデータが正当であるか否かの検証が為されていないため、不当な通信トラフィックデータであっても一時的に記憶したり、外部のサーバへ送信したりするおそれがある。このように、従来技術では、通信トラフィックデータのような、処理器の動作によって発生する情報（ログ）に基づく分析用ログを適切に管理することができないため、分析用ログを記憶するための記憶容量が増大したり、適切でない分析用ログを集約したりしてしまうという課題がある。
　このような課題を解決するために、発明者らは、分析用ログを適切に管理することができる管理装置及び管理方法を見出すに至った。
　本開示の一態様に係る管理装置は、処理器の動作又は通信におけるログと、前記ログが正当な情報であることを証明するための検証データとを前記処理器から取得する取得部と、前記取得部により取得された前記検証データに基づいて、前記ログが正当な情報であるか否かの検証を行う検証部と、前記検証部による検証の結果に応じて、前記ログを、異常を分析するための分析用ログとして記憶装置へ記憶する記憶制御を行う制御部と、を備える。
　これによれば、検証データに基づいてログが正当であるか否かに応じて、ログの記憶装置への記憶を制御するため、分析用ログを適切に管理することができる。
　また、前記制御部は、前記検証の結果、前記ログが正当な情報である場合、当該ログを前記分析用ログとして前記記憶装置に記憶してもよい。
　このため、記憶装置の記憶容量を低減することができる。
　また、前記制御部は、前記検証の結果、前記ログが正当な情報でない場合、前記ログが正当な情報でないことを示す不当識別情報と共に前記ログを前記分析用ログとして前記記憶装置に記憶してもよい。
　このため、ログが不当である場合、当該ログを不当な分析用ログとして記憶装置に記憶することができる。
　また、前記制御部は、前記検証の結果、前記ログが正当な情報でない場合、前記処理器へ前記ログ及び前記検証データの再送要求を送信し、前記取得部は、前記再送要求に応じて前記処理器から再送されたログ及び検証データを取得し、前記検証部は、前記再送された検証データに基づいて前記検証を行い、前記制御部は、前記検証の結果、前記ログが正当な情報である場合、前記記憶装置に記憶されている不当な前記分析用ログを、再送されたログで更新してもよい。
　このため、ログが不当である場合に記憶装置に記憶した不当な分析用ログを、正当な分析用ログに置き換えることができる。
　また、前記制御部は、前記処理器により異常が検知されたログを第１分析用ログとして前記記憶装置に記憶し、前記第１分析用ログの前後のタイミングで前記処理器により生成されたログを第２分析用ログとして前記記憶装置に記憶してもよい。
　このため、異常を検知したときに生成された分析用ログと、異常を検知していないときに生成された分析用ログとを区別して記憶装置に記憶することができる。
　また、前記制御部は、前記分析用ログに対する前記検証の結果に応じて、当該分析用ログをサーバに送信する送信制御を行ってもよい。
　これによれば、検証の結果に応じて、分析用ログをサーバに送信するか否かを制御するため、分析用ログを適切に管理することができる。
　また、前記制御部は、前記送信制御において、前記検証の結果、前記分析用ログが正当な情報でない場合、前記分析用ログが正当な情報でないことを示す不当識別情報と共に前記分析用ログを前記サーバに送信してもよい。
　このため、サーバは、不当な分析用ログと、正当な分析用ログとを区別して記憶することができる。
　また、前記制御部は、前記送信制御において、前記処理器により異常が検知された第１分析用ログについて、前記第１分析用ログが前記取得部により取得された際に、前記サーバへ前記第１分析用ログを自発的に送信し、前記第１分析用ログの前後のタイミングで前記処理器により生成された第２分析用ログについて、前記サーバから分析用ログの送信要求を取得部が取得した場合、当該送信要求に応じて前記サーバへ前記第２分析用ログを送信してもよい。
　このため、管理装置は、異常が検知されたときに生成された第１分析用ログをただちにサーバへ送信することができる。
　また、さらに、前記検証部による検証の結果に応じて、前記処理器を含む移動体に対してサイバー攻撃が行われたか否かを判定する判定部を備えてもよい。
　これにより、移動体に対してサイバー攻撃が行われていると判定された場合、サイバー攻撃への対処を行うことができるため、移動体の運転制御がサイバー攻撃による影響を受けることを抑制でき、車両の安全性を向上させることができる。
　また、前記処理器は、車両が備えるＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）であってもよい。
　また、本開示の一態様に係る管理方法は、処理器の動作又は通信におけるログと、前記ログが正当な情報であることを証明するための検証データとを前記処理器から取得し、取得された前記検証データに基づいて、前記ログが正当な情報であるか否かの検証を行い、前記検証の結果に応じて、前記ログを、異常を分析するための分析用ログとして記憶装置へ記憶する記憶制御を行う。
　これによれば、検証データに基づいてログが正当であるか否かに応じて、ログの記憶装置への記憶を制御するため、分析用ログを適切に管理することができる。
　また、本開示の一態様に係るプログラムは、上記の管理方法をコンピュータに実行させるためのプログラム。
　これによれば、検証データに基づいてログが正当であるか否かに応じて、ログの記憶装置への記憶を制御するため、分析用ログを適切に管理することができる。
　なお、これらの全般的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。
　以下、適宜図面を参照しながら、実施の形態を詳細に説明する。但し、必要以上に詳細な説明は省略する場合がある。例えば、既によく知られた事項の詳細説明や実質的に同一の構成に対する重複説明を省略する場合がある。これは、以下の説明が不必要に冗長になるのを避け、当業者の理解を容易にするためである。
　なお、発明者（ら）は、当業者が本開示を十分に理解するために添付図面および以下の説明を提供するのであって、これらによって請求の範囲に記載の主題を限定することを意図するものではない。
　（実施の形態）
　以下、図１～図１１を用いて、実施の形態を説明する。
　［構成］
　図１は、実施の形態に係る車両における分析用ログをサーバに集約する管理システムの概略図である。
　具体的には、図１に示すように、サーバ１００、車両２００、通信ネットワーク３００および移動体通信網の基地局３１０が示されている。管理システム１は、サーバ１００、車両２００及び通信ネットワーク３００を含む。
　サーバ１００は、通信ネットワーク３００を介して車両２００から分析用ログを取得し、取得した分析用ログを記憶する。サーバ１００は、分析用ログを用いて、車両２００に生じた異常に関する分析を行う。
　車両２００は、基地局３１０を介して移動体通信網に通信接続することが可能な移動体である。車両２００は、例えば、自動運転による運転制御、又は、先進運転支援システムによる運転制御を行うことが可能な移動体である。
　図１では、１台の車両２００が示されているが、サーバ１００は、通信ネットワーク３００を介して複数の車両２００から分析用ログを取得してもよい。サーバ１００は、車両２００毎に生じた異常に関する分析を行ってもよいし、車種毎、メーカー毎などのような車両の種類毎に生じた異常に関する分析を行ってもよい。
　次に、車両２００の機能の概要について説明する。図２は、車両の機能の概要を説明するための概略図である。
　図２に示すように、車両２００は、複数の異常検知機能を有する。車両２００は、例えば、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）バスにおける通信トラフィックのログに関する異常を検知する異常検知機能、Ｅｔｈｅｒｎｅｔ（登録商標）バストラフィックにおける通信トラフィックのログに関する異常を検知する異常検知機能、及び、ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）の動作のログに関する異常を検知する異常検知機能を有していてもよい。異常検知機能は、車両２００が備える複数のＥＣＵの一部のＥＣＵにより実現される。
　また、車両２００は、ＥＣＵの動作により生成されたログを取得し、取得したログを管理するログ管理機能を有する。ログ管理機能は、具体的には、取得した複数のログから分析用ログを抽出して記憶装置へ記憶する記憶制御、または、当該分析用ログのサーバ１００への送信を制御することで、分析用ログを管理する機能である。ログ管理機能は、車両２００が備える複数のＥＣＵの一部のＥＣＵにより実現される。なお、異常検知機能を実現するＥＣＵと、ログ管理機能を実現するＥＣＵとは、同じＥＣＵで実現されてもよいし、異なるＥＣＵにより実現されてもよい。
　ＥＣＵは、その動作におけるログを逐次的に生成する。異常検知機能を実現するＥＣＵは、異常を検知した際に生成したログを、検証データと共に、ログ管理機能を実現するＥＣＵへ出力する。検証データは、ログが正当な情報であることを証明するための情報である。検証データは、例えば、異常検知機能を実現するＥＣＵによりログが送信されたことを証明するための電子署名である。
　次に、サーバ１００及び車両２００のハードウェア構成について順に説明する。
　図３は、実施の形態に係るサーバのハードウェア構成の一例を示すブロック図である。
　図３に示すように、サーバ１００は、ハードウェア構成として、ＣＰＵ１１（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）と、メインメモリ１２と、ストレージ１３と、通信ＩＦ（Ｉｎｔｅｒｆａｃｅ）１４とを備える。
　ＣＰＵ１１は、ストレージ１３等に記憶された制御プログラムを実行するプロセッサである。
　メインメモリ１２は、ＣＰＵ１１が制御プログラムを実行するときに使用するワークエリアとして用いられる揮発性の記憶領域である。
　ストレージ１３は、制御プログラム、分析用ログなどを保持する不揮発性の記憶領域である。
　通信ＩＦ１４は、通信ネットワーク３００を介して複数の車両２００と通信する通信インタフェースである。通信ＩＦ１４は、例えば、有線ＬＡＮインタフェースである。なお、通信ＩＦ１４は、無線ＬＡＮインタフェースであってもよい。また、通信ＩＦ１４は、ＬＡＮインタフェースに限らずに、通信ネットワークとの通信接続を確立できる通信インタフェースであれば、どのような通信インタフェースであってもよい。
　図４は、実施の形態に係る車両のハードウェア構成の一例を示すブロック図である。
　図４に示すように、車両２００は、ハードウェア構成として、複数のＥＣＵを備える。複数のＥＣＵは、ＥＣＵ＿Ａ２１と、ＥＣＵ＿Ｂ２２と、ＥＣＵ＿Ｃ２３と、ＥＣＵ＿Ｄ２４と、ＥＣＵ＿Ｅ２５と、ＥＣＵ＿Ｆ２６とを含む。図４には、複数のＥＣＵとして、６つのＥＣＵが図示されているが、その数は６つに限定されない。
　ＥＣＵ＿Ａ２１、ＥＣＵ＿Ｂ２２、ＥＣＵ＿Ｃ２３及びＥＣＵ＿Ｅ２５は、例えば、異常検知機能を有する処理器である。また、これらのＥＣＵのうちのＥＣＵ＿Ａ２１は、車両２００が通信ネットワーク３００との間で無線通信を行う通信ユニットであってもよい。ＥＣＵ＿Ａ２１は、移動体通信網の規格に対応したセルラモジュールを含む通信ユニットであってもよい。ＥＣＵ＿Ａ２１は、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）であってもよい。
　車両が備える複数のＥＣＵのうちの少なくとも１つのＥＣＵは、車両２００を自動運転するための制御コマンドを生成してもよい。具体的には、このＥＣＵは、車輪の操舵を行うステアリング、車輪を回転駆動させるエンジン、モータなどの動力源、車輪の制動するブレーキなどを制御する制御コマンドを生成する。つまり、制御コマンドは、進む（つまり、走行する）、曲がる、止まるの少なくとも１つを車両１に実行させる制御コマンドである。このＥＣＵは、生成した制御コマンドを他の複数のＥＣＵに送信する。
　車両２００が備える他の複数のＥＣＵは、車両２００が備えるエンジン、モータ、メータ、トランスミッション、ブレーキ、ステアリング、パワーウィンドウ、エアコンなどの各種機器の制御を実行する制御回路である。例えば、複数のＥＣＵは、これらの各種機器のそれぞれに対応して設けられていてもよい。複数のＥＣＵの少なくとも一部は、図示しないが、プログラムを記憶する記憶部を備えていてもよい。記憶部は、例えば、不揮発性のメモリである。
　次に、管理システム１における車両２００の機能構成について図５を用いて説明する。
　図５は、実施の形態に係る管理システムにおける車両の機能構成の一例を示すブロック図である。
　車両２００は、複数の処理器２１０、２２０、２３０と、管理装置２４０と、を備える。
　複数の処理器２１０、２２０、２３０は、図２を用いて説明した異常検知機能を有する処理器である。処理器２１０は、異常検知部２１１を有する。異常検知部２１１は、例えば、ＣＡＮバスにおける通信トラフィックに関する異常を検知する。処理器２２０は、異常検知部２２１を有する。異常検知部２２１は、例えば、Ｅｔｈｅｒｎｅｔ（登録商標）バストラフィックにおける通信トラフィックに関する異常を検知する。処理器２３０は、異常検知部２３１を有する。異常検知部２３１は、ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）の動作に関する異常を検知する。各処理器２１０、２２０、２３０は、その異常検知部２１１、２２１、２３１により異常が検知されると、異常が検知された際に生成されたログを分析用ログとして管理装置２４０に出力する。各処理器２１０、２２０、２３０はまた、分析用ログと共に検証データを管理装置２４０に出力する。各処理器２１０、２２０、２３０は、例えば、対応する分析用ログのハッシュ値を、自身が保有する秘密鍵を用いて暗号化することで生成した電子署名を検証データとして生成してもよい。
　各処理器２１０、２２０、２３０は、ログを生成する際に、ログを生成した時刻と、生成した処理器を識別する識別子とをログに付与してもよいし、ログを一意に識別するための識別子をログに付与してもよい。これにより、ログは、時刻及び処理器を識別する識別子の組、又は、ログを一意に識別するための識別子によって、一意に特定されうる。
　複数の処理器２１０、２２０、２３０のそれぞれは、例えば、ＥＣＵ＿Ａ２１、ＥＣＵ＿Ｂ２２、ＥＣＵ＿Ｃ２３及びＥＣＵ＿Ｅ２５のいずれかにより実現される。また、複数の処理器２１０、２２０、２３０のそれぞれは、例えば、ＥＣＵ＿Ａ２１、ＥＣＵ＿Ｂ２２、ＥＣＵ＿Ｃ２３及びＥＣＵ＿Ｅ２５の２以上の組み合わせにより実現されてもよい。
　管理装置２４０は、図２を用いて説明した、ログ管理機能を実現するＥＣＵにより実現される装置である。管理装置２４０は、例えば、ＥＣＵ＿Ｄ２４により実現される。
　管理装置２４０は、取得部２４１と、検証部２４２と、制御部２４３と、記憶装置２４４とを備える。
　取得部２４１は、ログと、検証データとを各処理器２１０、２２０、２３０から取得する。なお、ログ及び検証データは、１対１の組であってもよいし、複数対１の組であってもよい。つまり、各処理器２１０、２２０、２３０は、１つのログと共に１つの検証データを管理装置２４０に出力してもよいし、複数のログと共に１つの検証データを管理装置２４０に出力してもよい。
　検証部２４２は、取得部２４１により取得された検証データに基づいて、ログが正当な情報であるか否かの検証を行う。検証部２４２は、例えば、検証データを、ログを出力した処理器の公開鍵を使用して復号し、ログを用いて生成したハッシュ値と、復号により得られたハッシュ値とを比較する。そして、検証部２４２は、２つのハッシュ値が一致していればログが正当な情報であると判定し、２つのハッシュ値が異なっていればログが不当な情報であると判定する。
　制御部２４３は、検証部２４２による検証の結果に応じて、ログの記憶装置２４４への記憶を制御する。具体的には、制御部２４３は、検証の結果、ログが正当な情報である場合、正当な情報と判定されたログを分析用ログとして記憶装置２４４に記憶する。また、制御部２４３は、検証の結果、ログが正当な情報でない場合、つまり、ログが不当な情報である場合、当該ログが正当な情報でないことを示す不当識別情報と共に、当該ログを分析用ログとして記憶装置２４４に記憶する。
　なお、制御部２４３は、検証の結果、ログが正当な情報である場合、上述したように識別情報を付加せずに正当と判定されたログを分析用ログとして記憶装置２４４に記憶してもよいし、正当な情報と判定されたログが正当な情報であることを示す正当識別情報と共に、当該ログを分析用ログとして記憶装置２４４に記憶してもよい。このように、正当な情報と判定されたログに正当識別情報を付加して記憶装置２４４に記憶し、不当な情報と判定されたログに不当識別情報を付加して記憶装置２４４に記憶する場合、正当識別情報及び不当識別情報は、ログが正当であるか否かを示す識別情報で示されてもよい。この場合、例えば識別情報は、０又は１で示されるフラグであり、０の場合にログが正当であることを示し、１の場合にログが不当であることを示してもよい。
　また、制御部２４３は、異常が検知された際にログが生成されたか否かに応じて、これらを区別して記憶装置２４４に記憶してもよい。これについて、図６を用いて説明する。
　図６は、処理器が異常を検知したときに生成されたログの区別の仕方について説明するための図である。図６は、処理器２１０はＥＣＵ＿Ａ２１で実現され、処理器２２０はＥＣＵ＿Ｃ２３で実現され、処理器２３０はＥＣＵ＿Ｅ２５で実現される例を示す。
　図６に示されるように、管理装置２４０の制御部２４３は、処理器２１０において異常が検知されたログＡ－２を第１分析用ログとして記憶装置２４４に記憶する。制御部２４３は、異常が検知された時刻ｔ１の前後のタイミングで生成されたログＡ－１及びログＡ－３を第２分析用ログとして記憶装置２４４に記憶する。第２分析用ログは、異常が検知されていないログである。第２分析用ログは、異常が検知されたログＡ－２に時間的に隣接しているログＡ－１及びログＡ－３だけでなく、異常が検知されたログＡ－２の異常が検知された時刻ｔ１を基準とした所定の期間において生成され、かつ、異常が検知されていないログであればよい。つまり、第２分析用ログは、所定の期間において生成されていれば、ログＡ－１よりも前のタイミングで生成されたログを含んでいてもよいし、ログＡ－３よりも後のタイミングで生成されたログを含んでいてもよい。所定の期間は、時刻ｔ１を中心とした期間であってもよい。
　なお、各処理器２１０、２２０、２３０は、逐次生成している複数のログのうち、異常が検知された際に生成されたログを第１分析用ログとして管理装置２４０に出力し、第１分析用ログの前後のタイミングで生成されたログを第２分析用ログとして管理装置２４０に出力してもよい。なお、各処理器２１０、２２０、２３０は、第１分析用ログとしてログを出力する場合、第１分析用ログであることを示す識別情報をログに付加してもよいし、第２分析用ログとしてログを出力する場合、第２分析用ログであることを示す識別情報をログに付加してもよい。
　また、各処理器２１０、２２０、２３０は、逐次生成している複数のログをそのまま管理装置２４０に出力してもよい。この場合、各処理器２１０、２２０、２３０は、異常が検知されたログを示す情報を管理装置２４０に出力する。これにより、管理装置２４０は、各処理器２１０、２２０、２３０から取得した複数のログから、第１分析用ログ及び第２分析用ログを抽出し、抽出した第１分析用ログ及び第２分析用ログを記憶装置２４４に記憶してもよい。ログは、第１分析用ログを示す識別情報が付加されて記憶装置２４４に記憶されることで第１分析用ログとして記憶されてもよい。同様に、ログは、第２分析用ログを示す識別情報が付加されて記憶装置２４４に記憶されることで第２分析用ログとして記憶されてもよい。また、記憶装置２４４で記憶される記憶領域を分けることで、第１分析用ログ及び第２分析用ログが区別されてもよい。つまり、ログは、記憶装置２４４の第１記憶領域に記憶されることで第１分析用ログとして記憶されてもよい。また、ログは、記憶装置２４４の第１記憶領域とは異なる第２記憶領域に記憶されることで第２分析用ログとして記憶されてもよい。
　また、各処理器２１０、２２０、２３０は、異常が検知された際に生成されたログのみを第１分析用ログとして管理装置２４０に出力してもよい。この場合、管理装置２４０は、第１分析用ログに基づいて第２分析用ログが生成された処理器及び期間を特定し、特定した処理器に特定した期間において生成したログの送信要求を出力してもよい。これにより、管理装置２４０は、各処理器２１０、２２０、２３０から第２分析用ログを取得することができる。
　また、管理装置２４０の制御部２４３は、処理器２３０において異常が検知されたログＥ－２を第１分析用ログとして記憶装置２４４に記憶する。制御部２４３は、異常が検知された時刻ｔ２の前後のタイミングで生成されたログＥ－１及びログＥ－３を第２分析用ログとして記憶装置２４４に記憶する。この処理は、処理器２１０において検知されたログに対する処理と同様である。
　また、管理装置２４０の制御部２４３は、処理器２２０において生成された複数のログのうち、処理器２１０で異常が検知された時刻ｔ１と、処理器２３０で異常が検知された時刻ｔ２との間の期間において生成されたログＣ－１及びログＣ－２を第２分析用ログとして記憶装置２４４に記憶する。これは、ＥＣＵ＿Ａ２１で取得された情報が、ＥＣＵ＿Ｃ２３を介してＥＣＵ＿Ｅ２５に流れるように、車両２００の複数のＥＣＵが構成されているからである。つまり、時刻ｔ１において処理器２１０（ＥＣＵ＿Ａ２１）で異常が検知され、その後の時刻ｔ２において処理器２３０（ＥＣＵ＿Ｅ２５）で異常が検知された場合、処理器２１０により検知された異常が原因で処理器２３０により異常が検知された可能性が高い。このため、処理器２１０から処理器２３０に情報が流れる経路上にある処理器２２０におけるログも、異常の検知されていないが異常による影響を受けている可能性が高い。このため、時刻ｔ１から時刻ｔ２までの間に処理器２２０で生成されたログＣ－１及びログＣ－２を第２分析用ログとして記憶装置２４４に記憶しておくことで、効果的な異常の分析が行われうる。
　このように、制御部２４３は、各処理器２１０、２２０、２３０で生成されたログから、異常が検知された第１分析用ログだけでなく、異常の影響を受けている可能性が高い第２分析用ログをサーバ１００に分析させるための分析用ログとして抽出する。このため、サーバ１００に異常の分析を効果的に行わせることができる。
　また、制御部２４３は、検証部２４２による検証の結果、ログが正当な情報でない場合、当該ログを出力した処理器へ、当該ログと同じログ及び検証データの再送要求を出力してもよい。この場合、再送要求に応じて処理器から再送されたログ及び検証データについて、取得部２４１、検証部２４２及び制御部２４３の処理が繰り返される。具体的には、取得部２４１は、再送要求に応じて処理器から再送されたログ及び検証データを取得する。検証部２４２は、再送された検証データに基づいて、ログが正当な情報であるか否かの検証を行う。制御部２４３は、検証の結果、ログが正当な情報である場合、記憶装置２４４に記憶されている分析用ログを、再送された分析用ログで更新する。この場合、制御部２４３は、記憶装置２４４に記憶されている分析用ログの不当識別情報も削除する。
　また、制御部２４３は、検証部２４２による検証結果に応じて、記憶装置２４４へ記憶させた複数の分析用ログをサーバ１００に送信する送信制御を行う。具体的には、制御部２４３は、以下の３つのパターンのいずれかで送信制御を行う。この送信制御について、図７～図９を用いて説明する。
　図７は、送信制御のパターン１について説明するための図である。図８は、送信制御のパターン２について説明するための図である。図９は、送信制御のパターン３について説明するための図である。
　まず、パターン１について、図７を用いて説明する。
　パターン１は、制御部２４３が第１分析用ログを自発的にサーバ１００へ送信し、第２分析用ログをサーバ１００からの送信要求に応じてサーバ１００へ送信する例である。
　制御部２４３は、第１分析用ログについては、以下のような送信制御を行う。制御部２４３は、第１分析用ログについて、第１分析用ログが取得部２４１により取得された際に、サーバ１００へ第１分析用ログを自発的に送信する。具体的には、制御部２４３は、第１分析用ログが処理器２１０から取得された場合において、第１分析用ログの検証が成功である場合、つまり、第１分析用ログが正当である場合、当該第１分析用ログを自発的にサーバ１００へ送信する。一方で、制御部２４３は、第１分析用ログが処理器２１０から取得された場合において、第１分析用ログの検証が失敗である場合、つまり、第１分析用ログが不当である場合、当該第１分析用ログをサーバ１００へ送信しない。
　また、制御部２４３は、第２分析用ログについては、サーバ１００からの送信要求を取得したときに、サーバ１００へ送信し、自発的な送信を行わない。制御部２４３は、第２分析用ログについて、サーバ１００から分析用ログの送信要求を取得部２４１が取得した場合、当該送信要求に応じてサーバ１００へ第２分析用ログを送信する。具体的には、制御部２４３は、サーバ１００から第２分析用ログの送信要求を取得部２４１が取得した場合、送信要求の対象となった第２分析用ログに対する検証の結果に応じて、当該第２分析用ログをサーバ１００に送信する。具体的には、制御部２４３は、この場合、検証の結果、第２分析用ログが正当な情報である場合、正当な情報と判定された第２分析用ログをサーバ１００へ送信する。例えば、制御部２４３は、検証の結果、第２分析用ログが正当な情報である場合、識別情報が付加されていない第２分析用ログをサーバ１００へ送信する。一方で、制御部２４３は、検証の結果、第２分析用ログが正当な情報でない場合、つまり、第２分析用ログが不当な情報である場合、当該第２分析用ログが正当な情報でないことを示す不当識別情報と共に、当該第２分析用ログをサーバ１００に送信する。言い換えると、制御部２４３は、不当識別情報が付加された第２分析用ログをサーバ１００に送信する。
　次に、パターン２について、図８を用いて説明する。
　パターン２は、制御部２４３が第１分析用ログ及び第２分析用ログを自発的にサーバ１００へ送信する例である。
　制御部２４３は、第１分析用ログについては、パターン１と同様の処理を行う。具体的な処理は、パターン１の第１分析用ログに対する処理と同様であるため、詳細な説明を省略する。
　また、制御部２４３は、第２分析用ログについても、第１分析用ログに対する処理と同様の処理を行う。具体的な処理は、パターン１の第１分析用ログを第２分析用ログと読み替えることで説明できるため、詳細な説明を省略する。
　次に、パターン３について、図９を用いて説明する。
　パターン３は、制御部２４３が第１分析用ログ及び第２分析用ログを、サーバ１００からの送信要求に応じてサーバ１００へ送信する例である。
　制御部２４３は、第１分析用ログについては、パターン１の第２分析用ログに対する処理と同様の処理を行う。具体的な処理は、パターン１の第２分析用ログに対する処理の説明において、第２分析用ログを第１分析用ログと読み替えることで説明できるため、詳細な説明を省略する。
　制御部２４３は、第２分析用ログについては、パターン１の第２分析用ログに対する処理と同様の処理を行う。具体的な処理は、パターン１の第２分析用ログに対する処理と同様であるため、詳細な説明を省略する。
　なお、制御部２４３は、送信対象の分析用ログが正当な情報である場合、上述したように識別情報を付加せずに正当と判定された分析用ログをサーバ１００へ送信してもよいし、正当な情報と判定された分析用ログが正当な情報であることを示す正当識別情報と共に、当該分析用ログをサーバ１００へ送信してもよい。このように、正当識別情報が付加された分析用ログをサーバ１００へ送信し、不当識別情報が付加された分析用ログをサーバ１００へ送信する場合、分析用ログに付加される正当識別情報及び不当識別情報は、分析用ログが正当であるか否かを示す識別情報で示されてもよい。この場合、例えば識別情報は、０又は１で示されるフラグであり、０の場合に分析用ログが正当であることを示し、１の場合に分析用ログが不当であることを示してもよい。
　記憶装置２４４は、第１分析用ログ及び第２分析用ログを記憶する。記憶装置２４４は、第１分析用ログ及び第２分析用ログを一時的に記憶してもよい。つまり、記憶装置２４４は、所定の記憶容量を超えた分の第１分析用ログ及び第２分析用ログを古い情報から順に削除してもよい。また、記憶装置２４４は、サーバ１００に送信された第１分析用ログ及び第２分析用ログを削除してもよい。なお、記憶装置２４４は、ＥＣＵ＿Ｄ２４が含む記憶部（不揮発性メモリ）で実現される。また、記憶装置２４４は、図４では図示していないストレージにより実現されてもよい。
　［動作］
　管理装置２４０について、その動作を以下に説明する。
　図１０は、実施の形態に係る管理装置における分析用ログを記憶する処理の一例を示すフローチャートである。
　まず、管理装置２４０は、各処理器２１０、２２０、２３０からログ及び検証データを取得する（Ｓ１１）。ステップＳ１１の処理は、取得部２４１により行われる。
　次に、管理装置２４０は、取得された検証データに基づいて、ログが正当な情報であるか否かの検証を行う（Ｓ１２）。ステップＳ１２の処理は、検証部２４２により行われる。
　次に、管理装置２４０は、ステップＳ１２における検証が成功したか否か、つまり、ログが正当な情報であるか否かを判定する（Ｓ１３）。
　次に、管理装置２４０は、検証が成功した場合（Ｓ１３でＹｅｓ）、検証が成功したログを分析用ログとして記憶装置２４４に記憶する（Ｓ１４）。なお、管理装置２４０は、既に記憶装置２４４に分析用ログと同じ分析用ログであり、不当と判定された分析用ログが一時的に記憶されている場合、正当な分析用ログで更新する。つまり、管理装置２４０は、不当な分析用ログを正当な分析用ログに置き換えて記憶する。
　一方で、管理装置２４０は、検証が失敗した場合（Ｓ１３でＮｏ）、検証が失敗したログと同じログが記憶装置２４４に記憶されているか否かを確認する（Ｓ１５）。なお、ログが同じであるか否かは、ログに付与されている識別子によって判定されてもよい。
　次に、管理装置２４０は、検証が失敗したログと同じログが記憶装置２４４に記憶されている場合（Ｓ１６でＹｅｓ）、検証が失敗したログを破棄する（Ｓ１７）。
　管理装置２４０は、検証が失敗したログと同じログが記憶装置２４４に記憶されていない場合（Ｓ１６でＮｏ）、検証が失敗したログを分析用ログとして記憶装置２４４に一時的に記憶する（Ｓ１８）。
　次に、管理装置２４０は、検証が失敗したログと同じログの再送要求を、当該ログを出力した処理器に出力する（Ｓ１９）。ステップＳ１３～Ｓ１９の処理は、制御部２４３により行われる。
　そして、管理装置２４０は、再送要求に応じて取得したログ及び検証データに対してステップＳ１１以降の処理を実行する。
　図１１は、実施の形態に係る管理装置における分析用ログの送信制御の一例を示すフローチャートである。
　まず、管理装置２４０は、サーバ１００から送信要求を取得する（Ｓ２１）。ステップＳ２１は、取得部２４１により行われる。
　次に、管理装置２４０は、送信要求の対象の分析用ログが記憶装置２４４に記憶されているか否かを確認する（Ｓ２２）。
　次に、管理装置２４０は、送信要求の対象の分析用ログが記憶装置２４４に記憶されている場合（Ｓ２３でＹｅｓ）、当該分析用ログの検証の成否、つまり、当該分析用ログが正当であるか不当であるかを確認する（Ｓ２４）。具体的には、管理装置２４０は、分析用ログが不当識別情報と共に記憶されている場合、不当な分析用ログと判定し、分析用ログが識別情報が付与されずに記憶されている、又は、正当識別情報と共に記憶されている場合、正当な分析用ログと判定する。
　次に、管理装置２４０は、分析用ログの検証の結果が成功である場合、つまり、分析用ログが正当な情報である場合（Ｓ２５でＹｅｓ）、当該分析用ログをサーバへ送信する（Ｓ２６）。
　一方で、管理装置２４０は、分析用ログの検証の結果が失敗である場合、つまり、分析用ログが不当な情報である場合（Ｓ２５でＮｏ）、検証に失敗した検証データ、及び、不当識別情報が付与された当該分析用データをサーバ１００へ送信する（Ｓ２７）。
　［効果など］
　本実施の形態に係る管理装置２４０は、取得部２４１と、検証部２４２と、制御部２４３とを備える。取得部２４１は、各処理器２１０、２２０、２３０の動作におけるログと、当該ログが正当な情報であることを証明するための検証データとを処理器から取得する。検証部２４２は、取得部２４１により取得された検証データに基づいて、ログが正当な情報であるか否かの検証を行う。制御部２４３は、検証部２４２による検証の結果に応じて、ログを、異常を分析するための分析用ログとして記憶装置２４４へ記憶する記憶制御を行う。
　これによれば、管理装置２４０は、検証データに基づいてログが正当であるか否かに応じて、ログの記憶装置２４４への記憶を制御するため、分析用ログを適切に管理することができる。
　また、本実施の形態に係る管理装置２４０において、制御部２４３は、検証の結果、ログが正当な情報である場合、当該ログを分析用ログとして記憶装置２４４に記憶する。このため、記憶装置２４４の記憶容量を低減することができる。
　また、本実施の形態に係る管理装置２４０において、制御部２４３は、検証の結果、ログが正当な情報でない場合、ログが正当な情報でないことを示す不当識別情報と共にログを分析用ログとして記憶装置２４４に記憶する。このため、ログが不当である場合、当該ログを不当な分析用ログとして記憶装置に記憶することができる。
　また、本実施の形態に係る管理装置２４０において、制御部２４３は、検証の結果、ログが正当な情報でない場合、正当な情報でないログを出力した処理器へログ及び検証データの再送要求を送信する。取得部２４１は、再送要求に応じて上記処理器から再送されたログ及び検証データを取得する。検証部２４２は、再送された検証データに基づいて検証を行う。制御部２４３は、検証の結果、ログが正当な情報である場合、記憶装置２４４に記憶されている不当な分析用ログを、再送されたログで更新する。このため、ログが不当である場合に記憶装置２４４に記憶した不当な分析用ログを、正当な分析用ログに置き換えることができる。
　また、本実施の形態に係る管理装置２４０において、制御部２４３は、各処理器２１０、２２０、２３０により異常が検知されたログを第１分析用ログとして記憶装置２４４に記憶し、第１分析用ログの前後のタイミングで各処理器２１０、２２０、２３０により生成されたログを第２分析用ログとして記憶装置２４４に記憶する。このため、異常を検知したときに生成された分析用ログと、異常を検知していないときに生成された分析用ログとを区別して記憶装置２４４に記憶することができる。
　また、本実施の形態に係る管理装置２４０において、制御部２４３は、分析用ログに対する検証の結果に応じて、当該分析用ログをサーバ１００に送信する送信制御を行う。これによれば、管理装置２４０は、検証の結果に応じて、分析用ログをサーバ１００に送信するか否かを制御するため、分析用ログを適切に管理することができる。
　また、本実施の形態に係る管理装置２４０において、制御部２４３は、送信制御において、検証の結果、分析用ログが正当な情報でない場合、分析用ログが正当な情報でないことを示す不当識別情報と共に分析用ログをサーバ１００に送信する。このため、サーバ１００は、不当な分析用ログと、正当な分析用ログとを区別して記憶することができる。
　また、本実施の形態に係る管理装置２４０において、制御部２４３は、送信制御において、処理器により異常が検知された第１分析用ログについて、第１分析用ログが取得部２４１により取得された際に、サーバ１００へ第１分析用ログを自発的に送信する。また、制御部２４３は、送信制御において、第１分析用ログの前後のタイミングで処理器により生成された第２分析用ログについて、サーバ１００から分析用ログの送信要求を取得部２４１が取得した場合、当該送信要求に応じてサーバ１００へ第２分析用ログを送信する。このため、管理装置２４０は、異常が検知されたときに生成された第１分析用ログをただちにサーバ１００へ送信することができる。
　［変形例］
　（１）
　上記実施の形態における管理装置２４０は、自発的に第１分析用ログ又は第２分析用ログをサーバ１００へ送信する場合、検証が失敗した不当な分析用ログを送信しないこととしたが、これに限らずに、不当な分析用ログであることを示す不当識別情報と共に不当な分析用ログをサーバ１００へ送信してもよい。
　（２）
　上記実施の形態における管理装置２４０は、既に記憶装置２４４に分析用ログと同じ分析用ログであり、不当と判定された分析用ログが一時的に記憶されている場合、正当な分析用ログで更新するとしたが、これに限らずに、古い分析用ログと、再送要求により新たに取得した分析用ログとの両方を記憶装置２４４に記憶してもよい。また、再送要求を２回以上繰り返した場合、管理装置２４０は、一の分析用ログと、当該一の分析用ログと同じ分析用ログであって再送要求により取得した複数の分析用ログとを記憶装置２４４に記憶してもよい。
　（３）
　変形例の（３）の管理装置２４０Ａについて、図１２を用いて説明する。図１２は、変形例の（３）に係る管理装置の機能構成の一例を示すブロック図である。
　管理装置２４０Ａは、実施の形態における管理装置２４０と比較して、さらに、車両２００に対してサイバー攻撃が行われているか否かの判定を行う判定部２４５を備える点で異なる。他の構成要素は、実施の形態における管理装置２４０の構成要素と同じであるので説明を省略する。
　具体的には、判定部２４５は、第１分析用ログに対する検証データの検証処理が１回以上失敗した場合、つまり、第１分析用ログが不当な情報である場合、車両２００に対してサイバー攻撃が行われたと判定してもよい。この場合、判定部２４５は、不当な第１分析用ログを生成した処理器に対するサイバー攻撃が行われたと判定してもよい。
　また、判定部２４５は、異なる複数の処理器２１０、２２０、２３０から受信した複数の第２分析用ログに対する検証データの検証処理で、複数の検証データに対してその検証が失敗した場合、つまり、第２分析用ログが不当な情報である場合、車両２００に対してサイバー攻撃が行われていると判定してもよい。複数の第２分析用ログは、所定期間において生成されたログである。つまり、複数の第２分析用ログが生成された複数のタイミングにおいて、最も古いタイミングから最も新しいタイミングまでの間の期間が所定期間である。
　なお、車両２００は、移動体の一例である。
　管理装置２４０Ａの制御部２４３は、車両２００に対してサイバー攻撃が行われていると判定部２４５が判定した場合、車両２００が自動運転制御を行っていれば、自動運転制御を中止して、手動運転制御に切り替えることで電子制御を機械制御に切り替えてもよい。これにより、自動運転制御がサイバー攻撃による影響を受けることを抑制できるため、事故が発生することを回避することができる。
　また、制御部２４３は、車両２００に対してサイバー攻撃が行われていると判定部２４５が判定した場合、車両２００に対してサイバー攻撃が行われていることをドライバへ通知してもよい。ドライバへの通知は、車両２００が備える表示部（図示せず）に通知を表示させたり、車両２００が備えるスピーカ（図示せず）に通知の音声を出力させたりすることで為されてもよい。また、通知は、例えば、安全な場所に一時停止させることを促すメッセージであってもよい。これにより、ドライバは、例えば、車両２００を自動運転制御から手動運転制御に切り替えたり、安全な場所に車両２００を一時停止させたりすることができ、事故が発生することを回避することができる。
　（４）
　上記実施の形態又は変形例では、管理装置２４０、２４０Ａが、車両２００に搭載され、車両２００の制御のための通信を行う車載ネットワークシステムに含まれる例を示したが、車両２００以外の移動体の制御対象の制御のためのネットワークシステムに含まれるものであってもよい。移動体は、例えば、ロボット、航空機、船舶、機械、農作業機器、ドローン等である。
　以上のように、本開示における技術の例示として、実施の形態を説明した。そのために、添付図面および詳細な説明を提供した。
　したがって、添付図面および詳細な説明に記載された構成要素の中には、課題解決のために必須な構成要素だけでなく、上記技術を例示するために、課題解決のためには必須でない構成要素も含まれ得る。そのため、それらの必須ではない構成要素が添付図面や詳細な説明に記載されていることをもって、直ちに、それらの必須ではない構成要素が必須であるとの認定をするべきではない。
　また、上述の実施の形態は、本開示における技術を例示するためのものであるから、請求の範囲またはその均等の範囲において種々の変更、置き換え、付加、省略などを行うことができる。
　本開示は、分析用ログを適切に管理することができる管理装置、管理方法及びプログラム等に適用可能である。
　　１　　管理システム
　１１　　ＣＰＵ
　１２　　メインメモリ
　１３　　ストレージ
　１４　　通信ＩＦ（Ｉｎｔｅｒｆａｃｅ）
　２１　　ＥＣＵ＿Ａ
　２２　　ＥＣＵ＿Ｂ
　２３　　ＥＣＵ＿Ｃ
　２４　　ＥＣＵ＿Ｄ
　２５　　ＥＣＵ＿Ｅ
　２６　　ＥＣＵ＿Ｆ
１００　　サーバ
２００　　車両
２１０、２２０、２３０　　処理器
２１１、２２１、２３１　　異常検知部
２４０　　管理装置
２４１　　取得部
２４２　　検証部
２４３　　制御部
２４４　　記憶装置
３００　　通信ネットワーク
３１０　　基地局

Claims (12)

  1. 　処理器の動作又は通信におけるログと、前記ログが正当な情報であることを証明するための検証データとを前記処理器から取得する取得部と、
    　前記取得部により取得された前記検証データに基づいて、前記ログが正当な情報であるか否かの検証を行う検証部と、
    　前記検証部による検証の結果に応じて、前記ログを、異常を分析するための分析用ログとして記憶装置へ記憶する記憶制御を行う制御部と、を備える
    　管理装置。
  2. 　前記制御部は、前記検証の結果、前記ログが正当な情報である場合、当該ログを前記分析用ログとして前記記憶装置に記憶する
    　請求項１に記載の管理装置。
  3. 　前記制御部は、前記検証の結果、前記ログが正当な情報でない場合、前記ログが正当な情報でないことを示す不当識別情報と共に前記ログを前記分析用ログとして前記記憶装置に記憶する
    　請求項１または２に記載の管理装置。
  4. 　前記制御部は、前記検証の結果、前記ログが正当な情報でない場合、前記処理器へ前記ログ及び前記検証データの再送要求を送信し、
    　前記取得部は、前記再送要求に応じて前記処理器から再送されたログ及び検証データを取得し、
    　前記検証部は、前記再送された検証データに基づいて前記検証を行い、
    　前記制御部は、前記検証の結果、前記ログが正当な情報である場合、前記記憶装置に記憶されている不当な前記分析用ログを、再送されたログで更新する
    　請求項３に記載の管理装置。
  5. 　前記制御部は、前記処理器により異常が検知されたログを第１分析用ログとして前記記憶装置に記憶し、前記第１分析用ログの前後のタイミングで前記処理器により生成されたログを第２分析用ログとして前記記憶装置に記憶する
    　請求項１から４のいずれか１項に記載の管理装置。
  6. 　前記制御部は、前記分析用ログに対する前記検証の結果に応じて、当該分析用ログをサーバに送信する送信制御を行う
    　請求項１から５のいずれか１項に記載の管理装置。
  7. 　前記制御部は、前記送信制御において、前記検証の結果、前記分析用ログが正当な情報でない場合、前記分析用ログが正当な情報でないことを示す不当識別情報と共に前記分析用ログを前記サーバに送信する
    　請求項６に記載の管理装置。
  8. 　前記制御部は、前記送信制御において、
    　前記処理器により異常が検知された第１分析用ログについて、前記第１分析用ログが前記取得部により取得された際に、前記サーバへ前記第１分析用ログを自発的に送信し、
    　前記第１分析用ログの前後のタイミングで前記処理器により生成された第２分析用ログについて、前記サーバから分析用ログの送信要求を取得部が取得した場合、当該送信要求に応じて前記サーバへ前記第２分析用ログを送信する
    　請求項６または７に記載の管理装置。
  9. 　さらに、
    　前記検証部による検証の結果に応じて、前記処理器を含む移動体に対してサイバー攻撃が行われたか否かを判定する判定部を備える
    　請求項１から８のいずれか１項に記載の管理装置。
  10. 　前記処理器は、車両が備えるＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）である
    　請求項１から９のいずれか１項に記載の管理装置。
  11. 　処理器の動作又は通信におけるログと、前記ログが正当な情報であることを証明するための検証データとを前記処理器から取得し、
    　取得された前記検証データに基づいて、前記ログが正当な情報であるか否かの検証を行い、
    　前記検証の結果に応じて、前記ログを、異常を分析するための分析用ログとして記憶装置へ記憶する記憶制御を行う
    　管理方法。
  12. 　請求項１１に記載の管理方法をコンピュータに実行させるためのプログラム。
PCT/JP2021/037827 2020-10-27 2021-10-13 管理装置、管理方法及びプログラム WO2022091778A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
DE112021005689.1T DE112021005689T5 (de) 2020-10-27 2021-10-13 Verwaltungsvorrichtung, Verwaltungsverfahren und Programm
JP2022558983A JP7466819B2 (ja) 2020-10-27 2021-10-13 管理装置、管理方法及びプログラム
US18/135,531 US20230262505A1 (en) 2020-10-27 2023-04-17 Management device, management method, and recording medium

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2020-179464 2020-10-27
JP2020179464 2020-10-27

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US18/135,531 Continuation US20230262505A1 (en) 2020-10-27 2023-04-17 Management device, management method, and recording medium

Publications (1)

Publication Number Publication Date
WO2022091778A1 true WO2022091778A1 (ja) 2022-05-05

Family

ID=81383777

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/037827 WO2022091778A1 (ja) 2020-10-27 2021-10-13 管理装置、管理方法及びプログラム

Country Status (4)

Country Link
US (1) US20230262505A1 (ja)
JP (1) JP7466819B2 (ja)
DE (1) DE112021005689T5 (ja)
WO (1) WO2022091778A1 (ja)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018125680A (ja) * 2017-01-31 2018-08-09 セコム株式会社 ゲートウェイ装置、機器、及び通信システム
WO2019193786A1 (ja) * 2018-04-06 2019-10-10 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ ログ出力方法、ログ出力装置及びプログラム

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10369942B2 (en) 2014-01-06 2019-08-06 Argus Cyber Security Ltd. Hosted watchman
JP2018082247A (ja) 2016-11-14 2018-05-24 株式会社東芝 通信装置、通信システム、通信方法及びプログラム

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018125680A (ja) * 2017-01-31 2018-08-09 セコム株式会社 ゲートウェイ装置、機器、及び通信システム
WO2019193786A1 (ja) * 2018-04-06 2019-10-10 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ ログ出力方法、ログ出力装置及びプログラム

Also Published As

Publication number Publication date
US20230262505A1 (en) 2023-08-17
DE112021005689T5 (de) 2023-08-17
JP7466819B2 (ja) 2024-04-15
JPWO2022091778A1 (ja) 2022-05-05

Similar Documents

Publication Publication Date Title
US11804953B2 (en) Key management method used in encryption processing for safely transmitting and receiving messages
JP6585019B2 (ja) ネットワーク監視装置、ネットワークシステムおよびプログラム
CN107925600B (zh) 安全处理方法以及服务器
US10360018B2 (en) Update control apparatus, software update system, and update control method
US10986093B2 (en) Monitoring device, monitoring method, and computer program
US20180234248A1 (en) Communication system, vehicle, and monitoring method
US20180148006A1 (en) Gateway device, vehicle network system, and transfer method
JP7231559B2 (ja) 異常検知電子制御ユニット、車載ネットワークシステム及び異常検知方法
JP6782446B2 (ja) 監視装置、通信システム、車両、監視方法、およびコンピュータプログラム
CN112437056B (zh) 安全处理方法以及服务器
US20190306180A1 (en) System and method of generating rules for blocking a computer attack on a vehicle
JP2018160786A (ja) 監視装置、監視方法およびコンピュータプログラム
US20210155270A1 (en) Information Processing Device and Abnormality Handling Method
US10135866B2 (en) Method of preventing drive-by hacking, and apparatus and system therefor
WO2019193786A1 (ja) ログ出力方法、ログ出力装置及びプログラム
US20180310173A1 (en) Information processing apparatus, information processing system, and information processing method
EP3547191B1 (en) System and method of generating rules for blocking a computer attack on a vehicle
JP2018117254A (ja) 監視装置、監視方法およびコンピュータプログラム
JP2018170719A (ja) 情報処理装置、情報処理方法及びプログラム
US20220019661A1 (en) Log analysis device
WO2022091778A1 (ja) 管理装置、管理方法及びプログラム
US11757745B2 (en) Gateway apparatus, abnormality monitoring method, and storage medium
EP3547192B1 (en) System and method of blocking a computer attack on a means of transportation
JP2020141318A (ja) 車載制御装置
JP2015192216A (ja) 通信装置および通信方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21885897

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022558983

Country of ref document: JP

Kind code of ref document: A

122 Ep: pct application non-entry in european phase

Ref document number: 21885897

Country of ref document: EP

Kind code of ref document: A1