WO2022224582A1 - 情報処理装置、情報処理方法、プログラムおよび記憶媒体 - Google Patents

情報処理装置、情報処理方法、プログラムおよび記憶媒体 Download PDF

Info

Publication number
WO2022224582A1
WO2022224582A1 PCT/JP2022/007396 JP2022007396W WO2022224582A1 WO 2022224582 A1 WO2022224582 A1 WO 2022224582A1 JP 2022007396 W JP2022007396 W JP 2022007396W WO 2022224582 A1 WO2022224582 A1 WO 2022224582A1
Authority
WO
WIPO (PCT)
Prior art keywords
log
data
computer
processing computer
processing
Prior art date
Application number
PCT/JP2022/007396
Other languages
English (en)
French (fr)
Inventor
恒太 井手口
隆 山口
Original Assignee
日立Astemo株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日立Astemo株式会社 filed Critical 日立Astemo株式会社
Priority to EP22791364.7A priority Critical patent/EP4328753A1/en
Priority to CN202280025037.2A priority patent/CN117083598A/zh
Priority to US18/549,942 priority patent/US20240152441A1/en
Publication of WO2022224582A1 publication Critical patent/WO2022224582A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3466—Performance evaluation by tracing or monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3466—Performance evaluation by tracing or monitoring
    • G06F11/3476—Data logging

Definitions

  • the security operations center uses a security information and event management (SIEM) system as an example of a system that integrates and analyzes various security events and logs.
  • SIEM security information and event management
  • the present invention was made in order to solve such problems, and aims to provide a technology that enables efficient sharing of alert-related information between multiple systems.
  • An example of an information processing device is an ID assigning computer that assigns a log ID to the collected log data of the device; a first processing computer that stores the log data and the log ID and detects an abnormality based on the log data; storing the log data and the log ID, detecting an anomaly based on the log data, and transmitting the log ID of the log data in which an anomaly has been detected and an anomaly detection result to the first processing computer; a second processing computer; with The first processing computer associates and stores the log data stored in the first processing computer and the received detection result based on the log ID received from the second processing computer.
  • An example of the information processing method is a step in which the ID assigning computer assigns a log ID to the collected log data of the device; a step of a first processing computer storing the log data and the log ID; a step of the first processing computer detecting an abnormality based on the log data; a second processing computer storing the log data and the log ID; a step of storing a log ID; a step of the second processing computer detecting an anomaly based on the log data; and a step of the second processing computer storing the log ID and the anomaly sending a detection result to the first processing computer; a step in which the first processing computer associates and stores the log data stored in the first processing computer with the received detection result based on the log ID received from the second processing computer; Prepare.
  • This specification includes the disclosure content of Japanese Patent Application No. 2021-073241, which is the basis of priority of this application.
  • alert-related information can be efficiently shared among multiple systems.
  • alerts issued by one data analysis system and related log information can be shared in a form that other data analysis systems can utilize. make it possible to
  • FIG. 1 shows the configuration of a client server system according to a first embodiment of the present invention
  • 2 shows the configuration of the data collection server of FIG. 1
  • 2 shows the configuration of the data analysis server of FIG. 1
  • 2 shows the configuration of the IoT device in FIG. 1
  • 4 shows the configuration of a log storage DB
  • 4 shows the configuration of an analyzed log storage DB
  • 4 shows the configuration of an alert DB
  • 4 shows an overview of the flow of log processing according to the first embodiment of the present invention
  • 4 shows an overview of the flow of processing during log transfer of the log collection server according to the first embodiment of the present invention
  • 4 shows an overview of the flow of processing when an alert is issued according to the first embodiment of the present invention
  • 4 shows the configuration of a data collection server according to a second embodiment of the present invention
  • 4 shows the configuration of a data analysis server according to a second embodiment of the present invention
  • the "interface unit” may be one or more interfaces.
  • the one or more interfaces may be one or more similar communication interface devices (for example, one or more NIC (Network Interface Card)) or two or more different types of communication interface devices (for example, NIC and HBA (Host Bus Adapter) )).
  • NIC Network Interface Card
  • HBA Home Bus Adapter
  • a "computation unit” is one or more computation modules.
  • At least one computing module is typically a microprocessor such as a CPU (Central Processing Unit), but may be another type of computing module such as a GPU (Graphics Processing Unit).
  • a processor as at least one computing module may be single-core or multi-core.
  • At least one computing module may be a broadly defined computing module such as a hardware circuit (for example, FPGA (Field-Programmable Gate Array) or ASIC (Application Specific Integrated Circuit)) that performs part or all of the processing.
  • FPGA Field-Programmable Gate Array
  • ASIC Application Specific Integrated Circuit
  • the storage unit and computing module, or the computer including these may be virtual.
  • the storage unit and computing module, or the computer including these may be virtual.
  • one or more virtual computers having one or more virtual storage units and one or more virtual computing modules can be configured.
  • DB database
  • xxxDB can be called “xxx information”.
  • the configuration of each DB is an example.
  • information contained in one DB may be divided into two or more DBs.
  • Distributed information may be aggregated into one DB.
  • the function may be described using the expression "yyy part" (excluding the interface part, the storage part, and the calculation part), but the function is defined as one or more computer programs executed by the calculation part. or by one or more hardware circuits (FPGA or ASIC, for example).
  • a function is realized by executing a program by a computing unit, the specified processing is performed using a storage unit and/or an interface unit as appropriate, so the function is at least part of the computing unit.
  • a process described with a function as the subject may be a process performed by a computing unit or a device having the computing unit. Programs may be installed from program sources.
  • the program source may be, for example, a program distribution computer or a computer-readable recording medium (for example, a non-temporary recording medium).
  • the description of each function is an example, and multiple functions may be combined into one function, or one function may be divided into multiple functions.
  • the unit of "time” may be year, month, day, hour, minute, second, or may be coarser or finer than that, or may be a unit different from them.
  • IoT device 105 when each IoT device is not distinguished from each other, it is collectively referred to as "IoT device 105", and when each IoT device is distinguished from each other, it is referred to as "IoT device 105A” and “IoT device 105B”. .
  • FIG. 1 shows the configuration of an information processing apparatus according to the first embodiment of the present invention.
  • the information processing apparatus is implemented as a client-server system.
  • a client-server system executes the information processing methods described herein.
  • Each of a plurality of data analysis servers 103 (e.g. 103A, 103B) exists as an example of a server that analyzes data
  • a data collection server 101 exists as an example of a server that collects data from devices
  • an IoT device 105 (e.g. Each of the IoT devices 105A-105C) exists as an example of a client.
  • Communication is performed between the plurality of data analysis servers 103 and the data collection server 101 via the communication network 102 .
  • Communication is performed between the data collection server 101 and each of the plurality of IoT devices 105 via a communication network 104 such as a wireless communication network.
  • node A is node IDs (an example of client IDs) assigned to the IoT devices 105.
  • FIG. 2 shows the configuration of the data collection server 101.
  • the data collection server 101 is typically a computer system (one or more computers) and has an interface unit 201, a storage unit 202, and a computing unit 203 connected thereto.
  • the transfer destination determination unit 223 determines to which data analysis server 103 the log data transmitted from the IoT device 105 should be transferred.
  • the transfer destination is determined according to the source of the log data, the content of the log data, and the like.
  • a rule-based method may be adopted in which a transfer destination is determined by applying a rule to the source of log data and the content of the log data, but the method is not limited to this.
  • the number of data analysis servers 103 to which each piece of log data is transferred may be any number equal to or greater than zero.
  • the collection time column 501 stores the time when the data collection server 101 received the log data.
  • the log ID column 502 stores log IDs given to log data by the log ID generation unit 222 .
  • the log data column 503 stores log data (which may be called raw data) transmitted from the IoT device 105 .
  • Information stored in the log storage DB 211 is not limited to these.
  • FIG. 3 shows the configuration of the data analysis server 103.
  • the data analysis server 103 functions as a processing computer.
  • data analysis server 103A is a first processing computer and data analysis server 103B is a second processing computer.
  • the data analysis server 103 is typically a computer system (one or more computers) and has an interface unit 301, a storage unit 302, and a computing unit 303 connected thereto.
  • Examples of other information stored in the storage unit 302 include an analyzed log storage DB 311 and an alert DB 312. Details of the analyzed log storage DB 311 and the alert DB 312 will be described later.
  • the VIN column 603 stores the identifier VIN of the vehicle that sent the log data.
  • the ECU column 604 stores the type of ECU that generated the log data.
  • An engine RPM column 605 stores the engine speed described in the log data.
  • Information stored in the analyzed log storage DB 311 is not limited to these.
  • the upper limit (maximum number of records) of the number of records stored in the analyzed log storage DB 311 can be, for example, 5 as shown in the figure, but this upper limit can be changed as appropriate.
  • the IoT device 105 has an interface unit 401, a storage unit 402, and a computing unit 403 connected thereto.
  • Communication with the data collection server 101 is performed via the interface unit 401 .
  • the storage unit 402 stores one or more computer programs executed by the computing unit 403 and information referenced or updated by the computing unit 403 .
  • the one or more computer programs function as the IoT device 105 by causing the computer to perform the methods described herein.
  • the storage unit 402 also includes a log storage unit 411 .
  • connection control unit 421 and the log transmission unit 422 are realized by the operation unit 403 executing one or more computer programs.
  • the connection control unit 421 controls connection with the data collection server 101 .
  • the log transmission unit 422 transmits logs in the log storage unit 411 to the data collection server 101 .
  • FIG. 8 shows an overview of a series of flows from when the IoT device 105 according to this embodiment transmits the log to when the data analysis server 103 analyzes the log.
  • the information processing method according to this embodiment includes steps shown in FIG.
  • the IoT device 105 When data to be transmitted is generated, the IoT device 105 stores the data as log data in the log storage unit 411, and transmits the log data to the data collection server 101 by the log transmission unit 422 (S801).
  • the data collection server 101 transfers the received log to the data analysis server 103 (S802). Details of S802 will be described later.
  • the data analysis server 103 analyzes the received log (S803). Details of S803 will be described later.
  • FIG. 9 explains the details of S802 and shows an overview of the flow of data transfer by the data collection server 101.
  • FIG. 9 explains the details of S802 and shows an overview of the flow of data transfer by the data collection server 101.
  • the transfer destination determination unit 223 of the data collection server 101 determines whether the log matches the transfer rule to the data analysis server 103A (S903). If they do not match, the process proceeds to S905. If they match, the log (including log data and log ID) is transferred to the data analysis server 103A (S904), and the process proceeds to S905.
  • the data analysis servers 103A and 103B store the logs (including log data and log ID) received from the data collection server 101 in the analyzed log storage DB 311 of the storage unit 302 (S1000).
  • the specific format of the data to be stored can be designed as appropriate, a record is constructed by extracting a field for each item included in the log data, as shown in FIG. 6, for example.
  • the log that the data collection server 101 transmits to the data analysis server 103A and the log that the data collection server 101 transmits to the data analysis server 103B may not be the same.
  • the alert detection unit 322 of the data analysis server 103B detects a log set (log set) related to log data indicating an abnormality from the analyzed log storage DB 311 and issues an alert (S1001). For example, the alert detection unit 322 detects anomalies based on log data.
  • the alert transfer unit 323 of the data analysis server 103B associates the log ID (for example, a list of log IDs included in a log set) and the alert (abnormality detection result) of the log data in which an abnormality is detected with the data analysis server 103A.
  • Send (S1002) The abnormality detection result includes, for example, the content or type of abnormality. Moreover, the abnormality detection result may include the detection time.
  • the analyzed log linking unit 324 of the data analysis server 103A stores the log data stored in the data analysis server 103A and the received detection result. are associated with each other and stored in the alert DB 312 (S1003).
  • a log ID list is stored in the related log column of the alert DB 312 as shown in FIG.
  • the method of association is not limited to this.
  • both the data analysis servers 103A and 103B use the common log ID assigned by the data collection server 101, so the log data stored in the data analysis server 103A and the log data received from the data analysis server 103B
  • the association with the detected result can be performed via the log ID. In that case, association can be achieved by simply storing the log ID.
  • timing at which the alert transfer unit 323 transfers the abnormality detection result in S1002 may be immediately after the alert detection in S1001 or after some time has passed after the alert detection. In the latter case, an example is transfer during regular batch processing.
  • the log request reception unit 1124 receives the log ID list from the data analysis server, extracts the logs having the log IDs in the log ID list from the log storage DB 211, and transmits the set of extracted logs to the data analysis server 1203.
  • the log requesting unit 1225 stores log data corresponding to one of the log IDs (for example, in the form of a log ID list) received from the other data analysis server 1203 in relation to the detection result of abnormality. If not, a process of requesting the log data (log request process) is executed. For example, the analyzed log linking unit 324 requests the log by transmitting a log ID list including log IDs that could not be linked to the log in the analyzed log storage DB 311 to the data collection server 1101 .
  • FIG. 13 explains the details of S803 in this embodiment, and shows an outline of the flow of analysis of data in the data analysis servers and sharing of alerts between the data analysis servers.
  • the log request unit of the data analysis server 1203A creates a list of log IDs of logs that are not stored (S1304), and sends this log ID list to the data collection server 1101. Send (S1305). This corresponds to log request processing.
  • the log request reception unit 1124 of the data collection server 1101 extracts the log having the same log ID as the log ID of the received log ID list from the log storage DB 211, and transmits the set of extracted logs to the data analysis server 1203A ( S1306).
  • the data analysis server 1203A processes the set of received logs and stores them in the analyzed log storage DB 311 (S1307).
  • FIG. 14 shows an example of a data collection server.
  • the data collection server 1401 includes a related log extraction unit 1425 in the calculation unit in addition to the data collection server 1101 of FIG.
  • the related log extraction unit 1425 receives the detection result of the abnormality from the log request reception unit 1124, extracts the log possibly related to the detection result from the log storage DB 211, and lists the log IDs of the extracted logs (related log ID list) is returned to the log request reception unit 1124 .
  • a method of extracting logs that may be related to the detection result is a method of extracting one or more logs according to the detection result (for example, based on the log ID and according to predefined rules for each alert content). However, it is not limited to this.
  • the log request reception unit 1124 receives detection results and a log ID list from the data analysis server 1203 and passes them to the related log extraction unit 1425 . Then, the related log ID list returned from the related log extracting unit 1425 and a set of logs having log IDs included in the related log ID list extracted from the log storage DB 211 are sent together to the data analysis server 1203. do.
  • FIG. 15 explains the details of S803 in this embodiment, and shows an outline of the flow of data analysis in the data analysis server 1203 and sharing of alerts between data analysis servers.
  • the log request reception unit 1124 of the data collection server 1401 receives the detection result and the log ID list from the data analysis server 1203 and passes them to the related log extraction unit 1425. Then, the related log ID list returned from the related log extracting unit 1425 and a set of logs having log IDs included in the related log ID list extracted from the log storage DB 211 are sent together to the data analysis server 1203A. (S1506).
  • the data analysis server 1203A when the data analysis server 1203A receives the detection result of an abnormality from another data analysis server 1203B, it analyzes the log that caused the detection (the log that generated the alert). Even if the completed log storage DB 311 does not hold the logs, it is possible to collect missing logs and logs that may be related to the alert from the data collection server 1401 and analyze the alert.
  • the data analysis server 1703 notifies the abnormality detection result to the outside prior to log request processing. That is, the log request process is executed after the detection result is notified to the outside.
  • the content of the alert to be sent or output can also be designed as appropriate. It can also contain the log ID of the log that caused it, or a list of them.
  • the content of an alert can be output early before data is transmitted and received between data analysis servers. can be recognized early. This effect is particularly remarkable when data transmission/reception between data analysis servers is performed by batch processing, and an alert can be recognized without waiting for scheduled execution of batch processing.
  • Log data column 601 Collection time column 602; Log ID column 603... VIN column 604... ECU column 605... Engine RPM column 701... Detection time column 702... Alert ID column 703... Alert content column 704 Related log column 1101 Data collection server 1124 Log request reception unit 1203 Data analysis server 1225 Log request unit 1401 Data collection server 1425 Related log extraction unit 1605 Vehicle 1606 Connected car center 1703 Data Analysis Server 1725 --Information Department All publications, patents and patent applications cited herein are hereby incorporated by reference in their entirety.

Landscapes

  • Engineering & Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Debugging And Monitoring (AREA)

Abstract

アラートに関する情報を複数のシステム間で効率的に共有できる情報処理装置を提供する。　情報処理装置は、収集された機器のログデータにログＩＤを付与する、ＩＤ付与コンピュータと、前記ログデータおよび前記ログＩＤを記憶し、前記ログデータに基づいて異常を検知する、第一処理コンピュータと、前記ログデータおよび前記ログＩＤを記憶し、前記ログデータに基づいて異常を検知し、異常が検知された前記ログデータの前記ログＩＤおよび異常の検知結果を前記第一処理コンピュータに送信する、第二処理コンピュータと、を備え、前記第一処理コンピュータは、前記第二処理コンピュータから受信した前記ログＩＤに基づき、前記第一処理コンピュータに記憶される前記ログデータと受信した前記検知結果とを関連付けて記憶する。

Description

情報処理装置、情報処理方法、プログラムおよび記憶媒体
　本発明は、情報処理装置、情報処理方法、プログラムおよび記憶媒体に関わり、たとえば、サーバシステムにおけるデータの分析、および、共有に関わる。
　あらゆるモノがインターネットに繋がるＩｏＴ化が進む中、ＩｏＴ機器のセキュリティを担保することが重要な社会課題の一つとなっている。特にＩｏＴ機器がコネクテッドカーや自動運転車などの自動車である場合、自動車がセキュリティ上の攻撃を受けることで、人の安全性を脅かす場合があり、そのような安全性上の被害を最小限に抑える技術が求められている。
　自動車へのサイバー攻撃の被害を最小限に抑える対策として、サーバで自動車から送信されるログを監視し、自動車へのサイバー攻撃を検知し、攻撃に対処する自動車向けのセキュリティオペレーションセンタがある。
　従来、セキュリティオペレーションセンタは企業などのＩＴシステムに対するサイバー攻撃への対策として、導入されてきた。この従来型のセキュリティオペレーションセンタとは異なり、コネクテッドカーや自動運転車、また、これらの自動車がつながるサーバシステムやモバイル端末などから構成されるシステムを監視対象としたセキュリティオペレーションセンタが、自動車向けセキュリティオペレーションセンタである。Vehicle Security Operation Center（VSOC）と呼ばれる場合もある。
　特許文献１では、セキュリティオペレーションセンタの監視システムで発生するアラートに、アラートの評価結果に基づき分類情報を付加することにより、アラートを正確に評価して、監視対象システムを安定、かつ、安全に運営できるようにする、システムが開示されている。
　セキュリティオペレーションセンタでは、様々なセキュリティイベントやログを統合して分析するシステムの例として、セキュリティ情報・イベント管理（ＳＩＥＭ）システムが利用される。従来のＩＴシステム向けセキュリティオペレーションセンタに対しては、すでに実績のあるＳＩＥＭ製品が多く存在しているが、自動車向けセキュリティオペレーションセンタに対しては、実績のあるＳＩＥＭ製品が少ない。このため、自動車向けセキュリティオペレーションセンタでは、実績はないが自動車向けに作られた検知ルールなどを保有するＳＩＥＭと、ＩＴシステム向けの実績があるＳＩＥＭとを組み合わせて利用する場合がある。
国際公開第２０２０／２５５５１２号パンフレット
　しかしながら、従来の技術では、アラートに関する情報を複数のＳＩＥＭシステム間で効率的に共有することが困難であるという課題があった。
　複数のＳＩＥＭシステムを組み合わせてセキュリティオペレーションセンタを構築する場合、一つのＳＩＥＭシステムが発出したアラートを、他のＳＩＥＭシステムに共有する方法が必要となる。しかしながら、ＳＩＥＭシステム毎に、監視対象のログとその分析方法、分析結果の保有の仕方は異なるため、複数のＳＩＥＭシステム間でアラート情報だけを共有しても、アラートを受け取ったシステムでその情報を十分に活用することは難しい。
　例えば、特許文献１によると、アラートにそれに紐づく識別子や評価結果に基づく分類情報を付加することで、アラートを正確に評価するシステムを構築しているが、特許文献１は、アラートとそれに紐づく識別子や分類情報を、複数のシステム間で活用できる形で共有する仕組みを与えるものではない。
　本発明はこのような課題を解決するためになされたものであり、アラートに関する情報を複数のシステム間で効率的に共有できる技術を提供することを目的とする。
　本発明に係る情報処理装置の一例は、
　収集された機器のログデータにログＩＤを付与する、ＩＤ付与コンピュータと、
　前記ログデータおよび前記ログＩＤを記憶し、前記ログデータに基づいて異常を検知する、第一処理コンピュータと、
　前記ログデータおよび前記ログＩＤを記憶し、前記ログデータに基づいて異常を検知し、異常が検知された前記ログデータの前記ログＩＤおよび異常の検知結果を前記第一処理コンピュータに送信する、第二処理コンピュータと、
を備え、
　前記第一処理コンピュータは、前記第二処理コンピュータから受信した前記ログＩＤに基づき、前記第一処理コンピュータに記憶される前記ログデータと受信した前記検知結果とを関連付けて記憶する。
　本発明に係る情報処理方法の一例は、
　ＩＤ付与コンピュータが、収集された機器のログデータにログＩＤを付与するステップと、
　第一処理コンピュータが、前記ログデータおよび前記ログＩＤを記憶するステップと、　前記第一処理コンピュータが、前記ログデータに基づいて異常を検知するステップと、　第二処理コンピュータが、前記ログデータおよび前記ログＩＤを記憶するステップと、　前記第二処理コンピュータが、前記ログデータに基づいて異常を検知するステップと、　前記第二処理コンピュータが、異常が検知された前記ログデータの前記ログＩＤおよび異常の検知結果を前記第一処理コンピュータに送信するステップと、
　前記第一処理コンピュータが、前記第二処理コンピュータから受信した前記ログＩＤに基づき、前記第一処理コンピュータに記憶される前記ログデータと受信した前記検知結果とを関連付けて記憶するステップと、
を備える。
　本明細書は本願の優先権の基礎となる日本国特許出願番号2021-073241号の開示内容を包含する。
　本発明に係る技術によれば、アラートに関する情報を複数のシステム間で効率的に共有できる。
　たとえば、ＳＩＥＭを例とする複数のデータ分析システム間で、少ない通信データ量で、一つのデータ分析システムが発出するアラートとその関連ログの情報を、他のデータ分析システムが活用できる形で、共有することを可能にする。
本発明の第１の実施形態に係るクライアントサーバシステムの構成を示す。 図１のデータ収集サーバの構成を示す。 図１のデータ分析サーバの構成を示す。 図１のＩｏＴ機器の構成を示す。 ログ格納ＤＢの構成を示す。 分析済みログ格納ＤＢの構成を示す。 アラートＤＢの構成を示す。 本発明の第１の実施形態に係るログ処理の流れの概要を示す。 本発明の第１の実施形態に係るログ収集サーバのログ転送時の処理の流れの概要を示す。 本発明の第１の実施形態に係るアラート発出時の処理の流れの概要を示す。 本発明の第２の実施形態に係るデータ収集サーバの構成を示す。 本発明の第２の実施形態に係るデータ分析サーバの構成を示す。 本発明の第２の実施形態に係るアラート発出時の処理の流れの概要を示す。 本発明の第３の実施形態に係るデータ収集サーバの構成を示す。 本発明の第３の実施形態に係るアラート発出時の処理の流れの概要を示す。 本発明の第１の実施形態に係るクライアントサーバシステムの具体例としての自動車システムの構成を示す。 本発明の第１の実施形態の一変形例に係るデータ分析サーバの構成を示す。
　以下の説明では、「インターフェース部」は、１以上のインターフェースでよい。当該１以上のインターフェースは、１以上の同種の通信インターフェースデバイス（例えば１以上のＮＩＣ（Network Interface Card））であってもよいし２以上の異種の通信インターフェースデバイス（例えばＮＩＣとＨＢＡ（Host Bus Adapter））であってもよい。
　また、以下の説明では、「記憶部」は、１以上のメモリ装置であり、典型的には主記憶デバイスでよい。記憶部における少なくとも１つのメモリは、揮発性メモリであってもよいし不揮発性メモリであってもよい。不揮発性メモリは、例えばＨＤＤ（Hard Disk Drive）又はＳＳＤ（Solid State Drive）である。また、記憶部は、非一時的な(non-transitory)記憶媒体を含んでもよい。
　また、以下の説明では、「演算部」は、１以上の演算モジュールである。少なくとも１つの演算モジュールは、典型的には、ＣＰＵ（Central Processing Unit）のようなマイクロプロセッサであるが、ＧＰＵ（Graphics Processing Unit）のような他種の演算モジュールでもよい。少なくとも１つの演算モジュールとしてのプロセッサは、シングルコアでもよいしマルチコアでもよい。少なくとも１つの演算モジュールは、処理の一部又は全部を行うハードウェア回路（例えばＦＰＧＡ（Field-Programmable Gate Array）又はＡＳＩＣ（Application Specific Integrated Circuit））といった広義の演算モジュールでもよい。
　また、記憶部および演算モジュール、またはこれらを含むコンピュータは、仮想的なものであってもよい。たとえば、１つのコンピュータにおいてプログラムが実行されることにより、１以上の仮想的な記憶部および１以上の仮想的な演算モジュールを備える１以上の仮想的なコンピュータを構成することができる。
　また、以下の説明では、「ＤＢ」（データベース）は、どのような構造のデータでもよい。従って、「ｘｘｘＤＢ」を「ｘｘｘ情報」と言うことができる。また、以下の説明において、各ＤＢの構成は一例であり、以下の説明において１つのＤＢに含まれる情報は、２以上のＤＢに分割されてもよいし、以下の説明において２以上のＤＢに分散する情報が１つのＤＢに集約されてもよい。
　また、以下の説明では、「ｙｙｙ部」（インターフェース部、記憶部及び演算部を除く）の表現にて機能を説明することがあるが、機能は、１以上のコンピュータプログラムが演算部によって実行されることで実現されてもよいし、１以上のハードウェア回路（例えばＦＰＧＡ又はＡＳＩＣ）によって実現されてもよい。プログラムが演算部によって実行されることで機能が実現される場合、定められた処理が、適宜に記憶部及び／又はインターフェース部等を用いながら行われるため、機能は演算部の少なくとも一部とされてもよい。機能を主語として説明された処理は、演算部あるいはその演算部を有する装置が行う処理としてもよい。プログラムは、プログラムソースからインストールされてもよい。プログラムソースは、例えば、プログラム配布計算機又は計算機が読み取り可能な記録媒体（例えば非一時的な記録媒体）であってもよい。各機能の説明は一例であり、複数の機能が１つの機能にまとめられたり、１つの機能が複数の機能に分割されたりしてもよい。
　また、以下の説明では、「時刻」の単位は、年月日時分秒でもよいし、それよりも粗くても細かくてもよいし、それらとは異なる単位でもよい。
　また、以下の説明では、同種の要素を区別しないで説明する場合には、参照符号のうちの共通符号を使用し、同種の要素を区別する場合は、個別の参照符号を使用することがある。例えば、各ＩｏＴ機器を互いに区別しない場合には、総称して「ＩｏＴ機器１０５」と言い、各ＩｏＴ機器を互いに区別する場合には、「ＩｏＴ機器１０５Ａ」、「ＩｏＴ機器１０５Ｂ」のように言う。
　以下、図面を参照して、本発明の幾つかの実施形態を説明する。
［第１の実施形態］
　図１は、本発明の第１の実施形態に係る情報処理装置の構成を示す。本実施形態では、情報処理装置はクライアントサーバシステムとして実現される。クライアントサーバシステムは、本明細書に記載される情報処理方法を実行する。
　複数のデータ分析サーバ１０３（例えば１０３Ａ、１０３Ｂ）のそれぞれがデータを分析するサーバの一例として存在し、データ収集サーバ１０１が、機器からデータを収集するサーバの一例として存在し、ＩｏＴ機器１０５（例えばＩｏＴ機器１０５Ａ～１０５Ｃ）の各々がクライアントの一例として存在する。複数のデータ分析サーバ１０３とデータ収集サーバ１０１との間で、通信ネットワーク１０２を介して、通信が行われる。データ収集サーバ１０１と複数のＩｏＴ機器１０５の各々との間で、無線通信ネットワークのような通信ネットワーク１０４を介して、通信が行われる。
　ＩｏＴ機器１０５として、種々の機器を採用し得る。例えば、図１６に示されるように、各ＩｏＴ機器は、道路を走る複数の車両１６０５でよく、また、車両に対してオンラインサービスを提供するコネクテッドカーセンタ１６０６であってもよい。
　なお、図１において、“ノードＡ”、“ノードＢ”、“ノードＣ”の表記は、ＩｏＴ機器１０５に割り振られているノードＩＤ（クライアントＩＤの一例）である。
　図２は、データ収集サーバ１０１の構成を示す。
　データ収集サーバ１０１は、典型的には計算機システム（１以上の計算機）であり、インターフェース部２０１、記憶部２０２及びそれらに接続された演算部２０３を有する。
　インターフェース部２０１経由で、データ分析サーバ１０３およびＩｏＴ機器１０５との通信が行われる。
　記憶部２０２は、演算部２０３により実行される１以上のコンピュータプログラムや演算部２０３により参照又は更新される情報を格納する。この１以上のコンピュータプログラムは、本明細書に記載される方法をコンピュータに実行させることにより、データ収集サーバ１０１として機能させる。１以上のコンピュータプログラムは、非一時的な記憶媒体に格納されてもよい。また、このプログラムおよび後述する他のプログラムを含むプログラムが、本明細書に記載される方法をコンピュータシステムに実行させることにより、当該コンピュータシステムを情報処理装置として機能させる。
　演算部２０３が１以上のコンピュータプログラムを実行することにより、接続制御部２２１、ログＩＤ生成部２２２及び転送先判定部２２３といった機能が実現される。
　また、記憶部２０２に格納される他の情報の一例として、ログ格納ＤＢ２１１がある。ログ格納ＤＢ２１１の詳細は後述する。
　接続制御部２２１は、データ分析サーバ１０３およびＩｏＴ機器１０５との接続を制御する。
　ログＩＤ生成部２２２は、ＩｏＴ機器１０５から送信されるログデータを収集し、収集されたログデータに、各ログデータを識別するログＩＤを付与することにより、ログを生成する。すなわち、ログは、ログデータおよびログＩＤを含む。ログＩＤは、各々のログデータを識別するための一意の識別子である。このように、データ収集サーバ１０１は、ＩＤ付与コンピュータとして機能する。ログＩＤは、データ収集サーバ１０１へのログの到着順を示す番号であってもよいが、これに限られるものではない。
　転送先判定部２２３は、ＩｏＴ機器１０５から送信されたログデータをどのデータ分析サーバ１０３に転送するかを判定する。転送先は、ログデータの送信元やログデータの内容などに応じて決定される。これには、ログデータの送信元やログデータの内容をルールにあてはめ、転送先を決定するルールベースの手法がとられてもよいが、これに限られるものではない。各々のログデータの転送先のデータ分析サーバ１０３の数は、０個以上の任意の数であってよい。
　図５は、ログ格納ＤＢ２１１の一例を示す。１つのレコードはたとえばログと呼ばれ、ログは、たとえば収集時刻コラム５０１と、ログＩＤコラム５０２と、ログデータコラム５０３とを含む。ＩｏＴ機器１０５から送信される１つのログデータは、１つのレコードの１つのフィールドに格納される。
　収集時刻コラム５０１は、データ収集サーバ１０１がログデータを受け取った時刻を格納する。ログＩＤコラム５０２は、ログＩＤ生成部２２２がログデータに付与するログＩＤを格納する。ログデータコラム５０３は、ＩｏＴ機器１０５から送信されるログデータ（生データと呼ばれるものであってもよい）が格納される。なお、ログ格納ＤＢ２１１に格納する情報は、これらに限らない。
　図３は、データ分析サーバ１０３の構成を示す。データ分析サーバ１０３は、処理コンピュータとして機能する。たとえば、データ分析サーバ１０３Ａは第一処理コンピュータであり、データ分析サーバ１０３Ｂは第二処理コンピュータである。
　データ分析サーバ１０３は、典型的には計算機システム（１以上の計算機）であり、インターフェース部３０１、記憶部３０２及びそれらに接続された演算部３０３を有する。
　インターフェース部３０１経由で、他のデータ分析サーバ１０３およびデータ収集サーバ１０１と通信が行われる。
　記憶部３０２は、演算部３０３により実行される１以上のコンピュータプログラムや演算部３０３により参照又は更新される情報を格納する。この１以上のコンピュータプログラムは、本明細書に記載される方法をコンピュータに実行させることにより、データ分析サーバ１０３として機能させる。
　記憶部３０２に格納される他の情報の一例として、分析済みログ格納ＤＢ３１１、アラートＤＢ３１２がある。分析済みログ格納ＤＢ３１１およびアラートＤＢ３１２の詳細は後述する。
　演算部３０３が１以上のコンピュータプログラムを実行することにより、接続制御部３２１、アラート検出部３２２、アラート転送部３２３および分析済みログ紐づけ部３２４といった機能が実現される。
　接続制御部３２１は、データ収集サーバ１０１および他のデータ分析サーバ１０３との接続を制御する。
　アラート検出部３２２は、分析済みログ格納ＤＢ３１１内のデータから異常を検出しアラートを発出する。異常を検出する方法は、データがある特定のパターンに合致する場合に異常と判断するルールベースの方法であってもよいし、データが正常のパターンから外れる場合に異常と判断するアノマリー検知の方法であってもよいが、これらに限られるものではない。
　アラート転送部３２３は、アラート検出部が発出したアラートと、アラート検出部３２２が異常と判断したログデータに係るログＩＤとを、他のデータ分析サーバ１０３に転送する。１つのアラートについて１つのログＩＤが転送されてもよいし、１つのアラートについて複数のログＩＤを含むリストが転送されてもよい。
　分析済みログ紐づけ部３２４は、他のデータ分析サーバ１０３が転送してきたアラートを、分析済みログ格納ＤＢ３１１内のログに紐づけた上で、アラートＤＢ３１２に格納する。分析済みログ紐づけ部３２４の詳細は後述する。
　図６は、分析済みログ格納ＤＢ３１１の一例を示す。収集時刻コラム６０１は、データ収集サーバ１０１がＩｏＴ機器１０５からログデータを受け取った時刻を格納する。ログＩＤコラム６０２は、データ収集サーバがログデータに付与したログＩＤを格納する。
　分析済みログ格納ＤＢ３１１における他のコラムは、分析の結果として取得された情報を格納する。たとえば、本実施形態では、ＶＩＮコラム６０３は、ログデータの送信元の車両の識別子ＶＩＮを格納する。ＥＣＵコラム６０４は、ログデータを生成したＥＣＵの種別を格納する。エンジンＲＰＭコラム６０５は、ログデータに記載されているエンジン回転数を格納する。なお、分析済みログ格納ＤＢ３１１に格納する情報は、これらに限らない。また、分析済みログ格納ＤＢ３１１に格納されるレコード数の上限（最大レコード数）は、たとえば図示のように５とすることができるが、この上限は適宜変更可能である。
　図７は、アラートＤＢ３１２の一例を示す。検知時刻コラム７０１は、アラート検出部３２２が異常を検知した時刻を格納する。アラートＩＤコラム７０２は、検知したアラートに付与される一意の識別子を格納する。アラート内容コラム７０３は、検知したアラートの内容すなわち異常の検知結果を格納する。関係ログコラム７０４は、アラート発出を引き起こしたログのログＩＤまたはそのリストを格納する。なお、アラートＤＢ３１２に格納する情報は、これらに限らない。
　図４は、ＩｏＴ機器１０５の構成を示す。
　ＩｏＴ機器１０５は、インターフェース部４０１、記憶部４０２及びそれらに接続された演算部４０３を有する。
　インターフェース部４０１経由で、データ収集サーバ１０１と通信が行われる。
　記憶部４０２は、演算部４０３により実行される１以上のコンピュータプログラムや演算部４０３により参照又は更新される情報を格納する。この１以上のコンピュータプログラムは、本明細書に記載される方法をコンピュータに実行させることにより、ＩｏＴ機器１０５として機能させる。また、記憶部４０２は、ログ格納部４１１を備える。
　演算部４０３が１以上のコンピュータプログラムを実行することにより、接続制御部４２１、ログ送信部４２２といった機能が実現される。接続制御部４２１は、データ収集サーバ１０１との接続を制御する。ログ送信部４２２は、ログ格納部４１１内のログをデータ収集サーバ１０１に送信する。
　図８は、本実施形態に係るＩｏＴ機器１０５がログを送信してからデータ分析サーバ１０３でログを分析するまでの一連の流れの概要を示す。本実施形態に係る情報処理方法は、図８に示す各ステップを含む。
　ＩｏＴ機器１０５は、送信対象となるデータが生成された場合、そのデータをログデータとしてログ格納部４１１に格納し、ログ送信部４２２によりログデータをデータ収集サーバ１０１に送信する（Ｓ８０１）。
　データ収集サーバ１０１は、受信したログをデータ分析サーバ１０３に転送する（Ｓ８０２）。Ｓ８０２の詳細は、後述する。
　データ分析サーバ１０３は、受信したログを分析する（Ｓ８０３）。Ｓ８０３の詳細は後述する。
　図９は、Ｓ８０２の詳細を説明するものであり、データ収集サーバ１０１によるデータ転送の流れの概要を示す。
　データ収集サーバ１０１の接続制御部２２１は、ＩｏＴ機器１０５のログ送信部４２２から送信されるデータを受信する（Ｓ９０１）。データ収集サーバ１０１のログＩＤ生成部２２２は、受信したデータに付与するログＩＤを生成する（Ｓ９０２）。
　データ収集サーバ１０１の転送先判定部２２３は、ログがデータ分析サーバ１０３Ａへの転送ルールに合致するかどうかを判定する（Ｓ９０３）。合致しない場合は、Ｓ９０５に進む。合致する場合は、ログ（ログデータおよびログＩＤを含む）をデータ分析サーバ１０３Ａに転送し（Ｓ９０４）、Ｓ９０５に進む。
　データ収集サーバ１０１の転送先判定部２２３は、ログがデータ分析サーバ１０３Ｂへの転送ルールに合致するかどうかを判定する（Ｓ９０５）。合致しない場合は、Ｓ９０７に進む。合致する場合は、ログ（ログデータおよびログＩＤを含む）をデータ分析サーバ１０３Ｂに転送し（Ｓ９０６）、Ｓ９０７に進む。データ収集サーバ１０１は、ログＩＤとログをログ格納ＤＢ２１１に格納する（Ｓ９０７）。
　図１０は、Ｓ８０３の詳細を説明するものであり、データ分析サーバ１０３でのデータの分析、および、データ分析サーバ間でのアラートの共有の流れの概要を示す。
　データ分析サーバ１０３Ａおよび１０３Ｂは、データ収集サーバ１０１から受信したログ（ログデータおよびログＩＤを含む）を記憶部３０２の分析済みログ格納ＤＢ３１１に記憶する（Ｓ１０００）。記憶されるデータの具体的な形式は適宜設計可能であるが、たとえば図６のように、ログデータに含まれる項目ごとにフィールドを抽出することによりレコードが構成される。
　なお、上述のように、データ収集サーバ１０１がデータ分析サーバ１０３Ａに送信するログと、データ収集サーバ１０１がデータ分析サーバ１０３Ｂに送信するログとは、同一でない場合がある。
　データ分析サーバ１０３Ｂのアラート検出部３２２が、分析済みログ格納ＤＢ３１１から異常を示すログデータに係るログの集合（ログ集合）を検出し、アラートを発出する（Ｓ１００１）。たとえば、アラート検出部３２２は、ログデータに基づいて異常を検知する。
　データ分析サーバ１０３Ｂのアラート転送部３２３は、異常が検知されたログデータのログＩＤ（たとえばログ集合に含まれるログＩＤのリスト）およびアラート（異常の検知結果）を、関連付けてデータ分析サーバ１０３Ａに送信する（Ｓ１００２）。異常の検知結果は、たとえば異常の内容または種類等を含む。また、異常の検知結果は、検知時刻を含んでもよい。
　データ分析サーバ１０３Ａの分析済みログ紐づけ部３２４は、データ分析サーバ１０３Ｂから受信したログＩＤ（たとえばログＩＤのリスト）に基づき、データ分析サーバ１０３Ａに記憶されるログデータと、受信した検知結果とを関連付けて、アラートＤＢ３１２記憶する（Ｓ１００３）。
　Ｓ１００３で、分析済みログ紐づけ部３２４が異常の検知結果とログを関連付けて格納する方法の例として、図７のようにアラートＤＢ３１２の関係ログコラムにログＩＤリストを格納し、ログＩＤリスト内の各々のログＩＤを分析済みログ格納ＤＢ３１１のログＩＤコラムのログＩＤとリンクさせる方法がある。ただし、関連付ける方法はこれに限られない。
　本実施形態では、データ分析サーバ１０３Ａおよび１０３Ｂはいずれも、データ収集サーバ１０１が付与した共通のログＩＤを用いているので、データ分析サーバ１０３Ａに記憶されるログデータと、データ分析サーバ１０３Ｂから受信した検知結果との関連付けはログＩＤを介して行うことができる。その場合には、単にログＩＤを記憶することによって関連付けを実現することができる。
　より具体的には、図６に示す分析済みログ格納ＤＢ３１１のレコードのいずれかと、図７に示すアラートＤＢ３１２のレコードのいずれかとが同一のログＩＤを含む場合には、前者のログデータは後者の検知結果に関連付けられているということができる。
　なお、Ｓ１００２でアラート転送部３２３が異常の検知結果を転送するタイミングは、Ｓ１００１のアラート検知後すぐであってもよいし、アラート検知後にしばらく時間を空けてからであってもよい。後者の場合、一例として定時のバッチ処理時に転送するなどがある。
　異常の検知結果を分析済みログ格納ＤＢ３１１のデータと関連付けてアラートＤＢ３１２に格納することにより、データ分析サーバ１０３Ａは、データ分析サーバ１０３Ｂが検知した異常について、アラートを発生させたログと関連付けた分析が可能となる。これにより、より効果的で効率的なデータ分析が行える。
　このようにして、アラートに関する情報を複数のシステム間で効率的に共有することができる。とくに、設計者が異なる複数のＳＩＥＭシステムを効率的に連携させることができる。
　上述の第１の実施形態において、データ分析サーバ１０３Ａおよびデータ分析サーバ１０３Ｂの機能を互いに入れ替えてもよい。また、複数のデータ分析サーバ１０３のうち１以上が、データ分析サーバ１０３Ａおよび１０３Ｂ双方の機能を備えてもよい。
　データ分析サーバ１０３は、Ｓ１００３の後に、アラートＤＢ３１２の内容の一部または全部を出力してもよい。たとえば、接続制御部３２１を介して、外部のコンピュータ（他のデータ分析サーバ１０３またはその他のコンピュータ）に送信してもよいし、図示しない出力装置（ディスプレイ装置またはプリンタ等）を介して出力してもよい。
［第２の実施形態］
　第２の実施形態を説明する。その際、第１の実施形態との相違点を主に説明し、第１の実施形態との共通点については説明を省略又は簡略する。
　図１１は、データ収集サーバの一例を示す。データ収集サーバ１１０１は、図２のデータ収集サーバ１０１に加えて、演算部にログ要求受付部１１２４を備える。
　ログ要求受付部１１２４は、データ分析サーバからログＩＤリストを受け取り、ログＩＤリスト内のログＩＤを持つログをログ格納ＤＢ２１１から抽出し、抽出したログの集合をデータ分析サーバ１２０３に送信する。
　図１２は、データ分析サーバの一例を示す。データ分析サーバ１２０３は、図３のデータ分析サーバ１０３に加えて、ログ要求部１２２５を備える。
　ログ要求部１２２５は、他のデータ分析サーバ１２０３から異常の検知結果に関連して受信したログＩＤ（たとえばログＩＤリストの形式）に対し、いずれかのログＩＤに対応するログデータを記憶していない場合に、当該ログデータを要求する処理（ログ要求処理）を実行する。たとえば、分析済みログ紐づけ部３２４が分析済みログ格納ＤＢ３１１内のログに紐づけることができなかったログＩＤを含むログＩＤリストをデータ収集サーバ１１０１に送信することによってログを要求する。
　図１３は、当該実施例におけるＳ８０３の詳細を説明するものであり、データ分析サーバでのデータの分析、および、データ分析サーバ間でのアラートの共有の流れの概要を示す。
　Ｓ１３００、Ｓ１３０１、Ｓ１３０２は、それぞれ、Ｓ１０００、Ｓ１００１、Ｓ１００２と同様の処理を行う。データ分析サーバ１２０３Ａは、Ｓ１３０２で受け取ったログＩＤリストのログＩＤと同じログＩＤを持つログが、全て分析済みログ格納ＤＢ３１１に格納されているかを確認する（Ｓ１３０３）。
　Ｓ１３０３で、全てのログが格納されている場合、Ｓ１３０８に進む。
　Ｓ１３０３で、全てのログが格納されていない場合、データ分析サーバ１２０３Ａのログ要求部は、格納されていないログのログＩＤのリストを作成し（Ｓ１３０４）、このログＩＤリストをデータ収集サーバ１１０１に送信する（Ｓ１３０５）。これがログ要求処理に対応する。
　データ収集サーバ１１０１のログ要求受付部１１２４は、受け取ったログＩＤリストのログＩＤと同じログＩＤを持つログを、ログ格納ＤＢ２１１から抽出し、抽出したログの集合をデータ分析サーバ１２０３Ａに送信する（Ｓ１３０６）。データ分析サーバ１２０３Ａは、受け取ったログの集合を処理し、分析済みログ格納ＤＢ３１１に格納する（Ｓ１３０７）。
　最後に、Ｓ１３０８では、図１０のＳ１００３と同様の処理を行う。
　なお、Ｓ１３０４でログ要求部がログＩＤリストを作成するタイミングは、Ｓ１３０３の直後であってもよいし、しばらく時間を空けてからであってもよい。後者の場合、一例として定時のバッチ処理時に実施するなどがある。
　第２の実施形態によれば、データ分析サーバ１２０３Ａが他のデータ分析サーバ１２０３Ｂからアラートを転送された際に、当該アラートを発生させたログを分析済みログ格納ＤＢ３１１が保持していない場合でも、データ収集サーバ１１０１から足りないログを集め、アラートを分析することが可能となる。
［第３の実施形態］
　第３の実施形態を説明する。その際、第２の実施形態との相違点を主に説明し、第２の実施形態との共通点については説明を省略又は簡略する。
　第３の実施形態におけるデータ分析サーバ１２０３のログ要求部１２２５は、ログ要求処理において、他のデータ分析サーバ１２０３から受信したログＩＤリストに加えて、各ログに基づいて検知された異常の検知結果を、データ収集サーバに送信する。
　図１４は、データ収集サーバの一例を示す。データ収集サーバ１４０１は、図１１のデータ収集サーバ１１０１に加えて、演算部に関連ログ抽出部１４２５を備える。
　関連ログ抽出部１４２５は、ログ要求受付部１１２４から異常の検知結果を受け取り、その検知結果に関連する可能性のあるログをログ格納ＤＢ２１１から抽出し、抽出したログのログＩＤのリスト（関連ログＩＤリスト）を、ログ要求受付部１１２４に返す。検知結果に関連する可能性のあるログを抽出する方法としては、検知結果に応じて（たとえば、ログＩＤに基づき、アラートの内容毎に事前定義された規則に従って）１以上のログを抽出する方法があるが、これに限るものではない。
　具体例を説明する。たとえば、検知結果が車両のＣＡＮ（Controller Area Network）の異常を示すものである場合には、その車両のログのうち、検知時刻の前後所定範囲のＣＡＮに関するログが、検知結果に関連する可能性のあるログとして抽出される。また、たとえば、検知結果がコネクテッドカーセンタからのログにおける異常を示すものである場合には、異常が検知されたログに関連する車両をすべて特定し、特定された車両いずれかに関連するログのうち、検知時刻の前後所定範囲のログを探索範囲として、この探索範囲から、検知結果に関連する可能性のあるログが抽出される。
　ログ要求受付部１１２４は、データ分析サーバ１２０３から検知結果およびログＩＤリストを受け取り、これらを関連ログ抽出部１４２５に渡す。そして、関連ログ抽出部１４２５から返される関連ログＩＤリストと、この関連ログＩＤリストに含まれるログＩＤを持つログをログ格納ＤＢ２１１から抽出したログの集合とを併せて、データ分析サーバ１２０３に送信する。
　このように、関連ログ抽出部１４２５は、データ分析サーバ１２０３からのログ要求処理に応じて、受信したログＩＤおよび検知結果に基づいて、収集された機器のログデータのうちから、送信すべきログデータを抽出し、抽出されたログデータをデータ分析サーバ１２０３に送信する。
　図１５は、当該実施例におけるＳ８０３の詳細を説明するものであり、データ分析サーバ１２０３でのデータの分析、および、データ分析サーバ間でのアラートの共有の流れの概要を示す。
　Ｓ１５００、Ｓ１５０１、Ｓ１５０２、Ｓ１５０３、Ｓ１５０４は、それぞれ、図１３のＳ１３００、Ｓ１３０１、Ｓ１３０２、Ｓ１３０３、Ｓ１３０４と同様の処理を行う。
　Ｓ１５０５で、データ分析サーバ１２０３Ａのログ要求部１２２５は、異常の検知結果とログＩＤリストをデータ収集サーバ１１０１に送信する（Ｓ１５０５）。
　データ収集サーバ１４０１のログ要求受付部１１２４は、データ分析サーバ１２０３から検知結果およびログＩＤリストを受け取り、これらを関連ログ抽出部１４２５に渡す。そして、関連ログ抽出部１４２５から返される関連ログＩＤリストと、この関連ログＩＤリストに含まれるログＩＤを持つログをログ格納ＤＢ２１１から抽出したログの集合とを併せて、データ分析サーバ１２０３Ａに送信する（Ｓ１５０６）。
　Ｓ１５０７、Ｓ１５０８は、それぞれ、図１３のＳ１３０７、Ｓ１３０８と同様の処理を行う。
　第３の実施形態によれば、データ分析サーバ１２０３Ａが他のデータ分析サーバ１２０３Ｂから異常の検知結果を転送された際に、当該検知の原因となったログ（アラートを発生させたログ）を分析済みログ格納ＤＢ３１１が保持していない場合でも、データ収集サーバ１４０１から足りないログおよびアラートに関連する可能性のあるログを集め、アラートを分析することが可能となる。
［第４の実施形態］
　第４の実施形態を説明する。その際、第２および第３の実施形態との相違点を主に説明し、第２および第３の実施形態との共通点については説明を省略又は簡略する。
　図１７は、データ分析サーバの一例を示す。データ分析サーバ１７０３は、図１２のデータ分析サーバ１２０３に加えて、報知部１７２５を備える。
　データ分析サーバ１７０３は、ログ要求処理に先立って、異常の検知結果を外部に報知する。すなわち、検知結果を外部に報知した後に、ログ要求処理を実行する。
　報知のタイミングは、たとえば図１３のＳ１３０１の後、かつＳ１３０３の前とすることができる。
　報知の具体的な処理は適宜設計可能であるが、たとえば、接続制御部３２１を介してアラートを外部のコンピュータに送信してもよいし、図示しない出力装置（ディスプレイ装置またはプリンタ等）を介してアラートを出力してもよい。ディスプレイ装置を用いる場合には、ＧＵＩを介して出力を実行することができる。
　送信または出力されるアラートの内容も適宜設計可能であるが、たとえば、アラートが検知されたことを示す情報（メッセージ等）と、異常の検知時刻と、アラートＩＤと、アラート内容と、アラート発出を引き起こしたログのログＩＤまたはそのリストとを含むことができる。
　第４の実施形態によれば、データ分析サーバ間のデータ送受信が行われる前に、早期にアラート内容の出力を行うことができるので、外部のアラート処理システムまたはアラート処理担当者（人間）がアラートを早期に認識することができる。この効果は、とくに、データ分析サーバ間のデータ送受信をバッチ処理で行う場合に顕著であり、定時のバッチ処理実行を待たずにアラートを認識できる。
　１０１…データ収集サーバ
　１０２…通信ネットワーク
　１０３…データ分析サーバ
　１０４…通信ネットワーク
　１０５…ＩｏＴ機器
　２０１…インターフェース部
　２０２…記憶部
　２０３…演算部
　２１１…ログ格納部ＤＢ
　２２１…接続制御部
　２２２…ログＩＤ生成部
　２２３…転送先判定部
　３０１…インターフェース部
　３０２…記憶部
　３０３…演算部
　３１１…分析済みログ格納ＤＢ
　３１２…アラートＤＢ
　３２１…接続制御部
　３２２…アラート検出部
　３２３…アラート転送部
　３２４…分析済みログ紐づけ部
　４０１…インターフェース部
　４０２…記憶部
　４０３…演算部
　４１１…ログ格納部
　４２１…接続制御部
　４２２…ログ送信部
　５０１…収集時刻コラム
　５０２…ログＩＤコラム
　５０３…ログデータコラム
　６０１…収集時刻コラム
　６０２…ログＩＤコラム
　６０３…ＶＩＮコラム
　６０４…ＥＣＵコラム
　６０５…エンジンＲＰＭコラム
　７０１…検知時刻コラム
　７０２…アラートＩＤコラム
　７０３…アラート内容コラム
　７０４…関係ログコラム
　１１０１…データ収集サーバ
　１１２４…ログ要求受付部
　１２０３…データ分析サーバ
　１２２５…ログ要求部
　１４０１…データ収集サーバ
　１４２５…関連ログ抽出部
　１６０５…車両
　１６０６…コネクテッドカーセンタ
　１７０３…データ分析サーバ
　１７２５…報知部
　本明細書で引用した全ての刊行物、特許および特許出願はそのまま引用により本明細書に組み入れられるものとする。

Claims (8)

  1. 　収集された機器のログデータにログＩＤを付与する、ＩＤ付与コンピュータと、
    　前記ログデータおよび前記ログＩＤを記憶し、前記ログデータに基づいて異常を検知する、第一処理コンピュータと、
    　前記ログデータおよび前記ログＩＤを記憶し、前記ログデータに基づいて異常を検知し、異常が検知された前記ログデータの前記ログＩＤおよび異常の検知結果を前記第一処理コンピュータに送信する、第二処理コンピュータと、
    を備え、
    　前記第一処理コンピュータは、前記第二処理コンピュータから受信した前記ログＩＤに基づき、前記第一処理コンピュータに記憶される前記ログデータと受信した前記検知結果とを関連付けて記憶する、情報処理装置。
  2. 　請求項１に記載の情報処理装置であって、
    　前記第一処理コンピュータは、前記第二処理コンピュータから受信した前記ログＩＤに対応するログデータを記憶していない場合に、当該ログデータを要求するログ要求処理を実行する、情報処理装置。
  3. 　請求項２に記載の情報処理装置であって、
    　前記第一処理コンピュータは、前記ログ要求処理において、前記第二処理コンピュータから受信した前記ログＩＤおよび前記検知結果を送信する、情報処理装置。
  4. 　請求項３に記載の情報処理装置であって、
    　前記ログ要求処理は、前記ＩＤ付与コンピュータに対して行われ、
    　前記ＩＤ付与コンピュータは、前記ログ要求処理に応じて、前記ログＩＤおよび前記検知結果に基づいて、収集された機器のログデータのうちから送信すべきログデータを抽出し、抽出されたログデータを前記第一処理コンピュータに送信する、
    情報処理装置。
  5. 　請求項２に記載の情報処理装置であって、
    　前記第一処理コンピュータは、前記検知結果を外部に報知した後に、前記ログ要求処理を実行する、情報処理装置。
  6. 　情報処理方法であって、
    　ＩＤ付与コンピュータが、収集された機器のログデータにログＩＤを付与するステップと、
    　第一処理コンピュータが、前記ログデータおよび前記ログＩＤを記憶するステップと、　前記第一処理コンピュータが、前記ログデータに基づいて異常を検知するステップと、　第二処理コンピュータが、前記ログデータおよび前記ログＩＤを記憶するステップと、　前記第二処理コンピュータが、前記ログデータに基づいて異常を検知するステップと、　前記第二処理コンピュータが、異常が検知された前記ログデータの前記ログＩＤおよび異常の検知結果を前記第一処理コンピュータに送信するステップと、
    　前記第一処理コンピュータが、前記第二処理コンピュータから受信した前記ログＩＤに基づき、前記第一処理コンピュータに記憶される前記ログデータと受信した前記検知結果とを関連付けて記憶するステップと、
    を備える、情報処理方法。
  7. 　請求項６に記載の方法をコンピュータシステムに実行させるプログラム。
  8. 　請求項７に記載のプログラムを格納する非一時的な記憶媒体。
PCT/JP2022/007396 2021-04-23 2022-02-22 情報処理装置、情報処理方法、プログラムおよび記憶媒体 WO2022224582A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP22791364.7A EP4328753A1 (en) 2021-04-23 2022-02-22 Information processing device, information processing method, program, and storage medium
CN202280025037.2A CN117083598A (zh) 2021-04-23 2022-02-22 信息处理装置、信息处理方法、程序以及存储介质
US18/549,942 US20240152441A1 (en) 2021-04-23 2022-02-22 Information processing device, information processing method, program, and storage medium

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2021-073241 2021-04-23
JP2021073241A JP2022167451A (ja) 2021-04-23 2021-04-23 情報処理装置、情報処理方法、プログラムおよび記憶媒体

Publications (1)

Publication Number Publication Date
WO2022224582A1 true WO2022224582A1 (ja) 2022-10-27

Family

ID=83722801

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/007396 WO2022224582A1 (ja) 2021-04-23 2022-02-22 情報処理装置、情報処理方法、プログラムおよび記憶媒体

Country Status (5)

Country Link
US (1) US20240152441A1 (ja)
EP (1) EP4328753A1 (ja)
JP (1) JP2022167451A (ja)
CN (1) CN117083598A (ja)
WO (1) WO2022224582A1 (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007108929A (ja) * 2005-10-12 2007-04-26 Nec Corp ログ管理システム、ログ管理マネージャ、ログ管理方法およびプログラム
WO2016075915A1 (ja) * 2014-11-10 2016-05-19 日本電気株式会社 ログ分析システム、ログ分析方法およびプログラム記録媒体
US20180307576A1 (en) * 2017-04-21 2018-10-25 Nec Laboratories America, Inc. Field content based pattern generation for heterogeneous logs
JP2021073241A (ja) 2014-11-17 2021-05-13 エピザイム，インコーポレイティド 癌を処置する方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007108929A (ja) * 2005-10-12 2007-04-26 Nec Corp ログ管理システム、ログ管理マネージャ、ログ管理方法およびプログラム
WO2016075915A1 (ja) * 2014-11-10 2016-05-19 日本電気株式会社 ログ分析システム、ログ分析方法およびプログラム記録媒体
JP2021073241A (ja) 2014-11-17 2021-05-13 エピザイム，インコーポレイティド 癌を処置する方法
US20180307576A1 (en) * 2017-04-21 2018-10-25 Nec Laboratories America, Inc. Field content based pattern generation for heterogeneous logs

Also Published As

Publication number Publication date
CN117083598A (zh) 2023-11-17
EP4328753A1 (en) 2024-02-28
JP2022167451A (ja) 2022-11-04
US20240152441A1 (en) 2024-05-09

Similar Documents

Publication Publication Date Title
US11393266B2 (en) Blockchain configuration history for aircraft maintenance, modification, and activity tracking
CN105357038B (zh) 监控虚拟机集群的方法和系统
US9294338B2 (en) Management computer and method for root cause analysis
EP3149591B1 (en) Tracking application deployment errors via cloud logs
JP5982366B2 (ja) プライベート・クラウド・コンピューティングためのシステムおよび方法
EP3668045B1 (en) Interlocking blockchains for aircraft part history and current aircraft configuration
CN106462702B (zh) 用于在分布式计算机基础设施中获取并且分析电子取证数据的方法和系统
CN107924388B (zh) 通用传感器和/或用于提供检测模式的传感器集群
US8863278B2 (en) Grid security intrusion detection configuration mechanism
US20210208960A1 (en) Big Data Distributed Processing and Secure Data Transferring with Fault Handling
US7680826B2 (en) Computer-readable recording medium storing security management program, security management system, and method of security management
EP4024249A1 (en) Abnormal vehicle detection server and abnormal vehicle detection method
CN107977295A (zh) 基于容器的分布式应用程序管理系统及方法
US9906545B1 (en) Systems and methods for identifying message payload bit fields in electronic communications
US9584390B1 (en) Method and application performance monitoring device for monitoring transactions by analyzing packets in packet processing system
WO2022224582A1 (ja) 情報処理装置、情報処理方法、プログラムおよび記憶媒体
US11271971B1 (en) Device for facilitating managing cyber security health of a connected and autonomous vehicle (CAV)
US11363029B2 (en) Big data distributed processing and secure data transferring with hyper fencing
US20090031308A1 (en) Method And Apparatus For Executing Multiple Simulations on a Supercomputer
CN115834260A (zh) 网络安全防御系统、方法及装置
US9697064B2 (en) System, system control method, and storage medium
US20210209235A1 (en) Big Data Distributed Processing and Secure Data Transferring with Resource Allocation and Rebate
CN109753345A (zh) 一种云环境下的安全管理方法
JP2010061548A (ja) 計算機システム、処理方法及びプログラム
JP7426640B1 (ja) 監視装置及び監視方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22791364

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 18549942

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 202280025037.2

Country of ref document: CN

WWE Wipo information: entry into national phase

Ref document number: 2022791364

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2022791364

Country of ref document: EP

Effective date: 20231123