WO2024084901A1 - 分析装置、分析方法およびプログラム - Google Patents

分析装置、分析方法およびプログラム Download PDF

Info

Publication number
WO2024084901A1
WO2024084901A1 PCT/JP2023/034739 JP2023034739W WO2024084901A1 WO 2024084901 A1 WO2024084901 A1 WO 2024084901A1 JP 2023034739 W JP2023034739 W JP 2023034739W WO 2024084901 A1 WO2024084901 A1 WO 2024084901A1
Authority
WO
WIPO (PCT)
Prior art keywords
anonymized
log
linking
analysis
unit
Prior art date
Application number
PCT/JP2023/034739
Other languages
English (en)
French (fr)
Inventor
翔一朗 関屋
唯之 鳥崎
貴佳 伊藤
薫 横田
Original Assignee
パナソニックオートモーティブシステムズ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニックオートモーティブシステムズ株式会社 filed Critical パナソニックオートモーティブシステムズ株式会社
Publication of WO2024084901A1 publication Critical patent/WO2024084901A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules

Definitions

  • This disclosure relates to an analysis device that performs log analysis.
  • Patent Document 1 discloses a log analysis device as an analysis device. This log analysis device outputs an alert when a log message of a monitored object satisfies a predetermined condition, and extracts related logs from the log message that are related to the alert. The log analysis device then outputs information according to the related logs for the same time period. This makes it possible to narrow down the logs that need to be checked, even when there is a large number of logs.
  • the log analysis device of Patent Document 1 narrows down the logs to be analyzed, which makes it difficult to improve the accuracy of the analysis.
  • the log analysis device of Patent Document 1 integrates and analyzes the extracted related logs, but these related logs are narrowed down and many logs are not used.
  • the possibility of improving the accuracy of the analysis can be increased by integrating and analyzing the logs obtained by two or more systems, rather than each system collecting and analyzing logs from the monitored vehicle according to the purpose of that system.
  • each of those systems anonymizes the logs in a different manner, it is difficult to integrate the logs of the monitored vehicle. Therefore, many logs cannot be used for analysis, making it difficult to improve the accuracy of the analysis.
  • the present disclosure therefore provides an analytical device and the like that can improve analytical accuracy.
  • An analysis device is an analysis device that transmits report information based on an analysis result of a log related to a monitored device, and includes an acquisition unit that acquires a first anonymized log, which is the log including the first anonymized data of the monitored device; a linking resolution unit that performs linking resolution, which is a process of determining, from the second anonymized data included in each of a plurality of second anonymized logs held by a linked monitoring system, second anonymized data corresponding to the first anonymized data as specific second anonymized data; a system linking unit that acquires the second anonymized log including the specific second anonymized data from the linked monitoring system as a second anonymized log to be integrated; and an integrated analysis unit that performs an integrated analysis of a log group including the first anonymized log and the second anonymized log to be integrated.
  • a system a method, an integrated circuit, a computer program, or a recording medium such as a computer-readable CD-ROM, or may be realized by any combination of a system, a method, an integrated circuit, a computer program, and a recording medium.
  • the recording medium may be a non-transitory recording medium.
  • the analytical device disclosed herein can improve analytical accuracy.
  • FIG. 1 is a diagram showing the overall configuration of an analysis system according to an embodiment.
  • FIG. 2 is a block diagram illustrating an example of a functional configuration of a first analysis device according to an embodiment.
  • FIG. 3 is a diagram for explaining the processing operation related to the integration processing unit among the processing of the first system and the second system in the embodiment.
  • FIG. 4 is a flowchart illustrating an example of a processing operation of the first analysis device according to the embodiment.
  • FIG. 5 is a diagram for explaining a processing operation related to the integration processing unit among the processing of the first system and the second system in the first modification of the embodiment.
  • FIG. 6 is a flowchart illustrating an example of a processing operation of the first analysis device according to the first modification of the embodiment.
  • FIG. 1 is a diagram showing the overall configuration of an analysis system according to an embodiment.
  • FIG. 2 is a block diagram illustrating an example of a functional configuration of a first analysis device according to an embodiment.
  • FIG. 3 is a diagram for explaining the processing
  • FIG. 7 is a diagram for explaining a processing operation related to the integration processing unit among the processing of the first system and the second system in the second modification of the embodiment.
  • FIG. 8 is a diagram showing an example of re-anonymization in the second modification of the embodiment.
  • FIG. 9 is a flowchart illustrating an example of a processing operation of the first analysis device according to the second modification of the embodiment.
  • FIG. 10 is a diagram for explaining the processing operation related to the second analysis device in the processing of the first system and the second system in the third modification of the embodiment.
  • FIG. 11 is a flowchart illustrating an example of a processing operation of the first analysis device according to the third modification of the embodiment.
  • FIG. 12 is a diagram for explaining the processing operation related to the integration processing unit among the processing of the first system and the second system in the fourth modification of the embodiment.
  • FIG. 13 is a diagram showing an example of the association information according to the fourth modification of the embodiment.
  • FIG. 14 is a flowchart illustrating an example of a processing operation of the first analysis device according to the fourth modification of the embodiment.
  • FIG. 15 is a flowchart illustrating an example of a processing operation of the second analysis device in the fourth modification of the embodiment.
  • the analysis device is an analysis device that transmits report information based on an analysis result of a log related to a monitored device, and includes an acquisition unit that acquires a first anonymized log, which is the log including first anonymized data of the monitored device; a linking resolution unit that performs linking resolution, which is a process of determining second anonymized data corresponding to the first anonymized data as specific second anonymized data from the second anonymized data included in each of a plurality of second anonymized logs owned by a linked monitoring system; a system linking unit that acquires the second anonymized log including the specific second anonymized data from the linked monitoring system as a second anonymized log to be integrated; and an integrated analysis unit that performs an analysis of a log group including the first anonymized log and the second anonymized log to be integrated as an integrated analysis.
  • a system having an analysis device and a linked monitoring system acquire logs related to one or more devices
  • the system and the linked monitoring system anonymize the logs in different manners.
  • An example of a device is a vehicle.
  • identification data contained in the log such as a VIN (Vehicle Identification Number) or an IP (Internet Protocol) address, that is used to identify the device or user recorded in the log is anonymized into anonymized data.
  • logs related to the monitored device are managed as a first anonymized log that includes first anonymized data.
  • logs related to each device, including the monitored device are managed as a second anonymized log that includes second anonymized data.
  • the second anonymized data corresponding to the first anonymized data is determined as the specific second anonymized data by the linking solution. That is, the second anonymized data corresponding to the same monitored device as the first anonymized data is determined as the specific second anonymized data and linked to the first anonymized data. Therefore, the second anonymized log related to the same monitored device as the first anonymized log can be acquired from the linked monitoring system as the second anonymized log to be integrated. As a result, since an integrated analysis can be performed on the first anonymized log and the second anonymized log to be integrated related to the same monitored device, the analysis accuracy can be improved compared to an analysis using only the first anonymized log. That is, even if the system having the analysis device and the linked monitoring system perform anonymization on the logs in different ways, the logs related to the same monitored device can be integrated and analyzed, and as a result, the analysis accuracy can be improved.
  • the analysis device may further include an integration determination unit that determines whether the integrated analysis is necessary, and the linking resolution unit may perform the linking resolution when the integration determination unit determines that the integrated analysis is necessary.
  • linking resolution is performed when it is determined that integrated analysis is necessary, and therefore linking resolution can be prevented from being performed even when integrated analysis is not necessary, thereby reducing the processing burden. Furthermore, when integrated analysis is not necessary, analysis can be performed on the first anonymized log without using the second anonymized log, thereby reducing the processing burden. Furthermore, it may be determined whether or not integrated analysis is necessary based on the analysis results of the first anonymized log.
  • the analysis device may further include a destination determination unit that determines a destination according to the result of the integrated analysis, and a transmission unit that transmits the report information indicating the result of the integrated analysis to the destination determined by the destination determination unit.
  • report information is sent to a destination according to the results of the integrated analysis, allowing the results of the integrated analysis to be notified to the appropriate destination.
  • the results of the integrated analysis can be notified to, for example, the Security Incident Response Team (SIRT) that corresponds to that scope.
  • SIRT Security Incident Response Team
  • the system cooperation unit may acquire the second anonymized log to be integrated from one or more second anonymized logs among the plurality of second anonymized logs that correspond to at least one of the type and time period determined according to the first anonymized log.
  • the system cooperation unit may acquire the second anonymized log as the second anonymized log to be integrated by specifying, from the plurality of second anonymized logs, a second anonymized log that matches a condition determined according to the first anonymized log by using at least one of the type and time period.
  • the type and time period of the second anonymized log to be acquired can be limited to the type and time period determined according to the first anonymized log.
  • the monitored device is a vehicle
  • the type and time period of the second anonymized log to be acquired are limited, it is possible to suppress the acquisition of second anonymized logs that contribute little to the integrated analysis, and to realize an efficient integrated analysis.
  • system cooperation unit may further anonymize the specific second anonymized data included in the acquired second anonymized log to be integrated.
  • the second anonymized log to be integrated or the specific second anonymized data is re-anonymized.
  • This makes it possible to increase the confidentiality of those logs and data.
  • it is possible to prevent the linked monitoring system from recognizing the device corresponding to the log from the re-anonymized log or data.
  • it is possible to increase the security of the second anonymized log to be integrated.
  • system collaboration unit may further transmit the first anonymized log to the associated monitoring system in response to a request from the associated monitoring system.
  • the linked monitoring system can acquire the first anonymized log and the second anonymized log corresponding to the same monitored device and perform integrated analysis.
  • the linking resolution unit may further store linking information indicating an association between the first anonymized data and the specific second anonymized data in a recording medium, and when repeatedly performing the linking resolution for the first anonymized data, may perform the linking resolution by referring to the linking information stored in the recording medium.
  • linking resolution when linking resolution is executed repeatedly, the linking resolution is performed by referencing the linking information, eliminating the need for the analysis device to communicate with other devices to perform linking resolution. As a result, efficient linking resolution and integrated analysis can be achieved.
  • the linking resolution unit may further set an expiration date for the linking information, and if the timing for repeatedly executing the linking resolution for the first anonymized data has not passed the expiration date, perform the linking resolution by referring to the linking information stored in the recording medium.
  • an expiration date is set for the linking information, so that the correspondence between the first anonymized data and the second anonymized data is guaranteed until the expiration date, and the correspondence can be changed after the expiration date.
  • the anonymization modes of the system having the analysis device and the linked monitoring system can be changed.
  • the overall processing operation of these systems can be made more flexible.
  • system linking unit may further transmit the linking information stored in the recording medium to the linked monitoring system.
  • the linking information is sent to the associated monitoring system, which can then use that linking information to resolve the linking issue.
  • the associated monitoring system can also perform integrated analysis, just like the analysis device.
  • system collaboration unit may further transmit the updated linking information to the collaboration destination monitoring system when the linking information stored in the recording medium is updated by the linking resolution unit.
  • the acquisition unit may acquire the first anonymized log from a first server, and when the first server acquires the first log related to the monitored device, the first server may generate the first anonymized log including the first anonymized data by anonymizing the first identification data of the monitored device included in the first log, and when the second server of the linked monitoring system acquires the second log related to the monitored device, the second server may generate the second anonymized log including the second anonymized data by anonymizing the second identification data included in the second log, and the linking resolution unit may transmit the first anonymized data to the first server and perform the linking resolution by inquiring of the second server via the first server about the second anonymized data corresponding to the first anonymized data.
  • the first server and the second server each perform anonymization, and linking is resolved by querying the second server via the first server, making it possible to achieve accurate linking resolution.
  • each figure is a schematic diagram and is not necessarily a precise illustration. Furthermore, the same components are given the same reference numerals in each figure.
  • FIG. 1 is a diagram showing the overall configuration of an analysis system according to the present embodiment.
  • the analysis system 1 in this embodiment is a system that analyzes and monitors the processing operations of a vehicle V, which is a monitored device, and includes the vehicle V, a base station R, a first system 100, and a second system 200. Note that the base station R does not necessarily have to be included in the analysis system 1.
  • the vehicle V is equipped with equipment that receives telematics services, such as equipment used in a car navigation system, and performs vehicle control such as steering and vehicle speed.
  • the vehicle V then transmits multiple logs to the first system 100 and the second system 200 via the base station R.
  • These logs include logs related to telematics and logs related to vehicle control.
  • Each log also includes privacy information.
  • the privacy information is, for example, identification data for identifying the vehicle V, such as the VIN (Vehicle Identification Number) and IP (Internet Protocol) address. These logs may also be referred to as vehicle data.
  • the first system 100 is also called, for example, a vehicle monitoring system, and monitors vehicle control of each vehicle including the vehicle V.
  • a first system 100 includes a first server 110 and a first analysis device 120.
  • the first server 110 is also called a vehicle log server, for example, and receives a first log corresponding to the analysis purpose of the first system 100 from among logs transmitted from each vehicle including the vehicle V.
  • the first log is a log related to vehicle control of the vehicle V.
  • the first server 110 generates a first anonymized log by anonymizing the first log, and outputs the first anonymized log to the first analysis device 120.
  • the first server 110 generates first anonymized data by anonymizing the first identification data included in the first log.
  • the first anonymized log is a first log that includes the first anonymized data instead of the first identification data.
  • the first identification data is, for example, a VIN for identifying the vehicle V.
  • GDPR General Data Protection Regulation
  • the first analysis device 120 is a device used in a security operation center (SOC) for vehicle control, and upon receiving one or more first anonymized logs from the first server 110, analyzes the first anonymized logs. For example, the first analysis device 120 analyzes the first anonymized logs to determine whether or not there has been an attack on the vehicle corresponding to the first anonymized data.
  • SOC security operation center
  • the second system 200 is also called, for example, an IT (Information Technology) system, and monitors the telematics services of each vehicle including the vehicle V.
  • IT Information Technology
  • Such a second system 200 includes a second server 210 and a second analysis device 220.
  • the second server 210 is also called a telematics server, for example, and receives a second log corresponding to the analysis purpose of the second system 200 from among the logs transmitted from each vehicle including the vehicle V.
  • the second log is a log related to telematics such as a car navigation system.
  • the second server 210 generates a second anonymized log by anonymizing the second log, and outputs the second anonymized log to the second analysis device 220.
  • the second server 210 generates second anonymized data by anonymizing the second identification data included in the second log. It can be said that the second anonymized log is a second log that includes the second anonymized data instead of the second identification data.
  • the second identification data is, for example, an IP address for identifying the vehicle V.
  • anonymization since anonymization is performed, devices other than the second server 210 cannot identify the vehicle V from the second anonymized data and the second anonymized log. As with the first server 110, such anonymization is performed for the protection of privacy information required by GDPR and the like.
  • the second analysis device 220 is a device used in an IT SOC, and upon receiving one or more second anonymized logs from the second server 210, analyzes the second anonymized logs. For example, the second analysis device 220 analyzes the second anonymized logs to predict congestion on a road along which a vehicle corresponding to the second anonymized data is scheduled to travel.
  • first log and the second log each include the first identification data and the second identification data, but the first anonymized log may or may not include data obtained by anonymizing the second identification data.
  • second anonymized log may or may not include data obtained by anonymizing the first identification data.
  • the first server 110 and the second server 210 are devices operated by, for example, a vehicle manufacturer
  • the first analysis device 120 and the second analysis device 220 are devices operated by an organization that provides a service, etc.
  • the first analysis device 120 acquires one or more second anonymized logs of the vehicle V from the second analysis device 220, and integrates the one or more second anonymized logs of the vehicle V into one or more first anonymized logs of the vehicle V.
  • the first analysis device 120 then performs an analysis of the integrated one or more first anonymized logs and one or more second anonymized logs as an integrated analysis.
  • the first analysis device 120 performs linking resolution, which is a process for linking the first anonymized log and the second anonymized log related to the vehicle V.
  • the first server 110 and the second server 210 acquire the log of the vehicle V from the vehicle V via the base station R, but the log of the vehicle V may be acquired from a device or server other than the vehicle V.
  • the log of the vehicle V in this embodiment is a log related to the vehicle V, and is not limited to logs generated by the vehicle V or logs obtained from the vehicle V. Therefore, the log of the vehicle V may include logs generated by other devices or servers, such as a communication log between the vehicle V and an external network, or logs acquired by other devices or servers.
  • FIG. 2 is a block diagram showing an example of the functional configuration of the first analysis device 120 in this embodiment.
  • the first analysis device 120 in this embodiment is a device that transmits report information based on the analysis results of logs related to the vehicle V, which is a monitored device.
  • a first analysis device 120 includes an acquisition unit 121, a log analysis unit 122, a destination determination unit 123, a transmission unit 124, an integrated processing unit 125, a control unit 126, a storage unit 127, and a communication unit 128.
  • the communication unit 128 communicates with each of the first server 110 and the second analysis device 220 via a telecommunications line such as the Internet.
  • the acquisition unit 121 acquires the first anonymized log of the vehicle V from the first server 110 via the communication unit 128. In other words, the acquisition unit 121 acquires the first anonymized log, which is a log including the first anonymized data of the vehicle V, which is a monitored device, from the first server 110. Then, the acquisition unit 121 stores the first anonymized log in the memory unit 127.
  • the log analysis unit 122 analyzes one or more first anonymized logs acquired by the acquisition unit 121 and stored in the memory unit 127.
  • the destination determination unit 123 determines the destination of report information indicating the analysis result of one or more logs of the vehicle V. In other words, the destination determination unit 123 determines the destination of report information indicating the result of the analysis of one or more first anonymized logs by the log analysis unit 122. Alternatively, the destination determination unit 123 determines the destination of report information indicating the result of the integrated analysis by the integrated processing unit 125. For example, the destination determination unit 123 determines the destination of the report information according to the result of the integrated analysis.
  • the destination is, for example, at least one SIRT out of multiple types of SIRTs (Security Incident Response Teams). Specifically, the multiple types of SIRTs include a first SIRT that is a SIRT responsible for vehicle control, and a second SIRT that is a SIRT responsible for vehicle control and telematics.
  • the transmitting unit 124 transmits the report information via the communication unit 128 to the destination determined by the destination determination unit 123. For example, when an integrated analysis is performed, the transmitting unit 124 transmits report information indicating the results of the integrated analysis to a destination according to the results of the integrated analysis, i.e., to the destination determined by the destination determination unit 123.
  • the destination is the SIRT described above, and more specifically, is a device or system owned by the SIRT.
  • the integration processing unit 125 performs the above-mentioned integration analysis. Specifically, the integration processing unit 125 includes an integration determination unit 125a, a linking resolution unit 125b, a system collaboration unit 125c, and an integration analysis unit 125d.
  • the integrated determination unit 125a determines whether or not an integrated analysis is necessary based on the analysis results by the log analysis unit 122, i.e., the analysis results of one or more first anonymized logs.
  • the linking resolution unit 125b performs linking resolution when the integration determination unit 125a determines that an integrated analysis is necessary.
  • Linking resolution is a process for linking the first anonymized log and the second anonymized log related to the same vehicle V.
  • the second analysis device 220 of the second system 200 has a plurality of second anonymized logs obtained from each vehicle including the vehicle V. These plurality of second anonymized logs include not only the second anonymized log of the vehicle V but also the second anonymized logs of other vehicles. Therefore, the linking resolution unit 125b performs linking resolution for linking the second anonymized log, which is a log of the vehicle V like the first anonymized log, among the plurality of second anonymized logs, to the first anonymized log.
  • the linking resolution unit 125b performs linking resolution, which is a process for determining the second anonymized data corresponding to the first anonymized data as the specific second anonymized data from the second anonymized data included in each of the plurality of second anonymized logs held by the second system 200, which is the linked monitoring system. This links the first anonymized data to the specific second anonymized data, and as a result, the first anonymized log containing the first anonymized data is linked to the second anonymized log containing the specific second anonymized data.
  • the system collaboration unit 125c requests and acquires the second anonymized log linked to the first anonymized log from the second analysis device 220 via the communication unit 128.
  • the second anonymized log is a log used for integration into the first anonymized log.
  • the system collaboration unit 125c acquires the second anonymized log including the above-mentioned specific second anonymized data from the second system 200 (i.e., the collaborative monitoring system) as the second anonymized log to be integrated.
  • the integrated analysis unit 125d integrates one or more first anonymized logs and one or more second anonymized logs to be integrated, and performs an analysis on the integrated one or more first anonymized logs and one or more second anonymized logs to be integrated. In other words, the integrated analysis unit 125d performs an analysis of a log group including the first anonymized log and the second anonymized log to be integrated as an integrated analysis.
  • the control unit 126 controls each component included in the first analysis device 120. That is, the control unit 126 controls the acquisition unit 121, the log analysis unit 122, the destination determination unit 123, the transmission unit 124, the integration processing unit 125, the storage unit 127, and the communication unit 128.
  • the memory unit 127 is a recording medium for storing data, information, etc. generated by each of the above-mentioned components.
  • the memory unit 127 is a hard disk drive, a RAM (Random Access Memory), a ROM (Read Only Memory), or a semiconductor memory. Note that such a memory unit 127 may be either volatile or non-volatile.
  • FIG. 3 is a diagram for explaining the processing operations related to the integrated processing unit 125 among the processing of the first system 100 and the second system 200.
  • the linking resolution unit 125b of the integration processing unit 125 makes an inquiry to the second server 210 via the first server 110 from the communication unit 128, as in process (1) of FIG. 3.
  • the inquiry is for the second anonymized data corresponding to the first anonymized data.
  • the linking resolution unit 125b transmits the first anonymized data to the first server 110 via the communication unit 128.
  • the first server 110 When the first server 110 acquires the first anonymized data from the linking resolution unit 125b as in process (2) of FIG. 3, it identifies the first identification data corresponding to the first anonymized data. Note that when the first server 110 previously transmits the above-mentioned first log to the first analysis device 120, the first server 110 generates the first anonymized data by anonymizing the first identification data contained in the first log, and therefore can identify the first identification data corresponding to the first anonymized data. Then, the first server 110 transmits the identified first identification data to the second server 210 as in process (3) of FIG. 3, and queries the second anonymized data corresponding to the first identification data.
  • the second server 210 When the second server 210 acquires the first identification data from the first server 110 and receives the above-mentioned inquiry, it identifies the second anonymized data corresponding to the first identification data, as in process (4) of FIG. 3. Note that, when the second server 210 transmits the above-mentioned second log to the second analysis device 220, it acquires the second log including the first identification data and the second identification data, and generates the second anonymized data by anonymizing the second identification data. Therefore, the second server 210 can identify the second anonymized data corresponding to the first identification data. Then, the second server 210 responds to the inquiry of the first server 110 by transmitting the identified second anonymized data to the first server 110, as in process (5) of FIG. 3. Note that the second server 210 may separately hold data for identifying the second identification data corresponding to the first identification data, identify the second identification data corresponding to the first identification data, and further identify the second anonymized data corresponding to the second identification data.
  • the first server 110 When the first server 110 receives the second anonymized data from the second server 210, it transmits the second anonymized data to the first analysis device 120 as in process (6) of FIG. 3.
  • the linking resolution unit 125b receives the second anonymized data as a response to the inquiry in process (1) of FIG. 3, for example via the communication unit 128.
  • This second anonymized data is data that corresponds to the first anonymized data and is data for identifying the same vehicle V as the first anonymized data.
  • the linking resolution unit 125b outputs the second anonymized data to the system collaboration unit 125c.
  • the system collaboration unit 125c When the system collaboration unit 125c acquires the second anonymized data from the linking resolution unit 125b, as shown in process (7) of FIG. 3, the system collaboration unit 125c transmits the second anonymized data to the second analysis device 220, thereby requesting a second anonymized log including the second anonymized data from the second analysis device 220.
  • the second analysis device 220 When the second analysis device 220 receives the second anonymized data from the system collaboration unit 125c and further receives the above-mentioned request, it transmits the second anonymized log including the second anonymized data to the first analysis device 120 as the second anonymized log to be integrated, as shown in process (8) of FIG. 3.
  • the system linking unit 125c of the first analysis device 120 acquires the second anonymized log to be integrated from the second analysis device 220 via the communication unit 128, it stores the second anonymized log to be integrated in the memory unit 127.
  • the integrated analysis unit 125d of the first analysis device 120 generates a log group including one or more first anonymized logs and one or more second anonymized logs to be integrated by integrating one or more first anonymized logs and one or more second anonymized logs to be integrated, which are stored in the memory unit 127. Furthermore, the integrated analysis unit 125d performs an integrated analysis of the log group, generates report information indicating the results of the integrated analysis, and stores it in the memory unit 127. This report information is transmitted via the transmission unit 124 to the destination determined by the destination determination unit 123.
  • the first analysis device 120 performs linking resolution by making an inquiry.
  • the acquisition unit 121 of the first analysis device 120 acquires a first anonymized log from the vehicle V via the first server 110 and the communication unit 128.
  • the vehicle V is a monitored device.
  • the first server 110 acquires a first log related to the vehicle V
  • the first server 110 generates a first anonymized log including the first anonymized data by anonymizing the first identification data of the vehicle V included in the first log.
  • the second server 210 of the linked monitoring system which is the second system 200, acquires a second log related to the vehicle V
  • the second server 210 generates a second anonymized log including the second anonymized data by anonymizing the second identification data included in the second log.
  • the linking resolution unit 125b of the first analysis device 120 transmits the first anonymized data to the first server 110 via the communication unit 128. Furthermore, the linking resolution unit 125b performs linking resolution by making an inquiry to the second server 210 via the communication unit 128 and the first server 110 about the second anonymized data that corresponds to the first anonymized data.
  • the first server 110 and the second server 210 each perform anonymization, and linking is resolved by querying the second server 210 via the first server 110, making it possible to achieve accurate linking resolution.
  • FIG. 4 is a flowchart showing an example of the processing operation of the first analysis device 120 in this embodiment.
  • the acquisition unit 121 of the first analysis device 120 acquires one or more first anonymized logs from the first server 110 (step S1). Then, the log analysis unit 122 analyzes the one or more first anonymized logs (step S2).
  • the integrated determination unit 125a of the integrated processing unit 125 determines whether an integrated analysis is necessary based on the analysis results of the one or more first anonymized logs (step S3). For example, the integrated determination unit 125a determines that an integrated analysis is necessary when the analysis results indicate an attack related to a network external to the vehicle V.
  • an attack is an attack on the vehicle V via the monitored out-car system.
  • Another example of such an attack is an attack from the vehicle V to another device via the monitored out-car system.
  • Another example of such an attack may be an attack in which the vehicle V is the source or destination of the attack from the out-car system's perspective.
  • the linking resolution unit 125b makes an inquiry using the first anonymized data (step S4).
  • the linking resolution unit 125b may use information that is a parameter of the anonymization process in addition to the first anonymized data. That is, not only the first anonymized data but also the information may be used, or the information may be used instead of the first anonymized data.
  • the anonymization process is a process of obtaining the first anonymized data by anonymizing the first identification data (VIN as a specific example).
  • Such information that is a parameter of the anonymization process may be time information indicating the time when the first anonymized log including the first anonymized data was generated, or may be location information indicating the location of the vehicle V at that time.
  • the log analysis unit 122 stores the analysis results of one or more first anonymized logs obtained in the processing of step S2 in the storage unit 127 (step S9). In other words, the log analysis unit 122 stores report information indicating the analysis results in the storage unit 127.
  • the linking resolution unit 125b receives second anonymized data (i.e., specific second anonymized data) corresponding to the first anonymized data as a result of the inquiry that is the processing of step S4 (step S5).
  • second anonymized data i.e., specific second anonymized data
  • the system collaboration unit 125c acquires the second anonymized log including the second anonymized data received in step S5 from the second analysis device 220 as the second anonymized log to be integrated (step S6).
  • the second anonymized log to be integrated is stored in the memory unit 127.
  • the integrated analysis unit 125d generates a log group by integrating one or more first anonymized logs and one or more second anonymized logs to be integrated, and performs an analysis of the log group as an integrated analysis (step S7).
  • the integrated analysis unit 125d then stores the results of the integrated analysis obtained by the processing of step S7 in the memory unit 127 (step S8). In other words, the integrated analysis unit 125d stores report information indicating the results of the integrated analysis in the memory unit 127.
  • the destination determination unit 123 determines whether the destination of the report information is the first SIRT or not (step S10). Specifically, the destination determination unit 123 determines whether the analysis result indicated by the report information is related only to the vehicle, or is related not only to the vehicle but also to IT or telematics. If the destination determination unit 123 determines that the analysis result is related only to the vehicle, it determines the first SIRT as the destination of the report information, and if the analysis result is related to the vehicle and IT or telematics, it determines the second SIRT as the destination of the report information.
  • a SIRT corresponding to that range is determined as the destination. If the scope of the impact is limited to the vehicle, the first SIRT, which is responsible for a limited range, is selected as the destination, and if the scope of the impact is not limited to the vehicle but extends to IT or telematics, the second SIRT, which is responsible for a wider range, is selected as the destination.
  • the transmission unit 124 transmits the report information to the first SIRT via the communication unit 128 (step S11).
  • the transmission unit 124 transmits the report information to the second SIRT via the communication unit 128 (step S12).
  • the second anonymized data corresponding to the first anonymized data is determined as the specific second anonymized data by the linking solution. That is, the second anonymized data corresponding to the same vehicle V as the first anonymized data is determined as the specific second anonymized data and linked to the first anonymized data. Therefore, the second anonymized log related to the same vehicle V as the first anonymized log can be acquired from the second system 200 as the second anonymized log to be integrated. As a result, an integrated analysis can be performed on the first anonymized log and the second anonymized log to be integrated related to the same vehicle V, so that the analysis accuracy can be improved compared to an analysis using only the first anonymized log. That is, even if the first system 100 and the second system 200 perform anonymization on the logs in different ways, the logs related to the same vehicle V can be integrated and analyzed, and as a result, the analysis accuracy can be improved.
  • linking resolution is performed when it is determined that integrated analysis is necessary, so linking resolution can be prevented from being performed even when integrated analysis is not necessary, thereby reducing the processing burden. Furthermore, when integrated analysis is not necessary, analysis can be performed on the first anonymized log without using the second anonymized log, thereby reducing the processing burden.
  • the report information is sent to a destination according to the results of the integrated analysis, so that the results of the integrated analysis can be notified to an appropriate destination.
  • the results of the integrated analysis can be notified to the SIRT that corresponds to that range.
  • step S10 the destination determination unit 123 determines whether the report information is to be sent to the first SIRT or the second SIRT, but it may determine that the report information is to be sent to both the first SIRT and the second SIRT depending on the analysis results indicated in the report information.
  • the transmission unit 124 transmits the report information to both the first SIRT and the second SIRT.
  • the system collaboration unit 125c transmits the second anonymized data to the second analysis device 220, thereby requesting a second anonymized log including the second anonymized data from the second analysis device 220.
  • the system collaboration unit 125c transmits not only the second anonymized data but also the log condition information to the second analysis device 220.
  • FIG. 5 is a diagram for explaining the processing operations related to the integrated processing unit 125 among the processing of the first system 100 and the second system 200.
  • the first system 100 and the second system 200 execute processes (1) to (6) in FIG. 5, similar to processes (1) to (6) in FIG. 3. Then, when the system cooperation unit 125c acquires the second anonymized data from the first server 110 via the communication unit 128 by process (6) in FIG. 5, it determines the log condition information as in process (6.1) in FIG. 5.
  • the log condition information is information indicating the condition of the second anonymized log.
  • the system cooperation unit 125c may determine the log condition information based on the analysis result of one or more first anonymized logs by the log analysis unit 122.
  • the condition indicated by the log condition information may be, specifically, the type of the second anonymized log to be integrated (hereinafter also referred to as the log type) or the recording time period of the second anonymized log to be integrated.
  • the log condition information may also indicate a timestamp as a condition.
  • the system collaboration unit 125c transmits not only the second anonymized data but also the log condition information to the second analysis device 220 via the communication unit 128.
  • the system collaboration unit 125c requests the second analysis device 220 to provide a second anonymized log that includes the second anonymized data and satisfies the conditions indicated by the log condition information.
  • the system collaboration unit 125c obtains the second anonymized log in response to the request from the second analysis device 220 via the communication unit 128 as the second anonymized log to be integrated.
  • FIG. 6 is a flowchart showing an example of the processing operation of the first analysis device 120 in this modified example.
  • the first analysis device 120 in this modified example performs steps S1 to S5 in the same manner as the flowchart shown in FIG. 4 in the above embodiment.
  • the system collaboration unit 125c determines log condition information (step S21).
  • the system collaboration unit 125c acquires, from the second analysis device 220, the second anonymized log that includes the second anonymized data received in step S5 and satisfies the conditions indicated by the log condition information, as the second anonymized log to be integrated (step S6a).
  • the first analysis device 120 executes the processes of steps S7 to S12 in the same manner as in the flowchart shown in FIG. 4 of the above embodiment.
  • the system collaboration unit 125c acquires the second anonymized log to be integrated from one or more second anonymized logs that satisfy the condition determined according to the first anonymized log, among the multiple second anonymized logs held by the second analysis device 220. Specifically, the system collaboration unit 125c acquires the second anonymized log to be integrated from one or more second anonymized logs that correspond to at least one of the log type and time period determined according to the first anonymized log, among the multiple second anonymized logs. In other words, the system collaboration unit 125c acquires the second anonymized log as the second anonymized log to be integrated by specifying the second anonymized log that matches the condition determined according to the first anonymized log from the multiple second anonymized logs using at least one of the type and time period.
  • the log type and time period of the acquired second anonymized logs can be integrated to be limited to the type and time period determined according to the first anonymized log.
  • the log type and time period of the second anonymized logs to be integrated are limited, it is possible to suppress the acquisition of second anonymized logs that contribute little to the integrated analysis, and to realize efficient integrated analysis.
  • step S10 the destination determination unit 123 determines whether the report information is to be sent to the first SIRT or the second SIRT, but it may determine that both the first SIRT and the second SIRT are to be sent to, depending on the analysis results indicated in the report information.
  • the transmission unit 124 transmits the report information to both the first SIRT and the second SIRT.
  • the first analysis device 120 further anonymizes the second anonymized log to be integrated.
  • the first analysis device 120 re-anonymizes the second anonymized log to be integrated. That is, the second log to be integrated is anonymized twice. This can improve the security of the second anonymized log to be integrated.
  • FIG. 7 is a diagram for explaining the processing operations related to the integrated processing unit 125 among the processing of the first system 100 and the second system 200.
  • the first system 100 and the second system 200 execute processes (1) to (8) in FIG. 7, similar to processes (1) to (8) in FIG. 3. Then, when the system cooperation unit 125c acquires the second anonymized log to be integrated from the second analysis device 220 by process (8) in FIG. 7, it re-anonymizes the second anonymized log to be integrated as in process (9) in FIG. 7. That is, the system cooperation unit 125c further anonymizes the second anonymized data (i.e., the specific second anonymized data) included in the second anonymized log to be integrated, in other words, it re-anonymizes the second anonymized data. In this way, the system cooperation unit 125c generates the second anonymized log to be integrated, including the re-anonymized second anonymized data.
  • the second anonymized data is data obtained by anonymizing second identification data such as an IP address. Therefore, in this modification, the second identification data included in the second log to be integrated is anonymized twice.
  • Figure 8 shows an example of re-anonymization.
  • the first analysis device 120 receives from the first server 110 the second anonymized data corresponding to the first anonymized data "07b1f9f9", which is an anonymized VIN or the like.
  • the second anonymized data is an anonymized IP address such as "a2.0e.42.98".
  • the system collaboration unit 125c transmits the second anonymized data "a2.0e.42.98" to the second analysis device 220 and requests the second anonymized log to be integrated, which includes the second anonymized data, from the second analysis device 220. Then, when the system collaboration unit 125c acquires the second anonymized log to be integrated from the second analysis device 220, it re-anonymizes the second anonymized data "a2.0e.42.98" included in the second anonymized log to be integrated. In a specific example, the system collaboration unit 125c re-anonymizes the second anonymized data "a2.0e.42.98" to "4a.6e.4f.88". The system collaboration unit 125c stores the second anonymized log to be integrated, which includes the re-anonymized second anonymized data, in the storage unit 127.
  • FIG. 9 is a flowchart showing an example of the processing operation of the first analysis device 120 in this modified example.
  • the first analysis device 120 in this modified example performs steps S1 to S6 in the same manner as the flowchart shown in FIG. 4 in the above embodiment.
  • the system collaboration unit 125c re-anonymizes the second anonymized logs to be integrated and stores them in the storage unit 127 (step S22).
  • the integrated analysis unit 125d generates a log group by integrating one or more first anonymized logs and one or more re-anonymized second anonymized logs to be integrated, and performs an analysis of the log group as an integrated analysis (step S7).
  • the first analysis device 120 executes the processes of steps S8 to S12 in the same manner as in the flowchart shown in FIG. 4 of the above embodiment.
  • the system collaboration unit 125c anonymizes the specific second anonymized data contained in the acquired second anonymized log to be integrated. This makes it possible to increase the confidentiality of the second anonymized log to be integrated and the specific second anonymized data. In other words, it is possible to prevent the second system 200 from recognizing the vehicle V corresponding to the log from the re-anonymized log or data. As a result, it is possible to increase the security of the second anonymized log to be integrated.
  • step S10 the destination determination unit 123 determines whether the report information is to be sent to the first SIRT or the second SIRT, but it may determine that both the first SIRT and the second SIRT are to be sent to, depending on the analysis results indicated in the report information.
  • the transmission unit 124 transmits the report information to both the first SIRT and the second SIRT.
  • the second analysis device 220 also performs the same processing operation as the first analysis device 120. Therefore, the first analysis device 120 in this modification transmits the first anonymized log to the second analysis device 220 in response to a request from the second analysis device 220. That is, in this modification, the first system 100 and the second system 200 cooperate with each other.
  • FIG. 10 is a diagram for explaining the processing operations related to the second analysis device 220 among the processing of the first system 100 and the second system 200.
  • the second analysis device 220 makes an inquiry to the first server 110 via the second server 210, as in process (1) of FIG. 10.
  • the inquiry is for the first anonymized data corresponding to the second anonymized data.
  • the second analysis device 220 transmits the second anonymized data to the second server 210.
  • the second server 210 acquires the second anonymized data from the second analysis device 220 as in process (2) of FIG. 10, it identifies the second identification data corresponding to the second anonymized data.
  • the second server 210 transmits the above-mentioned second log to the second analysis device 220, the second server 210 generates the second anonymized data by anonymizing the second identification data included in the second log, and therefore can identify the second identification data corresponding to the second anonymized data.
  • the second server 210 transmits the identified second identification data to the first server 110 as in process (3) of FIG. 10, and queries the first anonymized data corresponding to the second identification data.
  • the first server 110 When the first server 110 acquires the second identification data from the second server 210 and receives the above-mentioned inquiry, it identifies the first anonymized data corresponding to the second identification data, as in process (4) of FIG. 10. Note that, when the first server 110 transmits the above-mentioned first log to the first analysis device 120, it acquires the first log including the first identification data and the second identification data, and generates the first anonymized data by anonymizing the first identification data. Therefore, the first server 110 can identify the first anonymized data corresponding to the second identification data. Then, the first server 110 responds to the inquiry of the second server 210 by transmitting the identified first anonymized data to the second server 210, as in process (5) of FIG. 10. Note that the first server 110 may separately hold data for identifying the first identification data corresponding to the second identification data, identify the first identification data corresponding to the second identification data, and further identify the first anonymized data corresponding to the first identification data.
  • the second server 210 When the second server 210 receives the first anonymized data from the first server 110, it transmits the first anonymized data to the second analysis device 220 as in process (6) of FIG. 10. As a result, the second analysis device 220 receives the first anonymized data as a response to the inquiry in process (1) of FIG. 10.
  • This first anonymized data is data that corresponds to the second anonymized data, and is data for identifying the same vehicle V as the second anonymized data.
  • the second analysis device 220 transmits the first anonymized data to the first analysis device 120, as in process (7) of FIG. 3, thereby requesting the first anonymized log including the first anonymized data from the first analysis device 120.
  • the first analysis device 120 When the first analysis device 120 receives the first anonymized data from the second analysis device 220 and further receives the above-mentioned request, it transmits the first anonymized log including the first anonymized data to the second analysis device 220 as a first anonymized log to be integrated, as in process (8) of FIG. 10. That is, the system collaboration unit 125c of the first analysis device 120 receives the first anonymized data from the second analysis device 220 via the communication unit 128, and transmits the first anonymized log to be integrated to the second analysis device 220.
  • the second analysis device 220 acquires the first anonymized log to be integrated from the first analysis device 120.
  • the second analysis device 220 then integrates one or more first anonymized logs to be integrated with one or more second anonymized logs to generate a log group including one or more first anonymized logs to be integrated and one or more second anonymized logs.
  • the second analysis device 220 then performs an analysis of the log group as an integrated analysis, and generates report information indicating the results of the integrated analysis.
  • FIG. 11 is a flowchart showing an example of the processing operation of the first analysis device 120 in this modified example.
  • the first analysis device 120 in this modified example further executes the processes of steps S31 and S32 shown in FIG. 11.
  • the control unit 126 of the first analysis device 120 receives a request for a first anonymized log using the first anonymized data from the second analysis device 220, for example, via the acquisition unit 121 (step S31). That is, the control unit 126 acquires the first anonymized data from the second analysis device 220, and receives a request for a first anonymized log including the first anonymized data from the second analysis device 220.
  • the system collaboration unit 125c extracts one or more first anonymized logs each including the first anonymized data from among the multiple first anonymized logs stored in the memory unit 127, according to the control by the control unit 126.
  • the system collaboration unit 125c transmits the extracted one or more first anonymized logs to the second analysis device 220, for example, via the communication unit 128. That is, the system collaboration unit 125c transmits the first anonymized log in response to a request from the second analysis device 220 (step S32).
  • a first anonymized log is treated as a first anonymized log to be integrated by the second analysis device 220, and is integrated into the second anonymized log for analysis.
  • the system collaboration unit 125c transmits the first anonymized log to the second system 200, which is the collaboration target monitoring system, in response to a request from that second system 200.
  • This allows not only the first analysis device 120 but also the second analysis device 220 of the second system 200 to acquire the first anonymized log and the second anonymized log corresponding to the same vehicle V and perform integrated analysis. In other words, it is possible to realize mutual collaboration between the first system 100 and the second system 200, and to perform effective analysis of the logs.
  • the first analysis device 120 may transmit report information indicating the analysis results for the one or more first anonymized logs to the second analysis device 220.
  • the first analysis device 120 makes the above-mentioned inquiry to perform linking resolution every time it determines that an integrated analysis is necessary.
  • the first analysis device 120 holds the results of past linking resolution. Then, when the first analysis device 120 determines that an integrated analysis is necessary, if the results of past linking resolution are held, the first analysis device 120 uses the results of the past linking resolution without making an inquiry.
  • FIG. 12 is a diagram for explaining the processing operations related to the integrated processing unit 125 among the processing of the first system 100 and the second system 200.
  • the first system 100 and the second system 200 execute processes (1) to (6) in FIG. 12, similar to processes (1) to (6) in FIG. 3.
  • the linking resolution unit 125b acquires the second anonymized data from the first server 110 by process (6) in FIG. 12
  • the linking resolution unit 125b links the second anonymized data (i.e., the specific second anonymized data) to the first anonymized data and records it, as in process (6.1) in FIG. 12.
  • the linking resolution unit 125b associates the second anonymized data with the first anonymized data used in the inquiry in process (1) in FIG. 12.
  • the linking resolution unit 125b generates linking information indicating the first anonymized data and the second anonymized data associated with each other, and stores it in the storage unit 127. Note that storing such linking information in the storage unit 127 may be called a cache.
  • Process (7) and process (8) in FIG. 12 are similar to process (7) and process (8) in FIG. 3.
  • the linking resolution unit 125b of the first analysis device 120 determines whether linking information is stored in the memory unit 127. In other words, the linking resolution unit 125b determines whether linking information indicating the first anonymized data included in the first anonymized log that is the subject of the integrated analysis is stored in the memory unit 127.
  • the linking resolution unit 125b determines that the linking information is stored in the memory unit 127, it performs linking resolution using the linking information without making an inquiry. This makes it possible to reduce the number of inquiries.
  • FIG. 13 shows an example of linking information.
  • the linking information a1 stored in the memory unit 127 indicates, for example, for each of one or more first anonymized data, the second anonymized data associated with that first anonymized data and the expiration date of that association.
  • the linking information a1 indicates the first anonymized data "07b1f9f9", the second anonymized data "a2.0e.42.98", and the expiration date "2022/07/14 17:50" in association with each other.
  • the linking resolution unit 125b determines whether or not the linking information a1 indicating that first anonymized data is stored in the memory unit 127.
  • the linking resolution unit 125b determines that the linking information a1 is stored in the memory unit 127, it checks the expiration date "2022/07/14 17:50" associated with the first anonymized data "07b1f9f9" in the linking information a1. For example, the linking resolution unit 125b determines whether the current time at which the linking resolution is performed has passed the expiration date "2022/07/14 17:50". In other words, the linking resolution unit 125b determines whether the linking of the first anonymized data "07b1f9f9" has expired. When the linking resolution unit 125b determines that the current time has not passed the expiration date, that is, that the linking has not expired, it performs linking resolution without making an inquiry. Specifically, the linking resolution unit 125b acquires the second anonymized data "a2.0e.42.98" associated with the first anonymized data "07b1f9f9" in the linking information a1 from the storage unit 127. This completes the linking resolution.
  • the above-mentioned expiration date can also be said to be the expiration date of the linking information a1.
  • the expiration date is indicated in the linking information a1, but the expiration date does not have to be indicated.
  • FIG. 14 is a flowchart showing an example of the processing operation of the first analysis device 120 in this modified example.
  • the first analysis device 120 executes the processes of steps S4 to S6 and S41 to S45 shown in FIG. 14 from when it is determined that an integrated analysis is necessary until the integrated analysis is executed, i.e., from Yes in step S3 to step S7 in FIG. 3.
  • the linking resolution unit 125b determines whether or not the linking information a1 is stored in the storage unit 127 (step S41). That is, the linking resolution unit 125b determines whether or not the linking information a1 indicating the first anonymized data included in the first anonymized log that is the subject of the integrated analysis is stored in the storage unit 127.
  • the linking resolution unit 125b determines that the linking information a1 is not stored (No in step S41)
  • the linking resolution unit 125b generates linking information a1 that indicates the first anonymized data in association with the second anonymized data, and stores it in the storage unit 127 (step S43).
  • the linking resolution unit 125b updates the linking information a1.
  • the linking resolution unit 125b updates the linking information a1 by writing the first anonymized data and the second anonymized data in association with each other and writing them into the linking information a1. This generates the updated linking information a1.
  • such an update of the linking information a1 may be called a cache update.
  • the linking resolution unit 125b transmits the latest updated or generated linking information a1 to the second analysis device 220 via the transmission unit 124 (step S46).
  • the latest linking information a1 is notified to the second analysis device 220 and is shared between the first analysis device 120 and the second analysis device 220.
  • the second analysis device 220 performs linking resolution for integrated analysis, it can perform linking resolution without making inquiries by referring to the latest shared linking information a1.
  • the system collaboration unit 125c uses the second anonymized data received in step S5 to obtain the second anonymized log to be integrated from the second analysis device 220 (step S6).
  • step S41 determines whether the linking information a1 is stored in the memory unit 127 (Yes in step S41), it determines whether the expiration date indicated in the linking information a1 has expired (step S42). That is, the linking resolution unit 125b identifies the expiration date associated with the first anonymized data in the linking information a1.
  • the first anonymized data is data included in the first anonymized log that is the subject of the integrated analysis. The linking resolution unit 125b then determines whether the current point in time at which the linking resolution is performed has passed the expiration date.
  • the linking resolution unit 125b determines that the current time has not passed the expiration date, i.e., the expiration date has not expired (No in step S42), it reads out the second anonymized data associated with the first anonymized data in the linking information a1 (step S45). In other words, the second anonymized data is read out from the memory unit 127. By the processing of step S45, linking is resolved without an inquiry. Then, the system collaboration unit 125c executes the processing of step S6.
  • the linking resolution unit 125b determines in step S42 that the current time has passed the expiration date, i.e., that the expiration date has expired (Yes in step S42), it executes the acquisition of the second anonymized data by inquiry (i.e., the processing of steps S4 and S5). Then, the linking resolution unit 125b resets the expiration date (step S44). That is, the linking resolution unit 125b updates the expiration date indicated in the linking information a1 to a new expiration date that is a date further ahead than the current time. Then, the linking resolution unit 125b executes the processing of step S46. Note that, when updating the expiration date, the linking resolution unit 125b may update the expiration date indicated in the linking information a1 to an expiration date determined by the first server 110.
  • FIG. 15 is a flowchart showing an example of the processing operation of the second analysis device 220 in this modified example.
  • the second analysis device 220 receives the linking information a1 sent from the first analysis device 120 (step S51). The second analysis device 220 then stores the linking information a1 in a recording medium possessed by the second analysis device 220. At this time, if existing linking information a1 is stored in the recording medium, the second analysis device 220 updates the existing linking information a1 to the new linking information a1 received in step S51 (step S52). In other words, the cache is updated in the second analysis device 220.
  • the linking resolution unit 125b stores in the memory unit 127 the linking information a1 indicating the association between the first anonymized data and the specified second anonymized data. Then, when the linking resolution unit 125b repeatedly performs linking resolution for the first anonymized data, the linking resolution unit 125b performs linking resolution by referring to the linking information a1 stored in the memory unit 127. As a result, when linking resolution is repeatedly performed, the linking resolution is performed by referring to the linking information a1, so that it is possible to eliminate the need for the first analysis device 120 to communicate with the first server 110 or the like to perform linking resolution. As a result, it is possible to realize efficient linking resolution and integrated analysis. In addition, the number of inquiries can be reduced.
  • the linking resolution unit 125b also sets an expiration date for the linking information a1, and if the timing for repeatedly executing linking resolution for the first anonymized data has not passed the expiration date, it performs linking resolution by referencing the linking information a1 stored in the memory unit 127.
  • an expiration date is set for the linking information a1, so that the correspondence between the first anonymized data and the second anonymized data is guaranteed until the expiration date, and the correspondence can be changed after the expiration date.
  • the anonymization modes of the first system 100 and the second system 200 can be changed. As a result, the overall processing operation of these systems can be made more flexible.
  • the system collaboration unit 125c also transmits the linking information a1 stored in the memory unit 127 to the second analysis device 220 of the second system 200, which is the associated monitoring system.
  • the linking information a1 is transmitted to the second system 200, so that the second system 200 can use the linking information a1 to perform linking resolution.
  • the second system 200 (specifically the second analysis device 220) can also perform integrated analysis, just like the first analysis device 120.
  • the system linking unit 125c transmits the updated linking information a1 to the second analysis device 220 of the second system 200, which is the linked monitoring system.
  • first analysis device 120 and the second analysis device 220 to synchronously manage the common linking information a1.
  • efficiency of the integrated analysis performed by the first analysis device 120 and the second analysis device 220 can be improved.
  • a VIN is used as an example of first identification data
  • an IP address is used as an example of second identification data
  • the first identification data and the second identification data are not limited to a VIN or an IP address.
  • Each of the first identification data and the second identification data may be location information or privacy information such as a personal name.
  • the first identification data and the second identification data are used, but as long as anonymization is performed in different ways in two or more different systems, only one of the first identification data and the second identification data may be used.
  • a vehicle V is used as an example of a monitored device, but the monitored device is not limited to a vehicle V and may be another device.
  • the first system and the second system are not limited to systems for vehicles and may be any system that corresponds to the monitored device.
  • the system that links with the first system 100 is only one second system 200, but the first system 100 may link with multiple second systems 200.
  • the number of linked monitoring systems that link with the first system 100 is not limited to one, and may be multiple.
  • each component may be configured with dedicated hardware, or may be realized by executing a software program suitable for each component.
  • Each component may be realized by a program execution unit such as a CPU (Central Processing Unit) or a processor reading and executing a software program recorded on a recording medium such as a hard disk or semiconductor memory.
  • the software that realizes the monitoring device of each of the above embodiments is a computer program that causes a computer to execute each step of the flowcharts shown in Figures 4, 6, 9, 11, 14, and 15.
  • the at least one device is a computer system consisting of a microprocessor, ROM, RAM, hard disk unit, display unit, keyboard, mouse, etc.
  • a computer program is stored in the RAM or hard disk unit.
  • the at least one device achieves its functions by the microprocessor operating in accordance with the computer program.
  • a computer program is composed of a combination of multiple instruction codes that indicate commands for a computer to achieve a specified function.
  • a system LSI is an ultra-multifunctional LSI manufactured by integrating multiple components on a single chip, and specifically, is a computer system comprising a microprocessor, ROM, RAM, etc.
  • a computer program is stored in the RAM. The system LSI achieves its functions when the microprocessor operates in accordance with the computer program.
  • Some or all of the components constituting at least one of the above devices may be composed of an IC card or a standalone module that is detachable from the device.
  • the IC card or module is a computer system composed of a microprocessor, ROM, RAM, etc.
  • the IC card or module may include the above-mentioned ultra-multifunction LSI.
  • the IC card or module achieves its functions when the microprocessor operates according to a computer program. This IC card or module may be tamper-resistant.
  • the present disclosure may be the methods described above. It may also be a computer program that implements these methods using a computer, or a digital signal that comprises a computer program.
  • the present disclosure may also be a computer program or digital signal recorded on a computer-readable recording medium, such as a flexible disk, a hard disk, a CD (Compact Disc)-ROM, a DVD, a DVD-ROM, a DVD-RAM, a BD (Blu-ray (registered trademark) Disc), a semiconductor memory, etc. It may also be a digital signal recorded on such a recording medium.
  • a computer-readable recording medium such as a flexible disk, a hard disk, a CD (Compact Disc)-ROM, a DVD, a DVD-ROM, a DVD-RAM, a BD (Blu-ray (registered trademark) Disc), a semiconductor memory, etc. It may also be a digital signal recorded on such a recording medium.
  • the present disclosure may also involve the transmission of computer programs or digital signals via telecommunications lines, wireless or wired communication lines, networks such as the Internet, data broadcasting, etc.
  • the program or digital signal may also be implemented by another independent computer system by recording it on a recording medium and transferring it, or by transferring the program or digital signal via a network, etc.
  • the analysis device disclosed herein can be applied to systems that monitor, for example, vehicle control.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Debugging And Monitoring (AREA)

Abstract

第１分析装置（１２０）は、車両（Ｖ）に関するログの分析結果に基づいてレポート情報を送信する分析装置であって、車両（Ｖ）の第１匿名化データを含むログである第１匿名化ログを取得する取得部（１２１）と、第２システム（２００）が有する複数の第２匿名化ログのそれぞれに含まれる第２匿名化データから、上述の第１匿名化データに対応する第２匿名化データを特定第２匿名化データとして決定する処理である紐付け解決を行う紐付け解決部（１２５ｂ）と、特定第２匿名化データを含む第２匿名化ログを、統合対象第２匿名化ログとして第２システム（２００）から取得するシステム連携部（１２５ｃ）と、第１匿名化ログおよび統合対象第２匿名化ログを含むログ群の分析を統合分析として実行する統合分析部（１２５ｄ）とを備える。

Description

分析装置、分析方法およびプログラム
　本開示は、ログの分析を行う分析装置などに関する。
　例えば、特許文献１には、分析装置としてログ分析装置が開示されている。このログ分析装置は、監視対象のログメッセージが所定の条件を満たす場合にアラートを出力し、そのログメッセージの中から、アラートと関連するログである関連ログを抽出する。そして、ログ分析装置は、同一時間帯ごとの関連ログに応じた情報を出力する。これにより、ログが大量に存在する場合であっても、確認が必要なログを絞ることができる。
特許第７０７８１１４号公報
　しかしながら、上記特許文献１のログ分析装置では、分析対象のログを絞り込んでいるため、分析精度の向上が難しいという課題がある。つまり、上記特許文献１のログ分析装置は、抽出された関連ログを統合して分析しているが、それらの関連ログは絞り込まれたものであって、多くのログが用いられていない。例えば、２以上のシステムのそれぞれが、そのシステムの目的に応じたログを監視対象車両から収集して分析するよりも、それらのシステムによって得られるログを統合して分析した方が、分析精度向上の可能性を高めることができる場合がある。しかし、それらのシステムのそれぞれにおいて、互に異なる態様でログに対して匿名化が行われる場合には、監視対象車両のログを統合することが難しい。したがって、多くのログを分析に用いることができず、分析精度の向上が困難になる。
　そこで、本開示は、分析精度の向上を図ることができる分析装置などを提供する。
　本開示の一態様に係る分析装置は、監視対象デバイスに関するログの分析結果に基づいてレポート情報を送信する分析装置であって、前記監視対象デバイスの第１匿名化データを含む前記ログである第１匿名化ログを取得する取得部と、連携先監視システムが有する複数の第２匿名化ログのそれぞれに含まれる第２匿名化データから、前記第１匿名化データに対応する第２匿名化データを特定第２匿名化データとして決定する処理である紐付け解決を行う紐付け解決部と、前記特定第２匿名化データを含む第２匿名化ログを、統合対象第２匿名化ログとして前記連携先監視システムから取得するシステム連携部と、前記第１匿名化ログおよび前記統合対象第２匿名化ログを含むログ群の分析を統合分析として実行する統合分析部と、を備える。
　なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。また、記録媒体は、非一時的な記録媒体であってもよい。
　本開示の分析装置は、分析精度の向上を図ることができる。
　なお、本開示の一態様における更なる利点および効果は、明細書および図面から明らかにされる。かかる利点および／または効果は、実施の形態並びに明細書および図面に記載された構成によって提供されるが、必ずしも全ての構成が必要とはされない。
図１は、実施の形態における分析システムの全体構成図である。 図２は、実施の形態における第１分析装置の機能構成の一例を示すブロック図である。 図３は、実施の形態における第１システムおよび第２システムの処理のうち、統合処理部に関する処理動作を説明するための図である。 図４は、実施の形態における第１分析装置の処理動作の一例を示すフローチャートである。 図５は、実施の形態の変形例１における第１システムおよび第２システムの処理のうち、統合処理部に関する処理動作を説明するための図である。 図６は、実施の形態の変形例１における第１分析装置の処理動作の一例を示すフローチャートである。 図７は、実施の形態の変形例２における第１システムおよび第２システムの処理のうち、統合処理部に関する処理動作を説明するための図である。 図８は、実施の形態の変形例２における再匿名化の一例を示す図である。 図９は、実施の形態の変形例２における第１分析装置の処理動作の一例を示すフローチャートである。 図１０は、実施の形態の変形例３における第１システムおよび第２システムの処理のうち、第２分析装置に関する処理動作を説明するための図である。 図１１は、実施の形態の変形例３における第１分析装置の処理動作の一例を示すフローチャートである。 図１２は、実施の形態の変形例４における第１システムおよび第２システムの処理のうち、統合処理部に関する処理動作を説明するための図である。 図１３は、実施の形態の変形例４における紐付け情報の一例を示す図である。 図１４は、実施の形態の変形例４における第１分析装置の処理動作の一例を示すフローチャートである。 図１５は、実施の形態の変形例４における第２分析装置の処理動作の一例を示すフローチャートである。
　本開示の第１態様に係る分析装置は、監視対象デバイスに関するログの分析結果に基づいてレポート情報を送信する分析装置であって、前記監視対象デバイスの第１匿名化データを含む前記ログである第１匿名化ログを取得する取得部と、連携先監視システムが有する複数の第２匿名化ログのそれぞれに含まれる第２匿名化データから、前記第１匿名化データに対応する第２匿名化データを特定第２匿名化データとして決定する処理である紐付け解決を行う紐付け解決部と、前記特定第２匿名化データを含む第２匿名化ログを、統合対象第２匿名化ログとして前記連携先監視システムから取得するシステム連携部と、前記第１匿名化ログおよび前記統合対象第２匿名化ログを含むログ群の分析を統合分析として実行する統合分析部と、を備える。例えば、分析装置を有するシステムと、連携先監視システムとのそれぞれは、１以上のデバイスの各々に関するログを取得すると、互いに異なる態様でそのログを匿名化する。デバイスの一例は、車両である。また、ログの匿名化では、そのログに含まれる例えばＶＩＮ（Vehicle Identification Number）またはＩＰ（Internet Protocol）アドレスなどのような、そのログに記録されたデバイスやユーザの識別に用いられる識別データが匿名化データに匿名化される。分析装置を有するシステムでは、監視対象デバイスに関するログは、第１匿名化データを含む第１匿名化ログとして管理される。また、連携先監視システムでは、監視対象デバイスを含む各デバイスに関するログは、第２匿名化データを含む第２匿名化ログとして管理される。
　ここで、上記本開示の第１態様に係る分析装置では、紐付け解決によって、第１匿名化データに対応する第２匿名化データが特定第２匿名化データとして決定される。つまり、第１匿名化データと同一の監視対象デバイスに対応する第２匿名化データが、特定第２匿名化データとして決定されてその第１匿名化データに紐付けられる。したがって、第１匿名化ログと同一の監視対象デバイスに関する第２匿名化ログを、統合対象第２匿名化ログとして連携先監視システムから取得することができる。その結果、同一の監視対象デバイスに関する第１匿名化ログと統合対象第２匿名化ログとに対して統合分析を行うことができるため、第１匿名化ログだけを用いた分析よりも分析精度の向上を図ることができる。つまり、分析装置を有するシステムと、連携先監視システムとで、ログに対して互いに異なる態様で匿名化が行われても、同一の監視対象デバイスに関するログを統合して解析することができ、その結果、分析精度の向上を図ることができる。
　また、第１態様に従属する第２態様に係る分析装置は、さらに、前記統合分析が必要か否かを判定する統合判定部を備え、前記紐付け解決部は、前記統合判定部によって前記統合分析が必要と判定された場合に、前記紐付け解決を行ってもよい。
　これにより、統合分析が必要と判定された場合に紐付け解決が行われるため、統合分析が不要な場合にまで、紐付け解決が行われることを抑制することができ、処理負担の軽減を図ることができる。また、統合分析が不要な場合には、第２匿名化ログを用いずに、第１匿名化ログに対する分析を行うことができ、処理負担の軽減を図ることができる。なお、第１匿名化ログの分析結果に基づいて、統合分析が必要か否かを判定してもよい。
　また、第１態様または第２態様に従属する第３態様に係る分析装置は、さらに、前記統合分析の結果に応じた送信先を判定する送信先判定部と、前記送信先判定部によって判定された送信先に、前記統合分析の結果を示す前記レポート情報を送信する送信部と、を備えてもよい。
　これにより、統合分析の結果に応じた送信先にレポート情報が送信されるため、適切な送信先に統合分析の結果を通知することができる。つまり、監視対象デバイスの状況が与える影響の範囲に応じて、その範囲に対応する例えばＳＩＲＴ（Security Incident Response Team）に、統合分析の結果を通知することができる。
　また、第１～第３態様の何れか１つに従属する第４態様に係る分析装置では、前記システム連携部は、前記複数の第２匿名化ログのうち、前記第１匿名化ログに応じて決定される種別および時間帯の少なくとも一方に対応する１以上の第２匿名化ログから、前記統合対象第２匿名化ログを取得してもよい。あるいは、第１～第３態様の何れか１つに従属する第５態様に係る分析装置では、前記システム連携部は、前記複数の第２匿名化ログから、前記第１匿名化ログに応じて決定される条件に一致する第２匿名化ログを、種別および時間帯の少なくとも一方を用いて指定することによって、前記第２匿名化ログを前記統合対象第２匿名化ログとして取得してもよい。
　これにより、取得される統合対象第２匿名化ログの種別および時間帯を、第１匿名化ログに応じて決定される種別および時間帯に限定することができる。例えば、監視対象デバイスが車両であれば、渋滞予測に関する種別の統合対象第２匿名化ログ、または、渋滞の時間帯に対応する統合対象第２匿名化ログを取得することができる。その結果、統合対象第２匿名化ログの種別および時間帯が限定されるため、統合分析への貢献度の低い第２匿名化ログの取得を抑制し、効率的な統合分析を実現することができる。
　また、第１～第４態様の何れか１つに従属する第５態様に係る分析装置では、前記システム連携部は、さらに、取得された前記統合対象第２匿名化ログに含まれている前記特定第２匿名化データを匿名化してもよい。
　つまり、統合対象第２匿名化ログまたは特定第２匿名化データが再匿名化される。これにより、それらのログおよびデータの秘匿性を高めることができる。すなわち、それらの再匿名化されたログまたはデータから、そのログに対応するデバイスが連携先監視システムによって認識されてしまうことを抑制することができる。その結果、統合対象第２匿名化ログの安全性を高めることができる。
　また、第１～第５態様の何れか１つに従属する第６態様に係る分析装置では、前記システム連携部は、さらに、前記連携先監視システムからの要求に応じて、前記第１匿名化ログを前記連携先監視システムに送信してもよい。
　これにより、分析装置だけでなく、連携先監視システムでも、互に同じ監視対象デバイスに対応する第１匿名化ログおよび第２匿名化ログを取得して統合分析を行うことができる。つまり、分析装置を有するシステムと、連携先監視システムとの相互連携を実現することができ、ログに対する効果的な分析を行うことができる。
　また、第１～第６態様の何れか１つに従属する第７態様に係る分析装置では、前記紐付け解決部は、さらに、前記第１匿名化データと前記特定第２匿名化データとの関連付けを示す紐付け情報を記録媒体に格納し、前記第１匿名化データに対する前記紐付け解決を繰り返し実行するときには、前記記録媒体に格納されている前記紐付け情報を参照することによって前記紐付け解決を行ってもよい。
　これにより、紐付け解決が繰り返し実行されるときには、紐付け情報の参照によってその紐付け解決が行われるため、分析装置が他の装置などと通信して紐付け解決を行う手間を省くことができる。その結果、効率的な紐付け解決および統合分析を実現することができる。
　また、第７態様に従属する第８態様に係る分析装置では、前記紐付け解決部は、さらに、前記紐付け情報に対して有効期限を設定し、前記第１匿名化データに対する前記紐付け解決を繰り返し実行するタイミングが、前記有効期限を経過していなければ、前記記録媒体に格納されている前記紐付け情報を参照することによって前記紐付け解決を行ってもよい。
　これにより、紐付け情報に対して有効期限が設定されるため、有効期限までは、第１匿名化データと第２匿名化データとの対応関係を保障し、有効期限経過後では、その対応関係を変更することができる。つまり、有効期限経過後では、分析装置を有するシステムと、連携先監視システムとのそれぞれの匿名化の態様を変更することができる。その結果、それらシステムの全体的な処理動作の自由度を高めることができる。
　また、第７態様または第８態様に従属する第９態様に係る分析装置では、前記システム連携部は、さらに、前記記録媒体に格納されている前記紐付け情報を、前記連携先監視システムに送信してもよい。
　これにより、紐付け情報が連携先監視システムに送信されるため、連携先監視システムはその紐付け情報を用いて紐付け解決を行うことができる。その結果、連携先監視システムでも、分析装置と同様に、統合分析を行うことができる。
　また、第９態様に従属する第１０態様に係る分析装置では、前記システム連携部は、さらに、前記記録媒体に格納されている前記紐付け情報が、前記紐付け解決部によって更新されたときには、更新された前記紐付け情報を、前記連携先監視システムに送信してもよい。
　これにより、分析装置と、連携先監視システムとで、共通の紐付け情報を同期して管理することができる。その結果、分析装置と連携先監視システムとで行われる統合分析の効率化を図ることができる。
　また、第１～第１０態様の何れか１つに従属する第１１態様に係る分析装置では、前記取得部は、第１サーバから前記第１匿名化ログを取得し、前記第１サーバは、前記監視対象デバイスに関する第１ログを取得した場合に、前記第１ログに含まれている前記監視対象デバイスの第１識別データを匿名化することによって、前記第１匿名化データを含む前記第１匿名化ログを生成し、前記連携先監視システムが有する第２サーバは、前記監視対象デバイスに関する第２ログを取得した場合に、前記第２ログに含まれている第２識別データを匿名化することによって、前記第２匿名化データを含む前記第２匿名化ログを生成し、前記紐付け解決部は、前記第１匿名化データを前記第１サーバに送信し、前記第１匿名化データに対応する第２匿名化データの問い合わせを、前記第１サーバを介して前記第２サーバに対して行うことによって、前記紐付け解決を行ってもよい。
　これにより、第１サーバおよび第２サーバがそれぞれ匿名化を行い、第１サーバを介した第２サーバへの問い合わせによって紐付け解決が行われるため、正確な紐付け解決を実現することができる。
　以下、実施の形態について、図面を参照しながら具体的に説明する。
　なお、以下で説明する実施の形態は、いずれも包括的または具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置および接続形態、ステップ、ステップの順序などは、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。
　また、各図は、模式図であり、必ずしも厳密に図示されたものではない。また、各図において、同じ構成部材については同じ符号を付している。
　（実施の形態）
　図１は、本実施の形態における分析システムの全体構成図である。
　本実施の形態における分析システム１は、監視対象デバイスである車両Ｖにおける処理動作を分析して監視するシステムであって、車両Ｖ、基地局Ｒ、第１システム１００、および第２システム２００を備える。なお、基地局Ｒは、分析システム１に備えられていなくてもよい。
　車両Ｖは、例えばカーナビゲーションシステムに用いられる機器のようなテレマティクスのサービスを受ける機器を備え、操舵および車速などの車両制御を行う。そして、車両Ｖは、基地局Ｒを介して複数のログを第１システム１００および第２システム２００に送信する。これらのログは、テレマティクスに関するログ、車両制御に関するログなどを含む。また、各ログは、プライバシー情報を含む。プライバシー情報は、例えば車両Ｖを識別するための識別データであって、例えばＶＩＮ（Vehicle Identification Number）およびＩＰ（Internet Protocol）アドレスなどである。なお、これらのログは、車両データと呼ばれてもよい。
　第１システム１００は、例えば車両監視システムとも呼ばれ、車両Ｖを含む各車両の車両制御を監視する。このような第１システム１００は、第１サーバ１１０と、第１分析装置１２０とを備える。
　第１サーバ１１０は、例えば車両ログサーバとも呼ばれ、車両Ｖを含む各車両から送信されるログのうち、第１システム１００の分析目的に応じた第１ログを受信する。例えば、第１ログは、車両Ｖの車両制御に関するログである。第１サーバ１１０は、その第１ログを匿名化することによって第１匿名化ログを生成し、その第１匿名化ログを第１分析装置１２０に出力する。具体的には、その第１ログの匿名化では、第１サーバ１１０は、第１ログに含まれる第１識別データを匿名化することによって第１匿名化データを生成する。第１匿名化ログは、第１識別データの代わりにその第１匿名化データを含む第１ログであると言える。第１識別データは、車両Ｖを識別するための例えばＶＩＮである。なお、本実施の形態では、匿名化が行われるため、第１サーバ１１０以外の機器は、第１匿名化データおよび第１匿名化ログから車両Ｖを特定することができない。このような匿名化は、ＧＤＰＲ（General Data Protection Regulation）等で求められるプライバシー情報保護のために行われる。
　第１分析装置１２０は、車両制御用のＳＯＣ（Security Operation Center）に用いられる装置であって、第１サーバ１１０から１以上の第１匿名化ログを取得すると、それらの第１匿名化ログを分析する。例えば、第１分析装置１２０は、それらの第１匿名化ログの分析によって、第１匿名化データに対応する車両への攻撃の有無などを判定する。
　第２システム２００は、例えばＩＴ（Information Technology）システムとも呼ばれ、車両Ｖを含む各車両のテレマティクスサービスを監視する。このような第２システム２００は、第２サーバ２１０と、第２分析装置２２０とを備える。
　第２サーバ２１０は、例えばテレマティクスサーバとも呼ばれ、車両Ｖを含む各車両から送信されるログのうち、第２システム２００の分析目的に応じた第２ログを受信する。例えば、第２ログは、カーナビゲーションシステムなどのテレマティクスに関するログである。第２サーバ２１０は、その第２ログを匿名化することによって第２匿名化ログを生成し、その第２匿名化ログを第２分析装置２２０に出力する。具体的には、その第２ログの匿名化では、第２サーバ２１０は、第２ログに含まれる第２識別データを匿名化することによって第２匿名化データを生成する。第２匿名化ログは、第２識別データの代わりにその第２匿名化データを含む第２ログであると言える。第２識別データは、車両Ｖを識別するための例えばＩＰアドレスである。なお、本実施の形態では、匿名化が行われるため、第２サーバ２１０以外の機器は、第２匿名化データおよび第２匿名化ログから車両Ｖを特定することができない。このような匿名化は、第１サーバ１１０と同様、ＧＤＰＲ等で求められるプライバシー情報保護のために行われる。
　第２分析装置２２０は、ＩＴ用のＳＯＣに用いられる装置であって、第２サーバ２１０から１以上の第２匿名化ログを取得すると、それらの第２匿名化ログを分析する。例えば、第２分析装置２２０は、それらの第２匿名化ログの分析によって、第２匿名化データに対応する車両が走行する予定の道路の渋滞を予測する。
　なお、第１ログおよび第２ログのそれぞれには、第１識別データおよび第２識別データが含まれるが、第１匿名化ログには、第２識別データが匿名化されることによって得られるデータが含まれていても、含まれていなくてもよい。同様に、第２匿名化ログには、第１識別データが匿名化されることによって得られるデータが含まれていても、含まれていなくてもよい。また、第１サーバ１１０および第２サーバ２１０は、例えば車両メーカによって運用される装置であって、第１分析装置１２０および第２分析装置２２０は、サービスを提供する団体などによって運用される装置である。
　ここで、本実施の形態における第１分析装置１２０は、統合分析が必要とされる場合には、車両Ｖの１以上の第２匿名化ログを第２分析装置２２０から取得し、車両Ｖの１以上の第２匿名化ログを、その車両Ｖの１以上の第１匿名化ログに統合する。そして、第１分析装置１２０は、それらの統合された１以上の第１匿名化ログおよび１以上の第２匿名化ログに対する分析を統合分析として実行する。また、第１分析装置１２０は、この統合分析を行うときには、車両Ｖに関する第１匿名化ログと第２匿名化ログとを紐付けるための処理である紐付け解決を行う。
　なお、本実施の形態では、第１サーバ１１０および第２サーバ２１０は、車両Ｖから基地局Ｒを介して車両Ｖのログを取得するが、車両Ｖ以外の装置またはサーバから、その車両Ｖのログを取得してもよい。つまり、本実施の形態における車両Ｖのログは、車両Ｖに関するログであって、車両Ｖによって生成されるログ、または車両Ｖから得られるログに限定されることはない。したがって、その車両Ｖのログには、車両Ｖと外部ネットワークとの通信ログなど、他の装置またはサーバによって生成されたログ、あるいは、他の装置またはサーバによって取得されたログが含まれてもよい。
　図２は、本実施の形態における第１分析装置１２０の機能構成の一例を示すブロック図である。
　本実施の形態における第１分析装置１２０は、監視対象デバイスである車両Ｖに関するログの分析結果に基づいてレポート情報を送信する装置である。このような第１分析装置１２０は、取得部１２１、ログ分析部１２２、送信先判定部１２３、送信部１２４、統合処理部１２５、制御部１２６、記憶部１２７、および通信部１２８を備える。
　通信部１２８は、第１サーバ１１０および第２分析装置２２０のそれぞれと例えばインターネットなどの電気通信回線を介して通信する。
　取得部１２１は、第１サーバ１１０から通信部１２８を介して車両Ｖの第１匿名化ログを取得する。つまり、取得部１２１は、監視対象デバイスである車両Ｖの第１匿名化データを含むログである第１匿名化ログを、第１サーバ１１０から取得する。そして、取得部１２１は、その第１匿名化ログを記憶部１２７に格納する。
　ログ分析部１２２は、取得部１２１によって取得されて記憶部１２７に格納された１以上の第１匿名化ログを分析する。
　送信先判定部１２３は、車両Ｖの１以上のログの分析結果を示すレポート情報の送信先を判定する。つまり、送信先判定部１２３は、ログ分析部１２２による１以上の第１匿名化ログの分析の結果を示すレポート情報の送信先を判定する。あるいは、送信先判定部１２３は、統合処理部１２５による統合分析の結果を示すレポート情報の送信先を判定する。例えば、送信先判定部１２３は、統合分析の結果に応じて、そのレポート情報の送信先を判定する。送信先は、例えば複数種のＳＩＲＴ（Security Incident Response Team）のうちの少なくとも１つのＳＩＲＴである。具体的には、複数種のＳＩＲＴは、車両制御を担当するＳＩＲＴである第１ＳＩＲＴと、車両制御およびテレマティクスを担当するＳＩＲＴである第２ＳＩＲＴとを含む。
　送信部１２４は、送信先判定部１２３によって判定された送信先に通信部１２８を介してレポート情報を送信する。例えば、送信部１２４は、統合分析が行われる場合には、その統合分析の結果に応じた送信先に、すなわち送信先判定部１２３によって判定された送信先に、その統合分析の結果を示すレポート情報を送信する。なお、送信先は、上述のＳＩＲＴであって、具体的には、そのＳＩＲＴが有する装置またはシステムである。
　統合処理部１２５は、上述の統合分析を行う。具体的には、この統合処理部１２５は、統合判定部１２５ａ、紐付け解決部１２５ｂ、システム連携部１２５ｃ、および統合分析部１２５ｄを備える。
　統合判定部１２５ａは、ログ分析部１２２による分析結果、すなわち１以上の第１匿名化ログの分析結果に基づいて、統合分析が必要か否かを判定する。
　紐付け解決部１２５ｂは、統合判定部１２５ａによって統合分析が必要と判定された場合に、紐付け解決を行う。紐付け解決は、それぞれ同一の車両Ｖに関する第１匿名化ログと第２匿名化ログとを紐付けるための処理である。具体的には、第２システム２００の第２分析装置２２０は、車両Ｖを含む各車両から得られる複数の第２匿名化ログを有している。これらの複数の第２匿名化ログには、車両Ｖの第２匿名化ログだけでなく他の車両の第２匿名化ログが含まれている。そこで、紐付け解決部１２５ｂは、複数の第２匿名化ログのうち、第１匿名化ログと同様に車両Ｖのログである第２匿名化ログを、その第１匿名化ログに紐付けるための紐付け解決を行う。つまり、紐付け解決部１２５ｂは、連携先監視システムである第２システム２００が有する複数の第２匿名化ログのそれぞれに含まれる第２匿名化データから、第１匿名化データに対応する第２匿名化データを特定第２匿名化データとして決定する処理である紐付け解決を行う。これにより、第１匿名化データと特定第２匿名化データとが紐付けられ、その結果、第１匿名化データを含む第１匿名化ログと、特定第２匿名化データを含む第２匿名化ログとが紐付けられる。
　システム連携部１２５ｃは、第１匿名化ログに紐付けられる第２匿名化ログを、通信部１２８を介して第２分析装置２２０に要求して取得する。その第２匿名化ログは、第１匿名化ログへの統合に用いられるログである。つまり、システム連携部１２５ｃは、上述の特定第２匿名化データを含む第２匿名化ログを、統合対象第２匿名化ログとして第２システム２００（すなわち連携先監視システム）から取得する。
　統合分析部１２５ｄは、１以上の第１匿名化ログおよび１以上の統合対象第２匿名化ログを統合し、統合された１以上の第１匿名化ログおよび１以上の統合対象第２匿名化ログに対する分析を行う。つまり、統合分析部１２５ｄは、第１匿名化ログおよび統合対象第２匿名化ログを含むログ群の分析を統合分析として実行する。
　制御部１２６は、第１分析装置１２０に含まれる各構成要素を制御する。つまり、制御部１２６は、取得部１２１、ログ分析部１２２、送信先判定部１２３、送信部１２４、統合処理部１２５、記憶部１２７、および通信部１２８を制御する。
　記憶部１２７は、上述の各構成要素によって生成されるデータ、情報などを格納するための記録媒体である。例えば、記憶部１２７は、ハードディスクドライブ、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、または半導体メモリなどである。なお、このような記憶部１２７は、揮発性であっても不揮発性であってもよい。
　図３は、第１システム１００および第２システム２００の処理のうち、統合処理部１２５に関する処理動作を説明するための図である。
　統合処理部１２５の紐付け解決部１２５ｂは、統合判定部１２５ａによって統合分析の必要があると判定されると、図３の処理（１）のように、通信部１２８から第１サーバ１１０を介して第２サーバ２１０に対して問い合わせを行う。問い合わせは、第１匿名化データに対応する第２匿名化データの問い合わせである。このとき、紐付け解決部１２５ｂは、通信部１２８を介して第１サーバ１１０に対して第１匿名化データを送信する。
　第１サーバ１１０は、図３の処理（２）のように、第１匿名化データを紐付け解決部１２５ｂから取得すると、その第１匿名化データに対応する第１識別データを特定する。なお、第１サーバ１１０は、先に上述の第１ログを第１分析装置１２０に送信するときには、その第１ログに含まれる第１識別データを匿名化することによって第１匿名化データを生成しているため、第１匿名化データに対応する第１識別データを特定し得る。そして、第１サーバ１１０は、図３の処理（３）のように、その特定された第１識別データを第２サーバ２１０に送信し、その第１識別データに対応する第２匿名化データを問い合わせる。
　第２サーバ２１０は、第１サーバ１１０から第１識別データを取得し、上述の問い合わせを受けると、図３の処理（４）のように、その第１識別データに対応する第２匿名化データを特定する。なお、第２サーバ２１０は、先に上述の第２ログを第２分析装置２２０に送信するときには、第１識別データおよび第２識別データを含む第２ログを取得し、その第２識別データを匿名化することによって第２匿名化データを生成している。したがって、第２サーバ２１０は、第１識別データに対応する第２匿名化データを特定し得る。そして、第２サーバ２１０は、図３の処理（５）のように、その特定された第２匿名化データを第１サーバ１１０に送信することによって、第１サーバ１１０の問い合わせに対して回答する。なお、第２サーバ２１０は、第１識別データに対応する第２識別データを特定するためのデータを別途保持しており、第１識別データに対応する第２識別データを特定し、さらに、第２識別データに対応する第２匿名化データを特定し得るものとしてもよい。
　第１サーバ１１０は、第２サーバ２１０から第２匿名化データを受信すると、図３の処理（６）のように、その第２匿名化データを第１分析装置１２０に送信する。これにより、紐付け解決部１２５ｂは、図３の処理（１）における問い合わせに対する回答として、第２匿名化データを、例えば通信部１２８を介して受信する。この第２匿名化データは、第１匿名化データに対応するデータであって、第１匿名化データと同一の車両Ｖを識別するためのデータである。紐付け解決部１２５ｂは、その第２匿名化データをシステム連携部１２５ｃに出力する。
　システム連携部１２５ｃは、紐付け解決部１２５ｂから第２匿名化データを取得すると、図３の処理（７）のように、その第２匿名化データを第２分析装置２２０に送信することによって、その第２匿名化データを含む第２匿名化ログを第２分析装置２２０に要求する。
　第２分析装置２２０は、システム連携部１２５ｃから第２匿名化データを受信し、さらに上述の要求を受けると、図３の処理（８）のように、その第２匿名化データを含む第２匿名化ログを、統合対象第２匿名化ログとして第１分析装置１２０に送信する。
　第１分析装置１２０のシステム連携部１２５ｃは、その統合対象第２匿名化ログを、通信部１２８を介して第２分析装置２２０から取得すると、その統合対象第２匿名化ログを記憶部１２７に格納する。
　そして、第１分析装置１２０の統合分析部１２５ｄは、記憶部１２７に格納されている１以上の第１匿名化ログと１以上の統合対象第２匿名化ログを統合することによって、１以上の第１匿名化ログと１以上の統合対象第２匿名化ログを含むログ群を生成する。さらに、統合分析部１２５ｄは、そのログ群の分析を統合分析として行い、統合分析の結果を示すレポート情報を生成して記憶部１２７に格納する。このレポート情報は、送信先判定部１２３によって判定された送信先に、送信部１２４を介して送信される。
　このように、本実施の形態では、第１分析装置１２０は、問い合わせを行うことによって、紐付け解決を行う。具体的には、本実施の形態では、第１分析装置１２０の取得部１２１は、車両Ｖから、第１サーバ１１０および通信部１２８を介して第１匿名化ログを取得する。なお、車両Ｖは、監視対象デバイスである。第１サーバ１１０は、車両Ｖに関する第１ログを取得した場合に、第１ログに含まれている車両Ｖの第１識別データを匿名化することによって、第１匿名化データを含む第１匿名化ログを生成する。第２システム２００である連携先監視システムが有する第２サーバ２１０は、車両Ｖに関する第２ログを取得した場合に、その第２ログに含まれている第２識別データを匿名化することによって、第２匿名化データを含む第２匿名化ログを生成する。そして、第１分析装置１２０の紐付け解決部１２５ｂは、通信部１２８を介して第１匿名化データを第１サーバ１１０に送信する。さらに、紐付け解決部１２５ｂは、第１匿名化データに対応する第２匿名化データの問い合わせを、通信部１２８および第１サーバ１１０を介して第２サーバ２１０に対して行うことによって、紐付け解決を行う。
　これにより、第１サーバ１１０および第２サーバ２１０がそれぞれ匿名化を行い、第１サーバ１１０を介した第２サーバ２１０への問い合わせによって紐付け解決が行われるため、正確な紐付け解決を実現することができる。
　図４は、本実施の形態における第１分析装置１２０の処理動作の一例を示すフローチャートである。
　まず、第１分析装置１２０の取得部１２１は、第１サーバ１１０から１以上の第１匿名化ログを取得する（ステップＳ１）。そして、ログ分析部１２２は、その１以上の第１匿名化ログを分析する（ステップＳ２）。
　統合処理部１２５の統合判定部１２５ａは、その１以上の第１匿名化ログの分析結果に基づいて、統合分析が必要か否かを判定する（ステップＳ３）。例えば、統合判定部１２５ａは、車両Ｖの外部のネットワークに関連する攻撃をその分析結果が示している場合に、統合分析が必要であると判定する。その攻撃の一例は、監視対象のＯｕｔ－Ｃａｒのシステムを経由した車両Ｖへの攻撃である。あるいは、その攻撃の一例は、車両Ｖから監視対象のＯｕｔ－Ｃａｒのシステムを経由した他のデバイスへの攻撃である。あるいは、その攻撃の一例は、Ｏｕｔ－Ｃａｒのシステムから見て、車両Ｖが攻撃元または攻撃先となる攻撃であってもよい。
　ここで、紐付け解決部１２５ｂは、統合判定部１２５ａによって統合分析が必要と判定されると（ステップＳ３のＹｅｓ）、第１匿名化データを用いた問い合わせを行う（ステップＳ４）。なお、ステップＳ４では、紐付け解決部１２５ｂは、第１匿名化データの他に、匿名化処理のパラメータとされる情報を用いてもよい。つまり、第１匿名化データだけでなくその情報も用いてもよく、第１匿名化データの代わりにその情報を用いてもよい。匿名化処理は、第１識別データ（具体的な一例ではＶＩＮ）を匿名化することによって第１匿名化データを得る処理である。このような匿名化処理のパラメータとされる情報は、第１匿名化データを含む第１匿名化ログが生成された時刻を示す時刻情報であってもよく、その時刻における車両Ｖの位置を示す位置情報であってもよい。
　一方、統合判定部１２５ａによって統合分析が必要でないと判定されると（ステップＳ３のＮｏ）、ログ分析部１２２は、ステップＳ２の処理で得られた１以上の第１匿名化ログの分析結果を記憶部１２７に保存する（ステップＳ９）。つまり、ログ分析部１２２は、その分析結果を示すレポート情報を記憶部１２７に保存する。
　ステップＳ４の処理の後、紐付け解決部１２５ｂは、そのステップＳ４の処理である問い合わせの結果、第１匿名化データに対応する第２匿名化データ（すなわち特定第２匿名化データ）を受信する（ステップＳ５）。
　システム連携部１２５ｃは、ステップＳ５で受信された第２匿名化データを含む第２匿名化ログを統合対象第２匿名化ログとして第２分析装置２２０から取得する（ステップＳ６）。その統合対象第２匿名化ログは、記憶部１２７に格納される。
　次に、統合分析部１２５ｄは、１以上の第１匿名化ログおよび１以上の統合対象第２匿名化ログを統合することによってログ群を生成し、そのログ群の分析を統合分析として実行する（ステップＳ７）。そして、統合分析部１２５ｄは、ステップＳ７の処理によって得らえた統合分析の結果を記憶部１２７に保存する（ステップＳ８）。つまり、統合分析部１２５ｄは、統合分析の結果を示すレポート情報を記憶部１２７に保存する。
　送信先判定部１２３は、ステップＳ８の処理またはステップＳ９の処理によって、記憶部１２７にレポート情報が保存されると、そのレポート情報の送信先が第１ＳＩＲＴであるか否かを判定する（ステップＳ１０）。具体的には。送信先判定部１２３は、レポート情報によって示される分析結果が、車両のみに関連するか、車両だけでなくＩＴまたはテレマティクスにも関連するかを判定する。送信先判定部１２３は、分析結果が車両のみに関連すると判定すると、そのレポート情報の送信先として第１ＳＩＲＴを判定し、分析結果が車両およびＩＴまたはテレマティクスに関連すると判定すると、そのレポート情報の送信先として第２ＳＩＲＴを判定する。つまり、車両Ｖである監視対象デバイスの状況が与える影響の範囲に応じて、その範囲に対応する例えばＳＩＲＴが送信先として決定される。その影響の範囲が車両だけに収まる場合には、限定的な範囲を担当する第１ＳＩＲＴが送信先に決定され、その影響の範囲が車両だけに収まらずＩＴまたはテレマティクスにも及ぶ場合には、広い範囲を担当する第２ＳＩＲＴが送信先に決定される。
　送信部１２４は、送信先判定部１２３によってレポート情報の送信先が第１ＳＩＲＴであると判定されると（ステップＳ１０のＹｅｓ）、通信部１２８を介してレポート情報を第１ＳＩＲＴに送信する（ステップＳ１１）。一方、送信先判定部１２３によってレポート情報の送信先が第１ＳＩＲＴではないと判定されると（ステップＳ１０のＮｏ）、送信部１２４は、通信部１２８を介してレポート情報を第２ＳＩＲＴに送信する（ステップＳ１２）。
　以上のように、本実施の形態における第１分析装置１２０では、紐付け解決によって、第１匿名化データに対応する第２匿名化データが特定第２匿名化データとして決定される。つまり、第１匿名化データと同一の車両Ｖに対応する第２匿名化データが、特定第２匿名化データとして決定されてその第１匿名化データに紐付けられる。したがって、第１匿名化ログと同一の車両Ｖに関する第２匿名化ログを、統合対象第２匿名化ログとして第２システム２００から取得することができる。その結果、同一の車両Ｖに関する第１匿名化ログと統合対象第２匿名化ログとに対して統合分析を行うことができるため、第１匿名化ログだけを用いた分析よりも分析精度の向上を図ることができる。つまり、第１システム１００と第２システム２００とで、ログに対して互いに異なる態様で匿名化が行われても、同一の車両Ｖに関するログを統合して解析することができ、その結果、分析精度の向上を図ることができる。
　また、本実施の形態では、統合分析が必要と判定された場合に紐付け解決が行われるため、統合分析が不要な場合にまで、紐付け解決が行われることを抑制することができ、処理負担の軽減を図ることができる。また、統合分析が不要な場合には、第２匿名化ログを用いずに、第１匿名化ログに対する分析を行うことができ、処理負担の軽減を図ることができる。
　また、本実施の形態では、統合分析の結果に応じた送信先にレポート情報が送信されるため、適切な送信先に統合分析の結果を通知することができる。つまり、車両Ｖの状況が与える影響の範囲に応じて、その範囲に対応するＳＩＲＴに、統合分析の結果を通知することができる。
　なお、本実施の形態において、ステップＳ１０では、送信先判定部１２３は、レポート情報の送信先として、第１ＳＩＲＴか第２ＳＩＲＴかを判定しているが、レポート情報に示される分析結果に応じて、第１ＳＩＲＴおよび第２ＳＩＲＴの双方を送信先として判定してもよい。この場合、送信部１２４は、第１ＳＩＲＴおよび第２ＳＩＲＴの双方にそのレポート情報を送信する。
　（変形例１）
　上記実施の形態では、図３の処理（７）のように、システム連携部１２５ｃは、第２匿名化データを第２分析装置２２０に送信することによって、その第２匿名化データを含む第２匿名化ログを第２分析装置２２０に要求する。このとき、本変形例では、システム連携部１２５ｃは、第２匿名化データだけでなくログ条件情報も第２分析装置２２０に送信する。
　図５は、第１システム１００および第２システム２００の処理のうち、統合処理部１２５に関する処理動作を説明するための図である。
　本変形例でも、第１システム１００および第２システム２００は、図３の処理（１）～（６）と同様、図５の処理（１）～（６）を実行する。そして、システム連携部１２５ｃは、図５の処理（６）によって、通信部１２８を介して第１サーバ１１０から第２匿名化データを取得すると、図５の処理（６．１）のように、ログ条件情報を決定する。ログ条件情報は、第２匿名化ログの条件を示す情報である。例えば、システム連携部１２５ｃは、ログ分析部１２２による１以上の第１匿名化ログに対する分析結果に基づいて、そのログ条件情報を決定してもよい。ログ条件情報によって示される条件は、具体的には、統合対象第２匿名化ログの種別（以下、ログ種別とも呼ばれる）であってもよく、統合対象第２匿名化ログの記録時間帯であってもよい。また、ログ条件情報は、タイムスタンプを条件として示していてもよい。
　そして、システム連携部１２５ｃは、図５の処理（７）のように、通信部１２８を介して、第２匿名化データだけでなくログ条件情報も第２分析装置２２０に送信する。つまり、システム連携部１２５ｃは、第２匿名化データを含み、かつ、ログ条件情報によって示される条件を満たす第２匿名化ログを第２分析装置２２０に要求する。その結果、システム連携部１２５ｃは、図５の処理（８）のように、通信部１２８を介して、その要求に応じた第２匿名化ログを統合対象第２匿名化ログとして第２分析装置２２０から取得する。
　図６は、本変形例における第１分析装置１２０の処理動作の一例を示すフローチャートである。
　本変形例における第１分析装置１２０は、上記実施の形態の図４に示すフローチャートと同様、ステップＳ１～Ｓ５の処理を行う。ステップＳ５の処理後、システム連携部１２５ｃは、ログ条件情報を決定する（ステップＳ２１）。そして、システム連携部１２５ｃは、ステップＳ５で受信された第２匿名化データを含む第２匿名化ログであって、かつ、ログ条件情報によって示される条件を満たす第２匿名化ログを、統合対象第２匿名化ログとして第２分析装置２２０から取得する（ステップＳ６ａ）。
　そして、第１分析装置１２０は、上記実施の形態の図４に示すフローチャートと同様、ステップＳ７～Ｓ１２の処理を実行する。
　このように、本変形例では、システム連携部１２５ｃは、第２分析装置２２０が有する複数の第２匿名化ログのうち、第１匿名化ログに応じて決定される条件を満たす１以上の第２匿名化ログから、統合対象第２匿名化ログを取得する。具体的には、システム連携部１２５ｃは、複数の第２匿名化ログから、第１匿名化ログに応じて決定されるログ種別および時間帯の少なくとも一方に対応する１以上の第２匿名化ログから、統合対象第２匿名化ログを取得する。言い換えれば、システム連携部１２５ｃは、複数の第２匿名化ログから、第１匿名化ログに応じて決定される条件に一致する第２匿名化ログを、種別および時間帯の少なくとも一方を用いて指定することによって、その第２匿名化ログを統合対象第２匿名化ログとして取得する。
　これにより、取得される統合対象第２匿名化ログのログ種別および時間帯を、第１匿名化ログに応じて決定される種別および時間帯に限定することができる。例えば、渋滞予測に関するログ種別の統合対象第２匿名化ログ、または、渋滞の時間帯に対応する統合対象第２匿名化ログを取得することができる。その結果、統合対象第２匿名化ログのログ種別および時間帯が限定されるため、統合分析への貢献度の低い第２匿名化ログの取得を抑制し、効率的な統合分析を実現することができる。
　なお、本変形例においても、ステップＳ１０では、送信先判定部１２３は、レポート情報の送信先として、第１ＳＩＲＴか第２ＳＩＲＴかを判定しているが、レポート情報に示される分析結果に応じて、第１ＳＩＲＴおよび第２ＳＩＲＴの双方を送信先として判定してもよい。この場合、送信部１２４は、第１ＳＩＲＴおよび第２ＳＩＲＴの双方にそのレポート情報を送信する。
　（変形例２）
　本変形例では、第１分析装置１２０は、統合対象第２匿名化ログをさらに匿名化する。言い換えれば、第１分析装置１２０は、統合対象第２匿名化ログを再匿名化する。つまり、統合される第２ログに対する匿名化が２回行われる。これにより、統合対象第２匿名化ログに対する安全性を向上することができる。
　図７は、第１システム１００および第２システム２００の処理のうち、統合処理部１２５に関する処理動作を説明するための図である。
　本変形例でも、第１システム１００および第２システム２００は、図３の処理（１）～（８）と同様、図７の処理（１）～（８）を実行する。そして、システム連携部１２５ｃは、図７の処理（８）によって、第２分析装置２２０から統合対象第２匿名化ログを取得すると、図７の処理（９）のように、その統合対象第２匿名化ログを再匿名化する。つまり、システム連携部１２５ｃは、統合対象第２匿名化ログに含まれている第２匿名化データ（すなわち特定第２匿名化データ）をさらに匿名化、言い換えれば、第２匿名化データを再匿名化する。これにより、システム連携部１２５ｃは、再匿名化された第２匿名化データを含む統合対象第２匿名化ログを生成する。第２匿名化データは、ＩＰアドレスなどの第２識別データが匿名化されたデータである。したがって、本変形例では、統合される第２ログに含まれている第２識別データに対する匿名化が２回行われる。
　図８は、再匿名化の一例を示す図である。
　例えば、第１分析装置１２０は、上述の問い合わせによって、匿名化されたＶＩＮなどである第１匿名化データ「０７ｂ１ｆ９ｆ９」に対応する第２匿名化データを、第１サーバ１１０から受信する。第２匿名化データは、匿名化されたＩＰアドレス「ａ２．０ｅ．４２．９８」などである。
　システム連携部１２５ｃは、その第２匿名化データ「ａ２．０ｅ．４２．９８」を第２分析装置２２０に送信して、その第２匿名化データを含む統合対象第２匿名化ログを第２分析装置２２０に要求する。そして、システム連携部１２５ｃは、その統合対象第２匿名化ログを第２分析装置２２０から取得すると、その統合対象第２匿名化ログに含まれている第２匿名化データ「ａ２．０ｅ．４２．９８」を再匿名化する。具体的な一例では、システム連携部１２５ｃは、第２匿名化データ「ａ２．０ｅ．４２．９８」を「４ａ．６ｅ．４ｆ．８８」に再匿名化する。システム連携部１２５ｃは、このように再匿名化された第２匿名化データを含む統合対象第２匿名化ログを記憶部１２７に格納する。
　図９は、本変形例における第１分析装置１２０の処理動作の一例を示すフローチャートである。
　本変形例における第１分析装置１２０は、上記実施の形態の図４に示すフローチャートと同様、ステップＳ１～Ｓ６の処理を行う。ステップＳ６の処理後、システム連携部１２５ｃは、統合対象第２匿名化ログを再匿名化して記憶部１２７に格納する（ステップＳ２２）。次に、統合分析部１２５ｄは、１以上の第１匿名化ログおよび再匿名化された１以上の統合対象第２匿名化ログを統合することによってログ群を生成し、そのログ群の分析を統合分析として実行する（ステップＳ７）。
　そして、第１分析装置１２０は、上記実施の形態の図４に示すフローチャートと同様、ステップＳ８～Ｓ１２の処理を実行する。
　このように、本変形例では、システム連携部１２５ｃは、取得された統合対象第２匿名化ログに含まれている特定第２匿名化データを匿名化する。これにより、統合対象第２匿名化ログおよび特定第２匿名化データの秘匿性を高めることができる。すなわち、それらの再匿名化されたログまたはデータから、そのログに対応する車両Ｖが第２システム２００によって認識されてしまうことを抑制することができる。その結果、統合対象第２匿名化ログの安全性を高めることができる。
　なお、本変形例においても、ステップＳ１０では、送信先判定部１２３は、レポート情報の送信先として、第１ＳＩＲＴか第２ＳＩＲＴかを判定しているが、レポート情報に示される分析結果に応じて、第１ＳＩＲＴおよび第２ＳＩＲＴの双方を送信先として判定してもよい。この場合、送信部１２４は、第１ＳＩＲＴおよび第２ＳＩＲＴの双方にそのレポート情報を送信する。
　（変形例３）
　本変形例では、第２分析装置２２０も、第１分析装置１２０と同様の処理動作を行う。したがって、本変形例における第１分析装置１２０は、第２分析装置２２０からの要求に応じて第１匿名化ログを第２分析装置２２０に送信する。つまり、本変形例では、第１システム１００と第２システム２００とによって相互連携が行われる。
　図１０は、第１システム１００および第２システム２００の処理のうち、第２分析装置２２０に関する処理動作を説明するための図である。
　第２分析装置２２０は、図１０の処理（１）のように、第２サーバ２１０を介して第１サーバ１１０に対して問い合わせを行う。問い合わせは、第２匿名化データに対応する第１匿名化データの問い合わせである。このとき、第２分析装置２２０は、第２サーバ２１０に対して第２匿名化データを第２サーバ２１０に送信する。
　第２サーバ２１０は、図１０の処理（２）のように、第２匿名化データを第２分析装置２２０から取得すると、その第２匿名化データに対応する第２識別データを特定する。なお、第２サーバ２１０は、先に上述の第２ログを第２分析装置２２０に送信するときには、その第２ログに含まれる第２識別データを匿名化することによって第２匿名化データを生成しているため、第２匿名化データに対応する第２識別データを特定し得る。そして、第２サーバ２１０は、図１０の処理（３）のように、その特定された第２識別データを第１サーバ１１０に送信し、その第２識別データに対応する第１匿名化データを問い合わせる。
　第１サーバ１１０は、第２サーバ２１０から第２識別データを取得し、上述の問い合わせを受けると、図１０の処理（４）のように、その第２識別データに対応する第１匿名化データを特定する。なお、第１サーバ１１０は、先に上述の第１ログを第１分析装置１２０に送信するときには、第１識別データおよび第２識別データを含む第１ログを取得し、その第１識別データを匿名化することによって第１匿名化データを生成している。したがって、第１サーバ１１０は、第２識別データに対応する第１匿名化データを特定し得る。そして、第１サーバ１１０は、図１０の処理（５）のように、その特定された第１匿名化データを第２サーバ２１０に送信することによって、第２サーバ２１０の問い合わせに対して回答する。なお、第１サーバ１１０は、第２識別データに対応する第１識別データを特定するためのデータを別途保持しており、第２識別データに対応する第１識別データを特定し、さらに、第１識別データに対応する第１匿名化データを特定し得るものとしてもよい。
　第２サーバ２１０は、第１サーバ１１０から第１匿名化データを受信すると、図１０の処理（６）のように、その第１匿名化データを第２分析装置２２０に送信する。これにより、第２分析装置２２０は、図１０の処理（１）における問い合わせに対する回答として、第１匿名化データを受信する。この第１匿名化データは、第２匿名化データに対応するデータであって、第２匿名化データと同一の車両Ｖを識別するためのデータである。
　第２分析装置２２０は、図３の処理（７）のように、その第１匿名化データを第１分析装置１２０に送信することによって、その第１匿名化データを含む第１匿名化ログを第１分析装置１２０に要求する。
　第１分析装置１２０は、第２分析装置２２０から第１匿名化データを受信し、さらに上述の要求を受けると、図１０の処理（８）のように、その第１匿名化データを含む第１匿名化ログを、統合対象第１匿名化ログとして第２分析装置２２０に送信する。つまり、第１分析装置１２０のシステム連携部１２５ｃが、通信部１２８を介して、第２分析装置２２０から第１匿名化データを受信し、統合対象第１匿名化ログを第２分析装置２２０に送信する。
　第２分析装置２２０は、その統合対象第１匿名化ログを第１分析装置１２０から取得する。そして、第２分析装置２２０は、１以上の統合対象第１匿名化ログと１以上の第２匿名化ログを統合することによって、１以上の統合対象第１匿名化ログと１以上の第２匿名化ログを含むログ群を生成する。そして、第２分析装置２２０は、そのログ群の分析を統合分析として行い、その統合分析の結果を示すレポート情報を生成する。
　図１１は、本変形例における第１分析装置１２０の処理動作の一例を示すフローチャートである。
　本変形例における第１分析装置１２０は、さらに、図１１に示すステップＳ３１およびＳ３２の処理を実行する。具体的には、第１分析装置１２０の制御部１２６は、例えば取得部１２１を介して、第２分析装置２２０から第１匿名化データを用いた第１匿名化ログの要求を受け付ける（ステップＳ３１）。つまり、制御部１２６は、第２分析装置２２０から第１匿名化データを取得し、その第１匿名化データを含む第１匿名化ログの要求を第２分析装置２２０から受け付ける。そして、システム連携部１２５ｃは、制御部１２６による制御に応じて、記憶部１２７に格納されている複数の第１匿名化ログの中から、それぞれその第１匿名化データを含む１以上の第１匿名化ログを抽出する。そして、システム連携部１２５ｃは、抽出された１以上の第１匿名化ログを、例えば通信部１２８を介して第２分析装置２２０に送信する。つまり、システム連携部１２５ｃは、第２分析装置２２０からの要求に応じた第１匿名化ログを送信する（ステップＳ３２）。このような第１匿名化ログは、第２分析装置２２０において、統合対象第１匿名化ログとして扱われ、第２匿名化ログに統合されて分析される。
　このように、本変形例では、システム連携部１２５ｃは、連携先監視システムである第２システム２００からの要求に応じて、第１匿名化ログをその第２システム２００に送信する。これにより、第１分析装置１２０だけでなく、第２システム２００の第２分析装置２２０でも、互に同じ車両Ｖに対応する第１匿名化ログおよび第２匿名化ログを取得して統合分析を行うことができる。つまり、第１システム１００と、第２システム２００との相互連携を実現することができ、ログに対する効果的な分析を行うことができる。
　なお、本変形例では、第１分析装置１２０は、第２分析装置２２０からの要求に応じた１以上の第１匿名化ログの代わりに、その１以上の第１匿名化ログに対する分析結果を示すレポート情報を、その第２分析装置２２０に送信してもよい。
　（変形例４）
　上記実施の形態では、第１分析装置１２０は、統合分析が必要であると判定するたびに、紐付け解決を行うための上述の問い合わせを行う。本変形例では、第１分析装置１２０は、過去の紐付け解決の結果を保持する。そして、第１分析装置１２０は、統合分析が必要であると判定したときには、過去の紐付け解決の結果が保持されていれば、問い合わせを行うことなく、その過去の紐付け解決の結果を用いる。
　図１２は、第１システム１００および第２システム２００の処理のうち、統合処理部１２５に関する処理動作を説明するための図である。
　本変形例でも、第１システム１００および第２システム２００は、図３の処理（１）～（６）と同様、図１２の処理（１）～（６）を実行する。そして、紐付け解決部１２５ｂは、図１２の処理（６）によって、第１サーバ１１０から第２匿名化データを取得すると、図１２の処理（６．１）のように、その第２匿名化データ（すなわち特定第２匿名化データ）を第１匿名化データに紐付けて記録する。つまり、紐付け解決部１２５ｂは、第２匿名化データを、図１２の処理（１）における問い合わせで用いられた第１匿名化データに関連付ける。そして、紐付け解決部１２５ｂは、互いに関連付けられた第１匿名化データおよび第２匿名化データを示す紐付け情報を生成して記憶部１２７に格納する。なお、このような紐付け情報の記憶部１２７への格納は、キャッシュと呼ばれてもよい。
　そして、第１分析装置１２０は、図１２の処理（７）および処理（８）を実行する。この図１２の処理（７）および処理（８）は、図３の処理（７）および処理（８）と同様である。
　その後、第１分析装置１２０の紐付け解決部１２５ｂは、再び、統合判定部１２５ａによって統合分析が必要であると判定されると、記憶部１２７に紐付け情報が格納されているか否かを判定する。つまり、紐付け解決部１２５ｂは、統合分析の対象とされる第１匿名化ログに含まれる第１匿名化データを示す紐付け情報が記憶部１２７に格納されているか否かを判定する。紐付け解決部１２５ｂは、その紐付け情報が記憶部１２７に格納されていると判定すると、問い合わせを行うことなく、その紐付け情報を用いて紐付け解決を行う。これにより、問い合わせ回数の削減を図ることができる。
　図１３は、紐付け情報の一例を示す図である。
　記憶部１２７に格納されている紐付け情報ａ１は、例えば、１以上の第１匿名化データのそれぞれについて、その第１匿名化データに関連付けられている第２匿名化データと、その関連付けの有効期限とを示す。例えば、紐付け情報ａ１は、第１匿名化データ「０７ｂ１ｆ９ｆ９」と、第２匿名化データ「ａ２．０ｅ．４２．９８」と、有効期限「２０２２／０７／１４　１７：５０」とを関連付けて示す。紐付け解決部１２５ｂは、統合分析の対象とされる第１匿名化ログに含まれる第１匿名化データが「０７ｂ１ｆ９ｆ９」である場合、その第１匿名化データを示す紐付け情報ａ１が記憶部１２７に格納されているか否かを判定する。
　そして、紐付け解決部１２５ｂは、その紐付け情報ａ１が記憶部１２７に格納されていると判定すると、その紐付け情報ａ１において第１匿名化データ「０７ｂ１ｆ９ｆ９」に関連付けられている有効期限「２０２２／０７／１４　１７：５０」を確認する。例えば、紐付け解決部１２５ｂは、紐付け解決が行われる現時点が、有効期限「２０２２／０７／１４　１７：５０」を経過しているか否かを判定する。つまり、紐付け解決部１２５ｂは、第１匿名化データ「０７ｂ１ｆ９ｆ９」の紐付けが有効期限切れになっているか否かを判定する。紐付け解決部１２５ｂは、現時点が有効期限を経過していない、すなわち、紐付けが有効期限切れになっていないと判定すると、問い合わせを行うことなく紐付け解決を行う。具体的には、紐付け解決部１２５ｂは、紐付け情報ａ１において第１匿名化データ「０７ｂ１ｆ９ｆ９」に関連付けられている第２匿名化データ「ａ２．０ｅ．４２．９８」を、記憶部１２７から取得する。これにより、紐付け解決が行われる。
　なお、上述の有効期限は、紐付け情報ａ１の有効期限であるとも言える。また、本変形例では、紐付け情報ａ１には有効期限が示されているが、有効期限が示されていなくてもよい。
　図１４は、本変形例における第１分析装置１２０の処理動作の一例を示すフローチャートである。
　本変形例における第１分析装置１２０は、統合分析が必要であると判定したときから統合分析を実行するまでの間、すなわち、図３のステップＳ３のＹｅｓからステップＳ７までの間に、図１４に示すステップＳ４～Ｓ６およびＳ４１～Ｓ４５の処理を実行する。
　具体的には、紐付け解決部１２５ｂは、統合判定部１２５ａによって統合分析が必要であると判定されると、紐付け情報ａ１が記憶部１２７に格納されているか否かを判定する（ステップＳ４１）。つまり、紐付け解決部１２５ｂは、統合分析の対象とされる第１匿名化ログに含まれる第１匿名化データを示す紐付け情報ａ１が記憶部１２７に格納されているか否かを判定する。ここで、紐付け解決部１２５ｂは、紐付け情報ａ１が格納されていないと判定すると（ステップＳ４１のＮｏ）、上記実施の形態と同様、ステップＳ４およびＳ５の処理を実行する。このステップＳ４およびＳ５の処理によって、紐付け解決が行われる。
　そして、紐付け解決部１２５ｂは、その第１匿名化データに第２匿名化データを関連付けて示す紐付け情報ａ１を生成して記憶部１２７に格納する（ステップＳ４３）。なお、記憶部１２７に紐付け情報ａ１が既に格納され、その紐付け情報ａ１に、その第１匿名化データが示されていない場合には、紐付け解決部１２５ｂは、その紐付け情報ａ１を更新する。つまり、紐付け解決部１２５ｂは、その第１匿名化データおよび第２匿名化データを互いに関連付けて紐付け情報ａ１に書き込むことによって、その紐付け情報ａ１を更新する。これにより、更新後の紐付け情報ａ１が生成される。なお、このような紐付け情報ａ１の更新は、キャッシュの更新と呼ばれてもよい。さらに、紐付け解決部１２５ｂは、更新または生成された最新の紐付け情報ａ１を、送信部１２４を介して第２分析装置２２０に送信する（ステップＳ４６）。これにより、最新の紐付け情報ａ１が、第２分析装置２２０に通知され、第１分析装置１２０と第２分析装置２２０との間で共有される。その結果、第２分析装置２２０でも、統合分析のための紐付け解決を行うときには、その共有される最新の紐付け情報ａ１を参照することによって、問い合わせを省いて紐付け解決を行うことができる。
　その後、システム連携部１２５ｃは、ステップＳ５で受信された第２匿名化データを用いて、第２分析装置２２０から統合対象第２匿名化ログを取得する（ステップＳ６）。
　一方、紐付け解決部１２５ｂは、ステップＳ４１において、紐付け情報ａ１が記憶部１２７に格納されていると判定すると（ステップＳ４１のＹｅｓ）、その紐付け情報ａ１に示されている有効期限が切れているか否かを判定する（ステップＳ４２）。つまり、紐付け解決部１２５ｂは、紐付け情報ａ１において第１匿名化データに関連付けられている有効期限を特定する。なお、その第１匿名化データは、統合分析の対象とされる第１匿名化ログに含まれるデータである。そして、紐付け解決部１２５ｂは、紐付け解決が行われる現時点がその有効期限を経過しているか否かを判定する。
　ここで、紐付け解決部１２５ｂは、現時点が有効期限を経過していない、すなわち、有効期限が切れていないと判定すると（ステップＳ４２のＮｏ）、その紐付け情報ａ１において第１匿名化データに関連付けられている第２匿名化データを読み出す（ステップＳ４５）。つまり、記憶部１２７から第２匿名化データが読み出される。このようなステップＳ４５の処理によって、問い合わせを省いて紐付け解決が行われる。そして、システム連携部１２５ｃは、ステップＳ６の処理を実行する。
　また、紐付け解決部１２５ｂは、ステップＳ４２において、現時点が有効期限を経過している、すなわち、有効期限が切れていると判定すると（ステップＳ４２のＹｅｓ）、問い合わせによる第２匿名化データの取得（すなわちステップＳ４およびＳ５の処理）を実行する。そして、紐付け解決部１２５ｂは、有効期限を再設定する（ステップＳ４４）。つまり、紐付け解決部１２５ｂは、紐付け情報ａ１に示されている有効期限を、現時点よりも先の期限である新たな有効期限に更新する。そして、紐付け解決部１２５ｂは、ステップＳ４６の処理を実行する。なお、有効期限の更新では、紐付け解決部１２５ｂは、紐付け情報ａ１に示されている有効期限を、第１サーバ１１０によって決定される有効期限に更新してもよい。
　図１５は、本変形例における第２分析装置２２０の処理動作の一例を示すフローチャートである。
　第２分析装置２２０は、第１分析装置１２０から送信された紐付け情報ａ１を受信する（ステップＳ５１）。そして、第２分析装置２２０は、その紐付け情報ａ１を、その第２分析装置２２０が有する記録媒体に格納する。このとき、第２分析装置２２０は、記録媒体に既存の紐付け情報ａ１が格納されていれば、その既存の紐付け情報ａ１を、ステップＳ５１で受信された新たな紐付け情報ａ１に更新する（ステップＳ５２）。つまり、第２分析装置２２０においてキャッシュの更新が行われる。
　このように、本変形例では、紐付け解決部１２５ｂは、第１匿名化データと特定第２匿名化データとの関連付けを示す紐付け情報ａ１を記憶部１２７に格納する。そして、紐付け解決部１２５ｂは、第１匿名化データに対する紐付け解決を繰り返し実行するときには、記憶部１２７に格納されている紐付け情報ａ１を参照することによって紐付け解決を行う。これにより、紐付け解決が繰り返し実行されるときには、紐付け情報ａ１の参照によってその紐付け解決が行われるため、第１分析装置１２０が第１サーバ１１０などと通信して紐付け解決を行う手間を省くことができる。その結果、効率的な紐付け解決および統合分析を実現することができる。また、問い合わせ回数を削減することができる。
　また、紐付け解決部１２５ｂは、紐付け情報ａ１に対して有効期限を設定し、第１匿名化データに対する紐付け解決を繰り返し実行するタイミングが、有効期限を経過していなければ、記憶部１２７に格納されている紐付け情報ａ１を参照することによって紐付け解決を行う。これにより、紐付け情報ａ１に対して有効期限が設定されるため、有効期限までは、第１匿名化データと第２匿名化データとの対応関係を保障し、有効期限経過後では、その対応関係を変更することができる。つまり、有効期限経過後では、第１システム１００と、第２システム２００とのそれぞれの匿名化の態様を変更することができる。その結果、それらシステムの全体的な処理動作の自由度を高めることができる。
　また、システム連携部１２５ｃは、記憶部１２７に格納されている紐付け情報ａ１を、連携先監視システムである第２システム２００の第２分析装置２２０に送信する。これにより、紐付け情報ａ１が第２システム２００に送信されるため、第２システム２００はその紐付け情報ａ１を用いて紐付け解決を行うことができる。その結果、第２システム２００（具体的には第２分析装置２２０）でも、第１分析装置１２０と同様に、統合分析を行うことができる。
　また、システム連携部１２５ｃは、記憶部１２７に格納されている紐付け情報ａ１が、紐付け解決部１２５ｂによって更新されたときには、更新された紐付け情報ａ１を、連携先監視システムである第２システム２００の第２分析装置２２０に送信する。
　これにより、第１分析装置１２０と、第２分析装置２２０とで、共通の紐付け情報ａ１を同期して管理することができる。その結果、第１分析装置１２０と第２分析装置２２０とで行われる統合分析の効率化を図ることができる。
　以上、本開示の分析装置および分析方法について、上記実施の形態および各変形例に基づいて説明したが、本開示は、その実施の形態および各変形例に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思いつく各種変形を上記実施の形態および各変形例に施したものも本開示に含まれてもよい。
　例えば、上記実施の形態および各変形例では、第１識別データの一例としてＶＩＮが用いられ、第２識別データの一例としてＩＰアドレスが用いられているが、第１識別データおよび第２識別データのそれぞれは、ＶＩＮまたはＩＰアドレスに限定されるものではない。第１識別データおよび第２識別データのそれぞれは、位置情報または個人名などのプライバシー情報であってもよい。また、上記実施の形態および各変形例では、第１識別データおよび第２識別データが用いられているが、互に異なる２以上のシステムにおいて互に異なる態様で匿名化が行われれば、第１識別データおよび第２識別データの一方のみが用いられてもよい。
　また、上記実施の形態および各変形例では、監視対象デバイスの一例として車両Ｖが用いられているが、監視対象デバイスは車両Ｖに限定されることなく、他のデバイスであってもよい。同様に、第１システムおよび第２システムは、車両用のシステムに限定されることなく、監視対象デバイスに応じたシステムであれば、どのようなシステムであってもよい。
　また、上記実施の形態および各変形例では、第１システム１００と連携するシステムは１つの第２システム２００だけであるが、第１システム１００は、複数の第２システム２００と連携してもよい。つまり、第１システム１００と連携する連携先監視システムの数は、１つに限らず複数であってもよい。
　また、上記実施の形態および各変形例において用いられる匿名化の手法は、どのような手法であってもよい。
　なお、上記実施の形態および各変形例において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵ（Central Processing Unit）またはプロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。ここで、上記各実施の形態の監視装置などを実現するソフトウェアは、図４、図６、図９、図１１、図１４、および図１５のそれぞれに示すフローチャートの各ステップをコンピュータに実行させるコンピュータプログラムである。
　なお、以下のような場合も本開示に含まれる。
　（１）上記の少なくとも１つの装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。そのＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記憶されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、上記の少なくとも１つの装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
　（２）上記の少なくとも１つの装置を構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Large Scale Integration：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記憶されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。
　（３）上記の少なくとも１つの装置を構成する構成要素の一部または全部は、その装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。ＩＣカードまたはモジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。ＩＣカードまたはモジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、ＩＣカードまたはモジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。
　（４）本開示は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、コンピュータプログラムからなるデジタル信号であるとしてもよい。
　また、本開示は、コンピュータプログラムまたはデジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ（Compact Disc）－ＲＯＭ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Blu-ray（登録商標） Disc）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されているデジタル信号であるとしてもよい。
　また、本開示は、コンピュータプログラムまたはデジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。
　また、プログラムまたはデジタル信号を記録媒体に記録して移送することにより、またはプログラムまたはデジタル信号をネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
　本開示の分析装置は、例えば車両制御などを監視するシステムなどに適用することができる。
１　　分析システム
１００　　第１システム
１１０　　第１サーバ
１２０　　第１分析装置
１２１　　取得部
１２２　　ログ分析部
１２３　　送信先判定部
１２４　　送信部
１２５　　統合処理部
１２５ａ　　統合判定部
１２５ｂ　　紐付け解決部
１２５ｃ　　システム連携部
１２５ｄ　　統合分析部
１２６　　制御部
１２７　　記憶部
１２８　　通信部
２００　　第２システム
２１０　　第２サーバ
２２０　　第２分析装置
ａ１　　紐付け情報
Ｒ　　基地局
Ｖ　　車両

Claims (14)

  1. 　監視対象デバイスに関するログの分析結果に基づいてレポート情報を送信する分析装置であって、
    　前記監視対象デバイスの第１匿名化データを含む前記ログである第１匿名化ログを取得する取得部と、
    　連携先監視システムが有する複数の第２匿名化ログのそれぞれに含まれる第２匿名化データから、前記第１匿名化データに対応する第２匿名化データを特定第２匿名化データとして決定する処理である紐付け解決を行う紐付け解決部と、
    　前記特定第２匿名化データを含む第２匿名化ログを、統合対象第２匿名化ログとして前記連携先監視システムから取得するシステム連携部と、
    　前記第１匿名化ログおよび前記統合対象第２匿名化ログを含むログ群の分析を統合分析として実行する統合分析部と、
    　を備える分析装置。
  2. 　前記分析装置は、さらに、
    　前記統合分析が必要か否かを判定する統合判定部を備え、
    　前記紐付け解決部は、前記統合判定部によって前記統合分析が必要と判定された場合に、前記紐付け解決を行う、
    　請求項１に記載の分析装置。
  3. 　前記分析装置は、さらに、
    　前記統合分析の結果に応じた送信先を判定する送信先判定部と、
    　前記送信先判定部によって判定された送信先に、前記統合分析の結果を示す前記レポート情報を送信する送信部と、を備える、
    　請求項１に記載の分析装置。
  4. 　前記システム連携部は、
    　前記複数の第２匿名化ログのうち、前記第１匿名化ログに応じて決定される種別および時間帯の少なくとも一方に対応する１以上の第２匿名化ログから、前記統合対象第２匿名化ログを取得する、
    　請求項１に記載の分析装置。
  5. 　前記システム連携部は、
    　前記複数の第２匿名化ログから、前記第１匿名化ログに応じて決定される条件に一致する第２匿名化ログを、種別および時間帯の少なくとも一方を用いて指定することによって、前記第２匿名化ログを前記統合対象第２匿名化ログとして取得する、
    　請求項１に記載の分析装置。
  6. 　前記システム連携部は、さらに、
    　取得された前記統合対象第２匿名化ログに含まれている前記特定第２匿名化データを匿名化する、
    　請求項１に記載の分析装置。
  7. 　前記システム連携部は、さらに、
    　前記連携先監視システムからの要求に応じて、前記第１匿名化ログを前記連携先監視システムに送信する、
    　請求項１に記載の分析装置。
  8. 　前記紐付け解決部は、さらに、
    　前記第１匿名化データと前記特定第２匿名化データとの関連付けを示す紐付け情報を記録媒体に格納し、
    　前記第１匿名化データに対する前記紐付け解決を繰り返し実行するときには、前記記録媒体に格納されている前記紐付け情報を参照することによって前記紐付け解決を行う、
    　請求項１に記載の分析装置。
  9. 　前記紐付け解決部は、さらに、
    　前記紐付け情報に対して有効期限を設定し、
    　前記第１匿名化データに対する前記紐付け解決を繰り返し実行するタイミングが、前記有効期限を経過していなければ、前記記録媒体に格納されている前記紐付け情報を参照することによって前記紐付け解決を行う、
    　請求項８に記載の分析装置。
  10. 　前記システム連携部は、さらに、
    　前記記録媒体に格納されている前記紐付け情報を、前記連携先監視システムに送信する、
    　請求項８に記載の分析装置。
  11. 　前記システム連携部は、さらに、
    　前記記録媒体に格納されている前記紐付け情報が、前記紐付け解決部によって更新されたときには、更新された前記紐付け情報を、前記連携先監視システムに送信する、
    　請求項１０に記載の分析装置。
  12. 　前記取得部は、
    　第１サーバから前記第１匿名化ログを取得し、
    　前記第１サーバは、
    　前記監視対象デバイスに関する第１ログを取得した場合に、前記第１ログに含まれている前記監視対象デバイスの第１識別データを匿名化することによって、前記第１匿名化データを含む前記第１匿名化ログを生成し、
    　前記連携先監視システムが有する第２サーバは、
    　前記監視対象デバイスに関する第２ログを取得した場合に、前記第２ログに含まれている第２識別データを匿名化することによって、前記第２匿名化データを含む前記第２匿名化ログを生成し、
    　前記紐付け解決部は、
    　前記第１匿名化データを前記第１サーバに送信し、前記第１匿名化データに対応する第２匿名化データの問い合わせを、前記第１サーバを介して前記第２サーバに対して行うことによって、前記紐付け解決を行う、
    　請求項１～１１の何れか１項に記載の分析装置。
  13. 　監視対象デバイスに関するログの分析結果に基づいてレポート情報を送信する分析方法であって、
    　前記監視対象デバイスの第１匿名化データを含む前記ログである第１匿名化ログを取得し、
    　連携先監視システムが有する複数の第２匿名化ログのそれぞれに含まれる第２匿名化データから、前記第１匿名化データに対応する第２匿名化データを特定第２匿名化データとして決定する処理である紐付け解決を行い、
    　前記特定第２匿名化データを含む第２匿名化ログを、統合対象第２匿名化ログとして前記連携先監視システムから取得し、
    　前記第１匿名化ログおよび前記統合対象第２匿名化ログを含むログ群の分析を統合分析として実行する、
    　分析方法。
  14. 　監視対象デバイスに関するログの分析結果に基づいてレポート情報を送信するためのプログラムであって、
    　前記監視対象デバイスの第１匿名化データを含む前記ログである第１匿名化ログを取得し、
    　連携先監視システムが有する複数の第２匿名化ログのそれぞれに含まれる第２匿名化データから、前記第１匿名化データに対応する第２匿名化データを特定第２匿名化データとして決定する処理である紐付け解決を行い、
    　前記特定第２匿名化データを含む第２匿名化ログを、統合対象第２匿名化ログとして前記連携先監視システムから取得し、
    　前記第１匿名化ログおよび前記統合対象第２匿名化ログを含むログ群の分析を統合分析として実行する、
    　ことをコンピュータに実行させるプログラム。
PCT/JP2023/034739 2022-10-17 2023-09-25 分析装置、分析方法およびプログラム WO2024084901A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2022-166419 2022-10-17
JP2022166419A JP2024058969A (ja) 2022-10-17 2022-10-17 分析装置、分析方法およびプログラム

Publications (1)

Publication Number Publication Date
WO2024084901A1 true WO2024084901A1 (ja) 2024-04-25

Family

ID=90737615

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2023/034739 WO2024084901A1 (ja) 2022-10-17 2023-09-25 分析装置、分析方法およびプログラム

Country Status (2)

Country Link
JP (1) JP2024058969A (ja)
WO (1) WO2024084901A1 (ja)

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011237975A (ja) * 2010-05-10 2011-11-24 Ricoh Co Ltd 情報処理システム
JP2013084212A (ja) * 2011-10-12 2013-05-09 Nippon Telegr & Teleph Corp <Ntt> ログ収集システム、方法及びプログラム
JP2014142683A (ja) * 2013-01-22 2014-08-07 Mitsubishi Electric Corp 監視制御システム
JP2016115330A (ja) * 2014-12-12 2016-06-23 パナソニックＩｐマネジメント株式会社 履歴情報匿名化方法及び履歴情報匿名化装置
JP2016186783A (ja) * 2014-08-07 2016-10-27 パナソニックＩｐマネジメント株式会社 情報提供装置、情報提供方法、及び情報提供システム
JP2016206896A (ja) * 2015-04-21 2016-12-08 トヨタ自動車株式会社 位置情報匿名化方法、移動情報匿名化方法、および装置

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011237975A (ja) * 2010-05-10 2011-11-24 Ricoh Co Ltd 情報処理システム
JP2013084212A (ja) * 2011-10-12 2013-05-09 Nippon Telegr & Teleph Corp <Ntt> ログ収集システム、方法及びプログラム
JP2014142683A (ja) * 2013-01-22 2014-08-07 Mitsubishi Electric Corp 監視制御システム
JP2016186783A (ja) * 2014-08-07 2016-10-27 パナソニックＩｐマネジメント株式会社 情報提供装置、情報提供方法、及び情報提供システム
JP2016115330A (ja) * 2014-12-12 2016-06-23 パナソニックＩｐマネジメント株式会社 履歴情報匿名化方法及び履歴情報匿名化装置
JP2016206896A (ja) * 2015-04-21 2016-12-08 トヨタ自動車株式会社 位置情報匿名化方法、移動情報匿名化方法、および装置

Also Published As

Publication number Publication date
JP2024058969A (ja) 2024-04-30

Similar Documents

Publication Publication Date Title
CN109643268B (zh) 车载装置、日志收集系统
JP4575190B2 (ja) 監査ログ分析装置及び監査ログ分析方法及び監査ログ分析プログラム
RU2677970C2 (ru) Система удаленного сбора данных
US8055751B2 (en) IP network management based on automatically acquired network entity status information
US10257228B2 (en) System and method for real time detection and prevention of segregation of duties violations in business-critical applications
US20230269102A1 (en) Method for Collecting and Managing Event Data of a Vehicle
GB2492604A (en) Serving user behaviour data corresponding to a human user of a device without authenticating the user
US20190028493A1 (en) Attack monitoring system and attack monitoring method
US20120254416A1 (en) Mainframe Event Correlation
CN112117012A (zh) 防疫监管方法、装置、设备和介质
JP2021064319A (ja) 通信プログラム、認可サーバ、および、通信システム
CN116802628A (zh) 数据管理和查询方法、装置、服务网格系统、计算设备
US10922972B2 (en) Method and device for collecting transportation vehicle-based data records for predetermined route sections
WO2024084901A1 (ja) 分析装置、分析方法およびプログラム
JP2007518330A (ja) コンテンツ公開用の情報ネットワークの操作方法およびシステム
US20080133740A1 (en) Access Monitoring and Management System, Related Method and Informatics Product
JP4416593B2 (ja) ネットワーク接続制御方法及びネットワーク接続制御システム
CN102804199B (zh) 访问控制系统
CN111274461A (zh) 数据审计方法、数据审计装置及存储介质
CN113779096A (zh) 标识码生成方法、装置、设备和存储介质
JP5208613B2 (ja) サーバシステム
CN113433929B (zh) 多请求的远程诊断方法、设备以及系统
JP5665984B2 (ja) クライアント装置、ウェブデータの権限管理方法をコンピュータで行わせるための記録媒体、及び権限管理情報提供装置とその方法
US20230098006A1 (en) Method and System for Collecting and Managing Vehicle-Generated Data
US20160275191A1 (en) Database system

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 23879549

Country of ref document: EP

Kind code of ref document: A1