特許 7496431 情報処理装置、情報処理装置の制御方法及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-05-29

(45)【発行日】2024-06-06

(54)【発明の名称】情報処理装置、情報処理装置の制御方法及びプログラム

(51)【国際特許分類】

   H04L 43/00 20220101AFI20240530BHJP

   H04L 41/00 20220101ALI20240530BHJP

   H04L 12/28 20060101ALI20240530BHJP

【ＦＩ】

H04L43/00

H04L41/00

H04L12/28 100A

【請求項の数】 15

(21)【出願番号】P 2022558973

(86)(22)【出願日】2021-10-08

(86)【国際出願番号】 JP2021037477

(87)【国際公開番号】W WO2022091754

(87)【国際公開日】2022-05-05

【審査請求日】2023-02-03

(31)【優先権主張番号】P 2020181935

(32)【優先日】2020-10-29

(33)【優先権主張国・地域又は機関】JP

(73)【特許権者】

【識別番号】322003857

【氏名又は名称】パナソニックオートモーティブシステムズ株式会社

(74)【代理人】

【識別番号】100109210

【弁理士】

【氏名又は名称】新居 広守

(74)【代理人】

【識別番号】100137235

【弁理士】

【氏名又は名称】寺谷 英作

(74)【代理人】

【識別番号】100131417

【弁理士】

【氏名又は名称】道坂 伸一

(72)【発明者】

【氏名】鳥崎 唯之

(72)【発明者】

【氏名】伊藤 貴佳

(72)【発明者】

【氏名】横田 薫

(72)【発明者】

【氏名】竹内 章人

(72)【発明者】

【氏名】中野 稔久

【審査官】中川 幸洋

(56)【参考文献】

【文献】特開２０１８－０３２２５４（ＪＰ，Ａ）

【文献】特開２０２０－１５０４３０（ＪＰ，Ａ）

【文献】国際公開第２０１９／０９３０９８（ＷＯ，Ａ１）

【文献】特開２０１２－２２１０３１（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ４３／００

Ｈ０４Ｌ ４１／００

Ｈ０４Ｌ １２／２８

(57)【特許請求の範囲】

【請求項1】

モビリティに搭載されたモビリティネットワークに接続された情報処理装置であって、
前記モビリティネットワークに接続された複数の機器のうち特定の機器から、当該特定の機器において異常が検出されたことを示す異常検出情報を受信する異常検出情報受信部と、
前記複数の機器の各々における異常の検出の履歴を示す検出履歴情報を記憶する検出履歴情報記憶部と、
前記モビリティネットワークにおける攻撃経路の候補を示す攻撃経路情報を記憶する攻撃経路情報記憶部と、
前記攻撃経路情報に基づいて、前記特定の機器を含む攻撃経路を推定する攻撃経路推定部と、
前記異常検出情報受信部が前記異常検出情報を受信したことを契機として、前記検出履歴情報に基づいて、前記複数の機器の中から絞り込んだ、前記攻撃経路推定部により推定された攻撃経路上にあり、且つ、異常の検出の履歴を有しない１以上の候補機器を、前記モビリティネットワークにおける未検出の異常の有無を分析するための分析用ログ情報の収集対象として決定する収集対象決定部と、
前記収集対象決定部により決定された前記１以上の候補機器に対して、前記分析用ログ情報の送信を要求するためのリクエスト情報を送信するリクエスト情報送信部と、
前記リクエスト情報に応じて前記１以上の候補機器から送信された前記分析用ログ情報を受信する分析用ログ情報受信部と、を備える
情報処理装置。

【請求項2】

モビリティに搭載されたモビリティネットワークに接続された情報処理装置であって、
前記モビリティネットワークに接続された複数の機器のうち特定の機器から、当該特定の機器において異常が検出されたことを示す異常検出情報を受信する異常検出情報受信部と、
前記複数の機器の相互の接続関係を示す接続関係情報を記憶する接続関係情報記憶部と、
前記複数の機器の各々における異常の検出の履歴を示す検出履歴情報を記憶する検出履歴情報記憶部と、
前記異常検出情報受信部が前記異常検出情報を受信したことを契機として、前記接続関係情報及び前記検出履歴情報に基づいて、前記複数の機器の中から絞り込んだ、前記特定の機器と所定の接続関係にあり、且つ、異常の検出の履歴を有しない１以上の候補機器を、前記モビリティネットワークにおける未検出の異常の有無を分析するための分析用ログ情報の収集対象として決定する収集対象決定部と、
前記収集対象決定部により決定された前記１以上の候補機器に対して、前記分析用ログ情報の送信を要求するためのリクエスト情報を送信するリクエスト情報送信部と、
前記リクエスト情報に応じて前記１以上の候補機器から送信された前記分析用ログ情報を受信する分析用ログ情報受信部と、を備える
情報処理装置。

【請求項3】

モビリティに搭載されたモビリティネットワークに接続された情報処理装置であって、
前記モビリティネットワークに接続された複数の機器のうち特定の機器から、当該特定の機器において異常が検出されたことを示す異常検出情報を受信する異常検出情報受信部と、
前記複数の機器の相互の接続関係を示す接続関係情報を記憶する接続関係情報記憶部と、
前記特定の機器との論理距離を判定する接続関係判定部と、
ログ情報を記憶するログ情報記憶部と、
前記ログ情報記憶部の残記憶容量、前記モビリティネットワークにおける通信容量、前記モビリティの移動状態、及び、前記モビリティの機能動作状態のいずれかを判定する状態判定部と、
前記異常検出情報受信部が前記異常検出情報を受信したことを契機として、前記状態判定部の判定結果に基づいて、収集対象の絞り込みの実施有無及び絞り込み数を決定し、絞り込みを実施する場合には、前記接続関係情報及び前記接続関係判定部の判定結果から得られる前記特定の機器との論理距離の遠い順に前記絞り込み数に至るまで収集対象から除外することで分析用ログ情報の収集対象を決定する収集対象決定部と、
前記収集対象決定部により収集対象として決定された１以上の候補機器に対して、前記分析用ログ情報の送信を要求するためのリクエスト情報を送信するリクエスト情報送信部と、
前記リクエスト情報に応じて前記１以上の候補機器から送信された前記分析用ログ情報を受信する分析用ログ情報受信部と、を備える
情報処理装置。

【請求項4】

前記状態判定部は、前記ログ情報記憶部の残記憶容量を判定し、
前記収集対象決定部は、前記ログ情報記憶部の残記憶容量に余裕がある場合には、前記分析用ログ情報の収集対象を絞り込まず、前記ログ情報記憶部の残記憶容量に余裕が無い場合には、前記分析用ログ情報の収集対象を絞り込む
請求項３に記載の情報処理装置。

【請求項5】

前記状態判定部は、前記モビリティネットワークにおける通信容量を判定し、
前記収集対象決定部は、前記モビリティネットワークにおける通信容量に余裕がある場合には、前記分析用ログ情報の収集対象を絞り込まず、前記モビリティネットワークにおける通信容量に余裕が無い場合には、前記分析用ログ情報の収集対象を絞り込む
請求項３に記載の情報処理装置。

【請求項6】

前記状態判定部は、前記モビリティの移動状態を判定し、
前記収集対象決定部は、前記モビリティが停止中の場合には、前記分析用ログ情報の収集対象を絞り込まず、前記モビリティが移動中の場合には、前記分析用ログ情報の収集対象を絞り込む
請求項３に記載の情報処理装置。

【請求項7】

前記状態判定部は、前記モビリティの機能動作状態を判定し、
前記収集対象決定部は、前記モビリティが自動運転を実施中の場合には、前記分析用ログ情報の収集対象を絞り込まず、前記モビリティが手動運転を実施中の場合には、前記分析用ログ情報の収集対象を絞り込む
請求項３に記載の情報処理装置。

【請求項8】

前記情報処理装置は、さらに、前記分析用ログ情報受信部により受信された前記分析用ログ情報を記憶する分析用ログ情報記憶部を備え、
前記分析用ログ情報受信部は、前記分析用ログ情報記憶部に記憶された前記分析用ログ情報と、当該分析用ログ情報の有効度合いに関連する有効度との対応関係を示す対応情報に基づいて、前記分析用ログ情報記憶部に記憶された前記分析用ログ情報のうち、前記有効度の最も低い前記分析用ログ情報から順に削除する
請求項１～７のいずれか１項に記載の情報処理装置。

【請求項9】

前記有効度は、前記特定の機器と、前記分析用ログ情報の送信元との論理距離に基づいて決定される
請求項８に記載の情報処理装置。

【請求項10】

前記有効度は、前記特定の機器に対する前記分析用ログ情報の送信元の配置に基づいて決定される
請求項８に記載の情報処理装置。

【請求項11】

前記情報処理装置は、さらに、前記リクエスト情報送信部が前記リクエスト情報を送信してから所定の時間内に、前記分析用ログ情報受信部により前記分析用ログ情報が受信されない場合に、外部に異常通知を送信する異常通知送信部を備える
請求項１～１０のいずれか１項に記載の情報処理装置。

【請求項12】

モビリティに搭載されたモビリティネットワークに接続された情報処理装置の制御方法であって、
（ａ）前記モビリティネットワークに接続された複数の機器のうち特定の機器から、当該特定の機器において異常が検出されたことを示す異常検出情報を受信するステップと、
（ｂ）前記モビリティネットワークにおける攻撃経路の候補を示す攻撃経路情報に基づいて、前記特定の機器を含む攻撃経路を推定するステップと、
（ｃ）前記（ａ）で前記異常検出情報を受信したことを契機として、前記複数の機器の各々における異常の検出の履歴を示す検出履歴情報に基づいて、前記複数の機器の中から絞り込んだ、前記（ｂ）で推定された攻撃経路上にあり、且つ、異常の検出の履歴を有しない１以上の候補機器を、前記モビリティネットワークにおける未検出の異常の有無を分析するための分析用ログ情報の収集対象として決定するステップと、
（ｄ）前記（ｃ）で決定された前記１以上の候補機器に対して、前記分析用ログ情報の送信を要求するためのリクエスト情報を送信するステップと、
（ｅ）前記リクエスト情報に応じて前記１以上の候補機器から送信された前記分析用ログ情報を受信するステップと、を含む
情報処理装置の制御方法。

【請求項13】

モビリティに搭載されたモビリティネットワークに接続された情報処理装置の制御方法であって、
（ａ）前記モビリティネットワークに接続された複数の機器のうち特定の機器から、当該特定の機器において異常が検出されたことを示す異常検出情報を受信するステップと、
（ｂ）前記（ａ）で前記異常検出情報を受信したことを契機として、前記複数の機器の相互の接続関係を示す接続関係情報、及び、前記複数の機器の各々における異常の検出の履歴を示す検出履歴情報に基づいて、前記複数の機器の中から絞り込んだ、前記特定の機器と所定の接続関係にあり、且つ、異常の検出の履歴を有しない１以上の候補機器を、前記モビリティネットワークにおける未検出の異常の有無を分析するための分析用ログ情報の収集対象として決定するステップと、
（ｃ）前記（ｂ）で決定された前記１以上の候補機器に対して、前記分析用ログ情報の送信を要求するためのリクエスト情報を送信するステップと、
（ｄ）前記リクエスト情報に応じて前記１以上の候補機器から送信された前記分析用ログ情報を受信するステップと、を含む
情報処理装置の制御方法。

【請求項14】

モビリティに搭載されたモビリティネットワークに接続された情報処理装置の制御方法であって、
（ａ）前記モビリティネットワークに接続された複数の機器のうち特定の機器から、当該特定の機器において異常が検出されたことを示す異常検出情報を受信するステップと、
（ｂ）前記特定の機器との論理距離を判定するステップと、
（ｃ）ログ情報を記憶するログ情報記憶部の残記憶容量、前記モビリティネットワークにおける通信容量、前記モビリティの移動状態、及び、前記モビリティの機能動作状態のいずれかを判定するステップと、
（ｄ）前記（ａ）で前記異常検出情報を受信したことを契機として、前記（ｃ）における判定結果に基づいて、収集対象の絞り込みの実施有無及び絞り込み数を決定し、絞り込みを実施する場合には、前記複数の機器の相互の接続関係を示す接続関係情報及び前記（ｂ）における判定結果から得られる前記特定の機器との論理距離の遠い順に前記絞り込み数に至るまで収集対象から除外することで分析用ログ情報の収集対象を決定するステップと、
（ｅ）前記（ｄ）で収集対象として決定された１以上の候補機器に対して、前記分析用ログ情報の送信を要求するためのリクエスト情報を送信するステップと、
（ｆ）前記リクエスト情報に応じて前記１以上の候補機器から送信された前記分析用ログ情報を受信するステップと、を含む
情報処理装置の制御方法。

【請求項15】

請求項１２～１４のいずれか１項に記載の情報処理装置の制御方法をコンピュータに実行させる
プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、情報処理装置、情報処理装置の制御方法及びプログラムに関する。

【背景技術】

【0002】

特許文献１には、複数の車両の各内部に設置されたサイバーウォッチマンと、各車両の外部に設置されたサイバーハブとを備えたシステムが開示されている。サイバーウォッチマンは、車両に搭載された車載ネットワークに接続され、車載ネットワーク上のトラフィックデータを取得する。サイバーハブは、サイバーウォッチマンにより取得されたトラフィックデータを、サイバーウォッチマンから外部ネットワーク（例えばインターネット）を介して受信する。これにより、サイバーハブは、複数の車両の各々からトラフィックデータを収集することによって、各車両における異常の有無を監視する。

【先行技術文献】

【特許文献】

【0003】

【文献】特許第６３８２７２４号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

上述した従来のシステムでは、例えば複数の車両のうち特定の車両で異常が検出された場合であっても、サイバーハブは、全ての車両からトラフィックデータを収集する。そのため、サイバーハブは、特定の車両における異常の分析に必要なトラフィックデータだけでなく、当該異常の分析には不要なトラフィックデータも収集してしまうため、サイバーハブの残記憶容量が逼迫するおそれがあるという課題が生じる。

【0005】

そこで、本開示は、分析用ログ情報を適切に収集することができる情報処理装置、情報処理装置の制御方法及びプログラムを提供する。

【課題を解決するための手段】

【0006】

本開示の一態様に係る情報処理装置は、モビリティに搭載されたモビリティネットワークに接続された情報処理装置であって、前記モビリティネットワークに接続された複数の機器のうち特定の機器から、当該特定の機器において異常が検出されたことを示す異常検出情報を受信する異常検出情報受信部と、前記モビリティネットワークにおける攻撃経路の候補を示す攻撃経路情報を記憶する攻撃経路情報記憶部と、前記攻撃経路情報に基づいて、前記特定の機器を含む攻撃経路を推定する攻撃経路推定部と、前記異常検出情報受信部が前記異常検出情報を受信したことを契機として、前記複数の機器の中から絞り込んだ、前記攻撃経路推定部により推定された攻撃経路上にある１以上の候補機器を、前記モビリティネットワークにおける未検出の異常の有無を分析するための分析用ログ情報の収集対象として決定する収集対象決定部と、前記収集対象決定部により決定された前記１以上の候補機器に対して、前記分析用ログ情報の送信を要求するためのリクエスト情報を送信するリクエスト情報送信部と、前記リクエスト情報に応じて前記１以上の候補機器から送信された前記分析用ログ情報を受信する分析用ログ情報受信部と、を備える。

【0007】

なお、これらの包括的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ－Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等の記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。

【発明の効果】

【0008】

本開示の一態様に係る情報処理装置等によれば、分析用ログ情報を適切に収集することができる。

【図面の簡単な説明】

【0009】

【図1】図１は、実施の形態１に係る通信システムの概要を示すブロック図である。

【図2】図２は、実施の形態１に係るログ管理モジュールの機能構成を示すブロック図である。

【図3】図３は、実施の形態１に係るログ管理モジュールの動作の流れを示すフローチャートである。

【図4】図４は、図３のフローチャートにおける分析用ログ情報の収集対象の決定処理の内容を具体的に示すフローチャートである。

【図5】図５は、実施の形態１に係るログ管理モジュールの動作を説明するための図である。

【図6】図６は、実施の形態１の変形例１に係るログ管理モジュールの機能を説明するための図である。

【図7】図７は、実施の形態１の変形例１に係る管理テーブルの一例を示す図である。

【図8】図８は、実施の形態１の変形例１に係るログ管理モジュールの動作の流れを示すフローチャートである。

【図9】図９は、実施の形態１の変形例２に係るログ管理モジュールの機能を説明するための図である。

【図10】図１０は、実施の形態１の変形例２に係る管理テーブルの一例を示す図である。

【図11】図１１は、実施の形態１の変形例２に係るログ管理モジュールの動作の流れを示すフローチャートである。

【図12】図１２は、実施の形態２に係るログ管理モジュールの機能構成を示すブロック図である。

【図13】図１３は、実施の形態２に係るログ管理モジュールの動作の流れを示すフローチャートである。

【図14】図１４は、実施の形態２に係るログ管理モジュールの動作を説明するための図である。

【図15】図１５は、実施の形態３に係るログ管理モジュールの機能構成を示すブロック図である。

【図16】図１６は、実施の形態３に係るログ管理モジュールの動作の流れを示すフローチャートである。

【図17】図１７は、実施の形態３に係るログ管理モジュールの動作を説明するための図である。

【図18】図１８は、実施の形態４に係るログ管理モジュールの機能構成を示すブロック図である。

【図19】図１９は、実施の形態４に係るログ管理モジュールの動作の流れを示すフローチャートである。

【発明を実施するための形態】

【0010】

本開示の一態様に係る情報処理装置は、モビリティに搭載されたモビリティネットワークに接続された情報処理装置であって、前記モビリティネットワークに接続された複数の機器のうち特定の機器から、当該特定の機器において異常が検出されたことを示す異常検出情報を受信する異常検出情報受信部と、前記モビリティネットワークにおける攻撃経路の候補を示す攻撃経路情報を記憶する攻撃経路情報記憶部と、前記攻撃経路情報に基づいて、前記特定の機器を含む攻撃経路を推定する攻撃経路推定部と、前記異常検出情報受信部が前記異常検出情報を受信したことを契機として、前記複数の機器の中から絞り込んだ、前記攻撃経路推定部により推定された攻撃経路上にある１以上の候補機器を、前記モビリティネットワークにおける未検出の異常の有無を分析するための分析用ログ情報の収集対象として決定する収集対象決定部と、前記収集対象決定部により決定された前記１以上の候補機器に対して、前記分析用ログ情報の送信を要求するためのリクエスト情報を送信するリクエスト情報送信部と、前記リクエスト情報に応じて前記１以上の候補機器から送信された前記分析用ログ情報を受信する分析用ログ情報受信部と、を備える。

【0011】

本態様によれば、収集対象決定部は、異常検出情報受信部が異常検出情報を受信したことを契機として、複数の機器の中から絞り込んだ、攻撃経路推定部により推定された攻撃経路上にある１以上の候補機器を、分析用ログ情報の収集対象として決定する。攻撃経路推定部により推定された攻撃経路上に無い候補機器では、新たに未知の攻撃が発生している可能性は低いと考えられる。そのため、推定された攻撃経路上に無い候補機器を分析用ログ情報の収集対象から除外することにより、分析用ログ情報を無駄に収集するのを回避して、分析用ログ情報を適切に収集することができる。

【0012】

また、本開示の一態様に係る情報処理装置は、モビリティに搭載されたモビリティネットワークに接続された情報処理装置であって、前記モビリティネットワークに接続された複数の機器のうち特定の機器から、当該特定の機器において異常が検出されたことを示す異常検出情報を受信する異常検出情報受信部と、前記複数の機器の相互の接続関係を示す接続関係情報を記憶する接続関係情報記憶部と、前記複数の機器の各々における異常の検出の履歴を示す検出履歴情報を記憶する検出履歴情報記憶部と、前記異常検出情報受信部が前記異常検出情報を受信したことを契機として、前記接続関係情報及び前記検出履歴情報に基づいて、前記複数の機器の中から絞り込んだ、前記特定の機器と所定の接続関係にあり、且つ、異常の検出の履歴を有しない１以上の候補機器を、前記モビリティネットワークにおける未検出の異常の有無を分析するための分析用ログ情報の収集対象として決定する収集対象決定部と、前記収集対象決定部により決定された前記１以上の候補機器に対して、前記分析用ログ情報の送信を要求するためのリクエスト情報を送信するリクエスト情報送信部と、前記リクエスト情報に応じて前記１以上の候補機器から送信された前記分析用ログ情報を受信する分析用ログ情報受信部と、を備える。

【0013】

本態様によれば、収集対象決定部は、接続関係情報及び検出履歴情報に基づいて、特定の機器と所定の接続関係にあり、且つ、異常の検出の履歴を有しない１以上の候補機器を、分析用ログ情報の収集対象として決定する。異常の検出の履歴を有する候補機器では、新たに未知の攻撃が発生している可能性は低いと考えられる。そのため、特定の機器と所定の接続関係がある候補機器であったとしても、異常の検出の履歴を有する候補機器を分析用ログ情報の収集対象から除外することにより、分析用ログ情報を無駄に収集するのを回避して、分析用ログ情報を適切に収集することができる。

【0014】

また、本開示の一態様に係る情報処理装置は、モビリティに搭載されたモビリティネットワークに接続された情報処理装置であって、前記モビリティネットワークに接続された複数の機器のうち特定の機器から、当該特定の機器において異常が検出されたことを示す異常検出情報を受信する異常検出情報受信部と、ログ情報を記憶するログ情報記憶部と、前記ログ情報記憶部の残記憶容量、前記モビリティネットワークにおける通信容量、前記モビリティの移動状態、及び、前記モビリティの機能動作状態のいずれかを判定する状態判定部と、前記異常検出情報受信部が前記異常検出情報を受信したことを契機として、前記状態判定部の判定結果に基づいて、前記複数の機器の中から絞り込んだ１以上の候補機器を、前記モビリティネットワークにおける未検出の異常の有無を分析するための分析用ログ情報の収集対象として決定する収集対象決定部と、前記収集対象決定部により決定された前記１以上の候補機器に対して、前記分析用ログ情報の送信を要求するためのリクエスト情報を送信するリクエスト情報送信部と、前記リクエスト情報に応じて前記１以上の候補機器から送信された前記分析用ログ情報を受信する分析用ログ情報受信部と、を備える。

【0015】

本態様によれば、ログ情報記憶部の残記憶容量、モビリティネットワークにおける通信容量、モビリティの移動状態、及び、モビリティの機能動作状態のいずれかに応じて、モビリティネットワークに接続された複数の機器から１以上の候補機器を適切に絞り込むことができる。これにより、分析用ログ情報を無駄に収集するのを回避して、分析用ログ情報を適切に収集することができる。

【0016】

例えば、前記状態判定部は、前記ログ情報記憶部の残記憶容量を判定し、前記収集対象決定部は、前記ログ情報記憶部の残記憶容量に余裕がある場合には、前記分析用ログ情報の収集対象を絞り込まず、前記ログ情報記憶部の残記憶容量に余裕が無い場合には、前記分析用ログ情報の収集対象を絞り込むように構成してもよい。

【0017】

本態様によれば、ログ情報記憶部の残記憶容量に応じて、モビリティネットワークに接続された複数の機器から１以上の候補機器を適切に絞り込むことができる。

【0018】

例えば、前記状態判定部は、前記モビリティネットワークにおける通信容量を判定し、前記収集対象決定部は、前記モビリティネットワークにおける通信容量に余裕がある場合には、前記分析用ログ情報の収集対象を絞り込まず、前記モビリティネットワークにおける通信容量に余裕が無い場合には、前記分析用ログ情報の収集対象を絞り込むように構成してもよい。

【0019】

本態様によれば、モビリティネットワークにおける通信容量に応じて、モビリティネットワークに接続された複数の機器から１以上の候補機器を適切に絞り込むことができる。

【0020】

例えば、前記状態判定部は、前記モビリティの移動状態を判定し、前記収集対象決定部は、前記モビリティが停止中の場合には、前記分析用ログ情報の収集対象を絞り込まず、前記モビリティが移動中の場合には、前記分析用ログ情報の収集対象を絞り込むように構成してもよい。

【0021】

本態様によれば、モビリティの移動状態に応じて、モビリティネットワークに接続された複数の機器から１以上の候補機器を適切に絞り込むことができる。

【0022】

例えば、前記状態判定部は、前記モビリティの機能動作状態を判定し、前記収集対象決定部は、前記モビリティが自動運転を実施中の場合には、前記分析用ログ情報の収集対象を絞り込まず、前記モビリティが手動運転を実施中の場合には、前記分析用ログ情報の収集対象を絞り込むように構成してもよい。

【0023】

本態様によれば、モビリティの機能動作状態に応じて、モビリティネットワークに接続された複数の機器から１以上の候補機器を適切に絞り込むことができる。

【0024】

例えば、前記情報処理装置は、さらに、前記分析用ログ情報受信部により受信された前記分析用ログ情報を記憶する分析用ログ情報記憶部を備え、前記分析用ログ情報受信部は、前記分析用ログ情報記憶部に記憶された前記分析用ログ情報と、当該分析用ログ情報の有効度合いに関連する有効度との対応関係を示す対応情報に基づいて、前記分析用ログ情報記憶部に記憶された前記分析用ログ情報のうち、前記有効度の最も低い前記分析用ログ情報から順に削除するように構成してもよい。

【0025】

本態様によれば、有用性の高い分析用ログ情報を分析用ログ情報記憶部に蓄積させておくことができるとともに、分析用ログ情報記憶部の残記憶容量が逼迫するのを解消することができる。

【0026】

例えば、前記有効度は、前記特定の機器と、前記分析用ログ情報の送信元との距離に基づいて決定されるように構成してもよい。

【0027】

本態様によれば、有効度を、特定の機器と、分析用ログ情報の送信元との距離に基づいて決定することができる。

【0028】

例えば、前記有効度は、前記特定の機器に対する前記分析用ログ情報の送信元の配置に基づいて決定されるように構成してもよい。

【0029】

本態様によれば、有効度を、特定の機器に対する分析用ログ情報の送信元の配置に基づいて決定することができる。

【0030】

例えば、前記情報処理装置は、さらに、前記リクエスト情報送信部が前記リクエスト情報を送信してから所定の時間内に、前記分析用ログ情報受信部により前記分析用ログ情報が受信されない場合に、外部に異常通知を送信する異常通知送信部を備えるように構成してもよい。

【0031】

本態様によれば、分析用ログ情報を受信できない場合には、モビリティネットワークにおける未検出の異常の有無を分析することができない。そのため、分析用ログ情報を受信できなかったこと自体を異常事象と捉えて、外部に異常通知を送信することにより、当該異常事象に対して適切な処置を迅速に実行することができる。

【0032】

本開示の一態様に係る情報処理装置の制御方法は、モビリティに搭載されたモビリティネットワークに接続された情報処理装置の制御方法であって、（ａ）前記モビリティネットワークに接続された複数の機器のうち特定の機器から、当該特定の機器において異常が検出されたことを示す異常検出情報を受信するステップと、（ｂ）前記モビリティネットワークにおける攻撃経路の候補を示す攻撃経路情報に基づいて、前記特定の機器を含む攻撃経路を推定するステップと、（ｃ）前記（ａ）で前記異常検出情報を受信したことを契機として、前記複数の機器の中から絞り込んだ、前記（ｂ）で推定された攻撃経路上にある１以上の候補機器を、前記モビリティネットワークにおける未検出の異常の有無を分析するための分析用ログ情報の収集対象として決定するステップと、（ｄ）前記（ｃ）で決定された前記１以上の候補機器に対して、前記分析用ログ情報の送信を要求するためのリクエスト情報を送信するステップと、（ｅ）前記リクエスト情報に応じて前記１以上の候補機器から送信された前記分析用ログ情報を受信するステップと、を含む。

【0033】

本態様によれば、複数の機器の中から絞り込んだ、推定された攻撃経路上にある１以上の候補機器を、分析用ログ情報の収集対象として決定する。推定された攻撃経路上に無い候補機器では、新たに未知の攻撃が発生している可能性は低いと考えられる。そのため、推定された攻撃経路上に無い候補機器を分析用ログ情報の収集対象から除外することにより、分析用ログ情報を無駄に収集するのを回避して、分析用ログ情報を適切に収集することができる。

【0034】

また、本開示の一態様に係る情報処理装置の制御方法は、モビリティに搭載されたモビリティネットワークに接続された情報処理装置の制御方法であって、（ａ）前記モビリティネットワークに接続された複数の機器のうち特定の機器から、当該特定の機器において異常が検出されたことを示す異常検出情報を受信するステップと、（ｂ）前記（ａ）で前記異常検出情報を受信したことを契機として、前記複数の機器の相互の接続関係を示す接続関係情報、及び、前記複数の機器の各々における異常の検出の履歴を示す検出履歴情報に基づいて、前記複数の機器の中から絞り込んだ、前記特定の機器と所定の接続関係にあり、且つ、異常の検出の履歴を有しない１以上の候補機器を、前記モビリティネットワークにおける未検出の異常の有無を分析するための分析用ログ情報の収集対象として決定するステップと、（ｃ）前記（ｂ）で決定された前記１以上の候補機器に対して、前記分析用ログ情報の送信を要求するためのリクエスト情報を送信するステップと、（ｄ）前記リクエスト情報に応じて前記１以上の候補機器から送信された前記分析用ログ情報を受信するステップと、を含む。

【0035】

本態様によれば、接続関係情報及び検出履歴情報に基づいて、特定の機器と所定の接続関係にあり、且つ、異常の検出の履歴を有しない１以上の候補機器を、分析用ログ情報の収集対象として決定する。異常の検出の履歴を有する候補機器では、新たに未知の攻撃が発生している可能性は低いと考えられる。そのため、特定の機器と所定の接続関係がある候補機器であったとしても、異常の検出の履歴を有する候補機器を分析用ログ情報の収集対象から除外することにより、分析用ログ情報を無駄に収集するのを回避して、分析用ログ情報を適切に収集することができる。

【0036】

また、本開示の一態様に係る情報処理装置の制御方法は、モビリティに搭載されたモビリティネットワークに接続された情報処理装置の制御方法であって、（ａ）前記モビリティネットワークに接続された複数の機器のうち特定の機器から、当該特定の機器において異常が検出されたことを示す異常検出情報を受信するステップと、（ｂ）ログ情報を記憶するログ情報記憶部の残記憶容量、前記モビリティネットワークにおける通信容量、前記モビリティの移動状態、及び、前記モビリティの機能動作状態のいずれかを判定するステップと、（ｃ）前記（ａ）で前記異常検出情報を受信したことを契機として、前記（ｂ）における判定結果に基づいて、前記複数の機器の中から絞り込んだ１以上の候補機器を、前記モビリティネットワークにおける未検出の異常の有無を分析するための分析用ログ情報の収集対象として決定するステップと、（ｄ）前記（ｃ）で決定された前記１以上の候補機器に対して、前記分析用ログ情報の送信を要求するためのリクエスト情報を送信するステップと、（ｅ）前記リクエスト情報に応じて前記１以上の候補機器から送信された前記分析用ログ情報を受信するステップと、を含む。

【0037】

本態様によれば、ログ情報記憶部の残記憶容量、モビリティネットワークにおける通信容量、モビリティの移動状態、及び、モビリティの機能動作状態のいずれかに応じて、モビリティネットワークに接続された複数の機器から１以上の候補機器を適切に絞り込むことができる。これにより、分析用ログ情報を無駄に収集するのを回避して、分析用ログ情報を適切に収集することができる。

【0038】

本開示の一態様に係るプログラムは、上述したいずれかの情報処理装置の制御方法をコンピュータに実行させる。

【0039】

なお、これらの包括的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ－ＲＯＭ等の記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されてもよい。

【0040】

以下、実施の形態について、図面を参照しながら具体的に説明する。

【0041】

なお、以下で説明する実施の形態は、いずれも包括的又は具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序等は、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。

【0042】

（実施の形態１）
［１－１．通信システムの概要］
まず、図１を参照しながら、実施の形態１に係る通信システム２の概要について説明する。図１は、実施の形態１に係る通信システム２の概要を示すブロック図である。

【0043】

実施の形態１に係る通信システム２は、例えば自動車等の車両４に搭載された、車両４の運転操作を自動で行うための自動運転システムに適用される。図１に示すように、通信システム２は、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）バス６と、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）８と、ＩＶＩ（Ｉｎ－Ｖｅｈｉｃｌｅ Ｉｎｆｏｔａｉｎｍｅｎｔ）１０と、ＣＧＷ（Ｃｅｎｔｒａｌ ＧａｔｅＷａｙ）１２と、ＮＩＤＳ（Ｎｅｔｗｏｒｋ－ｂａｓｅｄ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）１４と、ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）１６と、ログ管理モジュール１８とを備えている。

【0044】

なお、車両４はモビリティの一例であり、ＣＡＮバス６はモビリティネットワークの一例である。各機器を接続するモビリティネットワークは、ＣＡＮバス６に限定されず、例えばＥｔｈｅｒｎｅｔ（登録商標）、ＦｌｅｘＲａｙ（登録商標）、又は、それらの混成で構成されていてもよい。ＴＣＵ８、ＩＶＩ１０、ＣＧＷ１２、ＮＩＤＳ１４及びＥＣＵ１６の各々は、機器の一例である。また、ログ管理モジュール１８は、情報処理装置の一例である。

【0045】

ＣＡＮバス６は、例えばＣＡＮプロトコルに従って通信する車載ネットワークであり、車両４に搭載されている。ＴＣＵ８、ＩＶＩ１０、ＣＧＷ１２、ＮＩＤＳ１４、ＥＣＵ１６及びログ管理モジュール１８は、ＣＡＮバス６を介して互いに通信可能に接続されている。

【0046】

ＴＣＵ８は、車両４の外部との無線通信を実行するための通信モジュールである。ＴＣＵ８は、ＣＡＮバス６を介してＣＧＷ１２に接続されている。また、ＴＣＵ８は、車両４の外部のネットワーク（例えば、インターネット等）に接続可能である。ＴＣＵ８は、ＴＣＵ８における異常（例えば、車両４の外部からの不正なアクセス等の攻撃）を検出するための侵入検出システムであるＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）２０を有している。ＩＤＳ２０は、ＴＣＵ８における異常を検出した際に、ＴＣＵ８に異常が検出されたことを示す異常検出情報を、ＣＡＮバス６を介してログ管理モジュール１８に送信する。

【0047】

ＩＶＩ１０は、種々の情報を車両４の乗員に対して表示するための情報機器であり、例えばカーナビゲーション装置である。ＩＶＩ１０は、ＣＡＮバス６を介してＣＧＷ１２に接続されている。また、ＩＶＩ１０は、車両４の外部のネットワーク（例えばインターネット等）に接続可能である。ＩＶＩ１０は、ＩＶＩ１０における異常を検出するための侵入検出システムであるＩＤＳ２２を有している。ＩＤＳ２２は、ＩＶＩ１０における異常を検出した際に、ＩＶＩ１０に異常が検出されたことを示す異常検出情報を、ＣＡＮバス６を介してログ管理モジュール１８に送信する。

【0048】

ＣＧＷ１２は、ＣＡＮバス６間で情報（フレーム）を中継するためのセントラルゲートウェイＥＣＵである。ＣＧＷ１２は、ＣＧＷ１２における異常を検出するための侵入検出システムであるＩＤＳ２４を有している。ＩＤＳ２４は、ＣＧＷ１２における異常を検出した際に、ＣＧＷ１２に異常が検出されたことを示す異常検出情報を、ＣＡＮバス６を介してログ管理モジュール１８に送信する。

【0049】

ＮＩＤＳ１４は、車載ネットワーク（ＣＡＮバス６）における異常を検出するためのネットワークベースの侵入検出システム（ＩＤＳ）である。ＮＩＤＳ１４は、ＣＡＮバス６を介してＣＧＷ１２に接続されている。ＮＩＤＳ１４は、車載ネットワークにおける異常を検出した際に、車載ネットワークに異常が検出されたことを示す異常検出情報を、ＣＡＮバス６を介してログ管理モジュール１８に送信する。

【0050】

ＥＣＵ１６は、例えば、車両４の加減速、操舵、制動、ドアの開閉及びウィンドウの開閉等を制御するための電子制御ユニットである。ＥＣＵ１６は、ＣＡＮバス６を介してＣＧＷ１２に接続されている。ＥＣＵ１６は、ＥＣＵ１６における異常を検出するための侵入検出システムであるＩＤＳ２６を有している。ＩＤＳ２６は、ＥＣＵ１６における異常を検出した際に、ＥＣＵ１６に異常が検出されたことを示す異常検出情報を、ＣＡＮバス６を介してログ管理モジュール１８に送信する。

【0051】

ログ管理モジュール１８は、ＣＡＮバス６を介してＣＧＷ１２に接続されている。ログ管理モジュール１８は、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２、ＣＧＷ１２のＩＤＳ２４、ＮＩＤＳ１４及びＥＣＵ１６のＩＤＳ２６のいずれかから送信された異常検出情報を受信した際に、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２、ＣＧＷ１２のＩＤＳ２４、ＮＩＤＳ１４及びＥＣＵ１６のＩＤＳ２６の中から１以上の候補機器に絞り込み、当該１以上の候補機器から分析用ログ情報を収集する。ログ管理モジュール１８は、収集した分析用ログ情報に基づいて、車載ネットワークにおける未検出の異常の有無を分析する。なお、ログ管理モジュール１８は、分析用ログ情報に基づく分析を行わずに、収集した分析用ログ情報を車両４に搭載された他の分析モジュール、又は、車両４の外部に設置された監視センター（図示せず）に送信し、当該分析モジュール又は監視センターにおいて分析用ログ情報に基づく分析が行われてもよい。

【0052】

ここで、分析用ログ情報とは、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２、ＣＧＷ１２のＩＤＳ２４、ＮＩＤＳ１４及びＥＣＵ１６のＩＤＳ２６の各々において監視対象としている車載ネットワークの通信又は機器の動作のログである。なお、分析用ログ情報は、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２、ＣＧＷ１２のＩＤＳ２４、ＮＩＤＳ１４及びＥＣＵ１６のＩＤＳ２６の各々において検出された情報の履歴であってもよいし、上記通信又は機器の動作のログと、上記検出された情報の履歴との双方から構成される情報であってもよい。

【0053】

［１－２．ログ管理モジュールの機能構成］
次に、図２を参照しながら、実施の形態１に係るログ管理モジュール１８の機能構成について説明する。図２は、実施の形態１に係るログ管理モジュール１８の機能構成を示すブロック図である。

【0054】

図２に示すように、ログ管理モジュール１８は、異常検出情報受信部２８と、異常検出ＩＤ管理部３０と、検出履歴情報記憶部３２と、接続関係情報記憶部３４と、接続関係判定部３６と、収集対象決定部３８と、リクエスト情報生成部４０と、リクエスト情報送信部４２と、分析用ログ情報受信部４４と、分析用ログ情報記憶部４６とを備えている。

【0055】

異常検出情報受信部２８は、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２、ＣＧＷ１２のＩＤＳ２４、ＮＩＤＳ１４及びＥＣＵ１６のＩＤＳ２６のうち特定の機器から送信された異常検出情報を受信する。

【0056】

異常検出ＩＤ管理部３０は、異常検出情報受信部２８で受信された異常検出情報に基づいて、当該異常検出情報の送信元を特定し、特定した送信元を識別するためのＩＤＳ－ＩＤを管理する。

【0057】

検出履歴情報記憶部３２は、異常検出情報受信部２８で受信された異常検出情報と、当該異常検出情報の送信元を識別するためのＩＤＳ－ＩＤとの対応関係を示す検出履歴情報を記憶する。

【0058】

接続関係情報記憶部３４は、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２、ＣＧＷ１２のＩＤＳ２４、ＮＩＤＳ１４及びＥＣＵ１６のＩＤＳ２６の相互の接続関係を示す接続関係情報を記憶する。

【0059】

接続関係判定部３６は、接続関係情報記憶部３４に記憶された接続関係情報に基づいて、異常検出情報受信部２８で受信された異常検出情報の送信元である特定の機器と所定の接続関係にある１以上の機器を判定する。本実施の形態では、所定の接続関係とは、特定の機器とＣＡＮバス６を介して直接（他の機器を介在することなく）接続されている接続関係を意味する。例えば、ＣＧＷ１２のＩＤＳ２４において異常が検出された場合、接続関係判定部３６は、ＣＧＷ１２のＩＤＳ２４と所定の接続関係にある機器として、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２及びＮＩＤＳ１４を判定する。なお、所定の接続関係は、上述した意味に限定されず、例えば、特定の機器と論理的な接続関係があり、且つ、特定の機器との論理経路上に他のＩＤＳが無い接続関係を意味してもよい。

【0060】

収集対象決定部３８は、異常検出情報受信部２８が異常検出情報を受信したことを契機として、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２、ＣＧＷ１２のＩＤＳ２４、ＮＩＤＳ１４及びＥＣＵ１６のＩＤＳ２６の中から１以上の候補機器を絞り込み、当該１以上の候補機器を分析用ログ情報の収集対象として決定する。具体的には、収集対象決定部３８は、接続関係情報記憶部３４に記憶された接続関係情報、及び、検出履歴情報記憶部３２に記憶された検出履歴情報に基づいて、異常検出情報の送信元である特定の機器と所定の接続関係にあり、且つ、異常の検出の履歴を有しない１以上の候補機器を、分析用ログ情報の収集対象として決定する。

【0061】

リクエスト情報生成部４０は、収集対象決定部３８により決定された１以上の候補機器に対して、分析用ログ情報の送信を要求するためのリクエスト情報を生成する。

【0062】

リクエスト情報送信部４２は、リクエスト情報生成部４０により生成されたリクエスト情報を、収集対象決定部３８により決定された１以上の候補機器に送信する。

【0063】

分析用ログ情報受信部４４は、リクエスト情報に応じて１以上の候補機器から送信された分析用ログ情報を受信する。

【0064】

分析用ログ情報記憶部４６は、分析用ログ情報受信部４４で受信された分析用ログ情報を記憶する。

【0065】

［１－３．ログ管理モジュールの動作］
図３を参照しながら、実施の形態１に係るログ管理モジュール１８の動作について説明する。図３は、実施の形態１に係るログ管理モジュール１８の動作の流れを示すフローチャートである。

【0066】

図３に示すように、まず、異常検出情報受信部２８は、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２、ＣＧＷ１２のＩＤＳ２４、ＮＩＤＳ１４及びＥＣＵ１６のＩＤＳ２６のいずれかから異常検出情報を受信する（Ｓ１０１）。

【0067】

異常検出ＩＤ管理部３０は、異常検出情報受信部２８で受信された異常検出情報に基づいて、当該異常検出情報の送信元を特定し（Ｓ１０２）、検出履歴情報記憶部３２に記憶された検出履歴情報を更新する（Ｓ１０３）。

【0068】

収集対象決定部３８は、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２、ＣＧＷ１２のＩＤＳ２４、ＮＩＤＳ１４及びＥＣＵ１６のＩＤＳ２６の中から１以上の候補機器を絞り込み、当該１以上の候補機器を分析用ログ情報の収集対象として決定する（Ｓ１０４）。

【0069】

リクエスト情報送信部４２は、リクエスト情報生成部４０により生成されたリクエスト情報を、収集対象決定部３８により決定された１以上の候補機器に送信する（Ｓ１０５）。

【0070】

分析用ログ情報受信部４４は、リクエスト情報に応じて１以上の候補機器から送信された分析用ログ情報を受信する（Ｓ１０６）。

【0071】

ここで、図４及び図５を参照しながら、図３のフローチャートにおける分析用ログ情報の収集対象の決定処理（Ｓ１０４）について具体的に説明する。図４は、図３のフローチャートにおける分析用ログ情報の収集対象の決定処理の内容を具体的に示すフローチャートである。図５は、実施の形態１に係るログ管理モジュール１８の動作を説明するための図である。

【0072】

以下、図５の（ａ）に示すように、ＣＧＷ１２のＩＤＳ２４において異常が検出され、異常検出情報受信部２８がＣＧＷ１２のＩＤＳ２４からの異常検出情報を受信した場合について説明する。

【0073】

図４に示すように、収集対象決定部３８は、検出履歴情報記憶部３２に記憶された検出履歴情報から、異常検出情報受信部２８で受信された異常検出情報に対応するＩＤＳ－ＩＤを抽出する（Ｓ２０１）。ＩＤＳ－ＩＤは、異常検出情報の送信元であるＣＧＷ１２のＩＤＳ２４を識別するためのＩＤである。

【0074】

接続関係判定部３６は、接続関係情報記憶部３４にアクセスすることにより（Ｓ２０２）、抽出されたＩＤＳ－ＩＤにより示されるＣＧＷ１２のＩＤＳ２４と所定の接続関係にある機器として、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２及びＮＩＤＳ１４を判定する。

【0075】

収集対象決定部３８は、接続関係判定部３６の判定結果に基づいて、収集対象ＩＤＳリストを生成する（Ｓ２０３）。収集対象ＩＤＳリストは、分析用ログ情報の収集対象である候補機器の一覧を示すリストである。収集対象ＩＤＳリストには、分析用ログ情報の収集対象として、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２及びＮＩＤＳ１４が含まれる。図５の（ａ）に示す例では、この時点では、収集対象決定部３８は、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２及びＮＩＤＳ１４を分析用ログ情報の収集対象として仮決定する。

【0076】

収集対象決定部３８は、検出履歴情報記憶部３２にアクセスすることにより（Ｓ２０４）、収集対象ＩＤＳリストに異常の検出の履歴を有する候補機器が存在するか否かを判定する（Ｓ２０５）。

【0077】

収集対象ＩＤＳリストに異常の検出の履歴を有する候補機器が存在する場合には（Ｓ２０５でＹＥＳ）、収集対象決定部３８は、収集対象ＩＤＳリストから、異常の検出の履歴を有する候補機器を削除することにより（Ｓ２０６）、分析用ログ情報の収集対象を絞り込む。その後、図３のフローチャートのステップＳ１０５に進む。図５の（ｂ）に示す例では、収集対象決定部３８は、収集対象ＩＤＳリストから、異常の検出の履歴を有するＴＣＵ８のＩＤＳ２０を削除することにより、ＩＶＩ１０のＩＤＳ２２及びＮＩＤＳ１４を分析用ログ情報の収集対象として最終決定する。

【0078】

ステップＳ２０５に戻り、収集対象ＩＤＳリストに異常の検出の履歴のある候補機器が存在しない場合には（Ｓ２０５でＮＯ）、図３のフローチャートのステップＳ１０５に進む。この場合、収集対象決定部３８は、上述したステップＳ２０３で生成した収集対象ＩＤＳリストに含まれる候補機器を維持し、分析用ログ情報の収集対象を絞り込まない。図示しないが、収集対象決定部３８は、例えば、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２及びＮＩＤＳ１４を分析用ログ情報の収集対象として最終決定する。

【0079】

［１－４．効果］
本実施の形態では、収集対象決定部３８は、接続関係情報及び検出履歴情報に基づいて、異常検出情報の送信元と所定の接続関係にあり、且つ、異常の検出の履歴を有しない１以上の候補機器を、分析用ログ情報の収集対象として決定する。

【0080】

異常の検出の履歴を有する候補機器では、新たに未知の攻撃が発生している可能性は低いと考えられる。そのため、異常検出情報の送信元と所定の接続関係がある候補機器であったとしても、異常の検出の履歴を有する候補機器を分析用ログ情報の収集対象から除外することにより、分析用ログ情報を無駄に収集するのを回避することができる。その結果、分析用ログ情報を適切に収集することができ、分析用ログ情報記憶部４６の残記憶容量が不足するのを抑制することができる。また、分析用ログ情報を収集する際の通信量、及び、監視センター等へ送信する際の通信量を低減することができる。

【0081】

［１－５．変形例１］
図６～図８を参照しながら、実施の形態１の変形例１に係るログ管理モジュール１８Ａの機能について説明する。図６は、実施の形態１の変形例１に係るログ管理モジュール１８Ａの機能を説明するための図である。図７は、実施の形態１の変形例１に係る管理テーブル４８の一例を示す図である。図８は、実施の形態１の変形例１に係るログ管理モジュール１８Ａの動作の流れを示すフローチャートである。

【0082】

本変形例のログ管理モジュール１８Ａでは、例えば分析用ログ情報記憶部４６（図２参照）の残記憶容量が逼迫した場合に、分析用ログ情報記憶部４６に記憶された分析用ログ情報が順に削除される。

【0083】

図６に示すように、例えばＥＣＵ１６のＩＤＳ２６において異常が検出された場合、異常検出情報受信部２８（図２参照）は、ＥＣＵ１６のＩＤＳ２６からの異常検出情報（以下、「異常検出情報Ａ」という）を受信する。リクエスト情報送信部４２（図２参照）は、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２、ＣＧＷ１２のＩＤＳ２４及びＮＩＤＳ１４の各々にリクエスト情報を送信する。分析用ログ情報受信部４４（図２参照）は、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２、ＣＧＷ１２のＩＤＳ２４及びＮＩＤＳ１４の各々から送信された分析用ログ情報を受信する。

【0084】

ログ管理モジュール１８Ａでは、分析用ログ情報の受信時に、図７に示す管理テーブル４８が生成される。管理テーブル４８は、異常検出情報の種類毎に、分析用ログ情報と、当該分析用ログ情報の有効度合いに関連する有効度としての距離情報との対応関係を示す対応情報の一例である。有効度は、異常が検出された特定の機器と、分析用ログ情報の送信元との距離に基づいて決定される。なお、図７に示す例では、管理テーブル４８に距離情報を含めているが、これに限定されず、各機器間の距離情報を機器間距離情報として管理し、距離情報を異常発生機器及び上記機器間距離情報から必要になる都度導き出すようにしてもよい。

【0085】

図７に示す例では、管理テーブル４８には、異常検出情報Ａについて、「ＮＩＤＳログ１」（ＮＩＤＳ１４からの分析用ログ情報）に対応する距離情報「１」、「ＣＧＷログ１」（ＣＧＷ１２のＩＤＳ２４からの分析用ログ情報）に対応する距離情報「２」、ＴＣＵログ１（ＴＣＵ８のＩＤＳ２０からの分析用ログ情報）に対応する距離情報「３」、及び、ＩＶＩログ１（ＩＶＩ１０のＩＤＳ２２からの分析用ログ情報）に対応する距離情報「３」がそれぞれ格納されている。

【0086】

ここで、距離情報とは、異常が検出されたＥＣＵ１６のＩＤＳ２６と、分析用ログ情報の送信元との距離を示す情報である。図６に示すように、ＥＣＵ１６のＩＤＳ２６とＴＣＵ８のＩＤＳ２０及びＩＶＩ１０のＩＤＳ２２との距離は最も長い「３」であり、ＥＣＵ１６のＩＤＳ２６とＣＧＷ１２のＩＤＳ２４との距離は２番目に長い「２」であり、ＥＣＵ１６のＩＤＳ２６とＮＩＤＳ１４との距離は最も短い「１」である。本変形例では、異常が検出された特定の機器から近い距離にある機器ほど、新たな未知の攻撃が発生している可能性が高いという前提である。そのため、距離情報により示される距離が短いほど、有効度が高いものとする。

【0087】

ログ管理モジュール１８Ａでは、図７に示す管理テーブル４８に基づいて、分析用ログ情報記憶部４６に記憶された分析用ログ情報のうち、距離情報により示される距離の最も長い分析用ログ情報から順に削除される。以下、図８を参照しながら、ログ管理モジュール１８Ａにおける分析用ログ情報の削除処理について説明する。

【0088】

図８に示すように、距離情報ｎ＝最大距離（例えば「３」）とし（Ｓ３０１）、分析用ログ情報記憶部４６に記憶された分析用ログ情報を削除する必要があるか否かが判定される（Ｓ３０２）。例えば分析用ログ情報記憶部４６の残記憶容量に余裕があるため、分析用ログ情報記憶部４６に記憶された分析用ログ情報を削除する必要が無い場合には（Ｓ３０２でＮＯ）、処理を終了する。

【0089】

一方、例えば分析用ログ情報記憶部４６の残記憶容量が逼迫しているため、分析用ログ情報記憶部４６に記憶された分析用ログ情報を削除する必要がある場合には（Ｓ３０２でＹＥＳ）、管理テーブル４８を参照することにより、距離情報＝ｎの分析用ログ情報が存在するか否かが判定される（Ｓ３０３）。

【0090】

距離情報＝ｎの分析用ログ情報が存在する場合には（Ｓ３０３で「あり」）、分析用ログ情報受信部４４は、距離情報＝ｎの分析用ログ情報（例えば「ＴＣＵログ１」及び「ＩＶＩログ１」）を削除する（Ｓ３０４）。その後、距離情報ｎがｎ－１（例えば「２」）にデクリメントされ（Ｓ３０５）、上述したステップＳ３０２に戻る。

【0091】

ステップＳ３０３に戻り、距離情報＝ｎの分析用ログ情報が存在しない場合には（Ｓ３０３で「なし」）、ステップＳ３０５に進む。

【0092】

本変形例では、異常が検出された特定の機器から近い距離にある機器ほど、新たな未知の攻撃が発生している可能性が高いという前提であるため、距離情報により示される距離が短いほど、有効度が高い。そのため、上述のように、分析用ログ情報記憶部４６に記憶された分析用ログ情報を、距離情報により示される距離の最も長いものから順に削除することにより、有用性の高い分析用ログ情報を分析用ログ情報記憶部４６に蓄積させておくことができるとともに、分析用ログ情報記憶部４６の残記憶容量が逼迫するのを解消することができる。

【0093】

［１－６．変形例２］
図９～図１１を参照しながら、実施の形態１の変形例２に係るログ管理モジュール１８Ｂの機能について説明する。図９は、実施の形態１の変形例２に係るログ管理モジュール１８Ｂの機能を説明するための図である。図１０は、実施の形態１の変形例２に係る管理テーブル５０の一例を示す図である。図１１は、実施の形態１の変形例２に係るログ管理モジュール１８Ｂの動作の流れを示すフローチャートである。

【0094】

本変形例のログ管理モジュール１８Ｂでは、例えば分析用ログ情報記憶部４６（図２参照）の残記憶容量が逼迫した場合に、分析用ログ情報記憶部４６に記憶された分析用ログ情報が順に削除される。

【0095】

図９に示すように、例えばＥＣＵ１６のＩＤＳ２６において異常が検出された場合、異常検出情報受信部２８（図２参照）は、ＥＣＵ１６のＩＤＳ２６からの異常検出情報（以下、「異常検出情報Ａ」という）を受信する。リクエスト情報送信部４２（図２参照）は、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２、ＣＧＷ１２のＩＤＳ２４及びＮＩＤＳ１４の各々にリクエスト情報を送信する。分析用ログ情報受信部４４（図２参照）は、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２、ＣＧＷ１２のＩＤＳ２４及びＮＩＤＳ１４の各々から送信された分析用ログ情報を受信する。

【0096】

ログ管理モジュール１８Ｂでは、分析用ログ情報の受信時に、図１０に示す管理テーブル５０が生成される。管理テーブル５０は、異常検出情報の種類毎に、分析用ログ情報と、当該分析用ログ情報の有効度合いに関連する有効度としての優先度との対応関係を示す対応情報の一例である。有効度は、異常が検出された特定の機器に対する分析用ログ情報の送信元の配置に基づいて決定される。なお、図１０に示す例では、管理テーブル５０に優先度を含めているが、これに限定されず、各機器の優先度を機器優先情報として管理し、優先度を分析用ログ情報の送信元の機器及び上記機器優先度情報から必要になる都度導き出すようにしてもよい。また、上記機器優先情報を複数記憶させておき、検出された異常の検出内容や検出箇所、車両状態等に応じて参照する機器優先情報を変更してもよい。

【0097】

図１０に示す例では、管理テーブル５０には、異常検出情報Ａについて、「ＮＩＤＳログ１」（ＮＩＤＳ１４からの分析用ログ情報）に対応する優先度「１」、「ＣＧＷログ１」（ＣＧＷ１２のＩＤＳ２４からの分析用ログ情報）に対応する優先度「１」、ＴＣＵログ１（ＴＣＵ８のＩＤＳ２０からの分析用ログ情報）に対応する優先度「２」、及び、ＩＶＩログ１（ＩＶＩ１０のＩＤＳ２２からの分析用ログ情報）に対応する優先度「２」がそれぞれ格納されている。

【0098】

ここで、優先度とは、車載ネットワークの入口側（図９において左側）に近いほど高い指標を示し、且つ、車載ネットワークの出口側（図９において右側）に近いほど低い指標を示す情報である。図９に示すように、ＴＣＵ８のＩＤＳ２０及びＩＶＩ１０のＩＤＳ２２の各優先度は、車載ネットワークの入口側に比較的近いため、「２」である。また、ＣＧＷ１２のＩＤＳ２４及びＮＩＤＳ１４の各優先度は、車載ネットワークの入口側から比較的遠いため、「１」である。本変形例では、車載ネットワークの入口側に近い機器からの分析用ログ情報ほど、攻撃の開始位置を特定するために重要であるという前提である。そのため、優先度が高いほど、有効度が高いものとする。

【0099】

なお、図９に示す例では、車載ネットワークの入口側から遠いほど優先度が低いとしたが、車載ネットワークの入口側から遠くても、セキュリティ上又は車両制御の上で重要と考えられる機器の優先度は、車載ネットワークの入口側からの距離に関わらず高くしてもよい。そのような機器としては、例えば、ＡＤＡＳ－ＥＣＵや自動運転ＥＣＵのような制御を集中的に行うＥＣＵ、あるいは、通信の集中するゲートウェイ等が考えられる。また、優先度は、異常検出時の車両４の通信状態や走行状態に応じて変更されてもよい。

【0100】

ログ管理モジュール１８Ｂでは、図１０に示す管理テーブル５０に基づいて、分析用ログ情報記憶部４６に記憶された分析用ログ情報のうち、優先度の最も低い分析用ログ情報から順に削除される。以下、図１１を参照しながら、ログ管理モジュール１８Ｂにおける分析用ログ情報の削除処理について説明する。

【0101】

図１１に示すように、優先度ｎ＝１とし（Ｓ４０１）、分析用ログ情報記憶部４６に記憶された分析用ログ情報を削除する必要があるか否かが判定される（Ｓ４０２）。例えば分析用ログ情報記憶部４６の残記憶容量に余裕があるため、分析用ログ情報記憶部４６に記憶された分析用ログ情報を削除する必要が無い場合には（Ｓ４０２でＮＯ）、処理を終了する。

【0102】

一方、例えば分析用ログ情報記憶部４６の残記憶容量が逼迫しているため、分析用ログ情報記憶部４６に記憶された分析用ログ情報を削除する必要がある場合には（Ｓ４０２でＹＥＳ）、管理テーブル５０を参照することにより、優先度＝ｎの分析用ログ情報が存在するか否かが判定される（Ｓ４０３）。

【0103】

優先度＝ｎの分析用ログ情報が存在する場合には（Ｓ４０３で「あり」）、分析用ログ情報受信部４４は、優先度＝ｎの分析用ログ情報（例えば「ＮＩＤＳログ１」及び「ＣＧＷログ１」）を削除する（Ｓ４０４）。その後、優先度ｎがｎ＋１（＝２）にインクリメントされ（Ｓ４０５）、上述したステップＳ４０２に戻る。

【0104】

ステップＳ４０３に戻り、優先度＝ｎの分析用ログ情報が存在しない場合には（Ｓ４０３で「なし」）、ステップＳ４０５に進む。

【0105】

本変形例では、車載ネットワークの入口側に近い機器からの分析用ログ情報ほど、攻撃の開始位置を特定するために重要であるという前提であるため、優先度が高いほど、有効度が高い。そのため、上述のように、分析用ログ情報記憶部４６に記憶された分析用ログ情報を、優先度の最も低いものから順に削除することにより、有用性の高い分析用ログ情報を分析用ログ情報記憶部４６に蓄積させておくことができるとともに、分析用ログ情報記憶部４６の残記憶容量が逼迫するのを解消することができる。

【0106】

（実施の形態２）
［２－１．ログ管理モジュールの機能構成］
次に、図１２を参照しながら、実施の形態２に係るログ管理モジュール１８Ｃの機能構成について説明する。図１２は、実施の形態２に係るログ管理モジュール１８Ｃの機能構成を示すブロック図である。なお、以下に示す各実施の形態において、上記実施の形態１と同一の構成要素には同一の符号を付して、その説明を省略する。

【0107】

図１２に示すように、実施の形態２に係るログ管理モジュール１８Ｃは、上記実施の形態１で説明した構成要素に加えて、攻撃経路情報記憶部５２と、攻撃経路推定部５４とを備えている。

【0108】

攻撃経路情報記憶部５２は、車載ネットワークにおける攻撃経路の候補を示す攻撃経路情報を記憶する。攻撃経路情報は、例えば「ＴＣＵ８のＩＤＳ２０→ＣＧＷ１２のＩＤＳ２４→ＮＩＤＳ１４→ＥＣＵ１６のＩＤＳ２６」のように、車両４の外部からの攻撃が辿ると予測される経路を示す情報である。

【0109】

攻撃経路推定部５４は、攻撃経路情報記憶部５２に記憶された攻撃経路情報に基づいて、異常が検出された機器を含む攻撃経路を推定する。

【0110】

また、収集対象決定部３８Ｃは、攻撃経路推定部５４により推定された攻撃経路上にある１以上の候補機器を、分析用ログ情報の収集対象として決定する。

【0111】

［２－２．ログ管理モジュールの動作］
図１３及び図１４を参照しながら、実施の形態２に係るログ管理モジュール１８Ｃの動作（分析用ログ情報の収集対象の決定処理）について説明する。図１３は、実施の形態２に係るログ管理モジュール１８Ｃの動作の流れを示すフローチャートである。図１４は、実施の形態２に係るログ管理モジュール１８Ｃの動作を説明するための図である。なお、図１３のフローチャートにおいて、図４のフローチャートと同一の処理には同一のステップ番号を付して、その説明を省略する。

【0112】

以下、図１４の（ａ）に示すように、ＣＧＷ１２のＩＤＳ２４において異常が検出され、異常検出情報受信部２８がＣＧＷ１２のＩＤＳ２４からの異常検出情報を受信した場合について説明する。

【0113】

図１３に示すように、上記実施の形態１と同様に、ステップＳ２０１～Ｓ２０３が実行される。ステップＳ２０３で生成される収集対象ＩＤＳリストには、分析用ログ情報の収集対象として、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２及びＮＩＤＳ１４が含まれる。図１４の（ａ）に示す例では、この時点では、収集対象決定部３８Ｃは、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２及びＮＩＤＳ１４を分析用ログ情報の収集対象として仮決定する。

【0114】

収集対象決定部３８Ｃは、検出履歴情報記憶部３２にアクセスすることにより（Ｓ２０４）、収集対象ＩＤＳリストに含まれる候補機器のうち、異常の検出の履歴を有する候補機器が存在するか否かを判定する。

【0115】

攻撃経路推定部５４は、攻撃経路情報記憶部５２にアクセスすることにより（Ｓ５０１）、攻撃経路情報記憶部５２に記憶された攻撃経路に基づいて、異常が検出されたＣＧＷ１２のＩＤＳ２４を含む攻撃経路を推定する（Ｓ５０２）。図１４の（ｂ）に示す例では、攻撃経路推定部５４は、「ＴＣＵ８のＩＤＳ２０→ＣＧＷ１２のＩＤＳ２４→ＮＩＤＳ１４」という攻撃経路を推定する。

【0116】

収集対象決定部３８Ｃは、収集対象ＩＤＳリストに、攻撃経路推定部５４により推定された攻撃経路上に無い候補機器が存在するか否かを判定する（Ｓ５０３）。収集対象ＩＤＳリストに、攻撃経路推定部５４により推定された攻撃経路上に無い候補機器が存在しない場合には（Ｓ５０３でＮＯ）、上述したステップＳ２０５に進む。

【0117】

収集対象ＩＤＳリストに、攻撃経路推定部５４により推定された攻撃経路上に無い候補機器が存在する場合には（Ｓ５０３でＹＥＳ）、収集対象決定部３８Ｃは、収集対象ＩＤＳリストから当該候補機器を削除することにより（Ｓ５０４）、分析用ログ情報の収集対象を絞り込む。図１４の（ｂ）に示す例では、収集対象決定部３８Ｃは、収集対象ＩＤＳリストから、攻撃経路推定部５４により推定された攻撃経路上に無いＩＶＩ１０のＩＤＳ２２を削除する。

【0118】

その後、収集対象決定部３８Ｃは、収集対象ＩＤＳリストに異常の検出の履歴を有する候補機器が存在するか否かを判定する（Ｓ２０５）。

【0119】

収集対象ＩＤＳリストに異常の検出の履歴を有する候補機器が存在する場合には（Ｓ２０５でＹＥＳ）、収集対象決定部３８Ｃは、収集対象ＩＤＳリストから、異常の検出の履歴を有する候補機器を削除することにより（Ｓ２０６）、分析用ログ情報の収集対象をさらに絞り込む。その後、図３のフローチャートのステップＳ１０５に進む。図１４の（ｂ）に示す例では、収集対象決定部３８Ｃは、収集対象ＩＤＳリストから、異常の検出の履歴を有するＴＣＵ８のＩＤＳ２０を削除する。これにより、収集対象決定部３８Ｃは、ＮＩＤＳ１４を分析用ログ情報の収集対象として最終決定する。

【0120】

ステップＳ２０５に戻り、収集対象ＩＤＳリストに異常の検出の履歴のある候補機器が存在しない場合には（Ｓ２０５でＮＯ）、図３のフローチャートのステップＳ１０５に進む。この場合、図示しないが、収集対象決定部３８Ｃは、例えば、ＴＣＵ８のＩＤＳ２０及びＮＩＤＳ１４を分析用ログ情報の収集対象として最終決定する。

【0121】

なお、本実施の形態では、ステップＳ２０５及びＳ２０６の処理を実行するようにしたが、ステップＳ２０５及びＳ２０６の処理は必ずしも必要では無く、これらの処理を省略してもよい。

【0122】

また、本実施の形態では、ステップＳ２０２及びＳ２０３を実行した後に、ステップＳ２０４，Ｓ５０１及びＳ５０２により攻撃経路を推定し、取得された収集対象ＩＤＳリストから収集対象を絞り込む方法をとっているが、ステップＳ２０４，Ｓ５０１及びＳ５０２をステップＳ２０１の後に実行し、その後にステップＳ２０２及びＳ２０３を実行することにより、攻撃経路上のＩＤＳから、ステップＳ２０２で出力される情報を用いて、収集対象を絞り込んでもよい。あるいは、ステップＳ２０２及びＳ２０３を実行せず、ステップＳ２０４，Ｓ５０１及びＳ５０２を実行することにより、攻撃経路上のＩＤＳを分析用ログ情報の収集対象として決定してもよい。

【0123】

［２－３．効果］
本実施の形態では、収集対象決定部３８Ｃは、攻撃経路推定部５４により推定された攻撃経路上に含まれる１以上の候補機器を分析用ログ情報の収集対象として決定する。

【0124】

攻撃経路推定部５４により推定された攻撃経路上に無い候補機器では、新たに未知の攻撃が発生している可能性は低いと考えられる。そのため、異常検出情報の送信元と所定の接続関係がある候補機器であったとしても、推定された攻撃経路上に無い候補機器を分析用ログ情報の収集対象から除外することにより、分析用ログ情報を無駄に収集するのを回避することができる。その結果、分析用ログ情報を適切に収集することができ、分析用ログ情報記憶部４６の残記憶容量が不足するのを抑制することができる。

【0125】

（実施の形態３）
［３－１．ログ管理モジュールの機能構成］
次に、図１５を参照しながら、実施の形態３に係るログ管理モジュール１８Ｄの機能構成について説明する。図１５は、実施の形態３に係るログ管理モジュール１８Ｄの機能構成を示すブロック図である。

【0126】

図１５に示すように、実施の形態３に係るログ管理モジュール１８Ｄは、上記実施の形態１で説明した構成要素に加えて、状態判定部５６を備えている。なお、ログ管理モジュール１８Ｄは、上記実施の形態１で説明した検出履歴情報記憶部３２を備えていない。

【0127】

状態判定部５６は、分析用ログ情報記憶部４６の残記憶容量を判定する。分析用ログ情報記憶部４６は、ログ情報を記憶するログ情報記憶部の一例である。

【0128】

また、収集対象決定部３８Ｄは、状態判定部５６の判定結果に基づいて、１以上の候補機器を分析用ログ情報の収集対象として決定する。

【0129】

［３－２．ログ管理モジュールの動作］
図１６及び図１７を参照しながら、実施の形態３に係るログ管理モジュール１８Ｄの動作（分析用ログ情報の収集対象の決定処理）について説明する。図１６は、実施の形態３に係るログ管理モジュール１８Ｄの動作の流れを示すフローチャートである。図１７は、実施の形態３に係るログ管理モジュール１８Ｄの動作を説明するための図である。なお、図１６のフローチャートにおいて、図４のフローチャートと同一の処理には同一のステップ番号を付して、その説明を省略する。

【0130】

以下、図１７の（ａ）に示すように、ＥＣＵ１６のＩＤＳ２６において異常が検出され、異常検出情報受信部２８がＥＣＵ１６のＩＤＳ２６からの異常検出情報を受信した場合について説明する。

【0131】

図１６に示すように、上記実施の形態１と同様に、ステップＳ２０１～Ｓ２０３が実行される。ステップＳ２０３で生成される収集対象ＩＤＳリストには、分析用ログ情報の収集対象として、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２、ＣＧＷ１２のＩＤＳ２４及びＮＩＤＳ１４が含まれる。図１７の（ａ）に示す例では、この時点では、収集対象決定部３８Ｄは、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２、ＣＧＷ１２のＩＤＳ２４及びＮＩＤＳ１４を分析用ログ情報の収集対象として仮決定する。

【0132】

状態判定部５６は、分析用ログ情報記憶部４６の残記憶容量を判定する（Ｓ６０１）。収集対象決定部３８Ｄは、状態判定部５６の判定結果に基づいて、分析用ログ情報記憶部４６の残記憶容量が閾値以上であるか否かを判定する（Ｓ６０２）。

【0133】

分析用ログ情報記憶部４６の残記憶容量が閾値未満である場合には（Ｓ６０２でＮＯ）、収集対象決定部３８Ｄは、収集対象ＩＤＳリストから、ＥＣＵ１６のＩＤＳ２６に対して接続関係の遠い候補機器を削除することにより（Ｓ６０３）、分析用ログ情報の収集対象を絞り込む。図１７の（ｂ）に示す例では、収集対象決定部３８Ｄは、収集対象ＩＤＳリストから、異常が検出されたＥＣＵ１６のＩＤＳ２６から遠い距離にあるＴＣＵ８のＩＤＳ２０及びＩＶＩ１０のＩＤＳ２２を削除する。

【0134】

ステップＳ６０２に戻り、分析用ログ情報記憶部４６の残記憶容量が閾値以上である場合には（Ｓ６０２でＹＥＳ）、図３のフローチャートのステップＳ１０５に進む。この場合、図示しないが、収集対象決定部３８Ｄは、ＴＣＵ８のＩＤＳ２０、ＩＶＩ１０のＩＤＳ２２、ＣＧＷ１２のＩＤＳ２４及びＮＩＤＳ１４を分析用ログ情報の収集対象として最終決定する。

【0135】

［３－３．効果］
本実施の形態では、収集対象決定部３８Ｄは、状態判定部５６の判定結果に基づいて、１以上の候補機器を分析用ログ情報の収集対象として決定する。具体的には、分析用ログ情報記憶部４６の残記憶容量に余裕がある場合には、収集対象決定部３８Ｄは、分析用ログ情報の収集対象を絞り込まない。一方、分析用ログ情報記憶部４６の残記憶容量に余裕が無い場合には、収集対象決定部３８Ｄは、分析用ログ情報の収集対象を絞り込む。

【0136】

これにより、分析用ログ情報を適切に収集することができ、分析用ログ情報記憶部４６の残記憶容量が不足するのを抑制することができる。

【0137】

なお、本実施の形態では、状態判定部５６は、分析用ログ情報記憶部４６の残記憶容量を判定したが、これに限定されず、例えば、車載ネットワークにおける通信容量、車両４の移動状態、又は、車両４の機能動作状態を判定してもよい。

【0138】

状態判定部５６が車載ネットワークにおける通信容量を判定する場合には、収集対象決定部３８Ｄは、状態判定部５６の判定結果に基づいて、次のようにして１以上の候補機器を分析用ログ情報の収集対象として決定する。車載ネットワークにおける通信容量に余裕がある場合には、収集対象決定部３８Ｄは、分析用ログ情報の収集対象を絞り込まない。一方、車載ネットワークにおける通信容量に余裕が無い場合には、収集対象決定部３８Ｄは、分析用ログ情報の収集対象を絞り込む。

【0139】

また、状態判定部５６が車両４の移動状態を判定する場合には、収集対象決定部３８Ｄは、状態判定部５６の判定結果に基づいて、次のようにして１以上の候補機器を分析用ログ情報の収集対象として決定する。車両４が停止中の場合には、収集対象決定部３８Ｄは、分析用ログ情報の収集対象を絞り込まない。一方、車両４が走行中の場合には、収集対象決定部３８Ｄは、分析用ログ情報の収集対象を絞り込む。これは、車両４が走行中の場合には、車載ネットワークにおける通信容量に余裕が無く、車両４が停止中の場合には、車載ネットワークにおける通信容量に余裕があると推定されるためである。

【0140】

また、状態判定部５６が車両４の機能動作状態を判定する場合には、収集対象決定部３８Ｄは、状態判定部５６の判定結果に基づいて、次のようにして１以上の候補機器を分析用ログ情報の収集対象として決定する。車両４が自動運転を実施中の場合には、収集対象決定部３８Ｄは、分析用ログ情報の収集対象を絞り込まない。一方、車両４が手動運転を実行中の場合には、収集対象決定部３８Ｄは、分析用ログ情報の収集対象を絞り込む。これは、車両４が自動運転を実行中の場合には、攻撃による危険性が高く、車両４が手動運転を実行中の場合には、攻撃による危険性が低いと推定されるためである。あるいは、車両４が手動運転を実施中の場合には、収集対象決定部３８Ｄは、分析用ログ情報の収集対象を絞り込まず、車両４が自動運転を実行中の場合には、収集対象決定部３８Ｄは、分析用ログ情報の収集対象を絞り込むようにしてもよい。これは、車両４が自動運転を実行中の場合には、車載ネットワークにおける通信容量に余裕が無く、車両４が手動運転を実行中の場合には、車載ネットワークにおける通信容量に余裕があると推定されるためである。

【0141】

なお、車両４の機能動作状態の判定としては、自動運転か手動運転かの判定に限定されず、車両４の通信状態や攻撃の危険性に影響する制御機能の動作状態を用いて判定してもよい。

【0142】

（実施の形態４）
［４－１．ログ管理モジュールの機能構成］
次に、図１８を参照しながら、実施の形態４に係るログ管理モジュール１８Ｅの機能構成について説明する。図１８は、実施の形態４に係るログ管理モジュール１８Ｅの機能構成を示すブロック図である。

【0143】

図１８に示すように、実施の形態４に係るログ管理モジュール１８Ｅは、上記実施の形態１で説明した構成要素に加えて、リクエスト情報記憶部５８と、受信判定部６０と、異常通知送信部６２を備えている。

【0144】

リクエスト情報記憶部５８は、リクエスト情報生成部４０により生成されたリクエスト情報を記憶する。

【0145】

受信判定部６０は、リクエスト情報送信部４２がリクエスト情報を送信してから所定の時間内に、分析用ログ情報受信部４４により分析用ログ情報が受信されたか否かを判定する。

【0146】

異常通知送信部６２は、受信判定部６０が所定時間内に分析用ログ情報を受信しなかったと判定した場合に、ログ管理モジュール１８Ｅの外部に異常通知を送信する。なお、異常通知の送信先は、例えば、通信システム２に搭載された監視モジュール（図示せず）、又は、車両４の外部に設置された監視サーバ（図示せず）等である。

【0147】

［４－２．ログ管理モジュールの動作］
図１９を参照しながら、実施の形態４に係るログ管理モジュール１８Ｅの動作について説明する。図１９は、実施の形態４に係るログ管理モジュール１８Ｅの動作の流れを示すフローチャートである。なお、図１９のフローチャートにおいて、図３のフローチャートと同一の処理には同一のステップ番号を付して、その説明を省略する。

【0148】

図１９に示すように、上記実施の形態１と同様に、ステップＳ１０１～Ｓ１０５が実行される。ステップＳ１０５の後、受信判定部６０は、分析用ログ情報受信部４４により分析用ログ情報が受信されたか否かを判定する（Ｓ６０１）。

【0149】

分析用ログ情報受信部４４により分析用ログ情報が受信された場合には（Ｓ６０１でＹＥＳ）、受信判定部６０は、受信された分析用ログ情報のフォーマットが異常であるか否かを判定する（Ｓ６０２）。

【0150】

受信された分析用ログ情報のフォーマットが異常でない場合には（Ｓ６０２でＮＯ）、分析用ログ情報受信部４４は、受信判定部６０からの指示に従い、受信した分析用ログ情報を分析用ログ情報記憶部４６に記憶する（Ｓ６０３）。

【0151】

ステップ６０２に戻り、受信された分析用ログ情報のフォーマットが異常である場合には（Ｓ６０２でＹＥＳ）、受信判定部６０は、受信された分析用ログ情報のフォーマットが異常である旨を示す異常通知を送信するように異常通知送信部６２に指示する。これにより、異常通知送信部６２は、ログ管理モジュール１８Ｅの外部に異常通知を送信する（Ｓ６０５）。

【0152】

ステップＳ６０１に戻り、リクエスト情報送信部４２がリクエスト情報を送信してから所定の時間内に、分析用ログ情報受信部４４により分析用ログ情報が受信されない場合には（Ｓ６０１でＮＯ、Ｓ６０４でＹＥＳ）、受信判定部６０は、分析用ログ情報を未受信である旨を示す異常通知を送信するように異常通知送信部６２に指示する。これにより、異常通知送信部６２は、ログ管理モジュール１８Ｅの外部に異常通知を送信する（Ｓ６０５）。

【0153】

ステップＳ６０１に戻り、リクエスト情報送信部４２がリクエスト情報を送信してから所定の時間内に、分析用ログ情報受信部４４により分析用ログ情報が受信された場合には（Ｓ６０１でＮＯ、Ｓ６０４でＮＯ）、上述したステップＳ６０１に戻る。

【0154】

［４－３．効果］
本実施の形態では、異常通知送信部６２は、リクエスト情報送信部４２がリクエスト情報を送信してから所定の時間内に、分析用ログ情報受信部４４により分析用ログ情報が受信されない場合に、ログ管理モジュール１８Ｅの外部に異常通知を送信する。

【0155】

分析用ログ情報を受信できない場合には、車載ネットワークにおける未検出の異常の有無を分析することができない。そのため、分析用ログ情報を受信できなかったこと自体を異常事象と捉えて、外部に異常通知を送信することにより、当該異常事象に対して適切な処置を迅速に実行することができる。

【0156】

（他の変形例）
以上、一つ又は複数の態様に係る情報処理装置及び情報処理装置の制御方法について、上記各実施の形態に基づいて説明したが、本開示は、上記各実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思い付く各種変形を上記各実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、一つ又は複数の態様の範囲内に含まれてもよい。

【0157】

上記各実施の形態では、本開示に係るログ管理モジュール１８（１８Ａ～１８Ｅ）の適用例として、自動車等の車両４に搭載された車載ネットワークにおけるＣＧＷ１２に接続された機器として説明したが、ログ管理モジュール１８（１８Ａ～１８Ｅ）の搭載箇所は上記に限定されず、車載ネットワークに接続されていればよく、例えば車両４と接続された監視センターに配置されていても構わない。

【0158】

また、上記各実施の形態では、本開示に係るログ管理モジュール１８（１８Ａ～１８Ｅ）の適用例として、ログ管理モジュールを単独の機器として説明したが、これに限定されず、単独の機器ではなく、例えばＣＧＷ１２等の他の機器に内蔵されていても構わない。

【0159】

また、上記各実施の形態では、本開示に係るログ管理モジュール１８（１８Ａ～１８Ｅ）の適用例として、自動車等の車両４に搭載された車載ネットワークにおけるセキュリティ対策への適用について説明したが、本開示に係るログ管理モジュール１８（１８Ａ～１８Ｅ）の適用範囲はこれに限定されない。本開示に係るログ管理モジュール１８（１８Ａ～１８Ｅ）は、自動車等の車両４に限定されず、例えば、建機、農機、船舶、鉄道又は飛行機等の任意のモビリティに適用してもよい。

【0160】

なお、上記実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵ又はプロセッサ等のプログラム実行部が、ハードディスク又は半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。

【0161】

また、上記実施の形態に係る情報処理装置の機能の一部又は全てを、ＣＰＵ等のプロセッサがプログラムを実行することにより実現してもよい。

【0162】

上記の各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしても良い。前記ＩＣカード又は前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。前記ＩＣカード又は前記モジュールは、上記の超多機能ＬＳＩを含むとしても良い。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカード又は前記モジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしても良い。

【0163】

本開示は、上記に示す方法であるとしても良い。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしても良いし、前記コンピュータプログラムからなるデジタル信号であるとしても良い。また、本開示は、前記コンピュータプログラム又は前記デジタル信号をコンピュータ読み取り可能な非一時的な記録媒体、例えばフレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標） Ｄｉｓｃ）、半導体メモリ等に記録したものとしても良い。また、これらの記録媒体に記録されている前記デジタル信号であるとしても良い。また、本開示は、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしても良い。また、本開示は、マイクロプロセッサとメモリとを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしても良い。また、前記プログラム又は前記デジタル信号を前記記録媒体に記録して移送することにより、又は前記プログラム又は前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしても良い。

【産業上の利用可能性】

【0164】

本開示に係る情報処理装置は、例えば車両に搭載された自動運転システム等に適用可能である。

【符号の説明】

【0165】

２ 通信システム
４ 車両
６ ＣＡＮバス
８ ＴＣＵ
１０ ＩＶＩ
１２ ＣＧＷ
１４ ＮＩＤＳ
１６ ＥＣＵ
１８，１８Ａ，１８Ｂ，１８Ｃ，１８Ｄ，１８Ｅ ログ管理モジュール
２０，２２，２４，２６ ＩＤＳ
２８ 異常検出情報受信部
３０ 異常検出ＩＤ管理部
３２ 検出履歴情報記憶部
３４ 接続関係情報記憶部
３６ 接続関係判定部
３８，３８Ｃ，３８Ｄ 収集対象決定部
４０ リクエスト情報生成部
４２ リクエスト情報送信部
４４ 分析用ログ情報受信部
４６ 分析用ログ情報記憶部
４８，５０ 管理テーブル
５２ 攻撃経路情報記憶部
５４ 攻撃経路推定部
５６ 状態判定部
５８ リクエスト情報記憶部
６０ 受信判定部
６２ 異常通知送信部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】