JP2024051321A - ログ判定装置、ログ判定方法、ログ判定プログラム、及びログ判定システム - Google Patents

Abstract

【課題】セキュリティログが車両のメンテナンスによって生成されたログであるか否かを判定するログ判定装置、方法、プログラム及びシステムを提供する。
【解決手段】ログ判定装置１０は、電子制御システム内で検知された異常を示す異常情報と、異常が検知された電子制御システム内の位置を示す位置情報と、をそれぞれ含む複数のセキュリティログを取得し、システムのメンテナンスによって発生することが予測されるセキュリティログの発生パターンを保存する。発生パターンは、システムで検知されることが予測される異常を示す予測異常情報と、予測される異常が検知されるシステム内の位置を示す予測異常位置情報とをそれぞれ含む。ログ判定装置はさらに、複数のセキュリティログと、発生パターンとを比較して、複数のセキュリティログが、メンテナンスによって発生した異常が検知されたことで生成された偽陽性ログであるか否かを判定し、判定結果を出力する。
【選択図】図４

Description

本発明は、電子制御システムで生成されるセキュリティログを判定する装置であって、ログ判定装置、ログ判定方法、ログ判定プログラム、及びログ判定システムに関する。

近年、車車間通信や路車間通信のようなＶ２Ｘをはじめ、運転支援や自動運転制御を行う技術が注目されている。これに伴い、車両が通信機能を備えるようになり、いわゆる車両のコネクティッド化が進んでいる。この結果、車両が不正アクセスといったサイバー攻撃を受ける可能性が増加している。そのため、車両に対するサイバー攻撃を分析して、その対応策を構築することの必要性が増している。

例えば、特許文献１には、電子制御装置が異常を検出した場合に、電子制御装置に搭載された防御機能や防御機能以外の機能が正常であるか異常であるかの判定結果を用いて、不正な情報を遮断するための措置を決定することで、不正な情報の侵入を防止する装置が開示されている。

特開２０２２－１７８７３号公報

ここで、本発明者は、詳細な検討の結果、以下の課題を見出した。
車両に発生する異常には、サイバー攻撃を受けたことによって発生する異常だけでなく、サイバー攻撃以外の理由によって発生する異常がある。例えば、車両のメンテナンスを実施した場合、メンテナンス中又はその直後は電子制御システムがそれまでとは異なる状態にあるため、それをセンサが異常と判断してログを生成することがある。そのため、収集されたログには、サイバー攻撃による異常に関するログだけでなく、このようなメンテナンスによって発生した異常に関するログが混在している可能性がある。ところが、このようなログが混在した状態でサイバー攻撃の分析を行うと、分析精度が低下するおそれがある。

そこで、本発明は、センサによって生成されたログが、メンテナンスを行うことによって生成されたログであるか否かを判定することを目的とする。

本開示のログ判定装置（１０、１１）は、電子制御システム内で検知された異常を示す異常情報と、前記異常が検知された前記電子制御システム内の位置を示す位置情報と、をそれぞれ含む複数のセキュリティログを取得するログ取得部（１０１）と、前記電子制御システムのメンテナンスによって発生することが予測されるセキュリティログの発生パターンであって、前記電子制御システムで検知されることが予測される異常を示す予測異常情報と、前記予測される異常が検知される前記電子制御システム内の位置を示す予測異常位置情報とをそれぞれ含む複数のセットからなる前記発生パターンを保存するパターン保存部（１０３）と、前記複数のセキュリティログと、前記発生パターンとを比較して、前記複数のセキュリティログが前記メンテナンスによって発生した異常が検知されたことにより生成された偽陽性ログであるか否かを判定し、判定結果を出力する、偽陽性ログ判定部（１０４）と、を備える。

なお、特許請求の範囲、及び本項に記載した発明の構成要件に付した括弧内の番号は、本発明と後述の実施形態との対応関係を示すものであり、本発明を限定する趣旨ではない。

上述のような構成によれば、電子制御システムで生成されたログが車両のメンテナンスによって発生した異常に関するログであるか否かを判定することができ、その判定結果を考慮してサイバー攻撃の分析を行うことでサイバー攻撃の分析精度を高めることが可能となる。

各実施形態のログ判定装置と電子制御装置システムの配置を説明する説明図 各実施形態の電子制御システム及び電子制御装置の構成を説明する説明図 各実施形態の電子制御装置のセキュリティセンサが生成するセキュリティログを説明する説明図 実施形態１のログ判定装置の構成例を示すブロック図 実施形態１のログ保存部に保存される情報を説明する図 実施形態１のパターン保存部に保存される情報を説明する図 実施形態１のパターン保存部に保存される情報を説明する図 実施形態１のログ判定装置の動作を説明する図 実施形態１のログ判定装置の動作を説明する図 実施形態２のログ判定装置の構成例を示すブロック図 実施形態２のログの判定方法を説明する図 実施形態２のログの判定方法を説明する図 実施形態２のログ判定装置の動作を説明する図 実施形態２のログ判定装置の動作を説明する図

以下、本発明の実施形態について、図面を参照して説明する。

なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともかぎ括弧内の語句は、特許請求の範囲又は課題を解決するための手段の項に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。

特許請求の範囲の従属項に記載の構成及び方法は、特許請求の範囲の独立項に記載の発明において任意の構成及び方法である。従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明において任意の構成及び方法である。特許請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成及び方法も、本発明の構成及び方法の例示であるという意味で、本発明において任意の構成及び方法である。いずれの場合も、特許請求の範囲の独立項に記載することで、本発明の必須の構成及び方法となる。

実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。

複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせてもよい。また、複数の実施形態それぞれに開示の構成を集めて組み合わせてもよい。

発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の構成及び方法と共に発明の進歩性を肯定する事実である。

１．各実施形態の前提となる構成
（１）ログ判定装置１０と電子制御システムＳの配置
ログ判定システム１は、ログ判定装置１０と、電子制御システムＳを構成する電子制御装置２０とから構成されるシステムである。図１を用いて、ログ判定システム１を構成する各実施形態のログ判定装置１０の配置を説明する。例えば、図１（ａ）や図１（ｂ）に示すように、ログ判定装置１０が電子制御システムＳを構成する電子制御装置２０とともに「移動体」である車両に「搭載」されている場合と、図１（ｃ）に示すように、電子制御システムＳを構成する電子制御装置２０が「移動体」である車両に「搭載」され、ログ判定装置１０が車両の外部に設けられたサーバ装置やＳＯＣ（Security Operation Center）等で実現する場合と、が想定される。

ここで、「移動体」とは、移動可能な物体をいい、移動速度は任意である。また移動体が停止している場合も当然含む。例えば、自動車、自動二輪車、自転車、歩行者、船舶、航空機、及びこれらに搭載される物を含み、またこれらに限らない。
また、「搭載」される、とは、移動体に直接固定されている場合の他、移動体に固定されていないが移動体と共に移動する場合も含む。例えば、移動体に乗った人が所持している場合、移動体に載置された積荷に搭載されている場合、が挙げられる。

図１（ａ）に示す例では、ログ判定システム１は電子制御システムＳであるともいえる。また、図１（ｃ）に示す例では、ログ判定システム１は、車両の外部に設けられたログ判定装置１０と、複数の車両に搭載されたそれぞれの電子制御システムＳとからなるシステムである。

ログ判定装置１０は、電子制御システムＳを構成する複数の電子制御装置（以下、ＥＣＵ（Electronic Control Unit）と称する）２０からセキュリティログを取得して、ログを判定する装置である。

図２は、電子制御システムＳの構成例を示す図である。電子制御システムＳは、複数のＥＣＵ２０から構成されている。図２は５つのＥＣＵ（ＥＣＵ２０ａ～ＥＣＵ２０ｅ）を例示しているが、当然のことながら、電子制御システムＳは任意の数のＥＣＵから構成される。以後の説明では、単数又は複数の電子制御装置全体を包括して説明する場合はＥＣＵ２０や各ＥＣＵ２０、個々の電子制御装置を特定して説明する場合はＥＣＵ２０ａ、ＥＣＵ２０ｂ、ＥＣＵ２０ｃ・・・のように記載している。

図２の電子制御システムＳにおいては、ＥＣＵ２０ａ、ＥＣＵ２０ｃ、ＥＣＵ２０ｄ、ＥＣＵ２０ｅはそれぞれセキュリティセンサ２０１を有している。これに対し、ＥＣＵ２０ｂにはセキュリティセンサが搭載されていない。このように、電子制御システムＳを構成する複数のＥＣＵ２０にセキュリティセンサが搭載されていればよく、必ずしも全てのＥＣＵ２０にセキュリティセンサが搭載されている必要はない。ＥＣＵ２０はさらに、セキュリティセンサが生成したセキュリティログを送信するログ送信部２０２を有している。

セキュリティセンサ２０１（「ログ生成部」に相当）は、電子制御システム内、例えば、ＥＣＵ２０や、ＥＣＵ２０に接続されたネットワーク等に発生した異常を検知した場合にセキュリティログを生成する。電子制御システムＳにおけるネットワーク上の通信を監視して、通信内容や通信の頻度に関する異常を検知するセキュリティセンサは、ネットワーク型ＩＤＳ（Intrusion Detection System）とも称される。
ログ送信部２０２は、セキュリティセンサ２０１が生成したセキュリティログをログ判定装置１０に「送信」する。

ここで、「送信」する、とは、有線通信又は無線通信のいずれを用いて送信してもよい。また、無線通信を用いて送信する場合には、通信機能を有する装置を介して送信する場合も含む。

なお、以下に説明する各実施形態では、セキュリティログが、図２に示すセキュリティセンサ２０１によって生成されるログである場合を例に挙げて説明している。しかしながら、本開示におけるセキュリティログは、車載ＳＩＥＭ（Security Information and Event Management）と呼ばれる、電子制御システム内で発生したイベントに関する情報を収集して管理する機能によって生成されるログであってもよい。

電子制御システムＳは任意のＥＣＵで構成することができる。例えば、エンジン、ハンドル、ブレーキ等の制御を行う駆動系電子制御装置、メータやパワーウインドウ等の制御を行う車体系電子制御装置、ナビゲーション装置等の情報系電子制御装置、あるいは、障害物や歩行者との衝突を防止するための制御を行う安全制御系電子制御装置が挙げられる。また、ＥＣＵ同士が並列ではなく、マスタとスレーブとに分類されていてもよい。また、電子制御システムＳに、電子制御装置同士を接続するゲートウェイＥＣＵやセントラルＥＣＵ（Ｃ－ＥＣＵ）、外部との通信を行う外部通信ＥＣＵを設けてもよい。例えば、ＥＣＵ２０ａを外部通信ＥＣＵ、ＥＣＵｃをＣ－ＥＣＵとしてもよい。また、ＥＣＵ２０同士の通信は、第三者による成りすましを防止するために、メッセージ認証が用いられてもよい。さらに、ＥＣＵ２０は、物理的に独立したＥＣＵである場合の他、仮想的に実現された仮想ＥＣＵ（あるいは、仮想マシンと呼ぶこともある。）であってもよい。

図１（ａ）や図１（ｂ）の場合、ログ判定装置１０と各ＥＣＵ２０とは、例えばＣＡＮ（Controller Area Network）、ＬＩＮ（Local Interconnect Network）といった車載通信ネットワークを介して接続されている。あるいは、Ｅｔｈｅｒｎｅｔ（登録商標）やＷｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等、有線無線を問わず任意の通信方式を用いて接続されてもよい。なお、接続とは、データのやり取りが可能な状態をいい、異なるハードウェアが有線又は無線の通信ネットワークを介して接続されている場合はもちろん、同一のハードウェア上で実現された仮想マシン同士が仮想的に接続されている場合も含む。

図１（ａ）は、電子制御システムＳの内部に独立したログ判定装置１０を設けたもの、又は電子制御システムＳを構成するＥＣＵ２０の少なくとも一つ、例えばＣ－ＥＣＵや外部通信ＥＣＵにログ判定装置１０の機能を内蔵したものである。

図１（ｂ）は、電子制御システムＳの外部にログ判定装置１０を設けたものであるが、接続の形態の視点では、実質的には図１（ａ）と同じである。

図１（ｃ）の場合も電子制御システムＳの外部にログ判定装置１０を設けたものであるが、ログ判定装置１０は車両の外部に設けられているので、接続の形態は図１（ａ）や図１（ｂ）とは異なる。ログ判定装置１０と電子制御システムＳとは、例えば、ＩＥＥＥ８０２．１１（Ｗｉ－Ｆｉ（登録商標））やＩＥＥＥ８０２．１６（ＷｉＭＡＸ（登録商標））、Ｗ－ＣＤＭＡ（Wideband Code Division Multiple Access）、ＨＳＰＡ（High Speed Packet Access）、ＬＴＥ（Long Term Evolution）、ＬＴＥ－Ａ（Long Term Evolution Advanced）、４Ｇ、５Ｇ等の無線通信方式といった通信ネットワークを介して接続されている。あるいは、ＤＳＲＣ（Dedicated Short Range Communication）を用いることができる。車両が駐車場に駐車されていたり、修理工場に収容されている場合は、無線通信方式に代えて、有線通信方式を用いることができる。例えば、ＬＡＮ（Local Area Network）やインターネット、固定電話回線を用いることができる。

図１（ｃ）の場合、ＥＣＵ２０のうち一のＥＣＵ（例えば、ＥＣＵ２０ａ）が各ＥＣＵ２０のセキュリティセンサ２０１が生成したセキュリティログを集約して、ログ判定装置１０にまとめて送信する。このときのＥＣＵ２０ａは、ＡＵＴＯＳＡＲ（AUTomotive Open System Architecture）で定めた仕様のＩＤＳＲ（Intrusion Detection System Reporter）に相当する。あるいは、ＥＣＵ２０ａは、各ＥＣＵ２０のセキュリティセンサが生成したセキュリティログを、順次ログ判定装置１０に送信してもよい。

図１（ａ）や図１（ｂ）の場合、車両でログの判定処理を行うことにより、後述する偽陽性ログであると判定されなかったセキュリティログのみを、車両の外部に設けられたサーバ装置等に送信することができる。そのため、車両とサーバ装置間の通信量を削減することができる。さらに、サーバ装置は、受信した偽陽性ログ以外のセキュリティログのみを分析すればよいため、サーバ装置におけるログの分析処理を抑制することができる。

これに対し、図１（ｃ）の場合、サーバ装置の豊富なリソースを利用してログの判定処理を実行することができる。さらに、既存の車両に新たな装置やプログラムを実装することなく、各実施形態のログ判定処理を実現することができる。

以下の各実施形態では、図１（ｃ）に示す配置の場合を例に説明する。
各実施形態では、電子制御システムＳは車両に搭載された車載システムである例を挙げて説明するが、電子制御システムＳは車載システムに限定されるものではなく、複数のＥＣＵからなる任意の電子制御システムに適用することができる。例えば、電子制御システムＳは、移動体ではなく静止体に搭載されるものであってもよい。

また、図１には図示していないが、ログ判定装置１０はさらに、当該ログ判定装置１０で判定されたセキュリティログを分析して、車両に対して行われたサイバー攻撃の分析を行う攻撃分析装置（図示せず）に接続されていてもよい。あるいは、後述するログ判定装置１０の各機能は、攻撃分析装置に内蔵された機能を指すものであってもよい。以下、サイバー攻撃を単に攻撃と称する。

なお、図１、及びこれに関する（１）の上述の説明において、実施形態１のログ判定装置１０を例に挙げて説明したが、図１に示す各配置は実施形態２のログ判定装置１１にも適用することができる。

（２）セキュリティログの詳細
図３は、ＥＣＵ２０のセキュリティセンサ２０１が生成するセキュリティログの内容の一例を示す図である。

セキュリティログは、セキュリティセンサ２０１が搭載されているＥＣＵの識別情報を示すＥＣＵ－ＩＤ（「位置情報」に相当）、セキュリティセンサの識別情報を示すセンサＩＤ、セキュリティセンサが検知したイベントの識別情報を示すイベントＩＤ（「異常情報」に相当）、イベントが検知された回数を示すカウンタ、イベントが検知された時刻を示すタイムスタンプ（「時刻情報」に相当）、及びセキュリティセンサの出力の詳細を示すコンテキストデータ、の各フィールドを有する。セキュリティログは、さらに、プロトコルのバージョンや、各フィールドの状態を示す情報を格納したヘッダを有していてもよい。

ＡＵＴＯＳＡＲで定めた仕様によれば、IdsM Instance IDがＥＣＵ－ＩＤ、Sensor Instance IDがセンサＩＤ、Event Definition IDがイベントＩＤ、Countがカウンタ、Timestampがタイムスタンプ、Context Dataがコンテキストデータ、Protocol VersionやProtocol Header がヘッダ、にそれぞれ相当する。

セキュリティセンサ２０１は、電子制御システム内の異常を検知すると、検知された異常を示すイベントＩＤを含む、図３に示すようなセキュリティログを生成する。

なお、以下に説明する各実施形態では、電子制御システム内で検知された異常を示す情報としてイベントＩＤを、異常が検知された電子制御システム内の「位置」を示す情報としてＥＣＵ－ＩＤを用いて、セキュリティログを判定する構成を説明している。しかしながら、ログ判定装置１０がセキュリティログの判定に用いる情報は、イベントＩＤ及びＥＣＵ－ＩＤに限定されるものではない。例えば、電子制御システム内で検知された異常を示す情報として、コンテキストデータに格納された情報を用いてもよい。また、異常が検知された電子制御システム内の位置を示す情報として、センサＩＤを使用してもよい。あるいは、異常がネットワークで検知された場合には、異常が発生したネットワークの識別情報を使用してもよい。

ここで、「位置」とは、例えば、個別の電子制御装置、電子制御装置に搭載される機能、ネットワークの位置である。

図３は異常が発生した場合に生成されるログの例であるが、異常が発生していない場合（例えば、イベントが成功した場合）に生成される正常ログも図３と同じ仕様としてもよい。その場合、例えば、異常が発生した場合とイベントが成功した場合とで異なるイベントＩＤを使用することで、異常ログと正常ログとを識別することができる。また、ヘッダにコンテキストデータの有無を示すフラグを設定することにより、かかるフラグを確認することで、異常ログと正常ログとを識別してもよい。

また、図３は物理的に独立したＥＣＵ２０が生成したセキュリティログであるが、仮想ＥＣＵが生成したセキュリティログであってもよい。

（３）メンテナンスによって発生するセキュリティログの事例
車両に搭載された電子制御システムＳにメンテナンスを行う場合、セキュリティセンサ２０１は、メンテナンスの内容に応じて、特定のセキュリティログを生成することが予測される。そこで、以下に、電子制御システムＳに対するメンテナンスの事例（ａ）～（ｄ）と、これらのメンテナンスによって生成されることが予測されるセキュリティログについて説明する。当然のことながら、電子制御システムＳのメンテナンスの内容や、メンテナンスによって生成されるセキュリティログは例示にすぎず、これらに限定されるものではない。

（ａ）メンテナンスの事例１（ＥＣＵの交換）
修理工場やディーラにおいて、電子制御システムＳを構成するＥＣＵ２０（例えば、ＥＣＵ２０ｃ）をＥＣＵ２０ｃ２に交換するメンテナンスの事例を説明する。ＥＣＵ２０ｃは、周期的に他のＥＣＵ２０にメッセージを送信するＥＣＵである。ＥＣＵ２０の交換では、メンテナンスの作業者は以下の（ｉ）～（ｖ）の作業を行うことが想定されている。

（ｉ）作業者は、ＥＣＵ２０ｃをＥＣＵ２０ｃ２に交換する。
（ｉｉ）作業者は、（ｉ）の作業が完了すると、ＥＣＵ２０ｃ２が正常に動作するか否かを確認するために、車両の電源を入れて、ＥＣＵ２０ｃ２の認証情報の初期値を用いて交換したＥＣＵ２０ｃ２にアクセスをする。
（ｉｉｉ）作業者は、ＥＣＵ２０ｃ２との間で共通鍵を用いたメッセージ認証を行う他のＥＣＵ２０（例えば、ＥＣＵ２０ｄ）とを同期させることにより、ＥＣＵ２０ｃ２とＥＣＵ２０ｄに新たな共通鍵を設定する。
（ｉｖ）作業者は、ＥＣＵ２０ｃ２の認証情報を、セキュリティ性の低い初期値から新たな認証情報に設定する。
（ｖ）作業者は、認証情報の変更が完了したことを確認するために、認証情報の初期値を用いてＥＣＵ２０ｃ２にアクセスをする。認証情報の初期値を用いてＥＣＵ２０ｃ２にアクセスできない場合、ＥＣＵ２０ｃ２の認証情報の変更が完了したとみなす。

上記（ｉｉ）の作業において車両の電源を入れたことで、ＥＣＵ２０ｃ２は、周期的なメッセージをＥＣＵ２０ｄに送信する。このとき、交換直後のＥＣＵ２０ｃ２と、ＥＣＵ２０ｄが有する共通鍵とは異なっているため、ＥＣＵ２０ｄのセキュリティセンサ２０１ｄは、鍵の不一致を示す異常を検知してセキュリティログ（ａ１）を生成する。
また、上記（ｖ）の作業により、ＥＣＵ２０ｃのセキュリティセンサ２０１ｃは、正常な認証情報とは異なる認証情報（認証情報の初期値）を用いてアクセスされたことを示す異常を検知して、セキュリティログ（ａ２）を生成する。

以上のとおり、ＥＣＵ２０ｃの交換するメンテナンスによって、セキュリティログ（ａ１）及び（ａ２）が生成されることが予測される。

（ｂ）メンテナンスの事例２（ソフトウェアの変更）
ＥＣＵ２０に搭載されたソフトウェアの設定を変更するメンテナンスの事例を説明する。具体的には、ＥＣＵ２０（例えば、ＥＣＵ２０ｅ）に搭載されたソフトウェアであって、周期的に他のＥＣＵ２０にメッセージを送信するソフトウェアについて、メッセージを送信する周期を変更する場合を例に挙げて説明する。

ＥＣＵ２０ｅに搭載されたソフトウェアの設定が変更されている間、当該ソフトウェアは通信を行うことができない。そのため、ＥＣＵ２０ｅに接続された他のＥＣＵ２０に搭載されたセキュリティセンサ２０１は、例えば死活監視機能を利用して、ＥＣＵ２０ｅが動作していないことを示す異常を検知し、セキュリティログ（ｂ１）を生成する。
ＥＣＵ２０ｅのソフトウェアの設定変更が完了した後、ＥＣＵ２０ｅのソフトウェアはメッセージの送信を再開する。ところが、車載ネットワーク上で送受信されるデータの通信周期は設定変更前とは異なるため、ネットワークを監視するセキュリティセンサ２０１（例えば、セキュリティセンサ２０１ｃ）は、このような通信周期の変化を異常として検知してセキュリティログ（ｂ２）を生成する。
ここで、変更後の通信周期を異常と検知しないようにセキュリティセンサ２０１ｃの設定を調整することで、セキュリティセンサ２０１ｃは通信周期の変化を異常と検知しなくなる。しかしながら、セキュリティセンサ２０１ｃにおいて設定の調整があったことを、他のセキュリティセンサ２０１（例えば、セキュリティセンサ２０１ｄ）が異常と検知して、セキュリティログ（ｂ３）を生成する。

以上のとおり、ＥＣＵ２０ｅのソフトウェアの設定を変更するメンテナンスによって、セキュリティログ（ｂ１）、（ｂ２）及び（ｂ３）が生成されることが予測される。

（ｃ）メンテナンスの事例３（ＥＣＵの追加）
ＥＣＵ２０（例えば、ＥＣＵ２０ｆ）を電子制御システムＳに追加するメンテナンスの事例を説明する。

電子制御システムＳに新たなＥＣＵ２０ｆを追加した場合、ＥＣＵ２０ｆが送信したデータが車載ネットワークを介して他のＥＣＵ２０に通信される。このデータは、ＥＣＵ２０ｆを追加するまで存在しなかったデータであるため、セキュリティセンサ２０１（例えば、２０１ｃ）は、車載ネットワーク上で過去にないデータが通信されたことを異常として検知して、セキュリティログを生成する（ｃ１）。
ここで、新たに追加したＥＣＵ２０ｆによるデータ通信を異常と検知しないように、セキュリティセンサ２０１ｃの設定を調整することで、セキュリティセンサ２０１ｃは異常を検知しなくなる。しかしながら、セキュリティセンサ２０１ｃにおいて設定に調整があったことを、他のセキュリティセンサ２０１（例えば、セキュリティセンサ２０１ｄ）が異常と検知して、セキュリティログ（ｃ２）を生成する。

以上のとおり、電子制御システムＳに新たなＥＣＵ２０を追加するメンテナンスによって、セキュリティログ（ｃ１）及び（ｃ２）が生成されることが予測される。

なお、本事例では、ＥＣＵを追加する場合のメンテナンスの事例を説明したが、ＥＣＵ２０に新たなソフトウェアを追加する場合も、同様のセキュリティログが生成されることが予測される。

（ｄ）メンテナンスの事例４（ＥＣＵの削除）
電子制御システムＳから、ＥＣＵ２０（例えば、ＥＣＵ２０ｅ）を削除するメンテナンスの事例を説明する。

電子制御システムＳからＥＣＵ２０ｅを削除した場合、セキュリティセンサ２０１ｃは、車載ネットワーク上で通信されるはずＥＣＵ２０ｅによるデータが通信されないことを異常として検知して、セキュリティログを生成する（ｄ１）。
上述した（ｃ）と同様、セキュリティセンサ２０１ｃの設定を調整することで、セキュリティセンサ２０１ｃは異常を検知しなくなる。しかしながら、セキュリティセンサ２０１ｃにおける設定に調整があったことを、他のセキュリティセンサ２０１（例えば、セキュリティセンサ２０１ｄ）が異常と検知して、セキュリティログ（ｄ２）を生成する。

以上のとおり、ＥＣＵ２０からソフトウェアを削除するメンテナンスによって、セキュリティログ（ｄ１）及び（ｄ２）が生成されることが予測される。

なお、本事例では、ＥＣＵの追加する場合のメンテナンスの事例を説明したが、ＥＣＵ２０に新たなソフトウェアを追加する場合も、同様のセキュリティログが生成されることが予測される。

２．実施形態１
（１）ログ判定装置１０の構成
図４は、本実施形態におけるログ判定装置１０の構成を示すブロック図である。ログ判定装置１０は、ログ取得部１０１、ログ保存部１０２、パターン保存部１０３、偽陽性ログ判定部１０４、情報付与部１０５、及び送信部１０７を備える。本実施形態の情報付与部１０５は、偽陽性情報付与部１０６を実現する。

ログ取得部１０１は、ＥＣＵ２０に搭載されたセキュリティセンサ２０１が生成したセキュリティログを取得する。電子制御システムＳの構成は図２、セキュリティログの内容は図３でそれぞれ説明した通りである。

ログ判定装置１０が図１（ｃ）の配置を採る場合、ログ取得部１０１は、無線通信方式を用いた通信ネットワークを介してセキュリティログを受信することにより取得する。上述したように、ログ取得部１０１は、集約された複数のセキュリティログをまとめて取得してもよく、あるいは、生成されたセキュリティログを順次取得してもよい。

ログ保存部１０２は、ログ取得部１０１が取得したログを保存する記憶部である。図５は、ログ保存部１０２に保存される情報の一例を示している。図５に示す例では、ログ保存部１０２は、セキュリティログに含まれるＥＣＵ－ＩＤ、イベントＩＤ、検知時刻に加えて、電子制御システムＳを搭載する車両の識別情報（以下、車両ＩＤ）、及び、それぞれのセキュリティログに割り当てられたログの識別情報（以下、ログＩＤ）を保存している。説明を容易にするために、図５に示すログＩＤは、車両ＩＤと、ログ取得部１０１がログを取得した順番との組み合わせで表している。

パターン保存部１０３は、電子制御システムＳの「メンテナンス」によって発生することが予測されるセキュリティログの発生パターンを保存する記憶部である。１．（３）で上述したように、電子制御システムＳをメンテナンスした場合、メンテナンスの内容に応じて、所定のセキュリティログが発生することが予測できる。

ここで、電子制御システムの「メンテナンス」とは、電子制御システムを構成する電子制御装置、電子制御装置に搭載されるソフトウェア、電子制御装置同士を接続するネットワーク等に対して何らかの変更を加えることをいい、例えば、電子制装置等の削除、追加、交換、更新等が挙げられる。

図６は、パターン保存部１０３に保存される情報の一例を示している。図６の例では、パターン保存部１０３は、メンテナンスの識別番号（以下、メンテナンスＩＤ）、発生パターン、及び予測期間を保存している。図６の発生パターンは、電子制御システムＳで検知されることが予測される異常を示す予測イベントＩＤ（「予測異常情報」に相当）と、予測される異常が検知される電子制御システム内の「位置」を示す予測ＥＣＵ－ＩＤ（「予測異常位置情報」に相当）と、予測される異常が発生する「回数」を示す予測回数と、これらのセットの番号と、を含む複数のセットと、複数のセットの発生順序からなる。また、図５に示す予測期間とは、予測される異常が最初に検知される時刻から、予測される異常が最後に検知される時刻までの予測される期間を示している。なお、図６に示す発生パターンは一例にすぎず、図６に限定されるものではない。例えば、発生パターンは、予測イベントＩＤ及び予測ＥＣＵ－ＩＤを含む複数のセットのみからなるパターンであってもよい。

「回数」とは、特定の値で定義されることはもちろん、最大値及び／又は最小値によって定義されてもよい。

例えば、図６に示すメンテナンスＩＤ［０００１］の場合の発生パターンは、ＥＣＵ２０ｃで異常ａが１回検知された後（発生順序：１）、ＥＣＵ２０ｄで異常ｂが２回検知され（発生順序：２）、その後、ＥＣＵ２０ｅで異常ｂが２回検知される（発生順序：３）、ことを示している。さらに、メンテナンスＩＤ［０００１］の場合の予測期間は２０分であるが、これは、ＥＣＵ２０ｃに異常ａが検知される時刻から、ＥＣＵ２０ｅで２回目の異常ｂが検知される時刻までの予測される期間が２０分以内であることを示している。

また、図６に示すメンテナンスＩＤ［０００２］の場合の発生パターンは、ＥＣＵ２０ａで異常ｃが２回以上検知される、又は、ＥＣＵ２０ｂで異常ｃが２回以上検知された後（発生順序：１）、ＥＣＵ２０ｄで異常ｃが２～４回検知され、且つ、ＥＣＵ２０ｅで異常ｃが２～４回検知され（発生順序：２）、その後、ＥＣＵ２０ｃで異常ｂが最大５回検知される（発生順序：３）、ことを示している。さらに、メンテナンスＩＤ［０００２］の場合の予測期間は３０分であるが、これは、ＥＣＵ２０ａ又はＥＣＵ２０ｂで最初の異常ｃが検知される時刻から、ＥＣＵ２０ｃで異常ｂが最後に検知される時刻までの予測される期間が３０分以内であることを示している。

パターン保存部１０３はさらに、電子制御システムＳのメンテナンスによって発生しないことが予測されるセキュリティログ（以下、不検知ログと称する）に関する情報を保存してもよい。図７は、パターン保存部１０３に保存される不検知ログに関する情報の一例を示している。図７の例では、パターン保存部１０３は、メンテナンスＩＤと、メンテナンスによって異常が検知されないことが予測される電子制御システム内の「位置」を示す不検知ＥＣＵ－ＩＤ（「予測不検知位置情報」に相当）と、不検知ＥＣＵ－ＩＤが示すＥＣＵで検知されないことが予測される異常を示す不検知イベント種別（「予測不検知異常情報」に相当）と含むセットを保存している。

例えば、図７に示すメンテナンスＩＤ［０００１］の場合、図６に示すメンテナンスＩＤ［０００１］の予測期間である２０分以内に、ＥＣＵ２０ａで異常ｃが検知されないことを示している。また、メンテナンスＩＤ［０００２］の場合、メンテナンスＩＤ［０００２］の予測期間である３０分以内に、ＥＣＵ２０ａで異常ａが検知されず、且つ、ＥＣＵ２０ｂで異常ａが検知されないことを示している。

図６、図７では、電子制御システム内の位置を示す情報として、ＥＣＵの識別情報（すなわち、予測ＥＣＵ－ＩＤ）を用いている。しかしながら、発生パターンは、電子制御システム内の位置を示す情報として、セキュリティセンサやネットワークの識別情報を用いてもよい。

なお、メンテナンスによって発生するパターンは、車両の種別（例えば車種、年式、モデル）によって異なる可能性がある。そのため、パターン保存部１０３は、車両の種別毎に発生パターンや予測期間を保存していてもよい。

パターン保存部１０３に保存される発生パターンや予測期間は、車両の製造メーカ、ディーラ、整備工場等によって設定される。例えば、発生パターンや予測期間は、ディーラ等におけるメンテナンスの作業完了目安時間の設定及びメンテナンス手順の作成のため実施する試験的な作業において記録したログに基づいて設定されてもよい。発生パターンや予測期間はさらに、実際にサイバー攻撃を受けた際に発生した、又は実際のサイバー攻撃を模した試験的な攻撃の際に発生した、セキュリティログログに基づいて設定されてもよい。例えば、メンテナンスによって発生することが予測される発生パターンと一致するセキュリティログであっても、サイバー攻撃を受けた際に発生することが予測されるパターンと一致するセキュリティログについては、偽陽性ログであると判定されることが回避されるように、発生パターンや予測期間を設定してもよい。

偽陽性ログ判定部１０４は、ログ保存部１０３に保存した複数のセキュリティログ及び複数のセキュリティログの発生順序と、パターン保存部１０３に保存されている発生パターンとを比較して、ログ取得部１０１が取得した複数のセキュリティログが、メンテナンスによって発生した異常が検知されたことにより生成された偽陽性ログであるか否かを判定して、判定結果を出力する。ここで、偽陽性ログとは、電子制御システムＳが攻撃を受けたことによって発生する異常とは異なる異常をセキュリティセンサが検知して生成されたセキュリティログを指す。本開示では、電子制御システムＳのメンテナンスによって発生した異常をセキュリティセンサが検知して生成した偽陽性ログを判定する。

例えば、偽陽性ログ判定部１０４は、図５に示すセキュリティログの内容と、図６に示す発生パターンとを比較する。図５、図６によれば、図５に示すログＩＤ［０１－２］のＥＣＵ－ＩＤ及びイベントＩＤは、図６に示すメンテナンスＩＤ［０００１］のセット番号［１］の予測ＥＣＵ－ＩＤ及び予測イベントＩＤと一致する。ログＩＤ［０１－３］、［０１－４］のＥＣＵ－ＩＤ及びイベントＩＤ、並びにセキュリティログの数（すなわち、２つ）は、セット番号［２］の予測ＥＣＵ－ＩＤ及び予測イベントＩＤ、並びに予測回数と一致する。また、ログＩＤ［０１－６］、［０１－７］のＥＣＵ－ＩＤ及びイベントＩＤ、並びにセキュリティログの数（すなわち、２つ）は、セット番号［３］の予測ＥＣＵ－ＩＤ及び予測イベントＩＤ、並びに予測回数と一致する。また、ログＩＤ［０１－２］、［０１－３］及び［０１－４］、［０１－６］及び［０１－７］の発生順序は、メンテナンスＩＤ［０００１］の発生パターンの発生順序と一致する。

偽陽性ログ判定部１０４はさらに、上述したセキュリティログのうち、検知時刻が最も早いログＩＤ［０１－２］の検知時刻（10:00:00）から、検知時刻が最も遅いログＩＤ［０１－７］の検知時刻（10:14:00）までの期間と、図６に示す予測期間とを比較する。この場合、検知時刻（10:00:00）から（10:14:00）までの期間は予測期間内である。

偽陽性ログ判定部１０４はさらに、最も早い検知時刻から最も遅い検知時刻までの間に、不検知ログに相当するセキュリティログが検知されたか否かを判定する。図５によれば、図６に示す不検知ログ（すなわち、ＥＣＵ２０ａで異常ｃ）に相当するセキュリティログは検知されていない。

そこで、偽陽性ログ判定部１０４は、ログＩＤ［０１－２］、［０１－３］、［０１－４］、［０１－６］及び［０１－７］のセキュリティログは、偽陽性ログであると判定する。

これに対し、ログ保存部１０２に保存されているセキュリティログのうち、上述したログＩＤ以外のセキュリティログは、パターン保存部１０３に保存されている発生パターンと一致しない。そのため、偽陽性ログ判定部１０４は、これらのセキュリティログは、偽陽性ログではない、すなわち、電子制御システムＳに発生した異常が検知されたことにより生成されたセキュリティログであると判定する。

本実施形態の偽陽性ログ判定部１０４は、周期的に、又は所定のイベントが発生したタイミングで偽陽性ログの判定処理を行う。所定のイベントが発生するタイミングとは、例えば、車両の電源を入れる又は切るタイミング、車両が特定の挙動をしたタイミング、あるいは、ログ取得部１０１が新たなセキュリティログを取得したタイミング等が挙げられる。

なお、図４に示すブロック図では、偽陽性ログ判定部１０４は、判定結果を、後述する陽性情報付与部１０５に出力する構成を例示しているが、偽陽性ログ判定部１０４は、例えば、ＲＡＭ（Random Access Memory）等のメモリ（図示せず）に判定結果を出力してもよい。

情報付与部１０５は、偽陽性ログ判定部１０４から出力された判定結果に基づいて、セキュリティログに情報を付与する。本実施形態の情報付与部１０５は、偽陽性情報付与部１０６を実現する。

偽陽性情報付与部１０６は、偽陽性ログ判定部１０４から出力された判定結果に基づいて、偽陽性ログを特定する情報である「偽陽性情報」をセキュリティログに付与する。なお、偽陽性ログ判定部１０４の判定結果がＲＡＭ等のメモリ（図示せず）に出力され保存されている場合には、偽陽性情報付与部１０４は、メモリに保存されている判定結果に基づいて、偽陽性情報をセキュリティログに付与する。

ここで、「偽陽性情報」とは、セキュリティログが偽陽性であることを示す情報はもちろん、セキュリティログが偽陽性ではないことを示す情報であってもよい。

例えば、偽陽性情報付与部１０６は、偽陽性ログ判定部１０４が偽陽性ログであると判定したセキュリティログに、当該セキュティログが偽陽性ログであることを示すフラグを偽陽性情報として付与する。偽陽性情報は、例えば、図３に示すセキュリティログのコンテキストデータに格納されることで付与されてもよい。このように、セキュリティログに対して偽陽性情報としてフラグを付与することで、攻撃によって生成されたセキュリティログと、メンテナンスに起因して生成されたセキュリティログとを容易に判別することが可能となる。

以下に示す実施形態では、偽陽性情報付与部１０６が、偽陽性ログであると判定されたセキュリティログに対して偽陽性情報を付与する場合を説明しているが、偽陽性情報付与部１０６は、偽陽性ログ判定部１０４が偽陽性ログではないと判定したセキュリティログに対して、偽陽性情報を付与するものであってもよい。この場合の偽陽性情報は、当該情報が付与されたセキュリティログが偽陽性ログではないことを示す情報を示している。

送信部１０７は、偽陽性ログであると判定されていないセキュリティログ、及び偽陽性ログであると判定されたセキュリティログを送信する。例えば、送信部１０７は、これらのセキュリティログを分析する攻撃分析装置（図示せず）にセキュリティログを送信する。セキュリティログを受信する攻撃分析装置では、セキュリティログに付与された偽陽性情報に基づいて、セキュリティログが偽陽性ログであるか否かを判断することができる。

あるいは、送信部１０７は、偽陽性であると判定されていないセキュリティログのみを送信してもよい。図１（ａ）及び図１（ｂ）に示すログ判定装置１０の場合、偽陽性ログであると判定されていないセキュリティログのみを、車両の外部に設けられた攻撃分析装置（図示せず）に送信することで、車両と攻撃分析装置との間の通信量を削減することができる。

なお、本実施形態では、送信部１０７は、ログ判定装置１０からセキュリティログを送信する構成を説明している。しかしながら、送信部１０７は、セキュリティログに代えて、又は、セキュリティログに加えて、偽陽性ログ判定部１０４による判定結果を送信してもよい。

（２）ログ判定装置１０の動作
図８、図９を参照して、ログ判定装置１０の動作を説明する。図８、図９は、ログ判定装置１０で実行されるログ判定方法を示すだけでなく、ログ判定装置１０で実行可能なログ判定プログラムの処理手順を示すものでもある。そして、これらの処理は、図８、図９に示した順序には限定されない。すなわち、あるステップでその前段のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。後述する実施形態２の図１３、図１４についても同様である。

ログ取得部１０１は、電子制御システムＳを構成する複数のＥＣＵ２０のそれぞれに搭載されたセキュリティセンサ２０１が異常を検知した場合に生成するセキュリティログを取得する（Ｓ１０１）。
ログ保存部１０２は、ログ取得部１０１が取得したセキュリティログを保存する（Ｓ１０２）。
ここで、偽陽性ログ判定部１０４は、ログの判定タイミングである場合（Ｓ１０３：Ｙ）、例えば、周期的なタイミングでログの判定処理を行う場合であって、前回にログを判定してから一定時間が経過した場合に、ログ保存部１０２に保存されたセキュリティログが偽陽性ログであるか否かを判定する（Ｓ１０４）。Ｓ１０４に処理の詳細は後述する。

Ｓ１０４での判定結果に基づいて、セキュリティログが偽陽性ログであると判定した場合（Ｓ１０５：Ｙ）、偽陽性情報付与部１０６は、偽陽性ログであると判定されたセキュリティログに偽陽性情報を付与する（Ｓ１０６）。
次いで、送信部１０７は、偽陽性ログであると判定されていないセキュリティログ、及び、偽陽性ログであると判定され、偽陽性情報が付与されたセキュリティログを送信する（Ｓ１０７）。

次に、図９を参照して、Ｓ１０４における、セキュリティログが偽陽性ログであるか否かの判定処理について説明する。なお、図９には明示していないが、図９の処理は、パターン保存部１０３に保存されている発生パターンの数だけ繰り返して実行される。

偽陽性ログ判定部１０４は、ログ保存部１０２に保存されている複数のセキュリティログ、及びその発生順序と、パターン保存部１０３に保存されている発生パターンとを比較する（Ｓ２０１）。
セキュリティログと発生パターンとを比較した結果、複数のセキュリティログ及びその発生順序と、発生パターンとが一致している場合（Ｓ２０２：Ｙ）、偽陽性ログ判定部１０４はさらに、複数のセキュリティログのうち最も早い時刻情報から最も遅い時刻情報までの期間と、発生パターンに設定された予測期間とを比較する（Ｓ２０３）。
そして、最も早い時刻情報から最も遅い時刻情報までの期間が予測期間内である場合（Ｓ２０３：Ｙ）、偽陽性ログ判定部１０４はさらに、最も早い時刻情報から最も遅い時刻情報までの期間に検知されたセキュリティログに、パターン保存部１０３に保存されている不検知ログに相当するセキュリティログが含まれているか否かを判定する（Ｓ２０４）。
ここで、不検知ログに相当するセキュリティログが含まれていない場合（Ｓ２０４：Ｎ）、偽陽性ログ判定部１０４は、複数のセキュリティログが偽陽性ログであると判定する（Ｓ２０５）。
これに対し、複数のセキュリティログ及びその発生順序と発生パターンとが一致しない場合（Ｓ２０２：Ｎ）、最も早い時刻情報から最も遅い時刻情報までの期間が予測期間内ではない場合（Ｓ２０３：Ｎ）、又は、複数のセキュリティログに不検知ログに相当するセキュリティログが含まれている場合（Ｓ２０４：Ｙ）には、偽陽性ログ判定部１０４は、複数のセキュリティログが偽陽性ログではないと判定する（Ｓ２０６）。
そして、偽陽性ログ判定部１０４は、判定結果を出力する（Ｓ２０７）。

（３）小括
以上、本実施形態によれば、車両のメンテナンスに起因して生成されたセキュリティログを偽陽性ログであると判定することができる。これにより、セキュリティログを用いて攻撃を分析する装置では、車両のメンテナンスに起因して生成されたセキュリティログを除くセキュリティログを用いて攻撃の分析をすることができるため、攻撃の分析精度を高めることができる。
さらに、本実施形態によれば、偽陽性ログであると判定されたセキュリティログを送信しないことで、ログ判定装置と攻撃分析装置との間の通信量を削減することができる。

３．実施形態２
本実施形態では、実施形態１とは異なる方法を用いて、セキュリティログが偽陽性ログであるか否かを判定する方法を説明する。図１０は、本実施形態のログ判定装置１１の構成を示すブロック図である。実施形態１のログ判定装置１０と同じ構成は同じ符号を付している。本実施形態のログ判定装置１１について、実施形態１との相違点を中心に以下に説明する。

（１）ログ判定装置１１の構成
本実施形態の偽陽性ログ判定部１０４は、ログ取得部１０１がセキュリティログを取得すると、セキュリティログが偽陽性ログであるか否かの判定を順次行う。なお、上述した実施形態１において、ログの判定を行うタイミングの一例として、ログ取得部１０１が新たなセキュリティログを取得したタイミングを説明した。実施形態１では、偽陽性ログ判定部１０４が、ログ保存部１０２に保存されている複数のセキュリティログ及びその発生順序と発生パターンとを比較し、完全に一致するか否かに応じて偽陽性ログであるか否かを判定したのに対し、本実施形態では、新たに取得したセキュリティログ及びログ保存部１０２に保存されているセキュリティログ及びその発生順序と発生パターンの一部とが一致するか否かを、新たにセキュリティログを取得したタイミングで判定するものである。

本実施形態の偽陽性ログ判定部１０４は、新たに取得したセキュリティログ（以下、取得セキュリティログ）及びログ保存部１０２に保存されているセキュリティログ（以下、保存セキュリティログ）、並びにその発生順序と、発生パターンの一部とが一致するか否かを判定する。そして、取得セキュリティログ及び保存セキュリティログ、並びにそれらの発生順序と、発生パターンの一部とが一致している場合には、取得セキュリティログ及び保存セキュリティログ、並びにその発生順序と、発生パターンとのマッチング度を算出する。

偽陽性ログ判定部１０４は、算出したマッチング度が１００％である場合、取得セキュリティログ及び保存セキュリティログが偽陽性ログであると判定する。
これに対し、偽陽性ログ判定部１０４は、予測期間内にマッチング度が１００％にならない場合、取得セキュリティログ及び保存セキュリティログは、偽陽性ログではないと判定する。

本実施形態の情報付与部１０５は、偽陽性情報付与部１０６に加えて、仮情報付与部１１１を実現する。仮情報付与部付与部１１１は、偽陽性ログ判定部１０４が算出したマッチング度が、所定の閾値「より」も高い場合には、取得セキュリティログ及び保存セキュリティログに、偽陽性ログである可能性があることを示す仮情報を付与する。

「より」とは、比較対象と同じ値を含む場合及び含まない場合の両方が含まれる。

図１１、図１２を参照して、本実施形態の偽陽性ログ判定部１０４及び仮情報付与部１１１についてさらに詳しく説明する。図１１、図１２は、取得セキュリティログ及び保存セキュリティログと発生パターンとの比較と、そのマッチング度を示している。図１１、図１２の四角はセキュリティログを示しており、白い四角はログ取得部１０１が新たに取得したセキュリティログを、斜線の四角はログ保存部１０２に保存されているセキュリティログを表している。また、以下に示す例では、マッチング度の閾値が７０％であるとする。

図１１（ａ）は、ログ取得部１０１が、ＥＣＵ２０ｃで異常ａが検知されたことを示すログＡを取得した状態を示している。ログＡと、図５に示すメンテナンスＩＤ［０００１］の発生パターンの一部は一致している。そのため、偽陽性ログ取得部１０４は、マッチング度を算出する。この例では、メンテナンスＩＤ［０００１］の発生パターンは、合計５つのセット、すなわち、ＥＣＵ２０ｃと異常ａのセットが１つ、ＥＣＵ２０ｄと異常ｂのセットが２つ、及びＥＣＵ２０ｅと異常ｂのセットが２つ、を含んでいる。そのため、５つのセットのうち、１つのセットが一致しているためマッチング度は２０％となる。このマッチング度は閾値以下である。

図１１（ｂ）は、ログ取得部１０１が、ＥＣＵ２０ｄで異常ｂが検知されたことを示すログＢを取得した状態を示している。ログＡ及びログＢと、メンテナンスＩＤ［０００１］の発生パターンの一部は一致しているため、偽陽性ログ取得部１０４は、マッチング度を算出する。図１１（ｂ）でマッチング度は４０％であり、閾値以下である。同様に、図１１（ｃ）は、ログ取得部１０１が、ＥＣＵ２０ｄで異常ｂが検知されたことを示すログＣを取得した状態を示している。ログＡ～Ｃと、メンテナンスＩＤ［０００１］の発生パターンの一部は一致しているため、偽陽性ログ取得部１０４は、マッチング度を算出する。図１１（ｃ）でマッチング度は６０％であり、閾値以下である。

図１１（ｄ）は、ログ取得部１０１が、ＥＣＵ２０ｅで異常ｂが検知されたことを示すログＤを取得した状態を示している。ログＡ～Ｄと、メンテナンスＩＤ［０００１］の発生パターンの一部は一致しているため、偽陽性ログ取得部１０４は、マッチング度を算出する。図１１（ｄ）でマッチング度は８０％であり、マッチング度の閾値よりも高い。そこで、仮情報付与部１１１は、ログＡ～Ｄに仮情報を付与する。そして、図１１（ｅ）は、ログ取得部１０１が、ＥＣＵ２０ｅで異常ｂが検知されたことを示すログＥを取得した状態を示している。ログＡ～Ｅと、メンテナンスＩＤ［０００１］の発生パターンは一致しているため、偽陽性ログ取得部１０４は、マッチング度を算出する。図１１（ｅ）でのマッチング度は１００％である。そのため、偽陽性ログ判定部１０４は、ログＡ～Ｅは偽陽性ログであると判定する。そして、偽陽性情報付与部１１６は、ログＡ～Ｅに偽陽性情報を付与する。

図１２（ａ）～図１２（ｄ）は、図１１（ａ）～図１１（ｄ）と同じであるが、図１２（ｅ）は図１１（ｅ）とは異なっている。図１２（ｅ）では、ログＥに代えて、ＥＣＵ２０ａで異常ｃが検知されたことを示すログＦを取得した状態を示している。図６によれば、ＥＣＵ２０ａで異常ｃが検知されたことを示すログは、メンテナンスＩＤ［０００１］の不検知ログに相当する。そのため、図１２（ｅ）の場合、偽陽性ログ判定部１０４は、ログＡ～Ｆは偽陽性ログではないと判定する。そして、偽陽性ログ判定部１０４は、図１２（ｄ）で付与した仮情報を削除する。なお、図１２（ｅ）は、不検知ログを取得した場合を例に挙げて説明しているが、ログＡを取得した時刻から予測期間内に、図１１（ｅ）のログＥに相当するログを取得しない場合も同様である。

（２）ログ判定装置１１の動作
図１３、図１４を参照して、ログ判定装置１１の動作を説明する。ログ判定装置１０と共通の処理については、図８又は図９と同じ符号を付している。

図１３は、ログ取得部１０１がセキュリティログを取得してから、セキュリティログが偽陽性ログであるか否かを判定し、セキュリティログを送信するまでの一連の処理を示している。図８とは異なり、図１３では、セキュリティログの判定タイミングであるか否かを判定する処理が含まれておらず、Ｓ１０１においてログ取得部１０１がセキュリティログを取得し、Ｓ１０２において取得したセキュリティログを保存すると、常に、偽陽性ログ判定部１０４はセキュリティログが偽陽性ログであるか否かの判定（Ｓ１０４）を行う。

次に、図１４を参照して、図１３のＳ１０４における、セキュリティログが偽陽性ログであるか否かの判定処理について説明する。
偽陽性ログ判定部１０４は、図１３のＳ１０１で取得したセキュリティログ（すなわち、取得セキュリティログ）及びログ保存部１０２に保存されている保存セキュリティログ、並びにそれらの発生順序と、発生パターンとを比較する（Ｓ３０１）。
取得セキュリティログ及び保存セキュリティログ、並びにその発生順序と、発生パターンの一部とが一致している場合（Ｓ３０２：Ｙ）、偽陽性ログ判定部１０４はさらに、保存セキュリティログのうち最も早い時刻情報から、取得セキュリティログの時刻情報までの期間と、発生パターンに設定された予測期間とを比較する（Ｓ３０３）。
そして、最も早い時刻情報から取得セキュリティログの時刻情報までの期間が予測期間内である場合（Ｓ３０３：Ｙ）、偽陽性ログ判定部１０４はさらに、最も早い時刻情報から取得セキュリティログの時刻情報までに検知されたセキュリティログに、不検知ログに相当するセキュリティログが含まれているかを判定する（Ｓ３０４）。

不検知ログに相当するセキュリティログが含まれていない場合（Ｓ３０４：Ｎ）、偽陽性ログ判定部１０４は、取得セキュリティログ及び保存セキュリティログと、発生パターンとのマッチング度を算出する（Ｓ３０５）。
ここで、算出したマッチング度が１００％である場合（Ｓ３０６）、取得セキュリティログ及び保存セキュリティログが偽陽性ログであると判定する（Ｓ３０７）。
一方、算出したマッチング度が１００％ではない場合、偽陽性ログ判定部１０４はさらに、マッチング度が閾値よりも高いか否かを判定する（Ｓ３０６）。
マッチング度が閾値よりも高い場合、仮情報付与部１１１は、取得セキュリティログ及び保存セキュリティログに仮情報を付与（Ｓ３０９）し、図１３の処理に戻る。
これに対し、マッチング度が閾値以下の場合、図１３のＳ１０１の処理に戻る。

保存セキュリティログの最も早い時刻情報から取得セキュリティログの時刻情報までの期間が予測期間内ではない場合（Ｓ３０３：Ｎ）、又は、不検知ログに相当するセキュリティログが含まれている場合（Ｓ３０４：Ｙ）には、偽陽性ログ判定部１０４は、判定したセキュリティログに仮情報が付与されているか否かを判定する（Ｓ３１０）。
ここで、セキュリティログに仮情報が付与されている場合には、当該仮情報を削除する（Ｓ３１１）。
そして、偽陽性ログ判定部１０４は、取得セキュリティログ及び保存セキュリティログが偽陽性ログではないと判定する（Ｓ３１２）。

また、Ｓ３０２において、取得セキュリティログ及び保存セキュリティログが発生パターンの一部と一致しない場合（Ｓ３０２：Ｎ）にも、偽陽性ログ判定部１０４は、取得セキュリティログ及び保存セキュリティログが偽陽性ログではないと判定する（Ｓ３１２）。

そして、偽陽性ログ判定部１０４は、セキュリティログが偽陽性ログであるか否かの判定結果を出力する（Ｓ３０８）。

（３）小括
以上、本実施形態によれば、発生パターンに対応する全てのセキュリティログが取得されていない状態であっても、セキュリティログが偽陽性ログである可能性があるか否かを判定することができる。

４．総括
以上、本発明の各実施形態におけるログ判定装置等の特徴について説明した。

各実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。

実施形態の説明に用いたブロック図は、装置の構成を機能毎に分類及び整理したものである。それぞれの機能を示すブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明、及び当該方法を実現するプログラムの発明の開示としても把握できるものである。

各実施形態に記載した処理、フロー、及び方法として把握できる機能ブロック、については、一のステップでその前段の他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

各実施形態、及び特許請求の範囲で使用する、第１、第２、乃至、第Ｎ（Ｎは整数）、の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。

各実施形態は、車両に搭載される電子制御装置のセキュリティセンサで生成されたセキュリティログを判定するための車両用のログ判定装置を前提としているが、本発明は、特許請求の範囲で特に限定する場合を除き、車両用以外の専用又は汎用の装置も含むものである。

また、本発明のログ判定装置の形態の例として、以下のものが挙げられる。
部品の形態として、半導体素子、電子回路、モジュール、マイクロコンピュータが挙げられる。
半完成品の形態として、電子制御装置（ＥＣＵ（Electric Control Unit））、システムボードが挙げられる。
完成品の形態として、携帯電話、スマートフォン、タブレット、パーソナルコンピュータ（ＰＣ）、ワークステーション、サーバが挙げられる。
その他、通信機能を有するデバイス等を含み、例えばビデオカメラ、スチルカメラ、カーナビゲーションシステムが挙げられる。

またログ判定装置に、アンテナや通信用インターフェースなど、必要な機能を追加してもよい。

本発明のログ判定装置は、特にサーバ側で用いられることにより、各種サービスの提供を目的とするために用いられることが想定される。かかるサービスの提供に伴い、本発明のログ判定装置が使用され、本発明の方法が使用され、又は／及び本発明のプログラムが実行されることになる。

加えて、本発明は、各実施形態で説明した構成及び機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記録媒体に記録した本発明を実現するためのプログラム、及びこれを実行可能な専用又は汎用ＣＰＵ及びメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。

専用や汎用のハードウェアの非遷移的実体的記録媒体（例えば、外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ／ＢＤ等）、又は内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記録媒体を介して、あるいは記録媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。

本発明のログ判定装置は、主として自動車に搭載された電子制御システムに搭載された電子制御装置のセキュリティセンサが生成したセキュリティログを判定する装置を対象としているが、自動車に搭載されない通常のシステムや装置で生成されたログを分析する装置を対象としてもよい。

１ ログ判定システム、１０（１１） ログ判定装置、１０１ ログ取得部、１０３ パターン保存部、１０４ 偽陽性ログ判定部、１０６ 偽陽性情報付与部、１０７ 送信部、１１１ 仮情報付与部、２０１ セキュリティセンサ、２０２ ログ送信部

Claims (13)

1. 電子制御システム内で検知された異常を示す異常情報と、前記異常が検知された前記電子制御システム内の位置を示す位置情報と、をそれぞれ含む複数のセキュリティログを取得するログ取得部（１０１）と、
   前記電子制御システムのメンテナンスによって発生することが予測されるセキュリティログの発生パターンであって、前記電子制御システムで検知されることが予測される異常を示す予測異常情報と、前記予測される異常が検知される前記電子制御システム内の位置を示す予測異常位置情報とをそれぞれ含む複数のセットからなる前記発生パターンを保存するパターン保存部（１０３）と、
   前記複数のセキュリティログと、前記発生パターンとを比較して、前記複数のセキュリティログが前記メンテナンスによって発生した異常が検知されたことにより生成された偽陽性ログであるか否かを判定し、判定結果を出力する、偽陽性ログ判定部（１０４）と、
   を備える、ログ判定装置（１０、１１）。
2. 前記発生パターンは、前記複数のセットに加えて、前記複数のセットの発生順序からなり、
   前記偽陽性ログ判定部は、前記複数のセキュリティログ及び前記複数のセキュリティログの発生順序と、前記発生パターンとを比較して、前記複数のセキュリティログが前記偽陽性ログであるか否かを判定する、
   請求項１記載のログ判定装置。
3. 前記複数のセキュリティログはさらに、前記異常が検知された時刻を示す時刻情報をそれぞれ含んでおり、
   前記パターン保存部はさらに、前記予測される異常が最初に検知される時刻から前記予測される異常が最後に検知される時刻までの予測される期間を示す予測期間を保存しており、
   前記偽陽性ログ判定部はさらに、前記時刻情報のうち最も早い時刻情報である第１の時刻情報から最も遅い時刻情報である第２の時刻情報までの期間と、前記予測期間とを比較して、前記複数のセキュリティログが前記偽陽性ログであるか否かを判定する、
   請求項１記載のログ判定装置。
4. 前記複数のセットはさらに、前記予測される異常が発生する回数を示す予測回数をそれぞれ含んでおり、
   前記偽陽性ログ判定部は、前記複数のセキュリティログのうち前記異常情報及び前記位置情報が共通しているセキュリティログの数と、前記予測回数とを比較して、前記複数のセキュリティログが偽陽性ログであるか否かを判定する、
   請求項１記載のログ判定装置。
5. 前記パターン保存部はさらに、前記メンテナンスによって異常が検知されないことが予測される前記電子制御システム内の位置を示す予測不検知位置情報と、前記予測不検知位置情報が示す位置で検知されないことが予測される異常を示す予測不検知異常情報と、を保存しており、
   前記偽陽性ログ判定部はさらに、前記複数のセキュリティログと、前記予測不検知異常情報及び前記予測不検知位置情報とを比較して、前記複数のセキュリティログが前記偽陽性ログであるか否かを判定する、
   請求項１記載のログ判定装置。
6. 当該ログ判定装置はさらに、前記判定結果に基づいて、前記偽陽性ログを特定する偽陽性情報を前記複数のセキュリティログに付与する偽陽性情報付与部（１０６）と、
   前記偽陽性情報が付与された前記セキュリティログを送信する送信部（１０７）と、を備える、
   請求項１記載のログ判定装置。
7. 前記偽陽性ログ判定部はさらに、前記複数のセキュリティログと、前記発生パターンと、のマッチング度を算出し、
   当該ログ判定装置はさらに、
   前記マッチング度が閾値よりも高い場合に、前記複数のセキュリティログが前記偽陽性ログである可能性があることを示す仮情報を前記複数のセキュリティログに付与する仮情報付与部（１１１）を備える、
   請求項１記載のログ判定装置。
8. 前記複数のセキュリティログはさらに、前記異常が検知された時刻を示す時刻情報をそれぞれ含んでおり、
   前記パターン保存部はさらに、前記予測される異常が最初に検知される時刻から前記予測される異常が最後に検知される時刻までの予測される期間を示す予測期間を保存しており、
   前記時刻情報のうち最も早い時刻情報から前記予測期間が経過するまでに前記マッチング度が１００％にならない場合、前記偽陽性ログ判定部は、前記複数のセキュリティログは前記偽陽性ログではないと判定し、前記仮情報を削除する、
   請求項７記載のログ判定装置。
9. 前記電子制御システム及び当該ログ判定装置は、移動体に搭載されている、
   請求項１～８のいずれかに記載のログ判定装置。
10. 前記電子制御システムは、移動体に搭載されており、
    当該ログ判定装置は、前記移動体の外部に設けられている、
    請求項１～８のいずれかに記載のログ判定装置。
11. ログ判定装置（１０、１１）で実行されるログ判定方法であって、
    前記ログ判定装置は、電子制御システムのメンテナンスによって発生することが予測されるセキュリティログの発生パターンであって、前記電子制御システムで検知されることが予測される異常を示す予測異常情報と、前記予測される異常が検知される前記電子制御システム内の位置を示す予測異常位置情報とをそれぞれ含む複数のセットからなる前記発生パターンを保存するパターン保存部（１０３）を備え、
    当該ログ判定方法は、
    前記電子制御システム内で検知された異常を示す異常情報と、前記異常が検知された前記電子制御システム内の位置を示す位置情報と、をそれぞれ含む複数のセキュリティログを取得し（Ｓ１０１）、
    前記複数のセキュリティログと、前記発生パターンとを比較して、前記複数のセキュリティログが前記メンテナンスによって発生した異常が検知されたことにより生成された偽陽性ログであるか否かを判定し、判定結果を出力する（Ｓ１０４）、
    ログ判定方法。
12. ログ判定装置（１０、１１）で実行可能なログ判定プログラムであって、
    前記ログ判定装置は、電子制御システムのメンテナンスによって発生することが予測されるセキュリティログの発生パターンであって、前記電子制御システムで検知されることが予測される異常を示す予測異常情報と、前記予測される異常が検知される前記電子制御システム内の位置を示す予測異常位置情報とをそれぞれ含む複数のセットからなる前記発生パターンを保存するパターン保存部（１０３）を備え、
    当該ログ判定プログラムは、前記ログ判定装置において、
    前記電子制御システム内で検知された異常を示す異常情報と、前記異常が検知された前記電子制御システム内の位置を示す位置情報と、をそれぞれ含む複数のセキュリティログを取得し（Ｓ１０１）、
    前記複数のセキュリティログと、前記発生パターンとを比較して、前記複数のセキュリティログが前記メンテナンスによって発生した異常が検知されたことにより生成された偽陽性ログであるか否かを判定し、判定結果を出力する（Ｓ１０４）、
    ログ判定プログラム。
13. 電子制御システム（Ｓ）とログ判定装置（１０、１１）とを有するログ判定システム（１）であって、
    前記電子制御システムは、
    前記電子制御システム内で異常を検知した場合に、前記異常を示す異常情報と、前記異常が検知された前記電子制御システム内の位置を示す位置情報と、を含むセキュリティログを生成するログ生成部（２０１）と、
    前記セキュリティログを前記ログ判定装置に送信するログ送信部（２０２）と、を備え、
    前記ログ判定装置は、
    前記ログ送信部から送信された複数のセキュリティログを取得するログ取得部（１０１）と、
    前記電子制御システムのメンテナンスによって発生することが予測されるセキュリティログの発生パターンであって、前記電子制御システムで検知されることが予測される異常を示す予測異常情報と、前記予測される異常が検知される前記電子制御システム内の位置を示す予測異常位置情報とをそれぞれ含む複数のセットからなる前記発生パターンを保存するパターン保存部（１０３）と、
    前記複数のセキュリティログと、前記発生パターンとを比較して、前記複数のセキュリティログが前記メンテナンスによって発生した異常が検知されたことにより生成された偽陽性ログであるか否かを判定し、判定結果を出力する、偽陽性ログ判定部（１０４）と、を備える、
    ログ判定システム。