(57)【要約】      （修正有）【課題】電子制御装置に異常が発生した場合に、異常発生前に定期的にログを収集する周期よりも短い周期で異常ログを収集することにより、異常分析に必要な異常ログが失われる可能性を低減する。【解決手段】非セキュア領域とセキュア領域とを有する電子制御装置１は、非セキュア領域に、電子制御装置に発生した異常を検出し、異常を示す異常ログを生成するとともに、異常を検出したことを示す通知をセキュア領域に送信する監視部１１と、異常ログおよび電子制御装置が取得するその他のログである通常ログを保存する第１のメモリ２０と、を有し、セキュア領域に、第１のメモリから、通知の受信前は第１の周期で通常ログを収集し、通知の受信後は第１の周期よりも短い第２の周期で異常ログを収集するログ収集部４１と、ログ収集部が収集した通常ログおよび異常ログを保存する第２のメモリ５０と、を有する。【選択図】図１
2020129238.tif 000002
【特許請求の範囲】
【請求項１】
非セキュア領域とセキュア領域とを有する電子制御装置（１）であって、
前記非セキュア領域は、
当該電子制御装置に発生した異常を検出し、前記異常を示す異常ログを生成するとともに、前記異常を検出したことを示す通知を前記セキュア領域に送信する監視部（１１）と、
前記異常ログおよび当該電子制御装置が取得するその他のログである通常ログを保存する第１のメモリ（２０）と、
を有し、
前記セキュア領域は、
前記第１のメモリから、前記通知の受信前は第１の周期で前記通常ログを収集し、前記通知の受信後は前記第１の周期よりも短い第２の周期で前記異常ログを収集するログ収集部（４１）と、
前記ログ収集部が収集した前記通常ログおよび前記異常ログを保存する第２のメモリ（５０）と、
を有する、電子制御装置。
【請求項２】
前記ログ収集部は、前記通知の受信後は前記通常ログおよび前記異常ログを前記第２の周期でそれぞれ収集する、
請求項１記載の電子制御装置。
【請求項３】
前記第１のメモリは、前記通常ログを保存する第１の領域と、前記異常ログを保存する第２の領域とを有し、
前記ログ収集部は、前記通知の受信後は、前記第１の領域から前記第１の周期で前記通常ログを収集するとともに、前記第２の領域から前記第２の周期で前記異常ログを収集する、
請求項１記載の電子制御装置。
【請求項４】
前記監視部は、前記通知の送信後、所定の時間が経過するまで、前記異常である第１の異常とは異なる第２の異常を検出したことを示す通知を送信しない、
請求項１記載の電子制御装置。
【請求項５】
前記ログ収集部は、前記通知の受信後、所定の時間が経過するまで、前記第２の周期で前記異常ログを収集する、
請求項１記載の電子制御装置。
【請求項６】
前記ログ収集部は、前記通知の受信後、前記第２の周期で前記異常ログを収集することを継続させる継続要求を受信した場合、前記所定の時間の経過後も前記第２の周期で前記異常ログを収集する、
請求項５記載の電子制御装置。
【請求項７】
当該電子制御装置は、車両に搭載された車載電子制御装置であり、
前記継続要求は、前記車両の外部から送信される、
請求項６記載の電子制御装置。
【請求項８】
前記ログ収集部は、前記通知の受信後、前記第２の周期で前記異常ログを収集することを停止させる停止要求を受信するまで、前記第２の周期で前記異常ログを収集する、
請求項１記載の電子制御装置。
【請求項９】
当該電子制御装置は、車両に搭載された車載電子制御装置であり、
前停止記要求は、前記車両の外部から送信される、
請求項８記載の電子制御装置。
【請求項１０】
前記異常ログのうち、前記ログ収集部が時間的に連続して収集した第１の異常ログと第２の異常ログとが同一の場合、前記第２のメモリは前記第１のログのみを保存する、
請求項１記載の電子制御装置。
【請求項１１】
非セキュア領域とセキュア領域とを有する電子制御装置で実行されるログ収集方法であって、
前記非セキュア領域において、
前記電子制御装置に発生した異常を検出し、
前記異常を示す異常ログを生成するとともに、前記異常を検出したことを示す通知を前記セキュア領域に送信し、
前記異常ログおよび前記電子制御装置が取得するその他のログである通常ログを、前記非セキュア領域に設けられた第１のメモリに保存し、
前記セキュア領域において、
前記第１のメモリから、前記通知の受信前は第１の周期で前記通常ログを収集し、前記通知の受信後は前記第１の周期よりも短い第２の周期で前記異常ログを収集し、
収集した前記通常ログおよび前記異常ログを、前記セキュア領域に設けられた第２のメモリに保存する、
ログ収集方法。
【請求項１２】
非セキュア領域とセキュア領域とを有する電子制御装置で実行されるログ収集プログラムであって、
前記非セキュア領域において、
前記電子制御装置に発生した異常を検出し、
前記異常を示す異常ログを生成するとともに、前記異常を検出したことを示す通知を前記セキュア領域に送信し、
前記異常ログおよび前記電子制御装置が取得するその他のログである通常ログを、前記非セキュア領域に設けられた第１のメモリに保存し、
前記セキュア領域において、
前記第１のメモリから、前記通知の受信前は第１の周期で前記通常ログを収集し、前記通知の受信後は前記第１の周期よりも短い第２の周期で前記異常ログを収集し、
収集した前記通常ログおよび前記異常ログを、前記セキュア領域に設けられた第２のメモリに保存する、
ログ収集プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電子制御装置（ＥＣＵ：Electric Control Unit）に関するものであり、主として、車両用の電子制御装置に用いるものである。
【背景技術】
【０００２】
従来より、自動車には、ＣＡＮ（Controller Area Network）などの車載ネットワークで互いに接続された様々な種類の電子制御装置が搭載されている。これらの電子制御装置で何らかの異常が発生した場合、電子制御装置の動作に関する様々なログを収集して分析することにより、異常の発生原因を特定することが求められる。
【０００３】
例えば、特許文献１には、監視対象の装置に異常が発生した場合に、異常の原因分析に必要な情報を収集する情報収集装置が開示されている。特許文献１に記載の情報収集装置では、異常の原因分析に使用する情報を、予め設定された収集間隔で定期的に収集するとともに、異常が発生したタイミングで収集することが開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１０−２４４１３７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ところで、近年、自動車に搭載される電子制御装置の仮想化技術の開発が活発になっている。このような仮想化技術を用いた電子制御装置においても、異常が発生した場合に、異常の原因分析に必要なログを収集することが望ましい。さらに、異常の原因分析に必要なログは重要性が高いため、電子制御装置の中でも特にセキュリティ性の高い領域に確実に収集することが求められる。
【０００６】
そこで、本発明の目的は、仮想化技術を用いた電子制御装置に異常が発生した場合に、異常に関するログをセキュリティ性の高い領域に確実に収集することを実現することにある。
【課題を解決するための手段】
【０００７】
上記課題を解決するために、非セキュア領域とセキュア領域とを有する電子制御装置（１）は、前記非セキュア領域に、当該電子制御装置に発生した異常を検出し、前記異常を示す異常ログを生成するとともに、前記異常を検出したことを示す通知を前記セキュア領域に送信する監視部（１１）と、前記異常ログおよび当該電子制御装置が取得するその他のログである通常ログを保存する第１のメモリ（２０）と、を有し、前記セキュア領域に、前記第１のメモリから、前記通知の受信前は第１の周期で前記通常ログを収集し、前記通知の受信後は前記第１の周期よりも短い第２の周期で前記異常ログを収集するログ収集部（４１）と、前記ログ収集部が収集した前記通常ログおよび前記異常ログを保存する第２のメモリ（５０）と、を有する。
【発明の効果】
【０００８】
本発明の電子制御装置によれば、仮想化技術を用いた電子制御装置において異常が発生した場合に、異常発生前にログを収集する周期よりも短い周期で定期的に異常ログを収集することにより、異常の原因分析に必要な異常ログが失われる可能性を低減することができる。
【図面の簡単な説明】
【０００９】
【図１】本発明の実施形態１、２の電子制御装置の構成を説明するブロック図
【図２】本発明の実施形態１の監視部の動作を説明する図
【図３】本発明の実施形態１のログ収集部の動作を説明する図
【図４】本発明の実施形態１のログの収集を説明する図
【図５】本発明の実施形態１のログの収集を説明する図
【図６】本発明の実施形態２のログの収集を説明する図
【図７】本発明の実施形態３の電子制御装置を説明する図
【発明を実施するための形態】
【００１０】
以下、本発明の実施形態について、図面を参照して説明する。
なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともかぎ括弧内の語句は、特許請求の範囲又は課題を解決するための手段の項に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。
特許請求の範囲の従属項に記載の構成および方法、従属項に記載の構成および方法に対応する実施形態の構成および方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成および方法は、本発明においては任意の構成および方法である。特許請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成および方法も、本発明の構成および方法の例示であるという意味で、本発明においては任意の構成および方法である。いずれの場合も、特許請求の範囲の独立項に記載することで、本発明の必須の構成および方法となる。
実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。
複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせても良い。また、複数の実施形態それぞれに開示の構成を集めて組み合わせても良い。
発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の構成および方法と共に発明の進歩性を肯定する事実である。
【００１１】
（実施形態１）
本実施形態１の電子制御装置１の構成を図１を用いて説明する。本発明の「電子制御装置」は、ハイパーバイザ型の仮想マシンを有する電子制御装置１であり、「非セキュア領域」と、非セキュア領域からはアクセスできない領域である「セキュア領域」とを有している。
【００１２】
ここで、本発明の「電子制御装置」は、例えば、主に半導体装置で構成され、ＣＰＵ（Central Processing Unit）、およびＲＡＭ（Random Access Memory）等の揮発性記憶部を有する、いわゆる情報処理装置として構成されていてもよい。この場合、情報処理装置はさらに、フラッシュメモリ等の不揮発性記憶部、通信ネットワーク等に接続されるネットワークインタフェース部等を有していてもよい。さらに、このような情報処理装置はパッケージ化された半導体装置であっても、配線基板において各半導体装置が配線接続された構成であってもよい。
本発明の「非セキュア領域」とは、「非セキュア領域」および「セキュア領域」のいずれからもアクセス可能な領域をいう。また、本発明の「セキュア領域」とは、「非セキュア領域」からはアクセスできず、同じ「セキュア領域」からのみアクセス可能な領域をいう。
【００１３】
電子制御装置１は、非セキュア領域に、第１の仮想マシン１０およびハードウェアである第１のメモリ２０を備えている。また、電子制御装置１は、セキュア領域に、第２の仮想マシン４０、およびハードウェアである第２のメモリ５０を備えている。第１および第２の仮想マシン１０、４０はそれぞれ、仮想マシン上にインストールされたゲストＯＳと、ゲストＯＳ上にインストールされた複数のアプリケーションを有する。電子制御装置１はさらにハイパーバイザ３０を備えており、ハイパーバイザ３０が、非セキュア領域、セキュア領域といった、複数の領域を構成する。なお、図１は、２つの仮想マシンを備える電子制御装置１の例を示しているが、電子制御装置１は第１および第２の仮想マシン以外の仮想マシンを備えていてもよい。
【００１４】
ハイパーバイザ３０は、電子制御装置１を仮想化するソフトウェアである。第１の仮想マシン１０および第２の仮想マシン４０は、ハイパーバイザ３０上に構築される。ハイパーバイザ３０上に構築された異なる仮想マシン間の通信は、ハイパーバイザ３０を介して行われる。このような仮想マシン間の通信を、本実施形態ではドメイン間通信とする。例えば、第１の仮想マシン１０のアプリケーションから送信された通知は、ドメイン間通信によって、第２の仮想マシン４０のアプリケーションへと送信される。
【００１５】
以下に、非セキュア領域に設けられる各構成を説明する。
第１の仮想マシン１０は、電子制御装置１を監視する監視部１１を有する。監視部１１は、電子制御装置１を監視することにより、電子制御装置１に発生した「異常」を「検出」する。監視部１１は、例えば、第１の仮想マシン１０において実行されるアプリケーションの動作、ＣＰＵの動作、電源の状態などを監視して異常を検出する。なお、監視部１１は、既に発生した異常を検出するだけでなく、将来的に発生する可能性が高い異常や、このような異常の予兆を検出してもよい。例えば、ポートスキャンは、外部から攻撃対象とするポートを探し出す行為であり、不正アクセスの予備行為として知られている。監視部１１が、電子制御装置１がポートスキャンを受けていること検出した場合には、電子制御装置１に不具合が発生していなくとも、異常を検出したものとして取り扱う。
ここで、本発明の「異常」とは、外部からの攻撃や、非セキュア領域のアプリやＣＰＵの通常とは異なる動作が含まれることはもちろん、このような外部からの攻撃や、アプリやＣＰＵの通常とは異なる動作前に発生する特定の動作も異常に含まれる。また、本発明の異常の「検出」とは、監視部が電子制御装置をモニタ等することによって異常を直接的に検出することの他、異常が発生したこと示す情報を受信することによって異常を間接的に検出してもよい。
【００１６】
監視部１１が電子制御装置１に発生した異常を検出すると、監視部１１は「異常を示す異常ログ」を生成する。生成された異常ログは、後述する第１のメモリに書き込まれる。以下に示す実施形態では、異常ログが異常が発生したことを示すログである場合を説明している。しかしながら、異常ログは、それ以外の情報、例えば、異常発生時のアプリケーションやＣＰＵの動作を示すログ、電子制御装置のインタフェース（図示せず）を介したデータの送受信に関するログなどを含んでもよい。例えば、異常ログは、後述する通常ログと重複する情報を含んでいてもよく、あるいは、通常ログとは異なる情報を含むものであってもよい。監視部１１によって生成された異常ログは、異常の原因を分析するために使用される。
ここで、本発明の「異常を示す異常ログ」とは、異常が発生したことを示す情報が含まれていれば足り、異常が発生したことを示す情報に加えて、異常発生時の電子制御装置の動作状況を示す情報が含まれていてもよい。
【００１７】
監視部１１はさらに、電子制御装置１に発生した異常を検出すると、異常を検出したことを示す通知をセキュア領域に送信する。なお、監視部１１は、最初の異常（「第１の異常」に相当）を検出し、当該最初の異常を検出したことを示す通知を送信した後、所定の時間が経過するまでの間に最初の異常とは異なる異常（「第２の異常」に相当）を検出した場合には、この異常を検出したことを示す通知を送信しなくともよい。異常が短時間に頻発する場合、監視部１１が異常を検出したことを示す通知をその度に送信すると、電子制御装置１における処理量は増加する。そこで、最初の異常を検出したことを示す通知の送信後、所定の時間が経過するまで、他の異常を検出しても通知を送信しないことにより、電子制御装置１の負荷を低減することができる。
【００１８】
第１のメモリ２０は、非セキュア領域に設けられたランダムアクセスメモリである。ランダムアクセスメモリは揮発性メモリであり、ＳＲＡＭやＤＲＡＭをはじめ、様々な方式のメモリを含む。第１のメモリ２０は、電子制御装置１が取得するログを保存する。第１のメモリ２０に保存されるログには、異常が検出された際に監視部１１にて生成された異常ログも含まれる。以下の実施形態では、電子制御装置１が取得するログのうち、異常ログを除くその他のログを通常ログとして説明する。通常ログには、例えば、アプリケーションの動作を示すログ、ＣＰＵの動作を示すログ、電子制御装置のインタフェース（図示せず）を介したデータの送受信に関するログなど、電子制御装置が取得する任意のログが含まれる。
【００１９】
次に、セキュア領域内に設けられる各構成を説明する。
ログ収集部４１は、定期的に第１のメモリ２０にアクセスし、第１のメモリ２０に保存されている通常ログを収集する。収集された通常ログは、後述する第２のメモリ５０に保存される。ログ収集部４１はさらに、第１のメモリ２０から通常ログを読み出した後、当該通常ログを第１のメモリ２０から削除してもよい。
ログ収集部４１が、セキュリティ性が低い非セキュア領域に設けられた第１のメモリ２０から第２のメモリ５０へと定期的に通常ログを移動させることにより、通常ログをセキュリティ性が高い領域に確保することができる。ログ収集部４１が通常ログを収集する周期は、任意の周期である。以下の各実施形態では、ログ収集部４１が通常ログを収集する周期を第１の周期として説明する。
【００２０】
ログ収集部４１はさらに、ハイパーバイザ３０を介して監視部１１から送信された通知を受信すると、第１のメモリ２０からログを収集する周期を、第１の周期よりも短い周期に変更する。つまり、ログ収集部４１は、監視部１１から通知を受信する前の周期である第１の周期よりも短い周期で第１のメモリ２０にアクセスし、第１のメモリ２０に保存されているログを収集する。このとき、第１のメモリ２０には、通常ログに加えて、異常ログが保存されている。そのため、ログ収集部４１は、通常ログとともに異常ログを収集する。以下の各実施形態では、ログ収集部４１が、監視部１１からの通知の受信後に通常ログおよび異常ログを収集する周期を、第２の周期として説明する。なお、第２の周期は第１の周期よりも短い任意の周期であるが、電子制御装置１が接続されているＣＡＮ（Controller Area Network）やＬＩＮ（Local Interconnect Network）などの車載ネットワークを介して信号を送受信する時間間隔よりも短い周期であることが望ましく、例えば、数マイクロ乃至数十マイクロ秒程度である。なお、通知を受信する前と同様、収集された通常ログおよび異常ログは、第２のメモリ５０に保存される。
【００２１】
ログ収集部４１は、監視部１１から送信された通知の受信後、「所定の時間」が経過するまで、第１のメモリ２０に保存されている通常ログおよび異常ログを第２の周期で収集する。
ここで、本発明の「所定の時間」とは、条件を与えた場合に一意に定まる時間であればよく、必ずしも常に一定の時間である必要はない。
【００２２】
なお、監視部１１が最初の異常を検出した後、他の異常を検出していない場合、第１のメモリ２０には、最初の異常を示す異常ログしか保存されない。このような場合、ログ収集部４１は、最初の異常を示す異常ログを収集した後は、所定の時間が経過するまで、第２の周期で、第１のメモリ２０に保存されている通常ログのみを収集することになる。
【００２３】
第２のメモリ５０は、セキュア領域に設けられたランダムアクセスメモリ、もしくはフラッシュメモリであり、ログ収集部４１によって収集された通常ログおよび異常ログの保存先となるメモリである。第２のメモリ５０はセキュア領域に設けられており、非セキュア領域からアクセスすることができない。そのため、第２のメモリ５０に保存されているデータがサイバー攻撃等によって改ざん等される可能性は低く、セキュリティ性は高くなる。
なお、第２のメモリ５０に保存されたログは、電子制御装置１の外部に設けられたストレージ（図示せず）に適宜転送してもよい。
【００２４】
図２は、本実施形態の監視部１１の動作を説明する図である。
監視部１１は、電子制御装置１を監視する（Ｓ１０１）。ここで、監視部１１が異常を検出すると（Ｓ１０２：Ｙeｓ）、異常を示す異常ログを生成する（Ｓ１０３）。また、監視部１１は、直前に異常を検出したことを示す通知をしてから、所定の時間が経過したか否かを判定する（Ｓ１０４）。所定の時間が経過している場合には、監視部１１は、異常を検出したことを示す通知をセキュア領域に送信する（Ｓ１０４：Ｙｅｓ）。これに対し、所定の時間が経過していない場合には、監視部１１は通知を送信しない（Ｓ１０５：Ｎｏ）。そして、Ｓ１０３にて生成された異常ログは、第１のメモリ２０に保存される（Ｓ１０６）。
【００２５】
図３は、本実施形態のログ収集部４１の動作を説明する図である。
ログ収集部４１は、第１のメモリ２０から第１の周期で通常ログを収集し、収集した通常ログを第２のメモリ５０に保存する（Ｓ２０１）。ここで、ハイパーバイザ３０を介して、監視部１１からの通知を受信すると（Ｓ２０２）、ログ収集部４１は、第１のメモリ２０にアクセスしてログを収集する周期を、第１の周期から、第１の周期よりも短い第２の周期に変更する（Ｓ２０３）。Ｓ２０３において周期が変更されると、ログ収集部４１は、第１のメモリ２０から、第２の周期で通常ログおよび異常ログを収集し、第２のメモリ５０に保存する（Ｓ２０４）。ログ収集部４１は、Ｓ２０２において通知を受信してから所定の時間が経過するまで、変更後の周期である第２の周期で通常ログおよび異常ログを収集する。その後、所定の時間が経過すると（Ｓ２０５）、第１のメモリ２０にアクセスしてログを収集する周期を、第２の周期から第１の周期に変更して戻す（Ｓ２０６）。
【００２６】
図４、５は、本実施形態１によるログの収集を概略的に説明する図である。図４（a）、図５（ａ）は、監視部１１において異常が検出される前の状態を、図４（ｂ）、図５（ｂ）は、異常が検出され、ログ収集部４１が監視部１１からの通知を受信した後の状態を示している。図４（ａ）では、ログ収集部４１は、第１のメモリ２０から第１の周期で通常ログを収集している。これに対し、図４（ｂ）では、ログ収集部４１は、第１のメモリ２０から第１の周期よりも短い第２の周期で通常ログおよび異常ログを収集している。
図４に示す例では、通常ログと異常ログは、第１のメモリ２０の同じ領域に保存される例を示している。この例では、ログ収集部４１は、第１のメモリ２０のうち、通常ログおよび異常ログが保存されている所定の領域にアクセスし、第１の周期または第２の周期で所定の領域に保存されているログを収集する。
【００２７】
これに対し、図５に示す例では、図４に示す例とは異なり、第１のメモリが複数の領域を有しており、通常ログと異常ログとが、第１のメモリ２０における異なる領域にそれぞれ保存される。図５（ａ）では、ログ収集部４１は、第１のメモリ２０における第１の領域のみにアクセスし、第１の領域に保存された通常ログを収集する。なお、図５（ａ）は異常が検出される前であるため、第２の領域には未だ異常ログは保存されていない。図５（ｂ）では、ログ収集部４１は、監視部１１からの通知を受信すると、ログを収集する周期を第２の周期に変更することに加えて、ログを収集する領域に第２の領域を追加する。そして、ログ収集部４１は、第１の領域および第２の領域にアクセスし、第１の領域から通常ログを、第２の領域から異常ログを、それぞれ第２の周期で収集する。
監視部１１からの通知を受信してから所定の時間が経過した後は、ログを収集する周期を第２の周期から第１の周期に変更することに加えて、ログを収集する領域を第１の領域のみに変更する。
【００２８】
以上のとおり、本実施形態によれば、ログ収集部４１は、異常を検出したことを示す通知を受信すると、所定の時間が経過するまで、異常発生前よりも短い周期で異常ログを定期的に収集する。つまり、ログ収集部４１は、監視部１１からの通知を受信した後は、所定の時間内に発生した異常を示す異常ログを定期的に収集することができる。
【００２９】
仮に、本実施形態とは異なり、ログ収集部４１が、異常を検出したことを示す通知を受信したことをトリガとして、第１のメモリ２０に保存された異常ログを収集する構成とした場合を検討する。ＤｏＳ攻撃のように短時間に高い頻度で異常が発生した場合、ログ収集部４１は、異常が発生する度に監視部１１からの通知を受信して、第１のメモリ２０にアクセスして異常ログを収集する。しかしながら、第１の仮想マシン１０と第２の仮想マシン４０との間のドメイン間通信に時間がかかる電子制御装置の場合、ログ収集部４１が監視部１１から通知を受信するまでに時間を要する。そのため、ログ収集部４１が監視部１１からの通知を受信して、異常ログを収集するまでの間に、次の異常ログが第１のメモリに書き込まれて、上書きされるおそれがある。このような場合、異常の原因分析に必要な異常ログが失われることになる。
【００３０】
これに対し、本実施形態の発明によれば、異常が発生する度に監視部１１からの通知を受信しなくとも、所定の時間内に発生した異常を示す異常ログを収集することができる。その結果、異常を検出したことを示す通知がドメイン間通信によって送受信されている間に異常ログが上書きされ、失われる可能性を低減することが可能となる。
さらに、異常発生後に異常ログを収集する周期を、電子制御装置が他の装置との間で信号を送受信する時間間隔よりも短くすることにより、ＤｏＳ攻撃等の異常が発生する間隔よりも短い間隔で異常ログを収集することが可能となり、異常ログを確実に収集することができる。
【００３１】
（変形例）
実施形態１では、ログ収集部４１が収集した全てのログが、第２のメモリ５０に保存される構成を説明した。しかしながら、ログ収集部４１は、第１のメモリ２０から収集した異常ログの内容に応じて、収集した異常ログを第２のメモリ５０に保存しなくともよい。例えば、ログ収集部４１が、第１のメモリ２０から収集した最初の異常ログ（以下、第１の異常ログと称する）と、当該第１の異常ログの次に収集した２番目の異常ログ（以下、第２の異常ログと称する）の値が同一のことがある。このように、ログ収集部４１が時間的に連続して取得した２つのログの値が同一である場合、ログ収集部４１は、これら２つの異常ログのうち、一方の異常ログのみを第２のメモリ５０に保存し、他方の異常ログを廃棄してもよい。
【００３２】
異常発生後、第１の異常ログが生成された後に、次の異常が発生しておらず、ログ収集部４１が第１の異常ログを収集した後も、第１のメモリ２０内に第１の異常ログが削除されずに残っていることがある。このような場合、第１の異常ログと、第１の異常ログの後に収集した第２の異常ログは全く同じである。そのため、第１の異常ログと第２の異常ログの双方を保存すると、第２のメモリ５０の容量を有効に活用することはできない。また、第１の異常ログが生成された後に新たな異常が発生して、第２の異常ログが第１のメモリに保存された場合であっても、これらの異常が同じ種類の異常である場合には、一方の異常ログのみを用いて異常の原因分析ができることが考えられる。このような場合も、第１の異常ログと第２の異常ログの双方を第２のメモリ５０に保存する必要性は低い。
【００３３】
そこで、ログ収集部４１が時間的に連続して取得した２つのログの値が同一である場合には、一方の異常ログのみを保存することによって、メモリの容量を有効に活用してもよい。
【００３４】
（実施形態２）
上記実施形態１では、ログ収集部４１は、第１の周期で通常ログを収集し、異常を検出したことを示す通知を受信後は、第１の周期よりも短い第２の周期で通常ログおよび異常ログを収集している。これに対し、本実施形態２では、ログ収集部４１が、通知を受信した後も、第１の周期のままで通常ログを収集する構成を説明する。なお、実施形態２の電子制御装置の構成は、図１に示す電子制御装置１と同じであり、図１に示す符号を用いて説明する。
【００３５】
図６は、本実施形態２によるログの収集を概略的に説明する図である。図５と同様、図６（ａ）は、監視部１１において異常が検出される前の状態を、図６（ｂ）は、異常が検出され、ログ収集部４１が監視部１１からの通知を受信した後の状態を示しており、通常ログが第１のメモリ２０の第１の領域に、異常ログが第２の領域にそれぞれ保存される例を示している。ただし、本実施形態２についても、実施形態１と同様、通常ログと異常ログとが、同じ領域に保存される構成としてもよい。
【００３６】
図５（ａ）と同様、図６（ａ）では、ログ収集部４１は、第１のメモリ２０における第１の領域のみにアクセスし、第１の周期で通常ログを収集している。
これに対し、図６（ｂ）では、図５（ｂ）とは異なり、ログ収集部４１は、第１の領域から第１の周期で通常ログを収集し、第２の領域から第２の周期で異常ログを収集する。つまり、ログ収集部４１は、第１のメモリ２０の異なる領域に保存されたそれぞれのログを、異なる周期で収集する。
【００３７】
本実施形態によれば、ログ収集部４１が短い周期である第２の周期で収集するログを異常ログのみとすることにより、第２の周期で収集されるログの情報量を抑制することができる。そのため、短い周期で実行されるログ収集処理によって発生する電子制御装置の負荷を低減することが可能となる。
【００３８】
（実施形態３）
上記実施形態１では、ログ収集部４１は、異常を検出したことを示す通知の受信後、所定の時間が経過するまで第２の周期で通常ログおよび異常ログを収集し、所定の時間が経過すると、ログの収集周期を第２の周期から第１の周期に変更して戻す。これに対し、本実施形態３では、所定の時間が経過する前、あるいは、所定の時間が経過した後に、ログの収集周期を第２の周期から第１の周期に変更する構成を説明する。
【００３９】
図７は、実施形態１、２の電子制御装置１を車両に組み込んだ状態を概略的に示している。図７に示す電子制御装置は、図１の電子制御装置１である。なお、図７は、電子制御装置１が自動車に搭載される車載用電子制御装置である例を説明しているが、本発明の電子制御装置１は、車両用電子制御装置に限定されるものではない。
【００４０】
図１に示すログ収集部４１によって第１のメモリ２０から収集され、第２のメモリ５０に保存された異常ログは、電子制御装置１に発生した異常の原因分析などに使用される。このような分析をリアルタイムで行うため、第２のメモリ５０に保存された異常ログは、通信ネットワークを介して、例えば、ＳＯＣ（Security Operation Center）２に転送される。なお、ＳＯＣ２には、異常ログとともに通常ログを転送してもよい。
【００４１】
ＳＯＣ２は、転送された異常ログを分析することにより、異常の発生原因を特定したり、あるいは、外部からのサイバー攻撃を発見した場合には、電子制御装置１を搭載した車両のドライバーに対して、その旨を通知する。
【００４２】
ＳＯＣ２の分析はリアルタイムで行われるが、異常の発生原因を早期に特定できないことや、異常の内容が外部からのサイバー攻撃であって、サイバー攻撃の対処に時間を要することがある。このような場合、所定の時間が経過した後も、ログ収集部４１が第２の周期で異常ログを確実に収集することが望ましい。そこで、ＳＯＣ２は、電子制御装置１に対して、第２の周期で異常ログを収集することを継続させる要求を送信する。電子制御装置１のログ収集部４１は、通信ネットワークを介してＳＯＣ２からの要求を受信すると、監視部１１からの通知を受信してから所定の時間が経過した後も、第２の周期で異常ログを収集することを継続する。
【００４３】
また、ＳＯＣ２において、異常の原因や、監視部１１が検出した異常には危険性がないことが比較的容易に特定されることがある。この場合、異常ログを収集する必要性が低くなり、ひいては、ログ収集部４１が短い周期である第２の周期で収集する必要性は低くなる。そこで、ＳＯＣ２は、電子制御装置１に対して、第２の周期で異常ログを収集することを停止させる要求を送信する。電子制御装置１のログ収集部４１は、通信ネットワークを介してＳＯＣ２からの要求を受信すると、監視部１１からの通知を受信してから所定の時間が経過していなくとも、ログを収集する周期を、第２の周期から第１の周期に変更する。
なお、ログ収集部４１は、第２の周期でログを収集する所定の時間を定めず、ＳＯＣ２から第２の周期で異常ログを収集することを停止させる要求を受信するまで、第２の周期でログの収集を継続する構成としてもよい。
【００４４】
上述した例では、電子制御装置１が搭載された車両の外部に設けられたＳＯＣ２からの要求に基づいて、ログ収集部４１は所定の時間よりも前または後にログの収集周期を第２の周期から第１の周期に変更する処理を行っている。しかしながら、ログ収集部４１は、例えば、車内に搭載された他の電子制御装置から送信された要求に基づいて、ログの収集周期を第１の周期に変更する処理をおこなってもよい。あるいは、電子制御装置１を監視している監視部１１が、第２の周期で異常ログを収集することを継続させる要求や、第２の周期で異常ログを収集することを停止させる要求を生成して、ログ収集部４１に送信してもよい。
【００４５】
本実施形態によれば、異常ログの分析状態に応じて、所定の時間の経過前、または、経過後であっても、ログを収集する周期を適宜変更することが可能となる。
【００４６】
（総括）
以上、本発明の実施形態における各電子制御装置の特徴について説明した。
【００４７】
上記実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。
【００４８】
実施形態の説明に用いたブロック図は、装置等の構成を機能毎に分類および整理したものである。これらの機能ブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明、および当該方法を実現するプログラムの発明の開示としても把握できるものである。
【００４９】
各実施形態に記載した処理、フロー、および方法として把握できる機能ブロックについては、一のステップで他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えても良い。
【００５０】
各実施形態、および本発明で使用する「第１」「第２」の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。
【００５１】
本発明は、各実施形態で説明した構成および機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記憶媒体に記憶した本発明を実現するためのプログラム、およびこれを実行可能な専用又は汎用ＣＰＵおよびメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。
【００５２】
専用や汎用のハードウェアの記憶媒体（外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ／ＢＤ等）、内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記憶媒体を介して、あるいは記憶媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。
【産業上の利用可能性】
【００５３】
本発明の電子制御装置は、主として自動車に搭載される車載用電子制御装置として説明したが、自動二輪車、船舶、鉄道、航空機等、移動する移動体全般に適用することが可能である。また、移動体に限らず、マイクロコンピュータを包含する製品全般に適用可能である。
【符号の説明】
【００５４】
１  電子制御装置、１１  監視部、２０  第１のメモリ、４１  ログ収集部、５０  第２のメモリ
【図１】
2020129238.tif 000003
【図２】
2020129238.tif 000004
【図３】
2020129238.tif 000005
【図４】
2020129238.tif 000006
【図５】
2020129238.tif 000007
【図６】
2020129238.tif 000008
【図７】
2020129238.tif 000009