JP7162189B2

JP7162189B2 - Anomaly analysis method and program

Info

Publication number: JP7162189B2
Application number: JP2018003238A
Authority: JP
Inventors: 祐輔根本; 薫横田; 紘幸和田; 稔久中野
Original assignee: Panasonic Intellectual Property Management Co Ltd
Current assignee: Panasonic Intellectual Property Management Co Ltd
Priority date: 2018-01-12
Filing date: 2018-01-12
Publication date: 2022-10-28
Anticipated expiration: 2038-01-12
Also published as: JP2019125004A

Description

本開示は、車両の状態を監視する技術に関する。 The present disclosure relates to technology for monitoring the state of a vehicle.

近年、車載ネットワークと称される通信ネットワークを構成する多数の電子制御ユニット（ＥＣＵ：Electronic Control Unit）が配置された車両が検討されている。これらのＥＣＵは、例えばＩＳＯ１１８９８－１で規定されているＣＡＮ（Controller Area Network）規格に従って、伝送路であるバスを介して通信を行う。 2. Description of the Related Art In recent years, vehicles in which a large number of electronic control units (ECUs) constituting a communication network called an in-vehicle network are arranged have been studied. These ECUs communicate via a bus, which is a transmission line, according to the CAN (Controller Area Network) standard defined by ISO11898-1, for example.

また、このような車載ネットワークが構成された車両に対するサイバーアタックなどの異常を検知または解析する技術が提案されている（特許文献１参照）。さらに、カーテレマティクスを用い、上述の車載ネットワークが構成された車両に対して、車両を運転するためのサービスを提供する技術も提案されている（特許文献２参照）。 Also, a technique for detecting or analyzing an abnormality such as a cyberattack on a vehicle configured with such an in-vehicle network has been proposed (see Patent Literature 1). Furthermore, a technology has been proposed that uses car telematics to provide a service for driving a vehicle to a vehicle configured with the above-described in-vehicle network (see Patent Literature 2).

特開２０１５－１３６１０７号公報JP 2015-136107 A 特許第５５１０００７号公報Japanese Patent No. 5510007

しかしながら、車両の異常を検知または解析する車両監視システムにおいて、カーテレマティクスを用いたサービスを行う場合には、車両から送信される情報であるログを格納しておくために、大きなストレージ容量を有する記憶媒体が必要になるという課題がある。さらに、車両から送信されるログには異常なログが含まれている場合があるため、カーテレマティクスを用いたサービスを行うサーバが異常なログを用いれば、誤ったサービスを車両に提供してしまう可能性がある。 However, in a vehicle monitoring system that detects or analyzes an abnormality in a vehicle, when providing a service using car telematics, a memory with a large storage capacity is required to store logs, which are information transmitted from the vehicle. There is a problem that a medium is required. Furthermore, since the logs sent from the vehicle may contain anomalous logs, if a server that provides services using car telematics uses anomalous logs, the wrong service will be provided to the vehicle. there is a possibility.

そこで、本開示は、車両から送信されるログを適切に利用することができ、ストレージ容量の削減を行うことができる車両監視システムを提供する。 Accordingly, the present disclosure provides a vehicle monitoring system capable of appropriately using logs transmitted from vehicles and reducing storage capacity.

本開示の一態様に係る車両監視システムは、車両に搭載され、前記車両の状態を監視する監視装置と、ネットワークを介して前記監視装置に接続される少なくとも１つのサーバからなるサーバシステムと、を備え、前記監視装置は、前記車両の状態を示すデータを取得する状態取得部と、取得された前記データによって示される前記車両の状態が正常か異常かを判定する異常判定部と、前記異常判定部による判定結果が正常である場合には、前記データのログを正常ログとして前記サーバシステムに前記ネットワークを介して送信し、前記異常判定部による判定結果が異常である場合には、前記データのログを異常ログとして、前記サーバシステムに前記ネットワークを介して前記正常ログと異なる態様で送信する送信処理部とを備え、前記サーバシステムは、前記送信処理部から前記ネットワークを介して送信される前記正常ログおよび前記異常ログをそれぞれ識別可能な状態で格納するための記憶部と、前記車両の異常を解析する異常検知装置と、を備え、前記異常検知装置は、前記記憶部に識別可能な状態で格納されている前記正常ログと前記異常ログとを解析する解析部を備える。 A vehicle monitoring system according to an aspect of the present disclosure includes: a monitoring device mounted on a vehicle for monitoring the state of the vehicle; and a server system including at least one server connected to the monitoring device via a network. The monitoring device comprises a state acquisition unit that acquires data indicating the state of the vehicle, an abnormality determination unit that determines whether the vehicle state indicated by the acquired data is normal or abnormal, and the abnormality determination unit. If the judgment result by the unit is normal, the log of the data is transmitted as a normal log to the server system via the network, and if the judgment result by the abnormality judgment unit is abnormal, the data is transmitted. a transmission processing unit configured to transmit a log as an error log to the server system via the network in a manner different from that of the normal log, wherein the server system transmits the error log transmitted from the transmission processing unit via the network; a storage unit for storing a normal log and the abnormality log in an identifiable state; and an anomaly detection device for analyzing an anomaly of the vehicle, wherein the anomaly detection device is stored in the storage unit in an identifiable state. and an analysis unit that analyzes the normal log and the abnormal log stored in.

なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。 In addition, these general or specific aspects may be realized by a system, method, integrated circuit, computer program, or a recording medium such as a computer-readable CD-ROM. and any combination of recording media.

本開示の車両監視システムは、車両から送信される情報を適切に利用することができ、ストレージ容量の削減を行うことができる。 The vehicle monitoring system of the present disclosure can appropriately use information transmitted from vehicles and can reduce storage capacity.

図１は、実施の形態１における車両監視システムの構成を示すシステム構成図である。FIG. 1 is a system configuration diagram showing the configuration of a vehicle monitoring system according to Embodiment 1. As shown in FIG. 図２は、実施の形態１における監視装置のブロック図である。2 is a block diagram of a monitoring device according to Embodiment 1. FIG. 図３は、実施の形態１における異常検知装置のブロック図である。FIG. 3 is a block diagram of the abnormality detection device according to Embodiment 1. FIG. 図４は、実施の形態１における車両監視システムの処理動作を示すシーケンス図である。FIG. 4 is a sequence diagram showing processing operations of the vehicle monitoring system according to the first embodiment. 図５は、実施の形態１における監視装置と異常検知装置の具体的な処理の一例を説明するための図である。FIG. 5 is a diagram for explaining an example of specific processing of the monitoring device and the abnormality detection device according to the first embodiment. 図６は、実施の形態２における監視装置のブロック図である。FIG. 6 is a block diagram of a monitoring device according to Embodiment 2. FIG. 図７は、実施の形態２における異常検知装置のブロック図である。FIG. 7 is a block diagram of an abnormality detection device according to Embodiment 2. FIG. 図８は、実施の形態２における車両監視システムの処理動作の一部を示すシーケンス図である。FIG. 8 is a sequence diagram showing part of the processing operation of the vehicle monitoring system according to the second embodiment. 図９は、実施の形態２における車両監視システムの処理動作の他の一部を示すシーケンス図である。FIG. 9 is a sequence diagram showing another part of the processing operation of the vehicle monitoring system according to the second embodiment. 図１０は、実施の形態２における正常ログのダウンサンプリングの例を説明するための図である。FIG. 10 is a diagram for explaining an example of normal log downsampling according to the second embodiment. 図１１は、実施の形態２における正常ログのアップサンプリングの例を説明するための図である。FIG. 11 is a diagram for explaining an example of normal log upsampling according to the second embodiment. 図１２は、実施の形態３における監視装置のブロック図である。12 is a block diagram of a monitoring device according to Embodiment 3. FIG. 図１３は、実施の形態３における異常検知装置のブロック図である。FIG. 13 is a block diagram of an abnormality detection device according to Embodiment 3. FIG. 図１４は、実施の形態３における車両監視システムの処理動作の一部を示すシーケンス図である。FIG. 14 is a sequence diagram showing part of the processing operation of the vehicle monitoring system according to the third embodiment. 図１５は、実施の形態３における車両監視システムの処理動作の他の一部を示すシーケンス図である。FIG. 15 is a sequence diagram showing another part of the processing operation of the vehicle monitoring system according to the third embodiment. 図１６は、各実施の形態の変形例に係る車両監視システムの構成を示す図である。FIG. 16 is a diagram showing the configuration of a vehicle monitoring system according to a modification of each embodiment.

（本開示の基礎となった知見）
本発明者は、「背景技術」の欄において記載した特許文献１および特許文献２に関し、以下の課題が生じることを見出した。 (Findings on which this disclosure is based)
The inventors of the present invention have found that the following problems arise in Patent Documents 1 and 2 described in the "Background Art" column.

特許文献１には、自動安全システムが開示されている。この自動安全システムは、複数の車両の各々の車内に設置されたサイバーウォッチマンと、車外に設置されたサイバーハブとを備える。サイバーハブは、サイバーウォッチマンからデータを取得し、そのデータに基づいて、車両に対するサイバーアタックなどの異常を検知または解析する。 Patent Literature 1 discloses an automatic safety system. This automatic safety system includes a cyber watchman installed inside each of a plurality of vehicles, and a cyber hub installed outside the vehicle. Cyber Hub acquires data from Cyber Watchman, and based on that data, detects or analyzes anomalies such as cyber attacks on vehicles.

ここで、サイバーウォッチマンから取得されるデータは、車両の状態を示すログである。つまり、サイバーハブである異常検知のためのサーバは、車両からログを取得して格納しておくための記憶媒体を有し、この記憶媒体に格納されているログを用いて、車両の異常を検知または解析する。 Here, the data acquired from Cyberwatchman is a log indicating the state of the vehicle. In other words, the server for anomaly detection, which is a cyber hub, has a storage medium for acquiring and storing logs from vehicles. Detect or analyze.

特許文献２には、経路案内システムが開示されている。この経路案内システムは、交通情報センタと、ネットワークを介してその交通情報センタに接続される複数のナビゲーション装置と含む。複数のナビゲーション装置のそれぞれは互いに異なる車両に備えられている。交通情報センタは、車両のナビゲーション装置から車両情報および道路状態情報などを取得し、取得した情報に基づいて、渋滞の有無をナビゲーション装置に通知する。また、交通情報センタは、その取得した情報に基づいて、経路探索などを行い、その探索結果をナビゲーション装置に通知する。 Patent Literature 2 discloses a route guidance system. This route guidance system includes a traffic information center and a plurality of navigation devices connected to the traffic information center via a network. Each of the plurality of navigation devices is provided in different vehicles. The traffic information center acquires vehicle information, road condition information, and the like from the navigation device of the vehicle, and notifies the navigation device of the presence or absence of congestion based on the acquired information. Also, the traffic information center performs route searches and the like based on the acquired information, and notifies the navigation device of the search results.

ここで、ナビゲーション装置から取得される車両情報などの情報は、車両の状態を示すログである。つまり、交通情報センタのような、カーテレマティクスを用いたサービスを行うサーバは、車両からログを取得して格納しておくための記憶媒体を有し、この記憶媒体に格納されているログを用いて、車両を運転するためのサービスをその車両に提供する。 Here, information such as vehicle information acquired from the navigation device is a log indicating the state of the vehicle. That is, a server that provides services using car telematics, such as a traffic information center, has a storage medium for acquiring and storing logs from vehicles, and uses the logs stored in this storage medium. and provide services to the vehicle to operate the vehicle.

したがって、特許文献１の自動安全システムのような、車両の異常を検知または解析する車両監視システムにおいて、カーテレマティクスを用いたサービスを行う場合には、異常検知のためのサーバだけでなく、カーテレマティクスを用いたサービスを行うサーバが必要である。そして、これらのサーバのそれぞれは、車両から取得したログを格納するための記憶媒体を有する。つまり、同じログがそれぞれのサーバの記憶媒体に二重に格納される場合が生じる。したがって、このような車両監視システムでは、１つのサーバの記憶媒体のストレージ容量の２倍のストレージ容量が必要とされる。すなわち、このような車両監視システムでは、大きなストレージ容量を有する記憶媒体が必要になるという課題がある。 Therefore, in a vehicle monitoring system that detects or analyzes vehicle anomalies, such as the automatic safety system of Patent Document 1, when providing a service using car telematics, not only the server for anomaly detection but also the car telematics A server is required to provide services using Each of these servers has a storage medium for storing logs obtained from the vehicle. In other words, the same log may be stored twice in the storage media of each server. Therefore, such a vehicle monitoring system requires a storage capacity that is twice the storage capacity of the storage medium of one server. That is, such a vehicle monitoring system has a problem that a storage medium having a large storage capacity is required.

さらに、車両から送信されるログには異常なログが含まれている場合があるため、カーテレマティクスを用いたサービスを行うサーバが異常なログを用いれば、誤ったサービスを車両に提供してしまう可能性がある。つまり、渋滞予測のサービス、走行距離に応じた保険のサービス、または経路探索のサービスにおいて、誤った処理を行ってしまう可能性がある。 Furthermore, since the logs sent from the vehicle may contain anomalous logs, if a server that provides services using car telematics uses anomalous logs, the wrong service will be provided to the vehicle. there is a possibility. In other words, there is a possibility that erroneous processing may be performed in a traffic jam prediction service, an insurance service based on the distance traveled, or a route search service.

このような課題を解決するために、本開示の一態様に係る車両監視システムは、車両に搭載され、前記車両の状態を監視する監視装置と、ネットワークを介して前記監視装置に接続される少なくとも１つのサーバからなるサーバシステムと、を備え、前記監視装置は、前記車両の状態を示すデータを取得する状態取得部と、取得された前記データによって示される前記車両の状態が正常か異常かを判定する異常判定部と、前記異常判定部による判定結果が正常である場合には、前記データのログを正常ログとして前記サーバシステムに前記ネットワークを介して送信し、前記異常判定部による判定結果が異常である場合には、前記データのログを異常ログとして、前記サーバシステムに前記ネットワークを介して前記正常ログと異なる態様で送信する送信処理部とを備え、前記サーバシステムは、前記送信処理部から前記ネットワークを介して送信される前記正常ログおよび前記異常ログをそれぞれ識別可能な状態で格納するための記憶部と、前記車両の異常を解析する異常検知装置と、を備え、前記異常検知装置は、前記記憶部に識別可能な状態で格納されている前記正常ログと前記異常ログとを解析する解析部を備える。 In order to solve such problems, a vehicle monitoring system according to an aspect of the present disclosure includes a monitoring device mounted on a vehicle for monitoring the state of the vehicle, and at least a monitoring device connected to the monitoring device via a network. a server system consisting of one server, wherein the monitoring device includes a state acquisition unit that acquires data indicating the state of the vehicle; an abnormality determination unit for judging, and when the determination result by the abnormality determination unit is normal, the log of the data is transmitted as a normal log to the server system via the network, and the determination result by the abnormality determination unit is a transmission processing unit configured to transmit the log of the data as an abnormality log to the server system via the network in a manner different from that of the normal log when there is an abnormality, wherein the server system comprises the transmission processing unit a storage unit for storing the normal log and the abnormal log transmitted via the network from the comprises an analysis unit that analyzes the normal log and the abnormal log stored in the storage unit in an identifiable state.

これにより、車両から送信される正常ログと異常ログとは、サーバシステムの記憶部において識別可能な状態で格納される。したがって、例えば、サーバシステムが、カーテレマティクスを用いたサービスを行うサーバを含んでいる場合、そのカーテレマティクスのサーバは、その記憶部に格納されている複数のログのうち正常ログのみをその記憶部から適切に取得することができる。その結果、カーテレマティクスのサーバは、記憶部に格納されている複数のログのうちの正常ログのみ用いて経路探索などのサービスを行うことができる。したがって、異常ログを用いることによって誤ったサービスを車両に提供してしまうことを抑えることができる。 As a result, the normal log and the abnormal log transmitted from the vehicle are stored in an identifiable state in the storage unit of the server system. Therefore, for example, if the server system includes a server that provides a service using car telematics, the car telematics server stores only normal logs among a plurality of logs stored in its storage unit. can be properly obtained from As a result, the car telematics server can perform services such as route search using only normal logs among the plurality of logs stored in the storage unit. Therefore, it is possible to prevent the wrong service from being provided to the vehicle by using the error log.

さらに、例えば、記憶部が２つの記憶部からなり、一方の記憶部に正常ログが格納され、他方の記憶部に異常ログが格納されるように、正常ログと異常ログとが識別可能な状態で記憶部に格納されていても、異常検知装置は、それらのログを解析する。例えば、異常検知装置は、正常ログと異常ログとを結合することによって結合ログを生成する。つまり、異常検知装置は、車両の状態を再現する。そして、異常検知装置は、その結合ログを解析する。したがって、カーテレマティクスのサーバが正常ログのみを記憶部から適切に取得できるように、正常ログと異常ログとが識別可能な状態で記憶部に格納されていても、異常検知装置は、その記憶部の各ログを用いて適切に車両の状態を再現し、異常を解析することができる。その結果、サーバシステムにカーテレマティクスのサーバが含まれていても、記憶部に格納されている正常ログを、異常検知装置とカーテレマティクスのサーバとで共用することができる。これにより、正常ログの二重化を抑え、車両監視システムの記憶部のストレージ容量を削減することができる。また、正常ログを共用することができるため、異常検知装置と、カーテレマティクスのサーバとに個別に同一の正常ログを送信する必要がなく、車両から送信されるログのデータ量を削減することができる。 Furthermore, for example, the storage unit is composed of two storage units, and the normal log is stored in one storage unit, and the error log is stored in the other storage unit, so that the normal log and the error log can be distinguished. are stored in the storage unit, the anomaly detection device analyzes those logs. For example, the anomaly detection device generates a combined log by combining a normal log and an anomaly log. That is, the abnormality detection device reproduces the state of the vehicle. Then, the anomaly detection device analyzes the combined log. Therefore, even if the normal log and the abnormal log are stored in the storage unit in a identifiable state so that the car telematics server can appropriately acquire only the normal log from the storage unit, the abnormality detection device Each log can be used to appropriately reproduce vehicle conditions and analyze abnormalities. As a result, even if the server system includes a car telematics server, the normal log stored in the storage unit can be shared by the anomaly detection device and the car telematics server. As a result, duplication of normal logs can be suppressed, and the storage capacity of the storage unit of the vehicle monitoring system can be reduced. In addition, since the normal log can be shared, there is no need to separately transmit the same normal log to the anomaly detection device and the car telematics server, and the amount of log data transmitted from the vehicle can be reduced. can.

例えば、前記記憶部は、正常ログ記憶部と、異常ログ記憶部とからなり、前記サーバシステムは、前記正常ログ記憶部を有する第１のサーバと、前記異常検知装置および前記異常ログ記憶部を有する第２のサーバとからなり、前記送信処理部は、前記正常ログを前記第１のサーバに送信し、前記異常ログを前記第２のサーバに送信し、前記第１のサーバは、前記送信処理部から送信される前記正常ログを前記正常ログ記憶部に格納し、前記第２のサーバは、前記送信処理部から送信される前記異常ログを前記異常ログ記憶部に格納してもよい。 For example, the storage unit includes a normal log storage unit and an error log storage unit, and the server system includes a first server having the normal log storage unit, the error detection device, and the error log storage unit. and a second server, wherein the transmission processing unit transmits the normal log to the first server, transmits the abnormal log to the second server, and the first server transmits the The normal log transmitted from the processing unit may be stored in the normal log storage unit, and the second server may store the error log transmitted from the transmission processing unit in the error log storage unit.

これにより、正常ログが正常ログ記憶部に格納され、異常ログが異常ログ記憶部に格納される。したがって、正常ログ記憶部を有する第１のサーバが、カーテレマティクスのサーバであれば、カーテレマティクスのサーバは、記憶部に格納されている複数のログのうち正常ログのみをその記憶部からより適切に取得することができる。したがって、異常ログを用いることによって誤ったサービスを車両に提供してしまうことをより抑えることができる。 As a result, the normal log is stored in the normal log storage unit, and the error log is stored in the error log storage unit. Therefore, if the first server having the normal log storage unit is a car telematics server, the car telematics server can extract only normal logs from the plurality of logs stored in the storage unit from the storage unit. can be obtained. Therefore, it is possible to further prevent the wrong service from being provided to the vehicle by using the error log.

また、前記第１のサーバは、さらに、前記正常ログ記憶部に格納されている前記正常ログを用いて、前記車両の運転に関するサービスを、前記ネットワークを介して前記車両に提供するサービス提供部を備え、前記異常検知装置は、さらに、前記第１のサーバの前記正常ログ記憶部から前記正常ログを取得する正常ログ取得部と、前記第２のサーバの前記異常ログ記憶部から前記異常ログを取得する異常ログ取得部とを備え、前記解析部は、前記正常ログ取得部によって取得され、前記サービス提供部と共用される前記正常ログと、前記異常ログ取得部によって取得された前記異常ログとを解析してもよい。 The first server further includes a service providing unit that provides services related to driving of the vehicle to the vehicle via the network using the normal log stored in the normal log storage unit. The anomaly detection device further comprises a normal log acquisition unit for acquiring the normal log from the normal log storage unit of the first server, and an anomaly log from the anomaly log storage unit of the second server. and an error log acquisition unit for acquiring, the analysis unit includes the normal log acquired by the normal log acquisition unit and shared with the service providing unit, and the error log acquired by the error log acquisition unit. may be analyzed.

これにより、第１のサーバは、車両の運転に関するサービスを、ネットワークを介して車両に提供するため、カーテレマティクスのサーバとして機能する。そして、異常検知装置を備えた第２のサーバは、記憶部の正常ログを、第１のサーバであるカーテレマティクスのサーバと共用しながら、その正常ログを用いて車両の状態を再現し、車両の異常を解析する。したがって、車両の運転に関するサービスの提供と、車両の異常の解析とを適切に行いながら、記憶部のストレージ容量を適切に抑えることができる。 As a result, the first server functions as a car telematics server in order to provide services related to vehicle driving to the vehicle via the network. Then, the second server equipped with the abnormality detection device shares the normal log in the storage unit with the car telematics server, which is the first server, and uses the normal log to reproduce the state of the vehicle. analysis of abnormalities. Therefore, it is possible to appropriately reduce the storage capacity of the storage unit while appropriately providing services related to vehicle driving and analyzing vehicle abnormalities.

また、前記監視装置は、さらに、前記正常ログをダウンサンプリングするログダウンサンプリング部を備え、前記送信処理部は、前記正常ログの送信では、ダウンサンプリングによって得られた正常ログを前記第１のサーバに送信し、前記異常検知装置は、さらに、前記正常ログ取得部によって取得された前記正常ログをアップサンプリングすることによって、前記正常ログを含む複数の正常ログを生成するログアップサンプリング部を備え、前記解析部は、前記ログアップサンプリング部によって生成された前記複数の正常ログと前記異常ログとを解析してもよい。 Further, the monitoring device further includes a log downsampling unit for downsampling the normal log, and the transmission processing unit sends the normal log obtained by downsampling to the first server when transmitting the normal log. and the anomaly detection device further comprises a log up-sampling unit that generates a plurality of normal logs including the normal log by up-sampling the normal log acquired by the normal log acquisition unit, The analysis unit may analyze the plurality of normal logs and the abnormality log generated by the log upsampling unit.

これにより、車両では、正常と判定されたログである正常ログがダウンサンプリングされ、そのダウンサンプリングによって得られた正常ログが第１のサーバに送信されて、第１のサーバの正常ログ記憶部に格納される。したがって、車両から第１のサーバに送信される正常ログのデータ量を抑えることができる。さらに、第１のサーバの正常ログ記憶部のストレージ容量をさらに削減することができる。また、正常ログがダウンサンプリングされても、異常検知装置では、その正常ログがアップサンプリングされる。したがって、正常ログの不足によって車両の異常の解析が困難になってしまうことを抑えることができる。 As a result, in the vehicle, the normal log, which is the log determined to be normal, is downsampled, the normal log obtained by the downsampling is transmitted to the first server, and stored in the normal log storage unit of the first server. Stored. Therefore, the amount of normal log data transmitted from the vehicle to the first server can be suppressed. Furthermore, the storage capacity of the normal log storage unit of the first server can be further reduced. Moreover, even if the normal log is down-sampled, the normal log is up-sampled in the anomaly detection device. Therefore, it is possible to prevent the difficulty in analyzing the abnormality of the vehicle due to the lack of the normal log.

また、前記監視装置は、さらに、前記異常ログがダウンサンプリング可能な状況か否かを判断する状況判断部を備え、前記状況判断部によって前記異常ログがダウンサンプリング可能な状況であると判断された場合には、前記ログダウンサンプリング部は、さらに、前記異常ログをダウンサンプリングし、前記送信処理部は、前記異常ログの送信では、ダウンサンプリングによって得られた異常ログを前記第２のサーバに送信し、前記ログアップサンプリング部は、さらに、前記異常ログ取得部によって取得された前記異常ログをアップサンプリングすることによって、前記異常ログを含む複数の異常ログを生成し、前記解析部は、前記ログアップサンプリング部によって生成された前記複数の正常ログと前記複数の異常ログとを解析してもよい。例えば、前記状況判断部は、（ｉ）前記異常ログによって示される前記車両の状態の種別、（ｉｉ）前記異常ログの緊急性の有無、および、（ｉｉｉ）前記異常ログが現れる周期性の有無のうちの、少なくとも１つに基づいて、前記異常ログがダウンサンプリング可能な状況か否かを判断してもよい。 Further, the monitoring device further includes a situation determination unit that determines whether or not the error log can be down-sampled, and the situation determination unit determines that the error log can be down-sampled. In this case, the log downsampling unit further downsamples the error log, and the transmission processing unit transmits the error log obtained by the downsampling to the second server in the transmission of the error log. The log up-sampling unit further up-samples the error logs acquired by the error log acquisition unit to generate a plurality of error logs including the error log, and the analysis unit generates the log The plurality of normal logs and the plurality of error logs generated by the upsampling unit may be analyzed. For example, the situation determination unit may determine (i) the type of the state of the vehicle indicated by the error log, (ii) whether the error log is urgent or not, and (iii) whether or not the error log appears periodically. Based on at least one of them, it may be determined whether or not the anomaly log can be down-sampled.

これにより、車両では、状況に応じて、異常と判定されたログである異常ログもダウンサンプリングされ、そのダウンサンプリングによって得られた異常ログが第２のサーバに送信されて、第２のサーバの異常ログ記憶部に格納される。したがって、車両から第２のサーバに送信される異常ログのデータ量を抑えることができる。さらに、第２のサーバの異常ログ記憶部のストレージ容量をさらに削減することができる。また、異常ログがダウンサンプリングされても、異常検知装置では、その異常ログがアップサンプリングされる。したがって、異常ログの不足によって車両の異常の解析が困難になってしまうことを抑えることができる。 As a result, in the vehicle, depending on the situation, the anomaly log, which is the log determined to be anomalous, is also down-sampled, and the anomaly log obtained by the down-sampling is transmitted to the second server. Stored in the error log storage unit. Therefore, it is possible to suppress the data amount of the abnormality log transmitted from the vehicle to the second server. Furthermore, the storage capacity of the error log storage unit of the second server can be further reduced. Even if the error log is down-sampled, the error detection device up-samples the error log. Therefore, it is possible to prevent difficulty in analyzing the abnormality of the vehicle due to the shortage of the abnormality log.

また、本開示の一態様に係るサーバシステムは、車両に搭載されて前記車両の状態を監視する監視装置に、ネットワークを介して接続される少なくとも１つのサーバからなるサーバシステムであって、前記監視装置から前記ネットワークを介して送信される、前記監視装置によって正常と判定された前記車両の状態を示す正常ログと、前記監視装置によって異常と判定された前記車両の状態を示す異常ログとを、それぞれ識別可能な状態で格納するための記憶部と、前記車両の異常を解析する異常検知装置とを備え、前記異常検知装置は、前記記憶部に識別可能な状態で格納されている前記正常ログと前記異常ログとを解析する解析部を備える。 Further, a server system according to an aspect of the present disclosure is a server system including at least one server connected via a network to a monitoring device mounted on a vehicle for monitoring the state of the vehicle, wherein the monitoring a normality log indicating the state of the vehicle determined to be normal by the monitoring device and an abnormality log indicating the state of the vehicle determined to be abnormal by the monitoring device, which are transmitted from the device via the network; a storage unit for storing each in an identifiable state; and an anomaly detection device for analyzing an anomaly of the vehicle, wherein the anomaly detection device detects the normal log stored in the storage unit in an identifiable state. and an analysis unit that analyzes the error log.

さらに、例えば、記憶部が２つの記憶部からなり、一方の記憶部に正常ログが格納され、他方の記憶部に異常ログが格納されるように、正常ログと異常ログとが識別可能な状態で記憶部に格納されていても、異常検知装置は、それらのログを解析する。例えば、異常検知装置は、正常ログと異常ログとを結合することによって結合ログを生成する。つまり、異常検知装置は、車両の状態を再現する。そして、異常検知装置は、その結合ログを解析する。したがって、カーテレマティクスのサーバが正常ログのみを記憶部から適切に取得できるように、正常ログと異常ログとが識別可能な状態で記憶部に格納されていても、異常検知装置は、その記憶部の各ログを用いて適切に車両の状態を再現し、異常を解析することができる。その結果、サーバシステムにカーテレマティクスのサーバが含まれていても、記憶部に格納されている正常ログを、異常検知装置とカーテレマティクスのサーバとで共用することができる。これにより、正常ログの二重化を抑え、サーバシステムの記憶部のストレージ容量を削減することができる。また、正常ログを共用することができるため、異常検知装置と、カーテレマティクスのサーバとに個別に同一の正常ログを送信する必要がなく、車両から送信されるログのデータ量を削減することができる。 Furthermore, for example, the storage unit is composed of two storage units, and the normal log is stored in one storage unit, and the error log is stored in the other storage unit, so that the normal log and the error log can be distinguished. are stored in the storage unit, the anomaly detection device analyzes those logs. For example, the anomaly detection device generates a combined log by combining a normal log and an anomaly log. That is, the abnormality detection device reproduces the state of the vehicle. Then, the anomaly detection device analyzes the combined log. Therefore, even if the normal log and the abnormal log are stored in the storage unit in a identifiable state so that the car telematics server can appropriately acquire only the normal log from the storage unit, the abnormality detection device Each log can be used to appropriately reproduce vehicle conditions and analyze abnormalities. As a result, even if the server system includes a car telematics server, the normal log stored in the storage unit can be shared by the anomaly detection device and the car telematics server. As a result, duplication of normal logs can be suppressed, and the storage capacity of the storage unit of the server system can be reduced. In addition, since the normal log can be shared, there is no need to separately transmit the same normal log to the anomaly detection device and the car telematics server, and the amount of log data transmitted from the vehicle can be reduced. can.

ここで、前記記憶部は、正常ログ記憶部と、異常ログ記憶部とからなり、前記サーバシステムは、前記正常ログ記憶部を有する第１のサーバと、前記異常検知装置および前記異常ログ記憶部を有する第２のサーバとからなり、前記監視装置は、前記正常ログを前記第１のサーバに送信し、前記異常ログを前記第２のサーバに送信し、前記第１のサーバは、前記監視装置から送信される前記正常ログを前記正常ログ記憶部に格納し、前記第２のサーバは、前記監視装置から送信される前記異常ログを前記異常ログ記憶部に格納してもよい。 Here, the storage unit includes a normal log storage unit and an error log storage unit, and the server system includes a first server having the normal log storage unit, the error detection device, and the error log storage unit. wherein the monitoring device transmits the normal log to the first server, transmits the abnormal log to the second server, and the first server transmits the monitoring The normal log transmitted from the device may be stored in the normal log storage unit, and the second server may store the error log transmitted from the monitoring device in the error log storage unit.

また、前記異常検知装置は、さらに、前記正常ログ取得部によって取得された前記正常ログをアップサンプリングすることによって、前記正常ログを含む複数の正常ログを生成するログアップサンプリング部を備え、前記解析部は、前記ログアップサンプリング部によって生成された前記複数の正常ログと前記異常ログとを解析してもよい。 The anomaly detection device further includes a log upsampling unit configured to generate a plurality of normal logs including the normal log by up-sampling the normal log acquired by the normal log acquisition unit; The unit may analyze the plurality of normal logs and the abnormal log generated by the log upsampling unit.

これにより、異常検知装置によって正常ログがアップサンプリングされるため、車両では、正常と判定されたログである正常ログをダウンサンプリングし、そのダウンサンプリングによって得られた正常ログを第１のサーバに送信することができる。したがって、車両から第１のサーバに送信される正常ログのデータ量を抑えることができる。さらに、第１のサーバの正常ログ記憶部のストレージ容量をさらに削減することができる。また、正常ログがダウンサンプリングされても、異常検知装置によってその正常ログがアップサンプリングされるため、正常ログの不足によって車両の異常の解析が困難になってしまうことを抑えることができる。 As a result, since the normal log is up-sampled by the anomaly detection device, the vehicle down-samples the normal log, which is the log determined to be normal, and transmits the normal log obtained by the down-sampling to the first server. can do. Therefore, the amount of normal log data transmitted from the vehicle to the first server can be suppressed. Furthermore, the storage capacity of the normal log storage unit of the first server can be further reduced. Further, even if the normal log is down-sampled, the normal log is up-sampled by the abnormality detection device, so that it is possible to prevent the vehicle abnormality from becoming difficult to analyze due to the lack of the normal log.

また、前記ログアップサンプリング部は、前記異常ログ記憶部に格納されている前記異常ログが前記監視装置によるダウンサンプリングによって得られた異常ログである場合には、さらに、前記異常ログ取得部によって取得された前記異常ログをアップサンプリングすることによって、前記異常ログを含む複数の異常ログを生成し、前記解析部は、前記ログアップサンプリング部によって生成された前記複数の正常ログと前記複数の異常ログとを解析してもよい。 Further, when the error log stored in the error log storage unit is an error log obtained by downsampling by the monitoring device, the log up-sampling unit acquires the error log by the error log acquisition unit. generating a plurality of error logs including the error log by up-sampling the error log obtained by upsampling, and the analysis unit extracts the plurality of error logs and the plurality of error logs generated by the log upsampling unit; and may be analyzed.

これにより、異常検知装置によって異常ログがアップサンプリングされるため、車両では、状況に応じて、異常と判定されたログである異常ログをダウンサンプリングし、そのダウンサンプリングによって得られた異常ログを第２のサーバに送信することができる。したがって、車両から第２のサーバに送信される異常ログのデータ量を抑えることができる。さらに、第２のサーバの異常ログ記憶部のストレージ容量をさらに削減することができる。また、異常ログがダウンサンプリングされても、異常検知装置によってその異常ログがアップサンプリングされるため、異常ログの不足によって車両の異常の解析が困難になってしまうことを抑えることができる。 As a result, the anomaly detection device up-samples the anomaly log. Therefore, depending on the situation, the vehicle down-samples the anomaly log determined to be an anomaly, and then converts the anomaly log obtained by the down-sampling into a second error log. 2 servers. Therefore, it is possible to suppress the data amount of the abnormality log transmitted from the vehicle to the second server. Furthermore, the storage capacity of the error log storage unit of the second server can be further reduced. Further, even if the error log is down-sampled, the error log is up-sampled by the error detection device, so that it is possible to prevent difficulty in analyzing vehicle errors due to insufficient error logs.

また、本開示の一態様に係る監視装置は、車両に搭載され、前記車両の状態を監視する監視装置であって、前記車両の状態を示すデータを取得する状態取得部と、取得された前記データによって示される前記車両の状態が正常か異常かを判定する異常判定部と、前記異常判定部による判定結果が正常である場合には、前記データのログを正常ログとして、少なくとも１つのサーバからなるサーバシステムにネットワークを介して送信し、前記異常判定部による判定結果が異常である場合には、前記データのログを異常ログとして、前記サーバシステムに前記ネットワークを介して前記正常ログと異なる態様で送信する送信処理部とを備える。 Further, a monitoring device according to an aspect of the present disclosure is a monitoring device mounted on a vehicle and monitoring a state of the vehicle, comprising: a state acquisition unit that acquires data indicating the state of the vehicle; an abnormality determination unit that determines whether the state of the vehicle indicated by the data is normal or abnormal; and if the determination result by the abnormality determination unit is normal, a log of the data is sent from at least one server as a normal log. If the result of determination by the abnormality determination unit is abnormal, the log of the data is sent to the server system as an abnormality log, and sent to the server system via the network in a mode different from the normal log and a transmission processing unit for transmitting with.

これにより、正常ログと異常ログとがそれぞれ互いに異なる態様でサーバシステムに送信されるため、サーバシステムでは、これらの正常ログと異常ログとを識別可能な状態で記憶部に格納することができる。したがって、例えば、サーバシステムが、カーテレマティクスを用いたサービスを行うサーバを含んでいる場合、そのカーテレマティクスのサーバは、その記憶部に格納されている複数のログのうち正常ログのみをその記憶部から適切に取得することができる。その結果、カーテレマティクスのサーバは、記憶部に格納されている複数のログのうちの正常ログのみ用いて経路探索などのサービスを行うことができる。したがって、異常ログを用いることによって誤ったサービスを車両に提供してしまうことを抑えることができる。 As a result, the normal log and the abnormal log are transmitted to the server system in mutually different manners, so that the server system can store the normal log and the abnormal log in a identifiable state in the storage unit. Therefore, for example, if the server system includes a server that provides a service using car telematics, the car telematics server stores only normal logs among a plurality of logs stored in its storage unit. can be properly obtained from As a result, the car telematics server can perform services such as route search using only normal logs among the plurality of logs stored in the storage unit. Therefore, it is possible to prevent the wrong service from being provided to the vehicle by using the error log.

ここで、前記サーバシステムは、正常ログ記憶部を有する第１のサーバと、異常ログ記憶部を有する第２のサーバとからなり、前記送信処理部は、前記正常ログを前記第１のサーバに送信することによって、前記第１のサーバに対して、前記正常ログを前記正常ログ記憶部に格納させ、前記異常ログを前記第２のサーバに送信することによって、前記第２のサーバに対して、前記異常ログを前記異常ログ記憶部に格納させてもよい。 Here, the server system includes a first server having a normal log storage unit and a second server having an error log storage unit, and the transmission processing unit transmits the normal log to the first server. causing the first server to store the normal log in the normal log storage unit, and transmitting the error log to the second server, thereby causing the second server to store the normal log , the error log may be stored in the error log storage unit.

また、前記監視装置は、さらに、前記正常ログをダウンサンプリングするログダウンサンプリング部を備え、前記送信処理部は、前記正常ログの送信では、ダウンサンプリングによって得られた正常ログを前記第１のサーバに送信してもよい。 Further, the monitoring device further includes a log downsampling unit for downsampling the normal log, and the transmission processing unit sends the normal log obtained by downsampling to the first server when transmitting the normal log. may be sent to

これにより、車両では、正常と判定されたログである正常ログがダウンサンプリングされ、そのダウンサンプリングによって得られた正常ログが第１のサーバに送信されて、第１のサーバの正常ログ記憶部に格納される。したがって、車両から第１のサーバに送信される正常ログのデータ量を抑えることができる。さらに、第１のサーバの正常ログ記憶部のストレージ容量をさらに削減することができる。 As a result, in the vehicle, the normal log, which is the log determined to be normal, is downsampled, the normal log obtained by the downsampling is transmitted to the first server, and stored in the normal log storage unit of the first server. Stored. Therefore, the amount of normal log data transmitted from the vehicle to the first server can be suppressed. Furthermore, the storage capacity of the normal log storage unit of the first server can be further reduced.

また、前記監視装置は、さらに、前記異常ログがダウンサンプリング可能な状況か否かを判断する状況判断部を備え、前記状況判断部によって前記異常ログがダウンサンプリング可能な状況であると判断された場合には、前記ログダウンサンプリング部は、さらに、前記異常ログをダウンサンプリングし、前記送信処理部は、前記異常ログの送信では、ダウンサンプリングによって得られた異常ログを前記第２のサーバに送信してもよい。例えば、前記状況判断部は、（ｉ）前記異常ログによって示される前記車両の状態の種別、（ｉｉ）前記異常ログの緊急性の有無、および、（ｉｉｉ）前記異常ログが現れる周期性の有無のうちの、少なくとも１つに基づいて、前記異常ログがダウンサンプリング可能な状況か否かを判断してもよい。 Further, the monitoring device further includes a situation determination unit that determines whether or not the error log can be down-sampled, and the situation determination unit determines that the error log can be down-sampled. In this case, the log downsampling unit further downsamples the error log, and the transmission processing unit transmits the error log obtained by the downsampling to the second server in the transmission of the error log. You may For example, the situation determination unit may determine (i) the type of the state of the vehicle indicated by the error log, (ii) whether the error log is urgent or not, and (iii) whether or not the error log appears periodically. Based on at least one of them, it may be determined whether or not the anomaly log can be down-sampled.

これにより、車両では、状況に応じて、異常と判定されたログである異常ログもダウンサンプリングされ、そのダウンサンプリングによって得られた異常ログが第２のサーバに送信されて、第２のサーバの異常ログ記憶部に格納される。したがって、車両から第２のサーバに送信される異常ログのデータ量を抑えることができる。さらに、第２のサーバの異常ログ記憶部のストレージ容量をさらに削減することができる。 As a result, in the vehicle, depending on the situation, the anomaly log, which is the log determined to be anomalous, is also down-sampled, and the anomaly log obtained by the down-sampling is transmitted to the second server. Stored in the error log storage unit. Therefore, it is possible to suppress the data amount of the abnormality log transmitted from the vehicle to the second server. Furthermore, the storage capacity of the error log storage unit of the second server can be further reduced.

なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムまたは記録媒体の任意な組み合わせで実現されてもよい。 In addition, these general or specific aspects may be realized by a system, method, integrated circuit, computer program, or a recording medium such as a computer-readable CD-ROM. Or it may be realized by any combination of recording media.

以下、実施の形態について、図面を参照しながら具体的に説明する。 Hereinafter, embodiments will be specifically described with reference to the drawings.

なお、以下で説明する実施の形態は、いずれも包括的または具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。 It should be noted that the embodiments described below are all comprehensive or specific examples. Numerical values, shapes, materials, components, arrangement positions and connection forms of components, steps, order of steps, and the like shown in the following embodiments are examples, and are not intended to limit the present disclosure. In addition, among the constituent elements in the following embodiments, constituent elements that are not described in independent claims representing the highest concept will be described as arbitrary constituent elements.

また、各図は、模式図であり、必ずしも厳密に図示されたものではない。また、各図において、同じ構成部材については同じ符号を付している。 Each figure is a schematic diagram and is not necessarily strictly illustrated. Moreover, in each figure, the same code|symbol is attached|subjected about the same component.

（実施の形態１）
［車両監視システム］
図１は、実施の形態１における車両監視システムの構成を示すシステム構成図である。 (Embodiment 1)
[Vehicle monitoring system]
FIG. 1 is a system configuration diagram showing the configuration of a vehicle monitoring system according to Embodiment 1. As shown in FIG.

車両監視システム１０は、サーバシステム１０００と、車両３０００に搭載された車載ネットワークとを有する。 The vehicle monitoring system 10 has a server system 1000 and an in-vehicle network mounted on a vehicle 3000 .

車両３０００の車載ネットワークは、３つのＥＣＵ（Electronic Control Unit）３００１～３００３と、送信部３１２０と、監視装置３２００とを備える。なお、本実施の形態における車載ネットワークは、３つのＥＣＵを備えるが、ＥＣＵの数は３つに限らず、１つでも、２つでも、４つ以上であってもよい。 An in-vehicle network of vehicle 3000 includes three ECUs (Electronic Control Units) 3001 to 3003 , a transmitter 3120 and a monitor 3200 . Although the in-vehicle network in this embodiment includes three ECUs, the number of ECUs is not limited to three, and may be one, two, or four or more.

ＥＣＵ３００１～３００３のそれぞれは、監視装置３２００とバスを介して接続され、互いに通信を行う。また、ＥＣＵ３００１～３００３は、互いに協調制御することによって車両３０００を制御する。また、これらのＥＣＵ３００１～３００３のうち、送信ノードとなるＥＣＵは、ＩＤ（メッセージＩＤとも称する）を付けたメッセージとしてのフレームを送信し、受信ノードとなる各ＥＣＵは、ＥＣＵ毎に予め定められたＩＤのフレームを受信する。 Each of ECUs 3001 to 3003 is connected to monitoring device 3200 via a bus and communicates with each other. Further, ECUs 3001 to 3003 control vehicle 3000 by performing cooperative control with each other. Among these ECUs 3001 to 3003, the transmission node ECU transmits a frame as a message with an ID (also referred to as a message ID). Receive frame with ID.

監視装置３２００は、ＥＣＵ３００１～３００３から送信されるデータフレームなどのデータに基づいて、車両３０００の走行状態などの状態を監視する。そして、監視装置３２００は、その監視結果を示す情報であるログを生成して出力する。 Monitoring device 3200 monitors the running state of vehicle 3000 based on data such as data frames transmitted from ECUs 3001-3003. Then, the monitoring device 3200 generates and outputs a log that is information indicating the monitoring result.

送信部３１２０は、インターネットなどのネットワーク２０００を介してサーバシステム１０００に接続する。そして、送信部３１２０は、監視装置３２００から出力されるログなどの情報をそのネットワーク２０００を介してサーバシステム１０００に送信する。 The transmission unit 3120 connects to the server system 1000 via a network 2000 such as the Internet. The transmission unit 3120 transmits information such as logs output from the monitoring device 3200 to the server system 1000 via the network 2000 .

サーバシステム１０００は、互いに通信可能に接続された第１のサーバ１１００と第２のサーバ１２００とからなる。なお、第１のサーバ１１００と第２のサーバ１２００とは、ネットワーク２０００を介して接続されていてもよい。 The server system 1000 consists of a first server 1100 and a second server 1200 which are communicably connected to each other. Note that the first server 1100 and the second server 1200 may be connected via the network 2000 .

本実施の形態における第１のサーバ１１００は、カーテレマティクスのサービスを、車両３０００を含む各車両に提供するための装置である。このサービスは、例えば、渋滞予測、車両の走行距離に応じた保険の提供、および、経路探索などの少なくとも１つである。このような第１のサーバ１１００は、正常ログ記憶部１１１０と、受信部１１２０と、走行支援部１１３０と、経路探索部１１４０とを備える。ここで、走行支援部１１３０および経路探索部１１４０は、上述のサービスを提供するサービス提供部１１５０を構成する。 First server 1100 in the present embodiment is a device for providing car telematics services to each vehicle including vehicle 3000 . This service is, for example, at least one of traffic jam prediction, provision of insurance according to the travel distance of the vehicle, route search, and the like. Such a first server 1100 includes a normal log storage unit 1110 , a reception unit 1120 , a driving support unit 1130 and a route search unit 1140 . Here, travel support unit 1130 and route search unit 1140 constitute service providing unit 1150 that provides the above services.

受信部１１２０は、車両３０００の送信部３１２０からネットワーク２０００を介して送信されるログのうち、正常ログを受信し、その正常ログを正常ログ記憶部１１１０に格納する。つまり、本実施の形態における第１のサーバ１１００は、送信部３１２０から送信される正常ログを正常ログ記憶部１１１０に格納する。 Receiving unit 1120 receives a normal log among logs transmitted from transmitting unit 3120 of vehicle 3000 via network 2000 and stores the normal log in normal log storage unit 1110 . In other words, first server 1100 in this embodiment stores the normal log transmitted from transmitting unit 3120 in normal log storage unit 1110 .

正常ログ記憶部１１１０は、上述の正常ログを記憶するための領域を有する記憶媒体である。例えば、正常ログ記憶部１１１０は、不揮発性メモリ、揮発性メモリ、またはハードディスクなどの記憶媒体によって構成される。 The normal log storage unit 1110 is a storage medium having an area for storing the normal log described above. For example, the normal log storage unit 1110 is configured by a storage medium such as a nonvolatile memory, a volatile memory, or a hard disk.

走行支援部１１３０は、例えば車両３０００の走行を支援するための処理として上述の渋滞予測または保険のサービスなどを実行する。この走行支援部１１３０は、正常ログ記憶部１１１０に格納されている正常ログを用いることによって、上述の走行を支援するための処理を行う。 The travel support unit 1130 executes, for example, the above-described congestion prediction or insurance service as processing for assisting the travel of the vehicle 3000 . The driving support unit 1130 uses the normal log stored in the normal log storage unit 1110 to perform the above-described process for supporting driving.

経路探索部１１４０は、例えば車両３０００の走行経路を探索する。この経路探索部１１４０は、正常ログ記憶部１１１０に格納されている正常ログを用いることによって、上述の走行経路の探索を行う。 The route search unit 1140 searches for a travel route of the vehicle 3000, for example. This route search unit 1140 searches for the above-described travel route by using the normal log stored in the normal log storage unit 1110 .

このような、走行支援部１１３０および経路探索部１１４０を備えた本実施の形態におけるサービス提供部１１５０は、正常ログ記憶部１１１０に格納されている正常ログを用いて、車両の運転に関するサービスを、ネットワーク２０００を介して車両３０００に提供する。 The service providing unit 1150 in the present embodiment, which includes the driving support unit 1130 and the route search unit 1140, uses the normal log stored in the normal log storage unit 1110 to provide services related to driving the vehicle. It is provided to vehicle 3000 via network 2000 .

第２のサーバ１２００は、車両３０００の異常を検知または解析する装置であって、異常ログ記憶部１２１０と、受信部１２２０と、異常検知装置１２３０とを備える。 Second server 1200 is a device that detects or analyzes an abnormality of vehicle 3000 , and includes an abnormality log storage unit 1210 , a receiving unit 1220 and an abnormality detection device 1230 .

受信部１２２０は、車両３０００の送信部３１２０からネットワーク２０００を介して送信されるログのうち、異常ログを受信し、その異常ログを異常ログ記憶部１２１０に格納する。つまり、本実施の形態における第２のサーバ１２００は、送信部３１２０から送信される異常ログを異常ログ記憶部１２１０に格納する。 Receiving unit 1220 receives an error log among logs transmitted from transmitting unit 3120 of vehicle 3000 via network 2000 , and stores the error log in error log storage unit 1210 . That is, second server 1200 in the present embodiment stores the error log transmitted from transmitting unit 3120 in error log storage unit 1210 .

異常ログ記憶部１２１０は、上述の異常ログを記憶するための領域を有する記憶媒体である。例えば、異常ログ記憶部１２１０は、不揮発性メモリ、揮発性メモリ、またはハードディスクなどの記憶媒体によって構成される。 The error log storage unit 1210 is a storage medium having an area for storing the error log described above. For example, the error log storage unit 1210 is configured by a storage medium such as a nonvolatile memory, a volatile memory, or a hard disk.

異常検知装置１２３０は、第１のサーバ１１００の正常ログ記憶部１１１０と、第２のサーバ１２００の異常ログ記憶部１２１０とのそれぞれに格納されているログに基づいて、車両３０００の異常を検知または解析する。車両３０００の異常は、例えば、車両３０００の車載ネットワークに対するサイバーアタックなどの不正な侵入などである。 Anomaly detection device 1230 detects or detects an anomaly of vehicle 3000 based on logs respectively stored in normality log storage unit 1110 of first server 1100 and anomaly log storage unit 1210 of second server 1200 . To analyze. An abnormality of the vehicle 3000 is, for example, an unauthorized intrusion such as a cyber attack on the in-vehicle network of the vehicle 3000 .

このように、本実施の形態における車両監視システム１０は、車両３０００に搭載され、車両３０００の状態を監視する監視装置３２００と、ネットワーク２０００を介して監視装置３２００に接続される少なくとも１つのサーバからなるサーバシステム１０００とを備える。また、サーバシステム１０００は、監視装置３２００からネットワーク２０００を介して送信される正常ログおよび異常ログをそれぞれ識別可能な状態で格納するための記憶部と、車両３０００の異常を解析する異常検知装置１２３０とを備える。また、本実施の形態では、記憶部は、正常ログ記憶部１１１０と、異常ログ記憶部１２１０とからなる。 As described above, vehicle monitoring system 10 according to the present embodiment includes monitoring device 3200 mounted on vehicle 3000 for monitoring the state of vehicle 3000, and at least one server connected to monitoring device 3200 via network 2000. and a server system 1000. Server system 1000 also includes a storage unit for storing normal logs and abnormal logs transmitted from monitoring device 3200 via network 2000 in an identifiable state, and an abnormality detection device 1230 for analyzing abnormalities in vehicle 3000. and Further, in this embodiment, the storage unit is composed of a normal log storage unit 1110 and an error log storage unit 1210 .

［監視装置］
図２は、実施の形態１における監視装置３２００のブロック図である。 [Monitoring device]
FIG. 2 is a block diagram of monitoring device 3200 according to the first embodiment.

監視装置３２００は、制御部３２０１と、送信先判定部３２０２と、走行状態取得部３２０３と、記憶部３２０４と、異常判定部３２０５と、送信処理部３２０６と、通知部３２０７とを備える。 Monitoring device 3200 includes control unit 3201 , transmission destination determination unit 3202 , running state acquisition unit 3203 , storage unit 3204 , abnormality determination unit 3205 , transmission processing unit 3206 , and notification unit 3207 .

走行状態取得部３２０３は、車両３０００の走行状態を取得する。すなわち、走行状態取得部３２０３は、ＥＣＵ３００１～３００３のそれぞれから送信される、車両３０００の走行状態を示すデータを取得する。そして、走行状態取得部３２０３は、そのデータのログを記憶部３２０４に一時的に保存する。つまり、本実施の形態における走行状態取得部３２０３は、車両３０００の状態を示すデータを取得する状態取得部として機能する。 Running state acquisition unit 3203 acquires the running state of vehicle 3000 . That is, running state acquisition unit 3203 acquires data indicating the running state of vehicle 3000 transmitted from each of ECUs 3001-3003. Then, running state acquisition unit 3203 temporarily stores the data log in storage unit 3204 . That is, running state acquisition unit 3203 in the present embodiment functions as a state acquisition unit that acquires data indicating the state of vehicle 3000 .

記憶部３２０４は、ログなどの情報を一時的に保存するための領域を有する記憶媒体である。例えば、記憶部３２０４は、不揮発性メモリ、揮発性メモリ、またはハードディスクなどの記憶媒体によって構成される。 The storage unit 3204 is a storage medium having an area for temporarily storing information such as logs. For example, the storage unit 3204 is configured by a storage medium such as nonvolatile memory, volatile memory, or hard disk.

異常判定部３２０５は、走行状態取得部３２０３によって取得されたデータによって示される車両３０００の状態が正常か異常かを判定する。すなわち、異常判定部３２０５は、記憶部３２０４に格納されたログによって示される走行状態が正常であるか、異常であるかを判定する。例えば、異常判定部３２０５は、予め定められたルールにしたがって、その走行状態が正常であるか異常であるかを判定する。より具体的には、その走行状態が数値で表されていれば、異常判定部３２０５は、ルールにおいてその走行状態に対応付けられている閾値と、その数値とを比較することによって、その走行状態が正常であるか異常であるかを判定する。 Abnormality determination unit 3205 determines whether the state of vehicle 3000 indicated by the data acquired by running state acquisition unit 3203 is normal or abnormal. That is, the abnormality determination unit 3205 determines whether the running state indicated by the log stored in the storage unit 3204 is normal or abnormal. For example, the abnormality determination unit 3205 determines whether the running state is normal or abnormal according to a predetermined rule. More specifically, if the driving condition is represented by a numerical value, the abnormality determination unit 3205 determines the driving condition by comparing the numerical value with a threshold value associated with the driving condition in the rule. is normal or abnormal.

送信先判定部３２０２は、記憶部３２０４に格納されているログの送信先を判定する。つまり、送信先判定部３２０２は、異常判定部３２０５によって正常であると判定されたログである正常ログの送信先を、第１のサーバ１１００に決定する。また、送信先判定部３２０２は、異常判定部３２０５によって異常であると判定されたログである異常ログの送信先を、第２のサーバ１２００に決定する。 A transmission destination determination unit 3202 determines the transmission destination of the log stored in the storage unit 3204 . That is, the transmission destination determination unit 3202 determines the first server 1100 as the transmission destination of the normal log, which is the log determined to be normal by the abnormality determination unit 3205 . Also, the transmission destination determination unit 3202 determines the second server 1200 as the transmission destination of the error log, which is the log determined to be abnormal by the error determination unit 3205 .

送信処理部３２０６は、記憶部３２０４に格納されているログを車両３０００の送信部３１２０に出力する。このとき、送信処理部３２０６は、ログの出力とともに、送信先判定部３２０２によって判定されたそのログの送信先を送信部３１２０に通知する。送信部３１２０は、その通知された送信先にそのログを送信する。言い換えれば、送信処理部３２０６は、送信先判定部３２０２によって判定された送信先に、送信部３１２０を用いて、ログを送信する。 Transmission processing unit 3206 outputs the log stored in storage unit 3204 to transmission unit 3120 of vehicle 3000 . At this time, the transmission processing unit 3206 outputs the log and notifies the transmission unit 3120 of the transmission destination of the log determined by the transmission destination determination unit 3202 . The transmission unit 3120 transmits the log to the notified destination. In other words, the transmission processing unit 3206 uses the transmission unit 3120 to transmit the log to the destination determined by the destination determination unit 3202 .

例えば、送信処理部３２０６は、正常ログを出力するとともに、その正常ログの送信先として第１のサーバ１１００を送信部３１２０に通知する。これにより、送信部３１２０は、その正常ログを第１のサーバ１１００に送信する。また、送信処理部３２０６は、異常ログを出力するとともに、その異常ログの送信先として第２のサーバ１２００を送信部３１２０に通知する。これにより、送信部３１２０は、その異常ログを第２のサーバ１２００に送信する。 For example, the transmission processing unit 3206 outputs the normal log and notifies the transmission unit 3120 of the first server 1100 as the transmission destination of the normal log. Thereby, the transmission unit 3120 transmits the normal log to the first server 1100 . Further, the transmission processing unit 3206 outputs the error log and notifies the transmission unit 3120 of the second server 1200 as the destination of the error log. Thereby, the transmission unit 3120 transmits the error log to the second server 1200 .

つまり、本実施の形態における送信処理部３２０６は、異常判定部３２０５による判定結果が正常である場合には、データのログを正常ログとしてサーバシステム１０００にネットワーク２０００を介して送信する。また、送信処理部３２０６は、異常判定部３２０５による判定結果が異常である場合には、データのログを異常ログとして、サーバシステム１０００にネットワーク２０００を介して正常ログと異なる態様で送信する。具体的には、送信処理部３２０６は、正常ログを第１のサーバ１１００に送信し、異常ログを第２のサーバ１２００に送信する。これにより、異常ログは正常ログと異なる態様で送信される。 In other words, transmission processing unit 3206 according to the present embodiment transmits a data log as a normal log to server system 1000 via network 2000 when the result of determination by abnormality determination unit 3205 is normal. Further, when the determination result by the abnormality determination unit 3205 is abnormal, the transmission processing unit 3206 transmits the data log as an abnormality log to the server system 1000 via the network 2000 in a manner different from the normal log. Specifically, the transmission processing unit 3206 transmits the normal log to the first server 1100 and the abnormal log to the second server 1200 . As a result, the error log is transmitted in a manner different from that of the normal log.

通知部３２０７は、異常判定部３２０５によってログが異常であると判定されると、異常ログが発生したことを示す異常通知を車両３０００の送信部３１２０に出力する。送信部３１２０は、その異常通知を通知部３２０７から取得すると、その異常通知を第２のサーバ１２００に送信する。 When abnormality determination section 3205 determines that the log is abnormal, notification section 3207 outputs an abnormality notification indicating that an abnormality log has occurred to transmission section 3120 of vehicle 3000 . When the transmission unit 3120 acquires the abnormality notification from the notification unit 3207 , the transmission unit 3120 transmits the abnormality notification to the second server 1200 .

制御部３２０１は、送信先判定部３２０２と、走行状態取得部３２０３と、記憶部３２０４と、異常判定部３２０５と、送信処理部３２０６と、通知部３２０７とを制御する。 Control unit 3201 controls destination determination unit 3202 , running state acquisition unit 3203 , storage unit 3204 , abnormality determination unit 3205 , transmission processing unit 3206 , and notification unit 3207 .

［異常検知装置］
図３は、実施の形態１における異常検知装置１２３０のブロック図である。 [Abnormality detection device]
FIG. 3 is a block diagram of the abnormality detection device 1230 according to Embodiment 1. As shown in FIG.

異常検知装置１２３０は、車両３０００の異常を検知または解析する装置であって、制御部１２３１と、ログ解析部１２３２と、正常ログ取得部１２３３と、記憶部１２３４と、異常ログ取得部１２３５と、ログ結合部１２３６と、表示部１２３７とを備える。 The abnormality detection device 1230 is a device that detects or analyzes an abnormality of the vehicle 3000, and includes a control unit 1231, a log analysis unit 1232, a normal log acquisition unit 1233, a storage unit 1234, an abnormality log acquisition unit 1235, A log combining unit 1236 and a display unit 1237 are provided.

正常ログ取得部１２３３は、第１のサーバ１１００の正常ログ記憶部１１１０から正常ログを取得する。つまり、正常ログ取得部１２３３は、第１のサーバ１１００と通信し、その第１のサーバ１１００の正常ログ記憶部１１１０に格納されている正常ログを取得する。そして、正常ログ取得部１２３３は、その取得した正常ログを記憶部１２３４に一時的に保存する。 The normal log acquisition unit 1233 acquires normal logs from the normal log storage unit 1110 of the first server 1100 . That is, the normal log acquisition unit 1233 communicates with the first server 1100 and acquires the normal log stored in the normal log storage unit 1110 of the first server 1100 . The normal log acquisition unit 1233 then temporarily stores the acquired normal log in the storage unit 1234 .

異常ログ取得部１２３５は、第２のサーバ１２００の異常ログ記憶部１２１０から異常ログを取得する。つまり、異常ログ取得部１２３５は、第２のサーバ１２００の異常ログ記憶部１２１０に格納されている異常ログを取得する。そして、異常ログ取得部１２３５は、その取得した異常ログを記憶部１２３４に一時的に保存する。 The error log acquisition unit 1235 acquires an error log from the error log storage unit 1210 of the second server 1200 . In other words, the error log acquisition unit 1235 acquires the error log stored in the error log storage unit 1210 of the second server 1200 . The error log acquisition unit 1235 then temporarily stores the acquired error log in the storage unit 1234 .

記憶部１２３４は、正常ログおよび異常ログを一時的に保存するための領域を有する記憶媒体である。例えば、記憶部１２３４は、不揮発性メモリ、揮発性メモリ、またはハードディスクなどの記憶媒体によって構成される。 Storage unit 1234 is a storage medium having an area for temporarily storing normal logs and error logs. For example, storage unit 1234 is configured by a storage medium such as a nonvolatile memory, a volatile memory, or a hard disk.

ログ結合部１２３６は、記憶部１２３４に一時的に保存されている正常ログと異常ログとを結合する。つまり、本実施の形態におけるログ結合部１２３６は、正常ログ記憶部１１１０および異常ログ記憶部１２１０からなる記憶部に識別可能な状態で格納されている正常ログと異常ログとを結合することによって、結合ログを生成する。具体的には、ログ結合部１２３６は、正常ログ取得部１２３３によって取得され、サービス提供部１１５０と共用される正常ログと、異常ログ取得部１２３５によって取得された異常ログとを結合することによって、結合ログを生成する。 The log combining unit 1236 combines normal logs and abnormal logs temporarily stored in the storage unit 1234 . In other words, log combining unit 1236 in the present embodiment combines normal logs and error logs stored in a identifiable state in the storage unit consisting of normal log storage unit 1110 and error log storage unit 1210, Generate a combined log. Specifically, the log combining unit 1236 combines the normal log acquired by the normal log acquisition unit 1233 and shared with the service providing unit 1150 and the error log acquired by the error log acquisition unit 1235, Generate a combined log.

ログ解析部１２３２は、結合ログを解析する。つまり、ログ解析部１２３２は、ログ結合部１２３６によって結合された正常ログと異常ログとに対して解析を行う。言い換えれば、ログ解析部１２３２は、正常ログ記憶部１１１０および異常ログ記憶部１２１０からなる記憶部に識別可能な状態で格納されている正常ログと異常ログとを解析する。より具体的には、ログ解析部１２３２は、正常ログ取得部１２３３によって取得され、サービス提供部１１５０と共用される正常ログと、異常ログ取得部１２３５によって取得された異常ログとを解析する。そして、ログ解析部１２３２は、その解析結果を表示部１２３７に表示する。 The log analysis unit 1232 analyzes the combined log. That is, the log analysis unit 1232 analyzes the normal log and the error log combined by the log combining unit 1236 . In other words, the log analysis unit 1232 analyzes the normal log and the error log stored in the storage unit composed of the normal log storage unit 1110 and the error log storage unit 1210 in an identifiable state. More specifically, the log analysis unit 1232 analyzes the normal log acquired by the normal log acquisition unit 1233 and shared with the service providing unit 1150 and the error log acquired by the error log acquisition unit 1235 . Log analysis unit 1232 then displays the analysis result on display unit 1237 .

表示部１２３７は、例えば液晶ディスプレイまたは有機ＥＬ（Electro Luminescence）ディスプレイなどのディスプレイである。例えば、第２のサーバ１２００のオペレータは、この表示部１２３７に表示される結合ログの解析結果を見ることによって、車両３０００の走行状態、異常の有無、または異常の原因などを知ることができる。 The display unit 1237 is a display such as a liquid crystal display or an organic EL (Electro Luminescence) display. For example, the operator of the second server 1200 can know the running state of the vehicle 3000, the presence or absence of an abnormality, the cause of the abnormality, etc. by viewing the analysis result of the combined log displayed on the display unit 1237. FIG.

制御部１２３１は、ログ解析部１２３２と、正常ログ取得部１２３３と、記憶部１２３４と、異常ログ取得部１２３５と、ログ結合部１２３６と、表示部１２３７とを制御する。 Control unit 1231 controls log analysis unit 1232 , normal log acquisition unit 1233 , storage unit 1234 , error log acquisition unit 1235 , log combination unit 1236 , and display unit 1237 .

［処理動作］
図４は、実施の形態１における車両監視システム１０の処理動作を示すシーケンス図である。 [Processing operation]
FIG. 4 is a sequence diagram showing processing operations of the vehicle monitoring system 10 according to the first embodiment.

監視装置３２００の走行状態取得部３２０３は、ＥＣＵ３００１～３００３の何れかからデータとしてＣＡＮ（Controller Area Network）コマンドを受信する（ステップＳ１０１）。そして、監視装置３２００の異常判定部３２０５は、そのＣＡＮコマンドによって示される走行状態が正常であるか否かを判定する（ステップＳ１０２）。 The running state acquisition unit 3203 of the monitoring device 3200 receives a CAN (Controller Area Network) command as data from any of the ECUs 3001 to 3003 (step S101). Then, abnormality determination unit 3205 of monitoring device 3200 determines whether or not the running state indicated by the CAN command is normal (step S102).

ここで、その走行状態が正常であると判定されると（ステップＳ１０２のＹｅｓ）、監視装置３２００の送信処理部３２０６は、車両３０００の送信部３１２０に対して、その走行状態を示す情報である正常ログを第１のサーバ１１００に送信させる（ステップＳ１０３）。これにより、その正常ログが第１のサーバ１１００の正常ログ記憶部１１１０に送信される。 Here, when it is determined that the running state is normal (Yes in step S102), the transmission processing unit 3206 of the monitoring device 3200 transmits information indicating the running state to the transmission unit 3120 of the vehicle 3000. A normal log is sent to the first server 1100 (step S103). As a result, the normal log is transmitted to the normal log storage unit 1110 of the first server 1100 .

一方、ステップＳ１０２において、走行状態が異常であると判定されると（ステップＳ１０２のＮｏ）、監視装置３２００の送信処理部３２０６は、車両３０００の送信部３１２０に対して、その走行状態を示す情報である異常ログを第２のサーバ１２００に送信させる（ステップＳ１０４）。これにより、その異常ログが第２のサーバ１２００の異常ログ記憶部１２１０に送信される。また、このときには、監視装置３２００の通知部３２０７は、車両３０００の送信部３１２０に対して、異常通知を第２のサーバ１２００に送信させる。 On the other hand, when it is determined in step S102 that the running state is abnormal (No in step S102), the transmission processing unit 3206 of the monitoring device 3200 transmits information indicating the running state to the transmission unit 3120 of the vehicle 3000. is transmitted to the second server 1200 (step S104). As a result, the error log is sent to the error log storage unit 1210 of the second server 1200 . At this time, notification unit 3207 of monitoring device 3200 causes transmission unit 3120 of vehicle 3000 to transmit an abnormality notification to second server 1200 .

第１のサーバ１１００は、ステップＳ１０３で送信された正常ログを受信し、その正常ログを正常ログ記憶部１１１０に格納する（ステップＳ１０５）。 The first server 1100 receives the normal log transmitted in step S103, and stores the normal log in the normal log storage unit 1110 (step S105).

第２のサーバ１２００は、ステップＳ１０４で送信された異常ログを受信し、その異常ログを異常ログ記憶部１２１０に格納する（ステップＳ１０６）。 The second server 1200 receives the error log transmitted in step S104 and stores the error log in the error log storage unit 1210 (step S106).

異常検知装置１２３０は、車両３０００の監視装置３２００から異常通知を受信すると（ステップＳ１０７）、その異常通知をトリガーに、走行状態の再現を開始する（ステップＳ１０８）。すなわち、異常検知装置１２３０の正常ログ取得部１２３３は、第１のサーバ１１００の正常ログ記憶部１１１０から正常ログを取得し、異常ログ取得部１２３５は、第２のサーバ１２００の異常ログ記憶部１２１０から異常ログを取得する。そして、ログ結合部１２３６は、取得された正常ログと異常ログとを結合することによって、結合ログを生成する。これにより、走行状態が再現される。 When the abnormality detection device 1230 receives the abnormality notification from the monitoring device 3200 of the vehicle 3000 (step S107), the abnormality detection device 1230 triggers the reproduction of the running state (step S108). That is, the normal log acquisition unit 1233 of the error detection device 1230 acquires the normal log from the normal log storage unit 1110 of the first server 1100, and the error log acquisition unit 1235 acquires the error log storage unit 1210 of the second server 1200. Get anomaly logs from Then, the log combining unit 1236 generates a combined log by combining the acquired normal log and abnormal log. This reproduces the running state.

異常検知装置１２３０のログ解析部１２３２は、その再現された走行状態、すなわち結合ログを解析することによって、例えば、異常ログが発生した原因を特定して表示する（ステップＳ１０９）。 The log analysis unit 1232 of the abnormality detection device 1230 identifies and displays, for example, the cause of the occurrence of the abnormality log by analyzing the reproduced running state, that is, the combined log (step S109).

図５は、実施の形態１における監視装置３２００と異常検知装置１２３０の具体的な処理の一例を説明するための図である。 FIG. 5 is a diagram for explaining an example of specific processing of the monitoring device 3200 and the abnormality detection device 1230 according to the first embodiment.

監視装置３２００は、例えば、車両３０００の走行速度を走行状態として監視する。つまり、ＥＣＵ３００１～３００３の何れかは、車両３０００の走行速度を示すＣＡＮコマンドを周期的に監視装置３２００に出力する。そして、監視装置３２００の走行状態取得部３２０３は、そのＣＡＮコマンドを取得するごとに、そのＣＡＮコマンドによって示される走行速度と、その走行速度が現れた時刻とを対応付けることによってログを生成する。例えば、ログが生成される周期は、２０ｍｓであって、１秒間に５０個のログが生成される。また、ログには、走行状態のうちの走行速度を識別するためのＩＤと、走行状態を示すデータの長さを示すＤＬＣ（Data Length Code）とが含まれていてもよい。ＩＤは、例えば１００であり、ＤＬＣは例えば１である。 The monitoring device 3200 monitors, for example, the running speed of the vehicle 3000 as the running state. That is, any one of ECUs 3001 to 3003 periodically outputs a CAN command indicating the traveling speed of vehicle 3000 to monitoring device 3200 . Every time the running state acquisition unit 3203 of the monitoring device 3200 acquires the CAN command, it generates a log by associating the running speed indicated by the CAN command with the time when the running speed appears. For example, the log generation period is 20 ms, and 50 logs are generated per second. The log may also include an ID for identifying the running speed of the running state and a DLC (Data Length Code) indicating the length of the data indicating the running state. The ID is 100, for example, and the DLC is 1, for example.

監視装置３２００の異常判定部３２０５は、例えば５つのログによって示される走行速度うち、時刻「３」の走行速度「８０」が異常であると判定し、時刻「１、２、４、５」のそれぞれの走行速度「１０、２０、４０、５０」が正常であると判定する。なお、異常判定部３２０５は、時刻「３」の走行速度「８０」が、車両３０００の他の時刻における走行速度から推定される時刻「３」の走行速度よりも速すぎるため、異常であると判定する。 The abnormality determination unit 3205 of the monitoring device 3200 determines that the running speed “80” at time “3” is abnormal among the running speeds indicated by the five logs, for example, and determines that the running speed “80” at time “1, 2, 4, 5” is abnormal. It is determined that each traveling speed "10, 20, 40, 50" is normal. It should be noted that the abnormality determining unit 3205 determines that the traveling speed "80" at the time "3" is too fast than the traveling speed at the time "3" estimated from the traveling speed of the vehicle 3000 at other times, and thus is abnormal. judge.

このような場合、時刻「３」の走行速度「８０」を示すログが、異常ログとして第２のサーバ１２００に送信され、異常ログ記憶部１２１０に格納される。一方、時刻「１」の走行速度「１０」を示すログ、時刻「２」の走行速度「２０」を示すログ、時刻「４」の走行速度「４０」を示すログ、および時刻「５」の走行速度「５０」を示すログはそれぞれ、正常ログとして第１のサーバ１１００に送信される。そして、これらの正常ログは、第１のサーバ１１００の正常ログ記憶部１１１０に格納される。 In such a case, a log indicating the running speed of "80" at time "3" is transmitted to the second server 1200 as an error log and stored in the error log storage unit 1210. FIG. On the other hand, a log indicating a traveling speed of “10” at time “1”, a log indicating a traveling speed of “20” at time “2”, a log indicating a traveling speed of “40” at time “4”, and a log indicating a traveling speed of “40” at time “5” Each log indicating the running speed "50" is sent to the first server 1100 as a normal log. These normal logs are stored in the normal log storage unit 1110 of the first server 1100 .

異常検知装置１２３０の正常ログ取得部１２３３は、正常ログ記憶部１１１０に格納されている４つの正常ログを取得する。その４つの正常ログは、時刻「１」の走行速度「１０」を示すログ、時刻「２」の走行速度「２０」を示すログ、時刻「４」の走行速度「４０」を示すログ、および時刻「５」の走行速度「５０」を示すログである。さらに、異常検知装置１２３０の異常ログ取得部１２３５は、異常ログ記憶部１２１０に格納されている異常ログを取得する。その異常ログは、時刻「３」の走行速度「８０」を示すログである。ここで、異常検知装置１２３０のログ結合部１２３６は、上述の４つの正常ログと異常ログとを結合する。つまり、ログ結合部１２３６は、４つの正常ログと異常ログとを、それぞれのログによって示される時刻の順に配列することによって結合ログを生成する。これによって、車両３０００の走行状態が再現される。したがって、正常ログが正常ログ記憶部１１１０に格納され、異常ログが異常ログ記憶部１２１０に格納されていても、ログ解析部１２３２は、車両３０００の走行状態を適切に解析することができる。 A normal log acquisition unit 1233 of the anomaly detection device 1230 acquires four normal logs stored in the normal log storage unit 1110 . The four normal logs are a log indicating a running speed of "10" at time "1", a log indicating a running speed of "20" at time "2", a log indicating a running speed of "40" at time "4", and It is a log which shows traveling speed "50" at time "5". Furthermore, the error log acquisition unit 1235 of the error detection device 1230 acquires the error log stored in the error log storage unit 1210 . The anomaly log is a log indicating a running speed of "80" at time "3". Here, the log combining unit 1236 of the anomaly detection device 1230 combines the four normal logs and the anomaly log. In other words, the log combining unit 1236 generates a combined log by arranging the four normal logs and the four abnormal logs in order of time indicated by each log. As a result, the running state of vehicle 3000 is reproduced. Therefore, even if normality logs are stored in normality log storage unit 1110 and abnormality logs are stored in abnormality log storage unit 1210 , log analysis unit 1232 can appropriately analyze the running state of vehicle 3000 .

以上のように、本実施の形態では、車両３０００から送信される正常ログと異常ログとは、サーバシステム１０００の正常ログ記憶部１１１０および異常ログ記憶部１２１０において識別可能な状態で格納される。つまり、正常ログが正常ログ記憶部１１１０に格納され、異常ログが異常ログ記憶部１２１０に格納される。また、第１のサーバ１１００は、車両３０００の運転に関するサービスを、ネットワーク２０００を介して車両３０００に提供するため、カーテレマティクスのサーバとして機能する。 As described above, in the present embodiment, normality logs and abnormality logs transmitted from vehicle 3000 are stored in normality log storage unit 1110 and abnormality log storage unit 1210 of server system 1000 in an identifiable state. That is, the normal log is stored in the normal log storage unit 1110 and the error log is stored in the error log storage unit 1210 . In addition, first server 1100 functions as a car telematics server in order to provide services related to driving of vehicle 3000 to vehicle 3000 via network 2000 .

したがって、カーテレマティクスのサーバである第１のサーバ１１００は、正常ログ記憶部１１１０および異常ログ記憶部１２１０からなる記憶部に格納されている複数のログのうち正常ログのみをその記憶部から適切に取得することができる。その結果、第１のサーバ１１００は、その記憶部に格納されている複数のログのうちの正常ログのみ用いて経路探索などのサービスを行うことができる。したがって、異常ログを用いることによって誤ったサービスを車両３０００に提供してしまうことを抑えることができる。 Therefore, the first server 1100, which is a server for car telematics, appropriately retrieves only normal logs from among a plurality of logs stored in a storage unit consisting of a normal log storage unit 1110 and an error log storage unit 1210. can be obtained. As a result, the first server 1100 can perform services such as route search using only normal logs among the plurality of logs stored in the storage unit. Therefore, it is possible to prevent the wrong service from being provided to vehicle 3000 by using the error log.

さらに、正常ログ記憶部１１１０に正常ログが格納され、異常ログ記憶部１２１０に異常ログが格納されるように、正常ログと異常ログとが識別可能な状態で記憶部に格納されていても、異常検知装置１２３０は、それらのログを解析する。例えば、異常検知装置１２３０は、正常ログと異常ログとを結合することによって結合ログを生成する。つまり、異常検知装置１２３０は、車両の状態を再現する。そして、異常検知装置は、その結合ログを解析する。したがって、カーテレマティクスの第１のサーバ１１００が正常ログのみを適切に取得できるように、正常ログと異常ログとが互いに異なる記憶部に格納されていても、異常検知装置１２３０は、それらの記憶部の各ログを用いて適切に車両３０００の状態を再現し、異常を解析することができる。その結果、正常ログ記憶部１１１０に格納されている正常ログを、異常検知装置１２３０とカーテレマティクスの第１のサーバ１１００とで共用することができる。これにより、正常ログの二重化を抑え、車両監視システム１０の記憶部のストレージ容量を削減することができる。また、正常ログを共用することができるため、異常検知装置１２３０と、カーテレマティクスの第１のサーバ１１００とに個別に同一の正常ログを送信する必要がなく、車両３０００から送信されるログのデータ量を削減することができる。したがって、本実施の形態では、車両３０００の運転に関するサービスの提供と、車両３０００の異常の解析とを適切に行いながら、サーバシステム１０００のストレージ容量を適切に抑えることができる。 Furthermore, even if the normal log and the abnormal log are stored in the storage unit in a identifiable state so that the normal log is stored in the normal log storage unit 1110 and the abnormal log is stored in the abnormal log storage unit 1210, The anomaly detector 1230 analyzes those logs. For example, the anomaly detection device 1230 generates a combined log by combining a normal log and an anomaly log. In other words, the abnormality detection device 1230 reproduces the state of the vehicle. Then, the anomaly detection device analyzes the combined log. Therefore, even if the normal log and the abnormal log are stored in different storage units so that the first server 1100 of car telematics can appropriately acquire only the normal log, the abnormality detection device 1230 can Each log can be used to appropriately reproduce the state of vehicle 3000 and analyze anomalies. As a result, the normality log stored in the normality log storage unit 1110 can be shared by the abnormality detection device 1230 and the first server 1100 for car telematics. As a result, duplication of normal logs can be suppressed, and the storage capacity of the storage unit of the vehicle monitoring system 10 can be reduced. In addition, since the normal log can be shared, there is no need to separately transmit the same normal log to the anomaly detection device 1230 and the first server 1100 for car telematics. quantity can be reduced. Therefore, in the present embodiment, the storage capacity of server system 1000 can be appropriately suppressed while appropriately providing services related to driving of vehicle 3000 and analyzing abnormalities of vehicle 3000 .

（実施の形態２）
実施の形態１の車両監視システム１０では、全ての正常ログが車両３０００から第１のサーバ１１００に送信される。本実施の形態では、正常ログは、車両３０００においてダウンサンプリングされ、第２のサーバ１２００においてアップサンプリングされる。 (Embodiment 2)
In vehicle monitoring system 10 of Embodiment 1, all normal logs are transmitted from vehicle 3000 to first server 1100 . In this embodiment, the normal log is downsampled at vehicle 3000 and upsampled at second server 1200 .

本実施の形態における車両監視システム１０は、図１に示す構成を有するが、異常検知装置１２３０および監視装置３２００の代わりに、異常検知装置１２３０ａおよび監視装置３２００ａを備える。 Vehicle monitoring system 10 according to the present embodiment has the configuration shown in FIG.

［監視装置］
図６は、実施の形態２における監視装置３２００ａのブロック図である。なお、図６に示す各構成要素のうち、実施の形態１の構成要素と同一のものに対しては、実施の形態１と同一の符号を付し、詳細な説明を省略する。 [Monitoring device]
FIG. 6 is a block diagram of monitoring device 3200a according to the second embodiment. 6 that are the same as those in the first embodiment are assigned the same reference numerals as those in the first embodiment, and detailed description thereof will be omitted.

本実施の形態における監視装置３２００ａは、実施の形態１の監視装置３２００と同様に、制御部３２０１と、送信先判定部３２０２と、走行状態取得部３２０３と、記憶部３２０４と、異常判定部３２０５と、送信処理部３２０６と、通知部３２０７とを備える。ここで、さらに、本実施の形態における監視装置３２００ａは、正常ログダウンサンプリング部３２０８を備える。 Monitoring device 3200a in the present embodiment includes control unit 3201, transmission destination determination unit 3202, running state acquisition unit 3203, storage unit 3204, and abnormality determination unit 3205, similarly to monitoring device 3200 in the first embodiment. , a transmission processing unit 3206 and a notification unit 3207 . Here, the monitoring device 3200a according to the present embodiment further includes a normal log downsampling section 3208. FIG.

正常ログダウンサンプリング部３２０８は、記憶部３２０４に一時的に保存されている複数のログのうちの正常ログをダウンサンプリングする。つまり、正常ログダウンサンプリング部３２０８は、記憶部３２０４に一時的に保存されている全ての正常ログを取得することなく、予め定められたサンプリング周期にしたがって、一部の正常ログのみを取得する。 A normal log down-sampling unit 3208 down-samples normal logs out of a plurality of logs temporarily stored in the storage unit 3204 . In other words, the normal log down-sampling unit 3208 does not obtain all normal logs temporarily stored in the storage unit 3204, but obtains only some normal logs according to a predetermined sampling cycle.

また、本実施の形態における送信処理部３２０６は、正常ログの送信では、ダウンサンプリングによって得られた正常ログを第１のサーバ１１００に送信する。つまり、送信処理部３２０６は、記憶部３２０４に保存されている全ての正常ログではなく、正常ログダウンサンプリング部３２０８によってサンプリングされた一部の正常ログのみを、車両３０００の送信部３１２０を用いて第１のサーバ１１００に送信する。 Further, the transmission processing unit 3206 according to the present embodiment transmits the normal log obtained by downsampling to the first server 1100 when transmitting the normal log. In other words, the transmission processing unit 3206 uses the transmission unit 3120 of the vehicle 3000 to extract only some of the normal logs sampled by the normal log downsampling unit 3208 instead of all the normal logs stored in the storage unit 3204. Send to first server 1100 .

［異常検知装置］
図７は、実施の形態２における異常検知装置１２３０ａのブロック図である。なお、図７に示す各構成要素のうち、実施の形態１の構成要素と同一のものに対しては、実施の形態１と同一の符号を付し、詳細な説明を省略する。 [Abnormality detection device]
FIG. 7 is a block diagram of the abnormality detection device 1230a according to the second embodiment. 7 that are the same as those in the first embodiment are assigned the same reference numerals as those in the first embodiment, and detailed description thereof will be omitted.

本実施の形態における異常検知装置１２３０ａは、実施の形態１の異常検知装置１２３０と同様に、制御部１２３１と、ログ解析部１２３２と、正常ログ取得部１２３３と、記憶部１２３４と、異常ログ取得部１２３５と、ログ結合部１２３６と、表示部１２３７とを備える。ここで、さらに、本実施の形態における異常検知装置１２３０ａは、正常ログアップサンプリング部１２３８を備える。 Similar to the anomaly detection device 1230 of the first embodiment, the anomaly detection device 1230a in the present embodiment includes a control unit 1231, a log analysis unit 1232, a normal log acquisition unit 1233, a storage unit 1234, an anomaly log acquisition A unit 1235 , a log combining unit 1236 , and a display unit 1237 are provided. Here, anomaly detection device 1230 a in the present embodiment further includes normal log up sampling section 1238 .

正常ログアップサンプリング部１２３８は、正常ログ取得部１２３３によって取得された正常ログをアップサンプリングすることによって、その正常ログを含む複数の正常ログを生成する。つまり、正常ログアップサンプリング部１２３８は、記憶部１２３４に一時的に保存されている正常ログをアップサンプリングする。言い換えれば、正常ログアップサンプリング部１２３８は、記憶部１２３４に保存されている正常ログから、その正常ログの時刻と異なる時刻の他の正常ログ（補間ログともいう）を推定することによって、その補間ログを生成する。この補間ログは、記憶部１２３４に保存されている正常ログに基づいて例えば線形補間などによって生成される。これによって、記憶部１２３４に保存されている正常ログと、生成された補間ログとを含む、新たな複数の正常ログが生成される。 The normal log up-sampling unit 1238 generates a plurality of normal logs including the normal log by up-sampling the normal log acquired by the normal log acquisition unit 1233 . That is, the normal log upsampling unit 1238 upsamples the normal logs temporarily stored in the storage unit 1234 . In other words, the normal log up-sampling unit 1238 estimates another normal log (also referred to as an interpolation log) at a time different from the time of the normal log from the normal log saved in the storage unit 1234, thereby performing the interpolation. Generate logs. This interpolation log is generated by linear interpolation or the like based on the normal log saved in the storage unit 1234 . As a result, a plurality of new normal logs are generated including the normal log saved in the storage unit 1234 and the generated interpolation log.

また、本実施の形態におけるログ結合部１２３６は、正常ログアップサンプリング部１２３８によって生成された複数の正常ログと異常ログとを結合することによって、結合ログを生成する。したがって、本実施の形態におけるログ解析部１２３２は、正常ログアップサンプリング部１２３８によって生成された複数の正常ログと異常ログとを解析する。 Further, the log combining unit 1236 in this embodiment generates a combined log by combining multiple normal logs and abnormal logs generated by the normal log upsampling unit 1238 . Therefore, the log analysis unit 1232 in this embodiment analyzes multiple normal logs and abnormal logs generated by the normal log upsampling unit 1238 .

［処理動作］
図８は、実施の形態２における車両監視システム１０の処理動作の一部を示すシーケンス図である。具体的には、図８は、監視装置３２００ａと、第１のサーバ１１００と、第２のサーバ１２００との間の処理動作を示すシーケンス図である。 [Processing operation]
FIG. 8 is a sequence diagram showing part of the processing operation of the vehicle monitoring system 10 according to the second embodiment. Specifically, FIG. 8 is a sequence diagram showing processing operations among the monitoring device 3200a, the first server 1100, and the second server 1200. As shown in FIG.

監視装置３２００ａの走行状態取得部３２０３は、ＥＣＵ３００１～３００３の何れかからデータとしてＣＡＮコマンドを受信する（ステップＳ１０１）。そして、監視装置３２００ａの異常判定部３２０５は、そのＣＡＮコマンドによって示される走行状態が正常であるか否かを判定する（ステップＳ１０２）。 The running state acquisition unit 3203 of the monitoring device 3200a receives a CAN command as data from one of the ECUs 3001 to 3003 (step S101). Then, the abnormality determination unit 3205 of the monitoring device 3200a determines whether or not the running state indicated by the CAN command is normal (step S102).

ここで、その走行状態が正常であると判定されると（ステップＳ１０２のＹｅｓ）、監視装置３２００ａの走行状態取得部３２０３は、その正常と判定された走行状態を示すログを正常ログとして記憶部３２０４に一時的に保存する（ステップＳ１１１）。 Here, when the running state is determined to be normal (Yes in step S102), the running state acquisition unit 3203 of the monitoring device 3200a stores the log indicating the running state determined to be normal as a normal log. 3204 temporarily (step S111).

次に、正常ログダウンサンプリング部３２０８は、記憶部３２０４に格納されている正常ログの数が、予め定められた閾値よりも多いか否かを判定する（ステップＳ１１２）。ここで、正常ログダウンサンプリング部３２０８によって、正常ログの数が閾値以下であると判定されると（ステップＳ１１２のＮｏ）、監視装置３２００ａは、ステップＳ１０１からの処理を繰り返し実行する。一方、正常ログダウンサンプリング部３２０８は、正常ログの数が閾値よりも多いと判定すると（ステップＳ１１２のＹｅｓ）、記憶部３２０４に格納されている正常ログをダウンサンプリングする。そして、監視装置３２００ａの送信処理部３２０６は、正常ログダウンサンプリング部３２０８によってダウンサンプリングされた少なくとも１つの正常ログを出力する。つまり、送信処理部３２０６は、ダウンサンプリングされた少なくとも１つの正常ログの第１のサーバ１１００への送信を、車両３０００の送信部３１２０に実行させる（ステップＳ１１３）。これにより、そのダウンサンプリングされた少なくとも１つの正常ログが第１のサーバ１１００の正常ログ記憶部１１１０に送信される。 Next, the normal log downsampling unit 3208 determines whether or not the number of normal logs stored in the storage unit 3204 is greater than a predetermined threshold (step S112). Here, when the normal log downsampling unit 3208 determines that the number of normal logs is equal to or less than the threshold (No in step S112), the monitoring device 3200a repeats the process from step S101. On the other hand, when the normal log down-sampling unit 3208 determines that the number of normal logs is greater than the threshold (Yes in step S112), it down-samples the normal logs stored in the storage unit 3204. FIG. Then, the transmission processing unit 3206 of the monitoring device 3200a outputs at least one normal log down-sampled by the normal log down-sampling unit 3208. FIG. That is, the transmission processing unit 3206 causes the transmission unit 3120 of the vehicle 3000 to transmit at least one downsampled normal log to the first server 1100 (step S113). As a result, at least one down-sampled normal log is transmitted to the normal log storage unit 1110 of the first server 1100 .

一方、ステップＳ１０２において、走行状態が異常であると判定されると（ステップＳ１０２のＮｏ）、監視装置３２００ａの送信処理部３２０６は、車両３０００の送信部３１２０に対して、その走行状態を示す情報である異常ログを第２のサーバ１２００に送信させる（ステップＳ１０４）。これにより、その異常ログが第２のサーバ１２００の異常ログ記憶部１２１０に送信される。また、このときには、監視装置３２００の通知部３２０７は、車両３０００の送信部３１２０に対して、異常通知を第２のサーバ１２００に送信させる。 On the other hand, when it is determined in step S102 that the running state is abnormal (No in step S102), the transmission processing unit 3206 of the monitoring device 3200a transmits information indicating the running state to the transmission unit 3120 of the vehicle 3000. is transmitted to the second server 1200 (step S104). As a result, the error log is sent to the error log storage unit 1210 of the second server 1200 . At this time, notification unit 3207 of monitoring device 3200 causes transmission unit 3120 of vehicle 3000 to transmit an abnormality notification to second server 1200 .

第１のサーバ１１００は、ステップＳ１１３で送信された、ダウンサンプリングされた少なくとも１つの正常ログを受信し、その少なくとも１つの正常ログを正常ログ記憶部１１１０に格納する（ステップＳ１１４）。 The first server 1100 receives at least one downsampled normal log transmitted in step S113, and stores the at least one normal log in the normal log storage unit 1110 (step S114).

図９は、実施の形態２における車両監視システム１０の処理動作の他の一部を示すシーケンス図である。具体的には、図９は、異常検知装置１２３０ａと、正常ログ記憶部１１１０と、異常ログ記憶部１２１０との間の処理動作を示すシーケンス図である。 FIG. 9 is a sequence diagram showing another part of the processing operation of the vehicle monitoring system 10 according to the second embodiment. Specifically, FIG. 9 is a sequence diagram showing processing operations among the anomaly detection device 1230a, the normal log storage unit 1110, and the anomaly log storage unit 1210. As shown in FIG.

異常検知装置１２３０ａは、車両３０００の監視装置３２００ａから異常通知を受信すると（ステップＳ１０７）、その異常通知をトリガーに、走行状態の再現を開始する。すなわち、異常検知装置１２３０ａの異常ログ取得部１２３５は、第２のサーバ１２００の異常ログ記憶部１２１０から異常ログを取得する（ステップＳ１１５）。 When the abnormality detection device 1230a receives the abnormality notification from the monitoring device 3200a of the vehicle 3000 (step S107), the abnormality detection device 1230a uses the abnormality notification as a trigger to start reproducing the running state. That is, the error log acquisition unit 1235 of the error detection device 1230a acquires the error log from the error log storage unit 1210 of the second server 1200 (step S115).

次に、異常検知装置１２３０ａの正常ログ取得部１２３３は、第１のサーバ１１００の正常ログ記憶部１１１０から、ダウンサンプリングされた少なくとも１つの正常ログを取得する。そして、正常ログアップサンプリング部１２３８は、その少なくとも１つの正常ログをアップサンプリングする（ステップＳ１１６）。これにより、補間ログが生成される。補間ログは、車両３０００の監視装置３２００ａにおいて実際に取得された複数の正常ログのうち、ダウンサンプリングによって第１のサーバ１１００に送信されなかった正常ログの代わりとして扱われる。 Next, the normal log acquisition unit 1233 of the anomaly detection device 1230 a acquires at least one down-sampled normal log from the normal log storage unit 1110 of the first server 1100 . The normal log upsampling unit 1238 then upsamples at least one normal log (step S116). This produces an interpolation log. The interpolation log is treated as a substitute for the normal log that has not been transmitted to the first server 1100 by downsampling, among the multiple normal logs actually acquired by the monitoring device 3200a of the vehicle 3000. FIG.

次に、ログ結合部１２３６は、補間ログを含む複数の正常ログと、異常ログとを結合することによって、結合ログを生成する。これにより、走行状態が再現される（ステップＳ１１７）。 Next, the log combining unit 1236 generates a combined log by combining multiple normal logs including the interpolation log and the abnormal log. As a result, the running state is reproduced (step S117).

そして、異常検知装置１２３０ａのログ解析部１２３２は、その再現された走行状態、すなわち結合ログを解析することによって、例えば、異常ログが発生した原因を特定して表示する（ステップＳ１０９）。 Then, the log analysis unit 1232 of the abnormality detection device 1230a identifies and displays, for example, the cause of the occurrence of the abnormality log by analyzing the reproduced running state, that is, the combined log (step S109).

図１０は、実施の形態２における正常ログのダウンサンプリングの例を説明するための図である。 FIG. 10 is a diagram for explaining an example of normal log downsampling according to the second embodiment.

本実施の形態における監視装置３２００ａの走行状態取得部３２０３は、実施の形態１と同様、ＣＡＮコマンドを取得するごとに、そのＣＡＮコマンドによって示される走行速度と、その走行速度が現れた時刻とを対応付けることによってログを生成する。 Every time a CAN command is acquired, the running state acquisition unit 3203 of the monitoring device 3200a in the present embodiment acquires the running speed indicated by the CAN command and the time when the running speed appears, as in the first embodiment. Generate logs by mapping.

監視装置３２００ａの異常判定部３２０５は、例えば５つのログによって示される走行速度うち、時刻「３」の走行速度「８０」が異常であると判定し、時刻「１、２、４、５」のそれぞれの走行速度「１０、２０、４０、５０」が正常であると判定する。そして、異常判定部３２０５は、時刻「３」の走行速度「８０」を示すログを異常ログとして監視装置３２００の記憶部３２０４に一時的に格納する。さらに、異常判定部３２０５は、時刻「１」の走行速度「１０」を示すログ、時刻「２」の走行速度「２０」を示すログ、時刻「４」の走行速度「４０」を示すログ、および時刻「５」の走行速度「５０」を示すログをそれぞれ、正常ログとして監視装置３２００ａの記憶部３２０４に一時的に格納する。 The abnormality determination unit 3205 of the monitoring device 3200a determines that the running speed "80" at time "3" is abnormal among the running speeds indicated by the five logs, for example, and determines that the running speed "80" at time "3" is abnormal. It is determined that each traveling speed "10, 20, 40, 50" is normal. Then, the abnormality determination unit 3205 temporarily stores the log indicating the traveling speed "80" at the time "3" in the storage unit 3204 of the monitoring device 3200 as an abnormality log. Furthermore, the abnormality determination unit 3205 determines a log indicating a traveling speed of “10” at time “1”, a log indicating a traveling speed of “20” at time “2”, a log indicating a traveling speed of “40” at time “4”, and a log indicating running speed "50" at time "5" are temporarily stored as normal logs in storage unit 3204 of monitoring device 3200a.

監視装置３２００ａの正常ログダウンサンプリング部３２０８は、記憶部３２０４に格納されている正常ログの数が閾値を超えている場合に、その正常ログをダウンサンプリングする。例えば、閾値が３の場合、正常ログダウンサンプリング部３２０８は、時刻「１」の走行速度「１０」を示す正常ログ、時刻「２」の走行速度「２０」を示す正常ログ、時刻「４」の走行速度「４０」を示す正常ログ、および時刻「５」の走行速度「５０」を示す正常ログをダウンサンプリングする。その結果、正常ログダウンサンプリング部３２０８は、ダウンサンプリングされた正常ログとして、例えば、時刻「１」の走行速度「１０」を示す正常ログおよび時刻「５」の走行速度「５０」を示す正常ログを、記憶部３２０４に一時的に格納する。 When the number of normal logs stored in the storage unit 3204 exceeds a threshold, the normal log down-sampling unit 3208 of the monitoring device 3200a down-samples the normal logs. For example, when the threshold is 3, the normal log downsampling unit 3208 extracts a normal log indicating a running speed of "10" at time "1", a normal log indicating a running speed of "20" at time "2", a normal log indicating a running speed of "20" at time "4", and a and a normal log indicating a running speed of "50" at time "5". As a result, the normal log down-sampling unit 3208 generates, for example, a normal log indicating a running speed of “10” at time “1” and a normal log indicating a running speed of “50” at time “5” as down-sampled normal logs. is temporarily stored in the storage unit 3204 .

監視装置３２００ａの送信処理部３２０６は、記憶部３２０４に格納されている異常ログを車両３０００の送信部３１２０に出力する。そして、送信処理部３２０６は、その異常ログの第２のサーバ１２００への送信を、その送信部３１２０に実行させる。これにより、記憶部３２０４に格納されている異常ログ、すなわち時刻「３」の走行速度「８０」を示す異常ログが、第２のサーバ１２００の異常ログ記憶部１２１０に格納される。 Transmission processing unit 3206 of monitoring device 3200 a outputs the abnormality log stored in storage unit 3204 to transmission unit 3120 of vehicle 3000 . Then, the transmission processing unit 3206 causes the transmission unit 3120 to transmit the error log to the second server 1200 . As a result, the error log stored in the storage unit 3204 , that is, the error log indicating the travel speed “80” at the time “3” is stored in the error log storage unit 1210 of the second server 1200 .

さらに、監視装置３２００ａの送信処理部３２０６は、記憶部３２０４に格納されているダウンサンプリングされた正常ログを車両３０００の送信部３１２０に出力する。そして、送信処理部３２０６は、そのダウンサンプリングされた正常ログの第１のサーバ１１００への送信を、その送信部３１２０に実行させる。これにより、記憶部３２０４に格納されているダウンサンプリングされた正常ログが、第１のサーバ１１００の正常ログ記憶部１１１０に格納される。つまり、時刻「１」の走行速度「１０」を示す正常ログおよび時刻「５」の走行速度「５０」を示す正常ログが、正常ログ記憶部１１１０に格納される。 Furthermore, the transmission processing unit 3206 of the monitoring device 3200 a outputs the down-sampled normal log stored in the storage unit 3204 to the transmission unit 3120 of the vehicle 3000 . Then, the transmission processing unit 3206 causes the transmission unit 3120 to transmit the downsampled normal log to the first server 1100 . As a result, the down-sampled normal log stored in the storage unit 3204 is stored in the normal log storage unit 1110 of the first server 1100 . In other words, the normal log storage unit 1110 stores a normal log indicating the travel speed “10” at the time “1” and a normal log indicating the travel speed “50” at the time “5”.

図１１は、実施の形態２における正常ログのアップサンプリングの例を説明するための図である。 FIG. 11 is a diagram for explaining an example of normal log upsampling according to the second embodiment.

異常検知装置１２３０ａの異常ログ取得部１２３５は、異常ログ記憶部１２１０に格納されている異常ログを取得し、その異常ログを記憶部１２３４に一時的に保存する。その異常ログは、時刻「３」の走行速度「８０」を示すログである。 The error log acquisition unit 1235 of the error detection device 1230 a acquires the error log stored in the error log storage unit 1210 and temporarily stores the error log in the storage unit 1234 . The anomaly log is a log indicating a running speed of "80" at time "3".

さらに、異常検知装置１２３０ａの正常ログ取得部１２３３は、正常ログ記憶部１１１０に格納されているダウンサンプリングされた２つの正常ログを取得し、その２つの正常ログを記憶部１２３４に一時的に保存する。その２つの正常ログは、時刻「１」の走行速度「１０」を示す正常ログおよび時刻「５」の走行速度「５０」を示す正常ログである。 Furthermore, the normal log acquisition unit 1233 of the anomaly detection device 1230a acquires the two down-sampled normal logs stored in the normal log storage unit 1110, and temporarily stores the two normal logs in the storage unit 1234. do. The two normal logs are a normal log indicating a running speed of "10" at time "1" and a normal log indicating a running speed of "50" at time "5".

ここで、本実施の形態における異常検知装置１２３０ａの正常ログアップサンプリング部１２３８は、記憶部１２３４に保存されているダウンサンプリングされた２つの正常ログをアップサンプリングする。これにより、３つの補間ログが生成される。これらの３つの補間ログは、時刻「２」の走行速度「２０」を示す補間ログ、時刻「３」の走行速度「３０」を示す補間ログ、および時刻「４」の走行速度「４０」を示す補間ログである。これらの補間ログは、車両３０００の監視装置３２００ａにおいて実際に取得された複数の正常ログのうち、ダウンサンプリングによって第１のサーバ１１００に送信されなかった正常ログの代わりとして扱われる。したがって、上述のアップサンプリングによって、５つの正常ログが記憶部１２３４に格納される。これらの５つの正常ログは、時刻「１」の走行速度「１０」を示す正常ログ、時刻「２」の走行速度「２０」を示す正常ログ、時刻「３」の走行速度「３０」を示す正常ログ、時刻「４」の走行速度「４０」を示すログ、および時刻「５」の走行速度「５０」を示すログである。 Here, the normal log up-sampling unit 1238 of the anomaly detection device 1230 a according to the present embodiment up-samples the two down-sampled normal logs stored in the storage unit 1234 . This produces three interpolation logs. These three interpolation logs are an interpolation log indicating a running speed of "20" at time "2", an interpolation log indicating a running speed of "30" at time "3", and a running speed of "40" at time "4". is the interpolation log shown. These interpolated logs are treated as substitutes for the normal logs that were not transmitted to the first server 1100 by downsampling, among the multiple normal logs actually acquired by the monitoring device 3200a of the vehicle 3000. FIG. Therefore, five normal logs are stored in the storage unit 1234 by the upsampling described above. These five normal logs are a normal log indicating a running speed of "10" at time "1", a normal log indicating a running speed of "20" at time "2", and a running speed of "30" at time "3". A normal log, a log indicating a running speed of "40" at time "4", and a log indicating a running speed of "50" at time "5".

異常検知装置１２３０ａのログ結合部１２３６は、５つの正常ログと異常ログとを結合する。つまり、ログ結合部１２３６は、５つの正常ログと異常ログとを、それぞれのログによって示される時刻の順に配列することによって結合ログを生成する。ここで、５つの正常ログに含まれる補間ログの時刻と、異常ログの時刻とが一致する場合がある。この場合には、ログ結合部１２３６は、補間ログを、時刻が一致する異常ログに置き換える。例えば、時刻「３」の走行速度「３０」を示す補間ログと、時刻「３」の走行速度「８０」を示す異常ログとは、時刻が一致する。この場合、ログ結合部１２３６は、５つの正常ログのうち、異常ログと時刻が一致する補間ログ、すなわち時刻「３」の走行速度「３０」を示す補間ログを、時刻「３」の走行速度「８０」を示す異常ログに置き換える。これにより、車両３０００の走行状態が再現される。 The log combiner 1236 of the anomaly detection device 1230a combines the five normal logs and the anomaly logs. That is, the log combiner 1236 generates a combined log by arranging the five normal logs and the five error logs in order of time indicated by each log. Here, the times of the interpolation logs included in the five normal logs may coincide with the times of the error logs. In this case, the log combining unit 1236 replaces the interpolation log with an error log with the same time. For example, the interpolation log indicating the travel speed "30" at the time "3" and the abnormality log indicating the travel speed "80" at the time "3" coincide in time. In this case, of the five normal logs, the log combining unit 1236 selects the interpolation log whose time coincides with the time of the error log, that is, the interpolation log indicating the running speed of time “3” and the running speed of time “3”. Replace with an error log indicating "80". As a result, the running state of vehicle 3000 is reproduced.

以上のように、本実施の形態では、車両３０００において、正常と判定されたログである正常ログがダウンサンプリングされ、そのダウンサンプリングによって得られた正常ログが第１のサーバ１１００に送信されて、正常ログ記憶部１１１０に格納される。したがって、車両３０００から第１のサーバ１１００に送信される正常ログのデータ量を抑えることができる。さらに、第１のサーバ１１００の正常ログ記憶部１１１０のストレージ容量をさらに削減することができる。また、正常ログがダウンサンプリングされても、異常検知装置１２３０ａでは、その正常ログがアップサンプリングされる。したがって、正常ログの不足によって車両３０００の異常の解析が困難になってしまうことを抑えることができる。 As described above, in the present embodiment, in vehicle 3000, the normal log, which is the log determined to be normal, is down-sampled, and the normal log obtained by the down-sampling is transmitted to first server 1100, It is stored in the normal log storage unit 1110 . Therefore, the amount of normal log data transmitted from vehicle 3000 to first server 1100 can be reduced. Furthermore, the storage capacity of the normal log storage unit 1110 of the first server 1100 can be further reduced. Moreover, even if the normal log is down-sampled, the normal log is up-sampled in the anomaly detection device 1230a. Therefore, it is possible to prevent difficulty in analyzing an abnormality of vehicle 3000 due to lack of normality logs.

また、本実施の形態では、正常ログ記憶部１１１０に格納される正常ログは、ダウンサンプリングによって得られた正常ログであるため、正常ログ記憶部１１１０に格納される正常ログ間の時間は長い。例えば、実施の形態１では、車両３０００において１秒間に約５０個の正常ログが生成されて、それらの正常ログが正常ログ記憶部１１１０に格納されるため、その正常ログ間の時間は約２０ｍｓである。しかし、本実施の形態では、ダウンサンプリングによって、例えば１秒間に約１個の正常ログが正常ログ記憶部１１１０に格納されるため、その正常ログ間の時間は約１秒である。このように、本実施の形態では、正常ログ記憶部１１１０に格納される正常ログは疎らであるが、サービス提供部１１５０は、約２０ｍｓごとの正常ログを必要とすることなく、約１秒ごとの正常ログで適切にサービスを車両３０００に提供することができる。 Further, in the present embodiment, the normal logs stored in normal log storage unit 1110 are normal logs obtained by downsampling, so the time between normal logs stored in normal log storage unit 1110 is long. For example, in Embodiment 1, vehicle 3000 generates about 50 normal logs per second, and since these normal logs are stored in normal log storage unit 1110, the time between normal logs is about 20 ms. is. However, in this embodiment, by downsampling, for example, about one normal log is stored in the normal log storage unit 1110 per second, so the time between normal logs is about one second. As described above, in this embodiment, the normal logs stored in the normal log storage unit 1110 are sparse, but the service providing unit 1150 does not require the normal logs to be generated approximately every 20 ms, and service can be appropriately provided to the vehicle 3000 with a normal log of .

（実施の形態３）
実施の形態１および２の車両監視システム１０では、全ての異常ログが車両３０００から第２のサーバ１２００に送信される。しかし、正常ログと同様に、ダウンサンプリングおよびアップサンプリングを用いれば、状況に応じて全ての異常ログを第２のサーバ１２００に送信しなくてもよい場合がある。そこで、本実施の形態では、状況に応じて、異常ログが、車両３０００においてダウンサンプリングされ、第２のサーバ１２００においてアップサンプリングされる。 (Embodiment 3)
In vehicle monitoring systems 10 of the first and second embodiments, all anomaly logs are transmitted from vehicle 3000 to second server 1200 . However, as with normal logs, if downsampling and upsampling are used, depending on the situation, it may not be necessary to send all the error logs to the second server 1200 . Therefore, in the present embodiment, the abnormality log is down-sampled in vehicle 3000 and up-sampled in second server 1200 depending on the situation.

本実施の形態における車両監視システム１０は、図１に示す構成を有するが、異常検知装置１２３０および監視装置３２００の代わりに、異常検知装置１２３０ｂおよび監視装置３２００ｂを備える。 Vehicle monitoring system 10 in the present embodiment has the configuration shown in FIG.

［監視装置］
図１２は、実施の形態３における監視装置３２００ｂのブロック図である。なお、図１２に示す各構成要素のうち、実施の形態１の構成要素と同一のものに対しては、実施の形態１と同一の符号を付し、詳細な説明を省略する。 [Monitoring device]
FIG. 12 is a block diagram of monitoring device 3200b according to the third embodiment. 12 that are the same as those in the first embodiment are assigned the same reference numerals as those in the first embodiment, and detailed description thereof will be omitted.

本実施の形態における監視装置３２００ｂは、実施の形態１の監視装置３２００と同様に、制御部３２０１と、送信先判定部３２０２と、走行状態取得部３２０３と、記憶部３２０４と、異常判定部３２０５と、送信処理部３２０６と、通知部３２０７とを備える。ここで、さらに、本実施の形態における監視装置３２００ｂは、状況判断部３２０９と、ログダウンサンプリング部３２０８ｂとを備える。 Monitoring device 3200b in the present embodiment includes control unit 3201, transmission destination determination unit 3202, running state acquisition unit 3203, storage unit 3204, and abnormality determination unit 3205, similarly to monitoring device 3200 in the first embodiment. , a transmission processing unit 3206 and a notification unit 3207 . Here, monitoring device 3200b in the present embodiment further includes situation determination section 3209 and log downsampling section 3208b.

状況判断部３２０９は、異常ログがダウンサンプリング可能な状況か否かを判断する。具体的には、状況判断部３２０９は、例えば、（ｉ）異常ログによって示される車両３０００の状態の種別、（ｉｉ）異常ログの緊急性の有無、および、（ｉｉｉ）異常ログが現れる周期性の有無のうちの、少なくとも１つに基づいて、異常ログがダウンサンプリング可能な状況か否かを判断する。より具体的には、異常ログによって示される車両３０００の状態の種別が、車両３０００の重要な動作（例えば、走る、曲がる、および止まるなど）である場合、状況判断部３２０９は、その異常ログがダウンサンプリング可能な状況ではないと判断する。一方、異常ログによって示される車両３０００の状態の種別が、車両３０００の重要な動作でない場合、例えば、ワイパーの動作などである場合、状況判断部３２０９は、その異常ログがダウンサンプリング可能な状況であると判断する。あるいは、状況判断部３２０９は、異常ログが緊急性を有する場合には、その異常ログがダウンサンプリング可能な状況でないと判断し、逆に、異常ログが緊急性を有しない場合には、その異常ログがダウンサンプリング可能な状況であると判断する。例えば、車両３０００の制動に関する異常ログは、緊急性を有し、車両３０００のエアコンまたはオーディオなどに関する異常ログは、緊急性を有しない。あるいは、状況判断部３２０９は、異常ログが周期性を有する場合には、その異常ログがダウンサンプリング可能な状況であると判断し、逆に、異常ログが周期性を有しない場合には、その異常ログがダウンサンプリング可能な状況でないと判断する。例えば、車両３０００のワイパーが左右に振れ動く動作の異常ログは、周期性を有し、車両３０００の急ブレーキの異常ログは、周期性を有しない。 The status determination unit 3209 determines whether downsampling of the error log is possible. Specifically, the situation determination unit 3209 determines, for example, (i) the type of the state of the vehicle 3000 indicated by the error log, (ii) whether or not the error log is urgent, and (iii) the periodicity with which the error log appears. Based on at least one of the presence or absence of, it is determined whether or not the error log can be down-sampled. More specifically, if the type of state of vehicle 3000 indicated by the abnormality log is an important operation of vehicle 3000 (for example, running, turning, stopping, etc.), situation determination unit 3209 determines that the abnormality log is It is determined that downsampling is not possible. On the other hand, if the type of state of vehicle 3000 indicated by the abnormality log is not an important operation of vehicle 3000, for example, if the wiper operation is performed, situation determination unit 3209 determines that the abnormality log can be down-sampled. judge there is. Alternatively, the situation determination unit 3209 determines that downsampling of the error log is not possible when the error log has urgency, and conversely, when the error log does not have urgency, the error log Determine that the log is in a situation where downsampling is possible. For example, an abnormality log related to braking of vehicle 3000 has urgency, and an abnormality log related to the air conditioner or audio of vehicle 3000 does not have urgency. Alternatively, if the error log has periodicity, the status determination unit 3209 determines that the error log is in a situation where downsampling is possible. Determine that the error log is not in a situation where downsampling is possible. For example, the abnormality log of the operation of the wiper of the vehicle 3000 swaying left and right has periodicity, and the abnormality log of the sudden braking of the vehicle 3000 does not have the periodicity.

ログダウンサンプリング部３２０８ｂは、実施の形態２の正常ログダウンサンプリング部３２０８と同様に、記憶部３２０４に一時的に保存されている複数のログのうちの正常ログをダウンサンプリングする。さらに、ログダウンサンプリング部３２０８ｂは、状況判断部３２０９によって判断された状況に応じて、記憶部３２０４に一時的に保存されている複数のログのうちの異常ログをダウンサンプリングする。つまり、ログダウンサンプリング部３２０８ｂは、状況判断部３２０９によって異常ログがダウンサンプリング可能な状況であると判断されると、異常ログをダウンサンプリングする。一方、ログダウンサンプリング部３２０８ｂは、状況判断部３２０９によって異常ログがダウンサンプリング可能な状況でないと判断されると、異常ログをダウンサンプリングしない。この異常ログのダウンサンプリングでは、正常ログのダウンサンプリングと同様、記憶部３２０４に一時的に保存されている全ての異常ログが取得されることなく、予め定められたサンプリング周期にしたがって、一部の異常ログのみが取得される。 The log down-sampling unit 3208b down-samples normal logs out of a plurality of logs temporarily stored in the storage unit 3204, like the normal log down-sampling unit 3208 of the second embodiment. Furthermore, the log down-sampling unit 3208b down-samples the abnormal logs among the plurality of logs temporarily stored in the storage unit 3204 according to the situation determined by the situation determination unit 3209. FIG. In other words, the log down-sampling unit 3208b down-samples the error log when the situation determination unit 3209 determines that down-sampling of the error log is possible. On the other hand, the log down-sampling unit 3208b does not down-sample the error log when the situation determination unit 3209 determines that down-sampling of the error log is not possible. In this error log downsampling, as in the normal log downsampling, all the error logs temporarily stored in the storage unit 3204 are not acquired, and some of the error logs are sampled according to a predetermined sampling period. Only anomaly logs are retrieved.

また、本実施の形態における送信処理部３２０６は、正常ログの送信では、ダウンサンプリングによって得られた正常ログを第１のサーバ１１００に送信する。さらに、状況判断部３２０９によって異常ログがダウンサンプリング可能な状況であると判断された場合には、送信処理部３２０６は、その異常ログの送信では、ダウンサンプリングによって得られた異常ログを第２のサーバ１２００に送信する。つまり、異常ログがダウンサンプリングされない場合には、送信処理部３２０６は、記憶部３２０４に異常ログが保存されるたびに、その異常ログを、車両３０００の送信部３１２０を用いて第２のサーバ１２００に送信する。しかし、異常ログがダウンサンプリングされる場合には、送信処理部３２０６は、記憶部３２０４に異常ログが保存されるたびに、その異常ログを送信することは行わない。この場合には、送信処理部３２０６は、ログダウンサンプリング部３２０８ｂによってサンプリングされた一部の異常ログのみを、車両３０００の送信部３１２０を用いて第２のサーバ１２００に送信する。 Further, the transmission processing unit 3206 according to the present embodiment transmits the normal log obtained by downsampling to the first server 1100 when transmitting the normal log. Furthermore, when the status determination unit 3209 determines that downsampling of the error log is possible, the transmission processing unit 3206 sends the error log obtained by the downsampling to the second Send to server 1200 . That is, when the error log is not down-sampled, every time an error log is saved in the storage unit 3204, the transmission processing unit 3206 sends the error log to the second server 1200 using the transmission unit 3120 of the vehicle 3000. Send to However, when the error log is down-sampled, the transmission processing unit 3206 does not send the error log each time it is saved in the storage unit 3204 . In this case, the transmission processing unit 3206 transmits only part of the error logs sampled by the log downsampling unit 3208 b to the second server 1200 using the transmission unit 3120 of the vehicle 3000 .

［異常検知装置］
図１３は、実施の形態３における異常検知装置１２３０ｂのブロック図である。なお、図１３に示す各構成要素のうち、実施の形態１の構成要素と同一のものに対しては、実施の形態１と同一の符号を付し、詳細な説明を省略する。 [Abnormality detection device]
FIG. 13 is a block diagram of an abnormality detection device 1230b according to the third embodiment. 13 that are the same as those in the first embodiment are assigned the same reference numerals as those in the first embodiment, and detailed description thereof will be omitted.

本実施の形態における異常検知装置１２３０ｂは、実施の形態１の異常検知装置１２３０と同様に、制御部１２３１と、ログ解析部１２３２と、正常ログ取得部１２３３と、記憶部１２３４と、異常ログ取得部１２３５と、ログ結合部１２３６と、表示部１２３７とを備える。さらに、本実施の形態における異常検知装置１２３０ｂは、ログアップサンプリング部１２３８ｂを備える。 Similar to the anomaly detection device 1230 of the first embodiment, the anomaly detection device 1230b in the present embodiment includes a control unit 1231, a log analysis unit 1232, a normal log acquisition unit 1233, a storage unit 1234, an anomaly log acquisition A unit 1235 , a log combining unit 1236 , and a display unit 1237 are provided. Furthermore, the anomaly detection device 1230b in the present embodiment includes a log-up sampling section 1238b.

ログアップサンプリング部１２３８ｂは、実施の形態２の正常ログアップサンプリング部１２３８と同様に、記憶部１２３４に一時的に保存されている正常ログをアップサンプリングする。 The log up-sampling unit 1238b up-samples normal logs temporarily stored in the storage unit 1234 in the same manner as the normal log up-sampling unit 1238 of the second embodiment.

さらに、監視装置３２００ｂの状況判断部３２０９によって異常ログがダウンサンプリング可能な状況であると判断された場合には、ログアップサンプリング部１２３８ｂは、異常ログ取得部１２３５によって取得された異常ログをアップサンプリングすることによって、その異常ログを含む複数の異常ログを生成する。 Furthermore, when the status determination unit 3209 of the monitoring device 3200b determines that downsampling of the error log is possible, the log upsampling unit 1238b performs upsampling of the error log acquired by the error log acquisition unit 1235. to generate multiple error logs including that error log.

つまり、監視装置３２００ｂによって異常ログのダウンサンプリングが行われる場合には、ログアップサンプリング部１２３８ｂは、記憶部１２３４に一時的に保存されている異常ログをアップサンプリングする。言い換えれば、ログアップサンプリング部１２３８ｂは、記憶部１２３４に保存されている異常ログから、その異常ログの時刻と異なる時刻の他の異常ログ（補間ログともいう）を推定することによって、その補間ログを生成する。この補間ログは、記憶部１２３４に保存されている異常ログに基づいて例えば線形補間などによって生成される。これによって、記憶部１２３４に保存されている異常ログと、生成された補間ログとを含む、新たな複数の異常ログが生成される。 That is, when the monitoring device 3200b down-samples the error log, the log up-sampling unit 1238b up-samples the error log temporarily stored in the storage unit 1234. FIG. In other words, the log up-sampling unit 1238b estimates another error log (also referred to as an interpolation log) at a time different from the time of the error log from the error log saved in the storage unit 1234, thereby extracting the interpolation log. to generate This interpolation log is generated by, for example, linear interpolation based on the abnormality log saved in the storage unit 1234 . As a result, a plurality of new error logs are generated including the error log saved in the storage unit 1234 and the generated interpolation log.

なお、ログアップサンプリング部１２３８ｂは、異常ログが監視装置３２００ｂにおいてダウンサンプリングされているか否かを、予め定められた規則にしたがって判断してもよく、監視装置３２００ｂの通知部３２０７からの通知に基づいて判断してもよい。 Note that the log upsampling unit 1238b may determine whether or not the error log has been downsampled in the monitoring device 3200b according to a predetermined rule, based on the notification from the notification unit 3207 of the monitoring device 3200b. You can judge

また、本実施の形態におけるログ結合部１２３６は、監視装置３２００ｂの状況判断部３２０９によって異常ログがダウンサンプリング可能な状況であると判断された場合には、ログアップサンプリング部１２３８ｂによって生成された複数の正常ログと複数の異常ログとを結合することによって、結合ログを生成する。つまり、監視装置３２００ｂによって正常ログだけでなく異常ログのダウンサンプリングも行われる場合には、ログ結合部１２３６は、アップサンプリングによって生成された複数の正常ログと複数の異常ログとを結合する。したがって、異常ログのダウンサンプリングも行われる場合には、本実施の形態におけるログ解析部１２３２は、ログアップサンプリング部１２３８ｂによって生成された複数の正常ログと複数の異常ログとを解析する。一方、監視装置３２００ｂによって正常ログだけがダウンサンプリングされる場合には、ログ結合部１２３６は、アップサンプリングによって生成された複数の正常ログと、異常ログとを結合する。 In addition, when the status determination unit 3209 of the monitoring device 3200b determines that downsampling of the error log is possible, the log combining unit 1236 in the present embodiment A combined log is generated by combining the normal log and a plurality of error logs. That is, when the monitoring device 3200b down-samples not only normal logs but also abnormal logs, the log combining unit 1236 combines multiple normal logs and multiple abnormal logs generated by up-sampling. Therefore, when error logs are also down-sampled, the log analysis unit 1232 in this embodiment analyzes the multiple normal logs and the multiple error logs generated by the log up-sampling unit 1238b. On the other hand, when only the normal logs are down-sampled by the monitoring device 3200b, the log combiner 1236 combines multiple normal logs generated by up-sampling and the error log.

［処理動作］
図１４は、実施の形態３における車両監視システム１０の処理動作の一部を示すシーケンス図である。具体的には、図１４は、監視装置３２００ｂと、第１のサーバ１１００と、第２のサーバ１２００との間の処理動作を示すシーケンス図である。 [Processing operation]
FIG. 14 is a sequence diagram showing part of the processing operation of the vehicle monitoring system 10 according to the third embodiment. Specifically, FIG. 14 is a sequence diagram showing processing operations among the monitoring device 3200b, the first server 1100, and the second server 1200. As shown in FIG.

本実施の形態における車両監視システム１０は、実施の形態２の車両監視システム１０による図８に示すステップＳ１０１、Ｓ１０２、およびＳ１１１～Ｓ１１４と同様の処理を実行する。 The vehicle monitoring system 10 according to the present embodiment executes the same processes as steps S101, S102, and S111 to S114 shown in FIG. 8 by the vehicle monitoring system 10 according to the second embodiment.

つまり、監視装置３２００ｂの走行状態取得部３２０３は、ＥＣＵ３００１～３００３の何れかからデータとしてＣＡＮコマンドを受信する（ステップＳ１０１）。そして、監視装置３２００ｂの異常判定部３２０５は、そのＣＡＮコマンドによって示される走行状態が正常であるか否かを判定する（ステップＳ１０２）。 That is, the running state acquisition unit 3203 of the monitoring device 3200b receives a CAN command as data from any of the ECUs 3001 to 3003 (step S101). Then, the abnormality determination unit 3205 of the monitoring device 3200b determines whether or not the running state indicated by the CAN command is normal (step S102).

ここで、その走行状態が正常であると判定されると（ステップＳ１０２のＹｅｓ）、監視装置３２００ｂの走行状態取得部３２０３は、その正常と判定された走行状態を示すログを正常ログとして記憶部３２０４に一時的に保存する（ステップＳ１１１）。 Here, when it is determined that the running state is normal (Yes in step S102), the running state acquisition unit 3203 of the monitoring device 3200b stores the log indicating the running state determined to be normal as a normal log. 3204 temporarily (step S111).

次に、ログダウンサンプリング部３２０８ｂは、記憶部３２０４に格納されている正常ログの数が、予め定められた閾値よりも多いか否かを判定する（ステップＳ１１２）。ここで、ログダウンサンプリング部３２０８ｂによって、正常ログの数が閾値以下であると判定すると（ステップＳ１１２のＮｏ）、監視装置３２００ｂは、ステップＳ１０１からの処理を繰り返し実行する。一方、ログダウンサンプリング部３２０８ｂは、正常ログの数が閾値よりも多いと判定すると（ステップＳ１１２のＹｅｓ）、記憶部３２０４に格納されている正常ログをダウンサンプリングする。そして、監視装置３２００ｂの送信処理部３２０６は、ログダウンサンプリング部３２０８ｂによってダウンサンプリングされた少なくとも１つの正常ログを出力する。つまり、送信処理部３２０６は、ダウンサンプリングされた少なくとも１つの正常ログの第１のサーバ１１００への送信を、車両３０００の送信部３１２０に実行させる（ステップＳ１１３）。これにより、そのダウンサンプリングされた少なくとも１つの正常ログが第１のサーバ１１００の正常ログ記憶部１１１０に送信される。 Next, the log downsampling unit 3208b determines whether or not the number of normal logs stored in the storage unit 3204 is greater than a predetermined threshold (step S112). Here, when the log downsampling unit 3208b determines that the number of normal logs is equal to or less than the threshold (No in step S112), the monitoring device 3200b repeats the processing from step S101. On the other hand, when the log downsampling unit 3208b determines that the number of normal logs is greater than the threshold (Yes in step S112), it downsamples the normal logs stored in the storage unit 3204. FIG. Then, the transmission processing unit 3206 of the monitoring device 3200b outputs at least one normal log downsampled by the log downsampling unit 3208b. That is, the transmission processing unit 3206 causes the transmission unit 3120 of the vehicle 3000 to transmit at least one downsampled normal log to the first server 1100 (step S113). As a result, at least one down-sampled normal log is transmitted to the normal log storage unit 1110 of the first server 1100 .

一方、ステップＳ１０２において走行状態が異常であると判定されると（ステップＳ１０２のＮｏ）、監視装置３２００ｂの状況判断部３２０９は、例えば、異常と判定された走行状態を示すログである異常ログが緊急性を有するか否かを判断する（ステップＳ１２１）。ここで、状況判断部３２０９によって緊急性があると判断されると（ステップＳ１２１のＹｅｓ）、監視装置３２００ｂの送信処理部３２０６は、車両３０００の送信部３１２０に対して、その緊急性を有する異常ログを第２のサーバ１２００に送信させる（ステップＳ１２５）。これにより、その緊急性を有する異常ログが第２のサーバ１２００の異常ログ記憶部１２１０に送信される。 On the other hand, when it is determined that the driving state is abnormal in step S102 (No in step S102), the situation determination unit 3209 of the monitoring device 3200b, for example, stores an abnormality log, which is a log indicating the driving state determined to be abnormal. It is determined whether or not there is urgency (step S121). Here, when the situation determination unit 3209 determines that there is an emergency (Yes in step S121), the transmission processing unit 3206 of the monitoring device 3200b notifies the transmission unit 3120 of the vehicle 3000 of an abnormality having that urgency. The log is transmitted to the second server 1200 (step S125). As a result, the error log having that urgency is sent to the error log storage unit 1210 of the second server 1200 .

また、状況判断部３２０９によって緊急性がないと判断されると（ステップＳ１２１のＮｏ）、状況判断部３２０９は、その異常ログを記憶部３２０４に一時的に保存する（ステップＳ１２２）。 If the situation judgment unit 3209 judges that there is no urgency (No in step S121), the situation judgment unit 3209 temporarily saves the error log in the storage unit 3204 (step S122).

次に、ログダウンサンプリング部３２０８ｂは、記憶部３２０４に格納されている異常ログの数が、予め定められた閾値よりも多いか否かを判定する（ステップＳ１２３）。ここで、ログダウンサンプリング部３２０８ｂによって、異常ログの数が閾値以下であると判定すると（ステップＳ１２３のＮｏ）、監視装置３２００ｂは、ステップＳ１０１からの処理を繰り返し実行する。一方、ログダウンサンプリング部３２０８ｂは、異常ログの数が閾値よりも多いと判定すると（ステップＳ１２３のＹｅｓ）、記憶部３２０４に格納されている異常ログをダウンサンプリングする（ステップＳ１２４）。そして、監視装置３２００ｂの送信処理部３２０６は、ログダウンサンプリング部３２０８ｂによってダウンサンプリングされた少なくとも１つの異常ログを出力する。つまり、送信処理部３２０６は、ダウンサンプリングされた少なくとも１つの異常ログの第２のサーバ１２００への送信を、車両３０００の送信部３１２０に実行させる（ステップＳ１２５）。これにより、そのダウンサンプリングされた少なくとも１つの異常ログが第２のサーバ１２００の異常ログ記憶部１２１０に送信される。 Next, the log downsampling unit 3208b determines whether or not the number of error logs stored in the storage unit 3204 is greater than a predetermined threshold (step S123). Here, when the log downsampling unit 3208b determines that the number of error logs is equal to or less than the threshold (No in step S123), the monitoring device 3200b repeats the process from step S101. On the other hand, when the log down-sampling unit 3208b determines that the number of error logs is greater than the threshold (Yes in step S123), it down-samples the error logs stored in the storage unit 3204 (step S124). Then, the transmission processing unit 3206 of the monitoring device 3200b outputs at least one error log down-sampled by the log down-sampling unit 3208b. That is, the transmission processing unit 3206 causes the transmission unit 3120 of the vehicle 3000 to transmit at least one down-sampled error log to the second server 1200 (step S125). As a result, at least one down-sampled error log is transmitted to the error log storage unit 1210 of the second server 1200 .

第２のサーバ１２００は、ステップＳ１２５で送信された異常ログを受信し、その異常ログを異常ログ記憶部１２１０に格納する（ステップＳ１２６）。 The second server 1200 receives the error log transmitted in step S125, and stores the error log in the error log storage unit 1210 (step S126).

図１５は、実施の形態３における車両監視システム１０の処理動作の他の一部を示すシーケンス図である。具体的には、図１５は、異常検知装置１２３０ｂと、正常ログ記憶部１１１０と、異常ログ記憶部１２１０との間の処理動作を示すシーケンス図である。 FIG. 15 is a sequence diagram showing another part of the processing operation of the vehicle monitoring system 10 according to the third embodiment. Specifically, FIG. 15 is a sequence diagram showing processing operations among the anomaly detection device 1230b, the normal log storage unit 1110, and the anomaly log storage unit 1210. As shown in FIG.

異常検知装置１２３０ｂは、車両３０００の監視装置３２００ｂから異常通知を受信すると（ステップＳ１０７）、その異常通知をトリガーに、走行状態の再現を開始する。すなわち、異常検知装置１２３０ｂの異常ログ取得部１２３５は、第２のサーバ１２００の異常ログ記憶部１２１０から異常ログを取得する（ステップＳ１２７）。この取得された異常ログが、監視装置３２００ｂにおいてダウンサンプリングされた少なくとも１つの異常ログである場合には、異常検知装置１２３０ｂのログアップサンプリング部１２３８ｂは、その少なくとも１つの異常ログをアップサンプリングする。これにより、補間ログが生成される。この補間ログは、車両３０００の監視装置３２００ｂにおいて実際に取得された複数の異常ログのうち、ダウンサンプリングによって第２のサーバ１２００に送信されなかった異常ログの代わりとして扱われる。一方、ステップＳ１２７で取得された異常ログが、監視装置３２００ｂにおいてダウンサンプリングされた少なくとも１つの異常ログではない場合には、異常検知装置１２３０ｂのログアップサンプリング部１２３８ｂは、異常ログのアップサンプリングを行わない。 When the abnormality detection device 1230b receives the abnormality notification from the monitoring device 3200b of the vehicle 3000 (step S107), the abnormality detection device 1230b uses the abnormality notification as a trigger to start reproducing the running state. That is, the error log acquisition unit 1235 of the error detection device 1230b acquires the error log from the error log storage unit 1210 of the second server 1200 (step S127). If the acquired error log is at least one error log down-sampled by the monitoring device 3200b, the log up-sampling unit 1238b of the error detection device 1230b up-samples the at least one error log. This produces an interpolation log. This interpolation log is treated as a substitute for the error log that was not transmitted to the second server 1200 by downsampling, among the plurality of error logs actually acquired by the monitoring device 3200b of the vehicle 3000. FIG. On the other hand, if the error log acquired in step S127 is not at least one error log down-sampled by the monitoring device 3200b, the log up-sampling unit 1238b of the error detection device 1230b performs up-sampling of the error log. do not have.

次に、異常検知装置１２３０ｂの正常ログ取得部１２３３は、第１のサーバ１１００の正常ログ記憶部１１１０から、ダウンサンプリングされた少なくとも１つの正常ログを取得する。そして、ログアップサンプリング部１２３８ｂは、その少なくとも１つの正常ログをアップサンプリングする（ステップＳ１１６）。これにより、補間ログが生成される。補間ログは、車両３０００の監視装置３２００ａにおいて実際に取得された複数の正常ログのうち、ダウンサンプリングによって第１のサーバ１１００に送信されなかった正常ログの代わりとして扱われる。 Next, the normal log acquisition unit 1233 of the anomaly detection device 1230 b acquires at least one down-sampled normal log from the normal log storage unit 1110 of the first server 1100 . Then, the log upsampling unit 1238b upsamples the at least one normal log (step S116). This produces an interpolation log. The interpolation log is treated as a substitute for the normal log that has not been transmitted to the first server 1100 by downsampling, among the multiple normal logs actually acquired by the monitoring device 3200a of the vehicle 3000. FIG.

次に、ログ結合部１２３６は、異常ログがアップサンプリングされていない場合には、補間ログを含む複数の正常ログと、異常ログとを結合することによって、結合ログを生成する。また、ログ結合部１２３６は、異常ログアップサンプリングされた場合には、補間ログを含む複数の正常ログと、補間ログを含む複数の異常ログとを結合することによって、結合ログを生成する。これにより、走行状態が再現される（ステップＳ１２８）。 Next, the log combiner 1236 generates a combined log by combining a plurality of normal logs including the interpolation log and the error log when the error log is not upsampled. Further, when error log up-sampling is performed, the log combining unit 1236 generates a combined log by combining a plurality of normal logs including an interpolation log and a plurality of error logs including an interpolation log. As a result, the running state is reproduced (step S128).

そして、異常検知装置１２３０ｂのログ解析部１２３２は、その再現された走行状態、すなわち結合ログを解析することによって、例えば、異常ログが発生した原因を特定して表示する（ステップＳ１０９）。 Then, the log analysis unit 1232 of the abnormality detection device 1230b identifies and displays, for example, the cause of the occurrence of the abnormality log by analyzing the reproduced running state, that is, the combined log (step S109).

以上のように、本実施の形態では、車両３０００において、状況に応じて、異常と判定されたログである異常ログもダウンサンプリングされる。そして、そのダウンサンプリングによって得られた異常ログが第２のサーバ１２００に送信されて、第２のサーバ１２００の異常ログ記憶部１２１０に格納される。したがって、車両３０００から第２のサーバ１２００に送信される異常ログのデータ量を抑えることができる。さらに、第２のサーバ１２００の異常ログ記憶部１２１０のストレージ容量をさらに削減することができる。また、異常ログがダウンサンプリングされても、異常検知装置１２３０ｂでは、その異常ログがアップサンプリングされる。したがって、異常ログの不足によって車両の異常の解析が困難になってしまうことを抑えることができる。 As described above, in the present embodiment, in vehicle 3000, an abnormality log, which is a log determined to be abnormal, is also down-sampled depending on the situation. Then, the error log obtained by the downsampling is transmitted to the second server 1200 and stored in the error log storage unit 1210 of the second server 1200 . Therefore, the amount of error log data transmitted from vehicle 3000 to second server 1200 can be reduced. Furthermore, the storage capacity of the error log storage unit 1210 of the second server 1200 can be further reduced. Even if the error log is down-sampled, the error detection device 1230b up-samples the error log. Therefore, it is possible to prevent difficulty in analyzing the abnormality of the vehicle due to the shortage of the abnormality log.

（変形例）
上記各実施の形態では、サーバシステム１０００は、第１のサーバ１１００および第２のサーバ１２００からなる。しかし、サーバシステムを構成するサーバの数は１つでもよく、３つ以上であってもよい。本変形例に係るサーバシステムは１つのサーバからなる。 (Modification)
In each embodiment described above, the server system 1000 consists of a first server 1100 and a second server 1200 . However, the number of servers constituting the server system may be one, or three or more. The server system according to this modification consists of one server.

図１６は、本変形例に係る車両監視システムの構成を示す図である。なお、図１６に示す各構成要素のうち、実施の形態１の構成要素と同一のものに対しては、実施の形態１と同一の符号を付し、詳細な説明を省略する。 FIG. 16 is a diagram showing the configuration of a vehicle monitoring system according to this modification. 16 that are the same as those in the first embodiment are assigned the same reference numerals as those in the first embodiment, and detailed description thereof will be omitted.

本変形例に係る車両監視システム２０は、サーバシステム１０００ｃと、車両３０００に搭載された車載ネットワークとを有する。サーバシステム１０００ｃは、１つのサーバ１３００からなる。このサーバ１３００は、正常ログ記憶部１１１０と、異常ログ記憶部１２１０と、受信部１１２１と、サービス提供部１１５０と、異常検知装置１２３０とを備える。受信部１１２１は、実施の形態１の図１に示す受信部１１２０および受信部１２２０のそれぞれの機能を有する。 A vehicle monitoring system 20 according to this modification includes a server system 1000 c and an in-vehicle network mounted on a vehicle 3000 . The server system 1000 c consists of one server 1300 . This server 1300 includes a normal log storage unit 1110 , an error log storage unit 1210 , a reception unit 1121 , a service provision unit 1150 and an error detection device 1230 . Receiving section 1121 has the functions of receiving section 1120 and receiving section 1220 shown in FIG. 1 of Embodiment 1, respectively.

このように、サーバシステム１０００ｃが１つのサーバ１３００から構成されていても、本変形例に係る車両監視システム２０では、上記実施の形態１と同様の作用効果を奏することができる。 In this way, even if the server system 1000c is composed of a single server 1300, the vehicle monitoring system 20 according to this modification can achieve the same effects as those of the first embodiment.

なお、車両監視システム２０は、異常検知装置１２３０および監視装置３２００の代わりに、実施の形態２の異常検知装置１２３０ａおよび監視装置３２００ａ、または、実施の形態３の異常検知装置１２３０ｂおよび監視装置３２００ｂを備えていてもよい。車両監視システム２０が異常検知装置１２３０ａおよび監視装置３２００ａを備えている場合には、車両監視システム２０では、上記実施の形態２と同様の作用効果を奏することができる。また、車両監視システム２０が異常検知装置１２３０ｂおよび監視装置３２００ｂを備えている場合には、車両監視システム２０では、上記実施の形態３と同様の作用効果を奏することができる。 Vehicle monitoring system 20 includes abnormality detection device 1230a and monitoring device 3200a of Embodiment 2, or abnormality detection device 1230b and monitoring device 3200b of Embodiment 3, instead of abnormality detection device 1230 and monitoring device 3200. may be provided. When vehicle monitoring system 20 includes abnormality detection device 1230a and monitoring device 3200a, vehicle monitoring system 20 can achieve the same effects as those of the second embodiment. Further, when vehicle monitoring system 20 includes abnormality detection device 1230b and monitoring device 3200b, vehicle monitoring system 20 can achieve the same effects as those of the third embodiment.

また、サーバシステム１０００ｃが１つのサーバ１３００から構成されている場合には、正常ログ記憶部１１１０および異常ログ記憶部１２１０は、互いに独立した２つの記憶部ではなく、１つの記憶部から構成されていてもよい。つまり、１つの記憶部に、正常ログおよび異常ログが格納されてもよい。このような場合でも、監視装置３２００の送信処理部３２０６からネットワーク２０００を介して送信される正常ログおよび異常ログがそれぞれ識別可能な状態で１つの記憶部に格納されればよい。例えば、１つの記憶部の記憶領域を２つの領域に分け、一方の領域に正常ログを格納し、他方の領域に異常ログを格納することによって、正常ログおよび異常ログをそれぞれ識別可能な状態で１つの記憶部に格納してもよい。あるいは、正常ログに対して０を示すフラグを付し、異常ログに対して１を示すフラグを付すことによって、正常ログおよび異常ログをそれぞれ識別可能な状態で１つの記憶部に格納してもよい。このように、正常ログ記憶部１１１０および異常ログ記憶部１２１０が１つの記憶部から構成されていても、正常ログおよび異常ログがそれぞれ識別可能な状態で１つの記憶部に格納されれば、上記各実施の形態と同様の作用効果を奏することができる。 Further, when the server system 1000c is composed of one server 1300, the normal log storage unit 1110 and the error log storage unit 1210 are composed of one storage unit instead of two independent storage units. may In other words, the normal log and the error log may be stored in one storage unit. Even in such a case, the normal log and the abnormal log transmitted from the transmission processing unit 3206 of the monitoring device 3200 via the network 2000 may be stored in one storage unit in an identifiable state. For example, by dividing the storage area of one storage unit into two areas, normal logs are stored in one area, and error logs are stored in the other area, the normal logs and the error logs can be distinguished from each other. You may store in one memory|storage part. Alternatively, by attaching a flag indicating 0 to the normal log and attaching a flag indicating 1 to the error log, the normal log and the error log may be stored in a single storage unit in a identifiable state. good. In this way, even if the normal log storage unit 1110 and the error log storage unit 1210 are composed of one storage unit, if the normal log and the error log are stored in one storage unit in an identifiable state, the above The same effect as each embodiment can be produced.

なお、本開示では、異常ログは、サーバシステム１０００にネットワーク２０００を介して正常ログと異なる態様で送信される。つまり、サーバシステム１０００が第１のサーバ１１００および第２のサーバ１２００からなる場合には、監視装置の送信処理部３２０６は、正常ログを第１のサーバ１１００に送信し、異常ログを第２のサーバ１２００に送信する。一方、サーバシステム１０００ｃが１つのサーバ１３００から構成される場合には、監視装置の送信処理部３２０６は、例えば、正常ログに、０を示すフラグを付し、異常ログに、１を示すフラグを付して、これらのログをサーバ１３００に送信する。このような場合でも、異常ログは正常ログと異なる態様で送信される。このように、正常ログと異常ログとがそれぞれ互いに異なる態様でサーバシステムに送信されるため、サーバシステムでは、これらの正常ログと異常ログとを識別可能な状態で記憶部に格納することができる。なお、正常ログと異常ログとを識別可能な状態で記憶部に格納することができれば、送信処理部３２０６は、正常ログおよび異常ログをどのような態様で送信してもよい。 In addition, in the present disclosure, the error log is transmitted to the server system 1000 via the network 2000 in a manner different from that of the normal log. That is, when the server system 1000 consists of the first server 1100 and the second server 1200, the transmission processing unit 3206 of the monitoring device transmits the normal log to the first server 1100 and the abnormal log to the second server. Send to server 1200 . On the other hand, when the server system 1000c is composed of one server 1300, the transmission processing unit 3206 of the monitoring apparatus, for example, adds a flag indicating 0 to the normal log and flags 1 to the abnormal log. and send these logs to the server 1300 . Even in such a case, the abnormal log is transmitted in a manner different from that of the normal log. Since the normal log and the abnormal log are transmitted to the server system in different manners, the server system can store the normal log and the abnormal log in a identifiable state in the storage unit. . Note that the transmission processing unit 3206 may transmit the normal log and the abnormal log in any manner as long as the normal log and the abnormal log can be stored in the storage unit in an identifiable state.

（その他の変形例）
以上、一つまたは複数の態様に係る車両監視システム、サーバシステム、および監視装置について、各実施の形態および変形例に基づいて説明したが、本開示は、これらの実施の形態および変形例に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思いつく各種変形を上記各実施の形態および変形例に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、本開示の範囲内に含まれてもよい。 (Other modifications)
The vehicle monitoring system, server system, and monitoring device according to one or more aspects have been described above based on the respective embodiments and modifications, but the present disclosure is limited to these embodiments and modifications. not to be As long as it does not deviate from the spirit of the present disclosure, various modifications that a person skilled in the art can think of are applied to the above embodiments and modifications, and forms constructed by combining the components of different embodiments are also within the scope of the present disclosure. may be included within

例えば、上記各実施の形態および変形例では、異常判定部３２０５は、車両３０００の状態が正常か異常かを判定するが、正常か異常かの２種類の分類だけでなく、正常と異常の中間的な分類も含めた３種類の分類のうちの何れかを判定してもよい。なお、正常を白と称し、異常を黒と称する場合、上述の中間的な分類は、グレーと称される。グレーは、正常とも異常とも断定されない分類である。つまり、異常判定部３２０５は、車両３０００の状態がグレーであるかを判定してもよい。 For example, in each of the above-described embodiments and modifications, abnormality determination unit 3205 determines whether the state of vehicle 3000 is normal or abnormal. Any one of the three types of classification including the typical classification may be determined. Note that if normal is called white and abnormal is called black, the above intermediate classification is called gray. Gray is a classification that is neither conclusively normal nor abnormal. In other words, the abnormality determination unit 3205 may determine whether the state of the vehicle 3000 is gray.

異常判定部３２０５によって車両３０００の状態がグレーと判定され場合、例えば、送信先判定部３２０２は、その状態を示すグレーのログの送信先を、第１のサーバ１１００と第２のサーバ１２００とに決定してもよい。これにより、グレーのログであっても、異常ログではないため、サービス提供部１１５０のサービスに使用することができる。あるいは、送信先判定部３２０２は、グレーのログの送信先を、異常ログの送信先と同様、第２のサーバ１２００に決定してもよい。これにより、グレーのログがサービス提供部１１５０のサービスに使用されることを抑え、車両３０００への誤ったサービスの提供をより適切に抑制することができる。 When the abnormality determination unit 3205 determines that the state of the vehicle 3000 is gray, for example, the transmission destination determination unit 3202 selects the first server 1100 and the second server 1200 as the transmission destinations of the gray log indicating the state. may decide. As a result, even a gray log can be used for the service of the service providing unit 1150 because it is not an error log. Alternatively, the transmission destination determination unit 3202 may determine the transmission destination of the gray log to be the second server 1200 in the same manner as the transmission destination of the error log. As a result, the use of the gray log for the service of service providing unit 1150 can be suppressed, and erroneous service provision to vehicle 3000 can be suppressed more appropriately.

また、上記各実施の形態および変形例では、ログ解析部１２３２は、正常ログと異常ログとを結合することによって生成された結合ログを解析するが、これに限らず、結合されていない正常ログと異常ログとを解析してもよい。この場合であっても、上記各実施の形態および変形例と同様の作用効果を奏することができる。 In each of the above-described embodiments and modifications, the log analysis unit 1232 analyzes the combined log generated by combining the normal log and the abnormal log. and anomaly logs may be analyzed. Even in this case, the same advantages as those of the above-described embodiments and modifications can be obtained.

また、上記実施の形態２および３では、正常ログをダウンサンプリングし、状況に応じて異常ログをダウンサンプリングするが、異常判定部３２０５によってグレーが判定される場合には、グレーのログのダウンサンプリングを禁止してもよい。つまり、正常ログダウンサンプリング部３２０８またはログダウンサンプリング部３２０８ｂは、常に、そのグレーのログをダウンサンプリングすることなく、送信処理部３２０６は、全てのグレーのログをサーバシステム１０００に送信する。これにより、グレーのログが異常か否かを異常検知装置によって正確に判定することができる。 In the above-described second and third embodiments, the normal log is down-sampled, and the abnormal log is down-sampled depending on the situation. may be prohibited. In other words, the normal log downsampling unit 3208 or the log downsampling unit 3208b never downsamples the gray log, and the transmission processing unit 3206 transmits all gray logs to the server system 1000. FIG. This allows the anomaly detection device to accurately determine whether or not the gray log is anomalous.

また、実施の形態２および３では、正常ログをダウンサンプリングするが、そのダウンサンプリングのサンプリング周期を変更してもよい。例えば、図８のステップＳ１０２において、監視装置３２００ａの異常判定部３２０５によって、ＣＡＮコマンドによって示される走行状態が異常であると判定されると、正常ログダウンサンプリング部３２０８は、サンプリング周期を短くする。つまり、正常ログダウンサンプリング部３２０８は、その異常と判定された走行状態のログの前と後に正常と判定されたログのサンプリング周期を短くする。具体的には、正常ログダウンサンプリング部３２０８は、異常と判定された時点から、予め定められた時間だけ遡った時刻までの期間において正常と判定されたログのサンプリング周期を短くする。さらに、正常ログダウンサンプリング部３２０８は、異常と判定された時点から、予め定められた時間だけ経過した時刻までの期間において正常と判定されたログのサンプリング周期を短くする。 Also, in the second and third embodiments, the normal log is down-sampled, but the sampling period of the down-sampling may be changed. For example, in step S102 of FIG. 8, when the abnormality determination unit 3205 of the monitoring device 3200a determines that the running state indicated by the CAN command is abnormal, the normal log down-sampling unit 3208 shortens the sampling period. That is, the normal log down-sampling unit 3208 shortens the sampling period of the log determined to be normal before and after the log of the driving state determined to be abnormal. Specifically, the normal log down-sampling unit 3208 shortens the sampling cycle of the log determined to be normal during the period from the time when it was determined to be abnormal to the time before the predetermined time. Further, the normal log down-sampling unit 3208 shortens the sampling cycle of logs determined to be normal during the period from the time when it is determined to be abnormal until the time when a predetermined time has passed.

これにより、通常では、正常ログのサンプリング周期を長くし、異常が生じた場合に、その正常ログのサンプリング周期を短くすることができる。したがって、正常ログのデータ量の削減と、異常の解析の容易化とを両立することができる。 As a result, normally, the sampling period of the normal log can be lengthened, and when an abnormality occurs, the sampling period of the normal log can be shortened. Therefore, it is possible to both reduce the amount of normal log data and facilitate analysis of anomalies.

なお、上記各実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵまたはプロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。ここで、上記各実施の形態の車両監視システム、サーバシステム、および監視装置などを実現するソフトウェアは、図４、図８、図９、図１４および図１５によって示される各処理をコンピュータに実行させる。 In each of the above-described embodiments, each component may be configured by dedicated hardware, or realized by executing a software program suitable for each component. Each component may be realized by reading and executing a software program recorded in a recording medium such as a hard disk or a semiconductor memory by a program execution unit such as a CPU or processor. Here, the software that implements the vehicle monitoring system, server system, monitoring device, etc. of each of the above embodiments causes a computer to execute each process shown in FIGS. .

また、以下のような場合も本開示に含まれる。 In addition, the following cases are also included in the present disclosure.

（１）上記の各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。 (1) Each of the above devices is specifically a computer system comprising a microprocessor, ROM, RAM, hard disk unit, display unit, keyboard, mouse, and the like. A computer program is stored in the RAM or hard disk unit. Each device achieves its function by the microprocessor operating according to the computer program. Here, the computer program is constructed by combining a plurality of instruction codes indicating instructions to the computer in order to achieve a predetermined function.

（２）上記の各装置を構成する構成要素の一部または全部は、１個のシステムＬＳＩ（ＬａｒｇｅＳｃａｌｅＩｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。 (2) A part or all of the components constituting each of the above devices may be configured from one system LSI (Large Scale Integration). A system LSI is an ultra-multifunctional LSI manufactured by integrating multiple components on a single chip. Specifically, it is a computer system that includes a microprocessor, ROM, RAM, etc. . A computer program is stored in the RAM. The system LSI achieves its functions by the microprocessor operating according to the computer program.

（３）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。前記ＩＣカードまたは前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。前記ＩＣカードまたは前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカードまたは前記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。 (3) A part or all of the constituent elements constituting each of the devices described above may be composed of a detachable IC card or a single module. The IC card or module is a computer system composed of a microprocessor, ROM, RAM and the like. The IC card or the module may include the super multifunctional LSI. The IC card or the module achieves its function by the microprocessor operating according to the computer program. This IC card or this module may be tamper resistant.

（４）本開示は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。 (4) The present disclosure may be the method shown above. Moreover, it may be a computer program for realizing these methods by a computer, or it may be a digital signal composed of the computer program.

また、本開示は、前記コンピュータプログラムまたは前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標）Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記デジタル信号であるとしてもよい。 In addition, the present disclosure includes a computer-readable recording medium for the computer program or the digital signal, such as a flexible disk, hard disk, CD-ROM, MO, DVD, DVD-ROM, DVD-RAM, BD (Blu-ray ( (Registered Trademark) Disc), a semiconductor memory, or the like. Moreover, it may be the digital signal recorded on these recording media.

また、本開示は、前記コンピュータプログラムまたは前記デジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。 Further, according to the present disclosure, the computer program or the digital signal may be transmitted via an electric communication line, a wireless or wired communication line, a network represented by the Internet, data broadcasting, or the like.

また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしてもよい。 The present disclosure may also be a computer system comprising a microprocessor and memory, the memory storing the computer program, and the microprocessor operating according to the computer program.

また、前記プログラムまたは前記デジタル信号を前記記録媒体に記録して移送することにより、または前記プログラムまたは前記デジタル信号を、前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。 Also, by recording the program or the digital signal on the recording medium and transferring it, or by transferring the program or the digital signal via the network or the like, it can be implemented by another independent computer system. You can do it.

（５）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。 (5) The above embodiments and modifications may be combined.

本開示は、車両の車載ネットワークを用いたシステム等において利用可能である。 INDUSTRIAL APPLICABILITY The present disclosure can be used in a system or the like using an in-vehicle network of a vehicle.

１０、２０車両監視システム
１０００、１０００ｃサーバシステム
１１００第１のサーバ
１１１０正常ログ記憶部
１１２０、１２２０、１１２１受信部
１１３０走行支援部
１１４０経路探索部
１１５０サービス提供部
１２００第２のサーバ
１２１０異常ログ記憶部
１２３０、１２３０ａ、１２３０ｂ異常検知装置
１２３１制御部
１２３２ログ解析部
１２３３正常ログ取得部
１２３４記憶部
１２３５異常ログ取得部
１２３６ログ結合部
１２３７表示部
１２３８正常ログアップサンプリング部
１２３８ｂログアップサンプリング部
１３００サーバ
２０００ネットワーク
３０００車両
３００１～３００３ＥＣＵ
３１２０送信部
３２００、３２００ａ、３２００ｂ監視装置
３２０１制御部
３２０２送信先判定部
３２０３走行状態取得部
３２０４記憶部
３２０５異常判定部
３２０６送信処理部
３２０７通知部
３２０８正常ログダウンサンプリング部
３２０８ｂログダウンサンプリング部
３２０９状況判断部 10, 20 Vehicle monitoring system 1000, 1000c Server system 1100 First server 1110 Normal log storage unit 1120, 1220, 1121 Receiving unit 1130 Driving support unit 1140 Route search unit 1150 Service providing unit 1200 Second server 1210 Abnormal log storage unit 1230, 1230a, 1230b anomaly detection device 1231 control unit 1232 log analysis unit 1233 normal log acquisition unit 1234 storage unit 1235 anomaly log acquisition unit 1236 log coupling unit 1237 display unit 1238 normal log up-sampling unit 1238b log up-sampling unit 1300 server 2000 network 3000 vehicle 3001-3003 ECU
3120 transmission unit 3200, 3200a, 3200b monitoring device 3201 control unit 3202 transmission destination determination unit 3203 running state acquisition unit 3204 storage unit 3205 abnormality determination unit 3206 transmission processing unit 3207 notification unit 3208 normal log down sampling unit 3208b log down sampling unit 3209 status Judging part

Claims

車両に搭載されて前記車両の状態を監視する監視装置にネットワークを介して接続されており、前記ネットワークを介して前記監視装置から送信されるログを格納する記憶部を備えた、少なくとも１つのサーバからなるサーバシステムにおいて実行される異常解析方法であって、
前記記憶部には、前記監視装置によって正常と判定された前記車両の状態を示す正常ログと、前記監視装置において異常と判定された前記車両の状態を示す異常ログとが、それぞれ識別可能な状態で格納されており、
前記監視装置からの異常検知の信号を受信すると、前記監視装置から受信して前記記憶部に格納されている前記正常ログと前記異常ログとを取得し、
取得した前記正常ログと前記異常ログとを結合することで、前記車両の走行状態を再現し、
再現された前記車両の走行状態に基づいて前記異常ログが発生した原因を特定し、前記原因を表示装置上に表示させる、
異常解析方法。 At least one server connected via a network to a monitoring device mounted on a vehicle to monitor the state of the vehicle, and comprising a storage unit for storing logs transmitted from the monitoring device via the network. An abnormality analysis method executed in a server system consisting of
In the storage unit, a normal log indicating the state of the vehicle determined to be normal by the monitoring device and an abnormality log indicating the state of the vehicle determined to be abnormal by the monitoring device are in identifiable states. is stored in
when receiving an abnormality detection signal from the monitoring device, acquiring the normal log and the abnormality log received from the monitoring device and stored in the storage unit;
Reproducing the running state of the vehicle by combining the acquired normal log and the abnormal log,
identifying the cause of the occurrence of the error log based on the reproduced running state of the vehicle, and displaying the cause on a display device;
Anomaly analysis method.

前記記憶部には、前記監視装置によって正常と判定された前記車両の状態を示す正常ログのうち、一定周期ごとにサンプリングされた一部の正常ログと、前記監視装置において異常と判定された前記車両の状態を示す異常ログとが、それぞれ識別可能な状態で格納されており、
前記監視装置からの異常検知の信号を受信すると、前記一部の正常ログと前記異常ログとを取得するとともに、前記一部の正常ログから推定される補間正常ログを生成し、前記一部の正常ログと、前記補間正常ログと、前記異常ログとを結合することで、前記車両の走行状態を再現する、
請求項１に記載の異常解析方法。 Of the normal logs indicating the state of the vehicle determined to be normal by the monitoring device, part of the normal logs sampled at regular intervals and the normal logs determined to be abnormal by the monitoring device are stored in the storage unit. Anomaly logs indicating vehicle conditions are stored in an identifiable state,
When receiving an anomaly detection signal from the monitoring device, acquiring the part of the normal log and the anomaly log, generating an interpolated normal log estimated from the part of the normal log, reproducing the running state of the vehicle by combining the normal log, the interpolated normal log, and the abnormal log;
The abnormality analysis method according to claim 1.

前記補間正常ログは、前記一部の正常ログに含まれる時刻情報に基づいて生成される、
請求項２に記載の異常解析方法。 The interpolated normal log is generated based on time information included in the partial normal log,
The abnormality analysis method according to claim 2.

前記サーバシステムは複数のサーバからなり、前記正常ログおよび前記異常ログは、それぞれ異なるサーバにおける記憶部に格納されている、
請求項１から３のいずれか１項に記載の異常解析方法。 The server system comprises a plurality of servers, and the normal log and the abnormal log are stored in storage units in different servers, respectively.
The abnormality analysis method according to any one of claims 1 to 3 .

前記正常ログを用いて前記車両の運転に関するサービスを、前記ネットワークを介して前記車両に提供する、
請求項１から４のいずれか１項に記載の異常解析方法。 providing a service related to driving the vehicle to the vehicle via the network using the normal log;
The abnormality analysis method according to any one of claims 1 to 4 .

請求項１から５の何れか１項に記載の異常解析方法をコンピュータに実行させるプログラム。 A program that causes a computer to execute the abnormality analysis method according to any one of claims 1 to 5 .