车辆日志发送装置、车辆日志分析系统以及车辆日志收发方法

技术领域

本公开涉及，车辆日志发送装置、车辆日志分析系统以及车辆日志收发方法。

背景技术

近几年，在搭载在汽车的系统中，配置多个称为电子控制装置(ECU：ElectronicControl Unit)的装置。将连接这些ECU的网络，称为车载网络。在车载网络中，存在多个标准。其中最主流的车载网络之一是，由ISO11898-1规定的CAN(Controller Area Network)的标准。

在CAN中，通信路由两个总线构成，将与总线连接的ECU称为节点。与总线连接的各个节点，对所谓帧的消息进行收发。在CAN中，指示发送目的地节点以及发送源节点的标识符不存在，发送节点按每个帧赋予所谓消息ID的ID并发送，各个接收节点仅接收赋予了预先决定的消息ID的帧。

因此，存在的威胁是，将CAN的总线与ECU连接，伪装成正规的ECU来发送包括异常的控制指令的帧，从而能够不正当地控制汽车。

针对该威胁，在车载网络中，检测不正当的数据、即异常的控制指令的侵入的方法有，例如，专利文献1公开的方法。

然而，在车辆的外部的服务器系统，监视车载网络系统的数据的情况下，存在从车载网络系统向外部的服务器系统发送大量的数据的可能性。准备用于处理这样的大量的数据的资源并不容易。

专利文献2公开，针对该大量的数据，按每个规定的数据尺寸分割，按每个分割的数据，与服务器保存的数据进行比较，仅发送在数据一致时分割的数据的散列值，将在数据不一致时分割的数据发送到服务器，从而削减通信数据量的方法。

并且，计算两种数据的差分的方法有，例如，非专利文件1所记载的方法，一般而言，若差分小，则差分数据偏于0，因此，在对差分数据适用LHA以及ZIP等的压缩算法时，数据的压缩率高，能够高效率地削减通信数据量。

(现有技术文献)

(专利文献)

专利文献1：日本特开2014-146868号公报

专利文献2：日本专利第5342302号公报

(非专利文献)

非专利文件1：Colin Percival，"Binary diff/patch utility"，[online]，[2018年11月06日检索]，互联网

然而，车载网络日志包括，因汽车的状态而变动的数据以及时刻数据，因此，在以往技术的按每个规定的数据尺寸分割的方法中，现在获得的日志的分割数据、与过去获得而保存在服务器的日志的分割数据的类似度低。因此，现在获得的日志的分割数据、与过去获得而保存在服务器的日志的分割数据的差分大，差分数据的压缩率低，需要将多个数据发送到服务器。因此，存在的问题是，与以不分割日志的状态发送的情况相比，不能高效率地削减通信数据量。

发明内容

于是，本公开，提供能够有效地削减从车辆向车辆的外部的服务器发送的车辆日志的通信数据量的车辆日志发送装置等。

为了解决所述问题，本公开的车辆日志发送装置，将车辆日志发送到车辆日志分析服务器，所述车辆日志发送装置具备：车辆日志获得部，获得所述车辆日志；车辆状态提取部，从获得的所述车辆日志中提取车辆状态；差分生成用日志保存部，存储由所述车辆日志发送装置与所述车辆日志分析服务器共享的差分生成用日志的列表，所述差分生成用日志是每个车辆状态的车辆日志；差分生成用日志选择部，按照提取的所述车辆状态从所述列表中选择差分生成用日志；差分日志生成部，根据获得的所述车辆日志以及选择出的所述差分生成用日志，生成差分日志；以及差分日志发送部，将生成的所述差分日志、以及与选择出的所述差分生成用日志对应的差分生成用日志标识符，发送到所述车辆日志分析服务器。

而且，它们的总括或具体形态，也可以由系统、方法、集成电路、计算机程序或计算机可读取的CD-ROM等的记录介质实现，也可以由系统、方法、集成电路、计算机程序以及记录介质的任意组合实现。

本公开的一个形态涉及的车辆日志发送装置等，能够有效地削减在车辆与车辆的外部的服务器之间发送的车辆日志的通信数据量。其结果为，不准备能够进行大量的车辆日志的通信的资源，也能够将车辆日志发送到外部的服务器，利用车辆的外部服务器能够检测向车辆的网络的不正当的数据的侵入，能够贡献于车辆的安全性。

附图说明

图1是本公开的实施方式1的车辆日志分析系统的全体结构图。

图2是本公开的实施方式1的车辆日志发送装置的结构图。

图3是本公开的实施方式1的车辆日志分析服务器的结构图。

图4是示出本公开的实施方式1的车辆日志的一个例子的图。

图5是示出本公开的实施方式1的车辆日志定义表的一个例子的图。

图6是示出本公开的实施方式1的车辆日志加工规则的一个例子的图。

图7是示出本公开的实施方式1的加工完毕车辆日志的一个例子的图。

图8是示出本公开的实施方式1的差分生成用日志的一个例子的图。

图9是示出本公开的实施方式1的差分日志的一个例子的图。

图10是示出本公开的实施方式1的差分日志发送处理的序列的图。

图11是示出本公开的实施方式1的差分日志接收处理的序列的图。

图12是本公开的实施方式1的车辆日志加工处理的流程图。

图13是本公开的实施方式1的差分日志生成处理的流程图。

图14是本公开的实施方式1的车辆日志复原处理的流程图。

具体实施方式

车辆日志发送装置，将车辆日志发送到车辆日志分析服务器，所述车辆日志发送装置具备：车辆日志获得部，获得所述车辆日志；车辆状态提取部，从获得的所述车辆日志中提取车辆状态；差分生成用日志保存部，存储由所述车辆日志发送装置与所述车辆日志分析服务器共享的差分生成用日志的列表，所述差分生成用日志是每个车辆状态的车辆日志；差分生成用日志选择部，按照提取的所述车辆状态从所述列表中选择差分生成用日志；差分日志生成部，根据获得的所述车辆日志以及选择出的所述差分生成用日志，生成差分日志；以及差分日志发送部，将生成的所述差分日志、以及与选择出的所述差分生成用日志对应的差分生成用日志标识符，发送到所述车辆日志分析服务器。

将特定的车辆状态中发生的可能性高的日志作为每个车辆状态的差分生成用日志由车辆日志发送装置与车辆日志分析服务器共享，在车辆日志发送装置将车辆日志发送到车辆日志分析服务器时根据此时的车辆状态分别使用差分生成用日志来生成差分日志。据此，该车辆状态中的发送对象的车辆日志以及与该车辆状态对应的差分生成用日志类似，因此，发送的差分日志变小，能够有效地削减从车辆向车辆的外部的服务器(车辆日志分析服务器)发送的车辆日志的通信数据量。

并且，也可以是，所述差分生成用日志保存部，存储过去向所述车辆日志分析服务器发送的车辆日志与该发送时的车辆状态对应的所述差分生成用日志的所述列表。

据此，过去发送的车辆日志，由车辆日志发送装置与车辆日志分析服务器共享，因此，将过去发送的车辆日志作为差分生成用日志利用，据此，不需要在车辆日志发送装置，预先设定差分生成用日志，能够抑制开发成本。

并且，也可以是，所述车辆日志包括，与示出数据的种类的ID分别对应的多个数据，所述差分生成用日志保存部，存储所述车辆日志中包括的每个ID、且每个车辆状态的所述差分生成用日志的所述列表，所述差分生成用日志选择部，按照提取的所述车辆状态，从所述列表中选择每个ID的所述差分生成用日志，所述差分日志生成部，针对获得的所述车辆日志中包括的ID的每一个，根据与该ID对应的数据、以及与该ID对应的选择出的所述差分生成用日志，生成所述差分日志。

据此，按车辆日志中包括的每个ID存储差分生成用日志，据此，不需要作为差分生成用日志存储车辆日志中包括的多个数据的全部，而仅存储ID的种类数即可，因此，在车辆日志中包括的多个数据的数量比车辆日志中包括的ID的种类数多的情况下，能够削减差分日志的生成所需要的存储区域。

并且，也可以是，所述车辆日志包括，与示出数据的种类的ID分别对应的多个数据，该多个数据将以规定的ID为起点的多个ID设为一个周期、且以该多个ID周期性地反复的方式而被排列，所述差分生成用日志选择部，按照提取的所述车辆状态，从所述列表中选择与以所述规定的ID为起点的所述多个ID对应的所述差分生成用日志。

例如，车辆日志中包括的多个数据，将以规定的ID为起点的多个ID设为一个周期以该多个ID周期性地反复的方式排列，按该多个ID反复出现同样的数据。因此，将成为车辆日志以及差分生成用日志的起点的ID统一成规定的ID，据此，车辆日志中包括的一个周期的多个ID与差分生成用日志中包括的一个周期的多个ID一致，车辆日志与差分生成用日志的差分变小，能够更有效地削减从车辆向车辆的外部的服务器发送的车辆日志的通信数据量。并且，车辆日志中包括的多个数据，按每一个周期的多个ID反复出现同样的数据，因此，能够削减与一个周期的多个ID对应的数据以外的信息。

并且，也可以是，所述差分生成用日志保存部，存储执行了将数据的值替换为规定值的替换处理或将数据的值舍入的零数处理的所述差分生成用日志的所述列表，所述差分日志生成部，进一步，在对获得的所述车辆日志执行所述替换处理或所述零数处理后，生成所述差分日志。

据此，将在车辆日志与差分生成用日志之间不同的可能性高的计数器或检验和等的数据区域的值设为在车辆日志与差分生成用日志之间相同的规定值，或者，将为了从车辆日志检测异常而不需要的传感器信息等的详细值舍入，据此，发送对象的车辆日志与差分生成用日志更类似。因此，发送的差分日志变小，据此，能够更有效地削减从车辆向车辆的外部的服务器发送的车辆日志的通信数据量。

并且，也可以是，所述车辆日志包括，与时刻信息分别对应的多个数据，所述差分生成用日志保存部，存储执行了将时刻信息替换为索引信息的处理的所述差分生成用日志的所述列表，所述差分日志生成部，进一步，将获得的所述车辆日志中包括的时刻信息替换为索引信息后，生成所述差分日志，所述差分日志发送部，进一步，将示出时刻信息与索引信息的对应关系的时刻列表发送到所述车辆日志分析服务器。

据此，将在车辆日志与差分生成用日志之间不同的可能性高的时刻信息的值在车辆日志与差分生成用日志之间替换为索引信息，据此，车辆日志与差分生成用日志更类似。因此，发送的差分日志变小，据此，能够更有效地削减从车辆向车辆的外部的服务器发送的车辆日志的通信数据量。

并且，也可以是，所述车辆日志包括，与示出数据的种类的ID分别对应的所述多个数据，所述差分生成用日志保存部，存储按照ID的值的大小重新排列、针对同一ID按照数据的大小重新排列的所述差分生成用日志的所述列表，所述差分日志生成部，进一步，针对获得的所述车辆日志，将时刻信息替换为索引信息，按照ID的值的大小重新排列，针对同一ID按照数据的值的大小重新排列后，生成所述差分日志。

据此，将车辆日志以及差分生成用日志按照ID大的顺序或小的顺序(同一ID时数据大的顺序或小的顺序)重新排列，据此，即使在包括特定的ID的数据非定期性地发生而ID的发生顺序不一定的情况下，或者，在车辆日志中包括变动值数据的情况下，车辆日志与差分生成用日志一致的概率也提高。因此，能够使车辆日志与差分生成用日志的差分变小，发送的差分日志变小，据此，能够更有效地削减从车辆向车辆的外部的服务器发送的车辆日志的通信数据量。

并且，也可以是，所述差分日志生成部，利用作为数据压缩字典而选择的所述差分生成用日志，通过规定的压缩算法对获得的所述车辆日志进行压缩，将压缩后的所述车辆日志作为所述差分日志生成。

据此，不需要预先按每个车辆状态制作压缩率高的字典，能够有效地压缩数据，因此，能够减少开发成本。

并且，也可以是，车辆日志分析系统，由车辆日志发送装置以及车辆日志分析服务器构成，将车辆日志从所述车辆日志分析服务器发送到所述车辆日志分析服务器，所述车辆日志发送装置，具备：车辆日志获得部，获得所述车辆日志；车辆状态提取部，从获得的所述车辆日志中提取车辆状态；差分生成用日志保存部，存储由所述车辆日志发送装置与所述车辆日志分析服务器共享的差分生成用日志的列表，所述差分生成用日志是每个车辆状态的车辆日志；差分生成用日志选择部，按照提取的所述车辆状态从所述列表中选择差分生成用日志；差分日志生成部，根据获得的所述车辆日志以及选择出的所述差分生成用日志，生成差分日志；以及差分日志发送部，将生成的所述差分日志、以及与选择出的所述差分生成用日志对应的差分生成用日志标识符，发送到所述车辆日志分析服务器，所述车辆日志分析服务器，具备：差分日志接收部，接收从所述差分日志发送部发送的所述差分日志以及所述差分生成用日志标识符；复原用日志保存部，存储所述列表；以及车辆日志复原部，根据所述差分生成用日志标识符以及所述列表，确定对所述差分日志的生成使用的所述差分生成用日志，根据所述差分日志以及确定的所述差分生成用日志，复原所述车辆日志。

将特定的车辆状态中发生的可能性高的日志作为每个车辆状态的差分生成用日志由车辆日志发送装置与车辆日志分析服务器共享，在车辆日志发送装置将车辆日志发送到车辆日志分析服务器时根据此时的车辆状态分别使用差分生成用日志来生成差分日志。据此，该车辆状态中的发送对象的车辆日志以及与该车辆状态对应的差分生成用日志类似，因此，发送的差分日志变小，能够有效地削减从车辆向车辆的外部的服务器(车辆日志分析服务器)发送的车辆日志的通信数据量。

并且，也可以是，所述差分生成用日志保存部以及所述复原用日志保存部，存储过去向所述车辆日志分析服务器发送的车辆日志与该发送时的车辆状态对应的所述差分生成用日志的所述列表。

据此，过去发送的车辆日志，由车辆日志发送装置与车辆日志分析服务器共享，因此，将过去发送的车辆日志作为差分生成用日志利用，据此，不需要在车辆日志发送装置，预先设定差分生成用日志，能够抑制开发成本。

并且，也可以是，所述车辆日志包括，与示出数据的种类的ID分别对应的多个数据，所述差分生成用日志保存部以及所述复原用日志保存部，存储所述车辆日志中包括的每个ID、且每个车辆状态的所述差分生成用日志的所述列表，所述差分生成用日志选择部，按照提取的所述车辆状态，从所述列表中选择每个ID的所述差分生成用日志，所述差分日志生成部，针对获得的所述车辆日志中包括的ID的每一个，根据与该ID对应的数据、以及与该ID对应的选择出的所述差分生成用日志，生成所述差分日志，所述车辆日志复原部，针对所述差分日志中包括的ID的每一个，根据与该ID对应的数据、以及与该ID对应的确定的所述差分生成用日志，复原所述车辆日志。

据此，按车辆日志中包括的每个ID存储差分生成用日志，据此，不需要作为差分生成用日志存储车辆日志中包括的多个数据的全部，而仅存储ID的种类数即可，因此，在车辆日志中包括的多个数据的数量比车辆日志中包括的ID的种类数多的情况下，能够削减差分日志的生成所需要的存储区域。

并且，也可以是，所述车辆日志包括，与示出数据的种类的ID分别对应的多个数据，该多个数据将以规定的ID为起点的多个ID设为一个周期、且以该多个ID周期性地反复的方式而被排列，所述差分生成用日志选择部，按照提取的所述车辆状态，从所述列表中选择与以所述规定的ID为起点的多个ID对应的所述差分生成用日志，所述车辆日志复原部，确定与以所述规定的ID为起点的多个ID对应的所述差分生成用日志，根据所述差分日志以及确定的所述差分生成用日志，复原所述车辆日志。

例如，车辆日志中包括的多个数据，将以规定的ID为起点的多个ID设为一个周期以该多个ID周期性地反复的方式排列，按该多个ID反复出现同样的数据。因此，将成为车辆日志以及差分生成用日志的起点的ID统一成规定的ID，据此，车辆日志中包括的一个周期的多个ID与差分生成用日志中包括的一个周期的多个ID一致，车辆日志与差分生成用日志的差分变小，能够更有效地削减从车辆向车辆的外部的服务器发送的车辆日志的通信数据量。并且，车辆日志中包括的多个数据，按每一个周期的多个ID反复出现同样的数据，因此，能够削减与一个周期的多个ID对应的数据以外的信息。

并且，也可以是，所述差分生成用日志保存部以及所述复原用日志保存部，存储执行了将数据的值替换为规定值的替换处理或将数据的值舍入的零数处理的所述差分生成用日志的所述列表，所述差分日志生成部，进一步，在对获得的所述车辆日志执行所述替换处理或所述零数处理后，生成所述差分日志。

据此，将在车辆日志与差分生成用日志之间不同的可能性高的计数器或检验和等的数据区域的值设为在车辆日志与差分生成用日志之间相同的规定值，或者，将为了从车辆日志检测异常而不需要的传感器信息等的详细值舍入，据此，发送对象的车辆日志与差分生成用日志更类似。因此，发送的差分日志变小，据此，能够更有效地削减从车辆向车辆的外部的服务器发送的车辆日志的通信数据量。

并且，也可以是，所述车辆日志包括，与时刻信息分别对应的多个数据，所述差分生成用日志保存部以及所述复原用日志保存部，存储执行了将时刻信息替换为索引信息的处理的所述差分生成用日志的所述列表，所述差分日志生成部，进一步，将获得的所述车辆日志中包括的时刻信息替换为索引信息后，生成所述差分日志，所述差分日志发送部，进一步，将示出时刻信息与索引信息的对应关系的时刻列表发送到所述车辆日志分析服务器，车辆日志复原部，进一步，参照发送的所述时刻列表，将索引信息替换为时刻信息，复原所述车辆日志。

据此，将在车辆日志与差分生成用日志之间不同的可能性高的时刻信息的值在车辆日志与差分生成用日志之间替换为索引信息，据此，车辆日志与差分生成用日志更类似。因此，发送的差分日志变小，据此，能够更有效地削减从车辆向车辆的外部的服务器发送的车辆日志的通信数据量。

并且，也可以是，所述车辆日志包括，与示出数据的种类的ID分别对应的所述多个数据，所述差分生成用日志保存部以及所述复原用日志保存部，存储按照ID的值的大小重新排列、针对同一ID按照数据的值的大小重新排列的所述差分生成用日志的所述列表，所述差分日志生成部，进一步，针对获得的所述车辆日志，将时刻信息替换为索引信息，按照ID的值的大小重新排列，针对同一ID按照数据的值的大小重新排列后，生成所述差分日志，车辆日志复原部，进一步，参照发送的所述时刻列表，将索引信息替换为时刻信息，按照从时刻早到晚的顺序重新排列，复原所述车辆日志。

据此，将车辆日志以及差分生成用日志按照ID大的顺序或小的顺序(同一ID时数据大的顺序或小的顺序)重新排列，据此，即使在包括特定的ID的数据非定期性地发生而ID的发生顺序不一定的情况下，或者，在车辆日志中包括变动值数据的情况下，车辆日志与差分生成用日志一致的概率也提高。因此，能够使车辆日志与差分生成用日志的差分变小，发送的差分日志变小，据此，能够更有效地削减从车辆向车辆的外部的服务器发送的车辆日志的通信数据量。

并且，也可以是，所述差分日志生成部，利用作为数据压缩字典而选择的所述差分生成用日志，通过规定的压缩算法对获得的所述车辆日志进行压缩，将压缩后的所述车辆日志作为所述差分日志生成，所述车辆日志复原部，将确定的所述差分生成用日志作为数据压缩字典利用，通过规定的压缩算法对所述差分日志进行解压缩，复原所述车辆日志。

据此，不需要预先按每个车辆状态制作压缩率高的字典，能够有效地压缩数据，因此，能够减少开发成本。

并且，也可以是，所述车辆状态提取部，提取所述车辆日志中包括的车辆速度、驾驶支援模式、自动驾驶模式、行驶位置、气候以及气温之中的至少一个，以作为车辆状态。

据此，在车辆具有停车时特有的功能或高速行驶时特有的功能的情况下，按每个车辆的速度准备差分生成用日志，据此，按每个车辆的速度基于特有的功能的日志类似。并且，在车辆具有车辆驾驶支援模式工作时特有的功能或自动驾驶模式工作时特有的功能的情况下，按每个车辆的行驶模式准备差分生成用日志，据此，按每个车辆的行驶模式基于特有的功能的日志类似。并且，按每个车辆的行驶区域准备差分生成用日志，据此，行驶在相同的道路、相同的路径的车辆的日志类似。并且，按每个车辆的气温以及气候准备差分生成用日志，据此，以相同的气温行驶的车辆的空调机的控制的日志以及以相同的气候行驶的车辆的擦拭器控制的日志类似。如此，作为车辆状态的车辆速度、驾驶支援模式、自动驾驶模式、行驶位置、气候或气温，与车辆日志的关联性高，相同的车辆状态的发送的差分日志变小，据此，能够更有效地削减从车辆向车辆的外部的服务器发送的车辆日志的通信数据量。

并且，也可以是，所述车辆日志获得部，获得基于作为所述车辆日志的ID而包括帧ID的CAN或CAN-FD协议的车载网络日志、基于作为所述车辆日志的ID而包括时隙ID的FlexRay(注册商标)协议的车载网络日志、基于作为所述车辆日志的ID而包括IP地址的Ethernet(注册商标)协议的车载网络日志、以及作为所述车辆日志的ID而包括过程号的系统工作日志之中的至少一个所述车辆日志。

因此，获得基于特定的协议以及系统的车辆日志，来能够使车辆日志的格式一致，据此，发送的差分日志变小，据此，能够更有效地削减从车辆向车辆的外部的服务器发送的车辆日志的通信数据量。

并且，也可以是，所述车辆日志分析服务器还具备：车辆日志保存部，监视复原的所述车辆日志，在复原的所述车辆日志中包括攻击的痕迹时检测为异常；以及异常通知部，向规定的通知目的地通知。

据此，在复原的车辆日志中检测出安全上的异常的情况下，能够向规定的通知目的地通知车辆的异常。

并且，车辆日志收发方法，由车辆日志发送装置的车辆日志发送方法以及车辆日志分析服务器的车辆日志接收方法构成，将车辆日志从所述车辆日志发送装置发送到所述车辆日志分析服务器，所述车辆日志发送装置，具备差分生成用日志保存部，存储由所述车辆日志发送装置与车辆日志分析服务器共享的差分生成用日志的列表，所述差分生成用日志是每个车辆状态的车辆日志，所述车辆日志分析服务器具备，存储所述列表的复原用日志保存部，所述车辆日志发送方法，包括：车辆日志获得步骤，获得所述车辆日志；车辆状态提取步骤，从获得的所述车辆日志中提取车辆状态；差分生成用日志选择步骤，按照提取的所述车辆状态从所述列表中选择差分生成用日志；差分日志生成步骤，根据获得的所述车辆日志以及选择出的所述差分生成用日志，生成差分日志；以及差分日志发送步骤，将生成的所述差分日志、以及与选择出的所述差分生成用日志对应的差分生成用日志标识符，发送到所述车辆日志分析服务器，所述车辆日志接收方法，包括：差分日志接收步骤，接收所述差分日志发送步骤中发送的所述差分日志以及所述差分生成用日志标识符；以及车辆日志复原步骤，根据所述差分生成用日志标识符以及所述列表，确定对所述差分日志的生成使用的所述差分生成用日志，根据所述差分日志以及确定的所述差分生成用日志，复原所述车辆日志。

将特定的车辆状态中发生的可能性高的日志作为每个车辆状态的差分生成用日志由车辆日志发送装置与车辆日志分析服务器共享，在车辆日志发送装置将车辆日志发送到车辆日志分析服务器时根据此时的车辆状态分别使用差分生成用日志来生成差分日志。据此，该车辆状态中的发送对象的车辆日志以及与该车辆状态对应的差分生成用日志类似，因此，发送的差分日志变小，能够有效地削减从车辆向车辆的外部的服务器(车辆日志分析服务器)发送的车辆日志的通信数据量。

而且，它们的总括或具体形态，也可以由系统、方法、集成电路、计算机程序或计算机可读取的CD-ROM等的记录介质实现，也可以由系统、方法、集成电路、计算机程序或记录介质的任意组合实现。

以下，对于实施方式涉及的车辆日志发送装置、车辆日志分析系统以及车辆日志收发方法，参照附图进行说明。在此示出的实施方式，都示出本公开的一个具体例子。因此，以下的实施方式示出的数值、构成要素、构成要素的配置位置以及连接形态、处理的要素的步骤、以及步骤的顺序等是一个例子，不是限定本公开的宗旨。以下的实施方式的构成要素中的示出最上位概念的实施方案中没有记载的构成要素是，能够任意补充的构成要素。并且，各个图是示意图，并不一定是严密示出的图。

(实施方式1)

[车辆日志分析系统的全体结构]

图1是本公开的实施方式1的车辆日志分析系统100的全体结构图。

在图1中，车辆日志分析系统100，由车辆日志分析服务器20以及车辆200构成，车辆日志分析服务器20与车辆200经由外部网络50连接。外部网络50是，例如，互联网。外部网络50的通信方法，也可以是有线，也可以是无线。并且，无线通信方式也可以是，作为现有技术的Wi-Fi(注册商标)、或3G/LTE(Long Term Evolution)。

车辆200具备，车辆日志发送装置10、ECU30a、ECU30b、ECU30c、传感器40a、发动机40b以及转向器40c。

车辆日志发送装置10，与车辆日志分析服务器20经由外部网络50连接。

在车辆200中，车辆日志发送装置10、ECU30a、ECU30b、以及ECU30c经由车辆网络60相互连接。车辆网络60是，例如，CAN。而且，车辆网络60也可以是，CAN-FD、FlexRay、Ethernet等的通信协议。

ECU30a，与传感器40a连接，ECU30b，与发动机40b连接，ECU30c，与转向器40c连接。

ECU30a、30b以及30c，获得分别连接的设备的状态，将示出获得的状态的消息周期性地发送到车辆网络60。

ECU30a，获得由测量车辆200的加速度的传感器40a测量的传感器信息，将包括示出该传感器信息的数据值的消息发送到车辆网络60。

ECU30b，获得作为发动机40b的一个状态的转数，将包括示出该转数的数据值的消息发送到车辆网络60。并且，ECU30b，根据从车辆网络60获得的关于发动机40b的信息，控制发动机40b的转数。

ECU30c，获得转向器40c的操舵角，将包括示出该操舵角的数据值的消息发送到车辆网络60。并且，ECU30c，根据从车辆网络60获得的关于转向器40c的信息，控制转向器40c的操舵角。

以后，将与车辆网络60连接的ECU30a、ECU30b及ECU30c、传感器40a、发动机40b以及转向器40c总称为车辆系统300。

车辆日志发送装置10，从ECU30a、30b以及30c获得车辆日志，经由HTTPS等的通信协议，向车辆日志分析服务器20发送获得的车辆日志。对于车辆日志以及车辆日志的发送方法，在后面进行详细说明。

车辆日志分析服务器20是，从车辆日志发送装置10接收车辆日志，对接收的车辆日志进行分析，检测安全上的威胁，即检测车辆200的异常的车辆200的外部的服务器。

[车辆日志发送装置的结构]

接着，说明车辆日志发送装置10。

图2是本公开的实施方式1的车辆日志发送装置10的结构图。车辆日志发送装置10是，向车辆日志分析服务器20发送车辆日志的装置。在图2中，车辆日志发送装置10具备，车辆日志获得部110、车辆状态提取部120、差分生成用日志保存部130、差分生成用日志选择部140、差分日志生成部150、以及差分日志发送部160。

车辆日志获得部110，经由车辆网络60与车辆系统300连接。车辆日志获得部110，获得包括关于车辆200的工作的多个数据的车辆日志，向车辆状态提取部120以及差分日志生成部150，通知获得的车辆日志。而且，车辆日志也可以包括，与示出数据的种类的ID分别对应的多个数据。并且，车辆日志也可以包括，与示出数据的种类的ID分别对应的多个数据，即，将以规定的ID为起点的多个ID设为一个周期且以该多个ID周期性地反复的方式排列的多个数据。并且，车辆日志也可以包括，与时刻信息分别对应的多个数据。

车辆状态提取部120，获得由车辆日志获得部110获得的车辆日志中包括的车辆状态，向差分生成用日志选择部140通知获得的车辆状态。

在此，车辆状态是，车辆200的状态，在本实施方式中是指，车辆200的速度、车辆200的行驶模式(例如，驾驶支援模式或自动驾驶模式等)、行驶区域、气温以及气候的信息之中的至少一个信息。例如，车辆状态提取部120，提取车辆日志中包括的车辆的速度、驾驶支援模式、自动驾驶模式、行驶位置、气候以及气温之中的至少一个以作为车辆状态。而且，车辆状态提取部120也可以提取，车辆速度的范围。例如，车辆状态提取部120也可以，提取为车辆速度是20km/h时车辆速度的范围是0至30km/h。并且，车辆状态提取部120也可以提取，气温的范围。例如，车辆状态提取部120也可以，提取为气温是33度时气温的范围是30至35度。并且，关于在车辆日志内的哪个部位包括车辆状态，由车辆日志定义表预先定义，车辆状态提取部120，利用车辆日志定义表，参照车辆日志的该场所，从而能够提取车辆状态。对于车辆日志定义表，在后面进行详细说明。

差分生成用日志保存部130，存储由车辆日志发送装置10与车辆日志分析服务器20共享的每个车辆状态的车辆日志即差分生成用日志的列表。例如，差分生成用日志保存部130也可以存储，过去向车辆日志分析服务器20发送的车辆日志与该发送时的车辆状态对应的差分生成用日志的列表。并且，例如，差分生成用日志保存部130也可以存储，车辆日志中包括的每个ID、且每个车辆状态的差分生成用日志的列表。并且，例如，差分生成用日志保存部130也可以存储，执行了将数据的值替换为规定值的替换处理、或将数据的值舍入的零数处理的差分生成用日志的列表。并且，例如，差分生成用日志保存部130也可以存储，执行了将时刻信息替换为索引信息的处理的差分生成用日志的列表。并且，例如，差分生成用日志保存部130也可以存储，按照ID的值的大小重新排列，针对同一ID按照数据的大小重新排列的差分生成用日志的列表。

差分生成用日志选择部140，接受由车辆状态提取部120提取的车辆状态，按照提取的车辆状态从差分生成用日志保存部130存储的列表中选择差分生成用日志。例如，差分生成用日志选择部140，选择与提取的车辆状态对应的差分生成用日志。差分生成用日志选择部140，向差分日志生成部150以及差分日志发送部160通知选择出的差分生成用日志的号码。

差分日志生成部150，根据车辆日志获得部110获得的车辆日志以及差分生成用日志选择部140选择的差分生成用日志生成差分日志。具体而言，差分日志生成部150，从车辆日志获得部110接受车辆日志，从差分生成用日志选择部140接受差分生成用日志的号码，从差分生成用日志保存部130获得与差分生成用日志的号码对应的差分生成用日志。而且，例如，差分日志生成部150，根据规则加工车辆日志，计算加工完毕车辆与日志差分生成用日志的差分，将计算的结果即差分日志、以及对车辆日志的加工使用的规则即车辆日志加工规则通知给差分日志发送部160。对于车辆日志加工规则以及差分日志，在后面进行详细说明。而且，例如，差分日志生成部150也可以，针对获得的车辆日志中包括的ID的每一个，根据与该ID对应的数据、以及与该ID对应的选择出的差分生成用日志，生成差分日志。并且，例如，差分日志生成部150也可以，进一步，在对获得的车辆日志执行替换处理或零数处理后，生成差分日志。并且，例如，差分日志生成部150也可以，进一步，将获得的车辆日志中包括的时刻信息替换为索引信息后，生成差分日志。并且，例如，差分日志生成部150也可以，进一步，针对获得的车辆日志，将时刻信息替换为索引信息，按照ID的值的大小重新排列，针对同一ID按照数据的值的大小重新排列后，生成差分日志。并且，例如，差分日志生成部150也可以，利用选择为数据压缩字典的差分生成用日志，按照规定的压缩算法压缩获得的车辆日志，将压缩后的车辆日志生成为差分日志。

差分日志发送部160，将差分日志生成部150生成的差分日志、以及与差分生成用日志选择部140选择的差分生成用日志对应的差分生成用日志标识符发送到车辆日志分析服务器。具体而言，差分日志发送部160，从差分生成用日志选择部140接收作为差分生成用日志标识符的差分生成用日志的号码，从差分日志生成部150接收差分日志，对差分日志进行可逆压缩，将可逆压缩后的差分日志以及差分生成用日志的号码发送到车辆日志分析服务器20。

[车辆日志分析服务器20的结构图]

图3是本公开的实施方式1的车辆日志分析服务器20的结构图。车辆日志分析服务器20是，从车辆日志发送装置10接收车辆日志的装置。在图3中，车辆日志分析服务器20具备，差分日志接收部210、复原用日志保存部220、车辆日志复原部230、车辆日志保存部240、异常日志检测部250、以及异常通知部260。

差分日志接收部210，与外部网络50连接，经由外部网络50接收从车辆日志发送装置10(差分日志发送部160)发送的、可逆压缩后的差分日志以及差分生成用日志标识符(差分生成用日志的号码)，对可逆压缩后的差分日志进行解压缩，将解压缩后的差分日志以及差分生成用日志的号码通知给车辆日志复原部230。

复原用日志保存部220存储，与车辆日志发送装置10的差分生成用日志保存部存储的差分生成用日志的列表相同的差分生成用日志的列表。也就是说，复原用日志保存部220，存储由车辆日志发送装置10与车辆日志分析服务器20共享的每个车辆状态的车辆日志即差分生成用日志的列表。例如，复原用日志保存部220也可以存储，过去向车辆日志分析服务器20发送的车辆日志与该发送时的车辆状态对应的差分生成用日志的列表。并且，例如，复原用日志保存部220也可以存储，车辆日志中包括的每个ID、每个车辆状态的差分生成用日志的列表。并且，例如，复原用日志保存部220也可以存储，执行了将数据的值替换为规定值的替换处理、或将数据的值舍入的零数处理的差分生成用日志的列表。并且，例如，复原用日志保存部220也可以存储，执行了将时刻信息替换为索引信息的处理的差分生成用日志的列表。并且，例如，复原用日志保存部220也可以存储，按照ID的值的大小重新排列，针对同一ID按照数据的大小重新排列的差分生成用日志的列表。

车辆日志复原部230，根据差分生成用日志标识符以及复原用日志保存部220存储的列表，确定对差分日志的生成使用的差分生成用日志，根据差分日志以及确定的差分生成用日志，复原车辆日志。具体而言，车辆日志复原部230，从差分日志接收部210接收差分日志以及差分生成用日志的号码，从复原用日志保存部220获得与差分生成用日志的号码对应的差分生成用日志，计算差分日志与差分生成用日志的差分，复原车辆日志。例如，车辆日志复原部230也可以，针对差分日志中包括的ID的每一个，根据与该ID对应的数据、以及与该ID对应的确定的差分生成用日志，复原车辆日志。并且，例如，车辆日志复原部230也可以，确定与以规定的ID为起点的多个ID对应的差分生成用日志，根据确定为差分日志的差分生成用日志，复原车辆日志。并且，例如，车辆日志复原部230也可以，进一步，参照发送的时刻列表，将索引信息替换为时刻信息，复原车辆日志。并且，例如，车辆日志复原部230也可以，进一步，参照发送的时刻列表，将索引信息替换为时刻信息，按照从时刻早到晚的顺序重新排列，复原车辆日志。并且，例如，车辆日志复原部230也可以，将确定的差分生成日志作为数据压缩字典利用，由规定的压缩算法对差分日志进行解压缩，复原车辆日志。进一步，车辆日志复原部230，将车辆日志记录到车辆日志保存部240。对于车辆日志的复原方法，在后面进行详细说明。

车辆日志保存部240存储复原后的车辆日志。

异常日志检测部250，监视车辆日志保存部240存储的复原后的车辆日志，在该车辆日志中包括攻击的痕迹的情况下，检测为异常日志，通知给异常通知部260。例如，在车辆日志中包括，车辆装置在与正常的处理序列不同的定时工作的日志、或进行包括正常范围外的控制值的网络通信的日志的情况下，异常日志检测部270，设为存在车辆200的网络攻击的痕迹，检测为安全上的威胁。

异常通知部260，向规定的通知目的地通知车辆的异常。具体而言，异常通知部260具有，从异常日志检测部250接受异常的车辆日志，向作为规定的通知目的地的、例如利用车辆日志分析服务器20的操作员或该车辆的驾驶员通知异常的功能。

[车辆日志]

图4是示出本公开的实施方式1的车辆日志获得部110获得的车辆日志的一个例子的图。车辆日志包括，与示出数据的种类的ID分别对应的多个数据。图4的车辆日志中包括，ID1、ID2、ID3以及ID4，以作为ID。并且，图4的车辆日志中包括，分别是8字节的数据的多个数据。在将8字节的数据设为一个数据时，该一个数据与ID对应。并且，如图4示出，将以规定的ID为起点的多个ID设为一个周期，以该多个ID周期性地反复的方式排列多个数据。例如，若规定的ID是ID1，则将以ID1为起点的ID1、ID2、ID3以及ID4设为一个周期，以ID1、ID2、ID3以及ID4周期性地反复的方式排列多个数据。而且，规定的ID，不仅限于ID1。例如，若规定的ID是ID2，则将以ID2为起点的ID2、ID3、ID4以及ID1设为一个周期，以ID2、ID3、ID4以及ID1周期性地反复的方式排列多个数据。并且，如图4示出，多个数据，与时刻信息分别对应。例如，“10:10:10”(10点10分10秒)等的时刻是时刻信息。在图4中，车辆日志，由时刻、ID、以及8字节的数据(8个1字节的数据)的组构成。时刻是，车辆日志的发生时刻。

ID是，示出数据的种类，例如，确定车辆日志的发生源的事件或消息的标识符。例如，关于车辆日志，在示出ECU的系统工作的事件时的ID是，过程号，在基于CAN或CAN-FD的通信协议的消息时的ID是，帧ID，在基于FlexRay的通信协议的消息时的ID是，时隙ID，在基于Ethernet的通信协议的消息时的ID是，IP地址。

多个数据分别是，例如，按每1字节由0x00至0xFF的16进制的数值构成的8字节的数据。在图4中，省略以16进制表示的0x，记载数据。例如，在图4中示出，车辆日志的第1行是，在时刻“10:10:10”发生的事件或消息，ID是“ID1”，在第1字节以16进制表示“01”，在第2字节以16进制表示“50”，在第3字节以16进制表示“41”，在第4字节以16进制表示“30”，在第5字节以16进制表示“30”，在第6字节以16进制表示“30”，在第7字节以16进制表示“30”，在第8字节以16进制表示“30”。

关于车辆日志的各个字节的数据值示出什么，参照车辆日志定义表。对于车辆日志定义表，在后面进行详细说明。

并且，在图4中示出，ID是“ID1”的车辆日志，在时刻“10:10:10”发生后，也在时刻“10:20:10”、“10:50:10”等发生，ID是“ID1”的事件或消息定期性地发生。

并且，在图4中示出，ID是“ID2”的车辆日志，在ID是“ID1”的事件或消息后继续发生。也就是说，以多个ID(在此，ID1、ID2、ID3以及ID4)周期性地反复的方式排列多个数据。

如此，参照车辆日志，从而能够确认事件或消息的发生时刻以及数据，因此，能够利用车辆日志，判断是否车辆系统300在与正常的处理序列不同的定时工作，或者，是否进行包括正常范围外的控制值的网络通信等，能够检测安全上的威胁。

[车辆日志定义表]

图5是示出本公开的实施方式1的车辆状态提取部120以及差分日志生成部150利用的车辆日志定义表的一个例子的图。车辆日志定义表是，定义示出车辆日志的每个ID的各个字节的数据值表示什么的数据类别的表。

在图5中，在ID是“ID1”的情况下，第1字节定义“计数器”，第2字节至第8字节，定义“车辆号码”。

在ID是“ID2”的情况下，第1字节定义“计数器”，第2字节定义“检验和”，第3字节以及第4字节定义“速度”，第5字节定义“移动”，第6字节至第8字节，未使用，没有定义。

在ID是“ID3”的情况下，第1字节定义“计数器”，第2字节定义“检验和”，第3字节以及第4字节定义“舵角”，第5字节至第8字节，未使用，没有定义。

接着，在ID是“ID4”的情况下，第1字节定义“计数器”，第2字节定义“车辆状态”，第3字节以及第4字节定义“位置信息”，第5字节定义“擦拭器”，第6字节定义“空调”，第7字节以及第8字节，未使用，没有定义。

定义的“车辆号码”是，7字节的值，按每个车辆取固定的值。定义的“速度”、“舵角”以及“位置信息”是2字节，0000至FFFF的值。定义的“检验和”以及“计数器”是1字节，00至FF的值。关于定义的“车辆状态”，在“00”的值的情况下，示出“停车中”，在“01”的值的情况下，示出“巡航控制模式”，在“02”的值的情况下，示出“日本，大阪府，大阪市”，在“03”的值的情况下，示出“雨，20度”。关于定义的“擦拭器”以及“空调”，在“01”的值的情况下，示出“运转中”，在“00”的情况下，示出“非运转”。关于定义的“移动”，在“00”的值的情况下，示出“停车”，在“01”的值的情况下，示出“开车”。在此，“巡航控制模式”是，追随车辆200的前方的车辆，使车辆200自动行驶的模式。

车辆状态提取部120，参照车辆日志以及车辆日志定义表，例如，从而能够确认在车辆日志的哪里存放有计数器、检验和以及车辆状态。

[车辆日志加工规则]

接着，说明车辆日志加工规则。车辆日志加工规则是，示出差分日志生成部150根据车辆日志生成加工完毕车辆日志时根据怎样的规则生成的规则。车辆日志加工规则是，在差分日志生成部150根据车辆日志生成加工完毕车辆日志时生成的。

图6是示出本公开的实施方式1的差分日志生成部150使用的车辆日志加工规则的一个例子的图。在图6中，车辆日志加工规则，由加工项目、加工有无、加工前的值、以及加工后的值的组构成。

加工项目是，“时刻索引”、“ID排序(升序)”、“数据排序(升序)”以及“数据替换”的某个。车辆日志加工规则示出，按照从上到下的顺序加工车辆日志的规则。

“时刻索引”表示，将车辆日志的时刻替换为索引信息的处理的规则。例如，在图6中，时刻索引示出，对每个ID的时刻分配序列号(T11，T12，···，T54)的规则。

“ID排序(升序)”表示，以按照从小到大的顺序重新排列ID的方式加工车辆日志的处理的规则。而且，在图6中，作为一个例子示出“ID排序(升序)”，但是，在按照从大到小的顺序重新排列ID的情况下，表示为“ID排序(降序)”。

“数据排序(升序)”表示，以按照从小到大的顺序重新排列同一ID中的特定的字节、例如第4字节的数据的方式，加工车辆日志的处理的规则。而且，在图6中，作为一个例子示出“数据排序(升序)”，但是，在按照从大到小的顺序重新排列同一ID中的特定的字节的数据的情况下，表示为“数据排序(降序)”。

“数据替换”表示，将符合车辆日志定义表所记载的特定的数据类别(例如计数器以及检验和)的数据区域的全部替换为特定的值(例如00)的处理的规则。

接着，加工有无是，“有效”以及“无效”的任意一方，示出是否执行了对应的加工项目的规则。在执行了对应的加工项目的规则的情况下，加工有无是“有效”，在没有执行对应的加工项目的规则的情况下，加工有无是“无效”。

加工前的值示出，对应的加工项目中的车辆日志的原来的值，加工后的值示出，对应的加工项目中的车辆日志的加工后的值(即加工完毕车辆日志的值)。

在图6中，在加工项目“时刻索引”中，加工有无是“有效”。相对于加工前的值“10:10:10”，设为加工后的值“T11”，相对于加工前的值“10:10:20”，设为加工后的值“T12”那样继续。

在图6中，在加工项目“ID排序(升序)”以及“数据排序(升序)”中，加工有无是“有效”。加工前的值以及加工后的值是“-”，“-”示出不将值替换的规则。这是因为，在“ID排序(升序)”以及“数据排序(升序)”中，重新排列数据，但是，不替换数据的值本身的缘故。

并且，在加工项目“数据替换”中，加工有无是“有效”，加工前的值示出“计数器”以及“检验和”的值，表示将加工后的“计数器”以及“检验和”的值替换为“00”的规则。

由车辆日志发送装置10与车辆日志分析服务器20共享车辆日志加工规则，从而能够由车辆日志分析服务器20将车辆日志发送装置10加工的加工完毕车辆日志恢复为原来的车辆日志。而且，在利用预先决定的规则生成加工完毕车辆日志，利用该预先决定的规则生成差分生成用日志的情况下，在车辆日志发送装置10以及车辆日志分析服务器20预先具有该预先决定的规则时，将作为车辆日志加工规则至少示出时刻信息与索引信息的对应关系的时刻列表，从车辆日志发送装置10发送到车辆日志分析服务器20即可。这是因为，车辆日志分析服务器20，针对时刻信息以外的信息，能够利用预先决定的规则复原的缘故。

[加工完毕车辆日志]

图7是示出本公开的实施方式1的差分日志生成部150生成的加工完毕车辆日志的一个例子的图。图7是图4中说明的车辆日志由图6的车辆日志加工规则加工时的加工完毕车辆日志的一个例子。在图7中，加工完毕车辆日志，与车辆日志同样，由时刻、ID、8字节的数据的组构成。

在图7中，加工完毕车辆日志的时刻，根据基于图6的车辆日志加工规则的“时刻索引”的规则，被替换为时刻索引(T11，T12，···，T54)。例如，时刻“T11”是，将时刻“10:10:10”替换时的时刻索引。

进一步，在加工完毕车辆日志中，按照从小到大的顺序对ID进行排序。

加工完毕车辆日志的ID是“ID3”且时刻“T53”、“T13”、“T23”的行的第4字节的数据的值分别是“10”、“20”、“30”，根据图6的车辆日志加工规则的“数据排序(升序)”的规则，同一ID的第4字节的数据按照从小到大的顺序而被排序。

关于加工完毕车辆日志的第1字节，根据图5的车辆日志定义表，是“计数器”，根据图6的车辆日志加工规则的“数据替换”的规则，数据的值全部被替换为“00”。

如上所述，在加工完毕车辆日志中，将时刻、计数器、检验和、事件发生时间等的每当发生车辆日志时变化的可能性高的值成为索引、或替换为“00”等。而且，在加工完毕车辆日志中也可以，进行将传感器等的细小的值等舍入的零数处理。

[差分生成用日志]

接着，说明差分生成用日志。差分生成用日志，由每个车辆状态可取的ID以及与ID对应的数据的组构成。在差分生成用日志中，按每个ID、且按每个车辆状态，设定成为与车辆日志相同的数据值的可能性高的值。

例如，在车辆状态是“停车中”的情况下，车辆200的速度是，0km，移动的状态是停车的可能性高。

并且，在车辆状态是“巡航控制模式”的情况下，车辆200行驶在高速公路中设定该模式的情况多，因此，速度是，规定速度以上的高速，移动状态是开车的可能性高。

进一步，在车辆状态是“日本，大阪府，大阪市”的情况下，车辆200的位置是市区，步行者多，因此，车辆200的速度是，规定速度以下的低速的可能性高。

在车辆状态是“雨，20度”的情况下，车辆200，擦拭器是运转中，空调是非运转的可能性高。

图8是示出本公开的实施方式1的差分生成用日志保存部130存储的差分生成用日志的一个例子的图。在图8中，对于差分生成用日志，按每个车辆状态赋予号码，由ID以及8字节的数据的组构成。关于差分生成用日志的各个字节的数据值示出什么，与车辆日志同样，参照车辆日志定义表。

在图8中，差分生成用日志的号码“1”是，车辆状态是“停车中”的差分生成用日志，在第2个组中，ID是“ID2”，第1字节的计数器的值是“00”，第2字节的检验和的值是“00”，第3字节以及第4字节的速度的值是“00”、“00”，第5字节的移动的值是示出“停车”的“00”。

差分生成用日志的号码“2”是，车辆状态是“巡航控制模式”的差分生成用日志，在第2个组中，ID是“ID2”，第1字节的计数器的值是“00”，第2字节的检验和的值是“00”，第3字节以及第4字节的速度的值是“20”、“10”，第5字节的移动的值是示出“开车”的“01”。

差分生成用日志的号码“3”是，车辆状态是“日本，大阪府，大阪市”的差分生成用日志，在第4个组中，ID是“ID4”，第1字节的计数器的值是“00”，第2字节的车辆状态的值是表示“日本，大阪府，大阪市”的“02”，第3字节以及第4字节的位置信息的值是“87”、“34”，第5字节的擦拭器的值是表示非运转的“00”，第6字节的空调的值是表示非运转的“00”。

差分生成用日志的号码“4”是，车辆状态是“雨，20度”的差分生成用日志，在第4个组中，ID是“ID4”，第1字节的计数器的值是“00”，第2字节的车辆状态的值是表示“雨，20度”的“03”，第3字节以及第4字节的位置信息的值是“00”以及“00”，第5字节的擦拭器的值是表示运转的“01”，第6字节的空调的值是表示非运转的“00”。

[差分日志]

接着，对于差分日志，进行详细说明。差分日志生成部150，利用差分生成用日志，根据加工完毕车辆日志生成差分日志。以与差分生成用日志的差小的方式，生成差分日志。这是因为，差分越小，差分日志的数据压缩率就越高，能够削减通信量的缘故。对于差分日志的生成，根据车辆200的车辆状态，利用对应的车辆状态的差分生成用日志。

图9是示出本公开的实施方式1的差分日志生成部150生成的差分日志的一个例子的图。

在图9中，差分日志，与加工完毕车辆日志同样，由时刻、ID、以及8字节的数据的组构成。在图9中，差分日志是，利用图7的加工完毕车辆日志以及图8的差分生成用日志生成的差分日志。在图7中，加工完毕车辆日志的ID是“ID4”的第2字节的车辆状态是，示出巡航控制模式的“01”。因此，对差分日志的生成，利用差分生成用日志的号码是“2”的巡航控制模式的差分生成日志。

差分日志是，利用与加工完毕车辆日志的ID对应的每1字节的值、以及ID的值相同的差分生成用日志的数据的每1字节的值，计算异或的结果。

如此，对差分日志的生成，利用异或，这是因为，在车辆日志分析服务器20侧，利用差分日志以及差分生成用日志复原加工完毕车辆日志时，车辆日志分析服务器20，也利用与差分日志的ID对应的每1字节的值、以及差分生成用日志的数据的每1字节的值，计算异或的缘故。

在图9中，差分日志的时刻“T11”的ID“ID1”的、第1字节至第8字节的数据是“00”。图7的加工完毕车辆日志的时刻“T11”的ID“ID1”的、第1字节是“00”、第2字节是“50”、第3字节是“40”、第4字节至第8字节是“30”，图8的差分生成用日志的号码“2”的差分生成用日志的、ID“ID1”的、第1字节是“00”、第2字节是“50”、第3字节是“40”、第4字节至第8字节是“30”，因此，取这些值的异或的结果的值的、第1字节至第8字节是“00”。

差分日志的时刻“T11”的ID“ID1”的第1字节至第8字节是“00”，差分生成用日志的号码“2”的差分生成用日志的、ID“ID1”的第1字节是“00”、第2字节是“50”、第3字节是“40”、第4字节至第8字节是“30”，取差分日志以及差分生成用日志的这些值的异或的结果的值的、加工完毕车辆日志的时刻“T11”的ID是“ID1”的第1字节是“00”、第2字节是“50”、第3字节是“40”、第4字节至第8字节是“30”，能够根据差分日志复原加工完毕车辆日志。

在图9中，差分日志的时刻“T22”的ID“ID2”的、第1字节至第3字节、第5字节至第8字节的数据是“00”、仅第4字节是“10”。图7的加工完毕车辆日志的时刻“T22”的ID“ID2”的、第1字节至第2字节以及第6字节至第8字节是“00”、表示速度的第3字节至第4字节是“20”、“00”、表示移动的第5字节是“01”，图8的差分生成用日志的号码“2”的差分生成用日志的、ID“ID2”的、第1字节至第2字节以及第6字节至第8字节是“00”、第3字节至第4字节是“20”“10”、第5字节是“01”，因此，取这些值的异或的结果的值的、第1字节至第3字节、第5字节至第8字节是“00”、第4字节是“10”。

差分日志的时刻“T22”的ID“ID2”的第1字节至第3字节、第5字节至第8字节是“00”、第4字节是“10”，差分生成用日志的号码“2”的差分生成用日志的ID“ID2”的、第1字节、第2字节以及第6字节至第8字节是“00”、第3字节至第4字节是“20”、“10”、第5字节是“01”，取差分日志以及差分生成用日志的这些值的异或的结果的值的、加工完毕车辆日志的时刻“T22”的ID“ID2”的第1字节至第3字节、第5字节至第8字节是“00”、第4字节是“10”，能够根据差分日志复原加工完毕车辆日志。

[差分日志的发送处理的序列]

接着，说明车辆日志发送装置10，生成并发送差分日志的处理。

图10是示出本公开的实施方式1的车辆日志发送装置10生成并发送差分日志的处理序列的图。

(S1001)车辆日志发送装置10的车辆日志获得部110，获得车辆日志，向车辆状态提取部120通知车辆日志。

(S1002)车辆状态提取部120，接受车辆日志，参照车辆日志定义表，从车辆日志中提取车辆状态。

(S1003)车辆状态提取部120，向差分生成用日志选择部140通知提取的车辆状态。

(S1004)差分生成用日志选择部140，接受车辆状态。

(S1005)差分生成用日志选择部140，选择与接受的车辆状态对应的差分生成用日志，向差分日志生成部150通知选择出的差分生成用日志的号码。

(S1006)差分日志生成部150，接受差分生成用日志的号码，从差分生成用日志保存部130获得与差分生成用日志的号码对应的差分生成用日志。

(S1007)车辆日志获得部110，向差分日志生成部150通知车辆日志。

(S1008)差分日志生成部150，接受被通知的车辆日志。

(S1009)差分日志生成部150，根据接受的车辆日志生成加工完毕车辆日志。将生成加工完毕车辆日志时使用的规则设为车辆日志加工规则。进一步，差分日志生成部150，利用加工完毕车辆日志以及差分生成用日志生成差分日志，向差分日志发送部160通知差分日志、差分生成用日志的号码以及车辆日志加工规则。

(S1010)差分日志发送部160，接受被通知的差分日志、差分生成用日志号码以及车辆日志加工规则。

(S1011)差分日志发送部160，压缩接受的差分日志，向车辆日志分析服务器20发送压缩后的差分日志、差分生成用日志号码以及车辆日志加工规则。

[差分日志的接收处理的序列]

接着，说明车辆日志分析服务器20，接收差分日志，执行异常检测处理的处理。

图11是示出本公开的实施方式1的车辆日志分析服务器20接收差分日志的处理序列的图。

(S1102)差分日志接收部210，接收压缩后的差分日志、差分生成用日志号码以及车辆日志加工规则，对压缩后的差分日志进行解压缩，向车辆日志复原部230通知解压缩后的差分日志、差分生成用日志号码以及车辆日志加工规则。

(S1103)车辆日志复原部230，接受被通知的差分日志、差分生成用日志号码以及车辆日志加工规则，从复原用日志保存部220获得与差分生成用日志的号码对应的差分生成用日志。

(S1104)车辆日志复原部230，根据差分日志以及差分生成用日志，将车辆日志复原并存储到车辆日志保存部240，向异常日志检测部250通知车辆日志。

(S1105)异常日志检测部250，接受被通知的车辆日志。

(S1106)异常日志检测部250，检测接受的车辆日志中是否包括异常，在车辆日志中包括异常的情况下，向异常通知部260通知异常。

(S1107)异常通知部260，接受被通知的异常，向车辆日志分析服务器20的利用者、或异常的车辆日志发生的车辆200的驾驶员通知异常。

[加工完毕车辆日志生成处理的流程图]

接着，说明差分日志生成部150，根据规则从车辆日志生成加工完毕车辆日志的处理。该规则是，例如，车辆日志分析系统100的用户或车辆200的用户等的设定。

图12示出本公开的实施方式1的差分日志生成部150的加工完毕车辆日志生成处理的流程图。

(S1201)差分日志生成部150，从车辆日志获得部110获得车辆日志。

(S1202)差分日志生成部150，按照规则判断是否对车辆日志的“时刻”进行加工。差分日志生成部150，在判断为对车辆日志的“时刻”进行加工的情况下(“是”的情况)，执行步骤S1203的处理。差分日志生成部150，在判断为不对车辆日志的“时刻”进行加工的情况下(“否”的情况)，设为加工项目“时刻索引”、加工有无“无效”，生成车辆日志加工规则。接着，差分日志生成部150，执行步骤S1205的处理。

(S1203)差分日志生成部150，设为加工项目“时刻索引”、加工有无“有效”，将车辆日志的时刻设为加工前的值，将时刻索引的序列号设为加工后的值，生成时刻列表。

差分日志生成部150，判断为对车辆日志的“时刻”进行加工的情况意味着，例如，所述规则是对车辆日志的“时刻”进行加工的规则(设定)。并且，差分日志生成部150，判断为不对车辆日志的“时刻”进行加工的情况意味着，例如，所述规则是不对车辆日志的“时刻”进行加工的规则(设定)。步骤S1203中生成的车辆日志加工规则，与图6的“时刻索引”的行对应，该车辆日志加工规则是，示出时刻信息与索引信息的对应关系的时刻列表的一个例子。根据该时刻列表可见，例如，时刻“10:10:10”与时刻索引“T11”对应。

(S1204)差分日志生成部150，参照时刻列表的加工前的值以及加工后的值，将车辆日志的时刻替换为加工后的值即时刻索引的序列号。

(S1205)差分日志生成部150，根据规则判断是否按照从小到大的顺序对车辆日志的“ID”进行排序。差分日志生成部150，在判断为对车辆日志的“ID”进行排序的情况下(“是”的情况)，设为加工项目“ID排序(升序)”、加工有无“有效”、加工前的值“-”、加工后的值“-”，生成车辆日志加工规则。接着，差分日志生成部150，执行步骤S1206的处理。差分日志生成部150，在判断为不对车辆日志的“ID”进行排序的情况下(“否”的情况)，设为加工项目“ID排序(升序)”、加工有无“无效”，生成车辆日志加工规则。接着，差分日志生成部150，执行步骤S1207的处理。

差分日志生成部150，判断为对车辆日志的“ID”进行排序的情况意味着，例如，所述规则是对车辆日志的“ID”进行排序的规则(设定)。并且，差分日志生成部150，判断为不对车辆日志的“ID”进行排序的情况意味着，例如，所述规则是不对车辆日志的“ID”进行排序的规则(设定)。步骤S1205的判断后生成的车辆日志加工规则，与图6的“ID排序(升序)”的行对应。

(S1206)差分日志生成部150，按照从小到大的顺序重新排列车辆日志的ID。

(S1207)差分日志生成部150，根据规则判断是否按照从小到大的顺序对车辆日志的“数据”进行排序。差分日志生成部150，在判断为对车辆日志的“数据”进行排序的情况下(“是”的情况)，设为加工项目“数据排序(升序)”、加工有无“有效”、加工前的值“-”、加工后的值“-”，生成车辆日志加工规则。接着，差分日志生成部150，执行步骤S1208的处理。差分日志生成部150，在判断为不对车辆日志的“数据”进行排序的情况下(“否”的情况)，设为加工项目“数据排序(升序)”、加工有无“无效”，生成车辆日志加工规则。接着，差分日志生成部150，执行步骤S1209的处理。

差分日志生成部150，判断为对车辆日志的“数据”进行排序的情况意味着，例如，所述规则是对车辆日志的“数据”进行排序的规则(设定)。并且，差分日志生成部150，判断为不对车辆日志的“数据”进行排序的情况意味着，例如，所述规则是不对车辆日志的“数据”进行排序的规则(设定)。步骤S1207的判断后生成的车辆日志加工规则，与图6的“数据排序(升序)”的行对应。

(S1208)差分日志生成部150，按照从小到大的顺序重新排列车辆日志的数据。

(S1209)差分日志生成部150，根据规则判断是否对车辆日志的规定的“数据”进行加工。差分日志生成部150，在判断为对车辆日志的规定的“数据”进行加工的情况下(“是”的情况)，设为加工项目“数据替换”、加工有无“有效”、加工前的值“计数器”、加工后的值“00”、加工前的值“检验和”、加工后的值“00”，生成车辆日志加工规则。接着，差分日志生成部150，执行步骤S1210的处理。差分日志生成部150，在判断为不对车辆日志的规定的“数据”进行加工的情况下(“否”的情况)，设为加工项目“数据替换”、加工有无“无效”，生成车辆日志加工规则。接着，差分日志生成部150，执行步骤S1211的处理。

差分日志生成部150，判断为对车辆日志的规定的“数据”进行加工的情况意味着，例如，所述规则是对车辆日志的规定的“数据”进行加工的规则(设定)。并且，差分日志生成部150，判断为不对车辆日志的规定的“数据”进行加工的情况意味着，例如，所述规则是不对车辆日志的规定的“数据”进行加工的规则(设定)。步骤S1209的判断后生成的车辆日志加工规则，与图6的“数据替换”的行对应。

(S1210)差分日志生成部150，将车辆日志的计数器的值替换为“00”，将检验和的值替换为“00”。

(S1211)差分日志生成部150，存储加工了车辆日志的加工完毕车辆日志。

[差分日志生成处理的流程图]

接着，说明车辆日志发送装置10，利用差分生成用日志根据加工完毕车辆日志生成差分日志的处理。图13示出本公开的实施方式1的车辆日志发送装置10的差分日志生成处理的流程图。

(S1301)车辆日志发送装置10的车辆状态提取部120，根据获得的车辆日志获得车辆状态。车辆状态提取部120，将获得的车辆状态通知给差分生成用日志选择部140。

(S1302)差分生成用日志选择部140，判断被通知的车辆状态是什么。差分生成用日志选择部140，在车辆状态是“停车中”的情况下执行步骤S1303的处理，在车辆状态是“巡航控制模式”的情况下执行步骤S1304，在车辆状态是“日本，大阪府，大阪市”的情况下执行步骤S1305，在车辆状态是“雨，20度”的情况下执行步骤S1306。

(S1303)差分生成用日志选择部140，从差分生成用日志保存部130，选择差分生成用日志的号码是“1”的“停车中”的差分生成用日志。差分生成用日志选择部140，将选择出的差分生成用日志的号码通知给差分日志生成部150。

(S1304)差分生成用日志选择部140，从差分生成用日志保存部130，选择差分生成用日志的号码是“2”的“巡航控制模式”的差分生成用日志。差分生成用日志选择部140，将选择出的差分生成用日志的号码通知给差分日志生成部150。

(S1305)差分生成用日志选择部140，从差分生成用日志保存部130，选择差分生成用日志的号码是“3”的“日本，大阪府，大阪市”的差分生成用日志。差分生成用日志选择部140，将选择出的差分生成用日志的号码通知给差分日志生成部150。

(S1306)差分生成用日志选择部140，从差分生成用日志保存部130，选择差分生成用日志的号码是“4”的“雨，20度”的差分生成用日志。差分生成用日志选择部140，将选择出的差分生成用日志的号码通知给差分日志生成部150。

(S1307)差分日志生成部150，加工车辆日志来生成加工完毕车辆日志，按每个ID计算加工完毕车辆日志和与被通知的差分生成用日志的号码对应的差分生成用日志的差分，生成差分日志。

[车辆日志复原处理的流程图]

接着，说明车辆日志分析服务器20将从车辆日志发送装置10发送的差分日志复原为车辆日志的处理。

图14示出本公开的实施方式1的车辆日志复原部230的车辆日志复原处理的流程图。

(S1401)车辆日志复原部230，从差分日志接收部210获得差分日志、以及车辆日志加工规则，进一步，从复原用日志保存部220获得差分生成用日志。

(S1402)车辆日志复原部230，计算差分日志与差分生成用日志的异或，复原加工完毕车辆日志。

(S1403)车辆日志复原部230，判断车辆日志加工规则的加工项目“时刻索引”的加工有无是否是“有效”。车辆日志复原部230，在判断为是“有效”的情况下(“是”的情况)，执行步骤S1404的处理，在判断为不是“有效”的情况下(“否”的情况)，执行步骤S1405的处理。

(S1404)车辆日志复原部230，若加工完毕车辆日志的时刻(时刻索引)，与车辆日志加工规则的加工项目“时刻索引”的加工后的值一致，则将加工完毕车辆日志的时刻替换为车辆日志加工规则的加工项目“时刻索引”的加工前的值。

(S1405)车辆日志复原部230，按照从加工完毕车辆日志的时刻早到晚的顺序重新排列。

(S1406)车辆日志复原部230，将进行步骤S1403至步骤S1405的处理后的加工完毕车辆日志作为车辆日志存储。

(其他的实施方式)

如上所述，作为本公开涉及的技术的例子说明了实施方式1。然而，本公开涉及的技术，不仅限于此，也可以适用于适当地进行了变更、替换、补充、省略等的实施方式。例如，如下的变形例也包括在本公开的一个实施方式中。

(1)在所述实施方式中说明了，对汽车等的车辆的安全措施，但是，本公开的适用范围，不仅限于此。本公开，不仅限于汽车，也可以适用于建筑机械、农业机械、船舶、铁路、飞机等的移动体。

(2)在所述实施方式中说明了，车辆日志分析服务器20具备车辆日志保存部250以及异常通知部260，但是，车辆日志保存部250以及异常通知部260不是必须的构成要素。在车辆日志分析服务器20不具备车辆日志保存部250以及异常通知部260的情况下，例如，也可以收集的车辆日志由手动分析，在存在攻击的痕迹的情况下，检测为异常。

(3)在所述实施方式中说明了，车辆日志发送装置10，设置在车辆内，但是，车辆日志发送装置10，也可以是一并发送多个车辆日志的边缘服务器，也可以是收集车辆日志的云服务器。

(4)在所述实施方式中说明了，车辆日志是，ECU的系统工作日志、或基于CAN、CAN-FD、Ethernet、FlexRay的网络日志，但是，ECU，也可以是IVI(In-Vehicle InfotaimentSystem)，也可以是传感器装置，网络，也可以是LIN以及MOST，也可以构成为它们的组合。

(5)在所述实施方式中说明了，差分日志生成部150，利用异或，计算差分日志，但是，也可以利用Binary Diff等的其他的差分生成算法，计算差分日志。

(6)在所述实施方式中说明了，差分日志生成部150，针对车辆日志之中的数据的区域，利用异或，计算与差分生成用日志的差分，但是，也可以针对车辆日志之中的ID的区域，也利用异或，计算与差分生成用日志的差分。在利用异或计算ID的区域的差分的情况下，车辆日志复原部230不能识别ID。因此，差分日志生成部150向车辆日志加工规则中包括的时刻索引追加能够识别ID的信息，车辆日志复原部230参照时刻索引，从而能够识别ID来复原车辆日志。据此，能够使车辆日志与差分生成用日志之间的差分变得更小。

(7)在所述实施方式中说明了，差分日志发送部160，对差分日志，利用LHA以及ZIP等的压缩算法进行压缩，但是，也可以利用7z、RAR、AFA、CAB、GCA、DGCA、StuffIt、CompactPro、pack、compress、bzip、bzip2或Zstandard等的其他的压缩算法进行压缩。

(8)在所述实施方式中说明了，差分日志生成部150，为了计算异或而利用差分生成用日志，但是，也可以作为用于压缩算法的压缩字典利用差分生成用日志。在作为压缩字典利用差分生成用日志的情况下，差分日志生成部150，并不一定需要计算车辆日志与差分生成用日志的差分，也可以按照车辆状态，选择并利用能够压缩的可能性更高的压缩字典。

一般而言，作为压缩字典利用与压缩对象的数据类似的数据，据此，压缩率提高为人所知。例如，在将压缩字典中包括的数据分割为N字节，将每N字节的分割数据与分割数据的标识符建立对应的情况下，在将压缩对象的数据分割为N字节，压缩对象的分割数据与压缩字典的分割数据一致的情况下，能够替换为分割数据的标识符。

也就是说，若是类似的数据，则能够将许多分割数据替换为标识符，因此，能够高效率地进行数据压缩。

(9)在所述实施方式中说明了，差分生成用日志，由车辆日志发送装置10与车辆日志分析服务器20预先共享，但是，差分生成用日志也可以，由车辆日志发送装置10与车辆日志分析服务器20动态地共享。例如，也可以将从车辆日志发送装置10向车辆日志分析服务器20发送的车辆日志以及该发送时的车辆状态，作为差分生成用日志，由差分生成用日志保存部130以及复原用日志保存部220存储。在此情况下，差分生成用日志保存部130以及复原用日志保存部220，并不一定需要按每个ID存储差分生成用日志。

在不按每个ID存储差分生成用日志的情况下，差分日志生成部150，从开头的行依次计算发送对象的加工完毕车辆日志与差分生成用日志的每一行的差分，生成差分日志，车辆日志复原部230，从开头的行依次计算差分日志与差分生成用日志的每一行的差分，复原车辆日志。据此，不需要按每个车辆状态预先设定差分生成用日志，能够抑制开发成本。

并且，在差分生成用日志保存部130以及复原用日志保存部220不按每个ID存储差分生成用日志的情况下，差分日志生成部150也可以，以发送对象的加工完毕车辆日志的行数或数据尺寸相同的方式从差分生成用日志的末尾的行开始删除。在此情况下，在车辆日志加工规则的“加工项目”记载“差分生成用日志删除”，在“加工有无”记载“有效”，在“加工前的值”记载删除的行数或数据尺寸，在“加工后的值”记载“-”。从开头的行依次计算发送对象的加工完毕车辆日志与差分生成用日志的每一行的差分，生成差分日志，车辆日志复原部230也可以，参照车辆日志加工规则，在“差分生成用日志删除”的“加工有无”是“有效”的情况下，将差分生成用日志从末尾的行开始按照行数或数据尺寸删除，从开头的行依次计算差分日志与差分生成用日志的每一行的差分，复原车辆日志。

并且，在差分生成用日志保存部130以及复原用日志保存部220不按每个ID存储差分生成用日志的情况下，差分日志生成部150也可以，以差分生成用日志的开头一行中包括的ID与发送对象的加工完毕车辆日志的开头的一行中包括的ID或规定的ID相同的方式，从差分生成用日志的开头的行开始删除。在此情况下，在车辆日志加工规则的“加工项目”记载“差分生成用日志ID一致”，在“加工有无”记载“有效”，在“加工前的值”记载删除的行数，在“加工后的值”记载“-”。从开头的行依次计算发送对象的加工完毕车辆日志与差分生成用日志的每一行的差分，生成差分日志，车辆日志复原部230也可以，参照车辆日志加工规则，在“差分生成用日志ID一致”的“加工有无”是“有效”的情况下，从差分生成用日志的开头的行开始删除车辆日志加工规则中记载的行数，从开头的行依次计算差分日志与差分生成用日志的每一行的差分，复原车辆日志。

并且，差分生成用日志保存部130以及复原用日志保存部220也可以，按每个ID动态地存储差分生成用日志。车辆日志中包括包含同一ID的一行的多个日志的情况下，在包含一个ID的一行的日志中，采用最初的一行或每个字节的平均值、每个字节的中央值、或每个字节的众数，按每个ID存储。

(10)在所述实施方式中说明了，异常通知部260，将异常通知给车辆日志分析服务器20的利用者或驾驶员，但是，通知目的地，也可以是警察，也可以是交通部，也可以是脆弱性信息的共享机构。

(11)在所述实施方式中说明了，加工完毕车辆日志包括，时刻或时刻索引，将数据替换为规定值，但是，也可以限定为车辆日志保存部250为了检测异常的日志而需要的信息。例如，车辆日志保存部250，在特定的数据区域的值是规定值以上时检测为异常的情况下，不需要时刻信息以及详细数据，也可以对车辆日志执行删除时刻信息或舍入数据等的处理。并且，在车辆日志保存部250利用机器学习，检测异常的情况下，也可以将用于机器学习的时间序列的差分信息等的特征量设为加工完毕车辆日志的数据。

(12)在所述实施方式中说明了，关于车辆日志加工规则，在差分日志生成部150从车辆日志生成差分日志时制作，由车辆日志发送装置10与车辆日志分析服务器20共享，但是，在车辆日志加工规则的加工项目是“ID排序(升序)”或“数据排序(升序)”、“数据替换”的行，“加工有无”、“加工前的值”以及“加工后的值”，不是在差分日志生成时，而是预先共享。但是，关于加工项目是“时刻索引”的“加工前的值”以及“加工后的值”，不能预先共享，因此，需要在差分日志生成部150生成差分日志时制作，由车辆日志分析服务器20动态地共享。

(13)构成上述实施方式的各个装置的构成要素的一部分或全部，也可以由一个系统LSI(Large Scale Integration：大规模集成电路)构成。系统LSI是，将多个构成部集成在一个芯片上而制造的超多功能LSI，具体而言，包括微处理器、ROM、RAM等而构成的计算机系统。在RAM记录有计算机程序。微处理器，根据计算机程序进行工作，据此，系统LSI实现其功能。并且，构成所述各个装置的构成要素的各个部分，也可以个别地单片化，也可以以包含一部分或全部的方式单片化。并且，在此，设为系统LSI，但是，也会有根据集成度的不同，称为IC、LSI、超LSI、特大LSI的情况。并且，集成电路化的方法，不仅限于LSI，也可以由专用电路或通用处理器来实现。也可以利用在制造LSI后能够编程的FPGA(Field ProgrammableGate Array)、或能够重构LSI内部的电路单元的连接以及设定的可重构处理器。进而，若因半导体技术的进步或派生的其他的技术而出现代替LSI的集成电路化的技术，当然，也可以利用该技术进行功能块的集成化。会有生物技术的适用等的可能性。

(14)构成上述的各个装置的构成要素的一部分或全部，也可以由与各个装置能够装卸的IC卡或单体的模块构成。IC卡或模块是，由微处理机、ROM、RAM等构成的计算机系统。IC卡或模块也可以包括，所述超多功能LSI。微处理机根据计算机程序进行工作，据此，IC卡或模块实现其功能。该IC卡或模块也可以具有，防篡改性。

(15)并且，本公开，不仅能够作为车辆日志发送装置10以及车辆日志分析系统100实现，也能够作为包括构成车辆日志分析系统100的各个要素进行的处理的步骤的车辆日志收发方法实现。

具体而言，车辆日志收发方法由车辆日志发送装置10的车辆日志发送方法以及车辆日志分析服务器20的车辆日志接收方法构成，将车辆日志从车辆日志发送装置10向车辆日志分析服务器20发送，车辆日志发送装置10具备，存储由车辆日志发送装置10与车辆日志分析服务器20共享的每个车辆状态的车辆日志即差分生成用日志的列表的差分生成用日志保存部130，车辆日志分析服务器20具备存储该列表的复原用日志保存部220，如图10示出，车辆日志发送方法，包括：车辆日志获得步骤(步骤S1001)，获得车辆日志；车辆状态提取步骤(步骤S1002)，从获得的车辆日志中提取车辆状态；差分生成用日志选择步骤(步骤S1005)，按照提取的车辆状态从列表中选择差分生成用日志；差分日志生成步骤(步骤S1009)，根据获得的车辆日志以及选择出的差分生成用日志，生成差分日志；以及差分日志发送步骤(步骤S1011)，将生成的差分日志、以及与选择出的差分生成用日志对应的差分生成用日志标识符，发送到车辆日志分析服务器20，如图11示出，车辆日志接收方法，包括：差分日志接收步骤(步骤S1102)，接收差分日志发送步骤中发送的差分日志以及差分生成用日志标识符；以及车辆日志复原步骤(步骤S1103，S1104)，根据差分生成用日志标识符以及列表，确定对差分日志的生成使用的差分生成用日志，根据差分日志以及确定的差分生成用日志，复原车辆日志。

(16)作为本公开的一个形态，也可以是车辆日志收发方法由计算机实现的程序(计算机程序)，也可以是由计算机程序构成的数字信号。并且，作为本公开的一个形态，也可以将计算机程序或数字信号记录到计算可读取的记录介质、例如软盘、硬盘、CD-ROM、MO、DVD、DVD-ROM、DVD-RAM、BD(Blu-ray(注册商标)Disc)、半导体存储器等。并且，也可以是这些记录介质所记录的数字信号。并且，作为本公开的一个形态，也可以将计算机程序或数字信号，经由电通信线路、无线或有线通信线路、以互联网为代表的网络、数据广播等传输。并且，作为本公开的一个形态，具备微处理器以及存储器的计算机系统，存储器存储有，所述计算机程序，微处理器，根据计算机程序进行工作。并且，也可以将程序或数字信号记录到记录介质来传输，或者，将程序或数字信号经由网络等来传输，从而由独立的其他的计算机系统执行。

(17)任何组合所述实施方式以及所述变形例所示的各个构成要素以及功能来实现的形态也包含在本公开的范围内。

根据本公开的车载网络系统的车辆日志分析系统，能够削减车辆与车辆的外部的服务器之间发送的车辆日志的数据量。其结果为，不准备能够进行大量的车辆日志的通信的资源，也能够将车辆日志发送到外部的服务器，利用车辆的外部服务器能够检测向车辆的网络的不正当的数据的侵入，能够贡献于车辆的安全性。

10 车辆日志发送装置

20 车辆日志分析服务器

30a，30b，30c ECU

40a 传感器

40b 发动机

40c 转向器

50 外部网络

60 车辆网络

100 车辆日志分析系统

110 车辆日志获得部

120 车辆状态提取部

130 差分生成用日志保存部

140 差分生成用日志选择部

150 差分日志生成部

160 差分日志发送部

200 车辆

210 差分日志接收部

220 复原用日志保存部

230 车辆日志复原部

240 车辆日志保存部

250 车辆日志保存部

260 异常通知部

300 车辆系统