JP6779853B2 - 情報処理システム、および情報処理方法 - Google Patents

Description

本発明の実施形態は、情報処理装置、情報処理システム、および情報処理方法に関する。

複数のノードをネットワークに接続し、これらのノード間の通信を、ゲートウェイ装置（以下、「ＧＷ」と略称する）を介して行うシステムが知られている。例えば、このようなシステムを車両に搭載した構成が開示されている。また、運転環境モニタリング結果、車両内外の通信、運転者の操作、車両内部システム状態に関するログ、などのログデータを、車両の走行状態の解析に用いることが行われている。

例えば、車両挙動の検出時点に応じた期間内の車両情報を、車両に記憶し、サーバへ送信するシステムが開示されている。ここで、ログデータの解析時には、車両に搭載されたノード間およびノード内における、通信データの因果関係の推定を要する場合がある。しかし、従来では、ログデータに含まれる通信データの各々の、ノード間およびノード内における因果関係を推定可能な情報が提供されていなかった。すなわち、従来では、ログ解析に有用なデータを提供することが困難であった。

特開２０１７−００４４４５号公報

本発明が解決しようとする課題は、ログ解析に有用なデータを提供可能な、情報処理装置、情報処理システム、および情報処理方法を提供することである。

実施の形態の情報処理装置は、記憶制御部を備える。記憶制御部は、ネットワークを介して接続されたノードの通信データと、前記通信データの通信時に前記ノード間の認証に用いる認証情報と、を対応づけて記憶部に記憶する。

情報処理システムの概要を示す模式図。 ＧＷのハードウェア構成例を示すブロック図。 ノードのハードウェア構成例を示すブロック図。 ＧＷおよびノードの機能的な構成例を示すブロック図。 ログＤＢのデータ構成の一例を示す模式図。 ログＤＢのデータ構成の一例を示す模式図。 ＧＷで実行する情報処理の手順の一例を示すフローチャート。 ノードで実行する情報処理の手順の一例を示すフローチャート。 ＧＷおよびノードの機能的な構成例を示すブロック図。 ログＤＢのデータ構成の一例を示す模式図。 ＧＷで実行する情報処理の手順の一例を示すフローチャート。 ノードで実行する情報処理の手順の一例を示すフローチャート。

実施の形態の情報処理システムは、例えば、移動体の一例である自動車に搭載される車載ネットワークシステム（通信システム）に適用できる。以下では、車載ネットワークシステムに含まれる車載ゲートウェイ装置（以下、「ＧＷ」と略称する）を、実施の形態の情報処理装置として構成した例を説明する。また、以下では、車載ネットワークシステムに含まれる電子制御装置（ＥＣＵ：Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ、以下、「ＥＣＵ」と略称する）や各種センサや機器を、実施の形態のノードとして構成した例を説明する。

なお、実施形態の情報処理システムを適用可能な装置やシステムは以下の例に限られない。実施の形態の情報処理システムは、解析対象の通信データを通信する、様々なシステムに広く適用可能である。

（第１の実施の形態）
図１は、情報処理システム１の概要を示す模式図である。情報処理システム１は、例えば、車両２に搭載されている。

情報処理システム１は、ＧＷ１０と、複数のノード２０と、を備える。複数のノード２０と、ＧＷ１０と、は、ネットワークＮを介して接続されている。図１に示す例では、情報処理システム１は、ネットワークＮとして、複数のサブネットワーク（サブネットワークＮ１、サブネットワークＮ２）を含む。これらの複数のサブネットワークの各々には、ノード２０が接続されている。また、これらの複数のサブネットワークは、ＧＷ１０に接続されている。

また、ＧＷ１０には、Ｖ２Ｘ通信モジュール５０および通信モジュール５２が接続されている。通信モジュール５２は、外部ネットワーク２６を介して外部装置と通信するためのモジュールである。Ｖ２Ｘ通信モジュール５０は、通信インフラを介さずに、他の車両２との間で直接無線通信を行うためのモジュールである。直接無線通信には、例えば、車車間・路車間通信（Ｖ２Ｘ：Ｖｅｈｉｃｌｅ−ｔｏ−Ｅｖｅｒｙｔｈｉｎｇ）を用いる。なお、Ｖ２Ｘ通信は、Ｃ２Ｘ（Ｃａｒ−ｔｏ−Ｘ）通信と称される場合もある。

ＧＷ１０は、情報処理装置の一例である。ＧＷ１０は、本来のゲートウェイとしての機能に加えて、後述する各処理を実行する。本来のゲートウェイとしての機能は、例えば、情報処理システム１内のサブネットワーク（例えば、サブネットワークＮ１、サブネットワークＮ２）間の通信の中継およびフィルタリングや、情報処理システム１と車外の外部ネットワーク２６との間の通信の中継およびフィルタリングや、他の車両２との直接の通信の中継およびフィルタリングなどである。

ノード２０は、ノードの一例である。ノード２０は、ＧＷ１０を介して他のノード２０との間で、通信データを通信する電子機器である。ノード２０は、例えば、ＥＣＵや、各種センサや、アクチュエータなどである。ＥＣＵは、車両２における各種制御を行う電子機器である。図１には、ノード２０の一例として、ＥＣＵ２０ａ、ＥＣＵ２０ｂ、センサ２０ｃ、ＥＣＵ２０ｄ、およびアクチュエータ２０ｅを、示した。ノード２０は、電子機器としての本来の機能に加えて、後述する各処理を実行する。

情報処理システム１の通信規格は限定されない。情報処理システム１の通信規格は、例えば、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）やＦｌｅｘＲａｙ（登録商標）などである。

図２は、ＧＷ１０のハードウェア構成例を示すブロック図である。ＧＷ１０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１などの制御装置と、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１２やＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１３などの記憶装置と、ネットワークＩ/Ｆ１４と、通信Ｉ/Ｆ１５と、通信Ｉ/Ｆ１６と、メモリＩ/Ｆ１７と、がバス１９を介して接続された構成である。

ネットワークＩ/Ｆ１４は、サブネットワークを介してノード２０と通信するための通信インターフェースである。通信Ｉ/Ｆ１５は、直接無線通信を行う通信インターフェースである。通信Ｉ/Ｆ１６は、外部ネットワーク２６を介して外部装置と通信する通信インターフェースである。メモリＩ/Ｆ１７は、ＳＴ（ストレージ）１８へアクセスするためのインターフェースである。ＳＴ１８は、各種情報を記憶するメモリである。ＳＴ１８は、例えば、ハードディスクや、不揮発性メモリを使用したＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）などである。

ＧＷ１０では、ＣＰＵ１１が、ＲＯＭ１２からプログラムをＲＡＭ１３上に読み出して実行することにより、後述する各種の機能が実現される。

図３は、ノード２０のハードウェア構成例を示すブロック図である。ノード２０は、ＣＰＵ２１などの制御装置と、ＲＯＭ２２やＲＡＭ２３などの記憶装置と、ネットワークＩ/Ｆ２４と、メモリＩ/Ｆ１７と、がバス２９を介して接続された構成である。

ネットワークＩ/Ｆ２４は、サブネットワークおよびＧＷ１０を介して他のノード２０と通信するための通信インターフェースである。メモリＩ/Ｆ２７は、ＳＴ２８へアクセスするためのインターフェースである。ＳＴ２８は、各種情報を記憶するメモリである。

ノード２０では、ＣＰＵ２１が、ＲＯＭ２２からプログラムをＲＡＭ２３上に読み出して実行することにより、後述する各種の機能が実現される。

図４は、本実施の形態の情報処理システム１に含まれるＧＷ１０およびノード２０の各々の、機能的な構成例を示すブロック図である。なお、図４には、説明を簡略化するために、１台のノード２０を示した。しかし、実際には、複数のノード２０が、ＧＷ１０を介して通信し、後述する処理を実行する。

―ＧＷ１０―
まず、ＧＷ１０について説明する。ＧＷ１０は、制御部３２と、記憶部３４と、を備える。制御部３２と記憶部３４とは、データや信号を授受可能に接続されている。

記憶部３４は、各種情報を記憶する。記憶部３４は、記憶部および第１記憶部の一例である。記憶部３４は、例えば、ＳＴ１８（図２参照）により実現する。本実施の形態では、記憶部３４は、共通鍵３４Ａと、ログＤＢ３４Ｂと、を記憶する（詳細後述）。

制御部３２は、コンピュータシステムを集積回路として組み込んだものであり、コンピュータシステム上で動作するプログラム（ソフトウェア）に従って様々な制御を実行する。制御部３２は、送受信部３２Ａと、検証部３２Ｄと、ＧＷ処理部３２Ｅと、生成部３２Ｆと、記憶制御部３２Ｇと、を備える。送受信部３２Ａは、受信部３２Ｂと、送信部３２Ｃと、を備える。

これらの各部（送受信部３２Ａ、受信部３２Ｂ、送信部３２Ｃ、検証部３２Ｄ、ＧＷ処理部３２Ｅ、生成部３２Ｆ、記憶制御部３２Ｇ）は、例えば、１または複数のプロセッサにより実現される。例えば上記各部は、ＣＰＵ１１などのプロセッサにプログラムを実行させること、すなわちソフトウェアにより実現してもよい。上記各部は、専用のＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）などのプロセッサ、すなわちハードウェアにより実現してもよい。上記各部は、ソフトウェアおよびハードウェアを併用して実現してもよい。複数のプロセッサを用いる場合、各プロセッサは、各部のうち１つを実現してもよいし、各部のうち２以上を実現してもよい。

送受信部３２Ａは、ノード２０や他の情報処理システム１や外部装置などと、各種のデータを送受信する。本実施の形態では、送受信部３２Ａは、ノード２０との間で通信データを送受信する。送受信部３２Ａは、受信部３２Ｂと、送信部３２Ｃと、を含む。受信部３２Ｂは、ノード２０から通信データを受信する。送信部３２Ｃは、受信した通信データを、該通信データの送信先のノード２０へ送信する。

ここで、複数のノード２０がＧＷ１０を介して通信データを送受信する際には、誤った制御が行われないようにするために、通信の正当性が保証される必要がある。このため、ノード２０は、通信データに認証情報を付与し、送信する。詳細には、ノード２０は、通信データと、認証情報と、通信データの送信先を示す送信先情報と、をＧＷ１０へ送信する。送信先情報は、送信先の他のノード２０の識別情報である。

認証情報は、ノード２０間の認証に用いる情報である。認証情報は、通信の正当性を保証するための情報であればよい。認証情報は、例えば、ＭＡＣ（メッセージ認証コード：Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）、乱数、カウンタ値、または、デジタル署名である。

認証情報は、ノード２０で生成される。なお、情報処理システム１で用いる認証情報の種類は、情報処理システム１に含まれるＧＷ１０およびノード２０の間で、同じであるものとする。

このため、本実施の形態では、ＧＷ１０の受信部３２Ｂは、通信データ、認証情報、および送信先情報を、ノード２０から受信する。また、送信部３２Ｃは、通信データ、認証情報、および送信先情報を、ノード２０へ送信する。

なお、ＧＷ１０がノード２０から受信する通信データが、他のノード２０へ送信する対象のデータではない場合がある。例えば、ＧＷ１０は、ノード２０内の処理結果を示す情報を、通信データとして受信する場合がある。この場合、受信部３２Ｂは、送信先情報を含まない（すなわち、通信データおよび認証情報）を、ノード２０から受信することとなる。

検証部３２Ｄは、認証情報を検証する。

認証情報がＭＡＣである場合、検証部３２Ｄは、記憶部３４から、記憶制御部３２Ｇを介して共通鍵３４Ａを取得する。共通鍵３４Ａは、予め記憶部３４へ記憶しておけばよい。なお、記憶部３４は、情報処理システム１に含まれる全てのノード２０との間で共通する１つの共通鍵３４Ａを予め記憶してもよいし、サブネットワークごとに共通する共通鍵３４Ａを予め記憶してもよいし、ノード２０ごとに対応する共通鍵３４Ａを予め記憶してもよい。

そして、検証部３２Ｄは、受信部３２Ｂで受信した通信データと、共通鍵３４Ａと、を用いてＭＡＣを算出する。検証部３２Ｄは、算出したＭＡＣと、該通信データと共に受信したＭＡＣとを比較し、一致する場合、検証正常と判断し、不一致の場合、検証異常と判断する。そして、検証部３２Ｄは、検証正常または検証異常を示す検証結果を、記憶制御部３２ＧおよびＧＷ処理部３２Ｅへ出力する。

認証情報が乱数である場合、ＧＷ１０は、疑似乱数発生器を備えた構成とすればよい。そして、検証部３２Ｄは、乱数値（更新前の乱数値）を記憶部３４から読取る。そして、検証部３２Ｄは、読取った乱数値を疑似乱数発生器へ入力し、乱数値を更新する。検証部３２Ｄは、更新後の乱数値を更新前の乱数値として記憶部３４へ記憶する。また、検証部３２Ｄは、更新後の乱数値と、受信部３２Ｂで通信データと共に受信した乱数値と、を比較する。検証部３２Ｄは、一致する場合、検証正常と判断し、不一致の場合、検証異常と判断する。そして、検証部３２Ｄは、検証正常または検証異常を示す検証結果を、記憶制御部３２ＧおよびＧＷ処理部３２Ｅへ出力する。

認証情報がカウンタ値である場合、ＧＷ１０は、カウンタ値を発生させるカウンタを備えた構成とすればよい。そして、検証部３２Ｄは、カウンタ値（更新前のカウンタ値）を記憶部３４から読取る。そして、検証部３２Ｄは、読取ったカウンタ値をカウンタへ入力し、カウンタ値を更新する。検証部３２Ｄは、更新後のカウンタ値を更新前のカウンタ値として記憶部３４へ記憶する。また、検証部３２Ｄは、更新後のカウンタ値と、受信部３２Ｂで通信データと共に受信したカウンタ値と、を比較する。検証部３２Ｄは、一致する場合、検証正常と判断し、不一致の場合、検証異常と判断する。そして、検証部３２Ｄは、検証正常または検証異常を示す検証結果を、記憶制御部３２ＧおよびＧＷ処理部３２Ｅへ出力する。

認証情報がデジタル署名である場合、検証部３２Ｄは、公知の公開鍵暗号方式およびハッシュ関数を用いて、通信データが正当であるか否かを判別する。そして、検証部３２Ｄは、通信データが正当であると判別した場合、検証正常と判断する。また、検証部３２Ｄは、通信データが不当であると判別した場合、検証異常と判断する。そして、検証部３２Ｄは、検証正常または検証異常を示す検証結果を、記憶制御部３２ＧおよびＧＷ処理部３２Ｅへ出力する。

なお、検証部３２Ｄは、終了時に、検証に用いた情報を、記憶部３４へ記憶してもよい。そして、検証部３２Ｄは、起動時に、検証に用いる情報を記憶部３４から読取り、認証情報の検証に用いてもよい。検証に用いる情報とは、乱数値、カウンタ値、ハッシュ関数、公開鍵証明書、の少なくとも１つである。

起動時とは、ＧＷ１０の装置各部に電力の供給が開始された時である。例えば、起動時は、車両２のアクセサリー電源がオン状態とされた時や、車両２のイグニッション電源がオン状態とされた時などである。

終了時とは、ＧＷ１０の装置各部への電力供給のオフが指示された時である。例えば、終了時は、車両２のイグニッションスイッチのユーザによる操作などにより、イグニッション電源のオフが指示された時や、アクセサリー電源のオフが指示された時である。

なお、この場合、記憶部３４として用いるＳＴ１８は、不揮発性メモリであることが好ましい。例えば、記憶部３４を複数種類の不揮発性メモリから構成すればよい。

次に、記憶制御部３２Ｇについて説明する。記憶制御部３２Ｇは、記憶部３４への記憶およびデータの読出しを制御する。記憶制御部３２Ｇは、記憶制御部および第１記憶制御部の一例である。

記憶制御部３２Ｇは、ネットワークＮを介して接続されたノード２０の通信データと、関連情報と、を対応づけて記憶部３４へ記憶する。

関連情報は、ノード２０における、通信データの入出力に関する情報である。入出力に関する情報とは、通信データの因果関係を示す情報である。因果関係を示す情報とは、言い換えると、通信データの送信元のノード２０や、通信データの送信先のノード２０を特定可能な情報である。

関連情報は、例えば、通信データの識別情報である。すなわち、関連情報は、通信データを一意に識別可能な情報である。本実施の形態では、関連情報の一例である識別情報として、認証情報を用いる。すなわち、本実施の形態では、識別情報は、ノード２０間の認証に用いる認証情報である。

ここで、上述したように、認証情報は、例えば、ＭＡＣ、乱数、カウンタ値、または、デジタル署名である。このため、本実施の形態では、記憶制御部３２Ｇは、通信データと、該通信データと共に受信した認証情報と、を対応づけて記憶部３４へ記憶する。

具体的には、記憶制御部３２Ｇは、ログＤＢ３４Ｂを更新することで、通信データと認証情報とを対応づけて記憶部３４へ記憶する。図５は、ログＤＢ３４Ｂのデータ構成の一例を示す模式図である。ログＤＢ３４Ｂは、認証情報と、通信データと、を対応づけたデータベースである。なお、ログＤＢ３４Ｂのデータ構成は、データベースに限定されない。例えば、ログＤＢ３４Ｂのデータ構成は、テーブルなどであってもよい。

図４に戻り、説明を続ける。なお、記憶制御部３２Ｇは、検証部３２Ｄから受付けた検証結果が検証正常を示す場合に、該検証に用いた通信データおよび認証情報を、対応づけて記憶部３４へ記憶してもよい。そして、記憶制御部３２Ｇは、検証結果が検証異常を示す場合には、該検証に用いた通信データおよび認証情報の、記憶部３４への記憶を省略してもよい。

なお、記憶制御部３２Ｇは、終了時に、通信データと認証情報を次に記憶する領域を示すアドレス情報を、記憶部３４に記憶することが好ましい。例えば、記憶制御部３２Ｇは、起動時に、記憶部３４に記憶されたログＤＢ３４Ｂにおける、次に通信データと認証情報を記憶する領域を示すアドレス情報を、記憶部３４に記憶することが好ましい。

そして、記憶制御部３２Ｇは、起動時に、記憶部３４からアドレス情報を読取り、記憶部３４における該アドレス情報によって示される領域に、通信データと認証情報を記憶すればよい。

なお、終了時、起動時、の定義は、上記と同様である。また、この場合についても、記憶部３４として用いるＳＴ１８は、不揮発性メモリであることが好ましい。例えば、記憶部３４を複数種類の不揮発性メモリから構成すればよい。

ＧＷ処理部３２Ｅは、本来のＧＷとしての機能を実行する。具体的には、ＧＷ処理部３２Ｅは、情報処理システム１内のサブネットワーク（例えば、サブネットワークＮ１、サブネットワークＮ２）間の通信の中継およびフィルタリングや、情報処理システム１と車外の外部ネットワーク２６との間の通信の中継およびフィルタリングや、他の車両２との直接の通信の中継およびフィルタリングなどを行う。

本実施の形態では、ＧＷ処理部３２Ｅは、検証部３２Ｄによって検証正常と判断された場合に、本来のＧＷ１０としての機能を実行する。本来のＧＷ１０としての機能とは、上述したように、例えば、情報処理システム１内のサブネットワーク（例えば、サブネットワークＮ１、サブネットワークＮ２）間の通信の中継や、情報処理システム１と車外の外部ネットワーク２６との間の通信の中継や、他の車両２との直接の通信の中継などである。

生成部３２Ｆは、ノード２０へ送信する通信データに付与する認証情報を生成する。例えば、生成部３２Ｆは、受信部３２Ｂで受信した通信データの送信元のノード２０と、該通信データの送信先のノード２０と、のドメイン（サブネットワーク）が異なる場合に、認証情報を生成する。また、認証情報がＭＡＣであり、送信元のノード２０と送信先のノード２０との間で異なる共通鍵３４Ａを用いる場合、生成部３２Ｆは、認証情報を生成する。

例えば、認証情報がＭＡＣである場合、生成部３２Ｆは、記憶部３４から、記憶制御部３２Ｇを介して共通鍵３４Ａを取得する。そして、生成部３２Ｆは、ノード２０への送信対象の通信データと、共通鍵３４Ａと、を用いてＭＡＣを算出する。これによって、生成部３２Ｆは、ＭＡＣを認証情報として生成する。

認証情報が乱数である場合、ＧＷ１０は、疑似乱数発生器を備えた構成とすればよい。そして、生成部３２Ｆは、乱数値（更新前の乱数値）を記憶部３４から読取る。そして、生成部３２Ｆは、読取った乱数値を疑似乱数発生器へ入力し、乱数値を更新する。生成部３２Ｆは、更新後の乱数値を更新前の乱数値として記憶部３４へ記憶する。また、生成部３２Ｆは、更新後の乱数値を、認証情報として生成する。

認証情報がカウンタ値である場合、ＧＷ１０は、カウンタ値を発生させるカウンタを備えた構成とすればよい。そして、生成部３２Ｆは、カウンタ値（更新前のカウンタ値）を記憶部３４から読取る。そして、生成部３２Ｆは、読取ったカウンタ値をカウンタへ入力し、カウンタ値を更新する。生成部３２Ｆは、更新後のカウンタ値を更新前のカウンタ値として記憶部３４へ記憶する。また、生成部３２Ｆは、更新後のカウンタ値を、認証情報として生成する。

認証情報がデジタル署名である場合、生成部３２Ｆは、公知の公開鍵暗号方式やハッシュ関数を用いて、デジタル署名を生成する。これによって、生成部３２Ｆは、デジタル署名を認証情報として生成する。

なお、ＧＷ１０が、受信部３２Ｂで受信した通信データおよび認証情報を、そのまま該通信データの送信先のノード２０へ送信する場合には、生成部３２Ｆは、認証情報の生成を省略してもよい。

送信部３２Ｃは、通信データ、該通信データに対する認証情報、および、送信先情報を、該送信先情報によって識別されるノード２０へ送信する。

記憶制御部３２Ｇは、送信部３２Ｃからノード２０へ送信された通信データと、該通信データに付与された認証情報と、を対応づけて記憶部３４へ記憶する。すなわち、記憶制御部３２Ｇは、通信データと、認証情報と、を対応づけて、ログＤＢ３４Ｂへ登録する。

―ノード２０―
次に、ノード２０について説明する。ノード２０は、制御部４２と、記憶部４４と、を備える。制御部４２と記憶部４４とは、データや信号を授受可能に接続されている。

記憶部４４は、各種情報を記憶する。記憶部４４は、第２記憶部の一例である。記憶部４４は、ＳＴ２８（図３参照）により実現する。本実施の形態では、記憶部４４は、共通鍵４４Ａと、ログＤＢ４４Ｂと、を記憶する（詳細後述）。

制御部４２は、コンピュータシステムを集積回路として組み込んだものであり、コンピュータシステム上で動作するプログラム（ソフトウェア）に従って様々な制御を実行する。制御部４２は、送受信部４２Ａと、検証部４２Ｄと、ノード処理部４２Ｅと、生成部４２Ｆと、記憶制御部４２Ｇと、を備える。送受信部４２Ａは、受信部４２Ｂと、送信部４２Ｃと、を備える。

これらの各部（送受信部４２Ａ、受信部４２Ｂ、送信部４２Ｃ、検証部４２Ｄ、ノード処理部４２Ｅ、生成部４２Ｆ、記憶制御部４２Ｇ）は、例えば、１または複数のプロセッサにより実現される。例えば上記各部は、ＣＰＵ２１などのプロセッサにプログラムを実行させること、すなわちソフトウェアにより実現してもよい。上記各部は、専用のＩＣなどのプロセッサ、すなわちハードウェアにより実現してもよい。上記各部は、ソフトウェアおよびハードウェアを併用して実現してもよい。複数のプロセッサを用いる場合、各プロセッサは、各部のうち１つを実現してもよいし、各部のうち２以上を実現してもよい。

送受信部４２Ａは、ＧＷ１０と各種データを送受信する。本実施の形態では、送受信部４２Ａは、ＧＷ１０を介して、他のノード２０と通信データを送受信する。受信部４２Ｂは、ＧＷ１０から通信データを受信する。上述したように、本実施の形態では、受信部４２Ｂは、ＧＷ１０から、通信データと、認証情報と、送信先情報と、を受信する。送信部４２Ｃは、ＧＷ１０へ通信データを送信する。上述したように、本実施の形態では、送信部４２Ｃは、ＧＷ１０へ、通信データと、認証情報と、送信先情報と、を送信する。

検証部４２Ｄは、認証情報を検証する。

認証情報がＭＡＣである場合、検証部４２Ｄは、記憶部４４から、記憶制御部４２Ｇを介して共通鍵３４Ａを取得する。共通鍵３４Ａは、予め記憶部４４へ記憶しておけばよい。共通鍵４４Ａは、共通鍵３４Ａと同様である。すなわち、情報処理システム１に含まれる全てのノード２０との間で共通する１つの共通鍵を設ける場合には、共通鍵３４Ａと共通鍵４４Ａは、同じ鍵である。

検証部４２Ｄは、受信部４２Ｂで受信した通信データと、共通鍵４４Ａと、を用いてＭＡＣを算出する。検証部４２Ｄは、算出したＭＡＣと、該通信データと共に受信したＭＡＣとを比較し、一致する場合、検証正常と判断し、不一致の場合、検証異常と判断する。そして、検証部４２Ｄは、検証正常または検証異常を示す検証結果を、記憶制御部４２Ｇおよびノード処理部４２Ｅへ出力する。

認証情報が乱数である場合、ノード２０は、疑似乱数発生器を備えた構成とすればよい。そして、ノード２０は、乱数値（更新前の乱数値）を記憶部４４から読取る。そして、検証部４２Ｄは、読取った乱数値を疑似乱数発生器へ入力し、乱数値を更新する。検証部４２Ｄは、更新後の乱数値を更新前の乱数値として記憶部４４へ記憶する。また、検証部４２Ｄは、更新後の乱数値と、受信部４２Ｂで通信データと共に受信した乱数値と、を比較する。検証部４２Ｄは、一致する場合、検証正常と判断し、不一致の場合、検証異常と判断する。そして、検証部４２Ｄは、検証正常または検証異常を示す検証結果を、記憶制御部４２Ｇおよびノード処理部４２Ｅへ出力する。

認証情報がカウンタ値である場合、ノード２０は、カウンタ値を発生させるカウンタを備えた構成とすればよい。そして、検証部４２Ｄは、カウンタ値（更新前のカウンタ値）を記憶部４４から読取る。そして、検証部４２Ｄは、読取ったカウンタ値をカウンタへ入力し、カウンタ値を更新する。検証部４２Ｄは、更新後のカウンタ値を更新前のカウンタ値として記憶部４４へ記憶する。また、検証部４２Ｄは、更新後のカウンタ値と、受信部４２Ｂで通信データと共に受信したカウンタ値と、を比較する。検証部４２Ｄは、一致する場合、検証正常と判断し、不一致の場合、検証異常と判断する。そして、検証部４２Ｄは、検証正常または検証異常を示す検証結果を、記憶制御部４２Ｇおよびノード処理部４２Ｅへ出力する。

認証情報がデジタル署名である場合、検証部４２Ｄは、公知の公開鍵暗号方式およびハッシュ関数を用いて、通信データが正当であるか否かを判別する。そして、検証部４２Ｄは、通信データが正当であると判別した場合、検証正常と判断する。また、検証部４２Ｄは、通信データが不当であると判別した場合、検証異常と判断する。そして、検証部４２Ｄは、検証正常または検証異常を示す検証結果を、記憶制御部４２Ｇおよびノード処理部４２Ｅへ出力する。

ノード処理部４２Ｅは、本来のノード２０としての機能を実行する。具体的には、ノード２０は、予め定められた処理を行う。予め定められた処理は、例えば、予め定めた対象の検知や予め定めた対象の駆動や、各種演算処理などである。

本実施の形態では、ノード処理部４２Ｅは、検証部４２Ｄから受付けた検証結果が検証正常を示す場合に、本来のノード２０としての機能を実行する。また、ノード処理部４２Ｅは、検証部４２Ｄから受付けた検証結果が検証異常を示す場合には、本来のノード２０としての機能の実行を行わない。

生成部４２Ｆは、ＧＷ１０へ送信する通信データに付与する認証情報を生成する。例えば、生成部４２Ｆは、ノード処理部４２Ｅの処理によってＧＷ１０やＧＷ１０を介して他のノード２０へ送信する送信対象の通信データが発生した場合、該通信データの認証情報を生成する。

例えば、認証情報がＭＡＣである場合、生成部４２Ｆは、記憶部４４から、記憶制御部４２Ｇを介して共通鍵４４Ａを取得する。そして、生成部４２Ｆは、送信する対象の通信データと、共通鍵３４Ａと、を用いてＭＡＣを算出する。これによって、生成部４２Ｆは、ＭＡＣを認証情報として生成する。

認証情報が乱数である場合、ノード２０は、疑似乱数発生器を備えた構成とすればよい。そして、生成部４２Ｆは、乱数値（更新前の乱数値）を記憶部４４から読取る。そして、生成部４２Ｆは、読取った乱数値を疑似乱数発生器へ入力し、乱数値を更新する。生成部４２Ｆは、更新後の乱数値を更新前の乱数値として記憶部４４へ記憶する。また、生成部４２Ｆは、更新後の乱数値を、認証情報として生成する。

認証情報がカウンタ値である場合、ノード２０は、カウンタ値を発生させるカウンタを備えた構成とすればよい。そして、生成部４２Ｆは、カウンタ値（更新前のカウンタ値）を記憶部４４から読取る。そして、生成部４２Ｆは、読取ったカウンタ値をカウンタへ入力し、カウンタ値を更新する。生成部４２Ｆは、更新後のカウンタ値を更新前のカウンタ値として記憶部４４へ記憶する。また、生成部４２Ｆは、更新後のカウンタ値を、認証情報として生成する。

認証情報がデジタル署名である場合、生成部４２Ｆは、公知の公開鍵暗号方式およびハッシュ関数を用いて、デジタル署名を生成する。これによって、生成部４２Ｆは、デジタル署名を認証情報として生成する。

送信部４２Ｃは、通信データ、該通信データに対する認証情報、および、該通信データの送信先情報を、ＧＷ１０へ送信する。

次に、記憶制御部４２Ｇについて説明する。記憶制御部４２Ｇは、第２記憶制御部の一例である。記憶制御部４２Ｇは、記憶部４４へのデータの記憶およびデータの読出しを制御する。

本実施の形態では、記憶制御部４２Ｇは、関連情報を、記憶部４４へ記憶する。上述したように、本実施の形態では、関連情報が、認証情報である場合を一例として説明する。そして、本実施の形態では、記憶制御部４２Ｇは、ログＤＢ４４Ｂに認証情報を登録することで、該認証情報を記憶部４４へ記憶する。

このため、ノード２０の記憶部４４には、通信データは記憶されず、認証情報のみが、関連情報として記憶されることとなる。このため、ノード２０の記憶部４４（ＳＴ２８）のデータ容量の削減を図ることができる。

図６は、ログＤＢ４４Ｂのデータ構成の一例を示す模式図である。図６（Ａ）と図６（Ｂ）は、互いに異なるノード２０（例えば、ＥＣＵ２０ａ、ＥＣＵ２０ｂ）の各々に記憶された、ログＤＢ４４Ｂの一例を示す模式図である。

ログＤＢ４４Ｂは、認証情報を格納するためのデータベースである。なお、ログＤＢ４４Ｂのデータ形式は、データベースに限定されない。

本実施の形態では、ログＤＢ４４Ｂは、ラベルと、認証情報と、を対応づけたものである。ラベルは、対応する認証情報の付与された通信データが、該ログＤＢ４４Ｂを記憶しているノード２０で受信したデータであるか、該ノード２０から他のノード２０へ出力されたデータであるか、を示すラベルである。図６に示す例では、ラベル“入力”は、対応する通信データが、該ログＤＢ４４Ｂを記憶しているノード２０で受信したデータであることを示す。また、ラベル“出力”は、対応する通信データが、該ログＤＢ４４Ｂを記憶しているノード２０から他のノード２０やＧＷ１０へ送信されたデータであることを示す。

本実施の形態では、記憶制御部４２Ｇは、受信部４２ＢがＧＷ１０から通信データを受信した場合、該通信データと共に受信した認証情報に、ラベル“入力”を付与して、ログＤＢ４４Ｂへ登録する。また、記憶制御部４２Ｇは、送信部４２ＣがＧＷ１０へ通信データを送信した場合、該通信データと共に送信した認証情報に、ラベル“出力”を付与して、ログＤＢ４４Ｂへ登録する。

このため、複数のノード２０の各々の記憶部４４には、それぞれ、ノード２０で受信した通信データであることを示すラベル“入力”、または、ノード２０から送信された通信データであることを示すラベル“出力”に対応づけて、認証情報が記憶される（図６（Ａ）、図６（Ｂ）参照）。

なお、記憶制御部４２Ｇは、通信データと該通信データに付与された認証情報の内、データサイズの小さい方を、記憶部４４へ記憶することが好ましい。すなわち、記憶部４４には、関連情報のみ、または、関連情報と通信データの内のデータサイズの小さい方のみが、記憶されることとなる。このため、ノード２０の記憶部４４（ＳＴ２８）のデータ容量の削減を、更に図ることができる。

具体的には、この場合、記憶制御部４２Ｇは、受信部４２Ｂで受信した通信データと認証情報の内、データサイズの小さい方と、ラベル“入力”と、を対応づけてログＤＢ４４Ｂへ登録する。同様に、記憶制御部４２Ｇは、送信部４２Ｃから送信された通信データと認証情報の内、データサイズの小さい方と、ラベル“出力”と、を対応づけてログＤＢ４４Ｂへ登録する。

なお、通信データと該通信データに付与された認証情報のデータサイズが同一である場合には、記憶制御部４２Ｇは、認証情報を記憶部４４へ記憶すればよい。

なお、記憶制御部４２Ｇは、認証情報（または、通信データおよび認証情報の内のデータサイズの小さい方）を、ラベルに対応づけて記憶部４４へ記憶する形態に限定されない。すなわち、ログＤＢ４４Ｂは、ラベルを含まず、認証情報、または、通信データおよび認証情報の内のデータサイズの小さい方のみを、登録したものであってもよい。

ログＤＢ４４Ｂにラベルが含まれない場合、ＧＷ１０のログＤＢ３４Ｂを、認証情報と、通信データと、該通信データの送信先情報と、を対応づけたものとすればよい。

なお、ノード２０では、ＧＷ１０を介さずに処理されるデータが発生する場合がある。ＧＷ１０を介さずに処理されるデータとは、例えば、ＧＷ１０を介さずに他のノード２０と直接通信するデータや、ノード処理部４２Ｅの処理によって発生したデータなどである。

記憶制御部４２Ｇは、このような、ＧＷ１０を介さずに処理されるデータを、更に、ログＤＢ４４Ｂへ記憶してもよい。

次に、ＧＷ１０で実行する情報処理の手順の一例を説明する。図７は、本実施の形態のＧＷ１０で実行する情報処理の手順の一例を示す、フローチャートである。

まず、ＧＷ１０の受信部３２Ｂが、通信データおよび認証情報をノード２０から受信したか否かを判断する（ステップＳ１００）。上述したように、詳細には、受信部３２Ｂは、通信データ、認証情報、および送信先情報を、ノード２０から受信したか否かを判断する。受信部３２Ｂが、ステップＳ１００で否定判断すると（ステップＳ１００：Ｎｏ）、本ルーチンを終了する。一方、ステップＳ１００で肯定判断すると（ステップＳ１００：Ｙｅｓ）、ステップＳ１０２へ進む。

ステップＳ１０２では、検証部３２Ｄが、ステップＳ１００で受信した認証情報を検証する（ステップＳ１０２）。次に、検証部３２Ｄは、ステップＳ１０２の検証結果が、検証正常を示すか否かを判断する（ステップＳ１０４）。ステップＳ１０４で肯定判断すると（ステップＳ１０４：Ｙｅｓ）、ステップＳ１０６へ進む。

ステップＳ１０６では、記憶制御部３２Ｇが、ステップＳ１００で受信した通信データと認証情報とを対応づけて、記憶部３４へ記憶する（ステップＳ１０６）。

次に、ＧＷ処理部３２Ｅが、ＧＷ１０の本来のＧＷとしての機能を実行する（ステップＳ１０８）。そして、ステップＳ１１２へ進む。

一方、ステップＳ１０４で検証結果が検証異常を示すと判断した場合（ステップＳ１０４：Ｎｏ）、ステップＳ１１０へ進む。ステップＳ１１０では、記憶制御部３２Ｇが、ステップＳ１００で受信した通信データと認証情報とを対応づけて、記憶部３４へ記憶する（ステップＳ１１０）。そして、ステップＳ１１２へ進む。なお、ステップＳ１１０の処理は、省略してもよい。

次に、生成部３２Ｆが、ノード２０へ送信する通信データに付与する認証情報を生成するか否かを判断する（ステップＳ１１２）。例えば、生成部３２Ｆは、ステップＳ１００で受信した通信データの送信元のノード２０と、送信先情報によって示される送信先のノード２０と、のドメイン（サブネットワーク）が異なるか否かを判別することで、ステップＳ１１２の判断を行う。また、例えば、生成部３２Ｆは、認証情報がＭＡＣであり、送信元のノード２０と送信先のノード２０との間で異なる共通鍵３４Ａを用いるか否かを判別することで、ステップＳ１１２の判断を行う。

ステップＳ１１２で肯定判断すると（ステップＳ１１２：Ｙｅｓ）、ステップＳ１１４へ進む。ステップＳ１１４では、生成部３２Ｆが、送信対象の通信データに付与する認証情報を生成する（ステップＳ１１４）。送信対象の通信データは、例えば、ステップＳ１００で受信した通信データである。

次に、送信部３２Ｃが、送信対象の通信データ、該通信データに対してステップＳ１１４で生成された認証情報、および、送信先情報を、該送信先情報によって識別されるノード２０へ送信する（ステップＳ１１６）。ステップＳ１１６で送信する送信先情報は、例えば、ステップＳ１００で受信した送信先情報に一致する。

次に、記憶制御部３２ＧはステップＳ１１６で送信した通信データと、該通信データに付与された認証情報と、を対応づけて記憶部３４へ記憶する（ステップＳ１１８）。そして、本ルーチンを終了する。

一方、上記ステップＳ１１２で否定判断すると（ステップＳ１１２：Ｎｏ）、ステップＳ１２０へ進む。ステップＳ１２０では、送信部４２Ｃは、上記ステップＳ１００で受信した通信データ、認証情報、および送信先情報を、該送信先情報によって識別されるノード２０へ送信する（ステップＳ１２０）。そして、本ルーチンを終了する。

なお、ＧＷ１０が実行する情報処理の手順は、図７に示す順に限定されない。

例えば、ＧＷ１０は、図７に示す各ステップに示される処理の少なくとも一部を、並列して実行してもよい。また、ＧＷ１０は、ステップＳ１０６およびステップＳ１１０の記憶処理を、ステップＳ１００の処理より後で、且つ、ステップＳ１０２またはステップＳ１０４の処理より前に実行してもよい。また、ＧＷ１０は、ステップＳ１１６の送信処理を、ステップＳ１１８の記憶処理の後に実行してもよい。また、ＧＷ１０は、ステップＳ１１６の送信処理と、ステップＳ１１８の記憶処理と、を並列に実行してもよい。

また、ＧＷ１０は、ステップＳ１０２の検証処理、ステップＳ１０４の判断処理、および、ステップＳ１１４の生成処理を実行しない形態であってもよい。また、ステップＳ１００で受信した、通信データ、認証情報、および送信先情報と、ステップＳ１２０で送信する、通信データ、認証情報、および送信先情報と、が同一の場合がある。この場合、ＧＷ１０は、ステップＳ１０６およびステップＳ１１０の処理を省略し、ステップＳ１２０の処理と同じタイミングまたは該処理の前または後に、ステップＳ１０６またはステップＳ１１０の処理を実行してもよい。

次に、ノード２０で実行する情報処理の手順の一例を説明する。図８は、本実施の形態のノード２０で実行する情報処理の手順の一例を示す、フローチャートである。

まず、ノード２０の受信部４２Ｂが、通信データおよび認証情報をＧＷ１０から受信したか否かを判断する（ステップＳ２００）。上述したように、詳細には、受信部４２Ｂは、通信データ、認証情報、および送信先情報を、ＧＷ１０から受信したか否かを判断する。受信部４２Ｂが、ステップＳ２００で否定判断すると（ステップＳ２００：Ｎｏ）、本ルーチンを終了する。一方、ステップＳ２００で肯定判断すると（ステップＳ２００：Ｙｅｓ）、ステップＳ２０２へ進む。

ステップＳ２０２では、検証部４２Ｄが、ステップＳ２００で受信した認証情報を検証する（ステップＳ２０２）。次に、検証部４２Ｄは、ステップＳ２０２の検証結果が、検証正常を示すか否かを判断する（ステップＳ２０４）。ステップＳ２０４で肯定判断すると（ステップＳ２０４：Ｙｅｓ）、ステップＳ２０６へ進む。

ステップＳ２０６では、記憶制御部４２Ｇが、ステップＳ２００で受信した通信データと認証情報の内、データサイズの小さい方を、記憶部４４へ記憶する（ステップＳ２０６）。本実施の形態では、ステップＳ２０６では、記憶制御部４２Ｇは、ラベル「入力」と、通信データと認証情報の内、データサイズの小さい方と、を対応付けて、記憶部４４へ記憶する。

次に、ノード処理部４２Ｅが、本来のノード２０としての機能を実行する（ステップＳ２０８）。そして、ステップＳ２１２へ進む。

一方、ステップＳ２０４で検証結果が検証異常を示すと判断した場合（ステップＳ２０４：Ｎｏ）、ステップＳ２１０へ進む。ステップＳ２１０では、記憶制御部４２Ｇが、ステップＳ２００で受信した通信データと認証情報の内、データサイズの小さい方を、記憶部４４へ記憶する（ステップＳ２１０）。そして、ステップＳ２１２へ進む。なお、ステップＳ２１０の処理は、省略してもよい。

次に、生成部４２Ｆが、送信対象の通信データが発生したか否かを判断する（ステップＳ２１２）。ステップＳ２１２で否定判断すると（ステップＳ２１２：Ｎｏ）、本ルーチンを終了する。一方、ステップＳ２１２で肯定判断すると（ステップＳ２１２：Ｙｅｓ）、ステップＳ２１４へ進む。ステップＳ２１４では、生成部４２Ｆが、送信対象の通信データに付与する認証情報を生成する（ステップＳ２１４）。送信対象の通信データは、例えば、ノード処理部４２ＥによるステップＳ２０８の処理によって発生したデータである。

次に、送信部４２Ｃが、送信対象の通信データ、該通信データに対してステップＳ２１４で生成された認証情報、および、送信先情報を、ＧＷ１０へ送信する（ステップＳ２１６）。

次に、記憶制御部４２ＧはステップＳ２１６で送信した通信データと、該通信データに付与された認証情報と、の内、データサイズの小さい方を、記憶部４４へ記憶する（ステップＳ２１８）。本実施の形態では、ステップＳ２１８では、記憶制御部４２Ｇは、ラベル「出力」と、通信データと認証情報の内、データサイズの小さい方と、を対応付けて、記憶部４４へ記憶する。そして、本ルーチンを終了する。

なお、ノード２０が実行する情報処理の手順は、図８に示す順に限定されない。

例えば、ノード２０は、図８に示す各ステップに示され処理の少なくとも一部を、並列して実行してもよい。また、ノード２０は、ステップＳ２０６およびステップＳ２１０の記憶処理を、ステップＳ２００の処理より後で、且つ、ステップＳ２０２またはステップＳ２０４の処理より前に実行してもよい。また、ノード２０は、ステップＳ２１６の送信処理を、ステップＳ２１８の記憶処理の後に実行してもよい。また、ノード２０は、ステップＳ２１６の送信処理と、ステップＳ２１８の記憶処理と、を並列に実行してもよい。

以上説明したように、本実施の形態のＧＷ１０（情報処理装置）は、記憶制御部３２Ｇを備える。記憶制御部３２Ｇは、ネットワークＮを介して接続されたノード２０の通信データと、通信データの通信時にノード２０間の認証に用いる認証情報と、を対応づけて記憶部３４に記憶する。

このため、情報処理システム１におけるログの解析時には、記憶部３４に記憶された通信データに対応する認証情報を解析することで、該通信データの、ノード２０間やノード２０内における因果関係の推定を行うことができる。

従って、本実施の形態のＧＷ１０（情報処理装置）は、ログ解析に有用なデータを提供することができる。

また、認証情報を用いることによって、ノード２０側は、通信データの関連情報として用いる識別情報をＧＷ１０に対して問い合わせることで取得することなく、認証情報を関連情報として用いることができる。また、認証情報は、ＧＷ１０とノード２０とが共に用いる情報であって、秘密情報ではない。また、認証情報は、重複して同じ値が生成される確率が十分に小さいことから、通信データの識別情報として好適に用いられる。

このため、上記効果に加えて、ＧＷ１０は、通信の複雑化を招くことなく、ログ解析に有用なデータを提供することができる。

また、本実施の形態の情報処理システム１では、ノード２０が、記憶制御部４２Ｇ（第２記憶制御部）を備える。記憶制御部４２Ｇは、関連情報、または、通信データおよび該通信データに対応する関連情報の内のデータサイズの小さい方を、記憶部４４（第２記憶部）に記憶する。

このため、本実施の形態の情報処理システム１は、上記効果に加えて、ノード２０の記憶容量の削減を図ることができる。

例えば、関連情報としての認証情報がＭＡＣである場合、３２バイトであるが、実際には、４〜８バイト程度にトランケートされた値が用いられる。認証情報（ＭＡＣ）が８バイトであると仮定すると、通信データ全体を記憶する場合に比べて、ノード２０のＳＴ２８（記憶部４４）の容量を１／８にすることができると考えられる。このため、本実施の形態の情報処理システム１は、上記効果に加えて、ノード２０の記憶容量の削減を図ることができる。

また、本実施の形態の情報処理システム１では、ＧＷ１０の記憶制御部３２Ｇが、ノード２０の通信データと、ノード２０における通信データの入出力に関する関連情報と、を対応づけて記憶部３４に記憶する。また、ノード２０の記憶制御部４２Ｇが、関連情報、または、通信データおよび該通信データに対応する関連情報の内のデータサイズの小さい方を、記憶部４４（第２記憶部）に記憶する。さらに、記憶制御部４２Ｇは、ノード２０で発生した、ＧＷ１０を介さずに処理されるデータを、更に記憶部４４（ログＤＢ４４Ｂ）へ記憶することができる。

このため、本実施の形態の情報処理システム１では、上記効果に加えて、ノード２０間およびノード２０内の各々における因果関係の解析に有用なデータを提供することができる。

（第２の実施の形態）
上記実施の形態では、通信データの関連情報として、通信データの識別情報や認証情報を用いる場合を、一例として説明した。本実施の形態では、通信データの関連情報として、通信データの送信元情報および送信先情報を用いる場合を説明する。

なお、本実施の形態では、第１の実施の形態と同様の構成および機能部については、同一の符号を付与し、詳細な説明を省略する場合がある。

図９は、情報処理システム１Ａにおける、ＧＷ３０およびノード４０の機能的な構成例を示すブロック図である。情報処理システム１Ａは、例えば、車両２に搭載されている（図１参照）。

情報処理システム１Ａは、ＧＷ３０と、複数のノード４０と、を備える。複数のノード４０と、ＧＷ３０と、は、ネットワークＮを介して接続されている。情報処理システム１Ａは、ＧＷ１０およびノード２０に代えて、ＧＷ３０およびノード４０を備えた点以外は、第１の実施の形態の情報処理システム１と同様である。

ＧＷ３０は、情報処理装置の一例である。ＧＷ３０は、本来のゲートウェイとしての機能に加えて、後述する各処理を実行する。本来のゲートウェイとしての機能は、第１の実施の形態と同様である。ノード４０は、ノードの一例である。ノード４０は、ＧＷ３０を介して他のノード４０との間で、通信データを通信する電子機器である。ノード４０は、例えば、ＥＣＵや、各種センサや、アクチュエータなどである。図１には、ノード４０の一例として、ＥＣＵ４０ａ、ＥＣＵ４０ｂ、センサ４０ｃ、ＥＣＵ４０ｄ、およびアクチュエータ４０ｅを、示した。ノード４０は、電子機器としての本来の機能に加えて、後述する各処理を実行する。電子機器としての本来の機能は、第１の実施の形態と同様である。

なお、ＧＷ３０およびノード４０のハードウェア構成は、第１の実施の形態のＧＷ１０およびノード２０と同様である（図２、図３参照）。

図９は、本実施の形態の情報処理システム１Ａに含まれるＧＷ３０およびノード４０の各々の、機能的な構成例を示すブロック図である。なお、図９には、説明を簡略化するために、１台のノード４０を示した。しかし、実際には、複数のノード４０が、ＧＷ３０を介して通信し、後述する処理を実行する。

―ＧＷ３０―
まず、ＧＷ３０について説明する。ＧＷ３０は、制御部３６と、記憶部３８と、を備える。制御部３６と記憶部３８とは、データや信号を授受可能に接続されている。

記憶部３８は、各種情報を記憶する。記憶部３８は、記憶部および第１記憶部の一例である。記憶部３８は、ＳＴ１８（図２参照）により実現する。本実施の形態では、記憶部３８は、共通鍵３４Ａと、ログＤＢ３８Ｂと、を記憶する（詳細後述）。

制御部３６は、コンピュータシステムを集積回路として組み込んだものであり、コンピュータシステム上で動作するプログラム（ソフトウェア）に従って様々な制御を実行する。制御部３６は、送受信部３２Ａと、検証部３２Ｄと、ＧＷ処理部３２Ｅと、生成部３２Ｆと、記憶制御部３６Ｇと、を備える。送受信部３２Ａは、受信部３２Ｂと、送信部３２Ｃと、を備える。受信部３２Ｂは、受信部の一例である。

これらの各部は、例えば、１または複数のプロセッサにより実現される。例えば上記各部は、ＣＰＵ１１などのプロセッサにプログラムを実行させること、すなわちソフトウェアにより実現してもよい。上記各部は、専用のＩＣなどのプロセッサ、すなわちハードウェアにより実現してもよい。上記各部は、ソフトウェアおよびハードウェアを併用して実現してもよい。複数のプロセッサを用いる場合、各プロセッサは、各部のうち１つを実現してもよいし、各部のうち２以上を実現してもよい。

送受信部３２Ａ、受信部３２Ｂ、送信部３２Ｃ、検証部３２Ｄ、ＧＷ処理部３２Ｅ、および生成部３２Ｆは、第１の実施の形態のＧＷ１０と同様である。すなわち、制御部３６は、記憶制御部３２Ｇに代えて記憶制御部３６Ｇを備え、導出部３６Ｋを更に備えた点以外は、第１の実施の形態のＧＷ１０の制御部３２と同様である。

受信部３２Ｂは、第１の実施の形態と同様に、通信データ、認証情報、および送信先情報を、ノード４０から受信する。

導出部３６Ｋは、受信部３２Ｂで受信した認証情報に基づいて、該認証情報と共に受信した通信データの送信元情報を導出する。ここで、ＧＷ３０とノード４０とが、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）やＦｌｅｘＲａｙ（登録商標）などを用いて通信を行う場合、ＧＷ３０やノード４０との間で通信されるデータには、送信元情報が含まれない。このため、導出部３６Ｋは、認証情報を用いて、送信元情報を導出する。

例えば、導出部３６Ｋは、検証部３２Ｄによる認証情報の検証結果を用いて、送信元情報を導出する。

詳細には、導出部３６Ｋは、検証部３２Ｄによる検証結果が検証正常を示す場合、検証識別情報を、送信元情報として導出する。検証識別情報とは、検証部３２Ｄが検証に用いた情報を識別するための情報である。

具体的には、認証情報がＭＡＣ（メッセージ認証コード）である場合、検証識別情報は該ＭＡＣの生成と検証に用いた共通鍵のインデックス情報である。

また、認証情報が乱数である場合、検証識別情報は、該乱数を発生させた疑似乱数発生器のインデックス情報である。

また、認証情報がカウント値である場合、検証識別情報は、該カウント値を発生させたカウンタのインデックス情報である。

また、認証情報がデジタル署名である場合、検証識別情報は、該デジタル署名の生成に用いた秘密鍵に対応する公開鍵証明書または検証に用いる公開鍵証明書である。

一方、導出部３６Ｋは、検証結果が検証異常を示す場合、検証異常を示す検証異常情報を、送信元情報として導出する。

なお、導出部３６Ｋは、認証情報がＭＡＣであり、情報処理システム１Ａ内の全てのノード４０で同一の共通鍵４４Ａを共有している場合には、検証結果を、送信元情報として導出してもよい。

そして、導出部３６Ｋは、導出した送信元情報を、記憶制御部３６Ｇへ出力する。

記憶制御部３６Ｇは、記憶部３８への記憶およびデータの読出しを制御する。記憶制御部３６Ｇは、記憶制御部および第１記憶制御部の一例である。

記憶制御部３６Ｇは、ネットワークＮを介して接続されたノード４０の通信データと、関連情報と、を対応づけて記憶部３８へ記憶する。本実施の形態では、記憶制御部３６Ｇは、関連情報として、通信データの送信先情報および送信元情報を用いる。

記憶制御部３６Ｇは、受信部３２Ｂで受信した通信データと、該通信データと共に受信した送信先情報及び導出部３６Ｋで導出した送信元情報、と、を対応づけて記憶部３８へ記憶する。

具体的には、記憶制御部３６Ｇは、ログＤＢ３８Ｂを更新することで、通信データと関連情報とを対応づけて記憶部３８へ記憶する。図１０は、ログＤＢ３８Ｂのデータ構成の一例を示す模式図である。ログＤＢ３８Ｂは、関連情報と、通信データと、を対応づけたデータベースである。関連情報は、送信元情報と送信先情報から構成される。なお、ログＤＢ３８Ｂのデータ構成は、データベースに限定されない。例えば、ログＤＢ３８Ｂのデータ構成は、テーブルなどであってもよい。

図９に戻り、説明を続ける。生成部３２Ｆは、第１の実施の形態と同様に、ノード４０へ送信する通信データに付与する認証情報を生成する。

生成部３２Ｆが認証情報を生成した場合には、導出部３６Ｋは、該認証情報の生成に用いた情報を、検証識別情報として生成し、記憶制御部３６Ｇへ出力する。この場合、記憶制御部３６Ｇは、該検証識別情報を送信元情報として用いる。そして、記憶制御部３６Ｇは、該送信元情報と、該通信データの送信先情報と、から構成される関連情報と、該通信データと、を対応付けて記憶部３８へ記憶すればよい。

―ノード４０―
次に、ノード４０について説明する。ノード４０は、制御部４６と、記憶部４８と、を備える。制御部４６と記憶部４８とは、データや信号を授受可能に接続されている。

記憶部４８は、各種情報を記憶する。記憶部４８は、ＳＴ２８（図３参照）により実現する。本実施の形態では、記憶部４８は、共通鍵４４Ａを記憶するが、ログＤＢを記憶しない。すなわち、本実施の形態では、ノード４０は、関連情報を、記憶部４８に記憶しない。

制御部４６は、コンピュータシステムを集積回路として組み込んだものであり、コンピュータシステム上で動作するプログラム（ソフトウェア）に従って様々な制御を実行する。制御部４６は、送受信部４２Ａと、検証部４２Ｄと、ノード処理部４２Ｅと、生成部４２Ｆと、記憶制御部４６Ｇと、を備える。送受信部４２Ａは、受信部４２Ｂと、送信部４２Ｃと、を備える。

これらの各部（送受信部４２Ａ、受信部４２Ｂ、送信部４２Ｃ、検証部４２Ｄ、ノード処理部４２Ｅ、生成部４２Ｆ、記憶制御部４６Ｇ）は、例えば、１または複数のプロセッサにより実現される。例えば上記各部は、ＣＰＵ２１などのプロセッサにプログラムを実行させること、すなわちソフトウェアにより実現してもよい。上記各部は、専用のＩＣなどのプロセッサ、すなわちハードウェアにより実現してもよい。上記各部は、ソフトウェアおよびハードウェアを併用して実現してもよい。複数のプロセッサを用いる場合、各プロセッサは、各部のうち１つを実現してもよいし、各部のうち２以上を実現してもよい。

送受信部４２Ａ、受信部４２Ｂ、送信部４２Ｃ、検証部４２Ｄ、ノード処理部４２Ｅ、および生成部４２Ｆは、第１の実施の形態のノード２０と同様である。本実施の形態では、第１の実施の形態のノード２０における記憶制御部４２Ｇに代えて、記憶制御部４６Ｇを備える。

記憶制御部４６Ｇは、関連情報や、関連情報および通信データの内のデータサイズの小さい方の、記憶部４８への記憶制御を行わない点以外は、第１の実施の形態の記憶制御部４２Ｇと同様である。

次に、ＧＷ３０で実行する情報処理の手順の一例を説明する。図１１は、本実施の形態のＧＷ３０で実行する情報処理の手順の一例を示す、フローチャートである。

まず、ＧＷ３０の受信部３２Ｂが、通信データ、認証情報、および送信先情報を、ノード４０から受信したか否かを判断する（ステップＳ３００）。受信部３２Ｂが、ステップＳ３００で否定判断すると（ステップＳ３００：Ｎｏ）、本ルーチンを終了する。一方、ステップＳ３００で肯定判断すると（ステップＳ３００：Ｙｅｓ）、ステップＳ３０２へ進む。

ステップＳ３０２では、検証部３２Ｄが、ステップＳ３００で受信した認証情報を検証する（ステップＳ３０２）。次に、検証部３２Ｄは、ステップＳ３０２の検証結果が、検証正常を示すか否かを判断する（ステップＳ３０４）。ステップＳ３０４で肯定判断すると（ステップＳ３０４：Ｙｅｓ）、ステップＳ３０６へ進む。

ステップＳ３０６では、導出部３６Ｋが、ステップＳ３０２で検証に用いた情報を識別するための検証識別情報を、送信元情報として導出する（ステップＳ３０６）。

次に、記憶制御部３６Ｇが、ステップＳ３００で受信した通信データと、関連情報（ステップＳ３００で受信した送信先情報、および、ステップＳ３０６で導出した送信元情報）と、を対応づけて、記憶部３８へ記憶する（ステップＳ３０８）。

次に、ＧＷ処理部３２Ｅが、ＧＷ３０の本来のＧＷとしての機能を実行する（ステップＳ３１０）。そして、ステップＳ３１６へ進む。

一方、ステップＳ３０４で検証結果が検証異常を示すと判断した場合（ステップＳ３０４：Ｎｏ）、ステップＳ３１２へ進む。ステップＳ３１２では、導出部３６Ｋが、検証異常を示す検証異常情報を、送信元情報として導出する（ステップＳ３１２）。

次に、記憶制御部３６Ｇが、ステップＳ３００で受信した通信データと、関連情報（ステップＳ３００で受信した送信先情報、および、ステップＳ３１２で導出した送信元情報）と、を対応づけて、記憶部３８へ記憶する（ステップＳ３１４）。そして、ステップＳ３１６へ進む。

ステップＳ３１６では、生成部３２Ｆが、ノード４０へ送信する通信データに付与する認証情報を生成するか否かを判断する（ステップＳ３１６）。ステップＳ３１６の判断は、第１の実施の形態のステップＳ１１２と同様である。

ステップＳ３１６で肯定判断すると（ステップＳ３１６：Ｙｅｓ）、ステップＳ３１８へ進む。ステップＳ３１８では、生成部３２Ｆが、送信対象の通信データに付与する認証情報を生成する（ステップＳ３１８）。送信対象の通信データは、例えば、ステップＳ３００で受信した通信データである。

次に、送信部３２Ｃが、送信対象の通信データ、該通信データに対してステップＳ３１８で生成された認証情報、および、送信先情報を、該送信先情報によって識別されるノード４０へ送信する（ステップＳ３２０）。ステップＳ３２０で送信する送信先情報は、例えば、ステップＳ３００で受信した送信先情報に一致する。

次に、導出部３６Ｋが、ステップＳ３１８で認証情報の生成に用いた情報を識別するための検証識別情報を、送信元情報として導出する（ステップＳ３２２）。

次に、記憶制御部３６Ｇが、ステップＳ３００で受信した通信データと、関連情報（ステップＳ３００で受信した送信先情報、および、ステップＳ３２２で導出した送信元情報）と、を対応づけて、記憶部３８へ記憶する（ステップＳ３２４）。そして、本ルーチンを終了する。

一方、上記ステップＳ３１６で否定判断すると（ステップＳ３１６：Ｎｏ）、ステップＳ３２６へ進む。ステップＳ３２６では、送信部３２Ｃが、ステップＳ３００で受信した、通信データ、認証情報、および送信先情報を、該送信先情報によって識別されるノード４０へ送信する（ステップＳ３２６）。そして、本ルーチンを終了する。

なお、ＧＷ３０が実行する情報処理の手順は、図１１に示す順に限定されない。

例えば、ＧＷ３０は、図１１に示す各ステップに示される処理の少なくとも一部を、並列して実行してもよい。また、ＧＷ３０は、ステップＳ３２０の送信処理を、ステップＳ３２４の記憶処理の後に実行してもよい。また、ＧＷ３０は、ステップＳ３２０の送信処理と、ステップＳ３２４の記憶処理と、を並列に実行してもよい。

また、ステップＳ３００で受信した、通信データ、認証情報、および送信先情報と、ステップＳ３２６で送信する、通信データ、認証情報、および送信先情報と、が同一の場合がある。この場合、ＧＷ３０は、ステップＳ３０８およびステップＳ３１４の処理を省略し、ステップＳ３２６の処理と同じタイミングまたは該処理の前または後に、ステップＳ３０８またはステップＳ３１４の処理を実行してもよい。

次に、ノード４０で実行する情報処理の手順の一例を説明する。図１２は、本実施の形態のノード４０で実行する情報処理の手順の一例を示す、フローチャートである。

まず、ノード４０の受信部４２Ｂが、通信データおよび認証情報をＧＷ３０から受信したか否かを判断する（ステップＳ４００）。上述したように、詳細には、受信部４２Ｂは、通信データ、認証情報、および送信先情報を、ＧＷ３０から受信したか否かを判断する。受信部４２Ｂが、ステップＳ４００で否定判断すると（ステップＳ４００：Ｎｏ）、本ルーチンを終了する。一方、ステップＳ４００で肯定判断すると（ステップＳ４００：Ｙｅｓ）、ステップＳ４０２へ進む。

ステップＳ４０２では、検証部４２Ｄが、ステップＳ４００で受信した認証情報を検証する（ステップＳ４０２）。次に、検証部４２Ｄは、ステップＳ４０２の検証結果が、検証正常を示すか否かを判断する（ステップＳ４０４）。ステップＳ４０４で肯定判断すると（ステップＳ４０４：Ｙｅｓ）、ステップＳ４０６へ進む。

ステップＳ４０６では、ノード処理部４２Ｅが、本来のノード４０としての機能を実行する（ステップＳ４０６）。そして、ステップＳ４０８へ進む。ステップＳ４０４で否定判断した場合も（ステップＳ４０４：Ｎｏ）、ステップＳ４０８へ進む。

ステップＳ４０８では、生成部４２Ｆが、送信対象の通信データが発生したか否かを判断する（ステップＳ４０８）。ステップＳ４０８で否定判断すると（ステップＳ４０８：Ｎｏ）、本ルーチンを終了する。一方、ステップＳ４０８で肯定判断すると（ステップＳ４０８：Ｙｅｓ）、ステップＳ４１０へ進む。ステップＳ４１０では、生成部４２Ｆが、送信対象の通信データに付与する認証情報を生成する（ステップＳ４１０）。

次に、送信部４２Ｃが、送信対象の通信データ、該通信データに対してステップＳ４１０で生成された認証情報、および、送信先情報を、ＧＷ３０へ送信する（ステップＳ４１２）。そして、本ルーチンを終了する。

以上説明したように、本実施の形態のＧＷ３０（情報処理装置）では、関連情報として、通信データの送信元情報および送信先情報を用いる。このため、ＧＷ３０の記憶部３８（ログＤＢ３８Ｂ）には、通信データの各々に対して、該通信データの送信元情報と送信先情報が記憶されることとなる。このため、情報処理システム１Ａにおけるログの解析時には、ＧＷ３０の記憶部３８に記憶された通信データに対応する関連情報を解析することで、該通信データの、ノード４０間における因果関係の推定を行うことができる。

従って、本実施の形態のＧＷ３０（情報処理装置）は、ログ解析に有用なデータを提供することができる。

また、本実施の形態の情報処理システム１Ａでは、ノード４０には、関連情報の記憶を行わない。このため、情報処理システム１Ａは、第１の実施の形態に比べて、更に、ノード４０の記憶容量の削減を図ることができる。

また、本実施の形態の情報処理システム１Ａでは、送信元情報としての検証識別情報は、ＭＡＣの生成と検証に用いた共通鍵のインデックス情報、乱数を発生させた疑似乱数発生器のインデックス情報、カウント値を発生させたカウンタのインデックス情報、または、デジタル署名の生成に用いた公開鍵証明書である。

送信元情報が共通鍵４４Ａのインデックス情報である場合、ノード４０の共通鍵４４Ａの管理は車両製造者が行うと仮定する。そして、全てのノード４０とＧＷ３０で同じ共通鍵４４Ａ（共通鍵４４Ａと共通鍵３４Ａも同じ鍵）を共有していると仮定する。この場合、解析時には、送信元情報である共通鍵４４Ａのインデックス情報を解析することで、対応する通信データが、該共有鍵４４Ａを用いる車両製造者の管理下にあるノード４０に関するものであると、解析することが可能となる。

また、ノード４０の共通鍵４４Ａの管理は車両製造者が行うと仮定する。そして、情報処理システム１Ａのドメインごと（サブネットワークごと）に、同じ共通鍵４４Ａを共有していると仮定する。この場合、解析時には、送信元情報である共通鍵４４Ａのインデックス情報を解析することで、対応する通信データが、該共有鍵４４Ａを用いる車両製造者の管理下にある、特定のドメイン内のノード４０に関するものであると、解析することが可能となる。

また、ノード４０の共通鍵４４Ａの管理は車両製造者が行うと仮定する。そして、情報処理システム１Ａにおける、ノード４０のペアごとに、同じ共通鍵４４Ａを共有していると仮定する。この場合、解析時には、送信元情報である共通鍵４４Ａのインデックス情報を解析することで、対応する通信データが、該共有鍵４４Ａを用いる車両製造者の管理下にある、特定のペアのノード４０に関するものであると、解析することが可能となる。

また、ＭＡＣを検証識別情報として用いる場合についても、同様の効果を得ることができる。

＜補足説明＞
なお、ＧＷ１０、ノード２０、ＧＷ３０、およびノード４０で実行される上記各処理を実行するためのプログラムは、ＨＤＤ（ハードディスクドライブ）に記憶されていてもよい。また、上記実施の形態のＧＷ１０、ノード２０、ＧＷ３０、およびノード４０で実行される上記各処理を実行するためのプログラムは、ＲＯＭ１２、ＲＯＭ２２に予め組み込まれて提供されていてもよい。

また、上記実施の形態のＧＷ１０、ノード２０、ＧＷ３０、およびノード４０で実行される上記処理を実行するためのプログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ−ＲＯＭ、ＣＤ−Ｒ、メモリカード、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、フレキシブルディスク（ＦＤ）等のコンピュータで読み取り可能な記憶媒体に記憶されてコンピュータプログラムプロダクトとして提供されるようにしてもよい。また、上記実施の形態のＧＷ１０、ノード２０、ＧＷ３０、およびノード４０で実行される上記処理を実行するためのプログラムを、インターネットなどのネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するようにしてもよい。また、上記実施の形態のＧＷ１０、ノード２０、ＧＷ３０、およびノード４０で実行される上記処理を実行するためのプログラムを、インターネットなどのネットワーク経由で提供または配布するようにしてもよい。

以上、本発明の実施の形態を説明したが、これらの実施の形態は例として提示したものであり、発明の範囲を限定することは意図していない。これらの新規な実施の形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これらの実施の形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１、１Ａ 情報処理システム
１０、３０ ＧＷ
２０、４０ ノード
３２Ｂ 受信部
３２Ｄ 検証部
３２Ｇ、３６Ｇ 記憶制御部
３４、３８ 記憶部
３６Ｋ 導出部
４２Ｂ 受信部
４２Ｄ 検証部
４２Ｇ、４６Ｇ 記憶制御部
４４、４８ 記憶部

Claims (4)

1. 複数のノードと、複数の前記ノードにネットワークを介して接続された情報処理装置と、を備えた情報処理システムであって、
   前記情報処理装置は、
   前記ノードの通信データと、前記通信データの通信時に前記ノード間の認証に用いる認証情報と、を対応づけて第１記憶部に記憶する記憶制御部、
   を備え、
   前記ノードは、
   前記通信データおよび該通信データに対応する前記認証情報の内のデータサイズの小さい方を、第２記憶部に記憶する第２記憶制御部、を備える、
   情報処理システム。
2. 前記認証情報は、メッセージ認証コード、乱数、カウンタ値、または、デジタル署名である、請求項１に記載の情報処理システム。
3. 前記記憶制御部は、終了時に、前記通信データと前記認証情報を次に記憶する領域を示すアドレス情報を前記第１記憶部に記憶し、起動時に、前記第１記憶部から読取った前記アドレス情報によって示される領域に、前記通信データと前記認証情報を記憶する、
   請求項１または請求項２に記載の情報処理システム。
4. 複数のノードと、複数の前記ノードにネットワークを介して接続された情報処理装置と、を備えた情報処理システムで実行される情報処理方法であって、
   前記情報処理装置が、前記ノードの通信データと、前記通信データの通信時に前記ノード間の認証に用いる認証情報と、を対応づけて第１記憶部に記憶するステップと、
   前記ノードが、前記通信データおよび該通信データに対応する前記認証情報の内のデータサイズの小さい方を、第２記憶部に記憶するステップと、
   を含む、情報処理方法。

Images