(57)【要約】【課題】外部装置からの不正アクセスに対する機密性を高められること。【解決手段】車両に搭載されたメモリと、前記車両に搭載された接続部と、前記接続部に有線又は無線で接続された外部装置からの不正アクセスを判定する不正アクセス判定部とを備え、前記メモリは、所定の非アクセス領域を含み、前記不正アクセス判定部は、前記非アクセス領域に対するアクセスが前記外部装置から要求された場合、又は前記非アクセス領域が前記外部装置によりアクセスされた場合、前記外部装置からのアクセスが不正であると判定する、不正判定システム。【選択図】図１
2018116510.tif 000002
【特許請求の範囲】
【請求項１】
車両に搭載されたメモリと、
前記車両に搭載された接続部と、
前記接続部に有線又は無線で接続された外部装置からの不正アクセスを判定する不正アクセス判定部とを備え、
前記メモリは、所定の非アクセス領域を含み、
前記不正アクセス判定部は、前記非アクセス領域に対するアクセスが前記外部装置から要求された場合、又は前記非アクセス領域が前記外部装置によりアクセスされた場合、前記外部装置からのアクセスが不正であると判定する、不正判定システム。
【請求項２】
前記不正アクセス判定部は、前記非アクセス領域に対するアクセスが前記外部装置から要求された程度又は前記非アクセス領域が前記外部装置によりアクセスされた程度を表す変数の値が閾値に達した場合、前記外部装置からのアクセスが不正であると判定する、請求項１に記載の不正判定システム。
【請求項３】
前記不正アクセス判定部は、前記非アクセス領域のうちで前記外部装置がアクセスを要求した領域又は前記外部装置がアクセスした領域に応じた重み付けで、前記変数の値を変化させる、請求項２に記載の不正判定システム。
【請求項４】
前記非アクセス領域は、第１の情報が格納される第１の領域と、前記第１の情報よりも機密性の高い第２の情報が格納される第２の領域とを含み、
前記不正アクセス判定部は、前記第１の領域に対するアクセスの場合に比べて前記第２の領域に対するアクセスの場合の方が前記変数の値を大きく変化させる、請求項３に記載の不正判定システム。
【請求項５】
前記不正アクセス判定部は、前記非アクセス領域に対する読み出しアクセスの場合に比べて前記非アクセス領域に対する書き込みアクセスの場合の方が前記変数の値を大きく変化させる、請求項２から４のいずれか一項に記載の不正判定システム。
【請求項６】
前記外部装置からのアクセスが不正であると前記不正アクセス判定部により判定された場合、前記メモリに対するアクセスを禁止するメモリアクセス制御部を備える、請求項１から５のいずれか一項に記載の不正判定システム。
【請求項７】
前記外部装置からのアクセスが不正であると前記不正アクセス判定部により判定される前の状態に前記メモリの内容を復元するメモリ内容復元部を備える、請求項１から６のいずれか一項に記載の不正判定システム。
【請求項８】
前記メモリ内容復元部は、前記外部装置からのアクセスが不正であると前記不正アクセス判定部により判定される前に前記メモリから削除された内容を、復元する、請求項７に記載の不正判定システム。
【請求項９】
前記外部装置からのアクセスが不正であると前記不正アクセス判定部により判定されるまでに前記メモリに書き込まれた内容を削除するメモリ内容削除部を備える、請求項１から８のいずれか一項に記載の不正判定システム。
【請求項１０】
車両に搭載された接続部に有線又は無線で接続された外部装置からの不正アクセスを判定する不正判定方法であって、
前記車両に搭載されたメモリは、所定の非アクセス領域を含み、
前記非アクセス領域に対するアクセスが前記外部装置から要求された場合、又は前記非アクセス領域が前記外部装置によりアクセスされた場合、前記外部装置からのアクセスが不正であると判定する、不正判定方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正判定システム及び不正判定方法に関する。
【背景技術】
【０００２】
従来、車両のボディ系機器を特定の操作手順に従って操作したりパスワードを入力したりすることによって、外部装置と車載のＥＣＵ（Electronic Control Unit）との間での情報のやり取りを許可する技術が知られている（例えば、特許文献１を参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１４−０２１６１７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来の技術では、特定の操作手順やパスワードが漏洩した場合、外部装置からの不正アクセスを検知することが難しい。
【０００５】
そこで、本開示の一態様は、外部装置からの不正アクセスに対する機密性を高めることが可能な不正判定システム及び不正判定方法の提供を目的とする。
【課題を解決するための手段】
【０００６】
上記目的を達成するため、本開示の一態様では、
車両に搭載されたメモリと、
前記車両に搭載された接続部と、
前記接続部に有線又は無線で接続された外部装置からの不正アクセスを判定する不正アクセス判定部とを備え、
前記メモリは、所定の非アクセス領域を含み、
前記不正アクセス判定部は、前記非アクセス領域に対するアクセスが前記外部装置から要求された場合、又は前記非アクセス領域が前記外部装置によりアクセスされた場合、前記外部装置からのアクセスが不正であると判定する、不正判定システムが提供される。
【０００７】
本態様によれば、前記外部装置がアクセス先として指定する領域が前記メモリに含まれる所定の非アクセス領域であれば、前記外部装置からのアクセスが不正であると判定される。したがって、パスワードや特定の操作手順等の認証情報の入力が必要な構成であれば、そのような認証情報が漏洩しても、前記外部装置からの不正アクセスに対する機密性を高めることができる。あるいは、パスワード等の認証情報の入力が不必要な構成であれば、そのような認証情報がそもそも不要となるので、前記外部装置からの不正アクセスに対する機密性を高めることができる。
【０００８】
また、本開示の一態様では、
前記不正アクセス判定部は、前記非アクセス領域に対するアクセスが前記外部装置から要求された程度又は前記非アクセス領域が前記外部装置によりアクセスされた程度を表す変数の値が閾値に達した場合、前記外部装置からのアクセスが不正であると判定する。
【０００９】
本態様によれば、前記外部装置がアクセス先として指定する領域が前記非アクセス領域であっても、前記変数の値が前記閾値に達するまでは、前記外部装置からのアクセスが不正であると判定されない。したがって、例えば、正当な前記外部装置が前記非アクセス領域に対するアクセスを誤って要求しても、又は正当な前記外部装置が前記非アクセス領域に誤ってアクセスしても、前記外部装置からのアクセスが不正であると直ちに判定されない。よって、例えば、誤使用された正当な前記外部装置からのアクセスが不正であると直ちに判定されることを防ぐことができる。
【００１０】
また、本開示の一態様では、
前記不正アクセス判定部は、前記非アクセス領域のうちで前記外部装置がアクセスを要求した領域又は前記外部装置がアクセスした領域に応じた重み付けで、前記変数の値を変化させる。
【００１１】
本態様によれば、前記非アクセス領域のうちで前記外部装置がアクセスを要求した領域又は前記外部装置がアクセスした領域の違いによって、前記変数の値が前記閾値に達するまでに変化する度合いを変えることができる。したがって、前記外部装置がアクセスを要求した領域又は前記外部装置がアクセスした領域の違いによって、前記外部装置からのアクセスが不正であると判定されるまでの判定感度を変えることができる。
【００１２】
また、本開示の一態様では、
前記非アクセス領域は、第１の情報が格納される第１の領域と、前記第１の情報よりも機密性の高い第２の情報が格納される第２の領域とを含み、
前記不正アクセス判定部は、前記第１の領域に対するアクセスの場合に比べて前記第２の領域に対するアクセスの場合の方が前記変数の値を大きく変化させる。
【００１３】
本態様によれば、前記第１の領域に対するアクセスの場合に比べて前記第２の領域に対するアクセスの場合の方が、前記外部装置からのアクセスが不正であると判定されやすくなるので、前記第１の情報よりも機密性の高い第２の情報の安全性が更に向上する。
【００１４】
また、本開示の一態様では、
前記不正アクセス判定部は、前記非アクセス領域に対する読み出しアクセスの場合に比べて前記非アクセス領域に対する書き込みアクセスの場合の方が前記変数の値を大きく変化させる。
【００１５】
本態様によれば、前記非アクセス領域に対する読み出しアクセスの場合に比べて前記非アクセス領域に対する書き込みアクセスの場合の方が、前記外部装置からのアクセスが不正であると判定されやすくなる。よって、不正な書き込みアクセスに対する機密性を更に高めることができる。
【００１６】
また、本開示の一態様では、
前記外部装置からのアクセスが不正であると前記不正アクセス判定部により判定された場合、前記メモリに対するアクセスを禁止するメモリアクセス制御部を備える。
【００１７】
本態様によれば、前記メモリに対するアクセスが禁止された後の不正アクセスから前記メモリを保護することができる。
【００１８】
また、本開示の一態様では、
前記外部装置からのアクセスが不正であると前記不正アクセス判定部により判定される前の状態に前記メモリの内容を復元するメモリ内容復元部を備える。
【００１９】
前記外部装置からの不正アクセスがあると、前記メモリに格納されていた内容が書き換えられている可能性がある。しかし、前記メモリ内容復元部によれば、不正アクセスがある前の状態に前記メモリの内容を戻すことができるので、前記メモリに格納されていた内容が不正アクセスにより書き換えられたことによって生ずる不具合を防ぐことができる。
【００２０】
また、本開示の一態様では、
前記メモリ内容復元部は、前記外部装置からのアクセスが不正であると前記不正アクセス判定部により判定される前に前記メモリから削除された内容を、復元する。
【００２１】
本態様によれば、不正アクセスによって前記メモリから内容が削除されても、その削除された内容を前記メモリに回復させることができる。
【００２２】
また、本開示の一態様では、
前記外部装置からのアクセスが不正であると前記不正アクセス判定部により判定されるまでに前記メモリに書き込まれた内容を削除するメモリ内容削除部を備える。
【００２３】
本態様によれば、不正アクセスにより前記メモリに書き込まれた内容を削除することができるので、不正アクセスにより前記メモリに書き込まれた内容によって生ずる不具合を防ぐことができる。
【００２４】
上記目的を達成するため、本開示の他の一態様では、
車両に搭載された接続部に有線又は無線で接続された外部装置からの不正アクセスを判定する不正判定方法であって、
前記車両に搭載されたメモリは、所定の非アクセス領域を含み、
前記非アクセス領域に対するアクセスが前記外部装置から要求された場合、又は前記非アクセス領域が前記外部装置によりアクセスされた場合、前記外部装置からのアクセスが不正であると判定する、不正判定方法が提供される。
【００２５】
本態様によれば、前記外部装置がアクセス先として指定する領域が前記メモリに含まれる所定の非アクセス領域であれば、前記外部装置からのアクセスが不正であると判定される。したがって、上述の態様と同様、前記外部装置からの不正アクセスに対する機密性を高めることができる。
【発明の効果】
【００２６】
本開示の一態様によれば、外部装置からの不正アクセスに対する機密性を高めることができる。
【図面の簡単な説明】
【００２７】
【図１】第１の実施形態に係る不正判定システムの構成の一例を示す図である。
【図２】第１の実施形態に係る不正判定システムが実行する不正判定方法の第１例を示すフローチャートである。
【図３】第１の実施形態に係る不正判定システムが実行する不正判定方法の第２例を示すフローチャートである。
【図４】各メモリ領域と各メモリ領域に予め付与されている点数との対応関係の一例を示す概念図を示す。
【図５】第２の実施形態に係る不正判定システムの構成の一例を示す図である。
【図６】第２の実施形態に係る不正判定システムが実行する不正判定方法の一例を示すフローチャートである。
【発明を実施するための形態】
【００２８】
以下、本実施形態に係る不正判定システム及び不正判定方法について説明する。
【００２９】
市場での故障診断、不具合解析及び不具合修正等の目的で、ツール等の外部装置を車載ネットワークに接続し、車載ネットワーク経由でＥＣＵ内のメモリを読み書きする場合がある。例えば、ＥＣＵの故障診断情報や制御情報をメモリから読み出したり、メモリ内のＥＣＵの制御プログラムを書き換えたりする場合がある。
【００３０】
このような読み書き機能が悪用されると、セキュリティ性の高い情報（例えば、暗号方式で使用される鍵情報など）の読み出しや制御プログラムの書き換えが不正に行われてしまう可能性がある。従来技術では、認証により悪用者からのアクセスを拒否する手段があるが、認証が突破される可能性は零ではない。
【００３１】
以下に説明する本実施形態に係る不正判定システム及び不正判定方法は、仮に認証が突破されたとしても、外部装置がアクセス先として指定するメモリアドレスに基づき、外部装置からの不正アクセスを判定する。外部装置からのアクセスが不正であると判定された場合、例えば、不正と判定された以降のメモリアクセスが禁止される。これにより、メモリを不正アクセスから保護することができる。また、外部装置からのアクセスが不正であると判定された場合、例えば、不正と判定される前の状態にメモリの状態が戻される。これにより、不正な書き込みアクセスによって不正なデータがメモリに書き込まれても、書き込まれた不正なデータによって生ずる不具合を防ぐことができる。
【００３２】
図１は、第１の実施形態に係る不正判定システムの構成の一例を示す図である。図１に示される不正判定システム１０１は、車両１００に搭載された接続部１０に有線又は無線で接続された外部装置３００からの不正アクセスを判定する。不正判定システム１０１は、接続部１０と、通信ライン２０と、ＥＣＵ３０とを備える。
【００３３】
接続部１０は、車両１００に搭載されている。接続部１０には、ツール等の外部装置３００が接続される。接続部１０と外部装置３００とは有線又は無線で接続される。接続部１０と外部装置３００とが有線で接続される構成では、接続部１０は、例えば、接続コネクタ、又は、接続コネクタと通信モジュールとを含む構成である。接続部１０と外部装置３００とが無線で接続される構成では、接続部１０は、例えば、通信モジュールである。
【００３４】
接続コネクタの具体例として、ＤＬＣ（Data link coupler）コネクタ等が挙げられる。通信モジュールは、外部装置３００と通信ライン２０とを中継する機能を有する。通信モジュールは、外部装置３００が送信した情報を無線で受信し、受信した情報を通信ライン２０経由でＥＣＵ３０に送信する。逆に、通信モジュールは、ＥＣＵ３０が通信ライン２０に送信した情報を受信し、受信した情報を外部装置３００に無線で送信する。
【００３５】
通信ライン２０は、車両１００に搭載された車載ネットワークの一例である。通信ライン２０は、例えば、ＣＡＮ（Controller Area Network）やイーサネット（登録商標）等の通信規格による車載ネットワークである。通信ライン２０は、接続部１０とＥＣＵ３０とを一対一で結ぶ伝送路でもよい。
【００３６】
ＥＣＵ３０は、車両１００に搭載された電子制御装置の一例である。ＥＣＵ３０は、メモリ５０、不正アクセス判定部４０、メモリアクセス制御部４３、メモリ内容復元部４４及びメモリ内容削除部４５を有する。ＥＣＵ３０は、プロセッサの一例であるＣＰＵ（Central Processing Unit）と、メモリ５０とを有する。不正アクセス判定部４０、メモリアクセス制御部４３、メモリ内容復元部４４及びメモリ内容削除部４５の各機能は、ＣＰＵが処理するプログラムによって実現される。それらの各機能を実現するためのプログラムは、メモリ５０（好ましくは、メモリ５０内の非アクセス領域）に格納されている。メモリ５０内のメモリ領域の詳細については後述する。
【００３７】
不正アクセス判定部４０は、接続部１０に有線又は無線で接続された外部装置３００からの不正アクセスを判定する。不正アクセス判定部４０は、アクセス要求異常判定部４１と、アクセス要求不正判定部４２とを有する。以下、アクセス要求異常判定部４１を異常判定部４１と称し、アクセス要求不正判定部４２を不正判定部４２と称する。
【００３８】
異常判定部４１は、外部装置３００がアクセス先として指定するメモリアドレスに基づいて、外部装置３００からのアクセス要求が正常要求か異常要求かを判定する。メモリアドレスは、メモリ５０内の各メモリ領域にそれぞれ予め付与されている。
【００３９】
図１に例示されるメモリ５０は、読み書き可能な不揮発性メモリを表し、その具体例として、フラッシュメモリ、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）などが挙げられる。
【００４０】
図１では、読み出しアクセスに対して、例えば、メモリ５０内のメモリ領域１〜３は、読み出し必要領域として予め設定されていて、メモリ５０内のメモリ領域４〜８は、読み出し不要領域として予め設定されている。また、図１では、書き込みアクセスに対して、例えば、メモリ５０内のメモリ領域１〜４は、書き込み必要領域として予め設定されていて、メモリ５０内のメモリ領域５〜８は、書き込み不要領域として予め設定されている。
【００４１】
メモリ５０は、所定のアクセス領域と、所定の非アクセス領域とを含む。アクセス領域とは、解析やリプログラミング等の所定の目的に対して外部装置３００からのアクセスが必要なメモリ領域、又は、外部装置３００からのアクセスが許可された若しくは想定されたメモリ領域を表す。非アクセス領域とは、解析やリプログラミング等の所定の目的に対して外部装置３００からのアクセスが不要なメモリ領域、又は、外部装置３００からのアクセスが許可されていない若しくは想定されていないメモリ領域を表す。
【００４２】
読み出し必要領域は、アクセス領域の一例であり、例えば、故障診断や不具合解析目的で読み出す必要のある内容（情報）が格納されるメモリ領域を表す。
【００４３】
読み出し不要領域は、非アクセス領域の一例であり、例えば、読み出し必要領域以外のメモリ領域を表す。
【００４４】
書き込み必要領域は、アクセス領域の一例であり、例えば、市場不具合対策のリプログラミング目的で書き込む必要のある内容（情報）が格納されるメモリ領域を表す。
【００４５】
書き込み不要領域は、非アクセス領域の一例であり、例えば、書き込み必要領域以外のメモリ領域を表す。
【００４６】
異常判定部４１は、外部装置３００が読み出し対象として指定するメモリアドレスが読み出し必要領域のアドレスに該当する場合、外部装置３００からの読み出しアクセス要求は正常な読み出し要求であると判定する。一方、異常判定部４１は、外部装置３００が読み出し対象として指定するメモリアドレスが読み出し不要領域のアドレスに該当する場合、外部装置３００からの読み出しアクセス要求は異常な読み出し要求であると判定する。
【００４７】
同様に、異常判定部４１は、外部装置３００が書き込み対象として指定するメモリアドレスが書き込み必要領域のアドレスに該当する場合、外部装置３００からの書き込みアクセス要求は正常な書き込み要求であると判定する。一方、異常判定部４１は、外部装置３００が書き込み対象として指定するメモリアドレスが書き込み不要領域のアドレスに該当する場合、外部装置３００からの書き込みアクセス要求は異常な書き込み要求であると判定する。
【００４８】
不正判定部４２は、非アクセス領域に対するアクセスが外部装置３００から要求された程度を表す変数の値をカウントし、カウントした値が閾値に達した場合、外部装置３００からのアクセスが不正であると判定する。例えば、不正判定部４２は、異常要求（異常な読み出し要求又は異常は書き込み要求）と判定された回数を表す変数の値をカウントアップし、カウントアップした値が所定の閾値を超えた場合、外部装置３００からのアクセスが不正であると判定する。
【００４９】
メモリアクセス制御部４３は、メモリ５０に対するアクセスを制御する。メモリアクセス制御部４３は、例えば、外部装置３００からのアクセス要求が正常要求（正常な読み出し要求又は正常な書き込み要求）であると異常判定部４１により判定された場合には、メモリ５０に対するアクセスを許可する。一方、メモリアクセス制御部４３は、例えば、外部装置３００からのアクセス要求が異常要求（異常な読み出し要求又は異常な書き込み要求）であると異常判定部４１により判定された場合には、メモリ５０に対するアクセスを拒否する。
【００５０】
メモリアクセス制御部４３は、外部装置３００からのアクセスが不正であると不正アクセス判定部４０の不正判定部４２により判定された場合、メモリ５０に対する読み書きアクセスを禁止する。これにより、メモリ５０に対するアクセスが禁止された後の不正アクセスからメモリ５０を保護することができる。なお、ディーラー等に配備された正当な機器によって特別な処置がＥＣＵ３０に対して施されることによって、その禁止処置は解除される。
【００５１】
メモリ内容復元部４４は、外部装置３００からのアクセスが不正であると不正アクセス判定部４０の不正判定部４２により判定された場合、外部装置３００からのアクセスが不正であると判定される前の状態にメモリ５０の内容を復元する。外部装置３００からの不正アクセスがあると、メモリ５０に格納されていた内容が書き換えられている可能性がある。しかし、メモリ内容復元部４４によれば、不正アクセスがある前の状態にメモリ５０の内容を復元することができるので、メモリ５０に格納されていた内容が不正アクセスにより書き換えられたことによって生ずる不具合を防ぐことができる。
【００５２】
メモリ内容復元部４４は、外部装置３００からのアクセス要求が正常な書き込み要求であると異常判定部４１により判定された場合、アクセスが要求された書き込み必要領域に書き込む前に格納されていた内容をバックアップする。例えば、メモリ内容復元部４４は、アクセスが要求された書き込み必要領域に書き込み前に格納されていた内容とその書き込み必要領域のアドレスとを、メモリ５０内の書き込み不要領域のうちの空き領域にバックアップする。メモリ５０内の書き込み不要領域にバックアップすることで、書き込み不要領域にバックアップされた情報（バックアップ情報）を、不正アクセスから保護することができる。メモリ内容復元部４４は、外部装置３００からのアクセスが不正であると判定された場合、メモリ５０に記憶されたバックアップ情報に基づいて、外部装置３００からのアクセスが不正であると判定される前の状態にメモリ５０の内容を復元する。
【００５３】
メモリ内容削除部４５は、外部装置３００からのアクセスが不正であると不正アクセス判定部４０の不正判定部４２により判定された場合、当該アクセスが不正であると判定されるまでにメモリ５０に書き込まれていた内容を削除する。これにより、不正アクセスによりメモリ５０に書き込まれた内容を削除することができるので、不正アクセスによりメモリ５０に書き込まれた内容によって生ずる不具合を防ぐことができる。
【００５４】
図２は、第１の実施形態に係る不正判定システムが実行する不正判定方法の第１例を示すフローチャートである。図１に示される不正判定システム１０１のＥＣＵ３０は、図２に示される不正判定方法の第１例に従って、外部装置３００からの不正アクセスを判定する不正判定処理を実行する。ＥＣＵ３０は、読み出し又は書き込みのアクセス要求が外部装置３００から入力されると、図２に示される不正判定方法の第１例による不正判定処理を開始する。
【００５５】
ステップＳ１１にて、メモリアクセス制御部４３は、メモリ５０の全メモリ領域１〜８に対するアクセスが許可されているか否かを判定する。メモリアクセス制御部４３は、全メモリ領域１〜８に対するアクセスが許可されている場合（ステップＳ１３Ｙｅｓ）、ステップＳ１５以降の処理を許可する。一方、メモリアクセス制御部４３は、全メモリ領域１〜８に対するアクセスが禁止されている場合（ステップＳ１３Ｎｏ）、ステップＳ１５以降の処理を許可せずに（実行させずに）、図２に示される不正判定方法の第１例による不正判定処理を終了させる。これにより、全メモリ領域１〜８に対するアクセスが禁止された後の不正アクセスから全メモリ領域１〜８を保護することができる。
【００５６】
ステップＳ１５にて、異常判定部４１は、外部装置３００から入力されたアクセス要求の種類を判定する。異常判定部４１は、外部装置３００から入力されたアクセス要求が読み出し要求であると判定した場合（ステップＳ１７Ｙｅｓ）、ステップＳ１９の処理を実行する。一方、異常判定部４１は、外部装置３００から入力されたアクセス要求が書き込み要求であると判定した場合（ステップＳ１７Ｎｏ）、ステップＳ２３の処理を実行する。
【００５７】
ステップＳ１９にて、異常判定部４１は、外部装置３００が読み出し対象として指定するメモリ領域の種類を判定する。異常判定部４１は、外部装置３００が読み出し対象として指定するメモリアドレスが読み出し必要領域のアドレスに該当する場合、外部装置３００からの読み出しアクセス要求は正常な読み出し要求であると判定する（ステップＳ２１Ｙｅｓ）。一方、異常判定部４１は、外部装置３００が読み出し対象として指定するメモリアドレスが読み出し不要領域のアドレスに該当する場合、外部装置３００からの読み出しアクセス要求は異常な読み出し要求であると判定する（ステップＳ２１Ｎｏ）。
【００５８】
一方、ステップＳ２３にて、異常判定部４１は、外部装置３００が書き込み対象として指定するメモリ領域の種類を判定する。異常判定部４１は、外部装置３００が書き込み対象として指定するメモリアドレスが書き込み必要領域のアドレスに該当する場合、外部装置３００からの書き込みアクセス要求は正常な書き込み要求であると判定する（ステップＳ２５Ｙｅｓ）。一方、異常判定部４１は、外部装置３００が書き込み対象として指定するメモリアドレスが書き込み不要領域のアドレスに該当する場合、外部装置３００からの書き込みアクセス要求は異常な書き込み要求であると判定する（ステップＳ２５Ｎｏ）。
【００５９】
ステップＳ４３にて、メモリ内容復元部４４は、外部装置３００からのアクセス要求が正常な書き込み要求であると判定された場合（ステップＳ２５Ｙｅｓ）、アクセスが要求された書き込み必要領域に書き込み前に格納されていた内容をバックアップする。例えば、メモリ内容復元部４４は、アクセスが要求された書き込み必要領域に書き込み前に格納されていた内容とその書き込み必要領域のアドレスとを、メモリ５０内の書き込み不要領域のうちの空き領域にバックアップする。
【００６０】
ステップＳ３１にて、メモリアクセス制御部４３は、外部装置３００からのアクセス要求が異常要求（異常な読み出し要求又は異常な書き込み要求）であると判定された場合、メモリ５０に対するアクセスを拒否する。
【００６１】
ステップＳ３３にて、不正判定部４２は、非アクセス領域に対するアクセスが外部装置３００から要求された程度を表す変数（以下、「変数Ｘ」とも称する）の値をカウントアップする。例えば、不正判定部４２は、外部装置３００からのアクセス要求が異常要求（異常な読み出し要求又は異常な書き込み要求）であるとステップＳ２１又はステップＳ２５にて判定された回数を表す変数（以下、「変数Ｘａ」と称する）の値をカウントアップする。
【００６２】
ステップＳ３５にて、不正判定部４２は、非アクセス領域に対するアクセスが外部装置３００から要求された程度を表す変数Ｘの値が所定の閾値に達したか否かを判定する。例えば、不正判定部４２は、異常要求と判定された回数を表す変数Ｘａが所定の閾値を超えたか否かを判定する。
【００６３】
ステップＳ３７にて、不正判定部４２は、変数Ｘの値が所定の閾値に達していない（例えば、変数Ｘａの値が所定の閾値未満である）と判定した場合、ステップＳ５１の処理が行われる。一方、ステップＳ３７にて、不正判定部４２は、変数Ｘの値が所定の閾値に達した（例えば、変数Ｘａの値が所定の閾値以上である）と判定した場合、外部装置３００からのアクセスが不正であると判定し、ステップＳ３９の処理が行われる。
【００６４】
メモリアクセス制御部４３は、外部装置３００からのアクセスが不正であると判定された場合（ステップＳ３７Ｎｏ）、それ以降のメモリ５０の全メモリ領域１〜８に対するアクセスを禁止する（ステップＳ３９）。ステップＳ５９でアクセスが禁止されることにより、上述のステップＳ１３にて、全メモリ領域１〜８に対するアクセスが禁止されていると判定される。
【００６５】
ステップＳ４１にて、メモリ内容復元部４４は、ステップＳ４３でバックアップされた情報に基づいて、外部装置３００からのアクセスが不正であると判定される前の状態にメモリ５０の内容を復元する。これにより、メモリ５０に格納されていた内容が不正アクセスにより書き換えられたことによって生ずる不具合を防ぐことができる。
【００６６】
また、ステップＳ４１にて、メモリ内容削除部４５は、外部装置３００からのアクセスが不正であると不正アクセス判定部４０の不正判定部４２により判定されるまでにメモリ５０に書き込まれた内容を削除してもよい。これにより、不正アクセスによりメモリ５０に書き込まれた内容を削除することができるので、不正アクセスによりメモリ５０に書き込まれた内容によって生ずる不具合を防ぐことができる。
【００６７】
ステップＳ５１にて、メモリアクセス制御部４３は、外部装置３００からのアクセス要求が異常判定部４１により正常要求と判定されたか異常要求と判定されたかを判断する。
【００６８】
ステップＳ５３にて、メモリアクセス制御部４３は、外部装置３００からのアクセス要求がステップＳ２１又はＳ２５にて正常要求であると判定されている場合、メモリ５０に対するアクセスを許可する。この場合、ステップＳ５５にて、メモリアクセス制御部４３は、メモリ５０に対するアクセスを実行する。メモリアクセス制御部４３は、外部装置３００から指定された読み出し必要領域から情報を読み出す、あるいは、外部装置３００から指定された書き込み必要領域に情報を書き込む。
【００６９】
一方、ステップＳ５３にて、メモリアクセス制御部４３は、外部装置３００からのアクセス要求がステップＳ２１又はＳ２５にて異常要求であると判定されている場合、メモリ５０に対するアクセスを実行せずに、不正判定処理を終了させる。
【００７０】
このように、図２に示される不正判定方法の第１例によれば、外部装置３００からの不正アクセスに対する機密性を高めることができる。
【００７１】
図３は、第１の実施形態に係る不正判定システムが実行する不正判定方法の第２例を示すフローチャートである。上述の図２は、非アクセス領域に対するアクセスが外部装置３００から「要求」された場合、不正アクセス判定部４０は、非アクセス領域に対する実際のアクセスを許可することなく、外部装置３００からのアクセスが不正であると判定する一例を示す。一方、図３は、非アクセス領域が外部装置３００により「実際に」アクセスされた場合、不正アクセス判定部４０は、外部装置３００からのアクセスが不正であると判定する一例を示す。以下、図３について説明する。図３において図２と同様の箇所については、上述の説明を援用する。
【００７２】
図２では、メモリアクセス制御部４３は、外部装置３００からのアクセス要求がステップＳ２１又はＳ２５にて異常要求であると判定された場合、メモリ５０に対するアクセスを拒否する。一方、図３では、メモリアクセス制御部４３は、外部装置３００からのアクセス要求がステップＳ２１又はＳ２５にて異常要求であると判定された場合、メモリ５０に対するアクセスを拒否しない。
【００７３】
図３のステップＳ３３にて、不正判定部４２は、非アクセス領域が外部装置３００によりアクセスされた程度を表す変数（以下、「変数Ｙ」と称する）の値をカウントアップする。図２と同様、例えば、不正判定部４２は、外部装置３００からのアクセス要求が異常要求であるとステップＳ２１又はステップＳ２５にて判定された回数を表す変数Ｘａの値をカウントアップする。
【００７４】
図３のステップＳ３５にて、不正判定部４２は、非アクセス領域が外部装置３００によりアクセスされた程度を表す変数Ｙの値が所定の閾値に達したか否かを判定する。
【００７５】
図３のステップＳ３７にて、不正判定部４２は、変数Ｙの値が所定の閾値に達していない（例えば、変数Ｘａの値が所定の閾値未満である）と判定した場合、ステップＳ５５の処理が行われる。一方、図３のステップＳ３７にて、不正判定部４２は、変数Ｙの値が所定の閾値に達した（例えば、変数Ｘａの値が所定の閾値以上である）と判定した場合、外部装置３００からのアクセスが不正であると判定し、ステップＳ３９の処理が行われる。
【００７６】
したがって、図３の例では、外部装置３００からのアクセス要求がステップＳ２１又はＳ２５にて異常要求であると判定された場合でも、ステップＳ５５にて、メモリアクセス制御部４３は、メモリ５０に対するアクセスを実行する。メモリアクセス制御部４３は、外部装置３００から指定された読み出し必要領域又は読み出し不要領域から情報を読み出す、あるいは、外部装置３００から指定された書き込み必要領域又は書き込み不要領域に情報を書き込む。
【００７７】
このように、図３の例では、外部装置３００からのアクセス要求が異常要求であると判定された場合でも、メモリ５０に対するアクセスは許容される。しかしながら、ステップＳ３７にて変数Ｙの値が所定の閾値に達すれば、最終的には、外部装置３００からのアクセスが不正であると判定されるので、外部装置３００からの不正アクセスに対する機密性を高めることができる。
【００７８】
次に、非アクセス領域に対するアクセスが外部装置から要求された程度を表す変数Ｘ又は非アクセス領域が外部装置によりアクセスされた程度を表す変数Ｙの数をカウントする方法の変形例を示す。
【００７９】
図４は、各メモリ領域と各メモリ領域に予め付与されている点数との対応関係の一例を示す概念図を示す。
【００８０】
不正アクセス判定部４０の不正判定部４２は、非アクセス領域のうちで外部装置３００がアクセスを要求した領域に応じた重み付けで、変数Ｘの値を変化させる。または、不正アクセス判定部４０の不正判定部４２は、非アクセス領域のうちで外部装置３００がアクセスした領域に応じた重み付けで、変数Ｙの値を変化させる。これにより、非アクセス領域のうちで外部装置３００がアクセスを要求した領域又は外部装置３００がアクセスした領域の違いによって、変数Ｘ又は変数Ｙの値が閾値に達するまでに変化する度合いを変えることができる。したがって、外部装置３００がアクセスを要求した領域又は外部装置３００がアクセスした領域の違いによって、外部装置３００からのアクセスが不正であると判定されるまでの判定感度を変えることができる。
【００８１】
例えば、メモリ５０内の非アクセス領域には、外部装置３００からの不正アクセスが車両１００又は車両１００のユーザに与える影響の大きさに比例した重み付けで、点数が予め付与されている。より具体的には、車両１００の走る、曲がる、止まるなどの運動を制御するためのプログラム又はデータは、当該運動に影響を与えないプログラム又はデータに比べて高く配点される。車両１００のセキュリティ上において重要なデータは、車両１００のセキュリティ上において重要でないデータに比べて高く配点される。非アクセス領域に対する読み出しアクセスの場合の配点に比べて、非アクセス領域に対する書き込みアクセスの場合の配点の方が高い。
【００８２】
図４において、メモリ領域５には、車両１００の自動運転制御のためのデータが格納される。メモリ領域６には、ドアミラーやシート等のボディ系機器の制御のためのデータが格納される。メモリ領域７には、車両１００のセキュリティ上において重要なデータ（例えば、認証鍵やパスワードなど）が格納される。メモリ領域５，７に格納される情報は、メモリ領域６に格納される情報よりも機密性が高い。
【００８３】
不正アクセス判定部４０の不正判定部４２は、メモリ領域６に対するアクセスの場合に比べてメモリ領域５，７に対するアクセスの場合の方が、変数Ｘ又は変数Ｙの値を大きく変化させる。これにより、メモリ領域６に対するアクセスの場合に比べてメモリ領域５，７に対するアクセスの場合の方が、図２，３のステップＳ３７にて、外部装置３００からのアクセスが不正であると判定されやすくなる。よって、自動運転制御データ等の比較的機密性の高い情報の安全性が更に向上する。
【００８４】
また、不正アクセス判定部４０の不正判定部４２は、非アクセス領域に対する読み出しアクセスの場合に比べて非アクセス領域に対する書き込みアクセスの場合の方が、変数Ｘ又は変数Ｙの値を大きく変化させる。これにより、非アクセス領域に対する読み出しアクセスの場合に比べて非アクセス領域に対する書き込みアクセスの場合の方が、外部装置３００からのアクセスが不正であると判定されやすくなる。よって、不正な書き込みアクセスに対する機密性を更に高めることができる。
【００８５】
例えば図４では、メモリ領域６に対するアクセスが外部装置３００から要求される毎に不正アクセス判定部４０が変数Ｘを変化させる刻みは、読み出しアクセスの場合には、「＋１」であり、書き込みアクセスの場合には、「＋２」である。メモリ領域６が外部装置３００によりアクセスされる毎に不正アクセス判定部４０が変数Ｙを変化させる刻みも同様である。
【００８６】
また、例えば図４では、メモリ領域５，７に対するアクセスが外部装置３００から要求される毎に不正アクセス判定部４０が変数Ｘを変化させる刻みは、読み出しアクセスの場合には、「＋３」であり、書き込みアクセスの場合には、「＋６」である。メモリ領域５，７が外部装置３００によりアクセスされる毎に不正アクセス判定部４０が変数Ｙを変化させる刻みも同様である。
【００８７】
図５は、第２の実施形態に係る不正判定システムの構成の一例を示す図である。図１が示す第１の実施形態では、不正アクセス判定部４０は、車両１００側に存在する。これに対し、図５が示す第２の実施形態では、不正アクセス判定部２４０は、車両１００から遠隔に位置するセンター２００側に存在する。以下、図５について説明する。図５において図１と同様の箇所については、上述の説明を援用する。
【００８８】
図５に示される不正判定システム１０２は、車両１００に搭載された接続部１０に有線又は無線で接続された外部装置３００からの不正アクセスを判定する。不正判定システム１０２は、接続部１０、通信ライン２０、ＥＣＵ３０及び通信部６０を車両１００側に備え、不正アクセス判定部２４０及び通信部２６０をセンター２００側に備える。
【００８９】
通信部６０は、センター２００の通信部２６０との間で所定の情報を無線で送受する。通信部２６０は、車両１００の通信部６０との間で所定の情報を無線で送受する。
【００９０】
不正アクセス判定部２４０は、第１の実施形態の不正アクセス判定部４０と同様の機能を有し、アクセス要求異常判定部２４１と、アクセス要求不正判定部２４２とを有する。以下、アクセス要求異常判定部２４１を異常判定部２４１と称し、アクセス要求不正判定部２４２を不正判定部２４２と称する。
【００９１】
図６は、第２の実施形態に係る不正判定システムが実行する不正判定方法の一例を示すフローチャートである。以下、図６について説明する。図６において図２，３と同様の箇所については、上述の説明を援用する。
【００９２】
ステップＳ１１１，Ｓ１１３は、それぞれ、上述のステップＳ１１，Ｓ１３と同様である。
【００９３】
ステップＳ１１４にて、メモリアクセス制御部４３は、外部装置３００からのメモリアクセス情報を通信部６０に提供する。通信部６０は、メモリアクセス制御部４３から提供されたメモリアクセス情報をセンター２００に向けて無線送信する。メモリアクセス情報には、例えば、外部装置３００がアクセス対象として指定したメモリアドレス、外部装置３００から入力されたアクセス要求の種類（読み出し要求なのか書き込み要求なのか）などが含まれている。
【００９４】
ステップＳ２１４にて、通信部２６０は、通信部６０から無線送信されたメモリアクセス情報を受信する。ステップＳ２１５にて、異常判定部２４１は、外部装置３００から入力されたアクセス要求の種類を判定する。
【００９５】
ステップＳ２１５〜Ｓ２３９，Ｓ２４３は、それぞれ、上述のステップＳ１５〜Ｓ３９，Ｓ４３と同様である。
【００９６】
ステップＳ２４１にて、不正判定部２４２は、ステップＳ２４３でバックアップされた情報に基づいて、外部装置３００からのアクセスが不正であると判定される前の状態にメモリ５０の内容を復元することをメモリ内容復元部４４に対して要求する。ステップＳ２４１にて、不正判定部２４２は、外部装置３００からのアクセスが不正であると判定されるまでにメモリ５０に書き込まれた内容を削除することをメモリ内容削除部４５に対して要求してもよい。
【００９７】
ステップＳ２５０にて、不正アクセス判定部２４０は、外部装置３００からのアクセス要求が異常判定部２４１により正常要求と判定されたか異常要求と判定されたかを判断する。そして、不正アクセス判定部２４０は、その判断結果を表すメモリアクセス可否情報を通信部２６０に提供する。通信部２６０は、不正判定部２４２から提供されたメモリアクセス可否情報を車両１００に向けて無線送信する。この際、通信部２６０は、メモリ５０の内容の復元要求又は削減要求を車両１００に向けて無線送信する。
【００９８】
ステップＳ１５０にて、通信部６０は、通信部２６０から無線送信されたメモリアクセス可否情報を受信する。ステップＳ１５１にて、メモリアクセス制御部４３は、メモリアクセス可否情報に基づいて、外部装置３００からのアクセス要求が異常判定部２４１により正常要求と判定されたか異常要求と判定されたかを判断する。
【００９９】
ステップＳ１５３，Ｓ１５５は、それぞれ、上述のステップＳ５３，Ｓ５５と同様である。
【０１００】
ステップＳ１５７にて、メモリ内容復元部４４は、復元要求があるか否かを判定する。復元要求がある場合、ステップＳ１５９にて、メモリ内容復元部４４は、ステップＳ２４３でバックアップされた情報に基づいて、外部装置３００からのアクセスが不正であると判定される前の状態にメモリ５０の内容を復元する。これにより、メモリ５０に格納されていた内容が不正アクセスにより書き換えられたことによって生ずる不具合を防ぐことができる。
【０１０１】
以上、不正判定システム及び不正判定方法を実施形態により説明したが、本発明は上記実施形態に限定されるものではない。他の実施形態の一部又は全部との組み合わせや置換などの種々の変形及び改良が、本発明の範囲内で可能である。
【０１０２】
例えば、メモリ５０は、書き込み不能で読み出しのみが可能なメモリでもよい。また、メモリ５０内の各メモリ領域には、書き込み必要領域又は書き込み不要領域のいずれか一方のみが予め設定されていてもよいし、読み出し必要領域又は読み出し不要領域のいずれか一方のみが予め設定されていてもよい。
【０１０３】
また、不正判定部４２は、非アクセス領域に対するアクセスが外部装置３００から要求された程度又は非アクセス領域に対するアクセスが外部装置３００から要求された程度を表す変数の値をカウントダウンするものでもよい。この場合、不正判定部４２は、カウントダウンした値が閾値に達した場合、外部装置３００からのアクセスが不正であると判定する。
【符号の説明】
【０１０４】
１０  接続部
２０  通信ライン
３０  ＥＣＵ
４０  不正アクセス判定部
５０  メモリ
１０１，１０２  不正判定システム
３００  外部装置
【図１】
2018116510.tif 000003
【図２】
2018116510.tif 000004
【図３】
2018116510.tif 000005
【図４】
2018116510.tif 000006
【図５】
2018116510.tif 000007
【図６】
2018116510.tif 000008