(57)【要約】【課題】個々の車両を対象とした攻撃とネットワーク全体を対象とした攻撃の両方について、攻撃を防ぎ、かつ、攻撃されていることを通知可能とする。【解決手段】第１の無線通信網と第２の無線通信網のいずれを用いてもサーバ装置と通信可能なユーザ装置に対して、第１の無線通信網上で攻撃されていることまたは攻撃されかけていることを、第２の無線通信網を介して通知する攻撃通知システムであって、第１の無線通信網のトラフィックを監視して攻撃を検知する監視手段と、前記監視手段によって検知された攻撃の対象を特定する解析手段と、第２の無線通信網を介してユーザ装置に対して直接通知を行うか、第２の無線通信網および関連装置を介してユーザ装置に通知を行うかを決定する決定手段と、決定手段によって決定された方法でユーザ装置に対して通知を行う通知手段と、を備える。【選択図】図１
2018097805.tif 000002
【特許請求の範囲】
【請求項１】
第１の無線通信網と第２の無線通信網のいずれを用いてもサーバ装置と通信可能なユーザ装置に対して攻撃されていることまたは攻撃されかけていることを通知する攻撃通知システムであって、
第１の無線通信網のトラフィックを監視して攻撃を検知する監視手段と、
前記監視手段によって検知された攻撃の対象を特定する解析手段と、
前記解析手段による特定結果に基づいてユーザ装置に対する通知の方法を決定する決定手段であって、前記第２の無線通信網を介して前記ユーザ装置に対して直接通知を行うか、前記第２の無線通信網および前記ユーザ装置に関連する装置を介して前記ユーザ装置に通知を行うかを決定する決定手段と、
前記決定手段によって決定された方法で前記ユーザ装置に対して通知を行う通知手段と、
を備える攻撃通知システム。
【請求項２】
前記第１の無線通信網は、公衆無線ＬＡＮであり、
前記第２の無線通信網は、携帯電話網である、
請求項１に記載の攻撃通知システム。
【請求項３】
前記決定手段は、前記解析手段によって前記攻撃の対象が特定のユーザ装置であると判断された場合には、前記第２の無線通信網を介して当該攻撃対象のユーザ装置に対して直接通知を行うものと決定する、
請求項１または２に記載の攻撃通知システム。
【請求項４】
前記決定手段は、前記攻撃対象のユーザ装置に対する直接の通知について、当該ユーザ装置から受領確認を受信できない場合には、前記攻撃対象のユーザ装置に関連する装置を介して前記ユーザ装置に通知を行うものと決定する、
請求項３に記載の攻撃通知システム。
【請求項５】
前記ユーザ装置に関連する装置は、前記ユーザ装置のユーザが操作可能なパーソナル端末または当該ユーザ以外の第２のユーザ装置であり、
前記パーソナル端末は、前記通知を受信した場合に、当該通知を受けた旨を前記ユーザ装置に対して無線通信によって知らせるか、当該通知を受けた旨を前記ユーザ装置のユーザに報知し、
前記第２のユーザ装置は、前記通知を受信した場合に、当該通知を受けた旨を前記ユーザ装置に対して無線通信によって知らせる、
請求項４に記載の攻撃通知システム。
【請求項６】
前記決定手段は、
前記攻撃対象のユーザ装置に対する直接の通知について、当該ユーザ装置から受領確認を受信できない場合には、前記パーソナル端末を介して前記ユーザ装置に通知を行うものと決定し、
前記攻撃対象のユーザ装置に対する前記パーソナル端末を介した通知についても、当該ユーザ装置から受領確認を受信できない場合には、前記第２のユーザ装置を介して前記ユーザ装置に通知を行うものと決定する、
請求項５に記載の攻撃通知システム。
【請求項７】
前記決定手段は、前記解析手段によって前記攻撃の対象が所定のエリアに位置する不特定のユーザ装置であると判断された場合には、前記ユーザ装置に関連する装置を介して前記ユーザ装置に対して通知を行うと決定する、
請求項１から６のいずれか１項に記載の攻撃通知システム。
【請求項８】
前記ユーザ装置に関連する装置は、当該ユーザ装置のユーザ以外の第２のユーザ装置であり、
前記決定手段は、前記解析手段によって前記攻撃の対象が所定のエリアに位置する不特定のユーザ装置であると判断された場合には、前記第２のユーザ装置を介して前記ユーザ装置に通知を行うものと決定する、
請求項７に記載の攻撃通知システム。
【請求項９】
前記ユーザ装置は、車両に備え付けられた車載装置である、
請求項１から８のいずれか１項に記載の攻撃通知システム。
【請求項１０】
前記ユーザ装置に関連する装置は、前記車両内に存在する携帯情報端末である、
請求項９に記載の攻撃通知システム。
【請求項１１】
第１の無線通信網と第２の無線通信網のいずれを用いてもサーバ装置と通信可能なユーザ装置に対して攻撃されていることまたは攻撃されかけていることを通知する攻撃通知システムが行う攻撃通知方法であって、
第１の無線通信網のトラフィックを監視して攻撃を検知する監視ステップと、
前記監視ステップにおいて検知された攻撃の対象を特定する解析ステップと、
前記解析ステップにおいて特定結果に基づいてユーザ装置に対する通知の方法を決定する決定ステップであって、前記第２の無線通信網を介して前記ユーザ装置に対して直接通知を行うか、前記第２の無線通信網および前記ユーザ装置に関連する装置を介して前記ユーザ装置に通知を行うかを決定する決定ステップと、
前記決定ステップにおいて決定された方法で前記ユーザ装置に対して通知を行う通知ステップと、
を含む攻撃通知方法。
【請求項１２】
請求項１１に記載の方法の各ステップをコンピュータに実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、攻撃通知システムに関し、特に無線通信網を介して攻撃を検知した際の通知方法に関する。
【背景技術】
【０００２】
近年、車両に無線通信機能を持たせサーバ装置や他の車両との間で無線通信を行って各種のサービスを提供することが検討されている。無線通信網として、携帯電話網や公衆無線ＬＡＮを利用することが想定される。車両がインターネットに接続されることにより、外部ネットワークから車載機等を介して車両内のＣＡＮやＥＣＵへの攻撃が行われるおそれがある。このような車両への攻撃は、特定の車両を対象とする攻撃と、特定エリアにいる複数の車両を対象とする攻撃があり得る。
【０００３】
また、車両への直接的な攻撃だけでなく、サーバ装置と車両間の通信を妨げることを目的とした、ネットワークに対するＤＤＯＳ攻撃もありうる。
【０００４】
従来は、このようなカーテレマティクス環境の車両への攻撃に対しては、車載機側で認証を実行して通信元の信頼性を担保したり、データの送受信時に暗号化を施したりする対策が提案されている（特許文献１，２）。これらの手法は、個々の車両を対象とする攻撃に対しては有効であるが、ネットワーク負荷の増大によるサーバとの通信妨害を目的とする攻撃には対応できず、また、攻撃されていることを通知できない。
【０００５】
特許文献３は、偽情報による攻撃を通知タイミングに基づいて検知した後、偽情報を受信できないように擬似乱数により生成されたデータによる妨害信号を送信して、他の端末が偽情報を受信できないようにすることを提案する。この手法は、個々の車両への偽情報による攻撃に対しては有効と考えられるが、通信負荷をかける攻撃に対しては、逆に通信負荷を増長してしまう。また、周辺の車両は擬似データを受信して処理を試みようとすることで余計な負荷がかかるほか、攻撃兆候を伝達することができない。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１３−１５７６９３号公報
【特許文献２】特開２０１３−９８７１９号公報
【特許文献３】特開２０１５−２０７９１２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
上記のような問題点を考慮して、本発明は、個々の車両を対象とした攻撃とネットワーク全体を対象とした攻撃の両方について、攻撃を防ぎ、かつ、攻撃されていることを通知可能とすることを目的とする。
【課題を解決するための手段】
【０００８】
本発明の第一の態様は、第１の無線通信網と第２の無線通信網のいずれを用いてもサーバ装置と通信可能なユーザ装置に対して攻撃されていることまたは攻撃されかけていることを通知する攻撃通知システムである。第１の無線通信網と第２の無線通信網はどのような通信網であってもかまわないが、第２の無線通信網は第１の無線通信網よりもセキュリティが確保されていることが好ましい。また、ユーザ装置とサーバ装置の間の通信は、第１の無線通信網または第２の無線通信網のみによって接続される必要はなく、専用網のよ
うな第３の無線通信網を介して接続されてもよい。
【０００９】
本態様に係る攻撃検知システムは、第１の無線通信網のトラフィックを監視して攻撃を検知する監視手段と、前記監視手段によって検知された攻撃の対象を特定する解析手段と、前記解析手段による特定結果に基づいてユーザ装置に対する通知の方法を決定する決定手段であって、前記第２の無線通信網および前記ユーザ装置に対して直接通知を行うか、前記第２の無線通信網を介して前記ユーザ装置に関連する装置を介して前記ユーザ装置に通知を行うかを決定する決定手段と、前記決定手段によって決定された方法で前記ユーザ装置に対して通知を行う通知手段と、を備える。これらの各手段は、サーバ装置に設けられてもよいし、サーバ装置とは異なる装置に設けられてもよい。
【００１０】
監視手段は、第１の無線通信網のトラフィックを監視し、トラフィック量や通信データの内容等を解析することによって攻撃を検知する。なお、攻撃の検知には、攻撃が現に行われていることを検知することと、攻撃がこれから行われることを検知することの両方が含まれる。攻撃には、個々のユーザ装置を対象とする攻撃と、ネットワーク全体を対象とする攻撃が含まれうる。攻撃検知の具体的な手法は特に限定されず、既存の任意の手法を採用可能である。監視手段は、攻撃対象のユーザ装置の第１の無線通信網における識別子（モバイルＩＰの気付ＩＰアドレスなど）を把握できる。以下、第１の無線通信網における識別子を、第１識別子とも称する。
【００１１】
解析手段は、監視手段によって検知された攻撃対象を特定する。例えば、監視手段が攻撃対象の第１の無線通信網における識別子（気付ＩＰアドレスなど）を把握できる場合には、解析手段は、この識別子からユーザ装置の個体識別子や第２の無線通信網における識別子を特定することが好ましい。なお、攻撃がネットワーク全体を対象とする場合、解析手段は、当該攻撃によって影響を受けるユーザ装置を攻撃対象として特定することが好ましい。このような特定を可能とするために、サーバ装置は管理手段を含み、管理手段は、ユーザ装置の第１の無線通信網における識別子と、第２の無線通信網における識別子（携帯電話番号など）あるいは個体識別子を対応付けて記憶することも好ましい。以下、第２の無線通信網における識別子を、第２識別子とも称する。
【００１２】
決定手段は、解析手段による特定結果に基づいてユーザ装置に対する通知の方法を決定する。通知の方法としては、大きく分けて、第２の無線通信網を介してユーザ装置に対して直接通知を行う方法と、第２の無線通信網およびユーザ装置に関連する装置（関連装置）を介してユーザ装置に通知を行う方法の２つがある。後者すなわち関連装置を介する通知は、ユーザ装置のユーザが操作可能なパーソナル端末を介して通知する方法と、当該ユーザとは異なるユーザのユーザ装置（第２のユーザ装置）を介して通知する方法を含んでもよい。パーソナル端末を介する通知においては、パーソナル端末からユーザ装置に対して無線通信により通知を知らせてもよいし、パーソナル端末がユーザに対して直接報知（画像や文字の表示や音声の出力など）してもよい。パーソナル端末は、例えば、ユーザが所有するスマートフォンや携帯情報端末である。
【００１３】
決定手段は、例えば、解析手段によって攻撃の対象が特定のユーザ装置であると判断された場合には、第２の無線通信網を介して攻撃対象のユーザ装置に対して直接通知を行うものと決定することができる。また、決定手段は、解析手段によって攻撃の対象が所定のエリアに位置する不特定のユーザ装置であると判断された場合には、ユーザ装置に関連する装置を介して前記ユーザ装置に対して通知を行うと決定することができる。
【００１４】
通知手段は、決定手段によって決定された方法でユーザ装置に対して攻撃兆候の通知を行う。通知手段は、通知内容に、例えば、攻撃元の第１識別子や、攻撃の種別情報、攻撃履歴などを含ませることが好ましい。
【００１５】
通知を受けたユーザ装置またはユーザ装置に関連する装置の動作は特に限定されない。例えば、ユーザに通知を行うだけでもよいし、攻撃元からの通信をフィルタリングしてもよいし、サーバ装置との通信経路を第２の無線通信網を用いる経路に切り替えてもよい。
【００１６】
上述の構成によれば、個々の車両を対象とした攻撃だけでなくネットワークを対象とする攻撃についても、攻撃によって被害を受けるユーザ装置に対して通知を行うことが可能となる。通知は第２の無線通信網を介した通信によって行っているので、通信負荷をかけるＤＤＯＳ攻撃のような攻撃が第１の無線通信網に対して行われている場合であっても、ユーザ装置に対して通知が行える。また、通知によって第１の無線通信網に対する通信負荷を増大させる事態も避けられる。
【００１７】
また、攻撃の対象に応じて通知方法を決定することで、より適切な通知が行える。例えば、攻撃の対象が特定のユーザ装置である場合にはこのユーザ装置に直接通知を行うことが好ましい。一方、攻撃の対象があるエリアに位置する不特定多数のユーザ装置である場合には、個々のユーザ装置に通知を行うことは非効率である。そこで、あるユーザ装置に通知を行い、このユーザ装置から周囲のユーザ装置に通知を行えば、効率化が図れる。本発明によれば、このような通知方法の切り替えが可能である。
【００１８】
本発明において、第２の無線通信網は、第１の無線通信網よりもセキュアな通信網または通信品質が管理された通信網であることが望ましく、セキュアかつ通信品質が管理された通信網であることがさらに望ましい。例えば、第１の無線通信網は公衆無線ＬＡＮであり、第２の無線通信網は携帯電話網とすることができる。携帯電話網は品質管理がされており、攻撃によるリソースの飽和も生じにくいため、携帯網を用いれば確実に通知をユーザ装置に送ることができる。
【００１９】
本発明において、攻撃対象のユーザ装置に対して直接の通知を行った後、当該ユーザ装置からこの通知に関する受領確認を受信できない場合には、決定手段は、攻撃対象のユーザ装置に関連づけられた装置を介してユーザ装置に通知を行うものと決定することも好ましい。例えば、決定手段は、直接の通知について受領確認を受信できない場合には、パーソナル端末を介してユーザ装置に通知を行うものと決定することが考えられる。さらに、決定手段は、パーソナル端末を介した通知についても受領確認を受信できない場合には、第２のユーザ装置を介して前記ユーザ装置に通知を行うものと決定することが考えられる。
【００２０】
本発明において、監視手段は、検知した攻撃が個々のユーザ装置を対象とするものである場合、攻撃対象のユーザ端末の第１識別子を含む攻撃検知情報を前記解析手段に送信するように構成できる。解析手段は、攻撃検知情報に基づいて、攻撃対象のユーザ装置を特定するように構成できる。第１識別子は、例えば、ＩＰアドレスや気付ＩＰアドレスである。
【００２１】
このようにすれば、個々のユーザ装置に対する攻撃を検知したときに、攻撃対象のユーザ装置を特定し、第２の無線通信網を介して通知を送れるようになる。
【００２２】
また、本発明において、監視手段は、検知した攻撃がある基地局（アクセスポイントとも呼ばれる）および当該基地局配下のネットワークを対象とする攻撃である場合、攻撃対象の基地局を特定する情報を含む攻撃検知情報を解析手段に送信するように構成できる。解析手段は、攻撃検知情報に含まれている基地局を利用して通信を行っているユーザ装置を攻撃対象のユーザ装置として特定するように構成できる。
【００２３】
このようにすれば、基地局または基地局配下のネットワークに対する攻撃（例えば、ＤＤＯＳ攻撃）を検知したときに、攻撃によって影響を受けるユーザ装置を特定し、特定されたユーザ装置に対して第２の無線通信網を介して通知を送れるようになる。
【００２４】
本発明は、ユーザ装置に関する情報を管理する管理手段を備えることも好ましい。管理手段は、ユーザ装置ごとに当該ユーザ装置の第１の無線通信網における識別子（ＩＰアドレスなどの第１識別子）を記憶しており、解析手段は、管理手段を参照して攻撃検知情報から攻撃対象のユーザ装置を特定してもよい。監視装置が攻撃対象のユーザ装置の第１識別子を解析手段に送信する場合、解析手段は第１識別子からユーザ装置を特定できる。
【００２５】
また、本発明において、管理手段は、ユーザ装置ごとに、ユーザ装置の第２の無線通信網における識別子（携帯電話番号などの第２識別子）を記憶しており、通知手段は、攻撃対象として特定されたユーザ装置に対して、第２の無線通信網を介した通信によって通知を行うことが好ましい。このようにすれば、解析手段によって特定されたユーザ装置に対して、第２の無線通信網を介して通知を送れる。なお、第２識別子が、携帯電話網における携帯電話番号のように、ほぼ固定のものである場合には、管理手段は、第２識別子によってユーザ装置を特定することができる。したがって、管理手段は、第１識別子と第２識別子とを関連付けて記憶するようにしてもよい。
【００２６】
また、本発明において、管理手段は、ユーザ装置ごとに、当該ユーザ装置に関連する装置の第２識別子を記憶しており、通知手段は、攻撃対象として特定されたユーザ装置に関連する装置（以下、関連装置と称する）に対して、第２の無線通信網を介した通信によって通知を行う、ことも好ましい。このようにすれば、解析手段によって特定されたユーザ装置に対して、第２の無線通信網を介して通知を送れる。
【００２７】
関連装置は、通知手段からの通知を受けると、当該通知を受けた旨をユーザ装置に対して無線通信によって知らせることが好ましい。このようにすれば、関連装置を介してユーザ装置に攻撃の通知を行える。あるいは、関連装置は、それ自身がユーザに対して通知を行うように構成されてもよい。
【００２８】
本発明において、解析手段は、監視手段によって検知された攻撃が、同じ地域（エリア）の複数台のユーザ装置を対象とする攻撃であるか否か判定してもよい。この場合、通知手段は、攻撃が同じ地域の複数台のユーザ装置を対象とする攻撃である場合には、通知を転送すべきことを表す情報を含めて通知を行うことが好ましい。ユーザ装置または関連装置は、通知を転送すべきことを表す情報を含む通知を受信した場合は、この通知を周囲のユーザ装置または関連装置に転送することが好ましい。ユーザ装置が車載装置である場合には、車車間通信を用いて通知を周囲のユーザ装置（車載装置）に送信することができる。
【００２９】
このようにすれば、通知手段から通知を受けたユーザ装置が周囲のユーザ装置に攻撃の通知を行える。したがって、通知手段と直接に通信が行えないユーザ装置にも通知を行えるようになる。
【００３０】
なお、この場合に、通知手段が通知を送るユーザ装置は、現に攻撃を受けているユーザ装置、すなわち攻撃対象地域に位置するユーザ装置に限る必要はなく、その周囲に位置するユーザ装置に通知を行ってもよい。攻撃を受ける前に通知を送ることで、対象エリアに進入する前あるいは進入した直後から攻撃に対する対策を取ることができるようになる。
【００３１】
本発明において、ユーザ装置は、車両に備え付けられた車載装置とすることができる。また、ユーザ装置に関連する装置（関連装置）は、同じ車両内に存在する携帯情報端末と
することができる。同じ車両内に存在すれば、この車両の車載装置や運転者に対して通知を行うことができる。
【００３２】
なお、本発明は、上記手段の少なくとも一部を備える攻撃通知システムとして捉えることもできる。本発明は、また、上記処理の少なくとも一部を実行する攻撃通知方法として捉えることができる。また、本発明は、この方法をコンピュータに実行させるためのコンピュータプログラム、あるいはこのコンピュータプログラムを非一時的に記憶したコンピュータ可読記憶媒体として捉えることもできる。上記手段および処理の各々は可能な限り互いに組み合わせて本発明を構成することができる。
【００３３】
例えば、本発明の一態様は、第１の無線通信網と第２の無線通信網のいずれを用いてもサーバ装置と通信可能なユーザ装置に対して攻撃されていることまたは攻撃されかけていることを通知する攻撃通知システムが行う攻撃通知方法であって、
第１の無線通信網のトラフィックを監視して攻撃を検知する監視ステップと、
前記監視ステップにおいて検知された攻撃の対象を特定する解析ステップと、
前記解析ステップにおいて特定結果に基づいてユーザ装置に対する通知の方法を決定する決定ステップであって、前記第２の無線通信網を介して前記ユーザ装置に対して直接通知を行うか、前記第２の無線通信網を介して前記ユーザ装置に関連する装置を介して前記ユーザ装置に通知を行うかを決定する決定ステップと、
前記決定ステップにおいて決定された方法で前記ユーザ装置に対して通知を行う通知ステップと、
を含むことを特徴とする。
【発明の効果】
【００３４】
本発明によれば、個々の車両を対象とした攻撃だけでなく、ネットワーク全体を対象とした攻撃についても、攻撃を防ぎ、かつ、攻撃されていることを通知することができる。
【図面の簡単な説明】
【００３５】
【図１】攻撃検知システムの構成を示す図。
【図２】車載機の認証に関する処理を示すフローチャート。
【図３】認証データ記憶部のテーブル構成を示す図。
【図４】トラフィック監視装置が攻撃を検知したときの全体処理を示すフローチャート。
【図５】攻撃情報データ記憶部のテーブル構成を示す図。
【図６Ａ】通知方法決定処理の流れを示すフローチャート。
【図６Ｂ】通知方法決定処理の流れを示すフローチャート。
【図６Ｃ】通知方法決定処理の流れを示すフローチャート。
【図７】車両が通知方法１によって攻撃通知を受信した際の処理を示すフローチャート。
【図８】車両が通知方法２によって攻撃通知を受信した際の処理を示すフローチャート。
【図９】車両が通知方法３によって攻撃通知を受信した際の処理を示すフローチャート。
【発明を実施するための形態】
【００３６】
＜システム概要＞
図１は、本発明の第１の実施形態に係る攻撃検知システムの構成を示す。攻撃検知システムは、サーバ装置１０と、車両２０に搭載された車載機（車載無線通信装置）２１と、車両２０のユーザが有するスマートフォン端末２２から構成される。車載機２１は、無線ＬＡＮ通信機と携帯電話通信機（いずれも不図示）を有し、公衆無線ＬＡＮ３１を介して
も、携帯電話網３２を介してもサーバ装置１０と通信可能である。車載機２１は、公衆無線ＬＡＮ３１を利用する場合には無線基地局（アクセスポイント）３１ａを介してサーバ装置１０と通信し、携帯電話網３２を利用する場合には携帯基地局３２ａを介してサーバ装置１０と通信する。公衆無線ＬＡＮ３１および携帯電話網３２のいずれを用いた通信も、その中間に専用網３３が介在する。
【００３７】
なお、以下の説明では、記載の簡略化のために、車両２０とそれに搭載されている車載機２１とを区別せずに交換可能な意味で用いることもある。例えば、車両２０が通信すると表現したり、車載機２１が移動すると表現したりすることがある。
【００３８】
ここで、公衆無線ＬＡＮ３１は、比較的攻撃対象となりやすく、悪意のある攻撃者４０は公衆無線ＬＡＮ３１を介して個々の車載機２１を対象として攻撃したり、公衆無線ＬＡＮ３１全体を対象として攻撃をすることが想定される。本実施形態は、このような攻撃を検知して確実に車載機２１に通知することで、車載機２１が攻撃に対して対処できるようにする。
【００３９】
＜通知方法の説明＞
本実施形態において、サーバ装置１０から車載機２１に対する攻撃の通知は、以下の３つの方法がある。それぞれ、通知方法１〜３とも称する。
【００４０】
第１の方法（通知方法１）は、サーバ装置１０から、携帯電話網３２を介して車載機２１に対して直接通知（Ｐｕｓｈ通知など）を送る方法である。
【００４１】
第２の方法（通知方法２）は、サーバ装置１０から、携帯電話網３２を介してスマートフォン端末２２に対して直接通知（Ｐｕｓｈ通知など）を送る方法である。スマートフォン端末２２は、車載機２１に対してＢｌｕｅｔｏｏｈ（登録商標）やＢＬＥ通信などを介して通知を送信してもよいし、ディスプレイやスピーカーからの出力によってユーザに対して攻撃されていることを報知してもよい。
【００４２】
第３の方法（通知方法３）は、サーバ装置１０から、車両２０の周囲に位置する車両５０の車載機に通知を送り、車両５０から車両２０の車載機２１に対して車車間通信によって通知を送信する手法である。なお、車両５０は、車車間通信によって、車両５０の周囲に存在する複数の車両に対して通知を送ることができる。
【００４３】
本実施形態では、サーバ装置１０の通知方法決定部１７が状況に応じて適切な通知方法を決定する。どのような状況においてどの通知方法を採用するかについては、後述する。
【００４４】
＜構成＞
サーバ装置１０は、ＣＰＵなどの演算プロセッサ、ＲＡＭなどの主記憶装置、ＨＤＤやＳＳＤやＤＶＤ−ＲＯＭ等の補助記憶装置、有線あるいは無線の通信装置、キーボードやマウスなどの入力装置、ディスプレイなどの表示装置を含むコンピュータとして構成することができる。サーバ装置１０は、必ずしも１台のコンピュータから構成される必要はなく、複数台のコンピュータが連携することによって以下で説明する機能が実現されてもよい。
【００４５】
サーバ装置１０は、図１に示すように、クライアント管理部１１、認証データ記憶部１２、データ解析部１３、監視結果通知部１４、攻撃情報データ記憶部１６、通知方法決定部１７として機能する。これらの各機能は、サーバ装置１０の演算プロセッサがオペレーティングシステム（ＯＳ）やアプリケーションプログラムを実行することによって実現される。また、サーバ装置１０は、公衆無線ＬＡＮ３１を介した車載機２１あるいはネット
ワーク全体を対象とする攻撃を検知するトラフィック監視装置１５から監視結果を取得可能に構成される。
【００４６】
これらの各機能部の一部は、異なるコンピュータによって実現されても構わない。例えば、クライアント管理部１１の実質的な機能は、サーバ装置１０とは異なるサーバ（ホームエージェント）によって実現され、サーバ装置１０はホームエージェント等からクライアント装置に関する情報を取得するように構成してもよい。
【００４７】
トラフィック監視装置１５は、公衆無線ＬＡＮ３１を介した車載機２１あるいはネットワーク全体を対象とする攻撃を検知する装置である。トラフィック監視装置１５は、無線基地局３１ａあるいはその上位のネットワーク中継機器に設けられる。トラフィック監視装置１５は、例えば、トラフィック負荷の計測や通信パケットの中身を解析することによって、攻撃を検知できる。ただし、本実施形態では攻撃の検知手法は特に限定されず、既存の任意の手法を利用することができる。
【００４８】
＜全体処理＞
以下、図２〜図４を参照して、各機能部によって行われる処理を、より詳細に説明する。
【００４９】
図２は、車載機２１の認証に関する処理を示すフローチャートである。ステップＳ１１において、車載機２１は、公衆無線ＬＡＮ３１や携帯電話網３２の基地局を跨がって走行すると、接続している基地局の情報（ＩＤ）、自端末の情報をサーバ装置１０のクライアント管理部１１に送信する。ここで、車載機２１の情報には、動的に割り当てられたＩＰアドレス、ＭＡＣアドレス、車体識別番号、パスワードなどが含まれる。また、車載機２１は、関連するスマートフォン端末２２に関する情報（電話番号、気付ＩＰアドレス、車載機と接続中であるか否かなど）を、上記の情報と共にクライアント管理部１１に送信してもよい。
【００５０】
クライアント管理部１１は、ステップＳ１２において、車載機２１から送信された情報を受信し、ステップＳ１３において、受信した情報に基づいて車載機２１の認証を行う。認証に成功した場合（Ｓ１４−ＹＥＳ）には、クライアント管理部１１は、車載機２１に対して認証完了を通知すると共に、車載機２１に関するデータを認証データ記憶部１２に蓄積する（Ｓ１５）。認証完了通知を受けた車載機２１は、ハンドオーバー（収容基地局の変更）が発生する度に、自端末の情報をサーバ装置１０のクライアント管理部１１に送信する。この際、認証処理は既に完了しているので、車載機２１は、ハンドオーバー前の基地局情報および気付ＩＰアドレスと、ハンドオーバー後（現在）の基地局情報および気付ＩＰアドレスを送信すればよい。
【００５１】
一方、ステップＳ１３において認証に失敗した場合（Ｓ１４−ＮＯ）は、クライアント管理部１１は、車載機２１に対して認証失敗を通知する（Ｓ１６）。認証に失敗した場合には、ステップＳ１１に戻って認証処理を再度行う。認証の失敗回数が所定回数を超えた場合には、サーバ装置１０は認証処理を終了する。上記の所定回数は１以上の任意の値としてよい。
【００５２】
図３は、本実施形態における認証データ記憶部１２のテーブル構成を示す図である。認証データ記憶部１２は、車体識別番号１２１、無線基地局ＩＤ１２２、無線基地局への収容開始時刻１２３、無線ＬＡＮ気付ＩＰアドレス１２４、携帯基地局ＩＤ１２５、スマートフォン気付ＩＰアドレス１２６、車載機電話番号１２７、スマートフォン電話番号１２８、過去の収容無線基地局情報１２９を記憶する。車体識別番号１２１は、車両を識別するための情報であり、車両ごとにユニーク（一意）なものである。無線基地局ＩＤ１２２
は、車載機２１が収容されている無線ＬＡＮ基地局３１ａのＩＤである。無線基地局への収容開始時刻１２３は、車載機２１が現在収容されている無線ＬＡＮ基地局に収容開始された時刻である。無線ＬＡＮ気付ＩＰアドレス１２４は、車載機２１が収容されている無線ＬＡＮ３１において車載機２１に動的に割り当てられているＩＰアドレスである。携帯基地局ＩＤ１２５は、車載機２１が収容されている携帯基地局３２ａのＩＤである。スマートフォン気付ＩＰアドレス１２６は、スマートフォン端末２２が収容されている無線ＬＡＮ３１においてスマートフォン端末２２に動的に割り当てられているＩＰアドレスである。車載機電話番号１２７は、車載機２１の携帯電話番号である。スマートフォン電話番号１２８は、スマートフォン端末２２の携帯電話番号である。過去の収容無線基地局情報１２９は、車載機２１が過去に収容されていた無線基地局ＩＤと、その収容開始時刻・終了時刻をセットで蓄積したものである。
【００５３】
認証データ記憶部１２に記憶される無線基地局ＩＤ１２２、無線基地局の収容開始時刻１２３、無線ＬＡＮ気付ＩＰアドレス１２４、携帯基地局ＩＤ１２５、スマートフォン着付けアドレス１２６、過去の収容無線基地局情報１２９は、車両２０の移動に伴い更新される。一方、車体識別番号１２１、車載機電話番号１２７、スマートフォン電話番号１２８は固定である。
【００５４】
上記のデータのうちスマートフォン端末２２に関するデータは、認証処理（図２）の際に車載機２１からクライアント管理部１１に送信されてもよいし、その他のタイミングで送信されてもよい。車載機２１と接続されているスマートフォン端末２２の電話番号およびステータス情報（車載機２１と接続中・切断中など）は、認証処理以外の任意のタイミングで車載機２１からクライアント管理部１１に通知することも好ましい。
【００５５】
図４は、トラフィック監視装置１５が攻撃を検知したときの処理を示すフローチャートである。トラフィック監視装置１５は、無線ＬＡＮ３１のトラフィックを監視して、攻撃を検知する（Ｓ２１）。ここで、攻撃の検知には、攻撃が現に行われていることを検知することと、攻撃がこれから行われることを検知することの両方が含まれる。また、トラフィック監視装置１５は、個々のユーザ装置を対象とする攻撃と、ネットワーク全体あるいは特定のエリアに位置するユーザ装置を対象とする攻撃のいずれも検知可能である。上述したように、トラフィック監視装置１５による、攻撃検知手法は特に限定されない。
【００５６】
攻撃を検知すると、トラフィック監視装置１５は、攻撃検知情報をサーバ装置１０のデータ解析部１３に送信する（Ｓ２２）。送信される攻撃検知情報には、攻撃対象の車載機２１の気付ＩＰアドレス、無線基地局のＩＤ、攻撃元装置のＩＰアドレス、攻撃の種別、攻撃の履歴などが含まれる。攻撃対象が個々の車両である場合には、攻撃検知情報には攻撃対象の車両の気付ＩＰアドレスがあればよく、当該車両を収容している無線基地局のＩＤは省略可能である。また、攻撃対象がネットワーク全体や特定のエリアである場合には、攻撃検知情報には攻撃されている無線基地局のＩＤや位置情報があればよく、攻撃によって影響を受ける車載機２１（攻撃対象の無線基地局が収容している車載機２１）の気付ＩＰアドレスは省略可能である。
【００５７】
サーバ装置１０のデータ解析部１３は、トラフィック監視装置１５から攻撃検知情報を受信すると（Ｓ２３）、攻撃対象を特定する（Ｓ２４）。攻撃対象が特定の車両である場合には、その車体識別番号を求めればよい。車体識別番号は、攻撃検知情報に含まれる気付ＩＰアドレスを用いて認証データ記憶部１２を検索することによって取得可能である。なお、攻撃対象がネットワーク全体や特定のエリアである場合には、ここで特定する車体識別番号は、攻撃によって影響を受ける車両のものとすればよい。例えば、データ解析部１３は、攻撃されている無線基地局に収容されている車両の車体識別番号を取得することができる。
【００５８】
ここで、図５を参照して、攻撃情報データ記憶部１６について説明する。攻撃情報データ記憶部１６には、攻撃検知情報に基づいて決定される攻撃に関する情報が格納される。攻撃情報データ記憶部１６には、後述する通知に関する情報も格納される。図５は、攻撃情報データ記憶部１６のテーブル構成を示す図である。攻撃情報データ記憶部１６は、攻撃元収容無線基地局ＩＤ１６１、攻撃元気付ＩＰアドレス１６２、攻撃種別１６３、被攻撃自動車識別番号１６４、通知状態１６５、通知時刻１６６、通知回数１６７を記憶する。攻撃元収容無線基地局ＩＤ１６１は、攻撃元の端末を収容する無線基地局のＩＤである。攻撃元の端末は、本来の攻撃者端末であることもありし、その仲介端末であることもある。攻撃元気付ＩＰアドレス１６２は、攻撃元の端末の気付ＩＰアドレスである。攻撃種別１６３は、攻撃の種別を示す。攻撃の種別には、攻撃対象が特定の自動車の場合と、特定の基地局（エリア）の場合があり、攻撃種別１６３にはそのいずれかが特定される。被攻撃自動車識別番号１６４は、攻撃対象が特定の自動車の場合には、その自動車の識別番号である。攻撃対象が特定の基地局である場合は、その基地局ＩＤが格納されてもよいし、攻撃によって影響を受ける自動車の識別番号が格納されてもよい。通知状態１６５は、通知の状態を示し、攻撃通知を行っている最中であることを示す「通知中」と、攻撃通知が完了した（すなわちＡＣＫが正常に戻った）ことを示す「通知完了」のいずれかである。通知時刻１６６は、攻撃通知を行った直近の時刻であり、攻撃通知を行う度に更新される。通知回数１６７は、攻撃通知を行った回数である。
【００５９】
図４のフローチャートの説明に戻る。ステップＳ２４において攻撃対象が特定されると、サーバ装置１０の通知方法決定部１７は、攻撃通知の通知方法を決定し、監視結果通知部１４は、決定した方法で攻撃通知を送信する（Ｓ２５）。通知方法は上述した３つの方法のうちのいずれかである。具体的には、車載機に対して直接通知を送る方法、車載機ユーザのスマートフォン端末に対して通知を送る方法、周囲の車載機を介して車車間通信を利用して通知を送る方法のいずれかである。いずれの通知方法も、公衆無線ＬＡＮ３１経由ではなく、比較的セキュアな携帯電話網３２を経由してプッシュ通知によって行うものである。通知方法決定部１７は、攻撃がどのような種類のものであるや、攻撃対象車両の状態に基づいて、これらの方法の中から適切な通知方法を決定する。具体的な決定方法については、後ほど詳しく説明する。
【００６０】
車載機２１は、攻撃通知を受信すると（Ｓ２６）、攻撃に対する対策を実施する（Ｓ２７）。攻撃に対する対策は、攻撃による悪影響を回避できるものであれば特に限定されないが、例えば、攻撃元（ＩＰアドレス）からのパケットをフィルタリングしたり、サーバ装置１０との通信経路を公衆無線ＬＡＮ３１から携帯電話網３２のみに切り替えたりすることが考えられる。
【００６１】
攻撃通知は携帯電話網３２を経由してプッシュ通知によって行うので、監視結果通知部１４は、認証データ記憶部１２を参照して、通知対象車両が使用している携帯電話網３２の基地局のＩＤや車載機２１のアドレス（携帯電話番号）を取得する。監視結果通知部１４が送信する情報には、攻撃元のＩＰアドレスや、攻撃の種別、攻撃の履歴などが含まれる。
【００６２】
なお、サーバ装置１０は、プッシュ通知を送るために必ずしも車載機２１の携帯電話番号を知っている必要はなく、デバイストークンや登録ＩＤなどのプッシュ通知を行うための車載機２１の識別子を知っていればよい。
【００６３】
車載機２１は、携帯電話網３２のプッシュ通知によって攻撃通知を受信すると（Ｓ２６）、攻撃に対する対策を実施する（Ｓ２７）。攻撃に対する対策は、攻撃による悪影響を回避できるものであれば特に限定されないが、例えば、攻撃元（ＩＰアドレス）からのパ
ケットをフィルタリングしたり、サーバ装置１０との通信経路を公衆無線ＬＡＮ３１から携帯電話網３２のみに切り替えたりすることが考えられる。
【００６４】
＜通知方法決定処理および通知処理＞
次に、図６Ａ〜６Ｃを参照して、サーバ装置１０における通知方法決定処理（図４のステップＳ２５）についてより詳細に説明する。通知方法決定部１７は、攻撃検知情報の解析結果（攻撃情報データ記憶部１６に格納）を参照して、この攻撃が特定の車両を対象とした攻撃であるか否かを判断する（Ｓ６０１）。この判断は、攻撃情報データ記憶部１６の攻撃種別１６３を参照することにより行える。ここでいう「特定の車両」は１台であってもよいし複数であってもよい。特定の車両を対象としない攻撃には、特定の基地局（エリア）を対象とする攻撃がある。攻撃が特定の車両を対象とするものである場合はステップＳ６０２に進み、そうでない場合にはステップＳ６０９（図６Ｃ）に進む。
【００６５】
ステップＳ６０２では、攻撃対象車両の車載機２１に対して、携帯電話網３２を介して直接通知を行うように決定する。以下では、この通知方法のことを「通知方法１」とも称する。監視結果通知部１４は、認証データ記憶部１２を参照して、通知対象車両が使用している携帯電話網３２の基地局のＩＤや車載機２１のアドレス（携帯電話番号）を取得する。監視結果通知部１４が送信する情報には、攻撃元のＩＰアドレスや、攻撃の種別、攻撃の履歴などが含まれる。この時点で、攻撃情報データ記憶部１６内の通知状態１６５が「通知中」に更新され、通知時刻１６６に現在時刻が格納され、通知回数１６７には「１」が格納される。
【００６６】
サーバ装置１０は、攻撃通知の送信後に攻撃対象車両からのＡＣＫ（受領確認）の受信を待つ。後述するように、攻撃対象車両は、攻撃通知を受信し攻撃に対する対応が行えた後に、サーバ装置１０に対してＡＣＫを送信する。サーバ装置１０は、ＡＣＫを閾値Ｔ１秒以内に受信したか否かを判断する（Ｓ６０３）。ＡＣＫを受信した場合（Ｓ６０３−ＹＥＳ）は、攻撃情報データ記憶部１６内の通知状態１６５を「通知完了」に更新して、処理を完了する。閾値Ｔ１秒以内にＡＣＫを受信できない場合、それが繰り返し回数Ｎ以内であればステップＳ６０２に戻って通知方法１による通知を再度行う。再通知の度に、攻撃情報データ記憶部１６内の通知時刻１６６および通知回数１６７が更新される。Ｎ回繰り返し送信してもＡＣＫを受信できない場合には、ステップＳ６０４に進む。
【００６７】
ステップＳ６０４では、通知方法決定部１７は、攻撃対象車両の車載機２１がスマートフォン端末２２と連携中であるか否かを判断する（Ｓ６０４）。この判断は、認証データ記憶部１２におけるスマートフォン端末のステータス情報を参照することにより行える。車載機２１がスマートフォン端末２２と連携中であればステップＳ６０５に進み、スマートフォン端末を介した通知（「通知方法２」と称する）を行い、そうでなければステップＳ６０７に進む。
【００６８】
ステップＳ６０５では、監視結果通知部１４が、スマートフォン端末２２を介して通知を行う。攻撃対象車両と接続中のスマートフォン端末（関連端末）２２の電話番号は認証データ記憶部１２を参照することで特定できる。通知の際に、攻撃情報データ記憶部１６内の通知時刻１６６および通知回数１６７が更新される。後述するように、通知を受信したスマートフォン端末２２は、この通知を車載機２１にＢＬＥ経由等で通知し、車載機２１は攻撃に対する対応を取った後に、ＡＣＫをサーバ装置１０へ送信する。
【００６９】
サーバ装置１０は、ＡＣＫを閾値Ｔ２秒以内に受信したか否かを判断する（Ｓ６０６）。ＡＣＫを受信した場合（Ｓ６０６−ＹＥＳ）は、攻撃情報データ記憶部１６内の通知状態１６５は「通知完了」に更新して、処理を完了する。閾値Ｔ２秒以内にＡＣＫを受信できない場合、それが繰り返し回数Ｎ以内であればステップＳ６０５に戻って通知方法２に
よる通知を再度行う。再通知の度に、攻撃情報データ記憶部１６内の通知時刻１６６および通知回数１６７が更新される。Ｎ回繰り返し送信してもＡＣＫを受信できない場合には、図６ＢのステップＳ６０７に進む。
【００７０】
攻撃対象車両がスマートフォン端末２２と連携中ではない場合（Ｓ６０４−ＮＯ）あるいは通知方法２により通知を行ってもＡＣＫを受信できない場合（Ｓ６０６−ＮＯ）には、攻撃対象車両以外の車載機を介した通知を行う。この通知方法を「通知方法３」と称する。通知方法３では、サーバ装置１０から通知を受けた車両（「仲介車両」と称する）が車車間通信によって攻撃対象車両に通知を送る。したがって、仲介車両は、攻撃対象車両の近くに位置する車両の中から選択されることが好ましい。本実施形態では、攻撃対象車両と同一の無線基地局に収容されている車両のいずれかを仲介車両として決定する。なお、サーバ装置１０において各車両のリアルタイムの位置情報が利用できる場合には、この位置情報に基づいて仲介車両を決定することも好ましい。
【００７１】
サーバ装置１０は、攻撃対象車両からＡＣＫを閾値Ｔ３秒以内に受信したか否かを判断する（Ｓ６０７）。ＡＣＫを受信した場合（Ｓ６０７−ＹＥＳ）は、攻撃情報データ記憶部１６内の通知状態１６５を「通知完了」に更新して、処理を完了する。閾値Ｔ３秒以内にＡＣＫを受信できない場合、それが繰り返し回数Ｎ以内であればステップＳ６０７に戻って通知方法３による通知を再度行う。再通知の際には、仲介車両の決定からやり直してもよいし、同じ仲介車両に通知を送ってもよい。再通知の度に、攻撃情報データ記憶部１６内の通知時刻１６６および通知回数１６７が更新される。ここでは攻撃対象車両からのＡＣＫを確認しているが、サーバ装置１０からの通知の直接の送信先である仲介車両からのＡＣＫを確認することも好ましい。Ｎ回繰り返し通知を行ってもＡＣＫを受信できない場合には、エラー処理を行う。エラー処理は、例えば、攻撃対象車両のスマートフォンに対して電話を発呼して音声によってドライバーに直接通知する処理や、通知方法１での通知を再度繰り返す処理などが考えられる。
【００７２】
以上の処理が、特定の車両を対象とする攻撃を検知した場合（ステップＳ６０１−ＹＥＳ）の処理である。なお、ここでは、通知方法１，２，３を順番に試しているが、これら全てを行う必要は無い。例えば、通知方法１，２，３のいずれかを行わなくてもよい。また、複数の通知方法を行う場合の実行順序は上記と異なっていてもよい。ただし、通知方法１が最も効果が高い方法と考えられるので、少なくとも通知方法１を採用することが好ましいと考えられる。
【００７３】
次に、図６Ｃを参照して、攻撃が特定の車両を対象とするものではない場合（Ｓ６０１−ＮＯ）の処理について説明する。特定の車両を対象としない攻撃には、特定の基地局（エリア）を対象とする攻撃がある。
【００７４】
攻撃が特定の基地局（エリア）を対象とするものである場合、サーバ装置１０は、攻撃通知を知らせるべき車両（最終的な受信者）を、攻撃対象の無線基地局３１ａに収容されている車両として決定する。攻撃対象の無線基地局に収容されている車両は、認証データ記憶部１２を参照することで把握できる。ただし、通知方法３では仲介車両を介して車車間通信により攻撃通知を送信するので、サーバ装置１０は、仲介車両を決定する必要がある。仲介車両は、攻撃対象の基地局に収容されている車両の中から選んでもよいし、攻撃対象の基地局に隣接する基地局に収容されている車両の中から選んでもよい。本実施形態では、サーバ装置１０は、攻撃対象の基地局に収容されている車両の中から、複数の車両を仲介車両として選択するものとする。
【００７５】
サーバ装置１０は、仲介車両に対して携帯電話網３２を介して攻撃通知を送信する（Ｓ６０９）。仲介車両は、この通知を受けて攻撃への対応を行うと共に、攻撃通知を車車間
通信（典型的にはブロードキャスト通信）により周囲の車両へ送信する。攻撃通知を受信した車両は、この通知に基づいて攻撃への対応を行う。仲介車両およびその周囲の車両は攻撃通知を受信すると、サーバ装置１０に対してＡＣＫを送信する。
【００７６】
サーバ装置１０は、複数の仲介車両への攻撃通知の送信後、閾値Ｔ３秒以内にＭ台の仲介車両からＡＣＫが返ってきたかを判断する（Ｓ６１０）。このＭの値は、仲介車両の数と等しくてもよいし、仲介車両の数よりも少ない数であってもよい。十分な数のＡＣＫが受信できていない場合（Ｓ６１０−ＮＯ）には、ステップＳ６０９に戻って再度通知をおこなう。Ｍ台の仲介車両からＡＣＫが受信できた場合（Ｓ６１０−ＹＥＳ）には、ステップＳ６１１に進む。
【００７７】
ステップＳ６１１では、サーバ装置１０は、車車間通信により攻撃通知を受けた車両から、ＡＣＫを受ける。ＡＣＫを送信してきた車両は、攻撃への対応を完了した車両である。図６Ｃのフローチャートでは記載していないが、ステップＳ６１１においてＡＣＫが確認できない車両が存在するか判定し、存在する場合にはステップＳ６０９の処理を繰り返したり、当該車両に対して通知方法１で通知を行ったりしてもよい。
【００７８】
＜攻撃通知受信時の処理＞
次に、図７〜図９を参照して、車両あるいはスマートフォン端末が攻撃通知を受信した場合の処理を示す。
【００７９】
図７は、車載機２１が通知方法１による通知を受信した場合の処理を示すフローチャートである。車載機２１が、サーバ装置１０から携帯電話網３２を介して攻撃通知を受信する（Ｓ７０１）と、攻撃を回避するため対策を取る（Ｓ７０２）。対策の例として、攻撃元からの通信をフィルタリングすることが考えられる。また、攻撃がネットワーク全体を対象とするものである場合には、車載機２１の通信を無線ＬＡＮ３１経由から携帯電話網３２経由に切り替えることが考えられる。攻撃回避のための処理が正常に完了したら（Ｓ７０３−ＹＥＳ）、車載機２１は、サーバ装置１０に対してＡＣＫを送信する（Ｓ７０４）。このＡＣＫも、携帯電話網３２を介した通信により送信することが好ましい。ステップＳ７０２の処理が正常に完了しなかった場合（Ｓ７０３−ＮＯ）には、ステップＳ７０２に戻って、別の対策を取る。
【００８０】
図８は、スマートフォン端末２２が通知方法２による通知を受信した場合の処理を示すフローチャートである。スマートフォン端末２２が、サーバ装置１０から携帯電話網３２を介して攻撃通知を受信する（Ｓ８０１）と、車載機２１と近接無線通信（Ｂｌｕｅｔｏｏｔｈ（登録商標）やＢＬＥ）により接続中であるか判定する（Ｓ８０２）。なお、サーバ装置１０は、スマートフォン端末２２と車載機２１が連携中であることを確認してから攻撃通知を送信している（図６ＡのステップＳ６０４〜Ｓ６０５）が、通知がされた時点では実際には連係が解除されていることも想定される。
【００８１】
スマートフォン端末２２と車載機２１が連携中であれば（Ｓ８０２−ＹＥＳ）、スマートフォン端末２２から車載機２１に対して近接無線通信により攻撃通知を送信する（Ｓ８０３）。攻撃通知を受信した後の車載機２１の処理（Ｓ８０４〜Ｓ８０６）は、図７のステップＳ７０２〜Ｓ７０４の処理と同様である。ただし、ステップＳ８０６のＡＣＫ送信は、車両２０の携帯電話通信機から送信してもよいし、スマートフォン端末２２から送信してもよい。
【００８２】
スマートフォン端末２２と車載機２１が連携中でなければ（Ｓ８０２−ＮＯ）、スマートフォン端末２２は音声や画面表示によってからドライバーに対して攻撃されている旨を報知する（Ｓ８０７）。ユーザが通知を確認したことをスマートフォン端末２２に入力し
たら、スマートフォン端末２２はサーバ装置１０に対してＡＣＫを送信する（Ｓ８０６）。なお、スマートフォン端末２２からの攻撃の通知を受けて、ユーザ（ドライバー）が車載機２１において攻撃に対する対応を取ることが望まれる。ユーザからの指示に基づいて車載機２１が攻撃への対応を取った後に、車載機２１からサーバ装置１０に対してＡＣＫを送信するようにしてもよい。
【００８３】
図９は、通知方法３による通知を受信した場合の処理を示すフローチャートである。図の左側（Ｓ９０１〜Ｓ９０３）は、サーバ装置１０から直接通知を受ける車両、すなわち仲介車両（ここでは車両Ａとも称する）が行う処理を示す。図の右側（Ｓ９０４〜Ｓ９０７）は、仲介車両を介して通知を受ける車両（ここでは車両Ｂとも称する）が行う処理を示す。
【００８４】
仲介車両Ａの車載機２１がサーバ装置１０から攻撃通知を受信する（Ｓ９０１）と、サーバ装置に対してＡＣＫを送信する（Ｓ９０２）。なお、仲介車両Ａ自体も攻撃の対象である場合には、通知方法１の時と同様に攻撃に対する対処（図７のステップＳ７０２）を行うことが好ましい。
【００８５】
仲介車両Ａは、さらに、車車間通信によって攻撃通知をブロードキャスト送信し、周囲に存在する車両に攻撃を通知する（Ｓ９０３）。仲介車両Ａの車載機２１は、攻撃通知を受信した際に常にブロードキャスト送信によって攻撃通知を送信してもよいし、所定の条件を満たす場合のみに攻撃通知を送信してもよい。例えば、車載機２１は、攻撃元装置が含まれる公衆無線ＬＡＮ３１の基地局と接続が維持されている間（該当エリアを走行中のとき）あるいは該当エリアの近傍を走行しているときのみブロードキャスト送信したり、攻撃対象車両を検知したときのみブロードキャスト送信したりするようにしてもよい。
【００８６】
周囲の車両Ｂは、車車間通信によって仲介車両Ａから送信される攻撃通知を受信する（Ｓ９０４）。この通知を受信した後の処理（ステップＳ９０５〜Ｓ９０７）は、通知方法１においてサーバ装置１０から直接攻撃通知を受信した場合の処理（図７のステップＳ７０２〜Ｓ７０４）と同様であるため、繰り返しの説明は省略する。
【００８７】
＜本実施形態の有利な効果＞
本実施形態によれば、個々の車両を対象とした攻撃であっても公衆無線ＬＡＮ全体を対象とした攻撃であっても、攻撃の影響を受ける車両（車載機）に対して攻撃を受けていることを通知できる。専用網３３および携帯電話網３２はいずれも通信品質管理がされており、攻撃によるリソース飽和等がおきにくく、サーバ装置１０から車載機２１に確実に通知が行えるためである。
【００８８】
また、スマートフォン端末を介して通知を用いることで、攻撃によって車載端末に処理負荷がかかっており攻撃通知に対処できない場合でも、攻撃を回避することができる。さらに、車車間通信を用いた通知を用いることで、広範囲の車両に対して攻撃兆候を通知することができる。また、携帯電話機能を有していない車載機に対しても攻撃兆候を通知することができる。
【００８９】
本実施形態では、攻撃種別や車両の状態に応じて、適切な通知方法を用いて攻撃兆候を通知できる。また、通知方法が複数存在するので、ある通知方法が有効でないときに、他の通知方法を用いて通知することができ、より確実な通知が実現できる。
【００９０】
（変形例）
上記の説明では、公衆無線ＬＡＮ３１と携帯電話網３２の２つの無線通信網を介して車載機２１がサーバ装置１０と通信可能としたが、本発明において利用可能な無線通信網は
これらに限られず、任意の無線通信網を利用してかまわない。ただし、第１の無線通信網は、攻撃対象となりやすい無線通信網であり、第２の無線通信網は、攻撃を受けにくく通信品質が確保された無線通信網であることが望ましい。もっとも、第１の無線通信網および第２の無線通信網の両方が攻撃を受けやすい無線通信網であっても、攻撃通知が車載機２１まで到達できる確実性が向上するという効果が得られる。
【００９１】
上記の説明では、車載機と通信する車両内の端末としてスマートフォン端末を用いる例を挙げているが、本発明はこれに限られない。車両内に存在し車両ユーザが操作可能なパーソナル端末であれば、スマートフォン端末以外に、ウェアラブル端末やタブレット型コンピュータを利用してもかまわない。
【００９２】
また、上記の説明では車両無線ネットワークを例に挙げているが、車両あるいは車載機以外の無線通信装置を用いてもかまわない。例えば、スマートフォン端末、移動型ロボット、ＩｏＴ（Ｉｎｔｅｒｎｅｔ  ｏｆ  Ｔｈｉｎｇｓ）機器、ドローン（無人航空機）などを対象として攻撃検知を通知するようにしてもかまわない。
【符号の説明】
【００９３】
１０：サーバ装置
１１：クライアント管理部
１２：認証データ記憶部
１３：データ解析部
１４：監視結果通知部
１５：トラフィック監視装置
１６：攻撃データ記憶部
１７：通知方法決定部
２０：車両
２１：車載機
２２：スマートフォン端末
【図１】
2018097805.tif 000003
【図２】
2018097805.tif 000004
【図３】
2018097805.tif 000005
【図４】
2018097805.tif 000006
【図５】
2018097805.tif 000007
【図６Ａ】
2018097805.tif 000008
【図６Ｂ】
2018097805.tif 000009
【図６Ｃ】
2018097805.tif 000010
【図７】
2018097805.tif 000011
【図８】
2018097805.tif 000012
【図９】
2018097805.tif 000013