(57)【要約】【課題】車両制御に悪影響を与えることなく、不正な通信を遮断する。【解決手段】車載ゲートウェイ装置は、車両２に搭載された複数の装置がそれぞれ接続された複数のネットワークである制御系ネットワークドメイン、運転支援系ネットワークドメイン、および情報系ネットワークドメインに接続される。車載ゲートウェイ装置は、これらのネットワークのいずれかに発生したインシデントを検知するインシデント検知処理部１２０と、インシデントが検知された場合に、インシデントの発生箇所および車両２の制御状態に基づいて、ネットワークの中から通信遮断対象ネットワークを判断し、通信遮断対象ネットワークにおける通信を遮断する通信制御部１３０と、を備える。【選択図】図４
2018133721.tif 000002
【特許請求の範囲】
【請求項１】
車両に搭載された複数の装置がそれぞれ接続された複数のネットワークに接続される車載ゲートウェイ装置であって、
前記複数のネットワークのいずれかに発生したインシデントを検知するインシデント検知処理部と、
前記インシデントが検知された場合に、前記インシデントの発生箇所および前記車両の制御状態に基づいて、前記複数のネットワークの中から通信遮断対象ネットワークを判断し、前記通信遮断対象ネットワークにおける通信を遮断する通信制御部と、を備える車載ゲートウェイ装置。
【請求項２】
請求項１に記載の車載ゲートウェイ装置において、
前記インシデントが検知された場合、前記通信制御部は、前記インシデントの発生箇所および前記車両の制御状態に基づいて、確認通知が必要か否かを判断し、
前記確認通知が必要と判断した場合、前記通信制御部は、前記確認通知を行い、前記確認通知に対して所定の確認操作が行なわれた後に、前記通信遮断対象ネットワークにおける通信を遮断する車載ゲートウェイ装置。
【請求項３】
請求項１に記載の車載ゲートウェイ装置において、
前記インシデントが検知された場合、前記通信制御部は、前記インシデントの発生箇所および前記車両の制御状態に基づいて、前記車両が所定の車両状態となることが必要か否かを判断し、
前記車両が前記所定の車両状態となることが必要と判断した場合、前記通信制御部は、前記車両が前記所定の車両状態となった後に、前記通信遮断対象ネットワークにおける通信を遮断する車載ゲートウェイ装置。
【請求項４】
請求項１に記載の車載ゲートウェイ装置において、
前記インシデントの発生箇所、前記車両の制御状態および前記通信遮断対象ネットワークの関係を表すセキュリティポリシーを記憶する記憶部をさらに備え、
前記通信制御部は、前記セキュリティポリシーに基づいて前記通信遮断対象ネットワークを判断する車載ゲートウェイ装置。
【請求項５】
請求項４に記載の車載ゲートウェイ装置において、
前記車載ゲートウェイ装置は、前記車両の外部に設置されたセンタサーバと接続され、
前記インシデント検知処理部は、検知した前記インシデントに関するインシデント情報を前記センタサーバに送信し、
前記セキュリティポリシーは、前記センタサーバに送信された前記インシデント情報に基づいて前記センタサーバから提供される車載ゲートウェイ装置。
【請求項６】
請求項１に記載の車載ゲートウェイ装置において、
前記複数のネットワークは、前記車両の走行制御のための通信が行われる制御系ネットワークと、前記車両の運転支援または自動運転のための通信が行われる運転支援系ネットワークと、前記車両の搭乗者に対するユーザインタフェースのための通信が行われる情報系ネットワークと、を含み、
前記通信制御部は、
前記車両において運転支援または自動運転が行われていないときに、前記制御系ネットワークにおいて前記インシデントが検知された場合、前記運転支援系ネットワークおよび前記情報系ネットワークを前記通信遮断対象ネットワークと判断し、
前記車両において運転支援または自動運転が行われているときに、前記運転支援系ネットワークにおいて前記インシデントが検知された場合、前記運転支援系ネットワークおよび前記情報系ネットワークを前記通信遮断対象ネットワークと判断する車載ゲートウェイ装置。
【請求項７】
車両に搭載された複数の装置がそれぞれ接続された複数のネットワークにおける通信遮断方法であって、
前記複数のネットワークは、車載ゲートウェイ装置にそれぞれ接続されており、
前記車載ゲートウェイ装置により、前記複数のネットワークのいずれかに発生したインシデントを検知し、
前記インシデントが検知された場合に、前記車載ゲートウェイ装置により、前記インシデントの発生箇所および前記車両の制御状態に基づいて、前記複数のネットワークの中から通信遮断対象ネットワークを判断し、前記通信遮断対象ネットワークにおける通信を遮断する通信遮断方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車載ゲートウェイ装置およびこれを用いた通信遮断方法に関する。
【背景技術】
【０００２】
近年、車両に搭載された電子制御装置（ＥＣＵ：Ｅｌｅｃｔｏｒｏｎｉｃ  Ｃｏｎｔｒｏｌ  Ｕｎｉｔ）と外部の情報通信機器の間で通信を行うことで、車両において様々な情報を取得し、取得した情報を用いて車両の安全運転支援や自動運転を実現する技術が普及し始めている。このような技術では、ＥＣＵと外部の情報通信機器との常時接続や、情報通信機器における汎用機器や汎用プログラムの利用が進んでいることから、車両がサイバー攻撃の対象とされる危険性が高まっている。サイバー攻撃により、サービス不能、悪意のコード書換、不正アクセス、不適切な使用などのインシデントが、自動車で発生することがある。そのため、自動車メーカは、自動車内のネットワークへのサイバー攻撃やインシデントの発生を監視し、不正な通信を遮断してサイバー攻撃に備える必要がある。
【０００３】
上記のような不正な通信の遮断に関して、例えば特許文献１に記載の技術が知られている。特許文献１の技術では、複数のネットワーク間通信において、セキュリティ・チェック・プログラムは、どのネットワークにお互いに通信する権限が与えられるかを決定し、各々のネットワーク間の拒否されたアクセスを収集し、通信遮断する規則の組を生成する。そして、生成した規則の組をネットワーク間のゲートウェイ装置に自動で適用することで不正な通信を拒否する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特許第４４９３６５４号
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、特許文献１に記載された技術を、安全運転支援や自動運転を行う車両内のネットワークに適用すると、車両制御中に正常な通信を含めてネットワーク内の全ての通信が遮断されることがある。その結果、車両制御に悪影響を与えてしまい、予期せぬ事故などを発生させる危険性がある。
【課題を解決するための手段】
【０００６】
本発明による車載ゲートウェイ装置は、車両に搭載された複数の装置がそれぞれ接続された複数のネットワークに接続されるものであって、前記複数のネットワークのいずれかに発生したインシデントを検知するインシデント検知処理部と、前記インシデントが検知された場合に、前記インシデントの発生箇所および前記車両の制御状態に基づいて、前記複数のネットワークの中から通信遮断対象ネットワークを判断し、前記通信遮断対象ネットワークにおける通信を遮断する通信制御部と、を備える。
本発明による通信遮断方法は、車両に搭載された複数の装置がそれぞれ接続された複数のネットワークにおける通信遮断方法であって、前記複数のネットワークは、車載ゲートウェイ装置にそれぞれ接続されており、前記車載ゲートウェイ装置により、前記複数のネットワークのいずれかに発生したインシデントを検知し、前記インシデントが検知された場合に、前記車載ゲートウェイ装置により、前記インシデントの発生箇所および前記車両の制御状態に基づいて、前記複数のネットワークの中から通信遮断対象ネットワークを判断し、前記通信遮断対象ネットワークにおける通信を遮断する。
【発明の効果】
【０００７】
本発明によれば、車両制御に悪影響を与えることなく、不正な通信を遮断することができる。
【図面の簡単な説明】
【０００８】
【図１】本発明の一実施形態に係る車両情報ネットワークシステムの構成図
【図２】車両および車載ゲートウェイ装置のハードウェア構成を例示するブロック図
【図３】路側器およびセンタサーバのハードウェア構成を例示するブロック図
【図４】車載ゲートウェイ装置の機能構成を例示するブロック図
【図５】センタサーバの機能構成を例示するブロック図
【図６】セキュリティポリシーの構成を例示する説明図
【図７】インシデント判定情報の構成を例示する説明図
【図８】車両ＥＣＵ情報パケットの構成を例示する説明図
【図９】車載ゲートウェイ装置が実行する通信制御処理のフローチャート
【図１０】車載ゲートウェイ装置が実行する復旧処理のフローチャート
【図１１】車両情報ネットワークシステムのシーケンス図
【発明を実施するための形態】
【０００９】
以下、本発明の実施形態について図１〜１０を参照して説明する。図１は、本発明の一実施形態に係る車両情報ネットワークシステムの構成図である。図１に示す車両情報ネットワークシステム１は、車両２、路側器３、ネットワーク４、およびセンタサーバ５を含む。
【００１０】
車両２は、車載ゲートウェイ装置２０を搭載する。路側器３は、車両２が走行する道路の路側に、所定地点に固定して設置される。路側器３とセンタサーバ５は、ネットワーク４を介して相互に接続される。センタサーバ５は、ネットワーク４および路側器３を介して、車載ゲートウェイ装置２０とデータ通信を行う。
【００１１】
なお、車両情報ネットワークシステム１には、車載ゲートウェイ装置２０をそれぞれ搭載する複数の車両２が含まれていてもよい。また、複数の路側器３がそれぞれ異なる地点に設置されていてもよい。以下の説明では、一つの車両２に搭載されている車載ゲートウェイ装置２０の動作を中心として説明する。
【００１２】
図２は、車両２および車載ゲートウェイ装置２０のハードウェア構成を例示するブロック図である。車両２は、車載ゲートウェイ装置２０と、車載ゲートウェイ装置２０にそれぞれ接続されている無線通信装置１０６、ステアリングＥＣＵ１０７、ブレーキＥＣＵ１０８、エンジンＥＣＵ１０９、ＡＤＡＳ  ＥＣＵ１１０、ＭＰＵ  ＥＣＵ１１１、ブレーキ制御ＥＣＵ１１２、ステアリング制御ＥＣＵ１１３、エンジン制御ＥＣＵ１１４、カメラ１１５、ＧＰＳセンサ１１６、ユーザースイッチ１１７、および表示装置１１８とを備える。
【００１３】
ステアリングＥＣＵ１０７、ブレーキＥＣＵ１０８、およびエンジンＥＣＵ１０９は、車両２の走行制御を行うための装置であり、相互に接続されてネットワークを構成している。以下では、このネットワークを「制御系ネットワークドメイン」と称する。ＡＤＡＳ  ＥＣＵ１１０、ＭＰＵ  ＥＣＵ１１１、ブレーキ制御ＥＣＵ１１２、ステアリング制御ＥＣＵ１１３、エンジン制御ＥＣＵ１１４、カメラ１１５、およびＧＰＳセンサ１１６は、車両２の運転支援や自動運転を行うための装置であり、相互に接続されてネットワークを構成している。以下では、このネットワークを「運転支援系ネットワークドメイン」と称する。ユーザースイッチ１１７および表示装置１１８は、車両２の搭乗者に対するユーザインタフェースを提供するための装置であり、相互に接続されてネットワークを構成している。以下では、このネットワークを「情報系ネットワークドメイン」と称する。すなわち、車載ゲートウェイ装置２０は、制御系ネットワークドメインと、運転支援系ネットワークドメインと、情報系ネットワークドメインとに接続されており、これらのネットワーク内の各装置との間でデータ通信を行う。
【００１４】
上記の各ネットワークにおいて、同じネットワーク内の各装置は、車載ゲートウェイ装置２０を介さずに直接データ通信を行うことができる。例えば、制御系ネットワークドメイン内では、車両２の走行制御のための通信が行われる。運転支援系ネットワークドメイン内では、車両２の運転支援や自動運転のための通信が行われる。情報系ネットワークドメイン内では、車両２の搭乗者に対するユーザインタフェースのための通信が行われる。一方、異なるネットワークに属する装置間のデータ通信は、車載ゲートウェイ装置２０を介して行われる。
【００１５】
無線通信装置１０６は、車載ゲートウェイ装置２０に接続されており、路側器３との間で無線通信を行う。車載ゲートウェイ装置２０は、無線通信装置１０６を介した無線通信によって、路側器３とデータ通信を行う。
【００１６】
ステアリングＥＣＵ１０７は、車両２の搭乗者によるステアリング操作、またはステアリング制御ＥＣＵ１１３から送信されるステアリング制御命令に応じて、車両２の操舵機構を制御して進行方向制御を行う装置である。ブレーキＥＣＵ１０８は、車両２の搭乗者によるブレーキ操作、またはブレーキ制御ＥＣＵ１１２から送信されるブレーキ制御命令に応じて、車両２のブレーキを制御して減速制御を行う装置である。エンジンＥＣＵ１０９は、車両２の走行状態、またはエンジン制御ＥＣＵ１１４から送信されるエンジン制御命令に応じて、車両２のエンジンを制御して速度制御を行う装置である。これらの装置により、車両２の走行制御が行われる。
【００１７】
ＡＤＡＳ  ＥＣＵ１１０は、車両２の内外の情報から車両２の加速、減速、停止などを判断し、その判断結果を用いて車両２の自動運転や運転支援サービスを実現する装置である。ＡＤＡＳ  ＥＣＵ１１０は、カメラ１１５から取得した外部画像や、ＧＰＳセンサ１１６から取得した車両２の位置や、ＭＰＵ  ＥＣＵ１１１が保持する車両２の周辺地図情報などを参照して、車両２の挙動を決定する。そして、ブレーキ制御ＥＣＵ１１２や、ステアリング制御ＥＣＵ１１３や、エンジン制御ＥＣＵ１１４に対して、決定した車両２の挙動に応じた制御命令をそれぞれ出力するように指示する。ＭＰＵ  ＥＣＵ１１１は、車両２周辺の道路形状などの地図情報を保持する装置である。ブレーキ制御ＥＣＵ１１２は、ＡＤＡＳ  ＥＣＵ１１０の指示に応じて、ブレーキＥＣＵ１０８に対してブレーキ強度を含むブレーキ制御命令を送信する装置である。ステアリング制御ＥＣＵ１１３は、ＡＤＡＳ  ＥＣＵ１１０の指示に応じて、ステアリングＥＣＵ１０７に対してステアリングの操作角度を含むステアリング制御命令を送信する装置である。エンジン制御ＥＣＵ１１４は、ＡＤＡＳ  ＥＣＵ１１０の指示に応じて、エンジンＥＣＵ１０９に対してエンジンの回転数を含むエンジン制御命令を送信する装置である。カメラ１１５は、車両２の周囲を撮影した画像をＡＤＡＳ  ＥＣＵ１１０に出力する装置である。ＧＰＳセンサ１１６は、衛星から信号を受信して車両２の位置を測位する測位装置である。これらの装置により、車両２の運転支援や自動運転が行われる。
【００１８】
ユーザースイッチ１１７は、車両２の搭乗者による所定の入力操作を検出する装置である。車両２の搭乗者であるユーザは、例えば車両２の自動運転や運転支援機能を無効から有効に、もしくは有効から無効に切り替える際に、ユーザースイッチ１１７を使用する。表示装置１１８は、例えば液晶モニタ等であり、搭乗者に対して種々の情報を表示する。例えば、車両２において自動運転や運転支援が実施されている場合は、これらの機能が有効であることを表示装置１１８に表示することで、搭乗者が車両２の状態を把握できるようにする。これらの装置により、車両２の搭乗者に対するユーザインタフェースが提供される。
【００１９】
車載ゲートウェイ装置２０は、記憶装置１０１、ＣＰＵ１０２、およびメモリ部１０３を備える。記憶装置１０１は、例えばＨＤＤやフラッシュメモリ等の補助記憶装置である。ＣＰＵ１０２は、例えば記憶装置１０１などに記憶された所定の制御プログラムを読み込んで実行することにより、車載ゲートウェイ装置２０を制御する。
【００２０】
メモリ部１０３は、ＣＰＵ１０２が制御プログラムを実行する際に利用する主記憶装置である。
【００２１】
ＣＰＵ１０２は、インシデント検知処理部１２０、通信制御部１３０、インシデント判定情報処理部１４０、セキュリティポリシー処理部１５０、および復旧策処理部１６０を機能的に備える。すなわち、インシデント検知処理部１２０、通信制御部１３０、インシデント判定情報処理部１４０、セキュリティポリシー処理部１５０、および復旧策処理部１６０は、ＣＰＵ１０２が実行する制御プログラムによってソフトウェア的に実現される。インシデント検知処理部１２０、通信制御部１３０、インシデント判定情報処理部１４０、セキュリティポリシー処理部１５０、および復旧策処理部１６０については、後に詳述する。また、インシデントとは、サイバー攻撃等により、サービス不能、悪意のコード書換、不正アクセス、不適切な使用などネットワーク上のセキュリティに発生する事象である。
【００２２】
なお、インシデント検知処理部１２０、通信制御部１３０、インシデント判定情報処理部１４０、セキュリティポリシー処理部１５０および復旧策処理部１６０を、例えばＦＰＧＡのようなＣＰＵ１０２と同等の機能を実現できる電子回路などによってそれぞれ構成することも可能である。
【００２３】
図３は、路側器３およびセンタサーバ５のハードウェア構成を例示するブロック図である。路側器３は、路側器制御部２０５と無線送受信部２０６を備える。
【００２４】
無線送受信部２０６は、無線信号を送受信することにより、車両２に搭載された車載ゲートウェイ装置２０とデータ通信を行う。路側器制御部２０５は、路側器３を制御する。路側器制御部２０５は、ネットワーク４に接続されている。路側器制御部２０５は、ネットワーク４を介してセンタサーバ５とデータ通信を行う。路側器制御部２０５は、無線送受信部２０６を制御して、センタサーバ５から送信された情報を車両２に送信したり、車両２から受信した情報をセンタサーバ５に送信したりする。
【００２５】
センタサーバ５は、記憶装置５０１、ＣＰＵ５０２、およびメモリ部５０３を備える。記憶装置５０１は、例えばＨＤＤやフラッシュメモリ等の補助記憶装置である。ＣＰＵ５０２は、例えば記憶装置５０１などに記憶された所定の制御プログラムを読み込んで実行することにより、路側器３に送受信する情報を処理する。メモリ部５０３は、ＣＰＵ５０２が制御プログラムを実行する際に利用する主記憶装置である。
【００２６】
ＣＰＵ５０２は、送受信情報処理部５１０、セキュリティポリシー生成部５２０、インシデント判定情報生成部５３０、および復旧策生成部５４０を機能的に備える。すなわち、送受信情報処理部５１０、セキュリティポリシー生成部５２０、インシデント判定情報生成部５３０、および復旧策生成部５４０は、ＣＰＵ５０２が実行する制御プログラムによってソフトウェア的に実現される。送受信情報処理部５１０、セキュリティポリシー生成部５２０、インシデント判定情報生成部５３０、および復旧策生成部５４０については、後に詳述する。
【００２７】
次に、車載ゲートウェイ装置２０およびセンタサーバ５の機能構成について説明する。
【００２８】
図４は、車載ゲートウェイ装置２０の機能構成を例示するブロック図である。記憶装置１０１は、セキュリティポリシーＤＢ１７１、インシデント判定情報ＤＢ１７２、および車両ＥＣＵ情報ＤＢ１７３を有する。
【００２９】
セキュリティポリシー処理部１５０は、図２の無線通信装置１０６を用いて路側器３と通信を行い、後述するセキュリティポリシー６００を路側器３を介してセンタサーバ５から受信する。受信したセキュリティポリシー６００は、セキュリティポリシーＤＢ１７１に格納される。
【００３０】
インシデント判定情報処理部１４０は、無線通信装置１０６を用いて路側器３と通信を行い、後述するインシデント判定情報７００を路側器３を介してセンタサーバ５から受信する。受信したインシデント判定情報７００は、インシデント判定情報ＤＢ１７２に格納される。
【００３１】
復旧策処理部１６０は、無線通信装置１０６を用いて路側器３と通信を行い、復旧策９００を路側器３を介してセンタサーバ５から受信する。受信した復旧策９００は、通信制御部１３０に出力される。復旧策９００は、前述の制御系ネットワークドメイン、運転支援系ネットワークドメインまたは情報系ネットワークドメインにおいて、いずれかの装置がサイバー攻撃を受けることでセキュリティ上のインシデントが発生した場合に、そのインシデント発生元の装置を復旧させるためにセンタサーバ５から送信される情報である。復旧策９００には、例えば当該装置で動作するソフトウェアのバックデート命令や設定ファイルなどが含まれる。
【００３２】
インシデント検知処理部１２０は、インシデント判定情報ＤＢ１７２に格納されているインシデント判定情報７００と、車両ＥＣＵ情報ＤＢ１７３に格納されている車両ＥＣＵ情報とに基づいて、インシデントが発生した場合にこれを検知する。インシデントの発生を検知した場合、インシデント検知処理部１２０は、無線通信装置１０６を用いて路側器３と通信を行い、検知したインシデントに関するインシデント情報１０００を路側器３を介してセンタサーバ５に送信する。インシデント情報１０００には、インシデントを検知した場所、インシデントを検知したときの情報送信元の装置のソフトウェアバージョン、インシデントの原因、インシデントの検知日時などが含まれる。また、インシデントの発生を検出した場合、インシデント検知処理部１２０は、その発生箇所を示すインシデント発生通知を通信制御部１３０に出力する。
【００３３】
通信制御部１３０は、車載ゲートウェイ装置２０に接続されている各ネットワーク間で通信の中継を行う。例えば、運転支援系ネットワークドメインのブレーキ制御ＥＣＵ１１２から制御系ネットワークドメインのブレーキＥＣＵ１０８に送信されるブレーキ制御指示を、これらのネットワーク間で転送する。同一ネットワーク内の装置間および異なるネットワークの装置間では、後述する車両ＥＣＵ情報パケット８００により通信が行われる。通信制御部１３０は、各装置間で送受信される車両ＥＣＵ情報パケット８００を受信すると、そのパケットに含まれる情報を車両ＥＣＵ情報として車両ＥＣＵ情報ＤＢ１７３に追記する。すなわち、車両ＥＣＵ情報ＤＢ１７３には、車両ＥＣＵ情報パケット８００に含まれる情報が時系列順に車両ＥＣＵ情報として格納される。
【００３４】
通信制御部１３０は、復旧策処理部１６０から復旧策９００を受信すると、受信した復旧策９００をあて先の装置に送信する。また、通信制御部１３０は、インシデント検知処理部１２０からインシデント発生通知を受信すると、セキュリティポリシーＤＢ１７１に格納されているセキュリティポリシー６００に基づいて、通信を遮断するネットワーク（以下、通信遮断対象ネットワークと称する）を判断し、その通信遮断対象ネットワークにおける各装置間の通信を遮断する。
【００３５】
図５は、センタサーバ５の機能構成を例示するブロック図である。記憶装置５０１は、インシデント情報ＤＢ５５１、セキュリティポリシーＤＢ５５２、およびインシデント判定情報ＤＢ５５３を有する。
【００３６】
送受信情報処理部５１０は、路側器３との情報の送受信を行う。例えば、送受信情報処理部５１０は、車両２から送信されたインシデント情報１０００を路側器３を経由して受信する。送受信情報処理部５１０は、車両２から受信したインシデント情報１０００を、インシデント情報ＤＢ５５１に格納する。
【００３７】
セキュリティポリシー生成部５２０は、インシデント情報ＤＢ５５１に格納されているインシデント情報１０００に基づいて、車両２に対応するセキュリティポリシー６００を生成する。セキュリティポリシー生成部１６００により生成されたセキュリティポリシー６００は、セキュリティポリシーＤＢ５５２に格納される。送受信情報処理部５１０は、車両２に対応するセキュリティポリシー６００をセキュリティポリシーＤＢ５５２から取り出し、路側器３を経由して車両２に定期的に送信する。
【００３８】
インシデント判定情報生成部５３０は、インシデント情報ＤＢ５５１に格納されているインシデント情報１０００に基づいて、車両２に対応するインシデント判定情報７００を生成する。インシデント判定情報生成部５３０により生成されたインシデント判定情報７００は、インシデント判定情報ＤＢ５５３に格納される。送受信情報処理部５１０は、車両２に対応するインシデント判定情報７００をインシデント判定情報ＤＢ５５３から取り出し、路側器３を経由して車両２に定期的に送信する。
【００３９】
復旧策生成部５４０は、インシデント情報ＤＢ５５１に格納されているインシデント情報１０００に基づいて、車両２において発生したインシデントに対応する復旧策９００を生成する。送受信情報処理部５１０は、復旧策生成部５４０により生成された復旧策９００を路側器３を経由して車両２に送信する。
【００４０】
図６は、セキュリティポリシー６００の構成を例示する説明図である。セキュリティポリシー６００は、運転モード６０１、提供サービス６０２、インシデント発生箇所６０３、状況確認６０４、通信遮断対象ＮＷ６０５、ユーザ確認６０６、および車両状態６０７の各情報を含む。
【００４１】
運転モード６０１は、車両２において設定される運転モードを示す情報である。例えば、搭乗者自身が車両２を運転する場合、搭乗者は車両２の運転モードを「通常運転モード」に設定する。また、搭乗者が車両２を運転せずに自動運転させる場合、搭乗者は車両２の運転モードを「自動運転モード」に設定する。運転モード６０１には、車両２において設定可能なこれらの運転モードを示す情報が格納される。
【００４２】
提供サービス６０２は、車両２において搭乗者に提供されるサービスを示す情報である。車両２の搭乗者は、車両２の提供サービスを運転モードごとに選択することができる。例えば、運転モードが「通常運転モード」である場合、搭乗者は、運転支援なしの「通常運転」、ＡＤＡＳ  ＥＣＵ１１０による運転支援を行う「運転支援」等の提供サービスを選択可能である。一方、運転モードが「自動運転モード」である場合、搭乗者は、車両２を道路上で自動的に走行させる「自動運転」、車両２を駐車場内で自動的に駐車させる「自動駐車」等の提供サービスを選択可能である。さらに、車両２に搭載される各装置のソフトウェアの更新準備を行う「ＯＴＡ準備」や、搭乗者に各種の情報提供を行う「便利」等のサービスを提供することもできる。提供サービス６０２には、車両２において提供可能なこれらのサービスを示す情報が格納される。
【００４３】
インシデント発生箇所６０３は、車両２におけるインシデントの発生箇所を示す情報である。インシデント発生箇所６０３には、運転モード６０１と提供サービス６０２の組み合わせが示す車両２の制御状態ごとに、車両２内のネットワークのいずれか、すなわち前述の制御系ネットワークドメイン、運転支援系ネットワークドメイン、または情報系ネットワークドメインのいずれかを示す情報が、インシデントの発生箇所を示す情報として格納される。
【００４４】
状況確認６０４は、インシデントが検知された場合に通信制御部１３０が通信遮断対象ネットワークの通信を遮断する前に、車両２の状況確認が必要であるか否かを示す情報である。状況確認６０４には、インシデント発生箇所６０３ごとに、車両２の状況確認の有無を示す情報と、状況確認が必要な場合はその内容を示す情報が格納される。
【００４５】
通信遮断対象ＮＷ６０５は、インシデントが検知された場合に通信制御部１３０が通信遮断の対象とするネットワークを示す情報である。通信遮断対象ＮＷ６０５には、インシデント発生箇所６０３ごとに、制御系ネットワークドメイン、運転支援系ネットワークドメイン、または情報系ネットワークドメインのいずれかを示す情報が、通信遮断対象ネットワークを示す情報として格納される。
【００４６】
ユーザ確認６０６は、インシデントが検知された場合に通信制御部１３０が通信遮断対象ネットワークの通信を遮断する前に、車両２の搭乗者による確認が必要か否かを示す情報である。ユーザ確認６０６には、インシデント発生箇所６０３ごとに、搭乗者による確認の有無を示す情報と、搭乗者による確認が必要な場合は、搭乗者に確認を求める際に提示する内容を示す情報が格納される。
【００４７】
車両状態６０７は、インシデントが検知された場合に通信制御部１３０が通信遮断対象ネットワークの通信を遮断する際に、車両２が所定の車両状態となっている必要があるか否かを示す情報である。車両状態６０７には、インシデント発生箇所６０３ごとに、通信遮断の開始条件としての車両状態の有無を示す情報と、通信遮断の開始条件がある場合は、その開始条件に相当する車両状態を示す情報とが格納される。
【００４８】
通信制御部１３０は、インシデント発生通知を受けると、インシデント発生通知に含まれる情報に基づいて、車両２内のネットワークのいずれかをインシデント発生箇所として特定する。また、現在の車両２の制御状態として、車両２において現在設定されている運転モードおよび提供サービスを特定する。そして、セキュリティポリシーＤＢ１７１から図６のようなセキュリティポリシー６００を読み出して、運転モード６０１、提供サービス６０２、インシデント発生箇所６０３の各情報に基づき、車両２の制御状態とインシデント発生箇所に対応する領域をセキュリティポリシー６００において特定する。こうしてセキュリティポリシー６００のいずれかの領域を特定したら、通信制御部１３０は、当該領域における通信遮断対象ＮＷ６０５の情報に基づいて、どのネットワークが通信遮断対象ネットワークであるかを判断し、その通信遮断対象ネットワークを対象とする通信を遮断する。また、当該行における状況確認６０４、ユーザ確認６０６、車両状態６０７の各情報に基づき、通信遮断対象ネットワークの通信を遮断する前に、必要に応じて搭乗者への情報提示や車両状態の確認を行う。
【００４９】
なお、セキュリティポリシー６００において、通信を遮断する対象は通信遮断対象ＮＷ６０５のようにネットワーク単位ではなく、装置単位で設定してもよい。その場合、例えば通信制御部１３０から車両２内の各ネットワークに接続されている装置に対して、通信遮断対象とする装置のＣＡＮ  ＩＤ等を示すブラックリストを配布し、当該装置から送信される車両ＥＣＵ情報パケット８００を他の装置が受信しないようにする方法がある。また、通信遮断対象とする装置から車両ＥＣＵ情報パケット８００が送信されると、その直後に通信制御部１３０から車両２内の各ネットワークに対してエラーパケットを送信することで、当該装置から送信される車両ＥＣＵ情報パケット８００を他の装置が受信しないようにする方法もある。それ以外にも様々な方法を用いて、ネットワーク単位または装置単位で通信遮断対象を設定することができる。
【００５０】
図７は、インシデント判定情報７００の構成を例示する説明図である。インシデント判定情報７００は、制御イベント７０１、送信元ノード７０２、およびＣＡＮ  ＩＤ７０３の各情報を含む。
【００５１】
制御イベント７０１は、車両２の制御状態を示す情報である。車両２の制御状態は、搭乗者が車両２において設定した運転モードと提供サービスに応じて決定される。制御イベント７０１には、車両２において設定可能な運転モードと提供サービスの組み合わせごとに、車両２の制御状態を示す情報が格納される。
【００５２】
送信元ノード７０２は、車両２の制御状態に応じてネットワーク内の各装置間で行われる通信のパターンを示す情報である。送信元ノード７０２には、制御イベント７０１ごとの通信パターンを示す情報として、車両ＥＣＵ情報パケット８００を順に送信するネットワーク内のノード（装置）を示す情報が格納される。例えば、搭乗者がユーザースイッチ１１７を操作して車両２の自動運転を開始するときには、最初にユーザースイッチ１１７から、操作信号を示す車両ＥＣＵ情報パケット８００が送信される。次にＡＤＡＳ  ＥＣＵ１１０から、自動運転制御の開始を各装置に指示する車両ＥＣＵ情報パケット８００が送信される。次にステアリング制御ＥＣＵ１１３からステアリングＥＣＵ１０７に向けて、ステアリング制御命令を示す車両ＥＣＵ情報パケット８００が送信される。次にステアリングＥＣＵ１０７から、車両２の操舵機構を制御するための車両ＥＣＵ情報パケット８００が送信される。送信元ノード７０２には、制御イベント７０１の自動運転を示す情報に対応付けて、これらの装置間での一連の通信の流れを示す情報が格納される。
【００５３】
ＣＡＮ  ＩＤ７０３は、送信元ノード７０２で示される各装置が車両ＥＣＵ情報パケット８００を送信する際に付与するＣＡＮ  ＩＤを示す情報である。ＣＡＮ  ＩＤは、装置ごとに固有の番号が予め設定されている。ネットワーク内の各装置は、自身に設定されているＣＡＮ  ＩＤを車両ＥＣＵ情報パケット８００に含めて送信する。そのため、通信制御部１３０は、装置間で送受信される車両ＥＣＵ情報パケット８００を確認することで、どの装置が送信したものであるかを特定することができる。
【００５４】
インシデント検知処理部１２０は、車両ＥＣＵ情報ＤＢ１７３から車両ＥＣＵ情報を読み出すことで、ネットワーク接続された車両２の各装置間で時系列順に送受信された車両ＥＣＵ情報パケット８００を取得する。また、現在の車両２の制御状態として、車両２において現在設定されている運転モードおよび提供サービスを特定する。そして、インシデント判定情報ＤＢ１７２からインシデント判定情報７００を読み出して、制御イベント７０１の情報に基づき、車両２の制御状態に対応する領域をインシデント判定情報７００において特定する。こうしてインシデント判定情報７００のいずれかの領域を特定したら、インシデント検知処理部１２０は、当該領域におけるＣＡＮ  ＩＤ７０３の情報と、取得した車両ＥＣＵ情報パケット８００に含まれるＣＡＮ  ＩＤとを比較し、これらが一致するか否かを判定する。その結果、両者が一致しない場合は、インシデントが発生したと判断する。
【００５５】
なお、インシデント判定情報７００は、上記のように正常な通信パターンを示すものではなく、異常な通信パターンを示すブラックリストであってもよい。その場合、インシデント検知処理部１２０は、インシデント判定情報７００と、車両ＥＣＵ情報ＤＢ１７３から取得した車両ＥＣＵ情報パケット８００に含まれるＣＡＮ  ＩＤとを比較し、これらが一致した場合にインシデントが発生したと判断する。
【００５６】
図８は、車両ＥＣＵ情報パケット８００の構成を例示する説明図である。車両ＥＣＵ情報パケット８００は、ＣＡＮ  ＩＤ８０１、制御パラメータ８０２、および測定時間８０３の各情報を含む。
【００５７】
ＣＡＮ  ＩＤ８０１は、車両ＥＣＵ情報パケット８００の送信元に設定されているＣＡＮ  ＩＤを示す情報である。前述のように、ネットワーク内の各装置には装置ごとに固有の番号がＣＡＮ  ＩＤとして予め設定されている。各装置は、車両ＥＣＵ情報パケット８００を送信する際に、自身に設定されているＣＡＮ  ＩＤを示す情報をＣＡＮ  ＩＤ８０１として設定する。
【００５８】
制御パラメータ８０２は、車両ＥＣＵ情報パケット８００を受信した装置が行う制御において使用される制御値を表す情報である。制御パラメータ８０２には、各装置で行われる制御の内容に応じて様々な値が設定される。例えば、アクセル開度、ブレーキ圧、操舵角、エンジン回転数などの情報を、制御パラメータ８０２で表すことができる。
【００５９】
測定時間８０３は、車両ＥＣＵ情報パケット８００の送信時間（時刻）を表す情報である。各装置は、車両ＥＣＵ情報パケット８００を送信する際に、そのときの時刻を示す情報を測定時間８０３として設定する。
【００６０】
図９は、車載ゲートウェイ装置２０のＣＰＵ１０２が実行する通信制御処理のフローチャートである。このフローチャートに示す処理は、車両２に搭載された車載ゲートウェイ装置２０のＣＰＵ１０２において、所定時間ごとに実行される。
【００６１】
ステップＳ１０において、ＣＰＵ１０２は、セキュリティポリシー処理部１５０により、路側器３を介してセンタサーバ５から送信されるセキュリティポリシー６００を受信し、セキュリティポリシーＤＢ１７１に保存する。また、インシデント判定情報処理部１４０により、路側器３を介してセンタサーバ５から送信されるインシデント判定情報７００を受信し、インシデント判定情報ＤＢ１７２に保存する。これにより、車載ゲートウェイ装置２０は、センタサーバ５から提供されるセキュリティポリシー６００およびインシデント判定情報７００を取得する。
【００６２】
ステップＳ２０において、ＣＰＵ１０２は、通信制御部１３０により、車載ゲートウェイ装置２０に接続されているネットワークの各装置から送信される車両ＥＣＵ情報を取得し、車両ＥＣＵ情報ＤＢ１７３に保存する。すなわち、車載ゲートウェイ装置２０は、制御系ネットワークドメイン内のステアリングＥＣＵ１０７、ブレーキＥＣＵ１０８、およびエンジンＥＣＵ１０９の各装置、運転支援系ネットワークドメイン内のＡＤＡＳ  ＥＣＵ１１０、ＭＰＵ  ＥＣＵ１１１、ブレーキ制御ＥＣＵ１１２、ステアリング制御ＥＣＵ１１３、エンジン制御ＥＣＵ１１４、カメラ１１５、およびＧＰＳセンサ１１６の各装置、および情報系ネットワークドメイン内のユーザースイッチ１１７および表示装置１１８の各装置から送信された車両ＥＣＵ情報パケット８００を通信制御部１３０により受信し、車両ＥＣＵ情報として時系列順に車両ＥＣＵ情報ＤＢ１７３に保存する。
【００６３】
ステップＳ３０において、ＣＰＵ１０２は、インシデント検知処理部１２０により、ステップＳ１０、Ｓ２０でそれぞれ取得したインシデント判定情報７００および車両ＥＣＵ情報を、インシデント判定情報ＤＢ１７２と車両ＥＣＵ情報ＤＢ１７３からそれぞれ読み出す。そして、これらの情報を比較する。
【００６４】
ステップＳ４０において、ＣＰＵ１０２は、インシデント検知処理部１２０により、ステップＳ３０の比較結果から、車両ＥＣＵ情報にインシデント判定情報７００と一致しない通信パターンがあるか否かを判定する。一致しない異常な通信パターンがある場合はステップＳ５０に移行し、異常な通信パターンが存在しない場合はステップＳ２０に戻って車両ＥＣＵ情報の取得を続ける。
【００６５】
ステップＳ５０において、ＣＰＵ１０２は、インシデント検知処理部１２０により、車載ゲートウェイ装置２０に接続されているいずれかのネットワークにおいてインシデントが発生したと判断して、インシデントを検知する。そして、インシデント発生通知を通信制御部１３０に出力すると共に、検知したインシデントに関するインシデント情報１０００を無線通信装置１０６に出力し、路側器３を介してセンタサーバ５に送信する。
【００６６】
ステップＳ６０において、ＣＰＵ１０２は、通信制御部１３０により、ステップＳ１０で取得したセキュリティポリシー６００をセキュリティポリシーＤＢ１７１から読み出す。そして、読み出したセキュリティポリシー６００と、ステップＳ５０で検知したインシデントの発生箇所および現在の車両２の制御状態とを比較する。このとき、インシデント発生箇所については、インシデント検知処理部１２０から出力されたインシデント発生通知に基づいて判断する。また、車両２の制御状態については、車両ＥＣＵ情報ＤＢ１７３から直近の車両ＥＣＵ情報を読み出し、その車両ＥＣＵ情報に基づいて判断する。あるいは、車両２の制御状態に関する問い合わせをＡＤＡＳ  ＥＣＵ１１０等に出力し、その問い合わせに対する応答から車両２の制御状態を判断してもよい。この比較により、通信制御部１３０は、車両２の制御状態とインシデント発生箇所に対応する領域をセキュリティポリシー６００において特定することができる。
【００６７】
ステップＳ７０において、ＣＰＵ１０２は、通信制御部１３０により、通信遮断対象ネットワークの通信を遮断する前に、車両２の搭乗者であるユーザに対する確認通知が必要であるか否かを判定する。この判定は、ステップＳ６０で特定したセキュリティポリシー６００の領域におけるユーザ確認６０６の情報に基づいて行われる。確認通知が必要である場合はステップＳ８０に移行し、必要でない場合はステップＳ１００に移行する。なお、ステップＳ８０またはＳ１００に移行する前に、通信制御部１３０から表示装置１１８に対して所定の通知画面を表示する指令を出力することで、インシデントを検知した旨をユーザに通知してもよい。
【００６８】
例えば、車両２において運転支援または自動運転が行われているときにインシデントが検知され、そのインシデントの発生箇所が運転支援系ネットワークドメインであったとする。この場合、図６に示したセキュリティポリシー６００において、ユーザ確認６０６の対応する欄に記載されている情報から、運転支援や自動運転を行わない通常運転への移行を提案することでユーザ確認が必要であると判断される。
【００６９】
ステップＳ８０において、ＣＰＵ１０２は、通信制御部１３０により、ユーザへの警告を実施する。このとき通信制御部１３０は、ステップＳ６０で特定したセキュリティポリシー６００の領域における状況確認６０４やユーザ確認６０６の情報に基づき、例えば表示装置１１８に対して所定の確認画面を表示する指令を出力することで、ユーザへの警告を行う。
【００７０】
ステップＳ９０において、ＣＰＵ１０２は、通信制御部１３０により、ステップＳ８０で行った警告に対するユーザ確認の有無を判定する。このとき通信制御部１３０は、例えば、ユーザースイッチ１１７から所定の操作信号が出力されたか否かを判断することで、ユーザからの確認が得られたか否かを判断する。ユーザが確認済みと判断した場合はステップＳ１００に移行し、ユーザが未確認と判断した場合はステップＳ８０に戻ってユーザへの警告を継続する。なお、ステップＳ９０の判定を行った回数または時間を計測し、一定の回数または時間を超えた場合にはタイムアウトと判断して、車両２を強制的に停止するなどの機能を追加してもよい。
【００７１】
ステップＳ１００において、ＣＰＵ１０２は、通信制御部１３０により、通信遮断対象ネットワークの通信を遮断する前に、車両２が所定の車両状態となることが必要であるか否かを判定する。この判定は、ステップＳ６０で特定したセキュリティポリシー６００の領域における車両状態６０７の情報に基づいて行われる。所定の車両状態、例えば車両２が停止状態になる必要がある場合はステップＳ１１０に移行し、必要ない場合はステップＳ１３０に移行する。
【００７２】
例えば、車両２において運転支援が行われているときにインシデントが検知され、そのインシデントの発生箇所が運転支援系ネットワークドメインであったとする。この場合、図６に示したセキュリティポリシー６００において、車両状態６０７の対応する欄に記載されている情報から、車両２が停止状態となることが必要であると判断される。
【００７３】
ステップＳ１１０において、ＣＰＵ１０２は、通信制御部１３０により、車両２の状態を確認する。このとき通信制御部１３０は、例えば車両ＥＣＵ情報ＤＢ１７３から直近の車両ＥＣＵ情報を読み出し、その車両ＥＣＵ情報に基づいて車両２の状態を判断する。あるいは、車両２の状態に関する問い合わせをエンジンＥＣＵ１０９等に出力し、その問い合わせに対する応答から車両２の状態を判断してもよい。
【００７４】
ステップＳ１２０において、ＣＰＵ１０２は、通信制御部１３０により、ステップＳ１１０で確認した車両２の状態に基づき、車両２がセキュリティポリシー６００で指定される所定の車両状態であるか否かを判定する。所定の車両状態である場合はステップＳ１３０に移行し、所定の車両状態ではないと判断した場合はステップＳ１１０に戻って車両状態の確認を継続する。なお、ステップＳ９０と同様に、ステップＳ１２０の判定を行った回数または時間を計測し、一定の回数または時間を超えた場合にはタイムアウトと判断して、車両２を強制的に停止するなどの機能を追加してもよい。
【００７５】
ステップＳ１３０において、ＣＰＵ１０２は、通信制御部１３０により、通信遮断対象ネットワークに対する通信制限を実施する。このとき通信制御部１３０は、ステップＳ６０で特定したセキュリティポリシー６００の領域における通信遮断対象ＮＷ６０５の情報に基づき、車載ゲートウェイ装置２０に接続されている制御系ネットワークドメイン、運転支援系ネットワークドメイン、情報系ネットワークドメインのいずれが通信遮断対象ネットワークであるかを判断する。そして、通信遮断対象ネットワーク内の各装置から送信される車両ＥＣＵ情報パケット８００を、同一ネットワーク内および他のネットワーク内の各装置において受信されないようにすることで、通信遮断対象ネットワークの通信を遮断する。
【００７６】
例えば、車両２において運転支援や自動運転が行われていない通常運転のときにインシデントが検知され、そのインシデントの発生箇所が制御系ネットワークドメインであったとする。この場合、図６に示したセキュリティポリシー６００において、通信遮断対象ＮＷ６０５の対応する欄に記載されている情報から、運転支援系ネットワークドメインおよび情報系ネットワークドメインが通信遮断対象ネットワークであると判断される。また、車両２において運転支援または自動運転が行われているときにインシデントが検知され、そのインシデントの発生箇所が運転支援系ネットワークドメインであったとする。この場合、図６に示したセキュリティポリシー６００において、通信遮断対象ＮＷ６０５の対応する欄に記載されている情報から、運転支援系ネットワークドメインおよび情報系ネットワークドメインが通信遮断対象ネットワークであると判断される。
【００７７】
ステップＳ１３０を実行したら、ＣＰＵ１０２は、図９のフローチャートに示す処理を終了する。
【００７８】
図１０は、車載ゲートウェイ装置２０のＣＰＵ１０２が実行する復旧処理のフローチャートである。このフローチャートに示す処理は、車両２に搭載された車載ゲートウェイ装置２０のＣＰＵ１０２において、図９で説明した通信制御処理によって通信遮断対象ネットワークに対する通信制限が行われた後に実行される。
【００７９】
ステップＳ２１０において、ＣＰＵ１０２は、復旧策処理部１６０により、路側器３を介してセンタサーバ５から送信された復旧策９００を受信したか否かを判定する。復旧策９００を受信していなければステップＳ２１０に留まり、復旧策９００を受信したらステップＳ２２０に移行する。
【００８０】
ステップＳ２２０において、ＣＰＵ１０２は、通信制御部１３０により、通信遮断対象ネットワークに対する通信制限を実施済みであるか否かを判定する。図９のステップＳ１３０において通信制限を実施済みであればステップＳ２３０に移行し、未実施であればステップＳ２２０に留まる。
【００８１】
ステップＳ２３０において、ＣＰＵ１０２は、通信制御部１３０により、受信した復旧策９００を指定されたあて先の装置に送信して、当該装置に復旧策９００を実施させる。通信制御部１３０から復旧策９００を受信した装置は、復旧策９００を用いて例えばソフトウェアの初期化等を行うことで、インシデントの発生要因を除去する。
【００８２】
ステップＳ２４０において、ＣＰＵ１０２は、通信制御部１３０により、ステップＳ２３０で実施した復旧策によって当該装置の復旧が完了したか否かを判定する。当該装置の復旧が完了してインシデントの発生要因が除去できた場合はステップＳ２５０に移行し、復旧が完了していない場合はステップＳ２３０に戻って復旧策の実施を続ける。
【００８３】
ステップＳ２５０において、ＣＰＵ１０２は、通信制御部１３０により、図９のステップＳ１３０で行った通信遮断対象ネットワークの通信制限を解除し、車両２の制御状態を通信制限前の状態に戻す。なお、このとき通信制御部１３０から表示装置１１８に対して所定の通知画面を表示する指令を出力することで、通信制限を解除した旨をユーザに通知してもよい。
【００８４】
ステップＳ２５０を実行したら、ＣＰＵ１０２は、図１０のフローチャートに示す処理を終了する。
【００８５】
次に、車両情報ネットワークシステム１全体の動作について説明する。図１１は、車両情報ネットワークシステム１全体の動作を示すシーケンス図である。車両情報ネットワークシステム１において、センタサーバ５、車載ゲートウェイ装置２０、およびネットワーク内の各装置は、それぞれ図１１に示す処理を実行する。
【００８６】
ステップＳ３０１において、センタサーバ５は、セキュリティポリシーＤＢ５５２から取り出したセキュリティポリシー６００、およびインシデント情報ＤＢ５５１から取り出したインシデント判定情報７００を、路側器３を介して車載ゲートウェイ装置２０に定期的に送信する。
【００８７】
ステップＳ３０２において、センタサーバ５は、車載ゲートウェイ装置２０から路側器３を介して送信されたインシデント情報１０００を受信し、インシデント情報ＤＢ５５１に保存する。
【００８８】
ステップＳ３０３において、センタサーバ５は、復旧策生成部５４０で生成した復旧策９００を、路側器３を介して車載ゲートウェイ装置２０に送信する。
【００８９】
ステップＳ４０１において、車載ゲートウェイ装置２０は、センタサーバ５から送信されたセキュリティポリシー６００およびインシデント判定情報７００を受信し、セキュリティポリシーＤＢ１７１およびインシデント判定情報ＤＢ１７２にそれぞれ蓄積する。
【００９０】
ステップＳ４０２において、車載ゲートウェイ装置２０は、ネットワークの各装置から送信される車両ＥＣＵ情報パケット８００を受信する。そして、受信した車両ＥＣＵ情報パケット８００を車両ＥＣＵ情報ＤＢ１７３に蓄積すると共に、指定されたあて先に従い、必要に応じて他のネットワークに転送するドメイン間通信を実施する。
【００９１】
インシデントが発生した場合、ステップＳ４０３において車載ゲートウェイ装置２０は、インシデント判定情報７００を用いて発生したインシデントを検知し、センタサーバ５にインシデント情報１０００を送信する。
【００９２】
ステップＳ４０４において、車載ゲートウェイ装置２０は、車両ＥＣＵ情報ＤＢ１７３に蓄積された車両ＥＣＵ情報を参照し、必要に応じて、セキュリティポリシー６００に示されるユーザ確認および車両状態の確認を実施済みであることを確認する。
【００９３】
ステップＳ４０５において、車載ゲートウェイ装置２０は、セキュリティポリシー６００に示される通信遮断対象ネットワークから他のネットワークへの車両ＥＣＵ情報パケット８００の転送を取りやめて、ドメイン間の通信制限を実施する。
【００９４】
ステップＳ４０６において、車載ゲートウェイ装置２０は、センタサーバ５から送信された復旧策９００を受信し、インシデント発生箇所の装置に対して復旧策９００を実施する。
【００９５】
復旧策９００の実施が完了したら、ステップＳ４０７において車載ゲートウェイ装置２０は、通信遮断対象ネットワークに対する通信制限を解除する。
【００９６】
ステップＳ５０１において、制御系ネットワークドメイン内のステアリングＥＣＵ１０７、ブレーキＥＣＵ１０８、およびエンジンＥＣＵ１０９の各装置と、運転支援系ネットワークドメイン内のＡＤＡＳ  ＥＣＵ１１０、ＭＰＵ  ＥＣＵ１１１、ブレーキ制御ＥＣＵ１１２、ステアリング制御ＥＣＵ１１３、エンジン制御ＥＣＵ１１４、カメラ１１５、およびＧＰＳセンサ１１６の各装置と、情報系ネットワークドメイン内のユーザースイッチ１１７および表示装置１１８の各装置は、車両ＥＣＵ情報パケット８００を他の装置に送信する。
【００９７】
ステップＳ５０２において、ステップＳ５０１で送信された車両ＥＣＵ情報パケット８００のあて先に指定された装置は、その車両ＥＣＵ情報パケット８００を受信する。ネットワークの各装置は、ステップＳ５０１、Ｓ５０２の処理を繰り返す。
【００９８】
以上説明した本発明の一実施形態によれば、以下の作用効果を奏する。
【００９９】
（１）車載ゲートウェイ装置２０は、車両２に搭載された複数の装置がそれぞれ接続された複数のネットワークである制御系ネットワークドメイン、運転支援系ネットワークドメイン、および情報系ネットワークドメインに接続される。車載ゲートウェイ装置２０は、これらのネットワークのいずれかに発生したインシデントを検知するインシデント検知処理部１２０と、インシデントが検知された場合に、インシデントの発生箇所および車両２の制御状態に基づいて、複数のネットワークの中から通信遮断対象ネットワークを判断し、通信遮断対象ネットワークにおける通信を遮断する通信制御部１３０と、を備える。このようにしたので、車両制御に悪影響を与えることなく、不正な通信を遮断することができる。
【０１００】
（２）インシデントが検知された場合、通信制御部１３０は、インシデントの発生箇所および車両２の制御状態に基づいて、車両２のユーザに対する確認通知が必要か否かを判断する（ステップＳ７０）。その結果、確認通知が必要と判断した場合、通信制御部１３０は、確認通知としてユーザに対して警告を行い（ステップＳ８０）、確認通知に対してユーザによる所定の確認操作が行なわれた後に（ステップＳ９０）、通信遮断対象ネットワークにおける通信を遮断する（ステップＳ１３０）。このようにしたので、通信を遮断すると車両２の制御状態が変化する場合に、そのことを車両２の搭乗者であるユーザに確実に認識させて、安全にインシデント対策を行うことができる。
【０１０１】
（３）インシデントが検知された場合、通信制御部１３０は、インシデントの発生箇所および車両２の制御状態に基づいて、車両２が所定の車両状態となることが必要か否かを判断する（ステップＳ１００）。その結果、車両２が所定の車両状態となることが必要と判断した場合、通信制御部１３０は、車両２が所定の車両状態となった後に（ステップＳ１２０）、通信遮断対象ネットワークにおける通信を遮断する（ステップＳ１３０）。このようにしたので、通信を遮断すると車両２の制御状態が変化する場合に、車両２が安全な状態であることを確認した上で通信を遮断して、安全にインシデント対策を行うことができる。
【０１０２】
（４）車載ゲートウェイ装置２０は、インシデントの発生箇所、車両２の制御状態および通信遮断対象ネットワークの関係を表すセキュリティポリシー６００を記憶する記憶装置１０１をさらに備える。通信制御部１３０は、セキュリティポリシー６００に基づいて通信遮断対象ネットワークを判断する。このようにしたので、インシデントの発生箇所や車両２の制御状態に応じて、どのネットワークを通信遮断対象ネットワークとするかを適切に判断することができる。
【０１０３】
（５）車載ゲートウェイ装置２０は、車両２の外部に設置されたセンタサーバ５と接続される。インシデント検知処理部１２０は、検知したインシデントに関するインシデント情報１０００をセンタサーバ５に送信する。セキュリティポリシー６００は、センタサーバ５に送信されたインシデント情報１０００に基づいてセンタサーバ５から提供される。このようにしたので、各車両でのインシデントの発生状況に応じて、適切な内容のセキュリティポリシー６００を提供することができる。
【０１０４】
（６）車載ゲートウェイ装置２０に接続される複数のネットワークは、車両２の走行制御のための通信が行われる制御系ネットワークと、車両２の運転支援または自動運転のための通信が行われる運転支援系ネットワークと、車両２の搭乗者に対するユーザインタフェースのための通信が行われる情報系ネットワークと、を含む。通信制御部１３０は、車両２において運転支援または自動運転が行われていないときに、制御系ネットワークにおいてインシデントが検知された場合、図６に例示したセキュリティポリシー６００から、運転支援系ネットワークおよび情報系ネットワークを通信遮断対象ネットワークと判断する。また、車両２において運転支援または自動運転が行われているときに、運転支援系ネットワークにおいてインシデントが検知された場合、図６に例示したセキュリティポリシー６００から、運転支援系ネットワークおよび情報系ネットワークを通信遮断対象ネットワークと判断する。このようにしたので、インシデントの発生箇所および車両２の制御状態に応じた通信遮断対象ネットワークを確実に判断することができる。
【０１０５】
なお、以上説明した実施形態や各種の変形例はあくまで一例である。本発明の特徴を損なわない限り、本発明は上記実施の形態に限定されるものではなく、本発明の技術的思想の範囲内で考えられるその他の形態についても、本発明の範囲内に含まれる。
【符号の説明】
【０１０６】
１…車両情報ネットワークシステム、２…車両、３…路側器、４…ネットワーク、５…センタサーバ、２０…車載ゲートウェイ装置、１０１…記憶装置、１０２…ＣＰＵ、１０３…メモリ部、１０６…無線通信装置、１０７…ステアリングＥＣＵ、１０８…ブレーキＥＣＵ、１０９…エンジンＥＣＵ、１１０…ＡＤＡＳ  ＥＣＵ、１１１…ＭＰＵ  ＥＣＵ、１１２…ブレーキ制御ＥＣＵ、１１３…ステアリング制御ＥＣＵ、１１４…エンジン制御ＥＣＵ、１１５…カメラ、１１６…ＧＰＳセンサ、１１７…ユーザースイッチ、１１８…表示装置
【図１】
2018133721.tif 000003
【図２】
2018133721.tif 000004
【図３】
2018133721.tif 000005
【図４】
2018133721.tif 000006
【図５】
2018133721.tif 000007
【図６】
2018133721.tif 000008
【図７】
2018133721.tif 000009
【図８】
2018133721.tif 000010
【図９】
2018133721.tif 000011
【図１０】
2018133721.tif 000012
【図１１】
2018133721.tif 000013