(57)【要約】      （修正有）【課題】車両システムは益々複雑に、かつ外界に接続されるようになってきており、車両の内部ネットワーク及びシステムにおけるアタック・サーフェス及び脆弱性の増加をもたらしている。異常なかつ悪質なネットワークデータを車両内で識別する精度及び速度を高めることを目的とする。【解決手段】車両に関連付けられたデータのタイプに、複数の分析モデルを関連付けるモデル管理情報、及び車両の稼働状況を管理し、車両に関連付けられた受信データ及び別の車両又はクラウドからのレポートを受信しないことについて、受信データのタイプを車両及び車両の稼働状況から判断することと、車両に関連付けられた受信データの判断されたタイプ、車両の判断された稼働状況、及びモデル管理情報に基づいて、複数の分析モデルのうち１つ以上の分析モデルを選択することと、受信データの異常判断をするために、受信データについて選択された１つ以上の分析モデルを実行する。【選択図】図１
2018144800.tif 000002
【特許請求の範囲】
【請求項１】
プロセスを実行するための命令を記憶する非一時的コンピュータ可読媒体であって、前記命令は、
車両に関連付けられたデータの１つ以上のタイプに複数の分析モデルのそれぞれを関連付けるモデル管理情報、及び前記車両の稼働状況を管理することと、
前記車両に関連付けられた受信データについて、及び別の車両又はクラウドからのレポートを受信しないことについて、
前記受信データのタイプを前記車両及び前記車両の前記稼働状況から判断することと、
前記車両に関連付けられた前記受信データの前記判断されたタイプ、前記車両の前記判断された稼働状況、及び前記モデル管理情報に基づいて、前記複数の分析モデルのうち１つ以上の分析モデルを選択することと、
前記受信データの異常判断を生成するために、前記受信データについて前記選択された１つ以上の分析モデルを実行することと
を含む、非一時的コンピュータ可読媒体。
【請求項２】
前記受信データが異常であることを示す前記異常判断について、前記受信データを異常であるとマークし、かつ前記受信データに基づいて前記車両についてアラートを生成することをさらに含む、請求項１に記載の非一時的コンピュータ可読媒体。
【請求項３】
前記受信データに基づいて前記車両の前記稼働状況を判断することと、
カーエリアネットワーク（ＣＡＮ）及び車両ローカルエリアネットワーク（ＬＡＮ）のうちの一方からのデータの処理から前記受信データの前記タイプを判断することと
をさらに含む、請求項１に記載の非一時的コンピュータ可読媒体。
【請求項４】
前記車両の前記稼働状況を判断するために利用される前記受信データは、加速度計データ、全地球測位衛星（ＧＰＳ）、道路交通量データ、及びエンジンコントロールユニット（ＥＣＵ）データのうちの少なくとも１つを含む、請求項３に記載の非一時的コンピュータ可読媒体。
【請求項５】
前記複数の分析モデルは、先進運転支援システム（ＡＤＡＳ）用の分析モデル、アイドル状態の車両用の分析モデル、及び運転状態の車両用の分析モデルを含む、請求項１に記載の非一時的コンピュータ可読媒体。
【請求項６】
前記受信データがカーエリアネットワーク（ＣＡＮ）データを含み、かつ前記複数の分析モデルが履歴分析学習モデル及び製造業者提供モデルを含む、請求項１に記載の非一時的コンピュータ可読媒体。
【請求項７】
前記受信データに基づいた前記履歴分析学習モデルに対してモデルトレーニング機能を実行することをさらに含む、請求項６に記載の非一時的コンピュータ可読媒体。
【請求項８】
前記非一時的コンピュータ可読媒体が前記車両内に格納され、前記命令が、前記車両の１つ以上のプロセッサによって実行される、請求項１に記載の非一時的コンピュータ可読媒体。
【請求項９】
異常であるとマークされた前記受信データについて、
前記受信データは異常ではないとの、前記クラウドによる判断については、
前記選択された１つ以上の分析モデルに基づく前記受信データについて前記クラウドから生成された結果を前記車両に対して提供し、
前記受信データは異常であるとの、前記クラウドによる判断については、
クラウドデータベースに対して及び１つ以上のその他の車両に対して異常レポートを提供する、請求項１に記載の非一時的コンピュータ可読媒体。
【請求項１０】
前記受信データが異常であると示す前記受信データについてのアラートの受信については、
前記受信データに関連付けられたリスクスコアを修正することと、かつ前記受信データに関連付けられた閾値を上回る前記リスクスコアについては、前記車両の安全モードを作動することと、
前記受信データが悪質であると示す前記クラウドからの又は前記別の車両からの前記レポートの受信については、前記車両の前記安全モードを作動することと
をさらに含む、請求項１に記載の非一時的コンピュータ可読媒体。
【請求項１１】
車両に関連付けられたデータの１つ以上のタイプに複数の分析モデルのそれぞれを関連付けるモデル管理情報、及び前記車両の稼働状況を管理するように構成されたメモリと、
前記車両に関連付けられた受信データについて、及び別の車両又はクラウドからのレポートを受信しないことについて、
前記受信データのタイプを前記車両及び前記車両の前記稼働状況から判断し、
前記車両に関連付けられた前記受信データの前記判断されたタイプ、前記車両の前記判断された稼働状況、及び前記モデル管理情報に基づいて、前記複数の分析モデルのうち１つ以上の分析モデルを選択し、かつ
前記受信データの異常判断を生成するために、前記受信データについて前記選択された１つ以上の分析モデルを実行する
ように構成されたプロセッサと
を含む車両プラットフォームを備える、システム。
【請求項１２】
前記プロセッサは、前記受信データが異常であることを示す前記異常判断について、前記受信データを異常であるとマークし、かつ前記受信データに基づいて前記車両についてアラートを生成するように構成されている、請求項１１に記載のシステム。
【請求項１３】
前記プロセッサはさらに、 
前記受信データに基づいて前記車両の前記稼働状況を判断し、かつ
カーエリアネットワーク（ＣＡＮ）及び車両ローカルエリアネットワーク（ＬＡＮ）のうちの一方からのデータの処理から前記受信データの前記タイプを判断するように構成されている、請求項１１に記載のシステム。
【請求項１４】
前記車両の前記稼働状況を判断するために利用される前記受信データは、加速度計データ、全地球測位衛星（ＧＰＳ）、道路交通量データ、及びエンジンコントロールユニット（ＥＣＵ）データのうちの少なくとも１つを含む、請求項１３に記載のシステム。
【請求項１５】
前記複数の分析モデルは、先進運転支援システム（ＡＤＡＳ）用の分析モデル、アイドル状態の車両用の分析モデル、及び運転状態の車両用の分析モデルを含む、請求項１１に記載のシステム。
【請求項１６】
前記受信データがカーエリアネットワーク（ＣＡＮ）データを含み、かつ前記複数の分析モデルが履歴分析学習モデル及び製造業者提供モデルを含む、請求項１１に記載のシステム。
【請求項１７】
前記プロセッサが、前記受信データに基づいた前記履歴分析学習モデルに対してモデルトレーニング機能を実行するように構成されている、請求項１６に記載のシステム。
【請求項１８】
前記車両プラットフォームが前記車両内に格納される、請求項１１に記載のシステム。
【請求項１９】
前記車両プラットフォームに通信可能に接続された装置をさらに備え、
前記装置が、
異常であるとマークされた前記受信データについて、
前記受信データは異常ではないとの判断については、
前記選択された１つ以上の分析モデルに基づく前記受信データについての前記装置からの生成された結果を前記車両に対して提供し、
前記受信データは異常であるとの判断については、
クラウドデータベースに対して及び１つ以上のその他の車両に対して異常レポートを提供する
ように構成されたプロセッサを含む、請求項１１に記載のシステム。
【請求項２０】
前記プロセッサはさらに、
前記受信データが異常であると示す前記受信データについてのアラートの受信については、
前記受信データに関連付けられたリスクスコアを修正し、かつ前記受信データに関連付けられた閾値を上回る前記リスクスコアについては、前記車両の安全モードを作動するように、かつ
前記受信データが悪質であると示す前記クラウドからの又は前記別の車両からの前記レポートの受信については、前記車両の前記安全モードを作動するように
構成されている、請求項１１に記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本出願は概して、車両システムを対象とし、より具体的にはクラウド・エッジ車両異常検出を対象とする。
【背景技術】
【０００２】
関連技術の実施形態において、車両システムは益々複雑に、かつ外界に接続されるようになってきており、そのため、車両の内部ネットワーク及びシステムにおけるアタック・サーフェス及び脆弱性の増加をもたらしている。
【０００３】
関連技術の実施形態において、ネットワークの異常検出は、送信されたデータを考慮するのみかもしれない。図１は、既存のネットワーク異常検出システムの図を示す。かかる関連技術のネットワーク異常検出システム１００では、ネットワークデータ１０１が異常検出システム１００によって受信され、これが典型的異常分析方法１０２に送られる。その後、典型的異常分析方法１０２の結果を使用して、１０３にて受信データについてアラートを発信し、異常を検出する。
【発明の概要】
【課題を解決するための手段】
【０００４】
本開示の態様は、プロセスを実行するための命令を記憶する非一時的コンピュータ可読媒体を含み得る。前記命令は、車両に関連付けられたデータの１つ以上のタイプに複数の分析モデルのそれぞれを関連付けるモデル管理情報、及び前記車両の稼働状況を管理することと、前記車両に関連付けられた受信データについて、及び別の車両又はクラウドからのレポートを受信しないことについて、前記受信データのタイプを前記車両及び前記車両の前記稼働状況から判断することと、前記車両に関連付けられた前記受信データの前記判断されたタイプ、前記車両の前記判断された稼働状況、及び前記モデル管理情報に基づいて、前記複数の分析モデルのうち１つ以上の分析モデルを選択することと、前記受信データの異常判断を生成するために、前記受信データについて前記選択された１つ以上の分析モデルを実行することとを含み得る。
【０００５】
本開示の態様は、車両に関連付けられたデータの１つ以上のタイプに複数の分析モデルのそれぞれを関連付けるモデル管理情報、及び前記車両の稼働状況を管理することと、前記車両に関連付けられた受信データについて、及び別の車両又はクラウドからのレポートを受信しないことについて、前記受信データのタイプを前記車両及び前記車両の前記稼働状況から判断することと、前記車両に関連付けられた前記受信データの前記判断されたタイプ、前記車両の前記判断された稼働状況、及び前記モデル管理情報に基づいて、前記複数の分析モデルのうち１つ以上の分析モデルを選択することと、前記受信データの異常判断を生成するために、前記受信データについて前記選択された１つ以上の分析モデルを実行することとを含み得る方法を含み得る。
【０００６】
本開示の態様は、車両に関連付けられたデータの１つ以上のタイプに複数の分析モデルのそれぞれを関連付けるモデル管理情報、及び前記車両の稼働状況を管理するように構成されたメモリと、前記車両に関連付けられた受信データについて、及び別の車両又はクラウドからのレポートを受信しないことについて、前記受信データのタイプを前記車両及び前記車両の前記稼働状況から判断し、前記車両に関連付けられた前記受信データの前記判断されたタイプ、前記車両の前記判断された稼働状況、及び前記モデル管理情報に基づいて、前記複数の分析モデルのうち１つ以上の分析モデルを選択し、かつ前記受信データの異常判断を生成するために、前記受信データについて前記選択された１つ以上の分析モデルを実行するように構成されたプロセッサとを有する、車両プラットフォームを備え得る、システムを含み得る。
【０００７】
本開示の態様は、車両に関連付けられたデータの１つ以上のタイプに複数の分析モデルのそれぞれを関連付けるモデル管理情報、及び前記車両の稼働状況を管理する手段と、前記車両に関連付けられた受信データについて、及び別の車両又はクラウドからのレポートを受信しないことについて、前記受信データのタイプを前記車両及び前記車両の前記稼働状況から判断する手段と、前記車両に関連付けられた前記受信データの前記判断されたタイプ、前記車両の前記判断された稼働状況、及び前記モデル管理情報に基づいて、前記複数の分析モデルのうち１つ以上の分析モデルを選択する手段と、前記受信データの異常判断を生成するために、前記受信データについて前記選択された１つ以上の分析モデルを実行する手段とを含み得る、システムを含み得る。
【図面の簡単な説明】
【０００８】
【図１】図１は、既存のネットワーク異常検出システムの図を示す。
【図２】図２は、一実施例に従った異常検出システムの図を示す。
【図３】図３は、一実施例に従った車両及びクラウド通信の異常検出システムの図を示す。
【図４】図４は、一実施例に従ったローカル車両プラットフォームのアーキテクチャの展開を示す。
【図５】図５は、一実施例に従った所定のデータメッセージを評価するための異常検出システムのプロセスフローチャート例を示す。
【図６】図６は、一実施例に従った分析に使用するモデルグループの階層を示す。
【図７】図７は、一実施例に従った分析に使用されるモデルグループのリスト例を示す
【図８】図８（ａ）及び図８（ｂ）は、一実施例に従った２つのデータモジュール例（１つは車両ローカルエリアネットワーク（ＬＡＮ）データ用で、もう１つはカーエリアネットワーク（ＣＡＮ）データ用）のプロセス図を示す。
【図９】図９は、一実施例に従ったＣＡＮパケットをシステムフォーマットに復号かつ変換するＣＡＮデータモジュールの例を示す。
【図１０】図１０は、一実施例に従ったデータモジュールデータベースのデータベースエントリの例を示す。
【図１１】図１１は、一実施例に従ったローカルセキュリティ管理システムのプロセスフロー例を示す。
【図１２】図１２は、一実施例に従った遠隔セキュリティオペレーションセンターのローカルセキュリティ管理プロセスのプロセスフローを示す。
【図１３】図１３は、一実施例に従ったクラウドモデル管理システムの図例を示す。
【図１４】図１４は、一実施例に従ったクラウドセキュリティ管理機能３０１の図を示す。
【図１５】図１５は、一実施例に従った異常なパケットがＣＡＮバスに投入されたことに反応するローカル異常検出システムのプロセスフロー例を示す。
【図１６】図１６は、中速度の高速道路上の悪質な装置が、多数の車両のセンサデータを妨害している場合の、一実施例に従った別のフロー例を示す。
【図１７】図１７は、悪質なペイロードがモバイルネットワークを通して駐車した車両にダウンロードされている場合の、一実施例に従った別のプロセスフロー例を示す。
【図１８】図１８は、いくつかの実施例で使用するのに適したコンピュータ装置の例でのコンピューティング環境例を示す。
【発明を実施するための形態】
【０００９】
以下の詳細な説明は、本出願の図面及び実施例のさらなる詳細を提供する。図面間で重複する要素の符号及び説明は、明確にするために省略される。この説明全体に亘って使用される用語は、例として提供され、制限することは意図されていない。例えば、「自動」という用語の使用は、本出願の実施形態を実施する当業者の望ましい実施形態に応じて、実施形態の特定の態様についてのユーザ又は管理者の制御を伴う全自動又は半自動実施を含んでよい。ユーザインターフェース又はその他の入力手段によりユーザが選択を行うことができ、又は望ましいアルゴリズムによって選択を実施することができる。本明細書で説明する実施例は、単独で又は組み合わせて利用することができ、かつ実施例の機能性は、望ましい実施形態に係るあらゆる手段によって実施することができる。
【００１０】
実施例は、車などの車両に提供されるデータについての既存の異常検出システムの改良を対象とするものであり、なぜならば、関連技術システムは、車両に入って来るデータを考慮することのみに限定され得るからである。よって実施例は、カーエリアネットワーク（ＣＡＮ）、車両ローカルエリアネットワーク（ＬＡＮ）、位置データ等の複数のソースからのデータに及ぶ異常検出システムを対象とする。複数のソースを使用することによって、実施例は、受信データに基づいて使用する異なるモデルを考慮する分析機能を利用し、これにより、異常検出率及び精度率を改良することができる。
【００１１】
実施例は、検出データを共有するために他のカープラットフォームとの通信を容易にするように、また更新済みの検出データを取得しかつ結果を検証するために、セキュリティオペレーションセンター（例えば遠隔の）との通信を容易にするように構成された異常検出システムを含む。
【００１２】
図２は、一実施例に従った異常検出システムの図を示す。車両プラットフォームにおいて、車両内には多くの異なるデータソースやネットワークが、及び車両用の異なる稼働条件（例えば、駐車、走行など）があり得る。グループから状態特有のモデルを使用することによって、かつ複数のソースからのデータを計算に入れることによって、異常検出システムは、図２に示される通り、精度を改良することができる。
【００１３】
図２の例において、車両に提供することができるローカル異常検出システム２００がある。ローカル異常検出システム２００は、モデルグループ２０１を含み得るもので、このモデルグループ２０１から状態特有のモデルが選択され、かつ先進分析機能２０３に供給されて、２０４にて入力データの異常を検出する。先進分析機能２０３は、データモジュール２０２からデータを受信し、かつモデルグループ２０２からの供給されたモデルに基づいて異常２０４を検出するように構成されている。データモジュール２０２は、データの様々なソースを包含することができ、これはデータタップ２０２−１を通して供給され、その後、データ変換／復号プロセス２０２−２を通して変換されて、先進分析機能２０３による処理のためのフォーマットのデータを提供する。
【００１４】
図３は、一実施例に従った車両（例えば、Ｖ２Ｘ）及びクラウド通信の異常検出システムの図を示す。図３に示す通り、車両通信を通して、かつクラウドセキュリティオペレーションセンターにより、他の車両の処理結果と共にローカル車両異常検出システム２００の処理結果を配信することによって、異常検出の精度や速度、及びシステムの有用性をさらに改良することができる。実施例は、車両が、それ自体のデータメッセージの評価を支援するために、他の車両の異常検出システム及びコアセキュリティセンターからの異常レポートを受信することを容易にする。
【００１５】
それぞれのローカルカープラットフォーム３２０上では、車両は、電子制御装置（ＥＣＵ）からのＣＡＮバス３３０からのＣＡＮメッセージ、ローカルエリアネットワーク（ＬＡＮ）３３１（テレマティクス装置又はインターネット接続されたサービスからの車両ＬＡＮなど）上のインターネットプロトコル（ＩＰ）データ、汎用パケット無線サービス（ＧＰＲＳ）センサからの全地球測位衛星（ＧＰＳ）位置データ又はテレマティクス３３２、又は運転制御機器からの運転制御状態３３３などの様々なデータソースからのいくつかの入力を有する。車はまた、電子制御装置、テレマティクス接続された装置又はその他の車機能での安全モードを有効にすることによって、ローカル異常検出システム３２２によって生成されるレポート結果及びアラートに反応するように構成された、ローカルセキュリティ管理システム３２１を有する。
【００１６】
ローカルカープラットフォーム３２０は、望ましい実施形態に従った通信方法によって他のエッジカープラットフォーム３１０に通信可能に接続されるように構成されている。各エッジカープラットフォーム３１０は同様に、ローカルカープラットフォーム３２０に構成され、かつ対応するローカルセキュリティ管理システム３１１及びローカル異常検出システム３１２を有し得る。
【００１７】
遠隔セキュリティオペレーションセンター３００は、ローカルカープラットフォーム３２０及び１つ以上のエッジカープラットフォーム３１０の両方を管理するように構成されている。遠隔セキュリティオペレーションセンター３００は、セキュリティ管理機能３０１、クラウド異常検出システム３０２及びモデル更新管理システム３０３を含み得る。セキュリティ管理機能３０１は、図１２及び図１４について説明されるように、受信データに基づいて緊急アラートを発行するように構成されている。クラウド異常検出システム３０２は、図１２について示される通り、データが異常であるか否かを評価するように構成されている。モデル更新管理システム３０３は、図４で説明される通り、ローカルカープラットフォーム３２０及びエッジカープラットフォーム３１０によって使用されたモデルにアップデートを提供するように構成されている。
【００１８】
図４は、一実施例に従ったローカル車両プラットフォーム４１０の展開アーキテクチャを示す。図４のアーキテクチャでは、データモジュールは、データを受信し、受信データを望ましいフォーマットに処理し、かつ異常検出システムのためにデータを提供するために利用される。データは、格納用のデータベースと異常検出システムの両方に提供され、この異常検出システムは、対応するモデルグループから選択されたモデルに基づくメッセージのそれぞれを分析する。異常検出システムの結果は、検出結果ログに格納され、かつ当該結果に基づいて作用する管理システムに提供される。
【００１９】
車両の可能なデータソースは、ＣＡＮバス３３０、ＬＡＮ３３１、ＧＰＳ及びテレマティクス３３２、及び運転制御３３３を含むが、望ましい実施形態に応じてその他のあらゆるデータソースを含み得る。これらのデータソースは、異常検出システム４２０のために受信されたデータ他のタイプに対応して、ＣＡＮデータモジュール４３０、ＬＡＮデータモジュール４３１、ＧＰＳデータモジュール４３２、及び運転状態モジュール４３３などのデータモジュールによって読み出される。これらのデータモジュールは、データソースからモジュール入力データベース４２５（将来的な利用のためにデータを格納する）と、先進分析機能４２７へと、処理済みのメッセージを出力する。
【００２０】
ＣＡＮバス３３０は、カーエリアネットワーク（当該カーエリアネットワーク上で、ＥＣＵ４１４の一部又はすべてが通信のために利用する）である。望ましい実施形態に応じて、それ自体のＥＣＵ４１４のセットと関連付けられた複数のＣＡＮネットワークがあり得、またＣＡＮバス３３０に接続されていないＥＣＵ４１４もあり得る。ＬＡＮ３３１は、無線スクリーン、ソフトウェア更新、コントローラなどのシステム間での通信を容易にするために利用することが可能あり、車両ＬＡＮとして実装することができる。ＧＰＳ及びテレマティクス３３２は、車両の装置からのデータの取り込みを容易にする。運転制御３３３は、車両が駐車又はニュートラルにあるか否か、又はＡＤＡＳなどの運転支援が有効となっているか又は無効となっているかについての情報を提供できる。
【００２１】
先進分析機能４２７は、データメッセージが異常、悪質又は安全であるかを判断し、かつ将来的に格納するためにローカルセキュリティ管理システム及び異常検出結果ログ４２６にその結果を出力するように構成されている。先進分析機能４２７はさらに、データメッセージを分析するために受信した異常結果を使用して、他のプラットフォーム４４０の異常検出システムと協働するように構成され、かつ望ましい実施形態に従って他のプラットフォーム４４０に異常結果を出力できる。
【００２２】
データを分析する際に、先進分析機能４２７は、異なるモデルグループから検出モデル４２１の選出を用いるように構成されている。これらのモデルグループは、製造業者提供のモデルグループ４２３及び履歴モデルグループ４２２を含み得る。履歴モデルグループ４２２は、履歴データ及びモジュール入力データベース４２５に格納されたデータに実施される通り、機械学習アルゴリズム又はその他の方法に基づいて生成される異常モデルを含み、かつモデルトレーニング機能４２４によって更新することができる。モデルトレーニング機能４２４は、モジュール入力データベース４２５に格納された履歴メッセージを使用する。製造業者提供のモデルグループ４２３は、異常を検出するために、車両の製造業者によって提供されるモデルを含む。このようなモデルの例は、図６及び図７について提供されている。
【００２３】
ローカルセキュリティ管理システム４１１は、異常検出システム４２０によって提供されたレポートに基づいて動作するように構成されている。かかる動作は、ユーザへの可視化の提供、安全モードの作動などを含み得る。
【００２４】
ローカルセキュリティ管理システム４１１は、ローカル車両プラットフォーム４１０のオペレータに異常検出の可視化を提供するために、インターフェースでやり取りできる可視化４１２を備えて構成することができる。安全モード制御４１３は、ＥＣＵ４１４での通信を通して、かつテレマティクス４１５を通して、車両の安全モードを呼び出すことができる。ＥＣＵ４１４は、望ましい実施形態に応じて、ブレーキセンサ、タイヤ圧などを読み取るなど、車両の内部でデータを処理するように構成されている。ＥＣＵ４１４のそれぞれは、センサ情報を受信し、かつ受信したセンサ情報に基づいて機能を実行し、かつＣＡＮバス３３０を介して車両で通信するように、相互依存であり得る。ＥＣＵ４１４のそれぞれは、データソースに基づくメッセージを読み取るか否かを判断するために、受信データを分析する。テレマティクス４１５は、ＧＰＳなどの遠隔ユニット、遠隔ヘルプサービス、その他の車両又はエッジプラットフォームなどへの無線又はその他の通信を受信するように構成された装置を含み得る。万が一、ローカルセキュリティ管理システム４１１が、受信データは異常又は悪質であると判断した場合、それによって安全モード制御４１３は、安全モード用の望ましい実施形態に基づいてＥＣＵ又はテレマティクス４１５を制御し、かかる制御は、ＥＣＵ４１４によって受信されたデータのフィルタリング、どのデータを利用するかについてのＥＣＵ４１４に対する命令、どのデータを利用し、又はどのデータを処分するかなどについてテレマティクス４１５に対する命令を含み得る。ローカルセキュリティ管理システム４１１のさらなる詳細については、図１１について提供される。
【００２５】
遠隔セキュリティオペレーションセンター４００は、多くのエッジ車両プラットフォームのためのコアプラットフォームとして機能する。図４に示す通り、遠隔セキュリティオペレーションセンター４００は、エッジ車両データを評価するためのクラウド異常検出システム３０３と、履歴学習モデルグループ及びその他のモデルグループを更新し、かつこれらをエッジに配信するためのクラウドモデル更新管理システム３０２と、セキュリティ状況全体を直接評価し、かつエッジプラットフォームを制御するためのクラウドセキュリティ管理機能３０１とを含む。セキュリティ管理機能３０１は、可視化４０２及びセキュリティ情報インジケーター４０３を含み得る。可視化４０２は、視覚的分析を提供し、かつ遠隔セキュリティオペレーションセンター４００のオペレータに対して、管理されたローカル車両プラットフォーム４１０及びエッジ処理車両４４０に発生した異常を示すように構成され得る。さらに、セキュリティ管理機能３０１の詳細は、図１４について提供される。遠隔セキュリティオペレーションセンター４００は、図１２に示される通り、フローの機能性を促進するために、クラウド異常検出システム３０３及びクラウドセキュリティ管理機能３０１を利用することができる。
【００２６】
図５は、一実施例に従って所定のデータメッセージを評価するために、異常検出システムについてのプロセスフローチャート例を示す。このシステムは、受信したデータに基づいて車両の現在の状態を評価し、どの検出モデルを使用するかを判断するためにこれを使用する。検出モデルは、受信データのタイプ（例えば、ＣＡＮ、ＬＡＮ、ＧＰＳ、運転）、受信データの値（例えば速度値対モデルに適用可能な速度値の範囲、温度値対モデルに適用可能な温度値の範囲）、受信データのモデル変異形グループ（例えば、ＡＤＡＳ又は無し）などと、適用する適切なモデルを判断するために図６及び図７に説明されている通りのモデルグループ分類につついての管理情報とのマッチングに基づいて選択される。データは、図８（ａ）、図８（ｂ）及び図９に示される通り、対応するモジュールに従って処理される。
【００２７】
５００では、図４の１つ以上のデータモジュール（例えば、ＣＡＮデータモジュール４３０、ＬＡＮデータモジュール４３１、ＧＰＳデータモジュール４３２、及び運転モジュール４３３）からデータが取り込まれ、５０１で車両の現在の運転状態が判断される。実施例では、先進分析機能４２７が、受信データに基づいて車両の運転状態（例えば、望ましい実施形態に応じて、ＣＡＮデータ及びＧＰＳデータに基づいて車両が動いているか否か、ＣＡＮデータに基づいて車両のギア状態など）を判断する。運転状態がアイドルであると見なされる場合（アイドル）、フローは５０２に進み、先進分析機能４２７は、検出モデル４２１からアイドルモードの車両に関連するモデルを抽出する。運転状態がリバースであると見なされる場合（リバース）、フローは５０３に進み、先進分析機能４２７は、検出モデル４２１から駐車又はリバースモードの車両に関連するモデルを抽出する。その他の場合、つまり運転状態が走行中であると見なされる場合（走行中）、フローは５０５に進み、先進分析機能４２７は、車両の速度分類を判断する（例えば、実施形態の望ましい閾値速度範囲に応じて、低、中、又は高と判断）。
【００２８】
例えば、速度分類が低である場合（低）、フローは５０４に進み、先進分析機能４２７は、検出モデル４２１から駐車又はリバースモードの車両に関連するモデルを抽出する。速度分類が高の場合（高）、フローは５０６に進み、先進分析機能４２７は、検出モデル４２１から高速度の車両に関連するモデルを抽出する。その他の場合、つまり速度分類が中である場合（中）、フローは５０７に進み、先進分析機能４２７は、検出モデル４２１から中速度の車両に関連するモデルを抽出する。
【００２９】
５０８では、先進分析機能４２７は、受信データから（例えば、ＣＡＮデータから）車両の先進運転支援システム（ＡＤＡＳ）状態を判断する。ＡＤＡＳシステムが有効化される場合（有効化）、フローは５０９に進んで、検出モデル４２１から選択されたモデルのＡＤＡＳバージョンを選択する。その他の場合（無効化）、フローは５０９のフローをスキップして５１０に進む。
【００３０】
５１０では、クラウド（例えば遠隔セキュリティオペレーションセンター４００）又はその他のエッジ処理車両４４０のいずれかによって処理されたデータに関して、異常レポートが受信されたか否かについて、先進分析機能４２７が判断を行う。異常レポートが受信され、かつ当該レポートが高リスクレポートである場合（Ｙｅｓ、高リスクレポート）、フローは５１１に進み、異常分析のためのリスク閾値を低減させる。その他の場合（Ｙｅｓ）、データが悪質であることを示す受信レポートについては（悪質レポート）、フローは５１３に進み、データを異常とマークする。レポートが、データは安全であると示す場合（安全レポート）、フローは５１４に進み、データを安全とマークする。当該レポートについてのさらなる詳細は、図１２に関して提供される。
【００３１】
５１２では、先進分析機能４２７は、データが異常であるかを判断するために、受信データに対して抽出されたモデルを利用する。当該データが異常と分析された場合（異常と分析された）、フローは５１３に進み、データを異常とマークして、かつローカルセキュリティ管理システム４１１に送信するためのアラートを生成する。その他の場合、つまりデータが安全と分析された場合（安全と分析）、フローは５１４に進み、データを安全とマークする。５１５では、先進分析機能４２７は、異常検出ログ結果４２６に分析結果の記録をつけ、その結果に基づいてローカルセキュリティ管理システム４１１にアラートを提出する。
【００３２】
実施例において、モデルグループ間の差異は、安全であると報告するために許容可能と見なされるデータ範囲及びパターンを含み得る。データが、モデルが許容可能であると設定した範囲から外れている場合、当該データは、異常又は悪質であるとマークされ得る。例えば、前方向加速を報告するセンサからのデータは、アイドルモデルでは異常とマークされ得るが、運転状態モデルでは安全とマークされる。特定量におけるエンジン毎分回転数（ＲＰＭ）値を継続して報告するＥＣＵからのデータは、低速度モデルでは異常とマークされ得るが、中速度及び高速度モデルでは安全とマークされ得る。１秒前の前回のＧＰＳデータから車両が１０フィートしか動いていないことを示すＧＰＳデータは、中速度、高速度又はアイドルモデルでは異常とマークされ得るが、低速度モデルでは安全とマークされ得る。時速７０マイル（ｍｐｈ）に設定された走行制御を報告する運転制御からのデータは、アイドル、低速度及び中速度モデルでは異常又は悪質アラートのトリガーとなり得るが、高速度モデルでは安全とマークされ得る。ＡＤＡＳ状態モデルに関しては、当該モデルは、ＡＤＡＳ関連ＥＣＵ及びその他のソースによって生成されたデータを許容可能と判断し得るが、非ＡＤＡＳモデルは、当該データを安全であると許容はしないであろう。例えば、レーンキープアシストシステムからのステアリング制御に送信されたコマンドを含むＥＣＵデータは、ＡＤＡＳモデルによって安全とマークされ得るが、非ＡＤＡＳモデルによって異常又は悪質とマークされ得る。従って、入力データ及び車両の状態に基づいて選択されたデータは、非異常なデータ対異常なデータについてのデータ範囲を決めることになる。
【００３３】
図６は、一実施例に従った分析に使用するモデルグループの階層を示す。図４に示されかつ図５で説明されている通り、異常検出システムプロセスの間、分析に使用されるモデルがモデルグループから選択される。各モデルグループは、特定のデータタイプを評価するための特有のモデルを含む。これらモデルグループは、その特有の用途に基づいてさらにグループ分けすることができる。図６は、かかるモデルグループの階層例を示す。上層レベル６００では、モデルグループは、過去データに基づく履歴モデルグループ４２２又は製造業者によって提供される製造業者モデルグループ４２３など、これらがどのようにして作られたかによって指定される。各グループ内には、特定の２値の車両状態に関連する変異形モデルグループ（ＡＤＡＳが無効である場合に動作する正常変異形モデルグループ６０１と、補助運転及び自動運転が機能している場合のために設計されているＡＤＡＳ変異形モデルグループ６０２など）が存在し得る。
【００３４】
その上、最低レベルのモデルグループは、車の運転状態（中速度モデルグループ６０３については中速度と見なされる速度範囲内で、かつ高速度モデルグループ６０４については高速度と見なされる速度範囲内で作動する車両）に基づいて分けられる。かかるモデルグループは、処理されたデータのタイプに基づく特有のモデル（ＣＡＮデータモジュール４３０から処理されたデータについてはＣＡＮデータモデル６１１、ＬＡＮデータモジュール４３１から処理されたデータについてはＩＰデータモデル６１２、ＧＰＳデータモジュール４３２から処理されたデータについてはＧＰＳデータモデル６１３、ＣＡＮデータモジュール４３０及び運転状態モジュール４３３などのセンサから処理されたデータについてはセンサデータモデル６１４、運転状態モジュール４３３から処理された運転状態データモデル６１５、及びＬＡＮデータモジュール４３１からのモバイルネットワークデータモデル６１６など）も有し得る。
【００３５】
図７は、一実施例に従った分析に使用されるモデルグループのリスト例を示す。当該情報は、利用可能なモデルのインデックスとしての管理情報として、又は望ましい実施形態に係るその他の方法により、メモリに格納することができる。かかる指標付け情報は、モデル名７０１（例えば、ＣＡＮ高速度モデル、ＣＡＮ高速度ＡＤＡＳモデル）、モデルグループ親７０２（例えば高速度モデルグループ、中速度モデルグループ）、モデル修飾子グループ７０３（例えば、ＡＤＡＳ、無し）、データタイプ７０４（例えば、ＣＡＮ、ＧＰＳ、ＬＡＮ）、及び使用のトリガー７０５（例えば、車の状態が低速度である（＜２５ｍｐｈ）、車の状態が、ＡＤＡＳが低速度で有効化される）を含み得る。例えば、ＣＡＮ高速度モデルは、高速度モデルグループの一部であり、かつ図５に示される通り、受信したデータタイプがＣＡＮであり、車の状態が高速度であり（＞５５ｍｐｈ）、かつＡＤＡＳが関与していない場合にトリガーされる。他の指標付け情報は、望ましい実施形態に従って利用することができる。図５に示される通り、モデルは、受信データのパラメータ（データタイプ、モデル変異形、使用のトリガー等）と、図６及び図７に示されるモデルの管理情報とのマッチングに基づいて選択される。
【００３６】
図８（ａ）及び図８（ｂ）は、一実施例に従った２つのデータモジュール例（１つは車両ＬＡＮデータ用で、もう１つはＣＡＮデータ用）のプロセス図を示す。
各モジュールについて、ソースからデータを読み取ることができるようにするタップがある。その後、このデータは異常検出システムによって使用することができるフォーマットに変換かつ復号される。図８（ａ）の例では、車両ＬＡＮデータモジュール８００は、車両ＬＡＮ８０３からデータを受信するとともに、車両ＬＡＮ８０３からデータを受信するように構成されたイーサネット（登録商標）タップ８０２で構成されている。その後、当該データは、データ変換／復号プロセス８０１により変換されて、モジュール入力データベース４２５による処理のためにデータを再構築する。図８（ｂ）の例では、ＣＡＮデータモジュール８１０は、ＣＡＮバス８１４からデータを受信するとともに、ＣＡＮバス８１４からデータを受信するように構成されたＣＡＮインターフェースタップ８１３で構成されている。その後、ＣＡＮデータ内の該当情報を復号かつ抽出するように構成されたＣＡＮデータデコーダ８１２と、モジュール入力データベース４２５による処理のためにデータを再構築するように構成されたデータ構造化８１１とを使用することによって、当該データは変換される。
【００３７】
図９は、一実施例に従ったＣＡＮパケットをシステムフォーマットに復号かつ変換するＣＡＮデータモジュールの例を示す。ＣＡＮデータモジュールのフロー９００で示される通り、９０１において、ＣＡＮバスデータは、９０２でＣＡＮインターフェースタップに供給され、９０３で変換及び復号機能によって処理され、その後、９０４で出力がモジュール入力データベース４２５に提供される。ＣＡＮバスデータのフォーマット例は９０５に示され、９０５は、識別子（ＩＤ）高バイト、ＩＤ低バイト、ペイロード長、データペイロードを含み得る。９０３のフローで処理された変換及び復号の後、ＣＡＮデータは、９０６に示される通り変換されてもよく、９０６は、タイムスタンプ、データタイプ、データソース識別子、値タイプ、及びペイロード値を含み得る。その後、図１０に示される通り、データをモジュール入力データベース４２５に入力することができる。
【００３８】
図９のアーキテクチャ例によって示される通り、タップによりデータが取り込まれると、データは、データベースへの入力のための共通フォーマットに復号かつ変換される。図９の例では、ＣＡＮフォーマット９０５は、高バイト、低バイト、及びペイロードを有する。従って、復号機能は、９０６に示される通り、高バイト及び低バイトをデータソースに翻訳することになり、かつさらにペイロードをペイロード値及びペイロードタイプに翻訳する。
【００３９】
図１０は、一実施例に従ったデータモジュールデータベースのデータベースエントリの例を示す。図９の９０６のデータフォーマット例に示される通り、当該データは、図１０に示される通りデータベースエントリに入力される。当該エントリは、各データエントリを個別にマークするメッセージ１００１ごとの固有のデータＩＤ、エントリが作られた時のタイムスタンプ１００２、ネットワークアプリケーションでネットワークトランザクションが発生した時を示すネットワークトランザクションタイムスタンプ１００３、メッセージのデータタイプを示すデータタイプ１００４、メッセージのソース１００５及び送信先１００６、当該メッセージが含む値のタイプ１００７、及び復号された又は実際のペイロード値１００８を含み得る。その後、図５のフローに従って、モデルはデータに適用される。
【００４０】
図１１は、一実施例に従ったローカルセキュリティ管理システム４１１のプロセスフロー例を示す。実施例では、ローカルセキュリティ管理システム４１１は、安全、異常又は悪質として検出された異常を処理するように構成されている。図１１の実施例により、ローカルセキュリティ管理システム４１１は、受信したデータが悪質であるとの判断か、又は受信した疑わしいもしくは異常なパケットの数を考慮した、追跡したリスク変数のいずれかに基づいて、通常操作を継続すべきか、又は安全モードを有効にするかを判断できる。かかる実施形態の場合、疑わしい又は異常なパケットの数が特定の閾値を上回る場合、安全モードをトリガーすることができる。
【００４１】
１１００において、ローカルセキュリティ管理システム４１１がローカル異常検出システム４２０から異常又は悪質アラートを受信した場合、ローカルセキュリティ管理システム４１１は、どのアラートタイプを受信したかに基づいて、１１０３で取る動作を決定する。セキュリティ管理システム４１１は、所定の時間窓の中で何個の異常レポートを受信するかによって決められるリスクレベル変数の跡を辿ることができる。データが安全であると判断された場合、フローは１１０２に進み、車両の通常操作を継続する。その他の場合、つまりデータが異常であると判断された場合（異常）、フローは１１０４に進んでリスク変数ｒを増加させ、その後１１０５に進んで、リスク変数ｒをリスク閾値ｔと比較する。リスク変数ｒがリスク閾値ｔよりも大きい場合（ｒ＞ｔ）、フローは１１０６に進み、車両プラットフォーム上の安全モード機能を有効にする。安全モード機能は、特定のソースからのデータを無視するように制御部に指示すること、又はネットワーク接続又は自動運転機能を無効にすることを含み得る。リスク変数ｒがリスク閾値ｔを上回らない場合（ｒ＜＝ｔ）、フローは１１０７に進んで通常操作を進める。１１０８において、ローカルセキュリティ管理システム４１１は、遠隔セキュリティオペレーションセンター４００に異常アラートを出力するように構成されている。
【００４２】
さらに、１１０１のフローで示される通り、ローカルセキュリティ管理システム４１１は、遠隔セキュリティオペレーションセンター４００からの又は望ましい実施形態に応じてその他のエッジ車両４４０からのセキュリティ緊急事象のレポートを受信してよい。このような状況において、当該レポートは、受信データが悪質であると（悪質）、ローカルセキュリティ管理システム４１１に直接指示することができ、その際、ローカルセキュリティ管理システム４１１は１１０６で安全モードを有効にできる。このようにして、悪質データに関するレポートは、遠隔セキュリティオペレーションセンター４００からローカル車両プラットフォーム４１０へと直接提供され得る。
【００４３】
図１２は、一実施例に従って遠隔セキュリティオペレーションセンター４００のためのローカルセキュリティ管理プロセスのプロセスフローを示す。遠隔セキュリティオペレーションセンター４００は、車両プラットフォームからレポートを受信して、当該レポートが既に以前処理されたことがあるかを判断するように構成されている。そのように判断された場合、レポートは維持され、車両プラットフォームに出力される。遠隔セキュリティオペレーションセンター４００は、図１３にさらに詳細が説明される通り、クラウドとして機能し、かつ継続的に更新される。１２００において、ローカルセキュリティ管理システム４１１はエッジ異常検出システムから車両異常レポート及び関連データメッセージを取り込む。１２０１において、ローカルセキュリティ管理システム４１１は、クラウド上のレポートのデータベースに対してレポート及びデータ・マッチング比較を実行する。一致した場合（一致）、フローは１２０３に進み、データベースからのクラウドレポート結果を使用する。一致しない場合（不一致）、フローは１２０２に進み、エッジプラットフォームが正しいかを判断するために、同じモデルを使用することにより関連データについて評価分析を実行する。１２０４において、クラウド結果が車両の結果と一致するか否かについて判断がなされる。一致しない場合（Ｎｏ）、フローは１２０５に進み、クラウドによって判断された結果が車両エッジプラットフォームに出力される。その他の場合（Ｙｅｓ）、フローは１２０６に進み、データベースに、かつ車両エッジプラットフォームのその他の異常検出システムにクラウド異常レポートを出力する。
【００４４】
図５に示される通り、レポートタイプの例としては、高リスクレポート、悪質レポート、及び安全レポートを含み得るが、望ましい実施形態に従ってその他のレポートも利用してよい。レポートのタイプは、遠隔セキュリティオペレーションセンター４００のオペレータによる決定に基づいて判断することができ、又は、望ましい実施形態及び受信したデータのタイプに応じて自動的に行うことができる。安全レポートを伴う一実施例では、まだモデルアップデートを受信していない車両からの古いモデルに起因する異常レポートは、データのパラメータを変更する新しいソフトウェアのインストールにより、又はその他の方法により、安全レポートとしてタグ付けすることができ、従って当該データは、対応する車両プラットフォームによって安全とマークすることができる。
【００４５】
高リスクレポートを伴う一実施例では、深刻な部品故障、リコールする必要がある欠陥部品、又は部品もしくはセンサ故障の大量受信、又は特定の車両タイプについての閾値を超える数の異常に起因する受信データについては、同じ製造業者を有する残りの車両すべてについて、異常閾値を減少させる必要があるかもしれない。よって、このような異常データの受信は、管理された車両プラットフォームについて閾値検出を減らすために高リスクレポートを送信するよう命令をトリガーし得る。高リスクレポートについてその他の実施形態も利用してよく、本開示は特にこれに制限されない。
【００４６】
悪質レポートを伴う一実施例では、ハッキングされたデータとして遠隔セキュリティオペレーションセンター４００によって認識されたデータは、悪質とマークされてもよい。当該データは、データの整合性を検証するためチェックサムもしくはその他の方法の利用を含み得るものであり、又はその他あらゆる望ましい実施形態により得る。よって、改竄又はハッキングの疑いのあるデータは悪質とマークすることができ、かつ望ましい実施形態に従って管理されている車両プラットフォームに当該レポートを配信することができる。
【００４７】
これらの実施例により、遠隔セキュリティオペレーションセンター４００は、エッジプラットフォームの異常処理を支援するために、有効なクラウド結果をエッジプラットフォームに配信することができる。
【００４８】
図１３は、一実施例に従ったクラウドモデル管理システムの図例を示す。 具体的には、クラウドモデル管理システム１３１０は、クラウドアーキテクチャで実施される通り、遠隔セキュリティオペレーションセンター４００のためのアーキテクチャを示す。このアーキテクチャ例では、クラウドモデル管理システム１３１０はモデルグループを用いて継続的に更新され、当該モデルグループは、その対応する異常検出システムを更新し、必要に応じてこれらを改良するために、車両プラットフォームのすべてに配信することができる。クラウドモデル管理システム１３１０は、レポートを継続的に受信するように構成することもでき、当該レポートは、モデルトレーニングを行い、かつ履歴モデルグループを更新するために利用することができる。
【００４９】
図１３の例では、クラウドモデル管理システム１３１０は、クラウドモデルトレーニング機能１３１１、クラウド履歴モデルグループ１３１２、製造業者モデルグループ１３１３、カスタムモデルグループ１３１４、及び無線（ＯＴＡ）更新サーバ１３１５を管理する。クラウドモデルトレーニング機能１３１１は、クラウド異常レポートデータベース１３００によって提供された履歴異常レポートを通してクラウド履歴モデルグループ１３１２内のモデルをトレーニングするように構成されている。製造業者モデルグループ１３１３は、製造業者が車両プラットフォームのために創作したモデルを記憶し、かつ製造業者によって製造業者モデル入力１３０１により更新することができる。カスタムモデルグループ１３１４は、望ましい実施形態に従ってカスタムモデルを記憶することができ、かつセキュリティオペレーションセンター・カスタムモデル入力１３０２により提供することができる。
【００５０】
望ましいモデルが提供されると、クラウド履歴モデルグループ１３１２、製造業者モデルグループ１３１３及びカスタムモデルグループ１３１４は、無線（ＯＴＡ）更新サーバ１３１５を介して車両異常検出システム１３２０にモデルを提供することができる。図１３に記載される通りの実施形態により、システムは、製造業者、セキュリティオペレーションセンターのオペレータ、又はその他の権限を与えられたソースから入力された更新済みモデルを有することができる。システムは、履歴モデルをトレーニングかつ更新するために、データベースからの履歴異常レポートエントリを取り込むこともできる。これらの更新されたモデルは、ＯＴＡ更新サービスを介してエッジ車両異常検出システムに転送することができる。かかる実施形態は、関連技術の車両プラットフォームの処理能力がより低いため、車両プラットフォームのための関連技術の実施形態を改良することができる。クラウドの実施形態により、車の中で行う処理が限られているため、ニュートラルネットワーク又は機械学習インフラストラクチャを含む図１３のクラウドアーキテクチャで実施されるセキュリティオペレーションセンターは、結果としてより良いモデルトレーニングをもたらし得る。さらに、製造欠陥又はセキュリティ上の脆弱性に応じて新しいモデルを手動入力したいと希望する製造業者は、クラウドアーキテクチャを用いてそのようにすることができる。
【００５１】
図１４は、一実施例に従ったクラウドセキュリティ管理機能３０１の図を示す。クラウドセキュリティ管理機能３０１は、エッジセキュリティ管理システム及びクラウド異常検出システムから異常レポート及びセキュリティ・インシデントを受信する。かかる入力は、完全な車両ネットワークのセキュリティ全体を評価し、示し、かつ可視化するために使用される。可視化４０２は、望ましい実施形態に従って車両ネットワークの検出された異常及びセキュリティ全体に関して可視化を提供することができる。具体的には、遠隔セキュリティオペレーションセンター４００のユーザが、監視された車両プラットフォームすべてに亘ってどのくらいの数の悪質又は異常レポートが受信されたかを判断し、その結果に応じて反応できるように、クラウドセキュリティ管理機能が受信したレポートは、可視化４０２によって集められかつデジタル化することができる。
【００５２】
セキュリティ情報インジケーター４０３は、望ましい実施形態に応じて、ネットワークの状態全般又はネットワークのリスクに関し、管理された車両プラットフォームから受信された異常レポートを示すために利用することができる。望ましい実施形態に応じて、図１１に示される通り緊急セキュリティ事象を放送するなどの方法によって、境界ネットワークにおける車両の安全モード機能を遠隔制御するために、遠隔安全モード制御４０４も提供することができる。
【００５３】
図１５乃至図１７は、図５のフロー図に従ってローカル異常検出システムのプロセスフロー例の実行を示す。具体的には、図１５は、一実施例に従った異常なパケットがＣＡＮバスに投入されたことに反応するローカル異常検出システムのプロセスフロー例を示す。図１５のシナリオでは、車両は高速道路にて高速度で走行して来ているが、交通量のせいで急に速度を落とした。しかし、１５００ではＣＡＮモジュールによって８８ＭＰＨの速度を報告するＣＡＮパケットが取得されている。１５０１では、運転状態は車両が走行中と判断される。１５０２では、ＧＰＳセンサ、加速度計センサ、履歴ＥＣＵデータ、及び交通量の動向データから受信したデータに基づき、１５０３にて速度分類は低速度と判断される。よって、１５０４では、図６及び図７に示される通りモデルグループ用の管理情報とデータパラメータのマッチングに従って、低速度モデルが選ばれ、当該データは低速度モデルで分析される。図１５の例では、ローカル異常検出システムは、受信データについて低速度分析モデルを使用することで、当該データを異常であると特定することができ、かつ１５０５にて、受信メッセージを異常であると示す。１５０６では、結果が記録されかつローカルセキュリティ管理機能に通知される。１５０７では、異常レポートに基づいてリスクレベルが高められ又は安全モードが作動される。
【００５４】
図１６は、中速度の高速道路上の悪質な装置が、多数の車両のセンサデータを妨害している場合の、一実施例に従った別のフロー例を示す。１６００では、不良センサデータが悪意を持って入力されたと想定する。１６０１では、運転状態は車両が走行中であると判断される。１６０２において、ＧＰＳセンサ、加速度計センサ、履歴ＥＣＵデータ、及び交通量の動向データから受信したデータに基づき、速度分類は中速度と判断される。１６０３では、レポートがＶ２Ｘ又はクラウドから受信されたか否かの判断がなされる。この例では、Ｖ２Ｘが、不良センサデータが悪質であると示すレポートを提供したと判断される。よって、１６０４では、メッセージが悪質と分類される。１６０５にて、結果が記録され、かつローカルセキュリティ管理機能に通知される。１６０６では、悪質レポートに基づいて安全モードが作動され、よって、当該データは不良センサからフィルタリングされる。この実施例では、Ｖ２Ｘ通信ネットワーク内のその他の車両の異常検出システムは、既にこのデータを悪質と分類している。センサデータについての共有異常レポートを使用することによって、ローカル異常検出システムは、当該データを異常であると特定し、かつセンサからのデータをフィルタリングするために、安全モードを作動することができる。
【００５５】
図１７は、悪質なペイロードがモバイルネットワークを通して駐車した車両にダウンロードされている場合の、一実施例に従った別のプロセスフロー例を示す。１７００では、不良センサデータが悪意を持って入力されたと想定する（例えば、悪質ネットワークデータが、モバイル広帯域を介して又は無線接続を通して車のネットワーク・アダプタに送信された場合）。１７０１では、運転状態は車両が駐車していると判断される。１７０２では、レポートがＶ２Ｘ又はクラウドから受信されたか否かの判断がなされる。この例では、クラウドが、不良センサデータが悪質であると示すレポートを提供したと判断される。よって、１７０３では、メッセージが悪質と分類される。１７０４にて、結果が記録され、かつローカルセキュリティ管理機能に通知される。１７０５では、悪質レポートに基づいて安全モードが作動され、よって、悪質通信を切り離して終了することができる。この実施例では、クラウド異常検出システムによって、このペイロードのネットワークメッセージは異常であると既に特定されている。クラウドからの共有異常レポートを使用することにより、ローカル異常検出システムは、ネットワークダウンロードを悪質であると特定し、ダウンロードを終了することができる。
【００５６】
図１８は、いくつかの実施例で使用するのに適したコンピュータ装置の例でのコンピューティング環境例を示す。図１８のコンピュータ装置１８０５は、図４で示されている通りの遠隔セキュリティオペレーションセンター４００、ローカル車両プラットフォーム４１０、もしくはその他の接合エッジ車両プラットフォーム４４０、又は図１３で示される通りの遠隔セキュリティオペレーションセンター４００のクラウドアーキテクチャの機能性を促進するためのハードウェアプラットフォームとして利用することができる。コンピューティング環境１８００でのコンピュータ装置は、１つ以上の処理装置、コア、又はプロセッサ１８１０、メモリ１８１５（例えば、ＲＡＭ、ＲＯＭ等）、内部記憶装置１８２０（例えば、磁気、光学、ソリッドステート記憶装置、及び／又は有機）、及び／又は入出力インターフェース１８２５を含むことができ、これらのいずれも、情報を通信するための通信機構又はバス１８３０に接続することができ、又はコンピュータ装置１８０５に埋め込むことができる。
【００５７】
コンピュータ装置１８０５は、入力／ユーザインターフェース１８３５及び出力装置／インターフェース１８４０に通信可能に接続することができる。入力／ユーザインターフェース１８３５及び出力装置／インターフェース１８４０のいずれか一方又は両方は、有線又は無線インターフェースとすることができ、取り外し可能である。入力／ユーザインターフェース１８３５は、入力を行うために使用できるあらゆる装置、部品、センサ又はインターフェース（物理的又は仮想的）（例えば、ボタン、タッチスクリーン・インターフェース、キーボード、ポインティング／カーソル制御、マイク、カメラ、点字、モーションセンサ、光学式読取装置等）を含んでよい。出力装置／インターフェース１８４０は、ディスプレイ、テレビ、モニタ、プリンター、スピーカー、点字等を含んでよい。いくつかの実施例では、入力／ユーザインターフェース１８３５及び出力装置／インターフェース１８４０をコンピュータ装置１８０５に埋め込むか又は物理的に接続することができる。その他の実施例では、他のコンピュータ装置は、コンピュータ装置１８０５用の入力／ユーザインターフェース１８３５及び出力装置／インターフェース１８４０として機能してよく又は当該機能を提供してよい。
【００５８】
コンピュータ装置１８０５の例は、高度モバイル装置（例えば、車両プラットフォームは、車両内でのインストール又は車両システムでの統合のための専用装置として構成してもよい）、モバイル装置（例えば、クラウド実施形態のためのタブレット、ノートブック、ラップトップ、パーソナルコンピュータ等）、及び可動性用に設計された装置（例えば、クラウド実施形態のためのデスクトップコンピュータ、クラウドサーバシステム、ストレージシステム、データ分析用の専用装置等）を含んでよいが、これらに限定されない。
【００５９】
コンピュータ装置１８０５は、外部記憶装置１８４５と、同じ又は異なる構成の１つ以上のコンピュータ装置を含む、いくつものネットワーク化された構成要素、装置、及びシステムと通信するためのネットワーク１８５０とに通信可能に接続することができる（例えば、入出力インターフェース１８２５を介して）。コンピュータ装置１８０５又はいずれの接続されたコンピュータ装置も、サーバ、クライアント、シンサーバ、汎用機、専用機、又はその他の分類とし機能し、そのサービスを提供し、かかる装置として言及することができる。
【００６０】
入出力インターフェース１８２５は、コンピューティング環境１８００内の少なくともすべての接続された構成要素、装置及びネットワークと情報をやり取りするためのあらゆる通信又はＩ／Ｏプロトコルもしくは基準を用いる有線及び／又は無線インターフェース（例えば、イーサネット（登録商標）、８０２.１１x、ユニバーサルシステムバス、WiMax、モデム、移動体通信ネットワークプロトコル等）を含むことができるが、これらに限定されない。ネットワーク１８５０は、あらゆるネットワーク又はネットワークの組み合わせ（例えば、インターネット（登録商標）、ローカルエリアネットワーク、広域ネットワーク、電話通信ネットワーク、移動体通信ネットワーク、衛星ネットワーク等）とすることができる。
【００６１】
コンピュータ装置１８０５は、コンピュータ使用可能又はコンピュータ可読媒体（一時的媒体及び非一時的媒体を含む）を使用し、かつ／又はこれらを使用して通信することができる。一時的媒体は、送信媒体（例えば、金属ケーブル、光ファイバー）、信号、搬送波等を含む。非一時的媒体は、磁気媒体（例えば、ディスク及びテープ）、光学媒体（例えば、ＣＤ  ＲＯＭ、デジタルビデオディスク、ブルーレイディスク）、ソリッドステート媒体（例えば、ＲＡＭ、ＲＯＭ、フラッシュメモリ、ソリッドステート記憶装置）、及びその他の不揮発性記憶装置又はメモリを含む。
【００６２】
コンピュータ装置１８０５は、いくつかのコンピューティング環境例において技術、方法、アプリケーション、プロセス、コンピュータ実行可能命令を実施するために使用することができる。コンピュータ実行可能命令は、一時的媒体から検索することができ、かつ非一時的媒体に記憶し、かつこれから検索することができ。実行可能命令は、あらゆるプログラミング言語、スクリプト言語及び機械言語（例えば、C、C++、C#、Java（登録商標）、Visual Basic、Python、Perl、JavaScript（登録商標）及びその他）のうちの１つ以上から生じることができる。
【００６３】
プロセッサ１８１０は、ネイティブ又は仮想環境においてあらゆるオペレーティングシステム（ＯＳ）（図示されていない）で実行することができる。論理演算装置１８６０、アプリケーションプログラミングインターフェース（ＡＰＩ）ユニット１８６５、入力部１８７０、出力部１８７５、及び互いに、ＯＳと、かつその他のアプリケーション（図示されていない）と通信するための異なるユニット用のユニット間通信機構１８９５を含む、１つ以上のアプリケーションを展開することができる。説明されたユニット及び要素は、デザイン、機能、構成又は実施形態において異なり得るが、提供された説明に限定されない。
【００６４】
いくつかの実施例では、情報又は実行命令がＡＰＩユニット１８６５によって受信された場合、当該情報又は実行命令を１つ以上の他のユニット（例えば、論理演算装置１８６０、入力部１８７０、出力部１８７５）に伝達してよい。いくつかの例では、論理演算装置１８６０は、上記のいくつかの実施例において、ユニット間で情報フローを制御し、かつＡＰＩユニット１８６５、入力部１８７０、出力部１８７５によって提供されたサービスを指示するように構成してよい。例えば、１つ以上のプロセス又は実施形態のフローは、論理演算装置１８６０のみによって又はＡＰＩユニット１８６５と連動して制御してよい。入力部１８７０は、実施例で説明した計算のための入力を取得するように構成してよく、出力部１８７５は、実施例で説明した計算に基づいて出力を提供するように構成してよい。
【００６５】
図４に示される遠隔セキュリティオペレーションセンター４００、ローカル車両プラットフォーム４１０、又はその他の接合エッジ車両プラットフォーム４４０の機能性を促進するコンピュータ装置１８０５の構成の一実施例において、メモリ１８１５は、車両と、図７に示される通りの、かつ図４に示されるようにデータモジュールから受信されたデータから判断される通りの車両の稼働状況とに関連付けられた１つ以上のデータタイプに複数の分析モデルのそれぞれを関連付けるモデル管理情報を管理するように構成できる。当該分析モデルは、図５乃至図７に示す通り、先進運転支援システム（ＡＤＡＳ）用の、アイドル状態の車両用の、及び運転状態の車両用のモデルを含むことができ、かつ図４に示す通り履歴分析学習モデル又は製造業者提供モデルのいずれかである。プロセッサ１８１０は、図４に示す通り受信データに基づいて履歴分析学習モデルにモデルトレーニング機能を実行するように構成することができる。
【００６６】
図４に示す通りローカル車両プラットフォーム４１０の機能性を促進するコンピュータ装置１８０５の構成の一実施例において、プロセッサ１８１０は、車両に関連付けられた受信データについて、及び別の車両又はクラウドからのレポートを受信しないことについて、受信データのタイプを車両及び車両の稼働状況から判断し、車両に関連付けられた受信データの判断されたタイプ、車両の判断された稼働状況、及びモデル管理情報に基づいて、複数の分析モデルのうち１つ以上の分析モデルを選択し、図５のフローに示される通りにかつ図１５乃至図１７のフローに同様に示される通りに、受信データの異常判断を生成するために、受信データについて選択された１つ以上の分析モデルを実行するように構成することができる。受信データが異常であることを示す異常判断については、プロセッサ１８１０はさらに、図５に示されるように、受信データを異常であるとマークし、かつ受信データに基づいて車両についてアラートを生成してもよい。望ましい実施形態に応じて、接合エッジ車両プラットフォーム４４０又は遠隔セキュリティオペレーションセンター４００において、同様の機能性が実施されてよい。
【００６７】
図４に示す通りローカル車両プラットフォーム４１０の機能性を促進するコンピュータ装置１８０５の構成の一実施例において、プロセッサ１８１０はさらに、図５に示される通り、受信データに基づいて車両の稼働状況を判断するように、かつ図８（ａ）及び図８（ｂ）に示される通り、カーエリアネットワーク（ＣＡＮ）及び車両ローカルエリアネットワーク（ＬＡＮ）のうちの一方からのデータの処理から受信データのタイプを判断するように構成することができる。よって、受信データは、カーエリアネットワーク（ＣＡＮ）データ又は車両ＬＡＮデータを含むことができる。望ましい実施形態に応じて、接合エッジ車両プラットフォーム４４０又は遠隔セキュリティオペレーションセンター４００において、同様の機能性が実施されてよい。望ましい実施形態に基づき、図１５に示される通り、車両の稼働状況を判断するために利用される受信データは、加速度計データ、全地球測位衛星（ＧＰＳ）、道路交通量データ、及びエンジンコントロールユニット（ＥＣＵ）データのうちの少なくとも１つを含むことができる。
【００６８】
図４に示す通りローカル車両プラットフォーム４１０の機能性を促進するコンピュータ装置１８０５の構成の一実施例において、プロセッサ１８１０は、図１１に示される通り、受信データが異常であると示す受信データについてのアラートの受信については、受信データに関連付けられたリスクスコアを修正し、かつ受信データに関連付けられた閾値を上回るリスクスコアについては、車両の安全モードを作動するように、かつ受信データが悪質であると示す、クラウドから又は別の車両からのレポートの受信については、車両の安全モードを作動するように構成することができる。望ましい実施形態に応じて、接合エッジ車両プラットフォーム４４０又は遠隔セキュリティオペレーションセンター４００において、同様の機能性が実施されてよい。
【００６９】
図４に示す通り遠隔セキュリティオペレーションセンター４００の機能性を促進するコンピュータ装置１８０５の構成の一実施例において、計算装置１８０５は、ローカル車両プラットフォーム４１０及び接合エッジ車両プラットフォーム４４０に通信可能に接続することができる。プロセッサ１８１０は、図１２に示される通り、異常とマークされた受信データについて、受信データは異常ではないとの判断については、選択された１つ以上の分析モデルに基づいて受信データについてクラウドから生成された結果を車両に提供するように、かつ受信データは異常であるとの判断については、クラウドデータベースに対して及び１つ以上のその他の車両に対して異常レポートを提供するように構成することができる。望ましい実施形態に応じて、接合エッジ車両プラットフォーム４４０又は遠隔セキュリティオペレーションセンター４００において、同様の機能性が実施されてよい。
【００７０】
詳細な説明の一部は、コンピュータ内のオペレーションのアルゴリズム及び象徴的な態様に関して示されている。これらのアルゴリズム記述及び象徴的な態様は、データ処理分野の当業者がその新しいアイディアのエッセンスを他の当業者に伝えるために使用する手段である。アルゴリズムとは、望ましい最終状態又は結果へと導く一連の定義されたステップである。実施例において、実施されるステップは、具体的な結果を達成するための相当量の物理的操作を必要とする。
【００７１】
別段の記載がない限り、解説から明らかなように、説明全体を通して、「処理」、「コンピューティング」、「計算」、「判断」、「表示」等の用語を用いた解説は、コンピュータシステムのレジスタ及びメモリ内の物理的（電子的）数量として表わされるデータを、コンピュータシステムのメモリもしくはレジスタ又はその他の情報記憶、送信もしくは表示装置の中の物理的数量として同様に表わされるその他のデータに操作しかつ変換する、コンピュータシステム又はその他の情報処理装置の動作又はプロセスを含み得ると理解される。
【００７２】
実施例は、本明細書における動作を実施する装置にも関係し得る。この装置は、必要とされる目的のために特別に構築してもよく、又は１つ以上のコンピュータプログラムによって選択的に起動又は再構成された１つ以上の汎用コンピュータを含み得る。当該コンピュータプログラムは、コンピュータ可読記憶媒体又はコンピュータ可読信号媒体などのコンピュータ可読媒体に記憶されてよい。コンピュータ可読記憶媒体は、光ディスク、磁気ディスク、読取専用記憶装置、ランダムアクセスメモリ、ソリッドステート装置及びドライブなどの有形媒体（但し、これらに限定されない）、又は電子情報の格納に適したその他の種類の有形又は非一時的媒体等を含み得る。コンピュータ可読信号媒体は、搬送波などの媒体を含み得る。本明細書において示されるアルゴリズム及び（情報）提示は、特定のコンピュータ又はその他の装置に本質的に関係しているわけではない。コンピュータプログラムは、望ましい実施形態のオペレーションを実施する命令を含む純粋なソフトウェアの実装を含み得る。
【００７３】
様々な汎用システムを、本明細書における例に従ってプログラム及びモジュールと共に使用してもよく、又は望ましい方法ステップを実施するためにより特化した装置を構築することが都合がよいということが判明するかもしれない。さらに、実施例は、特定のプログラミング言語を参照して説明されてはいない。本明細書に記載されている通りに実施例の教示を実施するために、様々なプログラミング言語を使用してもよいということが理解されるであろう。プログラミング言語の命令は、１つ以上の処理装置、例えば中央処理装置（ＣＰＵ）、プロセッサ、又はコントローラによって実行され得る。
【００７４】
当技術分野では周知であるように、上述の動作は、ハードウェア、ソフトウェア、又はソフトウェアとハードウェアの組み合わせによって実行することができる。実施例の様々な態様は、回路や論理装置（ハードウェア）を用いて実施してよく、その一方で、その他の態様は、機械読み取り可能媒体（ソフトウェア）上に記憶された命令を用いて実施してもよく、これがプロセッサによって実行された場合には、本出願の実施形態を実行する方法をプロセッサに実施させるものである。さらに、本出願のいくつかの実施例は、ハードウェアのみにおいて実施されてよく、その他の実施例は、ソフトウェアのみで実施されてよい。さらに、説明された様々な機能は、１つのユニットで実施することができ、又はあらゆる方法によって多くの構成要素に分散することができる。ソフトウェアによって実施された場合、上記の方法は、コンピュータ可読媒体に記憶された命令に基づいて、汎用コンピュータなどのプロセッサによって実行され得る。望ましい場合には、圧縮及び／又は暗号化形式で命令を媒体に記憶することができる。
【００７５】
さらに、本出願の明細書及び教示内容の実施を考慮することにより、本出願のその他の実施形態が当業者らにとって明らかとなるであろう。説明した実施例の多様な態様及び／又は構成要素は、単独で使用してもよく、又はあらゆる組み合わせで使用してもよい。明細書及び実施例が単なる例示と見なされ、本出願の真の範囲及び精神は以下の請求項によって示されることが、意図されている。
【図１】
2018144800.tif 000003
【図２】
2018144800.tif 000004
【図３】
2018144800.tif 000005
【図４】
2018144800.tif 000006
【図５】
2018144800.tif 000007
【図６】
2018144800.tif 000008
【図７】
2018144800.tif 000009
【図８】
2018144800.tif 000010
【図９】
2018144800.tif 000011
【図１０】
2018144800.tif 000012
【図１１】
2018144800.tif 000013
【図１２】
2018144800.tif 000014
【図１３】
2018144800.tif 000015
【図１４】
2018144800.tif 000016
【図１５】
2018144800.tif 000017
【図１６】
2018144800.tif 000018
【図１７】
2018144800.tif 000019
【図１８】
2018144800.tif 000020