(57)【要約】【課題】車両に対するサイバー攻撃を検知して通知する装置であて、ドライバーの状態に応じて適切な通知方法での通知を可能とする装置及び方法を提供する。【解決手段】サイバー攻撃通知装置（１０）は、車両に搭載され、車両に対するサイバー攻撃を通知する装置である。サイバー攻撃通知装置は、車両に対するサイバー攻撃を検知するサイバー攻撃検知部（３３０）と、ドライバーの状態を示す情報を取得するドライバー状態入力部（３１０ａ）と、車内にある第１の機器（５２０）及び車外にある第２の機器（５１０）の中から、通知を行うべき機器を決定する通知方法決定部（３６０）と、決定した機器に、サイバー攻撃に関連する情報を通知する異常通知部（３８０）と、を備える。通知方法決定部は、ドライバーが車内または車外のいずれにいるかに基づき、情報を通知する機器を決定する。【選択図】図３
2019219709.tif 000002
【特許請求の範囲】
【請求項１】
車両に搭載され、前記車両に対するサイバー攻撃を通知するサイバー攻撃通知装置であって、
前記車両に対するサイバー攻撃を検知するサイバー攻撃検知部と、
ドライバーの状態を示す情報を入力するドライバー状態入力部と、
車内にある第１の機器及び、予め登録した電話番号、メールアドレス等をもつ携帯電話のような車外にある第２の機器の中から、通知を行うべき機器を決定する通知方法決定部と、
前記決定した機器に、前記検知したサイバー攻撃に関する情報を通知する異常通知部と、を備え、
前記通知方法決定部は、
前記ドライバーが車内または車外のいずれにいるかを判定し、判定した結果に基づき、前記情報を通知する機器を決定する、
サイバー攻撃通知装置。
【請求項２】
前記検知したサイバー攻撃のリスクを分析するリスク分析部をさらに備え、
前記通知方法決定部は、分析結果にしたがい通知の要否を決定する、
請求項１に記載のサイバー攻撃通知装置。
【請求項３】
前記車両の状態を示す情報を入力する車両状態入力部をさらに備え、
前記通知方法決定部は、前記車両の状態に基づき前記ドライバーが車内または車外のいずれにいるかを判定する、
請求項１に記載のサイバー攻撃通知装置。
【請求項４】
前記通知方法決定部は、前記ドライバーの状態と前記ドライバーの特性に基づき通知すする情報の内容を決定する、
請求項１に記載のサイバー攻撃通知装置。
【請求項５】
前記通知方法決定部は、前記ドライバーの状態に基づき前記ドライバーの精神状態を判定し、前記ドライバーの精神状態と前記ドライバーの特性に応じて、通知すべき情報の詳細さを変化させる、
請求項４に記載のサイバー攻撃通知装置。
【請求項６】
前記ドライバーの特性を示す情報を保持するドライバー特性保持部をさらに備え、
前記通知方法決定部は、前記ドライバー特性保持部から前記ドライバーの特性を示す情報を取得する、
請求項４に記載のサイバー攻撃通知装置。
【請求項７】
前記通知する情報は、サイバー攻撃を受けた対象を示す情報と、サイバー攻撃の方法を示す情報とを含む、請求項１に記載のサイバー攻撃通知装置。
【請求項８】
前記通知する情報は、前記検知したサイバー攻撃に対する対処方法を指示する情報を含む、請求項１に記載のサイバー攻撃通知装置。
【請求項９】
前記ドライバー状態入力部は、ドライバーを撮像した画像、ドライバーの発汗状態に関する情報、ドライバーの心拍動作に関する情報、及びドライバーの呼吸活動に関する情報のうちの少なくとも１つを取得する、請求項１ないし８のいずれかに記載のサイバー攻撃通知装置。
【請求項１０】
前記車両状態入力部は、車両の電源状態を示す情報、及び車速を示す情報及びシフトポジションを示す情報のうちの少なくとも１つを入力する、請求項１ないし８のいずれかに記載のサイバー攻撃通知装置。
【請求項１１】
前記第１の機器は、スピーカ、ブザー及びインジケータのうちの少なくとも１つを含む、請求項１ないし８のいずれかに記載のサイバー攻撃通知装置。
【請求項１２】
前記第２の機器は、スマートフォン及びスマートキーのうちのすくなくとも１つを含む、請求項１ないし８のいずれかに記載のサイバー攻撃通知装置。
【請求項１３】
車両に搭載されたサイバー攻撃通知装置により、車両に対するサイバー攻撃に関する情報を通知する方法であって、
前記サイバー攻撃通知装置の制御部が、車両に対するサイバー攻撃を検知するステップと、
前記制御部が、ドライバーの状態を取得するステップと、
前記制御部が、前記ドライバーの特性を示す情報を取得するステップと、
前記制御部が、前記ドライバーが車内または車外のいずれにいるかを判定するステップと、
前記制御部が、判定した結果に基づき、車内にある第１の機器及び予め登録した電話番号、メールアドレス等をもつ携帯電話のような車外にある第２の機器の中から、検知したサイバー攻撃に関連する情報を通知する機器を決定するステップと、
前記制御部が、前記決定した機器に、サイバー攻撃に関する情報を通知するステップ（Ｓ２１、Ｓ２２、Ｓ２７、Ｓ２８）と、を含む、
サイバー攻撃通知方法。
【請求項１４】
前記制御部が、前記サイバー攻撃のリスクを分析するステップと、
前記制御部が、分析結果にしたがい通知の要否を決定するステップと、をさらに備えた、
請求項１３に記載のサイバー攻撃通知方法。
【請求項１５】
前記制御部が、前記ドライバーの精神状態と前記ドライバーの特性に基づき通知する情報の内容を決定するステップ、をさらに備えた、
請求項１３に記載のサイバー攻撃通知方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両に対するサイバー攻撃を車内及び車外の機器に通知する装置及び方法に関する。
【背景技術】
【０００２】
特許文献１は、駐車中の車両において車上荒らしや盗難などの緊急時に、車両の所有者が対処できない場合であっても、適切な外部機関に通知を行うことができる車載装置を開示する。具体的には、特許文献１に開示の車載装置は、車両の異常を検知する異常検知部と、車両の内部の映像を取得する車両状況取得部と、異常検知部が検知した異常と、車両状況取得部が取得した映像とに基づいて、車両の異常内容を特定して、異常が重要度の高い異常であるか否かを判断し、重要度の高い異常であると判断した場合には、予め登録されている通知先に異常内容を通知するよう指示を行うセキュリティ制御部と、を備える。この車載装置によれば、駐車中の車両において車上荒らしや盗難などの緊急時に、車両の所有者が対処できない場合であっても、適切な外部機関に通知を行うので、迅速に被害への対応をとることができる。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１５−８９７８１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
本発明は、車両に対するサイバー攻撃を検知したときに、ドライバーの状態に応じて適切な方法でサイバー攻撃の通知を行う装置及び方法を提供する。
【課題を解決するための手段】
【０００５】
本開示の第一の態様において、車両に搭載され、車両に対するサイバー攻撃を通知するサイバー攻撃通知装置が提供される。サイバー攻撃通知装置は、車両に対するサイバー攻撃を検知するサイバー攻撃検知部と、ドライバーの状態を示す情報を入力するドライバー状態入力部と、ドライバーの特性を示す情報を入力するドライバー特性入力部と、車内にある第１の機器及び予め登録した電話番号、メールアドレス等をもつ携帯電話のような車外にある第２の機器の中から、通知を行うべき機器を決定する通知方法決定部と、決定した機器に、検知したサイバー攻撃に関する情報を通知する異常通知部と、を備える。通知方法決定部は、ドライバーが車内または車外のいずれにいるかを判定し、判定した結果に基づき、情報を通知する機器を決定する。
【０００６】
本開示の第二の態様において、車両に搭載されたサイバー攻撃通知装置により、車両に対するサイバー攻撃に関する情報を通知する方法が提供される。その方法は、サイバー攻撃通知装置の制御部が、車両に対するサイバー攻撃を検知するステップと、制御部がドライバーの状態を取得するステップと、制御部がドライバーの特性を示す情報を取得するステップと、制御部が、ドライバーが車内または車外のいずれにいるかを判定するステップと、制御部が、判定した結果に基づき、車内にある第１の機器及び予め登録した電話番号、メールアドレス等をもつ携帯電話のような車外にある第２の機器の中から、検知したサイバー攻撃に関連する情報を通知する機器を決定するステップと、制御部が、決定した機器にサイバー攻撃に関する情報を通知するステップと、を含む。
【発明の効果】
【０００７】
本発明によれば、車両に対するサイバー攻撃を検知したときに、ドライバーの状態（例えば、ドライバーの位置、精神状態等）に応じた適切な方法でサイバー攻撃の通知を行うことができる。
【図面の簡単な説明】
【０００８】
【図１】本開示のサイバー攻撃通知装置の車載ネットワークへの適用例を示した図
【図２】サイバー攻撃通知装置の構成を示すブロック図
【図３】ゲートウェイＥＣＵのハードウェア構成を示す図
【図４】サイバー攻撃通知装置のより具体的な構成を示すブロック図
【図５】サイバー攻撃検知ＤＢの構成を説明した図
【図６】リスク分析ＤＢの構成を説明した図
【図７】リスク分析の各観点の点数を説明した図
【図８】ドライバー状態取得部、車両状態取得部、外部通知機器および車内通知機器の具体的な例を示す図
【図９】サイバー攻撃通知装置によるサイバー攻撃通知処理を示すフローチャート
【図１０】通知方法決定のための条件を示す図
【図１１Ａ】ドライバーの精神状態を取得するためのカメラ及びセンサの配置を説明した図
【図１１Ｂ】ハンドルに取り付けられた発汗センサの配置を説明した図
【図１２】通知内容の決定のための要因となる各種パラメータを示す図
【図１３】ドライバーの精神状態に関する情報の取得方法を説明するための図
【図１４】ドライバーの精神状態に関する情報の取得方法を説明するための図
【図１５】攻撃情報の一例を示す図
【図１６】対応情報の一例を示す図
【発明を実施するための形態】
【０００９】
以下、適宜図面を参照しながら、本発明の実施の形態を詳細に説明する。
【００１０】
（本開示に至った経緯）
従来、車両に故障が発生した場合、インスツルメントパネルの警告ランプを点灯させることで車内にいるドライバーへ通知する仕組みがある。また、車上荒らし盗難などの車両に対する物理的攻撃をスマートフォンなどの外部機器に通知し、車外にいるドライバーへ通知する仕組みがある。しかし、車両に対するサイバー攻撃による異常をドライバーに通知する仕組みは存在しておらず、このため、ドライバーがサイバー攻撃に迅速に対処できないという問題がある。よって、サイバー攻撃をドライバーに通知する技術の開発が要望される。
【００１１】
本願の発明者は、サイバー攻撃をドライバーに通知する技術の開発の過程において、下記のような問題があることを発見した。
【００１２】
サイバー攻撃には、運転に直接影響があるものや、盗聴といった直接影響のないもの、さらには何ら影響がないものなど、様々なものがある。よって、サイバー攻撃を検知する度にドライバーに通知していると、真に影響度の高い重要な通知をドライバーが見落としてしまう可能性がある。
【００１３】
また、サイバー攻撃は、駐車中に発生する車上荒らしのような物理的な攻撃と異なり、ドライバーが車両に乗車しているか否かに関わらず発生する可能性がある。例えば、運転中に車外の通知機器、例えば、スマートフォンに通知されると、ドライバーが気を取られ、運転を阻害する可能性がある。また駐車中の車両からドライバーが離れている状態で、車内の通知機器に通知しても、ドライバーはその通知に気づかず、サイバー攻撃に対処できないという可能性がある。このように、ドライバーに確実にサイバー攻撃があったことを通知できない場合がある。
【００１４】
さらにサイバー攻撃は、一般的なドライバーの理解度(認知度)が低く、それに対する対応に個人差があり、単にサイバー攻撃を受けたことを通知するだけでは、ドライバーが問題はないと誤った判断をし、対応が遅れてしまう恐れがある。また、攻撃されているということがドライバーの不安を煽ぎ、運転に支障をきたす恐れがある。
【００１５】
そこで、本発明者は、以上のような問題を考慮し、以下に説明するサイバー攻撃通知装置を考案した。
【００１６】
（実施の形態１）
本実施の形態のサイバー攻撃通知装置は、車両のドライバーの状態の情報と車両の状態の情報とに基づき車両においてサイバー攻撃（例えば、ＤｏＳ攻撃）を検知し、検知したサイバー攻撃に関する情報を異常の内容に応じて適切な方法でかつ適切な機器に通知する。
【００１７】
１．構成
図１は、本実施の形態のサイバー攻撃通知装置が適用される車両内のネットワーク構成を示した図である。図１に示すように、車両５０において車載ネットワーク２００ａ、２００ｂが設けられている。車載ネットワーク２００ａ、２００ｂには、複数のＥＣＵ（Electronic Control Unit：電子制御ユニット）３０５が接続されている。ＥＣＵ３０５は、それに接続される機器を電子的に制御したり、機器から様々な情報を収集したりする装置である。ＥＣＵ３０５には、例えば、エンジン、ブレーキ、パワーウィンドウのアクチュエータのような被制御機器や、カメラ、各種センサのセンサ機器が接続される。なお、以下では、説明の便宜上、車載ネットワーク２００ａと車載ネットワーク２００ｂをまとめて「車載ネットワーク２００」と称する。
【００１８】
車載ネットワーク２００ａと車載ネットワーク２００ｂはゲートウェイＥＣＵ１００によって接続されている。ゲートウェイＥＣＵ１００は、サイバー攻撃を検知し、車内の機器（例えば、インジケータ）及び車外の機器５００（例えば、スマートフォン）のうちの少なくとも一方にサイバー攻撃に関する情報を通知する。通知を受けた機器はサイバー攻撃に関する情報をドライバー等に提示することで、ドライバー等はサイバー攻撃を受けた旨を認識し、必要な対応をとることができる。
【００１９】
図２は、ゲートウェイＥＣＵ１００のハードウェア構成を示す図である。同図に示すように、ゲートウェイＥＣＵ１００はＣＰＵ１１０を含み、所定のプログラムを実行することによって後述する所定の機能を実現する。ＣＰＵ１１０に変えて、他の種類の汎用プロセッサ、例えばＭＰＵを用いてもよい。または、ＣＰＵ１１０に変えて、所定の機能を実現するように専用に設計されたプロセッサを用いてもよい。すなわち、ゲートウェイＥＣＵ１００はＣＰＵ、ＭＰＵ、ＧＰＵ、ＤＳＰ、ＦＰＧＡ、ＡＳＩＣ等、種々のプロセッサを含むことができる。
【００２０】
さらに、ゲートウェイＥＣＵ１００は、ＲＡＭ１２０と、ＲＯＭ１３０と、データ記憶部１４０とを備える。ＲＡＭ１２０は、ＣＰＵ１１０が演算を実行するにあたって、必要な情報やプログラムを一時的に記憶するメモリであり、ＣＰＵ１１０から適宜アクセスされる作業領域である。ＲＯＭ１３０はＣＰＵ１１０で実行されるプログラムを記憶するメモリである。なお、ＣＰＵ１１０で実行されるプログラムは、通信回線を介してサーバーからダウンロードされてもよいし、不揮発メモリ等のボード上の内部記録媒体、または、光ディスクやメモリカード等の外部記録媒体を介してゲートウェイＥＣＵ１００に提供されてもよい。
【００２１】
データ記憶部１４０は、ゲートウェイＥＣＵ１００の制御において参照する種々の情報を記録する記録媒体である。データ記憶部１４０は、例えば、不揮発メモリ等の内部記録媒体、または、ハードディスク（ＨＤＤ）、ソリッドステートドライブ（ＳＳＤ）、光ディスク装置等の外部記録媒体で構成できる。
【００２２】
さらに、ゲートウェイＥＣＵ１００は、第１及び第２通信インタフェース１５０，１６０を備える。第１通信インタフェース１５０は車載ネットワーク２００ａに接続するＥＣＵとの間でデータのやりとりを行うための通信回路または通信モジュールである。第２通信インタフェース１６０は、車載ネットワーク２００ｂに接続するＥＣＵとの間でデータのやりとりを行うための通信回路または通信モジュールである。本実施の形態では、第１ないし第２通信インタフェース１５０、１６０は、車載ネットワークにおいて広く使用されているＣＡＮ(Controller Area Network)プロトコルにしたがい通信を行なう。なお、第１ないし第２通信インタフェース１５０、１６０はＣＡＮプロトコル以外のプロトコルにしたがい通信を行ってもよい。例えば、ＣＡＮ ＦＤプロトコルにしたがい通信を行なってもよい。
【００２３】
図１に戻り、ゲートウェイＥＣＵ１００及びＥＣＵ３０５は、本実施の形態の攻撃通知装置を構成する。
【００２４】
図３は、本実施の形態のサイバー攻撃通知装置の機能的な構成を示した図である。図４は、サイバー攻撃通知装置の各構成をより具体的に示した図である。
【００２５】
サイバー攻撃通知装置１０は、ドライバーの状態を取得するドライバー状態取得部３１０と、車両５０の状態を取得する車両状態取得部３２０と、サイバー攻撃を検知し、検知したサイバー攻撃の通知を制御する通知制御部３００と、サイバー攻撃を受けたことを通知する異常通知部３８０と、を備える。
【００２６】
ドライバー状態取得部３１０は、ドライバーの精神状態を判定するための、ドライバーの動き、表情、生体情報（心拍、呼吸状態、発汗状態等）を取得する。ドライバー状態取得部３１０は種々のＥＣＵ、例えば、ＥＣＵ３１１〜３１５を含む。ＥＣＵ３１１は、画像を撮影するカメラ４０１に接続され、カメラ４０１から画像を取得する。ＥＣＵ３１３は着座センサ４０３に接続され、着座センサ４０３から検出信号を入力する。ＥＣＵ３１３は、ドライバーの発汗の状態を検知する発汗センサ４０５に接続され、発汗センサ４０５から検出信号を入力する。
【００２７】
車両状態取得部３２０は、車両５０の速度、電源状態、シフトポジション等の車両５０の様々な動作状態を取得する。車両状態取得部３２０は種々のＥＣＵ、例えば、ＥＣＵ３２１〜３２５を含む。ＥＣＵ３２１は、車両５０の速度を検知する速度センサ４０７に接続される。ＥＣＵ３２３は、イグニッションに接続され、電源状態を取得する。ＥＣＵ３２５は、シフトポジションを検知するセンサに接続され、シフトポジションの情報を取得する。
【００２８】
通知制御部３００は、サイバー攻撃を検知するサイバー攻撃検知部３３０と、サイバー攻撃のリスクを分析するリスク分析部３４０と、ドライバー固有の特性を示す情報を保持するドライバー特性保持部３５０と、サイバー攻撃の通知方法を判断する通知方法決定部３６０と、を備える。通知制御部３００は、さらに、ドライバー状態取得部３１０で取得した情報を入力するドライバー状態入力部３１０ａと、車両状態取得部３２０で取得した情報を入力する車両状態入力部３２０ａと、異常通知部３８０へ制御信号を出力する出力部３８０ａ、３８０ｂとを備える。なお、通知制御部３００はゲートウェイＥＣＵ１００により実現される。第１入力部３１０ａ、第２入力部３２０ａ及び出力部３８０ａ、３８０ｂの機能は、第１通信インタフェース１５０または第２通信インタフェース１６０で実現される。
【００２９】
サイバー攻撃検知部３３０は、所定の機能により攻撃対象と攻撃方法を検出することができる。具体的には、サイバー攻撃検知部３３０は、通信監視機能により、通信を監視して正常系からの逸脱具合を監視して、攻撃対象と攻撃方法を検知することができる。さらに、サイバー攻撃検知部３３０は、制御・情報監視機能により、制御処理時間や保存されている情報を監視して正常系からの逸脱具合や書き換えの有無を監視して、攻撃対象と攻撃方法を検知することができる。さらに、サイバー攻撃検知部３３０は、消費電流監視機能により、消費電流を監視し、バスに不正機器が接続されているか否かを監視して、攻撃対象と攻撃方法することができる。
【００３０】
ここで、攻撃方法には、ＤｏＳ攻撃、なりすまし挿入、メッセージ改竄、メッセージ盗聴、プログラム書き換え等が含まれる。攻撃対象には、走行系全体、走行系に接続されるＥＣＵ、走行系に接続されるＥＣＵから出力されるメッセージ、情報資産、個人情報、金銭資産等が含まれる。
【００３１】
サイバー攻撃検知部３３０は、サイバー攻撃検知データベース（以下「サイバー攻撃検知ＤＢ」という）３３２を含む。図５にサイバー攻撃検知ＤＢ３３２の構成を示す。サイバー攻撃検知ＤＢ３３２は、攻撃対象と、攻撃方法と、攻撃内容と、攻撃内容を特定するＩＤとを関連づけて管理するデータベースである。サイバー攻撃検知ＤＢ３３２はデータ記憶部１４０に格納されている。サイバー攻撃検知部３３０は、サイバー攻撃検知ＤＢ３３２を参照して攻撃内容を特定する。
【００３２】
リスク分析部３４０は、サーバー攻撃検知部３３０で特定された攻撃内容のリスクを分析する。リスク分析部３４０は、リスク分析データベース（以下「リスク分析ＤＢ」という）３４２を含む。図６にリスク分析ＤＢ３４２の構成を示す。リスク分析ＤＢ３４２は、各攻撃内容について、安全性、プライバシー、金銭面、操作性及び制御性のそれぞれの観点の点数と、各観点の点数の合計とを管理する。点数はリスクの程度を示しており、点数が高い程、リスクが高いことを示す。各攻撃内容に対する合計点がその攻撃内容に対するリスクの程度を示す。
【００３３】
図７は、リスク分析ＤＢ３４２の各観点についての点数の判断基準を説明した図である。例えば、安全性について、被害がない場合の点数は「０」に設定され、確実に生命を脅かすようなリスクに対する点数は「４」に設定される。リスク分析ＤＢ３４２の各観点の点数は図７に示す判断基準にしたがって予め設定されている。
【００３４】
ドライバー特性保持部３５０は、ドライバーの運転に関する特性（性格）に関する情報を保持する。本実施の形態では、ＯＤ式安全性テストによる分類にしたがい、ドライバー特性（性格）を、「安全運転タイプ」、「要注意タイプ」、「もらい事故傾向タイプ」、「重大事故傾向タイプ」及び「事故違反多発タイプ」の５つのタイプに分類する。ドライバー特性保持部３５０は、ドライバー特性情報として、上記分類にしたがった各ドライバーのタイプを示す情報を保持する。ここでは、ＯＤ式安全性テストに基づき得られるタイプをドライバー特性として使用したが、ドライバー特性はこれに限定されない。ドライバー特性は、運転に影響するドライバーの特性であれば任意の情報でよく、例えば、ドライバーの運転に関する傾向を示す情報、またはドライバーの性格を示す情報でもよい。
【００３５】
通知方法決定部３６０は、サイバー攻撃を検知したときに、ドライバー状態取得部３１０と、車両状態取得部３２０と、リスク分析部３４０と、ドライバー特性保持部３５０とからの情報に基づき、サイバー攻撃の通知方法を決定する。
【００３６】
異常通知部３８０は、車両５０の内部に配置されている機器、及び、車両５０の外部に配置された機器のうちの少なくとも一方に対して、検知された異常を通知する。車両５０の内部に配置された機器は、例えば、インスツルメントパネルのインジケータ、ブザーまたはスピーカである。車両５０の外部に配置された機器は、例えば、スマートフォン、スマートキー、携帯電話、サーバーである。これらの機器は、それらの識別番号、電話番号、メールアドレス等が予め通知方法決定部３６０に登録されている。異常通知部３８０は、種々のＥＣＵ、例えば、ＥＣＵ３８１〜３８９を含む。ＥＣＵ３８１は、スマートフォン５１１と通信を行い、スマートフォン５１１に所定の情報を送信する。ＥＣＵ３８３は、スマートキー５１２と通信を行い、スマートキー５１２に所定の情報を送信する。ＥＣＵ３８５は、車両５０内のインジケータ５２１を制御し、所定の情報を表示させる。ＥＣＵ３８７は、車両５０内のブザー５２３を制御し、音声出力により情報の通知を行う。ＥＣＵ３８９は、車両５０内のスピーカ５２５を制御し、所定の情報を示す音声を出力させる。
【００３７】
図８は、ドライバー状態取得部３１０、車両状態取得部３２０及びサイバー攻撃検知部３３０で取得または監視する具体的な情報の例を示した図である。例えば、ドライバー状態取得部３１０は、着座センサ４０３からの出力信号に基づき、ドライバーの心拍数、心拍のゆらぎ、呼吸活動及び乗車状態に関する情報を取得する。また、ドライバー状態取得部３１０は、発汗センサ４０５からの出力信号に基づき、ドライバーの精神的な発汗の状態に関する情報を取得する。また、ドライバー状態取得部３１０は、カメラ４０１で撮像された画像に基づき、ドライバーの乗車状態やドライバーの表情に関する情報を取得する。
【００３８】
サイバー攻撃検知部３３０は、種々の監視器を介して、ネットワーク２００ａ、２００ｂ上の通信周期、通信データ、制御処理時間、情報保護資産を監視する。
【００３９】
２．動作
図９は、サイバー攻撃通知装置１０によるサイバー攻撃の通知処理を示すフローチャートである。図９のフローチャートに示す処理は所定の間隔で繰り返し、実行される。
【００４０】
サイバー攻撃検知部３３０は、通信周期、通信データ及び制御処理時間のうちの少なくとも一つに基づき、車両５０へのサイバー攻撃の有無を検知する（Ｓ１１）。サイバー攻撃は公知の技術に基づき検知できる。例えば、サイバー攻撃検知部３３０は、バス上を伝送されるフレームの通信周期が基本周期から大幅にずれた場合にサイバー攻撃を受けたと判断できる（例えば、国際公開第２０１４／１１５４５５号）。サイバー攻撃検知部３３０は、通信周期等に基づき攻撃内容（攻撃対象と攻撃方法）を特定し、その特定した攻撃内容を示しＩＤをリスク分析部３４０に送信する。例えば、サイバー攻撃検知部３３０は、走行系（攻撃対象）においてＤｏｓ攻撃（攻撃方法）を受けたことを検出した場合、その攻撃内容を示すＩＤ（＝１２３）をリスク分析部３４０に送信する（図５参照）。また、サイバー攻撃検知部３３０は、サイバー攻撃を検知したことを通知方法決定部３６０に通知する。
【００４１】
サイバー攻撃検知部３３０がサイバー攻撃を検知すると（Ｓ１１でＹＥＳ）、リスク分析部３４０は、検知したサイバー攻撃に対するリスクを分析する（Ｓ１２）。具体的には、リスク分析部３４０はサイバー攻撃検知部３３０から攻撃内容を示すＩＤを受信した場合、リスク分析ＤＢ３４２を参照して、受信したＩＤが示す攻撃に対する合計点（リスクの程度）を取得し、合計点を示す情報を通知方法決定部３６０に送信する。例えば、ＩＤとして「１２３」を受信した場合、リスク分析部３４０は、リスク分析ＤＢ３４２を参照して、受信したＩＤが示す攻撃に対する合計点として「１２」を取得し、通知方法決定部３６０に送信する（図６参照）。
【００４２】
通知方法決定部３６０は、受信した点数に基づき、その車両５０のドライバーに通知するか否かを判断する（Ｓ１３）。具体的には、通知方法決定部３６０は、受信した点数を閾値と比較し、受信した点数が閾値よりも大きいときに、ドライバーに通知する必要があると判断し、一方、受信した点数が閾値以下のときは、ドライバーに通知する必要がないと判断する。このように、サイバー攻撃のリスクの程度が低いときは、ドライバーに攻撃を受けた旨を通知せず、サイバー攻撃のリスクが高い場合にのみドライバーに通知するようにしている。これにより、運転中のドライバーに対して、リスクの低いサイバー攻撃に関する通知によりドライバーの集中力を乱すことを低減することができる。
【００４３】
ドライバーへ通知すると判断したときは（Ｓ１３でＹＥＳ）、通知方法決定部３６０は、車両状態取得部３２０から車両状態に関する情報（車速、シフトポジション、電源状態）を取得する（Ｓ１４）。さらに、通知方法決定部３６０は、車速およびシフトポジションの少なくともいずれかに基づき、車両が走行中であるか否かを判断する。例えば、車速が一定速度以上である場合、車両は走行中であると判定できる。また、シフトポジションに基づいても車両が走行中であることを判定できる。
【００４４】
次に、通知方法決定部３６０は、車両状態に関する情報に基づき、ドライバーの状態、ここでは、ドライバーの位置を判定する（Ｓ１５）。例えば、車速が一定速度以上である場合、車両は走行中であり、ドライバーが車両を運転していると考えられる。このため、通知方法決定部３６０は、車速が一定速度以上である場合、ドライバーは車内にいると判定する。また、シフトポジションに基づいても、車両が走行中か否か、すなわち、ドライバーが車両を運転しているか否かを判定できる。このため、シフトポジションが所定の条件を満たす場合、通知方法決定部３６０は、ドライバーが車内にいると判定する。また、車内でエアコン等を使用している場合、電源状態も変化する。このことから、電源状態が所定の条件を満たす場合、通知方法決定部３６０はドライバーが車内にいると判定する。
【００４５】
次に、通知方法決定部３６０は、ドライバー位置と車両状態に基づき、ドライバーへの通知方法を決定する（Ｓ１６）。ここでは、通知方法決定部３６０は、車内の通知機器に通知するか、車外の通知機器に通知するか、双方の通知機器に通知するかを決定する。
【００４６】
図１０は、通知方法決定のための条件を示した図である。通知方法決定部３６０は、図１０に示すような条件にしたがい、ドライバーの位置（車内または車外）及び車両状態（走行中か否か）に基づき、車内の通知機器と車外の通知機器のいずれに通知するか、または双方に通知するかを決定する。
【００４７】
具体的には、ドライバーが車内におり、かつ、車両が走行中であると判定された場合、ドライバーは車内にいる可能性が非常に高いので、通知は車内の通知機器に対してのみ行う。ドライバーが車内にいるが、車両が走行中でないと判定された場合は、ドライバーは車内に加えて車外にいる可能性もあるので、車内の通知機器及び車外の通知機器の双方に対して通知を行う。ドライバーが車外におり、かつ、車両が走行中でないと判定された場合、ドライバーは車外にいる可能性が非常に高いので、車外の通知機器に対してのみ通知を行う。
【００４８】
その後、通知方法決定部３６０は、決定した通知方法にしたがい、車内の通知機器及び車外の通知機器のうちの少なくとも一方に対して通知を行う（Ｓ１７〜Ｓ２８）。
【００４９】
車内の通知機器と車外の通知機器の双方に通知を行う場合（Ｓ１７でＹＥＳ）、通知方法決定部３６０は、ドライバー状態取得部３１０からドライバーの状態（精神状態）に関する情報を取得する（Ｓ１８）。ドライバーの状態（精神状態）に関する情報として、ドライバーの表情、呼吸活動、心拍数、心拍ゆらぎ、乗車状態を取得する。
【００５０】
図１１Ａ及び図１１Ｂは、このようなドライバーの状態（精神状態）に関する情報を取得するためのカメラ４０１とセンサ４０３、４０５の配置を説明した図である。図１１Ａに示すように、カメラ４０１は、ドライバー３０の顔の表情を撮像できるように車室内の前方部分に配置される。着座センサ４０３はドライバーシート６２内に配置される。また、図１１Ｂに示すように、発汗センサ４０５は、通常運転時にドライバーが把持する頻度の高いハンドル６４の左右の部分に取り付けられる。
【００５１】
通知方法決定部３６０は、カメラ４０１により撮像された画像を解析し、ドライバーの表情を認識する。さらに、通知方法決定部３６０は、着座センサ４０３からの検出信号に基づき、ドライバーの心拍のゆらぎ、心拍数、呼吸活動、乗車状態（着座の有無）を把握する。また、通知方法決定部３６０は、発汗センサ４０５から、ドライバーの精神性発汗の状態を検出する。
【００５２】
通知方法決定部３６０は、カメラ４０１及びセンサ４０３、４０５から取得した情報に基づきドライバー状態（精神状態）を判定する。以下、ドライバー状態（精神状態）の判定方法について説明する。
【００５３】
図１２は、カメラ４０１及びセンサ４０３、４０５から取得した情報と、ドライバーの精神状態の判定のためのパラメータとの対応関係を示した図である。通知方法決定部３６０は、図１２に示す対応関係にしたがい、カメラ４０１及びセンサ４０３、４０５から取得した情報に基づきパラメータを設定する。
【００５４】
具体的には、通知方法決定部３６０は、カメラ４０１から取得した画像を解析して、ドライバーの表情に関するパラメータとして、「喜び」、「驚き」、「怒り」、「悲しみ」または「真顔」を得る。また、通知方法決定部３６０は、発汗センサ４０５の検出信号から、精神性発汗量のパラメータとして「増加」または「定常」を得る。また、通知方法決定部３６０は、着座センサ４０３からの検出信号から、心拍ゆらぎ、心拍数、呼吸活動それぞれに関するパラメータを得る。例えば、心拍ゆらぎのパラメータについては、着座センサ４０３からの検出信号の広域信号（ＨＦ値）に対する低域信号（ＬＦ値）の比に基づき設定する。
【００５５】
図１３は、カメラ４０１及びセンサ４０３、４０５から取得した情報に基づき設定したパラメータと、ドライバー状態（精神状態）との対応関係を示した図である。通知方法決定部３６０は、図１３に示す対応関係にしたがい、設定したパラメータに基づき精神状態を判定する。
【００５６】
例えば、「表情」パラメータの値が「怒り」であり、「精神性発汗」パラメータの値が「増加」であり、「心拍ゆらぎ」パラメータの値が「ＬＦ／ＨＦ値上昇」であり、「心拍数」パラメータが「増加」であり、「呼吸活動」パラメータが「周波数低下」である場合、ドライバー状態（精神状態）として「立腹・イライラ」が得られる。
【００５７】
図９に戻り、ドライバー状態（精神状態）の取得後、通知方法決定部３６０は、ドライバー特性（性格）をドライバー特性保持部３５０から取得する（Ｓ１９）。
【００５８】
その後、通知方法決定部３６０は、ドライバー状態（精神状態）とドライバー特性に基づきドライバーへの通知内容を決定する（Ｓ２０）。通知方法決定部３６０は、ドライバーに通知する情報として、攻撃情報と対応情報を生成する。攻撃情報は、攻撃の内容（すなわち、攻撃対象と攻撃方法）を示す情報（例えば、テキストメッセージ）を含む。対応情報は、攻撃に対してドライバーが取るべき対処方法を示す情報（例えば、テキストメッセージ）を含む。攻撃情報を参照することにより、ドライバーは、サイバー攻撃の内容を把握することができる。対応情報を参照することにより、ドライバーはサイバー攻撃に対してドライバーが取るべき対処方法を把握することができる。
【００５９】
特に、通知方法決定部３６０は、攻撃情報と対応情報の内容の詳細さ（または、簡潔さ）の程度を、ドライバー状態（精神状態）と、ドライバー特性（性格）に基づき決定する。図１４は、ドライバー状態（精神状態）と、ドライバー特性（性格）と、通知内容の詳細さ（簡潔さ）の程度との関係を示す図である。通知方法決定部３６０は、ドライバー状態（精神状態）とドライバー特性（性格）に基づき、図１４に示す対応関係に基づき通知内容の詳細レベルを決定する。
【００６０】
例えば、ドライバー特性が「安全運転タイプ」であり、ドライバー状態（精神状態）が「平常」である場合、攻撃情報及び対応情報は詳細な内容に設定する。このように、安全運転タイプのドライバーが平常である場合は、詳細な攻撃情報及び対応情報を通知する。これにより、ドライバーに十分な情報を伝達でき、適切な対応が期待できると考えられる。
【００６１】
一方、ドライバー特性が「安全運転タイプ」であるが、ドライバー状態（精神状態）が「立腹・イライラ」である場合、攻撃情報及び対応情報は簡潔な内容に設定する。イライラ状態にあるドライバーに対して、詳細な内容の攻撃情報を通知すると、イライラ感が増長され、ドライバーの精神状態をかき乱す可能性がある。このため、簡潔な内容の情報を通知することで、ドライバーに対して、より安全にかつ確実に情報を伝えることができると考えられる。
【００６２】
以上のようにして、サイバー攻撃通知装置１０は、ドライバーの性格やドライバーの精神状態に応じて、通知する情報の内容の詳細さ（換言すれば、簡潔さ）の程度を変更する。これにより、ドライバーのそのときの状態に応じて適切にサイバー攻撃の情報を伝達することができる。なお、通知方法決定部３６０は、上記の処理を行うために図１２〜図１４に示す対応関係を示すテーブル情報を内部に保持している。
【００６３】
図１５に、詳細レベルが異なる攻撃情報の内容の一例を示す。図１６に、詳細レベルが異なる対応情報の内容の一例を示す。図１５、図１６では、詳細の程度を示すレベルが「より詳細に」、「詳細に」、「簡潔に」、「より簡潔に」の４段階に設定さている。「より詳細に」から「より簡潔に」に向かうほど、メッセージで伝達する情報量が少なくなる。それぞれのレベルに応じた詳細さ（簡潔さ）を有するメッセージが、通知されるメッセージに設定される。
【００６４】
図９に戻り、通知方法決定部３６０は、決定した通知内容で、車内の通知機器及び車外の通知機器へ、サイバー攻撃を受けたことを通知する（Ｓ２１、Ｓ２２）。
【００６５】
一方、車内の通知機器に対してのみ通知を行うと決定した場合（Ｓ１７でＮＯかつＳ２３でＹＥＳ）、通知方法決定部３６０は、ドライバー状態取得部３１０からドライバー状態（精神状態）を取得し（Ｓ２４）、ドライバー特性保持部３５０からドライバー特性を取得する（Ｓ２５）。通知方法決定部３６０は、ドライバー状態（精神状態）とドライバー運転特性に基づきドライバーへの通知内容を決定し（Ｓ２６）、決定した通知内容を車外の通知機器に送信する（Ｓ２７）。
【００６６】
または、車外の通知機器に対してのみ通知を行うと決定した場合（Ｓ１７でＮＯかつＳ２３でＮＯ）、通知方法決定部３６０は、車外の通知機器へ攻撃内容（攻撃対象及び攻撃方法）を通知する（Ｓ２８）。
【００６７】
以上のように、本実施の形態のサイバー攻撃通知装置１０によれば、サイバー攻撃のリスクの程度に応じて、ドライバーに通知するか否かを決定する（Ｓ１２、Ｓ１３）。これにより、あまりリスクが高くないサイバー攻撃を受けた場合には、ドライバーに通知しないので、頻繁な通知によるドライバーの集中力の低下を防止できる。
【００６８】
また、サイバー攻撃通知装置１０は、ドライバー状態（ドライバー位置）と車両状態に基づき、通知先の機器（車内の通知機器、車外の通知機器または双方）を決定する。これにより、確実かつ適切にドライバーに対してサイバー攻撃に関する情報を通知することができる。
【００６９】
また、サイバー攻撃通知装置１０はサイバー攻撃を受けたときに、サイバー攻撃の内容を示す攻撃情報や、サイバー攻撃に対する対処方法を示す対応情報を通知する。これにより、ドライバーは、サイバー攻撃の内容を認識することができ、さらに、サイバー攻撃に対する対処方法も認識することができるため、迅速に適切な対応をとることができる。
【００７０】
また、サイバー攻撃通知装置１０は、ドライバーの精神状態とドライバーの特性（性格）に基づき、通知すべき情報の詳細さの程度を決定する。これにより、サイバー攻撃を受けた時点でのドライバーの状態（特に、精神的な状態）に応じた適切な方法で通知がなされるため、ドライバーはサイバー攻撃に対して適切な処置を行うことができる。
【００７１】
３．まとめ
以上のように、本実施の形態のサイバー攻撃通知装置１０は、車両５０に搭載され、車両５０に対するサイバー攻撃を通知する装置である。サイバー攻撃通知装置１０は、車両５０に対するサイバー攻撃を検知するサイバー攻撃検知部３３０と、ドライバーの状態を入力するドライバー状態入力部３１０ａと、車内にある車内通知機器５２０（第１の機器の例）及び、予め登録した電話番号、メールアドレス等を持つ携帯電話のような車外にある外部通知機器５１０（第２の機器の例）の中から、通知を行うべき機器を決定する通知方法決定部３６０と、決定した機器に、検知したサイバー攻撃に関する情報を通知する異常通知部３８０と、を備える。通知方法決定部３６０は、ドライバーが車内または車外のいずれにいるかを判定し（Ｓ１５）、判定した結果に基づき、情報を通知する機器を決定する（Ｓ１６）。
【００７２】
以上の構成により、サイバー攻撃が検知されたときに、車内または車外にいるドライバーに対して通知機器を介して、サイバー攻撃に関する情報を通知することができる。
【００７３】
その際、ドライバーが車内または車外のいずれにいるかを判定し、判定結果に基づき、情報を通知する機器を決定する。よって、ドライバーに確実にかつ適切に情報を伝達することができる。例えば、運転中のドライバーのスマートフォンに通知されることを防止でき、ドライバーがスマートフォンに気をとられることを防止できる。また、ドライバーが車外にいるときには、車外の通知機器に通知することで、確実にドライバーに情報を伝達することができる。
【００７４】
また、ドライバーの状態とドライバーの特性に基づき、通知する情報の内容を決定する。これにより、ドライバーの状態及び個性に応じて適切な内容の情報をドライバーに通知することができる。これにより、ドライバーはサイバー攻撃の通知を受けたときに、慌てることなく、落ち着いて行動することができる。
【００７５】
また、サイバー攻撃通知装置１０は、検知したサイバー攻撃のリスクを分析するリスク分析部３４０をさらに備える。そして、通知方法決定部３６０は、分析結果にしたがい通知の要否を決定する（Ｓ１２、Ｓ１３）。これにより、サイバー攻撃のリスクが高い場合、すなわち、重要度の高い場合のみ、通知されるため、影響度の高い重要な通知をドライバーが見落とすことを低減できる。
【００７６】
通知方法決定部３６０は、ドライバーの状態に基づきドライバーの精神状態を判定し（Ｓ１８、Ｓ２４）、ドライバーの精神状態とドライバーの特性に応じて、通知すべき情報の詳細さを変化させる（Ｓ２０、Ｓ２６、図１４）。これにより、ドライバーの性格やそのときの精神状態に応じたメッセージを作成することができる。イライラ、焦り、神経質等の状態にあるドライバーが、サイバー攻撃の通知を受けたときに、不安や焦り等を感じることを防止または低減することができる。
【００７７】
サイバー攻撃通知装置１０は、サイバー攻撃を受けた対象を示す情報と、サイバー攻撃の方法を示す情報とを含む攻撃情報を通知する。また、サイバー攻撃通知装置１０は、検知したサイバー攻撃に対する対処方法を指示する対応情報を送信する。これにより、通知を受けたドライバーは、サイバー攻撃の内容や対処方法を把握することができる。
【００７８】
また、本実施の形態は、サイバー攻撃通知装置により、車両に対するサイバー攻撃に関する情報を通知するサイバー攻撃通知方法を開示する。
【００７９】
サイバー攻撃通知方法は、
車両に搭載されたサイバー攻撃通知装置の制御部（１１０、３００）が、車両に対するサイバー攻撃を検知するステップ（Ｓ１１）と、
制御部が、ドライバーの状態を取得するステップ（Ｓ１８、Ｓ２４）と、
制御部が、ドライバーの特性を示す情報を取得するステップ（Ｓ１９、Ｓ２５）と、
制御部が、ドライバーが車内または車外のいずれにいるかを判定するステップ（Ｓ１５）と、
制御部が、判定した結果に基づき、車内にある第１の機器（５２０）及び予め登録した電話番号、メールアドレス等をもつ携帯電話のような車外にある第２の機器（５１０）の中から、検知したサイバー攻撃に関連する情報を通知する機器を決定するステップ（Ｓ１６）と、
制御部が、決定した機器に、サイバー攻撃に関する情報を通知するステップ（Ｓ２１、Ｓ２２、Ｓ２７、Ｓ２８）と、を含む。
【００８０】
上記のサイバー攻撃通知方法は、制御部がサイバー攻撃のリスクを分析するステップ（Ｓ１２）と、制御部が分析結果にしたがい通知の要否を決定するステップ（Ｓ１３）と、をさらに備えてもよい。
【００８１】
上記のサイバー攻撃通知方法は、制御部が、ドライバーの精神状態とドライバーの特性に応じて、通知する情報の内容（例えば、テキスト、詳細さの程度）を決定するステップ（Ｓ２０、Ｓ２６）と、をさらに備えてもよい。
【００８２】
（他の実施の形態）
上記の実施の形態で示したドライバー状態取得部３１０が取得する情報は一例であり、ドライバーの精神状態を検出できるものであれば、他の種類の情報を取得してもよい。また、上記の実施の形態で示した車両状態取得部３２０が取得する情報は一例であり、車両の状態を検出できるものであれば、他の種類の情報を取得してもよい。また、外部通知機器５１０は、認証機関または政府機関のような外部機関内に設置された機器であってもよい。
【００８３】
また、サイバー攻撃を受けたときに通知する情報は上記の例に限定されない。通知する情報は、サイバー攻撃を受けた日時、場所、ドライバーを特定する情報、車両を特定する情報のうちの少なくとも１つを含んでも良い。
【００８４】
上記の実施の形態で説明した外部通知機器５１０及び車内通知機器５２０の具体例は一例であり、それらに限定されるものではない。これらの機器５１０、５２０は、所定の形式（画像、音声、テキスト、光等）で情報を提示できるのであれば、種々の機器で構成することができる。
【００８５】
上記の実施の形態では、サイバー攻撃通知装置１０は、ドライバー特性（性格）の情報を内部のドライバー特定保持部３５０に保持していたが、ドライバー特性（性格）の情報を外部機器（例えば、クラウド上のサーバー）から取得するようにしてもよい。
【００８６】
上記の実施の形態では、ドライバー状態取得部３１０、車両状態取得部３２０、通知制御部３００及び異常通知部３８０はそれぞれＥＣＵで構成するとして説明したが、これらの機能部はＥＣＵでなくてもよい。それぞれの機能が実現できるのであれば、これらの機能部は任意の電子機器（または電子回路）で実現できる。
【００８７】
上述の実施の形態は、本開示における技術を例示するためのものであるから、特許請求の範囲またはその均等の範囲において種々の変更、置き換え、付加、省略などを行うことができる。
【符号の説明】
【００８８】
１０  サイバー攻撃通知装置
５０  車両
１００  ゲートウェイＥＣＵ
３００  通知制御部
３０５  ＥＣＵ
３１０  ドライバー状態取得部
３１０ａ  ドライバー状態入力部
３２０  車両状態取得部
３２０ａ  車両状態入力部
３３０  サイバー攻撃検知部
３４０  リスク分析部
３５０  ドライバー特性保持部
３８０  異常通知部
３８０ａ、３８０ｂ  出力部
５１０  外部通知機器
５２０  車内通知機器
【図１】
2019219709.tif 000003
【図２】
2019219709.tif 000004
【図３】
2019219709.tif 000005
【図４】
2019219709.tif 000006
【図５】
2019219709.tif 000007
【図６】
2019219709.tif 000008
【図７】
2019219709.tif 000009
【図８】
2019219709.tif 000010
【図９】
2019219709.tif 000011
【図１０】
2019219709.tif 000012
【図１１Ａ】
2019219709.tif 000013
【図１１Ｂ】
2019219709.tif 000014
【図１２】
2019219709.tif 000015
【図１３】
2019219709.tif 000016
【図１４】
2019219709.tif 000017
【図１５】
2019219709.tif 000018
【図１６】
2019219709.tif 000019