(57)【要約】【課題】攻撃に対して適応的な制御を行うことができる車両用システム等を提供する。【解決手段】車両用システム１００は、車両に対して用いられる車両用システムであって、車両に搭載される複数の車載装置１１０と、複数の車載装置１１０に対する不正な攻撃の侵入の深度に従って、車両の外部への通信方法と、不正な攻撃に対する防御方法と、複数の車載装置１１０に関するログの保存方法とのうち少なくとも１つを変更する制御器１２０とを備える。【選択図】図１
2019125344.tif 000002
【特許請求の範囲】
【請求項１】
車両に対して用いられる車両用システムであって、
前記車両に搭載される複数の車載装置と、
前記複数の車載装置に対する不正な攻撃の侵入の深度に従って、前記車両の外部への通信方法と、前記不正な攻撃に対する防御方法と、前記複数の車載装置に関するログの保存方法とのうち少なくとも１つを変更する制御器と、
を備える車両用システム。
【請求項２】
前記制御器は、前記侵入の深度に従って、前記複数の車載装置のうち、前記車両の外部への通信に用いられる車載装置を変更することにより、前記通信方法を変更する、
請求項１に記載の車両用システム。
【請求項３】
前記複数の車載装置は、テレマティクス通信ユニットを含み、
前記制御器は、前記侵入の深度が前記テレマティクス通信ユニットに到達した場合、前記テレマティクス通信ユニットを介した第１通信方法から、前記テレマティクス通信ユニットを介さない第２通信方法に、前記通信方法を変更する、
請求項２に記載の車両用システム。
【請求項４】
前記複数の車載装置は、車載インフォテインメントを含み、
前記制御器は、前記侵入の深度が前記テレマティクス通信ユニットに到達した場合、前記テレマティクス通信ユニットを介した前記第１通信方法から、前記車載インフォテインメントを介した前記第２通信方法に、前記通信方法を変更する、
請求項３に記載の車両用システム。
【請求項５】
前記制御器は、前記侵入の深度が前記車載インフォテインメントに到達した場合、前記車載インフォテインメントを介さない第３通信方法に、前記通信方法を変更する、
請求項４に記載の車両用システム。
【請求項６】
前記制御器は、前記侵入の深度に従って、前記複数の車載装置のうち前記ログの保存先として用いられる車載装置を変更することにより、前記保存方法を変更する、
請求項１〜５のいずれか１項に記載の車両用システム。
【請求項７】
前記制御器は、前記侵入の深度が前記複数の車載装置に含まれる１以上の車載装置に到達した場合、前記１以上の車載装置のそれぞれのログを保存対象ログに含めることにより、前記保存方法を変更する、
請求項６に記載の車両用システム。
【請求項８】
前記複数の車載装置は、テレマティクス通信ユニットを含み、
前記制御器は、前記侵入の深度が前記テレマティクス通信ユニットに到達した場合、前記テレマティクス通信ユニットのログを前記保存対象ログに含めることにより、前記保存方法を変更する、
請求項７に記載の車両用システム。
【請求項９】
前記複数の車載装置は、車載インフォテインメントを含み、
前記制御器は、前記侵入の深度が前記車載インフォテインメントに到達した場合、前記車載インフォテインメントのログを前記保存対象ログに含めることにより、前記保存方法を変更する、
請求項８に記載の車両用システム。
【請求項１０】
前記制御器は、前記侵入の深度が前記複数の車載装置に含まれる第１車載装置に到達した場合、前記複数の車載装置に含まれる第２車載装置であって、前記侵入の深度が前記第１車載装置の次に到達すると推定される第２車載装置のログを保存対象ログに含めることにより、前記保存方法を変更する、
請求項６に記載の車両用システム。
【請求項１１】
前記複数の車載装置の少なくとも一部は、２つの通信路で通信を行い、
前記制御器は、前記侵入の深度が前記２つの通信路のうちの一方に到達した場合、前記２つの通信路のうちの他方で前記複数の車載装置の少なくとも一部が行う通信を継続させ、前記侵入の深度が前記２つの通信路のうちの両方に到達した場合、自動運転の停止、前記車両の走行の停止、又は、フェールセーフの制御を行うことにより、前記防御方法を変更する、
請求項１〜１０のいずれか１項に記載の車両用システム。
【請求項１２】
前記複数の車載装置は、車載インフォテインメントを含み、
前記車載インフォテインメントは、前記制御器を備える、
請求項１〜１１のいずれか１項に記載の車両用システム。
【請求項１３】
前記複数の車載装置は、ゲートウェイを含み、
前記ゲートウェイは、前記制御器を備え、
前記制御器は、前記複数の車載装置のうち、前記ゲートウェイとは異なる車載装置に、前記ログの一部又は全部を保存する、
請求項１〜１１のいずれか１項に記載の車両用システム。
【請求項１４】
前記車両用システムは、さらに、前記複数の車載装置における異常発生順序に従って、前記不正な攻撃が行われているか否かを判定する判定器を備える、
請求項１〜１３のいずれか１項に記載の車両用システム。
【請求項１５】
前記判定器は、前記異常発生順序が所定の順序に整合する場合、前記不正な攻撃が行われていると判定し、
前記所定の順序は、前記複数の車載装置のうち少なくとも２つの車載装置が、所定の侵入経路に沿って、より浅い方からより深い方へ並べられた順序である、
請求項１４に記載の車両用システム。
【請求項１６】
車両に対して用いられる車両用システムの制御方法であって、
前記車両に搭載される複数の車載装置に対する不正な攻撃の侵入の深度に従って、前記車両の外部への通信方法と、前記不正な攻撃に対する防御方法と、前記複数の車載装置に関するログの保存方法とのうち少なくとも１つを変更する、
制御方法。
【請求項１７】
請求項１６に記載の制御方法をコンピュータに実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両用システム等に関する。
【背景技術】
【０００２】
特許文献１には、車載通信ネットワークにセキュリティを提供するためのシステムが提案されている。また、特許文献２には、車載ネットワークに不当に接続された装置を検出する車載システムが提案されている。特許文献３には、時系列データの動向を反映した異常の検知を可能とするネットワーク異常判定装置が提案されている。特許文献４には、セキュリティを向上させる車載ネットワークが提案されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１５−１３６１０７号公報
【特許文献２】特開２０１６−１５１８７１号公報
【特許文献３】特開２００８−１４６１５７号公報
【特許文献４】特開２０１６−１２９３１４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、車両に対して用いられる車両用システムにおいて、攻撃に対する制御が攻撃の影響によって適切に行われない可能性がある。
【０００５】
そこで、本発明は、攻撃に対して適応的な制御を行うことができる車両用システム等を提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明の一態様に係る車両用システムは、車両に対して用いられる車両用システムであって、前記車両に搭載される複数の車載装置と、前記複数の車載装置に対する不正な攻撃の侵入の深度に従って、前記車両の外部への通信方法と、前記不正な攻撃に対する防御方法と、前記複数の車載装置に関するログの保存方法とのうち少なくとも１つを変更する制御器と、を備える。
【０００７】
なお、これらの包括的又は具体的な態様は、システム、装置、方法、集積回路、コンピュータプログラム、又は、コンピュータ読み取り可能なＣＤ−ＲＯＭなどの非一時的な記録媒体で実現されてもよく、システム、装置、方法、集積回路、コンピュータプログラム、及び、記録媒体の任意な組み合わせで実現されてもよい。
【発明の効果】
【０００８】
本発明の一態様に係る車両用システム等は、攻撃に対して適応的な制御を行うことができる。
【図面の簡単な説明】
【０００９】
【図１】図１は、実施の形態１における車両用システム等の構成を示すブロック図である。
【図２】図２は、実施の形態１における車両用システムの機能ブロックを示す模式図である。
【図３】図３は、実施の形態１における侵入の深度を示す概念図である。
【図４】図４は、実施の形態１における車両用システムの動作を示すフローチャートである。
【図５】図５は、実施の形態１における車両用システムの第１具体例を示すブロック図である。
【図６】図６は、実施の形態１における第１侵入例を示す概念図である。
【図７】図７は、第１侵入例において監視ＥＣＵ又は監視ブロックが制御を行う場合の制御例を示すテーブル図である。
【図８】図８は、第１侵入例においてＧＷが制御を行う場合の制御例を示すテーブル図である。
【図９】図９は、第１侵入例においてＡＤＡＳ  ＥＣＵが制御を行う場合の制御例を示すテーブル図である。
【図１０】図１０は、第１侵入例においてＶ２Ｘ  ＥＣＵが制御を行う場合の制御例を示すテーブル図である。
【図１１】図１１は、第１侵入例においてＩＶＩが制御を行う場合の制御例を示すテーブル図である。
【図１２】図１２は、実施の形態１における第２侵入例を示す概念図である。
【図１３】図１３は、第２侵入例において監視ＥＣＵ又は監視ブロックが制御を行う場合の制御例を示すテーブル図である。
【図１４】図１４は、第２侵入例においてＧＷが制御を行う場合の制御例を示すテーブル図である。
【図１５】図１５は、実施の形態１における車両用システムの第２具体例を示すブロック図である。
【図１６】図１６は、実施の形態１における第３侵入例を示す概念図である。
【図１７】図１７は、第３侵入例においてＡＤＡＳ  ＥＣＵが制御を行う場合の制御例を示すテーブル図である。
【図１８】図１８は、実施の形態２における車両用システム等の構成を示すブロック図である。
【図１９】図１９は、実施の形態２における異常検知部の機能ブロックを示す模式図である。
【図２０】図２０は、実施の形態２における車両用システムの動作を示すフローチャートである。
【図２１】図２１は、実施の形態２における不正な攻撃の判定処理を示すフローチャートである。
【図２２】図２２は、実施の形態２における車両用システム等の構成の変形例を示すブロック図である。
【図２３】図２３は、実施の形態２における車両用システムの機能ブロックの変形例を示す模式図である。
【図２４】図２４は、実施の形態２における車両用システムの具体例を示すブロック図である。
【図２５】図２５は、実施の形態２における記憶済みの複数の異常検知結果を示すテーブル図である。
【図２６】図２６は、実施の形態２における新たな異常検知結果及び抽出対象の複数の異常検知結果を示すテーブル図である。
【図２７】図２７は、実施の形態２における異常情報と攻撃情報との比較処理を示す模式図である。
【図２８】図２８は、実施の形態２における所定の攻撃順序の第１例を示す模式図である。
【図２９】図２９は、実施の形態２における所定の攻撃順序の第２例を示す模式図である。
【発明を実施するための形態】
【００１０】
（本発明の基礎となった知見）
インターネットへの常時接続機能を具備した自動車は、コネクテッドカーと呼ばれる。コネクテッドカーは、ハッキングの脅威があるため、防御機能を搭載する。しかし、コネクテッドカーは、１０年以上の長期間において使用される可能性があり、防御機能が陳腐化する可能性がある。そのため、例えばサーバが継続的にコネクテッドカーを（遠隔）監視することで、コネクテッドカーに搭載された防御機能の陳腐化、及び、コネクテッドカーの出荷時に想定されていなかった新たな攻撃を検知するシステムが検討されている。
【００１１】
このような検知システムでは、例えば、定期的なタイミング又は特定のタイミングで、ログがコネクテッドカーからサーバに送信される。そして、サーバで、ハッキング又は攻撃等がログによって検知される。
【００１２】
一方、ハッキング、攻撃又は通信状況等によって、コネクテッドカーがログを送信することが困難な場合がある。これに関して、送信可能でない状態において通信バッファにログを蓄積し、送信可能な状態においてログを送信する方法が用いられ得る。
【００１３】
しかしながら、攻撃によって送信が阻害される可能性もある。また、攻撃者が送信内容を傍受する可能性もある。
【００１４】
そこで、本発明の一態様に係る車両用システムは、車両に対して用いられる車両用システムであって、前記車両に搭載される複数の車載装置と、前記複数の車載装置に対する不正な攻撃の侵入の深度に従って、前記車両の外部への通信方法と、前記不正な攻撃に対する防御方法と、前記複数の車載装置に関するログの保存方法とのうち少なくとも１つを変更する制御器と、を備える。
【００１５】
これにより、車両用システムは、攻撃の状況に従って、通信方法、防御方法又は保存方法等を変更することができる。すなわち、車両用システムは、攻撃に対して適応的な制御を行うことができる。
【００１６】
例えば、前記制御器は、前記侵入の深度に従って、前記複数の車載装置のうち、前記車両の外部への通信に用いられる車載装置を変更することにより、前記通信方法を変更してもよい。
【００１７】
これにより、車両用システムは、攻撃の状況に従って、通信に用いられる車載装置を適応的に変更することができる。したがって、車両用システムは、攻撃によって受ける影響を抑制することができる。
【００１８】
また、例えば、前記複数の車載装置は、テレマティクス通信ユニットを含み、前記制御器は、前記侵入の深度が前記テレマティクス通信ユニットに到達した場合、前記テレマティクス通信ユニットを介した第１通信方法から、前記テレマティクス通信ユニットを介さない第２通信方法に、前記通信方法を変更してもよい。
【００１９】
これにより、車両用システムは、攻撃されたテレマティクス通信ユニットを介さずに、通信を適切に行うことができる。
【００２０】
また、例えば、前記複数の車載装置は、車載インフォテインメントを含み、前記制御器は、前記侵入の深度が前記テレマティクス通信ユニットに到達した場合、前記テレマティクス通信ユニットを介した前記第１通信方法から、前記車載インフォテインメントを介した前記第２通信方法に、前記通信方法を変更してもよい。
【００２１】
これにより、車両用システムは、攻撃されたテレマティクス通信ユニットを介さずに、車載インフォテインメントを介して、通信を適切に行うことができる。
【００２２】
また、例えば、前記制御器は、前記侵入の深度が前記車載インフォテインメントに到達した場合、前記車載インフォテインメントを介さない第３通信方法に、前記通信方法を変更してもよい。
【００２３】
これにより、車両用システムは、攻撃された車載インフォテインメントを介さずに、通信を適切に行うことができる。
【００２４】
また、例えば、前記制御器は、前記侵入の深度に従って、前記複数の車載装置のうち前記ログの保存先として用いられる車載装置を変更することにより、前記保存方法を変更してもよい。
【００２５】
これにより、車両用システムは、攻撃の状況に従って、ログの保存先を適応的に変更することができる。したがって、車両用システムは、攻撃によって受ける影響を抑制することができる。
【００２６】
また、例えば、前記制御器は、前記侵入の深度が前記複数の車載装置に含まれる１以上の車載装置に到達した場合、前記１以上の車載装置のそれぞれのログを保存対象ログに含めることにより、前記保存方法を変更してもよい。
【００２７】
これにより、車両用システムは、１以上の車載装置が攻撃された場合、攻撃された１以上の車載装置のログを保存対象ログに含めることができる。
【００２８】
また、例えば、前記複数の車載装置は、テレマティクス通信ユニットを含み、前記制御器は、前記侵入の深度が前記テレマティクス通信ユニットに到達した場合、前記テレマティクス通信ユニットのログを前記保存対象ログに含めることにより、前記保存方法を変更してもよい。
【００２９】
これにより、車両用システムは、テレマティクス通信ユニットが攻撃された場合、攻撃されたテレマティクス通信ユニットのログを保存対象ログに含めることができる。
【００３０】
また、例えば、前記複数の車載装置は、車載インフォテインメントを含み、前記制御器は、前記侵入の深度が前記車載インフォテインメントに到達した場合、前記車載インフォテインメントのログを前記保存対象ログに含めることにより、前記保存方法を変更してもよい。
【００３１】
これにより、車両用システムは、車載インフォテインメントが攻撃された場合、攻撃された車載インフォテインメントのログを保存対象ログに含めることができる。
【００３２】
また、例えば、前記制御器は、前記侵入の深度が前記複数の車載装置に含まれる第１車載装置に到達した場合、前記複数の車載装置に含まれる第２車載装置であって、前記侵入の深度が前記第１車載装置の次に到達すると推定される第２車載装置のログを保存対象ログに含めることにより、前記保存方法を変更してもよい。
【００３３】
これにより、車両用システムは、次に攻撃される可能性を有する車載装置のログを保存対象ログに含めることができる。
【００３４】
また、例えば、前記複数の車載装置の少なくとも一部は、２つの通信路で通信を行い、前記制御器は、前記侵入の深度が前記２つの通信路のうちの一方に到達した場合、前記２つの通信路のうちの他方で前記複数の車載装置の少なくとも一部が行う通信を継続させ、前記侵入の深度が前記２つの通信路のうちの両方に到達した場合、自動運転の停止、前記車両の走行の停止、又は、フェールセーフの制御を行うことにより、前記防御方法を変更してもよい。
【００３５】
これにより、車両用システムは、２つの通信路のうち、１つの通信路が攻撃された場合と、２つの通信路が攻撃された場合とで、異なる防御方法を用いることができる。そして、車両用システムは、攻撃の状況に従って、防御方法を適切に変更することができる。
【００３６】
また、例えば、前記複数の車載装置は、車載インフォテインメントを含み、前記車載インフォテインメントは、前記制御器を備えてもよい。
【００３７】
これにより、車両用システムは、車両に搭載される車載インフォテインメントによって、攻撃に対して適応的な制御を行うことができる。
【００３８】
また、例えば、前記複数の車載装置は、ゲートウェイを含み、前記ゲートウェイは、前記制御器を備え、前記制御器は、前記複数の車載装置のうち、前記ゲートウェイとは異なる車載装置に、前記ログの一部又は全部を保存してもよい。
【００３９】
これにより、車両用システムは、車両に搭載されるゲートウェイによって、攻撃に対して適応的な制御を行うことができる。そして、車両用システムは、ゲートウェイのメモリ容量が少ない場合にも、他の車載装置にログを保存することができる。
【００４０】
また、例えば、前記車両用システムは、さらに、前記複数の車載装置における異常発生順序に従って、前記不正な攻撃が行われているか否かを判定する判定器を備えてもよい。
【００４１】
これにより、車両用システムは、不正な攻撃が行われているか否かを適切に判定することができる。そして、車両用システムは、不正な攻撃が行われているか否かに従って、適切な制御を行うことができる。
【００４２】
また、例えば、前記判定器は、前記異常発生順序が所定の順序に整合する場合、前記不正な攻撃が行われていると判定し、前記所定の順序は、前記複数の車載装置のうち少なくとも２つの車載装置が、所定の侵入経路に沿って、より浅い方からより深い方へ並べられた順序であってもよい。
【００４３】
これにより、車両用システムは、所定の侵入経路に沿って発生する異常を不正な攻撃として適切に判定することができる。
【００４４】
また、本発明の一態様に係る制御方法は、車両に対して用いられる車両用システムの制御方法であって、前記車両に搭載される複数の車載装置に対する不正な攻撃の侵入の深度に従って、前記車両の外部への通信方法と、前記不正な攻撃に対する防御方法と、前記複数の車載装置に関するログの保存方法とのうち少なくとも１つを変更する、制御方法であってもよい。
【００４５】
これにより、この制御方法を用いる車両用システム等は、攻撃の状況に従って、通信方法、防御方法又は保存方法等を変更することができる。すなわち、この制御方法を用いる車両用システム等は、攻撃に対して適応的な制御を行うことができる。
【００４６】
また、本発明の一態様に係るプログラムは、上記の制御方法をコンピュータに実行させるためのプログラムであってもよい。
【００４７】
これにより、このプログラムを実行するコンピュータ等は、攻撃の状況に従って、通信方法、防御方法又は保存方法等を変更することができる。すなわち、このプログラムを実行するコンピュータ等は、攻撃に対して適応的な制御を行うことができる。
【００４８】
さらに、これらの包括的又は具体的な態様は、システム、装置、方法、集積回路、コンピュータプログラム、又は、コンピュータ読み取り可能なＣＤ−ＲＯＭなどの非一時的な記録媒体で実現されてもよく、システム、装置、方法、集積回路、コンピュータプログラム、及び、記録媒体の任意な組み合わせで実現されてもよい。
【００４９】
以下、実施の形態について図面を参照しながら具体的に説明する。なお、以下で説明する実施の形態は、いずれも包括的または具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、請求の範囲を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。
【００５０】
（実施の形態１）
図１は、本実施の形態における車両用システム等の構成を示すブロック図である。図１に示された車両用システム１００は、複数の車載装置１１０、及び、制御器１２０を備える。基本的には、車両用システム１００は、車両用システム１００に含まれる構成要素の全て又は一部が車両１３０に搭載される車載システムである。また、少なくとも１つの車載装置１１０が、外部ネットワーク１４０を介して、外部装置１５０に接続される。
【００５１】
各車載装置１１０は、車両１３０に搭載される装置である。例えば、複数の車載装置１１０は、１以上の電子制御ユニット（ＥＣＵ：Ｅｌｅｃｔｒｏｎｉｃ  Ｃｏｎｔｒｏｌ  Ｕｎｉｔ）を含んでいてもよい。
【００５２】
また、複数の車載装置１１０は、テレマティクス通信ユニット（ＴＣＵ：Ｔｅｌｅｍａｔｉｃｓ  Ｃｏｍｍｕｎｉｃａｔｉｏｎ  Ｕｎｉｔ）を含んでいてもよい。また、複数の車載装置１１０は、車載インフォテインメント（ＩＶＩ：Ｉｎ−Ｖｅｈｉｃｌｅ  Ｉｎｆｏｔａｉｎｍｅｎｔ）を含んでいてもよい。また、複数の車載装置１１０は、ゲートウェイ（ＧＷ：Ｇａｔｅｗａｙ）を含んでいてもよい。
【００５３】
例えば、複数の車載装置１１０は、車載ネットワークを介して、互いに通信する。また、複数の車載装置１１０における第１車載装置１１０は、複数の車載装置１１０における第２車載装置１１０を介して、複数の車載装置１１０における第３車載装置１１０と通信してもよい。
【００５４】
制御器１２０は、複数の車載装置１１０を制御する制御器である。制御器１２０は、各車載装置１１０に直接接続する場合に限られず、車載装置１１０を介して、他の車載装置１１０に接続してもよい。そして、制御器１２０は、車載装置１１０を介して、他の車載装置１１０を制御してもよい。
【００５５】
また、制御器１２０は、複数の車載装置１１０のいずれかに含まれていてもよい。具体的には、制御器１２０は、複数の車載装置１１０におけるＴＣＵに含まれていてもよい。あるいは、制御器１２０は、複数の車載装置１１０におけるＩＶＩに含まれていてもよい。あるいは、制御器１２０は、複数の車載装置１１０におけるＧＷに含まれていてもよい。あるいは、制御器１２０は、その他の車載装置１１０に含まれていてもよい。
【００５６】
また、制御器１２０は、複数の車載装置１１０に対する不正な攻撃の侵入の深度に従って、車両１３０の外部への通信方法と、不正な攻撃に対する防御方法と、複数の車載装置１１０に関するログの保存方法とのうち少なくとも１つを変更する。例えば、制御器１２０は、侵入の深度の変更に従って、通信方法と防御方法と保存方法とのうち少なくとも１つを変更する。
【００５７】
車両１３０への不正な攻撃の侵入の深度は、例えば、攻撃の結果としてＥＣＵ等の車載装置１１０において攻撃者が意図するようにプログラムが動作する状態になった段階で、進んだと判断される。ただし、攻撃されたＥＣＵ等の車載装置１１０におけるプログラムの動作が複数の機能又は複数のＥＣＵ等に影響を及ぼす状態において、攻撃されたＥＣＵ等のみに深度が進んでいると判断され、その他の関連するＥＣＵ等（影響が及ぶＥＣＵ等）に深度は進んでいないと判断される。
【００５８】
車両１３０は、路上を走る車両である。基本的には、車両用システム１００が車両１３０に搭載される。車両１３０は、ガソリン自動車であってもよいし、電気自動車であってもよいし、ハイブリッド自動車であってもよいし、その他の自動車であってもよい。
【００５９】
外部ネットワーク１４０は、車両１３０の外部の通信ネットワークである。例えば、外部ネットワーク１４０は、インターネットである。少なくとも１つの車載装置１１０は、無線で、外部ネットワーク１４０に接続される。
【００６０】
外部装置１５０は、車両１３０の外部の装置である。例えば、外部装置１５０は、サーバである。外部装置１５０とは、少なくとも１つの車載装置１１０とは、外部ネットワーク１４０を介して、互いに通信する。
【００６１】
図２は、図１に示された車両用システム１００の機能ブロックを示す模式図である。例えば、車両用システム１００は、異常検知部２０１、保存制御部２０２、１以上の保存部２０３、情報収集部２０４、被害検知部２０５、送信制御部２０６、及び、１以上の送信部２０７を備える。
【００６２】
これらの構成要素は、図１に示された制御器１２０に含まれていてもよいし、図１に示された複数の車載装置１１０に含まれていてもよい。あるいは、異常検知部２０１、保存制御部２０２、情報収集部２０４、被害検知部２０５、及び、送信制御部２０６が、制御器１２０に含まれていてもよい。そして、１以上の保存部２０３、及び、１以上の送信部２０７が、複数の車載装置１１０に含まれていてもよい。
【００６３】
異常検知部２０１は、車載装置１１０又は車載ネットワークの異常を検知する情報処理部である。例えば、異常検知部２０１は、車載装置１１０に含まれ、その車載装置１１０を監視することにより、その車載装置１１０の異常を検知してもよい。また、異常検知部２０１は、ネットワーク経由で、車載装置１１０を監視することにより、その車載装置１１０の異常を検知してもよい。異常検知部２０１は、車載ネットワークを監視し、車載ネットワークの異常を検知してもよい。
【００６４】
また、例えば、異常検知部２０１は、車載装置１１０又は車載ネットワークのログ等に従って、車載装置１１０又は車載ネットワークの異常を検知してもよい。
【００６５】
被害検知部２０５は、車両１３０、車載装置１１０又は車載ネットワークの被害を検知する情報処理部である。例えば、被害検知部２０５は、正常な動作が行われない状態を検知する。被害検知部２０５は、車両１３０、車載装置１１０又は車載ネットワークの動作異常、動作停止、反応低下又は反応過剰等を検知してもよい。また、異常検知部２０１が行う検知と、被害検知部２０５が行う検知とは、部分的に重複していてもよい。また、異常が被害を包括していてもよいし、被害が異常を包括していてもよい。
【００６６】
また、例えば、被害検知部２０５は、車載装置１１０又は車載ネットワークのログ等に従って、車両１３０、車載装置１１０又は車載ネットワークの被害を検知してもよい。
【００６７】
保存制御部２０２は、情報の保存を制御する情報処理部である。例えば、保存制御部２０２は、異常検知部２０１及び被害検知部２０５における検知結果に従って、保存先、保存形式、保存タイミング、及び、保存対象情報等を制御する。
【００６８】
具体的には、ＧＷ、ＴＣＵ及びＩＶＩのそれぞれが、保存部２０３を備えている場合、保存制御部２０２は、ＧＷ、ＴＣＵ及びＩＶＩに含まれる複数の保存部２０３のうち、どの保存部２０３に保存するかを制御してもよい。また、保存制御部２０２は、保存対象情報のセキュリティレベルを制御してもよい。例えば、保存制御部２０２は、保存対象情報に署名を付与するか否かを制御してもよい。また、保存制御部２０２は、保存頻度を制御してもよい。
【００６９】
また、保存制御部２０２は、異常発生時を含む一定期間の範囲の全ログを保存対象情報として決定してもよいし、全ログ、異常ログ、正常ログ及びサンプリングログ等の中から保存対象情報を決定してもよい。また、保存制御部２０２は、情報収集部２０４を介して、車載装置１１０及び車載ネットワーク等から、情報を収集し、収集された情報を保存部２０３へ保存してもよい。
【００７０】
保存部２０３は、情報を保存する情報処理部である。例えば、保存部２０３は、メモリ等の記憶部である。保存制御部２０２が情報を保存部２０３に保存することにより、保存部２０３に情報が保存される。
【００７１】
また、車両用システム１００は、１つの保存部２０３を備えていてもよいし、複数の保存部２０３を備えていてもよい。また、１つの車載装置１１０が、複数の保存部２０３を備えていてもよいし、複数の車載装置１１０のそれぞれが、１つ以上の保存部２０３を備えていてもよい。また、制御器１２０が、保存部２０３を備えていてもよい。
【００７２】
送信制御部２０６は、情報の送信を制御する情報処理部である。例えば、送信制御部２０６は、異常検知部２０１及び被害検知部２０５における検知結果に従って、送信先、送信経路、送信タイミング、及び、送信対象情報等を制御する。
【００７３】
具体的には、送信制御部２０６は、サーバ、インフラ、情報端末及び他の車両等から、送信先を選択してもよい。また、送信制御部２０６は、携帯電話網、ＷｉＦｉ（登録商標）、ＤＳＲＣ（Ｄｅｄｉｃａｔｅｄ  Ｓｈｏｒｔ  Ｒａｎｇｅ  Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ）、及び、Ｖ２Ｖ等から、送信経路を選択してもよい。また、送信制御部２０６は、送信頻度を制御してもよい。
【００７４】
また、送信制御部２０６は、異常発生時を含む一定期間の範囲の全ログを送信対象情報として決定してもよいし、全ログ、異常ログ、正常ログ及びサンプリングログ等の中から、送信対象情報を決定してもよい。また、送信制御部２０６は、情報収集部２０４を介して、車載装置１１０及び車載ネットワーク等から、情報を収集し、収集された情報を送信部２０７に送信させてもよい。
【００７５】
送信部２０７は、情報を送信する情報処理部である。例えば、送信部２０７は、無線で情報を送信するためのアンテナを備えていてもよい。送信制御部２０６が情報を送信部２０７に送信させることにより、送信部２０７が情報を送信する。
【００７６】
また、車両用システム１００は、１つの送信部２０７を備えていてもよいし、複数の送信部２０７を備えていてもよい。また、１つの車載装置１１０が、複数の送信部２０７を備えていてもよいし、複数の車載装置１１０のそれぞれが、１つ以上の送信部２０７を備えていてもよい。また、制御器１２０が、送信部２０７を備えていてもよい。
【００７７】
情報収集部２０４は、情報を収集する情報処理部である。例えば、情報収集部２０４は、複数の車載装置１１０及び車載ネットワーク等から、保存対象情報及び送信対象情報等を収集する。情報収集部２０４は、車載装置１１０から車載ネットワークを介して保存対象情報及び送信対象情報等を収集してもよい。また、情報収集部２０４は、１つの車載装置１１０から、車載ネットワーク及び他の車載装置１１０等を介して、保存対象情報及び送信対象情報等を収集してもよい。
【００７８】
例えば、制御器１２０は、保存制御部２０２及び送信制御部２０６等を備え、複数の車載装置１１０に対する不正な攻撃の侵入の深度に従って、ログの保存方法、及び、ログの送信方法等を変更してもよい。なお、図２の構成は、一例であって、車両用システム１００の構成は、図２の例に限られない。
【００７９】
図３は、図１に示された車両用システム１００における侵入の深度を示す概念図である。車両用システム１００は、外部ネットワーク１４０に接続されている。そのため、不正な攻撃が、外部ネットワーク１４０から、車両用システム１００に侵入する可能性がある。
【００８０】
例えば、車両用システム１００における複数の車載装置１１０は、外部ネットワーク１４０に直接的に接続される車載装置１１０、及び、他の車載装置１１０を介して外部ネットワーク１４０に接続される車載装置１１０を含む。さらに、車両用システム１００における複数の車載装置１１０は、２以上の他の車載装置１１０を介して外部ネットワーク１４０に接続される車載装置１１０を含み得る。
【００８１】
これにより、車両用システム１００における複数の車載装置１１０は、通信経路上、外部ネットワーク１４０から近い車載装置１１０、及び、外部ネットワーク１４０から遠い車載装置１１０を含み得る。基本的に、車両用システム１００に対する不正な攻撃は、外部ネットワーク１４０から近い車載装置１１０から行われ、順次、外部ネットワーク１４０から遠い車載装置１１０に対して行われる。
【００８２】
また、基本的に、外部ネットワーク１４０から近い車載装置１１０は、車両１３０の駆動制御との関係が浅い情報系の車載装置であり、外部ネットワーク１４０から遠い車載装置１１０は、車両１３０の駆動制御との関係が深い制御系の車載装置である。すなわち、不正な攻撃は、車両１３０の駆動制御との関係が浅い情報系の車載装置１１０から行われ、順次、車両１３０の駆動制御との関係が深い制御系の車載装置１１０に対して行われる。
【００８３】
例えば、情報系の車載装置１１０が、不正な攻撃を受けて、攻撃者に乗っ取られ、次に、より車両１３０の駆動制御に近い車載装置１１０が、不正な攻撃を受ける。そして、最終的に、車両１３０の駆動制御との関係が深い制御系の車載装置１１０が、不正な攻撃を受けて、攻撃者に乗っ取られ、車両１３０が攻撃者に制御される可能性がある。
【００８４】
上記のように、車両用システム１００に対する不正な攻撃は、例えば、外部ネットワーク１４０から近い車載装置１１０から遠い車載装置１１０へ順次行われる。また、車両用システム１００に対する不正な攻撃は、例えば、情報系の車載装置１１０から制御系の車載装置１１０へ順次行われる。また、車両用システム１００に対する不正な攻撃は、複数の車載装置１１０に対する侵入経路を辿って、行われる。
【００８５】
不正な攻撃が、車両用システム１００に対して、どの程度侵入しているかは、侵入の深度として表現され得る。侵入が外部ネットワーク１４０から近い位置である場合、侵入は浅いと表現され得る。侵入が外部ネットワーク１４０から遠い位置である場合、侵入は深いと表現され得る。
【００８６】
侵入の深度は、他の侵入態様との比較によって相対的に評価されてもよい。例えば、想定される所定の侵入経路に基づいて、複数の車載装置１１０に対して順序が規定される。具体的には、１番目の車載装置１１０及び２番目の車載装置１１０等が規定される。そして、１番目の車載装置１１０に対する不正な攻撃の侵入は、２番目の車載装置１１０に対する不正な攻撃の侵入よりも浅いと評価されてもよい。
【００８７】
あるいは、侵入の深度は、絶対的な数値によって規定されてもよい。例えば、侵入の深度は、想定される所定の侵入経路において、攻撃された車載装置１１０に到達するまでに経由する車載装置１１０の数によって規定されてもよい。
【００８８】
また、侵入の深度は、複数の車載装置１１０のうち、不正な攻撃を受けた車載装置１１０に対応して規定されることに限られず、各車載装置１１０に対する侵入の度合いによって規定されてもよい。
【００８９】
例えば、車載装置１１０が不正な攻撃を受けている状態における侵入の深度は、車載装置１１０が不正な攻撃によって既に乗っ取られている状態における侵入の深度よりも浅いと評価されてもよい。また、車載装置１１０が複数の機能を有する場合、不正な攻撃を受けた機能数、又は、乗っ取られた機能数等に従って規定されてもよい。例えば、不正な攻撃を受けた機能数、又は、乗っ取られた機能数が多いほど、攻撃の侵入の深度が深いと規定されてもよい。
【００９０】
より具体的には、車載装置１１０が、２つの通信路で通信を行うための２つの通信機能を有する場合がある。この場合、１つの通信機能が攻撃された状態、又は、１つの通信機能が乗っ取られた状態における侵入の深度よりも、２つの通信機能が攻撃された状態、又は、２つの通信機能が乗っ取られた状態における侵入の深度が深いと規定されてもよい。
【００９１】
また、侵入の深度は、車両用システム１００の多層防御における複数のレイヤに基づいていてもよい。例えば、多層防御の複数のレイヤのうち、不正な攻撃を受けたレイヤが何層目に該当するかに従って、侵入の深度が特定されてもよい。
【００９２】
なお、侵入の深度は、度合いとも表現され得る。この場合、侵入の深度が深いほど、侵入の度合いは大きい。また、侵入の深度は、侵入の進行度とも表現され得る。この場合、侵入の深度が深いほど、侵入の進行度は大きい。また、侵入の深度は、侵入の達成度とも表現され得る。この場合、侵入の深度が深いほど、侵入の達成度は高い。
【００９３】
車載装置１１０又はその機能が攻撃され乗っ取られた場合、車載装置１１０又はその機能が正常に動作しない状態に陥る。車載装置１１０又はその機能が攻撃され乗っ取られた状態は、攻撃が成功した状態と表現され得る。一方、車載装置１１０又はその機能が攻撃されていても乗っ取られることなく正常に動作する状態は、攻撃が失敗した状態と表現され得る。攻撃が成功した状態における侵入の深度は、攻撃が失敗した状態における侵入の深度よりも深いと規定されてもよい。
【００９４】
図４は、図１に示された車両用システム１００が行う基本的な動作を示すフローチャートである。
【００９５】
制御器１２０は、複数の車載装置１１０に対する不正な攻撃の侵入の深度に従って、車両１３０の外部への通信方法と、不正な攻撃に対する防御方法と、複数の車載装置１１０に関するログの保存方法とのうち少なくとも１つを変更する（Ｓ１０１）。ここで、不正な攻撃の侵入の深度は、複数の車載装置１１０のそれぞれに対する不正な攻撃の侵入の深度であってもよいし、複数の車載装置１１０の全体に対する不正な攻撃の侵入の深度であってもよい。
【００９６】
具体的には、制御器１２０は、通信先、通信経路、どの車載装置１１０が通信に用いられるか、通信頻度、通信タイミング、及び、通信内容のうち、少なくとも１つを変更することにより、通信方法を変更してもよい。また、制御器１２０は、車両１３０又は１以上の車載装置１１０等の動作モードを変更することにより、防御方法を変更してもよい。
【００９７】
また、制御器１２０は、保存先、どの車載装置１１０が保存に用いられるか、保存頻度、保存タイミング、保存内容、保存内容の署名の有無、及び、保存内容の暗号化の有無のうち、少なくとも１つを変更することにより、保存方法を変更してもよい。
【００９８】
例えば、制御器１２０は、侵入が深い場合に、侵入が浅い場合とは異なる通信経路を通信に用いてもよい。また、制御器１２０は、侵入が深い場合に、侵入が浅い場合とは異なる動作を攻撃に対する防御として複数の車載装置１１０に行わせてもよい。また、制御器１２０は、侵入が深い場合に、侵入が浅い場合とは異なる保存先にログを保存してもよい。
【００９９】
また、制御器１２０は、不正な攻撃の侵入の深度に従って、侵入経路上の車載装置１１０のログを収集して、侵入経路上の車載装置１１０のログを送信又は保存してもよい。
【０１００】
また、侵入が深い場合と、侵入が浅い場合とで、車両用システム１００における複数の車載装置１１０のうち、利用可能な車載装置１１０が異なる。制御器１２０は、侵入の深度に従って、利用可能な車載装置１１０を選択し、利用可能な車載装置１１０が用いられるように、通信、防御又は保存の制御を行ってもよい。すなわち、制御器１２０は、攻撃されている車載装置１１０が用いられないように、通信、防御又は保存の制御を行ってもよい。
【０１０１】
これにより、制御器１２０は、攻撃の状況に従って、通信方法、防御方法又は保存方法等を変更することができる。すなわち、制御器１２０は、攻撃に対して適応的な制御を行うことができる。
【０１０２】
また、制御器１２０は、複数の車載装置１１０のそれぞれにおける異常を検知してもよい。例えば、制御器１２０は、複数の車載装置１１０のうちの１つの車載装置１１０において異常が発生した場合、１つの車載装置１１０において発生した異常を検知する。制御器１２０は、複数の車載装置１１０のそれぞれのログを収集し、ログに基づいて異常を検知してもよいし、複数の車載装置１１０に対してコマンドを送信し、その応答に基づいて異常を検知してもよい。
【０１０３】
そして、制御器１２０は、検知された異常に従って、不正な攻撃の侵入の深度を推定してもよい。例えば、制御器１２０は、異常が検知された車載装置１１０まで、侵入の深度が到達していると推定してもよい。そして、制御器１２０は、推定された深度に従って、通信方法、防御方法又は保存方法等を変更してもよい。
【０１０４】
また、侵入の深度が車載装置１１０に到達するとは、侵入が車載装置１１０に到達する、又は、攻撃が車載装置１１０に到達するとも表現され得る。
【０１０５】
以下、図５〜図１７を用いて、上述した車両用システム１００のより具体的な例を説明する。
【０１０６】
図５は、図１に示された車両用システム１００の第１具体例を示すブロック図である。図５に示された車両用システム１００は、車両３１０に搭載され、Ｅ−ｃａｌｌ３１１、ＴＣＵ３１２、ＩＶＩ３１３、ＧＷ３１５、ＡＤＡＳ  ＥＣＵ３１７、Ｖ２Ｘ  ＥＣＵ３１８、１以上のＥＣＵ３１９、及び、１以上の制御系ＥＣＵ３２０等を備える。例えば、ＴＣＵ３１２及びＩＶＩ３１３は、ＵＳＢ（ユニバーサルシリアルバス）によって接続される。
【０１０７】
また、Ｅ−ｃａｌｌ３１１、ＴＣＵ３１２、ＩＶＩ３１３、及び、ＧＷ３１５は、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）又はイーサネット（登録商標）によって接続される。また、ＧＷ３１５、ＡＤＡＳ  ＥＣＵ３１７、及び、Ｖ２Ｘ  ＥＣＵ３１８は、ＣＡＮ又はイーサネット（登録商標）によって接続される。また、ＧＷ３１５、１以上のＥＣＵ３１９、及び、１以上の制御系ＥＣＵ３２０は、ＣＡＮ又はイーサネット（登録商標）によって接続される。
【０１０８】
また、車両用システム１００の少なくとも一部の構成要素間は、ＣＡＮ及びイーサネット（登録商標）の両方で接続されてもよく、ＣＡＮ及びイーサネット（登録商標）の両方で通信可能であってもよい。
【０１０９】
ここでは、ＡＤＡＳ  ＥＣＵ３１７、及び、Ｖ２Ｘ  ＥＣＵ３１８が接続するバスと、１以上のＥＣＵ３１９、及び、１以上の制御系ＥＣＵ３２０が接続するバスとが互いに異なっている。しかしながら、ＡＤＡＳ  ＥＣＵ３１７、Ｖ２Ｘ  ＥＣＵ３１８、１以上のＥＣＵ３１９、及び、１以上の制御系ＥＣＵ３２０が共通のバスに接続してもよい。
【０１１０】
また、Ｅ−ｃａｌｌ３１１、及び、ＴＣＵ３１２は、携帯電話網を介してインターネット３０２に接続され、インターネット３０２を介して、サーバ３０１に接続される。また、ＩＶＩ３１３は、Ｂｌｕｅｔｏｏｔｈ（登録商標）、ＵＳＢ又はＷｉＦｉ（登録商標）によってＡＰ３０３又は端末装置３０４等に接続される。そして、ＩＶＩ３１３は、ＡＰ３０３又は端末装置３０４等を介してインターネット３０２に接続され、インターネット３０２を介してサーバ３０１に接続される。
【０１１１】
また、Ｖ２Ｘ  ＥＣＵ３１８は、ＤＳＲＣ又はＷｉＦｉ（登録商標）によって車両３０５又はインフラ３０６に接続される。車両３０５及びインフラ３０６は、インターネット３０２に接続され、インターネット３０２を介して、サーバ３０１に接続される。
【０１１２】
Ｅ−ｃａｌｌ３１１、ＴＣＵ３１２、ＩＶＩ３１３、ＧＷ３１５、ＡＤＡＳ  ＥＣＵ３１７、Ｖ２Ｘ  ＥＣＵ３１８、１以上のＥＣＵ３１９、及び、１以上の制御系ＥＣＵ３２０は、図１に示された複数の車載装置１１０の例である。また、サーバ３０１は、図１に示された外部装置１５０の例である。また、インターネット３０２は、図１に示された外部ネットワーク１４０の例である。
【０１１３】
Ｅ−ｃａｌｌ３１１は、事故発生時に情報を自動的に送信する情報処理部である。Ｅ−ｃａｌｌ３１１は、自動緊急通報装置とも表現され得る。例えば、Ｅ−ｃａｌｌ３１１は、携帯電話網を介して無線でインターネット３０２に接続し、インターネット３０２を介して情報をサーバ３０１へ送信する。Ｅ−ｃａｌｌ３１１は、無線で通信を行うためのアンテナを含んでいてもよい。また、Ｅ−ｃａｌｌ３１１は、ＴＣＵ３１２と一体化されていてもよい。
【０１１４】
ＴＣＵ（テレマティクス通信ユニット）３１２は、通信を行う情報処理部である。例えば、ＴＣＵ３１２は、携帯電話網を介して無線でインターネット３０２に接続し、インターネット３０２を介してサーバ３０１と通信する。ＴＣＵ３１２は、無線で通信を行うためのアンテナを含んでいてもよい。また、ＴＣＵ３１２は、Ｅ−ｃａｌｌ３１１と一体化されていてもよい。
【０１１５】
ＩＶＩ（車載インフォテインメント）３１３は、情報及び娯楽等の提供を行う情報処理部である。ＩＶＩ３１３は、情報提供装置とも表現され得る。例えば、ＩＶＩ３１３は、カーナビ、カーオーディオ又はテレビチューナー等として用いられる。
【０１１６】
例えば、ＩＶＩ３１３は、Ｂｌｕｅｔｏｏｔｈ（登録商標）又はＷｉＦｉ（登録商標）等の通信機能を有しており、ＡＰ３０３又は端末装置３０４等に接続してもよい。さらに、ＩＶＩ３１３は、ＡＰ３０３又は端末装置３０４等を介してインターネット３０２に接続し、インターネット３０２を介してサーバ３０１と通信してもよい。また、ＩＶＩ３１３は、無線で通信を行うためのアンテナを含んでいてもよい。
【０１１７】
ＧＷ（ゲートウェイ）３１５は、複数のネットワークを接続する情報処理部であって、１つのネットワークから他のネットワークへ情報を転送する。例えば、ＧＷ３１５は、Ｅ−ｃａｌｌ３１１とＴＣＵ３１２とＩＶＩ３１３とのネットワークと、ＡＤＡＳ  ＥＣＵ３１７とＶ２Ｘ  ＥＣＵ３１８とのネットワークと、１以上のＥＣＵ３１９と１以上の制御系ＥＣＵ３２０とのネットワークとを接続する。
【０１１８】
また、ＧＷ３１５は、車両３１０における他の各構成要素と複数の通信路で通信可能であってもよい。例えば、ＧＷ３１５は、主通信路としてＣＡＮの通信路で通信を行い、副通信路としてイーサネット（登録商標）の通信路で通信を行ってもよい。そして、ＧＷ３１５は、通信路毎に独立したハードウェア及びソフトウェアを備えていてもよい。これにより、ＧＷ３１５は、一方の通信路が利用不可であっても、他方の通信路を利用できる場合がある。一方の通信路のみで最低限の制御を行う動作モードをセーフモードと呼ぶ。
【０１１９】
ＡＤＡＳ（先進運転支援システム：Ａｄｖａｎｃｅｄ  Ｄｒｉｖｅｒ  Ａｓｓｉｓｔａｎｔ  Ｓｙｓｔｅｍ）  ＥＣＵ３１７は、車両３１０のドライバーの運転操作を支援する情報処理部である。例えば、ＡＤＡＳ  ＥＣＵ３１７は、車両３１０を運転するための信号を制御系ＥＣＵ３２０へ送信することにより、レーンキープ又は自動ブレーキ等の運転支援を行う。すなわち、ＡＤＡＳ  ＥＣＵ３１７は、車両３１０の運転の自動化を支援するための制御を行う。
【０１２０】
Ｖ２Ｘ  ＥＣＵ３１８は、他の車両３０５又はインフラ３０６等と通信する情報処理部である。他の車両３０５との通信は、車車間通信（Ｖ２Ｖ）とも呼ばれる。インフラ３０６との通信は、路車間通信（Ｖ２Ｉ）とも呼ばれる。また、Ｖ２Ｘ  ＥＣＵ３１８は、Ｖ２Ｘ通信部とも表現され得る。例えば、Ｖ２Ｘ  ＥＣＵ３１８は、無線で、他の車両３０５又はインフラ３０６等と接続し、他の車両３０５又はインフラ３０６等と通信する。Ｖ２Ｘ  ＥＣＵ３１８は、無線で通信を行うためのアンテナを含んでいてもよい。
【０１２１】
ＥＣＵ３１９は、車両３１０の電子制御を行う情報処理部である。ＥＣＵ３１９は、車両３１０の駆動制御とは異なる制御を行う。ＥＣＵ３１９は、窓の開閉を制御してもよいし、ドアロックを制御してもよい。
【０１２２】
制御系ＥＣＵ３２０は、ＥＣＵ３１９と同様に、車両３１０の電子制御を行う情報処理部である。制御系ＥＣＵ３２０は、車両３１０の駆動制御を行う。制御系ＥＣＵ３２０は、車両３１０の走行を制御してもよいし、車両３１０の停止を制御してもよい。また、制御系ＥＣＵ３２０は、車両３１０の走行速度を制御してもよいし、車両３１０の走行方向（ステアリング）を制御してもよい。
【０１２３】
サーバ３０１は、情報処理を行う情報処理装置である。サーバ３０１は、インターネット３０２等を介して、車両３１０と通信する。例えば、サーバ３０１は、車両３１０からログ等の情報を収集し、ログ等の情報を解析することにより不正な攻撃等の情報を取得し、車両３１０へ不正な攻撃等の情報を提供する。
【０１２４】
インターネット３０２は、情報通信を行うための通信ネットワークである。サーバ３０１及び車両３１０等が、インターネット３０２を介して、通信を行う。
【０１２５】
ＡＰ（アクセスポイント）３０３は、無線通信を行う情報処理装置である。ＡＰ３０３は、無線基地局とも呼ばれる。例えば、ＡＰ３０３は、ＩＶＩ３１３と無線で通信を行う。また、ＡＰ３０３は、無線又は有線でインターネット３０２に接続し、インターネット３０２を介して、サーバ３０１と通信を行う。これにより、ＡＰ３０３は、ＩＶＩ３１３とサーバ３０１との間の通信を中継する。
【０１２６】
端末装置３０４は、通信を行う情報処理装置である。端末装置３０４は、携帯情報端末であってもよいし、携帯電話であってもよいし、スマートフォンであってもよいし、タブレットであってもよい。例えば、端末装置３０４は、無線又は有線でＩＶＩ３１３と通信を行う。また、端末装置３０４は、無線でインターネット３０２に接続し、インターネット３０２を介して、サーバ３０１と通信を行う。これにより、端末装置３０４は、ＩＶＩ３１３とサーバ３０１との間の通信を中継する。
【０１２７】
車両３０５は、車両３１０とは別の車両である。車両３０５は、車両３１０と車車間通信を行う。また、車両３０５は、インターネット３０２に接続し、インターネット３０２を介してサーバ３０１と通信可能であってもよい。また、車両３０５は、車両３１０と同様に構成されていてもよい。
【０１２８】
インフラ３０６は、道路又は信号機等の設備である。インフラ３０６は、車両３１０と路車間通信を行う。また、インフラ３０６は、インターネット３０２に接続し、インターネット３０２を介してサーバ３０１と通信可能であってもよい。
【０１２９】
車両用システム１００は、さらに、制御器１２０の役割を果たす監視ＥＣＵ３１６を備えてもよい。
【０１３０】
監視ＥＣＵ３１６は、車両用システム１００に含まれるＥ−ｃａｌｌ３１１、ＴＣＵ３１２、ＩＶＩ３１３、ＧＷ３１５、ＡＤＡＳ  ＥＣＵ３１７、Ｖ２Ｘ  ＥＣＵ３１８、１以上のＥＣＵ３１９、及び、１以上の制御系ＥＣＵ３２０等を監視する。また、監視ＥＣＵ３１６は、複数の車載ネットワークに接続され、複数の車載ネットワークを監視する。ここで、複数の車載ネットワークは、例えば、ＣＡＮで通信を行うための複数のバスを含む。
【０１３１】
監視ＥＣＵ３１６は、１以上の車載ネットワークを介して、Ｅ−ｃａｌｌ３１１、ＴＣＵ３１２、ＩＶＩ３１３、ＧＷ３１５、ＡＤＡＳ  ＥＣＵ３１７、Ｖ２Ｘ  ＥＣＵ３１８、１以上のＥＣＵ３１９、及び、１以上の制御系ＥＣＵ３２０等を監視してもよい。例えば、監視ＥＣＵ３１６は、各構成要素からログを取得して、ログに従って不正な動作を検知してもよい。あるいは、監視ＥＣＵ３１６は、各構成要素へ指示信号を送信し、その応答信号に従って不正な動作を検知してもよい。
【０１３２】
車両用システム１００は、監視ＥＣＵ３１６の代わりに、ＩＶＩ３１３において、監視ＥＣＵ３１６と同様の役割を果たす監視ブロック３１４を備えてもよい。例えば、監視ブロック３１４は、ＩＶＩ３１３において、ＩＶＩ３１３の基本機能の実装部分と隔離して実装されてもよい。監視ブロック３１４の実装には、ハイパーバイザ、マルチＣＰＵ、マルチコア、又は、ＴｒｕｓｔＺｏｎｅ（登録商標）等が用いられてもよい。
【０１３３】
例えば、サーバ３０１に対する正常ログ及び異常ログの常時送信又は緊急送信が、不正な攻撃によって阻害される場合がある。また、事故検証用ログを車両３１０に保存することが困難な場合がある。また、ＴＣＵ３１２又はＧＷ３１５が不正な攻撃で乗っ取られ、不正な攻撃に対する防御が困難な場合がある。
【０１３４】
これに対して、例えば、ＩＶＩ３１３が、車両用システム１００のディペンダビリティの向上に用いられてもよい。具体的には、ＩＶＩ３１３は、常時ログを保存し、通信可能時に送信を行ってもよい。また、ＩＶＩ３１３は、緊急時に、ＩＶＩ３１３のリソースを用いて、車両３１０の状態を特定し、ＡＤＡＳの無効化を行ってもよい。
【０１３５】
また、ＩＶＩ３１３は、セキュリティチップを用いて、事故発生時のログを署名付きで保存してもよい。また、ＩＶＩ３１３は、セキュリティチップを用いて完全性を保証することで、ＴＣＵ３１２又はＧＷ３１５の乗っ取りを監視してもよい。
【０１３６】
また、ＩＶＩ３１３が、仮想化技術、又は、ＣＰＵの二重化等によって、２つ以上のブロックに分離されてもよい。そして、上述したように、１つのブロック（監視ブロック３１４）に、監視機能が配置されてもよい。そして、監視ブロック３１４は、ＴＣＵ３１２及びＧＷ３１５等を監視し、異常及び被害の状態を特定してもよい。
【０１３７】
また、ＴＣＵ３１２は、正常ログの定期アップロード、及び、異常発生時の緊急通知を行ってもよい。一方で、ＩＶＩ３１３は、ＴＣＵ３１２が正常ログの定期アップロードを行えない場合、正常ログの一時保存及び再アップロードを行ってもよい。
【０１３８】
また、ＩＶＩ３１３は、異常時の分析に必要なログの収集、選別、保存及びアップロードを行ってもよい。また、ＩＶＩ３１３は、ＴＣＵ３１２の乗っ取りを検知してもよい。また、ＴＣＵ３１２が乗っ取られた場合、ＩＶＩ３１３は、ＷｉＦｉ（登録商標）等の別の通信経路で通信を行ってもよい。また、ＩＶＩ３１３は、エビデンスログを保存してもよい。
【０１３９】
また、ＩＶＩ３１３の代わりに、ＧＷ３１５が監視を行ってもよいし、ＡＤＡＳ  ＥＣＵ３１７が監視を行ってもよいし、Ｖ２Ｘ  ＥＣＵ３１８が監視を行ってもよい。また、ＧＷ３１５が二重化されてもよいし、ＡＤＡＳ  ＥＣＵ３１７が二重化されてもよいし、Ｖ２Ｘ  ＥＣＵ３１８が二重化されてもよい。すなわち、監視ブロック３１４が、ＧＷ３１５に配置されてもよいし、ＡＤＡＳ  ＥＣＵ３１７に配置されてもよいし、Ｖ２Ｘ  ＥＣＵ３１８に配置されてもよい。
【０１４０】
図６は、図５に示された車両用システム１００における第１侵入例を示す概念図である。例えば、車両用システム１００に対して、ＴＣＵ３１２、ＩＶＩ３１３、ＧＷ３１５、ＡＤＡＳ  ＥＣＵ３１７、及び、制御系ＥＣＵ３２０の順で、攻撃が行われると想定される。
【０１４１】
なお、ＴＣＵ３１２への攻撃はスキップされる場合もある。例えば、ＴＣＵ３１２が土管のように用いられている場合、ＴＣＵ３１２が乗っ取られることなく、ＩＶＩ３１３が攻撃される可能性がある。また、ＡＤＡＳ  ＥＣＵ３１７への攻撃はスキップされる場合がある。例えば、ＧＷ３１５が乗っ取られた場合、ＡＤＡＳ  ＥＣＵ３１７へ攻撃されることなく、制御系ＥＣＵ３２０が攻撃される可能性がある。
【０１４２】
図７は、図５に示された車両用システム１００における第１侵入例において監視ＥＣＵ３１６又は監視ブロック３１４が制御を行う場合の制御例を示すテーブル図である。図７には、第１侵入例における侵入の各深度において、監視ＥＣＵ３１６又は監視ブロック３１４が行う制御が示されている。この例において、監視ＥＣＵ３１６は、侵入の深度に従って、通知、防御及び保存に関する制御を変更する。なお、通知と同様の通信方法で、保存されたログがサーバ３０１へ送信されてもよい。
【０１４３】
例えば、ＴＣＵ３１２に対する攻撃が失敗した場合、監視ＥＣＵ３１６は、ＴＣＵ３１２で攻撃の情報をサーバ３０１へ通知する。また、ＴＣＵ３１２に対する攻撃が成功した場合、監視ＥＣＵ３１６は、ＩＶＩ３１３で攻撃の情報をサーバ３０１へ通知する。
【０１４４】
また、ＴＣＵ３１２が攻撃された場合、監視ＥＣＵ３１６は、ＴＣＵ３１２を停止し、ＴＣＵ３１２を介さない通信系へ、外部との通信系を切り替える。なお、ＴＣＵ３１２に対する攻撃が失敗していれば、監視ＥＣＵ３１６は、ＴＣＵ３１２で攻撃の情報をサーバ３０１へ通知してから、ＴＣＵ３１２を介さない通信系へ、外部との通信系を切り替えてもよい。
【０１４５】
また、ＴＣＵ３１２が攻撃された場合、監視ＥＣＵ３１６は、ＴＣＵ３１２のログ、及び、ＴＣＵ３１２が接続している車載ネットワークのログを収集し、これらのログに署名を付与して、これらのログを監視ＥＣＵ３１６において保存する。具体的には、監視ＥＣＵ３１６は、監視ＥＣＵ３１６が備えるメモリにログを保存する。その際、監視ＥＣＵ３１６は、ＧＰＳ（Ｇｌｏｂａｌ  Ｐｏｓｉｔｉｏｎｉｎｇ  Ｓｙｓｔｅｍ）及びＧＰＳ時間を用いて、位置情報及びタイムスタンプをログに付加してもよい。
【０１４６】
また、ＩＶＩ３１３が攻撃された場合において、ＴＣＵ３１２が利用可能なら、監視ＥＣＵ３１６は、ＴＣＵ３１２で攻撃の情報をサーバ３０１へ通知する。ＴＣＵ３１２が利用不可なら、監視ＥＣＵ３１６は、Ｖ２Ｘ  ＥＣＵ３１８又はＥ−ｃａｌｌ３１１で攻撃の情報をサーバ３０１へ通知する。全てが利用不可なら、監視ＥＣＵ３１６は、攻撃の情報をユーザへ通知する。
【０１４７】
ＩＶＩ３１３よりも深くに侵入が到達した場合も、同様の通信経路で通知が行われる。監視ＥＣＵ３１６は、通知する情報を深度に従って変更してもよい。
【０１４８】
また、ＩＶＩ３１３が攻撃された場合、監視ＥＣＵ３１６は、ＩＶＩ３１３を停止し、ＩＶＩ３１３を介さない通信系へ、外部との通信系を切り替える。また、ＩＶＩ３１３が攻撃された場合、監視ＥＣＵ３１６は、保存対象のログに、ＩＶＩ３１３のログ、及び、ＩＶＩ３１３が接続している車載ネットワークのログを追加する。つまり、この場合、監視ＥＣＵ３１６は、ＩＶＩ３１３のログ、及び、ＩＶＩ３１３が接続している車載ネットワークのログを新たに保存する。
【０１４９】
また、２つの通信路のそれぞれの通信機能を有するＧＷ３１５の一方の通信路の通信機能に対する攻撃が成功した場合、監視ＥＣＵ３１６は、利用可能な他方の通信路を介して、ＧＷ３１５の動作モードをセーフモードに切り替える。これにより、２つの通信路のうち利用可能な他方の通信路のみが通信に利用される。ＧＷ３１５の全通信路に対する攻撃が成功した場合、監視ＥＣＵ３１６は、自動運転を停止する。あるいは、この場合、監視ＥＣＵ３１６は、自動運転をフェールセーフへ移行する。あるいは、この場合、監視ＥＣＵ３１６は、車両３１０の走行を停止させるよう指示してもよい。
【０１５０】
また、ＧＷ３１５の一方の通信路が攻撃された場合、監視ＥＣＵ３１６は、攻撃された通信路の情報等をＡＤＡＳ  ＥＣＵ３１７及び制御系ＥＣＵ３２０等へ通知する。これにより、監視ＥＣＵ３１６は、ＡＤＡＳ  ＥＣＵ３１７及び制御系ＥＣＵ３２０等が、攻撃された通信路から信号を受信しないように制御する。
【０１５１】
また、ＧＷ３１５が攻撃された場合、監視ＥＣＵ３１６は、ＣＡＮにおける不正コマンドをエラーフレームで上書きする。例えば、監視ＥＣＵ３１６は、ＧＷ３１５から出力されるコマンドを検知した場合、エラーフレームを出力することで、ＧＷ３１５から出力されるコマンドをエラーフレームで上書きする。
【０１５２】
また、ＧＷ３１５が攻撃された場合、監視ＥＣＵ３１６は、保存対象のログに、ＧＷ３１５のログを追加する。監視ＥＣＵ３１６は、ＧＷ３１５のログを通信路毎に保存してもよい。
【０１５３】
また、ＡＤＡＳ  ＥＣＵ３１７又は制御系ＥＣＵ３２０が攻撃された場合、監視ＥＣＵ３１６は、ＣＡＮにおける不正コマンドをエラーフレームで上書きしてもよい。例えば、監視ＥＣＵ３１６は、ＡＤＡＳ  ＥＣＵ３１７又は制御系ＥＣＵ３２０から出力されるコマンドを検知した場合、エラーフレームを出力してもよい。これにより、ＡＤＡＳ  ＥＣＵ３１７又は制御系ＥＣＵ３２０から出力されるコマンドがエラーフレームで上書きされる。
【０１５４】
また、ＡＤＡＳ  ＥＣＵ３１７又は制御系ＥＣＵ３２０が攻撃された場合、監視ＥＣＵ３１６は、保存対象のログに、ＡＤＡＳ  ＥＣＵ３１７又は制御系ＥＣＵ３２０のログを追加する。この場合、監視ＥＣＵ３１６は、保存対象のログに、ＡＤＡＳ  ＥＣＵ３１７、Ｖ２Ｘ  ＥＣＵ３１８、１以上のＥＣＵ３１９、及び、１以上の制御系ＥＣＵ３２０のログを追加してもよい。そして、監視ＥＣＵ３１６は、これらのログをＥＣＵ毎に保存してもよい。
【０１５５】
また、ＡＤＡＳ  ＥＣＵ３１７又は制御系ＥＣＵ３２０が攻撃された場合、監視ＥＣＵ３１６は、保存対象のログに、ＡＤＡＳ  ＥＣＵ３１７又は制御系ＥＣＵ３２０が接続する車載ネットワークのログを追加してもよい。また、この場合、監視ＥＣＵ３１６は、保存対象のログに、ＡＤＡＳ  ＥＣＵ３１７、Ｖ２Ｘ  ＥＣＵ３１８、１以上のＥＣＵ３１９、及び、１以上の制御系ＥＣＵ３２０が接続する複数のバスのログを追加してもよい。そして、監視ＥＣＵ３１６は、これらのログをバス毎に保存してもよい。
【０１５６】
侵入が深くなるほど、ログの情報量が大きくなる。監視ＥＣＵ３１６は、セキュリティをより高めるため、現在の侵入の深度よりも深い侵入の深度に従って、ログを保存してもよいし、ログを送信してもよい。例えば、ＩＶＩ３１３が攻撃された場合、監視ＥＣＵ３１６は、保存対象のログに、ＧＷ３１５のログを含めてもよい。
【０１５７】
また、上記では、監視ＥＣＵ３１６の動作が示されているが、ＩＶＩ３１３における監視ブロック３１４が、監視ＥＣＵ３１６の代わりに、同様の動作を行ってもよい。図５に示された構成において、ＧＷ３１５が攻撃された場合、監視ブロック３１４は、ＧＷ３１５を介して、制御系ＥＣＵ３２０等のログを収集することが困難になる可能性がある。しかしながら、ＧＷ３１５の２つの通信路のうち一方が利用可能なら、監視ブロック３１４は、利用可能な通信路を介して、制御系ＥＣＵ３２０等のログを収集してもよい。
【０１５８】
また、監視ブロック３１４は、監視ブロック３１４の内部のメモリにログを保存してもよいし、ＩＶＩ３１３が監視ブロック３１４の外部に備えるメモリにログを保存してもよい。また、ＧＷ３１５の２つの通信路のうち一方が利用可能なら、監視ブロック３１４は、利用可能な通信路を介して、ＥＣＵ３１９等に対して、攻撃された構成要素から出力されるコマンドをエラーフレームで上書きするように指示してもよい。
【０１５９】
図８は、図５に示された車両用システム１００における第１侵入例においてＧＷ３１５が制御を行う場合の制御例を示すテーブル図である。図８には、第１侵入例における侵入の各深度において、監視ＥＣＵ３１６又は監視ブロック３１４の代わりに、ＧＷ３１５が行う制御が示されている。この例において、ＧＷ３１５は、侵入の深度に従って、通知、防御及び保存に関する制御を変更する。
【０１６０】
侵入の深度がＴＣＵ３１２又はＩＶＩ３１３に対応する場合、ＧＷ３１５が行う制御は、監視ＥＣＵ３１６等が行う制御と同じであって、図７に示された制御と同じである。したがって、侵入の深度がＴＣＵ３１２又はＩＶＩ３１３に対応する場合、図７の説明における監視ＥＣＵ３１６をＧＷ３１５に置き換えることが可能である。
【０１６１】
また、ＧＷ３１５の２つの通信路のうち一方の通信路に対する攻撃が成功した場合、ＧＷ３１５は、利用可能な他方の通信路を用いて、侵入の深度がＴＣＵ３１２又はＩＶＩ３１３に対応する場合と同様の通信経路でサーバ３０１へ通知を行う。ＧＷ３１５よりも侵入が深くに到達した場合も、ＧＷ３１５は、利用可能な他方の通信路を用いて、同様の通信経路でサーバ３０１へ通知を行う。ＧＷ３１５は、通知する情報を深度に従って変更してもよい。
【０１６２】
また、ＧＷ３１５は、攻撃のコマンドを検知した場合、そのコマンドの転送を禁止する。また、ＧＷ３１５の２つの通信路のうち一方の通信路に対する攻撃が成功した場合、ＧＷ３１５は、その通信路の通信機能を停止して、動作モードをセーフモードに切り替える。また、ＧＷ３１５の全通信路が攻撃される前に、ＧＷ３１５は、自動運転を停止する。あるいは、ＧＷ３１５の全通信路が攻撃される前に、ＧＷ３１５は、自動運転をフェールセーフへ移行する。あるいは、この場合、ＧＷ３１５は、車両３１０の走行を停止させるよう指示してもよい。
【０１６３】
また、ＧＷ３１５は、攻撃された通信路をＡＤＡＳ  ＥＣＵ３１７及び制御系ＥＣＵ３２０等へ通知することにより、ＡＤＡＳ  ＥＣＵ３１７及び制御系ＥＣＵ３２０等が、攻撃された通信路から信号を受信しないように制御する。
【０１６４】
また、ＧＷ３１５が攻撃された場合、ＧＷ３１５は、保存対象のログに、ＧＷ３１５のログを追加する。ＧＷ３１５は、ＧＷ３１５のログを通信路毎に保存してもよい。
【０１６５】
また、ＡＤＡＳ  ＥＣＵ３１７又は制御系ＥＣＵ３２０が攻撃された場合において、ＧＷ３１５の一方の通信路が利用可能なら、ＧＷ３１５は、保存対象のログに、ＡＤＡＳ  ＥＣＵ３１７又は制御系ＥＣＵ３２０のログを追加する。
【０１６６】
すなわち、ＡＤＡＳ  ＥＣＵ３１７又は制御系ＥＣＵ３２０が攻撃された場合、ＧＷ３１５は、利用可能な通信路を介して、ＡＤＡＳ  ＥＣＵ３１７又は制御系ＥＣＵ３２０のログを収集し、収集されたログを保存する。また、この場合、ＧＷ３１５は、保存対象のログに、ＡＤＡＳ  ＥＣＵ３１７、Ｖ２Ｘ  ＥＣＵ３１８、１以上のＥＣＵ３１９、及び、１以上の制御系ＥＣＵ３２０のログを追加してもよい。そして、ＧＷ３１５は、これらのログをＥＣＵ毎に保存してもよい。
【０１６７】
また、ＡＤＡＳ  ＥＣＵ３１７又は制御系ＥＣＵ３２０が攻撃された場合、ＧＷ３１５の一方の通信路が利用可能なら、ＧＷ３１５は、保存対象のログに、ＡＤＡＳ  ＥＣＵ３１７又は制御系ＥＣＵ３２０が接続する車載ネットワークのログを追加してもよい。
【０１６８】
すなわち、ＡＤＡＳ  ＥＣＵ３１７又は制御系ＥＣＵ３２０が攻撃された場合、ＧＷ３１５は、利用可能な通信路を介して、ＡＤＡＳ  ＥＣＵ３１７又は制御系ＥＣＵ３２０が接続する車載ネットワークのログを収集し、収集されたログを保存する。また、この場合、ＧＷ３１５は、保存対象のログに、ＡＤＡＳ  ＥＣＵ３１７、Ｖ２Ｘ  ＥＣＵ３１８、１以上のＥＣＵ３１９、及び、１以上の制御系ＥＣＵ３２０が接続する複数のバスのログを追加してもよい。そして、ＧＷ３１５は、バス毎にログを保存してもよい。
【０１６９】
侵入が深くなるほど、ログの情報量が大きくなる。ＧＷ３１５は、セキュリティをより高めるため、現在の侵入の深度よりも深い侵入の深度に従って、ログを保存してもよいし、ログを送信してもよい。ＩＶＩ３１３が攻撃された場合、ＧＷ３１５は、保存対象のログに、ＧＷ３１５のログを含めてもよい。
【０１７０】
ＧＷ３１５が備えるメモリの容量は基本的に小さい。そのため、ＧＷ３１５は、ＧＷ３１５が備えるメモリに最小限のログを保存し、ＩＶＩ３１３が備えるメモリに残りのログを保存してもよい。また、ＧＷ３１５は、ＩＶＩ３１３が攻撃されていない場合に、ＩＶＩ３１３が備えるメモリに残りのログ等を保存してもよい。
【０１７１】
また、ＩＶＩ３１３における監視ブロック３１４と同様に、ＧＷ３１５が監視ブロックを含み、ＧＷ３１５における監視ブロックが上述した制御を行ってもよい。これにより、ＧＷ３１５における監視ブロックは、監視ＥＣＵ３１６と同等の制御を行うことができる。
【０１７２】
図９は、図５に示された車両用システム１００における第１侵入例においてＡＤＡＳ  ＥＣＵ３１７が制御を行う場合の制御例を示すテーブル図である。図９には、第１侵入例における侵入の各深度において、監視ＥＣＵ３１６又は監視ブロック３１４の代わりに、ＡＤＡＳ  ＥＣＵ３１７が行う制御が示されている。この例において、ＡＤＡＳ  ＥＣＵ３１７は、侵入の深度に従って、通知、防御及び保存に関する制御を変更する。
【０１７３】
侵入の深度がＴＣＵ３１２、ＩＶＩ３１３及びＧＷ３１５のいずれかに対応する場合、ＡＤＡＳ  ＥＣＵ３１７が行う制御は、監視ＥＣＵ３１６等が行う制御と同じであって、図７に示された制御と同じである。したがって、侵入の深度がＴＣＵ３１２、ＩＶＩ３１３及びＧＷ３１５のいずれかに対応する場合、図７の説明における監視ＥＣＵ３１６をＡＤＡＳ  ＥＣＵ３１７に置き換えることが可能である。
【０１７４】
ただし、ＡＤＡＳ  ＥＣＵ３１７は、ＴＣＵ３１２及びＩＶＩ３１３等のログを収集する際、ＧＷ３１５の利用可能な通信路を介してログを収集する。また、ＡＤＡＳ  ＥＣＵ３１７は、ＧＷ３１５を介して、ＴＣＵ３１２及びＩＶＩ３１３の不正な動作の検知等を行う。
【０１７５】
一方で、侵入の深度が、ＡＤＡＳ  ＥＣＵ３１７と同じ、又は、ＡＤＡＳ  ＥＣＵ３１７よりも深い場合、ＡＤＡＳ  ＥＣＵ３１７が攻撃によって適切に動作しない可能性があるため、この例では制御が規定されていない。
【０１７６】
図１０は、図５に示された車両用システム１００における第１侵入例においてＶ２Ｘ  ＥＣＵ３１８が制御を行う場合の制御例を示すテーブル図である。図１０には、第１侵入例における侵入の各深度において、監視ＥＣＵ３１６又は監視ブロック３１４の代わりに、Ｖ２Ｘ  ＥＣＵ３１８が行う制御が示されている。この例において、Ｖ２Ｘ  ＥＣＵ３１８は、侵入の深度に従って、通知、防御及び保存に関する制御を変更する。
【０１７７】
Ｖ２Ｘ  ＥＣＵ３１８が行う制御は、監視ＥＣＵ３１６等が行う制御と同じであって、図７に示された制御と同じである。したがって、図７の説明における監視ＥＣＵ３１６をＶ２Ｘ  ＥＣＵ３１８に置き換えることが可能である。
【０１７８】
ただし、Ｖ２Ｘ  ＥＣＵ３１８は、ＴＣＵ３１２、ＩＶＩ３１３及び制御系ＥＣＵ３２０等のログを収集する際、ＧＷ３１５の利用可能な通信路を介してログを収集する。また、Ｖ２Ｘ  ＥＣＵ３１８は、ＧＷ３１５を介して、ＴＣＵ３１２及びＩＶＩ３１３の不正な動作の検知等を行う。
【０１７９】
図１１は、図５に示された車両用システム１００における第１侵入例においてＩＶＩ３１３が制御を行う場合の制御例を示すテーブル図である。図１１には、第１侵入例における侵入の各深度において、監視ＥＣＵ３１６又は監視ブロック３１４の代わりに、ＩＶＩ３１３が行う制御が示されている。この例において、ＩＶＩ３１３は、侵入の深度に従って、通知、防御及び保存に関する制御を変更する。
【０１８０】
また、この例では、ＩＶＩ３１３が監視ブロック３１４を備えていないことが想定されている。また、この例では、ＴＣＵ３１２が攻撃された後、ＩＶＩ３１３が攻撃されずに、ＧＷ３１５が攻撃されることが想定されている。
【０１８１】
侵入の深度がＴＣＵ３１２に対応する場合、ＩＶＩ３１３が行う制御は、監視ＥＣＵ３１６等が行う制御と同じであって、図７に示された制御と同じである。したがって、侵入の深度がＴＣＵ３１２に対応する場合、図７の説明における監視ＥＣＵ３１６をＩＶＩ３１３に置き換えることが可能である。
【０１８２】
また、ＧＷ３１５が攻撃された場合において、ＴＣＵ３１２が利用可能なら、ＩＶＩ３１３は、ＴＣＵ３１２で攻撃の情報をサーバ３０１へ通知する。また、この場合において、ＴＣＵ３１２が利用不可なら、ＩＶＩ３１３は、ＩＶＩ３１３で攻撃の情報をサーバ３０１へ通知する。すなわち、ＴＣＵ３１２が利用不可なら、ＩＶＩ３１３は、ＴＣＵ３１２を経由せずにＩＶＩ３１３からサーバ３０１へ接続する通信経路を介して、攻撃の情報をサーバ３０１へ通知する。
【０１８３】
ＧＷ３１５よりも侵入が深くに到達した場合も、同様の通信経路で通知が行われる。ＩＶＩ３１３は、通知する情報を深度に従って変更してもよい。
【０１８４】
また、ＧＷ３１５の２つの通信路のうち一方の通信路に対する攻撃が成功した場合、ＩＶＩ３１３は、他方の通信路を介して、ＧＷ３１５の動作モードをセーフモードに切り替える。また、ＩＶＩ３１３は、攻撃された通信路をＡＤＡＳ  ＥＣＵ３１７及び制御系ＥＣＵ３２０等へ利用可能な通信路を介して通知することにより、ＡＤＡＳ  ＥＣＵ３１７及び制御系ＥＣＵ３２０等が、攻撃された通信路から信号を受信しないように制御する。
【０１８５】
また、ＧＷ３１５が攻撃された場合、ＩＶＩ３１３は、保存対象のログにＧＷ３１５のログを追加する。また、ＡＤＡＳ  ＥＣＵ３１７又は制御系ＥＣＵ３２０が攻撃された場合、ＩＶＩ３１３は、保存対象のログにＡＤＡＳ  ＥＣＵ３１７又は制御系ＥＣＵ３２０のログを追加する。これらの動作は、図７及び図８等で示された例と同様である。ＩＶＩ３１３は、ＧＷ３１５の利用可能な通信路を介して、ログを収集してもよい。
【０１８６】
図１２は、図５に示された車両用システム１００における第２侵入例を示す概念図である。図１２には、図５に示された第１侵入例とは異なる第２侵入例が示されている。この例では、車両用システム１００に対して、Ｖ２Ｘ  ＥＣＵ３１８、ＡＤＡＳ  ＥＣＵ３１７、ＧＷ３１５、及び、制御系ＥＣＵ３２０の順で、攻撃が行われると想定されている。
【０１８７】
なお、ＡＤＡＳ  ＥＣＵ３１７への攻撃はスキップされる場合がある。例えば、Ｖ２Ｘ  ＥＣＵ３１８が乗っ取られた場合、ＡＤＡＳ  ＥＣＵ３１７へ攻撃されることなく、ＧＷ３１５が攻撃される可能性がある。また、ＧＷ３１５への攻撃はスキップされる場合がある。例えば、ＡＤＡＳ  ＥＣＵ３１７が乗っ取られた場合、ＧＷ３１５へ攻撃されることなく、制御系ＥＣＵ３２０が攻撃される可能性がある。さらに、ＡＤＡＳ  ＥＣＵ３１７、及び、ＧＷ３１５への攻撃はスキップされる場合がある。
【０１８８】
図１３は、図５に示された車両用システム１００における第２侵入例において監視ＥＣＵ３１６又は監視ブロック３１４が制御を行う場合の制御例を示すテーブル図である。図１３には、第２侵入例における侵入の各深度において、監視ＥＣＵ３１６又は監視ブロック３１４が行う制御が示されている。この例において、監視ＥＣＵ３１６は、侵入の深度に従って、通知、防御及び保存に関する制御を変更する。
【０１８９】
例えば、Ｖ２Ｘ  ＥＣＵ３１８が攻撃された場合、監視ＥＣＵ３１６は、ＴＣＵ３１２、ＩＶＩ３１３又はＥ−ｃａｌｌ３１１で攻撃の情報をサーバ３０１へ通知する。全てが利用不可なら、監視ＥＣＵ３１６は、攻撃の情報をユーザへ通知する。Ｖ２Ｘ  ＥＣＵ３１８よりも侵入が深くに到達した場合も、同様の通信経路で通知が行われる。監視ＥＣＵ３１６は、通知する情報を深度に従って変更してもよい。
【０１９０】
また、Ｖ２Ｘ  ＥＣＵ３１８が攻撃された場合、監視ＥＣＵ３１６は、Ｖ２Ｘ  ＥＣＵ３１８を停止し、Ｖ２Ｘ  ＥＣＵ３１８を介さない通信系へ、外部との通信系を切り替える。また、この場合、監視ＥＣＵ３１６は、攻撃の情報をＡＤＡＳ  ＥＣＵ３１７及び制御系ＥＣＵ３２０等へ通知することにより、攻撃された通信路から信号を受信しないように、ＡＤＡＳ  ＥＣＵ３１７及び制御系ＥＣＵ３２０等を制御する。
【０１９１】
また、Ｖ２Ｘ  ＥＣＵ３１８が攻撃された場合、監視ＥＣＵ３１６は、ＣＡＮにおける不正コマンドをエラーフレームで上書きする。例えば、監視ＥＣＵ３１６は、Ｖ２Ｘ  ＥＣＵ３１８から出力されるコマンドを検知した場合、エラーフレームを出力することで、Ｖ２Ｘ  ＥＣＵ３１８から出力されるコマンドをエラーフレームで上書きする。
【０１９２】
また、Ｖ２Ｘ  ＥＣＵ３１８が攻撃された場合、監視ＥＣＵ３１６は、Ｖ２Ｘ  ＥＣＵ３１８のログ、及び、Ｖ２Ｘ  ＥＣＵ３１８が接続している車載ネットワークのログを収集する。そして、監視ＥＣＵ３１６は、これらのログに署名を付与して、これらのログを監視ＥＣＵ３１６において保存する。具体的には、監視ＥＣＵ３１６は、監視ＥＣＵ３１６が備えるメモリにログを保存する。その際、監視ＥＣＵ３１６は、ＧＰＳ及びＧＰＳ時間を用いて、位置情報及びタイムスタンプをログに付加してもよい。
【０１９３】
また、ＡＤＡＳ  ＥＣＵ３１７が攻撃された場合、監視ＥＣＵ３１６は、ＣＡＮにおける不正コマンドをエラーフレームで上書きする。例えば、監視ＥＣＵ３１６は、ＡＤＡＳ  ＥＣＵ３１７から出力されるコマンドを検知した場合、エラーフレームを出力することで、ＡＤＡＳ  ＥＣＵ３１７から出力されるコマンドをエラーフレームで上書きする。また、ＡＤＡＳ  ＥＣＵ３１７が攻撃された場合、監視ＥＣＵ３１６は、保存対象のログに、ＡＤＡＳ  ＥＣＵ３１７のログを追加する。
【０１９４】
また、ＧＷ３１５の２つの通信路のうち一方の通信路に対する攻撃が成功した場合、監視ＥＣＵ３１６は、他方の通信路を介して、ＧＷ３１５の動作モードをセーフモードに切り替える。ＧＷ３１５の全通信路に対する攻撃が成功した場合、監視ＥＣＵ３１６は、自動運転を停止する。あるいは、この場合、監視ＥＣＵ３１６は、自動運転をフェールセーフへ移行する。あるいは、この場合、監視ＥＣＵ３１６は、車両３１０の走行を停止させるよう指示してもよい。
【０１９５】
また、ＧＷ３１５が攻撃された場合、監視ＥＣＵ３１６は、ＣＡＮにおける不正コマンドをエラーフレームで上書きする。例えば、監視ＥＣＵ３１６は、ＧＷ３１５から出力されるコマンドを検知した場合、エラーフレームを出力することで、ＧＷ３１５から出力されるコマンドをエラーフレームで上書きする。
【０１９６】
また、ＧＷ３１５が攻撃された場合、監視ＥＣＵ３１６は、保存対象のログに、ＧＷ３１５のログを追加する。監視ＥＣＵ３１６は、ＧＷ３１５のログを通信路毎に保存してもよい。
【０１９７】
また、制御系ＥＣＵ３２０が攻撃された場合、監視ＥＣＵ３１６は、ＣＡＮにおける不正コマンドをエラーフレームで上書きする。例えば、監視ＥＣＵ３１６は、制御系ＥＣＵ３２０から出力されるコマンドを検知した場合、エラーフレームを出力することで、制御系ＥＣＵ３２０から出力されるコマンドをエラーフレームで上書きする。
【０１９８】
また、制御系ＥＣＵ３２０が攻撃された場合、監視ＥＣＵ３１６は、保存対象のログに、制御系ＥＣＵ３２０のログを追加する。この場合、監視ＥＣＵ３１６は、保存対象のログに、１以上のＥＣＵ３１９、及び、１以上の制御系ＥＣＵ３２０のログを追加してもよい。そして、監視ＥＣＵ３１６は、これらのログをＥＣＵ毎に保存してもよい。
【０１９９】
また、制御系ＥＣＵ３２０が攻撃された場合、監視ＥＣＵ３１６は、保存対象のログに、制御系ＥＣＵ３２０が接続する車載ネットワークのログを追加してもよい。また、この場合、監視ＥＣＵ３１６は、保存対象のログに、１以上のＥＣＵ３１９、及び、１以上の制御系ＥＣＵ３２０が接続する複数のバスのログを追加してもよい。そして、監視ＥＣＵ３１６は、これらのログをバス毎に保存してもよい。
【０２００】
侵入が深くなるほど、ログの情報量が大きくなる。監視ＥＣＵ３１６は、セキュリティをより高めるため、現在の侵入の深度よりも深い侵入の深度に従って、ログを保存してもよいし、ログを送信してもよい。例えば、ＡＤＡＳ  ＥＣＵ３１７が攻撃された場合、監視ＥＣＵ３１６は、保存対象のログに、ＧＷ３１５のログを含めてもよい。
【０２０１】
また、上記では、監視ＥＣＵ３１６の動作が示されているが、ＩＶＩ３１３における監視ブロック３１４が、監視ＥＣＵ３１６の代わりに、同様の動作を行ってもよい。図５に示された構成において、ＧＷ３１５が攻撃された場合、監視ブロック３１４は、ＧＷ３１５を介して、制御系ＥＣＵ３２０等のログを収集することが困難になる可能性がある。しかしながら、ＧＷ３１５の２つの通信路のうち一方が利用可能なら、監視ブロック３１４は、利用可能な通信路を介して、制御系ＥＣＵ３２０等のログを収集してもよい。
【０２０２】
また、監視ブロック３１４は、監視ブロック３１４の内部のメモリにログを保存してもよいし、ＩＶＩ３１３が監視ブロック３１４の外部に備えるメモリにログを保存してもよい。また、ＧＷ３１５の２つの通信路のうち一方が利用可能なら、監視ブロック３１４は、利用可能な通信路を介して、ＥＣＵ３１９等に対して、攻撃された構成要素から出力されるコマンドをエラーフレームで上書きするように指示してもよい。
【０２０３】
図１４は、図５に示された車両用システム１００における第２侵入例においてＧＷ３１５が制御を行う場合の制御例を示すテーブル図である。図１４には、第２侵入例における侵入の各深度において、監視ＥＣＵ３１６又は監視ブロック３１４の代わりに、ＧＷ３１５が行う制御が示されている。この例において、ＧＷ３１５は、侵入の深度に従って、通知、防御及び保存に関する制御を変更する。
【０２０４】
侵入の深度がＶ２Ｘ  ＥＣＵ３１８又はＡＤＡＳ  ＥＣＵ３１７に対応する場合、ＧＷ３１５が行う制御は、監視ＥＣＵ３１６等が行う制御と同じであって、図１３に示された制御と同じである。したがって、侵入の深度がＶ２Ｘ  ＥＣＵ３１８又はＡＤＡＳ  ＥＣＵ３１７に対応する場合、図１３の説明における監視ＥＣＵ３１６をＧＷ３１５に置き換えることが可能である。
【０２０５】
また、ＧＷ３１５の２つの通信路のうち一方の通信路に対する攻撃が成功した場合、ＧＷ３１５は、利用可能な他方の通信路を用いて、侵入の深度がＶ２Ｘ  ＥＣＵ３１８又はＡＤＡＳ  ＥＣＵ３１７に対応する場合と同様の通信経路でサーバ３０１へ通知を行う。また、ＧＷ３１５よりも侵入がより深く到達した場合も、同様の通信経路で通知が行われる。ＧＷ３１５は、通知する情報を深度に従って変更してもよい。
【０２０６】
また、ＧＷ３１５は、攻撃のコマンドを検知した場合、そのコマンドの転送を禁止する。また、ＧＷ３１５の２つの通信路のうち一方の通信路に対する攻撃が成功した場合、ＧＷ３１５は、その通信路の通信機能を停止して、動作モードをセーフモードに切り替える。また、ＧＷ３１５の全通信路が攻撃される前に、ＧＷ３１５は、自動運転を停止する。あるいは、ＧＷ３１５の全通信路が攻撃される前に、ＧＷ３１５は、自動運転をフェールセーフへ移行する。あるいは、ＧＷ３１５の全通信路が攻撃される前に、ＧＷ３１５は、車両３１０の走行を停止させるよう指示してもよい。
【０２０７】
また、ＧＷ３１５が攻撃された場合、ＧＷ３１５は、保存対象のログに、ＧＷ３１５のログを追加する。ＧＷ３１５は、ＧＷ３１５のログを通信路毎に保存してもよい。
【０２０８】
また、制御系ＥＣＵ３２０が攻撃された場合において、ＧＷ３１５の一方の通信路が利用可能なら、ＧＷ３１５は、保存対象のログに、制御系ＥＣＵ３２０のログを追加する。
【０２０９】
すなわち、制御系ＥＣＵ３２０が攻撃された場合、ＧＷ３１５は、利用可能な通信路を介して、制御系ＥＣＵ３２０のログを収集し、収集されたログを保存する。また、この場合、ＧＷ３１５は、保存対象のログに、１以上のＥＣＵ３１９、及び、１以上の制御系ＥＣＵ３２０のログを追加してもよい。そして、ＧＷ３１５は、これらのログをＥＣＵ毎に保存してもよい。
【０２１０】
また、制御系ＥＣＵ３２０が攻撃された場合、ＧＷ３１５の一方の通信路が利用可能なら、ＧＷ３１５は、保存対象のログに、制御系ＥＣＵ３２０が接続する車載ネットワークのログを追加してもよい。
【０２１１】
すなわち、制御系ＥＣＵ３２０が攻撃された場合、ＧＷ３１５は、利用可能な通信路を介して、制御系ＥＣＵ３２０が接続する車載ネットワークのログを収集し、収集されたログを保存する。また、この場合、ＧＷ３１５は、保存対象のログに、１以上のＥＣＵ３１９、及び、１以上の制御系ＥＣＵ３２０が接続する複数のバスのログを追加してもよい。そして、ＧＷ３１５は、バス毎にログを保存してもよい。
【０２１２】
侵入が深くなるほど、ログの情報量が大きくなる。ＧＷ３１５は、セキュリティをより高めるため、現在の侵入の深度よりも深い侵入の深度に従って、ログを保存してもよいし、ログを送信してもよい。ＩＶＩ３１３が攻撃された場合、ＧＷ３１５は、保存対象のログに、ＧＷ３１５のログを含めてもよい。
【０２１３】
ＧＷ３１５が備えるメモリの容量は基本的に小さい。そのため、ＧＷ３１５は、ＡＤＡＳ  ＥＣＵ３１７が備えるメモリにログの一部又は全部を保存してもよいし、ＩＶＩ３１３が備えるメモリにログの一部又は全部を保存してもよい。また、ＧＷ３１５の２つの通信路のうち一方の通信路の攻撃が成功した場合、ＧＷ３１５は、他方の利用可能な通信路を介して、ＡＤＡＳ  ＥＣＵ３１７が備えるメモリ、又は、ＩＶＩ３１３が備えるメモリに、ログを保存してもよい。
【０２１４】
また、ＡＤＡＳ  ＥＣＵ３１７が攻撃されている場合、ＧＷ３１５は、ＩＶＩ３１３が備えるメモリに、ログを保存してもよい。また、ＩＶＩ３１３が攻撃されている場合、ＧＷ３１５は、ＡＤＡＳ  ＥＣＵ３１７が備えるメモリに、ログを保存してもよい。
【０２１５】
図１５は、図１に示された車両用システム１００の第２具体例を示すブロック図である。図１５に示された車両用システム１００は、基本的に、図５に示された車両用システム１００と同様に構成される。ただし、図１５に示された車両用システム１００では、ＡＤＡＳ  ＥＣＵ３１７とＶ２Ｘ  ＥＣＵ３１８とが、ＧＷ３１５を介して接続される。
【０２１６】
図１６は、図１５に示された車両用システム１００における侵入例を示す概念図である。この例では、車両用システム１００に対して、Ｖ２Ｘ  ＥＣＵ３１８、ＧＷ３１５、ＡＤＡＳ  ＥＣＵ３１７、及び、制御系ＥＣＵ３２０の順で、攻撃が行われると想定されている。
【０２１７】
なお、ＧＷ３１５への攻撃はスキップされる場合がある。例えば、Ｖ２Ｘ  ＥＣＵ３１８が乗っ取られた場合、ＧＷ３１５へ攻撃されることなく、ＡＤＡＳ  ＥＣＵ３１７が攻撃される可能性がある。また、ＡＤＡＳ  ＥＣＵ３１７への攻撃はスキップされる場合がある。例えば、ＧＷ３１５が乗っ取られた場合、ＡＤＡＳ  ＥＣＵ３１７へ攻撃されることなく、制御系ＥＣＵ３２０が攻撃される可能性がある。さらに、ＧＷ３１５、及び、ＡＤＡＳ  ＥＣＵ３１７への攻撃はスキップされる場合がある。
【０２１８】
図１７は、図１５に示された車両用システム１００における侵入例においてＡＤＡＳ  ＥＣＵ３１７が制御を行う場合の制御例を示すテーブル図である。図１７には、図１６に示された侵入例における侵入の各深度において、監視ＥＣＵ３１６又は監視ブロック３１４の代わりに、ＡＤＡＳ  ＥＣＵ３１７が行う制御が示されている。この例において、ＡＤＡＳ  ＥＣＵ３１７は、侵入の深度に従って、通知、防御及び保存に関する制御を変更する。
【０２１９】
例えば、Ｖ２Ｘ  ＥＣＵ３１８が攻撃された場合、ＡＤＡＳ  ＥＣＵ３１７は、ＴＣＵ３１２、ＩＶＩ３１３又はＥ−ｃａｌｌ３１１で攻撃の情報をサーバ３０１へ通知する。全てが利用不可なら、ＡＤＡＳ  ＥＣＵ３１７は、攻撃の情報をユーザへ通知する。
【０２２０】
また、Ｖ２Ｘ  ＥＣＵ３１８が攻撃された場合、ＡＤＡＳ  ＥＣＵ３１７は、Ｖ２Ｘ  ＥＣＵ３１８を停止し、Ｖ２Ｘ  ＥＣＵ３１８を介さない通信系へ、外部との通信系を切り替える。また、この場合、ＡＤＡＳ  ＥＣＵ３１７は、攻撃の情報を制御系ＥＣＵ３２０等へ通知することにより、攻撃された通信路から信号を受信しないように、制御系ＥＣＵ３２０等を制御する。
【０２２１】
また、Ｖ２Ｘ  ＥＣＵ３１８が攻撃された場合、ＡＤＡＳ  ＥＣＵ３１７は、Ｖ２Ｘ  ＥＣＵ３１８のログ、及び、Ｖ２Ｘ  ＥＣＵ３１８が接続している車載ネットワークのログを収集する。そして、ＡＤＡＳ  ＥＣＵ３１７は、これらのログに署名を付与して、これらのログを監視ＥＣＵ３１６において保存する。
【０２２２】
具体的には、ＡＤＡＳ  ＥＣＵ３１７は、ＡＤＡＳ  ＥＣＵ３１７が備えるメモリにログを保存する。その際、ＡＤＡＳ  ＥＣＵ３１７は、ＧＰＳ及びＧＰＳ時間を用いて、位置情報及びタイムスタンプをログに付加してもよい。
【０２２３】
また、ＧＷ３１５の２つの通信路のうち一方の通信路に対する攻撃が成功した場合、ＡＤＡＳ  ＥＣＵ３１７は、他方の通信路を介して、ＧＷ３１５の動作モードをセーフモードに切り替える。また、ＧＷ３１５の全通信路が攻撃される前に、ＡＤＡＳ  ＥＣＵ３１７は、自動運転を停止する。あるいは、ＧＷ３１５の全通信路が攻撃される前に、ＡＤＡＳ  ＥＣＵ３１７は、自動運転をフェールセーフへ移行する。あるいは、ＧＷ３１５の全通信路が攻撃される前に、ＡＤＡＳ  ＥＣＵ３１７は、車両３１０の走行を停止させるよう指示してもよい。
【０２２４】
また、ＧＷ３１５が攻撃された場合、ＡＤＡＳ  ＥＣＵ３１７は、ＣＡＮにおける不正コマンドをエラーフレームで上書きする。例えば、ＡＤＡＳ  ＥＣＵ３１７は、ＧＷ３１５から出力されるコマンドを検知した場合、エラーフレームを出力することで、ＧＷ３１５から出力されるコマンドをエラーフレームで上書きする。
【０２２５】
また、ＧＷ３１５が攻撃された場合、ＡＤＡＳ  ＥＣＵ３１７は、保存対象のログに、ＧＷ３１５のログを追加する。ＡＤＡＳ  ＥＣＵ３１７は、ＧＷ３１５のログを通信路毎に保存してもよい。
【０２２６】
図２及び図５〜図１７等に示された車両用システム１００の構成及び動作は、例であって、車両用システム１００の構成及び動作は、このような例に限られない。車両用システム１００が備える複数の車載装置１１０及び制御器１２０は、様々に構成され得る。
【０２２７】
例えば、ＧＷ３１５は、他の装置と一体化されていてもよい。具体的には、ＧＷ３１５は、ＴＣＵ３１２と一体化されていてもよい。あるいは、ＧＷ３１５は、いずれかのＥＣＵ３１９と一体化されていてもよいし、いずれかの制御系ＥＣＵ３２０と一体化されていてもよい。あるいは、ＧＷ３１５は、ＡＤＡＳ  ＥＣＵ３１７、又は、Ｖ２Ｘ  ＥＣＵ３１８と一体化されていてもよい。
【０２２８】
また、例えば、車両用システム１００は、複数のＧＷ３１５を備えていてもよい。具体的には、車両用システム１００は、ＣＡＮに用いられるＧＷ３１５と、イーサネット（登録商標）に用いられるＧＷ３１５とを備えていてもよい。そして、２つの通信路の一方が攻撃されたか両方が攻撃されたかに基づく防御方法の変更と同様に、２つのＧＷ３１５の一方が攻撃されたか両方が攻撃されたかに基づいて、防御方法が変更されてもよい。
【０２２９】
また、例えば、監視ＥＣＵ３１６等は、自装置にログを保存せずに、専用の記憶装置にログを保存してもよいし、別の装置にログを保存してもよい。また、監視ＥＣＵ３１６等は、侵入の深度に従って、ログの保存先の装置を変更してもよい。そして、監視ＥＣＵ３１６等は、侵入の深度に従って、ログの保存先の装置を変更すると共に、ログの取得対象の装置を変更してもよい。
【０２３０】
図５等の例において、ＴＣＵ３１２、ＩＶＩ３１３、ＧＷ３１５、及び、ＡＤＡＳ  ＥＣＵ３１７等を経由して、車両３１０の駆動を制御する制御系ＥＣＵ３２０が攻撃される可能性がある。一方、ＴＣＵ３１２、ＩＶＩ３１３、ＧＷ３１５、ＡＤＡＳ  ＥＣＵ３１７、及び、制御系ＥＣＵ３２０のうち１つの装置のログで、攻撃を識別することが困難な場合がある。また、１つの装置のログで、攻撃の全体像を識別することは困難である。
【０２３１】
具体的には、ＡＤＡＳ  ＥＣＵ３１７のログに異常なコマンドが含まれていても、異常なコマンドは、故障、又は、想定外の操作に起因している可能性がある。一方で、ＴＣＵ３１２にも、異常が発生している場合、これらの異常は、不正な攻撃に起因している可能性が高い。
【０２３２】
そこで、例えば、本実施の形態における車両用システム１００は、１つの装置で攻撃（又は攻撃と想定される異常等）が検知された場合、その１つの装置に攻撃が到達するまでに経由する１以上の装置のログを通知又は保存する。また、車両用システム１００は、攻撃された装置及び機能を用いずに、ログを通知又は保存する。これにより、適切にログが通知又は保存され、攻撃及びその全体像の識別が可能になる。
【０２３３】
（実施の形態２）
本実施の形態において、不正な攻撃が行われているか否かを判定するための具体的な構成及び処理を説明する。本実施の形態における基本的な構成及び処理は、図１〜１７を用いて説明された実施の形態１における構成及び処理と同じである。以下、主に、実施の形態１とは異なる部分を説明する。
【０２３４】
図１８は、本実施の形態における車両用システム１００等の構成を示すブロック図である。実施の形態１と比較して、車両用システム１００は、さらに、判定器１６０を備える。
【０２３５】
判定器１６０は、不正な攻撃が行われているか否かを判定する情報処理器である。具体的には、判定器１６０は、複数の車載装置１１０における異常を示す情報を取得する。そして、判定器１６０は、複数の車載装置１１０における異常発生順序に従って、不正な攻撃が行われているか否かを判定する。
【０２３６】
例えば、判定器１６０は、異常発生順序が所定の順序に整合する場合、不正な攻撃が行われていると判定してもよい。所定の順序は、複数の車載装置１１０のうち少なくとも２つの車載装置１１０が、所定の侵入経路に沿って、より浅い方からより深い方へ並べられた順序であってもよい。
【０２３７】
また、判定器１６０は、制御器１２０に含まれていてもよい。また、判定器１６０は、複数の車載装置１１０のいずれかに含まれていてもよい。また、判定器１６０は、制御器１２０と同様に、直接的又は間接的に、複数の車載装置１１０のそれぞれと接続されていてもよい。
【０２３８】
また、本実施の形態における車両用システム１００は、図２のように、異常検知部２０１、保存制御部２０２、１以上の保存部２０３、情報収集部２０４、被害検知部２０５、送信制御部２０６、及び、１以上の送信部２０７を備えていてもよい。これらの各構成要素は、図１８に示された複数の車載装置１１０、制御器１２０又は判定器１６０に含まれ得る。
【０２３９】
図１９は、図２に示された異常検知部２０１の機能ブロックを示す模式図である。例えば、異常検知部２０１は、１以上の検知部４０１、取得部４０２、処理部４０３、記憶部４０４及び出力部４０５を備える。例えば、取得部４０２、処理部４０３、記憶部４０４及び出力部４０５が、判定器１６０に含まれていてもよい。そして、１以上の検知部４０１が、複数の車載装置１１０に含まれていてもよい。
【０２４０】
検知部４０１は、車載装置１１０又は車載ネットワークの異常を検知する情報処理部である。例えば、検知部４０１は、車載装置１１０に含まれ、その車載装置１１０を監視することにより、その車載装置１１０の異常を検知してもよい。また、検知部４０１は、ネットワーク経由で、車載装置１１０を監視することにより、その車載装置１１０の異常を検知してもよい。検知部４０１は、車載ネットワークを監視し、車載ネットワークの異常を検知してもよい。
【０２４１】
また、例えば、検知部４０１は、車載装置１１０又は車載ネットワークのログ等に従って、車載装置１１０又は車載ネットワークの異常を検知してもよい。
【０２４２】
取得部４０２は、情報を取得する情報処理部である。具体的には、取得部４０２は、検知部４０１から異常検知結果を取得する。例えば、検知部４０１が異常検知結果を送信し、取得部４０２が異常検知結果を受信することにより、取得部４０２は、検知部４０１から異常検知結果を取得する。また、取得部４０２は、１以上の検知部４０１のそれぞれにおいて異常が検知される度に異常検知結果を取得することにより、１以上の検知部４０１から、逐次、複数の異常検知結果を取得する。
【０２４３】
また、例えば、取得部４０２は、車載装置１１０又は車載ネットワークのログ等に従って、車載装置１１０又は車載ネットワークの異常を示す情報を異常検知結果として取得してもよい。
【０２４４】
処理部４０３は、情報を処理する情報処理部である。具体的には、処理部４０３は、複数の異常検知結果に従って、不正な攻撃が行われているか否かを判定する。その際、処理部４０３は、複数の車載装置１１０における異常発生順序に従って、不正な攻撃が行われているか否かを判定する。また、処理部４０３は、不正な攻撃が行われていると判定された場合、不正な攻撃の侵入経路、及び、不正な攻撃の侵入の深度を特定してもよい。なお、侵入経路は、攻撃経路とも表現され得る。
【０２４５】
記憶部４０４は、情報が記憶される情報蓄積部である。記憶部４０４は、メモリ等であってもよい。記憶部４０４には、処理部４０３が情報を処理するための情報、つまり、不正な攻撃が行われているか否かを判定するための情報が記憶される。具体的には、記憶部４０４には、複数の異常検知結果が記憶されてもよいし、所定の攻撃情報が記憶されていてもよいし、不正な攻撃の判定結果が記憶されてもよい。
【０２４６】
また、処理部４０３が、記憶部４０４に情報を記憶する記憶処理を行ってもよいし、取得部４０２等の他の構成要素が、記憶部４０４に情報を記憶する記憶処理を行ってもよい。また、処理部４０３が、記憶部４０４に記憶された情報を参照する参照処理を行ってもよいし、出力部４０５等の他の構成要素が、記憶部４０４に記憶された情報を参照する参照処理を行ってもよい。
【０２４７】
出力部４０５は、情報を出力する情報処理部である。具体的には、出力部４０５は、処理部４０３における判定結果等を出力する。すなわち、出力部４０５は、不正な攻撃が行われているか否かの判定結果を含む情報を出力する。具体的には、出力部４０５は、不正な攻撃が行われているか否かの判定結果、不正な攻撃の侵入経路、不正な攻撃の侵入の深度、及び、異常検知結果等を出力してもよい。
【０２４８】
例えば、出力部４０５から出力される情報は、異常検知部２０１から出力されて、図２に示された保存制御部２０２及び送信制御部２０６に入力される。保存制御部２０２及び送信制御部２０６は、入力された情報に従って、保存及び送信の制御を行う。
【０２４９】
なお、出力部４０５は、不正な攻撃が行われていると判定された場合、異常検知結果を出力し、不正な攻撃が行われていないと判定された場合、異常検知結果を出力しなくてもよい。また、この場合、出力部４０５は、不正な攻撃が行われているか否かの判定結果を出力しなくてもよい。また、出力部４０５は、不正な攻撃が行われていると判定された場合、最も深い位置で発生した異常を示す異常検知結果のみを出力してもよい。
【０２５０】
また、図１９の構成は、一例であって、異常検知部２０１の構成は、図１９の例に限られない。また、実施の形態１において、被害が異常とは別に説明されているが、被害は異常の一種として異常と同様に扱われてもよい。
【０２５１】
図２０は、図１８に示された車両用システム１００が行う基本的な動作を示すフローチャートである。
【０２５２】
判定器１６０は、複数の車載装置１１０における異常発生順序に従って、不正な攻撃が行われているか否かを判定する（Ｓ１００）。
【０２５３】
そして、制御器１２０は、不正な攻撃が行われていると判定器１６０によって判定された場合（Ｓ１００でＹｅｓ）、実施の形態１で示されたように、不正な攻撃の侵入の深度に従って、通信方法と防御方法と保存方法とのうち少なくとも１つを変更する（Ｓ１０１）。なお、制御器１２０は、不正な攻撃が行われていないと判定器１６０によって判定された場合（Ｓ１００でＮｏ）、既定の通信方法、既定の防御方法、及び、既定の保存方法を維持する。
【０２５４】
図２１は、図２０に示された不正な攻撃の判定処理（Ｓ１００）を示すフローチャートである。例えば、判定器１６０は、図１９に示された取得部４０２、処理部４０３、記憶部４０４及び出力部４０５を備え、これらの構成要素が、図２１に示された判定処理を行う。
【０２５５】
まず、取得部４０２は、検知部４０１から異常検知結果を受信し、受信された異常検知結果を記憶部４０４に記憶する（Ｓ２０１）。そして、処理部４０３は、受信された異常検知結果と検知時刻が近い複数の異常検知結果を記憶部４０４から抽出する（Ｓ２０２）。そして、処理部４０３は、抽出された複数の異常検知結果を検知時刻順に整列する（Ｓ２０３）。
【０２５６】
そして、処理部４０３は、整列された複数の異常検知結果が、所定の攻撃順序に整合するか否かを判定する（Ｓ２０４）。所定の攻撃順序を示す情報は、予め記憶部４０４に記憶されていてもよい。また、処理部４０３は、整列された複数の異常検知結果が、複数の所定の攻撃順序のうちの１つに整合するか否かを判定してもよい。
【０２５７】
整列された複数の異常検知結果が、所定の攻撃順序に整合する場合（Ｓ２０４でＹｅｓ）、処理部４０３は、これらの異常検知結果が不正な攻撃に対応すると判定する（Ｓ２０５）。つまり、処理部４０３は、不正な攻撃が行われていると判定する。そして、処理部４０３は、複数の異常検知結果、及び、所定の攻撃順序に従って、侵入経路、及び、侵入の深度を特定する（Ｓ２０６）。
【０２５８】
整列された複数の異常検知結果が、所定の攻撃順序に整合しない場合（Ｓ２０４でＮｏ）、処理部４０３は、これらの異常検知結果が不正な攻撃に対応しないと判定する（Ｓ２０７）。つまり、処理部４０３は、不正な攻撃が行われていないと判定する。
【０２５９】
そして、出力部４０５は、不正な攻撃か否かの判定結果を含む情報を出力する（Ｓ２０８）。例えば、不正な攻撃が行われていると判定された場合、出力部４０５は、不正な攻撃が行われていること、侵入経路、及び、侵入の深度を示す情報を出力する。不正な攻撃が行われていないと判定された場合、出力部４０５は、不正な攻撃が行われていないことを示す情報を出力する。
【０２６０】
図２２は、図１８に示された車両用システム１００等の構成の変形例を示すブロック図である。本変形例において、判定器１６０は、外部装置１５０に含まれる。
【０２６１】
例えば、制御器１２０は、車載装置１１０を介して、複数の車載装置１１０に関するログを外部装置１５０へ送信する。また、車載装置１１０において異常が発生した場合、制御器１２０は、車載装置１１０において不正な攻撃で異常が発生したと暫定的に定める。そして、制御器１２０は、暫定的に定められる不正な攻撃の侵入の深度に従って、外部との通信方法、不正な攻撃に対する防御方法、及び、ログの保存方法を変更する。そして、制御器１２０は、変更された通信方法に従って、ログを外部装置１５０へ送信する。
【０２６２】
そして、例えば、外部装置１５０は、車両１３０から複数の車載装置１１０に関するログを受信する。判定器１６０は、複数の車載装置１１０に関するログに従って、複数の車載装置１１０における異常を示す情報を取得する。そして、複数の車載装置１１０における異常発生順序に従って、不正な攻撃が行われているか否かを最終的に判定する。そして、外部装置１５０は、判定結果を含む情報を車両１３０へ送信する。
【０２６３】
また、制御器１２０は、外部装置１５０から車載装置１１０を介して判定結果を含む情報を受信し、判定結果を含む情報に従って、外部との通信方法、不正な攻撃に対する防御方法、及び、ログの保存方法を変更又は維持する。
【０２６４】
つまり、図１８の例では、異常検知結果に従って不正な攻撃が行われているか否かが判定された後に、車両１３０における通知方法、防御方法又は保存方法等が制御される。一方、図２２の例では、異常検知結果に従って車両１３０における通知方法、防御方法又は保存方法等が制御された後に、不正な攻撃が行われているか否かが判定され、判定結果が制御にフィードバックされる。
【０２６５】
図２３は、図２２に示された車両用システム１００の機能ブロックを示す模式図である。例えば、図１９に示された異常検知部２０１の複数の構成要素のうち、取得部４０２、処理部４０３、記憶部４０４及び出力部４０５が、外部装置１５０に配置される。
【０２６６】
例えば、車両１３０において、１以上の検知部４０１を含む異常検知部２０１が異常を検知する。保存制御部２０２及び送信制御部２０６は、異常により暫定的に推定される不正な攻撃の侵入の深度に従って、保存方法及び通信方法を変更する。そして、保存制御部２０２は、異常検知結果を含むログを保存部２０３へ保存する。また、送信制御部２０６は、送信部２０７を介してログを外部装置１５０へ送信する。
【０２６７】
また、例えば、外部装置１５０において、取得部４０２が、車両１３０から異常検知結果を含むログを取得することにより、異常検知結果を取得し、取得された異常検知結果を記憶部４０４に記憶する。処理部４０３は、取得された異常検知結果と検知時刻が近い複数の異常検知結果を記憶部４０４から取得し、取得された複数の異常検知結果に従って不正な攻撃が行われているか否かを判定する。出力部４０５は、判定結果を含む情報を出力する。出力部４０５は、判定結果を含む情報を車両１３０へ送信する。
【０２６８】
そして、車両１３０において、保存制御部２０２及び送信制御部２０６は、外部装置１５０から情報収集部２０４等を介して判定結果を含む情報を受信し、判定結果を含む情報に従って、制御を変更又は維持する。
【０２６９】
図２４は、図１８及び図２２に示された車両用システム１００の具体例を示すブロック図である。図２４に示された車両用システム１００は、基本的に、図５に示された車両用システム１００と同様に構成される。
【０２７０】
ただし、監視ブロック３１４又は監視ＥＣＵ３１６は、制御器１２０の役割を果たすとともに、判定器１６０の役割を果たす。あるいは、判定器１６０の役割を果たす監視ブロック３２４が、監視ブロック３１４又は監視ＥＣＵ３１６とは別に、サーバ３０１に含まれていてもよい。つまり、車両用システム１００は、車両３１０において、制御器１２０の役割を果たす監視ブロック３１４又は監視ＥＣＵ３１６を備え、かつ、サーバ３０１において、判定器１６０の役割を果たす監視ブロック３２４を備えてもよい。
【０２７１】
例えば、監視ＥＣＵ３１６は、実施の形態１と同様に、Ｅ−ｃａｌｌ３１１、ＴＣＵ３１２、ＩＶＩ３１３、ＧＷ３１５、ＡＤＡＳ  ＥＣＵ３１７、Ｖ２Ｘ  ＥＣＵ３１８、１以上のＥＣＵ３１９、及び、１以上の制御系ＥＣＵ３２０等を監視する。そして、監視ＥＣＵ３１６は、これらの異常を検知する。
【０２７２】
また、監視ＥＣＵ３１６は、異常発生順序に従って、不正な攻撃が行われているか否かを判定する。そして、監視ＥＣＵ３１６は、不正な攻撃が行われている場合、不正な攻撃の侵入の深度に従って、通信方法、防御方法又は保存方法を変更する。
【０２７３】
車両用システム１００は、実施の形態１と同様に、監視ＥＣＵ３１６の代わりに、監視ＥＣＵ３１６と同様の役割を果たす監視ブロック３１４を備えてもよい。
【０２７４】
また、上述した通り、車両用システム１００は、サーバ３０１において、判定器１６０の役割を果たす監視ブロック３２４を備えてもよい。この場合、車両３１０における監視ＥＣＵ３１６は、異常を検知し、検知された異常によって暫定的に定められる不正な攻撃の侵入の深度に従って、通信方法、防御方法又は保存方法を変更する。そして、監視ＥＣＵ３１６は、異常検知結果を含むログをサーバ３０１へ送信する。
【０２７５】
その後、サーバ３０１における監視ブロック３２４は、異常検知結果を含むログを取得する。そして、監視ブロック３２４は、蓄積された複数の異常検知結果に従って、不正な攻撃が行われているか否かを判定する。そして、監視ブロック３２４は、判定結果を含む情報を車両３１０へ送信する。車両３１０における監視ＥＣＵ３１６は、判定結果を含む情報に従って、通信方法、防御方法又は保存方法を変更又は維持する。
【０２７６】
また、監視ブロック３１４、監視ＥＣＵ３１６又は監視ブロック３２４は、ＩＶＩ３１３又は端末装置３０４等を介して、不正な攻撃が行われているか否かの判定結果を含む情報をユーザに通知してもよい。また、監視ブロック３１４、監視ＥＣＵ３１６又は監視ブロック３２４は、サーバ３０１が有するユーザインタフェース、又は、インターネット３０２等を介して、不正な攻撃が行われているか否かの判定結果を含む情報をオペレータに通知してもよい。
【０２７７】
不正な攻撃が行われているか否かの判定結果を含む情報は、上述したように、不正な攻撃が行われているか否かの判定結果、不正な攻撃の侵入経路、不正な攻撃の侵入の深度、及び、異常検知結果等を含んでいてもよい。また、不正な攻撃が行われているか否かの判定結果を含む情報は、侵入経路及び侵入箇所等を示す画像を含んでいてもよい。そして、このような情報が、ユーザ又はオペレータに通知されてもよい。
【０２７８】
また、例えば、図２４に示された監視ブロック３１４、監視ＥＣＵ３１６又は監視ブロック３２４は、図１９に示された取得部４０２、処理部４０３、記憶部４０４及び出力部４０５を備える。
【０２７９】
図２５は、図１９に示された記憶部４０４に記憶された複数の異常検知結果を示すテーブル図である。記憶部４０４には、異常が検知された順に、複数の異常検知結果が記憶される。異常検知結果は、検知時刻と異常発生箇所とを含む。検知時刻は、異常が検知された日時である。ここでは、異常が検知された日時は、異常が発生した日時とみなされる。異常発生箇所は、異常が発生した箇所である。異常検知結果は、その他の情報を含んでいてもよい。
【０２８０】
この例では、２０１８／０８／０１にＩＶＩ３１３で異常が検知されている。また、２０１８／０８／０３に制御系ＥＣＵ３２０で異常が検知されている。また、ＡＤＡＳ  ＥＣＵ３１７で異常が検知されている。２０１８／０８／１０に、ＩＶＩ３１３で異常が検知され、その後、ＧＷ３１５で異常が検知されている。これらの情報が、記憶部４０４に記憶される。
【０２８１】
図２６は、図１９に示された記憶部４０４に記憶される新たな異常検知結果、及び、記憶部４０４から抽出される複数の異常検知結果を示すテーブル図である。
【０２８２】
新たな異常が検知された場合、取得部４０２は、新たな異常検知結果を取得し、取得された新たな異常検知結果を記憶部４０４に記憶する。この例では、新たな異常検知結果は、２０１８／０８／１０にＡＤＡＳ  ＥＣＵ３１７で異常が検知されたことを示す。
【０２８３】
そして、処理部４０３は、新たな異常検知結果と検知時刻が近い複数の異常検知結果を記憶部４０４から抽出する。この例では、処理部４０３は、新たな異常検知結果を含めて、新たな異常検知結果と同じ日に検知された３つの異常検知結果を抽出する。処理部４０３は、新たな異常検知結果の検知時刻から２４時間以内の異常検知結果を抽出してもよいし、１時間以内の異常検知結果を抽出してもよいし、その他の範囲の異常検知結果を抽出してもよい。
【０２８４】
図２７は、図１９に示された処理部４０３によって抽出された異常情報と、図１９に示された記憶部４０４に予め記憶された攻撃情報との比較処理を示す模式図である。図１９に示された処理部４０３によって抽出された異常情報は、図２６において、処理部４０３によって抽出された複数の異常検知結果に対応する。
【０２８５】
処理部４０３は、抽出された異常情報と、記憶された攻撃情報とを比較して、抽出された異常情報と、記憶された攻撃情報とが整合するか否かを判定する。すなわち、処理部４０３は、抽出された複数の異常検知結果によって示される異常発生順序と、所定の攻撃順序とが整合するか否かを判定する。処理部４０３は、抽出された異常情報と、記憶された攻撃情報とが整合する場合、不正な攻撃が行われていると判定する。つまり、処理部４０３は、不正な攻撃によって異常が発生していると判定する。
【０２８６】
また、攻撃情報として、複数の所定の攻撃順序が、記憶部４０４に予め記憶されていてもよい。処理部４０３は、異常発生順序が複数の所定の攻撃順序のうちのいずれかに整合するか否かを判定してもよい。処理部４０３は、異常発生順序が複数の所定の攻撃順序のうちのいずれかに整合する場合、不正な攻撃が行われていると判定してもよい。その際、処理部４０３は、複数の所定の攻撃順序のうち異常発生順序が整合する所定の攻撃順序に沿って不正な攻撃が行われていると判定してもよい。
【０２８７】
図２８は、図１９に示された記憶部４０４に予め記憶される所定の攻撃順序の第１例を示す模式図である。この攻撃順序は、図６のように想定される所定の侵入経路に基づいている。つまり、この攻撃順序では、図６のように想定される所定の侵入経路に基づいて、ＴＣＵ３１２、ＩＶＩ３１３、ＧＷ３１５、ＡＤＡＳ  ＥＣＵ３１７、及び、制御系ＥＣＵ３２０が、より浅い方からより深い方へ（すなわち浅い順に）並べられている。
【０２８８】
図２９は、図１９に示された記憶部４０４に予め記憶される所定の攻撃順序の第２例を示す模式図である。この攻撃順序は、図１２のように想定される所定の侵入経路に基づいている。つまり、この攻撃順序では、図１２のように想定される所定の侵入経路に基づいて、Ｖ２Ｘ  ＥＣＵ３１８、ＡＤＡＳ  ＥＣＵ３１７、ＧＷ３１５、及び、制御系ＥＣＵ３２０が、より浅い方からより深い方へ（すなわち浅い順に）並べられている。
【０２８９】
異常発生順序が、図２８又は図２９に示された攻撃順序に整合する場合、本実施の形態における車両用システム１００は、異常発生順序が整合する攻撃順序に従って、不正な攻撃が行われていると判定され得る。
【０２９０】
上記の通り、本実施の形態における車両用システム１００は、複数の車載装置１１０における異常発生順序に従って、不正な攻撃が行われているか否かを判定する。これにより、車両用システム１００は、不正な攻撃が行われているか否かを適切に判定することができる。
【０２９１】
例えば、異常は、不正な攻撃に限らず、故障、欠陥、外乱又は誤検知等によっても検知される。そのため、検知された全ての異常を不正な攻撃によって発生した異常とみなして、対策を行うことは適切ではない。したがって、不正な攻撃が行われているか否かを判定することは有用である。一方で、検知された１つの異常から、不正な攻撃が行われているか否かを判定することは容易ではない。また、不正な攻撃が行われているか否かの分析において、人、時間及び資源等に関する多大なコストが発生する可能性がある。
【０２９２】
本実施の形態における車両用システム１００は、不正な攻撃が行われているか否かをシンプルに特定することができるため、分析のコストを削減することができる。また、車両用システム１００は、不正な攻撃が行われているか否かの判定結果を攻撃に対する対策に反映させることができる。
【０２９３】
なお、ここでは、複数の車載装置１１０における異常発生順序に従って、不正な攻撃が行われているか否かが判定されている。異常発生順序に、車載装置１１０の異常でなく、車載ネットワークの異常が含まれていてもよい。
【０２９４】
例えば、車両１３０に複数の車載ネットワークが搭載される場合がある。また、複数の車載ネットワークは、外部ネットワーク１４０に近い車載ネットワークと、外部ネットワーク１４０から遠い車載ネットワークとを含む場合がある。外部ネットワーク１４０に近い車載ネットワークの異常が検知された後に、外部ネットワーク１４０から遠い車載ネットワークの異常が検知された場合に、不正な攻撃が行われていると判定されてもよい。
【０２９５】
また、車載ネットワークの異常は、車載装置１１０に起因すると想定され、車載装置１１０に関連付けられる。そのため、車載ネットワークの異常は、車載ネットワークの異常が関連付けられる車載装置１１０の異常として扱われてもよい。そして、複数の車載装置１１０における異常発生順序に従って、不正な攻撃が行われているか否かが判定されてもよい。
【０２９６】
以上、本発明の一態様における車両用システム１００について、実施の形態等に基づいて説明したが、本発明は、上記の実施の形態等に限定されない。上記の実施の形態等に対して当業者が思いつく変形を施して得られる形態、及び、上記の実施の形態等における複数の構成要素を任意に組み合わせて実現される別の形態も本発明に含まれる。
【０２９７】
例えば、特定の構成要素が実行する処理を別の構成要素が実行してもよい。また、処理を実行する順番が変更されてもよいし、複数の処理が並行して実行されてもよい。
【０２９８】
また、本発明は、車両用システム１００として実現できるだけでなく、車両用システム１００を構成する各構成要素が行うステップ（処理）を含む制御方法として実現できる。
【０２９９】
例えば、それらのステップは、コンピュータによって実行されてもよい。このコンピュータは、車両用システム１００が備えるコンピュータでもよい。そして、本発明は、それらの方法に含まれるステップを、コンピュータに実行させるためのプログラムとして実現できる。さらに、本発明は、そのプログラムを記録したＣＤ−ＲＯＭ等である非一時的なコンピュータ読み取り可能な記録媒体として実現できる。
【０３００】
例えば、本発明が、プログラム（ソフトウェア）で実現される場合には、コンピュータのプロセッサ及びメモリ等のハードウェア資源を利用してプログラムが実行されることによって、各ステップが実行される。つまり、プロセッサがデータをメモリ等から取得して演算したり、演算結果をメモリ等に出力したりすることによって、各ステップが実行される。
【０３０１】
また、車両用システム１００等に含まれる複数の構成要素は、それぞれ、専用又は汎用の回路として実現されてもよい。複数の構成要素が、１つの回路として実現されてもよいし、複数の回路として実現されてもよい。
【０３０２】
また、車両用システム１００等に含まれる複数の構成要素は、集積回路（ＩＣ：Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）であるＬＳＩ（Ｌａｒｇｅ  Ｓｃａｌｅ  Ｉｎｔｅｇｒａｔｉｏｎ）として実現されてもよい。これらの構成要素は、個別に１チップ化されてもよいし、一部又は全てを含むように１チップ化されてもよい。ＬＳＩは、集積度の違いにより、システムＬＳＩ、スーパーＬＳＩ又はウルトラＬＳＩと呼称される場合がある。
【０３０３】
また、集積回路はＬＳＩに限られず、専用回路又は汎用プロセッサで実現されてもよい。プログラム可能なＦＰＧＡ（Ｆｉｅｌｄ  Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）、又は、ＬＳＩ内部の回路セルの接続及び設定が再構成可能なリコンフィギュラブル・プロセッサが、利用されてもよい。
【０３０４】
さらに、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて、車両用システム１００等に含まれる複数の構成要素の集積回路化が行われてもよい。
【０３０５】
上述したように、車両用システム１００は、複数の車載装置１１０と、制御器１２０とを備える。制御器１２０は、複数の車載装置１１０に対する不正な攻撃の侵入の深度に従って、車両の外部への通信方法と、不正な攻撃に対する防御方法と、複数の車載装置１１０に関するログの保存方法とのうち少なくとも１つを変更する。
【０３０６】
これにより、車両用システム１００は、攻撃の状況に従って、通信方法、防御方法又は保存方法等を変更することができる。すなわち、車両用システム１００は、攻撃に対して適応的な制御を行うことができる。
【０３０７】
例えば、制御器１２０は、侵入の深度に従って、複数の車載装置１１０のうち、車両の外部への通信に用いられる車載装置１１０を変更することにより、通信方法を変更してもよい。これにより、車両用システム１００は、攻撃の状況に従って、通信に用いられる車載装置１１０を適応的に変更することができる。したがって、車両用システム１００は、攻撃によって受ける影響を抑制することができる。
【０３０８】
また、例えば、複数の車載装置１１０は、テレマティクス通信ユニットを含んでいてもよい。そして、制御器１２０は、侵入の深度がテレマティクス通信ユニットに到達した場合、テレマティクス通信ユニットを介した第１通信方法から、テレマティクス通信ユニットを介さない第２通信方法に、通信方法を変更してもよい。これにより、車両用システム１００は、攻撃されたテレマティクス通信ユニットを介さずに、通信を適切に行うことができる。
【０３０９】
また、例えば、複数の車載装置１１０は、車載インフォテインメントを含んでいてもよい。そして、制御器１２０は、侵入の深度がテレマティクス通信ユニットに到達した場合、テレマティクス通信ユニットを介した第１通信方法から、車載インフォテインメントを介した第２通信方法に、通信方法を変更してもよい。これにより、車両用システム１００は、攻撃されたテレマティクス通信ユニットを介さずに、車載インフォテインメントを介して、通信を適切に行うことができる。
【０３１０】
また、例えば、制御器１２０は、侵入の深度が車載インフォテインメントに到達した場合、車載インフォテインメントを介さない第３通信方法に、通信方法を変更してもよい。これにより、車両用システム１００は、攻撃された車載インフォテインメントを介さずに、通信を適切に行うことができる。
【０３１１】
また、例えば、制御器１２０は、侵入の深度に従って、複数の車載装置１１０のうちログの保存先として用いられる車載装置１１０を変更することにより、保存方法を変更してもよい。これにより、車両用システム１００は、攻撃の状況に従って、ログの保存先を適応的に変更することができる。したがって、車両用システム１００は、攻撃によって受ける影響を抑制することができる。
【０３１２】
また、例えば、制御器１２０は、侵入の深度が複数の車載装置１１０に含まれる１以上の車載装置１１０に到達した場合、１以上の車載装置１１０のそれぞれのログを保存対象ログに含めることにより、保存方法を変更してもよい。これにより、車両用システム１００は、１以上の車載装置１１０が攻撃された場合、攻撃された１以上の車載装置１１０のログを保存対象ログに含めることができる。
【０３１３】
また、例えば、複数の車載装置１１０は、テレマティクス通信ユニットを含んでいてもよい。そして、制御器１２０は、侵入の深度がテレマティクス通信ユニットに到達した場合、テレマティクス通信ユニットのログを保存対象ログに含めることにより、保存方法を変更してもよい。これにより、車両用システム１００は、テレマティクス通信ユニットが攻撃された場合、攻撃されたテレマティクス通信ユニットのログを保存対象ログに含めることができる。
【０３１４】
また、例えば、複数の車載装置１１０は、車載インフォテインメントを含んでいてもよい。そして、制御器１２０は、侵入の深度が車載インフォテインメントに到達した場合、車載インフォテインメントのログを保存対象ログに含めることにより、保存方法を変更してもよい。これにより、車両用システム１００は、車載インフォテインメントが攻撃された場合、攻撃された車載インフォテインメントのログを保存対象ログに含めることができる。
【０３１５】
また、例えば、制御器１２０は、侵入の深度が複数の車載装置１１０に含まれる第１車載装置１１０に到達した場合、第２車載装置１１０のログを保存対象ログに含めてもよい。ここで、第２車載装置１１０は、複数の車載装置１１０に含まれる車載装置１１０であって、侵入の深度が第１車載装置１１０の次に到達すると推定される車載装置１１０である。そして、制御器１２０は、第２車載装置１１０のログを保存対象ログに含めることにより、保存方法を変更してもよい。
【０３１６】
これにより、車両用システム１００は、次に攻撃される可能性を有する車載装置１１０のログを保存対象ログに含めることができる。
【０３１７】
また、例えば、複数の車載装置１１０の少なくとも一部は、２つの通信路で通信を行ってもよい。そして、制御器１２０は、侵入の深度が２つの通信路のうちの一方に到達した場合、２つの通信路のうちの他方で複数の車載装置１１０の少なくとも一部が行う通信を継続させてもよい。また、制御器１２０は、侵入の深度が２つの通信路のうちの両方に到達した場合、自動運転の停止、車両の走行の停止、又は、フェールセーフの制御を行ってもよい。これにより、制御器１２０は、防御方法を変更してもよい。
【０３１８】
これにより、車両用システム１００は、２つの通信路のうち、１つの通信路が攻撃された場合と、２つの通信路が攻撃された場合とで、異なる防御方法を用いることができる。そして、車両用システム１００は、攻撃の状況に従って、防御方法を適切に変更することができる。
【０３１９】
また、例えば、複数の車載装置１１０は、車載インフォテインメントを含んでいてもよい。そして、車載インフォテインメントは、制御器１２０を備えていてもよい。これにより、車両用システム１００は、車両に搭載される車載インフォテインメントによって、攻撃に対して適応的な制御を行うことができる。
【０３２０】
また、例えば、複数の車載装置１１０は、ゲートウェイを含んでいてもよい。そして、ゲートウェイは、制御器１２０を備えていてもよい。また、制御器１２０は、複数の車載装置１１０のうち、ゲートウェイとは異なる車載装置１１０に、ログの一部又は全部を保存してもよい。
【０３２１】
これにより、車両用システム１００は、車両に搭載されるゲートウェイによって、攻撃に対して適応的な制御を行うことができる。そして、車両用システム１００は、ゲートウェイのメモリ容量が少ない場合にも、他の車載装置１１０にログを保存することができる。
【０３２２】
また、例えば、車両用システム１００は、さらに、複数の車載装置１１０における異常発生順序に従って、不正な攻撃が行われているか否かを判定する判定器１６０を備えてもよい。これにより、車両用システム１００は、不正な攻撃が行われているか否かを適切に判定することができる。よって、車両用システム１００は、不正な攻撃が行われているか否かに従って、適切な制御を行うことができる。
【０３２３】
また、例えば、判定器１６０は、異常発生順序が所定の順序に整合する場合、不正な攻撃が行われていると判定してもよい。ここで、所定の順序は、複数の車載装置１１０のうち少なくとも２つの車載装置１１０が、所定の侵入経路に沿って、より浅い方からより深い方へ並べられた順序である。これにより、車両用システム１００は、所定の侵入経路に沿って発生する異常を不正な攻撃として適切に判定することができる。
【０３２４】
また、上述された制御方法は、車両に対して用いられる車両用システム１００の制御方法である。そして、車両に搭載される複数の車載装置１１０に対する不正な攻撃の侵入の深度に従って、車両の外部への通信方法と、不正な攻撃に対する防御方法と、複数の車載装置１１０に関するログの保存方法とのうち少なくとも１つが変更される。これにより、攻撃の状況に従って、通信方法、防御方法又は保存方法等が変更され得る。すなわち、攻撃に対して適応的な制御が行われ得る。
【０３２５】
また、上述されたプログラムは、上記の制御方法をコンピュータに実行させるためのプログラムである。これにより、このプログラムを実行するコンピュータ等は、攻撃の状況に従って、通信方法、防御方法又は保存方法等を変更することができる。すなわち、このプログラムを実行するコンピュータ等は、攻撃に対して適応的な制御を行うことができる。
【産業上の利用可能性】
【０３２６】
本発明は、車両に対して用いられる車両用システム等に利用可能であって、不正な攻撃から車両を保護するためのセキュリティシステム等に適用可能である。
【符号の説明】
【０３２７】
１００  車両用システム
１１０  車載装置
１２０  制御器
１３０、３０５、３１０  車両
１４０  外部ネットワーク
１５０  外部装置
１６０  判定器
２０１  異常検知部
２０２  保存制御部
２０３  保存部
２０４  情報収集部
２０５  被害検知部
２０６  送信制御部
２０７  送信部
３０１  サーバ
３０２  インターネット
３０３  ＡＰ（アクセスポイント）
３０４  端末装置
３０６  インフラ
３１１  Ｅ−ｃａｌｌ
３１２  ＴＣＵ（テレマティクス通信ユニット）
３１３  ＩＶＩ（車載インフォテインメント）
３１４、３２４  監視ブロック
３１５  ＧＷ（ゲートウェイ）
３１６  監視ＥＣＵ
３１７  ＡＤＡＳ  ＥＣＵ
３１８  Ｖ２Ｘ  ＥＣＵ
３１９  ＥＣＵ
３２０  制御系ＥＣＵ
４０１  検知部
４０２  取得部
４０３  処理部
４０４  記憶部
４０５  出力部
【図１】
2019125344.tif 000003
【図２】
2019125344.tif 000004
【図３】
2019125344.tif 000005
【図４】
2019125344.tif 000006
【図５】
2019125344.tif 000007
【図６】
2019125344.tif 000008
【図７】
2019125344.tif 000009
【図８】
2019125344.tif 000010
【図９】
2019125344.tif 000011
【図１０】
2019125344.tif 000012
【図１１】
2019125344.tif 000013
【図１２】
2019125344.tif 000014
【図１３】
2019125344.tif 000015
【図１４】
2019125344.tif 000016
【図１５】
2019125344.tif 000017
【図１６】
2019125344.tif 000018
【図１７】
2019125344.tif 000019
【図１８】
2019125344.tif 000020
【図１９】
2019125344.tif 000021
【図２０】
2019125344.tif 000022
【図２１】
2019125344.tif 000023
【図２２】
2019125344.tif 000024
【図２３】
2019125344.tif 000025
【図２４】
2019125344.tif 000026
【図２５】
2019125344.tif 000027
【図２６】
2019125344.tif 000028
【図２７】
2019125344.tif 000029
【図２８】
2019125344.tif 000030
【図２９】
2019125344.tif 000031