(57)【特許請求の範囲】
【請求項１】
電子システムの外部から生じる攻撃に対して脆弱な前記システムの少なくとも一部についてリスクプロファイルを生成する方法であって、前記方法は、
前記電子システムの少なくとも一部に適用可能な、選択されたセキュリティメカニズムを特定する情報を受信することを備え、前記選択されたセキュリティメカニズムは、トップレベルビューまたは低レベルのビューであり、
前記システムの前記少なくとも一部の内部の攻撃および前記攻撃の潜在的な標的を特定する攻撃シナリオを受信することを備え、前記トップレベルビューの選択時には、前記システムの所与のユースケースについて生成された前記攻撃シナリオを受信し、前記低レベルのビューの選択時に、前記システムの所与の一部について生成された前記攻撃シナリオを受信し、
前記トップレベルビューおよび前記低レベルのビューの選択に従って、電子システムの前記少なくとも一部に適用可能な選択されたセキュリティメカニズムを特定する情報を受信することと、
受信した前記攻撃シナリオおよび前記選択されたセキュリティメカニズムに依存してリスクプロファイルを生成することとを備える、方法。
【請求項２】
前記リスクプロファイルを含むレポートを生成することをさらに備える、請求項１に記載の方法。
【請求項３】
前記レポートは、前記選択されたセキュリティメカニズムが適用されていない別のリスクプロファイルを含む、請求項２に記載の方法。
【請求項４】
前記選択されたセキュリティメカニズムを特定する情報を受信することは、
セキュリティメカニズムの選択を前記ユーザから受信することを含む、請求項１から３のいずれか１項に記載の方法。
【請求項５】
前記選択されたセキュリティメカニズムを特定する前記情報に従ってセキュリティメカニズムを選択することと、
前記セキュリティメカニズムに依存してリスクプロファイルを生成することと、
前記リスクプロファイルが予め定められた判定基準を満たすか否かを判断することと、
前記リスクプロファイルが前記予め定められた判定基準を満たすか否かの判断に依存して、前記セキュリティメカニズムを前記選択されたセキュリティメカニズムと特定することとをさらに備える、請求項１から３のいずれか１項に記載の方法。
【請求項６】
前記攻撃シナリオは第１の攻撃シナリオであり、前記リスクプロファイルは第１のリスクプロファイルであり、前記方法はさらに、
第２の異なる攻撃および同一の標的を特定する第２の攻撃シナリオを受信することと、
前記セキュリティメカニズムに依存して第２のリスクプロファイルを生成することとを備える、請求項１から５のいずれか１項に記載の方法。
【請求項７】
前記セキュリティメカニズムを前記第２の攻撃について用いるべきか否かについて前記ユーザに促すことをさらに備える、請求項６に記載の方法。
【請求項８】
前記システムの前記少なくとも一部はドメインを含む、請求項１から７のいずれか１項に記載の方法。
【請求項９】
前記電子システムは自動車用電子システムである、請求項１から８のいずれか１項に記載の方法。
【請求項１０】
前記電子システムは産業用電子システムである、請求項１から８のいずれか１項に記載の方法。
【請求項１１】
電子システムを設計する方法であって、前記方法は、
請求項１から１０のいずれか１項に記載の方法に従って、前記電子システムの少なくとも一部についてリスクプロファイルを生成することと、
前記電子システムの前記少なくとも一部の設計に前記セキュリティメカニズムを含めることと、
前記設計を保存することとを備える、方法。
【請求項１２】
請求項１１に記載の方法に従って電子システムを設計することと、
前記電子システムの前記少なくとも一部の前記設計を含む設計を具体化する前記電子システムを組込んだ製品を製造することとを備える、方法。
【請求項１３】
前記製品は、自動車両などの車両である、請求項１２に記載の方法。
【請求項１４】
データ処理装置によって実行されると、前記データ処理装置に請求項１から１１のいずれか１項に記載の方法を実行させる、コンピュータプログラム。
【請求項１５】
データ処理装置を含む設計支援システムであって、
少なくとも１つのプロセッサと、
メモリと、
請求項１から１１のいずれか１項に記載の方法を前記少なくとも１つのプロセッサに実行させるプログラムとを備える、設計支援システム。
【発明の詳細な説明】
【技術分野】
【０００１】
発明の分野
本発明は、システムの外部から生じる攻撃に対して脆弱な、自動車両などの車両内の電子制御ユニットのネットワーク、または産業用制御システムなどの、電子システムの少なくとも一部についてリスクプロファイルを生成可能な設計支援システム、および電子システムの少なくとも一部についてリスクプロファイルを生成する方法に関する。
【背景技術】
【０００２】
背景
電子制御ユニット（ＥＣＵ）は、パワートレイン、シャーシ、ボディ、アクティブセーフティ、運転者支援、乗客の快適性およびインフォテインメントなどの幅広い自動車ドメインにおいて自動車両にますます導入されている。車両に組み込まれるＥＣＵの数が増加しているだけでなく、これらのユニットは、コントロールエリアネットワーク（ＣＡＮ）、ＦｌｅｘＲａｙ、Media Oriented Systems Transport（ＭＯＳＴ）およびイーサネット（登録商標）などの通信バスによってこれまで以上に相互接続されつつある。
【０００３】
制御ユニットは、たとえば製造または処理工場で用いられる産業用制御システムにおいても、かつ医療用システムにおいてもますます普及しつつある。
【０００４】
任意のネットワーク化されたコンピュータシステムと同様に、自動車用電子システムおよび産業用制御システムは外部の悪意のあるエンティティによる攻撃に対して脆弱である。ゆえに、安全な自動車用電子システムおよび産業用制御システムの設計に注目が集まっている。
【０００５】
E-Safety Vehicle Intrusion Protected Applications（ＥＶＩＴＡ）というプロジェクトの目的は、自動車搭載電子ネットワークについて安全なアーキテクチャを設計、検証および試作することであった。ＥＶＩＴＡの概要はHerve Seudie: “EVITA-Project.org: E-Safety Vehicle Intrusion Protected Applications”, 7th escar Embedded Security in Cars Conference November 24-25, 2009, Dusseldorfに示されている。
【０００６】
ＥＶＩＴＡによると、攻撃の重大度および確率に基づいてリスクレベルを判断することができ、これによってユーザがリスクを査定することができる。
【０００７】
これにも関わらず、設計者が電子システムの異なる設計同士を比較することを助けて、設計者がたとえばシステム寿命の異なる段階でシステムのセキュリティを試験することによってセキュリティをより迅速におよび／または完全に査定できるように、かつ必要であれば対抗策を調整できるようにし得る、リスクプロファイルを生成する設計支援システムおよび方法が依然として必要とされている。
【発明の概要】
【課題を解決するための手段】
【０００８】
要約
本発明の第１の局面によると、電子システムの外部から生じる攻撃に対して脆弱な当該システムの少なくとも一部についてリスクプロファイルを生成する方法が提供される。当該方法は、システムの少なくとも一部の内部の攻撃および攻撃の潜在的な標的を特定する攻撃シナリオを受信することと、攻撃を査定するためのセキュリティ解析モデルの選択をユーザから受信することと、電子システムの少なくとも一部に適用可能な選択されたセキュリティメカニズムを特定する情報を受信することと、選択されたセキュリティメカニズムに依存してリスクプロファイルを生成することとを含む。
【０００９】
これによってユーザは、ソフトウェアベースの暗号化またはハードウェアセキュリティモジュールなどの異なるセキュリティメカニズムのインパクトを査定することができ、したがってどのセキュリティメカニズムを実行すべきかを特定することができる。ユーザは、異なるセキュリティ解析モデルを用いて結果同士を比較することもでき、これによって、選択されたセキュリティメカニズムの有効性についてのさらなる洞察が提供され得る。
【００１０】
電子システムの少なくとも一部は、電子システム全体、電子システムの一部、ドメイン、またはコンポーネントであり得る。コンポーネントは、マイクロコントローラ、システムオンチップ（ＳｏＣ）、メモリ、メモリコントローラ、特定用途向け集積回路（ＡＳＩＣ）またはフィールドプログラマブルゲートアレイ（ＦＰＧＡ）などの集積回路であり得る。コンポーネントは、通信コントローラなどの集積回路内のモジュールであり得る。コンポーネントはマクロであり得る。コンポーネントはソフトウェアを含み得る。
【００１１】
セキュリティ解析モデルは複数のセキュリティ解析モデルから選択され得、当該複数のセキュリティ解析モデルは、E-Safety Vehicle Intrusion Protected Applications（ＥＶＩＴＡ）、Reliability, Safety and Mission assurance（ＲＳＭＡ）、共通脆弱性評価システム（ＣＶＳＳ）、ＳＴＲＩＤＥに加えてＤＲＥＡＤ、または自動車、産業、医療もしくは他のセキュリティ上機微なセッティングもしくはドメインに適用可能な他のセキュリティ解析プロセスを含み得る。
【００１２】
リスクプロファイルは、セキュリティレベルなどの値を含み得る。リスクプロファイル値は整数であり得る。リスクプロファイル値は正であり得る。リスクプロファイル値は、０または１であり得る下限と６，７または８であり得る上限との間の値を取り得る。リスクプロファイルは、当該値を含む少なくとも２つの重大度関連値のアレイを含み得る。
【００１３】
リスクプロファイルを生成することは、セキュリティ解析モデルについての出力を定義済みのスキームに従って定義済みのリスクプロファイルテンプレート上にマップすることを含み得る。これは、２つ以上のモデルを用いて生成された結果同士を比較するのに役立ち得る。
【００１４】
当該方法は、選択されたセキュリティメカニズムを用いずに別のリスクプロファイルを生成することを含み得る。これは、開発者が、セキュリティ対策が実施されるリスクプロファイルと実施されないリスクプロファイルとを比較することによってセキュリティメカニズムのインパクトを査定するのに役立ち得る。他方のリスクプロファイル（すなわちセキュリティメカニズムを用いないリスクプロファイル）は、当該リスクプロファイル（すなわちセキュリティメカニズムを用いるリスクプロファイル）の前に、かつ随意に、選択されたセキュリティメカニズムを特定する情報を受信する前に生成されてもよい。ゆえに、コンピュータシステムはいずれのセキュリティメカニズムも用いずに最初のリスクプロファイルを生成し、選択されたセキュリティメカニズムを用いて後でさらなるリスクプロファイルを生成してもよい。当該方法は、リスクプロファイルを含むレポートを生成することをさらに含み得る。レポートは、選択されたセキュリティメカニズムが適用されていない他方のリスクプロファイルを含み得る。
【００１５】
選択されたセキュリティメカニズムに関する情報を受信することは、セキュリティメカニズムの選択をユーザから受信することを含み得る。当該方法は、予め定められた方法または規則に従ってセキュリティメカニズムを選択することと、セキュリティメカニズムに依存してリスクプロファイルを生成することと、リスクプロファイルが予め定められた判定基準を満たすか否かを判断することと、リスクプロファイルが予め定められた判定基準を満たすか否かの判断に依存して、セキュリティメカニズムを選択されたセキュリティメカニズムとして用いることとを含み得る。実際上、これによって、ユーザが許容可能なセキュリティメカニズムを見つけるのに役立ち得るセキュリティメカニズムを自動的に選択する方法が提供される。
【００１６】
攻撃シナリオは第１の攻撃シナリオであり得、リスクプロファイルは第１のリスクプロファイルであり得る。当該方法は、第２の異なる攻撃および同一の標的を特定する第２の攻撃シナリオを受信することと、セキュリティメカニズムに依存して第２のリスクプロファイルを生成することとをさらに含み得る。
【００１７】
当該方法は、セキュリティメカニズムを第２の攻撃について用いるべきか否かについてユーザに促すことをさらに含み得る。システムの少なくとも一部はドメインを含む。
【００１８】
電子システムは自動車用電子システムであり得る。電子システムは産業用電子システムであり得る。電子システムは医療用電子システムであり得る。電子システムは相互接続されたデバイスのシステム、すなわちモノのインターネット内のシステムであり得る。
【００１９】
２つ以上のセキュリティメカニズムが同時に考慮され得る。ゆえに、当該方法は、電子システムの少なくとも一部に適用可能な少なくとも２つの選択されたセキュリティメカニズムに関する情報を受信することと、少なくとも２つのセキュリティメカニズムに依存してリスクプロファイルを生成することとを含み得る。
【００２０】
本発明の第２の局面によると、電子システムを設計する方法が提供される。当該方法は、電子システムの少なくとも一部についてリスクプロファイルを生成することと、電子システムの少なくとも一部の設計にセキュリティメカニズムを含めることと、設計を保存することとを含む。
【００２１】
本発明の第３の局面によると、電子システムの少なくとも一部の設計を含む設計を具体化する電子システムを組込んだ製品またはシステムを製造する方法が提供される。
【００２２】
製品は車両であり得る。製品は自動車両であり得る。自動車両は、オートバイ、自動車（「車」とも称する）、ミニバス、バス、トラックまたは貨物自動車であり得る。自動車両は内燃機関および／または１つ以上の電気モータを原動力とし得る。製品は、駆動装置（「機関車」とも称される）または鉄道の客車などの列車車両であり得る。製品は、飛行機または宇宙船などの航空宇宙車両であり得る。
【００２３】
製品は、輸送で用いるシグナリング装置であり得る。シグナリング装置は、たとえば列車用の鉄道線路脇のシグナリングなど、車両外であり得る。
【００２４】
製品は、心拍数、呼吸数などの生命徴候を監視するためのモニタなどの医療用システムであり得る。医療用システムは、リモートデバイスと、当該リモートデバイスと無線通信可能なローカルデバイス（「ホームデバイス」）とを含み得る。リモートデバイスは埋込型であり得る。
【００２５】
当該システムは、製造または処理で用いる産業用システムであり得る。
本発明の第４の局面によると、当該方法によって製造された製品が提供される。
【００２６】
本発明の第５の局面によると、データ処理装置によって実行されると当該データ処理装置に当該方法を実行させるコンピュータプログラムが提供される。
【００２７】
本発明の第６の局面によると、当該コンピュータプログラムを記憶するコンピュータ読取可能な媒体を含む、非一時的であり得るコンピュータプログラム製品が提供される。
【００２８】
本発明の第７の局面によると、少なくとも１つのプロセッサと少なくとも１セットのメモリとを含むデータ処理装置を含む設計支援システムが提供される。少なくとも１つのプロセッサは当該方法を実行するように構成される。
【００２９】
本発明の第８の局面によると、ドメインによっておよび／または攻撃によって分類されるセキュリティ関連データを記憶するデータベースが提供される。
【００３０】
添付の図面を参照して、本発明のいくつかの実施形態を例として説明する。
【図面の簡単な説明】
【００３１】
【図１】シナリオコンテキストを概略的に示す図である。
【図２】複数のデータベースおよびセキュリティ解析システムを含む設計支援システムの概略ブロック図である。
【図３】図２に示すセキュリティ解析システムの概略ブロック図である。
【図４】図３に示すセキュリティ解析システムを実行するために用いられるコンピュータシステムの概略ブロック図である。
【図５】図２に示すセキュリティ解析システムによって実行される方法のフロー図である。
【図６】自動車両と、当該自動車両内にデプロイ可能な電子システムとを示す図である。
【図７】攻撃シナリオの例を示す図である。
【図８】シナリオデータ、セキュリティ解析データおよびセキュリティメカニズムを用いてリスクプロファイルを生成することを示す図である。
【図９】異なるセキュリティメカニズムデータによって生じる異なるリスクプロファイルを示す図である。
【図１０】第１の攻撃ツリーと、ＥＶＩＴＡを用いたリスクレベルの生成とを示す図である。
【図１１】第２の攻撃ツリーと、ＣＶＳＳを用いたリスクレベルの生成とを示す図である。
【図１２】システムビューモードまたはドメインビューモードでセキュリティメカニズムを自動的に選択する方法のフロー図である。
【図１３】ドメインビューモードで同一のコンポーネントについて同一のセキュリティメカニズムを自動的に選択することを示す図である。
【図１４】同一のコンポーネントについてセキュリティメカニズムを自動的に選択する方法のフロー図である。
【発明を実施するための形態】
【００３２】
いくつかの実施形態の詳細な説明
導入
図１は、複数の電子アセット２1，２2，２3，２4，２5，２6，２7（本明細書では単に「アセット」とも称する）が自動緊急ブレーキ（ＡＥＢ）などのユースケース（または「フィーチャ」）を提供する電子システムを形成するシナリオコンテキスト１を示す。
【００３３】
アセット２1，２2，２3，２4，２5，２6，２7はハードウェアおよび／またはソフトウェアであり得、アセット２1，２2，２3，２4，２5，２6，２7の例として、カメラ、マイクロコントローラ、マイクロコントローラ内の通信コントローラ、電子制御ユニット（ＥＣＵ）、ならびに第１、第２および第３の車載バスがある。アセット２1，２2，２3，２4，２5，２6，２7の異なる組合せは異なるユースケースを提供し得る。アセット２1，２2，２3，２4，２5，２6，２7は、２つ以上のユースケースを提供するように共有されて使用され得る。
【００３４】
アセット２1，２2，２3，２4，２5，２6，２7は、システムの外部からの悪意のあるエンティティ（本明細書では「攻撃者」と称する）による攻撃に対して脆弱であり得る。したがって、システム、またはシステムの一部を解析して、起こっているそのような攻撃の確率が査定され、それらの影響が判定され得る。対象のドメイン４1，2を定義する境界３1，３2が定義され得る。境界３1，３2の内部で、１つ以上のユースケースが特定されて解析され得、各ユースケースはアセット２1，２2，２3，２4，２5，２6，２7の特定の組合せによって定義される。
【００３５】
以下では、シナリオコンテキスト１の例としてvehicle-to-everything（Ｖ２Ｘ）通信システムを用いる。
【００３６】
図１を参照して、Ｖ２Ｘ通信システム１は、第１の車両５と、第２の車両６、１組の交通信号７およびＧＰＳ衛星８などの他のノード６，７，８とを含むと見なされ得る。
【００３７】
アセット２1，２2，２3，２4，２5，２6，２7は第１の車両５内にデプロイされる。第１のアセット２1はカメラの形態を取り、第２のアセット２2はゲートウェイの形態を取り、第３のアセット２3はヘッドユニットの形態を取り、第４のアセット２4はブレーキシステムの形態を取る。第５、第６および第７のアセット２5，２6，２7は車載バスの形態を取る。カメラ２1とゲートウェイ２2とはコントローラエリアネットワーク（ＣＡＮ）バスまたはイーサネットなどの第１の車載バス２5によって接続され、ゲートウェイ２3とヘッドユニット２3とはＣＡＮバスなどの第２の車載バス２6によって接続され、ゲートウェイ２2とブレーキシステム２4とはＦｌｅｘＲａｙバスまたはＣＡＮバスなどの第３の車載バス２7によって接続される。
【００３８】
攻撃のリスクを評価して最小化するのに役立つように、Ｖ２Ｘ通信システム１は、ユースケース、攻撃ゴール、１つ以上の攻撃目的ならびに攻撃目的ごとのそれぞれのセットの重大度レベルを特定することによって解析され得る。各攻撃目的は１つ以上の脅威９に分解され得、各脅威は異なる形態の攻撃１０に分解され得る。明確にするため、カメラ２1に関連する攻撃１０のみを示している。
【００３９】
この例では、ユースケース（すなわちフィーチャ）は自動電子ブレーキであり、攻撃ゴールはそのユースフィーチャを危殆化させること、すなわち自動電子ブレーキを危殆化させることである。この例では、２つの攻撃目的が、すなわち、アクティブブレーキを起動するもしくは起動しないという目的、またはプロセスのアルゴリズムもしくは特定の実装などの知的財産（ＩＰ）を盗むという目的があり得る。
【００４０】
攻撃目的の各々は各自のセットの重大度分類を有しており、各重大度分類は、安全性、プライバシー、財務および操作などの、異なるセキュリティ局面を反映している。
【００４１】
第１の攻撃目的の場合、たとえば、カメラを操作する、車載バスを操作する、ゲートウェイを操作する、ブレーキシステムを操作する、またはヘッドユニットを操作するなどの５個の脅威９があり得る。第２の攻撃目的の場合、１つ以上の同様の脅威があり得る。
【００４２】
「カメラを操作する」脅威の例を取ると、攻撃１０は偽入力、物理的な攻撃、ソフトウェア攻撃、カメラバイパス、カメラ除去またはカメラ交換の形態を取り得る。車載バスを操作する脅威の場合は、攻撃はバスタンパリングの形態を取り得る。脅威ごとの攻撃確率が推定され得る。
【００４３】
攻撃１０をより困難にするために、かつそのような攻撃が成功する可能性を許容可能に低いレベルに低下させるために、１つ以上のセキュリティメカニズムが実行され得る。たとえば、偽入力攻撃の場合は、認証が実施され得る。
【００４４】
しかし、認証は、たとえば１つ以上の異なるＩＰコアまたはブロックを用いて、１つ以上の方法で実行され得る。どのセキュリティメカニズムが有効であり実行すべきかの判断は達成するのが困難であり得る。本発明は、ユーザが電子システムの異なる設計同士を比較することができ、それによってユーザがセキュリティをより迅速におよび／または完全に査定できるようにする、リスクプロファイルを生成する設計支援システムおよび方法を提供するよう努める。
【００４５】
設計支援システム１１
図２を参照して、電子システムの少なくとも一部についてセキュリティ関連データを生成するための設計支援システム１１が示される。当該電子システムは、モータもしくは他の種類の車両内の電子制御ユニット（ＥＣＵ）のネットワーク、産業用制御システム、医療用システム、または攻撃に対して脆弱なその他のシステムであり得る。
【００４６】
設計支援システム１１は、セキュリティ関連データ１３を記憶する１セットのデータベース１２と、セキュリティ解析システム１４（本明細書では「セキュリティツール」とも称する）とを含む。
【００４７】
セキュリティ関連データデータベース１２は、自動緊急ブレーキを危殆化させるなどの攻撃ゴールに関連したデータ１６を記憶する第１のセキュリティ関連データデータベース１５と、ブレーキを掛けさせるなどの攻撃目的に関連したデータ１８を記憶する第２のセキュリティ関連データデータベース１７と、カメラを操作するなどの脅威に関連したデータ２０を記憶する第３のセキュリティ関連データデータベース１９と、攻撃に関連したデータ２２を記憶する第４のセキュリティ関連データデータベース２１と、セキュリティメカニズム（ハードウェアおよび／またはソフトウェアセキュリティメカニズムを含み得る）に関連したデータ２４を記憶する第５のセキュリティ関連データデータベース２３とを含む。セキュリティメカニズムデータ２４は、アセットごとに、セキュリティメカニズムのリストと、各セキュリティメカニズムが、成功確率Ｐなどの成功確率ベースのスコア、またはＣＶＳＳ Ｂａｓｅscoreなどの成功確率に依存するスコアにどのように影響を及ぼすかに関連したそれぞれの確率関連データとを含む。確率関連データは、いずれのセキュリティメカニズムも適用していないアセットごとの成功確率ベースのスコアに関連したデータを含む。成功確率ベースのスコア（たとえば、１またはその他の下限と５またはその他の上限との間の値を取り得る）は、たとえばユーザが構造化された質問表の質問を答えることによってなどで、試験によっておよび／または解析によって得ることができる。確率関連データは別個のデータベースに記憶され得るか、またはセキュリティツール１４に埋込まれ得る。確率関連データは、失敗する確率の観点で定義され得る。
【００４８】
成功確率ベースのスコアは、たとえば（ＥＶＩＴＡのコンテキストでは）、経過時間（すなわち攻撃が完了するのにどれだけの時間が掛かるか）、好条件の期間（windows of opportunity）、システムの知識、機器および専門的知識を含む１セットのパラメータに基づく。経過時間は、完了するまでにかかる期間が１週間未満のそれらの攻撃、１ヶ月未満のそれらの攻撃、６ヶ月未満のそれらの攻撃、および６ヶ月よりも長いそれらの攻撃に分割され得る。好条件の期間は、容易である、適度に困難である、難しい、および非実際的であるそれらの攻撃に分割され得る。機器パラメータは、機器が市販されているか否か、機器が他のコンポーネントから複製可能であるか否か、および可能である場合はそれらのコンポーネントが市販されているか否かに基づく。ゆえに、機器は標準的であるまたは特殊化されていると分類され得る。専門的知識パラメータを用いて、当該機器を用いて、攻撃者が機器をセットアップして用いて攻撃を実行することが可能であるか否かが分類される。専門的知識は、低い、中程度または高いと分類される。ＣＶＳＳなどの他のモデルでは異なるパラメータが用いられ得る。
【００４９】
以下により詳細に説明するように、所与のアセットについての攻撃の成功確率Ｐは、セキュリティメカニズムを適用することによって低下させることができる。たとえば、暗号化が用いられる場合は、攻撃を完了するのに必要な時間が延長され、より高いレベルの専門的知識が要求される。ゆえに、所与のアセットについての攻撃の成功確率は、その暗号化が用いられていない状況と比較して低下する。
【００５０】
セキュリティ解析は、複数の利用可能なセキュリティ解析モデルまたはプロセス２６1，２６2，…，２６nから選択されたセキュリティ解析モデルまたはプロセス２５を用いることによって実行される。セキュリティ解析モデル２６1，２６2，…，２６nの例として、E-Safety Vehicle Intrusion Protected Applications（ＥＶＩＴＡ）、Reliability, Safety and Mission assurance（ＲＳＭＡ）、共通脆弱性評価システム（ＣＶＳＳ）、ＳＴＲＩＤＥおよびＤＲＥＡＤに基づくセキュリティ解析プロセス、または自動車、産業、医療もしくは他のセキュリティ上機微なセッティングもしくはドメインに適用可能な他のセキュリティ解析プロセスがある。
【００５１】
セキュリティ解析システム１４は、１つ以上のリスクプロファイル２８を含むレポート２７を生成する。各プロファイル２８は成功確率２９に基づいており、リスクプロファイル２８はセキュリティ関連データ１３を用いて生成され、出力データベース３０に記憶され得る。セキュリティ解析システム１４を用いて、比較的高レベルのビューでシステムもしくはシステムの一部（自動緊急ブレーキなど）が、または比較的低レベルのビューでコンポーネント（通信コントローラなど）が解析され得る。
【００５２】
セキュリティ関連データ１３は、対応するデータベース管理モジュール３１，３２，３３，３４，３５によって供給、修正および削除され得る。
【００５３】
さらに図３を参照して、セキュリティ解析システム１４がより詳細に示される。
セキュリティ解析システム１４は、境界定義モジュール４１と、脅威解析入力モジュール４２と、脅威インパクト計算モジュール４３と、攻撃発生計算モジュール４４と、対抗策モジュール４５と、リスクプロファイル計算モジュール４６と、リスクプロファイル解析モジュール４７と、レポート生成モジュール４８とを含む。
【００５４】
境界定義モジュール４１を用いて対象のドメイン（または「解析中のシステム」）４1，４2（図１）が定義される。脅威解析入力モジュール４２を用いてドメイン４1，４2（図１）の内部のユースケース（「フィーチャ」とも称され得る）が指定され、各ユースケースに対する脅威が指定され、各脅威に関連した攻撃が指定される。ユースケースの例として、たとえば、自動緊急ブレーキ（ＡＥＢ）システム、タイププレッシャーモニタリングシステム（type pressure monitoring system）、オーディオおよびエンターテイメント／マルチメディアシステムならびに自己診断機能（ＯＢＤ）に従ったフラッシングがある。脅威インパクト計算モジュール４３を用いて脅威重大度Ｓが推定される。攻撃発生計算モジュール４４は攻撃確率Ｐを推定する。対抗策モジュール４５は、１つ以上の攻撃をカバー可能な、選択可能に実行可能なセキュリティメカニズムＳＭを定義する。セキュリティ対策はタイプおよびレベルの観点で指定され得る。セキュリティ対策は、たとえば、高度暗号化標準（ＡＥＳ）、楕円曲線暗号（ＥＣＣ）、Rivest-Shamir-Adleman（ＲＳＡ）および擬似乱数発生器（Ｐ−ＲＮＧ）などのソフトウェアベースの暗号化ルーチン、またはセキュアハッシュアルゴリズム（ＳＨＡ）などのソフトウェアベースのハッシュ関数など、ソフトウェアベースであり得る。セキュリティ対策は、ＡＥＳ、ＥＣＣ、ＲＳＡおよびＴ−ＲＮＧなどのハードウェアベースであり得る。ハードウェアセキュアモジュールが用いられ得る。セキュリティ対策は、配置ランダム化および遮蔽、ならびにパワーシグネチャクローキング（power signature cloaking）などの物理的なものであり得る。
【００５５】
リスクプロファイル計算モジュール４６は、たとえばセキュリティレベルＲなどのリスクプロファイルを計算する。当該リスクプロファイルは、セキュリティメカニズムを適用してかつ適用せずに計算され得る。セキュリティメカニズムが適用される場合は、リスクプロファイルは、攻撃確率を低下させるためにセキュリティメカニズムが有する有効性を測定するセキュリティメカニズムインパクトＳＭｉの関数である。プロファイル解析モジュール４７によって、ユーザはセキュリティ対策が実施される前後のリスクプロファイル同士を比較することができる。ゆえに、ユーザは所与のセキュリティ対策の有効性を評価し、異なるセキュリティ対策同士を比較することができる。
【００５６】
さらに図４を参照して、セキュリティ解析システム１４はコンピュータシステム５１内で実行される。
【００５７】
コンピュータシステム３１は、バスシステム５５によって相互接続される少なくとも１つの処理コア５２と、メモリ５３と、入力／出力インターフェイス５４とを含む。コンピュータシステム５１は、モジュール４１，４２，４３，４４，４５，４６，４７，４８の１つ以上を実行するための設計支援ソフトウェア５７を記憶するローカル記憶装置５６を含む。しかし、設計支援ソフトウェア５７はアプリケーションサーバ（図示せず）上に記憶されてもよい。コンピュータシステム５１はさらに、キーボードおよび／またはポインティングデバイスなどのユーザ入力デバイス５８と、１つ以上のディスプレイ５９と、ネットワークインターフェイス６０とを含む。ネットワークインターフェイス６０はデータベース１５，１７，１９，２１，２３，３０への接続を提供する。コンピュータシステム５１は、各ユーザが各自のセットのアクセス権を有するようにデータベース１５，１７，１９，２１，２３，３０のライセンス制御を実行する。
【００５８】
セキュリティ解析システム１４は分散システムであり得る。
設計支援システム１１によって、開発者は、ソフトウェアベースの暗号化またはハードウェアセキュリティモジュールなどの異なるセキュリティメカニズムのインパクトを査定することができ、したがってどのセキュリティメカニズムを実行すべきかを特定することができる。
【００５９】
セキュリティ解析の概要
図２、図３および図５を参照して、リスクプロファイルを生成する方法を次に説明する。
【００６０】
ユーザ（図示せず）はセキュリティ解析システム１４にログオンし、セキュリティ解析システム１４はユーザを識別して認証する（ステップＳ１）。ユーザのアイデンティティに基づいて、セキュリティ解析システム１４はセキュリティ関連データデータベース１２への適切なアクセス権を設定する。
【００６１】
セキュリティ解析システム１４はユーザに、ＥＶＩＴＡなどのセキュリティ解析フレームワークと、解析の目的、すなわち電子システムの設計を探索するか既存の設計を有効化するかとを選択するように促す（ステップＳ２およびＳ３）。セキュリティ解析システム１４はユーザに、使用すべき解析のタイプ、すなわち、トップレベルビュー（または「システムビュー」）、ドメインレベルビュー、サブシステムレベルビュー、コンポーネントレベルビュー（すなわちマイクロコントローラ）などのより低レベルのビューを選択するように促す（ステップＳ４およびＳ５）。
【００６２】
システムビューモードでは、セキュリティ解析システム１４はユーザに、たとえばタイププレッシャーモニタリングまたは緊急自動ブレーキなどのユースケースを選択または入力するように促す（ステップＳ６）。所与のユースケースについて、セキュリティ解析システム１４はユーザから選択を受信して攻撃ツリーの形態のシナリオを構築する（ステップＳ７）。セキュリティ解析システム１４はユーザに１つ以上のセキュリティメカニズムを選択するように促す（ステップＳ８）。しかし、ユーザはセキュリティメカニズムを選択しなくてもよい。たとえば、ユーザは初めにいずれのセキュリティメカニズムも適用せずに解析を実行したい場合がある。シナリオおよび選択されたセキュリティメカニズムに基づいて、セキュリティ解析システム１４は攻撃確率解析を実行し（ステップＳ９）、リスクプロファイルを生成する（ステップＳ１０）。セキュリティ解析システム１４はユーザにプロセスを反復したいか否かについて促し（ステップＳ１１）、反復したい場合はユーザが変更を加えることができるようにし、反復したくない場合はレポートを生成して出力する（ステップＳ１２）。
【００６３】
ドメインビューモードでは、セキュリティ解析システム１４はユーザにドメインを選択または入力するように促す（ステップＳ１３）。所与のドメイン（または他の選択されたレベル）について、セキュリティ解析システム１４はユーザから選択を受信して攻撃ツリーの形態のシナリオを構築する（ステップＳ４）。セキュリティ解析システム１４はユーザに１つ以上のセキュリティメカニズムを選択するように促す（ステップＳ１５）。しかし、ユーザはセキュリティメカニズムを選択しなくてもよい。たとえば、ユーザは初めにいずれのセキュリティメカニズムも適用せずに解析を実行したい場合がある。所与のドメインおよび選択されたセキュリティメカニズムについて、セキュリティ解析システム１４は攻撃確率解析を実行し（ステップＳ１６）、リスクプロファイルを生成する（ステップＳ１７）。セキュリティ解析システム１４はユーザにプロセスを反復したいか否かについて促し（ステップＳ８）、反復したい場合はユーザが変更を加えることができるようにし、反復したくない場合はレポートを出力する（ステップＳ１９）。
【００６４】
セキュリティ解析の使用
図６は、自動車両５と、自動車両５内にデプロイ可能であり、かつ設計支援システム１１（図２）を用いるセキュリティ解析の対象となり得る電子システムとを示す。
【００６５】
先に説明したように、車両５の定義された境界３1の内部で、自動緊急ブレーキユースケースが特定されて解析され得る。
【００６６】
可能性のある攻撃シナリオによると、攻撃者６１は１つ以上のデバイス６２A，６２B，６２C，６２Dを用いてシステムに対して攻撃１０を実行し得る。設計支援システム１１（図２）を用いて、システムのセキュリティと、１つ以上のセキュリティ対策６３1，６３2，６３3，６３4，６３5，６３6，６３7を１つ以上のアセット２1，２2，２3，２4，２5，２6，２7に導入すべきか否かとが査定される。
【００６７】
図７、図８および図９は、データと、電子システムに関してセキュリティ解析システム１４（図２）によって実行されるセキュリティプロセスとを示す。
【００６８】
図７を参照して、ユーザ（図示せず）は、フィーチャ６５と、攻撃ゴール６６と、攻撃目的６７と、脅威６８と、攻撃６９とを含むシナリオ６４を指定し得る。この例では、フィーチャ６５は自動緊急ブレーキの形態を取り、攻撃ゴール６６は自動緊急ブレーキを危殆化させる形態を取り、攻撃目的６７は車両を停止させる／停止させない形態を取り、脅威６８はこの場合はカメラである関連のアセットの操作の形態を取り、攻撃６９はこの場合は偽画像を導入する形態を取る。
【００６９】
所与の脅威６８について、１つ以上の形態の攻撃６９があり得る。所与の攻撃目的６７について、１つ以上の異なる脅威６８があり得る。所与の攻撃ゴール６６について、１つ以上の異なる攻撃目的６７があり得る。
【００７０】
ユーザ（図示せず）は、たとえばプルダウンメニューの形態の各自のリストからアスペクトを選択することによってシナリオ６４の各アスペクト６５，６６，６７，６８，６９を指定し得る。ユーザはさらに、たとえばプルダウンメニューの形態のリストからセキュリティメカニズムを選択し得る。
【００７１】
図８を参照して、シナリオ６４と、セキュリティメカニズムデータ２５（図２）内のセキュリティメカニズムのリストから選択される、選択されたセキュリティメカニズム６３と、セキュリティ解析モデルまたはプロセスとがリスクプロファイル計算モジュール４６（図３）に供給され、モジュール４６はリスクプロファイル計算を行ない、成功確率２９に基づくリスクプロファイル２８を生成する。
【００７２】
さらに図９を参照して、異なる選択されたセキュリティメカニズム６３A，６３Bは、それぞれの成功確率２９1，２９2を有するそれぞれのリスクプロファイル２８1，２８2をもたらす。リスクプロファイル２８1，２８2同士は異なっていてもよく、成功確率２９1，２９2同士は異なっていてもよい。ゆえに、低確率をもたらすセキュリティメカニズム６３A，６３Bが攻撃に対する対抗策として選択され得る。
【００７３】
リスクプロファイル２８は、選択されたセキュリティ解析モデル２５に依存する。
ＥＶＩＴＡおよびＲＳＭＡでは、リスクレベルＲは重大度Ｓおよび確率Ｐの関数ｆであり、すなわち
【００７４】
【数１】
0006623287.tif 000002
【００７５】
である。
リスクプロファイル計算モジュール２６はセキュリティメカニズムインパクトＳＭｉを考慮に入れる。ゆえに、リスクレベルＲはセキュリティメカニズムインパクトＳＭｉの関数であり、すなわち
【００７６】
【数２】
0006623287.tif 000003
【００７７】
である。
同様に、ＣＶＳＳでは、リスクレベルＲはＢａｓｅscoreの関数ｆであり、すなわち
【００７８】
【数３】
0006623287.tif 000004
【００７９】
である。
リスクプロファイル計算モジュール２６はセキュリティメカニズムインパクトＳＭｉを考慮に入れる。ゆえに、リスクレベルＲはセキュリティメカニズムインパクトＳＭｉの関数であり、すなわち
【００８０】
【数４】
0006623287.tif 000005
【００８１】
である。
セキュリティ解析システム１４を用いて、リスクプロファイルが所与のセキュリティ解析法に従って１つ以上のセキュリティメカニズムの関数として計算され得る。
【００８２】
リスク計算
図１０は、ＥＶＩＴＡを用いてどのようにリスクプロファイルが計算されるかを示す。
【００８３】
図１０を参照して、第１の攻撃ツリー１０１は、ルートノード１０２0と、レベル０からレベル３の一連のレベルＬ内に配列されたノード１０２1,1，１０２1,2…１０２L,N，１０２3,3，１０２3,4とを含む。
【００８４】
レベル０において、ルート１０２0は攻撃ゴールを表わす。レベル１において、ノード１０２1,1，１０２1,2は攻撃目的を表わし、攻撃目的の各々がそれぞれの関連付けられた重大度Ｓ1，Ｓ2を有している。レベル２において、ノード１０２2,1，１０２2,2，１０２2,3は攻撃法を表わす。攻撃法ごとに、それぞれの関連付けられたリスクレベルＲ1，Ｒ2，Ｒ3が計算される。レベル３において、ノード１０２3,1，１０２3,2，１０２3,3，１０２3,4はアセット攻撃を表わす。
【００８５】
アセット攻撃ごとに、セキュリティメカニズム１０３1，１０３2，１０３3，１０３4が選択され得、対応する攻撃確率Ｐが計算される。
【００８６】
以下により詳細に説明するように、セキュリティ解析システム７は攻撃確率を最小化するセキュリティメカニズムを選択し得る。これは以下のように行なわれ得る。
【００８７】
ｘ番目のセキュリティメカニズムＳＭｘを選択する。これは、
【００８８】
【数５】
0006623287.tif 000006
【００８９】
であるように選択され、式中、Ｓはその特定の攻撃に適用可能なすべてのセキュリティメカニズムＳＭ1，…，ＳＭnのセットであり、かつ、
【００９０】
【数６】
0006623287.tif 000007
【００９１】
であるように選択され、式中、ＰSMi（式中ｉ＝１，…ｎ）はセキュリティメカニズムＳＭｉが適用された後の攻撃確率である。
【００９２】
攻撃法が２つ以上のアセット攻撃に影響を及ぼす場合、対応する確率（たとえば、攻撃法１の場合はＰ1，Ｐ2、攻撃法２の場合はＰ2，Ｐ3）同士が比較されて最大確率ｍａｘ｛Ｐa，Ｐb，…｝が選択される。これを用いてリスクＲが計算される。攻撃法１の場合は、ｍａｘ｛Ｐ1，Ｐ2｝を用いてＲ1が計算され、攻撃法２の場合はｍａｘ｛Ｐ2，Ｐ3｝を用いてＲ2が計算される。
【００９３】
図１１は、ＣＶＳＳを用いてどのようにリスクプロファイルが計算されるかを示す。
図１１を参照して、第２の攻撃ツリー１１１は、ルートノード１１２0と、レベル０からレベル３の一連のレベルＬ内に配列されたノード１１２1,1，１１２1,2…１１２L,N，１１２3,3，１１２3,4とを含む。
【００９４】
攻撃法ごとに、それぞれの関連付けられたアクセスベクトルレベルＡＶ１，ＡＶ２，ＡＶ３、および他のＣＶＳＳパラメータが計算され、次いでこれらを用いてＣＶＳＳ Ｂａｓｅscoreが計算される。攻撃法ごとに、それぞれの関連付けられたリスクレベルＲ1，Ｒ2，Ｒ3が計算される。
【００９５】
セキュリティメカニズム選択
セキュリティ解析システム１４は、ユーザが指定した最小セキュリティプロファイルを達成するセキュリティメカニズムをセキュリティ解析システム１４が自動的に（すなわちユーザの代わりに）選択できるようにするオプションをユーザに提示し得る。
【００９６】
ユーザが自動セキュリティメカニズム選択を選択した場合は、セキュリティ解析システム７は、たとえば上述のステップＳ８およびＳ９またはステップＳ１５およびＳ１６の代わりに以下のプロセスを実行する。
【００９７】
図１２を参照して、セキュリティ解析システム１４は攻撃確率を選択し（ステップＳ２１）、セキュリティメカニズムを選択する（ステップＳ２２）。
【００９８】
セキュリティ解析システム１４は、現在選択されているセキュリティメカニズムに基づいて新たな確率Ｐを計算する（ステップＳ２３）。確率Ｐを用いて、セキュリティ解析システム１４は新たなリスクレベルＬを含む新たなリスクプロファイルを生成する（ステップＳ２４）。セキュリティ解析システム１４は、たとえばＬとＬdesiredとを比較することによって、当該新たなリスクプロファイルを所望のリスクプロファイルと比較する（ステップＳ２５）。
【００９９】
新たなリスクプロファイルが満足のいくものである場合、たとえばＬ≦Ｌdesiredである場合は、セキュリティ解析システム１４はレポート２７（図２）を出力し、当該レポートは選択されたセキュリティ対策を特定する（ステップＳ２６）。そうでない場合は、セキュリティ解析システム１４は別のセキュリティメカニズムを選択する（ステップＳ２２）。
【０１００】
リスクプロファイルが許容可能であることが分かった場合、セキュリティ解析システム１４は別のセキュリティ対策を選択し、すべてのセキュリティ対策がチェックされるまで、予め定められた数のセキュリティ対策がチェックされるまで、またはユーザによって停止が命じられるまで、プロセスを反復し得る。
【０１０１】
セキュリティ解析システム１４は、たとえば、単純なおよび／または安価なセキュリティ対策から開始して複雑なおよび／または高価なセキュリティ対策に進むなど、予め定められた順序でセキュリティ対策を選択し得る。
【０１０２】
有効なセキュリティメカニズムは攻撃に対して特有である傾向があり、ユーザが手動で見つけるには困難であり得るかまたは時間が掛かり得るため、自動セキュリティメカニズム選択は有用であり得る。
【０１０３】
同一のコンポーネントについてのセキュリティメカニズム選択
セキュリティ解析システム１４はさらに、セキュリティ解析システム１４が特定の攻撃について、通信コントローラなどの同一のコンポーネントにリンクされているすべての攻撃について同一のセキュリティメカニズムを自動的に選択するか否かを選ぶオプションをユーザに提示し得る。
【０１０４】
図１３を参照して、ボディドメインなどの自動車または産業ドメイン１３０１が示される。
【０１０５】
ドメイン１３０１は、第１、第２および第３の攻撃１３０３1，１３０３2，１３０３3の影響を受け得る第１、第２および第３のコンポーネント１３０２1，１３０２2，１３０２3を含む。特に、第１のコンポーネント１３０２1は第１および第２の攻撃１３０３1，１３０３2の影響を受け、第２のコンポーネント１２０２2は第１の攻撃１３０３1のみの影響を受け、第３のコンポーネント１３０２3は第３の攻撃１３０３3のみの影響を受ける。
【０１０６】
セキュリティメカニズム１３０４は、上述のプロセスを用いて第１の攻撃１３０３1について第１のコンポーネント１３０２1に有効であることがわかっている。
【０１０７】
さらに図１４を参照して、ユーザが再びセキュリティ解析システム１４を用いて、同一のドメイン１３０１であるが異なる攻撃を解析すると、セキュリティ解析システム１４は、セキュリティメカニズムが第１のコンポーネント１３０１1に既に利用可能であることをユーザに通知し、同一のセキュリティメカニズム１３０４を適用すべきか否かについてユーザに促す（ステップＳ３１）。
【０１０８】
同一のセキュリティメカニズム１３０４を第２の攻撃１３０３2について用いるべきであるという命令をユーザが与えると、セキュリティ解析システム１４は第１の攻撃１３０３1についての同一のセキュリティメカニズム１２０４を第２の攻撃１３０３2についての第１のコンポーネント１３０１1に自動的に適用する（ステップＳ３３）。次いでセキュリティ解析システム１４を用いて、第３のコンポーネント１３０１3について適切なセキュリティメカニズムがある場合はそれが選択され得る。
【０１０９】
しかし、同一のセキュリティメカニズムを用いるべきではなく、第２の攻撃１３０３2についてのセキュリティメカニズムを用いるべきであるという命令をユーザが与えた場合は、セキュリティ解析システム１４を用いて、第１および第３のコンポーネント１３０１1，１３０１3について適切なセキュリティメカニズムが選択される（ステップＳ３４）。
【０１１０】
同一のコンポーネントについての自動セキュリティメカニズム選択は、ユーザがドメイン内の１セットのセキュリティ対策をアセンブルするのに役立ち得る。
【０１１１】
上述の実施形態に多くの変更が加えられ得ることが認識されるであろう。そのような変更は、設計支援システムおよびそのコンポーネント部分の設計、製造および使用において既知である、かつ本明細書に既に述べた特徴の代わりにまたはそれに加えて用いられ得る、同等の特徴および他の特徴を伴い得る。一実施形態の特徴は別の実施形態の特徴に置き換えられ得るか、または当該特徴によって補足され得る。
【０１１２】
攻撃に関する確率は、攻撃が失敗する確率の観点で表現され得る。
経過時間は、上限および下限、ならびに随意に１つ以上の中間限界を用いて定義され得る。
【０１１３】
請求項は本願では特徴の特定の組合せに公式化されているが、本発明の開示の範囲は、それがいずれかの請求項で現在請求されているのと同一の発明に関するか否かに係わらず、かつそれが本発明と同様に同一の技術的課題のいずれかまたはすべてを軽減するか否かに係わらず、明示的にまたは暗示的に本明細書に開示されている任意の新規な特徴もしくは任意の新規な特徴の組合せ、またはその任意の一般化も含む。出願人は、本願の、または本願から発生するいずれかのさらなる出願の遂行中に新たな請求項がそのような特徴および／またはそのような特徴の組合せに公式化され得ることをここに通知する。
【図１】
0006623287.tif 000008
【図２】
0006623287.tif 000009
【図３】
0006623287.tif 000010
【図４】
0006623287.tif 000011
【図５】
0006623287.tif 000012
【図６】
0006623287.tif 000013
【図７】
0006623287.tif 000014
【図８】
0006623287.tif 000015
【図９】
0006623287.tif 000016
【図１０】
0006623287.tif 000017
【図１１】
0006623287.tif 000018
【図１２】
0006623287.tif 000019
【図１３】
0006623287.tif 000020
【図１４】
0006623287.tif 000021