(57)【特許請求の範囲】
【請求項１】
車両に搭載される電子制御ユニットにおいて、
第１のオペレーティングシステムの元で動作し、車外ネットワークと接続し、異常の発生時に停止可能である拡張ドメイン部と、
第２のオペレーティングシステムの元で動作し、前記拡張ドメイン部に接続し、異常の発生時に動作の継続を要する基本ドメイン部と、
第３のオペレーティングシステムの元で動作し、前記拡張ドメイン部の前記異常を検出した場合に、前記拡張ドメイン部の動作を停止する管理ドメイン部と、
前記第１のオペレーティングシステムと、前記第２のオペレーティングシステムと、前記第３のオペレーティングシステムとを動作させるハイパーバイザ部と、
を備え、
前記管理ドメイン部は、
別の管理ドメイン部と前記基本ドメイン部に代替する別の基本ドメイン部とを有する別の電子制御ユニットにおける前記別の管理ドメイン部に、前記ハイパーバイザ部を介する独立の仮想ネットワークで接続しており、前記基本ドメイン部の異常を検出した場合に、前記基本ドメイン部の動作を停止し、前記別の電子制御ユニットの有する前記別の管理ドメイン部に、前記別の基本ドメイン部の動作を開始させる電子制御ユニット。
【請求項２】
前記管理ドメイン部は、
前記基本ドメイン部の前記異常が解消した場合、前記基本ドメイン部を再起動する請求項１に記載の電子制御ユニット。
【請求項３】
前記管理ドメイン部は、
前記別の管理ドメイン部との間で、故障が発生しているかどうかを確認する生存確認を実施する請求項１または請求項２に記載の電子制御ユニット。
【請求項４】
前記管理ドメイン部は、
前記異常を、前記ハイパーバイザ部との通信によって検出する請求項１から請求項３のいずれか１項に記載の電子制御ユニット。
【請求項５】
前記管理ドメイン部は、
前記拡張ドメイン部の前記異常が解消した場合、前記拡張ドメイン部を再起動する請求項１から請求項４のいずれか１項に記載の電子制御ユニット。
【請求項６】
前記異常は、
サイバー攻撃による感染である請求項１から請求項５のいずれか１項に記載の電子制御ユニット。
【請求項７】
前記異常は、
故障である請求項１から請求項５のいずれか１項に記載の電子制御ユニット。
【請求項８】
前記管理ドメイン部は、
前記拡張ドメイン部と前記基本ドメイン部との少なくともいずれかの動作変更を指示する動作変更通知を、前記ハイパーバイザ部に通知し、
前記ハイパーバイザ部は、
前記動作変更通知に従って、前記拡張ドメイン部と前記基本ドメイン部との少なくともいずれかに、動作を変更させる請求項１から請求項７のいずれか１項に記載の電子制御ユニット。
【請求項９】
電子制御ユニットであるコンピュータに、
第１のオペレーティングシステムの元で動作し、車外ネットワークと接続し、異常の発生時に停止可能である拡張機能処理と、
第２のオペレーティングシステムの元で動作し、前記拡張機能処理と通信し、異常の発生時に動作の継続を要する基本機能処理と、
第３のオペレーティングシステムの元で動作し、前記拡張機能処理の前記異常を検出した場合に、前記拡張機能処理の動作を停止する管理機能処理と、
第１のオペレーティングシステムと、前記第２のオペレーティングシステムと、前記第３のオペレーティングシステムとを動作させるハイパーバイザ処理と、
を実行させ、
前記管理機能処理は、
別の管理機能処理と前記基本機能処理に代替する別の基本機能処理とを有する別の電子制御ユニットにおける前記別の管理機能処理に、前記ハイパーバイザ処理を介する独立の仮想ネットワークで接続しており、前記基本機能処理の異常を検出した場合に、前記基本機能処理の動作を停止し、前記別の電子制御ユニットの有する前記別の管理機能処理に、前記別の基本機能処理の動作を開始させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両に搭載される電子制御ユニットに関する。本発明は、複数の電子制御ユニット（ＥＣＵ：Ｅｌｅｃｔｒｉｃ  Ｃｏｎｔｒｏｌ  Ｕｎｉｔ）がネットワーク接続される車載システムの信頼性に関する。以下では、電子制御ユニットはＥＣＵと表記する。
【背景技術】
【０００２】
従来の車載システムは、ＥＣＵの故障に備えて、ＥＣＵの故障確率に基づき、ＥＣＵの機能を別のＥＣＵに移動する。これによって、仮にＥＣＵが故障した場合であっても、すでに移動されている機能を別のＥＣＵが実行しているので、機能が停止する不具合が防止できる。（例えば、特許文献１）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１８−９９９７２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかし、従来の車載システムは、ＥＣＵの故障確率に基づき、ＥＣＵの機能を別のＥＣＵに移動する。
このため、故障確率が低く故障が発生しないと判定されたＥＣＵに故障が発生した場合には、故障が発生したＥＣＵの機能を別のＥＣＵに移動できない恐れがある。また、機能の移動が可能であっても、故障が発生したＥＣＵと別のＥＣＵとの間で、機能を移動するための通信処理の負担が大きい。【０００５】
この発明は、故障のような異常が実際に発生した際に、車載システムに必須の機能を円滑に継続させる車載システムの提供を目的とする。
【課題を解決するための手段】
【０００６】
この発明の電子制御ユニットは、
車両に搭載される電子制御ユニットにおいて、
第１のオペレーティングシステムの元で動作し、車外ネットワークと接続し、異常の発生時に停止可能である拡張ドメイン部と、
第２のオペレーティングシステムの元で動作し、前記拡張ドメイン部に接続し、異常の発生時に動作の継続を要する基本ドメイン部と、
第３のオペレーティングシステムの元で動作し、前記拡張ドメイン部の前記異常を検出した場合に、前記拡張ドメイン部の動作を停止する管理ドメイン部と、
前記第１のオペレーティングシステムと、前記第２のオペレーティングシステムと、前記第３のオペレーティングシステムとを動作させるハイパーバイザ部と、
を備え、
前記管理ドメイン部は、
別の管理ドメイン部と前記基本ドメイン部に代替する別の基本ドメイン部とを有する別の電子制御ユニットにおける前記別の管理ドメイン部に、前記ハイパーバイザ部を介する独立の仮想ネットワークで接続しており、前記基本ドメイン部の異常を検出した場合に、前記基本ドメイン部の動作を停止し、前記別の電子制御ユニットの有する前記別の管理ドメイン部に、前記別の基本ドメイン部の動作を開始させる。
【発明の効果】
【０００７】
この発明の電子制御ユニットは管理ドメイン部を備えている。よって、この発明の電子制御ユニットによれば、故障のような異常が実際に発生した際に、車載システムにとって必須の機能を、円滑に継続させることができる。
【図面の簡単な説明】
【０００８】
【図１】実施の形態１の図で、車載システム１００のハードウェア構成図。
【図２】実施の形態１の図で、車載システム１００のソフトウェア構成図。
【図３】実施の形態１の図で、車載システム１００のソフトウェア構成図。
【図４】実施の形態１の図で、車載システム１００の動作を示すフローチャート。
【図５】実施の形態１の図で、車載システム１００の動作を示すフローチャート。
【図６】実施の形態１の図で、感染ドメインリスト１６Ａを示す図。
【図７】実施の形態１の図で、ドメイン構成情報１４０を示す図。
【図８】実施の形態２の図で、ＥＣＵ（Ａ）１のソフトウェア構成図。
【図９】実施の形態２の図で、車載システム１００の動作を示すフローチャート。
【図１０】実施の形態２の図で、車載システム１００の動作を示すフローチャート。
【発明を実施するための形態】
【０００９】
以下、本発明の実施の形態について、図を用いて説明する。なお、各図中、同一または相当する部分には、同一符号を付している。実施の形態の説明において、同一または相当する部分については、説明を適宜省略または簡略化する。なお以下の説明では、アプリケーションはアプリと表記する。
（１）以下の説明では、オペレーティングシステムはＯＳと表記する。
（２）以下の説明では、Ｉ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）装置はＩ／Ｏと表記する。
（３）以下の説明では、車載システム１００は、異常として、サイバー攻撃による感染、または、故障に対処する。以下の説明で異常とは、ＥＣＵにおけるサイバー攻撃による感染、または、ＥＣＵにおける故障を意味するが、他の異常でもよい。
【００１０】
実施の形態１．
＊＊＊構成の説明＊＊＊
図１から図８を参照して実施の形態１の車載システム１００を説明する。
図１は、車載システム１００のハードウェア構成図である。車載システム１００は複数のＥＣＵを備えている。複数のＥＣＵは車両に搭載される。ＥＣＵ同士は車内ネットワーク８１を介して接続される。図１では車載システム１００が４台のＥＣＵを備える構成を示す。車載システム１００の備える複数のＥＣＵは、２台、３台あるいは５台以上でも良い。以下では、４台のＥＣＵを、ＥＣＵ（Ａ）１、ＥＣＵ（Ｂ）１、ＥＣＵ（Ｃ）１及びＥＣＵ（Ｄ）１のように表記して区別する。また、各ＥＣＵは、車外ネットワーク８８を介して外部のシステムと接続されている。
【００１１】
ＥＣＵ（Ａ）１、ＥＣＵ（Ｂ）１、ＥＣＵ（Ｃ）１及びＥＣＵ（Ｄ）１は、同じハードウェア構成である。よって、ＥＣＵ（Ａ）１の説明は、ＥＣＵ（Ｂ）１、ＥＣＵ（Ｃ）１及びＥＣＵ（Ｄ）１にも当てはまる。図１ではＥＣＵ（Ａ）１のハードウェア構成を示している。ＥＣＵ（Ａ）１を参照してＥＣＵのハードウェア構成を説明する。ＥＣＵ（Ａ）１は、少なくとも１つのＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）２Ａ、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）３Ａ、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）４Ａ，周辺コントローラ５Ａ、Ｉ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）装置６Ａ、７Ａ、８Ａ、９Ａを備えている。ＣＰＵ２Ａ、ＲＯＭ３Ａ、ＲＡＭ４Ａ、周辺コントローラ５Ａ、Ｉ／Ｏ６Ａ、Ｉ／Ｏ７Ａ、Ｉ／Ｏ８Ａ及びＩ／Ｏ９Ａは、バスで接続されている。
【００１２】
ＲＯＭ３Ａは、例えば、Ｅｌｅｃｔｒｉｃａｌｌｙ  Ｅｒａｓａｂｌｅ  Ｐｒｏｇｒａｍｍａｂｌｅ  ＲＯＭ（ＥＥＰＲＯＭ）またはフラッシュメモリのような不揮発性メモリである。ＲＯＭ３Ａは、ＥＣＵ１の提供する機能を実現するアプリケーションプログラム、ＯＳのプログラム及びデータを記録している。
【００１３】
ＲＡＭ４Ａは、揮発性メモリであり、ＣＰＵ２が処理を行うためのプログラム及びデータを記憶する。
【００１４】
周辺コントローラ５Ａは、割り込みコントローラ、タイマコントローラあるいはＤＭＡ（Ｄｉｒｅｃｔ  Ｍｅｍｏｒｙ  Ａｃｃｅｓｓ）コントローラのような装置である。
【００１５】
Ｉ／Ｏ６Ａ、７Ａ，８Ａ、９Ａは、Ｇｅｎｅｒａｌ  Ｐｕｒｐｏｓｅ  Ｉ／Ｏ（ＧＰＩＯ）、Ａ／Ｄ変換回路、Ｄ／Ａ変換回路、モータ駆動回路、通信インタフェース回路のような回路である。Ｉ／Ｏ６Ａは、センサ６１に接続する。Ｉ／Ｏ７Ａは、アクチュエータ７１に接続する。Ｉ／Ｏ８Ａは、ＥＣＵ（Ｂ）１のＩ／Ｏ８Ｂ、ＥＣＵ（Ｃ）１のＩ／Ｏ８Ｃ、ＥＣＵ（Ｄ）１のＩ／Ｏ８Ｄに接続する。Ｉ／Ｏ９Ａは、車外ネットワーク８８に接続する。
【００１６】
ＣＰＵ２Ａは、ＲＯＭ３Ａ及びＲＡＭ４Ａに記憶されたプログラムを読み出し、センサ６１から読み出した値をもとに演算処理を実施し、アクチュエータ７１の制御のような処理を繰り返す。センサ６１は、例えば、水温センサ、スロットル開度センサである。アクチュエータ７１は、例えば、インジェクタ及びイグナイタである。
【００１７】
車内ネットワーク８１は、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ），ＬＩＮ（Ｌｏｃａｌ  Ｉｎｔｅｒｃｏｎｎｅｃｔ  Ｎｅｔｗｏｒｋ）、ＦｌｅｘＲａｙのようなネットワークである。
【００１８】
車外ネットワーク８８は、例えば、Ｗｉ−Ｆｉ、Ｌｏｎｇ  Ｔｅｒｍ  Ｅｖｏｌｕｔｉｏｎ（ＬＴＥ）または５Ｇのような移動通信を介して、インターネットに接続する。
【００１９】
図２及び図３は、車載システム１００のソフトウェア構成を示す。図２及び図３ではＥ、Ｆで、ＥＣＵ（Ａ）１とＥＣＵ（Ｂ）１を便宜的に分けた。図２及び図３では、管理ドメイン部（Ａ）１０Ａが管理ドメイン部（Ｂ）１０Ｂに、車内ネットワーク８１を介して接続し、基本ドメイン部（Ａ）２０Ａが基本ドメイン部（Ｂ）２０Ｂに、車内ネットワーク８１を介して接続することを示している。後述のように、車内ネットワーク８１は仮想ネットワーク９１である。
【００２０】
図２に示すように、管理ドメイン部（Ａ）１０Ａ、基本ドメイン部（Ａ）２０Ａ、拡張ドメイン部（Ａ）３０Ａ及びハイパーバイザ部４０Ａは、ＣＰＵ２Ａによって実現される。管理ドメイン部（Ａ）１０Ａ、基本ドメイン部（Ａ）２０Ａ、拡張ドメイン部（Ａ）３０Ａ及びハイパーバイザ部４０Ａは、プログラムである。なお、ＣＰＵ２Ａは単一のＣＰＵによって実現されてもよいし、複数のＣＰＵによって実現されてもよい。単一のＣＰＵ及び複数のＣＰＵは、プロセッシングサーキットリとも呼ばれる。管理ドメイン部（Ａ）１０Ａ、基本ドメイン部（Ａ）２０Ａ、拡張ドメイン部（Ａ）３０Ａ及びハイパーバイザ部４０Ａの機能は、プロセッシングサーキットリによって実現される。管理ドメイン部（Ａ）１０Ａ、基本ドメイン部（Ａ）２０Ａ、拡張ドメイン部（Ａ）３０Ａ及びハイパーバイザ部４０Ａを実現する各プログラムは、ＲＯＭ３Ａ及びＲＡＭ４Ａに格納される。
【００２１】
管理ドメイン部（Ａ）１０Ａ、基本ドメイン部（Ａ）２０Ａ、拡張ドメイン部（Ａ）３０Ａ及びハイパーバイザ部４０Ａを実現する各プログラムは、コンピュータ読み取り可能な記録媒体に格納されて提供されてもよいし、プログラムプロダクトとして提供されてもよい。
プログラムにおいて、管理ドメイン部（Ａ）１０Ａは、管理機能処理に相当し、基本ドメイン部（Ａ）２０Ａは、基本機能処理に相当し、拡張ドメイン部（Ａ）３０Ａは、拡張機能処理に相当し、ハイパーバイザ部４０Ａは、ハイパーバイザ処理に相当する。
【００２２】
ハイパーバイザ部４０Ａは、第１のオペレーティングシステムであるＯＳ３３Ａと、第２のオペレーティングシステムであるＯＳ２３Ａと、第３のオペレーティングシステムであるＯＳ１５Ａとを動作させる。ハイパーバイザ部４０Ａは、ハイパーバイザを実行する。ハイパーバイザは、仮想マシンモニタとも呼ばれ、ＥＣＵ（Ａ）１上で複数のＯＳを動作させるためのソフトウェアである。ＯＳ１５Ａ，２３Ａ、３３Ａは、ハイパーバイザ部４０Ａ上で動作するＯＳであり、例えばＬｉｎｕｘ（登録商標）である。
【００２３】
管理ドメイン部（Ａ）１０Ａは、異常を、ハイパーバイザ部４０Ａとの通信によって検出する。具体的には以下のようである。攻撃検出部１１Ａは、サイバー攻撃が行われているか否か、もしくは行われたか否か（サイバー攻撃の有無）を検出する。感染範囲特定部１２Ａは、攻撃検出部１１Ａが検出したサイバー攻撃によって感染したソフトウェアの範囲を特定する。システム構成部１３Ａは、管理ドメイン部（Ａ）１０Ａ、基本ドメイン部（Ａ）２０Ａ、拡張ドメイン部（Ａ）３０Ａ及び仮想ネットワーク９１，９５を管理し、特定した感染範囲に従って、システムを再構成する。構成記憶部１４Ａは、後述する代替基本ドメイン部のＥＣＵ内の有無を保持するドメイン構成情報１４０を記憶する。アプリ（Ａ１）２１Ａ、アプリ（Ａ２）２２Ａは、ＯＳ２３Ａ上で動作し、アプリ（Ａ３）３１Ａ，アプリ（Ａ４）３２Ａは、ＯＳ３３Ａ上で動作し、ＥＣＵ（Ａ）１のための機能を実現する。
【００２４】
管理ドメイン部（Ａ）１０Ａ、基本ドメイン部（Ａ）２０Ａ及び拡張ドメイン部（Ａ）３０Ａは、ハイパーバイザ部４０Ａの実行するハイパーバイザが管理する仮想マシンである。
【００２５】
管理ドメイン部（Ａ）１０Ａは、第３のオペレーティングシステムであるＯＳ１５Ａの元で動作し、拡張ドメイン部（Ａ）３０Ａの異常を検出した場合に、拡張ドメイン部（Ａ）の動作を停止する。管理ドメイン部（Ａ）１０Ａは、攻撃検出部１１Ａ、感染範囲特定部１２Ａ、システム構成部１３Ａ、構成記憶部１４Ａ及び攻撃検出部１１Ａ、感染範囲特定部１２Ａ、システム構成部１３Ａ、構成記憶部１４Ａを動作させるＯＳ１５Ａを備える。
【００２６】
基本ドメイン部（Ａ）２０Ａは、第２のオペレーティングシステムであるＯＳ２３Ａの元で動作し、拡張ドメイン部（Ａ）３０Ａに接続し、異常の発生時に動作の継続を要する。基本ドメイン部（Ａ）２０Ａは、ＥＣＵ（Ａ）１の機能を実現するアプリのうち、サイバー攻撃を受けても動作し続ける必要のあるアプリ（Ａ１）及びアプリ（Ａ２）と、アプリ（Ａ１）及びアプリ（Ａ２）を動作させるＯＳ２３Ａを備える。
【００２７】
拡張ドメイン部（Ａ）３０Ａは、第１のオペレーティングシステムであるＯＳ３３Ａの元で動作し、車外ネットワーク８８と接続し、異常の発生時に停止可能である。拡張ドメイン部（Ａ）３０Ａは、ＥＣＵ（Ａ）１の機能を実現するアプリのうち、基本ドメイン部（Ａ）２０Ａに含まれないアプリ、言い換えるとサイバー攻撃を受けた場合に機能を停止してもよいアプリ（Ａ３）３１Ａ及びアプリ（Ａ４）３２Ａと、アプリ（Ａ３）３１Ａ及びアプリ（Ａ４）３２Ａを動作させるＯＳ３３Ａを備える。
【００２８】
車内ネットワーク８１は、ＶＬＡＮ（Ｖｉｒｔｕａｌ  Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）のような技術を用いて仮想化する。車内ネットワーク８１は、通信が必要なドメイン部とのみ、論理的なネットワークである仮想ネットワーク９１として接続する。
【００２９】
なお、個々のＥＣＵ上に存在する管理ドメイン部同士は、専用の仮想ネットワーク９５で接続する。
例えば、管理ドメイン部（Ａ）１０Ａは、別の管理ドメイン部（Ｂ）１０Ｂと基本ドメイン部（Ａ）２０Ａに代替する別の基本ドメイン部（Ａ）とを有する別のＥＣＵ（Ｂ）１における別の管理ドメイン部（Ｂ）１０Ｂに、ハイパーバイザ部４０Ａを介する独立の仮想ネットワーク９５で接続している。
【００３０】
車外ネットワーク８８は、拡張ドメイン部（Ａ）３０Ａのみと接続する。また、ＥＣＵ１上に存在する基本ドメイン部（Ａ）２０Ａは、ＥＣＵ（Ａ）１以外のＥＣＵ上に同じ機能を持つドメイン部（Ａ）を代替用に持つ。これを代替基本ドメイン部と呼ぶ。
代替基本ドメイン部は、通常動作においては、同じ機能を持つ基本ドメイン部の実行が停止された時に代替できるような状態で待機する。図３には、ＥＣＵ（Ａ）１の基本ドメイン部（Ａ）２０Ａと同じ機能を持つ代替基本ドメイン部として、ＥＣＵ（Ｂ）１が代替基本ドメイン部（Ａ）５０Ｂを持つ場合を示している。基本ドメイン部（Ａ）２０Ａと同じ機能を持つ代替基本ドメイン部は、ＥＣＵ（Ａ）１以外の全ＥＣＵのうち、少なくとも１台のＥＣＵが持てばよい。
【００３１】
＊＊＊動作の説明＊＊＊
図４及び図５は、車載システム１００の動作を示すフローチャートである。次に図４及び図５を参照して、車載システム１００の動作を説明する。
まず、サイバー攻撃が発生した場合の動作について述べる。以下の動作の説明において、ＥＣＵ（Ａ）１の動作手順は、制御方法に相当する。また、ＥＣＵ（Ａ）１の動作を実現するプログラムは、制御プログラムに相当する。
【００３２】
ステップＳ１０１において、攻撃検出部１１Ａが、周期的なイベント、もしくは非周期的なイベントによりＯＳ１５Ａから起動され、サイバー攻撃の有無を検出する。周期的なイベントは、例えば、タイマコントローラが発生する割込みである。非周期的なイベントは、例えば、車外ネットワーク８８と拡張ドメイン部（Ａ）３０Ａとの間、車外ネットワーク８８と基本ドメイン部（Ａ）２０Ａとの間、または基本ドメイン部（Ａ）２０Ａと拡張ドメイン部（Ａ）３０Ａとの間でのデータの送受信である。攻撃検出部１１Ａは、サイバー攻撃が有るかどうかを検出するために「必要なデータ」が、基本ドメイン部（Ａ）２０Ａまたは拡張ドメイン部（Ａ）３０Ａに存在する場合、以下の処理をおこなう。攻撃検出部１１Ａは、ハイパーバイザ部４０Ａを介した基本ドメイン部（Ａ）２０Ａまたは拡張ドメイン部（Ａ）３０Ａとのデータ通信により、あるいは、共有メモリを参照することにより、「必要なデータ」を参照する。ここでサイバー攻撃が有るかどうかを検出するために「必要なデータ」とは、例えば、ドメイン部同士の間の通信ログ、ＯＳ２３Ａ、ＯＳ３３Ａ、アプリ（Ａ１）２１Ａ、アプリ（Ａ２）２２Ａ、アプリ（Ａ３）３１Ａまたはアプリ（Ａ４）３２Ａの動作ログである。サイバー攻撃が有るかどうかを検出するために「必要なデータ」を使った、攻撃検出部１１Ａによる検出手法については、実施の形態１では言及しない。
【００３３】
ステップＳ１０２において、攻撃検出部１１Ａは、サイバー攻撃が有るかどうかを判断する。サイバー攻撃が有る場合（ステップＳ１０２でＹＥＳ）、攻撃検出部１１Ａは、感染範囲特定部１２Ａに、サイバー攻撃有りの検出を通知する（ステップＳ１０３）。
ステップＳ１０４において、感染範囲特定部１２Ａは、基本ドメイン部（Ａ）２０Ａ及び拡張ドメイン部（Ａ）３０Ａにおける、サイバー攻撃により感染を特定する。なお、管理ドメイン部（Ａ）１０Ａは、独立した専用の仮想ネットワーク９５で、他のＥＣＵの管理ドメイン部とのみ接続されている。よって、車外ネットワーク８８と接続された拡張ドメイン部（Ａ）３０Ａ、あるいは拡張ドメイン部（Ａ）３０Ａと接続されている基本ドメイン部（Ａ）２０Ａから、サイバー攻撃で感染することはないので、管理ドメイン部（Ａ）１０Ａは、感染範囲特定部１２Ａによる感染範囲の検出対象にはならない。
【００３４】
ステップＳ１０５において、感染範囲特定部１２Ａは、感染したドメイン部のリストである感染ドメインリスト１６Ａを生成する。
図６は、感染範囲特定部１２Ａが生成した、感染ドメインリスト１６Ａを示す。図６に示すように、感染ドメインリスト１６Ａは、ドメインＩＤと、ドメインＩＤに対応付けられた感染有無とからなる。感染有無は０と１で表される。感染有無が０の場合、対応付けられたドメインＩＤで示されるドメイン部は感染していないことを示す。感染有無が１の場合、対応付けられたドメインＩＤで示されるドメイン部は感染していることを示す。図６では、ドメインＩＤが３及び４で示されるドメイン部が、感染していることを示す。感染した範囲を特定するために「必要なデータ」が、基本ドメイン部（Ａ）２０Ａまたは拡張ドメイン部（Ａ）３０Ａに存在する場合、上記で述べた、サイバー攻撃が有るかどうかを検出するために「必要なデータ」と同様の方法で、感染範囲特定部１２Ａは、感染した範囲を特定するために「必要なデータ」を参照し、感染範囲を特定する。感染した範囲の特定方法については、実施の形態１では言及しない。
【００３５】
ステップＳ１０６において、感染範囲特定部１２Ａは、感染ドメインリスト１６Ａを、システム構成部１３Ａに通知する。
【００３６】
管理ドメイン部（Ａ）１０Ａは、基本ドメイン部（Ａ）２０Ａの異常を検出した場合に、基本ドメイン部（Ａ）２０Ａの動作を停止（Ｓ１０７）する。そして、後述のステップＳ１１２において、管理ドメイン部（Ａ）１０Ａは、別の管理ドメイン部（Ｂ）１０Ｂに、別の基本ドメイン部である代替基本ドメイン部（Ａ）５０Ｂの動作を開始させる。具体的には以下のようである。
ステップＳ１０７において、管理ドメイン部（Ａ）１０Ａのシステム構成部１３Ａは、感染範囲特定部１２Ａから通知された感染ドメインリスト１６Ａに記述されているドメイン部の実行を、ハイパーバイザ部４０Ａを介して停止する。感染ドメインリスト１６Ａに記述されているドメイン部は、基本ドメイン部（Ａ）２０Ａあるいは拡張ドメイン部（Ａ）３０Ａである。
【００３７】
ステップＳ１０８において、実行を停止したドメイン部の情報を車載システム１００に存在するすべてのＥＣＵで共有するため、システム構成部１３Ａは、感染ドメインリスト１６Ａを、他のすべてのＥＣＵのシステム構成部に、仮想ネットワーク９５を介したドメイン間通信で通知する。なお、感染ドメインリスト１６Ａに、基本ドメイン部（Ａ）２０Ａが含まれていなければ、感染ドメインリスト１６Ａの通知は省いても良い。
【００３８】
各ＥＣＵのシステム構成部１３は、構成記憶部１４にドメイン構成情報１４０を記憶している。
図７は、ＥＣＵ（Ｂ）１の有するドメイン構成情報１４０を示す。図７に示すように、ドメイン構成情報１４０は、ドメインＩＤと、ドメインＩＤに対応付けられた代替有無とからなる。代替有無は０と１で表される。代替有無が０の場合、対応付けられたドメインＩＤで示されるドメイン部の代替ドメイン部が存在しないことを示す。代替有無が１の場合、対応付けられたドメインＩＤで示されるドメイン部の代替ドメイン部が存在することを示す。図７は、ドメインＩＤが１及び２で示されるドメイン部の代替ドメイン部が存在することを示す。図５では、ドメイン構成情報１４０が、ＥＣＵ（Ｂ）１の構成記憶部１４Ｂに、格納されている状態を示す。
ステップＳ１０９において、ＥＣＵ（Ｂ）１のシステム構成部１３Ｂは、ドメイン構成情報１４０を参照して、通知された感染ドメインリスト１６Ａに、ＥＣＵ（Ｂ）１の有する代替基本ドメイン部（Ａ）５０Ｂと対になる基本ドメイン部（Ａ）２０Ａが、含まれているかどうかを判断する。
【００３９】
感染ドメインリスト１６Ａに、代替基本ドメイン部（Ａ）５０Ｂと対になる基本ドメイン部（Ａ）２０Ａが含まれている場合（ステップＳ１０９でＹＥＳ）、システム構成部１３Ｂは、代替基本ドメイン部（Ａ）５０Ｂが実行中かどうか判断する（ステップＳ１１０）。システム構成部１３Ｂが、実行中と判断した場合（ステップＳ１１０でＹＥＳ）、システム構成部１３Ｂは、何もしない。システム構成部１３Ｂが、実行中ではないと判断した場合（ステップＳ１１０でＮＯ）、処理はステップＳ１１４へ進む。なお、ステップＳ１１４及びステップＳ１１５は、オプション的な処理であり、処理は、ステップＳ１１４からステップＳ１１２へ進んでもよい。
【００４０】
感染ドメインリスト１６Ａに、代替基本ドメイン部（Ａ）５０Ｂと対になる基本ドメイン部（Ａ）２０Ａが含まれていない場合（ステップＳ１０９でＮＯ）も、システム構成部１３Ｂは、代替基本ドメイン部（Ａ）５０Ｂが実行中かどうか判断する（ステップＳ１１１）。
【００４１】
ステップＳ１１２において、感染ドメインリスト１６Ａに、ＥＣＵ（Ｂ）１の有する代替基本ドメイン部（Ａ）５０Ｂと対になる基本ドメイン部（Ａ）２０Ａが含まれており（ステップＳ１０９でＹＥＳ）、かつ、代替基本ドメイン部（Ａ）５０Ｂが実行中でなく待機中であれば（ステップＳ１１０でＮＯ）、システム構成部１３Ｂは、代替基本ドメイン部（Ａ）５０Ｂの待機を解除し実行する。
【００４２】
ステップＳ１１３において、感染ドメインリスト１６Ａに代替基本ドメイン部（Ａ）５０Ｂと対になる基本ドメイン部（Ａ）２０Ａが含まれていない場合は、代替基本ドメイン部（Ａ）５０Ｂが実行中であれば（ステップＳ１１１でＹＥＳ）、システム構成部１３Ｂは、代替基本ドメイン部（Ａ）５０Ｂを再び待機状態にして停止する。システム構成部１３Ｂが代替基本ドメイン部（Ａ）５０Ｂを再び待機状態にするのは、代替基本ドメイン部（Ａ）５０Ｂが感染ドメインリスト１６Ａに記述されていないからである。
【００４３】
なお、システム構成部１３Ｂは、ステップＳ１１２で代替基本ドメイン部（Ａ）５０Ｂの待機状態を解除して実行する前に、ＣＰＵ２Ｂの占有率及びメモリ使用量のようなリソース負荷を参考に、代替基本ドメイン部（Ａ）５０Ｂを実行するためのリソースが足りているかどうかを判断し（ステップＳ１１４）てもよい。システム構成部１３Ｂは、リソースが足りている場合は、処理をステップＳ１１２に進め、リソースが足りていない場合は、処理をステップＳ１１５に進める。
【００４４】
ステップＳ１１５において、システム構成部１３Ｂは、拡張ドメイン部（Ｂ）３０Ｂを停止してもよい。ステップＳ１１５で拡張ドメイン部（Ｂ）３０Ｂを停止した場合、ステップＳ１１３で代替基本ドメイン部（Ａ）５０Ｂを待機状態にした後には、システム構成部１３Ｂは、ステップＳ１１８において、ステップＳ１１５で停止させた拡張ドメイン部（Ｂ）３０Ｂを再起動してもよい。
【００４５】
ＥＣＵ（Ａ）１及びＥＣＵ（Ｂ）１では、基本ドメイン部代替後のドメイン構成に合わせた仮想ネットワークの接続設定の変更を実施する。ＥＣＵ（Ａ）１では、ステップＳ１１６において、システム構成部１３Ａが仮想ネットワーク９１の接続設定の変更を実施する。ＥＣＵ（Ｂ）１では、ステップＳ１１７において、システム構成部１３Ｂが仮想ネットワーク９１の接続設定の変更を実施する。
【００４６】
次に、図４を参照して、発生していたサイバー攻撃が止んだ場合の、車載システム１００の動作を説明する。
攻撃検出部１１Ａが、ステップＳ１０２にてサイバー攻撃の有無を判断し、その結果がサイバー攻撃無しだった場合（ステップＳ１０２でＮＯ）、攻撃検出部１１Ａは、前回実施したサイバー攻撃の有無を参照する（ステップＳ１１９）。攻撃検出部１１Ａは、前回の結果がサイバー攻撃有りだった場合（ステップＳ１１４でＹＥＳ）、前回よりも前の、１回または複数回の検出結果から、サイバー攻撃が頻度高く発生しているか否か判断する（ステップＳ１２０）。頻度が高いかどうかは、設定されている頻度の閾値との対比によって判定することができる。攻撃検出部１１Ａは、検出結果の回数が閾値よりも大きい場合は頻度が高いと判定し、検出結果の回数が閾値以下の場合は頻度が低いと判定する。
【００４７】
サイバー攻撃の頻度が高い場合は、処理はステップＳ１０１に戻る（ステップＳ１２０でＹＥＳ）。
【００４８】
管理ドメイン部（Ａ）１０Ａは、拡張ドメイン部（Ａ）３０Ａの異常が解消した場合、拡張ドメイン部（Ａ）３０Ａを再起動する。管理ドメイン部（Ａ）１０Ａは、基本ドメイン部（Ａ）の異常が解消した場合、基本ドメイン部（Ａ）２０Ａを再起動する。サイバー攻撃の頻度が低い場合は、ステップＳ１２１において、攻撃検出部１１Ａは、システム構成部１３Ａに再起動を指示する。
【００４９】
ステップＳ１２２において、再起動の指示を受けたシステム構成部１３Ａは、停止中のドメイン部を再起動する（ステップＳ１２２）。ここで停止中のドメイン部とは、車外ネットワーク８８と接続する拡張ドメイン部（Ａ）３０Ａ、あるいは拡張ドメイン部（Ａ）３０Ａと接続する基本ドメイン部（Ａ）２０Ａである。なお、システム構成部１３Ａは、ＥＣＵ（Ａ）１をリセットすることで、基本ドメイン部（Ａ）２０Ａあるいは拡張ドメイン部（Ａ）３０Ａを再起動してもよい。また、基本ドメイン部（Ａ）２０Ａを再起動する場合に、車載システム１００において、基本ドメイン部（Ａ）２０Ａが、ＥＣＵ（Ｂ）１の代替基本ドメイン部（Ａ）５０Ｂと同時に動作すること避けるために、システム構成部１３Ａは、以下の処理を実行されてもよい。即ち、システム構成部１３Ａは、代替基本ドメイン部（Ａ）５０Ｂが停止するまで、基本ドメイン部の再起動を待機する。システム構成部１３Ａは、仮想ネットワーク９５によるシステム構成部１３Ｂとの通信により、代替基本ドメイン部（Ａ）５０Ｂが停止しているか、実行しているかを知ることができる。
【００５０】
ステップＳ１０８において、システム構成部１３Ａは、基本ドメイン部（Ａ）２０Ａ及び拡張ドメイン部（Ａ）３０Ａを感染無と設定された感染ドメインリスト１６Ａを、他のすべてのＥＣＵのシステム構成部１５に通知する。この通知は、仮想ネットワーク９５を介したデータ通信によって送信する。システム構成部１３Ａは、再起動後のドメイン構成に合わせた仮想ネットワークの接続設定の変更を、実施する（ステップＳ１１６）。同様に、感染無と設定された感染ドメインリスト１６Ａを受信したＥＣＵ（Ｂ）１では、システム構成部１３Ｂが、再起動後のドメイン構成に合わせた仮想ネットワークの接続設定の変更を、実施する（ステップＳ１１７）。
【００５１】
＊＊＊実施の形態１の効果＊＊＊
（１）システム構成部がサイバー攻撃により感染した拡張ドメイン部を停止する（ステップＳ１０７）。従って、拡張ドメインから基本ドメイン部へ感染するという感染の連鎖を防止できる。よって、基本ドメイン部の動作を継続できる。
（２）サイバー攻撃が止んだ場合には、システム構成部が拡張ドメイン部を再起動する（ステップＳ１２２）。よって、ＥＣＵは、拡張ドメイン部の動作を再開できる。
（３）基本ドメイン部まで感染した場合には、システム構成部が、基本ドメイン部を停止し（ステップＳ１０７）し、かつ、システム構成部は、感染ドメインリスト１６Ａを送信することにより、感染した基本ドメイン部の機能を、代替基本ドメイン部に代替させる。
これにより、基本ドメイン部の動作が継続できる。
（４）ＥＣＵ（Ａ）１では、サイバー攻撃が止んだ場合に、基本ドメイン部を再起動する（ステップＳ１２２）。よって、サイバー攻撃を受ける前のシステム構成に戻して動作を継続できる。
（５）管理ドメイン部同士の間は、独立した仮想ネットワーク９５のみで接続する。これにより、ＥＣＵは、車外ネットワーク８８から侵入する感染を、防ぐことができる。よって、サイバー攻撃または故障により機能を代行する仕組みを実現する攻撃検出部、感染範囲特定部、システム構成部及び構成記憶部の４つの機能が、サイバー攻撃で動作不良を起こすことを防ぐことができる。
（６）ＥＣＵの故障が発生した場合には、ハイパーバイザ部が、システム構成部に故障を通知する。
システム構成部が、ＥＣＵ上のすべての基本ドメイン部と拡張ドメイン部がサイバー攻撃により感染した際と同様に処理する。これにより、ＥＣＵが故障した場合においても、基本ドメイン部を他のＥＣＵで代替することができるので、故障時においても、基本ドメイン部の動作を継続することができる。
（７）管理ドメイン部（Ａ）１０Ａは、別の管理ドメイン部との間で、故障が発生しているかどうかを確認する生存確認を実施する。システム構成部同士がお互いに生存確認をすることで、生存確認できないＥＣＵを故障したと見なし、同様の効果を得ることができる。
（８）従来の車載システムでは、ＥＣＵの機能の一部もしくは全部を、故障に備えて予め他のＥＣＵに移動しておく。そして、故障が発生した場合には、他のＥＣＵが移動されている機能を実行しているため、ＥＣＵが故障した場合であっても、機能が停止することはない。この従来の方式は故障に対しては有効である。
しかし、従来の方式の場合、サイバー攻撃に対しては、サイバー攻撃が続いている限り、他のＥＣＵに移動された機能が、再度感染してしまう。また、機能を移動する仕組みを実現する機能そのものがサイバー攻撃により動作不良を起こした場合、機能の移動ができない。
これに対して、実施の形態１のＥＣＵは管理ドメイン部を備えているので、従来の車載システムの課題を、この実施の形態１の効果の（１）から（５）に述べたように、解決することができる。
【００５２】
実施の形態２．
図８から図１０を参照して実施の形態２の車載システム１００を説明する。実施の形態１では、システム構成部が、感染したドメイン部を対象に動作する。実施の形態２では、感染または故障によってシステム構成が変更された場合に、システム構成に応じて、基本ドメイン部及び拡張ドメイン部の動作が変更される。動作の変更は、後述のステップＳ２０１，ステップＳ２０２において、管理ドメイン部が、拡張ドメイン部と基本ドメイン部との少なくともいずれかの動作変更を指示する動作変更通知を、ハイパーバイザ部に通知することで行われる。ハイパーバイザ部は、動作変更通知に従って、拡張ドメイン部と基本ドメイン部との少なくともいずれかに、動作を変更させる。後述のシステム変更通知は動作変更通知である。
【００５３】
システム構成の変更とは、基本ドメイン部の実行開始または実行停止、拡張ドメイン部（Ａ）３０Ａの実行開始または実行停止、代替基本ドメイン部の実行開始または実行停止である。つまり、システム構成の変更とは、基本ドメイン部、拡張ドメイン部、代替基本ドメイン部の少なくともどれかの、実行開始または実行停止である。
【００５４】
実施の形態２の車載システム１００のハードウェア構成図は、図１と同じである。
【００５５】
図８は、実施の形態２の車載システム１００のソフトウェア構成のうち、ＥＣＵ（Ａ）１のソフトウェア構成を示す。ＥＣＵ（Ａ）１では、ハイパーバイザ部４０Ａが構成変更通知部４１Ａを備えており、基本ドメイン部（Ａ）２０Ａが構成変更受領部２４Ａを備えており、拡張ドメイン部（Ａ）３０Ａが構成変更受領部３４Ｂを備えている。図８のＥＣＵ（Ａ）１は、図３と同様のＥＣＵ（Ｂ）１に接続する。ＥＣＵ（Ａ）１の接続するＥＣＵ（Ｂ）１は、図３の構成と同様であるので、省略している。なお、省略したＥＣＵ（Ｂ）１も実施の形態２のＥＣＵ（Ａ）１と同様に、構成変更通知部４１Ｂ、構成変更受領部２４Ｂ及び構成変更受領部３４Ｂを備える。ＥＣＵ（Ｃ）１及びＥＣＵ（Ｄ）１も、ＥＣＵ（Ｂ）１と同様に、構成変更通知部、構成変更受領部及び構成変更受領部を備える。
【００５６】
図９は、実施の形態２におけるＥＣＵ（Ａ）１の動作のフローチャートである。図９は、図４のフローチャートに、ステップＳ２０１、ステップＳ２０３及びステップＳ２０５が追加された構成である。図９では、ステップＳ１１６よりも前のステップは省略している。ステップＳ２０１は、システム構成部１３Ａの動作であり、ステップＳ２０３は、構成変更通知部４１Ａの動作であり、ステップＳ２０５は構成変更受領部２４Ａ，３４Ａの動作である。
図１０は、実施の形態２におけるＥＣＵ（Ｂ）１の動作のフローチャートである。図１０は、図５のフローチャートに、ステップＳ２０２、ステップＳ２０４及びステップＳ２０６が追加された構成である。図９では、ステップＳ１１７よりも前のステップは省略している。ステップＳ２０２は、システム構成部１３Ｂの動作であり、ステップＳ２０４は、構成変更通知部４１Ｂの動作であり、ステップＳ２０６は構成変更受領部２４Ｂ、３４Ｂの動作である。
【００５７】
図９のステップＳ２０３、ステップＳ２０５において、構成変更通知部４１Ａは、システム構成部１３Ａからシステム変更通知を受信し、基本ドメイン部（Ａ）２０Ａ、拡張ドメイン部（Ａ）３０Ａに、システム変更通知に基づき構成変更指示をし、システム変更を実施させる。基本ドメイン部（Ａ）２０Ａの構成変更受領部２４Ａ及び拡張ドメイン部（Ａ）３０Ａの構成変更受領部３４Ａは、構成変更通知部４１Ａからの構成変更指示を受け、各アプリに構成変更指示の内容を通知する。
【００５８】
図１０のステップＳ２０４、ステップＳ２０６において、構成変更通知部４１Ｂは、システム構成部１３Ｂからシステム変更通知を受信し、基本ドメイン部（Ｂ）２０Ｂ、拡張ドメイン部（Ｂ）３０Ｂに、システム変更通知に基づき構成変更指示し、システム変更を実施させる。基本ドメイン部（Ｂ）２０Ｂの構成変更受領部２４Ｂ及び拡張ドメイン部（Ｂ）３０Ｂの構成変更受領部３４Ｂは、構成変更通知部４１Ｂからの構成変更指示を受け、各アプリに構成変更指示の内容を通知する。
【００５９】
次に、図９、図１０を参照して、実施の形態２の車載システム１００の動作を説明する。
まず、サイバー攻撃が発生した場合の動作を述べる。ステップＳ１０１からステップＳ１１８までの動作は、実施の形態１と同様である。ステップＳ１１６、ステップＳ１１７の後、各ＥＣＵのシステム構成部は、各ＯＳまたはデバイスドライバを介して、ハイパーバイザ部の構成変更通知部に、システム構成が変更されたというシステム変更通知を、ハイパーバイザコールのような手段を用いて通知する（ステップＳ２０１、ステップＳ２０２）。システム構成が変更されたというシステム変更通知は、感染ドメインリスト１６Ａを用いて知らせる、ＥＣＵ（Ａ）の拡張ドメイン部（Ａ）３０Ａを停止したというような情報である。
【００６０】
構成変更通知部は、システム変更通知を受信した場合、システム構成の変更に関連する、例えば、構成変更により縮退運転を実施すべきドメイン部のアプリを対象として、仮想割り込みのような手段を用いて、構成変更指示を構成変更受領部に通知する（ステップＳ２０３、ステップＳ２０４）。
構成変更指示を受信した場合、構成変更受領部が各アプリに対して、例えば縮退運転を行うよう動作変更を指示する（ステップＳ２０５、ステップＳ２０６）。
【００６１】
次に、発生していたサイバー攻撃が止んだ場合の動作を述べる。
ステップＳ１０２、ステップＳ１１９〜ステップＳ１２２、ステップＳ１０８、ステップＳ１１６、ステップＳ１０９〜ステップＳ１１５、ステップＳ１１７、ステップＳ１１８までの動作は実施の形態１と同様である。
【００６２】
ステップＳ１１６、ステップＳ１１７の後、各ＥＣＵのシステム構成部は、各ＯＳまたはデバイスドライバを介して、ハイパーバイザ部の構成変更通知部に、システム構成が変更されたというシステム変更通知を、ハイパーバイザコールのような手段を用いて通知する（ステップＳ２０１、ステップＳ２０２）。システム構成が変更されたというシステム変更通知は、感染ドメインリスト１６Ａを用いて知らせる、ＥＣＵ（Ａ）の拡張ドメイン部（Ａ）３０Ａを実行開始したというような情報である。
【００６３】
構成変更通知部は、システム変更通知に関連する、例えば、構成変更により通常運転を実施すべきドメイン部のアプリを対象として、仮想割り込みのような手段を用いて、構成変更指示を構成変更受領部に通知する（ステップＳ２０３、ステップＳ２０４）。
構成変更指示を受信した場合、構成変更受領部が各アプリに対して、例えば通常運転を行うよう動作変更を指示する（ステップＳ２０５、ステップＳ２０６）。
【００６４】
また、感染範囲特定部の範囲特定が、ドメイン部単位ではなく、アプリ単位で可能な場合に、ドメイン部内で感染または故障に起因して正常に動作しなくなったアプリのみの実行を停止できる。
【００６５】
＊＊＊実施の形態２の効果＊＊＊
以上のように、ハイパーバイザコールおよび仮想割り込みのような手段を用いて、システム構成部からシステム構成の変更が通知されることにより、ドメイン部のアプリがシステム構成が変更されたことをネットワークを介さずに知ることができる。よって、セキュリティリスクを冒すことなく、縮退運転のような動作変更を実施できる。
【符号の説明】
【００６６】
１  ＥＣＵ（Ａ），ＥＣＵ（Ｂ），ＥＣＵ（Ｃ），ＥＣＵ（Ｄ）、２Ａ  ＣＰＵ、３Ａ  ＲＯＭ、４Ａ  ＲＡＭ、５Ａ  周辺コントローラ、６Ａ，７Ａ，８Ａ，９Ａ  Ｉ／Ｏ、１０Ａ  管理ドメイン部（Ａ）、１１Ａ  攻撃検出部、１２Ａ  感染範囲特定部、１３Ａ  システム構成部、１４Ａ  構成記憶部、１５Ａ  ＯＳ、１６Ａ  感染ドメインリスト、２０Ａ  基本ドメイン部（Ａ）、２１Ａ  アプリ（Ａ１）、２２Ａ  アプリ（Ａ２）、２３Ａ  ＯＳ、２４Ａ  構成変更受領部、３０Ａ  拡張ドメイン部（Ａ）、３１Ａ  アプリ（Ａ３）、３２Ａ  アプリ（Ａ４）、３３Ａ  ＯＳ、３４Ａ  構成変更受領部、４０Ａ  ハイパーバイザ部、４１Ａ  構成変更通知部、１０Ｂ  管理ドメイン部（Ｂ）、１１Ｂ  攻撃検出部、１２Ｂ  感染範囲特定部、１３Ｂ  システム構成部、１４Ｂ  構成記憶部、１５Ｂ  ＯＳ、２０Ｂ  基本ドメイン部（Ｂ）、２１Ｂ  アプリ（Ｂ１）、２２Ｂ  アプリ（Ｂ２）、２３Ｂ  ＯＳ、３０Ｂ  拡張ドメイン部（Ｂ）、３１Ｂ  アプリ（Ｂ３）、３２Ｂ  アプリ（Ｂ４）、３３Ｂ  ＯＳ、４０Ｂ  ハイパーバイザ部、５０Ｂ  代替基本ドメイン部（Ａ）、６１  センサ、７１  アクチュエータ、８１  車内ネットワーク、８８  車外ネットワーク、９１，９５  仮想ネットワーク、１００  車載システム、１４０  ドメイン構成情報。
【図１】
0006972437.tif 000002
【図２】
0006972437.tif 000003
【図３】
0006972437.tif 000004
【図４】
0006972437.tif 000005
【図５】
0006972437.tif 000006
【図６】
0006972437.tif 000007
【図７】
0006972437.tif 000008
【図８】
0006972437.tif 000009
【図９】
0006972437.tif 000010
【図１０】
0006972437.tif 000011