(57)【特許請求の範囲】
【請求項１】
組み込みシステムに含まれる攻撃検知装置であって、
前記組み込みシステムに対する攻撃の有無を判定する攻撃判定部と、
外部ネットワークの通信状況を確認する通信状況確認部と、
前記外部ネットワークの通信状況に基づいて、前記組み込みシステムの外部に設けられて前記外部ネットワークに接続する攻撃判定装置と、前記攻撃判定部とのいずれかを、攻撃判定の依頼先に決定する依頼先決定部と、
決定された依頼先に攻撃判定を依頼する攻撃判定依頼部と、
を備える攻撃検知装置。
【請求項２】
前記通信状況確認部は、攻撃判定中に、前記外部ネットワークの通信状況を確認し、
前記依頼先決定部は、攻撃判定中に、前記外部ネットワークの通信状況に基づいて、攻撃判定の依頼先について変更の要否を判定し、
前記攻撃判定依頼部は、攻撃判定の依頼先について変更が必要であると判定された場合、攻撃判定の依頼先を変更する
請求項１に記載の攻撃検知装置。
【請求項３】
前記攻撃検知装置は、前記外部ネットワークの通信状況に基づいて、攻撃判定の内容である判定内容を決定する判定内容決定部を備え、
前記攻撃判定依頼部は、決定された判定内容を指定して攻撃判定を依頼する
請求項１または請求項２に記載の攻撃検知装置。
【請求項４】
前記判定内容決定部は、攻撃シナリオリストに登録された全ての攻撃シナリオに対する判定を行う全判定と、前記攻撃シナリオリストに登録された一部の攻撃シナリオに対する判定を行う部分判定とのいずれかを、判定内容に決定する
請求項３に記載の攻撃検知装置。
【請求項５】
前記判定内容決定部は、さらに、攻撃手口リストに登録された全ての攻撃手口に対する判定を行う全判定と、前記攻撃手口リストに登録された一部の攻撃シナリオに対する判定を行う部分判定とのいずれかを、判定内容に決定する
請求項４に記載の攻撃検知装置。
【請求項６】
前記攻撃検知装置は、前記組み込みシステムの状況を確認するシステム状況確認部を備え、
前記依頼先決定部は、前記外部ネットワークの通信状況と前記組み込みシステムの状況とに基づいて、攻撃判定の依頼先を決定する
請求項３から請求項５のいずれか１項に記載の攻撃検知装置。
【請求項７】
前記組み込みシステムは、車両に搭載される車載システムであり、
前記システム状況確認部は、前記車載システムの負荷状況と前記車両の走行状況とを確認する
請求項６に記載の攻撃検知装置。
【請求項８】
前記判定内容決定部は、前記外部ネットワークの通信状況と前記組み込みシステムの状況とに基づいて、判定内容を決定する
請求項６または請求項７に記載の攻撃検知装置。
【請求項９】
前記攻撃検知装置は、前記組み込みシステムの状況を確認するシステム状況確認部を備え、
前記依頼先決定部は、前記外部ネットワークの通信状況と前記組み込みシステムの状況とに基づいて、攻撃判定の依頼先を決定する
請求項１または請求項２に記載の攻撃検知装置。
【請求項１０】
組み込みシステムにおける攻撃検知プログラムであって、
前記組み込みシステムに対する攻撃の有無を判定する攻撃判定処理と、
外部ネットワークの通信状況を確認する通信状況確認処理と、
前記外部ネットワークの通信状況に基づいて、前記組み込みシステムの外部に設けられて前記外部ネットワークに接続する攻撃判定装置と、前記攻撃判定処理とのいずれかを、攻撃判定の依頼先に決定する依頼先決定処理と、
決定された依頼先に攻撃判定を依頼する攻撃判定依頼処理と、
をコンピュータに実行させるための攻撃検知プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、組み込みシステムに対する攻撃を検知する技術に関するものである。
【背景技術】
【０００２】
特許文献１は、車両に対する攻撃を検知するシステムを開示している。
このシステムでは、クラウドサーバが、車両ログを収集して分析することによって、車両に対する攻撃を検知する。
これにより、車両のリソースをあまり消費せずに、攻撃の検知を行うことができる。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】国際公開２０１７／１０４１１２号
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１に開示されたシステムでは、クラウドサーバが攻撃の検知を行う。そのため、車両とクラウドサーバとの間の通信状況が悪い場合、攻撃の検知を行うことができなくなってしまう。
また、攻撃の検知が常に車両のリソースを使用して行われる場合、車両のリソースが常に攻撃の検知のために消費されることになる。そのため、車両を制御するための処理に支障が生じる可能性がある。【０００５】
本発明は、攻撃検知のために車両にかかる処理負荷を抑えつつ、攻撃検知を継続して行うことができるようにすることを目的とする。
【課題を解決するための手段】
【０００６】
本発明の攻撃検知装置は、組み込みシステムに含まれる。
前記攻撃検知装置は、
前記組み込みシステムに対する攻撃の有無を判定する攻撃判定部と、
外部ネットワークの通信状況を確認する通信状況確認部と、
前記外部ネットワークの通信状況に基づいて、前記組み込みシステムの外部に設けられて前記外部ネットワークに接続する攻撃判定装置と、前記攻撃判定部とのいずれかを、攻撃判定の依頼先に決定する依頼先決定部と、
決定された依頼先に攻撃判定を依頼する攻撃判定依頼部とを備える。
【発明の効果】
【０００７】
本発明によれば、車両とクラウドサーバとの間の通信状況（外部ネットワークの通信状況）に応じて攻撃判定の依頼先を決定することができる。そのため、攻撃検知のために車両（組み込みシステム）にかかる処理負荷を抑えつつ、攻撃検知を継続して行うことが可能となる。
【図面の簡単な説明】
【０００８】
【図１】実施の形態１における攻撃検知システム２００の構成図。
【図２】実施の形態１における車載システム１００の構成図。
【図３】実施の形態１における実行制御処理のフローチャート。
【図４】実施の形態１における外部依頼処理（Ｓ１０４）のフローチャート。
【図５】実施の形態１における内部依頼処理（Ｓ１０５）のフローチャート。
【図６】実施の形態１における攻撃シナリオの説明図。
【図７】実施の形態１における攻撃判定方法のフローチャート。
【図８】実施の形態１における攻撃手口判定のフローチャート。
【図９】実施の形態１における攻撃シナリオ判定のフローチャート。
【図１０】実施の形態２における実行制御処理のフローチャート。
【図１１】実施の形態２における実行制御処理のフローチャート。
【図１２】実施の形態２における実行制御処理のフローチャート。
【図１３】実施の形態２における攻撃手口判定のフローチャート。
【図１４】実施の形態２における攻撃シナリオ判定のフローチャート。
【図１５】実施の形態３における実行制御部１１０の構成図。
【図１６】実施の形態３における実行制御処理のフローチャート。
【図１７】実施の形態３における攻撃判定方法のフローチャート。
【図１８】実施の形態４における実行制御部１１０の構成図。
【図１９】実施の形態４における実行制御処理のフローチャート。
【図２０】実施の形態５における実行制御部１１０の構成図。
【図２１】実施の形態５における実行制御処理のフローチャート。
【図２２】実施の形態５における攻撃手口判定のフローチャート。
【図２３】実施の形態５における攻撃手口リスト１９１を示す図。
【図２４】実施の形態５における攻撃シナリオ判定のフローチャート。
【図２５】実施の形態５における攻撃シナリオリスト１９２を示す図。
【図２６】実施の形態における車載システム１００のハードウェア構成図。
【発明を実施するための形態】
【０００９】
実施の形態および図面において、同じ要素または対応する要素には同じ符号を付している。説明した要素と同じ符号が付された要素の説明は適宜に省略または簡略化する。図中の矢印はデータの流れ又は処理の流れを主に示している。
【００１０】
実施の形態１．
攻撃検知システム２００について、図１から図９に基づいて説明する。
【００１１】
＊＊＊構成の説明＊＊＊
図１に基づいて、攻撃検知システム２００の構成を説明する。
攻撃検知システム２００は、攻撃判定装置２１０と車両２２０とを備える。
攻撃判定装置２１０は、サイバー攻撃の有無を判定する装置であり、クラウド２０１に設けられる。
【００１２】
車両２２０は、車載システム１００を備える。
車載システム１００は、車両２２０に搭載される組み込みシステムである。
車載システム１００の一部は、「攻撃検知装置」として機能する。
「攻撃検知装置」は、車載システム１００に対するサイバー攻撃を検知するための装置である。
【００１３】
外部ネットワーク２０２は、車載システム１００の外の通信ネットワークである。攻撃判定装置２１０は外部ネットワーク２０２に接続している。例えば、外部ネットワーク２０２はインターネットである。
一方、車載システム１００の中の通信ネットワークを「車載ネットワーク」または「内部ネットワーク」と称する。例えば、車載ネットワークは、Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ（ＣＡＮ）である。
【００１４】
図２に基づいて、車載システム１００のうちの攻撃検知装置の構成を説明する。
車載システム１００は、プロセッサ１０１とメモリ１０２と補助記憶装置１０３と通信装置１０４といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。
【００１５】
プロセッサ１０１は、演算処理を行うＩＣであり、他のハードウェアを制御する。例えば、プロセッサ１０１はＣＰＵである。
ＩＣは、Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔの略称である。
ＣＰＵは、Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔの略称である。
【００１６】
メモリ１０２は揮発性の記憶装置である。メモリ１０２は、主記憶装置またはメインメモリとも呼ばれる。例えば、メモリ１０２はＲＡＭである。メモリ１０２に記憶されたデータは必要に応じて補助記憶装置１０３に保存される。
ＲＡＭは、Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙの略称である。
【００１７】
補助記憶装置１０３は不揮発性の記憶装置である。例えば、補助記憶装置１０３は、ＲＯＭ、ＨＤＤまたはフラッシュメモリである。補助記憶装置１０３に記憶されたデータは必要に応じてメモリ１０２にロードされる。
ＲＯＭは、Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙの略称である。
ＨＤＤは、Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅの略称である。
【００１８】
通信装置１０４は、レシーバ及びトランスミッタであり、外部ネットワーク２０２に接続される。例えば、通信装置１０４は通信チップまたはＮＩＣである。
ＮＩＣは、Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄの略称である。
【００１９】
車載システム１００は、実行制御部１１０と攻撃判定部１２０とログ取得部１３１とログ管理部１３２といった要素を備える。これらの要素はソフトウェアで実現される。
実行制御部１１０は、ログデータ集合取得部１１１と通信状況確認部１１２と依頼先決定部１１３と攻撃判定依頼部１１４とを備える。
【００２０】
補助記憶装置１０３には、実行制御部１１０と攻撃判定部１２０とログ取得部１３１とログ管理部１３２としてコンピュータを機能させるための攻撃検知プログラムが記憶されている。攻撃検知プログラムは、メモリ１０２にロードされて、プロセッサ１０１によって実行される。
補助記憶装置１０３には、さらに、ＯＳが記憶されている。ＯＳの少なくとも一部は、メモリ１０２にロードされて、プロセッサ１０１によって実行される。
プロセッサ１０１は、ＯＳを実行しながら、攻撃検知プログラムを実行する。
ＯＳは、Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍの略称である。
【００２１】
攻撃検知プログラムの入出力データは記憶部１９０に記憶される。
メモリ１０２は記憶部１９０として機能する。但し、補助記憶装置１０３、プロセッサ１０１内のレジスタおよびプロセッサ１０１内のキャッシュメモリなどの記憶装置が、メモリ１０２の代わりに、又は、メモリ１０２と共に、記憶部１９０として機能してもよい。
【００２２】
車載システム１００は、プロセッサ１０１を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、プロセッサ１０１の役割を分担する。
【００２３】
攻撃検知プログラムは、光ディスクまたはフラッシュメモリ等の不揮発性の記録媒体にコンピュータ読み取り可能に記録（格納）することができる。
【００２４】
＊＊＊動作の説明＊＊＊
車載システム１００における攻撃検知装置の動作は攻撃検知方法に相当する。また、攻撃検知方法の手順は攻撃検知プログラムの手順に相当する。
攻撃検知方法の処理を以下に説明する。
【００２５】
まず、ログ取得部１３１とログ管理部１３２とのそれぞれの機能を説明する。
ログ取得部１３１は、車載システム１００で発生した事象を示すログデータを取得する。例えば、ログ取得部１３１は、通信ログ、プロセスログおよび認証ログなどのログデータを取得する。
【００２６】
ログ管理部１３２は、取得されたログデータを記憶部１９０に記憶し、記憶されたログデータを管理する。
例えば、ログ管理部１３２は、それぞれのログデータにログ識別子を付与する。ログ識別子は、ログデータを一意に識別するための識別子である。
例えば、ログ管理部１３２は、攻撃判定に用いられたログデータに処理済みタグを付加する。また、例えば、ログ管理部１３２は、ログデータが攻撃判定装置２１０に送信済みで攻撃判定結果が攻撃判定装置２１０から返ってきた場合に、送信済みのログデータに送信済みタグを付加する。さらに、例えば、ログ管理部１３２は、攻撃判定装置２１０から削除不可の指示があったログデータに削除不可タグを付加する。
【００２７】
図３に基づいて、実行制御部１１０の処理（実行制御処理）を説明する。
実行制御処理は、定期的または任意のタイミングで実行される。
【００２８】
ステップＳ１０１において、ログデータ集合取得部１１１は、ログデータ集合を取得する。
ログデータ集合は、攻撃判定に用いられる１つ以上のログデータである。
【００２９】
ログデータ集合取得部１１１は、ログデータ集合を以下のように取得する。
まず、ログデータ集合取得部１１１は、ログ管理部１３２にログデータ集合を要求する。
次に、ログ管理部１３２は、記憶部１９０から、処理済みタグが付加されていない全てのログデータを選択する。
次に、ログ管理部１３２は、選択された全てのログデータをログデータ集合取得部１１１に通知する。
そして、ログデータ集合取得部１１１は、選択された全てのログデータを受け取る。
また、ログ管理部１３２は、選択された全てのログデータに処理済みタグを付加する。
【００３０】
ステップＳ１０２において、通信状況確認部１１２は、外部ネットワーク２０２の通信状況を確認する。
【００３１】
通信状況確認部１１２は、外部ネットワーク２０２の通信状況を以下のように確認する。
通信装置１０４は、外部ネットワーク２０２に対する接続状態情報を管理している。
通信状況確認部１１２は、通信装置１０４から、外部ネットワーク２０２に対する接続状態情報を取得する。
接続状態情報は、通信ネットワークとの接続状態を示す。
例えば、接続状態情報は「接続済み」、「接続処理中」、「認証処理中」、「コネクション情報取得中」、「接続チェック中」、「接続中断」、「切断処理中」または「切断済み」などの接続状態を示す。
「接続済み」と「切断済み」とを除いた残りの接続状態を「中間状態」と称する。
「接続済み」、「切断済み」および「中間状態」は、通信状況の良し悪しの程度を特定する。「接続済み」は「良好」という通信状況に対応する。「切断済み」は「不良」という通信状況に対応する。「中間状態」は「普通」という通信状況に対応する。
【００３２】
通信状況は、接続状態とは異なる情報によって特定されてもよい。
例えば、通信状況は、電波強度、スループット、切断時間または連続通信時間によって特定されてもよい。
【００３３】
ステップＳ１０３において、依頼先決定部１１３は、外部ネットワーク２０２の通信状況に基づいて、攻撃判定の依頼先を決定する。
【００３４】
例えば、外部ネットワーク２０２との接続状態が「接続済み」である場合、依頼先決定部１１３は、攻撃判定の依頼先を攻撃判定装置２１０に決定する。
例えば、外部ネットワーク２０２との接続状態が「接続済み」でない場合、依頼先決定部１１３は、攻撃判定の依頼先を攻撃判定部１２０に決定する。
【００３５】
攻撃判定の依頼先が攻撃判定装置２１０（外部）である場合、処理はステップＳ１０４に進む。
攻撃判定の依頼先が攻撃判定部１２０（内部）である場合、処理はステップＳ１０５に進む。
【００３６】
ステップＳ１０４において、攻撃判定依頼部１１４は、攻撃判定装置２１０に攻撃判定を依頼する。
【００３７】
図４に基づいて、外部依頼処理（Ｓ１０４）を説明する。
ステップＳ１０４１において、攻撃判定依頼部１１４は、通信装置１０４を用いて、ログデータ集合を攻撃判定装置２１０に送信する。
【００３８】
攻撃判定装置２１０は、ログデータ集合を受信し、ログデータ集合に基づいて攻撃判定を行い、判定結果を送信する。
攻撃判定の方法については後述する。
【００３９】
ステップＳ１０４２において、攻撃判定依頼部１１４は、通信装置１０４を用いて、判定結果を攻撃判定装置２１０から受信する。
【００４０】
図３に戻り、ステップＳ１０５を説明する。
ステップＳ１０５において、攻攻撃判定依頼部１１４は、攻撃判定部１２０に攻撃判定を依頼する。
【００４１】
図５に基づいて、内部依頼処理（Ｓ１０５）の手順を説明する。
ステップＳ１０５１において、攻撃判定依頼部１１４は、ログデータ集合を攻撃判定部１２０に与える。
【００４２】
攻撃判定部１２０は、ログデータ集合を受け取り、ログデータ集合に基づいて攻撃判定を行い、判定結果を通知する。
攻撃判定の方法については後述する。
【００４３】
ステップＳ１０５２において、攻撃判定依頼部１１４は、判定結果を攻撃判定部１２０から受け取る。
【００４４】
攻撃判定方法について以下に説明する。
図６に基づいて、攻撃シナリオについて説明する。
攻撃シナリオは、サイバー攻撃を構成する一連の攻撃手口を示す。図６の攻撃シナリオは、３つの攻撃手口で構成されるサイバー攻撃を示している。
攻撃手口は、サイバー攻撃の要素であり、攻撃フェーズとも呼ばれる。
【００４５】
図７に基づいて、攻撃判定方法の手順を説明する。
攻撃判定方法では、攻撃手口判定と攻撃シナリオ判定といった処理が行われる。
攻撃手口判定は、１つ以上の攻撃手口のそれぞれに合致するログデータがログデータ集合に含まれるか判定する処理である。
攻撃シナリオ判定は、１つ以上の攻撃シナリオのそれぞれに合致するログデータ群がログデータ集合に含まれるか判定する処理である。
つまり、攻撃シナリオ判定は、攻撃手口判定で判定された攻撃手口の関連をログの発生源または発生要因などに基づいて調べ、調べた関連が１つ以上の攻撃シナリオのそれぞれに合致するかを判定する処理である。
言い換えると、攻撃シナリオ判定は、１つ以上の攻撃シナリオのそれぞれに合致する１つ以上の攻撃手口とその関係が、攻撃手口判定で判定された攻撃手口の関連を調べた結果に含まれるか判定する処理である。また、攻撃シナリオ判定において、攻撃手口とログデータとの関連を調べ、調べた関連が１つ以上の攻撃シナリオのそれぞれに合致するかを判定してもよい。
【００４６】
図８に基づいて、攻撃判定部１２０による攻撃手口判定を説明する。
攻撃判定装置２１０による攻撃手口判定は、攻撃判定部１２０による攻撃手口判定と同じである。
【００４７】
ステップＳ１１１において、攻撃判定部１２０は、攻撃手口リストから、未選択の攻撃手口情報を１つ選択する。
攻撃手口リストは、１つ以上の攻撃手口情報を示し、記憶部１９０に予め記憶される。
攻撃手口情報は、攻撃手口を特定する情報である。
【００４８】
ステップＳ１１２において、攻撃判定部１２０は、選択された攻撃手口情報に合致するログデータがログデータ集合に含まれるか判定する。
例えば、攻撃判定部１２０は、ログデータ集合のそれぞれのログデータと攻撃手口情報とのパターンマッチングを行う。
【００４９】
ステップＳ１１３において、攻撃判定部１２０は、未選択の攻撃手口情報があるか判定する。
未選択の攻撃手口情報がある場合、処理はステップＳ１１１に進む。
未選択の攻撃手口情報がない場合、攻撃手口判定は終了する。
【００５０】
図９に基づいて、攻撃判定部１２０による攻撃シナリオ判定を説明する。
攻撃判定装置２１０による攻撃シナリオ判定は、攻撃判定部１２０による攻撃シナリオ判定と同じである。
【００５１】
ステップＳ１２１において、攻撃判定部１２０は、攻撃シナリオリストから、未選択の攻撃シナリオを１つ選択する。
攻撃シナリオリストは、１つ以上の攻撃シナリオを示し、記憶部１９０に予め記憶される。
【００５２】
ステップＳ１２２において、攻撃判定部１２０は、攻撃手口判定の結果に基づいて、選択された攻撃シナリオに合致するログデータ群がログデータ集合に含まれるか判定する。
具体的には、攻撃判定部１２０は、攻撃手口判定で判定された攻撃手口の関連をログの発生源または発生要因などに基づいて調べ、調べた関連が１つ以上の攻撃シナリオのそれぞれに合致するかを判定する。
言い換えると、攻撃判定部１２０は、１つ以上の攻撃シナリオのそれぞれに合致する１つ以上の攻撃手口とその関係が、攻撃手口判定で判定された攻撃手口の関連を調べた結果に含まれるか判定する。また、攻撃判定部１２０は、攻撃手口とログデータとの関連を調べ、調べた関連が１つ以上の攻撃シナリオのそれぞれに合致するかを判定してもよい。
【００５３】
例えば、図６の攻撃シナリオは、攻撃手口（１）と攻撃手口（２）と攻撃手口（３）とで攻撃されるサイバー攻撃を示している。
攻撃手口（１）の情報に合致するログデータをログデータ（１）と称する。
攻撃手口（２）の情報に合致するログデータをログデータ（２）と称する。
攻撃手口（３）の情報に合致するログデータをログデータ（３）と称する。
ログデータ（１）（２）（３）の並び順（事象の発生順）がログデータ（１）、ログデータ（２）、ログデータ（３）である場合、ログデータ（１）（２）（３）は、図５の攻撃シナリオに合致する。
【００５４】
ステップＳ１２３において、攻撃判定部１２０は、未選択の攻撃シナリオがあるか判定する。
未選択の攻撃シナリオがある場合、処理はステップＳ１２１に進む。
未選択の攻撃シナリオがない場合、攻撃シナリオ判定は終了する。
【００５５】
＊＊＊実施の形態１の効果＊＊＊
実施の形態１により、外部ネットワーク２０２の通信状況に応じて攻撃判定の依頼先を決定することができる。そのため、攻撃検知のために車載システム１００にかかる処理負荷を抑えつつ、攻撃検知を継続して行うことが可能となる。
【００５６】
実施の形態２．
通信状況の変化に対処する形態について、主に実施の形態１と異なる点を図１０から図１４に基づいて説明する。
【００５７】
＊＊＊構成の説明＊＊＊
攻撃検知システム２００の構成は、実施の形態１における構成と同じである（図１および図２を参照）。
【００５８】
＊＊＊動作の説明＊＊＊
図１０、図１１および図１２に基づいて、実行制御処理を説明する。
ステップＳ２０１において、ログデータ集合取得部１１１は、ログデータ集合を取得する。
ステップＳ２０１は、実施の形態１におけるステップＳ１０１と同じである。
【００５９】
ステップＳ２０２において、通信状況確認部１１２は、外部ネットワーク２０２の通信状況を確認する。
ステップＳ２０２は、実施の形態１におけるステップＳ１０２と同じである。
【００６０】
ステップＳ２０３において、依頼先決定部１１３は、外部ネットワーク２０２の通信状況に基づいて、攻撃判定の依頼先を決定する。
ステップＳ２０３は、実施の形態１におけるステップＳ１０３と同じである。
攻撃判定の依頼先が攻撃判定装置２１０（外部）である場合、処理はステップＳ２１１に進む。
攻撃判定の依頼先が攻撃判定部１２０（内部）である場合、処理はステップＳ２２１に進む。
【００６１】
ステップＳ２１１において、攻撃判定依頼部１１４は、ログデータ集合を通信装置１０４に通知する。
通信装置１０４は、ログデータ集合を攻撃判定装置２１０に送信する。
【００６２】
攻撃判定装置２１０は、ログデータ集合を受信し、ログデータ集合に基づいて攻撃判定を行う。
攻撃判定が完了した場合、攻撃判定装置２１０は判定結果を送信する。通信装置１０４は、判定結果を受信し、判定結果を攻撃判定依頼部１１４に通知する。
【００６３】
ステップＳ２１２において、攻撃判定依頼部１１４は、通信装置１０４から判定結果が通知されたか判定する。
判定結果が通知された場合、処理はステップＳ２１３に進む。
判定結果が通知されていない場合、処理はステップＳ２１４に進む。
【００６４】
ステップＳ２１３において、攻撃判定依頼部１１４は、通知された判定結果を受け取る。
【００６５】
ステップＳ２１４において、通信状況確認部１１２は、外部ネットワーク２０２の通信状況を確認する。
ステップＳ２１４は、実施の形態１におけるステップＳ１０２と同じである。
【００６６】
ステップＳ２１５において、依頼先決定部１１３は、外部ネットワーク２０２の通信状況に基づいて、攻撃判定の依頼先について変更の要否を判定する。
【００６７】
例えば、外部ネットワーク２０２との接続状態が「接続済み」から「接続済み」以外の状態に変わった場合、依頼先決定部１１３は、攻撃判定の依頼先の変更が必要であると判定する。
例えば、外部ネットワーク２０２との接続状態が「接続済み」のまま変わらない場合、依頼先決定部１１３は、攻撃判定の変更が不要であると判定する。
【００６８】
攻撃判定の依頼先の変更が必要であると判定された場合、処理はステップＳ２２１に進む。
攻撃判定の依頼先の変更が不要であると判定された場合、処理はステップＳ２１２に進む。
【００６９】
ステップＳ２２１において、攻撃判定依頼部１１４は、ログデータ集合を攻撃判定部１２０に与える。
【００７０】
攻撃判定部１２０は、ログデータ集合を受け取り、ログデータ集合に基づいて攻撃判定を行う。
攻撃判定が完了した場合、攻撃判定部１２０は判定結果を通知する。
【００７１】
ステップＳ２２２において、攻撃判定依頼部１１４は、攻撃判定部１２０から判定結果が通知されたか判定する。
判定結果が通知された場合、処理はステップＳ２２３に進む。
判定結果が通知されていない場合、処理はステップＳ２２４に進む。
【００７２】
ステップＳ２２３において、攻撃判定依頼部１１４は、判定結果を受け取る。
【００７３】
ステップＳ２２４において、通信状況確認部１１２は、外部ネットワーク２０２の通信状況を確認する。
ステップＳ２２４は、実施の形態１におけるステップＳ１０２と同じである。
【００７４】
ステップＳ２２５において、依頼先決定部１１３は、外部ネットワーク２０２の通信状況に基づいて、攻撃判定の依頼先について変更の要否を判定する。
【００７５】
例えば、外部ネットワーク２０２との接続状態が「接続済み」以外の状態から「接続済み」に変わった場合、依頼先決定部１１３は、攻撃判定の依頼先の変更が必要であると判定する。
例えば、外部ネットワーク２０２との接続状態が「接続済み」以外の状態のまま変わらない場合、依頼先決定部１１３は、攻撃判定の変更が不要であると判定する。
【００７６】
攻撃判定の依頼先の変更が必要であると判定された場合、処理はステップＳ２２６に進む。
攻撃判定の依頼先の変更が不要であると判定された場合、処理はステップＳ２２２に進む。
【００７７】
ステップＳ２２６において、攻撃判定依頼部１１４は、攻撃判定の中止を攻撃判定部１２０に指示する。
攻撃判定の中止が指示された場合、攻撃判定部１２０は攻撃判定を中止する。
ステップＳ２２６の後、処理はステップＳ２１１に進む。
【００７８】
図１３に基づいて、攻撃判定部１２０による攻撃手口判定を説明する。
ステップＳ２３１において、攻撃判定部１２０は、判定中止が指示されたか判定する。
判定中止が指示された場合、攻撃判定部１２０は攻撃判定を中止する。
判定中止が指示されていない場合、処理はステップＳ２３２に進む。
【００７９】
ステップＳ２３２からステップＳ２３４は、実施の形態１における処理（Ｓ１１１〜Ｓ１１３）と同じである。
【００８０】
図１４に基づいて、攻撃判定部１２０による攻撃シナリオ判定を説明する。
ステップＳ２４１において、攻撃判定部１２０は、判定中止が指示されたか判定する。
判定中止が指示された場合、攻撃判定部１２０は攻撃判定を中止する。
判定中止が指示されていない場合、処理はステップＳ２４２に進む。
【００８１】
ステップＳ２４２からステップＳ２４４は、実施の形態１における処理（Ｓ１２１〜Ｓ１２３）と同じである。
【００８２】
＊＊＊実施の形態２の効果＊＊＊
実施の形態２により、通信状況の変化に対処することができる。
具体的には、攻撃判定を攻撃判定装置２１０に依頼してから攻撃判定装置２１０から判定結果を受け取るまでの間に通信状況が悪化しても、攻撃判定部１２０から判定結果を得ることができる。つまり、通信状況が変化しても攻撃検知を継続して行うことができる。
また、攻撃判定を攻撃判定部１２０に依頼してから攻撃判定部１２０から判定結果を受けるまでの間に通信状況が良化した場合、攻撃判定部１２０による攻撃判定を中止して、攻撃判定装置２１０から判定結果を得ることができる。そのため、攻撃検知のために車載システム１００にかかる処理負荷を軽減することができる。
【００８３】
＊＊＊実施の形態２の補足＊＊＊
攻撃判定の依頼先が変更される場合、攻撃判定依頼部１１４は、攻撃判定のうちの実行済みの処理によって得られた判定結果（部分結果）を旧依頼先から受け取り、部分結果を新依頼先へ通知してもよい。新依頼先は、部分結果を受け取り、実行済みの処理以降の処理を実行する。
【００８４】
実施の形態３．
通信状況に応じて判定内容を制御する形態について、主に実施の形態１と異なる点を図１５から図１７に基づいて説明する。
【００８５】
＊＊＊構成の説明＊＊＊
攻撃検知システム２００の構成は、実行制御部１１０の構成を除き、実施の形態１における構成と同じである（図１および図２を参照）。
【００８６】
図１５に基づいて、実行制御部１１０の構成を説明する。
実行制御部１１０は、判定内容決定部１１５を備える。
他の構成は、実施の形態１における構成と同じである。
【００８７】
＊＊＊動作の説明＊＊＊
図１６に基づいて、実行制御処理を説明する。
ステップＳ３０１において、ログデータ集合取得部１１１は、ログデータ集合を取得する。
ステップＳ３０１は、実施の形態１におけるステップＳ１０１と同じである。
【００８８】
ステップＳ３０２において、通信状況確認部１１２は、外部ネットワーク２０２の通信状況を確認する。
ステップＳ３０２は、実施の形態１におけるステップＳ１０２と同じである。
【００８９】
ステップＳ３０３において、依頼先決定部１１３は、外部ネットワーク２０２の通信状況に基づいて、攻撃判定の依頼先を決定する。
攻撃判定の依頼先を決定する方法は、実施の形態１のステップＳ１０３における方法と同じである。
【００９０】
判定内容決定部１１５は、外部ネットワーク２０２の通信状況に基づいて、判定内容を決定する。
【００９１】
例えば、判定内容決定部１１５は、攻撃手口判定と攻撃シナリオ判定とのそれぞれの判定内容を以下のように決定する。
外部ネットワーク２０２との接続状態が「接続済み」または「切断済み」である場合、判定内容決定部１１５は、攻撃手口判定と攻撃シナリオ判定とのそれぞれの判定内容を「全判定」に決定する。「全判定」は、攻撃手口リストに登録された全ての攻撃手口情報および攻撃シナリオリストに登録された全ての攻撃シナリオに対して行う攻撃判定である。
外部ネットワーク２０２との接続状態が「中間状態」である場合、判定内容決定部１１５は、攻撃手口判定と攻撃シナリオ判定とのそれぞれの判定内容を「部分判定」に決定する。「部分判定」は、攻撃手口リストに登録された一部の攻撃手口情報および攻撃シナリオに登録された一部の攻撃シナリオに対して行う攻撃判定である。
【００９２】
攻撃判定の依頼先が攻撃判定装置２１０（外部）である場合、処理はステップＳ３０４に進む。
攻撃判定の依頼先が攻撃判定部１２０（内部）である場合、処理はステップＳ３０５に進む。
【００９３】
ステップＳ３０４において、攻撃判定依頼部１１４は、判定内容を指定して攻撃判定を攻撃判定装置２１０に依頼する。
【００９４】
ステップＳ３０５において、攻撃判定依頼部１１４は、判定内容を指定して攻撃判定を攻撃判定部１２０に依頼する。
【００９５】
図１７に基づいて、攻撃判定部１２０による攻撃判定を説明する。
攻撃判定装置２１０による攻撃判定は、攻撃判定部１２０による攻撃判定と同じである。
【００９６】
ステップＳ３１１において、攻撃判定部１２０は、攻撃手口判定に対する判定内容を確認する。
判定内容が「全判定」である場合、処理はステップＳ３１２に進む。
判定内容が「部分判定」である場合、処理はステップＳ３１３に進む。
【００９７】
ステップＳ３１２において、攻撃判定部１２０は攻撃手口判定を行う。
攻撃手口判定は、実施の形態１で説明した通りである（図８参照）。
【００９８】
ステップＳ３１３において、攻撃判定部１２０は一部手口判定を行う。
一部手口判定は、攻撃手口リストに登録された一部の攻撃手口情報に対して行う攻撃手口判定である。
例えば、攻撃判定部１２０は、攻撃手口リストの代わりに一部手口リストを用いて、攻撃手口判定を行う。一部手口リストは、攻撃手口リストに登録された一部の攻撃手口情報を示し、記憶部１９０に予め記憶される。
【００９９】
ステップＳ３１４において、攻撃判定部１２０は、攻撃シナリオ判定に対する判定内容を確認する。
判定内容が「全判定」である場合、処理はステップＳ３１５に進む。
判定内容が「部分判定」である場合、処理はステップＳ３１６に進む。
【０１００】
ステップＳ３１５において、攻撃判定部１２０は攻撃シナリオ判定を行う。
攻撃シナリオ判定は、実施の形態１で説明した通りである（図９参照）。
【０１０１】
ステップＳ３１６において、攻撃判定部１２０は一部シナリオ判定を行う。
一部シナリオ判定は、攻撃シナリオリストに登録された一部の攻撃シナリオ情報に対して行う攻撃シナリオ判定である。
例えば、攻撃判定部１２０は、攻撃シナリオリストの代わりに一部シナリオリストを用いて、攻撃シナリオ判定を行う。一部シナリオリストは、攻撃シナリオリストに登録された一部の攻撃シナリオ情報を示し、記憶部１９０に予め記憶される。
【０１０２】
＊＊＊実施の形態３の効果＊＊＊
実施の形態３により、通信状況に応じて判定内容を制御することができる。そのため、通信状況に関わらず、攻撃検知の少なくとも一部を継続させることが可能となる。
【０１０３】
＊＊＊実施の形態３の補足＊＊＊
実施の形態３は、実施の形態２と組み合わせて実施されてもよい。つまり、実施の形態３において、攻撃判定依頼部１１４は、通信状況の変化に応じて攻撃判定の依頼先を変更してもよい。
【０１０４】
実施の形態４．
システム状況を考慮して攻撃判定の依頼先を決定する形態について、主に実施の形態１と異なる点を図１８および図１９に基づいて説明する。
【０１０５】
＊＊＊構成の説明＊＊＊
攻撃検知システム２００の構成は、実行制御部１１０の構成を除き、実施の形態１における構成と同じである（図１および図２を参照）。
【０１０６】
図１８に基づいて、実行制御部１１０の構成を説明する。
実行制御部１１０は、システム状況確認部１１６を備える。
他の構成は、実施の形態１における構成と同じである。
【０１０７】
＊＊＊動作の説明＊＊＊
図１９に基づいて、実行制御処理を説明する。
ステップＳ４０１において、ログデータ集合取得部１１１は、ログデータ集合を取得する。
ステップＳ４０１は、実施の形態１におけるステップＳ１０１と同じである。
【０１０８】
ステップＳ４０２において、通信状況確認部１１２は、外部ネットワーク２０２の通信状況を確認する。
ステップＳ４０２は、実施の形態１におけるステップＳ１０２と同じである。
【０１０９】
ステップＳ４０３において、システム状況確認部１１６は、車載システム１００の状況（システム状況）を確認する。
例えば、システム状況確認部１１６は、車載システム１００の負荷状況を確認する。車載システム１００の負荷状況は、プロセッサ１０１の使用率、プロセッサ１０１の空き時間、メモリ１０２の使用率およびプロセッサ１０１の空き容量などによって特定される。
例えば、システム状況確認部１１６は、車載システム１００が搭載された車両２２０の走行状況を確認する。車両２２０の走行状況は、走行中または停止中などによって特定される。
【０１１０】
ステップＳ４０４において、依頼先決定部１１３は、確認された状況に基づいて、攻撃判定の依頼先を決定する。
【０１１１】
例えば、依頼先決定部１１３は、攻撃判定の依頼先を以下のように決定する。
外部ネットワーク２０２との接続状態が「接続済み」である場合、依頼先決定部１１３は、攻撃判定装置２１０を攻撃判定の依頼先に決定する。
外部ネットワーク２０２との接続状態が「切断済み」である場合、依頼先決定部１１３は、攻撃判定部１２０を攻撃判定の依頼先に決定する。
外部ネットワーク２０２との接続状態が「中間状態」であり、且つ、車載システム１００の負荷状況が「低負荷」である場合、依頼先決定部１１３は、攻撃判定部１２０を攻撃判定の依頼先に決定する。
外部ネットワーク２０２との接続状態が「中間状態」であり、且つ、車載システム１００の負荷状況が「高負荷」であり、且つ、車両２２０の走行状況が「走行中」である場合、依頼先決定部１１３は、攻撃判定部１２０を攻撃判定の依頼先に決定する。
外部ネットワーク２０２との接続状態が「中間状態」であり、且つ、車載システム１００の負荷状況が「高負荷」であり、且つ、車両２２０の走行状況が「停止中」である場合、依頼先決定部１１３は、攻撃判定装置２１０を攻撃判定の依頼先に決定する。
【０１１２】
攻撃判定の依頼先が攻撃判定装置２１０（外部）である場合、処理はステップＳ４０５に進む。
攻撃判定の依頼先が攻撃判定部１２０（内部）である場合、処理はステップＳ４０６に進む。
【０１１３】
ステップＳ４０５において、攻撃判定依頼部１１４は、攻撃判定装置２１０に攻撃判定を依頼する。
ステップＳ４０５は、実施の形態１におけるステップＳ１０４と同じである。
【０１１４】
ステップＳ４０６において、攻撃判定依頼部１１４は、攻撃判定部１２０に攻撃判定を依頼する。
ステップＳ４０６は、実施の形態１におけるステップＳ１０５と同じである。
【０１１５】
＊＊＊実施の形態４の効果＊＊＊
実施の形態４により、システム状況を考慮して攻撃判定の依頼先を決定することができる。そのため、攻撃判定の依頼先をより適切に決定することが可能となる。
【０１１６】
＊＊＊実施の形態４の補足＊＊＊
実施の形態４は、実施の形態２と組み合わせて実施されてもよい。つまり、実施の形態４において、攻撃判定依頼部１１４は、通信状況の変化に応じて攻撃判定の依頼先を変更してもよい。
実施の形態４は、実施の形態３と組み合わせて実施されてもよい。つまり、実施の形態４において、実行制御部１１０が判定内容決定部１１５を備えてもよい。
【０１１７】
実施の形態５．
システム状況を考慮して判定内容を制御する形態について、主に実施の形態３と異なる点を図２０から図２５に基づいて説明する。
【０１１８】
＊＊＊構成の説明＊＊＊
攻撃検知システム２００の構成は、実行制御部１１０の構成を除き、実施の形態１における構成と同じである（図１および図２を参照）。
【０１１９】
図２０に基づいて、実行制御部１１０の構成を説明する。
実行制御部１１０は、システム状況確認部１１６を備える。
他の構成は、実施の形態３における構成と同じである（図１５参照）。
【０１２０】
＊＊＊動作の説明＊＊＊
図１９に基づいて、実行制御処理を説明する。
ステップＳ５０１において、ログデータ集合取得部１１１は、ログデータ集合を取得する。
ステップＳ５０１は、実施の形態１におけるステップＳ１０１と同じである。
【０１２１】
ステップＳ５０２において、通信状況確認部１１２は、外部ネットワーク２０２の通信状況を確認する。
ステップＳ５０２は、実施の形態１におけるステップＳ１０２と同じである。
【０１２２】
ステップＳ５０３において、システム状況確認部１１６は、車載システム１００の状況（システム状況）を確認する。
ステップＳ５０３は、実施の形態３におけるステップＳ４０３と同じである。
【０１２３】
ステップＳ５０４において、依頼先決定部１１３は、外部ネットワーク２０２の通信状況に基づいて、攻撃判定の依頼先を決定する。
攻撃判定の依頼先を決定する方法は、実施の形態１のステップＳ１０３における方法と同じである。
但し、依頼先決定部１１３は、実施の形態４におけるステップＳ４０４と同じく、通信状況以外の状況を考慮して攻撃判定の依頼先を決定してもよい。
【０１２４】
判定内容決定部１１５は、確認された状況に基づいて、判定内容を決定する。
【０１２５】
例えば、判定内容決定部１１５は、確認された状況に基づいて、判定内容を特定するための優先度閾値を算出する。
【０１２６】
例えば、判定内容決定部１１５は、式（１）を計算することによって、優先度閾値を算出する。
ｍａｘ（Ｘ、Ｙ）は、「Ｘ」と「Ｙ」とのうちの大きい方を選択することを意味する。
「α１」「β１」「α２」「β２」は、予め決められた値である。
ＣＰＵ負荷は、プロセッサ１０１の負荷の大きさを表す値である。
走行状況度は、車両２２０の速度、車両２２０の操舵角および車両２２０の加速度などを用いて算出される値である。
【０１２７】
優先度閾値  ＝  ｍａｘ（負荷状況閾値、走行状況閾値）  ・・・（１）
負荷状況閾値  ＝  α１  ×  ＣＰＵ負荷  ＋  β１
走行状況閾値  ＝  α２  ×  走行状況度  ＋  β２
【０１２８】
攻撃判定の依頼先が攻撃判定装置２１０（外部）である場合、処理はステップＳ５０５に進む。
攻撃判定の依頼先が攻撃判定部１２０（内部）である場合、処理はステップＳ５０６に進む。
【０１２９】
ステップＳ５０５において、攻撃判定依頼部１１４は、判定内容を指定して攻撃判定を攻撃判定装置２１０に依頼する。
攻撃判定装置２１０は、指定された判定内容に従って攻撃判定を行う。例えば、攻撃判定装置２１０は、実施の形態３における処理と同じように攻撃判定を行う（図１７参照）。
【０１３０】
ステップＳ５０６において、攻撃判定依頼部１１４は、判定内容を指定して攻撃判定を攻撃判定部１２０に依頼する。
攻撃判定部１２０は、指定された判定内容に従って攻撃判定を行う。例えば、攻撃判定部１２０は、実施の形態３における処理と同じように攻撃判定を行う（図１７参照）。
【０１３１】
判定内容が優先度閾値によって特定される場合の攻撃判定について、以下に説明する。
図２２に基づいて、攻撃判定部１２０による攻撃手口判定を説明する。
攻撃判定装置２１０による攻撃手口判定は、攻撃判定部１２０による攻撃手口判定と同じである。
【０１３２】
ステップＳ５１１において、攻撃判定部１２０は、攻撃手口リスト１９１から、優先度閾値以上の優先度を有する攻撃手口情報群を抽出する。
【０１３３】
図２３に、攻撃手口リスト１９１の具体例を示す。
攻撃手口リスト１９１は、１つ以上の攻撃手口情報を含む。
それぞれの攻撃手口情報は、識別子（ＩＤ）と攻撃手口名と優先度とを示す。
例えば、優先度閾値が「８」である場合、攻撃判定部１２０は、ＩＤ「Ｂ」の攻撃手口情報およびＩＤ「Ｃ」の攻撃手口情報などを攻撃手口リスト１９１から抽出する。
【０１３４】
図２２に戻り、ステップＳ５１２から説明を続ける。
ステップＳ５１２において、攻撃判定部１２０は、抽出された攻撃手口情報群から、未選択の攻撃手口情報を１つ選択する。
【０１３５】
ステップＳ５１３において、攻撃判定部１２０は、選択された攻撃手口情報に合致するログデータがログデータ集合に含まれるか判定する。
ステップＳ５１３は、実施の形態１におけるステップＳ１１２と同じである。
【０１３６】
ステップＳ５１４において、攻撃判定部１２０は、抽出された攻撃手口情報群の中に未選択の攻撃手口情報があるか判定する。
未選択の攻撃手口情報がある場合、処理はステップＳ５１２に進む。
未選択の攻撃手口情報がない場合、攻撃手口判定は終了する。
【０１３７】
図２４に基づいて、攻撃判定部１２０による攻撃シナリオ判定を説明する。
攻撃判定装置２１０による攻撃シナリオ判定は、攻撃判定部１２０による攻撃シナリオ判定と同じである。
【０１３８】
ステップＳ５２１において、攻撃判定部１２０は、攻撃シナリオリスト１９２から、優先度閾値以上の優先度を有する攻撃シナリオ群を抽出する。
【０１３９】
図２５に、攻撃シナリオリスト１９２の具体例を示す。
攻撃シナリオリスト１９２は、１つ以上の攻撃シナリオ情報を含む。
それぞれの攻撃シナリオ情報は、識別子（ＩＤ）と攻撃シナリオと優先度とを示す。
例えば、優先度閾値が「８」である場合、攻撃判定部１２０は、ＩＤ「２」の攻撃シナリオなどを攻撃シナリオリスト１９２から抽出する。
【０１４０】
図２４に戻り、ステップＳ５２２から説明を続ける。
ステップＳ５２２において、攻撃判定部１２０は、抽出された攻撃シナリオ群から、未選択の攻撃シナリオを１つ選択する。
【０１４１】
ステップＳ５２３において、攻撃判定部１２０は、選択された攻撃シナリオに合致するログデータ群がログデータ集合に含まれるか判定する。
ステップＳ５２３は、実施の形態１におけるステップＳ１２２と同じである。
【０１４２】
ステップＳ５２４において、攻撃判定部１２０は、抽出された攻撃シナリオ群の中に未選択の攻撃シナリオがあるか判定する。
未選択の攻撃シナリオがある場合、処理はステップＳ５２２に進む。
未選択の攻撃シナリオがない場合、攻撃シナリオ判定は終了する。
【０１４３】
＊＊＊実施の形態５の効果＊＊＊
実施の形態５により、システム状況を考慮して判定内容を制御することができる。そのため、システム状況に関わらず、攻撃検知の少なくとも一部を継続させることが可能となる。
【０１４４】
＊＊＊実施の形態５の補足＊＊＊
実施の形態５は、実施の形態２と組み合わせて実施されてもよい。つまり、実施の形態５において、攻撃判定依頼部１１４は、通信状況の変化に応じて攻撃判定の依頼先を変更してもよい。
【０１４５】
＊＊＊実施の形態の補足＊＊＊
図２６に基づいて、車載システム１００のうちの攻撃検知装置のハードウェア構成を説明する。
車載システム１００は処理回路１０９を備える。
処理回路１０９は、実行制御部１１０と攻撃判定部１２０とログ取得部１３１とログ管理部１３２とを実現するハードウェアである。
処理回路１０９は、専用のハードウェアであってもよいし、メモリ１０２に格納されるプログラムを実行するプロセッサ１０１であってもよい。
【０１４６】
処理回路１０９が専用のハードウェアである場合、処理回路１０９は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡまたはこれらの組み合わせである。
ＡＳＩＣは、Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔの略称である。
ＦＰＧＡは、Ｆｉｅｌｄ  Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙの略称である。
【０１４７】
車載システム１００は、処理回路１０９を代替する複数の処理回路を備えてもよい。複数の処理回路は、処理回路１０９の役割を分担する。
【０１４８】
車載システム１００において、一部の機能が専用のハードウェアで実現されて、残りの機能がソフトウェアまたはファームウェアで実現されてもよい。
【０１４９】
このように、処理回路１０９はハードウェア、ソフトウェア、ファームウェアまたはこれらの組み合わせで実現することができる。
【０１５０】
実施の形態は、好ましい形態の例示であり、本発明の技術的範囲を制限することを意図するものではない。実施の形態は、部分的に実施してもよいし、他の形態と組み合わせて実施してもよい。フローチャート等を用いて説明した手順は、適宜に変更してもよい。
【０１５１】
車載システム１００の要素である「部」は、「処理」または「工程」と読み替えてもよい。
【符号の説明】
【０１５２】
１００  車載システム、１０１  プロセッサ、１０２  メモリ、１０３  補助記憶装置、１０４  通信装置、１０９  処理回路、１１０  実行制御部、１１１  ログデータ集合取得部、１１２  通信状況確認部、１１３  依頼先決定部、１１４  攻撃判定依頼部、１１５  判定内容決定部、１１６  システム状況確認部、１２０  攻撃判定部、１３１  ログ取得部、１３２  ログ管理部、１９０  記憶部、１９１  攻撃手口リスト、１９２  攻撃シナリオリスト、２００  攻撃検知システム、２０１  クラウド、２０２  外部ネットワーク、２１０  攻撃判定装置、２２０  車両。
【図１】
0006896194.tif 000002
【図２】
0006896194.tif 000003
【図３】
0006896194.tif 000004
【図４】
0006896194.tif 000005
【図５】
0006896194.tif 000006
【図６】
0006896194.tif 000007
【図７】
0006896194.tif 000008
【図８】
0006896194.tif 000009
【図９】
0006896194.tif 000010
【図１０】
0006896194.tif 000011
【図１１】
0006896194.tif 000012
【図１２】
0006896194.tif 000013
【図１３】
0006896194.tif 000014
【図１４】
0006896194.tif 000015
【図１５】
0006896194.tif 000016
【図１６】
0006896194.tif 000017
【図１７】
0006896194.tif 000018
【図１８】
0006896194.tif 000019
【図１９】
0006896194.tif 000020
【図２０】
0006896194.tif 000021
【図２１】
0006896194.tif 000022
【図２２】
0006896194.tif 000023
【図２３】
0006896194.tif 000024
【図２４】
0006896194.tif 000025
【図２５】
0006896194.tif 000026
【図２６】
0006896194.tif 000027