特開 2022-172456 車両の電子データシステムへの侵入の検知／評価

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022172456

(43)【公開日】2022-11-16

(54)【発明の名称】車両の電子データシステムへの侵入の検知／評価

(51)【国際特許分類】

   H04L 43/04 20220101AFI20221109BHJP

   B60W 50/02 20120101ALI20221109BHJP

   B60R 16/023 20060101ALI20221109BHJP

   H04L 12/28 20060101ALI20221109BHJP

【ＦＩ】

H04L43/04

B60W50/02

B60R16/023 Z

H04L12/28 100A

【審査請求】未請求

【請求項の数】16

【出願形態】ＯＬ

【外国語出願】

(21)【出願番号】P 2022075715

(22)【出願日】2022-05-02

(31)【優先権主張番号】10 2021 204 409.3

(32)【優先日】2021-05-03

(33)【優先権主張国・地域又は機関】DE

(71)【出願人】

【識別番号】591245473

【氏名又は名称】ロベルト・ボッシュ・ゲゼルシャフト・ミト・ベシュレンクテル・ハフツング

【氏名又は名称原語表記】ＲＯＢＥＲＴ ＢＯＳＣＨ ＧＭＢＨ

(74)【代理人】

【識別番号】100118902

【弁理士】

【氏名又は名称】山本 修

(74)【代理人】

【識別番号】100196508

【弁理士】

【氏名又は名称】松尾 淳一

(74)【代理人】

【識別番号】100195408

【弁理士】

【氏名又は名称】武藤 陽子

(72)【発明者】

【氏名】パウリウス・デュプリイス

【テーマコード（参考）】

3D241

5K033

【Ｆターム（参考）】

3D241BA65

3D241CD21

5K033AA08

5K033BA06

5K033DB20

5K033EA06

(57)【要約】      （修正有）

【課題】車両の電子データシステムへの侵入を検知／評価するコンピュータ実装方法、サーバ及び車両を提供する。
【解決手段】車両の電子データシステムへの侵入を検知および／または評価するためのコンピュータ実装方法であって、車両の電子データシステムのノードの集合のノード毎にデータを受信するステップと、データに基づいて車両状態を計算するステップと、少なくとも車両状態に基づいて、車両の電子データシステムへの侵入を検知および／または評価するステップと、を含む。車両の電子データシステム及び任意で、さらなる車両の集合のさらなる各車両の各電子データシステムが、ネットワークに接続されている車両セキュリティマネジメントシステムにおいて、ネットワーク内のサーバ２００は、コンピュータ実装方法を実施する。
【選択図】図１

【特許請求の範囲】

【請求項1】

車両の電子データシステムへの侵入を検知および／または評価するためのコンピュータ実装方法（１００）であって、
－ 車両の電子データシステムのノードの集合のノードごとにデータを受信（１１０）するステップと、
－ 前記データに基づいて車両状態を計算（１２０）するステップと、
－ 少なくとも前記車両状態に基づいて、前記車両の前記電子データシステムへの侵入を検知（１３０ａ）および／または評価（１３０ｂ）するステップと、
を含む、方法（１００）。

【請求項2】

－ さらなる車両の集合のさらなる車両ごとに、前記さらなる車両の電子データシステムのノードの集合のノードごとにさらなるデータを受信（１１１）するステップと、
－ 前記さらなる車両の集合のさらなる車両ごとに、前記さらなる車両の前記さらなるデータに基づいてさらなる車両状態を計算（１２１）するステップと、をさらに含み、
前記車両の前記電子データシステムへの前記侵入を検知（１３０ａ）および／または評価（１３０ｂ）することは、少なくとも１つのさらなる車両状態にも基づく、請求項１に記載の方法（１００）。

【請求項3】

前記車両の前記電子データシステムは制御システムを含み、前記電子データシステムの前記ノードの集合の少なくとも１つのノードが電子制御ユニット（ＥＣＵ）である、請求項１または２に記載の方法（１００）。

【請求項4】

前記車両の前記電子データシステムの前記ノードの集合が、少なくとも２つのノードを含む、請求項１から３のいずれか１項に記載の方法（１００）。

【請求項5】

前記さらなる車両の集合が、少なくとも１つのさらなる車両を含む、請求項１から４のいずれか１項に記載の方法（１００）。

【請求項6】

前記データに基づいて前記車両状態を前記計算（１２０）するステップが、
－ 前記車両のデジタルツインに前記データを供給（１２２ａ）するステップと、
－ 前記デジタルツインによって前記車両状態を計算（１２２ｂ）するステップと、
－ 任意で、前記デジタルツインに前記車両状態を記憶（１２２ｃ）するステップと、を含む、
請求項１から５のいずれか１項に記載の方法（１００）。

【請求項7】

前記さらなる車両の集合のさらなる車両ごとに、前記さらなるデータに基づいて前記さらなる車両状態を計算（１２１）するステップが、
－ 前記さらなる車両のさらなるデジタルツインに前記データを供給（１２３ａ）するステップと、
－ 前記さらなるデジタルツインによって前記さらなる車両状態を計算（１２３ｂ）するステップと、
－ 任意で、前記さらなるデジタルツインに前記さらなる車両状態を記憶（１２３ｃ）するステップと、を含む、
請求項１から６のいずれか１項に記載の方法（１００）。

【請求項8】

－ 任意で前記デジタルツインから、以前の時点における少なくとも１つの以前の車両状態を受信（１４０）するステップ、を含み、
前記車両の前記電子データシステムへの前記侵入を検知（１３０ａ）および／または評価（１３０ｂ）するステップは、少なくとも１つの以前の車両状態にも基づく、
請求項１から７のいずれか１項に記載の方法（１００）。

【請求項9】

－ 任意で前記さらなるデジタルツインから、以前の時点における少なくとも１つの以前のさらなる車両状態を受信（１４１）するステップ、を含み、
前記車両の前記電子データシステムへの前記侵入を検知（１３０ａ）および／または評価（１３０ｂ）することは、少なくとも１つの以前のさらなる車両状態にも基づく、
請求項１から８のいずれか１項に記載の方法（１００）。

【請求項10】

－ 前記車両の前記電子データシステムによって特定された異常状態を受信（１５０）するステップであって、
前記車両の前記電子データシステムへの前記侵入を評価（１３０ｂ）するステップが、さらに、少なくとも前記異常状態に基づき、かつ、少なくとも前記異常状態を含む、ステップと、
－ 少なくとも１つの所定の評価基準が満たされる場合、前記異常状態を確認（１３１）するステップであって、任意で前記侵入を確認するステップと、をさらに含む、
請求項１から９のいずれか１項に記載の方法（１００）。

【請求項11】

前記車両の前記電子データシステムへの前記侵入を検知（１３０ａ）することが、少なくとも１つの所定の検知基準が満たされた場合に行われる、
請求項１から１０のいずれか１項に記載の方法（１００）。

【請求項12】

検知（１３０ａ）された侵入および／または確認（１３１、１３２）された侵入、任意で評価（１３０ｂ）された非侵入が、前記車両の前記電子データシステムに伝送される、請求項１から１１のいずれか１項に記載の方法（１００）。

【請求項13】

検知（１３０ａ）された侵入および／または確認（１３１、１３２）された侵入の場合、前記電子データシステムの少なくとも１つのノード、任意で少なくとも１つの制御装置が、前記侵入について前記車両のユーザに通知し、および／または前記侵入に対応する運転操作を開始させる、請求項１２に記載の方法（１００）。

【請求項14】

請求項１から１３のいずれか１項に記載の、車両の前記電子データシステムへの侵入を検知および／または評価するためのコンピュータ実装方法（１００）を実施するように構成されたネットワーク内のサーバ（２００）であって、前記車両の前記電子データシステム、および任意で、さらなる車両の集合のさらなる各車両の各電子データシステムが、前記ネットワークに接続されている、サーバ（２００）。

【請求項15】

前記車両の前記デジタルツイン、および任意で、さらなる車両ごとのさらなる各デジタルツインが、前記サーバ（２００）に実装されている、
請求項１４に記載のサーバ（２００）。

【請求項16】

請求項１から１３のいずれか１項に記載の、前記車両の前記電子データシステムへの侵入を検知および／または評価するためのコンピュータ実装方法（１００）に従って保護されている、電子データシステムを含む車両。

【発明の詳細な説明】

【背景技術】

【0001】

例えば車両などの電子機械技術システムは、１つまたは複数の電子データシステムを有することが多い。例えば、電子機械技術システムは、少なくとも１つの電子データシステム、例えば少なくとも１つのバスシステム内で相互作用できる多数の（電子）制御装置を含んでもよい。そのような技術システムの機能は、通常、この相互作用に大きく依存する。例えば、非自律走行車両においてさえ、１００個超の（電子）制御装置、例えばエンジン制御部、変速機制御部、アンチロックブレーキシステム／走行動特性制御部、エアバッグ、ボディコントロールユニット、運転支援システム、カーアラームシステム等のための１００個超の（電子）制御装置が、ノードとして少なくとも１つの電子データシステムを介して互いにネットワーク接続されていてもよい。技術システムのデジタル化、ならびに自動化およびネットワーク接続が増加すると、電子データシステムが大きくなるか（すなわち、ノードが増える）、または複数の電子データシステムが（例えばゲートウェイを介して）組み合わされる場合がある。

【0002】

技術システム、特に車両の制御装置がＣＡＮバスを介して接続され、ＣＡＮプロトコルに従って互いに通信することができるコントロールエリアネットワーク（ＣＡＮ）は、マルチマスタの原理に従った、既知な標準化されたシリアルバスシステムであり、そこではＣＡＮ内の全ての制御装置が同等である。例えば、（現在では様々なバージョンの）ＣＡＮおよび／またはＣＡＮの影響を受けた発展例は、あらゆる種類の電子機械技術システムにおいて（例えば自動車産業、オートメーション技術、リフトシステム、医療技術、航空および宇宙飛行技術、鉄道車両建設、造船、…において）使用することができる。従来技術では、ＣＡＮおよび／またはＣＡＮの影響を受けた発展例（ＣＡＮ等と略される）に対する代替通信システムおよび／または通信プロトコルが、特に車両について知られている。

【0003】

電子データシステム、特にＣＡＮ等は、ＣＡＮバスを介したデータ伝送が、例えば電磁両立性（Ｅｌｅｃｔｒｏｍａｇｎｅｔｉｃ Ｃｏｍｐａｔｉｂｉｌｉｔｙ：ＥＭＣ）などの観点から、外部のランダムな干渉から可能な限り独立するように開発されてきたし開発されている。例えば、ＣＡＮバスは２本の撚り線（ＣＡＮ＿ＨＩＧＨ、ＣＡＮ＿ＬＯＷ）によって実現され、ひいては対称の信号伝送が達成される。それにより、ＣＡＮ等は、特に、高いデータセキュリティが重要な安全関連分野において（例えば車両において）も実証されている。例えばＣＡＮ等の電子データシステムは、（例えば暗号を使わないことによって）比較的単純でロバストかつ高速であるが、一方で、（例えばマルチマスタの原理および／または暗号の欠如により）外部からの意図的な攻撃および／または操作の影響を受けやすい場合がある。

【0004】

一般的に、電子データシステム、特にバスシステムへのそのような侵入は、例えば、電子データシステムの追加的で意図しないノードから、または、電子データシステムの意図したが侵入されたノードから、メッセージ（フレームともいう）を送信することを含む場合がある。そのようなメッセージは、電子データシステムの意図したノードの通信を妨害する可能性がある。特に、この場合、意図的に騙すことによって（例えば、意図したノードの認識符号／識別子を設定することによって）偽のメッセージが送信され、このメッセージが、電子データシステムおよび／または関連する技術システム、特に車両の動作に悪影響を与え得る場合がある。技術システムのデジタル化の増加（インターフェース、例えば現在では一般的な車両内マルチメディアインターフェースの増加）、ならびに自動化およびネットワーク接続の過程で、侵入が起こり得る攻撃領域はますます拡大している。そのため、電子システムを侵入から保護することが重要である。

【0005】

従来技術では、電子データシステムへの侵入を低統合レベルで（例えば、電子データシステムのレベルで）検知するように構成された侵入検知システム（ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｓｙｓｔｅｍｓ、ＩＤＳ）が既に知られている。そのような侵入検知システムの例は、ＥＴＡＳ／ＥＳＣＲＹＰＴのＣｙｃｕｒＩＤＳ、ＡＲＧＵＳのＩｎ－ｖｅｈｉｃｌｅ Ｎｅｔｗｏｒｋ Ｐｒｏｔｅｃｔｉｏｎ、またはＡＲＩＬＯＵのＳｅｎｔｉｎｅｌ－ＣＡＮである。電子データシステムへの侵入が侵入検知システムによって検知される場合、例えばノードに、文書化と後の分析とのために、ログを記録することができる。代替的または追加的に、ユーザインターフェースを介して、技術システム（例えば車両）のユーザ（例えば運転者または乗員）または別のサービスポイントに情報提供することができる。これらの受動的な反応に対して追加的または代替的に、特に電子データシステムおよび／または関連する技術システムの操作を（適時に）防ぐために、能動的で可能な限り直後の反応が望まれる場合がある。バスシステムでは、例えばエラーメッセージ（エラーフレームともいう）をバス、ひいてはバスシステムの全ノードに送信することができる。

【発明の概要】

【課題を解決するための手段】

【0006】

本開示の第１の一般的態様は、車両の電子データシステムへの侵入を検知および／または評価するためのコンピュータ実装方法に関する。本方法は、車両の電子データシステムのノードの集合のノードごとにデータを受信することを含む。本方法は、データに基づいて車両状態を計算することをさらに含む。本方法は、少なくとも車両状態に基づいて、車両の電子データシステムへの侵入を検知することをさらに含んでもよい。代替的または追加的に、本方法は、少なくとも車両状態に基づいて、車両の電子データシステムへの侵入を評価することを含んでもよい。

【0007】

本開示の第２の一般的態様は、第１の一般的態様（またはその一実施形態）に記載の、車両の電子データシステムへの侵入を検知および／または評価するためのコンピュータ実装方法を実施するように構成されたネットワーク内のサーバであって、車両の電子データシステム、および任意で、さらなる車両の集合のさらなる各車両の各電子データシステムが、ネットワークに接続されている、サーバに関する。

【0008】

本開示の第３の一般的態様は、第１の一般的態様（またはその一実施形態）に記載の、車両の電子データシステムへの侵入を検知および／または評価するためのコンピュータ実装方法に従って保護されている電子データシステムを含む車両に関する。

【0009】

従来技術において既に記載したように、車両の電子データシステムへの侵入を（適時に）検知することは、車両および場合によってはそのユーザ（例えば、運転者および／または乗客）に対しても、車両の周辺（例えば、さらなる道路利用者を含む）に対しても車両の安全な動作を保証できるようにするために、非常に重要である。たとえ車両の電子データシステムへの侵入の原則的な防止を試みることもできるとしても、歴史が示すように、（十分に）保護された電子データシステムであっても、いつかは侵入が成功する。その理由は、例えば、特に車両のような技術システムは、ある一定の動作期間で（例えば１０から２０年で）想定しているため、保護のための技術と、侵入するおよび／または保護を回避するための技術との間で常に競争が行われていることにある可能性がある。さらに、技術システムのデジタル化の増加（インターフェース、例えば現在では一般的な車両内マルチメディアインターフェースの増加）、ならびに自動化およびネットワーク接続の過程で、起こり得る侵入のためのおよび／または保護を回避するための攻撃領域が増加していることが確かめられ得る。そのため、車両の電子システムへの侵入を検知するように構成された、車両用の少なくとも１つの（車載または車外）侵入検知システムを設けることが重要である。侵入によって引き起こされた有害な干渉を防ぐために、侵入検知システムは、可能な限り適時に介入および／または警告できることが望ましい。

【0010】

しかしながら、侵入の検知は時々エラーであることがある。これは、例えば、車両およびまた電子データシステムなどの技術システムは、通常、複雑度が高度であり、例えば、自動運転の際のようにオープンコンテキストの対象となり得るということに起因する場合がある。実際の侵入が検知されない可能性（この場合を英語ではｆａｌｓｅ ｐｏｓｉｔｉｖｅ：偽陽性と呼び得る）の他に、非侵入を侵入と誤検知することがさらに可能である（この場合を英語ではｆａｌｓｅ ｎｅｇａｔｉｖｅ：偽陰性と呼び得る）。検知されない侵入（偽陽性ケース）が、侵入検知システムの誤作動を示す可能性があり、したがって望ましくないのに対し、検知された侵入疑惑（陰性陽性ケース）は、通常の場合でも（すなわち、実際の侵入がなくても）、技術システム、特に車両の機能性を妨害さえし得る。例えば、車両のユーザのデジタルスマートデバイスがマルチメディアインターフェースを介して車両の電子データシステムに接続され、その後、ユーザがサービスを訪問するように要求される時に、車両への侵入疑惑が毎回検知されるとしたら、それは受け入れがたいであろう。そのため、（車載および／または車外）侵入検知システムにより侵入と判定された事象（状況ともいう）を評価、場合によって確認できることが重要である場合がある。

【0011】

そのため、コンピュータ実装方法において（またはその実施形態において）提案されているように、侵入を検知および／または評価する際に、車両の車両状態を考慮することが有利な場合がある。したがって、事象／状況をより広いコンテキストにおいて考察する、ひいてはより良好に評価することができる。従来技術で知られているように、車両の電子データシステムの単一の制御装置が侵入検知システムを有することができるのに対し、特に、通常、制御装置はそれらを統合する技術システムから独立して開発および配布されるため、統合レベルが低く、そのためより包括的な車両状態を考慮することはまず可能ではないであろう。実際、例えば、同一の制御装置が、様々な車両における、様々な車両プロジェクトにおける、および／または異なる車両メーカー（オリジナル機器メーカーともいう、英語：ｏｒｉｇｉｎａｌ ｅｑｕｉｐｍｅｎｔ ｍａｎｕｆａｃｔｕｒｅｒ、ＯＥＭ）向けの使用のために構想されている場合がある。さらに、さらなる制御装置からの知見を、侵入の検知および／または評価に統合することが有利な場合がある。それにより、同様に、コンテキストを増やし、より確実に侵入を検知および／または評価することができる。

【0012】

コンピュータ実装方法において（またはその実施形態において）さらに提案されるように、コンテキストを車両群まで拡張することが有利な場合があり、その際車両群は、例えば車両メーカー、車両プロジェクトおよび／または定義された車両プロジェクト状態（特に定義されたソフトウェア状態）の多数の車両を含む場合がある。この場合、多数の車両のデータおよび評価を、サーバを介してまとめることができるため、（第２の一般的態様に記載の）ネットワーク内のサーバが特に有用なことが明らかになる場合がある。一方で、既に１つの車両に対してもネットワーク内のサーバが有利な場合がある。例えば、車両内の演算能力および／または記憶容量は、例えば費用の理由から制限される場合がある。これに対して、サーバには、例えば、またデータおよび／または車両状態に基づく信頼性の高い検知および／または評価に必要な（専用の）ハードウェアが提供される場合がある。

【0013】

サーバによって検知および／または確認された侵入（および例えば提案された対策）は、車両におよび／または車両群のさらなる車両に伝送することができる。したがって、車両および／またはさらなる車両は、侵入に対して適時反応することができる。

【0014】

サーバは、車両に存在する侵入検知システムが静的であることが多いという点で、さらに有利であり得る。実際、侵入検知システムにおいては、例えばロバスト性および／またはセキュリティの理由から、開発の特定の時点で侵入の検知および／または評価のための静的なルール／アルゴリズム／データが実装され（「ハードコーディング」）、これらは全動作時間の間有効にされているべきである。その上、ソフトウェアのアップデートはサービス内で行うことができる。しかし、保護と侵入との間の競争は、そのようなサービス間隔よりも速く進むことが多い。技術的には、そのようなルール／アルゴリズム／データを、例えばいわゆる無線ソフトウェアアップデートにおいて車両の動作中に更新することが可能であろう。しかしこれは、実際には、とりわけそれによって新たな攻撃領域が生じることになるため、これまでまったくまたはほとんど使用されていない。これに対して、サーバには、侵入の検知および／または評価のアルゴリズムにおいて新しい知見を考慮することができる。

【図面の簡単な説明】

【0015】

【図1】少なくとも１台の車両と車両セキュリティマネジメントシステム（英語：ｖｅｈｉｃｌｅ ｓｅｃｕｒｉｔｙ ｉｎｃｉｄｅｎｔ ａｎｄ ｅｖｅｎｔ ｍａｎａｇｅｍｅｎｔ（ＶＳＩＥＭ）ｓｙｓｔｅｍ）を備えた例示的な一実施形態を示す図である。

【図2】車両の電子データシステムへの侵入を検知および／または評価するためのコンピュータ実装方法を概略的に示す図である。

【図3】車両の電子データシステムへの侵入を検知および／または評価するためのコンピュータ実装方法の実施形態を概略的に示す図である。

【図4a】車両の電子データシステムへの侵入を検知および／または評価するための例示的な機能依存関係を示す図である。

【図4b】車両の電子データシステムへの侵入を検知および／または評価するための例示的な機能依存関係を示す図である。

【図4c】車両の電子データシステムへの侵入を検知および／または評価するための例示的な機能依存関係を示す図である。

【図4d】車両の電子データシステムへの侵入を検知および／または評価するための例示的な機能依存関係を示す図である。

【図4e】車両の電子データシステムへの侵入を検知および／または評価するための例示的な機能依存関係を示す図である。

【発明を実施するための形態】

【0016】

コンピュータ実装方法１００は、車両の電子データシステムへの侵入を検知および／または評価することを目的とする。それにより、セキュリティが高められ、または攻撃領域がますますより拡大した場合にもセキュリティが確保されるべきである。その実施形態において、方法１００は、必ずしも車両ではないが、それぞれが少なくとも１つの電子データシステムを含む１つまたは多数の技術システムにも一般化できる。

【0017】

図１は、いかに車両（ここでは、車両１）の制御装置（ここでは、ＥＣＵ１、車両１）から開始して、電子データシステムへの侵入の検知および／または評価のためのコンテキストを、さらなる車両のさらなるノード／制御装置（ここでは、ＥＣＵ２、．．．、車両１）およびノード／制御装置（ここでは、ＥＣＵ１、ＥＣＵ２、．．．、車両２、．．．）へ拡張できるかを可視化している。例えば、（さらなる）データは、これら全てのノード／制御装置から、任意でそれぞれ１つの（さらなる）デジタルツイン（ここでは、デジタルツイン１、デジタルツイン２、．．．）を介して、コンピュータ実装方法１００（またはその一実施形態）を実施するように構成されていてもよいＶｅｈｉｃｌｅ Ｓｅｃｕｒｉｔｙ Ｉｎｃｉｄｅｎｔ ａｎｄ Ｅｖｅｎｔ Ｍａｎａｇｅｍｅｎｔ（ＶＳＩＥＭ）システムへ伝送することができる。ＶＳＩＥＭシステムは、サーバ２００に実装されていてもよい。

【0018】

車両および／またはさらなる各車両は、それぞれ、車両内に侵入検知システム（ＩＤＳ）を有してもよく、このシステムは、侵入を（暫定的に）評価するように構成されていてもよい。例えば、ここではそれぞれ（さらなる）異常状態を特定し、それを同様にＶＳＩＥＭシステムに伝送してもよい。

【0019】

開示されるのは、車両の電子データシステムへの侵入を検知および／または評価するためのコンピュータ実装方法１００である。すなわち、方法１００は、車両の電子データシステムへの侵入を検知するための方法であってもよい。代替的または追加的に、方法１００は、車両の電子データシステムへの侵入を評価するための方法であってもよい。この方法は、車両の電子データシステムのノードの集合のノードごとにデータを受信１１０することを含んでもよい。方法１００は、データに基づいて車両状態を計算１２０することをさらに含んでもよい。本方法は、少なくとも車両状態に基づいて、車両の電子データシステムへの侵入を検知１３０ａおよび／または評価１３０ｂすることをさらに含んでもよい。図２は、車両の電子データシステムへの侵入を検知および／または評価するためのコンピュータ実装方法を概略的に示す。コンピュータ実装方法の様々な実施形態が図３に概略的に示され、まとめられている。

【0020】

電子データシステムへの侵入の検知は、少なくとも１つの所定の検知基準に基づいてもよい。少なくとも１つの所定の検知基準は、所定の（静的な）規則を含んでもよい。代替的または追加的に、侵入の検知は、分類アルゴリズム（例えば、例えばサポートベクターマシンまたは人工ニューラルネットワークなどの学習済み機械学習アルゴリズム）および／または回帰アルゴリズム（例えば、例えば人工ニューラルネットワークなどの学習済み機械学習アルゴリズム）に基づいてもよい。電子データシステムへの侵入の検知は、少なくとも１つの所定の検知基準に基づいて、ノードの集合の少なくとも１つのノードのデータに異常／不整合があるかどうかを検査することを含んでもよい。そのような検査は、車両の動作中（ただし、必ずしも車両内である必要はない）、時点ごとに（例えば、各割込みにおいて）行うことができる。

【0021】

電子データシステムへの侵入の評価は、少なくとも１つの所定の評価基準に（および／または少なくとも１つの所定の検知基準に）基づいてもよい。少なくとも１つの所定の評価基準は、所定の（静的な）規則を含んでもよい。代替的または追加的に、侵入の評価は、分類アルゴリズム（例えば、例えばサポートベクターマシンまたは人工ニューラルネットワークなどの学習済み機械学習アルゴリズム）および／または回帰アルゴリズム（例えば、例えば人工ニューラルネットワークなどの学習済み機械学習アルゴリズム）に基づいてもよい。電子データシステムへの侵入の評価は、発見された異常／不整合をデータに基づいて確認できるかどうかを検査することを含んでもよい。そのような検査は、車両の動作中（ただし、必ずしも車両内である必要はない）、時点ごとに（例えば、各割込みにおいて）行うことができる。

【0022】

少なくとも１つの評価基準は、少なくとも１つの所定の検知基準であってもよい。
侵入の検知は、既に暗黙的に侵入の評価を含んでもよい。

【0023】

車両の電子データシステムのノードの集合は、車両の電子データシステムを介して互いにネットワーク接続されていてもよい車両の制御装置の集合であってもよい。したがって、１つの／各ノードが制御装置であってもよい。代替的に、（少なくとも）１つのノードは、必ずしも制御装置ではない電子装置であってもよい。したがって、そのような電子装置は、必ずしも車両の技術（サブ）システムを制御する必要はない。電子データシステムは、例えば、ＣＡＮバスを有するＣＡＮ等であってもよい／を含んでもよい。電子データシステムは、また電子データシステムのネットワークであってもよい。例えば、複数のＣＡＮ等を、それぞれゲートウェイを介して相互接続することができる。

【0024】

ノードごとの、すなわち例えば制御装置ごとのデータは、技術システム、特に車両、および／またはその周辺を特徴付ける１つまたは複数の時間記録（例えば時系列）を含んでもよい。１つまたは複数の時間記録は、例えば、車両および／またはその周辺（例えば、さらなる道路利用者）の挙動に関する情報を記述することができる。時間記録は、例えば車速であってもよい。車速は、例えば、車両が走行しているかまたは停止しているかを評価するために利用することができる。ノードごとのさらなるデータ、下記参照、は、後述するが、データと同じ種類のものでよいが、さらなる車両に関するという条件が付く。図４ａ～図４ｅにおいて、１番目の制御装置Ｅ_１のデータをＤ_１、．．．ｍ番目の制御装置Ｅ_ｍのデータをＤ_ｍとする。

【0025】

車両状態は、侵入の検知におよび／または評価に関連する情報を含んでもよい。これらの情報は、車両に対して普遍的に通用する情報（例えば車速など）以外に、車両のアーキテクチャに依存してもよい。さらに、これらの情報（またはその一部）は、（具体的な）車両に依存してもよい（例えば、車両内に設置されたソフトウェア状態）。車両状態は、走行状態を含んでもよい。例えば、情報は、また電子データシステムの１つまたは複数のノード（制御装置）の状態を含んでもよい。車両状態は、情報を符号化するデータ構造であってもよい。代替的または追加的に、車両状態は、例えば数、ベクトル、行列、またはテンソルなどの数値オブジェクトを含んでもよい。車両状態は、バイト列またはビット信号列として符号化されていてもよい。車両（ｖ）または多数の車両における第１の車両（ｖ_１）、．．．、ｎ番目の車両（ｖ_ｎ）の車両状態は、数学的オブジェクトＳ_ｖまたは

【数1】

、．．．、

【数2】

として表現することができる。

【0026】

車両の電子データシステムへの侵入の検知１３０ａおよび／または評価１３０ｂは、侵入の検知および／または評価に関する情報を含む結果をもたらすことができる。例えば、結果は侵入／非侵入のビットを含んでもよい。代替的または追加的に、結果は、侵入の確率と相関する（例えば、確率０の場合は０、または確率１の場合は１）（準）連続数（例えば、実数［０、１］の区間内）を含んでもよい。代替的または追加的に、結果は侵入確認／侵入未確認のビットを含んでもよい。代替的または追加的に、結果は、例えばルーチンの数値符号化による処置を含んでもよい。結果は、情報を符号化するデータ構造であってもよい。代替的または追加的に、結果は、例えば数値、ベクトル、行列、またはテンソルなどの数値オブジェクトを含んでもよい。結果は、バイトまたはビット信号列として符号化されていてもよい。

【0027】

車両の電子データシステムへの侵入の検知１３０ａおよび／または評価１３０ｂが少なくとも車両状態に基づくことで、その結果は、少なくとも車両の車両状態Ｓ_ｖに依存する関数ｆの値として表現することができる：
ｆ（Ｓ_ｖ）
方法１００は、さらなる車両の集合のさらなる車両ごとに、さらなる車両の電子データシステムのノードの集合のノードごとにさらなるデータを受信１１１することをさらに含んでもよい。

【0028】

方法１００は、さらなる車両の集合のさらなる車両ごとに、さらなる車両のさらなるデータに基づいてさらなる車両状態を計算１２１することをさらに含んでもよい。車両の電子データシステムへの侵入を検知１３０ａおよび／または評価１３０ｂすることは、さらに、少なくとも１つのさらなる車両状態に基づいてもよい。なお、さらなる車両の集合は、多数の車両（単数の車両を除く）であってもよい。（それぞれの）さらなる車両は、さらなる車両の集合からの別の車両であってもよい。（それぞれの）さらなる車両の電子データシステムは、そのアーキテクチャおよび／またはデータ（例えば、ソフトウェア状態）に関して同一構造であってもよい（ただし、同一構造でなくてもよい）。ノードの集合は、多数の制御装置であってもよい。さらなる車両の電子データシステムのノードの集合は、車両の電子データシステムのノードの集合に対応してもよい（ただし、対応しなくてもよい）。

【0029】

車両の電子データシステムへの侵入の検知１３０ａおよび／または評価１３０ｂが、少なくとも１つのさらなる車両状態に基づくことで、その結果は、この場合も、少なくとも車両の車両状態

【数3】

および少なくとも１つのさらなる車両状態

【数4】

に依存する関数ｆの値として表現することができる：

【数5】

さらなるｎ－１台の車両について、ｎ－１＞１の場合、さらに以下の依存関係が生じる場合がある：

【数6】

そのような依存関係が図４ｅに記載されている。

【0030】

車両の電子データシステムは、制御システムを含んでもよい（または、制御システムであってもよい）。制御システムは、例えばＣＡＮ等であってもよい。電子データシステムのノードの集合の少なくとも１つのノードは、電子制御ユニット（ＥＣＵ）であってもよい。電子制御ユニットは、技術システム、特に車両を制御するか、またはその制御に寄与するように構成していてもよい。車両の電子データシステムのノードの集合は、少なくとも２つのノード（例えば２、３、４、５、＞５、＞１０、＞２０、＞５０、＞１００、＞２００）を含んでもよい。同様に、（それぞれの）さらなる車両の電子データシステムのノードの集合は、少なくとも２つのノード（例えば２、３、４、５、＞５、＞１０、＞２０、＞５０、＞１００、＞２００）を含んでもよい。さらなる車両の集合は、少なくとも１つのさらなる車両（例えば１、＞１、＞５、＞１０、＞１００、＞１ｅ３、＞１ｅ４、＞１ｅ５、＞１ｅ６）を含んでもよい。

【0031】

データに基づいて車両状態を計算１２０することは、図３に概略的に示されるように、車両のデジタルツインにデータを供給１２２ａすることを含んでよい。計算１２０は、デジタルツインによって車両状態を計算１２２ｂすることをさらに含んでもよい。計算１２０は、デジタルツインに車両状態を記憶１２２ｃすることをさらに含んでもよい。

【0032】

さらなる車両の集合のさらなる車両ごとに、さらなるデータに基づいてさらなる車両状態を計算１２１することは、図３に概略的に示されるように、さらなる車両のさらなるデジタルツインにデータを供給１２３ａすることを含んでもよい。さらなる車両の集合のさらなる車両ごとに、計算１２１は、さらなるデジタルツインによってさらなる車両状態を計算１２３ｂすることをさらに含んでもよい。さらなる車両の集合のさらなる車両ごとに、計算１２１は、さらなるデジタルツインにさらなる車両状態を記憶１２３ｃすることをさらに含んでもよい。

【0033】

デジタルツインは、車両のデジタル表現であってもよい。同様に、さらなる各デジタルツインは、それぞれのさらなる車両のデジタル表現であってもよい。デジタル表現は、それぞれ、（さらなる）データに基づく侵入の検知および／または評価に関連する範囲に、その現実の対応物（すなわち、車両またはそれぞれのさらなる車両）を可能な限り良く表すように構成されたシミュレーションを含んでもよい。（さらなる）車両の動作の時点ごとに、シミュレーションをこの時点まで拡張し、場合によって（さらなる）データと比較してもよい。利点は、例えば、その場合（さらなる）車両の動作の理解がある期間にわたって蓄積されることに見ることができる。それにより、（リアルタイム）侵入検知システムに比べて、より確実に侵入を検知および／または評価することができる。図１に示すように、デジタルツイン（ここでは、デジタルツイン１）および／またはさらなる各デジタルツイン（ここでは、デジタルツイン２、．．．）を、サーバ２００に実装していてもよい（ただし、実装しなくてもよい）。（さらなる）車両状態を記憶１２２ｃ、１２３ｃする場合、（さらなる）デジタルツインはバッファとして機能することができる。さらに、１つまたは複数の（さらなる）評価結果をバッファ記憶するために、この／各さらなるデジタルツインを利用してもよい。例えば、（さらなる）関連する運転状況を記憶することができ、それらを侵入の検知および／または評価において比較対象として考慮に入れてもよい。代替的に、（さらなる）デジタルツインは、また（さらなる）車両内に実装していてもよい。

【0034】

車両状態の計算１２０および／またはさらなる各車両状態の計算１２１は、図４ａ～図４ｅに示すように、挿図ｌによって表現することができる。そのような挿図は、デジタルツインからの計算規則および／またはそれぞれのさらなるデジタルツインからの計算規則を含んでもよい（ただし、含まなくてもよい）。

【0035】

図３に概略的に示されるように、方法１００は、任意でデジタルツインから、以前の時点における少なくとも１つの以前の車両状態を受信１４０することを含んでもよい。ここで、車両の電子データシステムへの侵入を検知１３０ａおよび／または評価１３０ｂは、さらに少なくとも、少なくとも１つ（または複数の）以前の車両状態に基づいてもよい。
車両の電子データシステムへの侵入の検知１３０ａおよび／または評価１３０ｂが少なくとも、少なくとも１つの以前の車両状態にさらに基づくことにより、その結果は、この場合も、少なくとも車両の車両状態

【数7】

および少なくとも１つの以前の車両状態

【数8】

に依存する関数ｆの値として表現することができる：

【数9】

そのような依存関係が図４ｃ～図４ｄに記載されている。

【0036】

侵入の検知１３０ａおよび／または評価１３０ｂが車両の複数の以前の車両状態に基づくと、これらの複数の以前の車両状態の選択は、フィルタ関数ｇによって実装されてもよく、（表記ゆれがある）オブジェクト

【数10】

は、以前の車両状態のベクトルを表す。さらに、バッファ記憶された評価結果（例えば、記憶された関連する運転状況）を、（表記のゆれを改めた）オブジェクト

【数11】

に、ひいては検知および／または評価に一緒に含んでもよい。そして、その結果の依存関係は、

【数12】

によって与えられていてもよく、図４ｄも参照のこと。

【0037】

図３に概略的に示されるように、方法１００は、任意でさらなるデジタルツインから、以前の時点における少なくとも１つの以前のさらなる車両状態を受信１４１することを含んでもよい。ここで、車両の電子データシステムへの侵入の検知１３０ａおよび／または評価１３０ｂは、さらに少なくとも、少なくとも１つの以前のさらなる車両状態に基づいてもよい。

【0038】

車両の電子データシステムへの侵入の検知１３０ａおよび／または評価１３０ｂが少なくとも、少なくとも１つの以前のさらなる車両状態にさらに基づくことにより、結果は、この場合も、少なくとも車両の車両状態

【数13】

および少なくとも１つの以前のさらなる車両状態

【数14】

に依存する関数ｆの値として表現することができる：

【数15】

【0039】

侵入の検知１３０ａおよび／または評価１３０ｂが、さらなる車両の複数の以前のさらなる運転状態に基づくと、これらの複数の以前の運転状態の選択は、（さらなる）フィルタ関数ｇによって実装されてもよく、（表記ゆれがある）オブジェクト

【数16】

は、さらなる車両の以前のさらなる車両状態のベクトルを表す。さらに、バッファ記憶されたさらなる評価結果（例えば、記憶されたさらなる関連する運転状況）を、（表記のゆれを改めた）オブジェクト

【数17】

に、ひいては検知および／または評価に一緒に含んでもよい。そして、その結果の依存関係は、

【数18】

によって与えられていてもよい。

【0040】

さらなるｎ－１台の車両について、ｎ－１＞１の場合、例えばさらに結果の以下の依存関係が生じる場合がある：

【数19】

【0041】

図３に概略的に示されるように、方法１００は、車両の電子データシステムによって（例えば、車両内の侵入検知システムによって）特定された異常状態を受信１５０することを含んでもよい。車両の電子データシステムへの侵入を評価１３０ｂすることは、その後、さらに少なくとも異常状態に基づいてもよく、かつ、少なくとも異常状態を含んでもよい。少なくとも１つの所定の評価基準が満たされる場合、異常状態を確認１３１すること、任意で侵入を確認することを含んでもよい。車両の電子データシステムへの侵入を評価１３０ｂすることは、さらに、少なくとも１つの所定の評価基準を満たさない場合、異常状態を拒否し、任意で侵入を拒否することを含んでもよい。

【0042】

異常状態（またはさらなる各異常状態、下記参照）は、侵入の検知および／または評価に関する情報を含んでもよい。異常状態（またはさらなる各異常状態）は、侵入の検知および／または評価の（暫定）結果、特に低い統合レベルにおける侵入検知システムの結果を含んでもよい。例えば、異常状態（またはさらなる各異常状態）は、侵入／非侵入のビットを含んでもよい。代替的または追加的に、異常状態（またはさらなる各異常状態）は、侵入の確率と相関する（例えば、確率０の場合は０、または確率１の場合は１）（準）連続数（例えば、実数［０、１］の区間内）を含んでもよい。代替的または追加的に、異常状態（またはさらなる各異常状態）は、侵入確認／侵入非確認のビットを含んでもよい。代替的または追加的に、異常状態（またはさらなる各異常状態）は、例えばルーチンの数値符号化による処置を含んでもよい。異常状態（またはさらなる各異常状態）は、情報を符号化するデータ構造であってもよい。代替的または追加的に、異常状態（またはさらなる各異常状態）は、数値、ベクトル、行列、またはテンソルなどの数値オブジェクトを含んでもよい。異常状態（またはさらなる各異常状態）は、バイト列またはビット信号列として符号化されていてもよい。異常状態（またはさらなる各異常状態）は、例えば、異常値、または複数の異常値および／もしくは侵入の検知／評価の中間結果からなるベクトルであってもよい。その際異常が存在するかは、１つまたは複数の異常値に依存する場合がある（例えば、異常値０は異常なしを意味し、一方で異常値１は異常、複数の異常値からの平均値を表す）。

【0043】

車両の電子データシステムへの侵入の評価１３０ｂがさらに少なくとも、少なくとも１つの異常状態に基づくことにより、結果は、この場合も、少なくとも車両の車両状態

【数20】

および少なくとも１つの異常状態

【数21】

に依存する関数ｆの値として表現することができる：

【数22】

図４ａには、そのような依存関係が記載されている。
さらなるｎ－１台の車両について、ｎ－１＞１の場合、例えばさらに結果の以下の依存関係が生じる場合がある：

【数23】

【0044】

図３に概略的に示されるように、方法１００は、さらなる車両の（第２の）集合のさらなる車両ごとに、それぞれさらなる車両の電子データシステムによって（例えば、さらなる車両内の侵入検知システムによって）特定された、さらなる異常状態を受信１５１することをさらに含んでもよい。車両の電子データシステムへの侵入を評価１３０ｂすることは、さらに少なくとも、少なくとも１つのさらなる異常状態に基づいても、かつ、少なくとも１つの所定の評価基準を満たした場合、異常状態を確認１３２し、任意で侵入を確認し、および／または少なくとも１つのさらなる異常状態を確認することを含んでもよい。この場合、車両の電子データシステムへの侵入が必ずしも存在している必要はない。その代わりに、さらなる車両において検知および確認された侵入を車両において先行して処理してもよい。例えば、車両のユーザに、起こり得る侵入について警告し、および／または、（例えばソフトウェア更新のために）サービスを訪問するよう要求してもよい。車両の電子データシステムへの侵入を評価１３０ｂすることは、さらに、少なくとも１つの所定の評価基準を満たさない場合、少なくとも１つのさらなる異常状態を拒否し、任意で侵入を拒否することを含んでもよい。さらなる車両の（第２の）集合は、さらなる車両の集合であってもよいが、さらなる車両の集合でなくてもよい。

【0045】

車両の電子データシステムへの侵入の評価１３０ｂが、さらに少なくとも、少なくとも１つのさらなる異常状態に基づくことにより、結果は、この場合も、少なくとも車両の車両状態

【数24】

および少なくとも１つのさらなる異常状態

【数25】

に依存する関数ｆの値として表現することができる：

【数26】

さらなるｎ－１台の車両について、ｎ－１＞１の場合、例えばさらに結果の以下の依存関係が生じる場合がある：

【数27】

最後に述べた依存関係を図４ｂに示す。さらなる依存関係は、

【数28】

であってもよい。

【0046】

車両の電子データシステムへの侵入を検知１３０ａすることは、少なくとも１つの所定の検知基準が満たされた場合に行われ得る。一方で、少なくとも１つの所定の検知基準を満たさない場合、非侵入が存在している場合がある。

【0047】

検知１３０ａされた侵入および／または確認（１３１、１３２）された侵入、任意で評価１３０ｂされた非侵入は、車両の電子データシステムに伝送されてもよい。検知１３０ａされた侵入および／または確認（１３１、１３２）された侵入の場合、電子データシステムの少なくとも１つのノード、任意で少なくとも１つの制御装置は、侵入について車両のユーザ（例えば、運転者および／または乗員）に通知し、および／または侵入に対応する運転操作を（例えば、結果に応じて）開始させることができる。

【0048】

図３に概略的に示されるように、車両の電子データシステムのノードの集合のノードごとのデータを受信１１０することは、車両の電子データシステムのノードの集合のノードごとの圧縮データを受信１１２ａおよび解凍１１２ｂすることを含んでもよい。この場合、データは車両内で（サーバ２００への）送信前に圧縮される。データの圧縮は、ロスレスでもよい。

【0049】

さらなる車両の集合の少なくとも１つについてまたはさらなる車両ごとに、同様に図３に概略的に示されるように、さらなる車両の電子データシステムのノードの集合のノードごとのさらなるデータを受信１１１することは、さらなる車両の電子データシステムのノードの集合のノードごとにロスレスに圧縮されたさらなるデータを受信１１３ａおよび解凍１１３ｂすることを含んでもよい。この場合、それぞれのさらなるデータはそれぞれのさらなる車両内で（サーバ２００への）送信前に圧縮される。さらなるデータの圧縮は、同様にロスレスでもよい。

【0050】

データまたはさらなるデータの圧縮は、図４ａ～図４ｅに示すように、挿図ｈによって表現することができる。圧縮されたデータは、Ｄ_ｖ（または

【数29】

）で表現することができる。

【0051】

基本的に、全てのデータ（例えば、結果、異常状態、．．．）は、車両とサーバ２００との間、またはさらなる車両とサーバ２００との間で圧縮して伝送できる。典型的には、結果および／または異常状態は、（さらなるデータ）に比べて大きなデータサイズを必要としないため、圧縮する必要はない。

【0052】

さらに開示されるのは、車両の電子データシステムへの侵入を検知および／または評価するためのコンピュータ実装方法１００を実施するように構成されたネットワーク内のサーバ２００であり、車両の電子データシステム、および任意で、さらなる車両の集合のさらなる各車両の各電子データシステムがネットワークに接続されている。換言すると、サーバは車両間のリンクとして機能することができる。ネットワークは、例えば、無線ネットワーク、特に、４Ｇ、５Ｇ、６Ｇ、．．．であってもよい。車両および／またはさらなる各車両は、それぞれ、（例えば、所定のプロトコルに従って）ネットワーク内のサーバ２００と通信するように構成された通信インターフェースを含んでもよい。それにより、データまたはさらなるデータを（例えばロスレスに圧縮して）サーバ２００に送信することができる。他方で、サーバ２００は、例えば、車両（またはさらなる車両）への侵入を検知および／または評価した結果を返送してもよい。サーバ２００は、クラウドサーバであってもよい。図１に示すように、例えばＶｅｈｉｃｌｅ Ｓｅｃｕｒｉｔｙ Ｉｎｃｉｄｅｎｔ ａｎｄ Ｅｖｅｎｔ Ｍａｎａｇｅｍｅｎｔ（ＶＳＩＥＭ）システムが、サーバ２００に実装されていてもよい。また、車両のデジタルツイン（図１でのデジタルツイン１）、および、任意で、さらなる車両ごとのさらなる各デジタルツイン（例えば図１でのデジタルツイン２）がサーバ２００に実装されていてもよい。

【0053】

サーバ２００は、より大きな演算および／または記憶容量のおかげで、より信頼性の高い侵入の検知および／または評価をもたらすことができる。さらに、サーバ２００を介して、車両および／または（さらなる）車両と追加データ（例えば、ソフトウェアアップデート方針、システム識別子等、さらなる車両の問題の予防的放送）を交換してもよい。追加データを、車両の電子データシステムへの侵入の検知および／または評価において考慮してもよい。

【0054】

さらに開示されるのは、車両の電子データシステムへの侵入を検知および／または評価するためのコンピュータ実装方法１００に従って保護されている電子データシステムを含む車両（またはさらなる各車両）である。

【0055】

開示されるのは、車両の電子データシステムへの侵入を検知および／または評価するためのコンピュータ実装方法１００を実施するように構成された少なくとも１つのコンピュータプログラムである。コンピュータプログラムは、例えば、解釈可能な形式でまたはコンパイルされた形式であってもよい。それは、例えばビットまたはバイトシーケンスとして、制御装置またはコンピュータのＲＡＭにおける実施のために（部分的にも）ロードされてもよく、コンピュータはサーバ２００としても機能してもよい。

【0056】

さらに開示されるのは、少なくとも１つのコンピュータプログラムを記憶および／または含むコンピュータ読み取り可能な媒体または信号である。媒体は、例えば、信号が記憶されるＲＡＭ、ＲＯＭ、ＥＰＲＯＭ、．．．のいずれかを含んでもよい。

【0057】

さらに開示されるのは、コンピュータプログラムを実施するように構成されたコンピュータシステムである。特に、コンピュータシステムは、少なくとも１つのプロセッサと少なくとも１つの主記憶装置とを含んでもよい。さらに、コンピュータシステムは、メモリを含んでもよい。コンピュータシステムは、車両、任意でさらなる車両、およびサーバ２００からなるシステム全体に広がっていてもよい。

【符号の説明】

【0058】

２００ サーバ
１００ コンピュータ実装方法、方法
１１０ 受信
１１１ 受信
１１２ａ 受信
１１２ｂ 解凍
１１３ａ 受信
１１３ｂ 解凍
１２０ 計算
１２１ 計算
１２３ａ 供給
１２３ｂ 計算
１２３ｃ 記憶
１３０ａ 検知
１３０ｂ 評価
１３１ 確認
１３２ 確認
１４０ 受信
１４１ 受信
１５０ 受信
１５１ 受信

【図1】

【図2】

【図3】

【図4a】

【図4b】

【図4c】

【図4d】

【図4e】

【外国語明細書】