特開 2022-176312 車載セキュリティ対策装置、車載セキュリティ対策方法およびセキュリティ対策システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022176312

(43)【公開日】2022-11-25

(54)【発明の名称】車載セキュリティ対策装置、車載セキュリティ対策方法およびセキュリティ対策システム

(51)【国際特許分類】

   G06F 21/55 20130101AFI20221117BHJP

【ＦＩ】

G06F21/55 320

【審査請求】有

【請求項の数】6

【出願形態】ＯＬ

(21)【出願番号】P 2022160651

(22)【出願日】2022-10-05

(62)【分割の表示】P 2021505592の分割

【原出願日】2020-02-05

(31)【優先権主張番号】P 2019047283

(32)【優先日】2019-03-14

(33)【優先権主張国・地域又は機関】JP

(71)【出願人】

【識別番号】000004237

【氏名又は名称】日本電気株式会社

(74)【代理人】

【識別番号】100103090

【弁理士】

【氏名又は名称】岩壁 冬樹

(74)【代理人】

【識別番号】100124501

【弁理士】

【氏名又は名称】塩川 誠人

(72)【発明者】

【氏名】坂田 正行

(57)【要約】

【課題】サイバー攻撃における実際の攻撃の段階よりも前にサイバー攻撃の予兆を検知できる可能性を高める。
【解決手段】車載セキュリティ対策装置１０は、通信ログを収集するログ収集手段１１と、収集された通信ログを解析するログ解析手段１２と、ログ解析手段１２が通信ログを解析して得られたエラーの発生頻度に基づいて、エラーが発生している通信パスを遮断する制御手段１３とを備え、車載ネットワークと車両外の装置との通信に使用されるネットワークとに接続可能な車載中継装置に搭載される。
【選択図】図７

【特許請求の範囲】

【請求項1】

通信ログを収集するログ収集手段と、
収集された通信ログを解析するログ解析手段と、
前記ログ解析手段が通信ログを解析して得られたエラーの発生頻度に基づいて、エラーが発生している通信パスを遮断する制御手段と
を備え、
車載ネットワークと車両外の装置との通信に使用されるネットワークとに接続可能な車載中継装置に搭載される
ことを特徴とする車載セキュリティ対策装置。

【請求項2】

前記制御手段は、前記ログ解析手段が通信ログを解析した結果、エラーの発生頻度が所定のしきい値を越えている状態が継続している場合に、エラーが発生している通信パスを遮断する
請求項１記載の車載セキュリティ対策装置。

【請求項3】

車載ネットワークと車両外の装置との通信に使用されるネットワークとに接続可能な車載中継装置に搭載される車載セキュリティ対策装置で実行される車載セキュリティ対策方法であって、
通信ログを収集し、
収集された通信ログを解析し、
通信ログを解析して得られたエラーの発生頻度に基づいて、エラーが発生している通信パスを遮断する
ことを特徴とする車載セキュリティ対策方法。

【請求項4】

通信ログを解析した結果、エラーの発生頻度が所定のしきい値を越えている状態が継続している場合に、エラーが発生している通信パスを遮断する
請求項３記載の車載セキュリティ対策方法。

【請求項5】

クラウドサーバと、通信ネットワークを介して前記クラウドサーバと通信可能な車載システムとを含み、
前記車載システムは、
通信ログを収集するログ収集手段と、
収集された通信ログを解析するログ解析手段と、
前記ログ解析手段が通信ログを解析して得られたエラーの発生頻度に基づいて、前記通信ネットワークを介して前記クラウドサーバに所定のデータを送信する制御手段とを含み、
前記クラウドサーバは、前記所定のデータを受信したときに、前記車載システムに対して、エラーが発生している通信パスを遮断させることを示すデータを送信する指示手段を含み、
前記車載システムは、車載ネットワークと前記通信ネットワークとに接続可能な車載中継装置に搭載される
ことを特徴とするセキュリティ対策システム。

【請求項6】

前記制御手段は、前記ログ解析手段が通信ログを解析した結果、エラーの発生頻度が所定のしきい値を越えている状態が継続している場合に、前記所定のデータを送信する
請求項５記載のセキュリティ対策システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、車両へのサイバー攻撃に対するセキュリティ対策に関する。

【背景技術】

【0002】

コネクテッドカーは、ＩｏＴ（Internet of Things）技術を使用し、端末としての機能を有する自動車（車両）である。コネクテッドカーは、自車の状態に関するデータを取得したり、周囲の道路状況などの様々なデータをセンサから取得する。コネクテッドカーにおいて、データが集積され分析されることによって、新たな価値を生み出すことが期待されている。具体的には、事故時に自動的に緊急通報を行うシステムや、盗難時に車両の位置を追跡するシステム等が実用化されつつある。

【0003】

コネクテッドカーは、無線通信ネットワークを介して、他の車両やクラウドサーバと連携する。したがって、コネクテッドカーにおける車載装置のうちには、車両の外部の機器や他車両と通信を行う装置がある。よって、コネクテッドカーに、サイバー攻撃を受ける可能性が生ずる。

【0004】

サイバー攻撃は、いくつかの種類に分類される。サイバー攻撃のうちの一つに標的型攻撃がある。標的型攻撃を行う攻撃者の攻撃手順がモデル化されたフローとして、サイバーキルチェーンが知られている（例えば、非特許文献１参照）。

【0005】

図１０に示すように、サイバーキルチェーンは、７つの段階（偵察（Reconnaissance）、武器化（Weaponization）、配送（Delivery）、攻撃（Exploitation）、インストール（Installation）、遠隔制御（Command and Control）、目的実行（Actions on Objectives）からなる。

【0006】

一般に、サイバーキルチェーンにおける「攻撃」の段階以降においてサイバー攻撃を検知する技術が知られている。しかし、コネクテッドカーに対するサイバー攻撃は、車両内におけるサービスの低下や停止を生じさせかねない。例えば、車両が不正に制御されるといった事態を生じさせかねない。

【0007】

したがって、例えばサイバーキルチェーンにおける「偵察」の段階で、サイバー攻撃が検知されることが望ましい。

【0008】

特許文献１には、サイバー攻撃の予兆を検知する技術が開示されている。その技術では、車両内の車載ネットワークを通過するフレームが監視され、異常フレームが検出されると、攻撃を受けている可能性があると判定される。

【0009】

未知の攻撃を受けた場合でも、攻撃を受けた事実を迅速に検知し、攻撃による影響範囲を自動的に隔離する自己学習型システム異常検知技術（ＡＳＩ：Automated Security Intelligence ）がある（例えば、非特許文献２参照）。ＡＳＩでは、収集した動作ログが収集され、収集された動作ログに対してＡＩ（Artificial Intelligence ）によって学習処理が行われることによって、監視対象のシステムにおける平常状態（監視対象のシステムの動作が安定している状態）が特定される。その後、監視対象のシステムの状態がリアルタイムで監視され、状態が平常状態から外れた場合に、異常が生じたと判定される。

【先行技術文献】

【特許文献】

【0010】

【特許文献1】特開２０１８－１９０４６５号公報

【非特許文献】

【0011】

【非特許文献1】"THE CYBER KILL CHAIN"、[online]、Lockheed Martin Corp.、[平成３１年２月２２日検索]、インターネット<URL:https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html>

【非特許文献2】多賀戸 裕樹 他、「未知のサイバー攻撃を自動検知する自己学習型システム異常検知技術（ＡＳＩ）」、ＮＥＣ技報、Vol. 69 、２０１６年９月、４７－５０頁

【発明の概要】

【発明が解決しようとする課題】

【0012】

しかし、車載ネットワークに異常フレームが流れているときには、車両の外部からのサイバー攻撃が既に「攻撃」の段階に入っている可能性がある。よって、特許文献１に記載された技術を用いる場合、対策が後手に回る可能性がある。また、非特許文献２に記載されたＡＳＩによれば、効果的にサイバー攻撃を検知できるが、サイバー攻撃の「偵察」の段階を検知するには、何らかの追加的な工夫が求められる。

【0013】

本発明は、サイバー攻撃における実際の攻撃の段階よりも前にサイバー攻撃の予兆を検知できる可能性を高める車載セキュリティ対策装置、車載セキュリティ対策方法およびセキュリティ対策システムを提供することを目的とする。

【課題を解決するための手段】

【0014】

本発明による車載セキュリティ対策装置は、通信ログを収集するログ収集手段と、収集された通信ログを解析するログ解析手段と、ログ解析手段が通信ログを解析して得られたエラーの発生頻度に基づいて、エラーが発生している通信パスを遮断する制御手段とを含み、車載ネットワークと車両外の装置との通信に使用されるネットワークとに接続可能な車載中継装置に搭載される。

【0015】

本発明による車載セキュリティ対策方法は、車載ネットワークと車両外の装置との通信に使用されるネットワークとに接続可能な車載中継装置に搭載される車載セキュリティ対策装置で実行される車載セキュリティ対策方法であって、通信ログを収集し、収集された通信ログを解析し、通信ログを解析して得られたエラーの発生頻度に基づいて、エラーが発生している通信パスを遮断する。

【0016】

本発明による車載セキュリティ対策システムは、クラウドサーバと、通信ネットワークを介してクラウドサーバと通信可能な車載システムとを含み、車載システムが、通信ログを収集するログ収集手段と、収集された通信ログを解析するログ解析手段と、ログ解析手段が通信ログを解析して得られたエラーの発生頻度に基づいて、通信ネットワークを介してクラウドサーバに所定のデータを送信する制御手段とを含み、クラウドサーバが、所定のデータを受信したときに、車載システムに対して、エラーが発生している通信パスを遮断させることを示すデータを送信する指示手段を含み、車載システムは、車載ネットワークと通信ネットワークとに接続可能な車載中継装置に搭載される。

【発明の効果】

【0017】

本発明によれば、サイバー攻撃の予兆を検知できる可能性を高めることができる。

【図面の簡単な説明】

【0018】

【図1】車載ネットワークを含む車載システムの一例を示すブロック図である。

【図2】ＣＧＷの機能構成例を示すブロック図である。

【図3】クラウドセンタの機能構成例を示すブロック図である。

【図4】ＣＧＷの動作を示すフローチャートである。

【図5】ＩＶＩシステムの機能構成例を示すブロック図である。

【図6】ＩＶＩシステムの動作を示すフローチャートである。

【図7】車載セキュリティ対策装置の概要を示すブロック図である。

【図8】セキュリティ対策システムの概要を示すブロック図である。

【図9】ＣＰＵを有するコンピュータの一例を示すブロック図である。

【図10】サイバーキルチェーンを示す説明図である。

【発明を実施するための形態】

【0019】

実施形態１．
以下、本発明の第１の実施形態を図面を参照して説明する。図１は、車載ネットワークを含む車載システムの一例を示すブロック図である。図１には、車外の機器等も記載されている。なお、本実施形態では、車載ネットワークは、ノードを含まないデータ通信路の部分を意味する。

【0020】

図１に示す車載システムにおいて、車載ネットワークとしてＣＡＮ（Controller Area Network ）が例示されている。しかし、他の種類の車載ネットワークが使用されてもよい。

【0021】

図１に示す例では、車両１００に搭載されている車載システムは、セントラルゲートウェイ（ＣＧＷ：Central Gateway ）１１０、ファイアウォール（ＦＷ：Firewall）１２１，１２２、テレマティクス通信ユニット（ＴＣＵ：Telematics Communication Unit ）１３０、車載インフォテインメントシステム（ＩＶＩシステム：In-Vehicle Infotainment System）１４０、ＦＷ１５０、電子制御ユニット（ＥＣＵ：Electronic Control Unit ）１６１，１６２，１６３，１６４、およびＣＡＮ１７０を含む。なお、ＣＧＷは、異なる種類のネットワークを接続可能な中継装置の一例である。

【0022】

なお、図１には、ＦＷ１２１，１２２およびＦＷ１５０が明示的に示されているが、すなわち、独立したハードウェアとして示されているが、ＦＷ１２１，１２２が実現するファイアウォール機能は、ＣＧＷ１１に組み込まれてもよい。また、ＦＷ１５０が実現するファイアウォール機能は、ＩＶＩシステム１４０に組み込まれていてもよい。

【0023】

ＣＧＷ１１０は、ゲートウェイ機能を有し、ＣＡＮ１７０における複数のバスに接続される。ＦＷ１２１，１２２は、不正パケットなどの不正データを遮断する。

【0024】

ＴＣＵ１３０は、３Ｇ（3rd Generation）、ＬＴＥ（Long Term Evolution ）、ＷｉＦｉ（登録商標）等の通信規格に従って無線通信を行う機能（無線通信機能）を有し、クラウドセンタ２００と双方向通信可能である。ＣＧＷ１１０は、ＦＷ１２１、ＴＣＵ１３０を介してクラウドセンタ２００とデータ送受信可能である。

【0025】

ＩＶＩシステム１４０は、音声および映像でユーザに娯楽または必要な情報を提供する装置である。したがって、ＩＶＩシステム１４０は、少なくとも、表示器とスピーカとを含む。ＩＶＩ１４０の一例として、カーナビゲーション機能を有する装置がある。図１に示す例では、ＩＶＩ１４０と無線通信可能なスマートフォン４００およびＢＴ（Bluetooth ：登録商標）イヤホン４１０が例示されている。一般に、スマートフォン４００およびＢＴイヤホン４１０は、車両１００の内部に存在するユーザ、または、車両１００の近傍に存在するユーザによって使用される。以下、スマートフォン４００およびＢＴイヤホン４１０を外部機器という。

【0026】

ＩＶＩシステム１４０は、ＦＷ１２２、ＣＧＷ１１０、ＦＷ１２１およびＴＣＵ１３０を介して、クラウドセンタ２００とデータ送受信可能である。ＦＷ１５０は、不正パケットなどの不正データを遮断する。ＩＶＩシステム１４０は、ＦＷ１５０を介して外部機器と通信可能である。

【0027】

クラウドセンタ２００は、例えば、クラウドサーバである。具体例として、ＩＴＳ（Intelligent Transport Systems ：高度道路交通システム）におけるセンターサーバがある。

【0028】

なお、図１には、説明の容易等のために、ＣＧＷ１１０が、ＦＷ１２１を介して直接（ＴＣＵ１３０を介さずに）クラウドセンタ２００と通信するように表現されているが（図１における破線の矢印参照）、実際には、ＣＧＷ１１０は、ＴＣＵ１３０を介してクラウドセンタ２００と通信する。また、図１には、ＩＶＩシステム１４０が、直接（ＴＣＵ１３０を介さずに）クラウドセンタ２００と通信するように表現されているが（図１における破線の矢印参照）、実際には、ＩＶＩシステム１４０は、ＣＧＷ１１０およびＴＣＵ１３０を介してクラウドセンタ２００と通信する。

【0029】

また、図１には、４つのＥＣＵ１６１，１６２，１６３，１６４が例示されているが、一般に、車両１００には、数１０個以上のＥＣＵが搭載されている。ＥＣＵの具体例として、例えば、エンジンＥＣＵ、ステアリングＥＣＵ、サスペンションＥＣＵ、電源ＥＣＵがある。本実施形態において、電源ＥＣＵは、電源制御手段の一例である。また、エンジンＥＣＵは、エンジン制御手段の一例である。なお、図１には、ＣＡＮにおいて２つのバスが存在することが例示されているが、バスの数は、３つ以上であることが多い。

【0030】

図２は、ＣＧＷ１１０の機能構成例を示すブロック図である。なお、図２には、ＣＧＷ１１０が、ＦＷ１２１，１２２の機能を内蔵している構成が示されている。ＣＧＷ１１０がＦＷ１２１，１２２の機能を内蔵していることは必須のことではなく、図１に示されたように、ＣＧＷ１１０の外部に独立したＦＷ１２１，１２２が設置されていてもよい。

【0031】

図２に示すＣＧＷ１１は、トランシーバ１１１，１１２、ＦＷ部１２１ａ，１２２ａ、通信制御部１１５、ログ収集部１１６、記憶部１１７、ログ解析部１１８、および警告制御部１１９を含む。

【0032】

トランシーバ１１１は、ＣＡＮ１７０の一方のバス１７０ａに接続され、通信制御部１１５からのデータをバス１７０ａに送信する。また、トランシーバ１１１は、バス１７０ａからのデータを受信し通信制御部１１５に入力する。トランシーバ１１２は、ＣＡＮ１７０の他方のバス１７０ｂに接続され、通信制御部１１５からのデータをバス１７０ｂに送信する。また、トランシーバ１１２は、バス１７０ｂからのデータを受信し通信制御部１１５に入力する。

【0033】

ＦＷ部１２１ａは、図１に示されたＦＷ１２１と同様の機能を有する。ＦＷ部１２２ａは、図１に示されたＦＷ１２２と同様の機能を有する。

【0034】

通信制御部１１５は、例えば、バス１７０ａ，１７０ｂから受信したデータＩＤ（Identification）に基づいて、データをバス１７０ａまたはバス１７０ｂに転送する。また、通信制御部１１５は、クラウドセンタ２００から受信されたデータをＩＶＩシステム１４０に転送したり、ＩＶＩシステム１４０から受信されたデータをクラウドセンタ２００に転送する。このとき、通信制御部１１５は、必要であれば、プロトコル変換を行う。

【0035】

ログ収集部１１６は、ＴＣＵ１３０を介して受信されたデータに関するログ（通信ログ）を収集して、記憶部１１７にログデータとして保存する。ログ解析部１１８は、記憶部１１７に保存されているログデータを解析する。

【0036】

警告制御部１１９は、ログ解析部１１８がサイバー攻撃（特に、「偵察」の段階の攻撃）を受けている可能性があると判断した場合に、警告表示のための処理を実行する。

【0037】

なお、本実施形態では、車載セキュリティ対策方法を実施する車載セキュリティ対策装置は、ＣＧＷ１１０に組み込まれている。車載セキュリティ対策装置は、例えば、通信制御部１１５、ログ収集部１１６、記憶部１１７、ログ解析部１１８および警告制御部１１９で実現される。

【0038】

図３は、クラウドセンタ２００の機能構成例を示すブロック図である。

【0039】

図３に示す例では、クラウドセンタ２００は、通信インタフェース部２１０、車両制御部２２０、情報管理部２３０、および記憶部２４０を含む。

【0040】

通信インタフェース部２１０は、車両１００との通信のインタフェース機能を有する。情報管理部２３０は、通信インタフェース部２１０を介して車両１００に交通情報のデータ等を送信する。交通情報のデータ等は、記憶部２４０に記憶されている。

【0041】

車両制御部２２０は、車両１００からの要求に応じて、車両１００に対して所定の指示を行う。

【0042】

次に、図４のフローチャートを参照してＣＧＷ１１０の動作を説明する。図４に示される処理では、ＴＣＵ１３０の側から受信したデータが処理の対象とされる。

【0043】

図４に示す処理は、以下のような考え方に基づく。すなわち、「偵察」の段階において、装置の脆弱性を確認するために、最初ブルートフォースアタック（総当たり攻撃）が実行されることがある。総当たり攻撃が実行されると、装置内に、同じようなエラーログが大量に蓄積される。一例として、攻撃者は、空いているポートを確認するときに、0x0000～0xffffを順番にチェックする。また、４桁の数字のパスワードということがわかっている場合、0000～9999を順番に調査する。装置には、そのような調査に応じたログが残る。

【0044】

ＣＧＷ１１０において、ログ収集部１１６は、受信したデータに関するログを順次記憶部１１７に格納する（ステップＳ１０１）。解析周期としてあらかじめ決められている期間が経過すると（ステップＳ１０２）、ログ解析部１１８は、記憶部１１７に記憶されているログを解析する（ステップＳ１０３）。解析周期は、一例として、数時間、１日、または数日である。なお、ログ解析部１１８は、記憶部１１７に記憶されているログの件数があらかじめ決められている件数に達したら、ステップＳ１０３の処理を実行するようにしてもよい。

【0045】

ログ解析部１１８が、ログを解析した結果、エラーログが多発したと判定した場合には（ステップＳ１０４）、ステップＳ１０５の処理が実行される。ログ解析部１１８は、例えば、解析周期において収集されたログのうちに所定数以上（しきい値を越える数）のエラーログが含まれていた場合に、エラーログが多発したと判断する。所定数は、例えば、通常状態（サイバー攻撃を受けていないと思われる状態）において観測されるエラーログの数の数１００倍～数１０００倍の値に設定される。具体例として、通常状態において観測されるエラーログの数が１０，０００件／日であれば、所定数は、１００，０００，０００件／日に設定される。なお、本実施形態では、エラーログの多発が、サイバー攻撃における「偵察」が生じている可能性の具体例である。

【0046】

ステップＳ１０４の処理で、エラーログが多発していないと判定された場合には、ステップＳ１０１に戻る。

【0047】

なお、本実施形態では、ログ解析部１１８が、解析周期において収集されたログのうちに所定数以上のエラーログが含まれていた場合に、エラーログが多発したと判断するが、解析周期における全ログデータ数に対するエラーログ数の割合が所定のしきい値を越えている場合に、エラーログが多発したと判断してもよい。

【0048】

ステップＳ１０５において、警告制御部１１９は、警告表示（第１の警告表示）のための処理を実行する。具体的には、警告制御部１１９は、通信制御部１１５に、警告表示を依頼する。通信制御部１１５は、依頼に応じて、例えば、ＦＷ部１２２ａを介してＩＶＩシステム１４０に、警告表示を指示するためのデータを送信する。ＩＶＩシステム１４０は、当該データを受信したら、表示器に警告表示を行う。なお、車両１００内にＩＶＩシステム１４０以外の表示手段（警告手段の一例）が存在する場合には、通信制御部１１５は、その表示手段に対して、警告表示を指示するためのデータを送信してもよい。また、警告制御部１１９は、警告表示の依頼を出力するのではなく、警告音を出力するように通信制御部１１５に依頼してもよい。その場合には、警告手段は、例えばスピーカで実現される。

【0049】

警告制御部１１９は、最初にステップＳ１０１の処理が実行されてから第１の所定時間が経過したか否か確認する（ステップＳ１０６）。第１の所定時間は、解析周期よりも長い任意の時間であるが、例えば、解析周期の２～３倍の時間に設定される。第１の所定時間が経過していない場合には、ステップＳ１０１に戻る。

【0050】

第１の所定時間が経過した場合には、警告制御部１１９は、ＣＧＷ１１０がクラウドセンタ２００に接続されているか否か確認する（ステップＳ１０７）。クラウドセンタ２００に接続されている状態は、例えば、クラウドセンタ２００とデータ交換可能な状態である。クラウドセンタ２００とデータ交換可能な状態であるか否かは、通信制御部１１５が、送信元がクラウドセンタ２００をあることを特定可能なデータを受信できるか否かによって容易に把握可能である。

【0051】

ＣＧＷ１１０がクラウドセンタ２００に接続されていない場合には、ステップＳ１１１に移行する。

【0052】

ＣＧＷ１１０がクラウドセンタ２００に接続されている場合には、警告制御部１１９は、エラーログが多発したことを示すデータを通信制御部１１５に出力する（ステップＳ１０８）。通信制御部１１５は、ＦＷ部１２１ａを介してＴＣＵ１３０に当該データを出力する。ＴＣＵ１３０は、当該データをクラウドセンタ２００に送信する。なお、エラーログが多発したことを示すデータは、クラウドセンタ２００に対する問合せのためのデータを兼ねている。

【0053】

クラウドセンタ２００における車両制御部２２０は、通信インタフェース部２１０を介してエラーログが多発したことを示すデータを受信すると、当該データに対応してあらかじめ決められている処理を実行する。あらかじめ決められている処理として、例えば、車両１００の電源を恒久的にオフするための処理がある。なお、「恒久的にオフする」は、電源がオフした後、ユーザ操作では電源再投入することができないことを意味する。電源再投入できないので、エンジンを再起動させることはできない。なお、車両の電源をオフされると、エラーが発生している通信パスは遮断される上に、攻撃者からの他の通信パスを介する攻撃も受けなくなる。また、あらかじめ決められている処理は、電源はオン状態であるが、エンジンを再起動させないようにするための処理であってもよい。

【0054】

電源が恒久的にオフされた後、例えば、自動車ディーラー等に存在する権限がある者によって、車両１００は、エンジンを再起動できる状態または電源再投入することができる状態に戻される。換言すれば、人手を介さないと、エンジンを再起動できる状態または電源が投入可能な状態に復旧しない。上記の権限として、例えば、再起動指令用データとしての暗号鍵に関する権限がある。その例では、具体的には、通信制御部１１５が、権限がある者から暗号化されたデータを受信し、警告制御部１１９が、受信されたデータを暗号鍵（復号鍵）で復号する。正しく復号できた場合には、エンジンを再起動できる状態に戻すことをエンジン制御手段に依頼する。なお、その例では、車両の電源はオン状態である。

【0055】

車両制御部２２０は、通信インタフェース部２１０を介して、あらかじめ決められている処理を示すデータをＣＧＷ１１０に対して送信する。当該データは、ＴＣＵ１３０を介してＣＧＷ１１０で受信される。ＣＧＷ１１０は、当該データが示す処理を実行する（ステップＳ１０９）。一例として、当該データが電源を恒久的にオフするための処理を示す場合には、警告制御部１１９は、車両１００の電源を恒久的にオフするための処理を実行する。例えば、警告制御部１１９は、通信制御部１１５、および、トランシーバ１１１またはトランシーバ１１２を介して、電源制御を行うＥＣＵに、電源オフの指示を送信する。ＥＣＵは、車両１００に電源が供給されない状態に設定する。なお、ＥＣＵは、電源が供給されない状態が恒久的に継続されるように制御する。

【0056】

車両制御部２２０は、あらかじめ決められている処理を示すデータとして、ＣＧＷ１１０が現在成立させている通信パスを切断することを示すデータ（例えば、セッションを切断することを示すデータ）を送信してもよい。そのようなデータを使用する場合には、通信制御部１１５が、当該データを受信したときに、エラーが発生している通信パスを切断することができる。

【0057】

いずれにせよ、車両１００において、警告制御部１１９または通信制御部１１５は、あらかじめ決められている処理を実行することによって、サイバー攻撃者との間の通信を遮断することができる。すなわち、車両１００における車載システムは、サイバー攻撃が継続されない状況を作り出すことができる。

【0058】

ステップＳ１１１において、警告制御部１１９は、警告表示（第２の警告表示）のための処理を実行する。具体的には、警告制御部１１９は、通信制御部１１５に、「車両１００をクラウドセンタ２００に接続される環境にする」ことを要求する警告表示を依頼する。通信制御部１１５は、依頼に応じて、例えば、ＦＷ部１２２ａを介してＩＶＩシステム１４０に、警告表示を指示するためのデータを送信する。ＩＶＩシステム１４０は、当該データを受信したら、表示器に警告表示を行う。

【0059】

なお、「車両１００をクラウドセンタ２００に接続される環境にする」ことを要求する警告表示は、第２の警告表示の一例である。第１の警告表示よりも厳しい内容の警告表示であれば、他の内容が表示されてもよい。

【0060】

警告制御部１１９は、警告表示の依頼を出力するのではなく、警告音を出力するように通信制御部１１５に依頼してもよいが、警告音は、ステップＳ１０５の処理で警告表示に代えて出力された警告音に比べて、大音量の警告音や高周波数の警告音であることが好ましい。

【0061】

その後、ログ収集部１１６は、受信したデータに関するログを順次記憶部１１７に格納する（ステップＳ１１２）。解析周期としてあらかじめ決められている期間が経過すると（ステップＳ１１３）、ログ解析部１１８は、記憶部１１７に記憶されているログを解析する（ステップＳ１１４）。

【0062】

ログ解析部１１８が、ログを解析した結果、エラーログが多発していないと判定した場合には（ステップＳ１１５）、ステップＳ１１８に移行する。

【0063】

ログ解析部１１８が、エラーログが多発したと判定した場合には、警告制御部１１９は、最初にステップＳ１０１の処理が実行されてから第２の所定時間が経過したか否か確認する（ステップＳ１１６）。第２の所定時間は、解析周期よりも長く、かつ、第１の所定時間よりも長い任意の時間であるが、例えば、解析周期の３～４倍の時間に設定される。第２の所定時間が経過していない場合には、ステップＳ１１２に戻る。

【0064】

第２の所定時間が経過している場合には、警告制御部１１９は、車両１００の電源を恒久的にオフするための処理を実行する（ステップＳ１１７）。車両１００の電源を恒久的にオフするための処理は、上述した処理と同じである。

【0065】

ステップＳ１１８では、警告制御部１１９は、サイバー攻撃が終了したとみなして、警告表示を解除するための処理を実行する。具体的には、警告制御部１１９は、通信制御部１１５に、警告表示の解除を依頼する。通信制御部１１５は、依頼に応じて、例えば、ＦＷ部１２２ａを介してＩＶＩシステム１４０に、警告表示の解除を指示するためのデータを送信する。ＩＶＩシステム１４０は、当該データを受信したら、表示器における警告表示を消去する。なお、警告音が発せられている場合には、警告音を停止する。その後、ステップＳ１０１に戻る。また、警告制御部１１９は、通信制御部１１５およびＴＣＵ１３０を介して、クラウドセンタ２００に、サイバー攻撃が終了したことを報告してもよい。

【0066】

実施形態２．
第１の実施形態では、車載セキュリティ対策方法を実施する車載セキュリティ対策装置は、ＣＧＷ１１０に組み込まれている。第２の実施形態では、車載セキュリティ対策装置は、ＩＶＩシステム１４０に組み込まれる。

【0067】

図５は、ＩＶＩシステム１４０の機能構成例を示すブロック図である。図５に示すＩＶＩシステム１４０は。ＦＷ部１５０ａ、第１の通信制御部１４１、第２の通信制御部１４２、ＩＶＩ機能部１４３、表示器１４４、ログ収集部１４６、記憶部１４７、ログ解析部１４８、および警告制御部１４９を含む。

【0068】

第１の通信制御部１４１は、外部機器から受信されたデータをＩＶＩ機能部１４３に転送したり、ＩＶＩ機能部１４３からのデータを外部機器に転送する制御を行う。第２の通信制御部１４２は、ＣＧＷ１１０から受信されたデータをＩＶＩ機能部１４３に転送したり、警告制御部１４９からのデータをＣＧＷ１１０に転送する制御を行う。

【0069】

ＦＷ部１５０ａは、図１に示されたＦＷ１５０と同様の機能を有する。なお、図５には、ＩＶＩシステム１４０が、ＦＷ１５０の機能を内蔵している構成が示されている。ＩＶＩシステム１４０がＦＷ１５０の機能を内蔵していることは必須のことではなく、図１に示されたように、ＩＶＩシステム１４０の外部に独立したＦＷ１５０が設置されていてもよい。

【0070】

ＩＶＩ機能部１４３は、ＩＶＩの本体の機能を果たすブロックである。ＩＶＩがカーナビゲーションである場合には、ＩＶＩの本体の機能は、カーナビゲーションである。表示器１４４は、ＩＶＩ機能部１４３から出力される表示データに基づく表示を行う。表示器１４４は、警告制御部１４９からのデータに基づく表示も行う。

【0071】

ログ収集部１４６は、第１の通信制御部１４１で受信されたデータを収集して、記憶部１４７にログデータとして保存する。ログ解析部１４８は、記憶部１４７に保存されているログデータを解析する。

【0072】

警告制御部１４９は、ログ解析部１４８がサイバー攻撃（特に、「偵察」の段階の攻撃）を受けている可能性があると判断した場合に、警告表示のための処理を実行する。

【0073】

なお、本実施形態では、車載セキュリティ対策方法を実施する車載セキュリティ対策装置は、ＩＶＩシステム１４０に組み込まれているが、車載セキュリティ対策装置は、例えば、第１の通信制御部１４１、ログ収集部１４６、記憶部１４７、ログ解析部１４８および警告制御部１４９で実現される。

【0074】

次に、図６のフローチャートを参照してＩＶＩシステム１４０の動作を説明する。図６に示される処理では、外部機器（例えば、図１に例示されたスマートフォン４００）から受信されるはずのデータが対象とされる。

【0075】

図６に示すフローチャートの内容すなわちＩＶＩシステム１４０の動作は、図４に示されたフローチャートの内容すなわちＣＧＷ１１０の動作とほぼ同じである。

【0076】

しかし、本実施形態では、ＩＶＩシステム１４０は、第１の通信制御部１４１で受信されたデータに関するログ（通信ログ）を順次記憶部１４７に格納する（ステップＳ１０１Ａ，Ｓ１１２Ａ）。

【0077】

また、ステップＳ１０５Ａにおいて、警告制御部１４９は、直接に、表示器１４４に、警告表示（第１の警告表示）のためのデータを与えて警告表示させる。ステップＳ１０８Ａにおいて、警告制御部１４９は、エラーログが多発したことを示すデータを第２の通信制御部１４２に出力する。第２の通信制御部１４２は、当該データをＣＧＷ１１０に送信する。ＣＧＷ１１０は、ＴＣＵ１３０を介してクラウドセンタ２００に当該データを送信する。ステップＳ１０９Ａにおいて、警告制御部１４９は、エラーログが多発したことを示すデータに対応してあらかじめ決められている処理を実行することを示すデータを、ＣＧＷ１１０を介して入手する。なお、当該データは、クラウドセンタ２００から送信されたデータである。

【0078】

また、ステップＳ１１１Ａにおいて、警告制御部１４９は、直接、表示器１４４に、警告表示させる。

【0079】

ステップＳ１１７Ａにおいて、警告制御部１４９は、第２の所定時間が経過している場合に車両１００の電源を恒久的にオフするための処理を実行するが、本実施形態では、警告制御部１４９は、恒久的な電源オフを、第２の通信制御部１４２を介して、ＣＧＷ１１０に依頼する。ＣＧＷ１１０における通信制御部１１５は、トランシーバ１１１またはトランシーバ１１２を介して、電源制御を行うＥＣＵに、電源オフの指示を送信する。ＥＣＵは、車両１００に電源が供給されない状態に設定する。

【0080】

ステップＳ１１８Ａにおいて、警告制御部１４９は、直接、表示器１４４に、警告表示を解除させる。

【0081】

その他の処理は、図４に示された処理と同じである。

【0082】

実施形態３．
上記の各実施形態では、車載セキュリティ対策装置は、ＣＧＷ１１０またはＩＶＩシステム１４０に組み込まれているが、車載システムにおける他のブロックに、上述した車載セキュリティ対策方法（図４および図６参照）を実行する車載セキュリティ対策装置が組み込まれてもよい。

【0083】

例えば、上述した車載セキュリティ対策方法が、ＴＣＵ１３０で実行されるようにしてもよい。また、上述した車載セキュリティ対策方法が、ＥＣＵ１６１，１６２，１６３，１６４で実行されるようにしてもよい。

【実施例0084】

次に、具体的な実施例を説明する。以下、車載セキュリティ対策装置がＣＧＷ１１０に組み込まれた場合を例にする。

【0085】

サイバー攻撃者が車両１００を購入し、その車両に対して、例えばセキュリティホールを探索するために、ＴＣＵ１３０を介して「偵察」の段階のサイバー攻撃を行ったとする。

【0086】

サイバー攻撃者が所定の期間（第１の実施形態では、解析期間）を越えてサイバー攻撃を継続した場合（図４におけるステップＳ１０２参照）、その期間においてエラーログが多発するはずなので、第１の警告表示がなされる（ステップＳ１０５参照）。第１の警告表示によって、サイバー攻撃者がサイバー攻撃を止めることが期待される。

【0087】

しかし、第１の警告表示がなされたにも関わらず、サイバー攻撃者がサイバー攻撃を止めない場合には、クラウドセンタ２００の指示に応じて、例えば、車両１００の電源が恒久的にオフされる（ステップＳ１０９参照）。よって、サイバー攻撃者は、サイバー攻撃を継続できない。

【0088】

車両１００がクラウドセンタ２００に接続されていない場合には、第１の警告表示よりも厳しい内容の第２の警告表示がなされる（ステップＳ１１１参照）。第２の警告表示によって、サイバー攻撃者がサイバー攻撃を止めることが期待される。

【0089】

しかし、第２の警告表示がなされたにも関わらず、サイバー攻撃者がサイバー攻撃を止めない場合には、所定の期間（第１の実施形態では、第２の所定時間）を越えてサイバー攻撃を継続したときに（ステップＳ１１６参照）、車両１００の電源が恒久的にオフされる（ステップＳ１０９参照）。よって、サイバー攻撃者は、サイバー攻撃を継続できない。

【0090】

以上に説明したように、車載セキュリティ対策装置は、所定期間におけるエラーログの発生頻度（エラーログ数、または、全ログにおけるエラーログが占める割合）が所定のしきい値を越えたことを契機にして、サイバー攻撃が実行されていることが発覚していることを表す警告がなされる。サイバー攻撃者が警告を無視してサイバー攻撃を続行する場合には、例えば車両１００の電源が恒久的にオフされたり（図４におけるステップＳ１０９参照）、あらためて警告がなされたりする（ステップＳ１１１参照）。サイバー攻撃者があらためての警告も無視するような場合には、電源が恒久的にオフされて、サイバー攻撃者がサイバー攻撃を実施できない状況が構築される。

【0091】

したがって、サイバー攻撃者の偵察行為が効果的に防止されることを期待できる。

【0092】

なお、警告を行うことなく直ちに電源が恒久的にオフされるようにしてもよい。しかし、サイバー攻撃がなされていないときに何らかの原因でエラーログの頻度が高くなるような可能性も考慮すると、警告を行ってから電源が恒久的にオフされることが好ましい。

【0093】

本実施例では、サイバー攻撃者が購入した車両１００を対象として、セキュリティホールの発見等を目的としたサイバー攻撃が実行されることを想定したが、サイバー攻撃の実行環境として様々なものが考えられる。例えば、長期間不使用の車庫内に存在する車両１００が対象とされることが考えられる。また、サイバー攻撃者が、車庫内に存在する車両１００から車載システムの全部または一部を取り外し、取り外された車載システムを対象とすることが考えられる。

【0094】

また、上記の各実施形態では、エラーログの発生頻度に基づいて警告等が開始されたが、エラーログ以外の指標を用いて、警告等が開始されるようにしてもよい。エラーログ以外の指標として、例えば、特定のＩＤ（一例として、クラウドサーバ２００のＩＤやユーザが所有するスマートフォン４００のＩＤ）を含むパケット以外のパケットの受信頻度を用いることができる。

【0095】

さらに、サイバー攻撃者が車載システムの一部（例えば、ＣＧＷ１１０）を取り外し、取り外された車載システムの一部を対象として「偵察」の行為を行うような場合には、車載セキュリティ対策装置は、ＣＡＮ１７０を通過するはずのデータを用いて車載セキュリティ対策方法を実行することもできる。例えば、ＣＡＮ１７０を通過するはずの速度情報のデータが所定期間に亘って受信できないような状況が生じたら、警告制御部１１９（図２参照）は、図４に示されたステップＳ１０５、ステップＳ１０８，Ｓ１０９、ステップ１１１、ステップＳ１１７の処理（警告処理や電源オフの処理）を実行するようにしてもよい。

【0096】

また、上記の各実施形態では、コネクテッドカーにおける車載システムで実行される車載セキュリティ対策方法を例にしたが、上記のセキュリティ対策方法は、コネクテッドカー以外のＩｏＴ技術に基づく装置に適用可能である。

【0097】

また、上述したように、ＡＳＩは効果的にサイバー攻撃を検知できる技術であり、上記の各実施形態の車載セキュリティ対策方法とＡＳＩとを共働させることは有意義である。

【0098】

図７は、車載セキュリティ対策装置の概要を示すブロック図である。車載セキュリティ対策装置１０は、通信ログを収集するログ収集手段１１（実施形態では、ログ収集部１１６，１４６で実現される。）と、収集された通信ログを解析するログ解析手段１２（実施形態では、ログ解析部１１８，１４８で実現される。）と、ログ解析手段１２が通信ログを解析した結果、エラーの発生頻度が所定のしきい値を越えたと判断したときに、警告手段（一例として、表示器１４４）に警告を発生させ、警告手段に警告を発生させた後、エラーの発生頻度が所定のしきい値を越えている状態が継続している場合には、エラーが発生している通信パスを遮断する制御手段１３（実施形態では、警告制御部１１９および通信制御部１１５、または、警告制御部１４９および第２の通信制御部１４２などで実現される。）とを備える。

【0099】

図８は、セキュリティ対策システムの概要を示すブロック図である。セキュリティ対策システムは、クラウドサーバ２０（実施形態では、クラウドセンタ２００で実現される。）と、通信ネットワーク３０を介してクラウドサーバ２０と通信可能な車載システム４０とを含み、車載システム４０が、通信ログを収集するログ収集手段１１と、収集された通信ログを解析するログ解析手段１２と、ログ解析手段１２が通信ログを解析した結果、エラーの発生頻度が所定のしきい値を越えたと判断したときに、警告手段に警告を発生させ、警告手段に警告を発生させた後、エラーの発生頻度が所定のしきい値を越えている状態が継続している場合には、通信ネットワーク３０を介してクラウドサーバ２０にエラーの発生頻度が所定のしきい値を越えたことを示すデータを送信する制御手段１３とを含み、クラウドサーバ２０が、データを受信したときに、車載システム４０に対して、エラーが発生している通信パスを遮断させることを示すデータを送信する指示手段２１を含む。

【0100】

図９は、ＣＰＵ（Central Processing Unit ）を有するコンピュータの一例を示すブロック図である。コンピュータは、車載セキュリティ対策装置（具体的には、ＣＧＷ１１０やＩＶＩシステム１４０など）に実装される。ＣＰＵ１０００は、記憶装置１００１に格納されたセキュリティ対策プログラムに従って処理を実行することによって、上記の実施形態における各機能を実現する。

【0101】

すなわち、コンピュータが図２に示されたＣＧＷ１１０に実装された場合には、ＣＰＵ１０００は、ＣＧＷ１１０における通信制御部１１５、ログ収集部１１６、ログ解析部１１８、および警告制御部１１９の機能を実現する。コンピュータが図５に示されたＩＶＩシステム１４０に実装された場合には、ＣＰＵ１０００は、ＩＶＩシステム１４０における各機能を実現する。すなわち、ＣＰＵ１０００は、第１の通信制御部１４１、第２の通信制御部１４２、ログ収集部１４６、ログ解析部１４８、および警告制御部１４９の機能を実現する。コンピュータが図７に示された車載セキュリティ対策装置１０に実装された場合には、ＣＰＵ１０００は、ログ収集手段１１、ログ解析手段１２、および制御手段１３の機能を実現する。

【0102】

記憶装置１００１は、例えば、非一時的なコンピュータ可読媒体（non-transitory computer readable medium ）である。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium ）を含む。非一時的なコンピュータ可読媒体の具体例として、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM ）、フラッシュＲＯＭ）がある。

【0103】

メモリ１００２は、例えばＲＡＭ（Random Access Memory）で実現され、ＣＰＵ１０００が処理を実行するときに一時的にデータを格納する記憶手段である。図２に示された記憶部１１７および図５に示された記憶部１４７は、メモリ１００２で実現される。

【0104】

以上、実施形態を参照して本願発明を説明したが、本願発明は上記の実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

【0105】

この出願は、２０１９年３月１４日に出願された日本特許出願２０１９－０４７２８３を基礎とする優先権を主張し、その開示の全てをここに取り込む。

【符号の説明】

【0106】

１０ 車載セキュリティ対策装置
１１ ログ収集手段
１２ ログ解析手段
１３ 制御手段
２０ クラウドサーバ
２１ 指示手段
３０ 通信ネットワーク
４０ 車載システム
１００ 車両
１１１，１１２ トランシーバ
１１５ 通信制御部
１１６ ログ収集部
１１７ 記憶部
１１８ ログ解析部
１１９ 警告制御部
１２１，１２２ ＦＷ（ファイアウォール）
１２１ａ，１２２ａ ＦＷ部
１３０ ＴＣＵ（テレマティクス制御ユニット）
１４０ ＩＶＩシステム（車載インフォテインメントシステム）
１４１ 第１の通信制御部
１４２ 第２の通信制御部
１４３ ＩＶＩ機能部
１４４ 表示器
１４６ ログ収集部
１４７ 記憶部
１４８ ログ解析部
１４９ 警告制御部
１５０ ＦＷ（ファイアウォール）
１５０ａ ＦＷ部
１６１～１６４ ＥＣＵ（電子制御ユニット）
１７０ ＣＡＮ
１７０ａ，１７０ｂ バス
２００ クラウドセンタ
２１０ 通信インタフェース部
２２０ 車両制御部
２３０ 情報管理部
２４０ 記憶部
１０００ ＣＰＵ
１００１ 記憶装置
１００２ メモリ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】