▶ パナソニックオートモーティブシステムズ株式会社の特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024157113
(43)【公開日】2024-11-07
(54)【発明の名称】監視システム及び制御方法
(51)【国際特許分類】
G06F 11/07 20060101AFI20241030BHJP
【ＦＩ】
G06F11/07 193
G06F11/07 140R
【審査請求】有
【請求項の数】10
【出願形態】ＯＬ
(21)【出願番号】P 2023071248
(22)【出願日】2023-04-25
(11)【特許番号】
(45)【特許公報発行日】2024-06-28
(71)【出願人】
【識別番号】322003857
【氏名又は名称】パナソニックオートモーティブシステムズ株式会社
(74)【代理人】
【識別番号】100109210
【弁理士】
【氏名又は名称】新居 広守
(74)【代理人】
【識別番号】100137235
【弁理士】
【氏名又は名称】寺谷 英作
(74)【代理人】
【識別番号】100131417
【弁理士】
【氏名又は名称】道坂 伸一
(72)【発明者】
【氏名】平野 亮
(72)【発明者】
【氏名】今本 吉治
(72)【発明者】
【氏名】関屋 翔一朗
【テーマコード（参考）】
5B042
【Ｆターム（参考）】
5B042GA22
5B042GB08
5B042KK11
5B042KK17
5B042KK20
(57)【要約】
【課題】異常対応処理を実行することによる車両の機能への影響を抑えることができる監視システムを提供する。
【解決手段】統合ＥＣＵ１０は、ホスト仮想マシン４０と、ホスト仮想マシン４０におけるセキュリティ異常を検出する異常検出部５４と、車載システム２で実行される複数のサービスの一覧を示すサービスリストを記憶するサービスリスト記憶部６６と、異常検出部５４によりセキュリティ異常が検出された場合に、サービスリストにより示される複数のサービスの中から、セキュリティ異常を解消するために停止又は設定変更すべき特定のサービスを判定する判定部７０と、判定部７０の判定結果に基づいて、特定のサービスを停止又は設定変更する異常対応処理を実行する異常対応部５６とを備える。
【選択図】図３
【解決手段】統合ＥＣＵ１０は、ホスト仮想マシン４０と、ホスト仮想マシン４０におけるセキュリティ異常を検出する異常検出部５４と、車載システム２で実行される複数のサービスの一覧を示すサービスリストを記憶するサービスリスト記憶部６６と、異常検出部５４によりセキュリティ異常が検出された場合に、サービスリストにより示される複数のサービスの中から、セキュリティ異常を解消するために停止又は設定変更すべき特定のサービスを判定する判定部７０と、判定部７０の判定結果に基づいて、特定のサービスを停止又は設定変更する異常対応処理を実行する異常対応部５６とを備える。
【選択図】図３
【特許請求の範囲】
【請求項1】
車両に搭載された車載システムを監視するための監視システムであって、
オペレーティングシステムと、
前記オペレーティングシステムにおけるセキュリティ異常を検出する異常検出部と、
前記車載システムで実行される複数のサービスの一覧を示すサービスリストを記憶する第１の記憶部と、
前記異常検出部により前記セキュリティ異常が検出された場合に、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき特定のサービスを判定する判定部と、
前記判定部の判定結果に基づいて、前記特定のサービスを停止又は設定変更する異常対応処理を実行する異常対応部と、を備える
監視システム。
オペレーティングシステムと、
前記オペレーティングシステムにおけるセキュリティ異常を検出する異常検出部と、
前記車載システムで実行される複数のサービスの一覧を示すサービスリストを記憶する第１の記憶部と、
前記異常検出部により前記セキュリティ異常が検出された場合に、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき特定のサービスを判定する判定部と、
前記判定部の判定結果に基づいて、前記特定のサービスを停止又は設定変更する異常対応処理を実行する異常対応部と、を備える
監視システム。
【請求項2】
前記監視システムは、さらに、前記異常対応部により所定の期間に亘って前記異常対応処理が実行された回数である異常対応回数を計数する計数部を備え、
前記判定部は、前記異常対応回数に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定する
請求項１に記載の監視システム。
前記判定部は、前記異常対応回数に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定する
請求項１に記載の監視システム。
【請求項3】
前記監視システムは、さらに、前記異常対応回数と前記異常対応処理との対応関係を示す異常対応テーブルを記憶する第２の記憶部を備え、
前記判定部は、前記異常対応テーブルを参照することにより、前記計数部により計数された前記異常対応回数に対応する前記異常対応処理に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定する
請求項２に記載の監視システム。
前記判定部は、前記異常対応テーブルを参照することにより、前記計数部により計数された前記異常対応回数に対応する前記異常対応処理に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定する
請求項２に記載の監視システム。
【請求項4】
前記監視システムは、さらに、前記車両の状態を示す情報である車両状態情報を取得する取得部を備え、
前記判定部は、前記異常対応回数及び前記車両状態情報に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定する
請求項２又は３に記載の監視システム。
前記判定部は、前記異常対応回数及び前記車両状態情報に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定する
請求項２又は３に記載の監視システム。
【請求項5】
前記車両状態情報は、前記車両の状態として、前記車両が走行中又は停車中であることを示す情報であり、
前記サービスリストでは、前記複数のサービスの各々と、前記車両が走行中又は停車中に当該サービスを停止することの可否とが対応付けられており、
前記判定部は、前記異常対応回数及び前記車両状態情報に基づいて、前記サービスリストにより示される前記複数のサービスのうち、前記車両が走行中又は停車中において停止することが不可能なサービスを前記特定のサービスとして採用しない
請求項４に記載の監視システム。
前記サービスリストでは、前記複数のサービスの各々と、前記車両が走行中又は停車中に当該サービスを停止することの可否とが対応付けられており、
前記判定部は、前記異常対応回数及び前記車両状態情報に基づいて、前記サービスリストにより示される前記複数のサービスのうち、前記車両が走行中又は停車中において停止することが不可能なサービスを前記特定のサービスとして採用しない
請求項４に記載の監視システム。
【請求項6】
前記監視システムは、さらに、前記異常対応部により前記特定のサービスが停止又は設定変更された場合に、前記特定のサービスが停止又は設定変更された旨を通知する通知部を備える
請求項１に記載の監視システム。
請求項１に記載の監視システム。
【請求項7】
前記通知部は、さらに、前記セキュリティ異常が解消された場合に、前記異常対応部が実行した前記異常対応処理の内容を通知する
請求項６に記載の監視システム。
請求項６に記載の監視システム。
【請求項8】
前記異常対応部は、前記異常検出部により前記セキュリティ異常が検出された場合に、前記セキュリティ異常が検出された前記オペレーティングシステムを複製した複製オペレーティングシステムを生成する
請求項１に記載の監視システム。
請求項１に記載の監視システム。
【請求項9】
前記サービスリストでは、前記複数のサービスの各々に対して優先度が対応付けられており、
前記判定部は、前記優先度に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定する
請求項１に記載の監視システム。
前記判定部は、前記優先度に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定する
請求項１に記載の監視システム。
【請求項10】
前記サービスリストでは、前記複数のサービスは、ネットワーク、デバイス、車両機能、車両安全機能及びセキュリティの少なくとも１つを含むカテゴリに分類されている
請求項１に記載の監視システム。
請求項１に記載の監視システム。
【請求項11】
車両に搭載される車載システムを監視するための監視システムにおける制御方法であって、
（ａ）前記オペレーティングシステムにおけるセキュリティ異常を検出するステップと、
（ｂ）前記（ａ）で前記セキュリティ異常が検出された場合に、前記車載システムで実行される複数のサービスの一覧を示すサービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき特定のサービスを判定するステップと、
（ｃ）前記（ｂ）の判定結果に基づいて、前記特定のサービスを停止又は設定変更する異常対応処理を実行するステップと、を含む
制御方法。
（ａ）前記オペレーティングシステムにおけるセキュリティ異常を検出するステップと、
（ｂ）前記（ａ）で前記セキュリティ異常が検出された場合に、前記車載システムで実行される複数のサービスの一覧を示すサービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき特定のサービスを判定するステップと、
（ｃ）前記（ｂ）の判定結果に基づいて、前記特定のサービスを停止又は設定変更する異常対応処理を実行するステップと、を含む
制御方法。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、監視システム及び制御方法に関する。
【背景技術】
【0002】
車両に搭載されたオペレーションシステムが外部からの攻撃を受けた場合に、オペレーティングシステムにおけるセキュリティ異常の発生の有無を監視する監視システムが知られている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【0003】
【特許文献1】特許第７１１３３３７号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
上述した従来の監視システムでは、セキュリティ異常を解消するための異常対応処理を実行することにより、車両の機能が大きく制限されるおそれがある。
【0005】
そこで、本開示は、異常対応処理を実行することによる車両の機能への影響を抑えることができる監視システム及び制御方法を提供する。
【課題を解決するための手段】
【0006】
本開示の一態様に係る監視システムは、車両に搭載された車載システムを監視するための監視システムであって、オペレーティングシステムと、前記オペレーティングシステムにおけるセキュリティ異常を検出する異常検出部と、前記車載システムで実行される複数のサービスの一覧を示すサービスリストを記憶する第１の記憶部と、前記異常検出部により前記セキュリティ異常が検出された場合に、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき特定のサービスを判定する判定部と、前記判定部の判定結果に基づいて、前記特定のサービスを停止又は設定変更する異常対応処理を実行する異常対応部と、を備える。
【0007】
なお、これらの包括的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ－Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等の記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。
【発明の効果】
【0008】
本開示の一態様に係る監視システム等によれば、異常対応処理を実行することによる車両の機能への影響を抑えることができる。
【図面の簡単な説明】
【0009】
【図1】実施の形態に係る車載システムの概要を示す概念図である。
【図2】実施の形態に係る車載システムの概要を示すブロック図である。
【図3】実施の形態に係る統合ＥＣＵの機能構成を示すブロック図である。
【図4A】実施の形態に係る検出結果情報の一例を示す図である。
【図4B】実施の形態に係る車両状態情報の一例を示す図である。
【図4C】実施の形態に係る異常対応回数の一例を示す図である。
【図5】実施の形態に係るサービスリストの一例を示す図である。
【図6】実施の形態に係る異常対応テーブルの一例を示す図である。
【図7】実施の形態に係る統合ＥＣＵの判定部の処理を説明するための図である。
【図8】実施の形態に係る停止サービスリストの一例を示す図である。
【図9】実施の形態に係る統合ＥＣＵの全体動作の流れを示すシーケンス図である。
【図10】実施の形態に係る統合ＥＣＵの判定部の動作の流れを示すフローチャートである。
【図11】実施の形態に係る統合ＥＣＵの判定部の動作の流れを示すフローチャートである。
【図12】実施の形態に係る統合ＥＣＵの判定部の動作の流れを示すフローチャートである。
【図13】実施の形態に係る統合ＥＣＵの判定部の動作を説明するための図である。
【図14】実施の形態の変形例に係る異常対応テーブルの一例を示す図である。
【発明を実施するための形態】
【0010】
本開示の第１の態様に係る監視システムは、車両に搭載された車載システムを監視するための監視システムであって、オペレーティングシステムと、前記オペレーティングシステムにおけるセキュリティ異常を検出する異常検出部と、前記車載システムで実行される複数のサービスの一覧を示すサービスリストを記憶する第１の記憶部と、前記異常検出部により前記セキュリティ異常が検出された場合に、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき特定のサービスを判定する判定部と、前記判定部の判定結果に基づいて、前記特定のサービスを停止又は設定変更する異常対応処理を実行する異常対応部と、を備える。
【0011】
本態様によれば、判定部は、異常検出部によりセキュリティ異常が検出された場合に、サービスリストにより示される複数のサービスの中から、セキュリティ異常を解消するために停止又は設定変更すべき特定のサービスを判定する。これにより、異常対応部は、例えば脆弱性を含む可能性の高い、最小限の特定のサービスを停止又は設定変更する異常対応処理を実行するので、異常対応処理を実行することによる車両の機能への影響を最小限に抑えることができる。
【0012】
また、本開示の第２の態様に係る監視システムでは、第１の態様において、前記監視システムは、さらに、前記異常対応部により所定の期間に亘って前記異常対応処理が実行された回数である異常対応回数を計数する計数部を備え、前記判定部は、前記異常対応回数に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定するように構成してもよい。
【0013】
本態様によれば、異常対応回数が増大するのに従って、例えば脆弱性を含む可能性の高いものから順に、特定のサービスを停止又は設定変更する異常対応処理を実行することができる。
【0014】
また、本開示の第３の態様に係る監視システムでは、第２の態様において、前記監視システムは、さらに、前記異常対応回数と前記異常対応処理との対応関係を示す異常対応テーブルを記憶する第２の記憶部を備え、前記判定部は、前記異常対応テーブルを参照することにより、前記計数部により計数された前記異常対応回数に対応する前記異常対応処理に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定するように構成してもよい。
【0015】
本態様によれば、異常対応回数が増大するのに従って、例えば脆弱性を含む可能性の高いものから順に、特定のサービスを停止又は設定変更する異常対応処理を実行することができる。
【0016】
また、本開示の第４の態様に係る監視システムでは、第２の態様又は第３の態様において、前記監視システムは、さらに、前記車両の状態を示す情報である車両状態情報を取得する取得部を備え、前記判定部は、前記異常対応回数及び前記車両状態情報に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定するように構成してもよい。
【0017】
本態様によれば、車両状態情報をも加味して、セキュリティ異常を解消するために停止又は設定変更すべき特定のサービスを判定することができる。
【0018】
また、本開示の第５の態様に係る監視システムでは、第４の態様において、前記車両状態情報は、前記車両の状態として、前記車両が走行中又は停車中であることを示す情報であり、前記サービスリストでは、前記複数のサービスの各々と、前記車両が走行中又は停車中に当該サービスを停止することの可否とが対応付けられており、前記判定部は、前記異常対応回数及び前記車両状態情報に基づいて、前記サービスリストにより示される前記複数のサービスのうち、前記車両が走行中又は停車中において停止することが不可能なサービスを前記特定のサービスとして採用しないように構成してもよい。
【0019】
本態様によれば、車両が走行中又は停車中において停止することが不可能なサービスを、停止又は設定変更すべき特定のサービスとして採用しないことにより、車載システムへの影響を最小限に抑えることができる。
【0020】
また、本開示の第６の態様に係る監視システムでは、第１の態様～第５の態様のいずれか一態様において、前記監視システムは、さらに、前記異常対応部により前記特定のサービスが停止又は設定変更された場合に、前記特定のサービスが停止又は設定変更された旨を通知する通知部を備えるように構成してもよい。
【0021】
本態様によれば、特定のサービスが停止又は設定変更された旨を、例えば外部の監視サーバ等で把握することができる。
【0022】
また、本開示の第７の態様に係る監視システムでは、第６の態様において、前記通知部は、さらに、前記セキュリティ異常が解消された場合に、前記異常対応部が実行した前記異常対応処理の内容を通知するように構成してもよい。
【0023】
本態様によれば、異常対応部が実行し、セキュリティ異常が解消された異常対応処理の内容を、例えば外部の監視サーバ等で把握でき、セキュリティ異常の原因の解析に役立てることができる。
【0024】
また、本開示の第８の態様に係る監視システムでは、第１の態様～第７の態様のいずれか一態様において、前記異常対応部は、前記異常検出部により前記セキュリティ異常が検出された場合に、前記セキュリティ異常が検出された前記オペレーティングシステムを複製した複製オペレーティングシステムを生成するように構成してもよい。
【0025】
本態様によれば、オペレーティングシステムが攻撃を受けた場合に、例えば当該オペレーティングシステムを複製した複製オペレーティングシステムが引き続き攻撃の対象となるようにしながら、複製元のオペレーティングシステムの設定（例えば、ＩＰアドレス等）を、攻撃を受け難い設定に変更することができる。
【0026】
また、本開示の第９の態様に係る監視システムでは、第１の態様～第８の態様のいずれか一態様において、前記サービスリストでは、前記複数のサービスの各々に対して優先度が対応付けられており、前記判定部は、前記優先度に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定するように構成してもよい。
【0027】
本態様によれば、サービスリストにより示される複数のサービスのうち、例えば脆弱性を含む可能性の高いサービスを優先的に特定のサービスとして判定することができる。
【0028】
また、本開示の第１０の態様に係る監視システムでは、第１の態様～第９の態様のいずれか一態様において、前記サービスリストでは、前記複数のサービスは、ネットワーク、デバイス、車両機能、車両安全機能及びセキュリティの少なくとも１つを含むカテゴリに分類されているように構成してもよい。
【0029】
本態様によれば、サービスリストにより示される複数のサービスのうち、例えばセキュリティ異常の内容と関連性のあるカテゴリのサービスを、優先的に特定のサービスとして判定することができる。
【0030】
また、本開示の第１１の態様に係る制御方法は、車両に搭載される車載システムを監視するための監視システムにおける制御方法であって、（ａ）前記オペレーティングシステムにおけるセキュリティ異常を検出するステップと、（ｂ）前記（ａ）で前記セキュリティ異常が検出された場合に、前記車載システムで実行される複数のサービスの一覧を示すサービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき特定のサービスを判定するステップと、（ｃ）前記（ｂ）の判定結果に基づいて、前記特定のサービスを停止又は設定変更する異常対応処理を実行するステップと、を含む。
【0031】
本態様によれば、第１の態様に係る監視システムと同様に、異常対応処理を実行することによる車両の機能への影響を最小限に抑えることができる。
【0032】
なお、これらの包括的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ－ＲＯＭ等の記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されてもよい。
【0033】
以下、実施の形態について、図面を参照しながら具体的に説明する。
【0034】
なお、以下で説明する実施の形態は、いずれも包括的又は具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序等は、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。
【0035】
（実施の形態）
［１．車載システムの概要］
まず、図１及び図２を参照しながら、実施の形態に係る車載システム２の概要について説明する。図１は、実施の形態に係る車載システム２の概要を示す概念図である。図２は、実施の形態に係る車載システム２の概要を示すブロック図である。
［１．車載システムの概要］
まず、図１及び図２を参照しながら、実施の形態に係る車載システム２の概要について説明する。図１は、実施の形態に係る車載システム２の概要を示す概念図である。図２は、実施の形態に係る車載システム２の概要を示すブロック図である。
【0036】
図１に示すように、実施の形態に係る車載システム２は、例えば自動車等の車両４に搭載された、車両４の加減速、操舵及び制動等の運転操作をＡＤＡＳ（Ａｄｖａｎｃｅｄ Ｄｒｉｖｅｒ Ａｓｓｉｓｔａｎｃｅ Ｓｙｓｔｅｍ：先進運転者支援システム）により自動で行うように制御するための自動運転システムに適用される。
【0037】
車載システム２は、インターネット等の外部ネットワーク６を介して、監視サーバ８と通信可能である。車載システム２は、当該車載システム２におけるセキュリティ異常の発生の有無を監視し、外部ネットワーク６を介して、監視サーバ８へ監視結果を通知する。
【0038】
監視サーバ８は、例えばセキュリティ監視センター等に設置されている。監視サーバ８は、車載システム２からの通知を受けて、各車両４におけるセキュリティ異常の発生状況を把握し、当該セキュリティ異常に対する対応等について助言する。
【0039】
図２に示すように、車載システム２は、統合ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）１０と、ゲートウェイＥＣＵ１２と、ステアリングＥＣＵ１４と、ブレーキＥＣＵ１６と、ゾーンＥＣＵ１８と、フロントカメラＥＣＵ２０と、リアカメラＥＣＵ２２とを備えている。
【0040】
なお、統合ＥＣＵ１０は、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）２４を介して、ゲートウェイＥＣＵ１２と通信可能に接続されている。また、ゲートウェイＥＣＵ１２、ステアリングＥＣＵ１４及びブレーキＥＣＵ１６は、ＣＡＮ２６を介して互いに通信可能に接続されている。
【0041】
また、統合ＥＣＵ１０は、イーサネット（登録商標）２８を介して、ゾーンＥＣＵ１８と通信可能に接続されている。また、ゾーンＥＣＵ１８、フロントカメラＥＣＵ２０及びリアカメラＥＣＵ２２は、イーサネット（登録商標）３０を介して互いに通信可能に接続されている。さらに、統合ＥＣＵ１０は、外部ネットワーク６を介して監視サーバ８（図１参照）と通信可能に接続されている。
【0042】
統合ＥＣＵ１０は、（ａ）外部ネットワーク６、ＣＡＮ２４及びイーサネット２８を介してメッセージを送受信する通信制御、（ｂ）ＣＡＮ２４及びイーサネット２８を介してゲートウェイＥＣＵ１２及びゾーンＥＣＵ１８へそれぞれ車両４の制御を指示する車両制御、（ｃ）インフォテイメントシステムやインストルメントパネルへの映像出力等を実行する。また、統合ＥＣＵ１０は、車載システム２におけるセキュリティ異常（例えば、不正なアクセス等）の発生の有無を監視し、監視サーバ８へ監視結果を通知する。すなわち、統合ＥＣＵ１０は、車両４に搭載された車載システム２を監視するための監視システムの一例である。
【0043】
ゲートウェイＥＣＵ１２は、統合ＥＣＵ１０と、ステアリングＥＣＵ１４及びブレーキＥＣＵ１６との間で送受信されるメッセージを仲介する。
【0044】
ステアリングＥＣＵ１４は、車両４に搭載されたステアリングホイールによる操舵を制御する。
【0045】
ブレーキＥＣＵ１６は、車両４に搭載されたブレーキの駆動を制御する。
【0046】
なお、車載システム２は、ステアリングＥＣＵ１４及びブレーキＥＣＵ１６の他に、車両４のエンジンやボディ等を制御するＥＣＵを用いて、車両４の走る、曲がる、止まるといった各種制御を実行する。
【0047】
ゾーンＥＣＵ１８は、統合ＥＣＵ１０と、フロントカメラＥＣＵ２０及びリアカメラＥＣＵ２２との間で送受信されるメッセージを仲介する。
【0048】
フロントカメラＥＣＵ２０は、車両４の前部に搭載されたフロントカメラにより撮像された、車両４の前方映像を取得する。
【0049】
リアカメラＥＣＵ２２は、車両４の後部に搭載されたリアカメラにより撮像された、車両４の後方映像を取得する。
【0050】
［２．統合ＥＣＵの機能構成］
次に、図３～図８を参照しながら、統合ＥＣＵ１０（監視システム）の機能構成について説明する。図３は、実施の形態に係る統合ＥＣＵ１０の機能構成を示すブロック図である。図４Ａは、実施の形態に係る検出結果情報の一例を示す図である。図４Ｂは、実施の形態に係る車両状態情報の一例を示す図である。図４Ｃは、実施の形態に係る異常対応回数の一例を示す図である。図５は、実施の形態に係るサービスリストの一例を示す図である。図６は、実施の形態に係る異常対応テーブルの一例を示す図である。図７は、実施の形態に係る統合ＥＣＵ１０の判定部７０の処理を説明するための図である。図８は、実施の形態に係る停止サービスリストの一例を示す図である。
次に、図３～図８を参照しながら、統合ＥＣＵ１０（監視システム）の機能構成について説明する。図３は、実施の形態に係る統合ＥＣＵ１０の機能構成を示すブロック図である。図４Ａは、実施の形態に係る検出結果情報の一例を示す図である。図４Ｂは、実施の形態に係る車両状態情報の一例を示す図である。図４Ｃは、実施の形態に係る異常対応回数の一例を示す図である。図５は、実施の形態に係るサービスリストの一例を示す図である。図６は、実施の形態に係る異常対応テーブルの一例を示す図である。図７は、実施の形態に係る統合ＥＣＵ１０の判定部７０の処理を説明するための図である。図８は、実施の形態に係る停止サービスリストの一例を示す図である。
【0051】
図３に示すように、統合ＥＣＵ１０は、機能構成として、ハードウェア３２と、仮想化プラットフォーム３４と、ゲスト仮想マシン３６（オペレーティングシステムの一例）と、ゲスト仮想マシン３８（オペレーティングシステムの一例）と、ホスト仮想マシン４０（オペレーティングシステムの一例）とを備えている。
【0052】
ハードウェア３２は、例えばＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）又はＥＣＵ等を有するプロセッサを含み、複数のコンピュータプログラムの実行環境を提供する。なお、ハードウェア３２は、１つのプロセッサで構成されてもよいし、複数のプロセッサで構成されてもよい。
【0053】
仮想化プラットフォーム３４は、ハードウェア３２上で実行され、ゲスト仮想マシン３６，３８及びホスト仮想マシン４０の実行を制御する仮想化ソフトウェアである。この仮想化プラットフォーム３４により、１つのハードウェア３２上に異なる複数のオペレーティングシステム（ゲスト仮想マシン３６，３８及びホスト仮想マシン４０）を仮想化して搭載することができる。なお、仮想化プラットフォーム３４は、ハードウェア３２上で直接動作するＴｙｐｅ１型のハイパーバイザでもよいし、ハードウェア３２上で直接動作するオペレーティングシステム上で動作するＴＹＰＥ２型のハイパーバイザでもよい。あるいは、仮想化プラットフォーム３４は、コンテナでもよい。また、本実施の形態では、統合ＥＣＵ１０を仮想化プラットフォーム３４により仮想環境で実現したが、これに限定されず、実際のハードウェアで実現してもよい。
【0054】
ゲスト仮想マシン３６は、仮想化プラットフォーム３４上で動作する例えばＬｉｎｕｘ（登録商標）やＡｎｄｒｏｉｄ（登録商標）等のオペレーティングシステムである。ゲスト仮想マシン３６は、異常検出部４２と、異常対応部４４と、異常通知部４６（通知部の一例）とを有している。なお、ゲスト仮想マシン３６には、当該ゲスト仮想マシン３６を識別するための仮想マシン番号「１」が割り当てられている。
【0055】
異常検出部４２は、車載システム２における各ＥＣＵの挙動や通信の状態等を監視することにより、ゲスト仮想マシン３６におけるセキュリティ異常を検出する。異常検出部４２は、例えばネットワークＩＤＳ（ＮＩＤＳ：Ｎｅｔｗｏｒｋ－ｂａｓｅｄ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）又はホストＩＤＳ（ＨＩＤＳ：Ｈｏｓｔ－ｂａｓｅｄ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）で構成されている。
【0056】
異常対応部４４は、異常検出部４２によりセキュリティ異常が検出された場合に、ホスト仮想マシン４０からの異常対応指示（後述する）に基づいて、検出されたセキュリティ異常を解消するための異常対応処理（後述する）を実行する。
【0057】
異常通知部４６は、異常検出部４２によりセキュリティ異常が検出された場合に、例えば検出されたセキュリティ異常の内容や、異常対応処理の内容、特定のサービス（後述する）が停止又は設定変更された旨等を示す情報を、監視サーバ８（図１参照）に通知する。また、異常通知部４６は、セキュリティ異常が解消された場合に、セキュリティ異常が解消された旨を示す情報や、異常対応処理の内容、特定のサービスが停止又は設定変更された旨を示す情報を監視サーバ８に通知する。
【0058】
なお、本実施の形態では、異常通知部４６は上述した各種情報を監視サーバ８に通知するようにしたが、これに限定されず、例えば車両４の運転者や周辺車両、周辺歩行者等に通知するようにしてもよい。例えば、異常通知部４６は、各種情報を車両４の運転者に通知する場合には、車両４の車室内に搭載されたディスプレイにメッセージを表示させたり、車両４の車室内に搭載されたボタンに配置されたランプを点灯させたりしてもよい。このことは、後述する異常通知部５２，５８についても同様である。
【0059】
ゲスト仮想マシン３８は、仮想化プラットフォーム３４上で動作する例えばＬｉｎｕｘ（登録商標）やＡｎｄｒｏｉｄ（登録商標）等のオペレーティングシステムである。ゲスト仮想マシン３８は、異常検出部４８と、異常対応部５０と、異常通知部５２（通知部の一例）とを有している。なお、ゲスト仮想マシン３８には、当該ゲスト仮想マシン３８を識別するための仮想マシン番号「２」が割り当てられている。
【0060】
異常検出部４８は、車載システム２における各ＥＣＵの挙動や通信の状態等を監視することにより、ゲスト仮想マシン３８におけるセキュリティ異常を検出する。異常検出部４８は、例えばネットワークＩＤＳ又はホストＩＤＳで構成されている。
【0061】
異常対応部５０は、異常検出部４８によりセキュリティ異常が検出された場合に、ホスト仮想マシン４０からの異常対応指示に基づいて、検出されたセキュリティ異常を解消するための異常対応処理を実行する。
【0062】
異常通知部５２は、異常検出部４８によりセキュリティ異常が検出された場合に、例えば検出されたセキュリティ異常の内容や、異常対応処理の内容、特定のサービスが停止又は設定変更された旨等を示す情報を、監視サーバ８に通知する。また、異常通知部５２は、セキュリティ異常が解消された場合に、セキュリティ異常が解消された旨を示す情報を監視サーバ８に通知する。
【0063】
ホスト仮想マシン４０は、仮想化プラットフォーム３４上で動作する例えばＬｉｎｕｘ（登録商標）やＡｎｄｒｏｉｄ（登録商標）等のオペレーティングシステムである。ホスト仮想マシン４０は、異常検出部５４と、異常対応部５６と、異常通知部５８（通知部の一例）と、検出結果収集部６０と、車両状態取得部６２（取得部の一例）と、異常対応回数計数部６４（計数部の一例）と、サービスリスト記憶部６６（第１の記憶部の一例）と、異常対応テーブル記憶部６８（第２の記憶部の一例）と、判定部７０と、指示部７２とを有している。なお、ホスト仮想マシン４０には、当該ホスト仮想マシン４０を識別するための仮想マシン番号「３」が割り当てられている。
【0064】
異常検出部５４は、車載システム２における各ＥＣＵの挙動や通信の状態等を監視することにより、ホスト仮想マシン４０におけるセキュリティ異常を検出する。異常検出部５４は、例えばネットワークＩＤＳ又はホストＩＤＳで構成されている。
【0065】
異常対応部５６は、異常検出部５４によりセキュリティ異常が検出された場合に、指示部７２からの異常対応指示に基づいて、検出されたセキュリティ異常を解消するための異常対応処理を実行する。
【0066】
異常通知部５８は、異常検出部５４によりセキュリティ異常が検出された場合に、例えば検出されたセキュリティ異常の内容や、異常対応処理の内容、特定のサービスが停止又は設定変更された旨等を示す情報を、監視サーバ８に通知する。また、異常通知部５８は、セキュリティ異常が解消された場合に、セキュリティ異常が解消された旨を示す情報を監視サーバ８に通知する。
【0067】
検出結果収集部６０は、各異常検出部４２，４８，５４の検出結果を示す情報（以下、「検出結果情報」という）を収集する。検出結果情報は、例えば、（ａ）セキュリティ異常が検出された仮想マシンの仮想マシン番号、（ｂ）セキュリティ異常を検出した異常検出部の種類（ネットワークＩＤＳ又はホストＩＤＳ）、（ｃ）セキュリティ異常の内容等を含んでいる。検出結果収集部６０は、収集した検出結果情報を、例えば図４Ａに示すようなデータテーブルとして保持する。
【0068】
車両状態取得部６２は、例えばゲートウェイＥＣＵ１２及びゾーンＥＣＵ１８等から、車両４の状態を示す情報（以下、「車両状態情報」という）を取得する。車両状態情報は、例えば、（ａ）車両４の走行状態（走行中、停止中）、（ｂ）車両４のエンジンの稼働状態（オン又はオフ）等を含んでいる。車両状態取得部６２は、取得した車両状態情報を、例えば図４Ｂに示すようなデータテーブルとして保持する。なお、車両状態情報は、上記の（ａ）及び（ｂ）以外に、例えば（ｃ）オートクルーズコントロール中、（ｄ）自動運転中、（ｅ）イグニッションのＯＮ／ＯＦＦ、（ｆ）アクセサリーのＯＮ／ＯＦＦ、（ｇ）インターネット接続中、（ｈ）ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｏｎｉｎｇ Ｓｙｓｔｅｍ）情報等を含んでいてもよい。
【0069】
異常対応回数計数部６４は、各異常対応部４４，５０，５６が所定の期間に亘って（例えば、直近の１時間の間に）異常対応処理を実行した回数（以下、「異常対応回数」という）を計数する。異常対応回数計数部６４は、各異常対応部４４，５０，５６のいずれかが異常対応処理を実行する毎に、異常対応回数を「１」ずつインクリメントする。異常対応回数計数部６４は、計数した異常対応回数を、例えば図４Ｃに示すようなデータテーブルとして保持する。なお、異常対応回数計数部６４は、セキュリティ異常の種類毎に異常対応回数を計数してもよい。
【0070】
サービスリスト記憶部６６は、サービスリストを記憶する不揮発性メモリである。サービスリストは、車載システム２で実行される複数のサービス（機能）の一覧を示すリストであり、例えば図５に示すようなデータテーブルである。図５に示すように、サービスリストでは、サービス名と、仮想マシン番号と、優先度と、カテゴリと、車両状態と、再起動要否と、設定値とが対応付けられている。
【0071】
サービスリストにおける「サービス名」は、車載システム２において実行されるサービスの名称である。
【0072】
「車外通信」は、例えばＷｉＦｉ（登録商標）やＢｌｕｅｔｏｏｔｈ（登録商標）、無
線インターネット通信、暗号通信等、車両４の外部との通信のために必要なサービスである。「デバイス接続」は、例えばＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）やＢｌｕｅｔｏｏｔｈ（登録商標）等、外部デバイスとの通信のために必要なサービスである。「内部通信」は、例えば仮想マシン間の通信や、ハイパーバイザとの通信（ｈｙｐｅｒｃａｌｌ）、ＴｒｕｓｔＺｏｎｅとの通信（Ｓｅｃｕｒｅ Ｍｏｎｉｔｏｒ Ｃａｌｌ）等のために必要なサービスである。
線インターネット通信、暗号通信等、車両４の外部との通信のために必要なサービスである。「デバイス接続」は、例えばＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）やＢｌｕｅｔｏｏｔｈ（登録商標）等、外部デバイスとの通信のために必要なサービスである。「内部通信」は、例えば仮想マシン間の通信や、ハイパーバイザとの通信（ｈｙｐｅｒｃａｌｌ）、ＴｒｕｓｔＺｏｎｅとの通信（Ｓｅｃｕｒｅ Ｍｏｎｉｔｏｒ Ｃａｌｌ）等のために必要なサービスである。
【0073】
「車内通信」は、例えばＣＡＮやＣＡＮ－ＦＤ（ＣＡＮ ｗｉｔｈ Ｆｌｅｘｉｂｌｅ
Ｄａｔａ Ｒａｔｅ）、ＦｌｅｘＲａｙ（登録商標）、イーサネット（登録商標）等、車両４の制御に関わる通信に必要なサービスである。「ソフト更新」は、ソフトウェアのアップロードのために必要なサービスである。「ナビ」は、例えばナビゲーション機能や、音楽・ラジオの再生のために必要なサービスである。「メータ」は、車速や警告等の表示のために必要なサービスである。
Ｄａｔａ Ｒａｔｅ）、ＦｌｅｘＲａｙ（登録商標）、イーサネット（登録商標）等、車両４の制御に関わる通信に必要なサービスである。「ソフト更新」は、ソフトウェアのアップロードのために必要なサービスである。「ナビ」は、例えばナビゲーション機能や、音楽・ラジオの再生のために必要なサービスである。「メータ」は、車速や警告等の表示のために必要なサービスである。
【0074】
「車両制御」は、例えば車両４の走る、曲がる、止まるといった各種制御のために必要なサービスである。「ファイアウォール」は、例えばネットワークのフィルタリングのために必要なサービスである。「アクセス制御」は、例えばプロセスのアクセスコントロールのために必要なサービスである。「侵入検出防御」は、例えばセキュリティ異常の検出及び防御のために必要なサービスである。「セキュリティ（暗号・署名）」は、例えばＴｒｕｓｔＺｏｎｅを用いたセキュリティ機能のために必要なサービスである。
【0075】
サービスリストにおける「仮想マシン番号」は、サービスの停止の影響を受ける仮想マシンの仮想マシン番号（例えば、「１」、「２」、「３」）である。
【0076】
サービスリストにおける「優先度」は、停止又は設定変更するサービスの優先順位を示す数値である。優先度は、例えば「１」～「４」の数値で表され、数値が小さいほど優先度が高い（すなわち、サービスが脆弱性を含む可能性が高い）ことを意味する。
【0077】
サービスリストにおける「カテゴリ」は、サービスの種別であり、例えばネットワーク、デバイス、車両機能、車両安全機能及びセキュリティである。
【0078】
サービスリストにおける「車両状態」は、サービスを停止することが不可能である車両４の状態（走行中、停止中）である。例えば、サービス名「メータ」に対応する車両状態「走行中ＮＧ」は、車両４の走行中は「メータ」のサービスを停止することが不可能であることを意味している。なお、車両状態「－」は、車両４の状態に関わらず、サービスを停止することが可能であることを意味している。
【0079】
サービスリストにおける「再起動要否」は、サービスを停止するための再起動の要否である。例えば、再起動要否「不要」は、サービスを停止するための再起動が不要であることを意味している。また例えば、再起動要否「システム」は、サービスを停止するために、統合ＥＣＵ１０全体の再起動が必要であることを意味している。また例えば、再起動要否「該当仮想マシン」は、サービスを停止するために、セキュリティ異常が検出された仮想マシンのみの再起動が必要であることを意味している。
【0080】
サービスリストにおける「設定値」は、サービスを設定変更する際の、設定変更する対象である。例えば、サービス名「車外通信」に対応する設定値「ＩＰアドレス」は、異常対応処理として、「車外通信」のサービスのＩＰアドレスを設定変更することを意味している。また例えば、サービス名「ファイアウォール」に対応する設定値「ルール／停止不要」は、異常対応処理として、「ファイアウォール」のサービスのルールを設定変更（例えば、特定のＩＰアドレスをドロップするルールに設定変更）し、且つ、当該サービスの
停止は不要であることを意味している。
停止は不要であることを意味している。
【0081】
異常対応テーブル記憶部６８は、異常対応テーブルを記憶する不揮発性メモリである。異常対応テーブルは、異常対応回数と異常対応処理との対応関係を示す、例えば図６に示すようなデータテーブルである。
【0082】
図６に示すように、例えば異常対応テーブルの１行目では、異常対応回数「０」と、異常対応処理「優先度１のサービスの設定を変更」とが対応付けられている。また例えば、異常対応テーブルの２行目では、異常対応回数「１」と、異常対応処理「優先度１のサービスを停止」とが対応付けられている。また例えば、異常対応テーブルの３行目では、異常対応回数「２」と、異常対応処理「優先度２のサービスの設定を変更」とが対応付けられている。また例えば、異常対応テーブルの４行目では、異常対応回数「３」と、異常対応処理「優先度２のサービスを停止」とが対応付けられている。すなわち、異常対応テーブルでは、異常対応回数が増大するのに従って、例えば脆弱性を含む可能性の高いサービスから順に停止又は設定変更する異常対応処理が規定されている。
【0083】
判定部７０は、異常検出部４２，４８，５４のいずれかによりセキュリティ異常が検出された場合に、検出結果収集部６０からの検出結果情報、車両状態取得部６２からの車両状態情報、及び、異常対応回数計数部６４からの異常対応回数を取得する。そして、判定部７０は、サービスリスト及び異常対応テーブルを参照して、検出結果情報、車両状態情報及び異常対応回数に基づいて、サービスリストにより示される複数のサービスの中から、セキュリティ異常を解消するために停止又は設定変更すべき特定のサービスを判定する。そして、判定部７０は、停止又は設定変更すべき特定のサービスの一覧である停止サービスリストを出力する。すなわち、図７に示すように、判定部７０は、検出結果情報、車両状態情報、異常対応回数、サービスリスト及び異常対応テーブルを入力として、停止サービスリストを出力する処理を実行する。
【0084】
停止サービスリストは、例えば図８に示すようなデータテーブルである。図８に示すように、停止サービスリストでは、異常対応回数と、仮想マシン番号と、優先度と、サービス名と、設定変更／停止とが対応付けられている。
【0085】
例えば、判定部７０は、取得した異常対応回数が０回である場合、異常対応テーブルから、異常対応回数「０」に対応する異常対応処理「優先度１のサービスの設定を変更」を読み出す。そして、判定部７０は、取得した検出結果情報に基づいて、セキュリティ異常を検出した異常検出部がネットワークＩＤＳであると判定する。また、判定部７０は、取得した車両情報に基づいて、車両４が走行中であると判定する。この場合、判定部７０は、サービスリストから、優先度が「１」であり、且つ、カテゴリが「ネットワーク」又は「セキュリティ」であり、且つ、車両状態が「－」であるサービスとして、「車外通信」及び「ファイアウォール」を抽出する。そして、判定部７０は、設定変更する特定のサービスとして「車外通信」及び「ファイアウォール」を判定し、「車外通信」及び「ファイアウォール」の各サービスを停止サービスリストに追加する。
【0086】
指示部７２は、判定部７０の判定結果に基づいて、異常対応部４４，５０，５６のうちセキュリティ異常を検出した異常対応部に対して、判定部７０により判定された特定のサービスを停止又は設定変更するように指示する異常対応指示を出力する。
【0087】
なお、例えば、指示部７２が、セキュリティ異常を検出した異常対応部４４に対して、判定部７０により判定された特定のサービスを停止又は設定変更するように指示する異常対応指示を出力した場合、異常対応部４４は、セキュリティ異常が検出されたゲスト仮想マシン３６を複製した複製ゲスト仮想マシン（複製オペレーティングシステムの一例）を
生成してもよい。これにより、例えばゲスト仮想マシン３６が攻撃を受けた場合に、複製ゲスト仮想マシンが引き続き攻撃の対象となるようにしながら、複製元のゲスト仮想マシン３６の設定（例えば、ＩＰアドレス等）を、攻撃を受け難い設定に変更することができる。あるいは、動的に複製ゲスト仮想マシンを生成するのに代えて、予め複製ゲスト仮想マシンを準備しておいてもよい。
生成してもよい。これにより、例えばゲスト仮想マシン３６が攻撃を受けた場合に、複製ゲスト仮想マシンが引き続き攻撃の対象となるようにしながら、複製元のゲスト仮想マシン３６の設定（例えば、ＩＰアドレス等）を、攻撃を受け難い設定に変更することができる。あるいは、動的に複製ゲスト仮想マシンを生成するのに代えて、予め複製ゲスト仮想マシンを準備しておいてもよい。
【0088】
【0089】
以下、ゲスト仮想マシン３６においてセキュリティ異常が検出された場合について説明する。図９に示すように、まず、ゲスト仮想マシン３６の異常検出部４２は、当該ゲスト仮想マシン３６におけるセキュリティ異常を検出する（Ｓ１０１）。次いで、ホスト仮想マシン４０の検出結果収集部６０は、異常検出部４２から検出結果情報を収集する（Ｓ１０２）。
【0090】
次いで、ホスト仮想マシン４０の判定部７０は、検出結果収集部６０から検出結果情報を取得し（Ｓ１０３）、車両状態取得部６２及び異常対応回数計数部６４からそれぞれ車両状態情報及び異常対応回数を取得する（Ｓ１０４）。
【0091】
次いで、判定部７０は、サービスリスト及び異常対応テーブルを参照して、検出結果情報、車両状態情報及び異常対応回数に基づいて、サービスリストにより示される複数のサービスの中から、セキュリティ異常を解消するために停止又は設定変更すべき特定のサービスを判定する（Ｓ１０５）。
【0092】
次いで、ホスト仮想マシン４０の指示部７２は、判定部７０の判定結果に基づいて、セキュリティ異常が検出されたゲスト仮想マシン３６の異常対応部４４に対して、判定部７０により判定された特定のサービスを停止又は設定変更するように指示する異常対応指示を出力する（Ｓ１０６）。次いで、ゲスト仮想マシン３６の異常対応部４４は、指示部７２からの異常対応指示に基づいて、特定のサービスを停止又は設定変更する異常対応処理を実行する（Ｓ１０７）。
【0093】
次いで、ゲスト仮想マシン３６の異常通知部４６は、検出されたセキュリティ異常の内容や、異常対応処理の内容等を示す情報を監視サーバ８に通知する（Ｓ１０８）。これにより、監視サーバ８のディスプレイには、異常通知部４６からの通知内容が表示される（Ｓ１０９）。
【0094】
なお、本実施の形態では、ゲスト仮想マシン３６でセキュリティ異常が検出された場合について説明したが、ゲスト仮想マシン３８又はホスト仮想マシン４０でセキュリティ異常が検出された場合についても、上述と同様の処理が実行される。
【0095】
［４．判定部の動作］
次に、図１０～図１３を参照しながら、統合ＥＣＵ１０の判定部７０の動作について説明する。図１０～図１２は、実施の形態に係る統合ＥＣＵ１０の判定部７０の動作の流れを示すフローチャートである。図１３は、実施の形態に係る統合ＥＣＵ１０の判定部７０の動作を説明するための図である。
次に、図１０～図１３を参照しながら、統合ＥＣＵ１０の判定部７０の動作について説明する。図１０～図１２は、実施の形態に係る統合ＥＣＵ１０の判定部７０の動作の流れを示すフローチャートである。図１３は、実施の形態に係る統合ＥＣＵ１０の判定部７０の動作を説明するための図である。
【0096】
図１０に示すように、判定部７０は、検出結果収集部６０から検出結果情報を取得する（Ｓ２０１）。次いで、判定部７０は、異常対応回数計数部６４から異常対応回数を取得
し、異常対応回数がＮ（≧１）回であるか否かを判定する（Ｓ２０２）。
し、異常対応回数がＮ（≧１）回であるか否かを判定する（Ｓ２０２）。
【0097】
異常対応回数が０回である場合には（Ｓ２０２でＮＯ）、判定部７０は、異常対応テーブルから、異常対応回数「０」に対応する異常対応処理を読み出し、該当する特定のサービスを停止サービスリストに追加する（Ｓ２０３）。
【0098】
一方、異常対応回数がＮ回である場合には（Ｓ２０２でＹＥＳ）、判定部７０は、異常対応テーブルから、異常対応回数「Ｎ」に対応する異常対応処理を読み出し、該当する特定のサービスを停止サービスリストに追加する（Ｓ２０４）。
【0099】
また、図１１に示すように、判定部７０は、検出結果収集部６０から検出結果情報を取得する（Ｓ３０１）。次いで、判定部７０は、車両状態取得部６２から車両状態情報を取得し、車両４の状態が走行中及び停車中のいずれであるかを判定する（Ｓ３０２）。
【0100】
車両４の状態が停車中である場合には（Ｓ３０２で「停車中」）、判定部７０は、サービスリストにより示される複数のサービスのうち、車両状態「停車中ＮＧ」のサービスを停止サービスリストから除外する（Ｓ３０３）。すなわち、判定部７０は、サービスリストにより示される複数のサービスのうち、車両状態「停車中ＮＧ」のサービスを、停止又は設定変更する特定のサービスとして採用しない。
【0101】
一方、車両４の状態が走行中である場合には（Ｓ３０２で「走行中」）、判定部７０は、サービスリストにより示される複数のサービスのうち、車両状態「走行中ＮＧ」のサービスを停止サービスリストから除外する（Ｓ３０４）。すなわち、判定部７０は、サービスリストにより示される複数のサービスのうち、車両状態「走行中ＮＧ」のサービスを、停止又は設定変更する特定のサービスとして採用しない。
【0102】
また、図１２に示すように、判定部７０は、検出結果収集部６０から検出結果情報を取得する（Ｓ４０１）。次いで、判定部７０は、検出結果情報に基づいて、セキュリティ異常を検出した異常検出部の種類を判定する（Ｓ４０２，Ｓ４０３）。
【0103】
セキュリティ異常を検出した異常検出部がネットワークＩＤＳである場合には（Ｓ４０２でＹＥＳ）、判定部７０は、サービスリストにより示される複数のサービスのうち、カテゴリ「ネットワーク」のサービスを停止サービスリストに追加する（Ｓ４０４）。
【0104】
一方、セキュリティ異常を検出した異常検出部がホストＩＤＳである場合には（Ｓ４０２でＮＯ、Ｓ４０３でＹＥＳ）、判定部７０は、セキュリティ異常が発生したサービスを特定可能か否かを判定する（Ｓ４０５）。セキュリティ異常が発生したサービスを特定可能な場合には（Ｓ４０５でＹＥＳ）、判定部７０は、特定したサービスを停止サービスリストに追加する（Ｓ４０６）。一方、セキュリティ異常が発生したサービスを特定不可能な場合には（Ｓ４０５でＮＯ）、判定部７０は処理を終了する。
【0105】
ステップＳ４０２に戻り、セキュリティ異常を検出した異常検出部がネットワークＩＤＳ及びホストＩＤＳのいずれでもない場合には（Ｓ４０２でＮＯ、Ｓ４０３でＮＯ）、判定部７０は処理を終了する。
【0106】
上述したようにして生成された停止サービスリストは、次のようにして用いられる。図１３に示すように、統合ＥＣＵ１０が正常に稼働している状態で、例えばゲスト仮想マシン３６の異常検出部４２がセキュリティ異常を検出したとする。この時点では、異常対応回数は０回であるので、判定部７０は、異常対応テーブルから、異常対応回数「０」に対応する異常対応処理を読み出し、該当する特定のサービスを停止サービスリストに追加す
る。これにより、ゲスト仮想マシン３６の異常対応部４４は、例えば停止サービスリストに追加されたサービス「車外通信」及び「ファイアウォール」をそれぞれ設定変更する異常対応処理を実行する。この時、ホスト仮想マシン４０の異常対応回数計数部６４は、異常対応回数を「０」から「１」にインクリメントする。
る。これにより、ゲスト仮想マシン３６の異常対応部４４は、例えば停止サービスリストに追加されたサービス「車外通信」及び「ファイアウォール」をそれぞれ設定変更する異常対応処理を実行する。この時、ホスト仮想マシン４０の異常対応回数計数部６４は、異常対応回数を「０」から「１」にインクリメントする。
【0107】
その後、統合ＥＣＵ１０が一定期間正常に稼働していたが、例えばゲスト仮想マシン３６の異常検出部４２が再度セキュリティ異常を検出したとする。この時点では、異常対応回数は１回であるので、判定部７０は、異常対応テーブルから、異常対応回数「１」に対応する異常対応処理を読み出し、該当する特定のサービスを停止サービスリストに追加する。これにより、ゲスト仮想マシン３６の異常対応部４４は、例えば停止サービスリストに追加されたサービス「車外通信」を停止し、且つ、サービス「ファイアウォール」を設定変更する異常対応処理を実行する。この時、ホスト仮想マシン４０の異常対応回数計数部６４は、異常対応回数を「１」から「２」にインクリメントする。なお、異常対応回数が１回の場合、異常対応テーブルの異常対応回数「１」に対応する異常対応処理に該当する特定のサービスのみを停止サービスリストに追加してもよいし、異常対応テーブルの異常対応回数「０」及び「１」にそれぞれ対応する異常対応処理に該当する特定のサービスを停止サービスリストに追加してもよい。
【0108】
その後、セキュリティ異常が完全に解消された場合には、統合ＥＣＵ１０は正常に稼働する。なお、異常検出部４２，４８，５４のいずれかがセキュリティ異常を検出した場合には、上述と同様の処理が繰り返し実行される。
【0109】
［５．効果］
本実施の形態では、判定部７０は、異常検出部４２，４８，５４のいずれかによりセキュリティ異常が検出された場合に、サービスリストにより示される複数のサービスの中から、セキュリティ異常を解消するために停止又は設定変更すべき特定のサービスを判定する。
本実施の形態では、判定部７０は、異常検出部４２，４８，５４のいずれかによりセキュリティ異常が検出された場合に、サービスリストにより示される複数のサービスの中から、セキュリティ異常を解消するために停止又は設定変更すべき特定のサービスを判定する。
【0110】
これにより、例えば脆弱性を含む可能性の高い、最小限の特定のサービスを停止又は設定変更する異常対応処理を実行するので、異常対応処理を実行することによる車両４の機能への影響を最小限に抑えることができる。
【0111】
［６．変形例］
図１４は、実施の形態の変形例に係る異常対応テーブルの一例を示す図である。図１４に示すように、異常対応テーブルの１行目では、異常対応回数「０」と、異常対応処理「まずサービスを全て停止して、優先度４のサービスを順に立ち上げ、所定時間の経過後に優先度３のサービスを順に立ち上げ、さらに所定の時間の経過後に優先度２のサービスを順に立ち上げ、さらに所定の時間の経過後に優先度１のサービスを順に立ち上げ」とが対応付けられている。
図１４は、実施の形態の変形例に係る異常対応テーブルの一例を示す図である。図１４に示すように、異常対応テーブルの１行目では、異常対応回数「０」と、異常対応処理「まずサービスを全て停止して、優先度４のサービスを順に立ち上げ、所定時間の経過後に優先度３のサービスを順に立ち上げ、さらに所定の時間の経過後に優先度２のサービスを順に立ち上げ、さらに所定の時間の経過後に優先度１のサービスを順に立ち上げ」とが対応付けられている。
【0112】
すなわち、異常対応テーブルの１行目では、異常対応回数が０回の場合には、全てのサービスを一旦停止した後に、優先度の低いサービスから高いサービスへと順に立ち上げる異常対応処理が規定されている。
【0113】
また、異常対応テーブルの２行目では、異常対応回数「１」と、異常対応処理「まずサービスを全て停止して、優先度Ｍのサービス以外のサービスを優先度の低いものから順に立ち上げ」とが対応付けられている。ここで、優先度Ｍは、異常対応回数が０回の時に、セキュリティ異常が検出されたサービスの優先度である。例えば、優先度Ｍ＝２の場合、異常対応回数が０回の時に、優先度４のサービス、優先度３のサービス、優先度２のサービスの順に立ち上げた際に、優先度２のサービスを立ち上げたタイミングでセキュリティ異常が検出されたことを意味する。
【0114】
すなわち、異常対応テーブルの２行目では、異常対応回数が１回目の場合には、全てのサービスを一旦停止した後に、優先度Ｍのサービス以外のサービスを優先度の低いサービスから高いサービスへと順に立ち上げる異常対応処理が規定されている。つまり、例えば、優先度Ｍ＝２の場合、優先度４のサービス、優先度３のサービス、優先度１のサービスの順に立ち上げることを意味する。
【0115】
（他の変形例）
以上、一つ又は複数の態様に係る監視システムについて、上記実施の形態に基づいて説明したが、本開示は、上記実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思い付く各種変形を上記実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、一つ又は複数の態様の範囲内に含まれてもよい。
以上、一つ又は複数の態様に係る監視システムについて、上記実施の形態に基づいて説明したが、本開示は、上記実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思い付く各種変形を上記実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、一つ又は複数の態様の範囲内に含まれてもよい。
【0116】
上記実施の形態では、本開示の適用例として自動車（車両）に対するセキュリティ対策として説明したが、適用範囲はこれに限定されない。例えば、自動車に限らず、建機、農機、船舶、鉄道又は飛行機等の各種モビリティにも本開示を適用してもよい。
【0117】
なお、上記実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したコンピュータプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵ又はプロセッサ等のプログラム実行部が、ハードディスク又は半導体メモリなどの記録媒体に記録されたコンピュータプログラムを読み出して実行することによって実現されてもよい。
【0118】
また、上記実施の形態に係る監視システムの機能の一部又は全てを、ＣＰＵ等のプロセッサがコンピュータプログラムを実行することにより実現してもよい。
【0119】
上記の各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしても良い。前記ＩＣカード又は前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。前記ＩＣカード又は前記モジュールは、上記の超多機能ＬＳＩを含むとしても良い。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカード又は前記モジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしても良い。
【0120】
本開示は、上記に示す方法であるとしても良い。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしても良いし、前記コンピュータプログラムを含むデジタル信号であるとしても良い。また、本開示は、前記コンピュータプログラム又は前記デジタル信号をコンピュータ読み取り可能な非一時的な記録媒体、例えばフレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標） Ｄｉｓｃ）、半導体メモリ等に記録したものとしても良い。また、これらの記録媒体に記録されている前記デジタル信号であるとしても良い。また、本開示は、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしても良い。また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしても良い。また、前記コンピュータプログラム又は前記デジタル信号を前記記録媒体に記録して移送することにより、又は前記コンピュータプログラム又は前
記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしても良い。
記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしても良い。
【産業上の利用可能性】
【0121】
本開示に係る監視システムは、例えば車両に搭載された車載システムを監視する機能を有する統合ＥＣＵ等に適用可能である。
【符号の説明】
【0122】
２ 車載システム
４ 車両
６ 外部ネットワーク
８ 監視サーバ
１０ 統合ＥＣＵ
１２ ゲートウェイＥＣＵ
１４ ステアリングＥＣＵ
１６ ブレーキＥＣＵ
１８ ゾーンＥＣＵ
２０ フロントカメラＥＣＵ
２２ リアカメラＥＣＵ
２４，２６ ＣＡＮ
２８，３０ イーサネット（登録商標）
３２ ハードウェア
３４ 仮想化プラットフォーム
３６，３８ ゲスト仮想マシン
４０ ホスト仮想マシン
４２，４８，５４ 異常検出部
４４，５０，５６ 異常対応部
４６，５２，５８ 異常通知部
６０ 検出結果収集部
６２ 車両状態取得部
６４ 異常対応回数計数部
６６ サービスリスト記憶部
６８ 異常対応テーブル記憶部
７０ 判定部
７２ 指示部
４ 車両
６ 外部ネットワーク
８ 監視サーバ
１０ 統合ＥＣＵ
１２ ゲートウェイＥＣＵ
１４ ステアリングＥＣＵ
１６ ブレーキＥＣＵ
１８ ゾーンＥＣＵ
２０ フロントカメラＥＣＵ
２２ リアカメラＥＣＵ
２４，２６ ＣＡＮ
２８，３０ イーサネット（登録商標）
３２ ハードウェア
３４ 仮想化プラットフォーム
３６，３８ ゲスト仮想マシン
４０ ホスト仮想マシン
４２，４８，５４ 異常検出部
４４，５０，５６ 異常対応部
４６，５２，５８ 異常通知部
６０ 検出結果収集部
６２ 車両状態取得部
６４ 異常対応回数計数部
６６ サービスリスト記憶部
６８ 異常対応テーブル記憶部
７０ 判定部
７２ 指示部
【図1】
【図2】
【図3】
【図4A】
【図4B】
【図4C】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【手続補正書】
【提出日】2024-04-30
【手続補正1】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項1】
車両に搭載された車載システムを監視するための監視システムであって、
オペレーティングシステムと、
前記オペレーティングシステムにおけるセキュリティ異常を検出する異常検出部と、
前記車載システムで実行される複数のサービスの一覧を示すサービスリストを記憶する第１の記憶部と、
前記異常検出部により前記セキュリティ異常が検出された場合に、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき特定のサービスを判定する判定部と、
前記判定部の判定結果に基づいて、前記特定のサービスを停止又は設定変更する異常対応処理を実行する異常対応部と、
前記異常対応部により所定の期間に亘って前記異常対応処理が実行された回数である異常対応回数を計数する計数部と、を備え、
前記判定部は、前記異常対応回数に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定する
監視システム。
オペレーティングシステムと、
前記オペレーティングシステムにおけるセキュリティ異常を検出する異常検出部と、
前記車載システムで実行される複数のサービスの一覧を示すサービスリストを記憶する第１の記憶部と、
前記異常検出部により前記セキュリティ異常が検出された場合に、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき特定のサービスを判定する判定部と、
前記判定部の判定結果に基づいて、前記特定のサービスを停止又は設定変更する異常対応処理を実行する異常対応部と、
前記異常対応部により所定の期間に亘って前記異常対応処理が実行された回数である異常対応回数を計数する計数部と、を備え、
前記判定部は、前記異常対応回数に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定する
監視システム。
【請求項2】
前記監視システムは、さらに、前記異常対応回数と前記異常対応処理との対応関係を示す異常対応テーブルを記憶する第２の記憶部を備え、
前記判定部は、前記異常対応テーブルを参照することにより、前記計数部により計数された前記異常対応回数に対応する前記異常対応処理に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定する
請求項１に記載の監視システム。
前記判定部は、前記異常対応テーブルを参照することにより、前記計数部により計数された前記異常対応回数に対応する前記異常対応処理に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定する
請求項１に記載の監視システム。
【請求項3】
前記監視システムは、さらに、前記車両の状態を示す情報である車両状態情報を取得する取得部を備え、
前記判定部は、前記異常対応回数及び前記車両状態情報に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定する
請求項１又は２に記載の監視システム。
前記判定部は、前記異常対応回数及び前記車両状態情報に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定する
請求項１又は２に記載の監視システム。
【請求項4】
前記車両状態情報は、前記車両の状態として、前記車両が走行中又は停車中であることを示す情報であり、
前記サービスリストでは、前記複数のサービスの各々と、前記車両が走行中又は停車中に当該サービスを停止することの可否とが対応付けられており、
前記判定部は、前記異常対応回数及び前記車両状態情報に基づいて、前記サービスリストにより示される前記複数のサービスのうち、前記車両が走行中又は停車中において停止することが不可能なサービスを前記特定のサービスとして採用しない
請求項３に記載の監視システム。
前記サービスリストでは、前記複数のサービスの各々と、前記車両が走行中又は停車中に当該サービスを停止することの可否とが対応付けられており、
前記判定部は、前記異常対応回数及び前記車両状態情報に基づいて、前記サービスリストにより示される前記複数のサービスのうち、前記車両が走行中又は停車中において停止することが不可能なサービスを前記特定のサービスとして採用しない
請求項３に記載の監視システム。
【請求項5】
前記監視システムは、さらに、前記異常対応部により前記特定のサービスが停止又は設定変更された場合に、前記特定のサービスが停止又は設定変更された旨を通知する通知部を備える
請求項１に記載の監視システム。
請求項１に記載の監視システム。
【請求項6】
前記通知部は、さらに、前記セキュリティ異常が解消された場合に、前記異常対応部が実行した前記異常対応処理の内容を通知する
請求項５に記載の監視システム。
請求項５に記載の監視システム。
【請求項7】
前記異常対応部は、前記異常検出部により前記セキュリティ異常が検出された場合に、前記セキュリティ異常が検出された前記オペレーティングシステムを複製した複製オペレーティングシステムを生成する
請求項１に記載の監視システム。
請求項１に記載の監視システム。
【請求項8】
前記サービスリストでは、前記複数のサービスの各々に対して優先度が対応付けられており、
前記判定部は、前記優先度に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定する
請求項１に記載の監視システム。
前記判定部は、前記優先度に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定する
請求項１に記載の監視システム。
【請求項9】
前記サービスリストでは、前記複数のサービスは、ネットワーク、デバイス、車両機能、車両安全機能及びセキュリティの少なくとも１つを含むカテゴリに分類されている
請求項１に記載の監視システム。
請求項１に記載の監視システム。
【請求項10】
車両に搭載される車載システムを監視するための監視システムにおける制御方法であって、
（ａ）オペレーティングシステムにおけるセキュリティ異常を検出するステップと、
（ｂ）前記（ａ）で前記セキュリティ異常が検出された場合に、前記車載システムで実行される複数のサービスの一覧を示すサービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき特定のサービスを判定するステップと、
（ｃ）前記（ｂ）の判定結果に基づいて、前記特定のサービスを停止又は設定変更する異常対応処理を実行するステップと、
（ｄ）前記（ｃ）により所定の期間に亘って前記異常対応処理が実行された回数である異常対応回数を計数するステップと、を含み、
前記（ｂ）では、前記異常対応回数に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定する
制御方法。
（ａ）オペレーティングシステムにおけるセキュリティ異常を検出するステップと、
（ｂ）前記（ａ）で前記セキュリティ異常が検出された場合に、前記車載システムで実行される複数のサービスの一覧を示すサービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき特定のサービスを判定するステップと、
（ｃ）前記（ｂ）の判定結果に基づいて、前記特定のサービスを停止又は設定変更する異常対応処理を実行するステップと、
（ｄ）前記（ｃ）により所定の期間に亘って前記異常対応処理が実行された回数である異常対応回数を計数するステップと、を含み、
前記（ｂ）では、前記異常対応回数に基づいて、前記サービスリストにより示される前記複数のサービスの中から、前記セキュリティ異常を解消するために停止又は設定変更すべき前記特定のサービスを判定する
制御方法。