知財求人 - 知財ポータルサイト「IP Force」
▶ パナソニックオートモーティブシステムズ株式会社の特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2025026204
(43)【公開日】2025-02-21
(54)【発明の名称】異常検知装置及び異常検知方法
(51)【国際特許分類】
G08G 1/09 20060101AFI20250214BHJP
【ＦＩ】
G08G1/09 H
【審査請求】未請求
【請求項の数】11
【出願形態】ＯＬ
(21)【出願番号】P 2023131646
(22)【出願日】2023-08-10
(71)【出願人】
【識別番号】322003857
【氏名又は名称】パナソニックオートモーティブシステムズ株式会社
(74)【代理人】
【識別番号】100109210
【弁理士】
【氏名又は名称】新居 広守
(74)【代理人】
【識別番号】100137235
【弁理士】
【氏名又は名称】寺谷 英作
(74)【代理人】
【識別番号】100131417
【弁理士】
【氏名又は名称】道坂 伸一
(72)【発明者】
【氏名】三ツ木 知愛
(72)【発明者】
【氏名】平野 亮
(72)【発明者】
【氏名】芳賀 智之
(72)【発明者】
【氏名】鳥崎 唯之
(72)【発明者】
【氏名】横田 薫
【テーマコード（参考）】
5H181
【Ｆターム（参考）】
5H181AA01
5H181BB04
5H181BB13
5H181BB17
5H181BB18
5H181CC03
5H181CC04
5H181CC11
5H181CC12
5H181CC14
5H181FF13
5H181FF27
5H181FF33
(57)【要約】
【課題】サイバー攻撃以外の、車両の走行制御へ影響を及ぼす攻撃による影響を低減できる異常検知装置を提供する。
【解決手段】異常検知装置２３０は、車両である第１装置（車両２００）が備える第１物体検出装置（物体検出装置２２０）であって、第１装置の周辺の物体を検出する第１物体検出装置により生成された第１物体検出結果と、第１装置の周囲の第２装置（他の車両２００）が備える第２物体検出装置であって、第２装置の周辺の物体を検出する第２物体検出装置により生成された第２物体検出結果とを取得する取得部２３１と、第１物体検出結果と第２物体検出結果とを比較することで、第１装置及び第２装置の少なくとも一方が攻撃されているか否かを判定する判定部２３２と、判定部２３２による判定結果を出力する出力部２３３と、を備える。
【選択図】図４
【解決手段】異常検知装置２３０は、車両である第１装置（車両２００）が備える第１物体検出装置（物体検出装置２２０）であって、第１装置の周辺の物体を検出する第１物体検出装置により生成された第１物体検出結果と、第１装置の周囲の第２装置（他の車両２００）が備える第２物体検出装置であって、第２装置の周辺の物体を検出する第２物体検出装置により生成された第２物体検出結果とを取得する取得部２３１と、第１物体検出結果と第２物体検出結果とを比較することで、第１装置及び第２装置の少なくとも一方が攻撃されているか否かを判定する判定部２３２と、判定部２３２による判定結果を出力する出力部２３３と、を備える。
【選択図】図４
【特許請求の範囲】
【請求項1】
車両である第１装置が備える第１物体検出装置であって、前記第１装置の周辺の物体を検出する第１物体検出装置により生成された第１物体検出結果と、前記第１装置の周囲の第２装置が備える第２物体検出装置であって、前記第２装置の周辺の物体を検出する第２物体検出装置により生成された第２物体検出結果とを取得する取得部と、
前記第１物体検出結果と前記第２物体検出結果とを比較することで、前記第１装置及び前記第２装置の少なくとも一方が攻撃されているか否かを判定する判定部と、
前記判定部による判定結果を出力する出力部と、を備える
異常検知装置。
前記第１物体検出結果と前記第２物体検出結果とを比較することで、前記第１装置及び前記第２装置の少なくとも一方が攻撃されているか否かを判定する判定部と、
前記判定部による判定結果を出力する出力部と、を備える
異常検知装置。
【請求項2】
前記取得部は、前記第１物体検出装置により逐次生成された第１物体検出結果を逐次取得し、前記第２物体検出装置により逐次生成された第２物体検出結果を逐次取得し、
前記判定部は、互いに対応するタイミングで生成された前記第１物体検出結果と前記第２物体検出結果とを逐次比較することで、前記第１装置及び前記第２装置の少なくとも一方が攻撃されているか否かを逐次判定する
請求項１に記載の異常検知装置。
前記判定部は、互いに対応するタイミングで生成された前記第１物体検出結果と前記第２物体検出結果とを逐次比較することで、前記第１装置及び前記第２装置の少なくとも一方が攻撃されているか否かを逐次判定する
請求項１に記載の異常検知装置。
【請求項3】
前記取得部は、さらに、前記第１物体検出装置が前記第１物体検出結果を生成したときの前記第１装置の第１位置と、前記第２物体検出装置が前記第２物体検出結果を生成したときの前記第２装置の第２位置とを取得し、
前記判定部は、前記第１位置が所定領域に含まれる場合に生成された前記第１物体検出結果と、前記第２位置が前記所定領域に含まれる場合に生成された前記第２物体検出結果とを比較することで、前記第１装置及び前記第２装置の少なくとも一方が攻撃されているか否かを判定する
請求項１に記載の異常検知装置。
前記判定部は、前記第１位置が所定領域に含まれる場合に生成された前記第１物体検出結果と、前記第２位置が前記所定領域に含まれる場合に生成された前記第２物体検出結果とを比較することで、前記第１装置及び前記第２装置の少なくとも一方が攻撃されているか否かを判定する
請求項１に記載の異常検知装置。
【請求項4】
前記判定部は、前記第１装置の進行方向に物体が検出されたことを示す前記第１物体検出結果と、前記第２物体検出結果とを比較することで、前記第１装置及び前記第２装置の少なくとも一方が攻撃されているか否かを判定する
請求項１に記載の異常検知装置。
請求項１に記載の異常検知装置。
【請求項5】
前記判定部は、
前記第１物体検出結果及び前記第２物体検出結果を、共通する座標系に変換し、変換後の第１物体検出結果及び第２物体検出結果が互いに異なるか否かを判定し、
前記変換後の第１物体検出結果及び第２物体検出結果が異なる場合、前記第１装置及び前記第２装置の少なくとも一方が攻撃されていると判定する
請求項１から４のいずれか１項に記載の異常検知装置。
前記第１物体検出結果及び前記第２物体検出結果を、共通する座標系に変換し、変換後の第１物体検出結果及び第２物体検出結果が互いに異なるか否かを判定し、
前記変換後の第１物体検出結果及び第２物体検出結果が異なる場合、前記第１装置及び前記第２装置の少なくとも一方が攻撃されていると判定する
請求項１から４のいずれか１項に記載の異常検知装置。
【請求項6】
前記第１物体検出結果は、前記第１装置の周囲の領域を予め設定された複数の領域のそれぞれにおいて物体が存在するか否かを示し、
前記第２物体検出結果は、前記第２装置の周囲の領域を予め設定された複数の領域のそれぞれにおいて物体が存在するか否かを示す
請求項５に記載の異常検知装置。
前記第２物体検出結果は、前記第２装置の周囲の領域を予め設定された複数の領域のそれぞれにおいて物体が存在するか否かを示す
請求項５に記載の異常検知装置。
【請求項7】
前記第１物体検出装置は、第１種別の第１センサと、第２種別の第２センサとを有し、
前記第２物体検出装置は、前記第１種別の第３センサと、前記第２種別の第４センサとを有し、
前記第１物体検出結果は、前記第１センサの第１検出結果と、前記第２センサの第２検出結果とを含み、
前記第２物体検出結果は、前記第３センサの第３検出結果と、前記第４センサの第４検出結果とを含み、
前記判定部は、前記第１検出結果、前記第２検出結果、前記第３検出結果及び前記第４検出結果を比較し、
前記出力部は、前記判定部が前記第１検出結果、前記第２検出結果、前記第３検出結果及び前記第４検出結果を含む４つの検出結果のうちで他の３つの検出結果と異なる１つの検出結果を特定した場合、特定した前記１つの検出結果が得られたセンサのセンサ種別を他の車両に通知する
請求項１から４のいずれか１項に記載の異常検知装置。
前記第２物体検出装置は、前記第１種別の第３センサと、前記第２種別の第４センサとを有し、
前記第１物体検出結果は、前記第１センサの第１検出結果と、前記第２センサの第２検出結果とを含み、
前記第２物体検出結果は、前記第３センサの第３検出結果と、前記第４センサの第４検出結果とを含み、
前記判定部は、前記第１検出結果、前記第２検出結果、前記第３検出結果及び前記第４検出結果を比較し、
前記出力部は、前記判定部が前記第１検出結果、前記第２検出結果、前記第３検出結果及び前記第４検出結果を含む４つの検出結果のうちで他の３つの検出結果と異なる１つの検出結果を特定した場合、特定した前記１つの検出結果が得られたセンサのセンサ種別を他の車両に通知する
請求項１から４のいずれか１項に記載の異常検知装置。
【請求項8】
前記取得部は、さらに、前記第１装置とは異なる車両である第３装置が備える第３物体検出装置であって、前記第３装置の周辺の物体を検出する第３物体検出装置により生成された第３物体検出結果を取得し、
前記判定部は、前記第１物体検出結果と前記第２物体検出結果と前記第３物体検出結果とを比較し、前記第１物体検出結果と前記第２物体検出結果と前記第３物体検出結果とを含む３つの物体検出結果のうちで他の２つの物体検出結果と異なる１つの物体検出結果を特定した場合、特定した前記１つの物体検出結果が得られた物体検出装置を備える装置が攻撃されていると判定する
請求項１から４のいずれか１項に記載の異常検知装置。
前記判定部は、前記第１物体検出結果と前記第２物体検出結果と前記第３物体検出結果とを比較し、前記第１物体検出結果と前記第２物体検出結果と前記第３物体検出結果とを含む３つの物体検出結果のうちで他の２つの物体検出結果と異なる１つの物体検出結果を特定した場合、特定した前記１つの物体検出結果が得られた物体検出装置を備える装置が攻撃されていると判定する
請求項１から４のいずれか１項に記載の異常検知装置。
【請求項9】
前記第２装置は、前記第１装置とは異なる車両、または、路側機である
請求項１から４のいずれか１項に記載の異常検知装置。
請求項１から４のいずれか１項に記載の異常検知装置。
【請求項10】
車両である第１装置が備える第１物体検出装置であって、前記第１装置の周辺の物体を検出する第１物体検出装置により生成された第１物体検出結果を取得し、
前記第１装置の周囲の第２装置が備える第２物体検出装置であって、前記第２装置の周辺の物体を検出する第２物体検出装置により生成された第２物体検出結果を取得し、
前記第１物体検出結果と前記第２物体検出結果とを比較することで、前記第１装置及び前記第２装置の少なくとも一方が攻撃されているか否かを判定し、
前記判定による判定結果を出力する
異常検知方法。
前記第１装置の周囲の第２装置が備える第２物体検出装置であって、前記第２装置の周辺の物体を検出する第２物体検出装置により生成された第２物体検出結果を取得し、
前記第１物体検出結果と前記第２物体検出結果とを比較することで、前記第１装置及び前記第２装置の少なくとも一方が攻撃されているか否かを判定し、
前記判定による判定結果を出力する
異常検知方法。
【請求項11】
請求項１０に記載の異常検知方法をコンピュータに実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は異常検知装置及び異常検知方法に関する。
【背景技術】
【0002】
特許文献１には、他車両の観測した自車両周辺の情報と自車両の走行状態とを比較することでサイバー攻撃を検出する技術が開示されている。
【先行技術文献】
【特許文献】
【0003】
【特許文献1】特開２０１９－１２９５２９号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
しかしながら、特許文献１に係る技術では、サイバー攻撃以外の、車両の走行制御へ影響を及ぼす攻撃による影響を低減できないおそれがある。
【0005】
本開示は、サイバー攻撃以外の、車両の走行制御へ影響を及ぼす攻撃による影響を低減できる異常検知装置を提供する。
【課題を解決するための手段】
【0006】
本開示の一態様に係る異常検知装置は、車両である第１装置が備える第１物体検出装置であって、前記第１装置の周辺の物体を検出する第１物体検出装置により生成された第１物体検出結果と、前記第１装置の周囲の第２装置が備える第２物体検出装置であって、前記第２装置の周辺の物体を検出する第２物体検出装置により生成された第２物体検出結果とを取得する取得部と、前記第１物体検出結果と前記第２物体検出結果とを比較することで、前記第１装置及び前記第２装置の少なくとも一方が攻撃されているか否かを判定する判定部と、前記判定部による判定結果を出力する出力部と、を備える。
【0007】
また、本開示の一態様に係る異常検知方法は、車両である第１装置が備える第１物体検出装置であって、前記第１装置の周辺の物体を検出する第１物体検出装置により生成された第１物体検出結果を取得し、前記第１装置の周囲の第２装置が備える第２物体検出装置であって、前記第２装置の周辺の物体を検出する第２物体検出装置により生成された第２物体検出結果を取得し、前記第１物体検出結果と前記第２物体検出結果とを比較することで、前記第１装置及び前記第２装置の少なくとも一方が攻撃されているか否かを判定し、前記判定による判定結果を出力する。
【0008】
なお、これらの全般的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの非一時的な記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび非一時的な記録媒体の任意な組み合わせで実現されてもよい。
【発明の効果】
【0009】
上記態様によれば、サイバー攻撃以外の、車両の走行制御へ影響を及ぼす攻撃による影響を低減できる。
【図面の簡単な説明】
【0010】
【発明を実施するための形態】
【0011】
（本開示の基礎となった知見）
本発明者は、「背景技術」の欄において記載した従来技術に関し、以下の問題が生じることを見出した。
本発明者は、「背景技術」の欄において記載した従来技術に関し、以下の問題が生じることを見出した。
【0012】
特許文献１の技術では、他車両の観測した自車両周辺の情報と自車両の走行状態とを比較することでサイバー攻撃を検出する。つまり、この技術では、車両の情報が改ざんされているか否かを監視することが目的である。
【0013】
近年、車両は、車両の周囲の物体を検出する物体検出装置を備えており、物体検出装置の検出結果を車両の走行制御に用いているものがある。物体検出装置の検出結果を用いた走行制御では、例えば、車両の走行方向に車両の走行を妨げる物体を検出した場合、当該物体に衝突することを避けるように、車両の操舵角を変更したり、車両の走行を停止させたりすることが行われる。このような物体検出装置を備える車両に対して、実際には車両の周囲に物体が存在するのに車両の周囲に物体が存在しない検出結果となるように物体検出装置に誤検出させたり、反対に実際には車両の周囲に物体が存在しないのに車両の周囲に物体が存在する検出結果となるように物体検出装置に誤検出させたりする攻撃が行われるおそれがあることを発明者らは見出した。このような誤検出させる攻撃が行われた場合、車両は、前方に物体があるのにそのまま走行することで衝突したり、前方に物体がないのに走行を停止したりするような意図しない制御を行う可能性がある。よって、誤検出させる攻撃を検知することが必要である。
【0014】
本発明者は、鋭意検討の上、車両の物体検出装置に誤検出させる攻撃を検知することができる異常検知装置などを見出すに至った。
【0015】
本開示の第１の態様に係る異常検知装置は、車両である第１装置が備える第１物体検出装置であって、前記第１装置の周辺の物体を検出する第１物体検出装置により生成された第１物体検出結果と、前記第１装置の周囲の第２装置が備える第２物体検出装置であって、前記第２装置の周辺の物体を検出する第２物体検出装置により生成された第２物体検出結果とを取得する取得部と、前記第１物体検出結果と前記第２物体検出結果とを比較することで、前記第１装置及び前記第２装置の少なくとも一方が攻撃されているか否かを判定する判定部と、前記判定部による判定結果を出力する出力部と、を備える。
【0016】
これによれば、第１物体検出結果と第２物体検出結果とを比較することで、第１装置及び第２装置の少なくとも一方が攻撃されているか否かを判定するため、例えば、第１物体検出結果及び第２物体検出結果が異なっていれば物体検出装置に誤検出させる攻撃が行われていることを検知することができる。よって、物体検出装置に誤検出させるような攻撃であって、車両の走行制御へ影響を及ぼす攻撃による影響を低減できる。
【0017】
本開示の第２の態様に係る異常検知装置は、第１の態様に係る異常検知装置であって、前記取得部は、前記第１物体検出装置により逐次生成された第１物体検出結果を逐次取得し、前記第２物体検出装置により逐次生成された第２物体検出結果を逐次取得し、前記判定部は、互いに対応するタイミングで生成された前記第１物体検出結果と前記第２物体検出結果とを逐次比較することで、前記第１装置及び前記第２装置の少なくとも一方が攻撃されているか否かを逐次判定する。
【0018】
このため、逐次的に、物体検出装置に誤検出させる攻撃が行われていることを検知することができる。
【0019】
本開示の第３の態様に係る異常検知装置は、第１の態様に係る異常検知装置であって、前記取得部は、さらに、前記第１物体検出装置が前記第１物体検出結果を生成したときの前記第１装置の第１位置と、前記第２物体検出装置が前記第２物体検出結果を生成したときの前記第２装置の第２位置とを取得し、前記判定部は、前記第１位置が所定領域に含まれる場合に生成された前記第１物体検出結果と、前記第２位置が前記所定領域に含まれる場合に生成された前記第２物体検出結果とを比較することで、前記第１装置及び前記第２装置の少なくとも一方が攻撃されているか否かを判定する。
【0020】
このため、例えば所定領域が車両の走行制御へ影響を及ぼす攻撃を受けたときに車両が正常に走行できない可能性が高い場合に、当該攻撃を検知することができるため、車両が正常に走行できなくなる可能性を低減できる。
【0021】
本開示の第４の態様に係る異常検知装置は、第１の態様に係る異常検知装置であって、前記判定部は、前記第１装置の進行方向に物体が検出されたことを示す前記第１物体検出結果と、前記第２物体検出結果とを比較することで、前記第１装置及び前記第２装置の少なくとも一方が攻撃されているか否かを判定する。
【0022】
このため、第１装置によって検出された物体が誤検出によるものか否かを判定することができる。
【0023】
本開示の第５の態様に係る異常検知装置は、第１の態様から第４の態様のいずれか１つの態様に係る異常検知装置であって、前記判定部は、前記第１物体検出結果及び前記第２物体検出結果を、共通する座標系に変換し、変換後の第１物体検出結果及び第２物体検出結果が互いに異なるか否かを判定し、前記変換後の第１物体検出結果及び第２物体検出結果が異なる場合、前記第１装置及び前記第２装置の少なくとも一方が攻撃されていると判定する。
【0024】
このため、第１物体検出結果及び第２物体検出結果の比較によって、２つの装置によって検出された物体が同じものであるか否かを判定することが容易にできる。そして、２つの装置によって検出された物体が異なる場合に、第１装置及び第２装置の少なくとも一方が攻撃されていると判定することができる。
【0025】
本開示の第６の態様に係る異常検知装置は、第５の態様に係る異常検知装置であって、前記第１物体検出結果は、前記第１装置の周囲の領域を予め設定された複数の領域のそれぞれにおいて物体が存在するか否かを示し、前記第２物体検出結果は、前記第２装置の周囲の領域を予め設定された複数の領域のそれぞれにおいて物体が存在するか否かを示す。
【0026】
このため、第１物体検出結果及び第２物体検出結果の比較によって、２つの装置によって検出された物体が同じものであるか否かを判定することが容易にできる。
【0027】
本開示の第７の態様に係る異常検知装置は、第１の態様から第６の態様のいずれか１つの態様に係る異常検知装置であって、前記第１物体検出装置は、第１種別の第１センサと、第２種別の第２センサとを有し、前記第２物体検出装置は、前記第１種別の第３センサと、前記第２種別の第４センサとを有し、前記第１物体検出結果は、前記第１センサの第１検出結果と、前記第２センサの第２検出結果とを含み、前記第２物体検出結果は、前記第３センサの第３検出結果と、前記第４センサの第４検出結果とを含み、前記判定部は、前記第１検出結果、前記第２検出結果、前記第３検出結果及び前記第４検出結果を比較し、前記出力部は、前記判定部が前記第１検出結果、前記第２検出結果、前記第３検出結果及び前記第４検出結果を含む４つの検出結果のうちで他の３つの検出結果と異なる１つの検出結果を特定した場合、特定した前記１つの検出結果が得られたセンサのセンサ種別を他の車両に通知する。
【0028】
本開示の第８の態様に係る異常検知装置は、第１の態様から第７の態様のいずれか１つの態様に係る異常検知装置であって、前記取得部は、さらに、前記第１装置とは異なる車両である第３装置が備える第３物体検出装置であって、前記第３装置の周辺の物体を検出する第３物体検出装置により生成された第３物体検出結果を取得し、前記判定部は、前記第１物体検出結果と前記第２物体検出結果と前記第３物体検出結果とを比較し、前記第１物体検出結果と前記第２物体検出結果と前記第３物体検出結果とを含む３つの物体検出結果のうちで他の２つの物体検出結果と異なる１つの物体検出結果を特定した場合、特定した前記１つの物体検出結果が得られた物体検出装置を備える装置が攻撃されていると判定する。
【0029】
本開示の第９の態様に係る異常検知装置は、第１の態様から第８の態様のいずれか１つの態様に係る異常検知装置であって、前記第２装置は、前記第１装置とは異なる車両、または、路側機である。
【0030】
本開示の第１０の態様に係る異常検知方法は、車両である第１装置が備える第１物体検出装置であって、前記第１装置の周辺の物体を検出する第１物体検出装置により生成された第１物体検出結果を取得し、前記第１装置の周囲の第２装置が備える第２物体検出装置であって、前記第２装置の周辺の物体を検出する第２物体検出装置により生成された第２物体検出結果を取得し、前記第１物体検出結果と前記第２物体検出結果とを比較することで、前記第１装置及び前記第２装置の少なくとも一方が攻撃されているか否かを判定し、前記判定による判定結果を出力する。
【0031】
本開示の第１１の態様に係るプログラムは、第１０の態様に係る異常検知方法をコンピュータに実行させるためのプログラムである。
【0032】
（実施の形態）
以下、図を用いて、実施の形態を説明する。
以下、図を用いて、実施の形態を説明する。
【0033】
［構成］
図１は、実施の形態に係る車両の異常を検知する異常検知システムの概略図である。
図１は、実施の形態に係る車両の異常を検知する異常検知システムの概略図である。
【0034】
具体的には、図１において、サーバ１００、２台の車両２００、通信ネットワーク３００および移動体通信網の基地局３１０が異常検知システム１の構成要素として示されている。サーバ１００、２台の車両２００は、通信ネットワーク３００を介して、互いに情報の授受ができるように通信可能に接続されている。
【0035】
サーバ１００は、２台の車両２００の状態を監視する装置である。サーバ１００は、２台の車両２００からログ情報を定期的に取得し、取得したログ情報に基づいて２台の車両２００の状態を監視する。なお、２台の車両２００が車車間通信を行う場合には、異常検知システム１は、２台の車両２００のみで構成されていてもよい。
【0036】
なお、２台の車両２００の間では、通信ネットワーク３００を介する通信に限らずに、車車間通信が行われてもよい。また、図１では、２台の車両２００が図示されているが、３台以上の車両２００がサーバ１００または他の車両２００との間で通信可能であってもよい。以下では、２台の車両２００を例に説明する。
【0037】
車両２００は、車両２００の周囲の物体を検出するセンサを備え、当該センサの検出結果に基づく物体検出結果に応じて車両２００の走行制御を行う車両である。車両２００の周囲の物体を検出するセンサは、例えば、ＬｉＤＡＲ（Light Detection And Ranging）２０６、ソナー２０７などである（図１及び図３参照）。車両２００は、例えば、自律運転が可能な自動運転車であってもよいし、運転手による運転を支援するＡＤＡＳ（Advanced Driver-Assistance Systems）を有する車両であってもよい。
【0038】
図２は、実施の形態に係るサーバのハードウェア構成の一例を示すブロック図である。
【0039】
図２に示すように、サーバ１００は、ハードウェア構成として、ＣＰＵ（Central Processing Unit）１０１と、メインメモリ１０２と、ストレージ１０３と、通信ＩＦ（Interface）１０４とを備える。
【0040】
ＣＰＵ１０１は、ストレージ１０３等に記憶された制御プログラムを実行するプロセッサである。
【0041】
メインメモリ１０２は、ＣＰＵ１０１が制御プログラムを実行するときに使用するワークエリアとして用いられる揮発性の記憶領域である。
【0042】
ストレージ１０３は、制御プログラム、コンテンツなどを保持する不揮発性の記憶領域である。
【0043】
通信ＩＦ１０４は、通信ネットワーク３００を介して、２台の車両２００と通信する通信インタフェースである。通信ＩＦ１０４は、例えば、有線ＬＡＮインタフェースである。なお、通信ＩＦ１０４は、無線ＬＡＮインタフェースであってもよい。また、通信ＩＦ１０４は、ＬＡＮインタフェースに限らずに、通信ネットワークとの通信接続を確立できる通信インタフェースであれば、どのような通信インタフェースであってもよい。
【0044】
図３は、実施の形態に係る車両のハードウェア構成の一例を示すブロック図である。
【0045】
図３に示すように、車両２００は、ハードウェア構成として、ＴＣＵ（Telematics Control Unit）２０１と、複数のＥＣＵ２０２と、ストレージ２０３と、車載ディスプレイ２０４と、入力ＩＦ（Interface）２０５と、ＬｉＤＡＲ２０６と、複数のソナー２０７とを備える。
【0046】
ＴＣＵ２０１は、車両２００が通信ネットワーク３００との間で無線通信を行う通信ユニットである。ＴＣＵ２０１は、移動体通信網の規格に対応したセルラモジュールを含む通信ユニットである。
【0047】
複数のＥＣＵ２０２は、ＴＣＵ２０１から情報を取得したり、各種センサから検出結果を取得したり、取得した情報や検出結果に応じた処理を行う制御回路を含む。例えば、複数のＥＣＵ２０２の少なくとも１つは、各種センサから検出結果を取得して、取得した検出結果を用いて車両２００の自律運転を制御する制御回路である。また、複数のＥＣＵ２０２は、車両２００が備える車載ディスプレイ２０４、または、車両２００が備える他の機器の制御を実行する制御回路を含む。ここで、他の機器は、例えば、エンジン、モータ、メータ、トランスミッション、ブレーキ、ステアリング、パワーウィンドウ、エアコンなどを含む。複数のＥＣＵ２０２は、これらの各種機器のそれぞれに対応して設けられていてもよい。複数のＥＣＵ２０２のそれぞれは、ここでは図示しないが、各ＥＣＵ２０２が実行するプログラムを格納している記憶部（不揮発性の記憶領域）を備えていてもよい。記憶部は、例えば、不揮発性のメモリである。
【0048】
ストレージ２０３は、制御プログラムなどを保持する不揮発性の記憶領域である。ストレージ２０３は、例えば、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid Stated Drive）などにより実現される。
【0049】
車載ディスプレイ２０４は、車両２００の車室に配置され、車室内のユーザに対して、文字または記号で示される情報を表示する。車載ディスプレイ２０４は、画像を表示してもよい。車載ディスプレイ２０４は、液晶ディスプレイ、有機ＥＬディスプレイなどである。
【0050】
入力ＩＦ２０５は、車両２００の車室に配置され、車室内のユーザからの入力（操作）を受け付ける。入力ＩＦ２０５は、例えば、車載ディスプレイ２０４の表面に配置されているタッチパネルであってもよいし、車両２００の座席に着座しているユーザから届く範囲に配置されているタッチパッドであってもよい。
【0051】
ＬｉＤＡＲ２０６は、レーザ光を照射し、照射したレーザ光が物体に反射して返ってくるまでの時間を計測することで、物体の有無や物体までの距離を検出するセンサである。ＬｉＤＡＲ２０６は、車両２００の外部に設けられ、車両２００の周囲の特定の複数の方向にレーザ光を照射する。複数の方向は、車両２００を上面視したときの車両２００の基準方向（例えば前後方向）からの角度（水平角）と、車両２００を側面視したときの車両２００の基準方向（例えば前後方向）からの角度（仰角）とにより規定される。つまり、複数の方向は、それぞれ、異なる水平角及び仰角の組み合わせによって規定される。
【0052】
複数のソナー２０７のそれぞれは、特定の方向に超音波を発し、特定の方向へ発した超音波が物体に反射して返ってきた超音波に基づいて、物体の有無や物体までの距離を検出するセンサである。複数のソナー２０７は、車両２００の外部に設けられ、車両２００に近接する物体との距離を計測するセンサである。複数のソナー２０７は、車両２００の周囲の異なる位置に配置される。周囲の異なる位置とは、車両２００の前側中央、前側右、前側左、後側中央、後側右、後側左などである。複数のソナー２０７は、配置される位置が異なるため、超音波を発生する方向（特定の方向）が異なる。
【0053】
【0054】
図４に示されるように、異常検知システム１は、サーバ１００と、２台の車両２００とを備える。サーバ１００と２台の車両２００とが通信ネットワーク３００により通信可能に接続されている。以下では、２台の車両２００のうちの一方の車両２００の機能構成について説明する。他方の車両２００の機能構成は、一方の車両２００の機能構成と同様であるため、説明を省略する。一方の車両２００は、車両２００と称し、他方の車両２００は、他の車両２００と称する。車両２００は、第１装置の一例である。他の車両２００は、第２装置の一例である。
【0055】
車両２００は、通信部２１０と、物体検出装置２２０と、異常検知装置２３０と、測位システム２４０と、車両制御部２５０とを備える。
【0056】
通信部２１０は、通信ネットワーク３００を介して、サーバ１００及び他の車両２００との間で通信を行う。また、通信部２１０は、他の車両２００との間で車車間通信を行ってもよい。これにより、通信部２１０は、サーバ１００との間、及び、他の車両２００との間で情報の授受を行う。通信部２１０は、例えば、他の車両２００から、他の車両２００が備える物体検出装置２２０（第２物体検出装置）による物体検出結果（第２物体検出結果）を取得する。通信部２１０は、例えば、ＴＣＵ２０１により実現される。
【0057】
物体検出装置２２０は、当該物体検出装置２２０を備える車両２００の周囲の物体を検出する。物体検出装置２２０は、ＬｉＤＡＲ２０６による検出結果を用いて車両２００の周囲の物体を検出してもよいし、ソナー２０７による検出結果を用いて車両２００の周囲の物体を検出してもよい。ＬｉＤＡＲ２０６による検出結果は、物体までの距離及びその方向を含むため、物体検出装置２２０は、ＬｉＤＡＲ２０６による検出結果をそのまま物体検出結果として生成してもよい。ソナー２０７による検出結果も、物体までの距離及びその方向を含むため、物体検出装置２２０は、ソナー２０７による検出結果をそのまま物体検出結果として生成してもよい。また、物体検出装置２２０は、ＬｉＤＡＲ２０６による検出結果、及び、ソナー２０７による検出結果の少なくとも一方に対して所定の物体認識処理を行い、その処理結果を物体検出結果として生成してもよい。物体検出結果は、車両２００の周囲の物体の、当該車両２００の基準位置に対する相対的な位置を含む。相対的な位置は、車両２００の基準位置に対する直交座標系の座標で示されてもよいし、極座標系の座標で示されてもよい。また、相対的な位置は、車両２００の周囲の複数の領域について、１つの領域毎の物体の有無を示す情報で示されてもよい。車両２００の周囲とは、車両２００を上面視したときの周囲であってもよい。所定の物体認識処理は、機械学習モデルを用いた処理であってもよい。物体検出装置２２０は、第１物体検出装置の一例である。物体検出装置２２０は、ＬｉＤＡＲ２０６及びソナー２０７の少なくとも一方と、ＥＣＵ２０２とにより実現される。
【0058】
なお、物体検出装置２２０は、ＬｉＤＡＲ２０６またはソナー２０７の検出結果を用いることに限らずに、ステレオカメラによる検出結果（つまり、ステレオ画像）を用いて、車両２００の周囲の物体を検出してもよい。例えば、この場合の物体検出には、ステレオ画像に対して特徴点マッチングを行うことで生成された三次元モデルが用いられてもよい。
【0059】
異常検知装置２３０は、物体検出装置２２０による物体検出結果と、他の車両２００が備える物体検出装置２２０による物体検出結果とを比較することで、車両２００及び他の車両２００の少なくとも一方への攻撃（異常）を検知する装置である。異常検知装置２３０は、取得部２３１と、判定部２３２と、出力部２３３とを備える。
【0060】
取得部２３１は、車両２００が備える物体検出装置２２０（第１物体検出装置）により生成された第１物体検出結果と、他の車両２００が備える物体検出装置２２０（第２物体検出装置）により生成された第２物体検出結果とを取得する。取得部２３１は、物体検出装置２２０から第１物体検出結果を逐次取得する。取得部２３１は、例えば、複数の異なるタイミングで物体検出装置２２０における検出処理によって生成された複数の第１物体検出結果を取得する場合、１つの第１物体検出結果が生成されたタイミング毎に当該１つの第１物体検出結果を取得してもよい。また、取得部２３１は、複数の異なるタイミングで物体検出装置２２０における検出処理によって生成された複数の第１物体検出結果を取得する場合、第１の期間で生成された複数の第１物体検出結果をまとめて取得してもよい。
【0061】
また、取得部２３１は、通信部２１０を介して他の車両２００から第２物体検出結果を逐次取得する。取得部２３１は、例えば、複数の異なるタイミングで他の車両２００の物体検出装置２２０における検出処理によって生成された複数の第２物体検出結果を取得する場合、１つの第２物体検出結果が生成されたタイミング毎に当該１つの第２物体検出結果を取得してもよい。また、取得部２３１は、複数の異なるタイミングで他の車両２００の物体検出装置２２０における検出処理によって生成された複数の第２物体検出結果を取得する場合、第２の期間で生成された複数の第２物体検出結果をまとめて取得してもよい。
【0062】
なお、取得部２３１は、他の車両２００と車車間通信を行うことで第２物体検出結果を取得してもよいし、通信ネットワーク３００経由で第２物体検出結果を取得してもよい。通信ネットワーク３００経由で第２物体検出結果を取得する場合、車両２００は、車両２００の位置に近い他の車両２００から第２物体検出結果を取得してもよい。車両２００の位置に近いとは、車両２００の位置を基準とした所定の領域に含まれることであり、所定の領域は、例えば、車両２００の位置を中心とした所定の半径の領域である。所定の半径は、車両２００が備えるセンサ（ＬｉＤＡＲ２０６、ソナー２０７）の検出範囲に応じて決定されてもよい。つまり、他の車両２００は、車両２００が備える物体検出装置２２０の検出範囲と重複する検出範囲を有する位置にある車両であってもよい。
【0063】
判定部２３２は、第１物体検出結果と第２物体検出結果とを比較することで、車両２００（第１装置）及び他の車両２００（第２装置）の少なくとも一方が攻撃されているか否かを判定する。判定部２３２は、互いに対応するタイミングで生成された第１物体検出結果及び第２物体検出結果を比較することで、車両２００及び他の車両２００の少なくとも一方が攻撃されているか否かを逐次判定する。互いに対応するタイミングで生成された第１物体検出結果及び第２物体検出結果は、取得部２３１により取得された複数の第１物体検出結果及び複数の第２物体検出結果のうちで、互いに近いタイミングで取得された第１物体検出結果及び第２物体検出結果であってもよい。互いに近いタイミングで取得された第１物体検出結果及び第２物体検出結果とは、一方の物体検出結果と、当該一方の物体検出結果の後に初めて取得された他方の物体検出結果との組み合わせであってもよいし、タイミングの差が所定期間（例えば１秒など）未満である第１及び第２物体検出結果の組み合わせであってもよい。
【0064】
なお、第１物体検出結果及び第２物体検出結果には、当該物体検出結果の検出が行われたタイミングを含んでいてもよい。この場合、判定部２３２は、取得部２３１により取得された複数の第１物体検出結果及び複数の第２物体検出結果のうちで、互いに近いタイミングの検出により生成された第１物体検出結果及び第２物体検出結果を比較してもよい。互いに近いタイミングの検出により生成された第１物体検出結果及び第２物体検出結果とは、タイミングの差が所定期間（例えば１秒など）未満である第１及び第２物体検出結果の組み合わせであってもよい。
【0065】
また、判定部２３２は、第１物体検出結果及び第２物体検出結果を、共通する座標系に変換し、変換後の第１物体検出結果及び第２物体検出結果が互いに異なるか否かを判定する。判定部２３２は、変換後の第１物体検出結果及び第２物体検出結果が異なる場合、車両２００及び他の車両２００の少なくとも一方が攻撃されていると判定する。
【0066】
この場合、取得部２３１は、第２物体検出結果と、当該第２物体検出結果の検出が他の車両２００で行われたときの他の車両２００の位置とを取得しているものとする。例えば、判定部２３２は、他の車両２００から取得した第２物体検出結果と、当該第２物体検出結果の検出が他の車両２００で行われたときの他の車両２００の位置と、当該第２物体検出結果の検出が他の車両２００で行われたときの車両２００の位置とを用いて、第２物体検出結果を車両２００の位置を基準とする座標系に変換する。このように、判定部２３２は、第２物体検出結果を第１物体検出結果と共通する座標系に変換してもよい。なお、第１物体検出結果及び第２物体検出結果が、直交座標系及び極座標系のように異なる場合には、判定部２３２は、いずれかの座標系になるように変換してもよい。
【0067】
出力部２３３は、判定部２３２による判定結果を出力する。例えば、出力部２３３は、判定結果を含む画面を車載ディスプレイ２０４に表示してもよい。また、例えば、出力部２３３は、判定結果を、他の車両２００に送信してもよいし、サーバ１００に送信してもよいし、車両２００のユーザが所持する端末または他の車両２００のユーザが所持する端末に送信してもよい。判定結果は、警告情報を含んでもよい。警告情報は、車両２００または他の車両２００が攻撃を受けている可能性があることを示す情報を含む。また、警告情報は、どの種別のセンサが攻撃を受けているかを示す情報を含んでもよい。
【0068】
異常検知装置２３０は、例えば、ＴＣＵ２０１、ＥＣＵ２０２、ストレージ２０３、車載ディスプレイ２０４などにより実現される。
【0069】
測位システム２４０は、車両２００の位置を検出する。測位システム２４０は、ＧＰＳ（Global Positioning System）であってもよいし、ＳＬＡＭ（Simultaneous Localization and Mapping）を用いた測位システムであってもよい。
【0070】
車両制御部２５０は、車両２００の自律走行制御、または、ＡＤＡＳによる制御を行う。車両制御部２５０は、複数のＥＣＵ２０２により実現される。
【0071】
図５は、物体検出結果の一例を示す図である。
【0072】
図５に示される物体検出結果は、第１物体検出結果及び第２物体検出結果を含む。物体検出結果の一行は、１つの物体検出結果を示している。物体検出結果は、タイムスタンプと、車両ＩＤと、車両データと、センサＩＤ＿１と、センサデータ＿１と、センサＩＤ＿２と、センサデータ＿２とを含む。タイムスタンプは、対応する物体検出結果の検出が行われたタイミング、または、対応する物体検出結果が生成されたタイミングを示す。車両ＩＤは、対応する物体検出結果を生成した物体検出装置を備える装置（車両）の識別子を示す。車両データは、対応する物体検出結果を生成した物体検出装置を備える装置（車両）に関する情報を示す。センサＩＤ＿１は、対応する物体検出結果を生成した物体検出装置の物体検出に用いられた第１センサの識別子を示す。センサデータ＿１は、センサＩＤ＿１の第１センサによる検出結果を示す。センサＩＤ＿２は、対応する物体検出結果を生成した物体検出装置の物体検出に用いられた第２センサの識別子を示す。センサデータ＿２は、センサＩＤ＿２の第２センサによる検出結果を示す。第１センサと第２センサとは、互いに種別が異なるセンサであってもよい。第１センサは、例えば、ＬｉＤＡＲであり、第２センサは、例えば、ソナーであってもよい。
【0073】
図６は、車両データの一例を示す図である。
【0074】
車両データは、車両ＩＤと、車両座標と、車両速度ベクトルと、車両情報とを含む。車両ＩＤは、対応する車両の識別子を示す。車両座標は、対応する車両データが取得されたときの車両の位置を示す。車両速度ベクトルは、対応する車両データが取得されたときの車速及び車両の進行方向を示す。車両情報は、対応する車両データの車両の平面形状、各センサの位置、座標基準点などを含む。
【0075】
【0076】
センサデータは、センサＩＤと、センサ種別と、センサ情報とを含む。センサＩＤは、対応するセンサデータを検出したセンサの識別子を示す。センサ種別は、対応するセンサの種別を示す。センサ情報は、センサにより検出された検出結果（生データ）を示す。
【0077】
【0078】
センサデータは、センサＩＤと、センサ種別と、センサ情報とを含む。センサＩＤは、対応するセンサデータを検出したセンサの識別子を示す。センサ種別は、対応するセンサの種別を示す。センサ情報は、センサＩＤに含まれる複数のセンサにより検出された検出結果（生データ）を示す。
【0079】
図９は、測位情報の一例を示す図である。
【0080】
測位情報は、車両２００の測位システム２４０により検出された位置を示す。測位情報は、例えば、車両２００の位置を示す緯度及び経度を含む。
【0081】
図１０は、警告情報の一例を示す図である。
【0082】
警告情報は、タイムスタンプと、送信車両ＩＤと、被害車両ＩＤと、被害センサＩＤ＿１と、被害センサＩＤ＿２とを含む。タイムスタンプは、警告情報が生成されたタイミングを示す。送信車両ＩＤは、警告情報を送信（生成）した車両の識別子を示す。被害車両ＩＤは、攻撃を受けている車両の識別子を示す。被害センサＩＤ＿１は、攻撃を受けているセンサの識別子を示す。被害センサＩＤ＿２は、攻撃を受けている他のセンサの識別子を示す。
【0083】
【0084】
領域情報は、車両２００のストレージ２０３に予め記憶されている情報である。領域情報は、例えば、所定の領域を特定するための情報を含む。所定の領域は、例えば、後述するステップＳ１１の判定で用いられ、車両２００が物体検出に影響する攻撃を受けたときに車両が正常に走行できない可能性が高いと予め規定されている領域である。所定の領域は、例えば、車両による事故が他の領域よりも発生しやすい領域である。領域情報は、領域ＩＤと、緯度１と、経度１と、緯度２と、経度２とを含む。領域ＩＤは、所定の領域の識別子である。緯度１及び経度１は、図１２に示される所定の領域Ａ１の角の点Ｐ１の座標を示す情報である。緯度２及び経度２は、所定の領域Ａ１の、点Ｐ１の対角の点Ｐ２の座標を示す情報である。所定の領域Ａ１は、図１２に示されるように、点Ｐ１及び点Ｐ２の２点で規定される長方形状の領域である。
【0085】
［動作］
図１３は、実施の形態に係る異常検知システムにおける異常検知方法の一例を示すフローチャートである。
図１３は、実施の形態に係る異常検知システムにおける異常検知方法の一例を示すフローチャートである。
【0086】
車両２００の異常検知装置２３０は、所定のタイミングであるか否かを判定する（Ｓ１１）。異常検知装置２３０は、所定のタイミングであれば（Ｓ１１でＹｅｓ）、ステップＳ１２に進み、所定のタイミングでなければ（Ｓ１１でＮｏ）、ステップＳ１１に戻る。
【0087】
なお、所定のタイミングとは、物体検出装置２２０が互いに対応するタイミングで生成された第１物体検出結果及び第２物体検出結果を取得したタイミングであってもよい。また、所定のタイミングとは、車両２００及び他の車両２００が所定の領域に含まれるタイミングであってもよい。この場合、異常検知装置２３０は、車両２００の位置と、他の車両２００の位置とを取得しており、取得した車両２００の位置及び他の車両２００の位置に基づいてステップＳ１１の判定を行う。また、所定のタイミングとは、車両２００または他の車両２００がその進行方向に物体を検出しているときであってもよい。この場合、異常検知装置２３０は、第１物体検出結果が車両２００の進行方向に物体が検出されたことを示す場合、または、第２物体検出結果が他の車両２００の進行方向に物体が検出されたことを示す場合を、所定のタイミングと判定する。
【0088】
異常検知装置２３０は、他の車両２００の物体検出結果（第２物体検出結果）を取得する（Ｓ１２）。
【0089】
異常検知装置２３０は、第１物体検出結果及び第２物体検出結果を比較して、第１物体検出結果と第２物体検出結果とが異なるか否かを判定する（Ｓ１３）。
【0090】
異常検知装置２３０は、第１物体検出結果と第２物体検出結果とが異なる場合（Ｓ１３でＹｅｓ）、車両２００及び他の車両２００の一方の車両２００が攻撃されていると判定する（Ｓ１４）。
【0091】
異常検知装置２３０は、第１物体検出結果と第２物体検出結果とが同じ場合（Ｓ１３でＮｏ）、正常（つまり、車両２００及び他の車両２００は攻撃されていない）と判定する（Ｓ１５）。
【0092】
異常検知装置２３０は、ステップＳ１４の判定結果、または、ステップＳ１５の判定結果を出力する（Ｓ１６）。具体的には、異常検知装置２３０は、ステップＳ１４を経た場合、一方の車両２００が攻撃されているとの判定結果を出力し、ステップＳ１５を経た場合、正常との判定結果を出力する。
【0093】
【0094】
図１４では、車両２００の進行方向に位置する物体４００の車両２００に近い面にソナーによる超音波を吸収する吸収材４０１が貼り付けられている例である。これにより、車両２００のソナーから発せられた超音波は、吸収材４０１によって吸収されるために、反射されない。よって、吸収材４０１が貼り付けられていない場合に反射すると想定される正常な反射波では、超音波に対応する周波数の波が計測されるが、攻撃を受けた反射波には超音波に対応する周波数の波が計測されないため、車両２００は、進行方向に物体が存在しないと誤認するおそれがある。
【0095】
図１５では、超音波を発する妨害装置４１０により車両２００に対して妨害超音波が発せられている例である。車両２００の進行方向に物体４００が存在しており、車両２００から発せられた超音波は物体４００により反射されるため、車両２００は、物体４００により反射された超音波を検出することができるが、さらに、妨害装置４１０からの超音波を継続的に受けるため、攻撃を受けた反射波には超音波が継続的に含まれる。よって、車両２００は、進行方向に物体が存在するか否かを判定することができないおそれがある。このため、車両２００は、進行方向に物体が存在しないと誤認するおそれがある。
【0096】
図１６では、車両２００の進行方向に位置する物体４００の車両２００に近い面にソナーによる超音波を吸収する吸収材４０１が貼り付けられており、かつ、超音波を発する妨害装置４１０により車両２００に対して妨害超音波が発せられている例である。妨害装置４１０が物体４００の距離を偽装するような超音波を車両２００に対して発している場合、つまり、図１６に示すように位相が遅れて検出されるような超音波を車両２００に対して発している場合、車両２００は、物体４００が実際の位置よりも遠くに存在すると誤認するおそれがある。
【0097】
このようにして、車両２００の物体検出に対する攻撃によって、車両２００は、物体の有無や物体の位置を誤検出するおそれがある。なお、図１４～図１６では、ソナーに対する攻撃について説明したが、ＬｉＤＡＲに対する攻撃についても同様の方法で実現されうる。
【0098】
【0099】
図１７は、存在しない物体５０を位置ｐ１の車両２００に存在すると誤検出させる攻撃を検出する例を説明するための図である。
【0100】
図１７には、位置ｐ１の車両２００と、位置ｐ１の車両２００の前方の位置ｐ２の車両２００と、これらの車両２００の周囲に存在しない物体５０を誤検出させる妨害超音波を発する妨害装置４１０とが示されている。妨害装置４１０は、物体５０を誤検出させるための妨害超音波を車両２００へ向けて発することで、位置ｐ３に物体５０が存在すると誤検出させる。一方で、妨害装置４１０は、位置ｐ１の車両２００への攻撃はできるが、前方を走行する位置ｐ２の車両２００に対して同時に攻撃することは難しい。また、同時に攻撃できたとしても、２台の車両２００に対して同じ場所に物体５０があることを誤検出させることは難しい。このため、２台の車両２００の少なくとも一方が攻撃を受けている場合には、位置ｐ１の車両２００の第１物体検出結果と、位置ｐ２の車両２００の第２物体検出結果とが一致しない可能性が高い。よって、第１物体検出結果及び第２物体検出結果を比較することで、２台の車両２００の少なくとも一方が攻撃を受けているか否かを判定することができる。
【0101】
なお、上述したように、第１物体検出結果及び第２物体検出結果を比較する場合、一方の座標系に合わせて座標変換がされる。例えば、位置ｐ１及び位置ｐ２と、第２物体検出結果とを用いて、位置ｐ２を基準とした位置ｐ３の相対位置を示す第２物体検出結果を位置ｐ１を基準とした位置ｐ３の相対位置を示す第２物体検出結果に変換する。これにより、第１物体検出結果と第２物体検出結果とを位置ｐ１を基準とした座標系で比較することが容易にできる。
【0102】
図１８は、存在する物体５１を位置ｐ１の車両２００に存在しないと誤検出させる攻撃を検出する例を説明するための図である。
【0103】
図１８には、位置ｐ１の車両２００と、位置ｐ１の車両２００の前方の位置ｐ２の車両２００と、これらの車両２００の周囲に存在する物体５１が存在しないと誤検出させる妨害超音波を発する妨害装置４１０とが示されている。なお、図示していないが物体５１の表面には超音波の吸収材が貼り付けられてもよい。妨害装置４１０は、物体５０を誤検出させるための妨害超音波を車両２００へ向けて発することで、位置ｐ３に物体５０が存在すると誤検出させる。一方で、図１７の場合と同様に、妨害装置４１０は、位置ｐ１の車両２００への攻撃はできるが、前方を走行する位置ｐ２の車両２００に対して同時に攻撃することは難しい。また、同時に攻撃できたとしても、２台の車両２００に対して同じ場所に物体５０があることを誤検出させることは難しい。このため、２台の車両２００の少なくとも一方が攻撃を受けている場合には、位置ｐ１の車両２００の第１物体検出結果と、位置ｐ２の車両２００の第２物体検出結果とが一致しない可能性が高い。よって、第１物体検出結果及び第２物体検出結果を比較することで、２台の車両２００の少なくとも一方が攻撃を受けているか否かを判定することができる。
【0104】
なお、上記のことは、物体の位置が実際の位置とは異なるように誤検出させる攻撃を受ける場合も同様に言えるため、第１物体検出結果及び第２物体検出結果を比較することで、車両２００及び他の車両２００の少なくとも一方への攻撃を検出することができる。
【0105】
【0106】
図１９は、ソナーを用いて物体を検出した場合の物体検出結果の例を示す図である。図２０は、ＬｉＤＡＲを用いて物体を検出した場合の物体検出結果の例を示す図である。図２１は、ソナー及びＬｉＤＡＲによる物体検出結果を共通化させる処理を行った後の物体検出結果の例を示す図である。なお、図１９において領域Ａ１４内にある斜線ハッチングの四角がソナーを用いた場合の物体検出結果を示し、図２０において領域Ａ１４内にある斜線ハッチングの丸がＬｉＤＡＲを用いた場合の物体検出結果を示す。
【0107】
ソナーを用いて物体を検出する場合、ＬｉＤＡＲを用いて物体を検出するよりも物体を検出する位置の精度が低いため、物体が存在する領域は、ＬｉＤＡＲの検出結果よりも大きくなる。このように、センサの精度に応じて、同じ物体であっても物体が存在する可能性が高い領域が異なる。つまり、異なる精度のセンサを用いて物体を検出した場合、同じ位置の物体を検出した場合でも、第１物体検出結果と第２物体検出結果とが異なってしまう可能性がある。このため、例えば、車両２００の周囲を８つの領域Ａ１１～Ａ１４、Ａ１６～Ａ１９に分割し、これらの８つの領域Ａ１１～Ａ１４、Ａ１６～Ａ１９に物体があるか否かを示す情報を物体検出結果としてもよい。これにより、例えば、図２１に示す様に、図１９に示される物体検出結果（斜線ハッチングの四角）も、図２０に示される物体検出結果（斜線ハッチングの丸）も同様に、領域Ａ１４に物体が存在することを示す物体検出結果に変換される。このように、物体検出結果の形式をセンサの精度によらず共通化することで、２つの物体検出結果が異なるか否かを容易に判定することができる。
【0108】
［効果など］
本実施の形態に係る異常検知装置２３０は、車両である第１装置（車両２００）が備える第１物体検出装置（物体検出装置２２０）であって、第１装置の周辺の物体を検出する第１物体検出装置により生成された第１物体検出結果と、第１装置の周囲の第２装置（他の車両２００）が備える第２物体検出装置であって、第２装置の周辺の物体を検出する第２物体検出装置により生成された第２物体検出結果とを取得する取得部２３１と、第１物体検出結果と第２物体検出結果とを比較することで、第１装置及び第２装置の少なくとも一方が攻撃されているか否かを判定する判定部２３２と、判定部２３２による判定結果を出力する出力部２３３と、を備える。
本実施の形態に係る異常検知装置２３０は、車両である第１装置（車両２００）が備える第１物体検出装置（物体検出装置２２０）であって、第１装置の周辺の物体を検出する第１物体検出装置により生成された第１物体検出結果と、第１装置の周囲の第２装置（他の車両２００）が備える第２物体検出装置であって、第２装置の周辺の物体を検出する第２物体検出装置により生成された第２物体検出結果とを取得する取得部２３１と、第１物体検出結果と第２物体検出結果とを比較することで、第１装置及び第２装置の少なくとも一方が攻撃されているか否かを判定する判定部２３２と、判定部２３２による判定結果を出力する出力部２３３と、を備える。
【0109】
これによれば、第１物体検出結果と第２物体検出結果とを比較することで、第１装置及び第２装置の少なくとも一方が攻撃されているか否かを判定するため、例えば、第１物体検出結果及び第２物体検出結果が異なっていれば物体検出装置に誤検出させる攻撃が行われていることを検知することができる。よって、物体検出装置に誤検出させるような攻撃であって、車両の走行制御へ影響を及ぼす攻撃による影響を低減できる。
【0110】
また、本実施の形態に係る異常検知装置２３０において、取得部２３１は、第１物体検出装置により逐次生成された第１物体検出結果を逐次取得し、第２物体検出装置により逐次生成された第２物体検出結果を逐次取得する。判定部２３２は、互いに対応するタイミングで生成された第１物体検出結果と第２物体検出結果とを逐次比較することで、第１装置及び第２装置の少なくとも一方が攻撃されているか否かを逐次判定する。
【0111】
このため、逐次的に、物体検出装置に誤検出させる攻撃が行われていることを検知することができる。
【0112】
また、本実施の形態に係る異常検知装置２３０において、取得部２３１は、さらに、第１物体検出装置が第１物体検出結果を生成したときの第１装置の第１位置と、第２物体検出装置が第２物体検出結果を生成したときの第２装置の第２位置とを取得する。判定部２３２は、第１位置が所定領域に含まれる場合に生成された第１物体検出結果と、第２位置が所定領域に含まれる場合に生成された第２物体検出結果とを比較することで、第１装置及び第２装置の少なくとも一方が攻撃されているか否かを判定する。
【0113】
このため、例えば所定領域が車両の走行制御へ影響を及ぼす攻撃を受けたときに車両が正常に走行できない可能性が高い場合に、当該攻撃を検知することができるため、車両が正常に走行できなくなる可能性を低減できる。
【0114】
また、本実施の形態に係る異常検知装置２３０において、判定部２３２は、第１装置の進行方向に物体が検出されたことを示す第１物体検出結果と、第２物体検出結果とを比較することで、第１装置及び第２装置の少なくとも一方が攻撃されているか否かを判定する。
【0115】
このため、第１装置によって検出された物体が誤検出によるものか否かを判定することができる。
【0116】
また、本実施の形態に係る異常検知装置２３０において、判定部２３２は、第１物体検出結果及び第２物体検出結果を、共通する座標系に変換し、変換後の第１物体検出結果及び第２物体検出結果が互いに異なるか否かを判定する。判定部２３２は、変換後の第１物体検出結果及び第２物体検出結果が異なる場合、第１装置及び第２装置の少なくとも一方が攻撃されていると判定する。
【0117】
このため、第１物体検出結果及び第２物体検出結果の比較によって、２つの装置によって検出された物体が同じものであるか否かを判定することが容易にできる。そして、２つの装置によって検出された物体が異なる場合に、第１装置及び第２装置の少なくとも一方が攻撃されていると判定することができる。
【0118】
また、本実施の形態に係る異常検知装置２３０において、第１物体検出結果は、第１装置の周囲の領域を予め設定された複数の領域のそれぞれにおいて物体が存在するか否かを示す。第２物体検出結果は、第２装置の周囲の領域を予め設定された複数の領域のそれぞれにおいて物体が存在するか否かを示す。
【0119】
このため、第１物体検出結果及び第２物体検出結果の比較によって、２つの装置によって検出された物体が同じものであるか否かを判定することが容易にできる。
【0120】
［変形例］
（１）
上記実施の形態では、２台の車両２００が備える物体検出装置による２つの物体検出結果が異なるか否かを判定することで、２台の車両２００の少なくとも一方への攻撃の有無を判定するとしたが、これに限らない。例えば、３台の車両２００が備える物体検出装置による３つの物体検出結果を比較することで、攻撃対象となった１台の車両２００を特定してもよい。
（１）
上記実施の形態では、２台の車両２００が備える物体検出装置による２つの物体検出結果が異なるか否かを判定することで、２台の車両２００の少なくとも一方への攻撃の有無を判定するとしたが、これに限らない。例えば、３台の車両２００が備える物体検出装置による３つの物体検出結果を比較することで、攻撃対象となった１台の車両２００を特定してもよい。
【0121】
図２２は、変形例（１）に係る異常検知システムの機能構成の一例を示すブロック図である。
【0122】
変形例（１）に係る異常検知システム１Ａは、実施の形態の異常検知システム１と比較して、３台の車両２００を有する点が異なる。また、３台の車両２００が備える異常検知装置２３０による処理が異なる。なお、その他の構成は、実施の形態に係る異常検知システム１と同様であるため、以下では主に異なる点について説明する。
【0123】
取得部２３１は、２台の他の車両２００の物体検出装置２２０による２つの物体検出結果を取得する。つまり、取得部２３１は、２台の他の車両２００の一方の車両２００による第２物体検出結果の他に、さらに、２台の他の車両２００の他方の車両２００による物体検出装置２２０（第３物体検出装置）であって、他方の車両２００の周辺の物体を検出する物体検出装置２２０により生成された第３物体検出結果を取得する。
【0124】
判定部２３２は、車両２００が備える物体検出装置２２０による第１物体検出結果と第２物体検出結果と第３物体検出結果とを比較し、第１物体検出結果と第２物体検出結果と第３物体検出結果とを含む３つの物体検出結果のうちで他の２つの物体検出結果と異なる１つの物体検出結果を特定した場合、特定した１つの物体検出結果が得られた物体検出装置を備える車両（装置）が攻撃されていると判定する。
【0125】
なお、異常検知装置２３０は、３台以上の他の車両２００から３以上の物体検出結果を取得してもよい。この場合であっても、異常検知装置２３０は、車両２００及び３台以上の他の車両２００を含む４以上の物体検出結果を比較し、過半数の物体検出結果が一致するか否かを判定する。過半数の物体検出結果が一致する場合、一致しなかった物体検出結果がある場合には、一致しなかった物体検出結果が得られた物体検出装置を備える車両が攻撃されていると判定してもよい。なお、上記の判定において、過半数の物体検出結果が一致するか否かを判定する代わりに、過半数より大きい数の物体検出結果が一致するか否かを判定してもよい。つまり、判定に用いられる閾値は、変更されてもよい。例えば、この閾値は、比較の対象となる物体検出結果の数に応じて変更されてもよい。
【0126】
図２３は、変形例（１）に係る異常検知システムにおける異常検知方法の一例を示すフローチャートである。
【0127】
車両２００の異常検知装置２３０は、所定のタイミングであるか否かを判定する（Ｓ２１）。異常検知装置２３０は、所定のタイミングであれば（Ｓ２１でＹｅｓ）、ステップＳ２２に進み、所定のタイミングでなければ（Ｓ２１でＮｏ）、ステップＳ２１に戻る。なお、所定のタイミングとは、実施の形態と同様である。
【0128】
異常検知装置２３０は、２台以上の他の車両２００の物体検出結果（第２物体検出結果、第３物体検出結果）を取得する（Ｓ２２）。
【0129】
異常検知装置２３０は、全ての物体検出結果が一致するか否かを判定する（Ｓ２３）。
【0130】
異常検知装置２３０は、全ての物体検出結果が一致しない場合（Ｓ２３でＮｏ）、過半数の残りの物体検出結果に対応する車両２００が攻撃されていると判定し、攻撃されていると特定した車両２００に対して警告を通知する（Ｓ２４）。なお、過半数で物体検出結果が一致しないと判定された場合、一致しない物体検出結果に対応する車両２００が攻撃されていると判定して警告を通知してもよい。
【0131】
異常検知装置２３０は、全ての物体検出結果が一致する場合（Ｓ２３でＹｅｓ）、正常（つまり、車両２００及び他の車両２００は攻撃されていない）と判定し、その結果を通知する（Ｓ２５）。
【0132】
このように、３台以上の車両２００から検出された物体検出結果を比較することで、攻撃を受けている車両２００を特定できる可能性がある。このため、攻撃を受けている車両２００に対して、当該車両２００の運転手に対して攻撃を受けていることを示す通知を行ったり、手動運転に切り換えるまで、または、安全な場所（路肩）に停止するまで、周辺の他の車両２００のセンサによる物体検出結果を用いて自律走行制御させたり、周辺の他の車両２００の運転手に対して特定された車両２００が攻撃を受けていることを示す通知を行ったりしてもよい。
【0133】
（２）
上記実施の形態では、他の車両２００が物体検出装置２２０を有するとしたが、物体検出装置２２０を備えるのは他の車両２００に限らずに、路側機などの車両２００以外の装置であってもよい。つまり、第２装置は、車両などのような走行する機能を有する装置に限らずに、走行せずに停止している装置により実現されてもよい。このような路側機などの第２装置は、例えば、車両２００が備える構成のうち測位システム２４０及び車両制御部２５０を除く構成を備えていてもよい。つまり、路側機などの走行機能を有しない第２装置は、通信部２１０と、物体検出装置２２０と、異常検知装置２３０とを備える。なお、通信部２１０、物体検出装置２２０、及び、異常検知装置２３０は、実施の形態において説明した同じ名称の構成と同じであるため詳細な説明を省略する。また、第２装置は、第２装置が配置されている位置を予め記憶しており、予め記憶している位置を測位システム２４０により検出される位置の代わりに利用してもよい。
上記実施の形態では、他の車両２００が物体検出装置２２０を有するとしたが、物体検出装置２２０を備えるのは他の車両２００に限らずに、路側機などの車両２００以外の装置であってもよい。つまり、第２装置は、車両などのような走行する機能を有する装置に限らずに、走行せずに停止している装置により実現されてもよい。このような路側機などの第２装置は、例えば、車両２００が備える構成のうち測位システム２４０及び車両制御部２５０を除く構成を備えていてもよい。つまり、路側機などの走行機能を有しない第２装置は、通信部２１０と、物体検出装置２２０と、異常検知装置２３０とを備える。なお、通信部２１０、物体検出装置２２０、及び、異常検知装置２３０は、実施の形態において説明した同じ名称の構成と同じであるため詳細な説明を省略する。また、第２装置は、第２装置が配置されている位置を予め記憶しており、予め記憶している位置を測位システム２４０により検出される位置の代わりに利用してもよい。
【0134】
（３）
図２４は、各車両が複数種類のセンサを備える例を説明するための図である。
図２４は、各車両が複数種類のセンサを備える例を説明するための図である。
【0135】
例えば、車両Ａが備える第１物体検出装置は、ソナー（第１種別の第１センサ）と、ＬｉＤＡＲ（第２種別の第２センサ）と、レーダーとを有し、車両Ｂが備える第２物体検出装置は、ソナー（第１種別の第３センサ）と、ＬｉＤＡＲ（第２種別の第４センサ）と、レーダーとを有する。この場合、不整合が生じているセンサの検出結果に基づいて例えば図２４に示すようにレーダーが攻撃されていると判定してもよい。
【0136】
（４）
上記実施の形態では、異常検知装置２３０は、車両２００が備えるとしたが、サーバ１００が備えてもよい。
上記実施の形態では、異常検知装置２３０は、車両２００が備えるとしたが、サーバ１００が備えてもよい。
【0137】
［その他］
なお、上記実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵまたはプロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。ここで、上記実施の形態の生産管理装置、生産管理システムなどを実現するソフトウェアは、図に示すフローチャートに含まれる各ステップをコンピュータに実行させるプログラムである。
なお、上記実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵまたはプロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。ここで、上記実施の形態の生産管理装置、生産管理システムなどを実現するソフトウェアは、図に示すフローチャートに含まれる各ステップをコンピュータに実行させるプログラムである。
【0138】
なお、以下のような場合も本開示に含まれる。
【0139】
（１）上記の各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
【0140】
（２）上記の各装置を構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。
【0141】
（３）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。前記ＩＣカードまたは前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。前記ＩＣカードまたは前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカードまたは前記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。
【0142】
（４）本開示は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。
【0143】
また、本開示は、前記コンピュータプログラムまたは前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標） Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記デジタル信号であるとしてもよい。
【0144】
また、本開示は、前記コンピュータプログラムまたは前記デジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。
【0145】
また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしてもよい。
【0146】
また、前記プログラムまたは前記デジタル信号を前記記録媒体に記録して移送することにより、または前記プログラムまたは前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
【0147】
（５）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。
【産業上の利用可能性】
【0148】
本開示は、サイバー攻撃以外の、車両の走行制御へ影響を及ぼす攻撃による影響を低減できる異常検知装置などとして有用である。
【符号の説明】
【0149】
１ 異常検知システム
５０、５１、４００ 物体
１００ サーバ
１０２ メインメモリ
１０３、２０３ ストレージ
２００ 車両
２０１ ＴＣＵ
２０２ ＥＣＵ
２０３ ストレージ
２０４ 車載ディスプレイ
２０５ 入力ＩＦ
２０６ ＬｉＤＡＲ
２０７ ソナー
２１０ 通信部
２２０ 物体検出装置
２３０ 異常検知装置
２３１ 取得部
２３２ 判定部
２３３ 出力部
２４０ 測位システム
２５０ 車両制御部
３００ 通信ネットワーク
３１０ 基地局
４０１ 吸収材
４１０ 妨害装置
５０、５１、４００ 物体
１００ サーバ
１０２ メインメモリ
１０３、２０３ ストレージ
２００ 車両
２０１ ＴＣＵ
２０２ ＥＣＵ
２０３ ストレージ
２０４ 車載ディスプレイ
２０５ 入力ＩＦ
２０６ ＬｉＤＡＲ
２０７ ソナー
２１０ 通信部
２２０ 物体検出装置
２３０ 異常検知装置
２３１ 取得部
２３２ 判定部
２３３ 出力部
２４０ 測位システム
２５０ 車両制御部
３００ 通信ネットワーク
３１０ 基地局
４０１ 吸収材
４１０ 妨害装置
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】
【図21】
【図22】
【図23】
【図24】