2025-99997 車載装置、情報処理方法及び、車載システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2025099997

(43)【公開日】2025-07-03

(54)【発明の名称】車載装置、情報処理方法及び、車載システム

(51)【国際特許分類】

   H04L 43/08 20220101AFI20250626BHJP

   H04L 43/02 20220101ALI20250626BHJP

   H04L 12/28 20060101ALI20250626BHJP

【ＦＩ】

H04L43/08

H04L43/02

H04L12/28 100A

【審査請求】未請求

【請求項の数】10

【出願形態】ＯＬ

(21)【出願番号】P 2023217058

(22)【出願日】2023-12-22

(71)【出願人】

【識別番号】504139662

【氏名又は名称】国立大学法人東海国立大学機構

(71)【出願人】

【識別番号】395011665

【氏名又は名称】株式会社オートネットワーク技術研究所

(71)【出願人】

【識別番号】000183406

【氏名又は名称】住友電装株式会社

(71)【出願人】

【識別番号】000002130

【氏名又は名称】住友電気工業株式会社

(74)【代理人】

【識別番号】100114557

【弁理士】

【氏名又は名称】河野 英仁

(74)【代理人】

【識別番号】100078868

【弁理士】

【氏名又は名称】河野 登夫

(72)【発明者】

【氏名】倉地 亮

(72)【発明者】

【氏名】高田 広章

(72)【発明者】

【氏名】上田 浩史

【テーマコード（参考）】

5K033

【Ｆターム（参考）】

5K033AA08

5K033BA06

5K033DA13

5K033EA03

5K033EA05

(57)【要約】      （修正有）

【課題】複数の車載ＥＣＵから受信した信頼度データに基づき、異常な車載ＥＣＵを特定する車載装置、情報処理方法及び車載システムを提供する。
【解決手段】車載装置２は、車両に搭載される複数の車載ＥＣＵ６と通信可能に接続されるマスターノードであって、スレーブノードである複数の車載ＥＣＵそれぞれから送信される信頼度データに関する処理を行う制御部３を備え、車載ＥＣＵから受信した信頼度データに基づき、異常な車載ＥＣＵを特定する。車載ＥＣＵから送信される信頼度データは、送信元である車載ＥＣＵ以外の車載ＥＣＵに対する正否の評価結果を含む。
【選択図】図２

【特許請求の範囲】

【請求項1】

車両に搭載される複数の車載ＥＣＵと通信可能に接続される車載装置であって、
複数の前記車載ＥＣＵそれぞれから送信される信頼度データに関する処理を行う制御部を備え、
前記車載ＥＣＵから送信される信頼度データは、送信元である車載ＥＣＵ以外となる他の車載ＥＣＵに対する正否の評価結果を含み、
前記制御部は、
複数の前記車載ＥＣＵそれぞれから送信される前記信頼度データを受信し、
受信した前記信頼度データに基づき、複数の前記車載ＥＣＵにおける異常な車載ＥＣＵを特定する
車載装置。

【請求項2】

前記制御部は、
複数の前記車載ＥＣＵそれぞれから受信した前記信頼度データそれぞれを集約し、
集約した複数の前記信頼度データに基づき、複数の前記車載ＥＣＵそれぞれの公平性値を導出し、
導出した前記公平性値それぞれと、前記信頼度データそれぞれとに基づき、前記車載ＥＣＵそれぞれの善良性値を導出し、
導出した前記善良性値に基づき、複数の前記車載ＥＣＵにおける異常な車載ＥＣＵを特定し、
前記公平性値は、いずれかの車載ＥＣＵが、他の車載ＥＣＵに対し正常であると評価する度合を示し、
前記善良性値は、いずれかの車載ＥＣＵに対し、他の車載ＥＣＵが正常であると評価する度合を示す
請求項１に記載の車載装置。

【請求項3】

前記制御部は、
複数の車載ＥＣＵそれぞれにおいて、いずれかの車載ＥＣＵによる評価結果と、他の車載ＥＣＵそれぞれによる評価結果を用いて算出した平均偏差との差分を導出し、
導出した前記差分に基づき、いずれかの車載ＥＣＵの前記公平性値を導出し、
前記公平性値を導出するにあたり、前記差分の絶対値が大きくなるほど、前記公平性値を小さくする
請求項２に記載の車載装置。

【請求項4】

前記制御部は、複数の前記車載ＥＣＵそれぞれにおいて、現時点までに導出した公平性値に対し、該導出の以降に受信した信頼度データを適用することにより、複数の前記車載ＥＣＵそれぞれの前記善良性値を導出する
請求項３に記載の車載装置。

【請求項5】

前記制御部は、
複数の前記車載ＥＣＵそれぞれの前記公平性値及び前記善良性値を、アクセス可能な記憶領域に記憶し、
前記車載ＥＣＵからの前記信頼度データを受信する都度、前記記憶領域に記憶されている前記公平性値及び前記善良性値を更新する
請求項２に記載の車載装置。

【請求項6】

前記制御部は、前記記憶領域に記憶されている複数の前記車載ＥＣＵそれぞれの前記公平性値及び前記善良性値を、予め定められた所定の周期にて出力する
請求項５に記載の車載装置。

【請求項7】

前記制御部は、複数の前記車載ＥＣＵのうち、いずれかの車載ＥＣＵの前記善良性値が異常である旨を示す範囲内となった場合、前記記憶領域に記憶されている複数の前記車載ＥＣＵそれぞれの前記公平性値及び前記善良性値を出力する
請求項５に記載の車載装置。

【請求項8】

前記制御部は、
複数の前記車載ＥＣＵのうち、前記善良性値が異常である旨を示す範囲内となった車載ＥＣＵを、異常ＥＣＵとして特定し、
特定した前記異常ＥＣＵから送信される通信データを無効化するための処理を行う
請求項５に記載の車載装置。

【請求項9】

車両に搭載される複数の車載ＥＣＵと通信可能に接続されるコンピュータに、
複数の前記車載ＥＣＵそれぞれから送信される信頼度データを受信し、
前記車載ＥＣＵから送信される前記信頼度データは、送信元である車載ＥＣＵ以外となる他の車載ＥＣＵに対する正否の評価結果を含むものであり、
受信した前記信頼度データに基づき、複数の前記車載ＥＣＵにおける異常な車載ＥＣＵを特定する
処理を実行させる情報処理方法。

【請求項10】

車両に搭載される複数の車載ＥＣＵと、複数の前記車載ＥＣＵと通信可能に接続される車載装置とを含む車載システムであって、
前記車載ＥＣＵは、
自身である該車載ＥＣＵ以外となる他の車載ＥＣＵに対する正否の評価結果を含む信頼度データを生成し、
生成した前記信頼度データを前記車載装置へ送信し、
前記車載装置は、
複数の前記車載ＥＣＵそれぞれから送信される前記信頼度データを受信し、
受信した前記信頼度データに基づき、複数の前記車載ＥＣＵにおける異常な車載ＥＣＵを特定する
車載システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、車載装置、情報処理方法及び、車載システムに関する。

【背景技術】

【0002】

従来、車両に搭載されたＥＣＵ（Electronic Control Unit）等の複数の装置間で行われる通信に用いられる通信プロトコルには、ＣＡＮ（Controller Area Network）の通信プロトコルが広く採用されていた。

【0003】

特許文献１においては、車両のＣＡＮに接続され、装置診断コマンドにより車載機器に動作を実行させて、この車載機器が送信する状態応答データを取り込み、車載機器の動作状態を判断する検知・制御統合装置が提案されている。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２００９－２２０８００号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかしながら、特許文献１の検知・制御統合装置は、複数の車載ＥＣＵそれぞれから受信した信頼度データに基づき、複数の車載ＥＣＵにおける異常な車載ＥＣＵを特定する点が、考慮されていない。

【0006】

本開示の目的は、複数の車載ＥＣＵそれぞれから受信した信頼度データに基づき、複数の車載ＥＣＵにおける異常な車載ＥＣＵを特定することができる車載装置等を提供する。

【課題を解決するための手段】

【0007】

本開示の一態様に係る車載装置は、車両に搭載される複数の車載ＥＣＵと通信可能に接続される車載装置であって、複数の前記車載ＥＣＵそれぞれから送信される信頼度データに関する処理を行う制御部を備え、前記車載ＥＣＵから送信される信頼度データは、送信元である車載ＥＣＵ以外となる他の車載ＥＣＵに対する正否の評価結果を含み、前記制御部は、複数の前記車載ＥＣＵそれぞれから送信される前記信頼度データを受信し、受信した前記信頼度データに基づき、複数の前記車載ＥＣＵにおける異常な車載ＥＣＵを特定する。

【発明の効果】

【0008】

本開示の一態様によれば、複数の車載ＥＣＵそれぞれから受信した信頼度データに基づき、複数の車載ＥＣＵにおける異常な車載ＥＣＵを特定する車載装置等を提供することができる。

【図面の簡単な説明】

【0009】

【図1】実施形態１に係る車載装置を含む車載システムの構成を例示する模式図である。

【図2】車載装置（マスターノード）及び車載ＥＣＵ（スレーブノード）の物理構成を例示するブロック図である。

【図3】車載ＥＣＵの制御部の処理を例示するフローチャートである。

【図4】車載ＥＣＵにおけるＥＣＵ－ＩＤテーブルを例示した説明図である。

【図5】車載ＥＣＵにおける評価テーブルを例示した説明図である。

【図6】車載装置の制御部の処理を例示するフローチャートである。

【図7】車載装置における信頼度通知ＣＡＮ－ＩＤテーブルを例示した説明図である。

【図8】車載装置における善良性値及び公平性値の更新処理を例示した説明図である。

【図9】車載装置における信頼度データのストア状態（中間データテーブル）を例示した説明図である。

【図10】車載装置における信頼度テーブル（善良性・公平性テーブル）を例示した説明図である。

【発明を実施するための形態】

【0010】

［本開示の実施形態の説明］
最初に本開示の実施態様を列挙して説明する。また、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

【0011】

（１）本開示の一態様に係る車載装置は、車両に搭載される複数の車載ＥＣＵと通信可能に接続される車載装置であって、複数の前記車載ＥＣＵそれぞれから送信される信頼度データに関する処理を行う制御部を備え、前記車載ＥＣＵから送信される信頼度データは、送信元である車載ＥＣＵ以外となる他の車載ＥＣＵに対する正否の評価結果を含み、前記制御部は、複数の前記車載ＥＣＵそれぞれから送信される前記信頼度データを受信し、受信した前記信頼度データに基づき、複数の前記車載ＥＣＵにおける異常な車載ＥＣＵを特定する。

【0012】

本態様にあたっては、車両に設けられた車載ネットワークには、複数の車載ＥＣＵと車載装置とが通信可能に接続されている。複数の車載ＥＣＵそれぞれは、他の車載ＥＣＵから送信されたＣＡＮメッセージ等の通信データを受信し、例えば、受信したＣＡＮメッセージのペイロードに格納される情報と、自身である車載ＥＣＵにおける処理内容又は動作状態等と比較し、当該通信データの送信元である他の車載ＥＣＵに対する正否（正常又は異常）の評価を行う。複数の車載ＥＣＵそれぞれは、自分自身である車載ＥＣＵ以外となる、他の車載ＥＣＵに対する評価結果を、信頼度データとして出力（車載ネットワークを介して車載装置に送信）する。車載ＥＣＵからの信頼度データは、他の車載ＥＣＵと評価結果とが関連付けられたデータであり、評価結果は、例えば、正常を示す値（１）又は異常を示す値（－１）にて定義されるものであってもよい。この際、車載ＥＣＵからの信頼度データにおいて、当該車載ＥＣＵ自身を示す評価結果については、０にて定義されるものであってもよい。車載装置の制御部は、複数の車載ＥＣＵそれぞれから送信される信頼度データそれぞれを受信し、受信した信頼度データに基づき、複数の車載ＥＣＵそれぞれについて、正常又は異常であるかを判定することにより、異常な車載ＥＣＵ（異常ＥＣＵ）を特定する。このように、車載装置の制御部は、自分自身以外の他の車載ＥＣＵに関する評価を行う車載ＥＣＵ（スレーブノード）それぞれから送信される信頼度データそれぞれを用いて集合演算的に導出した総和に基づき、複数の車載ＥＣＵにおける異常な車載ＥＣＵを導出するマスターノードとして機能する。従って、例えば、単に車載ネットワークに流れている通信データに基づき異常な車載ＥＣＵを導出する場合と比較して、異常な車載ＥＣＵの特定を効率的又は精度良く行うことができる。

【0013】

（２）本開示の一態様に係る車載装置においては、前記制御部は、複数の前記車載ＥＣＵそれぞれから受信した前記信頼度データそれぞれを集約し、集約した複数の前記信頼度データに基づき、複数の前記車載ＥＣＵそれぞれの公平性値を導出し、導出した前記公平性値それぞれと、前記信頼度データそれぞれとに基づき、前記車載ＥＣＵそれぞれの善良性値を導出し、導出した前記善良性値に基づき、複数の前記車載ＥＣＵにおける異常な車載ＥＣＵを特定し、前記公平性値は、いずれかの車載ＥＣＵが、他の車載ＥＣＵに対し正常であると評価する度合を示し、前記善良性値は、いずれかの車載ＥＣＵに対し、他の車載ＥＣＵが正常であると評価する度合を示す。

【0014】

本態様にあたっては、車載ＥＣＵは、他の車載ＥＣＵの正否を評価、すなわち正常又は異常であるかを判定している。この際、例えば、不正なプログラム等が実行されることにより異常となった車載ＥＣＵ（乗っ取られた車載ＥＣＵ）は、他の車載ＥＣＵが正常であるにもかかわらず、自身（乗っ取られた車載ＥＣＵ）が異常状態であることを隠蔽するため、これら正常な他の車載ＥＣＵを、異常と評価することが想定される。これに対し、車載装置の制御部は、複数の車載ＥＣＵそれぞれから受信した信頼度データそれぞれを集約することにより、いずれかの車載ＥＣＵが、他の車載ＥＣＵに対し正常であると評価（実施的に正常である車載ＥＣＵに対し、正常であるとする適切な評価）する度合を示す公平性値（第１演算値）を導出する。公平性値は、他の大多数の車載ＥＣＵによる評価の平均偏差との乖離が大きくなるほど、低い値（公平でない旨を示す値）となる。公平性値は、他の大多数の車載ＥＣＵによる評価の平均偏差との乖離が小さくなるほど、高い値（公平である旨を示す値）となる。すなわち、他の車載ＥＣＵに対し、適正な評価を与えている場合、公平性値が向上する。公平性値（f(u)）を導出するにあたり、例えば（１）式を用いて、車載ＥＣＵ自身に対する評価と当該車載ＥＣＵの善良性値との乖離（差分）の絶対値を、車載ＥＣＵの個数に応じて総和（u∈out(u)）して算出した平均偏差を用いて算出（１から当該平均偏差を減算）するものであってよい。

【0015】

【数1】

【0016】

但し、W(u,v)：車載ＥＣＵ自身に対する評価（ECUuからECUvへの信頼度評価）、g(v)：善良性値、out(u)：車載ＥＣＵの個数、Ｒ：２（車載ＥＣＵ間の辺と善良性の最大許容誤差）を示す。

【0017】

このように算出される公平性値（f(u)）は、例えば０（最も公平性が低い）から１（最も公平性が高い）の範囲にて値を取る（値が設定される）ものであってもよい。これにより、他の車載ＥＣＵに対し不適切な評価を行う車載ＥＣＵを、導出した公平性値に基づき、特定することができる。その上で、車載装置の制御部は、複数の車載ＥＣＵそれぞれに対し導出した公平性値それぞれと、車載ＥＣＵ自身に対する評価とに基づき、複数の車載ＥＣＵそれぞれの善良性値（第２演算値）を導出する。善良性値は、いずれかの車載ＥＣＵに対し、他の車載ＥＣＵが正常であると評価する度合を示すものであり、他の車載ＥＣＵから、高い評価（正常[1]）が与えられるほど善良性値が向上し、低い評価（異常[-1]）が与えられるほど善良性値が減少する。善良性値（g(v)）を導出するにあたり、例えば（２）式を用いて、公平性値（f(u)）に、車載ＥＣＵ自身に対する評価（W(u,v)）を乗算した値を、車載ＥＣＵの個数に応じて総和(u∈in(v))し平均化することにより算出するものであってよい。

【0018】

【数2】

【0019】

但し、W(u,v)：車載ＥＣＵ自身に対する評価（ECUuからECUvへの信頼度評価）、f(u)：公平性値、in(v)：車載ＥＣＵの個数を示す。

【0020】

このように算出される善良性値は、例えば－１（最も善良性が低い）から１（最も善良性が高い）の範囲にて値を取る（値が設定される）ものであってもよい。すなわち、善良性値が－１に近接するほど異常度が高くなり、善良性値が１（＋１）に近接するほど正常度が高くなる。車載ＥＣＵ自身に対する評価は、他の車載ＥＣＵからの信頼度データ（異常(-1)又は正常(1)の２値）によるものとなるが、当該値に車載ＥＣＵの公平性値が乗算することにより、車載ＥＣＵにおける公平性を加味して、当該車載ＥＣＵの善良性値を算出することができる。なお、このように公平性値（公平性スコア）と善良性値（善良性スコア）とは、それぞれの値を算出する算式に、他方の値が含まれる形態を取るものとなり、この際、公平性値（公平性スコア）及び善良性値（善良性スコア）の初期値は、全て１に設定されるものであってもよい。このように車載ＥＣＵそれぞれに対し公平性値及び善良性値を導出（算出）することにより、車載ネットワークに接続される複数の車載ＥＣＵのうち、多数の車載ＥＣＵにて一致する評価に対し、極端にずれた評価を行う車載ＥＣＵを効率的に抽出し、当該抽出した車載ＥＣＵを、異常な車載ＥＣＵ（異常ＥＣＵ）として精度良く特定することができる。特に外部からの攻撃により乗っ取られた車載ＥＣＵ（異常ＥＣＵ）は、自身が異常状態であることを隠蔽するため、他のＥＣＵに対し不適切な評価を行う傾向が高くなることが想定されるため、公平性値及び善良性値を用いた異常判定を行うことより、当該乗っ取られた車載ＥＣＵ（異常ＥＣＵ）を効率的に特定することが期待される。

【0021】

（３）本開示の一態様に係る車載装置においては、前記制御部は、複数の車載ＥＣＵそれぞれにおいて、いずれかの車載ＥＣＵによる評価結果と、他の車載ＥＣＵそれぞれによる評価結果を用いて算出した平均偏差との差分を導出し、導出した前記差分に基づき、いずれかの車載ＥＣＵの前記公平性値を導出し、前記公平性値を導出するにあたり、前記差分の絶対値が大きくなるほど、前記公平性値を小さくする。

【0022】

本態様にあたっては、車載装置の制御部は、公平性値を導出するにあたり、複数の車載ＥＣＵそれぞれにおいて、いずれかの車載ＥＣＵによる評価結果と、他の車載ＥＣＵそれぞれによる評価結果を用いて算出した平均偏差との差分（乖離：評価差分）を、算出（導出）する。この際、車載装置の制御部は、評価差分の絶対値が大きくなるほど公平性値を小さくなるように、すなわち公平性が低い車載ＥＣＵであるとして、当該公平性値を導出するため、各車載ＥＣＵに対する評価が、大多数の車載ＥＣＵによる評価の傾向と異なる（極端にずれている）車載ＥＣＵを効率的に抽出することができる。

【0023】

（４）本開示の一態様に係る車載装置においては、前記制御部は、複数の前記車載ＥＣＵそれぞれにおいて、現時点までに導出した公平性値に対し、該導出の以降に受信した信頼度データを適用することにより、複数の前記車載ＥＣＵそれぞれの前記善良性値を導出する。

【0024】

本態様にあたっては、車載装置の制御部は、複数の車載ＥＣＵそれぞれから周期的又は定常的に送信される信頼度データに基づき、車載ＥＣＵそれぞれにおける現時点の公平性値それぞれを導出し、車載装置の記憶部等、アクセス可能な記憶領域に記憶する処理を継続的に実行している。これにより、車載装置の記憶部には、現時点における車載ＥＣＵの公平性値それぞれが記憶されるものとなり、当該公平性値の情報鮮度が担保される。その上で、車載装置の制御部は、現時点における車載ＥＣＵの公平性値それぞれを用いて、以降（公平性値の導出以降）に受信した信頼度データに基づき、複数の車載ＥＣＵそれぞれの善良性値を導出する。これにより、過去から現時点までに取得した複数の信頼度データの積み重ねを加味して、善良性値を導出することができ、当該善良性値の精度を担保することができる。

【0025】

（５）本開示の一態様に係る車載装置においては、前記制御部は、複数の前記車載ＥＣＵそれぞれの前記公平性値及び前記善良性値を、アクセス可能な記憶領域に記憶し、前記車載ＥＣＵからの前記信頼度データを受信する都度、前記記憶領域に記憶されている前記公平性値及び前記善良性値を更新する。

【0026】

本態様にあたっては、車載装置の制御部は、複数の車載ＥＣＵそれぞれの公平性値及び善良性値を、例えばテーブル形式（信頼度テーブル）にて、車載装置の記憶部等、アクセス可能な記憶領域（記憶部）に記憶している。車載装置の制御部は、いずれかの車載ＥＣＵからの信頼度データを受信する都度、当該信頼度データを、現時点における信頼度テーブルに格納されている公平性値を用いて、善良性値を算出し、算出した善良性値を信頼度テーブルに格納することにより、当該善良性値を更新する。更に、車載装置の制御部は、更新された善良性値と、今回の処理で受信した信頼度データとにより、公平性値を算出し、算出した公平性値を信頼度テーブルに格納することにより、当該公平性値を更新する。このように車載装置の制御部は、いずれかの車載ＥＣＵからの信頼度データの受信をトリガーに、公平性値及び善良性値の再計算を繰り返し、再計算した公平性値と善良性値とを信頼度テーブルに格納して更新することにより、当該信頼度テーブルの情報鮮度を担保することができる。

【0027】

（６）本開示の一態様に係る車載装置においては、前記制御部は、前記記憶領域に記憶されている複数の前記車載ＥＣＵそれぞれの前記公平性値及び前記善良性値を、予め定められた所定の周期にて出力する。

【0028】

本態様にあたっては、車載装置の制御部は、車載装置の記憶部等、アクセス可能な記憶領域に記憶されている車載ＥＣＵそれぞれの公平性値及び善良性値を、予め定められた所定の周期にて、車載ネットワークを介して、車載ＥＣＵそれぞれに対し出力する。車両に無線機能を有する車外通信装置が搭載されている場合、車載装置の制御部は、当該車外通信装置を介して、車外に配置されるＳＯＣ（Security Operation Center）サーバ等の外部サーバに対し、車載ＥＣＵそれぞれの公平性値及び善良性値を出力するものであってもよい。このように定期的に、車両に搭載される複数の車載ＥＣＵの公平性値及び善良性値を出力することにより、これら複数の車載ＥＣＵそれぞれに対し、公平性値及び善良性値を報知することができる。車載装置から送信された公平性値及び善良性値に関するデータを取得した車載ＥＣＵは、当該データに基づき、善良性値が異常範囲内となる車載ＥＣＵ（異常ＥＣＵ）の存在を認識でき、当該車載ＥＣＵ（異常ＥＣＵ）に対する対抗処置を図ることができる。

【0029】

（７）本開示の一態様に係る車載装置においては、前記制御部は、複数の前記車載ＥＣＵのうち、いずれかの車載ＥＣＵの前記善良性値が異常である旨を示す範囲内となった場合、前記記憶領域に記憶されている複数の前記車載ＥＣＵそれぞれの前記公平性値及び前記善良性値を出力する。

【0030】

本態様にあたっては、車載装置の制御部は、車載ＥＣＵそれぞれの公平性値及び善良性値を、例えば記憶部に記憶されている信頼度テーブルに格納することにより、現時点における車載ＥＣＵそれぞれの公平性値及び善良性値の保存及び管理を実施している。車載装置の制御部は、複数の車載ＥＣＵのうち、いずれかの車載ＥＣＵの善良性値が異常である旨を示す範囲内（異常範囲内）となった場合、車載ＥＣＵそれぞれの公平性値及び善良性値を、車載ネットワークを介して車載ＥＣＵそれぞれに送信する、又は車外通信装置を介してＳＯＣ（Security Operation Center）サーバ等の外部サーバに送信する。これにより、車載装置から送信された公平性値及び善良性値に関するデータを取得した車載ＥＣＵは、当該データに基づき、善良性値が異常範囲内となる車載ＥＣＵ（異常ＥＣＵ）の存在を認識でき、当該車載ＥＣＵ（異常ＥＣＵ）に対する対抗処置を図ることができる。

【0031】

（８）本開示の一態様に係る車載装置においては、前記制御部は、複数の前記車載ＥＣＵのうち、前記善良性値が異常である旨を示す範囲内となった車載ＥＣＵを、異常ＥＣＵとして特定し、特定した前記異常ＥＣＵから送信される通信データを無効化するための処理を行う。

【0032】

本態様にあたっては、車載装置の制御部は、複数の車載ＥＣＵのうち、いずれかの車載ＥＣＵの善良性値が異常である旨を示す範囲内（異常範囲内）となった場合、善良性値が異常範囲内（例えば、－１から０未満となる負の値[－１≦善良性値＜０]）の車載ＥＣＵを異常ＥＣＵ（制御が乗っ取られた車載ＥＣＵ）として特定する。その上で、車載装置の制御部は、特定した異常ＥＣＵから送信される通信データを、実質的に無効化するための処理（無効化処理）を行う。当該無効化処理を行うにあたり、車載装置の制御部は、異常ＥＣＵから送信される通信データを一意に特定するための情報を、車載ネットワークに接続される全ての車載ＥＣＵに送信（ブロードキャスト）するものであってもよい。通信データを一意に特定するための情報は、車載ネットワークに用いられるプロトコルがＣＡＮ（Controller Area Network）又はＣＡＮ－ＦＤである場合、メッセージＩＤ（ＣＡＮ－ＩＤ）、プロトコルがイーサネット（登録商標）の場合は、異常ＥＣＵのＭＡＣアドレス又はＩＰアドレスであってもよい。このように異常ＥＣＵから送信される通信データのメッセージＩＤ等を全ての車載ＥＣＵに報知することにより、車載ＥＣＵそれぞれに対し、当該異常ＥＣＵから通信データを無視又は破棄する処理を実行させることができる。又は、車載装置の制御部は、無効化処理を行うにあたり、異常ＥＣＵから送信される通信データ（ＣＡＮメッセージ）に対し、当該通信データ（ＣＡＮメッセージ）の送信が完了する前に、エラーフレーム等をビットフリップ（重畳又は上書き送信）させることにより、車載ＥＣＵが受信できないようにするものであってもよい。

【0033】

（９）本開示の一態様に係る情報処理方法は、車両に搭載される複数の車載ＥＣＵと通信可能に接続されるコンピュータに、複数の前記車載ＥＣＵそれぞれから送信される信頼度データを受信し、前記車載ＥＣＵから送信される前記信頼度データは、送信元である車載ＥＣＵ以外となる他の車載ＥＣＵに対する正否の評価結果を含むものであり、受信した前記信頼度データに基づき、複数の前記車載ＥＣＵにおける異常な車載ＥＣＵを特定する処理を実行させる。

【0034】

本態様にあたっては、コンピュータを、複数の車載ＥＣＵそれぞれから受信した信頼度データに基づき、複数の車載ＥＣＵにおける異常な車載ＥＣＵを特定する車載装置として機能させる情報処理方法を提供することができる。

【0035】

（１０）本開示の一態様に係る車載システムは、車両に搭載される複数の車載ＥＣＵと、複数の前記車載ＥＣＵと通信可能に接続される車載装置とを含む車載システムであって、前記車載ＥＣＵは、自身である該車載ＥＣＵ以外となる他の車載ＥＣＵに対する正否の評価結果を含む信頼度データを生成し、生成した前記信頼度データを前記車載装置へ送信し、前記車載装置は、複数の前記車載ＥＣＵそれぞれから送信される前記信頼度データを受信し、受信した前記信頼度データに基づき、複数の前記車載ＥＣＵにおける異常な車載ＥＣＵを特定する。

【0036】

本態様にあたっては、複数の車載ＥＣＵそれぞれから受信した信頼度データに基づき、複数の車載ＥＣＵにおける異常な車載ＥＣＵを特定する車載装置を含む車載システム提供することができる。

【0037】

[本開示の実施形態の詳細]
本発明をその実施の形態を示す図面に基づいて具体的に説明する。本開示の実施形態に係る車載装置２を、以下に図面を参照しつつ説明する。なお、本発明はこれらの例示に限定されるものではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

【0038】

（実施形態１）
以下、実施の形態について図面に基づいて説明する図１は、実施形態１に係る車載装置２を含む車載システムＳの構成を例示する模式図である。図２は、車載装置２（マスターノード）及び車載ＥＣＵ６（スレーブノード）の物理構成を例示するブロック図である。車載システムＳは、車両Ｃに搭載された車載装置２を主たる装置として構成され、当該車載装置２は、車外通信装置１を介して、インターネット等の車外ネットワークに接続されるＳＯＣサーバ（Security Operation Center）又はＳＩＲＴサーバ（Security Incident Response Team）等の外部サーバＳＶ１と通信可能に接続される。

【0039】

車載装置２は、車両Ｃに搭載される全ての車載ＥＣＵ６から送信される送信データ（信頼度データ）を受信（取得）し、当該信頼度データに基づき、車両Ｃが攻撃者によって攻撃されている否かを検知する侵入検知装置（乗っ取り等が行われた異常ＥＣＵの検出装置）として機能する。車載装置２は、当該侵入検知装置として機能するにあたり、複数の車載ＥＣＵ６それぞれから送信される信頼度データに基づき、これら車載ＥＣＵ６に対する善良性値及び公平性値を導出し、導出した善良性値又は公平性値に基づき、例えば、制御が乗っ取られた異常な車載ＥＣＵ６（異常ＥＣＵ）を特定する。その上で、車載装置２は、特定した異常ＥＣＵから送信される送信データ（通信データ）を無効化するための処理を行い、車載ネットワーク７における健全性を担保するものであってもよい。

【0040】

外部サーバＳＶ１は、例えばインターネット又は公衆回線網等の車外ネットワークに接続されているサーバ等のコンピュータであり、ＳＯＣサーバ及びＳＩＲＴサーバを含む。ＳＯＣサーバは、ＳＯＣ（Security Operation Center）によって運用管理されるサーバであり、車両Ｃにおけるセキュリティ問題に対する分析等を行う組織が所管するサーバである。車載装置２は、善良性値及び公平性値に基づき制御が乗っ取られた異常な車載ＥＣＵ６（異常ＥＣＵ）を検出した場合、又は定期的に当該異常ＥＣＵに関する情報を生成し、外部サーバＳＶ１（ＳＯＣサーバ等）に送信するものであってよい。

【0041】

車両Ｃには、車外通信装置１、車載装置２、及び種々の車載機器（アクチュエータ、センサ）を制御するための複数の車載ＥＣＵ６が、搭載されている。車外通信装置１と車載装置２とは、例えばシリアルケーブル等のハーネスにより通信可能に接続されている。車載装置２及び車載ＥＣＵ６は、ＣＡＮ（Control Area Network）、ＣＡＮ－ＦＤ又はＥｔｈｅｒｎｅｔ（登録商標）等の通信プロトコルに対応した車載ネットワーク７によって通信可能に接続されている。

【0042】

車外通信装置１は、車外通信部（図示せず）及び、車載装置２と通信するための入出力Ｉ／Ｆ（図示せず）（インターフェイス）を含む。車外通信部は、ＬＴＥ、４Ｇ、５Ｇ、ＷｉＦｉ等の移動体通信のプロトコルを用いて無線通信をするための通信装置であり、車外通信部に接続されたアンテナを介して外部サーバＳＶ１とデータの送受信を行う。車外通信装置１と外部サーバＳＶ１との通信は、例えば公衆回線網又はインターネット等の外部ネットワークを介して行われる。

【0043】

車載装置２は、ＣＡＮゲートウェイ又はイーサネットスイッチ（レイヤー２スイッチ又はレイヤー３スイッチ）等の中継装置（ＧＷ）として機能するものであってもよい。本実施形態にて図示する車載装置２（ＧＷ：中継装置）に、マスターノードの機能を実装することにより、車載ネットワーク７に接続される全ての車載ＥＣＵ６（スレーブノード）から送信される送信データを確実に取得することができる。

【0044】

車載装置２は、通信に関する中継に加え、二次電池等の電源装置から出力された電力を分配及び中継し、自装置（車載装置２）に接続されるアクチュエータ等の車載機器に電力を供給する電力分配装置としても機能するＰＬＢ（Power Lan Box）であってもよい。又は、車載装置２は、車両Ｃ全体をコントロールするボディＥＣＵの一機能部として構成されるものであってもよい。又は、車載装置２は、例えばヴィークルコンピュータ等の中央制御装置にて構成され、車両Ｃの全体的な制御を行う統合ＥＣＵであってもよい。すなわち、当該統合ＥＣＵは、自身が行う機能の一部として、本実施形態にて説明される異常ＥＣＵの検出に関する処理を行うものであってもよい。

【0045】

車載装置２は、制御部３、記憶部４及び車内通信部５を含む。制御部３は、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processing Unit）等により構成してあり、記憶部４に予め記憶された制御プログラムＰ（プログラム製品）及びデータを読み出して実行することにより、種々の制御処理及び演算処理等を行うようにしてある。

【0046】

記憶部４は、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子又は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成してあり、制御プログラムＰ及び処理時に参照するデータが予め記憶してある。記憶部４に記憶された制御プログラムＰ（プログラム製品）は、車載装置２が読み取り可能な記録媒体Ｍから読み出された制御プログラムＰ（プログラム製品）を記憶したものであってもよい。また、図示しない通信網に接続されている図示しない外部コンピュータから制御プログラムＰをダウンロードし、記憶部４に記憶させたものであってもよい。詳細は後述するが、車載装置２の記憶部４には、例えば、ＥＣＵ－ＩＤテーブル、信頼度通知ＣＡＮ－ＩＤテーブル、中間データテーブル、及び善良性・公平性テーブル等、車載装置２の制御部３が演算処理で用いる各種テーブルが記憶されている。

【0047】

車内通信部５は、例えばＣＡＮ（Control Area Network）、ＣＡＮ－ＦＤ（CAN with Flexible Data Rate）又はイーサネット（ＴＣＰ／ＩＰ）等の通信プロトコルを用いた入出力インターフェイスである。車内通信部５は、ＣＡＮトランシーバにて構成されるＣＡＮ通信部、又はイーサネットＰＨＹ部にて構成されるイーサネット通信部を含み、車載装置２と車載ＥＣＵ６とが通信するための物理層に対応した通信部として機能する。

【0048】

車内通信部５は、複数個設けられており、車内通信部５夫々に、車載ネットワーク７を構成する通信線７１夫々、すなわちバス夫々が接続されている。このように車内通信部５を複数個設けることにより、車載ネットワーク７を複数個のバス又はセグメントに分け、各バス等に車載ＥＣＵ６を、当該車載ＥＣＵ６の機能に応じて接続するものであってもよい。車載装置２の制御部３は、車内通信部５を介して車載ネットワーク７に接続されている車載ＥＣＵ６と相互に通信する。

【0049】

車載ＥＣＵ６は、車載装置２と同様に、制御部６１、記憶部６２及び車内通信部６３を含む。車載ＥＣＵ６は、他の車載ＥＣＵ６から送信される通信データに基づき、当該他の車載ＥＣＵ６の正否判定を行い、当該判定結果を、マスターノードである車載装置２に周期的に送信するスレーブノードとして機能する。車載ＥＣＵ６の記憶部６２には、ＥＣＵ－ＩＤテーブル及び評価テーブル等、制御部６１が当該判定等の演算処理を行うにあたり用いる各種テーブルが記憶されている。

【0050】

車載ＥＣＵ６は、他の各車載ＥＣＵ６からのメッセージを受信し、当該メッセージ内のシグナルの異常を判定するものであってもよい。スレーブノードとして機能する車載ＥＣＵ６は、受信メッセージの異常の有無を判定した上、どの車載ＥＣＵ６に異常がありそうかを判定できる。すなわち、車載ＥＣＵ６は、メッセージを受信する都度、他の車載ＥＣＵ６からの送受信回数と異常受信回数を記録し保持する処理（アルゴリズム１）を行う。

【0051】

更に、車載ＥＣＵ６は、予め定められた周期に従い、定期的に他の車載ＥＣＵ６の信頼度情報通知（信頼度データ）を転送する。この際、車載ＥＣＵ６にて取りためた他の各車載ＥＣＵ６の総受信回数と異常受信回数から、各車載ＥＣＵ６の信頼度評価結果（W(u,v)）を－１から１の範囲で与えるように計算し通信する。その後、異常の有無を、例えば信頼度評価結果フォーマットに変換し、そのメッセージを転送する処理（アルゴリズム２）を行う。車載ＥＣＵ６は、信頼度評価結果（W(u,v)）を－１から１の範囲で与えるように計算するにあたり、異常受信回数が０なら信頼度評価結果を１（最も信頼度が高い）とし、総受信回数と異常受信回数とが等しい場合は信頼度評価結果を－１（最も信頼度が低い）とし、これ以外の場合は、異常受信回数を総受信回数にて除算した値にて信頼度評価結果を浮動小数点又は固定小数点にて導出する（アルゴリズム３）ものであってもよい。更に、車載ＥＣＵ６は、導出した固定小数点等による信頼度評価結果をバイト値に変換する処理（アルゴリズム４）を行うものであってもよい。

【0052】

図３は、車載ＥＣＵ６の制御部６１の処理を例示するフローチャートである。車載ＥＣＵ６の制御部６１は、例えば車両Ｃが起動状態又は停止状態（ＩＧスイッチ又はパワースイッチが、オン又はオフ）において、定常的に以下の処理を行う。

【0053】

車載ＥＣＵ６の制御部６１は、他の車載ＥＣＵ６からの通信データを受信したか否かを判定する（Ｅ１０１）。通信データを受信しなかった場合（Ｅ１０１：ＮＯ）、車載ＥＣＵ６の制御部６１は、再度Ｅ１０１を実行することにより、ループ処理を行う。これにより、車載ＥＣＵ６の制御部６１は、他の車載ＥＣＵ６から送信される通信データを待ち受ける処理を継続する。

【0054】

通信データを受信した場合（Ｅ１０１：ＹＥＳ）、車載ＥＣＵ６の制御部６１は、車載ＥＣＵ６それぞれの異常／受信の判定処理（受信及び正否判定処理）を実行する（Ｅ１０２）。車載ネットワーク７を介して、いずれかの車載ＥＣＵ６（他の車載ＥＣＵ６）から通信データを受信した場合、車載ＥＣＵ６の制御部６１は、当該通信データの送信元である他の車載ＥＣＵ６を特定し、特定した他の車載ＥＣＵ６に対する判定処理、すなわち当該他の車載ＥＣＵ６が正常又は異常であるかの評価を行う。車載ＥＣＵ６の制御部６１は、通信データの送信元である他の車載ＥＣＵ６を特定するにあたり、通信データのヘッダー部に含まれるメッセージＩＤ等に基づき、車載ＥＣＵ６の記憶部６２に記憶されているＥＣＵ－ＩＤテーブルを参照するものであってもよい。

【0055】

図４は、車載ＥＣＵ６におけるＥＣＵ－ＩＤテーブルを例示した説明図である。車載ＥＣＵ６の記憶部６２には、通信データのヘッダー部に含まれるメッセージＩＤと、当該メッセージＩＤを含めた通信データを送信する送信元の車載ＥＣＵ６との対応関係が、例えばテーブル形式（ＥＣＵ－ＩＤテーブル）にて記憶されている。ＥＣＵ－ＩＤテーブルは、管理項目（フィールド）として、例えば、メッセージＩＤ（通信データ用）と、ＥＣＵーＩＤとを含む。

【0056】

メッセージＩＤ（通信データ用）の管理項目には、通信データのヘッダー部に含まれるメッセージＩＤ等、当該通信データを識別するための識別子が格納される。通信データが、ＣＡＮ又はＣＡＮ－ＦＤの場合、メッセージＩＤには、ＣＡＮ－ＩＤが格納されるものであってもよい。通信データが、ＴＣＰ／ＩＰの場合、メッセージＩＤには、送信元の車載ＥＣＵ６のＩＰアドレス、ＭＡＣアドレス、又はＴＣＰポート番号であってもよい。

【0057】

ＥＣＵーＩＤの管理項目には、同じレコードに格納されるメッセージＩＤに対応する車載ＥＣＵ６のＩＤ等、当該車載ＥＣＵ６を一意に特定する識別子が格納される。これにより、メッセージＩＤに基づき、通信データの送信元の車載ＥＣＵ６を一意に特定することができる。すなわち、車載ＥＣＵ６それぞれは、通信データを送信するにあたり、当該通信データのヘッダー部等に含まれるＩＤと紐づけされており、当該紐づけに応じた内容が、ＥＣＵ－ＩＤテーブルに定義されるものとなる。

【0058】

車載ＥＣＵ６の制御部６１は、通信データの送信元として特定した他の車載ＥＣＵ６からの通信データに対し、正常又は異常であるかの判定を行う。車載ＥＣＵ６の制御部６１は、例えば、受信した通信データ（ＣＡＮメッセージ）のペイロードに格納される情報と、自身である車載ＥＣＵ６における処理内容又は動作状態等と比較して、当該通信データが正常又は異常であるかの判定を行うものであってもよい。例えば、車載ＥＣＵ６の制御部６１が、車速に関する処理を行っており、現時点における車速が時速１００ｋｍであると認識している場合、受信した通信データ（ＣＡＮメッセージ）のペイロードに格納される情報が、走行中にシフトレバーがパーキングであることを示す場合、当該通信データは異常であると判定するものであってもよい。又は、車載ＥＣＵ６の制御部６１が、エンジン回転数に関する処理を行っており、現時点におけるエンジン回転数がアイドリング状態の回転数である場合、受信した通信データ（ＣＡＮメッセージ）のペイロードに格納される情報が、車速が時速０ｋｍであることを示す場合、当該通信データは異常であると判定するものであってもよい。

【0059】

車載ＥＣＵ６の制御部６１は、通信データを受信都度、当該通信データに対する判定を行い、判定結果（正常又は異常）を車載ＥＣＵ６の記憶部６２に記憶する。車載ＥＣＵ６の制御部６１は、当該判定結果（正常又は異常）を記憶するにあたり、特定した送信元の他の車載ＥＣＵ６からの通信データの受信回数において、異常と判定した異常通信データの受信回数（異常回数）、及び正常と判定した正常通信データの受信回数（正常回数）を評価テーブルに格納するものであってもよい。

【0060】

車載ＥＣＵ６の制御部６１は、他の車載ＥＣＵ６それぞれに対し、所定期間において当該他の車載ＥＣＵ６から受信した通信データにおける異常回数と正常回数との大小関係又は比率等に基づき、当該通信データの送信元である車載ＥＣＵ６（他の車載ＥＣＵ６）の評価、すなわち信頼度を導出する。車載ＥＣＵ６の制御部６１は、例えば、受信した通信データにおける異常回数が正常回数よりも多い場合（異常回数＞正常回数）、当該通信データの送信元である車載ＥＣＵ６（他の車載ＥＣＵ６）は、異常（信頼度＝－１）と判定する。車載ＥＣＵ６の制御部６１は、例えば、受信した通信データにおける異常回数が正常回数よりも少ない場合（異常回数＜正常回数）、当該通信データの送信元である車載ＥＣＵ６（他の車載ＥＣＵ６）は、正常（信頼度＝１）と判定する。又は、車載ＥＣＵ６の制御部６１は、例えば、異常回数が０（エラー：０）の場合、正常（信頼度＝１）と判定するものであってもよい。又は、車載ＥＣＵ６の制御部６１は、異常回数（エラー）が、総受信回数（トータルの回数）と同等又は正常回数よりも多い場合は異常（信頼度＝－１）と判定するものであってもよい。又は、車載ＥＣＵ６の制御部６１は、例えば、受信した通信データにおける異常回数が正常回数と同じ場合（異常回数＝正常回数）、当該通信データの送信元である車載ＥＣＵ６（他の車載ＥＣＵ６）は、保留（信頼度＝０）と判定するものであってもよい。車載ＥＣＵ６の制御部６１は、導出した信頼度を評価テーブルに格納（上書き更新）するものであってもよい。

【0061】

図５は、車載ＥＣＵ６における評価テーブルを例示した説明図である。車載ＥＣＵ６の記憶部６２には、通信データの送信元となる車載ＥＣＵ６（他の車載ＥＣＵ６）それぞれにおいて、受信した通信データが異常又は正常であるかを示す回数、及び当該回数に基づき導出した信頼度が、例えばテーブル形式（評価テーブル）にて記憶されている。評価テーブルは、管理項目（フィールド）として、例えば、ＥＣＵーＩＤ、異常回数、正常回数、及び信頼度を含む。

【0062】

ＥＣＵーＩＤの管理項目には、車載ＥＣＵ６のＩＤ等、当該車載ＥＣＵ６を一意に特定する識別子が格納され、当該ＥＣＵーＩＤによって、ＥＣＵ－ＩＤテーブルとの関連付け（リレーション設定）が行われる。異常回数の管理項目には、同じレコードに格納されるＥＣＵーＩＤに対応する車載ＥＣＵ６（通信データの送信元の車載ＥＣＵ６）からの通信データにおいて、当該通信データが異常であった回数（異常と判定された通信データの個数）が、格納される。正常回数の管理項目には、同じレコードに格納されるＥＣＵーＩＤに対応する車載ＥＣＵ６（通信データの送信元の車載ＥＣＵ６）からの通信データにおいて、当該通信データが正常であった回数（正常と判定された通信データの個数）が、格納される。すなわち、車載ＥＣＵ６の制御部６１は、通信データの受信都度、当該通信データが異常又は正常であるかを判定し、判定結果に応じて、異常回数又は正常回数の値を増加（カウントアップ）する。

【0063】

信頼度の管理項目には、同じレコードに格納されるＥＣＵーＩＤに対応する車載ＥＣＵ６において、異常回数と正常回数との大小関係等に基づき導出された信頼度（正常[1]又は異常[-1]）が格納される。車載ＥＣＵ６の制御部６１は、通信データの受信都度、通信データが異常又は正常であるかを判定し、当該判定時点における異常回数と正常回数とに基づき、信頼度を導出するものであってもよい。このように車載ＥＣＵ６の制御部６１は、いずれかの他の車載ＥＣＵ６からの通信データの受信都度、通信データの正否判定に応じて回数（異常回数、正常回数）のカウントアップ、及び当該回数に基づく信頼度の導出を行うことにより、評価テーブルを更新（最新状態に維持）するものであってもよい。なお、評価テーブルの初期値に関し、異常回数及び正常回数は０であり、信頼度は正常[1]を示すものであってもよい。詳細は後述するが、車載ＥＣＵ６の制御部６１は、評価テーブルに格納されている信頼度等を定期的に車載装置２の送信し、当該送信の後処理として、評価テーブルを初期化するものであってもよい。

【0064】

車載ＥＣＵ６の制御部６１は、判定結果を評価テーブルに格納する（Ｅ１０３）。車載ＥＣＵ６の制御部６１は、判定結果、すなわち受信した通信データの正否判定に応じて更新（カウントアップ）した回数（異常回数、正常回数）に基づき導出した評価結果を、評価テーブルに格納することにより、当該通信データの送信元である他の車載ＥＣＵ６に対する信頼度を更新する。

【0065】

車載ＥＣＵ６の制御部６１は、前回の信頼度データの送信時点から、所定期間が経過したか否かを判定する（Ｅ１１１）。当該所定期間、すなわち車載ＥＣＵ６から車載装置２へ、信頼度データ（車載ＥＣＵ６それぞれの信頼度の値）を送信する際の送信周期は、車載ＥＣＵ６の記憶部６２に記憶されており、当該送信周期と、前回の送信時点からの経過時間との対比に応じて、車載ＥＣＵ６の制御部６１は、所定期間が経過したか否かを判定する。所定期間が経過していない場合（Ｅ１１１：ＮＯ）、車載ＥＣＵ６の制御部６１は、再度Ｅ１１１を実行することにより、ループ処理を行う。これにより、車載ＥＣＵ６の制御部６１は、信頼度データを周期的に車載装置２に送信するものとなる。

【0066】

所定期間が経過した場合（Ｅ１１１：ＹＥＳ）、車載ＥＣＵ６の制御部６１は、車載装置２へ、信頼度データを送信する（Ｅ１１２）。前回の信頼度データの送信時点から、所定期間が経過した場合、車載ＥＣＵ６の制御部６１は、現時点にて評価テーブルに格納されている内容を用いて、信頼度データを生成し、当該信頼度データを車載装置２に送信する。

【0067】

車載ＥＣＵ６の制御部６１は、信頼度データを生成するにあたり、例えば、ＣＡＮ又はＣＡＮ－ＦＤのペイロードに車載ＥＣＵ６それぞれの信頼度それぞれを、各バイト単位で挿入（ＥＣＵ－ＩＤの番号に沿って順次に挿入）するものであってもよい。信頼度が挿入される各バイト（1byte）は、正常[1]又は異常[-1]が示せるように固定小数点表現（符号：１ビット、小数部：７ビット）にて構成されるものであってもよい。又は、車載ＥＣＵ６の制御部６１は、信頼度それぞれをＥＣＵ－ＩＤと関連付けて、ペイロードに挿入するものであってもよい。信頼度データにおいて、評価主体である車載ＥＣＵ６自身の評価は、０（自ＥＣＵの評価は０に設定）とするものであってもよい。

【0068】

車載ＥＣＵ６の制御部６１は、信頼度データを車載装置２に送信する際、当該信頼度データを含むメッセージのヘッダー部に、予め定められたメッセージＩＤ（信頼度データ用メッセージＩＤ）を含ませるものであってもよい。詳細は後述するが、信頼度データ用メッセージＩＤは車載ＥＣＵ６それぞれに対し一意に決定されており、すなわち車載ＥＣＵ６それぞれに対し、異なる信頼度データ用メッセージＩＤが定義されている。これにより、車載ネットワーク７の通信プロトコルがＣＡＮ等の場合、車載装置２は、車載ＥＣＵ６から信頼度データを受信した場合、当該信頼度データを含むＣＡＮメッセージのヘッダー部に格納されたメッセージＩＤ（ＣＡＮ－ＩＤ）により、送信元の車載ＥＣＵ６（車載ＥＣＵ６のＥＣＵ－ＩＤ）を特定することができる。

【0069】

車載ＥＣＵ６の制御部６１は、評価テーブルを初期化する（Ｅ１１３）。車載ＥＣＵ６の制御部６１は、信頼度データを送信した後、評価テーブルに格納されている値（各車載ＥＣＵ６に対する信頼度等）を初期化するものであってもよい。評価テーブルの初期化処理を行うことにより、全ての車載ＥＣＵ６（ＥＣＵ－ＩＤ）の異常回数及び正常回数が０に設定（０クリア）され、信頼度は正常[1]に設定されるものであってもよい。これにより、信頼度データの送信周期を処理単位時間として、他の車載ＥＣＵ６に対する評価、すなわち信頼度（正常[1]又は異常[-1]）の導出を行うことができ、現時点における他の車載ＥＣＵ６それぞれに対する評価を精度良く行うことができる。

【0070】

又は、車載ＥＣＵ６の制御部６１は、信頼度データを送信した場合であっても、評価テーブルに格納されている値を初期化しないものであってもよい。この際、車載ＥＣＵ６の制御部６１は、他の車載ＥＣＵ６それぞれか取得した通信データの受信回数、すなわち通信データにおいて、異常と判定した異常通信データの受信回数（異常回数）、及び正常と判定した正常通信データの受信回数（正常回数）を累積（カウントアップ）し、当該累積された回数（異常回数、正常回数）に基づき、信頼度（正常[1]又は異常[-1]）を導出（評価）するものであってもよい。車載ＥＣＵ６の制御部６１は、他の車載ＥＣＵ６に対する評価を行う処理（Ｅ１０１からＥ１０３）と、当該評価結果に応じた信頼度データを車載装置２に送信する処理（Ｅ１１１からＥ１１３）とを、例えば、サブプロセスを生成することによる並行処理にて継続的に実行するものであってもよい。

【0071】

図６は、車載装置２の制御部３の処理を例示するフローチャートである。車載装置２の制御部３は、例えば車両Ｃが起動状態又は停止状態（ＩＧスイッチ又はパワースイッチが、オン又はオフ）において、定常的に以下の処理を行う。

【0072】

車載装置２の制御部３は、車載ＥＣＵ６からの信頼度データを受信したか否かを判定する（Ｓ１０１）。車載ネットワーク７に接続される複数の車載ＥＣＵ６それぞれは、周期的に信頼度データ（信頼度データを含むＣＡＮメッセージ等）を車載装置２に送信する。車載装置２の制御部３は、常時、車載ＥＣＵ６それぞれからの信頼度データ（信頼度データを含むＣＡＮメッセージ等）を待ち受けており、いずれかの車載ＥＣＵ６から信頼度データが送信された場合、当該信頼度データを受信し、車載装置２の記憶部４に記憶する。

【0073】

信頼度データを受信しなかった場合（Ｓ１０１：ＮＯ）、車載装置２の制御部３は、再度Ｓ１０１を実行することにより、ループ処理を行う。これにより、車載装置２の制御部３は、複数の車載ＥＣＵ６それぞれから送信される信頼度データを待ち受ける処理を継続する。

【0074】

信頼度データを受信した場合（Ｓ１０１：ＹＥＳ）、車載装置２の制御部３は、車載ＥＣＵ６それぞれの善良性値及び公平性値を導出する（Ｓ１０２）。車載装置２の制御部３は、いずれかの車載ＥＣＵ６から信頼度データを受信した場合、当該信頼度データの受信をトリガーとして、車載ネットワーク７に接続される複数の車載ＥＣＵ６それぞれの善良性値及び公平性値を導出する。

【0075】

車載装置２の制御部３は、受信した信頼度データに付与されたメッセージＩＤに基づき、当該信頼度データの送信元の車載ＥＣＵ６（ＥＣＵ－ＩＤ）を特定する。車載装置２の制御部３は、車載装置２の記憶部４に記憶されている信頼度通知ＣＡＮ－ＩＤテーブルを参照することにより、信頼度データの送信元の車載ＥＣＵ６（ＥＣＵ－ＩＤ）を特定するものであってもよい。

【0076】

図７は、車載装置２における信頼度通知ＣＡＮ－ＩＤテーブルを例示した説明図である。車載装置２の記憶部４には、信頼度データのヘッダー部に含まれるメッセージＩＤと、当該メッセージＩＤを含めた信頼度データを送信する送信元の車載ＥＣＵ６との対応関係が、例えばテーブル形式（信頼度通知ＣＡＮ－ＩＤテーブル）にて記憶されている。信頼度通知ＣＡＮ－ＩＤテーブルは、管理項目（フィールド）として、例えば、メッセージＩＤ（信頼度データ用）と、ＥＣＵーＩＤとを含む。

【0077】

メッセージＩＤ（信頼度データ用）の管理項目には、信頼度データのヘッダー部に含まれるメッセージＩＤ等、当該信頼度データを識別するための識別子が格納される。信頼度データが、ＣＡＮ又はＣＡＮ－ＦＤの場合、メッセージＩＤには、ＣＡＮ－ＩＤが格納されるものであってもよい。ＥＣＵーＩＤの管理項目には、同じレコードに格納されるメッセージＩＤに対応する車載ＥＣＵ６のＩＤ等、当該車載ＥＣＵ６を一意に特定する識別子が格納される。これにより、メッセージＩＤに基づき、信頼度データの送信元の車載ＥＣＵ６を一意に特定することができる。

【0078】

図８は、車載装置２における善良性値及び公平性値の更新処理を例示した説明図である。車載装置２の制御部３は、車載ＥＣＵ６それぞれ（各ノード）の善良性及び公平性を導出するにあたり、これら善良性及び公平性の初期値を１（正常）に設定（１にて初期化）するものであってもよい。

【0079】

本実施形態における図示において、評価する車載ＥＣＵ６（左側配置）から、評価される車載ＥＣＵ６（右側配置）に延びる各辺は、｛１（正常）、－１（異常）｝の２値の値を取るものであり、信頼度データの送信元である評価する車載ＥＣＵ６（左側配置）による、他の車載ＥＣＵ６（右側配置）に対する評価結果を示す。本実施形態において、正常（１）を示す辺は実線にて示され、異常（－１）を示す辺は破線にて示される。車載装置２の制御部３は、車載ＥＣＵ６それぞれ（各ノード）からの評価（他の車載ＥＣＵ６に対する評価）を集約し、車載ＥＣＵ６それぞれに対する善良性値（g(v)：善良性スコア）を更新（導出）し、更新（導出）した善良性値を用いて、公平性値（f(v)：公平性スコア）を更新（導出）する。車載装置２の制御部３は、更新（導出）した善良性値（g(v)：善良性スコア）に基づき、車載ＥＣＵ６の正否（正常又は異常）を判断（判定）する。すなわち、車載装置２の制御部３は、更新（導出）した善良性値（g(v)：善良性スコア）が負である場合、異常を検出（善良性値が負の車載ＥＣＵ６は異常と判定）する。

【0080】

本実施形態における図示において、車載装置２の制御部３は、善良性値及び公平性値の導出を３ステップにて行うものであってもよい。車載装置２の制御部３は、第１ステップ(Step1)として、所定の処理単位時間において取得した複数の車載ＥＣＵ６（本実施形態では４つの車載ＥＣＵ６（ECU1からECU4））から送信された信頼度データそれぞれを受信し、車載装置２の記憶部４に記憶する。この際、車載装置２の記憶部４には、これら４つの車載ＥＣＵ６（ECU1からECU4）の善良性値及び公平性値（f(v)=1,g(v)=1）が初期化時の状態にて記憶されているものであってもよい。なお、車載装置２の制御部３は、善良性値及び公平性値の導出を継続的に繰り返すものであり、その際、当該導出した善良性値及び公平性値を用いて、車載ＥＣＵ６から受信した信頼度データに基づき、最新の善良性値及び公平性値の導出（更新）を再帰的に実行する。

【0081】

図９は、車載装置２における信頼度データのストア状態（中間データテーブル）を例示した説明図である。各車載ＥＣＵ６それぞれには、ユニークなＩＤ（一意に示す識別子）が設定されており、車載ＥＣＵ６は各行単位の情報を信頼度データとして車載装置２に通知するものであってもよい。これにより、車載装置２は、各車載ＥＣＵ６から到着する信頼度データの１バイト目はＩＤが１の車載ＥＣＵ６(ECU1)、２バイト目はＩＤが２の車載ＥＣＵ６(ECU2)として、信頼度データにおけるペイロードの先頭からの格納順番にて参照することができる。車載装置２の制御部３は、複数の車載ＥＣＵ６から受信した信頼度データを、車載装置２の記憶部４に記憶するにあたり、例えばテーブル形式（中間データテーブル）にてストアするものであってもよい。中間データテーブルは、横項目を評価する車載ＥＣＵ６のＩＤとし、縦項目を評価される車載ＥＣＵ６のＩＤとして、管理項目が定義されるマトリックス状に構成されるものであってもよい。この際、自身に対する評価は０となる。本実施形態においては例示として、図８の第１ステップ(Step1)及び図９にて示すとおり、ＥＣＵ－ＩＤが１の車載ＥＣＵ６（ECU1）は、他の車載ＥＣＵ６に対し異常（-1）であるとの評価を示し、他の車載ＥＣＵ６（ECU2,ECU3,ECU4）から、異常（-1）であるとの評価がされている。すなわち、車載ＥＣＵ６（ECU1）は、例えば外部からの攻撃等により制御が乗っ取られたＥＣＵであることが想定される。

【0082】

車載装置２の制御部３は、第２ステップ(Step2)として、車載ＥＣＵ６それぞれの公平性値（本実施形態では初期値）と、車載ＥＣＵ６それぞれ（ECU1,ECU2,ECU3,ECU4）から受信した信頼度データそれぞれとを用いて、車載ＥＣＵ６それぞれの善良性値（善良性スコア）を算出する。本実施形態における図示においては、ＥＣＵ－ＩＤが１の車載ＥＣＵ６（ECU1）の善良性値は、－１（g(v)=-1）となり、他の車載ＥＣＵ６（ECU2,ECU3,ECU4）の善良性値は、１（g(v)=0.33）となる。善良性値は、いずれかの車載ＥＣＵ６（評価される車載ＥＣＵ６）に対して、他の車載ＥＣＵ６（評価する車載ＥＣＵ６）が、正常であると評価する度合（受動的評価度合）を示す。

【0083】

車載装置２の制御部３は、善良性値（g(v)）を導出するにあたり、上述した（２）式を用いて、公平性値（f(u)）に、車載ＥＣＵ６自身に対する評価（W(u,v)）を乗算した値を、車両Ｃに搭載される車載ＥＣＵ６の個数に応じて総和(u∈in(v))し平均化することにより算出するものであってよい。善良性値は、例えば－１（最も善良性が低い）から１（最も善良性が高い）の範囲にて値を取る（値が設定される）ように算出される。従って、善良性値が－１に近接するほど異常度が高くなり、善良性値が１（＋１）に近接するほど正常度が高くなる。

【0084】

車載装置２の制御部３は、第３ステップ(Step3)として、車載ＥＣＵ６それぞれの善良性値（第２ステップで算出した善良性値）と、車載ＥＣＵ６それぞれ（ECU1,ECU2,ECU3,ECU4）から受信した信頼度データそれぞれとを用いて、車載ＥＣＵ６それぞれの公平性値（公平性スコア）を算出する。本実施形態における図示においては、ＥＣＵ－ＩＤが１の車載ＥＣＵ６（ECU1）の公平性値は、０（f(v)=0）となり、他の車載ＥＣＵ６（ECU2,ECU3,ECU4）の善良性値は、１（f(v)=0.997）となる。公平性値は、いずれかの車載ＥＣＵ６（評価する車載ＥＣＵ６）が、自身（自ＥＣＵ）以外である他の車載ＥＣＵ６（評価される車載ＥＣＵ６）に対し、正常であると評価する度合（能動的評価度合）を示す。

【0085】

車載装置２の制御部３は、公平性値（f(u)）を導出するにあたり、上述した（１）式を用いて、車載ＥＣＵ６自身に対する評価と当該車載ＥＣＵ６の善良性値との乖離（差分）の絶対値を、車両Ｃに搭載される車載ＥＣＵ６の個数に応じて総和（u∈out(u)）して算出した平均偏差を用いて算出するものであってよい。公平性値（f(u)）は、例えば０（最も公平性が低い）から１（最も公平性が高い）の範囲にて値を取る（値が設定される）ように算出される。

【0086】

車載装置２の制御部３は、公平性値を導出するにあたり、複数の車載ＥＣＵ６それぞれにおいて、いずれかの車載ＥＣＵ６による評価結果と、他の車載ＥＣＵ６それぞれによる評価結果を用いて算出した平均偏差との差分（乖離：評価差分）を、算出（導出）するため、評価差分の絶対値が大きくなるほど公平性値を小さくなる（公平性が低い車載ＥＣＵ６）ものとなる。従って、公平性値を判断因子として用いることにより、各車載ＥＣＵ６に対する評価が、大多数の車載ＥＣＵ６による評価の傾向と異なる（極端にずれている）車載ＥＣＵ６を効率的に抽出することができる。

【0087】

このように複数の車載ＥＣＵ６それぞれから受信した信頼度データを用いて、当該信頼度データの受信の都度、善良性値及び公平性値の導出（再計算）を継続することにより、現時点における最新の善良性値及び公平性値に更新し、情報鮮度を担保することができる。
これら善良性値及び公平性値の導出を再帰的に行うことにより、例えば制御が乗っ取られた異常な車載ＥＣＵ６については、善良性値及び公平性値が収束（g(v)=1、f(v)=0）する傾向にあり、当該乗っ取られた車載ＥＣＵ６を効率的に検出（特定）することができる。

【0088】

車載装置２の制御部３は、導出した善良性値及び公平性値を信頼度テーブルに格納する（Ｓ１０３）。車載装置２の制御部３は、車載ＥＣＵ６それぞれにおいて導出した善良性値及び公平性値それぞれを、例えば車載装置２の記憶部４に記憶されている信頼度テーブルに格納することにより、最新の善良性値及び公平性値に更新する。

【0089】

図１０は、車載装置２における信頼度テーブル（善良性・公平性テーブル）を例示した説明図である。車載装置２の記憶部４には、車載ネットワーク７に接続される複数の車載ＥＣＵ６それぞれに対する善良性値及び公平性値が、例えばテーブル形式（善良性・公平性テーブル）にて記憶されている。善良性・公平性テーブルは、管理項目（フィールド）として、例えばＥＣＵーＩＤ、善良性値、及び公平性値を含む。

【0090】

ＥＣＵーＩＤの管理項目には、車載ＥＣＵ６のＩＤ等、当該車載ＥＣＵ６を一意に特定する識別子が格納される。善良性値の管理項目には、同じレコードに格納されるＥＣＵーＩＤに対応する善良性値が格納される。公平性値の管理項目には、同じレコードに格納されるＥＣＵーＩＤに対応する公平性値が格納される。

【0091】

車載装置２の制御部３は、いずれかの車載ＥＣＵ６からの信頼度データの受信をトリガーに、当該受信時点での善良性値及び公平性値（善良性・公平性テーブルに格納された値）を用いて、受信した信頼度データに基づき、善良性値及び公平性値を再計算する。車載装置２の制御部３は、再計算結果である最新の善良性値及び公平性値を善良性・公平性テーブルに格納（上書き）することにより、当該善良性・公平性テーブルを更新し、最新の状態を維持する。車載装置２の制御部３は、本処理を実行後、再度Ｓ１０１からの処理を実行すべくループ処理を行うことにより、善良性値及び公平性値の導出（再計算）を継続する。

【0092】

車載装置２の制御部３は、前回の善良性値等の送信時点から、所定期間が経過したか否かを判定する（Ｓ１１１）。当該所定期間、すなわち車載装置２から外部サーバＳＶ１（ＳＯＣサーバ）へ、善良性値等のデータを送信する際の送信周期は、車載装置２の記憶部に記憶されており、当該送信周期と、前回の送信時点からの経過時間との対比に応じて、車載装置２の制御部３は、所定期間が経過したか否かを判定する。

【0093】

所定期間が経過していない場合（Ｓ１１１：ＮＯ）、車載装置２の制御部３は、再度Ｓ１１１を実行することにより、ループ処理を行う。これにより、車載装置２の制御部３は、善良性値等に関するデータ（信頼度テーブル内のデータ群）を周期的に外部サーバＳＶ１（ＳＯＣサーバ）、又は車載ネットワーク７に接続される全ての車載ＥＣＵ６に送信するものとなる。

【0094】

所定期間が経過した場合（Ｓ１１１：ＹＥＳ）、車載装置２の制御部３は、車載ＥＣＵ６それぞれの善良性値及び公平性を送信する（Ｓ１１２）。前回の善良性値等の送信時点から、所定期間が経過した場合、車載装置２の制御部３は、善良性・公平性テーブルを参照し、抽出した車載ＥＣＵ６それぞれの善良性値、又は善良性値及び公平性を外部サーバＳＶ１（ＳＯＣサーバ）に送信する。又は、車載装置２の制御部３は、善良性・公平性テーブルを例えばＸＭＬ形式のＸＭＬデータに変換し、当該ＸＭＬデータを送信することにより、善良性・公平性テーブルに含まれる全ての情報を外部サーバＳＶ１（ＳＯＣサーバ）に送信するものであってもよい。車載装置２の制御部３は、本処理を実行後、再度Ｓ１１１からの処理を実行すべくループ処理を行うことにより、外部サーバＳＶ１（ＳＯＣサーバ）への周期的な送信処理を継続する。

【0095】

車載装置２の制御部３は、いずれかの車載ＥＣＵ６の善良性値が異常であるか否かを判定する（Ｓ１２１）。車載装置２の制御部３は、善良性・公平性テーブルを常時、監視することにより、いずれかの車載ＥＣＵ６の善良性値又は公平性値が異常であるか否かを判定する。車載装置２の制御部３は、善良性値が負の値である場合、当該善良性値は異常であり、当該善良性値の車載ＥＣＵ６は異常（例えば、乗っ取られた車載ＥＣＵ６）であると判定する。車載装置２の制御部３は、善良性値が正の値である場合、当該善良性値は正常であり、当該善良性値の車載ＥＣＵ６は正常であると判定する。又は、車載装置２の制御部３は、例えば、公平性値が０．５未満の車載ＥＣＵ６は異常であり、公平性値が０．５以上の車載ＥＣＵ６は正常であると判定するものであってもよい。

【0096】

いずれの車載ＥＣＵ６の善良性値は異常でない場合（Ｓ１２１：ＮＯ）、車載装置２の制御部３は、再度Ｓ１２１を実行することにより、ループ処理を行う。これにより、
車載装置２の制御部３は、複数の車載ＥＣＵ６それぞれから送信される信頼度データを待ち受ける処理を継続する。

【0097】

いずれかの車載ＥＣＵ６の善良性値が異常である場合（Ｓ１２１：ＹＥＳ）、車載装置２の制御部３は、善良性値が異常の車載ＥＣＵ６からの通信データを無効化するための処理を実行する（Ｓ１２２）。いずれかの車載ＥＣＵ６の善良性値又は公平性値が異常である場合、車載装置２の制御部３は、善良性・公平性テーブルを参照し、善良性値又は公平性値が異常である車載ＥＣＵ６（ＥＣＵ－ＩＤ）を特定する。その上で、車載装置２の制御部３は、異常と特定した車載ＥＣＵ６（異常ＥＣＵ）から送信される通信データを無効化するための処理（無効化処理）を実行する。

【0098】

車載装置２の制御部３は、当該無効化処理を行うあたり、例えば、異常ＥＣＵのＥＣＵ－ＩＤ、又は異常ＥＣＵから送信される通信データのメッセージＩＤを、車載ネットワーク７に接続される全ての車載ＥＣＵ６に送信（警告データのブロードキャスト）し、これら車載ＥＣＵ６に対し、異常ＥＣＵから送信された通信データを無視又は破棄されるものであってもよい。これにより、車載ＥＣＵ６それぞれは、車載装置２からの警告データを受信することにより、異常ＥＣＵからの通信データを無視又は破棄することができる。

【0099】

又は、車載装置２の制御部３は、当該無効化処理を行うあたり、例えば、異常ＥＣＵから送信される通信データ（ＣＡＮメッセージ）に対し、当該通信データ（ＣＡＮメッセージ）の送信が完了する前に、エラーフレーム等をビットフリップ（重畳又は上書き送信）するものであってもよい。このようにエラーフレーム等をビットフリップされた通信データは、車載ＥＣＵ６が受信できないため、異常ＥＣＵから送信された通信データを効率的に無効化することができる。更に、車載装置２の制御部３は、いずれかの車載ＥＣＵ６の善良性値が異常である場合、善良性・公平性テーブルに含まれる善良性値及び公平性値に関する情報を、全ての車載ＥＣＵ６、又は外部サーバＳＶ１（ＳＯＣサーバ）に送信するものであってもよい。

【0100】

今回開示された実施形態は全ての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

【0101】

特許請求の範囲に記載されている複数の請求項に関して、引用形式に関わらず、相互に組み合わせることが可能である。特許請求の範囲では、複数の請求項に従属する多項従属請求項を記載してもよい。多項従属請求項に従属する多項従属請求項を記載してもよい。多項従属請求項に従属する多項従属請求項が記載されていない場合であっても、これは、多項従属請求項に従属する多項従属請求項の記載を制限するものではない。

【符号の説明】

【0102】

Ｃ 車両
Ｓ 車載システム
ＳＶ１ 外部サーバ（ＳＯＣサーバ）
１ 車外通信装置
２ 車載装置（マスターノード）
３ 制御部
４ 記憶部
５ 車内通信部
Ｍ 記録媒体
Ｐ 制御プログラム（プログラム製品）
６ 車載ＥＣＵ（スレーブノード）
６１ 制御部
６２ 記憶部
６３ 車内通信部
７ 車載ネットワーク
７１ 通信線

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】