特許 7149888 情報処理装置、情報処理方法及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2022-09-29

(45)【発行日】2022-10-07

(54)【発明の名称】情報処理装置、情報処理方法及びプログラム

(51)【国際特許分類】

   G06F 21/55 20130101AFI20220930BHJP

【ＦＩ】

G06F21/55 320

【請求項の数】 9

(21)【出願番号】P 2019061994

(22)【出願日】2019-03-27

(65)【公開番号】P2020064590

(43)【公開日】2020-04-23

【審査請求日】2021-10-20

(31)【優先権主張番号】62/746,852

(32)【優先日】2018-10-17

(33)【優先権主張国・地域又は機関】US

(73)【特許権者】

【識別番号】514136668

【氏名又は名称】パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ

【氏名又は名称原語表記】Ｐａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ

(74)【代理人】

【識別番号】100109210

【弁理士】

【氏名又は名称】新居 広守

(74)【代理人】

【識別番号】100137235

【弁理士】

【氏名又は名称】寺谷 英作

(74)【代理人】

【識別番号】100131417

【弁理士】

【氏名又は名称】道坂 伸一

(72)【発明者】

【氏名】田崎 元

(72)【発明者】

【氏名】佐々木 崇光

【審査官】平井 誠

(56)【参考文献】

【文献】特開２０１０－２３７９７５（ＪＰ，Ａ）

【文献】国際公開第２０１７／２２１７１１（ＷＯ，Ａ１）

【文献】特開２０１８－１６０７８６（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５５

(57)【特許請求の範囲】

【請求項1】

車両と、それぞれ車両への攻撃と当該攻撃に対する対応状況とが対応付けられた複数の脅威情報を蓄積する脅威情報サーバと、にネットワークを介して接続された情報処理装置であって、
前記情報処理装置に接続された前記車両への攻撃の検知結果を取得する取得部と、
前記検知結果が示す攻撃が前記脅威情報サーバに蓄積された前記複数の脅威情報に存在するか否かを判定する第１判定部と、
前記検知結果が示す攻撃が前記複数の脅威情報に存在する場合に、前記複数の脅威情報に含まれる前記検知結果が示す攻撃に対する対応状況が未対応を示すか対応済みを示すかを判定する第２判定部と、
前記第１判定部の判定結果及び前記第２判定部の判定結果に基づいて、前記検知結果が示す攻撃の処理優先度を決定する決定部と、
前記決定部が決定した前記処理優先度を出力する出力部と、を備える
ことを特徴とする情報処理装置。

【請求項2】

前記決定部は、
前記検知結果が示す攻撃が前記複数の脅威情報に存在しない場合、前記検知結果が示す攻撃の処理優先度を第１優先度に決定し、
前記検知結果が示す攻撃が前記複数の脅威情報に存在する場合に、前記複数の脅威情報に含まれる前記検知結果が示す攻撃に対する対応状況が未対応を示すときには、前記処理優先度を前記第１優先度よりも優先度が低い第２優先度に決定し、当該対応状況が対応済みを示すときには、前記処理優先度を前記第２優先度よりも優先度が低い第３優先度に決定する
ことを特徴とする請求項１に記載の情報処理装置。

【請求項3】

前記情報処理装置は、さらに、
車両への攻撃に対する対策の、前記情報処理装置に接続された前記車両への適用状況を少なくとも含む車両情報を蓄積する車両情報サーバとネットワークを介して接続され、
前記車両情報サーバに蓄積された前記車両情報に含まれる前記検知結果が示す攻撃に対する対策の前記適用状況が未適用を示すか適用済みを示すかを判定する第３判定部と、
前記検知結果が示す攻撃が行われた回数が所定数以上であるか否かを判定する第４判定部と、を備え、
前記決定部は、前記第１判定部の判定結果、前記第２判定部の判定結果、前記第３判定部の判定結果及び前記第４判定部の判定結果に基づいて、前記処理優先度を決定する
ことを特徴とする請求項１に記載の情報処理装置。

【請求項4】

前記決定部は、前記検知結果が示す攻撃が前記複数の脅威情報に存在し、かつ、前記複数の脅威情報に含まれる前記検知結果が示す攻撃に対する対応状況が対応済みを示す場合に、前記検知結果が示す攻撃が行われた回数が前記所定数未満であるときには、前記処理優先度を第２優先度よりも優先度が低い第３優先度に決定する
ことを特徴とする請求項３に記載の情報処理装置。

【請求項5】

前記決定部は、前記検知結果が示す攻撃が前記複数の脅威情報に存在し、かつ、前記複数の脅威情報に含まれる前記検知結果が示す攻撃に対する対応状況が対応済みを示す場合に、前記適用状況が未適用を示し、かつ前記検知結果が示す攻撃が行われた回数が前記所定数以上であるときには、前記処理優先度を第１優先度よりも優先度が低く、かつ、第３優先度よりも優先度が高い第２優先度に決定する
ことを特徴とする請求項３又は４に記載の情報処理装置。

【請求項6】

前記決定部は、前記検知結果が示す攻撃が前記複数の脅威情報に存在し、かつ、前記複数の脅威情報に含まれる前記検知結果が示す攻撃に対する対応状況が対応済みを示す場合に、前記適用状況が適用済みを示し、かつ前記検知結果が示す攻撃が行われた回数が前記所定数以上であるときには、前記処理優先度を第２優先度よりも優先度が高い第１優先度に決定する
ことを特徴とする請求項３～５のいずれか１項に記載の情報処理装置。

【請求項7】

前記情報処理装置は、さらに、前記検知結果が示す攻撃に関する情報を表示する表示部の表示内容を前記決定部が決定した前記処理優先度に基づいて制御する表示制御部を備え、
前記表示制御部は、
前記処理優先度が第１優先度に決定された前記検知結果が示す攻撃に関する情報を、前記処理優先度が前記第１優先度よりも優先度が低い第２優先度に決定された前記検知結果が示す攻撃に関する情報、及び、前記第２優先度よりも優先度が低い第３優先度に決定された前記検知結果が示す攻撃に関する情報よりも優先的に表示するよう前記表示部の表示内容を制御し、
前記処理優先度が前記第３優先度に決定された前記検知結果が示す攻撃に関する情報を表示しないよう前記表示部の表示内容を制御する
ことを特徴とする請求項１～６のいずれか１項に記載の情報処理装置。

【請求項8】

車両と、それぞれ車両への攻撃と当該攻撃に対する対応状況とが対応付けられた複数の脅威情報を蓄積する脅威情報サーバと、にネットワークを介して接続された情報処理装置が実行する情報処理方法であって、
前記情報処理装置に接続された前記車両への攻撃の検知結果を取得し、
（ｉ）前記検知結果が示す攻撃が前記脅威情報サーバに蓄積された前記複数の脅威情報に存在するか否かを判定し、
（ｉｉ）前記検知結果が示す攻撃が前記複数の脅威情報に存在する場合に、前記複数の脅威情報に含まれる前記検知結果が示す攻撃に対する対応状況が未対応を示すか対応済みを示すかを判定し、
前記（ｉ）での判定結果及び前記（ｉｉ）での判定結果に基づいて、前記検知結果が示す攻撃の処理優先度を決定し、
決定した前記処理優先度を出力する
ことを特徴とする情報処理方法。

【請求項9】

請求項８に記載の情報処理方法を前記情報処理装置に実行させるためのプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、車両への攻撃の処理優先度を決定する情報処理装置、情報処理方法及びプログラムに関する。

【背景技術】

【0002】

従来、様々なＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）機器等の保守対象システムを監視する監視サーバは、保守対象システムに対して攻撃（例えばサイバー攻撃）がなされた場合に、その攻撃に対する検知結果を作成し、作成した検知結果を分析官に提示する。分析官は、保守対象システムになされた攻撃の検知結果を処理し、セキュリティルールを更新する等して、当該攻撃の対策を立てることができる。

【0003】

しかしながら、保守対象システムへの攻撃が多発した場合、数多くの攻撃の検知結果が分析官に提示されることになる。この場合、分析官は、提示された数多くの検知結果のうちのどの検知結果を優先的に処理すべきかわからず、分析業務に支障をきたすおそれがある。

【0004】

例えば、特許文献１には、保守対象システムと脅威情報の適合率（例えば、その脅威の保守対象システムに対する危険度）に応じて、セキュリティルールの更新（例えば、攻撃の対策）の優先度を評価する装置が開示されている。これにより、分析官は、優先度の高い検知結果を優先して処理することができるようになる。

【先行技術文献】

【特許文献】

【0005】

【文献】特開２０１８－７７６０７号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

しかしながら、上記特許文献１に開示された優先度の評価方法では、同一の攻撃が数多くあった場合に、当該攻撃の危険度が高く処理優先度が高いと評価されたときには、当該攻撃に対する数多くの検知結果が分析官に提示されることとなる。つまり、分析官は、当該数多くの検知結果のうちの１つのみを処理するだけで当該攻撃に対する対策が可能であるにもかかわらず、数多くの当該攻撃の検知結果のそれぞれに一様に高い優先度が付与されて、分析官に提示される。このため、分析官は、重複した攻撃は処理が不要であるとして、例えば手作業で優先度を付与し直す等の手間がかかる。

【0007】

本開示の目的は、車両への攻撃の処理優先度の決定を効果的に行うことができる情報処理装置等を提供することである。

【課題を解決するための手段】

【0008】

上記目的を達成するために本開示の一態様に係る情報処理装置は、車両と、それぞれ車両への攻撃と当該攻撃に対する対応状況とが対応付けられた複数の脅威情報を蓄積する脅威情報サーバと、にネットワークを介して接続された情報処理装置であって、前記情報処理装置に接続された前記車両への攻撃の検知結果を取得する取得部と、前記検知結果が示す攻撃が前記脅威情報サーバに蓄積された前記複数の脅威情報に存在するか否かを判定する第１判定部と、前記検知結果が示す攻撃が前記複数の脅威情報に存在する場合に、前記複数の脅威情報に含まれる前記検知結果が示す攻撃に対する対応状況が未対応を示すか対応済みを示すかを判定する第２判定部と、前記第１判定部の判定結果及び前記第２判定部の判定結果に基づいて、前記検知結果が示す攻撃の処理優先度を決定する決定部と、前記決定部が決定した前記処理優先度を出力する出力部とを備えることを特徴とする。

【0009】

上記目的を達成するために本開示の一態様に係る情報処理方法は、車両と、それぞれ車両への攻撃と当該攻撃に対する対応状況とが対応付けられた複数の脅威情報を蓄積する脅威情報サーバと、にネットワークを介して接続された情報処理装置が実行する情報処理方法であって、前記情報処理装置に接続された前記車両への攻撃の検知結果を取得し、（ｉ）前記検知結果が示す攻撃が前記脅威情報サーバに蓄積された前記複数の脅威情報に存在するか否かを判定し、（ｉｉ）前記検知結果が示す攻撃が前記複数の脅威情報に存在する場合に、前記複数の脅威情報に含まれる前記検知結果が示す攻撃に対する対応状況が未対応を示すか対応済みを示すかを判定し、前記（ｉ）での判定結果及び前記（ｉｉ）での判定結果に基づいて、前記検知結果が示す攻撃の処理優先度を決定し、決定した前記処理優先度を出力することを特徴とする。

【0010】

上記目的を達成するために本開示の一態様に係るプログラムは、上記の情報処理方法を前記情報処理装置に実行させるためのプログラムである。

【発明の効果】

【0011】

本開示によれば、車両への攻撃の処理優先度の決定を効果的に行うことができる。

【図面の簡単な説明】

【0012】

【図1】実施の形態に係る情報処理システムの構成図である。

【図2】実施の形態に係る車載ネットワークの構成図である。

【図3】実施の形態に係るセキュリティＥＣＵの構成図である。

【図4】実施の形態に係るＧＷの構成図である。

【図5】実施の形態に係る監視サーバの構成図である。

【図6】実施の形態に係る情報処理装置の構成図である。

【図7】実施の形態に係る情報処理装置の動作の一例を示すフローチャートである。

【図8】実施の形態に係る脅威情報サーバの構成図である。

【図9】実施の形態に係る車両情報サーバの構成図である。

【図10】処理優先度が対応付けられる前の検知結果のデータ構造の一例を示す図である。

【図11】攻撃に対する対策の最新情報のデータ構造の一例を示す図である。

【図12】脅威情報のデータ構造の一例を示す図である。

【図13】車両情報のデータ構造の一例を示す図である。

【図14】処理優先度が対応付けられた検知結果のデータ構造の一例を示す図である。

【図15】実施の形態に係る車両で攻撃を検知する場合の処理優先度の決定の流れの一例を示すシーケンス図である。

【図16】実施の形態に係る情報処理装置で攻撃を検知する場合の処理優先度の決定の流れの一例を示すシーケンス図である。

【図17】実施の形態に係る情報処理装置の処理優先度の決定方法の一例を示すフローチャートである。

【図18】実施の形態に係る車両で攻撃を検知する場合の処理優先度の決定の流れの他の一例を示すシーケンス図である。

【図19】実施の形態に係る情報処理装置で攻撃を検知する場合の処理優先度の決定の流れの他の一例を示すシーケンス図である。

【図20】実施の形態に係る情報処理装置の処理優先度の決定方法の他の一例を示すフローチャートである。

【図21】実施の形態に係る情報処理装置の表示部の表示内容の制御方法の具体例を示すフローチャートである。

【図22A】比較例に係る表示部の表示内容の一例を示す図である。

【図22B】実施の形態に係る表示部の表示内容の一例を示す図である。

【図22C】実施の形態に係る表示部の表示内容の他の一例を示す図である。

【発明を実施するための形態】

【0013】

（実施の形態）
以下、実施の形態に係る情報処理システムについて図面を参照しながら説明する。

【0014】

［情報処理システム１の構成］
図１は、実施の形態に係る情報処理システム１の構成図である。

【0015】

情報処理システム１は、車両に対するサイバー攻撃等の脅威に対応するためのシステムである。情報処理システム１において、監視サーバ１０、車両５０（具体的には、車両５０に搭載された車載ネットワーク４０）、それぞれ車両への攻撃と当該攻撃に対する対応状況とが対応付けられた複数の脅威情報を蓄積する脅威情報サーバ２０、及び、車両への攻撃に対する対策の車両５０への適用状況を少なくとも含む車両情報を蓄積する車両情報サーバ３０が、インターネット等の広域ネットワークであるネットワーク６０を介して接続されている。なお、監視サーバ１０（後述するように監視サーバ１０が備える情報処理装置１００）にネットワーク６０を介して接続された車両を車両５０と呼び、車両５０に限らない車両全般については符号を付けずに車両と呼ぶ。例えば、車両全般に対する攻撃を車両への攻撃と呼び、監視サーバ１０（情報処理装置１００）に接続された車両５０に対する攻撃を車両５０への攻撃と呼ぶ。

【0016】

［車載ネットワーク４０の構成］
図２は、実施の形態に係る車載ネットワーク４０の構成図である。

【0017】

車載ネットワーク４０では、例えばＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）プロトコルに従って通信が行われる。なお、車載ネットワーク４０はＣＡＮに限定される必要はなく、例えば、Ｅｔｈｅｒｎｅｔ（登録商標）やＦｌｅｘＲａｙ（登録商標）に基づく通信ネットワークであってもよい。

【0018】

車載ネットワーク４０は、例えば、ゲートウェイ（ＧＷ）４１０、各種ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）及びバス（例えばＣＡＮバス）を含んで構成される。なお、ＧＷ４１０も一種のＥＣＵである。各種ＥＣＵには、セキュリティＥＣＵ４２０及び様々なＥＣＵ４３０が含まれる。ＥＣＵ４３０としては、例えば、ステアリング、ブレーキ、エンジン、ドア又はウィンドウ等に関連したＥＣＵがある。

【0019】

ＥＣＵは、例えば、プロセッサ、メモリ等のデジタル回路、アナログ回路、通信回路等を含む装置である。メモリは、ＲＯＭ、ＲＡＭ等であり、プロセッサにより実行されるプログラムを記憶することができる。例えばプロセッサが、プログラムに従って動作することにより、ＥＣＵは各種機能を実現することになる。ＥＣＵは、例えば、ＣＡＮプロトコルに従って車載ネットワークにおけるバスを介してデータの送受信を行う。

【0020】

各ＥＣＵは、バスに対して、ＣＡＮのプロトコルに従ったデータを送受信する。例えば、バスから他のＥＣＵが送信したデータを受信し、また、他のＥＣＵに送信したい内容を含むデータを生成してバスに送信する。具体的には、各ＥＣＵは、受信したデータの内容に応じた処理を行い、また、ＥＣＵに接続されている機器、センサ等の状態を示すデータもしくは他のＥＣＵへの指示値（制御値）等のデータを生成して送信する。

【0021】

ＧＷ４１０は、車載ネットワーク４０におけるバスを流れるデータを、車載ネットワーク４０内で転送する機能を有する。また、ＧＷ４１０は、車載ネットワーク４０におけるバスを流れるデータをネットワーク６０へ送信し、ネットワーク６０からデータを受信する。ＧＷ４１０の詳細については、後述する図４で説明する。

【0022】

セキュリティＥＣＵ４２０は、車載ネットワーク４０における異常を検知する機能を有する。セキュリティＥＣＵ４２０の詳細について、図３を用いて説明する。

【0023】

［セキュリティＥＣＵ４２０の構成］
図３は、実施の形態に係るセキュリティＥＣＵ４２０の構成図である。

【0024】

セキュリティＥＣＵ４２０は、攻撃検知部４２０１、攻撃データ無効化部４２０２、蓄積部４２０３及び通信部４２０４を備える。

【0025】

通信部４２０４は、車載ネットワーク４０におけるバスを流れるデータを受信し、また、当該バスへデータを送信する通信回路である。

【0026】

攻撃検知部４２０１は、通信部４２０４を介して受信した車載ネットワーク４０におけるバスを流れるデータに基づいて車載ネットワーク４０への攻撃を検知する。なお、以下では、車載ネットワーク４０への攻撃を車両５０への攻撃ともいう場合がある。例えば、セキュリティＥＣＵ４２０は、攻撃があったか否かを判定するための判定ルールを保持しており、攻撃検知部４２０１は、バスから受信するデータを判定ルールに照らし合わせることで、車載ネットワーク４０への攻撃を検知する。具体的には、攻撃検知部４２０１は、判定ルールに基づいて、バスを流れるデータの送信周期に異常があったり、バスを流れるデータに含まれる指示値に異常があったりした場合に、車両５０が攻撃されたとして、車両５０への攻撃を検知する。

【0027】

攻撃データ無効化部４２０２は、異常と判定されたデータを無効化するために、無効化情報（例えばエラーフレーム）を通信部４２０４を介してバスへ送信する。これにより、異常と判定されたデータを無効化できる。

【0028】

蓄積部４２０３は、車両５０への攻撃の検知結果を蓄積する。蓄積された検知結果は、通信部４２０４を介してＧＷ４１０へ向けてバスへ送信される。

【0029】

［ＧＷ４１０の構成］
図４は、実施の形態に係るＧＷ４１０の構成図である。

【0030】

ＧＷ４１０は、車外通信部５１０１、車内通信部５１０２及び転送処理部５１０３を備える。

【0031】

車外通信部５１０１は、車両５０の外部と通信するための通信回路であり、ネットワーク６０へデータを送信し、ネットワーク６０からデータを受信する。

【0032】

車内通信部５１０２は、車載ネットワーク４０内での通信を行うための通信回路であり、バスを流れるデータを受信し、また、バスへデータを送信する。

【0033】

転送処理部５１０３は、車内通信部５１０２を介して、ＧＷ４１０に接続された複数のバスのうちの一のバスから受信したデータを他のバスに転送する。また、転送処理部５１０３は、車内通信部５１０２を介してバスから受信したデータを、車外通信部５１０１を介してネットワーク６０へ転送する。例えば、転送処理部５１０３は、バスから受信したセキュリティＥＣＵ４２０による検知結果（具体的にはセキュリティＥＣＵ４２０の蓄積部４２０３に蓄積された検知結果）をネットワーク６０へ送信する。

【0034】

なお、ＧＷ４１０は、セキュリティＥＣＵ４２０の機能を有するセキュリティＧＷであってもよい。つまり、車載ネットワーク４０にセキュリティＥＣＵ４２０が設けられず、ＧＷ４１０が、さらに、セキュリティＥＣＵ４２０の機能構成要素である攻撃検知部４２０１、攻撃データ無効化部４２０２及び蓄積部４２０３を備えていてもよい。

【0035】

［監視サーバ１０の構成］
図５は、実施の形態に係る監視サーバ１０の構成図である。

【0036】

監視サーバ１０は、情報処理装置１００、攻撃検知部１１０、表示部１２０、蓄積部１３０及び通信部１４０を備える。これらの各構成要素は、監視サーバ１０における通信回路、ディスプレイ等の表示装置、メモリ、メモリに格納されたプログラムを実行するプロセッサ等により実現される。

【0037】

情報処理装置１００は、本開示の特徴的な構成であり、車両５０への攻撃の処理優先度の決定を効果的に行うことができる装置である。情報処理装置１００の詳細については、後述する図６で説明する。

【0038】

通信部１４０は、ネットワーク６０を介して車両５０、脅威情報サーバ２０及び車両情報サーバ３０と通信する。

【0039】

攻撃検知部１１０は、通信部１４０を介して車両５０から受信した検知結果を詳細に解析等して、車両５０への攻撃についてより詳細な検知を行う。なお、車両５０は、車両５０への攻撃を検知する機能を有していなくてもよい。この場合、車両５０は、車載ネットワーク４０に流れるデータのログを監視サーバ１０に送信し、攻撃検知部１１０は、当該ログに基づいて車両５０への攻撃を検知する。

【0040】

表示部１２０は、車両５０への攻撃の検知結果を表示する表示装置である。表示部１２０での表示内容については、後述する図２２Ｂ及び図２２Ｃで説明する。

【0041】

蓄積部１３０は、車両５０への攻撃の検知結果を蓄積する。攻撃検知部１１０での検知結果は、例えば、いったん蓄積部１３０に格納され、その後情報処置装置１００から出力される当該検知結果の処理優先度が対応付けられる。処理優先度が対応付けられる前の検知結果のデータ構造については後述する図１０で説明し、処理優先度が対応付けられた検知結果のデータ構造については後述する図１４で説明する。

【0042】

なお、図５では、情報処理装置１００を監視サーバ１０に備えられる装置としているが、情報処理装置１００が監視サーバ１０の機能も有していてもよい。つまり、情報処理装置１００は、攻撃検知部１１０、表示部１２０、蓄積部１３０及び通信部１４０を備えていてもよい。以下では、情報処理装置１００が図６に示す機能に加えて、監視サーバ１０の機能（攻撃検知部１１０、表示部１２０、蓄積部１３０及び通信部１４０）もさらに有しているとして説明する。

【0043】

［情報処理装置１００の構成］
図６は、実施の形態に係る情報処理装置１００の構成図である。

【0044】

情報処理装置１００は、車両５０と、それぞれ車両への攻撃と当該攻撃に対する対応状況とが対応付けられた複数の脅威情報を蓄積する脅威情報サーバ２０と、車両への攻撃に対する対策の、車両５０への適用状況を少なくとも含む車両情報を蓄積する車両情報サーバ３０と、にネットワークを介して接続された装置である。

【0045】

情報処理装置１００は、取得部１００１、第１判定部１００２、第２判定部１００３、第３判定部１００４、第４判定部１００５、攻撃回数記憶部１００６、決定部１００７、蓄積部１００８、出力部１００９及び表示制御部１０１０を備える。これらの各構成要素について、情報処理装置１００の動作の説明とともに図７を用いて説明する。

【0046】

図７は、実施の形態に係る情報処理装置１００の動作の一例を示すフローチャートである。

【0047】

取得部１００１は、情報処理装置１００に接続された車両５０への攻撃の検知結果を取得する（ステップＳ１１）。例えば、蓄積部１３０に蓄積された検知結果（処理優先度が対応付けられる前の検知結果）を取得する。

【0048】

第１判定部１００２は、取得された検知結果が示す攻撃が脅威情報サーバ２０に蓄積された複数の脅威情報に存在するか否かを判定する（ステップＳ１２）。詳細は後述するが、例えば、第１判定部１００２は、当該検知結果が示す攻撃に該当する脅威情報が脅威情報サーバ２０に蓄積された複数の脅威情報に存在するかを、脅威情報サーバ２０に検索させる。

【0049】

第２判定部１００３は、検知結果が示す攻撃が複数の脅威情報に存在する場合に、複数の脅威情報に含まれる検知結果が示す攻撃に対する対応状況が未対応を示すか対応済みを示すかを判定する（ステップＳ１３）。詳細は後述するが、例えば、第２判定部１００３は、当該検知結果が示す攻撃に該当する脅威情報において、当該攻撃と対応付けられた当該攻撃に対する対応状況がどうなっているかを、脅威情報サーバ２０に確認させる。

【0050】

第３判定部１００４は、車両情報サーバ３０に蓄積された車両情報に含まれる検知結果が示す攻撃に対する対策の車両５０への適用状況が未適用を示すか適用済みを示すかを判定する（ステップＳ１４）。詳細は後述するが、例えば、第３判定部１００４は、検知結果が示す攻撃に対する対策の車両５０への適用状況がどうなっているかを、車両情報サーバ３０に確認させる。例えば、蓄積部１００８には、車両への攻撃に対する対策の最新の情報が格納されており、第３判定部１００４は、車両情報サーバ３０に確認させた検知結果が示す攻撃に対する対策の車両５０への適用状況と、蓄積部１００８に格納された最新の情報とを比較することで、上記判定を行う。車両への攻撃に対する対策の最新情報のデータ構造については、後述する図１１で説明する。

【0051】

第４判定部１００５は、検知結果が示す攻撃が行われた回数が所定数以上であるか否かを判定する（ステップＳ１５）。例えば、所定数は、情報処理装置１００の管理者等によって適宜決定される。具体的には、所定数は、車両への攻撃が流行しているだろうと考える数に決定される。詳細は後述するが、例えば、第４判定部１００５は、当該検知結果が示す攻撃が行われた回数を脅威情報サーバ２０に確認させる。そして、第４判定部１００５は、脅威情報サーバ２０に確認させた回数に対して１回足した回数を攻撃回数記憶部１００６に格納する。また、第４判定部１００５は、攻撃回数記憶部１００６に格納した当該回数（１回足した回数）を脅威情報サーバ２０に送信し、脅威情報サーバ２０において管理されている当該検知結果が示す攻撃が行われた回数を、送信した回数に更新させる。つまり、脅威情報サーバ２０において管理されている当該検知結果が示す攻撃が行われた回数に１回足される。

【0052】

決定部１００７は、第１判定部１００２の判定結果、第２判定部１００３の判定結果、第３判定部１００４の判定結果及び第４判定部１００５の判定結果に基づいて、検知結果が示す攻撃の処理優先度を決定する（ステップＳ１６）。例えば、決定部１００７は、検知結果が示す攻撃が複数の脅威情報に存在し、かつ、複数の脅威情報に含まれる検知結果が示す攻撃に対する対応状況が対応済みを示す場合に、検知結果が示す攻撃が行われた回数が所定数未満であるときには、処理優先度を第２優先度よりも優先度が低い第３優先度に決定する。また、例えば、決定部１００７は、検知結果が示す攻撃が複数の脅威情報に存在し、かつ、複数の脅威情報に含まれる検知結果が示す攻撃に対する対応状況が対応済みを示す場合に、適用状況が未適用を示し、かつ検知結果が示す攻撃が行われた回数が所定数以上であるときには、処理優先度を第１優先度よりも優先度が低く、かつ、第３優先度よりも優先度が高い第２優先度に決定する。また、例えば、決定部１００７は、検知結果が示す攻撃が複数の脅威情報に存在し、かつ、複数の脅威情報に含まれる検知結果が示す攻撃に対する対応状況が対応済みを示す場合に、適用状況が適用済みを示し、かつ検知結果が示す攻撃が行われた回数が所定数以上であるときには、処理優先度を第２優先度よりも優先度が高い第１優先度に決定する。決定部１００７の動作の詳細については、後述する。

【0053】

出力部１００９は、決定部１００７が決定した処理優先度を出力する（ステップＳ１７）。例えば、出力部１００９は、当該処理優先度を蓄積部１３０に出力し、処理優先度が対応付けられる前の検知結果に当該処理優先度を対応付ける。

【0054】

そして、表示制御部１０１０は、検知結果が示す攻撃に関する情報を表示する表示部１２０の表示内容を、決定部１００７が決定した処理優先度に基づいて制御する（ステップＳ１８）。表示制御部１０１０の動作の詳細については、後述する。

【0055】

なお、情報処理装置１００は、車両情報サーバ３０とネットワーク６０を介して接続されていなくてもよい。この場合、情報処理装置１００は、第３判定部１００４、第４判定部１００５、攻撃回数記憶部１００６及び蓄積部１００８を備えていなくてもよい。また、この場合、決定部１００７は、第１判定部１００２の判定結果及び第２判定部１００３の判定結果に基づいて、検知結果が示す攻撃の処理優先度を決定する。例えば、決定部１００７は、検知結果が示す攻撃が複数の脅威情報に存在しない場合、検知結果が示す攻撃の処理優先度を第１優先度に決定し、検知結果が示す攻撃が複数の脅威情報に存在する場合に、複数の脅威情報に含まれる検知結果が示す攻撃に対する対応状況が未対応を示すときには、処理優先度を第１優先度よりも優先度が低い第２優先度に決定し、当該対応状況が対応済みを示すときには、処理優先度を第２優先度よりも優先度が低い第３優先度に決定する。この場合の決定部１００７の動作の詳細についても、後述する。

【0056】

［脅威情報サーバ２０の構成］
図８は、実施の形態に係る脅威情報サーバ２０の構成図である。

【0057】

脅威情報サーバ２０は、情報受付部２１０、情報検索部２２０、蓄積部２３０、情報表示部２４０及び通信部２５０を備える。これらの各構成要素は、脅威情報サーバ２０における通信回路、ディスプレイ等の表示装置、メモリ、メモリに格納されたプログラムを実行するプロセッサ等により実現される。

【0058】

通信部２５０は、ネットワーク６０を介して情報処理装置１００と通信する。

【0059】

情報受付部２１０は、通信部２５０を介して車両５０への攻撃の検知結果を受け付ける。例えば、情報受付部２１０は、受け付けた検知結果を予め決められたフォーマットに成形する。

【0060】

例えば、蓄積部２３０には、それぞれ車両への攻撃と当該攻撃に対する対応状況とが対応付けられた複数の脅威情報が格納されており、情報検索部２２０は、情報受付部２１０が受け付けた検知結果が示す攻撃が、蓄積部２３０に格納された複数の脅威情報の中に存在するかを検索する。複数の脅威情報のデータ構造については、後述する図１２で説明する。

【0061】

情報検索部２２０は、当該攻撃が、蓄積部２３０に格納された複数の脅威情報の中に存在しない場合、その旨を通信部２５０を介して情報処理装置１００に送信する。また、情報受付部２１０が受け付けた検知結果を新たな脅威情報として、蓄積部２３０に格納する。

【0062】

情報検索部２２０は、当該情報が、蓄積部２３０に格納された複数の脅威情報の中に存在する場合、その旨を通信部２５０を介して情報処理装置１００に送信する。また、情報検索部２２０は、複数の脅威情報に含まれる検知結果が示す攻撃に対する対応状況を通信部２５０を介して情報処理装置１００に送信する。また、情報検索部２２０は、検知結果が示す攻撃が行われた回数を通信部２５０を介して情報処理装置１００に送信する。

【0063】

情報表示部２４０は、例えば、脅威情報サーバ２０の管理者等からの要求に応じて、蓄積部２３０に格納された複数の脅威情報を表示する。

【0064】

［車両情報サーバ３０の構成］
図９は、実施の形態に係る車両情報サーバ３０の構成図である。

【0065】

車両情報サーバ３０は、情報受付部３１０、情報検索部３２０、蓄積部３３０、情報表示部３４０及び通信部３５０を備える。これらの各構成要素は、車両情報サーバ３０における通信回路、ディスプレイ等の表示装置、メモリ、メモリに格納されたプログラムを実行するプロセッサ等により実現される。

【0066】

通信部３５０は、ネットワーク６０を介して情報処理装置１００と通信する。

【0067】

情報受付部３１０は、通信部２５０を介して検知結果が示す攻撃に対する対策の車両５０への適用状況がどうなっているかの問合せを受け付ける。例えば、当該問合せには、車両５０を特定するための情報として、車両５０の車両ＩＤ又は車両５０の所有者情報等が含まれる。

【0068】

例えば、蓄積部３３０には、車両への攻撃に対する対策の、車両５０への適用状況を少なくとも含む車両情報が格納されており、情報検索部３２０は、情報受付部３１０が受け付けた問合せに基づいて、車両情報に含まれる検知結果が示す攻撃に対する対策の車両５０への適用状況を確認する。車両情報のデータ構造については、後述する図１３で説明する。情報検索部３２０は、適用状況を通信部３５０を介して情報処理装置１００に送信する。

【0069】

情報表示部３４０は、例えば、車両情報サーバ３０の管理者等からの要求に応じて、蓄積部３３０に格納された車両情報を表示する。

【0070】

［データ構造例］
次に、車両への攻撃の検知結果、車両への攻撃に対する対策の最新情報、脅威情報及び車両情報のデータ構造例について、図１０から図１４を用いて説明する。

【0071】

図１０は、処理優先度が対応付けられる前の検知結果のデータ構造の一例を示す図である。

【0072】

検知結果は、例えば、車両の攻撃検知部４２０１又は情報処理装置１００の攻撃検知部１１０により車両への攻撃が検知されたときに生成される。検知結果には、例えば、攻撃検知結果ＩＤ、攻撃を受けた車両の車両ＩＤ、攻撃を受けた車両の車種、攻撃発生日時、攻撃種別、攻撃経路、メッセージＩＤ及び攻撃を受けた車両における攻撃対象等が含まれる。なお、メッセージＩＤはプロトコルによって定まり、プロトコルがＣＡＮであればメッセージＩＤはＣＡＮＩＤであり、プロトコルがＥｔｈｅｒｎｅｔ（登録商標）であればメッセージＩＤはＩＰアドレスである。

【0073】

図１１は、攻撃に対する対策の最新情報のデータ構造の一例を示す図である。

【0074】

例えば、車両の部品（例えばＥＣＵ等）ごとに、その部品の機能を乗っ取ったり、その機能を低下又は停止させたりするような攻撃がなされることがあり、車両の部品のメーカは、部品に対する攻撃が分析官等から報告されると、その攻撃に対する対策を行う。具体的には、各メーカは部品のセキュリティパッチを作成する。例えば、攻撃に対する対策の最新情報には、各部品のメーカ名、最新の更新がされた更新日時及び最新更新情報（具体的には最新のファームウェアのバージョン）が含まれる。情報処理装置１００は、各メーカから各部品の最新情報を取得し、例えば蓄積部１００８に蓄積している。

【0075】

図１２は、脅威情報のデータ構造の一例を示す図である。

【0076】

脅威情報は、例えば、脅威情報サーバ２０が情報処理装置１００から攻撃の検知結果を取得し、検知結果を図１２に示すように成形された情報である。脅威情報には、車両への攻撃と当該攻撃に対する対応状況とが少なくとも対応付けられる。例えば、本実施の形態では、脅威情報には、脅威情報ＩＤ、検知結果が示す攻撃の対応状況、攻撃発生日時、攻撃を受けた車両の車種、攻撃種別、攻撃発生回数、攻撃経路、メッセージＩＤ及び攻撃を受けた車両における攻撃対象等が含まれる。対応状況は、攻撃対象の部品のメーカがその攻撃に対する対策を行った場合、対応済みとなる。攻撃の発生回数は、情報処理装置１００が様々な車両を監視して様々な車両がその攻撃を受けて、その攻撃を検知した回数となる。つまり、攻撃の発生回数が多いと、多くの車両においてその攻撃が流行していることになる。例えば、図１２には、３つの脅威情報の例が示されているが、脅威情報サーバ２０は、攻撃毎にこのような脅威情報を数多く蓄積している。

【0077】

図１３は、車両情報のデータ構造の一例を示す図である。

【0078】

車両情報は、各個人が所有している車両についての情報であり、車両への攻撃に対する対策の、情報処理装置１００に接続された車両５０への適用状況を少なくとも含む。例えば、本実施の形態では、車両情報には、車両ＩＤ、所有者情報、乗車回数、車種及び車両が備える部品の型番及び各部品に現在適用されているファームウェアのバージョン等が含まれる。なお、各個人が所有している車両が備える部品のファームウェアのバージョンは、最新のものとは限らない。例えば、図１１に示すように、部品「ＥＣＵ０１」の最新のファームウェアのバージョンは１．５０であるのに対して、図１３に示すように、車両ＩＤが「ＣＡＲ－１００」の車両が備える部品「ＥＣＵ０１」の現在のファームウェアのバージョンは１．４０と最新のものになっていない。

【0079】

図１４は、処理優先度が対応付けられた検知結果のデータ構造の一例を示す図である。

【0080】

図１４に示すように、図１０に示す検知結果に対して、さらに処理優先度が対応付けられていることがわかる。処理優先度として、「高」は最も優先度の高い第１優先度を意味し、「中」は２番目に優先度の高い第２優先度を意味し、「低」は最も優先度の低い第３優先度を意味する。

【0081】

［具体例］
次に、検知結果の処理優先度の決定の流れについて、具体例をあげて説明する。

【0082】

車両５０への攻撃を車両５０自身で検知する場合の処理優先度の決定の流れの一例について図１５を用いて説明する。

【0083】

図１５は、実施の形態に係る車両５０で攻撃を検知する場合の処理優先度の決定の流れの一例を示すシーケンス図である。なお、ここでは、情報処理装置１００は、車両情報サーバ３０とネットワーク６０を介して接続されておらず、第３判定部１００４、第４判定部１００５、攻撃回数記憶部１００６及び蓄積部１００８を備えていないとする。

【0084】

車両５０は、車両５０への攻撃を検知し（ステップＳ１０１）、攻撃の検知結果を情報処理装置１００へ送信する（ステップＳ１０２）。

【0085】

情報処理装置１００は、車両５０から受信した車両５０への攻撃の検知結果が示す攻撃が脅威情報サーバ２０に蓄積された複数の脅威情報に存在するかを脅威情報サーバ２０に検索させるために、当該検知結果を脅威情報サーバ２０へ送信する（ステップＳ１０３）。

【0086】

脅威情報サーバ２０は、受信した検知結果を脅威情報サーバ２０が蓄積する複数の脅威情報に照合して、検知結果が示す攻撃（つまり、車両５０への攻撃）が複数の脅威情報に存在するかを検索し、検索結果を情報処理装置１００へ送信する（ステップＳ１０４）。例えば、脅威情報サーバ２０は、図１２に示す複数の脅威情報（脅威情報ＩＤが「Ａ０００１」、「Ａ０００２」、「Ａ００８０」、・・・）を蓄積しており、図１０の攻撃検知結果ＩＤが「Ｂ００１」の検知結果を受信したとする。この場合、車両５０への攻撃は、「Ｍｏｄｅｌ－Ａ」の車種の車両に搭載された「ＥＣＵ０１」への「ＯＢＤ－ＩＩ」からのメッセージＩＤ「０ｘＡＡ」が含まれる「Ａ攻撃」という攻撃になる。検知結果における車種、攻撃種別、攻撃経路、メッセージＩＤ及び攻撃対象が、複数の脅威情報のうちの脅威情報ＩＤが「Ａ０００１」のものと合致する。このため、脅威情報サーバ２０は、車両５０への攻撃が複数の脅威情報に存在することを示す検索結果を情報処理装置１００へ送信する。また、脅威情報ＩＤが「Ａ０００１」の脅威情報に含まれる車両５０への攻撃に対する対応状況は「対応済み」となっている。このため、脅威情報サーバ２０は、複数の脅威情報に含まれる車両５０への攻撃に対する対応状況が対応済みであることも、例えば検索結果の送信と合わせて行う。

【0087】

情報処理装置１００は、第１判定として、検知結果が示す攻撃が脅威情報サーバ２０に蓄積された複数の脅威情報に存在するか否かを判定し、第２判定として、検知結果が示す攻撃が複数の脅威情報に存在する場合に、複数の脅威情報に含まれる検知結果が示す攻撃に対する対応状況が未対応を示すか対応済みを示すかを判定する（ステップＳ１０５）。例えば、情報処理装置１００は、検知結果が示す攻撃が脅威情報サーバ２０に蓄積された複数の脅威情報に存在すると判定し、複数の脅威情報に含まれる検知結果が示す攻撃に対する対応状況が対応済みを示すと判定する。

【0088】

情報処理装置１００は、第１判定の判定結果及び第２判定の判定結果に基づいて、検知結果が示す攻撃の処理優先度を決定し、決定した処理優先度を出力する（ステップＳ１０６）。具体的な決定方法については、後述する図１７で説明する。

【0089】

情報処理装置１００は、検知結果が示す攻撃に関する情報を表示する表示部１２０の表示内容を決定された処理優先度に基づいて制御する（ステップＳ１０７）。具体的な制御方法については、後述する図２１で説明する。

【0090】

情報処理装置１００は、検知結果が示す攻撃に関する情報を、制御された表示内容によって表示部１２０に表示する（ステップＳ１０８）。具体的な表示内容については、後述する図２２Ｂ及び図２２Ｃで説明する。

【0091】

次に、車両５０への攻撃を情報処理装置１００で検知する場合の処理優先度の決定の流れの一例について図１６を用いて説明する。

【0092】

図１６は、実施の形態に係る情報処理装置１００で攻撃を検知する場合の処理優先度の決定の流れの一例を示すシーケンス図である。なお、ここでは、情報処理装置１００は、車両情報サーバ３０とネットワーク６０を介して接続されておらず、第３判定部１００４、第４判定部１００５、攻撃回数記憶部１００６及び蓄積部１００８を備えていないとする。

【0093】

車両５０は、車載ネットワーク４０において流れる車両データもしくは車両データの解析結果を情報処理装置１００へ送信する（ステップＳ２０１）。

【0094】

情報処理装置１００は、受信した車両データもしくは車両データの解析結果から車両５０への攻撃を検知する（ステップＳ２０２）。

【0095】

以降の処理は、図１５での説明と同じであるため説明は省略する。

【0096】

情報処理装置１００が、車両情報サーバ３０とネットワーク６０を介して接続されておらず、第３判定部１００４、第４判定部１００５、攻撃回数記憶部１００６及び蓄積部１００８を備えていない場合の処理優先度の決定方法の具体例について、図１７を用いて説明する。

【0097】

図１７は、実施の形態に係る情報処理装置１００の処理優先度の決定方法の一例を示すフローチャートである。

【0098】

情報処理装置１００は、検知結果が示す攻撃が脅威情報サーバ２０に蓄積された複数の脅威情報に存在するか否かを判定する（ステップＳ２１）。

【0099】

情報処理装置１００は、検知結果が示す攻撃が複数の脅威情報に存在しない場合（ステップＳ２１でＮｏ）、検知結果が示す攻撃の処理優先度を第１優先度に決定する（ステップＳ２２）。この場合、車両５０が受けた攻撃が未知の攻撃であり、早急に対応が必要となる可能性があるため、処理優先度を最も高い第１優先度とすることができる。

【0100】

情報処理装置１００は、検知結果が示す攻撃が複数の脅威情報に存在する場合に（ステップＳ２１でＹｅｓ）、複数の脅威情報に含まれる検知結果が示す攻撃に対する対応状況が未対応を示すか対応済みを示すかを判定する（ステップＳ２３）。

【0101】

情報処理装置１００は、検知結果が示す攻撃が複数の脅威情報に存在する場合に、複数の脅威情報に含まれる検知結果が示す攻撃に対する対応状況が未対応を示すときには（ステップＳ２３で未対応）、処理優先度を第２優先度に決定する（ステップＳ２４）。この場合、車両５０が受けた攻撃が既知の攻撃ではあるがまだ対応されていないため、処理優先度を２番目に高い第２優先度とすることができる。

【0102】

情報処理装置１００は、検知結果が示す攻撃が複数の脅威情報に存在する場合に、複数の脅威情報に含まれる検知結果が示す攻撃に対する対応状況が対応済みを示すときには（ステップＳ２３で対応済み）、処理優先度を第３優先度に決定する（ステップＳ２５）。この場合、車両５０が受けた攻撃が既知の攻撃で既に対応されているため、処理優先度を最も低い第３優先度とすることができる。

【0103】

次に、車両５０への攻撃を車両５０自身で検知する場合の処理優先度の決定の流れの他の一例について図１８を用いて説明する。

【0104】

図１８は、実施の形態に係る車両５０で攻撃を検知する場合の処理優先度の決定の流れの一例を示すシーケンス図である。なお、ここでは、情報処理装置１００は、車両情報サーバ３０とネットワーク６０を介して接続されており、第３判定部１００４、第４判定部１００５、攻撃回数記憶部１００６及び蓄積部１００８を備えているとする。

【0105】

車両５０は、車両５０への攻撃を検知し（ステップＳ３０１）、攻撃の検知結果を情報処理装置１００へ送信する（ステップＳ３０２）。

【0106】

情報処理装置１００は、車両５０から受信した車両５０への攻撃の検知結果が示す攻撃が脅威情報サーバ２０に蓄積された複数の脅威情報に存在するかを脅威情報サーバ２０に検索させるために、当該検知結果を脅威情報サーバ２０へ送信する（ステップＳ３０３）。

【0107】

脅威情報サーバ２０は、受信した検知結果を脅威情報サーバ２０が蓄積する複数の脅威情報に照合して、検知結果が示す攻撃（つまり、車両５０への攻撃）が複数の脅威情報に存在するかを検索し、検索結果を情報処理装置１００へ送信する（ステップＳ３０４）。例えば、図１６での説明と同じように、脅威情報サーバ２０は、車両５０への攻撃が複数の脅威情報に存在することを示す検索結果及び車両５０への攻撃に対する対応状況が対応済みであることを情報処理装置１００へ送信する。さらに、脅威情報サーバ２０は車両５０への攻撃と同じ攻撃が行われた回数（例えば、図１２に示す脅威情報ＩＤがＡ０００１の攻撃の場合２０回）を情報処理装置１００へ送信する。

【0108】

情報処理装置１００は、第１判定として、検知結果が示す攻撃が脅威情報サーバ２０に蓄積された複数の脅威情報に存在するか否かを判定し、第２判定として、検知結果が示す攻撃が複数の脅威情報に存在する場合に、複数の脅威情報に含まれる検知結果が示す攻撃に対する対応状況が未対応を示すか対応済みを示すかを判定する（ステップＳ３０５）。例えば、情報処理装置１００は、検知結果が示す攻撃が脅威情報サーバ２０に蓄積された複数の脅威情報に存在すると判定し、複数の脅威情報に含まれる検知結果が示す攻撃に対する対応状況が対応済みを示すと判定する。

【0109】

情報処理装置１００は、車両情報サーバ３０に蓄積された車両情報に含まれる検知結果が示す攻撃に対する対策の車両５０への適用状況を車両情報サーバ３０に確認させるために、車両５０の車両ＩＤ又は車両５０の所有者情報等の車両５０を特定するための情報を車両情報サーバ３０に送信する（ステップＳ３０６）。

【0110】

車両情報サーバ３０は、受信した車両５０を特定するための情報を車両情報サーバ３０が蓄積する車両情報に照合して、車両への攻撃の対策の車両５０への適用状況を確認し、適用状況を情報処理装置１００へ送信する（ステップＳ３０７）。例えば、車両情報サーバ３０は、図１３に示す車両情報（車両ＩＤが「ＣＡＲ－１００」、「ＣＡＲ－１０１」、「ＣＡＲ－１０２」、・・・）を蓄積しており、攻撃（例えば、図１０に示す攻撃検知結果ＩＤが「Ｂ００１」の攻撃）を受けた車両５０の車両ＩＤとして、「ＣＡＲ－１００」を受信したとする。これにより、図１３に示す車両ＩＤが「ＣＡＲ－１００」の車両５０について、攻撃に対する対策の適用状況として、部品「ＥＣＵ０１」についてはファームウェアのバージョンが１．４０であり、部品「ＥＣＵ０２」についてはファームウェアのバージョンが２．１０であり、部品「ＥＣＵ５０」についてはファームウェアのバージョンが３．２０であると確認できる。車両情報サーバ３０は、このような適用状況を情報処理装置１００へ送信する。

【0111】

なお、ステップＳ３０６及びステップＳ３０７での処理について、ステップＳ３０５での処理の後に行われたが、ステップＳ３０５での処理の前に行われてもよい。

【0112】

情報処理装置１００は、第３判定として、車両情報サーバ３０に蓄積された車両情報に含まれる検知結果が示す攻撃に対する対策の車両５０への適用状況が未適用を示すか適用済みを示すかを判定し、第４判定として、検知結果が示す攻撃が行われた回数が所定数以上であるか否かを判定する（ステップＳ３０８）。例えば、情報処理装置１００は、図１３に示すように、車両ＩＤが「ＣＡＲ－１００」の車両５０の部品「ＥＣＵ０１」の攻撃の対策の適用状況としてファームウェアのバージョンが１．４０となっているのに対して、図１１に示すように、部品「ＥＣＵ０１」のファームウェアの最新のバージョンが１．５０となっている。つまり、車両５０の攻撃に対する対策は最新のものとなっていない。このため、情報処理装置１００は、検知結果が示す攻撃に対する対策の車両５０への適用状況が未適用を示すと判定する。また、例えば所定数が１０回と決められている場合、情報処理装置１００は、検知結果が示す攻撃が行われた回数（２０回）が所定数以上であると判定する。

【0113】

情報処理装置１００は、第１判定の判定結果、第２判定の判定結果、第３判定の判定結果及び第４判定の判定結果に基づいて、検知結果が示す攻撃の処理優先度を決定し、決定した処理優先度を出力する（ステップＳ３０９）。具体的な決定方法については、後述する図２０で説明する。

【0114】

情報処理装置１００は、検知結果が示す攻撃に関する情報を表示する表示部１２０の表示内容を決定された処理優先度に基づいて制御する（ステップＳ３１０）。具体的な制御方法については、後述する図２１で説明する。

【0115】

情報処理装置１００は、検知結果が示す攻撃に関する情報を制御された表示内容によって表示部１２０に表示する（ステップＳ３１１）。具体的な表示内容については、後述する図２２Ｂ及び図２２Ｃで説明する。

【0116】

車両５０への攻撃を情報処理装置１００で検知する場合の処理優先度の決定の流れの他の一例について図１９を用いて説明する。

【0117】

図１９は、実施の形態に係る情報処理装置１００で攻撃を検知する場合の処理優先度の決定の流れの他の一例を示すシーケンス図である。なお、ここでは、情報処理装置１００は、車両情報サーバ３０とネットワーク６０を介して接続されており、第３判定部１００４、第４判定部１００５、攻撃回数記憶部１００６及び蓄積部１００８を備えているとする。

【0118】

車両５０は、車載ネットワーク４０において流れる車両データもしくは車両データの解析結果を情報処理装置１００へ送信する（ステップＳ４０１）。

【0119】

情報処理装置１００は、受信した車両データもしくは車両データの解析結果から車両５０への攻撃を検知する（ステップＳ４０２）。

【0120】

以降の処理は、図１８での説明と同じであるため説明は省略する。

【0121】

情報処理装置１００が、車両情報サーバ３０とネットワーク６０を介して接続されており、第３判定部１００４、第４判定部１００５、攻撃回数記憶部１００６及び蓄積部１００８を備えている場合の処理優先度の決定方法の具体例について、図２０を用いて説明する。

【0122】

図２０は、実施の形態に係る情報処理装置１００の処理優先度の決定方法の他の一例を示すフローチャートである。

【0123】

情報処理装置１００は、検知結果が示す攻撃が脅威情報サーバ２０に蓄積された複数の脅威情報に存在するか否かを判定する（ステップＳ３１）。

【0124】

情報処理装置１００は、検知結果が示す攻撃が複数の脅威情報に存在しない場合（ステップＳ３１でＮｏ）、検知結果が示す攻撃の処理優先度を第１優先度に決定する（ステップＳ３２）。この場合、車両５０が受けた攻撃が未知の攻撃であり、早急に対応が必要となる可能性があるため、処理優先度を最も高い第１優先度とすることができる。

【0125】

情報処理装置１００は、検知結果が示す攻撃が複数の脅威情報に存在する場合に（ステップＳ３１でＹｅｓ）、複数の脅威情報に含まれる検知結果が示す攻撃に対する対応状況が未対応を示すか対応済みを示すかを判定する（ステップＳ３３）。

【0126】

情報処理装置１００は、検知結果が示す攻撃が複数の脅威情報に存在する場合に、複数の脅威情報に含まれる検知結果が示す攻撃に対する対応状況が未対応を示すときには（ステップＳ３３で未対応）、処理優先度を第２優先度に決定する（ステップＳ３４）。この場合、車両５０が受けた攻撃が既知の攻撃ではあるがまだ対応されていないため、処理優先度を２番目に高い第２優先度とすることができる。

【0127】

情報処理装置１００は、検知結果が示す攻撃が複数の脅威情報に存在し、かつ、複数の脅威情報に含まれる検知結果が示す攻撃に対する対応状況が対応済みを示す場合（ステップＳ３３で対応済み）、車両情報サーバ３０に蓄積された車両情報に含まれる検知結果が示す攻撃に対する対策の車両５０への適用状況が未適用を示すか適用済みを示すかを判定する（ステップＳ３５）。

【0128】

また、情報処理装置１００は、攻撃の対策の車両５０への適用状況が未適用か適用済みであるかに関わらず、検知結果が示す攻撃が行われた回数が所定数以上であるか否かを判定する（ステップＳ３６又はステップＳ３９）。なお、検知結果が示す攻撃が行われた回数が所定数以上であるか否かの判定が行われた後に、攻撃の対策の車両５０への適用状況についての判定が行われてもよい。

【0129】

情報処理装置１００は、検知結果が示す攻撃が複数の脅威情報に存在し、かつ、複数の脅威情報に含まれる検知結果が示す攻撃に対する対応状況が対応済みを示す場合に、上記適用状況が未適用を示し（ステップＳ３５で未適用）、かつ検知結果が示す攻撃が行われた回数が所定数以上であるときには（ステップＳ３９でＹｅｓ）、処理優先度を第２優先度に決定する（ステップＳ４０）。この場合、車両５０が受けた攻撃が既知の攻撃で既に対応されているが、当該攻撃が流行しており、当該攻撃の対策が車両５０に適用されていないと考えられる。この場合、多くの車両で当該攻撃の対策が適用されていないおそれがあるため、処理優先度を２番目に高い第２優先度とすることができる。

【0130】

情報処理装置１００は、検知結果が示す攻撃が複数の脅威情報に存在し、かつ、複数の脅威情報に含まれる検知結果が示す攻撃に対する対応状況が対応済みを示す場合に、適用状況が適用済みを示し（ステップＳ３５で適用済み）、かつ検知結果が示す攻撃が行われた回数が所定数以上であるときには（ステップＳ３６でＹｅｓ）、処理優先度を第１優先度に決定する（ステップＳ３７）。この場合、当該攻撃が流行しており、当該攻撃の対策が車両５０に適用されているにも関わらず車両５０から当該攻撃が検知されていると考えられる。この場合、当該攻撃の対策が機能していないおそれがあるため、処理優先度を最も高い第１優先度とすることができる。

【0131】

情報処理装置１００は、検知結果が示す攻撃が複数の脅威情報に存在し、かつ、複数の脅威情報に含まれる検知結果が示す攻撃に対する対応状況が対応済みを示す場合に、検知結果が示す攻撃が行われた回数が前記所定数未満であるときには（ステップＳ３６又はステップＳ３９でＮｏ）、処理優先度を第３優先度に決定する（ステップＳ３８又はステップＳ４１）。つまり、攻撃の対策の車両５０への適用状況が未適用か適用済みであるかに関わらず、検知結果が示す攻撃が行われた回数が前記所定数未満であるときには、処理優先度が第３優先度に決定される。この場合、車両５０が受けた攻撃が既知の攻撃で既に対応されており、さらに、当該攻撃が流行していないと考えられる。このため、この場合、処理優先度を最も低い第３優先度とすることができる。

【0132】

次に、表示部１２０の表示内容を決定された処理優先度に基づいて制御する方法について、具体例をあげて説明する。

【0133】

図２１は、実施の形態に係る情報処理装置１００の表示部１２０の表示内容の制御方法の具体例を示すフローチャートである。

【0134】

情報処理装置１００は、決定した処理優先度が第１優先度、第２優先度及び第３優先度のうちのいずれであるかを判定する（ステップＳ５１）。

【0135】

情報処理装置１００は、決定した処理優先度が第１優先度の場合（ステップＳ５１で第１優先度）、処理優先度が第１優先度に決定された検知結果が示す攻撃に関する情報を、処理優先度が第２優先度に決定された検知結果が示す攻撃に関する情報、及び、第３優先度に決定された検知結果が示す攻撃に関する情報よりも優先的に表示するよう表示部１２０の表示内容を制御する（ステップＳ５２）。処理優先度の最も高い第１優先度の攻撃を示す検知結果が優先的に表示されるため、例えば分析官は当該攻撃を示す検知結果の処理を優先的に行いやすくなる。

【0136】

情報処理装置１００は、決定した処理優先度が第２優先度の場合（ステップＳ５１で第２優先度）、処理優先度が第２優先度に決定された検知結果が示す攻撃に関する情報を、処理優先度が第１優先度に決定された検知結果が示す攻撃に関する情報の下部に表示するよう表示部１２０の表示内容を制御する（ステップＳ５３）。処理優先度の最も高い第１優先度の攻撃を示す検知結果が優先的に表示されつつ、その下に処理優先度が２番目に高い第２優先度の攻撃を示す検知結果を表示することができる。

【0137】

情報処理装置１００は、決定した処理優先度が第３優先度の場合（ステップＳ５１で第３優先度）、処理優先度が第３優先度に決定された検知結果が示す攻撃に関する情報を表示しないよう表示部１２０の表示内容を制御する（ステップＳ５４）。処理優先度の最も低い第３優先度の攻撃を示す検知結果が表示されないため、例えば分析官は、より処理優先度の高い攻撃を示す検知結果の処理を優先的に行いやすくなる。

【0138】

次に、表示部１２０の表示内容について、具体例をあげて説明する。

【0139】

図２２Ａは、比較例に係る表示部１２０の表示内容の一例を示す図である。

【0140】

従来、アクセスを膨大に繰り返すような攻撃が発生し同一の攻撃が数多くあった場合に、当該攻撃の危険度が高く処理優先度が高いと評価されたときには、図２２Ａに示すように、当該攻撃に対する数多くの検知結果が表示部１２０に表示される。このとき、分析官は、当該数多くの検知結果のうちの１つのみを処理するだけで当該攻撃に対する対策が可能である。例えば、分析官は、それぞれ同一の攻撃であるＥｖｅｎｔ ＩＤが「００１」、「００９」及び「０１０」の攻撃のうち、例えばＥｖｅｎｔ ＩＤが「００１」の攻撃の検知結果のみを処理するだけで足り、また、それぞれ同一の攻撃であるＥｖｅｎｔ ＩＤが「００２」から「００８」の攻撃のうち、例えばＥｖｅｎｔ ＩＤが「００２」の攻撃の検知結果のみを処理するだけで足りる。それにもかかわらず、従来、数多くの当該攻撃の検知結果のそれぞれに一様に高い優先度が付与されて、分析官に提示される。このため、分析官は、重複した攻撃は処理が不要であるとして、例えば手作業で優先度を付与し直す等の手間がかかる。

【0141】

これに対して、本開示では、表示部１２０の表示内容は、図２２Ｂ又は図２２Ｃに示すようなものとなる。

【0142】

図２２Ｂは、実施の形態に係る表示部１２０の表示内容の一例を示す図である。図２２Ｃは、実施の形態に係る表示部１２０の表示内容の他の一例を示す図である。なお、ここでは、検知結果が示す攻撃に関する情報を、例えば、当該攻撃が行われた日時、処理優先度、攻撃対象及び攻撃種別を含む情報としている。

【0143】

例えば、図２２Ｂに示すように、処理優先度が第１優先度（高）に決定された検知結果が示す攻撃に関する情報は、第２優先度（中）及び第３優先度（低）に決定された検知結果が示す攻撃に関する情報よりも優先的に表示される。具体的には、第１優先度が第２優先度よりも目立つように、第２優先度に決定された検知結果が示す攻撃に関する情報が第１優先度に決定された検知結果が示す攻撃に関する情報の下部に階層的に表示される。また、第３優先度に決定された検知結果が示す攻撃に関する情報が表示されない。

【0144】

また、例えば、図２２Ｃに示すように、第１優先度に決定された検知結果が示す攻撃に関する情報のみが表示され、第２優先度及び第３優先度に決定された検知結果が示す攻撃に関する情報は表示されなくてもよい。

【0145】

なお、表示内容は、第１優先度が第２優先度及び第３優先度よりも優先的に表示されれば、図２２Ｂ及び図２２Ｃに示すものに限らない。

【0146】

［まとめ］
以上説明したように、検知結果が示す攻撃（つまり車両５０が受けた攻撃）が脅威情報サーバ２０に蓄積された複数の脅威情報に存在するか否か（つまり、車両５０が受けた攻撃がすでに過去に検出されているか否か）の判定結果、及び、当該攻撃が未対応か対応済みかの判定結果に基づいて当該攻撃の処理優先度が決定される。このため、同一であり未知の攻撃が数多くあった場合、当該数多くの攻撃のうちの１つ目の攻撃については、脅威情報サーバ２０に蓄積された複数の脅威情報に存在しないと判定される。２つ目以降の攻撃については、１つ目の攻撃についての脅威情報が脅威情報サーバ２０に蓄積されることになるため、脅威情報サーバ２０に蓄積された複数の脅威情報に存在すると判定される。したがって、当該数多くの攻撃のうちの１つ目の攻撃と２つ目以降の攻撃について、異なる判定結果となるため、処理優先度についても異なるものとすることができる。さらに、当該攻撃が未対応か対応済みかの判定によっても処理優先度を異なるものとすることができる。このように、車両５０への攻撃の過去の検出状況及び車両への攻撃の対応状況に基づいて、車両５０への攻撃の処理優先度の決定を効果的に行うことができる。

【0147】

さらに、検知結果が示す攻撃が脅威情報サーバ２０に蓄積された複数の脅威情報に存在するか否かの判定結果、及び、当該攻撃が未対応か対応済みかの判定結果に加えて、車両情報サーバ３０に蓄積された車両情報に含まれる当該攻撃に対する対策の適用状況が未適用を示すか適用済みを示すか（つまり、攻撃を受けた車両５０に対して当該攻撃の対策が適用されているか否か）の判定結果、及び、当該攻撃が行われた回数が所定数以上であるか否か（つまり、車両５０が受けた攻撃を他の車両も受けており、当該攻撃が流行しているか否か）の判定結果に基づいて当該攻撃の処理優先度が決定される。このように、処理優先度の決定のための条件がより詳細に設定されるため、車両５０への攻撃の処理優先度の決定をより詳細に行うことができる。

【0148】

（その他の実施の形態）
以上のように、本開示に係る技術の例示として実施の形態を説明した。しかしながら、本開示に係る技術は、これに限定されず、適宜、変更、置き換え、付加、省略等を行った実施の形態にも適用可能である。例えば、以下のような変形例も本開示の一実施の形態に含まれる。

【0149】

例えば、情報処理装置１００は、表示制御部１０１０を備えていなくてもよく、表示部１２０の表示内容の制御は、情報処理装置１００から出力された処理優先度に基づいて、他の装置が行ってもよい。

【0150】

なお、本開示は、情報処理装置１００として実現できるだけでなく、情報処理装置１００を構成する各構成要素が行うステップ（処理）を含む情報処理方法として実現できる。

【0151】

情報処理方法は、車両５０と、それぞれ車両への攻撃と当該攻撃に対する対応状況とが対応付けられた複数の脅威情報を蓄積する脅威情報サーバ２０と、にネットワークを介して接続された情報処理装置１００が実行する情報処理方法であって、図７に示すように、情報処理装置１００に接続された車両５０への攻撃の検知結果を取得し（ステップＳ１１）、（ｉ）検知結果が示す攻撃が脅威情報サーバ２０に蓄積された複数の脅威情報に存在するか否かを判定し（ステップＳ１２）、（ｉｉ）検知結果が示す攻撃が複数の脅威情報に存在する場合に、複数の脅威情報に含まれる検知結果が示す攻撃に対する対応状況が未対応を示すか対応済みを示すかを判定し（ステップＳ１３）、上記（ｉ）での判定結果及び上記（ｉｉ）での判定結果に基づいて、検知結果が示す攻撃の処理優先度を決定し（ステップＳ１６）、決定した処理優先度を出力する（ステップＳ１７）。

【0152】

例えば、情報処理方法におけるステップは、コンピュータ（コンピュータシステム）によって実行されてもよい。そして、本開示は、情報処理方法に含まれるステップを、コンピュータに実行させるためのプログラムとして実現できる。

【0153】

さらに、本開示は、そのプログラムを記録したＣＤ－ＲＯＭ等である非一時的なコンピュータ読み取り可能な記録媒体として実現できる。

【0154】

例えば、本開示が、プログラム（ソフトウェア）で実現される場合には、コンピュータのＣＰＵ、メモリ及び入出力回路等のハードウェア資源を利用してプログラムが実行されることによって、各ステップが実行される。つまり、ＣＰＵがデータをメモリ又は入出力回路等から取得して演算したり、演算結果をメモリ又は入出力回路等に出力したりすることによって、各ステップが実行される。

【0155】

また、上記実施の形態の情報処理装置１００に含まれる各構成要素は、専用又は汎用の回路として実現されてもよい。

【0156】

また、上記実施の形態の情報処理装置１００に含まれる各構成要素は、集積回路（ＩＣ：Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）であるＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ）として実現されてもよい。

【0157】

また、集積回路はＬＳＩに限られず、専用回路又は汎用プロセッサで実現されてもよい。プログラム可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）、又は、ＬＳＩ内部の回路セルの接続及び設定が再構成可能なリコンフィギュラブル・プロセッサが、利用されてもよい。

【0158】

さらに、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて、情報処理装置１００に含まれる各構成要素の集積回路化が行われてもよい。

【0159】

その他、実施の形態に対して当業者が思いつく各種変形を施して得られる形態、本開示の趣旨を逸脱しない範囲で各実施の形態における構成要素及び機能を任意に組み合わせることで実現される形態も本開示に含まれる。

【産業上の利用可能性】

【0160】

本開示は、車両への攻撃を監視する装置等に適用できる。

【符号の説明】

【0161】

１ 情報処理システム
１０ 監視サーバ
２０ 脅威情報サーバ
３０ 車両情報サーバ
４０ 車載ネットワーク
５０ 車両
６０ ネットワーク
１００ 情報処理装置
１１０ 攻撃検知部
１２０ 表示部
１３０ 蓄積部
１４０ 通信部
２１０ 情報受付部
２２０ 情報検索部
２３０ 蓄積部
２４０ 情報表示部
２５０ 通信部
３１０ 情報受付部
３２０ 情報検索部
３３０ 蓄積部
３４０ 情報表示部
３５０ 通信部
４１０ ＧＷ
４２０ セキュリティＥＣＵ
４３０ ＥＣＵ
１００１ 取得部
１００２ 第１判定部
１００３ 第２判定部
１００４ 第３判定部
１００５ 第４判定部
１００６ 攻撃回数記憶部
１００７ 決定部
１００８ 蓄積部
１００９ 出力部
１０１０ 表示制御部
４２０１ 攻撃検知部
４２０２ 攻撃データ無効化部
４２０３ 蓄積部
４２０４ 通信部
５１０１ 車外通信部
５１０２ 車内通信部
５１０３ 転送処理部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【図21】

【図22A】

【図22B】

【図22C】