特許 7360888 異常検知装置、セキュリティシステム及び異常検知方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-10-04

(45)【発行日】2023-10-13

(54)【発明の名称】異常検知装置、セキュリティシステム及び異常検知方法

(51)【国際特許分類】

   G06F 11/07 20060101AFI20231005BHJP

   G06F 21/55 20130101ALI20231005BHJP

   B60R 16/02 20060101ALI20231005BHJP

   H04L 12/28 20060101ALI20231005BHJP

   H04L 41/06 20220101ALI20231005BHJP

【ＦＩ】

G06F11/07 175

G06F11/07 178

G06F11/07 140R

G06F21/55 320

B60R16/02 650J

H04L12/28 100A

H04L41/06

【請求項の数】 8

(21)【出願番号】P 2019186790

(22)【出願日】2019-10-10

(65)【公開番号】P2021064034

(43)【公開日】2021-04-22

【審査請求日】2022-08-02

(73)【特許権者】

【識別番号】000003997

【氏名又は名称】日産自動車株式会社

(73)【特許権者】

【識別番号】507308902

【氏名又は名称】ルノー エス．ア．エス．

【氏名又は名称原語表記】ＲＥＮＡＵＬＴ Ｓ．Ａ．Ｓ．

【住所又は居所原語表記】１２２－１２２ ｂｉｓ， ａｖｅｎｕｅ ｄｕ Ｇｅｎｅｒａｌ Ｌｅｃｌｅｒｃ， ９２１００ Ｂｏｕｌｏｇｎｅ－Ｂｉｌｌａｎｃｏｕｒｔ， Ｆｒａｎｃｅ

(74)【代理人】

【識別番号】100083806

【弁理士】

【氏名又は名称】三好 秀和

(74)【代理人】

【識別番号】100101247

【弁理士】

【氏名又は名称】高橋 俊一

(74)【代理人】

【識別番号】100095500

【弁理士】

【氏名又は名称】伊藤 正和

(74)【代理人】

【識別番号】100098327

【弁理士】

【氏名又は名称】高松 俊雄

(72)【発明者】

【氏名】中 健

【審査官】多賀 実

(56)【参考文献】

【文献】特開２０１６－０６０４０６（ＪＰ，Ａ）

【文献】国際公開第２０１８／０４７３９８（ＷＯ，Ａ１）

【文献】国際公開第２０１９／１４２４７５（ＷＯ，Ａ１）

【文献】特開２００５－３１３７０９（ＪＰ，Ａ）

【文献】特開２０１５－２０７９４６（ＪＰ，Ａ）

【文献】中国特許出願公開第１０８０５２４０６（ＣＮ，Ａ）

【文献】特開２００７－３２６４２５（ＪＰ，Ａ）

【文献】特開２００６－０２５０４８（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ １１／０７

Ｇ０６Ｆ １１／２８－１１／３６

Ｇ０６Ｆ ２１／００－２１／８８

Ｂ６０Ｒ １６／０２－１６／０２３

Ｈ０４Ｌ １２／２８

Ｈ０４Ｌ ４１／０６－４１／０６９５

(57)【特許請求の範囲】

【請求項1】

車両に搭載された複数の車載機器が互いに通信を行う車載ネットワークにおける異常を検知するコントローラと、
情報を格納する記憶装置と、
を有し、
前記コントローラは、
前記異常の内容を示す詳細情報を生成し、
前記詳細情報を前記記憶装置に記録し、
前記異常の内容を前記詳細情報よりも要約した要約情報を生成し、
前記車両の外部に設けられて前記車載ネットワークの前記異常を管理する管理サーバに、前記要約情報を送信し、
前記管理サーバから前記詳細情報の送信を要求する送信要求を取得した場合、前記記憶装置から前記詳細情報を読み出して、前記管理サーバに前記詳細情報を送信する
異常検知装置。

【請求項2】

前記コントローラは、
前記記憶装置から前記詳細情報を読み出し、前記詳細情報の中から抽出した情報に基づいて前記要約情報を生成する
請求項１記載の異常検知装置。

【請求項3】

前記要約情報は、前記詳細情報よりも少ないデータ量で構成される
請求項１又は２記載の異常検知装置。

【請求項4】

前記要約情報は、前記異常の種別を特定することができる情報を、少なくとも含む
請求項１から３いずれか一項記載の異常検知装置。

【請求項5】

前記要約情報は、
前記異常の種別、及び単位時間あたりに検知される前記異常の増加量を含み、
前記詳細情報は、
前記異常の種別、前記異常を検知した部位、前記異常を検知したタイミング、前記異常が検知されたデータ、及び前記異常の種別毎に計測された前記異常の検知回数を含む
請求項１から４のいずれか一項記載の異常検知装置。

【請求項6】

前記コントローラは、
前記車両に設けられた通信装置と通信可能に接続され、前記通信装置を介して前記管理サーバに前記要約情報及び前記詳細情報を送信し、
前記要約情報は、
前記管理サーバに対して前記要約情報を即座に送信するのか否かを、前記通信装置が判断するための送信情報を含む
請求項１から５のいずれか一項記載の異常検知装置。

【請求項7】

複数の車載機器が互いに通信を行う車載ネットワークが構築された車両と、
前記車両との間で通信を行う管理サーバと、を有し、
前記車両は、前記車載ネットワークにおける異常を検知するコントローラと、情報を格納する記憶装置と、を有する異常検知装置を備え、
前記異常検知装置の前記コントローラは、
前記異常の内容を示す詳細情報を生成し、
前記詳細情報を前記記憶装置に記録し、
前記異常の内容を前記詳細情報よりも要約した要約情報を生成し、
前記管理サーバに、前記要約情報を送信し、
前記管理サーバから前記詳細情報の送信を要求する送信要求を取得した場合、前記記憶装置から前記詳細情報を読み出して、前記管理サーバに前記詳細情報を送信し、
前記管理サーバは、
前記車載ネットワークの前記異常を管理するコントローラを有し、
前記管理サーバの前記コントローラは、
前記異常検知装置から前記要約情報を取得し、
前記異常検知装置から取得した前記要約情報について、前記詳細情報が必要か否かを選択し、
前記詳細情報が必要と選択した場合には、前記要約情報を送信した前記異常検知装置に対して前記送信要求を送信し、
前記異常検知装置から前記詳細情報を受信する
セキュリティシステム。

【請求項8】

車両に搭載された複数の車載機器が互いに通信を行う車載ネットワークにおける異常を検知し、
前記異常の詳細な内容を示す詳細情報を生成し、
前記詳細情報を記憶装置に記録し、
前記異常の内容を、前記詳細情報よりも要約して示す要約情報を生成し、
前記車両の外部に設けられて前記車載ネットワークの前記異常を管理する管理サーバに前記要約情報を送信し、
前記管理サーバから前記詳細情報の送信を要求する送信要求を取得した場合、前記記憶装置から前記詳細情報を読み出して、前記管理サーバに前記詳細情報を送信する
異常検知方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、異常検知装置、セキュリティシステム及び異常検知方法に関する。

【背景技術】

【0002】

近年、自動車には、電子制御装置（ＥＣＵ（Electronic Control Unit））などの様々な種類の車載機器が搭載されている。これらの車載機器は、ＣＡＮ（Controller Area Network）などの車載ネットワークで互いに接続されており、車載機器同士で通信を行うことで相互に連携を図ることができる。車載機器への不正アクセスなどを防止するために、車載ネットワークには高いセキュリティが求められる。

【0003】

例えば特許文献１には、通信装置間で送受信される情報を収集したダイアグ情報を外部から高速かつ安全に取得させることを可能とする通信システムが開示されている。具体的には、出力装置は、高速な幹線を介して得られるダイアグ情報を外部装置へ出力することで、ダイアグ情報を外部から高速に取得させることができる。

【先行技術文献】

【特許文献】

【0004】

【文献】特開２０１５－１１３００２号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかしながら、特許文献１に開示された技術によれば、出力装置が外部装置に情報を出力する場合、車両の記憶装置に記憶されている全ての情報を出力しているので、外部装置との通信に要するデータ量が増大するという問題がある。

【0006】

本発明は、かかる課題に鑑みてなされたものであり、その目的は、車両外部の外部装置との通信に要するデータ量を抑制することができる異常検知装置、セキュリティシステム及び異常検知方法を提供することである。

【課題を解決するための手段】

【0007】

本発明の一態様に係る異常検知装置は、車載ネットワークにおける異常の内容を示す詳細情報を生成し、詳細情報を記憶装置に記録し、異常の内容を詳細情報よりも要約した要約情報を生成し、車外の管理サーバに要約情報を送信し、管理サーバから詳細情報の送信を要求する送信要求を取得した場合、管理サーバに詳細情報を送信する。

【発明の効果】

【0008】

本発明によれば、外部装置との通信に要するデータ量を抑制することができる。

【図面の簡単な説明】

【0009】

【図1】図１は、本実施形態に係るセキュリティシステムの構成を模式的に示す図である。

【図2】図２は、本実施形態に係る車両の構成を示すブロック図である。

【図3】図３は、ゲートウェイの構成を示すブロック図である。

【図4】図４は、詳細情報に関する処理の手順を示す説明図である。

【図5】図５は、要約情報に関する処理の手順を示す説明図である。

【図6】図６は、詳細情報の読み出しに関する処理の手順を示す説明図である。

【図7】図７は、変形例に係る車両の構成を示すブロック図である。

【発明を実施するための形態】

【0010】

以下、本発明の実施形態について、図面を参照して説明する。図面の記載において同一部分には同一符号を付して説明を省略する。

【0011】

図１～３を参照して、本実施形態に係るセキュリティシステムの構成を説明する。セキュリティシステムは、車両内に構築される車載ネットワークの異常を管理するシステムである。

【0012】

セキュリティシステムは、１台以上の車両１０と、管理サーバ１００とを主体に構成されている。それぞれの車両１０と、管理サーバ１００とは、外部ネットワーク２００を介して相互に通信可能に構成されている。外部ネットワーク２００は、例えば携帯電話網などの移動体通信網が挙げられる。ただし、外部ネットワーク２００は、インターネットなどであってもよい。図１に示す例では、車両１０が２台示されているが、これに限定されない。

【0013】

車両１０は、ゲートウェイ２０と、複数のＥＣＵ（Electronic Control Unit）３０、３１と、ＴＣＵ（Telematics Communication Unit）５０とを主体に構成されている。ゲートウェイ２０、複数のＥＣＵ３０及びＴＣＵ５０は、通信バス４０、４１、４２に接続され、車載ネットワークを構築している。

【0014】

具体的には、通信バス４０には、複数のＥＣＵ３０が通信バス４０を介して互いに通信可能に接続されている。通信バス４１には、複数のＥＣＵ３１が通信バス４１を介して互いに通信可能に接続されている。各通信バス４０、４１には、車両制御の必要に応じてそれぞれ任意の数のＥＣＵ３０、３１を接続することができる。また、通信バス４２には、ＴＣＵ５０が接続されている。

【0015】

なお、以下の説明では、車載ネットワークがＣＡＮ（Controller Area Network）であるとする。しかしながら、車載ネットワークは、ＣＡＮ以外の通信プロトコルに準拠するネットワーク、例えば、ＬＩＮ（Local Interconnect Network）、ＦｌｅｘＲａｙ（登録商標）、Ｅｔｈｅｒｎｅｔ（登録商標）などであってもよい。また、車載ネットワークには、それぞれ異なる通信プロトコルに準拠する複数のネットワークが混在してもよい。

【0016】

ゲートウェイ２０は、通信バス４０、４１、４２にそれぞれ接続される。ゲートウェイ２０は、通信バス４０と通信バス４１との間で通信データを転送したり、通信バス４０又は通信バス４１と通信バス４２との間で通信データを転送したりする。

【0017】

また、ゲートウェイ２０は、車載ネットワークへの攻撃などのセキュリティ異常を検知し、このセキュリティ異常を管理サーバ１００へ通知する異常検知装置としての機能を担っている。ゲートウェイ２０は、ＥＣＵ（電子制御装置）を用いて実現される。

【0018】

ＥＣＵ３０、３１は、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、入出力インターフェースなどを備えた電子制御装置である。各ＥＣＵ３０、３１には車両１０の部品又はセンサが接続されている。ＥＣＵ３０、３１は、センサの検出値や部品の状態に基づいて各種の制御を実行する。

【0019】

ＥＣＵ３０、３１としては、エンジンを含むパワートレインの動作を制御するＥＣＵ、変速機を制御するＥＣＵ、電装品を制御するＥＣＵなどが含まれる。また、ＥＣＵ３０、３１には、ナビゲーションシステムに係る制御を実行するＥＣＵ、安全走行及び自動走行に係る制御を実行するＥＣＵなどが含まれる。ＥＣＵ３０、３１には、機能や用途に応じた各種のＥＣＵが含まれる。

【0020】

ＴＣＵ５０は、外部ネットワーク２００を通じて、他の車両１０又は車両外部の外部装置（管理サーバ１００を含む）と通信する通信ユニットである。ＴＣＵ５０も、ＥＣＵ（電子制御装置）を用いて実現される。

【0021】

ＴＣＵ５０は、外部装置又は他の車両１０から送信された情報を、ゲートウェイ２０を介して、対応するＥＣＵ３０、３１へ転送する。ＴＣＵ５０は、ゲートウェイ２０を介してＥＣＵ３０、３１から送信された情報を、外部装置又は他の車両１０へ送信する。また、ＴＣＵ５０は、ゲートウェイ２０から送信された情報を管理サーバ１００へ送信し、管理サーバ１００から送信された情報をゲートウェイ２０へ送信する。

【0022】

なお、ＴＣＵ５０とゲートウェイ２０とは、通信バス４２で接続する以外にも、専用の通信線で接続してもよい。

【0023】

また、ゲートウェイ２０には、図示しないポートが設けられており、このポートを介して診断装置（図示せず）が車両外部から接続される。診断装置は、通信バス４０、４１を介してＥＣＵ３０、３１と通信する。診断装置は、ＥＣＵ３０、３１から制御動作に関する診断データを収集するとともに、診断データの収集に必要な測定パラメータなどの診断情報をＥＣＵ３０、３１へ送信する。なお、診断装置は、ＴＣＵ５０を経由して、ＥＣＵ３０、３１と通信する構成であってもよい。

【0024】

ゲートウェイ２０において、通信バス４０、４１、４２及び診断装置用のポートには、これらを識別するためのチャネル番号が付与されている。

【0025】

図２において、ゲートウェイ２０は、ＣＰＵ２１と、メモリ２２と、記憶部２３と、複数の通信部２４とを有している。

【0026】

ＣＰＵ２１は、メモリ２２などに記憶されている様々なコンピュータプログラムを読み込んで、プログラムに含まれる各種の命令を実行する。プログラムを実行することにより、ＣＰＵ２１は、ゲートウェイ２０が備える複数の情報処理回路として機能する。なお、本実施形態では、ソフトウェアによってゲートウェイ２０が備える複数の情報処理回路を実現する例を示す。もちろん、以下に示す各情報処理を実行するための専用のハードウェアを用意して、情報処理回路を構成することも可能である。また、複数の情報処理回路を個別のハードウェアにより構成してもよい。

【0027】

ＣＰＵ２１は、複数の情報処理回路として、処理部２１ａと、検知部２１ｂと、詳細情報生成部２１ｃと、要約情報生成部２１ｄと、読出部２１ｅとを備えている。処理部２１ａは、ゲートウェイ２０としての固有の機能を担い、検知部２１ｂ、詳細情報生成部２１ｃ、要約情報生成部２１ｄ及び読出部２１ｅは、異常検知装置としての機能を担っている。

【0028】

処理部２１ａは、通信バス４０に接続されたＥＣＵ３０と、通信バス４１に接続されたＥＣＵ３１との間で通信データの転送を行う。また、処理部２１ａは、通信バス４０、４１に接続されたＥＣＵ３０、３１と、通信バス４２に接続されたＴＣＵ５０との間でデータの転送を行う。

【0029】

処理部２１ａは、ＣＡＮ通信プロトコルに規定された通信データに従って通信を行う。通信データは、複数のフレームから構成される。個々のフレームは、ＩＤ、データフィールドなどの各種のフィールドで構成され、個々のフィールドには、データの種類を示す値であるＩＤ（ＣＡＮＩＤ）、データが格納されている。

【0030】

検知部２１ｂは、車載ネットワークにおける異常を検知する。車両１０に構築された車載ネットワークにおいては、ＴＣＵ５０、故障診断用のポート、ナビゲーションシステムなどのように通信機能を独自に備えるシステムなどを介して、不正な攻撃が起こりえる。検知部２１ｂは、車載ネットワークへの攻撃などのセキュリティ異常を検知する。

【0031】

詳細情報生成部２１ｃは、異常の内容を詳細に示す詳細情報を生成する。詳細情報生成部２１ｃは、生成した詳細情報を、記憶部２３に記録する。

【0032】

要約情報生成部２１ｄは、記憶部２３に格納されている詳細情報に基づいて、要約情報を生成する。要約情報は、異常の内容を詳細情報よりも要約した情報に相当する。要約情報生成部２１ｄは、ＴＣＵ５０に要約情報を出力することにより、管理サーバ１００に対して要約情報を送信する。

【0033】

読出部２１ｅは、管理サーバ１００から、詳細情報の送信を要求する送信要求を取得した場合、記憶部２３から詳細情報を読み出す。読出部２１ｅは、ＴＣＵ５０に詳細情報を出力することにより、管理サーバ１００に対して詳細情報を送信する。

【0034】

記憶部２３は、詳細情報生成部２１ｃにおいて生成された詳細情報を格納する。記憶部２３には、検知部２１ｂが検知した異常毎に、詳細情報が格納されている。個々の詳細情報には、検知部２１ｂが検知した異常毎に、その異常を識別するための異常ＩＤが関連付けられている。

【0035】

複数の通信部２４、２５、２６は、複数の通信バス４０、４１、４２に対応して設けられ、通信バス４０、４１、４２に接続される。個々の通信部２４、２５、２６は、ＣＡＮ通信プロトコルに従って通信バス４０、４１、４２からフレームを受信し、受信したフレーム（受信フレーム）を一時的に格納する。個々の通信部２４、２５、２６に格納された受信フレームは、ＣＰＵ２１により読み出される。また、個々の通信部２４、２５、２６は、ＣＰＵ２１から通信部２４、２５、２６に入力された送信すべきフレーム（送信フレーム）を格納する。個々の通信部２４、２５、２６は、ＣＡＮ通信プロトコルに従って、格納されている送信フレームを送信する。

【0036】

管理サーバ１００は、コンピュータ１１０と、記憶装置１２０とを主体に構成されている。

【0037】

コンピュータ１１０は、ＣＰＵ及びメモリを備えるコンピュータを一台以上用いて構成される。コンピュータ１１０は、外部ネットワーク２００を介して車両１０から受信したデータに基づいて、車載ネットワークの異常を管理する（コントローラ）。コンピュータ１１０が行う管理には、異常の解析などが含まれる。コンピュータ１１０は、このような機能を所定のプログラムを実行して提供する。

【0038】

ＣＰＵは、メモリなどに記憶されている様々なコンピュータプログラムを読み込んで、プログラムに含まれる各種の命令を実行する。プログラムを実行することにより、ＣＰＵは、管理サーバ１００が備える複数の機能を実現する。本実施形態では、ソフトウェアによって管理サーバ１００が備える機能を実現する例を示すが、もちろん、以下に示す機能を実行するための専用のハードウェアを用意して、情報処理回路を構成することも可能である。

【0039】

本実施形態において、コンピュータ１１０は、ゲートウェイ２０から要約情報を取得し、これを記憶装置１２０に格納する。コンピュータ１１０は、ゲートウェイ２０から受信した要約情報について、詳細情報が必要となるか否かを選択する。コンピュータ１１０は、詳細情報が必要と選択した場合には、要約情報を送信したゲートウェイ２０に対して詳細情報の送信要求を送信する。これに応答してゲートウェイ２０から詳細情報が送信されると、コンピュータ１１０は、詳細情報を受信する。

【0040】

記憶装置１２０には、外部ネットワーク２００を介して車両１０から受信した情報が記録される。具体的には、記憶装置１２０には、要約情報が記録されたり、必要に応じて、詳細情報が記録されたりする。

【0041】

以下、図４～図６を参照して、セキュリティシステムにおける処理の流れを説明する。

【0042】

図４を参照し、詳細情報に関する処理の流れを説明する。まず、検知部２１ｂは、車載ネットワークにおける異常、具体的には、セキュリティ異常を検知する（Ｓ１０）。セキュリティ異常としては、ＣＡＮＩＤ異常、データ量異常、データ値異常などが挙げられる。

【0043】

ＣＡＮＩＤ異常は、ＣＡＮＩＤにおける異常であり、例えば、車載ネットワークにおいて使用する予定がないＣＡＮＩＤが使われている場合などが該当する。データ量異常は、通信バス４０、４１、４２に流れる通信データのデータ量に関する異常である。例えば、単位時間あたりに流れるフレーム量が所定の基準値よりも多い場合は、データ量の異常と判断する。また、同種のフレームは一定の周期で流れると想定される。よって、同種のフレームが一定の周期で流れていない場合は、データ量の異常と判断する。さらに、データ値異常は、通信バス４０、４１、４２に流れる通信データのデータ値に関する異常である。同種のフレームは、データ内容において連続性を有すると想定される。よって、前のフレームのデータ値から大きく相違するデータ値を有するフレームがある場合は、データ値の異常と判断する。

【0044】

セキュリティ異常を検知すると、検知部２１ｂは、詳細情報生成部２１ｃに検知を通知する（Ｓ１１）。

【0045】

詳細情報生成部２１ｃは、検知部２１ｂが検知した異常に基づいて、異常の内容を詳細に示す詳細情報を生成する（Ｓ１２）。詳細情報は、種別情報、部位情報、タイミング情報、状態情報、対象データ及び検知量情報を含む。詳細情報は、例えば２５Ｋバイトのデータで構成される。

【0046】

種別情報は、異常の種別を示す情報であり、ＣＡＮＩＤ異常、データ量異常、データ値異常などの種別が記述される。部位情報は、異常が検知された部位を示す情報であり、異常が検知されたチャネルが記述される。タイミング情報は、異常が検知されたタイミングを示す情報であり、ゲートウェイ２０が初めて起動したタイミングを起点として異常を検知するまでの経過時間、又は検知したタイミングにおける走行距離などが記述される。状態情報は、複数の異なる動作モードで動作するゲートウェイ２０が、異常を検知したときにどの動作モードで動作していたかを示す情報である。対象データ情報は、異常を検知したフレームに含まれるデータそのものである。検知量情報は、現在までに検知した異常の総量を示す情報である。検知部２１ｂは、異常の種別毎に検知回数を計測するカウンタを保有しており、検知情報には、各カウンタのカウント値が記述される。

【0047】

詳細情報生成部２１ｃは、詳細情報を生成すると、記憶部２３に記録するためのフォーマット変換を行う。そして、詳細情報生成部２１ｃは、詳細情報を記憶部２３に記録する（Ｓ１３）。この際、詳細情報生成部２１ｃは、検知部２１ｂが検知した異常を識別するための異常ＩＤを詳細情報に関連付けて、この詳細情報を記録する。

【0048】

図５を参照し、要約情報に関する処理の流れを説明する。まず、検知部２１ｂは、車載ネットワークにおける異常、具体的には、セキュリティ異常を検知する（Ｓ１０）。そして、検知部２１ｂは、要約情報生成部２１ｄに検知を通知する（Ｓ２１）。

【0049】

要約情報生成部２１ｄは、記憶部２３において、詳細情報生成部２１ｃが記録した詳細情報を参照する（Ｓ２２）。そして、要約情報生成部２１ｄは、詳細情報の中から抽出した情報に基づいて、異常の内容を詳細情報よりも要約した要約情報を生成する（Ｓ２３）。

【0050】

要約情報は、例えば、１フレームのデータフィールドに相当する８バイトで構成され、詳細情報よりも少ないデータ量で構成されている。要約情報は、少なくとも、異常の種別を特定することができる情報を含む。具体的には、要約情報は、異常種別フラグ、異常検出量を含む。

【0051】

異常種別フラグは、異常の種別毎に、各チャネルにおいて異常が発生しているか否かを示すフラグである。異常検出量は、単位時間あたりの全カウンタの増加量を示す情報である。

【0052】

また、要約情報は、管理サーバ１００に対して要約情報を即座に送信するのか否かを示すフラグである送信情報フラグも含む。要約情報を即座に送信するか否かは、例えば検出された異常の種別によって決定される。セキュリティへの影響が大きい異常については、即座に送信すると決定され、セキュリティへの影響が小さい異常については、即座に送信しなくてもよいと決定されるといった如くである。さらに、要約情報は、対応する詳細情報を特定するための異常ＩＤを含む。

【0053】

要約情報生成部２１ｄは、要約情報を生成すると、ＴＣＵ５０に要約情報を出力することにより、ＴＣＵ５０に要約情報の送信を通知する（Ｓ２４）。すなわち、要約情報生成部２１ｄは、管理サーバ１００に要約情報を送信するために、要約情報をＴＣＵ５０に出力する。

【0054】

ＴＣＵ５０は、管理サーバ１００に対して要約情報を送信する（Ｓ２５）。具体的には、ＴＣＵ５０は、要約情報中の送信情報フラグを参照する。そして、要約情報を即座に送信する場合には、ＴＣＵ５０は、要約情報を管理サーバ１００に送信する。一方、要約情報を即座に送信しない場合には、ＴＣＵ５０は、所定の送信周期が到来するまで要約情報を保持する。そして、ＴＣＵ５０は、送信周期が到来すると、要約情報を管理サーバ１００に送信する。この際、管理サーバ１００に対して未送信な要約情報を複数保持して場合、ＴＣＵ５０は、前回の送信周期から今回の送信周期までの間に蓄積された要約情報を一括して、管理サーバ１００に送信する。また、ＴＣＵ５０は、要約情報に車両１０を特定するための車両ＩＤを付与して、要約情報を送信する。

【0055】

ＴＣＵ５０から要約情報を取得すると、管理サーバ１００のコンピュータ１１０は、取得した要約情報について、詳細情報が必要となるか否かを選択する。詳細情報が必要となるか否かの選択は、管理サーバ１００のオペレータが要約情報を解析した上で、解析結果に応じたオペレータの操作に従って行ってもよい。また、コンピュータ１１０が要約情報を解析し、予め定められた基準（例えば、特定の異常の種別）に該当する要約情報については、詳細情報が必要な情報として選択してもよい。

【0056】

図６を参照し、詳細情報の読み出しに関する処理の流れを説明する。管理サーバ１００のコンピュータ１１０は、詳細情報が必要な要約情報として選択した場合には、ＴＣＵ５０に対して詳細情報の送信要求を行う（Ｓ３０）。この詳細情報の送信要求を行うＴＣＵ５０は、要約情報とともに取得した車両ＩＤから特定することができる。また、詳細情報の送信要求には、詳細情報が必要と選択した要約情報に含まれる異常ＩＤの情報が含まれる。

【0057】

ＴＣＵ５０は、ゲートウェイ２０に、詳細情報の送信要求を通知する（Ｓ３１）。

【0058】

ゲートウェイ２０に送信要求が通知されると、読出部２１ｅは、送信要求に含まれる異常ＩＤに基づいて記憶部２３を検索し、詳細情報を検索する（Ｓ３２）。そして、読出部２１ｅは、記憶部２３から、異常ＩＤに対応する詳細情報を読み出す（Ｓ３３）。

【0059】

読出部２１ｅは、ＴＣＵ５０に詳細情報を出力することにより、ＴＣＵ５０に詳細情報の送信を通知する（Ｓ３４）。

【0060】

ＴＣＵ５０は、管理サーバ１００に詳細情報を送信する（Ｓ３５）。

【0061】

ＴＣＵ５０から詳細情報を取得すると、管理サーバ１００のコンピュータ１１０は、詳細情報を解析したり、記憶装置１２０に記録したりする。

【0062】

このように本実施形態において、ゲートウェイ２０は、車両に搭載された複数のＥＣＵ３０、３１同士が通信を行う車載ネットワークにおける異常を検知するＣＰＵ２１（コントローラ）と、情報を格納する記憶部２３（記憶装置）とを有している。

【0063】

そして、ＣＰＵ２１は、異常の内容を示す詳細情報を生成し、詳細情報を記憶部２３に記録し、異常の内容を詳細情報よりも要約した要約情報を生成し、管理サーバ１００に要約情報を送信する。また、ＣＰＵ２１は、管理サーバ１００から詳細情報の送信を要求する送信要求を取得した場合、記憶部２３から詳細情報を読み出して、管理サーバ１００に詳細情報を送信する。

【0064】

この構成によれば、ＣＰＵ２１は、詳細情報を生成しつつも、管理サーバ１００に対しては、要約情報を送信している。要約情報は、異常の内容を詳細情報よりも要約した情報であるため、要約情報のデータ量を詳細情報より抑制することができる。これにより、管理サーバ１００との通信に要するデータ量を抑制することができる。

【0065】

また、管理サーバ１００からの求めに応じて詳細情報を送信することで、異常に関する詳細な内容を管理サーバ１００に提供することができる。

【0066】

また、本実施形態において、ＣＰＵ２１は、記憶部２３から詳細情報を読み出し、詳細情報の中から抽出した情報に基づいて要約情報を生成している。

【0067】

この構成によれば、詳細情報の中から抽出した情報に基づいて要約情報を生成しているので、要約情報のデータ量を抑制することができる。これにより、管理サーバ１００との通信に要するデータ量を抑制することができる。

【0068】

また、本実施形態において、要約情報は、詳細情報よりもデータ量が少ない。

【0069】

この構成によれば、管理サーバ１００との通信に要するデータ量を抑制することができる。

【0070】

また、本実施形態において、要約情報は、異常の種別を特定することができる情報を、少なくとも含んでいる。

【0071】

この構成によれば、管理サーバ１００が異常を管理する上で重要な項目である、異常の種別を要約情報から認識することができる。これにより、管理サーバ１００との間でデータ量を抑制した通信を行いつつも、管理サーバ１００がセキュリティを管理する上で必要な情報を適切に送信することができる。

【0072】

また、本実施形態において、要約情報は、異常の種別、及び単位時間あたりに検知される異常の増加量を含む。また、詳細情報は、異常の種別、異常を検知した部位、異常を検知したタイミング、異常が検知されたデータ、及び異常の種別毎に計測された異常の検知回数を含む。

【0073】

この構成によれば、要約情報は、異常の内容を詳細情報よりも要約した情報であるため、要約情報のデータ量を抑制することができる。これにより、管理サーバ１００との通信に要するデータ量を抑制することができる。

【0074】

ＣＰＵ２１は、管理サーバ１００と通信するＴＣＵ５０（通信装置）に対して要約情報を出力することにより、ＴＣＵ５０を介して管理サーバ１００に要約情報を送信している。要約情報は、管理サーバ１００に対して要約情報を即座に送信するのか否かを、管理サーバ１００が判断するための送信情報を含んでいる。

【0075】

この構成によれば、ＴＣＵ５０側で、要約情報の具体的な異常の種別を判断せずとも、送信情報から、管理サーバ１００に対して即座に送信すべき情報がどうかを判断することができる。これにより、ＴＣＵ５０側における処理負荷を軽減することができる。

【0076】

また、本実施形態に係るセキュリティシステムは、車両１０と、管理サーバ１００とを有している。この車両１０は、上述したように、車載ネットワークにおける異常を検知するＣＰＵ２１と、情報を格納する記憶部２３とを有するゲートウェイ２０を備えている。

【0077】

このセキュリティシステムによれば、ゲートウェイ２０は、詳細情報を生成しつつも、管理サーバ１００に対しては、要約情報を送信している。要約情報は、異常の内容を詳細情報よりも要約した情報であるため、要約情報のデータ量を詳細情報より抑制することができる。これにより、管理サーバ１００との通信に要するデータ量を抑制することができる。

【0078】

また、本実施形態に係る異常検知方法は、車載ネットワークにおいて異常を検知し、詳細情報を生成し、詳細情報を記憶部２３に格納し、要約情報を生成し、管理サーバに要約情報を送信し、管理サーバ１００から詳細情報の送信要求を取得した場合、記憶部２３から詳細情報を読み出して、管理サーバ１００に詳細情報を送信する。

【0079】

この方法によれば、詳細情報を生成しつつも、管理サーバ１００に対しては、要約情報を送信している。要約情報は、異常の内容を詳細情報よりも要約した情報であるため、要約情報のデータ量を詳細情報より抑制することができる。これにより、管理サーバ１００との通信に要するデータ量を抑制することができる。

【0080】

なお、本実施形態では、ゲートウェイ２０のＣＰＵ２１は、車載ネットワークの異常を検知したタイミングで要約情報を送信している。しかしながら、ＣＰＵ２１は、異常を検知したタイミング以降の任意のタイミングで要約情報を送信してもよい。

【0081】

また、本実施形態では、ゲートウェイ２０が、ゲートウェイ固有の機能と、異常検知装置の機能とを備えている。この場合、車載ネットワークの出入り口で異常を検知することができるので、セキュリティ異常を早期に検知することができる。

【0082】

しかしながら、車載ネットワーク内に、ゲートウェイ２０から独立して異常検知装置を設けてもよい。例えば、図７において、ゲートウェイ２０ａは、処理部２１ａの機能のみを有し、異常検知装置２０ｂは、検知部２１ｂ、詳細情報生成部２１ｃ、要約情報生成部２１ｄ及び読出部２１ｅの各機能を有している。また、検知部２１ｂ、詳細情報生成部２１ｃ、要約情報生成部２１ｄ及び読出部２１ｅの全部が１つのハードウェア資源で構成される必要なく、複数のハードウェア資源で構成されてもよい。

【0083】

また、本実施形態では、ＴＣＵ５０を用いて管理サーバ１００との通信を実現している。しかしながら、管理サーバ１００との通信方法は、これに限らない。例えば、Ｗｉ－Ｆｉ（登録商標）などの無線通信を行う通信アダプタにゲートウェイ２０が接続する構成であってもよい。車載ネットワークに接続するシステム（例えばナビゲーションシステム）が無線通信又は有線通信で、携帯電話又はスマートフォンなどの通信端末と接続する場合には、通信端末の通信機能を利用してもよい。故障診断用のポートに接続される診断装置が通信機能を備える場合には、診断装置の通信機能を利用してもよい。

【0084】

また、ゲートウェイ２０は、車載ネットネットワークによって接続するメータユニット又は情報提供装置を用いて、異常を検知した旨の情報を表示してもよい。表示する情報は、異常検知を知らせる図又は記号であってもよいし、異常の種別を示す文字、図又は記号であってもよい。

【0085】

このように、本発明の実施形態を記載したが、この開示の一部をなす論述及び図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態、実施例及び運用技術が明らかとなろう。

【符号の説明】

【0086】

１０ 車両
２０ ゲートウェイ
２１ ＣＰＵ（コントローラ）
２１ａ 処理部
２１ｂ 検知部
２１ｃ 詳細情報生成部
２１ｄ 要約情報生成部
２１ｅ 読出部
２２ メモリ
２３ 記憶部（記憶装置）
２４、２５、２６ 通信部
３０、３１ ＥＣＵ
４０、４１、４２ 通信バス
５０ ＴＣＵ（通信装置）
１００ 管理サーバ
１１０ コンピュータ（コントローラ）
１２０ 記憶装置

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】