特許 7478085 車載セキュリティ装置、車両セキュリティシステム、および車両管理方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-04-23

(45)【発行日】2024-05-02

(54)【発明の名称】車載セキュリティ装置、車両セキュリティシステム、および車両管理方法

(51)【国際特許分類】

   G06F 21/55 20130101AFI20240424BHJP

   B60R 16/023 20060101ALI20240424BHJP

【ＦＩ】

G06F21/55 320

B60R16/023 Z

【請求項の数】 8

(21)【出願番号】P 2020201360

(22)【出願日】2020-12-03

(65)【公開番号】P2022089097

(43)【公開日】2022-06-15

【審査請求日】2023-09-01

(73)【特許権者】

【識別番号】000001487

【氏名又は名称】フォルシアクラリオン・エレクトロニクス株式会社

(74)【代理人】

【識別番号】110002365

【氏名又は名称】弁理士法人サンネクスト国際特許事務所

(72)【発明者】

【氏名】庄司 賢一

(72)【発明者】

【氏名】河内 尚

(72)【発明者】

【氏名】矢島 孝行

(72)【発明者】

【氏名】永井 靖

(72)【発明者】

【氏名】中川 恭彦

【審査官】小林 秀和

(56)【参考文献】

【文献】特開２０１９－１３３５９９（ＪＰ，Ａ）

【文献】国際公開第２０２０／０９０１４６（ＷＯ，Ａ１）

【文献】特開２０２０－０８６９７８（ＪＰ，Ａ）

【文献】特開２０１０－００９１８７（ＪＰ，Ａ）

【文献】国際公開第２０２０／０７５８２６（ＷＯ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５５

Ｂ６０Ｒ １６／０２３

(57)【特許請求の範囲】

【請求項1】

所定の機器を備えた車両に搭載される車載セキュリティ装置であって、
前記機器に対する攻撃を示す攻撃情報を記憶する攻撃情報記憶部と、
前記機器についてのログ情報を記憶するログ情報記憶部と、
前記攻撃情報記憶部に記憶されている攻撃情報に関連するログ情報を前記ログ情報記憶部に記憶されているログ情報から抽出し、抽出したログ情報を、前記機器に対する攻撃への対策を提供するための攻撃対策装置に送信するログ管理部と、
を備える車載セキュリティ装置。

【請求項2】

前記ログ管理部は、
前記機器についてのログ情報に、前記ログ情報に関連する攻撃情報における攻撃に係る優先度を設定し、
前記ログ情報記憶部に記憶されているログ情報から、前記攻撃情報記憶部に記憶されている攻撃情報に関連するログ情報を、前記ログ情報に設定した優先度に基づいて抽出し、
抽出したログ情報を、前記攻撃対策装置に送信する、
請求項１に記載の車載セキュリティ装置。

【請求項3】

前記ログ管理部は、
前記機器についてのログ情報に、前記ログ情報に関連する攻撃情報における攻撃に係る優先度を設定し、
前記ログ情報記憶部に記憶されているログ情報を前記ログ情報に設定した優先度に基づいて消去する、
請求項１に記載の車載セキュリティ装置。

【請求項4】

前記攻撃対策装置は、既知の複数の攻撃の各々について攻撃情報を記憶し、
前記機器の構成が第１の構成から前記第１の構成とは異なる第２の構成に変更されているか否かを判定し、前記第１の構成から前記第２の構成に変更されていると判定した場合、前記第２の構成に対応する攻撃情報を前記攻撃対策装置から取得して前記攻撃情報記憶部に記憶する攻撃管理部を備える、
請求項１に記載の車載セキュリティ装置。

【請求項5】

所定の機器を備えた車両に搭載される車載セキュリティ装置と、前記機器に対する攻撃への対策を提供するための攻撃対策装置と、を含む車両セキュリティシステムであって、
前記車載セキュリティ装置が、
前記機器に対する攻撃を示す攻撃情報を記憶する攻撃情報記憶部と、
前記機器についてのログ情報を記憶するログ情報記憶部と、
前記攻撃情報記憶部に記憶されている攻撃情報に関連するログ情報を前記ログ情報記憶部に記憶されているログ情報から抽出し、抽出したログ情報を、前記攻撃対策装置に送信するログ管理部と、
を備える車両セキュリティシステム。

【請求項6】

前記車載セキュリティ装置が、
前記機器についてのログ情報と前記攻撃情報記憶部に記憶されている攻撃情報とから前記機器に対する攻撃を検知したことに基づいて、前記攻撃への対策内容を含む対策情報を前記攻撃対策装置に要求するための攻撃検知情報を、前記攻撃対策装置に送信する攻撃検知部と、
前記攻撃対策装置から送信される、前記攻撃検知部により攻撃が検知された機器への対策内容を含む対策情報を受信し、受信した対策情報に基づいて、前記機器への対策を実施する対策処理部と、を備え、
前記攻撃対策装置は、
既知の複数の攻撃の各々について対策情報を記憶する対策情報記憶部と、
前記攻撃検知部により送信された攻撃検知情報に基づいて、前記攻撃検知部により検知された攻撃に対応する対策情報を前記対策情報記憶部に記憶されている対策情報から取得し、取得した対策情報を前記対策処理部に送信する対策管理部と、を備える、
請求項５に記載の車両セキュリティシステム。

【請求項7】

前記攻撃検知部により検知された攻撃に対応する対策情報が前記対策情報記憶部に記憶されている対策情報に含まれていない場合、前記対策管理部は、
前記攻撃の攻撃段階が最後の攻撃段階であるときは、前記車両を停止する対策情報を前記対策処理部に送信し、
前記攻撃の攻撃段階が最後の攻撃段階でないときは、前記攻撃への対策を実施しないことを示す対策情報を前記対策処理部に送信する、
請求項６に記載の車載セキュリティ装置。

【請求項8】

所定の機器を備えた車両に搭載される車載セキュリティ装置が実行する車両管理方法であって、
車載セキュリティ装置は、
前記機器に対する攻撃を示す攻撃情報を記憶する攻撃情報記憶部と、
前記機器についてのログ情報を記憶するログ情報記憶部と、を備え、
前記攻撃情報記憶部に記憶されている攻撃情報に関連するログ情報を前記ログ情報記憶部に記憶されているログ情報から抽出し、
抽出したログ情報を、前記機器に対する攻撃への対策を提供するための攻撃対策装置に送信する、
車両管理方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、概して、車両が備える機器のログ情報を処理する技術に関する。

【背景技術】

【0002】

近年の車両においては、車両に搭載された各種ＥＣＵ（Electrical Control Unit）の制御データを収集して管理するための環境として、車内ＬＡＮ（Local Area Network）等が用いられて構成された車載ネットワークの普及が進んでいる。この車載ネットワークを利用する技術として、例えば、他の車両、外部のサーバ装置等との通信機能を車両に付加し、この通信機能を用いて、自動運転、運転支援等において利用される環境情報を収集したり、ＥＣＵのソフトウェアを更新したりする技術の開発が進んでいる。

【0003】

従来の車載ネットワークシステムでは、一般に独自のＯＳとネットワークとが用いられており、外部システムとは接続しない構成であった。そのため、車載ネットワークシステムが外部からウイルス等による攻撃を受けてセキュリティ上の脅威にさらされることはないと考えられていた。しかし、近年は、車載ネットワークシステムの分野でもオープン化に向かっており、汎用ＯＳおよび標準プロトコルの採用が進んでいる。こういった背景から、これまで安全とされていた車載ネットワークシステムを対象とした攻撃の報告が年々増えている。

【0004】

車載ネットワークシステムに対する攻撃により、サービスの不能、不正なアクセス等が、車両で発生した場合、人、資産等への被害が生じ得る。例えば、車両が攻撃を受けて暴走した場合、人的被害および物的被害が甚大となり、社会的な影響が大きい。そのため、車両メーカに対して、車載ネットワークシステムに対する攻撃の発生を監視するためにログ情報を収集して保存することが求められている。

【0005】

近時、脆弱性を悪用した攻撃を早期に検知でき、検知ルールの実行周期を調整して処理負荷を低減できる技術が開示されている（特許文献１参照）。

【先行技術文献】

【特許文献】

【0006】

【文献】特開２０２０－２８０９２号公報

【発明の概要】

【発明が解決しようとする課題】

【0007】

特許文献１に記載された技術では、管理するログ情報が膨大となり、膨大なログ情報を処理するために、車両に搭載されるコンピュータのプロセッサ、メモリ等のリソースを逼迫する問題がある。

【0008】

本発明は、以上の点を考慮してなされたもので、車両が備える機器のログ情報を適切に処理し得る車載セキュリティ装置等を提案しようとするものである。

【課題を解決するための手段】

【0009】

かかる課題を解決するため本発明においては、所定の機器を備えた車両に搭載される車載セキュリティ装置であって、前記機器に対する攻撃を示す攻撃情報を記憶する攻撃情報記憶部と、前記機器についてのログ情報を記憶するログ情報記憶部と、前記攻撃情報記憶部に記憶されている攻撃情報に関連するログ情報を前記ログ情報記憶部に記憶されているログ情報から抽出し、抽出したログ情報を、前記機器に対する攻撃への対策を提供するための攻撃対策装置に送信するログ管理部と、を設けるようにした。

【発明の効果】

【0010】

本発明によれば、車両が備える機器のログ情報を適切に処理することができる。

【図面の簡単な説明】

【0011】

【図1】車両セキュリティシステムに係る構成の一例を示す図である。

【図2】車両のハードウェア構成の一例を示す図である。

【図3】路側器および攻撃対策装置のハードウェア構成の一例を示す図である。

【図4】車載セキュリティ装置の機能構成の一例を示す図である。

【図5】攻撃対策装置の機能構成の一例を示す図である。

【図6A】攻撃情報を説明するための図である。

【図6B】攻撃情報を説明するための図である。

【図6C】攻撃情報を説明するための図である。

【図7】ログ情報記憶部の一例を示す図である。

【図8】車両構成情報記憶部の一例を示す図である。

【図9】攻撃情報記憶部の一例を示す図である。

【図10】対策情報記憶部の一例を示す図である。

【図11】攻撃検知情報の一例を示す図である。

【図12】インシデント情報の一例を示す図である。

【図13】車載構成情報記憶部の一例を示す図である。

【図14】初期設定処理の一例を示す図である。

【図15】車両セキュリティシステムにおける一連の処理の一例を示す図である。

【図16】攻撃検知処理の一例を示す図である。

【図17】攻撃対策処理の一例を示す図である。

【図18】ログ情報管理処理の一例である。

【発明を実施するための形態】

【0012】

（１）第１の実施の形態
以下、本発明の一実施の形態を詳述する。ただし、本発明は、実施の形態に限定されるものではない。

【0013】

本実施の形態による車載セキュリティ装置は、車載ネットワーク内の攻撃を検知して分析するためのログ情報を収集する。車載セキュリティ装置は、車載ネットワークに接続されている機器に対する攻撃に対して、ログ情報を収集する対象の機器と、収集するログ情報の種類とを特定可能な攻撃情報を記憶する。車載セキュリティ装置は、例えば、攻撃情報をもとにログ情報を収集したり、収集したログ情報から攻撃に関連するログ情報を、攻撃情報をもとに抽出したりする。上記構成によれば、例えば、車載ネットワークにおいて想定される攻撃に対して効率的にログ情報を記憶したり、送信したりすることができる。

【0014】

次に、本発明の実施の形態を図面に基づいて説明する。以下の記載および図面は、本発明を説明するための例示であって、説明の明確化のため、適宜、省略および簡略化がなされている。本発明は、他の種々の形態でも実施することが可能である。特に限定しない限り、各構成要素は、単数でも複数でも構わない。なお、以下の説明では、図面において同一要素については、同じ番号を付し、説明を適宜省略する。

【0015】

図１は、本実施の形態における車両セキュリティシステム１００に係る構成の一例を示す図である。車両セキュリティシステム１００は、車両１１０、路側器１２０、および攻撃対策装置１３０を含む。

【0016】

車両１１０は、車載セキュリティ装置１１１を備える。路側器１２０は、車両１１０が走行する道路の路側に、所定の地点に固定して設置されている。なお、複数の路側器１２０がそれぞれ異なる地点に設置されていてもよい。路側器１２０と攻撃対策装置１３０とは、ネットワーク１０１を介して相互に接続される。攻撃対策装置１３０は、ネットワーク１０１および路側器１２０を介して、車載セキュリティ装置１１１と通信する。なお、車載セキュリティ装置１１１と攻撃対策装置１３０とは、ネットワーク１０１および路側器１２０を介することなく、例えば一般通信網を介して、通信してもよい。

【0017】

なお、図１では、車両セキュリティシステム１００に２台の車両１１０が含まれている例を示している。ただし、車両セキュリティシステム１００に含まれる車両１１０の台数は、２台に限定されない。各車両１１０に搭載される車載セキュリティ装置１１１の動作は、同様である。そのため、以下の説明では、複数の車両１１０のうち１つを対象として、対象の車両１１０に搭載される車載セキュリティ装置１１１の動作を中心として説明する。

【0018】

図２は、車両１１０のハードウェア構成の一例を示す図である。

【0019】

車両１１０に搭載される車載セキュリティ装置１１１は、記憶装置２１０、ＣＰＵ２２０、およびメモリ部２３０を備える。記憶装置２１０は、例えば、ＨＤＤ、フラッシュメモリ等の補助記憶装置である。ＣＰＵ２２０は、例えば、記憶装置２１０等に記憶された所定のプログラムを読み込んで実行することにより、車載セキュリティ装置１１１を制御する。メモリ部２３０は、ＣＰＵ２２０がプログラムを実行する際に利用する主記憶装置である。

【0020】

ＣＰＵ２２０は、ログ管理部２２１、初期設定部２２２、攻撃管理部２２３、攻撃検知部２２４、対策処理部２２５、および警告処理部２２６を機能的に備える。すなわち、車載セキュリティ装置１１１の機能（ログ管理部２２１等）は、ＣＰＵ２２０が実行するプログラムによってソフトウェア的に実現される。なお、車載セキュリティ装置１１１の機能を、例えば、ＦＰＧＡのような電子回路等によって実現してもよい。また、車載セキュリティ装置１１１の１つの機能は、複数の機能に分けられていてもよいし、複数の機能は、１つの機能にまとめられていてもよい。また、車載セキュリティ装置１１１の機能の一部は、別の機能として設けられてもよいし、他の機能に含められていてもよい。また、車載セキュリティ装置１１１の機能の一部は、車載セキュリティ装置１１１と通信可能な他のコンピュータにより実現されてもよい。

【0021】

また、車両１１０は、ＧＷ装置２４０と、制御系ネットワーク２５０に属する１以上の機器と、アシスト系ネットワーク２６０に属する１以上の機器と、情報系ネットワーク２７０に属する１以上の機器と、モバイルルータ２８０とを備える。

【0022】

各ネットワークにおいて、同じネットワーク内の各機器は、ＧＷ装置２４０を介さずに、直接にデータを通信できる。例えば、制御系ネットワーク２５０内では、車両１１０の走行制御のための通信が行われる。アシスト系ネットワーク２６０内では、車両１１０のアシスト機能のための通信が行われる。車両１１０のアシスト機能とは、自動運転、運転支援等である。以下では、車両１１０の自動運転と車両１１０の運転支援とを区別しないときは、「アシスト機能」と記す。情報系ネットワーク２７０内では、車両１１０の運転手（ユーザ）に対するユーザインタフェースのための通信が行われる。一方、異なるネットワークの機器間では、ＧＷ装置２４０を介して通信される。

【0023】

制御系ネットワーク２５０には、ステアリングＥＣＵ２５１、ブレーキＥＣＵ２５２、およびエンジンＥＣＵ２５３が接続されている。アシスト系ネットワーク２６０には、ＡＤＡＳ ＥＣＵ２６１、ブレーキ制御ＥＣＵ２６２、ステアリング制御ＥＣＵ２６３、エンジン制御ＥＣＵ２６４、カメラ２６５、ＧＰＳセンサ２６６、加速度センサ２６７、およびＭＰＵ（Map Processing Unit）２６８が接続されている。情報系ネットワーク２７０には、無線通信装置２７１、ユーザスイッチ２７２、表示装置２７３、およびナビゲーションシステム２７４が接続されている。

【0024】

なお、制御系ネットワーク２５０に接続されている各機器、アシスト系ネットワーク２６０に接続されている各機器、および情報系ネットワーク２７０に接続されている各機器は、ＧＷ装置２４０を介して車載セキュリティ装置１１１と接続されている。また、モバイルルータ２８０は、無線通信装置２７１を介して車載セキュリティ装置１１１と無線接続されている。

【0025】

ステアリングＥＣＵ２５１は、車両１１０のユーザによるステアリング操作、または、ステアリング制御ＥＣＵ２６３から送信されるステアリング制御命令に応じて、車両１１０の操舵機構を制御して車両１１０の進行方向を制御する。ブレーキＥＣＵ２５２は、車両１１０のユーザによるブレーキ操作、または、ブレーキ制御ＥＣＵ２６２から送信されるブレーキ制御命令に応じて、車両１１０のブレーキを制御して減速制御する。エンジンＥＣＵ２５３は、車両１１０の走行状態、または、エンジン制御ＥＣＵ２６４から送信されるエンジン制御命令に応じて、車両１１０のエンジンを制御して車両１１０の速度を制御する。これらの機器により、車両１１０の走行が制御される。

【0026】

ＡＤＡＳ ＥＣＵ２６１は、車両１１０の内外の情報から車両１１０の加速、車両１１０の減速、車両１１０の停止等を判断し、判断した結果を用いて車両１１０のアシスト機能を実現する。ＡＤＡＳ ＥＣＵ２６１は、カメラ２６５から取得した画像、ＧＰＳセンサ２６６から取得した車両１１０の位置、ＭＰＵ２６８が保持する地図情報等を参照して、車両１１０の挙動を決定する。そして、ＡＤＡＳ ＥＣＵ２６１は、ブレーキ制御ＥＣＵ２６２、ステアリング制御ＥＣＵ２６３、およびエンジン制御ＥＣＵ２６４に対して、決定した車両１１０の挙動に応じた制御命令をそれぞれ出力するように指示する。

【0027】

ブレーキ制御ＥＣＵ２６２は、ＡＤＡＳ ＥＣＵ２６１の指示に応じて、ブレーキＥＣＵ２５２に対してブレーキ強度を含むブレーキ制御命令を送信する。ステアリング制御ＥＣＵ２６３は、ＡＤＡＳ ＥＣＵ２６１の指示に応じて、ステアリングＥＣＵ２５１に対してステアリングの操作角度を含むステアリング制御命令を送信する。エンジン制御ＥＣＵ２６４は、ＡＤＡＳ ＥＣＵ２６１の指示に応じて、エンジンＥＣＵ２５３に対してエンジンの回転数を含むエンジン制御命令を送信する。カメラ２６５は、車両１１０の周囲を撮影した画像をＡＤＡＳ ＥＣＵ２６１に出力する。ＧＰＳセンサ２６６は、衛星から信号を受信して車両１１０の位置を測位する。加速度センサ２６７は、車両１１０の前後方向の加速度および車両１１０の左右方向の加速度を検知する。ＭＰＵ２６８は、車両１１０周辺の道路形状等の地図情報を保持する。当該地図情報は、ＡＤＡＳ ＥＣＵ２６１がアシスト機能に用いる地図情報である。これらの機器により、車両１１０のアシスト機能が実行される。

【0028】

無線通信装置２７１は、車載セキュリティ装置１１１に接続されており、路側器１２０との間で、直接、またはモバイルルータ２８０を介して無線通信する。ユーザスイッチ２７２は、車両１１０のユーザによる所定の入力操作を検知する。車両１１０のユーザは、例えば、車両１１０のアシスト機能を、無効から有効に、または、有効から無効に、切り替える際に、ユーザスイッチ２７２を使用する。表示装置２７３は、液晶モニタ等であり、ユーザに対して種々の情報を表示する。例えば、車両１１０においてアシスト機能が有効になっている場合は、アシスト機能が有効であることを表示装置２７３に表示することで、ユーザが車両１１０の状態を把握できるようにする。ナビゲーションシステム２７４は、道路形状等の地図情報を保持しており、ユーザまたはＡＤＡＳ ＥＣＵ２６１からの要求等に応じて、車両１１０周辺の地図情報を提供する。これらの機器により、車両１１０のユーザに対するユーザインタフェースが提供される。

【0029】

図３は、路側器１２０および攻撃対策装置１３０のハードウェア構成の一例を示す図である。路側器１２０と攻撃対策装置１３０とは、ネットワーク１０１を介して接続されている。

【0030】

路側器１２０は、無線送受信部３１０および路側器制御部３２０を備える。無線送受信部３１０は、車両１１０の情報と、攻撃対策装置１３０の情報とを送受信する。無線送受信部３１０は、無線信号を送受信することにより、車両１１０に搭載された車載セキュリティ装置１１１と通信する。路側器制御部３２０は、路側器１２０を制御する。路側器制御部３２０は、ネットワーク１０１に接続されていて、ネットワーク１０１を介して攻撃対策装置１３０と通信する。また、路側器制御部３２０は、無線送受信部３１０を制御して、攻撃対策装置１３０から受信した情報を車両１１０に送信したり、車両１１０から受信した情報を攻撃対策装置１３０に送信したりする。

【0031】

攻撃対策装置１３０は、記憶装置３３０、ＣＰＵ３４０、およびメモリ部３５０を備える。記憶装置３３０は、例えば、フラッシュメモリ、ＨＤＤのような不揮発性の記憶装置を用いて構成されている。ＣＰＵ３４０は、記憶装置３３０が保持する情報と、路側器１２０から受信した情報とを用いて、メモリ部３５０でプログラムを実行させることにより、例えば、車両１１０において検知された攻撃に対する対策を検討する。メモリ部３５０は、ＣＰＵ３４０がプログラムを実行する際に利用する主記憶装置である。

【0032】

ＣＰＵ３４０は、送受信情報処理部３４１、攻撃情報生成部３４２、および対策管理部３４３を機能的に備える。すなわち、攻撃対策装置１３０の機能（送受信情報処理部３４１等）は、ＣＰＵ３４０が実行するプログラムによってソフトウェア的に実現される。なお、攻撃対策装置１３０の機能を、例えば、ＦＰＧＡのような電子回路等によって実現してもよい。攻撃対策装置１３０の１つの機能は、複数の機能に分けられていてもよいし、複数の機能は、１つの機能にまとめられていてもよい。また、攻撃対策装置１３０の機能の一部は、別の機能として設けられてもよいし、他の機能に含められていてもよい。また、攻撃対策装置１３０の機能の一部は、攻撃対策装置１３０と通信可能な他のコンピュータにより実現されてもよい。

【0033】

図４は、車載セキュリティ装置１１１の機能構成の一例を示す図である。記憶装置２１０は、ログ情報記憶部４１０、車両構成情報記憶部４２０、攻撃情報記憶部４３０、および対策情報記憶部４４０を備える。なお、各記憶部は、データベースであってもよい。

【0034】

ＧＷ装置２４０は、各ネットワーク間で通信の中継を行う。例えば、ＧＷ装置２４０は、アシスト系ネットワーク２６０のブレーキ制御ＥＣＵ２６２から制御系ネットワーク２５０のブレーキＥＣＵ２５２に送信されるブレーキ制御指示を、これらのネットワーク間で転送する。同一ネットワーク内の機器間および異なるネットワークの機器間では、車両情報パケットにより通信が行われる。ＧＷ装置２４０は、各機器間で送受信される車両情報パケットを受信すると、その車両情報パケットに含まれる情報をログ情報４１１としてログ情報記憶部４１０に記憶（例えば、追記）する。すなわち、ログ情報記憶部４１０には、車両情報パケットに含まれる情報が時系列順にログ情報４１１として格納される。

【0035】

ログ管理部２２１は、所定のタイミングで、ログ情報記憶部４１０から、攻撃情報記憶部４３０に記憶されている攻撃情報４３１に関連するログ情報４１１を抽出し、抽出したログ情報４１１を攻撃対策装置１３０に送信したり、ログ情報記憶部４１０に保存したりする。ログ情報４１１が攻撃情報４３１に関連しているか否かは、例えば、ログ情報４１１のログ内容と攻撃情報４３１の検知内容とが一致するか否かで判定される。所定のタイミング、定期的、攻撃検知部２２４が攻撃を検知したとき、ログ情報記憶部４１０に割当てられた記憶装置２１０の記憶容量が予め規定された容量を超えたとき等である。

【0036】

初期設定部２２２は、無線通信装置２７１を用いて路側器１２０と通信し、路側器１２０を介して、車両構成情報４２１を攻撃対策装置１３０に送信する。攻撃管理部２２３は、攻撃対策装置１３０により送信された車両構成情報４２１に対応する攻撃情報４３１を受信する。攻撃管理部２２３は、受信した攻撃情報４３１を攻撃情報記憶部４３０に記憶する。なお、初期設定部２２２は、攻撃管理部２２３に含まれていてもよい。

【0037】

攻撃検知部２２４は、攻撃情報記憶部４３０に格納されている攻撃情報４３１と、ログ情報記憶部４１０に格納されているログ情報４１１とに基づいて、車両１１０が備える機器に対する攻撃を検知する。攻撃検知部２２４は、攻撃を検知した場合、無線通信装置２７１を用いて路側器１２０と通信し、検知した攻撃に関連する攻撃検知情報４５０およびインシデント情報４６０を、路側器１２０を介して攻撃対策装置１３０に送信する。攻撃検知情報４５０およびインシデント情報４６０には、攻撃を検知した場所、攻撃を受けた機器のソフトウェアのバージョン、攻撃の原因、攻撃の検知日時等が含まれる。また、攻撃検知部２２４は、攻撃を検知した場合、攻撃を検知した旨の通知を警告処理部２２６に出力する。警告処理部２２６は、表示装置２７３等を通じてユーザに警告を表示する。

【0038】

対策処理部２２５は、無線通信装置２７１を用いて路側器１２０と通信し、路側器１２０を介して攻撃対策装置１３０から、攻撃検知部２２４により検知された攻撃に対する対策の対策情報４４１を受信する。策処理部２２５は、受信した対策情報４４１を対策情報記憶部４４０に記憶する。対策情報４４１は、攻撃を受けた機器に対する対策を実施するための情報である。対策情報４４１には、例えば、攻撃を受けた機器で動作するソフトウェアのバックデート命令、設定ファイル等が含まれる。

【0039】

図５は、攻撃対策装置１３０の機能構成の一例を示す図である。記憶装置３３０は、ログ情報記憶部５１０、車載構成情報記憶部５２０、攻撃情報記憶部５３０、対策情報記憶部５４０、および脆弱性情報記憶部５５０を備える。なお、各記憶部は、データベースであってもよい。

【0040】

送受信情報処理部３４１は、路側器１２０から情報を受信したり、路側器１２０に情報を送信したりする。例えば、送受信情報処理部３４１は、車両１１０から送信されたログ情報４１１を、路側器１２０を介して受信する。送受信情報処理部３４１は、車両１１０から受信したログ情報４１１を、ログ情報記憶部５１０に記憶する。

【0041】

攻撃情報生成部３４２は、車両１１０が備える機器の構成、当該機器のソフトウェアのバージョン等の情報を含む車両構成情報４２１を受信すると、攻撃情報記憶部５３０から、車両１１０に応じた機器の構成と当該機器のソフトウェアのバージョンとに対する攻撃情報４３１を取り出し、送受信情報処理部３４１を介して車両１１０に送信する。

【0042】

対策管理部３４３は、受信した攻撃検知情報４５０に基づいて、対策情報記憶部５４０から、攻撃検知部２２４により検知された攻撃に対応する対策情報４４１を取得し、取得した対策情報４４１を、送受信情報処理部３４１を介して車両１１０に送信する。また、対策管理部３４３は、車載構成情報記憶部５２０の車載構成情報を取り出し、脆弱性情報記憶部５５０から車載構成情報に対する脆弱性情報を取り出す。対策管理部３４３は、当該脆弱性情報に一致する攻撃をログ情報記憶部５１０から検索し、見つけた場合、脆弱性情報を防ぐ対策情報４４１を生成し、対策情報記憶部５４０に記憶する。対策管理部３４３は、送受信情報処理部３４１を介して、生成した対策情報４４１を車両１１０に送信してもよい。なお、脆弱性情報については、ＣＶＥ（Common Vulnerabilities and Exposures）、ＣＷＥ（Common Weakness Enumeration）といった一般的に普及している情報を利用してもよく、脆弱性情報記憶部５５０については、図示および説明を省略する。

【0043】

次に、図６Ａ、図６Ｂ、および図６Ｃを用いて、攻撃を示す攻撃情報４３１について説明する。以下では、１つの攻撃は、当該攻撃を構成する段階（攻撃段階）における攻撃（攻撃シナリオ要素）を組合わせた攻撃シナリオとして説明する。図６Ｃに、攻撃情報４３１の一例である攻撃シナリオ６００を示す。攻撃シナリオ６００は、最初の攻撃段階から最後の攻撃段階に至るまでの攻撃シナリオ要素が発生する順序を記した情報を含む。なお、最後の攻撃段階の攻撃シナリオ要素を「インシデント」と記すことがある。

【0044】

図６Ａは、攻撃シナリオ６００の攻撃段階（階層）を示す図である。図６Ｂは、無線通信装置２７１における７個の脆弱性同士の関連性を示す図である。図６Ｃは、攻撃シナリオ６００の詳細を示す図である。なお、脆弱性とは、攻撃を受ける可能性のある、ソフトウェア、ハードウェア等の瑕疵である。

【0045】

攻撃シナリオ６００は、攻撃段階６０１、脆弱性ＩＤ６０２、攻撃手法６０３、検知場所６０４、および検知内容６０５の各情報を含む。

【0046】

攻撃段階６０１は、車両１１０に対する攻撃の段階を示す。例えば、図６Ａでは、４つの攻撃段階を示している。攻撃準備、攻撃、インストール、遠隔操作の各攻撃段階を規定しており、４つ目の攻撃段階の遠隔操作の攻撃が成功すると、車両１１０が操作されて、ユーザへの影響が顕在化することを示している。この攻撃シナリオ６００においては、攻撃段階が進むにつれて攻撃の危険性があがることが示されており、各攻撃段階の攻撃手法が実行されて成功すると、次の攻撃段階に進んでていく。

【0047】

脆弱性ＩＤ６０２は、既に顕在化している攻撃対象の脆弱性を一意に特定可能な番号を示す。例えば、ソフトウェアのバージョン等のすでにある条件化で、攻撃に対して影響あるソフトウェアが発見されており、その脆弱性が突き止められている事例に番号をつけたものである。図６Ｃでは、例えば、アクセス制限不備の脆弱性について脆弱性ＩＤ「ＣＷＥ－２８４」が一意に特定可能な番号として設定されている。

【0048】

攻撃手法６０３は、脆弱性ＩＤ６０２の脆弱性に対して攻撃する手法を示す。例えば、アクセス制限不備の脆弱性に対しては無線通信装置２７１の番号にＳＭＳメッセージを送信する攻撃手法が既に発見されている。検知場所６０４は、脆弱性ＩＤ６０２の脆弱性に対して攻撃を検知する場所を示す。例えば、脆弱性ＩＤ６０２「ＣＷＥ－２８４」のアクセス制限不備の攻撃を検知する場所は、無線通信装置２７１であることを示す。検知内容６０５は、脆弱性ＩＤ６０２の脆弱性に対して攻撃を検知する方法を示す。例えば、脆弱性ＩＤ６０２「ＣＷＥ－２８４」のアクセス制限不備の攻撃は、事前登録リスト以外の電話番号からのアクセスにより検知できる。

【0049】

以下では、無線通信装置２７１に存在する７個の脆弱性のうち４個の脆弱性を使用した攻撃を例に挙げて説明する。より具体的には、無線通信装置２７１が無線通信を利用して受信したＳＭＳメッセージにより無線通信装置２７１の設定ファイルが書き換えられることで、不正なサーバ装置からのソフトウェア更新を無線通信装置２７１において実施され、その結果、無線通信装置２７１が悪意のある第三者から遠隔で不正に制御された場合の例を示している。この例では、１つの攻撃シナリオ６００を攻撃シナリオ要素Ａ１～攻撃シナリオ要素Ａ４に分け、それぞれの攻撃段階での脆弱性を利用して攻撃シナリオ６００に示される攻撃が実現されるケースを示している。

【0050】

図６Ａに示すように、攻撃シナリオ要素Ａ１は、攻撃の準備段階に相当する。攻撃の準備段階では、悪意のある第三者は、ＳＭＳメッセージによる脆弱性の存在を把握すると、該当する脆弱性を有する車両１１０を探すために、ランダムな電話番号に向けてＳＭＳメッセージを発信する。このとき、車載セキュリティ装置１１１は、事前に設定された番号リストと異なる電話番号からの発信を無線通信装置２７１が受信したことを検知することで、無線通信装置２７１に対するアクセスポリシー違反としての攻撃を検知する。

【0051】

攻撃シナリオ要素Ａ２は、攻撃の開始段階に相当する。攻撃の開始段階では、無線通信装置２７１の脆弱性を確認した攻撃者が、ＳＭＳメッセージにより無線通信装置２７１に対して不正プログラムを送信し、攻撃を開始する。無線通信装置２７１が不正プログラムを受信し、無線通信装置２７１の設定が変更されると、規定のサーバ装置からの規定のプログラムのみダウンロードを許可する設定となっているアクセス制御が解除される。このとき、車載セキュリティ装置１１１は、無線通信装置２７１において許可なくアクセス制御を実施している設定ファイルの更新が行われたことを検知することで、無線通信装置２７１に対するセキュリティポリシー違反としての攻撃を検知する。

【0052】

攻撃シナリオ要素Ａ３は、攻撃のインストール段階に相当する。攻撃のインストール段階では、攻撃者が無線通信装置２７１に不正なサーバ装置からのファイルをダウンロードさせる。このとき、車載セキュリティ装置１１１は、無線通信装置２７１におけるプログラムのインストール権限の変更、不正インストールの検知、不正なサーバ装置へのアクセス等が行われたことを検知することで、無線通信装置２７１に対するセキュリティポリシー違反としての攻撃を検知する。

【0053】

攻撃シナリオ要素Ａ４は、攻撃の遠隔操作段階に相当する。攻撃の遠隔操作段階では、攻撃者が無線通信装置２７１に不正なサーバ装置からダウンロードしたファイルを実行させることで、無線通信装置２７１からＧＷ装置２４０に向けて不正な通信を実施させる。このとき、車載セキュリティ装置１１１は、無線通信装置２７１からＧＷ装置２４０への不正制御命令の送信、不正なタイミングでのアクセスが行われたことを検知することで、無線通信装置２７１に対するアクセスポリシー違反としての攻撃を検知する。

【0054】

ここで、攻撃シナリオ６００で利用される脆弱性には相互に因果関係があり、ある攻撃シナリオ要素を実現するためには、前段の攻撃シナリオ要素が実現済みである必要がある。そのため、車両セキュリティシステム１００では、車載セキュリティ装置１１１において、相互に関連し合う脆弱性を階層的に示した様々な攻撃シナリオ６００を記憶した攻撃情報記憶部４３０を備えている。例えば、車載セキュリティ装置１１１の対策処理部２２５は、攻撃検知部２２４により攻撃が検知されると、攻撃情報記憶部４３０に基づいて検知した攻撃に関連する脆弱性を特定し、その脆弱性を有する機器に対して暫定対処を行う。これにより、車両１１０で発生した攻撃に対して、適切な機器への暫定対処を速やかに実施できるようにしている。

【0055】

なお、図６Ｃに示す攻撃シナリオ６００は、一例であり、他にも様々な攻撃を車載セキュリティ装置１１１において検知可能である。また、攻撃シナリオ６００は、車両１１０に搭載された機器毎に用意されてもよい。

【0056】

図７は、ログ情報記憶部４１０の一例（ログ情報テーブル７００）を示す図である。なお、ログ情報記憶部５１０については、ログ情報記憶部４１０と同じデータ構成であるので、図示および説明を省略する。

【0057】

ログ情報テーブル７００は、ログ情報番号７０１、日時７０２、機器種別７０３、およびログ内容７０４の各情報を記憶する。ログ情報番号７０１は、ログ情報４１１を一意に特定可能な番号を示す。日時７０２は、ログ情報４１１が取得された日時を示す。機器種別７０３は、ログ情報４１１の生成に用いられた車両情報パケットを送信した機器の種別を示す。ログ内容７０４は、ログ情報４１１の内容を示す。

【0058】

図８は、車両構成情報記憶部４２０の一例（車両構成情報テーブル８００）を示す図である。車両構成情報テーブル８００は、車種ＩＤ８０１、車両ＩＤ８０２、機器種別８０３、ＮＷドメイン８０４、およびソフトウェアバージョン８０５の各情報を記憶する。車種ＩＤ８０１は、車両１１０の車種を識別可能な情報を示す。車両ＩＤ８０２は、車両１１０を識別可能な情報を示す。機器種別８０３は、車両１１０に搭載されている機器の種別を示す。ＮＷドメイン８０４は、車両１１０に搭載されている機器が接続されているネットワークを示す。ソフトウェアバージョン８０５は、車両１１０に搭載されている機器のソフトウェアのバージョンを示す。

【0059】

図９は、攻撃情報記憶部４３０の一例（攻撃シナリオテーブル９００）を示す図である。攻撃シナリオテーブル９００では、攻撃シナリオ６００を構成する攻撃シナリオ要素ごとに、図９に示す情報が記憶されている。なお、攻撃情報記憶部５３０については、攻撃情報記憶部４３０と同じデータ構成であるので、図示および説明を省略する。

【0060】

攻撃シナリオテーブル９００は、攻撃シナリオ番号９０１、攻撃シナリオ要素番号９０２、攻撃段階９０３、脆弱性ＩＤ９０４、攻撃手法９０５、検知場所９０６、検知内容９０７、および関連ソフトウェア情報９０８の各情報を記憶する。攻撃シナリオ番号９０１は、攻撃シナリオ６００を一意に特定可能な番号を示す。攻撃シナリオ要素番号９０２は、攻撃段階９０３、脆弱性ＩＤ９０４、攻撃手法９０５、検知場所９０６、検知内容９０７等を含む攻撃（攻撃シナリオ要素）を一意に特定可能な番号を示す。

【0061】

攻撃段階９０３は、最初の攻撃段階から最後の攻撃段階までの攻撃段階のうち攻撃が進んでいる段階を示す。脆弱性ＩＤ９０４は、攻撃対象の脆弱性を一意に特定可能な番号を示す。攻撃手法９０５は、脆弱性を攻撃する際の攻撃手法を示す。検知場所９０６は、攻撃が検知できる場所を示す。検知内容９０７は、ログ情報４１１のうち攻撃を検知できる内容を示す。関連ソフトウェア情報９０８は、攻撃対象の脆弱性を有するソフトウェアを特定可能な番号を示す。関連ソフトウェア情報９０８は、製品種別、ベンダ名、製品名、バージョン、アップデートの有無、エディション、言語等の情報を含んでいる。関連ソフトウェア情報９０８は、ソフトウェアを特定できればよく、ＣＰＥ（Common Platform Enumeration）等を用いてもよい。

【0062】

図１０は、対策情報記憶部４４０の一例（対策情報テーブル１０００）を示す図である。なお、対策情報記憶部５４０については、対策情報記憶部４４０と同じデータ構成であるので、図示および説明を省略する。

【0063】

対策情報テーブル１０００は、対策情報ＩＤ１００１、脆弱性ＩＤ１００２、攻撃手法１００３、関連ソフトウェア情報１００４、および対策１００５の各情報を記憶する。対策情報ＩＤ１００１は、対策情報４４１を一意に特定可能な番号を示す。脆弱性ＩＤ１００２は、攻撃対象の脆弱性を一意に特定可能な番号を示す。攻撃手法１００３は、脆弱性を攻撃する際の攻撃手法を示す。関連ソフトウェア情報１００４は、攻撃対象の脆弱性を有するソフトウェアを特定可能な番号を示す。対策１００５は、攻撃手法への対策を示す。対策１００５には、攻撃手法を防止する対策、検知する手法がない、資産等に影響がない等の場合は、攻撃を許容し、あえて攻撃に対処しない対策等が含まれてもよい。

【0064】

図１１は、攻撃検知情報４５０の一例（攻撃検知情報テーブル１１００）を示す図である。車載セキュリティ装置１１１は、ログ情報４１１から、最後の攻撃段階だけでなく、全ての攻撃段階を対象として攻撃を検知し、当該攻撃に関連する情報を収集した情報を攻撃検知情報４５０とする。攻撃対策装置１３０に攻撃検知情報４５０が通知された場合、攻撃対策装置１３０は、検知された攻撃シナリオ要素に該当する脆弱性に対して対策を検討する。

【0065】

攻撃検知情報テーブル１１００は、攻撃検知情報ＩＤ１１０１、判定日時１１０２、インシデント判定結果１１０３、関連攻撃シナリオ番号１１０４、一致攻撃シナリオ要素番号１１０５、脆弱性ＩＤ１１０６、ログ情報番号１１０７、および関連ソフトウェア情報１１０８の各情報を記憶する。

【0066】

攻撃検知情報ＩＤ１１０１は、攻撃検知情報４５０を一意に特定可能な番号を示す。判定日時１１０２は、インシデントの判定が実施された日時を示す。インシデント判定結果１１０３は、インシデントが発生したか否かの判定結果を示す。インシデント判定結果１１０３には、インシデントが発生したと判定されたときは、「○」が設定され、それ以外は「×」が設定されている。

【0067】

関連攻撃シナリオ番号１１０４は、一致した攻撃シナリオ要素ＩＤで構成される攻撃シナリオ６００の攻撃シナリオ番号を示す。一致攻撃シナリオ要素番号１１０５は、ログ情報４１１と攻撃シナリオ６００との一致および不一致を判定する際に、ログ情報４１１のログ内容と、攻撃シナリオ６００の攻撃シナリオ要素の検知内容とが一致する攻撃シナリオ要素の攻撃シナリオ要素番号を示す。脆弱性ＩＤ１１０６は、攻撃対象の脆弱性を一意に特定可能な番号を示す。ログ情報番号１１０７は、攻撃シナリオ要素の検知内容と一致したログ情報４１１を一意に特定可能な番号を示す。関連ソフトウェア情報１１０８は、攻撃対象の脆弱性を有するソフトウェアを特定可能な番号を示す。

【0068】

図１２は、インシデント情報４６０の一例（インシデント情報テーブル１２００）を示す図である。車載セキュリティ装置１１１は、ログ情報４１１から、インシデントつまり攻撃段階「４」の攻撃を検知した際に、当該攻撃に関連した情報を収集した情報をインシデント情報４６０とする。攻撃対策装置１３０にインシデント情報４６０が通知された場合、攻撃対策装置１３０は、対策を実施することができないと判定したとき、該当する車両１１０の使用を停止し、ログ情報４１１を分析することで新しい対策を検討することがある。なお、車載セキュリティ装置１１１は、ログ情報４１１に優先度を設定し、ログ情報４１１をログ情報記憶部４１０に保存する必要が生じたときに、インシデント情報４６０に含まれるログ情報番号のログ情報４１１を優先して記憶してもよい。

【0069】

インシデント情報テーブル１２００は、判定日時１２０１、攻撃シナリオ番号１２０２、検知判定１２０３、攻撃シナリオ要素番号１２０４、攻撃段階１２０５、脆弱性ＩＤ１２０６、攻撃手法１２０７、検知場所１２０８、ログ情報番号１２０９、および関連ソフトウェア情報１２１０の各情報を記憶する。

【0070】

判定日時１２０１は、インシデントが判定された日時を示す。攻撃シナリオ番号１２０２は、インシデントに関連すると判定された攻撃シナリオ６００の攻撃シナリオ番号を示す。検知判定１２０３は、インシデントに関連すると判定された攻撃シナリオ６００をログ情報４１１と比較し、一致および不一致が判定された結果を示す。攻撃シナリオ要素番号１２０４は、攻撃段階１２０５、脆弱性ＩＤ１２０６、攻撃手法１２０７、検知場所１２０８等を含む攻撃を一意に特定可能な番号を示す。

【0071】

攻撃段階１２０５は、最初の攻撃段階から最後の攻撃段階までの攻撃段階のうち攻撃が進んでいる段階を示す。脆弱性ＩＤ１２０６は、攻撃対象の脆弱性を一意に特定可能な番号を示す。攻撃手法１２０７は、脆弱性を攻撃する際の攻撃手法を示す。検知場所１２０８は、攻撃シナリオ要素番号１２０４が示す攻撃が検知できる場所を示す。ログ情報番号１２０９は、攻撃シナリオ要素の検知内容と一致したログ情報４１１を一意に特定可能な番号を示す。関連ソフトウェア情報１２１０は、攻撃対象の脆弱性を有するソフトウェアを特定可能な番号を示す。

【0072】

図１３は、車載構成情報記憶部５２０の一例（車載構成テーブル１３００）を示す図である。

【0073】

車載構成テーブル１３００は、車種ＩＤ１３０１、機器種別１３０２、ＮＷドメイン１３０３、およびソフトウェアバージョン１３０４の各情報を記憶する。車種ＩＤ１３０１は、車両１１０の車種を識別可能な情報を示す。機器種別１３０２は、車両１１０に搭載されている機器の種別を示す。ＮＷドメイン１３０３は、車両１１０に搭載されている機器が接続されているネットワークを示す。ソフトウェアバージョン１３０４は、車両１１０に搭載されている機器のソフトウェアのバージョンを示す。

【0074】

図１４は、車載セキュリティ装置１１１のＣＰＵ２２０が実行する初期設定処理の一例を示す図である。初期設定処理は、ＣＰＵ２２０において、車載セキュリティ装置１１１の起動時に実行される。

【0075】

Ｓ１４０１において、ＣＰＵ２２０は、今回の起動時（現在）の車両構成情報４２１をＧＷ装置２４０から取得する。なお、ＧＷ装置２４０は、車両１１０に搭載されている機器から情報を収集し、現在の車両構成情報４２１を取得している。

【0076】

Ｓ１４０２において、ＣＰＵ２２０は、現在の車両構成情報４２１と、車両構成情報記憶部４２０に記憶している車両構成情報４２１（過去の車両構成情報４２１）とを比較し、現在の車両１１０の構成と過去の車両１１０の構成とに、変化があるか否かを判定する。ＣＰＵ２２０は、車両１１０の構成に変化があると判定した場合、Ｓ１４０３に処理を移し、車両１１０の構成に変化がないと判定した場合、Ｓ１４０６に処理を移す。なお、車両１１０の構成とは、車両１１０に搭載されている機器のソフトウェア構成と、車両１１０に搭載されている機器のシステム構成との少なくとも１つの構成である。また、過去の車両構成情報４２１は、前回の起動時の車両構成情報４２１であったり、機器のソフトウェアの更新後の車両構成情報４２１であったりする。

【0077】

Ｓ１４０３において、ＣＰＵ２２０は、現在の車両構成情報４２１を攻撃対策装置１３０に送信し、当該車両構成情報４２１に対応する攻撃シナリオ６００を要求（攻撃シナリオ要求）する。

【0078】

Ｓ１４０４において、ＣＰＵ２２０は、攻撃対策装置１３０から攻撃シナリオ６００を受信したか否かを判定する。ＣＰＵ２２０は、攻撃シナリオ６００を受信したと判定した場合、攻撃シナリオ６００を攻撃情報記憶部４３０に記憶し、Ｓ１４０６に処理を移す。ＣＰＵ２２０は、攻撃シナリオ６００を受信していないと判定した場合、Ｓ１４０５に処理を移す。

【0079】

Ｓ１４０５において、ＣＰＵ２２０は、攻撃対策装置１３０から攻撃シナリオ６００を受信するまで、規定回数、攻撃シナリオ要求を送信（リトライ）する。

【0080】

Ｓ１４０６において、ＣＰＵ２２０は、車載セキュリティ装置１１１を起動し、初期設定処理を終了する。

【0081】

図１５は、車両セキュリティシステム１００において実行される一連の処理の一例を示す図である。まず、ログ情報４１１に係る処理について説明する。

【0082】

Ｓ１５１１において、ＧＷ装置２４０は、車両情報パケットからログ情報４１１を生成したとき、生成したログ情報４１１をログ情報記憶部４１０に記憶する。Ｓ１５１２において、ＧＷ装置２４０は、ログ情報４１１を車載セキュリティ装置１１１に送信する。

【0083】

Ｓ１５２１において、車載セキュリティ装置１１１は、ＧＷ装置２４０からログ情報４１１を受信する。Ｓ１５２２において、車載セキュリティ装置１１１は、ログ情報４１１に攻撃に係る優先度を設定する。例えば、車載セキュリティ装置１１１は、ログ情報４１１のログ内容が、攻撃情報記憶部４３０に記憶されている攻撃シナリオ６００の検知内容に関連（例えば、一致）するか否かを判定する。車載セキュリティ装置１１１は、関連すると判定した場合、関連すると判定した攻撃シナリオ６００の攻撃段階を優先度として設定する。車載セキュリティ装置１１１は、関連しないと判定した場合、優先度が最も低い値（例えば、「０」）を設定する。なお、優先度については、攻撃シナリオの攻撃段階の大きさ、攻撃場所の重要度といった、攻撃の進捗、攻撃の影響等を示す情報を適宜に採用できる。なお、優先度については、ログ情報４１１に含められて記憶されてもよいし、優先度と当該優先度が設定されたログ情報４１１のログ情報番号とが対応付けられて記憶装置２１０に記憶されてもよい。

【0084】

Ｓ１５２３において、車載セキュリティ装置１１１は、定期的に、優先度に基づいてログ情報４１１を攻撃対策装置１３０に送信する。例えば、車載セキュリティ装置１１１は、優先度が所定の値より大きい値が設定されているログ情報４１１を攻撃対策装置１３０に送信する。例えば、所定の値が「０」である場合、車載セキュリティ装置１１１は、攻撃に係るログ情報４１１をログ情報記憶部４１０から抽出して攻撃対策装置１３０に送信する。

【0085】

Ｓ１５３１において、攻撃対策装置１３０は、車載セキュリティ装置１１１から送信されたログ情報４１１をログ情報記憶部５１０に記憶する。

【0086】

次に、車両１１０に搭載されている機器への攻撃に係る処理について説明する。Ｓ１５２４において、車載セキュリティ装置１１１は、定期的に、攻撃検知処理を実行する。攻撃検知処理では、攻撃が検知された場合、攻撃検知情報４５０が攻撃対策装置１３０に送信され、インシデントが検知された場合、インシデント情報４６０が攻撃対策装置１３０に送信される。攻撃検知処理については、図１６を用いて後述する。

【0087】

Ｓ１５３２において、攻撃対策装置１３０は、攻撃検知情報４５０およびインシデント情報４６０を受信する。Ｓ１５３３において、攻撃対策装置１３０は、攻撃対策処理を実行する。攻撃対策処理では、攻撃への対策が検討され、当該攻撃に対する対策情報４４１が車載セキュリティ装置１１１に送信される。攻撃対策処理については、図１７を用いて後述する。

【0088】

Ｓ１５２５において、車載セキュリティ装置１１１は、攻撃対策装置１３０から対策情報４４１を受信し、対策情報４４１を対策情報記憶部４４０に記憶し、攻撃が検知された機器が対策情報４４１に基づく対策を実行するための対策指示を、ＧＷ装置２４０に送信する。

【0089】

Ｓ１５１３において、ＧＷ装置２４０は、車載セキュリティ装置１１１から受信した対策指示を、攻撃が検知された機器に送信する。当該機器は、車載セキュリティ装置１１１の対策指示に応じて、攻撃への対策を実施する。

【0090】

図１６は、車載セキュリティ装置１１１のＣＰＵ２２０が定期的に実行する攻撃検知処理の一例を示す図である。

【0091】

Ｓ１６０１において、ＣＰＵ２２０は、ログ情報記憶部４１０から、未処理のログ情報４１１を取得する。

【0092】

Ｓ１６０２において、ＣＰＵ２２０は、攻撃情報記憶部４３０から攻撃シナリオ６００を取得する。

【0093】

Ｓ１６０３において、ＣＰＵ２２０は、Ｓ１６０２において取得した攻撃シナリオ６００の全てについて処理を行ったか否かを判定する。ＣＰＵ２２０は、Ｓ１６０２において取得した攻撃シナリオ６００の全てについて処理を行ったと判定した場合、攻撃検知処理を終了し、Ｓ１６０２において取得した攻撃シナリオ６００の一部について処理を行っていないと判定した場合、処理を行っていない一の攻撃シナリオ６００を処理対象とし、Ｓ１６０４に処理を移す。

【0094】

Ｓ１６０４において、ＣＰＵ２２０は、処理対象の攻撃シナリオ６００に含まれる攻撃シナリオ要素の全てについて処理を行ったか否かを判定する。ＣＰＵ２２０は、処理対象の攻撃シナリオ６００に含まれる攻撃シナリオ要素の全てについて処理を行ったと判定した場合、Ｓ１６０３に処理を移し、処理対象の攻撃シナリオ６００に含まれる攻撃シナリオ要素の一部について処理を行っていないと判定した場合、処理を行っていない一の攻撃シナリオ要素を処理対象とし、Ｓ１６０５に処理を移す。

【0095】

Ｓ１６０５において、ＣＰＵ２２０は、Ｓ１６０１において取得したログ情報４１１のログ内容と、処理対象の攻撃シナリオ要素の検知内容とが一致するか否かを判定する。ＣＰＵ２２０は、ログ情報４１１のログ内容と、処理対象の攻撃シナリオ要素の検知内容とが一致すると判定した場合、Ｓ１６０６に処理を移し、ログ情報４１１のログ内容と、処理対象の攻撃シナリオ要素の検知内容とが一致しないと判定した場合、Ｓ１６０４に処理を移す。

【0096】

Ｓ１６０６において、ＣＰＵ２２０は、一致すると判定した、ログ情報４１１および処理対象の攻撃シナリオ６００をもとに、攻撃検知情報４５０を生成する。

【0097】

Ｓ１６０７において、ＣＰＵ２２０は、処理対象の攻撃シナリオ要素の攻撃段階が最後の攻撃段階（例えば、「４」）であるか否かを判定する。ＣＰＵ２２０は、処理対象の攻撃シナリオ要素の攻撃段階が最後の攻撃段階であると判定した場合、Ｓ１６０８に処理を移し、処理対象の攻撃シナリオ要素の攻撃段階が最後の攻撃段階でないと判定した場合、Ｓ１６０４に処理を移す。

【0098】

Ｓ１６０８において、ＣＰＵ２２０は、ログ情報４１１および処理対象の攻撃シナリオ６００をもとに、インシデント情報４６０を生成し、Ｓ１６０４に処理を移す。この際、ＣＰＵ２２０は、Ｓ１６０６において生成した攻撃検知情報４５０のインシデント判定結果に「〇」を設定する。

【0099】

図１７は、攻撃対策装置１３０のＣＰＵ３４０が実行する攻撃対策処理の一例を示す図である。

【0100】

Ｓ１７０１において、ＣＰＵ３４０は、車載セキュリティ装置１１１から受信した攻撃検知情報４５０を取得する。

【0101】

Ｓ１７０２において、ＣＰＵ３４０は、対策情報記憶部５４０から対策情報４４１を取得する。

【0102】

Ｓ１７０３において、ＣＰＵ３４０は、Ｓ１７０１において取得した攻撃検知情報４５０の全てについて処理を行ったか否かを判定する。ＣＰＵ３４０は、Ｓ１７０１において取得した攻撃検知情報４５０の全てについて処理を行ったと判定した場合、攻撃対策処理を終了し、Ｓ１７０１において取得した攻撃検知情報４５０の一部について処理を行っていないと判定した場合、処理を行っていない一の攻撃検知情報４５０を処理対象とし、Ｓ１７０４に処理を移す。

【0103】

Ｓ１７０４において、ＣＰＵ３４０は、処理対象の攻撃検知情報４５０に含まれる脆弱性の全てについて処理を行ったか否かを判定する。ＣＰＵ３４０は、処理対象の攻撃検知情報４５０に含まれる脆弱性の全てについて処理を行ったと判定した場合、Ｓ１７１０に処理を移し、処理対象の攻撃検知情報４５０に含まれる脆弱性の一部について処理を行っていないと判定した場合、処理を行っていない一の脆弱性を処理対象とし、Ｓ１７０５に処理を移す。

【0104】

Ｓ１７０５において、ＣＰＵ３４０は、Ｓ１７０２において取得した対策情報４４１から、処理対象の脆弱性の脆弱性ＩＤに一致する対策情報４４１を抽出でき、かつ、抽出した対策情報４４１に対策が含まれているか否か（対策があるか否か）を判定する。ＣＰＵ３４０は、対策があると判定した場合、Ｓ１７０６に処理を移し、対策がないと判定した場合、Ｓ１７０７に処理を移す。

【0105】

Ｓ１７０６において、ＣＰＵ３４０は、Ｓ１７０５で抽出した対策情報４４１をメモリ部３５０に記憶し、Ｓ１７０４に処理を移す。

【0106】

Ｓ１７０７において、ＣＰＵ３４０は、処理対象の脆弱性への攻撃が最後の攻撃段階であるか否か（インシデントであるか否か）を判定する。ＣＰＵ３４０は、インシデントであると判定した場合、Ｓ１７０８に処理を移し、インシデントでないと判定した場合、Ｓ１７０９に処理を移す。

【0107】

Ｓ１７０８において、ＣＰＵ３４０は、車両１１０の使用を停止する対策情報４４１を車載セキュリティ装置１１１に送信し、新しい対策情報４４１を検討し、攻撃対策処理を終了する。例えば、ＣＰＵ３４０は、ログ情報４１１および脆弱性情報記憶部５５０をもとに未知の脆弱性に対する分析を実施し、未知の脆弱性の対策を検討し、未知の脆弱性を修正するパッチ、攻撃を軽減する方法が含まれる対策情報４４１を生成する。パッチには、当該機器で動作するソフトウェアのバックデート命令、設定ファイル、更新ソフトウェア等が含まれる。そして、ＣＰＵ３４０は、得られた検討結果に基づいて、攻撃情報記憶部５３０、対策情報記憶部５４０、および脆弱性情報記憶部５５０をそれぞれ更新する。

【0108】

Ｓ１７０９において、ＣＰＵ３４０は、処理対象の脆弱性を許容し、すなわち、最後の攻撃段階の攻撃ではないため、資産に影響がないと判断し、処理対象の脆弱性への攻撃について対策を実施しないことを示す対策情報４４１をメモリ部３５０に記憶し、Ｓ１７０４に処理を移す。

【0109】

Ｓ１７１０において、ＣＰＵ３４０は、メモリ部３５０に記憶した対策情報４４１を車載セキュリティ装置１１１に送信し、Ｓ１７０３に処理を移す。なお、対策情報４４１を車載セキュリティ装置１１１に送信するタイミングは、上述したタイミングに限らない。例えば、ＣＰＵ３４０は、Ｓ１７０６およびＳ１７０９のそれぞれにおいて対策情報４４１を車載セキュリティ装置１１１に送信してもよいし、Ｓ１７０３の判定においてＮＯである場合に、対策情報４４１を車載セキュリティ装置１１１に送信してもよい。

【0110】

図１８は、車載セキュリティ装置１１１のＣＰＵ２２０が実行するログ情報管理処理の一例を示す図である。ログ情報管理処理は、ＣＰＵ２２０において、所定のタイミングで実行される。所定のタイミングについては、定期的でもよいし、攻撃検知部２２４がインシデントを検知したときでもよいし、ログ情報記憶部４１０に割当てられた記憶装置２１０の記憶容量が予め規定された容量を超えたときでもよい。

【0111】

Ｓ１８０１において、ＣＰＵ２２０は、記憶装置２１０の空き容量が規定値より大きいか否かを判定する。ＣＰＵ２２０は、記憶装置２１０の空き容量が規定値より大きいと判定した場合、ログ情報管理処理を終了し、記憶装置２１０の空き容量が規定値以下であると判定した場合、Ｓ１８０２に処理を移す。

【0112】

Ｓ１８０２において、ＣＰＵ２２０は、ログ情報記憶部４１０に記憶されているログ情報４１１のうち、優先度が最も低いログ情報４１１を消去し、Ｓ１８０１に処理を移す。

【0113】

上記の各構成、機能等は、それらの一部または全部を、例えば、集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈して実行することにより、ソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Solid State Drive）等の記録装置、または、ＩＣ（Integrated Circuit）カード、メモリカード、ＤＶＤ等の記録媒体に記録しておくことができる。

【0114】

（２）付記
上述の実施の形態には、例えば、以下のような内容が含まれる。

【0115】

上述の実施の形態においては、本発明を車両セキュリティシステムに適用するようにした場合について述べたが、本発明はこれに限らず、この他種々のシステム、装置、方法、プログラムに広く適用することができる。

【0116】

また、上述の実施の形態においては、車載セキュリティ装置１１１は、ログ情報記憶部４１０に記憶されているログ情報４１１を定期的に読み出し、攻撃対策装置１３０に送信する場合について述べたが、本発明はこれに限らない。例えば、車載セキュリティ装置１１１は、ログ情報４１１を生成した際に、ログ情報４１１に優先度を設定し、優先度に基づいてログ情報４１１を攻撃対策装置１３０に送信するようにしてもよい。また、例えば、車載セキュリティ装置１１１は、ログ情報４１１を生成した際に、インシデントが発生したか否かを判定し、インシデントが発生したと判定したとき、インシデントに係るログ情報４１１を攻撃対策装置１３０に送信するようにしてもよい。

【0117】

また、上述の実施の形態においては、車載セキュリティ装置１１１は、ログ情報４１１が発生するたびに優先度を設定する場合（リアルタイムに設定する場合）を例に挙げて述べたが、本発明はこれに限らない。例えば、車載セキュリティ装置１１１は、リアルタイムとは異なる他のタイミングでログ情報４１１に優先度を設定してもよい。他のタイミングとは、定期的であってもよいし、指定された時間であってもよいし、優先度が設定されていないログ情報４１１の件数が閾値を超えたときであってもよいし、その他のタイミングでもよい。

【0118】

また、上述の実施の形態においては、車載セキュリティ装置１１１は、起動時に、攻撃シナリオ６００を攻撃対策装置１３０から取得する場合について述べたが、本発明はこれに限らない。車載セキュリティ装置１１１は、車両１１０に搭載されている機器の構成の変更時に、攻撃シナリオ６００を攻撃対策装置１３０から取得するようにしてもよい。

【0119】

また、上述の実施の形態においては、攻撃対策装置１３０は、攻撃シナリオ要求に応じて攻撃シナリオ６００を車載セキュリティ装置１１１に送信する場合について述べたが、本発明はこれに限らない。例えば、攻撃対策装置１３０は、定期的に、車載セキュリティ装置１１１から車両構成情報４２１を取得し、車両構成情報４２１に対応する攻撃シナリオ６００を攻撃情報記憶部５３０から読み出して、車載セキュリティ装置１１１に送信するようにしてもよい。

【0120】

また、上述の実施の形態においては、ＧＷ装置２４０がログ情報４１１をログ情報記憶部４１０に記憶する場合について述べたが、本発明はこれに限らない。例えば、車載セキュリティ装置１１１がログ情報４１１をログ情報記憶部４１０に記憶するようにしてもよい。この場合、車載セキュリティ装置１１１は、ログ情報４１１に優先度を設定し、優先度が閾値より高いログ情報４１１をログ情報記憶部４１０に記憶してもよい。また、例えば、車載セキュリティ装置１１１は、攻撃に係るログ情報４１１をログ情報記憶部４１０に記憶するようにしてもよいし、インシデントに係るログ情報４１１をログ情報記憶部４１０に記憶するようにしてもよいし、攻撃段階が進んでいる攻撃に係るログ情報４１１をログ情報記憶部４１０に記憶するようにしてもよい。

【0121】

また、上述の実施の形態において、各テーブルの構成は一例であり、１つのテーブルは、２以上のテーブルに分割されてもよいし、２以上のテーブルの全部または一部が１つのテーブルであってもよい。

【0122】

上述した実施の形態は、例えば、以下の特徴的な構成を有する。なお、実施の形態に示した構成については、本発明の要旨を超えない範囲において、適宜に、変更したり、組み替えたり、組み合わせたり、省略したりしてもよい。

【0123】

所定の機器（例えば、ＧＷ装置２４０と、制御系ネットワーク２５０に属する機器と、アシスト系ネットワーク２６０に属する機器と、情報系ネットワーク２７０に属する機器と、モバイルルータ２８０との少なくとも１つ）を備えた車両（例えば、車両１１０）に搭載される車載セキュリティ装置（例えば、車載セキュリティ装置１１１）は、上記機器に対する攻撃を示す攻撃情報（例えば、攻撃情報４３１、攻撃シナリオ６００）を記憶する攻撃情報記憶部（例えば、攻撃情報記憶部４３０、車載セキュリティ装置１１１と通信可能なコンピュータ）と、上記機器についてのログ情報（例えば、ログ情報４１１）を記憶するログ情報記憶部（例えば、ログ情報記憶部４１０、車載セキュリティ装置１１１と通信可能なコンピュータ）と、上記攻撃情報記憶部に記憶されている攻撃情報に関連するログ情報を上記ログ情報記憶部に記憶されているログ情報から抽出し、抽出したログ情報を、上記機器に対する攻撃への対策を提供するための攻撃対策装置（例えば、攻撃対策装置１３０）に送信するログ管理部（例えば、ログ管理部２２１、ＣＰＵ２２０、回路、車載セキュリティ装置１１１と通信可能なコンピュータ）と、を備える。
上記構成では、車両が備える機器に対する攻撃に係るログ情報が抽出されて攻撃対策装置に送信されるので、例えば、ログ情報の送信に必要となる車両におけるコンピュータのリソースの負荷を低減することができる。

【0124】

上記ログ管理部は、上記機器についてのログ情報に、上記ログ情報に関連する攻撃情報における攻撃に係る優先度を設定し（例えば、Ｓ１５２２参照）、上記ログ情報記憶部に記憶されているログ情報から、上記攻撃情報記憶部に記憶されている攻撃情報に関連するログ情報を、上記ログ情報に設定した優先度に基づいて抽出し、抽出したログ情報を、上記攻撃対策装置に送信する（例えば、Ｓ１５２３参照）。
上記構成では、優先度に基づいてログ情報が抽出されるので、例えば、優先度が閾値より高いログ情報を抽出することで、ログ情報の送信に必要となる車両におけるコンピュータのリソースの負荷を更に低減することができる。

【0125】

上記ログ管理部は、上記機器についてのログ情報に、上記ログ情報に関連する攻撃情報における攻撃に係る優先度を設定し（例えば、Ｓ１５２２参照）、上記ログ情報記憶部に記憶されているログ情報を上記ログ情報に設定した優先度に基づいて消去する（例えば、Ｓ１８０２参照）。
上記構成では、優先度に基づいてログ情報が消去されるので、例えば、優先度が閾値より低いログ情報を消去することで、ログ情報の記憶に必要となる記憶装置の記憶容量を低減することができる。

【0126】

上記攻撃対策装置は、既知の複数の攻撃の各々について攻撃情報を記憶し、上記車載セキュリティ装置は、上記機器の構成が第１の構成（例えば、前回の起動時の車両１１０の構成、過去の車両１１０の構成）から上記第１の構成とは異なる第２の構成（例えば、今回の起動時の車両１１０の構成、現在の車両１１０の構成）に変更されているか否かを判定し、上記第１の構成から上記第２の構成に変更されていると判定した場合、上記第２の構成に対応する攻撃情報を上記攻撃対策装置から取得して上記攻撃情報記憶部に記憶する攻撃管理部（例えば、初期設定部２２２および攻撃管理部２２３）を備える。
上記構成では、車両の機器の構成が変更された場合に、変更された構成に対応する攻撃情報が攻撃対策装置から取得されて攻撃情報記憶部に記憶されるので、例えば、ログ管理部は、車両の機器の構成に応じたログ情報を抽出できる。

【0127】

上記車載セキュリティ装置と、上記攻撃対策装置と、を含む車両セキュリティシステム（例えば、車両セキュリティシステム１００）において、上記車載セキュリティ装置が、上記機器についてのログ情報と上記攻撃情報記憶部に記憶されている攻撃情報とから上記機器に対する攻撃を検知したことに基づいて、上記攻撃への対策内容を含む対策情報を上記攻撃対策装置に要求するための攻撃検知情報（例えば、攻撃検知情報４５０）を、上記攻撃対策装置に送信する攻撃検知部（例えば、攻撃検知部２２４、ＣＰＵ２２０、回路、車載セキュリティ装置１１１と通信可能なコンピュータ）と、上記攻撃対策装置から送信される、上記攻撃検知部により攻撃が検知された機器への対策内容を含む対策情報を受信し、受信した対策情報に基づいて、上記機器への対策を実施する対策処理部（例えば、対策処理部２２５、ＣＰＵ２２０、回路、車載セキュリティ装置１１１と通信可能なコンピュータ）と、を備え、上記攻撃対策装置は、既知の複数の攻撃の各々について対策情報を記憶する対策情報記憶部（例えば、対策情報記憶部５４０、攻撃対策装置１３０と通信可能なコンピュータ）と、上記攻撃検知部により送信された攻撃検知情報に基づいて、上記攻撃検知部により検知された攻撃に対応する対策情報を上記対策情報記憶部に記憶されている対策情報から取得し、取得した対策情報を上記対策処理部に送信する対策管理部（例えば、対策管理部３４３、ＣＰＵ３４０、回路、攻撃対策装置１３０と通信可能なコンピュータ）と、を備える。
上記構成では、車両の機器に対する攻撃が検知されたとき、当該攻撃への対策内容を含む対策情報が攻撃対策装置から取得されて、当該攻撃が検知された機器への対策が実施されるので、例えば、車両のセキュリティを確保することができる。

【0128】

上記攻撃検知部により検知された攻撃に対応する対策情報が上記対策情報記憶部に記憶されている対策情報に含まれていない場合、上記対策管理部は、上記攻撃の攻撃段階が最後の攻撃段階であるときは、上記車両を停止する対策情報を上記対策処理部に送信し（例えば、Ｓ１７０８参照）、上記攻撃の攻撃段階が最後の攻撃段階でないときは、上記攻撃への対策を実施しないことを示す対策情報を上記対策処理部に送信する（例えば、Ｓ１７０９、Ｓ１７１０）。
上記構成では、検知された攻撃に対応する対策情報がない場合、攻撃の攻撃段階が最後の攻撃段階であるか否かによって対策を異ならせることで、車両のセキュリティを確保しつつ、ユーザの利便性の低下を抑制することができる。

【0129】

「Ａ、Ｂ、およびＣのうちの少なくとも１つ」という形式におけるリストに含まれる項目は、（Ａ）、（Ｂ）、（Ｃ）、（ＡおよびＢ）、（ＡおよびＣ）、（ＢおよびＣ）または（Ａ、Ｂ、およびＣ）を意味することができると理解されたい。同様に、「Ａ、Ｂ、またはＣのうちの少なくとも１つ」の形式においてリストされた項目は、（Ａ）、（Ｂ）、（Ｃ）、（ＡおよびＢ）、（ＡおよびＣ）、（ＢおよびＣ）または（Ａ、Ｂ、およびＣ）を意味することができる。

【符号の説明】

【0130】

１００……車両セキュリティシステム、１１０……車両、１１１……車載セキュリティ装置、１３０……攻撃対策装置。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6A】

【図6B】

【図6C】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】