▶ パナソニックオートモーティブシステムズ株式会社の特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B1)
(11)【特許番号】
(24)【登録日】2024-09-04
(45)【発行日】2024-09-12
(54)【発明の名称】監視装置、監視方法、及び、プログラム
(51)【国際特許分類】
G06F 21/55 20130101AFI20240905BHJP
G06F 21/57 20130101ALI20240905BHJP
B60R 16/02 20060101ALI20240905BHJP
【ＦＩ】
G06F21/55
G06F21/57 320
B60R16/02 660U
【請求項の数】
14
(21)【出願番号】P 2023131554
(22)【出願日】2023-08-10
【審査請求日】2023-12-19
【早期審査対象出願】
(73)【特許権者】
【識別番号】322003857
【氏名又は名称】パナソニックオートモーティブシステムズ株式会社
(74)【代理人】
【識別番号】100109210
【弁理士】
【氏名又は名称】新居 広守
(74)【代理人】
【識別番号】100137235
【弁理士】
【氏名又は名称】寺谷 英作
(74)【代理人】
【識別番号】100131417
【弁理士】
【氏名又は名称】道坂 伸一
(72)【発明者】
【氏名】平野 亮
(72)【発明者】
【氏名】今本 吉治
(72)【発明者】
【氏名】安齋 潤
【審査官】田名網 忠雄
(56)【参考文献】
【文献】特開２０１８－０６２３２０（ＪＰ，Ａ）
【文献】特開２０２２－０４８０１９（ＪＰ，Ａ）
【文献】特開２０１２－２１２３９１（ＪＰ，Ａ）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ２１／５５
Ｇ０６Ｆ ２１／５７
Ｇ０６Ｆ ９／４５５
Ｂ６０Ｒ １６／０２
(57)【特許請求の範囲】
【請求項1】
車両に備えられる車載システムに搭載される監視装置であって、前記車載システムのセキュリティ異常を検知する監視部と、
前記監視部が前記セキュリティ異常を検知した場合、第１の動作モードから、前記第１の動作モードとは異なる第２の動作モードへ切り替える緊急システム制御装置と、
前記第２の動作モードに切り替わった後に、前記車載システムの前記セキュリティ異常を解消するためのソフトウェアの更新が完了したことを契機に、前記第２の動作モードから前記第１の動作モードに切り替える正常システム制御装置とを備え、
前記緊急システム制御装置は、前記第１の動作モードに含まれる機能のセキュリティ状態と、前記第２の動作モードに含まれる機能のセキュリティ状態とを確認し、前記第１の動作モードと前記第２の動作モードとに共通して含まれる機能に前記セキュリティ異常が発生している場合、前記第１の動作モードから前記第２の動作モードへは切り替えできないと判断する、
監視装置。
【請求項2】
前記第２の動作モードは、前記第１の動作モードに含まれる機能の少なくとも一部を含まず、
前記ソフトウェアの更新機能を含む動作モードである、
請求項１に記載の監視装置。
【請求項3】
前記第２の動作モードは、前記車載システムの外部から更新用の前記ソフトウェアを受信するための外部通信機能、診断通信機能、メディア通信機能のうち少なくとも１つと、
前記ソフトウェアの更新機能と、
受信した前記ソフトウェアを検証するための署名検証機能とを含む動作モードである、
請求項１に記載の監視装置。
【請求項4】
前記緊急システム制御装置は、前記第２の動作モードに切り替わることにより前記第１の動作モードが停止した時の前記車両の安全状態に関する条件、前記車両のユーザによる切り替えに対する同意の取得状態に関する条件、及び、前記第２の動作モードに含まれる機能のセキュリティ状態に関する条件のうち、少なくとも１つの条件により前記第１の動作モードから前記第２の動作モードへの切り替えの可否を判断する、請求項１に記載の監視装置。
【請求項5】
車両に備えられる車載システムに搭載される監視装置であって、
前記車載システムのセキュリティ異常を検知する監視部と、
前記監視部が前記セキュリティ異常を検知した場合、第１の動作モードから、前記第１の動作モードとは異なる第２の動作モードへ切り替える緊急システム制御装置と、
前記第２の動作モードに切り替わった後に、前記車載システムの前記セキュリティ異常を解消するためのソフトウェアの更新が完了したことを契機に、前記第２の動作モードから前記第１の動作モードに切り替える正常システム制御装置とを備え、
前記緊急システム制御装置は、前記第１の動作モードに含まれる機能のセキュリティ状態と、前記第２の動作モードに含まれる機能のセキュリティ状態とを確認し、前記第１の動作モードのみに含まれる機能の前記セキュリティ異常が検出された後に前記第２の動作モードに含まれる機能の前記セキュリティ異常が検出された場合、第１の動作モードから第２の動作モードへ切り替えできると判断する、
監視装置。
【請求項6】
前記ソフトウェアの更新機能では、前記第２の動作モードに切り替わることにより前記第１の動作モードが停止した時の前記車両の安全状態に関する条件、前記車両のユーザによる切り替えに対する同意の取得状態に関する条件、前記第２の動作モードに含まれる機能のセキュリティ状態に関する条件、前記ソフトウェアの更新に必要なシステムのセキュリティ状態に関する条件、前記ソフトウェアの更新に必要なシステムの前記第２の動作モードへの切り替え状況に関する条件のうち、少なくとも１つの条件により前記ソフトウェアの更新可否を判断する、請求項１に記載の監視装置。
【請求項7】
前記正常システム制御装置は、前記ソフトウェアの更新の実行結果に関する条件、前記第１の動作モードに切り替わることにより前記第２の動作モードが停止した時の前記車両の安全状態に関する条件、前記車両のユーザによる切り替えに対する同意の取得状態に関する条件のうち、少なくとも１つの条件により第１のモードに切り替えができるかどうか判断する、請求項１に記載の監視装置。
【請求項8】
前記緊急システム制御装置は、（ａ）前記第１の動作モード用の電子制御装置と前記第２の動作モード用の電子制御装置とを用いて実施する、（ｂ）前記第１の動作モード用の仮想マシンと前記第２の動作モード用の仮想マシンとを用いて実施する、（ｃ）前記第１の動作モード用のコンテナと前記第２の動作モード用のコンテナとを用いて実施する、（ｄ）前記第１の動作モード用のアプリケーション及びサービスと前記第２の動作モード用のアプリケーション及びサービスとを用いて実施する、ならびに、（ｅ）前記第１の動作モード用のセキュリティ設定と前記第２の動作モード用のセキュリティ設定とのうち少なくとも１つの手段で前記第１の動作モード及び前記第２の動作モードを択一的に実施する、請求項１に記載の監視装置。
【請求項9】
前記車載システムは、電子制御装置と接続され、
前記電子制御装置のセキュリティ状態又は第２の動作モードへの切り替え状態に応じて、動作モードを切り替える、又は、前記ソフトウェアを更新する、
請求項１に記載の監視装置。
【請求項10】
前記車載システムは、外部サーバー又は電子制御装置と接続され、
前記外部サーバー又は電子制御装置から受信した前記第１の動作モードへの切り替え要求又は前記第２の動作モードへの切り替え要求に応じて、動作モードを切り替える、
請求項１に記載の監視装置。
【請求項11】
前記車載システムは、外部サーバー又は電子制御装置と接続され、
前記外部サーバー又は電子制御装置へ前記第１の動作モードへの切り替え要求又は前記第２の動作モードへの切り替え要求を送信する、
請求項１に記載の監視装置。
【請求項12】
前記車載システムは、表示部を備え、前記表示部は、動作モードを前記第２の動作モードに切り替えた場合に、前記第２の動作モードが稼働中であることを表示する、
請求項１～１１のいずれか１項に記載の監視装置。
【請求項13】
車載システムに搭載される監視装置によって実行される監視方法であって、前記車載システムのセキュリティ異常を検知するステップと、
前記セキュリティ異常を検知した場合、第１の動作モードから、前記第１の動作モードとは異なる第２の動作モードへ切り替えるステップと、
前記第２の動作モードに切り替わった後に、前記車載システムのソフトウェアの更新が完了したことを契機に、前記第２の動作モードから前記第１の動作モードに切り替えるステップと、
前記第２の動作モードへ切り替えるステップでは、前記第１の動作モードに含まれる機能のセキュリティ状態と、前記第２の動作モードに含まれる機能のセキュリティ状態とを確認し、前記第１の動作モードと前記第２の動作モードとに共通して含まれる機能に前記セキュリティ異常が発生している場合、前記第１の動作モードから前記第２の動作モードへは切り替えできないと判断する、
監視方法。
【請求項14】
請求項１３に記載の監視方法をコンピュータに実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、監視装置、監視方法、及び、プログラムに関する。
【背景技術】
【0002】
近年の車両では、外部との情報の送受信が可能となっており、例えば、このような情報の送受信によって、情報端末を用いて車両の施開錠及びエンジン始動をすることが可能になるデジタルキーシステムも開発されている。車両との情報の送受信が可能になったことから、車両に対するサイバー攻撃が行われることも増えている。これに対して、車載ネットワークのインシデントレベルに応じて縮退処理を実行し、セキュリティレベルに応じて縮退状態からの復旧方法を選択するというサイバー攻撃への対策に関する技術が知られている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【0003】
【文献】特開２０２０－１４１３１８号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
一方で、上記のような、車載ネットワークにおいて縮退処理を実行したり縮退状態からの復旧方法を選択したりするのみでは、サイバー攻撃への対策として十分でなかった。
【0005】
上記に鑑みて、本開示は、車両によるより適切なサイバー攻撃への対策が実現可能な監視装置等を提供することを目的とする。
【課題を解決するための手段】
【0006】
本開示の一態様に係る監視装置は、車両に備えられる車載システムに搭載される監視装置であって、前記車載システムのセキュリティ異常を検知する監視部と、前記監視部が前記セキュリティ異常を検知した場合、第１の動作モードから、前記第１の動作モードとは異なる第２の動作モードへ切り替える緊急システム制御装置と、前記第２の動作モードに切り替わった後に、前記車載システムの前記セキュリティ異常を解消するためのソフトウェアの更新が完了したことを契機に、前記第２の動作モードから前記第１の動作モードに切り替える正常システム制御装置とを備える。
【0007】
また、本開示の一態様に係る監視方法は、車載システムに搭載される監視装置によって実行される監視方法であって、前記車載システムのセキュリティ異常を検知するステップと、前記セキュリティ異常を検知した場合、第１の動作モードから、前記第１の動作モードとは異なる第２の動作モードへ切り替えるステップと、前記第２の動作モードに切り替わった後に、前記車載システムのソフトウェアの更新が完了したことを契機に、前記第２の動作モードから前記第１の動作モードに切り替えるステップとを含む。
【0008】
また、本開示の一態様は、上記に記載の情報処理方法をコンピュータに実行させるためのプログラムとして実現することもできる。
【0009】
なお、これらの包括的又は具体的な態様は、システム、装置、方法、集積回路、コンピュータプログラム、又は、コンピュータ読み取り可能なＣＤ－ＲＯＭなどの非一時的な記録媒体で実現されてもよく、システム、装置、方法、集積回路、コンピュータプログラム、及び、記録媒体の任意な組み合わせで実現されてもよい。
【発明の効果】
【0010】
本開示によれば、車両によるより適切なサイバー攻撃への対策が実現可能となる。
【図面の簡単な説明】
【0011】
【発明を実施するための形態】
【0012】
（開示の基礎となった知見）
背景技術の欄において説明したように、近年、車両がインターネット等の通信網に接続可能になることで、車両と外部とで情報の送受信が可能になっている。そして、多くの人が高度な情報処理を実行できるスマートフォン及びタブレット端末等の情報端末を所有しており、このような情報端末を用いて、車両の操作をする等の目的で、情報端末から車両にアクセスして情報を送受信することが増えている。一方で、このような情報の送受信には、悪意のある情報の送受信も含まれ、そのために車両に対してサイバー攻撃を試みる者もある。
背景技術の欄において説明したように、近年、車両がインターネット等の通信網に接続可能になることで、車両と外部とで情報の送受信が可能になっている。そして、多くの人が高度な情報処理を実行できるスマートフォン及びタブレット端末等の情報端末を所有しており、このような情報端末を用いて、車両の操作をする等の目的で、情報端末から車両にアクセスして情報を送受信することが増えている。一方で、このような情報の送受信には、悪意のある情報の送受信も含まれ、そのために車両に対してサイバー攻撃を試みる者もある。
【0013】
サイバー攻撃下では、緊急用の車載システムの稼働が保証されないため安全性の保証ができないことがある。具体的には、緊急通信、診断、ＯＴＡ／リプログラミング等が稼働しないことによって車両の危殆化を通知できない、車両の危殆化を把握できない、車両の危殆化から復旧できないという問題が生じる。このように、車載システムに侵入した攻撃者によって、ソフトウェア（以下単にＳＷと記載する場合がある）の更新機能が停止され、危殆化状態から容易には復旧できない場合がある。
【0014】
以上をまとめると、サイバー攻撃などによる車両の異常が検知されてからＯＴＡなどでのＳＷの更新が実施され復旧が可能になるまでの期間において、車両安全性を確保することが求められている。そのため、サイバー攻撃を受けたとしても、暫定的に車両の動作を持ちこたえさせる技術が必要となる。
【0015】
そこで、本願開示では、車両において、第１のモードである正常システムを稼働させて、通常時の車両の動作を実現しつつ、サイバー攻撃等のセキュリティ異常が検知されると、第２のモードである緊急システムを稼働させて、緊急システムが稼働しているときにＳＷの更新を行い、そのようなＳＷの更新が行われたことを条件として再び正常システムの稼働に移行させる。つまり、本願開示では、正常システム及び緊急システムを切り替えて稼動させながら、サイバー攻撃が発生してもＳＷの更新（暫定的な車両の動作）を行い、再び正常システムでの稼働につなげる（車両の危殆化から復旧）ことを行う。
【0016】
より具体的には、本開示の第１態様に係る監視装置は、車両に備えられる車載システムに搭載される監視装置であって、車載システムのセキュリティ異常を検知する監視部と、監視部がセキュリティ異常を検知した場合、第１の動作モードから、第１の動作モードとは異なる第２の動作モードへ切り替える緊急システム制御装置（異常システム制御部）と、第２の動作モードに切り替わった後に、車載システムのセキュリティ異常を解消するためのＳＷの更新が完了したことを契機に、第２の動作モードから第１の動作モードに切り替える正常システム制御装置（正常システム制御部）とを備える。
【0017】
このような監視装置によれば、セキュリティ異常の発生時に、第２の動作モードに切り替えることで、第２の動作モードに含まれない機能の脆弱性をついた攻撃の影響を低減させるとともに、脆弱性を修正させうるＳＷの更新を受け付けて、これを行うことができた場合に、再び、第１の動作モードに移行できる。その結果、車両の安全性を向上できるため、車両によるより適切なサイバー攻撃への対策が実現できる。
【0018】
また、例えば、本開示の第２態様に係る監視装置は、第１態様に係る監視装置であって、第２の動作モードは、第１の動作モードに含まれる機能の少なくとも一部を含まず、ＳＷの更新機能を含む動作モードである。
【0019】
これによれば、セキュリティ異常の発生時にＳＷの更新を受け付けることが可能な第２の動作モードに切り替えることで、第１の動作モードに含まれていながら第２の動作モードには含まれない機能の脆弱性をついた攻撃を抑制するとともに、そのような脆弱性が修正されたＳＷの更新を受け付けることができるため、車両の安全性を向上できる。
【0020】
また、例えば、本開示の第３態様に係る監視装置は、第１又は第２態様に係る監視装置であって、第２の動作モードは、車載システムの外部から更新用のＳＷを受信するための外部通信機能、診断通信機能、メディア通信機能のうち少なくとも１つと、ＳＷの更新機能と、受信したＳＷを検証するための署名検証機能とを含む動作モードである。
【0021】
これによれば、ＳＷの更新の経路を１以上有することで、当該経路を用いて更新用のＳＷを取得することができる。また、ＳＷの更新の経路が２以上有れば、１つの経路が異常であっても、他の経路で更新用のＳＷを取得できる。
【0022】
また、例えば、本開示の第４態様に係る監視装置は、第１～第３態様のいずれか１態様に係る監視装置であって、緊急システム制御装置は、第２の動作モードに切り替わることにより第１の動作モードが停止した時の車両の安全状態に関する条件、車両のユーザによる切り替えに対する同意の取得状態に関する条件、及び、第２の動作モードに含まれる機能のセキュリティ状態に関する条件のうち、少なくとも１つの条件により第１の動作モードから第２の動作モードへの切り替えの可否を判断する。
【0023】
これによれば、車両が安全でない場合や、ユーザの同意が取得できない場合や、第２の動作モードの機能が異常な場合など、第２の動作モードに切り替えることが適切でない場合であるか否かを切り替え前に確認することで安全に第２の動作モードに切り替えることができる。
【0024】
また、例えば、本開示の第５態様に係る監視装置は、第１～第４態様のいずれか１態様に係る監視装置であって、緊急システム制御装置は、第１の動作モードに含まれる機能のセキュリティ状態と、第２の動作モードに含まれる機能のセキュリティ状態とを確認し、セキュリティ異常が検出された機能の組み合わせに基づいて、第１の動作モードから第２の動作モードへの切り替え可否を判断する。
【0025】
これによれば、第２の動作モードの一部の機能に異常が発生していない場合であっても、例えば、第１の動作モードと第２の動作モードとで同じ機能に異常が発生している場合に、これらの機能において共通に利用する共通領域に異常が発生していると判断し、そのような場合は第２の動作モードにも影響している可能性があり安全でないため第２の動作モードに切り替えないことができる。
【0026】
また、例えば、本開示の第６態様に係る監視装置は、第１～第５態様のいずれか１態様に係る監視装置であって、緊急システム制御装置は、第１の動作モードに含まれる機能のセキュリティ状態と、第２の動作モードに含まれる機能のセキュリティ状態とを確認し、セキュリティ異常が検出された順番に基づいて、第１の動作モードから第２の動作モードへの切り替え可否を判断する。
【0027】
これによれば、セキュリティ異常が検出された順番に基づいて、第１の動作モードの機能の異常が原因で第２の動作モードの機能に異常が発生していることが推定できる場合に、第２の動作モードにセキュリティ異常が検出されていても、第２の動作モード単独であればこのような影響が生じない可能性が高いため、第２の動作モードに切り替えることができる。
【0028】
また、例えば、本開示の第７態様に係る監視装置は、第１～第６態様のいずれか１態様に係る監視装置であって、ＳＷの更新機能では、第２の動作モードに切り替わることにより第１の動作モードが停止した時の車両の安全状態に関する条件、車両のユーザによる切り替えに対する同意の取得状態に関する条件、第２の動作モードに含まれる機能のセキュリティ状態に関する条件、ＳＷの更新に必要なシステムのセキュリティ状態に関する条件、ＳＷの更新に必要なシステムの第２の動作モードへの切り替え状況に関する条件のうち、少なくとも１つの条件によりＳＷの更新可否を判断する。
【0029】
これによれば、車両が安全でない場合や、ユーザの同意が取得できない場合や、第２の動作モードの機能が異常な場合や、ＳＷ更新システムが異常でありＳＷの更新によって不正なＳＷが導入されてしまう可能性がある場合など、ＳＷの更新が適切でない場合であるか否かを更新前に確認することで安全にＳＷの更新を行うことができる。
【0030】
また、例えば、本開示の第８態様に係る監視装置は、第１～第７態様のいずれか１態様に係る監視装置であって、正常システム制御装置は、ＳＷの更新の実行結果に関する条件、第１の動作モードに切り替わることにより第２の動作モードが停止した時の車両の安全状態に関する条件、車両のユーザによる切り替えに対する同意の取得状態に関する条件のうち、少なくとも１つの条件により判断する。
【0031】
これによれば、ＳＷの更新に失敗した場合や、車両が安全でない場合や、ユーザの同意が取得できない場合など、第１の動作モードに切り替えることが適切でない場合であるか否かを切り替え前に確認することで安全に第１の動作モードに切り替えることができる。
【0032】
また、例えば、本開示の第９態様に係る監視装置は、第１～第８態様のいずれか１態様に係る監視装置であって、緊急システム制御装置は、（ａ）第１の動作モード用の電子制御装置と第２の動作モード用の電子制御装置とを用いて実施する、（ｂ）第１の動作モード用の仮想マシンと第２の動作モード用の仮想マシンとを用いて実施する、（ｃ）第１の動作モード用のコンテナと第２の動作モード用のコンテナとを用いて実施する、（ｄ）第１の動作モード用のアプリケーション及びサービスと第２の動作モード用のアプリケーション及びサービスとを用いて実施する、ならびに、（ｅ）第１の動作モード用のセキュリティ設定と第２の動作モード用のセキュリティ設定とのうち少なくとも１つの手段で第１の動作モード及び第２の動作モードを択一的に実施する。
【0033】
これによれば、ホットスタンバイやコールドスタンバイで準備された冗長構成を用いることで、第２の動作モードへの切り替えができる。あるいは、アクセスコントロールやファイアウォールなどのセキュリティ設定を変更することで、冗長構成を用いずにＳＷの更新に限定するなどした動作モードを実現することができる。
【0034】
また、例えば、本開示の第１０態様に係る監視装置は、第１～第９態様のいずれか１態様に係る監視装置であって、車載システムは、電子制御装置と接続され、電子制御装置のセキュリティ状態又は第２の動作モードへの切り替え状態に応じて、動作モードを切り替える、又は、ＳＷを更新する。
【0035】
これによれば、電子制御装置としてのゲートウェイＥＣＵなどに異常が発生していない場合や、当該ゲートウェイＥＣＵが第２の動作モードに切り替わっている場合に、このようなゲートウェイＥＣＵの状態から安全に第１の動作モード及び第２の動作モードの一方から他方への切り替え、ならびに、ＳＷの更新の適否を判断して、適切な場合にのみこれらを実行することができる。
【0036】
また、例えば、本開示の第１１態様に係る監視装置は、第１～第１０態様のいずれか１態様に係る監視装置であって、車載システムは、外部サーバー又は電子制御装置と接続され、外部サーバー又は電子制御装置から受信した第１の動作モードへの切り替え要求又は第２の動作モードへの切り替え要求に応じて、動作モードを切り替える。
【0037】
これによれば、外部サーバー又は電子制御装置である、統合ＥＣＵ以外の装置でセキュリティ異常が発生した場合に、当該装置からの要求により第２の動作モードに切り替えることで当該装置から統合ＥＣＵへの攻撃の波及を抑制することができ、安全にＳＷの更新ができる。また、当該装置でセキュリティ異常が解消された場合に、当該装置からの要求により正常システムに切り替えることができる。また、外部サーバーから動作モードの切り替え要求を受信して切り替えすることで、他の車両で発生したセキュリティ異常や、市場で発生したセキュリティ異常を元に、統合ＥＣＵに異常が発生する前に第２の動作モードに切り替えできる。
【0038】
また、例えば、本開示の第１２態様に係る監視装置は、第１～第１１態様のいずれか１態様に係る監視装置であって、車載システムは、外部サーバー又は電子制御装置と接続され、外部サーバー又は電子制御装置へ第１の動作モードへの切り替え要求又は第２の動作モードへの切り替え要求を送信する。
【0039】
これによれば、統合ＥＣＵでセキュリティ異常が発生した場合に、統合ＥＣＵ以外の外部サーバー又は電子制御装置を第２の動作モードに切り替えることで攻撃の波及を抑制することができ、安全にソフトウェアの更新ができる。また、統合ＥＣＵのセキュリティ異常が解消された場合に、統合ＥＣＵ以外の外部サーバー又は電子制御装置を第１の動作モードに切り替えることができる。また、外部サーバーへ第２の動作モードへの切り替え要求を通知することで、外部サーバーを介して同一のソフトウェアを利用する他の車両に対して同様に第２の動作モードへの切り替えを要求できる。
【0040】
また、例えば、本開示の第１３態様に係る監視装置は、第１～第１２態様のいずれか１態様に係る監視装置であって、車載システムは、表示部を備え、表示部は、動作モードを第２の動作モードに切り替えた場合に、第２の動作モードが稼働中であることを表示する。
【0041】
これによれば、搭乗者に第２の動作モードが稼働中であることを表示することで、第１の動作モードと第２の動作モードとの含まれる機能差分の機能制限が行われていること、及び、異常が発生していることを警告できる。これにより、ユーザが安全に路肩に停車したり、駐車場に駐車したり、ディーラーに持ち込むなどの対応を行うことができる。
【0042】
また、本開示の第１４態様に係る監視方法は、車載システムに搭載される監視装置によって実行される監視方法であって、車載システムのセキュリティ異常を検知するステップと、セキュリティ異常を検知した場合、第１の動作モードから、第１の動作モードとは異なる第２の動作モードへ切り替えるステップと、第２の動作モードに切り替わった後に、車載システムのソフトウェアの更新が完了したことを契機に、第２の動作モードから第１の動作モードに切り替えるステップとを含む。
【0043】
これによれば、上記に記載の監視装置と同様の効果を奏することができる。
【0044】
また、本開示の第１５態様に係るプログラムは、上記に記載の監視方法をコンピュータに実行させるためのプログラムである。
【0045】
これによれば、コンピュータを用いて上記に記載の監視装置と同様の効果を奏することができる。
【0046】
さらに、これらの包括的又は具体的な態様は、システム、装置、方法、集積回路、コンピュータプログラム、又は、コンピュータ読み取り可能なＣＤ－ＲＯＭなどの非一時的な記録媒体で実現されてもよく、システム、装置、方法、集積回路、コンピュータプログラム、及び、記録媒体の任意な組み合わせで実現されてもよい。
【0047】
以下、実施の形態について、図面を参照しながら具体的に説明する。なお、以下で説明する実施の形態は、いずれも包括的又は具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、独立請求項に記載されていない構成要素については、任意の構成要素として説明される。なお、各図は模式図であり、必ずしも厳密に図示されたものではない。また、各図において、実質的に同一の構成に対しては同一の符号を付し、重複する説明は省略又は簡略化される場合がある。
【0048】
また、以下の説明において、第１及び第２等の序数が要素に付けられている場合がある。これらの序数は、要素同士を互いから識別するために要素に付けられており、意味のある順序に必ずしも対応しない。これらの序数は、適宜、入れ替えられてもよいし、新たに付与されてもよいし、取り除かれてもよい。
【0049】
（実施の形態）
［構成］
はじめに、実施の形態に係る監視システムの全体の構成を示す概略図である。監視システムは、監視装置が搭載された車両９００と、各種のサーバーとを含む。図中に示すように、本実施の形態では、監視装置を機能的に実装している車載システム１００が、車両９００に搭載されている。車両９００は、インターネット等のネットワーク１５０を介してＯＴＡサーバー２００及び監視サーバー３００に接続されている。車載システム１００は、監視装置の機能の他に、車両９００の運転に関する機能や運転支援に関する機能、自動運転に関する機能などを実現する、複数の情報処理装置によって構成されている。
［構成］
はじめに、実施の形態に係る監視システムの全体の構成を示す概略図である。監視システムは、監視装置が搭載された車両９００と、各種のサーバーとを含む。図中に示すように、本実施の形態では、監視装置を機能的に実装している車載システム１００が、車両９００に搭載されている。車両９００は、インターネット等のネットワーク１５０を介してＯＴＡサーバー２００及び監視サーバー３００に接続されている。車載システム１００は、監視装置の機能の他に、車両９００の運転に関する機能や運転支援に関する機能、自動運転に関する機能などを実現する、複数の情報処理装置によって構成されている。
【0050】
ＯＴＡサーバー２００は、車載システム１００上で実行されるＳＷの更新に必要なパッケージを、当該車載システム１００へと配布するサーバー装置である。
【0051】
監視サーバー３００は、車両９００からセキュリティ異常のログを収集するサーバー装置である。監視サーバー３００は、複数の車両９００を管理するセキュリティ監視センターなどで利用される。セキュリティ監視センターとは、セキュリティ異常を把握して、このような異常への暫定対応、及び、恒久対応について取り組む組織によって運営されている。なお、監視サーバー３００が、後述する緊急システムへの切り替えを指示してもよい。このようにすることで、脆弱性が含まれていたり、異常が検出されたりした車両９００とは別の車両９００において、同じＳＷを有する場合に、異常が検出される前に緊急モードに切り替えるよう指示をすることができる。
【0052】
図２は、実施の形態に係る車載システムの構成を示す概略図である。図２では、車載システム１００を実現するハードウェアとしての複数のＥＣＵが示されている。ゲートウェイＥＣＵ９１は、ネットワーク１５０などの外部ネットワーク通信や車内ネットワーク通信のルーティング及びフィルタリングなどのゲートウェイ機能を有する。
【0053】
統合ＥＣＵ９９は、メーター、インフォテインメントシステム、ヘッドアップディスプレイ、リアシートエンターテイメント、先進運転機能などの各種機能が統合されたＥＣＵである。ＥＣＵの統合は、部品点数、軽量化、ソフト更新の容易性の利点がある。統合ＥＣＵ９９は、ゲートウェイＥＣＵ９１の機能を備えてもよい。その場合、統合ＥＣＵ９９は、ネットワーク１５０に、無線ＬＡＮなどを介して直接的に接続可能であり、ゲートウェイＥＣＵ９１が備えられる必要はない。
【0054】
ＺｏｎｅＥＣＵ９３及び９４は、車両９００に設けられた複数のセンサーやアクチュエーターの制御に関するＥＣＵである。例えば、ＺｏｎｅＥＣＵ９３及び９４は、ステアリングＥＣＵ９５、ブレーキＥＣＵ９６、フロントカメラＥＣＵ９７、及び、リアカメラＥＣＵ９８に接続されている。ステアリングＥＣＵ９５、ブレーキＥＣＵ９６、フロントカメラＥＣＵ９７、及び、リアカメラＥＣＵ９８は、それぞれ、ステアリング、ブレーキ、フロントカメラ、及び、リアカメラを制御するＥＣＵである。なお、ＥＣＵ間の接続には、イーサネット（登録商標）及びＣＡＮが用いられるが、このような接続の方式に特に限定はない。
【0055】
図３は、実施の形態に係る監視装置の機能構成を示すブロック図である。図３では、統合ＥＣＵ９９のより詳細な構成について示している。本実施の形態では、統合ＥＣＵ９９は、正常システムの稼働に関する正常システム領域７０、緊急システムの稼働に関する緊急システム領域８０、及び、正常システムと緊急システムとの両方の稼働に関する共通領域５０を構成している。
【0056】
正常システム領域７０は、緊急システムに必要ではないアプリケーション及びサービス群（つまり、これらのアプリケーション及びサービス群によって実現される機能）を含む。正常システム領域７０には、アプリ部７１、及び、サービス部７２が含まれる。アプリ部７１は、メーター、インフォテインメントシステム、ヘッドアップディスプレイ、リアシートエンターテイメント、先進運転機能などを提供する（つまり、このような機能を実現するための）アプリケーションである。アプリ部７１は、外部通信を利用するサービスや第３者開発のアプリケーションを多く含み、脆弱性が含まれる可能性が高い構成でもある。サービス部７２は、アプリ部７１が必要とするシステムサービス群である。
【0057】
緊急システム領域８０は、緊急システムだけに必要なアプリケーションやサービス群（つまり、これらのアプリケーション及びサービス群によって実現される機能）を含む。緊急システム領域８０には、緊急通知機能や車両９００のユーザへの警告機能などを含んでもよい。また、緊急システム領域８０は、正常システム領域７０とは独立して構成されているため、正常システム領域７０を介して緊急システム領域８０に対して攻撃を仕掛けることが困難なようになっている。さらに、緊急システムは、正常システムに比べて実行されるＳＷのコードサイズや複雑性が低く、脆弱性が含まれる可能性が低い。
【0058】
緊急システム領域８０には、ＳＷ通信部８１、ＳＷ更新制御部８２、ＳＷ更新判断部８３、及び、署名検証部８４が含まれる。ＳＷ通信部８１は、以降に更新する予定のＳＷが含まれる更新パッケージをＯＴＡサーバー２００又はゲートウェイＥＣＵ９１から取得する。このような更新パッケージには電子署名が付与されている。署名検証部８４は、更新パッケージに含まれる電子署名が正規の署名であることを検証する。ＳＷ更新制御部８２は、更新パッケージにより、導入済のＳＷ、パッケージ内のＳＷで書き換え等することにより更新する。なお、ＳＷ更新制御部８２によるＳＷの更新は、上書き更新でもよいが、２面更新でもよい。また、ＳＷの更新は、セキュリティ異常を解消するための更新、すなわち、セキュリティ異常の解消を目的とした、手段としての更新であればよい。そのため、ＳＷの更新後に結果的にセキュリティ異常が解消されていない場合も含まれうる。あるいは、セキュリティ異常の解消までをも検証するために、ＳＷの更新後に結果としてセキュリティ異常が解消されたか否かを判定し、セキュリティ異常が解消されたことを以てＳＷの更新が完了したとしてもよい。ＳＷ更新判断部８３は、ＳＷを更新する条件を満たすか否かの判断に必要な情報を収集して収集した情報により、条件を満たすか否かを判断する。ＳＷ更新判断部８３の詳細については、後述する。なお、緊急システム（つまり緊急システム領域８０の各構成）はTrusted Execution Environmentのような信頼領域に配置されてもよい。これにより、緊急システムそのものをより信頼できる。
【0059】
共通領域５０は、正常システムと緊急システムとの両方に共通で必要なアプリケーションやサービス群（つまり、これらのアプリケーション及びサービス群によって実現される機能）を含む。言い換えると、正常システムの機能は、正常システム領域７０及び共通領域５０に含まれるアプリケーションやサービス群で決まり、緊急システムの機能は、緊急システム領域８０及び共通領域５０に含まれるアプリケーションやサービス群で決まる。
【0060】
共通領域５０には、監視部５１、緊急システム切り替え判断部５２、正常システム切り替え判断部５３、車両状態収集部５４、セキュリティ状態収集部５５、メディア通信部５６、車両構成保存部５７、緊急システム制御部５８、正常システム制御部５９、外部通信部６０、車内通信部６１、及び、診断通信部６２が含まれる。
【0061】
監視部５１は、車載システム状態を監視してセキュリティ異常を検出する。監視部５１の詳細は後述する。なお、監視部５１は、Trusted Execution Environmentのような信頼領域に配置されてもよい。これにより、より信頼できる監視結果が得られる。
【0062】
車両構成保存部５７は、緊急システムの稼働に必要な構成要素を記憶する記憶装置である。車両構成保存部５７には、緊急システム切り替え方法及びＳＷ更新経路が記憶される。なお、緊急システムの構成要素と緊急システム切り替え方法の詳細についても後述する。ＳＷ更新経路としては、統合ＥＣＵ９９以外のＳＷ更新経路が記憶される。例えば、ゲートウェイＥＣＵ９１がＯＴＡサーバー２００から更新パッケージを取得して、統合ＥＣＵ９９に配布する場合、ＳＷ更新経路は、ＯＴＡサーバー２００、ゲートウェイＥＣＵ９１、統合ＥＣＵ９９の順である。さらに、ゲートウェイＥＣＵ９１にセキュリティ異常が発生している場合、ゲートウェイＥＣＵ９１から配布される更新パッケージが安全である保証がなくなってしまうため、ゲートウェイＥＣＵ９１のセキュリティ状態や緊急システムへの切り替え状況などを確認して安全である場合にのみＳＷを更新するために利用してもよい。
【0063】
緊急システム切り替え判断部５２は、緊急システムへの切り替えをする条件を満たすか否かの判断に必要な情報を収集して収集した情報により、条件を満たすか否かを判断する。緊急システム切り替え判断部５２の詳細については、後述する。
【0064】
緊急システム制御部５８は、緊急システムへの切り替えを行う。緊急システムへの切り替え方法については後述する。
【0065】
正常システム切り替え判断部５３は、正常システムの切り替えをする条件を満たすか否かの判断に必要な情報を収集して収集した情報により、条件を満たすか否かを判断する。正常システム切り替え判断部５３の詳細については、後述する。
【0066】
正常システム制御部５９は、正常システムへの切り替えを行う。正常システムへの切り替え方法については後述する。
【0067】
車両状態収集部５４は、車内通信部６１経由で、車両９００の速度又は充電状態を車両状態として収集し、速度が０ｋｍ／ｈ又は充電中であることを確認する。さらに、車両状態収集部５４は、ユーザ・ドライバが搭乗中であり、ステアリングを握っていることを確認する。
【0068】
セキュリティ状態収集部５５は、監視部５１が検出したセキュリティ異常のログを収集する。さらに、ゲートウェイＥＣＵ９１など統合ＥＣＵ９９以外のＥＣＵのセキュリティ異常も収集してもよい。
【0069】
外部通信部６０は、車外のサーバーやシステムと接続して、ＳＷの更新パッケージの取得や、監視サーバー３００への異常の通知や、緊急システムへの切り替え指示などの通信を行う。
【0070】
車内通信部６１は、車内のＥＣＵと接続して、ＳＷの更新パッケージの取得や、監視サーバー３００への異常の通知や、緊急システムへの切り替え指示などの通信を行う。ＳＷの更新パッケージの取得や、監視サーバー３００への異常の通知や、緊急システムへの切り替え指示などはゲートウェイＥＣＵを介して実施される場合は車内通信部６１にてこれらの通信が実施される。
【0071】
メディア通信部５６は、カード状又はスティック状の半導体メモリなどの外部接続メディアと接続された場合にこれらの外部接続メディアから情報の読み出し、及び、書き込みなどの通信を行う。メディア通信部５６を介した通信によるＳＷの更新が可能である。
【0072】
診断通信部６２は、ＯＢＤ２などイーサネット経由での診断セッションや通信内容を管理する。診断通信部６２を介して診断コマンドによるＳＷの更新が可能である。
【0073】
図４Ａは、実施の形態に係る監視装置の処理の概略を説明するための図である。図４Ｂは、実施の形態に係る監視装置の処理の概略を説明するための図である。図４Ｃは、実施の形態に係る監視装置の処理の概略を説明するための図である。
【0074】
図４Ａでは、監視装置の処理の１つである「緊急システムへの切り替え判断」の概略を示している。図４Ａに示すように、緊急システムへの切り替え判断においては、セキュリティ状態収集部５５によって収集されたセキュリティ状態と、車両状態とを用いて、切り替え方法の定義及び緊急システムへの切り替え条件を参照して、緊急システムへの切り替えをすべきか否かを判定する。その結果、判定結果として緊急システムへの切り替えをすべきか否かを示す「切り替えＯＫ／ＮＧ」の情報と、切り替えの際の「切り替え方法」とが出力される。
【0075】
図４Ｂでは、監視装置の処理の１つである「ＳＷの更新判断」の概略を示している。図４Ｂに示すように、ＳＷの更新判断においては、セキュリティ状態収集部５５によって収集されたセキュリティ状態と、車両状態と、ＳＷ更新通知とを用いて、ＳＷ更新条件を参照して、ＳＷの更新をすべきか否かを判定する。その結果、判定結果としてＳＷの更新をすべきか否かを示す「ＳＷ更新ＯＫ／ＮＧの情報」が出力される。
【0076】
図４Ｃでは、監視装置の処理の１つである「正常システムへの切り替え判断」の概略を示している。図４Ｃに示すように、正常システムへの切り替え判断においては、ＳＷ更新ＯＫ／ＮＧの情報と、車両状態とを用いて、切り替え方法の定義及び正常システムへの切り替え条件を参照して、正常システムへの切り替えをすべきか否かを判定する。その結果、判定結果として正常システムへの切り替えをすべきか否かを示す「切り替えＯＫ／ＮＧ」の情報が出力される。
【0077】
図５は、実施の形態に係るセキュリティ異常の例を示す図である。統合ＥＣＵ９９の監視部５１が出力するセキュリティ異常は、セキュリティ状態収集部５５によって収集される。監視アルゴリズムは問わないが、異常モジュールや異常な範囲、異常検知時刻を特定できるような監視アルゴリズムが採用されるとよい。例えば、事前に設定されたリソースへのアクセスのみを許可するＳＥＬｉｎｕｘ（登録商標）のポリシーが適用されている場合、許可外のリソースにアクセスを試みた場合に強制アクセスコントロールの違反となり、違反を犯したアプリケーションに異常が発生していることがわかる。監視部５１は、該当アプリが異常であると判定し、異常のログを出力してセキュリティ状態収集部５５に収集させる。
【0078】
また、セキュアブートやランタイムのＳＷの完全性検証が失敗した場合、該当ＳＷや設定ファイルが改ざんされた可能性があり、検証対象のサービスに異常が発生していることが疑われるため、監視部５１は、該当サービスが異常であると判定し、異常のログを出力してセキュリティ状態収集部５５に収集させる。
【0079】
また、ネットワーク侵入検知システムなどで不正な外部通信や車内通信が検出された場合、不正な通信を送信した送信元と通信する外部通信部６０又は車内通信部６１に異常が発生していることが疑われるため、監視部５１は、外部通信部６０又は車内通信部６１が異常であると判定し、異常のログを出力してセキュリティ状態収集部５５に収集させる。
【0080】
また、メディア接続試行が何回も実施されたなど不正なメディア通信が検出された場合、メディア通信部５６に異常が発生していることが疑われるため、監視部５１は、メディア通信部５６が異常であると判定し、異常のログを出力してセキュリティ状態収集部５５に収集させる。
【0081】
また、診断セッションで利用されるセキュリティアクセスなど認証に失敗した場合、診断通信部６２に異常が発生していることが疑われるため、監視部５１は、診断通信部６２が異常であると判定し、異常のログを出力してセキュリティ状態収集部５５に収集させる。
【0082】
また、署名検証に失敗した場合、署名検証部８４に異常が発生していることが疑われるため、監視部５１は、署名検証部８４が異常であると判定し、異常のログを出力してセキュリティ状態収集部５５に収集させる。以上の例のようにして、監視部５１は、異常モジュールを特定する。
【0083】
また、例えば、正常システム領域７０の少なくとも１つのモジュールが異常である場合に正常システムを異常と判定し、緊急システム領域８０の少なくとも１つのモジュールが異常である場合に緊急システムを異常と判定する。以上の例のようにして、監視部５１は、異常である範囲を特定する。
【0084】
また、例えば、時刻１に正常システム領域７０に異常が発生し、その後、時刻２に緊急システム領域８０に異常が発生した場合、監視部５１は、異常の発生順序を特定できる。
【0085】
また、統合ＥＣＵ９９以外の他のＥＣＵについてのセキュリティ異常を監視部５１が出力して、セキュリティ状態収集部５５によって収集してもよい。
【0086】
他のＥＣＵに搭載される監視部が出力するセキュリティ異常を車内通信部６１経由で受信してもよい。この場合、他のＥＣＵにも、統合ＥＣＵ９９に搭載される監視部５１と同様の構成が搭載される。また、リモートアテステーション機能等によって、統合ＥＣＵ９９から他のＥＣＵの構成やセキュリティ状態を受信してもよい。この場合、他のＥＣＵには、リモートアテステーション機能への応答機能が搭載される。
【0087】
図６は、実施の形態に係る緊急システムの実行に要求される構成の例を示す図である。図６では、車両構成保存部５７に記憶される緊急システムの構成要素の一例が示されている。例えば、図中の「アプリ部」は、緊急システムに不要であり、条件不問であることが示されている。また、図中の「ＳＷ更新制御部」は、緊急システムに必要であり、条件不問であることが示されている。また、図中の「外部通信部」は、緊急システムに必要であるが、外部通信部が正常な場合に限って必要である、との条件が示されている。「外部通信部」に異常が発生している場合に、異常な「外部通信部」を含めずに緊急システムを稼働させることができるため安全である。
【0088】
ここで、緊急システムの構成要素は、１パターンに決定されるが、２以上のパターンであってもよい。例えば、「アプリ部」のみを不要とする「第１の緊急システム」と、「アプリ部」と「サービス部」とを不要とする「第２の緊急システム」など緊急システムを複数パターン設けて、段階をつけるようにしてもよい。これにより、正常システムから緊急システムへの切り替えを行うことによる機能的な影響を小さくできる。
【0089】
図７は、実施の形態に係る緊急システムへの切り替え方法の例を示す図である。図７では、車両構成保存部５７に記憶される緊急システムの切り替え方法の一例として、セキュリティ異常が発生した場合の緊急システムへの切り替え方法が記載されている。
【0090】
緊急システムへの切り替え方法は静的に一つに決定されてもよく、複数の切り替え可能な方法を備えてもよい。採用の列は、緊急システム制御部５８が、どの切り替え方法であるかを判断するために利用できる。例えば、方法ＩＤ７と方法ＩＤ８との切り替え方法が、Ｙｅｓであり、切り替え方法として採用される。
【0091】
また、例えば、方法ＩＤ１の場合、図中に示されるようにＥＣＵ自体を冗長化して保持する。冗長化されたＥＣＵは、正常時から立ち上げられる。方法ＩＤ２の場合、図中に示されるようにＥＣＵを冗長化して保持するものの、方法ＩＤ１とは異なり、冗長化されたＥＣＵは、異常時に立ち上げられる。
【0092】
また、例えば、方法ＩＤ３の場合、図中に示されるように仮想マシンを冗長化して保持する。冗長化された仮想マシンは、正常時から立ち上げられる。方法ＩＤ４の場合、図中に示されるように仮想マシンを冗長化して保持するものの、方法ＩＤ３とは異なり、冗長化された仮想マシンは異常時に立ち上げられる。
【0093】
また、方法ＩＤ５の場合、図中に示されるようにコンテナを冗長化して保持する。冗長化されたコンテナは、正常時から立ち上げられる。方法ＩＤ６の場合、図中に示されるようにコンテナを冗長化して保持するものの、方法ＩＤ５とは異なり、冗長化されたコンテナは、異常時に立ち上げられる。
【0094】
一方、方法ＩＤ１～方法ＩＤ６の冗長化の例に対して、車載システムなどの組み込み機器の場合、計算リソースが限られており冗長化できない場合がある。この場合、方法ＩＤ７から方法ＩＤ１０の方法で緊急システムに切り替えることができる。
【0095】
例えば、方法ＩＤ７の場合、同一のシステムにおいて、正常システムが緊急システムの動作に影響与えないようにアクセス制御のポリシーを変更する。その際、必要であれば再起動する。これによって、正常システムの一部に脆弱性があり、乗っ取られた場合であっても緊急システムに必要なリソースを保護できる。
【0096】
また、例えば、方法ＩＤ８の場合、同一のシステムにおいて、正常システムが緊急システムの動作に影響与えないようにファイアウォールのポリシーを変更する。その際、必要であれば再起動する。これによって、正常システムの一部に脆弱性があり、乗っ取られた場合であっても緊急システムに必要な通信の妨害や改ざんを抑制することができる。例えば、外部通信はＯＴＡサーバー２００に限定し、それ以外の通信はブロックするなどのポリシーに変更するなどすればよい。
【0097】
また、例えば、方法ＩＤ９の場合、ハイパーバイザーの設定変更により、緊急システムに切り替える。例えば、緊急システムでは特定の仮想マシン間通信を利用しない場合、仮想マシン間通信を受け付けないなどで実施することができる。これによって、仮想マシン自体で対応することなくハイパーバイザーの設定のみで切り替えを実施することができる。
【0098】
また、例えば、方法ＩＤ１０の場合、同一のシステムにおいて、正常システムが緊急システムの動作に影響与えないように、正常システムのアプリケーション・サービスを停止する。その際、必要であれば再起動する。これによって、正常システムの一部に脆弱性がある場合であっても、脆弱性があるアプリやサービスを停止させることができる。
【0099】
また、正常システムへの切り替え方法は、緊急システムの切り替え方法の反対手順で処理を行えばよい。例えば、方法ＩＤ１に対応する正常システムへの切り替え方法の場合、緊急システムを動作させるＥＣＵ又はＳｏＣを冗長構成で動作させ、異常発生時に正常ＥＣＵ又はＳｏＣを停止又はアクセス不可に設定し、冗長ＥＣＵ又はＳｏＣに切り替えていた場合、緊急システムのＥＣＵ又はＳｏＣを停止又はアクセス不可に設定し、元の正常システムのＥＣＵ又はＳｏＣに切り替える。
【0100】
また、例えば、方法ＩＤ８に対応する正常システムへの切り替え方法の場合、緊急システムは正常システムと同居し、異常発生時に緊急システムのみがＯＴＡサーバー２００とのみ通信可能なファイアウォールポリシーを有効にする。また、緊急システムに切り替えていた場合、元の正常システムが通信可能なファイアウォールポリシーに変更する。
【0101】
図８は、実施の形態に係る緊急システムへの切り替え条件の例を示す図である。図８では、緊急システム切り替え条件として、監視部５１がセキュリティ異常を検知した場合に、緊急システムに切り替える際の条件が記載されている。
【0102】
緊急システム切り替え判断部５２は、緊急システムの切り替え条件判断に必要な情報を収集して、条件に従って判断する。ここでは、セキュリティ異常の発生が緊急システムの切り替え条件確認の起点であるとして説明するが、ゲートウェイＥＣＵ９１など他のＥＣＵのセキュリティ異常が発生した場合や、ゲートウェイＥＣＵ９１など他のＥＣＵや、監視サーバー３００からの要求を起点として緊急システムの切り替え条件確認を実施してもよい。
【0103】
図中において、採用の列が「必須」の場合はＡＮＤ条件であり、「任意」の場合はオプション条件であるが、これらは一例であり、少なくとも１つの条件に一致している場合に緊急システムに切り替えてもよい。
【0104】
条件ＩＤ１、条件ＩＤ２、及び、条件ＩＤ３の条件は、統合ＥＣＵ９９の監視部５１が出力するセキュリティ異常から判定できる。条件ＩＤ４、及び、条件ＩＤ５は車両状態収集部５４において収集された情報又はグラフィカルユーザーインターフェース等の外部入力を用いて取得された情報から判定できる。
【0105】
グラフィカルユーザーインターフェースは、本実施の形態の統合ＥＣＵ９９の構成図に含まれていないが、統合ＥＣＵ９９は、インフォテインメントシステムなどを備えることもあり、その場合はグラフィカルユーザーインターフェースやドライバとの干渉機能を有する。なお、条件確認方法は図中に記載された通りであるが、これに限らない。
【0106】
条件ＩＤ１を確認することで、ＳＷ更新制御部８２が異常でないことを検証できるため、緊急システムに切り替えたあと、安全にＳＷを更新できる。もしＳＷ更新制御部８２が異常である場合、攻撃者によって不正なＳＷに更新させられる可能性がある。
【0107】
条件ＩＤ２を確認することで、署名検証部８４が異常でないことを検証できるため、緊急システムに切り替えたあと、安全にＳＷを更新できる。もし署名検証部８４が異常である場合、攻撃者によって不正なＳＷに更新させられる可能性がある。
【0108】
条件ＩＤ３を確認することで、ＳＷが配信される通信経路に異常がないことを検証できるため、緊急システムに切り替えたあと、安全にＳＷを更新できる。もし通信経路に異常がある場合、攻撃者によって不正なＳＷに更新させられる可能性がある。また、条件ＩＤ３では、緊急システムの外部通信部６０、メディア通信部５６、診断通信部６２の３種類の異常をそれぞれ確認するため、いずれか一つが異常であった場合、異常でない他の２種類のモジュールをＳＷの更新に利用することで、緊急システムに切り替えたあと、安全にＳＷを更新できる。また、条件ＩＤ３では、緊急システムの外部通信部６０、メディア通信部５６、診断通信部６２の３種類の異常をそれぞれ確認し、すべてが異常であった場合、緊急システムに切り替えない。これにより、異常なモジュールを含む状態で安全でない可能性のあるＳＷの更新を止めることができる。
【0109】
条件ＩＤ４を確認することで、緊急システムに切り替えた場合の車両９００への影響を判断できる。例えば、高速走行中にメーターディスプレイ表示機能を停止すると危険であるため、車両９００が停止中であることを確認することで安全を担保できる。また、ドライバがステアリングを握っていない状態で、自動走行モード機能を停止すると危険であるため、ドライバがステアリングを握っていることを確認することで、安全を担保できる。
【0110】
条件ＩＤ５を確認することで、緊急システムに切り替えることに対してドライバから承諾を得ることができるため、ドライバが意図しない状況での緊急システムへの唐突な切り替えを防ぐことができる。なお、緊急システムに切り替えたことをドライバや監視サーバー３００に通知してもよく、他のＥＣＵに通知してもよい。これにより、車両９００が異常であることをドライバやセキュリティオペレーションセンターが認識できる。さらに、他のＥＣＵや監視サーバー３００に緊急システムに切り替えるように要求してもよい。これにより、他のＥＣＵや監視サーバー３００を介して他の車両９００を緊急システムに切り替えることで、より安全にＳＷを更新できる。
【0111】
なお、異常の発生の順番に基づいて、緊急システムへの切り替えを判断してもよい。時刻１に正常システム領域７０に異常が発生し、その後、時刻２に緊急システム領域８０に異常が発生した場合、異常の発生順序を特定できる。この場合、時刻１に発生した異常が原因となり、時刻２の異常が発生したと考えられる。つまり、正常システムを止めて、緊急システムだけを起動した場合には発生しない異常である可能性があるため、このような場合には、緊急システムの稼働を許可してもよい。
【0112】
また、異常の発生の組み合わせに基づいて、緊急システムへの切り替えを判断してもよい。正常システム領域７０に異常が発生し、共通領域５０に異常が発生している場合、共通領域５０は緊急システムでも利用するため、緊急システムの起動を禁止してもよい。
【0113】
また、セキュリティ異常に深刻度を定義し、深刻度をもとに緊急システムへの切り替えを判断してもよい。これにより、重大なセキュリティ異常が発生した場合にのみ緊急システムを起動できる。
【0114】
図９は、実施の形態に係るソフトウェアの更新条件の例を示す図である。図９では、緊急システムに切り替わった後、ＯＴＡサーバー２００からＳＷ更新通知を受信した場合のＳＷ更新条件が記載されている。ＳＷ更新判断部８３は、ＳＷを更新する条件判断に必要な情報を収集して、条件に従って判断する。
【0115】
ここでは、ＯＴＡサーバー２００からＳＷ更新通知を受信したことを起点として説明するが、ゲートウェイＥＣＵ９１など他のＥＣＵからの要求を起点としてもよい。
【0116】
採用の列が「必須」の場合はＡＮＤ条件であり、「任意」の場合はオプション条件であるが、これらは一例であり、少なくとも１つの条件に一致している場合にＳＷの更新を実施してもよい。
【0117】
条件ＩＤ１、及び、条件ＩＤ２は、車両状態収集部５４が収集した情報又は、グラフィカルユーザーインターフェースを用いて取得する情報から判定できる。
【0118】
条件ＩＤ３は、ＯＴＡサーバー２００に問い合わせて、車両９００の車両ＩＤに紐づくライセンス契約を確認することで取得できる。車両９００の車両ＩＤは、ドライバ又は車両９００に対してユニークな車両である。
【0119】
条件ＩＤ４、条件ＩＤ５、及び、条件ＩＤ６の条件は、統合ＥＣＵ９９の監視部５１が出力するセキュリティ異常から判定できる。また、ＯＴＡシステムや診断システムが異常であることは、他のＥＣＵに搭載される監視部が出力するセキュリティ異常から判定できる。この場合、他のＥＣＵにも、統合ＥＣＵ９９に搭載される監視部５１と同じ構成が搭載される。
【0120】
また、リモートアテステーション機能等によって、統合ＥＣＵ９９から他のＥＣＵの構成やセキュリティ状態を検証してもよい。この場合、他のＥＣＵには、リモートアテステーション機能への応答機能が搭載される。
【0121】
なお、条件確認方法は図中に記載された通りであるがこれに限らない。
【0122】
条件ＩＤ１を確認することで、緊急システムに切り替えた場合の車両９００への影響を判断できる。例えば、高速走行中にメーターディスプレイ表示機能を停止すると危険であるため、停止中であることを確認することで安全を担保できる。
【0123】
また、ドライバがステアリングを握っていない状態で、自動走行モード機能を停止すると危険であるため、ドライバがステアリングを握っていることを確認することで、安全を担保できる。
【0124】
条件ＩＤ２を確認することで、緊急システムに切り替えることに対してドライバから承諾を得ることができるため、ドライバが意図しない状況での緊急システムへの唐突な切り替えを抑制することができる。
【0125】
条件ＩＤ３を確認することで、ＳＷライセンスが期間外である場合に、ユーザにＳＷを更新できない旨を通知又はライセンスの更新を促すことができる。
【0126】
条件ＩＤ４、条件ＩＤ５、及び、条件ＩＤ６を確認することで、ＳＷが配信される通信経路に異常がないことを検証できるため、緊急システムに切り替えたあとに通信経路に異常が発生した場合にＳＷ更新を停止できる。もし通信経路に異常がある場合、攻撃者によって不正なＳＷに更新させられる可能性がある。さらに、ＯＴＡシステムや診断システム全体が緊急システムに切り替わっていることを確認することで、脆弱性が含まれるアプリ・サービスが稼働する可能性が低くなるため、攻撃される可能性をより低くできる。
【0127】
【0128】
正常システム切り替え判断部５３は、正常システムの切り替え条件判断に必要な情報を収集して、条件に従って判断する。ここでは、ＳＷの更新を実施したことを起点として説明するが、ゲートウェイＥＣＵ９１など、他のＥＣＵや、監視サーバー３００、ＯＴＡサーバー２００からの要求を起点としてもよい。
【0129】
採用の列が「必須」の場合はＡＮＤ条件であり、「任意」の場合はオプション条件であるが、これらは一例であり、少なくとも１つの条件に一致している場合にＳＷの更新を実施してもよい。
【0130】
条件ＩＤ１は、ＳＷ更新制御部８２がＳＷの更新が成功したかどうかの結果から判定できる。
【0131】
条件ＩＤ２、及び、条件ＩＤ３は、車両状態収集部５４が収集した情報又は、グラフィカルユーザーインターフェースを用いて取得する情報から判定できる。
【0132】
条件ＩＤ１を確認することで、ＳＷの更新に失敗した場合であっても、ＳＷの更新に成功するまで緊急システムの稼働を継続できる。
【0133】
条件ＩＤ２を確認することで、ＳＷを更新した場合の車両９００への影響を判断できる。例えば、高速走行中にメーターディスプレイ表示機能を停止すると危険であるため、停止中であることを確認することで安全を担保できる。また、ドライバがステアリングを握っていない状態で、ＳＷの更新を実施すると危険であるため、ドライバがステアリングを握っていることを確認することで、安全を担保できる。
【0134】
条件ＩＤ３を確認することで、ＳＷ更新に対してドライバから承諾を得ることができるため、ドライバが意図しない状況での唐突なＳＷの更新を抑制することができる。
【0135】
また、ＳＷ更新の対象は、車載システム１００のいずれかのＥＣＵ、統合ＥＣＵ９９、正常システム領域７０、異常システム領域７０、共通領域５０のいずれか一つであってもよい。
【0136】
【0137】
図１１では、緊急システム切り替え判断部５２の処理の一例が示されている。図中に示すように、監視部５１がセキュリティ異常を受信した後（ステップＳ１０１）、緊急システム切り替え判断部５２は、車両状態が安全であるか否か（ステップＳ１０２）、ユーザ同意を取得済みであるか否か（ステップＳ１０３）、ＳＷ更新制御部８２及び署名検証部８４が正常であるか否か（ステップＳ１０４）、外部通信部６０、メディア通信部５６及び診断通信部６２が正常であるか否か（ステップＳ１０５）をそれぞれ判定する。この判定の順序に特に限定はない。車両状態が安全であり（ステップＳ１０２でＹｅｓ）、ユーザ同意を取得済みであり（ステップＳ１０３でＹｅｓ）、ＳＷ更新制御部８２及び署名検証部８４が正常であり（ステップＳ１０４でＹｅｓ）、外部通信部６０、メディア通信部５６及び診断通信部６２が正常であると判定された場合（ステップＳ１０５でＹｅｓ）、緊急システムへの切り替えを行う（ステップＳ１０６）。一方で、いずれか１つでも条件を満たさなかった場合、ステップＳ１０２～ステップＳ１０５の少なくとも１つでＮｏ）、緊急システムへの切り替えを行わず、例えば、縮退モードに変更する（ステップＳ１０７）。縮退モードとは、車両９００の走る、曲がる、止まるに影響する部分の機能を残して、その他の機能を制限するモードである。縮退モードでは、ＳＷの更新機能などの機能も停止され、車載システムへの影響が大きいといえる。
【0138】
図１２では、ＳＷの更新判断部の処理の一例が示されている。図中に示すように、ＳＷの更新指示を受信すると（ステップＳ２０１）、ＳＷ更新判断部８３は、車両状態が安全であるか否か（ステップＳ２０２）、ユーザ同意を取得済みであるか否か（ステップＳ２０３）、外部通信部６０、メディア通信部５６及び診断通信部６２が正常であるか否か（ステップＳ２０４）、ＯＴＡシステム／経路、及び、診断システム／経路が正常であるか否か（ステップＳ２０５）、をそれぞれ判定する。この判定の順序に特に限定はない。車両状態が安全であり（ステップＳ２０２でＹｅｓ）、ユーザ同意を取得済みであり（ステップＳ２０３でＹｅｓ）、外部通信部６０、メディア通信部５６及び診断通信部６２が正常であり（ステップＳ２０４でＹｅｓ）、ＯＴＡシステム／経路、及び、診断システム／経路が正常であると判定された場合（ステップＳ２０５でＹｅｓ）、ＳＷの更新を行う（ステップＳ２０６）。一方で、いずれか１つでも条件を満たさなかった場合、ステップＳ２０２～ステップＳ２０５の少なくとも１つでＮｏ）、ＳＷの更新を行わない（ステップＳ２０７）。
【0139】
図１３では、正常システム切り替え判断部５３の処理の一例が示されている。図中に示すように、ＳＷの更新結果を受信すると（ステップＳ３０１）、正常システム切り替え判断部５３は、車両状態が安全であるか否か（ステップＳ３０２）、ユーザ同意を取得済みであるか否か（ステップＳ３０３）、ＳＷの更新結果が成功であるか否か（ステップＳ３０４）をそれぞれ判定する。この判定の順序に特に限定はない。車両状態が安全であり（ステップＳ３０２でＹｅｓ）、ユーザ同意を取得済みであり（ステップＳ３０３でＹｅｓ）、ＳＷの更新結果が成功であると判定された場合（ステップＳ３０４でＹｅｓ）、正常システムへの切り替えを行う（ステップＳ３０５）。一方で、いずれか１つでも条件を満たさなかった場合、ステップＳ３０２～ステップＳ３０４の少なくとも１つでＮｏ）、正常システムへの切り替えを行わず、緊急システムの稼働を維持する（ステップＳ３０６）。
【0140】
【0141】
図１４では、「緊急システムへの切り替え判断」の処理における情報の送受信の例が示されている。図中に示すように、まず、監視部５１が緊急システム切り替え判断部５２へと異常検知結果を送信する（ステップＳ４０１）。緊急システム切り替え判断部５２では、送信された異常検知結果を取得する（ステップＳ４０２）。また、セキュリティ状態収集部５５がセキュリティ状態を収集し、緊急システム切り替え判断部５２へと送信する（ステップＳ４０３）。緊急システム切り替え判断部５２では、送信されたセキュリティ状態を取得する（ステップＳ４０４）。また、車両状態収集部５４が車両状態を収集し、緊急システム切り替え判断部５２へと送信する（ステップＳ４０５）。緊急システム切り替え判断部５２では、送信された車両状態を取得する（ステップＳ４０６）。そして、緊急システム切り替え判断部５２は、緊急システムへの切り替えの判断をする（ステップＳ４０７）。緊急システム切り替え判断部５２は、緊急システムへの切り替えの判断結果に応じて、緊急システムへの切り替えを指示する（ステップＳ４０８）。この指示情報が緊急システム制御部５８へと送信されることで、緊急システム制御部５８が緊急システムへの切り替えを行う（ステップＳ４０９）。
【0142】
図１５では、「ＳＷの更新判断」の処理における情報の送受信の例が示されている。図中に示すように、まず、ＯＴＡサーバー２００が外部通信部６０へとＳＷの更新指示を送信する（ステップＳ５０１）。外部通信部６０では、送信されたＳＷの更新指示を取得し、ＳＷ更新判断部８３へと送信する（ステップＳ５０２）。ＳＷ更新判断部８３では、送信されたＳＷの更新指示を取得する（ステップＳ５０３）。また、セキュリティ状態収集部５５がセキュリティ状態を収集し、ＳＷ更新判断部８３へと送信する（ステップＳ５０４）。ＳＷ更新判断部８３では、送信されたセキュリティ状態を取得する（ステップＳ５０５）。また、車両状態収集部５４が車両状態を収集し、ＳＷ更新判断部８３へと送信する（ステップＳ５０６）。ＳＷ更新判断部８３では、送信された車両状態を取得する（ステップＳ５０７）。そして、ＳＷ更新判断部８３は、ＳＷの更新可否を判断する（ステップＳ５０８）。ＳＷ更新判断部８３は、ＳＷの更新可否の判断結果に応じて、ＳＷの更新を指示する（ステップＳ５０９）。この指示情報がＳＷ更新制御部８２へと送信されることで、ＳＷ更新制御部８２がＳＷの更新を行う（ステップＳ５１０）。
【0143】
図１６では、「ＳＷの更新判断」の処理における情報の送受信の例が示されている。本例は、図１５に示す例に比べて、ＳＷの更新の起点が異なる以外に差異は無いので、異なる点について述べる。図中に示すように、まず、診断システムが診断通信部６２へとＳＷの更新指示を送信する（ステップＳ６０１）。診断通信部６２では、送信されたＳＷの更新指示を取得し、ＳＷ更新判断部８３へと送信する（ステップＳ６０２）。以降の処理は、図１５と同じであるため説明を省略する。
【0144】
図１７では、「ＳＷの更新判断」の処理における情報の送受信の例が示されている。本例は、図１５に示す例に比べて、ＳＷの更新の起点が異なる以外に差異は無いので、異なる点について述べる。図中に示すように、まず、外部メディアがメディア通信部５６へとＳＷの更新指示を送信する（ステップＳ７０１）。メディア通信部５６では、送信されたＳＷの更新指示を取得し、ＳＷ更新判断部８３へと送信する（ステップＳ７０２）。以降の処理は、図１５と同じであるため説明を省略する。
【0145】
図１８では、「正常システムへの切り替え判断」の処理における情報の送受信の例が示されている。図中に示すように、まず、ＳＷ更新制御部８２が正常システム切り替え判断部５３へとＳＷ更新結果を送信する（ステップＳ８０１）。正常システム切り替え判断部５３では、送信されたＳＷ更新結果を取得する（ステップＳ８０２）。また、セキュリティ状態収集部５５がセキュリティ状態を収集し、正常システム切り替え判断部５３へと送信する（ステップＳ８０３）。正常システム切り替え判断部５３では、送信されたセキュリティ状態を取得する（ステップＳ８０４）。また、車両状態収集部５４が車両状態を収集し、正常システム切り替え判断部５３へと送信する（ステップＳ８０５）。正常システム切り替え判断部５３では、送信された車両状態を取得する（ステップＳ８０６）。そして、正常システム切り替え判断部５３は、正常システムへの切り替えの判断をする（ステップＳ８０７）。正常システム切り替え判断部５３は、正常システムへの切り替えの判断結果に応じて、正常システムへの切り替えを指示する（ステップＳ８０８）。この指示情報が正常システム制御部５９へと送信されることで、正常システム制御部５９が正常システムへの切り替えを行う（ステップＳ８０９）。
【0146】
図１９は、実施の形態に係る緊急システム動作時の表示例を示す図である。図１９では、インフォテインメントシステム等のユーザインタフェースといった表示部１０が例示されている。図１９に示すように、緊急システムに切り替わっており、正常システムでない期間には、表示部１０に「緊急システム稼働中」などと表示することにより、緊急システムの稼働中であることをドライバ等に対して表示する。これにより、正常システムに比べて機能制限中であることや、異常が発生していることなどをドライバに知らせるとともに、車両９００の運転において一層の注意を促すことが可能となる。その結果、安全に路肩に停車したり、駐車場に駐車したり、ディーラーなどの修理機関に持ち込むなどの対応をとることができる。
【0147】
【0148】
図２０では、ＥＣＵを冗長化して、第１統合ＥＣＵ９９ａと第２統合ＥＣＵ９９ｂとを保持する構成を示している。ここでは、正常システム時から２つのＥＣＵを保持している。
【0149】
第１統合ＥＣＵ９９ａの緊急システム切り替え判断部５２が緊急システムへの切り替えを判断した場合、第１統合ＥＣＵ９９ａを停止する。また、第２統合ＥＣＵ９９ｂの正常システム切り替え判断部５３が正常システムへの切り替えを判断した場合、第１統合ＥＣＵ９９ａを起動する。なお、ＥＣＵの冗長化において、第１統合ＥＣＵ９９ａと第２統合ＥＣＵ９９ｂとを保持し、正常時は第１統合ＥＣＵ９９ａのみを起動してもよい。
【0150】
第１統合ＥＣＵ９９ａの緊急システム切り替え判断部５２が緊急システムへの切り替えを判断した場合、第２統合ＥＣＵ９９ｂを起動し、第１統合ＥＣＵ９９ａを停止する。また、第２統合ＥＣＵ９９ｂの正常システム切り替え判断部５３が正常システムへの切り替えを判断した場合、第１統合ＥＣＵ９９ａを起動し、第２統合ＥＣＵ９９ｂを停止する。なお、ＥＣＵの切り替え時には、車載システムが正常に稼働するように、ＩＰアドレスなどのネットワーク設定を変更してもよい。
【0151】
図２１では、仮想化プラットフォーム９９ｃを用いて正常システム仮想マシン７０ａと緊急システム仮想マシン８０ａとを保持する構成を示している。ここでは、正常システム時から２つの仮想マシンを起動している。
【0152】
正常システム仮想マシン７０ａの緊急システム切り替え判断部５２が緊急システムへの切り替えを判断した場合、正常システム仮想マシン７０ａを停止する。また、緊急システム仮想マシン８０ａの正常システム切り替え判断部５３が正常システムへの切り替えを判断した場合、緊急システム仮想マシン８０ａを起動する。なお、仮想化プラットフォーム９９ｃを用いて正常システム仮想マシン７０ａと緊急システム仮想マシン８０ａとを保持し、正常時は正常システム仮想マシン７０ａのみを起動してもよい。
【0153】
正常システム仮想マシン７０ａの緊急システム切り替え判断部５２が緊急システムへの切り替えを判断した場合、緊急システム仮想マシン８０ａを起動し、正常システム仮想マシン７０ａを停止する。また、緊急システム仮想マシン８０ａの正常システム切り替え判断部５３が正常システムへの切り替えを判断した場合、正常システム仮想マシン７０ａを起動し、緊急システム仮想マシン８０ａを停止する。なお、仮想マシンの切り替え時には、車載システムが正常に稼働するように、ＩＰアドレスなどのネットワーク設定を変更してもよい。
【0154】
図２２では、コンテナ技術を用いてホストＯＳ９９ｄ上に正常システムコンテナ７０ｂと緊急システムコンテナ８０ｂとを保持する。ここでは、正常システム時から２つのコンテナを起動している。
【0155】
正常システムコンテナ７０ｂの緊急システム切り替え判断部５２が緊急システムへの切り替えを判断した場合、正常システムコンテナ７０ｂを停止する。また、緊急システムコンテナ８０ｂの正常システム切り替え判断部５３が正常システムへの切り替えを判断した場合、緊急システムコンテナ８０ｂを起動する。なお、コンテナ技術を用いて正常システムコンテナ７０ｂと緊急システムコンテナ８０ｂとを保持し、正常時は正常システムコンテナ７０ｂのみを起動してもよい。
【0156】
正常システムコンテナ７０ｂの緊急システム切り替え判断部５２が緊急システムへの切り替えを判断した場合、緊急システムコンテナ８０ｂを起動し、正常システムコンテナ７０ｂを停止する。また、緊急システムコンテナ８０ｂの正常システム切り替え判断部５３が正常システムへの切り替えを判断した場合、正常システムコンテナ７０ｂを起動し、緊急システムコンテナ８０ｂを停止する。なお、コンテナの切り替え時には、車載システムが正常に稼働するように、ＩＰアドレスなどのネットワーク設定を変更してもよい。
【0157】
（その他の実施の形態）
以上、実施の形態について説明したが、本開示は、上記の実施の形態に限定されるものではない。
以上、実施の形態について説明したが、本開示は、上記の実施の形態に限定されるものではない。
【0158】
例えば、上記の実施の形態において、特定の処理部が実行する処理を別の処理部が実行してもよい。また、複数の処理の順序が変更されてもよいし、複数の処理が並行して実行されてもよい。
【0159】
また、上記の実施の形態において、各構成要素は、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵ又はプロセッサなどのプログラム実行部が、ハードディスク又は半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。
【0160】
また、各構成要素は、ハードウェアによって実現されてもよい。例えば、各構成要素は、回路（又は集積回路）でもよい。これらの回路は、全体として１つの回路を構成してもよいし、それぞれ別々の回路でもよい。また、これらの回路は、それぞれ、汎用的な回路でもよいし、専用の回路でもよい。
【0161】
また、上記の実施の形態において、自動車に対するセキュリティ対策として監視装置を用いる例を説明したが、監視装置の適用範囲はこれに限られない。例えば、監視装置は、自動車に限らず、つまり、車両に代えて、建機、農機、船舶、鉄道又は飛行機などのモビリティにも適用してもよい。
【0162】
また、本開示の全般的又は具体的な態様は、装置、装置、方法、集積回路、コンピュータプログラム又はコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよい。また、本開示の全般的又は具体的な態様は、装置、装置、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。
【0163】
例えば、本開示は、コンピュータによって実行される監視方法として実現されてもよいし、監視方法をコンピュータに実行させるためのプログラムとして実現されてもよい。本開示は、このようなプログラムが記録されたコンピュータ読み取り可能な非一時的な記録媒体として実現されてもよい。
【0164】
その他、各実施の形態に対して当業者が思いつく各種変形を施して得られる形態、又は、本開示の趣旨を逸脱しない範囲で各実施の形態における構成要素及び機能を任意に組み合わせることで実現される形態も本開示に含まれる。
【産業上の利用可能性】
【0165】
本開示は、車両の安全な利用という観点で有用である。
【符号の説明】
【0166】
１０ 表示部
５０ 共通領域
５１ 監視部
５２ 緊急システム切り替え判断部
５３ 正常システム切り替え判断部
５４ 車両状態収集部
５５ セキュリティ状態収集部
５６ メディア通信部
５７ 車両構成保存部
５８ 緊急システム制御部
５９ 正常システム制御部
６０ 外部通信部
６１ 車内通信部
６２ 診断通信部
７０ 正常システム領域
７０ａ 正常システム仮想マシン
７０ｂ 正常システムコンテナ
７１ アプリ部
７２ サービス部
８０ 緊急システム領域
８０ａ 緊急システム仮想マシン
８０ｂ 緊急システムコンテナ
８１ ＳＷ通信部
８２ ＳＷ更新制御部
８３ ＳＷ更新判断部
８４ 署名検証部
９１ ゲートウェイＥＣＵ
９３，９４ ＺｏｎｅＥＣＵ
９５ ステアリングＥＣＵ
９６ ブレーキＥＣＵ
９７ フロントカメラＥＣＵ
９８ リアカメラＥＣＵ
９９、９９ａ、９９ｂ 統合ＥＣＵ
９９ｃ 仮想化プラットフォーム
９９ｄ ホストＯＳ
１００ 車載システム
１５０ ネットワーク
２００ ＯＴＡサーバー
３００ 監視サーバー
９００ 車両
５０ 共通領域
５１ 監視部
５２ 緊急システム切り替え判断部
５３ 正常システム切り替え判断部
５４ 車両状態収集部
５５ セキュリティ状態収集部
５６ メディア通信部
５７ 車両構成保存部
５８ 緊急システム制御部
５９ 正常システム制御部
６０ 外部通信部
６１ 車内通信部
６２ 診断通信部
７０ 正常システム領域
７０ａ 正常システム仮想マシン
７０ｂ 正常システムコンテナ
７１ アプリ部
７２ サービス部
８０ 緊急システム領域
８０ａ 緊急システム仮想マシン
８０ｂ 緊急システムコンテナ
８１ ＳＷ通信部
８２ ＳＷ更新制御部
８３ ＳＷ更新判断部
８４ 署名検証部
９１ ゲートウェイＥＣＵ
９３，９４ ＺｏｎｅＥＣＵ
９５ ステアリングＥＣＵ
９６ ブレーキＥＣＵ
９７ フロントカメラＥＣＵ
９８ リアカメラＥＣＵ
９９、９９ａ、９９ｂ 統合ＥＣＵ
９９ｃ 仮想化プラットフォーム
９９ｄ ホストＯＳ
１００ 車載システム
１５０ ネットワーク
２００ ＯＴＡサーバー
３００ 監視サーバー
９００ 車両
【要約】
【課題】車両によるより適切なサイバー攻撃への対策が実現可能な監視装置等を提供する。
【解決手段】監視装置は、車両９００に備えられる車載システム１００に搭載される監視装置であって、車載システム１００のセキュリティ異常を検知する監視部５１と、監視部５１がセキュリティ異常を検知した場合、第１の動作モードから、第１の動作モードとは異なる第２の動作モードへ切り替える緊急システム制御装置（緊急システム制御部５８）と、第２の動作モードに切り替わった後に、車載システム１００のセキュリティ異常を解消するためのソフトウェアの更新が完了したことを契機に、第２の動作モードから第１の動作モードに切り替える正常システム制御装置（正常システム制御部５９）とを備える。
【選択図】図３
【解決手段】監視装置は、車両９００に備えられる車載システム１００に搭載される監視装置であって、車載システム１００のセキュリティ異常を検知する監視部５１と、監視部５１がセキュリティ異常を検知した場合、第１の動作モードから、第１の動作モードとは異なる第２の動作モードへ切り替える緊急システム制御装置（緊急システム制御部５８）と、第２の動作モードに切り替わった後に、車載システム１００のセキュリティ異常を解消するためのソフトウェアの更新が完了したことを契機に、第２の動作モードから第１の動作モードに切り替える正常システム制御装置（正常システム制御部５９）とを備える。
【選択図】図３
【図1】
【図2】
【図3】
【図4A】
【図4B】
【図4C】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】
【図21】
【図22】