特許 7595079 異常監視装置および異常監視方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-11-27

(45)【発行日】2024-12-05

(54)【発明の名称】異常監視装置および異常監視方法

(51)【国際特許分類】

   G06F 21/55 20130101AFI20241128BHJP

【ＦＩ】

G06F21/55 320

【請求項の数】 9

(21)【出願番号】P 2022546911

(86)(22)【出願日】2021-07-08

(86)【国際出願番号】 JP2021025869

(87)【国際公開番号】W WO2022049895

(87)【国際公開日】2022-03-10

【審査請求日】2024-04-10

(31)【優先権主張番号】PCT/JP2020/033122

(32)【優先日】2020-09-01

(33)【優先権主張国・地域又は機関】JP

(73)【特許権者】

【識別番号】514136668

【氏名又は名称】パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ

【氏名又は名称原語表記】Ｐａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ

(74)【代理人】

【識別番号】100109210

【弁理士】

【氏名又は名称】新居 広守

(74)【代理人】

【識別番号】100137235

【弁理士】

【氏名又は名称】寺谷 英作

(74)【代理人】

【識別番号】100131417

【弁理士】

【氏名又は名称】道坂 伸一

(72)【発明者】

【氏名】平野 亮

(72)【発明者】

【氏名】岸川 剛

(72)【発明者】

【氏名】氏家 良浩

【審査官】青木 重徳

(56)【参考文献】

【文献】特表２０１７－５３９０１８（ＪＰ，Ａ）

【文献】特開２０１９－１７４４２６（ＪＰ，Ａ）

【文献】特開２０１９－１２３３３７（ＪＰ，Ａ）

【文献】国際公開第２０１９／０２１９２２（ＷＯ，Ａ１）

【文献】国際公開第２０２０／０８００４７（ＷＯ，Ａ１）

【文献】米国特許出願公開第２０１９／０３５６６８５（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５５

(57)【特許請求の範囲】

【請求項1】

モビリティを遠隔操作するための遠隔操作システムにおける異常監視装置であって、
前記モビリティを遠隔操作する操作装置から操作コマンドの履歴である操作ログを収集し、かつ、前記モビリティに搭載される制御装置から制御コマンドの履歴である制御ログを収集し、前記制御装置から前記モビリティの位置情報の履歴である位置ログを収集するログ収集部と、
前記操作ログおよび前記制御ログの少なくとも１つ、並びに、前記位置ログに基づいて、前記モビリティが異常であるか否かを検知する異常検知部と、
前記異常検知部により前記異常があることが検知された場合、前記操作ログおよび前記制御ログの比較結果、並びに、前記位置ログに基づく異常の有無に応じて、前記モビリティの異常が引き起こされた原因となる攻撃源を複数の攻撃源の中から特定する攻撃源特定部と、
前記攻撃源特定部により特定された前記攻撃源に応じた対策を実施するための通知を行う異常通知部と、を備える、
異常監視装置。

【請求項2】

前記異常検知部は、さらに、前記操作ログおよび前記制御ログのそれぞれの異常の有無を第１のルールに基づいて検知し、
前記攻撃源特定部は、さらに、前記操作ログと前記制御ログとが一致しない場合に、前記攻撃源を第一の攻撃源であると特定し、前記操作ログおよび前記制御ログの両方で異常が検知された場合に前記攻撃源を前記第一の攻撃源とは異なる第二の攻撃源であると特定する、
請求項１に記載の異常監視装置。

【請求項3】

前記第１のルールは、さらに、位置ログの異常に関する情報を含み、
前記異常検知部は、前記操作ログと前記制御ログと前記位置ログとのそれぞれの異常を前記第１のルールに基づいて検知し、
前記攻撃源特定部は、前記位置ログのみが異常である場合に前記攻撃源を前記第一の攻撃源および前記第二の攻撃源と異なる第三の攻撃源であると特定する、
請求項２に記載の異常監視装置。

【請求項4】

前記第一の攻撃源は、前記操作装置と前記制御装置との通信路で悪意のある操作コマンドが挿入されたことを含み、
前記第二の攻撃源は、前記操作装置を利用するオペレータが悪意のある操作コマンドを送信したことを含み、
前記第三の攻撃源は、第三者により前記モビリティが物理的に攻撃されたことを含み、
前記異常通知部は、前記第一の攻撃源と判定された場合に前記制御装置の遠隔制御機能の停止を実施し、前記第二の攻撃源と判定された場合に前記オペレータの前記操作装置へのアクセス権限を破棄し、前記第三の攻撃源と判定された場合に前記制御装置の周囲への警告を実施するための通知を行う、
請求項３に記載の異常監視装置。

【請求項5】

前記ログ収集部は、前記操作ログのハッシュ値、および、前記制御ログのハッシュ値をさらに収集し、
前記異常検知部は、前記操作ログのハッシュ値と前記制御ログのハッシュ値とが一致しない場合に異常であると検知する、
請求項１から４のいずれか１項に記載の異常監視装置。

【請求項6】

前記第１のルールは、前記操作ログと前記制御ログとが一致しない場合、前記制御ログに異常が含まれていること示す情報を含む、
請求項２または３に記載の異常監視装置。

【請求項7】

前記第１のルールは、前記位置ログが前記制御ログと異なる位置情報の変化を示す情報を含む場合、前記位置ログに異常が含まれていることを示す情報を含む、
請求項３に記載の異常監視装置。

【請求項8】

前記攻撃源特定部は、前記操作ログおよび前記制御ログと、第２のルールとに基づいて、前記モビリティの異常が引き起こされた原因となる攻撃源を特定し、
前記第２のルールは、同一時刻の前記操作コマンドおよび前記制御コマンドが一致しない場合、前記攻撃源が前記操作装置と前記制御装置との間の通信路であること、および、前記操作ログおよび前記制御ログの両方で異常が検知された場合、前記攻撃源が前記操作装置を利用するオペレータであることを含む、
請求項１に記載の異常監視装置。

【請求項9】

モビリティを遠隔操作するための遠隔操作システムにおける異常監視方法であって、
前記モビリティを遠隔操作する前記モビリティに搭載される操作装置から操作コマンドの履歴である操作ログを収集し、かつ、車両制御装置から制御コマンドの履歴である制御ログを収集し、前記車両制御装置から前記モビリティの位置情報の履歴である位置ログを収集するログ収集ステップと、
前記操作ログおよび前記制御ログの少なくとも１つ、並びに、前記位置ログに基づいて、前記モビリティが異常であるか否かを検知する異常検知ステップと、
前記異常検知ステップにおいて前記異常があることが検知された場合、前記操作ログおよび前記制御ログの比較結果、並びに、前記位置ログに基づく異常の有無に応じて、前記モビリティの異常が引き起こされた原因を示す攻撃源を複数の攻撃源の中から特定する攻撃源特定ステップと、
前記攻撃源特定ステップにより特定された前記攻撃源に応じた対策を実施するための通知を行う異常通知ステップと、を含む、
異常監視方法。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、モビリティを遠隔操作可能な遠隔操作システムにおける、異常を監視する異常監視装置および異常監視方法に関する。

【背景技術】

【0002】

近年、ドライバの人材不足の解消、事故ゼロ社会の実現等を目的として自動運転車両など自律走行モビリティの導入が期待されている。しかしながら、宅配用途ではドアツードアの自律走行が要求され、高速道路または公道のみならず小道または砂利道などの走行が必要となるため、自律走行モビリティのためのシステム構築の難易度が高い。

【0003】

そこで、完全な自律走行モビリティが実現するまで、モビリティの移動場所に応じてオペレータが遠隔からモビリティを制御する遠隔操作システムが提案されている。

【0004】

遠隔操作システムにおいては、モビリティが異常動作して物損事故または人身事故を起こした場合の事故原因を解析する必要がある。事故原因の１つであるサイバー攻撃を検知する方法として、例えば、特許文献１には、車両内のネットワーク上を流れるフレームを監視して異常を検知する方法が開示されている。

【先行技術文献】

【特許文献】

【0005】

【文献】特許第５６６４７９９号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

しかしながら、遠隔操作システムの場合、モビリティ内（例えば、車両内）のネットワーク上で検知された異常フレームがオペレータの異常操作による異常フレームであるか、サイバー攻撃による異常フレームであるかを判定することができないという課題がある。つまり、遠隔操作システムに特許文献１の技術を用いた場合、異常の原因を特定できないことが起こり得る。

【0007】

そこで、本開示は、モビリティにおける異常の原因を特定可能な異常監視装置および異常監視方法を提供する。

【課題を解決するための手段】

【0008】

上記課題を解決するために、本開示の一態様に係る異常監視装置は、モビリティを遠隔操作するための遠隔操作システムにおける異常監視装置であって、前記モビリティを遠隔操作する操作装置から操作コマンドの履歴である操作ログを収集し、かつ、前記モビリティに搭載される制御装置から制御コマンドの履歴である制御ログを収集するログ収集部と、前記操作ログおよび前記制御ログの少なくとも１つに基づいて、前記モビリティが異常であるか否かを検知する異常検知部と、前記異常検知部により前記異常があることが検知された場合、前記操作ログおよび前記制御ログの比較結果に応じて、前記モビリティの異常が引き起こされた原因となる攻撃源を複数の攻撃源の中から特定する攻撃源特定部と、前記攻撃源特定部により特定された前記攻撃源に応じた対策を実施するための通知を行う異常通知部と、を備える。

【0009】

上記課題を解決するために、本開示の一態様に係る異常監視方法は、モビリティを遠隔操作するための遠隔操作システムにおける異常監視方法であって、前記モビリティを遠隔操作する前記モビリティに搭載される操作装置から操作コマンドの履歴である操作ログを収集し、かつ、車両制御装置から制御コマンドの履歴である制御ログを収集するログ収集ステップと、前記操作ログおよび前記制御ログの少なくとも１つに基づいて、前記モビリティが異常であるか否かを検知する異常検知ステップと、前記異常検知ステップにおいて前記異常があることが検知された場合、前記操作ログおよび前記制御ログの比較結果に応じて、前記モビリティの異常が引き起こされた原因を示す攻撃源を複数の攻撃源の中から特定する攻撃源特定ステップと、前記攻撃源特定ステップにより特定された前記攻撃源に応じた対策を実施するための通知を行う異常通知ステップと、を含む。

【発明の効果】

【0010】

本開示の一態様によれば、モビリティにおける異常の原因を特定可能な異常監視装置および異常監視方法を実現することができる。

【図面の簡単な説明】

【0011】

【図1】図１は、実施の形態における車両遠隔操作システムの全体構成を示す図である。

【図2】図２は、実施の形態における異常監視装置の機能構成を示すブロック図である。

【図3】図３は、実施の形態における車両操作装置の機能構成を示すブロック図である。

【図4】図４は、実施の形態における車両制御装置の機能構成を示すブロック図である。

【図5】図５は、実施の形態における操作ログの一例を示す図である。

【図6】図６は、実施の形態における制御ログの一例を示す図である。

【図7】図７は、実施の形態における位置ログの一例を示す図である。

【図8】図８は、実施の形態におけるログの一例を示す図である。

【図9】図９は、実施の形態における異常検知ルールの一例を示す図である。

【図10】図１０は、実施の形態における攻撃源判定ルールの一例を示す図である。

【図11】図１１は、実施の形態における異常対策ルールの一例を示す図である。

【図12】図１２は、実施の形態における車両遠隔操作の処理シーケンスを示す図である。

【図13】図１３は、実施の形態におけるログ収集の処理シーケンスを示す図である。

【図14】図１４は、実施の形態における異常検知から異常対策までの処理シーケンスを示す図である。

【図15】図１５は、実施の形態における異常検知処理のフローチャートを示す図である。

【図16】図１６は、実施の形態における攻撃源判定処理のフローチャートを示す図である。

【発明を実施するための形態】

【0012】

（本開示に至った経緯）
「背景技術」でも記載したように、完全な自律走行モビリティが実現するまで、モビリティの移動場所に応じてオペレータが遠隔からモビリティを制御する（遠隔操作する）遠隔操作システムが提案されている。また、完全な自律走行モビリティの実現後であっても、故障時またはサイバー攻撃時にモビリティの自律走行が危険と判定されることが想定されるので、モビリティを遠隔操作するための遠隔操作システムが必要とされ得る。

【0013】

遠隔操作システムにおける事故原因としては、モビリティへの物理攻撃、オペレータの異常操作、サイバー攻撃などが想定される。

【0014】

モビリティへの物理攻撃は、例えば、悪意のある第三者がモビリティに物理的に接近し、モビリティを横転させる攻撃である。オペレータの異常操作は、例えば、悪意のあるオペレータがモビリティを横転させる攻撃である。サイバー攻撃は、例えば、攻撃者がモビリティとオペレータとの通信を偽装してモビリティを横転させる攻撃である。なお、攻撃内容は、モビリティの横転に限定されない。

【0015】

特許文献１の技術では、異常の有無は判定できるものの、当該異常の原因までを特定できないことが起こり得る。そこで、本願発明者らは、遠隔操作システムにおける異常の原因を特定可能な異常監視装置および異常監視方法について鋭意検討を行い、以下に示す異常監視装置および異常監視方法を創案した。

【0016】

具体的には、本願発明者らは、遠隔操作システムにおいて、異常監視装置がモビリティの制御ログとオペレータの操作ログとを収集して比較することで、異常の原因がサイバー攻撃であるか、オペレータの異常操作であるかを判定できることを見いだし、以下に示す異常監視装置および異常監視方法を創案した。

【0017】

本開示の一態様に係る異常監視装置は、モビリティを遠隔操作するための遠隔操作システムにおける異常監視装置であって、前記モビリティを遠隔操作する操作装置から操作コマンドの履歴である操作ログを収集し、かつ、前記モビリティに搭載される制御装置から制御コマンドの履歴である制御ログを収集するログ収集部と、前記操作ログおよび前記制御ログの少なくとも１つに基づいて、前記モビリティが異常であるか否かを検知する異常検知部と、前記異常検知部により前記異常があることが検知された場合、前記操作ログおよび前記制御ログの比較結果に応じて、前記モビリティの異常が引き起こされた原因となる攻撃源を複数の攻撃源の中から特定する攻撃源特定部と、前記攻撃源特定部により特定された前記攻撃源に応じた対策を実施するための通知を行う異常通知部と、を備える。

【0018】

これにより、異常監視装置は、操作ログおよび車両ログの比較結果に応じて複数の攻撃源からモビリティの異常に応じた攻撃源、例えばモビリティの異常の原因を特定することが可能である。よって、本開示の一態様によれば、モビリティの異常の原因を特定可能な異常監視装置を実現することができる。また、異常通知部の通知により異常の原因に応じた対策が行われることで、効果的に攻撃を抑制し得る。

【0019】

また、例えば、前記異常検知部は、さらに、前記操作ログおよび前記制御ログのそれぞれの異常の有無を第１のルールに基づいて検知し、前記攻撃源特定部は、さらに、前記操作ログと前記制御ログとが一致しない場合に、前記攻撃源を第一の攻撃源であると特定し、前記操作ログおよび前記制御ログの両方で異常が検知された場合に前記攻撃源を前記第一の攻撃源とは異なる第二の攻撃源であると特定してもよい。

【0020】

これにより、異常監視装置は、操作ログおよび車両ログが一致しない場合と、操作ログおよび制御ログの両方で異常が検知された場合とを、互いに異なる攻撃源（第一の攻撃源および第二の攻撃源）であると判定することができる。例えば、操作ログおよび車両ログが一致しない場合は、操作装置と制御装置との間の通信路にてオペレータの操作コマンドが改ざんされてモビリティにて実行された可能性が高い。また、例えば、操作ログおよび制御ログの両方で異常が検知された場合、悪意のあるオペレータが異常な操作コマンドを入力し、モビリティにて異常な制御コマンドが実行された可能性が高い。よって、異常監視装置は、操作ログおよび車両ログが一致しない場合と、操作ログおよび制御ログの両方で異常が検知された場合とにおいて、モビリティの異常の原因を適切に特定可能である。

【0021】

また、例えば、前記ログ収集部は、さらに、前記制御装置から前記モビリティの位置情報の履歴である位置ログを収集し、前記第１のルールは、さらに、位置ログの異常に関する情報を含み、前記異常検知部は、前記操作ログと前記制御ログと前記位置ログとのそれぞれの異常を前記第１のルールに基づいて検知し、前記攻撃源特定部は、前記位置ログのみが異常である場合に前記攻撃源を前記第一の攻撃源および前記第二の攻撃源と異なる第三の攻撃源であると特定してもよい。

【0022】

これにより、異常監視装置は、操作ログおよび制御ログの両方で異常が検知されず、かつ、位置ログのみで異常が検知された場合、さらに他の攻撃源（第三の攻撃源）であると判定することができる。例えば、位置ログのみで異常が検知された場合、第三者がモビリティに物理的に接近して、モビリティに異常をもたらした可能性が高い。よって、異常監視装置は、操作ログ、制御ログおよび位置ログのうち位置ログのみで異常が検知された場合において、モビリティの異常の原因を適切に特定可能である。

【0023】

また、例えば、前記第一の攻撃源は、前記操作装置と前記制御装置との通信路で悪意のある操作コマンドが挿入されたことを含み、前記第二の攻撃源は、前記操作装置を利用するオペレータが悪意のある操作コマンドを送信したことを含み、前記第三の攻撃源は、第三者により前記モビリティが物理的に攻撃されたことを含み、前記異常通知部は、前記第一の攻撃源と判定された場合に前記制御装置の遠隔制御機能の停止を実施し、前記第二の攻撃源と判定された場合に前記オペレータの前記操作装置へのアクセス権限を破棄し、前記第三の攻撃源と判定された場合に前記制御装置の周囲への警告を実施するための通知を行ってもよい。

【0024】

これにより、異常監視装置は、判定された攻撃源に応じて、効果的な対策方法を選択して実行できる。具体的には、異常監視装置は、第一の攻撃源（通信路）に対しては、モビリティの遠隔制御機能を停止する（第一の攻撃源に対して対策の一例）ことで、通信路を介した攻撃を効果的に抑制することができる。また、異常監視装置は、第二の攻撃源（オペレータ）に対しては、オペレータの操作装置へのアクセス権限を破棄する（第二の攻撃源に対して対策の一例）ことで、オペレータによる攻撃を効果的に抑制することができる。また、異常監視装置は、第三の攻撃源（近距離）に対しては、警報アラームなどを用いて制御装置の周囲へ警告を実施する（第三の攻撃源に対して対策の一例）ことで、モビリティの近距離にいる悪意のある第三者からの攻撃を効果的に抑制することができる。

【0025】

また、例えば、前記ログ収集部は、前記操作ログのハッシュ値、および、前記制御ログのハッシュ値をさらに収集し、前記異常検知部は、前記操作ログのハッシュ値と前記制御ログのハッシュ値とが一致しない場合に異常であると検知してもよい。

【0026】

これにより、操作ログと車両ログとが一致するか否かを、ハッシュ値を比較することにより判定することができる。つまり、判定処理に要する処理量を低減することができる。よって、異常監視装置の処理量を低減して効率的に操作ログと車両ログとの比較を行うことができる。

【0027】

また、例えば、前記第１のルールは、前記操作ログと前記制御ログとが一致しない場合、前記制御ログに異常が含まれていること示す情報を含んでいてもよい。

【0028】

これにより、異常監視装置は、第１のルールに基づいて、操作ログと制御ログとが一致しない場合、操作ログおよび制御ログのうち制御ログが異常であると特定することができる。

【0029】

また、例えば、前記第１のルールは、前記位置ログが前記制御ログと異なる位置情報の変化を示す情報を含む場合、前記位置ログに異常が含まれていることを示す情報を含んでいてもよい。

【0030】

これにより、異常監視装置は、第１のルールに基づいて、位置ログが制御ログと異なる位置情報の変化を示す情報を含む場合、操作ログ、制御ログおよび位置ログのうち位置ログが異常であると特定することができる。

【0031】

また、例えば、前記攻撃源特定部は、前記操作ログおよび前記制御ログと、第２のルールとに基づいて、前記モビリティの異常が引き起こされた原因となる攻撃源を特定し、前記第２のルールは、同一時刻の前記操作コマンドおよび前記制御コマンドが一致しない場合、前記攻撃源が前記操作装置と前記制御装置との間の通信路であること、および、前記操作ログおよび前記制御ログの両方で異常が検知された場合、前記攻撃源が前記操作装置を利用するオペレータであることを含んでいてもよい。

【0032】

これにより、攻撃源特定部は、第２のルールに基づいて、攻撃源を容易に特定可能である。

【0033】

また、上記課題を解決するために、本開示の一態様に係る異常監視方法は、モビリティを遠隔操作するための遠隔操作システムにおける異常監視方法であって、前記モビリティを遠隔操作する前記モビリティに搭載される操作装置から操作コマンドの履歴である操作ログを収集し、かつ、車両制御装置から制御コマンドの履歴である制御ログを収集するログ収集ステップと、前記操作ログおよび前記制御ログの少なくとも１つに基づいて、前記モビリティが異常であるか否かを検知する異常検知ステップと、前記異常検知ステップにおいて前記異常があることが検知された場合、前記操作ログおよび前記制御ログの比較結果に応じて、前記モビリティの異常が引き起こされた原因を示す攻撃源を複数の攻撃源の中から特定する攻撃源特定ステップと、前記攻撃源特定ステップにより特定された前記攻撃源に応じた対策を実施するための通知を行う異常通知ステップと、を含む。

【0034】

これにより、上記の異常監視装置と同様の効果を奏する。

【0035】

なお、これらの全般的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータで読み取り可能なＣＤ－ＲＯＭ等の記録媒体で実現されても良く、システム、方法、集積回路、コンピュータプログラムまたは記録媒体の任意な組み合わせで実現されてもよい。

【0036】

以下、実施の形態に係る異常検知装置について図面を参照しながら説明する。ここで示す実施の形態は、いずれも本開示の一具体例を示すものである。従って、以下の実施の形態で示される数値、構成要素、構成要素の配置および接続形態、並びに、処理の要素としてのステップおよびステップの順序等は、一例であって本開示を限定するものではない。以下の実施の形態における構成要素のうち、独立請求項に記載されていない構成要素については、任意に付加可能な構成要素である。

【0037】

また、各図は、模式図であり、必ずしも厳密に図示されたものではない。したがって、例えば、各図において縮尺等は必ずしも一致しない。また、各図において、実質的に同一の構成については同一の符号を付しており、重複する説明は省略または簡略化する。

【0038】

また、本明細書において、同じ、同一等の要素間の関係性を示す用語、並びに、数値、および、数値範囲は、厳格な意味のみを表す表現ではなく、実質的に同等な範囲、例えば数％程度（例えば、１０％程度）の差異をも含むことを意味する表現である。

【0039】

（実施の形態）
［車両遠隔操作システムの全体構成］
図１は、本実施の形態における車両遠隔操作システムの全体構成図である。本実施の形態では、モビリティの一例である車両４０を用いて説明する。車両４０は、例えば、電動化されている。

【0040】

図１において、車両遠隔操作システムは、異常監視装置１０と、車両操作装置２０と、車両制御装置３０とを備える。車両遠隔操作システムは、車両４０（モビリティの一例）を遠隔操作（遠隔制御）するためのシステムであり、遠隔操作可能な遠隔操作システムの一例である。

【0041】

異常監視装置１０と、車両操作装置２０と、車両制御装置３０とは、インターネット等の外部ネットワークを介して接続される。ここで、外部ネットワークへの接続形態は、有線であっても無線であってもよいし、車両操作装置２０と車両制御装置３０とは、外部ネットワークを介さずに５Ｇネットワークまたはラジオ無線等のローカルエリアネットワークにて接続されてもよい。

【0042】

異常監視装置１０は、車両操作装置２０および車両制御装置３０の異常を監視する装置であり、車両操作装置２０から操作コマンドの履歴である操作ログを収集し、車両制御装置３０から制御コマンドの履歴である制御ログと、車両４０の位置情報の履歴である位置ログとを収集して異常を監視する。当該車両制御装置３０は、車両操作装置２０が遠隔操作する対象の車両４０に搭載されている車両制御装置である。

【0043】

ここで、異常監視装置１０は、複数の車両操作装置２０と複数の車両制御装置３０とを監視してもよい。つまり、車両遠隔操作システムが備える車両操作装置２０および車両制御装置３０の数は特に限定されない。

【0044】

なお、異常を監視するとは、異常があるか否かを判定することを含む。また、操作ログを収集するとは、車両操作装置２０から操作ログを取得することを意味し、制御ログおよび位置ログを収集するとは、車両制御装置３０から制御ログおよび位置ログを取得することを意味する。

【0045】

車両操作装置２０は、オペレータが車両４０を遠隔操作するための遠隔操作装置であり、オペレータから操作コマンドの入力を受け付け、車両制御装置３０へ操作コマンドを送信する。ここで、車両操作装置２０は、複数の車両４０（複数の車両制御装置３０）を遠隔操作してもよい。

【0046】

車両制御装置３０は、車両操作装置２０からの操作コマンドに応じて車両４０を制御するための制御装置であり、車両操作装置２０から操作コマンドを受信し、車両４０にて実行する。

【0047】

制御コマンドは、車両４０を制御したコマンドであり、例えば、車両４０にて実行された操作コマンドは制御コマンドに含まれる。以降において、制御コマンドは、車両４０にて実行された操作コマンドを意味する。

【0048】

［異常監視装置１０の構成］
図２は、本実施の形態における異常監視装置１０の機能構成を示すブロック図である。異常監視装置１０は、図１に示すような車両遠隔操作システムに用いられる装置である。図２において、異常監視装置１０は、通信部１０１と、ログ収集部１０２と、ログ記憶部１０３と、異常検知部１０４と、攻撃源判定部１０５と、異常通知部１０６と、を備える。

【0049】

通信部１０１は、外部ネットワークを介して車両操作装置２０および車両制御装置３０と通信する。通信部１０１は、例えば、通信回路（通信モジュール）を含んで構成される。

【0050】

ログ収集部１０２は、車両操作装置２０から操作ログを通信部１０１を介して受信し、車両制御装置３０から制御ログと位置ログとを通信部１０１を介して受信する。なお、ログ収集部１０２は、少なくとも操作ログと制御ログとを受信すればよい。例えば、ログ収集部１０２は、車両４０を遠隔操作する車両操作装置２０から操作コマンドの履歴である操作ログを収集し、車両４０に搭載される車両制御装置３０から制御コマンドの履歴である制御ログを収集するともいえる。以降においては、ログ収集部１０２は、操作ログと制御ログと位置ログとを収集する例について説明する。

【0051】

ログ収集部１０２は、例えば、同一期間における操作ログと制御ログと位置ログとを収集する。なお、操作ログと制御ログと位置ログとは、例えば、定期的に収集されるが、収集タイミングは特に限定されない。

【0052】

ログ記憶部１０３は、受信した操作ログと制御ログと位置ログとを記憶する。ログ記憶部１０３は、半導体メモリなどにより実現されるが、これに限定されない。

【0053】

異常検知部１０４は、操作ログおよび制御ログの少なくとも１つに基づいて、車両４０が異常であるか否かを検知する。異常検知部１０４は、例えば、少なくとも操作ログおよび制御ログに基づいて、車両４０が異常であるか否かを検知してもよい。本実施の形態では、異常検知部１０４は、異常検知ルールと、操作ログ、制御ログおよび位置ログとに基づいて、車両４０の異常を検知する。異常検知ルールおよび異常検知方法についての詳細は後述する。

【0054】

攻撃源判定部１０５は、異常検知部１０４により異常であることが検知された場合に、操作ログと制御ログとの比較結果に基づいて攻撃源を判定する。攻撃源判定部１０５は、例えば、比較結果に基づいて、複数の攻撃源（複数の攻撃源の候補）の中から現在の車両４０の異常に対する攻撃源を特定する。攻撃源判定部１０５は、例えば、異常手段判定ルールに基づいて攻撃源を特定する。攻撃源判定部１０５は、攻撃源特定部の一例である。異常手段判定ルールおよび攻撃源判定方法の詳細は後述する。

【0055】

攻撃源判定部１０５は、例えば、異常検知部１０４により異常であることが検知された場合に、異常が引き起こされた攻撃源を少なくとも操作ログと制御ログとの差異に応じて特定してもよい。また、攻撃源判定部１０５は、例えば、異常検知部１０４により異常であることが検知された場合に、操作ログおよび制御ログのうち異常が含まれていると想定されるログの種類を示す異常ログを取得し、取得した異常ログに応じて、車両４０の異常が引き起こされた原因を示す攻撃源を特定してもよい。

【0056】

なお、攻撃源は、攻撃の原因を特定するための情報であり、車両４０の異常が引き起こされた原因に関する情報である。攻撃源は、車両４０の異常を引き起こす原因となった攻撃（例えば、コマンドの改ざん、物理的な攻撃など）が行われた位置（例えば、通信路または車両４０の近距離）、車両４０の異常を引き起こした主体（例えば、オペレータ、第三者など）などを含む情報である。

【0057】

異常通知部１０６は、攻撃源判定部１０５により特定された攻撃源に応じた対策を実施するための通知を、車両操作装置２０および車両制御装置３０の少なくとも一方に対して行う。例えば、異常通知部１０６は、異常検知時に車両操作装置２０および車両制御装置３０へ攻撃源を含む情報を通知する。また、異常通知部１０６は、車両４０にドライバが搭乗している場合は、ドライバへ異常を通知してもよいし、車両４０近くの警備員へ異常を通知してもよい。

【0058】

［車両操作装置２０の構成］
図３は、本実施の形態における車両操作装置２０の機能構成を示すブロック図である。図３において、車両操作装置２０は、通信部２０１と、操作コマンド入力部２０２と、操作コマンド送信部２０３と、操作ログ記憶部２０４と、操作ログ送信部２０５と、異常対策部２０６と、を備える。車両操作装置２０は、操作装置の一例である。

【0059】

通信部２０１は、外部ネットワークを介して異常監視装置１０および車両制御装置３０と通信する。通信部２０１は、例えば、通信回路（通信モジュール）を含んで構成される。

【0060】

操作コマンド入力部２０２は、車両４０の遠隔操作を担当するオペレータから車両４０の制御を指示する操作コマンドの入力を受け付ける。ここで、操作コマンドは、キーボード、マウスまたはゲーミングコントローラで入力されてもよいし、音声により入力されてもよい。操作コマンド入力部２０２は、キーボード、マウス、ゲーミングコントローラ、タッチパネル、マイクなどにより実現される。

【0061】

操作コマンド送信部２０３は、入力された操作コマンドを通信部２０１を介して車両制御装置３０へ送信する。

【0062】

操作ログ記憶部２０４は、操作コマンドの履歴を操作ログとして記憶する。操作ログの詳細については後述する。操作ログ記憶部２０４は、半導体メモリなどにより実現されるが、これに限定されない。

【0063】

操作ログ送信部２０５は、操作ログを通信部２０１を介して異常監視装置１０へ送信する。

【0064】

異常対策部２０６は、異常監視装置１０から判定された攻撃源を受信し、受信した攻撃源と、攻撃源ごとの対策を示す異常対策ルールとに基づいて、対策を実施する。異常対策部２０６は、例えば、車両操作装置２０において実施する対策を決定する。異常対策ルールの詳細については後述する。

【0065】

なお、車両操作装置２０は、操作ログを送信する異常監視装置１０を特定するための情報（例えば、識別情報）を予め記憶していてもよい。また、車両操作装置２０は、制御対象となる車両４０が決定されると、当該車両４０または当該車両４０に搭載される車両制御装置３０を特定するための情報を異常監視装置１０に送信してもよい。

【0066】

［車両制御装置３０の構成］
図４は、本実施の形態における車両制御装置３０の機能構成を示すブロック図である。図４において、車両制御装置３０は、通信部３０１と、操作コマンド受信部３０２と、車両制御部３０３と、制御ログ記憶部３０４と、位置ログ記憶部３０５と、制御ログ送信部３０６と、位置ログ送信部３０７と、異常対策部３０８と、を備える。車両制御装置３０は、制御装置の一例である。

【0067】

通信部３０１は、外部ネットワークを介して異常監視装置１０および車両操作装置２０と通信する。通信部３０１は、例えば、通信回路（通信モジュール）を含んで構成される。

【0068】

操作コマンド受信部３０２は、異常監視装置１０から操作コマンドを通信部３０１を介して受信する。

【0069】

車両制御部３０３は、操作コマンドに基づいて車両４０を制御する。車両制御部３０３は、さらに、車両制御時の位置情報をＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）等から取得する。制御コマンドの詳細については後述する。

【0070】

制御ログ記憶部３０４は、制御コマンドの履歴を制御ログとして記憶する。制御ログの詳細については後述する。制御ログ記憶部３０４は、半導体メモリなどにより実現されるが、これに限定されない。

【0071】

位置ログ記憶部３０５は、車両４０の位置情報の履歴を位置ログとして記憶する。位置ログの詳細については後述する。位置ログ記憶部３０５は、半導体メモリなどにより実現されるが、これに限定されない。

【0072】

制御ログ送信部３０６は、制御ログを通信部３０１を介して異常監視装置１０へ送信する。

【0073】

位置ログ送信部３０７は、位置ログを通信部３０１を介して異常監視装置１０へ送信する。

【0074】

異常対策部３０８は、異常監視装置１０から判定された攻撃源を受信し、受信した攻撃源と、攻撃源ごとの対策を示す異常対策ルールとに基づいて、対策を実施する。異常対策部３０８は、例えば、車両制御装置３０において実施する対策を決定する。異常対策ルールの詳細については後述する。

【0075】

［操作ログの一例］
図５は、本実施の形態における操作ログの一例を示す図である。図５に示す操作ログは、例えば、車両操作装置２０が保持（記憶）している。

【0076】

操作ログは、時刻と操作コマンドとを含んで構成される。操作コマンドは、操作コマンド入力部２０２を介してオペレータから入力された車両４０の操作コマンドである。時刻は、操作コマンドが操作コマンド送信部２０３によって送信された時刻である。

【0077】

操作コマンドは、車両４０の移動または特殊動作（例えば配送時の作業）を行わせるためのコマンドである。操作コマンドには、例えば、右移動、左移動、右旋回、左旋回、前進、後退、アクションＡ、アクションＢなどが記載される。

【0078】

右移動、左移動、右旋回、左旋回、前進および後退は、車両４０の移動を制御するコマンドの一例である。

【0079】

アクションＡおよびアクションＢは、車両４０の特殊動作を制御するコマンドの一例であり、具体的には車両４０のドアオープンまたは車両４０のシステム再起動、車両４０の接近者に対する警告アラートなどである。

【0080】

また、時刻Ｔ８における操作コマンドには、（異常）と記載があるが、操作コマンドであるアクションＢに異常が含まれていることを説明するためであり、実際の操作ログには記載されていない。

【0081】

異常検知部１０４は、例えば、操作ログを取得し参照することで、オペレータに対してアクションＢの操作権限が与えられていないにも関わらずアクションＢが実行された場合に異常として検知可能である。この場合、異常監視装置１０は、オペレータに対して権限が与えられている操作に関する情報を、予め記憶している。なお、参照するとは、例えば、基準等と比較することを含む。

【0082】

また、異常検知部１０４は、例えば、アクションＢの操作条件と車両４０の状態とが一致していないにも関わらずアクションＢが実行された場合に異常として検知可能である。例えば、異常検知部１０４は、アクションＢが車両４０のドアオープンであり、アクションＢの操作条件が車両４０が停止していることである場合、車両４０が走行中（車両４０の状態の一例）に車両４０のドアがオープンしたときに異常として検知可能である。この場合、異常監視装置１０は、アクションごとの操作条件に関する情報を、予め記憶している。また、異常監視装置１０は、例えば、車両制御装置３０から現在の車両４０の状態を示す情報を取得する。

【0083】

また、異常検知部１０４は、例えば、オペレータが普段アクションＢを実行していないにも関わらずアクションＢが実行された場合に異常として検知可能である。この場合、異常監視装置１０は、オペレータの過去の操作ログを記憶しており、異常検知部１０４は、当該過去の操作ログと現在のアクションＢとを比較することにより、異常を検知してもよい。

【0084】

［制御ログの一例］
図６は、本実施の形態における制御ログの一例を示す図である。図６に示す制御ログは、例えば、車両制御装置３０が保持している。

【0085】

制御ログは、時刻と制御コマンドとを含んで構成される。制御コマンドは、操作コマンド受信部３０２を介してオペレータから受信して、車両制御部３０３にて実行された操作コマンドである。時刻は、制御コマンドが車両制御部３０３にて実行された時刻である。

【0086】

制御コマンドは、車両４０の移動または特殊動作（例えば配送時の作業）を行わせたコマンドである。制御コマンドには、例えば、右移動、左移動、右旋回、左旋回、前進、後退、アクションＡ、アクションＢ、アクションＣなどが記載される。

【0087】

右移動、左移動、右旋回、左旋回、前進および後退は、車両４０の移動を制御するコマンドの一例である。

【0088】

アクションＡ、アクションＢおよびアクションＣは、車両４０の特殊動作を制御するコマンドであり、具体的には車両４０のドアオープンまたは車両４０のシステム再起動、車両４０の接近者に対する警告アラートなどである。

【0089】

また、時刻Ｔ４における制御コマンドには、（異常）と記載があるが、制御コマンドに異常が含まれていることを説明するためであり、実際の制御ログには記載されない。

【0090】

異常検知部１０４は、例えば、制御ログを取得し参照することで、車両４０に対してアクションＣの操作権限が与えられていないにも関わらずアクションＣが実行された場合に異常として検知可能である。この場合、異常監視装置１０は、車両４０に対して権限が与えられている動作に関する情報を、予め記憶している。

【0091】

また、異常検知部１０４は、例えば、アクションＣの制御条件と車両４０の状態とが一致していないにも関わらずアクションＣが実行された場合に異常として検知可能である。この場合、異常監視装置１０は、アクションごとの制御条件に関する情報を、予め記憶している。また、異常監視装置１０は、例えば、車両制御装置３０から現在の車両４０の状態を示す情報を取得する。

【0092】

また、異常検知部１０４は、例えば、車両４０が普段アクションＣを実行していないにも関わらずアクションＣが実行された場合に異常として検知可能である。この場合、異常監視装置１０は、車両４０の過去の制御ログを記憶しており、異常検知部１０４は、当該過去の制御ログと現在のアクションＣとを比較することにより、異常を検知してもよい。

【0093】

［位置ログの一例］
図７は、本実施の形態における位置ログの一例を示す図である。図７に示す位置ログは、例えば、車両制御装置３０が保持している。

【0094】

位置ログは、時刻と位置情報とを含んで構成される。位置情報は、車両制御部３０３にて制御コマンドが実行されたときの車両４０の位置情報がＧＰＳなどから取得される。時刻は、位置情報が取得された時刻である。

【0095】

位置情報は、例えば、Ｘ、Ｙ、Ｚなどが記載され、Ｘは緯度、Ｙは経度、Ｚは標高を表す。なお、位置情報は、例えば、基準点からの相対的な位置関係を示す情報であってもよい。

【0096】

また、時刻Ｔ６における位置情報には、（異常）と記載があるが、位置情報に異常が含まれていることを説明するためであり、実際の位置情報には記載されない。

【0097】

異常検知部１０４は、例えば、位置ログを取得し参照することで、時刻Ｔ５（位置情報「Ｘ、Ｙ＋１、Ｚ」）と、時刻Ｔ６（位置情報「Ｘ、Ｙ＋３、Ｚ」）との間で、車両４０が東向きに２度移動したことがわかる。ここで、異常検知部１０４は、車両４０の走行性能として時刻Ｔ６－時刻Ｔ５の期間で２度移動することは困難であるにも関わらず２度移動した場合、第三者によって性能を上回る速度で車両４０が移動させられたと判定して異常として検知可能である。この場合、異常監視装置１０は、車両制御装置３０が搭載された車両４０の走行性能に関する情報（例えば、カタログ値）を、予め記憶している。例えば、異常監視装置１０は、車両４０の走行性能の正常範囲（例えば、速度、加速度および操舵角の変化の正常範囲）、または、制御コマンドに対する走行における正常範囲（例えば、前進するときの速度または加速度の正常範囲）を記憶していてもよい。

【0098】

また、異常検知部１０４は、位置情報に替えてまたは位置情報に加えて、車両４０の速度または加速度を位置ログとして用いてもよい。この場合、車両４０の速度または加速度は、車両制御部３０３が速度センサおよび加速度センサから情報を取得して、位置ログとして位置ログ記憶部３０５に記憶する。これにより、異常検知部１０４は、第三者が車両４０へ物理的に衝撃を与えた場合に、異常として検知可能となる。なお、第三者は、車両４０の搭乗者およびオペレータ以外の人物であるが、他のモビリティ（悪意のあるモビリティ）であってもよい。

【0099】

［ログの一例］
図８は、本実施の形態におけるログの一例を示す図である。図８に示すログは、例えば、異常監視装置１０が収集した各種ログである。異常監視装置１０は、車両操作装置２０から操作ログを収集し、車両制御装置３０から制御ログと位置ログとを収集してログ記憶部１０３に記憶する。ログは、同一期間（例えば、時刻Ｔ１～Ｔ８）に送信または取得されたコマンドおよび位置情報が対応付けられる。

【0100】

ログは、時刻、操作コマンド、制御コマンドおよび位置情報を含んで構成され、それぞれ、操作ログの一例（図５）、制御ログの一例（図６）および位置ログの一例（図７）で述べた通りである。

【0101】

また、それぞれ時刻として、操作コマンドの送信時刻と、制御コマンドの実行時刻と、位置情報の取得時刻とを用いるため、通信遅延などで操作コマンド、制御コマンドおよび位置情報の時刻が完全に一致しない。そこで、通信遅延を考慮して時刻を０．５秒単位に丸めて、同一時刻として扱う。例えば、時刻が０．５秒ずれている操作コマンドおよび制御コマンドを、同一時刻のコマンドである、例えば、操作コマンドに対応する制御コマンドであるとして、異常の判定が行われる。

【0102】

ここで、０．５秒は時刻を丸める基準の一例であり、０．５秒に限定されず、時刻を丸める所定の基準があればよい。

【0103】

また、ログには（異常）と記載が含まれる例もあるが、ログに異常が含まれていることを説明するためであり、実際のログには記載されない。

【0104】

異常検知部１０４は、例えば、ログに含まれる操作コマンドを参照することで、操作ログの一例の説明で述べた異常を検知可能となり、ログに含まれる制御コマンドを参照することで、制御ログの一例の説明で述べた異常を検知可能となり、ログに含まれる位置ログを参照することで、位置ログの一例の説明で述べた異常を検知可能となる。

【0105】

異常検知部１０４は、さらに、同一時刻の制御コマンドと位置情報とを参照することで、車両制御部３０３にて制御コマンドとして後退が実行されたにも関わらず位置情報に変化がない場合、第三者によって車両４０が固定されているとして異常として検知可能である。つまり、異常検知部１０４は、同一時刻の制御コマンドと位置情報との間において矛盾が生じているか否かを判定し、矛盾が生じている場合、異常として検知可能である。

【0106】

異常検知部１０４は、さらに、同一時刻の操作コマンドと制御コマンドとを参照することで、オペレータの操作コマンドが車両４０にて正しく実行されているかどうかを判定できる。

【0107】

例えば、時刻Ｔ４の操作コマンドは左旋回であるが、制御コマンドはアクションＣである。これは、悪意のある第三者によって、操作コマンドの送信から制御コマンドの実行までの通信路において操作コマンドが改ざんされてアクションＣが車両４０にて実行されたことを示している。異常検知部１０４は、例えば、操作コマンドと制御コマンドとが一致しない場合、異常として検知可能である。

【0108】

このように、操作ログ、制御ログおよび位置ログを取得することで、異常検知部１０４は、操作コマンド単独で判定可能な異常、制御コマンド単独で判定可能な異常、位置情報単独で判定可能な異常に加えて、２以上のログの組み合わせにより判定可能な異常を検知可能である。

【0109】

また、操作ログと制御ログとは、さらにハッシュ値を含んでいてもよい。例えば、ログ収集部１０２は、操作ログのハッシュ値、および、制御ログのハッシュ値を収集してもよい。ハッシュ値を含む場合、普段オペレータが操作していない操作コマンドが入力されて異常として検知するなどの詳細な検知はできないものの、前述の操作コマンドと制御コマンドとが一致しているかどうかという判定は実現可能である。つまり、車両４０の異常の有無をハッシュ値により判定可能である。

【0110】

ログをハッシュ値で取得する場合、詳細な時刻情報をハッシュ関数の入力に含めると通信遅延のため操作ログと制御ログとのハッシュ値が一致しないため、ハッシュ関数の入力として、例えば、１分間（例えば、１０時から１０時１分までの期間）の操作コマンド群、および、１分間（例えば、１０時から１０時１分までの期間）の制御コマンド群を用いる。例えば、Ｄ１（Ｔ１－Ｔ８）の期間で取得された操作コマンドの群のハッシュ値である０ｘＡＢＣＤと、Ｄ１の期間で取得された制御コマンドの群のハッシュ値である０ｘＥＦＧＨを取得して記憶する。図８の例では、時刻Ｔ４において操作コマンドと制御コマンドとが一致していないため、操作コマンドの群のハッシュ値と制御コマンドの群のハッシュ値とは一致しない。

【0111】

この場合、車両操作装置２０と車両制御装置３０とは共通のハッシュ関数を、予め記憶していてもよい。

【0112】

なお、異常監視装置１０は、車両操作装置２０から第１期間の操作コマンドに対するハッシュ値を含む第１の操作ログを収集し、車両制御装置３０から当該第１期間の制御コマンドに対するハッシュ値を含む第１の制御ログを収集し、ハッシュ値が一致しない（比較結果の一例）場合、さらに、車両操作装置２０から当該第１期間の操作コマンドを含む第２の操作ログを収集し、車両制御装置３０から当該第１期間の制御コマンドを含む第２の制御ログを収集してもよい。このように、異常監視装置１０は、第１の操作ログおよび第１の制御ログを用いて車両４０の異常の有無を判定し、かつ、第２の操作ログおよび第２の制御ログを用いて異常の原因を示す攻撃源を特定するように構成されてもよい。

【0113】

［異常検知ルールの一例］
図９は、本実施の形態における異常検知ルールの一例を示す図である。図９に示す異常検知ルールは、異常監視装置１０が異常検知を行う場合に利用される。例えば、異常検知ルールは、異常監視装置１０の異常検知部１０４にて操作ログ、制御ログおよび位置ログを用いて異常を検知する際に利用される。

【0114】

異常検知ルールは、番号、種類、ルールおよび異常箇所を含んで構成される。番号は異常検知ルールの識別番号であり、種類は異常検知に用いるログの種類であり、ルールは異常として検知する条件であり、異常箇所は異常として検知した場合に、異常が含まれていると想定されるログの種類が記載される。異常箇所に示されるログは、異常ログの一例である。

【0115】

例えば、番号１の異常検知ルールでは、操作ログと制御ログとを用いて、同一時刻の操作コマンドと制御コマンドとが一致しない場合に異常として検知し、制御ログに異常が含まれていると判定するルールが記載されている。図９に記載のルールは、それぞれ、操作ログの一例、制御ログの一例、位置ログの一例およびログの一例で述べた異常を検知するためのルールを一例として記載している。

【0116】

また、例えば、番号２～４の異常検知ルールでは、操作ログにおいて、未許可の操作コマンドが入力された、操作コマンド時（操作コマンドの実行時）のコンテキスト（例えば、車両４０の状態）が異なる、普段のふるまいと異なる操作コマンドである場合に異常として検知し、操作ログに異常が含まれていると判定するルールが記載されている。

【0117】

また、例えば、番号５～７の異常検知ルールでは、制御ログにおいて、未許可の制御コマンドが入力された、制御コマンド時（制御コマンドの実行時）のコンテキスト（例えば、車両４０の状態）が異なる、普段のふるまいと異なる制御コマンドである場合に異常として検知し、制御ログに異常が含まれていると判定するルールが記載されている。

【0118】

また、例えば、番号８の異常検知ルールでは、位置ログにおいて、車両４０の性能を超える距離を移動したことが検知された場合に異常として検知し、位置ログに異常が含まれていると判定するルールが記載されている。

【0119】

また、例えば、番号９の異常検知ルールでは、制御ログと位置ログとを用いて、制御コマンドと異なる位置情報の変化をした場合に異常として検知し、位置ログに異常が含まれていると判定するルールが記載されている。

【0120】

このように、異常検知部１０４が異常検知ルールを保持することで、操作ログ、制御ログおよび位置ログのそれぞれに対して異常の検知が可能である。

【0121】

異常検知ルールは、操作ログおよび制御ログのそれぞれの異常を検知するための第１のルールの一例である。本実施の形態では、異常検知ルールは、位置ログの異常に関する情報を含む。

【0122】

なお、同一時刻の操作コマンドと制御コマンドとが一致しないことは、操作ログのハッシュ値と制御ログのハッシュ値とが一致しないことを含む。異常検知部１０４は、操作ログのハッシュ値と制御ログのハッシュ値とが一致しない場合に異常であると検知してもよい。

【0123】

［攻撃源判定ルールの一例］
図１０は、本実施の形態における攻撃源判定ルールの一例を示す図である。図１０に示す攻撃源判定ルールは、異常監視装置１０が攻撃源判定を行う場合に利用される。例えば、攻撃源判定ルールは、異常監視装置１０の攻撃源判定部１０５にて異常が引き起こされた攻撃源を特定するために利用される。

【0124】

攻撃源判定ルールは、番号と、ルールと、攻撃源とを含んで構成される。番号は攻撃源判定ルールの識別番号であり、ルールは攻撃源を判定する条件であり、攻撃源は判定される攻撃源が記載される。

【0125】

例えば、番号１の攻撃源判定ルールでは、同一時刻の操作コマンドと制御コマンドとが一致しない場合、攻撃源は通信路であると判定される。攻撃源判定部１０５は、操作コマンドと制御コマンドとが一致しない場合、図１０に示す攻撃源判定ルールに基づいて、車両操作装置２０と車両制御装置３０との間の通信路にてオペレータの操作コマンドが改ざんされて車両４０にて実行された可能性が高いため、攻撃源が通信路（第一の攻撃源の一例）であると判定する。第一の攻撃源は、車両操作装置２０と車両制御装置３０との通信路で悪意のある操作コマンドが挿入されたと想定される場合の攻撃源である。なお、同一時刻の操作コマンドと制御コマンドとが一致しないことは、操作ログと制御ログとの比較結果の一例である。

【0126】

また、例えば、番号２の攻撃源判定ルールでは、操作ログと制御ログとの両方で異常が発生した場合、攻撃源はオペレータであると判定される。攻撃源判定部１０５は、操作ログと制御ログとの両方で異常が検知された場合、図１０に示す攻撃源判定ルールに基づいて、悪意のあるオペレータが異常な操作コマンドを入力し、車両４０にて異常な制御コマンドが実行された可能性が高いため、攻撃源がオペレータ（第二の攻撃源の一例）であると判定する。第二の攻撃源は、車両操作装置２０を利用するオペレータが悪意のある操作コマンドを送信したと想定される場合の攻撃源である。なお、操作ログと制御ログとの両方で異常が発生したことは、操作ログと制御ログとの比較結果の一例である。

【0127】

また、例えば、番号３の攻撃源判定ルールでは、位置ログのみで異常が発生した場合、攻撃源は近距離であると判定される。攻撃源判定部１０５は、操作ログと制御ログとの両方で異常が検知されず、かつ、位置ログのみで異常が検知された場合、第三者が車両４０に物理的に接近して、車両４０に異常をもたらした可能性が高いため、攻撃源が近距離（第三の攻撃源の一例）であると判定する。第三の攻撃源は、車両制御装置３０が物理的に攻撃されたと想定される場合の攻撃源である。なお、操作ログと制御ログとの両方で異常が検知されず、かつ、位置ログのみで異常が検知されたことは、操作ログと制御ログとの比較結果の一例である。

【0128】

攻撃源判定ルールは、攻撃源を特定するために用いられるルールであり、第２ルールの一例である。攻撃源判定ルールには、少なくとも操作ログおよび制御ログに基づいて攻撃源を特定可能な情報を含む。例えば、攻撃源判定部１０５は、操作ログおよび制御ログと、攻撃源判定ルールとに基づいて、車両４０の異常に対する攻撃源を特定する。なお、本実施の形態では、攻撃源判定ルールには、さらに位置ログの異常に基づいて攻撃源を特定可能な情報を含む。

【0129】

［異常対策ルールの一例］
図１１は、本実施の形態における異常対策ルールの一例を示す図である。図１１に示す異常対策ルールは、車両操作装置２０と車両制御装置３０とが異常対策を行う場合に利用される。例えば、異常検知ルールは、車両操作装置２０の異常対策部２０６と、車両制御装置３０の異常対策部３０８とにおいて異常の対策手段を講じる（実行する）ために利用される。

【0130】

異常対策ルールは、攻撃源およびルールを含んで構成される。攻撃源は異常監視装置１０の攻撃源判定部１０５が判定した攻撃源の種類であり、ルールは該当する攻撃源に対する対策として実施する内容が記載される。

【0131】

例えば、攻撃源が通信路である場合、図１１に示す異常対策ルールでは、車両４０に搭載される車両制御装置３０の遠隔制御機能を停止する（第一の攻撃源に対する対策の一例）ことで、攻撃を受けることを抑制する。第一の攻撃源に対する対策は、車両制御部３０３が車両操作装置２０からの操作コマンドを受け付けないことで実現可能である。

【0132】

また、例えば、攻撃源がオペレータである場合、図１１に示す異常対策ルールでは、オペレータの車両操作装置２０へのアクセス権限を破棄する（第二の攻撃源に対する対策の一例）ことで、攻撃を受けることを抑制する。第二の攻撃源に対する対策は、操作コマンド入力部２０２がオペレータからの操作コマンドを受け付けないことで実現可能である。

【0133】

また、例えば、攻撃源が近距離である場合、図１１に示す異常対策ルールでは、警報アラームなどを用いて車両制御装置３０の周囲へ警告を実施する（第三の攻撃源に対する対策の一例）ことで、攻撃を受けることを抑制する。第三の攻撃源に対する対策は、異常対策部３０８が警報動作を実行することで実現可能である。

【0134】

このように、異常対策ルールを用いることで、異常対策部２０６および３０８の少なくとも一方において、攻撃源判定部１０５が判定した攻撃源に応じた対策を実行することが可能になる。これにより、異常対策部２０６および３０８は、原因に応じた対策を講じることができるため、より安全な自律走行可能な車両４０（自律走行モビリティの一例）を提供できる。

【0135】

［車両遠隔操作の処理シーケンス］
図１２は、本実施の形態における車両遠隔操作の処理シーケンスを示す図である。具体的には、図１２は、オペレータが操作コマンドを入力してから車両４０が当該操作コマンドに基づく制御コマンドにより制御された後に位置情報を記憶するまでの処理シーケンスを示している。

【0136】

（Ｓ１２０１）車両操作装置２０の操作コマンド入力部２０２は、オペレータから操作コマンドの入力を受け付け、入力された操作コマンドを操作コマンド送信部２０３へ送信する。

【0137】

（Ｓ１２０２）車両操作装置２０の操作コマンド送信部２０３は、受信した操作コマンドを操作コマンド受信部３０２へ送信し、操作コマンドと操作コマンドが送信された時刻とを操作ログ記憶部２０４へ記憶する。

【0138】

（Ｓ１２０３）車両制御装置３０の操作コマンド受信部３０２は、受信した操作コマンドを車両制御部３０３へ送信する。

【0139】

（Ｓ１２０４）車両制御装置３０の車両制御部３０３は、受信した操作コマンドを制御コマンドとして、車両４０の制御を実行し、実行された制御コマンドと当該制御コマンドが実行された時刻とを制御ログ記憶部３０４へ記憶する。

【0140】

（Ｓ１２０５）車両制御装置３０の車両制御部３０３は、ＧＰＳなどから車両４０の位置情報を取得し、位置情報と位置情報を取得した時刻とを位置ログ記憶部３０５へ記憶する。位置情報を取得する時刻は、制御コマンドが実行された時刻と同じ時刻を含むとよい。位置情報は、例えば、制御コマンドが実行される前、および、実行された後のそれぞれにおいて取得されてもよいし、制御コマンドの実行中に取得されてもよい。

【0141】

［ログ収集の処理シーケンス］
図１３は、本実施の形態におけるログ収集の処理シーケンスを示す図である。具体的には、図１３は、ログ収集部１０２が操作ログと制御ログと位置ログとを収集して記憶するまでの処理シーケンスを示している。

【0142】

（Ｓ１３０１）操作ログ送信部２０５は、操作ログ記憶部２０４が記憶している操作ログをログ収集部１０２へ送信する。

【0143】

（Ｓ１３０２）ログ収集部１０２は、受信した操作ログをログ記憶部１０３に記憶する。

【0144】

（Ｓ１３０３）制御ログ送信部３０６は、制御ログ記憶部３０４が記憶している制御ログをログ収集部１０２へ送信する。

【0145】

（Ｓ１３０４）ログ収集部１０２は、受信した制御ログをログ記憶部１０３に記憶する。

【0146】

（Ｓ１３０５）位置ログ送信部３０７は、位置ログ記憶部３０５が記憶している位置ログをログ収集部１０２へ送信する。

【0147】

（Ｓ１３０６）ログ収集部１０２は、受信した位置ログをログ記憶部１０３に記憶する。

【0148】

ここで、操作ログ送信部２０５と、制御ログ送信部３０６と、位置ログ送信部３０７とは、定期的にログをログ収集部１０２へ送信してもよいし、ログの記憶容量に応じて送信してもよいし、ログ収集部１０２からの指示に応じて送信してもよい。

【0149】

また、ログ収集部１０２は、図８に示すように、受信した操作ログ、制御ログおよび位置ログを時刻ごとに対応付けてログ記憶部１０３に記憶してもよい。

【0150】

［異常検知から異常対策までの処理シーケンス］
図１４は、本実施の形態における異常検知から異常対策までの処理シーケンスを示す図である。具体的には、図１４は、ログ収集部１０２が操作ログと制御ログと位置ログとを収集してから異常検知部１０４が異常を検知し、攻撃源判定部１０５が攻撃源を判定し、異常対策部２０６または異常対策部３０８が異常対策を実施するまでの処理シーケンスを示している。

【0151】

（Ｓ１４０１）異常検知部１０４は、ログ記憶部１０３が記憶している操作ログと制御ログと位置ログとを取得する。

【0152】

（Ｓ１４０２）異常検知部１０４は、異常検知ルール（例えば、図８を参照）と、操作ログ、制御ログおよび位置ログとに基づいて、異常を検知する。異常を検知した場合、異常検知部１０４は、検知した異常を攻撃源判定部１０５へ通知する。異常検知部１０４は、どのルールの異常が検知されたか、および、異常箇所の少なくとも一方を攻撃源判定部１０５へ通知してもよい。

【0153】

例えば、異常検知部１０４は、同一時刻の操作コマンドと制御コマンドとが一致しないことが検知された場合、同一時刻の操作コマンドと制御コマンドとが一致しない異常が検知されたこと、および、異常箇所が制御ログであることの両方を攻撃源判定部１０５へ通知してもよい。なお、異常検知方法の詳細は後述する。

【0154】

（Ｓ１４０３）攻撃源判定部１０５は、異常を受信した場合、ログ記憶部１０３が記憶している操作ログと制御ログと位置ログとを取得する。そして、攻撃源判定部１０５は、攻撃源判定ルールを用いて攻撃源を判定し、判定された攻撃源を異常通知部１０６へ送信する。攻撃源判定方法の詳細は後述する。

【0155】

（Ｓ１４０４）異常通知部１０６は、異常の発生と攻撃源判定部１０５が判定した攻撃源とを異常対策部２０６または異常対策部３０８へ送信する。異常通知部１０６は、例えば、攻撃源が通信路または近距離である場合、異常の発生と攻撃源判定部１０５が判定した攻撃源とを異常対策部３０８へ送信し、攻撃源がオペレータである場合、異常の発生と攻撃源判定部１０５が判定した攻撃源とを異常対策部２０６へ送信する。なお、異常通知部１０６は、例えば、攻撃源判定部１０５が判定した攻撃源に関わらず、異常の発生と攻撃源判定部１０５が判定した攻撃源とを異常対策部２０６および異常対策部３０８のそれぞれへ送信してもよい。これにより、異常通知部１０６は、通信路または近距離で異常が発生していることを、オペレータに知らせることができる。

【0156】

（Ｓ１４０５）異常対策部２０６または異常対策部３０８は、攻撃源を受信し、異常対策ルールを用いて、受信した攻撃源に応じた対策を実施する。

【0157】

［異常検知処理のフローチャート］
図１５は、本実施の形態における異常検知処理のフローチャートを示す図である。

【0158】

（Ｓ１５０１）異常検知部１０４は、ログ記憶部１０３から操作ログ、制御ログおよび位置ログを取得し、ステップＳ１５０２を実施する。ステップＳ１５０１は、図１４に示すステップＳ１４０１に対応する。

【0159】

（Ｓ１５０２）異常検知部１０４は、ステップＳ１５０１で取得したログと異常検知ルールとに基づいて、異常の有無を判定する。異常検知部１０４は、操作ログ、制御ログおよび位置ログのうち少なくとも１つのログにおいて異常が検知された場合（Ｓ１５０２でＹｅｓ）、ステップＳ１５０３を実施する。また、異常検知部１０４は、異常が検知されなかった場合（Ｓ１５０２でＮｏ）、異常検知処理を終了する。なお、異常検知方法の詳細は異常検知ルールの一例にて述べた通りである。

【0160】

（Ｓ１５０３）異常検知部１０４は、車両４０に異常が発生していると判定し、攻撃源判定部１０５に異常を通知して、異常検知処理を終了する。

【0161】

なお、ステップＳ１５０２およびＳ１５０３は、図１４に示すステップＳ１４０２に対応する。

【0162】

上記のように、異常検知部１０４は、操作ログと制御ログと位置ログとのそれぞれの異常を異常検知ルール（例えば、図９に示す異常検知ルール）に基づいて検知する。

【0163】

［攻撃源判定処理のフローチャート］
図１６は、本実施の形態における攻撃源判定処理のフローチャートを示す図である。図１６に示す処理は、図１５のステップＳ１５０３の判定が行われた場合に実行される。

【0164】

（Ｓ１６０１）攻撃源判定部１０５は、操作ログ、制御ログおよび位置ログを取得し、ステップＳ１６０２を実施する。

【0165】

（Ｓ１６０２）攻撃源判定部１０５は、操作ログと制御ログとが一致するか否かを判定する。攻撃源判定部１０５は、操作ログと制御ログとを比較し、一致しない場合（Ｓ１６０２Ｎｏ）、ステップＳ１６０３を実施し、一致する場合（Ｓ１６０２でＹｅｓ）、ステップＳ１６０５を実施する。ステップＳ１６０２は、図１０に示す番号１のルールに該当するか否かの判定である。なお、操作ログと制御ログとが一致する（Ｓ１６０２でＹｅｓと判定される）ことは、図１０に示す攻撃源判定ルールにおける番号１の条件を満たすことを意味し、操作ログと制御ログとが一致しない（Ｓ１６０２でＮｏと判定される）ことは、図１０に示す攻撃源判定ルールにおける番号１の条件を満たさないことを意味する。

【0166】

（Ｓ１６０３）攻撃源判定部１０５は、ステップＳ１６０２でＮｏの場合、図１０に示す攻撃源判定ルールに基づいて、攻撃源が通信路である第一の攻撃源と判定する。言い換えると、攻撃源判定部１０５は、ステップＳ１６０２の判定結果（比較結果の一例）に基づいて、図１０に示す攻撃源判定ルールに示される複数の攻撃源の中から、攻撃源が通信路（第一の攻撃源）であることを特定する。そして、攻撃源判定部１０５は、ステップＳ１６０２でＮｏと判定されたことを示す判定結果を異常対策部２０６または異常対策部３０８に送信する。これにより、ステップＳ１６０４が実施可能となる。

【0167】

（Ｓ１６０４）異常対策部２０６または異常対策部３０８は、攻撃源判定部１０５から判定結果を受信すると、図１１に示す異常対策ルールに基づいて、第一の攻撃源の対策として「車両制御装置３０の遠隔制御機能の停止」を実施し、終了する。

【0168】

（Ｓ１６０５）攻撃源判定部１０５は、ステップＳ１６０２でＹｅｓの場合、さらに操作ログと制御ログとの両方が異常であるか否かを判定する。攻撃源判定部１０５は、操作ログの異常の有無と制御ログの異常の有無とを確認し、操作ログと制御ログとの両方が異常である場合（Ｓ１６０５でＹｅｓ）、ステップＳ１６０６を実施し、操作ログと制御ログとの両方が異常ではない場合（Ｓ１６０５でＮｏ）、ステップＳ１６０８を実施する。なお、操作ログと制御ログとの両方が異常である（Ｓ１６０５でＹｅｓと判定される）ことは、図１０に示す攻撃源判定ルールにおける番号２の条件を満たすことを意味し、操作ログと制御ログとの両方が異常ではない（Ｓ１６０５でＮｏと判定される）ことは、図１０に示す攻撃源判定ルールにおける番号２の条件を満たさないことを意味する。

【0169】

（Ｓ１６０６）攻撃源判定部１０５は、ステップＳ１６０５でＹｅｓの場合、攻撃源がオペレータである第二の攻撃源と判定する。そして、攻撃源判定部１０５は、ステップＳ１６０５でＹｅｓと判定されたことを示す判定結果を異常対策部２０６に送信する。これにより、ステップＳ１６０７が実施可能となる。

【0170】

（Ｓ１６０７）異常対策部２０６は、攻撃源判定部１０５から判定結果を受信すると、図１１に示す異常対策ルールに基づいて、第二の攻撃源の対策として、「オペレータの車両操作装置２０へのアクセス権限を破棄」を実施し、終了する。

【0171】

（Ｓ１６０８）攻撃源判定部１０５は、ステップＳ１６０５でＮｏの場合、さらに位置ログのみが異常であるか否かを判定する。攻撃源判定部１０５は、位置ログのみ異常である場合（Ｓ１６０８でＹｅｓ）、ステップＳ１６０９を実施し、位置ログのみ異常ではない場合（Ｓ１６０８でＮｏ）、終了する。なお、位置ログのみが異常である（Ｓ１６０８でＹｅｓと判定される）ことは、図１０に示す攻撃源判定ルールにおける番号３の条件を満たすことを意味し、位置ログのみが異常ではない（Ｓ１６０８でＮｏと判定される）ことは、図１０に示す攻撃源判定ルールにおける番号３の条件を満たさないことを意味する。

【0172】

（Ｓ１６０９）攻撃源判定部１０５は、ステップＳ１６０８でＹｅｓの場合、攻撃源が近距離である第三の攻撃源と判定する。そして、攻撃源判定部１０５は、ステップＳ１６０８でＹｅｓと判定されたことを示す判定結果を異常対策部３０８に送信する。これにより、ステップＳ１６１０が実施可能となる。

【0173】

（Ｓ１６１０）異常対策部３０８は、攻撃源判定部１０５から判定結果を受信すると、図１１に示す異常対策ルールに基づいて、第三の攻撃源の対策として、「車両制御装置３０の周囲への警告を実施」を実施し、終了する。

【0174】

なお、ステップＳ１６０１～Ｓ１６０３、Ｓ１６０５、Ｓ１６０６、Ｓ１６０８およびＳ１６０９は、図１４に示すステップＳ１４０３に対応する。また、ステップＳ１６０４、Ｓ１６０７およびＳ１６１０は、図１４に示すステップＳ１４０５に対応する。

【0175】

上記のように、攻撃源判定部１０５は、操作ログと制御ログとが一致しない場合に車両４０の異常が引き起こされた攻撃源を複数の攻撃源の中から第一の攻撃源であると特定し、操作ログおよび制御ログの両方で異常が検知された場合に車両４０の異常が引き起こされた攻撃源を複数の攻撃源の中から第一の攻撃源とは異なる第二の攻撃源であると特定する。また、攻撃源判定部１０５は、位置ログのみが異常である場合に複数の攻撃源の中から第一の攻撃源および第二の攻撃源と異なる第三の攻撃源であると特定する。

【0176】

そして、異常対策部２０６および３０８の少なくとも一方は、第一の攻撃源と判定された場合に車両制御装置３０の遠隔制御機能の停止を実施し、第二の攻撃源と判定された場合にオペレータの車両操作装置２０へのアクセス権限を破棄し、第三の攻撃源と判定された場合に車両制御装置３０の周囲への警告を実施してもよい。

【0177】

これにより、異常監視装置１０は、車両４０の制御ログとオペレータの操作ログとを収集して比較することで、車両４０の異常の原因がサイバー攻撃であるか、オペレータの異常操作であるかを判定することができる。そして、異常監視装置１０は、異常の原因に応じた効果的な対策を行わせることができる。よって、異常監視装置１０によれば、より安全な自律走行モビリティを提供することができる。

【0178】

なお、攻撃源判定部１０５は、ステップＳ１６０２、Ｓ１６０５およびＳ１６０８の判定をこの順に実施するが、順序はこれに限定されない。

【0179】

（他の実施の形態）
以上のように、本開示に係る技術の例示として実施の形態を説明した。しかしながら、本開示に係る技術は、これに限定されず、適宜、変更、置き換え、付加、省略等を行った実施の形態にも適用可能である。例えば、以下のような変形例も本開示の一実施態様に含まれる。

【0180】

（１）上記実施の形態では、自動車に対するセキュリティ対策として説明したが、適用範囲はこれに限られない。自動車に限らず、建機、農機、船舶、鉄道、飛行体（例えば、飛行機、ドローンなど）などの任意のモビリティにも適用してもよい。つまり、モビリティは、自動車を含む車両に限定されず、建機、農機、船舶、鉄道、飛行機などであってもよい。また、モビリティは、完全自動運転可能であってもよいし、自動運転と手動運転とを切り替え可能であってもよい。

【0181】

（２）上記実施の形態における各装置を構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしても良い。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等を含んで構成されるコンピュータシステムである。ＲＡＭには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。また、上記各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部または全部を含むように１チップ化されても良い。また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路または汎用プロセッサで実現しても良い。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用しても良い。更には、半導体技術の進歩または派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行っても良い。バイオ技術の適用等が可能性としてあり得る。

【0182】

（３）上記各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしても良い。ＩＣカードまたはモジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。ＩＣカードまたはモジュールは、上記の超多機能ＬＳＩを含むとしても良い。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、ＩＣカードまたはモジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。

【0183】

（４）本開示の一態様としては、異常検知の方法をコンピュータにより実現するプログラム（コンピュータプログラム）であるとしても良いし、コンピュータプログラムからなるデジタル信号であるとしても良い。また、本開示の一態様としては、コンピュータプログラムまたはデジタル信号をコンピュータで読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ―ｒａｙ（登録商標） Ｄｉｓｃ）、半導体メモリ等に記録したものとしても良い。また、これらの記録媒体に記録されているデジタル信号であるとしても良い。また、本開示の一態様としては、コンピュータプログラムまたはデジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしても良い。また、本開示の一態様としては、マイクロプロセッサとメモリを備えたコンピュータシステムであって、メモリは、上記コンピュータプログラムを記録しており、マイクロプロセッサは、コンピュータプログラムに従って動作するとしても良い。また、プログラム若しくはデジタル信号を記録媒体に記録して移送することにより、または、プログラム若しくはデジタル信号を、ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。

【0184】

（５）また、ブロック図における機能ブロックの分割は一例であり、複数の機能ブロックを一つの機能ブロックとして実現したり、一つの機能ブロックを複数に分割したり、一部の機能を他の機能ブロックに移してもよい。また、類似する機能を有する複数の機能ブロックの機能を単一のハードウェアまたはソフトウェアが並列又は時分割に処理してもよい。

【0185】

また、上記実施の形態等に係る車両監視装置は、単一の装置として実現されてもよいし、複数の装置により実現されてもよい。車両監視装置が複数の装置によって実現される場合、当該車両監視装置が有する各構成要素は、複数の装置にどのように振り分けられてもよい。車両監視装置が複数の装置で実現される場合、当該複数の装置間の通信方法は、特に限定されず、無線通信であってもよいし、有線通信であってもよい。また、装置間では、無線通信および有線通信が組み合わされてもよい。

【0186】

また、車両監視装置の各構成要素の機能の一部は、車両操作装置および車両制御装置の少なくとも１つが有していてもよい。例えば、車両操作装置は、操作ログの異常を検知する機能を有していてもよい。この場合、車両操作装置は、オペレータに権限が与えられている操作に関する情報を予め記憶していてもよい。また、例えば、車両制御装置は、制御ログの異常を検知する機能を有していてもよい。この場合、車両制御装置は、当該車両制御装置が搭載された車両の走行性能に関する情報（例えば、カタログ値）を、予め記憶していてもよい。

【0187】

また、車両監視装置は、車両操作装置および車両制御装置の少なくとも１つが有する各構成要素の機能の一部を有していてもよい。車両監視装置は、例えば、車両操作装置および車両制御装置が有する異常対策部の機能のうち対策内容を決定する機能を有していてもよい。つまり、車両監視装置は、異常操作装置および車両制御装置のそれぞれが行う異常に対する対策を決定してもよい。この場合、車両監視装置は、異常対策ルール（例えば、図１１に示す異常対策ルール）を予め記憶していてもよい。

【0188】

（６）また、上記実施の形態における車両監視装置は、１つの車両操作装置が複数の車両制御装置（つまり、複数の車両）を制御する場合、操作ログおよび複数の車両制御装置のうち少なくとも１つの車両制御装置における制御ログに基づいて攻撃源がオペレータであると特定されたとき、他の車両制御装置を遠隔操作するための車両操作装置へのアクセス権限も破棄してもよい。

【0189】

（７）また、上記実施の形態において異常検知部は、異常検知ルールを用いて異常箇所（異常があるログ）を検知したが、異常箇所の検知方法はこれに限定されない。異常検知部は、例えば、操作ログと制御ログとを入力情報とし、異常箇所を出力するように学習された機械学習モデルを用いて、異常箇所を検知してもよい。

【0190】

（８）また、フローチャートにおける各ステップが実行される順序は、本開示を具体的に説明するために例示するためのものであり、上記以外の順序であってもよい。また、上記ステップの一部が他のステップと同時（並列）に実行されてもよいし、上記ステップの一部は実行されなくてもよい。

【0191】

（９）上記実施の形態では、操作ログおよび制御ログは、コマンドに加えハッシュ値を含む例について説明したが、ハッシュ値のみを含んでいてもよい。これにより、操作ログと車両ログとを収集するときの通信量を抑えて効率的に操作ログと車両ログとの比較を行うことができる。

【0192】

（１０）上記実施の形態では、攻撃源として、「通信路」、「オペレータ」および「近距離」の３つを例示したが、これ以外の攻撃源が含まれてもよい。また、攻撃源の数は、２以上であれば特に限定されない。

【0193】

（１１）上記実施の形態および上記変形例で示した各構成要素および機能を任意に組み合わせることで実現される形態も本開示の範囲に含まれる。例えば、本開示の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、本開示に含まれてもよい。

【産業上の利用可能性】

【0194】

本開示は、モビリティを遠隔操作する遠隔操作システムに有用である。

【符号の説明】

【0195】

１０ 異常監視装置
２０ 車両操作装置
３０ 車両制御装置
４０ 車両
１０１ 通信部
１０２ ログ収集部
１０３ ログ記憶部
１０４ 異常検知部
１０５ 攻撃源判定部
１０６ 異常通知部
２０１ 通信部
２０２ 操作コマンド入力部
２０３ 操作コマンド送信部
２０４ 操作ログ記憶部
２０５ 操作ログ送信部
２０６ 異常対策部
３０１ 通信部
３０２ 操作コマンド受信部
３０３ 車両制御部
３０４ 制御ログ記憶部
３０５ 位置ログ記憶部
３０６ 制御ログ送信部
３０７ 位置ログ送信部
３０８ 異常対策部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】