CN114698392A - 车载计算机、计算机程序、计算机可读的记录介质以及安全措施设定方法 - Google Patents

Abstract

车载计算机(100)从车辆的外部经由通信接口(10)被输入数据，车载计算机(100)具备：风险评价部(21)，其基于被输入的数据的数据信息，来评价因数据而发生异常时的风险；安全措施强度调整部(22)，其基于由风险评价部(21)评价出的风险，来调整针对数据的安全措施强度；以及安全措施设定部(23)，其利用由安全措施强度调整部(22)调整后的安全措施强度来设定针对数据的安全措施。

Description

车载计算机、计算机程序、计算机可读的记录介质以及安全措 施设定方法

技术领域

本发明涉及一种车载计算机、计算机程序、计算机可读的记录介质以及安全措施设定方法。

背景技术

已知一种汽车中具备的车载计算机系统(例如专利文献1)。专利文献1中记载的车载计算机系统构成为主ECU及多个终端ECU连接于控制用网络。主ECU具有网关功能，作为主网关，监视车载计算机系统的内部与外部之间的通信。

现有技术文献

专利文献

专利文献1：日本特开2018-14770号公报

发明内容

发明要解决的问题

在专利文献1中记载的车载计算机系统中，主ECU无法根据数据来调整安全级别。因此，在为了提高车载计算机系统的安全性而升高了安全级别的情况下，对于任何数据而言，探测数据的异常的异常探测处理所需要的时间都会增加，其结果，存在车载计算机系统整体上的处理时间增加这样的问题。

本发明要解决的问题是提供一种能够确保车载计算机系统的安全且减少车载计算机系统整体上的处理时间的车载计算机、计算机程序、计算机可读的记录介质以及安全措施设定方法。

用于解决问题的方案

本发明通过以下方法来解决上述问题：基于从车辆的外部经由通信接口被输入的数据的数据信息来评价因数据而发生异常时的风险，并基于所评价出的风险来调整针对数据的安全措施强度，利用调整后的安全措施强度来设定针对数据的安全措施。

发明的效果

根据本发明，通过基于风险进行安全措施强度的调整，能够按数据来变更异常探测处理所需要的时间，因此能够确保车载计算机系统的安全并且减少车载计算机系统整体上的处理时间。

附图说明

图1是本实施方式所涉及的车载计算机系统的框图。

图2是示出从通信模块接收到数据起到由车载计算机内的车辆控制用应用程序开始处理为止的情形的说明图。

图3是示出从通信模块接收到数据起到由车辆控制用ECU内的车辆控制用应用程序开始处理为止的情形的说明图。

具体实施方式

下面，基于附图来说明本发明的实施方式。

在本实施方式中，使用将本发明所涉及的车载计算机、计算机程序、计算机可读的记录介质以及安全措施设定方法应用于车载计算机系统的例子来进行说明。

图1是车辆中搭载的车载计算机系统1的框图。作为搭载有车载计算机系统1的车辆，例如可列举电动汽车、混合动力汽车、汽油汽车等。搭载有车载计算机系统1的车辆的种类不被特别地限定。另外，在本实施方式中，列举具备自主行驶控制功能的车辆为例来进行说明，该自主行驶控制功能是通过辅助车辆的司机进行驾驶的方式或者通过完全自动的方法来控制车辆的驱动装置的功能。此外，本发明所涉及的车载计算机并不限定于搭载在具备自主行驶控制功能的车辆中。

如图1所示，车载计算机系统1包括通信模块10、车辆控制用ECU 31～车辆控制用ECU 34以及车载计算机100。ECU是Electronic Control Unit(电子控制单元)的缩写。图1所示的各装置通过例如CAN(Controller Area Network：控制器局域网)或其它车载网络(以太网(商标注册)等)连接，使得相互间进行信息的发送接收。此外，在车载计算机系统1中，车载网络的种类、车载网络的数量不被特别地限定。例如，车载计算机系统1的各装置之间也可以通过多种车载网络进行连接。

通信模块10是具备与车辆的外部之间以无线的方式发送接收数据的无线通信功能的设备。作为通信模块10，例如可列举远程信息控制单元(TCU：Telematics ControlUnit)。通信模块10通过无线通信功能，例如利用4G/LTE、Wifi(商标注册)等通信标准来与因特网连接，与设于车辆的外部的服务器、系统之间进行各种数据的发送接收。

通信模块10当从服务器、系统接收到数据时，将接收到的数据输出到车载计算机100。作为由通信模块10接收的数据，例如可列举用于更新车载用操作系统的程序、用于更新ECU的应用程序的程序、在导航系统中使用的更新后的地图信息、面向车辆的乘客的引导信息等。此外，上述数据是一例，并不限定由通信模块10接收的数据。

另一方面，当从车辆中搭载的各种ECU、系统经由车载计算机100向通信模块10输入数据时，通信模块10将被输入的数据发送到服务器、系统。作为由通信模块10发送的数据，例如可列举表示数据的收到确认的信息、表示更新完成的信息、车辆的乘客借助人机界面输入的信息等。上述数据是一例，并不限定由通信模块10发送的数据。

车辆控制用ECU 31～车辆控制用ECU 34是用于控制车辆的ECU。各车辆控制用ECU是由保存有用于控制车辆的程序的ROM(Read Only Memory：只读存储器)、执行该ROM中保存的程序的CPU(Central Processing Unit：中央处理器)以及作为可访问的存储装置发挥功能的RAM(Random Access Memory：随机存取存储器)构成的计算机。

作为车辆控制用ECU 31～车辆控制用ECU 34所具有的功能，例如可列举控制车辆的驱动源的驱动源控制功能、控制车辆的制动动作的制动控制功能、控制车辆的转向的转向控制功能、通过语音对车辆的乘客进行路径引导的导航功能、音乐或视频等的多媒体再现功能、位于车辆的外部的人与车辆的乘客通过语音进行对话的语音通信功能等。此外，在图1中，作为车辆控制用ECU，示出了4个ECU，但是车载计算机系统1所具备的车辆控制用ECU的数量不限定于图1所示的数量。车载计算机系统1也可以具备比图1所示的数量少的数量的车辆控制用ECU、或者比图1所示的数量多的车辆控制用ECU。

如图1所示，由车辆控制用ECU 31执行的程序中包含车辆控制用应用程序35。车辆控制用ECU 31通过执行车辆控制用应用程序35来实现车辆控制用ECU 31所具有的功能。关于车辆控制用ECU 32与车辆控制用应用程序36的关系、车辆控制用ECU 33与车辆控制用应用程序37的关系以及车辆控制用ECU 34与车辆控制用应用程序38的关系，同车辆控制用ECU 31与车辆控制用应用程序35的关系是同样的，因此援引对车辆控制用ECU 31的说明。此外，由各ECU执行的程序不限定于图1所示的应用程序，也可以除了执行图1所示的应用程序之外，还执行其它应用程序。

另外，如图1所示，车辆控制用应用程序35～车辆控制用应用程序38被赋予ASIL中的等级。在图1的例子中，车辆控制用应用程序35被预先赋予为ASIL-A的等级，车辆控制用应用程序36被预先赋予为ASIL-B的等级，车辆控制用应用程序37被预先赋予为ASIL-C的等级，车辆控制用应用程序38被预先赋予为ASIL-D的等级。

在此，ASIL是Automotive Safety Integrity Level(汽车安全完整性等级)的缩写，是针对车辆的功能安全进行了标准化的IEC 61508/ISO 2626中规定的用于指定汽车的安全要求及安全对策的指标。车辆控制用应用程序35～车辆控制用应用程序38表示基于该指标生成的应用程序中的安全性的基准高的应用程序。ASIL中规定了4级的安全级别，按照安全性的基准从高到低的顺序，为ASIL-D、ASIL-C、ASIL-B、ASIL-A。也就是说，在图1的例子中，按照安全性的基准从高到低的顺序，为车辆控制用应用程序35、车辆控制用应用程序36、车辆控制用应用程序37、车辆控制用应用程序38。

另外，根据3个项目以及每个项目的变量来决定ASIL的等级。用于决定ASIL的等级的3个项目是表示对车辆的乘客造成的影响度的“严重度”、表示车辆遭遇危险的人或危险事物的频度的“暴露概率”以及表示车辆的司机规避危险的难度的“可控性”。另外，利用变量将各项目进一步细分。“严重度”被分类为4级的变量，“暴露概率”被分类为5级的变量，“可控性”被分类为4级的变量。ASIL的等级根据每个项目的变量的大小来设定。例如，在“严重度”为最高级的变量、“暴露概率”为最高级的变量并且“可控性”为最高级的变量的组合的情况下，分类为ASIL-D。

车载计算机100由保存有用于执行与数据的安全有关的处理以及车辆控制用应用程序的程序的ROM(Read Only Memory：只读存储器)、执行该ROM中保存的程序的CPU(Central Processing Unit：中央处理器)以及作为可访问的存储装置发挥功能的RAM(Random Access Memory：随机存取存储器)构成。此外，作为动作电路，能够代替CPU或与CPU一起，使用MPU(Micro Processing Unit：微处理器)、DSP(Digital Signal Processor：数字信号处理器)、ASIC(Application Specific Integrated Circuit：专用集成电路)、FPGA(Field Programmable Gate Array：现场可编程逻辑门阵列)等。以下，将由车载计算机100执行的程序作为ROM中保存的程序来进行说明，但是程序的保存位置也可以是车载计算机100的外部。例如，由车载计算机100执行的程序也可以保存在计算机可读的记录介质中。在该情况下，利用规定的标准将该记录介质与车载计算机100连接，由此车载计算机100能够执行记录介质中记录的程序。

如图1所示，车载计算机100包括进行与安全措施有关的处理的安全措施处理部20以及车辆控制用应用程序25～车辆控制用应用程序28，这些模块是通过ROM中存储的程序来实现后述的各功能。

车辆控制用应用程序25～车辆控制用应用程序28是由车载计算机100执行的用于控制车辆的程序。与车辆控制用应用程序35～车辆控制用应用程序38同样地，车辆控制用应用程序25～车辆控制用应用程序28也被赋予ASIL中的等级。在图1的例子中，车辆控制用应用程序25被预先赋予为ASIL-A的等级，车辆控制用应用程序26被预先赋予为ASIL-B的等级，车辆控制用应用程序27被预先赋予为ASIL-C的等级，车辆控制用应用程序28被预先赋予为ASIL-D的等级。与ASIL有关的说明援引使用车辆控制用ECU 31～车辆控制用ECU 34时的说明。此外，在图1中，作为由车载计算机100执行的车辆控制用应用程序，示出了4个车辆控制用应用程序，但是由车载计算机100执行的车辆控制用应用程序的数量不限定于图1所示的数量。车载计算机100也可以执行比图1所示的数量少的数量的车辆控制用应用程序(还包括不存在车辆控制用应用程序的情况)、或者比图1所示的数量多的车辆控制用应用程序。

对安全措施处理部20进行说明。安全措施处理部20监视车载计算机系统1与位于车辆的外部的服务器或系统之间的通信。安全措施处理部20监视经由通信模块10被输入车载计算机系统1的数据、以及从车载计算机系统1经由通信模块10输出的数据。如图1所示，安全措施处理部20包括风险评价部21、安全措施强度调整部22、安全措施设定部23以及网关部24。对由各模块实现的功能进行说明。

数据从车辆的外部经由通信模块10被输入到风险评价部21。风险评价部21基于输入数据的数据信息，来评价因该数据而发生异常时的风险。以下，为了方便，将从通信模块10输入到风险评价部21的数据称为输入数据，将因输入数据而发生异常时的风险称为异常发生风险来进行说明。

异常发生风险是指由于输入数据的原因而用于对输入数据进行处理的硬件或软件发生异常并且所发生的异常对车辆或车辆的乘客造成的恶劣影响的程度的高低。由于输入数据的原因而硬件或软件发生异常的情况包括以下情况：由于输入数据中包含偶发性地产生的乱码数据，因此硬件或软件发生异常；由于输入数据是病毒、间谍软件等意图从外部攻击的数据，因此硬件或软件发生异常。作为上述的说明中的硬件，可列举图1所示的车辆控制用ECU 31～车辆控制用ECU 34。另外，作为上述的说明中的软件，可列举图1所示的车辆控制用应用程序25～车辆控制用应用程序28以及车辆控制用应用程序35～车辆控制用应用程序38。

输入数据的数据信息是预定对输入数据进行处理的车辆控制用应用程序的种类信息。具体而言，是赋予给预定对输入数据进行处理的车辆控制用应用程序的ASIL的等级。

风险评价部21根据输入数据来确定预定对输入数据进行处理的车辆控制用应用程序，并且确定赋予给所确定出的车辆控制用应用程序的ASIL的等级。风险评价部21根据ASIL的等级，来评价因输入数据引起的异常发生风险。例如，在赋予给所确定出的车辆控制用应用程序的ASIL的等级为ASIL-A的情况下，风险评价部21将因输入数据引起的异常发生风险评价得比ASIL-B、ASIL-C或ASIL-D的情况低。另外，例如，在赋予给所确定出的车辆控制用应用程序的ASIL的等级为ASIL-B的情况下，风险评价部21将因输入数据引起的异常发生风险评价得比ASIL-A的情况高，并且将因输入数据引起的异常发生风险评价得比ASIL-C或ASIL-D的情况低。另外，例如，在赋予给所确定出的车辆控制用应用程序的ASIL的等级为ASIL-C的情况下，风险评价部21将因输入数据引起的异常发生风险评价得比ASIL-A或ASIL-B的情况高，并且将因输入数据引起的异常发生风险评价得比ASIL-D的情况低。另外，例如，在赋予给所确定出的车辆控制用应用程序的ASIL的等级为ASIL-D的情况下，风险评价部21将因输入数据引起的异常发生风险评价得比ASIL-A、ASIL-B或ASIL-C的情况高。异常发生风险越高，则在硬件或软件中发生的异常对车辆或车辆的乘客造成的恶劣影响的程度越高。

安全措施强度调整部22基于由风险评价部21评价出的异常发生风险，来调整针对输入数据的安全措施强度。因输入数据引起的异常发生风险越高，则安全措施强度调整部22将针对输入数据的安全措施强度设定得越强。若使用图1的例子，则安全措施强度调整部22将针对由被赋予为ASIL-D的等级的车辆控制用应用程序28进行处理的输入数据的安全措施强度设定得比针对由被赋予为ASIL-A的等级的车辆控制用应用程序25进行处理的输入数据的安全措施强度强。

针对输入数据的安全措施强度能够由多个参数定义。可以通过探测数据的异常的异常探测处理所需要的时间来定义安全措施强度。例如，在安全措施强度强的情况下，与安全措施强度弱的情况相比，异常探测处理所需要的时间更长。另外，也可以通过探测数据的异常的异常探测方法的数量来定义安全措施强度。例如，在安全措施强度强的情况下，与安全措施强度弱的情况相比，使用更多的异常探测方法。另外，还可以通过表示数据中的探测异常的对象范围的异常探测对象范围的广度来定义安全措施强度。例如，在安全措施强度强的情况下，以数据中的主要部分及其以外的部分为对象来进行异常的探测，在安全措施强度弱的情况下，仅以数据中的主要部分为对象来进行异常的探测。

安全措施设定部23利用由安全措施强度调整部22调整后的安全措施强度来设定针对输入数据的安全措施。在由安全措施设定部23设定安全措施时，输入数据的异常探测方法不被特别地限定。

安全措施设定部23根据由安全措施强度调整部22调整后的安全措施强度，来设定防火墙的级数、输入数据中的由防火墙探测异常的对象范围以及异常探测方法中的至少任一者。例如，安全措施设定部23根据由安全措施强度调整部22调整后的安全措施强度，来进行使输入数据通过的防火墙的设定。例如，安全措施设定部23根据安全措施强度来设定防火墙的级数。安全措施强度越强，则安全措施设定部23使防火墙的级数增加得越多。另外，例如，安全措施设定部23也可以根据安全措施强度，来设定输入数据中的由防火墙探测异常的对象范围。也可以是，安全措施强度越强，则安全措施设定部23将输入数据中的由防火墙探测异常的对象范围设定得越广。另外，也可以是，例如，安全措施设定部23也可以根据安全措施强度来设定异常探测方法。在安全措施强度低于规定的强度的情况下，安全措施设定部23将异常探测方法设定为防火墙，在安全措施强度高于规定的强度的情况下，安全措施设定部23将异常探测方法设定为防火墙、以及IDS(Instruction Detection System：入侵检测系统)或IPS(Instruction Prevention System：入侵防御系统)。此外，规定的强度是指为了设定异常探测方法而预先设定的安全措施强度。

网关部24安装有用于探测输入数据的异常的多个防火墙。网关部24具备：异常探测功能，其使用防火墙来探测输入数据的异常；以及传送功能，其将输入数据传送到车辆控制用应用程序或车辆控制用ECU。

网关部24通过异常探测功能以由安全措施设定部23设定的内容来执行针对输入数据的异常探测处理。例如，网关部24执行使输入数据通过由安全措施设定部23设定的防火墙的级数的处理。而且，网关部24在输入数据中未探测到异常的情况下，通过传送功能将输入数据传送到预定对该输入数据进行处理的车载控制用应用程序或车载控制用ECU。此外，在异常探测处理中探测到异常的情况下的处理不被特别地限定，例如，网关部24将表示探测到异常的信息输出到用于控制人机界面的ECU。在该情况下，通过该ECU向车辆的乘客呈现表示在输入数据中探测到异常的信息。

图2是示出从通信模块10接收到数据起到由车载计算机100内的车辆控制应用程序开始处理为止的情形的说明图。图2所示的通信模块10、安全措施处理部20、车辆控制用应用程序26以及车辆控制用应用程序29分别与图1所示的框图对应。为了比较的目的，图2示出从通信模块10接收到数据A起到车辆控制用应用程序26使用数据A开始处理为止的情形、以及从通信模块10接收到数据B起到车辆控制用应用程序29使用数据B进行处理为止的情形。此外，以下，将数据A及数据B的发送源作为位于车辆的外部的服务器来进行说明，但是不限定数据A及数据B的发送源。

当从服务器发送数据A时，通信模块10接收数据A，并将接收到的数据A输出到车载计算机100。数据A被输入到车载计算机100的安全措施处理部20。

安全措施处理部20使用规定的特定方法根据数据A确定出以下情况：预定由车辆控制用应用程序26对数据A进行处理，赋予给车辆控制用应用程序26的等级是ASIL-A。作为因数据A引起的异常发生风险，安全措施处理部20进行基于ASIL-A的指标的评价。作为与ASIL-A对应的安全措施强度下的安全措施，安全措施处理部20将防火墙的级数设定为1级。安全措施处理部20使数据A通过1级防火墙，判定是否在数据A中探测到异常。安全措施处理部20在数据A中未探测到异常的情况下，向由车载计算机100执行的车辆控制用应用程序26传送数据A。车辆控制用应用程序26变为能够进行使用数据A的处理的状态，开始使用数据A的处理。

另一方面，当从服务器发送数据B时，通信模块10接收数据B，并将接收到的数据B输出到车载计算机100。数据B被输入到车载计算机100的安全措施处理部20。

安全措施处理部20使用规定的特定方法根据数据B确定出以下情况：预定由车辆控制用应用程序29对数据B进行处理，赋予给车辆控制用应用程序29的等级是ASIL-D。作为因数据B引起的异常发生风险，安全措施处理部20进行基于ASIL-D的指标的评价。作为与ASIL-D对应的安全措施强度下的安全措施，安全措施处理部20将防火墙的级数设定为4级。安全措施处理部20使数据B通过4级防火墙，判定是否在数据B中探测到异常。安全措施处理部20在数据B中未探测到异常的情况下，向由车载计算机100执行的车辆控制用应用程序29传送数据B。车辆控制用应用程序29变为能够进行使用数据B的处理的状态，开始使用数据B的处理。

图3是示出从通信模块10接收到数据起到由车载控制用ECU内的车辆控制应用程序开始处理为止的情形的说明图。图3所示的通信模块10、安全措施处理部20、车辆控制用应用程序36以及车辆控制用应用程序37分别与图1所示的框图对应。为了比较的目的，图3示出从通信模块10接收到数据C起到车辆控制用应用程序36使用数据C开始处理为止的情形、从通信模块10接收到数据D起到车辆控制用应用程序37使用数据D进行处理为止的情形。此外，以下，与数据A及数据B的发送源同样地，将数据C及数据D的发送源作为位于车辆的外部的服务器来进行说明。

当从服务器发送数据C时，通信模块10接收数据C，并将接收到的数据C输出到车载计算机100。数据C被输入到车载计算机100的安全措施处理部20。

安全措施处理部20使用规定的特定方法根据数据C确定出以下情况：预定由车辆控制用应用程序36对数据C进行处理，赋予给车辆控制用应用程序36的等级是ASIL-B。作为因数据C引起的异常发生风险，安全措施处理部20进行基于ASIL-B的指标的评价。作为与ASIL-B对应的安全措施强度下的安全措施，安全措施处理部20将防火墙的级数设定为2级。安全措施处理部20使数据C通过2级防火墙，判定是否在数据C中探测到异常。安全措施处理部20在数据C中未探测到异常的情况下，将数据C传送到车辆控制用ECU 32。车辆控制用ECU32被输入数据C，车辆控制用应用程序36变为能够进行使用数据C的处理的状态，开始使用数据C的处理。

另一方面，当从服务器发送数据D时，通信模块10接收数据D，并将接收到的数据D输出到车载计算机100。数据D被输入到车载计算机100的安全措施处理部20。

安全措施处理部20使用规定的特定方法根据数据D确定出以下情况：预定由车辆控制用应用程序37对数据D进行处理，赋予给车辆控制用应用程序37的等级是ASIL-C。作为因数据D引起的异常发生风险，安全措施处理部20进行基于ASIL-C的指标的评价。作为与ASIL-C对应的安全措施强度下的安全措施，安全措施处理部20将防火墙的级数设定为3级。安全措施处理部20使数据D通过3级防火墙，判定是否在数据D中探测到异常。安全措施处理部20在数据D中未探测到异常的情况下，将数据D传送到车辆控制用ECU 33。车辆控制用ECU33被输入数据D，车辆控制用应用程序37变为能够进行使用数据D的处理的状态，开始使用数据D的处理。

在图2中，当将数据A与数据B进行比较时，各数据所通过的防火墙的级数不同。数据A通过1级防火墙，与此相对地，数据B通过4级防火墙，因此探测数据B的异常的异常探测处理所需要的时间变得比探测数据A的异常的异常探测处理所需要的时间长。针对在安全性的基准高的车辆控制用应用程序29中使用的数据，花费充足的时间来进行异常探测，另一方面，针对在安全性的基准较低的车辆控制用应用程序26中使用的数据，不花费超出需要的时间地进行异常探测。因此，根据本实施方式所涉及的车载计算机100，能够取得安全性的基准与异常探测处理所需要的时间之间的平衡。另外，例如，能够在数据A被车辆控制用应用程序进行处理之后需要在规定的时间内对数据A的发送源进行响应的情况下，确保车载计算机系统1的安全并且满足针对响应性的要求。此外，关于图3所示的数据C及数据D，也能够得到与数据A及数据B同样的效果，因此援引使用数据A及数据B的说明。

如上面这样，本实施方式所涉及的车载计算机100是从车辆的外部经由通信模块10被输入数据的车载计算机。车载计算机100具备：风险评价部21，其基于输入数据的数据信息，来评价因输入数据而发生异常时的风险、即异常发生风险；安全措施强度调整部22，其基于由风险评价部21评价出的异常发生风险，来调整针对输入数据的安全措施强度；以及安全措施设定部23，其利用由安全措施强度调整部22调整后的安全措施强度来设定针对输入数据的安全措施。根据本发明所涉及的车载计算机100、用于使计算机作为车载计算机100发挥功能的程序、记录有该程序的计算机可读的记录介质以及安全措施设定方法，基于异常发生风险来调整针对输入数据的安全措施强度，因此能够按数据变更异常探测处理所需要的时间。其结果，能够确保车载计算机系统1的安全并且减少车载计算机系统1整体上的处理时间。

另外，在本实施方式中，基于作为对车辆的乘客造成影响的影响度的“严重度”、作为车辆遭遇危险的人或危险事物的频度的“暴露概率”、以及作为车辆的司机规避危险的难度的“可控性”，来评价异常发生风险的高低。由此，能够适当地评价输入数据的异常对车辆或车辆的乘客造成恶劣影响的程度。

并且，在本实施方式中，因输入数据引起的异常发生风险越高，则安全措施强度调整部22将针对输入数据的安全措施强度设定得越强。由于能够设定与异常发生风险的高低对应的安全措施强度，因此能够取得异常发生风险与异常探测处理所需要的时间之间的平衡。其结果，能够确保车载计算机系统1的安全并且减少车载计算机系统1整体上的处理时间。

此外，在本实施方式中，风险评价部21在评价异常发生风险时使用的输入数据的数据信息是预定使用输入数据执行处理的车辆控制用应用程序的种类。由此，能够容易地评价因输入数据引起的异常发生风险。其结果，能够实现异常发生风险的评价处理所需要的时间的缩短，能够减少对车载计算机系统1整体上的处理时间造成的影响。

另外，本实施方式所涉及的车载计算机100具备网关部，该网关部安装有用于探测输入数据的异常的防火墙，安全措施设定部23根据由安全措施强度调整部22调整后的安全措施强度，来设定使输入数据通过的防火墙的级数。由此，异常发生风险越高，则能够将防火墙的级数设定得越多，因此能够提高针对输入数据的可靠性。

并且，在本实施方式中，网关部24使用防火墙来执行探测输入数据中是否存在异常的异常探测处理。也能够针对来自车辆的外部的网络攻击，保障车载计算机系统1的安全。

此外，以上说明的实施方式是为了易于理解本发明而记载的，并不是为了限定本发明而记载的。因而，上述的实施方式中公开的各要素旨在还包括属于本发明的保护范围的全部设计变更、等同物。

例如，在上述的实施方式中，列举基于ASIL的等级来评价因输入数据引起的异常发生风险的结构为例来进行了说明，但是也可以基于输入数据的内容来评价因输入数据引起的异常发生风险。例如，也可以是，在输入数据的内容是用于更新车载用操作系统的程序的情况下，风险评价部21将因输入数据引起的异常发生风险评价得比输入数据的内容是面向车辆的乘客的引导信息的情况高。针对由未被赋予ASIL的等级的ECU、应用程序执行的输入数据，例如针对由被赋予QM(Quality Management：质量管理)的等级的ECU、应用程序执行的输入数据，也能够适当地评价异常发生风险。其结果，能够针对由车载计算机系统1中包括的全部ECU或全部应用程序执行的输入数据适当地评价异常发生风险。

另外，例如，在上述的实施方式中，作为输入数据的数据信息，列举车辆控制用应用程序的种类为例来进行了说明，但输入数据的数据信息也可以是车辆控制用ECU的种类。

另外，例如，在上述的实施方式中，列举基于ASIL的等级评价因输入数据引起的异常发生风险的结构为例来进行了说明，但是也可以基于用于对ASIL的等级进行分类的“严重度”、“暴露概率”以及“可控性”中的至少任一者来评价因输入数据引起的异常发生风险。

例如，风险评价部21也可以不仅根据ASIL的等级，还根据用于对ASIL的等级进行分类的“严重度”、“暴露概率”以及“可控性”各自的变量，来评价因输入数据引起的异常发生风险。在图1的例子中，车辆控制用应用程序26及车辆控制用应用程序36分别被赋予为ASIL-B的等级。在此，车辆控制用应用程序26被赋予为ASIL-B的等级时的“严重度”的变量、“暴露概率”的变量以及“可控性”的变量设为与车辆控制用应用程序36被赋予为ASIL-B的等级时的“严重度”的变量、“暴露概率”的变量以及“可控性”的变量不同。在该情况下，风险评价部21能够对因预定由车辆控制用应用程序26进行处理的输入数据引起的异常发生风险和因预定由车辆控制用应用程序36进行处理的输入数据引起的异常发生风险给予不同的评价。

另外，例如，风险评价部21不限于根据“严重度”、“暴露概率”以及“可控性”的组合来评价因输入数据引起的异常发生风险，也可以根据各项目的变量来评价因输入数据引起的异常发生风险。另外，例如，风险评价部21也可以根据2个项目的变量的组合来评价因输入数据引起的异常发生风险。

另外，例如，在上述的实施方式中，作为评价因输入数据引起的异常发生风险的指标，使用ASIL来进行了说明，但是评价异常发生风险的指标不限于ASIL。风险评价部21也可以使用针对车辆的功能安全进行标准化所得到的其它指标来评价异常发生风险。另外，风险评价部21也可以使用多个指标来评价异常发生风险。

另外，例如，在上述的实施方式中，在图2和图3的例子中，列举按ASIL的等级改变防火墙的级数的情况为例来进行了说明，但是不限定于此。例如，在图3的例子中，安全措施设定部23也可以将针对数据C设定的防火墙的级数以及针对数据D设定的防火墙的级数设为相同。在此基础上，安全措施设定部23也可以不仅针对数据D设定基于防火墙的异常探测方法，还针对数据D设定基于IDS或IPS的异常探测方法。另外，例如，安全措施设定部23也可以在将防火墙的级数设为相同的基础上，与数据C相比，针对数据D将由防火墙探测异常的对象范围设定得更广。

另外，例如，在上述的实施方式中，列举车载计算机100具备网关部24的结构为例来进行了说明，但也可以是与车载计算机100不同的计算机具备网关部24。即，探测输入数据的异常的异常探测处理以及输入数据的传送处理也可以由车载计算机100以外的计算机来执行。在该情况下，车载计算机100将由安全措施设定部23设定的安全措施的设定信息输出到具备网关部24的计算机。

另外，例如，在上述的实施方式中，作为输入数据的异常探测方法，列举防火墙、IDS、IPS为例来进行了说明，但是也可以利用在本申请的申请时通信领域中已知的异常探测方法来探测输入数据的异常。例如，车载计算机100也可以根据安全措施强度来设定基于Proxy(代理)的过滤处理。另外，例如，车载计算机100还可以根据安全措施强度来设定车载计算机系统1所具备的访问控制。

附图标记说明

1：车载计算机系统；10：通信模块；100：车载计算机；20：安全措施处理部；21：风险评价部；22：安全措施强度调整部；23：安全措施设定部；24：网关部；25：车辆控制用应用程序；26：车辆控制用应用程序；27：车辆控制用应用程序；28：车辆控制用应用程序；31：车辆控制用ECU；35：车辆控制用应用程序；32：车辆控制用ECU；36：车辆控制用应用程序；33：车辆控制用ECU；37：车辆控制用应用程序；34：车辆控制用ECU；38：车辆控制用应用程序。

Claims (10)

1.一种车载计算机，是从车辆的外部经由通信接口被输入数据的车载计算机，

所述车载计算机具备：

风险评价部，其基于所述数据的数据信息，来评价因所述数据而发生异常时的风险；

安全措施强度调整部，其基于由所述风险评价部评价出的所述风险，来调整针对所述数据的安全措施强度；以及

安全措施设定部，其利用由所述安全措施强度调整部调整后的所述安全措施强度来设定针对所述数据的安全措施。

2.根据权利要求1所述的车载计算机，其中，

基于第一项目、第二项目以及第三项目中的至少任一者来评价所述风险的高低，

所述第一项目是对所述车辆的乘客造成的影响度，

所述第二项目是所述车辆遭遇危险的人或危险事物的频度，

所述第三项目是所述车辆的司机规避危险的难度。

3.根据权利要求2所述的车载计算机，其中，

所述风险越高，则所述安全措施强度调整部将所述安全措施强度设定得越强。

4.根据权利要求2或3所述的车载计算机，其中，

所述数据的所述数据信息是预定使用所述数据执行处理的应用程序及设备中的至少任一者的种类。

5.根据权利要求2～4中的任一项所述的车载计算机，其中，

基于所述数据的内容来评价所述风险的高低。

6.根据权利要求1～5中的任一项所述的车载计算机，其中，

具备网关部，所述网关部安装有用于探测所述数据的异常的防火墙，

所述安全措施设定部根据所述安全措施强度，来设定使所述数据通过的所述防火墙的级数。

7.根据权利要求6所述的车载计算机，其中，

所述网关部至少使用所述防火墙，来执行用于探测所述数据中是否存在异常的异常探测处理。

8.一种程序，用于使计算机作为根据权利要求1～7中的任一项所述的车载计算机发挥功能。

9.一种计算机可读的记录介质，记录有根据权利要求8所述的程序。

10.一种安全措施设定方法，是由车载计算机执行的安全措施设定方法，所述车载计算机从车辆的外部经由通信接口被输入数据，

所述车载计算机基于所述数据的数据信息，来评价因所述数据而发生异常时的风险，

所述车载计算机基于所述风险，来调整针对所述数据的安全措施强度，

所述车载计算机以所述安全措施强度来设定针对所述数据的安全措施。

Images