JP2017167916A - 情報処理システム - Google Patents

Abstract

【課題】通信の負荷増加を抑制しつつ迅速に制御装置のソフトウェアの改ざんを検出する技術を提供する。【解決手段】車両に搭載して用いられる複数の制御装置２１、２３、２５、２７を含む情報処理システムであって、複数の制御装置に含まれる制御装置である特定制御装置２１は、起動部と、判定部と、出力部と、を備える。起動部は、特定制御装置２１を所定のプログラムの実行が可能な状態とする。判定部は、特定制御装置２１が起動部によりプログラムの実行が可能な状態となる前に、所定の記憶領域４２ａに記憶された、少なくともプログラムを含むソフトウェアが改ざんされているか否かを判定する。出力部は、判定部によりソフトウェアが改ざんされていると判定されたときに、特定制御装置２１を除く複数の制御装置２３、２５、２７及び車両の外部に存在する情報処理装置のうちの少なくともいずれかに対して、所定の信号を出力する。【選択図】図２

Description

本発明は、車両の制御装置の異常を検出する技術に関する。

車載のＥｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ（以下、ＥＣＵ）に対する不正な書き換えに対する対策が求められている。例えば、特許文献１では、車外に設けられた検証センタが複数のＥＣＵの検証メッセージを比較することで、ハッキングにより他のＥＣＵになりすましたＥＣＵの存在による車両の不正な状態を検出する技術が提案されている。

特開２０１４−１３８３８０号公報

しかしながら、車外の検証センタがメッセージを送信しあうＥＣＵごとに検証を行っているため、必ずしも即時に不正な状態を検出することができない。検出の即時性を向上させるためには検証センタとの通信を頻繁に行う必要が生じるが、その場合、通信の負荷が大きくなるという問題がある。

本発明は、通信の負荷増加を抑制しつつ迅速に制御装置のソフトウェアの改ざんを検出する技術を提供することを目的としている。

本開示の情報処理システム（１）は、車両（２）に搭載して用いられる複数の制御装置（２１、２３、２５、２７）を含んでおり、その複数の制御装置に含まれる制御装置である特定制御装置（２１）は、起動部（４１、Ｓ１、Ｓ２、Ｓ４、Ｓ５）と、判定部（４１、Ｓ３）と、出力部（４１、Ｓ８）と、を備える。

起動部は、当該特定制御装置を所定のプログラムの実行が可能な状態とする。判定部は、起動部により当該特定制御装置が上記プログラムを実行可能な状態となる前に、所定の記憶領域（４２ａ）に記憶された、少なくとも上記プログラムを含むソフトウェアが改ざんされているか否かを判定する。

また出力部は、判定部により改ざんされていると判定されたときに、特定制御装置を除く複数の制御装置、及び、上記車両の外部に存在する情報処理装置（３、４、５）、のうちの少なくともいずれかに対して、所定の信号を出力する。

このような構成によれば、特定制御装置のソフトウェアに改ざんが発見されたときに、特定制御装置の外部に所定の信号が出力されるため、特定制御装置を起動させる際に特定制御装置のソフトウェアに改ざんがなされたことを検出することができる。また、ソフトウェアの改ざんを検出するために外部と通信を行う必要がなくなるため、通信の負荷の増大を抑制できる。

なお、この欄及び特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本発明の技術的範囲を限定するものではない。

実施形態の情報処理システムの構成を示すブロック図である。 車載システムの構成を示すブロック図である。 ブート処理のフローチャートである。 異常表示処理のフローチャートである。 モード設定処理のフローチャートである。 走行制御処理のフローチャートである。 その他の実施形態の情報処理システムの構成を示すブロック図である。 その他の実施形態の情報処理システムの構成を示すブロック図である。

以下、図面を参照しながら、発明を実施するための形態を説明する。
［１．実施形態］
［１−１．構成］
図１に示す情報処理システム１は、車両２に搭載して用いられる車載システム１１を含むシステムであって、車両２の外部の情報処理センターに設置されるセンター端末３と、携帯端末４と、所定の店舗に設置される固定端末５と、を有していてもよい。なお情報処理センター及び店舗は、センター端末３及び固定端末５が設置される場所の例を示しただけのものであって、その設置される場所は特に限定されない。

センター端末３は、車載システム１１に設けられる後述する通信装置２９、携帯端末４、及び固定端末５に対して、通信可能に構成されている。センター端末３及び固定端末５はいずれもＣＰＵ、メモリ等を有するコンピュータシステムであり、ＣＰＵがメモリに格納されたプログラムを実行することにより各種の機能を実現する。

携帯端末４は、マイクロコンピュータ、無線通信モジュール、ディスプレイ、スピーカー等を有しており、基地局を介したセンター端末３との通信や、画像表示及び音声出力などが可能に構成されている。

なお、センター端末３が情報受信装置の一例であり、携帯端末４及び固定端末５が通信端末の一例である。
図２に示すように、車載システム１１は、それぞれ異なる機能を有する複数のＥｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ（以下、ＥＣＵ）を有しており、通信線１３を介して接続されている。複数のＥＣＵとしては、特定ＥＣＵ２１、メーターＥＣＵ２３、エンジンＥＣＵ２５、車外通信ＥＣＵ２７などを含む。車外通信ＥＣＵ２７は、通信装置２９の一部を構成する。上述した複数のＥＣＵが複数の制御装置に相当し、特定ＥＣＵ２１が特定制御装置に相当する。

特定ＥＣＵ２１は、マイクロコントロールユニット（以下ＭＣＵ）３１と、トランシーバ３３と、を備える。
ＭＣＵ３１は、ＣＰＵ４１と、ＲＡＭ、ＲＯＭ、フラッシュメモリ等の半導体メモリ（以下、メモリ４２）と、を有する周知のマイクロコンピュータを中心に構成されており、更にブートＲＯＭ４３と通信コントローラ４４とを備える。

ＭＣＵ３１の各種機能は、ＣＰＵ４１が非遷移的実体的記録媒体に格納されたプログラムを実行することにより実現される。この例では、メモリ４２が、プログラムを格納した非遷移的実体的記録媒体に該当する。また、このプログラムの実行により、プログラムに対応する方法が実行される。なお、ＭＣＵ３１を構成するマイクロコンピュータの数は１つでも複数でもよい。

ＭＣＵ３１が実現する機能については特に限定されない。言い換えると、本実施形態の特定ＥＣＵ２１は様々な機能を実点するためのＥＣＵに適用することができる。なお以下の説明においては、ＭＣＵ３１により実行される主要な機能をメイン機能と記載する。このメイン機能が、所定の機能に相当する。

メモリ４２により構成される記憶領域のうちの一部は、後述するブート処理においてソフトウェアの改ざんの有無が判定されるセキュリティ領域４２ａとして構成される。このセキュリティ領域４２ａには、ＭＣＵ３１がメイン機能を実現するために実行されるプログラム等のソフトウェアが記憶されている。セキュリティ領域４２ａが、所定の記憶領域に相当する。改ざんとは、例えばネットワークを介して実行される第三者による不正なデータの書き換えを意味する。

ブートＲＯＭ４３により構成される記憶領域４３ａには、特定ＥＣＵ２１の起動時に最初に実行されるプログラム等のソフトウェアや、セキュリティ領域４２ａに記憶されるソフトウェアの改ざんを判定するためのハッシュ値などが記憶されている。

なお、ＣＰＵ４１が特定ＥＣＵ２１の起動時にブートＲＯＭ４３から読み出したプログラムを実行することで実現される機能の構成として、起動部と、判定部と、出力部と、を備える。

起動部は、特定ＥＣＵ２１を所定のプログラムの実行が可能な状態である起動状態とする。ここでいうプログラムは、セキュリティ領域４２ａに記憶されるプログラムである。
判定部は、起動部が特定ＥＣＵ２１を起動状態とする前に、後述するセキュリティ領域４２ａに記憶された、上記プログラムを少なくとも含むソフトウェアが改ざんされているか否かを判定する。

出力部は、判定部により改ざんされていると判定されたときに、特定ＥＣＵ２１を除くＥＣＵのうちの少なくともいずれかに対して、特定ＥＣＵ２１の異常を通知する異常通知フレームである。この異常通知フレームが、所定の信号に相当する。

異常通知フレームには、例えば、車両情報、ＩＤ情報、セキュリティ領域４２ａに記憶されるソフトウェアのバージョン情報、時刻情報、位置情報が含まれるが、これらを全て含むものである必要はない。なおバージョン情報は、改ざんが行われる前のバージョンを示す情報である。

車両情報とは、特定ＥＣＵ２１が搭載される車両２を特定する情報である。なおこの車両情報には、車両２の車種を特定する情報と、車両２の個体を特定する情報と、が含まれているが、いずれか一方であっても良い。

ＩＤ情報とは、特定ＥＣＵ２１の個体を特定可能な情報である。
時刻情報とは、実質的に判定部により改ざんの有無の判定が行われた時刻を示す情報である。

位置情報とは、特定ＥＣＵ２１の位置、即ち車両２の位置を特定する情報であって、例えば、図示しないＧＮＳＳアンテナを介して受信したＧＮＳＳ情報などを用いることができる。

通信コントローラ４４は、ＣＰＵ４１が生成した制御信号を所定のプロトコルに従って通信線１３に送出したり、通信線１３を介して他のＥＣＵからの制御信号を受信し、ＣＰＵ４１に伝送したりする。

トランシーバ３３は、通信コントローラ４４と通信線１３とに接続されており、通信線１３上に流れているアナログ信号をデジタルデータに変換して通信コントローラ４４に伝送したり、通信コントローラ４４によって送出されるデジタル信号をアナログ信号に変換して通信線１３に送出したりする。

メーターＥＣＵ２３は、インストルメントパネルに配置された、画像を表示するディスプレイや車両の状態を示すランプなどを備える表示装置２４を制御して、車両の状態を搭乗者に認識させる。この表示装置２４が、警告装置に相当する。

メーターＥＣＵ２３はＣＰＵ２３ａと、ＲＡＭ、ＲＯＭ、フラッシュメモリ等の半導体メモリ（以下、メモリ２３ｂ）と、を有する周知のマイクロコンピュータを中心に構成されており、ＣＰＵ２３ａが非遷移的実体的記録媒体に格納されたプログラムを実行することにより上記の機能が実現される。この例では、メモリ２３ｂが、プログラムを格納した非遷移的実体的記録媒体に該当する。

エンジンＥＣＵ２５は、メーターＥＣＵ２３同様にＣＰＵ２５ａ、メモリ２５ｂなどを有しており、ＣＰＵ２５ａがプログラムを実行することにより、車両に搭載された駆動装置であるエンジン２６の駆動制御が実現される。このエンジンＥＣＵ２５は、動作モードを通常のモードとは異なる安全制御モードに設定可能であり、安全制御モードに設定された場合には、通常のモードとは異なる制御を実行する。上記エンジン２６が、駆動装置に相当する。

なお、車両２はエンジン以外の駆動装置、例えばモーターを用いる構成であってもよく、その場合にはエンジンＥＣＵ２５はモーターを制御する。
車外通信ＥＣＵ２７は、通信装置２９の備える通信モジュール２７ｃを制御してセンター端末３との通信を行う。例えば通信モジュール２７ｃとしては移動体通信網を介して無線通信が可能なモジュールを採用することができるが、これ以外の通信を実現するものであってもよい。車外通信ＥＣＵ２７は、メーターＥＣＵ２３同様にＣＰＵ２７ａ、メモリ２７ｂなどを有しており、ＣＰＵ２７ａがプログラムを実行することにより上記の機能が実現される。

［１−２．処理］
［１−２−１．特定ＥＣＵ２１による処理］
特定ＥＣＵ２１のＣＰＵ４１が実行するブート処理について、図３のフローチャートを用いて説明する。本処理は、自車両のアクセサリスイッチがオンとなり、特定ＥＣＵ２１の電源がオンとなったときに開始される。

まずＳ１では、ＣＰＵ４１は、当該ＣＰＵ４１の初期化を実行する。具体的には、ＣＰＵ４１内部の図示しないキャッシュやレジスタ等を初期化する。
Ｓ２では、ＣＰＵ４１は、プログラムの初期化を実行する。ここでは、ＣＰＵ４１は、入出力ポートの設定と初期出力、変数の初期値設定などを行う。

Ｓ３では、ＣＰＵ４１は、セキュリティチェックを実行し、その結果が良好であるか否かを判定する。ここでいうセキュリティチェックとは、セキュリティ領域４２ａに記憶されるソフトウェアが改ざんされているか否かのチェックであり、上述した判定部により実行される。このソフトウェアにはプログラム及びプログラムの実行時に使用されるデータなどが含まれる。

具体的には、ＣＰＵ４１は、ブートＲＯＭ４３の記憶領域４３ａから参照ハッシュ値を読み出す。参照ハッシュ値とは、セキュリティ領域４２ａに記憶されるプログラム及びデータが改ざんされていない場合において算出されるハッシュ値である。続いてＣＰＵ４１は、セキュリティ領域４２ａに記憶されるプログラム及びデータのハッシュ値を算出し、参照ハッシュ値と比較する。プログラム及びデータそれぞれについて、算出されたハッシュ値と参照ハッシュ値とが一致していれば、プログラム等の改ざんはなく、チェックの結果が良好であると判定され、何れか１つでも一致しないものがあれば、プログラム等に改ざんがあり、チェック結果は良好ではないと判定される。

このＳ３にてセキュリティチェックが良好と判定された場合、処理がＳ４に移行する。一方、セキュリティチェックが良好と判定されなかった場合、処理がＳ６に移行する。
Ｓ４では、ＣＰＵ４１は、その他のリセット及び初期化を実行する。ここでは、ＣＰＵ４１以外の特定ＥＣＵ２１全体の初期化を実行する。

Ｓ５では、ＣＰＵ４１は、特定ＥＣＵ２１によるメイン機能を実現するためのメイン処理を開始する。具体的には、セキュリティ領域４２ａに記憶されているプログラムを読み出して実行する。このＳ５の後、本ブート処理を終了する。

Ｓ６では、ＣＰＵ４１は、トランシーバ３３を初期化する。また続くＳ７では、ＣＰＵ４１は、通信コントローラ４４を初期化する。これらの処理により、特定ＥＣＵ２１は、車内の他のＥＣＵと通信が可能な状態となる。

Ｓ８では、ＣＰＵ４１は、異常通知フレームを通信線１３上に出力する。これにより、異常通知フレームが他のＥＣＵに送信される。この処理が、出力部による処理である。
Ｓ９では、ＣＰＵ４１は、ＥＣＵ全体をリセットする。その後、処理がＳ１に戻る。つまり、いわゆる再起動が実行される。

［１−２−２．メーターＥＣＵ２３による処理］
メーターＥＣＵ２３のＣＰＵ２３ａが実行する異常表示処理について、図４のフローチャートを用いて説明する。本処理は、特定ＥＣＵ２１から出力された異常通知フレームを最初に受信したときに開始される。

まずＳ２１では、ＣＰＵ２３ａは、異常通知フレームを最初に受信してから一定時間経過したか否かを判定する。ここでいう一定時間は、表示装置２４に異常である旨を表示する時間である。このＳ２１にて一定時間を経過したと判定された場合、処理がＳ２３に移行する。一方、一定時間を経過したと判定されなかった場合、処理がＳ２２に移行する。

Ｓ２２では、ＣＰＵ２３ａは、表示装置２４に対して異常がある旨の表示を実行させる表示処理を行わせる。例えば、ＣＰＵ２３ａは異常を示すランプを点灯又は点滅させたり、ディスプレイに異常である旨を示す画像を表示させたりする。

Ｓ２３では、ＣＰＵ２３ａは、表示処理を終了する。即ち、ＣＰＵ２３ａは表示装置によるランプの点灯や画像の表示を停止させる。このＳ２３の後、本処理を終了する。
［１−２−３．エンジンＥＣＵ２５による処理］
エンジンＥＣＵ２５のＣＰＵ２５ａが実行するモード設定処理について、図５のフローチャートを用いて説明する。本処理は、特定ＥＣＵ２１から出力された異常通知フレームを最初に受信したときに開始される。

本処理では、Ｓ３１にて、ＣＰＵ２５ａは、エンジンＥＣＵ２５の動作モードを安全制御モードに設定する。その後、本処理を終了する。
次に、ＣＰＵ２５ａが実行する走行制御処理について、図６のフローチャートを用いて説明する。本処理は、Ｓ３１にて動作モードが安全制御モードに設定されたときに開始される。

まずＳ３２では、ＣＰＵ２５ａは、車両が走行中であるか否かを判定する。具体的には、車両に備えられた図示しない車速センサの出力に基づき、車両の走行速度が０ｋｍ／ｈであれば走行中でないと判定し、走行速度が０ｋｍ／ｈでなければ走行中であると判定する。なお走行中か否かは、車速センサの出力以外に基づいて判定してもよい。例えばエンジンの駆動状態や車両２の位置の変化などから判定することができる。

このＳ３２にて走行中であると判定された場合、処理がＳ３４に移行する。一方、走行中であると判定されなかった場合、処理がＳ３３に移行する。
Ｓ３３では、ＣＰＵ２５ａは、エンジンを停止させる。また、運転者がエンジンを起動する操作を行ってもエンジンの起動を実行しないように設定する。このＳ３３の後、本処理を終了する。

Ｓ３４では、ＣＰＵは、減速走行を行う。ここでいう減速走行とは、加速は行わず、速度を徐々に低下させて最終的には走行速度を０ｋｍ／ｈとする制御である。車両停止後、処理がＳ２３に移行する。このＳ３４の後、本処理を終了する。

なお、Ｓ３３、Ｓ３４では、エンジンの駆動を制限する制御について例示したが、上記以外の制限を行ってもよい。例えば、上述した減速走行に代えて、所定速度以上の速度では走行できない減速走行を実行してもよい。具体的には、走行速度を徐々に所定速度（一例として、３０ｋｍ／ｈ）まで落とし、それ以降は所定速度までしか加速できないように制御することが考えられる。

［１−２−４．車外通信ＥＣＵ２７による処理］
通信装置２９の備える車外通信ＥＣＵ２７のＣＰＵ２７ａは、特定ＥＣＵ２１から出力された異常通知フレームを受信したときに、センター端末３に向けて第１信号を送信する。この第１信号には、車両情報、ＩＤ情報、セキュリティ領域４２ａに記憶されるソフトウェアのバージョン情報、時刻情報、位置情報が含まれており、これらの情報が３に出力される。なお、第１信号はこれらを全て含むものである必要はない。

［１−３．車両外部における処理］
センター端末３は、通信装置２９から第１信号を受信すると、携帯端末４への通知と、固定端末５への通知と、を行うことができる。

［１−３−１．携帯端末４への通知］
センター端末３は、第１信号を受信したときは、携帯端末４に対し、第２信号（ａ）を送信する。センター端末３には、車両２を特定する情報に紐つけて携帯端末４を特定可能な情報が記憶されている。センター端末３が第１信号を受信したときは、その第１信号に含まれる車両情報に基づいて携帯端末４が特定され、上述した第２信号（ａ）が送信される。

携帯端末４では、特定ＥＣＵ２１に異常が発生した旨や、特定ＥＣＵ２１の点検が必要である旨などがディスプレイに表示される。なお、ディスプレイに表示される内容は特に限定されない。例えば、異常を解消するために必要な修理等を行うことができる事業者の所在を表示する構成や、必要な処理を案内するサービスセンターの電話番号を表示する構成であってもよい。

［１−３−２．固定端末５への通知］
センター端末３は、第１信号を受信したときは、固定端末５に対し、第２信号（ｂ）を送信する。固定端末５は、例えば、車両メーカー、車両販売ディーラー、修理工場、ロードサービス事業者などの事業所に設置される端末である。

センター端末３は、第１信号を受信したときは、車両メーカーや車両販売ディーラーには、ＩＤ情報やソフトウェアのバージョンなどを示す情報が含まれる信号を送信する。車両メーカーや車両販売ディーラーは、その情報を元に脆弱性のある車種と同じ特定ＥＣＵ２１や同じソフトウェアが搭載された他の車種や車両を特定し、次の攻撃の前に注意喚起を行ったり、対策を講じることで被害の拡大を抑制したりすることができる。

またセンター端末３は、第１信号を受信したときは、その第１信号に含まれる位置情報に基づいて、車両２の近隣の車両販売ディーラー、修理工場やロードサービス事業者に設置される固定端末５に、異常が発生した旨を示す情報を送信する。この場合には、固定端末５に、車両２の制御装置２１に異常が発生した旨や、点検の要請などを出力させることができる。

［１−４．効果］
以上詳述した実施形態によれば、以下の効果が得られる。
（１ａ）特定ＥＣＵ２１は、起動時のセキュリティチェックにおいて改ざんが発見されたときは、再起動を行う前に異常通知フレームを通信線１３に送出する。よって、即時に特定ＥＣＵ２１の異常を特定ＥＣＵ２１の外部に知らせることができる。また異常が発見されたときに通信装置２９から異常発生通知がセンター端末３に送信されることから、異常を検出することを目的として通信装置２９とセンター端末３とが通信行う必要がなくなり、通信の負荷の増大を抑制できる。

（１ｂ）特定ＥＣＵ２１は、起動時に実行するセキュリティチェックを、書き換え不能なＲＯＭに記憶された参照ハッシュ値と、セキュリティ領域４２ａに記憶されているソフトウェアから算出したハッシュ値と、を比較することにより実行するため、改ざんの検出を高精度に実行することができる。

（１ｃ）車外通信ＥＣＵ２７は、センター端末３や固定端末５に対して、ＩＤ情報、位置情報、及びソフトウェアのバージョン情報などを通知することで、問題のある車両の特定、問題のあるソフトウェアの特定を容易に実現させることができる。

（１ｄ）特定ＥＣＵ２１に改ざんが検出された場合は、表示装置２４や携帯端末４により車両の搭乗者や携帯端末４の使用者に通知がなされるため、それらユーザは迅速に異常を認識することができる。その結果、車両２の走行中であれば、特定ＥＣＵ２１の異常に起因する危険を回避しやすくなり、また改ざんがなされたＥＣＵが搭載された車両に搭乗してしまう危険を低減し、迅速に修理や点検を行わせることができる。

［２．他の実施形態］
以上、本発明を実施するための形態について説明したが、本発明は上述の実施形態に限定されることなく、種々変形して実施することができる。

（２ａ）上記実施形態では、特定ＥＣＵ２１において改ざんが発見された場合には、通信装置２９がセンター端末３に第１信号を送信し、センター端末３が携帯端末４及び固定端末５に第２信号を送信する構成を例示した。

しかしながら、図７に示すように、センター端末３を介さずに、通信装置２９が携帯端末４又は固定端末５に信号を送信するように構成されていてもよい。また携帯端末４に対して無線通信を行う場合は、移動体通信網を介さずに、無線ＬＡＮや近距離無線通信の規格に基づく通信を行うように構成されていてもよい。なおこの構成において、携帯端末４が無線通信端末に相当し、通信装置２９から携帯端末４に送信される信号が特定信号に相当する。

また、図８に示すように、特定ＥＣＵ２１自体が通信モジュール２２を備えており、車載システム１１内で通信装置２９に情報の送信することなく、センター端末３、携帯端末４、及び固定端末５に対して、出力部が異常通知フレームを送信するように構成されていてもよい。なお、この図８に示す構成において、センター端末３、携帯端末４、及び固定端末５が、車両の外部に存在する情報処理装置に相当する。なお、携帯端末４は、携帯端末４の使用者への異常が発生した旨の通知、及び、点検の警告のうち少なくともいずれか一方を実行可能に構成されており、異常通知フレームを受信した場合には、上述した異常が発生した旨の通知及び警告のうち少なくともいずれか一方を実行する。

（２ｂ）上記実施形態では、ＭＣＵ３１がメイン機能を実現するためのソフトウェアがセキュリティ領域４２ａに記憶されており、当該ソフトウェアに改ざんがされているか否かが判定される構成を例示した。しかしながら、ＭＣＵ３１は、メイン機能を実現するためには複数の階層のプログラムを実行する必要があり、各階層のプログラムを実行するごとにセキュリティチェックが実行されるように構成されていてもよい。

例えば、ブートＲＯＭ４３に記憶されたプログラムによりファームウェアの起動とセキュリティチェックが実行され、起動されたファームウェアによってオペレーションシステムの起動とセキュリティチェックが実行されるように構成することが考えられる。

そして、このように複数階層のプログラムを実行する構成において、それぞれのプログラムの起動時において改ざんが発見された場合に出力部が異常通知フレームを通信線１３上に送出する構成としてもよいし、所定の階層のプログラム起動時において改ざんが発見された場合にのみ出力部が異常通知フレームを通信線１３上に送出する構成としてもよい。

（２ｃ）上記実施形態では、通信線１３により車載システム１１の他のＥＣＵに異常通知フレームを通知する構成を例示したが、異常通知フレームを通知するための専用線を準備しておき、その専用線を用いて異常通知フレームを送信する構成としてもよいし、無線通信により異常通知フレームを送信する構成としてもよい。

（２ｄ）車外通信ＥＣＵ２７は、改ざんが検出された後、車外からの通信を遮断するように構成されていてもよい。車外からの通信を遮断することで、更に外部からの攻撃を受けたり、異常のあるＥＣＵが外部に不適切な信号を出力してしまったりすることを抑制できる。

（２ｅ）上記実施形態においては、通信線１３に異常通知フレームが出力されたとき、メーターＥＣＵ２３が表示装置２４に異常等を表示させる構成を例示したが、メーターＥＣＵ２３が制御する表示装置２４以外の装置において警告を行う構成であってもよい。例えば、映像や音声を出力する装置において、画像表示や音声出力による警告が実行されるように構成されていてもよい。

（２ｆ）特定ＥＣＵ２１はその機能を特に限定していないが、様々な機能を有するＥＣＵにおいて、上記実施形態の構成を採用することができる。メーターＥＣＵ２３、エンジンＥＣＵ２５、車外通信ＥＣＵ２７において、特定ＥＣＵ２１と同様のセキュリティチェック及び異常通知フレームの出力を行うように構成されていてもよい。

（２ｇ）上記実施形態においては、特定ＥＣＵ２１において改ざんが検出された場合には、車両に搭載される他のＥＣＵ、センター端末３、携帯端末４、固定端末５に対して直接又は間接的に信号が送信される構成を例示したが、送信される対象となる装置は上記実施例の内容に何ら限定されず、車載システム１１を構成する様々な装置や、車両２の外部に存在する様々な装置に対して信号を送信するように構成できる。

（２ｈ）上記実施形態においては、ハッシュ値を参照することにより改ざんを検出する構成を例示したが、それ以外の手法により改ざんを検出してもよい。例えば、チェックサムを比較する方法で改ざんを判定してもよい。

（２ｉ）上記各実施形態における１つの構成要素が有する機能を複数の構成要素に分担させたり、複数の構成要素が有する機能を１つの構成要素に発揮させたりしてもよい。また、複数の構成要素が有する複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしてもよい。また、上記実施形態の構成の一部を省略してもよい。また、上記実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加又は置換してもよい。なお、特許請求の範囲に記載した文言のみによって特定される技術思想に含まれるあらゆる態様が本発明の実施形態である。

（２ｊ）上述した情報処理システム１の他、当該情報処理システム１の構成要素である特定ＥＣＵ２１、特定ＥＣＵ２１としてコンピュータを機能させるためのプログラム、このプログラムを記録した半導体メモリ等の非遷移的実態的記録媒体、制御装置の起動方法など、種々の形態で本発明を実現することもできる。

１…情報処理システム、２…車両、３…センター端末、４…携帯端末、５…固定端末、２１…特定ＥＣＵ、４１…ＣＰＵ、４２ａ…セキュリティ領域

Claims (10)

1. 車両（２）に搭載して用いられる複数の制御装置（２１、２３、２５、２７）を含む情報処理システム（１）であって、
   前記複数の制御装置に含まれる制御装置である特定制御装置（２１）は、
   当該特定制御装置を所定のプログラムの実行が可能な状態とする起動部（４１、Ｓ１、Ｓ２、Ｓ４、Ｓ５）と、
   当該特定制御装置が前記起動部により前記プログラムの実行が可能な状態となる前に、所定の記憶領域（４２ａ）に記憶された、少なくとも前記プログラムを含むソフトウェアが改ざんされているか否かを判定する判定部（４１、Ｓ３）と、
   前記判定部により前記ソフトウェアが改ざんされていると判定されたときに、前記特定制御装置を除く前記複数の制御装置、及び、前記車両の外部に存在する情報処理装置（３、４、５）、のうちの少なくともいずれかに対して、所定の信号を出力する出力部（４１、Ｓ８）と、を備える、情報処理システム。
2. 請求項１に記載の情報処理システムであって、
   前記判定部は、前記所定の記憶領域を第１の記憶領域としたときに、前記第１の記憶領域に記憶される前記ソフトウェアに基づいて算出されるハッシュ値と、前記第１の記憶領域とは異なる第２の記憶領域（４３ａ）に記憶されたハッシュ値と、を比較し、一致しない場合に改ざんが成されたと判定する、情報処理システム。
3. 請求項１又は請求項２に記載の情報処理システムであって、
   前記出力部は、前記特定制御装置を除く前記複数の制御装置の少なくともいずれか１つに対して、以下の（ｉ）〜（ｉｉｉ）のいずれかにより前記所定の信号を出力する、情報処理システム。
   （ｉ）前記複数の制御装置の通信を実現するための通信線（１３）を用いて前記所定の信号を出力する
   （ｉｉ）前記所定の信号を出力するための専用線を用いて前記所定の信号を出力する
   （ｉｉｉ）無線通信により、前記所定の信号を出力する
4. 請求項１から請求項３までのいずれか１項に記載の情報処理システムであって、
   前記出力部により出力される前記所定の信号には、前記特定制御装置が搭載される車両の車種を特定可能な情報、前記特定制御装置を特定可能な情報、前記特定制御装置に記憶されるソフトウェアのバージョン、時刻情報、及び位置情報のうち、少なくともいずれか１つが含まれる、情報処理システム。
5. 請求項１から請求項４までのいずれか１項に記載の情報処理システムであって、
   前記特定制御装置を除く前記複数の制御装置の少なくともいずれか１つ（２３）は、前記車両の搭乗者に対して画像表示及び音声出力のうち少なくともいずれか１つを用いた警告を実行可能な警告装置（２４）を制御するものであって、前記出力部により出力された前記所定の信号を受信した場合には、前記警告装置に前記警告を実行させる、情報処理システム。
6. 請求項１から請求項５までのいずれか１項に記載の情報処理システムであって、
   前記特定制御装置を除く前記複数の制御装置の少なくともいずれか１つ（２５）は、前記車両に搭載された駆動装置（２６）の駆動を制御するものであって、前記出力部により出力された前記所定の信号を受信した場合には、前記駆動装置の駆動を制限する、情報処理システム。
7. 請求項１から請求項６までのいずれか１項に記載の情報処理システムであって、
   前記特定制御装置を除く前記複数の制御装置の少なくともいずれか１つ（２７）は、前記情報処理システムの外部に存在する情報受信装置（３、４、５）に情報を出力可能に構成されており、前記出力部により出力された前記所定の信号を受信した場合には、前記特定制御装置を特定可能な情報、及び、前記特定制御装置に記憶されるソフトウェアのバージョンを示す情報のうち少なくともいずれか１つを、前記情報受信装置に送信する、情報処理システム。
8. 請求項１から請求項７までのいずれか１項に記載の情報処理システムであって、
   前記情報処理装置は、該情報処理装置の使用者に対して、異常が発生した旨の通知、及び、点検を行うべき旨の通知のうち少なくともいずれか１つの通知を実行可能に構成されており、前記出力部により出力された前記所定の信号を受信した場合には、前記通知のうちの少なくともいずれか１つを実行する、情報処理システム。
9. 請求項１から請求項６までのいずれか１項に記載の情報処理システムであって、
   前記特定制御装置を除く前記複数の制御装置の少なくともいずれか１つ（２７）は、前記情報処理システムの外部に存在する無線通信端末（４）に信号を送信可能に構成されており、前記出力部により出力された前記所定の信号を受信した場合には、少なくとも、前記特定制御装置を特定可能な情報を含む信号である特定信号を前記無線通信端末に出力し、
   前記無線通信端末は、該無線通信端末の使用者に対して、異常が発生した旨の通知、及び、点検を行うべき旨の通知のうち少なくともいずれか一方の通知を実行可能に構成されており、前記特定信号を受信した場合には、前記通知のうちの少なくともいずれか１つを実行する、情報処理システム。
10. 請求項１から請求項６までのいずれか１項に記載の情報処理システムであって、
    前記特定制御装置を除く前記複数の制御装置の少なくともいずれか１つ（２７）は、前記情報処理システムの外部に存在する情報受信装置（３）に信号を送信可能に構成されており、前記出力部により出力された前記所定の信号を受信した場合には、少なくとも、前記特定制御装置を特定可能な情報を含む信号である第１信号を前記情報受信装置に出力し、
    前記情報受信装置は、前記情報処理システムの外部に存在する通信端末（４、５）に信号を送信可能に構成されており、前記第１信号を受信した場合には、第２信号を前記通信端末に送信し、
    前記通信端末は、該通信端末の使用者に対して、異常が発生した旨の通知、及び、点検を行うべき旨の通知のうち少なくともいずれか一方の通知を実行可能に構成されており、前記情報受信装置により送信された前記第２信号を受信した場合には、前記通知のうちの少なくともいずれか１つを実行する、情報処理システム。

Images