JP2019133599A - 車載装置、インシデント監視方法 - Google Patents

Abstract

【課題】車両内のネットワークのセキュリティ性能を向上しつつ、ユーザーの利便性の低下を抑制する。【解決手段】車載監視装置２０は、複数の機器により構成されるネットワークを備えた車両２に搭載されるものであって、インシデント検知処理部１２０を備える。インシデント検知処理部１２０は、車両２の制御状態を表す車両情報、すなわち車両ログを車両ログＤＢ１７１から取得し、この車両ログに基づいて車両２において発生したインシデントを検知する。そして、検知したインシデントに関連する脆弱性を有する機器をネットワーク内で特定し、特定した機器に対して暫定対処を行う。【選択図】図４

Description

本発明は、インシデント監視を行う車載装置およびこれを用いたインシデント監視方法に関する。

近年、複数の電子制御装置（ＥＣＵ：Electronic Control Unit）を有する車載通信システムにおいて、外部の情報通信機器と通信を行うことで様々な情報を取得し、取得した情報を用いて車両の安全運転支援や自動運転を実現する技術が普及し始めている。このような車載通信システムでは、外部からのサイバー攻撃を受ける危険性が高まっており、セキュリティ性能の向上が求められている。

車載通信システムにおけるセキュリティ性能の向上に関して、特許文献１に記載の技術が知られている。特許文献１には、車外からのＤｏＳ攻撃（Denial of Service attack）を検出する監視装置を備え、監視装置は、ＤｏＳ攻撃が発生したと判定すると、車外装置とのデータ通信を中継するゲートウェイへＤｏＳ攻撃が発生したことを示す攻撃通知を送信し、この攻撃通知を受信したゲートウェイは、データ通信の中継を停止する車載通信システムが開示されている。

特開２０１６−１４３９６３号公報

特許文献１に記載された車載通信システムでは、監視装置がＤｏＳ攻撃を検知すると車外装置との通信を全て遮断するため、影響のない機能も含めて停止してしまい、ユーザーの利便性を損なうという課題がある。

本発明による車載装置は、複数の機器により構成されるネットワークを備えた車両に搭載されるものであって、前記車両の制御状態を表す車両情報を取得し、前記車両情報に基づいて前記車両において発生したインシデントを検知し、検知した前記インシデントに関連する脆弱性を有する機器を前記ネットワーク内で特定し、特定した前記機器に対して暫定対処を行うインシデント検知処理部を備える。
本発明によるインシデント監視方法は、複数の機器により構成される車両内のネットワークにおいて、前記車両の制御状態を表す車両情報を取得し、前記車両情報に基づいて前記車両において発生したインシデントを検知し、検知した前記インシデントに関連する脆弱性を有する機器を前記ネットワーク内で特定し、特定した前記機器に対して暫定対処を行う。

本発明によれば、車両内のネットワークのセキュリティ性能を向上しつつ、ユーザーの利便性の低下を抑制することができる。

本発明の一実施形態に係る車両情報ネットワークシステムの構成図 車両および車載監視装置のハードウェア構成を例示するブロック図 路側器およびセンタサーバのハードウェア構成を例示するブロック図 車載監視装置の機能構成を例示するブロック図 センタサーバの機能構成を例示するブロック図 車両におけるインシデントの説明図 車載監視装置が実行する処理のフローチャート センタサーバが実行する処理のフローチャート 車両情報ネットワークシステムのシーケンス図 攻撃シナリオＤＢの構成例を示す図 対策情報ＤＢの構成例を示す図 検知情報の構成例を示す図 車両管理情報ＤＢの構成例を示す図

以下、本発明の実施形態について図面を参照して説明する。図１は、本発明の一実施形態に係る車両情報ネットワークシステムの構成図である。図１に示す車両情報ネットワークシステム１は、複数の車両２、路側器３、ネットワーク４、およびセンタサーバ５を含む。

複数の車両２は、車載監視装置２０をそれぞれ搭載する。路側器３は、車両２が走行する道路の路側に、所定地点に固定して設置される。なお、複数の路側器３がそれぞれ異なる地点に設置されていてもよい。路側器３とセンタサーバ５は、ネットワーク４を介して相互に接続される。センタサーバ５は、ネットワーク４および路側器３を介して、車載監視装置２０とデータ通信を行う。

なお、図１では、車両情報ネットワークシステム１に２つの車両２が含まれている例を示しているが、車両情報ネットワークシステム１に含まれる車両２の台数はこれに限定されない。各車両２に搭載される車載監視装置２０の動作は同様であるため、以下の説明では、複数の車両２のうち１つを対象として、これに搭載される車載監視装置２０の動作を中心として説明する。

図２は、車両２および車載監視装置２０のハードウェア構成を例示するブロック図である。車両２は、車載監視装置２０と、車載監視装置２０にそれぞれ接続されている無線通信装置１０４、ユーザースイッチ１０５、表示装置１０６、ナビゲーションシステム１０７、車載ゲートウェイ１０８、ステアリングＥＣＵ１０９、ブレーキＥＣＵ１１０、エンジンＥＣＵ１１１、ＡＤＡＳ ＥＣＵ１１２、ブレーキ制御ＥＣＵ１１３、ステアリング制御ＥＣＵ１１４、エンジン制御ＥＣＵ１１５、カメラ１１６、ＧＰＳセンサ１１７、加速度センサ１１８、およびモバイルルーター１１９を備える。なお、ステアリングＥＣＵ１０９〜エンジン制御ＥＣＵ１１５の各ＥＣＵと、カメラ１１６、ＧＰＳセンサ１１７および加速度センサ１１８とは、車載ゲートウェイ１０８を介して車載監視装置２０と接続されている。また、モバイルルーター１１９は無線通信装置１０４を介して車載監視装置２０と無線接続されている。

ステアリングＥＣＵ１０９、ブレーキＥＣＵ１１０、およびエンジンＥＣＵ１１１は、車両２の走行制御を行うための装置であり、相互に接続されてネットワークを構成している。以下では、このネットワークを「制御系ネットワークドメイン」と称する。ＡＤＡＳ ＥＣＵ１１２、ブレーキ制御ＥＣＵ１１３、ステアリング制御ＥＣＵ１１４、エンジン制御ＥＣＵ１１５、カメラ１１６、ＧＰＳセンサ１１７、および加速度センサ１１８は、車両２の運転支援や自動運転を行うための装置であり、相互に接続されてネットワークを構成している。以下では、このネットワークを「運転支援系ネットワークドメイン」と称する。車載監視装置２０、無線通信装置１０４、ユーザースイッチ１０５、表示装置１０６、およびナビゲーションシステム１０７は、車両２の外部とのインタフェースや車両２の運転者に対するユーザーインタフェースを提供するための装置であり、相互に接続されてネットワークを構成している。以下では、このネットワークを「情報系ネットワークドメイン」と称する。すなわち、車載監視装置２０は、情報系ネットワークドメインに属しており、制御系ネットワークドメインおよび運転支援系ネットワークドメインに接続されている。

上記の各ネットワークにおいて、同じネットワーク内の各装置は、車載ゲートウェイ１０８を介さずに直接データ通信を行うことができる。例えば、制御系ネットワークドメイン内では、車両２の走行制御のための通信が行われる。運転支援系ネットワークドメイン内では、車両２の運転支援や自動運転のための通信が行われる。情報系ネットワークドメイン内では、車両２の運転者に対するユーザーインタフェースのための通信が行われる。一方、異なるネットワークに属する装置間のデータ通信は、車載ゲートウェイ１０８を介して行われる。

無線通信装置１０４は、車載監視装置２０に接続されており、路側器３との間で直接、またはモバイルルーター１１９を介して無線通信を行う。車載監視装置２０は、無線通信装置１０４やモバイルルーター１１９を介した無線通信によって、路側器３とデータ通信を行う。

ステアリングＥＣＵ１０９は、車両２の運転者によるステアリング操作、またはステアリング制御ＥＣＵ１１４から送信されるステアリング制御命令に応じて、車両２の操舵機構を制御して進行方向制御を行う装置である。ブレーキＥＣＵ１１０は、車両２の運転者によるブレーキ操作、またはブレーキ制御ＥＣＵ１１３から送信されるブレーキ制御命令に応じて、車両２のブレーキを制御して減速制御を行う装置である。エンジンＥＣＵ１１１は、車両２の走行状態、またはエンジン制御ＥＣＵ１１５から送信されるエンジン制御命令に応じて、車両２のエンジンを制御して速度制御を行う装置である。これらの装置により、車両２の走行制御が行われる。

ＡＤＡＳ ＥＣＵ１１２は、車両２の内外の情報から車両２の加速、減速、停止などを判断し、その判断結果を用いて車両２の自動運転や運転支援サービスを実現する装置である。ＡＤＡＳ ＥＣＵ１１２は、カメラ１１６から取得した外部画像や、ＧＰＳセンサ１１７から取得した車両２の位置や、加速度センサ１１８から取得した車両２の加速度や、ナビゲーションシステム１０７が保持する車両２の周辺地図情報などを参照して、車両２の挙動を決定する。そして、ブレーキ制御ＥＣＵ１１３や、ステアリング制御ＥＣＵ１１４や、エンジン制御ＥＣＵ１１５に対して、決定した車両２の挙動に応じた制御命令をそれぞれ出力するように指示する。これにより、ＡＤＡＳ ＥＣＵ１１２は、車両２の加速・操舵・制動を全て自動的に行い、車両２の自動運転機能を実現する。

車両２の運転者であるユーザーは、ＡＤＡＳ ＥＣＵ１１２の自動運転機能を利用することで、運転操作を行うことなく、車両２を目的地まで自動で走行させることが可能である。例えば、車両２が同一の走行車線を維持しながら目的地まで走行している場合、ＡＤＡＳ ＥＣＵ１１２は、カメラ１１６から取得した外部画像に基づいて、車両２の前後における障害物の有無を確認する。なお、カメラ１１６に替えて不図示のレーダセンサ等を用いてもよい。また、ＡＤＡＳ ＥＣＵ１１２は、ナビゲーションシステム１０７から取得した地図情報に基づいて、走行車線の形状に沿った車両２の進行方向や走行速度を決定し、これらの値に応じた制御パラメータを含む車両情報を、ブレーキ制御ＥＣＵ１１３、ステアリング制御ＥＣＵ１１４、エンジン制御ＥＣＵ１１５に対してそれぞれ送信する。これにより、車両２を走行車線に沿って自動的に走行させることができる。さらに、ＡＤＡＳ ＥＣＵ１１２は、カメラ１１６から取得した外部画像に基づいて、変更先の車線における障害物の有無を確認した上で、車線変更時の車両２の挙動を決定し、その値に応じた制御パラメータを含む車両情報を、ブレーキ制御ＥＣＵ１１３、ステアリング制御ＥＣＵ１１４、エンジン制御ＥＣＵ１１５に対してそれぞれ送信する。これにより、車両２を自動的に車線変更させることができる。

ブレーキ制御ＥＣＵ１１３は、ＡＤＡＳ ＥＣＵ１１２の指示に応じて、ブレーキＥＣＵ１１０に対してブレーキ強度を含むブレーキ制御命令を送信する装置である。ステアリング制御ＥＣＵ１１４は、ＡＤＡＳ ＥＣＵ１１２の指示に応じて、ステアリングＥＣＵ１０９に対してステアリングの操作角度を含むステアリング制御命令を送信する装置である。エンジン制御ＥＣＵ１１５は、ＡＤＡＳ ＥＣＵ１１２の指示に応じて、エンジンＥＣＵ１１１に対してエンジンの回転数を含むエンジン制御命令を送信する装置である。カメラ１１６は、車両２の周囲を撮影した画像をＡＤＡＳ ＥＣＵ１１２に出力する装置である。ＧＰＳセンサ１１７は、衛星から信号を受信して車両２の位置を測位する測位装置である。加速度センサ１１８は、車両２の前後方向や左右方向の加速度を検知する装置である。これらの装置により、車両２の運転支援や自動運転が行われる。

ユーザースイッチ１０５は、車両２の運転者による所定の入力操作を検出する装置である。車両２の運転者であるユーザーは、例えば車両２の自動運転や運転支援機能を無効から有効に、もしくは有効から無効に切り替える際に、ユーザースイッチ１０５を使用する。表示装置１０６は、例えば液晶モニタ等であり、運転者に対して種々の情報を表示する。例えば、車両２において自動運転や運転支援が実施されている場合は、これらの機能が有効であることを表示装置１０６に表示することで、運転者が車両２の状態を把握できるようにする。ナビゲーションシステム１０７は、道路形状等の地図情報を保持しており、ユーザーやＡＤＡＳ ＥＣＵ１１２からの要求などに応じて、車両２周辺の地図情報を提供する装置である。これらの装置により、車両２の運転者に対するユーザーインタフェースが提供される。

車載監視装置２０は、記憶装置１０１、ＣＰＵ１０２、およびメモリ部１０３を備える。記憶装置１０１は、例えばＨＤＤやフラッシュメモリ等の補助記憶装置である。ＣＰＵ１０２は、例えば記憶装置１０１などに記憶された所定の制御プログラムを読み込んで実行することにより、車載監視装置２０を制御する。

メモリ部１０３は、ＣＰＵ１０２が制御プログラムを実行する際に利用する主記憶装置である。

ＣＰＵ１０２は、インシデント検知処理部１２０、機能停止部１４０、警告処理部１５０および復旧策処理部１６０を機能的に備える。すなわち、インシデント検知処理部１２０、機能停止部１４０、警告処理部１５０および復旧策処理部１６０は、ＣＰＵ１０２が実行する制御プログラムによってソフトウェア的に実現される。インシデント検知処理部１２０、機能停止部１４０、警告処理部１５０および復旧策処理部１６０については、後に詳述する。

なお、インシデント検知処理部１２０、機能停止部１４０、警告処理部１５０および復旧策処理部１６０を、例えばＦＰＧＡのようなＣＰＵ１０２と同等の機能を実現できる電子回路などによってそれぞれ構成することも可能である。

図３は、路側器３およびセンタサーバ５のハードウェア構成を例示するブロック図である。路側器３は、路側器制御部２０５と無線送受信部２０６を備える。

無線送受信部２０６は、無線信号を送受信することにより、車両２に搭載された車載監視装置２０とデータ通信を行う。路側器制御部２０５は、路側器３を制御する。路側器制御部２０５は、ネットワーク４に接続されている。路側器制御部２０５は、ネットワーク４を介してセンタサーバ５とデータ通信を行う。路側器制御部２０５は、無線送受信部２０６を制御して、センタサーバ５から送信された情報を車両２に送信したり、車両２から受信した情報をセンタサーバ５に送信したりする。

センタサーバ５は、記憶装置５０１、ＣＰＵ５０２、およびメモリ部５０３を備える。記憶装置５０１は、例えばＨＤＤやフラッシュメモリ等の補助記憶装置である。ＣＰＵ５０２は、例えば記憶装置５０１などに記憶された所定の制御プログラムを読み込んで実行することにより、路側器３に送受信する情報を処理する。メモリ部５０３は、ＣＰＵ５０２が制御プログラムを実行する際に利用する主記憶装置である。

ＣＰＵ５０２は、送受信情報処理部５１０、インシデント分析処理部５２０、および復旧策生成部５３０を機能的に備える。すなわち、送受信情報処理部５１０、インシデント分析処理部５２０、および復旧策生成部５３０は、ＣＰＵ５０２が実行する制御プログラムによってソフトウェア的に実現される。送受信情報処理部５１０、インシデント分析処理部５２０、および復旧策生成部５３０については、後に詳述する。

次に、車載監視装置２０およびセンタサーバ５の機能構成について説明する。

図４は、車載監視装置２０の機能構成を例示するブロック図である。記憶装置１０１は、車両ログＤＢ１７１、攻撃シナリオＤＢ１７２、および対策情報ＤＢ１７３を有する。

車載ゲートウェイ１０８は、車載監視装置２０に接続されている各ネットワーク間で通信の中継を行う。例えば、運転支援系ネットワークドメインのブレーキ制御ＥＣＵ１１３から制御系ネットワークドメインのブレーキＥＣＵ１１０に送信されるブレーキ制御指示を、これらのネットワーク間で転送する。同一ネットワーク内の装置間および異なるネットワークの装置間では、所定のデータフォーマットを有する車両情報パケットにより通信が行われる。車載ゲートウェイ１０８は、各装置間で送受信される車両情報パケットを受信すると、そのパケットに含まれる情報を、車両２の制御状態を表す車両情報のログ（車両ログ）として車両ログＤＢ１７１に追記する。すなわち、車両ログＤＢ１７１には、車両情報パケットに含まれる車両情報が時系列順に車両ログとして格納される。

復旧策処理部１６０は、無線通信装置１０４を用いて路側器３と通信を行い、セキュリティ上のインシデントに対する復旧策をそれぞれ示すパッチ７００、攻撃シナリオ８００および対策情報９００を路側器３を介してセンタサーバ５から受信する。復旧策処理部１６０が受信したこれらの情報のうちパッチ７００は、車載ゲートウェイ１０８を介して、指定された送信先の装置に出力される。パッチ７００は、前述の制御系ネットワークドメイン、運転支援系ネットワークドメインまたは情報系ネットワークドメインにおいて、いずれかの装置がサイバー攻撃を受けることでセキュリティ上のインシデントが発生した場合に、そのインシデント発生元の装置を復旧させるために、当該装置を送信先としてセンタサーバ５から送信される情報である。パッチ７００には、例えば当該装置で動作するソフトウェアのバックデート命令や設定ファイル、更新ソフトウェアなどが含まれる。一方、復旧策処理部１６０が受信した攻撃シナリオ８００および対策情報９００は、攻撃シナリオＤＢ１７２、対策情報ＤＢ１７３にそれぞれ追加されて記憶装置１０１に格納される。なお、攻撃シナリオＤＢ１７２および対策情報ＤＢ１７３の詳細については後述する。

インシデント検知処理部１２０は、車両ログＤＢ１７１に格納されている車両ログを定期的に読み出し、無線通信装置１０４を用いて路側器３と通信を行うことで、車両ログ４００として路側器３を介してセンタサーバ５に送信する。また、読み出した車両ログに基づいて、インシデントが発生した場合にこれを検知する。インシデントの発生を検知した場合、インシデント検知処理部１２０は、検知したインシデントに関する検知情報６００を路側器３を介してセンタサーバ５に送信する。検知情報６００には、インシデントを検知した場所、インシデントを検知したときの情報送信元の装置のソフトウェアバージョン、インシデントの原因、インシデントの検知日時などが含まれる。また、インシデントの発生を検出した場合、インシデント検知処理部１２０は、そのインシデントに関連する脆弱性を有する装置を制御系ネットワークドメイン、運転支援系ネットワークドメインおよび情報系ネットワークドメインの中から特定し、当該装置に対して暫定対処を行う。この暫定対処は、当該装置が有する機能の一部を停止させる機能縮退などであり、その内容は対象とする装置ごとに異なる。

機能停止部１４０は、インシデント検知処理部１２０から暫定対処としていずれかの装置に対する機能縮退の指示を受けると、当該装置の機能を停止させる。このとき機能停止部１４０は、車載監視装置２０が属する情報系ネットワークドメイン内の各装置については、車載ゲートウェイ１０８を介さずに直接指示を行う。一方、制御系ネットワークドメインおよび運転支援系ネットワークドメイン内の各装置については、車載ゲートウェイ１０８を介して指示を出力し、当該装置を停止させる。なお、車載ゲートウェイ１０８が有するネットワーク間の情報転送機能を停止させる場合は、機能停止部１４０から車載ゲートウェイ１０８に対して指示を行えばよい。

警告処理部１５０は、インシデント検知処理部１２０からインシデント発生通知を受けると、表示装置１０６を用いて、車両２の運転者であるユーザーに対して警告を行う。警告処理部１５０は、例えば、表示装置１０６に所定の画面を表示することで、ユーザーに対して特定の装置の機能を停止する旨の警告を行い、確認操作の入力を要求する。この警告に対してユーザーがユーザースイッチ１０５を用いて所定の確認操作を行うと、警告処理部１５０はその旨をインシデント検知処理部１２０に通知する。この通知を受けると、インシデント検知処理部１２０は機能停止部１４０に対して機能縮退の指示を行い、当該装置の機能を停止させる。

図５は、センタサーバ５の機能構成を例示するブロック図である。記憶装置５０１は、車両ログＤＢ５４０、検知情報ＤＢ５４１、車両管理情報ＤＢ５４２、脆弱性情報ＤＢ５４３、パッチＤＢ５４４、攻撃シナリオＤＢ５４５、および対策情報ＤＢ５４６を有する。

送受信情報処理部５１０は、路側器３との情報の送受信を行う。例えば、送受信情報処理部５１０は、車両２から送信された車両ログ４００および検知情報６００を路側器３を経由して受信する。送受信情報処理部５１０は、車両２から受信した車両ログ４００および検知情報６００を、車両ログＤＢ５４０、検知情報ＤＢ５４１にそれぞれ格納する。

インシデント分析処理部５２０は、検知情報ＤＢ５４１に格納されている検知情報に基づいて、車両２において発生したインシデントの分析を行う。このときインシデント分析処理部５２０は、攻撃シナリオＤＢ５４５を参照して当該インシデントを引き起こす攻撃シナリオを特定し、脆弱性情報ＤＢ５４３を参照してその攻撃シナリオに関わる車両２の全ての装置における脆弱性を抽出する。そして、車両管理情報ＤＢ５４２を参照し、抽出した全ての脆弱性が車両２において対策済みであるか否かを確認する。その結果、未対策の脆弱性が存在する場合は、当該インシデントが既知の脆弱性によるものと判断し、これに対する根本対処を実施するよう復旧策生成部５３０に通知する。一方、全ての脆弱性が対策済みである場合は、当該インシデントが未知の脆弱性によるものと判断し、その判断結果を復旧策生成部５３０に通知する。

復旧策生成部５３０は、インシデント分析処理部５２０からの通知に応じて、車両２において発生したインシデントに対応する復旧策を生成する。具体的には、インシデント分析処理部５２０から既知の脆弱性に対する根本対処の実施を通知された場合は、その脆弱性に対して車両２において未反映のパッチ７００をパッチＤＢ５４４から検索し、送受信情報処理部５１０に出力する。さらに、車両２において未反映の攻撃シナリオ８００および対策情報９００を攻撃シナリオＤＢ５４５と対策情報ＤＢ５４６からそれぞれ検索し、送受信情報処理部５１０に出力する。送受信情報処理部５１０は、復旧策生成部５３０から出力されたこれらの情報を、路側器３を経由して車両２に送信する。一方、インシデント分析処理部５２０から未知の脆弱性との通知を受けた場合は、車両２に対して機能縮退を指示する信号を送受信情報処理部５１０に出力する。送受信情報処理部５１０は、復旧策生成部５３０からの信号に応じて、車両２で発生したインシデントに関連する各装置への機能縮退指示を、路側器３を経由して車両２に送信する。その後、復旧策生成部５３０は、車両ログＤＢ５４０からインシデント発生の前後における車両２の状態を表す車両情報を取得し、これに基づいて、未知の脆弱性に関連する様々な攻撃シナリオを検討すると共に、根本対処の実施に必要な様々な情報を検討する。そして、これらの検討結果に基づき、脆弱性情報ＤＢ５４３、パッチＤＢ５４４、攻撃シナリオＤＢ５４５、対策情報ＤＢ５４６をそれぞれ更新する。

ここで、インシデントの発生について以下に説明する。

一般に、車両システムを対象としたサイバー攻撃とは、車両システムを構成する各種の情報機器に対して、セキュリティ上の脆弱性を利用し、電磁的方式により記録または送受信される情報の漏えい、滅失、毀損、改ざん等を行うことにより、設計者の意図しない情報機器の動作を生じさせることである。本実施形態の車両情報ネットワークシステム１では、車両２のネットワーク内で送受信される車両情報のログを車載監視装置２０により監視し、ネットワーク内の各機器が外部からのサイバー攻撃を受けると、これをインシデントとして検知する。インシデントには、例えば、脆弱性の有無を確認するのみで実質的な被害の無いインシデント、情報機器のファイルが不正なファイルと書き換えられるインシデント、外部の不正な第三者により車両が遠隔操作されるインシデントなどがあり、深刻なインシデントの場合は、ユーザーや周囲の人の財産や生命が脅かされることもある。なお、被害の無いインシデントの例としては、ＦＴＰ（File Transfer Protocol）やＴｅｌｎｅｔ等の通信プロトコルを利用した不正な遠隔操作の準備として、ログイン名とパスワードがランダムに打ち込まれるインシデントや、ＮＴＰ（Network Time Protocol）等の各種プロトコルが利用するポート番号に大量のデータが送付されるインシデントや、機器が停止するかどうかの確認が行われるインシデントなどである。これらのインシデントは、攻撃の準備段階において発生するインシデントである。一方、深刻なインシデントの例としては、不正なソフトウェアのインストールなどのファイル操作が行われるインシデントや、外部接続によるデータ送信のインシデントなどがある。

上記のような各種インデントの検知方法としては、例えば、ログインのエラー、不審なポート番号へのアクセス、システムの異常終了などの履歴を分析することで検知する方法がある。また、ホワイトリストやブラックリストと呼ばれる事前に規定されたセキュリティ対策ルールを用いてインシデントを検知する方法もある。具体的には、例えば、ホワイトリストで規定された通信先以外の通信先とのアクセスや、ホワイトリストで規定されたファイル以外を対象としたファイルの操作やインストールなどを検知したり、ブラックリストで規定された禁止操作や禁止アクセス先との通信などを検知したりすることで、インシデントの検知が可能である。

図６は、車両２におけるインシデントの説明図である。図６では、インシデントの例として、無線通信装置１０４に存在する７個の脆弱性のうち４個の脆弱性を使用した攻撃シナリオにより発生した不正な通信のインシデントを示している。具体的には、無線通信装置１０４が携帯通信を利用して受信したＳＭＳメッセージにより無線通信装置１０４の設定ファイルが書き換えられることで、不正なサーバからのソフトウェア更新を無線通信装置１０４において実施され、その結果、無線通信装置１０４が悪意のある第三者から遠隔で不正に制御された場合の例を示している。この例では、一つの攻撃シナリオを攻撃シナリオ要素Ａ１〜Ａ４の４段階に分け、それぞれの段階での脆弱性を利用して攻撃シナリオが実現されるケースを示している。なお、図６において、（ａ）は攻撃シナリオの階層を示し、（ｂ）は無線通信装置１０４における７個の脆弱性同士の関連性を示し、（ｃ）は攻撃シナリオの詳細を示している。

攻撃シナリオ要素Ａ１は、攻撃の準備段階に相当する。この段階では、悪意のある第三者は、ＳＭＳメッセージによる脆弱性の存在を把握すると、該当する脆弱性を有する車両を探すために、ランダムな電話番号に向けてＳＭＳメッセージを発信する。このとき車載監視装置２０は、事前に設定された番号リストと異なる電話番号からの発信を無線通信装置１０４が受信したことを検知することで、無線通信装置１０４に対するアクセスポリシー違反としてのインシデントを検知する。

攻撃シナリオ要素Ａ２は、攻撃段階に相当する。この段階では、無線通信装置１０４の脆弱性を確認した攻撃者が、ＳＭＳメッセージにより無線通信装置１０４に対して不正プログラムを送信し、攻撃を開始する。不正プログラムを受信すると、無線通信装置１０４の設定が変更され、規定のプログラム更新先サーバからのプログラムのみダウンロードを許可する設定となっているアクセス制御が解除される。このとき車載監視装置２０は、無線通信装置１０４において許可なくアクセス制御を実施している設定ファイルの更新が行われたことを検知することで、無線通信装置１０４に対するセキュリティポリシー違反としてのインシデントを検知する。

攻撃シナリオ要素Ａ３は、インストール段階に相当する。この段階では、攻撃者が無線通信装置１０４に不正サーバからのファイルをダウンロードさせる。このとき車載監視装置２０は、無線通信装置１０４におけるプログラムのインストール権限の変更や、不正インストールの検知、不正サーバへのアクセスなどが行われたことを検知することで、インシデントを検知する。

攻撃シナリオ要素Ａ４は、遠隔操作段階に相当する。この段階では、攻撃者が無線通信装置１０４に不正サーバからダウンロードしたファイルを実行させることで、無線通信装置１０４から車載ゲートウェイ１０８に向けて不正な通信を実施させる。このとき車載監視装置２０は、無線通信装置１０４から車載ゲートウェイ１０８への不正制御命令の送信や、不正タイミングでのアクセスが行われたことを検知することで、無線通信装置１０４に対するアクセスポリシー違反としてのインシデントを検知する。

ここで、攻撃シナリオで利用される脆弱性には相互に因果関係があり、ある攻撃シナリオ要素を実現するためには、前段の攻撃シナリオ要素が実現済みである必要がある。そのため、本実施形態の車両情報ネットワークシステム１では、車載監視装置２０において、相互に関連し合う脆弱性を階層的に示した様々な攻撃シナリオを記録した攻撃シナリオＤＢ１７２を記憶している。車載監視装置２０のインシデント検知処理部１２０は、インシデントを検知すると、攻撃シナリオＤＢ１７２に基づいて検知したインシデントに関連する脆弱性を特定し、その脆弱性を有する装置に対して暫定対処を行う。これにより、車両２で発生したインシデントに対して、適切な装置への暫定対処を速やかに実施できるようにしている。

なお、上記の攻撃シナリオは一例であり、他にも様々な攻撃シナリオによるインシデントを車載監視装置２０において検知可能である。また、攻撃シナリオは車両２に搭載された装置毎に用意されてもよい。

図７は、車載監視装置２０のＣＰＵ１０２が実行する処理のフローチャートである。このフローチャートに示す処理は、車両２に搭載された車載監視装置２０のＣＰＵ１０２において、所定時間ごとに実行される。

ステップＳ１０において、ＣＰＵ１０２は、インシデント検知処理部１２０により、車両ログＤＢ１７１に蓄積されている車両ログ４００を読み出し、無線通信装置１０４を用いてセンタサーバ５に送信する。このとき、前回までの処理で既に送信済みの車両ログ４００を除外し、未送信の車両ログ４００のみを抽出して送信することが好ましい。

ステップＳ２０において、ＣＰＵ１０２は、インシデント検知処理部１２０により、ステップＳ１０で車両ログＤＢ１７１から読み出した車両ログ４００に基づいて、インシデントが発生したか否かを判断する。ここでは、前述のような手法により、事前に規定されたセキュリティ対策ルール違反や通信データ異常の有無を確認することで、インシデントが発生したか否かを判断する。その結果、インシデントが検知されない場合はステップＳ１０に戻って車両ログ４００の送信を続け、インシデントを検知した場合は処理をステップＳ３０に進める。

ステップＳ３０において、ＣＰＵ１０２は、インシデント検知処理部１２０により、ステップＳ２０で検知したインシデントを表す検知情報６００を生成する。ここでは、検知したインシデントに関する前述のような各種情報を組み合わせて、検知情報６００を生成する。

ステップＳ４０において、ＣＰＵ１０２は、インシデント検知処理部１２０により、ステップＳ２０で検知したインシデントに関連する全ての脆弱性を特定する。ここでは、検知したインシデントに対応する攻撃シナリオを攻撃シナリオＤＢ１７２から検索し、その攻撃シナリオを参照することで、インシデントに関連する全ての脆弱性を特定する。

ステップＳ５０において、ＣＰＵ１０２は、インシデント検知処理部１２０により、ステップＳ４０で特定した脆弱性への暫定対処を実施する。ここでは、対策情報ＤＢ１７３を参照することで、脆弱性ごとに暫定対処の内容を決定し、その内容に従って暫定対処を実施する。たとえば、当該脆弱性を有する機器をネットワーク内で特定し、その機器の機能を機能停止部１４０に停止させることで、暫定対処を実施する。このとき、警告処理部１５０によりユーザーへの警告を行い、ユーザーの確認操作が入力されるまで待ってから暫定対処を実施してもよい。

ステップＳ６０において、ＣＰＵ１０２は、インシデント検知処理部１２０により、ステップＳ３０で生成した検知情報６００を、無線通信装置１０４を用いてセンタサーバ５へ送信する。

ステップＳ７０において、ＣＰＵ１０２は、復旧策処理部１６０により、ステップＳ６０で送信した検知情報６００に応じてセンタサーバ５から、パッチ７００、攻撃シナリオ８００または対策情報９００を受信したか否かを判断する。その結果、これらの情報のうち少なくともいずれかの情報を受信した場合は、ステップＳ２０で検知したインシデントが既知の脆弱性によるものと判断し、処理をステップＳ８０に進める。一方、いずれの情報も受信せずに機能縮退の指示をセンタサーバ５から受けた場合は、ステップＳ２０で検知したインシデントが未知の脆弱性によるものと判断し、処理をステップＳ１００に進める。

既知の脆弱性によるインシデントと判断した場合、ステップＳ８０において、ＣＰＵ１０２は、復旧策処理部１６０により、ステップＳ７０でセンタサーバ５から受信した情報を用いて、ステップＳ２０で検知したインシデントに対するセキュリティ対策を実施する。ここでは、センタサーバ５から受信したパッチ７００を復旧策処理部１６０から該当する装置へ送信してインストールさせると共に、センタサーバ５から受信した攻撃シナリオ８００や対策情報９００を攻撃シナリオＤＢ１７２、対策情報ＤＢ１７３にそれぞれ格納することで、セキュリティ対策を実施する。

ステップＳ８０で全ての脆弱性に対するセキュリティ対策が実施されたことを確認したら、ステップＳ９０において、ＣＰＵ１０２は、インシデント検知処理部１２０により、ステップＳ５０で実施した暫定対処を解除する。

未知の脆弱性によるインシデントと判断した場合、ステップＳ１００において、ＣＰＵ１０２は、インシデント検知処理部１２０により、車両２の機能縮退を実施する。ここでは、たとえばステップＳ５０で実施した暫定対処をそのまま継続し、脆弱性を有する装置の機能を引き続き機能停止部１４０に停止させることで、車両２の機能縮退を実現する。あるいは、装置ごとに予め設定された機能縮退時の動作を実行させることで、車両２を機能縮退させてもよい。

ステップＳ９０またはステップＳ１００の処理を実行したら、ＣＰＵ１０２は、図７のフローチャートを終了する。

図８は、センタサーバ５のＣＰＵ５０２が実行する処理のフローチャートである。このフローチャートに示す処理は、センタサーバ５のＣＰＵ５０２において、車載監視装置２０から検知情報６００が送信されると実行される。

ステップＳ２１０において、ＣＰＵ５０２は、送受信情報処理部５１０により、車載監視装置２０から送信された検知情報６００を受信し、検知情報ＤＢ５４１に格納する。

ステップＳ２２０において、ＣＰＵ５０２は、インシデント分析処理部５２０により、ステップＳ２１０で検知情報ＤＢ５４１に格納した検知情報６００に基づいて、車載監視装置２０で検知されたインシデントに関連する全ての脆弱性を特定する。ここでは、検知情報６００が表すインシデントに対応する攻撃シナリオを攻撃シナリオＤＢ５４５から検索し、その攻撃シナリオに対応する全ての脆弱性を脆弱性情報ＤＢ５４３から検索することで、車両２において発生したインシデントに関連する全ての脆弱性を特定する。

ステップＳ２３０において、ＣＰＵ５０２は、インシデント分析処理部５２０により、ステップＳ２２０で特定した全ての脆弱性が車両２において対策済みであるか否かを判断する。ここでは、車両管理情報ＤＢ５４２を参照し、特定した全ての脆弱性に対してパッチ７００や攻撃シナリオ８００、対策情報９００を車載監視装置２０へ送信済みであるか否かを判断する。その結果、全ての脆弱性について対策を実施済みである場合は、車載監視装置２０で検知されたインシデントが未知の脆弱性によるものと判断し、処理をステップＳ２４０に進める。一方、対策を未実施の脆弱性が存在する場合は、車載監視装置２０で検知されたインシデントが既知の脆弱性によるものと判断し、処理をステップＳ２６０に進める。

未知の脆弱性によるインシデントと判断した場合、ステップＳ２４０において、ＣＰＵ５０２は、復旧策生成部５３０により、車載監視装置２０に対して車両２の機能縮退を実施するように指示する。この指示に応じて、車載監視装置２０のＣＰＵ１０２が図７のステップＳ１００の処理を実行することで、車両２において機能縮退が実施される。

ステップＳ２５０において、ＣＰＵ５０２は、復旧策生成部５３０により、未知の脆弱性に対する分析を実施してその対策を検討する。そして、得られた検討結果に基づき、脆弱性情報ＤＢ５４３、パッチＤＢ５４４、攻撃シナリオＤＢ５４５、対策情報ＤＢ５４６をそれぞれ更新する。

既知の脆弱性によるインシデントと判断した場合、ステップＳ２６０において、ＣＰＵ５０２は、復旧策処理部１６０により、車両２において未反映のパッチ７００、攻撃シナリオ８００、対策情報９００をパッチＤＢ５４４、攻撃シナリオＤＢ５４５、対策情報ＤＢ５４６からそれぞれ検索する。そして、検索したこれらの情報を、送受信情報処理部５１０を用いて車載監視装置２０に送信する。こうしてセンタサーバ５から送信されたパッチ７００や攻撃シナリオ８００、対策情報９００を用いて、車載監視装置２０のＣＰＵ１０２が図７のステップＳ１０２の処理を実行することで、車両２において発生したインシデントに対するセキュリティ対策が実施される。

ステップＳ２５０またはステップＳ２６０の処理を実行したら、ＣＰＵ５０２は、図８のフローチャートを終了する。

次に、車両情報ネットワークシステム１全体の動作について説明する。図９は、車両情報ネットワークシステム１全体の動作を示すシーケンス図である。車両情報ネットワークシステム１において、センタサーバ５、車載監視装置２０、およびネットワーク内の各装置は、それぞれ図９に示す処理を実行する。

ステップＳ３０１において、センタサーバ５は、車載監視装置２０から路側器３を介して送信された車両ログ４００を受信し、車両ログＤＢ５４０に保存する。

ステップＳ３０２において、センタサーバ５は、車載監視装置２０から路側器３を介して送信された検知情報６００を受信し、検知情報ＤＢ５４１に保存する。

ステップＳ３０３において、センタサーバ５は、インシデント分析処理部５２０により、ステップＳ３０２で受信した検知情報６００の分析を行う。

ステップＳ３０４において、センタサーバ５は、ステップＳ３０３で行った検知情報の分析結果に基づいて、復旧策生成部５３０により、パッチＤＢ５４４、攻撃シナリオＤＢ５４５、対策情報ＤＢ５４６から既存の対策をそれぞれ検索し、発生したインシデントが既知であるか否かを判断する。そして、この判断結果を車載監視装置２０に通知すると共に、車両２で発生したインシデントの対策として、暫定対処、機能縮退、根本対処のいずれかを指示する。

ステップＳ３０５において、センタサーバ５は、復旧策生成部５３０により、車両２で発生したインシデントへの根本対処を策定できたら、これを車載監視装置２０に通知し、機能縮退や暫定対処の状態になっている車両２において、根本対処を実施できるようにする。

ステップＳ４０１において、車載監視装置２０は、ネットワークの各装置から送信される車両情報を取得し、車両ログＤＢ１７１に蓄積する。また、車両ログＤＢ１７１から車両ログ４００を生成し、路側器３を介してセンタサーバ５に送信する。

ステップＳ４０２において、車載監視装置２０は、インシデント検知処理部１２０により、車両ログＤＢ１７１に基づいてインシデントの有無を判断する。インシデントを検知したら、検知情報６００を生成し、路側器３を介してセンタサーバ５に送信する。

ステップＳ４０３において、車載監視装置２０は、インシデント検知処理部１２０により、ステップＳ４０２で検知したインシデントに対応する攻撃シナリオを攻撃シナリオＤＢ１７２から検索することで、攻撃シナリオの推定を行う。そして、対策情報ＤＢ１７３を参照し、推定した攻撃シナリオに応じた暫定対処を実施する。

ステップＳ４０４において、車載監視装置２０は、復旧策処理部１６０により、ステップＳ４０２で送信した検知情報６００に対してセンタサーバ５から通知されたインシデントの判断結果に応じて、車両２のネットワーク内の各機器に対策を指示する。

ステップＳ４０５において、車載監視装置２０は、復旧策処理部１６０により、センタサーバ５からの通知に応じて、インシデントに対する根本対処を車両２のネットワーク内の各機器に実施させる。

ステップＳ５０１において、車両２のネットワーク内の各機器は、車両情報を他の機器に送信する。すなわち、制御系ネットワークドメイン内のステアリングＥＣＵ１０９、ブレーキＥＣＵ１１０、およびエンジンＥＣＵ１１１の各装置と、運転支援系ネットワークドメイン内のＡＤＡＳ ＥＣＵ１１２、ブレーキ制御ＥＣＵ１１３、ステアリング制御ＥＣＵ１１４、エンジン制御ＥＣＵ１１５、カメラ１１６、ＧＰＳセンサ１１７、および加速度センサ１１８の各装置と、情報系ネットワークドメイン内の車載監視装置２０、無線通信装置１０４、ユーザースイッチ１０５、表示装置１０６、およびナビゲーションシステム１０７の各装置は、車両情報を他の装置に送信する。

ステップＳ５０２において、車両２のネットワーク内の各機器は、車載監視装置２０の指示に応じて、車両２で発生したインシデントへの対策を実施する。

ステップＳ５０３において、車両２のネットワーク内の各機器は、車載監視装置２０の指示に応じて、車両２で発生したインシデントへの根本対処を実施する。

図１０は、攻撃シナリオＤＢ１７２の構成例を示す図である。攻撃シナリオＤＢ１７２では、攻撃シナリオを構成する攻撃シナリオ要素ごとに、図１０に示すような情報が設定されている。シナリオ番号およびシナリオ段階は、攻撃シナリオ要素の属性を表す情報である。脆弱性ＩＤ、影響する脆弱性ＩＤ、攻撃ＩＤおよび攻撃種別は、攻撃の種類と脆弱性の関連性を表す情報である。機器ＩＤ、機器情報、ＩＦ情報、エントリポイントおよび機能情報は、攻撃に利用される脆弱性に対応する機器とその機能を一意に識別する情報である。対策ＩＤおよび対策情報は、攻撃への対策内容を表す情報である。

たとえば、図１０の攻撃シナリオＤＢ１７２におけるシナリオ番号２の攻撃シナリオ要素に対応するインシデントとして、Ｗｉ−Ｆｉ通信または携帯通信による不正なアクセスが検知されたとする。この場合、インシデント検知処理部１２０は、車両２のＷｉ−Ｆｉインタフェースおよび携帯通信インタフェースである無線通信装置１０４に対して、そのＷｉ−Ｆｉ通信機能と携帯通信機能を、対策ＩＤが２８４−１−１、２８４−２−１で示された対策がそれぞれ適用されるまで、機能停止部１４０により停止させる。また、影響する脆弱性ＩＤの値から、シナリオ番号４、５、６にそれぞれ対応する攻撃シナリオ要素を一連の攻撃シナリオに属する攻撃シナリオ要素として特定し、これらが示す各機器の機能についても同様に停止させる。

図１１は、対策情報ＤＢ１７３の構成例を示す図である。対策情報ＤＢ１７３では、攻撃シナリオＤＢ１７２の各攻撃シナリオ要素が表す脆弱性への対策ごとに、図１１に示すような情報が設定されている。対策ＩＤ、対象ＥＣＵ ＩＤおよび脆弱性ＩＤは、対策の属性を表す情報である。対策可否基準および検知情報は、対策の適用基準を表す情報である。対策内容は、脆弱性への対策としての暫定対処および根本対処の内容を表す情報である。

図１２は、検知情報６００の構成例を示す図である。検知情報６００は、インシデントが検知された日時と、インシデントの属性や種別を表す攻撃ＩＤ、攻撃種別、脆弱性ＩＤ、攻撃元情報、攻撃先情報とを含む。

図１３は、車両管理情報ＤＢ５４２の構成例を示す図である。車両管理情報ＤＢ５４２では、センタサーバ５に接続される車両２ごとに、図１３に示すような情報が設定されている。車両番号は、各車両２を一意に識別する情報である。車載ＥＣＵは、車両２に搭載されている機器を表す情報である。ＥＣＵ ＩＤ、接続機器ＩＤ、機能情報、ＯＳ情報およびＩＤ情報は、各機器の詳細を表す情報である。

以上説明した本発明の一実施形態によれば、以下の作用効果を奏する。

（１）車載監視装置２０は、複数の機器により構成されるネットワークを備えた車両２に搭載されるものであって、インシデント検知処理部１２０を備える。インシデント検知処理部１２０は、車両２の制御状態を表す車両情報、すなわち車両ログを車両ログＤＢ１７１から取得し（図７、ステップＳ１０）、この車両ログに基づいて車両２において発生したインシデントを検知する（ステップＳ２０）。そして、検知したインシデントに関連する脆弱性を有する機器をネットワーク内で特定し、特定した機器に対して暫定対処を行う（ステップＳ４０、Ｓ５０）。このようにしたので、車両内のネットワークのセキュリティ性能を向上しつつ、ユーザーの利便性の低下を抑制することができる。

（２）車載監視装置２０は、相互に関連し合う脆弱性を階層的に示した攻撃シナリオが記録された攻撃シナリオデータベース、すなわち図１０のような構成を有する攻撃シナリオＤＢ１７２をさらに備える。インシデント検知処理部１２０は、この攻撃シナリオデータベースに基づいて、検知したインシデントに関連する脆弱性を特定する。このようにしたので、インシデントを検知した場合に、そのインシデントに関連する脆弱性を正確かつ容易に特定することができる。

（３）車載監視装置２０は、ネットワーク内で任意の機器が有する機能を停止させる機能停止部１４０をさらに備える。インシデント検知処理部１２０は、特定した機器の機能を機能停止部１４０に停止させることで暫定対処を行う。このようにしたので、インシデントを検知した場合に、根本対処が実施されるまでの間、セキュリティ上の悪影響を適切な範囲で素早く抑制することができる。

（４）インシデント検知処理部１２０は、取得した車両ログ４００を無線接続されたセンタサーバ５へ送信する。このようにしたので、未知の脆弱性によるインシデントが発生した場合に、センタサーバ５において対策を検討することができる。

なお、以上説明した実施形態や各種の変形例はあくまで一例である。本発明の特徴を損なわない限り、本発明は上記実施の形態に限定されるものではなく、本発明の技術的思想の範囲内で考えられるその他の形態についても、本発明の範囲内に含まれる。

１…車両情報ネットワークシステム、２…車両、３…路側器、４…ネットワーク、５…センタサーバ、２０…車載監視装置、１０１…記憶装置、１０２…ＣＰＵ、１０３…メモリ部、１０４…無線通信装置、１０５…ユーザースイッチ、１０６…表示装置、１０７…ナビゲーションシステム、１０８…車載ゲートウェイ、１０９…ステアリングＥＣＵ、１１０…ブレーキＥＣＵ、１１１…エンジンＥＣＵ、１１２…ＡＤＡＳ ＥＣＵ、１１３…ブレーキ制御ＥＣＵ、１１４…ステアリング制御ＥＣＵ、１１５…エンジン制御ＥＣＵ、１１６…カメラ、１１７…ＧＰＳセンサ、１１８…加速度センサ、１１９…モバイルルーター

Claims (5)

1. 複数の機器により構成されるネットワークを備えた車両に搭載される車載装置であって、
   前記車両の制御状態を表す車両情報を取得し、前記車両情報に基づいて前記車両において発生したインシデントを検知し、検知した前記インシデントに関連する脆弱性を有する機器を前記ネットワーク内で特定し、特定した前記機器に対して暫定対処を行うインシデント検知処理部を備える車載装置。
2. 請求項１に記載の車載装置において、
   相互に関連し合う脆弱性を階層的に示した攻撃シナリオが記録された攻撃シナリオデータベースをさらに備え、
   前記インシデント検知処理部は、前記攻撃シナリオデータベースに基づいて、検知した前記インシデントに関連する前記脆弱性を特定する車載装置。
3. 請求項１または請求項２に記載の車載装置において、
   前記ネットワーク内で任意の機器が有する機能を停止させる機能停止部をさらに備え、
   前記インシデント検知処理部は、特定した前記機器の機能を前記機能停止部に停止させることで前記暫定対処を行う車載装置。
4. 請求項１から請求項３までのいずれか一項に記載の車載装置において、
   前記インシデント検知処理部は、取得した前記車両情報を無線接続されたセンタサーバへ送信する車載装置。
5. 複数の機器により構成される車両内のネットワークにおけるインシデント監視方法であって、
   前記車両の制御状態を表す車両情報を取得し、
   前記車両情報に基づいて前記車両において発生したインシデントを検知し、
   検知した前記インシデントに関連する脆弱性を有する機器を前記ネットワーク内で特定し、
   特定した前記機器に対して暫定対処を行うインシデント監視方法。

Images