JP2020141318A - 車載制御装置 - Google Patents

Abstract

【課題】
車両が外部ネットワークから攻撃を受けた場合に、復旧についての余計なコストや手間が発生することなく、復旧後の安全性を確保することができる車載制御装置を提供する。
【解決手段】
車載制御装置（１０）は、車載ネットワークに接続された車載制御装置であって、車載ネットワーク内で発生したインシデントを検出し、検出したインシデントの内容を特定するインシデント特定部（１０２）と、特定したインシデントの内容に応じて、当該インシデントに関するセキュリティレベルを設定するセキュリティレベル設定部（１０４）と、設定したセキュリティレベルに応じて、上記車載ネットワーク内のインシデント対象箇所を縮退状態に遷移させる縮退処理を実行する縮退制御部（１０６）と、上記縮退状態からの復旧方法を、上記セキュリティレベルに応じて切り替える復旧制御部（１０８）と、を備える。
【選択図】図１

Description

本発明は、車載制御装置に関する。

近年、様々な面で移動体の自動運転に関する開発が進んでいる。たとえば、車両は、通信ネットワークに所属して、該ネットワークのサーバーやネットワークに所属する他の車両と通信を行い、自車両に関する情報を外部に送信するとともに、外部から様々な情報を取得して、走行の安全を確保している（特許文献１、２）。

しかし、上記にように、外部との通信を行っていると、ネットワークを介して、車両の各制御装置に対してサイバー攻撃を受ける等のインシデントが発生する場合がある。このような場合には、攻撃の対象となる制御装置を通信ネットワークから遮断して、縮退状態とすることが提案されている。

特開２０１０−２５８６３５号公報（２０１０年１１月１１日公開） 特開２０１８−１３３７２１号公報（２０１８年８月２３日公開）

上記技術では、車両を縮退状態から通常の通信状態へ復旧させる場合に、特定のディーラーのみに復旧する権限を与えると、ユーザがその都度販売店に車を持ち込まなければならない。このため、車両を輸送する手間がかかり、ディーラーの作業と双方のコストがかかるという課題がある。一方で、ユーザの操作やＯＴＡ（over the air、無線）で復旧することも考えられるが、復旧後の安全性が判断できない状況では、安全性が確保できない。

上記の課題に鑑み、本発明の一態様では、車両など移動体が外部から攻撃を受けた場合に、復旧についての余計なコストや手間が発生することなく、復旧後の安全性を確保することができる技術を提供することを目的とする。

上記の課題を解決するために、本発明の一態様に係る車載制御装置は、車載ネットワークに接続された車載制御装置であって、上記車載ネットワーク内で発生したインシデントを検出し、検出したインシデントの内容を特定するインシデント特定部と、特定したインシデントの内容に応じて、当該インシデントに関するセキュリティレベルを設定するセキュリティレベル設定部と、設定したセキュリティレベルに応じて、上記車載ネットワーク内のインシデント対象箇所を縮退状態に遷移させる縮退処理を実行する縮退制御部と、上記縮退状態からの復旧方法を、上記セキュリティレベルに応じて切り替える復旧制御部と、を備える。

上記の構成によれば、車載ネットワーク内で発生したインシデントに関するセキュリティレベルを判定し、判定されたセキュリティレベルに応じて、車両を復旧することができるため、復旧に関する手間やコストを抑えつつ、復旧後の安全性を確保することができる。

上記インシデント特定部は、既知のインシデントの情報が格納されたデータベースを参照して、上記車載ネットワーク内で発生したインシデントが、既知のインシデントであるか否かを特定し、上記セキュリティレベル設定部は、上記車載ネットワーク内で発生したインシデントが既知のインシデントではない場合に、上記車載ネットワーク内で発生したインシデントが既知のインシデントである場合のセキュリティレベルとは異なるセキュリティレベルを、当該インシデントに対して設定してもよい。

上記の構成によれば、車両のセキュリティに対する危険度が大きい可能性のある未知の攻撃と、既に車両に対する影響が明らかな既知のインシデントに対して異なったセキュリティレベルを設定し、設定されたセキュリティレベルに応じて縮退状態および縮退状態からの復旧方法を変更することができる。これにより、攻撃の危険度に合わせて、復旧方法を変更することができるので、復旧後の安全性の確保と、復旧作業における手間やコストの削減を実現することができる。

上記一態様に係る車載制御装置において、上記復旧制御部は、上記セキュリティレベルに応じて、復旧のためのアクセス権限を、ユーザ及びユーザ以外の権限者の何れに付与するのかを切り替えてもよい。

上記の構成によれば、インシデントに設定されたセキュリティレベルに応じて、縮退状態からの復旧ができる権限者を変更することができるので、復旧後の安全性と、復旧作業における手間やコストの削減を実現することができる。

上記一態様に係る車載制御装置において、上記復旧制御部は、上記セキュリティレベルが相対的に低い場合に、復旧のためのアクセス権限をユーザに対して付与し、上記セキュリティレベルが相対的に高い場合に、復旧のためのアクセス権限をユーザに対して付与せずに、ディーラーに対して付与してもよい。

上記の構成によれば、危険度の高いインシデントの場合には、ディーラー等専門家による車両の点検を受けて安全性が確認できてから縮退状態からの復旧することができ、危険度の低いインシデントの場合には、わざわざディーラーに車両を輸送せずとも、ユーザの作業または無線により、簡便に復旧することができる。このため、復旧後の安全性と、復旧作業における手間やコストの削減を実現することができる。

上記一態様に係る車載制御装置において、上記復旧制御部は、上記セキュリティレベルに応じて、復旧のためのアクセスを行う通信経路の種別を切り替えてもよい。

上記の構成によれば、復旧後の安全性と、復旧作業における手間やコストの削減を実現することができる。

上記一態様に係る車載制御装置において、上記復旧制御部は、上記セキュリティレベルが相対的に低い場合に、無線通信を介した復旧のためのアクセスを許可し、上記セキュリティレベルが相対的に高い場合に、無線通信を介した復旧のためのアクセスを許可せずに、有線通信を介したアクセスを許可してもよい。

上記の構成によれば、セキュリティレベルが相対的に低い場合には、無線通信を介して簡便に縮退状態からの復旧を行うことができ、セキュリティレベルが相対的に高い場合には、無線通信を介するより有線通信を介した復旧作業を行うことができる。このため、安全な復旧後の安全性と、復旧作業における手間やコストの削減を実現することができる。

上記一態様に係る車載制御装置において、上記セキュリティレベル設定部は、更に、上記特定したインシデントの対象箇所に応じて、セキュリティレベルを設定してもよい。

上記の構成によれば、特定したインシデントの対象箇所の車両の走行安全性に対する影響度に応じて、異なるセキュリティレベルを設定することができる。このため、復旧後の安全性と、復旧作業における手間やコストの削減を実現することができる。

上記一態様に係る車載制御装置において、上記セキュリティレベル設定部は、上記特定したインシデントが車両の走行安全系動作部またはパワートレイン系動作部に発生した場合には、情報系動作部またはＥＶ系動作部に発生した場合よりも、セキュリティレベルを高く設定してもよい。

上記の構成によれば、車両の走行安全性に直接影響のある動作部に攻撃を受けた場合には、セキュリティレベルを高く設定し、縮退状態のレベル及び縮退状態からの復旧方法を限定することができる。したがって、復旧後の安全性の確保と、復旧作業における手間やコストの削減を実現することができる。

上記一態様に係る車載制御装置において、上記セキュリティレベル設定部は、更に、車両の状態に応じて、セキュリティレベルを設定してもよい。

上記の構成によれば、例えば、車両が運転状態にある場合には、セキュリティレベルを相対的に高く設定し、車両が停車中である場合には、セキュリティレベルを相対的に低く設定することができる。これにより、復旧後の安全性の確保と、復旧作業における手間やコストの削減を実現することができる。

上記一態様に係る車載制御装置において、上記セキュリティレベル設定部は、車両が走行中の場合のセキュリティレベルを、車両が停車中の場合のセキュリティレベルよりも高く設定してもよい。

本発明の一態様によれば、縮退状態からの復旧後の安全性の確保と、復旧作業における手間やコストの削減を実現することができる車載制御装置を提供することができる。

本実施形態におけるゲートウェイ装置１０（車載制御装置）の機能構成を示すブロック図である。 本実施形態のゲートウェイ装置１０が搭載される車両１のハードウェア構成の概略を例示するブロック図である。 インシデントの対象箇所、インシデントを受けた時の車両状態と、これらに対するセキュリティレベル設定、縮退状態の内容、及び復旧権限者等を示す表である。 インシデントの対象箇所、インシデントを受けた時の車両状態と、これらに対するセキュリティレベル設定、縮退状態の内容、及び復旧権限者等を示す表である。 インシデントの対象箇所、インシデントを受けた時の車両状態と、これらに対するセキュリティレベル設定、縮退状態の内容、及び復旧権限者等を示す表である。 本実施形態のゲートウェイ装置１０で実行される縮退動作についてのフローチャートである。 図７は、本実施形態のゲートウェイ装置１０で実行される縮退状態からの復旧動作についてのフローチャートである。 本実施形態におけるナビゲーション１１２に表示される、縮退状態からの復旧作業のための画面の一例である。

以下、本発明の一側面に係る実施の形態（以下、「本実施形態」とも表記する）を、図面に基づいて説明する。

＜車両１の構成＞
本実施形態では、車載制御装置の一例として、ゲートウェイ装置１０について説明する。まず、本実施形態のゲートウェイ装置１０（車載制御装置）が搭載される車両１の構成について説明する。図２は、本実施形態のゲートウェイ装置１０が搭載される車両１のハードウェア構成を例示するブロック図である。図２に示す車両１は、ゲートウェイ装置１０と、ゲートウェイ装置１０に接続される情報系動作部１１、自己診断部１２、走行安全系動作部１３、ボディ系動作部１４、パワートレイン系動作部１６、ＥＶ系動作部１７、および、通信装置２０を備えている。

ゲートウェイ装置１０は、通信装置２０を介して外部機器と通信を行うことができる。また、各動作部内の装置は、同じ動作部内の他の装置とネットワークを形成し、同じ動作部内の装置は、互いに直接通信を行うことができる。また、ゲートウェイ装置１０は、これらのネットワークに接続されており、異なった動作部に属する装置同士は、ゲートウェイ装置１０を介して通信を行うことができる。

図２に示すように、各動作部は、それぞれ、複数の装置を備えている。

情報系動作部１１は、ユーザに対し、情報やサービスを提供する装置を備える。一例として、情報系動作部１１は、オーディオ１１１、ナビゲーション１１２、テレマティクス１１３およびＷＣＵ（Wireless Charger Unit）等を備える。ユーザは、これらの装置を操作することにより、車両および周囲の状況に関する情報を取得し、様々なサービスを得ることができる。

自己診断部１２は、例えば、ＯＢＤＩＩなどであり、自車両の状態を検知する機能を備えている。

走行安全系動作部１３は、安全運転を支援するための装置を備える。例えば、アイドリングストップ１３１、ＡＤＡＳ（先進運転支援システム）制御１３２、ＡＢＳ（アンチロックブレーキシステム）１３３、パワーステアリング１３４、エアバック１３５等を備える。

ボディ系動作部１４は、オートＡ／Ｃ１４１、オートレベリング１４２、ボディコントロールモジュール１４３、パワースライドシステム１４４、パワーテールゲート１４５およびＢｌｕｅｔｏｏｔｈ（登録商標）ユニット１４６等を備える。車両１は、Ｂｌｕｅｔｏｏｔｈユニット１４６を介して、携帯型端末等と通信することができる。

パワートレイン系動作部１６は、車両１のエンジンで発生した回転エネルギーを、駆動輪に伝えるため装置を備える。例えば、エンジン制御部１６１、変速機１６２等を備える。

ＥＶ系動作部１７は、ＤＣ／ＤＣコンバータ等を備える。

＜ゲートウェイ装置１０の構成＞
次に、図１を参照して、本実施形態におけるゲートウェイ装置１０の構成例を説明する。図１は、本実施形態におけるゲートウェイ装置１０の機能構成を示すブロック図である。図１に示すように、ゲートウェイ装置１０は、制御部１００、データベース２００、および通信部３００を備える。

制御部１００は、ゲートウェイ装置１０を統括的に制御する構成であり、図１に示すように、一例として、インシデント特定部１０２、セキュリティレベル設定部１０４、縮退制御部１０６、および復旧制御部１０８を備える。

＜インシデント特定部１０２＞
インシデント特定部１０２は、車載ネットワーク内で発生したインシデントを検出し、検出したインシデントの内容を特定する。インシデント特定部１０２では、車両各部から送信される各部の状態を示す信号を受信する。インシデント特定部１０２は、受信した信号に異常があれば、送信元でインシデントが発生したことを検知することができる。ここで、インシデントの具体的内容は本実施形態を限定するものではないが、一例として、外部ネットワークを介した車両１の各部へのリアルタイムな攻撃、及び、車両１の各部への時差的な攻撃が含まれる。更に、インシデント特定部１０２は、既知のインシデントの情報が格納されたデータベース２００を参照して、上記車載ネットワーク内で発生したインシデントが、既知のインシデントであるか否かを特定する。

インシデント特定部１０２では、車両各部から受信した信号に含まれる攻撃の内容を示すデータと、データベース２００に格納された過去の攻撃に関するデータとを比較する。データベース２００内に、新たに受けた攻撃に関するデータと同じパターンの攻撃に関するデータが含まれていた場合には、インシデント特定部１０２は、当該新たに受けた攻撃を既知の攻撃であると特定する。データベース２００内に、同じパターンの攻撃に関するデータが含まれていない場合には、インシデント特定部１０２は、当該新たに受けた攻撃を未知の攻撃であると特定する。

なお、既知の攻撃と全く同じパターンではないが、パターンが現れる順番が同じ攻撃や、一部のパターンが欠けている攻撃等既知の攻撃と類似する攻撃については、インシデント特定部１０２が備えるインシデント推定部１０３において、既知の攻撃とするか、未知の攻撃とするかを推定する構成としてもよい。

また、インシデント特定部１０２は、インシデントの対象箇所をも特定する。ここで、インシデントの対象箇所とは、リアルタイムでインシデントが発生した箇所のみでなく、時差的な攻撃において将来的に攻撃対象となる箇所をも含む。インシデント特定部１０２は、車両各部から送信される信号に含まれる各装置に割り当てられた装置ＩＤによって、信号の送信元を特定することができる。これにより、インシデント特定部１０２は、インシデントの対象箇所を特定することができる。

＜セキュリティレベル設定部１０４＞
セキュリティレベル設定部１０４は、特定したインシデントの内容に応じて、当該インシデントに関するセキュリティレベルを設定する。例えば、上記セキュリティレベル設定部１０４は、上記車載ネットワーク内で発生したインシデントが既知のインシデントではない場合に、上記車載ネットワーク内で発生したインシデントが既知のインシデントである場合のセキュリティレベルとは異なるセキュリティレベルを、当該インシデントに対して設定する。一例として、セキュリティレベル設定部１０４は、インシデント特定部１０２が新たに受けた攻撃を既知のインシデントであると特定した場合には、セキュリティレベルを相対的に低く設定し、インシデント特定部１０２が新たに受けた攻撃を未知のインシデントであると特定した場合には、セキュリティレベルを相対的に高く設定する。換言すれば、セキュリティレベル設定部１０４は、既知のインシデントの場合のセキュリティレベルよりも、未知のインシデントの場合のセキュリティレベルを高く設定する。

また、セキュリティレベル設定部１０４は、上記特定したインシデントの対象箇所に応じて、セキュリティレベルを設定する。例えば、セキュリティレベル設定部１０４は、インシデントの対象箇所が車両の走行安全性に直接関係する箇所である場合には、セキュリティレベルを相対的に高く設定し、インシデントの対象箇所が車両の走行安全性に直接関係しない箇所である場合には、セキュリティレベルを相対的に低く設定する。例えば、セキュリティレベル設定部１０４は、上記特定したインシデントの対象箇所が、車両の走行安全系動作部１３またはパワートレイン系動作部１６である場合には、情報系動作部またはＥＶ系動作部である場合よりも、セキュリティレベルを高く設定する。

また、上記セキュリティレベル設定部１０４は、更に、車両の状態に応じて、セキュリティレベルを設定する。一例として、セキュリティレベル設定部１０４は、車両が走行中の場合のセキュリティレベルを、車両が停車中の場合のセキュリティレベルよりも高く設定する。

上述するように、セキュリティレベル設定部１０４は、インシデント対象箇所、攻撃内容、および車両の状態を総合的に勘案して、セキュリティレベルを設定する。セキュリティレベル設定部１０４の動作については、参照する図面を替えて後で詳述する。

＜縮退制御部１０６＞
縮退制御部１０６は、セキュリティレベル設定部１０４で設定したセキュリティレベルに応じて、上記車載ネットワーク内のインシデントの対象箇所を縮退状態に遷移させる縮退処理を実行する。ここで、「縮退状態」とは、車両の対象部位において動作を制限させた状態のことを指す。縮退処理では、例えば、データアクセスフィルタの強度を変更する、ゲートウェイ装置１０と各部を繋ぐバスラインの通信を遮断する、又は、モータ等の各動作部位の動きを制限する等の処理を行う。

＜復旧制御部１０８＞
復旧制御部１０８は、上記縮退状態からの復旧方法を、上記セキュリティレベルに応じて切り替える。例えば、復旧制御部１０８は、上記セキュリティレベル設定部１０４で設定されたセキュリティレベルに応じて、復旧のためのアクセス権限を、ユーザ及びユーザ以外の権限者の何れに付与するのかを切り替える。一例として、復旧制御部１０８は、上記セキュリティレベルが相対的に低い場合に、復旧のためのアクセス権限をユーザに対して付与し、上記セキュリティレベルが相対的に高い場合に、復旧のためのアクセス権限をユーザに対しては付与せずに、ディーラーに対して付与する。換言すれば、セキュリティレベルが所定の値よりも低い場合に、アクセス権限をユーザに対して付与し、セキュリティレベルが所定の値以上の場合に、アクセス権限をディーラーに対して付与する。

ここで「アクセス権限をユーザに付与する」とは、例えば、ゲートウェイ装置１０の復旧制御部１０８が、ユーザが縮退状態を解除するためのアクセスコードであって、ユーザにとって既知であるアクセスコードを入力する画面を、ナビゲーション１１２の画面に表示することを含む。あるいは、アクセスコードを要求せずにユーザに対して復旧作業を行うか否かを照会する画面を、ナビゲーション１１２の画面に表示することを含む。

ユーザが、ナビゲーション１１２の画面を通して、縮退状態を解除するためのアクセスコードを入力する、または、復旧作業を行うか否かの選択画面で復旧する選択を行った場合には、ナビゲーション１１２から、縮退状態の解除を要求する信号が、制御部１００に送信される。復旧制御部１０８は、ナビゲーション１１２から、縮退状態の解除を要求する信号を受信すると、縮退状態からの復旧を行う。

また、「アクセス権限をユーザに対しては付与せずに、ディーラーに対して付与する」とは、例えば、ゲートウェイ装置１０の復旧制御部１０８が、ナビゲーション１１２を制御して、ユーザにとっては既知ではなくディーラーにとっては既知であるアクセスコードを入力する画面を提示することを含む。また、ディーラーの専用機器が有線通信によって接続された場合にのみアクセスを許容することを含んでもよい。また、ユーザに対しては復旧作業を行うためのアクセス権限が付与されていないこと、及び、アクセス権限はディーラーに対してのみ付与されていることを示すメッセージを、ナビゲーション１１２の画面に表示することを含んでもよい。

この場合、ユーザは、縮退状態から復旧させるためには、車両をディーラーに持ち込む。ディーラーでは、車両の点検を行い、安全性が確認された後に、特殊な装置を用いて自己診断部（ＯＢＤＩＩ）経由で、復旧要求を車両１に送信する。車両１では、復旧制御部１０８が復旧要求を受信すると、縮退状態からの復旧を行う。

また、セキュリティレベルが中程度である場合には、ユーザには復旧作業のためのアクセス権限を付与しないが、ディーラーまたは管理センターに対してアクセス権限を付与する。この場合には、ユーザが管理センターに復旧についての連絡を行うと、管理センター担当者が無線で、車両１に対して、復旧要求を送信する。

また、復旧制御部１０８は、上記セキュリティレベルに応じて、復旧のためのアクセスを行う通信経路の種別を切り替える。例えば、上記復旧制御部は、上記セキュリティレベルが相対的に低い場合に、無線通信を介した復旧のためのアクセスを許可し、上記セキュリティレベルが相対的に高い場合に、無線通信を介した復旧のためのアクセスを許可せずに、有線通信を介したアクセスを許可する。一例として、セキュリティレベルが所定の値よりも低い場合には、ユーザや管理センターの担当者からの無線通信を介した復旧のためのアクセスを許可する。セキュリティレベルが所定の値以上の場合に、無線通信を介した復旧のためのアクセスを許可せずに、有線通信を介したアクセスを許可する。
詳しくは、参照する図面を替えて後述する。

なお、本明細書における「ディーラー」には、車両の販売業者、車両の管理業者、及び、車両の修理業者の少なくとも何れかが含まれる。

＜データベース２００＞
データベース２００には、過去に受けた攻撃の内容に関する情報等が格納される。また、各攻撃のセキュリティレベルも攻撃の内容と関連付けてデータベース２００に格納される。前述したように、インシデント特定部１０２は、データベース２００に格納された過去のインシデントに関するデータを参照して、新たに受けた攻撃が既知であるか未知であるかを判定する。

＜通信部３００＞
通信部３００は、ゲートウェイ装置１０の制御部１００と車両各部との通信を行っている。車両各部からは、各部の状態を示す信号が、通信部３００に送信される。通信部３００には、各部から受信した信号を、制御部１００に送信する。この信号により、インシデント特定部１０２は、各部に生じたインシデントを特定することができる。

また、縮退制御部１０６および復旧制御部１０８から、通信部３００を介して、縮退又は復旧を行うための信号が各部に送信される。

＜セキュリティレベルの設定＞
次に、図３〜図５を参照しながら、セキュリティレベル設定部１０４が行うインシデントのセキュリティレベル設定について詳細に説明する。図３〜５は、インシデントの対象箇所、インシデントを受けた時の車両状態と、これらに対するセキュリティレベル設定、縮退状態内容、及び復旧権限者等を示す表である。具体的には、図３〜５は、左から、（ａ）インシデント対象箇所、（ｂ）攻撃内容、（ｃ）車両の状態、（ｄ）セキュリティレベル、（ｅ）縮退状態の内容、および（ｆ）復旧の際のアクセス権限者の項目を示している。

インシデント特定部１０２は、車両各部から送信される信号に含まれる情報を参照して（ａ）インシデント対象箇所、および（ｂ）攻撃内容を特定する。インシデント特定部１０２は、車両各部から送信される情報に含まれる装置ＩＤから、（ａ）インシデント対象箇所を特定する。また、インシデント特定部１０２は、データベース２００に格納された過去の攻撃に関するデータを参照して、新たに受けた攻撃のデータが、既知のインシデントのデータの何れかと一致する場合には、「攻撃Ａ」、「攻撃Ｂ」、「攻撃Ｃ」・・・のように（ｂ）攻撃内容を特定する。新たに受けた攻撃のデータが、データベース２００に格納されたデータの何れとも一致しない場合には、未知の攻撃と特定する。

なお、既知の攻撃と全く同じパターンではないが、パターンが現れる順番が同じ攻撃や、一部パターンが欠けている攻撃等既知の攻撃と類似する攻撃については、インシデント推定部１０３により、既知の攻撃とするか、未知の攻撃とするかを推定してもよい。

セキュリティレベル設定部１０４は、インシデント特定部１０２が特定したこれら（ａ）および（ｂ）に示すインシデントの内容、および（ｃ）車両の状態から、インシデントのセキュリティレベルを「高」、「中」、「低」の３段階に設定する。但し、セキュリティレベルの設定は、「高」、「低」の２段階であってもよいし、４段階以上であってもよい。

（ａ）インシデント対象箇所では、例えば、自己診断部１２、走行安全系動作部１３、パワートレイン系動作部１６等の走行安全性に直接関係する箇所が対象となるインシデントに対しては、相対的に高いセキュリティレベルを設定する。一方、情報系動作部１１、ＥＶ系動作部１７等走行安全性に直接関係しない箇所が対象となるインシデントに対しては、相対的に低いセキュリティレベルを設定する。

（ｂ）攻撃内容に関しては、データベース２００中に一致するパターンの攻撃がない未知の攻撃に対しては、セキュリティレベルを「高」に設定する。既知の攻撃に関しては、データベース中の過去の攻撃内容に関連付けて格納されているセキュリティレベルから、新たに受けたインシデントのセキュリティレベルを設定する。

また、（ｃ）車両の状態は、例えば、ドライバによるマニュアル運転状態、自動運転状態、メンテナンス中、および停車中などに分類される。例えば、車両１が、走行中、自動運転中である場合には、相対的に高いセキュリティレベルを設定し、車両１が停車中またはメンテナンス中である場合には、相対的に高いセキュリティレベルを設定する。また、車両がマニュアル運転中である場合には、中間のセキュリティレベルを設定する。

前述したように、セキュリティレベル設定部１０４では、これら（ａ）〜（ｃ）に示すインシデントの内容を参照して、インシデントのセキュリティレベルを「高」、「中」、「低」の３段階に設定する。図３〜５の（ｄ）には、セキュリティレベル設定部１０４で設定された「高」、「中」、「低」のセキュリティレベルを示す。

例えば、図３から分かるように、自己診断部１２で発生した既知の攻撃Ａに対しては、車両が走行中または自動運転中である場合には、セキュリティレベルを「中」と設定し、車両が停車中、マニュアル運転中、またはメンテナンス中である場合には、セキュリティレベルを「低」と設定する。（ｂ）の攻撃内容が、既知の攻撃Ｂである場合には、この攻撃Ｂが走行安全性に関わるものでないことから、車両がいずれの状態にあったとしても、セキュリティレベルを「低」と設定する。また、（ｂ）の攻撃内容が、未知の攻撃である場合には、車両がいずれの状態にあったとしても、セキュリティレベルを「高」と設定する。

また、例えば、図５から分かるように、情報系動作部１１で発生した既知の攻撃Ａに対しては、情報系動作部１１が走行安全性に影響することが少ないために、車両１がいずれの状態にあったとしても、セキュリティレベルを「低」と設定する。また、（ｂ）の攻撃内容が、未知の攻撃である場合には、車両がいずれの状態にあったとしても、セキュリティレベルを「高」と設定する。

縮退制御部１０６は、上記セキュリティレベル設定部１０４で設定された（ｄ）のセキュリティレベルに応じて、車載ネットワーク内の対象箇所を縮退状態に遷移させる縮退処理を実行する。例えば、図３から分かるように、自己診断部１２に攻撃を受けた場合には、自己診断部１２の通信を車載ネットワークから切断する処理を実行する。また、図４から分かるように、パワートレイン系動作部１６に攻撃を受けた場合には、パワートレイン系動作部１６の通信を車載ネットワークから切断する。

（ｆ）のアクセス権限者は、復旧制御部１０８が、車両を縮退状態から復旧させる場合の、復旧作業権限者を示す。図３〜５に示すように、復旧作業権限者は、セキュリティレベル設定部１０４が設定したセキュリティレベルに対応している。つまり、セキュリティレベルが「低」に設定された場合には、車両の走行に対する危険性が低いことから、ユーザ、ＯＴＡ、ディーラーいずれにおいても、復旧作業を許可する。

ユーザが復旧作業を行う場合には、例えば、ナビゲーションやメータ等の車両装置において、画面を操作することにより、復旧作業を行ってもよい。例えば、復旧制御部１０８は、ナビゲーション１１２を制御し、図8（ａ）に示すような「攻撃Ａのインシデントが発生したため、ＥＶ系動作部を縮退状態に設定しました。セキュリティレベル「低」です。システムを復旧しますか？」というメッセージを、ナビゲーション１１２の操作画面に表示させてもよい。ユーザがナビゲーション画面での復旧作業を実行する場合には、このメッセージに続く「Ｙｅｓ」ボタンを押せばよい。ユーザがディーラーでの復旧作業を実行したい場合には、「Ｎｏ」ボタンを押して、車両をディーラーに持ち込むこともできる。または、復旧制御部１０８は、ナビゲーションを制御し、ユーザが予め決められた縮退状態の解除のためのパスワードを入力する画面を、ナビゲーション１１２に表示させてもよい。ユーザは、縮退状態の解除のためのパスワードを上記ナビゲーション１１２から入力することにより、復旧作業を行うことができる。

セキュリティレベルが「中」である場合には、車両の走行に対する危険が中程度であることから、ユーザには復旧作業のためのアクセス権限を与えず、ＯＴＡまたはディーラーいずれかにおける復旧作業を許可する。この場合、例えば、復旧制御部１０８は、ナビゲーション１１２を制御し、図8（ｂ）に示すような、「攻撃Ｂのインシデントが発生したため、走行安全系動作部を縮退状態に設定しました。セキュリティレベル「中」です。システムの復旧を行うには、販売店又はサービスセンタに連絡してください」というメッセージを、ナビゲーション１１２の操作画面に表示させてもよい。このメッセージにより、ユーザが、復旧作業を実行する場合には、サービスセンタに連絡するか、又は、車両をディーラーに持ち込まなければならないことを知ることができる。

また、セキュリティレベルが「高」である場合には、車両の走行に対する危険性が高い、あるいは未知であることから、ユーザ、ＯＴＡでの復旧作業を許可せず、ディーラーにおいて、車両の点検を行った後、復旧作業を許可する。この場合、例えば、復旧制御部１０８は、ナビゲーション１１２を制御し、図8（ｃ）に示すような、「未知の攻撃インシデントが発生したため、パワートレイン系動作部を縮退状態に設定しました。セキュリティレベル「高」です。システムの復旧を行うには、ディーラーに車両を持ち込んでください。」というメッセージを、ナビゲーション操作画面に表示させてもよい。このメッセージにより、ユーザは、発生したインシデントのセキュリティレベルが高いこと、及び、縮退状態からの復旧作業を実行するためには、車両をディーラーに持ち込む必要があることを知ることができる。

ディーラーでは、車両を点検し問題がないことを確認した後、ＯＢＤ−ＩＩ等により、復旧要求を車両に送信する。車両１では、復旧要求を受信すると、復旧制御部１０８が、縮退状態を解除する。

＜縮退動作＞
続いて、図６を参照して、本実施形態のゲートウェイ装置１０で実行される縮退動作について説明する。図６は、本実施形態のゲートウェイ装置１０で実行される縮退動作についてのフローチャートである。

（ステップＳ１０）
ステップＳ１０で、インシデント特定部１０２が、車両１が攻撃を受けたか否かを検知する。攻撃を受けたことを検知した場合には（ステップＳ１０でＹｅｓ）、ステップＳ１２に進み、攻撃を受けたことを検知しなかった場合には（ステップＳ１０でＮｏ）、攻撃の検知を繰り返す。

（ステップＳ１２）
ステップＳ１０で車両１の攻撃を検知すると、インシデント特定部１０２が、攻撃内容を判定する。攻撃内容には、インシデントの対象箇所および攻撃が未知の攻撃であるか、既知の攻撃であるかの判定が含まれる。

（ステップＳ１４）
ステップＳ１４では、セキュリティレベル設定部１０４は、ステップＳ１２で判定した攻撃内容に従って、例えば、インシデントのセキュリティレベルを「高」、「中」、「低」の３段階に設定する。

（ステップＳ１６）
ステップＳ１６では、セキュリティレベル設定部１０４が設定したセキュリティレベルに合わせて、縮退制御部１０６が、上記車載ネットワーク内の対象箇所を縮退状態に遷移させる縮退処理を実行する。

以上で、本実施形態のゲートウェイ装置１０で実行される縮退動作は終了する。

＜復旧動作＞
続いて、図７を参照して、本実施形態のゲートウェイ装置１０で実行される縮退状態からの復旧動作について説明する。図７は、本実施形態のゲートウェイ装置１０で実行される縮退状態からの復旧動作についてのフローチャートである。

（ステップＳ２０）
ステップＳ２０では、復旧制御部１０８が、ユーザ、センタ、またはディーラー等から復旧要求を受けると、セキュリティレベル設定部１０４が設定したセキュリティレベルに応じた復旧方法を判定する。復旧要求元と縮退状態から、復旧方法を判定する。

（ステップＳ２２）
ステップＳ２２では、復旧制御部１０８が、ステップＳ２０で判定した復旧方法と復旧要求基から、復旧が可能であるか否かを判定する。復旧制御部１０８が、縮退状態からの復旧が可能と判定する場合には（ステップＳ２０でＹｅｓ）、ステップＳ２４に進む。復旧制御部１０８が、縮退状態からの復旧が不可能と判定する場合には（ステップＳ２０でＮｏ）、復旧が可能となるまで、復旧制御部１０８が復旧判定を繰り返す。

（ステップＳ２４）
ステップＳ２２で復旧制御部１０８が縮退状態からの復旧が可能であると判断する場合には、ステップＳ２４で、復旧制御部１０８が縮退状態の解除を行う。

以上で、本実施形態のゲートウェイ装置１０で実行される縮退状態からの復旧動作は終了する。

〔ソフトウェアによる実現例〕
ゲートウェイ装置１０の制御ブロック（特にセキュリティレベル設定部１０４および復旧制御部１０８）は、集積回路（ＩＣチップ）等に形成された論理回路（ハードウェア）によって実現してもよいし、ソフトウェアによって実現してもよい。

後者の場合、ゲートウェイ装置１０は、各機能を実現するソフトウェアであるプログラムの命令を実行するコンピュータを備えている。このコンピュータは、例えば１つ以上のプロセッサを備えていると共に、上記プログラムを記憶したコンピュータ読み取り可能な記録媒体を備えている。そして、上記コンピュータにおいて、上記プロセッサが上記プログラムを上記記録媒体から読み取って実行することにより、本発明の目的が達成される。上記プロセッサとしては、例えばＣＰＵ（Central Processing Unit）を用いることができる。上記記録媒体としては、「一時的でない有形の媒体」、例えば、ＲＯＭ（Read Only Memory）等の他、テープ、ディスク、カード、半導体メモリ、プログラマブルな論理回路などを用いることができる。また、上記プログラムを展開するＲＡＭ（Random Access Memory）などをさらに備えていてもよい。また、上記プログラムは、該プログラムを伝送可能な任意の伝送媒体（通信ネットワークや放送波等）を介して上記コンピュータに供給されてもよい。なお、本発明の一態様は、上記プログラムが電子的な伝送によって具現化された、搬送波に埋め込まれたデータ信号の形態でも実現され得る。

本発明は上述した各実施形態に限定されるものではなく、請求項に示した範囲で種々の変更が可能であり、異なる実施形態にそれぞれ開示された技術的手段を適宜組み合わせて得られる実施形態についても本発明の技術的範囲に含まれる。

１ 車両
１０ ゲートウェイ装置（車載制御装置）
１１ 情報系動作部
１２ 自己診断部
１３ 走行安全系動作部
１４ ボディ系動作部
１６ パワートレイン系動作部
１７ ＥＶ系動作部
２０ 通信装置
１００ 制御部
１０２ インシデント特定部
１０３ インシデント推定部
１０４ セキュリティレベル設定部
１０６ 縮退制御部
１０８ 復旧制御部
１１１ オーディオ
１１２ ナビゲーション
１１３ テレマティクス
１３１ アイドリングストップ
１３２ 制御
１３４ パワーステアリング
１３５ エアバック
１４１ オートＡ／Ｃ
１４２ オートレベリング
１４３ ボディコントロールモジュール
１４４ パワースライドシステム
１４５ パワーテールゲート
１４６ Ｂｌｕｅｔｏｏｔｈユニット
１６１ エンジン制御部
１６２ 変速機
２００ データベース
３００ 通信部

Claims (10)

1. 車載ネットワークに接続された車載制御装置であって、
   上記車載ネットワーク内で発生したインシデントを検出し、検出したインシデントの内容を特定するインシデント特定部と、
   特定したインシデントの内容に応じて、当該インシデントに関するセキュリティレベルを設定するセキュリティレベル設定部と、
   設定したセキュリティレベルに応じて、上記車載ネットワーク内のインシデント対象箇所を縮退状態に遷移させる縮退処理を実行する縮退制御部と、
   上記縮退状態からの復旧方法を、上記セキュリティレベルに応じて切り替える復旧制御部と
   を備えていることを特徴とする車載制御装置。
2. 上記インシデント特定部は、
   既知のインシデントの情報が格納されたデータベースを参照して、上記車載ネットワーク内で発生したインシデントが、既知のインシデントであるか否かを特定し、
   上記セキュリティレベル設定部は、
   上記車載ネットワーク内で発生したインシデントが既知のインシデントではない場合に、上記車載ネットワーク内で発生したインシデントが既知のインシデントである場合のセキュリティレベルとは異なるセキュリティレベルを、当該インシデントに対して設定する
   ことを特徴とする請求項１に記載の車載制御装置。
3. 上記復旧制御部は、
   上記セキュリティレベルに応じて、復旧のためのアクセス権限を、ユーザ及びユーザ以外の権限者の何れに付与するのかを切り替える
   ことを特徴とする請求項１又は２に記載の車載制御装置。
4. 上記復旧制御部は、
   上記セキュリティレベルが相対的に低い場合に、復旧のためのアクセス権限をユーザに対して付与し、
   上記セキュリティレベルが相対的に高い場合に、復旧のためのアクセス権限をユーザに対しは付与せずに、ディーラーに対して付与する
   ことを特徴とする請求項３に記載の車載制御装置。
5. 上記復旧制御部は、
   上記セキュリティレベルに応じて、復旧のためのアクセスを行う通信経路の種別を切り替える
   ことを特徴とする請求項１から４の何れか１項に記載の車載制御装置。
6. 上記復旧制御部は、
   上記セキュリティレベルが相対的に低い場合に、無線通信を介した復旧のためのアクセスを許可し、
   上記セキュリティレベルが相対的に高い場合に、無線通信を介した復旧のためのアクセスを許可せずに、有線通信を介したアクセスを許可する
   ことを特徴とする請求項５に記載の車載制御装置。
7. 上記セキュリティレベル設定部は、
   更に、上記特定したインシデントの対象箇所に応じて、セキュリティレベルを設定することを特徴とする請求項１から６の何れか１項に記載の車載制御装置。
8. 上記セキュリティレベル設定部は、
   上記特定したインシデントの対象箇所が、車両の走行安全系動作部またはパワートレイン系動作部である場合には、情報系動作部またはＥＶ系動作部である場合よりも、セキュリティレベルを高く設定することを特徴とする請求項７項に記載の車載制御装置。
9. 上記セキュリティレベル設定部は、
   更に、車両の状態に応じて、セキュリティレベルを設定することを特徴とする請求項１から８の何れか１項に記載の車載制御装置。
10. 上記セキュリティレベル設定部は、
    車両が走行中の場合のセキュリティレベルを、車両が停車中の場合のセキュリティレベルよりも高く設定することを特徴とする請求項９に記載の車載制御装置。

Images