JP2021034829A - 判定装置、判定システム、プログラム及び判定方法 - Google Patents

判定装置、判定システム、プログラム及び判定方法 Download PDF

Info

Publication number
JP2021034829A
JP2021034829A JP2019151515A JP2019151515A JP2021034829A JP 2021034829 A JP2021034829 A JP 2021034829A JP 2019151515 A JP2019151515 A JP 2019151515A JP 2019151515 A JP2019151515 A JP 2019151515A JP 2021034829 A JP2021034829 A JP 2021034829A
Authority
JP
Japan
Prior art keywords
control device
determination
notification
information
normal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2019151515A
Other languages
English (en)
Other versions
JP7115442B2 (ja
Inventor
良彦 加藤
Yoshihiko Kato
良彦 加藤
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Toyota Motor Corp
Original Assignee
Toyota Motor Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Toyota Motor Corp filed Critical Toyota Motor Corp
Priority to JP2019151515A priority Critical patent/JP7115442B2/ja
Priority to US16/922,135 priority patent/US11444922B2/en
Priority to DE102020121540.1A priority patent/DE102020121540A1/de
Priority to CN202010839162.XA priority patent/CN112422495B/zh
Publication of JP2021034829A publication Critical patent/JP2021034829A/ja
Application granted granted Critical
Publication of JP7115442B2 publication Critical patent/JP7115442B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W40/00—Estimation or calculation of non-directly measurable driving parameters for road vehicle drive control systems not related to the control of a particular sub unit, e.g. by using mathematical models
    • B60W40/10—Estimation or calculation of non-directly measurable driving parameters for road vehicle drive control systems not related to the control of a particular sub unit, e.g. by using mathematical models related to vehicle motion
    • B60W40/105—Speed
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/04—Monitoring the functioning of the control system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/088—Access security using filters or firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/44—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for communication between vehicles and infrastructures, e.g. vehicle-to-cloud [V2C] or vehicle-to-home [V2H]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Automation & Control Theory (AREA)
  • General Health & Medical Sciences (AREA)
  • Mechanical Engineering (AREA)
  • Transportation (AREA)
  • Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Human Computer Interaction (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)
  • Small-Scale Networks (AREA)

Abstract

【課題】ファイヤーウォールによりセキュリティを確保している制御装置からセキュリティ攻撃に係る攻撃情報を収集する場合において、制御装置の故障により生じる誤検知を除外する。【解決手段】判定装置としてのセンターサーバ３０は、車両１２に搭載されたＤＣＭ２０と通信が可能であり、ＤＣＭ２０に対してＤＣＭ２０におけるファイヤーウォールのルールに適合しない第１の情報を送出し、前記第１の情報に対するＤＣＭ２０の応答を第１の通知としてＤＣＭ２０から取得した際、前記第１の通知が正常通知である場合にＤＣＭ２０を故障と判定し、前記第１の通知が異常通知である場合にＤＣＭ２０を正常と判定し、ＤＣＭ２０が正常と判定された場合、ＤＣＭ２０に対して更に前記ルールに適合する第２の情報を送出し、前記第２の情報に対するＤＣＭ２０の応答を取得した際、前記正常通知である場合にはＤＣＭ２０を正常と判定する。【選択図】図１

Description

本発明は、判定装置、判定システム、プログラム及び判定方法に関する。
車内ＬＡＮに対するセキュリティ攻撃に係る攻撃情報を収集する場合、メッセージ認証やファイヤーウォール等のセキュリティ機能によりセキュリティ攻撃を検知し、これに伴う攻撃情報をセンター装置等で収集することが考えられる。これにより、センター装置は、収集した攻撃情報を解析することができる。一方、メッセージ認証やファイヤーウォールに係る回路が故障している場合、正常な通信がセキュリティ攻撃と誤検知されてセンター装置にアップロードされてしまうため、通信コストやセンター装置での解析リソースが無駄に消費されるおそれが生じる。そのために、メッセージ認証やファイヤーウォールに係る回路が正しく機能しているかを検証する必要がある。
特許文献１には、不正アクセスなどのセキュリティ攻撃に係る攻撃情報を収集する場合に、回路故障などに起因して生じた攻撃情報を除外した上で、センター装置が収集する方法が開示されている。当該方法においては、メッセージ認証コードの一致、不一致に基づいて回路が正常か否かの判断を行っている。
特開２０１７−１１８４８７号公報
しかしながら、特許文献１の方法においては、メッセージ認証に係る回路が故障した場合の攻撃情報の切り分けについては開示されているが、ファイヤーウォールに係る回路が故障した場合の対応は考慮されていない。
本発明は、ファイヤーウォールによりセキュリティを確保している制御装置からセキュリティ攻撃に係る攻撃情報を収集する場合において、制御装置の故障により生じる誤検知を除外可能な判定装置、判定システム、プログラム及び判定方法を提供することを目的とする。
請求項１に記載の判定装置は、車両に搭載された制御装置との間で通信を可能とする通信部と、前記制御装置に対して、前記制御装置におけるファイヤーウォールのルールに適合しない第１の情報を送出する第１の送出部と、前記第１の情報に対する前記制御装置の応答を第１の通知として前記制御装置から取得した際、前記第１の通知が前記制御装置の正常を示す正常通知である場合に前記制御装置を故障と判定し、前記第１の通知が前記制御装置の異常を示す異常通知である場合に前記制御装置を正常と判定する第１の判定部と、前記第１の判定部により前記制御装置が正常と判定された場合、前記制御装置に対して、更に前記ルールに適合する第２の情報を送出する第２の送出部と、前記第２の情報に対する前記制御装置の応答を第２の通知として前記制御装置から取得した際、前記第２の通知が前記正常通知である場合に前記制御装置を正常と判定する第２の判定部と、を備えている。
請求項１に記載の判定装置は、通信部により車両に搭載された制御装置との間で通信を可能としている。まず、当該判定装置は、第１の送出部が制御装置におけるファイヤーウォールのルールに適合しない第１の情報を送出し、制御装置から当該第１の情報に対する応答を第１の通知として取得する。そして、当該判定装置では、第１の判定部が第１の通知として、制御装置が正常であることを示す正常通知を取得した場合に制御装置が故障と判定し、制御装置が異常であることを示す異常通知を取得した場合に制御装置が正常と判定する。続けて、当該判定装置は、第２の送出部が制御装置におけるファイヤーウォールのルールに適合する第２の情報を送出し、制御装置から当該第２の情報に対する応答を第２の通知として取得する。そして、当該判定装置では、第２の判定部が第２の通知として、制御装置が正常通知を取得した場合に制御装置が正常と判定する。
請求項１に記載の判定装置は、ファイヤーウォールのルールに適合しない通信を最初に行うことにより、セキュリティ上の問題がある通信を正常と判定する制御装置の故障を把握する。そして、当該判定装置は、ファイヤーウォールのルールに適合する通信を次に行うことにより、セキュリティ上の問題がない通信を異常と判定する制御装置の故障を把握する。以上、当該判定装置によれば、ファイヤーウォールによりセキュリティを確保している制御装置からセキュリティ攻撃に係る攻撃情報を収集する場合において、制御装置の故障により生じる誤検知を除外することができる。
請求項２に記載の判定装置は、請求項１に記載の判定装置において、前記制御装置が受けた通信に対する攻撃情報を前記制御装置から取得可能な取得部を備え、前記取得部は、前記第２の判定部により前記制御装置が正常であると判定された場合に前記攻撃情報を取得する。
請求項２に記載の判定装置は、制御装置が故障していないと判定した後に、制御装置から攻撃情報を取得するため、故障により誤検知された攻撃情報は除外される。そのため、当該判定装置によれば、制御装置の診断に際し、制御装置から取得する情報量を低減することができ、診断時間を短縮することができる。
請求項３に記載の判定装置は、請求項２に記載の判定装置において、前記取得部は、前記第１の判定部により前記制御装置が故障であると判定された場合であって、既に前記攻撃情報を取得している場合には、取得している前記攻撃情報を破棄する。
請求項３に記載の判定装置によれば、制御装置が故障しているにもかかわらず攻撃情報を取得した場合に当該攻撃情報を廃棄することにより、制御装置の診断に際し、誤検知に伴う攻撃情報を除外することができる。
請求項４に記載の判定システムは、請求項１〜３の何れか１項に記載の判定装置と、前記車両を制御する前記制御装置と、を備えた判定システムであって、前記制御装置は、前記車両の走行に支障がない場合に前記制御装置を診断する診断部と、前記診断部による診断において、前記通信部から受信した前記第１の情報又は前記第２の情報が前記ルールに適合するか否かを判定する適合判定部と、前記適合判定部が前記ルールに適合すると判定した場合に前記正常通知を前記制御装置に通知し、前記受信した情報が前記ルールに適合しないと判定した場合に前記異常通知を通知する通知部と、を備えている。
請求項４に記載の判定システムでは、制御装置において診断部が車両の走行に支障がない場合に診断を開始し、適合判定部が判定装置からの情報がファイヤーウォールのルールに適合するか否かを判定し、通知部が判定結果に対応する通知を判定装置に対し行う。上述のように、判定装置は、制御装置におけるファイヤーウォールのルールに適合しない通信により故障の判定を行っており、攻撃情報を収集する際に制御装置のセキュリティが脆弱になる恐れがある。しかし、当該判定システムによれば、車両の走行に支障がない場合に攻撃情報を収集することにより、車両の走行に対する安全性を確保することができる。
請求項５に記載のプログラムは、車両に搭載された制御装置との間で通信を行うことで前記制御装置の故障を判定するためのプログラムであって、前記制御装置に対して、前記制御装置におけるファイヤーウォールのルールに適合しない第１の情報を送出する第１の送出ステップと、前記第１の情報に対する前記制御装置の応答を第１の通知として前記制御装置から取得した際、前記第１の通知が前記制御装置の正常を示す正常通知である場合に前記制御装置を異常と判定し、前記第１の通知が前記制御装置の異常を示す異常通知である場合に前記制御装置を正常と判定する第１の判定ステップと、前記第１の判定ステップにより前記制御装置が正常と判定された場合、前記制御装置に対して、更に前記ルールに適合する第２の情報を送出する第２の送出ステップと、前記第２の情報に対する前記制御装置の応答を第２の通知として前記制御装置から取得した際、前記第２の通知が前記正常通知である場合に、前記制御装置を正常と判定する第２の判定ステップと、を含む処理をコンピュータに実行させる。
請求項５に記載のプログラムは、車両に搭載された制御装置との間で通信を行うコンピュータに対してインストールを可能としている。当該プログラムは、コンピュータに対して制御装置におけるファイヤーウォールのルールに適合しない通信を最初に行わせることにより、セキュリティ上の問題がある通信を正常と判定する制御装置の故障を把握する。そして、当該プログラムは、コンピュータに対して制御装置におけるファイヤーウォールのルールに適合する通信を次に行わせることにより、セキュリティ上の問題がない通信を異常と判定する制御装置の故障を把握する。以上、当該プログラムによれば、ファイヤーウォールによりセキュリティを確保している制御装置からセキュリティ攻撃に係る攻撃情報を収集する場合において、制御装置の故障により生じる誤検知を除外することができる。
請求項６に記載の判定方法は、車両に搭載された制御装置と、前記制御装置と接続される判定装置と、が通信を行うことで前記制御装置の故障を判定する判定方法であって、前記判定装置が前記制御装置に対して前記制御装置の診断を要求する要求ステップと、前記要求ステップを受けて、前記制御装置が前記車両の走行に支障がない場合に前記診断を開始させる開始ステップと、前記開始ステップの後に、前記判定装置から前記制御装置に向けて前記制御装置におけるファイヤーウォールのルールに適合しない第１の情報を送出する第１の送出ステップと、前記第１の情報を受け付けた前記制御装置において、前記制御装置が正常か異常かを判定し、前記判定装置に対する応答を行う第１の応答ステップと、前記判定装置において取得された、前記第１の応答ステップに対応する第１の通知が前記制御装置の正常を示す正常通知である場合に前記制御装置を異常と判定し、前記第１の通知が前記制御装置の異常を示す異常通知である場合に前記制御装置を正常と判定する第１の判定ステップと、前記第１の判定ステップにより前記制御装置が正常と判定された場合、前記判定装置から前記制御装置に向けて、更に前記ルールに適合する第２の情報を送出する第２の送出ステップと、前記第２の情報を受け付けた前記制御装置において、前記制御装置が正常か異常かを判定し、前記判定装置に対する応答を行う第２の応答ステップと、前記判定装置において取得された、前記第２の応答ステップに対応する第２の通知が前記正常通知である場合に、前記制御装置を正常と判定する第２の判定ステップと、を含んでいる。
請求項６に記載の判定方法は、判定装置が車両に搭載された制御装置と通信を行うことで制御装置の故障を判定する。当該判定方法は、判定装置が制御装置に対してファイヤーウォールのルールに適合しない通信を最初に行うことにより、セキュリティ上の問題がある通信を正常と判定する制御装置の故障を把握する。そして、判定装置が制御装置に対してファイヤーウォールのルールに適合する通信を次に行うことにより、セキュリティ上の問題がない通信を異常と判定する制御装置の故障を把握する。ここで、当該判定方法では、車両の走行に支障がない場合に制御装置が診断を開始した後、判定装置との間でファイヤーウォールのルールに適合しない通信を行っている。当該判定方法によれば、ファイヤーウォールによりセキュリティを確保している制御装置からセキュリティ攻撃に係る攻撃情報を収集する場合において、制御装置の故障により生じる誤検知を除外することができる。また、車両の走行に支障がない場合に攻撃情報を収集することができるため、車両の走行に対する安全性を確保することができる。
本発明によれば、ファイヤーウォールによりセキュリティを確保している制御装置からセキュリティ攻撃に係る攻撃情報を収集する場合において、制御装置の故障により生じる誤検知を除外することができる。
第１の実施形態に係る判定システムの概略構成を示す図である。 第１の実施形態のＤＣＭのハードウェア構成を示すブロック図である。 第１の実施形態のＤＣＭの機能構成の例を示すブロック図である。 第１の実施形態のセンターサーバのハードウェア構成を示すブロック図である。 第１の実施形態のセンターサーバの機能構成の例を示すブロック図である。 第１の実施形態において、ＤＣＭが実行する情報提供処理、及びセンターサーバが実行する情報収集処理の流れを示すフローチャートである。 第１の実施形態において、ＤＣＭが実行する情報提供処理、及びセンターサーバが実行する情報収集処理の流れを示すフローチャート（図６の続き）である。
［第１の実施形態］
図１は、第１の実施形態に係る判定システム１０の概略構成を示すブロック図である。
（概要）
図１に示されるように、第１の実施形態に係る判定システム１０は、車両１２と、判定装置としてのセンターサーバ３０と、車両診断機４０とを含んで構成されている。
本実施形態の車両１２は、ＤＣＭ（Ｄａｔａ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｍｏｄｕｌｅ）２０と、セントラルＧＷ（Ｃｅｎｔｒａｌ Ｇａｔｅｗａｙ）２２と、複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）２４と、を備えている。ＤＣＭ２０は、制御装置の一例である。
ＤＣＭ２０は、通信網であるネットワークＮを介してセンターサーバ３０と接続されている。
セントラルＧＷ２２は、ＤＣＭ２０及び各ＥＣＵ２４と、それぞれ外部バス（通信バス）１４を介して接続されている。外部バス１４は、セントラルＧＷ２２とＤＣＭ２０とを接続する第一バス１４Ａと、セントラルＧＷ２２と、各ＥＣＵ２４とを相互に接続する第二バス１４Ｂと、を有している。外部バス１４では、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）プロトコルによる通信が行われている。
ＥＣＵ２４は、車両１２の制御、又は車両１２に搭載されたアクセサリの制御に要する装置である。ＥＣＵ２４は、例えば、ボデーＥＣＵ、エンジンＥＣＵ、トランスミッションＥＣＵ、メータＥＣＵ、マルチメディアＥＣＵ、スマートキーＥＣＵ等のＥＣＵである。
また、セントラルＧＷ２２は、コネクタ（ＤＬＣ：Ｄａｔａ Ｌｉｎｋ Ｃｏｎｎｅｃｔｏｒ）１６と接続されている。このコネクタ１６には、ダイアグツールである車両診断機４０の接続が可能である。
（ＤＣＭ）
図２に示されるように、ＤＣＭ２０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２０Ａ、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２０Ｂ、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２０Ｃ、通信Ｉ／Ｆ（Ｉｎｔｅｒ Ｆａｃｅ）２０Ｄ及び通信部２０Ｅを含んで構成されている。ＣＰＵ２０Ａ、ＲＯＭ２０Ｂ、ＲＡＭ２０Ｃ、通信Ｉ／Ｆ２０Ｄ及び通信部２０Ｅは、内部バス２０Ｆを介して相互に通信可能に接続されている。
ＣＰＵ２０Ａは、中央演算処理ユニットであり、各種プログラムを実行したり、各部を制御したりする。すなわち、ＣＰＵ２０Ａは、ＲＯＭ２０Ｂからプログラムを読み出し、ＲＡＭ２０Ｃを作業領域としてプログラムを実行する。
ＲＯＭ２０Ｂは、各種プログラム及び各種データを記憶している。本実施形態では、ＲＯＭ２０Ｂに実行プログラム２００が記憶されている。実行プログラム２００は、後述する情報提供処理を行うためのプログラムである。また、ＲＯＭ２０Ｂには、通信ログ２２０が記憶されている。通信ログ２２０は、通信部２０Ｅに対する不正アクセス等のセキュリティ攻撃を原因とする認証処理の異常時に記憶される情報である「攻撃情報」を含んでいる。ＲＡＭ２０Ｃは、作業領域として一時的にプログラム又はデータを記憶する。
通信Ｉ／Ｆ２０Ｄは、セントラルＧＷ２２及び他のＥＣＵ２４と接続するためのインタフェースである。当該インタフェースは、ＣＡＮプロトコルによる通信規格が用いられる。通信Ｉ／Ｆ２０Ｄは、第一バス１４Ａに対して接続されている。
通信部２０Ｅは、センターサーバ３０と接続するための無線通信モジュールである。当該無線通信モジュールは、例えば、４Ｇ、ＬＴＥ等の通信規格が用いられる。通信部２０Ｅは、ネットワークＮに対して接続されている。
図３は、ＤＣＭ２０の機能構成の例を示すブロック図である。図３に示されるように、ＤＣＭ２０は、診断部２５０、適合判定部２６０、及び状態通知部２７０を有している。各機能構成は、ＣＰＵ２０ＡがＲＯＭ２０Ｂに記憶された実行プログラム２００を読み出し、これを実行することによって実現される。
診断部２５０は、ＤＣＭ２０が正常か否かの診断を行うためのテストモードを実行する機能を有している。診断部２５０は、センターサーバ３０からテストモードの開始要求を受けた際、車両１２の走行に支障がない場合にテストモードに移行する。本実施形態において、「車両１２の走行に支障がない場合」とは、車両１２が通信に係るセキュリティが確保された場所にあり、かつ車両１２が停止している場合を指す。車両１２の停止は車速情報や、パーキング情報に基づいて判定することができる。
「通信に係るセキュリティが確保された場所」とは、例えば、ディーラの整備建屋、自宅の車庫等、通信を制限することが可能であって、不正アクセス等のセキュリティ攻撃を受けにくい場所が挙げられる。テストモードが開始されると、診断部２５０はＤＣＭ２０を搭載している車両１２を走行できないように制御する。例えば、診断部２５０は、各ＥＣＵ２４の機能を停止することで、エンジンの始動を禁止したり、ブレーキの解除を禁止したり、することで車両１２を走行不能とすることができる。
適合判定部２６０は、センターサーバ３０から受信した情報がＤＣＭ２０におけるファイヤーウォールのルールに適合するか否かを判定する機能を有している。本実施形態の適合判定部２６０は、テストモードに移行している場合にセンターサーバ３０から受信した情報がファイヤーウォールのルールに適合するか否かを判定する。
通知部としての状態通知部２７０は、センターサーバ３０に対してＤＣＭ２０が判定したＤＣＭ２０の状態を通知する機能を有している。状態通知部２７０は、適合判定部２６０において、センターサーバ３０から受信した情報がファイヤーウォールのルールに適合すると判定した場合にＤＣＭ２０が正常であることを示す正常通知をセンターサーバ３０に送信する。また、状態通知部２７０は、適合判定部２６０において、センターサーバ３０から受信した情報がファイヤーウォールのルールに適合しないと判定した場合にＤＣＭ２０が異常であることを示す異常通知をセンターサーバ３０に送信する。
ここで、センターサーバ３０から受信した情報には、後述する不適合情報と適合情報とが存在する。本実施形態の状態通知部２７０は、センターサーバ３０から不適合情報を受信した場合に、第１の通知として正常通知及び異常通知の何れかをセンターサーバ３０に送信する。また、状態通知部２７０は、センターサーバ３０から適合情報を受信した場合に、第２の通知として正常通知及び異常通知の何れかをセンターサーバ３０に送信する。
（センターサーバ）
図４は、本実施形態のセンターサーバ３０に搭載される機器のハードウェア構成を示すブロック図である。
センターサーバ３０は、ＣＰＵ３０Ａ、ＲＯＭ３０Ｂ、ＲＡＭ３０Ｃ、ストレージ３０Ｄ及び通信部３０Ｅを含んで構成されている。ＣＰＵ３０Ａ、ＲＯＭ３０Ｂ、ＲＡＭ３０Ｃ、ストレージ３０Ｄ及び通信部３０Ｅは、内部バス３０Ｆを介して相互に通信可能に接続されている。ＣＰＵ３０Ａ、ＲＯＭ３０Ｂ、ＲＡＭ３０Ｃ及び通信部３０Ｅの機能は、上述したＤＣＭ２０のＣＰＵ２０Ａ、ＲＯＭ２０Ｂ、ＲＡＭ２０Ｃ及び通信部２０Ｅと同じである。
ストレージ３０Ｄは、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）又はＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）により構成されている。本実施形態のストレージ３０Ｄには、解析プログラム３００と、解析データ３２０と、が記憶されている。解析プログラム３００は、後述する情報収集処理を行うためのプログラムである。解析データ３２０は、情報収集処理の結果として、ＤＣＭ２０から収集された攻撃情報が格納されたデータである。
本実施形態のＣＰＵ３０Ａは、ＲＯＭ３０Ｂから解析プログラム３００を読み出し、ＲＡＭ３０Ｃを作業領域として解析プログラム３００を実行する。ＣＰＵ３０Ａが解析プログラム３００を実行することで、センターサーバ３０は、図５に示す不適合情報送出部３５０、適合情報送出部３６０、一次判定部３７０、二次判定部３８０、情報取得部３９０として機能する。
図５は、センターサーバ３０の機能構成の例を示すブロック図である。図５に示されるように、センターサーバ３０は、不適合情報送出部３５０、適合情報送出部３６０、一次判定部３７０、二次判定部３８０、情報取得部３９０を有している。
第１の送出部としての不適合情報送出部３５０は、ＤＣＭ２０に対して、当該ＤＣＭ２０におけるファイヤーウォールのルールに適合しない不適合情報を送出する機能を有している。この不適合情報は、第１の情報の一例である。
第２の送出部としての適合情報送出部３６０は、ＤＣＭ２０に対して、当該ＤＣＭ２０におけるファイヤーウォールのルールに適合する適合情報を送出する機能を有している。この適合情報は、第２の情報の一例である。適合情報送出部３６０は、後述する一次判定部３７０によりＤＣＭ２０が正常であると判定された場合に、適合情報をＤＣＭ２０に送出する。
第１の判定部としての一次判定部３７０は、ＤＣＭ２０に送信した不適合情報に対するＤＣＭ２０の応答を第１の通知として取得した際に、ＤＣＭ２０が正常か否かを判定する機能を有している。一次判定部３７０は、受信した第１の通知が正常通知である場合にＤＣＭ２０を故障と判定し、第１の通知が異常通知である場合にＤＣＭ２０を正常と判定する。
第２の判定部としての二次判定部３８０は、ＤＣＭ２０に送信した適合情報に対するＤＣＭ２０の応答を第２の通知として取得した際に、ＤＣＭ２０が正常か否かを判定する機能を有している。二次判定部３８０は、受信した第２の通知が正常通知である場合にＤＣＭ２０を正常と判定し、第２の通知が異常通知である場合にＤＣＭ２０を故障と判定する。
取得部としての情報取得部３９０は、ＤＣＭ２０の通信部２０Ｅが受けた通信に対する攻撃情報を当該ＤＣＭ２０から取得し、又は既に取得した攻撃情報を破棄する機能を有している。情報取得部３９０は、二次判定部３８０によりＤＣＭ２０が正常であると判定された場合に、ＤＣＭ２０から受信した攻撃情報を取得する。また、情報取得部３９０は、一次判定部３７０によりＤＣＭ２０が故障であると判定された場合であって、既に攻撃情報を取得している場合には、取得している攻撃情報を破棄する。
（制御の流れ）
本実施形態において、ＤＣＭ２０が実行する情報提供処理、及びセンターサーバ３０が実行する情報収集処理の流れの例を図６及び図７のフローチャートで説明する。
まず、情報提供処理が実行される前において、ＤＣＭ２０は不正アクセス等があった場合に、通信ログ２２０に対して攻撃情報を記憶している。そして、センターサーバ３０において攻撃情報の解析が必要となった場合、ＤＣＭ２０及びセンターサーバ３０では以下の処理が実行される。
図６に示されるように、センターサーバ３０は、攻撃情報を取得する対象のＤＣＭ２０に対してテストモードの開始要求を行う（Ｓ１００）。詳しくは、センターサーバ３０はテストモードを開始させるためのコマンドをＤＣＭ２０に対して送信する。
これに対して、ＤＣＭ２０は、テストモードに移行可能か否かの判定を行う（Ｓ２００）。具体的にＤＣＭ２０は、車両１２の位置情報がディーラの整備建屋、自宅の車庫等、不正アクセス等のセキュリティ攻撃を受けにくい場所にあり、かつ車両１２が停止している場合にテストモードに移行可能であると判定する。ＤＣＭ２０は、テストモードに移行可能であると判定した場合（Ｓ２００においてＹｅｓ）、テストモードを開始する（Ｓ２０１）。ＤＣＭ２０は、テストモードの開始に伴い、センターサーバ３０に向けてテストモードを開始したことを示すコマンドを送信する。
一方、上記判定において、ＤＣＭ２０は、テストモードに移行可能ではないと判定した場合（Ｓ２００においてＮｏ）、テストモードに移行せずに（Ｓ２０２）、情報提供処理を終了させる。
センターサーバ３０は、ＤＣＭ２０からテストモードを開始したことを示すコマンドを受信した場合に、ファイヤーウォール（ＦＷ）のルール外の通信によりＤＣＭ２０に対して情報を要求する（Ｓ１０１）。具体的にセンターサーバ３０は、ファイヤーウォールのルールに適合しない不適合情報をＤＣＭ２０に送信する。
ＤＣＭ２０は、センターサーバ３０から不適合情報を受信した場合に、受信した情報がファイヤーウォールのルールに適合しているか否かの判定を行う（Ｓ２０３）。ＤＣＭ２０は、ファイヤーウォールのルールに適合していると判定した場合（Ｓ２０３においてＹｅｓ）、機器が正常であると判定する（Ｓ２０４）。そして、ＤＣＭ２０は、ＤＣＭ２０が正常であることを示す正常通知を攻撃情報と共にセンターサーバ３０に送信する（Ｓ２０５）。
一方、上記判定において、ＤＣＭ２０は、ファイヤーウォールのルールに適合していないと判定した場合（Ｓ２０３においてＮｏ）、機器が異常であると判定する（Ｓ２０６）。そして、ＤＣＭ２０は、ＤＣＭ２０が異常であることを示す異常通知をセンターサーバ３０に送信する（Ｓ２０７）。
図７に示されるように、次にセンターサーバ３０は、ＤＣＭ２０から異常通知を受信したか否かの判定を行う（Ｓ１０２）。センターサーバ３０は、ＤＣＭ２０から異常通知を受信したと判定した場合（Ｓ１０２においてＹｅｓ）、機器が正常であると判定する（Ｓ１０３）。そして、センターサーバ３０は、ファイヤーウォール（ＦＷ）のルール内の通信によりＤＣＭ２０に対して情報を要求する（Ｓ１０４）。具体的にセンターサーバ３０は、ファイヤーウォールのルールに適合する適合情報をＤＣＭ２０に送信する。
一方、上記判定において、センターサーバ３０は、ＤＣＭ２０から異常通知を受信していない、すなわち正常通知を受信したと判定した場合（Ｓ１０２においてＮｏ）、機器が故障していると判定する（Ｓ１０５）。そして、センターサーバ３０は、正常通知と共に受信している攻撃情報を破棄し（Ｓ１０６）、情報収集処理を終了させる。
ＤＣＭ２０は、センターサーバ３０から適合情報を受信した場合に、受信した情報がファイヤーウォールのルールに適合しているか否かの判定を行う（Ｓ２０８）。ＤＣＭ２０は、ファイヤーウォールのルールに適合していると判定した場合（Ｓ２０８においてＹｅｓ）、機器が正常であると判定する（Ｓ２０９）。そして、ＤＣＭ２０は、ＤＣＭ２０が正常であることを示す正常通知を攻撃情報と共にセンターサーバ３０に送信する（Ｓ２１０）。
一方、上記判定において、ＤＣＭ２０は、ファイヤーウォールのルールに適合していないと判定した場合（Ｓ２０８においてＮｏ）、機器が異常であると判定する（Ｓ２１１）。そして、ＤＣＭ２０は、ＤＣＭ２０が異常であることを示す異常通知をセンターサーバ３０に送信する（Ｓ２１２）。
ＤＣＭ２０は、正常通知又は異常通知をセンターサーバ３０に送信後、テストモードを終了させて（Ｓ２１３）、情報提供処理を終了させる。
次にセンターサーバ３０は、ＤＣＭ２０から正常通知を受信したか否かの判定を行う（Ｓ１０７）。センターサーバ３０は、ＤＣＭ２０から正常通知を受信したと判定した場合（Ｓ１０７においてＹｅｓ）、機器が正常であると判定する（Ｓ１０８）。そして、センターサーバ３０は、受信した攻撃情報を取得し（Ｓ１０９）、情報収集処理を終了させる。
一方、上記判定において、センターサーバ３０は、ＤＣＭ２０から正常通知を受信していない、すなわち異常通知を受信したと判定した場合（Ｓ１０７においてＮｏ）、機器が故障していると判定する（Ｓ１１０）。そして、センターサーバ３０は、情報収集処理を終了させる。
（第１の実施形態のまとめ）
本実施形態では、センターサーバ３０がＤＣＭ２０に対して、ファイヤーウォールのルールに適合しない通信を最初に行うことにより、セキュリティ上の問題がある通信を正常と判定するＤＣＭ２０の故障を把握する。そして、センターサーバ３０がＤＣＭ２０に対して、ファイヤーウォールのルールに適合する通信を次に行うことにより、セキュリティ上の問題がない通信を異常と判定するＤＣＭ２０の故障を把握する。以上、本実施形態によれば、ファイヤーウォールによりセキュリティを確保しているＤＣＭ２０からセキュリティ攻撃に係る攻撃情報を収集する場合において、ＤＣＭ２０の故障により生じる誤検知を除外することができる。これにより、精度の高い解析が可能となる。
ここで、条件が限られたファイヤーウォールのルールに適合する通信に対して、ファイヤーウォールのルールに適合しない通信は、条件のパターンが多い。そのため、本実施形態では、まずパターン数の多い通信により、広い条件に対してＤＣＭ２０の故障を把握することで、故障を判定する際の前捌きを行う。すなわち、最初にファイヤーウォールのルールに適合しない通信を行い、ＤＣＭ２０が故障していると判定された場合、センターサーバ３０は、ファイヤーウォールのルールに適合する通信を行う必要がなく、誤検知を含む攻撃情報を取得する必要がない。そのため、ＤＣＭ２０の診断に際し、ＤＣＭ２０から取得する情報量を低減することができ、診断時間を短縮することができる。情報量が低減することにより、パケット代の低減を図ることができる。
また、本実施形態の判定システム１０では、ＤＣＭ２０において診断部２５０が車両１２の走行に支障がない場合にテストモードを開始した後、ＤＣＭ２０がセンターサーバ３０との間でファイヤーウォールのルールに適合しない通信を行う。ファイヤーウォールのルールに適合しない通信により故障の判定を行う場合、ＤＣＭ２０のセキュリティが脆弱になる恐れがある。しかし、本実施形態によれば、車両１２の走行に支障がない場合に攻撃情報を収集することにより、車両１２の走行に対する安全性を確保することができる。
なお、テストモードの実行中に車両１２の車速が０から上がったり、通信に係るセキュリティが確保された場所から車両１２が移動した場合、診断部２５０はテストモードを強制的に終了させて、車両１２を走行させるための通常モードに復帰する。本実施形態によれば、テストモードに移行する場面を限定することにより、セキュリティを高めたまま情報を収集することができる。
また、本実施形態のセンターサーバ３０によれば、ＤＣＭ２０が故障しているにもかかわらず攻撃情報を取得した場合に当該攻撃情報を廃棄することにより、制御装置の診断に際し、誤検知に伴う攻撃情報を除外することができる。
なお、本実施形態では、ＤＣＭ２０が自機を正常であると判定した場合、センターサーバ３０に対して攻撃情報を送信する（Ｓ２０５、Ｓ２１０）が、これに限らず、ＤＣＭ２０が故障していないとセンターサーバ３０に判定された後に攻撃情報を送信してもよい。例えば、二次判定部３８０において、ＤＣＭ２０が正常であると判定された後に、センターサーバ３０はＤＣＭ２０に対して攻撃情報の送信を要求する要求コマンドを送信することで攻撃情報を取得することができる。
この場合、センターサーバ３０は、ＤＣＭ２０が故障していないと判定した後に、ＤＣＭ２０から攻撃情報を取得するため、故障により誤検知された攻撃情報は完全に除外される。そのため、ＤＣＭ２０の診断に際し、ＤＣＭ２０から取得する情報量を更に低減することができ、診断時間を短縮することができる。
［第２の実施形態］
第１の実施形態では、判定装置であるセンターサーバ３０が制御装置であるＤＣＭ２０における攻撃情報を取得していた。これに対して、第２の実施形態では、車両診断機４０を判定装置とし、セントラルＧＷ２２を制御装置とするものである。
本実施形態のセントラルＧＷ２２のハードウェア構成及び機能構成は、通信部が有線であることを除き、第１の実施形態のＤＣＭ２０と同様の構成を有している。また、本実施形態の車両診断機４０のハードウェア構成及び機能構成は、通信部が有線であることを除き、第１の実施形態のセンターサーバ３０と同様の構成を有している。
したがって、本実施形態では車両診断機４０が、セントラルＧＷ２２と通信を行い、セントラルＧＷ２２が受けた不正アクセス等のセキュリティ攻撃に係る攻撃情報を取得することができる。この場合、車両診断機４０がセントラルＧＷ２２に対して、セントラルＧＷ２２のファイヤーウォールのルールに適合しない通信を最初に行うことにより、セキュリティ上の問題がある通信を正常と判定するセントラルＧＷ２２の故障を把握する。そして、車両診断機４０がセントラルＧＷ２２に対して、セントラルＧＷ２２のファイヤーウォールのルールに適合する通信を次に行うことにより、セキュリティ上の問題がない通信を異常と判定するセントラルＧＷ２２の故障を把握する。以上、本実施形態によれば、ファイヤーウォールによりセキュリティを確保しているセントラルＧＷ２２からセキュリティ攻撃に係る攻撃情報を収集する場合において、セントラルＧＷ２２の故障により生じる誤検知を除外することができる。
その他、本実施形態によれば、第１の実施形態と同様の作用効果を奏することができる。
［備考］
なお、上記実施形態でＣＰＵ２０Ａがソフトウェア（プログラム）を読み込んで実行した各処理、ＣＰＵ３０Ａがソフトウェア（プログラム）を読み込んで実行した各処理を、ＣＰＵ以外の各種のプロセッサが実行してもよい。この場合のプロセッサとしては、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等の製造後に回路構成を変更可能なＰＬＤ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）、及びＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）等の特定の処理を実行させるために専用に設計された回路構成を有するプロセッサである専用電気回路等が例示される。また、各処理を、これらの各種のプロセッサのうちの１つで実行してもよいし、同種又は異種の２つ以上のプロセッサの組み合わせ（例えば、複数のＦＰＧＡ、及びＣＰＵとＦＰＧＡとの組み合わせ等）で実行してもよい。また、これらの各種のプロセッサのハードウェア的な構造は、より具体的には、半導体素子等の回路素子を組み合わせた電気回路である。
また、上記実施形態において、プログラムはコンピュータが読み取り可能な非一時的記録媒体に予め記憶（インストール）されている態様で説明した。例えば、車両１２のＤＣＭ２０において実行プログラム２００は、ＲＯＭ２０Ｂに予め記憶されている。また、センターサーバ３０において解析プログラム３００は、ストレージ３０Ｄに予め記憶されている。しかしこれに限らず、各プログラムは、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＤＶＤ−ＲＯＭ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、及びＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリ等の非一時的記録媒体に記録された形態で提供されてもよい。また、各プログラムは、ネットワークを介して外部装置からダウンロードされる形態としてもよい。
上記実施形態で説明した処理の流れも、一例であり、主旨を逸脱しない範囲内において不要なステップを削除したり、新たなステップを追加したり、処理順序を入れ替えたりしてもよい。
１０ 判定システム
１２ 車両
２０ ＤＣＭ（制御装置）
２２ セントラルＧＷ（制御装置）
３０ センターサーバ（判定装置）
３０Ｅ 通信部
４０ 車両診断機（判定装置）
２５０ 診断部
２６０ 適合判定部
２７０ 状態通知部（通知部）
３５０ 不適合情報送出部（第１の送出部）
３６０ 適合情報送出部（第２の送出部）
３７０ 一次判定部（第１の判定部）
３８０ 二次判定部（第２の判定部）
３９０ 情報取得部（取得部）

Claims (6)

  1. 車両に搭載された制御装置との間で通信を可能とする通信部と、
    前記制御装置に対して、前記制御装置におけるファイヤーウォールのルールに適合しない第１の情報を送出する第１の送出部と、
    前記第１の情報に対する前記制御装置の応答を第１の通知として前記制御装置から取得した際、前記第１の通知が前記制御装置の正常を示す正常通知である場合に前記制御装置を故障と判定し、前記第１の通知が前記制御装置の異常を示す異常通知である場合に前記制御装置を正常と判定する第１の判定部と、
    前記第１の判定部により前記制御装置が正常と判定された場合、前記制御装置に対して、更に前記ルールに適合する第２の情報を送出する第２の送出部と、
    前記第２の情報に対する前記制御装置の応答を第２の通知として前記制御装置から取得した際、前記第２の通知が前記正常通知である場合に前記制御装置を正常と判定する第２の判定部と、
    を備える判定装置。
  2. 前記制御装置が受けた通信に対する攻撃情報を前記制御装置から取得可能な取得部を備え、
    前記取得部は、前記第２の判定部により前記制御装置が正常であると判定された場合に前記攻撃情報を取得する請求項１に記載の判定装置。
  3. 前記取得部は、前記第１の判定部により前記制御装置が故障であると判定された場合であって、既に前記攻撃情報を取得している場合には、取得している前記攻撃情報を破棄する請求項２に記載の判定装置。
  4. 請求項１〜３の何れか１項に記載の判定装置と、前記車両を制御する前記制御装置と、を備えた判定システムであって、
    前記制御装置は、
    前記車両の走行に支障がない場合に前記制御装置を診断する診断部と、
    前記診断部による診断において、前記通信部から受信した前記第１の情報又は前記第２の情報が前記ルールに適合するか否かを判定する適合判定部と、
    前記適合判定部が前記ルールに適合すると判定した場合に前記正常通知を前記制御装置に通知し、前記受信した情報が前記ルールに適合しないと判定した場合に前記異常通知を通知する通知部と、
    を備える判定システム。
  5. 車両に搭載された制御装置との間で通信を行うことで前記制御装置の故障を判定するためのプログラムであって、
    前記制御装置に対して、前記制御装置におけるファイヤーウォールのルールに適合しない第１の情報を送出する第１の送出ステップと、
    前記第１の情報に対する前記制御装置の応答を第１の通知として前記制御装置から取得した際、前記第１の通知が前記制御装置の正常を示す正常通知である場合に前記制御装置を異常と判定し、前記第１の通知が前記制御装置の異常を示す異常通知である場合に前記制御装置を正常と判定する第１の判定ステップと、
    前記第１の判定ステップにより前記制御装置が正常と判定された場合、前記制御装置に対して、更に前記ルールに適合する第２の情報を送出する第２の送出ステップと、
    前記第２の情報に対する前記制御装置の応答を第２の通知として前記制御装置から取得した際、前記第２の通知が前記正常通知である場合に、前記制御装置を正常と判定する第２の判定ステップと、
    を含む処理をコンピュータに実行させるためのプログラム。
  6. 車両に搭載された制御装置と、前記制御装置と接続される判定装置と、が通信を行うことで前記制御装置の故障を判定する判定方法であって、
    前記判定装置が前記制御装置に対して前記制御装置の診断を要求する要求ステップと、
    前記要求ステップを受けて、前記制御装置が前記車両の走行に支障がない場合に前記診断を開始させる開始ステップと、
    前記開始ステップの後に、前記判定装置から前記制御装置に向けて前記制御装置におけるファイヤーウォールのルールに適合しない第１の情報を送出する第１の送出ステップと、
    前記第１の情報を受け付けた前記制御装置において、前記制御装置が正常か異常かを判定し、前記判定装置に対する応答を行う第１の応答ステップと、
    前記判定装置において取得された、前記第１の応答ステップに対応する第１の通知が前記制御装置の正常を示す正常通知である場合に前記制御装置を異常と判定し、前記第１の通知が前記制御装置の異常を示す異常通知である場合に前記制御装置を正常と判定する第１の判定ステップと、
    前記第１の判定ステップにより前記制御装置が正常と判定された場合、前記判定装置から前記制御装置に向けて、更に前記ルールに適合する第２の情報を送出する第２の送出ステップと、
    前記第２の情報を受け付けた前記制御装置において、前記制御装置が正常か異常かを判定し、前記判定装置に対する応答を行う第２の応答ステップと、
    前記判定装置において取得された、前記第２の応答ステップに対応する第２の通知が前記正常通知である場合に、前記制御装置を正常と判定する第２の判定ステップと、
    を含む判定方法。
JP2019151515A 2019-08-21 2019-08-21 判定装置、判定システム、プログラム及び判定方法 Active JP7115442B2 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2019151515A JP7115442B2 (ja) 2019-08-21 2019-08-21 判定装置、判定システム、プログラム及び判定方法
US16/922,135 US11444922B2 (en) 2019-08-21 2020-07-07 System for detecting control device security malfunctions
DE102020121540.1A DE102020121540A1 (de) 2019-08-21 2020-08-17 Bestimmungseinrichtung, Bestimmungssystem, Speichermedium, das ein Programm speichert, und Bestimmungsverfahren
CN202010839162.XA CN112422495B (zh) 2019-08-21 2020-08-19 判定装置、判定系统、存储程序的存储介质以及判定方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2019151515A JP7115442B2 (ja) 2019-08-21 2019-08-21 判定装置、判定システム、プログラム及び判定方法

Publications (2)

Publication Number Publication Date
JP2021034829A true JP2021034829A (ja) 2021-03-01
JP7115442B2 JP7115442B2 (ja) 2022-08-09

Family

ID=74495616

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2019151515A Active JP7115442B2 (ja) 2019-08-21 2019-08-21 判定装置、判定システム、プログラム及び判定方法

Country Status (4)

Country Link
US (1) US11444922B2 (ja)
JP (1) JP7115442B2 (ja)
CN (1) CN112422495B (ja)
DE (1) DE102020121540A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2022134679A (ja) * 2021-03-03 2022-09-15 本田技研工業株式会社 判定装置、移動体、判定方法及びプログラム

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7409247B2 (ja) * 2020-07-14 2024-01-09 株式会社デンソー 不正侵入防止装置、不正侵入防止方法、及び不正侵入防止用プログラム

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070174917A1 (en) * 2005-03-15 2007-07-26 Kowsik Guruswamy Platform for analyzing the security of communication protocols and channels
JP2013103611A (ja) * 2011-11-14 2013-05-30 Denso Corp 車載中継装置及び外部通信装置
JP2015214169A (ja) * 2014-05-07 2015-12-03 日立オートモティブシステムズ株式会社 検査装置、検査システム及び検査方法
JP2016059008A (ja) * 2014-09-12 2016-04-21 トヨタ自動車株式会社 車両ネットワークシステム
JP2017118487A (ja) * 2015-12-18 2017-06-29 トヨタ自動車株式会社 通信システムで実行される情報集約方法
JP2017214049A (ja) * 2016-05-27 2017-12-07 ローベルト ボッシュ ゲゼルシャフト ミット ベシュレンクテル ハフツング セキュリティ検査システム、セキュリティ検査方法、機能評価装置、及びプログラム

Family Cites Families (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4033692B2 (ja) * 2002-03-08 2008-01-16 富士通株式会社 ファイアウォールのセキュリティ管理方法及びその管理プログラム
JP2006048588A (ja) * 2004-08-09 2006-02-16 Matsushita Electric Ind Co Ltd リモート診断システム及びリモート診断方法
JP2008191878A (ja) * 2007-02-02 2008-08-21 Ricoh Co Ltd 遠隔診断・障害対応システム、遠隔診断・障害対応装置、遠隔診断・障害対応指示装置、遠隔診断・障害対応方法、及び遠隔診断・障害対応プログラム
WO2013144962A1 (en) * 2012-03-29 2013-10-03 Arilou Information Security Technologies Ltd. Security system and method for protecting a vehicle electronic system
CN103067395B (zh) * 2012-12-31 2016-03-30 山石网科通信技术有限公司 诊断网络防火墙的方法及装置
DE102014208611A1 (de) * 2014-05-08 2015-11-12 Robert Bosch Gmbh Verfahren zur Diagnose eines Zustands in einem Fahrzeug und Diagnose-Testgerät
GB201411620D0 (en) * 2014-06-30 2014-08-13 British Telecomm Network diagnostic device
DE102015211540A1 (de) * 2015-06-23 2016-12-29 Bayerische Motoren Werke Aktiengesellschaft Verfahren, Server, Firewall, Steuergerät, und System zur Programmierung eines Steuergeräts eines Fahrzeugs
US10666615B2 (en) * 2015-08-03 2020-05-26 Sectigo, Inc. Method for detecting, blocking and reporting cyber-attacks against automotive electronic control units
US11397801B2 (en) * 2015-09-25 2022-07-26 Argus Cyber Security Ltd. System and method for controlling access to an in-vehicle communication network
CN105320050A (zh) * 2015-11-27 2016-02-10 奇瑞汽车股份有限公司 一种基于网关的车辆功能集中控制方法
JP6649215B2 (ja) * 2015-12-14 2020-02-19 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ装置、ネットワークシステム及び攻撃検知方法
DE102016124352A1 (de) * 2015-12-18 2017-06-22 Toyota Jidosha Kabushiki Kaisha Kommunikationssystem und ein in dem Kommunikationssystem ausgeführtes Informationssammelverfahren
JP2017174111A (ja) * 2016-03-23 2017-09-28 株式会社東芝 車載ゲートウェイ装置、蓄積制御方法およびプログラム
CN105871830B (zh) * 2016-03-28 2019-03-08 成都信息工程大学 一种汽车车载信息系统的防火墙
DE102016222740A1 (de) * 2016-11-18 2018-05-24 Continental Automotive Gmbh Verfahren für ein Kommunikationsnetzwerk und elektronische Kontrolleinheit
DE102017209556A1 (de) * 2017-06-07 2018-12-13 Robert Bosch Gmbh Verfahren zum Schutz eines Fahrzeugnetzwerks gegen manipulierte Datenübertragung
CN108337291B (zh) * 2017-12-28 2021-08-17 蔚来(安徽)控股有限公司 车辆远程服务系统和方法、处理装置和存储装置
KR102506931B1 (ko) * 2018-02-27 2023-03-07 현대자동차 주식회사 전자화 장비 보안 검사 시스템 및 그 방법
US10764134B2 (en) * 2018-06-22 2020-09-01 Blackberry Limited Configuring a firewall system in a vehicle network
US11237570B2 (en) * 2019-04-12 2022-02-01 Uber Technologies, Inc. Methods and systems for configuring vehicle communications

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070174917A1 (en) * 2005-03-15 2007-07-26 Kowsik Guruswamy Platform for analyzing the security of communication protocols and channels
JP2013103611A (ja) * 2011-11-14 2013-05-30 Denso Corp 車載中継装置及び外部通信装置
JP2015214169A (ja) * 2014-05-07 2015-12-03 日立オートモティブシステムズ株式会社 検査装置、検査システム及び検査方法
JP2016059008A (ja) * 2014-09-12 2016-04-21 トヨタ自動車株式会社 車両ネットワークシステム
JP2017118487A (ja) * 2015-12-18 2017-06-29 トヨタ自動車株式会社 通信システムで実行される情報集約方法
JP2017214049A (ja) * 2016-05-27 2017-12-07 ローベルト ボッシュ ゲゼルシャフト ミット ベシュレンクテル ハフツング セキュリティ検査システム、セキュリティ検査方法、機能評価装置、及びプログラム

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2022134679A (ja) * 2021-03-03 2022-09-15 本田技研工業株式会社 判定装置、移動体、判定方法及びプログラム
JP7273875B2 (ja) 2021-03-03 2023-05-15 本田技研工業株式会社 判定装置、移動体、判定方法及びプログラム
US12108254B2 (en) 2021-03-03 2024-10-01 Honda Motor Co., Ltd. Determination device, moving object, determination method, and computer-readable storage medium

Also Published As

Publication number Publication date
JP7115442B2 (ja) 2022-08-09
DE102020121540A1 (de) 2021-02-25
CN112422495A (zh) 2021-02-26
US11444922B2 (en) 2022-09-13
US20210058372A1 (en) 2021-02-25
CN112422495B (zh) 2022-10-28

Similar Documents

Publication Publication Date Title
US10902109B2 (en) Misuse detection method, misuse detection electronic control unit, and misuse detection system
JP6203365B2 (ja) 不正検知電子制御ユニット、車載ネットワークシステム及び不正検知方法
JP7030046B2 (ja) 不正通信検知方法、不正通信検知システム及びプログラム
JP6594732B2 (ja) 不正フレーム対処方法、不正検知電子制御ユニット及び車載ネットワークシステム
JP7362856B2 (ja) 電子制御ユニット、方法およびプログラム
US10178094B2 (en) Communication system and information collection method executed in communication system
JPWO2019216306A1 (ja) 異常検知電子制御ユニット、車載ネットワークシステム及び異常検知方法
JP6418217B2 (ja) 通信システムで実行される情報集約方法
JP7322806B2 (ja) 車両用異常検出装置
JP7115442B2 (ja) 判定装置、判定システム、プログラム及び判定方法
JP2014236248A (ja) 電子制御装置、電子制御システム
WO2022085260A1 (ja) 異常検知装置、異常検知方法及びプログラム
US12116001B2 (en) Information collection device, information collection system, information collection method, and storage medium storing program
JP6223498B2 (ja) ネットワークシステム
JP2007118701A (ja) 異常検出処理装置および異常検出処理方法
JP7509091B2 (ja) 攻撃分析装置、攻撃分析方法、及び攻撃分析プログラム
CN115811732A (zh) 控制装置、车辆、控制系统、控制方法以及记录介质
JP2020039177A (ja) 不正検知電子制御ユニット、車載ネットワークシステム及び不正検知方法
CN116112246B (zh) 一种报文转发方法、装置及存储介质、网关控制器、车辆
JP4959484B2 (ja) 中継接続ユニット
JP7496431B2 (ja) 情報処理装置、情報処理装置の制御方法及びプログラム
JP2024041392A (ja) 電子制御装置
CN113348124A (zh) 认证方法、认证系统以及认证装置
Roosipuu 5G NB-IoT Implementation for Predictive Car Maintenance

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20210921

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20220620

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20220628

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20220711

R151 Written notification of patent or utility model registration

Ref document number: 7115442

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R151