JP2021140460A - セキュリティ管理装置 - Google Patents

Abstract

【課題】サイバー攻撃に対する対策を実行するか否かの判断をより正確に行う。【解決手段】本発明のセキュリティ管理装置１００は、複数の電子制御装置がネットワークで接続されたシステムにおける異常発生箇所、及び前記異常発生箇所における異常発生量を管理する管理部１０９と、前記異常発生箇所及び前記異常発生量に基づき、異常に対する対策を実行するか否かを判断する判断部１１０と、前記判断部の判断結果に基づく命令を出力する出力部１１１と、を有する。【選択図】図２

Description

本発明は、サイバー攻撃に対する対策の実行の要否を判断する装置であって、主に自動車をはじめとする移動体におけるセキュリティ管理装置、セキュリティ管理方法、及びセキュリティ管理プログラムに関する。

近年、車車間通信や路車間通信のようなＶ２Ｘをはじめ、運転支援や自動運転制御を行う技術が注目されている。これに伴い、車両が通信機能を備えるようになり、いわゆる車両のコネクティッド化が進んでいる。この結果、車両がサイバー攻撃を受ける可能性が増加している。

車両に対するサイバー攻撃は、サイバー攻撃により車両のコントロールに支障をきたす虞があるため、これを事前に検知するとともに、サイバー攻撃の可能性がある場合に対応策を実行することが重要になる。

例えば、特許文献１には、検出した攻撃の脅威レベルを判定し、それに応じた対策を起動する技術が記載されている。具体的には、検出された攻撃数をカウントし、攻撃数が特定の閾値に達すると、脅威レベル決定ユニットが任意の利用可能な対策を起動している。

米国特許公開公報２０１７−２８６６８２号

ここで、本発明者は、以下の課題を見出した。
脅威レベルは攻撃対象箇所によって変化しうる。特に自動車においては機能ごとに電子制御装置（ＥＣＵ）が設けられているので、脅威レベルは攻撃対象によって大きく異なると考えられる。

しかしながら、特許文献１の技術によれば、対策が起動される閾値を、攻撃対象によらず攻撃を検知した回数で定義しているため、有効な判断基準とならない可能性がある。

本発明は、対策を実行するか否かの判断をより正確に行うことができるセキュリティ管理装置等を実現することを目的とする。

本開示のセキュリティ管理装置（１００，２００、３００）は、複数の電子制御装置がネットワークで接続されたシステムにおける異常発生箇所、及び前記異常発生箇所における異常発生量を管理する管理部（１０９）と、前記異常発生箇所及び前記異常発生量に基づき、異常に対する対策を実行するか否かを判断する判断部（１１０）と、前記判断部の判断結果に基づく命令を出力する出力部（１１１）と、を有する。

なお、特許請求の範囲、及び本項に記載した発明の構成要件に付した括弧内の番号は、本発明と後述の実施形態との対応関係を示すものであり、本発明を限定する趣旨ではない。

上述のような構成により、本開示のセキュリティ管理装置は、異常発生箇所に基づき異常に対する対策を実行するか否かを判断するので、対策を実行するか否かの判断をより正確に行うことができる。

本開示の各実施形態が管理するシステムの例を説明する説明図 本開示の実施形態１のセキュリティ管理装置の構成例を示すブロック図 本開示の実施形態１のセキュリティ管理装置の対策実行の要否の判断例を示す説明図 本開示の実施形態１のセキュリティ管理装置の動作を示すフローチャート 本開示の実施形態２のセキュリティ管理装置とシステムの関係を説明する説明図 本開示の実施形態３のセキュリティ管理装置とシステムの関係を説明する説明図

以下、本発明の実施形態について、図面を参照して説明する。

なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともかぎ括弧内の語句は、特許請求の範囲又は課題を解決するための手段の項に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。

特許請求の範囲の従属項に記載の構成及び方法は、特許請求の範囲の独立項に記載の発明において任意の構成及び方法である。従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明において任意の構成及び方法である。特許請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成及び方法も、本発明の構成及び方法の例示であるという意味で、本発明において任意の構成及び方法である。いずれの場合も、特許請求の範囲の独立項に記載することで、本発明の必須の構成及び方法となる。

実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。

複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせても良い。また、複数の実施形態それぞれに開示の構成を集めて組み合わせても良い。

発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の構成及び方法と共に発明の進歩性を肯定する事実である。

１．各実施形態が管理するシステム
図１を用いて、まず各実施形態が管理するシステムについて説明する。なお、本実施形態では、自動車に搭載された車両アーキテクチャーである電子制御システムを例として説明するが、これ以外の例を排除するものではない。

電子制御システム１は、複数の電子制御装置（ＥＣＵ）が「ネットワーク」で接続されたシステムである。電子制御システム１は、以下の構成を有する。
・外部通信ＥＣＵ１１、外部通信ＥＣＵ１２、外部通信ＥＣＵ１３（以下、これらをまとめて指す場合は『外部ＥＣＵ１０』とする。）
・ネットワーク２１、ネットワーク２２、ネットワーク２３、ネットワーク２４（以下、これらをまとめて指す場合は『ネットワーク２０』とする。）
・中心電子制御装置（Ｃ―ＥＣＵ）３０
・ネットワーク４１、ネットワーク４２、ネットワーク４３、ネットワーク４４（以下、これらをまとめて指す場合は『ネットワーク４０』とする。）
・ドメインコントロールユニット（ＤＣＵ）５１、ＤＣＵ５２、ＤＣＵ５３、ＤＣＵ５４（以下、これらをまとめて指す場合は『ＤＣＵ５０』とする。）
・ネットワーク６１、ネットワーク６２、ネットワーク６３、ネットワーク６４（以下、これらをまとめて指す場合は『ネットワーク６０』とする。）
・ＥＣＵ７１、ＥＣＵ７２、ＥＣＵ７３、ＥＣＵ７４（以下、これらをまとめて指す場合は『ＥＣＵ７０』とする。）

ここで、「ネットワーク」とは、有線通信ネットワークの他、無線通信ネットワークであってもよい。また、これらを組み合わせてもよい。

外部通信ＥＣＵ１０は、各種通信方式を用いて外部との通信を行う電子制御装置である。外部通信ＥＣＵ１０は任意の通信方式を用いることができるが、図１の例では、外部ＥＣＵ１１はＬＴＥ（Long Term Evolution）（登録商標）を用いて遠距離無線通信を行い、外部ＥＣＵ１２はＢｌｕｅｔｏｏｔｈ（登録商標）やＷｉ―Ｆｉ（登録商標）を用いて近距離無線通信を行い、外部ＥＣＵ１３は、Ｖ２Ｘ通信を用いて他車両や路側機との間で通信を行う。このように、外部通信ＥＣＵ１０は、複数の通信方式に対応するため複数設けることができるが、もちろん単一の通信方式に対応して１つでもよい。遠距離無線通信の他の例として、Ｗ−ＣＤＭＡ（Wideband Code Division Multiple Access）、ＨＳＰＡ（High Speed Packet Access）、ＬＴＥ−Ａ（Long Term Evolution Advanced）、４Ｇ、５Ｇ等が挙げられる。その他、ＤＳＲＣ（Dedicated Short Range Communication）やＩＥＥＥ８０２．１６（ＷｉＭＡＸ（登録商標））を用いるようにしてもよい。

ネットワーク２０は、外部通信ＥＣＵ１０とＣ−ＥＣＵ３０とを接続するネットワークである。図１の例では、ネットワーク２１は外部ＥＣＵ１１とＣ−ＥＣＵ３０とを接続する。ネットワーク２２、ネットワーク２３も同様である。ネットワーク２４は、診断ツール等をインターフェースを介して接続することにより、診断ツールとＣ−ＥＣＵ３０とを接続する。

Ｃ−ＥＣＵ３０は、ネットワーク２０やネットワーク４０を介して各ＥＣＵ間の通信を中継する電子制御装置である。すなわち、Ｃ−ＥＣＵ３０はゲートウェイの機能を有する。

ネットワーク４０は、Ｃ−ＥＣＵ３０とＤＣＵ５０とを接続するネットワークである。図１の例では、ネットワーク４１はＣ−ＥＣＵ３０とＤＣＵ５１とを接続する。ネットワーク４２、ネットワーク４３、ネットワーク４４も同様である。

ＤＣＵ５０は、ネットワーク４０やネットワーク６０を介してＥＣＵ７０同士やＥＣＵ７０とＣ−ＥＣＵ３０とを接続する。ＤＣＵ５０は、同じＤＣＵに接続されているＥＣＵ同士を接続する場合は、Ｃ−ＥＣＵ３０を経由せずに直接接続を行う。図１の例では、ＤＣＵ５１はネットワーク４１やネットワーク６１を介してＥＣＵ７１同士やＥＣＵ７１とＣ−ＥＣＵ３０とを接続する。すなわち、ＤＣＵ５０はサブゲートウェイの機能を有する。
なお、ＤＣＵ５０は必ずしも設ける必要はない。その場合、ネットワーク４１及びＤＣＵ５０は省略可能である。

ネットワーク６０は、ＤＣＵ５０とＥＣＵ７０とを接続するネットワークである。図１の例では、ネットワーク６１はＤＣＵ５１とＥＣＵ７１とを接続する。ネットワーク６２、ネットワーク６３、ネットワーク６４も同様である。

ＥＣＵ７０は、それぞれの機能を実現する電子制御装置である。ＥＣＵ７０は、任意のＥＣＵを割り当てることができる。例えば、エンジン、ハンドル、ブレーキ等の制御を行う駆動系電子制御装置、メータやパワーウインドウ等の制御を行う車体系電子制御装置、ナビゲーション装置等の情報系電子制御装置、あるいは、障害物や歩行者との衝突を防止するための制御を行う安全制御系電子制御装置が挙げられる。図１の例として、例えばＥＣＵ７１を駆動系電子制御装置群、ＥＣＵ７２を車体系電子制御装置群、ＥＣＵ７３を情報系電子制御装置群、ＥＣＵ７４を安全制御系電子制御装置群とすることができる。
このようなＥＣＵの機能（ドメイン）に着目し、ＤＣＵ５０も機能別に割り当ててもよい、例えば、ＤＣＵ５１を駆動系ＤＣＵ、ＤＣＵ５２を車体系ＤＣＵ、ＤＣＵ５３を情報系ＤＣＵ、ＤＣＵ５４を安全制御系ＤＣＵとすることができる。
なお、ＥＣＵ同士は並列ではなく、主従関係を有するように分類されていてもよい。すなわち、マスターとスレーブとに分類されていてもよい。

図１の例では、ネットワーク２０、ネットワーク４０、ネットワーク６０は、車載ネットワークであり、例えば、ＣＡＮ（Controller Area Network）、ＬＩＮ（Local Interconnect Network）といった通信方式の他、Ｅｔｈｅｒｎｅｔ（登録商標）やＷｉ−Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等、任意の通信方式を用いることができる。

ここで、電子制御システム１は、外部通信ＥＣＵ１０を基準とした階層で分類、特定することができる。図１の例では、外部通信ＥＣＵ１０が階層１、ネットワーク２０が階層２、Ｃ−ＥＣＵ３０が階層３、ネットワーク４０が階層４、ＤＣＵ５０が階層５、ネットワーク６０が階層６、ＥＣＵ７０が階層７と分類できる。ＥＣＵとネットワーク（通信線）とを、外部に近い側から順に深くなる階層構造として分類したものである。電子制御システム１の外部である外部ネットワークを含める場合は、外部ネットワークを階層０としてもよい。つまり、サイバー攻撃の対象となるシステムは外部との接点を必ず有するので、外部通信ＥＣＵ１０を基準として階層を定義することが可能である。図１の例では、階層の番号が大きくなるほど、外部通信ＥＣＵ１０から離れた階層であり、深い階層であると言える。なお、階層の番号のつけ方は、昇順又は降順のいずれでもよい。また、外部通信ＥＣＵ１０の階層番号も必ずしも１である必要はない。例えば、外部ネットワークを階層１としてもよい。

２．実施形態１
（１）セキュリティ管理装置の構成
図２を用いて、本実施形態のセキュリティ管理装置１００の構成について説明する。セキュリティ管理装置１００は、受信部１０１、記憶部１０２〜１０８、判断部１１０、及び送信部１１１を有する。なお、図２では、受信部１０１及び記憶部１０２〜１０８をまとめて管理部１０９を構成する。なお、本実施形態では、セキュリティ管理装置１００は、図１のＣ−ＥＣＵ３０の内部に設けられている。

セキュリティ管理装置１００の形態は、部品、半完成品、完成品のいずれでもよい。本実施形態ではセキュリティ管理装置１００はＣ−ＥＣＵ３０の内部の半導体回路によって実現されているので、部品の形態に属する。
その他、部品の例として半導体モジュール、半完成品の形態として独立した電子制御装置（ＥＣＵ）、完成品の形態として、サーバ、ワークステーション、パーソナルコンピュータ（ＰＣ）、スマートフォン、携帯電話、ナビゲーションシステムが挙げられるが、これらに限らない。

セキュリティ管理装置１００は、汎用のＣＰＵ（Central Processing Unit）、ＲＡＭ等の揮発性メモリ、ＲＯＭ、フラッシュメモリ、又はハードディスク等の不揮発性メモリ、各種インターフェース、及びこれらを接続する内部バスで構成することができる。そして、これらのハードウェア上でソフトウェアを実行することにより、図２に記載の各機能ブロックの機能を発揮させるように構成することができる。

受信部１０１は、電子制御システム１の「異常発生箇所」での異常発生を示す検知信号を受信する。本実施形態では異常発生箇所として、各ＥＣＵや各ネットワークが挙げられる。

ここで、「異常発生箇所」とは、異常が発生した特定の部分を指す場合の他、特定の装置との位置関係又は機能に応じて特定される部分の集合であってもよい。

各異常発生箇所を示す検知信号の例を以下に挙げる。

（ａ）外部ネットワーク（すなわち階層０）の異常
外部通信ＥＣＵ１０に設置したファイヤーウォールで、外部からの異常通信を検知した場合、外部通信ＥＣＵ１０は、外部ネットワークで異常が発生したことを示す検知信号を送信する。例えば外部通信ＥＣＵ１１は、ＬＴＥの通信方式を用いたネットワークで異常が発生したことを示す検知信号を送信する。

（ｂ）外部通信ＥＣＵ１０（すなわち階層１）の異常
外部通信ＥＣＵ１０は、外部通信ＥＣＵ１０に設置したアンチウィルス機能に基づき、外部通信ＥＣＵ１０自身の異常を示す検知信号を送信する。例えば、外部通信ＥＣＵ１１でウィルスを検出した場合、外部通信ＥＣＵ１１は外部通信ＥＣＵ１１でウィルスを検出したことを示す検知信号を送信する。この他、サンドボックス（Sandbox）を用い、外部から受け取ったプログラムを保護された領域で動作させることで異常を検知してもよい。

（ｃ）ネットワーク２０（すなわち階層２）の異常
外部通信ＥＣＵ１０又はＣ−ＥＣＵ３０は、これらに設置したネットワーク型侵入検知システム（ＮＩＤＳ）で偵察行為や不正侵入などのインシデントの兆候を検知した場合、ネットワーク２０に異常が発生したことを示す検知信号を送信する。例えば、Ｃ−ＥＣＵ３０のＮＩＤＳでネットワーク２１における不正侵入を検知した場合、Ｃ−ＥＣＵ３０はネットワーク２１に異常が発生したことを示す検知信号を送信する。

（ｄ）Ｃ−ＥＣＵ３０（すなわち階層３）の異常
Ｃ−ＥＣＵ３０は、Ｃ−ＥＣＵ３０に設置したアンチウィルス機能に基づき、Ｃ−ＥＣＵ３０自身の異常を示す検知信号を送信する。

（ｅ）ネットワーク４０（すなわち階層４）の異常
Ｃ−ＥＣＵ３０又はＤＣＵ５０は、これらに設置したネットワーク型侵入検知システム（ＮＩＤＳ）で偵察行為や不正侵入などのインシデントの兆候を検知した場合、ネットワーク４０に異常が発生したことを示す検知信号を送信する。例えば、Ｃ−ＥＣＵ３０のＮＩＤＳでネットワーク４１における不正侵入を検知した場合、Ｃ−ＥＣＵ３０はネットワーク４１に異常が発生したことを示す検知信号を送信する。

（ｆ）ＤＣＵ５０（すなわち階層５）の異常
ＤＣＵ５０は、ＤＣＵ５０に設置したアンチウィルス機能に基づき、ＤＣＵ５０自身の異常を示す検知信号を送信する。例えば、ＤＣＵ５１でウィルスを検出した場合、ＤＣＵ５１はＤＣＵ５１でウィルスを検出したことを示す検知信号を送信する。

（ｇ）ネットワーク６０（すなわち階層６）の異常
ＤＣＵ５０は、これらに設置したネットワーク型侵入検知システム（ＮＩＤＳ）で偵察行為や不正侵入などのインシデントの兆候を検知した場合、ネットワーク６０に異常が発生したことを示す検知信号を送信する。例えば、ＤＣＵ５１のＮＩＤＳでネットワーク６１における不正侵入を検知した場合、ＤＣＵ５１はネットワーク６１に異常が発生したことを示す検知信号を送信する。

（ｈ）ＥＣＵ７０（すなわち階層７）の異常
ＥＣＵ７０は、自身に設置したメッセージ認証機能でメッセージ認証異常を検知した場合、ＥＣＵ７０で異常が発生したことを示す検知信号を送信する。例えば、ＥＣＵ７１でメッセージ認証異常を検知した場合、ＥＣＵ７１で異常が発生したことを示す検知信号を送信する。

このように、本実施形態では異常発生箇所を特定する情報を検知信号に含めてセキュリティ管理装置１００に送信している。例えば、異常が発生した装置を識別する識別情報を検知信号に含めて送信する。この他、異常が発生した装置を演算等により識別可能なデータを検知信号に含めて送信してもよい。

また、検知信号に異常発生箇所以外の情報を含めてもよい。例えば、異常発生時刻や異常終了時刻、異常の種類、異常発生を検出した装置を識別する識別情報、を検知信号に含めるようにしてもよい。

記憶部は、検知すべき異常発生箇所の数に応じて設けられている。本実施形態では、記憶部１０２〜１０８は、それぞれ外部通信ＥＣＵ１０（すなわち階層１）、ネットワーク２０（すなわち階層２）、Ｃ−ＥＣＵ３０（すなわち階層３）、ネットワーク４０（すなわち階層４）、ＤＣＵ５０（すなわち階層５）、ネットワーク６０（すなわち階層６）、及びＥＣＵ７０（すなわち階層７）を異常発生箇所とし、各異常発生箇所における「異常発生量」を記憶する。本実施形態では、異常発生量として、各階層のＥＣＵ又はネットワークで異常が発生した回数を記憶する。異常が発生した回数は、異常を検知した際に送信される検知信号の受信回数をカウントすればよい。例えば、外部ＥＣＵ１１の異常が１回発生し、外部ＥＣＵ１２で異常が２回発生した場合、階層１からの検知信号は３回送信されているので、記憶部１０２は異常発生回数として３を記憶する。

ここで、「異常発生量」とは、異常を量的に評価できる指標であればよく、例えば異常発生回数、異常発生時間、異常なデータのサイズや数、が挙げられる。

そして、記憶部１０２〜１０８は、異常発生箇所及び異常発生量を、判断部１１０に引き渡す。

本実施形態では、受信部１０１及び記憶部１０２〜１０８をまとめて管理部１０９を構成する。すなわち、管理部１０９は、全体として、異常発生箇所及び異常発生箇所における異常発生量を「管理する」。

ここで、「管理する」とは、異常発生箇所及び異常発生量を把握できる状態に置ければよく、具体的には異常発生箇所及び異常発生量を取得、保存、又は引渡しの少なくとも一つを行うことができればよい。

管理部１０９の他の例として、管理部１０９を構成する受信部１０１は、異常発生箇所に加えて異常発生量を含む検知信号を受信してもよい。異常発生量の例として、外部通信ＥＣＵ１０で検知したウィルスファイルの個数や、ファイヤーウォール機能でブロックしたアクセスの数などが挙げられる。受信した検知信号に含まれる異常発生箇所及び異常発生量は、異常発生箇所に対応して記憶部１０２〜１０８のいずれかに記憶される。

さらに管理部１０９の他の例として、管理部１０９を構成する受信部１０１は、各ＥＣＵから送信されるＣＡＮデータを受信するようにしてもよい。そして、受信部１０１は、ＣＡＮデータを分析して異常を検出し、異常発生箇所と異常発生量を記憶部１０２〜１０８のいずれかに記憶する。例えば、ＥＣＵ７１から送信される速度情報の送信間隔が規定の送信間隔よりも短い場合、ＥＣＵ７１になりすました機器からの不正なアクセスが原因である可能性がある。そこで、受信部１０１は、異常発生箇所をＥＣＵ７１、異常発生量を１回、として記憶部１０８に記憶する。この例の場合、受信部１０１は単なるインターフェースではなく、分析機能を含むように構成される。

判断部１１０は、記憶部１０２〜１０８から引渡しを受けた異常発生箇所及び異常発生量に「基づき」、異常に対する対策を実行するか否かを判断する。

ここで、「基づき」とは、異常発生箇所及び異常発生量を直接用いる場合はもちろん、これらに所定の演算を行うなどした結果を用いる場合も含む。

図３は、判断部１１０が異常に対する対策を実行するか否かの判断例を示す図である。図３の縦軸は検知信号の受信回数、横軸は階層である。

判断部１１０は、異常発生箇所が外部通信ＥＣＵ１０から離れるほど、即ち階層が深くなるほど、少ない異常発生量で異常に対する対策を実行すると判断する。
図３の場合、異常発生箇所が階層０の場合は１２回以上であれば、異常発生に対する対策を実行すると判断する。１２回未満であれば、対策を実行しない。そして、階層が深くなるにつれて閾値は小さくなり、異常発生箇所が階層７の場合は１回で異常発生に対する対策を実行すると判断する。

このような閾値を設けるのは、サイバー攻撃は通常複数の不正アクセスからなり、これら複数の不正アクセスが順次成功して初めて攻撃が成功するという特徴を有するからである。そして、閾値を設けることにより、サイバー攻撃以外の通常の異常や誤検知を攻撃と判定することを防ぐことができ、不要な対策の実行を行うことを避けることができる。

また、階層が深くなるほど閾値を小さくすることにより、サイバー攻撃の入り口である外部通信ＥＣＵ１０から電子制御システム１の内部への侵入度合いに応じた対策の実行が可能である。特に、自動車の電子制御システム１の場合、階層が深い末端のＥＣＵほど重要な情報を扱っており、末端のＥＣＵが乗っ取られることにより自動車の制御に直接影響が出る可能性が高い。このように、階層は、サイバー攻撃に対する緊急度の高さを表しているとも把握できる。

特に、自動車（「移動体」に相当）に「搭載された」本実施形態の電子制御システム１においては、判断部１１０は、異常発生箇所が自動車を構成する機器の制御に用いるＥＣＵである場合に、最も少ない異常発生量で異常に対する対策を実行すると判断する。このような構成により、電子制御システム１において制御対象に近い部分での異常ほど、早期にかつサイバー攻撃が成功する前に対策を実行することができる。

ここで、「移動体」とは、移動可能な物体をいい、移動速度は任意である。また移動体が停止している場合も当然含む。例えば、自動車、自動二輪車、自転車、歩行者、船舶、航空機、及びこれらに搭載される物を含み、またこれらに限らない。
また、「搭載されている」とは、移動体に直接固定されている場合の他、移動体に固定されていないが移動体と共に移動する場合も含む。例えば、移動体に乗った人が所持している場合、移動体に載置された積荷に搭載されている場合、が挙げられる。

送信部１１１（「出力部」に相当）は、判断部１１０の判断結果に基づく「命令」を、電子制御システム１の所定のＥＣＵ等に「出力する」。

ここで、「命令」とは、コマンドの他、出力先が解釈可能なデータであってもよい。
また、「出力する」とは、システムの内部に出力する場合の他、システムの外部に出力する場合も含む。また、セキュリティ管理装置の外部に出力する場合の他、セキュリティ管理装置の内部の対策実行部に出力する場合も含む。

本実施形態では、例えば、外部通信ＥＣＵ１１のファイヤーウォールで外部からの異常通信を検知した場合、階層０に対する対策を実行するため、外部通信ＥＣＵ１０に対して、ＩＰフィルタリングを実行する命令を出力する。例えば、Ｃ−ＥＣＵ３０のＮＩＤＳでネットワーク２３の異常を検知した場合、階層２に対する対策を実行するため、Ｃ−ＥＣＵ３０に対して、ＣＡＮＩＤフィルタリングを実行する命令を出力する。例えば、ＤＣＵ５２でアンチウィルス機能に基づきウィルスを検知した場合、階層５に対する対策を実行するため、ＤＣＵ５０に対して、アンチウィルス機能を再起動する命令を出力する。

上述の例では、異常発生箇所の属する階層全体に対する対策を実行するようにしているが、具体的な異常発生箇所に対する対策を実行するようにしてもよい。例えば、外部通信ＥＣＵ１１のファイヤーウォールで外部からの異常通信を検知した場合、外部通信ＥＣＵ１１のみに対して、ＩＰフィルタリングを実行する命令を出力するようにしてもよい。

（２）セキュリティ管理装置の動作
次に、本実施形態のセキュリティ管理装置１００の動作を図４を用いて説明する。
なお、以下の動作は、セキュリティ管理装置１００におけるセキュリティ管理方法を示すだけでなく、セキュリティ管理装置１００で実行されるセキュリティ管理プログラムの処理手順を示すものである。
そして、これらの処理は、図４で示した順序には限定されない。すなわち、あるステップでその前段のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。
以上、本実施形態だけでなく、他の実施形態や変形例においても同様である。

受信部１０１は、電子制御システム１の異常発生箇所での異常発生を示す検知信号を受信することにより、異常発生箇所を取得する（Ｓ１０１）。そして、異常発生箇所における異常発生量を取得する（Ｓ１０１）。本実施形態では、検知信号の受信回数をもって異常発生量とし、検知信号の受信回数をカウントすることにより異常発生量を取得する。取得した異常発生箇所及び異常発生量は、異常発生箇所に応じて記憶部１０２〜１０８のいずれかに記憶される。

判断部１１０は、記憶部１０２〜１０８から異常発生箇所及び異常発生量を読み出し、読み出した異常発生箇所及び異常発生量に基づき、異常に対する対策を実行するか否かを判断する（Ｓ１０２）。本実施形態では、あらかじめ階層ごとに定められた閾値を用い、検知信号の受信回数が、異常発生箇所が属する階層の閾値以上か閾値未満かで判断する。

判断部１１０が異常に対する対策を実行しないと判断した場合（Ｓ１０２：Ｎｏ）、処理を終了する。
判断部１１０が異常に対する対策を実行すると判断した場合（Ｓ１０２：Ｙｅｓ）、判断部の判断結果に基づく命令を出力する（Ｓ１０３）。本実施形態では、異常発生箇所を検知したＥＣＵに対し、それぞれのＥＣＵが持つセキュリティ対策機能の実行命令を送信する。

（３）小括
以上、本実施形態のセキュリティ管理装置１００によれば、異常発生箇所を階層で管理しているので、階層ごとの危険度に応じた対策を階層全体で実行することができるとともに、異常発生箇所及び異常発生量を記憶する記憶部１０２〜１０８を削減できる。
また、本実施形態のセキュリティ管理装置１００によれば、異常発生箇所の階層が深くなるほど検知信号の受信回数の閾値を小さくしているので、サイバー攻撃の入り口である外部通信ＥＣＵ１０から電子制御システム１の内部への侵入度合いに応じた対策の実行が可能である。
また、本実施形態のセキュリティ管理装置１００によれば、ゲートウェイの役割を有するＣ−ＥＣＵ３０に設けられているので、各ＥＣＵからの検知信号を漏れなく収集することができるとともに、判断結果に基づく命令を漏れなく出力することができる。

３．実施形態１の変形例
（１）異常発生箇所
実施形態１では、異常発生箇所を外部通信装置を基準とした階層で特定し管理しているが、異常発生箇所を個々のＥＣＵやネットワーク単位で特定し管理してもよい。この例によれば、記憶部の容量は増加するものの、異常を検出した異常発生箇所に対し直接かつ最小限の対策を実行することができる。

また、異常発生箇所を、階層や個別のＥＣＵ又はネットワークではなく、特定の機能を有するＥＣＵやネットワークの集合で特定し管理してもよい。例えば、複数の安全制御系ＥＣＵをまとめた集合で特定したり、Ｃ−ＥＣＵ３０に接続されたネットワークをまとめた集合で特定してもよい。この例によれば、機能ごとに特定することにより、異常に対する対策を共通にすることができる。

そして、実施形態１に開示した形態やこれらの変形例を組み合わせることもできる。すなわち、電子制御システム１の一部は階層で特定し、他の部分は個別のＥＣＵやネットワークで特定するようにしてもよい。

（２）異常発生量
実施形態１では、各ＥＣＵ又はネットワークで異常が発生した回数、すなわち検知信号の受信回数を異常発生量としたが、異常が継続した時間や、異常なデータのサイズ若しくは数を異常発生量としてもよい。例えば、ＤｏＳ攻撃（Denial of Service Attack）のうち、大量のリクエストや巨大なデータを送り付けるなどしてシステムを利用不能にするフラッド攻撃のような場合、攻撃の継続時間や、送り付けられたデータのサイズ若しくは送り付けられたファイルの数を用いてもよい。攻撃の継続時間は、例えばバス占有率が所定の値を超える時間を計測することにより求めることができる。

（３）異常発生回数の閾値
実施形態１では、階層ごとに閾値を設け、各階層の異常発生回数が閾値以上か否かによって異常に対する対策の実行の要否を判断したが、複数の階層の異常発生回数に基づき判断してもよい。
例えば、図３に示す閾値を設定するとともに、階層０から階層７までの異常発生回数をそれぞれａ，ｂ，ｃ，ｄ，ｅ，ｆ，ｇ，ｈとしたとき、

1/12a+1/9b+1/6c+1/5d+1/4e+1/3f+1/2g+1/1h >= 1 ・・・（式１）

の式を満たす場合に異常に対する対策を実行すると判断してもよい。

また、実施形態１では、階層に着目し、ＥＣＵとネットワークとの差異には着目していなかったが、異常発生箇所がＥＣＵの場合とネットワークの場合とで閾値に差を設けてもよい。例えば、図１の例では、階層１、階層３、階層５、階層７はＥＣＵであり、これらの階層で異常が発生した場合の閾値をすべて１としたり、又は３、２、２、１のように比較的小さい値で漸次減少するようにしてもよい。これに対し、階層０、階層２、階層４、階層６はネットワークであり、これらの階層で異常が発生した場合の閾値を１０、７、５、４のように比較的大きい値で漸次減少するようにしてもよい。ＥＣＵの方がネットワークよりも閾値を小さくするのは、ＥＣＵの異常の方がサイバー攻撃による影響が出やすいためである。

これは異常検知方法の違いとしても把握できる。つまり、ＮＩＤＳとホスト型侵入検知システム（ＨＩＤＳ）とを比較すると、ＮＩＤＳの方がＨＩＤＳよりも誤検知の確率が高い。したがって、ＮＩＤＳの方がＨＩＤＳよりも閾値を高くすることにより、誤検知に基づく対策の実行を防止することができる。

（４）セキュリティ管理装置を設ける場所
実施形態１では、セキュリティ管理装置１００をＣ−ＥＣＵ３０に設けたが、電子制御システム１の内部のいずれかのＥＣＵに設けてもよい。例えば、外部通信ＥＣＵ１０のいずれか、あるいはＤＣＵ５０のいずれか、に設けてもよい。あるいは、専用のＥＣＵとして電子制御システム１の内部に設けてもよい。

さらに、セキュリティ管理装置１００を複数のＥＣＵに分散して設けてもよい。例えば、外部ＥＣＵ１１、外部ＥＣＵ１２、外部ＥＣＵ１３、及びＣ−ＥＣＵ３０に設けてもよい。この場合、外部ＥＣＵ１１は、ＬＴＥの通信方式を用いたネットワーク、外部ＥＣＵ１１自身、及びネットワーク２１の異常発生箇所及び異常発生量を管理する。外部ＥＣＵ１２は、Ｂｌｕｅｔｏｏｔｈ（登録商標）やＷｉ―Ｆｉ（登録商標）を用いたネットワーク、外部ＥＣＵ１２自身、及びネットワーク２２の異常発生箇所及び異常発生量を管理する。外部ＥＣＵ１３は、Ｖ２Ｘ通信を用いたネットワーク、外部ＥＣＵ１３自身、及びネットワーク２３の異常発生箇所及び異常発生量を管理する。そして、Ｃ−ＥＣＵ３０は、Ｃ−ＥＣＵ３０自身及び階層４以下のネットワーク４０、ＤＣＵ５０、ネットワーク６０、及びＥＣＵ７０の異常発生箇所及び異常発生量を管理する。

セキュリティ管理装置１００を複数のＥＣＵに分散して設ける場合、それぞれのＥＣＵに設けられた部分セキュリティ管理装置も、本発明の「セキュリティ管理装置」に相当する。

この他、電子制御システム１の外部にセキュリティ管理装置１００を設けてもよいが、これは実施形態２で説明する。

４．実施形態２
本実施形態は、セキュリティ管理装置１００を、電子制御システム１の外部に設けた例である。図５を用いて、セキュリティ管理装置１００と電子制御システム１の関係を説明する。

電子制御システム１は自動車に搭載されており、通信ネットワーク２を介してセキュリティ管理装置１００と通信を行う。電子制御システム１及びセキュリティ管理装置１００は、実施形態１で説明したものと同じであるので、実施形態１を引用し、説明は省略する。

通信ネットワーク２は、無線通信方式の場合、例えば、ＩＥＥＥ８０２．１１（Ｗｉ―Ｆｉ（登録商標））やＩＥＥＥ８０２．１６（ＷｉＭＡＸ（登録商標））、Ｗ−ＣＤＭＡ（Wideband Code Division Multiple Access）、ＨＳＰＡ（High Speed Packet Access）、ＬＴＥ（Long Term Evolution）、ＬＴＥ−Ａ（Long Term Evolution Advanced）、４Ｇ、５Ｇ等を用いることができる。あるいは、ＤＳＲＣ（Dedicated Short Range Communication）を用いることができる。
通信ネットワーク２は、有線通信方式の場合、例えば、有線ＬＡＮ（Local Area Network）やインターネット、固定電話回線を用いることができる。

本実施形態の場合、異常発生箇所を含む検知信号を、電子制御システム１の各ＥＣＵから通信ネットワーク２を介してセキュリティ管理装置１００に送信している。また、セキュリティ管理装置１００は、判断部１１０の判断結果に基づく命令を、通信ネットワーク２を介して電子制御システム１の所定のＥＣＵ等に出力している。

本実施形態によれば、セキュリティ管理装置１００を電子制御システム１の外部、例えばサーバ等に設けることにより、リソースの豊富な安定した装置で管理を行うことができる。

５．実施形態３
本実施形態は、セキュリティ管理装置１００を、電子制御システム１の内部と電子制御システム１の外部の両方に設けた例である。図６を用いて、本実施形態を説明する。

電子制御システム１の内部には、第１のセキュリティ管理装置２００が設けられ、電子制御システム１の外部には、第２のセキュリティ管理装置３００が設けられている。第１のセキュリティ管理装置２００の構成と第２のセキュリティ管理装置３００の構成は、実施形態１のセキュリティ管理装置１００の構成と同じであるので、実施形態１を引用し、説明は省略する。

第１のセキュリティ管理装置２００と第２のセキュリティ管理装置３００との間で通信ネットワーク２による通信が可能な場合は、第２のセキュリティ管理装置３００を動作させる。すなわち、電子制御システム１における異常発生箇所及び異常発生量は、第２のセキュリティ管理装置３００で管理し、異常に対する対策を実行するか否かの判断、及び判断結果に基づく命令の出力はすべて第２のセキュリティ管理装置３００で行う。

一方、第１のセキュリティ管理装置２００と第２のセキュリティ管理装置３００との間で通信ネットワークによる通信が可能でない場合は、第１のセキュリティ管理装置２００を動作させる。すなわち、電子制御システム１における異常発生箇所及び異常発生量は、第１のセキュリティ管理装置２００で管理し、異常に対する対策を実行するか否かの判断、及び判断結果に基づく命令の出力はすべて第１のセキュリティ管理装置２００で行う。

通信が可能か否かの判断は、第１のセキュリティ管理装置２００で行うことが望ましい。例えば、第１のセキュリティ管理装置の外部通信ＥＣＵ１１で一定時間メッセージを受信しないときは通信が遮断されたとして、通信が可能でないと判断する。

以上の第１の例によれば、通信が可能な場合は処理能力の高い外部の第２のセキュリティ管理装置３００で管理を行い、通信が可能でない場合に内部の第１のセキュリティ管理装置２００で管理を行うので、通常は処理能力が高い装置で管理するとともに、通信が遮断された場合でも管理を継続することができる。

なお、第１の例では、通信が可能か否かで、異常発生箇所と異常発生量の管理及び判断を第１のセキュリティ管理装置２００と第２のセキュリティ管理装置３００のいずれかに振り分けたが、その他の基準で振り分けてもよい。

例えば、第１のセキュリティ管理装置２００は、電子制御システム１における外部通信ＥＣＵ１０から遠い階層での異常発生箇所及び異常発生量を管理し、第２のセキュリティ管理装置３００は、電子制御システム１における外部通信ＥＣＵ１０から近い階層での異常発生箇所及び異常発生量を管理するようにしてもよい。例えば、第１のセキュリティ管理装置２００は、図１の階層３、階層４、階層５、階層６、及び階層７を、第２のセキュリティ管理装置３００は、図１の階層０、階層１、及び階層２を、それぞれ管理するようにしてもよい。

以上の第２の例によれば、サイバー攻撃による影響が大きいＥＣＵに対しては、異常が発生した場合の対策の実行を電子制御システム１の内部に設けた第１のセキュリティ管理装置２００で行うことにより、通信環境の影響を受けずにセキュリティ管理を行うことができる。

なお、第１の例と第２の例を組み合わせることもできる。

６．総括
以上、本発明の各実施形態におけるセキュリティ管理装置等の特徴について説明した。

各実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。

実施形態の説明に用いたブロック図は、装置の構成を機能毎に分類及び整理したものである。それぞれの機能を示すブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明、及び当該方法を実現するプログラムの発明の開示としても把握できるものである。

各実施形態に記載した処理、フロー、及び方法として把握できる機能ブロック、については、一のステップでその前段の他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

各実施形態、及び特許請求の範囲で使用する、第１、第２、乃至、第Ｎ（Ｎは整数）、の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。

各実施形態は、車両に搭載される車両用の装置を前提としているが、本発明は、特許請求の範囲で特に限定する場合を除き、車両用以外の専用又は汎用の装置も含むものである。

各実施形態では、各実施形態に開示の装置を車両に搭載する前提で説明したが、歩行者が所持する前提としてもよい。

また、本発明のセキュリティ管理装置の形態の例として、以下のものが挙げられる。
部品の形態として、半導体素子、電子回路、モジュール、マイクロコンピュータが挙げられる。
半完成品の形態として、電子制御装置（ＥＣＵ（Electric Control Unit））、システムボードが挙げられる。
完成品の形態として、携帯電話、スマートフォン、タブレット、パーソナルコンピュータ（ＰＣ）、ワークステーション、サーバが挙げられる。
その他、通信機能を有するデバイス等を含み、例えばビデオカメラ、スチルカメラ、カーナビゲーションシステムが挙げられる。

またセキュリティ管理装置に、アンテナや通信用インターフェースなど、必要な機能を追加してもよい。

本発明のセキュリティ管理装置は、特にサーバ側で用いられることにより、各種サービスの提供を目的とするために用いられることが想定される。かかるサービスの提供に伴い、本発明のセキュリティ管理装置が使用され、本発明の方法が使用され、又は／及び本発明のプログラムが実行されることになる。

加えて、本発明は、各実施形態で説明した構成及び機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記録媒体に記録した本発明を実現するためのプログラム、及びこれを実行可能な専用又は汎用ＣＰＵ及びメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。

専用や汎用のハードウェアの非遷移的実体的記録媒体（例えば、外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ／ＢＤ等）、又は内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記録媒体を介して、あるいは記録媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。

本発明のセキュリティ管理装置は、主として自動車に搭載された電子制御システムを対象としているが、自動車に搭載されない通常のシステムを対象としてもよい。

１００ セキュリティ管理装置、１０９ 管理部、１１０ 判断部、１１１ 送信部

Claims (17)

1. 複数の電子制御装置がネットワークで接続されたシステムにおける異常発生箇所、及び前記異常発生箇所における異常発生量を管理する管理部（１０９）と、
   前記異常発生箇所及び前記異常発生量に基づき、異常に対する対策を実行するか否かを判断する判断部（１１０）と、
   前記判断部の判断結果に基づく命令を出力する出力部（１１１）と、を有する、
   セキュリティ管理装置（１００、２００、３００）。
2. 前記異常発生箇所は、外部との通信を行う外部通信電子制御装置を基準とした階層で特定される、
   請求項１記載のセキュリティ管理装置。
3. 前記異常発生箇所は、特定の機能を有する前記電子制御装置の集合で特定される、
   請求項１記載のセキュリティ管理装置。
4. 前記異常発生量は、異常が発生した回数である、
   請求項１記載のセキュリティ管理装置。
5. 前記異常発生量は、異常が継続した時間、又は異常なデータのサイズ若しくは数である、
   請求項１記載のセキュリティ管理装置。
6. 前記判断部は、前記異常発生箇所が、外部との通信を行う外部通信電子制御装置から離れるほど、少ない前記異常発生量で異常に対する対策を実行すると判断する、
   請求項１記載のセキュリティ管理装置。
7. 移動体に搭載された前記システムにおいて、
   前記判断部は、前記異常発生箇所が、前記移動体を構成する機器の制御に用いる前記電子制御装置である場合に、最も少ない前記異常発生量で異常に対する対策を実行すると判断する、
   請求項１記載のセキュリティ管理装置。
8. 前記判断部は、前記異常発生箇所が、前記電子制御装置よりも前記ネットワークである方が、より少ない前記異常発生量で異常に対する対策を実行すると判断する、
   請求項１記載のセキュリティ管理装置。
9. 当該セキュリティ管理装置は、前記システムの内部の一つ又は複数の前記電子制御装置に設けられている、
   請求項１記載のセキュリティ管理装置。
10. 当該セキュリティ管理装置は、中心電子制御装置（Ｃ−ＥＣＵ）、又は／及び外部通信電子制御装置に設けられている、
    請求項９記載のセキュリティ管理装置。
11. 当該セキュリティ管理装置は、前記システムの外部に設けられている、
    請求項１記載のセキュリティ管理装置。
12. 当該セキュリティ管理装置は、前記システムの内部に第１のセキュリティ管理装置（２００）として設けられるとともに、前記システムの外部に第２のセキュリティ管理装置（３００）が設けられ、
    前記第１のセキュリティ管理装置と前記第２のセキュリティ管理装置との間で通信が可能でない場合は前記第１のセキュリティ管理装置を動作させ、
    前記第１のセキュリティ管理装置と前記第２のセキュリティ管理装置との間で通信が可能な場合は前記第２のセキュリティ管理装置を動作させる、
    請求項１記載のセキュリティ管理装置（２００）。
13. 当該セキュリティ管理装置は、前記システムの外部に第２のセキュリティ管理装置（３００）として設けられるとともに、前記システムの内部に第１のセキュリティ管理装置（２００）が設けられ、
    前記第１のセキュリティ管理装置と前記第２のセキュリティ管理装置との間で通信が可能でない場合は前記第１のセキュリティ管理装置を動作させ、
    前記第１のセキュリティ管理装置と前記第２のセキュリティ管理装置との間で通信が可能な場合は前記第２のセキュリティ管理装置を動作させる、
    請求項１記載のセキュリティ管理装置（３００）。
14. 当該セキュリティ管理装置は、前記システムの内部に第１のセキュリティ管理装置（２００）として設けられるとともに、前記システムの外部に第２のセキュリティ管理装置（３００）が設けられ、
    前記第１のセキュリティ管理装置は、前記外部通信電子制御装置から遠い前記階層での異常発生箇所及び異常発生量を管理し、
    前記第２のセキュリティ管理装置は、前記外部通信電子制御装置から近い前記階層での異常発生箇所及び異常発生量を管理する、
    請求項２記載のセキュリティ管理装置（２００）。
15. 当該セキュリティ管理装置は、前記システムの外部に第２のセキュリティ管理装置（３００）として設けられるとともに、前記システムの内部に第１のセキュリティ管理装置（２００）が設けられ、
    前記第１のセキュリティ管理装置は、前記外部通信電子制御装置から遠い前記階層での異常発生箇所及び異常発生量を管理し、
    前記第２のセキュリティ管理装置は、前記外部通信電子制御装置から近い前記階層での異常発生箇所及び異常発生量を管理する、
    請求項２記載のセキュリティ管理装置（３００）。
16. 複数の電子制御装置がネットワークで接続されたシステムにおける異常発生箇所、及び前記異常発生箇所における異常発生量を取得し（Ｓ１０１）、
    前記異常発生箇所及び前記異常発生量に基づき、異常に対する対策を実行するか否かを判断し（Ｓ１０２）、
    前記判断部の判断結果に基づく命令を出力する（Ｓ１０３）、
    セキュリティ管理方法。
17. 複数の電子制御装置がネットワークで接続されたシステムにおける異常発生箇所、及び前記異常発生箇所における異常発生量を取得し（Ｓ１０１）、
    前記異常発生箇所及び前記異常発生量に基づき、異常に対する対策を実行するか否かを判断し（Ｓ１０２）、
    前記判断部の判断結果に基づく命令を出力する（Ｓ１０３）、
    セキュリティ管理装置で実行可能なセキュリティ管理プログラム。

Images