JP2021167985A - 車載セキュリティシステムおよび攻撃対処方法 - Google Patents

Abstract

【課題】攻撃時の入力に対する処理を実行した場合においても、その処理と異なる処理が実行されたという応答を返す、車載セキュリティシステムおよび攻撃対処方法を提供する。【解決手段】監視ＥＣＵ１０５は、攻撃対象ＥＣＵであるＥＣＵ−Ｘ１０２から、ＥＣＵ−Ｘ１０２の動作状態を示す情報を収集し、ＥＣＵ−Ｘ１０２について定められた正規の動作条件からの動作状態の一定以上の逸脱がある場合、ＥＣＵ−Ｘ１０２の乗っ取りが発生したと判断する。ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、ＥＣＵ−Ｘ１０２が所定の動作から逸脱したことを検知すると、ＥＣＵ−Ｘ１０２からの入力に対する安全処理を実行し、ＥＣＵ−Ｘ１０２からの入力に対してＥＣＵ−Ｘ１０２からの入力の指示通りに処理を実行したことを示す応答をＥＣＵ−Ｘ１０２に返す。【選択図】図１

Description

本発明は、車載システムの乗っ取りや、外部機器のなりすまし等のセキュリティ脅威に対処することが可能な車載セキュリティシステムおよび攻撃対処方法に関する。

近年、自動車は、カーナビゲーションシステムや携帯電話からのネットワーク接続によるネットワーク機能（サービス）が搭載されるなど、車載システムのネットワーク化（有線・無線）が急速に進んでいる。この車載システムのネットワーク化により、自動車に対する外部からのハッキングや車載システムの乗っ取りによる不正操作、外部機器のなりすましによるソフトウェアの改竄などのセキュリティ脅威が増大している。そのため、車載システムにおけるサイバーセキュリティ（以降、セキュリティと言う）対策が急務となっている。特に、車載システムの乗っ取りによる不正操作の脅威に対し、安全上もセキュリティ対策が必須となる。

そのような中、車載システムの電子制御装置（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ：以下、ＥＣＵと称す）には、メインのＥＣＵ機能とは別にセキュリティハードウェアであるＨＳＭ（Ｈａｒｄｗａｒｅ Ｓｅｃｕｒｉｔｙ Ｍｏｄｕｌｅ）の搭載が進んでいる。ＨＳＭは、暗号化や認証などのセキュリティ機能をハードウェアで実現し、同様の機能をソフトウェアで実現するよりもＥＣＵの処理負荷を少なくすることができる。また、セキュリティ機能を通常のシステムとは別に独立したハードウェアで実現するため、ソフトウェアの改竄などに対するセキュリティ脅威にも強く、車載システムに対しよりセキュアな機能（環境）を提供することができる。

しかし、ＨＳＭを用いて強固なセキュリティ機能を実装したとしても、セキュリティを突破される可能性がある。特に、車載システムの乗っ取りなどのセキュリティ脅威では、車載システム自身が乗っ取られていることに気づかない状況も考えられる。このように強固なセキュリティ機能を実装したとしても、セキュリティを突破されたことを想定し、いかにして、セキュリティ脅威を検出し迅速に安全を確保するかが重要である。

特許文献１では、車載ネットワーク間に設けられた監視ＥＣＵにより不正データの検知および不正データのルーティングの抑止処理を実行する技術が提案されている。例えば、各車載ネットワーク間の通信を監視するＥＣＵが設けられ、ネットワーク間の通信を監視し、不正データを検知する。そして、不正データを検知した場合、抑止処理として警告情報をネットワーク上のＥＣＵに送信するとともに、不正なデータのルーティングを禁止するメッセージを送信する技術が提案されている。

また、特許文献２では、検証センタと呼ばれる監視装置が、車載ネットワークを監視し、検証メッセージとして電子署名を用いてメッセージの改ざんや、ＥＣＵのなりすましを検出する技術が提案されている。

特開２０１３−１３１９０７号公報 特開２０１４−１３８３８０号公報

しかしながら、ＥＣＵへのハッキングやソフトウェアを不正に改竄するなどして車載システムを乗っ取る場合、異常な状態に陥ることや、異常な制御値および異常なメッセージＩＤを入出力することなく、不正操作を行うため、検出が困難である。なお、メッセージＩＤとは、メッセージの種別を識別するためのＩＤである。

また、上記特許文献１に開示された技術では、データが不正な状態でなければ異常を検知できず、例えばＥＣＵが乗っ取られた場合、正常なデータを使用されていればＥＣＵが乗っ取られていたとしても不正な状態と検知することができず、異常に対して適切な対応処理ができなかった。さらに、抑止処理として警告情報を送信したとしても、不正な状態のＥＣＵを介する可能性があるため、警告に対する処理が正しく実行できないこともあった。

また、上記特許文献２に開示された技術では、不正データや外部のなりすましの検出はできるが、ＥＣＵの乗っ取りなど、データ自体に不正がない場合の異常を検出することができず、異常に対して適切な対応処理ができなかった。さらに、なりすましたＥＣＵを介してネットワークが使用されるので、異常に対する処理が正しく実行できない可能性もあった。

また、上記特許文献１、２に開示された技術では、不正データや外部のなりすましを検知し、脅威に対して適切な対応処理を実行した時に、その対応処理を適切に実行したことが攻撃者に知られることがあるため、その対応処理に対して攻撃者からの更なる攻撃や別の手段による新たな攻撃を招く可能性もあった。

本発明は、上記事情に鑑みなされたものであり、その目的は、攻撃時の入力に対する処理を実行した場合においても、その処理と異なる処理が実行されたという応答を返すことが可能な車載セキュリティシステムおよび攻撃対処方法を提供することにある。

上記目的を達成するため、第１の観点に係る車載セキュリティシステムは、第１電子制御装置と、前記第１電子制御装置と通信可能な第２電子制御装置とを備え、前記第２電子制御装置は、前記第１電子制御装置からの入力に対する第１処理を実行し、前記入力に対して前記第１処理と異なる第２処理を実行したことを示す応答を前記第１電子制御装置に返す。

本発明によれば、攻撃時の入力に対する処理を実行した場合においても、その処理と異なる処理が実行されたという応答を返すことができる。

図１は、第１実施形態に係る車載セキュリティシステムの構成を示すブロック図である。 図２は、図１のシナリオ定義情報の構成例を示す図である。 図３は、第１実施形態に係る車載セキュリティシステムの動作例を示すブロック図である。 図４は、第１実施形態に係る車載セキュリティシステムの異常判定処理を示すフローチャートである。 図５は、第１実施形態に係る車載セキュリティシステムのシナリオ実行結果判定処理を示すフローチャートである。 図６は、第１実施形態に係る車載セキュリティシステムの異常対応処理の内容を示すブロック図である。 図７は、第１実施形態に係る車載セキュリティシステムの異常対応処理を示すフローチャートである。 図８は、図７の機能レベル高処理を示すフローチャートである。 図９は、図７の機能レベル中処理および機能レベル低処理を示すフローチャートである。 図１０は、第２実施形態に係る車載セキュリティシステムの構成を示すブロック図である。 図１１は、第３実施形態に係る車載セキュリティシステムの異常対応処理を示すフローチャートである。 図１２は、第３実施形態に係る車載セキュリティシステムの構成を示すブロック図である。 図１３は、第４実施形態に係る車載セキュリティシステムに用いられるＥＣＵのハードウェア構成を示すブロック図である。

実施形態について、図面を参照して説明する。なお、以下に説明する実施形態は特許請求の範囲に係る発明を限定するものではなく、また、実施形態の中で説明されている諸要素及びその組み合わせの全てが発明の解決手段に必須であるとは限らない。

図１は、第１実施形態に係る車載セキュリティシステムの構成を示すブロック図である。
図１において、この車載セキュリティシステムには、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３、ＥＣＵ−Ｂ１０４および監視ＥＣＵ１０５が設けられている。ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３、ＥＣＵ−Ｂ１０４および監視ＥＣＵ１０５は、車両に搭載することができる。この時、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３、ＥＣＵ−Ｂ１０４および監視ＥＣＵ１０５は、車載ネットワーク１０１を介して互いに接続することができる。車載ネットワーク１０１の例としては、ＣＡＮ（Ｃｏｎｔｒｏｌ Ａｒｅａ Ｎｅｔｗａｏｒｋ）、ＦｌｅｘＲａｙ、ＬＩＮ（Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ）、Ｅｔｈｅｒｎｅｔ（登録商標）等である。

また、ＥＣＵ−Ｘ１０２は、外部機器１１３Ａおよび外部ネットワーク１１３Ｂに接続されている。外部機器１１３Ａとの接続には、ＯＢＤ（Ｏｎ−Ｂｏａｒｄ Ｄｉａｇｎｏｓｔｉｃｓ）またはＥｔｈｅｒｎｅｔを用いることができる。外部ネットワーク１１３Ｂは、インターネットなどのＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）であってもよいし、ＷｉＦｉなどのＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）であってもよいし、ＷＡＮとＬＡＮが混在していてもよい。図１では、ＥＣＵ−Ｘ１０２は、外部機器１１３Ａおよび外部ネットワーク１１３Ｂに接続されている例を示したが、外部機器１１３Ａおよび外部ネットワーク１１３Ｂのいずれか一方にのみ接続されていてもよい。

ここで、外部機器１１３Ａおよび外部ネットワーク１１３Ｂに接続されているＥＣＵ−Ｘ１０２は、外部ネットワーク１１３Ｂを介した乗っ取りまたは外部機器１１３Ａのなりすましによる攻撃対象ＥＣＵとして扱うことができる。

ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、車両の車載機器を電子制御する。車載機器は、例えば、動力装置、操舵装置、制動装置または変速装置である。車両の動力装置として、エンジンまたは電動機を用いることができる。車載機器は、ヘッドライト、パワーウィンドウ、ドアロック、電動シート、インストルメントパネルなどであってもよい。

ＥＣＵ−Ｘ１０２は、センサ１００ｘおよびアクチュエータ１０６ｘに接続されている。ＥＣＵ−Ａ１０３は、センサ１００Ａおよびアクチュエータ１０６Ａに接続されている。ＥＣＵ−Ｂ１０４は、センサ１００Ｂおよびアクチュエータ１０６Ｂに接続されている。アクチュエータ１０６ｘ、１０６Ａ、１０６Ｂは、例えば、アクセル、ブレーキ、ステアリングを操作するためのアクチュエータである。また、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、警告表示部１１４に接続されている。警告表示部１１４は、外部ネットワーク１１３Ｂを介した乗っ取りまたは外部機器１１３Ａのなりすましによる異常発生時に警告表示を行う。この時、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、外部機器１１３Ａおよび外部ネットワーク１１３Ｂに接続されたＥＣＵ−Ｘ１０２を含まない通信ネットワークを介して警告表示部１１４と通信する。

監視ＥＣＵ１０５は、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４に異常がないかを監視する。監視ＥＣＵ１０５のセキュリティレベルは、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４のセキュリティレベルより高くすることができる。この時、監視ＥＣＵ１０５は、ＨＳＭのようなセキュリティ機能を持っていてもよいし、外部ネットワークと直接接続されないようにしてもよい。

監視ＥＣＵ１０５は、車載ネットワーク１０１を介し、攻撃対象ＥＣＵであるＥＣＵ−Ｘ１０２から、ＥＣＵ−Ｘ１０２の動作状態を示す情報を収集する。そして、監視ＥＣＵ１０５は、ＥＣＵ−Ｘ１０２から収集したＥＣＵ−Ｘ１０２の動作状態を示す情報に基づいて、ＥＣＵ−Ｘ１０２の動作状態を監視する。この時、監視ＥＣＵ１０５は、ＥＣＵ−Ｘ１０２について定められた正規の動作条件からの動作状態の一定以上の逸脱がある場合、ＥＣＵ−Ｘ１０２の乗っ取りが発生したと判断することができる。

さらに、監視ＥＣＵ１０５は、車載ネットワーク１０１を介し、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４から、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４の動作状態を示す情報を収集する。そして、監視ＥＣＵ１０５は、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４から収集したＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４の動作状態を示す情報に基づいて、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４の動作状態を監視する。この時、監視ＥＣＵ１０５は、例えば、ＥＣＵ−Ａ１０３について定められた正規の動作条件からの動作状態の一定以上の逸脱がある場合、ＥＣＵ−Ａ１０３の動作状態の一定以上の逸脱がＥＣＵ−Ａ１０３とＥＣＵ−Ｘ１０２との通信に起因しているかどうかを判断する。そして、ＥＣＵ−Ａ１０３とＥＣＵ−Ｘ１０２との通信に起因してＥＣＵ−Ａ１０３の動作状態の一定以上の逸脱がある場合、ＥＣＵ−Ｘ１０２の乗っ取りが発生したと判断することができる。

ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、ＥＣＵ−Ｘ１０２が所定の動作から逸脱したことを検知すると、ＥＣＵ−Ｘ１０２からの入力に対する第１処理を実行する。また、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、ＥＣＵ−Ｘ１０２からの入力に対して第１処理と異なる第２処理を実行したことを示す応答をＥＣＵ−Ｘ１０２に返す。この時、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、ＥＣＵ−Ｘ１０２が所定の動作から逸脱したことを示す検知結果を監視ＥＣＵ１０５から取得することができる。ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４が自ら、ＥＣＵ−Ｘ１０２の所定の動作からの逸脱を検知するようにしてもよい。この時、監視ＥＣＵ１０５はなくてもよい。

第１処理は、ＥＣＵ−Ｘ１０２からの入力に対する安全処理とすることができる。この安全処理は、ＥＣＵ−Ｘ１０２への攻撃時の指示に対してフェールセーフ側の処理とすることができる。第２処理は、ＥＣＵ−Ｘ１０２からの入力の指示通りに実行した処理とすることができる。

ここで、ＥＣＵ−Ｘ１０２に攻撃があった時に、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、ＥＣＵ−Ｘ１０２からの入力に対する安全処理を実行する一方で、ＥＣＵ−Ｘ１０２には、ＥＣＵ−Ｘ１０２からの入力の指示通りに実行したことを示す応答を返す。これにより、ＥＣＵ−Ｘ１０２に攻撃があった場合においても、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、その攻撃に対して自らの安全性を確保しつつ、攻撃者の指示通りに攻撃が実行されているように攻撃者に見せかけることができる。この結果、攻撃に対して安全処理が行われたことを攻撃者に知られるのを防止することができ、その安全処理に対して攻撃者からの更なる攻撃や別の手段による新たな攻撃を招くのを防止することができる。

なお、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、ＥＣＵ−Ｘ１０２からの入力の指示通りに実行したことを示す応答をＥＣＵ−Ｘ１０２に返す時に、攻撃者を探索する探索プログラムをその応答に付加するようにしてもよい。この探索プログラムは、ＥＣＵ−Ｘ１０２に取り込まれると、攻撃者を逆探知することにより、攻撃者を特定することができる。そして、探索プログラムは、攻撃者を特定する情報をＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４に通知することができる。

以下、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３、ＥＣＵ−Ｂ１０４および監視ＥＣＵ１０５の構成例について具体的に説明する。
図１において、ＥＣＵ−Ｘ１０２は、ＥＣＵ−Ｘシナリオ定義情報１０７ｘを保持し、ＥＣＵ−Ａ１０３は、ＥＣＵ−Ａシナリオ定義情報１０７Ａを保持し、ＥＣＵ−Ｂ１０４は、ＥＣＵ−Ｂシナリオ定義情報１０７Ｂを保持する。ＥＣＵ−Ｘシナリオ定義情報１０７ｘには、ＥＣＵ−Ｘ１０２が実行する正規の一連の動作を示す機能シーケンス情報が設定される。ＥＣＵ−Ａシナリオ定義情報１０７Ａには、ＥＣＵ−Ａ１０３が実行する正規の一連の動作を示す機能シーケンス情報が設定される。ＥＣＵ−Ｂシナリオ定義情報１０７Ｂには、ＥＣＵ−Ｂ１０４が実行する正規の一連の動作を示す機能シーケンス情報が設定される。

機能シーケンス情報は、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４のそれぞれの機能を実行するための正規の処理順番、実行条件および実行タイミングを実行手順として含む。例えば、ＥＣＵ−Ｘ１０２がアクチュエータ１０６ｘに対して“機能Ａ”を正常に実行させる場合、ＥＣＵ−Ｘ１０２は、処理１⇒処理４⇒処理５⇒機能Ａという一連の動作を実行するものとすると、ＥＣＵ−Ｘシナリオ定義情報１０７ｘには、機能シーケンス情報として、“処理１⇒処理４⇒処理５⇒機能Ａを実行”という情報が設定される。

また、機能シーケンス情報は、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４が機能を実行するために必要な制御値の情報や通信の情報を含むことができる。制御値の情報は、制御値の項目、制御値の変化量または範囲、制御値の上下限値および制御値の更新タイミングである。通信の情報は、通信項目、メッセージＩＤ、メッセージのデータ長、更新タイミングおよび更新頻度である。

また、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４には、シナリオ実行結果格納メモリ１０８ｘ、１０８Ａ、１０８Ｂがそれぞれ設けられている。各シナリオ実行結果格納メモリ１０８ｘ、１０８Ａ、１０８Ｂには、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４のそれぞれ自身のＥＣＵ−Ｘシナリオ定義情報１０７ｘ、ＥＣＵ−Ａシナリオ定義情報１０７ＡおよびＥＣＵ−Ｂシナリオ定義情報１０７Ｂで定義された機能シーケンスの実行結果に関する情報を格納する。さらに、各シナリオ実行結果格納メモリ１０８ｘ、１０８Ａ、１０８Ｂには、互いに関係するＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４のそれぞれのＥＣＵ−Ｘシナリオ定義情報１０７ｘ、ＥＣＵ−Ａシナリオ定義情報１０７ＡおよびＥＣＵ−Ｂシナリオ定義情報１０７Ｂで定義された機能シーケンスの実行結果に関する情報を格納する。

例えば、シナリオ実行結果格納メモリ１０８ｘには、ＥＣＵ−Ｘ１０２のシナリオの実行結果やタイミング、制御値の中間生成値の情報だけでなく、ＥＣＵ−Ｘ１０２が機能を実行するために行った他のＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４との送受信の通信データ、ＥＣＵ−Ｘ１０２の処理に関係する他のＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４がどのシナリオ定義情報を実行し、その際にＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４が行った送受信の通信データなどを格納することができる。

各シナリオ実行結果格納メモリ１０８ｘ、１０８Ａ、１０８Ｂは、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３、ＥＣＵ−Ｂ１０４および監視ＥＣＵ１０５が共通でアクセスできるように外部の共有メモリを用いるようにしてもよい。この共有メモリは、例えば、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ−Ｏｎｌｙ Ｍｅｍｏｒｙ）等の不揮発メモリを使用することができる。外部の共有メモリを使用できない場合は、ＣＡＮやＦｌｅｘＲａｙ通信等の車載ネットワーク通信を用いて、監視ＥＣＵ１０５に全ての情報を集めるなど、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３、ＥＣＵ−Ｂ１０４および監視ＥＣＵ１０５のうちのどれか一つのＥＣＵがまとめて情報を持つような構成としてもよい。

さらに、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４には、異常対応処理部１０９ｘ、１０９Ａ、１０９Ｂがそれぞれ設けられている。各異常対応処理部１０９ｘ、１０９Ａ、１０９Ｂは、周辺のＥＣＵが所定の動作から逸脱したことを検知すると、その周辺のＥＣＵからの入力に対する安全処理を自身のＥＣＵ上で実行する。また、各異常対応処理部１０９ｘ、１０９Ａ、１０９Ｂは、周辺のＥＣＵからの入力に対して、その周辺のＥＣＵからの入力の指示通りに処理を実行したことを示す応答をその周辺のＥＣＵに返す。この時、各異常対応処理部１０９ｘ、１０９Ａ、１０９Ｂは、周辺のＥＣＵが所定の動作から逸脱したことを示す検知結果を監視ＥＣＵ１０５から取得することができる。

例えば、各異常対応処理部１０９ｘ、１０９Ａ、１０９Ｂは、周辺のＥＣＵの実行手順に異常があった場合は、自身のＥＣＵに対しては、正規の実行手順で機能を再実行し継続して動作させることができる。一方、各異常対応処理部１０９ｘ、１０９Ａ、１０９Ｂは、周辺のＥＣＵに対しては、異常な実行手順で機能が実行されたことを示す応答を返し、自身のＥＣＵ上で警告表示することができる。

また、各異常対応処理部１０９ｘ、１０９Ａ、１０９Ｂは、周辺のＥＣＵの制御値に異常があれば、自身のＥＣＵに対しては制御値を初期値に戻して動作させることができる。一方、各異常対応処理部１０９ｘ、１０９Ａ、１０９Ｂは、周辺のＥＣＵに対しては、異常な制御値で機能が実行されたことを示す応答を返し、自身のＥＣＵ上で警告表示することができる。

さらに、各異常対応処理部１０９ｘ、１０９Ａ、１０９Ｂは、通信項目に異常があれば、自身のＥＣＵに対しては該当の通信を遮断することができる。一方、各異常対応処理部１０９ｘ、１０９Ａ、１０９Ｂは、周辺のＥＣＵに対しては、通信項目に異常がある状態で機能が実行されたことを示す応答を返し、自身のＥＣＵ上で警告表示することができる。

監視ＥＣＵ１０５は、ＥＣＵ−Ｘ、Ａ、Ｂシナリオ定義情報１１０を保持する。ＥＣＵ−Ｘ、Ａ、Ｂシナリオ定義情報１１０は、ＥＣＵ−Ｘシナリオ定義情報１０７ｘ、ＥＣＵ−Ａシナリオ定義情報１０７ＡおよびＥＣＵ−Ｂシナリオ定義情報１０７Ｂを含むことができる。

また、監視ＥＣＵ１０５には、シナリオ実行結果判定処理部１１１が設けられている。シナリオ実行結果判定処理部１１１は、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４から、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４の動作状態を示す情報を収集する。そして、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４のＥＣＵ−Ｘ、Ａ、Ｂシナリオ定義情報１１０と、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４の動作状態を示す情報とを比較することにより、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４について、外部からの乗っ取りや、外部機器のなりすましによる不正操作等がないかを判定する。

監視ＥＣＵ１０５が、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４から情報を取得する方法としては、例えば、ＥＥＰＲＯＭ等の外部メモリがあれば、その外部メモリから取得することができる。外部メモリがない場合は、監視ＥＣＵ１０５とＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４との間のＣＡＮやＦｌｅｘＲａｙ通信などの車載ネットワーク通信を用いることができる。

その際、監視のための車載ネットワーク通信では、情報を送信するための専用のメッセージを用いるなど、通常の車載ネットワーク通信とは別に用意することができる。また、監視のための情報を取得するタイミングは、車載システムに合わせた任意のタイミングに設定することができる。例えば、特定の値が変化したタイミングや、異常と判断された場合に安全に異常処理を実行できるタイミングで情報を取得することができる。

さらに、監視ＥＣＵ１０５には、判定結果通知処理部１１２が設けられている。判定結果通知処理部１１２は、ＥＣＵ−Ｘ、Ａ、Ｂシナリオ定義情報１１０で定義された機能シーケンス通りにＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４の処理が実行されたかどうかを示す判定結果をＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４に通知する。

この時、監視ＥＣＵ１０５は、例えば、判定結果を通知するメッセージをＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４に送信するようにしてもよい。あるいは、監視ＥＣＵ１０５は、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４からアクセス可能な共通メモリに判定結果を格納するようにしてもよい。

図２は、図１のシナリオ定義情報の構成例を示す図である。
図２において、ＥＣＵ−Ｘシナリオ定義情報１０７ｘ、ＥＣＵ−Ａシナリオ定義情報１０７ＡおよびＥＣＵ−Ｂシナリオ定義情報１０７Ｂは、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３、ＥＣＵ−Ｂ１０４の乗っ取りまたは外部機器のなりすましによる不正操作を監視ＥＣＵ１０５が検知するために使用することができる。

ＥＣＵ−Ｘシナリオ定義情報１０７ｘ、ＥＣＵ−Ａシナリオ定義情報１０７ＡおよびＥＣＵ−Ｂシナリオ定義情報１０７Ｂのそれぞれは大きく分けて、機能の実行手順１１５、ＥＣＵで扱う重要な制御値の情報１１６およびＥＣＵとの通信項目の情報１１７という３つの情報で構成することができる。

機能の実行手順１１５は、特定の機能を実行するための処理の順番を示す情報、機能を実行する条件および機能を実行するタイミングを示す情報を含むことができる。特定の機能を実行するための処理の順番を示す情報は、例えば、実行完了フラグである。機能を実行する条件は、例えば、機能が実行できるステータスの情報である。機能を実行するタイミングは、例えば実行周期である。

監視ＥＣＵ１０５は、正規の手順で特定の機能が実行されているか確認するために機能の実行手順１１５を用いることができる。例えば、機能Ａを実行するための手順が“処理１⇒処理３⇒処理５”の場合、機能の実行手順１１５は、“処理１⇒処理３⇒処理５”の順番を示す実行完了フラグを変数で定義することができる。特定の機能を実行するための条件があれば、その実行条件として、例えば、“ステータスがアイドル状態の時”などの情報を定義することができる。特定の機能を周期的に実行するのであれば、実行周期情報として、例えば、“１００μｓｅｃ毎に機能を実行する”などの情報を定義することができる。

機能の実行手順１１５を定義することにより、ＥＣＵや外部から実行した機能が正しい条件下で実行されているか、監視ＥＣＵ１０５や監視対象以外の他のＥＣＵから確認および監視することができる。

ＥＣＵで扱う重要な制御値の情報１１６は、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４が特定の機能を実行する際に取り得る、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４が扱う制御値の項目、制御項目の制御値の変化に対する適正値、変化量（範囲）や上下限値および制御値が更新されるタイミング情報を含むことができる。

例えば、制御値は、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４がそれぞれ制御するアクチュエータ１０６ｘ、１０６Ａ、１０６Ｂやセンサ１００ｘ、１００Ａ、１００Ｂを制御するための値である。制御値は、不正な操作で改竄された場合、車載システムの安全上問題になるような重要な制御項目の値である。例えば、モータ制御に使用する電流値やバッテリ制御に使用する電圧値などの実際に出力される値や、他のＥＣＵに送信される値である。

ＥＣＵで扱う重要な制御値の情報１１６は、当該ＥＣＵが正しく動いているか外部から確認および監視が可能な情報で構成することができる。また、ＥＣＵで扱う重要な制御値の情報１１６は、通常、外部から改竄されない限り変更されない値、具体的には、ソフトウェアのバージョン情報なども含むことができる。また、制御値が更新されるタイミング情報は、制御値の更新周期情報、例えば１００μｓｅｃ毎などの情報で構成することができる。

各ＥＣＵとの通信項目の情報１１７は、各ＥＣＵと行う通信項目の情報で、例えば、メッセージＩＤや通信データ長、それらの情報の更新タイミングや更新間隔を含むことができる。各ＥＣＵとの通信項目の情報１１７は、例えば、メッセージＩＤ毎の通信周期情報などの外部から監視が可能な情報で構成することができる。

上述した３つの情報でＥＣＵ−Ｘ、Ａ、Ｂシナリオ定義情報１１０を構成することにより、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４の機能が正しく動作しているか判定するために、監視ＥＣＵ１０５が何を監視すればよいかを判断することが可能となる。監視ＥＣＵ１０５は、ＥＣＵ−Ｘ、Ａ、Ｂシナリオ定義情報１１０で定義された情報を確認および監視することにより、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４に対して乗っ取りや外部機器のなりすましによる不正操作がされていないかを判定することができる。

図３は、第１実施形態に係る車載セキュリティシステムの動作例を示すブロック図である。なお、図３では、ＥＣＵ−Ｘ１０２が攻撃対象ＥＣＵであるものとする。そして、ＥＣＵ−Ｘ１０２が所定の動作から逸脱したことを監視ＥＣＵ１０５が検知し、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、監視ＥＣＵ１０５の検知結果に基づいてＥＣＵ−Ｘ１０２からの入力に対する処理を実行する場合を例にとる。

図３において、ＥＣＵ−Ｘ１０２が攻撃対象ＥＣＵに設定されると、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４のそれぞれは、ＥＣＵ−Ａ、Ｘシナリオ定義情報１１７ＡおよびＥＣＵ−Ｂ、Ｘシナリオ定義情報１１７Ｂとして、自身のＥＣＵ−Ａシナリオ定義情報１０７ＡおよびＥＣＵ−Ｂシナリオ定義情報１０７Ｂを保持するだけでなく、ＥＣＵ−Ｘ１０２のＥＣＵ−Ｘシナリオ定義情報１０７ｘも保持する。

ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、ＥＣＵ−Ｘ１０２が攻撃対象ＥＣＵに設定された時に、ＥＣＵ−Ｘ１０２のＥＣＵ−Ｘシナリオ定義情報１０７ｘを監視ＥＣＵ１０５から取得するようにしてもよいし、ＥＣＵ−Ｘシナリオ定義情報１０７ｘを予め保持するようにししてもよい。

ＥＣＵ−Ｘ１０２は、外部機器１１３Ａまたは外部ネットワーク１１３Ｂから攻撃を受ける（Ｐ１）。ＥＣＵ−Ａ１０３、ＥＣＵ−Ｂ１０４および監視ＥＣＵ１０５は、ＥＣＵ−Ｘ１０２の動作状態を示す情報をＥＣＵ−Ｘ１０２から取得し記録する（Ｐ２〜Ｐ４）。この時、ＥＣＵ−Ａ１０３、ＥＣＵ−Ｂ１０４および監視ＥＣＵ１０５は、ＥＣＵ−Ｘ１０２のＥＣＵ−Ｘシナリオ定義情報１０７ｘを参照することにより、攻撃対象ＥＣＵに設定されたＥＣＵ−Ｘ１０２のどの情報を取得すればよいか判別することができる。

次に、監視ＥＣＵ１０５は、ＥＣＵ−Ａ１０３の動作状態を示す情報をＥＣＵ−Ａ１０３から収集し（Ｐ５）、ＥＣＵ−Ｂ１０４の動作状態を示す情報をＥＣＵ−Ｂ１０４から収集する（Ｐ６）。そして、監視ＥＣＵ１０５は、ＥＣＵ−Ｘ１０２のＥＣＵ−Ｘシナリオ定義情報１０７ｘと、ＥＣＵ−Ｘ１０２の動作状態を示す情報とを比較することにより、ＥＣＵ−Ｘ１０２について、外部からの乗っ取りや、外部機器のなりすましによる不正操作等がないかを判定する。また、監視ＥＣＵ１０５は、ＥＣＵ−Ａ１０３のＥＣＵ−Ａシナリオ定義情報１０７Ａと、ＥＣＵ−Ａ１０３の動作状態を示す情報とを比較することにより、ＥＣＵ−Ｘ１０２との通信に起因するＥＣＵ−Ａ１０３の不正操作等がないかを判定する。さらに、監視ＥＣＵ１０５は、ＥＣＵ−Ｂ１０４のＥＣＵ−Ｂシナリオ定義情報１０７Ｂと、ＥＣＵ−Ｂ１０４の動作状態を示す情報とを比較することにより、ＥＣＵ−Ｘ１０２との通信に起因するＥＣＵ−Ｂ１０４の不正操作等がないかを判定する。

そして、監視ＥＣＵ１０５は、ＥＣＵ−Ｘ１０２の不正操作等があるか、またはＥＣＵ−Ｘ１０２との通信に起因するＥＣＵ−Ａ１０３の不正操作等があるか、またはＥＣＵ−Ｘ１０２との通信に起因するＥＣＵ−Ｂ１０４の不正操作等があると判定した場合、ＥＣＵ−Ｘ１０２に異常があると判定し、その判定結果をＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４に通知する（Ｐ７、Ｐ８）。

ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、ＥＣＵ−Ｘ１０２の異常の判定結果を監視ＥＣＵ１０５から受け取ると、ＥＣＵ−Ｘ１０２から入力されたメッセージや制御値などに対する安全処理を自身のＥＣＵ上で実行する。また、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、ＥＣＵ−Ｘ１０２から入力されたメッセージや制御値などに対して、ＥＣＵ−Ｘ１０２から入力されたメッセージや制御値の通りに処理を実行したことを示す応答をＥＣＵ−Ｘ１０２に返す（Ｐ９、Ｐ１０）。さらに、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、ＥＣＵ−Ｘ１０２から入力されたメッセージや制御値などに対して、警告表示部１１４上で警告表示する（Ｐ１１、Ｐ１２）。

これにより、ＥＣＵ−Ｘ１０２に攻撃があった場合においても、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、ＥＣＵ−Ｘ１０２の攻撃に対してＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４の安全性を確保しつつ、攻撃者の指示通りに攻撃が実行されているように攻撃者に見せかけることができる。

また、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４のＥＣＵ−Ｘ、Ａ、Ｂシナリオ定義情報１１０と、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４の動作状態を示す情報とを比較することにより、異常な状態に陥ることや、異常な制御値または異常なメッセージＩＤを入出力することなく、ＥＣＵ−Ｘ１０２の不正操作が行われた場合においても、その不正操作を検知することができる。このため、ＨＳＭを持たないＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３、ＥＣＵ−Ｂ１０４および監視ＥＣＵ１０５を使用する車載システムであっても、車載システムの乗っ取りや、外部機器のなりすまし等のセキュリティ脅威に対処することができる。

また、攻撃対象として設定されたＥＣＵ−Ｘ１０２について、外部からの乗っ取りや、外部機器のなりすましによる不正操作等がないかを監視するために、ＥＣＵ−Ａ１０３、ＥＣＵ−Ｂ１０４および監視ＥＣＵ１０５は、ＥＣＵ−Ｘ１０２のＥＣＵ−Ｘシナリオ定義情報１０７ｘを保持すればよい。このため、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４の処理能力が低い等の理由でソフトウェアの機能追加が難しい場合においても、車載システムの乗っ取りや、外部機器のなりすまし等のセキュリティ脅威に対するセキュリティを保障することができる。

ここで、監視ＥＣＵ１０５は、攻撃対象として設定されたＥＣＵ−Ｘ１０２のＥＣＵ−Ｘシナリオ定義情報１０７ｘだけでなく、ＥＣＵ−Ａシナリオ定義情報１０７ＡおよびＥＣＵ−Ｂシナリオ定義情報１０７Ｂも保持している。これにより、監視ＥＣＵ１０５は、攻撃対象として設定されたＥＣＵ−Ｘ１０２の情報だけでなく、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４の情報を加味することができ、攻撃対象として設定されたＥＣＵ−Ｘ１０２が乗っ取られていないか、外部機器から不正操作されていないかをより高い精度で判定することができる。

例えば、攻撃者がＥＣＵ−Ｘ１０２を経由してＥＣＵ−Ａ１０３を不正操作するものとする。この時、監視ＥＣＵ１０５は、ＥＣＵ−Ａ１０３の動作状態を示す情報をＥＣＵ−Ａ１０３から取得し、ＥＣＵ−Ａ１０３のＥＣＵ−Ａシナリオ定義情報１０７Ａと、ＥＣＵ−Ａ１０３の動作状態を示す情報とを比較することにより、ＥＣＵ−Ｘ１０２との通信に起因するＥＣＵ−Ａ１０３の不正操作等がないかを判定することができる。

図４は、第１実施形態に係る車載セキュリティシステムの異常判定処理を示すフローチャートである。
図４のステップＳ１０１において、監視ＥＣＵ１０５は、攻撃対象として設定されたＥＣＵ−Ｘ１０２の異常判定処理を開始すると、ステップＳ１０２において、ＥＣＵ−Ｘ１０２からＥＣＵ−Ｘ１０２の動作状態を示す情報を取得する。

次に、ステップＳ１０３において、監視ＥＣＵ１０５は、ＥＣＵ−Ａ１０３からＥＣＵ−Ａ１０３の動作状態を示す情報を取得する。次に、ステップＳ１０４において、監視ＥＣＵ１０５は、ＥＣＵ−Ｂ１０４からＥＣＵ−Ｂ１０４の動作状態を示す情報を取得する。

次に、ステップＳ１０５において、監視ＥＣＵ１０５は、ステップＳ１０２〜Ｓ１０４で取得したＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４の動作状態を示す情報と、ＥＣＵ−Ｘ、Ａ、Ｂシナリオ定義情報１１０を比較する。そして、監視ＥＣＵ１０５は、ステップＳ１０２〜Ｓ１０４で取得したＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４の動作状態のいずれかを示す情報が、ＥＣＵ−Ｘ、Ａ、Ｂシナリオ定義情報１１０の内容から一定以上逸脱している場合、ＥＣＵ−Ｘ１０２に異常がある判定する。

次に、ステップＳ１０６において、監視ＥＣＵ１０５は、ステップＳ１０５で得られた判定結果をＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４に通知する。その後、ステップＳ１０７において、ＥＣＵ−Ｘ１０２の異常判定処理を終了する。

なお、監視ＥＣＵ１０５によるＥＣＵ−Ｘ１０２の異常判定は、任意のタイミングで実行が可能だが、乗っ取りや外部機器からのなりすましによる不正操作に対して、安全に対処できるタイミングで実行することが望ましい。例えば、基準となる特定の値が変化したタイミング、機能を実施する制御周期、または機能安全のＦＴＴＩ（Ｆａｕｌｔ Ｔｏｌｅｒａｎｔ Ｔｉｍｅ Ｉｎｔｅｒｖａｌ）などのタイミングで実行することができる。基本的には、車載システムの処理負荷に影響が少なく、かつセキュリティが保障できるタイミングで実行することが望ましい。

図５は、第１実施形態に係る車載セキュリティシステムのシナリオ実行結果判定処理を示すフローチャートである。なお、図５の処理は、図４のステップＳ１０５の処理で実行することができる。
図５のステップＳ２０１において、シナリオ実行結果判定処理部１１１は、シナリオ実行結果判定処理を開始すると、ステップＳ２０２において、実行手順の確認を行う。ここで、シナリオ実行結果判定処理部１１１は、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４から取得したＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４の動作時の実行手順情報と、ＥＣＵ−Ｘ、Ａ、Ｂシナリオ定義情報１１０で定義された機能の実行手順１１５を比較する。

そして、シナリオ実行結果判定処理部１１１は、ＥＣＵ−Ｘシナリオ定義情報１０７ｘの機能の実行手順１１５に登録された実行手順通りにＥＣＵ−Ｘ１０２の機能が実行されているかを確認することにより、ＥＣＵ−Ｘ１０２に異常がないかを判定する。また、シナリオ実行結果判定処理部１１１は、ＥＣＵ−Ｘ１０２からＥＣＵ−Ａ１０３に送信された送信データに基づいてＥＣＵ−Ａシナリオ定義情報１０７Ａの機能の実行手順１１５に登録された実行手順通りにＥＣＵ−Ａ１０３の機能が実行されているかを確認することにより、ＥＣＵ−Ｘ１０２に異常がないかを判定する。さらに、シナリオ実行結果判定処理部１１１は、ＥＣＵ−Ｘ１０２からＥＣＵ−Ｂ１０４に送信された送信データに基づいてＥＣＵ−Ｂシナリオ定義情報１０７Ｂの機能の実行手順１１５に登録された実行手順通りにＥＣＵ−Ｂ１０４の機能が実行されているかを確認することにより、ＥＣＵ−Ｘ１０２に異常がないかを判定する。

シナリオ実行結果判定処理部１１１は、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３、ＥＣＵ−Ｂ１０４のいずれかの機能の実行が、ＥＣＵ−Ｘ、Ａ、Ｂシナリオ定義情報１１０の機能の実行手順１１５に登録された実行手順から一定以上逸脱している場合、ＥＣＵ−Ｘ１０２に異常があると判定することができる。

ＥＣＵ−Ｘ、Ａ、Ｂシナリオ定義情報１１０の機能の実行手順１１５に登録された実行手順通りにＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３、ＥＣＵ−Ｂ１０４のそれぞれの機能が実行されているかどうかを判断するために、例えば、機能の実行手順１１５で定義された実行可否を示す実行完了フラグが全て揃っているか、機能の実行手順１１５で定義された機能を実行する際のステータスは正しいか、機能の実行手順１１５で定義された指定の周期で実行しているかを判定することができる。

次に、ステップＳ２０３において、シナリオ実行結果判定処理部１１１は、制御値の変化の確認を行う。ここで、シナリオ実行結果判定処理部１１１は、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４から取得したＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４の動作時の制御値情報と、ＥＣＵ−Ｘ、Ａ、Ｂシナリオ定義情報１１０で定義されたＥＣＵで扱う重要な制御値の情報１１６を比較し、ＥＣＵ−Ｘ１０２に異常がないかを判定する。これらの比較対象の具体例は、制御値の項目、制御項目の制御値の変化に対する適正値、変化量（範囲）や上下限値、制御値が更新されるタイミング情報である。

シナリオ実行結果判定処理部１１１は、ＥＣＵ−Ｘ１０２から取得した制御値情報が、ＥＣＵ−Ｘシナリオ定義情報１０７ｘに登録されたＥＣＵで扱う重要な制御値の情報１１６から一定以上逸脱している場合、ＥＣＵ−Ｘ１０２に異常がある判定することができる。また、シナリオ実行結果判定処理部１１１は、ＥＣＵ−Ａ１０３から取得した制御値情報が、ＥＣＵ−Ａシナリオ定義情報１０７Ａに登録されたＥＣＵで扱う重要な制御値の情報１１６から一定以上逸脱している場合、その逸脱がＥＣＵ−Ｘ１０２からＥＣＵ−Ａ１０３に送信された送信データに起因する場合、ＥＣＵ−Ｘ１０２に異常がある判定することができる。さらに、シナリオ実行結果判定処理部１１１は、ＥＣＵ−Ｂ１０４から取得した制御値情報が、ＥＣＵ−Ｂシナリオ定義情報１０７Ｂに登録されたＥＣＵで扱う重要な制御値の情報１１６から一定以上逸脱している場合、その逸脱がＥＣＵ−Ｘ１０２からＥＣＵ−Ａ１０４に送信された送信データに起因する場合、ＥＣＵ−Ｘ１０２に異常がある判定することができる。

制御値情報の比較では、例えば、ＥＣＵ−Ｘシナリオ定義情報１０７ｘのＥＣＵで扱う重要な制御値の情報１１６で指定している値と、ＥＣＵ−Ｘ１０２の実際の制御値がそれぞれ一致しているか、ＥＣＵ−Ｘ１０の制御値が一定時間上限値に張り付いていないか、ＥＣＵ−Ｘ１０２の制御値の変化量が適切かを判定することができる。

具体的には、ＥＣＵ−Ｘ１０２の制御値が通常１０ずつ増加する場合、その制御値がその通り増加しているか、２周期に１回更新される制御値の場合、その制御値が指定の周期で更新されているかを判定することができる。

次に、ステップＳ２０４において、シナリオ実行結果判定処理部１１１は、通信項目の変化の確認を行う。ここで、シナリオ実行結果判定処理部１１１は、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４から取得したＥＣＵ−Ｘ１０２の通信項目の内容と、ＥＣＵ−Ｘ、Ａ、Ｂシナリオ定義情報１１０で定義された各ＥＣＵとの通信項目の情報１１７を比較し、ＥＣＵ−Ｘ１０２に異常がないかを判定する。

シナリオ実行結果判定処理部１１１は、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４から取得したＥＣＵ−Ｘ１０２の通信項目の内容が、ＥＣＵ−Ｘ、Ａ、Ｂシナリオ定義情報１１０に登録された各ＥＣＵとの通信項目の情報１１７から一定以上逸脱している場合、ＥＣＵ−Ｘ１０２に異常がある判定することができる。

通信項目の情報の比較では、例えば、特定のメッセージＩＤの通信回数が増えていないか、同じデータが続いていないか、データ長は適切か、指定の周期で通信を実施しているかなどを判定する。

次に、ステップＳ２０５において、シナリオ実行結果判定処理部１１１は、ステップＳＳ２０２〜ステップＳ２０４で確認した結果に異常がないか判定する。もし、異常がある場合は、ステップＳ２０６において、異常判定結果を格納する。ステップＳ２０２〜ステップＳ２０４の確認で異常がない場合は、ステップＳ２０７でシナリオ実行結果判定処理を終了する。

ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４が、図４のステップＳ１０５で得られた判定結果を監視ＥＣＵ１０５から受信すると、図１の異常対応処理部１０９Ａ、１０９Ｂは、図６の異常対応処理１０９を実行する。

図６は、第１実施形態に係る車載セキュリティシステムの異常対応処理の内容を示すブロック図である。
図６において、異常対応処理１０９は、ＥＣＵステータス判定処理１２０、機能レベル定義情報１２１、機能レベル毎対応処理１２２、警告表示処理１２３およびダミー応答処理１２４を備える。

ＥＣＵステータス判定処理１２０は、監視ＥＣＵ１０５から通知されたＥＣＵ−Ｘ１０２の異常判定結果を確認する。例えば、ＥＣＵステータス判定処理１２０は、車載ネットワーク１０１上のＥＣＵ−Ｘ１０２が正常か異常かを示すフラグを確認する。そして、異常対応処理部１０９Ａ、１０９Ｂは、正常であれば正規の処理を実施し、異常であれば異常に応じた処理を実行する。

機能レベル定義情報１２１は、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４が持つ機能を、機能の実行周期などの処理間隔を基にカテゴリ分けする。もし、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４に異常が生じた場合、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４が全ての機能に対し異常対応処理を実行すると、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４の処理負荷が増加し、重要な機能に対して理想の異常対応処理ができない可能性がある。

そこで、各機能の実行周期などの処理間隔による機能レベルを機能レベル定義情報１２１で定義することにより、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、異常対応処理までの時間を有効に使用することが可能となる。例えば、モータ回転数制御や高電圧制御など処理周期が短い機能を機能レベル高とする。バッテリの充電など処理周期が機能レベル高の機能より長い機能を機能レベル中とする。ワイパーやウィンドの動作など処理周期が機能レベル中の機能より長い機能を機能レベル低とする。機能レベル定義情報１２１は、これらの機能情報をデータベースとして定義する。

また、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４ＥＣＵの機能上、異常が発生すると安全上の影響が大きいなどの機能は、実行周期が長くても、実行周期の機能レベルよりも高い機能レベルに定義することも可能である。機能レベルの定義に使用する基準として、機能の実行周期または機能の重要度以外にも、別の基準を使用するようにしてもよい。

機能レベル毎対応処理１２２は、機能レベル定義情報１２１で定義した機能レベルに合わせた処理を実行する。例えば、機能レベル高の処理の場合、異常に対応するための時間の余裕が少ないため、初期値や前回値などを使用し、処理時間優先で実行する。機能レベル中および機能レベル低の処理の場合、ＥＣＵ−Ｘ１０２から送信されたデータをチェックし、そのデータに問題がなければ通常処理を実施するなど、処理負荷を増加させないような異常処理を実行する。機能レベル中と機能レベル低の処理の差として、ＥＣＵ−Ｘ１０２から送信されたデータをチェックする際の判定に用いる閾値に差を設けることで機能レベルに対する異常対応処理に差を設けることができる。判定に用いる閾値の例として、例えば、機能レベル中の処理の場合、本来の値の範囲は１〜１０だが、３〜７の中間値の範囲とするなど、上限でも下限でもなく確実に動作できる範囲の値のみ通常処理を実行できるように定義する。

警告表示処理１２３は、外部機器１１３Ａおよび外部ネットワーク１１３Ｂと接続しない外部機器のなりすましや外部からの乗っ取りのリスクの低いＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４で警告表示を実行する。実際に制御を実行するＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４が警告表示処理１２３を直接実行することにより、外部機器のなりすましや外部からの乗っ取りにより異常状態になったＥＣＵ−Ｘ１０２を介することなく、警告表示することができる。また、警告表示処理１２３は、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４からの出力のみとし、外部からの入力をなくすことにより、外部機器のなりすましや外部からの乗っ取りのリスクを抑えることができる。

ダミー応答処理１２４は、外部機器のなりすましや外部からの乗っ取りなど異常状態にあるＥＣＵ−Ｘ１０２から送信されたデータに対して、あたかも送信されたデータを使用してＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４が機能や処理を実行したようにＥＣＵ−Ｘ１０２に応答（ダミー応答と言う）を返す。例えば、本来、ＥＣＵ−Ａ１０３がデータ値１０で実行する機能に対して、ＥＣＵ−Ｘ１０２からＥＣＵ−Ａ１０３にデータ値１５が送信されたものとする。この時、ＥＣＵ−Ａ１０３内部では実際にはデータ値１０で機能を実行するが、ＥＣＵ−Ｘ１０２からのデータ値１５の送信に対するＥＣＵ−Ｘ１０２への応答では、データ値１５で実行したように見せかける応答をＥＣＵ−Ｘ１０２に返す。

これにより、ＥＣＵ−Ｘ１０２への攻撃に対し、車載システムが攻撃者の支配下にあると錯覚させつつ、実際には攻撃者の支配下から逃れることができる。このため、攻撃に失敗した時の攻撃者からの更なる攻撃や別の手段による新たな攻撃を防ぎ、その間に車載システムを安全な状態にするための処理を実行する時間を稼ぐことが可能となる。

図７は、第１実施形態に係る車載セキュリティシステムの異常対応処理を示すフローチャートである。
図７のステップＳ３０１において、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、異常対応処理を開始すると、ステップＳ３０２において、ＥＣＵ−Ｘ１０２から送信されたメッセージデータを取得する。この時、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、ＥＣＵ−Ｘ１０２からの入力に対し、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４の機能の実行に必要なデータを取得する。ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、例えば、メッセージバッファにあるデータを取得するようにしてもよいし、データ授受のインタフェース機能を使用して取得するようにしてもよいし、グローバルメモリに格納されたデータを取得するようにしてもよい。

次に、ステップＳ３０３において、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、図４のステップＳ１０６で監視ＥＣＵ１０５から通知された判定結果に基づいて、ステップＳ３０２で取得したメッセージデータの送信元のＥＣＵ−Ｘ１０２のステータスを判定する。例えば、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、監視ＥＣＵ１０５から送信されたＥＣＵ−Ｘ１０２の状態を示すメッセージや、ＥＣＵ−Ｘ１０２のステータスが格納された共通メモリなどからＥＣＵ−Ｘ１０２の状態を取得し、その状態を基にＥＣＵ−Ｘ１０２が正常か異常かを判定する。

ステップＳ３０３の判定結果が正常状態の場合、ステップＳ３０４に進み、通常処理を実行する。一方、ステップＳ３０３の判定結果が異常状態つまりＥＣＵ−Ｘ１０２に対して外部機器のなりすましや外部からの乗っ取りがある場合、ステップＳ３０５に進み、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４が実行する機能の機能レベルを判定する。

次に、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、ステップＳ３０５で判定した機能レベルに合わせた処理を実行する。すなわち、判定結果が機能レベル高の時、ステップＳ３０６において機能レベル高の処理を実行する。判定結果が機能レベル中の時、ステップＳ３０７において機能レベル中の処理を実行する。判定結果が機能レベル低の時、ステップＳ３０８において機能レベル低の処理を実行する。

例えば、今回実行する制御がモータ回転数制御である場合、モータ回転数制御がどの機能レベルに属するかを判定する。そして、モータ回転数制御が機能レベル高として定義されている場合、機能レベル高の処理を実行する。

次に、ステップＳ３０９において、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、必要に応じてユーザに対し警告表示を実行する。この時、例えば、ユーザに異常内容を通知し、ユーザが対策を選択できるようにしてもよい。あるいは、発生した異常毎に警告ランプの点灯やディスプレイによるメッセージ表示などを行い、ユーザに対応を促すようにしてもよい。

次に、ステップＳ３１０において、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、攻撃者が指定したデータを使用して機能を実行したように見せかけるダミー応答用データを作成する。例えば、本来、データ値１０で実行する機能に対して、データ値１５がＥＣＵ−Ｘ１０２から送信された場合、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４内部ではデータ値１０で機能を実行したにもかかわらず、応答メッセージとしては、データ値１５で実行したことを示すダミー応答用データを作成する。

次に、ステップＳ３１１において、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、ＥＣＵ−Ｘ１０２の通常状態または異常状態に応じて作成された応答をＥＣＵ−Ｘ１０２に返し、ステップＳ３１２で異常対応処理を終了する。ＥＣＵ−Ｘ１０２に応答を返す場合、例えば、車載ネットワーク１０１のプロトコルまたはインタフェース機能を用いることができる。

図８は、図７の機能レベル高処理を示すフローチャートである。
図８のステップＳ４０１において、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、機能レベル高の処理を開始すると、ステップＳ４０２において、安全処理を実行する。安全処理では、外部からの乗っ取りまたは外部機器のなりすましによる不正操作により送信されたデータ値が無効になるような対策処理を実行することができる。例えば、正規の手順で機能を再実行したり、制御値や取得したデータ値を初期値に変更し動作を継続させたり、動作上問題のない値（中間値等）に設定し動作させたりすることができる。Ｓ４０２の安全処理を実行すると、ステップＳ４０３において、機能レベル高の処理を終了する。

機能レベル高の機能は、処理の実行周期が短く重要な機能が多いため、処理をシンプルにして処理時間を短くし、安全かつ確実に処理を実行することができるデータ値を使用するような処理が望ましい。

図９は、図７の機能レベル中処理および機能レベル低処理を示すフローチャートである。
図９のステップＳ５０１において、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、機能レベル中および機能レベル低の処理を開始すると、ステップＳ５０２において、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４が使用するデータの確認を行う。ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４が使用するデータの値が適正範囲かつ異常なしの場合、ステップＳ５０３において通常処理を実行する。一方、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４が使用するデータの値が適正範囲外または異常ありの場合は、ステップＳ５０４において安全処理を実行する。ステップＳ５０３の通常処理またはステップＳ５０４の安全処理を実行すると、ステップＳ５０５において機能レベル中または機能レベル低の処理を終了する。

機能レベル中および機能レベル低の処理は、基本的に処理フローは同じであるが、ステップＳ５０２の使用データの確認で使用する判定値の閾値が異なる。例えば、機能レベル中の処理の場合、データ値の±５まで許容するが、機能レベル低の処理の場合はデータ値の±１０まで許容することができる。もしくは、通常の異常判定と同じ閾値などとし、判定値に差を設けるようにしてもよい。機能レベルに応じて判定基準に差を設けることで、安全処理までの時間を確保し、処理周期が短く優先度の高い機能の安全処理を優先的に実行することができる。

上述した第１実施形態では、監視ＥＣＵ１０５は、ＥＣＵ−Ｘ１０２の状態を判定するために、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４から情報を取得する方法について説明したが、ＥＣＵ−Ｘ１０２のみから情報を取得するようにしてもよいし、ＥＣＵ−Ａ１０３のみから情報を取得するようにしてもよいし、ＥＣＵ−Ｂ１０４のみから情報を取得するようにしてもよいし、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４から情報を取得するようにしてもよい。あるいは、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４からだけではなく、それ以上の数のＥＣＵから情報を取得し、ＥＣＵ−Ｘ１０２の異常を判定するようにしてもよい。ＥＣＵから取得する情報が多ければ多いほど、外部からの乗っ取りや外部機器のなりすましによる不正操作の判定精度を向上させることができる。

また、上述した第１実施形態では、監視ＥＣＵ１０５が、ＥＣＵ−Ｘ１０２の異常を判定し、その判定結果をＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４に通知する方法について説明したが、監視ＥＣＵ１０５が持つ機能をＥＣＵ−Ａ１０３またはＥＣＵ−Ｂ１０４に組込み、ＥＣＵ−Ａ１０３またはＥＣＵ−Ｂ１０４がＥＣＵ−Ｘ１０２の異常を判定するようにしてもよい。この時、監視ＥＣＵ１０５を省略することができる。監視ＥＣＵ１０５を省略した場合、複数のＥＣＵの情報を用いることでＥＣＵ−Ｘ１０２の異常を判定するようにしてもよい。複数のＥＣＵの情報を用いる場合、１個でも異常判定したＥＣＵがあれば、ＥＣＵ−Ｘ１０２に異常があると判定するようにしてもよいし、全てのＥＣＵが異常判定した時にＥＣＵ−Ｘ１０２に異常があると判定するようにしてもよいし、複数のＥＣＵの多数決によってＥＣＵ−Ｘ１０２の異常を判定するようにしてもよい。

以上説明したように、上述した第１実施形態によれば、車載ネットワークを介して複数のＥＣＵが接続された車載システム上において、正常な制御値で制御され、動作異常と判定されないような車載システムの外部からの乗っ取りや外部機器のなりすましによる不正操作等のセキュリティ脅威に対して、外部からの乗っ取りや外部機器のなりすましによる不正操作を検知し、その不正操作に対する処理を攻撃者に知られないようすることが可能となり、攻撃者からの攻撃に対して、車載システムを安全に動作させるための時間を確保することが可能となる。

以下、通常の車載ネットワークとは別に、外部と接続されないバックアップ用の車載ネットワークを持つ第２実施形態について説明する。なお、異常の検知の方法や対処方法については、第１実施形態と同様の仕組みを持つことができる。

図１０は、第２実施形態に係る車載セキュリティシステムの構成を示すブロック図である。
図１０の構成では、図３のＥＣＵ−Ａ１０３、ＥＣＵ−Ｂ１０４および監視ＥＣＵ１０５の代わりに、ＥＣＵ−Ａ２０３、ＥＣＵ−Ｂ２０４および監視ＥＣＵ２０５を備える。また、図１０の構成では、図３の車載ネットワーク１０１と別に、外部機器１１３Ａおよび外部ネットワーク１１３Ｂと接続されないバックアップ用の車載ネットワーク１２５（以降、バックアップネットワークと称す）を備える。

バックアップネットワーク１２５は、外部機器１１３Ａおよび外部ネットワーク１１３Ｂと接続されないＥＣＵ−Ａ２０３、ＥＣＵ−Ｂ２０４および監視ＥＣＵ２０５のみを含み、外部機器１１３Ａおよび外部ネットワーク１１３Ｂと接続されるＥＣＵ−Ｘ１０２を含まない。このため、バックアップネットワーク１２５は、外部機器のなりすましや外部からの乗っ取りの発生リスクが少ないセキュアな車載ネットワークである。

ＥＣＵ−Ａ２０３、ＥＣＵ−Ｂ２０４および監視ＥＣＵ２０５は、ＥＣＵ−Ｘ１０２に異常がない場合は、車載ネットワーク１０１を用いて通信を実行することができる。ＥＣＵ−Ａ２０３、ＥＣＵ−Ｂ２０４および監視ＥＣＵ２０５は、ＥＣＵ−Ｘ１０２に異常がある場合は、ＥＣＵ−Ｘ１０２との間では車載ネットワーク１０１を用いて通信を実行し、ＥＣＵ−Ａ２０３、ＥＣＵ−Ｂ２０４および監視ＥＣＵ２０５間ではバックアップネットワーク１２５を用いて通信を実行することができる。ＥＣＵ−Ａ２０３、ＥＣＵ−Ｂ２０４および監視ＥＣＵ２０５のその他の構成については、ＥＣＵ−Ａ１０３、ＥＣＵ−Ｂ１０４および監視ＥＣＵ１０５と同様である。

例えば、ＥＣＵ−Ｘ１０２が外部機器のなりすましや外部からの乗っ取りをされた場合、ＥＣＵ−Ａ２０３、ＥＣＵ−Ｂ２０４および監視ＥＣＵ２０５は、異常状態にあるＥＣＵ−Ｘ１０２が接続されている車載ネットワーク１０１に対しては、ダミー応答を常に送信し、バックアップネットワーク１２５にのみ正常なデータを送信することができる。このように、外部からの脅威がない独立したバックアップネットワーク１２５を備えることで、通信データ中に不正データと正常データが混在するのを防止することができ、セキュアな通信を行うことができる。また、不正データによる脅威に晒されるリスクを減らすことができ、処理負荷を軽減することも可能となる。

図１１は、第３実施形態に係る車載セキュリティシステムの異常対応処理を示すフローチャートである。
図１１のステップＳ６０１において、ＥＣＵ−Ａ２０３およびＥＣＵ−Ｂ２０４は、異常対応処理を開始すると、ステップＳ６０２において、ＥＣＵ−Ｘ１０２から送信されたメッセージデータを取得する。この時、ＥＣＵ−Ａ２０３およびＥＣＵ−Ｂ２０４は、ＥＣＵ−Ｘ１０２からの入力に対し、ＥＣＵ−Ａ２０３およびＥＣＵ−Ｂ２０４の機能の実行に必要なデータを取得する。

次に、ステップＳ６０３において、ＥＣＵ−Ａ１０３およびＥＣＵ−Ｂ１０４は、監視ＥＣＵ２０５から通知された判定結果に基づいて、ステップＳ６０２で取得したメッセージデータの送信元のＥＣＵ−Ｘ１０２のステータスを判定する。

ステップＳ６０３の判定結果が正常状態の場合、ステップＳ６０４に進み、通常処理を実行する。一方、ステップＳ６０３の判定結果が異常状態である場合、ステップＳ６０５に進み、ＥＣＵ−Ａ２０３およびＥＣＵ−Ｂ２０４が実行する機能の機能レベルを判定する。

次に、ＥＣＵ−Ａ２０３およびＥＣＵ−Ｂ２０４は、ステップＳ６０５で判定した機能レベルに合わせた処理を実行する。すなわち、判定結果が機能レベル高の時、ステップＳ６０６において機能レベル高の処理を実行する。判定結果が機能レベル中の時、ステップＳ６０７において機能レベル中の処理を実行する。判定結果が機能レベル低の時、ステップＳ６０８において機能レベル低の処理を実行する。

次に、ステップＳ６０９において、ＥＣＵ−Ａ２０３およびＥＣＵ−Ｂ２０４は、必要に応じてユーザに対し警告表示を実行する。この時、例えば、ユーザに異常内容を通知し、ユーザが対策を選択できるようにしてもよい。あるいは、発生した異常毎に警告ランプの点灯やディスプレイによるメッセージ表示などを行い、ユーザに対応を促すようにしてもよい。

次に、ステップＳ６１０において、ＥＣＵ−Ａ２０３およびＥＣＵ−Ｂ２０４は、バックアップネットワーク１２５を介し、ステップＳ６０５で判定した機能レベル毎対応処理に必要な値を送信または受信する通信処理を実行する。

次に、ステップＳ６１１において、ＥＣＵ−Ａ２０３およびＥＣＵ−Ｂ２０４は、攻撃者が指定したデータを使用して機能を実行したように見せかけるダミー応答用データを作成する。

次に、ステップＳ６１２において、ＥＣＵ−Ａ２０３およびＥＣＵ−Ｂ２０４は、ＥＣＵ−Ｘ１０２の通常状態または異常状態に応じて作成された応答をＥＣＵ−Ｘ１０２に返し、ステップＳ６１３で異常対応処理を終了する。ＥＣＵ−Ｘ１０２に応答を返す場合、例えば、車載ネットワーク１０１のプロトコルまたはインタフェース機能を用いることができる。

以上説明したように、上述した第２実施形態によれば、車載ネットワークを介して複数のＥＣＵが接続された車載システム上において、正常な制御値で制御され、動作異常と判定されないような車載システムの外部からの乗っ取りや外部機器のなりすましによる不正操作等のセキュリティ脅威に対して、外部からの乗っ取りや外部機器のなりすましによる不正操作を検知し、その不正操作に対する処理を攻撃者に知られないようにして、車載システムを安全に動作させるための時間を確保することが可能となるだけでなく、不正操作されたＥＣＵが接続されない独立したネットワークを使用することにより、不正データと正常データを混在させないセキュアな通信を実現することができる。

図１２は、第３実施形態に係る車載セキュリティシステムの構成を示すブロック図である。
図１２の構成では、図３のＥＣＵ−Ａ１０３、ＥＣＵ−Ｂ１０４および監視ＥＣＵ１０５の代わりに、ＥＣＵ−Ａ３０３、ＥＣＵ−Ｂ３０４および監視ＥＣＵ３０５を備える。また、図１２の構成では、図３の車載ネットワーク１０１の代わりに、車載ネットワーク１２６、１２７、３０１、３２５およびゲートウェイ１２８、１２９を備える。

車載ネットワーク１２６、１２７、３０１、３２５はそれぞれ独立して設けられている。ＥＣＵ−Ｘ１０２と監視ＥＣＵ３０５とは、車載ネットワーク３０１、３２５をそれぞれ介して２重に接続されている。ＥＣＵ−Ａ３０３とＥＣＵ−Ｂ３０４とは、車載ネットワーク１２６、１２７をそれぞれ介して２重に接続されている。車載ネットワーク３０１、１２６は、ゲートウェイ１２８を介して接続されている。車載ネットワーク３２５、１２７は、ゲートウェイ１２９を介して接続されている。

監視ＥＣＵ３０５は、ゲートウェイ１２８、１２９を切替制御する。ＥＣＵ−Ａ３０３およびＥＣＵ−Ｂ３０４は、ＥＣＵ−Ｘ１０２に異常がない場合は、車載ネットワーク１２６を介して通信を実行し、ＥＣＵ−Ｘ１０２に異常がある場合は、車載ネットワーク１２６を介してＥＣＵ−Ｘ１０２および監視ＥＣＵ３０５と通信を実行し、車載ネットワーク１２７を介してＥＣＵ−Ａ３０３とＥＣＵ−Ｂ３０４との間で通信を実行することができる。ＥＣＵ−Ａ３０３、ＥＣＵ−Ｂ３０４および監視ＥＣＵ３０５のその他の構成については、ＥＣＵ−Ａ１０３、ＥＣＵ−Ｂ１０４および監視ＥＣＵ１０５と同様である。

ＥＣＵ−Ｘ１０２に異常がない場合、ＥＣＵ−Ｘ１０２、ＥＣＵ−Ａ３０３、ＥＣＵ−Ｂ３０４および監視ＥＣＵ３０５は、車載ネットワーク３０１、１２６を介して通信を行う。ＥＣＵ−Ｘ１０２が乗っ取られていることを監視ＥＣＵ３０５が検出すると、監視ＥＣＵ３０５は、ＥＣＵ−Ａ３０３、ＥＣＵ−Ｂ３０４に対して車載ネットワーク１２７、３２５間の接続を切断する旨を通知する。また、監視ＥＣＵ３０５は、ゲートウェイ１２９に対し、車載ネットワーク１２７、３２５間の接続を切断するように指示する。監視ＥＣＵ３０５から通知を受けたＥＣＵ−Ａ３０３、ＥＣＵ−Ｂ３０４は、通常の応答を車載ネットワーク１２７に返し、ＥＣＵ−Ｘ１０２へのダミー応答を車載ネットワーク１２６に返す。

これにより、ＥＣＵ−Ａ３０３、ＥＣＵ−Ｂ３０４は、ダミー応答が流れる範囲を車載ネットワーク１２６、３０１に限定しつつ、ＥＣＵ−Ｘ１０２と切断された車載ネットワーク１２７を介して正常動作を継続することができ、システムの安定性を向上させることができる。

図１３は、第４実施形態に係る車載セキュリティシステムに用いられるＥＣＵのハードウェア構成を示すブロック図である。
図１３において、ＥＣＵ１０には、プロセッサ１１、通信制御デバイス１２、通信インタフェース１３、主記憶デバイス１４、外部記憶デバイス１５および入出力インタフェース１７が設けられている。プロセッサ１１、通信制御デバイス１２、通信インタフェース１３、主記憶デバイス１４、外部記憶デバイス１５よび入出力インタフェース１７は、内部バス１６を介して相互に接続されている。主記憶デバイス１４および外部記憶デバイス１５は、プロセッサ１１からアクセス可能である。

また、ＥＣＵ１０の外部には、センサ２０、表示部３０およびアクチュエータ４０が設けられている。センサ２０、表示部３０およびアクチュエータ４０は、入出力インタフェース１７を介して内部バス１６に接続されている。センサ２０は、例えば、空気吸入量を検出するエアフローメータ、吸気管圧力を検出する圧力センサ、スロットル開度を検出するスロットルセンサ、エンジン回転数を検出する回転数センサである。表示部３０は、ネットワーク１９を介して接続されている他のＥＣＵの乗っ取りなどが行われた時に警告メッセージなどを表示したり、ユーザが選択できる対策などを表示したりする。アクチュエータ４０は、自車両のエンジン、変速機、ブレーキおよびステアリングなどを操作することで、自車両の加減速、制動および操舵などを実行する。

プロセッサ１１は、ＥＣＵ１０全体の動作制御を司るハードウェアである。主記憶デバイス１４は、例えば、ＳＲＡＭまたはＤＲＡＭなどの半導体メモリから構成することができる。主記憶デバイス１４には、プロセッサ１１が実行中のプログラムを格納したり、プロセッサ１１がプログラムを実行するためのワークエリアを設けることができる。

外部記憶デバイス１５は、大容量の記憶容量を有する記憶デバイスであり、例えば、ハードディスク装置、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）またはフラッシュメモリである。外部記憶デバイス１５は、各種プログラムの実行ファイルやプログラムの実行時に用いられるデータを保持することができる。

ＥＣＵ１０が、図１のＥＣＵ−Ａ１０３またはＥＣＵ−Ｂ１０４である場合、外部記憶デバイス１５には、攻撃対処プログラム１５Ａ、シナリオ定義情報１５Ｂおよび機能レベル定義情報１５Ｃを格納することができる。攻撃対処プログラム１５Ａは、ＥＣＵ１０にインストール可能なソフトウェアであってもよいし、ＥＣＵ１０にファームウェアとして組み込まれていてもよい。

通信制御デバイス１２は、外部との通信を制御する機能を有するハードウェアである。通信制御デバイス１２は、通信インタフェース１３を介してネットワーク１９に接続される。ネットワーク１９は、ＣＡＮ、ＦｌｅｘＲａｙ、ＬＩＮ、Ｅｔｈｅｒｎｅｔなどの車載ネットワークを用いることができる。

プロセッサ１１が攻撃対処プログラム１５Ａおよび機能レベル定義情報１５Ｃを主記憶デバイス１４に読み出し、機能レベル定義情報１５Ｃを参照しつつ攻撃対処プログラム１５Ａを実行することにより、図７の異常対応処理を実現することができる。

１００ｘ、１００Ａ、１００Ｂ…センサ、１０１…車載ネットワーク、１０２…ＥＣＵ−Ｘ、１０３…ＥＣＵ−Ａ、１０４…ＥＣＵ−Ｂ、１０５…監視ＥＣＵ、１０６ｘ、１０６Ａ、１０６Ｂ…アクチュエータ、１０７ｘ、１０７Ａ、１０７Ｂ、１１０…シナリオ定義情報、１０８ｘ、１０８Ａ、１０８Ｂ…シナリオ実行結果格納メモリ、１０９ｘ、１０９Ａ、１０９Ｂ…異常対応処理部、１１１…シナリオ実行結果判定処理部、１１２…判定結果通知処理部、１１３Ａ…外部機器、１１３Ｂ…外部ネットワーク、１１４…警告表示部

Claims (15)

1. 第１電子制御装置と、
   前記第１電子制御装置と通信可能な第２電子制御装置とを備え、
   前記第２電子制御装置は、
   前記第１電子制御装置からの入力に対する第１処理を実行し、
   前記入力に対して前記第１処理と異なる第２処理を実行したことを示す応答を前記第１電子制御装置に返す車載セキュリティシステム。
2. 前記第２電子制御装置は、
   前記第１電子制御装置が所定の動作から逸脱したことを検知し、
   前記検知結果に基づいて前記第１電子制御装置からの入力に対する前記第１処理を実行し、
   前記入力に対して前記第１処理と異なる第２処理を実行したことを示す応答を前記第１電子制御装置に返す請求項１に記載の車載セキュリティシステム。
3. 前記第１処理は、前記第１電子制御装置からの入力に対する安全処理であり、
   前記第２処理は、前記第１電子制御装置からの入力の指示通りに実行した処理である請求項１に記載の車載セキュリティシステム。
4. 前記第２電子制御装置は、前記第１電子制御装置からの入力に対し、予め定義された処理の機能レベルに応じて前記第１処理を実行する請求項１に記載の車載セキュリティシステム。
5. 前記機能レベルは、前記第１処理の処理周期または処理内容に応じて定義されている請求項４に記載の車載セキュリティシステム。
6. 前記第２電子制御装置は、前記第１処理に使用されるデータに基づいて、前記安全処理を実行するか通常処理を実行するかを決定する請求項３に記載の車載セキュリティシステム。
7. 前記第２電子制御装置は、前記第１電子制御装置を含まない通信ネットワークを介して前記検知結果に応じた警告を行う請求項２に記載の車載セキュリティシステム。
8. 前記第１電子制御装置および前記第２電子制御装置と通信可能な第３電子制御装置を備え、
   前記第３電子制御装置は、
   前記第１電子制御装置が所定の動作から逸脱したことを検知し、
   前記検知結果を前記第２電子制御装置に通知し、
   前記第２電子制御装置は、
   前記第３電子制御装置から通知された検知結果に基づいて前記第１電子制御装置からの入力に対する前記第１処理を実行し、
   前記入力に対して前記第１処理と異なる第２処理を実行したことを示す応答を前記第１電子制御装置に返す請求項１に記載の車載セキュリティシステム。
9. 前記第１電子制御装置、前記第２電子制御装置および前記第３電子制御装置を含む第１車載ネットワークと、
   前記第２電子制御装置および前記第３電子制御装置を含み、前記第１電子制御装置を含まない第２車載ネットワークとを備える請求項８に記載の車載セキュリティシステム。
10. 前記第１電子制御装置および前記第３電子制御装置を含む第１車載ネットワークと、
    前記第１電子制御装置および前記第３電子制御装置を含む第２車載ネットワークと、
    前記第２電子制御装置を含む第３車載ネットワークと、
    前記第２電子制御装置を含む第４車載ネットワークと、
    前記第１車載ネットワークと前記第３車載ネットワークとを接続可能な第１ゲートウェイと、
    前記第２車載ネットワークと前記第４車載ネットワークとを接続可能な第２ゲートウェイとを備える請求項８に記載の車載セキュリティシステム。
11. プロセッサを備える攻撃対処方法であって、
    前記プロセッサは、
    攻撃時の入力に対する第１処理を実行し、
    前記入力に対して前記第１処理と異なる第２処理を実行したことを示す応答を返す攻撃対処方法。
12. 前記第１処理は、前記攻撃時の指示に対してフェールセーフ側の処理であり、
    前記第２処理は、前記攻撃時の指示通りの処理である請求項１１に記載の攻撃対処方法。
13. 攻撃対象となる機能に要求される機能レベルに応じて前記第１処理を実行する請求項１１に記載の攻撃対処方法。
14. 攻撃対象となる第１プロセッサと、
    前記第１プロセッサとネットワークを介して接続された第２プロセッサとを備え、
    前記第２プロセッサは、
    前記第１プロセッサからの入力に対する前記第１処理を実行し、
    前記入力に対して前記第１処理と異なる第２処理を実行したことを示す応答を前記第１プロセッサに返す請求項１１に記載の攻撃対処方法。
15. 前記第１プロセッサとネットワークを介して接続された第３プロセッサとを備え、
    前記第３プロセッサは、
    前記第１プロセッサが所定の動作から逸脱したことを検知し、
    前記検知結果を前記第２プロセッサに通知し、
    前記第２プロセッサは、
    前記第３プロセッサから通知された検知結果に基づいて前記第１プロセッサからの入力に対する前記第１処理を実行し、
    前記入力に対して前記第１処理と異なる第２処理を実行したことを示す応答を前記第１プロセッサに返す請求項１４に記載の攻撃対処方法。
    
    

Images