JP2022541489A - 車両環境における侵入異常監視 - Google Patents

Abstract

自動車両における侵入異常を監視するシステムであって、このシステムは、少なくとも１つの電子制御ユニットと、少なくとも１つの電子制御ユニットの侵入異常を検出し、検出された侵入異常に関する情報を出力するように構成された少なくとも１つのセキュリティモニタと、異常分析器であって、検出された侵入異常に関する出力情報を蓄積し、少なくとも１つの車両ステータス信号を受信し、受信された少なくとも１つの車両ステータス信号に応答して、検出された侵入異常に関する蓄積された出力情報を異常事象リストと比較することであって、異常事象リストが、少なくとも１つの異常事象を含む、比較することと、比較の所定の結果に応答して、所定の事象信号を出力するよう構成された異常分析器と、を備える。
【選択図】図１Ｅ

Description

関連出願の相互参照
本出願は、２０１９年７月２４日に出願された「車両環境における侵入異常監視」と題された米国仮特許出願Ｓ／Ｎ６２／８７７，９６２からの優先権を主張し、その全内容は参照により本明細書に組み込まれる。

本発明は、一般に、セキュリティデバイスの分野に係わり、より具体的には、自動車環境における侵入異常を監視するシステムおよび方法に関する。

車載に搭載される電子デバイスの数は急速に増加している。以前は、自動車の電子デバイスは、スタンドアローン環境で動作する、特定の機能を扱う個別のデバイスである。１９８０年代には、車両用のネットワーク動作標準を開発する必要があることが認識され、コントローラエリアネットワーク（ＣＡＮ）バスが誕生した。

時間の経過とともに、ＣＡＮバスを利用する相互接続されたデバイスの数は急速に増加している。これらの相互接続されたデバイスは、エンジン速度、制動制御、ステアリング制御などの運転特徴、および照明、窓、サンルーフ制御などの快適特徴を制御してもよい。

さらなる発展はインターネットの拡大であり、インターネットへのワイヤレスアクセスに対する需要はますます高まっている。携帯電話およびワイヤレスインターネットアクセスの拡大により、将来的には車両が外部ネットワークに接続されることが確実になるであろう。最近では、車両へのアクセスは専用のサービスケーブルの使用に制限されており、唯一のワイヤレスアクセスはニュースおよび音楽を配信するラジオのみであった。今日では、エンターテインメントと情報コンテンツの両方を車両に配信する統合インフォテインメントシステムが提供されている。

車載電子デバイスの数が増えるにつれ、多くの自動車メーカーが自動車用電子制御ユニット（ＥＣＵ）用のオープンスタンダードソフトウェアアーキテクチャに合意している。現在、ドイツのミュンヘンにあるＡＵＴＯＳＡＲ組合は、Ａｕｔｏｓａｒ Ｃｌａｓｓｉｃ Ｐｌａｔｆｏｒｍのバージョン４．３をリリースしている。Ａｕｔｏｓａｒ準拠の診断は、１つ以上のＥＣＵの実際の障害または欠陥を検出するように設計されている。診断では、「インターネットプロトコルを介した診断（ＤｏＩＰ）または統一診断サービス（ＵＤＳ）と呼ばれる特定の通信プロトコルを使用し、これらは、オンボードイーサネットスイッチを介したテスト機器とＥＣＵとの間の通信用に設計されている。ＤｏＩＰは透明なプロトコルであり、テスト機器とＥＣＵとの間の変換を伴わない。ＤｏＩＰは、スイスのジュネーブにある国際標準化機構によって発行されたＩＳＯ １３４００、パート２で定義されている。ＤｏＩＰは、外部テスト機器と自動車用ＥＣＵとの間の診断関連の通信を容易にする。ＥＣＵ内の診断通信マネージャー（ＤＣＭ）は、テスト機器と通信し、それぞれのＥＣＵで検出された故障を表す自動車メーカーによって定義された関連する事前定義された診断トラブルコード（ＤＴＣ）を転送する。

様々なＥＣＵで検出された故障を生成および通信するシステムが、従来技術には、自動車通信ネットワークの任意の部分に侵入しようとする外部の攻撃者による攻撃を監視および識別するシステムが欠けている。これは、ネットワークを介して送信されるデータの統計的異常、例えば、以下に説明するように、分散型サービス拒否（ＤＤＯＳ）攻撃、ＥＣＵのＭＡＣアドレスをスプーフィングする試み、ＰＯＲＴのＩＰからのサブスクリプションリクエスト、ＳＯＭＥ／ＩＰ情報における不正確な値、事前定義されたモデルまたはルールから外れた信号、スタックオーバーフロー、およびリターン指向プログラミング攻撃を含むがこれらに制限されない。さらに、車両間のＤｏＩＰ通信にはメカニズムが提供されていないため、車両は互いとＤＴＣを共有することができない。

したがって、本発明の主な目的は、従来技術のバス制御方法およびシステムの不都合な点の少なくともいくらかを克服することである。これは、一実施形態では、自動車両における侵入異常を監視するシステムによって提供され、システムは、少なくとも１つの電子制御ユニットと、少なくとも１つの電子制御ユニットの侵入異常を検出し、検出された侵入異常に関する情報を出力するように構成された少なくとも１つのセキュリティモニタと、異常分析器であって、検出された侵入異常に関する出力情報を蓄積し、少なくとも１つの車両ステータス信号を受信し、受信された少なくとも１つの車両ステータス信号に応答して、検出された侵入異常に関する蓄積された出力情報を異常事象リストと比較することであって、異常事象リストが少なくとも１つの異常事象を含む、比較することと、比較の所定の結果に応答して、所定の事象信号を出力するように構成された異常分析器とを備える。

一実施形態では、異常分析器は、車両ステータスグレードを決定するようにさらに構成され、車両ステータスグレードは、受信された少なくとも１つの車両ステータス信号の所定の機能に応答して決定され、異常事象リストは、複数のセットの異常事象リストパラメータ値を含み、比較は複数のセットの異常事象リストパラメータ値関して実施され、異常事象リストパラメータ値は、決定された車両ステータスグレードに応じて選択される。別の実施形態では、少なくとも１つのセキュリティモニタは、１つ以上のメッセージの所定の属性が所定の検証パラメータ値を満たさないことに応答して、侵入異常を検出するように構成され、比較の所定の結果に応答して、異常分析器は、調整信号を生成し、生成された調整信号を少なくとも１つのセキュリティモニタに出力し、生成された調整信号に応答して、少なくとも１つのセキュリティモニタの所定の検証パラメータ値が調整されるようにさらに構成されている。

一実施形態では、受信された少なくとも１つの車両ステータス信号は、車両の少なくとも１つの内部システムのステータスを示す少なくとも１つの信号を含む。別の実施形態では、車両の少なくとも１つの内部システムのステータスを示す受信された少なくとも１つの車両ステータス信号は、車両の速度、車両のステアリングホイール角度、車両が入っているギア、車両のブレーキ、車両のエンジン、または車両のジャイロの位置のステータスを示す少なくとも１つの信号を含む。

一実施形態では、受信された少なくとも１つの車両ステータス信号は、車両の外部の環境のステータスを示す少なくとも１つの信号を含む。別の実施形態では、受信された少なくとも１つの車両ステータス信号は、車両を取り巻く追加の車両のステータスを示す少なくとも１つの信号を含む。

一実施形態では、少なくとも１つの車両ステータス信号は、複数の車両ステータス信号を含む。別の実施形態では、所定の事象信号はアラートメッセージを含む。

一実施形態では、システムは、少なくとも１つの電子制御ユニットとのデータ通信を制御するように構成された通信制御ユニットをさらに備え、所定の事象信号は、通信制御ユニットの通信機能を無効にするコマンドを含む。別の実施形態では、システムは、少なくとも１つの電子制御ユニットとのデータ通信を制御するように構成された通信制御ユニットをさらに備え、少なくとも１つの異常事象は、複数の異常事象を含み、比較の所定の結果は、蓄積された出力情報が、複数の異常事象のうちの１つの存在を示すことを識別することを含み、所定の事象信号は、複数の異常事象のうちのそれぞれの検出された１つに応答して、複数の所定の事象信号から選択され、ここで、複数の所定の事象信号は、アラートメッセージ、および通信制御ユニットの通信機能を無効にするコマンドを含む。

一実施形態では、少なくとも１つの電子制御ユニットは、複数の電子制御ユニットを含み、少なくとも１つのセキュリティモニタは、複数のローカルセキュリティモニタを含み、複数のローカルセキュリティモニタの各々は、複数の電子制御ユニットのそれぞれの１つに関連付けられている。

１つの独立した実施形態では、自動車における侵入異常を監視する方法が提供され、この方法は、少なくとも１つの電子制御ユニットについて侵入異常を検出することと、検出された侵入異常に関する情報を出力することと、検出された侵入異常に関する出力情報を蓄積することと、少なくとも１つの所定の車両ステータス信号を受信することと、受信された少なくとも１つの車両ステータス信号に応答して、蓄積された出力情報を異常事象リストと比較することであって、異常事象リストが少なくとも１つの異常事象を含む、比較することと、比較の所定の結果に応答して、所定の事象信号を出力することと、を含む。

一実施形態では、この方法は、車両ステータスグレードを決定することをさらに含み、車両ステータスグレードは、受信された少なくとも１つの車両ステータス信号の所定の機能に応答して決定され、異常事象リストは、複数のセットの異常事象リストパラメータ値を含み、比較は、複数のセットの異常事象リストパラメータ値に関して実施され、異常事象リストパラメータ値は、決定された車両ステータスグレードに応じて選択される。別の実施形態では、侵入異常を検出することは、１つ以上のメッセージの所定の属性が所定の検証パラメータ値を満たさないことに応答してのものであり、比較の所定の結果に応答して、この方法は、調整信号を生成することと、生成された調整信号を出力することであって、所定の検証パラメータ値が、出力調整信号に応答して調整される、出力することと、をさらに含む。

一実施形態では、受信された少なくとも１つの車両ステータス信号は、車両の少なくとも１つの内部システムの状態を示す少なくとも１つの信号を含む。別の実施形態では、車両の少なくとも１つの内部システムのステータスを示す受信された少なくとも１つの車両状態信号は、車両の速度、車両のステアリングホイール角度、車両が入っているギア、車両のブレーキ、車両のエンジン、または車両のジャイロの位置のステータスを示す少なくとも１つの信号を含む。

一実施形態では、受信された少なくとも１つの車両ステータス信号は、車両の外部の環境のステータスを示す少なくとも１つの信号を含む。別の実施形態では、受信された少なくとも１つの車両ステータス信号は、車両を取り巻く追加の車両のステータスを示す少なくとも１つの信号を含む。

一実施形態では、少なくとも１つの車両ステータス信号は、複数の車両ステータス信号を含む。別の実施形態では、所定の事象信号は、アラートメッセージを含む。

一実施形態では、所定の事象信号は、少なくとも１つの電子制御ユニットとの通信を無効にするコマンドを含む。別の実施形態では、少なくとも１つの異常事象は、複数の異常事象を含み、比較の所定の結果は、蓄積された出力情報が複数の異常事象のうちの１つの存在を示すことを識別することを含み、所定の事象信号は、複数の異常事象のうちのそれぞれの検出された１つに応答して複数の所定の事象信号から選択され、複数の所定の事象信号は、アラートメッセージ、および少なくとも１つの電子制御ユニットへの通信を無効にするコマンドを含む。本発明の追加の特徴および利点は、以下の図面および説明から明らかになるであろう。

本発明の様々な実施形態をよりよく理解し、それがどのように実施され得るかを示すために、ここで、純粋に例として、同様の符号が全体を通して対応するセクションまたは要素を示す、添付の図面を参照する。

ここで詳細に図面を具体的に参照すると、示される詳細は、例として本発明の好ましい実施形態の例示的な議論のみを目的としており、本発明の原理および概念的側面の最も有用で容易に理解される説明であると考えられるものを提供するという理由で提示されている。これに関して、本発明の基本的な理解に必要である以上に本発明の構造の詳細を示す試みはなされておらず、図面とともに行われた説明は、本発明のいくつかの形態が実際にどのように具体化され得るかを当業者に明らかにしている。添付の図面は以下のとおりである。

車両環境における侵入異常を監視するシステムの様々な実施形態の高レベルブロック図を示す。 特定の実施形態による、車両環境における侵入異常を監視するための方法の高レベルフローチャートを示す。

本発明の少なくとも１つの実施形態を詳細に説明する前に、本発明が、その適用において、以下の説明に記載されるかまたは図面に例示される構成ならびに構成要素の配置に必ずしも限定されないことを理解されたい。本発明は、他の実施形態に適用可能、または様々な方法で実施されるもしくは行われる。また、本明細書で使用される表現または用語は、説明を目的としたものであり、限定として解釈されるべきではないことを理解されたい。

図１Ａは、車両環境において侵入異常を監視するシステム１０の高レベルブロック図を示し、図１Ｂは、侵入異常を監視するシステム１００の高レベルブロック図を示し、図１Ｃは侵入異常を監視するシステム２００の高レベルブロック図を示し、図１Ｄは、侵入異常を監視するシステム３００の高レベルブロック図を示し、図１Ｅは侵入異常を監視するシステム４００の高レベルブロック図を示し、図１Ｆは、システム１０、１００、２００、および３００のそれぞれの部分の高レベルブロック図を示す。図１Ａ～１Ｆは一緒に説明される。

システム１０は、それぞれのセキュリティモニタ３０を各々が含む複数のＥＣＵ２０と、異常分析器４０と、を備える。各ＥＣＵ２０は、それぞれのセキュリティモニタ３０を備えるものとして示されているが、これはいかなる方法でも限定することを意味するものではない。別の実施形態では、各セキュリティモニタ３０は、それぞれのＥＣＵ２０の外部に設けられ、それぞれのＥＣＵ２０と通信している。異常分析器４０は、セキュリティモニタ３０と通信している。

システム１００は、複数のＥＣＵ１１０とセキュリティモニタ１２０と、異常分析器４０と、を備える。セキュリティモニタ１２０は、ＥＣＵ１１０と通信しており、異常分析器４０は、セキュリティモニタ１１０と通信している。システム２００は、それぞれのセキュリティモニタ３０を各々が含む複数のＥＣＵ２０と、複数のＥＣＵ１１０と、セキュリティモニタ１２０と、異常分析器４０と、を備える。セキュリティモニタ１２０は、ＥＣＵ１１０と通信している。異常分析器４０は、ＥＣＵ２０のセキュリティモニタ３０およびセキュリティモニタ１２０と通信している。

システム３００は、イーサネットスイッチ／ハブ３１０と、通信制御ユニット３２０と、通信制御ユニット３３０と、バス３４０と、複数のＥＣＵ３５０と、複数のＥＣＵ３６０と、セキュリティモニタ１２０と、を備える。一実施形態では、イーサネットスイッチ／ハブ３１０は、イーサネットスイッチまたはイーサネットハブのいずれかである。別の実施形態では、通信制御ユニット３２０は、スマートアンテナを含む。一実施形態では、通信制御ユニット３２０は、テレマティック制御ユニット（ＴＣＵ）を含む。別の実施形態では、通信制御ユニット３２０は、テレマティクスボックスを含む。一実施形態では、通信制御ユニット３２０は、ワイヤレスデータリンクを含み、これは、モバイル通信用のグローバルシステム（ＧＳＭ）、最適化された進化データ（ＥＶ－ＤＯ）、広帯域コード分割多重アクセス（Ｗ－ＣＤＭＡ）、高速パケットアクセス（ＨＳＰＡ）、マイクロ波アクセスニタイスルワールドワイド相互運用性（ＷＩＭＡＸ）、および／または長期進化（ＬＴＥ）と、制限なく、互換性のある機器によって実装され得る。

一実施形態では、通信制御ユニット３３０は、ゲートウェイを含む。別の実施形態では、通信制御ユニット３３０は、ドメインコントローラユニット（ＤＣＵ）を含む。一実施形態では、バス３４０はＣＡＮバスである。１つのさらなる実施形態では、通信制御ユニット３３０は、ＣＡＮゲートウェイとして作用する。通信制御ユニット３２０、通信制御ユニット３３０、およびＥＣＵ３５０の各々は、イーサネットスイッチ／ハブ３１０と通信している。バス３４０は、通信制御ユニット３３０と通信しており、ＥＣＵ３６０の各々は、バス３４０と通信している。一実施形態では、セキュリティモニタ１２０は、イーサネットスイッチ／ハブ３１０および／または通信制御ユニット３３０と通信している。さらなる一実施形態では、セキュリティモニタ１２０は、イーサネットスイッチ／ハブ３１０のそれぞれのポートに結合されている。別の実施形態（図示せず）では、セキュリティモニタ１２０は、システム４００に示されているように、イーサネットスイッチ／ハブ３１０内に実装されている。特に、システム４００は、セキュリティモニタ１２０がイーサネットスイッチ／ハブ３１０内に実装されていることを除いて、すべての点でシステム３００と同様である。別の実施形態（図示せず）では、セキュリティモニタ１２０は、通信制御ユニット３２０内に実装されている。別の実施形態（図示せず）では、セキュリティモニタ１２０は、通信制御ユニット３３０内に実装されている。システム３００は、単一のセキュリティモニタ１２０が提供される実施形態で示されているが、これは、いかなる方法でも限定することを意味するものではない。別の実施形態では、複数のセキュリティモニタ１２０が提供され、各々がイーサネットスイッチ／ハブ３１０、通信制御ユニット３２０および／または通信制御ユニット３３０と通信している、および／またはその中に実装されている。

システム１０、１００、２００、および３００は、セキュリティモニタ３０および１２０が異常分析器４０から分離されている実施形態で図示され、説明されているが、これは如何なる方法でも限定することを意味するものではない。別の実施形態（図示せず）では、異常分析器４０およびセキュリティモニタ３０および／または１２０のうちの１つ以上は、プログラムの異なるコードセクションなどの単一の構成要素として一緒に実装される。

システム１０、１００、２００、および３００の配置は、限定的と考えられてはならず、その全内容が参照として本明細書に組み込まれる２０１８年１２月３０に発行された「Ｉｎｔｒｕｓｉｏｎ Ａｎｏｍａｌｙ Ｍｏｎｉｔｏｒｉｎｇ Ｉｎ Ａ Ｖｅｈｉｃｌｅ Ｅｎｖｉｒｏｎｍｅｎｔ」と題されるＰＣＴ公報ＷＯ２０１９／１４２１８０，およびその全内容が参照として本明細書に組み込む２０１９年６月６日に発行された「Ｄａｔａ Ｂｕｓ Ｐｒｏｔｅｃｔｉｏｎ Ｄｅｖｉｃｅ ａｎｄ Ｍｅｔｈｏｄ」と題される米国特許出願公報Ｓ／Ｎ ＵＳ２０１９／０１７１８１３に記載されるように、他の配置が実行され得る。

一実施形態では、異常分析器４０は、第１の車両内に配置され、第２の車両（図示せず）のセキュリティモニタ３０および／または１２０と通信している。別の実施形態では、異常分析器４０は、任意選択的にワイヤレスインターネット接続を介して、外部異常モニタ（図示せず）とさらに通信している。

図１Ｆは、異常分析器４０の詳細な実施形態の高レベルのブロック図を示す。図示の実施形態では、異常分析器４０は、通信ノード４００と、車両信号機能４１０と、異常機能４２０と、調整機能４３０と、メモリ４４０と、を備える。通信ノード４００、車両信号機能４１０、異常機能４２０、および調整機能４３０は、本明細書では別個の構成要素として説明されているが、これはいかなる方法でも限定することを意味するものではない。１つの特定の実施形態では、通信ノード４００、車両信号機能４１０、異常機能４２０、および調整機能４３０は各々、プロセッサ上のそれぞれの専用ルーチンによって実施される。車両信号機能４１０は、一実施形態では、イーサネットスイッチ／ハブ３１０および／または通信制御ユニット３３０と通信している。異常分析器４０は、関連するメモリを備えたＦＰＧＡ、マイクロコントローラ、またはプロセッサに実装されてもよく、関連するメモリは、実装されると、説明するタスクを実施する、電子的に読み取り可能な命令を保持する。

異常分析器４０は、その中に異常事象リストを記憶している。任意選択的には、異常事象リストはメモリ４４０に記憶される。本明細書で使用される「リスト」という用語は、異常事象リストの情報が何らかの方法で記憶および配置される方法を限定することを意味するものではない。異常事象リストは、少なくとも１つの異常事象、好ましくは複数の異常事象を含む。本明細書で使用される「異常事象リスト」という用語は、少なくとも１つの異常事象の所定の属性に関する情報として意味される。一実施形態では、異常事象リストは、ルールのリストを含み、以下に説明するように、異常分析器４０は、受信された侵入異常の異なる属性を所定のルールセットと比較する。

一実施形態では、イーサネットスイッチ／ハブ３１０は、イーサネットスイッチ／ハブ３１０を通過するすべてのメッセージのコピーをセキュリティモニタ１２０に向けて送信するようにプログラムされ、その結果、メッセージは、スニッフィングのためにセキュリティモニタ１２０に可視となる。

セキュリティモニタ１２０が通信制御ユニット３３０に実装され、通信制御ユニット３３０がゲートウェイとして実装される一実施形態では、イーサネットスイッチ／ハブ３１０は、ルーティングのために、パケットのすべてまたは一部をゲートウェイ３３０に任意選択的に転送する。この場合、一実施形態のセキュリティモニタ１２０は、すべてのパケット、または検査のために定義された特定のパケットに対して分析を実施する。別の実施形態では、イーサネットスイッチ／ハブ３１０は、パケットミラーリングを実施して、それぞれのパケットをコピーし、そのコピーをセキュリティモニタ１２０に送信する。

別の実施形態では、イーサネットスイッチ／ハブ３１０は、ハードウェアに事前定義されたセキュリティポリシーを施行する。例えば、ネットワーキングデバイスの文脈における三値連想メモリ（ＴＣＡＭ）により、ハードウェアに事前定義されたパターンに対する入来するパケットの効率的なパターンマッチングが可能になる。これらの事前定義されたパターンの各々には、構成可能な作用が付いていてもよい。ＴＣＡＭヒットが発生した場合、つまりパケットが事前定義されたパターンに一致した場合、定義された作用がそれぞれのパケットに対して実行される。一実施形態では、定義された作用は、以下を含む。
１．ＴＣＡＭヒットを生成したパケットをドロップする。
２．カウンターをインクリメントする。
３．ＴＣＡＭヒットを生成したパケットの物理的な宛先ポートを変更する。
４．ＴＣＡＭヒットを生成したパケットをＱｏＳクラス識別子（ＱＣＩ）ストリームに割り当てる、および／または
５．それぞれのパケットの仮想ローカルエリアネットワーク（ＶＬＡＮ）タグを変更する。

これらの能力を使用して、イーサネットスイッチ／ハブ３１０は、そのような実施形態では、さらなる分析のために、または報告のために、定義されたパケットをセキュリティモニタ１２０に転送するように構成される。別の実施形態では、上記のように、セキュリティモニタ１２０は、イーサネットスイッチ／ハブ３１０内に実装される。このような実施形態では、ＴＣＡＭヒットが発生すると、侵入異常はセキュリティモニタ１２０によって識別され、セキュリティモニタ１２０は、以下に説明するように、侵入異常を異常分析器４０に通知する。

１つの非限定的な例では、その内容全体が参照により本明細書に組み込まれるＩＥＥＥ Ｐ８０２．１Ｑｃｉ標準に記載されているように、所定のレート制限施行がＱＣＩストリームの概念を使用して、パケットに構成される。パケット数が所定のレート制限を超えた場合、イーサネットスイッチ／ハブ３１０の内部ＣＰＵに実装されたセキュリティモニタ１２０は、その値について定義されたレジスタを読み取り、レート制限違反によりパケットがドロップされたかどうかを検出する。次に、イーサネットスイッチ／ハブ３１０の内部ＣＰＵ内のセキュリティモニタ１２０は、異常分析器４０にこの侵入異常について通知する。

別の非限定的な例では、イーサネットスイッチ／ハブ３１０内のＴＣＡＭの１つは、許可されていないパケットの場合にパケット宛先を変更するように構成される。一実施形態では、新しいパケット宛先は、セキュリティモニタ１２０である。別の実施形態では、上記のように、セキュリティモニタ１２０がイーサネットスイッチ／ハブ３１０内に実装され、ＴＣＡＭヒットに応答して、以下に説明するように、セキュリティモニタ１２０は、これを侵入異常として検出し、侵入異常に関する情報を異常分析器４０に出力する。さらなる一実施形態では、セキュリティモニタ１２０は、パケットのパケット宛先を異常分析器４０に変更することで、異常分析器４０にパケット全体を提供する。

別の非限定的な例では、イーサネットスイッチ／ハブ３１０内のＴＣＡＭの１つは、ＶＬＡＮ ＩＤを、検出された侵入異常に関する情報を符号化する固有のＩＤに変更する。そのような実施形態では、異常分析器４０、および／またはセキュリティモニタ１２０は、ＶＬＡＮ ＩＤのメンバーであり、それぞれのパケットを受信する。

システム１０、１００、２００、３００は各々、異常分析器４０がセキュリティモニタ３０および／またはセキュリティモニタ１２０と直接通信している実施形態に示されているが、これはいかなる方法でも限定することを意味するものではない。別の実施形態（図示せず）では、以下に説明するように、様々なセキュリティモニタ３０、またはセキュリティモニタ１２０と異常分析器４０との間の通信を実施する１つ以上の追加の構成要素が提供される。特に、一実施形態では、診断通信マネージャ（ＤＣＭ）が提供され、これは、セキュリティモニタ３０および／またはセキュリティモニタ１２０と異常分析器４０との間の通信を実施する。システム１０、１００、２００、３００は各々、複数のＥＣＵを備えるものとして本明細書に図示され、説明されているが、これはいかなる方法でも限定することを意味するものではない。別の実施形態（図示せず）では、単一のＥＣＵ２０、１１０、３５０、または３６０が提供される。システム１０、１００、２００および３００の動作が一緒に説明される。

図２は、特定の実施形態による、車両環境における侵入異常を監視するための方法の高レベルフローチャートを示す。図２の方法は、システム１０、１００、２００、および３００に関連して本明細書で説明されるが、これはいかなる方法でも限定することを意味するものではなく、図２の方法は、範囲を超えることなく、すべての好適なシステムによって実装され得る。ステージ１０００において、セキュリティモニタ３０および／またはセキュリティモニタ１２０は、それぞれのＥＣＵ２０、１１０、３５０、および３６０に関連する侵入異常を検出する。本明細書で使用される「侵入異常」という用語は、自動車通信ネットワークの任意の部分に侵入しようとする攻撃者による試みに関連する異常として定義される。これには、ネットワークを介して送信されるデータの統計的異常、例えば、分散型サービス拒否（ＤＤＯＳ）攻撃、ＥＣＵのメディアアクセス制御（ＭＡＣ）アドレスをスプーフィングする試み、ポートのインターネットプロトコル（ＩＰ）アドレスからのサブスクリプションリクエスト、ＩＰを介したスケーラブルなサービス指向のミドルウェア（ＳＯＭＥ／ＩＰ）情報における不正確な値、事前定義されたモデルまたはルールから逸脱する信号、スタックオーバーフロー、およびリターン指向のプログラミング攻撃を含むが、これらに制限されない。

一実施形態では、セキュリティモニタ３０および／またはセキュリティモニタ１２０は、それぞれのＥＣＵ２０、１１０、３５０、および３６０に向けられたメッセージを監視する。システム３００の実施形態では、セキュリティモニタ１２０は、イーサネットスイッチ／ハブ３１０上の活動を監視することによって、それぞれのＥＣＵ３５０および／または３６０にアドレス指定されたメッセージを任意選択的にスヌープするか、または能動的にブロックする。別の実施形態では、セキュリティモニタ１２０は、バス３４０で向けられたメッセージを監視する。別の実施形態（図示せず）では、１つ以上のセキュリティモニタ３０および／または１２０は、通信制御ユニット３２０および／または通信制御ユニット３３０で向けられたメッセージを監視して、そこで向けられた侵入異常を決定する。

一実施形態では、１つ以上のメッセージの少なくとも１つの所定の属性が、侵入異常を識別するために、所定の検証パラメータの１つ以上の値と比較される。さらなる一実施形態では、機械学習アルゴリズムを使用して、信号の相関関係を事前定義されたモデルと比較する。信号が事前定義されたモデルから逸脱した場合、侵入異常が検出される。一実施形態では、受信された各メッセージはスヌープされ、スヌープされたメッセージのソースアドレスおよびターゲットアドレスは、妥当性を決定するために許容可能なアドレスの所定のリストと比較される、すなわち、所定の属性が、ソースアドレスおよびターゲットアドレスおよび／またはポート番号である。特に、イーサネットパケットには、ソースと宛先のメディアアクセス制御（ＭＡＣ）アドレスとインターネットプロトコル（ＩＰ）アドレス、およびそれぞれのポート番号に関する情報が含まれている。一実施形態では、それぞれのセキュリティモニタ３０、または１２０は、これらのアドレスを、許容可能なソースおよび宛先アドレスの所定のリストと比較する。別の実施形態では、それぞれのセキュリティモニタ３０または１２０は、ソースのＩＰアドレスおよびＭＡＣアドレスが同じコンポーネントに属するかどうかを決定する。別の実施形態では、それぞれのセキュリティモニタ３０または１２０は、それぞれのＩＰアドレスおよびポート番号を有するソースが、それぞれのＩＰアドレスおよびポート番号を有する宛先にデータを送信することが認可されているかどうかを決定する。上記のアドレスのいずれかまたはアドレス関連が無効である場合、すなわち、メッセージの少なくとも１つの所定の属性が所定の検証パラメータの有効な値を満たさない場合、メッセージは異常なメッセージであると判断され、侵入異常が検出される。

別の実施形態では、受信された各メッセージがスヌープされ、スヌープされたメッセージのパケットが分析されて、メッセージ内のすべての異常が決定される。さらなる一実施形態では、メッセージを分析して、メッセージ内の値がそれぞれの宛先に対して有効であるかどうか、すなわち、メッセージの所定の属性がそれぞれの値および宛先であるか否かが決定される。例えば、ステアリングホイールを対象とするメッセージでは、ステアリングホイールの角度を調整するための値は、それが所定のステアリングホイールの角度の範囲内にある場合にのみ有効である。所定のハンドル角度範囲外の場合、メッセージは異常メッセージと決定され、侵入異常が検出される。

別のさらなる実施形態では、それらの間に特定の関係を有する複数の信号よりなるメッセージにおいて、それぞれのセキュリティモニタ３０、または１２０は、関係が有効か否か、すなわち、メッセージの所定の属性が、複数の信号値間の関係かを決定する。例えば、４つの信号を含む車輪速度に関するメッセージが受信され、４つの信号は、信号ａ－右前輪速度、信号ｂ－左前輪速度、信号ｃ－左後輪速度、信号ｄ－左後輪速度である。１つの非限定的な実施形態では、そのような例では、メッセージパケットのペイロードは８バイトであり、各信号はパケットのうちの２バイトを含む。それぞれのセキュリティモニタ３０、または１２０は、限定されないが、信号ａの値と信号ｂの値との間の差、信号ｂの値と信号ｃの値の差、任意選択的に、信号ａ、ｂ、ｃ、ｄの各２つの間の差を決定する。それぞれのセキュリティモニタ３０、または１２０は、決定された差を１つ以上のそれぞれの所定の閾値と比較する、すなわち、所定の検証パラメータの値が、それぞれの閾値である。決定された差または複数の差がそれぞれの閾値または複数の閾値よりも大きい場合、メッセージは異常なメッセージであると決定され、侵入異常が検出される。

別の実施形態では、受信された各メッセージがスヌープされ、スヌープされたメッセージのパケットが統計的に分析されて、メッセージの異常が決定される、すなわち、所定の属性が複数の受信メッセージに関連する。さらなる一実施形態では、所定の属性は、メッセージのタイムスタンプであり、以前に受信された複数のメッセージに関連している。例えば、それぞれのセキュリティモニタ３０または１２０は、所定の時間間隔内にどれだけのメッセージを受信されたかを決定する。合計で、または現在のメッセージを含み、特定のＥＣＵ２０、１１０、３５０、または３６０にアドレス指定された、所定の時間間隔内に受信された数が所定の閾値よりも大きい場合、侵入異常が検出される。特に、所定の検証パラメータの値は、所定の時間間隔内に受信されたメッセージの数のそれぞれの閾値である。当業者に知られているように、サービス拒否攻撃の場合、任意の時間間隔のメッセージの合計数が増加し、それぞれのセキュリティモニタ３０、または１２０は、そのような攻撃を検出することができる。

別のさらなる実施形態では、所定の属性は、第１のメッセージのペイロード信号の値と第２のメッセージの対応するペイロード信号の値との間の差である。例えば、システム３００の実施形態では、バス３４０に向けられた第１のメッセージは、車速の信号を含み、それぞれのＥＣＵ３５０に向けられた第２のメッセージは、自動運転支援システム（ＡＤＡＳ）の信号を含み。セキュリティモニタ１２０は、第１のメッセージのそれぞれの信号の値と第２のメッセージのそれぞれの信号の値との間の差を決定する。差が所定の閾値よりも大きい場合、メッセージは異常であると決定され、侵入異常が検出される。

別の実施形態では、周期信号、すなわち、適切な動作のために特定のシステムに何度も送られるコマンドの場合、周期性が変化されるときに異常が検出される。具体的には、受信されたメッセージの周期性が所定の閾値より増加または減少すると、侵入異常が検出される。

一実施形態では、各セキュリティモニタ３０および／または１２０は、１つ以上の所定の重大度ルールに従って、任意の検出された侵入異常の重大度をさらに決定する。一実施形態では、３つの異なるレベルの重大度が割り当てられるが、これはいかなる方法でも限定することを意味するものではない。別の実施形態では、所定の重大度のルールは、限定されないが、特定のシステムへのコマンドとそのシステムの現在の状態との間の差、異常メッセージの対象となるシステム、すなわち重要なシステムおよび安全システムを対象とする異常メッセージにはより高い重大度の評価が割り当てられるシステム、および周期信号の場合、周期性が乱れる程度のうちの１つ以上を含む。

特に、特定のシステムへのコマンドとそのシステムの現在の状態との間の差は、一実施形態では、コマンドが実行された後のシステムの将来的な状態とシステムの現在の状態と比較することによって測定される。例えば、特定のコマンドを受信された後に車両が達成する速度は、車両の現在の速度と比較される。コマンドが侵入異常として検出された場合、差が大きいと異常の重大度が高くなり、より高い重大度の評価が割り当てられる。周期信号、すなわち適切な動作のために特定のシステムに何度も送られるコマンドの場合、一実施形態では、上記のように、周期性が変化されたときに侵入異常が検出される。具体的には、受信されたメッセージの周期性が所定の閾値よりも増加または減少すると、侵入異常が検出される。所定の閾値からの周期性距離の距離が重大度を決定する。距離が大きい場合、重大度の評価が高くなる。距離が小さい場合、重大度の評価が低くなる。

一実施形態では、より高い値がより高い重大度評価に割り当てられ、より低い値がより低い重大度評価に割り当てられるが、これはいかなる方法でも限定することを意味するものではない。上記は、セキュリティモニタ３０および／または１２０によって重大度が決定される実施形態に関連して説明されてきたが、これは、いかなる方法でも限定することを意味するものではない。別の実施形態では、異常分析器４０は、セキュリティモニタ３０および／または１２０と協力して、またはそれ自体で、侵入異常の重大度を決定する。

ステージ１０１０において、セキュリティモニタ３０および／または１２０は、ステージ１０００の検出された侵入異常に関する情報を異常分析器４０に出力する。一実施形態では、出力情報は、インターネットプロトコルを介した診断（ＤｏＩＰ）、伝送制御プロトコル（ＴＣＰ）、統一診断サービス（ＵＤＳ）および／またはユーザーデータグラムプロトコル（ＵＤＰ）を使用して送信される。

一実施形態では、セキュリティモニタ３０および／または１２０は、検出された侵入異常に関する情報を含むよう診断異常コード（ＤＡＣ）を生成する。本明細書で使用されるＤＡＣという用語は、適切な構成から逸脱する異常を示すコードとして意味される。ＤＴＣとは対照的に、以下により詳細に説明するように、ＤＡＣは、セキュリティ上の欠陥、安全上の欠陥、ハッキングの識別などの複雑な異常に対して、異常コードを提供する。例えば、ＤＤＯＳ攻撃が検出された場合、各アクセスの試みは適切なため、そのような攻撃は標準ＤＴＣに関連する異常を構成しない。アクセスの試みの蓄積が検出された場合のみ、セキュリティモニタ３０および／または１２０によってＤＤＯＳ攻撃が検出され、適当なＤＡＣが生成される。さらに、以下に説明するように、ＤＴＣは典型的には、サイズが制限されており、通常２バイトのデータしか含めることができないが、ＤＡＣは、より大きく、より多くのデータを含めることができる。

一実施形態では、各ＤＡＣは、それぞれの侵入異常を示している。別の実施形態では、同じＤＡＣが各侵入異常に対して生成され、ＤＡＣのペイロードは、検出されたそれぞれの侵入異常を示す情報を運ぶ。一実施形態では、セキュリティモニタ３０および／または１２０は、関連情報を診断イベントマネージャ（ＤＥＭ）に出力し、ＤＥＭ（図示せず）は、それぞれのＤＡＣを生成する。一実施形態では、出力情報は、侵入異常のタイプ、侵入異常の重大度、およびすべての他の関連情報を含む。

一実施形態では、セキュリティモニタ３０および／または１２０は、検出された侵入異常に関する情報をそれぞれのメモリ（図示せず）に記憶する。さらなる一実施形態では、異常分析器４０は、検出されたすべての侵入異常に関する情報を定期的に要求する。別のさらなる実施形態では、セキュリティモニタ３０および／または１２０は、所定の時間間隔で、または所定のルールに応答して、そこからの要求を受信することなく、記憶された情報を異常分析器４０に定期的に送信する。さらなる一実施形態では、所定のルールは、一旦少なくとも所定の数の侵入異常が検出されると情報を送信すること、所定の値の重大度を示す少なくとも所定の数の侵入異常が検出されると情報を送信すること、および／または一旦ＥＣＵ２０、１１０、３５０および／または３６０の少なくとも所定の数またはタイプに関連する少なくとも所定の数の侵入異常だと、情報を送信すること、を含む。別の実施形態では、検出された侵入異常に関する情報は、ＥＣＵ２０、１１０、３５０、および／または３６０に関連する任意のＤＴＣとともに送信される。別の実施形態では、各検出された侵入異常に関する情報は、それぞれの侵入異常が検出されると、異常分析器に送信される。

１つの非限定的な実施形態では、各それぞれの侵入異常の情報を含む出力メッセージは、次のフィールドを含む：任意選択的には１バイトのサイズのメッセージ長、任意選択的には４バイトのサイズのメッセージ識別子、任意選択的には１バイトのサイズの異常タイプ、任意選択的には１バイトのサイズの異常サブタイプ、任意選択的には１バイトのサイズの異常の決定された重大度、任意選択的には１バイトのサイズの第１の値のフィールド、および、任意選択的には４バイトのサイズの任意の第２の値のフィールド。

例えば、ステアリングホイールの角度の値が所定の有効な角度範囲の最大値より１０度大きく、異常の重大度が２であることを示す異常の場合、メッセージは任意選択的に次のようになる。

このような例では、第２の値のフィールドは利用されない。別の例では、重大度が３で、信号「ａ」の値と信号「ｂ」の値の差が所定の閾値よりも大きいことを示す異常の場合、メッセージは任意選択的に次のようになる。

このような例では、第２の値のフィールドは、実際の偏差値とともに実際の信号値を送信するために利用される。上記のように、同じメッセージが信号「ｃ」および「ｄ」を追加で含む場合、メッセージは任意選択的に次のようになる。

したがって、２つのＤＡＣメッセージが同じメッセージに対して送られる。

無効なＭＡＣアドレスが検出される別の例では、上記のように、メッセージは任意選択的に次のようになる。

ＭＡＣアドレスの長さは６バイトで、第１の値のフィールドの長さは２バイトしかないため、第２の値のフィールドもＭＡＣアドレスに使用される。上記のように、無効性になる可能性があるのは、それぞれのＭＡＣアドレスを表すソースが、それぞれのＩＰアドレスを表すそれぞれの宛先にメッセージを送ることが許可されていない場合である。したがって、異常サブタイプはＭＡＣアドレスとＩＰアドレスの不一致である。

別の例では、上記のように、２つのメッセージ間の値の不一致の異常の場合、メッセージは任意選択的に次のとおりになる。

上記の例は、メッセージが１５バイトの長さを表す実施形態を示しているが、これはいかなる方法でも限定することを意味するものではなく、様々な長さのメッセージが生成され得る。上記の例は、異常の関連情報が単一のメッセージで送信される実施形態を示しているが、これはいかなる方法でも限定することを意味するものではなく、検出された侵入異常ごとに複数のメッセージを生成され得る。

ステージ１０２０において、異常分析器４０は、検出された侵入異常に関するステージ１０１０の受信された出力情報を蓄積する。任意選択的には、受信された情報はメモリ４４０に記憶される。ステージ１０３０において、異常分析器４０は、少なくとも１つの車両ステータス信号を受信する。一実施形態では、少なくとも１つの車両ステータス信号は、車両信号機能４１０によって受信される。別の実施形態では、少なくとも１つの車両ステータス信号は、イーサネットスイッチ／ハブ３１０および／または通信制御ユニット３３０から受信される。本明細書で使用される「車両ステータス信号」という用語は、車両の特定のシステムの現在の状態を表す信号、および／または車両の外部の状態を表す信号として定義される。具体的には、一実施形態では、少なくとも１つの車両ステータス信号は、限定されないが、車両の速度、初期位置に関連するステアリングホイールの角度、車両が入っているギア、ブレーキの位置、車両のエンジンのステータス、例えば、１分間当たりの回転数（ＲＰＭ）、および／または初期位置に関連する車両のジャイロの位置を含む。さらなる一実施形態では、少なくとも１つの車両ステータス状態信号は、環境条件、例えば、天候の所定の属性、車両の外側の照明の量および／またはタイプ、または車両が走行している道路の状態をさらに含む。このような信号は、車両の専用センサーから受信されるか、および／またはインターネットなどの外部ソースから受信される。別のさらなる実施形態では、少なくとも１つの車両ステータス信号は、周囲の車両のステータス、例えば、最も近い車両からの距離、周囲の車両の速度、および／または周囲の車両の角運動量をさらに含む。このような信号は、レーダーシステムから、および／または車両間（Ｖ２Ｖ）通信を介して受信される。

さらなる一実施形態では、少なくとも１つの車両ステータス信号は、それぞれの所定の閾値に関連している。一例では、車両の速度が所定の速度閾値と比較され、車速が所定の速度閾値よりも大きいか、または所定の速度閾値よりも小さいかが決定される。別の例では、初期位置に対するステアリングホイールの角度が所定の角度閾値と比較され、ステアリングホイール角度が所定の角度閾値よりも大きいか、または所定の角度閾値よりも小さいかが決定される。

別の例では、車両の現在のギアが所定のギア閾値と比較され、車両の現在のギアが所定のギア閾値よりも大きいか、または所定のギア閾値よりも小さいかが決定される。別の例では、ブレーキの位置が所定のブレーキ閾値と比較され、現在のブレーキ位置が所定のブレーキ閾値よりも大きいか、または所定のブレーキ閾値よりも小さいかが決定される。１つの非限定的な実施形態では、所定のブレーキ閾値は．
ＢＴＨ＝｜ＭＡＸ－ＭＩＮ｜／２ ＥＱ．１
として提供され、ＭＡＸはブレーキが完全に押し下げられたときの位置であり、ＭＩＮはブレーキが押し下げられていないときの位置である。

別の例では、エンジンのＲＰＭが所定のＲＰＭ閾値と比較され、現在のＲＰＭ値が所定のＲＰＭ閾値よりも大きいか、または所定のＲＰＭ閾値よりも小さいかが決定される。別の例では、初期位置に対するジャイロの位置が所定のジャイロ閾値と比較され、現在のジャイロ位置値が所定のジャイロ閾値よりも大きいか、または所定のジャイロ閾値よりも小さいかが決定される。

一実施形態では、所定の閾値との比較は、車両信号機能４１０によって実施される。別の実施形態では、比較は、車両内の他のシステムによって実施され、車両ステータス信号の相対値、すなわち、各信号とそれぞれの所定の値との関係は、車両信号機能４１０によって受信される。例えば、異常分析器４０の外部にある専用システムは、車両が高速または低速のどちらで走行しているかを決定し、車両信号機能４１０は、車両の速度が高速か低速かを示すそれぞれの信号を受信する。

任意選択的はステージ１０４０において、異常分析器４０は、受信された少なくとも１つの車両ステータス信号の各々のグレードを決定し、１つ以上の所定のグレード付けルールにさらに応答する。任意選択的には、グレードは、車両信号機能４１０によって決定される。１つの非限定的な実施形態では、第１のグレード値は、それぞれの車両ステータス信号値がゼロに等しいときに割り当てられる。そのような実施形態では、第２のグレード値は、それぞれの車両ステータス信号値がゼロよりも大きいが、それぞれの所定の閾値よりも小さいときに割り当てられる。例えば、車両の速度がゼロより大きく、所定の速度閾値よりも小さい場合、第２のグレード値が車速に割り当てられる。さらに、それぞれの車両ステータス信号値がそれぞれの所定の閾値以上である場合、第３グレードの値が割り当てられる。

任意選択的なステージ１０５０において、現在の車両のステータスの合計グレードは、ステージ１０３０の受信された少なくとも１つの車両ステータス信号および所定のグレード付けルールに応じて、異常分析器によって、任意選択的には、車両信号機能４１０によって決定される。一実施形態では、所定のグレード付けルールが次のように提供される。
ＴＧ＝ｆ（ｓｐｅｅｄ＿ｇ、ａｎｇｌｅ＿ｇ、ｇｅａｒ＿ｇ、ｂｒａｋｅ＿ｇ、ｅｎｇｉｎｅ＿ｇ、ｇｙｒｏ＿ｇ） ＥＱ．２
ここで、ＴＧは現在の車両ステータスの合計グレード、ｓｐｅｅｄ＿ｇは任意のステージ１０３０の車速グレード、ａｎｇｌｅ＿ｇはステアリングホイールの角度グレード、ｇｅａｒ＿ｇはギアグレード、ｂｒａｋｅ＿ｇはブレーキグレード、ｅｎｇｉｎｅ＿ｇはエンジンステータスのグレードであり、ｇｙｒｏ＿ｇはジャイロのステータスのグレードであり、上記のように、ｆは、相手先商標製造会社（ＯＥＭ）によって定義されることが好ましい関数である。１つの非限定的なさらなる実施形態では、合計グレードは次のように定義される：
ＴＧ＝ｗ１^＊（ｓｐｅｅｄ＿ｇ）＋ｗ２^＊（ａｎｇｌｅ＿ｇ）＋ｗ３^＊（ｇｅａｒ＿ｇ）＋ｗ４^＊（ｂｒａｋｅ＿ｇ）＋
ｗ５^＊（ｅｎｇｉｎｅ＿ｇ）＋ｗ６^＊（ｇｙｒｏ＿ｇ） ＥＱ．３
ここで、ｗ１は任意のステージ１０４０の車速グレードに対する所定の重み、ｗ２は任意のステージ１０４０のステアリングホイール角度のグレードに対する所定の重み、ｗ３は任意のステージ１０４０のギアステータスのグレードに対する所定の重み、ｗ４は任意のステージ１０４０のブレーキステータスのグレードに対する所定の重み、ｗ５は任意のステージ１０４０のエンジンステータスのグレードに対する所定の重み、ｗ６は任意のステージ１０４０のジャイロステータスのグレードに対する所定の重みである。

上記のように、一実施形態では、少なくとも１つの車両ステータス信号は、環境条件および／または周囲の車両のステータスをさらに備える。そのような実施形態では、ＥＱ．２の関数は、任意のステージ１０４０に関して上記で説明したように、任意選択的にグレード付けされるこれらの信号をさらに含む。したがって、車両が危険にさらされているレベルをより正確に示すことができる。

任意のステージ１０４０～１０５０は、受信された車両ステータス信号にグレードが割り当てられる実施形態に関連して説明されてきたが、これは如何なる方法でも限定することを意味するものではない。別の実施形態では、実際のグレード値を割り当てることなく、受信された車両ステータス信号の情報を利用する別の方法を使用することができる。

任意のステージ１０６０において、異常分析器４０、任意選択的には、異常機能４２０によって、各異常の持続時間、すなわち、それぞれのシステムの所定の時間期間内の異常メッセージの数が決定される。

ステージ１０７０において、異常分析器４０は、ステージ１０３０の受信された少なくとも１つの車両ステータス信号に応答して、ステージ１０２０の検出された侵入異常に関する蓄積された出力情報を異常事象リストと比較する。上記のように、一実施形態では、異常事象リストは、メモリ４４０に記憶される。任意選択的には、比較は、異常機能４２０によって実施される。

比較は、アイテム比較により直接アイテムに限定されるものではなく、値の範囲の識別、または値の変換は、範囲を超えずに利用でき、１つ以上の所定の異常事象リストルールに従っている。１つの特定の実施形態では、異常事象リスト内の各異常事象は、所定のパラメータのセットを含み、検出された侵入異常または複数の異常の所定の属性がそれぞれのパラメータの値を満たすときに異常事象が検出される。一実施形態では、所定のルールセットは、上記のように、受信された検出された異常の数、検出された異常の厳しさ、検出された異常の持続時間、および／または検出された異常の対象となるＥＣＵの数を含むが、これらに制限されない、複数の所定のパラメータを備える。一実施形態では、重大度および／または持続時間は、それぞれ、最高の重大度および最長の持続時間を有する異常に関連して決定される。別の実施形態では、重大度および／または持続時間は、検出された異常の所定の数またはパーセンテージに関連して決定される。

例えば、異常分析器４０は、重大度のグレードが２より大きい異常が２つ以下であることなどをチェックする。一実施形態では、異常事象リストに設定された各ルールは、警告インジケータが送られるかどうかを示す関連フラグを有する、および／または通信が無効にされる。代替の実施形態では、複数の異常事象リストが提供され、各々が関連する１つまたは複数の作用を伴う。別の実施形態では、関連する作用は、検出された異常の特定のタイプまたは複数のタイプに応答する。

さらに、上記のように、異常事象リストとの比較は、ステージ１０３０の受信された少なくとも１つの車両ステータス信号に関連してさらに実施される。特に、一実施形態では、比較は、ＥＱ．２に関連して上記で説明した、車両ステータスの決定された合計グレードＴＧに関連して実施される。さらなる一実施形態では、異常事象リストの所定のイベントのパラメータ値は、合計グレードの値に従って決定される。

異常事象リスト内の複数の異常事象の非限定的な例を表１に示す。

ＴＧ１とＴＧ２は異なる合計グレードＴＧであり、ＴＧ２はＴＧ１よりも大きく、ｔ１は、所定の持続時間閾値である。本例の異常事象は、それぞれのグレードＴＧに従って、異なるルールセットによって定義されている。受信された検出された異常がルールセットのパラメータ値を満たす場合、異常事象が発生したと決定される。表１に示すように、異なるグレードＴＧには、異なるルールセットがある。例えば、上記のように、合計グレードＴＧが大きい場合、異常事象を識別するために、より多くの数のタイプおよび／または異常が必要になる。これは、合計グレードＴＧが高いほど車両の危険性が高いことを示しているため、誤検知の数を減らすようにルールセットが配置されているためである。しかしながら、これはいかなる方法でも限定することを意味するものではなく、異なるルールセットは、任意の所定の関連ルールに従って、異なるそれぞれの合計グレードＴＧに関連付けられる。例えば、ルールセット３で説明されるように、重大度が高い異常の場合、明確で車両に危険な状況を迅速に引き起こす可能性のある異常に迅速に対応するよう、合計グレードＴＧが高いほど異常が少なくて済む。

一例では、合計で２つのメッセージを受信すると次のようになる。

および

合計車両グレードＴＧ１については、侵入異常はルールセット１の条件を満たしているため、すなわち、タイプの異なる２つの異常があり、重大度が２を超えているため、異常事象リストのそれぞれのパラメータを満たしている。

しかしながら、次の異常は、異常事象リストのそれぞれのパラメータを満たしていない、すなわち、どのルールセットの条件も満たしていない。

および

重大度が２を超える異常が２つあるが、異常は同じタイプであるため、ルールセット１、ルールセット２、またはルールセット３の条件を満たしていない。

上記は異常のタイプに関連して説明されているが、これはいかなる方法でも限定することを意味するものではない。別の実施形態では、異常事象リストのルールセットは、異常のタイプに関する条件に加えて、異常のサブタイプに関する条件をさらに含む。

ステージ１０８０において、ステージ１０７０の比較の所定の結果に応答して、異常分析器４０は、少なくとも１つの所定の事象信号を出力する。所定の事象信号は、異常事象が検出されたことを示すことを含む。一実施形態では、ステージ１０７０の比較の第１の結果に応答して、所定の事象信号が出力され、ステージ１０７０の比較の第２の結果に応答して、所定の事象信号が出力されない。第１の結果は、異常事象が検出されたという決定であり、第２の結果は、異常事象が検出されなかったという決定である。比較が、それぞれの侵入異常の所定の属性が異常事象リスト内の異常事象の所定のパラメータの値を満たすかどうかを決定する上記で説明した実施形態では、比較の第１の結果は、それぞれの侵入異常の所定の属性が、異常事象の所定のパラメータの値を満たすという決定であり、比較の第２の結果は、それぞれの侵入異常の所定の属性が、異常事象の所定のパラメータの値を満たさないという決定である。

一実施形態では、所定の事象信号は、複数の所定の事象信号から選択される。複数の所定の事象信号は、アラートメッセージ、および所定の時間間隔の間、ＥＣＵ２０、１１０、３５０および／または３６０への通信を無効にするコマンドを含む。一実施形態では、通信を無効にすることは、通信制御ユニット３２０または通信制御ユニット３３０の通信機能を無効にすることを含む。さらなる一実施形態では、アラートメッセージはサーバーに送信される。別のさらなる実施形態では、アラートメッセージは、車両の運転者に表示される。任意選択的には、表示されたアラートメッセージは、運転者に車を道の片側に寄せて停止するように促すことができる。さらに、任意選択的には、自動運転車では、アラートメッセージは、車を道の片側に寄せて停止させることができる。一実施形態では、通信制御ユニット３２０または通信制御ユニット３３０の通信機能を無効にするコマンドは、ＩＳＯ １４２２９－１で定義されているように、統一診断サービス（ＵＤＳ）プロトコルメッセージを利用することによって実施される。この特定の実施形態では、異常分析器４０は、通信制御ユニット３２０または通信制御ユニット３３０をメッセージの対象として、ＵＤＳを介したサービス０ｘ３１リクエストを使用して、通信制御ユニット３２０または通信制御ユニット３３０の状態を、すべての入来するリクエストをブロックするように、変更する。

一実施形態では、所定の事象信号は、複数の異常事象のうちのそれぞれの検出された１つに応答する複数の事象信号から選択される、すなわち、検出された異常事象ごとに、異なる所定の事象信号が選択される。別の実施形態では、アラートメッセージが常に生成され、通信制御ユニット３２０または通信制御ユニット３３０の通信機能を無効にするコマンドは、ある所定の異常事象の検出、および／または所定の車両グレードなどの１つ以上の所定のパラメータを満たす受信された少なくとも１つの車両信号に応答してのみ生成される。

任意選択的なステージ１０９０において、ステージ１０８０の検出された異常事象に応答して、異常分析器４０、任意選択的にはその調整機能４３０が調整信号を生成し、ＥＣＵ２０、１１０、３５０、もしくは３６０、セキュリティモニタ３０および／もしくは１２０、または通信制御ユニット３２０および／もしくは３３０のうち１つ以上に出力される。生成された調整信号に応答して、将来的な異常識別は、調整された検証値のセットに従って実施される。特に、上記のように、異常は、所定のセットの異常ルールに応答して検出される。異常事象が検出された場合、セキュリティリスクが高まるため、より厳格なセットの異常ルールが利用される。例えば、サービス拒否攻撃が検出された場合、生成された調整信号により、セキュリティモニタ３０および／または１２０は、異常の検出をトリガーする所定の時間間隔内のメッセージの数が減少するように、それぞれの検証値を調整する。

明確にするために別個の実施形態に関連して説明される本発明のある特定の特徴は、単一の実施形態に組み合わせて提供することもできることが理解される。逆に、簡略化のために単一の実施形態の文脈で説明される本発明の様々な特徴もまた、別個にまたは任意の好適なサブ組み合わせで提供され得る。特に、本発明は、クラスによる各動力デバイスの識別で説明されてきたが、これは、いかなる方法でも限定することを意味するものではない。代替の実施形態では、すべての動力デバイスは等しく扱われ、したがって、関連する動力要件によるクラスの識別は必要とされない。

別段に定義されない限り、本明細書で使用されるすべての専門用語および／または科学用語は、本発明が帰属する技術分野の当業者によって一般に理解されるのと同意を有する。本明細書に説明されているものと同様または同等の方法を本発明の実施または試験に使用することができるが、本明細書には好適な方法が記載されている。

本明細書で言及されるすべての刊行物、特許出願、特許、および他の参考文献は、それらの全体が参照によって組み込まれる。矛盾する場合は、定義を含む本特許明細書が優先される。さらに、材料、方法、および例は、単なる例示であり、限定することを意図していない。

当業者には、本発明が、上で特に示され説明されたものによって限定されないことが理解されよう。むしろ、本発明の範囲は、添付の特許請求の範囲によって定義され、上記の様々な特徴の組み合わせおよびサブ組み合わせの両方、ならびに前述の説明を読んだときに当業者に生じるであろうそれらの変形および修正を含む。

Claims (23)

1. 自動車両における侵入異常を監視するシステムであって、
   少なくとも１つの電子制御ユニットと、
   前記少なくとも１つの電子制御ユニットに関連する侵入異常を検出し、前記検出された侵入異常に関する情報を出力するように構成された少なくとも１つのセキュリティモニタと、
   異常分析器であって、
   前記検出された侵入異常に関する前記出力情報を蓄積し、
   少なくとも１つの車両ステータス信号を受信し、
   前記受信された少なくとも１つの車両ステータス信号に応答して、前記検出された侵入異常に関する前記蓄積された出力情報を、異常事象リストと比較することであって、前記異常事象リストが、少なくとも１つの異常事象を含む、比較することと、
   前記比較の所定の結果に応答して、所定の事象信号を出力するよう構成された異常分析器と、を備えるシステム。
2. 前記異常分析器が、車両ステータスグレードを決定するようにさらに構成され、前記車両ステータスグレードが、前記受信された少なくとも１つの車両ステータス信号の所定の機能に応答して決定され、
   前記異常事象リストが、複数セットの異常事象リストパラメータ値を含み、前記比較が、前記複数のセットの異常事象リストパラメータ値に関して実施され、
   前記異常事象リストパラメータ値が、前記決定された車両ステータスグレードに応答して選択される、請求項１に記載のシステム。
3. 前記少なくとも１つのセキュリティモニタが、１つ以上のメッセージの所定の属性が所定の検証パラメータ値を満たさないことに応答して、前記侵入異常を検出するように構成され、
   前記比較の前記所定の結果に応答して、前記異常分析器が、
   調整信号を生成し、
   前記生成された調整信号を前記少なくとも１つのセキュリティモニタに出力し、前記生成された調整信号に応答して、前記少なくとも１つのセキュリティモニタの前記所定の検証パラメータ値が調整されるようにさらに構成されている、請求項１に記載のシステム。
4. 前記受信された少なくとも１つの車両ステータス信号が、前記車両の少なくとも１つの内部システムのステータスを示す少なくとも１つの信号を含む、請求項１～３のいずれか一項に記載のシステム。
5. 前記車両の少なくとも１つの内部システムのステータスを示す前記受信された少なくとも１つの車両ステータス信号が、
   前記車両の速度、
   前記車両のステアリングホイール角度、
   前記車両が入っているギア、
   前記車両のブレーキ、
   前記車両のエンジン、または
   前記車両のジャイロの位置のステータスを示す少なくとも１つの信号を含む、請求項４に記載のシステム。
6. 前記受信された少なくとも１つの車両ステータス信号が、前記車両の外部の環境のステータスを示す少なくとも１つの信号を含む、請求項１～３のいずれか一項に記載のシステム。
7. 前記受信された少なくとも１つの車両ステータス信号が、前記車両を取り巻く追加の車両のステータスを示す少なくとも１つの信号を含む、請求項１～３のいずれか一項に記載のシステム。
8. 前記少なくとも１つの車両ステータス信号が、複数の車両ステータス信号を含む、請求項１～３のいずれか一項に記載のシステム。
9. 前記所定の事象信号が、アラートメッセージを含む、請求項１～３のいずれか一項に記載のシステム。
10. 前記少なくとも１つの電子制御ユニットとのデータ通信を制御するように構成された通信制御ユニットをさらに備え、
    前記所定の事象信号が、前記通信制御ユニットの通信機能を無効にするコマンドを含む、請求項１～３のいずれか一項に記載のシステム。
11. 前記少なくとも１つの電子制御ユニットとのデータ通信を制御するように構成された通信制御ユニットをさらに備え、
    前記少なくとも１つの異常事象が複数の異常事象を含み、前記比較の前記所定の結果が、前記蓄積された出力情報が前記複数の異常事象のうちの１つの存在を示すことを識別することを含み、
    前記所定の事象信号が、前記複数の異常事象のうちの前記それぞれの検出された１つに応答して、複数の所定の事象信号から選択され、
    前記複数の所定の事象信号が、
    アラートメッセージ、および
    前記通信制御ユニットの通信機能を無効にするコマンドを含む、請求項１～３のいずれか一項に記載のシステム。
12. 前記少なくとも１つの電子制御ユニットが、複数の電子制御ユニットを含み、
    前記少なくとも１つのセキュリティモニタが、複数のローカルセキュリティモニタを含み、前記複数のローカルセキュリティモニタの各々が、前記複数の電子制御ユニットのそれぞれの１つに関連付けられている、請求項１～３のいずれか一項に記載のシステム。
13. 自動車両における侵入異常を監視する方法であって、
    少なくとも１つの電子制御ユニットに関連する侵入異常を検出することと、
    前記検出された侵入異常に関する情報を出力することと、
    前記検出された侵入異常に関する前記出力情報を蓄積することと、
    少なくとも１つの所定の車両ステータス信号を受信することと、
    前記受信された少なくとも１つの車両ステータス信号に応答して、前記蓄積された出力情報を異常事象リストと比較することであって、前記異常事象リストが、少なくとも１つの異常事象を含む、比較することと、
    前記比較の所定の結果に応答して、所定の事象信号を出力することと、を含む方法。
14. 車両ステータスグレードを決定することをさらに含み、前記車両ステータスグレードが、前記受信された少なくとも１つの車両ステータス信号の所定の機能に応答して決定され、
    前記異常事象リストが、複数のセットの異常事象リストパラメータ値を含み、前記比較が、前記複数のセットの異常事象リストパラメータ値に関して実施され、
    前記異常事象リストパラメータ値が、前記決定された車両ステータスグレードに応答して選択される、請求項１３に記載の方法。
15. 前記侵入異常を前記検出することが、１つ以上のメッセージの所定の属性が所定の検証パラメータ値を満たさないことに応答してのものであり、
    前記比較の前記所定の結果に応答して、前記方法は、
    調整信号を生成することと、
    前記生成された調整信号を出力することであって、前記所定の検証パラメータ値が、前記出力調整信号に応答して調整される、出力することと、をさらに含む、請求項１３に記載の方法。
16. 前記受信された少なくとも１つの車両ステータス信号が、前記車両の少なくとも１つの内部システムのステータスを示す少なくとも１つの信号を含む、請求項１３～１５のいずれか一項に記載の方法。
17. 前記車両の少なくとも１つの内部システムのステータスを示す前記受信された少なくとも１つの車両ステータス信号が、
    前記車両の速度；
    前記車両のステアリングホイール角度、
    前記車両が入っているギア、
    前記車両のブレーキ、
    前記車両のエンジン、または
    前記車両のジャイロの位置のステータスを示す、少なくとも１つの信号を含む、請求項１６に記載の方法。
18. 前記受信された少なくとも１つの車両ステータス信号が、前記車両の外部の環境のステータスを示す少なくとも１つの信号を含む、請求項１３～１５のいずれか一項に記載の方法。
19. 前記受信された少なくとも１つの車両ステータス信号が、前記車両を取り巻く追加の車両のステータスを示す少なくとも１つの信号を含む、請求項１３～１５のいずれか一項に記載の方法。
20. 前記少なくとも１つの車両ステータス信号が、複数の車両ステータス信号を含む、請求項１３～１５のいずれか一項に記載の方法。
21. 前記所定の事象信号が、アラートメッセージを含む、請求項１３～１５のいずれか一項に記載の方法。
22. 前記所定の事象信号が、前記少なくとも１つの電子制御ユニットへの通信を無効にするコマンドを含む、請求項１３～１５のいずれか一項に記載の方法。
23. 前記少なくとも１つの異常事象が複数の異常事象を含み、前記比較の前記所定の結果が、前記蓄積された出力情報が前記複数の異常事象のうちの１つの存在を示すことを識別することを含み、
    前記所定の事象信号が、前記複数の異常事象のうちの前記それぞれの検出された１つに応答して複数の所定の事象信号から選択され、
    前記複数の所定の事象信号が、
    アラートメッセージ、および
    前記少なくとも１つの電子制御ユニットへの通信を無効にするコマンドを含む、請求項１３～１５のいずれか一項に記載の方法。

Images