JP2023122636A - 車両のソフトウェアの改竄の軽減 - Google Patents

Abstract

【課題】車両のソフトウェアの改竄の軽減すること。
【解決手段】方法は、ソフトウェアの改竄を軽減するための中央デバイスにおいて、車両の車載ネットワークの複数のコンポーネントのうちの第１のコンポーネントのソフトウェアの改竄の可能性を認識するステップを含む。改竄を軽減するための中央デバイスは、車載ネットワークの一部であり、車載ネットワークの複数のコンポーネントの各々におけるソフトウェアの改竄を軽減するように設計されている。方法は、改竄を軽減するための中央デバイスによって、第１のコンポーネントのソフトウェアの改竄を軽減するための対策を導入するステップと、第１のコンポーネントのソフトウェアの改竄を軽減するための対策を実施するステップとをさらに含む。改竄を軽減するための対策は、改竄の可能性の認識前に前記車載ネットワークで生じたデータトラフィックに関する情報の分析に基づいて選択される、改竄の再発を防止するための手段を含む。
【選択図】図３

Description

車両のソフトウェアに関する。

近年、車両は、ますますオープンコンテキストに組み込まれている（すなわち、車両が１つまたは複数のインターフェースを有し、インターフェースを介して動作中にデータが受信および／または送信され、他方それらは車両の動作のために使用される）。さらに、車両のコンポーネント、特にそれらのソフトウェアの複雑さは増し続けている。

その結果、車両のコンポーネントのソフトウェアの改竄の可能性がより多様になる。

現況技術のいくつかの方法では、改竄の検出およびとりわけ軽減（すなわち、規定の（安全な）状態が達成されるような修復）には、かなりの労力、したがって時間遅延が伴う。例えば、工場整備の枠組で、コンポーネント（例えば制御装置）の改竄されたソフトウェアをリセットし、したがって改竄を修復することができる。他の技法では、遠隔コンピュータシステムがソフトウェアを要求することができ、この技法により、コンポーネント（例えば制御装置）の改竄されたソフトウェアがリセットされ、したがって改竄が修復される。どちらの場合にも、改竄の検出と改竄の軽減との間にかなりの期間があり得る。状況によっては、この期間中に車両の動作が妨げられている（例えば、所定の安全基準がもはや満たされない）。いくつかの場合には、車両がもはや走行不能になる、またはその機能性が著しく損なわれていることがある。したがって、ソフトウェアの改竄を軽減するための改良された技法が望ましい。

本開示の第１の全般的な態様は、コンピュータ実装方法に関する。この方法は、ソフトウェアの改竄を軽減するための中央デバイスにおいて、車両の車載ネットワークの複数のコンポーネントのうちの第１のコンポーネントのソフトウェアの改竄の可能性を認識するステップを含む。改竄を軽減するための中央デバイスは、車載ネットワークの一部であり、車載ネットワークの複数のコンポーネントの各々におけるソフトウェアの改竄を軽減するように設計されている。この方法は、改竄を軽減するための中央デバイスによって、第１のコンポーネントのソフトウェアの改竄を軽減するための対策を導入するステップと、第１のコンポーネントのソフトウェアの改竄を軽減するための対策を実施するステップとをさらに含む。改竄を軽減するための対策は、改竄の可能性の認識前に車載ネットワークで生じたデータトラフィックに関する情報の分析に基づいて選択される、改竄の再発を防止するための手段を含む。

本開示の第２の全般的な態様は、第１の全般的な態様による方法を実行するように設計されているシステムに関する。
本開示の第３の全般的な態様は、車両用の車載ネットワークに関する。車載ネットワークは、第１のコンポーネントを含む複数のコンポーネントと、ソフトウェアの改竄を軽減するための中央デバイスとを含む。車載ネットワークは、第１の全般的な態様による方法を実行するように設計されている。

本開示の第４の全般的な態様は、第２の全般的な態様によるシステムを含む、もしくはその一部である、および／または第２の全般的な態様による車載ネットワークを含む車両に関する。

本開示の第１から第４の全般的な態様の技法は、いくつかの場合には、以下の利点の１つまたは複数を有し得る。
第１に、本開示の技法により、１つの車両および場合によってはさらなる車両の車載ネットワークが、（再発される）改竄から保護され得る。したがって、いくつかの状況では、車両の車載ネットワークの改竄は、対策によって確かに修復され得る。例えば、まず、改竄されたソフトウェアのリセットが、車載ネットワークを安全な状態にすることができる。それにもかかわらず、状況によっては侵入者によって新たな攻撃のために利用され得る車載ネットワークでの脆弱点が残る可能性がある。例えば、セキュリティが十分でない車載ネットワークのインターフェースによって脆弱点が生成される可能性があり、この脆弱点を、改竄されたソフトウェアを挿入するために侵入者が利用する可能性がある。本開示の技法は、認識された改竄の再発を防止するための手段が実施されることによって、いくつかの状況でこの問題に対処することができる。ここで、この手段は、改竄の可能性の認識前に生じた車載ネットワークでのデータトラフィックに関する情報の分析に基づいて選択される。データトラフィックに関するこれらの情報は、侵入者がソフトウェアの改竄にどのチャネルを使用したかを逆に導き出すことを可能にできる。ここで、対策は、識別されたチャネルに的確に関わることができる。例えば、コンポーネントのソフトウェアの改竄の前にデータが伝送された（疑いのある）インターフェースが無効にされ得る。このようにして、侵入者により脆弱点を繰り返し悪用することが閉ざされ得る。

第２に、改竄の再発を防止するための的確な手段の選択により、いくつかの状況では、他の対策の実施に比べて車載ネットワークの機能性をより広範に維持することができる。例えば、車両の安全な動作のためには、車載ネットワークの複数のコンポーネントが改竄された特定のインターフェースを無効にするのみで十分であり得る。このインターフェースが閉じられている場合、いくつかの場合には（場合によっては、コンポーネントのソフトウェアのリセットの後またはさらなる対策の後に）複数のコンポーネントを引き続き動作させることができる。それにより、例えば、影響を及ぼされたコンポーネントが無効にされる状況と比較して、車両の機能性をより広く利用することができる。

いくつかの用語は、本開示では以下のように使用される。
すなわち、本開示における（車載ネットワークの）「コンポーネント」は、命令を実行するための少なくとも１つのプロセッサと、少なくとも１つのソフトウェアコンポーネントを格納するためのメモリとを含む独自のハードウェアリソースを備える。「プロセッサ」という用語は、マルチコアプロセッサ、または電子デバイスの中央処理装置のタスクを引き受ける（および場合によってはタスクを共有する）複数の別個の構成部品も含む。コンポーネントは、独立してタスク（例えば、測定タスク、監視タスク、制御タスク、通信タスク、および／または他の作業タスク）を実行することができる。しかし、いくつかの例では、コンポーネントを別のコンポーネントによって制御することもできる。コンポーネントは、（例えば独自のハウジングを用いて）物理的に分離されていても、または上位システムに統合されていてもよい。コンポーネントは、車両の制御装置または通信機器であってもよい。コンポーネントは、埋め込みシステムであってもよい。コンポーネントは、１つまたは複数のマイクロコントローラを含んでもよい。

「埋め込みシステム」は、技術的なコンテキストに組み込まれている（埋め込まれている）コンポーネントである。ここで、コンポーネントは、監視機能、制御機能、もしくは調整機能を引き受ける、および／またはある形のデータもしくは信号処理を管轄する。

「（専用）制御装置」は、車両の１つ（のみ）の機能を制御するコンポーネントである。制御装置は、例えば、エンジン制御、ブレーキシステムの制御、またはアシストシステムの制御を引き受けることができる。ここで、「機能」は、車両の様々なレベルで定義することができる（例えば、機能に関して、単一のセンサまたはアクチュエータを使用することができ、しかしまた、より大きな機能ユニットにまとめられている多数のアセンブリを使用することもできる）。

「ソフトウェア」または「ソフトウェアコンポーネント」という用語は、基本的には、本開示のコンポーネント（例えば制御装置）のソフトウェアの各部分であり得る。特に、ソフトウェアコンポーネントは、本開示のコンポーネントのファームウェアコンポーネントであってもよい。ファームウェアは、（電子）コンポーネントに埋め込まれ、そこで基本的な機能を行うソフトウェアである。ファームウェアは、コンポーネントのそれぞれのハードウェアに、（一方が他方なしでは利用可能でないように）機能的に密接に接続される。ファームウェアは、フラッシュメモリまたはＥＥＰＲＯＭなどの不揮発性メモリに記憶されていてもよい。

「更新情報」または「ソフトウェア更新情報」という用語は、直接または対応する処理ステップ後に、本開示によるコンポーネントのソフトウェアコンポーネントを形成するすべてのデータを含む。更新情報は、実行可能コードまたはまだコンパイルされていないコード（対応するコンポーネントのメモリに格納されているコード）を含んでもよい。

「改竄」という用語は、本開示では、車両のコンポーネントのソフトウェアの各変更を含む。この変更は、攻撃（すなわちサードパーティの意図的な影響力行使）の結果であり得るが、無作為のまたは意図しない影響の結果でもあり得る。

「車両」という用語は、乗員および／または貨物を輸送するどの装置も含む。車両は、自動車（例えば乗用車またはトラック）であってもよく、しかしまた鉄道車両であってもよい。しかし、浮遊装置および飛行装置も車両であり得る。車両は、少なくとも一部自律動作するものであっても、または補助されるものであってもよい。

「車載ネットワーク」は、車両のコンポーネントがそれを介して通信する車両の各内部ネットワークであり得る。いくつかの例では、車載ネットワークは、近距離ネットワークである。車載ネットワークは、１つまたは複数の近距離通信プロトコル（例えば、２つ以上の近距離通信プロトコル）を使用することができる。近距離通信プロトコルは、無線または有線通信プロトコルであってもよい。近距離通信プロトコルは、バスプロトコル（例えば、ＣＡＮ、ＬＩＮ、ＭＯＳＴ、ＦｌｅｘＲａｙ、またはイーサネット）を含んでもよい。近距離通信プロトコルは、Ｂｌｕｅｔｏｏｔｈ（登録商標）プロトコル（例えば、Ｂｌｕｅｔｏｏｔｈ５もしくはそれ以降）またはＷＬＡＮプロトコル（例えば、ＩＥＥＥ８０２．１１ファミリーのプロトコル、例えば８０２．１１ｈもしくはそれ以降のプロトコル）を含んでもよい。車載ネットワークは、車両の外部のシステムと通信するためのインターフェースを含んでもよく、したがって他のネットワークに組み込むこともできる。しかし、車両の外部のシステムおよび他のネットワークは、車載ネットワークの一部ではない。

「・・・の可能性の認識」という表現は、ソフトウェアの改竄があり得る状態を認識するために、特定のイベント（例えば信号、または信号の不在）が所定の規則に従って解釈されることを意味する。

本開示の技法を示すフローチャートである。 本開示の技法を使用することができる車両の車載ネットワークのコンポーネントを示す図である。 車両の車載ネットワークの様々な脆弱点を示す図である。 第１のコンポーネントが改竄された、図２による車載ネットワークを示す図である。 第１のコンポーネントの改竄が修復された、図２による車載ネットワークを示す図である。

まず、図１～図３を参照して、本開示の技法を実施することができる車両、および本開示の技法の基本的な態様を論じる。図４および図５に基づいて、ソフトウェアの改竄を軽減するための中央デバイスのさらなる態様を説明する。

図１は、本開示の技法を示すフローチャートである。図２は、本開示の技法を使用することができる車両の車載ネットワークのコンポーネントを示す。図３は、車両の車載ネットワークの様々な脆弱点を示す。

図１では、中央の列に、いくつかの例ではソフトウェアの改竄を軽減するための中央デバイスによって（しかし他の例ではまた他のコンポーネントによって）実施され得るステップが示されている。右の列には、（ソフトウェアの改竄を軽減するための中央デバイスを除く）車載ネットワークの特定のコンポーネント（またはコンポーネントのグループ）によって実行されるステップが示されている。左の列には、遠隔システムによって（すなわち車両の外部で）実施されるステップが示されている。

本開示の技法は、車両２０の車載ネットワークの複数のコンポーネントのうちの第１のコンポーネント２７ｃのソフトウェアの改竄の可能性を認識するステップ１０１を含む。図２および図３に、車両２０が概略的に示されている。車両２０には、車両２０の複数のコンポーネント２１～２４、２５、２７ａ～ｆを接続する車載ネットワークが装備されている（車載ネットワークは、上述したように構成されていてもよい）。

車両２０は、ソフトウェアの改竄を軽減するための中央デバイス２５を有し、この中央デバイス２５は、改竄の可能性を認識する。したがって、これは車載ネットワークの一部である（すなわち、車両の一部でもあり、車両と共に移動される）。ソフトウェアの改竄を軽減するための中央デバイス２５は、車載ネットワークの複数のコンポーネント２１～２４、２７ａ～ｆの各々におけるソフトウェアの改竄を軽減するように設計されていてもよい。

いくつかの例では、ソフトウェアの改竄を軽減するための中央デバイス２５は、車両２０の中央通信インターフェースに統合されている。中央通信インターフェースは、車両２０内部での通信および／または通信インターフェース２１、２２を介する外界との通信のためのデータ分配器として機能するように設計されていてもよい。ここで、中央通信インターフェースは、（車載ネットワークでの通信または外部システムとの通信のための）異なる通信プロトコルをサポートする、および／またはセキュリティ機能を実装することができる。他の例では、ソフトウェアの改竄を軽減するための中央デバイスは、他のコンポーネントに統合されても（さらなる例は以下に続く）、またはスタンドアロンコンポーネントとして設計されていてもよい。

認識は、いくつかの例では、車両２０の車載ネットワークの複数のコンポーネントのうちの第１のコンポーネント２７ｃのソフトウェアの改竄を表示する信号の受信を含み得る。信号は、ソフトウェアの改竄を軽減するための中央デバイス２５自体、および／または別のデバイスにおいて生成することができる。

追加または代替として、認識は、（予想される）信号（例えば、第１のコンポーネント、または第１のコンポーネントを監視するコンポーネントからの信号）の不在の認識を含んでもよい。車載ネットワークは、複数のコンポーネント２１～２４、２５、２７ａ～ｆまたは他のコンポーネントが、複数のコンポーネント２１～２４、２５、２７ａ～ｆのそれぞれのコンポーネントのソフトウェアの改竄がないことを表示する信号を（例えば定期的に、またはコンポーネントの起動などの特定のイベントの発生時に）送信するように設計されていてもよい。

さらに追加または代替として、認識は、第１のコンポーネントのソフトウェアの改竄の可能性を認識するために、車載ネットワークの他のステータス情報の処理を含んでもよい。

車両２０の車載ネットワークの複数のコンポーネントのうちの第１のコンポーネント２７ｃのソフトウェアの改竄の可能性の認識（例えば、信号の受信または信号の不在の認識）に応答して、ソフトウェアの改竄を軽減するための中央デバイスによって、第１のコンポーネントの改竄を軽減するための対策が導入される１０３。その後、第１のコンポーネント２７ｃのソフトウェアの改竄を軽減するための対策が実施される１０５（例えば、ソフトウェアの改竄を軽減するための中央デバイス、および／または車載ネットワークの別のコンポーネントによって）。対策は、改竄の可能性の認識前に生じた車載ネットワークでのデータトラフィックに関する情報の分析に基づいて選択される、改竄の再発を防止するための手段を含む。

分析および／または選択は、ソフトウェアの改竄を軽減するための中央デバイス２５によって実施されてもよい。他の例では、分析および／または選択は、車両の１つまたは複数の他のコンポーネントによって実施されてもよい。再び他の例では、分析および／または選択は、遠隔システム３０によって実施されてもよい。いずれの場合も、分析および／または選択は、自動的に（すなわちユーザの関与なしで）行われ得る。そのために、分析および／または選択を実施することができるコンポーネントは、（例えば、ソフトウェアにおいて定義される）対応する機能性を備えることができる。分析および／または選択機能は、考えられる各形態で実装されていてもよい。例えば、規則ベースのアルゴリズムが実施され得る。他の例では、機械学習モジュールが、分析および／または選択を実施することができる。改竄の認識の後、所定の時間（例えば５分未満）内に分析および選択を実施され得る。

いくつかの例では、分析は、車両２０の車載ネットワークの脆弱点の発見を含んでもよい。ここで、脆弱点は、認識された改竄がそこを介して実施された可能性がある車載ネットワークの一部（例えば車載ネットワークの１つまたは複数のコンポーネント）であってもよい。

分析は、いくつかの例では、改竄の可能性の認識前に生じたデータトラフィックの内容の評価を含んでもよい。したがって、例えば、データトラフィックのどの部分がプログラミングプロセスのためのデータ（例えばソフトウェアコンポーネント、またはコンポーネントのプログラミングのための他の内容、例えばこれらのデータに典型的な署名）を含んでいたかを特定することができる。追加または代替として、分析は、改竄の可能性の認識前に生じたデータトラフィック内のプログラミングプロセスの発見を含んでもよい。さらに追加または代替として、データトラフィックのどの部分が既知のおよび／または予想される内容とは異なる内容を含んでいたかを特定することができる。例えば、データトラフィックの特定の部分が予想よりも広範な、および／または予想とは異なるデータタイプを含んだ可能性がある。追加または代替として、特定の時点でデータトラフィックが予想され得なかった車載ネットワークの部分で、データトラフィックが生じた可能性がある。これらの評価により、識別されたデータトラフィックが、第１のコンポーネントのソフトウェアが改竄されたデータトラフィックであったという結論を逆に導き出すことを可能にできる。

追加または代替として、分析は、認識された改竄のタイプの特定を含んでもよい。いくつかの例では、改竄のタイプの特定は、改竄の可能性の認識前にデータトラフィック（例えば、上述したように特定の内容を含むデータトラフィック）が生じた車両インターフェースの特定を含んでもよい。追加または代替として、認識された改竄のタイプの特定は、改竄された第１のコンポーネント２７ｃへのデータトラフィックの経路の特定、および／またはデータトラフィックのソースの特定を含んでもよい。

以下、図３を参照して、認識された改竄のタイプを特定する態様をさらに説明する。図３は、侵入者による様々なタイプの改竄のために悪用される可能性がある車両２０の車載ネットワークの様々な脆弱点を示す。

いくつかの例では、認識された改竄の前に、車両２０の特定のインターフェース２１、２２を介するデータトラフィック（図３ではインターフェース２１、２２に延びる矢印によって表されている）が生じたと特定することができる。特定のインターフェースは、無線インターフェース２１であってもよく、しかし他の例ではまた有線インターフェース２２（例えば、車載診断のためのインターフェース）であってもよい。車載ネットワークは、複数の無線インターフェースおよび／または有線インターフェースを有し得る。識別されたインターフェースに関する情報は、再発を防止するための手段の選択に使用され得る。

追加または代替として、認識された改竄の前に、車載ネットワークの特定のコンポーネントのデータトラフィックが生じたことが認識されることがある（これも、図３で、それぞれのコンポーネントの近くで終わる矢印によって表されている）。このコンポーネントは、例えば、車載ネットワークの中央通信インターフェース２５であってもよい。他の例では、コンポーネントは、車両の中央制御ユニット２４であってもよい。再び他の例では、コンポーネントは、車両２０のインフォテインメントシステムのヘッドユニット（英語ではＨｅａｄ Ｕｎｉｔ）であってもよい。再び他の例では、コンポーネントは、車載ネットワークの中央コンピュータ（「車両コンピュータ」）であってもよい（車載ネットワークは、複数の中央コンピュータ（「車両コンピュータ」）を含んでもよい）。中央コンピュータ（「車両コンピュータ」）は、車載ネットワークの専用制御装置よりも（かなり）高性能であり、（状況によっては下記のドメインのいくつかでの）複数の制御装置のタスクを引き受けることができる。

再び他の例では、車両は、車両２０の複数の機能ドメインおよび／またはローカルドメインに分割されていてもよい。機能ドメインは、車両の特定の機能（例えば、エンジン制御、パワートレイン制御、インフォテインメント、空気調和など）の提供に関与する車両の様々なコンポーネントを含んでもよい。ローカルドメインは、車両の特定の領域内（例えば「右後部」、「左前部」、「内部前側」など）に物理的に配置された車両の様々なコンポーネントを含んでもよい。ドメインは、それぞれのドメイン２６ａ～ｎのための中央通信ノードとして機能する、および／またはそれぞれのドメイン２６ａ～ｎのための制御機能を引き受けるコンポーネント２７ａ、２７ｄを含んでもよい。ドメインのための中央通信ノードも同様に、認識された改竄の前にデータトラフィックが生じたコンポーネントとして認識されることがある。いくつかの例では、第１のコンポーネント２７ｃを改竄するためにソフトウェアコンポーネントがそれによって挿入されたデータトラフィックのソースとして、コンポーネント（例えば、上記のコンポーネントのうちの１つ）が特定され得る。識別されたコンポーネントに関する情報は、再発を防止するための手段の選択に使用され得る。

さらに追加または代替として、認識された改竄の前に、外部ソースから車両へのデータトラフィックが生じたことが認識されることがある。
いくつかの例では、分析は、特定のデータトラフィックと改竄の可能性の認識との間の時間的関係の確認を含んでもよい。例えば、データトラフィックは、第１のコンポーネント２７のソフトウェアの改竄を認識する所定の時間未満（例えば５分未満）前に生じていた可能性がある。

認識された改竄のタイプが特定されたとき、適切な再発を防止するための手段が選択され得る。
いくつかの例では、手段は、車両２０での特定のタイプのデータトラフィックの禁止または制限を含む。いくつかの例では、禁止または制限は、特定のコンポーネントの車載ネットワークを介する通信（例えば、特定のコンポーネントを出発点とする通信）の遮断を含んでもよい。特定のコンポーネントは、例えば、上述したコンポーネントの１つであってもよい。代替として、禁止または制限は、特定のコンポーネントの特定のタイプの通信の遮断を含んでもよい。例えば、特定のコンポーネントは、プログラミングプロセスのためのデータを送信することを禁じられることがある。代替または追加として、データの受信が禁止または制限されるのに対し、データの受信が引き続き許可されていてもよい（またはその逆）。さらに代替または追加として、第２のプロトコルを介する通信が引き続き許可されたままであるのに対し、第１のプロトコルを介する通信が禁止または制限されてもよい。さらに代替または追加として、特定のコンポーネントのデータトラフィックが特定の内容に制限されてもよい。さらに追加または代替として、禁止または制限は、車両にデータを送信する特定の外部ソースに関するものであり得る。したがって、１つまたは複数の外部ソースとの通信は制限または禁止され得る。

代替または追加として、手段は、車両２０の特定のコンポーネントのオフまたは制限を含んでもよい。いくつかの例では、特定のコンポーネントは、車両２０の車載ネットワークのインターフェース（例えば、無線インターフェース２１または有線インターフェース２２）である。他の例では、特定のコンポーネントは、車載ネットワークでのコンポーネント（例えば、上記のコンポーネントの１つ）である。特定のコンポーネントの機能性の制限は、特定のコンポーネントの１つまたは複数の機能（の一部）をオフにすることを含み得る。例えば、特定のコンポーネントは、通信機能がオフにされるのに対し、制御機能を引き続き実行することができる。特定のコンポーネントのオフにされた機能は、車載ネットワークの別のコンポーネントによって引き受けられてもよい。

前述したすべての例において、改竄の再発を防止するための手段は、車載ネットワークに的確に介入することができる。したがって、いくつかの場合には、車両の動作への広範囲に及び得る介入を必要とせずに、改竄の再発のリスクを減らすことができる。

いくつかの例では、改竄の可能性が認識された車両のみでなく、他の車両でも、改竄の再発を防止するための手段が実施され得る（別の車両のソフトウェアが改竄されていない、または改竄の可能性が認識されていないとしても実施することができ、したがって、この場合には、必ずしも同じ車両での改竄の再発ではなく、別の車両での（そのタイプの）改竄の再発である）。言い換えると、（第１の）車両２０での第１のコンポーネントのソフトウェアの改竄の可能性の認識は、１つまたは複数の他の車両（例えば、第１のコンポーネントに対応するコンポーネントが存在する車両、例えば同じタイプの車両）での手段の実施をトリガすることができる。いくつかの例では、これは、１つまたは複数の他の車両で第１のコンポーネントのソフトウェアの改竄の可能性が認識されたかどうかに関係なく行われる。このようにして、複数の車両（例えば、特定の地理的領域内の車両および／または特定のタイプの車両）が特定の改竄から保護され得る。改竄の再発を防止するための手段は、別の車両でも同様に、改竄を軽減するための中央デバイスによって導入され得る。いくつかの例では、別の車両は、（例えば遠隔システムを介して）手段を導入するように要求されることがある。他の例では、（第１の）車両２０が、車両２０の車載ネットワークの複数のコンポーネント２７ａ～ｆのうちの第１のコンポーネント２７ｃのソフトウェアの改竄の可能性の認識について別の車両に通知する車車間通信を行うことができる。その後、別の車両で同様に手段が実施され得る。

いくつかの例では、車載ネットワークでのデータトラフィックに関する情報の分析の結果をログ記録し、ログ記録された結果を改竄認識のために利用することができる（例えば、車両または外部システム３０に配置されていてもよい、車両の１つまたは複数の（改竄）検出デバイス、例えば以下でさらに述べる（改竄）検出デバイスで）。（改竄）検出デバイスは、将来の検出プロセスで情報を利用することができる。このようにして、（本開示の再発される改竄を防止するための技法が失敗した場合に）再発される特定のタイプの改竄が認識される可能性を高めることができる。

いくつかの例では、本開示の方法は、車両２０の車載ネットワークの更新に応答して手段を停止することをさらに含んでもよい。例えば、特定の時点で（例えば工場整備中または無線インターフェースを介して）、脆弱点の原因が排除され得る（例えば、脆弱点を形成するコンポーネントのソフトウェアを更新することにより）。その後、例えば、コンポーネントのオフもしくは制限、または車両２０内の特定のタイプのデータトラフィックの禁止もしくは制限が解除され得る。

以下のセクションでは、ソフトウェアの改竄を軽減するための中央デバイス２５の態様を説明する。図２の例に、ソフトウェアの改竄を軽減するための中央デバイス２５が示されている。いくつかの場合には、車両は、複数のコンポーネント２１～２４、２７ａ～ｆ（例えば、ソフトウェアの改竄を修復することができる車両のすべてのコンポーネント、またはこれらのコンポーネントのサブセット）の改竄を軽減するように設計されているソフトウェアの改竄を軽減するための中央デバイス２５を１つのみ含んでもよい。他の例では、車両は、ソフトウェアの改竄を軽減するための中央デバイスを複数有してもよく、それらは、車載ネットワークの一部であり、それぞれが車載ネットワークの複数のコンポーネントに割り当てられている（すなわち、割り当てられたコンポーネントのソフトウェアでの改竄を修復することができる）。しかし、どちらの場合にも、ソフトウェアの改竄を軽減するための中央デバイスは、割り当てられたコンポーネントから分離されている。ソフトウェアの改竄を軽減するための中央デバイス２５は、いくつかの場合には、それ自体のソフトウェア、および／またはソフトウェアの改竄を軽減するための中央デバイス２５が統合されているコンポーネントのソフトウェアの改竄を軽減するためにも設計されていてもよい。

図２の例では、本開示の技法を用いてそれらのソフトウェアの改竄を修復することができる複数のコンポーネントが、複数の制御装置２７ａ～ｆを含む。既に述べたように、本開示の技法は、制御装置に限定されず、基本的には、車両２０の車載ネットワークの各コンポーネントに使用可能である。しかし、車両内の制御装置２７ａ～ｆは、基本的には限られたハードウェアリソースおよび／または機能性しか備えていないので、本開示の技法は、いくつかの場合には制御装置にとって特に有利であり得る。

図２で、制御装置２７ａ～ｆは、いくつかのドメイン２６ａ～ｎに分割されている。ドメインは、車両２０の機能ドメインおよび／またはローカルドメインであり得る。機能ドメインは、車両の特定の機能（例えば、エンジン制御、パワートレイン制御、インフォテインメント、空気調和など）の提供に関与する車両の様々なコンポーネントを含んでもよい。ローカルドメインは、車両の特定の領域（例えば「右後部」、「左前部」、「内部前側」など）に物理的に配置された車両の様々なコンポーネントを含んでもよい。

他方でドメイン２６ａ～ｎは、それぞれのドメイン２６ａ～ｎのための中央通信ノードとして機能する、および／またはそれぞれのドメイン２６ａ～ｎのための制御機能を引き受けるコンポーネント２７ａ、２７ｄを含んでもよい。いくつかの例では、ソフトウェアの改竄を軽減するための中央デバイスは、それぞれのドメイン２６ａ～ｎのための中央通信ノードとして機能する、および／またはそれぞれのドメイン２６ａ～ｎのための制御機能を引き受けるコンポーネント２７ａ、２７ｄの一部であってもよい。このソフトウェアの改竄を軽減するための中央デバイスは、さらなるソフトウェアの改竄を軽減するための中央デバイス（例えば、車載ネットワークの中央通信インターフェースの一部としてのソフトウェアの改竄を軽減するための中央デバイス）に加えて、または唯一の、ソフトウェアの改竄を軽減するための中央デバイスとして提供されていてもよい（さらに上の説明を参照）。さらに代替または追加として、ソフトウェアの改竄を軽減するための中央デバイスは、車両の中央制御ユニット２４の一部として設計されていてもよい。さらに代替または追加として、ソフトウェアの改竄を軽減するための中央デバイスは、車両２０のインフォテインメントシステム（図２には図示せず）のヘッドユニット（英語では「Ｈｅａｄ Ｕｎｉｔ」）の一部として配置されていてもよい。さらに代替または追加として、ソフトウェアの改竄を軽減するための中央デバイスは、車載ネットワークの中央コンピュータ（「車両コンピュータ」）の一部として配置されていてもよい（車載ネットワークは、複数の中央コンピュータである「車両コンピュータ」を含んでもよい）。中央コンピュータ（「車両コンピュータ」）は、車載ネットワークの専用制御装置よりも（かなり）高性能であり、（状況によっては上記のドメインのいくつかでの）複数の制御装置のタスクを引き受けることができる。

車両２０は、中央永続的メモリ４１（すなわち、その情報を車両に永続的に、例えば１日よりも長く、もしくは１週間よりも長く記憶する、および／または車両のアイドリング状態中に記憶するメモリ）をさらに含んでもよい。いくつかの例では、永続的メモリ４１はフラッシュメモリを含んでもよい。図２の例では、永続的メモリ４１は、車両２０の中央通信インターフェースに配置されている、またはこの中央通信インターフェースに直接接続されている。上述したように、車両２０の中央通信インターフェースに、ソフトウェアの改竄を軽減するための中央デバイス２５を同様に配置していてもよい。ソフトウェアの改竄を軽減するための中央デバイスが（追加または代替として）別のコンポーネントに配置されているときも、追加または代替として永続的メモリを同じコンポーネントに配置していてもよい。このようにして、永続的メモリに格納されたデータを、ソフトウェアの改竄を軽減するための中央デバイスによって、改竄の軽減のために使用することができる。しかし、他の例では、ソフトウェアの改竄を軽減するための中央デバイスと永続的メモリとを、車載ネットワークの異なるコンポーネントに配置していてもよい（およびソフトウェアの改竄を軽減するための中央デバイスは、ネットワークを介して永続的メモリにアクセスできる）。

永続的メモリ４１は、複数のコンポーネント２７ａ～ｆの各々のためのソフトウェアコンポーネント４２ａ、４２ｃ～ｎを同時に記憶するように設計されていてもよい。このために、永続的メモリ４１は、２５６ＭＢを超える（好ましくは５ＧＢを超える）メモリ容量を有するように設計されていてもよい。

改竄に対する対策は、そのソフトウェアの改竄が認識されたコンポーネント（本開示では「第１のコンポーネント」とも呼ぶ）のソフトウェアをリセットすることを含んでもよい（例えば、中央永続的メモリ４１内に記憶されているそれぞれのコンポーネントのためのソフトウェアコンポーネント４２ａ、４２ｃ～ｎを使用して）。このさらなる対策のさらなる態様は、図５および図６を参照して以下にさらに論じる。

いくつかの例では、中央永続的メモリ４１に含まれるソフトウェアコンポーネント４２ａ、４２ｃ～ｎは、複数のコンポーネント２７ａ～ｎの各々に関するソフトウェア更新情報３２ａ、３２ｃ～ｎに基づくことができる（例えば、それらからソフトウェア更新情報３２ａ、３２ｃ～ｎとして生成される、またはこれらに対応する）。

ソフトウェア更新情報３２ａ、３２ｃ～ｎは、車両２０のインターフェース２１を介して受信することができる。インターフェース２１は、無線インターフェース（図２に図示されている）であってもよいが、他の例ではまた有線インターフェース２２（例えば、車載診断のためのインターフェース）であってもよい。車両は、インターフェース２１、２２の一方を介して遠隔システム３０からソフトウェア更新情報３２ａ、３２ｃ～ｎを受信するように設計されていてもよい。図１に示されているように、遠隔システム３０は、対応する車両に関するソフトウェア更新情報３２ａ、３２ｃ～ｎを選択し１０７、インターフェース２１、２２の一方を介して車両２０に送信する１０９ことができる。遠隔システム３０は、ソフトウェア更新情報３２ａ、３２ｃ～ｎを提供するのに適した任意の各システム（例えばクラウドストレージおよび／または分散システム）であってもよい。遠隔システム３０は、ソフトウェア更新情報３２ａ、３２ｃ～ｎの提供に加えて、車両の動作時にさらなる機能（例えば車両２０に対する監視および／または制御機能）を引き受けることができる。

いくつかの例では、複数のコンポーネント（例えば制御装置２７ａ、ｃ～ｎ）に関するソフトウェア更新情報３２ａ、３２ｃ～ｎは、ソフトウェアバンドルまたはソフトウェアコンテナ３１に含まれる（すなわち、ソフトウェア更新情報は、バンドルで提供される）。ソフトウェアバンドルまたはソフトウェアコンテナ３１（多くの場合、かなりのサイズである）は、特定の時点で車両２０に伝送される。上述したように、車両２０において、伝送されたソフトウェア更新情報３２ａ、３２ｃ～ｎは、複数のコンポーネント２７ａ～ｆのソフトウェアを更新するために使用される。このために、遠隔システム３０から得られたソフトウェア更新情報３２ａ、３２ｃ～ｎに、１つまたは複数の準備ステップ（例えば、展開、署名の検証など）を施すことができる。

追加または代替として、（例えばソフトウェアバンドルまたはソフトウェアコンテナでの）ソフトウェア更新情報３２ａ、３２ｃ～ｎは、有線インターフェース２２を介して受信することもできる。

ソフトウェア更新情報３２ａ、３２ｃ～ｎは、場合によってはあり得る準備ステップの前または後に、複数のコンポーネント２７ａ、ｃ～ｎのためのソフトウェアコンポーネント４２ａ、４２ｃ～ｎとして、（例えばコンポーネント２７ａ、ｃ～ｎのソフトウェアを更新するために使用される前に）永続的メモリ４１に格納することができる。このとき、格納されている、複数のコンポーネント２７ａ、ｃ～ｎのためのソフトウェアコンポーネント４２ａ、４２ｃ～ｎを、ソフトウェアの改竄を軽減するための中央デバイス２５が、複数のコンポーネント２７ａ、ｃ～ｎでの改竄を軽減するために利用可能である。この軽減は、複数のコンポーネント２７ａ、ｃ～ｎの各々のソフトウェアの更新の終了後（例えば、さらなるソフトウェア更新情報３２ａ、３２ｃ～ｎの受信までの期間）に行われ得る。

このようにして、本開示の技法は、いくつかの例では、例えば車両２０のソフトウェアの更新プロセスで使用される永続的メモリ４１など、車両に既にあるコンポーネントを取り扱うことができる。いくつかの場合には、これは、コンポーネントのかなりの節約につながる可能性がある（上述したように、ソフトウェア更新情報３２ａ、３２ｃ～ｎのソフトウェアバンドルまたはソフトウェアコンテナ３１を格納するために必要なメモリは、かなりの程度を占めることがある）。それに加えて、または代替として、個々のコンポーネントに追加のリソース（例えばメモリ）を備えることを避けることができ、これにより、同様に複雑さを低減し、したがってエラーの発生しやすさおよび／またはコストを低減することができる。さらに追加または代替として、永続的メモリ４１の情報は、多くの状況で、迅速に、車両の通信チャネルの利用可能性とは無関係に利用可能である。これは、改竄の軽減方法の反応時間を向上させることができる。

本開示の技法では、軽減に対する対策は、実質的に車両２０の外部のシステム（例えば遠隔システム３０）の補助なしに実施することができる。例えば、対策は、車両２０の外部のシステムとの通信を必要とせずに、ソフトウェアの改竄を軽減するための中央デバイス２５によって導入することができる（このプロセス中、車両２０は、他の目的のために車両２０の外部のシステムと十分に通信することができる）。追加または代替として、ソフトウェアの改竄を軽減するための中央デバイス２５（または車載ネットワークの別のコンポーネント）は、車両２０の外部のシステムとの通信を必要とせずに対策を実施することができる。

いくつかの例では、本開示の技法は、車両に関するコンテキスト情報に基づいて、複数のさらなる対策の中から１つのさらなる対策を選択することを含んでもよい。コンテキスト情報は、車両２０の動作状態に関する情報および／または車両２０の動作のための所定の規則に関する情報を含んでもよい。

動作状態は、車両の走行状態（例えば、高速走行、低速走行、特定の走行操作の実施など）であってもよいが、また車両が走行していない間の動作状態であってもよい。代替または追加として、車両２０に関するコンテキスト情報は、周囲情報および／または車両のコンポーネントのステータス情報を含んでもよい。

車両２０の動作のための規則は、所定の安全基準を含んでもよい（他方これらは、車両２０の動作状態に依存することができ、例えば特定のコンポーネントに関するさらなる対策がいつ、どの依存関係で導入および実施されてよいかを決定する）。

コンテキスト情報は、さらなる対策の選択において使用するために、ソフトウェアの改竄を軽減するための中央デバイス２５のメモリ（例えば中央永続的メモリ４１）に少なくとも一部（特に、車両２０の動作のための所定の規則に関する情報を含むコンテキスト情報の一部）を格納していてもよい。コンテキスト情報は、いくつかの例では、車両２０の外部から更新することができる（例えば、ソフトウェアの改竄を軽減するための中央デバイス２５のための、またはソフトウェアの改竄を軽減するための中央デバイス２５が配置されているコンポーネントのソフトウェア更新情報３２ｂの一部として）。

いくつかの例では、コンポーネント２７ａ、ｃ～ｎのソフトウェアの特定の改竄を軽減するために、様々なさらなる対策を利用することができる（取り得るさらなる対策については、以下でさらに詳述）。ここで、コンテキスト情報を利用して、利用可能なさらなる対策の１つを選択することができる。いくつかの例では、複数の利用可能なさらなる対策の中から、コンポーネントの目標状態を最も広範囲に復元することを可能にする（すなわち改竄を最も広範囲に修復する）ものを選択することができる。他方で、いくつかの状況では、コンテキスト情報に含まれる規則に基づいて、（例えば特定のセキュリティ基準に違反するであろうときに）利用可能なさらなる対策を除外することができる。

例えば、第１のさらなる対策は、確かに第２のさらなる対策よりも広範囲な改竄の軽減を可能にし得るが、他方で、車両のコンポーネントへのより深刻な介入（したがって、軽減プロセス自体によって引き起こされ得る妨害に関するより大きなリスク）を生じ得る。第２のさらなる対策は、第１のさらなる対策と比較して、確かにそれほど広範囲でない改竄の軽減を可能にし得るが、他方で、また車両のコンポーネントへのそれほど深刻でない介入を生じ得る。この場合、第１のコンテキスト（コンテキスト情報によって表される）において第１のさらなる対策を選択することができ、第２のコンテキスト（コンテキスト情報によって表される）において第２のさらなる対策を選択することができる。例示的な例では、第１のコンテキストは、車両が高速で走行するコンテキストであってもよく、第２のコンテキストは、車両が静止しているコンテキストであってもよい。他の場合には、コンテキスト情報はセキュリティ基準を含むことができ、そのセキュリティ基準の遵守により、第１の状況では第１のさらなる対策の実施が禁止されるが、第２の状況では許可される。

いくつかの例では、さらなる対策は、改竄が認識されたコンポーネント２７ａ、ｃ～ｆのための、（例えば受信されたソフトウェア更新情報に基づいて生成された）中央永続的メモリ４１に記憶されているソフトウェアコンポーネント４２ａ、ｃ～ｎを使用して、コンポーネント２７ａ、ｃ～ｆのソフトウェアを即時に（例えば５分以内または１分以内に）リセットするステップ、および、それぞれのコンポーネント２７ａ、ｃ～ｆのためのソフトウェアコンポーネント４２ａ、ｃ～ｎを使用して、第１のコンポーネント２７ａ、ｃ～ｆのソフトウェアを後でリセットするステップを含んでもよい。他方、特定のコンテキストでは（例えばセキュリティ基準によって）即時リセットを除外していてもよい。例えば、後のリセットは、それぞれのコンポーネント２７ａ、ｃ～ｆの次の起動プロセスまでの期間内に行うことができる。

続いて、図５および図６に基づいて、本開示の技法のさらなる態様を説明する。図５は、図２による車載ネットワークを示し、ここでは、第１のコンポーネント２７ｃが改竄されている。図６は、図２による車載ネットワークを示し、ここでは第１のコンポーネント２７ｃの改竄が修復されている。

最初に、車両２０のコンポーネント２７ａ、ｃ～ｆのソフトウェアの改竄の検出のいくつかの態様をより詳細に説明する。上述したように、本開示の技法は、車載ネットワークの複数のコンポーネントのうちの１つのコンポーネントのソフトウェアの改竄の可能性の認識を含むことができ、これは、いくつかの例では、信号の受信を含む。この信号は、様々な様式で生成することができる。

最初に、コンポーネント２７ａ、ｃ～ｆのソフトウェアの改竄を検出することができる。この検出は、対応するコンポーネントの対応する（改竄）検出デバイスによってローカルで行うことができる。

図５において、制御装置２７ｃのうちの１つ（本開示のいくつかの例では「第１のコンポーネント」）のソフトウェアが改竄されていた。改竄されたソフトウェアコンポーネント７１が導入された。

制御装置２７ｃの（改竄）検出デバイス８１ａは、この改竄を認識し、ソフトウェアの改竄を軽減するための中央デバイス２５のための対応する信号を生成することができる（図１でのステップ１１１および１１３も参照）。次いで、この信号を上述したように処理して、軽減を導入することができる。

他の例では、または追加として、車両２０の中央通信インターフェースの（改竄）検出デバイス６１ｂは、制御装置２７ｃの改竄を（遠隔から）検出し、（図５の例では、同様に車両２０の中央通信インターフェースに配置されている）ソフトウェアの改竄を軽減するための中央デバイス２５のための信号を生成することができる。したがって、いくつかの例では、ソフトウェアの改竄を軽減するための中央デバイス２５はまた、車載ネットワークの複数のコンポーネント２７ａ、ｃ～ｆのソフトウェアの改竄の中央検出のために設計されている。

他の例では、または追加として、遠隔システム３０の検出デバイスが、制御装置２７ｃの改竄を（遠隔から）検出し、ソフトウェアの改竄を軽減するための中央デバイス２５のための信号を生成することができる。この例では、車両のインターフェースを介して信号を受信することができる。しかし、改竄の検出も車両内で行うとき、いくつかの場合には、改竄を軽減するまでの期間を短縮することができる。

様々な検出デバイス８１ａ、６１ｂ（特に、車両に配置された検出デバイス８１ａ、６１ｂ）は、（車載）ネットワークに既にある検出デバイスであってもよい。上述したように、いくつかの既知の方法でソフトウェアの改竄を認識することもできる。

改竄の検出は、考えられる各様式で行うことができる。例えば、ソフトウェアは、起動時（「セキュアブート」）および／または動作中（「ランタイム改竄検出」）に、ソフトウェアの真実性および／または真正性をチェックするための１つまたは複数の方法によって（例えば、１つまたは複数のデジタル署名を使用して）チェックすることができる。

他の例では、その信号が存在しないときに改竄の可能性が認識される信号を、先行するセクションで述べたコンポーネントによって生成することができる。例えば、制御装置２７ｃの（改竄）検出デバイス８１ａは、（例えば定期的に、または特定のイベントの発生時に）信号を生成することができ、その信号の不在が、制御装置２７ｃのソフトウェアの改竄を表示することができる。

ここで、図５および図６を参照して、中央永続的メモリ４１に記憶されている、第１のコンポーネント２７ｃのためのソフトウェアコンポーネント４２ｃを使用する、第１のコンポーネント２７ｃのソフトウェアのリセットのさらなる対策のさらなる態様を論じる。

改竄を軽減するための中央デバイス２５は、第１のコンポーネント２７ｃの改竄の検出に基づいて、さらなる対策を選択することができる。図５および図６の例では、さらなる対策として、第１のコンポーネント２７ｃのソフトウェアのリセットが選択されている。リセットは、ソフトウェアを最後に認証された状態にすることを含んでもよい。これは、第１のコンポーネント２７ｃ（例えば制御装置）のソフトウェアの一部または全体を削除および／または上書きすることを含んでもよい。第１のコンポーネント２７ｃのソフトウェアの一部または全体の削除および／または上書きは、改竄を軽減するための中央デバイス２５によって遠隔から（すなわち車載ネットワークの接続を介して）実施することができる。このようにして、改竄されたソフトウェアコンポーネント７１またはその一部８１ａ、８１ｂを、真正な（すなわち改竄されていない）ソフトウェアコンポーネント５２ｃまたはその一部５３ａ、５３ｂによって置き換えて、改竄を修復することができる。

真正な（すなわち改竄されていない）ソフトウェア５２ｃは、永続的メモリ４１から呼び出すことができる。上述したように、永続的メモリ４１は、ソフトウェアコンポーネント４２ｃを、直接使用可能な形式で、または改竄されたソフトウェアコンポーネント７１または第１のコンポーネント２７ｃをリセットするための１つまたは複数の処理ステップの後にのみ使用することができる形式で記憶することができる。

いくつかの例では、改竄を軽減するための中央デバイス２５は、コンポーネントのソフトウェアをリセットするために使用されるソフトウェアコンポーネント４２ａ、ｃ～ｎの信頼性を保証するための手段を実行することができる。例えば、ソフトウェアコンポーネント４２ａ、ｃ～ｎの使用前に、（例えばデジタル署名または別のセキュリティ機能に基づいて）信頼性チェックを実行することができる。改竄を軽減するための中央デバイス２５は、信頼性チェックのために、改竄を軽減するための中央デバイス２５が統合されているコンポーネントの機能性を用いることができる。

いくつかの例では、永続的メモリ４１は、車載ネットワークの特定のコンポーネントのための複数のバージョンのソフトウェアコンポーネントを含んでもよい。この場合、改竄を軽減するための中央デバイス２５は、それらのバージョンのうちの１つ（例えば最新バージョンのソフトウェアコンポーネント）を選択することができる。

先行するセクションでは、図５および図６を参照して、車載ネットワークの第１のコンポーネント２７ｃの改竄を軽減するための対策に言及した。しかし、改竄を軽減するための中央デバイス２５は、第１のコンポーネント２７ｃのソフトウェアの改竄の軽減と異なる時点で、または同時に、複数のコンポーネント２７ａ、ｄ～ｆのうちの１つまたは複数のさらなるコンポーネントのソフトウェアの改竄に関する対策を導入するように構成されている。

いくつかの例では、改竄を軽減するための中央デバイス２５は、車載ネットワークの複数のコンポーネントのうちのさらなるコンポーネント２７ａ、ｄ～ｆのソフトウェアの改竄の可能性を認識し、さらなるコンポーネント２７ａ、ｄ～ｆの改竄を軽減するためのさらなる対策を導入するように設計されている。改竄の検出、ならびに対策の導入および実施は、上述したように進めることができる。例えば、さらなるコンポーネント２７ａ、ｄ～ｆの改竄されたソフトウェアコンポーネントをリセットすることができる。

このようにして、改竄を軽減するための単一の中央デバイスが、車載ネットワーク内でそこから離れた複数のコンポーネント（例えば、様々なドメインにある制御装置）を担当する（すなわち、複数のコンポーネントのソフトウェアの改竄を修復する）ことができる。

先行するセクションでは、改竄を軽減するための中央デバイスによって導入され、車載ネットワークで実施される例示的なさらなる対策として、コンポーネントのソフトウェアのリセットについて述べた。

いくつかの例では、改竄を軽減するための中央デバイスが、代替または追加として、他のさらなる対策を導入することができる。それらのさらなる対策も同様に車載ネットワークで実施される。

いくつかの例では、改竄に対するさらなる対策は、第１のコンポーネント２７ｃ（そのソフトウェアが改竄されている）の車載ネットワークを介する通信の遮断を含んでもよい。通信の遮断は、第１のコンポーネント２７ｃの改竄されたソフトウェアが車載ネットワークを介して損傷を引き起こすことを防ぐことができる。他方で、改竄されたソフトウェアは、依然として（例えば一定期間にわたって）第１のコンポーネント２７ｃの機能を実行することができる。このため、いくつかの場合には、第１のコンポーネント２７ｃの車載ネットワークを介する通信の遮断は、（例えば、第１のコンポーネント２７ｃの故障が少なくとも短期的に許容できない、または望ましくないコンテキストにおいて）第１のコンポーネント２７ｃのソフトウェアのリセットよりも好ましいことがある。第１のコンポーネント２７ｃのソフトウェアをリセットするさらなる対策は、第１のコンポーネント２７ｃの通信を遮断するさらなる対策に続いて（例えば、変更されたコンテキストで）導入および実施することができる。

代替または追加として、改竄に対するさらなる対策は、第１のコンポーネント２７ｃを含む車載ネットワークを介するコンポーネントのグループの通信の遮断を含んでもよい。図３の例では、第１のコンポーネント２７ｃは、さらなるコンポーネント２７ａ、ｂと共に第１のドメイン２６ａに含まれていてもよい。車載ネットワークを介するコンポーネントのグループの通信の遮断は、前述したような個々のコンポーネントの遮断と同様である。ここでも、車載ネットワークでのコンポーネントのグループによって損傷が引き起こされるのを防ぐことができる。車載ネットワークを介するコンポーネントのグループの通信を遮断する場合にも、後の時点で、（例えば、変更されたコンテキストで）第１のコンポーネント２７ｃのソフトウェアをリセットするさらなる対策を導入して実施することができる。

先行するセクションでは、多くの場合、本開示の技法を、それぞれの方法に基づいて述べてきた。
本開示は、本開示の方法を実行するように設計されているシステムにも関する。システムは、車両の車載ネットワークの１つまたは複数のコンポーネントを含んでもよい（例えばこれらに統合されていてもよい）。車載ネットワークは、車載ネットワークに一時的にのみ含まれるデバイス（例えば、車両にあり、車載ネットワークに統合されているモバイル機器）を含むこともできる。他の例では、システムは、遠隔システムも含んでもよい。

本開示はさらに、少なくとも１つの、本開示によるソフトウェアの改竄を軽減するための中央デバイスと、車載ネットワークの複数のコンポーネントとを含む車両用の車載ネットワークに関する。車載ネットワークは、（上述したように）本開示の技法を実行するように設計されていてもよい。車載ネットワークは、車載ネットワークに一時的にのみ含まれるデバイス（例えば、車両にあり、車載ネットワークに統合されているモバイルデバイス）を含んでもよい。

上述したように、ソフトウェアの改竄を軽減するための中央デバイスは、スタンドアロンデバイス（すなわち、車載ネットワークの一部であり、車載ネットワークの他のコンポーネントと通信することができる、独自のハードウェアおよびソフトウェアリソースを備えた専用モジュール）であってもよい。しかし、他の場合には、ソフトウェアの改竄を軽減するための中央デバイスは、車載ネットワークの別の（既存の）コンポーネントに統合されている。このとき、ソフトウェアの改竄を軽減するための中央デバイスは、ソフトウェアモジュール（コンポーネントのソフトウェアに挿入されるモジュール）として構成されていてもよい。他の場合には、ソフトウェアの改竄を軽減するための中央デバイスは、（その中央デバイスが統合されているコンポーネントの他のハードウェアコンポーネントを一緒に利用しながら）少なくともいくつかの専用ハードウェアコンポーネントを備えることができる。同様に述べたように、他のコンポーネントは、車載ネットワークの中央通信インターフェース、中央コンピュータ（「車両コンピュータ」）、または比較的高性能なハードウェアを備えた別のコンポーネントであってもよい。

いくつかの例では、車載ネットワークの既存のコンポーネント（例えば、車両もしくは車両のドメインの中央通信インターフェース、車両の中央コンピュータ、またはインフォテインメントシステムのヘッドユニット）を、車載ネットワークのコンポーネントのソフトウェアの更新によって、ソフトウェアの改竄を軽減するための中央デバイスとして構成することができる。

ソフトウェアの改竄を軽減するための中央デバイスまたはそれが統合されている別のコンポーネントは、少なくとも１つのプロセッサ（場合によっては複数のコアを備える）と、プロセッサによって実行されるときに本開示の方法のステップを実行する命令を含むメモリとを含んでもよい。

本開示はさらに、本開示によるシステムを含む、もしくはその一部である、および／または本開示による車載ネットワークを含む車両に関する。
本開示はさらに、本開示の方法を実行するように設計されているコンピュータプログラムに関する。

本開示はさらに、本開示のコンピュータプログラムを含むコンピュータ可読媒体（例えばＤＶＤまたは固体メモリ）に関する。
本開示はさらに、本開示のコンピュータプログラムを符号化する信号（例えば、無線または有線通信プロトコルによる電磁信号）に関する。

２０ 車両
２１、２２ 通信インターフェース
２４ 中央制御ユニット
２１～２４、２５、２７ａ～ｆ 複数のコンポーネント
２５ ソフトウェアの改竄を軽減するための中央デバイス／車載ネットワークの中央通信インターフェース
２６ａ～ｎ ドメイン
２７ａ～ｆ コンポーネント／制御装置
３０ 遠隔システム／車両または外部システム
３１ ソフトウェアバンドルまたはソフトウェアコンテナ
３２ａ、３２ｃ～ｎ ソフトウェア更新情報
４１ 永続的メモリ
４２ａ、４２ｃ～ｎ ソフトウェアコンポーネント
５２ｃ ソフトウェアコンポーネント／ソフトウェア
５３ａ、５３ｂ ソフトウェアコンポーネント５２ｃの一部
６１ｂ 検出デバイス
７１ ソフトウェアコンポーネント
８１ａ 検出デバイス
８１ａ、８１ｂ ソフトウェアコンポーネント７１の一部

Claims (15)

1. コンピュータ実装方法であって、
   ソフトウェアの改竄を軽減するための中央デバイス（２５）において、車両（２０）の車載ネットワークの複数のコンポーネント（２７ａ～ｆ）のうちの第１のコンポーネント（２７ｃ）のソフトウェアの改竄の可能性を認識するステップ（１０１）であって、
   前記改竄を軽減するための中央デバイス（２５）が、前記車載ネットワークの一部であり、前記車載ネットワークの前記複数のコンポーネント（２７ａ～ｆ）の各々におけるソフトウェアの改竄を軽減するように設計されている、ステップ（１０１）と、
   前記改竄を軽減するための中央デバイス（２５）によって、前記第１のコンポーネント（２７ｃ）の前記ソフトウェアの前記改竄を軽減するための対策を導入するステップ（１０３）と、
   前記第１のコンポーネント（２７ｃ）の前記ソフトウェアの前記改竄を軽減するための前記対策を実施するステップと
   を含み、
   前記改竄を軽減するための前記対策が、改竄の可能性の認識前に前記車載ネットワークで生じたデータトラフィックに関する情報の分析に基づいて選択される、前記改竄の再発を防止するための手段を含む、
   方法。
2. 前記分析が、改竄のタイプの特定を含む、請求項１に記載の方法。
3. 前記分析が、車両（２０）の前記車載ネットワークの脆弱点の発見を含む、請求項１または２に記載の方法。
4. 改竄のタイプの特定が、改竄の可能性の認識前にデータトラフィックが生じた前記車両（２０）のインターフェース（２１；２２）の特定を含む、請求項２または３に記載の方法。
5. 前記分析が、改竄の可能性の認識前に生じた前記データトラフィック内のプログラミングプロセスの発見を含む、請求項１から４のいずれか一項に記載の方法。
6. 前記分析が、特定のデータトラフィックと改竄の可能性の前記認識との間の時間的関係の確認を含む、請求項１から５のいずれか一項に記載の方法。
7. 前記手段が、
   前記車両（２０）内の特定のタイプのデータトラフィックの禁止または制限、および
   前記車両（２０）の特定のコンポーネント（２１～２７）のオフまたは制限
   のうちの１つまたは複数を含む、請求項１から６のいずれか一項に記載の方法。
8. 前記コンポーネントが、前記車両（２０）の前記車載ネットワークのインターフェース（２１；２２）である、請求項７に記載の方法。
9. 前記車載ネットワークの前記データトラフィックに関する情報の前記分析の結果をログ記録するステップと、
   改竄認識のために、前記ログ記録された結果を提供するステップと
   をさらに含む、請求項１から８のいずれか一項に記載の方法。
10. 前記車両（２０）の前記車載ネットワークの更新に応答して前記手段を停止するステップ
    をさらに含む、請求項１から９のいずれか一項に記載の方法。
11. 請求項１から１０のいずれか一項に記載の方法を実行するように設計されているシステム。
12. 車両（２０）用の車載ネットワークであって、
    第１のコンポーネント（２７ｃ）を含む前記車載ネットワークの複数のコンポーネント（２７ａ～ｆ）と、
    ソフトウェアの改竄を軽減するための中央デバイス（２５）とを含み、
    前記車載ネットワークが、請求項１から１０のいずれか一項に記載の方法のステップを実施するように設計されている
    車載ネットワーク。
13. 請求項１１に記載のシステムを含む、もしくはその一部である、および／または請求項１２に記載の車載ネットワークを含む車両（２０）。
14. 請求項１から１０のいずれか一項に記載の方法を実行するように設計されているコンピュータプログラム。
15. 請求項１４に記載のコンピュータプログラムを含むまたは符号化するコンピュータ可読媒体または信号。
    

Images