JP5978944B2 - 車載機及びセキュリティシステム - Google Patents

Description

本発明は、車載機及びセキュリティシステムに関する。

従来のセキュリティの考え方は悪意を持った不正プログラムがシステム内に侵入しないようにするいわゆる未然防止が主である。このため、何らかの理由でチェックを通過してしまった不正プログラムは、有効に除去できないという問題がある。上記の問題に関し、一旦侵入した不正プログラムを検出及び駆除する方法が提案されている（例えば、特許文献１参照。）

特許文献１では、ネットワーク上の各コンピュータがログを記録し、各コンピュータはログをネットワーク上の他のコンピュータに通知することで、ログを受信した他のコンピュータ各々が不正行為の有無を検査する。検査の結果、各コンピュータのうちの特定のコンピュータで不正行為があったと判断した場合、そのコンピュータにおいて不正行為のあった旨を表すメッセージを他のコンピュータに送信する。そのメッセージを受信した各コンピュータも個々に不正の有無を検査する。所定の期間内に所定のしきい値を超える台数のコンピュータが該当コンピュータに対して不正行為ありと判断した場合、以後、ネットワーク上の全コンピュータが不正行為ありと判断されたコンピュータとの通信を絶つ。これにより、不正プログラムによる被害を最小限にとどめる。

特開平０９−１２８３３６号公報

しかしながら、特許文献１に記載の不正プログラムを検出及び駆除する方法は、ログデータの解析が必須であることから、不正と判定できるログを取得し、解析が終了するまで不正プログラムからの悪影響を受けることになる。

上記問題点を鑑み、本発明の目的は、不正なアプリケーションやプログラムによるユーザーが意図しない動作を未然に防止することができる車載機及びセキュリティシステムを提供することである。

本発明の一態様によれば、車載機及びセキュリティシステムにおいて、人間の操作に関連するデータの送信前に、過去の送信データと判定ルールを用いて送信しようとするデータが不正か否かを判定する。

本発明によれば、不正なアプリケーションやプログラムによるユーザーが意図しない動作を未然に防止することができる車載機及びセキュリティシステムを提供することができる。

本発明の第１の実施の形態に係るセキュリティシステムの一例を示す概略図である。 本発明の第１の実施の形態に係るセキュリティシステムの一例を示すブロック図である。 本発明の第１の実施の形態に係るアプリケーション部の構成を示す概略図である。 本発明の第１の実施の形態に係るアプリケーション管理部の構成を示す概略図である。 本発明の第１の実施の形態に係る判定ルールの一例を示す概略図である。 本発明の第１の実施の形態に係る過去データ記憶部の一例を示す概略図である。 本発明の第１の実施の形態に係る車載機のデータ送信時のフローチャートである。 本発明の第１の実施の形態に係る車載機のデータ送信時におけるエラー時の処理のフローチャートである。 本発明の第２の実施の形態に係るセキュリティシステムの一例を示す概略図である。 本発明の第２の実施の形態に係るセキュリティシステムの一例を示すブロック図である。 本発明の第２の実施の形態に係る車載機のデータ送信時におけるエラー時の処理のフローチャートである。 本発明の第２の実施の形態に係るデータセンターが不正アプリに関する情報を受信した際のフローチャートである。 本発明の第２の実施の形態に係る他車両に搭載された車載機がデータセンターから不正アプリに関する情報を受信した際のフローチャートである。 本発明の第３の実施の形態に係るセキュリティシステムの一例を示すブロック図である。 本発明の第３の実施の形態に係る過去データ記憶部の一例を示す概略図である。 本発明の第３の実施の形態に係る送信データ判定部の動作のフローチャートである。

次に、図面を参照して、本発明の第１〜第３の実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には同一又は類似の符号を付している。ただし、図面は模式的なものであり、厚みと平面寸法との関係、各層の厚みの比率等は現実のものとは異なることに留意すべきである。したがって、具体的な厚みや寸法は以下の説明を参酌して判定すべきものである。又、図面相互間においても互いの寸法の関係や比率が異なる部分が含まれていることはもちろんである。

また、以下に示す第１〜第３の実施の形態は、この発明の技術的思想を具体化するための装置や方法を例示するものであって、この発明の技術的思想は、構成部品の材質、形状、構造、配置等を下記のものに特定するものでない。この発明の技術的思想は、特許請求の範囲において、種々の変更を加えることができる。

（第１の実施の形態）
＜セキュリティシステムの構成＞
本発明の第１の実施の形態に係るセキュリティシステムとして、図１に示すように、車両１に搭載された車載機が、データセンター２からアプリケーションをダウンロードする場合を説明する。

本発明の第１の実施の形態に係るセキュリティシステムは、図２に示すように、データセンター２と、車両１に搭載された車載機（車載ＩＴユニット）１０を備える。

データセンター２は、車載機１０がダウンロード可能な複数のアプリケーションを保持するアプリケーション保持部２１と、各アプリケーションを管理するとともに、各アプリケーションに関する情報を保持するアプリケーション管理部２２と、車載機１０と通信を行い、車載機１０の要求に応じてアプリケーションをダウンロードさせる通信部２３を備える。

車載機１０は、車載機１０の通信相手となるオーディオ制御ユニット３０やエアコン制御ユニット４０等の被制御ユニットに車載ＬＡＮ等を介して接続されている。なお、オーディオ制御ユニット３０やエアコン制御ユニット４０は被制御ユニットの一例であって、これらに限定されるものではない。

車載機１０は、アプリケーションをダウンロードする等、データセンター２と通信を行う通信部１４と、データセンター２から通信部１４を介してダウンロードしたアプリケーションを保持するとともに、保持しているアプリケーションを実行するアプリケーション部１１と、実行されたアプリケーションがオーディオ制御ユニット３０やエアコン制御ユニット４０に対してデータ送信を行う際に、送信しようとするデータ（以下、「送信対象データ」ともいう。）が不正か否かを判定する送信データ判定部１２と、実行されたアプリケーションからオーディオ制御ユニット３０やエアコン制御ユニット４０に対してデータ送信を行うデータ送信部１３を備える。

アプリケーション部１１は、図３に示すように、データセンター２からダウンロードした１つ又は複数のアプリケーションで構成されるアプリケーション群１１１と、アプリケーションについての情報を管理するアプリケーション管理部１１２を備える。なお、アプリケーション群１１１を構成するアプリケーションは、データセンター２からダウンロードしたものに限定されず、車載機１０に予め保持されていても良い。このアプリケーション群１１１に、ユーザーが意図しない動作を不正に行うアプリケーション（以下、「不正アプリ」ともいう。）が混入する可能性がある。

アプリケーション管理部１１２は、図４に示すように、アプリケーション群１１１を構成するアプリケーション毎に、アプリケーションＩＤ（ＡＩＤ）、アプリケーション名、ダウンロード日時、アプリケーションの作成者等の、アプリケーションに関する情報を管理する。

図２に示した送信データ判定部１２は、送信データ一時記憶部１２１、操作判定部１２２、過去データ記憶部１２３、判定ルール記憶部１２４、不正判定部１２５及びエラー処理実行部１２６を備える。

送信データ一時記憶部１２１は、アプリケーション部１１により実行されたアプリケーションがオーディオ制御ユニット３０やエアコン制御ユニット４０等にデータ送信を行う際に、アプリケーション部１１からの送信対象データを一時的に記憶する。

操作判定部１２２は、送信対象データが人の操作に関連するデータか否かを判定する。人の操作に関連するデータか否かは、例えば、アプリケーション部１１から取得されるアプリケーションＩＤ（ＡＩＤ）や、送信対象データそのもの（例えば、送信対象データ中に存在する制御コマンド）に基づいて判定することができる。

判定ルール記憶部１２４は、不正判定部１２５による送信対象データの不正判定の際に使用する判定ルールを記憶する。判定ルールは、個々の人の操作に関連する信号について、そのルールを定めたものであり、例えば操作ボタンのタイプ毎に設定することが考えられる。

例えば、図５に示すように、ボタンタイプを「長押し」、「２択操作」及び「数値入力」の３つに分類し、それぞれのボタンタイプについて統一した判定ルールとする。「長押し」に対応する制御対象は、オーディオの表示切替等がある。「２択操作」に対応する制御対象は、オーディオの音量制御やエアコンの風速制御（ＵＰ／ＤＯＷＮ）、エアコンのＡ／Ｃ設定（ＯＮ／ＯＦＦ）、オーディオのトラック制御（ＮＥＸＴ／ＰＲＥＶＩＯＵＳ）等がある。「数値入力」に対応する制御対象は、エアコンの温度制御等がある。

図５に示したボタンタイプが「長押し」及び「２択操作」の判定ルール「Δｔ＞＊＊ｍｓ」は、過去の送信データの送信時刻と現在時刻（又はアプリケーションが送信対象データを送信しようとした時刻）との差分（時間間隔）Δｔが、閾値＊＊ｍｓ（例えば１０ｍｓ）より大きければ不正ではないと判定し、時間間隔Δｔが閾値＊＊ｍｓ（例えば１０ｍｓ）以下であれば不正と判定するものである。時間間隔Δｔの閾値は、人が通常操作し得ないであろう時間間隔であって、不正アプリによる可能性が高い値に適宜設定される。

また、ボタンタイプが「数値入力」の判定ルール「Δｔ＞＊＊ｍｓかつΔｄ＜♯♯」は、過去の送信データの送信時刻と現在時刻との時間間隔Δｔが閾値＊＊ｍｓ（例えば１０ｍｓ）より大きく、且つ過去の送信データに対する送信対象データのエアコン設定温度等の増減値Δｄが閾値♯♯（例えば２０℃）未満であれば不正ではないと判定するものである。一方、時間間隔Δｔが閾値＊＊ｍｓ（例えば１０ｍｓ）以下であるか、又は増減値Δｄが閾値♯♯（例えば２０℃）以上であれば不正と判定する。増減値Δｄは、人が通常入力しない値であって、不正アプリによる可能性が高い値に適宜設定される。なお、ボタンタイプが「数値入力」の判定ルールはこれに限定されるものではなく、例えば「Δｔ＞＊＊ｍｓ」及び「Δｄ＜♯♯」のいずれか一方のみであっても良い。

なお、図５に示すように各ボタンタイプについて統一した判定ルールとする代わりに、各制御対象（例えばオーディオの音量制御、オーディオのトラック制御、エアコンの風速制御等）毎に個々に判定ルールを設定しても良い。

図２に示した過去データ記憶部１２３は、車載機１０が過去に送信した人の操作に関連するデータを記憶する。過去の送信データは、一定の容量を持つメモリ等に記憶され、メモリ容量を超えるような場合には、古いデータから削除される。

過去データ記憶部１２３に記憶されている過去の送信データは、例えば図６に示すように、送信先ユニット（被制御ユニット）ごとに分類されている。過去の送信データは、制御対象、ボタンタイプ、送信元のアプリケーションＩＤ（ＡＩＤ）、送信データ、送信日時（送信時刻）等を含む。なお、図６では、過去の送信データを各制御対象について最新の１つのみ保持する形式になっているが、複数保持する形式でも良い。

図２に示した不正判定部１２５は、判定ルール記憶部１２４から取得した判定ルールと、過去データ記憶部１２３から取得した過去の送信データを用いて、送信対象データが不正か否かを判定する。

例えば、不正判定部１２５は、過去データ記憶部１２３に記憶されている過去の送信データのうち、送信対象データのボタンタイプ及び制御対象が一致する過去の送信データを取得する。

更に、不正判定部１２５は、判定ルール記憶部１２４から、送信対象データのボタンタイプ及び制御対象と一致する判定ルールを取得する。ここで、図５に示すように判定ルールがボタンタイプ毎に統一されている場合には、送信対象データのボタンタイプと一致する判定ルールを取得すれば良い。

更に、不正判定部１２５は、判定ルールが図５に示したボタンタイプが「長押し」に対応する「Δｔ＞＊＊ｍｓ」の場合、過去データ記憶部１２３から取得した過去の送信データの送信時刻と現在時刻との差分（時間間隔）Δｔを算出する。そして、算出した時間間隔Δｔが判定ルールで規定された閾値＊＊ｍｓ（例えば１０ｍｓ）以下であれば、送信対象データを不正と判定する。

また、不正判定部１２５は、判定ルールが図５に示したボタンタイプが「数値入力」に対応する「Δｔ＞＊＊ｍｓかつΔｄ＜♯♯」の場合、差分（時間間隔）Δｔでの判定に加え、更に、過去データ記憶部１２３から取得した過去の送信データと送信対象データの入力値との差分Δｄを算出する。そして、算出した差分Δｄが判定ルールで規定された閾値♯♯（例えば２０℃）以上であれば、送信対象データを不正と判定する。

エラー処理実行部１２６は、不正判定部１２５により送信対象データが不正と判定された場合にエラー処理を実行する。エラー処理実行部１２６は、例えばデータ送信部１３による送信対象データの送信を中止させる。更に、エラー処理実行部１２６は、アプリケーションＩＤから送信対象データを送信したアプリケーションを不正アプリとして特定し、アプリケーション部１１で保持している該当するアプリケーションを削除する。更に、エラー処理実行部１２６は、アプリケーション管理部１１２が持つ作成者情報から、不正アプリの作成者と同一作成者が作成したアプリケーションが他にも存在するか検索し、存在した場合にはそのアプリケーションも不正アプリと特定し、合わせて削除する。

データ送信部１３は、操作判定部１２２により送信対象データが人の操作に関連するデータではないと判定された場合や、送信データ判定部１２により送信対象データが不正ではないと判定された場合に、送信データ一時記憶部１２１に記憶されている送信対象データをオーディオ制御ユニット３０やエアコン制御ユニット４０へ送信する。

オーディオ制御ユニット３０及びエアコン制御ユニット４０は、データ送信部１３により送信されたデータに応じて、車両１に搭載されているオーディオ及びエアコンをそれぞれ制御する。

＜車載機の動作＞
次に、本発明の第１の実施の形態に係る車載機１０のデータ送信時の動作を、図７のフローチャートを参照しながら説明する。

（イ）ステップＳ１１において、アプリケーション部１１がアプリケーションを実行する。実行したアプリケーションがオーディオ制御ユニット３０やエアコン制御ユニット４０等にデータ送信を行う場合、送信しようとするデータ（送信対象データ）が送信データ一時記憶部１２１に一時記憶される。そして、操作判定部１２２が、送信対象データが人の操作に関連するデータか否かを判定する。

（ロ）ステップＳ１１で人の操作に関連するデータではないと判定された場合、ステップＳ１６に進み、データ送信部１３が、送信データ一時記憶部１２１に記憶されていた送信対象データをオーディオ制御ユニット３０やエアコン制御ユニット４０等に送信する。送信終了とともに、送信データ一時記憶部１２１に記憶されていた送信対象データは削除され、処理を完了する。

（ハ）一方、ステップＳ１１で送信対象データが人の操作に関連するデータと判定された場合、ステップＳ１２に進み、不正判定部１２５が、送信対象データに対応する判定ルールを判定ルール記憶部１２４から取得する。更に、ステップＳ１３において、不正判定部１２５が、送信対象データに対応する過去の送信データを過去データ記憶部１２３から取得する。そして、ステップＳ１４において、不正判定部１２５が、判定ルール及び過去の送信データを用いて、送信対象データが不正か否かを判定する。

（ニ）ステップＳ１４で送信対象データが不正でない判定された場合、ステップＳ１５に進み、送信対象データを過去の送信データとして過去データ記憶部１２３に記憶し、合わせてステップＳ１６においてデータ送信部１３により送信する。送信終了後に、送信データ一時記憶部１２１に記憶されていた送信対象データは削除される。

（ホ）一方、ステップＳ１４で送信対象データが不正と判定された場合、ステップＳ１７に進み、エラー処理実行部１２６によりエラー処理が行われる。

＜エラー処理方法＞
次に、図７のステップＳ１７のエラー処理の詳細を、図８のフローチャートを参照しながら説明する。

（イ）図７のステップＳ１４で送信対象データが不正と判定された場合、図８のステップＳ２１においてエラー処理実行部１２６がデータ送信部１３によるデータ送信を中止させる。

（ロ）ステップＳ２２において、エラー処理実行部１２６が、送信対象データのアプリケーションＩＤから送信対象データを送信したアプリケーションを不正アプリとして特定し、アプリケーション部１１にある該当するアプリケーションを削除する。

（ハ）更に、ステップＳ２３において、エラー処理実行部１２６が、アプリケーション管理部１１２が持つ作成者情報から、不正アプリの作成者と同一作成者が作成したアプリケーションが他にも存在するか検索する。他にも存在する場合、ステップＳ２４において進み、同一作成者が作成したアプリケーションも不正アプリとして特定し、アプリケーション部１１にある該当するアプリケーションを削除する。

本発明の第１の実施の形態によれば、人間の操作に関連する送信対象データの送信前に、過去の送信データと判定ルールを用いて送信対象データが不正か否かを判定することにより、不正アプリによるユーザーが意図しない動作を未然に防止することができる。

更に、送信対象データに対応する過去の送信データの送信時刻と現在時刻との差分が、判定ルールで規定された閾値以下の場合に送信対象データが不正と判定することにより、不正アプリによる不正データをデータ送信前に検出することができる。

更に、送信対象データが不正と判定された場合、送信対象データの送信を中止し、送信対象データに対応する不正アプリをアプリケーション部１１から削除することにより、被害の拡大を防止することができる。

更に、車載機１０内から不正アプリの作成者と同一作成者が作成したアプリケーションを削除することにより、被害の拡大を防止することができる。

（第２の実施の形態）
＜セキュリティシステムの構成＞
本発明の第１の実施の形態では、不正アプリ検出後の対応として、不正アプリを検出した車載機で閉じる場合を説明したが、本発明の第２の実施の形態では、不正アプリ検出後の対応として、データセンター経由で全車載機に情報が伝わり、不正アプリを完全に排除する場合を一例として説明する。

本発明の第２の実施の形態では、図９に示すように、車両１に搭載された車載機で検出された不正アプリに関する情報を、データセンター２を介して他車両１ａ，１ｂ，１ｃにも通知し、まだ被害の発生していない車両１ａ，１ｂ，１ｃにおいても不正アプリを削除することで今後起こりうる被害を未然に防ぐものである。

本発明の第２の実施の形態に係るセキュリティシステムは、図１０に示すように、車両１に搭載された車載機１０と、データセンター２と、他車両１ａ，１ｂ，１ｃにそれぞれ搭載された車載機（図示省略）を備える。本発明の第２の実施の形態では、車載機１０の通信部１４が、送信対象データが不正と判定された場合に、データセンター２に不正アプリのアプリケーションＩＤ（ＡＩＤ）等の不正アプリに関する情報を送信する点が、第１の実施の形態と異なる。

データセンター２にある通信部２３は、不正アプリに関する情報を受信する。アプリケーション管理部２２は、受信した不正アプリに関する情報に応じて、アプリケーション保持部２１に保持されている該当するアプリケーションや、不正アプリの作成者と同一作成者が作成したアプリケーションを削除する。通信部２３は、他車両１ａ，１ｂ，１ｃへ不正アプリに関する情報を送信する。

各車両１ａ，１ｂ，１ｃは、図１０に示した車両１の車載機１０と同様の車載機をそれぞれ備える。各車両１ａ，１ｂ，１ｃに搭載されている車載機では、データセンター２から不正アプリに関する情報を受信して、該当するアプリケーションを削除する。なお、各車両１ａ，１ｂ，１ｃは、データセンター２を介さずに、車両１から直接不正アプリに関する情報を受信しても良い。

他の構成は、本発明の第１の実施の形態の構成と実質的に同様であるので、重複した説明を省略する。

＜車載機の動作＞
本発明の第２の実施の形態に係る車載機１０のデータ送信時におけるエラー時のフローチャートを図１１に示す。ステップＳ３１〜３４の手順は、図８に示したステップＳ２１〜２４と実質的に同様であるので、重複した説明を省略する。ステップＳ３４において送信対象データが不正と判定された場合にステップＳ３５に進み、通信部１４が、アプリケーションＩＤ等の不正アプリに関する情報を、データセンター２へ送信する。

＜データセンターの動作＞
次に、本発明の第２の実施の形態に係るデータセンター２が不正アプリに関する情報を受信した際の動作を、図１２のフローチャートを参照しながら説明する。

（イ）ステップＳ４１において、データセンター２のアプリケーション管理部２２が通信部２３経由でアプリケーションＩＤ等の不正アプリに関する情報を受信する。アプリケーション管理部２２が、不正アプリに関する情報に応じて、アプリケーション保持部２１により保持されている同一アプリケーションＩＤを持つアプリケーションを削除する。

（ロ）ステップＳ４２において、図１１のステップＳ３３，Ｓ３４と同様に、データセンター２においてもアプリケーション管理部２２がアプリケーション保持部２１内に不正アプリの作成者と同一作成者が作成したアプリケーションが存在するか検索する。存在すればステップＳ４３に進み、不正アプリと特定してアプリケーション保持部２１から削除する。

（ハ）その後、ステップＳ４４において、アプリケーション管理部２２は通信部２３を介して、ステップＳ４１で受信したアプリケーションＩＤ等の不正アプリに関する情報や、ステップＳ４３で特定された不正アプリに関する情報を、他車両１ａ，１ｂ，１ｃの車載機１０に送信する。ここで、全ての他車両１ａ，１ｂ，１ｃに不正アプリに関する情報を送信しても良く、アプリケーションのダウンロード履歴から、不正アプリをダウンロードした他車両を特定し、特定した他車両のみに不正アプリに関する情報を送信しても良い。

（ニ）ステップＳ４５において、通信部２３が、他車両１ａ，１ｂ，１ｃの車載機１０から削除結果を受信する。ステップＳ４６において、不正アプリに関する情報は全車載機１０からの削除結果が届くまで定期的に再送信される。

なお、図１２のステップＳ４４では、不正アプリに関する情報をデータセンター２からプッシュで送信したが、各車両１ａ，１ｂ，１ｃの車載機１０がダウンロードのため等でデータセンター２に接続した際に、不正アプリに関する情報を付加して送信するような形態であっても良い。

＜他車両の動作＞
次に、本発明の第２の実施の形態に係る他車両１ａ，１ｂ，１ｃに搭載された車載機１０がデータセンター２から不正アプリに関する情報を受信した際の動作を、図１３のフローチャートを参照しながら説明する。

（イ）ステップＳ５１において、車載機１０のアプリケーション管理部１１２が、データセンター２から通信部１４を介し不正アプリに関する情報を受信すると、アプリケーション群１１１に不正アプリと同じアプリケーションＩＤ（ＡＩＤ）のアプリケーションが存在するか検索する。

（ロ）不正アプリが存在すれば、ステップＳ５２に進み、アプリケーション管理部１１２が、不正アプリをすべて削除する。ステップＳ５３において、アプリケーション管理部１１２が、「ＡＩＤ：○○削除、ＡＩＤ：××該当無し」といったように削除結果をデータセンター２へ通知する。ここで、不正アプリの作成者と同一作成者が作成したアプリケーションを検索し、存在する場合は同一作成者が作成したアプリケーションも不正アプリとして削除しても良い。

（ハ）一方、ステップＳ５１で不正アプリが存在しないと判定された場合でも、ステップＳ５３において全てのアプリケーションＩＤについて該当無しを示す情報をデータセンター２に通知する。

本発明の第２の実施の形態によれば、人間の操作に関連する送信対象データの送信前に、過去の送信データと判定ルールを用いて送信対象データが不正か否かを判定することにより、不正アプリによるユーザーが意図しない動作を未然に防止することができる。

更に、送信対象データが不正と判定された場合、送信対象データの送信を中止し、送信対象データに対応する不正アプリをアプリケーション部１１から削除することにより、被害の拡大を防止することができる。

更に、車両１の車載機１０内から不正アプリの作成者と同一作成者が作成したアプリケーションを削除することにより、被害の拡大を防止することができる。

更に、車両１の車載機１０からデータセンター２へ不正アプリに関する情報を送信し、データセンター２内の不正アプリを削除することで、他車両１ａ，１ｂ，１ｃの車載機１０が不正アプリを新たにダウンロードすることを防止することができ、被害の拡大を防止することができる。

更に、データセンター２から全ての車載機１０に対して不正アプリに関する情報を伝え、全ての車載機１０において不正アプリに該当するアプリケーションを削除することで、被害の拡大を防止することができる。

（第３の実施の形態）
＜セキュリティシステムの構成＞
本発明の第３の実施の形態に係るセキュリティシステムは、図１４に示すように、車両１に搭載される車載機として、アプリケーションを保持・実行する車載ＩＴユニットの代わりに、ユーザーの入力を受け付けて被制御ユニットを制御する車載コントロールユニット５０を備える点が、第１の実施の形態と異なる。車載コントロールユニット５０は、被制御ユニットである窓開閉制御ユニット６０及び施錠／開錠制御ユニット７０と接続されている。

本発明の第３の実施の形態は、車載コントロールユニット５０の制御信号作成部５１が不正に改ざん、又は不正プログラムが侵入し不正な制御信号を送ろうとした場合でも、不正な制御信号を排除し、ユーザーが意図しない動作を防ぐものである。

車載コントロールユニット５０は、ユーザーの入力を受け付ける入力受付部５４と、入力受付部５４からの指示に基づいて制御信号（データ）を作成する制御信号作成部５１と、制御信号作成部５１により作成された制御信号が不正か否かを判定する送信データ判定部５２、制御信号を窓開閉制御ユニット６０や施錠／開錠制御ユニット７０に対して送信するデータ送信部５３を備える。

送信データ判定部５２は、送信データ一時記憶部５２１、操作判定部５２２、過去データ記憶部５２３、判定ルール記憶部５２４、不正判定部５２５及びエラー処理実行部５２６を備える。

送信データ一時記憶部５２１は、制御信号作成部５１により作成された制御信号又は不正に侵入したプログラムが送信しようとする制御信号を一時的に記憶する。操作判定部５２２は、送信しようとする制御信号が人の操作に関連するか否かを判定する。判定ルール記憶部５２４は、図５に示した判定ルールと同様の判定ルールを記憶する。過去データ記憶部５２３は、図１５に示すように過去に送信された制御信号を記憶する。不正判定部５２５は、判定ルールと過去の送信データを用いて、送信しようとする制御信号が不正か否かを判定する。

エラー処理実行部５２６は、送信しようとする制御信号が不正と判定された場合、エラー処理を実行する。エラー処理としては、送信しようとする制御信号の送信を中止し、合わせてユーザーに不正なデータの送信依頼があったことを通知し、専門家（ディーラー）への入庫を案内することが考えられる。

＜車載機の動作＞
次に、本発明の第３の実施の形態に係る送信データ判定部５２の動作を、図１６のフローチャートを参照しながら説明する。

（イ）ステップＳ６０において、制御信号作成部５１又は不正に侵入したプログラムが制御信号を送信する際、送信しようとする制御信号が送信データ一時記憶部５２１に記憶される。

（ロ）ステップＳ６１において、操作判定部５２２が、送信しようとする制御信号が人の操作に関連するか否かを判定する。送信対象データが人の操作に関連すると判定された場合、ステップＳ６２に進む。

（ハ）ステップＳ６２において、不正判定部５２５が、送信しようとする制御信号に対応する判定ルールを判定ルール記憶部５２４から取得する。ステップＳ６３において、不正判定部５２５が、送信しようとする制御信号に対応する過去に送信された制御信号を過去データ記憶部５２３から取得する。ステップＳ６４において、不正判定部５２５が、判定ルール記憶部５２４から取得した判定ルールと、過去データ記憶部５２３から取得した過去に送信された制御信号を用いて、送信しようとする制御信号が不正か否かを判定する。送信しようとする制御信号が不正でないと判定された場合、ステップＳ６５に進む。

（ニ）ステップＳ６５において、不正判定部５２５が、送信データ一時記憶部５２１に記憶していた制御信号を過去に送信された制御信号として過去データ記憶部５２３に記憶させる。ステップＳ６６において、不正判定部５２５が、データ送信許可を行う。データ送信部５３が、データ送信許可に応じて、該当する被制御ユニットに対し制御信号を送信する。

（ホ）一方、ステップＳ６４で送信しようとする制御信号が不正と判定されると、ステップＳ６７においてエラー処理実行部５２６によりエラー処理が行われる。

本発明の第３の実施の形態によれば、アプリケーションを実行する車載ＩＴユニット１０に限らず、人の操作（窓開閉、施錠／開錠、ライトＯＮ／ＯＦＦ、クラクションＯＮ／ＯＦＦ等）を受け付ける車載コントロールユニット５０からのデータ送信においても、送信前に制御信号が不正か否か判定することにより、例え不正プログラムが侵入し不正な制御信号を送ろうとした場合でも不正な制御信号を排除し、ユーザーが意図しない動作を未然に防止することができる。

なお、車載機１０の制御対象として窓開閉と施錠／開錠を例に説明したが、これに限定するものではなく、例えば、ライトＯＮ／ＯＦＦやクラクションＯＮ／ＯＦＦ、ワイパー制御等人が操作するものうちの１つ又は幾つかの組み合わせであっても良い。

また、被制御ユニットとして、窓開閉制御ユニット６０及び施錠／開錠制御ユニット７０の２つを挙げたが、上記と同様にライト制御ユニットやクラクション制御ユニット、ワイパー制御ユニット等であっても良いし、各ユニットを単一の機能とはせずに、複数の制御機能をまとめた統合ユニットであっても良い。

（その他の実施の形態）
上記のように、本発明は第１〜第３の実施の形態によって記載したが、この開示の一部をなす論述及び図面はこの発明を限定するものであると理解すべきではない。

例えば、図２に示した不正判定部１２５が判定ルールとして過去の送信データの送信時刻と現在時刻との差分を用いるのであれば、送信対象データのボタンタイプ及び制御対象に関わらず、過去データ記憶部１２３に記憶されている全ての過去の送信データのうち、最も直近に送信されたデータ（図６ではエアコンの温度制御のデータ）を取得しても良い。そして、不正判定部１２５が、直近の送信データと現在時刻との差分Δｔを判定ルールで規定された閾値と比較しても良い。

この開示から当業者には様々な代替実施の形態、実施例及び運用技術が明らかとなろう。本発明はここでは記載していない様々な実施の形態等を含むことは勿論である。したがって、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。

１，１ａ，１ｂ，１ｃ…車両
２…データセンター
１０…車載機（車載ＩＴユニット）
１１…アプリケーション部
１２，５２…送信データ判定部
１３，５３…データ送信部
１４，２３…通信部
２１…アプリケーション保持部
２２…アプリケーション管理部
３０…オーディオ制御ユニット
４０…エアコン制御ユニット
５０…車載機（車載コントロールユニット）
５１…制御信号作成部
５４…入力受付部
６０…窓開閉制御ユニット
７０…施錠／開錠制御ユニット
１２１，５２１…送信データ一時記憶部
１２２，５２２…操作判定部
１２３，５２３…過去データ記憶部
１２４，５２４…判定ルール記憶部
１２５，５２５…不正判定部
１２６，５２６…エラー処理実行部

Claims (7)

1. アプリケーションを保持及び実行するアプリケーション部と、
   前記アプリケーションの実行中に被制御ユニットに送信しようとする送信対象データが人の操作に関連するか否かを判定する操作判定部と、
   人の操作に関連するデータに対応する判定ルールを記憶する判定ルール記憶部と、
   人の操作に関連する過去の送信データを記憶する過去データ記憶部と、
   前記操作判定部により前記送信対象データが人の操作に関連すると判定された場合、前記送信対象データに対応する前記判定ルール及び前記過去の送信データを用いて、前記送信対象データが不正か判定する不正判定部
   とを備えることを特徴とする車載機。
2. 前記不正判定部は、前記送信対象データに対応する前記過去の送信データの送信時刻と現在時刻との差分が、前記判定ルールで規定された閾値以下の場合、前記送信対象データが不正と判定することを特徴とする請求項１に記載の車載機。
3. 前記不正判定部により前記送信対象データが不正と判定された場合、前記送信対象データの送信を中止させ、前記送信対象データに対応する不正アプリを前記アプリケーション部から削除するエラー処理実行部を更に備えることを特徴とする請求項１又は２に記載の車載機。
4. 前記エラー処理実行部が、前記不正アプリの作成者と同一作成者が作成したアプリケーションを前記アプリケーション部から削除することを特徴とする請求項３に記載の車載機。
5. 請求項１〜４のいずれか１項に記載の車載機と、
   前記車載機がダウンロード可能な複数のアプリケーションを保持するデータセンターとを備え、
   前記不正判定部により前記送信対象データが不正と判定された場合、前記車載機が、前記送信対象データに対応する不正アプリに関する情報を前記データセンターに送信し、
   前記データセンターは、前記不正アプリに関する情報に基づいて、前記データセンターが保持している前記不正アプリに該当するアプリケーションを削除することを特徴とするセキュリティシステム。
6. 前記車載機が、前記データセンターから前記不正アプリに関する情報を受信した場合、前記車載機が保持している前記不正アプリに該当するアプリケーションを削除し、前記削除した結果を前記データセンターに送信することを特徴とする請求項５に記載のセキュリティシステム。
7. 人の操作を受け付ける入力受付部と、
   前記入力受付部により受け付けた人の操作に応じて制御信号を作成する制御信号作成部と、
   前記制御信号を被制御ユニットに送信するデータ送信部と、
   前記データ送信部により送信しようとする制御信号が人の操作に関連するか判定する操作判定部と、
   人の操作に関連する制御信号に対応する判定ルールを記憶した判定ルール記憶部と、
   人の操作に関連する過去に送信した制御信号を記憶する過去データ記憶部と、
   前記操作判定部により前記送信しようとする制御信号が人の操作に関連すると判定された場合、前記送信しようとする制御信号に対応する前記判定ルール及び前記過去に送信した制御信号を用いて、前記送信しようとする制御信号が不正か否かを判定する不正判定部
   とを備えることを特徴とする車載機。

Images