JP6099381B2

JP6099381B2 - 車載装置

Info

Publication number: JP6099381B2
Application number: JP2012268970A
Authority: JP
Inventors: 修一郎千田
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2012-12-10
Filing date: 2012-12-10
Publication date: 2017-03-22
Anticipated expiration: 2032-12-10
Also published as: JP2014113901A

Description

本発明は、自動車に搭載される車載装置に関する。

車載装置では、故障を検出し、故障原因を診断するため、故障情報やセンサ情報を車載装置内に蓄積し、外部ツールにより読み出すことができる。
例えば、非特許文献１では、故障コード、センサ情報、車体番号の読み出しや車両状態データの消去といった機能を持つ標準メッセージが規定されている。
また、非特許文献２では、非特許文献１が定める標準メッセージ以外のソフトウェア更新といった特殊な機能に対してセキュリティによる保護を行う方法が開示されている。

ＩＳＯ（ＩｎｔｅｒｎａｔｉｏｎａｌＯｒｇａｎｉｚａｔｉｏｎｆｏｒＳｔａｎｄａｒｄｉｚａｔｉｏｎ）１５０３１−５ＩＳＯ（ＩｎｔｅｒｎａｔｉｏｎａｌＯｒｇａｎｉｚａｔｉｏｎｆｏｒＳｔａｎｄａｒｄｉｚａｔｉｏｎ）１５０３１−７

非特許文献１が定める標準メッセージで取得可能な情報には車体番号といった不正に取得された場合にプライバシ情報の保護の問題となり得る情報が存在する。
一方、非特許文献２では標準メッセージによる機能はセキュリティなしに使用できるよう定められている。
このため、非特許文献１及び非特許文献２に規定の標準規格に準拠しながら車載装置への不正アクセスを検出することが困難である。

この発明は上記のような課題を解決することを主な目的としており、車載装置への不正アクセスを検出できる構成を得ることを主な目的とする。

本発明に係る車載装置は、
外部機器へのインタフェースを有する車載装置であって、
前記外部機器の前記インタフェースへの接続と、前記外部機器の前記インタフェースへの接続の解除を検出する接続検出部と、
前記インタフェースに接続された前記外部機器からの指示に基づき、データ処理を行うデータ処理部と、
前記接続検出部により前記外部機器の前記インタフェースへの接続が検出されてから、前記接続検出部により前記外部機器の前記インタフェースへの接続の解除が検出されるまでの間の、前記外部機器からの指示の内容及び前記データ処理部で行われたデータ処理の内容を記憶する履歴記憶部とを有することを特徴とする。

本発明によれば、外部装置からの指示の内容及びデータ処理部で行われたデータ処理の内容を記憶するため、記憶された内容を解析することで車載装置への不正アクセスを検出することができる。

実施の形態１に係る車載装置の構成例を示す図。実施の形態２に係る車載装置の構成例を示す図。実施の形態３に係る車載装置の構成例を示す図。実施の形態１に係る車載装置のアクセス履歴の記録処理を示すフローチャート図。実施の形態１に係る車載装置のアクセス履歴の参照処理を示すフローチャート図。実施の形態２に係る車載装置のバックアップの記録処理を示すフローチャート図。実施の形態２に係る車載装置の車両状態データの復元処理を示すフローチャート図。実施の形態３に係る車載装置の異常の検出処理を示すフローチャート図。実施の形態１〜３に係る車載装置のハードウェア構成例を示す図。

実施の形態１．
本実施の形態では、車両状態データを取得しようとする機器の車載装置に対するアクセス履歴を記録および参照する方法について説明する。

（実施の形態１の構成例）
図１は、本実施の形態に係る車載装置１０の構成例を示す。

送信部１０１は、車載装置１０においてネットワークにパケットの信号を送信する。
送信部１０１は、例えば、通信チップなどの回路である。
受信部１０２は、車載装置１０においてネットワークからパケットの信号を受信する。
受信部１０２は、例えば、通信チップなどの回路である。
なお、送信部１０１及び受信部１０２は、外部機器３０１へのインタフェースである。
また、送信部１０１は、出力部の例に相当する。

メッセージ解釈部１０３は、車載装置１０においてメッセージの種類を解釈する。
メッセージ解釈部１０３は、例えば、プログラムである。

車体番号参照部１０４は、車載装置１０において標準メッセージである車体番号参照要求のメッセージを処理する。
車体番号参照部１０４は、例えば、プログラムである。

車両状態データクリア部１０５は、車載装置１０において標準メッセージである車両状態データクリア要求を処理する。
車両状態データクリア部１０５は、例えば、プログラムである。

車両状態データ参照部１０６は、車載装置１０において標準メッセージである車両状態データ参照要求を処理する。
車両状態データ参照部１０６は、例えば、プログラムである。

車体番号参照部１０４、車両状態データクリア部１０５及び車両状態データ参照部１０６は、それぞれ外部機器３０１からの標準メッセージに含まれる指示に基づいてデータ処理を行う。
車体番号参照部１０４であれば、車体番号蓄積部１０７から車体番号を読み出し、読み出した車体番号が含まれる応答メッセージを生成し、生成した応答メッセージを送信部１０１を介して外部機器３０１に送信するというデータ処理を行う。
車両状態データクリア部１０５であれば、車両状態データ蓄積部１０８内の車両状態データを消去するというデータ処理を行う。
また、車両状態データ参照部１０６であれば、車両状態データ蓄積部１０８から車両状態データを読み出し、読み出した車両状態データが含まれる応答メッセージを生成し、生成した応答メッセージを送信部１０１を介して外部機器３０１に送信するというデータ処理を行う。
これら車体番号参照部１０４、車両状態データクリア部１０５及び車両状態データ参照部１０６は、それぞれ、データ処理部の例に相当する。

車体番号蓄積部１０７は、車載装置１０において車体番号を蓄積する。
車体番号蓄積部１０７は、例えば、フラッシュメモリなどの記録素子である。

車両状態データ蓄積部１０８は、車載装置１０において車両状態データを蓄積する。
車両状態データ蓄積部１０８は、例えば、フラッシュメモリなどの記録素子である。

接続検出部１１０は、車載装置１０において外部機器３０１が車載装置１０に接続されたことを検出して記録する。
接続検出部１１０は、センサなどの回路である。

通信回数計測部１１１は、車載装置１０においてメッセージを受信した回数を計測して記録する。
通信回数計測部１１１は、例えば、プログラムである。

アクセス履歴蓄積部１１２は、車載装置１０においてアクセス履歴を蓄積する。
アクセス履歴蓄積部１１２は、フラッシュメモリなどの記録素子である。
アクセス履歴蓄積部１１２は、接続検出部１１０により外部機器３０１の送信部１０１及び受信部１０２への接続が検出されてから、接続検出部１１０により外部機器３０１の送信部１０１及び受信部１０２への接続の解除が検出されるまでの間の、外部機器３０１からの指示の内容及び車体番号参照部１０４、車両状態データクリア部１０５及び車両状態データ参照部１０６の各々で行われたデータ処理の内容を記憶する。
アクセス履歴蓄積部１１２は、履歴記憶部の例に相当する。

アクセス履歴参照部１１３は、車載装置１０において標準外の特殊メッセージによってアクセス履歴参照要求を処理する。
アクセス履歴参照部１１３は、例えば、プログラムである。
アクセス履歴参照部１１３は、アクセス履歴蓄積部１１２に蓄積されているアクセス履歴を送信部１０１を用いて、外部に出力する。
アクセス履歴参照部１１３は、送信部１０１とともに出力部の例に相当する。

車両状態計測部２０１は、車載装置１０において機器の故障コードやセンサ値を車両状態データとして取得して記録する。
車両状態計測部２０１は、例えば、センサである。

計時部２０２は、車載装置１０において時刻を計測する。
計時部２０２は、例えば、ＲＴＣ（ＲｅａｌＴｉｍｅＣｌｏｃｋ）などの素子である。

位置情報取得部２０３は、車載装置１０において車両の位置情報を取得する。
位置情報取得部２０３は、例えば、ＧＰＳ（ＧｌｏｂａｌＰｏｓｉｔｉｏｎｉｎｇＳｙｓｔｅｍ）などの回路である。

外部機器３０１は、車載装置１０にネットワークを通して接続し、メッセージの授受を行う。

（実施の形態１の動作例）
図４は、外部機器３０１が車載装置１０に接続して、車載装置１０が外部機器３０１から受信した標準メッセージに対する処理を行う際、アクセス履歴を記録する動作の一例を示す。

外部機器３０１が送信部１０１および受信部１０２に接続する。
このとき、接続検出部１１０が、例えば、インピーダンスの変化などにより、外部機器３０１が接続されたことを検出する（Ｓ１０１）。

接続検出部１１０は、アクセス履歴蓄積部１１２に接続のログをアクセス履歴として記録する（Ｓ１０２）。
記録するデータは計時部２０２から取得する時刻、位置情報取得部２０３から取得する位置情報、などである。

外部機器３０１は、ＩＳＯ１５０３１−５規格に準拠した標準メッセージを含むパケットを受信部１０２を通して送信する（Ｓ１０３）。
メッセージ解釈部１０３は、受信したパケットからメッセージの種類を解釈する（Ｓ１０４）。
例えば、車体番号参照要求のメッセージの場合、メッセージ解釈部１０３は車体番号参照部１０４に処理要求を行う。
また、他に標準メッセージとして、車両状態データクリア要求や車両状態データ参照要求などがある。

メッセージ解釈部１０３は、通信回数計測部１１１に受信したメッセージの情報を通知する。
通信回数計測部１１１は１回の接続中のメッセージ受信回数を計測し、アクセス履歴蓄積部１１２にメッセージ処理の履歴をアクセス履歴として記録する（Ｓ１０５）。
記録するデータは計時部２０２から取得する時刻、位置情報取得部２０３から取得する位置情報、メッセージの種類（指示の内容）を示す識別番号、接続元を示す識別番号、１回の接続中のメッセージ受信回数、車体番号参照部１０４、車両状態データクリア部１０５及び車両状態データ参照部１０６によるデータ処理の内容などである。

車体番号参照部１０４、車両状態データクリア部１０５及び車両状態データ参照部１０６のいずれかが、メッセージの種類（外部機器３０１からの指示）に応じた処理を行う（Ｓ１０６）。
例えば、車体番号参照要求のメッセージの場合、車体番号参照部１０４が車体番号蓄積部１０７から車体番号を参照する。

次に、メッセージに応じた処理の実行結果を送信部１０１を通して外部機器３０１に送信する（Ｓ１０７）。
例えば、車体番号参照要求のメッセージの場合、車体番号参照部１０４が車体番号を含む応答メッセージを生成して、送信する。

処理が完了したら、外部機器３０１の接続が送信部１０１および受信部１０２から切断される。
このとき、接続検出部１１０が、例えば、インピーダンスの変化などにより、外部機器３０１が切断されたことを検出する（Ｓ１０８）。

接続検出部１１０は、アクセス履歴蓄積部１１２に切断のログをアクセス履歴として記録する（Ｓ１０９）。
記録するデータは計時部２０２から取得する時刻、位置情報取得部２０３から取得する位置情報、などである。

図５は、外部機器３０１がアクセス履歴を参照する動作の一例を示す。
Ｓ１０１、Ｓ１０２、Ｓ１０４〜Ｓ１０５、Ｓ１０７〜Ｓ１０９は図４と同一であるので説明を省略する。

標準外の特殊メッセージを処理ができるように、外部機器３０１がメッセージ解釈部１０３に対して、例えば、非特許文献２に記載するような方法で認証処理を行う（Ｓ１１０）。
外部機器３０１は、規格に準拠したアクセス履歴参照要求のメッセージを含むパケットを受信部１０２を通して送信する（Ｓ１１１）。
アクセス履歴参照部１１３は、アクセス履歴蓄積部１１２を参照してアクセス履歴を取得する（Ｓ１１２）。
そして、アクセス履歴参照部１１３は、取得したアクセス履歴を送信部１０１を通して外部機器３０１に送信する（Ｓ１０７）。

（発明の効果）
以上のように、本実施の形態では、アクセス履歴を記録する手段を持つ車載装置を説明した。
本実施の形態に係る車載装置によれば、アクセス履歴を記録するため、車載装置に対してどのようなアクセスがあったかを後で参照することができ、不正なアクセスが発生していないか、分析することができる。
このため、プライバシ情報を不正に取得されても、不正アクセスを追跡することができる。
また、本実施の形態に係る車載装置によれば、車載装置の不具合などで異常な通信が発生していることも発見することができる。

以上、本実施の形態では、
車体番号や車両状態データなど標準で取得できる機能を持つ車載装置が、
通信の開始時、処理時、終了時の時刻、車両位置、処理内容を記録するアクセス履歴蓄積部と、
通信の開始時、処理時、終了時の時刻、車両位置、処理内容を参照するアクセス履歴参照部と、
計時部と、
位置情報取得部と、
を備えることを説明した。

また、本実施の形態では、前記車載装置が、
外部機器が接続もしくは切断されたことを検出してアクセス履歴として記録する接続検出部と、
メッセージ受信回数を計測してメッセージの種類と併せてアクセス履歴として記録する通信回数計測部とを備え、
アクセス履歴蓄積部が、接続時の時刻、車両位置、処理内容、メッセージ受信回数、メッセージの種類を記録することを説明した。

実施の形態２．
実施の形態１では、アクセス履歴を記録および参照する方法について説明した。
しかし、この方法では、不正アクセスによって車両状態データを消去されるようなデータ操作のそのものを制止できない。
実施の形態２では、車両状態データのバックアップを作成し、外部からの要求に応じて操作されたデータを復元する方法について説明する。

（実施の形態２の構成例）
図２は、本実施の形態に係る車載装置１０の構成例を示す。
１０１〜１０４、１０６〜１０８、１１０〜１１３、２０１〜２０３、３０１は図１と同一であるため説明を省略する。

本実施の形態では、車両状態データクリア部１０５は、車両状態データを消去する前に、消去対象の車両状態データの複製を生成し、生成した複製をバックアップ蓄積部１１４に格納する。
本実施の形態では、車両状態データクリア部１０５は、複製生成部の例に相当する。

バックアップ蓄積部１１４は、車両状態データのバックアップを記録する領域である。
バックアップ蓄積部１１４は、標準メッセージではアクセスできない記録領域であるフラッシュメモリなどの記録素子である。

車両状態データ復元部１１５は、バックアップ蓄積部１１４から車両状態データのバックアップを取得し、車両状態データを復元する。
車両状態データ復元部１１５は、例えば、プログラムである。
また、車両状態データ復元部１１５は、データ復元部の例に相当する。

（実施の形態２の動作例）
図６は、実施の形態２における車両状態データのバックアップを行う動作の一例を示す。
Ｓ１０１〜Ｓ１０２、Ｓ１０４〜Ｓ１０５、Ｓ１０７〜Ｓ１０９は図４と同一のため説明を省略する。

外部機器３０１が、車両状態データクリア要求のメッセージを含むパケットを受信部１０２を通して送信する（Ｓ２０１）。

車両状態データクリア部１０５は、車両状態データ蓄積部１０８の車両状態データの複製を生成し、生成した車両状態データの複製を、バックアップ蓄積部１１４にバックアップとして記録する（Ｓ２０２）。

車両状態データクリア部１０５は、車両状態データ蓄積部１０８の車両状態データを消去する（Ｓ２０３）。

図７は、実施の形態２における車両状態データを復元する動作の一例を示す。
Ｓ１０１〜Ｓ１０２、Ｓ１０４〜Ｓ１０５、Ｓ１０７〜Ｓ１１０は、図５と同一のため説明を省略する。

外部機器３０１が車両状態データ復元要求のメッセージを含むパケットを受信部１０２を通して送信する（Ｓ２０４）。
車両状態データ復元部１１５は、バックアップ蓄積部１１４から車両状態データのバックアップを取得し、車両状態データ蓄積部１０８に入力する（Ｓ２０５）。

（発明の効果）
以上のように、本実施の形態によれば、不正に車両状態データが消去された場合においても車両状態データを復元することができ、車両状態データを用いるアプリケーションや他の車載装置が影響を受けず動作を継続することができる。

以上、本実施の形態では、
車体番号や車両状態データなど標準で取得できる機能を持つ車載装置が、
車両状態データのバックアップを記録するバックアップ蓄積部と、
車両状態データのバックアップを参照して標準メッセージでアクセス可能な車両状態データ蓄積部に車両状態データのバックアップを記録する車両状態データ復元部と、
を備えることを説明した。

また、本実施の形態では、
車両状態データクリア部が、車両状態データのクリアを契機として車両状態データのバックアップを行うことを説明した。

実施の形態３．
実施の形態２では、車両状態データをバックアップおよび復元する方法を説明した。
しかし、この方法はデータが操作されたことを通知する手段がなく、不正なアクセスが行われた後に長期間気づかない恐れがある。
実施の形態３では、不正なアクセスを即座に検出し、予め設定された通知先に通知する方法について説明する。

（実施の形態３の構成の一例）
図３は、本実施の形態に係る車載装置１０の構成例を示す。
１０１〜１０８、１１０〜１１５、２０１〜２０３、３０１は図２と同一のため説明を省略する。

異常判別部１１６は、予め設定された異常パターンおよびホワイトリストとアクセス履歴を照合して、不正なアクセスや異常な通信を検出する。
異常判別部１１６は、例えば、プログラムである。
また、異常判別部１１６は、解析判定部の例に相当する。

ホワイトリスト蓄積部１１７は、通常のアクセスパターンを示すホワイトリストを記録する。
ホワイトリスト蓄積部１１７は、例えば、フラッシュメモリなどの記録素子である。

異常パターン蓄積部１１８は、不正なアクセスのパターンを示すデータベースを記録する。
異常パターン蓄積部１１８は、例えば、フラッシュメモリなどの記録素子である。

（実施の形態３の動作の一例）
図８は、実施の形態３における不正なアクセスを検出して予め設定された通知先に通知する動作の一例を示す。

異常判別部１１６は、アクセス履歴蓄積部１１２を参照し、アクセス履歴を取得する（Ｓ３０１）。

異常判別部１１６は、異常パターン蓄積部１１８から異常パターンを取得し、異常パターンとアクセス履歴を照合する（Ｓ３０２）。
アクセス履歴が異常パターンに合致すれば、異常判別部１１６は、異常として検出する。
異常パターンは、例えば、一定時間以内に設定回数以上の通信があれば異常とするというパターンや、定義外の識別子を持つメッセージを複数回受信すれば異常とするというパターン、といった不正なアクセスのパターンを記述しているデータベースである。
異常判別部１１６は、例えば、アクセス履歴を解析して、外部機器３０１からの指示の発生頻度を算出し、算出した指示の発生頻度と異常パターンとを照合して、外部機器３０１から不正なアクセス（不正な指示）があったか否かを判定する。
また、異常判別部１１６は、例えば、アクセス履歴を解析して、外部機器３０１から未定義のメッセージを用いた指示が行われたかどうかを判定し、判定結果と異常パターンとを照合して、外部機器３０１から不正なアクセス（不正な指示）があったか否かを判定する。

異常判別部１１６は、ホワイトリスト蓄積部１１７からホワイトリストを取得し、ホワイトリストとアクセス履歴を照合する（Ｓ３０３）。
アクセス履歴がホワイトリストと合致しない場合、異常判別部１１６は、異常として検出する。
ホワイトリストは、例えば、自動車整備工場の位置情報や自動車整備が実施される想定時刻である。
アクセス履歴に記録されている時刻や位置がホワイトリストの時刻や位置に合致しない場合は、異常判別部１１６は、外部機器３０１から不正なアクセス（不正な指示）があったと判定する。

異常判別部１１６において異常パターンもしくはホワイトリストにより異常が検出されているか確認する（Ｓ３０４）。
異常が検出された場合、異常判別部１１６は異常があることを予め設定された通知先に通知する（Ｓ３０５）。
予め設定された通知先は、例えば、運転手が見ることのできる表示装置、車両情報を蓄積する外部のサーバ、運転手やその関係者にメール通知可能な電子メールサーバ、車両状態データ復元部１１５、などである。
車両状態データ復元部１１５に対して通知する場合、車両状態データ復元部１１５は図７の車両状態データの復元処理を実施してもよい。

（発明の効果）
以上のように、実施の形態３では、不正アクセスといった異常が発生した場合に即座に運転手や車両の管理者に通知することができる。

本実施の形態では、
異常パターン蓄積部と、
ホワイトリスト蓄積部と、
異常判別部と、
を備える車載装置を説明した。

また、本実施の形態では、
少なくとも、設定回数以上の頻度で通信が行われたら異常と検出し、未定義のメッセージを設定回数以上連続して受信したら異常と検出する、異常パターンを持つ異常パターン蓄積部を説明した。

また、本実施の形態では、
少なくとも、正常とする時刻、車両位置、とをホワイトリストとして持つホワイトリスト蓄積部を説明した。

最後に、実施の形態１〜３に示した車載装置１０のハードウェア構成例を図９を参照して説明する。
車載装置１０のハードウェア構成としては、バスに、演算装置９０１、外部記憶装置９０２、主記憶装置９０３、通信装置９０４、入出力装置９０５が接続されている。

演算装置９０１は、プログラムを実行するＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）である。
外部記憶装置９０２は、例えばＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）やフラッシュメモリである。
主記憶装置９０３は、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）である。
通信装置９０４は、例えば、ＮＩＣ（ＮｅｔｗｏｒｋＩｎｔｅｒｆａｃｅＣａｒｄ）である。
入出力装置９０５は、例えば、タッチパネル式のディスプレイ装置等である。

プログラムは、通常は外部記憶装置９０２に記憶されており、主記憶装置９０３にロードされた状態で、順次演算装置９０１に読み込まれ、実行される。
具体的には、図１〜図３に示す「〜部」のうち、プログラムとして説明したものが演算装置９０１により実行され、実施の形態１〜３で説明した処理が実現される。
更に、外部記憶装置９０２にはオペレーティングシステム（ＯＳ）も記憶されており、ＯＳの少なくとも一部が主記憶装置９０３にロードされ、演算装置９０１はＯＳを実行しながら、図１〜図３に示す「〜部」のプログラムを実行する。
また、実施の形態１〜３の説明において、「〜の判断」、「〜の判定」、「〜の解釈」、「〜の解析」、「〜の検出」、「〜の参照」、「〜の復元」、「〜の認証」、「〜の取得」、「〜の生成」、「〜の入力」、「〜の出力」等として説明している処理の結果を示す情報やデータや信号値や変数値が主記憶装置９０３にファイルとして記憶されている。
また、暗号鍵・復号鍵や乱数値やパラメータが、主記憶装置９０３にファイルとして記憶されてもよい。

なお、図９の構成は、あくまでも車載装置１０のハードウェア構成の一例を示すものであり、車載装置１０のハードウェア構成は図９に記載の構成に限らず、他の構成であってもよい。

以上、本発明の実施の形態について説明したが、これらの実施の形態のうち、２つ以上を組み合わせて実施しても構わない。
あるいは、これらの実施の形態のうち、１つを部分的に実施しても構わない。
あるいは、これらの実施の形態のうち、２つ以上を部分的に組み合わせて実施しても構わない。
なお、本発明は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。

１０車載装置、１０１送信部、１０２受信部、１０３メッセージ解釈部、１０４車体番号参照部、１０５車両状態データクリア部、１０６車両状態データ参照部、１０７車体番号蓄積部、１０８車両状態データ蓄積部、１１０接続検出部、１１１通信回数計測部、１１２アクセス履歴蓄積部、１１３アクセス履歴参照部、１１４バックアップ蓄積部、１１５車両状態データ復元部、１１６異常判別部、１１７ホワイトリスト蓄積部、１１８異常パターン蓄積部、２０１車両状態計測部、２０２計時部、２０３位置情報取得部、３０１外部機器。

Claims

外部機器へのインタフェースを有する車載装置であって、
前記外部機器の前記インタフェースへの接続と、前記外部機器の前記インタフェースへの接続の解除を検出する接続検出部と、
前記インタフェースに接続された前記外部機器からの指示に基づき、データ処理を行うデータ処理部と、
前記接続検出部により前記外部機器の前記インタフェースへの接続が検出されてから、前記接続検出部により前記外部機器の前記インタフェースへの接続の解除が検出されるまでの間の、前記外部機器からの指示の内容及び前記データ処理部で行われたデータ処理の内容を記憶する履歴記憶部と、
前記外部機器からの指示に基づき前記データ処理部が特定のデータを消去する場合に、前記特定のデータが消去される前に、前記特定のデータの複製を生成する複製生成部とを有することを特徴とする車載装置。
前記履歴記憶部は、
前記接続検出部により前記外部機器の前記インタフェースへの接続が検出された時刻及び前記接続検出部により前記外部機器の前記インタフェースへの接続の解除が検出された時刻の少なくともいずれかと、
前記接続検出部により前記外部機器の前記インタフェースへの接続が検出されたときの前記車載装置の所在位置及び前記接続検出部により前記外部機器の前記インタフェースへの接続の解除が検出されたときの前記車載装置の所在位置の少なくともいずれかを記憶することを特徴とする請求項１に記載の車載装置。
前記車載装置は、更に、
前記履歴記憶部の記憶内容を前記外部機器に出力する出力部を有することを特徴とする請求項１又は２に記載の車載装置。
前記車載装置は、更に、
前記データ処理部により前記特定のデータが消去された後に、前記複製生成部により生成された複製を、前記特定のデータが記憶されていた記憶領域に格納するデータ復元部を有することを特徴とする請求項１に記載の車載装置。
外部機器へのインタフェースを有する車載装置であって、
前記外部機器の前記インタフェースへの接続と、前記外部機器の前記インタフェースへの接続の解除を検出する接続検出部と、
前記インタフェースに接続された前記外部機器からの指示に基づき、データ処理を行うデータ処理部と、
前記接続検出部により前記外部機器の前記インタフェースへの接続が検出されてから、前記接続検出部により前記外部機器の前記インタフェースへの接続の解除が検出されるまでの間の、前記外部機器からの指示の内容及び前記データ処理部で行われたデータ処理の内容を記憶する履歴記憶部と、
前記履歴記憶部で記憶されている前記外部機器からの指示の内容及び前記データ処理部で行われたデータ処理の内容を解析して、前記外部機器から前記データ処理部に不正な指示が行われたかどうかを判定する解析判定部とを有することを特徴とする車載装置。
前記解析判定部は、
前記履歴記憶部で記憶されている前記外部機器からの指示の内容及び前記データ処理部で行われたデータ処理の内容を解析して、前記外部機器からの指示の発生頻度を算出し、算出した指示の発生頻度に基づき、前記外部機器から前記データ処理部に不正な指示が行われたかどうかを判定することを特徴とする請求項５に記載の車載装置。
前記解析判定部は、
前記履歴記憶部で記憶されている前記外部機器からの指示の内容及び前記データ処理部で行われたデータ処理の内容を解析して、前記外部機器から未定義のメッセージを用いた指示が行われたかどうかを判定し、判定結果に基づき、前記外部機器から前記データ処理部に不正な指示が行われたかどうかを判定することを特徴とする請求項５又は６に記載の車載装置。
前記履歴記憶部は、
前記接続検出部により前記外部機器の前記インタフェースへの接続が検出された時刻及び前記接続検出部により前記外部機器の前記インタフェースへの接続の解除が検出された時刻の少なくともいずれかと、
前記接続検出部により前記外部機器の前記インタフェースへの接続が検出されたときの前記車載装置の所在位置及び前記接続検出部により前記外部機器の前記インタフェースへの接続の解除が検出されたときの前記車載装置の所在位置の少なくともいずれかを記憶し、
前記解析判定部は、
前記履歴記憶部に記憶されている時刻及び所在位置に基づき、前記外部機器から前記データ処理部に不正な指示が行われたかどうかを判定することを特徴とする請求項５〜７のいずれかに記載の車載装置。
前記データ処理部は、
前記外部機器からのＩＳＯ（ＩｎｔｅｒｎａｔｉｏｎａｌＯｒｇａｎｉｚａｔｉｏｎ
ｆｏｒＳｔａｎｄａｒｄｉｚａｔｉｏｎ）１５０３１−５規格に準拠した標準メッセージに含まれる指示に基づき、データ処理を行い、
前記履歴記憶部は、
前記接続検出部により前記外部機器の前記インタフェースへの接続が検出されてから、前記接続検出部により前記外部機器の前記インタフェースへの接続の解除が検出されるまでの間の、前記外部機器からの前記標準メッセージに含まれる指示の内容及び前記標準メッセージに含まれる指示に従って前記データ処理部で行われたデータ処理の内容を記憶することを特徴とする請求項１〜８のいずれかに記載の車載装置。