JP6556207B2

JP6556207B2 - 車両用セキュリティ装置およびセキュリティ方法

Info

Publication number: JP6556207B2
Application number: JP2017202808A
Authority: JP
Inventors: 昭暢杉山; 大久保　陽一; 陽一大久保
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2017-10-19
Filing date: 2017-10-19
Publication date: 2019-08-07
Anticipated expiration: 2037-10-19
Also published as: JP2019075056A

Description

本発明は、車両用のセキュリティ装置およびセキュリティ方法に関するものである。

近年、車両の電子制御技術の発達に伴い、車両の制御に用いられる車両情報を車載機器間で送受信するためネットワーク（例えば、ＣＡＮ（Controller Area Network）など）を搭載した車両が普及しつつある。

一方、車両のネットワークに対し、不正な情報を流すなどのセキュリティ上の攻撃（以下「セキュリティ攻撃」という）が行われた場合に、その対策措置を講ずるセキュリティ装置が提案されている。例えば、下記の特許文献１には、車両のネットワークを流れる車両情報に不正なフレーム（攻撃フレーム）が含まれていることが検知されると、検知された不正なフレームを車両情報から除去するセキュリティ装置が開示されている。

特開２０１７−８５６６３号公報

車両情報のセキュリティ攻撃が車両の制御に与える影響度は、セキュリティ攻撃を受けた車両情報の種類や、セキュリティ攻撃の程度によって異なる。そのため、車両情報がセキュリティ攻撃を受けたとしても、例えば、車両の制御の一部を継続できる場合や、制御量を縮小すれば車両の制御を継続できる場合も考えられる。引用文献１の技術では、セキュリティ攻撃が車両の制御に与える影響度は考慮されていない。

本発明は、車両情報がセキュリティ攻撃を受けたときに、セキュリティ攻撃が車両の制御に与える影響度を考慮した対策措置を講ずることが可能なセキュリティ装置を提供することを目的とする。

本発明に係る車両用セキュリティ装置は、車両用セキュリティ装置が搭載される車両である自車両のデータ受信装置が受信した前記自車両の車両情報が受けたセキュリティ攻撃を検知するセキュリティ攻撃検知部と、前記セキュリティ攻撃が前記自車両の制御に与える影響度を判定する影響度判定部と、前記セキュリティ攻撃の前記影響度に応じて、前記車両情報に基づき前記自車両を制御する車両制御装置の動作に抑制をかける車両制御抑制部と、を備え、前記車両制御抑制部は、前記車両制御装置の動作に抑制をかける際、前記セキュリティ攻撃の前記影響度を考慮して、抑制する制御の種類または抑制の程度を決定する。

本発明によれば、セキュリティ攻撃が自車両の制御に与える影響度に応じた車両制御が行われるため、例えば、セキュリティ攻撃の影響度が低い制御のみを継続するなど、柔軟なセキュリティ対策を実現できる。

本発明の実施の形態１に係る車両制御システムの構成を示すブロック図である。セキュリティ攻撃検知部の構成の例を示す図である。本発明の実施の形態１に係るセキュリティ装置の動作を示すフローチャートである。セキュリティ装置のハードウェア構成の例を示す図である。セキュリティ装置のハードウェア構成の例を示す図である。本発明の実施の形態２に係る車両制御システムの構成を示すブロック図である。本発明の実施の形態２に係るセキュリティ装置の動作を示すフローチャートである。

＜実施の形態１＞
図１は、本発明の実施の形態１に係る車両制御システムの構成を示すブロック図である。当該車両制御システムは、データ受信装置１、車両制御装置２、アクチュエータ３、速度検出装置４、周辺物体検出装置５、外部通信装置６および車両用セキュリティ装置１０を備えている。以下、当該車両制御システムを搭載した車両を「自車両」という。また、車両用セキュリティ装置１０を、単に「セキュリティ装置１０」という。

データ受信装置１は、自車両の制御を行う際に使用される車両情報を、自車両内に構築されたネットワークを通して受信する。データ受信装置１が受信する車両情報としては、例えば、自車両のセンサが検出したヨーレート、横Ｇ（横加速度）など車両の状態を示す情報や、自車両のＥＣＵ（Electronic Control Unit）の演算結果の情報などが考えられる。車両情報の多くはセンサやＥＣＵから一定周期で送信されるが、一部の車両情報は特定の条件が成立したときのみに送信される。本実施の形態では、データ受信装置１が接続するネットワークをＣＡＮ（Controller Area Network）とするが、当該ネットワークはＣＡＮに限られず、ＬＩＮ（Local Interconnect Network）、ＣＡＮ−ＦＤ（CAN with Flexible Data rate）、Ethernet（登録商標）など、車両情報の送受信が可能な任意のネットワークでよい。

車両制御装置２は、データ受信装置１が受信した自車両の車両情報に基づいて、自車両の制動、駆動および操舵を行うアクチュエータ３を制御する。アクチュエータ３は、車両制御装置２からの指示に従って、自車両の走行を制御するための制動力、駆動力、操舵力を発生させる。詳細は後述するが、車両制御装置２が行うアクチュエータ３の制御は、車両情報のセキュリティ攻撃が検知されたときに、セキュリティ装置１０によって抑制がかけられる。

速度検出装置４は、自車両の速度を検出する車速センサである。速度検出装置４によって検出された自車両の速度は、ネットワークおよびデータ受信装置１を介さずにセキュリティ装置１０へ入力される。よって、セキュリティ装置１０が速度検出装置４から取得する速度の情報は、セキュリティ攻撃を受けることはない。

周辺物体検出装置５は、カメラやミリ波レーダ、ソナー、赤外線センサ、ＬＩＤＡＲ（Light Detection and Ranging）など、自車両の周囲の物体を検出するセンサである。周辺物体検出装置５による物体検出結果は、ネットワークおよびデータ受信装置１を介さずにセキュリティ装置１０へ入力される。よって、セキュリティ装置１０が周辺物体検出装置５から取得する物体検出結果は、セキュリティ攻撃を受けることはない。

外部通信装置６は、他の車両との車車間通信や路側設備との路車間通信など、自車両の外部との通信により、自車両に関する情報を取得する。外部通信装置６が取得する自車両に関する情報としては、例えば、自車両周辺の他の車両の有無、自車両周辺の障害物の有無、他の車両がレーダ等を用いて推定した自車両の速度などがある。外部通信装置６が取得した情報は、ネットワークおよびデータ受信装置１を介さずにセキュリティ装置１０へ入力される。よって、セキュリティ装置１０が周辺物体検出装置５から取得する情報は、セキュリティ攻撃を受けることはない。以下、外部通信装置６が取得した自車両に関する情報を、「外部自車両情報」という。

一方、データ受信装置１が受信する車両情報は、ＣＡＮなどのネットワークを通して受信されるため、悪意者によるセキュリティ攻撃を受ける可能性がある。例えば、データ受信装置１が受信した車両情報に、悪意者がネットワークに繋げたセキュリティ攻撃装置から出力された不正な信号（なりすまし信号）が含まれている恐れがある。また、悪意者が車載センサやＥＣＵの出力を改ざんしたことによって、データ受信装置１が受信した車両情報に異常な信号が含まれる恐れもある。

車両制御装置２が、セキュリティ攻撃を受けた車両情報に基づいて制限なくアクチュエータ３を制御すると、アクチュエータ３が誤動作する恐れがある。例えば、自車両のヨーレートセンサが出力するヨーレート信号が改ざんされ、不正なヨーレートに基づいて車両制御装置２が動作すると、アクチュエータ３としての横滑り防止装置が正しく動作しないなどの問題が生じる。

セキュリティ装置１０は、データ受信装置１が受信した車両情報がセキュリティ攻撃を受けたことを検知すると、車両制御装置２の動作に抑制をかけ、それによって、セキュリティ攻撃に起因するアクチュエータ３の誤動作を防止する。また、セキュリティ装置１０は、車両制御装置２の動作に抑制をかける際、当該セキュリティ攻撃が自車両の制御に与える影響度を考慮して、抑制する制御の種類、抑制の程度などを決定する。セキュリティ攻撃が自車両の制御に与える影響度（以下、単に「影響度」ということもある）は、具体的には、自車両の制動、駆動、操舵の各制御のために車両制御装置２が行う演算処理に与える影響の度合いに相当する。セキュリティ装置１０が、セキュリティ攻撃の影響度を考慮して車両制御装置２の制御に抑制をかけることで、例えば、セキュリティ攻撃の影響を受けない範囲でアクチュエータ３の制御を継続するなど、セキュリティ攻撃に対する柔軟な措置を講ずることができる。

図１に示すように、セキュリティ装置１０は、セキュリティ攻撃検知部１１、影響度判定部１２および車両制御抑制部１３を備えている。

セキュリティ攻撃検知部１１は、データ受信装置１が受信した車両情報が受けたセキュリティ攻撃を検知する。また、セキュリティ攻撃検知部１１は、検知したセキュリティ攻撃の種類および程度の判定も行うことができる。

影響度判定部１２は、セキュリティ攻撃検知部１１が検知したセキュリティ攻撃の種類および程度、速度検出装置４から取得した自車両の速度、周辺物体検出装置５から取得した物体検出結果、ならびに、外部通信装置６から取得した外部自車両情報に基づいて、当該セキュリティ攻撃が自車両の制御に与える影響度を判定する。

車両制御抑制部１３は、影響度判定部１２が判定したセキュリティ攻撃の影響度に応じて、車両制御装置２がアクチュエータ３を制御する動作に抑制をかける。

ここで、セキュリティ攻撃検知部１１について詳細に説明する。図２は、セキュリティ攻撃検知部１１の構成例を示す図である。図２のセキュリティ攻撃検知部１１は、セキュリティ攻撃の検知手段として、時間条件判定部１１１とデータ条件判定部１１２とを備えている。

時間条件判定部１１１は、センサやＥＣＵから車両情報が一定周期で送信されることを利用して、車両情報がデータ受信装置１に受信された時間からセキュリティ攻撃の有無を判定する。また、時間条件判定部１１１は、車両情報がデータ受信装置１に受信された周期を検知する周期検知部１１１ａと、車両情報がデータ受信装置１に受信された頻度（一定時間あたりの受信回数）を検知する頻度検知部１１１ｂとを備えている。

以下、データ受信装置１が、車両情報としてヨーレート信号を受信する場合を例に挙げて、時間条件判定部１１１の動作を説明する。

例えば、ヨーレートセンサがヨーレート信号を送信する周期が１００ｍｓと規定されていると仮定する。また、悪意者が自車両のネットワークに接続させたセキュリティ攻撃装置からも、同じく１００ｍｓ周期で不正なヨーレート信号（なりすましのヨーレート信号）が送信されたとする。この場合、データ受信装置１は１００ｍｓの期間にヨーレート信号を２回受信するため、周期検知部１１１ａが検知するヨーレート信号の受信周期は１００ｍｓよりも短い値となる。時間条件判定部１１１は、周期検知部１１１ａによって、１００ｍｓよりも短い受信周期（例えば、５０ｍｓ周期以下の受信周期）が検知されると、セキュリティ攻撃があったと判定する。

また、ヨーレート信号の送信周期が１００ｍｓと規定されており、頻度検知部１１１ｂが、１００ｍｓの期間内にデータ受信装置１がヨーレート信号を受信した回数を検知するものと仮定する。セキュリティ攻撃のない通常の状態では、データ受信装置１は、１００ｍｓあたり１回の頻度でヨーレート信号を受信する。しかし、例えばセキュリティ攻撃装置が不正なヨーレート信号を１０ｍｓ周期で送信した場合、データ受信装置１は、１００ｍｓあたり１０回以上の頻度でヨーレート信号を受信する。時間条件判定部１１１は、頻度検知部１１１ｂによって、１００ｍｓあたり２回以上の受信頻度（例えば、１００ｍｓあたり３回以上の受信頻度）が検知されると、セキュリティ攻撃があったと判定する。

一方、データ条件判定部１１２は、データ受信装置１が受信した車両信号のデータの値が正しいかどうかを推定することよって、セキュリティ攻撃の有無を判定する。また、データ条件判定部１１２は、データ受信装置１が受信した車両情報のデータの値を検知する値検知部１１２ａと、当該データの値の変化率を検知する変化率検知部１１２ｂと、当該データの値とその推定値との差（以下「残差」という）を検知する残差検知部１１２ｃとを備えている。

ここでも、データ受信装置１が、車両情報としてヨーレート信号を受信する場合を例に挙げて、データ条件判定部１１２の動作を説明する。

例えば、データ受信装置１が、通常ではとり得ない異常な値を示すヨーレート信号を受信した場合、その値から、当該ヨーレート信号がネットワークに接続させたセキュリティ攻撃装置から送信された不正なヨーレート信号であると判断できる。時間条件判定部１１１は、値検知部１１２ａにより、ヨーレート信号の値として異常な値が検知されると、そのヨーレート信号を不正なヨーレート信号であると判断し、セキュリティ攻撃があったと判定する。

また、セキュリティ攻撃装置が送信する不正なヨーレート信号の値が、ヨーレートセンサが送信する正規のヨーレート信号の値と大きく異なる場合、データ受信装置１で受信されたヨーレート信号の値が大きく変化する。データ条件判定部１１２は、変化率検知部１１２ｂにより、ヨーレート信号の値の変化率として異常な値が検知されると、セキュリティ攻撃があったと判定する。

また、自車両のヨーレートは、次の数式（１）により推定できる。

数式（１）において、ｒはヨーレート、δは舵角、Ｖは速度、Ａは自車両のスタビリティファクタ、ｌは自車両のホイールベース（前輪軸と後輪軸との間の距離）である。

残差検知部１１２ｃは、データ受信装置１が受信したヨーレート信号が示す値と数式（１）から算出したヨーレートの推定値との差（残差）を検知する。時間条件判定部１１１は、残差検知部１１２ｃにより、予め定められた閾値よりも大きな残差が検知されると、セキュリティ攻撃があったと判定する。

ここでは、車両情報をヨーレート信号と仮定して説明したが、セキュリティ攻撃検知部１１が検出するセキュリティ攻撃は、ヨーレート信号に対するセキュリティ攻撃に限られず、上記と同様の手法を用いれば、他の車両情報のセキュリティ攻撃も検出することが可能である。

なお、時間条件判定部１１１およびデータ条件判定部１１２は、周期検知部１１１ａ、頻度検知部１１１ｂ、値検知部１１２ａ、変化率検知部１１２ｂまたは残差検知部１１２ｃの１回の検知結果のみからセキュリティ攻撃の有無を判定してもよいが、予め定められた回数だけ連続して異常な値が検知された場合に限りセキュリティ攻撃があったと判断してもよい。それにより、ノイズの影響などで車両信号が一時的に異常な値をとった場合に、時間条件判定部１１１およびデータ条件判定部１１２がセキュリティ攻撃を誤検知することが防止される。

また、セキュリティ攻撃検知部１１は、周期検知部１１１ａ、頻度検知部１１１ｂ、値検知部１１２ａ、変化率検知部１１２ｂまたは残差検知部１１２ｃによる検知結果から、セキュリティ攻撃の種類や程度も判断することができる。

例えば、値検知部１１２ａにより、正常な範囲内の値をとるヨーレート信号と、異常な値のヨーレート信号とが交互に検知されていれば、データ受信装置１が、セキュリティ攻撃装置からの不正なヨーレート信号だけでなく、ヨーレートセンサからの正規のヨーレート信号も受信していると判断できる。

また、周期検知部１１１ａで異常な周期が検知されていても、変化率検知部１１２ｂで検知されるヨーレート信号の値の変化率が小さければ、不正なヨーレート信号の値は正規のヨーレート信号の値とほぼ同じであるため、セキュリティ攻撃の程度は低いと判断できる。また、残差検知部１１２ｃが検知した残差の大きさから、セキュリティ攻撃の程度を判断してもよい。

さらに、車両情報のＣＡＮメッセージ内の特定の領域に、当該メッセージが正しい送信元から送信されたかどうかを識別するためのメッセージ認証コードを埋め込むようにし、セキュリティ攻撃検知部１１が、メッセージ認証コードから、セキュリティ攻撃の有無を判断してもよい。

次に、影響度判定部１２および車両制御抑制部１３の詳細を説明する。影響度判定部１２は、セキュリティ攻撃検知部１１によるセキュリティ攻撃の検知結果と、速度検出装置４から取得した自車両の速度と、周辺物体検出装置５から取得した物体検出結果と、外部通信装置６から取得した外部自車両情報とに基づいて、セキュリティ攻撃検知部１１が検知したセキュリティ攻撃が自車両の制御に与える影響度を判定する。車両制御抑制部１３は、影響度判定部１２が判定したセキュリティ攻撃の影響度に応じて、車両制御装置２がアクチュエータ３を制御する動作に抑制をかける。

以下、車両制御装置２が、自車両の制動、駆動および操舵の各制御を行うものと仮定して、影響度判定部１２および車両制御抑制部１３の動作の具体例を説明する。この場合、影響度判定部１２は、自車両の制動制御、駆動制御および操舵制御のそれぞれについて、車両信号が受けたセキュリティ攻撃の影響度を判定する。また、車両制御抑制部１３は、影響度判定部１２による判定結果に応じて、車両制御装置２が行う制動制御、駆動制御および操舵制御のそれぞれに個別に抑制をかける。

例えば、自車両のヨーレートの情報が、制動制御および操舵制御には用いられるが、駆動制御には用いられないと仮定すると、ヨーレート信号のセキュリティ攻撃が検知された場合、影響度判定部１２は、当該セキュリティ攻撃の制動制御および操舵制御への影響度は高いが、駆動制御への影響度は低いと判定する。この場合、車両制御抑制部１３は、車両制御装置２が行う制動制御および操舵制御に抑制をかけ、駆動制御には抑制をかけない。このように、車両制御抑制部１３が、セキュリティ攻撃の影響度が高い制御だけに抑制をかけることで、セキュリティ攻撃の影響を受けない制御を継続することができる。

また、影響度判定部１２は、セキュリティ攻撃検知部１１が判定したセキュリティ攻撃の程度を考慮して、セキュリティ攻撃が各制御に与える影響度を判定してもよい。例えば、車両情報がセキュリティ攻撃を受けたとしても、車両情報の変化が殆ど無ければ、セキュリティ攻撃検知部１１は、当該セキュリティ攻撃が自車両の各制御に与える影響度は低いと判断してもよい。この場合、車両制御抑制部１３は、車両制御装置２が行う各制御に抑制をかけない。

車両制御抑制部１３が、車両制御装置２が行う制御に抑制をかける際、当該制御を完全に停止させず、範囲を縮小して制御を継続させてもよい。例えば、セキュリティ攻撃からの影響度が高い制御であっても、制御量を縮小したり制御量に上限を設けたりして、制御の範囲を縮小することによって、セキュリティ攻撃の影響を除去できる場合がある。その場合には、車両制御抑制部１３が、車両制御装置２が行う当該制御の範囲をセキュリティ攻撃の影響のない範囲に縮小して、当該制御を継続させてもよい。

また、本実施の形態では、影響度判定部１２は、速度検出装置４から取得した自車両の速度に基づいて、セキュリティ攻撃の影響度を補正する。例えば、セキュリティ攻撃の種類によっては、自車両の速度が低くなると、車両制御装置２の制御に殆ど影響しなくなる場合がある。その場合、影響度判定部１２は、自車両の速度が低くなるほど、セキュリティ攻撃の影響度を低くするように補正するとよい。これにより、自車両の速度が低く、セキュリティ攻撃の影響を殆ど受けない状況で、車両制御装置２が行う制御が不要に抑制されることが防止される。

本実施の形態では、影響度判定部１２が、速度検出装置４から直接入力される自車両の速度を参照するものとした。しかし、自車両の速度の情報に対するセキュリティ攻撃が検知されていないことを前提に、データ受信装置１が受信した自車両の速度を、速度検出装置４が参照するようにしてもよい。

また、本実施の形態では、影響度判定部１２は、周辺物体検出装置５による物体検出結果に基づいて、セキュリティ攻撃の影響度を補正する。例えば、自車両の周囲に他の車両や路側の障害物がない場合は、セキュリティ攻撃の影響度を低くするように補正することが考えられる。これにより、自車両の周囲に他の車両や障害物が存在し、自車両の走行に高い正確性が求められる状況でセキュリティ攻撃を受けた場合にのみ、車両制御装置２が行う制御が抑制されるようになる。

本実施の形態では、影響度判定部１２が、周辺物体検出装置５から直接入力される物体検出結果を参照するものとした。しかし、物体検出結果の情報に対するセキュリティ攻撃が検知されていないことを前提に、データ受信装置１が受信した物体検出結果を、速度検出装置４が参照するようにしてもよい。

さらに、本実施の形態では、影響度判定部１２は、外部通信装置６から取得した外部自車両情報に基づいて、セキュリティ攻撃の影響度を補正する。例えば、車車間通信可能な範囲に他の車両が存在しない場合や、路側設備から周囲に他の車両や障害物がない旨が通知されている場合には、セキュリティ攻撃の影響度を低くするように補正することが考えられる。これにより、自車両の周囲に他の車両や障害物が存在し、自車両の走行に高い正確性が求められる状況でセキュリティ攻撃を受けた場合にのみ、車両制御装置２が行う制御が抑制されるようになる。

また例えば、影響度判定部１２が、外部通信装置６から、他の車両がレーダ等を用いて推定した自車両の速度の情報を取得し、自車両の速度が低くなるほど、セキュリティ攻撃の影響度を低くするように補正してもよい。これにより、自車両の速度が低く、セキュリティ攻撃の影響を殆ど受けない状況で、車両制御装置２が行う制御が不要に抑制されることが防止される。

影響度判定部１２は、セキュリティ攻撃検知部１１によるセキュリティ攻撃の検知結果と、速度検出装置４から取得した自車両の速度と、周辺物体検出装置５から取得した物体検出結果と、外部通信装置６から取得した外部自車両情報とを総合的に判断して、セキュリティ攻撃が自車両の制御に与える影響度を判定してもよい。例えば、セキュリティ攻撃検知部１１、速度検出装置４、周辺物体検出装置５および外部通信装置６から取得した情報を全て数値化し、それらの数値の合計から、セキュリティ攻撃の影響度を判定してもよい。あるいは、それらの各数値の組み合わせと、セキュリティ攻撃の影響度との対応関係を規定したマップを予め用意しておき、影響度判定部１２が当該マップに基づいてセキュリティ攻撃の影響度を判定してもよい。

また、影響度判定部１２は、少なくともセキュリティ攻撃検知部１１によるセキュリティ攻撃の検知結果からセキュリティ攻撃の影響度を判定すればよく、必ずしも速度検出装置４、周辺物体検出装置５および外部通信装置６から取得される情報を考慮しなくてもよい。また、影響度判定部１２が、セキュリティ攻撃検知部１１によるセキュリティ攻撃の検知結果と、速度検出装置４、周辺物体検出装置５および外部通信装置６のうちのいずれか１つまたは２つから取得される情報と考慮して、セキュリティ攻撃の影響度を判定してもよい。速度検出装置４、周辺物体検出装置５、外部通信装置６の全部または一部を省略して、セキュリティ装置のコストを低減させることができる。

図３は、実施の形態１に係るセキュリティ装置１０の動作を示すフローチャートである。以下、図３を参照しつつ、セキュリティ装置１０の動作を説明する。

車両制御システムの起動に伴ってセキュリティ装置１０が起動すると、まず、セキュリティ攻撃検知部１１が、データ受信装置１から車両情報を取得する（ステップＳ１）。続いて、セキュリティ攻撃検知部１１は、車両情報の受信時間やデータの値に基づいて、車両情報がセキュリティ攻撃を受けているか否かを判定する（ステップＳ２）。車両情報がセキュリティ攻撃を受けていないと判定された場合（ステップＳ２でＮＯ）、ステップＳ１およびＳ２が繰り返し実行される。

車両情報がセキュリティ攻撃を受けていると判定された場合（ステップＳ２でＹＥＳ）、影響度判定部１２が、速度検出装置４から自車両の速度を取得し（ステップＳ３）、周辺物体検出装置５から自車両周辺の物体の検出結果を取得し（ステップＳ４）、外部通信装置６から外部自車両情報（外部との通信で取得した自車両の情報）を取得する（ステップＳ５）。

影響度判定部１２は、ステップＳ３〜Ｓ５で取得した各情報に基づいて、セキュリティ攻撃が車両制御装置２の制御に与える影響度を判定する（ステップＳ６）。そして、車両制御抑制部１３が、影響度判定部１２が判定したセキュリティ攻撃の影響度に応じて、車両制御装置２が行う制御に抑制をかける（ステップＳ７）。

セキュリティ装置１０は、以上の動作を繰り返し実行する。

図４および図５は、それぞれセキュリティ装置１０のハードウェア構成の一例を示す図である。図１に示したセキュリティ装置１０の構成要素は、例えば図４に示す処理回路５０により実現される。すなわち、処理回路５０は、自車両のデータ受信装置１が受信した自車両の車両情報が受けたセキュリティ攻撃を検知するセキュリティ攻撃検知部１１と、セキュリティ攻撃が自車両の制御に与える影響度を判定する影響度判定部１２と、セキュリティ攻撃の影響度に応じて、車両情報に基づき自車両を制御する車両制御装置２の動作に抑制をかける車両制御抑制部１３と、を備える。処理回路５０には、専用のハードウェアが適用されてもよいし、メモリに格納されるプログラムを実行するプロセッサ（中央処理装置（ＣＰＵ：Central Processing Unit）、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、ＤＳＰ（Digital Signal Processor）ともいう）が適用されてもよい。

処理回路５０が専用のハードウェアである場合、処理回路５０は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field-Programmable Gate Array）、またはこれらを組み合わせたものなどが該当する。セキュリティ装置１０の構成要素の機能のそれぞれは、複数の処理回路で実現されてもよいし、それらの機能がまとめて一つの処理回路で実現されてもよい。

図５は、処理回路５０がプロセッサを用いて構成されている場合におけるセキュリティ装置１０のハードウェア構成を示している。この場合、セキュリティ装置１０の構成要素の機能は、ソフトウェア等（ソフトウェア、ファームウェア、またはソフトウェアとファームウェア）との組み合わせにより実現される。ソフトウェア等はプログラムとして記述され、メモリ５２に格納される。処理回路５０としてのプロセッサ５１は、メモリ５２に記憶されたプログラムを読み出して実行することにより、各部の機能を実現する。すなわち、セキュリティ装置１０は、処理回路５０により実行されるときに、自車両のデータ受信装置１が受信した自車両の車両情報が受けたセキュリティ攻撃を検知する処理と、セキュリティ攻撃が自車両の制御に与える影響度を判定する処理と、セキュリティ攻撃の影響度に応じて、車両情報に基づき自車両を制御する車両制御装置２の動作に抑制をかける処理と、が結果的に実行されることになるプログラムを格納するためのメモリ５２を備える。換言すれば、このプログラムは、セキュリティ装置１０の構成要素の動作の手順や方法をコンピュータに実行させるものであるともいえる。

ここで、メモリ５２は、例えば、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリー、ＥＰＲＯＭ（Erasable Programmable Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）などの、不揮発性または揮発性の半導体メモリ、ＨＤＤ（Hard Disk Drive）、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ（Digital Versatile Disc）およびそのドライブ装置等、または、今後使用されるあらゆる記憶媒体であってもよい。

以上、セキュリティ装置１０の構成要素の機能が、ハードウェアおよびソフトウェア等のいずれか一方で実現される構成について説明した。しかしこれに限ったものではなく、セキュリティ装置１０の一部の構成要素を専用のハードウェアで実現し、別の一部の構成要素をソフトウェア等で実現する構成であってもよい。例えば、一部の構成要素については専用のハードウェアとしての処理回路５０でその機能を実現し、他の一部の構成要素についてはプロセッサ５１としての処理回路５０がメモリ５２に格納されたプログラムを読み出して実行することによってその機能を実現することが可能である。

以上のように、セキュリティ装置１０は、ハードウェア、ソフトウェア等、またはこれらの組み合わせによって、上述の各機能を実現することができる。

＜実施の形態２＞
図６は、本発明の実施の形態２に係る車両制御システムの構成を示すブロック図である。図６の車両制御システムの構成は、図１の構成に対し、セキュリティ装置１０に車両情報修正部１４を追加したものである。

車両情報修正部１４は、影響度判定部１２からの指示に応じて、データ受信装置１が受信した車両情報を修正する。具体的には、車両情報修正部１４は、データ受信装置１が受信した車両情報のデータのうち、セキュリティ攻撃として検知されたデータを除去または修正する。以下、車両情報修正部１４によって修正された後の車両情報を「修正車両情報」という。

また、車両情報修正部１４は、車両情報を修正した場合、データ受信装置１が受信した車両情報に代えて、修正車両情報を車両制御装置２に入力する。従って、車両制御装置２は、車両情報のセキュリティ攻撃が検知されたときには、データ受信装置１が受信した車両情報ではなく、修正車両情報に基づいて、アクチュエータ３を制御する。

車両情報修正部１４は、外部通信装置６が受信した外部自車両情報（外部との通信で取得した自車両の情報）を取得でき、セキュリティ攻撃を受けたデータを、外部自車両情報から推定されたデータに置き換えることができる。例えば、自車両の速度が改ざんされた場合、改ざんされた速度のデータを、他の車両がレーダ等を用いて推定した自車両の速度のデータに置き換えることができる。

また、車両情報修正部１４は、セキュリティ攻撃として検知されたデータを、演算により求めた推定値に置き換えてもよい。例えば、ヨーレート信号が改ざんされた場合、改ざんされたヨーレートのデータを、上記の数式（１）から算出した推定値のデータに置き換えることができる。

本実施の形態においても、車両制御抑制部１３は、影響度判定部１２が判定したセキュリティ攻撃の影響度に応じて、車両制御装置２がアクチュエータ３を制御する動作に抑制をかける。よって、実施の形態２においても、実施の形態１と同様の効果が得られる。

さらに、実施の形態２に係る車両制御システムでは、車両情報のセキュリティ攻撃が検知されたとき、車両情報修正部１４がセキュリティ攻撃を受けた車両情報を修正した修正車両情報を生成し、車両制御装置２が修正車両情報に基づいてアクチュエータ３を制御する。よって、セキュリティ攻撃に起因するアクチュエータ３の誤動作をより確実に防止できる。

図７は、実施の形態２に係るセキュリティ装置１０の動作を示すフローチャートである。図７のフローは、図３のフローに対し、ステップＳ６とＳ７との間に、車両情報修正部１４がセキュリティ攻撃を受けた車両情報を修正して修正車両情報を生成するステップＳ１０を挿入したものである。その他のステップは図３と同様であるため、図７のフローについての詳細な説明は省略する。

図６の車両制御システムは、車両情報修正部１４が影響度判定部１２からの指示に応じて、修正車両情報を生成する構成であったが、車両情報修正部１４は、セキュリティ攻撃検知部１１によるセキュリティ攻撃の検知結果に基づいて、修正車両情報を生成してもよい。

また、実施の形態１，２では、車両制御装置２はアクチュエータ３を制御するものとしてが、例えば音や光によって運転者への報知を行う、自車両に搭載された報知装置を制御するものでもよい。この場合、車両情報がセキュリティ攻撃を受けたときに、車両制御装置２による報知装置の制御に抑制がかけられ、報知装置による誤報知を防止することができる。

なお、本発明は、その発明の範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略したりすることが可能である。

１データ受信装置、２車両制御装置、３アクチュエータ、４速度検出装置、５周辺物体検出装置、６外部通信装置、１０セキュリティ装置、１１セキュリティ攻撃検知部、１２影響度判定部、１３車両制御抑制部、１４車両情報修正部、１１１時間条件判定部、１１１ａ周期検知部、１１１ｂ頻度検知部、１１２データ条件判定部、１１２ａ値検知部、１１２ｂ変化率検知部、１１２ｃ残差検知部、５０処理回路、５１プロセッサ、５２メモリ。

Claims

車両用セキュリティ装置が搭載される車両である自車両のデータ受信装置が受信した前記自車両の車両情報が受けたセキュリティ攻撃を検知するセキュリティ攻撃検知部と、
前記セキュリティ攻撃が前記自車両の制御に与える影響度を判定する影響度判定部と、
前記セキュリティ攻撃の前記影響度に応じて、前記車両情報に基づき前記自車両を制御する車両制御装置の動作に抑制をかける車両制御抑制部と、
を備え、
前記車両制御抑制部は、前記車両制御装置の動作に抑制をかける際、前記セキュリティ攻撃の前記影響度を考慮して、抑制する制御の種類または抑制の程度を決定する、
車両用セキュリティ装置。
前記車両制御装置は、前記自車両の制動制御、駆動制御および操舵制御を行い、
前記影響度判定部は、前記セキュリティ攻撃が前記制動制御、前記駆動制御および前記操舵制御に与える影響度をそれぞれ判定し、
前記車両制御抑制部は、前記制動制御、前記駆動制御および前記操舵制御のそれぞれに個別に抑制をかける、
請求項１に記載の車両用セキュリティ装置。
前記車両制御抑制部は、前記車両制御装置が行う制御を停止または制御の範囲を縮小させることによって、前記車両制御装置の動作に抑制をかける、
請求項１または請求項２に記載の車両用セキュリティ装置。
前記セキュリティ攻撃検知部は、前記車両情報を前記データ受信装置が受信した周期または頻度に基づいて前記セキュリティ攻撃を検知する、
請求項１から請求項３のいずれか一項に記載の車両用セキュリティ装置。
前記セキュリティ攻撃検知部は、前記データ受信装置が受信した前記車両情報のデータの値、当該データの値の変化率、または当該データの値とその推定値との差に基づいて前記セキュリティ攻撃を検知する、
請求項１から請求項３のいずれか一項に記載の車両用セキュリティ装置。
前記影響度判定部は、前記自車両の速度に基づいて、前記セキュリティ攻撃の前記影響度を判定する、
請求項１から請求項５のいずれか一項に記載の車両用セキュリティ装置。
前記影響度判定部は、前記自車両周辺の物体の検出結果に基づいて、前記セキュリティ攻撃の前記影響度を判定する、
請求項１から請求項５のいずれか一項に記載の車両用セキュリティ装置。
前記影響度判定部は、他の車両または路側設備との通信によって得られた前記自車両に関する情報に基づいて、前記セキュリティ攻撃の前記影響度を判定する、
請求項１から請求項５のいずれか一項に記載の車両用セキュリティ装置。
前記車両情報から、前記セキュリティ攻撃として検知されたデータを除去または修正した修正車両情報を生成して、前記修正車両情報を前記車両制御装置に入力する車両情報修正部をさらに備える、
請求項１から請求項８のいずれか一項に記載の車両用セキュリティ装置。
前記車両情報修正部は、他の車両または路側設備との通信によって得られた前記自車両に関する情報に基づいて、前記セキュリティ攻撃として検知されたデータを修正する、
請求項９に記載の車両用セキュリティ装置。
セキュリティ装置のセキュリティ攻撃検知部が、前記セキュリティ装置が搭載される車両である自車両のデータ受信装置が受信した前記自車両の車両情報が受けたセキュリティ攻撃を検知し、
前記セキュリティ装置の影響度判定部が、前記セキュリティ攻撃が前記自車両の制御に与える影響度を判定し、
前記セキュリティ装置の車両制御抑制部が、前記セキュリティ攻撃の前記影響度に応じて、前記車両情報に基づき前記自車両を制御する車両制御装置の動作に抑制をかけ、
前記車両制御抑制部は、前記車両制御装置の動作に抑制をかける際、前記セキュリティ攻撃の前記影響度を考慮して、抑制する制御の種類または抑制の程度を決定する、
セキュリティ方法。
前記車両制御装置は、前記自車両の制動制御、駆動制御および操舵制御を行い、
前記影響度判定部は、前記セキュリティ攻撃が前記制動制御、前記駆動制御および前記操舵制御に与える影響度をそれぞれ判定し、
前記車両制御抑制部は、前記制動制御、前記駆動制御および前記操舵制御のそれぞれに個別に抑制をかける、
請求項１１に記載のセキュリティ方法。
前記車両制御抑制部は、前記車両制御装置が行う制御を停止または制御の範囲を縮小させることによって、前記車両制御装置の動作に抑制をかける、
請求項１１または請求項１２に記載のセキュリティ方法。
前記セキュリティ攻撃検知部は、前記車両情報を前記データ受信装置が受信した周期または頻度に基づいて前記セキュリティ攻撃を検知する、
請求項１１から請求項１３のいずれか一項に記載のセキュリティ方法。
前記セキュリティ攻撃検知部は、前記データ受信装置が受信した前記車両情報のデータの値、当該データの値の変化率、または当該データの値とその推定値との差に基づいて前記セキュリティ攻撃を検知する、
請求項１１から請求項１３のいずれか一項に記載のセキュリティ方法。
前記影響度判定部は、前記自車両の速度に基づいて、前記セキュリティ攻撃の前記影響度を判定する、
請求項１１から請求項１５のいずれか一項に記載のセキュリティ方法。
前記影響度判定部は、前記自車両周辺の物体の検出結果に基づいて、前記セキュリティ攻撃の前記影響度を判定する、
請求項１１から請求項１５のいずれか一項に記載のセキュリティ方法。
前記影響度判定部は、他の車両または路側設備との通信によって得られた前記自車両に関する情報に基づいて、前記セキュリティ攻撃の前記影響度を判定する、
請求項１１から請求項１５のいずれか一項に記載のセキュリティ方法。
さらに、前記セキュリティ装置の車両情報修正部が、前記車両情報から、前記セキュリティ攻撃として検知されたデータを除去または修正した修正車両情報を生成して、前記修正車両情報を前記車両制御装置に入力する、
請求項１１から請求項１８のいずれか一項に記載のセキュリティ方法。
前記車両情報修正部は、他の車両または路側設備との通信によって得られた前記自車両に関する情報に基づいて、前記セキュリティ攻撃として検知されたデータを修正する、
請求項１９に記載のセキュリティ方法。