JP6918067B2

JP6918067B2 - 制御装置および制御方法

Info

Publication number: JP6918067B2
Application number: JP2019184247A
Authority: JP
Inventors: 松井　俊憲; 俊憲松井
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2019-10-07
Filing date: 2019-10-07
Publication date: 2021-08-11
Anticipated expiration: 2039-10-07
Also published as: JP2021060778A

Description

本願は、制御装置および制御方法に関するものである。

一般に、車両には、ＥＣＵ（Electronic Control Unit）と呼ばれる制御装置が複数台搭載され、それぞれ、他のＥＣＵ、または車両外の通信機器と有線または無線によって接続される。そのため、通信線を経由したセキュリティ攻撃により、内部に不正侵入されてプログラムデータが改ざんされることで、車両の走行制御に不具合をきたすおそれがある。

それに対し、セキュリティ攻撃に起因した異常発生時に、異常の発生元と波及箇所を特定し、異常が発生しても利用できる運転モードに切り替えて、自動車の走行制御を継続させる情報処理装置が開示されている（例えば、特許文献１参照。）。

特開２０１８−１９４９０９号公報（段落００１５〜０１０３、図１〜図９）

しかしながら、切り替えた運転モードは、異常発生以前とは異なるため、車両として同じ制御ができなくなってしまう。

本願は、上記のような課題を解決するための技術を開示するものであり、セキュリティ攻撃を受けても、攻撃を受ける前と同等の車両制御を継続できる制御装置を得ることを目的としている。

本願に開示される制御装置は、車両に搭載され、通信網を介して、前記車両に搭載された機器の少なくともいずれかを制御する制御装置であって、前記制御を実行するための複数の機能要素、および前記複数の機能要素それぞれに対応し、各機能要素と同じ制御機能を実行可能な予備機能要素を保持する機能要素保持部、前記通信網を介したセキュリティ攻撃に起因する異常を検知する異常検知部、前記異常が検知されたとき、前記複数の機能要素のうち、異常が生じた機能要素と波及先となる機能要素を処理対象として特定する処理対象特定部、前記特定された機能要素の制御機能を、それぞれ対応する予備機能要素に切り替えて実行させる機能要素切替部、および前記複数の機能要素の使用状況に応じ、前記切り替えにおける予備機能要素の起動の優先順位を付与する優先順位付与部、を備えたことを特徴とする。

本願に開示される制御方法は、通信網を介して車両に搭載された機器の少なくともいずれかを制御する制御装置に対し、前記車両に搭載された制御装置が実行する制御方法であって、前記制御を実行するための複数の機能要素、および前記複数の機能要素それぞれに対応し、各機能要素と同じ制御機能を実行可能な予備機能要素を保持する機能要素保持ステップ、前記通信網を介したセキュリティ攻撃に起因する異常を検知する異常検知ステップ、前記異常が検知されたとき、前記複数の機能要素のうち、異常が生じた機能要素と波及先となる機能要素を処理対象として特定する処理対象特定ステップ、前記複数の機能要素の使用状況に応じ、前記特定された機能要素それぞれに優先順位を付与する優先順位付与ステップ、および前記特定された機能要素の制御機能を、前記優先順位に基づいて、それぞれ対応する予備機能要素に切り替えて実行させる機能要素切替ステップ、を含むことを特徴とする。

本願に開示される制御装置、あるいは制御方法によれば、車両の状況に応じた優先度に基づいて、影響を受ける機能要素を同等の制御機能を有する予備機能要素に切り替えるように構成したので、セキュリティ攻撃を受けても、攻撃を受ける前と同等の車両制御を継続することができる。

実施の形態１にかかる制御装置の構成を説明するためのブロック図である。実施の形態１にかかる制御装置の動作を説明するためのフローチャートである。実施の形態１にかかる制御装置の構成における、異常が発生した機能要素を示すためのブロック図である。実施の形態２にかかる制御装置の構成を説明するためのブロック図である。図５Ａと図５Ｂは、実施の形態２にかかる制御装置の構成における隔離領域について説明するための、通常状態の機能要素と、隔離領域に移動した機能要素それぞれでの、入出力の状態を示すブロック図である。実施の形態２にかかる制御装置の動作を説明するためのフローチャートである。実施の形態２にかかる制御装置の構成における、異常が発生した機能要素を示すためのブロック図である。各実施の形態にかかる制御装置の演算処理を実行する部分の構成例を示すブロック図である。

実施の形態１．
図１〜図３は、実施の形態１にかかる制御装置の構成、および動作について説明するためのものであり、図１は制御装置の構成について、通信経路を介した他の制御装置とのつながりを含めた制御装置のブロック図、図２はセキュリティ攻撃を受けた際の対処動作、つまり制御方法について説明するためのフローチャートである。また、図３は制御装置の機能要素保持部に保持された複数の機能要素のうち、異常が発生した機能要素と波及先となる機能要素を示すためのブロック図である。

車両の制御を行う車両制御システムは、背景技術で述べたように、ＥＣＵと呼ばれる複数の制御装置それぞれが、他のＥＣＵ、または車両外の通信機器と有線または無線によって接続されることで構成される。本実施の形態１にかかる制御装置は、そのうち、ＡＤＡＳ（Advanced Driver Assistance System：先進運転支援システム）と呼ばれる制御装置を例にして説明する。

本実施の形態１にかかる制御装置（ＡＤＡＳ制御装置１００）は、図１に示すように、車載ネットワーク４００により、ＥＰＳ制御装置２００、ブレーキ制御装置３００等、他の制御装置とつながっている。例えば、ＥＰＳ制御装置２００は、電動パワーステアリング（Electric Power Steering）の角度、トルク等を制御する装置、ブレーキ制御装置３００は、ブレーキの制御量等を制御するものである。なお、図１に示す車両制御システムは、実際には、図示していない構成も含まれているが、本実施の形態１の説明に直接関係しないものについては記載を省略している。

ＡＤＡＳ制御装置１００は、図示しない自身の持つセンサー値、車載ネットワーク４００経由で他の制御装置から入手した入力値に基づいて、車両内、あるいは他の車両との関係等の状況を判断する。そして、例えば、ＥＰＳ制御装置２００、ブレーキ制御装置３００に対しては、それぞれ角度、トルク等の制御量の指示、ブレーキの制御量の指示等を実施する。

車載ネットワーク４００は、車両内外と通信するための通信路となる、ＣＡＮ（Controller Area Network）、Ｅｈｅｒｎｅｔ（ともに、登録商標）等が一般的に使われるが、これに限るものではない。

ＡＤＡＳ制御装置１００は、他の機器との送受信を行う送受信部１４０と、車両および他の機器を制御するための複数の機能要素ｉを保持する機能要素保持部１２０と、セキュリティ対策を行うセキュリティ対策部１３０と、異常時の対応を行う異常対応制御部１１０とを備えている。以下、各構成要素とその機能について簡単に説明する。

送受信部１４０は、車載ネットワーク４００で接続される他の制御装置（ここでは、ＥＰＳ制御装置２００、ブレーキ制御装置３００をあげているがこれに限るものではない）、あるいは車外の機器との間で、通信によりデータの送受信を実施する。

機能要素保持部１２０は、ＥＰＳ制御装置２００、ブレーキ制御装置３００の制御に関わる制御量または各種処理値を演算するための複数の機能要素１、機能要素２、機能要素３を保持する。また、機能要素１と同じ制御機能を有する予備機能要素１Ｂ、機能要素２と同じ制御機能を有する予備機能要素２Ｂ、機能要素３と同じ制御機能を有する予備機能要素３Ｂをバックアップとして保持する。つまり、ある機能要素ｉに対して同じ制御機能を有する要素を予備機能要素ｉＢとして保持する。ここでは、機能要素１〜３として、ハンドルの目標角を計算する制御機能を機能要素１、ハンドルの目標角速度を決める制御機能を機能要素２、ブレーキの制御量を決める制御機能を機能要素３とするが、これらに限定されるものではない。

セキュリティ対策部１３０は、ＡＤＡＳ制御装置１００のセキュリティ耐性を確保するための機能を保持する。ここでは、通信メッセージのなりすましへの対策となる通信認証機能１３１、接続される機器のなりすましへの対策となる機器認証機能１３２、送信するデータの秘匿性、制御装置内に保存するデータの秘匿性を確保する暗号化機能１３３等を記載している。

異常対応制御部１１０には、車内の機器の動作状況を確認して異常を検知する異常検知部１１１と、異常がセキュリティ攻撃に起因するか否かを判定し、異常の発生元を特定する異常発生元特定部１１２と、異常の波及先を特定する波及箇所特定部１１３が設けられている。そして、車両内の機能要素ｉの使用状況を検知する機能使用状況確認部１１４と、検知した機能使用状況に応じて、異常発生元、波及箇所等として特定された機能要素ｉに対して処理対象としての優先順位を付与する優先順位付与部１１５を設けている。さらに、決定した優先順位に従って、機能要素保持部１２０内の機能要素ｉの停止・切り替え等を制御する機能要素切替部１１６と、セキュリティ対策部１３０内のセキュリティ対策機能を変更する対策変更部１１７と、が設けられている。

異常検知部１１１は、車両内の各機器の動作状況に関する情報を収集し、収集した情報から、車両に発生した故障、およびセキュリティ攻撃に起因する異常を検知する。ここで、異常に関するデータとしては、通常と異なるメモリの変化、動作、出力値等が考えられる。収集先としては、自機（ＡＤＡＳ制御装置１００内）だけでなく、車載ネットワーク４００を経由した、他の制御装置（ＥＰＳ制御装置２００、ブレーキ制御装置３００等）がある。

異常発生元特定部１１２は、異常検知部１１１によって確認された情報に含まれる、異常を示す情報に基づいて、異常が故障に起因するものか、セキュリティ攻撃に起因するものかなどの異常の種類を判別する。そして、セキュリティ攻撃に起因する異常であれば、その発生元（攻撃を受けた機能要素ｉ）を特定する。

波及箇所特定部１１３は、異常発生元特定部１１２が特定した異常の発生元となる機能要素ｉから、さらに、その異常が波及している箇所（機能要素ｉ）を特定する。

機能使用状況確認部１１４は、車両内の各制御装置の状態、例えば、ステアリングの頻度といった車両操作、あるいは車両制御に関する機能要素ｉの使用状況に関する情報を収集し、機能要素ｉの使用状況を確認する。

優先順位付与部１１５は、異常発生元特定部１１２で特定された発生元となる機能要素ｉ、波及箇所特定部１１３で特定された波及箇所となる機能要素ｉに対し、機能使用状況確認部１１４が確認した機能使用状況に応じて、処理対象としての優先順位を付与する。

機能要素切替部１１６は、優先順位付与部１１５で付与された優先順位に基づいて、異常の発生元および波及箇所となる機能要素ｉを予備機能要素ｉＢに切り替える。ここでは、機能要素保持部１２０が有する複数の機能要素ｉのうち、機能要素１ならば予備機能要素１Ｂに、機能要素２ならば予備機能要素２Ｂに、機能要素３ならば予備機能要素３Ｂに切り替えることとなる。

対策変更部１１７は、セキュリティ対策部１３０が管理するセキュリティ対策機能をよりセキュリティ耐性が向上するように変更する。例えば、通信認証機能１３１は、通信メッセージのなりすましを防止するために、通信データから算出されるＭＡＣ（Message Authentication Code：認証用の符号）を通信メッセージと一緒に送信することとなる。ここで、例えば、セキュリティ耐性を向上させるのであれば、このＭＡＣの長さを通常より長くすることがあげられる。セキュリティ対策部１３０に含まれる他の機能ついても使用する暗号の暗号化鍵長を長くする、認証子の長さを長くする、暗号のアルゴリズムそのものを変更するなどして、セキュリティ耐性を向上させることとなる。

次に、実施の形態１にかかる車両制御システムのＡＤＡＳ制御装置１００の異常検出時の一連の処理の流れ、つまり制御方法について、図２のフローチャートを用いて説明する。

異常検知部１１１は、自身の制御装置内の状態（メモリ、入出力データ、処理内容の変化）だけでなく、車載ネットワーク４００経由でＥＰＳ制御装置２００、ブレーキ制御装置３００等からも動作状況を示す情報を収集する（ステップＳ１００）。

そして、収集した情報のなかに、異常がある旨の情報があるか否かを判定する（ステップＳ１１０）。異常を検知していれば（「Ｙｅｓ」）、以降のステップＳ１２０へ進む。異常が検知されていなければ（「Ｎｏ」）、ステップＳ１００に戻り、機器動作状況情報の収集を継続する。

異常を検知した場合、異常発生元特定部１１２は、収集された異常情報に基づいて、異常が故障に起因するものか、セキュリティ攻撃に起因するものか否かを判別する（ステップＳ１２０）。異常が故障に起因する場合（「Ｎｏ」）、例えば、フェールセーフに則った、一般的な故障対処を実行し（ステップＳ３００）、終了する。

一方、異常がセキュリティ攻撃に起因するものであれば（「Ｙｅｓ」）、異常の発生元となる機能要素ｉを特定する（ステップＳ１３０）。発生元が特定されると、波及箇所特定部１１３は、その異常がどの機能要素ｉまで波及しているか（波及先）を特定する（ステップＳ１４０）。

さらに、機能使用状況確認部１１４は、車両操作、あるいは車両状況に応じた機能要素ｉの使用状況を示す情報（機能使用情報）を入手し、機能要素ｉの使用状況を確認する（ステップＳ１５０）。ここでは、操作履歴として、ステアリング操作と、ブレーキ操作の頻度等を確認する。そして、優先順位付与部１１５は、機能使用状況に応じて、異常発生元と波及箇所に対して、その機能要素ｉが担っていた制御機能を予備機能要素ｉＢによって回復処理を行う際の優先順位を付与する（ステップＳ１６０）。

ステップＳ１３０〜ステップＳ１６０において、処理の対象と優先順位が決定すると、機能要素切替部１１６は、処理対象として特定されたすべての機能要素ｉを停止する（ステップＳ１７０）。

続いて、対策変更部１１７は、セキュリティ対策部１３０が管理する対策機能をよりセキュリティ耐性が向上するように変更する（ステップＳ１８０）。本実施の形態では、通信によりセキュリティ攻撃を受けたものとして、通信認証機能１３１を変更する例を示す。しかし、実際の変更対象は、セキュリティ攻撃の種類に応じて選択するように構成することで、よりセキュリティ耐性の向上が期待できる。また、セキュリティ対策機能を切り替えたことを送受信部１４０により他の制御装置へ通知する。ただし、自身の制御装置のみで実施するセキュリティ対策については他の制御装置には通知しない。

そして、機能要素切替部１１６は、ステップＳ１７０で停止した機能要素ｉに対し、ステップＳ１６０で付与した優先順位の高い機能要素ｉに対応する予備機能要素ｉＢから順に起動して、停止した機能要素ｉからの切り替えを行う（ステップＳ１９０）。これにより、異常時の対応を終了する。

上述した構成と、基本動作（処理フロー）を有するＡＤＡＳ制御装置１００において、あるセキュリティ攻撃に起因する異常が発生した際の動作例について、説明する。セキュリティ攻撃に起因する異常としては、車載ネットワーク４００経由でのセキュリティ攻撃により、機能要素保持部１２０が保持する機能要素ｉのうち、図３に示すように、機能要素１が改ざんされ、機能要素３に波及した場合を想定する。

ステップＳ１００において、異常検知部１１１は、メモリ、入出力データ、処理内容の変化等の自身の制御装置内の動作状況情報、および車載ネットワーク４００を介した他の機器の動作状況情報を収集し、各機器の動作状況を確認する。そして、収集した動作状況情報のなかに、異常が発生したことを示す異常情報が含まれるか否かで、異常の発生の有無を判定する（ステップＳ１１０）。

この状態で、上述したセキュリティ攻撃を受けると、セキュリティ攻撃により機能要素１が改ざんされるので、それに起因して処理内容が変化しているとの異常情報が収集され、異常があることを検知し（ステップＳ１１０で「Ｙｅｓ」）、ステップＳ１２０へ進む。さらに、異常情報に基づいて、異常がセキュリティ攻撃に起因するものであると判別し（ステップＳ１２０で「Ｙｅｓ］）、ステップＳ１３０へ進む。なお、改ざんの判定に関しては、予備機能要素１Ｂと比較するなどがあげられるが、これに限るものではない。

ここでは、異常がセキュリティ攻撃によるものと判別されたので、さらに詳細を分析し、異常の発生元となる機能要素ｉが「機能要素１：ハンドルの目標角を計算する機能」であることを特定する（ステップＳ１３０）。

さらに、波及箇所特定部１１３は、特定した異常元となる機能要素１に関して、その異常が波及している機能要素ｉを特定する（ステップＳ１４０）。ここでは、機能要素２、機能要素３を分析し、機能要素３には異常が波及して制御機能が変更されていて、機能要素２には異常が波及していないと判定する。波及しているか否かの判定に関しては、元の機能要素２、機能要素３を、予備機能要素２Ｂ、予備機能要素３Ｂそれぞれと比較するなどがあげられるが、これに限るものではない。

一方、機能使用状況確認部１１４は、車両操作、車両制御、車両状態、あるいは走行する路面状態に応じた機能要素ｉの使用状況に関する情報を収集する（ステップＳ１５０）。そして、機能要素１〜３のうち、ステアリング操作に関する機能要素（機能要素１）の操作頻度が他の機能要素ｉよりも高いと判定すると、優先順位付与部１１５は、機能要素１に対して、機能要素３よりも高い優先順位を付与する（ステップＳ１６０）。

つぎに、機能要素切替部１１６は、異常発生元と特定された機能要素１と、波及先として特定された機能要素３を停止する（ステップＳ１７０）。一方、他の機能要素ｉに関しては、これまで通り処理を続ける。

続いて対策変更部１１７は、セキュリティ攻撃への耐性を高めるため、セキュリティ対策部１３０が管理する対策機能を変更する（ステップＳ１８０）。本ケースでは、通信を介してセキュリティ攻撃されていることから、通信に対するセキュリティ対策となる通信認証機能１３１のＭＡＣ長を長くすることでセキュリティ耐性を向上させる。また、セキュリティ対策機能を切り替えたことを、送受信部１４０を介して、ＥＰＳ制御装置２００、ブレーキ制御装置３００等、車内の各機器に通知する。

機能要素切替部１１６は、ステップＳ１６０で付与された優先順位に基づき、停止した機能要素ｉに対応する予備機能要素ｉＢを起動させる（ステップＳ１９０）。本ケースでは、ステアリングに関する機能要素１の優先順位が高いため、機能要素１の予備機能要素１Ｂの起動処理を優先的に行い、次にブレーキに関わる機能要素３の予備機能要素３Ｂを起動する。

以上のように、本実施の形態１においては、機能要素１に異常が発生し、機能要素３に異常が波及しても、図２に示す処理フローに従って、同等の機能を担う予備機能要素１Ｂ、予備機能要素３Ｂに切り替えることで、攻撃前と同等の車両制御を継続できる。その際、車両における機能要素ｉの使用状況を考慮した優先度に基づき、優先度の高い機能要素（予備機能要素１Ｂ）から先に起動（切替）処理を行うようにしたので、さらに、攻撃前後で、操作に対する違和感を覚えることもない。また、起動した予備機能要素ｉＢに、機能要素ｉと同じ攻撃が仕掛けられたとしても、セキュリティ対策部１３０の通信認証機能１３１のＭＡＣ長を変更してセキュリティ耐性を向上させているため、攻撃を回避することが可能である。

また、セキュリティ対策を変更したことを関係する制御装置にも通知することで、セキュリティ対策の変更による車両としての影響を抑えることができる。なお、本実施の形態１においては、セキュリティ対策部１３０として、通信認証機能１３１、機器認証機能１３２、暗号化機能１３３をあげたがこれに限るものではない。

例えば、あらかじめ、車両に発生しうるセキュリティ攻撃を分析し、それに対応するセキュリティ対策部とそのセキュリティを強化させる手順を用意しておけば、セキュリティ攻撃に対する耐性を向上させることができる。また、セキュリティ対策内容、および予備機能要素を外部からのアクセスに対してのガードがより強固な記憶領域に保存しておくことで、セキュリティ攻撃に対するセキュリティ耐性を向上させることができる。

さらに、予備機能要素ｉＢの内容を、異常が発生して停止させた機能要素ｉへ上書きすることで、停止させた機能要素ｉを新たな予備機能要素ｉＢ^＋として構築する機能要素書換部を異常対応制御部１１０に設けるようにしてもよい。このようにして、機能切り替え以後のセキュリティ攻撃に対しても、機能要素のバックアップを備えることで、セキュリティ攻撃に対するセキュリティ耐性をより向上させることができる。

実施の形態２．
上記実施の形態１にかかる車両システムにおける制御装置では、攻撃を受けた機能要素を停止する例について説明した。本実施の形態２にかかる車両システムにおける制御装置では、攻撃を受けた機能要素を停止させるだけではなく、セキュリティ攻撃の解析に利用できるよう、隔離して保持するようにした例について説明する。

図４〜図７は、実施の形態２にかかる制御装置の構成、および動作について説明するためのものであり、図４は制御装置の構成について、通信経路を介した他の制御装置とのつながりを含めた制御装置のブロック図、図５は隔離領域について説明するための、通常状態でのある機能要素に対する入出力の状態を示すブロック図（図５Ａ）と、隔離領域に移動した機能要素に対する入出力の状態を示すブロック図（図５Ｂ）である。図６はセキュリティ攻撃を受けた際の対処動作、つまり制御方法について説明するためのフローチャート、図７は制御装置の機能要素保持部に保持された複数の機能要素のうち、異常が発生した機能要素と波及先となる機能要素を示すためのブロック図である。なお、本実施の形態２において、実施の形態１と同一もしくは相当する部分は同一符号で示し、重複する説明は省略する。

本実施の形態２においても、車両制御システムは、実施の形態１と同様に、ＡＤＡＳ制御装置１００とＥＰＳ制御装置２００、ブレーキ制御装置３００が車載ネットワーク４００により接続される構成とする。一方、本実施の形態２においては、図４に示すように、ＡＤＡＳ制御装置１００が、図１で説明した構成に加えて、新たに隔離処理部１１８、隔離領域１５０を備えている点が異なる。例えば、機能要素切替部１１６のような隔離処理部１１８の動作に関与する構成以外の構成については、基本的に実施の形態１と同じであるため、ここでは、その説明を省略する。

まず、実施の形態１にかかるＡＤＡＳ制御装置１００に対して追加された構成と機能について簡単に説明する。隔離処理部１１８は、攻撃を受けた際の異常の発生元である機能要素ｉ、あるいは異常の波及先である機能要素ｉを生かした状態で、他の機能要素ｉに影響を及ぼさないように、隔離領域１５０に移動させる。ここで、隔離領域１５０とは、他の機能要素ｉ、あるいは記憶領域へのアクセスが制限された記憶領域として準備するものとなる。

つまり、図５Ａに示すように、攻撃を受ける前の機能要素ｉを通常領域で動作させている場合には、入力に対して機能要素ｉの処理を実施し、出力を他の機能要素ｉ、あるいは制御装置に引き渡すこととなる。しかし、図５Ｂに示すように、機能要素ｉを隔離領域１５０へ移した場合は、通常領域と同じ入力値を与えるが、出力に関しては、他の機能要素ｉ、あるいは他の制御装置に影響を及ぼさないように遮断することとなる。

一方、遮断した出力は、例えば、診断装置に接続することで、異常をきたした機能要素ｉの動作を通常動作に近い形で観察することができ、セキュリティ攻撃による異常の詳細分析、あるいはセキュリティ攻撃を実施した者の意図の解明に役だてることができる。ここで、隔離領域１５０への移動方法としては、仮想的に同じメモリ番地を与えた隔離領域１５０へコピーして、元の機能要素ｉを削除すること等があるが、これに限るものではない。

上述した構成に基づき、実施の形態２にかかる車両制御システムのＡＤＡＳ制御装置１００の異常検出時の一連の処理の流れ、つまり制御方法について、図６のフローチャートを用いて説明する。なお、図６において、実施の形態１における図２のステップＳ１７０をステップＳ１７５に変更した以外は、実施の形態１で説明した動作と同様である。

そして、収集した情報のなかに、異常がある旨の情報があるか否かを判定し（ステップＳ１１０）、異常を検知すれば（「Ｙｅｓ」）、異常の種類を判別するステップＳ１２０へ進む。異常が検知されていなければ（「Ｎｏ」）、ステップＳ１００に戻り、動作状況の情報収集を継続する。

異常を検知した場合、異常発生元特定部１１２は、収集された異常情報に基づいて、異常が故障に起因するものか、セキュリティ攻撃に起因するものか否かを判別する（ステップＳ１２０）。そして、異常がセキュリティ攻撃に起因するものであれば（「Ｙｅｓ」）、さらに、異常の発生元となる機能要素ｉを特定する（ステップＳ１３０）。異常発生元が特定されると、波及箇所特定部１１３は、その異常がどの機能要素ｉまで波及しているかを特定する（ステップＳ１４０）。

さらに、機能使用状況確認部１１４は、車両操作、車両制御、車両状態、あるいは走行する路面状態に応じた機能使用情報を入手し、機能要素ｉの使用状況を確認する（ステップＳ１５０）。ここでは、操作履歴として、ステアリング操作と、ブレーキ操作の頻度等を確認する。そして、優先順位付与部１１５は、機能使用状況に応じて、異常発生元と波及箇所に対して、制御機能を回復させる処理を行う際の優先順位を付与する（ステップＳ１６０）。

ステップＳ１３０〜ステップＳ１６０において、処理の対象と優先順位が決定すると、機能要素切替部１１６は、実施の形態１で説明した処理対象の機能要素ｉの停止に代え、隔離処理部１１８に対し、処理対象の機能要素ｉを生かしたまま、隔離領域１５０へ移動させる（ステップＳ１７５）。隔離領域１５０に移動させた機能要素ｉは、車両内あるいは車外の機器への出力が遮断され、処理対象の機能要素ｉの制御機能は実質的に停止する。

続いて、対策変更部１１７は、セキュリティ対策部１３０が管理する対策機能をよりセキュリティ耐性が向上するように変更する（ステップＳ１８０）。本実施の形態２でも、通信によりセキュリティ攻撃を受けたものとして、通信認証機能１３１を変更する例を示すが、実際の変更対象についても、セキュリティ攻撃の種類に応じて選択するように構成することで、よりセキュリティ耐性の向上が期待できる。また、セキュリティ対策機能を切り替えたことを送受信部１４０により他の制御装置へ通知する。ただし、自身の制御装置のみで実施するセキュリティ対策については他の制御装置には通知しない。

そして、機能要素切替部１１６は、ステップＳ１７５で隔離した機能要素ｉに対し、ステップＳ１６０で付与した優先順位の高い機能要素ｉに対応する予備機能要素ｉＢから順に起動して、隔離した機能要素ｉからの切り替えを行う（ステップＳ１９０）。これにより、異常時の対応を終了する。

上述した構成と、基本動作（処理フロー）を有するＡＤＡＳ制御装置１００において、あるセキュリティ攻撃に起因する異常が発生した際の動作例について、説明する。セキュリティ攻撃に起因する異常としては、実施の形態１と同様に、車載ネットワーク４００経由でのセキュリティ攻撃により、機能要素保持部１２０が保持する機能要素ｉのうち、図７に示すように、機能要素１が改ざんされ、機能要素３に波及した場合を想定する。

ステップＳ１００において、異常検知部１１１は、メモリ、入出力データ、処理内容の変化等の自身の制御装置内の動作状況情報、および車載ネットワーク４００を介した他の機器の動作状況情報を収集し、各機器の動作状況を確認する。

ここで、想定したようなセキュリティ攻撃を受けると、機能要素１が改ざんされるので、それに起因して処理内容が変化しているとの異常情報が収集され、異常があることを検知し（ステップＳ１１０で「Ｙｅｓ」）、ステップＳ１２０へ進む。ステップＳ１２０では、異常情報に基づいて、異常がセキュリティ攻撃に起因するものであると判別し（「Ｙｅｓ］）、ステップＳ１３０へ進む。なお、改ざんの判定に関しても、実施の形態１と同様に、予備機能要素１Ｂと比較するなどがあげられるが、これに限るものではない。

ここでは、異常がセキュリティ攻撃によるものと判別されたので、さらに詳細を分析し、異常の発生元となる機能要素ｉが「機能要素１：ハンドルの目標角を計算する機能」であることを特定する（ステップＳ１３０）。さらに、波及箇所特定部１１３は、特定した異常元となる機能要素１に関して、その異常がどの機能要素ｉまで波及しているか機能要素ｉを特定する（ステップＳ１４０）。ここでは、機能要素２、機能要素３を分析し、機能要素３には異常が波及して制御機能が変更されていて、機能要素２には異常が波及していないと判定する。波及しているか否かの判定に関しても、元の機能要素２、機能要素３を、予備機能要素２Ｂ、予備機能要素３Ｂそれぞれと比較するなどがあげられるが、これに限るものではない。

一方、機能使用状況確認部１１４は、車両内での機能要素ｉの使用状況に関する情報を収集する（ステップＳ１５０）。そして、機能要素１〜３のうち、ブレーキ操作に関する機能要素（機能要素３）の操作頻度が他の機能要素ｉよりも高いと判定すると、優先順位付与部１１５は、機能要素３に対して、機能要素１よりも高い優先順位を付与する（ステップＳ１６０）。

つぎに、隔離処理部１１８は、機能要素切替部１１６による停止処理に代わって、異常発生元と特定された機能要素１と、波及先として特定された機能要素３を隔離領域１５０へ移動し隔離する（ステップＳ１７５）。一方、他の機能要素ｉに関しては、実施の形態１と同様に、これまで通りの処理を続ける。

対策変更部１１７については、実施の形態１と同様に、セキュリティ攻撃への耐性を高めるため、セキュリティ対策部１３０が管理する対策機能を変更する（ステップＳ１８０）。本ケースでも、通信を介してセキュリティ攻撃されていることから、通信に対するセキュリティ対策となる通信認証機能１３１のＭＡＣ長を長くすることでセキュリティ耐性を向上させる。また、セキュリティ対策機能を切り替えたことを、送受信部１４０を介して、ＥＰＳ制御装置２００、ブレーキ制御装置３００等、車内の各機器に通知する。

機能要素切替部１１６は、ステップＳ１６０で付与された優先順位に基づき、停止した機能要素ｉに対応する予備機能要素ｉＢを起動させる（ステップＳ１９０）。本ケースでは、ブレーキに関する機能要素３の優先順位が高いため、機能要素３の予備機能要素３Ｂの起動処理を優先的に行い、次にステアリングに関わる機能要素１の予備機能要素１Ｂを起動する。

以上のように、本実施の形態２においては、機能要素１に異常が発生し、機能要素３に異常が波及しても、図６に示す処理フローに従って同等の機能を担う予備機能要素１Ｂ、予備機能要素３Ｂに切り替えることで、攻撃前と同等の車両制御を継続できる。その際、車両における機能要素ｉの使用状況を考慮した優先度に基づき、優先度の高い機能要素（予備機能要素３Ｂ）から先に起動（切替）処理を行うようにしたので、さらに、攻撃前後で、操作に対する違和感を覚えることもない。また、起動した予備機能要素ｉＢに、機能要素ｉと同じ攻撃が仕掛けられたとしても、セキュリティ対策部１３０の通信認証機能１３１のＭＡＣ長を変更してセキュリティ耐性を向上させているため、攻撃を回避することが可能である。

とくに、本実施の形態２にかかる制御装置（ＡＤＡＳ制御装置１００）によれば、セキュリティ攻撃に起因する異常が発生した場合には、処理対象と特定した機能要素ｉを生かしたまま隔離して、予備機能要素に切り替えて同等の制御を継続するようにした。そのため、セキュリティ攻撃における異常の詳細分析、あるいはセキュリティ攻撃を実施した者の意図の解明に役だてることができる。さらには、セキュリティ攻撃を受けたことの証拠保全（状態保持）にもつながる。

また、セキュリティ対策を変更したことを、関係する制御装置にも通知することで、セキュリティ対策の変更による車両としての影響を抑えることができる。なお、本実施の形態２においても、セキュリティ対策部１３０として、通信認証機能１３１、機器認証機能１３２、暗号化機能１３３をあげたがこれに限るものではない。例えば、あらかじめ、車両に発生しうるセキュリティ攻撃を分析し、それに対応するセキュリティ対策部とそのセキュリティを強化させる手順を用意しておけば、セキュリティ攻撃に対する耐性を向上させることができる。また、セキュリティ対策、および予備機能要素を外部からのアクセスに対してのガードがより強固な記憶領域に保存しておくことで、セキュリティ攻撃に対するセキュリティ耐性を向上させることができる。

また、本実施の形態２においても、攻撃を受ける前の予備機能要素ｉＢの内容を、異常が発生して停止させた機能要素ｉへ上書きすることで、停止させた機能要素ｉを新たな予備機能要素１Ｂ^＋として構築する機能要素書換部を設けるようにしてもよい。このようにして、機能切り替え以後のセキュリティ攻撃に対しても、機能要素ｉのバックアップを備えることで、セキュリティ攻撃に対するセキュリティ耐性をより向上させることができる。

なお、上述した各実施の形態にかかる制御装置（ＡＤＡＳ制御装置１００）における演算処理を行う部分、とくに各機能要素ｉは、図８に示すようにプロセッサ１１と記憶装置１２を備えたひとつのハードウェア１０によって構成することも考えられる。記憶装置１２は、図示していないが、ランダムアクセスメモリ等の揮発性記憶装置と、フラッシュメモリ等の不揮発性の補助記憶装置とを具備する。また、フラッシュメモリの代わりにハードディスクの補助記憶装置を具備してもよい。プロセッサ１１は、記憶装置１２から入力されたプログラムを実行する。この場合、補助記憶装置から揮発性記憶装置を介してプロセッサ１１にプログラムが入力される。また、プロセッサ１１は、演算結果等のデータを記憶装置１２の揮発性記憶装置に出力してもよいし、揮発性記憶装置を介して補助記憶装置にデータを保存してもよい。

なお、本願は、例示的な実施の形態が記載されているが、実施の形態に記載された様々な特徴、態様、および機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。従って、例示されていない無数の変形例が、本願明細書に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合が含まれるものとする。

また、本願で開示した制御装置は、車両制御システムのＡＤＡＳ制御装置１００として説明したが、これに限ることはない。例えば、ＥＣＵで制御される制御装置を含むシステムであれば、起動時の記憶領域の検証部としてどのような制御装置にも利用することができる。一方、車両のように機器の動作状況が刻々と変わるシステムにおいては、異常をきたした機能要素ｉのうち、状況に応じて回復させる優先順位をつけることが望ましく、機能使用状況に応じて優先順位を付与する本願の構成は、車両制御システムに対して好適である。

以上のように、各実施の形態にかかる制御装置（ＡＤＡＳ制御装置１００）によれば、車両に搭載され、通信網（車載ネットワーク４００）を介して、車両に搭載された機器（例えば、ＥＰＳ制御装置２００、ブレーキ制御装置３００、あるいは車両内の他の機器）の少なくともいずれかを制御する制御装置であって、制御を実行するための複数の機能要素ｉ、および複数の機能要素ｉそれぞれに対応し、各機能要素ｉと同じ制御機能を実行可能な予備機能要素ｉＢを保持する機能要素保持部１２０、通信網（車載ネットワーク４００）を介したセキュリティ攻撃に起因する異常を検知する異常検知部１１１、異常が検知されたとき、複数の機能要素ｉのうち、異常が生じた機能要素と波及先となる機能要素を処理対象として特定する処理対象特定部（異常発生元特定部１１２、波及箇所特定部１１３）、特定された機能要素ｉの制御機能を、それぞれ対応する予備機能要素ｉＢに切り替えて実行させる機能要素切替部１１６、および複数の機能要素ｉの使用状況に応じ、切り替えにおける対応する予備機能要素ｉＢの起動の優先順位を付与する優先順位付与部１１５、を備えるように構成したので、セキュリティ攻撃を受けても、車両制御に支障をきたすことなく、攻撃を受ける前と同等の車両制御を継続することができる。

異常が検知されたとき、セキュリティ攻撃の種類に応じて、通信網（車載ネットワーク４００）に対するセキュリティ対策の変更を行うセキュリティ対策部１３０を備えるように構成すれば、とくに、機能要素ｉと同じ構造を有する予備機能要素ｉＢに対して、機能要素ｉに影響を与えたのと同じセキュリティ攻撃を受けても、耐性の向上により、影響を受けることを防止できる。

セキュリティ対策部１３０は、セキュリティ対策の変更内容を、車両に搭載された他の制御装置（例えば、ＥＰＳ制御装置２００、ブレーキ制御装置３００）に通知するように構成すれば、セキュリティ対策変更に伴う車両内での連携動作での障害を抑えることができる。

また、処理対象として特定された機能要素ｉそれぞれを、当該機能要素ｉへの入力を維持し、外部への出力を遮断した隔離領域１５０に移動させる隔離処理部１１８を有するようにすれば、セキュリティ攻撃の分析、攻撃者の意図の解析等を行うことができる。

処理対象として特定された機能要素ｉを無効化した後、無効化した機能要素ｉの内容を対応する予備機能要素ｉＢの内容に書き換え、切り替え後の予備機能要素ｉＢに対する予備機能要素ｉＢ^＋として機能要素保持部１２０に保持する機能要素書換部を備えることで、以降のセキュリティ攻撃に対する対応も可能になる。

以上のように、各実施の形態にかかる制御方法によれば、車両に搭載された機器の少なくともいずれかを制御する制御方法であって、制御を実行するための複数の機能要素ｉ、および複数の機能要素ｉそれぞれに対応し、各機能要素ｉと同じ制御機能を実行可能な予備機能要素ｉＢを保持する機能要素保持ステップ、通信網（車載ネットワーク４００）を介したセキュリティ攻撃に起因する異常を検知する異常検知ステップ（ステップＳ１００〜Ｓ１２０）、異常が検知されたとき、複数の機能要素ｉのうち、異常が生じた機能要素と波及先となる機能要素を処理対象として特定する処理対象特定ステップ（ステップＳ１３０〜Ｓ１４０）、複数の機能要素ｉの使用状況に応じ、特定された機能要素それぞれに優先順位を付与する優先順位付与ステップ(ステップＳ１５０〜Ｓ１６０）、および特定された機能要素の制御機能を、優先順位に基づいて、それぞれ対応する予備機能要素に切り替えて実行させる機能要素切替ステップ（ステップＳ１７０／Ｓ１７５〜１９０）、を含むように構成したので、セキュリティ攻撃を受けても、車両制御に支障をきたすことなく、攻撃を受ける前と同等の車両制御を継続することができる。

機能要素切替ステップにおける予備機能要素ｉＢによる制御機能の実行前に、セキュリティ攻撃の種類に応じて、通信網（車載ネットワーク４００）に対するセキュリティ対策の変更を行う、セキュリティ対策ステップ（ステップＳ１８０）を含むように構成すれば、とくに、機能要素ｉと同じ構造を有する予備機能要素ｉＢに対して、機能要素ｉに影響を与えたのと同じセキュリティ攻撃を受けても、耐性の向上により、影響を受けることを防止できる。

１００：ＡＤＡＳ制御装置（制御装置）、１１０：異常対応制御部、１１１：異常検知部、１１２：異常発生元特定部（処理対象特定部）、１１３：波及箇所特定部（処理対象特定部）、１１４：機能使用状況確認部、１１５：優先順位付与部、１１６：機能要素切替部、１１７：対策変更部、１１８：隔離処理部、１２０：機能要素保持部、１３０：セキュリティ対策部、１３１：通信認証機能、１３２：機器認証機能、１３３：暗号化機能、１４０：送受信部、１５０：隔離領域、２００：ＥＰＳ制御装置、３００：ブレーキ制御装置、４００：車載ネットワーク（通信網）、ｉ：機能要素、ｉＢ：予備機能要素、ｉＢ^＋：予備機能要素。

Claims

車両に搭載され、通信網を介して、前記車両に搭載された機器の少なくともいずれかを制御する制御装置であって、
前記制御を実行するための複数の機能要素、および前記複数の機能要素それぞれに対応し、各機能要素と同じ制御機能を実行可能な予備機能要素を保持する機能要素保持部、
前記通信網を介したセキュリティ攻撃に起因する異常を検知する異常検知部、
前記異常が検知されたとき、前記複数の機能要素のうち、異常が生じた機能要素と波及先となる機能要素を処理対象として特定する処理対象特定部、
前記特定された機能要素の制御機能を、それぞれ対応する予備機能要素に切り替えて実行させる機能要素切替部、および
前記複数の機能要素の使用状況に応じ、前記切り替えにおける予備機能要素の起動の優先順位を付与する優先順位付与部、
を備えたことを特徴とする制御装置。
前記異常が検知されたとき、前記セキュリティ攻撃の種類に応じて、前記通信網に対するセキュリティ対策の変更を行うセキュリティ対策部を備えたことを特徴とする請求項１に記載の制御装置。
前記セキュリティ対策部は、前記セキュリティ対策の変更内容を、前記車両に搭載された他の制御装置に通知することを特徴とする請求項２に記載の制御装置。
前記特定された機能要素それぞれを、当該機能要素への入力を維持し、外部への出力を遮断した隔離領域に移動させる隔離処理部を有することを特徴とする請求項１から３のいずれか１項に記載の制御装置。
前記特定された機能要素を無効化した後、前記無効化した機能要素の内容を対応する予備機能要素の内容に書き換え、切り替え後の予備機能要素に対する予備機能要素として前記機能要素保持部に保持する機能要素書換部を備えたことを特徴とする請求項１から４のいずれか１項に記載の制御装置。
通信網を介して、車両に搭載された機器の少なくともいずれかを制御する制御装置に対し、前記車両に搭載された制御装置が実行する制御方法であって、
前記制御を実行するための複数の機能要素、および前記複数の機能要素それぞれに対応し、各機能要素と同じ制御機能を実行可能な予備機能要素を保持する機能要素保持ステップ、
前記通信網を介したセキュリティ攻撃に起因する異常を検知する異常検知ステップ、
前記異常が検知されたとき、前記複数の機能要素のうち、異常が生じた機能要素と波及先となる機能要素を処理対象として特定する処理対象特定ステップ、
前記複数の機能要素の使用状況に応じ、前記特定された機能要素それぞれに優先順位を付与する優先順位付与ステップ、および
前記特定された機能要素の制御機能を、前記優先順位に基づいて、それぞれ対応する予備機能要素に切り替えて実行させる機能要素切替ステップ、
を含むことを特徴とする制御方法。
前記機能要素切替ステップにおける前記予備機能要素による前記制御機能の実行前に、前記セキュリティ攻撃の種類に応じて、前記通信網に対するセキュリティ対策の変更を行う、セキュリティ対策ステップ、を含むことを特徴とする請求項６に記載の制御方法。