JP7115442B2

JP7115442B2 - 判定装置、判定システム、プログラム及び判定方法

Info

Publication number: JP7115442B2
Application number: JP2019151515A
Authority: JP
Inventors: 良彦加藤
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2019-08-21
Filing date: 2019-08-21
Publication date: 2022-08-09
Anticipated expiration: 2039-08-21
Also published as: JP2021034829A; CN112422495B; US11444922B2; CN112422495A; US20210058372A1; DE102020121540A1

Description

本発明は、判定装置、判定システム、プログラム及び判定方法に関する。

車内ＬＡＮに対するセキュリティ攻撃に係る攻撃情報を収集する場合、メッセージ認証やファイヤーウォール等のセキュリティ機能によりセキュリティ攻撃を検知し、これに伴う攻撃情報をセンター装置等で収集することが考えられる。これにより、センター装置は、収集した攻撃情報を解析することができる。一方、メッセージ認証やファイヤーウォールに係る回路が故障している場合、正常な通信がセキュリティ攻撃と誤検知されてセンター装置にアップロードされてしまうため、通信コストやセンター装置での解析リソースが無駄に消費されるおそれが生じる。そのために、メッセージ認証やファイヤーウォールに係る回路が正しく機能しているかを検証する必要がある。

特許文献１には、不正アクセスなどのセキュリティ攻撃に係る攻撃情報を収集する場合に、回路故障などに起因して生じた攻撃情報を除外した上で、センター装置が収集する方法が開示されている。当該方法においては、メッセージ認証コードの一致、不一致に基づいて回路が正常か否かの判断を行っている。

特開２０１７－１１８４８７号公報

しかしながら、特許文献１の方法においては、メッセージ認証に係る回路が故障した場合の攻撃情報の切り分けについては開示されているが、ファイヤーウォールに係る回路が故障した場合の対応は考慮されていない。

本発明は、ファイヤーウォールによりセキュリティを確保している制御装置からセキュリティ攻撃に係る攻撃情報を収集する場合において、制御装置の故障により生じる誤検知を除外可能な判定装置、判定システム、プログラム及び判定方法を提供することを目的とする。

請求項１に記載の判定装置は、車両に搭載された制御装置との間で通信を可能とする通信部と、前記制御装置に対して、前記制御装置におけるファイヤーウォールのルールに適合しない第１の情報を送出する第１の送出部と、前記第１の情報に対する前記制御装置の応答を第１の通知として前記制御装置から取得した際、前記第１の通知が前記制御装置の正常を示す正常通知である場合に前記制御装置を故障と判定し、前記第１の通知が前記制御装置の異常を示す異常通知である場合に前記制御装置を正常と判定する第１の判定部と、前記第１の判定部により前記制御装置が正常と判定された場合、前記制御装置に対して、更に前記ルールに適合する第２の情報を送出する第２の送出部と、前記第２の情報に対する前記制御装置の応答を第２の通知として前記制御装置から取得した際、前記第２の通知が前記正常通知である場合に前記制御装置を正常と判定する第２の判定部と、を備えている。

請求項１に記載の判定装置は、通信部により車両に搭載された制御装置との間で通信を可能としている。まず、当該判定装置は、第１の送出部が制御装置におけるファイヤーウォールのルールに適合しない第１の情報を送出し、制御装置から当該第１の情報に対する応答を第１の通知として取得する。そして、当該判定装置では、第１の判定部が第１の通知として、制御装置が正常であることを示す正常通知を取得した場合に制御装置が故障と判定し、制御装置が異常であることを示す異常通知を取得した場合に制御装置が正常と判定する。続けて、当該判定装置は、第２の送出部が制御装置におけるファイヤーウォールのルールに適合する第２の情報を送出し、制御装置から当該第２の情報に対する応答を第２の通知として取得する。そして、当該判定装置では、第２の判定部が第２の通知として、制御装置が正常通知を取得した場合に制御装置が正常と判定する。

請求項１に記載の判定装置は、ファイヤーウォールのルールに適合しない通信を最初に行うことにより、セキュリティ上の問題がある通信を正常と判定する制御装置の故障を把握する。そして、当該判定装置は、ファイヤーウォールのルールに適合する通信を次に行うことにより、セキュリティ上の問題がない通信を異常と判定する制御装置の故障を把握する。以上、当該判定装置によれば、ファイヤーウォールによりセキュリティを確保している制御装置からセキュリティ攻撃に係る攻撃情報を収集する場合において、制御装置の故障により生じる誤検知を除外することができる。

請求項２に記載の判定装置は、請求項１に記載の判定装置において、前記制御装置が受けた通信に対する攻撃情報を前記制御装置から取得可能な取得部を備え、前記取得部は、前記第２の判定部により前記制御装置が正常であると判定された場合に前記攻撃情報を取得する。

請求項２に記載の判定装置は、制御装置が故障していないと判定した後に、制御装置から攻撃情報を取得するため、故障により誤検知された攻撃情報は除外される。そのため、当該判定装置によれば、制御装置の診断に際し、制御装置から取得する情報量を低減することができ、診断時間を短縮することができる。

請求項３に記載の判定装置は、請求項２に記載の判定装置において、前記取得部は、前記第１の判定部により前記制御装置が故障であると判定された場合であって、既に前記攻撃情報を取得している場合には、取得している前記攻撃情報を破棄する。

請求項３に記載の判定装置によれば、制御装置が故障しているにもかかわらず攻撃情報を取得した場合に当該攻撃情報を廃棄することにより、制御装置の診断に際し、誤検知に伴う攻撃情報を除外することができる。

請求項４に記載の判定システムは、請求項１～３の何れか１項に記載の判定装置と、前記車両を制御する前記制御装置と、を備えた判定システムであって、前記制御装置は、前記車両の走行に支障がない場合に前記制御装置を診断する診断部と、前記診断部による診断において、前記通信部から受信した前記第１の情報又は前記第２の情報が前記ルールに適合するか否かを判定する適合判定部と、前記適合判定部が前記ルールに適合すると判定した場合に前記正常通知を前記制御装置に通知し、前記受信した情報が前記ルールに適合しないと判定した場合に前記異常通知を通知する通知部と、を備えている。

請求項４に記載の判定システムでは、制御装置において診断部が車両の走行に支障がない場合に診断を開始し、適合判定部が判定装置からの情報がファイヤーウォールのルールに適合するか否かを判定し、通知部が判定結果に対応する通知を判定装置に対し行う。上述のように、判定装置は、制御装置におけるファイヤーウォールのルールに適合しない通信により故障の判定を行っており、攻撃情報を収集する際に制御装置のセキュリティが脆弱になる恐れがある。しかし、当該判定システムによれば、車両の走行に支障がない場合に攻撃情報を収集することにより、車両の走行に対する安全性を確保することができる。

請求項５に記載のプログラムは、車両に搭載された制御装置との間で通信を行うことで前記制御装置の故障を判定するためのプログラムであって、前記制御装置に対して、前記制御装置におけるファイヤーウォールのルールに適合しない第１の情報を送出する第１の送出ステップと、前記第１の情報に対する前記制御装置の応答を第１の通知として前記制御装置から取得した際、前記第１の通知が前記制御装置の正常を示す正常通知である場合に前記制御装置を異常と判定し、前記第１の通知が前記制御装置の異常を示す異常通知である場合に前記制御装置を正常と判定する第１の判定ステップと、前記第１の判定ステップにより前記制御装置が正常と判定された場合、前記制御装置に対して、更に前記ルールに適合する第２の情報を送出する第２の送出ステップと、前記第２の情報に対する前記制御装置の応答を第２の通知として前記制御装置から取得した際、前記第２の通知が前記正常通知である場合に、前記制御装置を正常と判定する第２の判定ステップと、を含む処理をコンピュータに実行させる。

請求項５に記載のプログラムは、車両に搭載された制御装置との間で通信を行うコンピュータに対してインストールを可能としている。当該プログラムは、コンピュータに対して制御装置におけるファイヤーウォールのルールに適合しない通信を最初に行わせることにより、セキュリティ上の問題がある通信を正常と判定する制御装置の故障を把握する。そして、当該プログラムは、コンピュータに対して制御装置におけるファイヤーウォールのルールに適合する通信を次に行わせることにより、セキュリティ上の問題がない通信を異常と判定する制御装置の故障を把握する。以上、当該プログラムによれば、ファイヤーウォールによりセキュリティを確保している制御装置からセキュリティ攻撃に係る攻撃情報を収集する場合において、制御装置の故障により生じる誤検知を除外することができる。

請求項６に記載の判定方法は、車両に搭載された制御装置と、前記制御装置と接続される判定装置と、が通信を行うことで前記制御装置の故障を判定する判定方法であって、前記判定装置が前記制御装置に対して前記制御装置の診断を要求する要求ステップと、前記要求ステップを受けて、前記制御装置が前記車両の走行に支障がない場合に前記診断を開始させる開始ステップと、前記開始ステップの後に、前記判定装置から前記制御装置に向けて前記制御装置におけるファイヤーウォールのルールに適合しない第１の情報を送出する第１の送出ステップと、前記第１の情報を受け付けた前記制御装置において、前記制御装置が正常か異常かを判定し、前記判定装置に対する応答を行う第１の応答ステップと、前記判定装置において取得された、前記第１の応答ステップに対応する第１の通知が前記制御装置の正常を示す正常通知である場合に前記制御装置を異常と判定し、前記第１の通知が前記制御装置の異常を示す異常通知である場合に前記制御装置を正常と判定する第１の判定ステップと、前記第１の判定ステップにより前記制御装置が正常と判定された場合、前記判定装置から前記制御装置に向けて、更に前記ルールに適合する第２の情報を送出する第２の送出ステップと、前記第２の情報を受け付けた前記制御装置において、前記制御装置が正常か異常かを判定し、前記判定装置に対する応答を行う第２の応答ステップと、前記判定装置において取得された、前記第２の応答ステップに対応する第２の通知が前記正常通知である場合に、前記制御装置を正常と判定する第２の判定ステップと、を含んでいる。

請求項６に記載の判定方法は、判定装置が車両に搭載された制御装置と通信を行うことで制御装置の故障を判定する。当該判定方法は、判定装置が制御装置に対してファイヤーウォールのルールに適合しない通信を最初に行うことにより、セキュリティ上の問題がある通信を正常と判定する制御装置の故障を把握する。そして、判定装置が制御装置に対してファイヤーウォールのルールに適合する通信を次に行うことにより、セキュリティ上の問題がない通信を異常と判定する制御装置の故障を把握する。ここで、当該判定方法では、車両の走行に支障がない場合に制御装置が診断を開始した後、判定装置との間でファイヤーウォールのルールに適合しない通信を行っている。当該判定方法によれば、ファイヤーウォールによりセキュリティを確保している制御装置からセキュリティ攻撃に係る攻撃情報を収集する場合において、制御装置の故障により生じる誤検知を除外することができる。また、車両の走行に支障がない場合に攻撃情報を収集することができるため、車両の走行に対する安全性を確保することができる。

本発明によれば、ファイヤーウォールによりセキュリティを確保している制御装置からセキュリティ攻撃に係る攻撃情報を収集する場合において、制御装置の故障により生じる誤検知を除外することができる。

第１の実施形態に係る判定システムの概略構成を示す図である。第１の実施形態のＤＣＭのハードウェア構成を示すブロック図である。第１の実施形態のＤＣＭの機能構成の例を示すブロック図である。第１の実施形態のセンターサーバのハードウェア構成を示すブロック図である。第１の実施形態のセンターサーバの機能構成の例を示すブロック図である。第１の実施形態において、ＤＣＭが実行する情報提供処理、及びセンターサーバが実行する情報収集処理の流れを示すフローチャートである。第１の実施形態において、ＤＣＭが実行する情報提供処理、及びセンターサーバが実行する情報収集処理の流れを示すフローチャート（図６の続き）である。

［第１の実施形態］
図１は、第１の実施形態に係る判定システム１０の概略構成を示すブロック図である。

（概要）
図１に示されるように、第１の実施形態に係る判定システム１０は、車両１２と、判定装置としてのセンターサーバ３０と、車両診断機４０とを含んで構成されている。

本実施形態の車両１２は、ＤＣＭ（ＤａｔａＣｏｍｍｕｎｉｃａｔｉｏｎＭｏｄｕｌｅ）２０と、セントラルＧＷ（ＣｅｎｔｒａｌＧａｔｅｗａｙ）２２と、複数のＥＣＵ（ＥｌｅｃｔｒｏｎｉｃＣｏｎｔｒｏｌＵｎｉｔ）２４と、を備えている。ＤＣＭ２０は、制御装置の一例である。

ＤＣＭ２０は、通信網であるネットワークＮを介してセンターサーバ３０と接続されている。

セントラルＧＷ２２は、ＤＣＭ２０及び各ＥＣＵ２４と、それぞれ外部バス（通信バス）１４を介して接続されている。外部バス１４は、セントラルＧＷ２２とＤＣＭ２０とを接続する第一バス１４Ａと、セントラルＧＷ２２と、各ＥＣＵ２４とを相互に接続する第二バス１４Ｂと、を有している。外部バス１４では、ＣＡＮ（ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）プロトコルによる通信が行われている。

ＥＣＵ２４は、車両１２の制御、又は車両１２に搭載されたアクセサリの制御に要する装置である。ＥＣＵ２４は、例えば、ボデーＥＣＵ、エンジンＥＣＵ、トランスミッションＥＣＵ、メータＥＣＵ、マルチメディアＥＣＵ、スマートキーＥＣＵ等のＥＣＵである。

また、セントラルＧＷ２２は、コネクタ（ＤＬＣ：ＤａｔａＬｉｎｋＣｏｎｎｅｃｔｏｒ）１６と接続されている。このコネクタ１６には、ダイアグツールである車両診断機４０の接続が可能である。

（ＤＣＭ）
図２に示されるように、ＤＣＭ２０は、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）２０Ａ、ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）２０Ｂ、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）２０Ｃ、通信Ｉ／Ｆ（ＩｎｔｅｒＦａｃｅ）２０Ｄ及び通信部２０Ｅを含んで構成されている。ＣＰＵ２０Ａ、ＲＯＭ２０Ｂ、ＲＡＭ２０Ｃ、通信Ｉ／Ｆ２０Ｄ及び通信部２０Ｅは、内部バス２０Ｆを介して相互に通信可能に接続されている。

ＣＰＵ２０Ａは、中央演算処理ユニットであり、各種プログラムを実行したり、各部を制御したりする。すなわち、ＣＰＵ２０Ａは、ＲＯＭ２０Ｂからプログラムを読み出し、ＲＡＭ２０Ｃを作業領域としてプログラムを実行する。

ＲＯＭ２０Ｂは、各種プログラム及び各種データを記憶している。本実施形態では、ＲＯＭ２０Ｂに実行プログラム２００が記憶されている。実行プログラム２００は、後述する情報提供処理を行うためのプログラムである。また、ＲＯＭ２０Ｂには、通信ログ２２０が記憶されている。通信ログ２２０は、通信部２０Ｅに対する不正アクセス等のセキュリティ攻撃を原因とする認証処理の異常時に記憶される情報である「攻撃情報」を含んでいる。ＲＡＭ２０Ｃは、作業領域として一時的にプログラム又はデータを記憶する。

通信Ｉ／Ｆ２０Ｄは、セントラルＧＷ２２及び他のＥＣＵ２４と接続するためのインタフェースである。当該インタフェースは、ＣＡＮプロトコルによる通信規格が用いられる。通信Ｉ／Ｆ２０Ｄは、第一バス１４Ａに対して接続されている。

通信部２０Ｅは、センターサーバ３０と接続するための無線通信モジュールである。当該無線通信モジュールは、例えば、４Ｇ、ＬＴＥ等の通信規格が用いられる。通信部２０Ｅは、ネットワークＮに対して接続されている。

図３は、ＤＣＭ２０の機能構成の例を示すブロック図である。図３に示されるように、ＤＣＭ２０は、診断部２５０、適合判定部２６０、及び状態通知部２７０を有している。各機能構成は、ＣＰＵ２０ＡがＲＯＭ２０Ｂに記憶された実行プログラム２００を読み出し、これを実行することによって実現される。

診断部２５０は、ＤＣＭ２０が正常か否かの診断を行うためのテストモードを実行する機能を有している。診断部２５０は、センターサーバ３０からテストモードの開始要求を受けた際、車両１２の走行に支障がない場合にテストモードに移行する。本実施形態において、「車両１２の走行に支障がない場合」とは、車両１２が通信に係るセキュリティが確保された場所にあり、かつ車両１２が停止している場合を指す。車両１２の停止は車速情報や、パーキング情報に基づいて判定することができる。

「通信に係るセキュリティが確保された場所」とは、例えば、ディーラの整備建屋、自宅の車庫等、通信を制限することが可能であって、不正アクセス等のセキュリティ攻撃を受けにくい場所が挙げられる。テストモードが開始されると、診断部２５０はＤＣＭ２０を搭載している車両１２を走行できないように制御する。例えば、診断部２５０は、各ＥＣＵ２４の機能を停止することで、エンジンの始動を禁止したり、ブレーキの解除を禁止したり、することで車両１２を走行不能とすることができる。

適合判定部２６０は、センターサーバ３０から受信した情報がＤＣＭ２０におけるファイヤーウォールのルールに適合するか否かを判定する機能を有している。本実施形態の適合判定部２６０は、テストモードに移行している場合にセンターサーバ３０から受信した情報がファイヤーウォールのルールに適合するか否かを判定する。

通知部としての状態通知部２７０は、センターサーバ３０に対してＤＣＭ２０が判定したＤＣＭ２０の状態を通知する機能を有している。状態通知部２７０は、適合判定部２６０において、センターサーバ３０から受信した情報がファイヤーウォールのルールに適合すると判定した場合にＤＣＭ２０が正常であることを示す正常通知をセンターサーバ３０に送信する。また、状態通知部２７０は、適合判定部２６０において、センターサーバ３０から受信した情報がファイヤーウォールのルールに適合しないと判定した場合にＤＣＭ２０が異常であることを示す異常通知をセンターサーバ３０に送信する。

ここで、センターサーバ３０から受信した情報には、後述する不適合情報と適合情報とが存在する。本実施形態の状態通知部２７０は、センターサーバ３０から不適合情報を受信した場合に、第１の通知として正常通知及び異常通知の何れかをセンターサーバ３０に送信する。また、状態通知部２７０は、センターサーバ３０から適合情報を受信した場合に、第２の通知として正常通知及び異常通知の何れかをセンターサーバ３０に送信する。

（センターサーバ）
図４は、本実施形態のセンターサーバ３０に搭載される機器のハードウェア構成を示すブロック図である。

センターサーバ３０は、ＣＰＵ３０Ａ、ＲＯＭ３０Ｂ、ＲＡＭ３０Ｃ、ストレージ３０Ｄ及び通信部３０Ｅを含んで構成されている。ＣＰＵ３０Ａ、ＲＯＭ３０Ｂ、ＲＡＭ３０Ｃ、ストレージ３０Ｄ及び通信部３０Ｅは、内部バス３０Ｆを介して相互に通信可能に接続されている。ＣＰＵ３０Ａ、ＲＯＭ３０Ｂ、ＲＡＭ３０Ｃ及び通信部３０Ｅの機能は、上述したＤＣＭ２０のＣＰＵ２０Ａ、ＲＯＭ２０Ｂ、ＲＡＭ２０Ｃ及び通信部２０Ｅと同じである。

ストレージ３０Ｄは、ＨＤＤ（ＨａｒｄＤｉｓｋＤｒｉｖｅ）又はＳＳＤ（ＳｏｌｉｄＳｔａｔｅＤｒｉｖｅ）により構成されている。本実施形態のストレージ３０Ｄには、解析プログラム３００と、解析データ３２０と、が記憶されている。解析プログラム３００は、後述する情報収集処理を行うためのプログラムである。解析データ３２０は、情報収集処理の結果として、ＤＣＭ２０から収集された攻撃情報が格納されたデータである。

本実施形態のＣＰＵ３０Ａは、ＲＯＭ３０Ｂから解析プログラム３００を読み出し、ＲＡＭ３０Ｃを作業領域として解析プログラム３００を実行する。ＣＰＵ３０Ａが解析プログラム３００を実行することで、センターサーバ３０は、図５に示す不適合情報送出部３５０、適合情報送出部３６０、一次判定部３７０、二次判定部３８０、情報取得部３９０として機能する。

図５は、センターサーバ３０の機能構成の例を示すブロック図である。図５に示されるように、センターサーバ３０は、不適合情報送出部３５０、適合情報送出部３６０、一次判定部３７０、二次判定部３８０、情報取得部３９０を有している。

第１の送出部としての不適合情報送出部３５０は、ＤＣＭ２０に対して、当該ＤＣＭ２０におけるファイヤーウォールのルールに適合しない不適合情報を送出する機能を有している。この不適合情報は、第１の情報の一例である。

第２の送出部としての適合情報送出部３６０は、ＤＣＭ２０に対して、当該ＤＣＭ２０におけるファイヤーウォールのルールに適合する適合情報を送出する機能を有している。この適合情報は、第２の情報の一例である。適合情報送出部３６０は、後述する一次判定部３７０によりＤＣＭ２０が正常であると判定された場合に、適合情報をＤＣＭ２０に送出する。

第１の判定部としての一次判定部３７０は、ＤＣＭ２０に送信した不適合情報に対するＤＣＭ２０の応答を第１の通知として取得した際に、ＤＣＭ２０が正常か否かを判定する機能を有している。一次判定部３７０は、受信した第１の通知が正常通知である場合にＤＣＭ２０を故障と判定し、第１の通知が異常通知である場合にＤＣＭ２０を正常と判定する。

第２の判定部としての二次判定部３８０は、ＤＣＭ２０に送信した適合情報に対するＤＣＭ２０の応答を第２の通知として取得した際に、ＤＣＭ２０が正常か否かを判定する機能を有している。二次判定部３８０は、受信した第２の通知が正常通知である場合にＤＣＭ２０を正常と判定し、第２の通知が異常通知である場合にＤＣＭ２０を故障と判定する。

取得部としての情報取得部３９０は、ＤＣＭ２０の通信部２０Ｅが受けた通信に対する攻撃情報を当該ＤＣＭ２０から取得し、又は既に取得した攻撃情報を破棄する機能を有している。情報取得部３９０は、二次判定部３８０によりＤＣＭ２０が正常であると判定された場合に、ＤＣＭ２０から受信した攻撃情報を取得する。また、情報取得部３９０は、一次判定部３７０によりＤＣＭ２０が故障であると判定された場合であって、既に攻撃情報を取得している場合には、取得している攻撃情報を破棄する。

（制御の流れ）
本実施形態において、ＤＣＭ２０が実行する情報提供処理、及びセンターサーバ３０が実行する情報収集処理の流れの例を図６及び図７のフローチャートで説明する。

まず、情報提供処理が実行される前において、ＤＣＭ２０は不正アクセス等があった場合に、通信ログ２２０に対して攻撃情報を記憶している。そして、センターサーバ３０において攻撃情報の解析が必要となった場合、ＤＣＭ２０及びセンターサーバ３０では以下の処理が実行される。

図６に示されるように、センターサーバ３０は、攻撃情報を取得する対象のＤＣＭ２０に対してテストモードの開始要求を行う（Ｓ１００）。詳しくは、センターサーバ３０はテストモードを開始させるためのコマンドをＤＣＭ２０に対して送信する。

これに対して、ＤＣＭ２０は、テストモードに移行可能か否かの判定を行う（Ｓ２００）。具体的にＤＣＭ２０は、車両１２の位置情報がディーラの整備建屋、自宅の車庫等、不正アクセス等のセキュリティ攻撃を受けにくい場所にあり、かつ車両１２が停止している場合にテストモードに移行可能であると判定する。ＤＣＭ２０は、テストモードに移行可能であると判定した場合（Ｓ２００においてＹｅｓ）、テストモードを開始する（Ｓ２０１）。ＤＣＭ２０は、テストモードの開始に伴い、センターサーバ３０に向けてテストモードを開始したことを示すコマンドを送信する。

一方、上記判定において、ＤＣＭ２０は、テストモードに移行可能ではないと判定した場合（Ｓ２００においてＮｏ）、テストモードに移行せずに（Ｓ２０２）、情報提供処理を終了させる。

センターサーバ３０は、ＤＣＭ２０からテストモードを開始したことを示すコマンドを受信した場合に、ファイヤーウォール（ＦＷ）のルール外の通信によりＤＣＭ２０に対して情報を要求する（Ｓ１０１）。具体的にセンターサーバ３０は、ファイヤーウォールのルールに適合しない不適合情報をＤＣＭ２０に送信する。

ＤＣＭ２０は、センターサーバ３０から不適合情報を受信した場合に、受信した情報がファイヤーウォールのルールに適合しているか否かの判定を行う（Ｓ２０３）。ＤＣＭ２０は、ファイヤーウォールのルールに適合していると判定した場合（Ｓ２０３においてＹｅｓ）、機器が正常であると判定する（Ｓ２０４）。そして、ＤＣＭ２０は、ＤＣＭ２０が正常であることを示す正常通知を攻撃情報と共にセンターサーバ３０に送信する（Ｓ２０５）。

一方、上記判定において、ＤＣＭ２０は、ファイヤーウォールのルールに適合していないと判定した場合（Ｓ２０３においてＮｏ）、機器が異常であると判定する（Ｓ２０６）。そして、ＤＣＭ２０は、ＤＣＭ２０が異常であることを示す異常通知をセンターサーバ３０に送信する（Ｓ２０７）。

図７に示されるように、次にセンターサーバ３０は、ＤＣＭ２０から異常通知を受信したか否かの判定を行う（Ｓ１０２）。センターサーバ３０は、ＤＣＭ２０から異常通知を受信したと判定した場合（Ｓ１０２においてＹｅｓ）、機器が正常であると判定する（Ｓ１０３）。そして、センターサーバ３０は、ファイヤーウォール（ＦＷ）のルール内の通信によりＤＣＭ２０に対して情報を要求する（Ｓ１０４）。具体的にセンターサーバ３０は、ファイヤーウォールのルールに適合する適合情報をＤＣＭ２０に送信する。

一方、上記判定において、センターサーバ３０は、ＤＣＭ２０から異常通知を受信していない、すなわち正常通知を受信したと判定した場合（Ｓ１０２においてＮｏ）、機器が故障していると判定する（Ｓ１０５）。そして、センターサーバ３０は、正常通知と共に受信している攻撃情報を破棄し（Ｓ１０６）、情報収集処理を終了させる。

ＤＣＭ２０は、センターサーバ３０から適合情報を受信した場合に、受信した情報がファイヤーウォールのルールに適合しているか否かの判定を行う（Ｓ２０８）。ＤＣＭ２０は、ファイヤーウォールのルールに適合していると判定した場合（Ｓ２０８においてＹｅｓ）、機器が正常であると判定する（Ｓ２０９）。そして、ＤＣＭ２０は、ＤＣＭ２０が正常であることを示す正常通知を攻撃情報と共にセンターサーバ３０に送信する（Ｓ２１０）。

一方、上記判定において、ＤＣＭ２０は、ファイヤーウォールのルールに適合していないと判定した場合（Ｓ２０８においてＮｏ）、機器が異常であると判定する（Ｓ２１１）。そして、ＤＣＭ２０は、ＤＣＭ２０が異常であることを示す異常通知をセンターサーバ３０に送信する（Ｓ２１２）。

ＤＣＭ２０は、正常通知又は異常通知をセンターサーバ３０に送信後、テストモードを終了させて（Ｓ２１３）、情報提供処理を終了させる。

次にセンターサーバ３０は、ＤＣＭ２０から正常通知を受信したか否かの判定を行う（Ｓ１０７）。センターサーバ３０は、ＤＣＭ２０から正常通知を受信したと判定した場合（Ｓ１０７においてＹｅｓ）、機器が正常であると判定する（Ｓ１０８）。そして、センターサーバ３０は、受信した攻撃情報を取得し（Ｓ１０９）、情報収集処理を終了させる。

一方、上記判定において、センターサーバ３０は、ＤＣＭ２０から正常通知を受信していない、すなわち異常通知を受信したと判定した場合（Ｓ１０７においてＮｏ）、機器が故障していると判定する（Ｓ１１０）。そして、センターサーバ３０は、情報収集処理を終了させる。

（第１の実施形態のまとめ）
本実施形態では、センターサーバ３０がＤＣＭ２０に対して、ファイヤーウォールのルールに適合しない通信を最初に行うことにより、セキュリティ上の問題がある通信を正常と判定するＤＣＭ２０の故障を把握する。そして、センターサーバ３０がＤＣＭ２０に対して、ファイヤーウォールのルールに適合する通信を次に行うことにより、セキュリティ上の問題がない通信を異常と判定するＤＣＭ２０の故障を把握する。以上、本実施形態によれば、ファイヤーウォールによりセキュリティを確保しているＤＣＭ２０からセキュリティ攻撃に係る攻撃情報を収集する場合において、ＤＣＭ２０の故障により生じる誤検知を除外することができる。これにより、精度の高い解析が可能となる。

ここで、条件が限られたファイヤーウォールのルールに適合する通信に対して、ファイヤーウォールのルールに適合しない通信は、条件のパターンが多い。そのため、本実施形態では、まずパターン数の多い通信により、広い条件に対してＤＣＭ２０の故障を把握することで、故障を判定する際の前捌きを行う。すなわち、最初にファイヤーウォールのルールに適合しない通信を行い、ＤＣＭ２０が故障していると判定された場合、センターサーバ３０は、ファイヤーウォールのルールに適合する通信を行う必要がなく、誤検知を含む攻撃情報を取得する必要がない。そのため、ＤＣＭ２０の診断に際し、ＤＣＭ２０から取得する情報量を低減することができ、診断時間を短縮することができる。情報量が低減することにより、パケット代の低減を図ることができる。

また、本実施形態の判定システム１０では、ＤＣＭ２０において診断部２５０が車両１２の走行に支障がない場合にテストモードを開始した後、ＤＣＭ２０がセンターサーバ３０との間でファイヤーウォールのルールに適合しない通信を行う。ファイヤーウォールのルールに適合しない通信により故障の判定を行う場合、ＤＣＭ２０のセキュリティが脆弱になる恐れがある。しかし、本実施形態によれば、車両１２の走行に支障がない場合に攻撃情報を収集することにより、車両１２の走行に対する安全性を確保することができる。

なお、テストモードの実行中に車両１２の車速が０から上がったり、通信に係るセキュリティが確保された場所から車両１２が移動した場合、診断部２５０はテストモードを強制的に終了させて、車両１２を走行させるための通常モードに復帰する。本実施形態によれば、テストモードに移行する場面を限定することにより、セキュリティを高めたまま情報を収集することができる。

また、本実施形態のセンターサーバ３０によれば、ＤＣＭ２０が故障しているにもかかわらず攻撃情報を取得した場合に当該攻撃情報を廃棄することにより、制御装置の診断に際し、誤検知に伴う攻撃情報を除外することができる。

なお、本実施形態では、ＤＣＭ２０が自機を正常であると判定した場合、センターサーバ３０に対して攻撃情報を送信する（Ｓ２０５、Ｓ２１０）が、これに限らず、ＤＣＭ２０が故障していないとセンターサーバ３０に判定された後に攻撃情報を送信してもよい。例えば、二次判定部３８０において、ＤＣＭ２０が正常であると判定された後に、センターサーバ３０はＤＣＭ２０に対して攻撃情報の送信を要求する要求コマンドを送信することで攻撃情報を取得することができる。

この場合、センターサーバ３０は、ＤＣＭ２０が故障していないと判定した後に、ＤＣＭ２０から攻撃情報を取得するため、故障により誤検知された攻撃情報は完全に除外される。そのため、ＤＣＭ２０の診断に際し、ＤＣＭ２０から取得する情報量を更に低減することができ、診断時間を短縮することができる。

［第２の実施形態］
第１の実施形態では、判定装置であるセンターサーバ３０が制御装置であるＤＣＭ２０における攻撃情報を取得していた。これに対して、第２の実施形態では、車両診断機４０を判定装置とし、セントラルＧＷ２２を制御装置とするものである。

本実施形態のセントラルＧＷ２２のハードウェア構成及び機能構成は、通信部が有線であることを除き、第１の実施形態のＤＣＭ２０と同様の構成を有している。また、本実施形態の車両診断機４０のハードウェア構成及び機能構成は、通信部が有線であることを除き、第１の実施形態のセンターサーバ３０と同様の構成を有している。

したがって、本実施形態では車両診断機４０が、セントラルＧＷ２２と通信を行い、セントラルＧＷ２２が受けた不正アクセス等のセキュリティ攻撃に係る攻撃情報を取得することができる。この場合、車両診断機４０がセントラルＧＷ２２に対して、セントラルＧＷ２２のファイヤーウォールのルールに適合しない通信を最初に行うことにより、セキュリティ上の問題がある通信を正常と判定するセントラルＧＷ２２の故障を把握する。そして、車両診断機４０がセントラルＧＷ２２に対して、セントラルＧＷ２２のファイヤーウォールのルールに適合する通信を次に行うことにより、セキュリティ上の問題がない通信を異常と判定するセントラルＧＷ２２の故障を把握する。以上、本実施形態によれば、ファイヤーウォールによりセキュリティを確保しているセントラルＧＷ２２からセキュリティ攻撃に係る攻撃情報を収集する場合において、セントラルＧＷ２２の故障により生じる誤検知を除外することができる。

その他、本実施形態によれば、第１の実施形態と同様の作用効果を奏することができる。

［備考］
なお、上記実施形態でＣＰＵ２０Ａがソフトウェア（プログラム）を読み込んで実行した各処理、ＣＰＵ３０Ａがソフトウェア（プログラム）を読み込んで実行した各処理を、ＣＰＵ以外の各種のプロセッサが実行してもよい。この場合のプロセッサとしては、ＦＰＧＡ（Ｆｉｅｌｄ－ＰｒｏｇｒａｍｍａｂｌｅＧａｔｅＡｒｒａｙ）等の製造後に回路構成を変更可能なＰＬＤ（ＰｒｏｇｒａｍｍａｂｌｅＬｏｇｉｃＤｅｖｉｃｅ）、及びＡＳＩＣ（ＡｐｐｌｉｃａｔｉｏｎＳｐｅｃｉｆｉｃＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）等の特定の処理を実行させるために専用に設計された回路構成を有するプロセッサである専用電気回路等が例示される。また、各処理を、これらの各種のプロセッサのうちの１つで実行してもよいし、同種又は異種の２つ以上のプロセッサの組み合わせ（例えば、複数のＦＰＧＡ、及びＣＰＵとＦＰＧＡとの組み合わせ等）で実行してもよい。また、これらの各種のプロセッサのハードウェア的な構造は、より具体的には、半導体素子等の回路素子を組み合わせた電気回路である。

また、上記実施形態において、プログラムはコンピュータが読み取り可能な非一時的記録媒体に予め記憶（インストール）されている態様で説明した。例えば、車両１２のＤＣＭ２０において実行プログラム２００は、ＲＯＭ２０Ｂに予め記憶されている。また、センターサーバ３０において解析プログラム３００は、ストレージ３０Ｄに予め記憶されている。しかしこれに限らず、各プログラムは、ＣＤ－ＲＯＭ（ＣｏｍｐａｃｔＤｉｓｃＲｅａｄＯｎｌｙＭｅｍｏｒｙ）、ＤＶＤ－ＲＯＭ（ＤｉｇｉｔａｌＶｅｒｓａｔｉｌｅＤｉｓｃＲｅａｄＯｎｌｙＭｅｍｏｒｙ）、及びＵＳＢ（ＵｎｉｖｅｒｓａｌＳｅｒｉａｌＢｕｓ）メモリ等の非一時的記録媒体に記録された形態で提供されてもよい。また、各プログラムは、ネットワークを介して外部装置からダウンロードされる形態としてもよい。

上記実施形態で説明した処理の流れも、一例であり、主旨を逸脱しない範囲内において不要なステップを削除したり、新たなステップを追加したり、処理順序を入れ替えたりしてもよい。

１０判定システム
１２車両
２０ＤＣＭ（制御装置）
２２セントラルＧＷ（制御装置）
３０センターサーバ（判定装置）
３０Ｅ通信部
４０車両診断機（判定装置）
２５０診断部
２６０適合判定部
２７０状態通知部（通知部）
３５０不適合情報送出部（第１の送出部）
３６０適合情報送出部（第２の送出部）
３７０一次判定部（第１の判定部）
３８０二次判定部（第２の判定部）
３９０情報取得部（取得部）

Claims

車両に搭載された制御装置との間で通信を可能とする通信部と、
前記制御装置に対して、前記制御装置におけるファイヤーウォールのルールに適合しない第１の情報を送出する第１の送出部と、
前記第１の情報に対する前記制御装置の応答を第１の通知として前記制御装置から取得した際、前記第１の通知が前記制御装置の正常を示す正常通知である場合に前記制御装置を故障と判定し、前記第１の通知が前記制御装置の異常を示す異常通知である場合に前記制御装置を正常と判定する第１の判定部と、
前記第１の判定部により前記制御装置が正常と判定された場合、前記制御装置に対して、更に前記ルールに適合する第２の情報を送出する第２の送出部と、
前記第２の情報に対する前記制御装置の応答を第２の通知として前記制御装置から取得した際、前記第２の通知が前記正常通知である場合に前記制御装置を正常と判定する第２の判定部と、
を備える判定装置。
前記制御装置が受けた通信に対する攻撃情報を前記制御装置から取得可能な取得部を備え、
前記取得部は、前記第２の判定部により前記制御装置が正常であると判定された場合に前記攻撃情報を取得する請求項１に記載の判定装置。
前記取得部は、前記第１の判定部により前記制御装置が故障であると判定された場合であって、既に前記攻撃情報を取得している場合には、取得している前記攻撃情報を破棄する請求項２に記載の判定装置。
請求項１～３の何れか１項に記載の判定装置と、前記車両を制御する前記制御装置と、を備えた判定システムであって、
前記制御装置は、
前記車両の走行に支障がない場合に前記制御装置を診断する診断部と、
前記診断部による診断において、前記通信部から受信した前記第１の情報又は前記第２の情報が前記ルールに適合するか否かを判定する適合判定部と、
前記適合判定部が前記ルールに適合すると判定した場合に前記正常通知を前記制御装置に通知し、前記受信した情報が前記ルールに適合しないと判定した場合に前記異常通知を通知する通知部と、
を備える判定システム。
車両に搭載された制御装置との間で通信を行うことで前記制御装置の故障を判定するためのプログラムであって、
前記制御装置に対して、前記制御装置におけるファイヤーウォールのルールに適合しない第１の情報を送出する第１の送出ステップと、
前記第１の情報に対する前記制御装置の応答を第１の通知として前記制御装置から取得した際、前記第１の通知が前記制御装置の正常を示す正常通知である場合に前記制御装置を異常と判定し、前記第１の通知が前記制御装置の異常を示す異常通知である場合に前記制御装置を正常と判定する第１の判定ステップと、
前記第１の判定ステップにより前記制御装置が正常と判定された場合、前記制御装置に対して、更に前記ルールに適合する第２の情報を送出する第２の送出ステップと、
前記第２の情報に対する前記制御装置の応答を第２の通知として前記制御装置から取得した際、前記第２の通知が前記正常通知である場合に、前記制御装置を正常と判定する第２の判定ステップと、
を含む処理をコンピュータに実行させるためのプログラム。
車両に搭載された制御装置と、前記制御装置と接続される判定装置と、が通信を行うことで前記制御装置の故障を判定する判定方法であって、
前記判定装置が前記制御装置に対して前記制御装置の診断を要求する要求ステップと、
前記要求ステップを受けて、前記制御装置が前記車両の走行に支障がない場合に前記診断を開始させる開始ステップと、
前記開始ステップの後に、前記判定装置から前記制御装置に向けて前記制御装置におけるファイヤーウォールのルールに適合しない第１の情報を送出する第１の送出ステップと、
前記第１の情報を受け付けた前記制御装置において、前記制御装置が正常か異常かを判定し、前記判定装置に対する応答を行う第１の応答ステップと、
前記判定装置において取得された、前記第１の応答ステップに対応する第１の通知が前記制御装置の正常を示す正常通知である場合に前記制御装置を異常と判定し、前記第１の通知が前記制御装置の異常を示す異常通知である場合に前記制御装置を正常と判定する第１の判定ステップと、
前記第１の判定ステップにより前記制御装置が正常と判定された場合、前記判定装置から前記制御装置に向けて、更に前記ルールに適合する第２の情報を送出する第２の送出ステップと、
前記第２の情報を受け付けた前記制御装置において、前記制御装置が正常か異常かを判定し、前記判定装置に対する応答を行う第２の応答ステップと、
前記判定装置において取得された、前記第２の応答ステップに対応する第２の通知が前記正常通知である場合に、前記制御装置を正常と判定する第２の判定ステップと、
を含む判定方法。