JP7160206B2 - セキュリティ装置、攻撃対応処理方法、コンピュータプログラム、及び記憶媒体 - Google Patents

Description

本発明は、セキュリティ装置、攻撃対応処理方法、コンピュータプログラム、及び記憶媒体に関する。

下記の特許文献１には、車両のネットワークに接続された複数の車両制御装置と、これら車両制御装置間の通信を管理するゲートウェイとを含んで構成された車載通信システムが開示されている。

上記車載通信システムにおいては、前記ゲートウェイが二重化され、対策テーブルが装備されている。この対策テーブルには、通信において発生し得る不具合現象と、その不具合現象が、ゲートウェイの故障に起因するのか、ゲートウェイに対するセキュリティ攻撃に起因するのかの原因の確認方法と、対応する対策方法とが規定されている。
前記車載通信システムは、前記ゲートウェイを介する通信において不具合現象が発生したことが検出された場合には、対策テーブルに規定された確認方法に基づいて、検出された不具合現象の原因を判断し、ゲートウェイの故障と、ゲートウェイに対するセキュリティ攻撃とを適切に区別し、それぞれの場合について適切に対策するように構成されている。

［発明が解決しようとする課題］
他方、セキュリティ攻撃と判断することができるまでの上記車載通信システムにおける危険度には種々の段階がある。

例えば、図１１に示したような状況でセキュリティ攻撃と判断することができた場合には、判断を下した時点で危険度はすでにかなり高くなってしまっている。
図１１に示した状況では、攻撃者は、セキュリティ攻撃と判断されるまでの、時間稼ぎ的・予備的攻撃を先に実施している。攻撃者は、まず、予備的攻撃としてＥＣＵ３をネットワークから切り離す。そうすると、通信路におけるトラフィックは、一旦減少する。その後、攻撃者は攻撃用の不正のＥＣＵをネットワークに接続し、この不正のＥＣＵから不正なメッセージの送信を開始する。
そうすると通信路におけるトラフィックは徐々に増加してゆく。不正メッセージ送信開始当初は、トラフィックは通常の水準よりも一旦低くなっており、このため、トラフィックの増加が異常検出閾値Ｔｈ１を超えるタイミングが通常より遅くなる。従って、攻撃の検知は遅くなる。このため、ゲートウェイＥＣＵにてトラフィックは監視されてはいるものの、攻撃を検知して通信を遮断するまでに時間を要し、長時間の攻撃に晒される結果、被害が大きくなる可能性が高くなってしまっている。

また、図１２に示したような状況でセキュリティ攻撃と判断された場合にも、判断を下した時点で危険度はすでに高くなってしまっている。
攻撃者は、まず、予備的な攻撃として、センサＥＣＵに電気的な攻撃を加え（例えば、車速パルスにノイズを印加し）、センサの出力値に改変を加える。続いて、攻撃のための不正のＥＣＵをネットワークに接続し、この不正のＥＣＵから不正な制御メッセージの送信を開始する。
ゲートウェイＥＣＵは、センサ値と制御メッセージとの整合性を判定しているが、センサ値は改変され、不正な制御メッセージの送信を受け、センサ値と制御メッセージとの整合性を正しく判定できない状態に陥る。その後、追加の攻撃を種々受けた結果、ようやく攻撃を検知できることとなり、例え攻撃を検知できたとしても、攻撃を検知できた時点では、危険度はすでに高まっており、被害が大きくなる可能性が高くなってしまっている。

特許文献１記載の上記車載通信システムにおいては、上記したような、予備的な攻撃までは察知しておらず、セキュリティ攻撃と判断が下された時点で、すでにシステムにおける危険度が高くなってしまっている状況は考慮されていない。従って、セキュリティ攻撃と判断が下された時点における攻撃による危険度の状況を把握した、危険度の状況に応じた適切な対応（セキュリティ対策）を取ることは不可能であるという課題があった。

特開２０１７－１５２７６２号公報

課題を解決するための手段及びその効果

本発明は上記課題に鑑みなされたものであって、機器ネットワークに対する潜在的な攻撃をも考慮し、これら攻撃の危険度の状況を把握し、危険度の状況に応じた適切な攻撃対応（セキュリティ対策）を迅速に実施することができるセキュリティ装置、攻撃対応処理方法、コンピュータプログラム、及び記憶媒体を提供することを目的としている。

上記目的を達成するために、本開示に係るセキュリティ装置（１）は、１以上の機器が通信路を介して接続された機器ネットワークに含まれるセキュリティ装置であって、
前記機器ネットワークに発生した異常に基づいて攻撃を検知する攻撃検知部と、
前記機器ネットワークに含まれる前記機器やセンサの状態に関する情報（以下、ネットワーク情報という）を取得するネットワーク情報取得部と、
前記ネットワーク情報に基づいて、前記機器ネットワークにおける現在の危険度を算出する危険度算出部と、
前記攻撃検知部において攻撃が検知された場合、前記危険度算出部において算出された前記危険度に基づいて、前記攻撃に対して実施すべき攻撃対応を決定する攻撃対応決定部と、
を備えていることを特徴としている。

上記セキュリティ装置（１）によれば、前記攻撃検知部において攻撃が検知された場合、前記危険度算出部において算出された前記危険度に基づいて、前記攻撃に対して実施すべき攻撃対応が決定されるので、危険度が高い場合には、より迅速にセキュリティレベルを上げた対応を実施することができ、他方、危険度が低い場合には、機能制限のレベルを下げた適切な条件で前記攻撃対応を迅速に実施することができる。
なお、前記通信路は、有線の通信路であってもよいし、無線の通信路であってもよいし、有線と無線とを含む通信路であってもよい。

また、本開示に係るセキュリティ装置（２）は、上記セキュリティ装置（１）において、
前記危険度算出部が、前記ネットワーク情報における危険要因毎に予め割り振られた点数を基に危険度を算出するものであることを特徴としている。
危険要因としては、例えば、ＥＣＵとの通信断絶、一時的な通信エラー検出、センサ値の異常、ハードウェア故障、などが挙げられ、それぞれの要因毎に予め危険度を考慮し、（２．０）、（０．１）などと点数を割り振っておく。

上記セキュリティ装置（２）によれば、適切な前記危険度を迅速に算出することができることとなり、従って、危険度の状況に応じた適切な攻撃対応を迅速に実施することができることとなる。

また、本開示に係るセキュリティ装置（３）は、上記セキュリティ装置（１）又は（２）において、
算出された前記危険度と、攻撃対応との関係を示すテーブル情報が記憶された実施条件記憶部を備え、
前記攻撃対応決定部が、
前記テーブル情報に基づいて、前記攻撃対応を決定するものであることを特徴としている。

上記セキュリティ装置（３）によれば、前記実施条件記憶部には、前記危険度と、攻撃対応との関係を示すテーブル情報が記憶されているので、前記攻撃対応決定部が前記テーブル情報を用いて攻撃対応を決定することで、算出された前記危険度に最適化された攻撃対応を迅速に決定することができ、攻撃対応の最適化・高速化を実現することができる。

また、本開示に係るセキュリティ装置（４）は、上記セキュリティ装置（１）～（３）のいずれかにおいて、
前記攻撃の種類と、前記危険度と、攻撃対応との関係を示すテーブル情報が記憶された実施条件記憶部を備え、
前記攻撃対応決定部が、
前記テーブル情報に基づいて、前記攻撃の種類及び算出された前記危険度情報の組み合わせ毎に前記攻撃対応を決定するものであることを特徴としている。

上記セキュリティ装置（４）によれば、前記実施条件記憶部には、前記攻撃の種類と、前記危険度と、攻撃対応との関係を示すテーブル情報が記憶されているので、前記攻撃対応決定部が前記テーブル情報を用いて攻撃対応を決定することで、前記攻撃の種類と、算出された前記危険度との組み合わせ毎に最適化された攻撃対応を迅速に決定することができ、攻撃対応の最適化・高速化を実現することができる。

例えば、前記攻撃の対象となった前記機器の状態が、危険度が高い状態である場合、前記テーブル情報を用いたレベルの高い攻撃対応を迅速に実行することで、前記攻撃による被害の拡大を速やかに阻止することができる。
また、前記攻撃の対象となった前記機器の状態が、危険度がさほど高くない状態である場合、前記テーブル情報を用いた、前記機器の機能が過剰に制限されることのない攻撃対応を実行することで、前記機器の利便性が損なわれることのない攻撃対応を実行することが可能となる。

また、本開示に係るセキュリティ装置（５）は、上記セキュリティ装置（１）～（４）のいずれかにおいて、
前記機器ネットワークに含まれる前記機器やセンサに対する攻撃危険度の状況に応じて、異常検出の閾値を変更するものであることを特徴としている。
例えば、危険度が高い場合の、異常検出の閾値を下げておけば、異常をより早く検出することが可能となり、攻撃をより早く検知して、攻撃に対する対応をより早い段階で実施することができることとなり、攻撃による被害を低減することができる。

上記セキュリティ装置（５）によれば、通信異常や制御異常を検出するのを早めることができ、攻撃に対する対応をより早い段階で実施することができ、攻撃による被害をより一層低減することが可能となる。

また、本開示に係るセキュリティ装置（６）は、上記セキュリティ装置（１）～（５）のいずれかにおいて、
前記機器が、車両に搭載される制御装置であり、
前記機器ネットワークが、車載ネットワークであることを特徴としている。

上記セキュリティ装置（６）によれば、１以上の前記制御装置が前記通信路を介して接続された前記車載ネットワークに対して攻撃を受けた場合、前記車両単体で、前記攻撃に対して、これら攻撃の危険度が考慮された適切な条件で前記攻撃対応を効率良く迅速に実行することができる。従って、前記車両のユーザは、セキュリティの脅威に対して不安を抱くことなく、より安心して乗車することが可能となる。

また、本開示に係るセキュリティ装置（７）は、上記セキュリティ装置（６）において、
前記制御装置には、前記車両の走行系制御装置、運転支援系制御装置、ボディ系制御装置、情報系制御装置、及び診断用コネクタ装置のうちの少なくとも１つが含まれていることを特徴としている。

上記セキュリティ装置（７）によれば、上記した制御装置のいずれかに対する攻撃が含まれている場合であっても、これら攻撃に対して、これら攻撃の危険度が考慮された適切な条件で前記攻撃対応を迅速に適確に実行することができる。

また、本開示に係るセキュリティ装置（８）は、上記セキュリティ装置（１）～（５）のいずれかにおいて、
前記機器が、ＦＡシステムを構成する産業機器であり、
前記機器ネットワークが、産業機器ネットワークであることを特徴としている。

上記セキュリティ装置（８）によれば、１以上の前記制御装置が前記通信路を介して接続された前記機器ネットワークに対して攻撃を受けた場合、前記産業機器単体で、前記攻撃に対して、これら攻撃の危険度が考慮された適切な条件で前記攻撃対応を効率良く迅速に実行することができる。従って、前記産業機器のユーザは、セキュリティの脅威に対して不安を抱くことなく、より安心して産業機器を使用することが可能となる。

また、本開示に係る攻撃対応処理方法（１）は、１以上の機器が通信路を介して接続された機器ネットワークに含まれる少なくとも１以上のコンピュータが実行する攻撃対応処理方法であって、
前記機器ネットワークの状態に関する情報を取得して前記機器ネットワークの現在の危険度を算出する危険度算出ステップと、
前記機器ネットワークに発生した異常状況に基づいて攻撃を検知する攻撃検知ステップと、
算出された前記危険度に基づいて、前記攻撃に対して実施すべき攻撃対応を決定する対応決定ステップと、
決定された前記攻撃対応を実施する対応実施ステップとを含んでいることを特徴としている。

上記攻撃対応処理方法（１）によれば、前記攻撃検知ステップにおいて攻撃が検知された場合、前記危険度算出ステップにおいて算出された前記危険度に基づいて、前記攻撃に対して実施すべき攻撃対応が決定されるので、危険度が高い場合には、セキュリティレベルを上げた対応を迅速に実施することができ、他方、危険度が低い場合には、機能制限のレベルを下げた適切な条件で前記攻撃対応を迅速に実施することができる。

また、本開示に係る攻撃対応処理方法（２）は、上記攻撃対応処理方法（１）において、
前記危険度算出ステップが、
通信異常情報を取得するステップと、
ハードウェア異常情報を取得するステップと、
センサ値の異常を判定し、センサ値異常情報を作成するステップと、
を含んで構成されていることを特徴としている。
上記攻撃対応処理方法（２）によれば、前記機器ネットワークに生じ得る危険を適確に把握することができ、前記危険度を高精度に適切に算出することが可能となる。

また、本開示に係る攻撃対応処理方法（３）は、上記攻撃対応処理方法（２）において、
さらに、各異常情報毎の点数を、予め作成された異常情報点数テーブルから取得するステップと、
取得した点数の合計値から危険度を算出するステップと、
を含んでいることを特徴としている。
上記攻撃対応処理方法（３）によれば、適切な前記危険度を迅速に算出することができることとなり、従って、危険度の状況に応じた適切な攻撃対応を迅速に実施することができることとなる。

また、本開示に係る攻撃対応処理方法（４）は、上記攻撃対応処理方法（１）～（３）のいずれかにおいて、
前記対応決定ステップが、
算出された危険度を取得するステップと、
予め作成された危険度と危険度に応じた対応が定義づけられたテーブルを呼び出すステップと、
算出された危険度から前記対応テーブルに基づいて対応を決定するステップと、
を含んでいることを特徴としている。

上記攻撃対応処理方法（４）によれば、適切な前記危険度を迅速に算出することができると共に、各危険度の状況に応じた最適な攻撃対応を迅速に実施することができることとなる。

また、本開示に係るコンピュータプログラム（１）は、上記攻撃対応処理方法（１）～（４）のいずれかに記載の各ステップを、前記機器ネットワークに含まれる少なくとも１以上のコンピュータに実行させることを特徴としている。

上記コンピュータプログラム（１）によれば、前記コンピュータに、適切な前記危険度を迅速に算出させることができ、前記危険度の状況に応じた最適な攻撃対応を迅速に実施させることができる。

上記コンピュータプログラムは、記憶媒体に保存されたコンピュータプログラムであってもよいし、通信ネットワークなどを介して転送可能なコンピュータプログラムであってもよい。

また、本開示に係るコンピュータプログラムが記憶されたコンピュータ読み取り可能な記憶媒体（１）は、上記攻撃対応処理方法（１）～（４）のいずれかに記載の各ステップを、前記機器ネットワークに含まれる少なくとも１以上のコンピュータに実行させるためのコンピュータプログラムが記憶されていることを特徴としている。

上記コンピュータプログラムが記憶されたコンピュータ読み取り可能な記憶媒体（１）によれば、前記コンピュータに、適切な前記危険度を迅速に算出させることができ、前記危険度の状況に応じた最適な攻撃対応を迅速に実施させることができる。

本開示の実施の形態に係るセキュリティ装置が適用された車載ネットワークシステムを示す概略ブロック図である。 実施の形態に係るゲートウェイＥＣＵの機能構成例を示すブロック図である。 実施の形態に係るゲートウェイＥＣＵを構成するセキュリティ制御部が行う処理動作を示す概略フローチャートである。 実施の形態に係るゲートウェイＥＣＵを構成するセキュリティ制御部が行う危険度算出処理動作を示すフローチャートである。 危険度算出部に記憶されている、テーブル情報の一例を説明するための図である。 実施の形態に係るゲートウェイＥＣＵを構成するセキュリティ制御部が行う攻撃対応処理動作を示すフローチャートである。 実施条件記憶部に記憶されている、攻撃対応情報テーブルの一例を説明するための図である。 別の実施の形態に係るゲートウェイＥＣＵの機能構成例を示すブロック図である。 さらに別の実施の形態に係るゲートウェイＥＣＵの機能構成例を示すブロック図である。 実施条件記憶部に記憶されている、攻撃対応情報テーブルの一例を説明するための図である。 セキュリティ攻撃により危険度がより高くなる状態の例を示す模式図である。 セキュリティ攻撃により危険度がより高くなる状態の別の例を示す模式図である。

以下、本発明に係るセキュリティ装置、攻撃対応処理方法、コンピュータプログラム、及び記憶媒体の実施の形態を図面に基づいて説明する。

［適用例］
図１は、実施の形態に係るセキュリティ装置が車載ネットワークシステムに適用された例を示す概略ブロック図である。

車載ネットワーク２は、車両１に搭載された通信ネットワークシステムであり、ＯＢＤII（On-board diagnostics II）４、走行系ＥＣＵ（Electronic Control Unit）群５、運転支援系ＥＣＵ群６、ボディ系ＥＣＵ群７、情報系ＥＣＵ群８、及びゲートウェイＥＣＵ１０を含んで構成されている。
本実施の形態における車載ネットワーク２は、ＣＡＮ（Controller Area Network）プロトコルに従って通信するネットワークとなっている。但し、車載ネットワーク２に、ＣＡＮ以外の他の通信規格を適用することももちろん可能である。
また、走行系ＥＣＵ群５、運転支援系ＥＣＵ群６、ボディ系ＥＣＵ群７、及び情報系ＥＣＵ群８（以下、これらをまとめてＥＣＵ群ともいう）は、車両１に搭載される制御装置の一例として挙げられており、さらに追加のＥＣＵ群があっても差し支えない。

ＯＢＤII４、走行系ＥＣＵ群５、運転支援系ＥＣＵ群６、ボディ系ＥＣＵ群７、及び情報系ＥＣＵ群８は、通信路であるバス３を介して、ゲートウェイＥＣＵ１０のＣＨ１、ＣＨ２、ＣＨ３、ＣＨ４、及びＣＨ５にそれぞれ接続されている。なお、ゲートウェイＥＣＵ１０の有するＣＨ数は、これら５つに限定されるものではない。
また、図１に示した例では、ＥＣＵ群が機能系統ごとにゲートウェイＥＣＵ１０に接続されたセントラルゲートウェイ方式となっているが、ゲートウェイＥＣＵ１０の接続方式は、この方式に限定されるものではなく、各ＥＣＵ群の間にゲートウェイＥＣＵ１０が接続された方式であってもよく、さらに他の方式であっても差し支えない。

ＯＢＤII４は、故障診断、又は保守等を行うための診断器又はスキャンツールなどが接続されるポートを備えた診断用コネクタ装置の一例として示されている。

走行系ＥＣＵ群５には、駆動系ＥＣＵと、シャーシ系ＥＣＵとが含まれている。駆動系ＥＣＵには、エンジン制御、モータ制御、燃料電池制御、EV（Electric Vehicle）制御、あるいはトランスミッション制御等の「走る」機能に関する制御ユニットが含まれている。シャーシ系ＥＣＵには、ブレーキ制御、又はステアリング制御等の「止まる、曲がる」機能に関する制御ユニットが含まれている。

運転支援系ＥＣＵ群６には、自動ブレーキ支援機能、車線維持支援機能（ＬＫＡ／Lane Keep Assistともいう）、定速走行・車間距離支援機能（ＡＣＣ／Adaptive Cruise Controlともいう）、前方衝突警告機能、車線逸脱警報機能、死角モニタリング機能、交通標識認識機能、ドライバモニタリング機能等、走行系ＥＣＵ群５などとの連携による自動安全性向上機能、又は快適運転実現機能（運転支援機能、又は自動運転機能）に関する制御ユニットが少なくとも１つ以上含まれている。

運転支援系ＥＣＵ群６には、例えば、米国自動車技術会（SAE）が提示している自動運転レベルにおけるレベル１（ドライバ支援）、レベル２（部分的自動運転）、及びレベル３（条件付自動運転）の機能が装備されていてもよい。さらに、自動運転レベルのレベル４（高度自動運転）、レベル５（完全自動運転）の機能が装備されていてもよい。

ボディ系ＥＣＵ群７には、ドアロック、スマートキー、パワーウィンドウ、エアコン、ライト、又はウィンカ等の車体の機能に関する制御ユニットが少なくとも１つ以上含まれている。

情報系ＥＣＵ群８には、インフォテイメント装置、テレマティクス装置、又はＩＴＳ（Intelligent Transport Systems）関連装置が含まれている。
インフォテイメント装置には、カーナビゲーション装置、あるいはオーディオ機器などが含まれ、テレマティクス装置には、携帯電話網等へ接続するための通信ユニットなどが含まれている。
ＩＴＳ関連装置には、ＥＴＣ（Electronic Toll Collection System）、又はＩＴＳスポットなどの路側機との路車間通信、若しくは車々間通信を行うための通信ユニットなどが含まれている。

また、外部インターフェースがゲートウェイＥＣＵ１０に接続されていてもよい。外部インターフェースには、例えば、Bluetooth（登録商標）、Wi-Fi（登録商標）、USB(Universal Serial Bus)ポート、又はメモリーカードスロットなどが含まれる。

ゲートウェイＥＣＵ１０は、車載ネットワーク２に含まれる各ＥＣＵ群との間で、ＣＡＮプロトコルに従ってフレーム（メッセージ）の授受を行う機能を有し、本実施の形態に係るセキュリティ装置として機能する。

走行系ＥＣＵ群５、運転支援系ＥＣＵ群６、ボディ系ＥＣＵ群７、及び情報系ＥＣＵ群８、及びゲートウェイＥＣＵ１０の各ＥＣＵは、１つ以上のプロセッサ、メモリ、及び通信モジュールなどを含むコンピュータ装置で構成されている。そして、各ＥＣＵに搭載されたプロセッサが、メモリに記憶されたプログラムを読み出し、プログラムを解釈し実行することで、各ＥＣＵで所定の制御が実行されるようになっている。

［機能構成例１］
図２は、実施の形態に係るゲートウェイＥＣＵ１０の機能構成例を示すブロック図である。
ゲートウェイＥＣＵ１０は、ゲートウェイ機能部１１と、セキュリティ制御部１２とを含んで構成されている。セキュリティ制御部１２に、本実施の形態に係るセキュリティ装置の機能が実装されている。
ゲートウェイＥＣＵ１０は、ハードウェアとして、プログラムが格納されるＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）などを含むメモリ、これらメモリからプログラムを読み出して実行するＣＰＵ（Central Processing Unit）などのプロセッサ、及び車載ネットワーク２に接続するための通信モジュールなどを含んで構成されている。

ゲートウェイ機能部１１は、各ＥＣＵ群とバス３を介してフレーム（メッセージ）を転送する制御を行う機能を備えており、例えば、図示しないフレーム送受信部、フレーム解釈部、及びフレーム変換部など、車載ネットワーク２の各ＥＣＵ群との間でＣＡＮプロトコルに従って相互通信するために必要な構成が含まれている。

ＣＡＮプロトコルにおけるフレームは、例えば、データフレーム、リモートフレーム、オーバーロードフレーム、及びエラーフレームを含んで構成されている。
データフレームは、ＳＯＦ（Start Of Frame）、ＩＤ、ＲＴＲ（Remote Transmission Request）、ＩＤＥ（Identifier Extension）、予約ビット、ＤＬＣ（Data Length Code）、データフィールド、ＣＲＣ（Cyclic Redundancy Check）シーケンス、ＣＲＣデリミタ（ＤＥＬ）、ＡＣＫ（Acknowledgement）スロット、ＡＣＫデリミタ（ＤＥＬ）、及びＥＯＦ（End Of Frame）の各フィールドを含んで構成されている。

セキュリティ制御部１２は、ネットワーク情報取得部２１、危険度算出部２２、攻撃検知部２３、攻撃対応決定部２４、対応実施部２５、実施条件記憶部３１を含んで構成されている。

セキュリティ制御部１２は、ハードウェアとして、上記各部で実行されるプログラムが格納されるＲＯＭ、ＲＡＭなどを含むメモリ、これらメモリからプログラムを読み出して実行するプロセッサなどを含んで構成され、これらハードウェアとプログラムとが協働することによって、上記各部の機能が実現されるようになっている。

ネットワーク情報取得部２１は、ゲートウェイＥＣＵ１０とバス３を介して接続された各ＥＣＵ群の状態に関するネットワーク情報を取得する処理を行う。これらネットワーク情報には、通信状況、各種センサ値の状況、ハードウェアの故障状況なども含まれ、換言すれば、車両１の状態に関するすべての情報が含まれている。ネットワーク情報取得部２１で取得された前記ネットワーク情報は危険度算出部２２に送出される。

危険度算出部２２は、ネットワーク情報取得部２１から送られてくるネットワーク情報に基づいて、現在のセキュリティ攻撃に関する危険度を算出する。
危険度算出部２２には、例えば、図５に示すような、危険度算出のための危険要因のテーブルが格納されており、この危険要因テーブルに基づいて、ネットワーク情報取得部２１から送られてくるネットワーク情報を元に危険度を算出するようになっている。

攻撃検知部２３は、ゲートウェイ機能部１１から取得したフレームに基づいて、車載ネットワーク２に発生した異常（フレーム異常、又はバス異常など）を検出し、検出された異常に対応する攻撃の種類を特定する処理を行う。また、攻撃検知部２３は、攻撃の種類が特定できなかった（例えば、未知の攻撃であった）場合に、検出された異常に対応する攻撃の種類を推定する処理も行う。攻撃検知部２３で特定又は推定された攻撃の情報が攻撃対応決定部２４に送出される。

フレーム異常は、例えば、フレームのＩＤ毎に設定されるＲＴＲ、ＤＬＣ、ペイロード、受信周期などのパラメータを確認することで検出される。フレーム異常は、ＣＡＮ信号単体での異常を表している。
また、バス異常は、例えば、ＣＨ１～ＣＨ５の各バス３のバス負荷率、バス状態（バスエラーの有無などの状態）、これらバス３に出現するＩＤなどのパラメータを確認することで検出される。バス異常は、ＣＡＮ信号の状況的な異常を表している。

攻撃の種類を特定する処理では、例えば、最初の異常を検出してから所定時間内に収集された異常のデータと、攻撃の種類ごとに予め保持されている異常検出パターン（複数の異常検出パラメータを含む）とを照合して、検出した異常に対応する攻撃の種類を特定する処理を行う。
また、攻撃の種別を推定する処理では、例えば、最初の異常を検出してから所定時間内に収集された異常のデータと、攻撃の種類ごとに予め保持されている攻撃推定パターン（複数の攻撃推定パラメータを含む）とを照合して、検出した異常に近い攻撃の種類を推定する処理を行う。

攻撃対応決定部２４に送出される攻撃情報は、例えば、ネットワーク情報取得部２１でネットワーク情報が収集され、危険度が算出された所定時間に対応する期間に取得された攻撃情報とすることができる。

攻撃対応決定部２４は、危険度算出部２２で算出された危険度と、実施条件記憶部３１に記憶されている対応情報とに基づいて、実施すべき攻撃対応を決定する処理を行う。攻撃対応決定部２４で決定された攻撃対応の情報が対応実施部２５に送出される。

実施条件記憶部３１には、危険度算出部２２で算出された危険度ごとに、実施すべき攻撃対応情報が記憶されている。
図７は、実施条件記憶部３１に記憶されている攻撃対応情報テーブルの一例を示した図である。
例えば、算出された危険度が０又は１の場合は、通信の遮断とログへの記録が攻撃対応として規定され、算出された危険度が２又は３の場合には、さらに、自動運転の停止などの機能縮退が攻撃対応として規定されている。
算出された危険度が９の場合は、危険度８までのすべての対応に加え、「車両が重大なセキュリティ攻撃を受けている虞があります。すぐに最寄りのディーラーで点検を受けてください」などの警告が表示される。

対応実施部２５は、攻撃対応決定部２４で決定された攻撃対応を実施する。

なお、ゲートウェイＥＣＵ１０が、攻撃を検知する構成は上記のものに限定されない。例えば、別の実施の形態では、攻撃検知部２３と同様の機能をクラウドコンピュータ上に設け、クラウドコンピュータ側で特定又は推定された攻撃情報を、外部の通信ネットワークを介した通信により取得する構成としてもよい。

［処理動作例］
図３は、実施の形態に係るゲートウェイＥＣＵ１０を構成するセキュリティ制御部１２が行う処理動作を示した概略フローチャートである。

まず、ステップＳ１では、セキュリティ制御部１２は、危険度算出処理を行う。この危険度算出処理の詳細は、図４のフローチャートに示されている。
危険度算出処理を終えると、次にステップＳ２に進み、ステップＳ２では、セキュリティ攻撃の検知処理を行う。

セキュリティ攻撃の検知処理は、ここでは特に限定されないが、例えば、上記したように、ゲートウェイ機能部１１から取得したフレームに基づいて、車載ネットワーク２に発生した異常（フレーム異常、又はバス異常など）を検出し、検出された異常に対応する攻撃の種類を特定する処理を行う。
また、攻撃の種類が特定できなかった（例えば、未知の攻撃であった）場合に、検出された異常に対応する攻撃の種類を推定する処理も行う。

フレーム異常は、例えば、フレームのＩＤ毎に設定されるＲＴＲ、ＤＬＣ、ペイロード、受信周期などのパラメータを確認することで検出される。フレーム異常は、ＣＡＮ信号単体での異常を表している。
また、バス異常は、例えば、ＣＨ１～ＣＨ５の各バス３のバス負荷率、バス状態（バスエラーの有無などの状態）、これらバス３に出現するＩＤなどのパラメータを確認することで検出される。バス異常は、ＣＡＮ信号の状況的な異常を表している。

攻撃の種類を特定する処理では、例えば、最初の異常が検出されてから所定時間内に収集された異常のデータと、攻撃の種類ごとに予め保持されている異常検出パターン（複数の異常検出パラメータを含む）とを照合し、検出された異常に対応する攻撃の種類を特定する処理を行う。
また、攻撃の種別を推定する処理では、例えば、最初の異常を検出してから所定時間内に収集された異常のデータと、攻撃の種類ごとに予め保持されている攻撃推定パターン（複数の攻撃推定パラメータを含む）とを照合し、検出された異常に近い攻撃の種類を推定する処理を行う。

セキュリティ攻撃の検知処理を終えると、次にステップＳ３に進み、ステップＳ３では、攻撃対応の決定処理を行う。
この攻撃対応決定処理の詳細は、図６のフローチャートに示されている。
攻撃対応の決定処理を終えると、次にステップＳ４に進み、ステップＳ４では、決定された攻撃対応を対応実施部２５に出力する処理を行う。

図４に示した危険度算出処理のフローを説明する。
まず、ステップＳ１１では、通信異常情報の取得を行う。各ＥＣＵ群との通信において、通信が途絶えたＥＣＵがあれば、それは攻撃を受けた結果か、あるいは真の攻撃の準備としての結果である確率が高く、危険度は高くなっている。かかる状況を、ステップＳ１１では検出する。

ステップＳ１１で、通信異常情報の取得を行うと、次に、ステップＳ１２に進み、ステップＳ１２では、ハードウェアにおける異常情報（ハードウェアの故障情報とは異なる）の取得を行う。ハードウェアに異常が発生していれば、それも攻撃により発生した確率が高く、前記通信異常よりも危険度は高くなっていると考えられる。

ステップＳ１２で、ハードウェアにおける異常情報の取得を行うと、次に、ステップＳ１３に進み、ステップＳ１３では、各センサ値の異常を判定し、センサ値の異常情報の作成を行う。

通常ではあり得ないようなセンサ値であれば、攻撃によるものと、すぐに攻撃検知部２３で判断できるが、すぐに攻撃とは判断できないような曖昧な数値によるセンサ値の異常であっても、実際には真の攻撃の準備的攻撃により発生している確率も高い。
ステップＳ１３では、このようなセンサ値の異常も取得判定し、各センサ値の異常情報を収集し、センサ値の異常情報の作成を行う。

ステップＳ１３で、各センサ値の異常を判定し、センサ値の異常情報の作成を行うと、次に、ステップＳ１４に進み、ステップＳ１４では、各異常情報毎の点数を取得する。
この点数は、例えば、図５に示したような、危険要因毎の危険度点数テーブルが危険度算出部２２に格納されており、この危険要因毎の危険度点数テーブルにアクセスし、このテーブルに基づいて、ネットワーク情報取得部２１から送られてくるすべてのネットワーク情報を元に危険度を算出する。

次に、ステップＳ１５に進み、ステップＳ１５では、各危険要因毎に検出された危険度点数を合計し、セキュリティ攻撃の危険度を算出する。

次に、図６に示した攻撃対応決定処理のフローを説明する。
まず、ステップＳ３１では、攻撃検知部２３において行われた、攻撃の検知結果を取得する。

攻撃検知部２３におけるセキュリティ攻撃の検知処理は、上記したように、ここでは特に限定されないが、例えば、ゲートウェイ機能部１１から取得したフレームに基づいて、車載ネットワーク２に発生した異常（フレーム異常、又はバス異常など）を検出し、検出された異常に対応する攻撃の種類を特定する処理を行う。
また、攻撃の種類が特定できなかった（例えば、未知の攻撃であった）場合に、検出された異常に対応する攻撃の種類を推定する処理も行う。

ステップＳ３１で、攻撃検知部２３において行われた、攻撃の検知結果を取得すると、次にステップＳ３２に進み、ステップＳ３２では、攻撃の検知結果に基づいて攻撃が検知されたか否かの判断がなされる。ステップＳ３２で攻撃がなかったと判断されると、次にステップＳ３３に進み、ステップＳ３３では、攻撃がなかった場合の対応が実施される。

他方、ステップＳ３２で攻撃有りと判断されると、次にステップＳ３４に進み、ステップＳ３４では、危険度算出部２２で算出された攻撃の危険度が取得される。

その後、ステップＳ３５に進み、ステップＳ３５では、実施条件記憶部３１に格納されている、図７に示したような、攻撃対応情報テーブルを実施条件記憶部３１から取得する。
攻撃対応情報テーブルには、上記したように、例えば、算出された危険度が０又は１の場合は、通信の遮断とログへの記録が攻撃対応として規定され、算出された危険度が２又は３の場合には、さらに、自動運転の停止などの機能縮退が攻撃対応として規定されている。
算出された危険度が９の場合は、危険度８までのすべての対応に加え、「車両が重大なセキュリティ攻撃を受けている虞があります。すぐに最寄りのディーラーで点検を受けてください」などの警告表示が規定されている。

ステップＳ３５で、攻撃対応情報テーブルを取得すると、その後、ステップＳ３６に進み、ステップＳ３６では、ステップＳ３４で取得したセキュリティ攻撃の危険度と、ステップＳ３５で取得した攻撃対応情報テーブルとを比較して危険度に応じた攻撃対応を決定する。

ステップＳ３６で攻撃対応の決定処理を終えると、上記したように、図３に示したステップＳ４に進み、ステップＳ４では、決定された攻撃対応を対応実施部２５に出力する処理が行われ、処理が終了する。

［作用・効果］
上記実施の形態に係るセキュリティ装置としてのゲートウェイＥＣＵ１０によれば、攻撃検知部２３において攻撃が検知された場合、危険度算出部２２において算出された危険度に基づいて、前記攻撃に対して実施すべき最適の攻撃対応が決定される。危険度が高い場合には、より迅速にセキュリティレベルを上げた対応を実施することができ、他方、危険度が低い場合には、機能制限のレベルを下げた適切な条件で前記攻撃対応を迅速に実施することができる。
また、危険度算出部２２が、前記ネットワーク情報における危険要因毎に予め割り振られた点数を基に危険度を算出するものであるので、適切な危険度を迅速に算出することができることとなり、従って、危険度の状況に応じた適切な攻撃対応を迅速に実施させることができることとなる。

［機能構成例２］
図８は、別の実施の形態に係るゲートウェイＥＣＵ１０Ａの機能構成例を示すブロック図である。

図８に示したゲートウェイＥＣＵ１０Ａが、図２に示したゲートウェイＥＣＵ１０と異なる点は、ゲートウェイＥＣＵ１０Ａでは、攻撃検知部２３で攻撃を検知する際の異常を検出する閾値を変更できる閾値変更部２６を備えている点である。この閾値変更部２６は、危険度算出部２２で算出された危険度に応じて異常を検出する閾値を変更する。

より具体的には、危険度算出部２２で算出された危険度が高い場合には、異常を検出する閾値を下げて、攻撃を早く検知できるようにする。
例えば、攻撃の危険度が高いと判断された場合には、図１１に示した、異常検出の閾値Ｔｈ１をＴｈ２に下げることにより、攻撃の検知を早める制御を実施する。

このように危険度が高い攻撃を早く検知できるようにすることにより、攻撃に対する対応をより早く実施できることとなり、セキュリティ攻撃による被害をより一層低減することが可能となる。

［機能構成例３］
図９は、さらに別の実施の形態に係るゲートウェイＥＣＵ１０Ｂの機能構成例を示すブロック図である。

図９に示したゲートウェイＥＣＵ１０Ｂが、図２に示したゲートウェイＥＣＵ１０と異なる点は、ゲートウェイＥＣＵ１０Ｂでは、実施条件記憶部３１Ｂに、図１０に示したような二次元的攻撃対応データベース・テーブルを備えている点である。

図１０に示した攻撃対応データベース・テーブルでは、攻撃の種類とセキュリティ攻撃の危険度との組合せ毎に攻撃対応が規定されており、（攻撃の種類）×（セキュリティ攻撃の危険度）の組合せ毎の攻撃対応二次元テーブルにより、攻撃の種類・危険度に即した、よりきめの細かい攻撃対応が決定されることとなる。

本実施の形態に係る攻撃検知部２３におけるセキュリティ攻撃の検知処理では、ゲートウェイ機能部１１から取得したフレームに基づいて、車載ネットワーク２に発生した異常（フレーム異常、又はバス異常など）を検出し、検出された異常に対応する攻撃の種類を特定する処理が行われることとなる。
また、攻撃の種類が特定できなかった（例えば、未知の攻撃であった）場合に、検出された異常に対応する攻撃の種類を推定する処理が行われることとなる。

［変形例］
以上、本発明の実施の形態を説明したが、上記説明はあらゆる点において本発明のほんの一例に過ぎない。本発明の範囲を逸脱することなく、種々の改良や変更を実施することができることは言うまでもない。

例えば、ゲートウェイＥＣＵ１０に実装されたセキュリティ制御部１２を、他のＥＣＵに搭載してもよいし、セキュリティ制御部１２が装備されたセキュリティＥＣＵを車載ネットワーク２に接続する構成としてもよい。

また、別の実施の形態に係るゲートウェイＥＣＵ１０では、セキュリティ制御部１２に、車載ネットワーク２に接続された情報系ＥＣＵ群８に含まれる報知装置を介して車内の乗員に、決定された攻撃対応に応じて、異常が発生したこと、攻撃が発生したことを報知したり、適切な運転操作、縮退運転の開始、継続、復帰、又は解除、異常発生後の対応などを報知したりする報知処理部が装備されていてもよい。

このような報知装置は、ナビゲーション装置、又はオーディオ機器などに適用され得る。係る構成によれば、前記報知処理部によって、前記報知装置を介して車内の乗員に異常などを報知することが可能となるので、乗員に、異常又は攻撃などに対して適切な対応を実施させることが可能となる。

また、さらに別の実施の形態に係るゲートウェイＥＣＵ１０では、セキュリティ制御部１２に、車載ネットワーク２に接続された情報系ＥＣＵ群８に含まれるテレマティクス装置、又はＩＴＳ関連装置を介して車外に、上記した異常の発生又は攻撃の発生などを通報する通報処理部が装備されていてもよい。
係る構成によれば、前記通報処理部によって、テレマティクス装置、又はＩＴＳ関連装置を介して車外に異常の発生又は攻撃の発生などを通報することが可能となる。したがって、例えば、周辺の他車、インフラ設備、ディーラー、メーカー、又は公的機関に、異常又は攻撃の発生などを知らせることができ、車外から異常又は攻撃に対して適切な対応を実施してもらうことも可能となる。

また、上記実施の形態では、車載ネットワーク２に接続されたゲートウェイＥＣＵ１０、１０Ａ、１０Ｂに本発明に係る技術思想が適用された例を説明した。車載ネットワーク２は、本発明に係る技術思想が適用される機器ネットワークの一例であり、他の機器ネットワーク、例えば、ＦＡ（Factory Automation）システムを構成する１以上の産業機器が通信路を介して接続された産業機器ネットワーク、家庭用機器が接続されたホーム機器ネットワーク、又は事務用機器が接続された事務機器ネットワークなどに含まれるセキュリティ装置にも本発明に係る技術思想は適用可能である。

上記のＦＡシステムには、例えば、各種物品の搬送システム、検査システム、ロボットを用いた組立システムなどが含まれる。また、制御装置には、プログラマブルコントローラ、モーション位置制御コントローラなどのコントローラ機器の他、各種のセンサ機器なども含まれる。
また、ＦＡシステムにおいて各種の制御装置を接続する通信路は、有線でもよいし、無線でもよい。
また、機器ネットワークにおける通信プロトコルはＣＡＮプロトコルに限定されない。前記通信プロトコルは、例えば、ＦＡシステムに用いられるＣＡＮＯｐｅｎ、又は他の派生的なプロトコルなどであってもよい。

本発明は、車載機器、又は産業用機器などの１以上の機器が通信路を介して接続された機器ネットワークに発生した攻撃に対する攻撃対応を実行するセキュリティ装置関連の産業分野において広く利用することができる。

［付記］
本発明の実施の形態は、以下の付記の様にも記載され得るが、これらに限定されない。
（付記１）
１以上のＥＣＵ群（５、６、７、８）がバス（３）を介して接続された車載ネットワーク（２）に含まれる少なくとも１以上のコンピュータが実行する攻撃対応処理方法であって、
車載ネットワーク（２）の状態に関する情報を取得して車載ネットワーク（２）の現在の危険度を算出する危険度算出ステップ（Ｓ１）と、
車載ネットワーク（２）に発生した異常状況に基づいて攻撃を検知する攻撃検知ステップ（Ｓ２）と、
算出された前記危険度に基づいて、前記攻撃に対して実施すべき攻撃対応を決定する対応決定ステップ（Ｓ３）と、
決定された前記攻撃対応を実施する対応実施ステップ（Ｓ４）とを、含んでいることを特徴とする攻撃対応処理方法。

１ 車両
２ 車載ネットワーク（機器ネットワーク）
３ バス
４ ＯＢＤII
５ 走行系ＥＣＵ群
６ 運転支援系ＥＣＵ群
７ ボディ系ＥＣＵ群
８ 情報系ＥＣＵ群
１０ ゲートウェイＥＣＵ（セキュリティ装置）
１１ ゲートウェイ機能部
１２ セキュリティ制御部
２１ ネットワーク情報取得部
２２ 危険度算出部
２３ 攻撃検知部
２４ 攻撃対応決定部
２５ 対応実施部
２６ 閾値変更部
３１ 実施条件記憶部

Claims (13)

1. １以上の機器が通信路を介して接続された機器ネットワークに含まれるセキュリティ装置であって、
   前記機器ネットワークに発生した異常に基づいて攻撃を検知する攻撃検知部と、
   前記機器ネットワークに含まれる前記機器やセンサの状態に関する情報（以下、ネットワーク情報という）を取得するネットワーク情報取得部と、
   前記ネットワーク情報に基づいて、前記機器ネットワークにおける現在の危険度を算出する危険度算出部と、
   前記攻撃検知部において攻撃が検知された場合、算出された前記危険度情報に基づいて、前記攻撃に対して実施すべき攻撃対応を決定する攻撃対応決定部と、
   算出された前記危険度と、攻撃対応との関係を示すテーブル情報が記憶された実施条件記憶部と、を備え、
   前記テーブル情報は、攻撃の種類とセキュリティ攻撃の危険度との組合せ毎に攻撃対応が規定されており、
   前記テーブル情報に基づいて、（攻撃の種類）×（セキュリティ攻撃の危険度）の組合せ毎の攻撃対応二次元テーブルにより、攻撃の種類・危険度に即した前記攻撃対応を決定する、
   セキュリティ装置。
2. 前記危険度算出部が、前記ネットワーク情報における危険要因毎に予め割り振られた点数を基に危険度を算出するものであることを特徴とする請求項１記載のセキュリティ装置。
3. 前記攻撃の種類と、前記危険度と、攻撃対応との関係を示すテーブル情報が記憶された実施条件記憶部を備え、
   前記攻撃対応決定部が、
   前記テーブル情報に基づいて、前記攻撃の種類及び算出された前記危険度情報の組み合わせ毎に前記攻撃対応を決定するものであることを特徴とする請求項１又は請求項２記載のセキュリティ装置。
4. 前記機器ネットワークに含まれる前記機器やセンサに対する攻撃危険度の状況に応じて、異常検出の閾値を変更するものであることを特徴とする請求項１～３のいずれかの項に記載のセキュリティ装置。
5. 前記機器が、車両に搭載される制御装置であり、
   前記機器ネットワークが、車載ネットワークであることを特徴とする請求項１～４のいずれかの項に記載のセキュリティ装置。
6. 前記制御装置には、
   前記車両の走行系制御装置、運転支援系制御装置、ボディ系制御装置、情報系制御装置、及び診断用コネクタ装置のうちの少なくとも１つが含まれていることを特徴とする請求項５記載のセキュリティ装置。
7. 前記機器が、ＦＡシステムを構成する産業機器であり、
   前記機器ネットワークが、産業機器ネットワークであることを特徴とする請求項１～４のいずれかの項に記載のセキュリティ装置。
8. １以上の機器が通信路を介して接続された機器ネットワークに含まれる少なくとも１以上のコンピュータが実行する攻撃対応処理方法であって、
   前記機器ネットワークの状態に関する情報を取得して前記機器ネットワークの現在の危険度を算出する危険度算出ステップと、
   前記機器ネットワークに発生した異常状況に基づいて攻撃を検知する攻撃検知ステップと、
   予め記憶された、算出された前記危険度と攻撃対応との関係を示すとともに、攻撃の種類とセキュリティ攻撃の危険度との組合せ毎に攻撃対応が規定されたテーブル情報に基づいて、（攻撃の種類）×（セキュリティ攻撃の危険度）の組合せ毎の攻撃対応二次元テーブルにより、攻撃の種類・危険度に即した、前記攻撃に対して実施すべき攻撃対応を決定する対応決定ステップと、
   決定された前記攻撃対応を実施する対応実施ステップとを含んでいることを特徴とする攻撃対応処理方法。
9. 前記危険度算出ステップが、
   通信異常情報を取得するステップと、
   ハードウェア異常情報を取得するステップと、
   センサ値の異常を判定し、センサ値異常情報を作成するステップと、
   を含んでいることを特徴とする請求項８記載の攻撃対応処理方法。
10. さらに、各異常情報毎の点数を、予め作成された異常情報点数テーブルから取得するステップと、
    取得した点数の合計値から危険度を算出するステップと、
    を含んでいることを特徴とする請求項８又は請求項９記載の攻撃対応処理方法。
11. 前記対応決定ステップが、
    算出された危険度を取得するステップと、
    予め作成された危険度と該危険度に応じた対応が定義づけられたテーブルを呼び出すステップと、
    算出された前記危険度から前記テーブル情報に基づいて対応を決定するステップと、
    を含んでいることを特徴とする請求項８～１０のいずれかの項に記載の攻撃対応処理方法。
12. 請求項８～１１のいずれかの項に記載の攻撃対応処理方法の各ステップを、前記機器ネットワークに含まれる少なくとも１以上のコンピュータに実行させるためのコンピュータプログラム。
13. 請求項８～１１のいずれかの項に記載の攻撃対応処理方法の各ステップを、前記機器ネットワークに含まれる少なくとも１以上のコンピュータに実行させるためのコンピュータプログラムが記憶されたコンピュータ読み取り可能な記憶媒体。

Images