JP7251685B2 - 車載コンピュータ、コンピュータプログラム、コンピュータ読み取り可能な記録媒体、及びセキュリティ設定方法 - Google Patents

Description

本発明は、車載コンピュータ、コンピュータプログラム、コンピュータ読み取り可能な記録媒体、及びセキュリティ設定方法に関する。

自動車に備わる車載コンピュータシステムが知られている（例えば、特許文献１）。特許文献１に記載の車載コンピュータシステムは、マスタＥＣＵと複数のエンドＥＣＵとが制御用ネットワークに接続されて構成されている。マスタＥＣＵは、ゲートウェイ機能を有し、主ゲートウェイとして、車載コンピュータシステムの内部と外部の間の通信を監視する。

特開２０１８－１４７７０号公報

特許文献１に記載の車載コンピュータシステムでは、マスタＥＣＵは、データに応じてセキュリティレベルを調整できない。そのため、車載コンピュータシステムのセキュリティを向上させるために、セキュリティレベルが上げられた場合、データの異常を検知する異常検知処理に要する時間はどのデータに対しても増大し、その結果、車載コンピュータシステム全体としての処理時間が増大する、という問題がある。

本発明が解決しようとする課題は、車載コンピュータシステムのセキュリティを確保しつつ、車載コンピュータシステム全体としての処理時間を低減できる車載コンピュータ、コンピュータプログラム、コンピュータ読み取り可能な記録媒体、及びセキュリティ設定方法を提供することである。

本発明は、通信インターフェースを介して車両の外部から入力されたデータのデータ情報に基づき、データにより異常が生じたときのリスクを評価し、評価されたリスクに基づき、データに対するセキュリティ強度を調整し、調整されたセキュリティ強度でデータに対するセキュリティを設定することで、上記課題を解決する。

本発明によれば、リスクに基づくセキュリティ強度の調整によって、異常検知処理に要する時間をデータごとに変えることができるため、車載コンピュータシステムのセキュリティを確保しつつ、車載コンピュータシステム全体としての処理時間を低減させることができる。

本実施形態に係る車載コンピュータシステムのブロック図である。 通信モジュールがデータを受信してから、車載コンピュータ内の車両制御用アプリケーションで処理が開始されるまでの様子を示す説明図である。 通信モジュールがデータを受信してから、車両制御用ＥＣＵ内の車両制御用アプリケーションで処理が開始されるまでの様子を示す説明図である。

以下、本発明の実施形態を図面に基づいて説明する。
本実施形態では、本発明に係る車載コンピュータ、コンピュータプログラム、コンピュータ読み取り可能な記録媒体、及びセキュリティ設定方法を、車載コンピュータシステムに適用した例を用いて説明する。

図１は、車両に搭載された車載コンピュータシステム１のブロック図である。車載コンピュータシステム１を搭載する車両としては、例えば、電気自動車、ハイブリッド自動車、ガソリン自動車などが挙げられる。車載コンピュータシステム１を搭載する車両の種別は特に限定されない。また本実施形態では、車両のドライバによる運転を支援する態様により、又は完全に自動的な方法により、車両の駆動装置を制御する自律走行制御機能を備えた車両を例に挙げて説明する。なお、本発明に係る車載コンピュータが、自律走行制御機能を備えた車両に搭載されることに限定するものではない。

図１に示すように、車載コンピュータシステム１は、通信モジュール１０、車両制御用ＥＣＵ３１～車両制御用ＥＣＵ３４、及び車載コンピュータ１００を含む。ＥＣＵとは、Electronic Control Unitの略称である。図１に示す各装置は相互に情報の送受信を行うために、例えばＣＡＮ（Controller Area Network）その他の車載ネットワーク（イーサネット（登録商標）など）によって接続されている。なお、車載コンピュータシステム１において、車載ネットワークの種別やその数は特に限定されない。例えば、車載コンピュータシステム１は、複数種類の車載ネットワークによって各装置間が接続されていてもよい。

通信モジュール１０は、車両の外部との間で無線によりデータを送受信する無線通信機能を備えた機器である。通信モジュール１０としては、例えば、テレマティクスコントロールユニット（TCU：Telematics Control Unit）が挙げられる。通信モジュール１０は、無線通信機能により、例えば、４Ｇ／ＬＴＥ、Ｗｉｆｉ（登録商標）等の通信規格を利用して、インターネットに接続し、車両の外部に設けられたサーバやシステムとの間で様々なデータの送受信を行う。

通信モジュール１０は、サーバやシステムからデータを受信すると、受信したデータを車載コンピュータ１００に出力する。通信モジュール１０が受信するデータとしては、例えば、車載用オペレーションシステムをアップデートするためのプログラム、ＥＣＵのアプリケーションをアップデートするためのプログラム、ナビゲーションシステムで用いられる更新された地図情報、車両の乗員に向けた案内情報などが挙げられる。なお、上記データは一例であって、通信モジュール１０が受信するデータを限定するものではない。

一方、車両に搭載された各種ＥＣＵやシステムから、車載コンピュータ１００を介して通信モジュール１０にデータが入力されると、通信モジュール１０は、入力されたデータをサーバやシステムに送信する。通信モジュール１０が送信するデータとしては、例えば、データの受領確認を示す情報、アップデートが完了したことを示す情報、車両の乗員がヒューマンインターフェースを介して入力した情報などが挙げられる。上記データは一例であって、通信モジュール１０が送信するデータを限定するものではない。

車両制御用ＥＣＵ３１～車両制御用ＥＣＵ３４は、車両を制御するためのＥＣＵである。各車両制御用ＥＣＵは、車両を制御するためのプログラムを格納したＲＯＭ（Read Only Memory）と、このＲＯＭに格納されたプログラムを実行するＣＰＵ（Central Processing Unit）と、アクセス可能な記憶装置として機能するＲＡＭ（Random Access Memory）とから構成されるコンピュータである。

車両制御用ＥＣＵ３１～車両制御用ＥＣＵ３４が有する機能としては、例えば、車両の駆動源を制御する駆動源制御機能、車両のブレーキ動作を制御するブレーキ制御機能、車両の操舵を制御する操舵制御機能、車両の乗員に音声で経路案内するナビゲーション機能、音楽や動画などのマルチメディア再生機能、車両の外部にいる人間と車両の乗員とが音声で対話する音声通信機能などが挙げられる。なお、図１では、車両制御用ＥＣＵとして４つのＥＣＵを示しているが、車載コンピュータシステム１が備える車両制御用ＥＣＵの数は図１に示す数に限定されない。車載コンピュータシステム１は、図１に示す数よりも少ない数の車両制御用ＥＣＵ、又は図１に示す数よりも多い車両制御用ＥＣＵを備えていてもよい。

図１に示すように、車両制御用ＥＣＵ３１が実行するプログラムには、車両制御用アプリケーション３５が含まれる。車両制御用ＥＣＵ３１は、車両制御用アプリケーション３５を実行することで、車両制御用ＥＣＵ３１が有する機能を実現する。車両制御用ＥＣＵ３２と車両制御用アプリケーション３６、車両制御用ＥＣＵ３３と車両制御用アプリケーション３７、及び車両制御用ＥＣＵ３４と車両制御用アプリケーション３８については、車両制御用ＥＣＵ３１と車両制御用アプリケーション３５の関係と同様であるため、車両制御用ＥＣＵ３１での説明を援用する。なお、各ＥＣＵが実行するプログラムは、図１に示すアプリケーションに限定されず、図１に示すアプリケーションに加えて、その他のアプリケーションを実行してもよい。

また図１に示すように、車両制御用アプリケーション３５～車両制御用アプリケーション３８は、ＡＳＩＬでのランクが付されている。図１の例では、車両制御用アプリケーション３５は、ＡＳＩＬ－Ａに予めランク付けされ、車両制御用アプリケーション３６は、ＡＳＩＬ－Ｂに予めランク付けされ、車両制御用アプリケーション３７は、ＡＳＩＬ－Ｃに予めランク付けされ、車両制御用アプリケーション３８は、ＡＳＩＬ－Ｄに予めランク付けされている。

ここで、ＡＳＩＬとは、Automotive Safety Integrity Levelの略称であり、車両の機能安全について規格されたＩＥＣ６１５０８／ＩＳＯ２６２６に規定されている、自動車の安全要求と安全対策を指定する指標である。車両制御用アプリケーション３５～車両制御用アプリケーション３８は、当該指標に基づいて生成されたアプリケーションのうち、安全性の基準が高いアプリケーションを示している。ＡＳＩＬには４段階の安全性レベルが規定されており、安全性の基準が高い順に、ＡＳＩＬ－Ｄ、ＡＳＩＬ－Ｃ、ＡＳＩＬ－Ｂ、ＡＳＩＬ－Ａとなっている。つまり、図１の例では、安全性の基準が高い順に、車両制御用アプリケーション３８、車両制御用アプリケーション３７、車両制御用アプリケーション３６、車両制御用アプリケーション３５となっている。

またＡＳＩＬのランクは、３つの項目と項目ごとの変数に応じて定められる。ＡＳＩＬのランクを定めるための３つの項目とは、車両の乗員に与える影響度を示す「重大度」、車両が危険分子又は危険因子に遭遇する頻度を示す「曝露確率」、車両のドライバによる危険回避の難易度を示す「制御可能性」である。また各項目はさらに変数により細分化される。「重大度」は４段階の変数に分類され、「曝露確率」は５段階の変数に分類され、「制御可能性」は４段階の変数に分類される。ＡＳＩＬのランクは、項目ごとの変数の大きさに応じて設定されている。例えば、「重大度」が最上位段階の変数、「曝露確率」が最上位段階の変数、及び「制御可能性」が最上位段階の変数の組み合わせの場合、ＡＳＩＬ－Ｄに分類される。

車載コンピュータ１００は、データのセキュリティに関する処理及び車両制御用アプリケーションを実行するためのプログラムを格納したＲＯＭ（Read Only Memory）と、このＲＯＭに格納されたプログラムを実行するＣＰＵ（Central Processing Unit）と、アクセス可能な記憶装置として機能するＲＡＭ（Random Access Memory）とから構成される。なお、動作回路としては、ＣＰＵに代えて又はこれとともに、ＭＰＵ（Micro Processing Unit）、ＤＳＰ（Digital Signal Processor）、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field Programmable Gate Array）などを用いることができる。以降では、車載コンピュータ１００が実行するプログラムは、ＲＯＭに格納されたプログラムとして説明するが、プログラムの格納場所は車載コンピュータ１００の外部であってもよい。例えば、車載コンピュータ１００が実行するプログラムは、コンピュータが読み取り可能な記録媒体に格納されていてもよい。この場合、当該記録媒体と車載コンピュータ１００とを所定の規格を用いて接続することで、車載コンピュータ１００は、記録媒体に記録されたプログラムを実行することができる。

図１に示すように、車載コンピュータ１００は、セキュリティに関する処理を行うセキュリティ処理部２０と、車両制御用アプリケーション２５～車両制御用アプリケーション２８とを含み、これらのブロックは、ＲＯＭに記憶されたプログラムによって、後述する各機能を実現する。

車両制御用アプリケーション２５～車両制御用アプリケーション２８は、車載コンピュータ１００が実行する、車両を制御するためのプログラムである。車両制御用アプリケーション３５～車両制御用アプリケーション３８と同様に、車両制御用アプリケーション２５～車両制御用アプリケーション２８もＡＳＩＬでのランクが付されている。図１の例では、車両制御用アプリケーション２５は、ＡＳＩＬ－Ａに予めランク付けされ、車両制御用アプリケーション２６は、ＡＳＩＬ－Ｂに予めランク付けされ、車両制御用アプリケーション２７は、ＡＳＩＬ－Ｃに予めランク付けされ、車両制御用アプリケーション２８は、ＡＳＩＬ－Ｄに予めランク付けされている。ＡＳＩＬに関する説明は、車両制御用ＥＣＵ３１～車両制御用ＥＣＵ３４を用いたときの説明を援用する。なお、図１では、車載コンピュータ１００が実行する車両制御用アプリケーションとして４つの車両制御用アプリケーションを示しているが、車載コンピュータ１００が実行する車両制御用アプリケーションの数は図１に示す数に限定されない。車載コンピュータ１００は、図１に示す数よりも少ない数の車両制御用アプリケーション（車両制御用アプリケーションが存在しない場合も含む）、又は図１に示す数よりも多い車両制御用アプリケーションを実行してもよい。

セキュリティ処理部２０について説明する。セキュリティ処理部２０は、車載コンピュータシステム１と車両の外部にあるサーバ又はシステムとの間の通信を監視する。セキュリティ処理部２０は、通信モジュール１０を介して車載コンピュータシステム１に入力されるデータと、通信モジュール１０を介して車載コンピュータシステム１から出力されるデータについて監視する。図１に示すように、セキュリティ処理部２０は、リスク評価部２１、セキュリティ強度調整部２２、セキュリティ設定部２３、及びゲートウェイ部２４を含む。各ブロックが実現する機能について説明する。

リスク評価部２１には、車両の外部から、通信モジュール１０を介してデータが入力される。リスク評価部２１は、入力データのデータ情報に基づき、当該データにより異常が生じたときのリスクを評価する。以降、便宜上、通信モジュール１０からリスク評価部２１に入力されるデータを入力データと称し、入力データにより異常が生じたときのリスクを異常発生リスクと称して説明する。

異常発生リスクとは、入力データが原因で、入力データを処理するためのハードウェア又はソフトウェアに異常が発生し、発生した異常が車両又は車両の乗員に対して与える悪影響の程度の高さである。入力データが原因でハードウェア又はソフトウェアに異常が発生する場合は、入力データが偶発的に発生したデータ化けを含んでいたため、ハードウェア又はソフトウェアに異常が発生する場合と、入力データがウィルスやスパイウェアなど、外部からの攻撃を意図したデータのため、ハードウェア又はソフトウェアに異常が発生する場合とを含む。上記の説明におけるハードウェアとしては、図１に示す車両制御用ＥＣＵ３１～車両制御用ＥＣＵ３４が挙げられる。また上記の説明におけるソフトウェアとしては、図１に示す車両制御用アプリケーション２５～車両制御用アプリケーション２８、及び車両制御用アプリケーション３５～車両制御用アプリケーション３８が挙げられる。

入力データのデータ情報とは、入力データが処理される予定の車両制御用アプリケーションの種別情報である。具体的には、入力データが処理される予定の車両制御用アプリケーションに付されたＡＳＩＬのランクである。

リスク評価部２１は、入力データから、入力データが処理される予定の車両制御用アプリケーションを特定するとともに、特定した車両制御用アプリケーションに付されたＡＳＩＬのランクを特定する。リスク評価部２１は、ＡＳＩＬのランクに応じて、入力データによる異常発生リスクを評価する。例えば、リスク評価部２１は、特定した車両制御用アプリケーションに付されたＡＳＩＬのランクがＡＳＩＬ－Ａの場合、ＡＳＩＬ－Ｂ、ＡＳＩＬ－Ｃ、又はＡＳＩＬ－Ｄの場合に比べて、入力データによる異常発生リスクを低く評価する。また例えば、リスク評価部２１は、特定した車両制御用アプリケーションに付されたＡＳＩＬのランクがＡＳＩＬ－Ｂの場合、ＡＳＩＬ－Ａの場合に比べて、入力データによる異常発生リスクを高く評価しつつ、ＡＳＩＬ－Ｃ、又はＡＳＩＬ－Ｄの場合に比べて、入力データによる異常発生リスクを低く評価する。また例えば、リスク評価部２１は、特定した車両制御用アプリケーションに付されたＡＳＩＬのランクがＡＳＩＬ－Ｃの場合、ＡＳＩＬ－Ａ又はＡＳＩＬ－Ｂの場合に比べて、入力データによる異常発生リスクを高く評価しつつ、ＡＳＩＬ－Ｄの場合に比べて、入力データによる異常発生リスクを低く評価する。また例えば、リスク評価部２１は、特定した車両制御用アプリケーションに付されたＡＳＩＬのランクがＡＳＩＬ－Ｄの場合、ＡＳＩＬ－Ａ、ＡＳＩＬ－Ｂ、又はＡＳＩＬ－Ｃの場合に比べて、入力データによる異常発生リスクを高く評価する。異常発生リスクが高いほど、ハードウェア又はソフトウェアで発生した異常が車両又は車両の乗員に対して与える悪影響の程度は高くなる。

セキュリティ強度調整部２２は、リスク評価部２１により評価された異常発生リスクに基づき、入力データに対するセキュリティ強度を調整する。セキュリティ強度調整部２２は、入力データによる異常発生リスクが高いほど、入力データに対するセキュリティ強度を強く設定する。図１の例を用いると、セキュリティ強度調整部２２は、ＡＳＩＬ－Ａとしてランク付けされた車両制御用アプリケーション２５で処理される入力データに対するセキュリティ強度よりも、ＡＳＩＬ－Ｄとしてランク付けされた車両制御用アプリケーション２８で処理される入力データに対するセキュリティ強度を強く設定する。

入力データに対するセキュリティ強度は、複数のパラメータによって定義することができる。データの異常を検知する異常検知処理に要する時間によって、セキュリティ強度を定義してもよい。例えば、セキュリティ強度が強い場合、セキュリティ強度が弱い場合に比べて、異常検知処理に要する時間はより長くなる。またデータの異常を検知する異常検知方法の数によって、セキュリティ強度を定義してもよい。例えば、セキュリティ強度が強い場合、セキュリティ強度が弱い場合に比べて、より多くの異常検知方法が用いられる。またデータのうち異常を検知する対象範囲を示す異常検知対象範囲の広さによって、セキュリティ強度を定義してもよい。例えば、セキュリティ強度が強い場合、データのうち主要部分及びそれ以外の部分を対象にして異常の検知が行われ、セキュリティ強度が弱い場合、データのうち主要部分のみを対象にして異常の検知が行われる。

セキュリティ設定部２３は、セキュリティ強度調整部２２により調整されたセキュリティ強度で入力データに対するセキュリティを設定する。セキュリティ設定部２３によるセキュリティの設定では、入力データの異常検知方法は特に限定されない。

セキュリティ設定部２３は、セキュリティ強度調整部２２により調整されたセキュリティ強度に応じて、ファイヤーウォールの段数、入力データのうちファイヤーウォールにより異常を検知する対象範囲、及び異常検知方法のうち少なくとも何れか一つを設定する。例えば、セキュリティ設定部２３は、セキュリティ強度調整部２２により調整されたセキュリティ強度に応じて、入力データを通過させるファイヤーウォールの設定を行う。例えば、セキュリティ設定部２３は、セキュリティ強度に応じて、ファイヤーウォールの段数を設定する。セキュリティ設定部２３は、セキュリティ強度が強いほど、ファイヤーウォールの段数を増やす。また例えば、セキュリティ設定部２３は、セキュリティ強度に応じて、入力データのうちファイヤーウォールにより異常を検知する対象範囲を設定してもよい。セキュリティ設定部２３は、セキュリティ強度が強いほど、入力データのうちファイヤーウォールにより異常を検知する対象範囲を広く設定してもよい。また例えば、セキュリティ設定部２３は、セキュリティ強度に応じて、異常検知方法を設定してもよい。セキュリティ設定部２３は、セキュリティ強度が所定の強度よりも低い場合、異常検知方法をファイヤーウォールに設定し、セキュリティ強度が所定の強度よりも高い場合、異常検知方法を、ファイヤーウォールと、ＩＤＳ（Instruction Detection System）又はＩＰＳ（Instruction Prevention System）に設定してもよい。なお、所定の強度とは、異常検知方法を設定するために予め設定されたセキュリティ強度である。

ゲートウェイ部２４には、入力データの異常を検知するための複数のファイヤーウォールがインストールされている。ゲートウェイ部２４は、ファイヤーウォールを用いて入力データの異常を検知する異常検知機能と、入力データを車両制御用アプリケーション又は車両制御用ＥＣＵに転送する転送機能とを備えている。

ゲートウェイ部２４は、異常検知機能により、セキュリティ設定部２３により設定された内容にて、入力データに対する異常検知処理を実行する。例えば、ゲートウェイ部２４は、セキュリティ設定部２３により設定されたファイヤーウォールの段数だけ入力データを通過させる処理を実行する。そして、ゲートウェイ部２４は、入力データに異常が検知されなかった場合、転送機能により、入力データを、当該入力データを処理する予定の車両制御用アプリケーション又は車両制御用ＥＣＵに転送する。なお、異常検知処理にて異常が検知された場合の処理については特に限定されず、例えば、ゲートウェイ部２４は、異常が検知されたことを示す情報を、ヒューマンインターフェースを制御するためのＥＣＵに出力する。この場合、入力データに異常が検知されたことを示す情報は、当該ＥＣＵによって、車両の乗員に提示される。

図２は、通信モジュール１０がデータを受信してから、車載コンピュータ１００内の車両制御アプリケーションで処理が開始されるまでの様子を示す説明図である。図２に示す通信モジュール１０、セキュリティ処理部２０、車両制御用アプリケーション２５、及び車両制御用アプリケーション２８のそれぞれは、図１に示すブロック図に対応している。図２は、比較目的のために、通信モジュール１０がデータＡを受信してから、車両制御用アプリケーション２５がデータＡを用いて処理を開始するまでと、通信モジュール１０がデータＢを受信してから、車両制御用アプリケーション２８がデータＢを用いて処理されるまでとを示している。なお、以降では、データＡ及びデータＢの送信元を車両の外部にあるサーバとして説明するが、データＡ及びデータＢの送信元を限定するものではない。

サーバからデータＡが送信されると、通信モジュール１０はデータＡを受信し、受信したデータＡを車載コンピュータ１００に出力する。データＡは、車載コンピュータ１００のセキュリティ処理部２０に入力される。

セキュリティ処理部２０は、所定の特定方法を用いて、データＡから、データＡが車両制御用アプリケーション２５で処理される予定であり、車両制御用アプリケーション２５に付されたランクがＡＳＩＬ－Ａであることを特定する。セキュリティ処理部２０は、データＡによる異常発生リスクとして、ＡＳＩＬ－Ａの指標に基づく評価を行う。セキュリティ処理部２０は、ＡＳＩＬ－Ａに対応したセキュリティ強度でのセキュリティとして、ファイヤーウォールの段数を１段に設定する。セキュリティ処理部２０は、データＡを１段のファイヤーウォールに通過させ、データＡに異常が検知されるか否かを判定する。セキュリティ処理部２０は、データＡに異常が検知されない場合、車載コンピュータ１００により実行される車両制御用アプリケーション２５にデータＡを転送する。車両制御用アプリケーション２５は、データＡを用いた処理が可能な状態となり、データＡを用いた処理を開始する。

一方、サーバからデータＢが送信されると、通信モジュール１０はデータＢを受信し、受信したデータＢを車載コンピュータ１００に出力する。データＢは、車載コンピュータ１００のセキュリティ処理部２０に入力される。

セキュリティ処理部２０は、所定の特定方法を用いて、データＢから、データＢが車両制御用アプリケーション２８で処理される予定であり、車両制御用アプリケーション２８に付されたランクがＡＳＩＬ－Ｄであることを特定する。セキュリティ処理部２０は、データＢによる異常発生リスクとして、ＡＳＩＬ－Ｄの指標に基づく評価を行う。セキュリティ処理部２０は、ＡＳＩＬ－Ｄに対応したセキュリティ強度でのセキュリティとして、ファイヤーウォールの段数を４段に設定する。セキュリティ処理部２０は、データＢを４段のファイヤーウォールに通過させ、データＢに異常が検知されるか否かを判定する。セキュリティ処理部２０は、データＢに異常が検知されない場合、車載コンピュータ１００により実行される車両制御用アプリケーション２８にデータＢを転送する。車両制御用アプリケーション２８は、データＢを用いた処理が可能な状態となり、データＢを用いた処理を開始する。

図３は、通信モジュール１０がデータを受信してから、車両制御用ＥＣＵ内の車両制御アプリケーションで処理が開始されるまでの様子を示す説明図である。図３に示す通信モジュール１０、セキュリティ処理部２０、車両制御用アプリケーション３６、及び車両制御用アプリケーション３７のそれぞれは、図１に示すブロック図に対応している。図３は、比較目的のために、通信モジュール１０がデータＣを受信してから、車両制御用アプリケーション３６がデータＣを用いて処理を開始するまでと、通信モジュール１０がデータＤを受信してから、車両制御用アプリケーション３７がデータＤを用いて処理されるまでとを示している。なお、以降では、データＡ及びデータＢの送信元と同様に、データＣ及びデータＤの送信元を車両の外部にあるサーバとして説明する。

サーバからデータＣが送信されると、通信モジュール１０はデータＣを受信し、受信したデータＣを車載コンピュータ１００に出力する。データＣは、車載コンピュータ１００のセキュリティ処理部２０に入力される。

セキュリティ処理部２０は、所定の特定方法を用いて、データＣから、データＣが車両制御用アプリケーション３６で処理される予定であり、車両制御用アプリケーション３６に付されたランクがＡＳＩＬ－Ｂであることを特定する。セキュリティ処理部２０は、データＣによる異常発生リスクとして、ＡＳＩＬ－Ｂの指標に基づく評価を行う。セキュリティ処理部２０は、ＡＳＩＬ－Ｂに対応したセキュリティ強度でのセキュリティとして、ファイヤーウォールの段数を２段に設定する。セキュリティ処理部２０は、データＣを２段のファイヤーウォールに通過させ、データＣに異常が検知されるか否かを判定する。セキュリティ処理部２０は、データＣに異常が検知されない場合、データＣを車両制御用ＥＣＵ３２に転送する。車両制御用ＥＣＵ３２にはデータＣが入力され、車両制御用アプリケーション３６は、データＣを用いた処理が可能な状態となり、データＣを用いた処理を開始する。

一方、サーバからデータＤが送信されると、通信モジュール１０はデータＤを受信し、受信したデータＤを車載コンピュータ１００に出力する。データＤは、車載コンピュータ１００のセキュリティ処理部２０に入力される。

セキュリティ処理部２０は、所定の特定方法を用いて、データＤから、データＤが車両制御用アプリケーション３７で処理される予定であり、車両制御用アプリケーション３７に付されたランクがＡＳＩＬ－Ｃであることを特定する。セキュリティ処理部２０は、データＤによる異常発生リスクとして、ＡＳＩＬ－Ｃの指標に基づく評価を行う。セキュリティ処理部２０は、ＡＳＩＬ－Ｃに対応したセキュリティ強度でのセキュリティとして、ファイヤーウォールの段数を３段に設定する。セキュリティ処理部２０は、データＤを３段のファイヤーウォールに通過させ、データＤに異常が検知されるか否かを判定する。セキュリティ処理部２０は、データＤに異常が検知されない場合、データＤを車両制御用ＥＣＵ３３に転送する。車両制御用ＥＣＵ３３にはデータＤが入力され、車両制御用アプリケーション３７は、データＤを用いた処理が可能な状態となり、データＤを用いた処理を開始する。

図２において、データＡとデータＢとを比較すると、各データが通過するファイヤーウォールの段数が異なる。データＡは１段のファイヤーウォールを通過するのに対して、データＢは４段のファイヤーウォールを通過するため、データＢの異常を検知する異常検知処理に要する時間は、データＡの異常を検知する異常検知処理に要する時間よりも長くなる。安全性の基準が高い車両制御用アプリケーション２８で使用されるデータに対しては十分な時間をかけて異常検知を行う一方で、安全性の基準が比較的低い車両制御用アプリケーション２５で使用されるデータに対しては必要以上に時間をかけずに異常検知を行う。このため、本実施形態に係る車載コンピュータ１００によれば、安全性の基準と異常検知処理に要する時間とのバランスをとることができる。また、例えば、データＡが車両制御用アプリケーションで処理された後、データＡの送信元に対して所定の時間内に応答する必要がある場合、車載コンピュータシステム１のセキュリティを確保しながら、応答性に対する要求を満足させることができる。なお、図３に示すデータＣ及びデータＤについても、データＡ及びデータＢと同様の効果を得ることができるため、データＡ及びデータＢを用いた説明を援用する。

以上のように、本実施形態に係る車載コンピュータ１００は、通信モジュール１０を介して車両の外部からデータが入力される車載コンピュータである。車載コンピュータ１００は、入力データのデータ情報に基づき、入力データにより異常が生じたときのリスクである異常発生リスクを評価するリスク評価部２１と、リスク評価部２１により評価された異常発生リスクに基づき、入力データに対するセキュリティ強度を調整するセキュリティ強度調整部２２と、セキュリティ強度調整部２２により調整されたセキュリティ強度で入力データに対するセキュリティを設定するセキュリティ設定部２３を備える。本発明に係る車載コンピュータ１００、コンピュータを車載コンピュータ１００として機能させるためのプログラム、当該プログラムを記録したコンピュータ読み取り可能な記録媒体、及びセキュリティ設定方法によれば、入力データに対するセキュリティ強度は、異常発生リスクに基づいて調整されるため、異常検知処理に要する時間はデータごとに変えることができる。その結果、車載コンピュータシステム１のセキュリティを確保しつつ、車載コンピュータシステム１全体としての処理時間を低減させることができる。

また、本実施形態では、異常発生リスクの高さは、車両の乗員に影響を与える影響度である「重大度」、車両が危険分子又は危険因子に遭遇する頻度である「曝露確率」、及び車両のドライバによる危険回避の難易度である「制御可能性」に基づき評価される。これにより、入力データの異常が車両又は車両の乗員に対して与える悪影響の程度を適切に評価することができる。

さらに、本実施形態では、セキュリティ強度調整部２２は、入力データによる異常発生リスクが高いほど、入力データに対するセキュリティ強度を強く設定する。異常発生リスクの高さに対応したセキュリティ強度を設定することができるため、異常発生リスクと異常検知処理に要する時間とのバランスをとることができる。その結果、車載コンピュータシステム１のセキュリティを確保しつつ、車載コンピュータシステム１全体としての処理時間を低減させることができる。

加えて、本実施形態では、リスク評価部２１が異常発生リスクを評価する時に用いる入力データのデータ情報は、入力データを用いて処理を実行する予定の車両制御用アプリケーションの種別である。これにより、入力データによる異常発生リスクを容易に評価することができる。その結果、異常発生リスクの評価処理に要する時間の短縮化を図ることができ、車載コンピュータシステム１全体としての処理時間に与える影響を低減させることができる。

また、本実施形態に係る車載コンピュータ１００は、入力データの異常を検知するためのファイヤーウォールがインストールされたゲートウェイ部を備え、セキュリティ設定部２３は、セキュリティ強度調整部２２により調整されたセキュリティ強度に応じて、入力データを通過させるファイヤーウォールの段数を設定する。これにより、異常発生リスクが高いほど、ファイヤーウォールの段数を多く設定することができるため、入力データに対する信頼性を向上させることができる。

さらに、本実施形態では、ゲートウェイ部２４は、ファイヤーウォールを用いて、入力データに異常があるか否かを検知する異常検知処理を実行する。車両の外部からのサイバー攻撃に対しても、車載コンピュータシステム１のセキュリティを保つことができる。

なお、以上に説明した実施形態は、本発明の理解を容易にするために記載されたものであって、本発明を限定するために記載されたものではない。したがって、上記の実施形態に開示された各要素は、本発明の技術的範囲に属する全ての設計変更や均等物をも含む趣旨である。

例えば、上述した実施形態では、入力データによる異常発生リスクを、ＡＳＩＬのランクに基づき評価する構成を例に挙げて説明したが、入力データの内容に基づいて、入力データによる異常発生リスクを評価してもよい。例えば、リスク評価部２１は、入力データの内容が車載用オペレーティングシステムをアップデートするためのプログラムの場合、入力データの内容が車両の乗員に向けた案内情報の場合に比べて、入力データによる異常発生リスクを高く評価してもよい。ＡＳＩＬのランク付けがされないＥＣＵやアプリケーション、例えば、ＱＭ（Quality Management）のランク付けされたＥＣＵやアプリケーションにより実行される入力データに対しても、異常発生リスクを適切に評価することができる。その結果、車載コンピュータシステム１に含まれる全てのＥＣＵ又は全てのアプリケーションで実行される入力データに対して、異常発生リスクを適切に評価することができる。

また例えば、上述した実施形態では、入力データのデータ情報として、車両制御用アプリケーションの種別を例に挙げて説明したが、入力データのデータ情報は、車両制御用ＥＣＵの種別であってもよい。

また例えば、上述した実施形態では、入力データによる異常発生リスクを、ＡＳＩＬのランクに基づき評価する構成を例に挙げて説明したが、入力データによる異常発生リスクは、ＡＳＩＬのランクを分類するための「重大度」、「曝露確率」、及び「制御可能性」のうち少なくともいずれか一つに基づき評価してもよい。

例えば、リスク評価部２１は、ＡＳＩＬのランクではなく、ＡＳＩＬのランクを分類するための「重大度」、「曝露確率」、及び「制御可能性」のそれぞれの変数に応じて、入力データによる異常発生リスクを評価してもよい。図１の例では、車両制御用アプリケーション２６及び車両制御用アプリケーション３６は、それぞれＡＳＩＬ－Ｂとしてランク付けされている。ここで、車両制御用アプリケーション２６がＡＳＩＬ－Ｂとしてランク付けされたときの「重大度」の変数、「曝露確率」変数、及び「制御可能性」の変数と、車両制御用アプリケーション３６がＡＳＩＬ－Ｂとしてランク付けされたときの「重大度」の変数、「曝露確率」の変数、及び「制御可能性」の変数とが異なるものとする。この場合、リスク評価部２１は、車両制御用アプリケーション２６が処理する予定の入力データによる異常発生リスクと、車両制御用アプリケーション３６が処理する予定の入力データによる異常発生リスクとを異なる評価にすることができる。

また例えば、リスク評価部２１は、「重大度」、「曝露確率」、及び「制御可能性」の組み合わせに限られず、各項目の変数に応じて、入力データによる異常発生リスクを評価してもよい。また例えば、リスク評価部２１は、２つの項目の変数の組み合わせに応じて、入力データによる異常発生リスクを評価してもよい。

また例えば、上述した実施形態では、入力データによる異常発生リスクを評価する指標として、ＡＳＩＬを用いて説明したが、異常発生リスクを評価する指標はＡＳＩＬに限られない。リスク評価部２１は、車両の機能安全について規格されたその他の指標を用いて、異常発生リスクを評価してもよい。またリスク評価部２１は、複数の指標を用いて、異常発生リスクを評価してもよい。

また例えば、上述した実施形態では、図２及び図３の例において、ファイヤーウォールの段数がＡＳＩＬのランクごとに変わる場合を例に挙げて説明したが、これに限定されない。例えば、図３の例において、セキュリティ設定部２３は、データＣに対して設定するファイヤーウォールの段数とデータＤに対して設定するファイヤーウォールの段数とを同じにしてもよい。そのうえで、セキュリティ設定部２３は、データＤに対して、ファイヤーウォールだけでなく、ＩＤＳ又はＩＰＳによる異常検知方法を設定してもよい。また例えば、セキュリティ設定部２３は、ファイヤーウォールの段数を同じにしたうえで、ファイヤーウォールによる異常検知の対象範囲を、データＣよりもデータＤに対して広く設定してもよい。

また例えば、上述した実施形態では、車載コンピュータ１００がゲートウェイ部２４を備える構成を例に挙げて説明したが、車載コンピュータ１００とは異なるコンピュータがゲートウェイ部２４を備えていてもよい。すなわち、入力データの異常を検知する異常検知処理及び入力データの転送処理は、車載コンピュータ１００以外のコンピュータにより実行されてもよい。この場合、車載コンピュータ１００は、セキュリティ設定部２３により設定されたセキュリティの設定情報を、ゲートウェイ部２４を備えるコンピュータに出力する。

また例えば、上述した実施形態では、入力データの異常検知方法として、ファイヤーウォール、ＩＤＳ、ＩＰＳを例に挙げて説明したが、本願出願時に通信分野において知られている異常検知方法を用いて入力データの異常を検知してもよい。例えば、車載コンピュータ１００は、セキュリティ強度に応じて、Ｐｒｏｘｙ（プロキシ）によるフィルタリング処理を設定してもよい。また例えば、車載コンピュータ１００は、セキュリティ強度に応じて、車載コンピュータシステム１が備えるアクセスコントロールを設定してもよい。

１…車載コンピュータシステム
１０…通信モジュール
１００…車載コンピュータ
２０…セキュリティ処理部
２１…リスク評価部
２２…セキュリティ強度調整部
２３…セキュリティ設定部
２４…ゲートウェイ部
２５…車両制御用アプリケーション
２６…車両制御用アプリケーション
２７…車両制御用アプリケーション
２８…車両制御用アプリケーション
３１…車両制御用ＥＣＵ
３５…車両制御用アプリケーション
３２…車両制御用ＥＣＵ
３６…車両制御用アプリケーション
３３…車両制御用ＥＣＵ
３７…車両制御用アプリケーション
３４…車両制御用ＥＣＵ
３８…車両制御用アプリケーション

Claims (10)

1. 通信インターフェースを介して車両の外部からデータが入力される車載コンピュータであって、
   前記車載コンピュータは、
   前記データのデータ情報に基づき、前記データにより異常が生じたときのリスクを評価するリスク評価部と、
   前記リスク評価部により評価された前記リスクに基づき、前記データに対するセキュリティ強度を調整するセキュリティ強度調整部と、
   前記セキュリティ強度調整部により調整された前記セキュリティ強度で前記データに対するセキュリティを設定するセキュリティ設定部を備える
   車載コンピュータ。
2. 請求項１に記載の車載コンピュータであって、
   前記リスクの高さは、第１項目、第２項目、及び第３項目のうち少なくともいずれか一つに基づき評価され、
   前記第１項目は、前記車両の乗員に与える影響度であり、
   前記第２項目は、前記車両が危険分子又は危険因子に遭遇する頻度であり、
   前記第３項目は、前記車両のドライバによる危険回避の難易度である
   車載コンピュータ。
3. 請求項２に記載の車載コンピュータであって、
   前記セキュリティ強度調整部は、前記リスクが高いほど前記セキュリティ強度を強く設定する
   車載コンピュータ。
4. 請求項２又は３に記載の車載コンピュータであって、
   前記データの前記データ情報は、前記データを用いて処理を実行する予定のアプリケーション及び機器のうち少なくともいずれか一つの種別である
   車載コンピュータ。
5. 請求項２～４のいずれかに記載の車載コンピュータであって、
   前記リスクの高さは、前記データの内容に基づき評価される
   車載コンピュータ。
6. 請求項１～５のいずれかに記載の車載コンピュータであって、
   前記データの異常を検知するためのファイヤーウォールがインストールされたゲートウェイ部を備え、
   前記セキュリティ設定部は、前記セキュリティ強度に応じて、前記データを通過させる前記ファイヤーウォールの段数を設定する
   車載コンピュータ。
7. 請求項６に記載の車載コンピュータであって、
   前記ゲートウェイ部は、少なくとも前記ファイヤーウォールを用いて、前記データに異常があるか否かを検知する異常検知処理を実行する
   車載コンピュータ。
8. コンピュータを、請求項１～７のいずれかに記載の車載コンピュータとして機能させるためのプログラム。
9. 請求項８に記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。
10. 通信インターフェースを介して車両の外部からデータが入力される車載コンピュータが実行するセキュリティ設定方法であって、
    前記車載コンピュータは、
    前記データのデータ情報に基づき、前記データにより異常が生じたときのリスクを評価し、
    前記リスクに基づき、前記データに対するセキュリティ強度を調整し、
    前記セキュリティ強度で前記データに対するセキュリティを設定する
    セキュリティ設定方法。

Images