JP7288162B2 - 車両環境における侵入異常モニタリング - Google Patents

Description

関連出願の相互参照
本出願は、２０１８年１月１６日出願で「車両環境におけるソフトエラー制御（ＳＯＦＴ ＥＲＲＯＲ ＣＯＮＴＲＯＬ ＩＮ Ａ ＶＥＨＩＣＬＥ ＥＮＶＩＲＯＮＭＥＮＴ）」なる名称の米国仮特許出願第６２／６１７，６６８号の優先権を主張し、その米国仮特許出願の全体は、参照により本明細書に組み込まれる。

本発明は、一般にセキュリティ装置の分野に関し、より具体的には自動車環境における侵入異常をモニタするためのシステム及び方法に関する。

車両内に設置されている電子装置の数は、急速に増加している。過去において、自動車における電子装置は、スタンドアロン環境で動作する、特定の機能を扱う個別の装置だった。１９８０年代に、車両用のネットワーク動作標準を開発する必要があるであろうことが認識され、コントローラエリアネットワーク（ＣＡＮ）バスは誕生した。

経時的に、ＣＡＮバスを利用する相互接続された装置の数は、急速に増加した。これらの相互接続された装置は、照明、窓、及びサンルーフ制御などの快適さのための特徴と同様に、エンジン速度、制動制御、及び操舵制御などの運転特徴を制御し得る。

更なる発展は、インターネットの拡大及びインターネットへの無線アクセスの増え続ける需要だった。携帯電話及び無線インターネットアクセスの拡大は、将来、車両が、外部ネットワークに接続されることを保証する。近年、車両へのアクセスは、専用サービスケーブルの使用に制限され、唯一の無線アクセスは、ニュース及び音楽を伝えるラジオ用だった。今日、車両娯楽及び情報コンテンツの両方を車両に伝える統合娯楽情報システムが提供されている。

車載電子装置の数が倍増したので、多くの自動車メーカは、自動車電子制御ユニット（ＥＣＵ）用のオープン標準ソフトウェアアーキテクチャに同意した。現在、ドイツ、ミュンヘンのＡＵＴＯＳＡＲコンソーシアムは、Ａｕｔｏｓａｒ Ｃｌａｓｓｉｃ Ｐｌａｔｆｏｒｍのバージョン４．３をリリースした。Ａｕｔｏｓａｒ準拠の診断は、１つ以上のＥＣＵにおける実際の故障又は欠陥を検出するように設計される。診断は、「Ｄｉａｇｎｏｓｔｉｃｓ ｏｖｅｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ（インターネットプロトコルを通じた診断）」（ＤｏＩＰ）と呼ばれる特定の通信プロトコルを用い、ＤｏＩＰは、搭載イーサネットスイッチを介した、テスト機器とＥＣＵとの間の通信用に設計される。ＤｏＩＰは、透過プロトコルであり、テスト機器とＥＣＵとの間の変換を含まない。ＤｏＩＰは、スイス、ジュネーブの国際標準化機構によって公表されたＩＳＯ １３４００、パート２で定義されている。ＤｏＩＰは、ＩＰ、ＴＣＰ、及びＵＤＰを用いて、外部テスト機器と自動車ＥＣＵとの間の診断関係の通信を容易にする。ＥＣＵ内の診断通信マネージャ（ＤＣＭ）は、テスト機器と通信し、それぞれのＥＣＵにおいて識別された故障を表す、自動車製造業によって定義された関係する定義済み診断トラブルコード（ＤＴＣ）を転送する。

図１は、イーサネットスイッチ２０と、複数のＥＣＵ３０と、テレマティック制御ユニット（ＴＣＵ）４０と、外部テスタ５０と、ＤｏＩＰクライアント７０と、ドメインコントローラユニット（ＤＣＵ）８０と、ＤｏＩＰゲートウェイ８５と、コントローラエリアネットワーク（ＣＡＮ）バス９０と、複数のＣＡＮ ＥＣＵ９５と、を含む、先行技術にとって周知の自動車通信ネットワーク１０の高レベルブロック図を示す。複数のＥＣＵ３０、ＴＣＵ４０、ＤｏＩＰクライアント７０、ＤＣＵ８０、及びＤｏＩＰゲートウェイ８５のそれぞれは、イーサネットスイッチ２０のそれぞれのポートに接続される。別の実施形態において、ＤｏＩＰゲートウェイ８５は、ＤＣＵ８０内に実現される。外部テスタ５０は、イーサネットスイッチ２０のそれぞれのポートにプラグ接続可能に接続される。ＣＡＮゲートウェイとして作動するＤＣＵ８０は、ＣＡＮバス９０に更に接続され、各ＣＡＮ ＥＣＵ９５は、ＣＡＮバス９０に接続される。

外部テスタ５０は、テスタプラグ及び適合するレセプタクルを介して、イーサネットスイッチ２０のそれぞれのポートに物理的に接続されてもよく、Ｂｌｕｅｔｏｏｔｈ接続若しくは無線インターネットなどの無線接続によって限定することなくアクセス可能であってもよい。ＤＣＵ８０は、ＣＡＮバス９０とイーサネットスイッチ２０との間のゲートウェイコントローラとして作動する。ＤｏＩＰゲートウェイ８５は、外部テスタ５０から受け取ったＤｏＩＰ要求を各ＥＣＵ３０、ＴＣＵ４０、及び／又はＣＡＮ ＥＣＵ９５によって理解される命令に変換する。ＤｏＩＰゲートウェイ８５は、イーサネットスイッチ２０とＣＡＮ ＢＵＳ９０との間に接続されているように示されているが、追加のＤｏＩＰゲートウェイは、イーサネットスイッチ２０内に設けられてもよい。別の実施形態において、上記のように、ＤｏＩＰゲートウェイ８５は、ＤＣＵ８０内に実現される。加えて、外部テスタ５０は、専用ＤｏＩＰノードを有する何れかのＥＣＵにＤｏＩＰ要求を直接送ることができる。ＤｏＩＰクライアント７０は、ＥＣＵ３０の無線（ＯＴＡ）ソフトウェア更新用に異なるベンダからソフトウェアイメージを受け取るように配置され、外部テスタ５０の模倣することによって動作し、その外部テスタ５０は、ターゲットＥＣＵ３０のファームウェアを更新するために技術者によって用いられる。ソフトウェアイメージは、ＴＣＰ／ＩＰなどの独自プロトコルを通じてＤｏＩＰクライアント７０によって受け取られる。任意選択的に、ＥＣＵ３０、ＴＣＵ４０、及び／又はＣＡＮ ＥＣＵ９５の何れかによって生成されたＤＴＣ用のターゲットとして働くＤｏＩＰノード（図示せず）が更に設けられる。典型的には、ＤｏＩＰノードは、外部テスタ５０による検索用の受け取ったＤＴＣを格納するように配置されたメモリを更に含む。ＴＣＵ４０は、車両用の位置情報を識別するように配置される全地球測位システム（ＧＰＳ）ユニットと、リモートサイトに位置するデータベースサーバとの通信を可能にする移動通信（ＧＳＭ、ＧＰＲＳ、Ｗｉ－Ｆｉ、ＷｉＭａｘ、又はＬＴＥなど）用の外部インタフェースであって、移動通信ユニットは、リモートサイトとの通信を実行するように配置されたアンテナを含む外部インタフェースと、マイクロプロセッサ又はフィールドプログラマブルゲートアレイなどのコントローラと、ローカルメモリと、を含む。

ＤｏＩＰクライアント７０又はＤｏＩＰゲートウェイ８５が設けられるという要件はなく、各ＥＣＵ３０、ＴＣＵ４０、及び／又はＣＡＮ ＥＣＵ９５は、外部テスタ５０にＤＴＣを通信するように配置される適切なＤｏＩＰノード又はスタックと共に配置されてもよく、範囲を超えずにＤＴＣを格納するための搭載メモリを提供してもよい。ＤｏＩＰノードは、関係する層標準にしたがって、ＤｏＩＰのトランスポート層を実現する。

したがって、自動車通信ネットワーク１０の配置によって、それぞれのＥＣＵ３０、ＴＣＵ４０、及び／又はＣＡＮ ＥＣＵ９５の各々によって発見されたハードウェア故障の生成が可能になるが、しかしながらそれは、ＥＣＵ３０、ＴＣＵ４０、及び／又はＣＡＮ ＥＣＵ９５による受け取りに先立って、パケットにおける異常（以下ではネットワーク侵入異常として認識される）を検出するか、それを報告するか、又はそれに影響を及ぼすための機構を提供せず、それらのネットワーク侵入異常は、ネットワークに侵入しようとする攻撃者による試みに関連する異常である。それはまた、統計又は機械学習の使用に基づいて、ＥＣＵにおける異常（以下ではローカル侵入異常として認識される）を検出するか、それを報告するか、又はそれに影響を及ぼすための機構も提供せず、ローカル侵入異常は、ＥＣＵに侵入しようとする攻撃者による試みと関連する異常である。本明細書で用いられるときに、「侵入異常」という用語は、自動車通信ネットワークの何れかの部分に侵入しようとする攻撃者による試みと関連する異常として定義される。これは、限定するわけではないが、以下で説明されるように、ネットワークを通じて伝送されているデータにおける統計的異常、例えば分散型サービス妨害（ＤＤＯＳ）攻撃と、ＥＣＵのＭＡＣアドレスになりすます試みと、ＰＯＲＴのＩＰからのサブスクリプション要求と、ＳＯＭＥ／ＩＰ情報における不正確な値と、定義済みのモデル又は規則から逸脱する信号と、スタックオーバーフローと、リターン指向のプログラミング攻撃と、を含む。加えて、車両対車両ＤｏＩＰ通信用の機構は提供されず、したがって、車両は、互いにＤＴＣを共有することができない。

それに応じて、本発明の主な目的は、先行技術のバス制御方法及びシステムにおける短所の少なくとも幾つかを克服することである。これは、一実施形態において、自動車環境における侵入異常をモニタするためのシステムを提供することによってもたらされ、システムは、テレマティック制御ユニットと、複数のエンジン制御ユニットであって、複数のエンジン制御ユニットのそれぞれは、それぞれのローカルセキュリティモニタ、及びローカルセキュリティモニタによって検出された侵入異常に関する情報を受け取るように配置された診断通信マネージャに関連する、複数のエンジン制御ユニットと、診断通信マネージャ及びテレマティック制御ユニットのそれぞれと通信する異常分析器であって、通信は、インターネットプロトコルを通じた診断を利用し、異常分析器は、それぞれのローカルセキュリティモニタによって検出された侵入異常に関する情報を蓄積するように配置される異常分析器と、を含む。

一実施形態において、異常分析器は、ローカルセキュリティモニタによって検出された侵入異常に関する受け取った情報をブラックリスト比較し、受け取った情報がブラックリストと一致する場合に、テレマティック制御ユニットの通信機能を不能にする命令及び警告メッセージの少なくとも１つを出力するように更に配置される。更なる一実施形態において、システムは、異常分析器と通信する異常モニタを更に含み、警告メッセージは、異常モニタに送られ、複数のエンジン制御ユニット、異常分析器、及び異常モニタは、単一の自動車環境内に位置する。

別の更なる実施形態において、システムは、異常モニタを更に含み、警告メッセージは、異常モニタに送られ、複数のエンジン制御ユニット及び異常分析器は、単一の自動車環境内に位置し、異常モニタは、単一の自動車環境からリモートにあり、テレマティック制御ユニットを通して異常分析器と通信する。更なる一実施形態において、異常モニタは、複数の異常分析器と通信し、異常分析器のそれぞれは、それぞれの単一の自動車環境内にある。別の更なる実施形態において、異常モニタは、複数の異常分析器と通信し、異常分析器のそれぞれは、それぞれの単一の自動車環境内にあり、異常モニタは、それぞれの監視自動車環境内にある。

一実施形態において、複数のエンジン制御ユニットのそれぞれは、それぞれの単一の自動車環境内にあり、異常分析器は、それぞれの監視自動車環境内にある。別の実施形態において、複数のエンジン制御ユニットは、ネットワークのノードとして配置され、システムは、複数のエンジン制御ユニットの少なくとも１つに又はその少なくとも１つからネットワークで伝送されたソフトウェアパケットにおける異常を識別するように配置されたネットワークセキュリティモニタを更に含み、異常分析器は、インターネットプロトコルを通じた診断を利用する異常分析器と更に通信する。

一実施形態において、診断通信マネージャのそれぞれは、イベント時に異常分析器に報告するように配置され、侵入異常は、それぞれのセキュリティモニタによって識別される。別の実施形態において、異常分析器は、それぞれのセキュリティモニタによって識別された侵入異常について診断通信マネージャのそれぞれに定期的にポーリングするように配置される。

一実施形態において、複数のエンジン制御ユニットのそれぞれは、セキュリティモニタによって検出された侵入異常のそれぞれについて診断異常コードを生成するように配置された診断イベントマネージャを更に含み、それによって、診断イベントマネージャと通信する診断通信マネージャは、セキュリティモニタによって検出された異常に関する情報を受け取る。更なる一実施形態において、セキュリティモニタによって検出された各タイプの侵入異常について、診断イベントマネージャは、一意の診断異常コードを生成するように配置される。

別の実施形態において、異常分析器は、インターネットプロトコルクライアントを通じた診断を含み、複数のエンジン制御ユニットは、それぞれ、インターネットプロトコルを通じた診断を利用する通信用にインターネットプロトコルノードを通じた診断を含む。

独立した一実施形態において、自動車環境における侵入異常をモニタする方法であって、複数のエンジン制御ユニットのそれぞれのための侵入異常を検出するステップと、検出された侵入異常に関する情報を、それぞれのエンジン制御ユニットに関連するそれぞれの診断通信マネージャにおいて受け取るステップと、インターネットプロトコルを通じた診断を利用し、受け取った情報を異常分析器に通信するステップを含み、異常分析器は、複数のエンジン制御ユニットの検出された侵入異常を蓄積するように配置される方法。

一実施形態において、方法は、受け取った情報をブラックリストと比較するステップと、受け取った情報がブラックリストと一致する場合に、テレマティック制御ユニットの通信機能を不能にする命令及び警告メッセージの少なくとも１つを出力するステップと、を更に含む。更なる一実施形態において、警告メッセージは、異常モニタに送られ、複数のエンジン制御ユニット、異常分析器、及び異常モニタは、単一の自動車環境内に位置する。別の更なる実施形態において、警告メッセージは、異常モニタに送られ、複数のエンジン制御ユニット及び異常分析器は、単一の自動車環境内に位置し、異常モニタは、単一の自動車環境からリモートである。

更なる一実施形態において、異常モニタは、複数の異常分析器と通信し、異常分析器のそれぞれは、それぞれの単一の自動車環境内にある。別の更なる実施形態において、異常モニタは、複数の異常分析器と通信し、異常分析器のそれぞれは、それぞれの単一の自動車環境内にあり、異常モニタは、それぞれの監視自動車環境内にある。

一実施形態において、侵入異常を検出するステップは、複数のエンジン制御ユニットの少なくとも１つに又は少なくとも１つから伝送されたソフトウェアパケットにおける侵入異常を識別することを含む。別の実施形態において、方法は、イベント時に、検出された侵入異常を異常分析器に報告するように、診断通信マネージャのそれぞれを設定するステップを更に含む。

一実施形態において、方法は、検出された侵入異常について診断通信マネージャのそれぞれに定期的にポーリングするステップを更に含む。別の実施形態において、方法は、検出された侵入異常のそれぞれのために診断異常コードを生成するステップを更に含み、受け取った情報は、生成された診断異常コードを含む。更なる一実施形態において、各タイプの検出された侵入異常について、生成された診断異常コードは一意である。

別の独立した実施形態において、自動車環境における侵入異常をモニタするためのシステムが提供され、システムは、ネットワークのノードとして配置された複数のエンジン制御ユニットと、複数のエンジン制御ユニットの少なくとも１つに又は少なくとも１つからネットワークで伝送されたソフトウェアパケットにおける異常を識別するように配置されたネットワークセキュリティモニタを含むネットワークセキュリティ装置と、ネットワークセキュリティモニタと通信する異常分析器であって、通信は、インターネットプロトコルを通じた診断を利用し、異常分析器は、ネットワークセキュリティ装置によって検出された侵入異常に関する受け取った情報をブラックリストと比較するように、かつ受け取った情報がブラックリストと一致する場合に、テレマティック制御ユニットの通信機能を不能にする命令、及び警告メッセージの少なくとも１つを出力するように配置される異常分析器と、を含む。

一実施形態において、ネットワークセキュリティ装置は、イベント時に、ネットワークセキュリティモニタによって検出された侵入異常に関する情報を、異常分析器に報告するように配置された診断通信マネージャを更に含む。別の実施形態において、複数のエンジン制御ユニットは、それぞれ、ローカルセキュリティモニタと、ローカルセキュリティモニタによって検出された侵入異常に関する情報を受け取るように配置された診断通信マネージャと、を含み、異常分析器は、インターネットプロトコルを通じた診断を利用するエンジン制御ユニットの診断通信マネージャのそれぞれと更に通信し、異常分析器は、それぞれのローカルセキュリティモニタによって検出された侵入異常に関する情報を蓄積するように配置される。

更なる一実施形態において、異常分析器は、エンジン制御ユニットの診断通信マネージャからの侵入異常に関する受け取った情報をブラックリストと比較するように、かつ診断通信マネージャの何れかからの侵入異常に関する受け取った情報が、ブラックリストで一致する場合に、テレマティック制御ユニットの通信機能を不能にする命令、及び警告メッセージの少なくとも１つを出力するように配置される。

本発明の更なる特徴及び利点は、以下の図面及び説明から明らかになろう。

本発明についてのよりよい理解のために、かつ本発明がどのように実行され得るかを示すために、ここで、純粋に例として添付の図面が参照され、図面では、同様の数字は、全体を通して、対応するセクション又は要素を示す。

ここで、図面を詳細に特に参照すると、示された詳細が、例であり、本発明の好ましい実施形態の実例的な論述のためだけにあり、かつ本発明の原理及び概念的態様の最も有用で容易に理解される説明であると信じられるものを提供するために提示されるということが強調される。この点で、本発明の基本的理解に必要であるよりも詳細に本発明の構造的詳細を示す試みはなされず、説明は、本発明の幾つかの形態がどのように実際に具体化され得るかを当業者に明らかにする図面を用いて行われる。

先行技術に周知の自動車通信ネットワークの高レベルブロック図を示す。 ネットワークセキュリティモニタを含む自動車通信ネットワークを示す。 少なくとも１つのＥＣＵがローカルセキュリティモニタを含む自動車通信ネットワークを示す。 異常分析器が、ドメインコントローラモジュールに問い合わせるように、かつ検出された侵入異常に関する関連情報を取得するように配置されるプルモード流れ図を示す。 ドメインコントローラモジュールが、検出された侵入異常に関する関連情報を異常分析器に出力するプッシュモード流れ図を示す。 異常分析器の動作の高レベル流れ図を示す。 異常分析器が、無線インターネット接続を介して外部テスト機器と通信する配置の高レベルブロック図を示す。 第１の車両の異常分析器が、第２の車両の異常分析器と通信する多重車両配置の高レベルブロック図を示す。 第１の車両の異常分析器が、第２の車両のＥＣＵと通信する多重車両配置の高レベルブロック図を示す。

本発明の少なくとも１つの実施形態を詳細に説明する前に、本発明が、その適用において、以下の説明で明らかにされる、又は図面に示されるコンポーネントの構築及び配置の詳細に限定されないことを理解されたい。本発明は、他の実施形態に、又は様々な方法で実践若しくは実行されることに適用可能である。また、本明細書で用いられる語法及び専門用語が、説明のためであり、限定と見なされるべきでないことを理解されたい。

様々な実施形態が、ＣＡＮバスに関連して本明細書で説明される。しかしながら、これは、決して限定であることを意味せず、本明細書の実施形態は、任意のバスアーキテクチャに等しく適用可能である。本明細書の実施形態は、娯楽情報システムである安全でない装置に関連して説明される。しかしながら、これは、決して限定であることを意味しない。例えば、将来、直接インターネット接続モジュールが、車両ソフトウェアを更新するために提供され得、かかるインターネット接続モジュールが、安全でない装置と考えられ得ることが想像される。同様に、ＯＢＤ２（搭載診断Ｖ２）接続は、安全でない装置に車両をさらす可能性がある。

動作は、主としてＡｕｔｏｓｔｒａｒ環境において本明細書で説明される。しかしながら、これは、決して限定であることを意味しない。本明細書で教示される原理は、範囲を超えずに、Ｌｉｎｕｘ環境を含む他の車両環境に等しく適用可能である。

図２Ａは、ＤＣＵ８０と通信するネットワークセキュリティ装置１８０を含む自動車通信ネットワーク１００を示す。更なる詳細において、自動車通信ネットワーク１００は、イーサネットスイッチ２０と、複数のＥＣＵ３０と、ＴＣＵ４０と、外部テスタ１５０と、ＤｏＩＰクライアント７０及びＤｏＩＰノード７５を含む異常分析器１７０と、ＤＣＵ８０と、ネットワークセキュリティ装置１８０と、ＣＡＮバス９０と、複数のＣＡＮ ＥＣＵ９５と、を含む。複数のＥＣＵ３０、ＴＣＵ４０、異常分析器１７０、及びＤＣＵ８０のそれぞれは、イーサネットスイッチ２０のそれぞれのポートに接続され、自動車通信ネットワーク１００のノードを表す。外部テスタ１５０は、イーサネットスイッチ２０のそれぞれのポートにプラグ接続可能に接続される。ＣＡＮゲートウェイとして作動するＤＣＥＴ８０は、ＣＡＮバス９０に更に接続され、各ＣＡＮ ＥＣＥＴ９５は、ＣＡＮバス９０に接続される。ネットワークセキュリティ装置１８０は、ＤＣＥＴ８０と通信し、範囲を超えずに、そこに組み込まれてもよい。ネットワークセキュリティ装置１８０の一実施形態は、「データバス保護装置及び方法（Ｄａｔａ Ｂｕｓ Ｐｒｏｔｅｃｔｉｏｎ Ｄｅｖｉｃｅ ａｎｄ Ｍｅｔｈｏｄ）」なる名称の同時係属中のＰＣＴ出願ＩＬ第２０１７／０５０８６８号明細書に説明されており、その内容全体は、参照によって本明細書に組み込まれる。ネットワークセキュリティ装置１８０は、ネットワークセキュリティモニタ１８５と、診断イベントマネージャ（ＤＥＭ）１９０と、診断通信マネージャ（ＤＣＭ）１９５と、ＤｏＩＰノード１９８と、を含む。

外部テスタ１５０は、テスタプラグ及び適合するレセプタクルを介して、イーサネットスイッチ２０のそれぞれのポートに物理的に接続されてもよく、又は限定するわけではないが、Ｂｌｕｅｔｏｏｔｈ接続若しくは無線インターネットなどの無線接続によってアクセス可能であってもよい。ＤＣＵ８０は、ＣＡＮバス９０とイーサネットスイッチ２０との間のゲートウェイコントローラとして作動する。異常分析器１７０は、以下で更に説明されるように、ＤＴＣ及び診断異常コード（ＤＡＣ）を様々なＥＣＵ３０、ＣＡＮ ＥＣＵ９５及びＤＣＵ８０に要求するように、かつそれに応じた保護行動を或る条件で実行するように配置される。ＤＡＣという用語は、本明細書で用いられるときに、適切な構成から逸脱する異常を示すコードとして意味される。ＤＴＣとは対照的に、ＤＡＣは、以下で更に説明されるように、セキュリティ欠陥、安全性欠陥、及びハッキング識別などの複雑な異常のための異常コードを提供する。

異常分析器１７０は、ＥＣＵ３０、ＴＣＵ４０、ＣＡＮ ＥＣＵ９５の何れかによって生成されたＤＴＣ、及び／又はネットワークセキュリティ装置１８０によって生成されたＤＡＣ用のターゲットとして更に働く。異常分析器１７０は、以下で更に説明されるように、典型的には、受け取ったＤＴＣ／ＤＡＣを外部テスタ５０による検索のために格納するように配置されたメモリ（図示せず）を更に含み、受け取ったＤＴＣ／ＤＡＣを分析するように配置されたプロセッサを更に含み、それに応じた保護行動を或る状況で取る。

動作において、ネットワークセキュリティ装置１８０のネットワークセキュリティモニタ１８５は、何れかのＣＡＮ ＥＣＵ９５にアドレス指定されたメッセージをスヌープすることによってか又は積極的にブロックすることによって、ＣＡＮバス９０の活動をモニタする。特に、一実施形態において、何れかのＣＡＮ ＥＣＵ９５にアドレス指定された各受け取ったメッセージは、スヌープされ、スヌープされたメッセージのソースアドレス及びターゲットアドレスは、有効性を決定するために受理可能なアドレスの所定のリストと比較される。別の実施形態において、何れかのＣＡＮ ＥＣＵ９５にアドレス指定された各受け取ったメッセージはスヌープされ、スヌープされたメッセージのパケットは、メッセージにおける何れかの異常を決定するために統計的に分析される。別の実施形態において、上記で言及したＰＣＴ／ＩＬ２０１７／０５０８６８号明細書で説明されているように、メッセージは、カプセル化され、有効であることが決定された場合にのみリリースされる。無効メッセージという決定の何れの場合にも、ネットワークセキュリティモニタ１８５は、ＤＡＣを生成し、ＤＡＣは、以下で更に説明されるように、異常分析器１７０に伝送される。

ネットワークセキュリティ装置１８０は、ＤＣＵ８０に接続されているように示されているが、これは、決して限定であることを意味しない。示された実施形態において、イーサネットスイッチ２０は、イーサネットスイッチ２０を通過する全てのメッセージのコピーをネットワークセキュリティ装置１８０の方へ伝送するように好ましくはプログラムされ、その結果、メッセージは、スヌーピングに関しネットワークセキュリティモニタ１８５には明らかである。代替実施形態において、ネットワークセキュリティ装置１８０は、イーサネットスイッチ２０のそれぞれのポートに接続され、イーサネットスイッチ２０は、イーサネットスイッチ２０を通過する全てのメッセージのコピーをネットワークセキュリティ装置１８０の方へ伝送するように好ましくはプログラムされる。更に別の実施形態において、ネットワークセキュリティ装置１８０の第１のインスタンスは、ＤＣＵ８０に接続され、ネットワークセキュリティ装置１８０の第２のインスタンスは、イーサネットスイッチ２０のそれぞれのポートに接続される。

侵入異常を検出すると、ネットワークセキュリティモニタ１８５は、検出された侵入異常に関する情報でＤＥＭ１９０に合図する。ＤＥＭ１９０は、合図される検出された侵入異常に応答して、検出された侵入異常を反映するＤＡＣを生成し、生成されたＤＡＣをＤＣＭ１９５に伝送する。一実施形態において、ＤＥＭ１９０は、複数のＤＡＣの１つを生成し、各ＤＡＣは、ネットワークセキュリティモニタ１８５によって検出され得る特定の潜在的な侵入異常を示す。別の実施形態において、単一のＤＡＣは、ネットワークセキュリティモニタ１８５によって検出された特定の侵入異常を示す情報を運ぶペイロードをＤＥＭ１９０によって提供される。上記のように、かかる侵入異常は、限定するわけではないが、統計異常と機械学習を通して検出された異常とを含むセキュリティ及び安全性異常を含む。例えば、ネットワークセキュリティモニタ１８５は、分散型サービス妨害（ＤＤＯＳ）攻撃を検出することができる。かかる攻撃は、標準ＤＴＣに関連する異常を構成しないであろう。何故なら、各アクセスの試みが、適切だからである。アクセスの試みの蓄積が、ネットワークセキュリティモニタ１８５によって検出されるＤＤＯＳ攻撃であることを検出した場合にのみ、適切なＤＡＣは、生成される。他の例は、限定するわけではないが、ＥＣＵ３０のＭＡＣアドレスになりすます試みの検出と、ＩＰ又はＰＯＲＴからの加入要求と、ＳＯＭＥ／ＩＰ情報における不正確な値と、を含む。一実施形態において、機械学習アルゴリズムは、信号の相関を定義済みのモデルと比較するために用いられる。信号が、定義済みのモデルから逸脱する場合に、異常は示され、異常に関する関係情報を含む適切なＤＡＣが生成される。

ここで図３Ａを参照すると、ネットワークセキュリティ装置１８０から異常分析器１７０への情報のフローを説明する高レベルプルモード流れ図が示される。各ハードウェアイベントはＥＣＵ３０によって気付かれるので、イベントは、ＤＥＭ１９０に通知される。各侵入異常は、セキュリティモニタ１８５によって検出されるので、異常は、ＤＥＭ１９０に通知される。定期的に、異常分析器１７０のＤｏＩＰクライアント７０は、全ての蓄積されたＤＡＣをネットワークセキュリティ装置１８０に要求し、ネットワークセキュリティ装置１８０のＤＣＭ１９５は、ＤｏＩＰノード１９８によって実施されたＤｏＩＰを利用して、伝送されＤＣＭ１９５によって保持された全ての蓄積されたＤＡＣで応答する。定期的に、異常分析器１７０のＤｏＩＰクライアント７０は、全ての蓄積されたＤＴＣをネットワークセキュリティ装置１８０に要求し、ネットワークセキュリティ装置１８０のＤＣＭ１９５は、ＤｏＩＰノード１９８によって実施されたＤｏＩＰを利用して、伝送されＤＣＭ１９５によって保持された全ての蓄積されたＤＴＣで応答する。一実施形態において、異常分析器１７０のクライアントＤｏＩＰは、単一の要求で、全ての蓄積されたＤＴＣ及びＤＡＣをネットワークセキュリティ装置１８０に要求する。次に、ＤＣＭ１９５は、ＤＥＭ１９０によって生成される将来のＤＡＣ及びＤＴＣを蓄積するために、自らのローカルメモリを消去する。外部テスタ１５０は、それぞれのＥＣＵ３０、ネットワークセキュリティ装置１８０、ＴＣＵ４０、及びＣＡＮ ＥＣＵ９５によって生成された全ての蓄積されたＤＡＣ及びＤＴＣ用の要求を異常分析器１７０のＤｏＩＰノード７５に同様に定期的に送ってもよい。蓄積されたＤＡＣ及びＤＴＣを伝送すると、異常分析器１７０は、伝送されたＤＡＣ及びＤＴＣを自らの関連するメモリから任意選択的に消去してもよい。有利なことに、異常分析器１７０は、以下で更に説明されるように、受け取ったＤＡＣ及びＤＴＣを分析するように、かつそれに応じた保護行動を或る条件で取るように更に配置される。

ここで図３Ｂを参照すると、ネットワークセキュリティ装置１８０から異常分析器１７０へのフローを説明する高レベルプッシュモード流れ図が示される。各ハードウェアイベントはＥＣＵ３０によって気付かれるので、イベントは、ＤＥＭ１９０に通知される。各侵入異常は、セキュリティモニタ１８５によって検出されるので、異常は、ＤＥＭ１９０に通知される。異常分析器１７０は、ネットワークセキュリティ装置１８０のＤＣＭ１８５への命令を生成し、その命令は、ＤＥＭ１９０から受け取った全ての報告されたＤＡＣ用にイベントモードで応答するようにＤＣＭ１８５を設定する。したがって、チャネルは、ＤｏＩＰノード１９８と異常分析器１７０との間で連続的に開かれ、ＤＥＭ１９０によって生成されたＤＡＣに応答し、ＤＣＭ１９５は、受け取ったＤＡＣを異常分析器１７０に伝送する。かかる実施形態において、ＤＣＭ１９５は、ＤＥＭ１９０によって生成される将来のＤＡＣを蓄積するためのローカルメモリに要求しなくてもよい。定期的に、異常分析器１７０のＤｏＩＰクライアント７０は、全ての蓄積されたＤＴＣをネットワークセキュリティ装置１８０に要求し、ネットワークセキュリティ装置１８０のＤＣＭ１９５は、ＤｏＩＰノード１９８によって実施されたＤｏＩＰを利用して、伝送されＤＣＭ１９５によって保持された全ての蓄積されたＤＴＣで応答する。次に、ＤＣＭ１９５は、ＤＥＭ１９０によって生成される将来のＤＴＣを蓄積するために、自らのローカルメモリを消去する。

外部テスタ１５０は、それぞれのＥＣＥＴ３０、ネットワークセキュリティ装置１８０、ＴＣＥＴ４０、及びＣＡＮ ＥＣＥＴ９５によって生成された全ての蓄積されたＤＡＣ及びＤＴＣを異常分析器１７０に定期的に要求してもよい。蓄積されたＤＡＣ及びＤＴＣを伝送すると、異常分析器１７０は、伝送されたＤＡＣ及びＤＴＣの自らの関連するメモリを任意選択的に消去してもよい。加えて、異常分析器１７０は、ＴＣＵ４０を介してリモートサーバと通信するように更に配置され、リモートサーバは、それぞれのＥＣＵ３０、ネットワークセキュリティ装置１８０、ＴＣＵ４０、及びＣＡＮ ＥＣＵ９５によって生成された全ての蓄積されたＤＡＣ及びＤＴＣを異常分析器１７０に定期的に要求してもよい。

図３Ｃは、図３Ａ、３Ｂの何れかに関連する異常分析器１７０の動作の高レベル流れ図を示す。異常分析器１７０は、ＦＰＧＡ、マイクロコントローラ、又は関連するメモリを備えたプロセッサにおいて実現されてもよく、関連するメモリは、電子的に可読な指示を保持し、指示は、実施された場合に、説明されるようなタスクを実行する。ステージ１０００において、それぞれのＥＣＵ３０、ネットワークセキュリティ装置１８０、ＴＣＵ４０、及びＣＡＮ ＥＣＵ９５によって生成されたＤＡＣ及びＤＴＣは受け取られる。上記のように、ＤＡＣは、侵入異常に関連付けられ、ＤＴＣは、ハードウェア異常に関連付けられる。任意選択的に、上記のように、各タイプの侵入異常について、一意のＤＡＣが生成される。ステージ１０１０において、ステージ１０００の受け取ったＤＡＣ及びＤＴＣは、異常分析器１７０に関連するそれぞれのメモリに格納される。

ステージ１０２０において、受け取ったＤＡＣは、異常分析器１７０に関連するそれぞれのメモリ位置に格納されたブラックリストと比較される。実際のＤＡＣが、ブラックリストと比較されるという要件はなく、別の実施形態において、受け取ったＤＡＣのペイロード情報が、ブラックリストと比較される。その比較は、直接的な項目ごとの比較に限定されることを意味せず、値域の識別又は値の変換は、範囲を超えずに利用されてもよい。

ステージ１０３０において、ステージ１０２０の比較の結果は、識別される。ステージ１０００の受け取ったＤＡＣの何れか又はそのペイロード情報が、ステージ１０２０のブラックリストと一致する場合に、ステージ１０４０において、異常分析器１７０は、以下で更に説明されるように、モニタに警告インジケータを出力するように、かつ任意選択的にＴＣＵ４０の通信機能を不能にするように配置される。特定の一実施形態において、ＴＣＵ４０の通信機能は、ＩＳＯ１４２２９－１で定義されるような統一診断サービス（ＵＤＳ）プロトコルメッセージを利用することによって不能にされる。この特定の実施形態において、異常分析器１７０は、どんな着信要求もブロックするようにＴＣＵ４０の状態を修正するために、メッセージのターゲットとして、ＴＣＵ４０と共にＵＤＳを通じてサービス０ｘ３１要求を用いる。一致するという用語は、情報がブラックリストで見つかるか、ブラックリストで見つかる値域にある場合か、又は所定の変換を通して、受け取ったＤＡＣ若しくはそのペイロード情報が、ブラックリストの何れかの項目と適合する場合を含むことを意味する。ブラックリストの項目は、警告インジケータが送られるべきか、及び／又は通信が不能にされるべきかどうかを示す関連するフラグを有してもよい。代替実施形態において、複数のブラックリストは、関連する行動をそれぞれ提供される。

ステージ１０３０において、ステージ１０００の受け取ったＤＡＣ若しくはそのペイロード情報の何も、ステージ１０２０のブラックリストで見つからない場合に、又はステージ１０４０の動作後に、ステージ１０００は、再び実行される。

ＤＡＣはまた、ＴＣＵ３０によって生成されてもよい。本明細書の教示にしたがって、ＴＣＵ３０は、そこに埋め込まれたセキュリティモニタ１８５によって実現されてもよい（図示せず）。かかる実施形態において、異常が、ＧＰＳユニットの活動において検出される場合に、それぞれのＤＡＣは、ＤｏＩＰを介して、異常分析器１７０によって生成され受け取られてもよい。

図２Ｂは、少なくとも１つの高度ＥＣＵ２３０がローカルセキュリティモニタ２３５を含む自動車通信ネットワーク２００を示す。更なる詳細において、自動車通信ネットワーク２００は、イーサネットスイッチ２０と、少なくとも１つの高度ＥＣＵ２３０と、外部テスタ１５０と、異常分析器１７０と、を含む。任意選択的に、自動車通信ネットワーク２００は、ＤＣＵ８０と、ネットワークセキュリティ装置１８０（簡潔にするために図示せず）と、ＣＡＮバス９０と、ＣＡＮ ＥＣＵ９５と、ＥＣＵ３０（簡潔にするために図示せず）と、ＴＣＵ４０と、を更に含んでもよい。高度ＥＣＵ２３０は、更に詳細に説明されているが、同様の配置が、範囲を超えずに、ＴＣＵ用に実現され得ることを理解されたい。

高度ＥＣＵ２３０は、ローカルセキュリティモニタ２３５と、ＤＥＭ２４５と、ＤＣＭ２５５と、ＤｏＩＰトランスポート層を実現するＤｏＩＰノード２６５と、を含む。加えて、ＥＣＵ２３０は、先行技術のＥＣＵ３０（簡潔にするために図示せず）の他の標準コンポーネントを含む。例示的な実施形態において、ローカルセキュリティモニタ２３５、ＤＥＭ２４５、ＤＣＭ２５５、及びＤｏＩＰノード２６５は、高度ＥＣＵ２３０内のソフトウェアモジュールとして実現される。

動作において、かつ先行技術にしたがって、ＥＣＵ２３０は、先行技術のＥＣＵ３０の標準コンポーネントによって実行されるように、本発明の時点で当業者に周知のような自動車動作を実行し、適切な動作用に自らのローカルハードウェアをモニタする。ＥＣＵ２３０の通常動作における異常の場合に、ＥＣＵ２３０は、検出された異常に関する情報でＤＥＭ２４５に合図し、それに応じてＤＥＭ２４５は、ＥＣＵ２３０によって合図された特定の異常に関連するＤＴＣを生成する。ＤＥＭ２４５は、生成されたＤＴＣをＤＣＭ２５５に伝送し、ＤＣＭ２５５は、外部テスタ１５０又は異常分析器１７０によるリコール用に生成されたＤＴＣを格納する。特に、定期的に、外部テスタ１５０又は異常分析器１７０は、それぞれのＥＣＵ２３０におけるそれぞれのＤＣＭ２５５のそれぞれに、ｇｅｔ ＤＴＣメッセージを送ってもよく、それに応じてＤＣＭ２５５は、ＤｏＩＰノード２６５のＤｏＩＰトランスポート層を利用して、蓄積されたＤＴＣを伝送する。

ローカルセキュリティモニタ２３５は、上記のように、標準ＤＴＣに関連付けられずＥＣＵ２３０に関連する侵入異常を検出する。侵入異常は、ＥＣＵ２３０への、かつＥＣＵ２３０からのネットワークトラフィックを分析することによって更に検出される。一実施形態において、メッセージは、異常を検出するために解析され分析される。侵入異常を検出すると、ローカルセキュリティモニタ２３５は、検出された異常に関する情報でＤＥＭ２４５に合図する。ＤＥＭ２４５は、合図される検出された異常に応じて、検出された異常を反映するＤＡＣを生成し、生成されたＤＡＣをＤＣＭ２５５に伝送する。一実施形態において、ＤＥＭ２４５は、複数のＤＡＣの１つを生成し、各ＤＡＣは、ローカルセキュリティモニタ２３５によって検出され得る特定の潜在的な異常を示す。別の実施形態において、単一のＤＡＣは、ＤＥＭ２４５によって提供され、情報を運ぶペイロードは、ローカルセキュリティモニタ２３５によって検出された特定の異常を示す。

上記のように、かかる侵入異常は、限定するわけではないが、統計異常及び機械学習を通して検出された異常を含むセキュリティ及び安全性異常を含む。

ここで図３Ａを参照すると、ＥＣＵ２３０から異常分析器１７０への情報のフローを説明する高レベルプルモード流れ図が示される。各ハードウェアイベントはＥＣＵ２３０によって気付かれるので、イベントは、それぞれのＤＥＭ２４５に通知される。各侵入異常は、セキュリティモニタ１８５によって検出されるので、異常は、それぞれのＤＥＭ２４５に通知される。定期的に、異常分析器１７０のＤｏＩＰクライアント７０は、全ての蓄積されたＤＡＣをＥＣＵ２３０に要求し、ＥＣＵ２３０のＤＣＭ２５５は、それに応じ、ＤｏＩＰノード２６５によって実施されたＤｏＩＰを利用して、ＤＣＭ２５５によって保持された全ての蓄積されたＤＡＣを伝送する。定期的に、異常分析器１７０のＤｏＩＰクライアント７０は、全ての蓄積されたＤＴＣをＥＣＵ２３０に要求し、ＥＣＵ２３０のＤＣＭ２５５は、ＤｏＩＰノード２６５によって実施されたＤｏＩＰを利用して、伝送されＤＣＭ２５５によって保持された全ての蓄積されたＤＴＣで応答する。一実施形態において、異常分析器１７０のＤｏＩＰクライアント７０は、単一の要求で、全ての蓄積されたＤＴＣ及びＤＡＣをＥＣＵ２３０に要求する。次に、ＤＣＭ２５５は、ＤＥＭ２４５によって生成される将来のＤＡＣ及びＤＴＣを蓄積するために、自らのローカルメモリを消去する。外部テスタ１５０は、それぞれのＥＣＵ３０、ＥＣＵ２３０、ネットワークセキュリティ装置１８０、ＴＣＵ４０、及びＣＡＮ ＥＣＵ９５によって生成された全ての蓄積されたＤＡＣ及びＤＴＣを同様に定期的に異常分析器１７０に要求してもよい。蓄積されたＤＡＣ及びＤＴＣを伝送すると、異常分析器１７０は、伝送されたＤＡＣ及びＤＴＣの自らの関連メモリを任意選択的に消去してもよい。有利なことに、異常分析器１７０は、以下で更に説明されるように、受け取ったＤＡＣ及びＤＴＣを分析するように、かつそれに応じた保護行動を或る条件で取るように更に配置される。

ここで図３Ｂを参照すると、ＥＣＵ２３０から異常分析器１７０への情報のフローを説明する高レベルプッシュモード流れ図が示される。各ハードウェアイベントはＥＣＵ３０によって気付かれるので、イベントは、それぞれのＤＥＭ２４５に通知される。各侵入異常はセキュリティモニタ１８５によって検出されるので、異常は、それぞれのＤＥＭ２４５に通知される。異常分析器１７０は、ＥＣＵ２３０のＤＣＭ２５５への命令を生成し、その命令は、ローカルセキュリティモニタ２３５から受け取った全ての報告されたＤＡＣ用にイベントモードで応答するようにＤＣＭ２５５を設定する。したがって、チャネルは、ＤｏＩＰノード１９８で連続的に開かれ、ＤＥＭ２４５によって生成されたＤＡＣに応答し、ＤＣＭ２５５は、受け取ったＤＡＣを異常分析器に伝送する。かかる実施形態において、ＤＣＭ２５５は、ＤＥＭ２４５によって生成される将来のＤＡＣを蓄積するためのローカルメモリを要求しなくてもよい。しかしながら、かかるローカルメモリは、ＥＣＥＴ３０からのＤＴＣを蓄積するように要求され得る。定期的に、異常分析器１７０のＤｏＩＰクライアント７０は、全ての蓄積されたＤＴＣをＥＣＥＴ２３０に要求してもよく、ＥＣＵ２３０のＤＣＭ２５５は、ＤｏＩＰノード２６５によって実施されたＤｏＩＰを利用して、伝送されＤＣＭ２５５によって保持された全ての蓄積されたＤＴＣで応答してもよい。一実施形態において、異常分析器１７０のＤｏＩＰクライアント７０は、単一の要求で、全ての蓄積されたＤＴＣ及びＤＡＣをＥＣＵ２３０に要求する。次に、ＤＣＭ２５５は、ＤＥＭ２４５によって生成される将来のＤＴＣを蓄積するために、自らのローカルメモリを消去する。

外部テスタ１５０は、それぞれのＥＣＵ３０、ネットワークセキュリティ装置１８０、ＴＣＵ４０、及びＣＡＮ ＥＣＵ９５によって生成された全ての蓄積されたＤＡＣ及びＤＴＣを異常分析器１７０に定期的に要求してもよい。蓄積されたＤＡＣ及びＤＴＣを伝送すると、異常分析器１７０は、伝送されたＤＡＣ及びＤＴＣの自らの関連するメモリを任意選択的に消去してもよい。加えて、異常分析器１７０は、図３Ｃに関連して上記で説明されたように、ＴＣＵ４０を介してリモートサーバと通信するように更に配置され、リモートサーバは、それぞれのＥＣＵ３０、ＥＣＵ２３０、ネットワークセキュリティ装置１８０、ＴＣＵ４０、及びＣＡＮ ＥＣＵ９５によって生成された全ての蓄積されたＤＡＣ及びＤＴＣを異常分析器１７０に定期的に要求してもよい。

図４Ａは、異常分析器１７０が、無線インターネット接続４２０を介して、外部異常モニタ４３０と通信する配置の高レベルブロック図を示す。特に、複数の車両が示され、各車両４１０は、イーサネットスイッチ２０、ＥＣＵ２３０、異常分析器１７０、及びＴＣＵ４０を含む。ＥＣＵ２３０、異常分析器１７０、及びＴＣＵ４０のそれぞれは、イーサネットスイッチ２０を通して互いに通信する。ＴＣＵ４０は、無線データリンクを含み、無線データリンクは、限定するわけではないが、通信対応機器用のグローバルシステムであるＥＶ－ＤＯ、Ｗ－ＣＤＭＡ、ＨＳＰＡ＋、ＷＩＭＡＸ、又はＬＴＥによって実現されてもよい。異常モニタ４３０は、無線インターネット接続４２０を含む無線リンクで動作するように修正された上記の外部テスト機器１５０に似ている。異常モニタ４３０は、サーバとして動作し、したがって複数の車両４１０用の外部テスト機器として働いてもよい。異常モニタ４３０は、ＤｏＩＰテスタを実現し、したがって上記のように異常分析器１７０と通信し、リモート調査及び分析用の複数の異常分析器１７０から侵入異常を検索するように配置される。更に、図３Ｃに関連して上記で示したように、異常分析器１７０は、或る異常を識別した後で、モニタに警告インジケータを出力してもよい。したがって、図４Ａの実施形態において、モニタは、異常モニタ４３０によってリモートで実現される。

図４Ｂは、第１の車両４１０の異常分析器１７０が、第２の車両５１０の異常分析器１７０と通信する多重車両配置５００の高レベルブロック図を示す。特に、車両４１０は、図４Ａ関連して上記で説明したのと同様であり、車両５１０は、イーサネットスイッチ２０、ＥＣＵ２３５、異常分析器１７０、ＴＣＵ４０、及び異常モニタ５２０を含む。車両５１０のＥＣＵ２３５、異常分析器１７０、及びＴＣＵ４０のそれぞれは、車両５１０のイーサネットスイッチ２０を通して互いに、かつ異常モニタ５２０と通信する。したがって、図４Ｂの実施形態において、モニタは、異なる車両に位置する異常モニタ５２０によってリモートで実現される。特定の一実施形態において、車両集団におけるモニタする車両は、車両集団における全ての個別車両用の単一の異常モニタを実現し、それによって、単一の異常モニタ５２０において車両集団全体の監視を可能にしてもよい。

図４Ｃは、第１の車両５１０だけが、異常分析器１７０を含む多重車両配置６００の高レベルブロック図を示す。特に、複数の車両６１０は、それぞれ、異常分析器１７０がない状態の上記の車両４１０に全ての点で似ている（簡潔にするために１台の車両だけが６１０示されている）。動作において、車両５１０の異常分析器１７０は、ＤＴＣ及びＤＡＣ用に車両６１０のＥＣＵ２３０のＤｏＩＰノードに問い合わせる。一実施形態において、車両５１０の異常分析器６１０によって受け取られた車両６１０のＤＴＣ及びＤＡＣは、車両５１０のＥＣＵ２３０のＤＴＣ及びＤＡＣと共に、異常モニタ５２０によって更に監視される。

明確にするために、別個の実施形態の文脈で説明される本発明の或る特徴はまた、単一の実施形態における組み合わせで提供されてもよいことが認識される。反対に、簡潔にするために、単一の実施形態の文脈で説明される本発明の様々な特徴はまた、別々に又は何れかの適切なサブ組み合わせで提供されてもよい。特に、本発明は、各動力を供給される装置のクラスによる識別を用いて説明された。しかしながら、これは、決して限定であることを意味しない。代替実施形態において、各動力を供給される装置は、等しく扱われ、したがって、その関連する動力要件を用いるクラスの識別は、必要とされない。

別段の定義がなされない限り、本明細書で用いられる全ての技術的及び科学的用語は、本発明が属する技術分野の当業者によって一般に理解されるのと同じ意味を有する。本明細書で説明される方法に似ているか又は等価である方法は、本発明の実践又はテストにおいて用いることができるが、適切な方法が、本明細書で説明される。

本明細書で言及される全ての出版物、特許出願、特許、及び他の参考文献は、参照によってそれらの全体において組み込まれる。矛盾する場合には、定義を含む本特許明細書が勝る。加えて、材料、方法、及び例は、単に実例であり、限定であるようには意図されていない。

本発明が、上記で特に示され説明されたものに限定されないことが、当業者によって認識されよう。より正確に言えば、本発明の範囲は、添付の特許請求の範囲によって定義され、上記で説明された様々な特徴の組み合わせ及びサブ組み合わせの両方と同様に、前述の説明を読むことで当業者の心に浮かぶであろうそれらの変形及び修正を含む。

Claims (25)

1. 自動車環境における侵入異常をモニタするためのシステムであって、該システムは、
   テレマティック制御ユニットと、
   複数のエンジン制御ユニットであって、前記複数のエンジン制御ユニットのそれぞれは、それぞれのローカルセキュリティモニタ及び前記ローカルセキュリティモニタによって検出された侵入異常に関する情報を受け取るように配置されたそれぞれの診断通信マネージャに関連する、複数のエンジン制御ユニットと、
   前記診断通信マネージャ及び前記テレマティック制御ユニットのそれぞれと通信する異常分析器であって、前記通信は、インターネットプロトコルを通じた診断を利用し、前記異常分析器は、前記それぞれのローカルセキュリティモニタによって検出された侵入異常に関する前記情報を蓄積するように配置される異常分析器と、
   を含み、
   前記異常分析器は、前記ローカルセキュリティモニタによって検出された侵入異常に関する前記受け取った情報をブラックリストと比較し、前記受け取った情報が前記ブラックリストと一致する場合に、
   前記テレマティック制御ユニットの通信機能を不能にする命令及び
   警告メッセージの少なくとも１つを出力するように更に配置されるシステム。
2. 前記異常分析器と通信する異常モニタであって、前記警告メッセージは、前記異常モニタに送られ、前記複数のエンジン制御ユニット、前記異常分析器、及び前記異常モニタは、単一の自動車環境内に位置する、異常モニタを更に含む、請求項１に記載のシステム。
3. 異常モニタであって、前記警告メッセージは、前記異常モニタに送られ、
   前記複数のエンジン制御ユニット及び前記異常分析器は、単一の自動車環境内に位置し、
   前記異常モニタは、前記単一の自動車環境からリモートにあり、前記テレマティック制御ユニットを通して前記異常分析器と通信する、異常モニタを更に含む、請求項１に記載のシステム。
4. 前記異常モニタは、複数の異常分析器と通信し、前記異常分析器のそれぞれは、それぞれの単一の自動車環境内にある、請求項３に記載のシステム。
5. 前記異常モニタは、複数の異常分析器と通信し、前記異常分析器のそれぞれは、それぞれの単一の自動車環境内にあり、前記異常モニタは、それぞれの監視自動車環境内にある、請求項３に記載のシステム。
6. 前記複数のエンジン制御ユニットのそれぞれは、それぞれの単一の自動車環境内にあり、前記異常分析器は、それぞれの監視自動車環境内にある、請求項１に記載のシステム。
7. 前記複数のエンジン制御ユニットは、ネットワークのノードとして配置され、前記システムは、前記複数のエンジン制御ユニットの少なくとも１つに又はその少なくとも１つから前記ネットワークで伝送されたソフトウェアパケットにおける異常を識別するように配置されたネットワークセキュリティモニタを更に含み、前記異常分析器は、インターネットプロトコルを通じた前記診断を利用する前記異常分析器と更に通信する、請求項１に記載のシステム。
8. 前記診断通信マネージャのそれぞれは、イベント時に前記異常分析器に報告するように配置され、前記侵入異常は、前記それぞれのローカルセキュリティモニタによって識別される、請求項１に記載のシステム。
9. 前記異常分析器は、前記それぞれのローカルセキュリティモニタによって識別された前記侵入異常について前記診断通信マネージャのそれぞれに定期的にポーリングするように配置される、請求項１に記載のシステム。
10. 自動車環境における侵入異常をモニタするためのシステムであって、該システムは、
    テレマティック制御ユニットと、
    複数のエンジン制御ユニットであって、前記複数のエンジン制御ユニットのそれぞれは、それぞれのローカルセキュリティモニタ及び前記ローカルセキュリティモニタによって検出された侵入異常に関する情報を受け取るように配置されたそれぞれの診断通信マネージャに関連する、複数のエンジン制御ユニットと、
    前記診断通信マネージャ及び前記テレマティック制御ユニットのそれぞれと通信する異常分析器であって、前記通信は、インターネットプロトコルを通じた診断を利用し、前記異常分析器は、前記それぞれのローカルセキュリティモニタによって検出された侵入異常に関する前記情報を蓄積するように配置される異常分析器と、
    を含み、
    前記複数のエンジン制御ユニットのそれぞれは、前記ローカルセキュリティモニタによって検出された前記侵入異常のそれぞれについて診断異常コードを生成するように配置された診断イベントマネージャを更に含み、それによって、前記診断イベントマネージャと通信する前記診断通信マネージャは、前記ローカルセキュリティモニタによって検出された異常に関する前記情報を受け取るシステム。
11. 前記ローカルセキュリティモニタによって検出された各タイプの前記侵入異常について、前記診断イベントマネージャは、一意の診断異常コードを生成するように配置される、請求項１０に記載のシステム。
12. 自動車環境における侵入異常をモニタするためのシステムであって、該システムは、
    テレマティック制御ユニットと、
    複数のエンジン制御ユニットであって、前記複数のエンジン制御ユニットのそれぞれは、それぞれのローカルセキュリティモニタ及び前記ローカルセキュリティモニタによって検出された侵入異常に関する情報を受け取るように配置されたそれぞれの診断通信マネージャに関連する、複数のエンジン制御ユニットと、
    前記診断通信マネージャ及び前記テレマティック制御ユニットのそれぞれと通信する異常分析器であって、前記通信は、インターネットプロトコルを通じた診断を利用し、前記異常分析器は、前記それぞれのローカルセキュリティモニタによって検出された侵入異常に関する前記情報を蓄積するように配置される異常分析器と、
    を含み、
    前記異常分析器は、インターネットプロトコルクライアントを通じた診断を含み、前記複数のエンジン制御ユニットは、それぞれ、インターネットプロトコルを通じた前記診断を利用する前記通信用に、インターネットプロトコルノードを通じた診断を含むシステム。
13. 自動車環境における侵入異常をモニタする方法であって、該方法は、
    複数のエンジン制御ユニットのそれぞれについて侵入異常を検出するステップと、
    前記検出された侵入異常に関する情報を、前記それぞれのエンジン制御ユニットに関連するそれぞれの診断通信マネージャにおいて受け取るステップと、
    インターネットプロトコルを通じた診断を利用し、前記受け取った情報を異常分析器に通信するステップと、を含み、
    前記異常分析器は、前記複数のエンジン制御ユニットの前記検出された侵入異常を蓄積するように配置され、
    前記方法は、
    前記受け取った情報をブラックリストと比較するステップと、
    前記受け取った情報が前記ブラックリストと一致する場合に、
    テレマティック制御ユニットの通信機能を不能にする命令及び
    警告メッセージの少なくとも１つを出力するステップと、
    を更に含む、方法。
14. 前記警告メッセージは、異常モニタに送られ、前記複数のエンジン制御ユニット、前記異常分析器、及び前記異常モニタは、単一の自動車環境内に位置する、請求項１３に記載の方法。
15. 前記警告メッセージは、異常モニタに送られ、
    前記複数のエンジン制御ユニット及び前記異常分析器は、単一の自動車環境内に位置し、
    前記異常モニタは、前記単一の自動車環境からリモートである、請求項１３に記載の方法。
16. 前記異常モニタは、複数の異常分析器と通信し、前記異常分析器のそれぞれは、それぞれの単一の自動車環境内にある、請求項１５に記載の方法。
17. 前記異常モニタは、複数の異常分析器と通信し、前記異常分析器のそれぞれは、それぞれの単一の自動車環境内にあり、前記異常モニタは、それぞれの監視自動車環境内にある、請求項１５に記載の方法。
18. 前記侵入異常を検出するステップは、前記複数のエンジン制御ユニットの少なくとも１つに又はその少なくとも１つから伝送されたソフトウェアパケットにおける侵入異常を識別することを含む、請求項１３に記載の方法。
19. イベント時に、前記検出された侵入異常を前記異常分析器に報告するように、前記診断通信マネージャのそれぞれを設定するステップを更に含む、請求項１４に記載の方法。
20. 自動車環境における侵入異常をモニタする方法であって、該方法は、
    複数のエンジン制御ユニットのそれぞれについて侵入異常を検出するステップと、
    前記検出された侵入異常に関する情報を、前記それぞれのエンジン制御ユニットに関連するそれぞれの診断通信マネージャにおいて受け取るステップと、
    インターネットプロトコルを通じた診断を利用し、前記受け取った情報を異常分析器に通信するステップと、を含み、
    前記異常分析器は、前記複数のエンジン制御ユニットの前記検出された侵入異常を蓄積するように配置され、
    前記方法は、
    前記検出された侵入異常について前記診断通信マネージャのそれぞれに定期的にポーリングするステップを更に含む、方法。
21. 前記検出された侵入異常のそれぞれのために診断異常コードを生成するステップを更に含み、前記受け取った情報は、前記生成された診断異常コードを含む、請求項１３に記載の方法。
22. 検出された侵入異常の各タイプについて、前記生成された診断異常コードは、一意である、請求項２１に記載の方法。
23. 自動車環境における侵入異常をモニタするためのシステムであって、該システムは、
    ネットワークのノードとして配置された複数のエンジン制御ユニットと、
    前記複数のエンジン制御ユニットの少なくとも１つに又はその少なくとも１つから前記ネットワークで伝送されたソフトウェアパケットにおける異常を識別するように配置されたネットワークセキュリティモニタを含むネットワークセキュリティ装置と、
    前記ネットワークセキュリティモニタと通信する異常分析器であって、前記通信は、インターネットプロトコルを通じた診断を利用し、前記異常分析器は、前記ネットワークセキュリティ装置によって検出された侵入異常に関する受け取った情報をブラックリストと比較するように、かつ前記受け取った情報が前記ブラックリストと一致する場合に、
    テレマティック制御ユニットの通信機能を不能にする命令、及び
    警告メッセージの少なくとも１つを出力するように配置される異常分析器と、
    を含み、
    前記ネットワークセキュリティ装置は、イベント時に、前記ネットワークセキュリティモニタによって検出された侵入異常に関する前記情報を、前記異常分析器に報告するように配置された診断通信マネージャを更に含むシステム。
24. 自動車環境における侵入異常をモニタするためのシステムであって、該システムは、
    ネットワークのノードとして配置された複数のエンジン制御ユニットと、
    前記複数のエンジン制御ユニットの少なくとも１つに又はその少なくとも１つから前記ネットワークで伝送されたソフトウェアパケットにおける異常を識別するように配置されたネットワークセキュリティモニタを含むネットワークセキュリティ装置と、
    前記ネットワークセキュリティモニタと通信する異常分析器であって、前記通信は、インターネットプロトコルを通じた診断を利用し、前記異常分析器は、前記ネットワークセキュリティ装置によって検出された侵入異常に関する受け取った情報をブラックリストと比較するように、かつ前記受け取った情報が前記ブラックリストと一致する場合に、
    テレマティック制御ユニットの通信機能を不能にする命令、及び
    警告メッセージの少なくとも１つを出力するように配置される異常分析器と、
    を含み、
    前記複数のエンジン制御ユニットは、それぞれ、ローカルセキュリティモニタと、前記ローカルセキュリティモニタによって検出された侵入異常に関する情報を受け取るように配置された診断通信マネージャと、を含み、
    前記異常分析器は、インターネットプロトコルを通じた前記診断を利用する前記エンジン制御ユニットの前記診断通信マネージャのそれぞれと更に通信し、前記異常分析器は、前記それぞれのローカルセキュリティモニタによって検出された侵入異常に関する前記情報を蓄積するように配置される、システム。
25. 前記異常分析器は、前記エンジン制御ユニットの前記診断通信マネージャからの侵入異常に関する前記受け取った情報を前記ブラックリストと比較するように、かつ前記診断通信マネージャの何れかからの侵入異常に関する前記受け取った情報が、前記ブラックリストで一致する場合に、
    前記テレマティック制御ユニットの通信機能を不能にする前記命令、及び
    前記警告メッセージの少なくとも１つを出力するように更に配置される、請求項２４に記載のシステム。
    

Images