JP7361912B2 - 制御システム - Google Patents

Description

本願は、制御システムに関するものである。

近年、自動車の車載システムはネットワークを介して車外の装置と接続されるようになり、悪意のある第三者が外部からネットワークを介して車載システムに侵入するリスクがある。車載システムに侵入されると、車両に搭載される制御装置である、例えばＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）において、記憶されているプログラムが改ざんされたり、ＥＣＵの制御を乗っ取られ、遠隔操作されることによって故意に事故を発生させる恐れがある。

車載システムでは、一部の装置が故障した場合でも、故障によって発生した異常を検知し、フェールセーフによって機能を縮退するなど、通常の走行ができるように、異常対処方法が考えられている。

しかし、上述したように、プログラムの改ざんによって、故障による異常を検知する仕組みが変更されたり、もしくは異常検知の対象となる情報が正常な値であるかのようになりすまされると、本来異常と判断されなければならない事象が、異常として検知することが困難となる。

このような課題に対し、セキュリティ保護の技術として、メッセージ認証またはディジタル署名などがある。しかし、これらは、既知の攻撃シナリオに対して対策された技術であり、未知のサイバー攻撃に対応できるとは限らない。例えば、通信データが、正常な値であるかのようになりすまされると、異常として検知することが困難となる。そのため、通信データだけでなく車両またはＥＣＵの挙動を監視する必要が生じる。

未知のサイバー攻撃対策の一つとして、セキュアブートがある。しかし、起動時にメモリチェックを行うため、走行中に攻撃を受けた場合には対応できない。また、走行中、常にメモリをチェックすると処理負荷が大きい課題がある。そこで、走行中に未知のサイバー攻撃を受けても制御処理の処理負荷に大きな影響を与えずに異常を検知し、車を通常に走行可能にする仕組みが必要である。

特許文献１は、複数のプロセスを実行するＣＰＵを監視するために、複数のプロセスの実行状況に基づいて複数のプロセスの相互間の依存関係を抽出し、抽出した依存関係に基づいて複数のプロセスの動作の異常を検出することができるものである。

特許文献２は、電子制御装置の機能シーケンスの処理順番、実行条件、実行タイミング、および制御値などが、正規の状態から逸脱した場合、異常を検出することができるとしている。

特許第５３６５２７３号公報 国際公開第２０１９／１５９６１５号

特許文献１では、プロセスの実行順序および実行時間が正常であるが、プロセスの中身の処理の値が改ざんされている場合、異常を検知できない。また、複数のプロセス完了後に異常検知判定を行うため、単一プロセスの処理途中で異常が生じた場合、異常を検知するまでに時間がかかる。

また、特許文献２では、機能シーケンスの処理順番および制御値を対象としているが、シーケンスのステップ毎の出力値までは対象としていない。未知のサイバー攻撃によってシーケンスのステップの中で別の新たな処理が追加された場合、シーケンスは正常なルートを通り本来の制御値が実行されるが、このシーケンスと並行して制御に関わる重要な値が、追加された別の新たな処理により処理されてしまうような異常が起きると、検知することができない。また、シーケンスのステップで起きた異常は、シーケンスが終了しないと検知できない。

本願は、このような問題を解決するためになされたものであり、制御処理を実行する制御値を演算する演算処理において、ステップ毎に異常であるか否かを判定することにより、走行中の車両でも、未知のサイバー攻撃を受けても早期に異常を検知することができる制御システムを得ることを目的とする。

本願に開示される制御システムは、
制御装置の制御処理を実行する制御部、制御処理の制御値を複数ステップの演算処理によって演算する演算部、制御部の演算処理の実行順序および演算処理のステップ間の出力値の、正常時の情報が予め記憶されている記憶部、実行された演算処理の実行順序と演算処理のステップ間の出力値の、実行時の情報を取得する取得部、正常時の情報と実行時の情報とを比較する比較部、比較された演算処理の実行順序および演算処理のステップ間の出力値の少なくともいずれかが一致していない場合、異常と判定する判定部、を備えることを特徴とする。

本願に開示される制御システムによれば、走行中の車両でも、未知の攻撃による車両の異常を早期に検知し、車両を通常に走行することができる。

実施の形態１に係る制御システムを搭載した車両を説明する図である。 実施の形態１に係る制御装置の機能ブロック図である。 実施の形態１に係る制御装置の別の機能ブロック図である。 実施の形態１に係るメモリの検査から書き換えまでを説明する図である。図４Ａが特定部の動作、図４Ｂがメモリ検査部の動作、図４Ｃが書換部の動作を説明する図である。 制御部のハードウエア構成の一例を示す図である。 実施の形態１に係る制御システムの制御処理を３つの演算処理のステップにより行うフローチャートである。 実施の形態１に係る制御システムの制御処理時の異常検出処理を説明するフローチャートである。 実施の形態１に係る制御システムの正常動作時の演算部の演算処理の実行順序とステップ間の出力値を、記憶部に記憶するまでの処理の流れを示すフローチャートである。 実施の形態１に係る制御システムの判断部が行う判断処理のフローチャートである。 実施の形態１に係る制御システムの異常判定時の処理を説明するフローチャートである。

以下に、本願の制御システムの好適な実施の形態について、図面を用いて説明する。特に、制御システムの具体例として、制御対象を車両および車載機器とする車載制御装置（ＥＣＵ）の制御システムに適用する場合について、詳細に説明する。なお、同一内容および相当部については同一符号を配し、その詳しい説明は省略する。以降の実施形態も同様に、同一符号を付した構成について重複した説明は省略する。

実施の形態１．

図１は、実施の形態１に係る制御システムを適用したＥＣＵ（以下、制御装置１０と称す）を搭載した車両を説明する図である。制御装置１０は、車両１内の他の制御装置２０と、通信線３０、例えばＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）、を介して接続されていてもよい。

<制御装置１０内の各機能>
図２は、制御装置１０の機能ブロック図である。制御装置１０は、制御部１００、演算部１０１、記憶部１０２、取得部１０３、比較部１０４、判定部１０５、判断部１０６、車両状態管理部１０７、周辺状況管理部１０８、特定部１０９、メモリ検査部１１０、待機用制御部１１１、切替部１１２、書換部１１３および通知部１１４を備えている。以下各構成要素を詳述する。

制御部１００は、車内に搭載されている制御対象の機器を制御する機能を有している。制御装置１０に１つ、もしくは複数存在してもよい。なお、図１で示す制御対象の機器２は、詳細には説明しないが、アクチュエータ等が該当する。以下単に制御対象２として説明する。

制御部１００は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、及びＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）から、制御対象２に対応した制御用プログラムデータを読み出し、読み出したプログラムを実行することで、制御対象２を制御する。制御方法は複数存在してもよい。例えば、条件Ａの場合には、制御値Ｘを実行し、条件Ｂの場合には、制御値Ｙを実行する。

演算部１０１は、制御部１００の制御処理で用いる制御値を演算する。この制御値を演算するための演算処理は、複数のステップからなる。また、演算処理は複数存在してもよい。例えば、演算処理Ｃにより制御値Ｘを演算し、演算処理Ｄにより制御値Ｙを演算する。

記憶部１０２は、後述する取得部１０３で取得した、演算部１０１で使用する演算処理ステップの実行順序と、ステップ毎の出力値を記憶部１０２内の特定の領域（ここでは、「実行時のメモリ」と称す）に記憶する。また、制御部１００と演算部１０１の正常動作時の動作プログラム、および動作時に使用する制御値と演算処理のステップ毎の出力値を、「実行時のメモリ１０２１」の領域と異なる領域（ここでは、「正常動作時のメモリ１０２２」と称す）に記憶している。追って図４にて詳述する。

記憶部１０２に記憶する情報は、ＨＳＭ（Ｈａｒｄｗａｒｅ Ｓｅｃｕｒｉｔｙ Ｍｏｄｕｌｅ）により暗号鍵管理を行ってもよい。また、記憶する情報を圧縮してもよく、もしくはセキュリティ強化のため、記憶する情報に演算を加えた結果で記憶してもよい。例えば、暗号化またはハッシュ、ＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）として記憶する方法がある。

取得部１０３は、実行時に、演算部１０１で使用する演算処理ステップの実行順序とステップ毎の出力値を取得する。取得するタイミングは演算処理のステップ毎に取得する、もしくは演算処理終了時までに取得したいタイミングでもよい。取得されたステップの実行順序とステップ毎の出力値は記憶部１０２の、「実行時のメモリ１０２１」に記憶する。

比較部１０４は、記憶部１０２に予め記憶している正常動作時の演算処理ステップの実行順序とステップ毎の出力値と、取得部１０３で取得した、実行時の演算処理ステップの実行順序とステップ毎の出力値とを比較する。また、比較するタイミングは、ステップ毎、もしくは演算処理終了時までに比較したいタイミングでもよい。

判定部１０５は、比較部１０４の比較結果が一致しなかった場合、異常と判定する。すなわち、異常と判定するには、比較結果が、演算処理ステップの実行順序と、ステップ毎の出力値のどちらか一方が一致しない、もしくはどちらも一致しない場合でもよい。また、判定方法は、演算処理ステップの実行順序、ステップ毎の出力値に限らず、演算処理の実行時間など、他の情報を追加してもよい。

判定部１０５が異常と判定した場合は、異常検出処理に移行する。正常と判定した場合は、制御部１００の制御処理を引き続き実行する。

判断部１０６は、制御装置１０の複数の制御部から、どの制御部を優先的に検査するかの優先順位をつける。制御部１００が複数の制御部Ａ～Ｃで構成される制御装置１０の例を図３に示す。取得部１０３は判断部１０６の判断結果から、制御部Ａと制御部Ｂと制御部Ｃの中から対象とする制御部を決定する。制御装置１０に１つの制御部しかない場合、優先順位はつけない。

判断部１０６は、さらに、後述する車両状態管理部１０７と周辺状況管理部１０８の情報を基に、取得部１０３が情報を取得する対象とすべき制御部１００を判断する。具体的には、サイバー攻撃によって車両が乗っ取られた場合に、被害の影響が大きくなる制御を優先する。例えば、図３の制御部Ａにおいて、スピード急上昇時の「走る」に関連する処理、渋滞での「曲がる」に関連する処理、または天候が雪の場合の「止まる」に関連する処理が行われる場合、この制御部Ａを優先する判断を行う。

車両状態管理部１０７は、車両の動作状態を管理する。動作状態とは、例えば、車両が、「走る」、「曲がる」、「止まる」などといった状態を示す。制御装置１０以外の他の制御装置、例えば図１の制御装置２０から動作状態を取得してもよい。

周辺状況管理部１０８は、車両の周辺状況を管理する。周辺状況とは、例えば、渋滞などの交通状況、または雪などの天候などを示す。制御装置１０以外の他の制御装置、例えば図１の制御装置２０から周辺状況を取得してもよい。

特定部１０９は、判定部１０５で異常と判定された場合、図４Ａで示すように、記憶部１０２の、「実行時のメモリ１０２１」に記憶された、実行時の演算処理ステップの実行順序から異常の原因となるメモリの範囲を特定する。具体的には、取得部１０３から取得した情報を記憶部１０２に記憶した、すなわち、ＲＡＭおよび／またはＲＯＭ内に記憶した、実行した演算処理に関連する「実行時のメモリ１０２１」中の該当範囲を読み出し、特定する。

メモリ検査部１１０は、図４Ａに示すように、特定部１０９によって特定したメモリ中の該当範囲において、記憶部１０２に予め記憶している「正常動作時のメモリ１０２２」と一致するかを検査し、差異のある範囲を検出する。検査結果より、差異のある範囲を検出した例を図４Ｂに示す。メモリと一致するかを検査する方法は、メモリを分割して一致するかを検査してもよい。また、メモリデータをハッシュ化など圧縮して検査してもよい。処理高速化のために、ＨＳＭで検査してもよい。

待機用制御部１１１は、制御部１００と同じ制御処理を実行することが可能な制御部１００とは別の制御部である。具体的には、通常の制御処理では実行されない。切替部１１２より、切替処理が実行された場合のみ、制御処理を実行する。切替後すぐに実行するために、予め起動しておいてもよい。

切替部１１２は、判定部１０５で異常と判定された場合、制御部１００の制御処理を待機用制御部１１１の制御処理に切り替える。切替後に制御部１００は、機能を停止してもよい、もしくは機能を一部縮退して実行してもよい。

書換部１１３は、図４Ｃに示すように、切替部１１２によって制御部１００の制御処理が待機用制御部１１１に切替後、メモリ検査部１１０で検出した差異のある範囲を、「正常動作時のメモリ１０２２」から「実行時のメモリ１０２１」が記憶されている記憶部１０２のＲＯＭおよび／またはＲＡＭに書き換える。

通知部１１４は、判定部１０５により異常と判定された情報と書換部１１３の書換結果を制御装置１０の外部へ通知する。通知方法は、異常と判定された情報と書換結果を同時に通知してもよい、もしくは別々に通知してもよい。通知先は、ダッシュボードの表示画面などにより運転手に通知する。もしくは車外の通知センターでもよい。また、通知内容は、異常情報、攻撃情報、または注意喚起などである。この通知内容をダッシュボードの表示画面に、例えば、「異常」、「正常」、「異常に対処した」、「攻撃された」、「スピード注意」などと表示してもよい。

制御装置１０内のマイコンのハードウエアの一例を図５に示す。プロセッサ３と記憶装置４から構成され、図示していないが、記憶装置は、上述したＲＡＭの揮発性記憶装置と、上述したＲＯＭ、またはフラッシュメモリ等の不揮発性の補助記憶装置とを具備する。また、フラッシュメモリの代わりにハードディスクの補助記憶装置を具備してもよい。プロセッサ３は、上述したように、記憶装置４のＲＡＭおよびＲＯＭから入力されたプログラムを実行する。この場合、補助記憶装置（例えばＲＯＭ）から揮発性記憶装置（例えばＲＡＭ）を介してプロセッサ３にプログラムが入力される。また、プロセッサ３は、演算結果等のデータを記憶装置４の揮発性記憶装置（例えばＲＡＭ）に出力してもよいし、揮発性記憶装置を介して補助記憶装置にデータを保存してもよい。図２で示された機能ブロック図の各機能の内、記憶部１０２以外の機能は、プロセッサにより実行されてもよく、記憶装置４内に記憶部１０２の機能が存在していてもよく、プロセッサ３内に記憶部１０２の一部の機能が存在していてもよい。これらのハードウエアに加え、ＨＳＭなどのセキュリティのためのハードウエアを追加してもよい。

<制御処理>
次に、制御装置１０の制御処理について、図６を用いて詳細に説明する。図６は、実施の形態１に係る制御部１００の制御処理開始から、演算部１０１の３つの演算処理ステップの演算処理により制御値を演算し、制御処理を実行するまでの処理の流れを示すフローチャートである。演算処理のステップ数は、３つのステップに限らないことは言うまでもない。

まず、制御部１００は、制御処理を開始する（ステップＳ２０１）。この制御処理とは、例えば、（１）演算部１０１で制御値を演算するために、制御装置１０または制御装置２０、またはそれらに接続されたセンサから、制御対象２を制御するための様々な車両の状態（例えば故障など）を検知する。（２）検知した車両の状態に基づいて、ＲＯＭまたは／およびＲＡＭから制御対象２に対応した制御用プログラムデータを読み出し、制御対象２を制御するための制御値の演算を演算部１０１に指示するなどの処理である。

演算部１０１は、制御値を演算するための演算処理のステップ１を実行する（ステップＳ２０２）。ステップ１終了後、異常検出処理を行う（ステップＳ２０３）のと並行して、演算処理のステップ２を実行する（ステップＳ２０４）。
演算処理のステップとは、例えば、プロセッサに１つの演算を実行させるための、アセンブリ言語単位の命令、または機械語の命令セット単位での命令でもよい。また、複数の演算を行わせて、１つの出力を得る場合は複数の演算を１つの処理ステップとしてもよい。例えば、算術演算命令と論理演算命令を合わせた結果、１つの出力を得るのであれば、２つの命令を１つの演算処理ステップとしてもよい。

演算部１０１は、演算処理のステップ２終了後、異常検出処理を行う（ステップＳ２０３）のと並行して、演算処理のステップ３を実行する（ステップＳ２０５）。

全ての演算処理が終了し、演算処理により得られた制御値に基づいて、制御用プログラムを実行することにより、制御部１００において制御対象２の制御を実行する（ステップＳ２０６）。その後、制御処理を終了する。

より具体的な例を次に説明する。
（１）ステップＳ２０１の制御処理により、センサＡ、Ｂ、Ｃ、Ｄの状態ａ、ｂ、ｃ、ｄを検知する。
（２）ステップＳ２０２の演算処理ステップ１により、センサＡの状態ａとセンサＢの状態ｂの論理和Ｐを演算した後、ステップＳ２０３により異常検出処理を行う。
（３）ステップＳ２０４の演算処理ステップ２により、センサＣの状態ｃとセンサＤの状態ｄの論理和Ｑを演算した後、ステップＳ２０３により異常検出処理を行う。
（４）ステップＳ２０５の演算処理ステップ３により、論理和Ｐと論理和Ｑの論理積ｍを演算した後、ステップＳ２０３により異常検出処理を行う。
（５）ステップＳ２０６により、論理積ｍに基づいて、制御対象２に制御Ｍを実行する。

<異常検出処理>
次に、図６に示した異常検出処理について、図７を用いて詳細に説明する。図７は、実施の形態１に係る制御部１００の制御開始から異常を検出するまでの処理の流れを示すフローチャートである。

上述したステップＳ２０１からステップＳ２０６のように、制御部１００は、制御処理の実行を開始しており、演算部１０１は、制御処理の制御値を演算する演算処理を開始している。

取得部１０３は、演算部１０１の演算処理の実行順序を取得する（ステップＳ３０１）。実行順序は、例えば、プロセッサ３で行う算術演算命令、論理演算命令など、各命令単位でもよく、ある特定の命令、例えば算術演算命令のみの実行順序でもよい。上述した例では、論理和Ｐ、論理和Ｑおよび論理積ｍである。

取得部１０３は、演算部１０１の演算処理のステップ間の出力値を取得する（ステップＳ３０２）。上述した例では、論理和Ｐによる出力値（ａ＋ｃ）、論理和Ｑによる出力値（ｃ＋ｄ）、論理積ｍによる出力値（ａ＋ｃ）＊（ｃ＋ｄ）である。

比較部１０４は、取得した演算処理の実行順序と記憶部１０２に予め記憶している演算処理の実行順序を比較する（ステップＳ３０３）。

比較部１０４は、取得した演算処理のステップ間の出力値と記憶部１０２に予め記憶している演算処理のステップ間の出力値を比較する（ステップＳ３０４）。

演算処理の実行順序または演算処理のステップ間の出力値の比較結果のいずれか、または両方が一致するか否かを判定する（ステップＳ３０５）。少なくとも比較結果のいずれかが一致しなかった場合は、異常判定時の処理を行う（ステップＳ３０６）。比較結果の両方が一致した場合は、異常検出処理を終了する。

判定部１０５が異常と判定された場合、異常判定時の処理として車両を通常に走行するための処理に移行する。異常判定時の処理終了後、異常検出処理を終了する。

<記憶部１０２の記憶処理>
次に、制御部１００の制御処理実行前の記憶部１０２の記憶処理について、図８を用いて詳細に説明する。図８は、実施の形態１に係る制御部１００の正常動作時の演算部１０１の演算処理の実行順序と演算処理のステップ間の出力値を、記憶部１０２内の、「正常動作時のメモリ」に記憶するまでの処理の流れを示すフローチャートである。この記憶処理は、工場出荷前に行う処理である。

まず、制御部１００は、制御処理の実行を開始する。演算部１０１は、制御処理の制御値を演算する演算処理を開始する（ステップＳ４０１）。

記憶部１０２は、演算部１０１の演算処理の実行順序を記憶する（ステップＳ４０２）。

記憶部１０２は、演算部１０１の演算処理のステップ間の出力値を記憶する（ステップＳ４０３）。

記憶部１０２は、制御部１００で行われる制御処理に関する全てのプログラムを記憶する。言い換えると、ハードウエアのＲＯＭとＲＡＭ内の制御処理実行のためのソフトウエアを全て記憶する（ステップＳ４０４）。

記憶部１０２は、演算部１０１で行われる演算処理に関する全てのプログラムを記憶する。言い換えると、ハードウエアのＲＯＭとＲＡＭ内の演算処理実行のためのソフトウエアを全て記憶する（ステップＳ４０５）。

記憶処理方法はステップ毎に記憶してもよく、すべての制御処理終了後にまとめて記憶してもよい。

<判断部１０６による判断処理>
次に、取得部１０３が、対象とする制御部１００を決定するために、判断部１０６が行う判断処理について、図９を用いて詳細に説明する。図９は、実施の形態１に係る車両状態管理部１０７と周辺状況管理部１０８の情報から判断部１０６が優先順位をつけ、取得部１０３が対象とする制御部１００を決定するまでの判断処理の流れを示すフローチャートである。ここでは、制御部１００は複数あるものとする。処理の実行タイミングは、常に行われていてもよく、一定の条件の時に行ってもよい。一定の条件とは、例えば、通常走行時、または高速道路走行時などを示す。

車両状態管理部１０７は、車両１の動作状態の情報を取得する（ステップＳ５０１）。具体的には、車両動作の「走る」、「曲がる」、「止まる」といった状態である。また、この動作状態に、より詳細な情報を加えてもよい。例えば、車速、または車両の傾きの角度などの数値情報である。また、これら情報は、他の制御装置（例えば図１の制御装置２０）に接続されたセンサなどから情報を取得してもよい。

周辺状況管理部１０８は、車両の周辺状況情報を取得する（ステップＳ５０２）。具体的には、交通状況または天候などを示す。周辺状況は、状況を細分化した情報にしてもよい。例えば、天候を例に挙げると、「晴れ」、「高温」、「曇り」、「雨」、「大雨」、「雪」、「大雪」、「強風」、「台風」などである。また、他の制御装置（例えば図１の制御装置２０）に接続されたセンサまたは受信装置から取得してもよい。

判断部１０６は、車両状態管理部１０７の車両状態情報と周辺状況管理部１０８の車両の周辺状況情報より、取得部１０３が対象とする制御部１００の優先順位を決定する（ステップＳ５０３）。具体的には、制御が乗っ取られた場合の被害の影響が大きいほど優先順位が高くなる。例えば、スピード急上昇時の、「走る」に関連する処理、渋滞での「曲がる」に関連する処理、または雪道での「止まる」に関連する処理などを示す。優先順位付けの方法は、工場出荷前に分析し、判断部１０６の判断処理に分析結果を反映する。また、ＯＴＡ（Ｏｖｅｒ ｔｈｅ ａｉｒ）などの更新時に分析結果の内容を更新してもよい。

判断部１０６は、優先順位の最も高いと判断した制御部を、取得部１０３が対象とする制御部１００と決定し（ステップＳ５０４）、その後判断処理を終了する。優先順位が最も高くなくても、車両走行において危険度が高いと判断できる場合は、その制御に該当する制御部１００の異常検出処理を先に実施してもよい。

<異常判定時の処理>
次に、図７の異常判定時の処理について、図１０を用いて詳細に説明する。図１０は、異常判定時の処理の流れを示すフローチャートである。

特定部１０９は、判定部１０５で異常と判定された場合、記憶部１０２の「実行時のメモリ１０２１」（図４参照）で記憶された、実行時の演算処理ステップの実行順序から異常の原因となるメモリの範囲を特定する（ステップＳ６０１）。具体的には、記憶部１０２に記憶された、すなわち、ＲＡＭおよび／またはＲＯＭ内に記憶した実際の処理に関連するメモリ中の該当範囲を読み出し、特定する。

メモリ検査部１１０は、特定部１０９によって特定した範囲が記憶部１０２で記憶しているメモリと一致するかのメモリチェックをし、差異のある範囲を検出する（ステップＳ６０２）。

切替部１１２は、判定部１０５で異常と判定された場合、制御部１００の制御処理を待機用制御部１１１の制御処理に切り替える（ステップＳ６０３）。

切替部１１２は、制御部１００の制御処理を停止する、または機能を一部縮退する（ステップＳ６０４）。

書換部１１３は、切替部１１２によって制御部１００の制御処理を待機用制御部１１１の制御処理に切替後、メモリ検査部１１０で検出した記憶部１０２で記憶しているメモリの差異のある範囲をＲＯＭおよび／またはＲＡＭに書き換える（ステップＳ６０５）。

通知部１１４は、判定部１０５より異常と判定された情報と書換部１１３の書換結果を制御装置１０の外部へ通知し異常判定時の処理を終了する。通知方法は、異常情報と書換結果を同時に通知する（ステップＳ６０６）。通知は、別々に通知してもよい。通知先は表示画面で運転手に警告してもよい。

なお、以上説明した実施の形態１では、本願に係る制御システムを車載制御システムとして使用する例について説明した。しかしながら、本願に係る制御システムは、これに限られるものでない。例えば、高いセキュリティ強度を有し、かつ、早期に制御装置の異常を検出する仕組みを必要とする、通信線に接続された制御装置の制御システムに利用することができる。

以上説明した本願に係る実施の形態１によれば、制御処理において以下のような効果が得られる。
制御処理に用いられる制御値の演算処理の実行順序と演算処理のステップ間の出力値が正常動作時と比べて一致するか否かを比較することで、制御処理の異常を検出する構成を備えている。これにより、通信データに基づいた制御値または処理順序に特化した検出方法に限らず、未知のサイバー攻撃によって制御値、処理順序がなりすまされても、異常を検出することができる。

また、制御処理に用いられる制御値の演算処理の実行順序と演算処理のステップ間の出力値が正常動作時と比べて一致するか否かを、各ステップが終了する毎に比較することで、制御処理の異常を、制御処理が終了する前に早期に検出することができる。

また、制御部の制御処理と同じ制御をすることが可能な待機用制御部を備え、制御部が異常と判定された場合、制御処理を待機用制御部に切り替える構成を備えている。これにより通常の走行を保つことができる。

また、異常検出処理の対象となる制御部に優先順位をつけ、優先すべき制御処理を判断する構成を備えている。これによりサイバー攻撃によって被害の影響が大きい処理に優先的に対応することができ、被害を最小に抑えることができる。また、すべての制御処理に異常検出処理を行う場合に比べ、処理負荷を抑えることができる。

また、車両の動作状態を管理し、車両の動作状態より異常検出処理の対象となる制御部に優先順位をつけ、優先すべき制御処理を判断する構成を備えている。これにより車両動作の面から、制御が乗っ取られると被害の影響が大きい制御処理に優先的に対応することができる。

また、車両の周辺状況を管理し、車両の周辺状況より異常検出処理の対象となる制御部に優先順位をつけ、優先すべき制御処理を判断する構成を備えている。これにより周辺環境または交通状況の面から、制御が乗っ取られると被害の影響が大きい制御処理に優先的に対応することができる。

また、制御処理の異常と判定された場合、演算処理の実行順序から異常の原因となるメモリの範囲を特定する構成を備えている。これによりメモリチェックによってメモリの異常個所を検出する場合、全てのメモリではなく部分的にメモリチェックをすることができ、メモリチェック処理の効率化を図ることができる。

また、制御処理の異常と判定された場合、特定したメモリの範囲でメモリチェックを行い、制御処理の正常動作時に記憶していたメモリとの差異のある範囲を検出する構成を備えている。これにより未知のサイバー攻撃によって改ざんされたメモリの位置を検出できる。

また、制御処理の異常と判定された場合、制御処理を待機用制御部の制御処理に切り替え、制御処理の正常動作時に記憶していたメモリとの差異のある範囲をメモリに書き換える構成を備えている。これにより新たなバックドアを作られないように対処できる。

また、制御処理の異常と判定された情報と、書換結果を制御装置外部へ通知する構成を備えている。これにより運転手にサイバー攻撃されたことを即座に伝えることできる。また、攻撃を報知された運転手は車両の検査を迅速に行うことができる。

本願は、例示的な実施の形態が記載されているが、実施の形態に記載された様々な特徴、態様、及び機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。
従って、例示されていない無数の変形例が、本願明細書に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合が含まれるものとする。

１０：制御装置、１００：制御部、１０１：演算部、１０２：記憶部、１０３：取得部、１０４：比較部、１０５：判定部、１０６：判断部、１０７：車両状態管理部、１０８：周辺状況管理部、１０９：特定部、１１０：メモリ検査部、１１１：待機用制御部、１１２：切替部、１１３：書換部、１１４：通知部。

Claims (10)

1. 制御装置の制御処理を実行する制御部、
   前記制御処理の制御値を複数ステップの演算処理によって演算する演算部、
   前記制御部の演算処理の実行順序および演算処理のステップ間の出力値の、正常時の情報が予め記憶されている記憶部、
   実行された演算処理の実行順序と演算処理のステップ間の出力値の、実行時の情報を取得する取得部、
   前記正常時の情報と前記実行時の情報とを比較する比較部、
   比較された演算処理の実行順序および演算処理のステップ間の出力値の少なくともいずれかが一致していない場合、異常と判定する判定部、
   を備えることを特徴とする制御システム
2. 前記比較部は、実行される前記演算部の複数ステップの演算処理の中で、各ステップが終了する毎に前記演算処理の実行順序と前記演算処理のステップ毎の出力値を比較し、少なくともいずれかの比較結果が一致しない場合、前記判定部によって、前記制御部の異常を判定することを特徴とする請求項１に記載の制御システム。
3. 前記制御部と同じ制御をすることが可能な前記制御部とは別の待機用制御部と、
   前記判定部より異常と判定された場合、前記制御部の制御処理を前記待機用制御部の制御処理へ切り替える切替部と、
   を備える請求項１または２に記載の制御システム。
4. 前記制御部は複数あり、複数の制御部の内、前記取得部が対象とする制御部の優先順位をつける判断部を備え、前記取得部は、優先順位の高い制御部の制御処理の制御値を演算する複数ステップの演算処理の実行順序と前記演算部の演算処理のステップ間の出力値を取得することを特徴とする請求項１または２に記載の制御システム。
5. 前記制御装置は、車両に搭載されており、前記車両の動作状態を管理する車両状態管理部を備え、前記判断部は、前記車両状態管理部の出力に基づいて、前記取得部が対象とする制御部の優先順位をつけることを特徴とする請求項４に記載の制御システム。
6. 前記制御装置は、車両に搭載されており、前記車両の周辺状況を管理する周辺状況管理部を備え、前記判断部は、前記周辺状況管理部の出力に基づいて前記取得部が対象とする制御部の優先順位をつけることを特徴とする請求項４または５に記載の制御システム。
7. 前記判定部により異常と判定された場合、前記記憶部で記憶している演算処理の実行順序のうち、異常の範囲を特定する特定部を備える請求項１から６のいずれか一項に記載の制御システム。
8. 前記記憶部は、前記取得部で取得された、前記実行時の情報を記憶し、前記特定部で特定された異常の範囲において、前記実行時の情報と前記正常時の情報との差異のある部分を検出するメモリ検査部を備える請求項７に記載の制御システム。
9. 前記制御部と同じ制御をすることが可能な前記制御部とは別の待機用制御部と、前記判定部より異常と判定された場合、前記制御部の制御処理を前記待機用制御部の制御処理へ切り替える切替部と、前記切替部で、前記待機用制御部に切替後、前記メモリ検査部で検出した差異のある部分を前記正常時の情報に書き換える書換部を備える請求項８に記載の制御システム。
10. 前記判定部で判定された異常に関する情報と前記書換部の書換結果を前記制御装置の外部へ通知する通知部を備える請求項９に記載の制御システム。

Images