JP7380473B2 - セキュリティ監視システム - Google Patents

Description

本発明は、サイバー攻撃を検知・分析する装置であって、主として車外に設けられているセキュリティ監視システムに関する。

近年、車車間通信や路車間通信のようなＶ２Ｘをはじめ、運転支援や自動運転制御を行う技術が注目されている。これに伴い、車両が通信機能を備えるようになり、いわゆる車両のコネクティッド化が進んでいる。この結果、車両がサイバー攻撃を受ける可能性が増加している。サイバー攻撃に伴い車両のコントロールを失う可能性があるため、サイバー攻撃に対してより強固な防御手段が必要となる。

ここで、特許文献１には、交通手段に対するコンピュータ攻撃を阻止するためのシステムの開示がある。
また、特許文献２には、車両に用いるソフトウェアのバージョン別にリスクポイントを管理する情報処理装置の開示がある。

特開２０１９－１９４８３１号公報 特開２０２０－６５２４２号公報

ここで、本発明者は、以下の課題を見出した。
車両に用いられる車載装置を構成する電子制御装置（ＥＣＵ）に対してソフトウェアを配信するソフトウェア配信管理サーバ（ＯＴＡセンタ：Over The Air Center）がある。ソフトウェア配信は、サイバー攻撃に対する対応、復旧方法の一つとして有効である。しかし、セキュリティ監視システムとソフトウェア配信管理サーバとは通常連携されておらず、サイバー攻撃に対する対応、復旧方法として確立されていなかった。

本発明は、セキュリティ監視システムとソフトウェア配信管理サーバとを連携して運用できる、セキュリティ監視システムを実現することを目的とする。
その他、本発明は、サイバー攻撃に対する検知、対応、復旧を迅速に進めることができる装置、方法、プログラムを実現することを目的とする。

本開示のセキュリティ監視システム（１００）は、
移動体の異常を検知し、対応方法を分析するセキュリティ監視システムであって、
前記移動体からセキュリティログを受信する受信部（１０１）と、
前記セキュリティログを分析してサイバー攻撃があったかどうかを判定する攻撃判定部（１０３）と、
ソフトウェア配信管理サーバ（ＯＴＡセンタ）との交信が許可されているかどうかを確認する動的対応許可確認部（１０４）と、
前記ＯＴＡセンタとの交信が許可されている場合、前記ＯＴＡセンタに対して所定の情報を要求する情報要求部（１０５）と、
受信した所定の情報に基づき、前記ＯＴＡセンタに対し前記移動体のソフトウェア更新を実行するよう指示する実行指示部（１０６）と、
を有する。

なお、特許請求の範囲、及び本項に記載した発明の構成要件に付した括弧内の番号は、本発明と後述の実施形態との対応関係を示すものであり、本発明を限定する趣旨ではない。

上述のような構成により、セキュリティ監視システムとソフトウェア配信管理サーバとを連携して運用することが可能となり、その結果サイバー攻撃に対する検知、対応、復旧を迅速に進めることができる。
また、その他の構成により、サイバー攻撃に対する検知、対応、復旧を迅速に進めることができる。

本開示の実施形態の構成装置群の全体図 本開示の実施形態のセキュリティ監視システムの構成例を示すブロック図 本開示の実施形態の構成装置群の動作を示すフローチャート１ 本開示の実施形態の構成装置群の動作を示すフローチャート２ 本開示の実施形態の構成装置群の動作を示すフローチャート３ 本開示の実施形態の構成装置群の動作を示すフローチャート４ 本開示の実施形態の構成装置群の動作を示すフローチャート５ 本開示の実施形態の構成装置群の動作を示すフローチャート６ 本開示の実施形態の構成装置群の動作を示すフローチャート７ 本開示の実施形態の構成装置群の動作を示すフローチャート８ 本開示の実施形態の構成装置群の動作を示すフローチャート９ 本開示の実施形態の構成装置群の動作を示すフローチャート１０ 本開示の実施形態の構成装置群の動作を示すフローチャート１１

以下、本発明の実施形態について、図面を参照して説明する。

なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともかぎ括弧内の語句は、特許請求の範囲又は課題を解決するための手段の項に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。

特許請求の範囲の従属項に記載の構成及び方法は、特許請求の範囲の独立項に記載の発明において任意の構成及び方法である。従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明において任意の構成及び方法である。特許請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成及び方法も、本発明の構成及び方法の例示であるという意味で、本発明において任意の構成及び方法である。いずれの場合も、特許請求の範囲の独立項に記載することで、本発明の必須の構成及び方法となる。

実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。

複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせても良い。また、複数の実施形態それぞれに開示の構成を集めて組み合わせても良い。

発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の構成及び方法と共に発明の進歩性を肯定する事実である。

１．実施形態
（１）構成装置群全体の構成
図１を用いて、本実施形態における構成装置群全体の構成をまず説明する。
なお、明細書及び図面において、機能とは、当該機能を実行する装置の部分（パーツ）や、当該機能の実行状態、及び当該機能を実行するプログラムを意味する。

移動体である車両には車載装置が搭載されている。車載装置は、外部通信機能、ＧＷ－ＥＣＵ（ゲートウェイＥＣＵ）、ソフトウェア管理機能、及びＧＷ－ＥＣＵに接続される各ＥＣＵからなる。
電子制御装置（ＥＣＵ）とは、情報を処理し特定の機能を発揮する装置であれば足り、呼称は問わない。例えば、情報処理装置、情報処理回路、制御ユニット、制御装置、計算装置、等と呼ばれる装置でもよい。また、その形態も任意であり、部品の形態として、半導体回路、半導体モジュール、半完成品の形態として電子制御装置、電子制御ユニット、完成品の形態としてサーバ、ワークステーション、パーソナルコンピュータ（ＰＣ）、スマートフォン、携帯電話、ナビゲーションシステム、であってもよい。

ソフトウェア管理機能とは、ソフトウェア配信管理サーバからダウンロードし、各ＥＣＵやＧＷ－ＥＣＵにインストールするソフトウェアと、各ＥＣＵや、ＧＷ－ＥＣＵのソフトウェア更新状態を管理する機能である。
ログ収集管理機能は、各ＥＣＵからログを収集するとともに、異常を検知する。

車載装置は、通信ネットワークを介して、セキュリティ監視システム、ソフトウェア配信管理サーバ（以下、ＯＴＡセンタとする）、及びバックエンドサーバと接続されている。

通信ネットワークは、無線通信方式の場合、例えば、ＩＥＥＥ８０２．１１（ＷｉＦｉ（登録商標））やＩＥＥＥ８０２．１６（ＷｉＭＡＸ（登録商標））、Ｗ－ＣＤＭＡ（Wideband Code Division Multiple Access）、ＨＳＰＡ（High Speed Packet Access）、ＬＴＥ（Long Term Evolution）、ＬＴＥ－Ａ（Long Term Evolution Advanced）、４Ｇ、５Ｇ等を用いることができる。あるいは、ＤＳＲＣ（Dedicated Short Range Communication）を用いることができる。
通信ネットワークは、有線通信方式の場合、例えば、ＬＡＮ（Local Area Network）やインターネット、固定電話回線を用いることができる。
無線通信ネットワークは、無線通信方式と有線通信方式とを組み合わせてもよい。例えば、車載装置とセルラーシステムにおける基地局装置との間は無線通信方式で、基地局装置とセキュリティ監視システム又はＯＴＡセンタとの間は、通信事業者の基幹回線やインターネット等の有線通信方式で、それぞれ接続されてもよい。

車載装置を構成するＧＷ－ＥＣＵや各ＥＣＵは、汎用のＣＰＵ（Central Processing Unit）、ＲＡＭ等の揮発性メモリ、ＲＯＭ、フラッシュメモリ、又はハードディスク等の不揮発性メモリ、各種インターフェース、及びこれらを接続する内部バスで構成することができる。そして、これらのハードウェア上でソフトウェアを実行することにより、図１に記載の各機能ブロックの機能を発揮させるように構成することができる。
もちろん、これらの装置を、ＬＳＩ等の専用のハードウェアで実現してもよい。

セキュリティ監視システムは、動的対応許可設定・確認機能、脆弱性情報管理機能、通知機能、分析・攻撃判定機能、ログ収集・管理機能を有する。
動的対応許可設定・確認機能は、セキュリティ監視システムとの間の更新の許可を設定する機能、及びセキュリティ監視システムとの間で交信が許可されているかどうかを確認する機能である。
脆弱性情報管理機能は、外部装置から取得した脆弱性情報を管理する機能である。
通知機能は、メーカーへのレポートを提出する機能である。
分析・攻撃判定機能は、ログを分析して、攻撃があったかどうかを判定する機能である。
ログ収集・管理機能は、車両から直接受信した、又は車両からバックエンドサーバを経由して受信したログを収集し、管理する機能である。
セキュリティ監視システムの詳細を、図２を用いて説明する。

セキュリティ監視システム１００は、「移動体」である車両の異常を検知し、対応方法を分析する装置である。
ここで、「移動体」とは、移動可能な物体をいい、移動速度は任意である。また移動体が停止している場合も当然含む。例えば、自動車、自動二輪車、自転車、歩行者、船舶、航空機、及びこれらに搭載される物を含み、またこれらに限らない。

セキュリティ監視システム１００は、受信部１０１、制御部１０２、保存部１０７、送信部１０８を有する。
制御部１０２は、受信部１０１、保存部１０７、及び送信部１０８の動作を制御するとともに、攻撃判定部１０３、動的対応許可確認部１０４、情報要求部１０５、実行指示部１０６を実現している。

受信部１０１は、車両からセキュリティログを受信する。もっとも受信するのはセキュリティログに限らず、正常ログ、異常ログ、その他車両からのデータや要求・指示を受信する。

攻撃判定部１０３は、受信部１０１で受信したセキュリティログを分析して、サイバー攻撃があったかどうかを判定する。

動的対応許可確認部１０４は、ＯＴＡセンタとの「交信」が許可されているかどうかを確認する。確認は、例えば自動車メーカーやＯＴＡセンタの所有者が発行する許可データを参照することにより実行する。あるいは、許可要求を自動車メーカーやＯＴＡセンタの所有者に対して送信するようにしてもよい。
ここで、「交信」とは、通信を行う場合の他、具体的な情報の授受や、ＯＴＡセンタに対する要求又は指示等も含む。

情報要求部１０５は、ＯＴＡセンタとの交信が許可されている場合、ＯＴＡセンタに対して所定の情報の有無を問い合わせる。そして、ＯＴＡセンタが所定の情報を有している場合、所定の情報を要求するリクエストを生成し、ＯＴＡセンタに送信する。

例えば、所定の情報は、構成情報、個車構成情報、キャンペーン情報、キャンペーン進捗情報、及びＯＴＡ契約情報の少なくとも１つである。
構成情報は、特定車種の構成に関する情報である。
個車構成情報は、個別の車両の構成に関する情報である。
キャンペーン情報は、ソフトウェアの配信に関する情報であり、例えば不具合を解消するために特定の車両に対して所定のソフトウェアの配信を決定したことを示す情報である。
キャンペーン進捗情報とは、キャンペーンがどこまで実行しているかを示す情報である。
ＯＴＡ契約情報とは、ＯＴＡセンタと個別の車両との間でソフトウェアの配信サービスの提供を約した情報である。例えば、車両のＥＣＵのソフトウェアを、ＯＴＡセンタから無線で配信されたソフトウェアに書き換えることを約した情報である。

実行指示部１０６は、リクエストに対しＯＴＡセンタから送信された所定の情報に基づき、ＯＴＡセンタに対し車両のソフトウェア更新を実行するよう指示する。実行指示に加えて、実行内容を指示するようにしてもよい。

保存部１０７は、受信部１０１で受信したセキュリティログの他、ＯＴＡセンタから受信した所定の情報を保存する。この他、保存部１０７は、過去の分析結果、レポート内容、過去の攻撃に対するメーカーの暫定対応・復旧方法、攻撃判定を支援する情報、及び脆弱性情報を保存してもよい。

送信部１０８は、車両に対し命令や情報を送信する。また、送信部１０８は、初報や定期レポートを出力する。

図１に戻り、ＯＴＡセンタは、車両に用いられる車載装置を構成する各ＥＣＵやＧＷ－ＥＣＵに対してソフトウェアを配信するソフトウェア配信管理サーバである。
ＯＴＡセンタは、動的対応許可設定・確認機能、構成情報管理機能、キャンペーン管理機能、ソフトウェア登録機能、配信機能を有する。
動的対応許可設定・確認機能は、セキュリティ監視システムとの間の更新の許可を設定する機能、及びセキュリティ監視システムとの間で交信が許可されているかどうかを確認する機能である。
構成情報管理機能は、構成情報や個車構成情報を管理、保存する機能である。
キャンペーン管理機能は、キャンペーン情報に基づき、キャンペーンの予定や実行を管理する機能である。
ソフトウェア登録機能は、配信するソフトウェアを、メーカーがＯＴＡセンタに登録する機能である。
配信機能は、通信ネットワークを介して、ソフトウェアを車両に配信する機能である。

バックエンドサーバは、自動車メーカーが保有するサーバである。
バックエンドサーバは、構成情報管理機能、個車構成情報管理機能、車両状態情報管理機能を有する。
構成情報管理機能は、構成情報を管理、保存する機能である。
個車構成情報管理機能は、個車構成情報を管理、保存する機能である。
車両状態情報管理機能は、車両から送信される車両状態情報、例えば位置情報、速度情報、ドア開閉情報等を管理、保存する機能である。車両状態情報は、車両でサイバー攻撃や異常が検知された検知結果であってもよい。

その他、公開された脆弱性情報を管理する外部装置がある。

セキュリティ監視システム、ＯＴＡセンタ、及びバックエンドサーバは、有線通信方式や無線通信方式を用いて接続されている。
セキュリティ監視システム、ＯＴＡセンタ、及びバックエンドサーバは、本実施形態では完成品としてのサーバ装置の形態を想定しているが、これに限らない。例えば、完成品の形態として、ワークステーション、パーソナルコンピュータ（ＰＣ）、半完成品の形態としてＥＣＵ、部品の形態として半導体回路素子が挙げられる。

（２）構成装置群の動作
図３から図１３を用いて、本実施形態の構成装置群の動作を示す。
なお、以下の動作は、構成装置群のそれぞれの装置で実行される方法を示すだけでなく、これらの装置で実行可能なプログラムの処理手順を示すものである。
そして、これらの処理は、図３から図１３で示した順序には限定されない。すなわち、あるステップでその前段のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

図３から図１３で示されるフローの概要は以下の通りである。
ａ：車両から検知情報、例えばログをセキュリティ監視システムへアップロード
ｂ：セキュリティ監視システムでログを分析、攻撃判定し、過去発生した事象であるかどうかを特定する。
ｃ：セキュリティ監視システムが動的に対応してよい場合、すなわちＯＴＡセンタとの交信が許可されている場合、車両を特定する情報（ＶＩＮ）を特定してＯＴＡセンタに問い合わせる。セキュリティ監視システムは、ＯＴＡセンタから、攻撃された車両に関する個車情報、キャンペーン情報、ＯＴＡ契約情報等、を取得する。
ｄ：ｃで取得した情報、及びｂの判定結果等をもとに、セキュリティ監視システムで以下の点を確認し、対応を決定する。
ｄ１：サイバー攻撃を防ぐための対応内容が決定済か？その対応内容はソフトウェア更新か？
ｄ２：ｄ１のソフトウェア更新は、キャンペーン発行済か？
ｄ３：キャンペーンは、当該車両に適用されていないか？
ｅ：セキュリティ監視システムからＯＴＡセンタへキャンペーン実行を指示

この構成及び動作により、過去に発生したサイバー攻撃で、対応内容が決定している場合、セキュリティ監視システム及びＯＴＡセンタで対応し、メーカー内での判断や処理プロセスを省略することができ、サイバー攻撃に対し迅速な対応と復旧が可能である。

図３において、初報とは、新規の攻撃に対する最初の報告をいう。
図４において、対応方法がソフトウェア更新でない場合は、ハードウェア上で対応する場合の他、ソフトウェア更新以外の方法でソフトウェアに対して処理を行う場合も含む。
図５において、動的対応許可確認とは、セキュリティ監視システム自らが判断してよいかどうかをいう。
図７において、ＯＴＡ実行可否確認とは、例えばキャンペーンの期限が切れているため、現在ソフトウェア配信を実行できないかどうかの確認等が含まれる。
図８において、見直し余地有とは、キャンペーンが複数ある場合に他のキャンペーンの実行可能性を検討したり、キャンペーンの実行条件を検討したりするなど、他の手段が存在する可能性があることをいう。
図１２において、定期レポートとは、突発的に起こるイベントを除いた、予め計画された報告をいう。

２．総括
以上、本発明の各実施形態における各装置について説明した。

各実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。

実施形態の説明に用いたブロック図は、装置の構成を機能毎に分類及び整理したものである。それぞれの機能を示すブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明、及び当該方法を実現するプログラムの発明の開示としても把握できるものである。

各実施形態に記載した処理、フロー、及び方法として把握できる機能ブロック、については、一のステップでその前段の他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

各実施形態、及び特許請求の範囲で使用する、第１、第２、乃至、第Ｎ（Ｎは整数）、の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。

各実施形態は、車両に搭載される車両用の車載装置を前提としているが、本発明は、特許請求の範囲で特に限定する場合を除き、車両用以外の専用又は汎用の装置も含むものである。

各実施形態では、各実施形態に開示の車載装置を車両に搭載する前提で説明したが、歩行者が所持する前提としてもよい。

また、本発明の車載装置、セキュリティ監視システム、及びＯＴＡセンタの形態の例として、以下のものが挙げられる。
部品の形態として、半導体素子、電子回路、モジュール、マイクロコンピュータが挙げられる。
半完成品の形態として、電子制御装置（ＥＣＵ（Electric Control Unit））、システムボードが挙げられる。
完成品の形態として、携帯電話、スマートフォン、タブレット、パーソナルコンピュータ（ＰＣ）、ワークステーション、サーバが挙げられる。
その他、通信機能を有するデバイス等を含み、例えばビデオカメラ、スチルカメラ、カーナビゲーションシステムが挙げられる。

また車載装置、セキュリティ監視システム、ＯＴＡセンタに、アンテナや通信用インターフェースなど、必要な機能を追加してもよい。

本発明のセキュリティ監視システムやＯＴＡセンタは、各種サービスの提供を目的とするために用いられることが想定される。かかるサービスの提供に伴い、本発明の装置（システム）が使用され、本発明の方法が使用され、又は／及び本発明のプログラムが実行されることになる。

加えて、本発明は、各実施形態で説明した構成及び機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記録媒体に記録した本発明を実現するためのプログラム、及びこれを実行可能な専用又は汎用ＣＰＵ及びメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。

専用や汎用のハードウェアの非遷移的実体的記録媒体（例えば、外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ／ＢＤ等）、又は内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記録媒体を介して、あるいは記録媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。

本発明の各装置は、車両以外を対象とすることもできる。
また、携帯電話やタブレット、ゲーム機等、様々な用途に用いられる装置に適用可能である。

１００ セキュリティ監視システム、１０１ 受信部、１０２ 制御部、１０３ 攻撃判定部、１０４ 動的対応許可確認部、１０５ 情報要求部、１０６ 実行指示部、１０７ 保存部、１０８ 送信部

Claims (4)

1. 移動体の異常を検知し、対応方法を分析するセキュリティ監視システムであって、
   前記移動体からセキュリティログを受信する受信部（１０１）と、
   前記セキュリティログを分析してサイバー攻撃があったかどうかを判定するとともに、過去の攻撃判定結果から対応方法がソフトウェア更新であるか否かを判定する攻撃判定部（１０３）と、
   ソフトウェア配信管理サーバ（ＯＴＡセンタ）との交信が許可されているかどうかを確認する動的対応許可確認部（１０４）と、
   前記ＯＴＡセンタとの交信が許可されている場合、かつ前記対応方法がソフトウェア更新であると判定した場合、前記ＯＴＡセンタに対して所定の情報を要求する情報要求部（１０５）と、
   受信した所定の情報に基づき、前記ＯＴＡセンタに対し前記移動体のソフトウェア更新を実行するよう指示する実行指示部（１０６）と、
   を有するセキュリティ監視システム（１００）。
2. 前記所定の情報は、構成情報、個車構成情報、キャンペーン情報、キャンペーン進捗情報、及びＯＴＡ契約情報の少なくとも１つである、
   請求項１記載のセキュリティ監視システム。
3. 移動体の異常を検知し、対応方法を分析するセキュリティ監視システムで実行するセキュリティ監視方法であって、
   前記移動体からセキュリティログを受信し、
   前記セキュリティログを分析してサイバー攻撃があったかどうかを判定するとともに、過去の攻撃判定結果から対応方法がソフトウェア更新であるか否かを判定し、
   ソフトウェア配信管理サーバ（ＯＴＡセンタ）との交信が許可されているかどうかを確認し、
   前記ＯＴＡセンタとの交信が許可されている場合、かつ前記対応方法がソフトウェア更新であると判定した場合、前記ＯＴＡセンタに対して所定の情報を要求し、
   受信した所定の情報に基づき、前記ＯＴＡセンタに対し前記移動体のソフトウェア更新を実行するよう指示する、
   セキュリティ監視方法。
4. 移動体の異常を検知し、対応方法を分析するセキュリティ監視システムで実行可能なセキュリティ監視プログラムであって、
   前記移動体からセキュリティログを受信し、
   前記セキュリティログを分析してサイバー攻撃があったかどうかを判定するとともに、過去の攻撃判定結果から対応方法がソフトウェア更新であるか否かを判定し、
   ソフトウェア配信管理サーバ（ＯＴＡセンタ）との交信が許可されているかどうかを確認し、
   前記ＯＴＡセンタとの交信が許可されている場合、かつ前記対応方法がソフトウェア更新であると判定した場合、前記ＯＴＡセンタに対して所定の情報を要求し、
   受信した所定の情報に基づき、前記ＯＴＡセンタに対し前記移動体のソフトウェア更新を実行するよう指示する、
   セキュリティ監視プログラム。