JP7491424B2 - ソフトウェアパッケージ構成情報の保護 - Google Patents

Description

本明細書で説明する主題は、概して、ソフトウェアパッケージ構成情報を保護するためのシステム及び方法に関し、より具体的には、ソフトウェアパッケージ構成の安全な登録及び監視に関する。

従来、車両のセキュリティには、車両の所有者が物理的なキーを使用してドアをロックする、及び／又は、手動で車両を始動することが含まれていた。技術が進歩するにつれて、車両システムは、追加機能を含むより複雑なシステムに移行したが、追加の／異なるリスクに直面することにもなった。例えば、現在、多くの車両には、オペレーティングシステム、アプリケーション、及び様々な機能を提供するためのソフトウェアパッケージの様々な組み合わせを含み得るその他のソフトウェアなど、複雑なソフトウェアシステムを実装する電子システムが含まれている。

ソフトウェアパッケージの管理は、車両が、様々なハードウェア（例えば、センサ）などとともに機能し得る様々なオペレーティングシステム、アプリケーションなどを備えた複数の異なるシステムを含み得ることを考慮した場合、複雑なタスクになる可能性がある。従って、一例として、記載した問題の認識は、インストールされたコンポーネントに関する正確な知識に依拠することになるので、ソフトウェアパッケージの更新の管理、脆弱性の特定などは、通常、インストールされた様々なパッケージの正確な追跡に依存する。ただし、ソフトウェアパッケージの管理は、車両に実装されているソフトウェアに関する機密情報を暴露する可能性がある。例えば、敵対者は、車両のシステムのリバースエンジニアリングを容易とするために、ソフトウェアパッケージの知識を利用することができる。そのため、利用可能なアプローチは、適切なセキュリティを提供しない可能性があり、別の脆弱性につながる可能性がある。

一実施形態では、ソフトウェア管理環境においてソフトウェア構成情報を保護することに関連する例示的なシステム及び方法が開示される。前述のように、車両は、様々な機能を提供するため、複雑なソフトウェアを実装した複雑な電子システムを含むことがある。そして、複雑さが増すと、そのようなソフトウェアの管理に問題が生じる。特に、ソフトウェアには、エンティティがインストール後に発見する可能性のある脆弱性が含まれる可能性がある。このため、ソフトウェアパッケージの管理と、記載した脆弱性の監視は、関連するシステムの継続的な機能を確保するための重要な側面になる。ただし、インストールされているソフトウェアの安全対策が施されていないリストを提供すると、車両システムの構成に関する機密情報が敵対者に渡るなど、悪影響につながる可能性があるため、ソフトウェアの管理は、複合サービスのコンテキストにおいて独特の困難さをもたらす。

従って、１つのアプローチにおいて、開示のシステムは、脆弱性に関してソフトウェアを管理するメカニズムを実装しながら、ソフトウェアパッケージに関する情報を隠すように機能する。例えば、少なくとも１つのアプローチでは、ソフトウェア管理システムは、車両などのリモートデバイスと通信して、そこに格納されているソフトウェアパッケージに関する情報を取得する。特定のソフトウェアパッケージに関する機密性を保持するために、リモートデバイスは、パッケージ識別子に対して固有の識別子（例えば、乱数、暗号化キーなど）を付加してパッケージ識別子を隠し、次いで、安全な識別子を出力として提供するために、組み合わされた識別子のハッシュを生成する。このように、リモートデバイスは、例えば、ソフトウェアに関する基本的な情報を明らかにすることなく、複数の異なるエンティティ（たとえば、異なる車両メーカー）についての同様の情報を管理することができるクラウドベースの管理デバイス／サービスにソフトウェアパッケージを登録することができる。通常、リモートデバイスは、固有の識別子と共に安全な識別子を管理サービスに提供して登録する。その後、管理サービスは脆弱性を監視する。

１つの構成では、管理サービスが脆弱性を識別すると、サービスは保存された安全な識別子をスキャンして、リモートデバイスが脆弱性のあるソフトウェアパッケージを含むかどうかを判断することができる。管理サービスは、セキュリティを提供するため、安全な識別子に関連付けられたオリジナルソフトウェアパッケージに関する知識を持っていないので、管理サービスは、安全な識別子を形成する際にリモートデバイスによって実行されるプロセスを模倣する。つまり、例えば、管理サービスは、脆弱性ソフトウェアパッケージのパッケージ識別子をリモートデバイスの固有の識別子と組み合わせて、次いで、その組み合わせをハッシュして、脆弱性識別子にする。結果として得られる脆弱性識別子は、リモートデバイスに含まれているものと同じソフトウェアパッケージの場合、基本的な情報を敵対者に明らかにすることなく、関連付けられた安全な識別子を忠実に映し出すはずである。

次いで、管理サービスは脆弱性識別子をメカニズムとして使用して、リモートデバイスの保存された安全な識別子と比較する。脆弱性識別子がリモートデバイスの安全な識別子の１つと一致する場合、一致した安全な識別子は、関連するソフトウェアパッケージに脆弱性が存在することを示す。このように、本アプローチは、異なるエンティティによってアクセス可能な管理サービスを促進しつつ、ソフトウェア構成情報のセキュリティを改善する。

一実施形態において、管理システムが開示される。管理システムは、１つ以上のプロセッサと、１つ以上のプロセッサに通信可能に結合されたメモリとを含む。メモリは、１つ以上のプロセッサによる実行時に、１つ以上のプロセッサに、管理デバイスにおいて、ソフトウェアパッケージと関連付けられたエンティティの固有の識別子と、固有の識別子とソフトウェアパッケージのパッケージ識別子との組み合わせをハッシュして生成される安全な識別子とを含む、リモートデバイスにインストールされたソフトウェアパッケージに関する識別情報を取得させる命令を含む制御モジュールを記憶する。脆弱性の識別に応答するための命令を含む制御モジュールは、安全な識別子を生成する際に実行されるプロセスを模倣するべく、エンティティの固有の識別子と、脆弱性を含む脆弱なパッケージを識別するパッケージ識別子に対応する脆弱性ラベルとの組み合わせをハッシュして、脆弱性識別子を生成する。ソフトウェアパッケージに脆弱性が含まれかどうかを判断するために、制御モジュールは、脆弱性識別子を安全な識別子と比較する命令を含む。制御モジュールは、脆弱性識別子が安全な識別子と一致する場合に、脆弱性に関する対応を提供する命令を含む。

一実施形態において、非一時的なコンピュータ可読記憶媒体が開示される。コンピュータ可読記憶媒体は、１つ以上のプロセッサによる実行時に、１つ以上のプロセッサに、開示される機能を実行させる命令を格納する。命令は、管理デバイスにおいて、ソフトウェアパッケージと関連付けられたエンティティの固有の識別子と、固有の識別子とソフトウェアパッケージのパッケージ識別子との組み合わせをハッシュして生成される安全な識別子とを含む、リモートデバイスにインストールされたソフトウェアパッケージに関する識別情報を取得する命令を含む。命令は、脆弱性の識別に応答して、安全な識別子を生成する際に実行されるプロセスを模倣するべく、エンティティの固有の識別子と、脆弱性を含む脆弱なパッケージを識別するパッケージ識別子に対応する脆弱性ラベルとの組み合わせをハッシュして、脆弱性識別子を生成する命令を含む。命令は、ソフトウェアパッケージに脆弱性が含まれかどうかを判断するために、脆弱性識別子を安全な識別子と比較する命令を含む。命令は、脆弱性識別子が安全な識別子と一致する場合に、脆弱性に関する対応を提供する命令を含む。

一実施形態において、１つ以上のプロセッサによって実行される方法が開示される。一実施形態では、この方法は、管理デバイスにおいて、ソフトウェアパッケージと関連付けられたエンティティの固有の識別子と、固有の識別子とソフトウェアパッケージのパッケージ識別子との組み合わせをハッシュして生成される安全な識別子とを含む、リモートデバイスにインストールされたソフトウェアパッケージに関する識別情報を取得することを含む。この方法は、脆弱性の識別に応答して、安全な識別子を生成する際に実行されるプロセスを模倣するべく、エンティティの固有の識別子と、脆弱性を含む脆弱なパッケージを識別するパッケージ識別子に対応する脆弱性ラベルとの組み合わせをハッシュして、脆弱性識別子を生成することを含む。この方法は、ソフトウェアパッケージに脆弱性が含まれかどうかを判断するために、脆弱性識別子を安全な識別子と比較することを含む。この方法は、脆弱性識別子が安全な識別子と一致する場合に、脆弱性に関する対応を提供することを含む。

本明細書に組み込まれ、その一部を構成する添付の図面は、本開示の様々なシステム、方法、及び他の実施形態を示す。図において示される要素の境界（例えば、ボックス、ボックスのグループ、又は他の形状）は、境界の一実施形態を表すことを理解されたい。いくつかの実施形態では、１つの要素が複数の要素として設計されても良く、又は複数の要素が１つの要素として設計されても良い。いくつかの実施形態では、別の要素の内部コンポーネントとして示されている要素が、外部コンポーネントとして実現されても良いし、その逆であっても良い。さらに、要素はスケール通りに描かれていない場合がある。

例示的なシステム及び方法を実施することができる車両の構成の一実施形態を示す。 安全なソフトウェアパッケージ構成情報と関連付けられる管理システムの一実施形態を示す。 異なるソフトウェアパッケージ間の関係を識別するグラフの一例を示す。 リモートデバイスがソフトウェアパッケージを管理システムに登録することに関連する方法の一実施形態を示す。 ソフトウェア構成情報の中から脆弱性を識別することに関連する方法の一実施形態を示す。

ソフトウェア管理環境においてソフトウェア構成情報を保護することに関連するシステム、方法、及び他の実施形態が開示される。前述のように、車両には、複雑なソフトウェアを実装する自動運転／自律運転機能用の複雑な電子システムが含まれる場合がある。そして、複雑さが増すと、そのようなソフトウェアの管理に問題が生じる。特に、ソフトウェアには、エンティティがインストール後まで発見できない可能性のある様々な脆弱性の対象となる多くの異なるコンポーネントが含まれる可能性がある。このため、ソフトウェアパッケージの管理と、記載した脆弱性の監視は、関連するシステムの継続的な機能を確保するための重要な側面になる。ただし、インストールされているソフトウェアの安全対策が施されていないリストを提供すると、車両システムの構成に関する機密情報が敵対者に明らかになるなど、悪影響につながる可能性があるため、ソフトウェアの管理は、複合サービスのコンテキストにおいて独特の困難さをもたらす。

従って、１つのアプローチにおいて、開示のシステムは、脆弱性に関してソフトウェアを管理するメカニズムを実装しながら、ソフトウェアパッケージに関する情報を隠すように機能する。例えば、少なくとも１つのアプローチでは、ソフトウェア管理システムは、車両などのリモートデバイスと通信して、そこに格納されているソフトウェアパッケージに関する情報を取得する。特定のソフトウェアパッケージに関する機密性を保持するために、リモートデバイスは、パッケージ識別子に対して固有の識別子（例えば、乱数、暗号化キーなど）を付加してパッケージ識別子を隠し、次いで、安全な識別子を出力として提供するために、組み合わされた識別子のハッシュを生成する。このように、リモートデバイスは、例えば、ソフトウェアに関する基本的な情報を明らかにすることなく、複数の異なるエンティティ（たとえば、異なる車両メーカー）についての同様の情報を管理することができるクラウドベースの管理デバイス／サービスにソフトウェアパッケージを登録することができる。通常、リモートデバイスは、固有の識別子と共に安全な識別子を管理サービスに提供して登録する。その後、管理サービスは脆弱性を監視する。

１つの構成では、管理サービスが脆弱性を識別すると、サービスは保存された安全な識別子をスキャンして、リモートデバイスが脆弱性のあるソフトウェアパッケージを含むかどうかを判断することができる。管理サービスは、セキュリティを提供するため、安全な識別子に関連付けられたオリジナルソフトウェアパッケージに関する知識を持っていないので、管理サービスは、安全な識別子を形成する際にリモートデバイスによって実行されるプロセスを模倣する。つまり、例えば、管理サービスは、脆弱性ソフトウェアパッケージのパッケージ識別子をリモートデバイスの固有の識別子と組み合わせて、次いで、その組み合わせをハッシュして、脆弱性識別子とする。結果として得られる脆弱性識別子は、リモートデバイスに含まれているものと同じソフトウェアパッケージの場合、基本的な情報を敵対者に明らかにすることなく、関連付けられた安全な識別子を忠実に映し出すはずである。

次いで、管理サービスは脆弱性識別子をメカニズムとして使用して、リモートデバイスの保存された安全な識別子と比較する。脆弱性識別子がリモートデバイスの安全な識別子の１つと一致する場合、一致した安全な識別子は、関連するソフトウェアパッケージに脆弱性が存在することを示す。このように、本アプローチは、異なるエンティティによってアクセス可能な管理サービスを促進しつつ、ソフトウェア構成情報のセキュリティを改善する。

図１を参照すると、車両１００の一例が示されている。本明細書で使用される場合、「車両」は、任意の形態の動力輸送機である。１つ以上の実施形態では、車両１００は自動車である。本明細書では自動車に関して構成を説明するが、実施形態は自動車に限定されないことを理解されたい。いくつかの実装形態では、車両１００に代えて、電子デバイス、リモートデバイスと通信するクラウドベースのシステム、又は脆弱なソフトウェアコンポーネントを含み、それゆえ、本明細書で説明する機能から恩恵を受ける電子システムを実現可能である他のデバイスであっても良い。

車両１００は、様々な要素も含む。様々な実施形態において、車両１００は、図１に示される要素のすべてを有していない場合があることが理解されたい。車両１００は、図１に示される様々な要素の異なる組み合わせを有することができる。さらに、車両１００は、図１に示される要素に対して、追加の要素を有することができる。いくつかの構成では、車両１００は、図１に示される１つ以上の要素を有することなく、実現され得る。図１では、様々な要素が車両１００内に配置されているように示されているが、これらの要素の１つ以上を車両１００の外部に配置できることを理解されたい。さらに、示されている要素は物理的に大きな距離だけ離されて、リモートサービス（例えば、クラウドコンピューティングサービス）として提供されても良い。少なくとも１つの構成において、管理システム１７０は、多数の異なるソースからのソフトウェアパッケージを登録するように機能するリモートクラウドベースのリソース内のインスタンスも含みながら、車両１００上のローカルクライアントとして実装される。

車両１００の可能な要素のいくつかが図１に示されており、これらは、後続の図とともに説明される。図１の要素の多くに関する説明は、この説明を簡潔にするために、図２－図５の説明の後に提供される。さらに、説明を簡単かつ明確にするために、必要に応じて、対応する、類似の、又は同様の要素を示すために、異なる図面間で参照番号が繰り返されることを理解されたい。さらに、本明細書に記載の実施形態は、記載された要素の様々な組み合わせを使用して実施できることを理解されたい。

いずれの場合も、車両１００は、車両にインストールされたソフトウェアパッケージを登録し、追跡するように機能する管理システム１７０を含む。さらに、スタンドアロンのコンポーネントとして示されているが、１つ以上の実施形態では、管理システム１７０は、支援システム１６０、又は車両１００の別の類似のシステムと統合される。加えて、前述のように、管理システム１７０は、さらにクラウドベースのリソースとして実装され、１つの構成では、後でさらに説明するように、新たな脆弱性を独立して監視するように機能し得るソフトウェア情報の中央リポジトリを提供する。言及された機能及び方法は、図のさらなる説明によってより明らかになる。

図２を参照すると、管理システム１７０の一実施形態がさらに示されている。示されるように、管理システム１７０は、プロセッサ１１０を含む。このように、プロセッサ１１０は、管理システム１７０の一部であっても良いし、あるいは管理システム１７０は、データバス又は別の通信経路を介してプロセッサ１１０にアクセスしても良い。１つ以上の実施形態では、プロセッサ１１０は、制御モジュール２２０に関連する機能を実行するように構成された特定用途向け集積回路である。より一般的には、１つ以上の態様において、プロセッサ１１０は、管理システム１７０に関連付けられたコード化された機能を実行するとき、本明細書で説明する様々な機能を実行することが可能な、マイクロプロセッサなどの電子プロセッサである。さらに、プロセッサ１１０又は管理システム１７０に関連付けられた別の電子処理ユニットは、脆弱性に関して、登録され、追跡されるべき様々なプログラムを実行する。本明細書で使用される、プログラム、アプリケーション、ソフトウェアパッケージ、及びソフトウェアという用語はすべて、ソフトウェアの一部の同じ要素を指すことを理解されたい。

様々な実施形態では、ソフトウェアパッケージの特定の機能は様々であり得るが、自動運転機能（例えば、ＡＤＡＳ機能、機械認識、マッピング、物体検出／識別、経路計画、車両制御ルーチンなど）、車両の制御に関連する機能や、車両１００内のインフォテインメントシステム、オペレーティングシステム及び関連コンポーネントの実行などを含むことができる。このように、プログラムの様々な態様は、車両１００の機能的安全性、機密情報／個人情報、システム操作などに関連する場合がある。さらに、プログラムは概して機能的な観点から説明されるが、プログラムは異なる形式を取り得ることを理解されたい。つまり、プログラムは、ファームウェア、オペレーティングシステム、アプリケーションなどであっても良い。

図２に戻ると、一実施形態では、管理システム１７０は、制御モジュール２２０、及び、様々な構成において、追加の要素（例えば、ソフトウェアパッケージ）を格納するメモリ２１０を含む。メモリ２１０は、ランダムアクセスメモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、ハードディスクドライブ、フラッシュメモリ、又はモジュール２２０を格納するための他の適切なメモリである。いずれの場合も、制御モジュール２２０は、例えば、プロセッサ１１０による実行時に、プロセッサ１１０に本明細書に開示される様々な機能を実行させるコンピュータ可読命令である。１つ以上の実施形態では、モジュール２２０は、メモリ２１０に組み込まれた命令であるが、さらなる態様では、モジュール２２０は、説明される機能の１つ以上を独立して実行するための処理コンポーネント（例えば、コントローラ）、回路などのハードウェアを含む。このように、制御モジュール２２０は、メモリ２１０内の命令として、又はシステムオンチップ（ＳｏＣ）、ＡＳＩＣ、又は別の電子デバイスなどのスタンドアロンコンポーネントとして具現化され得る。

さらに、一実施形態では、管理システム１７０は、データストア２３０を含む。データストア２３０は、１つの構成では、情報を格納するための電子ベースのデータ構造である。例えば、１つのアプローチにおいて、データストア２３０は、メモリ２１０又は別の適切な電子記憶媒体（例えば、ＲＡＭ、ＲＯＭ、オンチップキャッシュなど）に記憶され、記憶されたデータを分析し、記憶されたデータを提供し、記憶されたデータを組織化するなどのためにプロセッサ１１０によって実行され得るルーチンを備えて構成される、データベースである。いずれの場合も、１つの構成において、データストア２３０は、様々な機能を実行する際に制御モジュール２２０によって使用されるデータを格納する。一実施形態では、データストア２３０は、例えば、制御モジュール２２０によって使用される他の情報（例えば、実行プログラムの観察された特徴）とともに、グラフ２４０を含む。データストア２３０は、さらに、車両１００の固有識別子、車両１００に含まれるソフトウェアパッケージの安全識別子などをさらに含むことができる。

グラフ２４０は、１つ以上の構成において、ソフトウェアの別個のプログラム／パッケージ間の関係を識別する。様々な例において、別個のプログラムのいくつかは実際に一緒にインストールされて、より大きなアプリケーションを定義することがある。いずれの場合も、グラフ２４０は、脆弱性の影響及び／又は脆弱性の解決方法を決定するのに有用である、プログラムの実行順序及びプログラム間の関係を具現化する。このように、グラフ２４０は、システム内の様々なソフトウェアパッケージを追跡するための情報を提供する。さらに、前述の識別子、特にパッケージ識別子は、様々な形式を取ることができる。様々な実施形態では、パッケージ識別子は、中央当局によって統制される可能性がある、ソフトウェアパッケージの標準名称である。さらなるアプローチでは、パッケージ識別子は、名称に加えてバージョン番号などの情報を含む。

制御モジュール２２０の機能に目を向けると、概して、制御モジュール２２０は、プロセッサ１１０を制御して車両１００内にインストールされたソフトウェアパッケージのソフトウェア脆弱性を追跡するように機能する命令を含む。車両１００にローカルにインストールされる管理システム１７０のインスタンスにおいて、管理システム１７０は、概して、例えばクラウドベースのリソースである管理システム１７０のインスタンスにソフトウェアパッケージを登録することによって、車両１００のソフトウェアパッケージを追跡するように機能する。

ソフトウェアパッケージを登録するために、制御モジュール２２０は、ソフトウェアパッケージの安全識別子を生成する。１つのアプローチでは、制御モジュール２２０は、パッケージ識別子（例えば、ソフトウェアパッケージの名称及びバージョン番号）を車両１００に関連付けられた固有識別子と組み合わせる。固有識別子は、特定の実施例に応じて異なる形式を取ることができるが、一般に、暗号化キー、乱数、又は秘密であり、車両に固有の他の値などの、車両１００に固有の安全なデータを含む。制御モジュール２２０は、固有識別子とパッケージ識別子との組み合わせをハッシュして、安全識別子を生成するように処理を進める。

１つの構成において、制御モジュール２２０は、ＭＤ５、ＳＨＡ－１、ＳＨＡ－２、又は別の適切なハッシュ関数などの一方向暗号ハッシュ関数を使用する。従って、様々な構成において、固有識別子をパッケージ識別子に付加する代わりに、制御モジュール２２０は固有識別子をハッシュ関数のソルト値又はシード値として使用して、ハッシュを逆転させて、基本情報を提供するための悪意のある攻撃に対して、安全識別子が堅牢であることを保証することができる。いずれの場合も、制御モジュール２２０が安全識別子を生成すると、制御モジュール２２０は、固有識別子とともに安全識別子を管理サービスに通信することによってソフトウェアパッケージを登録する。

管理サービスは、例えば、管理システム１７０のインスタンスを実現するクラウドベースのリソースである。それゆえ、制御モジュール２２０は、クラウドベースの管理サービスのコンテキストにおいて、前述の通信を介して、ソフトウェアパッケージ及びソフトウェアパッケージが存在するエンティティに関する識別情報（すなわち、安全識別子及び固有識別子）を取得するように機能する。次いで、制御モジュール２２０は、管理サービスが脆弱性を監視できるように、車両１００のソフトウェアパッケージに関する情報を記録することができる。個々の車両１００が議論されているが、さらなるアプローチでは、提供エンティティは、車両製造業者、部品供給業者、又は製品ごとにソフトウェアパッケージを登録する別のエンティティであり得ることに留意されたい。すなわち、個々の車両を監視する代わりに、管理サービスは、特定の製品（すなわち、車両のメーカー／モデル、ソフトウェア一式を実装する特定の部品／コンポーネントなど）を監視しても良い。

ソフトウェアパッケージ及び安全識別子のさらなる例として、図3を検討する。図３は、グラフ２４０の一例を示す。図３に示されるように、グラフ２４０は、含まれる矢印によって示される処理の関係を有する、複数の別個のソフトウェアパッケージを含む。ソフトウェアパッケージ３００と３１０は、ソフトウェアパッケージ３２０と依存関係のブランチを確立する一方で、ソフトウェアパッケージ３３０も、ソフトウェアパッケージ３２０との処理の依存関係を有する。さらに、示されるように、パッケージ識別子は、ソフトウェアパッケージ３００について「パーティＤからのコンポーネント」と「Ｖ１．０」としても良い。このように、制御モジュール２２０は、パッケージ３００のパッケージ識別子として、連結された形式で言及された要素を使用することができる。同様に、制御モジュール２２０は、追加のパッケージ３１０、３２０、及び３３０のパッケージ識別子を形成する。さらに、制御モジュール２２０は、パッケージ識別子のそれぞれについて安全識別子（３４０、３５０、３６０、及び３７０）を生成する。上述のように、制御モジュール２２０は、エンティティ（すなわち、車両１００及び／又はエンティティ）の固有識別子を使用してハッシュを適用し、安全識別子を生成する。安全識別子自体は、１６進文字列（例えば、１２８ビット）の形式であり得る。最後に、制御モジュール２２０は、適切なパッチ適用及び／又はデータのその他のチェックを確保するため、脆弱性が別のコンポーネントの動作に影響を与える可能性があり、脆弱性を識別したときにその関係を明示的に示し得る上流コンポーネントを特定するために、グラフ構造とその関係をグラフ２４０として維持することができる。

図２に戻ると、制御モジュール２２０は、管理サービスのコンテキストにおいて、脆弱性と、どのパッケージが脆弱性の対象となり得るかを識別するようにさらに機能する。特定の脆弱性を識別するために、管理システム１７０は、業界団体、ソフトウェア開発者、セキュリティ監視サービスなどの複数の異なるソースからの情報を集約する。制御モジュール２２０がこれらのソースを通じて確認された脆弱性を識別すると、制御モジュール２２０は、監視されている車両１００及び／又は他のエンティティからの格納された安全識別子と比較するためのメカニズムとして脆弱性識別子を生成する。

例えば、１つのアプローチでは、制御モジュール２２０は、安全識別子を忠実に映し出す脆弱性識別子を使用する。従って、脆弱性識別子は、概して、脆弱性ラベルと固有識別子とから形成される。すなわち、脆弱性はソフトウェアパッケージに関連付けられるので、制御モジュール２２０は、パッケージ識別子を模倣するために使用されている、脆弱性を伴うソフトウェアパッケージの識別子と任意の追加情報（例えば、バージョン番号）を使用する。このようにして、制御モジュール２２０は、エンティティ（例えば、車両１００）の固有識別子と組み合わせたパッケージ識別子に対応することになる脆弱性ラベルを形成し、組み合わされた要素をハッシュすることによって脆弱性識別子を形成する。もちろん、この努力は、別個のエンティティが異なる固有識別子を有するので、制御モジュール２２０は、別個のエンティティごとに脆弱性識別子を個別に生成することを伴う。

いずれの場合も、制御モジュール２２０が脆弱性識別子を生成すると、制御モジュール２２０は、脆弱性識別子と同じエンティティ（例えば、車両１００）の安全識別子との比較を開始する。比較は、一般に、脆弱性識別子と安全識別子との１対１の比較であり、一致するかどうかを判定する。従って、同じ方法でハッシュへの入力として同じ情報を使用することに加えて（つまり、固有識別子が識別子に付加されるか、ハッシュのソルト／シードとして使用されるかどうか）、識別子を生成するハッシュアルゴリズムも同じである。

いずれの場合も、制御モジュール２２０が脆弱性識別子と一致する安全識別子を識別すると、制御モジュール２２０は、エンティティの関連するソフトウェアパッケージが脆弱性を含むと決定する。このため、制御モジュール２２０は、脆弱性識別子が安全識別子と一致する場合、脆弱性に関する対応を提供する。対応には、通信／警告を通じて脆弱性の検出をエンティティに報告するだけの場合もあれば、より複雑な措置を伴う場合もあり得る。例えば、制御モジュール２２０は、エンティティが脆弱性を解決できるように、通信と共にパッチを提供することができる。さらなる例では、制御モジュール２２０は、脆弱性が解決されるまで悪意のある攻撃を防止するために、機能を無効にするための命令を通信することができる。この機能の無効は、脆弱性を含むソフトウェアパッケージに加えて、グラフ２４０から把握される、脆弱性を含むソフトウェアパッケージと関係するソフトウェアパッケージを対象としても良い。いずれにせよ、管理システム１７０は、脆弱性に関してソフトウェアを安全かつ効率的に監視するためのメカニズムを提供することによって、車両システムの機能を改善する。

ソフトウェアパッケージを登録し、脆弱性を監視することの追加の態様が、図４及び図５に関して説明される。図４は、集中型サービスによる監視のためにソフトウェアパッケージを登録することに関連する方法４００を示している。方法４００は、図１及び図２の管理システム１７０の観点から論じられる。方法４００は管理システム１７０と組み合わせて論じられるが、方法４００は管理システム１７０内で実施されることに限定されず、むしろ方法４００を実施することができるシステムの一例であることを理解されたい。

４１０で、制御モジュール２２０は、脆弱性監視のために登録されるソフトウェアパッケージに関する情報を受信する。１つ以上の構成では、制御モジュール２２０は、ＯＥＭ車両へのソフトウェアパッケージの配置に応答して情報を受信する。前述のように、ソフトウェアパッケージを実装しているエンティティが情報を提供するか、個々のインスタンス（例えば、車両１００内の）が個別の実装の発生ごとに情報を直接提供することができる。いずれの場合も、情報は、概して、エンティティ名、ソフトウェア自体の標準化された名称、及びバージョン番号を含むことができるパッケージ識別子を少なくとも含む。さらに、エンティティは、エンティティを明確に識別する固有の識別子も有しているか、もしくは個別に取得する。固有識別子は、乱数、暗号化キー、又はエンティティに固有の別の固有値であり得る。

４２０で、エンティティ（すなわち、車両１００又はエンティティの資産管理システム）のインスタンス内の制御モジュール２２０が、安全識別子を生成する。１つの構成では、制御モジュール２２０は、パッケージ識別子を固有識別子と組み合わせて組み合わせ識別子を形成することにより、安全識別子を生成する。一般に、値の組み合わせには、固有識別子をパッケージ識別子に付加することが含まれる。ただし、前述のように、１つ以上の構成において、代わりに固有識別子がハッシュアルゴリズムのシード／ソルト値として使用されても良い。組み合わせ識別子が形成されると、制御モジュール２２０は組み合わせ識別子をハッシュして安全識別子を生成し、組み合わせ識別子が識別されないよう偽装する。

４３０で、制御モジュール２２０は、ソフトウェアパッケージを管理デバイスに登録する。１つ以上の構成では、制御モジュール２２０は、登録のため、安全識別子及び固有識別子を管理デバイスに通信する。管理デバイスは、様々なアプローチにおいて、利害が競合／対立する可能性がある異なるビジネスを含む、複数の異なるエンティティのソフトウェアパッケージを監視するクラウドベースのリソースである。従って、上述のようにソフトウェアパッケージ情報を隠すことにより、管理システム１７０は、エンティティ及びエンティティに関連付けられたソフトウェアパッケージの匿名性を維持しながら、組み合わせた資産監視に役立つことができる。

図５は、難読化されたソフトウェアパッケージの脆弱性を監視することに関連する方法５００を示している。方法５００は、図１及び図２の管理システム１７０の観点から説明される。方法５００は管理システム１７０と組み合わせて論じられるが、方法５００は管理システム１７０内で実施されることに限定されず、むしろ方法５００を実施することができるシステムの一例であることを理解されたい。

５１０で、制御モジュール２２０は、様々なソフトウェアパッケージの脆弱性を監視する。制御モジュール２２０は、管理デバイスのインスタンスにおいて、登録された特定のソフトウェアパッケージについての知識を持たず、エンティティが監視のためにソフトウェアパッケージを登録したことを単に知っているだけである。このように、制御モジュール２２０は、どのソフトウェアパッケージが監視されているかを区別せず、代わりに広範囲の異なるソフトウェアパッケージからの脆弱性を考慮する。従って、制御モジュール２２０は、ソフトウェア速報、ソフトウェア会社からの勧告、脆弱性データベースなどを含む様々な情報源から情報を収集することによって脆弱性を識別する。かくして、制御モジュール２２０が脆弱性を検出すると、制御モジュール２２０は、登録されたソフトウェアパッケージのいずれかが脆弱性に関連するソフトウェアパッケージと一致するかどうかの決定に進む。一般的な問題として、ここで使用されている脆弱性とは、ソフトウェアパッケージの動作に意図しない結果をもたらすように、悪意のある攻撃者によって悪用される可能性がある、ソフトウェアパッケージのセキュリティ上の欠陥、グリッチ、または弱点を指す。

５２０で、制御モジュール２２０は脆弱性識別子を生成する。１つの構成では、脆弱性識別子は、安全識別子の形式を模倣する。すなわち、制御モジュール２２０は、脆弱性が同じソフトウェアパッケージにある場合、脆弱性識別子と安全識別子が一致するように、安全識別子で使用されるのと同じ情報を使用して脆弱性識別子を生成する。かくして、制御モジュール２２０は、エンティティの固有識別子と、脆弱性を含む脆弱なパッケージを特定する脆弱性ラベルとを使用して、脆弱性識別子を生成する。制御モジュール２２０は、情報をハッシュし、比較のために脆弱性識別子を提供する。

５３０で、制御モジュール２２０は、脆弱性識別子を安全識別子と比較して、ソフトウェアパッケージが脆弱性を含むかどうかを判定する。制御モジュール２２０は、１つの構成では、登録されたソフトウェアパッケージのいずれかが脆弱性を含むかどうかを判定するために、エンティティのすべての登録済み安全識別子を脆弱性識別子と比較する。さらに、図３に関して説明したように、制御モジュール２２０は、グラフ２４０で定義された関係に従って、脆弱性識別子を異なる安全識別子とさらに比較することができる。すなわち、異なるソフトウェアパッケージ間の関係がグラフ２４０に従って既知である場合、制御モジュール２２０は、脆弱性によって影響を受ける可能性のあるソフトウェアパッケージの包括的なレビューを提供するために、脆弱性識別子をグラフ２４０からのそれらの関係／依存関係とさらに比較することができる。さらに、脆弱性が存在する場合、制御モジュール２２０は、グラフ２４０のレビュー／検索によって影響を受けるソフトウェア パッケージを定義することができ、これにより、ソフトウェアのその後のパッチ適用が容易になり得る。

５４０で、制御モジュール２２０は、脆弱性識別子が安全識別子と一致する場合、脆弱性に関する対応を提供する。制御モジュール２２０は、特定の実施例に応じて、また、管理対象デバイスの能力に応じて、異なる対応を取ることができる。いずれの場合も、制御モジュール２２０は、１つのアプローチにおいて、脆弱性に関する警告をエンティティに少なくとも通信する。さらなるアプローチでは、制御モジュール２２０は、脆弱性を解決するためのパッチ又は少なくともパッチの識別子を含むアラートを生成する。このように、管理システム１７０は、エンティティ及びエンティティによって実装されるソフトウェアパッケージを隠す／偽装するメカニズムを定義し、それによって効率的な監視システムを提供しながらセキュリティを改善する。

さらに、図１の管理システム１７０は、別個の集積回路及び／又は電子チップを用いて様々な配置で構成できることを理解されたい。そのような実施形態では、制御モジュール２２０は、別個の集積回路として具現化することができる。回路は、接続パスを介して接続され、別個の回路間で信号を通信する。もちろん、別個の集積回路が論じられているが、様々な実施形態において、回路は共通の集積回路及び／又は集積回路基板に統合されてもよい。さらに、集積回路は、より少ない集積回路に組み合わされても良いし、より多くの集積回路に分割されてもよい。別の実施形態では、モジュール２２０に関連する機能の一部は、プロセッサによって実行可能であり、非一時的メモリに格納されるファームウェアとして具現化されても良い。さらに別の実施形態では、モジュール２２０は、プロセッサ１１０のハードウェアコンポーネントとして統合される。

別の実施形態では、説明された方法、及び／又は、それらの等価物は、コンピュータ実行可能命令で実装されてもよい。従って、一実施形態では、非一時的コンピュータ可読媒体は、機械（例えば、プロセッサ、コンピュータなど）によって実行されるとき、機械（及び／又は関連するコンポーネント）に方法を実行させる、格納されたコンピュータ実行可能命令を備えて構成される。

説明を簡単にするために、図に示されている方法論は一連のブロックとして示され説明されているが、いくつかのブロックは図示及び説明されたものから異なる順序で、及び／又は、他のブロックと同時に実行することができるので、方法論はブロックの順序によって制限されないことが理解されるべきである。さらに、例示されたすべてのブロックよりも少ないブロックを使用して、例示的な方法論を実施してもよい。ブロックは、組み合わされても良いし、複数のコンポーネントに分離されても良い。さらに、追加及び／又は代替の方法論は、図示されていない追加のブロックを使用することができる。

ここで、本明細書で開示されるシステム及び方法が動作することができる例示的な環境について、図１で詳細に説明する。場合によっては、車両１００は、自律モード、１つ以上の半自律動作モード、及び／又は手動モードの間で選択的に切り替えられるように構成される。このような切り替えは、適切な方法で実施することができる。「手動モード」とは、車両の航行及び／又は操縦のすべて又は大部分が、ユーザ（例えば、人間のドライバ）から受けた入力に従って実行されることを意味する。

１つ以上の実施形態において、車両１００は自律車両である。本明細書で使用される「自律車両」は、自律モードで動作する車両を指す。「自律モード」は、人間のドライバからの最小限の入力で、又は入力なしで、車両１００を制御する１つ以上のコンピューティングシステムを使用して、移動経路に沿って車両１００を航行及び／又は操縦することを指す。１つ以上の実施形態において、車両１００は完全に自動化される。１つの実施形態では、車両１００は、１つ以上のコンピューティングシステムが移動経路に沿った車両１００の航行及び／又は操縦の一部を実行し、車両運転者（すなわち、ドライバ）が移動経路に沿った車両１００の航行及び／又は操縦の一部を実行するための入力を車両に提供する、１つ以上の半自律動作モードを備えて構成される。そのような半自律動作は、車両１００が定義された状態制約内に留まることを確実にするために、管理システム１７０によって実施されるような監視制御を含むことができる。

車両１００は、１つ以上のプロセッサ１１０を含むことができる。１つ以上の構成では、プロセッサ１１０は、車両１００のメインプロセッサであり得る。例えば、プロセッサ１１０は、電子制御ユニット（ＥＣＵ）であり得る。車両１００は、１つ以上のタイプのデータを格納するための１つ以上のデータストア１１５（例えば、データストア２３０）を含むことができる。データストア１１５は、揮発性及び／又は不揮発性メモリを含むことができる。適切なデータストア１１５の例には、ＲＡＭ（ランダムアクセスメモリ）、フラッシュメモリ、ＲＯＭ（リードオンリーメモリ）、ＰＲＯＭ（プログラマブルリードオンリーメモリ）、ＥＰＲＯＭ（消去可能プログラマブルリードオンリーメモリ）、ＥＥＰＲＯＭ（電気的消去可能プログラマブルリードオンリーメモリ）、レジスタ、磁気ディスク、光ディスク、ハードドライブ、その他の適切な記憶媒体、又はそれらの任意の組み合わせが含まれる。データストア１１５は、プロセッサ１１０のコンポーネントとすることができ、又はデータストア１１５は、使用のためプロセッサ１１０に動作可能に接続することができる。この説明全体を通して使用される「動作可能に接続される」又は「通信可能に接続される」という用語は、直接的な物理的接触のない接続を含む、直接又は間接の接続を含み得る。

１つ以上の構成において、１つ以上のデータストア１１５は地図データを含むことができる。地図データには、１つ以上の地理的領域の地図を含めることができる。場合によっては、地図データは、１つ以上の地理的領域における、道路、交通管制装置、道路標示、構造物、特徴、及び／又はランドマークに関する情報（例えば、メタデータ、ラベルなど）を含むことができる。場合によっては、地図データに航空／衛星ビューを含めることができる。場合によっては、地図データに、３６０度の地上ビューを含む、領域の地上ビューを含めることができる。地図データは、測定値、寸法、距離、及び／又は地図データに含まれる１つ以上のアイテムの情報、及び／又は地図データに含まれる他のアイテムに関連する情報を含むことができる。地図データには、道路の形状に関する情報を含むデジタル地図を含めることができる。地図データは、建物、縁石、電柱などの相対的な位置に関する情報など、特徴ベースの地図データをさらに含むことができる。１つ以上の構成では、地図データは１つ以上の地形図を含むことができる。

１つ以上のデータストア１１５は、センサデータを含むことができる。この文脈において、「センサデータ」とは、車両１００が装備しているセンサからの、当該センサに関する能力及びその他の情報を含む任意の情報を意味する。

前述したように、車両１００はセンサシステム１２０を含むことができる。センサシステム１２０は、１つ以上のセンサを含むことができる。「センサ」とは、何かを検出、認識、及び／又は感知することができる任意のデバイス、コンポーネント、及び／又はシステムを意味する。１つ以上のセンサは、リアルタイムで動作するように構成することができる。本明細書で使用される「リアルタイム」という用語は、特定のプロセス又は決定が行われるのに十分に即時であるとユーザ又はシステムが感じる、又はプロセッサが何らかの外部プロセスに追いつくことができる処理応答性のレベルを意味する。

センサシステム１２０が複数のセンサを含む構成では、センサは互いに独立して機能することができる。あるいは、２つ以上のセンサが相互に組み合わされて機能することができる。このような場合、２つ以上のセンサがセンサネットワークを形成することができる。センサシステム１２０及び／又は１つ以上のセンサは、プロセッサ１１０、データストア１１５、及び／又は車両１００の別の要素（図１に示す要素のいずれかを含む）に動作可能に接続することができる。センサシステム１２０は、車両１００の外部環境の少なくとも一部のデータを取得することができる。

センサシステム１２０は、任意の適切なタイプのセンサを含むことができる。本明細書では、異なるタイプのセンサの様々な例について説明する。しかしながら、実施形態は、記載された特定のセンサに限定されないことが理解されよう。センサシステム１２０は、１つ以上の車両センサ１２１を含むことができる。車両センサ１２１は、車両１００自体又は車両１００の内部乗員室に関する情報を検出、決定、及び／又は感知することができる。１つ以上の構成において、車両センサ１２１は、例えば慣性加速度に基づいてなど、車両１００の位置及び向きの変化を検出及び／又は感知するように構成することができる。１つ以上の構成において、車両センサ１２１は、１つ以上の加速度計、１つ以上のジャイロスコープ、慣性測定ユニット（ＩＭＵ）、推測航法システム、全地球航法衛星システム（ＧＮＳＳ）、グローバル測位システム（ＧＰＳ）、ナビゲーションシステム、及び／又はその他の適切なセンサを含むことができる。車両センサ１２１は、車両１００の１つ以上の特性を検出及び／又は感知するように構成することができる。１つ以上の構成において、車両センサ１２１は、車両１００の現在の速度を決定するための速度計を含むことができる。さらに、センサシステム１２０は、シート内の圧力／重量センサ、シートベルトセンサ、カメラなどの乗員室全体に及ぶセンサを含むことができる。

代替的又は追加的に、センサシステム１２０は、運転環境データを取得及び／又は感知するように構成された１つ以上の環境センサ１２２を含むことができる。「運転環境データ」は、自律車両が位置する外部環境、又はその１つ以上の部分に関するデータ又は情報を含む。例えば、１つ以上の環境センサ１２２は、車両１００の外部環境の少なくとも一部における障害物及び／又はそのような障害物に関する情報／データを検出及び／又は感知するように構成することができる。このような障害物は、静止物体及び／又は動的物体であり得る。１つ以上の環境センサ１２２は、例えば、レーンマーク、標識、信号機、交通標識、車線、横断歩道、車両１００近傍の縁石、道路外物体など、車両１００の外部環境における他のものを検出及び／又は感知するように構成され得る。

センサシステム１２０のセンサの様々な例が、本明細書で説明される。例示的なセンサは、１つ以上の環境センサ１２２及び／又は１つ以上の車両センサ１２１の一部であっても良い。しかしながら、実施形態は、記載された特定のセンサに限定されないことが理解されよう。一例として、１つ以上の構成において、センサシステム１２０は、１つ以上のレーダセンサ、１つ以上のＬＩＤＡＲセンサ、１つ以上のソナーセンサ、及び／又は１つ以上のカメラを含むことができる。１つ以上の構成において、１つ以上のカメラは、高ダイナミックレンジ（ＨＤＲ）カメラ又は赤外線（ＩＲ）カメラであり得る。

車両１００は、入力システム１３０を含むことができる。「入力システム」は、限定するものではないが、情報／データを機械に入力できるようにするデバイス、コンポーネント、システム、要素、又はそれらの取り合わせ又はグループを含む。入力システム１３０は、車両の乗員（例えば、運転者又は同乗者）からの入力を受け取ることができる。車両１００は、出力システム１４０を含むことができる。「出力システム」は、情報／データを車両の乗員（例えば、人、車両の同乗者など）に提示できるようにする任意のデバイス、コンポーネント、又はそれらの取り合わせ又はグループを含む。

車両１００は、１つ以上の車両システム１５０を含むことができる。１つ以上の車両システム１５０の様々な例は図１に示されているが、車両１００は、与えられた例に示されるものとは異なるシステムの組み合わせを含むことができる。１つの例では、車両１００は、推進システム、ブレーキシステム、ステアリングシステム、スロットルシステム、トランスミッションシステム、信号システム、ナビゲーションシステムなどを含むことができる。前述のシステムは、１つ以上のデバイス、コンポーネント、及び／又はそれらの組み合わせを別々に又は組み合わせて含むことができる。

例として、ナビゲーションシステムは、車両１００の地理的位置を決定し、及び／又は車両１００の走行経路を決定するように構成された、１つ以上のデバイス、アプリケーション、及び／又はそれらの組み合わせを含むことができる。ナビゲーションシステムは、車両１００の走行経路を決定するための１つ以上のマッピングアプリケーションを含むことができる。ナビゲーションシステムは、グローバルポジショニングシステム、ローカルポジショニングシステム、又はジオロケーションシステムを含むことができる。

プロセッサ１１０、管理システム１７０、及び／又は支援システム１６０は、様々な車両システム１５０及び／又はその個々のコンポーネントと通信するように動作可能に接続することができる。例えば、図１に戻ると、プロセッサ１１０、管理システム１７０、及び／又は、支援システム１６０は、車両１００の動き、速度、操縦、進路、方向などを制御するために、様々な車両システム１５０と情報を送信及び／又は受信するように通信することができる。プロセッサ１１０、管理システム１７０、及び／又は支援システム１６０は、これら車両システム１５０の一部又はすべてを制御することができ、従って、部分的又は完全に自律的であり得る。

プロセッサ１１０、管理システム１７０、及び／又は支援システム１６０は、１つ以上の車両システム１５０及び／又はそれらのコンポーネントを制御することによって、車両１００の航行及び／又は操縦を制御するように動作可能であり得る。例えば、自律モードで動作する場合、プロセッサ１１０、管理システム１７０、及び／又は支援システム１６０は、車両１００の方向及び／又は速度を制御することができる。プロセッサ１１０、管理システム１７０、及び／又は支援システム１６０は、車両１００を加速させ（例えば、エンジンに与えられるエネルギーの供給を増加させることによって）、減速させ（例えば、エンジンへのエネルギーの供給を減少させる、及び／又はブレーキをかけることによって）、及び／又は、方向を変化させる（例えば、前輪２輪を回すことによって）ことができる。

さらに、管理システム１７０及び／又は支援システム１６０は、さまざまな運転関連タスクを実行するように機能することができる。車両１００は、１つ以上のアクチュエータを含むことができる。アクチュエータは、プロセッサ１１０及び／又は支援システム１６０からの信号又は他の入力の受信に応答して、１つ以上の車両システム又はそのコンポーネントを修正、調整、及び／又は変更するように動作可能な任意の要素又は要素の組み合わせとすることができる。任意の適切なアクチュエータが使用され得る。例えば、１つ以上のアクチュエータは、いくつかの可能性を挙げると、モータ、空気圧アクチュエータ、油圧ピストン、リレー、ソレノイド、及び／又は圧電アクチュエータを含むことができる。

車両１００は、１つ以上のモジュールを含むことができ、そのうちの少なくともいくつかは本明細書に記載されている。モジュールは、プロセッサ１１０による実行時に、本明細書に記載された様々なプロセスのうちの１つ以上を実行するコンピュータ可読プログラムコードとして実装することができる。１つ以上のモジュールは、プロセッサ１１０のコンポーネントとすることができ、又は１つ以上のモジュールは、プロセッサ１１０が動作可能に接続されている他の処理システム上で実行及び／又は他の処理システム間で分散することができる。モジュールは、１つ以上のプロセッサ１１０によって実行可能な命令（例えば、プログラムロジック）を含むことができる。代替的に、あるいは追加して、１つ以上のデータストア１１５が、そのような命令を含むことができる。

１つ以上の構成において、本明細書に記載の１つ以上のモジュールは、人工又は計算知能要素、例えばニューラルネットワーク、ファジーロジック、又は他の機械学習アルゴリズムを含むことができる。さらに、１つ以上の構成において、１つ以上のモジュールが、本明細書で説明される複数のモジュールに分散されることができる。１つ以上の構成では、本明細書に記載のモジュールのうちの２つ以上を組み合わせて単一のモジュールにすることができる。

車両１００は、支援システム１６０を形成する１つ以上のモジュールを含むことができる。支援システム１６０は、センサシステム１２０から、及び／又は、車両１００及び／又は車両１００の外部環境に関する情報を取得できる任意の他のタイプのシステムから、データを受信するように構成することができる。１つ以上の構成では、支援システム１６０は、そのようなデータを使用して、１つ以上の運転シーンモデルを生成することができる。支援システム１６０は、車両１００の位置及び速度を決定することができる。支援システム１６０は、障害物、又は、交通標識、樹木、低木、近隣車両、歩行者などを含む他の環境的特徴の位置を決定することができる。

支援システム１６０は、プロセッサ１１０、及び／又は本明細書に記載の１つ以上のモジュールによる使用のため、車両１００の外部環境内の障害物の位置情報を受信及び／又は決定するように構成され、車両１００の位置及び向き、複数の衛星からの信号に基づくグローバル座標における車両位置、又は、車両１００の現在の状態を決定するために、又は地図を作成するか、地図データに関して車両１００の位置を決定するかのいずれかでの使用のため環境に対する車両１００の位置を決定するために使用され得る任意の他のデータ及び／又は信号を推定する。

支援システム１６０は、独立して又は管理システム１７０と組み合わせて、センサシステム１２０によって取得されたデータ、運転シーンモデル、及び／又はシステム状態からの判定などの任意の他の適切なソースからのデータに基づいて、移動経路、車両１００の現在の自律運転操作、将来の自律運転操作、及び／又は現在の自律運転操作に対する修正を決定するように構成することができる。「運転操作」とは、車両の動きに影響を与える１つ以上のアクションを意味する。運転操作の例には、いくつかの可能性を挙げると、加速、減速、ブレーキ、旋回、車両１００の横方向への移動、走行車線の変更、走行車線への合流、及び／又は後退が含まれる。支援システム１６０は、決定された運転操作を実施するように構成することができる。支援システム１６０は、直接的又は間接的に、そのような自律運転操作を実行させることができる。本明細書で使用される場合、「させる」又は「させている」は、直接的又は間接的に、イベント又はアクションが発生するように又は少なくともそのようなイベント又はアクションが発生し得る状態となるようにする、命令する、指示する、及び／又は可能にすることを意味する。支援システム１６０は、様々な車両機能を実行し、及び／又は車両１００又はその１つ以上のシステム（例えば、車両システム１５０の１つ以上）にデータを送信し、それらからデータを受信し、それらと相互作用し、及び／又はそれらを制御するように構成することができる。

詳細な実施形態が本明細書に開示される。しかしながら、開示された実施形態は、例としてのみ意図されていることを理解されたい。従って、本明細書に開示される特定の構造的及び機能的詳細は、限定するものとして解釈されるべきではなく、単に請求項の基礎として、及び、実質的に任意の適切な詳細な構造で本明細書の態様を様々に使用することを当業者に教示するための代表的な基礎としてのみ解釈されるべきである。さらに、本明細書で使用される用語及び語句は、限定することを意図するものではなく、むしろ可能な実施形態の理解可能な説明を提供することを意図している。様々な実施形態が図１～図５に示されているが、実施形態は、図示された構造又は用途に限定されない。

図中のフローチャート及びブロック図は、様々な実施形態による、システム、方法、及びコンピュータプログラム製品の可能な実施形態のアーキテクチャ、機能、及び動作を示している。これに関して、フローチャート又はブロック図の各ブロックは、特定される論理機能を実行するための１つ以上の実行可能な命令を含むモジュール、セグメント、又はコードの一部を表すことができる。また、一部の代替実施形態では、ブロックに記載されている機能が、図に記載されている順序とは異なる順序で発生する場合があることにも注意されたい。例えば、連続して示された２つのブロックは、実際には、実質的に同時に実行されても良いし、関係する機能に応じて、時には、ブロックが逆の順序で実行されても良い。

上記のシステム、コンポーネント、及び／又はプロセスは、ハードウェア又はハードウェアとソフトウェアの組み合わせで実現でき、１つの処理システムにおいて集中方式によって、又は、様々な要素が相互接続されたいくつかの処理システムに分散している分散方式によって実現することができる。本明細書に記載の方法を実行するように適合された任意の種類の処理システム又は別の装置が適している。ハードウェアとソフトウェアの組み合わせが、コンピュータで使用可能なプログラムコードを備えた処理システムであり、読み込まれて実行されるとき、本明細書で説明する方法を実行するように処理システムを制御する。システム、コンポーネント、及び／又はプロセスはまた、コンピュータプログラム製品又は他のデータプログラム記憶装置などのコンピュータ読み取り可能ストレージに埋め込まれ、機械によって読み取り可能であり、本明細書に記載された方法及びプロセスを実行するために機械によって実行可能な命令のプログラムを実体的に具現化することができる。これらの要素は、本明細書に記載の方法の実施を可能にする全ての特徴を備え、処理システムにロードされたときにこれらの方法を実行できるアプリケーション製品に組み込むこともできる。

さらに、本明細書で説明された構成は、例えば記憶されて、具現化されるコンピュータ可読プログラムコードを有する１つ以上のコンピュータ可読媒体に具現化されるコンピュータプログラム製品の形をとることができる。１つ以上のコンピュータ可読媒体の任意の組み合わせが利用されてもよい。コンピュータ可読媒体は、コンピュータ可読信号媒体又はコンピュータ可読記憶媒体であり得る。「コンピュータ可読記憶媒体」との語句は、非一時的な記憶媒体を意味する。コンピュータ可読媒体は、限定されるものではないが、不揮発性媒体及び揮発性媒体を含む、形態をとることができる。不揮発性媒体には、例えば、光ディスク、磁気ディスクなどが含まれ得る。揮発性媒体には、例えば、半導体メモリ、ダイナミックメモリなどが含まれ得る。このようなコンピュータ可読媒体の例には、限定されるものではないが、フロッピーディスク、フレキシブルディスク、ハードディスク、磁気テープ、他の磁気媒体、ＡＳＩＣ、ＣＤ、他の光学媒体、ＲＡＭ、ＲＯＭ、メモリチップ又はカード、メモリスティック、及びコンピュータ、プロセッサ、又は他の電子デバイスが読み取ることが可能な他の媒体が含まれる。本明細書の文脈において、コンピュータ可読記憶媒体は、命令実行システム、装置、又はデバイスによる使用のための、又はそれと接続された、プログラムを含むことができる又は格納できる任意の有形の媒体であっても良い。

以下は、本明細書で使用される選択された用語の定義を含む。定義は、用語の範囲内にあり、様々な実施形態に使用できる様々な例及び／又はコンポーネントの形式を含む。例は、限定することを意図していない。用語の単数形と複数形の両方が定義内に含まれ得る。

「１つの実施形態」、「一実施形態」、「１つの例」、「一例」などへの言及は、そのように記載された実施形態又は例が、特定の特徴、構造、特性、性質、要素、又は制限を含み得ることを示すが、すべての実施形態又は例が、必ずしも、その特定の特徴、構造、特性、性質、要素、又は制限を含むわけではないことを示す。さらに、「１つの実施形態では」という語句の繰り返しの使用は、同じ実施形態を指す場合もあるが、必ずしもそうとは限らない。

本明細書で使用される「モジュール」は、機能又はアクションを実行するように構成された、及び／又は、別のロジック、方法、及び／又はシステムから機能又はアクションを発揮させるように構成された、コンピュータ又は電気ハードウェアコンポーネント、ファームウェア、命令を格納する非一時的コンピュータ可読媒体、及び／又は、これらのコンポーネントの組み合わせを含む。モジュールは、アルゴリズムによって制御されるマイクロプロセッサ、ディスクリート論理回路（例えば、ＡＳＩＣ）、アナログ回路、デジタル回路、プログラムされた論理デバイス、実行時にアルゴリズムを実行する命令を含むメモリデバイスなどを含むことができる。モジュールは、１つ以上の実施形態では、１つ以上のＣＭＯＳゲート、ゲートの組み合わせ、又は他の回路コンポーネントを含む。複数のモジュールが説明される場合、１つ以上の実施形態では、複数のモジュールを１つの物理的なモジュールコンポーネントに組み込むことを含む。同様に、単一のモジュールが説明される場合、１つ以上の実施形態では、複数の物理的なコンポーネント間に、単一のモジュールを分散させることを含む。

さらに、本明細書で使用されるモジュールは、特定のタスクを実行する、又は、特定のデータ型を実装するルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含む。さらなる態様では、メモリは、一般に、記載されたモジュールを格納する。モジュールに関連付けられたメモリは、プロセッサ内に埋め込まれたバッファ又はキャッシュ、ＲＡＭ、ＲＯＭ、フラッシュメモリ、又は、別の適切な電子記憶媒体であっても良い。さらに別の態様では、本開示によって想定されるモジュールは、特定用途向け集積回路（ＡＳＩＣ）、システムオンチップ（ＳｏＣ）のハードウェアコンポーネント、プログラマブルロジックアレイ（ＰＬＡ）、又は開示された機能を実行するための定義された構成セット（例えば、命令）が組み込まれた別の適切なハードウェアコンポーネントとして実現される。

１つ以上の構成において、本明細書で説明する１つ以上のモジュールは、人工又は計算知能要素、例えば、ニューラルネットワーク、ファジー論理、又は他の機械学習アルゴリズムを含むことができる。さらに、１つ以上の構成では、１つ以上のモジュールは、本明細書で説明する複数のモジュールに分散させることができる。１つ以上の構成において、本明細書に記載の２つ以上のモジュールは単一のモジュールに組み合わせることができる。

コンピュータ可読媒体に具現化されるプログラムコードは、無線、有線、光ファイバ、ケーブル、ＲＦなど、又は、前述の任意の適切な組み合わせを含むが、これらに限定されない任意の適切な媒体を使用して送信され得る。本構成の態様の動作を実行するためのコンピュータプログラムコードは、Ｊａｖａ（登録商標）、Ｓｍａｌｌｔａｌｋ、Ｃ＋＋などのオブジェクト指向プログラミング言語、及び、Ｃプログラミング言語又は同様のプログラミング言語などの従来の手続き型プログラミング言語を含む、１つ以上のプログラミング言語の任意の組み合わせで記述することができる。プログラムコードは、スタンドアロンソフトウェアパッケージとして、完全にユーザのコンピュータ上で、部分的にユーザのコンピュータ上で、あるいは、一部をユーザのコンピュータ上でかつ一部をリモートコンピュータ上で、もしくは、完全にリモートコンピュータ又はサーバ上で実行することができる。後者のシナリオでは、リモートコンピュータは、ローカルエリアネットワーク（ＬＡＮ）又はワイドエリアネットワーク（ＷＡＮ）を含む任意のタイプのネットワークを介してユーザのコンピュータに接続されても良く、又は、その接続が外部コンピュータ（例えば、インターネットサービスプロバイダを使用してインターネットを介して）になされても良い。

本明細書で使用される要素の数は、１つ、又は、２つ以上として定義される。本明細書で使用される「複数」という用語は、２つ、又は、３つ以上として定義される。本明細書で使用される「別の」という用語は、少なくとも２番目、又は、それ以上として定義される。本明細書で使用される「含む」、及び／又は、「有する」という用語は、「備える」を意味し、すなわち、他の要素の存在を許容する用語として定義される。本明細書で使用される「・・・と・・・との少なくとも１つ」という表現は、関連付けて列挙された項目の１つ、又は、複数のありとあらゆる可能な組み合わせを指し、それらを包含する。一例として、「Ａ、Ｂ、及び、Ｃのうちの少なくとも１つ」という表現は、Ａのみ、Ｂのみ、Ｃのみ、又はそれらの任意の組み合わせ（例えば、ＡＢ、ＡＣ、ＢＣ、又は、ＡＢＣ）を含む。

本明細書の態様は、その主旨又は本質的な特質から逸脱することなく、他の形態で具現化することができる。従って、本明細書の範囲を示すものとして、前述した明細書ではなく、以下の特許請求の範囲を参照すべきである。

１００：車両、１１０：プロセッサ、１１５：データストア、１２０：センサシステム、１２１：車両センサ、１２２：環境センサ、１３０：入力システム、１４０：出力システム、１５０：車両システム、１６０：支援システム、１７０：管理システム、２１０：メモリ、２２０：制御モジュール、２３０：データストア、２４０：グラフ

Claims (17)

1. １つ以上のプロセッサと、
   １つ以上のプロセッサに通信可能に結合されたメモリと、を含み、
   メモリは、１つ以上のプロセッサによる実行時に、１つ以上のプロセッサに、
   管理デバイスにおいて、ソフトウェアパッケージと関連付けられたエンティティの固有の識別子と、固有の識別子とソフトウェアパッケージのパッケージ識別子との組み合わせをハッシュして生成される安全な識別子とを含む、リモートデバイスにインストールされたソフトウェアパッケージに関する識別情報を取得させる命令、
   脆弱性の識別に応答して、安全な識別子を生成する際に実行されるプロセスを模倣するべく、エンティティの固有の識別子と、脆弱性を含む脆弱なパッケージを識別するパッケージ識別子に対応する脆弱性ラベルとの組み合わせをハッシュして、脆弱性識別子を生成させる命令、
   ソフトウェアパッケージに脆弱性が含まれかどうかを判断するために、脆弱性識別子を安全な識別子と比較させる命令、及び
   脆弱性識別子が安全な識別子と一致する場合に、脆弱性に関する対応を提供させる命令、を含む制御モジュールを格納する管理システム。
2. 安全な識別子は、パッケージ識別子を固有の識別子と組み合わせて、組み合わせ識別子を形成し、そして、組み合わせ識別子をハッシュすることにより生成され、組み合わせ識別子が識別されないよう偽装される、請求項１の管理システム。
3. 組み合わせ識別子は、固有の識別子をパッケージ識別子に付加することによって形成される、請求項２の管理システム。
4. 制御モジュールが含む脆弱性識別子を安全な識別子と比較する命令は、ソフトウェアパッケージを含むソフトウェアコンポーネント間の関係を示すグラフに従って定義される、リモートデバイスの安全な複数の識別子と脆弱性識別子を比較する命令を含む、請求項１の管理システム。
5. 制御モジュールが含む対応を提供する命令は、脆弱性を解決するためのパッチを含む、リモートデバイスへの警告を生成する命令を含む、請求項１の管理システム。
6. 制御モジュールが含む脆弱性を識別する命令は、脆弱性に関連するソフトウェアを特定する速報通信を受信する命令を含み、リモートデバイスは車両である、請求項１の管理システム。
7. 管理デバイスは、複数の異なるエンティティのソフトウェアパッケージを管理するために、安全な識別子を集中データベースに保持する、請求項１の管理システム。
8. １つ以上のプロセッサによる実行時に、１つ以上のプロセッサに、
   管理デバイスにおいて、ソフトウェアパッケージと関連付けられたエンティティの固有の識別子と、固有の識別子とソフトウェアパッケージのパッケージ識別子との組み合わせをハッシュして生成される安全な識別子とを含む、リモートデバイスにインストールされたソフトウェアパッケージに関する識別情報を取得させる命令、
   脆弱性の識別に応答して、安全な識別子を生成する際に実行されるプロセスを模倣するべく、エンティティの固有の識別子と、脆弱性を含む脆弱なパッケージを識別するパッケージ識別子に対応する脆弱性ラベルとの組み合わせをハッシュして、脆弱性識別子を生成させる命令、
   ソフトウェアパッケージに脆弱性が含まれかどうかを判断するために、脆弱性識別子を安全な識別子と比較させる命令、及び
   脆弱性識別子が安全な識別子と一致する場合に、脆弱性に関する対応を提供させる命令、を格納する非一時的コンピュータ可読記憶媒体。
9. 安全な識別子は、パッケージ識別子を固有の識別子と組み合わせて、組み合わせ識別子を形成し、そして、組み合わせ識別子をハッシュすることにより生成され、組み合わせ識別子が識別されないよう偽装される、請求項８の非一時的コンピュータ可読記憶媒体。
10. 組み合わせ識別子は、固有の識別子をパッケージ識別子に付加することによって形成される、請求項９の非一時的コンピュータ可読記憶媒体。
11. 脆弱性識別子を安全な識別子と比較する命令は、ソフトウェアパッケージを含むソフトウェアコンポーネント間の関係を示すグラフに従って定義される、リモートデバイスの安全な複数の識別子と脆弱性識別子を比較する命令を含む、請求項８の非一時的コンピュータ可読記憶媒体。
12. １つ以上のプロセッサによって実行される方法であって、
    管理デバイスにおいて、ソフトウェアパッケージと関連付けられたエンティティの固有の識別子と、固有の識別子とソフトウェアパッケージのパッケージ識別子との組み合わせをハッシュして生成される安全な識別子とを含む、リモートデバイスにインストールされたソフトウェアパッケージに関する識別情報を取得すること、
    脆弱性の識別に応答して、安全な識別子を生成する際に実行されるプロセスを模倣するべく、エンティティの固有の識別子と、脆弱性を含む脆弱なパッケージを識別するパッケージ識別子に対応する脆弱性ラベルとの組み合わせをハッシュして、脆弱性識別子を生成すること、
    ソフトウェアパッケージに脆弱性が含まれかどうかを判断するために、脆弱性識別子を安全な識別子と比較すること、及び
    脆弱性識別子が安全な識別子と一致する場合に、脆弱性に関する対応を提供すること、を備える方法。
13. 安全な識別子は、パッケージ識別子を固有の識別子と組み合わせて、組み合わせ識別子を形成し、そして、組み合わせ識別子をハッシュすることにより生成され、組み合わせ識別子が識別されないよう偽装される、請求項１２の方法。
14. 組み合わせ識別子は、固有の識別子をパッケージ識別子に付加することによって形成される、請求項１３の方法。
15. 脆弱性識別子を安全な識別子と比較することには、ソフトウェアパッケージを含むソフトウェアコンポーネント間の関係を示すグラフに従って定義される、リモートデバイスの安全な複数の識別子と脆弱性識別子を比較することが含まれる、請求項１２の方法。
16. 対応を提供することには、脆弱性を解決するためのパッチを含む、リモートデバイスへの警告を生成することが含まれる、請求項１２の方法。
17. 脆弱性を識別することは、脆弱性に関連するソフトウェアを特定する速報通信を受信することが含まれ、リモートデバイスは車両である、請求項１２の方法。

Images