JP7530367B2 - 異常車両検出サーバおよび異常車両検出方法 - Google Patents

異常車両検出サーバおよび異常車両検出方法 Download PDF

Info

Publication number
JP7530367B2
JP7530367B2 JP2021542969A JP2021542969A JP7530367B2 JP 7530367 B2 JP7530367 B2 JP 7530367B2 JP 2021542969 A JP2021542969 A JP 2021542969A JP 2021542969 A JP2021542969 A JP 2021542969A JP 7530367 B2 JP7530367 B2 JP 7530367B2
Authority
JP
Japan
Prior art keywords
vehicle
abnormal
vehicles
abnormality
abnormality score
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2021542969A
Other languages
English (en)
Other versions
JPWO2021039851A1 (ja
Inventor
亮 平野
剛 岸川
良浩 氏家
智之 芳賀
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Intellectual Property Corp of America
Original Assignee
Panasonic Intellectual Property Corp of America
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Intellectual Property Corp of America filed Critical Panasonic Intellectual Property Corp of America
Publication of JPWO2021039851A1 publication Critical patent/JPWO2021039851A1/ja
Application granted granted Critical
Publication of JP7530367B2 publication Critical patent/JP7530367B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/48—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for in-vehicle communication
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/316—User authentication by observing the pattern of computer usage, e.g. typical user behaviour
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R25/00—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/12—Protecting executable software
    • G06F21/14—Protecting executable software against software analysis or reverse engineering, e.g. by obfuscation
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/12—Arrangements for remote connection or disconnection of substations or of equipment thereof
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Computing Systems (AREA)
  • Virology (AREA)
  • Social Psychology (AREA)
  • Multimedia (AREA)
  • Technology Law (AREA)
  • Medical Informatics (AREA)
  • Mechanical Engineering (AREA)
  • Traffic Control Systems (AREA)
  • Small-Scale Networks (AREA)

Description

本開示は、異常車両検出サーバおよび異常車両検出方法に関する。
近年、自動車の中のシステムには、電子制御ユニット（以下、ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ））と呼ばれる装置が多数配置されている。これらのＥＣＵをつなぐネットワークを車載ネットワークと呼ばれる。車載ネットワークには、多数の規格が存在するが、その中でも最も主流な車載ネットワークの一つに、Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ（以降、ＣＡＮ（登録商標、以下同様））という規格が存在する。また、さらに、自動運転またはコネクテッドカーの普及に伴い、車載ネットワークトラフィックの増大が予想され、車載Ｅｔｈｅｒｎｅｔ（登録商標、以下同様（以下イーサネットとも記載する））の普及が進んでいる。
一方で、車載システムに侵入し、車両を不正制御する脅威も報告されている。このような脅威に対して、非特許文献１には、従来のＩｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ（ＩＰ）通信で用いられてきた暗号通信を用いて不正なノードの通信による不正制御を防ぐ方法が開示されている。また、特許文献１には、車載ネットワークの異常な通信を検知し、不正なフレームを遮断する方法が開示されている。
特許第５６６４７９９号公報
ＲＦＣ５４０６：Ｇｕｉｄｅｌｉｎｅｓ ｆｏｒ Ｓｐｅｃｉｆｙｉｎｇ ｔｈｅ Ｕｓｅ ｏｆ ＩＰｓｅｃ Ｖｅｒｓｉｏｎ２、２００９年２月
しかしながら、非特許文献１の方法では、暗号通信を用いるため、送受信ノードによる暗号化・復号処理が必要となりオーバーヘッドが発生する。また、暗号通信に用いる鍵管理が重要となり、ＥＣＵの制御を奪わる、または、鍵が漏洩する等の場合には、不正なフレーム送信による不正制御が可能となる。また、特許文献１の方法は、不正なフレームを送信されたことによる異常への対処であり、攻撃の発生を未然に防ぐわけではない。このように、車載ネットワークの安全性には、改善の余地がある。
そこで、本開示は、車載ネットワークの安全性をより高めることができる車両異常検出サーバおよび車両異常検出方法を提供する。
本開示の一態様に係る車両異常検出サーバは、車両システムにおいて発生したイベント内容を含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の車両情報に基づいて、所定の運転挙動とは異なる不審挙動を検出し、前記複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコア取得部と、前記複数の車両のうちの一の車両の前記異常スコアと前記複数の車両のうちの２以上の車両の前記異常スコアの統計値とに基づいて、前記一の車両が異常車両であるか否かを判定する異常車両判定部と、を備える。
本開示の一態様に係る車両異常検出方法は、車両に搭載された車両システムにおいて発生したイベント内容を含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の前記車両情報に基づいて、所定の運転挙動とは異なる不審挙動を検出し、前記複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコア取得ステップと、前記複数の車両のうちの一の車両の前記異常スコアと前記複数の車両のうちの２以上の車両の前記異常スコアの統計値とに基づいて、前記一の車両が異常車両であるか否かを判定する異常車両判定ステップと、を含む。
本開示の一態様に係る車両異常検出サーバ等によれば、車載ネットワークの安全性をより高めることができる。
図１は、実施の形態における異常車両検出システムの全体構成図である。 図２は、実施の形態における車両システムの構成図である。 図３は、実施の形態における異常車両検出サーバの構成図である。 図４は、実施の形態における車両ログ送信装置の構成図である。 図５は、実施の形態における車両ログの一例を示す図である。 図６は、実施の形態における異常ルールの一例を示す図である。 図７は、実施の形態における除外ルールの一例を示す図である。 図８は、実施の形態における異常スコアの一例を示す図である。 図９は、実施の形態における対策ルールの一例を示す図である。 図１０は、実施の形態における異常スコアリスト表示画面の一例を示す図である。 図１１は、実施の形態における異常エリア表示画面の一例を示す図である。 図１２は、実施の形態における異常階層表示画面の一例を示す図である。 図１３は、実施の形態における車両ログ受信処理のシーケンスを示す図である。 図１４は、実施の形態における異常車両検出サーバが除外ルール共有サーバから除外ルールを受信して記憶するまでの処理シーケンスを示す図である。 図１５は、実施の形態における異常スコア算出処理のシーケンスを示す図である。 図１６は、実施の形態における異常対策処理のシーケンスを示す図である。 図１７は、実施の形態における異常表示処理のシーケンスを示す図である。 図１８は、実施の形態における車両別異常スコア算出処理のフローチャートである。 図１９は、実施の形態における車種別異常スコア算出処理のフローチャートである。 図２０は、実施の形態におけるエリア別異常スコア算出処理のフローチャートである。 図２１は、実施の形態における異常車両判定処理のフローチャートである。 図２２は、実施の形態における異常対策処理のフローチャートである。 図２３は、実施の形態における異常カテゴリ別の異常対策処理のフローチャートの一例である。 図２４は、実施の形態における異常カテゴリ別の異常対策処理のフローチャートの他の一例である。 図２５は、実施の形態におけるエリア別攻撃段階判定処理のフローチャートである。 図２６は、実施の形態における車種別攻撃段階判定処理のフローチャートである。
（本開示に至った経緯）
本開示の実施の形態等の説明に先立ち、本開示の基礎に至った経緯について説明する。
上記のように、特許文献１および非特許文献１に開示されている技術では、車載ネットワークの安全性を高める観点から改善の余地がある。
一般に、車両の不正制御を試みる攻撃者は、車両の不正制御を引き起こすためのフレームの調査等の車載ネットワークのリバースエンジニアリングを事前に行う。このときの車載ネットワークのフレーム調査段階における攻撃者の活動を把握することができれば、フレームの調査段階を攻撃発生の予兆として捉え、攻撃者の調査の妨害または対象車両の重点監視等のアクションにつなげることができる。
そこで、本願発明者らは、車載ネットワークの調査段階における攻撃者の活動を把握することができる車両異常検出サーバ等について鋭意検討を行い、以下に説明する車両異常検出サーバ等を創案した。例えば、本願発明者らは、複数車両の車両ログをサーバ上で監視し、攻撃者のリバースエンジニアリングによって発生する所定（例えば通常）とは異なる車両挙動を不審挙動と捉え、車両がリバースエンジニアリングされている可能性の高さを示す異常スコアを算出し、同一車種等の異常スコアの統計値（例えば、平均値）よりも高い異常スコアを有する車両を異常車両として検出し、異常スコアの値と異常カテゴリとに基づいて異常に対して対策を実施することで、車載ネットワークの安全性を効果的に高めることができることを見出した。
本開示の一実施態様の異常車両検出サーバは、車両システムにおいて発生したイベント内容を含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の車両情報に基づいて、所定の運転挙動とは異なる不審挙動を検出し、前記複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコア取得部と、前記複数の車両のうちの一の車両の前記異常スコアと前記複数の車両のうちの２以上の車両の前記異常スコアの統計値とに基づいて、前記一の車両が異常車両であるか否かを判定する異常車両判定部と、を備える。
これにより、車載ネットワークシステムをリバースエンジニアリングしている疑わしさを算出することが可能となり、より疑わしい車両を把握することができるため、車載ネットワークシステムの安全性を効果的に高めることができる。
また、例えば、前記２以上の車両は、前記一の車両と同一の車種の車両を含み、前記異常車両判定部は、前記一の車両の前記異常スコアと、前記一の車両と同一の車種の前記異常スコアに基づく前記統計値とを比較し、比較結果に基づいて前記一の車両が前記異常車両であるか否かを判定してもよい。
これにより、特定の車種において発生する可能性が高い異常を除外することができ、同一車種の他の車両では発生数が少なく、より疑わしい異常および車両を抽出できるため、車載ネットワークシステムの安全性をより効果的に高めることができる。
また、例えば、前記２以上の車両は、前記一の車両と同一のエリアに位置する車両を含み、前記異常車両判定部は、前記一の車両の前記異常スコアと、前記一の車両と同一のエリアに位置する車両の前記異常スコアに基づく前記統計値とを比較し、比較結果に基づいて前記一の車両が前記異常車両であるか否かを判定してもよい。
これにより、特定のエリアにおいて発生する可能性が高い異常を除外することができ、同一エリアに位置する他の車両では発生数が少なく、より疑わしい異常および車両を抽出できるため、車載ネットワークシステムの安全性をより効果的に高めることができる。
また、例えば、前記異常車両判定部は、さらに、前記異常車両と同一の車種である異常車種または、前記異常車両が検出されたエリアである異常エリアにおいて、所定の台数以下の前記異常車両が存在する場合、前記リバースエンジニアリングにおける攻撃の進行度が第一の攻撃段階であると判定し、前記所定の台数より多い前記異常車両が存在する場合、前記第一の攻撃段階より前記リバースエンジニアリングにおける攻撃の進行度が進行した第二の攻撃段階であると判定してもよい。
これにより、所定の台数以下の少数の車両にのみ異常が発生している場合は、攻撃者が異常車両を解析途中である第一の攻撃段階（例えば偵察フェーズ）であると判定でき、所定の台数より多い車両に異常が発生している場合は、第二の攻撃段階（例えば、攻撃者が車両のネットワーク解析およびシステム解析に成功して他の車両への攻撃適用を試行しているデリバリーフェーズ）であると判定できる。攻撃段階が判定できれば、対策の手段の切り替えおよび解析の優先度の変更が可能となる。
また、例えば、前記異常スコア取得部は、前記車両ログに含まれる前記イベント内容に基づいて前記異常スコアを算出し、前記イベント内容に基づいて特定されるネットワーク機器の接続頻発、インターネット接続異常、診断コマンドの頻発、アクセス先アドレスの変化、アクセス元アドレスの変化のいずれかを前記不審挙動であると検出し、前記不審挙動を検出した場合、前記不審挙動をネットワーク解析活動であると判定し、前記一の車両の前記異常スコアを増加させてもよい。
これにより、攻撃者が車両システムの通信機能を解析しようとする試行をとらえることができるため車載ネットワークシステムの安全性をより一層効果的に高めることができる。
また、例えば、さらに、異常対策通知部を備え、前記異常スコア取得部が前記不審挙動を前記ネットワーク解析活動であると判定した場合、前記異常対策通知部は、前記異常スコアの値に応じて、ネットワークインターフェースの遮断、アクセス先およびアクセス元のアドレスの制限、前記ネットワーク機器の接続数の制限、および、ドライバへの警告のいずれか１つ以上を実施させてもよい。
これにより、攻撃者が車両システムの通信機能を解析しようとする試行を妨害することができるため、車載ネットワークシステムの安全性をより一層効果的に高めることができる。
また、例えば、前記異常スコア取得部は、前記車両ログに含まれる前記イベント内容に基づいて前記異常スコアを算出し、前記イベント内容に基づいて特定される車両制御機能の頻発、システムエラーの頻発、システムエラーの削除、故障コードの頻発、システムログイン、および、ファイル数またはプロセス数の変化のいずれかを前記不審挙動であると検出し、前記不審挙動を検出した場合に、前記不審挙動をシステム解析活動であると判定し、前記一の車両の前記異常スコアを増加させてもよい。
これにより、攻撃者が車両システムの車両制御機能またはホストマシン自体を解析しようとする試行をとらえることができるため、車載ネットワークシステムの安全性をより一層効果的に高めることができる。
また、例えば、さらに、異常対策通知部を備え、前記異常スコア取得部が前記不審挙動を前記システム解析活動であると判定した場合、前記異常対策通知部は、前記異常スコアの値に応じて、車両制御機能の起動停止、前記車両ログの送信頻度の増加、前記車両ログの種類数の増加、および、ドライバへの警告のいずれか１つ以上を実施させてもよい。
これにより、攻撃者が車両システムの車両制御機能またはホストマシン自体を解析しようとする試行を妨害することができるため、車載ネットワークシステムの安全性をより一層効果的に高めることができる。
また、例えば、前記異常スコア取得部は、前記不審挙動を検出した場合であっても、前記不審挙動を検出した時刻に基づく所定の期間内に再度前記不審挙動を検出した場合または所定のエリアにて前記不審挙動を検出した場合、前記異常スコアを増加させなくてもよい。
これにより、開発者が車両システムの検証のために不審挙動を発生させている場合、修理業者がエラー解除している場合、車両システムのソフトウェア更新によってファイル数が変わる場合などを不審挙動であると検出することによる誤検知を防ぐことができるため、不審挙動の検出精度を効果的に向上させることができる。
また、例えば、前記異常スコア取得部は、前記不審挙動が検出された時刻に基づく所定の期間中に、前記不審挙動が検出された車両において再度前記不審挙動が検出されなかった場合、前記異常スコアを減少させなくてもよい。
これにより、攻撃者が攻撃対象車両を通常走行に用いる可能性は低いと考えられるため、しばらく通常走行され、不審な挙動が発生しなかった場合は、攻撃対象車両である可能性が低いと考えられるため、攻撃対象車両であるか否かの判定精度を効果的に向上させることができる。
また、例えば、前記異常車両判定部が前記異常車両と判定した車両に対して、前記異常スコアの値または前記不審挙動の種別に基づいて、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告、ネットワーク接続制限と、車両制御機能制限、車両制御機能の起動停止、車両ログの送信頻度の増加、車両ログの種類数の増加、ドライバへの通知のうち、いずれか１つ以上の対策を要求する異常対策通知部をさらに備えてもよい。
これにより、攻撃者によるリバースエンジニアリング活動の疑わしさが高い車両に対して、車両制御機能を制限することで攻撃者の解析を妨げること、および、車両ログの種類数を増やして攻撃内容を解析することが可能となり、攻撃者の解析の妨害および攻撃者の攻撃内容の把握を効率的に行うことができる。
また、例えば、前記異常車両判定部によって前記異常車種が前記第二の攻撃段階であると判定された場合、前記異常車両と判定した車両と同一の車種の車両に対して、前記異常スコアの値または前記不審挙動の種別に基づいて、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告、ネットワーク接続制限と、車両制御機能制限、車両制御機能の起動停止、車両ログの送信頻度の増加、車両ログの種類数の増加、ドライバへの通知のうち、いずれか１つ以上を要求する異常対策通知部をさらに備えてもよい。
これにより、攻撃者によるリバースエンジニアリング活動の疑わしさが高い車種に対して、車両制御機能を制限することで攻撃者の解析を妨げること、および、車両ログの種類数を増やして攻撃内容を解析することが可能となり、攻撃者の解析の妨害および攻撃者の攻撃内容の把握を効率的に行うことができる。
また、例えば、前記異常車両判定部によって前記異常エリアにおいて前記異常車両が前記第二の攻撃段階であると判定された場合、当該異常エリアに位置する前記異常車両以外の車両に対して、前記異常スコアの値または前記不審挙動の種別に基づいて、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告、ネットワーク接続制限と、車両制御機能制限、車両制御機能の起動停止、車両ログの送信頻度の増加、車両ログの種類数の増加、ドライバへの通知のうち、いずれか１つ以上を要求する異常対策通知部をさらに備えてもよい。
これにより、攻撃者によるリバースエンジニアリング活動の疑わしさが高いエリアに対して、車両制御機能を制限することで攻撃者の解析を妨げること、および車両ログの種類数を増やして攻撃内容を解析することが可能となり、攻撃者の解析の妨害および攻撃者の攻撃内容の把握を効率的に行うことができる。
また、例えば、前記異常スコアが高い順に前記異常車両をリスト表示する異常表示部をさらに備えてもよい。
これにより、異常表示部の表示内容を確認して異常車両を解析するオペレーターが、より疑わしい車両から優先的に解析することができるため、解析作業を効果的に行うことができる。
また、例えば、前記異常車両と判定された車両の位置情報を地図上に表示する異常表示部をさらに備えてもよい。
これにより、異常表示部の表示内容を確認して異常車両を解析するオペレーターが、異常車両がどのエリアに位置していて、どの施設で異常が発生しているかを判定でき、解析の手がかりとすることができるため、解析作業を効果的に行うことができる。
また、例えば、前記異常車両判定部によって前記異常車種において前記第一の攻撃段階と判定された場合、前記異常車両と判定された車両、車種、および、位置情報の少なくとも１つの情報を表示し、前記第二の攻撃段階と判定された場合、前記攻撃の進行度が前記第一の攻撃段階より高い階層であると表示する異常表示部をさらに備えてもよい。
これにより、異常表示部の表示内容を確認して異常車両を解析するオペレーターが、異常車両に対する攻撃の進行度を把握することができ、解析の優先度をつけることができるため、解析作業をより効果的に行うことができる。
また、本開示の一実施態様の異常車両検出方法は、車両に搭載された車両システムにおいて発生したイベント内容を含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の前記車両情報に基づいて、所定の運転挙動とは異なる不審挙動を検出し、前記複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコア取得ステップと、前記複数の車両のうちの一の車両の前記異常スコアと前記複数の車両のうちの２以上の車両の前記異常スコアの統計値とに基づいて、前記一の車両が異常車両であるか否かを判定する異常車両判定ステップと、を含む。
これにより、上記異常車両検出サーバと同様の効果を奏する。
以下、図面を参照しながら、本開示の実施の形態に関わる異常車両検出システムについて説明する。なお、以下で説明する実施の形態は、いずれも本開示の好ましい一具体例を示す。つまり、以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置および接続形態、ステップ、ステップの順序などは、本開示の一例であり、本開示を限定する主旨ではない。本開示は、請求の範囲の記載に基づいて特定される。したがって、以下の実施の形態における構成要素のうち、本開示の最上位概念を示す独立請求項に記載されていない構成要素は、本開示の課題を達成するために必ずしも必要ではないが、より好ましい形態を構成する構成要素として説明される。
また、各図は模式図であり、必ずしも厳密に図示されたものではない。また、各図において、実質的に同一の構成に対しては同一の符号を付し、重複する説明は省略または簡略化される場合がある。
（実施の形態）
［１ 異常車両検出システムの全体構成図］
図１は、本実施の形態における異常車両検出システムの全体構成を示す図である。図１に示すように、異常車両検出システムは、異常車両検出サーバ１０と、車両システム２０と、除外ルール共有サーバ３０とを備える。また、異常車両検出システムでは、外部ネットワークを介して異常車両検出サーバ１０と、除外ルール共有サーバ３０と、車両システム２０とが通信可能に接続される。外部ネットワークは、例えば、インターネットである。外部ネットワークの通信方法は、有線であっても無線であっても良い。また、無線通信方式は、既存技術であるＷｉ－Ｆｉ（登録商標）、または、３Ｇ／ＬＴＥ（Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ）であっても良いが、これに限定されない。
車両システム２０は、車両に搭載され、車両ログ送信装置２００を備える。車両ログ送信装置２００は、外部ネットワークを介して、車両ログを異常車両検出サーバ１０へ送信する通信装置である。車両ログの詳細は後述する。なお、図１では、異常車両検出システムが備える車両システム２０は１台のみである場合を示しているが、１以上の車両システム２０それぞれが、車両ログを異常車両検出サーバ１０へ送信してもよい。異常車両検出システムは、例えば、複数の車両システム２０を備えていてもよい。
除外ルール共有サーバ３０は、異常車両検出サーバ１０が利用する除外ルールを異常車両検出サーバ１０へ送信するサーバである。除外ルールは、例えば、車両システム２０の開発者によって作成され、除外ルール共有サーバ３０へアップロードされる。除外ルールは、車両システム２０のソフトウェアアップデートのリスト、または、ディーラー、開発拠点、検証拠点、修理業者などのリストを含む。除外ルールには、異常車両検出サーバ１０が車両ログのイベント内容と異常ルールとを参照して異常スコアを算出する際に、除外対象となる異常ルール、その期間、および、位置情報の少なくとも１つ以上が記載される。除外ルールの詳細は後述する。
異常車両検出サーバ１０は、車両ログ送信装置２００から車両ログを受信し、除外ルール共有サーバ３０から除外ルールを受信する。そして、異常車両検出サーバ１０は、車両ログと、除外ルールと、事前に記憶された車両ログを異常と判定する条件が記載された異常ルールとに基づいて車両ごとに異常スコアを算出し、異常車両を検出するサーバである。異常スコアの算出方法および異常車両の判定方法の詳細は後述する。
なお、異常スコアの算出は、以下では、異常車両検出サーバ１０で行われる例について説明するが、車両システム２０により行われてもよい。異常車両検出サーバ１０は、外部ネットワークを介して車両システム２０から当該車両システム２０の異常スコアを取得してもよい。異常車両検出サーバ１０が外部ネットワークを介して車両システム２０から取得する車両ログまたは異常スコアは、車両ログに基づく車両情報の一例である。
［２ 車両システムの構成図］
図２は、本実施の形態における車両システム２０の構成図である。車両システム２０は、車両ログ送信装置２００と、セントラルＥＣＵ３００と、ＺｏｎｅＥＣＵ４００ａと、ＺｏｎｅＥＣＵ４００ｂと、ＺｏｎｅＥＣＵ４００ｃと、ＺｏｎｅＥＣＵ４００ｄと、ボディＥＣＵ５００ａと、カーナビＥＣＵ５００ｂと、ステアリングＥＣＵ５００ｃと、ブレーキＥＣＵ５００ｄとを備える。車両ログ送信装置２００と、セントラルＥＣＵ３００と、ＺｏｎｅＥＣＵ４００ａと、ＺｏｎｅＥＣＵ４００ｂと、ＺｏｎｅＥＣＵ４００ｃと、ＺｏｎｅＥＣＵ４００ｄとは、車載ネットワークであるイーサネット１３を介して接続される。ボディＥＣＵ５００ａと、ＺｏｎｅＥＣＵ４００ａとは、イーサネット１１を介して接続される。また、カーナビＥＣＵ５００ｂと、ＺｏｎｅＥＣＵ４００ｂとは、イーサネット１２を介して接続される。また、ステアリングＥＣＵ５００ｃと、ＺｏｎｅＥＣＵ４００ｃとは、ＣＡＮ１４を介して接続される。また、ブレーキＥＣＵ５００ｄと、ＺｏｎｅＥＣＵ４００ｄとは、ＣＡＮ－ＦＤ（ＣＡＮ ｗｉｔｈ Ｆｌｅｘｉｂｌｅ Ｄａｔａ Ｒａｔｅ）１５を介して接続される。車両ログ送信装置２００と、セントラルＥＣＵ３００とは、外部ネットワークにも接続される。
車両ログ送信装置２００は、イーサネット１３を介して、セントラルＥＣＵ３００から車両ログを収集し、外部ネットワークを介して、収集した車両ログを異常車両検出サーバ１０へ送信する装置である。
セントラルＥＣＵ３００は、イーサネット１３を介して、ＺｏｎｅＥＣＵ４００ａ、ＺｏｎｅＥＣＵ４００ｂ、ＺｏｎｅＥＣＵ４００ｃ、および、ＺｏｎｅＥＣＵ４００ｄを制御し、車両システム２０全体を制御する。例えば、セントラルＥＣＵ３００は、自動駐車、自動運転などの車両制御機能を制御する。また、車両システム２０内で発生したネットワーク機器の接続またはインターネット接続異常などのイベント情報を、ＺｏｎｅＥＣＵ４００ａ～ｄから収集し、収集したイベント情報を車両ログとして記憶し、車両ログを車両ログ送信装置２００へ送信する。
ＺｏｎｅＥＣＵ４００ａ、ＺｏｎｅＥＣＵ４００ｂ、ＺｏｎｅＥＣＵ４００ｃ、および、ＺｏｎｅＥＣＵ４００ｄは、イーサネット１３を介して、セントラルＥＣＵ３００と他のＺｏｎｅＥＣＵとを通信する。例えば、ＺｏｎｅＥＣＵ４００ａは、イーサネット１１を介して、ボディＥＣＵ５００ａと通信し、車両のロック、ワイパーなどの車体に関わる機能を制御する。また、ＺｏｎｅＥＣＵ４００ｂは、イーサネット１２を介して、カーナビＥＣＵ５００ｂと通信し、カーナビの表示を制御する。例えば、ＺｏｎｅＥＣＵ４００ｃは、ＣＡＮ１４を介して、ステアリングＥＣＵ５００ｃと通信し、ステアリングの操舵を制御する。また、ＺｏｎｅＥＣＵ４００ｄは、ＣＡＮ－ＦＤ１５を介して、ブレーキＥＣＵ５００ｄと通信し、ブレーキを制御する。
ボディＥＣＵ５００ａは、車両に搭載される車体に関わる機能を制御する。
カーナビＥＣＵ５００ｂは、車両に搭載されるカーナビの表示を制御する。
ステアリングＥＣＵ５００ｃは、車両に搭載されるステアリングの操舵を制御する。
ブレーキＥＣＵ５００ｄは、車両に搭載されるブレーキを制御する。
［３ 異常車両検出サーバ１０の構成図］
図３は、本実施の形態における異常車両検出サーバ１０の構成図である。異常車両検出サーバ１０は、サーバ側通信部１０１と、車両ログ受信部１０２と、車両ログ記憶部１０３と、除外ルール受信部１０４と、ルール記憶部１０５と、異常スコア算出部１０６と、異常スコア記憶部１０７と、異常車両判定部１０８と、異常対策通知部１０９と、異常表示部１１０とを有する。
サーバ側通信部１０１は、外部ネットワークを介して、車両ログ送信装置２００から車両ログを受信し、車両ログ受信部１０２へ送信する。また、除外ルール共有サーバ３０から除外ルールを受信し、受信した除外ルールを除外ルール受信部１０４へ送信する。
車両ログ受信部１０２は、サーバ側通信部１０１から車両ログを受信し、受信した車両ログを車両ログ記憶部１０３へ記憶する。
除外ルール受信部１０４は、サーバ側通信部１０１から除外ルールを受信し、受信した除外ルールをルール記憶部１０５へ記憶する。
ルール記憶部１０５は、事前に、車両ログに含まれるイベントのうち異常と判定する条件が記載された異常ルールと、異常ルールに記載された異常カテゴリと、異常スコアに応じた対策内容とが記載された対策ルールを記憶する。また、ルール記憶部１０５は、除外ルール受信部１０４が除外ルール共有サーバ３０から受信した除外ルールを記憶する。
異常スコア算出部１０６は、車両ログを受信すると、ルール記憶部１０５から異常ルールと除外ルールとを取得し、車両ログに記載されたイベント内容と、異常ルールと、除外ルールとに基づき、車両１台ごとに異常スコアを算出することで車両１台ごとの異常スコアを取得する。異常スコア算出部１０６は、例えば、車両システム２０において発生したイベント内容のデータを含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の車両情報のイベント内容に基づいて、所定の運転挙動とは異なる不審挙動を検出し、複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコアを算出する。異常スコア算出部１０６は、例えば、車両ログに含まれるイベント内容に基づいて、異常スコアを算出する。そして、異常スコア算出部１０６は、取得した（例えば、算出した）異常スコアを異常スコア記憶部１０７に異常スコアを記録する。異常スコアの算出方法の詳細については後述する。異常スコア算出部１０６は、異常スコア取得部の一例である。
異常スコアは、例えば、リバースエンジニアリングが行われている可能性（例えば、攻撃者がリバースエンジニアリングしている疑わしさ）を示す指標である。また、異常スコアは、例えば、リバースエンジニアリングが行われている可能性を判定可能な指標である。また、異常スコアは、例えば、通常の運転者であれば行わない、または、行う可能性が低い、車両における利用が行われていることを示す指標であるとも言える。なお、本明細書におけるリバースエンジニアリングは、車載ネットワークを解析することである。よって、異常スコアは、例えば、車両の車載ネットワークの解析が行われている可能性、または、解析の度合いを示す指標であるとも言える。
異常車両判定部１０８は、異常スコア記憶部１０７が記憶する異常スコアを参照し、攻撃を試行されていると推測される異常車両を検出する。異常車両判定部１０８は、例えば、複数の車両のうちの一の車両の異常スコアと複数の車両のうち２以上の車両の異常スコアの統計値とに基づいて、一の車両が異常車両であるか否かを判定することで異常車両を検出する。また、異常車両判定部１０８は、異常車両の情報（例えば、車両情報）に基づいて、攻撃段階を判定する。異常車両の検出方法の詳細および攻撃段階の判定方法の詳細については後述する。また、２以上の車両は、異常車両であると判定された一の車両と同一の車種の車両を含んでいてもよいし、当該一の車両と同一のエリアに位置する車両を含んでいてもよい。また、２以上の車両は、当該一の車両と同一のＥＣＵを搭載する車両を含んでいてもよいし、当該一の車両と同一サプライヤ（同一メーカ）の車両を含んでいてもよいし、当該一の車両と同一の基地局を使用して無線通信している車両を含んでいてもよい。なお、２以上の車両に当該一の車両が含まれていてもよいし、含まれていなくてもよい。
異常対策通知部１０９は、異常車両判定部１０８が異常車両であると判定した車両と、異常車両と同一の車種の車両、および、異常車両と同一のエリアに位置する車両の少なくとも１つの車両とに対して、異常対策通知を送信する。異常対策通知は、例えば、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告、ネットワーク接続制限、車両制御機能制限、車両制御機能の起動停止、車両ログの送信頻度の増加、車両ログの種類数の増加、および、ドライバへの通知のうち、いずれか１つ以上の対策を含む通知である。異常対策通知部１０９は、不審挙動がネットワーク解析活動またはシステム解析活動であると判定された場合、車両システム２０の車両ログ送信装置２００またはセントラルＥＣＵ３００へ通知することで上記のいずれか１つ以上の対策を車両システム２０に実行させる。
異常表示部１１０は、異常車両判定部１０８が異常車両と判定した車両と、当該車両（異常車両）と同一の車種の車両、および、当該車両（異常車両）と同一のエリアに位置する車両の少なくとも１つの車両とに関する情報をユーザに対して表示する。例えば、異常車両検出サーバ１０を利用して解析を行うオペレーターがユーザであり、異常表示部１１０は、グラフィカルユーザーインターフェースを用いて当該情報を表示する。当該情報は、ユーザが重点的に監視する異常車両を特定可能な情報を含む。
［４ 車両ログ送信装置の構成図］
図４は、本実施の形態における車両ログ送信装置２００の構成図である。車両ログ送信装置２００は、車両側通信部２１０と、車両ログ送信部２２０と、異常対策部２３０とを有する。
車両側通信部２１０は、外部ネットワークを介して、異常車両検出サーバ１０と接続され、各種情報を交換する。
車両ログ送信部２２０は、イーサネット１３を介して、セントラルＥＣＵ３００と接続され、セントラルＥＣＵ３００から車両ログを受信し、車両側通信部２１０を経由して、異常車両検出サーバ１０へ受信した車両ログを送信する。
異常対策部２３０は、異常車両検出サーバ１０が異常車両を検出した場合、異常車両検出サーバ１０が送信した異常対策通知を受信し、受信した異常対策通知の内容に応じて、セントラルＥＣＵ３００または車両ログ送信部２２０へ対策を指示する。異常対策部２３０は、例えば、対策通知内容が車両制御機能制限である場合、セントラルＥＣＵ３００へ機能制限を指示し、対策通知内容が車両ログの送信頻度の増加である場合、車両ログ送信部２２０へ送信頻度の増加を指示する。
［５ 車両ログの一例］
図５は、本実施の形態における車両ログ記憶部１０３に格納される車両ログの一例である。車両ログは、車両システム２０内で発生したイベント内容であり、異常スコア算出部１０６が異常スコアを算出する際に用いられる。車両ログは、イベントごとに、車両ログ番号、車両識別子、車種、時刻、車両位置情報、イベント名を含んで構成される。図５では、車両ログ番号が１である行では、車両と１対１で対応する車両識別子が「Ａ１」であり、車両の車種を表す車種が「Ａ」であり、イベント発生時刻を表す時刻が「ＴＡ１１」であり、イベント発生時の車両の位置を表す車両位置情報が「Ｘ１、Ｙ１」であり、イベント名が「ネットワーク機器登録」であることを示している。例えば、車両位置情報は、ＧＰＳ情報を用いて取得される、イベントが発生した時刻における車両の位置情報である。ネットワーク機器登録およびネットワーク機器削除は、例えば、スマートフォンがＢｌｕｅｔｏｏｔｈ（登録商標）でカーナビＥＣＵ５００ｂと接続または削除されたイベントである。または、ネットワーク機器登録およびネットワーク機器削除は、例えば、タブレット機器がカーナビＥＣＵ５００ｂとＷｉ―Ｆｉで接続または削除されたイベントである。
また、車両制御機能作動は、緊急ブレーキ作動または自動駐車モードの起動など、車両システム２０を制御する機能が作動したイベントである。
また、システムエラー発生は、セントラルＥＣＵ３００が、ＺｏｎｅＥＣＵ４００ａ～ｄ上で発生したエラー、または、イーサネット１３、イーサネット１１、イーサネット１２、ＣＡＮ１４、ＣＡＮ－ＦＤ１５上で発生したネットワークエラーが発生したイベントである。また、システムエラー解除は、ディーラー等で利用される車両診断ツールを用いて、システムエラーを解除するイベントである。
また、アドレスＡへアクセスは、カーナビＥＣＵ５００ｂがアドレスＡのＷｅｂサーバに対してアクセスしたイベントである。
また、アドレスＢからアクセスは、アドレスＢのサーバからカーナビＥＣＵ５００ｂに対してアクセスがされたイベントである。
また、システムログインは、カーナビＥＣＵ５００ｂに対してログインが試行されたイベントである。
ファイル数増加は、セントラルＥＣＵ３００上に格納されるファイルの種類数が増加したイベントである。
つまり、図５の例では、車両識別子が同一でありイベント名がネットワーク機器登録である行と、イベント名がネットワーク機器削除である行とを参照することで、時刻ＴＡ１１からＴＡ１２の間で、ネットワーク機器が１個接続され、その後１個減少したことが分かる。
また、車両識別子が同一でありイベント名がインターネット切断である行と、直近の時刻で発生したイベント名がインターネット接続の行とを参照することで、時刻の差からインターネット切断時間を得ることができる。ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）切断およびＶＰＮ接続についても同様である。
また、車両ログ番号が７である行と８である行の車両ログを参照することで、緊急ブレーキが、時刻ＴＡ２３に「Ｘ１、Ｙ３」というエリアで発動し、時刻ＴＡ２４に、「Ｘ１、Ｙ４」というエリアで発動したことがわかる。以降では車両位置情報をエリアとして表記することもある。エリアは、予め地図上において設定される領域（静的な領域）であってもよいし、異常車両の位置に応じて設定される領域（動的な領域）であってもよい。
また、イベント名がアドレスＡへアクセスのイベントと、イベント名がアドレスＢへのアクセスのイベントとを参照すれば、カーナビＥＣＵ５００ｂが２のアドレスへアクセスしたことが分かるため、アクセス先アドレスの変化を取得することができる。
また、イベント名がファイル数またはプロセス数が増加のイベントを複数参照すれば、ファイル数またはプロセス数の変化を取得することができる。イベント名は、イベント内容の一例である。
また、車両ログに含まれる時刻情報を参照することで、あるイベントが所定の期間内に所定の回数発生した場合に異常スコアを加算するという異常ルールに対して一致するか否かを判定することが可能である。
［６ 異常ルールの一例］
図６は、本実施の形態におけるルール記憶部１０５に格納される異常ルールの一例である。異常ルールは、異常ルール番号、異常ルール内容、期間、回数、異常スコア、異常カテゴリを含む。異常ルール内容が示す不審挙動の発生は、車両ログ（例えば、イベント名など）に基づいて特定可能である。
図６のルール番号「１」の行では、ルール内容が「ネットワーク機器接続」であり、期間が「１時間」であり、回数が「４」であり、異常スコアが「＋１」であり、異常カテゴリが「ネットワーク解析」であることが分かる。図６には、例えば、車両ログから１時間以内のネットワーク接続数を取得し、４回以上であれば、異常スコアを「＋１」するというルールが記載されている。また、期間「―」は期間を考慮しないことを示し、例えば、異常ルール番号が８の行では、車両ログからシステムログイン回数を取得し、１回以上であれば異常スコアを「＋５」するというルールが記載されている。
ネットワーク機器接続は、攻撃者がスマートフォンなどの端末を車両システム２０につなげることで侵入を図る際に増加するため、１時間に４回の接続を異常として判定する。
インターネットまたはＶＰＮ遮断は、攻撃者が車両システム２０および車両システム２０と接続されるサーバの通信を傍受する場合、または、攻撃者が攻撃発覚を恐れて意図的に切断する場合に発生するため、１０分間に１回の発生を異常として判定する。
アクセス先アドレスの変化は、攻撃者が車両システム２０に対して、悪意のあるＵＲＬへアクセスさせようと試行した際に変化するため、一例として１回で異常として判定する。
アクセス元アドレスの変化は、攻撃者が車両システム２０に対して、ポートスキャンなど攻撃を試行した際に変化するため、１回で異常として判定する。
車両制御機能作動は、攻撃者が緊急ブレーキの発動コマンドを調査する際に、緊急ブレーキを複数回発動させる場合に発生するため、１時間に１０回の発生を異常として判定する。
システムエラー発生は、攻撃者が車両システム２０をブルートフォース攻撃した際に、エラーとなるような通信を発生させてしまう場合に発生するため、２４時間に２回の発生で異常として判定する。
システムエラー解除は、攻撃者がシステムエラーを発生させてしまった場合に、車両診断ツールなどを用いて自らシステムエラーを消去する場合に発生するため、１回で異常として判定する。
システムログインは、攻撃者が車両システム２０に対してユーザログインを試行した場合に発生するため、１回で異常として判定する。
ファイル数またはプロセス数の変化は、攻撃者がマルウェアを車両システム２０にインストールした際に、ファイル数またはプロセス数が増加するため、１回で異常として判定する。
異常カテゴリは、ネットワーク解析またはシステム解析のいずれかが記載される。ネットワーク解析は、攻撃者が車両システム２０の通信機能を解析している可能性が高いことを示す。ネットワーク解析は、攻撃者が車両システム２０のホストマシンを解析している可能性が高いことを示す。異常カテゴリは、異常対策時に、効果的な異常対策手段を選択するために利用される。
異常スコア算出部１０６は、例えば、ネットワーク機器の接続頻発、インターネット接続異常、診断コマンドの頻発、アクセス先アドレスの変化、アクセス元アドレスの変化のいずれかを不審挙動であると検出し、当該不審挙動が発生した場合に、ネットワーク解析活動であると判定し、当該車両の異常スコアを増加させてもよい。また、異常スコア算出部１０６は、例えば、車両制御機能の頻発、システムエラーの頻発、システムエラーの削除、故障コードの頻発、システムログイン、および、ファイル数またはプロセス数の変化のいずれかを不審挙動であると検出し、当該不審挙動が発生した場合に、システム解析活動であると判定し、当該車両の異常スコアを増加させてもよい。
なお、図６に示す、異常ルールは一例であり、これに限定されない。また。図６に示す期間、回数、異常スコアの数値は一例であり、これに限定されない。
［７ 除外ルールの一例］
図７は、本実施の形態におけるルール記憶部１０５に格納される除外ルールの一例である。図７では、１つの除外ルールごとに、除外ルール番号、位置情報、有効期間、内容、除外対象異常ルールが記載される。
図７の除外ルール番号が「３」である行では、位置情報が「Ｘ６、Ｙ６」であり、有効期限が設定なしを示す「―」であり、内容が「修理業者Ａ」であり、除外対象ルールが「システムエラー解除」である。つまり、位置情報Ｘ６、Ｙ６では、修理業者Ａが存在し、修理業者Ａがシステムエラーを専用ツールで解除する可能性があるため、異常ルールにおいてシステムエラー解除のイベントを異常と判定せずに、異常スコアをカウントしないことを示す。
また、図７の除外ルール番号が４である行では、位置情報が「日本」、有効期間が「Ｔ３～Ｔ４」、内容が「ソフト更新Ａ」、除外対象ルールが「ファイル数またはプロセス数の変化」である。つまり、有効期間Ｔ３～Ｔ４の間は、車両システム２０のソフトウェア更新が行われるので、それに伴いファイル数が増えることがあるため、ファイル数またはプロセス数の変化を異常と判定せず、異常スコアをカウントしないことを示す。
また、図７の除外ルール番号Ｍの行では、位置情報Ｘ４、Ｙ４が示すエリアにはトンネルがあることがわかるため、攻撃者によらないインターネットまたはＶＰＮ切断が発生する可能性があることから、インターネットまたはＶＰＮ切断が発生しても異常と判定せずに異常スコアをカウントしないことを示す。
［８ 異常スコアの一例］
図８は、本実施の形態における異常スコア記憶部１０７に格納される異常スコアの一例である。異常スコアは、異常スコア算出部１０６によって、車両ログと、異常ルールと、除外ルールとを用いて算出される。異常スコアは、車両ごとの異常スコアである車両別異常スコアと、車種ごとの異常スコアの平均である車種別平均異常スコアと、エリア別の異常スコアの平均であるエリア別平均異常スコアとを含む。なお、異常スコアは、少なくとも車両ログと、異常ルールとを用いて算出されればよい。
車両別異常スコアでは、異常ルール番号ごとに異常スコアが算出される。異常スコアの算出方法は後述する。例えば、異常ルール番号が２である行では、車両識別子がＡ１である車両の異常スコアが１であることを示している。また、車両別異常スコアでは、最後に異常と判定されたイベントの発生時刻である最終異常日時が車両別に記憶される。最終異常日時を確認することで、特定の車両に対して、異常が発生していない期間を取得することができるので、攻撃者が攻撃をしていない、つまり、異常が一定期間発生していない車両に対しては異常スコアを低下させることができる。
車種別平均異常スコアには、異常ルール番号および車種ごとに異常スコアが算出され、車種ごとの平均値が含まれる。例えば、異常ルール番号が１である行では、車種Ａの平均異常スコアが０であることを示している。
エリア別平均異常スコアには、異常ルール番号および車種ごとに異常スコアが算出され、エリアごとの平均値が含まれる。例えば、異常ルール番号が６である行では、位置情報Ｘ２、Ｙ２が示すエリアの平均異常スコアが０．５であることを示している。
［９ 対策ルールの一例］
図９は、本実施の形態におけるルール記憶部１０５に格納される対策ルールの一例である。対策ルールは、対策ルール番号と、異常カテゴリと、異常スコア、対策ルール内容とを含む。異常対策通知部１０９は、異常と判定された車両の異常スコアを参照し、異常スコアが最も高い異常ルールの異常カテゴリと、当該異常カテゴリの異常スコアの値を取得し、異常カテゴリと異常スコアの値とに応じて対策ルールを選択し、対策ルール内容を異常対策部２３０へ通知する。
異常対策通知部１０９は、例えば、異常カテゴリがネットワーク解析であり、異常スコアが２５であった場合、対策ルール内容は、「アクセス先とアクセス元アドレスを制限」を選択する。
異常スコアの値の大きさによって、攻撃者が攻撃を試行している可能性を把握することができる。図９の対策ルールに基づいて対策が選択されることで、異常スコアが大きいほど、より攻撃者の攻撃試行を妨害する対策を講じることができ、異常スコアが小さいほど、攻撃者の攻撃試行の可能性が低いため、車両システム２０の通常利用に影響がない範囲での対策を講じることができる。
「ネットワークインターフェースを遮断」は、外部ネットワークとのインタフェースを利用不能にし、インターネット接続を完全に遮断する対策である。
「アクセス先とアクセス元アドレスを制限」は、インターネットのアクセス先のアドレスを一部に制限し、アクセス元アドレスおよびポートを一部に制限することで、攻撃者のネットワーク解析を妨害する対策である。
「ネットワーク接続機器数を制限」は、ネットワーク接続機器を少数に制限することで、ＷｉＦｉパスワードに対するブルートフォース攻撃などのネットワーク解析を妨害する対策である。
「車両制御機能を停止」は、例えば、自動駐車モードまたは緊急ブレーキの発動自体を停止することで、攻撃者のシステム解析を妨害する対策である。
「車両ログの送信頻度を増加」は、車両ログが定常時には１時間に１回送信である場合に、１０分に１回送信に変更する、つまり車両ログの送信頻度を増加することで、攻撃者のシステム解析の状況をより詳細に捉えるための対策である。
「車両ログの種類数を増加」は、車両ログが定常時には２種類である場合に、５種類に変更する、つまり車両ログの種類数を増加することで、攻撃者のシステム解析の状況をより詳細に捉えるための対策である。
「ドライバへの警告」は、攻撃者であった場合に、車両システムを監視していることを通知することで、今後の解析を妨害する対策である。
図９に示すように、異常対策通知部１０９は、例えば、不審挙動がネットワーク解析活動であると判定された場合、異常スコアの値に応じて、ネットワークインターフェースを遮断、アクセス先とアクセス元アドレスを制限、ネットワーク接続機器数を制限、および、ドライバへの警告のいずれか１つ以上を実施させる。また、異常対策通知部１０９は、例えば、不審挙動がシステム解析活動であると判定された場合、異常スコアの値に応じて、車両制御機能の起動停止、車両ログの送信頻度の増加、車両ログの種類数の増加、および、ドライバへの警告のいずれか１つ以上を実施させる。
［１０ 異常スコアリスト表示画面の一例］
図１０は、本実施の形態における異常表示部１１０が表示する異常スコアリスト表示画面の一例である。異常表示部１１０は、異常スコアリスト表示画面において、例えば、異常スコアの大きい順に車両識別子を並べて表示する。異常表示部１１０は、例えば、異常スコアが高い順に異常車両をリスト表示してもよい。これにより、異常車両検出サーバ１０を利用するオペレーターは、より攻撃が疑われる車両を容易に見つけ出すことができ、優先的に車両ログを解析することができる。なお、異常スコアリスト表示画面では、異常スコアの大きい順に車両識別子を表示することに限定されない。
［１１ 異常スコア地図表示画面の一例］
図１１は、本実施の形態における異常表示部１１０が表示する異常スコア地図表示画面の一例である。当該画面には、地図が表示されており、地図上に緯度Ｘ２、Ｘ３、Ｘ４と、経度Ｙ２、Ｙ３、Ｙ４が表示されている。また、異常車両と判定された車両の最新の位置である位置情報Ｘ４、Ｙ４に、異常車両が存在することを示す表示を地図上に表示している。また、異常車両と判定された車両が位置するエリア、例えばＸ３、Ｙ３を異常エリアとして地図上に表示している。例えば、異常エリアは、異常車両が異常と判定された地点を含む静的または動的なエリアであってもよい。図１１は、例えば、位置情報Ｘ３、Ｙ３が示す位置において車両が異常と判定され、異常と判定された異常車両が位置情報Ｘ４、Ｙ４が示す位置まで移動したことを示している。異常エリアと最新の異常車両の位置とは、地図上において互いに異なる位置であってもよい。このように、異常表示部１１０は、例えば、異常車両と判定された車両の位置情報を地図上に表示してもよい。
これにより、オペレーターは容易に攻撃者が攻撃試行している可能性が高い車が存在する位置を直観的に把握することができ、地図上の施設名等から、攻撃者による攻撃の状況を推測することができる。
［１２ 異常スコア段階表示画面の一例］
図１２は、本実施の形態における異常表示部１１０が表示する異常スコア段階表示画面の一例である。画面には攻撃の進行度を表すフェーズである、偵察、武器化、デリバリー、エクスプロイト、インストール、Ｃ＆Ｃ（Ｃｏｍｍａｎｄ ａｎｄ Ｃｏｎｔｒｏｌ）、目的実行を段階に分けて表示される。異常車両と判定された車両識別子Ａ１の車両が現在偵察フェーズであると判定された場合、チェックマークが偵察の列に表示され、現在デリバリーフェーズであると判定された場合、チェックマークがデリバリーの列に表示される。図１２では、車両識別子Ａ１の車両が現在偵察フェーズおよびデリバリーフェーズであると判定された例を示している。偵察フェーズであることの判定方法およびデリバリーフェーズであることの判定方法の詳細は後述する。
異常表示部１１０は、例えば、異常車両判定部１０８によって異常車種が偵察フェーズ（第一の攻撃段階の一例）であると判定された場合、異常車両と判定された車両、当該車両の車種、および、当該車両の位置情報の少なくとも１つの情報を表示し、偵察フェーズより攻撃の進行度が高いデリバリフェーズ（第二の攻撃段階の一例）であると判定された場合、現在がデリバリーフェーズの階層であることを示す情報を表示してもよい。なお、位置情報は、異常車両の現在位置を示す情報であるが、異常車両であると判定された位置を示す情報であってもよい。
これにより、オペレーターは、車両Ａ１に対する攻撃がどの程度進行しているかを直観的に把握することができる。
なお、攻撃の進行度は、サイバーキルチェーンに基づく進行度を示しているが、サイバーキルチェーンに基づく進行度に限定されない。
［１３ 車両ログ受信処理のシーケンス］
図１３は、本実施の形態における異常車両検出サーバ１０が、車両システム２０から車両ログを受信して記憶するまでの処理シーケンスを示している。
（Ｓ１３０１）車両システム２０のセントラルＥＣＵ３００は、イーサネット１３を介して車両ログを収集し、収集した車両ログを車両ログ送信装置２００の車両ログ送信部２２０に送信する。
（Ｓ１３０２）車両ログ送信装置２００の車両ログ送信部２２０は、車両側通信部２１０へ車両ログを送信する。
（Ｓ１３０３）車両ログ送信装置２００の車両側通信部２１０は、外部ネットワークを介して、異常車両検出サーバ１０のサーバ側通信部１０１へ車両ログを送信する。
（Ｓ１３０４）異常車両検出サーバ１０のサーバ側通信部１０１は、車両ログを受信し、受信した車両ログを車両ログ受信部１０２へ転送する。サーバ側通信部１０１は、複数の車両のそれぞれから車両ログを受信し、受信した複数の車両ログのそれぞれを車両ログ受信部１０２へ転送する。
（Ｓ１３０５）異常車両検出サーバ１０の車両ログ受信部１０２は、車両ログを受信し、受信した車両ログを車両ログ記憶部１０３に記憶する。
図１３に示す動作は、定期的に実行されてもよいし、異常車両検出サーバ１０が複数の車両に車両ログを送信することを示す指示を送信することで実行されてもよい。
［１４ 除外ルール受信処理のシーケンス］
図１４は、本実施の形態における異常車両検出サーバ１０が、除外ルール共有サーバ３０から除外ルールを受信して記憶するまでの処理シーケンスを示している。
（Ｓ１４０１）除外ルール共有サーバ３０は、外部ネットワークを介して、除外ルールを異常車両検出サーバ１０の車両側通信部２１０に送信する。
（Ｓ１４０２）異常車両検出サーバ１０のサーバ側通信部１０１は、除外ルールを受信し、受信した除外ルールを除外ルール受信部１０４へ転送する。
（Ｓ１４０３）異常車両検出サーバ１０の除外ルール受信部１０４は、除外ルールを受信し、受信した除外ルールをルール記憶部１０５に記憶する。
図１４に示す動作は、定期的に実行されてもよいし、異常車両検出サーバ１０が複数の車両から車両ログを受信すること、異常車両検出サーバ１０が複数の車両に車両ログを送信することを示す指示を送信すること、または、後述する図１５に示す動作を実行することをトリガとして実行されてもよい。
［１５ 異常スコア算出処理のシーケンス］
図１５は、本実施の形態における異常車両検出サーバ１０が、異常スコアを算出し、異常車両を検出するまでの処理シーケンスを示している。
（Ｓ１５０１）異常車両検出サーバ１０の異常スコア算出部１０６は、車両ログ記憶部１０３から車両ログを取得し、ルール記憶部１０５から除外ルールと異常ルールとを取得する。
（Ｓ１５０２）異常スコア算出部１０６は、取得した車両ログと、除外ルールと、異常ルールとに基づき、異常スコアを算出して、異常スコア記憶部１０７に記憶する。異常スコア算出部１０６は、複数の車両のそれぞれにおいて異常スコアを算出し、算出した複数の車両それぞれの異常スコアを異常スコア記憶部１０７に記憶する。異常スコア算出部１０６は、例えば、複数の車両のそれぞれにおいて、異常カテゴリごとに異常スコアを算出してもよい。
（Ｓ１５０３）異常スコア算出部１０６は、異常スコアを算出後、異常スコアを更新したことを異常車両判定部１０８へ通知する。異常スコア算出部１０６は、例えば、複数の車両のそれぞれにおいて、異常スコアを算出した後、異常車両判定部１０８へ通知する。また、異常スコア算出部１０６は、異常スコアを更新した車両を特定するための情報（例えば、車両識別子など）を当該通知とともに異常車両判定部１０８に送信してもよい。
（Ｓ１５０４）異常車両判定部１０８は、異常スコア記憶部１０７から異常スコアを取得し、異常車両を検出する。
［１６ 異常対策処理のシーケンス］
図１６は、本実施の形態における異常車両検出サーバ１０が、異常車両を検出後、異常に対して対策を講じるまでの処理シーケンスを示している。
（Ｓ１６０１）異常車両検出サーバ１０の異常車両判定部１０８は、検出した異常車両の車両識別子と、車種と、エリア（例えば、異常エリア）と、異常スコアとを異常対策通知部１０９へ送信する。
（Ｓ１６０２）異常車両検出サーバ１０の異常対策通知部１０９は、ステップＳ１６０１で送信された情報に基づいて、該当する車両へ異常が検出されたことを示す通知（異常車両通知）をするよう、当該通知をサーバ側通信部１０１へ送信する。異常対策通知部１０９は、受信した異常車両の車両識別子に対応する車両、受信した異常車両の車種と同一の車種の車両、および、受信した異常車両のエリアと同一エリアに位置する車両の少なくとも一方の車両へ異常が検出されたことを示す通知（異常車両通知）をするよう、当該通知をサーバ側通信部１０１へ送信する。異常対策通知部１０９は、例えば、ステップＳ１６０２において、異常車両と、当該異常車両と同一車種の車両および異常車両と同一エリアに位置する車両の少なくとも一方の車両とへ異常が検出されたことを示す通知をするよう、当該通知をサーバ側通信部１０１へ送信してもよい。当該通知は、異常カテゴリごとの異常スコアを含んでいてもよい。
（Ｓ１６０３）異常車両検出サーバ１０のサーバ側通信部１０１は、外部ネットワークを介して、ステップＳ１６０２の通知（異常車両通知）を車両ログ送信装置２００の車両側通信部２１０へ送信する。
（Ｓ１６０４）車両ログ送信装置２００の車両側通信部２１０は、ステップＳ１６０２の通知（異常車両通知）を異常対策部２３０へ送信する。
（Ｓ１６０５）車両ログ送信装置２００の異常対策部２３０は、車両ログ送信部２２０へ異常対策を要求する。異常対策部２３０は、ステップＳ１６０２の通知（異常車両通知）と図９に示す対策ルールとに基づいた異常対策を車両ログ送信部２２０へ要求する。異常対策部２３０は、例えば、異常カテゴリがシステム解析であり、システム解析の異常カテゴリにおける異常スコアが１０以上２０未満である場合、車両ログの種類数の増加を車両ログ送信部２２０へ要求する。また、異常対策部２３０は、例えば、異常カテゴリがシステム解析であり、システム解析の異常カテゴリにおける異常スコアが２０以上３０未満である場合、車両ログの送信頻度増加を車両ログ送信部２２０へ要求する。
（Ｓ１６０６）車両ログ送信装置２００の異常対策部２３０は、イーサネット１３を介して、セントラルＥＣＵ３００へ異常対策を要求する。異常対策部２３０は、例えば、セントラルＥＣＵ３００に車両制御機能の制限（機能制限）を要求する。
［１７ 異常表示処理のシーケンス］
図１７は、本実施の形態における異常車両検出サーバ１０が、異常車両を検出後、異常をオペレーターへ表示するまでの処理シーケンスを示している。
（Ｓ１７０１）異常車両検出サーバ１０の異常車両判定部１０８は、検出した異常車両の車両識別子と、車種と、エリアとを異常表示部１１０へ送信する。異常車両判定部１０８は、さらに、異常スコアを異常表示部１１０へ送信してもよい。
（Ｓ１７０２）異常車両検出サーバ１０の異常表示部１１０は、受信した異常車両の車両識別子と、車種と、エリアとを、グラフィカルユーザーインターフェースを用いて表示する。異常表示部１１０は、異常車両判定部１０８から異常スコアを取得した場合、取得した異常スコアもグラフィカルユーザーインターフェースを用いて表示してもよい。
（Ｓ１７０３）異常車両検出サーバ１０の異常車両判定部１０８は、エリア別の攻撃段階および車種別の攻撃段階を判定し、判定結果を異常表示部１１０へ送信する。攻撃段階の判定方法については後述する。
（Ｓ１７０４）異常車両検出サーバ１０の異常表示部１１０は、受信した攻撃段階を、グラフィカルユーザーインターフェースを用いて表示する。
なお、ステップＳ１７０３およびＳ１７０４の処理は、行われなくてもよい。また、ステップＳ１７０３は、異常車両が存在する場合に実行される。
［１８ 車両別異常スコア算出処理のフローチャート］
図１８は、本実施の形態における異常スコア算出部１０６の車両別異常スコア算出処理のフローチャートを示す。具体的には、図１８は、図１５に示すステップＳ１５０２の処理の一部を詳細に示しており、車両ごとに異常スコアを算出する処理を示すフローチャートである。
（Ｓ１８０１）異常スコア算出部１０６は、変数ｉを用意し、ｉ＝１とする。そして、ステップＳ１８０２を実施する。ここで変数ｉは、１～Ｎの値で、Ｎは異常ルール数を示す。
（Ｓ１８０２）異常スコア算出部１０６は、異常ルールｉを選択し、ステップＳ１８０３を実施する。
（Ｓ１８０３）異常スコア算出部１０６は、車両ログに記載されるイベント内容と、位置情報と、時刻と、異常ルールとを参照し、車両ログのイベントが異常ルールｉと合致し、異常であるか否かを判定する。異常スコア算出部１０６は、車両ログのイベントが異常ルールｉと合致し、異常であると判定される場合（Ｓ１８０３でＹｅｓ）、ステップＳ１８０４を実施する。また、異常スコア算出部１０６は、車両ログのイベントが異常ルールｉと合致せず、異常でないと判定される場合（Ｓ１８０３でＮｏ）、ステップＳ１８０５を実行する。
（Ｓ１８０４）異常スコア算出部１０６は、車両ログに記載されるイベント内容と、位置情報と、時刻と、除外ルールとを参照し、異常ルールｉが除外対象の異常ルールであるか否かを判定する。異常スコア算出部１０６は、異常ルールｉが除外対象の異常ルールでない場合（Ｓ１８０４でＮｏ）、ステップＳ１８０６を実行し、異常ルールｉが除外対象の異常ルールである場合（Ｓ１８０４でＹｅｓ）、ステップＳ１８０５を実行する。これにより、異常スコア算出部１０６は、システムエラーが解除されやすいディーラーもしくは修理業者による作業中、および、システム内のファイル数が増減する可能性のあるソフト更新期間中において、異常車両の誤検知を防ぐことが可能となる。
（Ｓ１８０５）異常スコア算出部１０６は、異常スコアに記載される最終異常日時（図８を参照）を参照し、現在の日時から２４時間経過しているか否かを判定する。異常スコア算出部１０６は、現在の日時が読み出した最終異常日時から２４時間経過している場合（Ｓ１８０５でＹｅｓ）、ステップＳ１８０７を実施する。また、異常スコア算出部１０６は、現在の日時が読み出した最終異常日時から２４時間経過していない場合（Ｓ１８０５でＮｏ）、ステップＳ１８０８を実施する。つまり、異常スコア算出部１０６は、車両ログに記載される車両識別子と対応する車両の異常スコアを、異常ルールｉの異常スコアを含めずに算出する。
異常スコア算出部１０６は、不審挙動を検出した場合（Ｓ１８０３でＹｅｓ）であっても、不審挙動を検出した時刻に基づく所定の期間内に再度不審挙動が検出された場合（Ｓ１８０５でＮｏ）、車両の異常スコアを増加させなくてもよい。なお、ステップＳ１８０５の判定は、所定のエリアにて不審挙動が検出されたか否かにより行われてもよい。この場合、異常スコア算出部１０６は、不審挙動を検出した場合（Ｓ１８０３でＹｅｓ）であっても、不審挙動を検出したエリアに基づく所定のエリアに再度不審挙動が検出された場合（Ｓ１８０５でＮｏ）、車両の異常スコアを増加させなくてもよい。所定の期間は、例えば、不審挙動を検出した時刻を当該期間の最初の時刻として含む期間であってもよい。
（Ｓ１８０６）異常スコア算出部１０６は、車両ログに記載される車両識別子と対応する異常スコアに、異常ルールｉに記載された異常スコアを加算し、ステップＳ１８０８を実施する。つまり、異常スコア算出部１０６は、車両ログに記載される車両識別子と対応する車両の異常スコアを、異常ルールｉの異常スコアを含めて算出する。
（Ｓ１８０７）異常スコア算出部１０６は、車両ログに記載される車両識別子と対応する異常スコアを０に変更し、ステップＳ１８０８を実施する。異常スコア算出部１０６は、異常ルールｉが除外対象であり、かつ、現在の日時が最終異常日時から所定時間経過すると、異常スコアをリセットするとも言える。
なお、異常スコア算出部１０６は、ステップＳ１８０７において、異常スコアを０にすることに限定されず、異常スコアを減らしてもよい。このように、異常スコア算出部１０６は、不審挙動が検出された時刻を含む所定の期間中に、不審挙動が検出された車両において再度不審挙動が検出されなかった場合、異常スコアを減少させてもよい。
（Ｓ１８０８）異常スコア算出部１０６は、異常ルールｉがＮであるか否かを判定する。つまり、異常スコア算出部１０６は、全ての異常ルールｉに対して、ステップＳ１８０３以降の処理が行われたか否かを判定する。異常スコア算出部１０６は、異常ルールｉがＮである場合（Ｓ１８０８でＹｅｓ）、処理を終了し、そうでない場合（Ｓ１８０８でＮｏ）、ステップＳ１８０９を実施する。
（Ｓ１８０９）異常スコア算出部１０６は、異常ルールｉを１インクリメントし、ステップＳ１８０２以降の処理を実施する。異常スコア算出部１０６は、次の異常ルールｉに対して、ステップＳ１８０３以降の処理を実施する。
なお、異常スコア算出部１０６は、ステップＳ１８０８でＹｅｓの場合、車両ごとに、異常ルールｉごとの異常スコアに所定の演算を行ってもよい。異常スコア算出部１０６は、ステップＳ１８０８でＹｅｓの場合、異常ルール全ての異常スコアを合計するが、例えば、異常カテゴリごと（例えば、ネットワーク解析、システム解析ごと）の異常スコアを合計してもよい。このように算出された異常スコアの合計値は、車両別異常スコアの一例である。
［１９ 車種別異常スコア算出処理のフローチャート］
図１９は、本実施の形態における異常スコア算出部１０６の車種別異常スコア算出処理のフローチャートを示す。具体的には、図１９は、図１５に示すステップＳ１５０２の処理の一部を詳細に示しており、異常車両判定部１０８による異常車両であるか否かの判定に用いられる車種ごとの統計値（図１９の例では、異常スコアの平均値）を算出する処理を示すフローチャートである。
（Ｓ１９０１）異常スコア算出部１０６は、車両別異常スコアを異常スコア記憶部１０７から取得する。異常スコア算出部１０６は、例えば、図１８の動作により算出された車両ごとの車両別異常スコア（例えば、車両ごとの異常スコアの合計値）を取得する。
（Ｓ１９０２）異常スコア算出部１０６は、変数ｉを用意し、ｉ＝１とする。そして、異常スコア算出部１０６は、ステップＳ１９０３を実施する。ここで変数ｉは、１～Ｎの値で、Ｎは異常ルール数を示す。
（Ｓ１９０３）異常スコア算出部１０６は、異常ルールｉを選択し、ステップＳ１９０４を実施する。異常スコア算出部１０６は、例えば、異常ルール番号(図６を参照)から変数ｉに対応する異常ルールｉ（異常ルール内容）を選択する。異常スコア算出部１０６は、例えば、変数ｉ＝１である場合、異常ルール番号が１であるネットワーク機器接続を選択する。
（Ｓ１９０４）異常スコア算出部１０６は、車種ごとに、すべての車両の車両別異常スコアから、異常ルールｉと対応する異常スコアを抽出し、抽出したすべての車両の異常スコアの平均値を算出する。異常スコア算出部１０６は、車種のすべての車両の異常ルールｉにおける異常スコアの平均値を、当該車種の異常ルールｉにおける異常スコアとして算出する。
なお、車種の異常ルールｉにおける異常スコアは、平均値に限定されず、統計値であればよい。車種の異常ルールｉにおける異常スコアは、最大値、最小値、中央値、最頻値などであってもよいし、それ以外の統計値であってもよい。
（Ｓ１９０５）異常スコア算出部１０６は、変数ｉがＮであるか否かを判定する。異常スコア算出部１０６は、変数ｉがＮである場合（Ｓ１９０５でＹｅｓ）、処理を終了し、そうでない場合（Ｓ１９０４でＮｏ）、ステップＳ１９０６を実施する。
（Ｓ１９０６）異常スコア算出部１０６は、変数ｉを１インクリメントし、ステップＳ１９０３を実施する。異常スコア算出部１０６は、次の異常ルールに対して、ステップＳ１９０３以降の処理を実施する。
なお、異常スコア算出部１０６は、ステップＳ１９０５でＹｅｓの場合、車種ごとに、異常ルールｉごとの異常スコアの平均値に所定の演算を行ってもよい。異常スコア算出部１０６は、ステップＳ１９０５でＹｅｓの場合、車種ごとに、全ての異常スコアの平均値を算出するが、例えば、異常カテゴリごと（例えば、ネットワーク解析、システム解析ごと）の異常スコアの平均値を算出してもよい。このように算出された異常スコアの合計値は、車種別異常スコアの一例である。
［２０ エリア別異常スコア算出処理のフローチャート］
図２０は、本実施の形態における異常スコア算出部１０６のエリア別異常スコア算出処理のフローチャートを示す。具体的には、図２０は、図１５に示すステップＳ１５０２の処理の一部を詳細に示しており、異常車両判定部１０８による異常車両であるか否かの判定に用いられるエリア（例えば、異常エリア）ごとの統計値（図２０の例では、異常スコアの平均値）を算出する処理を示すフローチャートである。なお、図２０に示すステップＳ２００１～Ｓ２００３、Ｓ２００５およびＳ２００６のそれぞれは、図１９に示すステップＳ１９０１～Ｓ１９０３、Ｓ１９０５およびＳ１９０６のそれぞれと同様であり、説明を簡略化する。
（Ｓ２００１）異常スコア算出部１０６は、車両別異常スコアを異常スコア記憶部１０７から取得する。
（Ｓ２００２）異常スコア算出部１０６は、変数ｉを用意し、ｉ＝１とする。そして、ステップＳ２００３を実施する。ここで変数ｉは１～Ｎの値で、Ｎは異常ルール数を示す。
（Ｓ２００３）異常スコア算出部１０６は、異常ルールｉを選択し、ステップＳ２００４を実施する。
（Ｓ２００４）異常スコア算出部１０６は、エリアごとに、すべての車両の車両別異常スコアから、異常ルールｉと対応する異常スコアを抽出し、抽出したすべての車両の異常スコアの平均値を算出する。異常スコア算出部１０６は、エリア内のすべての車両の異常ルールｉにおける異常スコアの平均値を、当該エリアの異常ルールｉにおける異常スコアとして算出する。
なお、エリアの異常ルールｉにおける異常スコアは、平均値に限定されず、統計値であればよい。エリアの異常ルールｉにおける異常スコアは、最大値、最小値、中央値、最頻値などであってもよいし、それ以外の統計値であってもよい。
（Ｓ２００５）異常スコア算出部１０６は、変数ｉがＮである場合（Ｓ２００５でＹｅｓ）、処理を終了し、そうでない場合（Ｓ２００５でＮｏ）、ステップＳ２００６を実施する。
（Ｓ２００６）異常スコア算出部１０６は、変数ｉを１インクリメントし、ステップＳ２００３を実施する。
なお、異常スコア算出部１０６は、ステップＳ２００５でＹｅｓの場合、エリアごとに、異常ルールｉごとの異常スコアの平均値に所定の演算を行ってもよい。異常スコア算出部１０６は、ステップＳ２００５でＹｅｓの場合、エリアごとに、当該エリアに位置する車両全ての異常スコアの平均値を算出するが、例えば、異常カテゴリごと（例えば、ネットワーク解析、システム解析ごと）の異常スコアの平均値を算出してもよい。このように算出された異常スコアの合計値は、エリア別異常スコアの一例である。
［２１ 異常車両検出処理のフローチャート］
図２１は、本実施の形態における異常車両判定部１０８の異常車両検出処理のフローチャートを示す。具体的には、図２１は、図１５に示すステップＳ１５０４の処理の一部を詳細に示すフローチャートである。
（Ｓ２１０１）異常車両判定部１０８は、特定車両を選択し、選択した車両の異常スコアを取得し、ステップＳ２１０２を実施する。ここで、異常スコアは、車両別異常スコア、車種別異常スコア、エリア別異常スコアを含む。特定車両の異常スコアは、各異常ルールに対する異常スコアの合計値であるが、ネットワーク解析における異常スコアの合計値またはシステム解析における異常スコアの合計値であってもよい。ステップＳ２１０１は、取得ステップの一例である。
（Ｓ２１０２）異常車両判定部１０８は、異常スコアが１０よりも大きいか否かを判定する。異常車両判定部１０８は、異常スコアが１０よりも大きい場合（Ｓ２１０２でＹｅｓ）、ステップＳ２１０３を実施し、そうでない場合（Ｓ２１０２でＮｏ）、ステップＳ２１０４を実施する。なお、ステップＳ２１０２の判定に用いる基準は、１０に限定されず、適宜決定されればよい。ステップＳ２１０２は、異常車両判定ステップの一例である。
（Ｓ２１０３）異常車両判定部１０８は、ステップＳ２１０２でＹｅｓの場合、選択中の車両（特定車両）を異常車両として検出し、ステップＳ２１０４を実施する。
（Ｓ２１０４）異常車両判定部１０８は、ステップＳ２１０１で取得した異常スコアが選択中の車両（特定車両）と同一車種の車種別異常平均スコアよりも大きいか否かを判定する。異常車両判定部１０８は、例えば、ステップＳ２１０４において、車両の異常スコアと、当該車両と同一の車種の車両の異常スコアに基づく統計値とを比較し、比較結果に基づいて当該車両が異常車両であるか否かを判定する。異常車両判定部１０８は、異常スコアが選択中の車両と同一車種の車種別異常平均スコアよりも大きい場合（Ｓ２１０４でＹｅｓ）、ステップＳ２１０５を実施し、そうでない場合（Ｓ２１０４でＮｏ）、ステップＳ２１０６を実施する。ステップＳ２１０４は、異常車両判定ステップの一例である。
（Ｓ２１０５）異常車両判定部１０８は、選択中の車両（特定車両）を異常車両として検出し、ステップＳ２１０１で取得した異常スコアを２倍にして、異常スコア記憶部１０７に記憶し、ステップＳ２１０６を実施する。異常車両判定部１０８は、ネットワーク解析に関する異常スコアおよびシステム解析に関する異常スコアの両方を２倍する。異常車両判定部１０８は、２倍にした異常スコアを特定車両の異常スコアとして異常スコア記憶部１０７に記憶する。異常車両判定部１０８は、特定車両の異常スコアを車種別異常平均スコアに基づいて更新するとも言える。これにより、同一車種の車両において、通常と異なる運転挙動を示す車両の異常スコアをより大きくすることができるので、優先的に解析することができる。
なお、通常の運転挙動とは、リバースエンジニアリングを行わない運転者が車両を運転するときに行い得ると想定される運転挙動である。また、ここでの運転挙動には、車両の走行時における運転状態の挙動（例えば、図６に示す車両制御機能作動など）、および、車両の内部処理における挙動（例えば、図６にネットワーク機器接続、システムエラー発生など）の両方が含まれる。通常の運転挙動は、所定の運転挙動の一例である。所定の運転挙動は、例えば、図６に示す異常ルール、期間、階数に該当しない運転挙動であってもよい。
（Ｓ２１０６）異常車両判定部１０８は、ステップＳ２１０１で取得した異常スコアが選択中の車両（特定車両）が存在するエリアのエリア別異常平均スコアよりも大きいか否かを判定する。異常車両判定部１０８は、車両の異常スコアと、当該車両と同一のエリアに位置する車両の異常スコアに基づく統計値とを比較し、比較結果に基づいて当該車両が異常車両であるか否かを判定するとも言える。異常車両判定部１０８は、異常スコアが選択中の車両の存在エリアのエリア別異常平均スコアよりも大きい場合（Ｓ２１０６でＹｅｓ）、ステップＳ２１０７を実施し、そうでない場合（Ｓ２１０６でＮｏ）、処理を終了する。ステップＳ２１０６は、異常車両判定ステップの一例である。
（Ｓ２１０７）異常車両判定部１０８は、選択中の車両（特定車両）を異常車両として検出し、ステップＳ２１０１で取得した異常スコアまたはステップＳ２１０５で算出された異常スコアを２倍にして、異常スコア記憶部１０７に記憶し、処理を終了する。異常車両判定部１０８は、ネットワーク解析に関する異常スコアおよびシステム解析に関する異常スコアの両方を２倍する。異常車両判定部１０８は、２倍にした異常スコアを特定車両の異常スコアとして異常スコア記憶部１０７に記憶する。異常車両判定部１０８は、特定車両の異常スコアをエリア別異常平均スコアに基づいて更新するとも言える。これにより、同一エリアの車両において、通常（所定の一例）と異なる運転挙動を示す車両の異常スコアをより大きくすることができるので、オペレーターに異常スコアが大きな異常車両を優先的に解析させることができる。
なお、異常車両判定部１０８は、図２１に示すステップＳ２１０２、Ｓ２１０４およびＳ２１０６の判定のうち、少なくとも１つの判定により異常車両を検出してもよい。
［２２ 異常対策処理のフローチャート］
図２２は、本実施の形態における異常対策通知部１０９の異常対策処理のフローチャートを示す。具体的には、図２２は、図１６に示すステップＳ１６０２で通知する異常車両通知の内容を決定する処理を示すフローチャートである。
（Ｓ２２０１）異常対策通知部１０９は、異常車両判定部１０８が検出した異常車両の情報を取得し、ステップＳ２２０２を実施する。当該情報には、異常スコアが含まれる。
（Ｓ２２０２）異常対策通知部１０９は、異常車両と判定された車両の異常スコアを参照し、異常カテゴリごとの異常スコアの合計値を算出し、ステップＳ２２０３を実施する。
（Ｓ２２０３）異常対策通知部１０９は、異常カテゴリが、ネットワーク解析である異常スコアの合計値（異常スコア合計値）に対する処理を実行する。
（Ｓ２２０４）異常対策通知部１０９は、異常カテゴリが、システム解析である異常スコアの合計値（異常スコア合計値）に対する処理を実行する。
ここで、図２２に示すステップＳ２２０３およびＳ２２０４の詳細について、図２３および図２４を参照しながら説明する。図２３は、本実施の形態における異常カテゴリ別の異常対策処理のフローチャートの一例である。図２３は、図２２に示すステップＳ２２０３の詳細を示すフローチャートの一例である。なお、図２３は、異常スコアのうち、ネットワーク解析における異常スコアを用いて行われる処理である。言い換えると、図２３に示す処理において、異常スコアのうち、システム解析における異常スコアは用いられない。なお、図２３に示す動作は、異常車両または異常エリアにおいて第二の攻撃段階であると判定された場合に実行されてもよい。
（Ｓ２２３１）異常対策通知部１０９は、ネットワーク解析における異常カテゴリが３０（第１の閾値）以上であるか否かを判定する。異常対策通知部１０９は、異常カテゴリが３０以上である場合（Ｓ２２３１でＹｅｓ）、ステップＳ２２３２を実施する。
（Ｓ２２３３）異常対策通知部１０９は、異常カテゴリが３０未満である場合（Ｓ２２３１でＮｏ）、異常カテゴリが２０以上（第１の閾値より小さい第２の閾値）であるか否かを判定する。異常対策通知部１０９は、３０未満２０以上である場合（Ｓ２２３３でＹｅｓ）、ステップＳ２２３４を実施する。
（Ｓ２２３５）異常対策通知部１０９は、異常カテゴリが２０未満である場合（Ｓ２２３５でＮｏ）、異常カテゴリが１０以上（第２の閾値より小さい第３の閾値）であるか否かを判定する。異常対策通知部１０９は、２０未満１０以上の場合（Ｓ２２３５でＹｅｓ）、ステップＳ２２３６を実施する。
（Ｓ２２３７）異常対策通知部１０９は、異常カテゴリが１０未満である場合（Ｓ２２３５でＮｏ）、異常カテゴリが１以上（第３の閾値より小さい第４の閾値）であるか否かを判定する。異常対策通知部１０９は、異常カテゴリが１以上の場合（Ｓ２２３７でＹｅｓ）、ステップＳ２２３８を実施し、異常カテゴリが０の場合（Ｓ２２３７でＮｏ）、対策を実施せずにステップＳ２２０４を実施する。
（Ｓ２２３２）異常対策通知部１０９は、ネットワークインターフェースを遮断し、Ｓ２２０４を実施する。
（Ｓ２２３４）異常対策通知部１０９は、アクセス先およびアクセス元アドレスを制限し、Ｓ２２０４を実施する。
（Ｓ２２３６）異常対策通知部１０９は、ネットワーク接続機器数を制限し、Ｓ２２０４を実施する。
（Ｓ２２３８）異常対策通知部１０９は、ドライバへ警告し、Ｓ２２０４を実施する。
このように、異常対策通知部１０９は、ネットワーク解析における異常スコアが高いほど、ネットワークにおける制限が強くなるように、対策を決定する。なお、上記の第１～第４の閾値は、一例であり数値はこれに限定されない。
なお、異常対策通知部１０９は、ネットワーク解析における異常スコア合計値に対応する処理に加え、当該異常スコア合計値以下に対応する処理を実行してもよい。異常対策通知部１０９は、例えば、ステップＳ２２３１でＹｅｓの場合、ステップＳ２２３２の処理に加え、ステップＳ２２３４、Ｓ２２３６およびＳ２２３８の少なくとも１つの処理を実行してもよい。
図２４は、本実施の形態における異常カテゴリ別の異常対策処理のフローチャートの他の一例である。図２４は、図２２に示すステップＳ２２０４の詳細を示すフローチャートの一例である。なお、図２４は、異常スコアのうち、システム解析における異常スコアを用いて行われる処理である。言い換えると、図２４に示す処理において、異常スコアのうち、ネットワーク解析における異常スコアは用いられない。なお、図２４に示す動作は、異常車両または異常エリアにおいて第二の攻撃段階であると判定された場合に実行されてもよい。
（Ｓ２２４１）異常対策通知部１０９は、システム解析における異常カテゴリが３０（第５の閾値）以上であるか否かを判定する。異常対策通知部１０９は、異常カテゴリが３０以上である場合（Ｓ２２４１でＹｅｓ）、ステップＳ２２４２を実施する。
（Ｓ２２４３）異常対策通知部１０９は、異常カテゴリが３０未満である場合（Ｓ２２４１でＮｏ）、異常カテゴリが２０以上（第５の閾値より小さい第６の閾値）であるか否かを判定する。異常対策通知部１０９は、３０未満２０以上である場合（Ｓ２２４３でＹｅｓ）、ステップＳ２２４４を実施する。
（Ｓ２２４５）異常対策通知部１０９は、異常カテゴリが２０未満である場合（Ｓ２２４３でＮｏ）、異常カテゴリが１０以上（第６の閾値より小さい第７の閾値）であるか否かを判定する。異常対策通知部１０９は、２０未満１０以上の場合（Ｓ２２４５でＹｅｓ）、ステップＳ２２４６を実施する。
（Ｓ２２４７）異常対策通知部１０９は、異常カテゴリが１０未満である場合（Ｓ２２４５でＮｏ）、異常カテゴリが１以上（第７の閾値より小さい第８の閾値）であるか否かを判定する。異常対策通知部１０９は、異常カテゴリが１以上の場合（Ｓ２２４７でＹｅｓ）、ステップＳ２２４８を実施し、異常カテゴリが０の場合（Ｓ２２４７でＮｏ）、対策を実施せずに処理を終了する。
（Ｓ２２４２）異常対策通知部１０９は、車両制御機能を停止し、終了する。
（Ｓ２２４４）異常対策通知部１０９は、異常車両検出サーバ１０へ送信する車両ログの送信頻度を増加させ、終了する。
（Ｓ２２４６）異常対策通知部１０９は、異常車両検出サーバ１０へ送信する車両ログの種類数を増加させ、終了する。
（Ｓ２２４８）異常対策通知部１０９は、ドライバへ警告し、終了する。
このように、異常対策通知部１０９は、システム解析における異常スコアが高いほど、車両システム２０における制限が強くなるように、対策を決定する。なお、上記の第５～第８の閾値は、一例であり数値はこれに限定されない。
なお、異常対策通知部１０９は、システム解析における異常スコア合計値に対応する処理に加え、当該異常スコア合計値以下に対応する処理を実行してもよい。異常対策通知部１０９は、例えば、ステップＳ２２４１でＹｅｓの場合、ステップＳ２２４２の処理に加え、ステップＳ２２４４、Ｓ２２４６およびＳ２２４８の少なくとも１つの処理を実行してもよい。
図２３および図２４に示すように、異常対策通知部１０９は、異常車両と判定した車両と同一の車種の車両または異常車両と判定した車両が位置する異常エリアに位置する車両に対して、異常スコアの値（例えば、異常車両と判定された車両の異常スコアの値）または不審挙動の種別（例えば、ネットワーク解析またはシステム解析）に基づいて、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告、ネットワーク接続制限と、車両制御機能制限、車両制御機能の起動停止、車両ログの送信頻度の増加、車両ログの種類数の増加、および、ドライバへの通知のうち、いずれか１つ以上を要求してもよい。当該１つ以上の要求は、例えば、異常車両、異常車両と判定した車両と同一の車種の車両、および、異常エリアに位置する異常車両以外の車両に対して行われる。
［２３ エリア別攻撃段階判定処理のフローチャート］
図２５は、本実施の形態における異常車両判定部１０８のエリア別攻撃段階判定処理のフローチャートを示す。具体的には、図２５は、攻撃者による攻撃の進行度を判定する処理の一例を示すフローチャートである。図２５に示す処理は、例えば、図２２に示す処理と並行して行われてもよい。
（Ｓ２３０１）異常車両判定部１０８は、検出した異常車両の情報を取得し、異常車両が検出された位置情報を異常エリアとして取得し、ステップＳ２３０２を実施する。
（Ｓ２３０２）異常車両判定部１０８は、ステップＳ２３０１にて取得した異常エリア内に、複数の異常車両が存在するか否かを判定する。異常車両判定部１０８は、異常エリア内にステップＳ２３０１で取得した異常車両以外の異常車両が複数存在する場合（Ｓ２３０２でＹｅｓ）、ステップＳ２３０３を実施し、ステップＳ２３０１で取得した異常車両以外の異常車両が存在しない場合（Ｓ２３０２でＮｏ）、ステップＳ２３０５を実施する。なお、異常車両判定部１０８は、異常エリア内にステップＳ２３０１で取得した異常車両以外の異常車両が所定数以上である場合、ステップＳ２３０２でＹｅｓと判定し、異常エリア内にステップＳ２３０１で取得した異常車両以外の異常車両が所定数未満である場合、ステップＳ２３０２でＮｏと判定してもよい。
（Ｓ２３０３）異常車両判定部１０８は、ステップＳ２３０２でＹｅｓと判定した場合、異常車両が検出された異常エリアに対する攻撃がデリバリーフェーズ（第二の攻撃段階の一例）であると判定する。
（Ｓ２３０４）異常車両判定部１０８は、デリバリーフェーズである場合、異常対策通知部１０９を介して異常エリアの車両に対して警告を行い、処理を終了する。異常車両判定部１０８は、異常エリアの車両に対して、デリバリーフェーズであることを示す情報をドライバ等に報知するための情報を送信する。異常車両判定部１０８は、例えば、異常エリアに位置する全ての車両に対して警告を行う。異常車両判定部１０８は、例えば、異常車両ではない１以上の車両のそれぞれに対しても警告を行うとも言える。報知するための情報は、さらに異常に対する対策を行うための情報を含んでいてもよい。報知するための情報は、例えば、図２３に示すステップＳ２２３２、Ｓ２２３４、Ｓ２２３６、Ｓ２２３８、および、図２４に示すステップＳ２２４２、Ｓ２２４４、Ｓ２２４６、Ｓ２２４８の少なくとも１つを実行するための情報を含んでいてもよい。
（Ｓ２３０５）異常車両判定部１０８は、異常車両が検出された異常エリアに対する攻撃が偵察フェーズ（第一の攻撃段階の一例）であると判定して終了する。異常車両判定部１０８は、例えば、異常エリア内の異常車両以外の車両に対して、警告を行わない。なお、異常対策通知部１０９は、異常車両判定部１０８がステップＳ２３０５の判定を行うと、現在偵察フェーズであることを示す情報を車両に通知してもよい。
このように、異常車両判定部１０８は、異常車両が検出されたエリアである異常エリアにおいて、所定の台数以下の異常車両が存在する場合、第一の攻撃段階であると判定し、所定の台数より多い異常車両が存在する場合、第一の攻撃段階よりリバースエンジニアリングにおける攻撃の進行度が進行した第二の攻撃段階であると判定する。そして、攻撃が第二の攻撃段階である場合、異常エリアの車両に対して、警告が行われる。
［２４ エリア別攻撃段階判定処理のフローチャート］
図２６は、本実施の形態における異常車両判定部１０８の車種別攻撃段階判定処理のフローチャートを示す。具体的には、図２６は、攻撃者による攻撃の進行度を判定する処理の他の一例を示すフローチャートである。
（Ｓ２４０１）異常車両判定部１０８は、検出した異常車両の情報を取得し、取得した情報に基づいて異常車両の車種を異常車種として取得し、ステップＳ２４０２を実施する。
（Ｓ２４０２）異常車両判定部１０８は、ステップＳ２４０１にて取得した異常車種において、複数の異常車両が存在するか否かを判定する。異常車両判定部１０８は、異常車種にステップＳ２４０１で取得した異常車両以外の異常車両が複数存在する場合（Ｓ２４０２でＹｅｓ）、ステップＳ２４０３を実施し、ステップＳ２４０１で取得した異常車両以外の異常車両が存在しない場合（Ｓ２４０２でＮｏ）に、ステップＳ２４０５を実施する。なお、異常車両判定部１０８は、異常車種にステップＳ２４０１で取得した異常車両以外の異常車両が所定数以上存在する場合、ステップＳ２４０２でＹｅｓと判定し、異常車種にステップＳ２４０１で取得した異常車両以外の異常車両が所定数未満存在する場合、ステップＳ２４０２でＮｏと判定してもよい。
（Ｓ２４０３）異常車両判定部１０８は、ステップＳ２４０２でＹｅｓと判定した場合、異常車両の車種に対する攻撃がデリバリーフェーズ（第二の攻撃段階の一例）であると判定する。
（Ｓ２４０４）異常車両判定部１０８は、デリバリーフェーズである場合、異常対策通知部１０９を介して異常車種の車両に対して警告を行い、処理を終了する。異常車両判定部１０８は、異常車種の車両に対して、デリバリーフェーズであることを示す情報をドライバ等に報知するための情報を送信する。異常車両判定部１０８は、例えば、異常車種の車両の全てに対して警告を行う。異常車両判定部１０８は、例えば、異常車種において異常車両ではない１以上の車両のそれぞれに対して警告を行うとも言える。報知するための情報は、さらに異常に対する対策を行うための情報を含んでいてもよい。報知するための情報は、図２３に示すステップＳ２２３２、Ｓ２２３４、Ｓ２２３６、Ｓ２２３８、および、図２４に示すステップＳ２２４２、Ｓ２２４４、Ｓ２２４６、Ｓ２２４８の少なくとも１つを実行するための情報を含んでいてもよい。
（Ｓ２４０５）異常車両判定部１０８は、異常車両の車種に対する攻撃は偵察フェーズ（第一の攻撃段階の一例）であると判定して終了する。異常車両判定部１０８は、例えば、異常車種における異常車両以外の車両に対して、警告を行わない。なお、異常対策通知部１０９は、異常車両判定部１０８がステップＳ２４０５の判定を行うと、現在偵察フェーズであることを示す情報を車両に通知してもよい。
このように、異常車両判定部１０８は、異常車両が検出された車種（異常車種）において、所定の台数以下の異常車両が存在する場合、第一の攻撃段階であると判定し、所定の台数より多い異常車両が存在する場合、第一の攻撃段階よりリバースエンジニアリングにおける攻撃の進行度が進行した第二の攻撃段階であると判定する。そして、攻撃が第二の攻撃段階である場合、異常車種の車両に対して、警告が行われる。
なお、第一の攻撃段階が偵察フェーズであり、第二の攻撃段階がデリバリーフェーズである例について説明したが、第一の攻撃段階および第二の攻撃段階はこれに限定されない。図１２に示すサイバーキルチェーンを例に説明すると、第二の攻撃段階は、第一の攻撃段階とは異なる段階であって、第一の攻撃段階より攻撃の進行度が高い段階（フェーズ）であれば特に限定されない。
［その他変形例］
なお、本開示を上記各実施の形態に基づいて説明してきたが、本開示は、上記各実施の形態に限定されないのはもちろんである。以下のような場合も本開示に含まれる。
（１）上記の実施の形態では、自動車に搭載される車載ネットワークにおけるセキュリティ対策として説明したが、適用範囲はこれに限られない。自動車に限らず、建機、農機、船舶、鉄道、飛行機などのモビリティにも適用してもよい。
すなわち、モビリティネットワークおよびモビリティネットワークシステムにおけるサイバーセキュリティ対策として適用可能である。
また、工場やビルなどの産業制御システムで利用される通信ネットワーク、または、組込みデバイスを制御するための通信ネットワークに適用してもよい。
（２）上記の実施の形態において、異常ルールに記載される、期間、回数および異常スコアの値は、変更してもよい。各値は、攻撃が疑われる特定の条件を満たした場合に異常スコアが加算されれば特に限定されない。
（３）上記の実施の形態において、異常スコア算出部１０６は、異常ルールごとに異常スコアを算出すると説明したが、異常ルールすべてを適応した異常スコアの合計値を算出してもよい。
（４）上記の実施の形態において、異常スコア算出部１０６は、車種およびエリアごとに異常スコアの平均値を算出すると説明したが、合計値または中央値のような統計値を用いてもよい。
（５）上記の実施の形態において、異常スコアリスト表示画面は、異常スコアの高い順に表示させると説明したが、異常スコアの昇順または降順にソートできる機能を用意してもよい。
（６）上記の実施の形態において、異常スコア地図表示画面は、異常エリアと異常車両を地図上に表示すると説明したが、異常エリアと異常車両はそれぞれ複数表示してもよく、異常スコアを合わせて表示してもよい。
（７）上記の実施の形態において、異常スコア段階表示画面は、特定の異常車両の攻撃進行度を示す段階別に表示すると説明したが、すべての段階を表示する必要はなく、偵察フェーズのみを表示してもよい。
（８）上記の実施の形態において、異常スコア算出処理のフローチャートでは、最終異常日時から２４時間経過していた場合、異常スコアを０にすると説明したが、必ずしも２４時間である必要はなく所定の時間であればよい。また、異常スコアを必ずしも０にする必要はなく、減少させてもよい。
（９）上記の実施の形態において、異常車両検出処理のフローチャートでは、異常スコアが車種別異常平均スコアよりも大きい場合とエリア別異常平均スコアよりも大きい場合とに、異常スコアを２倍すると説明したが、必ずしも２倍である必要はなく、固定値を加えるなど異常スコアが大きくなればよい。
（１０）上記の実施の形態において、エリア別攻撃段階判定処理のフローチャートおよび車種別攻撃段階判定処理のフローチャートでは、異常車両が１台のみであれば偵察フェーズと判定し、複数台であればデリバリーフェーズと判定したが、判定基準の異常車両の台数は、１ではなく所定値で判定してもよい。
（１１）上記の実施の形態における各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
（１２）上記の実施の形態における各装置を構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。ＲＡＭには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。
また、上記の各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部またはすべてを含むように１チップ化されてもよい。
また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路または汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）、または、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用しても良い。
さらには、半導体技術の進歩または派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。
（１３）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。ＩＣカードまたはモジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。ＩＣカードまたはモジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、ＩＣカードまたはモジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。
（１４）本開示は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、コンピュータプログラムからなるデジタル信号であるとしてもよい。
また、本開示は、コンピュータプログラムまたはデジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標） Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記デジタル信号であるとしてもよい。
また、本開示は、コンピュータプログラムまたはデジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。
また、本開示は、マイクロプロセッサとメモリとを備えたコンピュータシステムであって、メモリは、上記コンピュータプログラムを記録しており、マイクロプロセッサは、コンピュータプログラムにしたがって動作するとしてもよい。
また、プログラムまたはデジタル信号を記録媒体に記録して移送することにより、またはプログラムまたはデジタル信号を、ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
（１５）また、上記実施の形態において説明された複数の処理の順序は一例である。複数の処理の順序は、変更されてもよいし、複数の処理は、並行して実行されてもよい。また、複数の処理の一部は、実行されなくてもよい。
（１６）また、上記実施の形態における異常車両検出サーバは、車両システムにおいて発生したイベント内容のデータを含む車両ログを１以上の車両から受信する異常車両検出サーバであって、受信した車両ログのイベント内容に基づいて、通常の運転とは異なる不審挙動を検出し、車両ログと対応する車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを算出する異常スコア算出部と、異常スコアが所定値以上の場合に、車両を異常車両として判定する異常車両判定部と、を備える構成であってもよい。
（１７）上記実施の形態および上記変形例をそれぞれ組み合わせるとしてもよい。
本開示は、攻撃者によるリバースエンジニアリング活動が行われる可能性があるモビリティを管理する情報処理装置に有用である。
１０ 異常車両検出サーバ
１１、１２、１３ イーサネット
１４ ＣＡＮ
１５ ＣＡＮ－ＦＤ
２０ 車両システム
３０ 除外ルール共有サーバ
１０１ サーバ側通信部
１０２ 車両ログ受信部
１０３ 車両ログ記憶部
１０４ 除外ルール受信部
１０５ ルール記憶部
１０６ 異常スコア算出部
１０７ 異常スコア記憶部
１０８ 異常車両判定部
１０９ 異常対策通知部
１１０ 異常表示部
２００ 車両ログ送信装置
２１０ 車両側通信部
２２０ 車両ログ送信部
２３０ 異常対策部
３００ セントラルＥＣＵ
４００ａ、４００ｂ、４００ｃ、４００ｄ ＺｏｎｅＥＣＵ
５００ａ ボディＥＣＵ
５００ｂ カーナビＥＣＵ
５００ｃ ステアリングＥＣＵ
５００ｄ ブレーキＥＣＵ

Claims (29)

  1. 車両システムにおいて発生したイベント内容を含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の車両情報に基づいて、所定の運転挙動とは異なる不審挙動を検出し、前記複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコア取得部と、
    前記複数の車両のうちの一の車両の前記異常スコアと前記複数の車両のうちの２以上の車両の前記異常スコアの統計値とに基づいて、前記一の車両が異常車両であるか否かを判定する異常車両判定部と、を備え、
    前記２以上の車両は、前記一の車両と同一の車種の車両を含み、
    前記異常車両判定部は、前記一の車両の前記異常スコアと、前記一の車両と同一の車種の前記異常スコアに基づく前記統計値とを比較し、比較結果に基づいて前記一の車両が前記異常車両であるか否かを判定する、
    異常車両検出サーバ。
  2. 車両システムにおいて発生したイベント内容を含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の車両情報に基づいて、所定の運転挙動とは異なる不審挙動を検出し、前記複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコア取得部と、
    前記複数の車両のうちの一の車両の前記異常スコアと前記複数の車両のうちの２以上の車両の前記異常スコアの統計値とに基づいて、前記一の車両が異常車両であるか否かを判定する異常車両判定部と、を備え、
    前記２以上の車両は、前記一の車両と同一のエリアに位置する車両を含み、
    前記異常車両判定部は、前記一の車両の前記異常スコアと、前記一の車両と同一のエリアに位置する車両の前記異常スコアに基づく前記統計値とを比較し、比較結果に基づいて前記一の車両が前記異常車両であるか否かを判定する、
    異常車両検出サーバ。
  3. 前記異常車両判定部は、さらに、前記異常車両と同一の車種である異常車種または、前記異常車両が検出されたエリアである異常エリアにおいて、所定の台数以下の前記異常車両が存在する場合、前記リバースエンジニアリングにおける攻撃の進行度が第一の攻撃段階であると判定し、前記所定の台数より多い前記異常車両が存在する場合、前記第一の攻撃段階より前記リバースエンジニアリングにおける攻撃の進行度が進行した第二の攻撃段階であると判定する、
    請求項１または２に記載の異常車両検出サーバ。
  4. 車両システムにおいて発生したイベント内容を含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の車両情報に基づいて、所定の運転挙動とは異なる不審挙動を検出し、前記複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコア取得部と、
    前記複数の車両のうちの一の車両の前記異常スコアと前記複数の車両のうちの２以上の車両の前記異常スコアの統計値とに基づいて、前記一の車両が異常車両であるか否かを判定する異常車両判定部と、を備え、
    前記異常車両判定部は、さらに、前記異常車両と同一の車種である異常車種または、前記異常車両が検出されたエリアである異常エリアにおいて、所定の台数以下の前記異常車両が存在する場合、前記リバースエンジニアリングにおける攻撃の進行度が第一の攻撃段階であると判定し、前記所定の台数より多い前記異常車両が存在する場合、前記第一の攻撃段階より前記リバースエンジニアリングにおける攻撃の進行度が進行した第二の攻撃段階であると判定する、
    異常車両検出サーバ。
  5. 前記異常スコア取得部は、前記車両ログに含まれる前記イベント内容に基づいて前記異常スコアを算出し、前記イベント内容に基づいて特定されるネットワーク機器の接続頻発、インターネット接続異常、診断コマンドの頻発、アクセス先アドレスの変化、アクセス元アドレスの変化のいずれかを前記不審挙動であると検出し、前記不審挙動を検出した場合、前記不審挙動をネットワーク解析活動であると判定し、前記一の車両の前記異常スコアを増加させる、
    請求項１から４のいずれか１項に記載の異常車両検出サーバ。
  6. 車両システムにおいて発生したイベント内容を含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の車両情報に基づいて、所定の運転挙動とは異なる不審挙動を検出し、前記複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコア取得部と、
    前記複数の車両のうちの一の車両の前記異常スコアと前記複数の車両のうちの２以上の車両の前記異常スコアの統計値とに基づいて、前記一の車両が異常車両であるか否かを判定する異常車両判定部と、を備え、
    前記異常スコア取得部は、前記車両ログに含まれる前記イベント内容に基づいて前記異常スコアを算出し、前記イベント内容に基づいて特定されるネットワーク機器の接続頻発、インターネット接続異常、診断コマンドの頻発、アクセス先アドレスの変化、アクセス元アドレスの変化のいずれかを前記不審挙動であると検出し、前記不審挙動を検出した場合、前記不審挙動をネットワーク解析活動であると判定し、前記一の車両の前記異常スコアを増加させる、
    異常車両検出サーバ。
  7. さらに、異常対策通知部を備え、
    前記異常スコア取得部が前記不審挙動を前記ネットワーク解析活動であると判定した場合、前記異常対策通知部は、前記異常スコアの値に応じて、ネットワークインターフェースの遮断、アクセス先およびアクセス元のアドレスの制限、前記ネットワーク機器の接続数の制限、および、ドライバへの警告のいずれか１つ以上を実施させる、
    請求項５または６に記載の異常車両検出サーバ。
  8. 前記異常スコア取得部は、前記車両ログに含まれる前記イベント内容に基づいて前記異常スコアを算出し、前記イベント内容に基づいて特定される車両制御機能の頻発、システムエラーの頻発、システムエラーの削除、故障コードの頻発、システムログイン、および、ファイル数またはプロセス数の変化のいずれかを前記不審挙動であると検出し、前記不審挙動を検出した場合に、前記不審挙動をシステム解析活動であると判定し、前記一の車両の前記異常スコアを増加させる、
    請求項１から７のいずれか１項に記載の異常車両検出サーバ。
  9. 車両システムにおいて発生したイベント内容を含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の車両情報に基づいて、所定の運転挙動とは異なる不審挙動を検出し、前記複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコア取得部と、
    前記複数の車両のうちの一の車両の前記異常スコアと前記複数の車両のうちの２以上の車両の前記異常スコアの統計値とに基づいて、前記一の車両が異常車両であるか否かを判定する異常車両判定部と、を備え、
    前記異常スコア取得部は、前記車両ログに含まれる前記イベント内容に基づいて前記異常スコアを算出し、前記イベント内容に基づいて特定される車両制御機能の頻発、システムエラーの頻発、システムエラーの削除、故障コードの頻発、システムログイン、および、ファイル数またはプロセス数の変化のいずれかを前記不審挙動であると検出し、前記不審挙動を検出した場合に、前記不審挙動をシステム解析活動であると判定し、前記一の車両の前記異常スコアを増加させる、
    異常車両検出サーバ。
  10. さらに、異常対策通知部を備え、
    前記異常スコア取得部が前記不審挙動を前記システム解析活動であると判定した場合、前記異常対策通知部は、前記異常スコアの値に応じて、車両制御機能の起動停止、前記車両ログの送信頻度の増加、前記車両ログの種類数の増加、および、ドライバへの警告のいずれか１つ以上を実施させる、
    請求項８または９に記載の異常車両検出サーバ。
  11. 前記異常スコア取得部は、前記不審挙動を検出した場合であっても、前記不審挙動を検出した時刻に基づく所定の期間内に再度前記不審挙動を検出した場合または所定のエリアにて前記不審挙動を検出した場合、前記異常スコアを増加させない、
    請求項１から１０のいずれか１項に記載の異常車両検出サーバ。
  12. 車両システムにおいて発生したイベント内容を含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の車両情報に基づいて、所定の運転挙動とは異なる不審挙動を検出し、前記複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコア取得部と、
    前記複数の車両のうちの一の車両の前記異常スコアと前記複数の車両のうちの２以上の車両の前記異常スコアの統計値とに基づいて、前記一の車両が異常車両であるか否かを判定する異常車両判定部と、を備え、
    前記異常スコア取得部は、前記不審挙動を検出した場合であっても、前記不審挙動を検出した時刻に基づく所定の期間内に再度前記不審挙動を検出した場合または所定のエリアにて前記不審挙動を検出した場合、前記異常スコアを増加させない、
    異常車両検出サーバ。
  13. 前記異常スコア取得部は、前記不審挙動が検出された時刻に基づく所定の期間中に、前記不審挙動が検出された車両において再度前記不審挙動が検出されなかった場合、前記異常スコアを減少させる、
    請求項１から１２のいずれか１項に記載の異常車両検出サーバ。
  14. 車両システムにおいて発生したイベント内容を含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の車両情報に基づいて、所定の運転挙動とは異なる不審挙動を検出し、前記複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコア取得部と、
    前記複数の車両のうちの一の車両の前記異常スコアと前記複数の車両のうちの２以上の車両の前記異常スコアの統計値とに基づいて、前記一の車両が異常車両であるか否かを判定する異常車両判定部と、を備え、
    前記異常スコア取得部は、前記不審挙動が検出された時刻に基づく所定の期間中に、前記不審挙動が検出された車両において再度前記不審挙動が検出されなかった場合、前記異常スコアを減少させる、
    異常車両検出サーバ。
  15. 前記異常車両判定部が前記異常車両と判定した車両に対して、前記異常スコアの値または前記不審挙動の種別に基づいて、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告、ネットワーク接続制限と、車両制御機能制限、車両制御機能の起動停止、車両ログの送信頻度の増加、車両ログの種類数の増加、ドライバへの通知のうち、いずれか１つ以上の対策を要求する異常対策通知部をさらに備える、
    請求項１から１４のいずれか１項に記載の異常車両検出サーバ。
  16. 車両システムにおいて発生したイベント内容を含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の車両情報に基づいて、所定の運転挙動とは異なる不審挙動を検出し、前記複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコア取得部と、
    前記複数の車両のうちの一の車両の前記異常スコアと前記複数の車両のうちの２以上の車両の前記異常スコアの統計値とに基づいて、前記一の車両が異常車両であるか否かを判定する異常車両判定部と、を備え、
    前記異常車両判定部が前記異常車両と判定した車両に対して、前記異常スコアの値または前記不審挙動の種別に基づいて、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告、ネットワーク接続制限と、車両制御機能制限、車両制御機能の起動停止、車両ログの送信頻度の増加、車両ログの種類数の増加、ドライバへの通知のうち、いずれか１つ以上の対策を要求する異常対策通知部をさらに備える、
    異常車両検出サーバ。
  17. 前記異常車両判定部によって前記異常車種が前記第二の攻撃段階であると判定された場合、前記異常車両と判定した車両と同一の車種の車両に対して、前記異常スコアの値または前記不審挙動の種別に基づいて、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告、ネットワーク接続制限と、車両制御機能制限、車両制御機能の起動停止、車両ログの送信頻度の増加、車両ログの種類数の増加、ドライバへの通知のうち、いずれか１つ以上を要求する異常対策通知部をさらに備える、
    請求項３または４に記載の異常車両検出サーバ。
  18. 前記異常車両判定部によって前記異常エリアにおいて前記異常車両が前記第二の攻撃段階であると判定された場合、当該異常エリアに位置する前記異常車両以外の車両に対して、前記異常スコアの値または前記不審挙動の種別に基づいて、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告、ネットワーク接続制限と、車両制御機能制限、車両制御機能の起動停止、車両ログの送信頻度の増加、車両ログの種類数の増加、ドライバへの通知のうち、いずれか１つ以上を要求する異常対策通知部をさらに備える、
    請求項３または４に記載の異常車両検出サーバ。
  19. 前記異常スコアが高い順に前記異常車両をリスト表示する異常表示部をさらに備える、
    請求項１から１８のいずれか１項に記載の異常車両検出サーバ。
  20. 前記異常車両と判定された車両の位置情報を地図上に表示する異常表示部をさらに備える、
    請求項１から１８のいずれか１項に記載の異常車両検出サーバ。
  21. 前記異常車両判定部によって前記異常車種において前記第一の攻撃段階と判定された場合、前記異常車両と判定された車両、車種、および、位置情報の少なくとも１つの情報を表示し、前記第二の攻撃段階と判定された場合、前記攻撃の進行度が前記第一の攻撃段階より高い階層であると表示する異常表示部をさらに備える、
    請求項３または４に記載の異常車両検出サーバ。
  22. 車両に搭載された車両システムにおいて発生したイベント内容を含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の前記車両情報に基づいて、所定の運転挙動とは異なる不審挙動を検出し、前記複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコア取得ステップと、
    前記複数の車両のうちの一の車両の前記異常スコアと前記複数の車両のうちの２以上の車両の前記異常スコアの統計値とに基づいて、前記一の車両が異常車両であるか否かを判定する異常車両判定ステップと、を含み、
    前記２以上の車両は、前記一の車両と同一の車種の車両を含み、
    前記異常車両判定ステップは、前記一の車両の前記異常スコアと、前記一の車両と同一の車種の前記異常スコアに基づく前記統計値とを比較し、比較結果に基づいて前記一の車両が前記異常車両であるか否かを判定する、
    異常車両検出方法。
  23. 車両に搭載された車両システムにおいて発生したイベント内容を含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の前記車両情報に基づいて、所定の運転挙動とは異なる不審挙動を検出し、前記複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコア取得ステップと、
    前記複数の車両のうちの一の車両の前記異常スコアと前記複数の車両のうちの２以上の車両の前記異常スコアの統計値とに基づいて、前記一の車両が異常車両であるか否かを判定する異常車両判定ステップと、を含み、
    前記２以上の車両は、前記一の車両と同一のエリアに位置する車両を含み、
    前記異常車両判定ステップは、前記一の車両の前記異常スコアと、前記一の車両と同一のエリアに位置する車両の前記異常スコアに基づく前記統計値とを比較し、比較結果に基づいて前記一の車両が前記異常車両であるか否かを判定する、
    異常車両検出方法。
  24. 車両に搭載された車両システムにおいて発生したイベント内容を含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の前記車両情報に基づいて、所定の運転挙動とは異なる不審挙動を検出し、前記複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコア取得ステップと、
    前記複数の車両のうちの一の車両の前記異常スコアと前記複数の車両のうちの２以上の車両の前記異常スコアの統計値とに基づいて、前記一の車両が異常車両であるか否かを判定する異常車両判定ステップと、を含み、
    前記異常車両判定ステップは、さらに、前記異常車両と同一の車種である異常車種または、前記異常車両が検出されたエリアである異常エリアにおいて、所定の台数以下の前記異常車両が存在する場合、前記リバースエンジニアリングにおける攻撃の進行度が第一の攻撃段階であると判定し、前記所定の台数より多い前記異常車両が存在する場合、前記第一の攻撃段階より前記リバースエンジニアリングにおける攻撃の進行度が進行した第二の攻撃段階であると判定する、
    異常車両検出方法。
  25. 車両に搭載された車両システムにおいて発生したイベント内容を含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の前記車両情報に基づいて、所定の運転挙動とは異なる不審挙動を検出し、前記複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコア取得ステップと、
    前記複数の車両のうちの一の車両の前記異常スコアと前記複数の車両のうちの２以上の車両の前記異常スコアの統計値とに基づいて、前記一の車両が異常車両であるか否かを判定する異常車両判定ステップと、を含み、
    前記異常スコア取得ステップは、前記車両ログに含まれる前記イベント内容に基づいて前記異常スコアを算出し、前記イベント内容に基づいて特定されるネットワーク機器の接続頻発、インターネット接続異常、診断コマンドの頻発、アクセス先アドレスの変化、アクセス元アドレスの変化のいずれかを前記不審挙動であると検出し、前記不審挙動を検出した場合、前記不審挙動をネットワーク解析活動であると判定し、前記一の車両の前記異常スコアを増加させる、
    異常車両検出方法。
  26. 車両に搭載された車両システムにおいて発生したイベント内容を含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の前記車両情報に基づいて、所定の運転挙動とは異なる不審挙動を検出し、前記複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコア取得ステップと、
    前記複数の車両のうちの一の車両の前記異常スコアと前記複数の車両のうちの２以上の車両の前記異常スコアの統計値とに基づいて、前記一の車両が異常車両であるか否かを判定する異常車両判定ステップと、を含み、
    前記異常スコア取得ステップは、前記車両ログに含まれる前記イベント内容に基づいて前記異常スコアを算出し、前記イベント内容に基づいて特定される車両制御機能の頻発、システムエラーの頻発、システムエラーの削除、故障コードの頻発、システムログイン、および、ファイル数またはプロセス数の変化のいずれかを前記不審挙動であると検出し、前記不審挙動を検出した場合に、前記不審挙動をシステム解析活動であると判定し、前記一の車両の前記異常スコアを増加させる、
    異常車両検出方法。
  27. 車両に搭載された車両システムにおいて発生したイベント内容を含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の前記車両情報に基づいて、所定の運転挙動とは異なる不審挙動を検出し、前記複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコア取得ステップと、
    前記複数の車両のうちの一の車両の前記異常スコアと前記複数の車両のうちの２以上の車両の前記異常スコアの統計値とに基づいて、前記一の車両が異常車両であるか否かを判定する異常車両判定ステップと、を含み、
    前記異常スコア取得ステップは、前記不審挙動を検出した場合であっても、前記不審挙動を検出した時刻に基づく所定の期間内に再度前記不審挙動を検出した場合または所定のエリアにて前記不審挙動を検出した場合、前記異常スコアを増加させない、
    異常車両検出方法。
  28. 車両に搭載された車両システムにおいて発生したイベント内容を含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の前記車両情報に基づいて、所定の運転挙動とは異なる不審挙動を検出し、前記複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコア取得ステップと、
    前記複数の車両のうちの一の車両の前記異常スコアと前記複数の車両のうちの２以上の車両の前記異常スコアの統計値とに基づいて、前記一の車両が異常車両であるか否かを判定する異常車両判定ステップと、を含み、
    前記異常スコア取得ステップは、前記不審挙動が検出された時刻に基づく所定の期間中に、前記不審挙動が検出された車両において再度前記不審挙動が検出されなかった場合、前記異常スコアを減少させる、
    異常車両検出方法。
  29. 車両に搭載された車両システムにおいて発生したイベント内容を含む車両ログに基づく車両情報であって複数の車両のそれぞれから受信した複数の前記車両情報に基づいて、所定の運転挙動とは異なる不審挙動を検出し、前記複数の車両のそれぞれについて、当該車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを取得する異常スコア取得ステップと、
    前記複数の車両のうちの一の車両の前記異常スコアと前記複数の車両のうちの２以上の車両の前記異常スコアの統計値とに基づいて、前記一の車両が異常車両であるか否かを判定する異常車両判定ステップと、を含み、
    前記異常車両判定ステップが前記異常車両と判定した車両に対して、前記異常スコアの値または前記不審挙動の種別に基づいて、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告、ネットワーク接続制限と、車両制御機能制限、車両制御機能の起動停止、車両ログの送信頻度の増加、車両ログの種類数の増加、ドライバへの通知のうち、いずれか１つ以上の対策を要求する異常対策通知ステップをさらに含む、
    異常車両検出方法。
JP2021542969A 2019-08-30 2020-08-26 異常車両検出サーバおよび異常車両検出方法 Active JP7530367B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JPPCT/JP2019/034264 2019-08-30
PCT/JP2019/034264 WO2021038870A1 (ja) 2019-08-30 2019-08-30 異常車両検出サーバおよび異常車両検出方法
PCT/JP2020/032208 WO2021039851A1 (ja) 2019-08-30 2020-08-26 異常車両検出サーバおよび異常車両検出方法

Publications (2)

Publication Number Publication Date
JPWO2021039851A1 JPWO2021039851A1 (ja) 2021-03-04
JP7530367B2 true JP7530367B2 (ja) 2024-08-07

Family

ID=74684786

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2021542969A Active JP7530367B2 (ja) 2019-08-30 2020-08-26 異常車両検出サーバおよび異常車両検出方法

Country Status (5)

Country Link
US (1) US11829472B2 (ja)
EP (1) EP4024249B1 (ja)
JP (1) JP7530367B2 (ja)
CN (1) CN113302953B (ja)
WO (2) WO2021038870A1 (ja)

Families Citing this family (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021144860A1 (ja) * 2020-01-14 2021-07-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車両ログ保存装置、車両ログ送信装置、車両ログ収集システムおよび車両ログ保存方法
CN117120307A (zh) * 2021-03-25 2023-11-24 日产自动车株式会社 车辆异常检测装置及车辆异常检测方法
WO2022217343A1 (en) * 2021-04-14 2022-10-20 Vehiqilla Inc. Systems and methods for monitoring a plurality of vehicles
JP7230147B1 (ja) * 2021-09-24 2023-02-28 エヌ・ティ・ティ・コミュニケーションズ株式会社 車両セキュリティ分析装置、方法およびそのプログラム
KR20230090888A (ko) * 2021-12-15 2023-06-22 현대자동차주식회사 차량의 모니터링을 위한 장치 및 서버, 이들을 이용한 차량의 모니터링 방법
EP4451151A4 (en) * 2021-12-17 2025-04-09 Panasonic Intellectual Property Corporation of America THREAT INTELLIGENCE OPERATION SYSTEM, THREAT INTELLIGENCE OPERATION PROCEDURES AND PROGRAM
CN114954586B (zh) * 2022-06-16 2023-12-26 中车青岛四方机车车辆股份有限公司 智能化运营系统、方法、装置、设备、产品及轨道车辆
JP2024017039A (ja) 2022-07-27 2024-02-08 富士通株式会社 攻撃状況出力プログラム、攻撃状況出力装置、攻撃状況出力システム
JPWO2024070078A1 (ja) * 2022-09-27 2024-04-04
WO2024087204A1 (zh) * 2022-10-28 2024-05-02 深圳市锐明技术股份有限公司 设备端的驾驶风险行为干预方法、装置、设备及存储介质
CN120281550A (zh) * 2025-04-23 2025-07-08 深圳金超云控科技有限公司 基于多模态大模型训练的人工智能网络安全系统

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017111796A (ja) 2015-12-16 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
JP2019129528A (ja) 2018-01-22 2019-08-01 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ データ解析装置及びプログラム

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013094072A1 (ja) 2011-12-22 2013-06-27 トヨタ自動車 株式会社 通信システム及び通信方法
WO2016151566A1 (en) * 2015-03-26 2016-09-29 Tower-Sec Ltd Security system and methods for identification of in-vehicle attack originator
JP6441748B2 (ja) * 2015-06-08 2018-12-19 日本電信電話株式会社 検知システム、検知方法および検知プログラム
US9888024B2 (en) * 2015-09-30 2018-02-06 Symantec Corporation Detection of security incidents with low confidence security events
JP6839963B2 (ja) * 2016-01-08 2021-03-10 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 異常検知方法、異常検知装置及び異常検知システム
US10992705B2 (en) * 2016-01-20 2021-04-27 The Regents Of The University Of Michigan Exploiting safe mode of in-vehicle networks to make them unsafe
JP6956624B2 (ja) 2017-03-13 2021-11-02 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 情報処理方法、情報処理システム、及びプログラム
WO2018168291A1 (ja) * 2017-03-13 2018-09-20 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 情報処理方法、情報処理システム、及びプログラム
JP6723955B2 (ja) * 2017-05-12 2020-07-15 日立オートモティブシステムズ株式会社 情報処理装置及び異常対処方法
KR101907011B1 (ko) * 2017-08-25 2018-10-11 자동차부품연구원 차량 네트워크 통신보안성 평가 및 모니터링 장치
JP7045288B2 (ja) * 2018-01-22 2022-03-31 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ データ解析装置、データ解析方法及びプログラム
US20200216027A1 (en) * 2019-01-04 2020-07-09 Byton North America Corporation Detecting vehicle intrusion using command pattern models
US11546353B2 (en) * 2019-07-18 2023-01-03 Toyota Motor North America, Inc. Detection of malicious activity on CAN bus

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017111796A (ja) 2015-12-16 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
JP2018190465A (ja) 2015-12-16 2018-11-29 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
JP2019129528A (ja) 2018-01-22 2019-08-01 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ データ解析装置及びプログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
桑原 拓也 ほか7名，CANメッセージ頻度に注目した車載ネットワークの統計的異常検知，SCIS2016 暗号と情報セキュリティシンポジウム2016，電子情報通信学会，2016年，pp.1-7

Also Published As

Publication number Publication date
WO2021038870A1 (ja) 2021-03-04
EP4024249A1 (en) 2022-07-06
WO2021039851A1 (ja) 2021-03-04
CN113302953B (zh) 2025-08-01
EP4024249A4 (en) 2022-10-26
US11829472B2 (en) 2023-11-28
JPWO2021039851A1 (ja) 2021-03-04
US20210349997A1 (en) 2021-11-11
EP4024249B1 (en) 2025-10-15
CN113302953A (zh) 2021-08-24

Similar Documents

Publication Publication Date Title
JP7530367B2 (ja) 異常車両検出サーバおよび異常車両検出方法
JP7492622B2 (ja) 車両異常検知サーバ、車両異常検知システム及び車両異常検知方法
JP7496404B2 (ja) セキュリティ処理方法及びサーバ
JP7197638B2 (ja) セキュリティ処理方法及びサーバ
US12401667B2 (en) Vehicle security monitoring apparatus, method and non-transitory computer readable medium
CN110226310B (zh) 电子控制装置、不正当检测服务器、车载网络系统、车载网络监视系统以及方法
CN111095955B (zh) 用于联网车辆网络安全的系统和方法
JP7641900B2 (ja) 侵入経路分析装置および侵入経路分析方法
CN118355383A (zh) 威胁信息扩展系统、威胁信息扩展方法以及程序
CN113836564B (zh) 一种基于区块链的网联汽车信息安全系统
CN121037074A (zh) 基于区块链的车联网漏洞管理方法、系统、设备和介质

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20230608

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20240514

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20240620

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20240716

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20240726

R150 Certificate of patent or registration of utility model

Ref document number: 7530367

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150