JP7659953B2 - セキュリティ装置、セキュリティ方法およびプログラム - Google Patents

Description

本開示は、車両へのサイバー攻撃に対処するセキュリティ装置などに関する。

従来、車両へのサイバー攻撃に対して安全を保つためのセキュリティ装置が提案されている（例えば、特許文献１、特許文献２、および特許文献３参照）。特許文献１には、サイバー攻撃通知装置が上述のセキュリティ装置として開示されている。このサイバー攻撃通知装置は、車両に対するサイバー攻撃を検知し、ドライバーが車内および車外の何れにいるかに基づいて、車内または車外にある機器に対してそのサイバー攻撃を通知する。特許文献２には、車両用システムが上述のセキュリティ装置として開示されている。この車両用システムは、車両への不正な攻撃の侵入の深度に応じて、車両の外部への通信方法、不正な攻撃に対する防御方法、およびログの保存方法などを変更する。特許文献３に開示されているセキュリティ装置は、機器ネットワークへの攻撃を検知し、機器ネットワークの危険度を算出し、その危険度に基づいて、攻撃に対して実施すべき攻撃対応を決定する。

特開２０１９－２１９７０９号公報 特開２０１９－１２５３４４号公報 国際公開第２０２１－０１９６３５号

しかしながら、上記特許文献１～３のセキュリティ装置では、ユーザが搭乗していない車両に対してサイバー攻撃を受けた場合に、そのユーザに対するサポートが不十分であるという課題がある。例えば、特許文献１のサイバー攻撃通知装置では、車外にある機器に対してサイバー攻撃が通知される。しかし、その機器に通知されるサイバー攻撃を車両のユーザが把握したところで、ユーザはどのようにしてよいのか容易に判断できない。

そこで、本開示は、ユーザが搭乗していない車両に対してサイバー攻撃を受けた場合に、そのユーザを適切にサポートすることができるセキュリティ装置などを提供する。

本開示の一態様に係るセキュリティ装置は、ユーザが搭乗していない車両がサイバー攻撃を受けた場合に、前記車両への前記ユーザの搭乗が可能か否かを判定する搭乗判定部と、前記搭乗判定部による判定結果を、前記車両の外部にあって前記ユーザに利用される端末装置に通知する通知処理部とを備える。

なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。また、記録媒体は、非一時的な記録媒体であってもよい。

本開示のセキュリティ装置は、ユーザが搭乗していない車両に対してサイバー攻撃を受
けた場合に、そのユーザを適切にサポートすることができる。

なお、本開示の一態様における更なる利点および効果は、明細書および図面から明らかにされる。かかる利点および／または効果は、いくつかの実施の形態並びに明細書および図面に記載された構成によって提供されるが、必ずしも全ての構成が必要とはされない。

図１は、実施の形態におけるセキュリティシステムの全体構成図である。 図２は、実施の形態における車両の機能構成の一例を示すブロック図である。 図３は、実施の形態における端末装置の機能構成の一例を示すブロック図である。 図４は、実施の形態におけるセキュリティ装置の機能構成の一例を示すブロック図である。 図５は、実施の形態におけるセキュリティ装置の第２アカウント部に格納されている各情報の一例を示す図である。 図６は、実施の形態におけるセキュリティ装置のデータベースに格納されている各情報の一例を示す図である。 図７は、実施の形態における車両の第１アカウント部に格納されている各情報の一例を示す図である。 図８は、実施の形態におけるセキュリティシステムの処理動作の一例を示すシーケンス図である。 図９は、実施の形態におけるセキュリティシステムの処理動作の他の例を示すシーケンス図である。 図１０は、実施の形態におけるセキュリティシステムの処理動作の他の例を示すシーケンス図である。 図１１は、実施の形態における車両の処理動作の一例を示すフローチャートである。 図１２は、実施の形態におけるセキュリティ装置の処理動作の一例を示すフローチャートである。 図１３は、実施の形態における状況通知画像および対処結果画像の一例を示す図である。 図１４は、実施の形態における状況通知画像および対処結果画像の他の例を示す図である。 図１５は、実施の形態における状況通知画像および対処結果画像の他の例を示す図である。 図１６は、実施の形態における状況通知画像および対処結果画像の他の例を示す図である。 図１７は、実施の形態における状況通知画像および対処結果画像の他の例を示す図である。

本開示の第１態様に係るセキュリティ装置は、ユーザが搭乗していない車両がサイバー攻撃を受けた場合に、前記車両への前記ユーザの搭乗が可能か否かを判定する搭乗判定部と、前記搭乗判定部による判定結果を、前記車両の外部にあって前記ユーザに利用される端末装置に通知する通知処理部とを備える。なお、端末装置は、スマートフォンなどであってもよい。

これにより、ユーザが車両に搭乗していないときに、その車両がサイバー攻撃を受けた場合には、その車両に搭乗可能か搭乗不可かが判定されて、その判定結果が端末装置に通
知される。したがって、ユーザが端末装置を携帯していれば、ユーザは、車両に搭乗可能か搭乗不可かを容易に把握することができる。また、サイバー攻撃を受けている危険な車両にユーザが搭乗してしまうことを抑制することができる。その結果、ユーザを適切にサポートすることができる。なお、以下、搭乗可能は、搭乗可としても表記され、搭乗不可は、搭乗否としても表記される。

また、第１態様に従属する第２態様に係るセキュリティ装置では、前記通知処理部は、前記搭乗判定部によって搭乗不可が前記判定結果として判定された場合、前記車両以外の移動手段に関する移動サポート情報を前記端末装置に通知してもよい。

これにより、端末装置に移動サポート情報が通知されるため、ユーザは、車両以外の移動手段に関する情報をその端末装置から容易に知ることができる。その結果、ユーザは、車両に搭乗することなく、車両以外の移動手段を利用して移動することができる。したがって、ユーザの移動をサポートすることができる。

また、第２態様に従属する第３態様に係るセキュリティ装置では、前記通知処理部は、複数の移動手段のうち、前記ユーザによる前記端末装置への入力操作に応じて選択された移動手段に関する前記移動サポート情報を前記端末装置に通知してもよい。

これより、ユーザは入力操作により所望の移動手段を選択して、その移動手段に関する情報を容易に知ることができる。したがって、ユーザの移動をさらにサポートすることができる。

また、第１態様から第３態様の何れか１つの態様に従属する第４態様に係るセキュリティ装置では、前記セキュリティ装置は、さらに、前記搭乗判定部によって搭乗不可が前記判定結果として判定された場合、前記車両が受けた前記サイバー攻撃への対処を前記車両に指示する対処指示部を備えてもよい。

これにより、サイバー攻撃への対処が車両に指示されるため、車両だけでその対処ができなくても、車両はセキュリティ装置の指示にしたがってその対処を行うことができる。例えば、サイバー攻撃によって改変されたプログラムを、セキュリティ装置から提供されるパッチによって修復することができる。

また、第４態様に従属する第５態様に係るセキュリティ装置では、前記対処指示部は、前記サイバー攻撃への対処の指示では、前記車両の始動停止を前記車両に指示してもよい。なお、車両の始動停止は、車両の始動を実行不能にすることであって、始動禁止とも言える。

これにより、車両の始動が行われないため、ユーザの意図と異なる車両の走行を抑制し、安全性を高めることができる。

また、第５態様に従属する第６態様に係るセキュリティ装置では、前記対処指示部は、さらに、前記車両において前記サイバー攻撃への対処が行われた場合、前記車両の始動停止の解除を前記車両に指示してもよい。

これにより、サイバー攻撃への対処が行われた後には、車両の始動停止が解除されるため、安全性を担保しながらユーザの意図に沿った車両の走行を実現することができる。

また、第１態様から第６態様の何れか１つの態様に従属する第７態様に係るセキュリティ装置では、前記通知処理部は、前記搭乗判定部によって搭乗不可が前記判定結果として
判定された場合、前記端末装置と前記車両との間の距離を特定し、前記搭乗不可を通知するための通知態様を前記距離に応じて変化させてもよい。なお、その通知態様による通知は、搭乗不可が判定されたときの最初の一時的な通知であってもよく、通知が継続的に行われる場合には、通知が行われる時々の距離に応じて通知態様が変化してもよい。

これにより、端末装置と車両との間の距離、すなわち端末装置を携帯するユーザと車両との間の距離に応じて通知態様が変化するため、車両に搭乗しようとするユーザに対して、その車両への搭乗ができないことをより明確に伝えることができる。

例えば、第７態様に従属する第８態様に係るセキュリティ装置では、前記通知態様は、前記端末装置から出力される音および前記端末装置の振動のうちの少なくとも一方によって表現され、前記通知処理部は、前記距離が短いほど前記音および前記振動のうちの少なくとも一方が大きくなるように、前記距離に応じて前記通知態様を変化させてもよい。

これにより、ユーザが車両に搭乗するためにその車両に近づくと、ユーザに携帯される端末装置から大きな音が出力されたり、端末装置が大きく振動する。その結果、車両に搭乗しようとするユーザに対して、その車両への搭乗ができないことをより明確に伝えることができ、車両に搭乗しないように強く注意喚起することができる。

また、第１態様から第８態様の何れか１つの態様に従属する第９態様に係るセキュリティ装置では、前記通知処理部は、前記搭乗判定部によって搭乗不可が前記判定結果として判定された場合、前記搭乗不可が判定されたときからの経過時間を特定し、前記搭乗不可を継続的に通知するための通知態様を前記経過時間に応じて変化させてもよい。

これにより、経過時間に応じて通知態様が変化するため、車両への搭乗ができないことをユーザに容易に気付かせることができる。

例えば、第９態様に従属する第１０態様に係るセキュリティ装置では、前記通知態様は、前記端末装置から出力される音および前記端末装置の振動のうちの少なくとも一方によって表現され、前記通知処理部は、前記経過時間が長いほど前記音および前記振動のうちの少なくとも一方が大きくなるように、前記経過時間に応じて前記通知態様を変化させてもよい。

これにより、当初の音または振動による通知によってユーザが搭乗不可に気付かなくても、経過時間に応じてその音または振動が大きくなる。その結果、通知に気付き難いユーザに対しても、車両への搭乗ができないことをより明確に伝えることができ、車両に搭乗しないように強く注意喚起することができる。

また、第９態様に従属する第１１態様に係るセキュリティ装置では、前記通知態様は、前記端末装置から繰り返し出力される音と、繰り返し発生する前記端末装置の振動とのうちの少なくとも一方の周期によって表現され、前記通知処理部は、前記経過時間が長いほど前記周期が短くなるように、前記経過時間に応じて前記通知態様を変化させてもよい。

これにより、当初の周期にしたがった音または振動による通知によってユーザが搭乗不可に気付かなくても、経過時間に応じてその音または振動の周期が短くなる。その結果、通知に気付き難いユーザに対しても、車両への搭乗ができないことをより明確に伝えることができ、車両に搭乗しないように強く注意喚起することができる。

また、第７態様から第１１態様の何れか１つの態様に従属する第１２態様に係るセキュリティ装置では、前記通知処理部は、前記端末装置からのアンサーバック信号に応じて、
継続して行われている前記通知態様による前記搭乗不可の通知を停止してもよい。

これにより、ユーザは、搭乗不可に気付いた後には、端末装置からアンサーバック信号を送信させて、その通知を停止させることができる。その結果、無駄な通知を省くことができ、セキュリティ装置および端末装置の処理負担を軽減させることができる。

（実施の形態）
図１は、本実施の形態におけるセキュリティシステムの全体構成図である。

本実施の形態におけるセキュリティシステム１は、車両１０と、セキュリティ装置１００と、端末装置２００とを備える。車両１０、セキュリティ装置１００および端末装置２００は、インターネットなどの通信ネットワークＮｔを介して互いに通信可能に接続されている。

車両１０は、ユーザｘによって利用される車両であって、電子制御システムを備える。電子制御システムは、運転制御機能、自動運転機能、テレマティクスに関する機能などを有する。そのため、車両１０の電子制御システムはサイバー攻撃を受ける可能性がある。

端末装置２００は、ユーザｘによって利用される通信端末であって、例えばスマートフォン、タブレット端末、パーソナルコンピュータなどとして構成されている。このような端末装置２００は、ユーザｘに携帯され、ユーザｘが車両１０に搭乗していない場合には、車両１０の外部にある。

セキュリティ装置１００は、車両１０がサイバー攻撃を受けた場合に、サイバー攻撃への対処をその車両１０に指示する。また、本実施の形態におけるセキュリティ装置１００は、ユーザｘが車両１０に搭乗していないときに車両１０がサイバー攻撃を受けた場合には、その車両１０の状況、すなわちサイバー攻撃に関する情報を、通信ネットワークＮｔを介して端末装置２００に通知する。車両１０の状況は、車両１０への搭乗が可能か否かなどを含む。なお、端末装置２００がユーザｘに携帯されている場合には、端末装置２００への通知は、ユーザｘへの通知とも言える。

図２は、車両１０の機能構成の一例を示すブロック図である。

車両１０は、ＥＣＵ（Electronic Control Unit）１１～１４、第１通信部１５、ゲー
トウェイ１６、第１アカウント部１７、および第１位置取得部１８を備える。これらの構成要素は、例えばＣＡＮ（Controller Area Network）などのネットワークを構成してい
る。また、これらの構成要素は、上述の電子制御システムを構成しているとも言える。

ＥＣＵ１１～１４は、車両１０の操舵、車速、ブレーキなどを制御する。また、ＥＣＵ１１～１４は、カーオーディオ、カーナビゲーション装置、走行記録装置などを制御してもよい。これらのＥＣＵ１１～１４によって、運転制御機能、自動運転機能、テレマティクスに関する機能が実現される。また、ＥＣＵ１１～１４のうちの少なくとも１つは、車両１０に取り付けられているセンサなどによるセンシング結果に基づいて、車両１０にユーザｘが搭乗しているか否かを判定してもよい。センサは、カメラであってもよく、重量センサであってもよい。

第１通信部１５は、セキュリティ装置１００および端末装置２００と通信ネットワークＮｔを介して通信する。

ゲートウェイ１６は、セキュリティ装置１００および端末装置２００から通信ネットワ
ークＮｔを介して第１通信部１５が信号を受信すると、ＥＣＵ１１～１４の少なくとも１つにその信号を出力する。一方、ゲートウェイ１６は、ＥＣＵ１１～１４の少なくとも１つが信号を出力すると、その信号を第１通信部１５から通信ネットワークＮｔを介してセキュリティ装置１００および端末装置２００の少なくとも一方に送信させる。また、ゲートウェイ１６は、ＥＣＵ１１～１４および第１通信部１５の間で送受信される信号を監視し、サイバー攻撃を検知する。そして、ゲートウェイ１６は、そのサイバー攻撃の内容に応じて、サイバー攻撃への対処要望を、第１通信部１５を介してセキュリティ装置１００に通知する。なお、この対処要望の通知によって、サイバー攻撃の内容と、車両１０の搭乗状況とが、セキュリティ装置１００に伝えられる。その搭乗状況は、車両１０にユーザｘが搭乗しているか否かを示し、ＥＣＵ１１～１４のうちの少なくとも１つによる判定によって特定される。さらに、ゲートウェイ１６は、検知されたサイバー攻撃への対処を行う。

第１アカウント部１７は、ユーザｘ、車両１０、セキュリティ装置１００に関する情報を保持する記録媒体である。例えば、第１アカウント部１７は、ハードディスクドライブ、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、または半導体メモリなどである。なお、このような第１アカウント部１７は、揮発性であっても不揮発性であってもよい。

第１位置取得部１８は、ＧＰＳ（Global Positioning System）などのＧＮＳＳ（Global Navigation Satellite System）を用いて車両１０の位置を示す車両位置情報を取得す
る。このような車両位置情報は、第１位置取得部１８からゲートウェイ１６および第１通信部１５を介してセキュリティ装置１００に随時送信される。

図３は、端末装置２００の機能構成の一例を示すブロック図である。

端末装置２００は、制御部２０１、第３通信部２１５、メモリ２２２、第２位置取得部２１８、表示部２４１、スピーカ２４２、バイブレータ２４３、および入力部２４４を備える。

制御部２０１は、例えばＣＰＵ（Central Processing Unit）、プロセッサなどによっ
て構成され、メモリ２２２に格納されているプログラムを実行することによって、端末装置２００に備えられている各構成要素を制御する。

第３通信部２１５は、制御部２０１による制御に応じて、車両１０およびセキュリティ装置１００と通信ネットワークＮｔを介して通信する。

メモリ２２２は、上述のプログラム、情報、データなどを格納する記録媒体である。例えば、メモリ２２２は、ＲＡＭ、ＲＯＭ、または半導体メモリなどである。なお、このようなメモリ２２２は、揮発性であっても不揮発性であってもよい。

第２位置取得部２１８は、ＧＰＳなどのＧＮＳＳを用いて端末装置２００の位置を示す端末位置情報を取得する。このような端末位置情報は、第２位置取得部２１８から第３通信部２１５を介してセキュリティ装置１００に随時送信される。

表示部２４１は、制御部２０１による制御に応じて画像または文字などを表示するディスプレイである。具体的には、表示部２４１は、液晶ディスプレイ、有機ＥＬ（Electro-Luminescence）ディスプレイなどであるが、これらに限定されない。

スピーカ２４２は、制御部２０１による制御に応じて音または音声を出力する。

バイブレータ２４３は、制御部２０１による制御に応じて振動する。この振動は、端末装置２００の全体に伝わる。したがって、バイブレータ２４３は、端末装置２００を振動させる。

入力部２４４は、ユーザｘによる入力操作を受け付け、その入力操作に応じた信号を制御部２０１に出力する。このような入力部２４４は、表示部２４１と一体に構成されていてもよい。この場合、入力部２４４および表示部２４１は、タッチパネルとして構成されている。具体的には、入力部２４４は、表示部２４１に配置され、その表示部２４１に表示されるアイコンなどの画像にユーザｘが触れることによって、その画像に対応する操作を受け付けるタッチセンサとして構成されている。また、入力部２４４は、物理的なボタンを備え、ユーザｘがそのボタンを押下することによって、そのボタンに対応する入力操作を受け付けてもよい。

図４は、セキュリティ装置１００の機能構成の一例を示すブロック図である。

セキュリティ装置１００は、第２通信部１１５、搭乗判定部１３１、通知方法決定部１３２、通知処理部１３３、データベース１３４、分析部１３５、対処指示部１３６、および第２アカウント部１１７を備える。

第２通信部１１５は、車両１０および端末装置２００と通信ネットワークＮｔを介して通信する。例えば、第２通信部１１５は、車両１０から通知される、サイバー攻撃への対処要望を受け付ける。

搭乗判定部１３１は、ユーザｘが搭乗していない車両１０がサイバー攻撃を受けた場合に、車両１０へのユーザｘの搭乗が可能か否かを判定する。具体的には、搭乗判定部１３１は、第２通信部１１５が上述の対処要望の通知を受けると、その対処要望の通知に応じて、搭乗が可能か否かを判定する。なお、その対処要望には、サイバー攻撃の内容と、車両１０の搭乗状況とが示されている。

通知方法決定部１３２は、搭乗判定部１３１によって搭乗不可（すなわち搭乗否）と判定された場合に、ユーザｘにその搭乗不可を通知するための通知方法を決定する。

通知処理部１３３は、搭乗判定部１３１による判定結果を、車両１０の外部にあってユーザｘに利用される端末装置２００に、第２通信部１１５を介して通知する。

分析部１３５は、上述の車両１０からの対処要望に応じて、車両１０へのサイバー攻撃に対する分析を行い、その分析結果を対処指示部１３６に通知する。

対処指示部１３６は、分析部１３５から分析結果の通知を受けると、その分析結果に応じたサイバー攻撃への対処を、第２通信部１１５を介して車両１０に指示する。例えば、本実施の形態における対処指示部１３６は、搭乗判定部１３１によって搭乗不可が判定結果として判定された場合、車両１０が受けたサイバー攻撃への対処を車両１０に指示する。対処指示部１３６は、搭乗可が判定結果として判定された場合にも、車両１０が受けたサイバー攻撃への対処を車両１０に指示してもよい。

第２アカウント部１１７は、ユーザｘ、車両１０、およびセキュリティ関連の各機関などに関する情報を格納する記録媒体である。

データベース１３４は、通知方法決定部１３２の決定に用いられるデータ、通知処理部
１３３の処理に用いられるデータなどを格納する記録媒体である。第２アカウント部１１７およびデータベース１３４は、ハードディスクドライブ、ＲＡＭ、ＲＯＭ、または半導体メモリなどである。なお、このような第２アカウント部１１７およびデータベース１３４は、揮発性であっても不揮発性であってもよい。

図５は、セキュリティ装置１００の第２アカウント部１１７に格納されている各情報の一例を示す図である。

第２アカウント部１１７は、ユーザ情報ａ１、車両情報ａ２、および連絡先情報ａ３を格納している。

ユーザ情報ａ１は、ユーザごとに、そのユーザのユーザＩＤ（identification）、氏名、住所、電話番号、メールアドレス、車両ＩＤ、位置、および続柄を示す。ユーザＩＤは、ユーザを識別するための情報である。メールアドレスは、そのユーザの端末装置で利用可能なメールアドレスである。車両ＩＤは、ユーザが利用する車両を識別するための情報である。位置は、そのユーザの端末装置がある位置であって、ＧＮＳＳなどによって得られるその端末装置の位置座標である。また、端末装置がユーザに携帯されている場合には、その位置は、ユーザの位置であるとも言える。続柄は、例えば、ユーザがセキュリティシステム１によるセキュリティサービスの契約者であるか、その契約者の家族であるかを示す。ユーザ情報ａ１には、ユーザｘのユーザＩＤ、氏名、住所なども示されている。例えば、ユーザｘのユーザＩＤは「ＡＡＡ」であって、続柄「契約者」に関連付けられている。また、ユーザ情報ａ１によって示されるユーザｘの位置は、端末装置２００の第２位置取得部２１８によって得られる端末位置情報によって示される位置である。

このようなユーザ情報ａ１は、例えば車両１０によって生成されてセキュリティ装置１００に送信される。また、ユーザ情報ａ１によって示される各ユーザの位置は、そのユーザの端末装置から送信される端末位置情報によって随時更新される。

なお、ユーザ情報ａ１には、各ユーザのメールアドレスが示されているが、そのメールアドレスの代わりに、あるいは、メールアドレスと共に、他のアドレスが示されていてもよい。他のアドレスは、例えば、ユーザが利用する端末装置のＩＰ（Internet Protocol
）アドレス、ＭＡＣ（Media Access Control）アドレスなどである。

車両情報ａ２は、車両１０の車両ＩＤ、車両名、車両ナンバー、駐車位置、およびＩＰアドレスを示す。車両ＩＤは、車両１０を識別するための情報である。駐車位置は、車両１０の第１位置取得部１８によって得られる車両位置情報によって示される位置である。

このような車両情報ａ２も、ユーザ情報ａ１と同様、例えば車両１０によって生成されてセキュリティ装置１００に送信される。また、車両情報ａ２によって示される駐車位置は、車両１０から送信される車両位置情報によって随時更新される。

連絡先情報ａ３は、セキュリティ関連の機関ごとに、その機関のＩＤ、会社名、住所、場所、電話番号、メールアドレス、およびＵＲＬ（Uniform Resource Locator）を示す。これらの機関には、警察などが含まれていてもよい。なお、機関の場所は、例えば、その機関の住所に該当する位置の緯度および経度からなる。

図６は、セキュリティ装置１００のデータベース１３４に格納されている各情報の一例を示す図である。

データベース１３４は、通知方法情報ｂ１および移動サポート一覧情報ｂ２を格納して
いる。

通知方法情報ｂ１は、サイバー攻撃の複数の通知方法を示す。通知方法決定部１３２は、その複数の通知方法から少なくとも１つの通知方法を選択する。その選択された少なくとも１つの通知方法は、通知処理部１３３による端末装置２００への通知に用いられる。具体的には、これらの通知方法は、搭乗判定部１３１による判定結果を含む車両１０の状況を通知するための方法である。なお、判定結果は、車両１０へのユーザｘの搭乗が可能か否かの判定結果である。このような通知方法情報ｂ１は、通知方法ごとに、その通知方法の通知ＩＤと、その通知方法の内容とを示す。

通知ＩＤ「ＩＤ－０００」に関連付けられている通知方法の内容は、通常通知である。通常通知では、車両１０がサイバー攻撃を受けたときに、車両１０の状況を示す状況通知画像が、端末装置２００の表示部２４１に表示される。さらに、端末装置２００のスピーカから警告音が出力され、端末装置２００のバイブレータ２４３によって端末装置２００が振動する。

具体的には、セキュリティ装置１００の通知方法決定部１３２は、第２通信部１１５が車両１０から対処要望の通知を受けると、搭乗判定部１３１の判定結果に関わらず、まず、通知ＩＤ「ＩＤ－０００」の通知方法を選択する。そして、通知処理部１３３は、通常通知を行う。つまり、通知処理部１３３は、第２アカウント部１１７のユーザ情報ａ１から、続柄「契約者」に関連付けられているユーザｘのメールアドレスを特定する。なお、対処要望の通知は、サイバー攻撃に対する対処を要望する通知である。そして、通知処理部１３３は、上述の状況通知画像を示すメールを、第２通信部１１５を介してそのメールアドレスに送信する。このとき、通知処理部１３３は、さらに、第２通信部１１５を介して通知信号を端末装置２００に送信する。通知信号には、例えば音量および振動パラメータ（例えば、振動数または振幅など）が示されている。端末装置２００の制御部２０１は、第３通信部２１５がその通知信号を受信すると、その通知信号によって示される音量の警告音をスピーカ２４２から出力させ、さらに、その通知信号によって示される振動パラメータにしたがってバイブレータ２４３を振動させる。

通知ＩＤ「ＩＤ－００１」～「ＩＤ－００４」のそれぞれに関連付けられている通知方法の内容は、通常通知に対してさらに付加的に行われる通知（すなわち追加通知）である。追加通知は、ユーザｘが車両１０の状況の通知を確認するまで継続的に行われる。

なお、セキュリティ装置１００の通知処理部１３３は、ユーザｘが車両１０の状況の通知を確認したことを、ユーザｘによるアンサーバックによって把握する。つまり、端末装置２００の入力部２４４は、ユーザｘによるアンサーバックを入力操作として受け付けると、そのアンサーバックを示す信号（以下、アンサーバック信号とも呼ばれる）を制御部２０１に出力する。そして、制御部２０１は、第３通信部２１５から通信ネットワークＮｔを介してそのアンサーバック信号をセキュリティ装置１００に送信する。セキュリティ装置１００の第２通信部１１５は、アンサーバック信号を受信すると、そのアンサーバック信号を通知処理部１３３に出力する。これにより、通知処理部１３３は、アンサーバック信号の取得によって、アンサーバックがあったこと、すなわち、ユーザｘが車両１０の状況の通知を確認したことを把握する。

通知ＩＤ「ＩＤ－００１」の通知方法では、ユーザｘが車両１０に所定距離以上近づくと通常通知よりも大きい音量および振動によって車両１０の状況が通知される。所定距離は、１０ｍであっても５０ｍであってもよく、それらの距離に限定されるものではない。また、ユーザｘが車両１０に所定距離以上近づいた後に、さらに、ユーザｘが車両１０に所定距離以上近づいたときにも、直前の通知よりもさらに大きい音量および振動によって
車両１０の状況が通知される。

具体的には、セキュリティ装置１００の通知方法決定部１３２は、搭乗判定部１３１によって搭乗不可が判定結果として判定された場合には、通知ＩＤ「ＩＤ－０００」の通知方法だけでなく、通知ＩＤ「ＩＤ－００１」の通知方法も選択する。そして、通知処理部１３３は、通常通知を行った後に、さらに、その選択された通知方法の追加通知を行う。その追加通知では、通知処理部１３３は、まず、ユーザ情報ａ１に示されている端末装置２００の位置（すなわちユーザｘの位置）と、車両情報ａ２に示されている駐車位置との間の距離をユーザ車両間距離として特定する。そして、通知処理部１３３は、そのユーザ車両間距離が上述の所定距離だけ短くなるごとに、第２通信部１１５を介して上述の通知信号を端末装置２００に送信する。通知処理部１３３は、送信される通知信号ごとに、その通知信号によって示される音量および振動パラメータを増加させる。端末装置２００の制御部２０１は、第３通信部２１５がその通知信号を受信すると、その通知信号によって示される音量の警告音をスピーカ２４２から出力させ、さらに、その通知信号によって示される振動パラメータにしたがってバイブレータ２４３を振動させる。

このように、本実施の形態における通知処理部１３３は、搭乗判定部１３１によって搭乗不可が判定結果として判定された場合、端末装置２００と車両１０との間の距離を特定し、搭乗不可を通知するための通知態様をその距離に応じて変化させる。その距離は、上述のユーザ車両間距離である。具体的には、その通知態様は、端末装置２００から出力される音および端末装置２００の振動のうちの少なくとも一方によって表現される。そして、通知処理部１３３は、その距離が短いほど音および振動のうちの少なくとも一方が大きくなるように、その距離に応じて通知態様を変化させる。

これにより、端末装置２００と車両１０との間の距離、すなわち端末装置２００を携帯するユーザｘと車両１０との間の距離に応じて通知態様が変化するため、車両１０に搭乗しようとするユーザｘに対して、その車両１０への搭乗ができないことをより明確に伝えることができる。つまり、ユーザｘが車両１０に搭乗するためにその車両１０に近づくと、ユーザｘに携帯される端末装置２００から大きな音が出力されたり、端末装置２００が大きく振動する。その結果、車両１０に搭乗しようとするユーザｘに対して、その車両１０への搭乗ができないことをより明確に伝えることができ、車両１０に搭乗しないように強く注意喚起することができる。

なお、上述の例では、通知ＩＤ「ＩＤ－０００」および通知ＩＤ「ＩＤ－００１」の通知方法が選択されて、通知が継続的に行われるが、通知ＩＤ「ＩＤ－０００」のみが選択されて、通知が一時的に行われてもよい。この場合でも、通知処理部１３３は、対処要望の通知があったときのユーザ車両間距離が短いほど警告音および振動のうちの少なくとも一方が大きくなるように、そのユーザ車両間距離に応じて通知態様を変化させてもよい。つまり、ユーザ車両間距離に応じた通知態様による通知は、対処要望の通知があって搭乗不可が判定されたときの最初の一時的な通知であってもよい。例えば、車両１０がサイバー攻撃を受けて対処要望の通知があったときのユーザ車両間距離が１ｋｍであれば、小さい警告音および振動によって車両１０の状況が端末装置２００およびユーザｘに通知される。一方、車両１０が上述とは別のサイバー攻撃を受けて対処要望の通知があったときのユーザ車両間距離が１０ｍであれば、大きい警告音および振動によって車両１０の状況が端末装置２００およびユーザｘに通知される。

通知ＩＤ「ＩＤ－００２」の追加通知では、ユーザｘの家族である他のユーザにも車両１０の状況が通知される。他のユーザは、ユーザ情報ａ１に示されている続柄「家族」のユーザである。

具体的には、セキュリティ装置１００の通知方法決定部１３２は、搭乗判定部１３１によって搭乗不可が判定結果として判定された場合には、通知ＩＤ「ＩＤ－０００」の通知方法だけでなく、通知ＩＤ「ＩＤ－００１」の通知方法も選択する。そして、通知処理部１３３は、通常通知を行った後に、さらに、その選択された通知方法の追加通知を行う。追加通知では、通知処理部１３３は、まず、ユーザ情報ａ１において続柄「家族」に関連付けられているメールアドレスを特定する。そして、通知処理部１３３は、上述の状況通知画像を示すメールを、第２通信部１１５を介してそのメールアドレスに送信する。

これにより、家族の端末装置にも車両１０への搭乗不可が通知されるため、家族がその車両１０に搭乗してしまうことを抑制することができる。

通知ＩＤ「ＩＤ－００３」の追加通知では、車両１０の状況が定期的に繰り返して通知される。そして、搭乗不可が判定されたときからの経過時間が長くなるほど、通知に用いられる警告音の音量および振動が大きくなる。

具体的には、セキュリティ装置１００の通知方法決定部１３２は、搭乗判定部１３１によって搭乗不可が判定結果として判定された場合には、通知ＩＤ「ＩＤ－０００」の通知方法だけでなく、通知ＩＤ「ＩＤ－００３」の通知方法も選択する。そして、通知処理部１３３は、通常通知を行った後に、さらに、その選択された通知方法の追加通知を行う。追加通知では、通知処理部１３３は、まず、予め定められた周期で上述の通知信号を、第２通信部１１５を介して端末装置２００に送信する。そして、通知処理部１３３は、送信される通知信号ごとに、その通知信号によって示される音量および振動パラメータを増加させる。端末装置２００の制御部２０１は、第３通信部２１５がその通知信号を受信すると、その通知信号によって示される音量の警告音をスピーカ２４２から出力させ、さらに、その通知信号によって示される振動パラメータにしたがってバイブレータ２４３を振動させる。

このように、本実施の形態における通知処理部１３３は、搭乗判定部１３１によって搭乗不可が判定結果として判定された場合、搭乗不可が判定されたときからの経過時間を特定し、搭乗不可を継続的に通知するための通知態様をその経過時間に応じて変化させる。なお、上述のように予め定められた周期で通知信号が送信される場合は、通知処理部１３３によって経過時間が特定されて、継続的な通知が行われている。具体的には、通知態様は、端末装置２００から出力される音および端末装置２００の振動のうちの少なくとも一方によって表現される。そして、通知処理部１３３は、その経過時間が長いほど音および振動のうちの少なくとも一方が大きくなるように、経過時間に応じて通知態様を変化させる。

これにより、経過時間に応じて通知態様が変化するため、車両１０への搭乗ができないことをユーザｘに容易に気付かせることができる。つまり、当初の音または振動による通知によってユーザｘが搭乗不可に気付かなくても、経過時間に応じてその音または振動が大きくなる。その結果、通知に気付き難いユーザｘに対しても、車両１０への搭乗ができないことをより明確に伝えることができ、車両１０に搭乗しないように強く注意喚起することができる。

通知ＩＤ「ＩＤ－００４」の追加通知では、車両１０の状況が定期的に繰り返して通知される。そして、搭乗不可が判定されたときからの経過時間が長くなるほど、その通知が繰り返される周期が短くなる。

具体的には、セキュリティ装置１００の通知方法決定部１３２は、搭乗判定部１３１によって搭乗不可が判定結果として判定された場合には、通知ＩＤ「ＩＤ－０００」の通知
方法だけでなく、通知ＩＤ「ＩＤ－００４」の通知方法も選択する。そして、通知処理部１３３は、通常通知を行った後に、さらに、その選択された通知方法の追加通知を行う。追加通知では、通知処理部１３３は、まず、予め定められた周期で上述の通知信号を、第２通信部１１５を介して端末装置２００に送信する。そして、通知処理部１３３は、経過時間が長くなるほど、その周期を短くする。

このように、本実施の形態では、通知態様は、端末装置２００から繰り返し出力される音と、繰り返し発生する端末装置２００の振動とのうちの少なくとも一方の周期によって表現される。そして、通知処理部１３３は、経過時間が長いほどその周期が短くなるように、経過時間に応じて通知態様を変化させる。

これにより、当初の周期にしたがった音または振動による通知によってユーザｘが搭乗不可に気付かなくても、経過時間に応じてその音または振動の周期が短くなる。その結果、通知に気付き難いユーザｘに対しても、車両１０への搭乗ができないことをより明確に伝えることができ、車両１０に搭乗しないように強く注意喚起することができる。

本実施の形態における通知方法決定部１３２は、通知方法情報ｂ１によって示される複数の追加通知の通知方法から、例えばサイバー攻撃の種類、危険度、ダメージの大きさ、攻撃箇所などに応じて、１つの通知方法を選択してもよい。また、通知方法決定部１３２は、ユーザｘによって設定されている通知方法を選択してもよい。

また、本実施の形態における通知処理部１３３は、端末装置２００からのアンサーバック信号に応じて、継続して行われている上述の通知態様による搭乗不可の通知を停止するする。なお、搭乗不可の通知は、上述の車両１０の状況の通知である。

これにより、ユーザｘは、搭乗不可に気付いた後には、端末装置２００からアンサーバック信号を送信させて、その通知を停止させることができる。その結果、無駄な通知を省くことができ、セキュリティ装置１００および端末装置２００の処理負担を軽減させることができる。

移動サポート一覧情報ｂ２は、セキュリティ装置１００の搭乗判定部１３１によって搭乗不可と判定された場合に、車両１０以外の移動手段をユーザｘに提示するための情報である。移動手段は、タクシー、代車、公共交通機関などである。

移動サポート一覧情報ｂ２は、例えば、移動手段ごとに、その移動手段のサポートＩＤ、その移動手段に関連する会社名、住所、場所、電話番号、メールアドレス、およびＵＲＬを示す。例えば、サポートＩＤ「ＳＰ－００１」に関連付けられている情報は、タクシー会社に関する情報である。サポートＩＤ「ＳＰ－００２」に関連付けられている情報は、代車を手配する会社に関する情報である。サポートＩＤ「ＳＰ－００３」に関連付けられている情報は、公共交通機関に関する情報である。

セキュリティ装置１００の通知処理部１３３は、ユーザｘによる端末装置２００の入力部２４４への入力操作に応じて、移動サポート一覧情報ｂ２に示されている移動手段の情報を移動サポート情報として、第２通信部１１５を介して端末装置２００に送信する。

このように、本実施の形態における通知処理部１３３は、搭乗判定部１３１によって搭乗不可が判定結果として判定された場合、車両１０以外の移動手段に関する移動サポート情報を端末装置２００に通知する。具体的には、通知処理部１３３は、複数の移動手段のうち、ユーザｘによる端末装置２００への入力操作に応じて選択された移動手段に関する移動サポート情報を端末装置２００に通知する。

これにより、端末装置２００に移動サポート情報が通知されるため、ユーザｘは、車両１０以外の移動手段に関する情報をその端末装置２００から容易に知ることができる。その結果、ユーザｘは、車両１０に搭乗することなく、車両１０以外の移動手段を利用して移動することができる。したがって、ユーザｘの移動をサポートすることができる。また、ユーザｘは入力操作により所望の移動手段を選択して、その移動手段に関する情報を容易に知ることができる。したがって、ユーザｘの移動をさらにサポートすることができる。

図７は、車両１０の第１アカウント部１７に格納されている各情報の一例を示す図である。

第１アカウント部１７は、ユーザ情報ｃ１、車両情報ｃ２、およびセキュリティ装置情報ｃ３を格納している。

ユーザ情報ｃ１および車両情報ｃ２は、例えば、セキュリティ装置１００の第２アカウント部１１７に格納されているユーザ情報ａ１および車両情報ａ２と同一である。このようなユーザ情報ｃ１および車両情報ｃ２が、車両１０からセキュリティ装置１００に送信されて、そのセキュリティ装置１００の第２アカウント部１１７に格納される。

セキュリティ装置情報ｃ３は、セキュリティ装置１００に関する情報である。具体的には、セキュリティ装置情報ｃ３は、セキュリティ装置１００の装置ＩＤ、装置名、およびＩＰアドレスを示す。このようなセキュリティ装置情報ｃ３は、車両１０の第１通信部１５がセキュリティ装置１００に情報、データまたは信号を送信するときに用いられる。

図８は、セキュリティシステム１の処理動作の一例を示すシーケンス図である。図８に示す処理動作は、ユーザｘが車両１０に搭乗していないときに、車両１０がサイバー攻撃を受けたときの動作である。また、この処理動作では、セキュリティ装置１００による指示に基づいて車両１０がサイバー攻撃に対処し、端末装置２００には、搭乗可が通知される。

具体的には、まず、車両１０がサイバー攻撃を受ける（ステップＳ１）。車両１０のゲートウェイ１６は、そのサイバー攻撃を検知し、そのサイバー攻撃の内容を確認する。そして、ゲートウェイ１６は、サイバー攻撃の内容に基づいて、車両１０だけではそのサイバー攻撃への対処ができないと判断すると、セキュリティ装置１００に対する対処要望の通知を決定する（ステップＳ２）。そして、ゲートウェイ１６は、第１通信部１５を介して対処要望をセキュリティ装置１００に通知する（ステップＳ３）。

セキュリティ装置１００の分析部１３５は、第２通信部１１５がステップＳ３の対処要望の通知を受けると、その対処要望に示されるサイバー攻撃の内容を確認して分析する。対処指示部１３６は、分析部１３５によるサイバー攻撃の内容の分析結果に基づいて、そのサイバー攻撃への対処方法を決定する。また、搭乗判定部１３１は、分析部１３５による分析結果と、対処指示部１３６によって決定された対処方法などに基づいて、ユーザｘが車両１０に搭乗することができるか否かを判定する（ステップＳ４）。すなわち、搭乗判定部１３１は、搭乗可か搭乗否か（言い換えれば、搭乗可能か搭乗不可か）を判定する。ここでは、搭乗判定部１３１は、搭乗可と判定する。

セキュリティ装置１００の通知処理部１３３は、第２通信部１１５を介して車両１０の状況を端末装置２００に通知する（ステップＳ５）。この車両１０の状況の通知は、上述の通常通知だけで行われてもよく、通常通知および追加通知によって行われてもよい。ま
た、その車両１０の状況には、車両１０に対してサイバー攻撃が行われたが、車両１０には搭乗できること、すなわち搭乗可が含まれている。端末装置２００の制御部２０１は、第３通信部２１５がステップＳ５の通知を受けると、通知された車両１０の状況を示す状況通知画像を表示部２４１に表示する（ステップＳ６）。このとき、制御部２０１は、さらに、スピーカ２４２およびバイブレータ２４３を制御することによって、警告音の出力と端末装置２００の振動とを実行させる。

セキュリティ装置１００の対処指示部１３６は、決定された対処方法による対処を車両１０に指示する（ステップＳ７）。対処方法は、例えば、ＥＣＵ１１～１４の何れかに用いられているプログラムの修復であって、具体的な一例では、そのプログラムにパッチを当てることである。なお、パッチは、修正プログラム、アップデートプログラムとも呼ばれる。つまり、対処指示部１３６は、パッチと、そのパッチに基づくプログラムの修復の命令信号とを、第２通信部１１５を介して車両１０に送信する。車両１０のゲートウェイ１６は、第１通信部１５がそのパッチおよび命令信号を受信すると、そのパッチを用いてプログラムの修復を行う。つまり、車両１０は、対処指示部１３６によって決定された対処方法による対処を行う（ステップＳ８）。ゲートウェイ１６は、その対処が完了すると、第１通信部１５を介してその対処結果をセキュリティ装置１００に通知する（ステップＳ９）。

セキュリティ装置１００の通知処理部１３３は、第２通信部１１５がステップＳ９の通知を受けると、対処結果を確認し、その対処結果を示す情報を例えばデータベース１３４に格納する（ステップＳ１０）。さらに、通知処理部１３３は、第２通信部１１５を介してその対処結果を端末装置２００に通知する（ステップＳ１１）。つまり、通知処理部１３３は、ユーザｘのメールアドレスに、その対処結果を示すメールを送信する。端末装置２００の制御部２０１は、第３通信部２１５がステップＳ１１の通知を受けると、対処結果を示す画像を対処結果画像として表示部２４１に表示する（ステップＳ１２）。

図９は、セキュリティシステム１の処理動作の他の例を示すシーケンス図である。図９に示す処理動作は、図８の例と同様、ユーザｘが車両１０に搭乗していないときに、車両１０がサイバー攻撃を受けたときの動作である。また、この処理動作では、セキュリティ装置１００による指示に基づいて車両１０がサイバー攻撃に対処し、端末装置２００には、図８の例と異なり、搭乗否が通知される。

具体的には、図８に示す例と同様、車両１０は、ステップＳ１～Ｓ３の処理動作を行う。セキュリティ装置１００の分析部１３５は、第２通信部１１５がステップＳ３の対処要望の通知を受けると、その対処要望に示されるサイバー攻撃の内容を確認して分析する。対処指示部１３６は、分析部１３５によるサイバー攻撃の内容の分析結果に基づいて、そのサイバー攻撃への対処方法を決定する。ここでは、対処方法には、プログラムの修復だけでなく、車両１０の始動停止も含まれる。また、搭乗判定部１３１は、分析部１３５によるサイバー攻撃の内容の分析結果と、対処指示部１３６によって決定された対処方法などに基づいて、ユーザｘが車両１０に搭乗することができるか否かを判定する（ステップＳ４）。ここでは、搭乗判定部１３１は、図８の例と異なり、搭乗否と判定する。

例えば、サイバー攻撃による被害が大きく、その対処に要する時間が長い場合に、搭乗判定部１３１は、搭乗否と判定する。被害の大きさは、サイバー攻撃を受けるＥＣＵの数であってもよく、サイバー攻撃を受けるＥＣＵまたはデバイスの種別によって特定されてもよい。対処に要する時間は、対処方法によって特定されてもよい。例えば、適用されるパッチのデータ量が大きいほど、長い時間が特定されてもよい。搭乗判定部１３１は、被害の大きさが閾値以上で、かつ、対処に要する時間が閾値以上であれば、車両１０に搭乗できない、すなわち搭乗否と判定してもよい。

セキュリティ装置１００の対処指示部１３６は、決定された対処方法による対処を車両１０に指示する（ステップＳ７）。つまり、対処指示部１３６は、車両１０の始動停止の命令信号、パッチと、そのパッチに基づくプログラムの修復の命令信号とを、第２通信部１１５を介して車両１０に送信する。車両１０のゲートウェイ１６は、第１通信部１５がそのパッチおよび命令信号を受信すると、まず、ＥＣＵ１１～１４のうちのエンジンまたはモータなどを制御するＥＣＵに対して、車両１０の始動を停止させる（ステップＳ２１）。つまり、ゲートウェイ１６は、車両１０が始動または走行しないように、ＥＣＵに対してエンジンまたはモータの駆動を禁止する。さらに、ゲートウェイ１６は、始動停止の命令信号にしたがって行われた処理結果を、第１通信部１５を介してセキュリティ装置１００に通知する（ステップＳ２２）。続いて、ゲートウェイ１６は、セキュリティ装置１００から送信されたパッチを用いてプログラムの修復を行う。つまり、車両１０は、対処指示部１３６によって決定された対処方法による対処を行う（ステップＳ８）。ゲートウェイ１６は、その対処が完了すると、第１通信部１５を介してその対処結果をセキュリティ装置１００に通知する（ステップＳ９）。

また、ステップＳ４の処理の後、セキュリティ装置１００の通知処理部１３３は、第２通信部１１５を介して車両１０の状況を端末装置２００に通知する（ステップＳ２３）。ステップＳ２３で行われる通知は、上述の通常通知だけで行われてもよく、通常通知および追加通知によって行われてもよい。また、その車両１０の状況には、車両１０に対してサイバー攻撃が行われ、車両１０には搭乗できないこと、すなわち搭乗否が含まれている。つまり、通知処理部１３３は、車両１０がサイバー攻撃を受けて車両１０への搭乗ができないことを示す状況通知画像を、メールなどによって端末装置２００に送信する。ここで、車両１０への搭乗ができないため、その状況通知画像には、他の移動手段のサポートを受け付けるためのサポート受付画像も含まれている。サポート受付画像は、具体的には、タクシー、代車、および公共交通機関などの複数の移動手段を示し、その複数の移動手段のうちの何れかの移動手段のサポートを受け付けるための画像である。

端末装置２００の制御部２０１は、第３通信部２１５がステップＳ２３の通知を受けると、通知された車両１０の状況を示す状況通知画像を表示部２４１に表示する（ステップＳ２４）。つまり、車両１０の状況を示す画像とサポート受付画像とが表示される。このとき、制御部２０１は、さらに、スピーカ２４２およびバイブレータ２４３を制御することによって、警告音の出力と端末装置２００の振動とを実行させる。なお、通知される車両１０の状況は搭乗否を含むため、このときの警告音の音量および端末装置２００の振動は、図８のステップＳ６のときの音量および振動よりも大きくてもよい。また、ユーザｘは、その状況通知画像を見ることによって、車両１０がサイバー攻撃を受けて車両１０に搭乗することができないことを把握する。さらに、ユーザｘは、サポート受付画像に示されている複数の移動手段から、希望する１つの移動手段を選択する。例えば、ユーザｘは、移動手段としてタクシーを選択する。この選択は、入力部２４４に対する入力操作によって行われる。このような選択が行われると、制御部２０１は、第３通信部２１５を介して、その選択された移動手段のサポートをセキュリティ装置１００に要求する（ステップＳ２５）。

セキュリティ装置１００の通知処理部１３３は、第２通信部１１５が移動手段のサポートの要求を受け付けると、データベース１３４に格納されている移動サポート一覧情報ｂ２を参照する。そして、通知処理部１３３は、その移動サポート一覧情報ｂ２から、その要求された移動手段に対応する移動サポート情報を決定する（ステップＳ２６）。例えば、通知処理部１３３は、移動サポート一覧情報ｂ２のうち、サポートＩＤ「ＳＰ－００１」に関連付けられている会社名、住所、場所、電話番号、メールアドレスおよびＵＲＬを移動サポート情報として決定する。そして、通知処理部１３３は、その決定された移動サ
ポート情報を、第２通信部１１５を介して端末装置２００に送信する（ステップＳ２７）。端末装置２００の制御部２０１は、第３通信部２１５がその移動サポート情報を受信すると、その移動サポート情報を表示部２４１に表示する（ステップＳ２８）。

また、セキュリティ装置１００の通知処理部１３３は、第２通信部１１５がステップＳ９の通知を受けると、ステップＳ８の対処結果を確認し、その対処結果を示す情報を例えばデータベース１３４に格納する（ステップＳ１０）。そして、対処指示部１３６は、車両１０の始動停止解除の命令信号を、第２通信部１１５を介して車両１０に送信する（ステップＳ２９）。つまり、対処指示部１３６は、始動停止の解除を車両１０に指示する。車両１０のゲートウェイ１６は、第１通信部１５がその命令信号を受信すると、始動停止の命令信号にしたがった動作をしているＥＣＵに対して、その始動停止を解除させる（ステップＳ３０）。つまり、始動禁止が解除される。さらに、ゲートウェイ１６は、始動停止解除の命令信号にしたがって行われた処理結果を、第１通信部１５を介してセキュリティ装置１００に通知する（ステップＳ３１）。

セキュリティ装置１００の通知処理部１３３は、第２通信部１１５がステップＳ３１の通知を受けると、第２通信部１１５を介して対処結果を端末装置２００に通知する（ステップＳ３２）。つまり、通知処理部１３３は、ユーザｘのメールアドレスに、その対処結果を示すメールを送信する。その対処結果には、車両１０への搭乗が可能であることが含まれている。端末装置２００の制御部２０１は、第３通信部２１５がステップＳ３２の通知を受けると、その対処結果を示す画像を対処結果画像として表示部２４１に表示する（ステップＳ３３）。

図９に示す例のように、本実施の形態における対処指示部１３６は、サイバー攻撃への対処の指示では、車両１０の始動停止をその車両１０に指示する。これにより、車両１０の始動が行われないため、ユーザｘの意図と異なる車両１０の走行を抑制し、安全性を高めることができる。さらに、対処指示部１３６は、車両１０においてサイバー攻撃への対処が行われた場合、車両１０の始動停止の解除をその車両１０に指示する。これにより、サイバー攻撃への対処が行われた後には、車両１０の始動停止が解除されるため、安全性を担保しながらユーザｘの意図に沿った車両１０の走行を実現することができる。

図１０は、セキュリティシステム１の処理動作の他の例を示すシーケンス図である。図１０に示す処理動作は、図８および図９の例と同様、ユーザｘが車両１０に搭乗していないときに、車両１０がサイバー攻撃を受けたときの動作である。また、この処理動作では、図８および図９の例と異なり、セキュリティ装置１００からの指示を受けることなく車両１０がサイバー攻撃に対処し、端末装置２００には、搭乗可が通知される。

具体的には、まず、車両１０がサイバー攻撃を受ける（ステップＳ１）。車両１０のゲートウェイ１６は、そのサイバー攻撃を検知し、そのサイバー攻撃の内容を確認する。そして、ゲートウェイ１６は、サイバー攻撃の内容に基づいて、セキュリティ装置１００からの指示を受けることなく車両１０だけでそのサイバー攻撃への対処ができると判断し、その対処を行う。さらに、ゲートウェイ１６は、対処結果の通知先を、セキュリティ装置１００および端末装置２００に決定する（ステップＳ２）。対処結果は、例えば、車両１０がサイバー攻撃を受けたこと、そのサイバー攻撃への対処が行われたこと、車両１０への搭乗が可能であることなどを示す。

次に、ゲートウェイ１６は、ステップＳ２で決定された通知先である端末装置２００に、第１通信部１５を介して対処結果を通知する（ステップＳ４１）。端末装置２００の制御部２０１は、第３通信部２１５がステップＳ４１の通知を受けると、その対処結果を示す画像を対処結果画像として表示部２４１に表示する（ステップＳ４２）。

さらに、ゲートウェイ１６は、ステップＳ２で決定された通知先であるセキュリティ装置１００に、第１通信部１５を介して対処結果を通知する（ステップＳ４３）。セキュリティ装置１００の通知処理部１３３は、第２通信部１１５がステップＳ４３の通知を受けると、その対処結果を確認し、その対処結果を示す情報を例えばデータベース１３４に格納する（ステップＳ４４）。

なお、図１０の例では、端末装置２００には搭乗可が通知されるが、搭乗否が通知されてもよい。この場合には、車両１０は、搭乗可を含む対処結果を端末装置２００に通知する前に、搭乗否を含む車両１０の状況を端末装置２００に通知する。

図１１は、車両１０の処理動作の一例を示すフローチャートである。具体的には、図１１のフローチャートは、ゲートウェイ１６の処理動作の一例を示す。

まず、ゲートウェイ１６は、ユーザｘが車両１０に搭乗していないときに、サイバー攻撃を確認する（ステップＳ１０１）。例えば、ゲートウェイ１６は、ＥＣＵ１１～１４のうちの少なくとも１つによってユーザｘが車両１０に搭乗していないと判定されているときに、サイバー攻撃を受けたことを検知する。

そして、ゲートウェイ１６は、そのサイバー攻撃の内容に基づいて、セキュリティ装置１００からの指示を受けることなく車両１０だけでそのサイバー攻撃への対処ができるか否かを判定する（ステップＳ１０２）。ここで、ゲートウェイ１６は、対処できると判定すると（ステップＳ１０２のＹｅｓ）、サイバー攻撃への対処を行い（ステップＳ１０３）、その対処結果の通知先をセキュリティ装置１００および端末装置２００に決定する（ステップＳ１０４）。そして、ゲートウェイ１６は、その決定された通知先であるセキュリティ装置１００および端末装置２００に、第１通信部１５を介して対処結果を通知する（ステップＳ１０５）。

一方、ゲートウェイ１６は、対処できないと判定すると（ステップＳ１０２のＮｏ）、通知先をセキュリティ装置１００のみに決定する（ステップＳ１０６）。そして、ゲートウェイ１６は、その決定された通知先であるセキュリティ装置１００に、第１通信部１５を介して対処要望を通知する（ステップＳ１０７）。

さらに、ゲートウェイ１６は、ステップＳ１０７の処理の後、セキュリティ装置１００からの指示にしたがってサイバー攻撃への対処を行い（ステップＳ１０８）、第１通信部１５を介してその対処結果をセキュリティ装置１００に通知する（ステップＳ１０９）。

図１２は、セキュリティ装置１００の処理動作の一例を示すフローチャートである。

セキュリティ装置１００の第２通信部１１５は、ユーザｘが車両１０に搭乗していないときに、サイバー攻撃の対処要望の通知を車両１０から受ける（ステップＳ２０１）。分析部１３５は、その通知によって示されるサイバー攻撃の内容を確認して分析し、対処指示部１３６は、その分析結果に基づいて、そのサイバー攻撃への対処方法を決定する（ステップＳ２０２）。搭乗判定部１３１は、そのサイバー攻撃の分析結果、および決定された対処方法などに基づいて、ユーザｘが車両１０に搭乗することができるか否かを判定する（ステップＳ２０３）。なお、対処要望には、車両１０の搭乗状況が示されているため、搭乗判定部１３１は、車両１０にユーザｘが搭乗していないことを把握した上で、ユーザｘが車両１０に搭乗することができるか否かを判定することができる。

ここで、搭乗することができると搭乗判定部１３１によって判定されると（ステップＳ
２０３のＹｅｓ）、通知処理部１３３は、第２通信部１１５を介して端末装置２００に車両１０の状況を通知する（ステップＳ２０４）。つまり、車両１０がサイバー攻撃を受けたが、車両１０への搭乗は可能であることが端末装置２００に通知される。さらに、対処指示部１３６は、ステップＳ２０２で決定された対処方法による対処を、第２通信部１１５を介して車両１０に指示する（ステップＳ２０５）。そして、通知処理部１３３は、第２通信部１１５を介して端末装置２００に対処結果を通知する（ステップＳ２０６）。

一方、搭乗することができないと搭乗判定部１３１によって判定されると（ステップＳ２０３のＮｏ）、対処指示部１３６は、ステップＳ２０２で決定された対処方法による対処を、第２通信部１１５を介して車両１０に指示する（ステップＳ２０７）。この対処には、プログラムの修復だけでなく、車両１０の始動停止も含まれてもよい。そして、通知処理部１３３は、第２通信部１１５を介して端末装置２００に車両１０の状況を通知する（ステップＳ２０８）。つまり、車両１０がサイバー攻撃を受け、車両１０への搭乗が不可であることが端末装置２００に通知される。この通知は、上述のサポート受付画像を含む状況通知画像によって行われてもよい。

さらに、通知処理部１３３は、ステップＳ２０８の通知が行われた後、移動手段のサポートの要求を第２通信部１１５が受け付けたか否かを判定する（ステップＳ２０９）。ここで、受け付けたと判定すると（ステップＳ２０９のＹｅｓ）、通知処理部１３３は、その要求に応じた移動サポート情報を、第２通信部１１５を介して端末装置２００に送信する（ステップＳ２１０）。そして、通知処理部１３３は、移動手段のサポートの要求を第２通信部１１５が受け付けていないと判定すると（ステップＳ２０９のＮｏ）、あるいは、ステップＳ２１０の送信が行われた後、第２通信部１１５を介して対処結果を端末装置２００に通知する（ステップＳ２１１）。なお、ステップＳ２０７で、始動停止を含む対処が車両１０に指示された場合には、対処指示部１３６は、対処が行われた後、ステップＳ２１１の処理の前に、その始動停止の解除を車両１０に指示する。

図１３は、状況通知画像および対処結果画像の一例を示す図である。なお、図１３の状況通知画像および対処結果画像は、サイバー攻撃に対して車両１０だけで対処することができず、搭乗否が判定される場合に表示される画像である。

例えば、セキュリティ装置１００の通知処理部１３３は、サイバー攻撃を受けた車両１０の状況を端末装置２００に通知する。端末装置２００は、その通知に応じて、図１３の（ａ）に示すように、状況通知画像Ｐ１を表示部２４１に表示する。このような状況通知画像Ｐ１は、図９のステップＳ２４において表示される。

状況通知画像Ｐ１は、車両１０がサイバー攻撃を受けたこと、運転に支障が生じたこと、車両１０への搭乗ができないこと、車両１０の車両ナンバー、車両１０が始動停止されていること、対処が行われていること、車両回復予定時刻などを示す。また、状況通知画像Ｐ１は、サポート受付画像Ｐａ１を含む。

具体的には、通知処理部１３３は、分析部１３５による分析結果および搭乗判定部１３１による判定結果に基づいて、車両１０への搭乗ができず、運転に支障が生じていることを把握する。さらに、通知処理部１３３は、第２アカウント部１１７の車両情報ａ２を参照することによって、車両１０の車両ナンバーを特定する。さらに、通知処理部１３３は、対処指示部１３６によって決定される対処方法を把握し、その対処方法にしたがって車両回復予定時刻を算出する。そして、通知処理部１３３は、把握、特定および算出された情報を示す上述の状況通知画像Ｐ１を生成する。また、通知処理部１３３は、車両回復予定時刻が現在時刻から所定時間先の時刻であれば、その状況通知画像Ｐ１にサポート受付画像Ｐａ１を含める。その所定時間は、１分であってもよく、５分または１０分であって
もよく、これらに限定されなくてもよい。なお、所定時間は０分であってもよい。

サポート受付画像Ｐａ１は、移動手段のサポートを受け付けるためのボタンＢｔ１、Ｂｔ２、およびＢｔ３を含む。ユーザｘによる入力部２４４への入力操作によってボタンＢｔ１が選択されると、端末装置２００の制御部２０１は、第３通信部２１５を介してセキュリティ装置１００に、代車手配のサポートを要求する。この場合、通知処理部１３３は、データベース１３４の移動サポート一覧情報ｂ２を参照し、サポートＩＤ「ＳＰ－００２」に関連付けられている情報を移動サポート情報として特定する。つまり、会社名「ＬＭＮ代行」、住所「ａａａ」、電話番号「ｃｃｃ」などの情報が移動サポート情報として特定される。通知処理部１３３は、第２通信部１１５を介して端末装置２００にその移動サポート情報を送信する。これにより、端末装置２００の表示部２４１に、その移動サポート情報が表示される。

また、ユーザｘによる入力部２４４への入力操作によってボタンＢｔ２が選択されると、端末装置２００の制御部２０１は、第３通信部２１５を介してセキュリティ装置１００に、タクシーのサポートを要求する。この場合、通知処理部１３３は、データベース１３４の移動サポート一覧情報ｂ２を参照し、サポートＩＤ「ＳＰ－００１」に関連付けられている情報を移動サポート情報として特定する。つまり、会社名「ＡＢＣタクシー」、住所「ＲＲＲ」、電話番号「ＴＴＴ」などの情報が移動サポート情報として特定される。通知処理部１３３は、第２通信部１１５を介して端末装置２００にその移動サポート情報を送信する。これにより、端末装置２００の表示部２４１に、その移動サポート情報が表示される。

また、ユーザｘによる入力部２４４への入力操作によってボタンＢｔ３が選択されると、端末装置２００の制御部２０１は、第３通信部２１５を介してセキュリティ装置１００に、公共交通機関のサポートを要求する。この場合、通知処理部１３３は、データベース１３４の移動サポート一覧情報ｂ２を参照し、サポートＩＤ「ＳＰ－００３」に関連付けられている情報を移動サポート情報として特定する。つまり、会社名「ＸＹＺ案内」、ＵＲＬ「ｆｆｆ」などの情報が移動サポート情報として特定される。通知処理部１３３は、第２通信部１１５を介して端末装置２００にその移動サポート情報を送信する。これにより、端末装置２００の表示部２４１に、例えば公共交通機関の乗換案内などのＵＲＬが移動サポート情報として表示される。

このように、本実施の形態における通知処理部１３３は、搭乗判定部１３１によって搭乗不可が判定結果として判定された場合、車両１０以外の移動手段に関する移動サポート情報を端末装置２００に通知する。これにより、端末装置２００に移動サポート情報が通知されるため、ユーザｘは、車両１０以外の移動手段に関する情報をその端末装置２００から容易に知ることができる。その結果、ユーザｘは、車両１０に搭乗することなく、車両１０以外の移動手段を利用して移動することができる。したがって、ユーザｘの移動をサポートすることができる。具体的には、通知処理部１３３は、複数の移動手段のうち、ユーザｘによる端末装置２００への入力操作に応じて選択された移動手段に関する移動サポート情報を端末装置２００に通知する。これより、ユーザｘは入力操作により所望の移動手段を選択して、その移動手段に関する情報を容易に知ることができる。したがって、ユーザｘの移動をさらにサポートすることができる。

ここで、状況通知画像Ｐ１は、さらに、ボタンＢｔを含んでいる。ボタンＢｔは、上述のアンサーバック信号を送信するためのボタンであって、車両１０の状況を確認したことをセキュリティ装置１００に通知するための、いわゆる確認ボタンである。ユーザｘによる入力部２４４への入力操作によってボタンＢｔが選択されると、端末装置２００の制御部２０１は、第３通信部２１５を介してセキュリティ装置１００に、アンサーバック信号
を送信する。これにより、継続的に行われる上述の追加通知が停止される。

車両１０のサイバー攻撃への対処が完了すると、セキュリティ装置１００の通知処理部１３３は、第２通信部１１５を介して対処結果を端末装置２００に通知する。端末装置２００は、その通知に応じて、図１３の（ｂ）に示すように、対処結果画像Ｐ２を表示部２４１に表示する。このような対処結果画像Ｐ２は、図９のステップＳ３３において表示される。対処結果画像Ｐ２は、車両１０のサイバー攻撃への対処が完了したこと、搭乗ができること、車両１０の車両ナンバー、車両１０の始動が可能であること、などを示す。

図１４は、状況通知画像および対処結果画像の他の例を示す図である。なお、図１４の状況通知画像および対処結果画像は、図１３の例と同様、サイバー攻撃に対して車両１０だけで対処することができず、搭乗否が判定される場合に表示される画像である。また、図１４の例では、車両１０は、自動運転機能を有する。したがって、その自動運転機能に対してサイバー攻撃が行われた場合には、車両１０は、ユーザｘの意思に関わらず勝手に走行する可能性がある。なお、車両１０は、始動停止の命令信号を受けた場合でも、走行する可能性がある。

このような場合、端末装置２００は、セキュリティ装置１００からの車両１０の状況の通知に応じて、図１４の（ａ）に示す状況通知画像Ｐ１を表示部２４１に表示する。このような状況通知画像Ｐ１は、図９のステップＳ２４において表示される。図１４の（ａ）に示す状況通知画像Ｐ１は、車両１０の自動運転機能がサイバー攻撃を受けたこと、危険があるため車両１０に近づいてはいけないこと、車両１０への搭乗ができないこと、対処が行われていること、車両１０の車両ナンバー、車両回復予定時刻などを示す。また、状況通知画像Ｐ１は、図１３の例と同様、サポート受付画像Ｐａ１を含む。

具体的には、通知処理部１３３は、分析部１３５による分析結果に基づいて、サイバー攻撃の標的が車両１０の自動運転機能であって、危険があるため車両１０に近づいてはいけないことを把握する。さらに、通知処理部１３３は、搭乗判定部１３１による判定結果に基づいて、車両１０への搭乗ができないことを把握する。そして、通知処理部１３３は、その把握された情報を示す上述の状況通知画像Ｐ１を生成する。なお、この状況通知画像Ｐ１は、図１３の例と同様、ボタンＢｔおよびサポート受付画像Ｐａ１を含む。

車両１０のサイバー攻撃への対処が完了すると、セキュリティ装置１００の通知処理部１３３は、第２通信部１１５を介して対処結果を端末装置２００に通知する。端末装置２００は、その通知に応じて、図１４の（ｂ）に示すように、対処結果画像Ｐ２を表示部２４１に表示する。このような対処結果画像Ｐ２は、図９のステップＳ３３において表示される。この対処結果画像Ｐ２は、車両１０のサイバー攻撃への対処が完了したこと、搭乗ができること、車両１０の車両ナンバーなどを示す。

なお、車両１０の自動運転機能に対してサイバー攻撃が行われた場合には、セキュリティ装置１００の対処指示部１３６は、そのサイバー攻撃への対処の１つとして、車両１０の全てのドアの開錠を禁止してもよい。これにより、ユーザｘの危険な車両１０への搭乗を効果的に抑制することができる。

図１５は、状況通知画像および対処結果画像の他の例を示す図である。なお、図１５の状況通知画像および対処結果画像は、サイバー攻撃に対して車両１０だけで対処することができなくても、搭乗可が判定される場合に表示される画像である。また、図１５の例では、車両１０に搭載されているカーナビゲーション装置（以下、カーナビとも呼ばれる）がサイバー攻撃を受ける。カーナビへのサイバー攻撃では、車両１０の運転制御機能に支障は生じない。なお、運転制御機能は、走る、曲がる、止まるなどの機能である。あるい
は、カーナビへのサイバー攻撃による被害は小さい、または、カーナビへのサイバー攻撃による運転制御機能への影響は小さいとも言える。したがって、そのカーナビに対してサイバー攻撃が行われた場合には、ユーザｘは、車両１０に搭乗してもよい。

そこで、セキュリティ装置１００の通知処理部１３３は、サイバー攻撃を受けた車両１０の状況として、搭乗可能であることを端末装置２００に通知する。端末装置２００は、その通知に応じて、図１５の（ａ）に示すように、状況通知画像Ｐ１を表示部２４１に表示する。このような状況通知画像Ｐ１は、図８のステップＳ６において表示される。図１５の（ａ）に示すように、状況通知画像Ｐ１は、車両１０がサイバー攻撃を受けたこと、車両１０のカーナビの操作ができないこと、車両１０への搭乗ができること、車両１０の車両ナンバーなどを示す。

具体的には、通知処理部１３３は、分析部１３５による分析結果に基づいて、サイバー攻撃がカーナビに対して行われたこと、カーナビの操作ができないこと、などを把握する。さらに、通知処理部１３３は、搭乗判定部１３１による判定結果に基づいて、サイバー攻撃による運転制御機能への影響が小さいため車両１０への搭乗ができること、などを把握する。さらに、通知処理部１３３は、車両１０の車両ナンバーを特定する。そして、通知処理部１３３は、把握および特定された情報を示す上述の状況通知画像Ｐ１を生成する。

車両１０のサイバー攻撃への対処が完了すると、セキュリティ装置１００の通知処理部１３３は、第２通信部１１５を介して対処結果を端末装置２００に通知する。端末装置２００は、その通知に応じて、図１５の（ｂ）に示すように、対処結果画像Ｐ２を表示部２４１に表示する。このような対処結果画像Ｐ２は、図８のステップＳ１２において表示される。対処結果画像Ｐ２は、車両１０のサイバー攻撃への対処が完了したこと、車両１０の車両ナンバー、などを示す。

なお、図１５に示す状況通知画像Ｐ１および対処結果画像Ｐ２は、セキュリティ装置１００からの指示を受けることなく車両１０だけでサイバー攻撃への対処が行われる場合にも表示されてもよい。つまり、図１０のステップＳ２の処理のうちの対処が行われる前に、車両１０が車両１０の状況を端末装置２００に通知し、端末装置２００は、その通知に応じて、図１５の（ａ）に示す状況通知画像Ｐ１を表示してもよい。そして、図１０のステップＳ４２において、端末装置２００は、図１５の（ｂ）に示す対処結果画像Ｐ２を表示してもよい。

図１６は、状況通知画像および対処結果画像の他の例を示す図である。なお、図１６の状況通知画像および対処結果画像は、図１５の例と同様、サイバー攻撃に対して車両１０だけで対処することができなくても、搭乗可が判定される場合に表示される画像である。また、図１６の例では、車両１０に搭載されている走行記録装置がサイバー攻撃を受ける。走行記録装置は、車両１０が走行した距離を記録して表示する装置である。この走行記録装置へのサイバー攻撃では、車両１０の運転制御機能に支障は生じない。あるいは、走行記録装置へのサイバー攻撃による被害は小さい、または、走行記録装置へのサイバー攻撃による運転制御機能への影響は小さいとも言える。したがって、その走行記録装置に対してサイバー攻撃が行われた場合には、ユーザｘは、車両１０に搭乗してもよい。

そこで、セキュリティ装置１００の通知処理部１３３は、サイバー攻撃を受けた車両１０の状況として、搭乗可能であることを端末装置２００に通知する。端末装置２００は、その通知に応じて、図１６の（ａ）に示すように、状況通知画像Ｐ１を表示部２４１に表示する。このような状況通知画像Ｐ１は、図８のステップＳ６において表示される。図１６の（ａ）に示すように、状況通知画像Ｐ１は、車両１０がサイバー攻撃を受けたこと、
表示されている走行距離は正しくないこと、車両１０への搭乗ができること、車両１０の車両ナンバーなどを示す。

具体的には、通知処理部１３３は、分析部１３５による分析結果に基づいて、サイバー攻撃が走行記録装置に対して行われたこと、走行記録装置の表示が正しくないこと、などを把握する。さらに、通知処理部１３３は、搭乗判定部１３１による判定結果に基づいて、サイバー攻撃による運転制御機能への影響が小さいため車両１０への搭乗ができること、などを把握する。さらに、通知処理部１３３は、車両１０の車両ナンバーを特定する。そして、通知処理部１３３は、把握および特定された情報を示す上述の状況通知画像Ｐ１を生成する。

車両１０のサイバー攻撃への対処が完了すると、セキュリティ装置１００の通知処理部１３３は、第２通信部１１５を介して対処結果を端末装置２００に通知する。端末装置２００は、その通知に応じて、図１６の（ｂ）に示すように、対処結果画像Ｐ２を表示部２４１に表示する。このような対処結果画像Ｐ２は、図８のステップＳ１２において表示される。対処結果画像Ｐ２は、図１５の（ｂ）の例と同様の画像であってもよく、その例と異なる画像であってもよい。

なお、図１６に示す状況通知画像Ｐ１および対処結果画像Ｐ２は、図１５の例と同様、セキュリティ装置１００からの指示を受けることなく車両１０だけでサイバー攻撃への対処が行われる場合にも表示されてもよい。つまり、図１０のステップＳ２の処理のうちの対処が行われる前に、車両１０が車両１０の状況を端末装置２００に通知し、端末装置２００は、その通知に応じて、図１６の（ａ）に示す状況通知画像Ｐ１を表示してもよい。そして、図１０のステップＳ４２において、端末装置２００は、図１６の（ｂ）に示す対処結果画像Ｐ２を表示してもよい。

図１７は、状況通知画像および対処結果画像の他の例を示す図である。なお、図１７の状況通知画像および対処結果画像は、図１５および図１６の例と同様、サイバー攻撃に対して車両１０だけで対処することができなくても、搭乗可が判定される場合に表示される画像である。また、図１７の例では、サイバー攻撃によって車両１０のドアが開錠する。このドアの鍵へのサイバー攻撃では、車両１０の運転制御機能に支障は生じない。あるいは、ドアの鍵へのサイバー攻撃による被害は小さい、または、ドアの鍵へのサイバー攻撃による運転制御機能への影響は小さいとも言える。したがって、その鍵に対してサイバー攻撃が行われた場合には、ユーザｘは、車両１０に搭乗してもよい。

そこで、セキュリティ装置１００の通知処理部１３３は、サイバー攻撃を受けた車両１０の状況として、搭乗可能であることを端末装置２００に通知する。端末装置２００は、その通知に応じて、図１７の（ａ）に示すように、状況通知画像Ｐ１を表示部２４１に表示する。このような状況通知画像Ｐ１は、図８のステップＳ６において表示される。図１７の（ａ）に示すように、状況通知画像Ｐ１は、車両１０がサイバー攻撃を受けたこと、ドアが開錠されていること、車両１０への搭乗ができること、車両１０の鍵を早急に確認する必要があること、車両１０の車両ナンバー、などを示す。さらに、状況通知画像Ｐ１は、セキュリティ関連の連絡先画像Ｐａ２を含む。連絡先画像Ｐａ２は、セキュリティ関連の各機関にサイバー攻撃の被害を通知していることと、各機関に関する情報とを示す。各機関に関する情報は、その機関の名称（すなわち会社名）、電話番号、メールアドレスなどである。

具体的には、通知処理部１３３は、分析部１３５による分析結果に基づいて、サイバー攻撃がドアの鍵に対して行われたこと、ドアが開錠されたこと、などを把握する。さらに、通知処理部１３３は、搭乗判定部１３１による判定結果に基づいて、サイバー攻撃によ
る運転制御機能への影響が小さいため車両１０への搭乗ができること、などを把握する。さらに、通知処理部１３３は、車両１０の車両ナンバーを特定する。そして、通知処理部１３３は、把握および特定された情報を示す上述の状況通知画像Ｐ１を生成する。さらに、通知処理部１３３は、第２アカウント部１１７の連絡先情報ａ３を参照し、その連絡先情報ａ３の全てまたは一部を示す連絡先画像Ｐａ２を生成し、その連絡先画像Ｐａ２を状況通知画像Ｐ１に含める。

車両１０のサイバー攻撃への対処が完了すると、セキュリティ装置１００の通知処理部１３３は、第２通信部１１５を介して対処結果を端末装置２００に通知する。端末装置２００は、その通知に応じて、図１７の（ｂ）に示すように、対処結果画像Ｐ２を表示部２４１に表示する。このような対処結果画像Ｐ２は、図８のステップＳ１２において表示される。対処結果画像Ｐ２は、図１５の（ｂ）および図１６の（ｂ）の例と同様の画像であってもよく、それらの例と異なる画像であってもよい。

なお、図１７に示す状況通知画像Ｐ１および対処結果画像Ｐ２は、図１５および図１６の例と同様、セキュリティ装置１００からの指示を受けることなく車両１０だけでサイバー攻撃への対処が行われる場合にも表示されてもよい。つまり、図１０のステップＳ２の処理のうちの対処が行われる前に、車両１０が車両１０の状況を端末装置２００に通知し、端末装置２００は、その通知に応じて、図１７の（ａ）に示す状況通知画像Ｐ１を表示してもよい。そして、図１０のステップＳ４２において、端末装置２００は、図１７の（ｂ）に示す対処結果画像Ｐ２を表示してもよい。

以上、本実施の形態におけるセキュリティ装置１００は、ユーザｘが搭乗していない車両１０がサイバー攻撃を受けた場合に、その車両１０へのユーザｘの搭乗が可能か否かを判定する。そして、セキュリティ装置１００は、ユーザｘの搭乗が可能か否かの判定結果を、その車両１０の外部にあってユーザｘに利用される端末装置２００に通知する。

これにより、ユーザｘが車両１０に搭乗していないときに、その車両１０がサイバー攻撃を受けた場合には、その車両１０に搭乗可能か搭乗不可かが判定されて、その判定結果が端末装置２００に通知される。したがって、ユーザｘが端末装置２００を携帯していれば、ユーザｘは、車両１０に搭乗可能か搭乗不可かを容易に把握することができる。また、サイバー攻撃を受けている危険な車両１０にユーザｘが搭乗してしまうことを抑制することができる。その結果、ユーザｘを適切にサポートすることができる。

以上、本開示のセキュリティ装置について、上記実施の形態に基づいて説明したが、本開示は、その実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思いつく各種変形を上記実施の形態に施したものも本開示に含まれてもよい。

例えば、上記実施の形態では、車両１０は、図１１のステップＳ１０２において、サイバー攻撃に対して車両１０だけで対処可能か否かを判定する。しかし、車両１０に代わってセキュリティ装置１００が、車両１０だけで対処可能か否かを判定してもよい。

なお、上記実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵまたはプロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。ここで、上記各実施の形態の車両１０およびセキュリティ装置１００などを実現するソフトウェアは、図１１および図１２のそれぞれに示すフローチャートの各ステップをコンピュータに実行させるコンピュータプログラムである。

なお、以下のような場合も本開示に含まれる。

（１）上記の少なくとも１つの装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。そのＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記憶されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、上記の少なくとも１つの装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。

（２）上記の少なくとも１つの装置を構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Large Scale Integration：大規模集積回路）から構成されているとして
もよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記憶されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。

（３）上記の少なくとも１つの装置を構成する構成要素の一部または全部は、その装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。ＩＣカードまたはモジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。ＩＣカードまたはモジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、ＩＣカードまたはモジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。

（４）本開示は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、コンピュータプログラムからなるデジタル信号であるとしてもよい。

また、本開示は、コンピュータプログラムまたはデジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ（Compact Disc）－ＲＯＭ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Blu-ray（登録商標） Disc）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されているデジタル信号であるとしてもよい。

また、本開示は、コンピュータプログラムまたはデジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。

また、プログラムまたはデジタル信号を記録媒体に記録して移送することにより、またはプログラムまたはデジタル信号をネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。

本開示のセキュリティ装置は、例えば車両へのサイバー攻撃に対処する装置またはシステムなどに適用することができる。

１ セキュリティシステム
１０ 車両
１１、１２、１３、１４ ＥＣＵ
１５ 第１通信部
１６ ゲートウェイ
１７ 第１アカウント部
１８ 第１位置取得部
１００ セキュリティ装置
１１５ 第２通信部
１１７ 第２アカウント部
１３１ 搭乗判定部
１３２ 通知方法決定部
１３３ 通知処理部
１３４ データベース
１３５ 分析部
１３６ 対処指示部
２００ 端末装置
２０１ 制御部
２１５ 第３通信部
２１８ 第２位置取得部
２２２ メモリ
２４１ 表示部
２４２ スピーカ
２４３ バイブレータ
２４４ 入力部
ａ１ ユーザ情報
ａ２ 車両情報
ａ３ 連絡先情報
ｂ１ 通知方法情報
ｂ２ 移動サポート一覧情報
Ｂｔ、Ｂｔ１、Ｂｔ２、Ｂｔ３ ボタン
ｃ１ ユーザ情報
ｃ２ 車両情報
ｃ３ セキュリティ装置情報
Ｎｔ 通信ネットワーク
Ｐ１ 状況通知画像
Ｐ２ 対処結果画像
Ｐａ１ サポート受付画像
Ｐａ２ 連絡先画像
ｘ ユーザ

Claims (14)

1. ユーザが搭乗していない車両がサイバー攻撃を受けた場合に、前記車両への前記ユーザの搭乗が可能か否かを判定する搭乗判定部と、
   前記搭乗判定部による判定結果を、前記車両の外部にあって前記ユーザに利用される端末装置に通知する通知処理部とを備え、
   前記通知処理部は、
   前記搭乗判定部によって搭乗不可が前記判定結果として判定された場合、前記ユーザに利用される前記端末装置に前記判定結果を通知した後に、前記ユーザの家族の端末装置に前記判定結果を通知する、
   セキュリティ装置。
2. 前記通知処理部は、
   前記搭乗判定部によって搭乗不可が前記判定結果として判定された場合、前記車両以外の移動手段に関する移動サポート情報を前記端末装置に通知する、
   請求項１に記載のセキュリティ装置。
3. 前記通知処理部は、
   複数の移動手段のうち、前記ユーザによる前記端末装置への入力操作に応じて選択された移動手段に関する前記移動サポート情報を前記端末装置に通知する、
   請求項２に記載のセキュリティ装置。
4. 前記セキュリティ装置は、さらに、
   前記搭乗判定部によって搭乗不可が前記判定結果として判定された場合、前記車両が受けた前記サイバー攻撃への対処を前記車両に指示する対処指示部を備える、
   請求項１に記載のセキュリティ装置。
5. 前記対処指示部は、前記サイバー攻撃への対処の指示では、
   前記車両の始動停止を前記車両に指示する、
   請求項４に記載のセキュリティ装置。
6. 前記対処指示部は、さらに、
   前記車両において前記サイバー攻撃への対処が行われた場合、前記車両の始動停止の解除を前記車両に指示する、
   請求項５に記載のセキュリティ装置。
7. 前記通知処理部は、
   前記搭乗判定部によって搭乗不可が前記判定結果として判定された場合、前記端末装置と前記車両との間の距離を特定し、前記搭乗不可を通知するための通知態様を前記距離に応じて変化させる、
   請求項１に記載のセキュリティ装置。
8. 前記通知態様は、前記端末装置から出力される音および前記端末装置の振動のうちの少なくとも一方によって表現され、
   前記通知処理部は、
   前記距離が短いほど前記音および前記振動のうちの少なくとも一方が大きくなるように、前記距離に応じて前記通知態様を変化させる、
   請求項７に記載のセキュリティ装置。
9. 前記通知処理部は、
   前記搭乗判定部によって搭乗不可が前記判定結果として判定された場合、前記搭乗不可が判定されたときからの経過時間を特定し、前記搭乗不可を継続的に通知するための通知態様を前記経過時間に応じて変化させる、
   請求項１に記載のセキュリティ装置。
10. 前記通知態様は、前記端末装置から出力される音および前記端末装置の振動のうちの少なくとも一方によって表現され、
    前記通知処理部は、
    前記経過時間が長いほど前記音および前記振動のうちの少なくとも一方が大きくなるように、前記経過時間に応じて前記通知態様を変化させる、
    請求項９に記載のセキュリティ装置。
11. 前記通知態様は、前記端末装置から繰り返し出力される音と、繰り返し発生する前記端末装置の振動とのうちの少なくとも一方の周期によって表現され、
    前記通知処理部は、
    前記経過時間が長いほど前記周期が短くなるように、前記経過時間に応じて前記通知態様を変化させる、
    請求項９に記載のセキュリティ装置。
12. 前記通知処理部は、
    前記端末装置からのアンサーバック信号に応じて、継続して行われている前記通知態様による前記搭乗不可の通知を停止する、
    請求項７～１１の何れか１項に記載のセキュリティ装置。
13. コンピュータによって行われるセキュリティ方法であって、
    ユーザが搭乗していない車両がサイバー攻撃を受けた場合に、前記車両への前記ユーザの搭乗が可能か否かを判定し、
    前記ユーザの搭乗が可能か否かの判定結果を、前記車両の外部にあって前記ユーザに利用される端末装置に通知し、
    搭乗不可が前記判定結果として判定された場合、前記ユーザに利用される前記端末装置に前記判定結果を通知した後に、前記ユーザの家族の端末装置に前記判定結果を通知する、
    セキュリティ方法。
14. ユーザが搭乗していない車両がサイバー攻撃を受けた場合に、前記車両への前記ユーザの搭乗が可能か否かを判定し、
    前記ユーザの搭乗が可能か否かの判定結果を、前記車両の外部にあって前記ユーザに利用される端末装置に通知し、
    搭乗不可が前記判定結果として判定された場合、前記ユーザに利用される前記端末装置に前記判定結果を通知した後に、前記ユーザの家族の端末装置に前記判定結果を通知する、
    ことをコンピュータに実行させるプログラム。

Images