JPWO2018037493A1 - 通信制御装置、通信システム及び通信制御方法 - Google Patents

Abstract

通信制御装置（２０）は、通信対象が互いに異なる複数個の自車通信装置（１０_１〜１０_５）を有する自車両（１）用の通信制御装置（２０）であって、複数個の自車通信装置（１０_１〜１０_５）のうちの不正自車通信装置を用いた通信により発生した不正状態を検出する不正状態検出部（２２）と、不正状態が検出されたとき、複数個の自車通信装置（１０_１〜１０_５）のうちの不正自車通信装置と異なる正常自車通信装置を用いて、不正状態に関する自車不正情報を送信する制御を実行する通信制御部（２１）とを備える。

Description

本発明は、車両用の通信制御装置及び通信制御方法と、この通信制御装置を含む通信システムとに関するものである。

近年、いわゆる「Ｖ２Ｘ（Ｖｅｈｉｃｌｅ ｔｏ Ｅｖｅｒｙｔｈｉｎｇ）通信」に対応する観点から、１台の車両に複数個の通信装置が設けられている。例えば、特許文献１の車両Ｃには、携帯電話機１１、ＤＳＲＣ装置１２及び無線通信装置１３の三つの車載通信装置が設けられている（特許文献１の図１等参照）。

特許文献１の車両Ｃは、車外からの不正アクセスを検出するゲートウェイ装置１０を有している。ゲートウェイ装置１０は、不正アクセスを検出したとき、携帯電話機１１、ＤＳＲＣ装置１２又は無線通信装置１３の中から不正アクセスの進入経路を特定し、特定した車載通信装置のコネクションを切断する。これにより、当該進入経路からゲートウェイ装置１０及び車載器へのアクセスができないようにしている（特許文献１の段落［００３１］等参照）。

また、特許文献１のゲートウェイ装置１０は、特定した車載通信装置（例えば携帯電話機１１）のコネクションを切断したとき、通信用の通信経路を他の車載通信装置であるＤＳＲＣ装置１２又は無線通信装置１３を経由する通信経路に切り替える。これにより、車載器から車外の通信網Ｎへ接続する際に上記切断の影響が生じないようにしている（特許文献１の段落［００３１］、［００４１］等参照）。

特開２００４−１９３９０３号公報

近年、不正アクセスの技術が高度化しており、不正アクセスへの対策が重要になっている。また、コンピュータウィルス（以下、単に「ウィルス」という。）、トロイの木馬、又はワームなどのいわゆる「マルウェア」も高度化しており、マルウェアへの対策も重要になっている。

特許文献１の車載通信システムは、ゲートウェイ装置１０による検出結果を用いて自車両を不正アクセスから保護するものである。しかしながら、この車載通信システムは、自車両における検出結果を他車両における不正アクセスからの保護に用いることができない問題があった。また、ゲートウェイ装置１０はマルウェアを検出するものではないため、自車両をマルウェアから保護することができず、また他車両をマルウェアから保護することもできない問題があった。

本発明は、上記のような課題を解決するためになされたものであり、自車両におけるマルウェア等の検出結果を他車両におけるマルウェア等からの保護に用いることができる通信制御装置、通信システム及び通信制御方法を提供することを目的とする。

本発明の通信制御装置は、通信対象が互いに異なる複数個の自車通信装置を有する車両用の通信制御装置であって、複数個の自車通信装置のうちの不正自車通信装置を用いた通信により発生した不正状態を検出する不正状態検出部と、不正状態が検出されたとき、複数個の自車通信装置のうちの不正自車通信装置と異なる正常自車通信装置を用いて、不正状態に関する自車不正情報を送信する制御を実行する通信制御部とを備えるものである。

本発明の通信システムは、通信対象が互いに異なる複数個の自車通信装置を有する車両用の通信制御装置を含む通信システムであって、通信制御装置は、複数個の自車通信装置のうちの不正自車通信装置を用いた通信により発生した不正状態を検出する不正状態検出部と、不正状態が検出されたとき、複数個の自車通信装置のうちの不正自車通信装置と異なる正常自車通信装置を用いて、不正状態に関する自車不正情報を送信する制御を実行する通信制御部とを備えるものである。

本発明の通信制御方法は、通信対象が互いに異なる複数個の自車通信装置を有する車両用の通信制御方法であって、不正状態検出部が、複数個の自車通信装置のうちの不正自車通信装置を用いた通信により発生した不正状態を検出するステップと、通信制御部が、不正状態が検出されたとき、複数個の自車通信装置のうちの不正自車通信装置と異なる正常自車通信装置を用いて、不正状態に関する自車不正情報を送信する制御を実行するステップとを備えるものである。

本発明によれば、不正状態が検出されたとき、正常自車通信装置を用いて自車不正情報を送信する制御を実行する。これにより、自車両における不正状態の検出結果を他車両における不正状態からの保護に用いることができる。

本発明の実施の形態１に係る通信システムの要部を示す機能ブロック図である。 本発明の実施の形態１に係るサーバ装置の要部を示す機能ブロック図である。 本発明の実施の形態１に係る通信システムのシステム構成の概要を示す説明図である。 本発明の実施の形態１に係る通信制御装置の要部を示すハードウェア構成図である。 本発明の実施の形態１に係る通信制御装置の要部を示す他のハードウェア構成図である。 本発明の実施の形態１に係るサーバ装置の要部を示すハードウェア構成図である。 本発明の実施の形態１に係るサーバ装置の要部を示す他のハードウェア構成図である。 本発明の実施の形態１に係る通信制御装置の動作を示すフローチャートである。 本発明の実施の形態１に係る通信制御装置の動作を示すフローチャートである。 本発明の実施の形態１に係るサーバ装置の動作を示すフローチャートである。 本発明の実施の形態１に係る通信制御装置の動作を示すフローチャートである。 本発明の実施の形態１に係る通信制御装置の動作を示すフローチャートである。 本発明の実施の形態１に係る通信制御装置の他の動作を示すフローチャートである。 本発明の実施の形態１に係る通信制御装置の他の動作を示すフローチャートである。

以下、この発明をより詳細に説明するために、この発明を実施するための形態について、添付の図面に従って説明する。

実施の形態１．
図１は、本発明の実施の形態１に係る通信システムの要部を示す機能ブロック図である。図２は、本発明の実施の形態１に係るサーバ装置の要部を示す機能ブロック図である。図３は、本発明の実施の形態１に係る通信システムのシステム構成の概要を示す説明図である。図４は、本発明の実施の形態１に係る通信制御装置の要部を示すハードウェア構成図である。図５は、本発明の実施の形態１に係る通信制御装置の要部を示す他のハードウェア構成図である。図６は、本発明の実施の形態１に係るサーバ装置の要部を示すハードウェア構成図である。図７は、本発明の実施の形態１に係るサーバ装置の要部を示す他のハードウェア構成図である。図１〜図７を参照して、実施の形態１の通信制御装置２０及び通信システム１００について説明する。

自車両１は、複数個（図１の例では５個）の通信装置１０_１〜１０_５を有している。以下、自車両１が有する通信装置１０_１〜１０_５を「自車通信装置」という。

自車通信装置１０_１は、インターネット接続用の通信装置により構成されている。具体的には、例えば、自車通信装置１０_１は、自車両１に持ち込まれたスマートフォンなどの携帯電話端末、ＳＩＭ（Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ Ｍｏｄｕｌｅ）カードを有するタブレットコンピュータなどの携帯情報端末、又はＷｉＭＡＸ（Ｗｏｒｌｄｗｉｄｅ Ｉｎｔｅｒｏｐｅｒａｂｉｌｉｔｙ ｆｏｒ Ｍｉｃｒｏｗａｖｅ Ａｃｃｅｓｓ）規格に基づく無線通信用の携帯ルータにより構成されている。

自車通信装置１０_１は、図示しない基地局との間で直接通信を行うものであり、かつ、当該基地局を介してインターネット３に接続するものである。自車通信装置１０_１は、インターネット３を介して、他車両４が有するインターネット接続用の通信装置４_１、信号機などの道路基盤設備５に設けられた通信装置５_１、歩行者６が有する携帯電話端末などの通信装置６_１、ＥＶ（Ｅｌｅｃｔｒｉｃ Ｖｅｈｉｃｌｅ）用充電スタンドなどの充電器７に設けられた通信装置７_１、及びサーバ装置８と通信するものである。

自車通信装置１０_２は、車車間通信用の通信装置により構成されている。自車通信装置１０_２は、他車両４が有する車車間通信用の通信装置４_２との間で直接通信を行うものである。具体的には、例えば、自車通信装置１０_２は、ＩＴＳ（Ｉｎｔｅｌｌｉｇｅｎｔ Ｔｒａｎｓｐｏｒｔ Ｓｙｓｔｅｍｓ）用の周波数帯域（例えば７００メガヘルツ帯）の電波を用いて通信装置４_２と通信するものである。

自車通信装置１０_３は、路車間通信用の通信装置により構成されている。自車通信装置１０_３は、道路基盤設備５に設けられた通信装置５_１との間で直接通信を行うものである。具体的には、例えば、自車通信装置１０_３は、ＩＴＳ用の周波数帯域（例えば７００メガヘルツ帯）の電波を用いて通信装置５_１と通信するものである。

自車通信装置１０_４は、歩車間通信用の通信装置により構成されている。自車通信装置１０_４は、歩行者６が有する通信装置６_１との間で直接通信を行うものである。具体的には、例えば、自車通信装置１０_４は、Ｗｉ−Ｆｉ規格に基づく無線通信により通信装置６_１と通信するものである。

自車通信装置１０_５は、対充電器通信用の通信装置により構成されている。自車通信装置１０_５は、充電器７に設けられた通信装置７_１との間で直接通信を行うものである。具体的には、例えば、自車通信装置１０_５は、自車両１が充電器７と有線接続されたとき、当該有線接続の回線を用いた有線通信により通信装置７_１と通信するものである。または、自車通信装置１０_５は、Ｗｉ−Ｆｉ規格に基づく無線通信により通信装置７_１と通信するものである。

すなわち、自車通信装置１０_１〜１０_５は、直接の通信対象（基地局、他車両４、道路基盤設備５、歩行者６又は充電器７）が互いに異なるものである。このため、自車通信装置１０_１〜１０_５は、インターネット３との間の通信経路が互いに異なるものである。

他車両４は、インターネット接続用の通信装置４_１及び車車間通信用の通信装置４_２に加えて、自車両１と同様の路車間通信用の通信装置（不図示）、歩車間通信用の通信装置（不図示）及び対充電器通信用の通信装置（不図示）を有している。以下、他車両４が有する通信装置を「他車通信装置」という。また、他車両４は、自車両１と同様の通信制御装置（不図示）を有している。

道路基盤設備５に設けられた通信装置５_１は、インターネット３を介してサーバ装置８と通信する機能を有している。歩行者６が有する通信装置６_１は、インターネット３を介してサーバ装置８と通信する機能を有している。充電器７に設けられた通信装置７_１は、インターネット３を介してサーバ装置８と通信する機能を有している。

自車両１は、車載用のマルチメディア機器又はＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）などの情報機器１１を有している。自車両１は、液晶ディスプレイ又は有機ＥＬ（Ｅｌｅｃｔｒｏ Ｌｕｍｉｎｅｓｃｅｎｃｅ）ディスプレイなどの表示装置１２を有している。自車両１は、スピーカなどの音声出力装置１３を有している。自車両１は、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）又はＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）などの記憶装置１４を有している。

自車両１は、通信制御装置２０を有している。通信制御装置２０は、例えば、自車両１に搭載されたゲートウェイ装置により構成されている。通信制御装置２０は、通信制御部２１、不正状態検出部２２、不正状態解消部２３及び警告制御部２４を有している。

通信制御部２１は、自車通信装置１０_１〜１０_５による通信を制御するものである。通信制御部２１の動作は多岐に亘るため、以下、他の機能ブロックの説明と併せて適宜説明する。

不正状態検出部２２は、複数個の自車通信装置１０_１〜１０_５のうちのいずれかの自車通信装置（以下「不正自車通信装置」という。）を用いた通信により発生した不正状態を検出するものである。不正状態とは、例えば、自車通信装置１０_１〜１０_５、情報機器１１、記憶装置１４に記憶された各種データ、又は通信制御装置２０のうちの通信制御部２１に対応するプログラム若しくはライブラリがウィルスなどのマルウェアに感染した状態である。また、不正状態とは、例えば、自車通信装置１０_１〜１０_５、情報機器１１又は通信制御装置２０がＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃などの不正アクセスを受けた状態である。

不正状態検出部２２は、不正状態を検出したとき、この不正状態に関する情報（以下「不正情報」という。）を記憶装置１４内の不正情報記憶部１５に記憶させるものである。不正情報は、例えば、不正状態の発生原因である通信に用いられた通信経路（以下「不正通信経路」という。）を示すものである。また、不正情報は、不正状態の発生原因である通信に用いられた自車通信装置、すなわち不正自車通信装置を示すものである。また、不正情報は、検出された不正状態の内容を示すものである。また、不正情報は、不正状態の発生を検出した根拠を示すものである。

例えば、自車通信装置１０_１を用いた通信により情報機器１１がマルウェアに感染した場合において、不正状態検出部２２がパターンマッチングによるマルウェア感染チェックを実行して当該マルウェアを検出したものとする。この場合、情報機器１１と通信制御装置２０間の車内通信経路、通信制御装置２０と自車通信装置１０_１間の車内通信経路、及び自車通信装置１０_１と基地局間の車外通信経路などが不正情報により示される不正通信経路となる。また、自車通信装置１０_１が不正情報により示される不正自車通信装置となる。また、検出されたマルウェアの内容、及び不正状態検出部２２によるマルウェア感染チェックが検出の根拠であることも不正情報により示されることとなる。

なお、不正状態が検出された場合において、不正通信経路、不正自車通信装置、又は不正状態の内容などを特定することができないとき、不正情報はこれらの情報を含まないものであっても良い。

以下、自車両１にて発生した不正状態に対応する不正情報を「自車不正情報」という。また、他車両４にて発生した不正状態に対応する不正情報を「他車不正情報」という。

通信制御部２１は、不正状態検出部２２により不正状態が検出されたとき、複数個の自車通信装置１０_１〜１０_５のうちの不正自車通信装置と異なる自車通信装置（以下「正常自車通信装置」という。）の中から、自車不正情報の送信に用いる正常自車通信装置を設定するようになっている。通信制御部２１は、設定した正常自車通信装置を用いて自車不正情報を送信する制御を実行するようになっている。

例えば、自車通信装置１０_１が送信用の正常自車通信装置に設定された場合、自車通信装置１０_１は、インターネット３を介してサーバ装置８に自車不正情報を送信する。

また、自車通信装置１０_２が送信用の正常自車通信装置に設定された場合、自車通信装置１０_２は、他車両４に設けられた車車間通信用の通信装置４_２に自車不正情報を送信する。他車両４に設けられた通信制御装置は、インターネット接続用の通信装置４_１を用いて、当該自車不正情報をインターネット３を介してサーバ装置８に送信する制御を実行する。

また、自車通信装置１０_３が送信用の正常自車通信装置に設定された場合、自車通信装置１０_３は、道路基盤設備５に設けられた通信装置５_１に自車不正情報を送信する。通信装置５_１は、当該自車不正情報を、インターネット３を介してサーバ装置８に送信する。

また、自車通信装置１０_４が送信用の正常自車通信装置に設定された場合、自車通信装置１０_４は、歩行者６が有する通信装置６_１に自車不正情報を送信する。通信装置６_１は、当該自車不正情報を、インターネット３を介してサーバ装置８に送信する。

また、自車通信装置１０_５が送信用の正常自車通信装置に設定された場合、自車通信装置１０_５は、充電器７に設けられた通信装置７_１に自車不正情報を送信する。通信装置７_１は、当該自車不正情報を、インターネット３を介してサーバ装置８に送信する。

なお、通信制御部２１は、正常自車通信装置が複数個ある場合、自車不正情報の送信に使用可能な２個以上の正常自車通信装置、又は自車不正情報の送信に使用可能な全ての正常自車通信装置を用いて自車不正情報を送信する制御を実行するものであっても良い。

または、通信制御部２１は、自車不正情報の送信に用いるデフォルトの自車通信装置が予め設定されたものであっても良い。この場合、通信制御部２１は、当該自車通信装置が正常自車通信装置であり、かつ、当該自車通信装置が自車不正情報の送信に用いることができるものである場合、当該自車通信装置を自車不正情報の送信に用いる。他方、通信制御部２１は、当該自車通信装置が正常自車通信装置であり、かつ、当該自車通信装置が自車不正情報の送信に用いることができないものである場合、又は、当該自車通信装置が不正自車通信装置である場合、当該自車通信装置と異なる正常自車通信装置を自車不正情報の送信に用いる。なお、一般に、インターネット接続用の自車通信装置１０_１は他の自車通信装置１０_２〜１０_５よりも不正自車通信装置となる可能性が高いため、当該他の自車通信装置１０_２〜１０_５のうちのいずれかをデフォルトに設定しておくのが好適である。

図２に示す如く、サーバ装置８は、インターネット３を介して通信装置４_１，５_１，６_１，７_１，１０_１と通信する受信部３１及び送信部３２を有している。また、サーバ装置８は、受信部３１が受信した情報を記憶装置３３に書き込む情報書込部３４と、記憶装置３３に記憶された情報を読み出して送信部３２に出力する情報読出部３５とを有する。

記憶装置３３内には、不正情報記憶部３６が設けられている。不正情報記憶部３６は、受信部３１が受信した各車両における不正情報を記憶するものである。また、不正情報記憶部３６は、不正情報の受信に用いられた通信経路を示す情報を記憶するものである。

また、記憶装置３３内には、パッチファイル記憶部３７が設けられている。パッチファイル記憶部３７は、不正状態に対するセキュリティ用のパッチファイルを記憶するものである。

情報書込部３４は、受信部３１がいずれかの車両における不正情報を受信したとき、当該不正情報と、当該不正情報の受信に用いられた通信経路を示す情報とを不正情報記憶部３６に記憶させる。また、情報読出部３５は、当該不正情報が示す不正状態の内容に対応するパッチファイルをパッチファイル記憶部３７から読み出して、送信部３２に出力する。送信部３２は、インターネット３を介して、当該不正情報の送信元の車両に対してパッチファイルを送信する。

このとき、情報読出部３５は、当該不正情報の受信に用いられた通信経路を示す情報を不正情報記憶部３６から読み出して、送信部３２に出力する。送信部３２は、当該情報を用いて、パッチファイルの送信に用いる通信経路を、不正情報の受信に用いられた通信経路と同じ経路に設定する。

すなわち、送信部３２が自車両１に対してパッチファイルを送信する場合、この送信に用いられる通信経路は、不正自車通信装置を経由せず、かつ、正常自車通信装置を経由する経路となる。通信制御部２１は、正常自車通信装置を用いて、サーバ装置８が送信したパッチファイルを受信する制御を実行する。

不正状態解消部２３は、受信したパッチファイルを用いて不正状態を解消するものである。具体的には、例えば、不正状態の内容がマルウェア感染である場合、不正状態解消部２３は、自車通信装置１０_１〜１０_５、情報機器１１、記憶装置１４に記載された各種データ、又は通信制御装置２０のうちの通信制御部２１に対応するプログラム若しくはライブラリに対してパッチファイルを適用する。パッチファイルの適用により、マルウェアが除去される。また、例えば、不正状態の内容が不正アクセスである場合、不正状態解消部２３は、自車通信装置１０_１〜１０_５、情報機器１１又は通信制御装置２０に対してパッチファイルを適用する。パッチファイルの適用により、不正アクセスに対する恒久対策が完了する。

不正状態解消部２３は、パッチファイルの適用が完了したとき、不正状態が解消されたものとみなして、不正情報記憶部１５に記憶された自車不正情報のうち、当該パッチファイルに対応する自車不正情報を削除するものである。

通信制御部２１は、不正状態解消部２３によるパッチファイルの適用が完了したとき、自車通信装置１０_１〜１０_５のうちのいずれかを用いて、不正状態が解消されたことを示す情報（以下「解消情報」という。）を送信する制御を実行するようになっている。解消情報は、自車不正情報を送信する際の通信経路として説明した上記通信経路のうちのいずれかの通信経路により、インターネット３を介してサーバ装置８に送信される。

以下、自車両１にて発生した不正状態に対応する解消情報を「自車解消情報」という。また、他車両４にて発生した不正状態に対応する解消情報を「他車解消情報」という。

サーバ装置８において、受信部３１が解消情報を受信したとき、情報書込部３４は、当該解消情報に対応する不正情報を不正情報記憶部３６から削除する。

通信制御部２１は、自車通信装置１０_２を用いた車車間通信により他車両４から他車不正情報を受信したとき、インターネット接続用の自車通信装置１０_１を用いて当該他車不正情報をサーバ装置８に送信するようになっている。また、通信制御部２１は、自車通信装置１０_２を用いた車車間通信により他車両４から他車解消情報を受信したとき、インターネット接続用の自車通信装置１０_１を用いて当該他車解消情報をサーバ装置８に送信するようになっている。

通信制御部２１は、他車両４において不正状態が発生している場合、自車通信装置１０_１〜１０_５の各々と、他車両４における不正状態の発生原因である通信に用いられた他車通信装置（以下「不正他車通信装置」という。）との間の通信を遮断するようになっている。具体的には、例えば、通信制御部２１は、不正他車通信装置に割り当てられたＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス又はＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスなどをフィルタリングする。

具体的には、例えば、通信制御部２１は、インターネット接続用の自車通信装置１０_１を用いてサーバ装置８と通信し、他車両４に係る他車不正情報が不正情報記憶部３６に記憶されているか否かを照会する。サーバ装置８は、照会結果を自車両１に送信するとともに、他車両４に係る他車不正情報が不正情報記憶部３６に記憶されている場合はこの他車不正情報を自車両１に送信する。通信制御部２１は、受信した照会結果を用いて、通信対象の他車両４にて不正状態が発生しているか否かを判定する。また、通信制御部２１は、受信した他車不正情報を用いて不正他車通信装置を特定する。

警告制御部２４は、不正状態検出部２２により不正状態が検出された場合において所定の条件を満たすとき（詳細は後述する）、自車不正情報の内容に応じて、不正状態が発生したことなどを示す画像データを生成するものである。警告制御部２４は、当該画像データを表示装置１２に出力して、当該画像データに対応する画像（以下「警告画像」という。）を表示装置１２に表示させるものである。

また、このとき、警告制御部２４は、自車不正情報の内容に応じて、不正状態が発生したことなどを示す音声データを生成するものである。警告制御部２４は、当該音声データを音声出力装置１３に出力して、当該音声データに対応する音声（以下「警告音声」という。）を音声出力装置１３に出力させるものである。

他車両４が有する通信制御装置は、自車両１が有する通信制御装置２０と同様に構成されているため、説明を省略する。

図３に、このようにして構成された通信システム１００のシステム構成の概要を示す。上記のとおり、自車両１は図示しない基地局と直接通信を行い、当該基地局を介してインターネット３に接続することにより、インターネット３を介して他車両４、道路基盤設備５、歩行者６、充電器７及びサーバ装置８と通信自在である。また、自車両１は、車車間通信により他車両４と直接通信自在であり、路車間通信により道路基盤設備５と直接通信自在であり、歩車間通信により歩行者６と直接通信自在であり、充電器７と直接通信自在である。他車両４はインターネット３を介してサーバ装置８と通信自在であり、道路基盤設備５はインターネット３を介してサーバ装置８と通信自在であり、歩行者６はインターネット３を介してサーバ装置８と通信自在であり、充電器７はインターネット３を介してサーバ装置８と通信自在である。なお、図３において、歩行者６及び充電器７は図示を省略している。

図４に、通信制御装置２０の要部のハードウェア構成の一例を示す。図４に示す如く、通信制御装置２０は汎用のコンピュータにより構成されており、メモリ４１及びプロセッサ４２を有している。メモリ４１には、当該コンピュータを図１に示す通信制御部２１、不正状態検出部２２、不正状態解消部２３及び警告制御部２４として機能させるためのプログラムが記憶されている。メモリ４１に記憶されたプログラムをプロセッサ４２が読み出して実行することにより、図１に示す通信制御部２１、不正状態検出部２２、不正状態解消部２３及び警告制御部２４の機能が実現される。

メモリ４１は、例えば、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ、ＥＰＲＯＭ（Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）又はＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ−Ｏｎｌｙ Ｍｅｍｏｒｙ）などの半導体メモリにより構成されている。プロセッサ４２は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、マイクロコントローラ又はマイクロプロセッサなどにより構成されている。

図５に、通信制御装置２０の要部のハードウェア構成の他の例を示す。図５に示す如く、通信制御装置２０は専用の処理回路４３により構成されたものであっても良い。処理回路４３は、例えば、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）若しくはシステムＬＳＩ（Ｌａｒｇｅ−Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ）又はこれらを組み合わせたものである。

なお、図１に示す通信制御部２１、不正状態検出部２２、不正状態解消部２３及び警告制御部２４の各部の機能それぞれを処理回路４３で実現しても良いし、各部の機能をまとめて処理回路４３で実現しても良い。また、図１に示す通信制御部２１、不正状態検出部２２、不正状態解消部２３及び警告制御部２４のうちの一部の機能を図４に示すメモリ４１及びプロセッサ４２により実現し、残余の機能を図５に示す処理回路４３により実現したものでも良い。

図６に、サーバ装置８の要部のハードウェア構成の一例を示す。図２に示す受信部３１は、専用の受信機５１により構成されている。図２に示す送信部３２は、専用の送信機５２により構成されている。図２に示す記憶装置３３は、メモリ５３により構成されている。また、メモリ５３には、図２に示す情報書込部３４及び情報読出部３５の機能を実現するためのプログラムが記憶されている。メモリ５３に記憶されたプログラムをプロセッサ５４が読み出して実行することにより、図２に示す情報書込部３４及び情報読出部３５の機能が実現される。

メモリ５３は、例えば、ＲＡＭ、ＲＯＭ、フラッシュメモリ、ＥＰＲＯＭ、ＥＥＰＲＯＭ若しくはＳＳＤなどの半導体メモリ、又はＨＤＤなどの磁気記憶装置により構成されている。プロセッサ５４は、例えば、ＣＰＵ、ＧＰＵ、ＤＳＰ、マイクロコントローラ又はマイクロプロセッサなどにより構成されている。

図７に、サーバ装置８の要部のハードウェア構成の他の例を示す。図７に示す如く、サーバ装置８は専用の処理回路５５により構成されたものであっても良い。処理回路５５は、例えば、ＡＳＩＣ、ＦＰＧＡ若しくはシステムＬＳＩ又はこれらを組み合わせたものである。

なお、図２に示す情報書込部３４及び情報読出部３５の各部の機能それぞれを処理回路５５で実現しても良いし、各部の機能をまとめて処理回路５５で実現しても良い。また、図２に示す情報書込部３４及び情報読出部３５のうちの一部の機能を図６に示すメモリ５３及びプロセッサ５４により実現し、残余の機能を図７に示す処理回路５５により実現したものでも良い。

次に、図８のフローチャートを参照して、通信制御装置２０及びサーバ装置８の動作について、自車両１にて不正状態が発生したときの動作を中心に説明する。図８Ａ、図８Ｂ、図８Ｄ及び図８Ｅは通信制御装置２０の動作を示しており、図８Ｃはサーバ装置８の動作を示している。不正状態検出部２２は、不正状態として情報機器１１等のマルウェア感染を検出するものとする。

初期状態にて、通信制御部２１は、自車通信装置１０_１を用いて、情報機器１１用のアプリケーションソフトウェア又はデバイスドライバソフトウェアなどのソフトウェアをダウンロードする制御を実行している。ソフトウェアのダウンロードが完了したとき、不正状態検出部２２はステップＳＴ１，ＳＴ２の処理を実行する。

ステップＳＴ１，ＳＴ２にて、不正状態検出部２２は、ダウンロードしたソフトウェアに対してパターンマッチングによるマルウェア感染チェックを実行する。チェック用のマルウェアパターンは、例えば、不正状態検出部２２に予め記憶されたものを用いる。

マルウェア感染チェックによりマルウェアが検出された場合（ステップＳＴ２“ＹＥＳ”）、ステップＳＴ３にて、不正状態検出部２２は、自車不正情報を不正情報記憶部１５に書き込む。このときの自車不正情報は、例えば、自車通信装置１０_１を含む車外通信経路が不正通信経路に含まれること、自車通信装置１０_１が不正自車通信装置であること、不正状態の内容が情報機器１１のマルウェア感染であること、不正状態の検出の根拠が不正状態検出部２２によるマルウェア感染チェックであること等を示すものである。

マルウェア感染チェックにてマルウェアが検出されなかった場合（ステップＳＴ２“ＮＯ”）、又はステップＳＴ３に次いで、ステップＳＴ４にて、不正状態検出部２２は、自車両１内の通信に関するトラフィック情報を取得する。このトラフィック情報は、例えば、通信中に通信制御部２１がリアルタイムに生成して記憶しているものである。

次いで、ステップＳＴ５にて、不正状態検出部２２は、トラフィック情報を用いて、ソフトウェアダウンロード以後の自車両１内における通信状態が異常であるか否かを判定する。例えば、通常状態に対して通信負荷が異常に増加している場合（通常時は１秒間に１０コマンドの信号を送受信するところ、１秒間に１００コマンドの信号を送受信している等）、不正状態検出部２２は通信状態が異常であると判定する。また、通常状態に対して通信エラーの回数が増加するとともに、各回の通信エラーに対するリトライの回数が増加している場合（通常時は１回の通信エラーに対して１回のリトライで通信成功するところ、通信エラーが頻発するとともに各回の通信エラーに対して５回以上のリトライが発生している等）、不正状態検出部２２は通信状態が異常であると判定する。

通信状態が異常である場合（ステップＳＴ５“ＹＥＳ”）、不正状態検出部２２は自車両１内のデバイス（情報機器１１、通信制御部２１又は自車通信装置１０_１など）がマルウェアに感染したと判定し、ステップＳＴ６にて自車不正情報を不正情報記憶部１５に書き込む。このときの自車不正情報は、例えば、自車両１内の通信経路が不正通信経路に含まれること、不正状態の内容が情報機器１１、通信制御部２１又は自車通信装置１０_１などのマルウェア感染であること、不正状態の検出の根拠が自車両１内の通信状態の異常であること等を示すものである。なお、ステップＳＴ６にて自車不正情報を書き込むとき、ステップＳＴ３にて書き込まれた自車不正情報が既に記憶されている場合、不正状態検出部２２は両自車不正情報の差分のみを書き込むことにより、不正情報記憶部１５内の自車不正情報を更新するものであっても良い。

通信状態が正常である場合（ステップＳＴ５“ＮＯ”）、又はステップＳＴ６に次いで、ステップＳＴ７にて、不正状態検出部２２は、情報機器１１がマルウェアに感染したことを示す情報を当該情報機器１１から取得する処理を実行する。例えば、情報機器１１が不正状態検出部２２と独立したマルウェア感染チェック機能を有する場合、不正状態検出部２２は当該マルウェア感染チェックの結果を取得する処理を実行する。

ステップＳＴ７の処理の結果、マルウェアに感染したことを示す情報が取得された場合（ステップＳＴ８“ＹＥＳ”）、ステップＳＴ９にて、不正状態検出部２２は、自車不正情報を不正情報記憶部１５に書き込む。このときの自車不正情報は、例えば、不正状態の内容が情報機器１１のマルウェア感染であること、不正状態の検出の根拠が情報機器１１から取得した情報であること等を示すものである。なお、ステップＳＴ９にて自車不正情報を書き込むとき、ステップＳＴ３，ＳＴ６にて書き込まれた自車不正情報が既に記憶されている場合、不正状態検出部２２は両自車不正情報の差分のみを書き込むことにより、不正情報記憶部１５内の自車不正情報を更新するものであっても良い。

マルウェアに感染したことを示す情報が取得されなかった場合（ステップＳＴ８“ＮＯ”）、又はステップＳＴ９に次いで、ステップＳＴ１０にて、不正状態検出部２２は、ステップＳＴ３，ＳＴ６，ＳＴ９のうちの少なくとも１ステップにおいて自車不正情報の書き込みがなされたか否かを判定する。ステップＳＴ３，ＳＴ６，ＳＴ９のいずれのステップにおいても自車不正情報の書き込みがなされなかった場合（ステップＳＴ１０“ＮＯ”）、不正状態検出部２２は処理を終了する。他方、ステップＳＴ３，ＳＴ６，ＳＴ９のうちの少なくとも１ステップにおいて自車不正情報の書き込みがなされた場合（ステップＳＴ１０“ＹＥＳ”）、ステップＳＴ１１にて、不正状態検出部２２はその旨を通信制御部２１に通知する。

不正状態検出部２２からの通知を受けた通信制御部２１は、ステップＳＴ２１にて、不正情報記憶部１５に記憶された自車不正情報を取得する。次いで、ステップＳＴ２２にて、通信制御部２１は、ステップＳＴ２１で取得した自車不正情報が不正通信経路又は不正自車通信装置のうちの少なくとも一方を示すものであるか否かを判定する。

自車不正情報が不正通信経路及び不正自車通信装置のいずれをも示すものでない場合（ステップＳＴ２２“ＮＯ”）、ステップＳＴ２７にて、通信制御部２１は、警告制御部２４に対して警告処理の実行を指示する。

他方、自車不正情報が不正通信経路又は不正自車通信装置のうちの少なくとも一方を示すものである場合（ステップＳＴ２２“ＹＥＳ”）、ステップＳＴ２３にて、通信制御部２１は、不正通信経路による通信を遮断する処理、又は不正自車通信装置を用いた通信を禁止する処理のうちの少なくとも一方を実行する。すなわち、自車不正情報が不正通信経路及び不正自車通信装置の両方を示すものである場合、通信制御部２１は、不正通信経路による通信を遮断する処理、及び不正自車通信装置を用いた通信を禁止する処理の両方を実行する。自車不正情報が不正自車通信装置を示すものでない場合、通信制御部２１は、不正通信経路による通信を遮断する処理のみを実行する。また、自車不正情報が不正通信経路を示すものでない場合、通信制御部２１は、不正自車通信装置を用いた通信を禁止する処理のみを実行する。なお、不正状態の内容が不正アクセスである場合は、ステップＳＴ２３の処理により、当該不正アクセスに対する暫定対策が完了する。

次いで、ステップＳＴ２４にて、通信制御部２１は、自車不正情報の送信に使用可能な正常自車通信装置が存在するか否かを判定する。自車不正情報の送信に使用可能な正常自車通信装置が存在しない場合（ステップＳＴ２４“ＮＯ”）、例えば全ての正常自車通信装置が通信サービスの圏外にある場合、ステップＳＴ２７にて、通信制御部２１は、警告制御部２４に警告処理の実行を指示する。

他方、自車不正情報の送信に使用可能な正常自車通信装置が存在する場合（ステップＳＴ２４“ＹＥＳ”）、ステップＳＴ２５にて、通信制御部２１は、自車不正情報の送信に用いる正常自車通信装置を設定する。具体的には、例えは、通信制御部２１は、自車不正情報の送信に使用可能な全ての正常自車通信装置を送信用の正常自車通信装置に設定する。

次いで、ステップＳＴ２６にて、通信制御部２１は、ステップＳＴ２５で設定した正常自車通信装置を用いて、自車不正情報を送信する制御を実行する。

例えば、ステップＳＴ２５で自車通信装置１０_１が送信用の正常自車通信装置に設定された場合、ステップＳＴ２６の処理により、自車通信装置１０_１は、図示しない基地局との間で通信を行い、インターネット３を介してサーバ装置８に自車不正情報を送信する。

また、ステップＳＴ２５で自車通信装置１０_２が送信用の正常自車通信装置に設定された場合、自車通信装置１０_２は、他車両４に設けられた車車間通信用の通信装置４_２に自車不正情報を送信する。他車両４に設けられた通信制御装置は、インターネット接続用の通信装置４_１を用いて、当該自車不正情報をインターネット３を介してサーバ装置８に送信する制御を実行する。

また、ステップＳＴ２５で自車通信装置１０_３が送信用の正常自車通信装置に設定された場合、自車通信装置１０_３は、道路基盤設備５に設けられた通信装置５_１に自車不正情報を送信する。通信装置５_１は、当該自車不正情報を、インターネット３を介してサーバ装置８に送信する。

また、ステップＳＴ２５で自車通信装置１０_４が送信用の正常自車通信装置に設定された場合、自車通信装置１０_４は、歩行者６が有する通信装置６_１に自車不正情報を送信する。通信装置６_１は、当該自車不正情報を、インターネット３を介してサーバ装置８に送信する。

また、ステップＳＴ２５で自車通信装置１０_５が送信用の正常自車通信装置に設定された場合、自車通信装置１０_５は、充電器７に設けられた通信装置７_１に自車不正情報を送信する。通信装置７_１は、当該自車不正情報を、インターネット３を介してサーバ装置８に送信する。

次いで、ステップＳＴ３１にて、サーバ装置８の受信部３１は、上記のうちのいずれかの通信経路により、インターネット３を介して、通信装置４_１，５_１，６_１，７_１，１０_１のうちの少なくとも一つから自車不正情報を受信する。次いで、ステップＳＴ３２にて、情報書込部３４は、ステップＳＴ３１で受信した自車不正情報を不正情報記憶部３６に記憶させる。このとき、情報書込部３４は、自車不正情報とともに、この自車不正情報の受信に用いられた通信経路を示す情報を不正情報記憶部３６に記憶させる。

次いで、ステップＳＴ３３にて、情報読出部３５は、ステップＳＴ３２で不正情報記憶部３６に記憶された自車不正情報を読み出して、この自車不正情報が示す不正状態の内容、すなわちマルウェアに対応するセキュリティ用のパッチファイルがパッチファイル記憶部３７に記憶されているか否かを判定する。情報読出部３５は、当該パッチファイルがパッチファイル記憶部３７に記憶されている場合、当該パッチファイルを読み出して送信部３２に出力する。このとき、情報読出部３５は、パッチファイルとともに、ステップＳＴ３２で不正情報記憶部３６に記憶された自車不正情報の受信に用いられた通信経路を示す情報を読み出して、当該情報を送信部３２に出力する。

次いで、ステップＳＴ３４にて、送信部３２は、パッチファイルの送信に用いる通信経路を設定する。具体的には、例えば、送信部３２は、パッチファイルの送信に用いる通信経路を、自車不正情報の受信に用いられた通信経路と同じ経路に設定する。

すなわち、通常、パッチファイルの送信経路は、インターネット３を介して自車両１の自車通信装置１０_１に送信する経路となる。しかしながら、例えば自車通信装置１０_１が不正自車通信装置である場合、図８ＢのステップＳＴ２３にて自車通信装置１０_１を用いた通信が禁止されているため、自車両１が当該経路にてパッチファイルを受信することができない問題が生ずる。これに対して、パッチファイルの送信に用いる通信経路を自車不正情報の受信に用いられた通信経路と同じ経路に設定することにより、自車通信装置１０_１〜１０_５のうちのいずれの自車通信装置が不正自車通信装置であるかにかかわらず、自車両１にて正常自車通信装置を用いてパッチファイルを受信することができる。

次いで、ステップＳＴ３５にて、送信部３２は、ステップＳＴ３４で設定した通信経路によりパッチファイルを送信する。

なお、自車不正情報が示す不正状態の内容に対応するパッチファイルがパッチファイル記憶部３７に記憶されていない場合（ステップＳＴ３３“ＮＯ”）、サーバ装置８は、ステップＳＴ３４，ＳＴ３５の処理を実行せずに処理を終了する。

次いで、ステップＳＴ４１にて、自車両１の通信制御部２１は、正常自車通信装置がパッチファイルを受信したか否かを判定する。パッチファイルを受信した場合（ステップＳＴ４１“ＹＥＳ”）、通信制御部２１は当該パッチファイルを不正状態解消部２３に出力する。

次いで、ステップＳＴ４２にて、不正状態解消部２３は、当該パッチファイルを適用することにより不正状態を解消する。これにより、情報機器１１等が感染したマルウェアが除去される。不正状態解消部２３は、パッチファイルの適用が完了したとき、その旨を通信制御部２１に通知する。また、ステップＳＴ４３にて、不正状態解消部２３は、不正情報記憶部１５に記憶された自車不正情報のうち、ステップＳＴ４２で適用したパッチファイルに対応する自車不正情報を削除する。

次いで、ステップＳＴ４４にて、通信制御部２１は、自車通信装置１０_１〜１０_５のうちのいずれかを用いて、パッチファイルの適用によりマルウェアが除去されたことを示す自車解消情報を送信する制御を実行する。なお、不正状態の内容が不正アクセスである場合、通信制御部２１は、パッチファイルの適用により不正アクセスに対する恒久対策が完了したことを示す自車解消情報を送信する制御を実行する。

ステップＳＴ４４の処理により、自車解消情報は、自車不正情報を送信する際の通信経路として説明した上記通信経路のうちのいずれかにより、インターネット３を介してサーバ装置８に送信される。サーバ装置８において、受信部３１が自車解消情報を受信したとき、情報書込部３４は、当該自車解消情報に対応する自車不正情報を不正情報記憶部３６から削除する。

なお、正常自車通信装置がパッチファイルを受信しなかった場合（ステップＳＴ４１“ＮＯ”）、例えば図８Ｃの処理にてサーバ装置８がパッチファイルを送信しなかった場合、通信制御装置２０はステップＳＴ４２〜ＳＴ４４の処理を実行しない。この場合、ステップＳＴ４５にて、通信制御部２１は、警告制御部２４に警告処理の実行を指示する。

ステップＳＴ２７又はステップＳＴ４５の指示を受けて、警告制御部２４は警告処理を実行する。すなわち、ステップＳＴ５１にて、警告制御部２４は、不正情報記憶部１５に記憶された自車不正情報の内容に応じて、不正状態が発生したこと、すなわち情報機器１１等がマルウェアに感染したことなどを示す画像データを生成する。次いで、ステップＳＴ５２にて、警告制御部２４は、当該画像データを表示装置１２に出力し、当該画像データに対応する警告画像を表示装置１２に表示させる。

例えば、情報機器１１等のマルウェア感染が検出されたときに不正通信経路及び不正自車通信装置が特定されておらず、ステップＳＴ２２“ＮＯ”であるためにステップＳＴ２７の指示により警告制御部２４が警告画像を表示させるものとする。この場合の警告画像は、例えば、マルウェア感染が発生したこと、及び感染経路を特定することができないこと、マルウェア除去のために自車両１の販売店等への持ち込みを推奨すること等を示す文字又は図像を含む画像である。

また、例えば、全ての正常自車通信装置が通信サービスの圏外にあり、ステップＳＴ２４“ＮＯ”であるためにステップＳＴ２７の指示により警告制御部２４が警告画像を表示させるものとする。この場合の警告画像は、不正通信経路を介してマルウェアに感染したこと、パッチファイルを受信するためにいずれかの正常自車通信装置の通信サービス圏内への自車両１の移動を推奨すること等を示す文字又は図像を含む画像である。

また、例えば、自車不正情報を送信したもののパッチファイルを受信することができず、ステップＳＴ４１“ＮＯ”であるためにステップＳＴ４５の指示により警告制御部２４が警告画像を表示させるものとする。この場合の警告画像は、不正通信経路を介してマルウェアに感染したこと、マルウェア除去のために自車両１の販売店等への持ち込みを推奨すること等を示す文字又は図像を含む画像である。

これらの警告画像は、例えば、情報機器１１などが表示装置１２に表示させている通常の画面に重畳して、いわゆる「ポップアップ」により表示される。

また、ステップＳＴ５３にて、警告制御部２４は、不正情報記憶部１５に記憶された自車不正情報の内容に応じて、不正状態が発生したこと、すなわち情報機器１１等がマルウェアに感染したことなどを示す音声データを生成する。次いで、ステップＳＴ５４にて、警告制御部２４は、当該音声データを音声出力装置１３に出力し、当該音声データに対応する警告音声を音声出力装置１３に出力させる。警告音声の具体的な内容は警告画像と同様であるため、説明を省略する。

次に、図９のフローチャートを参照して、通信制御装置２０の動作について、他車両４にて不正状態が発生しているときに不正他車通信装置との通信を遮断する処理を中心に説明する。通信制御部２１は、他車両４との通信を開始するとき、又は他車両４との通信中に所定の時間間隔にて、ステップＳＴ６１の処理を実行する。

まず、ステップＳＴ６１にて、通信制御部２１は、通信対象の他車両４にて不正状態が発生しているか否かを判定する。

具体的には、例えば、通信制御部２１は、インターネット接続用の自車通信装置１０_１を用いてサーバ装置８と通信し、他車両４に係る他車不正情報が不正情報記憶部３６に記憶されているか否かを照会する。サーバ装置８は、照会結果を自車両１に送信するとともに、他車両４に係る他車不正情報が不正情報記憶部３６に記憶されている場合はこの他車不正情報を自車両１に送信する。通信制御部２１は、受信した照会結果を用いて、通信対象の他車両４にて不正状態が発生しているか否かを判定する。

他車両４にて不正状態が発生している場合（ステップＳＴ６１“ＹＥＳ”）、ステップＳＴ６２にて、通信制御部２１は、ステップＳＴ６１で受信した他車不正情報が不正他車通信装置を示すものであるか否かを判定する。

他車不正情報が不正他車通信装置を示すものである場合（ステップＳＴ６２“ＹＥＳ”）、ステップＳＴ６３にて、通信制御部２１は、自車通信装置１０_１〜１０_５と不正他車通信装置との間の通信を遮断する。具体的には、例えば、通信制御部２１は、不正他車通信装置に割り当てられたＩＰアドレス又はＭＡＣアドレスなどをフィルタリングする。ステップＳＴ６３の処理以降、自車両１と他車両４間の通信における通信経路は、不正他車通信装置を経由しない通信経路、すなわち他車両４における不正通信経路を回避した経路となる。他方、他車不正情報が不正他車通信装置を示すものでない場合（ステップＳＴ６２“ＮＯ”）、通信制御部２１は処理を終了する。

他車両４にて不正状態が発生していない場合（ステップＳＴ６１“ＮＯ”）、ステップＳＴ６４にて、通信制御部２１は、自車通信装置１０_１〜１０_５と通信遮断中の他車通信装置（すなわち前回のステップＳＴ６３で遮断対象とされた不正他車通信装置）が存在するか否かを判定する。通信遮断中の他車通信装置が存在する場合（ステップＳＴ６４“ＹＥＳ”）、ステップＳＴ６５にて、通信制御部２１は、自車通信装置１０_１〜１０_５と当該他車通信装置との通信遮断を解除する。他方、通信遮断中の他車通信装置が存在しない場合（ステップＳＴ６４“ＮＯ”）、通信制御部２１は処理を終了する。

なお、通信制御部２１は、自車不正情報の送信に用いる正常自車通信装置を設定するとき（図８ＢのステップＳＴ２５）、ステップＳＴ６３で設定した通信遮断の有無を参照するものであっても良い。すなわち、通信制御部２１は、いずれかの正常自車通信装置とサーバ装置８間の通信経路内に通信遮断された不正他車通信装置が含まれる場合、当該正常自車通信装置を送信用の正常自車通信装置から除外するものであっても良い。

次に、図１０を参照して、通信制御装置２０の動作について、車車間通信により受信した他車不正情報をサーバ装置８に転送する動作を中心に説明する。

まず、ステップＳＴ７１にて、通信制御部２１は、車車間通信により、自車通信装置１０_２が他車通信装置４_２から他車両４に係る他車不正情報を受信したか否かを判定する。

車車間通信により他車不正情報を受信した場合（ステップＳＴ７１“ＹＥＳ”）、ステップＳＴ７２にて、通信制御部２１は、インターネット接続用の自車通信装置１０_１を用いて、ステップＳＴ７１で受信した他車不正情報をサーバ装置８に送信する制御を実行する。他方、車車間通信により他車不正情報を受信していない場合（ステップＳＴ７１“ＮＯ”）、通信制御部２１は処理を終了する。

このように、実施の形態１の通信制御装置２０は、複数個の自車通信装置１０_１〜１０_５のうちの不正自車通信装置を用いた通信により不正状態が発生したとき、不正自車通信装置と異なる正常自車通信装置を用いて自車不正情報を送信する制御を実行する。自車不正情報を送信することにより、自車不正情報を他車両４における不正状態からの保護などに用いることができる。また、自車不正情報の送信に正常自車通信装置を用いることにより、自車不正情報の送信に不正通信経路が用いられるのを回避して、自車不正情報の送信先におけるマルウェアの感染拡大などを防ぐことができる。

なお、不正情報の内容は、不正通信経路、不正自車通信装置又は不正他車通信装置、不正状態の内容、及び不正状態の発生を検出した根拠に限定されるものではない。不正情報は、これらの内容に加えて、不正状態が発生した車両に割り当てられた識別子、不正状態の発生を検出した日時、不正状態の発生を検出したときの当該車両の位置等を示すものであっても良い。

不正情報が日時を示すものである場合、例えば、サーバ装置８は、不正情報記憶部３６に記憶された不正情報のうちの当該日時が古いものについて、解消情報を受信していない場合であっても不正情報記憶部３６から削除するものであっても良い。これにより、記憶装置３３における不正情報のデータ量を削減することができる。

また、サーバ装置８は、自車不正情報に対するパッチファイルを、自車両１に加えて他車両４に送信するものであっても良い。また、不正情報が日時及び位置を示すものである場合において、他車両４が複数台存在するとき、サーバ装置８は、当該位置に応じてパッチファイルの送信対象となる他車両４を設定するものであっても良い。

具体的には、例えば、サーバ装置８は、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）と連携することにより、インターネット３を介して通信可能な各車両の位置情報を蓄積して記憶する機能を有するものとする。サーバ装置８は、自車不正情報が示す日時において、自車不正情報が示す自車両１の位置を中心とする所定範囲の領域内に位置していた他車両４をパッチファイルの送信対象に設定する。このときの所定範囲は、例えば単純な円形の範囲であっても良い。または、マルウェアの封じ込めにより感染拡大を防ぐ観点から、まずドーナツ状の範囲を設定して、当該ドーナツ状の半径を次第に狭めるように順次範囲を設定するものであっても良い。

また、通信制御部２１は、自車通信装置１０_１〜１０_５を用いて例えば所定の時間間隔でサーバ装置８から他車不正情報を受信する制御を実行し、この他車不正情報を不正情報記憶部１５に記憶させるものであっても良い。すなわち、自車両１における不正情報記憶部１５は、自車不正情報に加えて他車不正情報を記憶するものであっても良い。

この場合、通信制御部２１は、図９のステップＳＴ６１にて、サーバ装置８に他車不正情報の有無を照会するのに代えて、不正情報記憶部１５に記憶された他車不正情報を用いて、通信対象の他車両４に不正状態が発生しているか否かを判定するものであっても良い。また、通信制御部２１は、図９のステップＳＴ６２にて、サーバ装置８から受信した他車不正情報に代えて、不正情報記憶部１５に記憶された他車不正情報が不正他車通信装置を示すものであるか否かを判定するものであっても良い。

また、この場合、通信制御部２１は、車車間通信用の自車通信装置１０_２を用いて他車両４の不正情報記憶部１５に記憶された他車不正情報を受信する制御を実行し、受信した他車不正情報を自車両１の不正情報記憶部１５に記憶させるものであっても良い。これにより、例えば、自車両１がサーバ装置８と通信できない場合であっても、自車両１において他車不正情報を取得又は更新し、自車両１が近い将来にすれ違う他車両４にて不正状態が発生しているか否かを判定して（図９のステップＳＴ６１）、通信遮断などの対策を予め実行することができる。

このように、各車両に関する不正情報を、サーバ装置８の記憶装置３３に加えて各車両の記憶装置１４に記憶させるシステム構成により、ステップＳＴ６１の処理におけるデータ通信量を低減することができる。他方、各車両に関する不正情報をサーバ装置８の記憶装置３３のみに記憶するシステム構成により、各車両の記憶装置１４における不正情報のデータ容量を低減することができる。

また、パッチファイルは、サーバ装置８の記憶装置３３に加えて、各車両の記憶装置１４に記憶されるものであっても良い。すなわち、自車両１の通信制御部２１は、インターネット接続用の自車通信装置１０_１を用いてサーバ装置８のパッチファイル記憶部３７に記憶されたパッチファイルを受信する制御を実行し、受信したパッチファイルを自車両１の記憶装置１４に記憶させるものであっても良い。この場合、図８ＤのステップＳＴ４１において、自車両１の通信制御部２１は、正常自車通信装置がパッチファイルを受信したか否かを判定するのに代えて、自車両１における不正状態に対応するパッチファイルが自車両１の記憶装置１４に記憶されているか否かを判定する。当該パッチファイルが記憶されている場合、通信制御部２１は当該パッチファイルを不正状態解消部２３に出力する。

また、この場合、自車両１の通信制御部２１は、車車間通信用の自車通信装置１０_２を用いて他車両４の記憶装置１４に記憶されたパッチファイルを受信する制御を実行し、受信したパッチファイルを自車両１の記憶装置１４に記憶させるものであっても良い。これにより、例えば、自車両１がサーバ装置８と通信できない場合であっても、自車両１においてパッチファイルを取得又は更新し、不正状態を解消することができる。

また、通信制御部２１は、他車両４において不正状態が発生している場合（ステップＳＴ６１“ＹＥＳ”）、警告制御部２４に警告処理の実行を指示し、警告制御部２４は、他車両４にて不正状態が発生していることを示す警告画像を表示装置１２に表示させる制御、又は他車両４にて不正状態が発生していることを示す警告音声を音声出力装置１３に出力させる制御を実行するものであっても良い。

また、この場合において、他車不正情報が不正状態を検出したときの他車両４の位置を示している場合、警告画像は、当該位置における他車両４に対応するアイコン画像を地図画像に重畳して表示するものであっても良い。また、サーバ装置８などから他車両４の現在位置を取得可能である場合、警告画像は、当該位置における他車両４に対応するアイコン画像を地図画像に重畳して表示するものであっても良い。また、表示装置１２がＨＵＤ（Ｈｅａｄ−Ｕｐ Ｄｉｓｐｌａｙ）であり、他車両４の現在位置が自車両１に対する前方の有視界距離内の位置である場合、当該ＨＵＤにおいて他車両４を強調するような画像を自車両１のフロントガラスに投影するものであっても良い。

また、サーバ装置８は、各車両から解消情報を受信したとき、当該解消情報に対応する不正情報を不正情報記憶部３６から削除するのに代えて、当該不正情報に対応する不正状態が解消したことを示す情報を不正情報記憶部３６に記憶させるものであっても良い。これにより、不正情報記憶部３６には、各車両における不正状態の発生及び解消等に関する履歴データが記憶されるようになる。この履歴データは、例えば、マルウェア若しくは不正アクセスの解析、又は新たなパッチファイルの作成などの種々の処理に用いることができる。

同様に、自車両１の不正情報記憶部１５が他車不正情報を記憶するシステム構成において、通信制御部２１は、サーバ装置８から他車解消情報を受信したとき、当該他車解消情報に対応する他車不正情報を不正情報記憶部１５から削除するのに代えて、当該他車不正情報に対応する不正状態が解消したことを示す情報を不正情報記憶部１５に記憶させるものであっても良い。すなわち、通信システム１００は、履歴データを各車両において記憶するシステム構成であっても良い。

また、警告制御部２４は、画像データを生成して警告画像を表示装置１２に表示させる処理（図８ＥのステップＳＴ５１，ＳＴ５２）、又は音声データを生成して警告音声を音声出力装置１３に出力させる処理（図８ＥのステップＳＴ５３，ＳＴ５４）のうちのいずれか一方のみを実行するものであっても良い。

また、図１では、通信制御装置２０が自車通信装置１０_１及び情報機器１１と別部材のゲートウェイ装置により構成された例を示したが、通信制御装置２０はその一部又は全部が自車通信装置１０_１又は情報機器１１と一体に構成されたものであっても良い。具体的には、例えば、通信制御装置２０が有する各機能のうちの一部の機能がゲートウェイ装置により実現され、残余の機能が自車通信装置１０_１である携帯電話端末により実現されるものであっても良い。または、例えば、通信制御装置２０が有する各機能のうちの一部の機能がゲートウェイ装置により実現され、残余の機能が情報機器１１であるマルチメディア機器により実現されるものであっても良い。

また、自車両１は、直接の通信対象が相違する（すなわちインターネット３との間の通信経路が相違する）複数個の通信装置を有するものであれば良く、自車通信装置は図１に例示する５個の自車通信装置１０_１〜１０_５に限定されるものではない。自車通信装置は何個でも良く、各自車通信装置の通信対象はＶ２Ｘによる如何なるものであっても良い。また、同一の通信対象との間で直接通信を行う自車通信装置が２個以上あるものであっても良い。

以上のように、実施の形態１の通信制御装置２０は、通信対象が互いに異なる複数個の自車通信装置１０_１〜１０_５を有する自車両１用の通信制御装置２０であって、複数個の自車通信装置１０_１〜１０_５のうちの不正自車通信装置を用いた通信により発生した不正状態を検出する不正状態検出部２２と、不正状態が検出されたとき、複数個の自車通信装置１０_１〜１０_５のうちの不正自車通信装置と異なる正常自車通信装置を用いて、不正状態に関する自車不正情報を送信する制御を実行する通信制御部２１とを備える。自車不正情報を送信することにより、自車両１における不正状態の検出結果を他車両４における不正状態からの保護などに用いることができる。また、自車不正情報の送信に正常自車通信装置を用いることにより、自車不正情報の送信に不正通信経路が用いられることを回避して、自車不正情報の送信先におけるマルウェアの感染拡大などを防ぐことができる。

また、通信制御部２１は、正常自車通信装置が複数個ある場合、自車不正情報の送信に使用可能な全ての正常自車通信装置を用いて自車不正情報を送信する制御を実行する。これにより、マルウェアの感染拡大などを防ぎつつ、自車両１に不正状態が発生したことをより多くの通信対象に通知することができ、また自車不正情報がサーバ装置８に届く可能性を高めることができる。

また、通信制御部２１は、不正状態が検出されたとき、不正自車通信装置を用いた通信を禁止する。これにより、不正自車通信装置との通信による他車両４等におけるマルウェアの感染拡大などを防ぐことができる。

また、通信制御部２１は、正常自車通信装置を用いて、不正状態に対するセキュリティ用のパッチファイルを受信する制御を実行する。これにより、不正自車通信装置を用いた通信が禁止された状態にてパッチファイルを受信することができる。

また、通信制御装置２０は、パッチファイルを用いて不正状態を解消する不正状態解消部２３を備え、通信制御部２１は、不正状態が解消されたとき、複数個の自車通信装置１０_１〜１０_５のうちのいずれかを用いて、不正状態が解消されたことを示す自車解消情報を送信する制御を実行する。これにより、不正状態を解消するとともに、不正状態が解消されたことをサーバ装置８等に通知することができる。

また、通信制御部２１は、他車両４において不正状態が発生している場合、自車通信装置１０_１〜１０_５の各々と、他車両４における不正状態の発生原因である通信に用いられた不正他車通信装置との間の通信を遮断する。これにより、例えば他車両４にてマルウェア感染が発生したとき、不正他車通信装置との通信により自車両１にマルウェア感染が拡大するのを防ぐことができる。

また、実施の形態１の通信システム１００は、通信対象が互いに異なる複数個の自車通信装置１０_１〜１０_５を有する自車両１用の通信制御装置２０を含む通信システム１００であって、通信制御装置２０は、複数個の自車通信装置１０_１〜１０_５のうちの不正自車通信装置を用いた通信により発生した不正状態を検出する不正状態検出部２２と、不正状態が検出されたとき、複数個の自車通信装置１０_１〜１０_５のうちの不正自車通信装置と異なる正常自車通信装置を用いて、不正状態に関する自車不正情報を送信する制御を実行する通信制御部２１とを備える。これにより、通信制御装置２０と同様の上記効果を得ることができる。

また、通信システム１００は、自車不正情報を受信したとき、不正状態に対するセキュリティ用のパッチファイルを自車両１に送信するサーバ装置８を備える。これにより、自車両１にてパッチファイルを用いて不正状態を解消することができる。

また、通信制御部２１は、不正状態が検出されたとき、不正自車通信装置を用いた通信を禁止し、サーバ装置８は、パッチファイルの送信に用いる通信経路を、自車不正情報の受信に用いられた通信経路と同じ経路に設定する。これにより、不正自車通信装置を用いた通信を禁止することでマルウェアの感染拡大などを防ぎつつ、自車両１にてパッチファイルを受信することができる。

また、サーバ装置８は、パッチファイルを自車両１及び他車両４に送信する。これにより、自車両１における不正状態の検出結果を用いて、他車両４における不正状態の解消又は予防が可能となる。

また、自車不正情報は自車両１の位置を示すものであり、サーバ装置８は、自車不正情報が示す位置に応じて、パッチファイルの送信対象となる他車両４を設定する。送信対象を適切に設定することにより、マルウェアの封じ込めなどが可能となる。

また、実施の形態１の通信制御方法は、通信対象が互いに異なる複数個の自車通信装置１０_１〜１０_５を有する自車両１用の通信制御方法であって、不正状態検出部２２が、複数個の自車通信装置１０_１〜１０_５のうちの不正自車通信装置を用いた通信により発生した不正状態を検出するステップ（ステップＳＴ１〜ＳＴ１１）と、通信制御部２１が、不正状態が検出されたとき、複数個の自車通信装置１０_１〜１０_５のうちの不正自車通信装置と異なる正常自車通信装置を用いて、不正状態に関する自車不正情報を送信する制御を実行するステップ（ステップＳＴ２６）とを備える。これにより、通信制御装置２０と同様の上記効果を得ることができる。

なお、本願発明はその発明の範囲内において、実施の形態の任意の構成要素の変形、もしくは実施の形態の任意の構成要素の省略が可能である。

本発明の通信制御装置は、ＤＳＲＣ（Ｄｅｄｉｃａｔｅｄ Ｓｈｏｒｔ Ｒａｎｇｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ）又はＩＴＳなどによるＶ２Ｘ通信に対応した車両用の通信装置の制御に用いることができる。

１ 自車両、３ インターネット、４ 他車両、４_１，４_２ 通信装置（他車通信装置）、５ 道路基盤設備、５_１ 通信装置、６ 歩行者、６_１ 通信装置、７ 充電器、７_１ 通信装置、８ サーバ装置、１０_１〜１０_５ 通信装置（自車通信装置）、１１ 情報機器、１２ 表示装置、１３ 音声出力装置、１４ 記憶装置、１５ 不正情報記憶部、２０ 通信制御装置、２１ 通信制御部、２２ 不正状態検出部、２３ 不正状態解消部、２４ 警告制御部、３１ 受信部、３２ 送信部、３３ 記憶装置、３４ 情報書込部、３５ 情報読出部、３６ 不正情報記憶部、３７ パッチファイル記憶部、４１ メモリ、４２ プロセッサ、４３ 処理回路、５１ 受信機、５２ 送信機、５３ メモリ、５４ プロセッサ、５５ 処理回路、１００ 通信システム。

Claims (18)

1. 通信対象が互いに異なる複数個の自車通信装置を有する車両用の通信制御装置であって、
   前記複数個の自車通信装置のうちの不正自車通信装置を用いた通信により発生した不正状態を検出する不正状態検出部と、
   前記不正状態が検出されたとき、前記複数個の自車通信装置のうちの前記不正自車通信装置と異なる正常自車通信装置を用いて、前記不正状態に関する自車不正情報を送信する制御を実行する通信制御部と、
   を備えることを特徴とする通信制御装置。
2. 前記複数個の自車通信装置は、インターネット接続用の通信装置、車車間通信用の通信装置、路車間通信用の通信装置、歩車間通信用の通信装置、又は対充電器通信用の通信装置のうちの少なくとも二つにより構成されていることを特徴とする請求項１記載の通信制御装置。
3. 前記通信制御部は、前記正常自車通信装置が複数個ある場合、前記自車不正情報の送信に使用可能な全ての前記正常自車通信装置を用いて前記自車不正情報を送信する制御を実行することを特徴とする請求項１記載の通信制御装置。
4. 前記自車不正情報は、前記不正状態の発生原因である通信に用いられた不正通信経路、及び前記不正自車通信装置を示すものであることを特徴とする請求項１記載の通信制御装置。
5. 前記不正状態は、前記複数個の自車通信装置の一つ、前記通信制御部、又は前記車両の有する情報機器がマルウェアに感染した状態であることを特徴とする請求項１記載の通信制御装置。
6. 前記不正状態は、前記複数個の自車通信装置の一つ、前記通信制御部、又は前記車両の有する情報機器が不正アクセスを受けた状態であることを特徴とする請求項１記載の通信制御装置。
7. 前記通信制御部は、前記不正状態が検出されたとき、前記不正自車通信装置を用いた通信を禁止することを特徴とする請求項１記載の通信制御装置。
8. 前記通信制御部は、前記正常自車通信装置を用いて、前記不正状態に対するセキュリティ用のパッチファイルを受信する制御を実行することを特徴とする請求項７記載の通信制御装置。
9. 前記パッチファイルを用いて前記不正状態を解消する不正状態解消部を備え、
   前記通信制御部は、前記不正状態が解消されたとき、前記複数個の自車通信装置のうちのいずれかを用いて、前記不正状態が解消されたことを示す自車解消情報を送信する制御を実行する
   ことを特徴とする請求項８記載の通信制御装置。
10. 前記不正状態が発生したことを示す警告画像を表示装置に表示させる制御、又は前記不正状態が発生したことを示す警告音声を音声出力装置に出力させる制御のうちの少なくとも一方を実行する警告制御部を備えることを特徴とする請求項１記載の通信制御装置。
11. 前記通信制御部は、他車両において前記不正状態が発生している場合、前記複数個の自車通信装置の各々と、前記他車両における前記不正状態の発生原因である通信に用いられた不正他車通信装置との間の通信を遮断することを特徴とする請求項１記載の通信制御装置。
12. 前記複数個の自車通信装置は、インターネット接続用の通信装置と車車間通信用の通信装置とを含み、
    前記通信制御部は、前記車車間通信用の通信装置を用いて他車両における前記不正状態に関する他車不正情報を当該他車両から受信したとき、前記インターネット接続用の通信装置を用いて前記他車不正情報をサーバ装置に送信する制御を実行する
    ことを特徴とする請求項１記載の通信制御装置。
13. 通信対象が互いに異なる複数個の自車通信装置を有する車両用の通信制御装置を含む通信システムであって、
    前記通信制御装置は、
    前記複数個の自車通信装置のうちの不正自車通信装置を用いた通信により発生した不正状態を検出する不正状態検出部と、
    前記不正状態が検出されたとき、前記複数個の自車通信装置のうちの前記不正自車通信装置と異なる正常自車通信装置を用いて、前記不正状態に関する自車不正情報を送信する制御を実行する通信制御部と、
    を備えることを特徴とする通信システム。
14. 前記自車不正情報を受信したとき、前記不正状態に対するセキュリティ用のパッチファイルを前記車両に送信するサーバ装置を備えることを特徴とする請求項１３記載の通信システム。
15. 前記通信制御部は、前記不正状態が検出されたとき、前記不正自車通信装置を用いた通信を禁止し、
    前記サーバ装置は、前記パッチファイルの送信に用いる通信経路を、前記自車不正情報の受信に用いられた通信経路と同じ経路に設定する
    ことを特徴とする請求項１４記載の通信システム。
16. 前記サーバ装置は、前記パッチファイルを前記車両及び他車両に送信することを特徴とする請求項１４記載の通信システム。
17. 前記自車不正情報は前記車両の位置を示すものであり、
    前記サーバ装置は、前記自車不正情報が示す位置に応じて、前記パッチファイルの送信対象となる前記他車両を設定する
    ことを特徴とする請求項１６記載の通信システム。
18. 通信対象が互いに異なる複数個の自車通信装置を有する車両用の通信制御方法であって、
    不正状態検出部が、前記複数個の自車通信装置のうちの不正自車通信装置を用いた通信により発生した不正状態を検出するステップと、
    通信制御部が、前記不正状態が検出されたとき、前記複数個の自車通信装置のうちの前記不正自車通信装置と異なる正常自車通信装置を用いて、前記不正状態に関する自車不正情報を送信する制御を実行するステップと、
    を備えることを特徴とする通信制御方法。

Images