WO2019044174A1 - 監視装置、監視システムおよびコンピュータプログラム - Google Patents

監視装置、監視システムおよびコンピュータプログラム Download PDF

Info

Publication number
WO2019044174A1
WO2019044174A1 PCT/JP2018/025740 JP2018025740W WO2019044174A1 WO 2019044174 A1 WO2019044174 A1 WO 2019044174A1 JP 2018025740 W JP2018025740 W JP 2018025740W WO 2019044174 A1 WO2019044174 A1 WO 2019044174A1
Authority
WO
WIPO (PCT)
Prior art keywords
monitoring
unit
control unit
monitoring device
processing
Prior art date
Application number
PCT/JP2018/025740
Other languages
English (en)
French (fr)
Inventor
正人 田邉
吉治 今本
安齋　潤
Original Assignee
パナソニックＩｐマネジメント株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニックＩｐマネジメント株式会社 filed Critical パナソニックＩｐマネジメント株式会社
Priority to DE112018004881.0T priority Critical patent/DE112018004881T5/de
Publication of WO2019044174A1 publication Critical patent/WO2019044174A1/ja
Priority to US16/783,487 priority patent/US20200177412A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0805—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters by checking availability
    • H04L43/0817—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters by checking availability by checking functioning
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05D—SYSTEMS FOR CONTROLLING OR REGULATING NON-ELECTRIC VARIABLES
    • G05D1/00—Control of position, course or altitude of land, water, air, or space vehicles, e.g. automatic pilot
    • G05D1/0088—Control of position, course or altitude of land, water, air, or space vehicles, e.g. automatic pilot characterized by the autonomous decision making process, e.g. artificial intelligence, predefined behaviours
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0766—Error or fault reporting or storing
    • G06F11/0784—Routing of error reports, e.g. with a specific transmission path or data flow
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
    • G06F11/3013—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system is an embedded system, i.e. a combination of hardware and software dedicated to perform a certain function in mobile devices, printers, automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3466—Performance evaluation by tracing or monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/08—Registering or indicating performance data other than driving, working, idle, or waiting time, with or without registering driving, working, idle or waiting time
    • G07C5/0841—Registering performance data
    • G07C5/085—Registering performance data using electronic data carriers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/2854—Wide area networks, e.g. public data networks
    • H04L12/2856—Access arrangements, e.g. Internet access
    • H04L12/2869—Operational details of access network equipments
    • H04L12/2878—Access multiplexer, e.g. DSLAM
    • H04L12/2879—Access multiplexer, e.g. DSLAM characterised by the network type on the uplink side, i.e. towards the service provider network
    • H04L12/2881—IP/Ethernet DSLAM
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40006—Architecture of a communication node
    • H04L12/40013—Details regarding a bus controller
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/028—Capturing of monitoring data by filtering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0823—Errors, e.g. transmission errors
    • H04L43/0847—Transmission error
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/44—Star or tree networks
    • H04L2012/445—Star or tree networks with switching in a hub, e.g. ETHERNET switch
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks

Definitions

  • the present disclosure relates to data processing technology, and more particularly to a monitoring device, a monitoring system and a computer program.
  • a car is composed of a plurality of electronic devices and a plurality of network (NW) domains, and a security function may be introduced to each of the plurality of electronic devices.
  • Entry point devices such as IVI (In Vehicle Infotainment) device, TCU (Telematics Control Unit), and (2) GW (Gateway), Ethernet switch (“Ethernet”)
  • IVI In Vehicle Infotainment
  • TCU Transmission Control Unit
  • GW Gateway
  • Ethernet switch Ethernet switch
  • a network device such as a registered trademark
  • an electronic control unit hereinafter referred to as an "ECU" that controls a terminal system in a car can be included.
  • the present disclosure suitably controls processes related to the security of mobility, such as vehicles.
  • the monitoring device monitors an abnormal state of a first monitoring target included in a plurality of monitoring devices installed in mobility.
  • the monitoring device has a receiving unit and a control unit.
  • the receiving unit receives an abnormality detection result by another monitoring device that monitors an abnormal state of a second monitoring target different from the first monitoring target.
  • the control unit changes processing executed by the monitoring device according to the result of detection of abnormality by another monitoring device.
  • a monitoring system includes a first monitoring device and a second monitoring device.
  • the first monitoring device is mounted on the mobility.
  • the first monitoring device detects whether the first monitoring target is in an abnormal state, and transmits an abnormality detection result to a second monitoring device that monitors a second monitoring target different from the first monitoring target.
  • the second monitoring device is mounted on the mobility.
  • the second monitoring device receives the abnormality detection result transmitted from the first monitoring device, and changes the process executed by the second monitoring device according to the abnormality detection result.
  • processing related to security of mobility of a vehicle or the like can be suitably controlled.
  • the vehicle of the embodiment is equipped with a plurality of monitoring devices that monitor the states of different targets (also referred to as components of the vehicle).
  • the monitoring range of these monitoring devices is limited independently, and there is a possibility that they may be falsely detected as abnormal even though the monitoring target is actually normal with a certain probability. is there. Therefore, if each monitoring device executes the invalidation processing for the detected attack or the processing for controlling the car on the safety side (also referred to as "fail-safe processing") based on the monitoring result of the own device alone, Excessive invalidation processing and failsafe processing may be performed relative to the state of the entire vehicle.
  • each monitoring device makes it possible to refer to the state of the vehicle in a range that can not be grasped by the own device by mutually notifying the states of the monitoring targets detected by the own device.
  • each monitoring device appropriately executes data processing related to the security of the vehicle according to the state of the vehicle in a range that can not be grasped by the own device, and appropriately adjusts or changes the mode of the data processing. It becomes possible.
  • the monitoring target is normal includes a state in which an attack (illegal frame or the like) has not been received from an external device, and that regular firmware without tampering is executed. Further, the abnormality of the monitoring target includes a state in which an attack (illegal frame or the like) has been received from an external device, execution of tampered firmware or illegal firmware.
  • FIG. 1 schematically shows the configuration of a vehicle 10 according to the embodiment.
  • the vehicle 10 has an Ethernet 20 and a CAN (Controller Area Network) 22 as an internal network (hereinafter also referred to as “in-vehicle NW”).
  • the vehicle 10 also includes an IVI device 12, an Ethernet monitoring ECU 14, and a CAN monitoring ECU 16 as a plurality of types of monitoring devices. These monitoring devices monitor the status of predetermined objects associated with the vehicle 10.
  • the targets of monitoring include elements inside the vehicle 10 and elements outside the vehicle 10 (e.g., an NW outside the vehicle) to which the vehicle 10 is connected.
  • the IVI device 12 is an electronic device that provides various information to the user, and may have, for example, a car navigation function and an audio function.
  • the IVI device 12 is connected to the outside NW 18 such as the Internet, and communicates with devices outside the vehicle 10.
  • NW 18 such as the Internet
  • the IVI device 12 detects whether the NW 18 outside the vehicle is in an abnormal state. For example, the IVI device 12 receives a message flowing through the NW 18 outside the vehicle, and detects whether the message is abnormal.
  • the Ethernet monitoring ECU 14 has an interface with the Ethernet 20.
  • the Ethernet monitoring ECU 14 monitors the Ethernet 20 and detects whether the Ethernet 20 is in an abnormal state. Specifically, the Ethernet monitoring ECU 14 detects that the Ethernet frame, which is a message flowing through the Ethernet 20, is abnormal.
  • the Ethernet monitoring ECU 14 may be implemented in a form in which the relay device in the Ethernet 20 has a monitoring function.
  • the CAN monitoring ECU 16 has an interface with the CAN 22.
  • the CAN monitoring ECU 16 monitors the CAN 22 and detects whether the CAN 22 is in an abnormal state. Specifically, when the CAN frame which is a message flowing through the CAN 22 is abnormal, the CAN monitoring ECU 16 detects that.
  • the CAN monitoring ECU 16 may be implemented in a form in which the relay device in the CAN 22 has a monitoring function.
  • the IVI device 12 is connected to the Ethernet monitoring ECU 14 via the Ethernet 20, and connected to the CAN monitoring ECU 16 via the CAN 22. Further, the Ethernet monitoring ECU 14 and the CAN monitoring ECU 16 are connected via the IVI device 12 or a predetermined GW (not shown).
  • the message may include commands for other devices.
  • FIG. 2 is a block diagram showing a functional configuration of the CAN monitoring ECU 16 of FIG.
  • the CAN monitoring ECU 16 includes a frame receiving unit 30, a frame invalidation unit 31, a monitoring unit 32, a log storage unit 38, a log transmitting unit 40, a monitoring result transmitting unit 42, a monitoring result receiving unit 44, and a processing control unit 46.
  • Each block shown in the block diagram of the present specification can be realized by hardware as a CPU (Central Processing Unit) of a computer, an element such as a memory or an element such as a memory, or software as a computer program or the like.
  • CPU Central Processing Unit
  • an element such as a memory or an element such as a memory
  • software as a computer program or the like.
  • functional blocks realized by their cooperation are depicted. It is understood by those skilled in the art that these functional blocks can be realized in various forms by a combination of hardware and software.
  • a computer program including a module corresponding to each block in FIG. 2 may be stored in a recording medium, and may be introduced into the CAN monitoring ECU 16 via the recording medium. Also, the computer program may be introduced to the CAN monitoring ECU 16 via a network. The CPU of the CAN monitoring ECU 16 may exert the function of each block by reading and executing the computer program as appropriate.
  • the monitoring unit 32 monitors the state of a predetermined monitoring target associated with the vehicle 10.
  • the monitoring unit 32 is also referred to as an abnormality detecting unit, and detects whether or not the monitoring target is in an abnormal state.
  • the monitoring unit 32 includes an NW monitoring unit 34 and a host monitoring unit 36.
  • the frame reception unit 30 receives the CAN frame output to the CAN 22 by an external device (for example, another ECU such as a brake ECU) of the CAN monitoring ECU 16.
  • the NW monitoring unit 34 detects whether the CAN frame received by the frame receiving unit 30 (hereinafter also referred to as a “received frame”) is abnormal.
  • the NW monitoring unit 34 stores a blacklist indicating CAN-IDs (CAN-Identifiers) to be invalidated, and when the CAN-ID set in the received frame matches the CAN-ID in the blacklist, The received frame may be detected as abnormal.
  • the NW monitoring unit 34 may store a whitelist indicating a normal CAN-ID, and may detect that the received frame in which the unmatched CAN-ID is set in the whitelist is abnormal. If the received frame is an Ethernet frame, the correctness of the received frame may be determined based on the Media Access Control (MAC) address set in the received frame.
  • MAC Media Access Control
  • the NW monitoring unit 34 may determine whether or not the received frame is abnormal based on the cycle of the message (for example, the reception interval of the message of the same CAN-ID). In addition, the NW monitoring unit 34 may determine whether the received frame is abnormal based on the change characteristic of the data indicated by the message. For example, the NW monitoring unit 34 may determine that the received frame is abnormal when the change amount of the speed data indicated by the message of the same CAN-ID exceeds a predetermined threshold.
  • the frame invalidation unit 31 executes processing for invalidating the received frame determined to be abnormal by the NW monitoring unit 34.
  • the frame invalidation unit 31 may invalidate the received frame flowing through the CAN 22 by outputting an error frame corresponding to the received frame to the CAN 22.
  • NW such as Ethernet
  • the frame invalidation unit 31 may filter (discard, etc.) the received frame in which the abnormality is detected. You may suppress the relay process which outputs again to NW.
  • the host monitoring unit 36 detects an abnormality of the own apparatus using a known technique such as a digital signature. Specifically, the host monitoring unit 36 verifies whether the firmware stored in the device itself is correct, in other words, detects whether the firmware of the device has been tampered with illegally. The host monitoring unit 36 executes so-called secure boot, that is, verifies that the firmware has not been tampered with when the CAN monitoring ECU 16 is activated. The host monitoring unit 36 may further verify that the application to be executed has not been falsified at the time of execution of the application in the CAN monitoring ECU 16 (immediately before execution).
  • a known technique such as a digital signature
  • the host monitoring unit 36 When the host monitoring unit 36 detects an operation that deviates from forced access control, which is a function of restricting access to a specific process or file at the system level such as a kernel, the host monitoring unit 36 determines that the own device is abnormal. For example, when the firmware or application accesses a specific file whose access is prohibited by predetermined forced access control, the host monitoring unit 36 determines that the firmware of the own device or the own device is abnormal. It is also good.
  • forced access control which is a function of restricting access to a specific process or file at the system level such as a kernel
  • the log storage unit 38 stores a monitoring log indicating a monitoring result (in other words, an abnormality detection result) by the monitoring unit 32 in a predetermined storage area.
  • the log storage unit 38 stores a monitoring log indicating that the CAN 22 (or a frame flowing through the CAN 22) detected by the NW monitoring unit 34 is normal or abnormal in a non-volatile memory in the CAN monitoring ECU 16.
  • the log storage unit 38 monitors the monitoring log indicating that the CAN monitoring ECU 16 (or the firmware of the CAN monitoring ECU 16) detected by the host monitoring unit 36 is normal or abnormal. May be stored.
  • the log transmission unit 40 transmits a monitoring log indicating the monitoring result by the monitoring unit 32 to the external device.
  • the log transmission unit 40 transmits a monitoring log indicating that the CAN 22 detected by the NW monitoring unit 34 is normal or abnormal to a predetermined entry point device (IVI device 12, TCU, etc.) You may make it accumulate.
  • the log transmission unit 40 may transmit a monitoring log indicating that the CAN monitoring ECU 16 detected by the host monitoring unit 36 is normal or abnormal to the entry point device.
  • the monitoring result transmitting unit 42 transmits the monitoring result by the monitoring unit 32 to another monitoring device (the IVI device 12 and the Ethernet monitoring ECU 14 in the embodiment).
  • the monitoring result includes data indicating that the CAN 22 detected by the NW monitoring unit 34 is normal or abnormal.
  • the monitoring result also includes data indicating that the CAN monitoring ECU 16 detected by the host monitoring unit 36 is normal or abnormal.
  • the monitoring result receiving unit 44 receives an abnormality detection result transmitted from another monitoring device. For example, the monitoring result receiving unit 44 receives, from the IVI apparatus 12, the monitoring result of the in-vehicle NW 18 and the host monitoring result. Also, the monitoring result receiving unit 44 receives the Ethernet frame monitoring result and the host monitoring result from the Ethernet monitoring ECU 14.
  • the processing control unit 46 changes the security related processing executed by the own device or the behavior of the vehicle 10 according to the result of detection of abnormality by another monitoring device. As described below, the process control unit 46 can set various types of operations as change targets. The following change target examples 1 to 4 can be said to be security-related processing executed by the CAN monitoring ECU 16.
  • the process control unit 46 may switch the operation mode of the monitoring unit 32. For example, the process control unit 46 may change the process for detecting whether the own apparatus or the NW is in an abnormal state. Specifically, the process control unit 46 may switch the monitoring rule of the monitoring unit 32. For example, the process control unit 46 may switch between a wide tolerance rule that is regarded as normal and a narrow tolerance rule.
  • the rule with a wide tolerance in NW monitoring may be, for example, a rule that regards a relatively wide range as the variation of the cycle or data as normal.
  • the narrow tolerance rule in the NW monitoring may be, for example, a rule that considers a relatively narrow range as normal for the period or the amount of change in data.
  • the rule having a wide allowable range in host monitoring may be, for example, a rule in which the number or type of programs targeted for detection of at least one of tampering and a forced access control violation is relatively small.
  • the narrow tolerance rule in host monitoring may be, for example, a rule in which the number or types of programs targeted for detection of at least one of tampering and forced access control violation are relatively large.
  • the process control unit 46 may expand or reduce the monitoring target range of the monitoring unit 32. For example, the process control unit 46 may switch between detecting tampering within the range up to the middleware and detecting tampering within the range where the application is added to the middleware. Furthermore, the process control unit 46 may switch the monitoring timing of the monitoring unit 32. For example, the process control unit 46 may switch between verifying that the software has been tampered with only when the software has been started and periodically verifying that the software has been tampered with.
  • the process control unit 46 may switch the operation mode of the frame invalidation unit 31. Specifically, invalidation of the CAN frame in which the abnormality is detected by the error frame, and the CAN frame in which the abnormality is detected You may switch between recording and not disabling. Further, the process control unit 46 may switch whether to filter (for example, discard) a message (for example, a CAN frame or an Ethernet frame) in which an abnormality is detected.
  • the process control unit 46 may switch the operation mode of the log storage unit 38, and more specifically, may switch whether to store the monitoring log in the non-volatile memory. Further, the processing control unit 46 may switch the storage target in the monitoring log. For example, the process control unit 46 may switch between saving only the message in which the abnormality is detected and storing a predetermined number of messages before and after the message in which the abnormality is detected. The latter aspect is useful for grasping a precursor or tendency when an abnormality occurs.
  • the process control unit 46 may switch the operation mode of the log transmission unit 40, and more specifically, transmit the monitoring log to a Security Operation Center (SOC) (not shown) provided outside the vehicle 10. You may switch the presence or absence. In addition, the process control unit 46 may switch the presence or absence of transmission of the monitoring log to another monitoring device (IVI device 12, TCU, etc.).
  • SOC Security Operation Center
  • the process control unit 46 may switch between a state in which the automatic driving function of the vehicle 10 is enabled and a state in which the automatic driving function is disabled. In this case, the process control unit 46 issues a command instructing to enable (in other words, start) the automatic driving function or a command instructing to disable (in other words, end) the automatic driving function. It may be transmitted to an automatic driving controller (not shown) of the vehicle 10 or an ADAS (Advanced Driver Assistance System) ECU (not shown). In addition, the process control unit 46 cooperates with the automatic driving controller, the ADAS, or another ECU to disable fail safe processing (for example, stop processing of automatic driving) in the vehicle 10 and the fail safe processing. It is possible to switch between the two states.
  • ADAS Advanced Driver Assistance System
  • the functional configuration of the IVI device 12 is also the same as that of the CAN monitoring ECU 16 (FIG. 2).
  • the frame reception unit 30 of the IVI device 12 receives a communication frame from the NW 18 outside the vehicle.
  • the transmission destination is the Ethernet monitoring ECU 14 and the CAN monitoring ECU 16.
  • the transmission source is the Ethernet monitoring ECU 14 and the CAN monitoring ECU 16.
  • the frame invalidation unit 31 of the IVI apparatus 12 may filter (for example, discard) the received frame, instead of transmitting the error frame, according to the address and period of the received frame, the change characteristic of the data, and the like.
  • the functional configuration of the Ethernet monitoring ECU 14 is also similar to that of the CAN monitoring ECU 16 (FIG. 2).
  • the frame reception unit 30 of the Ethernet monitoring ECU 14 receives a frame from the Ethernet 20.
  • the transmission destination of the monitoring result transmitting unit 42 of the Ethernet monitoring ECU 14 is the IVI device 12 and the CAN monitoring ECU 16.
  • the transmission source is the IVI device 12 and the CAN monitoring ECU 16.
  • the frame invalidation unit 31 of the Ethernet monitoring ECU 14 may filter (for example, discard) the received frame, instead of transmitting the error frame, according to the address and period of the received frame, the change characteristic of data, and the like.
  • FIG. 3 is a flowchart showing the operation of the CAN monitoring ECU 16 of FIG. The figure mainly shows monitoring processing and security related processing among the processing executed by the CAN monitoring ECU 16.
  • Other monitoring devices in the vehicle 10, that is, the IVI device 12 and the Ethernet monitoring ECU 14 also perform the same monitoring processing and security related processing as the CAN monitoring ECU 16.
  • the NW monitoring unit 34 determines the normality of the received CAN frame (S12). If the CAN frame has not been received (N at S10), S12 is skipped. If the host monitoring execution timing (for example, when the CAN monitoring ECU 16 is activated or when a predetermined time has elapsed since the previous host monitoring) (Y in S14), the host monitoring unit 36 is stored in the memory or the like of its own device The normality of the firmware is verified (S16). If it is not the execution timing of host monitoring (N of S14), S16 is skipped. The NW monitoring and the host monitoring may be executed in parallel regardless of the execution order of the NW monitoring and the host monitoring.
  • the log storage unit 38 stores a log indicating the result in a predetermined storage area according to at least one of the result of host monitoring and the result of NW monitoring (S18).
  • the log transmission unit 40 transmits a log indicating the result to a predetermined external device according to at least one of the host monitoring result and the NW monitoring result (S20).
  • the monitoring result transmitting unit 42 transmits both the data indicating the result of host monitoring and the data indicating the result of NW monitoring to the IVI device 12 and the Ethernet monitoring ECU 14 (S22). Depending on the timing of host monitoring and the timing of NW monitoring, any one monitoring result may be transmitted. Alternatively, the monitoring result may be transmitted to one of the IVI device 12 and the Ethernet monitoring ECU 14.
  • the monitoring result receiving unit 44 receives data indicating the host monitoring result output from the IVI apparatus 12 and the Ethernet monitoring ECU 14 and data indicating the NW monitoring result via the communication network (Y in S24).
  • the process control unit 46 changes the predetermined security related process Or change the behavior of the vehicle 10 (S28). If the result of monitoring by another monitoring apparatus is not received (N in S24), S26 and S28 are skipped, and if there is no change in the result of monitoring (N in S26), S28 is skipped.
  • the CAN monitoring ECU 16 repeatedly executes the process shown in FIG.
  • FIG. 4 shows an example of operation switching in the IVI apparatus 12.
  • the IVI device 12 includes the same functional block (FIG. 2) as the CAN monitoring ECU 16.
  • the processing control unit 46 performs host monitoring so as to detect the presence or absence of tampering within the middleware range in host monitoring of the own device.
  • Control unit 36 On the other hand, if at least one of the host monitoring results by the plurality of other monitoring devices is abnormal, the processing control unit 46 detects the presence or absence of tampering up to the application range in addition to the middleware in host monitoring of the own device.
  • the monitoring unit 36 is controlled.
  • the processing control unit 46 stores the log storage unit 38 so as to save only the message in which abnormality is detected in the NW monitoring of the own device. Control.
  • the processing control unit 46 adds a predetermined number of messages before and after the message in which the abnormality is detected in the NW monitoring of the own device.
  • the log storage unit 38 is controlled to store the message in the non-volatile memory.
  • the processing control unit 46 detects the presence / absence of falsification of the firmware only at the time of startup of the own device in host monitoring of the own device.
  • the host monitoring unit 36 is controlled to do this.
  • the processing control unit 46 periodically detects the falsification of the firmware as host monitoring of the own device. Control.
  • the processing control unit 46 saves the monitoring log of the own device in the local storage area, but suppresses transmission to the external device The log storage unit 38 and the log transmission unit 40 are controlled. On the other hand, if at least one of the NW monitoring results by the plurality of other monitoring devices is abnormal, the processing control unit 46 saves the monitoring log of the own device in a local storage area and sends it to the SOC The storage unit 38 and the log transmission unit 40 are controlled.
  • FIG. 5 shows an example of operation switching in the Ethernet monitoring ECU 14.
  • the Ethernet monitoring ECU 14 includes the same functional blocks as the CAN monitoring ECU 16 (FIG. 2).
  • the processing control unit 46 controls the frame invalidation unit 31 so as to suppress the filtering process such as frame discarding if the host monitoring results by the plurality of other monitoring devices are all normal.
  • the process control unit 46 controls the frame invalidation unit 31 to enable the filtering process.
  • the processing control unit 46 performs at least one of the NW monitoring unit 34 and the host monitoring unit 36 to execute the monitoring process based on the monitoring rule having a relatively wide allowable range. Control. In other words, the process control unit 46 loosens the criteria for determining that the Ethernet 20 is normal. On the other hand, if the NW monitoring result by the CAN monitoring ECU 16 is abnormal, the process control unit 46 performs at least one of the NW monitoring unit 34 and the host monitoring unit 36 to execute the monitoring process based on the monitoring rule having a relatively narrow allowable range. Control. In other words, the process control unit 46 tightens the criteria for determining that the Ethernet 20 is normal.
  • the processing control unit 46 saves the monitoring log of the own device in the local storage area, but the log storage unit 38 and the transmission control to the external device are suppressed.
  • the log transmission unit 40 is controlled.
  • the processing control unit 46 saves the monitoring log of the own device in the local storage area and transmits the log to the IVI device 12 and the log storage unit 38 The transmission unit 40 is controlled.
  • the processing control unit 46 suppresses the operation switching and continues the monitoring operation up to that point. On the other hand, if at least one of the host monitoring results by the plurality of other monitoring devices is abnormal, the processing control unit 46 transmits a command instructing the end of the automatic driving to the automatic driving controller, and the vehicle 10 The automatic operation controller or another ECU is controlled to execute at least one fail safe process of stopping.
  • the processing control unit 46 controls the frame invalidation unit 31 to suppress the execution of the filtering processing such as discarding the frame in which the abnormality is detected.
  • the process control unit 46 controls the frame invalidation unit 31 to execute the filtering process.
  • the processing control unit 46 performs at least one of the NW monitoring unit 34 and the host monitoring unit 36 to execute the monitoring process based on the monitoring rule having a relatively wide allowable range. Control.
  • the process control unit 46 performs at least one of the NW monitoring unit 34 and the host monitoring unit 36 to execute the monitoring process based on the monitoring rule having a relatively narrow allowable range. Control.
  • FIG. 6 shows an example of operation switching in the CAN monitoring ECU 16.
  • the processing control unit 46 saves the log of the frame in which the abnormality is detected in a predetermined storage area if all the host monitoring results by the plurality of other monitoring devices are normal.
  • the log storage unit 38 and the frame invalidation unit 31 are controlled to suppress the output of the error frame for the frame in which the.
  • the processing control unit 46 saves the log of the frame in which the abnormality is detected in a predetermined storage area, and the abnormality is detected.
  • the log storage unit 38 and the frame invalidation unit 31 are controlled to output an error frame for the selected frame.
  • the processing control unit 46 performs at least one of the NW monitoring unit 34 and the host monitoring unit 36 to execute the monitoring process based on the monitoring rule having a relatively wide allowable range. Control.
  • the process control unit 46 performs at least one of the NW monitoring unit 34 and the host monitoring unit 36 to execute the monitoring process based on the monitoring rule whose tolerance range is relatively narrow. Control.
  • the processing control unit 46 saves the monitoring log of the own device in the local storage area, but the log storage unit 38 and the transmission control to the external device are suppressed.
  • the log transmission unit 40 is controlled.
  • the processing control unit 46 saves the monitoring log of the own device in the local storage area and transmits the log to the IVI device 12 and the log storage unit 38 The transmission unit 40 is controlled.
  • the processing control unit 46 suppresses the operation switching and continues the monitoring operation up to that point. On the other hand, if at least one of the host monitoring results by the plurality of other monitoring devices is abnormal, the processing control unit 46 transmits a command instructing the end of the automatic driving to the automatic driving controller, and the vehicle 10 The automatic operation controller or another ECU is controlled to execute at least one fail safe process of stopping.
  • the processing control unit 46 stores the log of the frame in which the abnormality is detected in a predetermined storage area, but the output of the error frame to the frame in which the abnormality is detected.
  • the log storage unit 38 and the frame invalidation unit 31 are controlled to suppress the
  • the processing control unit 46 saves the log of the frame in which the abnormality is detected in a predetermined storage area, and outputs the error frame for the frame in which the abnormality is detected.
  • the log storage unit 38 and the frame invalidation unit 31 are controlled to do so.
  • the processing control unit 46 performs at least one of the NW monitoring unit 34 and the host monitoring unit 36 to execute the monitoring process based on the monitoring rule having a relatively wide allowable range. Control.
  • the process control unit 46 performs at least one of the NW monitoring unit 34 and the host monitoring unit 36 to execute the monitoring process based on the monitoring rule having a relatively narrow allowable range. Control.
  • the monitoring devices (for example, each of the IVI device 12, Ethernet monitoring ECU 14, and CAN monitoring ECU 16) mounted on the vehicle 10 according to the embodiment understand the state other than the monitoring target by the own device in cooperation with other monitoring devices. , And security related processing according to the state of the entire vehicle 10 can be performed. Further, the behavior of the vehicle 10 can be changed in accordance with the state of the entire vehicle 10. This makes it easy to avoid the execution of excessive failsafe processing even when the monitoring device alone erroneously detects an abnormality.
  • the processing control unit 46 may select any one of a plurality of types of operation switching modes determined in advance, in accordance with the number of abnormalities detected by the plurality of other monitoring devices.
  • the number may be the number of monitoring devices in which an abnormality is detected in the same monitoring target (inside of device, in-vehicle NW, etc.), or the number of monitoring targets in which an abnormality is detected.
  • the processing control unit 46 may switch the monitoring standard of the own apparatus to a stricter standard as the number is larger, and may execute security related processing associated with a more serious abnormality.
  • FIG. 7 shows an example of operation switching in the IVI apparatus 12 of the first modification.
  • the processing control unit 46 controls the host monitoring unit 36 to detect the presence or absence of tampering up to the range of middleware when the device is started in host monitoring of the own device. Do. On the other hand, if at least one of the host monitoring results by a plurality of other monitoring devices is abnormal, the processing control unit 46 detects the presence or absence of tampering up to the application range in addition to the middleware when the device is started in host monitoring of the own device. Control the host monitoring unit 36;
  • the process control unit 46 periodically detects the presence or absence of tampering up to the application range, in addition to the time of device activation. Control. If the host monitoring results by the plurality of other monitoring devices are all abnormal, there is a high probability that the device itself is also under attack such as falsification of the program. Therefore, by expanding both the monitoring target and the monitoring timing from the normal time, it becomes easy to detect an abnormality of the own device quickly and reliably.
  • FIG. 8 shows an example of operation switching in the IVI apparatus 12 of the second modification. Up to the fourth line in the figure is the operation switching based on each correctness of the host monitoring and the NW monitoring, and since the operation has been described in the operation example (1) of FIG.
  • the process control unit 46 executes the above-described operation switching according to each of the host monitoring result and the NW monitoring result, and further terminates the automatic operation of the vehicle 10 when both the host monitoring and the NW monitoring are abnormal. .
  • the processing control unit 46 may end the automatic operation together with the expansion of the monitoring target and the expansion of the log storage target.
  • at least one of the host monitoring result by the Ethernet monitoring ECU 14 and the host monitoring result by the CAN monitoring ECU 16 is abnormal
  • at least one of the NW monitoring result by the Ethernet monitoring ECU 14 and the NW monitoring result by the CAN monitoring ECU 16 is abnormal. When it becomes, it may be determined that both host monitoring and NW monitoring are abnormal.
  • FIG. 9 is a block diagram corresponding to FIG. 2 and showing a functional configuration of the CAN monitoring ECU 16 of the third modification.
  • the functional configurations of the IVI device 12 and the Ethernet monitoring ECU 14 are also similar to that of the CAN monitoring ECU 16.
  • the monitoring unit 32 may further output both the result of NW monitoring by the NW monitoring unit 34 and the result of host monitoring by the host monitoring unit 36 to the processing control unit 46.
  • the processing control unit 46 may change the security related processing executed by the own device or the behavior of the vehicle 10 based on the combination of the monitoring result by the other monitoring device and the monitoring result by the own device.
  • FIG. 10 shows an example of operation switching in the IVI apparatus 12 of the third modification.
  • the individual operations in FIG. 10 are the same as those described with reference to FIG.
  • the processing control unit 46 may control host monitoring of the own device so as to detect tampering up to the application and periodically detect tampering of the own device.
  • the processing control unit 46 saves an error message + messages before and after + log and SOC It may be controlled to start log notification.
  • the degree of importance may be set in advance for each monitoring target, and the processing control unit 46 of the monitoring apparatus may switch the operation according to the degree of importance of the monitoring target that has detected an abnormality. Specifically, the process control unit 46 selects one of a plurality of types of operation switching modes determined in advance, in accordance with the importance of the monitoring target for which an abnormality has been detected by a plurality of other monitoring devices. May be
  • the degree of importance may be set according to the type of monitoring target (inside monitoring device, in-vehicle NW, out-of-vehicle NW, etc.) For example, out-of-vehicle NW is low importance, in-vehicle NW is medium importance, monitoring device inside is A high degree of importance may be set.
  • the processing control unit 46 may switch the monitoring standard of its own device to a stricter standard as the degree of importance of the monitoring target in which the abnormality is detected is higher, and security related processing associated with the more serious abnormality. It may be executed.
  • the vehicle 10 may have a monitoring device other than that described in the embodiment.
  • the number of monitoring devices is not limited.
  • the vehicle 10 may have an NW other than that described in the embodiment, for example, CAN FD (CAN with Flexible Data-Rate), FlexRay, MOST (Media Oriented Systems Transport), etc., and monitors these NWs. May have a monitoring device.
  • NW CAN FD
  • FlexRay FlexRay
  • MOST Media Oriented Systems Transport
  • CAN FD CAN with Flexible Data-Rate
  • MOST Media Oriented Systems Transport
  • another monitoring device may be provided for each channel.
  • two entry point monitoring devices may be provided for two types of vehicle exterior NWs.
  • two CAN monitoring ECUs may be provided for the two CANs.
  • the number of monitoring devices mounted on the vehicle 10 may be two.
  • the IVI device 12 and the CAN monitoring ECU 16 are mounted on the vehicle 10, and an example of operation switching in the IVI device 12 will be described with reference to the operation example (1) in FIG. If the host monitoring result by the CAN monitoring ECU 16 is normal, the IVI device 12 controls to detect the presence or absence of tampering up to the range of middleware in host monitoring of the own device. On the other hand, if the host monitoring result by the CAN monitoring ECU 16 is abnormal, in addition to the middleware, the IVI device 12 controls to detect the presence or absence of tampering up to the application range in host monitoring of the own device.
  • the IVI device 12 controls to save only the message in which the abnormality is detected in the non-volatile memory in the NW monitoring of the own device.
  • the IVI apparatus 12 stores a predetermined number of messages before and after it in the non-volatile memory in addition to the message detecting the abnormality in the NW monitoring of itself. Control.
  • Any ECU such as a gateway or a control ECU may have the monitoring function described in the embodiment.
  • Arbitrary known techniques can be applied to a method of notifying monitoring result data between monitoring devices.
  • the monitoring result may be notified via an in-vehicle network (CAN, CAN FD, Ethernet, MOST, FlexRay, etc.).
  • the monitoring result may be notified via a dedicated line (DIKA line, CAN, Ethernet, etc.).
  • the process control unit 46 may transmit the operation switching instruction to another device according to the monitoring result as well as the activation and the invalidation of the automatic driving.
  • the monitoring result may include not only normal and abnormal but also an undetermined state.
  • the pending state may include, for example, a state before the monitoring function operation, and may include a state under verification by the monitoring function.
  • Each of the plurality of monitoring devices in the vehicle 10 may notify another monitoring device of a monitoring result indicating an undetermined state before or during the monitoring function operation.
  • the processing control unit 46 may execute processing different from when the monitoring result is normal and abnormal when the monitoring result is in an undecided state.
  • the process control unit 46 does not activate the automatic operation function when at least a part of all monitoring results, for example, host monitoring results by the own device and other monitoring devices and NW monitoring results include an undetermined state or an abnormality. It may control an automatic operation controller or ADAS. Further, when the monitoring result indicating the undecided state is notified from another monitoring device, the process control unit 46 continues until the other monitoring device notifies a monitoring result indicating an abnormality, that is, until the abnormality is determined.
  • the frame invalidation unit 31 may be controlled to suppress frame invalidation processing.
  • the monitoring result may include a gray state in addition to the normal and abnormal states, or may include a gray state in addition to the normal and abnormal and undetermined states.
  • the gray state is a state in which it is difficult to determine normal or abnormal by the monitoring function.
  • the NW monitoring unit 34 is a message that takes a value included in a normal range, when the value of the message is close to a threshold for determining an abnormality, the NW monitoring unit 34 may determine the message as a gray state.
  • the NW monitoring result may be determined to be gray.
  • the host monitoring unit 36 may also determine that the host monitoring result is gray when the value related to the state of the own device is in the normal range, but the value is close to the threshold value determined to be abnormal.
  • the processing control unit 46 may execute processing different from that in the case where the monitoring result is normal, abnormal, or not determined.
  • the said embodiment demonstrated as a security countermeasure in the vehicle-mounted network mounted in a vehicle
  • the application scope of this indication is not limited to this.
  • the vehicle is an example of mobility.
  • the present disclosure may be applied not only to vehicles but also to mobility such as construction machines, agricultural machines, ships, railways, and planes.
  • the monitoring device monitors an abnormal state of a first monitoring target included in a plurality of monitoring devices installed in mobility.
  • the monitoring device has a receiving unit and a control unit.
  • the receiving unit receives an abnormality detection result by another monitoring device that monitors an abnormal state of a second monitoring target different from the first monitoring target.
  • the control unit changes processing executed by the monitoring device according to the result of detection of abnormality by another monitoring device.
  • this monitoring device it becomes possible to more appropriately control the aspect of security related processing or the behavior of mobility according to the status of various elements related to mobility beyond the range where the monitoring device alone can monitor the status. .
  • the monitoring device according to item 1 may be an entry point device.
  • the first monitoring target may be an entry point device or a network outside mobility.
  • Another monitoring device may be an electronic control unit.
  • the second monitored object may be an electronic control unit or a network inside mobility.
  • this monitoring device it becomes possible to more appropriately control the aspect of security related processing or the behavior of mobility according to the status of various elements related to mobility beyond the range where the monitoring device alone can monitor the status. .
  • the monitoring device may further include a detection unit that detects whether the first monitoring target is in an abnormal state.
  • the control unit may change the detection processing by the detection unit.
  • the aspect of the monitoring process can be appropriately adjusted in accordance with the state of various elements related to mobility.
  • the monitoring device may further include a storage unit configured to store a log indicating a result of detection of abnormality of the first monitoring target.
  • the control unit may change the storage processing by the storage unit.
  • this monitoring device it is possible to appropriately adjust the aspect of the log storage process according to the state of various elements related to mobility.
  • the monitoring device may be a first monitoring electronic control unit monitoring a first network inside the mobility.
  • the first monitoring target may be a first monitoring electronic control unit or a first network.
  • the other monitoring device may be a second monitoring electronic control unit monitoring a second network within mobility different from the first network.
  • the second monitoring target may be a second monitoring electronic control unit or a second network.
  • this monitoring device it becomes possible to more appropriately control the aspect of security related processing or the behavior of mobility according to the status of various elements related to mobility beyond the range where the monitoring device alone can monitor the status. .
  • the first network and the second network may be one of Ethernet and the other of CAN.
  • Ethernet and CAN are added to mobility, it is possible to more appropriately control the aspect of security related processing or the behavior of mobility according to the state thereof.
  • the monitoring device may further include a detection unit that detects whether the first monitoring target is in an abnormal state.
  • the control unit may change the detection processing by the detection unit.
  • the monitoring processing by the own device can be more appropriately controlled according to the status of various elements related to mobility beyond the range where the status of the monitoring device alone can be monitored.
  • the monitoring device may further include a frame reception unit and an invalidation unit.
  • the frame reception unit receives the message transmitted from the external device.
  • the invalidation unit invalidates the message.
  • the control unit may change the invalidation processing by the invalidation unit.
  • aspects such as message filtering or invalidation can be appropriately adjusted according to the state of various factors related to mobility.
  • the monitoring device may further include a storage unit that stores a log indicating an abnormality detection result of the first monitoring target.
  • the control unit may change the storage processing by the storage unit.
  • this monitoring device it is possible to appropriately adjust the aspect of the log storage process according to the state of various elements related to mobility.
  • the monitoring device may further include a notification unit that notifies the external device of a log indicating a result of detection of abnormality of the first monitoring target.
  • the control unit may change the notification process by the notification unit.
  • this monitoring device it is possible to appropriately adjust the aspect of log notification processing according to the state of various elements related to mobility.
  • control unit may change the process related to the autonomous driving function of mobility.
  • this monitoring device it is possible to appropriately control the autonomous driving function in the mobility in accordance with the state of various elements related to the mobility.
  • the monitoring system has a first monitoring device and a second monitoring device.
  • the first monitoring device is mounted on the mobility.
  • the first monitoring device detects whether the first monitoring target is in an abnormal state, and transmits an abnormality detection result to a second monitoring device that monitors a second monitoring target different from the first monitoring target.
  • the second monitoring device is mounted on the mobility.
  • the second monitoring device receives the abnormality detection result transmitted from the first monitoring device, and changes the process executed by the second monitoring device according to the abnormality detection result.
  • this monitoring system it is possible to more appropriately control the aspect of security related processing or the behavior of mobility according to the status of various elements related to mobility beyond the range where the status can be monitored by one monitoring device. Become.
  • the computer program causes a monitoring device that monitors an abnormal state of a first monitoring target included in a plurality of monitoring devices installed in mobility to monitor another abnormal state of a second monitoring target that is different from the first monitoring target.
  • the reception processing for receiving the result of abnormality detection by the monitoring device is executed.
  • the computer program causes the monitoring device to execute control processing to change the processing to be executed by the monitoring device according to the result of detection of abnormality by another monitoring device.
  • the monitoring device more appropriately controls the aspect of security related processing or the behavior of mobility according to the status of various elements related to mobility beyond the range where the monitoring device alone can monitor the status Can be realized.
  • the present disclosure relates to data processing technology, and is particularly useful as a monitoring device, a monitoring system, and a computer program.

Abstract

監視装置は、モビリティに搭載される複数の監視装置に含まれる、第一監視対象の異常状態を監視する。監視装置は、受信部と、制御部と、を有する。受信部は、第一監視対象とは異なる第二監視対象の異常状態を監視する他の監視装置による異常検出結果を受信する。制御部は、他の監視装置による異常検出結果に応じて、監視装置が実行する処理を変更する。

Description

監視装置、監視システムおよびコンピュータプログラム
　本開示はデータ処理技術に関し、特に監視装置、監視システムおよびコンピュータプログラムに関する。
　近年、自動車は、複数の電子機器および複数のネットワーク（ＮＷ）ドメインにより構成され、複数の電子機器のそれぞれにセキュリティ機能が導入されることがある。自動車に搭載される電子機器には、例えば、（１）ＩＶＩ（In　Vehicle　Infotainment）装置、ＴＣＵ（Telematics　Control　Unit）等のエントリポイント機器、（２）ＧＷ（Gateway）、イーサネットスイッチ（「イーサネット」は登録商標）等のネットワーク機器、（３）自動車内の末端のシステムを制御する電子制御ユニット（Electronic　Control　Unit、以下「ＥＣＵ」と呼ぶ。）が含まれうる。
特開２０１７－４７８３５号公報
　本開示は、車両などのモビリティのセキュリティに関連する処理を好適に制御する。
　本開示の一態様の監視装置は、モビリティに搭載される複数の監視装置に含まれる、第一監視対象の異常状態を監視する。監視装置は、受信部と、制御部と、を有する。受信部は、第一監視対象とは異なる第二監視対象の異常状態を監視する他の監視装置による異常検出結果を受信する。制御部は、他の監視装置による異常検出結果に応じて、監視装置が実行する処理を変更する。
　本開示の別の一態様の監視システムは、第一監視装置と、第二監視装置と、を有する。第一監視装置は、モビリティに搭載される。第一監視装置は、第一監視対象が異常状態かを検出し、第一監視対象とは異なる第二監視対象を監視する第二監視装置へ、異常検出結果を送信する。第二監視装置は、モビリティに搭載される。第二監視装置は、第一監視装置から送信された異常検出結果を受信し、異常検出結果に応じて、第二監視装置が実行する処理を変更する。
　なお、以上の構成要素の任意の組合せ、本開示の表現を、コンピュータプログラム、コンピュータプログラムを記録した記録媒体、本装置を搭載した車両などのモビリティ間で変換したものもまた、本開示の態様として有効である。
　本開示によれば、車両などのモビリティのセキュリティに関連する処理を好適に制御することができる。
実施の形態の車両の構成を模式的に示す図である。 図１のＣＡＮ（Controller　Area　Network）監視ＥＣＵの機能構成を示すブロック図である。 図１のＣＡＮ監視ＥＣＵの動作を示すフローチャートである。 図１のＩＶＩ装置における動作切替の例を示す図である。 図１のイーサネット監視ＥＣＵにおける動作切替の例を示す図である。 図１のＣＡＮ監視ＥＣＵにおける動作切替の例を示す図である。 第１変形例のＩＶＩ装置における動作切替の例を示す図である。 第２変形例のＩＶＩ装置における動作切替の例を示す図である。 第３変形例のＣＡＮ監視ＥＣＵの機能構成を示すブロック図である。 第３変形例のＩＶＩ装置における動作切替の例を示す図である。
　本開示の実施の形態の説明に先立ち、従来の技術における問題点を簡単に説明する。自動車に搭載される複数の電子機器には、セキュリティ機能として、自機またはＮＷ等に対する監視機能が導入されることが想定される。また、監視機能により攻撃を検知した際には、車両として安全に動作するための処理が求められる。ただし、各機器単体で監視可能な範囲は限られており、また、監視機能が攻撃を誤検知する可能性もある。そのため、それぞれの監視機器が自機で検知した攻撃に対する処理を実行すると、車両全体の状態で見た場合に過度な制御となる可能性がある。
　実施の形態の詳細な構成を説明する前にまず概要を述べる。実施の形態の車両には、互いに異なる対象（車両の構成要素とも言える）の状態を監視する複数の監視装置が搭載される。これらの監視装置は、単体で監視可能な範囲は限られており、また、一定の確率で、監視対象が実際には正常であるにも関わらず、異常であるように誤検知する可能性がある。そのため、各監視装置が、自装置単体での監視結果に基づいて、検知した攻撃に対する無効化処理や自動車を安全側に制御するための処理（「フェイルセーフ処理」とも呼ぶ。）を実行すると、車両全体の状態に比して過剰な無効化処理やフェイルセーフ処理が実行される可能性がある。
　実施の形態の車両では、複数の監視装置が自装置で検知した監視対象の状態を互いに通知しあうことで、各監視装置において、自装置では把握できない範囲の車両の状態を参照可能にする。これにより、各監視装置は、自装置では把握できない範囲の車両の状態に応じて、車両のセキュリティに関連するデータ処理を適切に実行し、また、そのデータ処理の態様を適切に調整または変更することが可能になる。
　以下、監視対象が正常とは、外部装置から攻撃（不正なフレーム等）を受けていない状態、改ざんのない正規のファームウェアが実行されることを含む。また、監視対象が異常とは、外部装置から攻撃（不正なフレーム等）を受けている状態、改ざんされたファームウェアまたは不正なファームウェアが実行されることを含む。
　図１は、実施の形態の車両１０の構成を模式的に示す。車両１０は、内部のネットワーク（以下「車載ＮＷ」とも呼ぶ。）として、イーサネット２０とＣＡＮ（Controller　Area　Network）２２を有する。また、車両１０は、複数種類の監視装置として、ＩＶＩ装置１２、イーサネット監視ＥＣＵ１４、ＣＡＮ監視ＥＣＵ１６を有する。これらの監視装置は、車両１０に関連する所定の対象の状態を監視する。監視の対象には、車両１０内部の要素と、車両１０が接続される車両１０外部の要素（車外ＮＷ等）が含まれる。
　ＩＶＩ装置１２は、各種情報をユーザへ提供する電子機器であり、例えば、カーナビゲーション機能およびオーディオ機能を有してもよい。また、ＩＶＩ装置１２は、インターネット等の車外ＮＷ１８と接続され、車両１０外部の装置と通信する。ＩＶＩ装置１２は、車外ＮＷ１８が異常な状態か否かを検出する。例えば、ＩＶＩ装置１２は、車外ＮＷ１８を流れるメッセージを受信し、そのメッセージが異常か否かを検出する。
　イーサネット監視ＥＣＵ１４は、イーサネット２０とのインタフェースを有する。イーサネット監視ＥＣＵ１４は、イーサネット２０を監視し、イーサネット２０が異常な状態か否かを検出する。具体的には、イーサネット監視ＥＣＵ１４は、イーサネット２０を流れるメッセージであるイーサネットフレームが異常である場合、そのことを検出する。なお、イーサネット監視ＥＣＵ１４は、イーサネット２０における中継装置が監視機能を有する形態で実装されてもよい。
　ＣＡＮ監視ＥＣＵ１６は、ＣＡＮ２２とのインタフェースを有する。ＣＡＮ監視ＥＣＵ１６は、ＣＡＮ２２を監視し、ＣＡＮ２２が異常な状態か否かを検出する。具体的には、ＣＡＮ監視ＥＣＵ１６は、ＣＡＮ２２を流れるメッセージであるＣＡＮフレームが異常である場合、そのことを検出する。なお、ＣＡＮ監視ＥＣＵ１６は、ＣＡＮ２２における中継装置が監視機能を有する形態で実装されてもよい。
　ＩＶＩ装置１２は、イーサネット２０を介してイーサネット監視ＥＣＵ１４に接続され、ＣＡＮ２２を介してＣＡＮ監視ＥＣＵ１６に接続される。また、イーサネット監視ＥＣＵ１４とＣＡＮ監視ＥＣＵ１６は、ＩＶＩ装置１２または所定のＧＷ（不図示）を介して接続される。メッセージは、他の装置に対するコマンドを含んでもよい。
　図２は、図１のＣＡＮ監視ＥＣＵ１６の機能構成を示すブロック図である。ＣＡＮ監視ＥＣＵ１６は、フレーム受信部３０、フレーム無効化部３１、監視部３２、ログ保存部３８、ログ送信部４０、監視結果送信部４２、監視結果受信部４４、処理制御部４６を有する。
　本明細書のブロック図において示される各ブロックは、ハードウェア的には、コンピュータのＣＰＵ（Central　Processing　Unit）、メモリをはじめとする素子や機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。
　例えば、図２の各ブロックに対応するモジュールを含むコンピュータプログラムが、記録媒体に格納され、その記録媒体を介してＣＡＮ監視ＥＣＵ１６に導入されてもよい。また、上記コンピュータプログラムが、ネットワークを介してＣＡＮ監視ＥＣＵ１６に導入されてもよい。ＣＡＮ監視ＥＣＵ１６のＣＰＵは、そのコンピュータプログラムを適宜読み出して実行することにより、各ブロックの機能を発揮してもよい。
　監視部３２は、車両１０に関連する予め定められた監視対象の状態を監視する。監視部３２は、異常検出部とも言え、監視対象が異常な状態であるかどうかを検出する。監視部３２は、ＮＷ監視部３４とホスト監視部３６を含む。
　フレーム受信部３０は、ＣＡＮ監視ＥＣＵ１６の外部装置（例えば、ブレーキＥＣＵなどの他のＥＣＵ）がＣＡＮ２２へ出力したＣＡＮフレームを受信する。ＮＷ監視部３４は、フレーム受信部３０により受信されたＣＡＮフレーム（以下「受信フレーム」とも呼ぶ。）が異常か否かを検出する。例えば、ＮＷ監視部３４は、無効とすべきＣＡＮ－ＩＤ（CAN-Identifier）を示すブラックリストを記憶し、受信フレームに設定されたＣＡＮ－ＩＤがブラックリスト内のＣＡＮ－ＩＤに一致する場合、受信フレームを異常と検出してもよい。なお、ＮＷ監視部３４は、正規のＣＡＮ－ＩＤを示すホワイトリストを記憶してもよく、ホワイトリストに不一致のＣＡＮ－ＩＤが設定された受信フレームを異常と検出してもよい。なお、受信フレームがイーサネットフレームの場合、受信フレームに設定されたＭＡＣ（Media　Access　Control）アドレスに基づいて、受信フレームの正否を判定してもよい。
　また、ＮＷ監視部３４は、メッセージの周期（例えば、同一ＣＡＮ－ＩＤのメッセージの受信間隔）に基づいて、受信フレームが異常か否かを判定してもよい。また、ＮＷ監視部３４は、メッセージが示すデータの変化特性に基づいて、受信フレームが異常か否かを判定してもよい。例えば、ＮＷ監視部３４は、同一ＣＡＮ－ＩＤのメッセージが示す速度データの変化量が所定の閾値を超過する場合に、受信フレームが異常と判定してもよい。
　フレーム無効化部３１は、ＮＷ監視部３４により異常と判定された受信フレームを無効化するための処理を実行する。例えば、フレーム無効化部３１は、受信フレームに対応するエラーフレームをＣＡＮ２２へ出力することにより、ＣＡＮ２２を流れる受信フレームを無効化してもよい。なお、監視対象がエラーフレームによる受信フレーム無効化ができないＮＷ（イーサネット等）である場合、フレーム無効化部３１は、異常を検出した受信フレームをフィルタリング（廃棄等）してもよく、当該受信フレームを再度ＮＷへ出力する中継処理を抑制してもよい。
　ホスト監視部３６は、デジタル署名等の公知の技術を使用して、自装置の異常を検出する。具体的には、ホスト監視部３６は、自装置内部に記憶されたファームウェアが正しいものであるかを検証し、言い換えれば、自身のファームウェアが不正に改ざんされていないかどうかを検出する。ホスト監視部３６は、いわゆるセキュアブートを実行し、すなわち、ＣＡＮ監視ＥＣＵ１６の起動時にファームウェアが改ざんされていないことを検証する。ホスト監視部３６はさらに、ＣＡＮ監視ＥＣＵ１６におけるアプリケーション実行時（実行直前）に、実行対象のアプリケーションが改ざんされていないことを検証してもよい。
　また、ホスト監視部３６は、特定のプロセスやファイルへのアクセスをカーネル等のシステムレベルで制限する機能である強制アクセス制御を逸脱する動作を検出した場合、自装置が異常と判定する。例えば、ホスト監視部３６は、予め定められた強制アクセス制御によりアクセスが禁止された特定のファイルに対してファームウェアまたはアプリケーションがアクセスした場合、自装置または自装置のファームウェアが異常であると判定してもよい。
　ログ保存部３８は、監視部３２による監視結果（言い換えれば異常検出結果）を示す監視ログを所定の記憶領域へ保存する。例えば、ログ保存部３８は、ＮＷ監視部３４により検出されたＣＡＮ２２（もしくはＣＡＮ２２を流れるフレーム）が正常であること、または異常であることを示す監視ログをＣＡＮ監視ＥＣＵ１６内部の不揮発メモリへ格納してもよい。また、ログ保存部３８は、ホスト監視部３６により検出されたＣＡＮ監視ＥＣＵ１６（もしくはＣＡＮ監視ＥＣＵ１６のファームウェア）が正常であること、または異常であることを示す監視ログをＣＡＮ監視ＥＣＵ１６内部の不揮発メモリへ格納してもよい。
　ログ送信部４０は、監視部３２による監視結果を示す監視ログを外部装置へ送信する。例えば、ログ送信部４０は、ＮＷ監視部３４により検出されたＣＡＮ２２が正常であること、または異常であることを示す監視ログを予め定められたエントリポイント装置（ＩＶＩ装置１２、ＴＣＵ等）へ送信して蓄積させてもよい。また、ログ送信部４０は、ホスト監視部３６により検出されたＣＡＮ監視ＥＣＵ１６が正常であること、または異常であることを示す監視ログを上記エントリポイント装置へ送信してもよい。
　監視結果送信部４２は、監視部３２による監視結果を他の監視装置（実施の形態ではＩＶＩ装置１２、イーサネット監視ＥＣＵ１４）へ送信する。この監視結果は、ＮＷ監視部３４により検出されたＣＡＮ２２が正常であること、または異常であることを示すデータを含む。また、この監視結果は、ホスト監視部３６により検出されたＣＡＮ監視ＥＣＵ１６が正常であること、または異常であることを示すデータを含む。
　監視結果受信部４４は、他の監視装置から送信された異常検出結果を受信する。例えば、監視結果受信部４４は、車外ＮＷ１８の監視結果とホスト監視結果とをＩＶＩ装置１２から受信する。また、監視結果受信部４４は、イーサネットフレームの監視結果とホスト監視結果とをイーサネット監視ＥＣＵ１４から受信する。
　処理制御部４６は、他の監視装置による異常検出結果に応じて、自装置が実行するセキュリティ関連処理または車両１０の挙動を変更する。以下に示すように、処理制御部４６は、様々な種別の動作を変更対象とすることができる。以下の変更対象例１～４は、ＣＡＮ監視ＥＣＵ１６が実行するセキュリティ関連処理と言える。
　変更対象例１．監視態様：
　処理制御部４６は、監視部３２の動作態様を切り替えてもよく、例えば、自装置またはＮＷが異常な状態か否かを検出するための処理を変更してもよい。具体的には、処理制御部４６は、監視部３２の監視規則を切り替えてもよい。例えば、処理制御部４６は、正常と見なす許容範囲が広い規則と、許容範囲が狭い規則とを切り替えてもよい。
　ＮＷ監視における許容範囲が広い規則は、例えば、周期またはデータの変化量について相対的に広い範囲を正常と見なす規則であってもよい。ＮＷ監視における許容範囲が狭い規則は、例えば、周期またはデータの変化量について相対的に狭い範囲を正常と見なす規則であってもよい。また、ホスト監視における許容範囲が広い規則は、例えば、改ざんおよび強制アクセス制御違反の少なくとも一方の検出対象とするプログラムの個数または種類が相対的に少ない規則であってもよい。ホスト監視における許容範囲が狭い規則は、例えば、改ざんおよび強制アクセス制御違反の少なくとも一方の検出対象とするプログラムの個数または種類が相対的に多い規則であってもよい。
　また、処理制御部４６は、監視部３２による監視対象範囲を拡大または縮小してもよい。例えば、処理制御部４６は、ミドルウェアまでの範囲で改ざんを検知することと、ミドルウェアにアプリケーションを加えた範囲で改ざんを検知することとを切り替えてもよい。さらにまた、処理制御部４６は、監視部３２の監視タイミングを切り替えてもよい。例えば、処理制御部４６は、ソフトウェアの起動時にのみ当該ソフトウェアの改ざん有無を検証することと、定期的に複数のソフトウェアの改ざん有無を検証することとを切り替えてもよい。
　変更対象例２．コマンドの無効化態様：
　処理制御部４６は、フレーム無効化部３１の動作態様を切り替えてもよく、具体的には、異常が検出されたＣＡＮフレームをエラーフレームにより無効化することと、異常が検出されたＣＡＮフレームを記録するが無効化はしないこととを切り替えてもよい。また、処理制御部４６は、異常が検出されたメッセージ（例えばＣＡＮフレームまたはイーサネットフレーム）をフィルタリング（例えば廃棄）することの有無を切り替えてもよい。
　変更対象例３．異常記録態様：
　処理制御部４６は、ログ保存部３８の動作態様を切り替えてもよく、具体的には、不揮発メモリへ監視ログを保存するか否かを切り替えてもよい。また、処理制御部４６は、監視ログにおける保存対象を切り替えてもよい。例えば、処理制御部４６は、異常が検出されたメッセージのみ保存することと、異常が検出されたメッセージに加えて、その前後の所定数のメッセージを保存することとを切り替えてもよい。後者の態様は、異常が発生する場合の前兆または傾向を把握する場合に有用である。
　変更対象例４．異常通知態様：
　処理制御部４６は、ログ送信部４０の動作態様を切り替えてもよく、具体的には、車両１０の外部に設けられたＳＯＣ（Security　Operation　Center）（不図示）へ監視ログを送信することの有無を切り替えてもよい。また、処理制御部４６は、他の監視装置（ＩＶＩ装置１２、ＴＣＵ等）へ監視ログを送信することの有無を切り替えてもよい。
　変更対象例５．車両の動作態様：
　処理制御部４６は、車両１０における自動運転機能を有効にした状態と、自動運転機能を無効にした状態とを切り替えてもよい。この場合、処理制御部４６は、自動運転機能を有効にする（言い換えれば開始する）ことを指示するコマンド、または、自動運転機能を無効にする（言い換えれば終了する）ことを指示するコマンドを、車両１０の自動運転コントローラ（不図示）またはＡＤＡＳ（Advanced　Driver　Assistance　System）　ＥＣＵ（不図示）へ送信してもよい。また、処理制御部４６は、自動運転コントローラ、ＡＤＡＳ、または他のＥＣＵと連携して、車両１０におけるフェイルセーフ処理（例えば自動運転の停止処理等）を有効にした状態と、フェイルセーフ処理を無効にした状態とを切り替えてもよい。
　なお、ＩＶＩ装置１２の機能構成もＣＡＮ監視ＥＣＵ１６（図２）と同様である。異なる点として、ＩＶＩ装置１２のフレーム受信部３０は、車外ＮＷ１８から通信フレームを受信する。また、ＩＶＩ装置１２の監視結果送信部４２は、送信先がイーサネット監視ＥＣＵ１４およびＣＡＮ監視ＥＣＵ１６になる。また、ＩＶＩ装置１２の監視結果受信部４４は、送信元がイーサネット監視ＥＣＵ１４およびＣＡＮ監視ＥＣＵ１６になる。また、ＩＶＩ装置１２のフレーム無効化部３１は、受信フレームのアドレスや周期、データの変化特性等に応じて、エラーフレームの送信に代えて、受信フレームをフィルタリング（例えば廃棄）してもよい。
　また、イーサネット監視ＥＣＵ１４の機能構成もＣＡＮ監視ＥＣＵ１６（図２）と同様である。異なる点として、イーサネット監視ＥＣＵ１４のフレーム受信部３０は、イーサネット２０からフレームを受信する。また、イーサネット監視ＥＣＵ１４の監視結果送信部４２は、送信先がＩＶＩ装置１２およびＣＡＮ監視ＥＣＵ１６になる。また、イーサネット監視ＥＣＵ１４の監視結果受信部４４は、送信元がＩＶＩ装置１２およびＣＡＮ監視ＥＣＵ１６になる。また、イーサネット監視ＥＣＵ１４のフレーム無効化部３１は、受信フレームのアドレスや周期、データの変化特性等に応じて、エラーフレームの送信に代えて、受信フレームをフィルタリング（例えば廃棄）してもよい。
　図３は、図１のＣＡＮ監視ＥＣＵ１６の動作を示すフローチャートである。同図は、ＣＡＮ監視ＥＣＵ１６が実行する処理のうち、主に、監視処理およびセキュリティ関連処理を示している。車両１０における他の監視装置、すなわちＩＶＩ装置１２およびイーサネット監視ＥＣＵ１４も、ＣＡＮ監視ＥＣＵ１６と同様の監視処理およびセキュリティ関連処理を実行する。
　フレーム受信部３０が、ＣＡＮ２２からＣＡＮフレームを受信すると（Ｓ１０のＹ）、ＮＷ監視部３４は、受信されたＣＡＮフレームの正常性を判定する（Ｓ１２）。ＣＡＮフレームを未受信であれば（Ｓ１０のＮ）、Ｓ１２をスキップする。ホスト監視の実行タイミング（例えばＣＡＮ監視ＥＣＵ１６の起動時、または、前回のホスト監視から所定時間経過時）であれば（Ｓ１４のＹ）、ホスト監視部３６は、自装置のメモリ等に記憶されたファームウェアの正常性を検証する（Ｓ１６）。ホスト監視の実行タイミングでなければ（Ｓ１４のＮ）、Ｓ１６をスキップする。なお、ＮＷ監視とホスト監視の実行順序は問わず、また、ＮＷ監視とホスト監視が並行して実行されてもよい。
　ログ保存部３８は、ホスト監視の結果とＮＷ監視の結果の少なくとも一方に応じて、それらの結果を示すログを所定の記憶領域へ保存する（Ｓ１８）。ログ送信部４０は、ホスト監視の結果とＮＷ監視の結果の少なくとも一方に応じて、それらの結果を示すログを所定の外部装置へ送信する（Ｓ２０）。監視結果送信部４２は、ホスト監視の結果を示すデータと、ＮＷ監視の結果を示すデータの両方をＩＶＩ装置１２およびイーサネット監視ＥＣＵ１４へ送信する（Ｓ２２）。なお、ホスト監視のタイミングと、ＮＷ監視のタイミングによっては、いずれか一方の監視結果を送信してもよい。また、ＩＶＩ装置１２とイーサネット監視ＥＣＵ１４のいずれか一方へ監視結果を送信する構成であってもよい。
　監視結果受信部４４は、ＩＶＩ装置１２およびイーサネット監視ＥＣＵ１４から出力されたホスト監視結果を示すデータと、ＮＷ監視結果を示すデータを、通信網を介して受信する（Ｓ２４のＹ）。ホスト監視の結果を示すデータと、ＮＷ監視の結果を示すデータの少なくとも一方が、前回受信したデータから変化している場合（Ｓ２６のＹ）、処理制御部４６は、所定のセキュリティ関連処理を変更し、または車両１０の挙動を変更する（Ｓ２８）。他の監視装置による監視結果を未受信であれば（Ｓ２４のＮ）、Ｓ２６とＳ２８をスキップし、監視結果に変化がなければ（Ｓ２６のＮ）、Ｓ２８をスキップする。ＣＡＮ監視ＥＣＵ１６は、図３に示す処理を繰り返し実行する。
　図３のＳ２８の動作切替について、その具体例を説明する。図４は、ＩＶＩ装置１２における動作切替の例を示す。ＩＶＩ装置１２は、ＣＡＮ監視ＥＣＵ１６と同様の機能ブロック（図２）を含むこととする。動作例（１）では、他の複数の監視装置によるホスト監視結果がいずれも正常であれば、処理制御部４６は、自装置のホスト監視において、ミドルウェアの範囲まで改ざん有無を検出するようホスト監視部３６を制御する。一方、他の複数の監視装置によるホスト監視結果の少なくともいずれかが異常であれば、処理制御部４６は、自装置のホスト監視において、ミドルウェアに加えてアプリケーションの範囲まで改ざん有無を検出するようホスト監視部３６を制御する。
　また、他の複数の監視装置によるＮＷ監視結果がいずれも正常であれば、処理制御部４６は、自装置のＮＷ監視において、異常を検出したメッセージのみ不揮発メモリへ保存するようログ保存部３８を制御する。一方、他の複数の監視装置によるＮＷ監視結果の少なくともいずれかが異常であれば、処理制御部４６は、自装置のＮＷ監視において、異常を検出したメッセージに加えて、その前後の所定数のメッセージを不揮発メモリへ保存するようログ保存部３８を制御する。
　動作例（２）では、他の複数の監視装置によるホスト監視結果がいずれも正常であれば、処理制御部４６は、自装置のホスト監視において、自装置の起動時にのみファームウェアの改ざん有無を検出するようホスト監視部３６を制御する。一方、他の複数の監視装置によるホスト監視結果の少なくともいずれかが異常であれば、処理制御部４６は、自装置のホスト監視として、定期的にファームウェアの改ざんを検出するようホスト監視部３６を制御する。
　また、他の複数の監視装置によるＮＷ監視結果がいずれも正常であれば、処理制御部４６は、自装置の監視ログをローカルの記憶領域に保存するが、外部装置への送信を抑制するようログ保存部３８およびログ送信部４０を制御する。一方、他の複数の監視装置によるＮＷ監視結果の少なくともいずれかが異常であれば、処理制御部４６は、自装置の監視ログをローカルの記憶領域に保存し、かつ、ＳＯＣへ送信するようログ保存部３８およびログ送信部４０を制御する。
　図５は、イーサネット監視ＥＣＵ１４における動作切替の例を示す。イーサネット監視ＥＣＵ１４は、ＣＡＮ監視ＥＣＵ１６と同様の機能ブロック（図２）を含むこととする。動作例（１）では、他の複数の監視装置によるホスト監視結果がいずれも正常であれば、処理制御部４６は、フレーム廃棄等のフィルタリング処理を抑制するようフレーム無効化部３１を制御する。一方、他の複数の監視装置によるホスト監視結果の少なくともいずれかが異常であれば、処理制御部４６は、フィルタリング処理を有効にするようフレーム無効化部３１を制御する。
　また、ＣＡＮ監視ＥＣＵ１６によるＮＷ監視結果が正常であれば、処理制御部４６は、許容範囲が相対的に広い監視規則に基づく監視処理を実行するようＮＷ監視部３４およびホスト監視部３６の少なくとも一方を制御する。言い換えれば、処理制御部４６は、イーサネット２０を正常と判定する基準を緩める。一方、ＣＡＮ監視ＥＣＵ１６によるＮＷ監視結果が異常であれば、処理制御部４６は、許容範囲が相対的に狭い監視規則に基づく監視処理を実行するようＮＷ監視部３４およびホスト監視部３６の少なくとも一方を制御する。言い換えれば、処理制御部４６は、イーサネット２０を正常と判定する基準を厳しくする。
　また、ＩＶＩ装置１２によるＮＷ監視結果が正常であれば、処理制御部４６は、自装置の監視ログをローカルの記憶領域に保存するが、外部装置への送信を抑制するようログ保存部３８およびログ送信部４０を制御する。一方、ＩＶＩ装置１２によるＮＷ監視結果が異常であれば、処理制御部４６は、自装置の監視ログをローカルの記憶領域に保存し、かつ、ＩＶＩ装置１２へ送信するようログ保存部３８およびログ送信部４０を制御する。
　動作例（２）では、他の複数の監視装置によるホスト監視結果がいずれも正常であれば、処理制御部４６は、動作切替を抑制し、それまでの監視動作を継続させる。一方、他の複数の監視装置によるホスト監視結果の少なくともいずれかが異常であれば、処理制御部４６は、自動運転の終了を指示するコマンドを自動運転コントローラへ送信すること、および、車両１０を停止させることの少なくとも一方のフェイルセーフ処理を実行するよう自動運転コントローラもしくは他のＥＣＵを制御する。
　また、ＣＡＮ監視ＥＣＵ１６によるＮＷ監視結果が正常であれば、処理制御部４６は、異常が検出されたフレームを廃棄する等のフィルタリング処理の実行を抑制するようフレーム無効化部３１を制御する。一方、ＣＡＮ監視ＥＣＵ１６によるＮＷ監視結果が異常であれば、処理制御部４６は、フィルタリング処理を実行するようフレーム無効化部３１を制御する。
　また、ＩＶＩ装置１２によるＮＷ監視結果が正常であれば、処理制御部４６は、許容範囲が相対的に広い監視規則に基づく監視処理を実行するようＮＷ監視部３４およびホスト監視部３６の少なくとも一方を制御する。一方、ＩＶＩ装置１２によるＮＷ監視結果が異常であれば、処理制御部４６は、許容範囲が相対的に狭い監視規則に基づく監視処理を実行するようＮＷ監視部３４およびホスト監視部３６の少なくとも一方を制御する。
　図６は、ＣＡＮ監視ＥＣＵ１６における動作切替の例を示す。動作例（１）では、他の複数の監視装置によるホスト監視結果がいずれも正常であれば、処理制御部４６は、異常が検出されたフレームのログを所定の記憶領域に保存するが、異常が検出されたフレームに対するエラーフレームの出力を抑制するようログ保存部３８およびフレーム無効化部３１を制御する。一方、他の複数の監視装置によるホスト監視結果の少なくともいずれかが異常であれば、処理制御部４６は、異常が検出されたフレームのログを所定の記憶領域に保存するとともに、異常が検出されたフレームに対するエラーフレームを出力するようログ保存部３８およびフレーム無効化部３１を制御する。
　また、イーサネット監視ＥＣＵ１４によるＮＷ監視結果が正常であれば、処理制御部４６は、許容範囲が相対的に広い監視規則に基づく監視処理を実行するようＮＷ監視部３４およびホスト監視部３６の少なくとも一方を制御する。一方、イーサネット監視ＥＣＵ１４によるＮＷ監視結果が異常であれば、処理制御部４６は、許容範囲が相対的に狭い監視規則に基づく監視処理を実行するようＮＷ監視部３４およびホスト監視部３６の少なくとも一方を制御する。
　また、ＩＶＩ装置１２によるＮＷ監視結果が正常であれば、処理制御部４６は、自装置の監視ログをローカルの記憶領域に保存するが、外部装置への送信を抑制するようログ保存部３８およびログ送信部４０を制御する。一方、ＩＶＩ装置１２によるＮＷ監視結果が異常であれば、処理制御部４６は、自装置の監視ログをローカルの記憶領域に保存し、かつ、ＩＶＩ装置１２へ送信するようログ保存部３８およびログ送信部４０を制御する。
　動作例（２）では、他の複数の監視装置によるホスト監視結果がいずれも正常であれば、処理制御部４６は、動作切替を抑制し、それまでの監視動作を継続させる。一方、他の複数の監視装置によるホスト監視結果の少なくともいずれかが異常であれば、処理制御部４６は、自動運転の終了を指示するコマンドを自動運転コントローラへ送信すること、および、車両１０を停止させることの少なくとも一方のフェイルセーフ処理を実行するよう自動運転コントローラもしくは他のＥＣＵを制御する。
　また、イーサネット監視ＥＣＵ１４によるＮＷ監視結果が正常であれば、処理制御部４６は、異常が検出されたフレームのログを所定の記憶領域に保存するが、異常が検出されたフレームに対するエラーフレームの出力を抑制するようログ保存部３８およびフレーム無効化部３１を制御する。一方、イーサネット監視ＥＣＵ１４によるＮＷ監視結果が異常であれば、処理制御部４６は、異常が検出されたフレームのログを所定の記憶領域に保存するとともに、異常が検出されたフレームに対するエラーフレームを出力するようログ保存部３８およびフレーム無効化部３１を制御する。
　また、ＩＶＩ装置１２によるＮＷ監視結果が正常であれば、処理制御部４６は、許容範囲が相対的に広い監視規則に基づく監視処理を実行するようＮＷ監視部３４およびホスト監視部３６の少なくとも一方を制御する。一方、ＩＶＩ装置１２によるＮＷ監視結果が異常であれば、処理制御部４６は、許容範囲が相対的に狭い監視規則に基づく監視処理を実行するようＮＷ監視部３４およびホスト監視部３６の少なくとも一方を制御する。
　実施の形態の車両１０に搭載された監視装置（例えばＩＶＩ装置１２、イーサネット監視ＥＣＵ１４、ＣＡＮ監視ＥＣＵ１６のそれぞれ）は、他の監視装置との連携により、自装置による監視対象以外の状態を把握し、車両１０全体の状態に即したセキュリティ関連処理を実行できる。また、車両１０全体の状態に即して車両１０の挙動を変更することができる。これにより、監視装置単体で異常を誤検知した場合にも、過度なフェイルセーフ処理の実行を回避しやすくなる。
　以上、本開示を実施の形態をもとに説明した。この実施の形態は例示であり、それらの各構成要素あるいは各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本開示の範囲にあることは当業者に理解されるところである。
　第１変形例を説明する。処理制御部４６は、他の複数の監視装置により異常が検出された個数に応じて、予め定められた複数種類の動作切替態様の中からいずれかを選択してもよい。上記個数は、同じ監視対象（装置内部、車載ＮＷ等）にて異常を検出した監視装置の個数でもよく、異常が検出された監視対象の個数でもよい。処理制御部４６は、上記個数が多いほど、自装置における監視基準をより厳しい基準へ切り替えてもよく、また、より重大な異常に対応づけられたセキュリティ関連処理を実行してもよい。
　図７は、第１変形例のＩＶＩ装置１２における動作切替の例を示す。他の複数の監視装置によるホスト監視結果がいずれも正常であれば、処理制御部４６は、自装置のホスト監視において、装置起動時にミドルウェアの範囲まで改ざん有無を検出するようホスト監視部３６を制御する。一方、他の複数の監視装置によるホスト監視結果の少なくとも１つが異常であれば、処理制御部４６は、自装置のホスト監視において、装置起動時にミドルウェアに加えてアプリケーションの範囲まで改ざん有無を検出するようホスト監視部３６を制御する。
　さらに、他の複数の監視装置によるホスト監視結果がいずれも異常であれば、処理制御部４６は、装置起動時に加えて、定期的にアプリケーションの範囲まで改ざん有無を検出するようホスト監視部３６を制御する。他の複数の監視装置によるホスト監視結果がいずれも異常である場合は、自装置もプログラムの改ざん等の攻撃を受けている蓋然性が高い。そのため、通常時より監視対象と監視タイミングの両方を拡大することで、自装置の異常を迅速かつ確実に検出しやすくなる。
　第２変形例を説明する。処理制御部４６は、複数種類の監視対象のうち、他の複数の監視装置により異常が検出された監視対象の個数（種類数）に応じて、複数種類の動作切替態様の中からいずれかを選択してもよい。図８は、第２変形例のＩＶＩ装置１２における動作切替の例を示す。同図の４行目までは、ホスト監視とＮＷ監視の個々の正否に基づく動作切替であり、図４の動作例（１）で説明済みのため再度の説明を省略する。
　処理制御部４６は、ホスト監視結果とＮＷ監視結果のそれぞれに応じて既述の動作切替を実行するとともに、ホスト監視とＮＷ監視の両方が異常の場合はさらに、車両１０の自動運転を終了させる。ホスト監視とＮＷ監視の両方が異常の場合、処理制御部４６は、監視対象の拡大、ログ保存対象の拡大とともに、自動運転を終了させてもよい。また、処理制御部４６は、イーサネット監視ＥＣＵ１４によるホスト監視結果とＣＡＮ監視ＥＣＵ１６によるホスト監視結果の少なくとも一方が異常となり、イーサネット監視ＥＣＵ１４によるＮＷ監視結果とＣＡＮ監視ＥＣＵ１６によるＮＷ監視結果の少なくとも一方が異常となった場合に、ホスト監視とＮＷ監視の両方が異常であると判定してもよい。
　第３変形例を説明する。図９は、図２に対応し、第３変形例のＣＡＮ監視ＥＣＵ１６の機能構成を示すブロック図である。ＩＶＩ装置１２およびイーサネット監視ＥＣＵ１４の機能構成もＣＡＮ監視ＥＣＵ１６と同様になる。監視部３２は、ＮＷ監視部３４によるＮＷ監視の結果と、ホスト監視部３６によるホスト監視の結果の両方を処理制御部４６へさらに出力してもよい。処理制御部４６は、他の監視装置による監視結果と、自装置による監視結果の組み合わせに基づいて、自装置が実行するセキュリティ関連処理または車両１０の挙動を変更してもよい。
　図１０は、第３変形例のＩＶＩ装置１２における動作切替の例を示す。図１０における個々の動作は、図４に関連して説明済みのため再度の説明を省略する。なお、他の監視装置のホスト監視結果が異常で、かつ、自装置の車外ＮＷ監視結果も異常の場合、セキュリティのリスクがより高いと考えられる。そこで、処理制御部４６は、アプリケーションまで改ざんを検出し、かつ、定期的に自装置の改ざんを検出するように、自装置のホスト監視を制御してもよい。同様に、他の監視装置の車載ＮＷ監視結果が異常で、かつ、自装置の車外ＮＷ監視結果も異常の場合、処理制御部４６は、異常メッセージ＋前後のメッセージをログ保存し、かつ、ＳＯＣへログ通知を開始するように制御してもよい。
　第４変形例を説明する。予め監視対象ごとに重要度が設定されてよく、監視装置の処理制御部４６は、異常を検出した監視対象の重要度に応じて動作を切り替えてもよい。具体的には、処理制御部４６は、他の複数の監視装置により異常が検出された監視対象の重要度に応じて、予め定められた複数種類の動作切替態様の中からいずれかを選択してもよい。上記重要度は、監視対象の種別（監視装置内部、車載ＮＷ、車外ＮＷ等）に応じて設定されてもよく、例えば、車外ＮＷは重要度低、車載ＮＷは重要度中、監視機器内部は重要度高が設定されてもよい。また、上記重要度は、異常が検出された監視対象の個数に応じて設定されてもよく、その個数が多いほど高い重要度が設定されてもよい。また、同種の監視対象（ＣＡＮ、イーサネット等）で異なる重要度が設定されてもよい。処理制御部４６は、異常が検出された監視対象の重要度が高いほど、自装置における監視基準をより厳しい基準へ切り替えてもよく、また、より重大な異常に対応付けられたセキュリティ関連処理を実行してもよい。
　別の変形例を説明する。車両１０は、実施の形態に記載した以外の監視装置を有してもよい。また、監視装置の個数に制約はない。例えば、車両１０は、実施の形態に記載した以外のＮＷ、例えばＣＡＮ　ＦＤ（CAN　with　Flexible　Data-Rate）、ＦｌｅｘＲａｙ、ＭＯＳＴ（Media　Oriented　Systems　Transport）等を有してもよく、これらのＮＷを監視する監視装置を有してもよい。また、同種のＮＷが複数チャネル（例えば複数バス）設けられる場合、各チャネルに対して別の監視装置が設けられてもよい。例えば、２種類の車外ＮＷに対して、エントリポイントの監視装置が２つ設けられてもよい。また、２つのＣＡＮに対して、２つのＣＡＮ監視ＥＣＵが設けられてもよい。
　車両１０に搭載される監視装置は２つでもよい。ここでは、車両１０に、ＩＶＩ装置１２とＣＡＮ監視ＥＣＵ１６が搭載されることとし、ＩＶＩ装置１２における動作切替の例を図４の動作例（１）を参照しつつ説明する。ＣＡＮ監視ＥＣＵ１６によるホスト監視結果が正常であれば、ＩＶＩ装置１２は、自装置のホスト監視において、ミドルウェアの範囲まで改ざん有無を検出するよう制御する。一方、ＣＡＮ監視ＥＣＵ１６によるホスト監視結果が異常であれば、ＩＶＩ装置１２は、自装置のホスト監視において、ミドルウェアに加えてアプリケーションの範囲まで改ざん有無を検出するよう制御する。また、ＣＡＮ監視ＥＣＵ１６によるＮＷ監視結果が正常であれば、ＩＶＩ装置１２は、自装置のＮＷ監視において、異常を検出したメッセージのみ不揮発メモリへ保存するよう制御する。一方、ＣＡＮ監視ＥＣＵ１６によるＮＷ監視結果が異常であれば、ＩＶＩ装置１２は、自装置のＮＷ監視において、異常を検出したメッセージに加えて、その前後の所定数のメッセージを不揮発メモリへ保存するよう制御する。
　ゲートウェイや制御ＥＣＵ等、任意のＥＣＵが、実施の形態に記載の監視機能を有してもよい。
　監視装置間における監視結果のデータの通知方法は、任意の公知技術を適用できる。例えば、車載ネットワーク（ＣＡＮ、ＣＡＮ　ＦＤ、イーサネット、ＭＯＳＴ、ＦｌｅｘＲａｙ等）を介して監視結果を通知してもよい。また、専用線（ジカ線、ＣＡＮ、イーサネット等）を介して監視結果を通知してもよい。
　処理制御部４６は、自動運転の有効化、無効化に限らず、監視結果に応じて、他の機器へ動作切替指示を送信してもよい。
　監視結果は、正常と異常だけでなく、未定状態を含んでもよい。未定状態は、例えば、監視機能動作前の状態を含んでもよく、監視機能による検証中の状態を含んでもよい。車両１０における複数の監視装置のそれぞれは、監視機能動作前または検証中において未定状態を示す監視結果を他の監視装置へ通知してもよい。
　処理制御部４６は、監視結果が未定状態の場合、監視結果が正常および異常の場合とは異なる処理を実行してもよい。処理制御部４６は、全ての監視結果、例えば、自装置および他の監視装置によるホスト監視結果とＮＷ監視結果の少なくとも一部に未定状態または異常が含まれる場合、自動運転機能を有効化しないよう自動運転コントローラまたはＡＤＡＳを制御してもよい。また、処理制御部４６は、未定状態を示す監視結果が他の監視装置から通知された場合、当該他の監視装置から異常を示す監視結果が通知されるまで、すなわち異常が確定するまでは、フレームの無効化処理を抑制するようにフレーム無効化部３１を制御してもよい。
　また、監視結果は、正常と異常に加えてグレー状態を含んでもよく、または、正常と異常と未定状態に加えてグレー状態を含んでもよい。グレー状態は、監視機能により正常または異常を判断することが難しい状態である。例えば、ＮＷ監視部３４は、正常の範囲に含まれる値をとるメッセージであるが、当該メッセージの値が、異常と判断する閾値に近い場合、当該メッセージをグレー状態として判定してもよく、また、ＮＷ監視結果をグレー状態と判定してもよい。同様にホスト監視部３６も、自装置の状態に関する値が正常の範囲であるが、その値が、異常と判断する閾値に近い場合、ホスト監視結果をグレー状態と判定してもよい。処理制御部４６は、監視結果がグレー状態の場合、監視結果が正常、異常、未定状態の場合とは異なる処理を実行してもよい。
　なお、上記実施の形態では、車両に搭載される車載ネットワークにおけるセキュリティ対策として説明したが、本開示の適用範囲はこれに限られない。車両は、モビリティの一例である。本開示は、車両に限らず、建機、農機、船舶、鉄道、飛行機などのモビリティにも適用してもよい。
　なお、実施の形態および変形例に記載の技術は、以下の項目によって特定されてもよい。
　［項目１］
　監視装置は、モビリティに搭載される複数の監視装置に含まれる、第一監視対象の異常状態を監視する。監視装置は、受信部と、制御部と、を有する。受信部は、第一監視対象とは異なる第二監視対象の異常状態を監視する他の監視装置による異常検出結果を受信する。制御部は、他の監視装置による異常検出結果に応じて、監視装置が実行する処理を変更する。
　この監視装置によると、監視装置単体で状態を監視可能な範囲を超えた、モビリティに関連する様々な要素の状態に応じて、セキュリティ関連処理の態様またはモビリティの挙動を一層適切に制御可能になる。
　［項目２］
　項目１に記載の監視装置はエントリポイント機器であってよい。第一監視対象はエントリポイント機器またはモビリティの外部のネットワークであってよい。他の監視装置は電子制御ユニットであってよい。第二監視対象は電子制御ユニットまたはモビリティの内部のネットワークであってよい。
　この監視装置によると、監視装置単体で状態を監視可能な範囲を超えた、モビリティに関連する様々な要素の状態に応じて、セキュリティ関連処理の態様またはモビリティの挙動を一層適切に制御可能になる。
　［項目３］
　項目２に記載の監視装置は、第一監視対象が異常状態かを検出する検出部、をさらに有してよい。制御部は、検出部による検出処理を変更してよい。
　この監視装置によると、モビリティに関連する様々な要素の状態に応じて、監視処理の態様を適切に調整することができる。
　［項目４］
　項目２または３に記載の監視装置は、第一監視対象の異常検出結果を示すログを保存する保存部、をさらに有してよい。制御部は、保存部による保存処理を変更してよい。
　この監視装置によると、モビリティに関連する様々な要素の状態に応じて、ログの保存処理の態様を適切に調整することができる。
　［項目５］
　項目１に記載の監視装置は、モビリティの内部の第一ネットワークを監視する第一監視電子制御ユニットであってよい。第一監視対象は、第一監視電子制御ユニットまたは第一ネットワークであってよい。他の監視装置は、第一ネットワークとは異なるモビリティの内部の第二ネットワークを監視する第二監視電子制御ユニットであってよい。第二監視対象は、第二監視電子制御ユニットまたは第二ネットワークであってよい。
　この監視装置によると、監視装置単体で状態を監視可能な範囲を超えた、モビリティに関連する様々な要素の状態に応じて、セキュリティ関連処理の態様またはモビリティの挙動を一層適切に制御可能になる。
　［項目６］
　項目５に記載の監視装置において、第一ネットワークおよび第二ネットワークは、一方がイーサネットであり、他方がＣＡＮであってよい。
　この監視装置によると、モビリティにイーサネットおよびＣＡＮが併設される場合に、それらの状態に応じて、セキュリティ関連処理の態様またはモビリティの挙動を一層適切に制御可能になる。
　［項目７］
　項目５または６に記載の監視装置は、第一監視対象が異常状態かを検出する検出部と、をさらに有してよい。制御部は、検出部による検出処理を変更してよい。
　この監視装置によると、監視装置単体で状態を監視可能な範囲を超えた、モビリティに関連する様々な要素の状態に応じて、自装置による監視処理を一層適切に制御可能になる。
　［項目８］
　項目５から７のいずれか１項目に記載の監視装置は、フレーム受信部と、無効化部と、をさらに有してよい。フレーム受信部は、外部装置から送信されたメッセージを受信する。無効化部は、メッセージを無効化する。制御部は、無効化部による無効化処理を変更してよい。
　この監視装置によると、モビリティに関連する様々な要素の状態に応じて、メッセージのフィルタリングまたは無効化等の態様を適切に調整することができる。
　［項目９］
　項目５から８のいずれか１項目に記載の監視装置は、第一監視対象の異常検出結果を示すログを保存する保存部をさらに有してよい。制御部は、保存部による保存処理を変更してよい。
　この監視装置によると、モビリティに関連する様々な要素の状態に応じて、ログの保存処理の態様を適切に調整することができる。
　［項目１０］
　項目５から９のいずれか１項目に記載の監視装置は、第一監視対象の異常検出結果を示すログを外部装置へ通知する通知部をさらに有してよい。制御部は、通知部による通知処理を変更してよい。
　この監視装置によると、モビリティに関連する様々な要素の状態に応じて、ログの通知処理の態様を適切に調整することができる。
　［項目１１］
　項目５から１０のいずれか１項目に記載の監視装置において、制御部は、モビリティの自動運転機能に関する処理を変更してよい。
　この監視装置によると、モビリティに関連する様々な要素の状態に応じて、当該モビリティにおける自動運転機能を適切に制御することができる。
　［項目１２］
　監視システムは、第一監視装置と、第二監視装置と、を有する。第一監視装置は、モビリティに搭載される。第一監視装置は、第一監視対象が異常状態かを検出し、第一監視対象とは異なる第二監視対象を監視する第二監視装置へ、異常検出結果を送信する。第二監視装置は、モビリティに搭載される。第二監視装置は、第一監視装置から送信された異常検出結果を受信し、異常検出結果に応じて、第二監視装置が実行する処理を変更する。
　この監視システムによると、１つの監視装置により状態を監視可能な範囲を超えた、モビリティに関連する様々な要素の状態に応じて、セキュリティ関連処理の態様またはモビリティの挙動を一層適切に制御可能になる。
　［項目１３］
　コンピュータプログラムは、モビリティに搭載される複数の監視装置に含まれる、第一監視対象の異常状態を監視する監視装置に、第一監視対象とは異なる第二監視対象の異常状態を監視する他の監視装置による異常検出結果を受信する受信処理を実行させる。また、コンピュータプログラムは、監視装置に、他の監視装置による異常検出結果に応じて、監視装置が実行する処理を変更する制御処理を実行させる。
　このコンピュータプログラムによると、監視装置単体で状態を監視可能な範囲を超えた、モビリティに関連する様々な要素の状態に応じて、セキュリティ関連処理の態様またはモビリティの挙動を一層適切に制御する監視装置を実現できる。
　上述した実施の形態および変形例の任意の組み合わせもまた本開示の実施の形態として有用である。組み合わせによって生じる新たな実施の形態は、組み合わされる実施の形態および変形例それぞれの効果をあわせもつ。また、請求項に記載の各構成要件が果たすべき機能は、実施の形態および変形例において示された各構成要素の単体もしくはそれらの連携によって実現されることも当業者には理解されるところである。
　本開示は、データ処理技術に関し、特に監視装置、監視システムおよびコンピュータプログラムとして有用である。
　１０　車両（モビリティ）
　１２　ＩＶＩ装置
　１４　イーサネット監視ＥＣＵ
　１６　ＣＡＮ監視ＥＣＵ
　１８　車外ＮＷ
　２０　イーサネット
　２２　ＣＡＮ
　３０　フレーム受信部
　３１　フレーム無効化部
　３２　監視部
　３４　ＮＷ監視部
　３６　ホスト監視部
　３８　ログ保存部
　４０　ログ送信部
　４２　監視結果送信部
　４４　監視結果受信部
　４６　処理制御部

Claims (13)

  1. 　モビリティに搭載される複数の監視装置に含まれる、第一監視対象の異常状態を監視する監視装置であって、
    　前記第一監視対象とは異なる第二監視対象の異常状態を監視する他の監視装置による異常検出結果を受信する受信部と、
    　前記他の監視装置による異常検出結果に応じて、前記監視装置が実行する処理を変更する制御部と、
    　を備える監視装置。
  2. 　前記監視装置はエントリポイント機器であり、前記第一監視対象は前記エントリポイント機器または前記モビリティの外部のネットワークであり、
    　前記他の監視装置は電子制御ユニットであり、前記第二監視対象は前記電子制御ユニットまたは前記モビリティの内部のネットワークである、
    　請求項１に記載の監視装置。
  3. 　前記第一監視対象が異常状態かを検出する検出部、をさらに備え、
    　前記制御部は、前記検出部による検出処理を変更する、
    　請求項２に記載の監視装置。
  4. 　前記第一監視対象の異常検出結果を示すログを保存する保存部、をさらに備え、
    　前記制御部は、前記保存部による保存処理を変更する、
    　請求項２または３に記載の監視装置。
  5. 　前記監視装置は、前記モビリティの内部の第一ネットワークを監視する第一監視電子制御ユニットであり、
    　前記第一監視対象は、前記第一監視電子制御ユニットまたは前記第一ネットワークであり、
    　前記他の監視装置は、前記第一ネットワークとは異なる前記モビリティの内部の第二ネットワークを監視する第二監視電子制御ユニットであり、
    　前記第二監視対象は、前記第二監視電子制御ユニットまたは前記第二ネットワークである、
    　請求項１に記載の監視装置。
  6. 　前記第一ネットワークおよび前記第二ネットワークは、一方がイーサネットであり、他方がＣＡＮである
    　請求項５に記載の監視装置。
  7. 　前記第一監視対象が異常状態かを検出する検出部と、をさらに備え、
    　前記制御部は、前記検出部による検出処理を変更する、
    　請求項５または６に記載の監視装置。
  8. 　外部装置から送信されたメッセージを受信するフレーム受信部と、
    　前記メッセージを無効化する無効化部と、をさらに備え、
    　前記制御部は、前記無効化部による無効化処理を変更する、
    　請求項５から７のいずれか１項に記載の監視装置。
  9. 　前記第一監視対象の異常検出結果を示すログを保存する保存部をさらに備え、
    　前記制御部は、前記保存部による保存処理を変更する、
    　請求項５から８のいずれか１項に記載の監視装置。
  10. 　前記第一監視対象の異常検出結果を示すログを外部装置へ通知する通知部をさらに備え、
    　前記制御部は、前記通知部による通知処理を変更する、
    　請求項５から９のいずれか１項に記載の監視装置。
  11. 　前記制御部は、前記モビリティの自動運転機能に関する処理を変更する、
    　請求項５から１０のいずれか１項に記載の監視装置。
  12. 　モビリティに搭載される第一監視装置が、
    　第一監視対象が異常状態かを検出し、
    　前記第一監視対象とは異なる第二監視対象を監視する第二監視装置へ、異常検出結果を送信し、
    　前記モビリティに搭載される前記第二監視装置が、
    　前記第一監視装置から送信された前記異常検出結果を受信し、
    　前記異常検出結果に応じて、前記第二監視装置が実行する処理を変更する、
    　監視システム。
  13. 　モビリティに搭載される複数の監視装置に含まれる、第一監視対象の異常状態を監視する監視装置に、
    　前記第一監視対象とは異なる第二監視対象の異常状態を監視する他の監視装置による異常検出結果を受信する受信処理と、
    　前記他の監視装置による異常検出結果に応じて、前記監視装置が実行する処理を変更する制御処理と、
    　を実行させるためのコンピュータプログラム。
PCT/JP2018/025740 2017-08-30 2018-07-06 監視装置、監視システムおよびコンピュータプログラム WO2019044174A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
DE112018004881.0T DE112018004881T5 (de) 2017-08-30 2018-07-06 Überwachungsvorrichtung, Überwachungssystem und Computerprogramm
US16/783,487 US20200177412A1 (en) 2017-08-30 2020-02-06 Monitoring device, monitoring system, and computer readable storage medium

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017165141A JP6913869B2 (ja) 2017-08-30 2017-08-30 監視装置、監視システムおよびコンピュータプログラム
JP2017-165141 2017-08-30

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US16/783,487 Continuation US20200177412A1 (en) 2017-08-30 2020-02-06 Monitoring device, monitoring system, and computer readable storage medium

Publications (1)

Publication Number Publication Date
WO2019044174A1 true WO2019044174A1 (ja) 2019-03-07

Family

ID=65525021

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/025740 WO2019044174A1 (ja) 2017-08-30 2018-07-06 監視装置、監視システムおよびコンピュータプログラム

Country Status (4)

Country Link
US (1) US20200177412A1 (ja)
JP (1) JP6913869B2 (ja)
DE (1) DE112018004881T5 (ja)
WO (1) WO2019044174A1 (ja)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7192747B2 (ja) * 2019-11-13 2022-12-20 株式会社オートネットワーク技術研究所 車載中継装置及び情報処理方法
JP7420285B2 (ja) 2020-12-10 2024-01-23 株式会社オートネットワーク技術研究所 車載装置、不正検知方法及びコンピュータプログラム

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015136107A (ja) * 2014-01-06 2015-07-27 アーガス サイバー セキュリティ リミテッド グローバル自動車安全システム
JP2016134914A (ja) * 2015-01-20 2016-07-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正検知ルール更新方法、不正検知電子制御ユニット及び車載ネットワークシステム
JP2016134170A (ja) * 2015-01-20 2016-07-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正対処方法及び電子制御ユニット

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6531011B2 (ja) 2015-09-04 2019-06-12 日立オートモティブシステムズ株式会社 車載ネットワーク装置

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015136107A (ja) * 2014-01-06 2015-07-27 アーガス サイバー セキュリティ リミテッド グローバル自動車安全システム
JP2016134914A (ja) * 2015-01-20 2016-07-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正検知ルール更新方法、不正検知電子制御ユニット及び車載ネットワークシステム
JP2016134170A (ja) * 2015-01-20 2016-07-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正対処方法及び電子制御ユニット

Also Published As

Publication number Publication date
JP6913869B2 (ja) 2021-08-04
US20200177412A1 (en) 2020-06-04
JP2019047177A (ja) 2019-03-22
DE112018004881T5 (de) 2020-06-18

Similar Documents

Publication Publication Date Title
JP6846706B2 (ja) 監視装置、監視方法およびコンピュータプログラム
JP7231559B2 (ja) 異常検知電子制御ユニット、車載ネットワークシステム及び異常検知方法
KR102524204B1 (ko) 차량용 네트워크의 침입 대응 장치 및 방법
JP5702829B2 (ja) 中継装置
JP2018064293A (ja) 不正制御抑止方法、不正制御抑止装置及び車載ネットワークシステム
CN111448787B (zh) 用于提供安全的车载网络的系统及方法
WO2018135098A1 (ja) 監視装置、監視方法およびコンピュータプログラム
JP6782444B2 (ja) 監視装置、監視方法およびコンピュータプログラム
JP6369341B2 (ja) 車載通信システム
US20210258187A1 (en) Electronic control device, electronic control method, and recording medium
JP2019008618A (ja) 情報処理装置、情報処理方法及びプログラム
JP6586500B2 (ja) データバスによってメッセージシーケンスを送信するための方法及び装置並びにこうして送信されるメッセージシーケンスに対する攻撃を認識するための方法及び装置
WO2021111681A1 (ja) 情報処理装置、制御方法及びプログラム
WO2019044174A1 (ja) 監視装置、監視システムおよびコンピュータプログラム
JP6404848B2 (ja) 監視装置、及び、通信システム
WO2020137852A1 (ja) 情報処理装置
JP7006461B2 (ja) 電子制御装置および電子制御システム
JP2012174198A (ja) 異常検出装置、および異常検出プログラム
WO2020105657A1 (ja) 車載中継装置及び中継方法
JP7471532B2 (ja) 制御装置
US20230267204A1 (en) Mitigating a vehicle software manipulation
US20230075593A1 (en) Information processing device, information processing system, information processing method, and recording medium storing information processing program
WO2023084624A1 (ja) 車載制御装置
JP5545125B2 (ja) 通信装置
JP2023122636A (ja) 車両のソフトウェアの改竄の軽減

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18851946

Country of ref document: EP

Kind code of ref document: A1

122 Ep: pct application non-entry in european phase

Ref document number: 18851946

Country of ref document: EP

Kind code of ref document: A1