WO2019142458A1 - 車両監視装置、不正検知サーバ、および、制御方法 - Google Patents

車両監視装置、不正検知サーバ、および、制御方法 Download PDF

Info

Publication number
WO2019142458A1
WO2019142458A1 PCT/JP2018/041295 JP2018041295W WO2019142458A1 WO 2019142458 A1 WO2019142458 A1 WO 2019142458A1 JP 2018041295 W JP2018041295 W JP 2018041295W WO 2019142458 A1 WO2019142458 A1 WO 2019142458A1
Authority
WO
WIPO (PCT)
Prior art keywords
vehicle
information
log
unit
target vehicle
Prior art date
Application number
PCT/JP2018/041295
Other languages
English (en)
French (fr)
Other versions
WO2019142458A8 (ja
Inventor
剛 岸川
芳賀　智之
唯之 鳥崎
崇光 佐々木
松島　秀樹
Original Assignee
パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ filed Critical パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority to EP18901422.8A priority Critical patent/EP3744584A4/en
Priority to JP2019525031A priority patent/JP7178346B2/ja
Priority to CN201880012134.1A priority patent/CN110494330B/zh
Publication of WO2019142458A1 publication Critical patent/WO2019142458A1/ja
Priority to US16/540,668 priority patent/US11217042B2/en
Publication of WO2019142458A8 publication Critical patent/WO2019142458A8/ja
Priority to US17/534,876 priority patent/US11875612B2/en
Priority to JP2022182173A priority patent/JP2023016844A/ja

Links

Images

Classifications

    • G—PHYSICS
    • G08—SIGNALLING
    • G08G—TRAFFIC CONTROL SYSTEMS
    • G08G1/00—Traffic control systems for road vehicles
    • G08G1/01—Detecting movement of traffic to be counted or controlled
    • G08G1/0104—Measuring and analyzing of parameters relative to traffic conditions
    • G08G1/0108—Measuring and analyzing of parameters relative to traffic conditions based on the source of data
    • G08G1/0112—Measuring and analyzing of parameters relative to traffic conditions based on the source of data from the vehicle, e.g. floating car data [FCD]
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R25/00—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles
    • B60R25/30—Detection related to theft or to other events relevant to anti-theft systems
    • B60R25/32—Detection related to theft or to other events relevant to anti-theft systems of vehicle dynamic parameters, e.g. speed or acceleration
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q40/00—Finance; Insurance; Tax strategies; Processing of corporate or income taxes
    • G06Q40/08—Insurance
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q50/00—Systems or methods specially adapted for specific business sectors, e.g. utilities or tourism
    • G06Q50/10—Services
    • G06Q50/26—Government or public services
    • G06Q50/265—Personal security, identity or safety
    • G06Q50/40—
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/008—Registering or indicating the working of vehicles communicating information to a remotely located station
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/02—Registering or indicating driving, working, idle, or waiting time only
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/08—Registering or indicating performance data other than driving, working, idle, or waiting time, with or without registering driving, working, idle or waiting time
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/08—Registering or indicating performance data other than driving, working, idle, or waiting time, with or without registering driving, working, idle or waiting time
    • G07C5/0816—Indicating performance data, e.g. occurrence of a malfunction
    • G07C5/0825—Indicating performance data, e.g. occurrence of a malfunction using optical means
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/08—Registering or indicating performance data other than driving, working, idle, or waiting time, with or without registering driving, working, idle or waiting time
    • G07C5/0841—Registering performance data
    • G—PHYSICS
    • G08—SIGNALLING
    • G08G—TRAFFIC CONTROL SYSTEMS
    • G08G1/00—Traffic control systems for road vehicles
    • G08G1/01—Detecting movement of traffic to be counted or controlled
    • G08G1/0104—Measuring and analyzing of parameters relative to traffic conditions
    • G08G1/0125—Traffic data processing
    • G08G1/0133—Traffic data processing for classifying traffic situation
    • G—PHYSICS
    • G08—SIGNALLING
    • G08G—TRAFFIC CONTROL SYSTEMS
    • G08G1/00—Traffic control systems for road vehicles
    • G08G1/01—Detecting movement of traffic to be counted or controlled
    • G08G1/04—Detecting movement of traffic to be counted or controlled using optical or ultrasonic detectors
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/02—Services making use of location information
    • H04W4/023—Services making use of location information using mutual or relative location information between multiple location based services [LBS] targets or of distance thresholds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/02—Services making use of location information
    • H04W4/029—Location-based management or tracking services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/44—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for communication between vehicles and infrastructures, e.g. vehicle-to-cloud [V2C] or vehicle-to-home [V2H]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks

Definitions

  • the present invention relates to a vehicle monitoring device, a fraud detection server, and a control method.
  • ECUs electronice control units
  • in-vehicle network A network connecting these ECUs is called an in-vehicle network.
  • CAN Controller Area Network
  • Patent Document 1 discloses a method of calculating the degree of abnormality of a frame transmitted in an in-vehicle network by uploading information on the frame transmitted to the in-vehicle network to a fraud detection server.
  • the present invention provides a vehicle monitoring device or the like that supports detection of an unauthorized vehicle even if the unauthorized vehicle tampers with a frame to be uploaded.
  • a vehicle monitoring apparatus includes: a first communication unit that receives from a server specific information that specifies a target vehicle; and traveling of the target vehicle specified by the specific information received by the first communication unit And an acquisition unit for acquiring travel information which is information related to the target vehicle from the target vehicle, and the first communication unit transmits the travel information acquired by the acquisition unit to the server.
  • the vehicle monitoring device of the present invention can support detection of an illegal vehicle even if the illegal vehicle tampers with a frame to be uploaded.
  • FIG. 1 is a diagram showing an overall configuration of an in-vehicle network monitoring system according to an embodiment.
  • FIG. 2 is a diagram showing an entire configuration of the in-vehicle network system in the embodiment.
  • FIG. 3 is a diagram showing the configuration of the fraud detection server according to the embodiment.
  • FIG. 4A is a diagram showing the configuration of the gateway in the embodiment.
  • FIG. 4B is a diagram showing a configuration of a roadside device in the embodiment.
  • FIG. 5 is a first flowchart showing processing of the fraud detection server in the embodiment.
  • FIG. 6 is a second flow diagram showing processing of the fraud detection server in the embodiment.
  • FIG. 7 is a first flow chart showing processing of the gateway in the embodiment.
  • FIG. 8 is a second flow diagram showing processing of the gateway in the embodiment.
  • FIG. 1 is a diagram showing an overall configuration of an in-vehicle network monitoring system according to an embodiment.
  • FIG. 2 is a diagram showing an entire configuration of the in-vehi
  • FIG. 9 is a sequence diagram in the case of acquiring a communication log by communication in the embodiment.
  • FIG. 10 is a sequence diagram in the case of acquiring a communication log by photographing with a camera according to the embodiment.
  • FIG. 11 is a sequence diagram in the case of acquiring a communication log by sensing by a sensor in the embodiment.
  • FIG. 12 is a sequence diagram in the case of acquiring a communication log from the driver by sensing in the embodiment.
  • FIG. 13 is an explanatory view showing a first operation example of the in-vehicle network monitoring system in the embodiment.
  • FIG. 14 is an explanatory view showing a second operation example of the in-vehicle network monitoring system in the embodiment.
  • FIG. 15 is an explanatory view showing the conditions for determining the priority by the monitoring log in the embodiment.
  • FIG. 16 is an explanatory view showing a third operation example of the in-vehicle network monitoring system in the embodiment.
  • FIG. 17 is an explanatory view showing an example of a vehicle log and a monitoring log in the embodiment.
  • FIG. 18 is a block diagram showing a functional configuration of a vehicle monitoring device in a modification of the embodiment.
  • FIG. 19 is a block diagram showing a functional configuration of the fraud detection server in the modification of the embodiment.
  • FIG. 20 is a flowchart showing a control method of the vehicle monitoring device in the modification of the embodiment.
  • FIG. 21 is a flowchart showing a control method of the fraud detection server in the modification of the embodiment.
  • a vehicle monitoring apparatus includes: a first communication unit that receives from a server specific information that specifies a target vehicle; and traveling of the target vehicle specified by the specific information received by the first communication unit And an acquisition unit for acquiring travel information which is information related to the target vehicle from the target vehicle, and the first communication unit transmits the travel information acquired by the acquisition unit to the server.
  • the vehicle monitoring device acquires, from the target vehicle, travel information of the target vehicle specified by the specific information obtained from the server, and transmits the acquired travel information to the server. Therefore, even if the frame uploaded to the server by the target vehicle is falsified, the server can detect the fraud of the target vehicle based on the traveling information of the target vehicle transmitted to the server by the vehicle monitoring device. Thus, the vehicle monitoring device can support detection of an unauthorized vehicle even if the unauthorized vehicle tampers with a frame to be uploaded.
  • the acquisition unit may acquire the travel information acquired from the target vehicle by communication.
  • the vehicle monitoring device acquires the traveling information obtained by the communication with the specific vehicle. Therefore, the vehicle monitoring device can support detection of an illegal vehicle even if the illegal vehicle tampers with a frame to be uploaded, by obtaining traveling information of the target vehicle more easily.
  • the acquisition unit may acquire the travel information obtained by sensing the target vehicle.
  • the vehicle monitoring device acquires travel information obtained by sensing the specific vehicle. Therefore, the vehicle monitoring device can support detection of an illegal vehicle even if the illegal vehicle tampers with a frame to be uploaded, by obtaining traveling information of the target vehicle more easily.
  • the vehicle monitoring device further determines whether or not the first travel information, which is the travel information obtained by the communication, matches the second travel information, which is the travel information obtained by the sensing.
  • the first travel information and the second travel are provided only when the first communication unit determines that the first travel information and the second travel information do not match.
  • Information may be sent to the server.
  • the vehicle monitoring device since the vehicle monitoring device transmits the traveling information to the server only when the traveling information of the target vehicle acquired by communication and the traveling information of the target vehicle acquired by sensing do not match, it transmits to the server The amount of communication is reduced.
  • the vehicle monitoring device can support detection of an unauthorized vehicle even if the unauthorized vehicle tampers with a frame uploaded while suppressing the amount of communication to the server.
  • the vehicle monitoring device is mounted on a vehicle, and the acquisition unit presents question information for asking a driver of the vehicle the traveling state of the target vehicle, and the driver responds to the question information presented.
  • the travel information may be acquired based on the response information acquired by sensing.
  • the vehicle monitoring device acquires the result of the determination by the driver on the traveling state of the target vehicle by sensing. Therefore, the vehicle monitoring device can support detection of an illegal vehicle even if the illegal vehicle tampers with a frame uploaded using the traveling information of the target vehicle obtained from more information sources.
  • the travel information of the target vehicle may include speed information indicating the speed of the target vehicle.
  • the vehicle monitoring device can particularly detect the fraud regarding the speed of the target vehicle.
  • the vehicle monitoring device can support detection of an illegal vehicle even if the illegal vehicle uploads a frame that has been particularly falsified with respect to speed.
  • the fraud detection server holds a first communication unit that receives first traveling information that is information related to traveling of a target vehicle, and position information indicating current positions of a plurality of vehicles.
  • first traveling information that is information related to traveling of a target vehicle, and position information indicating current positions of a plurality of vehicles.
  • the abnormality is preferentially analyzed from a second communication unit that receives the second travel information from a vehicle monitoring device provided in the one or more vehicles, and the first travel information and the second travel information. Determine the priority to indicate the power Higher priority is higher the abnormality, more preferentially, and a notification unit for the notification of the abnormality.
  • the fraud detection server causes the vehicle monitoring device of a vehicle existing within a predetermined distance from the target vehicle to acquire the traveling state from the target vehicle. Therefore, even if the frame uploaded to the server by the target vehicle is falsified, the server can detect the fraud of the target vehicle based on the traveling information of the target vehicle transmitted to the server by the vehicle monitoring device. Thus, the fraud detection server can detect a fraudulent vehicle even if the fraudulent vehicle tampers with a frame to be uploaded.
  • the notification unit determines the higher priority to the abnormality detected for the first travel information. It is also good.
  • the fraud detection server when the travel information of the target vehicle acquired by communication and the travel information of the target vehicle acquired by sensing do not match, the fraud detection server notifies the analyst or the like of the abnormality more preferentially. Do. Therefore, it is possible to cause the analyst or the like to execute the measures necessary when the above two pieces of travel information do not match.
  • traveling is information related to traveling of the target vehicle specified by the specified information received by receiving from the server specific information specifying the target vehicle.
  • Information is acquired from the target vehicle, and the acquired travel information is transmitted to the server.
  • a control method of a fraud detection server is a control method of a fraud detection server, which receives first travel information which is information related to travel of a target vehicle, and detects current positions of a plurality of vehicles. Position information indicating the position of the vehicle, and when an abnormality is detected in the first traveling information received from the target vehicle, one or more vehicles existing within a predetermined distance from the Is identified with reference to the position information, and a notification of a request for acquiring second travel information related to the travel of the target vehicle is transmitted to the vehicle monitoring device included in the identified one or more vehicles, and The second traveling information is received from the vehicle monitoring device provided in the above vehicle, and the priority indicating the degree to which the abnormality should be preferentially analyzed is determined from the first traveling information and the second traveling information. , The priority is high As the abnormality, more preferentially, the notification of the abnormality.
  • Embodiment The following describes an illegal vehicle monitoring system including a plurality of vehicles equipped with an in-vehicle network (in-vehicle network system) in which a plurality of electronic control units (ECUs) communicate via a CAN bus and a server (corruption detection server) Do.
  • in-vehicle network system in which a plurality of electronic control units (ECUs) communicate via a CAN bus and a server (corruption detection server) Do.
  • ECUs electronice control units
  • the unauthorized vehicle monitoring system includes a vehicle monitoring device that supports detection of an unauthorized vehicle even if the unauthorized vehicle tampers with a frame to be uploaded.
  • FIG. 1 is a diagram showing an entire configuration of an unauthorized vehicle monitoring system according to the present embodiment.
  • a fraud detection server 80 As shown in FIG. 1, in the illegal vehicle monitoring system, a fraud detection server 80, a roadside device 90, and vehicles 1010a, 1010b, 1010c, 1010d, 1010e and 1010f are connected by a network 81 which is a communication path. Configured
  • the network 81 may include the Internet or a dedicated line.
  • the vehicles 1010a, 1010b, 1010c, 1010d, 1010e and 1010f are connected to various devices such as control devices in the vehicle, sensors, actuators, user interface devices, etc. to perform communication via a bus (CAN bus) in the vehicle.
  • a bus CAN bus
  • An in-vehicle network configured to include an ECU is provided.
  • each ECU communicates according to the CAN protocol.
  • the frames in the CAN protocol include data frames, remote frames, overload frames and error frames.
  • a data frame is defined to include an ID field for storing an ID, a DLC (Data Length Code) indicating a data length, and a data field for storing data.
  • ID for storing an ID
  • DLC Data Length Code
  • the roadside device 90 and the vehicles 1010 a, 1010 b, 1010 c and 1010 d exist in the area A.
  • existing in the same region means existing in a range in which V2X (Vehicle-to-Everything) communication can be performed with each other.
  • vehicles 1010 e and 1010 f exist in area B.
  • FIG. 2 is a diagram showing an example of the configuration of an in-vehicle network system in a vehicle 1010a of a vehicle type A. As shown in FIG. The vehicles of other vehicle types also have the same configuration as that shown in FIG. 2 or a partially different configuration.
  • a plurality of ECUs (ECUs 100, 101, 200, 201, 300, 301, 302, 400, and 401) connected by buses (CAN buses) 10, 20, 30, 40, and 50 are mounted on the vehicle network system in the vehicle 1010a or the like.
  • gateway 900 and so on.
  • the gateway 900 is also one of the ECUs.
  • the in-vehicle network system may include more ECUs.
  • the ECU is, for example, a device including a processor (microprocessor), a digital circuit such as a memory, an analog circuit, a communication circuit, and the like.
  • the memory is a ROM, a RAM, and can store a control program (computer program) executed by the processor.
  • control program computer program
  • the computer program is configured by combining a plurality of instruction codes for the processor in order to realize a predetermined function.
  • a powertrain system related to vehicle “run” such as control of a motor, a fuel, and a battery, including an ECU (engine ECU) 100 and an ECU (transmission ECU) 101 connected to an engine 110 and a transmission 111, respectively. ECU is connected.
  • ECU engine ECU
  • ECU transmission ECU
  • the bus 20 is related to control of vehicle behavior such as "bending", "stopping”, etc., including an ECU (brake ECU) 200 and an ECU (steering ECU) 201 connected to the brake 210 and the steering 211, respectively. Chassis system ECUs are connected.
  • the bus 30 carries out recognition, judgment and control of driving assistance based on camera information, including an ECU 300, an ECU 301 and an ECU 302 connected to a camera 310, an IVI (In-Vehicle Infotainment System) 311 and a V2X communication module 312, respectively.
  • An ECU associated with a function or a function related to an audio head unit or an information system such as V2X communication is connected.
  • body-system ECUs related to control of vehicle equipment such as an air conditioner or a blinker, including an ECU 400 and an ECU 401 connected to the door 410 and the light 411, respectively.
  • a diagnostic port 510 Connected to the bus 50 is a diagnostic port 510 which is an interface for communicating with an external diagnostic tool (fault diagnostic tool) or the like, such as OBD 2 (On-Board Diagnostics 2) or the like.
  • an external diagnostic tool fault diagnostic tool
  • OBD 2 On-Board Diagnostics 2
  • Each of the ECUs acquires the state of connected devices (engine 110, brake 210, etc.), and periodically transmits a frame or the like representing the state to the on-vehicle network, that is, the CAN bus.
  • the ECUs 100 and 101 connected to the bus 10, the ECUs 200 and 201 connected to the bus 20, and the ECUs 300, 301 and 302 connected to the bus 30 have a function of processing message authentication codes (MAC, Message Authentication Code) Is a MAC corresponding ECU which is an ECU having Specifically, the function of processing a MAC is, for example, a generation function and a verification function of a MAC.
  • MAC message authentication codes
  • the ECUs 400 and 401 connected to the bus 40 are non-MAC compatible ECUs that do not have the function of processing the MAC.
  • the gateway 900 is a MAC compatible ECU having a MAC generation function and a verification function.
  • the gateway 900 is an ECU that connects a plurality of different communication paths and transfers data between the communication paths.
  • the gateway 900 is connected to the bus 10, the bus 20, the bus 30, the bus 40, and the bus 50. That is, the gateway 900 is a kind of ECU having a function of transferring a frame (data frame) received from one bus to another bus (that is, a transfer destination bus selected according to the condition) under certain conditions.
  • the gateway 900 includes a communication device (such as a communication circuit) for communicating with the fraud detection server 80 outside the vehicle, and for example, transmits (uploads) information on a frame received from each bus to the fraud detection server 80 Have.
  • the configuration of the gateway 900 will be described in detail later.
  • FIG. 3 is a block diagram of the fraud detection server 80.
  • the fraud detection server 80 is a server for coping with fraudulent frames transmitted in a vehicle-mounted network such as the vehicle 1010a.
  • the fraud detection server 80 is realized by, for example, a computer including a processor, a memory, a communication interface, etc., and includes a communication unit 810, a processing determination unit 820, a log collection unit 830, a log analysis unit 840, and a result notification unit 850.
  • a monitoring log communication unit 860, a priority determination unit 870, a vehicle information DB 880, a vehicle log storage DB 881, an analysis result storage DB 882, and a monitoring log storage DB 883 are included.
  • the vehicle information DB 880, the vehicle log storage DB 881, the analysis result storage DB 882, and the monitoring log storage DB 883 can be realized by, for example, a storage medium such as a memory or a hard disk.
  • processing determination unit 820 the log collection unit 830, the log analysis unit 840, and the priority determination unit 870 may be realized, for example, by the control program stored in the memory being executed by the processor.
  • the communication unit 810 is realized by a communication interface, a processor that executes a control program stored in a memory, and the like.
  • the communication unit 810 communicates with the vehicles 1010a, 1010b, 1010c, 1010d, 1010e and 1010f via the network to receive information on each in-vehicle network.
  • the information on the in-vehicle network may include, for example, the contents of the frame that has flowed on the CAN bus of each in-vehicle network, reception timing (such as interval or frequency), information on bus load factor and MAC verification result of the frame.
  • meta information such as the current state of the vehicle is notified together.
  • the meta information may include information indicating the current vehicle position, BSM (Basic Safety Message), and weather.
  • the position of the vehicle is, for example, a GPS position acquired by GPS (Global Positioning System).
  • the processing determination unit 820 determines the processing content for the information related to the in-vehicle network, which is notified from the communication unit 810.
  • the log collection unit 830 is based on the information stored in the vehicle information DB 880, which is various data (such as information about frames received by the in-vehicle network) that are contents of log information collected from each vehicle.
  • various data such as information about frames received by the in-vehicle network
  • the log collection unit 830 may perform processing such as predetermined normalization on the various data.
  • the log analysis unit 840 analyzes the log information collected from each vehicle stored in the vehicle log storage DB 881 to determine whether the frame received by the on-vehicle network of a certain vehicle is incorrect, that is, It has a function of determining whether an attack frame has been transmitted to the in-vehicle network by an attacker.
  • the log analysis unit 840 represents, for example, statistics of information on a plurality of frames collected from each vehicle, more specifically information on the contents of each of the plurality of frames, reception timing, etc., represented by the stored log information. Processing etc. can be performed.
  • the log analysis unit 840 is an in-vehicle network of one vehicle (for example, the vehicle 1010a) acquired by the communication unit 810 after the information on the plurality of frames acquired by the communication unit 810 and the acquisition of the plurality of frames. And a function of determining the degree of abnormality of the frame received in the on-vehicle network of the one vehicle or the presence or absence of the abnormality based on the information on the received frame.
  • the log analysis unit 840 is, for example, a predetermined model for each frame flowing in the in-vehicle network in a normal state, and constructs a predetermined model that can be used for comparison with an abnormal state, and based on log information acquired sequentially
  • the predetermined model may be adjusted (updated) to a more appropriate one using machine learning.
  • the log analysis unit 840 can appropriately process (for example, multivariate analysis etc.) the information on the plurality of frames represented by the accumulated log information, and supply it for learning of a predetermined model.
  • a predetermined model any method of supervised learning and unsupervised learning may be used.
  • the fraud frame or non-illegal frame Information indicating the distinction of items may be included in the log information, and the log analysis unit 840 may perform supervised learning on a predetermined model based on the information indicating the distinction.
  • the log analysis unit 840 collects log information on frames that are not illegal frames from each vehicle, or collects log information without distinguishing whether it is an illegal frame or not, and based on these log information, Unsupervised learning may be performed on a predetermined model.
  • the predetermined model is used to calculate the degree of abnormality (the degree of abnormality) for a frame received by the on-vehicle network of a certain vehicle.
  • the content of the predetermined model may be any one that can be used to calculate the degree of abnormality of the frame.
  • the degree of abnormality is calculated, for example, by comparison of information on the frame with a predetermined model (that is, calculation processing using information on the frame and the predetermined model).
  • the log analysis unit 840 as a predetermined model for calculating the degree of abnormality, for example, based on the log information of each vehicle of the same vehicle type, more specifically the feature amount for the frame received by the in-vehicle network in the normal state Can construct a predetermined model so as to represent the distribution of feature vectors including each component such as frame content, reception interval, and reception frequency.
  • the predetermined model may be, for example, a model that represents the relationship between the objective variable and the explanatory variable in the case where the degree of abnormality is the objective variable and log information is the explanatory variable.
  • the degree of abnormality may be defined, for example, as 0 (zero) in the case of no abnormality (that is, normal) and to take a positive numerical value according to the degree of abnormality in the case of abnormality.
  • the degree of abnormality may be a binary value of 0 (for example, no abnormality) or 1 (for example, abnormal), or may be three or more by distinguishing the presence of abnormality in multiple stages. .
  • the degree of abnormality of a frame received by the on-vehicle network of a certain vehicle is a distribution (for example, an average value) of a feature indicated by a predetermined model in which the feature of the frame is determined based on already accumulated log information. It can be calculated whether or not it is within the range bounded by the threshold determined by multiplying the standard deviation for the normal distribution specified by and variance by a predetermined coefficient (for example 3), and by using a plurality of predetermined coefficients
  • the degree of anomaly can be calculated in multiple stages.
  • a method used for constructing a predetermined model for calculating the degree of abnormality there is a method such as outlier detection or change point detection for detecting a rapid change in time series.
  • the log analysis unit 840 is performed after the reception on the plurality of frames, Calculate the degree of abnormality of the frame received in the onboard network of a certain vehicle.
  • Information of frames received in the on-vehicle network of a certain vehicle can also be obtained from the log information of the vehicle.
  • the log analysis unit 840 checks the influence of the abnormal frame, so that the vehicle transmitted the frame determined to be abnormal In order to transmit a monitoring request to a vehicle existing in the same area, the monitoring log communication unit 860 is notified.
  • the log analysis unit 840 sequentially performs various analysis processes such as statistical processing based on the accumulated log information, update (learning) of a predetermined model, and calculation of the degree of abnormality of a frame received by the on-vehicle network of a certain vehicle. Then, the log analysis unit 840 stores the result of the analysis process (for example, information representing the updated predetermined model, information on the calculated abnormality degree, etc.) in the analysis result storage DB 882 and saves it, and the next analysis process (frame Calculation of the degree of abnormality of
  • the log analysis unit 840 detects an abnormal behavior as the traveling state of the vehicle, for example, the presence or absence of activation of a sudden steering wheel, a sudden brake, a sudden acceleration, or an emergency brake as well as the detection of the anomaly described above. May be
  • the result judging unit 870 determines that there is an illegal event to be notified to the administrator of the illegal vehicle monitoring system from the priority determining unit 870, the information related to the illegal event stored in the analysis result storage DB 882 Means for notifying the administrator of the illegal vehicle monitoring system.
  • the result notification unit 850 is connected to the display, and displays an event of unauthorized occurrence on the display.
  • the result notification unit 850 may function as a Web server, or using a moving image obtained by recording information around the vehicle stored in the monitoring log storage DB 883 and a vehicle log stored in the vehicle log storage DB 881.
  • the analyst may be made to grasp the on-site situation, or an administrator may be notified by e-mail as a mail server.
  • the notification destination may not be the administrator of the in-vehicle network monitoring system, and may notify, for example, a security analyst at a security operation center commissioned by the in-vehicle network monitoring service.
  • the monitoring log communication unit 860 monitors the vehicle or roadside machine existing in the same area as the vehicle where the abnormality is detected. Send the required message (monitoring request notification).
  • a vehicle or roadside device existing in the same area as the vehicle that has detected an abnormality is selected from GPS information and the like stored in the vehicle log storage DB 881.
  • the monitoring log communication unit 860 waits until receiving the monitoring log from the vehicle of the other party that has transmitted the above message (monitoring request notification).
  • the monitoring log communication unit 860 stores the received monitoring log in the monitoring log storage DB 883.
  • the monitoring log communication unit 860 notifies the priority determination unit 870 to calculate the priority of the detected abnormality.
  • the monitoring request notification may include license plate information or VIN (Vehicle Identification Number) of the vehicle to be monitored.
  • VIN Vehicle Identification Number
  • notification may be made to simply monitor the surroundings without including the license plate information of the vehicle to be monitored or the VIN or the like.
  • This enables processing in consideration of the privacy information of the vehicle.
  • the fraud detection server 80 grasping the positional relationship of the vehicle can extract traveling data (for example, traveling speed or steering angle etc.) of the monitoring target vehicle by performing the moving image processing. Become.
  • the priority determination unit 870 confirms the detected degree of abnormality from the monitoring log storage DB 883, calculates the priority according to the degree, and notifies the result notification unit 850 of the calculated priority.
  • the priority means the degree to which the abnormality is required to be treated with priority over others.
  • the priority determination unit 870 is relatively used when dangerous travel such as sudden steering, sudden braking, sudden deceleration, or dribbling is being performed, or when an accident has already occurred. Calculate high priority.
  • the priority determination unit 870 can not confirm the presence of the vehicle determined to be abnormal from the monitoring log, or when the vehicle log and the monitoring log are inconsistent, the medium priority is given. Calculate the degree. In this case, position information and the like included in the log is falsified, and the situation can not be confirmed.
  • the priority determination unit 870 calculates a relatively low priority if no abnormality is observed. In this case, it is determined that the risk of causing the danger immediately is low.
  • a method of confirming the detected degree of abnormality for example, there is a method of grasping the state of the monitoring target vehicle from air bag actuation information, emergency brake actuation information, acceleration, steering information, speed or the like included in the V2X communication log. is there. Further, as the above confirmation method, there is also a method of recognizing the influence on the traveling of the vehicle or a method of recognizing the accident site by recognizing the traveling state of the vehicle by the analysis of the moving image or the image information. Further, as the above confirmation method, when the report by the driver is voice or text information, a method of grasping an abnormal vehicle state by text analysis or voice recognition can be considered.
  • the priority determination unit 870 may not determine the priority only from the monitoring log.
  • the consistency of the monitoring log may be verified using the vehicle log of the vehicle detected as abnormal and the vehicle log of the vehicle notified of the monitoring log.
  • the priority determination unit 870 calculates the speed or steering angle of the vehicle from the camera image included in the monitoring log, and the calculated speed or steering angle, and the speed or steering included in the vehicle log of the vehicle that detected the abnormality. The angle may be compared, and it may be determined that there is no consistency if the difference is larger than a predetermined value.
  • the priority determination unit 870 can verify the consistency between the vehicle logs of a plurality of vehicles and the monitoring logs, and determines that the log with the lowest consistency has been falsified. be able to.
  • Communication unit 810 corresponds to a first communication unit that receives first traveling information that is information related to traveling of a vehicle.
  • the vehicle log storage DB 881 corresponds to a holding unit that holds position information indicating the current positions of a plurality of vehicles.
  • the holding unit can be realized by a storage device or the like.
  • the monitoring log communication unit 860 When (a) the monitoring log communication unit 860 detects an abnormality in the first travel information received from the target vehicle, the monitoring log communication unit 860 positions one or more of the plurality of vehicles within a predetermined distance from the target vehicle.
  • the notification of the request for acquiring the second travel information related to the travel of the target vehicle is transmitted to the vehicle monitoring device included in the identified one or more vehicles with reference to the information and identified, (b) one or more vehicles Corresponds to a second communication unit that receives the second travel information from the vehicle monitoring device provided in the vehicle.
  • the priority determination unit 870 and the result notification unit 850 determine the priority indicating the degree to which the abnormality should be preferentially analyzed from the first driving information and the second driving information, and the higher the priority, the more the abnormality is It preferentially corresponds to a notification unit that notifies of an abnormality.
  • the priority determination part 870 may determine higher priority to the abnormality detected about 1st driving information, when it is judged that 1st driving information and 2nd driving information do not correspond.
  • FIG. 4A shows the configuration of the gateway 900 in the in-vehicle network of a certain vehicle (for example, the vehicle 1010a).
  • the gateway 900 is an example of a vehicle monitoring device.
  • the gateway 900 includes a frame transmission / reception unit 910, a frame interpretation unit 920, a consistency verification unit 930, an update processing unit 940, a frame upload unit 950, a transfer control unit 960, and key processing.
  • the configuration includes a unit 970, a frame generation unit 980, a rule holding unit 990, a transfer rule holding unit 991, and a key holding unit 992.
  • Each function of these components is realized by, for example, a communication circuit in the gateway 900, a processor that executes a control program stored in a memory, or a digital circuit.
  • the frame upload unit 950 and the update processing unit 940 are realized by a communication circuit or the like for communicating with the fraud detection server 80.
  • the frame transmission / reception unit 910 transmits / receives a frame according to the CAN protocol to each of the bus 10, the bus 20, the bus 30, the bus 40, and the bus 50.
  • the frame transmission / reception unit 910 receives a frame from the bus one bit at a time, and notifies the frame interpretation unit 920 of the frame.
  • the frame transmission / reception unit 910 sets the contents of the frame to the bus 10, the bus 20, the bus 30, the bus One bit is transmitted to the transfer destination bus among the buses 40 and 50.
  • the frame interpretation unit 920 receives the value of the frame from the frame transmission / reception unit 910, and performs interpretation so as to map each field in the frame format defined by the CAN protocol.
  • the frame interpretation unit 920 notifies the integrity verification unit 930 of the information of each field of the received frame.
  • the frame interpretation unit 920 determines that the received frame is a frame not conforming to the CAN protocol, the frame interpretation unit 920 notifies the frame generation unit 980 to transmit an error frame.
  • the frame interpretation unit 920 receives an error frame, that is, when it interprets that it is an error frame from the value in the received frame, it discards the frame thereafter, that is, interprets the error frame.
  • the integrity verification unit 930 includes the traveling state of the own vehicle, the vehicle states of other vehicles recognized by sensing (referred to as sensing vehicle conditions) included in the frame, and the other vehicles notified by the other vehicles received by V2X communication.
  • sensing vehicle conditions the vehicle states of other vehicles recognized by sensing
  • V2X vehicle condition The consistency with the vehicle condition (referred to as V2X vehicle condition) is verified.
  • the said other vehicle may be identified by the monitoring request notification received from the monitoring log communication part 860 of the fraud detection server 80 via IVI311.
  • the other vehicles described above may be arbitrarily specified from vehicles existing in the same area as the own vehicle.
  • the traveling speed of the other vehicle is 20 km / h
  • the traveling speed of the other vehicle may be 60 km / h.
  • the consistency verification unit 930 determines that the sensing vehicle state and the V2X vehicle state are not consistent, and the fraud detection server 80 To inform information about the illegal vehicle.
  • the sensing vehicle state may be acquired from data directly obtained from a sensor provided in the vehicle, for example, a camera (drive recorder), millimeter wave radar, Lidar (Light Detection and Ranging), etc., or through CAN or the like. It may be obtained from the information obtained. Furthermore, the sensing vehicle state may be acquired by combining and processing the values of these sensors and the vehicle state of the host vehicle. For example, by processing the sensor value of the millimeter wave radar, the relative velocity with the forward vehicle is calculated, and the traveling velocity of the own vehicle is added to the calculated relative velocity to calculate the velocity of the vehicle of the other vehicle. It may be a sensing vehicle state. In addition, by performing image processing on an image obtained by a camera provided in the vehicle, the behavior of the vehicle such as the speed of the vehicle, the presence or absence of steering wheel operation, and acceleration / deceleration may be calculated to be the sensing vehicle state.
  • the verification method of the consistency of the vehicle state is not limited to the one described above.
  • the consistency verification unit 930 may calculate the correlation between the time-series change in the V2X vehicle state notified from the preceding vehicle and the time-series change in the vehicle state of the own vehicle. The integrity may be verified by More specifically, the consistency verification unit 930 calculates autocorrelation of time series data of the speed of the vehicle acquired from the V2X vehicle state of another vehicle and time series data of the speed of the vehicle of the own vehicle state. If they are largely diverged, it is judged that they are not consistent.
  • the consistency verification unit 930 is notified by the forward vehicle of the V2X that the vehicle and the forward vehicle are traveling on the same road and have almost the same traveling behavior. It is possible to detect that the vehicle state is significantly different from the vehicle state of the host vehicle. As a result, the gateway 900 can detect that either the V2X vehicle state or the vehicle state of the own vehicle has been falsified, and the security is enhanced.
  • the update processing unit 940 updates the priority rule held by the rule holding unit 990 based on the information acquired from the fraud detection server 80.
  • the frame uploading unit 950 sequentially acquires the frame received from any of the CAN buses notified from the frame interpreting unit 920, and information on the received frame (for example, the contents of the frame, the reception interval, the reception frequency, etc.
  • the log information including the above is transmitted (uploaded) to the fraud detection server 80.
  • meta information is uploaded in addition to the log information.
  • the meta information may include various other information (vehicle state information, Basic Safety Message, vehicle position information, bus load factor).
  • the frame upload unit 950 includes vehicle identification information (vehicle ID) in the log information.
  • vehicle ID vehicle identification information
  • the frame upload unit 950 processes the contents of the frame, the reception interval, the reception frequency, and the like so as to be easily handled as statistical processing, machine learning, and the like by the fraud detection server 80 as information about the received frame. You may process it.
  • the reception interval of a frame is, for example, the difference between the reception time of the frame and the time when a frame having the same ID as the frame was previously received.
  • the reception frequency of a frame is, for example, the number of frames having the same ID as that of the frame received in a fixed unit time.
  • a feature quantity is extracted from features such as the contents of a frame, a reception interval, and a reception frequency, normalization is performed, and the information amount of the feature quantity is contracted.
  • the reduction of the information amount of the feature amount is, for example, representing the feature amount as a feature vector as each component, and based on the information obtained in cooperation with the fraud detection server 80, the dimension number of the feature vector is It can be realized by using a dimension reduction algorithm.
  • the fraud detection server 80 can quickly detect whether the frame is abnormal or not, and the action can be made possible.
  • the frame upload unit 950 may compress log information and transmit it to the fraud detection server 80 unconditionally or in accordance with the communication status, for example, to reduce the amount of traffic with the fraud detection server 80.
  • the frame uploading unit 950 transmits not the information about all the frames among the frames received by the frame transmitting / receiving unit 910 from the CAN bus but the information about only a frame of a specific one or more IDs in the log information You may
  • the gateway 900 transmits the necessary information to the predetermined ECU via the CAN bus, etc., thereby updating the firmware, disabling the driving support function, and , Realize functions such as remote control.
  • the transfer control unit 960 selects a transfer destination bus according to the ID of the received frame and the transfer source bus (that is, the bus that has received the frame) according to the transfer rule held by the transfer rule holding unit 991 and transfers the data.
  • the frame generation unit 980 is notified of the bus information indicating the previous bus and the contents of the frame to be transferred (for example, the ID notified from the frame interpretation unit 920, DLC, data, etc.) to request transmission.
  • the frame generation unit 980 configures a transmission frame using the contents of the frame notified from the transfer control unit 960 in accordance with the transmission request from the transfer control unit 960, and transmits the transmission frame and bus information (for example, transfer The above-mentioned bus identifier and the like are notified to the frame transmission / reception unit 910.
  • the transfer rule holding unit 991 holds transfer rule information indicating a rule on transfer of a frame for each bus.
  • the transfer rule information indicates, for each bus that can be a transfer source, the ID of the frame to be transferred received by the bus and the bus of the transfer destination.
  • the transfer rule information also includes information indicating whether each bus is a bus specified to encrypt frame contents, and whether a bus is specified to be assigned a MAC.
  • the transfer control unit 960 shares with each ECU connected to the transfer source bus held by the key holding unit 992.
  • the key processing unit 970 decrypts the contents of the frame using the existing encryption key.
  • the transfer control unit 960 uses the encryption key held by the key holding unit 992 and shared with each ECU connected to the transfer destination bus. Then, the key processing unit 970 controls the contents of the frame to be encrypted and transferred.
  • the key processing unit 970 may use any method for each of encryption and decryption of the content of the frame, and generation and verification of MAC based on the content of the frame and the like.
  • the MAC may be generated, for example, based on a part of the values in the data field of the frame, or the value of the MAC and other fields or other information (for example, a counter value for counting the number of times of reception of the frame) ) May be produced on the basis of bonding.
  • a MAC calculation method for example, a hash-based message authentication code (HMAC), a cipher-based message authentication code (CMAC), or the like can be used.
  • HMAC hash-based message authentication code
  • CMAC cipher-based message authentication code
  • the frame upload unit 950 corresponds to a first communication unit that receives, from the fraud detection server 80, specific information that identifies the target vehicle, and transmits the travel information acquired by the frame transmission / reception unit 910 to the fraud detection server 80.
  • the frame transmission / reception unit 910 corresponds to an acquisition unit that acquires, from the target vehicle, travel information that is information related to the travel of the target vehicle specified by the specific information received by the first communication unit.
  • the frame transmission / reception unit 910 may acquire traveling information obtained from a specific vehicle through communication by the V2X communication module 312.
  • the frame transmission / reception unit 910 may acquire traveling information obtained by sensing a specific vehicle by a sensor such as the camera 310.
  • the consistency verification unit 930 determines whether or not the first travel information, which is travel information obtained by the communication by the V2X communication module 312, matches the second travel information, which is the travel information obtained by sensing by the sensor. It corresponds to the determination unit that determines whether the In this case, the frame upload unit 950 transmits the first travel information and the second travel information to the fraud detection server 80 only when the determination unit determines that the first travel information and the second travel information do not match. You may do so.
  • the travel information of the target vehicle may include speed information indicating the speed of the target vehicle.
  • FIG. 4B shows the configuration of the roadside device 90.
  • the roadside device 90 is an example of a vehicle monitoring device.
  • the roadside device 90 includes a communication module 91, a control unit 92, and a V2X communication module 93.
  • the communication module 91 is a communication module that can communicate with the fraud detection server 80.
  • the communication module 91 receives from the fraud detection server 80 specific information for specifying a target vehicle.
  • the communication module 91 corresponds to a first communication unit.
  • the control unit 92 is a processing unit that acquires, from the target vehicle, travel information that is information related to the travel of the target vehicle specified by the specific information received by the communication module 91.
  • the control unit 92 corresponds to an acquisition unit.
  • the V2X communication module 93 is a communication module that communicates with a vehicle.
  • the roadside device 90 may further include a sensor such as a camera.
  • the processing of the fraud detection server 80 and the vehicle 1010b configured as described above will be described. Specifically, two examples of the processing of the fraud detection server 80 and two examples of the processing of the vehicle 1010b will be described. Here, it is assumed that the vehicle 1010a is an illegal vehicle.
  • the process of the gateway 900 described below may be performed by the roadside device 90.
  • FIG. 5 is a first flow chart showing processing of the fraud detection server 80 in the present embodiment.
  • step S101 the communication unit 810 receives a vehicle log from the vehicle 1010a.
  • the received vehicle log is provided to the log collection unit 830 via the processing determination unit 820.
  • step S102 the log collection unit 830 stores the vehicle log provided in step S101 in the vehicle log storage DB 881.
  • step S103 the log analysis unit 840 analyzes the vehicle log stored in the vehicle log storage DB 881 to determine whether the frame received by the in-vehicle network is incorrect.
  • step S104 the log analysis unit 840 determines whether or not the frame is determined to be incorrect in step S103, that is, whether or not a frame abnormality is detected. If the frame abnormality is determined (Yes at step S104), the process proceeds to step S105. If not (No at step S104), the series of processes shown in FIG. 5 is ended.
  • step S105 the monitoring log communication unit 860 transmits, to the vehicle or roadside machine existing in the same area as the vehicle in which the frame abnormality is detected in step S104, a message requesting monitoring of the vehicle in which the abnormality is detected.
  • step S106 the monitoring log communication unit 860 waits for reception of the monitoring log transmitted by the vehicle or the roadside apparatus in response to the message transmitted in step S105. When the monitoring log is received, the process proceeds to step S107.
  • step S107 the monitoring log communication unit 860 determines whether or not a predetermined number or more of monitoring logs have been received from the vehicle or the roadside device in step S106. If the predetermined number or more has been received (Yes in step S107), the process proceeds to step S108. If not (No in step S107), the process proceeds to step S120.
  • step S108 the priority determination unit 870 verifies the consistency between the vehicle log and the monitoring log.
  • step S109 as a result of the verification in step S108, the priority determination unit 870 examines whether there is a mismatch between the vehicle log and the monitoring log. If a mismatch occurs (Yes at step S109), the process proceeds to step S110. If not (No at step S109), the process proceeds to step S111.
  • step S110 the priority determination unit 870 detects that the vehicle log is falsified based on the occurrence of inconsistency between the vehicle log and the monitoring log.
  • step S111 the priority determination unit 870 calculates the priority of the response to the abnormality detected in step S104.
  • step S120 the priority determination unit 870 detects that there is an abnormality in the position information of the vehicle in which the abnormality is detected.
  • the fraud detection server 80 can detect the falsification of the vehicle log, that is, the fraud of the vehicle log.
  • FIG. 6 is a second flowchart showing processing of the fraud detection server 80 in the present embodiment.
  • the process from step S101 to S110 and the process of step S120 are the same as those in FIG.
  • step S131 the priority determination unit 870 identifies an abnormality based on the majority of the vehicle log and the monitoring log.
  • the fraud detection server 80 can detect the falsification of the vehicle log, that is, the fraud of the vehicle log, using the monitoring logs from the plurality of vehicle monitoring devices.
  • FIG. 7 is a first flow chart showing processing of the gateway 900 in the present embodiment.
  • step S201 the consistency verification unit 930 of the vehicle 1010b receives the monitoring request notification transmitted by the fraud detection server 80.
  • the monitoring request notification is transmitted by selecting the vehicle 1010b existing in the same area as the vehicle 1010a.
  • the vehicle 1010a is also referred to as a target vehicle.
  • step S202 the consistency verification unit 930 may have the V2X communication module 312 establish communication connection with the vehicle to be monitored (also referred to as “target vehicle”) identified by the monitoring request notification received in step S201. Determine if you can. If it is determined that communication connection can be made (Yes in step S202), the process proceeds to step S203. If not (No in step S202), the process proceeds to step S204.
  • step S203 the consistency verification unit 930 acquires the V2X communication log via the communication by the V2X communication module 312.
  • step S 204 the consistency verification unit 930 determines whether or not the target vehicle can be photographed by the camera 310.
  • the determination as to whether or not photographing is possible can be made, for example, by determining whether or not the target vehicle is present at a position where photographing from the host vehicle is possible. It may be determined based on the position information of the target vehicle and the own vehicle whether it exists at a position where it can be photographed or whether it is determined whether the target vehicle appears in the image photographed by the camera 310. Good. If it is determined that photographing is possible (Yes in step S204), the process proceeds to step S205. If not (No in step S204), the process proceeds to step S206.
  • step S205 the integrity verification unit 930 captures an image or a moving image of the target vehicle with the camera 310, and generates image data or moving image data.
  • step S206 the consistency verification unit 930 presents, to the driver, question information as to whether or not there is an abnormality in the target vehicle, and acquires answer information.
  • the consistency verification unit 930 is a fraud detection server 80 including a monitoring log including one or more of the V2X communication log in step S203, the image data or moving image data in step S205, and the reply information from the driver in step S206. Send to
  • the vehicle 1010b can support the fraud detection server 80 to detect a fraudulent vehicle even if the fraudulent vehicle, that is, the target vehicle uploads a frame.
  • FIG. 8 is a second flow diagram showing processing of the gateway 900 in the present embodiment.
  • step S301 the consistency verification unit 930 starts communication by the V2X communication module 312 with the target vehicle.
  • the target vehicle may be previously determined based on the monitoring target vehicle specified by the monitoring request notification by receiving the monitoring request notification transmitted by the fraud detection server 80, or may be arbitrarily determined. Good.
  • step S302 the consistency verification unit 930 acquires the traveling state of the target vehicle via the communication by the V2X communication module 312.
  • step S ⁇ b> 303 the consistency verification unit 930 determines whether or not the target vehicle can be photographed by the camera 310. If it is determined that photographing is possible (Yes in step S303), the process proceeds to step S304. If not (No in step S303), the series of processes illustrated in FIG. 8 is ended.
  • step S304 the consistency verification unit 930 recognizes the traveling state of the target vehicle with the camera 310.
  • step S305 the consistency verification unit 930 determines whether the traveling state acquired by the V2X communication and the traveling state acquired by the camera 310 are consistent. If there is the consistency (Yes in step S305), the process proceeds to step S306. If not (No in step S305), the process proceeds to step S311.
  • step S306 the consistency verification unit 930 transmits a notification indicating that there is consistency to the fraud detection server 80. Note that step S306 may not be performed.
  • step S311 the consistency verification unit 930 transmits a notification indicating that there is no consistency to the fraud detection server 80.
  • the vehicle 1010b can support the fraud detection server 80 to detect a fraudulent vehicle even if the fraudulent vehicle, that is, the frame to be uploaded by the target vehicle is falsified.
  • FIG. 9 is a diagram showing an example of a processing sequence of the vehicles 1010a and 1010b, the roadside device 90, and the fraud detection server 80.
  • the vehicle 1010a transmits a vehicle log such as a CAN log communicated within the vehicle 1010a to the fraud detection server 80 (step S401).
  • the fraud detection server 80 receives the transmitted vehicle log (step S402).
  • the fraud detection server 80 When the fraud detection server 80 receives the vehicle log, it analyzes whether there is an abnormality in the vehicle log (step S403). When the fraud detection server 80 detects that an abnormality occurs in the vehicle log (step S404), the fraud detection server 80 transmits a status confirmation request notification to a vehicle or roadside machine existing in the same area as the vehicle 1010a (step S405). ). In this example, the vehicle 1010b and the roadside device 90 exist in the same area as the vehicle 1010a, and the fraud detection server 80 sends a status confirmation notification to the vehicle 1010b and the roadside device 90. . Steps S401 to S405 correspond to, for example, steps S101 to S105 in FIG.
  • the situation confirmation notification destination is a vehicle or roadside machine that does not currently exist in the same area as the vehicle 1010a (that is, does not exist in a distance where V2X communication can be performed with the vehicle 1010a), It may include vehicles or roadside vehicles which may be the same area in the future, which are obtained by prediction.
  • the vehicle 1010b and the roadside device 90 that have received the status confirmation request notification perform V2X communication with the vehicle 1010a (steps S406 and S407), and notify the vehicle status of the vehicle 1010a (for example, vehicle speed, traveling direction, acceleration, etc.) Are received (steps S408 and S409).
  • the vehicle 1010b and the roadside device 90 notify the fraud detection server 80 of the received V2X communication log including the vehicle state notification of the vehicle 1010a as a monitoring log (steps S410 and S411).
  • the fraud detection server 80 When the fraud detection server 80 receives the monitoring log, it performs reanalysis using the monitoring log and the vehicle log to make a final determination (step S412). In the reanalysis, verification of consistency between the vehicle log and the monitoring log may be performed.
  • FIG. 9 shows a sequence in which the fraud detection server 80 receives the monitoring log after receiving the vehicle log
  • the fraud detection server 80 continues to receive the vehicle log and the monitoring log simultaneously, for example, the notified speed You may verify that there is no inconsistency in the Then, if there is inconsistency, it is detected that there is a possibility that one of the logs has been tampered with improperly, and an abnormality is detected and presented to the security analyst.
  • the fraud detection server 80 receives a plurality of monitoring logs, it is determined that the group with the most consistency is the correct log, and the log inconsistent with the log of the group (vehicle log And the vehicle that transmits the falsified log is also notified to the security analyst. If there is no inconsistency, it is indicated to the security analyst that an anomaly detected only by the vehicle log has occurred. At this time, a monitoring log is presented together as additional information.
  • FIG. 10 is a diagram showing process sequence example 2 of the vehicles 1010a and 1010b, the roadside device 90, and the fraud detection server 80.
  • the vehicle 1010a notifies the server of the vehicle log, and the fraud detection server 80 analyzes the vehicle log to detect an abnormality. Thereafter, until the status confirmation request notification is transmitted to the vehicle 1010b and the roadside device 90, it is the same as in FIG. 10 (steps S401 to S405).
  • the vehicle 1010b and the roadside device 90 monitor the vehicle 1010a by photographing with a built-in camera (steps S501 and S502). At this time, the vehicle 1010b and the roadside device 90 may recognize the vehicle 1010a using the information notified from the fraud detection server 80, or may simply acquire a moving image or an image at a designated timing. . When the vehicle 1010a is recognized, the speed of the vehicle 1010a, the acceleration / deceleration state, the steering state, or the like may be further extracted by image processing. In addition, the camera may utilize a drive recorder provided in the vehicle 1010b, or a moving image may be stored by notification of a situation monitoring request from a server. The vehicle 1010 b and the roadside device 90 notify the fraud detection server 80 as a monitoring log including the acquired image or moving image (steps S 503 and 504).
  • the fraud detection server 80 When the fraud detection server 80 receives the monitoring log, it re-analyzes using the monitoring log and the vehicle log (step S505). In the reanalysis, the fraud detection server 80 presents the received image or video to the security analyst as situational evidence at the time of anomaly detection.
  • an image processing engine may be mounted in the fraud detection server 80, and by processing the image, the speed of the vehicle of the vehicle 1010a, the acceleration / deceleration state, the steering angle, etc. are extracted and matched with the vehicle log. You may verify sex. Alternatively, when the occurrence of an accident or the abnormal behavior of a car is confirmed as a result of image analysis, the priority of the detected abnormality is given high priority to the security analyst.
  • FIG. 11 is a diagram showing a process sequence example 3 of the vehicles 1010a and 1010b and the fraud detection server 80. Until the fraud detection server 80 notifies the vehicle 1010b of the situation confirmation request, the sequence is the same as that in FIG. 9 or 10 (steps S401 to S405).
  • the vehicle 1010b When the vehicle 1010b receives the status confirmation request notice from the fraud detection server 80, the vehicle 1010b starts sensing of the vehicle traveling state of the vehicle 1010a (step S601). Sensing is performed using a sensor, such as a camera, radar or LiDAR, mounted on the vehicle. For example, when the vehicle 1010a is recognized as a leading vehicle, the relative velocity with the preceding vehicle is acquired. The vehicle 1010b notifies the fraud detection server 80 of the sensed information of the vehicle 1010a as a monitoring log (step S602). The fraud detection server 80 performs reanalysis using the received monitoring log and the vehicle log, and verifies whether there is a mismatch between the monitoring log and the vehicle log (step S603).
  • a sensor such as a camera, radar or LiDAR
  • FIG. 12 is a diagram showing a process sequence example 4 of the vehicles 1010a and 1010b and the fraud detection server 80.
  • the sequence until the fraud detection server 80 notifies the vehicle 1010b of the situation confirmation request is the same sequence as in FIG. 9, FIG. 10 or FIG. 11 (steps S401 to S405).
  • the vehicle 1010b Upon receiving the status confirmation notification, the vehicle 1010b presents presentation information indicating a request for confirmation of whether there is an abnormality in the surroundings to the driver of the vehicle 1010b via the display of the head unit or by voice (step S701).
  • the driver confirms the surrounding situation, that is, confirms the behavior of the target vehicle, and inputs the result report by voice or touch panel operation.
  • Vehicle 1010b receives an input from the driver (step S702).
  • the vehicle 1010b notifies the fraud detection server 80 of the information received from the driver as a monitoring log (step S703).
  • the fraud detection server 80 performs reanalysis using the monitoring log and the vehicle log (step S704). In the reanalysis, the fraud detection server 80 determines the priority of the response to the detected anomaly based on the report from the driver, and notifies the security analyst of the priority from the one with the highest priority.
  • the driver's report is, for example, "Select an accident such as” accident around the vehicle, "" sudden steering wheel, sudden braking, abnormal vehicle with rapid acceleration ",” anxious vehicle is present ", or” no particular abnormality ".
  • the driver's report may be used as it is as voice information or as character information as a result of voice recognition as a monitoring log. This makes it possible to grasp the situation of the vehicle that has detected an abnormality promptly and accurately, and can give priority to the detected log according to the degree of danger, and notify the security analyst with priority. It is possible to
  • the fraud detection server 80 notifies the situation confirmation request to the vehicles existing in the same area as the vehicle in which the abnormality is detected
  • the notification destination is not limited to the vehicle 1010 b or the roadside device 90.
  • it may notify to the terminal which installed the application which receives traffic safety information.
  • the application transmits the position information of the terminal to the fraud detection server 80, and the fraud detection server 80 detects the position information of the terminal in the vicinity of the vehicle that is detected as abnormal. Perform status confirmation request notification for the installed application.
  • the application notifies the owner of the terminal of peripheral abnormality confirmation and notifies the fraudulent detection server 80 of a report of the terminal owner.
  • FIG. 13 is an explanatory view showing a first operation example of the in-vehicle network monitoring system in the present embodiment.
  • the fraud detection server 80 is in a situation where the fraud detection server 80 or the like is notified that the speed is 20 km / h, even though the speed of the vehicle 1010a is 60 km / h.
  • a situation in which the vehicle 1010a is detected to be fraudulent is shown.
  • an example is shown in which the vehicle 1010b spontaneously detects an abnormality of the vehicle 1010a without receiving a notification from the fraud detection server 80.
  • the vehicle 1010 a disguises that the speed of the vehicle is 20 km / h and notifies the fraud detection server 80.
  • the vehicle 1010a disguises that the speed of the vehicle is 20 km / h and notifies the vehicle 1010b by V2X communication.
  • the vehicle 1010b acquires the traveling state of the vehicle 1010a by sensing with a camera or a radar. In the acquired traveling state, it is assumed that the relative velocity of the vehicle 1010a with respect to the host vehicle is 30 km / h.
  • the vehicle 1010b calculates the velocity of the vehicle 1010a as 60 km / h from the relative velocity with the vehicle 1010a acquired by sensing in the above (3) and the velocity of the vehicle (30 km / h). Then, the vehicle 1010b determines that the calculated speed of the vehicle 1010a and the speed of the vehicle 1010a notified in the above (2) are not consistent, that is, there is an abnormality.
  • the vehicle 1010b notifies the fraud detection server 80 of the detected abnormality.
  • FIG. 14 is an explanatory view showing a second operation example of the in-vehicle network monitoring system in the present embodiment.
  • FIG. 15 is an explanatory diagram showing conditions for determining the priority by the monitoring log in the present embodiment.
  • FIG. 14 shows a situation where the fraud detection server 80 causes the vehicle 1010b to confirm whether the vehicle 1010a has actually accelerated rapidly when the vehicle 1010a has accelerated rapidly.
  • the vehicle 1010a transmits a vehicle log including that the vehicle has accelerated rapidly to the fraud detection server 80.
  • the fraud detection server 80 analyzes the vehicle log transmitted in (1) above and detects that an abnormality has occurred in the vehicle 1010a. Then, a request for monitoring the vehicle 1010a (also referred to as a monitoring request) is transmitted to the vehicle 1010b existing near the vehicle 1010a. The vehicle 1010b receives the sent monitoring request.
  • the vehicle 1010 b acquires a log (monitoring log) of the vehicle 1010 a by V2X communication in response to the monitoring request received in (2).
  • the vehicle 1010 b acquires the traveling state of the vehicle 1010 a by sensing with a camera or a radar according to the monitoring request received in (2).
  • the relative speed of the vehicle 1010a with respect to the host vehicle is 30 km / h as in the case of FIG. 13 described above.
  • question information for confirming the behavior of the vehicle 1010a may be presented to the driver of the vehicle 1010b to obtain an answer.
  • a question such as "Does the preceding vehicle accelerate rapidly? Yes / No" and asks "Yes”
  • a monitoring log is generated to indicate that the vehicle 1010a has accelerated rapidly.
  • the vehicle 1010 b transmits the vehicle log and the monitoring log acquired from the vehicle 1010 a in (3) and (4) above to the fraud detection server 80.
  • the fraud detection server 80 sets the priority of the abnormality detected in (2) above to “high”. In addition, in order to determine the priority, for example, for the abnormality corresponding to the monitoring log corresponding to the condition shown in FIG. 15, the priority corresponding to the condition is set.
  • FIG. 16 is an explanatory view showing a third operation example of the in-vehicle network monitoring system in the present embodiment.
  • FIG. 17 is an explanatory view showing an example of a vehicle log and a monitoring log in the present embodiment.
  • FIG. 16 shows a situation where the vehicle 1010 b and the roadside device 90 grasp the traveling state of the vehicle 1010 b when the vehicle 1010 a disguises the speed and transmits it to the fraud detection server 80.
  • the vehicle 1010a disguises the speed of the vehicle and notifies the fraud detection server 80.
  • the fraud detection server 80 detects an abnormality in the vehicle log of the vehicle 1010a. Then, the fraud detection server 80 transmits a monitoring request for monitoring the vehicle 1010a to the vehicle 1010b existing near the vehicle 1010a and the roadside device 90.
  • the vehicle 1010 b acquires a log (monitoring log) of the vehicle 1010 a by V2X communication in response to the monitoring request received in (2).
  • the roadside device 90 performs the same process.
  • the vehicle 1010 b acquires the traveling state of the vehicle 1010 a by sensing with a camera or a radar according to the monitoring request received in (2).
  • the roadside device 90 performs the same process.
  • the vehicle 1010 b transmits the vehicle log and the monitoring log acquired from the vehicle 1010 a in (3) and (4) above to the fraud detection server 80.
  • the roadside device 90 performs the same process.
  • the fraud detection server 80 verifies the consistency with the vehicle log and the monitoring log transmitted in (5) above, and grasps the actual traveling condition of the vehicle 1010b by majority decision.
  • FIG. 17 shows an example of the vehicle log and the monitoring log transmitted in (5) above.
  • the speed of the vehicle “speed 20 km / h” in the vehicle log, “speed 0 km / h (acquisition by sensing)” and “speed 20 km / h (acquisition by V2X communication)” in the monitoring log L1, monitoring log In L 2, five pieces of information of “parking (acquisition by camera)” and “speed 20 km / h (acquisition by V2X communication)” are included.
  • the speed of the vehicle 1010b is determined to be 20 km / h. Also, in consideration of the fact that the “speed 20 km / h” in the vehicle log and the “speed 20 km / h” information in the monitoring logs L1 and L2 are from a single source, these are counted as one. It is also possible. In that case, when the majority is taken, the speed of the vehicle is determined to be 0 km / h.
  • FIG. 18 is a block diagram showing a functional configuration of a vehicle monitoring device A1 in the present modification.
  • the vehicle monitoring device A1 includes a first communication unit A11 and an acquisition unit A12.
  • the first communication unit A11 receives, from the fraud detection server A2, specific information for specifying a target vehicle. In addition, the first communication unit A11 transmits the travel information acquired by the acquisition unit A12 to the fraud detection server A2.
  • Acquisition part A12 acquires the travel information which is information in connection with the run of the object vehicle specified by the specific information which the 1st communications department A11 received from an object vehicle.
  • FIG. 19 is a block diagram showing a functional configuration of the fraud detection server A2 in the present modification.
  • the fraud detection server A2 includes a first communication unit A21, a holding unit A22, a second communication unit A23, and a notification unit A24.
  • the first communication unit A21 receives first traveling information which is information related to traveling of the target vehicle.
  • the holding unit A22 holds position information indicating the current positions of a plurality of vehicles.
  • the second communication unit A23 When the second communication unit A23 detects an abnormality in (a) the first travel information received from the target vehicle, the second communication unit A23 positions one or more of the plurality of vehicles within a predetermined distance from the target vehicle.
  • the notification of the request for acquiring the second travel information related to the travel of the target vehicle is transmitted to the vehicle monitoring device included in the identified one or more vehicles with reference to the information and identified, (b) one or more vehicles
  • the second traveling information is received from the vehicle monitoring device A1 included in the vehicle.
  • the notification unit A24 determines the priority indicating the degree to which the abnormality should be preferentially analyzed from the first traveling information and the second traveling information, and the higher the priority, the higher the priority notification of the abnormality. do.
  • FIG. 20 is a flowchart showing a control method of the vehicle monitoring device A1 in the present modification.
  • step SA11 specific information for specifying a target vehicle is received from the fraud detection server A2.
  • step SA12 travel information which is information related to the travel of the target vehicle specified by the specific information received in step SA11 is acquired from the target vehicle.
  • step SA13 the travel information acquired in step SA12 is transmitted to the fraud detection server A2.
  • FIG. 21 is a flow chart showing a control method of the fraud detection server A2 in the present modification.
  • step SA21 first travel information, which is information related to the travel of the target vehicle, is received.
  • step SA22 position information indicating the current positions of a plurality of vehicles is held.
  • step SA23 when an abnormality is detected in the first travel information received from the target vehicle, one or more vehicles among a plurality of vehicles within a predetermined distance from the target vehicle are specified with reference to position information. And transmits a notification of a request for acquiring second travel information related to the travel of the target vehicle to the vehicle monitoring device A1 included in the specified one or more vehicles.
  • step SA24 the second travel information is received from the vehicle monitoring device A1 included in one or more vehicles.
  • step SA25 the priority indicating the degree to which the abnormality should be analyzed preferentially is determined from the first driving information and the second driving information, and the higher the priority, the higher the notification of the abnormality. Do.
  • the vehicle monitoring device A1 can support detection of an unauthorized vehicle even if the unauthorized vehicle tampers with a frame to be uploaded.
  • the fraud detection server A2 can detect a fraudulent vehicle even if the fraudulent vehicle alters a frame to be uploaded.
  • the vehicle monitoring device acquires, from the target vehicle, travel information of the target vehicle specified by the specific information obtained from the server and transmits it to the server . Therefore, even if the frame uploaded to the server by the target vehicle is falsified, the server can detect the fraud of the target vehicle based on the traveling information of the target vehicle transmitted to the server by the vehicle monitoring device. Thus, the vehicle monitoring device can support detection of an unauthorized vehicle even if the unauthorized vehicle tampers with a frame to be uploaded.
  • the vehicle monitoring device acquires travel information obtained by communication with a specific vehicle. Therefore, the vehicle monitoring device can support detection of an illegal vehicle even if the illegal vehicle tampers with a frame to be uploaded, by obtaining traveling information of the target vehicle more easily.
  • the vehicle monitoring device acquires travel information obtained by sensing a specific vehicle. Therefore, the vehicle monitoring device can support detection of an illegal vehicle even if the illegal vehicle tampers with a frame to be uploaded, by obtaining traveling information of the target vehicle more easily.
  • the vehicle monitoring device acquires travel information obtained by sensing a specific vehicle. Therefore, the vehicle monitoring device can support detection of an illegal vehicle even if the illegal vehicle tampers with a frame to be uploaded, by obtaining traveling information of the target vehicle more easily.
  • a vehicle monitoring apparatus acquires the result of judgment by the driver about the traveling state of the object vehicle by sensing. Therefore, the vehicle monitoring device can support detection of an illegal vehicle even if the illegal vehicle tampers with a frame uploaded using the traveling information of the target vehicle obtained from more information sources.
  • the vehicle monitoring device may also detect irregularities, in particular regarding the speed of the target vehicle.
  • the vehicle monitoring device can support detection of an illegal vehicle even if the illegal vehicle uploads a frame that has been particularly falsified with respect to speed.
  • the fraud detection server causes the vehicle monitoring device of a vehicle existing within a predetermined distance from the target vehicle to acquire the traveling state from the target vehicle. Therefore, even if the frame uploaded to the server by the target vehicle is falsified, the server can detect the fraud of the target vehicle based on the traveling information of the target vehicle transmitted to the server by the vehicle monitoring device. Thus, the fraud detection server can detect a fraudulent vehicle even if the fraudulent vehicle tampers with a frame to be uploaded.
  • the fraud detection server notifies the analyst or the like of the abnormality more preferentially. Therefore, it is possible to cause the analyst or the like to execute the measures necessary when the above two pieces of travel information do not match.
  • the in-vehicle network is described as CAN, the present invention is not limited to this, and CAN-FD, Ethernet, LIN, Flexray may be used, or a combination of each. May be
  • the abnormality detection process by machine learning is performed on the cloud server side, but may be processed by an apparatus inside the vehicle. For example, it may be performed by the GPU on the head unit. By doing this, it is possible to improve the immediate detectability.
  • the results of abnormal detection at the vehicle local may be aggregated.
  • the priority of the process may be calculated inside the head unit, or may be notified by being included in the CAN message by another device such as a gateway.
  • the preprocessing for creating the feature vector is performed locally, but may be performed on the cloud server side.
  • the anomaly detection processing may be performed by an edge server closer to the local environment.
  • the influence of the network delay processing is less than that of the abnormality detection processing on the cloud side.
  • the edge server is a roadside machine, and the roadside machine is connected to the cloud server, and the vehicle uploads in-vehicle message information to the roadside machine, performs abnormality detection processing with the roadside machine, and uploads the result of abnormality detection to the cloud server You may do it.
  • the on-vehicle network monitoring system manager has been used as a destination for notifying an alert at the time of abnormality detection on the vehicle or cloud server side, but it is not limited thereto.
  • notification may be made to a car maker, an ECU supplier, or an information terminal owned by a user.
  • it may be possible to notify a security provider that can be used commonly among a plurality of car makers.
  • the priority may be three values of low, medium and high, but the priority is not limited to this.
  • the priority may be expressed as a score of 0 to 100. This makes it possible to assign the priority of the fraud detection server in detail, which is effective.
  • the vehicle log notified to the fraud detection server is information related to the CAN frame, but the vehicle log notified to the fraud detection server is not limited to this.
  • the frame may be Ethernet frame, CAN-FD frame, FlexRay frame, or may not be an in-vehicle network frame.
  • the information may be GPS information indicating the current position of the vehicle, an access log to the audio head unit, a log regarding an operation process, firmware version information, a V2X communication log, and the like.
  • the vehicle or the roadside device when the vehicle or the roadside device receives the monitoring request notification, it notifies the fraud detection server of V2X communication, sensor (camera, radar) and driver reports as a monitoring log. Can be notified as a monitoring log.
  • the fraud detection server may transmit the monitoring request notification including what kind of monitoring log is required. For example, the follow-on vehicle is notified of acquisition of sensor information, and other than the follow-on vehicle is notified of acquisition of a log of V2X communication, and it is determined that it is a surrounding vehicle although it is out of the communication range of V2X communication A monitoring request notification may be sent to the selected vehicle to request the driver's report. This makes it possible to efficiently collect appropriate information according to the positional relationship between the vehicle detected as abnormal and the vehicle.
  • each device in the above embodiment is a computer system including a microprocessor, a ROM, a RAM, a hard disk unit, a display unit, a keyboard, a mouse and the like.
  • a computer program is recorded in the RAM or the hard disk unit.
  • Each device achieves its function by the microprocessor operating according to the computer program.
  • the computer program is configured by combining a plurality of instruction codes indicating instructions to the computer in order to achieve a predetermined function.
  • system LSI Large Scale Integration: large scale integrated circuit
  • the system LSI is a super-multifunctional LSI manufactured by integrating a plurality of components on one chip, and more specifically, a computer system including a microprocessor, a ROM, a RAM, and the like. . A computer program is recorded in the RAM.
  • the system LSI achieves its functions as the microprocessor operates in accordance with the computer program.
  • each part of the component which comprises each said apparatus may be integrated into 1 chip separately, and 1 chip may be integrated so that one part or all may be included.
  • a system LSI may be called an IC, an LSI, a super LSI, or an ultra LSI depending on the degree of integration.
  • the method of circuit integration is not limited to LSI's, and implementation using dedicated circuitry or general purpose processors is also possible.
  • a programmable field programmable gate array FPGA
  • a reconfigurable processor that can reconfigure connection and setting of circuit cells in the LSI may be used.
  • the IC card or the module is a computer system including a microprocessor, a ROM, a RAM, and the like.
  • the IC card or the module may include the super multifunctional LSI described above.
  • the IC card or the module achieves its function by the microprocessor operating according to the computer program. This IC card or this module may be tamper resistant.
  • the present invention may be the method shown above. Further, the present invention may be a computer program that realizes these methods by a computer, or may be a digital signal composed of the computer program.
  • the present invention is a computer readable recording medium that can read the computer program or the digital signal, such as a flexible disk, a hard disk, a CD-ROM, an MO, a DVD, a DVD-ROM, a DVD-RAM, a BD (Blu-ray It may be recorded in a registered trademark) Disc), a semiconductor memory or the like. Further, the present invention may be the digital signal recorded on these recording media.
  • the computer program or the digital signal may be transmitted via a telecommunication line, a wireless or wired communication line, a network represented by the Internet, data broadcasting, and the like.
  • the present invention may be a computer system comprising a microprocessor and a memory, wherein the memory stores the computer program, and the microprocessor operates according to the computer program.
  • each component may be configured by dedicated hardware or implemented by executing a software program suitable for each component.
  • Each component may be realized by a program execution unit such as a CPU or a processor reading and executing a software program recorded in a recording medium such as a hard disk or a semiconductor memory.
  • the software for realizing the company work monitoring apparatus and the like of the above-described embodiment and modification is a program as follows.
  • this program is a control method of a vehicle monitoring device in a computer, and receives specific information for specifying the target vehicle from the server, and information related to traveling of the target vehicle specified by the received specific information Driving information is acquired from the target vehicle, and the control method of transmitting the acquired traveling information to the server is executed.
  • this program is a control method of the fraud detection server in the computer, receives the first travel information which is information related to the travel of the target vehicle, and holds position information indicating the current positions of a plurality of vehicles.
  • the position information When an abnormality is detected in the first travel information received from the target vehicle, one or more of the plurality of vehicles present within a predetermined distance from the target vehicle are referred to the position information.
  • a notification of a request for acquiring second travel information related to travel of the target vehicle is transmitted to a vehicle monitoring device included in the identified or identified one or more vehicles, and the vehicle monitoring device included in the one or more vehicles Receiving the second travel information from the second travel information, and determining the priority indicating the degree to which the abnormality should be analyzed preferentially from the first travel information and the second travel information; About More preferentially, to execute the control method for the notification of the abnormality.
  • the present invention is applicable to a vehicle monitoring device that monitors a vehicle.
  • A2 Fraud Detection Server 81 Network 90 Roadside Unit 91 Communication Module 92 Control Unit 93, 312 V2X Communication Module 100, 101, 200, 201, 300, 301, 302, 400, 401 , 1301, 1302 ECU 110 Engine 111 Transmission 210 Brake 211 Steering 310 Camera 311 IVI 410 door 411 light 510 diagnosis port 810 communication unit 820 processing determination unit 830 log collection unit 840 log analysis unit 850 result notification unit 860 monitoring log communication unit 870 priority determination unit 880 vehicle information DB 881 Vehicle Log Storage DB 882 Analysis result storage DB 883 Monitoring log storage DB 900 gateway 910 frame transmission / reception unit 920 frame interpretation unit 930 integrity verification unit 940 update processing unit 950 frame upload unit 960 transfer control unit 970 key processing unit 980 frame generation unit 990 rule holding unit 991 transfer rule holding unit 992 key holding unit 1010 a, 1010b, 1010c, 1010d, 1010e, 1010f Vehicle A1 Vehicle monitoring

Abstract

車両監視装置（Ａ１）は、対象車両を特定する特定情報をサーバから受信する第一通信部（Ａ１１）と、第一通信部（Ａ１１）が受信した特定情報により特定される対象車両の走行に関わる情報である走行情報を、対象車両から取得する取得部（Ａ１２）とを備え、第一通信部（Ａ１１）は、取得部（Ａ１２）が取得した走行情報をサーバに送信する。例えば、取得部（Ａ１２）は、対象車両から通信によって得られた走行情報を取得してもよい。

Description

車両監視装置、不正検知サーバ、および、制御方法
　本発明は、車両監視装置、不正検知サーバ、および、制御方法に関する。
　近年、自動車の中のシステムには、電子制御ユニット（以下、ＥＣＵ）と呼ばれる装置が多数配置されている。これらのＥＣＵをつなぐネットワークを車載ネットワークと呼ばれる。車載ネットワークには、多数の規格が存在するが、その中でも最も主流な車載ネットワークの一つに、Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ（以降、ＣＡＮともいう）という規格が存在する。
　ＣＡＮでは、不正なフレームが送信されるようなケースを想定したセキュリティ機能が存在しないため、不正なノードが勝手にＣＡＮのバスに接続し、不正にフレームを送信することで、車両を不正にコントロールしてしまうことが可能である。
　特許文献１は、車載ネットワークに送信されたフレームに関する情報を、不正検知サーバにアップロードすることで、車載ネットワークにおいて送信されたフレームの異常度を算出する方法を開示している。
特開２０１７－１１１７９６号公報
　しかしながら、特許文献１の方法では、不正な車両がアップロードするフレームを改ざんした場合に、不正検知サーバは、その不正な車両を検知することが難しい。また、その不正な車両を不正検知サーバが検知したとしても、フレームの改ざんによって実際にどのような影響が発生しているのかを正確に把握することは困難である。そのため、不正検知サーバは、その影響の良否、又は、その影響の大きさに応じた対処をすることができないという問題がある。
　そこで、本発明は、不正な車両がアップロードするフレームを改ざんしたとしても、不正な車両を検知することを支援する車両監視装置などを提供する。
　本発明の一態様に係る車両監視装置は、対象車両を特定する特定情報をサーバから受信する第一通信部と、前記第一通信部が受信した前記特定情報により特定される前記対象車両の走行に関わる情報である走行情報を、前記対象車両から取得する取得部とを備え、前記第一通信部は、前記取得部が取得した前記走行情報を前記サーバに送信する。
　なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。
　本発明の車両監視装置は、不正な車両がアップロードするフレームを改ざんしたとしても、不正な車両を検知することを支援できる。
図１は、実施の形態における、車載ネットワーク監視システムの全体構成を示す図である。 図２は、実施の形態における、車載ネットワークシステムの全体構成を示す図である。 図３は、実施の形態における、不正検知サーバの構成を示す図である。 図４Ａは、実施の形態における、ゲートウェイの構成を示す図である。 図４Ｂは、実施の形態における、路側機の構成を示す図である。 図５は、実施の形態における、不正検知サーバの処理を示す第一のフロー図である。 図６は、実施の形態における、不正検知サーバの処理を示す第二のフロー図である。 図７は、実施の形態における、ゲートウェイの処理を示す第一のフロー図である。 図８は、実施の形態における、ゲートウェイの処理を示す第二のフロー図である。 図９は、実施の形態における、通信によって通信ログを取得する場合のシーケンス図である。 図１０は、実施の形態における、カメラによる撮影によって通信ログを取得する場合のシーケンス図である。 図１１は、実施の形態における、センサによるセンシングによって通信ログを取得する場合のシーケンス図である。 図１２は、実施の形態における、ドライバからセンシングによって通信ログを取得する場合のシーケンス図である。 図１３は、実施の形態における、車載ネットワーク監視システムの第一の動作例を示す説明図である。 図１４は、実施の形態における、車載ネットワーク監視システムの第二の動作例を示す説明図である。 図１５は、実施の形態における、監視ログによる優先度を決定するための条件を示す説明図である。 図１６は、実施の形態における、車載ネットワーク監視システムの第三の動作例を示す説明図である。 図１７は、実施の形態における、車両ログと監視ログとの一例を示す説明図である。 図１８は、実施の形態の変形例における車両監視装置の機能構成を示すブロック図である。 図１９は、実施の形態の変形例における不正検知サーバの機能構成を示すブロック図である。 図２０は、実施の形態の変形例における車両監視装置の制御方法を示すフロー図である。 図２１は、実施の形態の変形例における不正検知サーバの制御方法を示すフロー図である。
　本発明の一態様に係る車両監視装置は、対象車両を特定する特定情報をサーバから受信する第一通信部と、前記第一通信部が受信した前記特定情報により特定される前記対象車両の走行に関わる情報である走行情報を、前記対象車両から取得する取得部とを備え、前記第一通信部は、前記取得部が取得した前記走行情報を前記サーバに送信する。
　上記態様によれば、車両監視装置は、サーバから得た特定情報により特定される対象車両の走行情報を対象車両から取得してサーバに送信する。そのため、対象車両がサーバにアップロードしたフレームが改ざんされていたとしても、車両監視装置がサーバに送信した対象車両の走行情報によって、サーバが対象車両の不正を検知し得る。よって、車両監視装置は、不正な車両がアップロードするフレームを改ざんしたとしても、不正な車両を検知することを支援できる。
　例えば、前記取得部は、前記対象車両から通信によって得られた前記走行情報を取得してもよい。
　上記態様によれば、車両監視装置は、特定車両との通信によって得られた走行情報を取得する。よって、車両監視装置は、より容易に対象車両の走行情報を得ることによって、不正な車両がアップロードするフレームを改ざんしたとしても不正な車両を検知することを支援できる。
　例えば、前記取得部は、前記対象車両に対するセンシングによって得られた前記走行情報を取得してもよい。
　上記態様によれば、車両監視装置は、特定車両に対するセンシングによって得られた走行情報を取得する。よって、車両監視装置は、より容易に対象車両の走行情報を得ることによって、不正な車両がアップロードするフレームを改ざんしたとしても不正な車両を検知することを支援できる。
　例えば、前記車両監視装置は、さらに、前記通信によって得られた前記走行情報である第一走行情報と、前記センシングによって得られた前記走行情報である第二走行情報とが整合するか否かを判定する判定部を備え、前記第一通信部は、前記第一走行情報と前記第二走行情報とが整合しないと前記判定部が判定した場合にのみ、前記第一走行情報と前記第二走行情報とを前記サーバに送信してもよい。
　上記態様によれば、車両監視装置は、通信によって取得した対象車両の走行情報と、センシングによって取得した対象車両の走行情報とが整合しない場合のみサーバに走行情報を送信するので、サーバへ送信する通信量が抑制される。よって、車両監視装置は、サーバへの通信量を抑制しながら、不正な車両がアップロードするフレームを改ざんしたとしても不正な車両を検知することを支援できる。
　例えば、前記車両監視装置は、車両に搭載され、前記取得部は、前記車両のドライバに前記対象車両の走行状態を問いかけるための質問情報を提示し、提示した前記質問情報に対して前記ドライバからセンシングによって取得した回答情報に基づいて、前記走行情報を取得してもよい。
　上記態様によれば、車両監視装置は、対象車両の走行状態についてのドライバによる判断の結果をセンシングにより取得する。よって、車両監視装置は、より多くの情報源から得られた対象車両の走行情報を用いて、不正な車両がアップロードするフレームを改ざんしたとしても不正な車両を検知することを支援できる。
　例えば、前記対象車両の走行情報は、前記対象車両の速度を示す速度情報を含んでもよい。
　上記態様によれば、車両監視装置は、特に対象車両の速度に関する不正を検知し得る。よって、車両監視装置は、不正な車両が、特に速度について改ざんしたフレームをアップロードしたとしても、不正な車両を検知することを支援できる。
　また、本発明の一態様に係る不正検知サーバは、対象車両の走行に関わる情報である第一走行情報を受信する第一通信部と、複数の車両の現在位置を示す位置情報を保持している保持部と、（ａ）前記対象車両から受信した前記第一走行情報に異常を検知したときに、前記複数の車両のうち、前記対象車両から所定距離以内の範囲に存在する１以上の車両を前記位置情報を参照して特定し、特定した前記１以上の車両が備える車両監視装置に対して、前記対象車両の走行に関わる第二走行情報を取得する要求の通知を送信し、（ｂ）前記１以上の車両が備える車両監視装置から前記第二走行情報を受信する、第二通信部と、前記第一走行情報と前記第二走行情報とから、前記異常が優先的に分析されるべき度合いを示す優先度を決定し、前記優先度が高い前記異常ほど、より優先的に、前記異常の通知をする通知部とを備える。
　上記態様によれば、不正検知サーバは、対象車両から所定距離以内に存在する車両の車両監視装置に対して、その対象車両から走行状態を取得させる。そのため、対象車両がサーバにアップロードしたフレームが改ざんされていたとしても、車両監視装置がサーバに送信した対象車両の走行情報によって、サーバが対象車両の不正を検知し得る。よって、不正検知サーバは、不正な車両がアップロードするフレームを改ざんしたとしても、不正な車両を検知することができる。
　例えば、前記通知部は、前記第一走行情報と前記第二走行情報とが整合しないと判定した場合に、前記第一走行情報について検知された前記異常に、より高い前記優先度を決定してもよい。
　上記態様によれば、不正検知サーバは、通信によって取得した対象車両の走行情報と、センシングによって取得した対象車両の走行情報とが整合しない場合に、より優先的にその異常をアナリストなどに通知する。よって、上記の２つの走行情報が整合しない場合に必要な対策をより優先的に、アナリストなどに実行させることができる。
　また、本発明の一態様に係る車両監視装置の制御方法は、対象車両を特定する特定情報をサーバから受信し、受信した前記特定情報により特定される前記対象車両の走行に関わる情報である走行情報を、前記対象車両から取得し、取得した前記走行情報を前記サーバに送信する。
　上記態様によれば、上記の車両監視装置と同様の効果を奏する。
　また、本発明の一態様に係る不正検知サーバの制御方法は、不正検知サーバの制御方法であって、対象車両の走行に関わる情報である第一走行情報を受信し、複数の車両の現在位置を示す位置情報を保持し、前記対象車両から受信した前記第一走行情報に異常を検知したときに、前記複数の車両のうち、前記対象車両から所定距離以内の範囲に存在する１以上の車両を前記位置情報を参照して特定し、特定した前記１以上の車両が備える車両監視装置に対して、前記対象車両の走行に関わる第二走行情報を取得する要求の通知を送信し、前記１以上の車両が備える車両監視装置から前記第二走行情報を受信し、前記第一走行情報と前記第二走行情報とから、前記異常が優先的に分析されるべき度合いを示す優先度を決定し、前記優先度が高い前記異常ほど、より優先的に、前記異常の通知をする。
　上記態様によれば、上記の不正検知サーバと同様の効果を奏する。
　なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムまたは記録媒体の任意な組み合わせで実現されてもよい。
　以下、実施の形態について、図面を参照しながら具体的に説明する。
　なお、以下で説明する実施の形態は、いずれも包括的または具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、本発明を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。
　（実施の形態）
　以下、複数の電子制御ユニット（ＥＣＵ）がＣＡＮバスを介して通信する車載ネットワーク（車載ネットワークシステム）を搭載した複数台の車両と、サーバ（不正検知サーバ）とを、含む不正車両監視システムについて説明する。
　この不正車両監視システムは、不正な車両がアップロードするフレームを改ざんしたとしても、不正な車両を検知することを支援する車両監視装置を含む。
　［１．１　不正車両監視システムの全体構成］
　図１は、本実施の形態に関わる不正車両監視システムの全体構成を示す図である。
　図１に示されるように、不正車両監視システムは、不正検知サーバ８０と、路側機９０と、車両１０１０ａ、１０１０ｂ、１０１０ｃ、１０１０ｄ、１０１０ｅ及び１０１０ｆとが、通信路であるネットワーク８１で接続されて構成される。
　ネットワーク８１は、インターネットあるいは、専用回線を含みうる。車両１０１０ａ、１０１０ｂ、１０１０ｃ、１０１０ｄ、１０１０ｅ及び１０１０ｆは、車内の制御装置、センサ、アクチュエータ、ユーザインタフェース装置等の各種機器に接続されて、車内のバス（ＣＡＮバス）を介して通信を行う複数のＥＣＵを含んで構成される車載ネットワークを備える。
　各車両の車載ネットワークでは、各ＥＣＵはＣＡＮプロトコルにしたがって通信を行う。ＣＡＮプロトコルにおけるフレームには、データフレーム、リモートフレーム、オーバーロードフレーム及びエラーフレームがある。ここでは主としてデータフレームに注目して説明する。なお、ＣＡＮにおいてデータフレームは、ＩＤを格納するＩＤフィールド、データ長を示すＤＬＣ（Ｄａｔａ　Ｌｅｎｇｔｈ　Ｃｏｄｅ）、データを格納するデータフィールドを含むように規定されている。
　路側機９０、並びに、車両１０１０ａ、１０１０ｂ、１０１０ｃ及び１０１０ｄは、地域Ａに存在している。ここで、同一の地域に存在する、とは、互いにＶ２Ｘ（Ｖｅｈｉｃｌｅ－ｔｏ－Ｅｖｅｒｙｔｈｉｎｇ）通信を行うことが可能な範囲に存在することを意味することとする。
　また、車両１０１０ｅ及び１０１０ｆは、地域Ｂに存在している。
　［１．２　車載ネットワークシステムの全体構成］
　図２は、車種Ａの車両１０１０ａにおける車載ネットワークシステムの構成の一例を示す図である。他の車種の車両においても、図２に示す構成と同様の構成あるいは、一部異なる構成等を備える。
　車両１０１０ａ等における車載ネットワークシステムは、バス（ＣＡＮバス）１０、２０、３０、４０及び５０により接続された、複数のＥＣＵ（ＥＣＵ１００、１０１、２００、２０１、３００、３０１、３０２、４００及び４０１）とゲートウェイ９００にといった各ノードを含んで構成される。なおゲートウェイ９００もＥＣＵの１つである。図２では省略しているものの、車載ネットワークシステムには、さらに多くのＥＣＵが含まれうる。
　ＥＣＵは、例えば、プロセッサ（マイクロプロセッサ）、メモリ等のデジタル回路、アナログ回路、通信回路等を含む装置である。メモリは、ＲＯＭ、ＲＡＭであり、プロセッサにより実行される制御プログラム（コンピュータプログラム）を記憶することができる。例えばプロセッサが、制御プログラムにしたがって動作することにより、ＥＣＵは各種機能を実現する。なお、コンピュータプログラムは、所定の機能を実現するために、プロセッサに対する命令コードが複数個組み合わされて構成されたものである。
　バス１０には、それぞれエンジン１１０及びトランスミッション１１１に接続されたＥＣＵ（エンジンＥＣＵ）１００及びＥＣＵ（トランスミッションＥＣＵ）１０１を含む、モータ、燃料、電池の制御といった車両の「走る」に関連するパワートレイン系のＥＣＵが、接続されている。
　バス２０には、それぞれ、ブレーキ２１０及びステアリング２１１に接続されたＥＣＵ（ブレーキＥＣＵ）２００及びＥＣＵ（ステアリングＥＣＵ）２０１を含む、「曲がる」、「止まる」等といった車両の挙動等の制御に関連するシャーシ系のＥＣＵが、接続されている。
　バス３０には、それぞれカメラ３１０、ＩＶＩ（Ｉｎ－Ｖｅｈｉｃｌｅ　Ｉｎｆｏｔａｉｎｍｅｎｔ　Ｓｙｓｔｅｍ）３１１、Ｖ２Ｘ通信モジュール３１２に接続されたＥＣＵ３００、ＥＣＵ３０１及びＥＣＵ３０２を含む、カメラ情報を元に運転支援の認知、判断及び制御を行う機能、又は、オーディオヘッドユニットに関わる機能、Ｖ２Ｘ通信といった情報系に関連するＥＣＵが接続されている。
　バス４０には、それぞれドア４１０及びライト４１１に接続されたＥＣＵ４００及びＥＣＵ４０１を含む、エアコン又はウィンカー等といった車両の装備の制御に関連するボディ系のＥＣＵが、接続されている。
　バス５０には、例えばＯＢＤ２（Ｏｎ－Ｂｏａｒｄ　Ｄｉａｇｎｏｓｔｉｃｓ２）等といった、外部の診断ツール（故障診断ツール）等と通信するためのインタフェースである診断ポート５１０が接続されている。
　ＥＣＵ（ＥＣＵ１００及び２００等）のそれぞれは、接続されている機器（エンジン１１０及びブレーキ２１０等）の状態を取得し、定期的に状態を表すフレーム等を車載ネットワークつまりＣＡＮバスに送信している。
　バス１０に接続されたＥＣＵ１００及び１０１と、バス２０に接続されたＥＣＵ２００、２０１と、バス３０に接続されたＥＣＵ３００、３０１及び３０２とは、メッセージ認証コード（ＭＡＣ、Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｃｏｄｅ）を処理する機能を有するＥＣＵであるＭＡＣ対応ＥＣＵである。ＭＡＣを処理する機能とは、具体的には、ＭＡＣの生成機能及び検証機能などである。
　また、バス４０に接続されたＥＣＵ４００及び４０１は、ＭＡＣを処理する機能を有しないＭＡＣ非対応ＥＣＵである。
　ゲートウェイ９００は、ＭＡＣの生成機能および検証機能を有するＭＡＣ対応ＥＣＵである。
　ゲートウェイ９００は、異なる複数の通信路を接続して通信路間でデータを転送するＥＣＵである。ゲートウェイ９００は、バス１０、バス２０、バス３０、バス４０、バス５０、と接続している。つまり、ゲートウェイ９００は、一方のバスから受信したフレーム（データフレーム）を、一定条件下で他のバス（つまり条件に応じて選択した転送先バス）に転送する機能を有する一種のＥＣＵである。ゲートウェイ９００は、車両の外部の不正検知サーバ８０と通信するための通信装置（通信回路等）を備え、例えば、各バスから受信したフレームについての情報を不正検知サーバ８０に送信（アップロード）する機能を有する。ゲートウェイ９００の構成については、後に詳細に説明する。
　［１．３　不正検知サーバの構成］
　図３は、不正検知サーバ８０の構成図である。不正検知サーバ８０は、車両１０１０ａ等の車載ネットワークで送信される不正なフレームに対処するためのサーバである。不正検知サーバ８０は、例えばプロセッサ、メモリ、通信インタフェース等を備えるコンピュータにより実現され、通信部８１０と、処理判断部８２０と、ログ収集部８３０と、ログ分析部８４０と、結果通知部８５０と、監視ログ通信部８６０と、優先度判断部８７０と、車両情報ＤＢ８８０と、車両ログ格納ＤＢ８８１と、分析結果格納ＤＢ８８２、監視ログ格納ＤＢ８８３とを含んで構成される。
　車両情報ＤＢ８８０と、車両ログ格納ＤＢ８８１と、分析結果格納ＤＢ８８２と、監視ログ格納ＤＢ８８３とは、例えば、メモリ、ハードディスクといった記憶媒体等により実現されうる。
　また、処理判断部８２０、ログ収集部８３０、ログ分析部８４０および優先度判断部８７０それぞれの機能は、例えば、メモリに格納された制御プログラムがプロセッサにより実行されることにより、実現されうる。
　通信部８１０は、通信インタフェース、メモリに格納された制御プログラムを実行するプロセッサ等により実現される。
　通信部８１０は、車両１０１０ａ、１０１０ｂ、１０１０ｃ、１０１０ｄ、１０１０ｅ及び１０１０ｆと、ネットワークを介して通信することで、各車載ネットワークに関する情報を受信する。車載ネットワークに関する情報は、例えば、各車載ネットワークのＣＡＮバス上に流れたフレームの内容、受信タイミング（間隔又は頻度等）、バス負荷率及びフレームのＭＡＣ検証結果に関する情報が含まれうる。
　また、各車載ネットワークに関する情報に加えて、現在の車両の状態等のメタ情報が併せて通知される。メタ情報は、現在の車両の位置、ＢＳＭ（Ｂａｓｉｃ　Ｓａｆｅｔｙ　Ｍｅｓｓａｇｅ）、天候を示す情報が含まれうる。車両の位置は、例えばＧＰＳ（Ｇｌｏｂａｌ　Ｐｏｓｉｔｉｏｎｉｎｇ　Ｓｙｓｔｅｍ）により取得されるＧＰＳ位置である。
　処理判断部８２０は、通信部８１０から通知される、車載ネットワークに関する情報に対する処理内容を判断する。
　ログ収集部８３０は、各車両から収集したログ情報の内容である各種データ（車載ネットワークで受信されたフレームについての情報等）を、車両情報ＤＢ８８０に格納されている情報に基き、車両ログ格納ＤＢ８８１に格納する。
　ログ収集部８３０は、各種データを車両ログ格納ＤＢ８８１へ格納する際に、各種データに所定の正規化等の処理を施してもよい。
　ログ分析部８４０は、車両ログ格納ＤＢ８８１に格納された各車両から収集されたログ情報を用いて分析することにより、ある車両の車載ネットワークで受信されたフレームが不正であるか否か、つまり、攻撃者によりその車載ネットワークに攻撃フレームが送信されたか否かを判断する機能を有する。
　ログ分析部８４０は、蓄積されたログ情報が表す、各車両から収集された複数のフレームについての情報、より具体的には、複数のフレームそれぞれの内容、受信タイミング等の情報について、例えば、統計処理等を行いうる。
　ログ分析部８４０は、通信部８１０により取得された複数のフレームについての情報と、その複数のフレームについての取得より後に、通信部８１０により取得された、一の車両（例えば車両１０１０ａ）の車載ネットワークおいて受信されたフレームについての情報とに基いて、その一の車両の車載ネットワークにおいて受信されたそのフレームの異常度、又は、異常の有無を判断する機能を持つ。
　ログ分析部８４０は、例えば、正常状態において車載ネットワークで流れる各フレームについての所定モデルであって、異常状態との比較用に用いることができる所定モデルを構築し、逐次取得されるログ情報に基づいて機械学習を用いて所定モデルをより適切なものへと調整（更新）することとしてもよい。
　この場合に、ログ分析部８４０は、集積したログ情報が表す複数のフレームについての情報に適宜、加工処理（例えば多変量解析等）を施して、所定モデルの学習のために供給し得る。所定モデルの学習には、教師あり学習、教師なし学習のいずれの方式を用いてもよい。
　例えば、各車両の車載ネットワークシステムにおいて、所定ルールに基づいてそのルールに適合しないフレーム（不正フレーム）がＣＡＮバスに流れたことを検知する不正検知機能がある場合には、不正フレームか不正でないフレームかの区別を示す情報をログ情報に含ませてもよく、ログ分析部８４０では、その区別を示す情報に基づいて、所定モデルについて教師あり学習を行ってもよい。
　また、ログ分析部８４０では、各車両から不正フレームでないフレームについてのログ情報を収集して、或いは不正フレームか否かについて区別せずにログ情報を収集して、これらのログ情報に基づいて、所定モデルについて教師なし学習を行ってもよい。
　この所定モデルは、ある車両の車載ネットワークで受信されたフレームについての異常度（異常の度合い）の算定に利用される。所定モデルの内容は、そのフレームの異常度の算定に用いることのできるものであればよい。
　異常度は、例えば、そのフレームについての情報と所定モデルとの比較（つまりフレームについての情報と所定モデルとを用いた演算処理）により算定される。ログ分析部８４０は、異常度の算定のための所定モデルとして、例えば、同一車種の各車両におけるログ情報に基づいて、正常状態において車載ネットワークで受信されるフレームについての特徴量、より具体的には、フレームの内容、受信間隔、受信頻度等の各成分を含む特徴ベクトル等の分布を表わすように所定モデルを構築し得る。
　なお、所定モデルは、例えば、異常度を目的変数としてログ情報を説明変数とする場合の目的変数と説明変数との間の関係を表すモデルであってもよい。異常度は、例えば、異常なし（つまり正常）の場合に０（ゼロ）とし、異常ありの場合に異常の度合いに応じた正の数値をとるように定め得る。異常度は、０（例えば異常なし）と１（例えば異常あり）との２値をとるものであってもよいし、異常ありを複数段階に区別して３値以上をとるものであってもよい。
　異常度が所定閾値を超える場合に異常ありと判別するような活用も可能である。一例としては、ある車両の車載ネットワークで受信されたフレームの異常度は、そのフレームの特徴量が、既に集積されたログ情報に基づいて定められた所定モデルが示す特徴量の分布（例えば平均値と分散で特定される正規分布）に対する標準偏差に所定係数（例えば３）を乗じて定まる閾値を境界とする範囲の内に位置するか否かで算定でき、また、所定係数を複数用いることで異常度を複数段階に算定できる。異常度を算定するための所定モデルの構築に用いられる手法としては、外れ値検出、又は、時系列上の急激な変化を検出する変化点検出等の手法がある。
　このようにログ分析部８４０は、集積されたログ情報（車両ログ情報）が表す各車両の車載ネットワークで受信された複数のフレームについての情報に基づいて、その複数のフレームについての受信より後に、ある車両の車載ネットワークにおいて受信されたフレームの異常度等を算定する。ある車両の車載ネットワークにおいて受信されたフレームの情報もその車両のログ情報から得ることができる。
　ある車両の車載ネットワークで受信されたフレームについて算定した異常度により異常ありと判別した場合に、ログ分析部８４０は、異常なフレームによる影響を確認するため、異常と判断したフレームを送信した車両と同じ地域に存在する、車両へ監視要求を送信するために、監視ログ通信部８６０へ通知する。
　ログ分析部８４０は、集積したログ情報に基づく統計処理、所定モデルの更新（学習）、ある車両の車載ネットワークで受信されたフレームの異常度の算定等の各種分析処理を逐次行う。そしてログ分析部８４０は、その分析処理の結果（例えば更新後の所定モデルを表わす情報、算定した異常度に関する情報等）を、分析結果格納ＤＢ８８２に格納して保存し、次回の分析処理（フレームの異常度の算定等）に利用する。
　ログ分析部８４０は、上記に述べた異常の検知に限らず、例えば、急ハンドル、急ブレーキ、急加速、又は、緊急ブレーキの発動の有無といった、車両の走行状態として、異常な挙動を検出してもよい。
　結果通知部８５０は、優先度判断部８７０から、不正車両監視システムの管理者に通知すべき不正なイベントがあると判断された場合に、分析結果格納ＤＢ８８２に格納される不正なイベントに関わる情報を、不正車両監視システムの管理者へ通知する手段を備える。
　例えば、結果通知部８５０は、ディスプレイに接続され、不正な発生のイベントをディスプレイ上に表示する等を行う。また、結果通知部８５０は、Ｗｅｂサーバとして機能してもよいし、監視ログ格納ＤＢ８８３に格納される、車両周辺の情報を録画した動画および、車両ログ格納ＤＢ８８１に格納された車両ログを用いて、車両周辺の状況をＶＲ（Ｖｉｒｔｕａｌ　Ｒｅａｌｉｔｙ）として視覚的に再現することで、アナリストに現場状況把握をさせてもよいし、メールサーバとして、管理者にメール通知を行ってもよい。
　なお通知先は、車載ネットワーク監視システムの管理者でなくてもよく、例えば車載ネットワーク監視業務を委託されたセキュリティオペレーションセンターのセキュリティアナリストへ通知するとしてもよい。
　監視ログ通信部８６０は、ログ分析部８４０から異常を検知したことを通知されると、異常を検知した車両と同じ地域に存在する車両または路側機に対して、異常を検知した車両の監視を要求するメッセージ（監視要求通知）を送信する。異常を検知した車両と同一の地域に存在する車両または路側機は、車両ログ格納ＤＢ８８１に格納されているＧＰＳ情報などから選出される。
　また、監視ログ通信部８６０は、上記メッセージ（監視要求通知）を送信した相手の車両から監視ログを受信するまで待機する。監視ログ通信部８６０は、監視ログを受信したら、受信した監視ログを監視ログ格納ＤＢ８８３に格納する。さらに、監視ログ通信部８６０は、検知した異常の優先度を算出するように優先度判断部８７０に通知する。なお、監視要求通知には、監視すべき対象となる車両の、ナンバープレート情報又はＶＩＮ（Ｖｅｈｉｃｌｅ　Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ　Ｎｕｍｂｅｒ）等を含んでもよい。これにより、監視要求通知を受信した車両または路側機は、監視すべき対象を集中的に監視することができ、より詳細な監視データを取得することができる。また、監視すべき対象となる車両のナンバープレート情報又はＶＩＮ等を含まずに、単に周辺の監視を行うように通知してもよい。これにより、車両のプライバシ情報に配慮した処理が可能となる。この場合、車両の位置関係を把握している不正検知サーバ８０が、動画処理を行うことで監視対象車両の走行データ（例えば、走行速度、又は、ステアリング操舵角等）を抽出することが可能となる。
　優先度判断部８７０は、監視ログ格納ＤＢ８８３から、検知した異常の度合いを確認し、その度合いに応じて優先度を算出し、算出した優先度を結果通知部８５０へ通知する。ここで、優先度とは、他よりも優先的に当該異常についての対処が必要とされる度合いを意味する。
　優先度判断部８７０は、急ハンドル、急ブレーキ、急減速、又は、ふらつき運転などの、事故を引き起こしうる危険な走行がなされているとき、あるいは、既に事故が発生しているときに、比較的高い優先度を算出する。
　また、優先度判断部８７０は、監視ログからは、異常と判断した車両の存在を確認できない場合、又は、車両ログと監視ログとに不整合が発生している場合には、中程度の優先度を算出する。この場合、ログに含まれる位置情報等が改ざんされており、状況が確認できないからである。
　また、優先度判断部８７０は、異常と判断した車両を監視した結果、特に異常が見られなかった場合は、比較的低い優先度を算出する。この場合、ただちに危険を引き起こす危険性が低いと判断されるからである。
　検知した異常の度合いの確認方法としては、例えば、Ｖ２Ｘ通信ログに含まれる、エアバッグ作動情報、緊急ブレーキ作動情報、加速度、ステアリング情報、又は、速度等から監視対象車両の状態を把握する方法がある。また、上記確認方法として、動画または画像情報分析によって車両の走行状態を認識することで、車両の走行への影響を認識する方法、又は、事故現場を認識する方法もある。さらに、上記確認方法として、ドライバによる報告が音声又は文字情報である場合は、テキスト分析又は音声認識により、異常な車両の状態を把握する方法などが考えうる。
　また、優先度判断部８７０は、単に、監視ログのみから優先度を判断しなくてもよい。例えば、異常と検知した車両の車両ログと、監視ログを通知した車両の車両ログとを用いた、監視ログの整合性を検証してもよい。例えば、優先度判断部８７０は、上記監視ログに含まれるカメラ画像から車両の速度又はステアリング角度を算出し、算出した速度又はステアリング角度と、異常を検知した車両の車両ログに含まれる速度又はステアリング角度とを比較し、その差が所定の値よりも大きい場合に整合性がないと判断してもよい。これにより、優先度判断部８７０は、複数の車両の車両ログ、および、監視ログ間の整合性を検証することが可能となり、最も整合性が低いログは、改ざんされたものであると判断することができる。
　なお、通信部８１０は、車両の走行に関わる情報である第一走行情報を受信する第一通信部に相当する。
　車両ログ格納ＤＢ８８１は、複数の車両の現在位置を示す位置情報を保持している保持部に相当する。保持部は、記憶装置などにより実現され得る。
　監視ログ通信部８６０は、（ａ）対象車両から受信した第一走行情報に異常を検知したときに、複数の車両のうち、対象車両から所定距離以内の範囲に存在する１以上の車両を位置情報を参照して特定し、特定した１以上の車両が備える車両監視装置に対して、対象車両の走行に関わる第二走行情報を取得する要求の通知を送信し、（ｂ）１以上の車両が備える車両監視装置から第二走行情報を受信する、第二通信部に相当する。
　優先度判断部８７０及び結果通知部８５０は、第一走行情報と第二走行情報とから、異常が優先的に分析されるべき度合いを示す優先度を決定し、優先度が高い異常ほど、より優先的に、異常の通知をする通知部に相当する。
　なお、優先度判断部８７０は、第一走行情報と第二走行情報とが整合しないと判定した場合に、第一走行情報について検知された異常に、より高い優先度を決定してもよい。
　［１．４　ゲートウェイの構成］
　図４Ａは、ある車両（例えば車両１０１０ａ）の車載ネットワークにおけるゲートウェイ９００の構成を示す。ゲートウェイ９００は、車両監視装置の一例である。
　図４Ａに示すように、ゲートウェイ９００は、フレーム送受信部９１０と、フレーム解釈部９２０と、整合性検証部９３０と、更新処理部９４０と、フレームアップロード部９５０と、転送制御部９６０と、鍵処理部９７０と、フレーム生成部９８０と、ルール保持部９９０と、転送ルール保持部９９１と、鍵保持部９９２とを含んで構成される。
　これらの構成要素の各機能は、例えばゲートウェイ９００における通信回路、メモリに格納された制御プログラムを実行するプロセッサ或いはデジタル回路等により実現される。例えば、フレームアップロード部９５０及び、更新処理部９４０は、不正検知サーバ８０と通信するための通信回路等により実現される。
　フレーム送受信部９１０は、バス１０、バス２０、バス３０、バス４０及びバス５０のそれぞれに対して、ＣＡＮプロトコルに従ったフレームを送受信する。フレーム送受信部９１０は、バスからフレームを１ｂｉｔずつ受信し、フレーム解釈部９２０に通知する。
　また、フレーム送受信部９１０は、フレーム生成部９８０より通知を受けた転送先のバスを示すバス情報及び送信用のフレームに基いて、そのフレームの内容を、バス１０、バス２０、バス３０、バス４０及びバス５０のうち転送先のバスに、１ｂｉｔずつ送信する。
　フレーム解釈部９２０は、フレーム送受信部９１０よりフレームの値を受け取り、ＣＡＮプロトコルで規定されているフレームフォーマットにおける各フィールドにマッピングするよう解釈を行う。フレーム解釈部９２０は、受信されたフレームの各フィールドの情報を整合性検証部９３０へ通知する。
　なお、フレーム解釈部９２０は、受け取ったフレームがＣＡＮプロトコルに則っていないフレームと判断した場合は、エラーフレームを送信するようにフレーム生成部９８０へ通知する。
　また、フレーム解釈部９２０は、エラーフレームを受信した場合、つまり受け取ったフレームにおける値からエラーフレームになっていると解釈した場合には、それ以降は、そのフレームを破棄する、つまりエラーフレームの解釈を中止する。
　整合性検証部９３０は、フレームに含まれる、自車の走行状態と、センシングにより認識した他車の車両状態（センシング車両状態と呼ぶ）と、Ｖ２Ｘ通信により受信した、他車の通知する他車の車両状態（Ｖ２Ｘ車両状態と呼ぶ）との整合性を検証する。上記の他車は、不正検知サーバ８０の監視ログ通信部８６０からＩＶＩ３１１を介して受信する監視要求通知により特定され得る。また、上記の他車、自車と同一の地域に存在する車両から任意に特定されてもよい。
　例えば、Ｖ２Ｘ車両状態では、他車の走行速度が２０ｋｍ／ｈであるにも関わらず、センシング車両状態では、他車の走行速度が６０ｋｍ／ｈであるという場合がある。このように、他社の走行速度について所定値よりも大きな差を検出した場合に、整合性検証部９３０は、センシング車両状態とＶ２Ｘ車両状態との整合が取れていないと判断し、不正検知サーバ８０へ不正な車両に関する情報を通知する。
　センシング車両状態は、車両に備え付けられているセンサ、例えば、カメラ（ドライブレコーダ）、ミリ波レーダ、Ｌｉｄａｒ（Ｌｉｇｈｔ　Ｄｅｔｅｃｔｉｏｎ　ａｎｄ　Ｒａｎｇｉｎｇ）等から直接に得られるデータから取得されてもよいし、ＣＡＮなどを通じて得られる情報から取得されてもよい。さらに、これらのセンサの値と、自車の車両状態とを組み合わせ加工することによって、センシング車両状態が取得されてもよい。例えば、ミリ波レーダのセンサ値を処理することによって、前方車両との相対速度を算出し、算出した相対速度に自車の走行速度を加算することによって、他車の車両の速度を算出し、センシング車両状態としてもよい。また、車両に備え付けのカメラにより得られた画像に画像処理を施すことによって、車両の速度、ハンドル操作の有無、加減速中などの車両の挙動を算出し、センシング車両状態としてもよい。
　また、車両状態の整合性の検証方法も、上記に述べたものに限らない。例えば、前方車両が監視対象であるときには、整合性検証部９３０は、前方車両から通知されるＶ２Ｘ車両状態の時系列変化と、自車の車両状態の時系列変化との相関関係を算出することによって、整合性を検証してもよい。より具体的には、整合性検証部９３０は、他車のＶ２Ｘ車両状態から取得した車両の速度の時系列データと、自車の車両状態の車両の速度の時系列データの自己相関を算出し、これらが大きく乖離している場合に整合がとれていないと判断する。これにより、整合性検証部９３０は、自車と前方車両とが同じ道路を走行していることからほぼ同じ走行挙動を有しているにも関わらず、前方車両から自車に通知されるＶ２Ｘ車両状態が自車の車両状態と大きく異なることを検出することが可能となる。その結果、ゲートウェイ９００は、Ｖ２Ｘ車両状態あるいは、自車の車両状態のいずれかが改ざんされていることを検知することができ安全性が高まる。
　更新処理部９４０は、ルール保持部９９０が保持している優先度ルールを、不正検知サーバ８０から取得される情報に基いて更新する。
　フレームアップロード部９５０は、フレーム解釈部９２０から通知される、いずれかのＣＡＮバスから受信されたフレームを逐次取得し、受信されたフレームについての情報（例えば、フレームの内容、受信間隔、受信頻度等）を含むログ情報を不正検知サーバ８０に送信（アップロード）する。
　この時にログ情報に加えて、メタ情報をアップロードする。メタ情報は、その他の各種情報（車両の状態情報、Ｂａｓｉｃ　Ｓａｆｅｔｙ　Ｍｅｓｓａｇｅ、車両の位置情報、バス負荷率）を含んでもよい。
　さらに、フレームアップロード部９５０は、ログ情報に、車両の識別情報（車両ＩＤ）を含める。フレームアップロード部９５０は、受信されたフレームについての情報として、不正検知サーバ８０で統計処理、機械学習等を行う場合に取り扱いやすいように、フレームの内容、受信間隔、又は、受信頻度等を加工する加工処理を施してもよい。
　ここで、フレームの受信間隔は、例えば、そのフレームの受信時刻と、そのフレームと同一ＩＤのフレームが前回受信された時刻との差である。
　また、フレームの受信頻度は、例えば、一定の単位時間において、そのフレームと同一ＩＤのフレームが受信された数である。この加工処理は、例えば、フレームの内容、受信間隔、受信頻度等の特徴から特徴量を抽出し、正規化等を行い、特徴量の情報量の縮約を行うこと等である。特徴量の情報量の縮約は、例えば、特徴量を各成分としての特徴ベクトルで表し、不正検知サーバ８０と連携して得た情報に基いて、特徴ベクトルの次元数を主成分分析等の次元削減アルゴリズムを用いることで実現されうる。
　なお、ＣＡＮバスから受信されたフレームについての情報を、迅速に不正検知サーバ８０へ伝えると、そのフレームが異常であるか否かを不正検知サーバ８０に迅速に検知させて対処を可能にしうる。
　また、フレームアップロード部９５０は、例えば不正検知サーバ８０とのトラフィック量を削減すべく、無条件で、又は通信状況に応じて、ログ情報を圧縮して不正検知サーバ８０に送信してもよい。また、フレームアップロード部９５０は、フレーム送受信部９１０がＣＡＮバスから受信したフレームのうち全てのフレームについての情報ではなく特定の１つまたは複数のＩＤのフレームだけについての情報をログ情報に含めて送信してもよい。
　なお、不正検知サーバ８０からの通知に対応して、ゲートウェイ９００は、ＣＡＮバスを介してあらかじめ定められたＥＣＵに必要な情報を送信する等によって、ファームウェアの更新、運転支援機能の無効化、及び、遠隔制御等の機能を実現させる。
　転送制御部９６０は、転送ルール保持部９９１が保持する転送ルールに従って、受信したフレームのＩＤ、及び転送元バス（つまりそのフレームを受信したバス）に応じて、転送先のバスを選択し、転送先のバスを示すバス情報と、転送されるべきフレームの内容（例えばフレーム解釈部９２０より通知されたＩＤ、ＤＬＣ、データ等）をフレーム生成部９８０へ通知して、送信を要求する。
　フレーム生成部９８０は、転送制御部９６０からの送信の要求に従い、転送制御部９６０より通知されたフレームの内容を用いて送信用のフレームを構成し、その送信用のフレーム及びバス情報（例えば転送先のバスの識別子等）をフレーム送受信部９１０へ通知する。
　転送ルール保持部９９１は、バスごとのフレームの転送についてのルールを示す転送ルール情報を保持する。転送ルール情報は、転送元となりうる各バスについて、そのバスで受信された転送すべきフレームのＩＤと転送先のバスとを示す。
　また転送ルール情報は、各バスが、フレーム内容を暗号化すると規定されたバスか否か、及び、フレームにＭＡＣが付与されると規定されたバスか否かを示す情報を含む。この情報を参照することで転送制御部９６０は、転送元が暗号化に対応している場合は、鍵保持部９９２が保持している、転送元のバスに接続された各ＥＣＵと共有している暗号鍵を用いて、鍵処理部９７０にフレームの内容を復号させる。
　そして、転送先が暗号化に対応している場合は、転送制御部９６０は、鍵保持部９９２が保持している、転送先のバスに接続された各ＥＣＵと共有している暗号鍵を用いて、鍵処理部９７０にフレームの内容を暗号化させて転送するように制御する。
　鍵処理部９７０では、フレームの内容の暗号化、復号、及び、フレームの内容等に基くＭＡＣの生成及び検証のそれぞれについて、いかなる方式を用いてもよい。
　ＭＡＣは、例えばフレームのデータフィールド内の一部の値に基いて生成してもよいし、その値と、他のフィールドの値あるいは、その他の情報（例えばフレームの受信回数をカウントするカウンタ値等）を結合したものに基いて生成してもよい。
　ＭＡＣの計算方法としては、例えばＨＭＡＣ（Ｈａｓｈ－ｂａｓｅｄ　Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｃｏｄｅ）、ＣＭＡＣ（Ｃｉｐｈｅｒ－ｂａｓｅｄ　Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｃｏｄｅ）等を用いることができる。
　なお、フレームアップロード部９５０は、対象車両を特定する特定情報を不正検知サーバ８０から受信するとともに、フレーム送受信部９１０が取得した走行情報を不正検知サーバ８０に送信する第一通信部に相当する。
　フレーム送受信部９１０は、第一通信部が受信した特定情報により特定される対象車両の走行に関わる情報である走行情報を、対象車両から取得する取得部に相当する。
　例えば、フレーム送受信部９１０は、Ｖ２Ｘ通信モジュール３１２による通信によって特定車両から得られた走行情報を取得してもよい。
　例えば、フレーム送受信部９１０は、カメラ３１０のようなセンサによる、特定車両に対するセンシングによって得られた走行情報を取得してもよい。
　また、整合性検証部９３０は、Ｖ２Ｘ通信モジュール３１２による通信によって得られた走行情報である第一走行情報と、センサによるセンシングによって得られた走行情報である第二走行情報とが整合するか否かを判定する判定部に相当する。この場合、フレームアップロード部９５０は、第一走行情報と第二走行情報とが整合しないと判定部が判定した場合にのみ、第一走行情報と第二走行情報とを不正検知サーバ８０に送信するようにしてもよい。
　なお、対象車両の走行情報は、対象車両の速度を示す速度情報を含んでいてもよい。
　［１．５　路側機の構成］
　図４Ｂは、路側機９０の構成を示す。路側機９０は、車両監視装置の一例である。
　図４Ｂに示されるように、路側機９０は、通信モジュール９１と、制御部９２と、Ｖ２Ｘ通信モジュール９３とを備える。
　通信モジュール９１は、不正検知サーバ８０と通信することができる通信モジュールである。通信モジュール９１は、対象車両を特定する特定情報を不正検知サーバ８０から受信する。通信モジュール９１は、第一通信部に相当する。
　制御部９２は、通信モジュール９１が受信した特定情報により特定される対象車両の走行に関わる情報である走行情報を、対象車両から取得する処理部である。制御部９２は、取得部に相当する。
　Ｖ２Ｘ通信モジュール９３は、車両との通信を行う通信モジュールである。
　なお、路側機９０は、カメラなどのセンサをさらに備えてもよい。
　以上のように構成された不正検知サーバ８０及び車両１０１０ｂの処理を説明する。具体的には、不正検知サーバ８０の処理についての２つの例と、車両１０１０ｂの処理についての２つの例を説明する。ここでは、車両１０１０ａが不正な車両である場合を想定して説明する。なお、以下に示すゲートウェイ９００の処理は、路側機９０によって行われてもよい。
　（１）不正検知サーバ８０の処理の第一例
　図５は、本実施の形態における、不正検知サーバ８０の処理を示す第一のフロー図である。
　ステップＳ１０１において、通信部８１０は、車両１０１０ａから車両ログを受信する。受信した車両ログは、処理判断部８２０を経由してログ収集部８３０に提供される。
　ステップＳ１０２において、ログ収集部８３０は、ステップＳ１０１で提供された車両ログを車両ログ格納ＤＢ８８１に格納する。
　ステップＳ１０３において、ログ分析部８４０は、車両ログ格納ＤＢ８８１に格納された車両ログを分析することにより、車載ネットワークで受信されたフレームが不正であるか否かを判断する。
　ステップＳ１０４において、ログ分析部８４０は、ステップＳ１０３でフレームが不正であると判定したか否か、つまり、フレームの異常を検知したか否かを判定する。フレームの異常を判定した場合（ステップＳ１０４でＹｅｓ）には、ステップＳ１０５に進み、そうでない場合（ステップＳ１０４Ｎｏ）には、図５に示された一連の処理を終了する。
　ステップＳ１０５において、監視ログ通信部８６０は、ステップＳ１０４でフレームの異常を検知した車両と同一の地域に存在する車両又は路側機に対して、異常を検知した車両の監視を要求するメッセージを送信する。
　ステップＳ１０６において、監視ログ通信部８６０は、ステップＳ１０５で送信したメッセージに対して車両又は路側機が送信する監視ログの受信待ちをする。上記監視ログを受信したらステップＳ１０７に進む。
　ステップＳ１０７において、監視ログ通信部８６０は、ステップＳ１０６で車両又は路側機から監視ログを所定数以上受信したか否かを判定する。所定数以上受信した場合（ステップＳ１０７でＹｅｓ）にはステップＳ１０８に進み、そうでない場合（ステップＳ１０７でＮｏ）には、ステップＳ１２０に進む。
　ステップＳ１０８において、優先度判断部８７０は、車両ログと監視ログとの整合性の検証を行う。
　ステップＳ１０９において、優先度判断部８７０は、ステップＳ１０８での検証の結果、車両ログと監視ログとの不整合が発生しているか否かを検討する。不整合が発生している場合（ステップＳ１０９でＹｅｓ）には、ステップＳ１１０に進み、そうでない場合（ステップＳ１０９でＮｏ）には、ステップＳ１１１に進む。
　ステップＳ１１０において、優先度判断部８７０は、車両ログと監視ログとの不整合が発生することに基づいて、車両ログが改ざんされていることを検知する。
　ステップＳ１１１において、優先度判断部８７０は、ステップＳ１０４で検知した異常に対する対応の優先度を算出する。
　ステップＳ１２０において、優先度判断部８７０は、異常を検知した車両の位置情報に異常があることを検知する。
　図５に示される一連の処理により、不正検知サーバ８０は、車両ログの改ざん、つまり車両ログの不正を検知することができる。
　（２）不正検知サーバ８０の処理の第二例
　図６は、本実施の形態における、不正検知サーバ８０の処理を示す第二のフロー図である。図６において、ステップＳ１０１からＳ１１０までの処理、及び、ステップＳ１２０の処理は、図５におけるものと同じである。
　ステップＳ１３１において、優先度判断部８７０は、車両ログと監視ログとの多数決によって異常を特定する。
　図６に示される一連の処理により、不正検知サーバ８０は、複数の車両監視装置からの監視ログを用いて、車両ログの改ざん、つまり車両ログの不正を検知することができる。
　（３）車両１０１０ｂの処理の第一例
　図７は、本実施の形態における、ゲートウェイ９００の処理を示す第一のフロー図である。
　ステップＳ２０１において、車両１０１０ｂの整合性検証部９３０は、不正検知サーバ８０が送信する監視要求通知を受信する。この監視要求通知は、例えば、不正検知サーバ８０が、車両１０１０ａが不正な車両であると判断した結果、車両１０１０ａと同一の地域に存在している車両１０１０ｂを選択して送信されたものである。なお、車両１０１０ａを対象車両ともいう。
　ステップＳ２０２において、整合性検証部９３０は、ステップＳ２０１で受信した監視要求通知により特定される監視対象の車両（「対象車両」ともいう）に対して、Ｖ２Ｘ通信モジュール３１２が通信接続をすることができるか否かを判定する。通信接続をすることができると判定した場合（ステップＳ２０２でＹｅｓ）には、ステップＳ２０３に進み、そうでない場合（ステップＳ２０２でＮｏ）には、ステップＳ２０４に進む。
　ステップＳ２０３において、整合性検証部９３０は、Ｖ２Ｘ通信モジュール３１２による通信を介して、Ｖ２Ｘ通信ログを取得する。
　ステップＳ２０４において、整合性検証部９３０は、対象車両をカメラ３１０により撮影可能であるか否かを判定する。撮影可能であるか否かの判定は、例えば、対象車両が自車から撮影可能な位置に存在しているか否かを判定することでなされ得る。撮影可能な位置に存在しているか否かは、対象車両と自車の位置情報によって判定されてもよいし、カメラ３１０により撮影された画像に対象車両が映っているか否かによって判定されてもよい。撮影可能であると判定した場合（ステップＳ２０４でＹｅｓ）には、ステップＳ２０５に進み、そうでない場合（ステップＳ２０４でＮｏ）には、ステップＳ２０６に進む。
　ステップＳ２０５において、整合性検証部９３０は、カメラ３１０により対象車両の画像又は動画を撮影し、画像データ又は動画データを生成する。
　ステップＳ２０６において、整合性検証部９３０は、対象車両に異常がないかの質問情報をドライバに提示し、回答情報を取得する。
　ステップＳ２０７において、整合性検証部９３０は、ステップＳ２０３のＶ２Ｘ通信ログ、ステップＳ２０５の画像データ又は動画データ、ステップＳ２０６のドライバからの回答情報のうち１以上の情報を含む監視ログを不正検知サーバ８０に送信する。
　図７に示される一連の処理により、車両１０１０ｂは、不正な車両つまり対象車両がアップロードするフレームを改ざんしたとしても、不正検知サーバ８０が不正な車両を検知することを支援することができる。
　（４）車両１０１０ｂの処理の第二例
　図８は、本実施の形態における、ゲートウェイ９００の処理を示す第二のフロー図である。
　ステップＳ３０１において、整合性検証部９３０は、対象車両との間でＶ２Ｘ通信モジュール３１２による通信を開始する。なお、対象車両は、予め、不正検知サーバ８０が送信する監視要求通知を受信して、その監視要求通知により特定される監視対象車両に基づいて定められてもよいし、任意に定められてもよい。
　ステップＳ３０２において、整合性検証部９３０は、Ｖ２Ｘ通信モジュール３１２による通信を介して、対象車両の走行状態を取得する。
　ステップＳ３０３において、整合性検証部９３０は、対象車両をカメラ３１０によって撮影可能であるか否かを判定する。撮影可能であると判定した場合（ステップＳ３０３でＹｅｓ）には、ステップＳ３０４に進み、そうでない場合（ステップＳ３０３でＮｏ）には、図８に示される一連の処理を終了する。
　ステップＳ３０４において、整合性検証部９３０は、対象車両の走行状態をカメラ３１０により認識する。
　ステップＳ３０５において、整合性検証部９３０は、Ｖ２Ｘ通信により取得した走行状態と、カメラ３１０により取得した走行状態とに整合性があるか否かを判定する。上記整合性がある場合（ステップＳ３０５でＹｅｓ）には、ステップＳ３０６に進み、そうでない場合（ステップＳ３０５でＮｏ）には、ステップＳ３１１に進む。
　ステップＳ３０６において、整合性検証部９３０は、整合性があることを示す通知を不正検知サーバ８０に送信する。なお、ステップＳ３０６は実行されなくてもよい。
　ステップＳ３１１において、整合性検証部９３０は、整合性がないことを示す通知を不正検知サーバ８０に送信する。
　図８に示される一連の処理により、車両１０１０ｂは、不正な車両つまり対象車両がアップロードするフレームを改ざんしたとしても、不正検知サーバ８０が不正な車両を検知することを支援することができる。
　［１．６　車両と不正検知サーバの処理シーケンス例１］
　図９は、車両１０１０ａ及び１０１０ｂと、路側機９０と、不正検知サーバ８０との処理シーケンス例を示した図である。
　まず、車両１０１０ａが、車両１０１０ａ内部で通信されるＣＡＮログ等の車両ログを不正検知サーバ８０へ送信する（ステップＳ４０１）。不正検知サーバ８０は、送信された車両ログを受信する（ステップＳ４０２）。
　不正検知サーバ８０は、車両ログを受信すると、車両ログに異常が存在するか否かを分析する（ステップＳ４０３）。不正検知サーバ８０は、車両ログに異常が発生していることを検知すると（ステップＳ４０４）、車両１０１０ａと同一地域に存在する車両または路側機に対して、状況確認要求通知を送信する（ステップＳ４０５）。この例では、車両１０１０ａと同一の地域に車両１０１０ｂと、路側機９０とが存在しており、不正検知サーバ８０は、車両１０１０ｂと、路側機９０とに対して、状況確認通知を行っている。なお、ステップＳ４０１～Ｓ４０５は、例えば図５のステップＳ１０１～Ｓ１０５に相当する。
　なお、状況確認通知先は、車両１０１０ａと同一の地域に現時点では存在していない（つまり、車両１０１０ａとＶ２Ｘ通信を行える距離に存在しない）車両又は路側機であっても、車両１０１０ａの経路の予測により得られる、将来に同一地域となる可能性のある車両又は路側機を含めてもよい。
　状況確認要求通知を受信した車両１０１０ｂと路側機９０とは、車両１０１０ａとＶ２Ｘ通信を行い（ステップＳ４０６及びＳ４０７）、車両１０１０ａの車両の状態通知（例えば、車両の速度、走行方向、加速度等）を受信する（ステップＳ４０８及びＳ４０９）。車両１０１０ｂと路側機９０とは、受信した車両１０１０ａの車両状態通知を含むＶ２Ｘ通信ログを監視ログとして、不正検知サーバ８０へ通知する（ステップＳ４１０及びＳ４１１）。
　不正検知サーバ８０は、監視ログを受信すると、監視ログと車両ログとを用いて再分析を行い最終的な判断を行う（ステップＳ４１２）。再分析では、車両ログと監視ログとの整合性の検証が行われうる。
　図９では、不正検知サーバ８０が車両ログを受信した後に監視ログを受信するシーケンスを示しているが、不正検知サーバ８０は、車両ログと監視ログとを同時に受信し続け、例えば通知される速度に不整合が生じていないかを検証してもよい。そして、不整合が生じている場合には、いずれかのログが不正に改ざんされているおそれがあるとして、異常を検知し、セキュリティアナリストへ提示する。このとき、不正検知サーバ８０が複数の監視ログを受信している場合には、最も多く整合がとれているグループについて正しいログであると判断し、そのグループのログと不整合なログ（車両ログを含む）を、改ざんされたログであると判断し、改ざんされたログを送信する車両も併せて、セキュリティアナリストへ通知する。不整合がない場合は、車両ログのみで検知した異常が発生しているとして、セキュリティアナリストへ提示する。このとき付加情報として、監視ログを併せて提示する。
　［１．７　車両とサーバ間の処理シーケンス例２］
　図１０は、車両１０１０ａ及び１０１０ｂと路側機９０と、不正検知サーバ８０の処理シーケンス例２を示した図である。車両１０１０ａが車両ログをサーバへ通知し、不正検知サーバ８０が車両ログを分析し、異常を検知する。その後、状況確認要求通知を、車両１０１０ｂおよび、路側機９０に送信するまでは、図１０と同様である（ステップＳ４０１～４０５）。
　状況確認要求通知を受信すると、車両１０１０ｂと路側機９０とは、備え付けのカメラによる撮影により車両１０１０ａを監視する（ステップＳ５０１及びＳ５０２）。このとき、車両１０１０ｂと、路側機９０とは、不正検知サーバ８０から通知される情報を用いて車両１０１０ａを認識してもよいし、単に指定されたタイミングで動画または画像を取得するだけでもよい。車両１０１０ａを認識した場合に、さらに画像処理により、車両１０１０ａの速度、加減速状況又はステアリング状態などを抽出してもよい。また、カメラは車両１０１０ｂに備えつけのドライブレコーダを活用してもよく、サーバからの状況監視要求通知により、動画を保存するようにしてもよい。車両１０１０ｂと路側機９０とは、取得した画像あるいは動画を含めて監視ログとして、不正検知サーバ８０へ通知する（ステップＳ５０３、５０４）。
　不正検知サーバ８０は、監視ログを受信すると、監視ログと車両ログとを用いて再分析を行う（ステップＳ５０５）。不正検知サーバ８０は、上記再分析において、受信した画像、または動画を、異常検知時の状況証拠として、セキュリティアナリストへ提示する。また、不正検知サーバ８０内に、画像処理エンジンが搭載されていてもよく、画像を処理することによって、車両１０１０ａの車両の速度、加減速状況又はステアリング角度等を抽出し、車両ログとの整合性を検証してもよい。あるいは、事故の発生状況や、車の異常挙動が、画像分析の結果確認された場合に、検知した異常の優先度を高として、セキュリティアナリストへ優先的に提示する。
　［１．８　車両と不正検知サーバの処理シーケンス例３］
　図１１は、車両１０１０ａと１０１０ｂと、不正検知サーバ８０との処理シーケンス例３を示した図である。不正検知サーバ８０が状況確認要求を車両１０１０ｂに通知するまでは、図９又は図１０と同様のシーケンスである（ステップＳ４０１～４０５）。
　車両１０１０ｂは、不正検知サーバ８０から状況確認要求通知を受信すると、車両１０１０ａの車両走行状態のセンシングを開始する（ステップＳ６０１）。センシングは、車両に備え付けられた、カメラ、レーダ又はＬｉＤＡＲ等のセンサを用いて行う。例えば、車両１０１０ａを先行車両として認識した場合に、前方車両との相対速度等を取得する。車両１０１０ｂはセンシングした、車両１０１０ａの情報を監視ログとして、不正検知サーバ８０へ通知する（ステップＳ６０２）。不正検知サーバ８０は、受信した監視ログと車両ログとを用いて再分析を行い、監視ログと車両ログとに不整合が発生していないかを検証する（ステップＳ６０３）。
　［１．９　車両と不正検知サーバの処理シーケンス例４］
　図１２は、車両１０１０ａ及び１０１０ｂと、不正検知サーバ８０の処理シーケンス例４を示した図である。不正検知サーバ８０が状況確認要求を車両１０１０ｂに通知するまでは、図９、図１０又は図１１と同様のシーケンスである（ステップＳ４０１～４０５）。
　車両１０１０ｂは、状況確認通知を受信すると、車両１０１０ｂのドライバに、周辺に異常がないかの確認の要求を示す提示情報を、ヘッドユニットのディスプレイ経由、または、音声により提示する（ステップＳ７０１）。ドライバが周囲の状況の確認、つまり、対象車両の挙動の確認を行い、その結果の報告を、音声またはタッチパネル操作により入力をする。車両１０１０ｂは、そのドライバからの入力を受ける（ステップＳ７０２）。車両１０１０ｂは、ドライバから受けた情報を監視ログとして、不正検知サーバ８０へ通知する（ステップＳ７０３）。不正検知サーバ８０は監視ログと車両ログとを用いて再分析を行う（ステップＳ７０４）。再分析において、不正検知サーバ８０は、ドライバからの報告をもとに、検知した異常に対する対応の優先度を決定し、優先度の高いものから、優先的にセキュリティアナリストへ通知する。
　ドライバの報告は、例えば、「周囲で事故発生」、「急ハンドル、急ブレーキ、急加速の異常な車両あり」、「気になる車両あり」、「特に異常なし」等の選択式で、ドライバに選択させてもよいし、ドライバの報告をそのまま音声情報あるいは、音声認識の結果の文字情報を監視ログとしてもよい。これにより、異常を検知した車両の状況を迅速にかつ、正確に把握することが可能となり、検知したログに対する優先度を危険度に応じて付与することができ、セキュリティアナリストへ優先的に通知することが可能となる。
　なお、不正検知サーバ８０は、状況確認要求を、異常を検知した車両と同地域に存在する車両へ通知しているが、通知先は、車両１０１０ｂまたは路側機９０に限らない。例えば、交通安全情報を受信するアプリケーションをインストールした端末に対して通知してもよい。このとき、当該アプリケーションは、端末の位置情報を不正検知サーバ８０に送信しており、不正検知サーバ８０は、端末の位置情報が、異常と検知した車両の近くに存在する場合に、当該端末にインストールされたアプリケーションに対して、状況確認要求通知を行う。アプリケーションは端末の所有者に対して、周辺の異常確認通知を行い、端末所有者の報告を不正検知サーバ８０へ通知する。
　以降において、車載ネットワーク監視システムの動作例を説明する。
　図１３は、本実施の形態における、車載ネットワーク監視システムの第一の動作例を示す説明図である。図１３の例は、車両１０１０ａの速度が６０ｋｍ／ｈであるにもかかわらず、速度が２０ｋｍ／ｈであると偽装して不正検知サーバ８０等に通知している状況で、不正検知サーバ８０が車両１０１０ａの不正を検知する状況を示している。また、この例では、車両１０１０ｂが自発的に、つまり、不正検知サーバ８０からの通知を受けることなく車両１０１０ａの異常を検知する例を示している。
　図１３の（１）において、車両１０１０ａは、自車の速度が２０ｋｍ／ｈであると偽装して、不正検知サーバ８０へ通知する。
　（２）において、車両１０１０ａは、自車の速度が２０ｋｍ／ｈであると偽装して、Ｖ２Ｘ通信により車両１０１０ｂに通知する。
　（３）において、車両１０１０ｂは、車両１０１０ａの走行状態をカメラ又はレーダ等によるセンシングによって取得する。取得された走行状態において、自車に対する車両１０１０ａの相対速度が３０ｋｍ／ｈであることが示されているとする。
　（４）車両１０１０ｂは、上記（３）でセンシングにより取得した車両１０１０ａとの相対速度と、自車の速度（３０ｋｍ／ｈとする）とから、車両１０１０ａの速度を６０ｋｍ／ｈと算出する。そして、車両１０１０ｂは、算出した車両１０１０ａの速度と、上記（２）で通知された車両１０１０ａの速度とに整合性がない、つまり異常があると判断する。
　（５）車両１０１０ｂは、検知した異常を不正検知サーバ８０へ通知する。
　図１４は、本実施の形態における、車載ネットワーク監視システムの第二の動作例を示す説明図である。図１５は、本実施の形態における、監視ログによる優先度を決定するための条件を示す説明図である。
　図１４の例は、車両１０１０ａが急加速をしたときに、不正検知サーバ８０が車両１０１０ｂに対して、車両１０１０ａが実際に急加速をしたか否かを確認させる状況を示している。
　図１４の（１）において、車両１０１０ａは、自車が急加速をしたことを含む車両ログを不正検知サーバ８０に送信する。
　（２）において、不正検知サーバ８０は、上記（１）で送信された車両ログを分析して、車両１０１０ａに異常が発生したことを検知する。そして、車両１０１０ａの近くに存在している車両１０１０ｂに対して、車両１０１０ａの監視をさせる要求（監視要求ともいう）を送信する。車両１０１０ｂは、送信された監視要求を受信する。
　（３）において、車両１０１０ｂは、上記（２）で受信した監視要求に応じて、Ｖ２Ｘ通信により車両１０１０ａのログ（監視ログ）を取得する。
　（４）において、車両１０１０ｂは、上記（２）で受信した監視要求に応じて、車両１０１０ａの走行状態をカメラ又はレーダ等によるセンシングによって取得する。取得された走行状態において、上記の図１３の場合と同様、自車に対する車両１０１０ａの相対速度が３０ｋｍ／ｈであることが示されているとする。このとき、車両１０１０ｂのドライバに対して、車両１０１０ａの挙動を確認するための質問情報を提示して回答を得てもよい。例えば、車両１０１０ｂの前方に車両１０１０ａが存在している場合に、「前方車両が急加速をしましたか？　Ｙｅｓ／Ｎｏ」というような問いかけをし、それに対して「Ｙｅｓ」の回答を得た場合に、車両１０１０ａが急加速をしたという監視ログを生成する。
　（５）において、車両１０１０ｂは、上記（３）及び（４）で車両１０１０ａから取得した車両ログ及び監視ログを不正検知サーバ８０に送信する。
　（６）において、不正検知サーバ８０は、上記（２）で検知された異常の優先度を「高」に設定する。なお、優先度を決定するには、例えば、図１５に示される条件に該当する監視ログに対応する異常に対して、当該条件に対応する優先度を設定する。
　図１６は、本実施の形態における、車載ネットワーク監視システムの第三の動作例を示す説明図である。図１７は、本実施の形態における、車両ログと監視ログの一例を示す説明図である。
　図１６の例は、車両１０１０ａが速度を偽装して不正検知サーバ８０に送信した場合に、車両１０１０ｂ及び路側機９０により車両１０１０ｂの走行状態を把握する状況を示している。
　図１６の（１）において、車両１０１０ａは、車両の速度を偽装して、不正検知サーバ８０に通知する。
　（２）において、不正検知サーバ８０は、車両１０１０ａの車両ログに異常を検知する。そして、不正検知サーバ８０は、車両１０１０ａの近くに存在する車両１０１０ｂおよびと、路側機９０とに、車両１０１０ａを監視する監視要求を送信する。
　（３）において、車両１０１０ｂは、上記（２）で受信した監視要求に応じて、Ｖ２Ｘ通信により車両１０１０ａのログ（監視ログ）を取得する。路側機９０も同様に処理を行う。
　（４）において、車両１０１０ｂは、上記（２）で受信した監視要求に応じて、車両１０１０ａの走行状態をカメラ又はレーダ等によるセンシングによって取得する。路側機９０も同様に処理を行う。
　（５）において、車両１０１０ｂは、上記（３）及び（４）で車両１０１０ａから取得した車両ログ及び監視ログを不正検知サーバ８０に送信する。路側機９０も同様に処理を行う。
　（６）において、不正検知サーバ８０は、上記（５）で送信された車両ログ及び監視ログとの整合性を検証し、多数決で実際の車両１０１０ｂの走行状態を把握する。例えば、上記（５）で送信された車両ログと監視ログとの一例が図１７に示されている。ここで、車両の速度については、車両ログにおいて「速度２０ｋｍ／ｈ」、監視ログＬ１において「速度０ｋｍ／ｈ（センシングによる取得）」及び「速度２０ｋｍ／ｈ（Ｖ２Ｘ通信による取得）」、監視ログＬ２において「停車中（カメラによる取得）」及び「速度２０ｋｍ／ｈ（Ｖ２Ｘ通信による取得）」の５つの情報が含まれている。単純に多数決をとる場合、車両１０１０ｂの速度は２０ｋｍ／ｈであると判定される。また、車両ログにおける「速度２０ｋｍ／ｈ」と、監視ログＬ１及びＬ２における「速度２０ｋｍ／ｈ」の情報が単一の情報源から出たものであることを考慮して、これらを１つと数えることも可能である。その場合、多数決をとると、車両の速度は０ｋｍ／ｈであると判定される。
　（実施の形態の変形例）
　本変形例では、上記実施の形態に係る車両監視装置、不正検知サーバ及び制御方法の別形態を説明する。
　図１８は、本変形例における車両監視装置Ａ１の機能構成を示すブロック図である。
　図１８に示されるように、車両監視装置Ａ１は、第一通信部Ａ１１と、取得部Ａ１２とを備える。
　第一通信部Ａ１１は、対象車両を特定する特定情報を不正検知サーバＡ２から受信する。また、第一通信部Ａ１１は、取得部Ａ１２が取得した走行情報を不正検知サーバＡ２に送信する。
　取得部Ａ１２は、第一通信部Ａ１１が受信した特定情報により特定される対象車両の走行に関わる情報である走行情報を、対象車両から取得する。
　図１９は、本変形例における不正検知サーバＡ２の機能構成を示すブロック図である。
　図１９に示されるように、不正検知サーバＡ２は、第一通信部Ａ２１と、保持部Ａ２２と、第二通信部Ａ２３と、通知部Ａ２４とを備える。
　第一通信部Ａ２１は、対象車両の走行に関わる情報である第一走行情報を受信する。
　保持部Ａ２２は、複数の車両の現在位置を示す位置情報を保持している。
　第二通信部Ａ２３は、（ａ）対象車両から受信した第一走行情報に異常を検知したときに、複数の車両のうち、対象車両から所定距離以内の範囲に存在する１以上の車両を位置情報を参照して特定し、特定した１以上の車両が備える車両監視装置に対して、対象車両の走行に関わる第二走行情報を取得する要求の通知を送信し、（ｂ）１以上の車両が備える車両監視装置Ａ１から第二走行情報を受信する。
　通知部Ａ２４は、第一走行情報と第二走行情報とから、異常が優先的に分析されるべき度合いを示す優先度を決定し、優先度が高い異常ほど、より優先的に、異常の通知をする。
　図２０は、本変形例における車両監視装置Ａ１の制御方法を示すフロー図である。
　図２０に示されるように、ステップＳＡ１１において、対象車両を特定する特定情報を不正検知サーバＡ２から受信する。
　ステップＳＡ１２において、ステップＳＡ１１で受信した特定情報により特定される対象車両の走行に関わる情報である走行情報を、対象車両から取得する。
　ステップＳＡ１３において、ステップＳＡ１２で取得した走行情報を不正検知サーバＡ２に送信する。
　図２１は、本変形例における不正検知サーバＡ２の制御方法を示すフロー図である。
　図２１に示されるように、ステップＳＡ２１において、対象車両の走行に関わる情報である第一走行情報を受信する。
　ステップＳＡ２２において、複数の車両の現在位置を示す位置情報を保持する。
　ステップＳＡ２３において、対象車両から受信した第一走行情報に異常を検知したときに、複数の車両のうち、対象車両から所定距離以内の範囲に存在する１以上の車両を位置情報を参照して特定し、特定した１以上の車両が備える車両監視装置Ａ１に対して、対象車両の走行に関わる第二走行情報を取得する要求の通知を送信する。
　ステップＳＡ２４において、１以上の車両が備える車両監視装置Ａ１から第二走行情報を受信する。
　ステップＳＡ２５において、第一走行情報と第二走行情報とから、異常が優先的に分析されるべき度合いを示す優先度を決定し、優先度が高い異常ほど、より優先的に、異常の通知をする。
　これにより、車両監視装置Ａ１は、不正な車両がアップロードするフレームを改ざんしたとしても、不正な車両を検知することを支援することができる。
　また、不正検知サーバＡ２は、不正な車両がアップロードするフレームを改ざんしたとしても、不正な車両を検知することができる。
　以上のように、上記実施の形態及び変形例に係る車両監視装置は、車両監視装置は、サーバから得た特定情報により特定される対象車両の走行情報を対象車両から取得してサーバに送信する。そのため、対象車両がサーバにアップロードしたフレームが改ざんされていたとしても、車両監視装置がサーバに送信した対象車両の走行情報によって、サーバが対象車両の不正を検知し得る。よって、車両監視装置は、不正な車両がアップロードするフレームを改ざんしたとしても、不正な車両を検知することを支援できる。
　また、車両監視装置は、特定車両との通信によって得られた走行情報を取得する。よって、車両監視装置は、より容易に対象車両の走行情報を得ることによって、不正な車両がアップロードするフレームを改ざんしたとしても不正な車両を検知することを支援できる。
　また、車両監視装置は、特定車両に対するセンシングによって得られた走行情報を取得する。よって、車両監視装置は、より容易に対象車両の走行情報を得ることによって、不正な車両がアップロードするフレームを改ざんしたとしても不正な車両を検知することを支援できる。
　また、車両監視装置は、特定車両に対するセンシングによって得られた走行情報を取得する。よって、車両監視装置は、より容易に対象車両の走行情報を得ることによって、不正な車両がアップロードするフレームを改ざんしたとしても不正な車両を検知することを支援できる。
　また、車両監視装置は、対象車両の走行状態についてのドライバによる判断の結果をセンシングにより取得する。よって、車両監視装置は、より多くの情報源から得られた対象車両の走行情報を用いて、不正な車両がアップロードするフレームを改ざんしたとしても不正な車両を検知することを支援できる。
　また、車両監視装置は、特に対象車両の速度に関する不正を検知し得る。よって、車両監視装置は、不正な車両が、特に速度について改ざんしたフレームをアップロードしたとしても、不正な車両を検知することを支援できる。
　また、上記実施の形態及び変形例に係る不正検知サーバは、対象車両から所定距離以内に存在する車両の車両監視装置に対して、その対象車両から走行状態を取得させる。そのため、対象車両がサーバにアップロードしたフレームが改ざんされていたとしても、車両監視装置がサーバに送信した対象車両の走行情報によって、サーバが対象車両の不正を検知し得る。よって、不正検知サーバは、不正な車両がアップロードするフレームを改ざんしたとしても、不正な車両を検知することができる。
　また、不正検知サーバは、通信によって取得した対象車両の走行情報と、センシングによって取得した対象車両の走行情報とが整合しない場合に、より優先的にその異常をアナリストなどに通知する。よって、上記の２つの走行情報が整合しない場合に必要な対策をより優先的に、アナリストなどに実行させることができる。
　（その他変形例）
　なお、本発明を上記各実施の形態に基づいて説明してきたが、本発明は、上記各実施の形態に限定されないのはもちろんである。以下のような場合も本発明に含まれる。
　（１）上記の実施の形態では、車載ネットワークをＣＡＮとして説明したが、これに限定されることなく、ＣＡＮ－ＦＤ、Ｅｔｈｅｒｎｅｔ、ＬＩＮ、Ｆｌｅｘｒａｙであってもよいし、それぞれを組み合わせた構成であってもよい。
　（２）上記の実施の形態では、機械学習による異常検知処理を、クラウドサーバ側で行っているが、車両内部の装置で処理してもよい。例えば、ヘッドユニット上のＧＰＵで行うようにしてもよい。このようにすることで、即時検出性を上げる事が可能となる。この場合、クラウドでは、車両ローカルで異常検知した結果を集約するようにしてもよい。この時、処理の優先度はヘッドユニット内部で算出してもよいし、他の装置、例えばゲートウェイなどにより、ＣＡＮメッセージに含めて通知されてもよい。
　（３）上記の実施の形態では、特徴ベクトルを作成する際の前処理をローカル側で行っているが、クラウドサーバ側で行うようにしてもよい。
　（４）上記の実施の形態では、クラウドサーバ側で異常検知処理をしているが、よりローカル環境に近いエッジサーバで異常検知処理をするようにしてもよい。このようにすることで、クラウド側で異常検知処理するよりも、ネットワーク遅延処理の影響が少なくなる。例えばエッジサーバが路側機であって、路側機がクラウドサーバと接続されており、車両は路側機に車載メッセージ情報をアップロードし、路側機で異常検知処理し、異常検知した結果をクラウドサーバにアップロードするようにしてもよい。
　（５）上記の実施の形態では、車両やクラウドサーバ側で異常検知時にアラートを通知する先として車載ネットワーク監視システム管理者としていたが、それに限定されない。例えば、カーメーカやＥＣＵサプライヤ、ユーザが所有する情報端末に通知するようにしてもよい。また、複数のカーメーカ間で共通で利用可能なセキュリティプロバイダーに通知するようにしてもよい。
　（６）上記の実施の形態では、優先度は、低、中、高の３値をとり得るが、優先度はこれに限らない。例えば、０～１００のスコアとして優先度を表してもよい。これにより、不正検知サーバの優先度の割り当てが詳細に行えるようになり効果的である。
　（７）上記の実施の形態では、不正検知サーバに通知する車両ログは、ＣＡＮのフレームにかかわる情報であったが、不正検知サーバに通知する車両ログはこれに限らない。例えばＥｔｈｅｒｎｅｔのフレーム、ＣＡＮ－ＦＤフレーム、ＦｌｅｘＲａｙフレームであってもよいし、車載ネットワークフレームでなくてもよい。例えば、車両の現在位置を表すＧＰＳ情報、オーディオヘッドユニットへのアクセスログ、動作プロセスに関するログ、ファームウェアのバージョン情報、Ｖ２Ｘ通信のログ等といった情報であってもよい。
　（８）上記の実施の形態では、車両または路側機は、監視要求通知を受信すると、Ｖ２Ｘ通信、センサ（カメラ、レーダ）、ドライバの報告を監視ログとして、不正検知サーバに通知するが、いずれかを監視ログとして通知すればよい。また、不正検知サーバは、監視要求通知に、どのような監視ログが必要かを含めて送信してもよい。例えば、後続車両に対しては、センサ情報の取得を通知し、後続車両以外に対しては、Ｖ２Ｘ通信のログの取得を通知し、Ｖ２Ｘ通信の通信範囲外ではあるが、周辺の車両と判断された車両に対しては、ドライバの報告を要求するように、監視要求通知を送信してもよい。これにより、異常と検知した車両との、位置関係によって適切な情報を効率的に収集することが可能となる。
　（９）上記の実施の形態における各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
　（１０）上記の実施の形態における各装置は、構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ　Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記録されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。
　また、上記の各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部又はすべてを含むように１チップ化されてもよい。
　また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサーを利用しても良い。
　さらには、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。
　（１１）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。前記ＩＣカードまたは前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。前記ＩＣカードまたは前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカードまたは前記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。
　（１２）本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。
　また、本発明は、前記コンピュータプログラムまたは前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標）　Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記デジタル信号であるとしてもよい。
　また、本発明は、前記コンピュータプログラムまたは前記デジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。
　また、本発明は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記録しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしてもよい。
　また、前記プログラムまたは前記デジタル信号を前記記録媒体に記録して移送することにより、または前記プログラムまたは前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
　（１３）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。
　なお、上記実施の形態及び変形例において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵまたはプロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。ここで、上記実施の形態及び変形例の社労監視装置などを実現するソフトウェアは、次のようなプログラムである。
　すなわち、このプログラムは、コンピュータに、車両監視装置の制御方法であって、前記対象車両を特定する特定情報をサーバから受信し、受信した前記特定情報により特定される前記対象車両の走行に関わる情報である走行情報を、前記対象車両から取得し、取得した前記走行情報を前記サーバに送信する制御方法を実行させる。
　また、このプログラムは、コンピュータに、不正検知サーバの制御方法であって、対象車両の走行に関わる情報である第一走行情報を受信し、複数の車両の現在位置を示す位置情報を保持し、前記対象車両から受信した前記第一走行情報に異常を検知したときに、前記複数の車両のうち、前記対象車両から所定距離以内の範囲に存在する１以上の車両を前記位置情報を参照して特定し、特定した前記１以上の車両が備える車両監視装置に対して、前記対象車両の走行に関わる第二走行情報を取得する要求の通知を送信し、前記１以上の車両が備える車両監視装置から前記第二走行情報を受信し、前記第一走行情報と前記第二走行情報とから、前記異常が優先的に分析されるべき度合いを示す優先度を決定し、前記優先度が高い前記異常ほど、より優先的に、前記異常の通知をする制御方法を実行させる。
　以上、一つまたは複数の態様に係る車両監視装置などについて、実施の形態に基づいて説明したが、本発明は、この実施の形態に限定されるものではない。本発明の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、一つまたは複数の態様の範囲内に含まれてもよい。
　本発明は、車両を監視する車両監視装置に利用可能である。
　１０、２０、３０、４０、５０　バス
　８０、Ａ２　　不正検知サーバ
　８１　　ネットワーク
　９０　　路側機
　９１　　通信モジュール
　９２　　制御部
　９３、３１２　　Ｖ２Ｘ通信モジュール
　１００、１０１、２００、２０１、３００、３０１、３０２、４００、４０１、１３０１、１３０２　　ＥＣＵ
　１１０　　エンジン
　１１１　　トランスミッション
　２１０　　ブレーキ
　２１１　　ステアリング
　３１０　　カメラ
　３１１　　ＩＶＩ
　４１０　　ドア
　４１１　　ライト
　５１０　　診断ポート
　８１０　　通信部
　８２０　　処理判断部
　８３０　　ログ収集部
　８４０　　ログ分析部
　８５０　　結果通知部
　８６０　　監視ログ通信部
　８７０　　優先度判断部
　８８０　　車両情報ＤＢ
　８８１　　車両ログ格納ＤＢ
　８８２　　分析結果格納ＤＢ
　８８３　　監視ログ格納ＤＢ
　９００　　ゲートウェイ
　９１０　　フレーム送受信部
　９２０　　フレーム解釈部
　９３０　　整合性検証部
　９４０　　更新処理部
　９５０　　フレームアップロード部
　９６０　　転送制御部
　９７０　　鍵処理部
　９８０　　フレーム生成部
　９９０　　ルール保持部
　９９１　　転送ルール保持部
　９９２　　鍵保持部
　１０１０ａ、１０１０ｂ、１０１０ｃ、１０１０ｄ、１０１０ｅ、１０１０ｆ　　車両
　Ａ１　　車両監視装置
　Ａ１１、Ａ２１　　第一通信部
　Ａ１２　　取得部
　Ａ２２　　保持部
　Ａ２３　　第二通信部
　Ａ２４　　通知部

Claims (10)

  1. 　対象車両を特定する特定情報をサーバから受信する第一通信部と、
    　前記第一通信部が受信した前記特定情報により特定される前記対象車両の走行に関わる情報である走行情報を、前記対象車両から取得する取得部とを備え、
    　前記第一通信部は、前記取得部が取得した前記走行情報を前記サーバに送信する
    　車両監視装置。
  2. 　前記取得部は、前記対象車両から通信によって得られた前記走行情報を取得する
    　請求項１に記載の車両監視装置。
  3. 　前記取得部は、前記対象車両に対するセンシングによって得られた前記走行情報を取得する
    　請求項１又は２に記載の車両監視装置。
  4. 　前記車両監視装置は、さらに、
    　前記通信によって得られた前記走行情報である第一走行情報と、前記センシングによって得られた前記走行情報である第二走行情報とが整合するか否かを判定する判定部を備え、
    　前記第一通信部は、
    　前記第一走行情報と前記第二走行情報とが整合しないと前記判定部が判定した場合にのみ、前記第一走行情報と前記第二走行情報とを前記サーバに送信する
    　請求項２を引用する請求項３に記載の車両監視装置。
  5. 　前記車両監視装置は、車両に搭載され、
    　前記取得部は、
    　前記車両のドライバに前記対象車両の走行状態を問いかけるための質問情報を提示し、提示した前記質問情報に対して前記ドライバからセンシングによって取得した回答情報に基づいて、前記走行情報を取得する
    　請求項３に記載の車両監視装置。
  6. 　前記対象車両の走行情報は、前記対象車両の速度を示す速度情報を含む
    　請求項１～５のいずれか１項に記載の車両監視装置。
  7. 　対象車両の走行に関わる情報である第一走行情報を受信する第一通信部と、
    　複数の車両の現在位置を示す位置情報を保持している保持部と、
    　（ａ）前記対象車両から受信した前記第一走行情報に異常を検知したときに、前記複数の車両のうち、前記対象車両から所定距離以内の範囲に存在する１以上の車両を前記位置情報を参照して特定し、特定した前記１以上の車両が備える車両監視装置に対して、前記対象車両の走行に関わる第二走行情報を取得する要求の通知を送信し、
    　（ｂ）前記１以上の車両が備える車両監視装置から前記第二走行情報を受信する、第二通信部と、
    　前記第一走行情報と前記第二走行情報とから、前記異常が優先的に分析されるべき度合いを示す優先度を決定し、前記優先度が高い前記異常ほど、より優先的に、前記異常の通知をする通知部とを備える
    　不正検知サーバ。
  8. 　前記通知部は、前記第一走行情報と前記第二走行情報とが整合しないと判定した場合に、前記第一走行情報について検知された前記異常に、より高い前記優先度を決定する
    　請求項７に記載の不正検知サーバ。
  9. 　車両監視装置の制御方法であって、
    　対象車両を特定する特定情報をサーバから受信し、
    　受信した前記特定情報により特定される前記対象車両の走行に関わる情報である走行情報を、前記対象車両から取得し、
    　取得した前記走行情報を前記サーバに送信する
    　制御方法。
  10. 　不正検知サーバの制御方法であって、
    　対象車両の走行に関わる情報である第一走行情報を受信し、
    　複数の車両の現在位置を示す位置情報を保持し、
    　前記対象車両から受信した前記第一走行情報に異常を検知したときに、前記複数の車両のうち、前記対象車両から所定距離以内の範囲に存在する１以上の車両を前記位置情報を参照して特定し、特定した前記１以上の車両が備える車両監視装置に対して、前記対象車両の走行に関わる第二走行情報を取得する要求の通知を送信し、
    　前記１以上の車両が備える車両監視装置から前記第二走行情報を受信し、
    　前記第一走行情報と前記第二走行情報とから、前記異常が優先的に分析されるべき度合いを示す優先度を決定し、前記優先度が高い前記異常ほど、より優先的に、前記異常の通知をする
    　制御方法。
PCT/JP2018/041295 2018-01-22 2018-11-07 車両監視装置、不正検知サーバ、および、制御方法 WO2019142458A1 (ja)

Priority Applications (6)

Application Number Priority Date Filing Date Title
EP18901422.8A EP3744584A4 (en) 2018-01-22 2018-11-07 VEHICLE MONITORING DEVICE, COUNTERFEIT DETECTION SERVER, AND CONTROL METHOD
JP2019525031A JP7178346B2 (ja) 2018-01-22 2018-11-07 車両監視装置、不正検知サーバ、および、制御方法
CN201880012134.1A CN110494330B (zh) 2018-01-22 2018-11-07 车辆监视装置、不正当检测服务器、以及控制方法
US16/540,668 US11217042B2 (en) 2018-01-22 2019-08-14 Vehicle monitoring apparatus, fraud detection server, and control methods
US17/534,876 US11875612B2 (en) 2018-01-22 2021-11-24 Vehicle monitoring apparatus, fraud detection server, and control methods
JP2022182173A JP2023016844A (ja) 2018-01-22 2022-11-14 不正検知サーバ、および、制御方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US201862620121P 2018-01-22 2018-01-22
US62/620,121 2018-01-22

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US16/540,668 Continuation US11217042B2 (en) 2018-01-22 2019-08-14 Vehicle monitoring apparatus, fraud detection server, and control methods

Publications (2)

Publication Number Publication Date
WO2019142458A1 true WO2019142458A1 (ja) 2019-07-25
WO2019142458A8 WO2019142458A8 (ja) 2019-09-12

Family

ID=67301278

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/041295 WO2019142458A1 (ja) 2018-01-22 2018-11-07 車両監視装置、不正検知サーバ、および、制御方法

Country Status (5)

Country Link
US (2) US11217042B2 (ja)
EP (1) EP3744584A4 (ja)
JP (2) JP7178346B2 (ja)
CN (1) CN110494330B (ja)
WO (1) WO2019142458A1 (ja)

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021020304A1 (ja) * 2019-07-29 2021-02-04 京セラ株式会社 基地局、路側機、交通通信システム、交通管理方法、及び教師データ生成方法
JP2021022221A (ja) * 2019-07-29 2021-02-18 京セラ株式会社 基地局、交通通信システム、及び交通管理方法
WO2021038869A1 (ja) * 2019-08-30 2021-03-04 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車両監視装置および車両監視方法
WO2021217637A1 (zh) * 2020-04-30 2021-11-04 上海华东汽车信息技术有限公司 终端策略配置方法、装置、计算机设备和存储介质
CN114303180A (zh) * 2019-08-22 2022-04-08 高通股份有限公司 带有通信消息传递的规划和控制框架
JP7108064B1 (ja) 2021-02-02 2022-07-27 本田技研工業株式会社 車両制御システム
JP2022168439A (ja) * 2021-04-26 2022-11-08 パナソニックＩｐマネジメント株式会社 車両監視システム及び故障監視方法
CN114303180B (zh) * 2019-08-22 2024-04-26 高通股份有限公司 带有通信消息传递的规划和控制框架

Families Citing this family (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019142458A1 (ja) * 2018-01-22 2019-07-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車両監視装置、不正検知サーバ、および、制御方法
JP7045288B2 (ja) * 2018-01-22 2022-03-31 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ データ解析装置、データ解析方法及びプログラム
US11108804B2 (en) * 2018-02-27 2021-08-31 Blackberry Limited Providing secure inter-vehicle data communications
WO2019198837A1 (ko) * 2018-04-09 2019-10-17 엘지전자(주) V2x 통신 장치 및 그의 오동작 obe 검출 방법
US11967230B2 (en) * 2018-05-16 2024-04-23 NoTraffic Ltd. System and method for using V2X and sensor data
US11816936B2 (en) * 2018-12-03 2023-11-14 Bendix Commercial Vehicle Systems, Llc System and method for detecting driver tampering of vehicle information systems
JP7229783B2 (ja) * 2019-01-10 2023-02-28 エヌ・ティ・ティ・コミュニケーションズ株式会社 車載型情報処理装置、車両情報通信システム、情報処理方法およびプログラム
JP7382791B2 (ja) * 2019-10-30 2023-11-17 株式会社日立製作所 異常判定装置、車両支援システム
CN110907955B (zh) * 2019-12-02 2021-02-09 荣讯塑胶电子制品(深圳)有限公司 定位仪器故障辨识系统
US11132897B2 (en) * 2020-02-14 2021-09-28 Gm Global Technology Operations, Llc Methods, systems, and apparatuses for edge based notification through crowdsourced live fleet streamed communications
CN111460885B (zh) * 2020-02-21 2022-01-11 中国电子技术标准化研究院 一种基于汽车计算平台的信息监测方法
JP7363669B2 (ja) * 2020-05-15 2023-10-18 トヨタ自動車株式会社 情報処理装置、及び情報処理システム
JP2021196254A (ja) * 2020-06-12 2021-12-27 株式会社アイシン 物体検出装置
JP7419998B2 (ja) * 2020-07-14 2024-01-23 株式会社デンソー ログ管理装置及びセンタ装置
WO2022049637A1 (ja) * 2020-09-01 2022-03-10 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常監視装置および異常監視方法
US11425005B2 (en) * 2020-11-10 2022-08-23 Fleet Defender, Inc. Controller area network anomaly detection
CN116866991A (zh) * 2023-09-01 2023-10-10 北京钱安德胜科技有限公司 一种车路协同智能驾驶的数据帧处理系统及方法

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003165417A (ja) * 2001-11-28 2003-06-10 Mitsubishi Electric Corp 車両盗難検出システム
JP2013058140A (ja) * 2011-09-09 2013-03-28 Mitsubishi Electric Corp 通信装置
JP2017033186A (ja) * 2015-07-30 2017-02-09 トヨタ自動車株式会社 攻撃検知システムおよび攻撃検知方法
JP2017112594A (ja) * 2015-12-14 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ装置、ネットワークシステム及び攻撃検知方法
JP2017111796A (ja) 2015-12-16 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
US20170230385A1 (en) * 2014-09-25 2017-08-10 Tower-Sec Ltd. Vehicle correlation system for cyber attacks detection and method thereof

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TW456136B (en) * 1998-07-27 2001-09-21 Matsushita Electric Ind Co Ltd Emergency information system
US6765495B1 (en) * 2000-06-07 2004-07-20 Hrl Laboratories, Llc Inter vehicle communication system
US7275027B2 (en) * 2003-03-04 2007-09-25 Microsoft Corporation Facilitating communication with automotive vehicle buses
US8050855B2 (en) * 2008-08-07 2011-11-01 General Motors Llc Method and system for transmitting data to a traffic information server
US8265850B2 (en) * 2009-02-02 2012-09-11 GM Global Technology Operations LLC Method and apparatus for target vehicle following control for adaptive cruise control
US8954225B2 (en) * 2010-04-22 2015-02-10 Mission Motor Company Remote monitoring of a plurality of vehicles
JP2013037676A (ja) * 2011-07-12 2013-02-21 Nissan Motor Co Ltd 車両情報提供装置及び車両情報管理システム
US8849497B2 (en) * 2012-03-01 2014-09-30 GM Global Technology Operations LLC Vehicle health prognosis
US20150168173A1 (en) * 2012-07-10 2015-06-18 Chinapac Limited System and method for managing location of assets equipped with transponder
JP6351142B2 (ja) * 2013-08-30 2018-07-04 三菱重工機械システム株式会社 運行管理システム、運行管理方法およびプログラム
JP6595885B2 (ja) * 2015-01-20 2019-10-23 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 不正対処方法及び電子制御ユニット
JP2016162329A (ja) * 2015-03-04 2016-09-05 株式会社デンソー 運転支援装置、及びプログラム
US11024158B2 (en) * 2015-11-04 2021-06-01 Teleefonaktiebolaget Lm Ericsson (Publ) Method of providing traffic related information and device, computer program and computer program product
US9922553B2 (en) * 2015-12-22 2018-03-20 Intel Corporation Vehicle assistance systems and methods utilizing vehicle to vehicle communications
DE102016203723A1 (de) * 2016-03-08 2017-09-14 Robert Bosch Gmbh Verfahren und System zum Bestimmen der Pose eines Fahrzeugs
US10638418B2 (en) * 2016-11-04 2020-04-28 Ford Global Technologies, Llc Method and apparatus for data transfer connection management
US10168418B1 (en) * 2017-08-25 2019-01-01 Honda Motor Co., Ltd. System and method for avoiding sensor interference using vehicular communication
WO2019142458A1 (ja) * 2018-01-22 2019-07-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車両監視装置、不正検知サーバ、および、制御方法
US20190303603A1 (en) * 2018-04-03 2019-10-03 Seagate Technology Llc Location-based security of storage drives
US10997800B1 (en) * 2020-01-22 2021-05-04 Zendrive, Inc. Method and system for vehicular collision reconstruction

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003165417A (ja) * 2001-11-28 2003-06-10 Mitsubishi Electric Corp 車両盗難検出システム
JP2013058140A (ja) * 2011-09-09 2013-03-28 Mitsubishi Electric Corp 通信装置
US20170230385A1 (en) * 2014-09-25 2017-08-10 Tower-Sec Ltd. Vehicle correlation system for cyber attacks detection and method thereof
JP2017033186A (ja) * 2015-07-30 2017-02-09 トヨタ自動車株式会社 攻撃検知システムおよび攻撃検知方法
JP2017112594A (ja) * 2015-12-14 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ装置、ネットワークシステム及び攻撃検知方法
JP2017111796A (ja) 2015-12-16 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021020304A1 (ja) * 2019-07-29 2021-02-04 京セラ株式会社 基地局、路側機、交通通信システム、交通管理方法、及び教師データ生成方法
JP2021022221A (ja) * 2019-07-29 2021-02-18 京セラ株式会社 基地局、交通通信システム、及び交通管理方法
JP7401217B2 (ja) 2019-07-29 2023-12-19 京セラ株式会社 基地局、交通通信システム、及び交通管理方法
CN114303180A (zh) * 2019-08-22 2022-04-08 高通股份有限公司 带有通信消息传递的规划和控制框架
CN114303180B (zh) * 2019-08-22 2024-04-26 高通股份有限公司 带有通信消息传递的规划和控制框架
WO2021038869A1 (ja) * 2019-08-30 2021-03-04 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車両監視装置および車両監視方法
WO2021217637A1 (zh) * 2020-04-30 2021-11-04 上海华东汽车信息技术有限公司 终端策略配置方法、装置、计算机设备和存储介质
JP7108064B1 (ja) 2021-02-02 2022-07-27 本田技研工業株式会社 車両制御システム
JP2022118509A (ja) * 2021-02-02 2022-08-15 本田技研工業株式会社 車両制御システム
JP2022168439A (ja) * 2021-04-26 2022-11-08 パナソニックＩｐマネジメント株式会社 車両監視システム及び故障監視方法

Also Published As

Publication number Publication date
US20190371085A1 (en) 2019-12-05
JPWO2019142458A1 (ja) 2020-11-19
EP3744584A4 (en) 2021-06-02
JP2023016844A (ja) 2023-02-02
JP7178346B2 (ja) 2022-11-25
US11875612B2 (en) 2024-01-16
US20220084328A1 (en) 2022-03-17
CN110494330A (zh) 2019-11-22
CN110494330B (zh) 2022-08-05
US11217042B2 (en) 2022-01-04
WO2019142458A8 (ja) 2019-09-12
EP3744584A1 (en) 2020-12-02

Similar Documents

Publication Publication Date Title
WO2019142458A1 (ja) 車両監視装置、不正検知サーバ、および、制御方法
CN107925600B (zh) 安全处理方法以及服务器
US11469921B2 (en) Security device, network system, and fraud detection method
CN112367318B (zh) 安全处理方法以及计算机
CN110463142B (zh) 车辆异常检测服务器、车辆异常检测系统及车辆异常检测方法
US11838314B2 (en) Electronic control device, fraud detection server, in-vehicle network system, in-vehicle network monitoring system, and in-vehicle network monitoring method
WO2018179536A1 (ja) 情報処理装置、情報処理方法、プログラムとそれを記憶した記録媒体
CN112840282A (zh) 异常检测方法以及异常检测装置
JP2006256457A (ja) 車載データ管理装置、及び、車両情報供給システム
KR20120014946A (ko) 차량용 오디오/비디오 장치를 이용한 차량 원격 관리 시스템 및 그 운용방법

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2019525031

Country of ref document: JP

Kind code of ref document: A

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18901422

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2018901422

Country of ref document: EP

Effective date: 20200824