WO2019198137A1 - セキュリティ装置及び組込み機器 - Google Patents

セキュリティ装置及び組込み機器 Download PDF

Info

Publication number
WO2019198137A1
WO2019198137A1 PCT/JP2018/014982 JP2018014982W WO2019198137A1 WO 2019198137 A1 WO2019198137 A1 WO 2019198137A1 JP 2018014982 W JP2018014982 W JP 2018014982W WO 2019198137 A1 WO2019198137 A1 WO 2019198137A1
Authority
WO
WIPO (PCT)
Prior art keywords
security
function
main function
execution environment
embedded
Prior art date
Application number
PCT/JP2018/014982
Other languages
English (en)
French (fr)
Inventor
知彦 東山
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to PCT/JP2018/014982 priority Critical patent/WO2019198137A1/ja
Priority to JP2020512961A priority patent/JP6735952B2/ja
Priority to CN201880090956.1A priority patent/CN111936991B/zh
Priority to DE112018007217.7T priority patent/DE112018007217B4/de
Priority to US16/964,609 priority patent/US11599640B2/en
Publication of WO2019198137A1 publication Critical patent/WO2019198137A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Definitions

  • the present invention relates to a security device that counters a cyber attack on an embedded device controlled by the embedded control device, and an embedded device including the security device.
  • Embedded devices are installed in devices such as automobiles and other mobile objects, home appliances, and factory automation (FA) devices.
  • the embedded device is controlled by an embedded control device.
  • in-vehicle devices are mounted on automobiles.
  • the in-vehicle device is controlled by a vehicle control engine control unit (ECU).
  • ECU vehicle control engine control unit
  • the present invention is made in consideration of these problems.
  • the problem to be solved by the present invention is to enable the security function to be appropriately executed while suppressing the influence on the execution of the main function in the embedded control device.
  • the first aspect of the present invention is directed to a security device.
  • the security device includes an attack detection unit, a security risk state determination unit, and an execution environment control unit.
  • the attack detection unit detects a cyber attack on the embedded device controlled by the embedded control device.
  • the security risk state determination unit determines a security risk state that indicates at least one of the type of security threat and the degree of danger caused by a cyber attack based on the detection result.
  • the execution environment control unit is provided in the embedded control device, determines the security function against cyber attacks according to the security risk state, and enables the embedded control device to execute the security function. Configure the execution environment for security functions.
  • the second aspect of the present invention is directed to an embedded device provided with the security device described above.
  • the security function in the embedded control device is such that the embedded control device can execute a security function against the cyber attack in accordance with at least one of the type and the risk level of the security threat caused by the cyber attack.
  • the execution environment is configured. For this reason, it is possible to appropriately execute the security function while suppressing the influence on the execution of the main function in the embedded control device.
  • FIG. 2 is a block diagram schematically illustrating an embedded device incorporating the security device according to Embodiments 1 and 2.
  • FIG. 3 is a block diagram schematically illustrating a functional configuration of a gateway (GW) configuring the security device according to the first and second embodiments.
  • FIG. FIG. 2 is a block diagram schematically illustrating a functional configuration of an embedded control device that configures the security device according to the first embodiment. It is a figure which illustrates typically the security function table memorize
  • FIG. 6 is a flowchart illustrating an operation of a GW when an embedded device is subjected to a cyber attack in the security device according to the first and second embodiments.
  • FIG. 6 is a flowchart illustrating the operation of the embedded control device when the embedded device is subjected to a cyber attack in the security device according to the first and second embodiments. It is a figure which illustrates typically the example of the change of the execution environment in an embedded apparatus provided with the security device of Embodiment 1 and 2. FIG. It is a figure which illustrates typically the example of the change of the execution environment in an embedded apparatus provided with the security device of Embodiment 1 and 2.
  • FIG. FIG. 6 is a block diagram schematically illustrating an embedded control device that constitutes a security device according to a second embodiment.
  • FIG. 6 is a diagram schematically illustrating a main function operation mode table stored in an embedded control device that constitutes a security device according to a second embodiment.
  • FIG. 6 is a flowchart illustrating an operation of a GW when an embedded device is subjected to a cyber attack in the security device according to the second embodiment.
  • 9 is a flowchart illustrating an operation of an embedded control device when an embedded device is subjected to a cyber attack in the security device according to the second embodiment.
  • 9 is a flowchart illustrating an operation of an embedded control device when the embedded control device is executing a main function in the security device according to the second embodiment.
  • FIG. 1 is a block diagram schematically illustrating an embedded device incorporating the security device according to the first embodiment.
  • the embedded device 1000 illustrated in FIG. 1 includes an embedded controller 1020, an embedded controller 1021, an embedded controller 1022, an embedded controller 1023, a control network 1040, an external connection network 1060, an external connection network 1061, and an external connection.
  • a network 1062, a gateway (GW) 1080, a communication interface (I / F) 1100, a communication I / F 1101, and a communication I / F 1102 are provided.
  • the embedded device 1000 may include elements other than these elements.
  • the embedded device 1000 is mounted on a device such as a moving body such as an automobile, a home appliance, or a factory automation (FA) device.
  • a device such as a moving body such as an automobile, a home appliance, or a factory automation (FA) device.
  • FA factory automation
  • the embedded device 1000 is an in-vehicle device mounted on a vehicle
  • the embedded control devices 1020, 1021, 1022, and 1023 are vehicle control engine control units (ECUs) that control the traveling of the vehicle.
  • ECUs vehicle control engine control units
  • the GW 1080 and the embedded control device 1020 constitute a security device 1110 that counters cyber attacks on the embedded device 1000. In some cases, the GW 1080 does not constitute the security device 1110.
  • the embedded control device 1021, 1022 or 1023 may constitute the security device 1110.
  • the embedded control device 1020 executes a main function for controlling the embedded device 1000, and executes a security function against a cyber attack on the embedded device 1000.
  • the embedded control devices 1021, 1022, and 1023 execute a main function for controlling the embedded device 1000, but do not execute a security function against a cyber attack on the embedded device 1000.
  • this configuration is an example, and as described above, the security function configured on the GW 1080 may be configured on the embedded control device 1021, 1022 or 1023.
  • the embedded control devices 1020, 1021, 1022, and 1023 are connected to the control system network 1040 so that they can communicate with each other. Control data exchanged between devices such as embedded control devices 1020, 1021, 1022, and 1023 provided in the embedded device 1000 flows through the control system network 1040.
  • External connection networks 1060, 1061 and 1062 are connected to communication I / Fs 1100, 1101 and 1102, respectively, so as to be communicable.
  • the external connection networks 1060, 1061 and 1062 are communicably connected to information communication devices existing outside the embedded device 1000 via communication I / Fs 1100, 1101 and 1102, respectively.
  • the external connection networks 1060, 1061 and 1062 are exchanged between devices such as the embedded control devices 1020, 1021, 1022 and 1023 provided in the embedded device 1000 and information communication devices existing outside the embedded device 1000. Communication data flows.
  • the external connection networks 1060, 1061, and 1062 are communicably connected to the control system network 1040 via the GW 1080.
  • the embedded control device group including the embedded control devices 1020, 1021, 1022, and 1023 may be replaced with another embedded control device group or a single embedded control device.
  • the network including the control system network 1040, the external connection system network 1060, the external connection system network 1061, the external connection system network 1062, and the GW 1080 may be replaced with another network.
  • the embedded control device that executes the security function may be changed from the embedded control device 1020 to the embedded control device 1021, 1022 or 1023.
  • the embedded controller 1020 includes a central processing unit (CPU) core 1120, a CPU core 1121, a CPU core 1122, a CPU core 1123, an inter-core shared cache 1140, an inter-core shared memory 1160, and a read-only memory (ROM) 1180.
  • the embedded control device 1020 may include elements other than these elements.
  • FIG. 2 is a block diagram schematically illustrating the functional configuration of the GW that configures the security device of the first embodiment.
  • the GW 1080 includes a routing unit 1200, an attack detection unit 1220, a filtering unit 1240, and a security risk state determination unit 1260 as illustrated in FIG. These elements are realized by the GW executing the installed program. All or some of these elements may be realized by hardware that does not execute a program.
  • the GW 1080 may include elements other than these elements.
  • the attack detection unit 1220 and the security risk state determination unit 1260 may be implemented in the embedded control device 1020, 1021, 1022, or 1023.
  • the routing unit 1200 When the packet received via one network is transmitted via another network, the routing unit 1200 performs routing that appropriately selects the other network. Routing is a function that the GW 1080 originally has.
  • the attack detection unit 1220 detects a cyber attack on the embedded device 1000.
  • the cyber attack to be detected is a cyber attack on the embedded device 1000 from the outside of the embedded device 1000 such as outside the automobile, a cyber attack on the embedded device 1000 from a device illegally attached to the embedded device 1000, or the like.
  • the attack detection unit 1220 detects a cyber attack on the embedded device 1000 by detecting attack data sent via an external network or the like.
  • the filtering unit 1240 prevents the attack data sent by the cyber attack from flowing into the control system network 1040 from the external connection network 1060, 1061 or 1062, and confidential data from the control system network 1040 to the external connection network 1060. , 1061 or 1062, data is filtered in order to prevent it from flowing out.
  • the security risk state determination unit 1260 determines a security risk state indicating at least one of the type of security threat and the degree of danger caused by the cyber attack based on the result of the detection of the cyber attack on the embedded device 1000.
  • the determined security risk state is notified from the GW 1080 to the embedded control device 1020 via the control network 1040.
  • FIG. 3 is a block diagram schematically illustrating the functional configuration of the embedded control device constituting the security device of the first embodiment.
  • the embedded control device 1020 includes a main function execution unit 1280, a security function execution unit 1300, and an execution environment control unit 1320 as illustrated in FIG. These elements are realized by the GW executing the installed program. All or some of these elements may be realized by hardware that does not execute a program.
  • a storage medium such as the ROM 1180 stores the security function table 1340.
  • the embedded control device 1020 may include elements other than these elements.
  • the main function execution unit 1280 executes a main function for controlling the embedded device 1000.
  • the security function execution unit 1300 executes a security function that counters cyber attacks on the embedded device 1000.
  • the security function provides the embedded device 1000 with protection against cyber attacks.
  • the execution environment control unit 1320 determines a security function to be executed by the embedded control device 1020 according to the security risk state determined by the security risk state determination unit 1260. In addition, the execution environment control unit 1320 performs security functions in the embedded control device so that the embedded control device 1020 can execute the determined security function according to the security risk state determined by the security risk state determination unit 1260. Configure the execution environment. The execution environment control unit 1320 configures an execution environment for main functions in the embedded control device 1020 according to the security risk state determined by the security risk state determination unit 1260.
  • the execution environment of each function of the security function and the main function is an operation environment of the embedded control device 1020 necessary for executing each function.
  • the execution environment for each function is defined by computer resources allocated to each function, the operation mode of the CPU core, and the like.
  • the computer resources include the number of CPU cores, the upper limit of the usage rate of the CPU cores 1020, 1021, 1022, and 1023, the upper limit of the usage amount of the inter-core shared cache 1140, the upper limit of the usage amount of the inter-core shared memory 1160, and the like.
  • the execution environment of each function is a computer resource assigned to each function, and a computer resource assigned to each function in addition to or in addition to a computer resource assigned to each function and a CPU core operation mode.
  • the setting includes the upper limit of the usage amount of the network bandwidth, the accessible input / output (I / O) port, the accessible dedicated accelerator, the allocation of the CPU core to which an interrupt is notified, and the like.
  • the embedded control device 1020 includes a system for performing priority-based scheduling, execution of each function is performed according to the priority, cycle, and the like of the task that executes each function instead of the usage rate of the CPU cores 1020, 1021, 1022, and 1023.
  • An environment may be defined.
  • FIG. 4 is a diagram schematically illustrating a security function table stored in the embedded control device constituting the security device of the first embodiment.
  • the execution environment control unit 1320 refers to the security function table 1340 illustrated in FIG. 4 in determining the security function, the configuration content of the execution environment of the security function, and the configuration content of the execution environment of the main function.
  • the security function table 1340 includes a plurality of security risk states 1361, 1362, 1363, 1364 and 1365.
  • the security function table 1340 includes a plurality of security functions 1381, 1382, 1383, 1384, and 1385 corresponding to the plurality of security risk states 1361, 1362, 1363, 1364, and 1365, respectively.
  • 1363, 1364, and 1365 which correspond to a plurality of security risk states 1361, 1362, 1363, 1364, and 1365, respectively. It includes configuration contents 1421, 1422, 1423, 1424, and 1425 of an execution environment for a plurality of main functions.
  • the security function table 1340 includes a plurality of identifiers (IDs) 1441, 1442, 1443, 1444 and 1445 corresponding to the plurality of security risk states 1361, 1362, 1363, 1364 and 1365, respectively.
  • Each ID of the plurality of IDs 1441, 1442, 1443, 1444, and 1445 includes a security risk state corresponding to each ID, a security function corresponding to the security risk state, and a configuration content of an execution environment of the security function corresponding to the security risk state , And the configuration content of the execution environment of the main function corresponding to the security risk state.
  • the configuration contents of the security function execution environment corresponding to each security risk state of the plurality of security risk states 1361, 1362, 1363, 1364, and 1365 are completed within a predetermined time for the security function corresponding to each security risk state. It is determined on the basis of an estimate of computer resources necessary for the determination and the result.
  • the configuration contents of the execution environment of the main function corresponding to each security risk state of the plurality of security risk states 1361, 1362, 1363, 1364, and 1365 are the computer resources installed in the embedded control device 1020 and the security risk states. It is determined by obtaining a computer resource that can be allocated to the main function from the computer resources required in the configuration contents of the execution environment of the corresponding security function.
  • the execution environment control unit 1320 refers to the security function table 1340 and determines the security risk determined by the security risk state determination unit 1260 from the plurality of security risk states 1361, 1362, 1363, 1364 and 1365 included in the security function table 1340. Select the security risk state that matches the state. In addition, the execution environment control unit 1320 selects a security function corresponding to the selected security risk state from a plurality of security functions 1381, 1382, 1383, 1384, and 1385 included in the security function table 1340. The execution environment control unit 1320 also includes a security function execution environment corresponding to the selected security risk state from the configuration contents 1401, 1402, 1403, 1404, and 1405 of the plurality of security function execution environments included in the security function table 1340. Select the configuration content of.
  • the execution environment control unit 1320 also executes the execution environment of the main function corresponding to the selected security risk state from the contents 1421, 1422, 1423, 1424 and 1425 of the execution environment of the plurality of main functions included in the security function table 1340. Select the configuration content of.
  • the execution environment control unit 1320 sets the selected security function as a security function executed by the embedded control device 1020. In addition, the execution environment control unit 1320 causes the security function execution environment to be configured to have the configuration contents of the selected security function execution environment. In addition, the execution environment control unit 1320 causes the execution environment of the main function to be configured to have the configuration contents of the execution environment of the selected main function.
  • the security function to be executed by the embedded control device 1020 is determined according to the security risk state determined by the security risk state determination unit 1260, and the execution environment of the security function and the execution of the main function in the embedded control device 1020 are determined.
  • the environment is configured.
  • the execution environment control unit 1320 determines the security mechanism to be executed by the embedded control device 1020 without referring to the security function table 1340, and configures the security function execution environment and the main function execution environment in the embedded control device 1020. May be.
  • the execution environment control unit 1320 may perform these processes using a program that performs condition determination, or may perform these processes using a learning program that performs machine learning.
  • the security risk state 1361 shown in FIG. 4 indicates that an illegal message is received with a high reception frequency.
  • the security risk state 1361 assumes threats such as transmission of unauthorized data for the purpose of unauthorized control of automobiles, denial of service (DoS) attacks, unauthorized acquisition of data for the purpose of stealing confidential data, and the like.
  • DoS denial of service
  • the security function 1381 corresponding to the security risk state 1361 includes a message authentication function, packet monitoring, and data encryption.
  • the message authentication function it is possible to ensure the integrity of the message and the validity (authenticity) of the message transmission source, and to counter the transmission of unauthorized data.
  • packet monitoring the amount of communication in the control system network 1040 can be monitored, and when abnormal traffic is detected, a specific packet can be blocked, and a DoS attack can be countered.
  • data encryption monitoring of data transmitted and received can be made impossible, and it becomes possible to counter illegal acquisition of data.
  • the configuration content 1401 of the execution environment of the security function corresponding to the security risk state 1361 includes the upper limit of the usage rate of the CPU cores 1020, 1021, 1022, and 1023, the operation mode of the CPU core, the upper limit of the usage amount of the inter-core shared cache 1140, In addition, the upper limit of the usage amount of the inter-core shared memory 1160 is included.
  • the configuration content 1401 of the security function execution environment defines the security function execution environment necessary for executing the security function 1381.
  • the upper limit of the usage rate of the CPU cores 1020, 1021, 1022, and 1023 included in the configuration content 1401 of the security function execution environment, the upper limit of the usage amount of the inter-core shared cache 1140, and the upper limit of the usage amount of the inter-core shared memory 1160 are , The upper limit of the usage rate of the CPU cores 1020, 1021, 1022, and 1023 included in the configuration contents 1402, 1403, 1404, and 1405 of the security function, the upper limit of the usage amount of the inter-core shared cache 1140, and the inter-core sharing, respectively. It is larger than the upper limit of the usage amount of the memory 1160. As a result, data encryption requiring a complicated operation can be performed.
  • the operation mode of the CPU core included in the configuration content 1401 of the security function execution environment is a secure mode. As a result, it is possible to access a key necessary for executing the message authentication function and the data encryption.
  • the security risk state 1362 indicates that an illegal message is received at a low reception frequency.
  • the fraud message reception frequency in the security risk state 1362 is lower than the fraud message reception frequency in the security risk state 1361.
  • Security risk state 1362 assumes transmission of unauthorized data.
  • the security function 1382 corresponding to the security risk state 1362 includes data format monitoring.
  • Data format monitoring is to monitor whether data is out of the range when the range that the data can take is defined in the specification, and if the data is out of the range, modify the data Is regarded as illegal data. For example, when the range of 0 km / h to 200 km / h that the speed data can take is defined in the specification, the data of ⁇ 10 km / h that falls outside the range of 0 km / h to 200 km / h Considered as data.
  • the processing load that the data format monitoring gives to the embedded control device 1020 is smaller than the processing load that the message authentication function, packet monitoring, and data encryption give to the embedded control device 1020.
  • Data format monitoring makes it possible to counter illegal data transmission. The reason why the transmission of illegal data is countered by data format monitoring that gives only a small processing load is that the security risk of receiving illegal messages with low reception frequency is relatively low.
  • the configuration content 1402 of the execution environment of the security function corresponding to the security risk state 1362 includes the upper limit of the usage rate of the CPU cores 1020, 1021, 1022 and 1023, the operation mode of the CPU core, the upper limit of the usage amount of the inter-core shared cache 1140, The upper limit of the usage amount of the inter-core shared memory 1160 is included.
  • the configuration content 1402 of the security function execution environment defines the security function execution environment necessary for executing the security function 1382.
  • the operation mode of the CPU core included in the configuration content 1402 of the security function execution environment is the normal mode. This is because there is no need to access highly confidential data such as keys.
  • the security risk state 1363 indicates that an attack scenario leading to impersonation of a specific embedded control device or impersonation of a specific embedded control device has been detected.
  • the security risk state 1363 assumes threats such as transmission of unauthorized data for the purpose of unauthorized control of automobiles, unauthorized acquisition of data for the purpose of stealing confidential data, and the like.
  • ⁇ When a program attempts to impersonate an embedded control device or impersonate an embedded control device via an external network, an attack scenario exists and the program shows behavior that matches the attack scenario. For example, a program that attempts to run an embedded control device exhibits behavior that matches the following attack scenarios (1), (2), (3), and (4).
  • the security function 1383 corresponding to the security risk state 1363 includes a message authentication function and data encryption.
  • the message authentication function as described above, it is possible to counter the transmission of illegal data that can ensure the integrity of the message and the validity (authenticity) of the message transmission source.
  • data encryption as described above, it is possible to disable monitoring of data transmitted and received, and it is possible to counter illegal acquisition of data.
  • the configuration content 1403 of the execution environment of the security function corresponding to the security risk state 1363 includes the upper limit of the usage rate of the CPU cores 1020, 1021, 1022, and 1023, the operation mode of the CPU core, the upper limit of the usage amount of the inter-core shared cache 1140, The upper limit of the usage amount of the inter-core shared memory 1160 is included.
  • the configuration content 1403 of the security function execution environment defines the security function execution environment necessary for executing the security function 1383.
  • the operation mode of the CPU core included in the configuration content 1403 of the security function execution environment is a secure mode. As a result, it is possible to access a key necessary for executing the message authentication function and the data encryption.
  • the security risk state 1364 included in the security function table 1340 indicates that an attack scenario that leads to illegal acquisition of data is detected.
  • the security risk state 1364 assumes a threat such as illegal acquisition of data for the purpose of stealing confidential data.
  • the security function 1384 corresponding to the security risk state 1364 includes data encryption. According to data encryption, as described above, monitoring of data transmitted and received can be made impossible, and it becomes possible to counter illegal acquisition of data.
  • the configuration content 1404 of the execution environment of the security function corresponding to the security risk state 1364 includes the upper limit of the usage rate of the CPU cores 1020, 1021, 1022, and 1023, the operation mode of the CPU core, the upper limit of the usage amount of the inter-core shared cache 1140, The upper limit of the usage amount of the inter-core shared memory 1160 is included.
  • the configuration content 1404 of the security function execution environment defines the security function execution environment necessary for executing the security function 1384.
  • the operation mode of the CPU core included in the configuration content 1404 of the security function execution environment is the secure mode. This makes it possible to access a key necessary for executing data encryption.
  • the security risk state 1365 indicates that an unauthorized connection for directly connecting an unauthorized device to the control network 1040 has been performed.
  • the security risk state 1365 assumes threats such as transmission of unauthorized data, unauthorized acquisition of data, execution of unauthorized programs on the embedded control device 1020, and the like.
  • the execution of the unauthorized program assumes that the unauthorized program is installed in the embedded control device 1020 and the installed unauthorized program is executed.
  • the security mechanism 1385 corresponding to the security risk state 1365 includes a message authentication function, resource monitoring, and data encryption.
  • the message authentication function as described above, the integrity of the message and the validity (authenticity) of the message transmission source can be ensured, and the transmission of illegal data can be countered.
  • resource monitoring the execution profile of a program can be monitored, and when the monitored execution profile shows abnormal behavior, the execution of the program can be restricted and the execution of a malicious program can be countered It becomes like this.
  • the execution profile to be monitored includes the usage rate of the CPU cores 1020, 1021, 1022, and 1023, the usage amount of the inter-core shared memory 1160, and the like.
  • data encryption as described above, monitoring of data transmitted and received can be made impossible, and it becomes possible to counter illegal acquisition of data.
  • the configuration contents 1405 of the execution environment of the security function corresponding to the security risk state 1365 include the upper limit of the usage rate of the CPU cores 1020, 1021, 1022, and 1023, the operation mode of the CPU core, the upper limit of the usage amount of the inter-core shared cache 1140, In addition, the upper limit of the usage amount of the inter-core shared memory 1160 is included.
  • the configuration contents 1405 of the security function execution environment define the security function execution environment necessary for executing the security function 1385.
  • the operation mode of the CPU core included in the configuration content 1405 of the security function execution environment is a privileged mode. As a result, it becomes possible to access a performance monitor unit (PMU) incorporated in the CPU, which is necessary when performing resource monitoring.
  • PMU performance monitor unit
  • FIG. 5 is a flowchart showing the operation of the GW when the embedded device is subjected to a cyber attack in the security device of the first embodiment.
  • FIG. 6 is a flowchart illustrating the operation of the embedded control device when the embedded device is subjected to a cyber attack in the security device according to the first embodiment.
  • step S101 illustrated in FIG. 5 the attack detection unit 1220 executes an attack detection process.
  • the attack detection process it is detected that a cyber attack is being performed on the embedded device 1000.
  • step S102 it is determined whether there is an attack. If it is determined in step S102 that a cyber attack is being performed on the embedded device 1000, the process proceeds to step S103. On the other hand, if it is determined in step S102 that no cyber attack has been performed on the embedded device 1000, the process proceeds to step S105.
  • the filtering unit 1240 executes packet filtering in step S103, and the security risk state determination unit 1260 determines the security risk state in step S104 following step S103. Packet filtering blocks illegal packets.
  • the security risk state is determined from information indicating the content of the cyber attack.
  • step S105 the security risk state determination unit 1260 notifies the embedded control device 1020 of the security risk state.
  • the notified security risk state is the security risk state determined in step S104. is there. If it is determined in step S102 that no cyber attack has been performed on the embedded device 1000, the notified security risk state is a security risk state indicating that no cyber attack has been performed on the embedded device 1000. It is.
  • step S106 the routing unit 1200 performs normal packet routing.
  • normal packet routing normal data that is not exposed to cyber attacks is routed to the appropriate network.
  • the execution environment control unit 1320 starts an execution environment control process including steps S107 to S110 illustrated in FIG. 6 in synchronization with the reception of the security risk state.
  • Asynchronous processing may be executed instead of synchronous processing in which the execution environment control processing is started in synchronization with reception of the security risk state.
  • an asynchronous process in which the execution environment control unit 1320 starts the execution environment control process may be executed when the main function execution unit 1280 starts executing the main function.
  • step S107 the execution environment control unit 1320 refers to the security function table 1340.
  • the execution environment control unit 1320 acquires the configuration content of the security function execution environment corresponding to the notified security risk state and the configuration content of the execution environment of the main function.
  • step S108 the execution environment control unit 1320 configures the execution environment of the main function according to the acquired configuration content of the execution environment of the main function. However, if it is not necessary to configure the execution environment for the main function, step S108 is not executed. For example, when the execution environment of the main function is automatically controlled by system software such as an operating system in accordance with the CPU core assigned to the security function and the priority of the task that executes the security function, step S108 is not executed.
  • Configuring the execution environment for the main function includes core migration of the main function to a CPU core that does not execute the security function, memory usage limit, CPU usage limit, interrupt CPU core reallocation, I / O CPU core reassignment, cache maintenance processing, and memory management unit (MMU) reconfiguration.
  • MMU memory management unit
  • step S109 following step 108 the execution environment control unit 1320 configures the security function execution environment according to the acquired configuration contents of the security function execution environment.
  • Configuring the security function execution environment includes assigning CPU cores that execute security functions, setting the CPU operating mode, assigning CPU cores for interrupts, reassigning CPU cores for I / O, and cache locks. Includes at least one of the down settings.
  • step S110 following step S109 the security function is activated.
  • FIGS. 7 and 8 are diagrams schematically illustrating an example of changing the execution environment in an embedded device including the security device according to the first embodiment.
  • FIG. 7 illustrates a state in the case where the determined security risk state is a low security risk state indicating that no cyber attack is being performed on the embedded device 1000.
  • FIG. 7 illustrates a state in which all of the computer resources installed in the embedded control apparatus 1020 are used for executing the main function 1460 in such a state during normal operation.
  • FIG. 8 shows a state when the determined security risk state is the security risk state 1365.
  • FIG. 8 shows one CPU core 1123, a part of the inter-core shared cache 1140, and the inter-core shared memory included in the computer resources installed in the embedded control device 1020 during such a security enhancement operation.
  • a state in which a part of 1160 is used for executing the security function 1461 and the rest included in the computer resources installed in the embedded control apparatus 1020 is used for executing the main function 1460 is illustrated.
  • the embedded control device 1020 executes a security function to counter a cyber attack in accordance with at least one of the type and risk of a security threat caused by the cyber attack.
  • An execution environment for security functions in the embedded control device 1020 is configured so that it can be performed. For this reason, it is possible to appropriately execute the security function while suppressing the influence on the execution of the main function in the embedded control device 1020. In particular, advanced security functions can be executed when security risks are high.
  • Embodiment 2 In the first embodiment, the execution environment for the main function is configured according to the security risk state, but the content of the main function is not affected by the security risk state. In contrast, in the second embodiment, the execution environment for the main function is configured according to the security risk state, and the content of the main function is changed according to the content of the security function.
  • FIG. 9 is a block diagram schematically illustrating an embedded control device constituting the security device of the second embodiment.
  • the embedded control device 1020 illustrated in FIG. 9 includes a main function execution unit 1280, a security function execution unit 1300, and an execution environment control unit 1320, as in the first embodiment. Further, in the embedded control device 1020, the storage medium such as the ROM 1180 stores the security function table 1340 as in the first embodiment. In addition, in the embedded control device 1020, a storage medium such as the ROM 1180 stores the main function operation mode table 1480.
  • the execution environment control unit 1320 determines the operation mode of the main function so that it can be executed by the computer resource of the embedded control device 1020 that can be assigned to the main function when the execution environment of the security function is configured.
  • the execution environment control unit 1320 configures the execution environment for the main function in the embedded control device 1020 so that the main function can be executed in the determined operation mode of the main function.
  • FIG. 10 is a diagram schematically illustrating a main function operation mode table stored in the embedded control device constituting the security device of the second embodiment.
  • the execution environment control unit 1320 refers to the main function operation mode table 1480 illustrated in FIG. 10 in determining the operation mode of the main function.
  • the main function operation mode table 1480 includes a plurality of security risk states 1361, 1362, 1363, 1364 and 1365.
  • the main function operation mode table 1480 includes a plurality of main function operation modes 1501, 1502, 1503, 1504, and 1505 corresponding to the plurality of security risk states 1361, 1362, 1363, 1364, and 1365, respectively.
  • the operation mode of the main function corresponding to each security risk state of the plurality of security risk states 1361, 1362, 1363, 1364 and 1365 is not assigned to the security function corresponding to each security risk state, but may be assigned to the main function. It is determined to be executable by computer resources that can be used.
  • the execution environment control unit 1320 refers to the main function operation mode table 1480 and is determined by the security risk state determination unit 1260 from the plurality of security risk states 1361, 1362, 1363, 1364 and 1365 included in the main function operation mode table 1480. Select a security risk state that matches the specified security risk state. In addition, the execution environment control unit 1320 selects the operation mode of the main function corresponding to the selected security risk state from the plurality of operation modes 1501, 1502, 1503, 1504, and 1505 of the main function included in the main function operation mode table 1480. select.
  • the main function execution unit 1280 executes the main function in the operation mode of the selected main function.
  • the operation mode of the main function is determined according to the security risk state determined by the security risk state determination unit 1260. Further, as described in the first embodiment, the execution environment of the main function is configured according to the security risk state determined by the security risk state determination unit 1260, so that the execution environment of the main function is determined. The main function can be executed in the operation mode of the function.
  • the execution environment control unit 1320 determines the operation mode of the main function so as to satisfy the security requirement in the security risk state determined by the security risk state determination unit 1260 when the security function execution environment is configured. To do. Therefore, even when there is an operation mode of one main function that can be executed by a computer resource, the operation mode of the one main function can be improved in terms of security in the security state determined by the security risk state determination unit 1260. If the requirement is not satisfied, the operation mode of the one main function is not adopted, and the function lower than the function of the operation mode of the one main function is lower than the function of the operation mode of the one main function. The operation mode of the other main function having is adopted.
  • the main function operation mode 1501 corresponding to the security risk state 1361 shown in FIG. 10 is a fail-safe mode.
  • the execution of the main function is not suddenly stopped, but the execution of the main function is stopped in stages.
  • the fail-safe mode is employed when the execution environment for the main function has a margin for executing the main function, but it is difficult to continue the execution of the main function for a long time.
  • the operation modes 1503 and 1505 of the main functions corresponding to the security risk states 1363 and 1365, respectively, are degenerate operation continuation modes.
  • the main function In the degenerate operation continuation mode, the main function is degenerated and the execution of a part of the main function is continued.
  • the execution environment of the main function In the degraded operation continuation mode, the execution environment of the main function can execute the main function, but it is difficult to execute the entire main function due to computer resource constraints, and only a part of the main function can be executed. Adopted when necessary.
  • the operation modes 1502 and 1504 of the main function corresponding to the security risk states 1362 and 1364, respectively, are originally operation continuation modes having an upper limit of the operation time.
  • the original operation continuation mode the entire execution of the main function is continued.
  • the execution environment of the main function can execute the main function, and computer resources are fully allocated to the main function, but the execution of the main function continues for a long time In such a case, it is adopted when the computer resources are insufficient and the stability of the embedded control device 1020 is expected to decrease.
  • the security risk state determination unit 1260 has not determined that the security risk has been resolved even though the execution time of the main function in the reduced operation continuation mode has exceeded the upper limit of the operation time.
  • the security risk state determined by the state determination unit 1260 does not change to the security risk state when the cyber attack is not performed on the embedded device 1000
  • the operation mode of the main function is the original operation having the upper limit of the operation time. Transition from the mode to the degenerate operation continuation mode or fail-safe mode.
  • FIG. 11 is a flowchart illustrating the operation of the GW when the embedded device is subjected to a cyber attack in the security device according to the second embodiment.
  • FIG. 12 is a flowchart illustrating the operation of the embedded control device when the embedded device is subjected to a cyber attack in the security device according to the second embodiment.
  • Steps S201 to S206 illustrated in FIG. 11 are the same steps as steps S101 to S106 illustrated in FIG.
  • the execution environment control unit 1320 starts an execution environment control process including steps S207 to S213 illustrated in FIG. 12 in synchronization with the reception of the security risk state.
  • step S207 the execution environment control unit 1320 refers to the security function table 1340.
  • the execution environment control unit 1320 acquires the configuration content of the security function execution environment corresponding to the notified security risk state and the configuration content of the execution environment of the main function.
  • step S208 following step S207 the execution environment control unit 1320 refers to the main function operation mode table 1480. Further, the execution environment control unit 1320 acquires the operation mode of the main function corresponding to the notified security risk state.
  • step S209 following step S208 the execution environment control unit 1320 configures the execution environment of the main function according to the acquired configuration contents of the execution environment of the main function.
  • step S210 following step S209 the execution environment control unit 1320 configures the execution environment of the security machine according to the acquired configuration contents of the execution environment of the security function.
  • step S211 it is determined whether or not the operation mode of the main function has been changed. If it is determined in step S211 that the operation mode of the main function has been changed, the process proceeds to step S212. If it is determined in step S211 that the operation mode of the main function has not been changed, the process proceeds to step S213.
  • step S212 the main function is activated in the operation mode of the changed main function.
  • step S213 following step S211 or step S212, the security function is activated.
  • FIG. 13 is a flowchart showing the operation of the embedded control device when the embedded control device executes the main function in the security device of the second embodiment.
  • step S301 after starting the main function, the main function execution unit 1280 determines whether or not the current operation mode of the main function is the operation mode with time constraint.
  • the original operation continuation mode having the upper limit of the operation time corresponds to the operation mode with time restriction. If it is determined in step S301 that the current main function operation mode is the time-constrained operation mode, the process proceeds to step S302. If it is determined in step S301 that the current main function operation mode is not a time-constrained operation mode, the process proceeds to step S304.
  • step S302 the main function execution unit 1280 determines whether or not the execution duration time during which the main function is being executed in the current main function operation mode exceeds a preset threshold value. If it is determined in step S302 that the duration of execution of the main function in the current main function operation mode exceeds the threshold, the process proceeds to step S303. If it is determined in step S302 that the time during which the main function is being executed in the current main function operation mode does not exceed the threshold, the process proceeds to step S304.
  • step S303 the main function execution unit 1280 changes the operation mode of the main function from the operation mode with time constraint to a function lower than the function of the operation mode with time constraint and lower than the security risk of the operation mode with time constraint. Change to another mode of operation that poses a security risk.
  • the fail safe mode and the degenerate operation continuation mode correspond to different operation modes.
  • step S304 the main function execution unit 1280 executes the main function. If the current main function operation mode is not a time-constrained operation mode, or if the current main function operation mode is a time-constrained operation mode but the execution duration does not exceed the threshold, the current main function The main function is executed in the operation mode. In addition, when the current operation mode of the main function is a time-constrained operation mode and the execution duration exceeds a threshold, the main function is executed in another operation mode.
  • the main function execution unit 1280 has a time-constrained operation mode and another operation having a function lower than that of the time-constrained operation mode and having a security risk lower than that of the time-constrained operation mode.
  • the main function can be executed in the mode.
  • the operation mode of the main function is changed to the operation mode with time restriction, if the time during which the execution of the main function is continued in the operation mode with time restriction without changing the security risk state exceeds the threshold, The operation mode of the function is changed from the time-constrained operation mode to another operation mode.
  • the embedded control device 1020 can be used by the cyber controller 1020 according to at least one of the type of security threat and the degree of risk caused by the cyber attack as in the first embodiment.
  • the security function execution environment in the embedded control device 1020 is configured so that a security function against an attack can be executed. For this reason, it is possible to appropriately execute the security function while suppressing the influence on the execution of the main function in the embedded control device 1020. In particular, advanced security functions can be executed when security risks are high.
  • 1000 embedded device 1020 embedded control device, 1080 gateway (GW), 1110 security device, 1220 attack detection unit, 1260 security risk state determination unit, 1280 main function execution unit, 1300 security function execution unit, 1320 execution environment control unit, 1340 Security function table, 1480 Main function operation mode table.
  • GW gateway

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)
  • Storage Device Security (AREA)

Abstract

組込み制御装置において主機能の実行への影響を抑制しながらセキュリティ機能を適切に実行することができるようにする。セキュリティ装置は、攻撃検知部、セキュリティリスクステート決定部及び実行環境制御部を備える。攻撃検知部は、組込み制御装置により制御される組込み機器に対するサイバー攻撃の検知を行う。セキュリティリスクステート決定部は、検知の結果に基づいて、サイバー攻撃により生じるセキュリティ上の脅威の種類及び危険度の少なくとも一方を示すセキュリティリスクステートを決定する。実行環境制御部は、組み込み制御装置に備えられ、セキュリティリスクステートに応じて、サイバー攻撃に対抗するセキュリティ機能を決定し、組込み制御装置がセキュリティ機能を実行することができるように、組込み制御装置におけるセキュリティ機能の実行環境を構成する。

Description

セキュリティ装置及び組込み機器
　本発明は、組込み制御装置により制御される組込み機器に対するサイバー攻撃に対抗するセキュリティ装置、当該セキュリティ装置を備える組込み機器に関する。
　自動車等の移動体、家電機器、ファクトリーオートメーション（ＦＡ）機器等の機器には、組込み機器が搭載される。組込み機器は、組込み制御装置により制御される。例えば、自動車には、車載機器が搭載される。車載機器は、車両制御エンジンコントロールユニット（ＥＣＵ）により制御される。
　従来においては、組込み機器は、スタンドアローンで使用されていた。しかし、近年においては、組込み機器は、モノのインターネット（ＩｏＴ）化の流れを受けて、外部ネットワークに接続された状態で使用されるようになりつつある。
　外部ネットワークに接続された状態で使用される組込み機器は、サイバー攻撃に晒される可能性がある。このため、近年においては、サイバー攻撃から組込み機器を守るためのセキュリティ機能を組込み制御装置に実装することが求められるようになりつつある。例えば、車両に搭載される組み込み制御機器、及び車両に搭載されない情報処理装置に共通鍵を共有させ、暗号化されたメッセージ認証コード及びレスポンスコードを通信の際にやり取りさせることにより、情報処理装置の認証を行う認証システムが提案されている。特許文献１に記載された技術は、その一例である。
国際公開第２０１７／００２４０５号
　しかし、サイバー攻撃に対抗するセキュリティ機能を組込み制御装置に実装する場合には、組込み制御装置に搭載される計算機リソースが限られることが問題となる。すなわち、情報セキュリティ技術の導入が進んでいるパーソナルコンピューター（ＰＣ）と比較された場合に、組込み制御装置に搭載される中央演算処理装置（ＣＰＵ）、リードオンリーメモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）等の計算機リソースが限られることが問題になる。このため、暗号化処理のようなサイバー攻撃に対抗する高度なセキュリティ機能を組込み制御装置に実装する場合には、組込み制御装置に実装される主機能を低機能化することを強いられることがある。もちろん、組み込み制御装置に搭載される計算機リソースを強化することによりこの問題は解消するが、組み込み制御装置に搭載される計算機リソースを強化することは、組み込み制御装置の高コスト化を招く。
　本発明は、これらの問題を考慮してなされる。本発明が解決しようとする課題は、組込み制御装置において主機能の実行への影響を抑制しながらセキュリティ機能を適切に実行することができるようにすることである。
　本発明の第１の態様は、セキュリティ装置に向けられる。
　セキュリティ装置は、攻撃検知部、セキュリティリスクステート決定部及び実行環境制御部を備える。
　攻撃検知部は、組込み制御装置により制御される組込み機器に対するサイバー攻撃の検知を行う。
　セキュリティリスクステート決定部は、検知の結果に基づいて、サイバー攻撃により生じるセキュリティ上の脅威の種類及び危険度の少なくとも一方を示すセキュリティリスクステートを決定する。
　実行環境制御部は、組み込み制御装置に備えられ、セキュリティリスクステートに応じて、サイバー攻撃に対抗するセキュリティ機能を決定し、組込み制御装置がセキュリティ機能を実行することができるように、組込み制御装置におけるセキュリティ機能の実行環境を構成する。
　本発明の第２の態様は、上記のセキュリティ装置を備える組込み機器に向けられる。
　本発明においては、サイバー攻撃により生じるセキュリティ上の脅威の種類及び危険度の少なくとも一方に応じて、組込み制御装置がサイバー攻撃に対抗するセキュリティ機能を実行することができるように組込み制御装置におけるセキュリティ機能の実行環境が構成される。このため、組込み制御装置における主機能の実行への影響を抑制しながらセキュリティ機能を適切に実行することができる。
　この発明の目的、特徴、局面、および利点は、以下の詳細な説明と添付図面とによって、より明白となる。
実施の形態１及び２のセキュリティ装置を内蔵する組込み機器を模式的に図示するブロック図である。 実施の形態１及び２のセキュリティ装置を構成するゲートウェイ（ＧＷ）の機能的構成を模式的に図示するブロック図である。 実施の形態１のセキュリティ装置を構成する組込み制御装置の機能的構成を模式的に図示するブロック図である。 実施の形態１及び２のセキュリティ装置を構成する組込み制御装置に記憶されるセキュリティ機能テーブルを模式的に図示する図である。 実施の形態１及び２のセキュリティ装置における、組込み機器がサイバー攻撃を受けた場合のＧＷの動作を示すフローチャートである。 実施の形態１及び２のセキュリティ装置における、組込み機器がサイバー攻撃を受けた場合の組込み制御装置の動作を示すフローチャートである。 実施の形態１及び２のセキュリティ装置を備える組込み機器における実行環境の変更の例を模式的に図示する図である。 実施の形態１及び２のセキュリティ装置を備える組込み機器における実行環境の変更の例を模式的に図示する図である。 実施の形態２のセキュリティ装置を構成する組込み制御装置を模式的に図示するブロック図である。 実施の形態２のセキュリティ装置を構成する組込み制御装置に記憶される主機能動作モードテーブルを模式的に図示する図である。 実施の形態２のセキュリティ装置における、組込み機器がサイバー攻撃を受けた場合のＧＷの動作を示すフローチャートである。 実施の形態２のセキュリティ装置における、組込み機器がサイバー攻撃を受けた場合の組込み制御装置の動作を示すフローチャートである。 実施の形態２のセキュリティ装置における、組込み制御装置が主機能を実行している場合の組込み制御装置の動作を示すフローチャートである。
　１　実施の形態１
　１．１　組込み機器の概略
　図１は、実施の形態１のセキュリティ装置を内蔵する組込み機器を模式的に図示するブロック図である。
　図１に図示される組込み機器１０００は、組込み制御装置１０２０、組込み制御装置１０２１、組込み制御装置１０２２、組込み制御装置１０２３、制御系ネットワーク１０４０、外部接続系ネットワーク１０６０、外部接続系ネットワーク１０６１、外部接続系ネットワーク１０６２、ゲートウェイ（ＧＷ）１０８０、通信インターフェース（Ｉ／Ｆ）１１００、通信Ｉ／Ｆ１１０１及び通信Ｉ／Ｆ１１０２を備える。組込み機器１０００がこれらの要素以外の要素を備えてもよい。
　組込み機器１０００は、自動車等の移動体、家電機器、ファクトリーオートメーション（ＦＡ）機器等の機器に搭載される。以下では、組込み機器１０００が自動車に搭載される車載機器であり、組込み制御装置１０２０，１０２１，１０２２及び１０２３が自動車の走行を制御する車両制御エンジンコントロールユニット（ＥＣＵ）であるとして説明を進める。
　ＧＷ１０８０及び組込み制御装置１０２０は、組込み機器１０００に対するサイバー攻撃に対抗するセキュリティ装置１１１０を構成する。ＧＷ１０８０がセキュリティ装置１１１０を構成しない場合もある。組込み制御装置１０２１，１０２２又は１０２３がセキュリティ装置１１１０を構成する場合もある。
　組込み制御装置１０２０は、組込み機器１０００を制御する主機能を実行し、組込み機器１０００に対するサイバー攻撃に対抗するセキュリティ機能を実行する。組込み制御装置１０２１，１０２２及び１０２３は、組込み機器１０００を制御する主機能を実行するが、組込み機器１０００に対するサイバー攻撃に対抗するセキュリティ機能を実行しない。ただし、本構成は一例であり、上述したとおり、ＧＷ１０８０上に構成されているセキュリティ機能を組込み制御装置１０２１，１０２２又は１０２３上に構成してもよい。
　制御系ネットワーク１０４０には、組込み制御装置１０２０，１０２１，１０２２及び１０２３が通信可能に接続される。制御系ネットワーク１０４０には、組込み機器１０００に備えられる組込み制御装置１０２０，１０２１，１０２２及び１０２３等の装置間でやりとりされる制御データが流れる。
　外部接続系ネットワーク１０６０，１０６１及び１０６２は、それぞれ通信Ｉ／Ｆ１１００，１１０１及び１１０２に通信可能に接続される。外部接続系ネットワーク１０６０，１０６１及び１０６２は、それぞれ通信Ｉ／Ｆ１１００，１１０１及び１１０２を介して組込み機器１０００の外部に存在する情報通信機器に通信可能に接続される。外部接続系ネットワーク１０６０，１０６１及び１０６２には、組込み機器１０００に備えられる組込み制御装置１０２０，１０２１，１０２２及び１０２３等の装置と組込み機器１０００の外部に存在する情報通信機器との間でやりとりされる通信データが流れる。
　外部接続系ネットワーク１０６０，１０６１及び１０６２は、ＧＷ１０８０を介して制御系ネットワーク１０４０に通信可能に接続される。
　組込み制御装置１０２０，１０２１，１０２２及び１０２３からなる組込み制御装置群が、他の組込み制御装置群又は単独の組込み制御装置に置き換えられてもよい。制御系ネットワーク１０４０、外部接続系ネットワーク１０６０、外部接続系ネットワーク１０６１、外部接続系ネットワーク１０６２及びＧＷ１０８０からなるネットワークが、他のネットワークに置き換えられてもよい。セキュリティ機能を実行する組込み制御装置が、組込み制御装置１０２０から組込み制御装置１０２１，１０２２又は１０２３に変更されてもよい。
　組込み制御装置１０２０は、中央演算処理装置（ＣＰＵ）コア１１２０、ＣＰＵコア１１２１、ＣＰＵコア１１２２、ＣＰＵコア１１２３、コア間共有キャッシュ１１４０、コア間共有メモリ１１６０及びリードオンリーメモリ（ＲＯＭ）１１８０を備える。組込み制御装置１０２０がこれらの要素以外の要素を備えてもよい。
　１．２　セキュリティ装置
　図２は、実施の形態１のセキュリティ装置を構成するＧＷの機能的構成を模式的に図示するブロック図である。
　ＧＷ１０８０は、図２に図示されるように、ルーティング部１２００、攻撃検知部１２２０、フィルタリング部１２４０及びセキュリティリスクステート決定部１２６０を備える。これらの要素は、インストールされたプログラムをＧＷが実行することより実現される。これらの要素の全部又は一部がプログラムを実行しないハードウェアにより実現されてもよい。ＧＷ１０８０がこれらの要素以外の要素を備えてもよい。攻撃検知部１２２０及びセキュリティリスクステート決定部１２６０が、組込み制御装置１０２０，１０２１，１０２２又は１０２３に実装されてもよい。
　ルーティング部１２００は、一のネットワークを経由して受信したパケットを他のネットワークを経由して送信する場合に、当該他のネットワークを適切に選択するルーティングを行う。ルーティングは、ＧＷ１０８０が本来有する機能である。
　攻撃検知部１２２０は、組込み機器１０００に対するサイバー攻撃の検知を行う。検知が行われるサイバー攻撃は、自動車外等の組込み機器１０００の外部からの組込み機器１０００に対するサイバー攻撃、組込み機器１０００に不正に装着された装置からの組込み機器１０００に対するサイバー攻撃等である。攻撃検知部１２２０は、外部ネットワーク等を経由して送られてきた攻撃データの検知を行うことにより、組込み機器１０００に対するサイバー攻撃の検知を行う。
　フィルタリング部１２４０は、サイバー攻撃により送られてきた攻撃データが外部接続系ネットワーク１０６０，１０６１又は１０６２から制御系ネットワーク１０４０に流入することを防止し、機密データが制御系ネットワーク１０４０から外部接続系ネットワーク１０６０，１０６１又は１０６２に流出することを防止するためにデータのフィルタリングを行う。
　セキュリティリスクステート決定部１２６０は、組込み機器１０００に対するサイバー攻撃の検知の結果に基づいて、サイバー攻撃により生じるセキュリティ上の脅威の種類及び危険度の少なくとも一方を示すセキュリティリスクステートを決定する。決定されたセキュリティリスクステートは、ＧＷ１０８０から制御系ネットワーク１０４０を経由して組込み制御装置１０２０に通知される。
　図３は、実施の形態１のセキュリティ装置を構成する組込み制御装置の機能的構成を模式的に図示するブロック図である。
　組込み制御装置１０２０は、図３に図示されるように、主機能実行部１２８０、セキュリティ機能実行部１３００及び実行環境制御部１３２０を備える。これらの要素は、インストールされたプログラムをＧＷが実行することより実現される。これらの要素の全部又は一部がプログラムを実行しないハードウェアにより実現されてもよい。また、組込み制御装置１０２０においては、ＲＯＭ１１８０等の記憶媒体が、セキュリティ機能テーブル１３４０を記憶する。組込み制御装置１０２０がこれらの要素以外の要素を備えてもよい。
　主機能実行部１２８０は、組込み機器１０００を制御する主機能を実行する。
　セキュリティ機能実行部１３００は、組込み機器１０００に対するサイバー攻撃に対抗するセキュリティ機能を実行する。セキュリティ機能により、サイバー攻撃に対する保護が組込み機器１０００に与えられる。
　実行環境制御部１３２０は、セキュリティリスクステート決定部１２６０により決定されたセキュリティリスクステートに応じて、組込み制御装置１０２０が実行するセキュリティ機能を決定する。また、実行環境制御部１３２０は、セキュリティリスクステート決定部１２６０により決定されたセキュリティリスクステートに応じて、決定したセキュリティ機能を組込み制御装置１０２０が実行することができるように、組込み制御装置におけるセキュリティ機能の実行環境を構成する。また、実行環境制御部１３２０は、セキュリティリスクステート決定部１２６０により決定されたセキュリティリスクステートに応じて、組込み制御装置１０２０における主機能の実行環境を構成する。
　セキュリティ機能及び主機能の各機能の実行環境は、各機能を実行するために必要な組込み制御装置１０２０の動作環境である。各機能の実行環境は、各機能に割り当てられる計算機リソース、ＣＰＵコアの動作モード等により規定される。計算機リソースは、ＣＰＵコアの数、ＣＰＵコア１０２０，１０２１，１０２２及び１０２３の使用率の上限、コア間共有キャッシュ１１４０の使用量の上限、コア間共有メモリ１１６０の使用量の上限等である。各機能の実行環境が、各機能に割り当てられる計算機リソース、並びにＣＰＵコアの動作モードに代えて、又は各機能に割り当てられる計算機リソース、並びにＣＰＵコアの動作モードに加えて、各機能に割り当てられる計算機リソース、並びにＣＰＵコアの動作モード以外の設定により規定されてもよい。当該設定は、ネットワーク帯域の使用量の上限、アクセス可能な入出力（Ｉ／Ｏ）ポート、アクセス可能な専用アクセラレータ、割込みが通知されるＣＰＵコアの割付け等である。組込み制御装置１０２０が優先度ベーススケジューリングを行うシステムを備える場合は、ＣＰＵコア１０２０，１０２１，１０２２及び１０２３の使用率に代えて、各機能を実行するタスクの優先度、周期等により各機能の実行環境が規定されてもよい。
　図４は、実施の形態１のセキュリティ装置を構成する組込み制御装置に記憶されるセキュリティ機能テーブルを模式的に図示する図である。
　実行環境制御部１３２０は、セキュリティ機能、セキュリティ機能の実行環境の構成内容、及び主機能の実行環境の構成内容の決定において、図４に図示されるセキュリティ機能テーブル１３４０を参照する。
　セキュリティ機能テーブル１３４０は、複数のセキュリティリスクステート１３６１，１３６２，１３６３，１３６４及び１３６５を含む。また、セキュリティ機能テーブル１３４０は、複数のセキュリティリスクステート１３６１，１３６２，１３６３，１３６４及び１３６５にそれぞれ対応する複数のセキュリティ機能１３８１，１３８２，１３８３，１３８４及び１３８５を含み、複数のセキュリティリスクステート１３６１，１３６２，１３６３，１３６４及び１３６５にそれぞれ対応する複数のセキュリティ機能の実行環境の構成内容１４０１，１４０２，１４０３，１４０４及び１４０５を含み、複数のセキュリティリスクステート１３６１，１３６２，１３６３，１３６４及び１３６５にそれぞれ対応する複数の主機能の実行環境の構成内容１４２１，１４２２，１４２３，１４２４及び１４２５を含む。また、セキュリティ機能テーブル１３４０は、複数のセキュリティリスクステート１３６１，１３６２，１３６３，１３６４及び１３６５にそれぞれ対応する複数の識別子（ＩＤ）１４４１，１４４２，１４４３，１４４４及び１４４５を含む。複数のＩＤ１４４１，１４４２，１４４３，１４４４及び１４４５の各ＩＤは、各ＩＤに対応するセキュリティリスクステート、当該セキュリティリスクステートに対応するセキュリティ機能、当該セキュリティリスクステートに対応するセキュリティ機能の実行環境の構成内容、及び当該セキュリティリスクステートに対応する主機能の実行環境の構成内容の対に付与される。
　複数のセキュリティリスクステート１３６１，１３６２，１３６３，１３６４及び１３６５の各セキュリティリスクステートに対応するセキュリティ機能の実行環境の構成内容は、当該各セキュリティリスクステートに対応するセキュリティ機能を決められた時間内に完了するために必要な計算機リソースの見積もり、及びその結果に基づいて決定される。
　複数のセキュリティリスクステート１３６１，１３６２，１３６３，１３６４及び１３６５の各セキュリティリスクステートに対応する主機能の実行環境の構成内容は、組込み制御装置１０２０に搭載されている計算機リソース、及び各セキュリティリスクステートに対応するセキュリティ機能の実行環境の構成内容において要求される計算機リソースから、主機能に割り当てることができる計算機リソースを求めることにより決定される。
　実行環境制御部１３２０は、セキュリティ機能テーブル１３４０を参照し、セキュリティ機能テーブル１３４０に含まれる複数のセキュリティリスクステート１３６１，１３６２，１３６３，１３６４及び１３６５から、セキュリティリスクステート決定部１２６０により決定されたセキュリティリスクステートに一致するセキュリティリスクステートを選択する。また、実行環境制御部１３２０は、セキュリティ機能テーブル１３４０に含まれる複数のセキュリティ機能１３８１，１３８２，１３８３，１３８４及び１３８５から、選択したセキュリティリスクステートに対応するセキュリティ機能を選択する。また、実行環境制御部１３２０は、セキュリティ機能テーブル１３４０に含まれる複数のセキュリティ機能の実行環境の構成内容１４０１，１４０２，１４０３，１４０４及び１４０５から、選択したセキュリティリスクステートに対応するセキュリティ機能の実行環境の構成内容を選択する。また、実行環境制御部１３２０は、セキュリティ機能テーブル１３４０に含まれる複数の主機能の実行環境の構成内容１４２１，１４２２，１４２３，１４２４及び１４２５から、選択したセキュリティリスクステートに対応する主機能の実行環境の構成内容を選択する。
　実行環境制御部１３２０は、選択したセキュリティ機能を、組込み制御装置１０２０により実行されるセキュリティ機能とする。また、実行環境制御部１３２０は、構成するセキュリティ機能の実行環境が、選択したセキュリティ機能の実行環境の構成内容を有するようにする。また、実行環境制御部１３２０は、構成する主機能の実行環境が、選択した主機能の実行環境の構成内容を有するようにする。
　これらにより、セキュリティリスクステート決定部１２６０により決定されたセキュリティリスクステートに応じて、組込み制御装置１０２０により実行されるセキュリティ機能が決定され、組込み制御装置１０２０におけるセキュリティ機能の実行環境、及び主機能の実行環境が構成される。
　実行環境制御部１３２０が、セキュリティ機能テーブル１３４０を参照せずに、組込み制御装置１０２０により実行されるセキュリティ機構を決定し、組込み制御装置１０２０におけるセキュリティ機能の実行環境、及び主機能の実行環境を構成してもよい。例えば、実行環境制御部１３２０が、条件判定を行うプログラムによりこれらの処理を行ってもよいし、機械学習を行った学習プログラムによりこれらの処理を行ってもよい。
　１．３　セキュリティ機能テーブル
　図４に図示されるセキュリティリスクステート１３６１は、高い受信頻度で不正メッセージを受信していることを示す。セキュリティリスクステート１３６１は、自動車の不正制御等を目的とした不正データの送信、サービス拒否（ＤｏＳ）攻撃、機密データの盗み出し等を目的としたデータの不正取得等の脅威を想定する。
　セキュリティリスクステート１３６１に対応するセキュリティ機能１３８１は、メッセージ認証機能、パケットモニタリング及びデータ暗号化を含む。メッセージ認証機能によれば、メッセージの完全性、及びメッセージの送信元の正当性（真正性）を確保することができ、不正データの送信に対抗することができるようになる。パケットモニタリングによれば、制御系ネットワーク１０４０内の通信量を監視し、異常トラフィックを検知した場合に特定のパケットを遮断することができ、ＤｏＳ攻撃に対抗することができるようになる。データ暗号化によれば、送受信されるデータのモニタリングを不可能にすることができ、データの不正取得に対抗することができるようになる。
　セキュリティリスクステート１３６１に対応するセキュリティ機能の実行環境の構成内容１４０１は、ＣＰＵコア１０２０，１０２１，１０２２及び１０２３の使用率の上限、ＣＰＵコアの動作モード、コア間共有キャッシュ１１４０の使用量の上限、並びにコア間共有メモリ１１６０の使用量の上限を含む。セキュリティ機能の実行環境の構成内容１４０１は、セキュリティ機能１３８１を実行するために必要なセキュリティ機能の実行環境を規定する。
　セキュリティ機能の実行環境の構成内容１４０１に含まれるＣＰＵコア１０２０，１０２１，１０２２及び１０２３の使用率の上限、コア間共有キャッシュ１１４０の使用量の上限、並びにコア間共有メモリ１１６０の使用量の上限は、それぞれセキュリティ機能の実行環境の構成内容１４０２，１４０３，１４０４及び１４０５に含まれるＣＰＵコア１０２０，１０２１，１０２２及び１０２３の使用率の上限、コア間共有キャッシュ１１４０の使用量の上限、並びにコア間共有メモリ１１６０の使用量の上限より大きい。これにより、複雑な演算を要するデータ暗号化が可能になる。
　セキュリティ機能の実行環境の構成内容１４０１に含まれるＣＰＵコアの動作モードは、セキュアモードである。これにより、メッセージ認証機能及びデータ暗号化を実行する際に必要となる鍵へのアクセスが可能になる。
　セキュリティリスクステート１３６２は、低い受信頻度で不正メッセージを受信していることを示す。セキュリティリスクステート１３６２における不正メッセージの受信頻度は、セキュリティリスクステート１３６１における不正メッセージの受信頻度より低い。セキュリティリスクステート１３６２は、不正データの送信を想定する。
　セキュリティリスクステート１３６２に対応するセキュリティ機能１３８２は、データフォーマット監視を含む。データフォーマット監視とは、データがとり得る値域が仕様上定められている場合に、データが当該値域から外れているか否かを監視し、当該データが当該値域から外れている場合に当該データを改ざんされた不正データとみなすことである。例えば、速度データがとり得る０ｋｍ／ｈ以上２００ｋｍ／以下という値域が仕様上定められている場合には、０ｋｍ／ｈ以上２００ｋｍ／以下という値域から外れる－１０ｋｍ／ｈというデータは改ざんされた不正速度データとみなされる。データフォーマット監視が組込み制御装置１０２０に与える処理負荷は、メッセージ認証機能、パケットモニタリング及びデータ暗号化が組込み制御装置１０２０に与える処理負荷より小さい。データフォーマット監視により、不正データの送信に対抗することができるようになる。小さな処理負荷しか与えないデータフォーマット監視で不正データの送信に対抗するのは、低い受信頻度で不正メッセージを受信していることのセキュリティ上の危険度が比較的低いからである。
　セキュリティリスクステート１３６２に対応するセキュリティ機能の実行環境の構成内容１４０２は、ＣＰＵコア１０２０，１０２１，１０２２及び１０２３の使用率の上限、ＣＰＵコアの動作モード、コア間共有キャッシュ１１４０の使用量の上限、並びにコア間共有メモリ１１６０の使用量の上限を含む。セキュリティ機能の実行環境の構成内容１４０２は、セキュリティ機能１３８２を実行するために必要なセキュリティ機能の実行環境を規定する。
　セキュリティ機能の実行環境の構成内容１４０２に含まれるＣＰＵコアの動作モードは、通常モードである。これは、鍵等の高い秘匿性を有するデータへのアクセスが不要であるためである。
　セキュリティリスクステート１３６３は、特定の組込み制御装置ののっとり、又は特定の組込み制御装置へのなりすましにつながる攻撃シナリオを検知したことを示す。セキュリティリスクステート１３６３は、自動車の不正制御等を目的とした不正データの送信、機密データの盗み出し等を目的としたデータの不正取得等の脅威を想定する。
　プログラムが外部ネットワークを経由して組込み制御装置ののっとり、又は組込み制御装置へのなりすましを試みる場合は、攻撃シナリオが存在し、当該プログラムが当該攻撃シナリオに合致する挙動を示す。例えば、組込み制御装置をのっとることを試みるプログラムは、下記の攻撃シナリオ（１），（２），（３）及び（４）に合致する挙動を示す。
　（１）ネットワーク検査コマンドによりＩＰアドレスを取得する。
　（２）ポートスキャンを行い、各ポートにより提供されるサービスを特定する。
　（３）複数のパケットを各ポートに送り付け、送り付けた複数のパケットに対する反応により各ポートを使用しているソフトウェアの種別及び版数を特定する。
　（４）特定したソフトウェアの種別及び版数に脆弱性が存在する場合は、存在する脆弱性を利用して組込み制御装置をのっとる。
　したがって、プログラムが示す挙動を監視し、攻撃シナリオに合致する挙動を検知することにより、特定の組込み制御装置ののっとり、及び特定の組込み制御装置へのなりすましにつながる攻撃シナリオを検知することができる。
　セキュリティリスクステート１３６３に対応するセキュリティ機能１３８３は、メッセージ認証機能及びデータ暗号化を含む。メッセージ認証機能によれば、先述したように、メッセージの完全性、及びメッセージの送信元の正当性（真正性）を確保することができる、不正データの送信に対抗することができるようになる。データ暗号化によれば、先述したように、送受信されるデータのモニタリングを不可能にすることができ、データの不正取得への対抗が可能になる。
　セキュリティリスクステート１３６３に対応するセキュリティ機能の実行環境の構成内容１４０３は、ＣＰＵコア１０２０，１０２１，１０２２及び１０２３の使用率の上限、ＣＰＵコアの動作モード、コア間共有キャッシュ１１４０の使用量の上限、並びにコア間共有メモリ１１６０の使用量の上限を含む。セキュリティ機能の実行環境の構成内容１４０３は、セキュリティ機能１３８３を実行するために必要なセキュリティ機能の実行環境を規定する。
　セキュリティ機能の実行環境の構成内容１４０３に含まれるＣＰＵコアの動作モードは、セキュアモードである。これにより、メッセージ認証機能及びデータ暗号化を実行する際に必要となる鍵へのアクセスが可能になる。
　セキュリティ機能テーブル１３４０に含まれるセキュリティリスクステート１３６４は、データの不正取得につながる攻撃シナリオを検知したことを示す。セキュリティリスクステート１３６４は、機密データの盗み出し等を目的としたデータの不正取得等の脅威を想定する。
　セキュリティリスクステート１３６４に対応するセキュリティ機能１３８４は、データ暗号化を含む。データ暗号化によれば、先述したように、送受信されるデータのモニタリングを不可能にすることができ、データの不正取得に対抗することができるようになる。
　セキュリティリスクステート１３６４に対応するセキュリティ機能の実行環境の構成内容１４０４は、ＣＰＵコア１０２０，１０２１，１０２２及び１０２３の使用率の上限、ＣＰＵコアの動作モード、コア間共有キャッシュ１１４０の使用量の上限、並びにコア間共有メモリ１１６０の使用量の上限を含む。セキュリティ機能の実行環境の構成内容１４０４は、セキュリティ機能１３８４を実行するために必要なセキュリティ機能の実行環境を規定する。
　セキュリティ機能の実行環境の構成内容１４０４に含まれるＣＰＵコアの動作モードは、セキュアモードである。これにより、データ暗号化を実行する際に必要となる鍵へのアクセスが可能になる。
　セキュリティリスクステート１３６５は、不正な機器を制御用ネットワーク１０４０に直接的に接続する不正接続が行われたことを示す。セキュリティリスクステート１３６５は、不正データの送信、データの不正取得、組込み制御装置１０２０上での不正プログラムの実行等の脅威を想定する。不正プログラムの実行は、不正プログラムが組込み制御装置１０２０にインストールされ、インストールされた不正プログラムが実行されることを想定する。
　セキュリティリスクステート１３６５に対応するセキュリティ機構１３８５は、メッセージ認証機能、リソースモニタリング及びデータ暗号化を含む。メッセージ認証機能によれば、先述したように、メッセージの完全性、及びメッセージの送信元の正当性（真正性）を確保することができ、不正データの送信に対抗することができるようになる。リソースモニタリングによれば、プログラムの実行プロファイルを監視し、監視している実行プロファイルが異常な挙動を示した場合に当該プログラムの実行を制限することができ、不正プログラムの実行に対抗することができるようになる。監視される実行プロファイルは、ＣＰＵコア１０２０，１０２１，１０２２及び１０２３の使用率、コア間共有メモリ１１６０の使用量等である。データ暗号化によれば、先述したように、送受信されるデータのモニタリングを不可能にすることができ、データの不正取得に対抗することができるようになる。
　セキュリティリスクステート１３６５に対応するセキュリティ機能の実行環境の構成内容１４０５は、ＣＰＵコア１０２０，１０２１，１０２２及び１０２３の使用率の上限、ＣＰＵコアの動作モード、コア間共有キャッシュ１１４０の使用量の上限、並びにコア間共有メモリ１１６０の使用量の上限を含む。セキュリティ機能の実行環境の構成内容１４０５は、セキュリティ機能１３８５を実行するために必要なセキュリティ機能の実行環境を規定する。
　セキュリティ機能の実行環境の構成内容１４０５に含まれるＣＰＵコアの動作モードは、特権モードである。これにより、リソースモニタリングを実行する際に必要となるＣＰＵに組み込まれているパフォーマンスモニタユニット（ＰＭＵ）へのアクセスが可能になる。
　１．４　動作
　図５は、実施の形態１のセキュリティ装置における、組込み機器がサイバー攻撃を受けた場合のＧＷの動作を示すフローチャートである。図６は、実施の形態１のセキュリティ装置における、組込み機器がサイバー攻撃を受けた場合の組込み制御装置の動作を示すフローチャートである。
　図５に図示されるステップＳ１０１においては、攻撃検知部１２２０が、攻撃検知処理を実行する。攻撃検知処理においては、組込み機器１０００に対してサイバー攻撃が行われていることが検知される。
　ステップＳ１０１に続くステップＳ１０２においては、攻撃の有無が判定される。ステップＳ１０２において組込み機器１０００に対してサイバー攻撃が行われていると判定された場合は、処理がステップＳ１０３に進められる。一方、ステップＳ１０２において組込み機器１０００に対してサイバー攻撃が行われていないと判定された場合は、処理がステップＳ１０５に進められる。
　サイバー攻撃が行われていると判定された場合は、ステップＳ１０３において、フィルタリング部１２４０がパケットフィルタリングを実行し、ステップＳ１０３に続くステップＳ１０４において、セキュリティリスクステート決定部１２６０がセキュリティリスクステートを決定する。パケットフィルタリングにより、不正なパケットが遮断される。セキュリティリスクステートは、サイバー攻撃の内容を示す情報から決定される。
　ステップＳ１０２又はＳ１０４に続くステップＳ１０５においては、セキュリティリスクステート決定部１２６０が、組込み制御装置１０２０にセキュリティリスクステートを通知する。ステップＳ１０２において組込み機器１０００に対してサイバー攻撃が行われていると判定されステップＳ１０４においてセキュリティリスクステートが決定された場合は、通知されるセキュリティリスクステートは、ステップＳ１０４において決定されたセキュリティリスクステートである。ステップＳ１０２において組込み機器１０００に対してサイバー攻撃が行われていないと判定された場合は、通知されるセキュリティリスクステートは、組込み機器１０００に対してサイバー攻撃が行われていないことを示すセキュリティリスクステートである。
　ステップＳ１０５に続くステップＳ１０６においては、ルーティング部１２００が、正常パケットルーティングを実行する。正常パケットルーティングにおいては、サイバー攻撃に晒されていない通常のデータが適切なネットワークにルーティングされる。
　実行環境制御部１３２０は、セキュリティリスクステートの受信に同期して、図６に図示されるステップＳ１０７からＳ１１０までを含む実行環境制御処理を開始する。セキュリティリスクステートの受信に同期して実行環境制御処理が開始される同期処理に代えて、非同期処理が実行されてもよい。例えば、主機能実行部１２８０が主機能の実行を開始する際に実行環境制御部１３２０が実行環境制御処理を開始する非同期処理が実行されてもよい。
　ステップＳ１０７においては、実行環境制御部１３２０が、セキュリティ機能テーブル１３４０を参照する。また、実行環境制御部１３２０は、通知されたセキュリティリスクステートに対応するセキュリティ機能の実行環境の構成内容、及び主機能の実行環境の構成内容を取得する。
　ステップＳ１０７に続くステップＳ１０８においては、実行環境制御部１３２０が、取得した主機能の実行環境の構成内容にしたがって主機能の実行環境を構成する。ただし、主機能の実行環境を構成することが不要である場合は、ステップＳ１０８は実行されない。例えば、セキュリティ機能に割り当てられるＣＰＵコア、及びセキュリティ機能を実行するタスクの優先度に応じて主機能の実行環境がオペレーティングシステム等のシステムソフトウェアにより自動的に制御される場合は、ステップＳ１０８は実行されない。主機能の実行環境を構成することは、セキュリティ機能を実行しないＣＰＵコアへの主機能のコアマイグレーション、メモリ使用量の制限、ＣＰＵ使用率の制限、割り込み用のＣＰＵコアの再割付け、Ｉ／Ｏ用のＣＰＵコアの再割付け、キャッシュメンテナンス処理、及びメモリ管理ユニット（ＭＭＵ）の再設定の少なくともひとつを含む。
　ステップ１０８に続くステップＳ１０９においては、実行環境制御部１３２０が、取得したセキュリティ機能の実行環境の構成内容にしたがってセキュリティ機能の実行環境を構成する。セキュリティ機能の実行環境を構成することは、セキュリティ機能を実行するＣＰＵコアの割付け、ＣＰＵの動作モードの設定、割り込み用のＣＰＵコアの割付け、Ｉ／Ｏ用のＣＰＵコアの再割付け、及びキャッシュロックダウンの設定の少なくともひとつを含む。
　ステップＳ１０９に続くステップＳ１１０においては、セキュリティ機能が起動される。
　１．５　実行環境の変更の例
　図７及び図８は、実施の形態１のセキュリティ装置を備える組込み機器における実行環境の変更の例を模式的に図示する図である。
　図７には、決定されたセキュリティリスクステートが組込み機器１０００に対してサイバー攻撃が行われていないことを示す低いセキュリティリスクステートである場合の状態が図示される。図７には、このような通常動作時の状態においては、組込み制御装置１０２０に搭載されている計算機リソースの全部が主機能１４６０の実行に使用されている状態が図示される。
　図８には、決定されたセキュリティリスクステートがセキュリティリスクステート１３６５である場合の状態が図示される。図８には、このようなセキュリティ強化動作時においては、組込み制御装置１０２０に搭載されている計算機リソースに含まれる１個のＣＰＵコア１１２３、コア間共有キャッシュ１１４０の一部、及びコア間共有メモリ１１６０の一部がセキュリティ機能１４６１の実行に使用されており、組込み制御装置１０２０に搭載されている計算機リソースに含まれる残りが主機能１４６０の実行に使用されている状態が図示される。
　１．６　実施の形態１の効果
　実施の形態１においては、サイバー攻撃により生じるセキュリティ上の脅威の種類及び危険度の少なくとも一方に応じて、組込み制御装置１０２０がサイバー攻撃に対抗するセキュリティ機能を実行することができるように組込み制御装置１０２０におけるセキュリティ機能の実行環境が構成される。このため、組込み制御装置１０２０における主機能の実行への影響を抑制しながらセキュリティ機能を適切に実行することができる。特に、セキュリティ上のリスクが高い場合に高度なセキュリティ機能を実行することができる。
　２　実施の形態２
　実施の形態１においては、セキュリティリスクステートに応じて主機能の実行環境が構成されるが、主機能の内容はセキュリティリスクステートの影響を受けない。これに対して、実施の形態２においては、セキュリティリスクステートに応じて主機能の実行環境が構成されるのに加えて、セキュリティ機能の内容に応じて主機能の内容が変更される。
　以下では、上記の相違に関連する実施の形態２の構成が説明される。説明されない構成については、実施の形態１において採用された構成がそのまま又は変形されてから実施の形態２においても採用される。
　図９は、実施の形態２のセキュリティ装置を構成する組込み制御装置を模式的に図示するブロック図である。
　図９に図示される組込み制御装置１０２０は、実施の形態１と同様に、主機能実行部１２８０、セキュリティ機能実行部１３００及び実行環境制御部１３２０を備える。また、組込み制御装置１０２０においては、ＲＯＭ１１８０等の記憶媒体が、実施の形態１と同様に、セキュリティ機能テーブル１３４０を記憶する。加えて、組込み制御装置１０２０においては、ＲＯＭ１１８０等の記憶媒体が、主機能動作モードテーブル１４８０を記憶する。
　実行環境制御部１３２０は、セキュリティ機能の実行環境を構成した場合に、主機能に割り当てることができる組込み制御装置１０２０の計算機リソースにより実行することができるように主機能の動作モードを決定する。また、実行環境制御部１３２０は、決定した主機能の動作モードで主機能を実行することができるように組込み制御装置１０２０における主機能の実行環境を構成する。
　図１０は、実施の形態２のセキュリティ装置を構成する組込み制御装置に記憶される主機能動作モードテーブルを模式的に図示する図である。
　実行環境制御部１３２０は、主機能の動作モードの決定において、図１０に図示される主機能動作モードテーブル１４８０を参照する。
　主機能動作モードテーブル１４８０は、複数のセキュリティリスクステート１３６１，１３６２，１３６３，１３６４及び１３６５を含む。また、主機能動作モードテーブル１４８０は、複数のセキュリティリスクステート１３６１，１３６２，１３６３，１３６４及び１３６５にそれぞれ対応する主機能の複数の動作モード１５０１，１５０２，１５０３，１５０４及び１５０５を含む。
　複数のセキュリティリスクステート１３６１，１３６２，１３６３，１３６４及び１３６５の各セキュリティリスクステートに対応する主機能の動作モードは、各セキュリティリスクステートに対応するセキュリティ機能に割り当てられておらず主機能に割り当てることができる計算機リソースにより実行可能であるように決定されている。
　実行環境制御部１３２０は、主機能動作モードテーブル１４８０を参照し、主機能動作モードテーブル１４８０に含まれる複数のセキュリティリスクステート１３６１，１３６２，１３６３，１３６４及び１３６５から、セキュリティリスクステート決定部１２６０により決定されたセキュリティリスクステートに一致するセキュリティリスクステートを選択する。また、実行環境制御部１３２０は、主機能動作モードテーブル１４８０に含まれる主機能の複数の動作モード１５０１，１５０２，１５０３，１５０４及び１５０５から、選択したセキュリティリスクステートに対応する主機能の動作モードを選択する。
　主機能実行部１２８０は、選択した主機能の動作モードで主機能を実行する。
　これらにより、セキュリティリスクステート決定部１２６０により決定されたセキュリティリスクステートに応じて、主機能の動作モードが決定される。また、実施の形態１において説明したようにセキュリティリスクステート決定部１２６０により決定されたセキュリティリスクステートに応じて主機能の実行環境が構成されることにより、主機能の実行環境は、決定された主機能の動作モードで主機能を実行することができる。
　望ましくは、実行環境制御部１３２０は、セキュリティ機能の実行環境を構成した場合に、セキュリティリスクステート決定部１２６０により決定されたセキュリティリスクステートにおけるセキュリティ上の要求を満たすように主機能の動作モードを決定する。したがって、計算機リソースにより実行可能である一の主機能の動作モードが存在する場合であっても、当該一の主機能の動作モードがセキュリティリスクステート決定部１２６０により決定されたセキュリティステートにおけるセキュリティ上の要求を満たさない場合は、当該一の主機能の動作モードが採用されず、当該一の主機能の動作モードの機能より低い機能を有し当該一の主機能の動作モードの機能より低い機能を有する他の主機能の動作モードが採用される。
　２．１　主機能動作モードテーブル
　図１０に図示されるセキュリティリスクステート１３６１に対応する主機能の動作モード１５０１は、フェールセーフモードである。フェールセーフモードにおいては、主機能の実行が急に停止されることはないが、主機能の実行が段階的に停止される。フェールセーフモードは、主機能の実行環境が主機能を実行する余裕を有するが、主機能の実行を長時間にわたって継続することが困難である場合に採用される。
　セキュリティリスクステート１３６３及び１３６５にそれぞれ対応する主機能の動作モード１５０３及び１５０５は、縮退動作継続モードである。縮退動作継続モードにおいては、主機能が縮退させられて主機能の一部の実行が継続される。縮退動作継続モードは、主機能の実行環境が主機能を実行することができるが、計算機リソースの制約から主機能の全体を実行することが困難であり主機能の一部のみを実行することが必要である場合に採用される。
　セキュリティリスクステート１３６２及び１３６４にそれぞれ対応する主機能の動作モード１５０２及び１５０４は、動作時間の上限を有する本来動作継続モードである。本来動作継続モードにおいては、主機能の全体の実行が継続される。動作時間の上限を有する本来動作継続モードは、主機能の実行環境が主機能を実行することができ、計算機リソースが主機能に十分に割り当てられているが、主機能の実行が長時間にわたって継続された場合は計算機リソースが不足し組込み制御装置１０２０の安定性が低下することが見込まれる場合に採用される。
　縮退動作継続モードで主機能の実行が継続されている時間が動作時間の上限を超えたにもかかわらず、セキュリティリスクステート決定部１２６０がセキュリティ上のリスクが解消したと判断しておらずセキュリティリスクステート決定部１２６０により決定されたセキュリティリスクステートが組込み機器１０００に対するサイバー攻撃が行われていない場合のセキュリティリスクステートに変化しない場合は、主機能の動作モードは、動作時間の上限を有する本来動作継続モードから縮退動作継続モード又はフェールセーフモードへ移行する。
　２．２　動作
　図１１は、実施の形態２のセキュリティ装置における、組込み機器がサイバー攻撃を受けた場合のＧＷの動作を示すフローチャートである。図１２は、実施の形態２のセキュリティ装置における、組込み機器がサイバー攻撃を受けた場合の組込み制御装置の動作を示すフローチャートである。
　図１１に図示されるステップＳ２０１からＳ２０６までは、それぞれ図５に図示されるステップＳ１０１からＳ１０６までと同様のステップである。
　実行環境制御部１３２０は、セキュリティリスクステートの受信に同期して、図１２に図示されるステップＳ２０７からＳ２１３までを含む実行環境制御処理を開始する。
　ステップＳ２０７においては、実行環境制御部１３２０が、セキュリティ機能テーブル１３４０を参照する。また、実行環境制御部１３２０は、通知されたセキュリティリスクステートに対応するセキュリティ機能の実行環境の構成内容、及び主機能の実行環境の構成内容を取得する。
　ステップＳ２０７に続くステップＳ２０８においては、実行環境制御部１３２０が、主機能動作モードテーブル１４８０を参照する。また、実行環境制御部１３２０は、通知されたセキュリティリスクステートに対応する主機能の動作モードを取得する。
　ステップＳ２０８に続くステップＳ２０９においては、実行環境制御部１３２０が、取得した主機能の実行環境の構成内容にしたがって主機能の実行環境を構成する。
　ステップＳ２０９に続くステップＳ２１０においては、実行環境制御部１３２０が、取得したセキュリティ機能の実行環境の構成内容にしたがってセキュリティ機の実行環境を構成する。
　ステップＳ２１０に続くステップＳ２１１においては、主機能の動作モードの変更の有無が判定される。ステップＳ２１１において主機能の動作モードが変更されたと判定された場合は、処理がステップＳ２１２に進められる。ステップＳ２１１において主機能の動作モードが変更されていないと判定された場合は、処理がステップＳ２１３に進められる。
　主機能の動作モードが変更されたと判定された場合は、ステップＳ２１２において、変更後の主機能の動作モードで主機能が起動される。
　ステップＳ２１１又はステップＳ２１２に続くステップＳ２１３においては、セキュリティ機能が起動される。
　図１３は、実施の形態２のセキュリティ装置における、組込み制御装置が主機能を実行している場合の組込み制御装置の動作を示すフローチャートである。
　ステップＳ３０１においては、主機能実行部１２８０が、主機能を起動した後に、現在の主機能の動作モードが時間制約付き動作モードであるか否かを判定する。先述した例においては、動作時間の上限を有する本来動作継続モードが時間制約付きの動作モードに該当する。ステップＳ３０１において現在の主機能の動作モードが時間制約付き動作モードであると判定された場合は、処理がステップＳ３０２に進められる。ステップＳ３０１において現在の主機能の動作モードが時間制約付き動作モードでないと判定された場合は、処理がステップＳ３０４に進められる。
　ステップＳ３０２においては、主機能実行部１２８０が、現在の主機能の動作モードで主機能の実行が継続されている実行継続時間があらかじめ設定された閾値を超えているか否かを判定する。ステップＳ３０２において現在の主機能の動作モードで主機能の実行が継続されている時間が閾値を超えていると判定された場合は、処理がステップＳ３０３に進められる。ステップＳ３０２において現在の主機能の動作モードで主機能の実行が継続されている時間が閾値を超えていないと判定された場合は、処理がステップＳ３０４に進められる。
　現在の主機能の動作モードが時間制約付き動作モードであると判定され、現在の主機能の動作モードで主機能の実行が継続されている時間が閾値を超えていると判定された場合は、ステップＳ３０３において、主機能実行部１２８０が、主機能の動作モードを、時間制約付き動作モードから、時間制約付き動作モードの機能より低い機能を有し時間制約付き動作モードのセキュリティ上のリスクより低いセキュリティ上のリスクを有する別の動作モードに変更する。先述した例においては、フェールセーフモード及び縮退動作継続モードが別の動作モードに該当する。
　ステップＳ３０４においては、主機能実行部１２８０が、主機能を実行する。現在の主機能の動作モードが時間制約付き動作モードでない場合、又は現在の主機能の動作モードが時間制約付き動作モードであるが実行継続時間が閾値を超えていない場合は、現在の主機能の動作モードで主機能が実行される。また、現在の主機能の動作モードが時間制約付き動作モードであり、実行継続時間が閾値を超えた場合は、別の動作モードで主機能が実行される。
　したがって、主機能実行部１２８０は、時間制約付き動作モード、及び時間制約付き動作モードの機能より低い機能を有し時間制約付き動作モードのセキュリティ上のリスクより低いセキュリティ上のリスクを有する別の動作モードで主機能を実行することができる。また、主機能の動作モードが時間制約付き動作モードにされた後に、セキュリティリスクステートが変更されないまま時間制約付き動作モードで主機能の実行が継続されている時間が閾値を超えた場合は、主機能の動作モードが、時間制約付き動作モードから別の動作モードに変更される。
　２．３　実施の形態２の効果
　実施の形態２においても、実施の形態１と同様に、サイバー攻撃により生じるセキュリティ上の脅威の種類及び危険度の少なくとも一方に応じて、組込み制御装置１０２０がサイバー攻撃に対抗するセキュリティ機能を実行することができるように組込み制御装置１０２０におけるセキュリティ機能の実行環境が構成される。このため、組込み制御装置１０２０における主機能の実行への影響を抑制しながらセキュリティ機能を適切に実行することができる。特に、セキュリティ上のリスクが高い場合に高度なセキュリティ機能を実行することができる。
　加えて、実施の形態２においては、主機能の動作モードが変更されることにより、計算機リソースの不足が主機能の実行時に予期せぬ不正動作を引き起こすことが抑制され、組込み制御装置１０２０の信頼性を向上することができる。
　なお、本発明は、その発明の範囲内において、実施の形態を適宜、変形、省略することが可能である。
　この発明は詳細に説明されたが、上記した説明は、すべての局面において、例示であって、この発明がそれに限定されるものではない。例示されていない無数の変形例が、この発明の範囲から外れることなく想定され得るものと解される。
　１０００　組込み機器、１０２０　組込み制御装置、１０８０　ゲートウェイ（ＧＷ）、１１１０　セキュリティ装置、１２２０　攻撃検知部、１２６０　セキュリティリスクステート決定部、１２８０　主機能実行部、１３００　セキュリティ機能実行部、１３２０　実行環境制御部、１３４０　セキュリティ機能テーブル、１４８０　主機能動作モードテーブル。

Claims (7)

  1. 　組込み制御装置（１０２０）により制御される組込み機器（１０００）に対するサイバー攻撃の検知を行う攻撃検知部（１２２０）と、
    　前記検知の結果に基づいて、前記サイバー攻撃により生じるセキュリティ上の脅威の種類及び危険度の少なくとも一方を示すセキュリティリスクステートを決定するセキュリティリスクステート決定部（１２６０）と、
    　前記組込み制御装置（１０２０）に備えられ、前記セキュリティリスクステートに応じて、前記サイバー攻撃に対抗するセキュリティ機能を決定し、前記組込み制御装置（１０２０）が前記セキュリティ機能を実行することができるように、前記組込み制御装置（１０２０）における前記セキュリティ機能の実行環境を構成する実行環境制御部（１３２０）と、
    を備えるセキュリティ装置（１１１０）。
  2. 　前記実行環境制御部（１３２０）は、
    　前記セキュリティ機能の実行環境を構成した場合に、前記組込み機器（１０００）を制御する主機能に割り当てることができる前記組込み制御装置（１０２０）の計算機リソースにより実行することができるように前記主機能の動作モードを決定し、
    　前記主機能の動作モードで前記主機能を実行することができるように前記組込み制御装置（１０２０）における前記主機能の実行環境を構成する
    請求項１のセキュリティ装置（１１１０）。
  3. 　前記実行環境制御部（１３２０）は、
    　前記セキュリティ機能の実行環境を構成した場合に、前記セキュリティリスクステートにおけるセキュリティ上の要求を満たすように前記主機能の動作モードを決定する
    請求項２のセキュリティ装置（１１１０）。
  4. 　前記主機能を実行する主機能実行部（１２８０）をさらに備え、
    　前記主機能実行部（１２８０）は、
    　時間制約付き動作モード、及び前記時間制約付き動作モードの機能より低い機能を有し前記時間制約付き動作モードのセキュリティ上のリスクより低いセキュリティ上のリスクを有する別の動作モードで前記主機能を実行することができ、
    　前記主機能の動作モードが前記時間制約付き動作モードにされた後に、前記セキュリティリスクステートが変更されないまま前記時間制約付き動作モードで前記主機能の実行が継続されている時間が閾値を超えた場合に、前記主機能の動作モードを、前記時間制約付き動作モードから前記別の動作モードに変更する
    請求項２又は３のセキュリティ装置（１１１０）。
  5. 　前記セキュリティ機能の実行環境を構成することは、前記セキュリティ機能を実行するＣＰＵコアの割付け、ＣＰＵの動作モードの設定、割り込み用のＣＰＵコアの割付け、Ｉ／Ｏ用のＣＰＵコアの再割付け、及びキャッシュロックダウンの設定の少なくともひとつを含む
    請求項１から４までのいずれかのセキュリティ装置（１１１０）。
  6. 　前記実行環境制御部（１３２０）は、前記セキュリティリスクステートに応じて、前記組込み機器（１０００）を制御する主機能の実行環境を構成し、
    　前記主機能の実行環境を構成することは、前記セキュリティ機能を実行しないＣＰＵコアへの前記主機能のコアマイグレーション、メモリ使用量の制限、ＣＰＵ使用率の制限、割り込み用のＣＰＵコアの再割付け、Ｉ／Ｏ用のＣＰＵコアの再割付け、キャッシュメンテナンス処理、及びメモリ管理ユニットの再設定の少なくともひとつを含む
    請求項１から５までのいずれかのセキュリティ装置（１１１０）。
  7. 　請求項１から６までのいずれかのセキュリティ装置（１１１０）を備える組込み機器（１０００）。
PCT/JP2018/014982 2018-04-10 2018-04-10 セキュリティ装置及び組込み機器 WO2019198137A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
PCT/JP2018/014982 WO2019198137A1 (ja) 2018-04-10 2018-04-10 セキュリティ装置及び組込み機器
JP2020512961A JP6735952B2 (ja) 2018-04-10 2018-04-10 セキュリティ装置及び組込み機器
CN201880090956.1A CN111936991B (zh) 2018-04-10 2018-04-10 安全装置以及嵌入设备
DE112018007217.7T DE112018007217B4 (de) 2018-04-10 2018-04-10 Sicherheitseinrichtung mit einer Angriffs-Detektionseinrichtung und einer Sicherheitsrisikozustand-Bestimmungseinrichtung und eingebettete Einrichtung hierfür
US16/964,609 US11599640B2 (en) 2018-04-10 2018-04-10 Security device and embedded device

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2018/014982 WO2019198137A1 (ja) 2018-04-10 2018-04-10 セキュリティ装置及び組込み機器

Publications (1)

Publication Number Publication Date
WO2019198137A1 true WO2019198137A1 (ja) 2019-10-17

Family

ID=68163157

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/014982 WO2019198137A1 (ja) 2018-04-10 2018-04-10 セキュリティ装置及び組込み機器

Country Status (5)

Country Link
US (1) US11599640B2 (ja)
JP (1) JP6735952B2 (ja)
CN (1) CN111936991B (ja)
DE (1) DE112018007217B4 (ja)
WO (1) WO2019198137A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE112020005818B4 (de) 2020-01-28 2023-11-09 Mitsubishi Electric Corporation Authentifikatorverwaltungsvorrichtung, authentifikatorverwaltungsprogramm und authentifikatorverwaltungsverfahren
US11954527B2 (en) 2020-12-09 2024-04-09 Industrial Technology Research Institute Machine learning system and resource allocation method thereof

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7344009B2 (ja) * 2018-10-17 2023-09-13 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 情報処理装置、情報処理方法及びプログラム
JP7243326B2 (ja) * 2019-03-15 2023-03-22 オムロン株式会社 コントローラシステム
WO2021172451A1 (ja) * 2020-02-27 2021-09-02 パナソニックＩｐマネジメント株式会社 制御方法、プログラム、制御システム
JP7409247B2 (ja) * 2020-07-14 2024-01-09 株式会社デンソー 不正侵入防止装置、不正侵入防止方法、及び不正侵入防止用プログラム
JP7354074B2 (ja) * 2020-09-18 2023-10-02 株式会社東芝 情報処理装置、情報処理方法およびプログラム

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016207037A (ja) * 2015-04-24 2016-12-08 クラリオン株式会社 情報処理装置、情報処理方法
WO2017183099A1 (ja) * 2016-04-19 2017-10-26 三菱電機株式会社 中継装置

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1820262A (zh) * 2003-06-09 2006-08-16 范拉诺公司 事件监控及管理
JP2005100220A (ja) * 2003-09-26 2005-04-14 Konica Minolta Business Technologies Inc サーバ装置及びその制御方法
US7526806B2 (en) * 2003-11-05 2009-04-28 Cisco Technology, Inc. Method and system for addressing intrusion attacks on a computer system
CN100429101C (zh) * 2005-09-09 2008-10-29 中国科学院自动化研究所 汽车行驶安全监控系统及监控方法
WO2008062647A1 (en) 2006-11-02 2008-05-29 Nec Corporation Multiprocessor system, system configuration method in multiprocessor system, and program thereof
US20080126766A1 (en) * 2006-11-03 2008-05-29 Saurabh Chheda Securing microprocessors against information leakage and physical tampering
US8788570B2 (en) * 2009-06-22 2014-07-22 Citrix Systems, Inc. Systems and methods for retaining source IP in a load balancing multi-core environment
JP5395036B2 (ja) 2010-11-12 2014-01-22 日立オートモティブシステムズ株式会社 車載ネットワークシステム
DE202013103358U1 (de) 2013-07-25 2013-09-19 Kaspersky Lab, Zao Selektive Einschätzung der Schädlichkeit von im Adressraum eines vertrauenswürdigen Prozesses ausgeführtem Software-Code
CN105580023B (zh) * 2013-10-24 2019-08-16 迈克菲股份有限公司 网络环境中的代理辅助的恶意应用阻止
EP3358800B1 (en) * 2014-01-06 2021-10-20 Argus Cyber Security Ltd Bus watchman
CN103856371A (zh) * 2014-02-28 2014-06-11 中国人民解放军91655部队 一种用于信息系统的安全防护方法
CN103905450B (zh) * 2014-04-03 2017-05-31 国网河南省电力公司电力科学研究院 智能电网嵌入式设备网络检测评估系统与检测评估方法
JP6369341B2 (ja) 2015-01-30 2018-08-08 株式会社デンソー 車載通信システム
DK3292471T3 (da) * 2015-05-04 2022-02-21 Syed Kamran Hasan Metode og enhed til styring af sikkerhed i et computernetværk
JP6345157B2 (ja) 2015-06-29 2018-06-20 クラリオン株式会社 車載情報通信システム及び認証方法
JP6759572B2 (ja) * 2015-12-15 2020-09-23 横河電機株式会社 統合生産システム
JP6260066B2 (ja) 2016-01-18 2018-01-17 Kddi株式会社 車載コンピュータシステム及び車両
US11030310B2 (en) * 2017-08-17 2021-06-08 Red Bend Ltd. Systems and methods for disabling a malicious ECU in a controller area network (CAN) bus
US10826706B1 (en) 2018-01-30 2020-11-03 State Farm Mutual Automobile Insurance Company Systems and methods for vehicle configuration verification with failsafe code

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016207037A (ja) * 2015-04-24 2016-12-08 クラリオン株式会社 情報処理装置、情報処理方法
WO2017183099A1 (ja) * 2016-04-19 2017-10-26 三菱電機株式会社 中継装置

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE112020005818B4 (de) 2020-01-28 2023-11-09 Mitsubishi Electric Corporation Authentifikatorverwaltungsvorrichtung, authentifikatorverwaltungsprogramm und authentifikatorverwaltungsverfahren
US11954527B2 (en) 2020-12-09 2024-04-09 Industrial Technology Research Institute Machine learning system and resource allocation method thereof

Also Published As

Publication number Publication date
CN111936991B (zh) 2024-07-09
DE112018007217B4 (de) 2022-03-17
JPWO2019198137A1 (ja) 2020-07-02
US11599640B2 (en) 2023-03-07
JP6735952B2 (ja) 2020-08-05
US20210049275A1 (en) 2021-02-18
DE112018007217T5 (de) 2020-11-19
CN111936991A (zh) 2020-11-13

Similar Documents

Publication Publication Date Title
JP6735952B2 (ja) セキュリティ装置及び組込み機器
JP2022065090A (ja) 最小特権ベースのプロセス制御ソフトウェアセキュリティアーキテクチャ、コンピュータデバイス
EP3440817B1 (en) Automated security policy generation for controllers
US11283810B2 (en) Communication control method and communication control device for substituting security function of communication device
CN108259226B (zh) 网络接口设备管理方法与装置
CA3021285C (en) Methods and systems for network security
Hamad et al. Red-Zone: Towards an Intrusion Response Framework for Intra-vehicle System.
Hamad et al. Intrusion response system for vehicles: Challenges and vision
JP6468133B2 (ja) 車載ネットワークシステム
US12116002B2 (en) Information processing apparatus, information processing method, and recording medium
CN115398427A (zh) 用于处理数据异常的方法，特别是在机动车辆中
Nasser et al. Exploiting AUTOSAR safety mechanisms to launch security attacks
KR101196366B1 (ko) 서버보안을 위한 랜카드 시스템
RU2770458C1 (ru) Сетевой шлюз и способ передачи данных из первой сети во вторую сеть
JP6964829B2 (ja) ネットワークセキュリティ装置、ネットワークセキュリティシステムおよびネットワークセキュリティ方法
KR20220052477A (ko) Can 버스 물리 계층에서 해킹된 노드의 대처 방법, 이를 수행하기 위한 기록 매체 및 시스템
US20170374026A1 (en) Electronic control device
CN114726656A (zh) 一种网络安全防护的方法及装置
Shinde et al. Enhanced Availability and Security by Rate Control Using Extended Policy Framework in SELinux

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18914682

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020512961

Country of ref document: JP

Kind code of ref document: A

122 Ep: pct application non-entry in european phase

Ref document number: 18914682

Country of ref document: EP

Kind code of ref document: A1