WO2021038870A1 - 異常車両検出サーバおよび異常車両検出方法 - Google Patents

異常車両検出サーバおよび異常車両検出方法 Download PDF

Info

Publication number
WO2021038870A1
WO2021038870A1 PCT/JP2019/034264 JP2019034264W WO2021038870A1 WO 2021038870 A1 WO2021038870 A1 WO 2021038870A1 JP 2019034264 W JP2019034264 W JP 2019034264W WO 2021038870 A1 WO2021038870 A1 WO 2021038870A1
Authority
WO
WIPO (PCT)
Prior art keywords
vehicle
abnormal
abnormality
score
detection server
Prior art date
Application number
PCT/JP2019/034264
Other languages
English (en)
French (fr)
Inventor
平野　亮
剛 岸川
良浩 氏家
芳賀　智之
Original Assignee
パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ filed Critical パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority to PCT/JP2019/034264 priority Critical patent/WO2021038870A1/ja
Priority to PCT/JP2020/032208 priority patent/WO2021039851A1/ja
Priority to CN202080009570.0A priority patent/CN113302953A/zh
Priority to EP20858312.0A priority patent/EP4024249A4/en
Priority to JP2021542969A priority patent/JPWO2021039851A1/ja
Publication of WO2021038870A1 publication Critical patent/WO2021038870A1/ja
Priority to US17/380,228 priority patent/US11829472B2/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/48—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for in-vehicle communication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/316—User authentication by observing the pattern of computer usage, e.g. typical user behaviour
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R25/00—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/12—Protecting executable software
    • G06F21/14—Protecting executable software against software analysis or reverse engineering, e.g. by obfuscation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/12—Arrangements for remote connection or disconnection of substations or of equipment thereof
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]

Definitions

  • the present disclosure relates to a technique for calculating an abnormality score for each vehicle based on the event content of the vehicle log and detecting a vehicle having an abnormality score higher than the average abnormality score of the same vehicle type as an abnormality vehicle.
  • ECUs electronice control units
  • the network connecting these ECUs is called an in-vehicle network.
  • CAN Controller Area Network
  • In-vehicle network traffic is expected to increase, and in-vehicle Ethernet (registered trademark) is becoming widespread.
  • Non-Patent Document 1 which has been used in conventional Internet Protocol (IP) communication, a method of preventing unauthorized control by communication of an unauthorized node using encrypted communication, and a patent document As shown in 1, a method of detecting abnormal communication of an in-vehicle network and blocking an illegal frame is disclosed.
  • IP Internet Protocol
  • Non-Patent Document 1 uses encrypted communication, encryption / decryption processing by a transmitting / receiving node is required, which causes overhead.
  • key management used for encrypted communication becomes important, and when the control of the ECU is taken away or the key is leaked, illegal control by illegal frame transmission becomes possible.
  • the method of Patent Document 1 is to deal with an abnormality caused by transmitting an illegal frame, and does not prevent the occurrence of an attack.
  • an attacker who attempts to illegally control a vehicle performs a reverse engineer of an in-vehicle network in advance, such as investigating a frame for causing illegal control of the vehicle.
  • the frame investigation stage can be regarded as a sign of the occurrence of an attack, and actions such as obstructing the attacker's investigation and priority monitoring of the target vehicle can be taken. It can be connected to, and the safety can be further improved.
  • the vehicle logs of multiple vehicles are monitored on the server, and the suspicious behavior of the vehicle that is different from the usual one generated by the attacker's reverse engineer is captured, and it is highly possible that the vehicle is a reverse engineer.
  • Is calculated as an abnormal score a vehicle having an abnormal score higher than the average abnormal score of the same vehicle type is detected as an abnormal vehicle, and an abnormal vehicle detection method is provided to take measures against the abnormality based on the abnormal score value and the abnormal category. To do.
  • an abnormal vehicle detection server that receives a vehicle log including data of event contents generated in the vehicle system from one or more vehicles, and is a normal vehicle based on the event contents of the received vehicle log.
  • An abnormality score calculation unit that detects suspicious behavior different from driving and calculates an abnormality score indicating that reverse engineering may be performed on the vehicle corresponding to the vehicle log, and an abnormality score calculation unit having the abnormality score equal to or higher than a predetermined value.
  • an abnormal vehicle detection server including an abnormal vehicle determination unit that determines the vehicle as an abnormal vehicle is provided.
  • an attacker detects suspicious behavior suspected of reverse engineering activities for illegally controlling a vehicle, and calculates an abnormal score. Furthermore, it is possible to maintain the security of the in-vehicle system by taking measures against the abnormality based on the value of the abnormality score and the abnormality category.
  • FIG. 1 is an overall configuration diagram of an abnormal vehicle detection system according to the first embodiment.
  • FIG. 2 is a configuration diagram of the vehicle system according to the first embodiment.
  • FIG. 3 is a configuration diagram of an abnormal vehicle detection server according to the first embodiment.
  • FIG. 4 is a configuration diagram of the vehicle log transmission device according to the first embodiment.
  • FIG. 5 is a diagram showing an example of a vehicle log according to the first embodiment.
  • FIG. 6 is a diagram showing an example of an abnormality rule in the first embodiment.
  • FIG. 7 is a diagram showing an example of an exclusion rule in the first embodiment.
  • FIG. 8 is a diagram showing an example of an abnormality score in the first embodiment.
  • FIG. 9 is a diagram showing an example of a countermeasure rule in the first embodiment.
  • FIG. 1 is an overall configuration diagram of an abnormal vehicle detection system according to the first embodiment.
  • FIG. 2 is a configuration diagram of the vehicle system according to the first embodiment.
  • FIG. 3 is a configuration diagram of an abnormal vehicle detection server
  • FIG. 10 is a diagram showing an example of an abnormality list display screen according to the first embodiment.
  • FIG. 11 is a diagram showing an example of an abnormal area display screen according to the first embodiment.
  • FIG. 12 is a diagram showing an example of the abnormality hierarchy display screen in the first embodiment.
  • FIG. 13 is a diagram showing a sequence of vehicle log reception processing in the first embodiment.
  • FIG. 14 is a diagram showing a sequence of external log reception processing in the first embodiment.
  • FIG. 15 is a diagram showing a sequence of abnormality score calculation processing in the first embodiment.
  • FIG. 16 is a diagram showing a sequence of abnormality countermeasure processing in the first embodiment.
  • FIG. 17 is a diagram showing a sequence of abnormality display processing in the first embodiment.
  • FIG. 18 is a flowchart of the vehicle-specific abnormality score calculation process according to the first embodiment.
  • FIG. 19 is a flowchart of the vehicle-specific abnormality score calculation process according to the first embodiment.
  • FIG. 20 is a flowchart of the abnormal score calculation process for each area in the first embodiment.
  • FIG. 21 is a flowchart of the abnormal vehicle determination process according to the first embodiment.
  • FIG. 22 is a flowchart of the abnormality countermeasure processing according to the first embodiment.
  • the abnormal vehicle detection server is an abnormal vehicle detection server that receives a vehicle log including data of event contents generated in the vehicle system from one or more vehicles, and is used as an event content of the received vehicle log. Based on this, an anomaly score calculation unit that detects suspicious behavior different from normal driving and calculates an anomaly score indicating that reverse engineering may be performed on the vehicle corresponding to the vehicle log, and the anomaly score Is an abnormal vehicle detection server including an abnormal vehicle determination unit that determines the vehicle as an abnormal vehicle when is equal to or greater than a predetermined value.
  • the abnormal vehicle determination unit further compares the abnormal score calculated for one vehicle with the statistical value based on the abnormal score of the same vehicle type as the one vehicle, and the one vehicle is the abnormal vehicle. It may be determined whether or not it is.
  • the abnormal vehicle determination unit compares the abnormal score calculated for one vehicle with the statistical value based on the abnormal score of the vehicle located in the same area as the one vehicle, and the one vehicle It may be determined whether or not the vehicle is an abnormal vehicle.
  • the abnormality score calculation unit detects any of frequent network device connection, Internet connection abnormality, change of access destination address, change of access source address, and network login attempt as poor behavior, and the suspicious behavior occurs. In this case, it may be determined that the activity is network analysis activity, and the abnormality score may be increased for the vehicle.
  • the abnormality countermeasure notification unit when the abnormality countermeasure notification unit is provided and the abnormality score calculation unit determines that the suspicious behavior is a network analysis activity, the abnormality countermeasure notification unit shuts off the network interface according to the value of the abnormality score.
  • One or more measures may be taken, such as limiting the access destination and access source addresses, limiting the number of network-connected devices, and warning the driver.
  • the abnormality score calculation unit detects any of frequent vehicle control functions, frequent system errors, system error deletion, system login, and changes in the number of files or processes as suspicious behavior, and when the suspicious behavior occurs. , It may be determined that it is a system analysis activity, and the abnormality score may be increased for the vehicle.
  • the abnormality countermeasure notification unit activates the vehicle control function according to the value of the abnormality score.
  • One or more of the following measures may be taken: stop, increase the frequency of transmitting vehicle logs, increase the number of types of vehicle logs, and warn the driver.
  • the abnormal score calculation unit detects the suspicious behavior, if the suspicious behavior occurs within a predetermined period or if the suspicious behavior occurs in a predetermined area, the abnormal score is obtained. May not be increased.
  • the abnormal score calculation unit may reduce the abnormal score if the suspicious behavior does not occur during the predetermined period.
  • the abnormal vehicle detection server further blocks the network interface and sets the access destination for the vehicle determined by the abnormal vehicle determination device in the previous term based on the value of the abnormal score or the type of the suspicious behavior.
  • the attack content can be analyzed by limiting the vehicle control function to prevent the attacker's analysis and increasing the number of types of vehicle logs. It is possible and efficient.
  • the abnormal vehicle detection server further shuts off the network interface for the same vehicle type as the vehicle determined by the abnormal vehicle determination device in the previous term as an abnormal vehicle, based on the value of the abnormal score or the type of suspicious behavior.
  • Access destination and access source address restrictions, network connection device limit, driver warning, network connection restrictions and vehicle control function restrictions, vehicle control function start / stop, vehicle log transmission frequency increase, vehicle log It may be provided with an abnormality notification unit that requests one or more countermeasures among the increase in the number of types and the notification to the driver.
  • the abnormal vehicle detection server further determines that the abnormal vehicle is located in the same area as the vehicle determined by the abnormal vehicle determination device in the previous term, based on the value of the abnormal score or the type of the suspicious behavior. Blocking the network interface, limiting access destination and access source addresses, limiting the number of network-connected devices, warning drivers, network connection limits and vehicle control function limits, vehicle control function start / stop, vehicle log transmission frequency It may be provided with an abnormality notification unit that requests one or more countermeasures among the increase, the increase in the number of types of vehicle logs, and the notification to the driver.
  • the abnormal vehicle detection server may include an abnormality display unit that displays a list of abnormal vehicles in descending order of the abnormality score.
  • the abnormal vehicle detection server may include an abnormal vehicle display unit that displays the position information of the vehicle determined to be the abnormal vehicle on the map.
  • the operator who analyzes the abnormal vehicle by checking the display contents of the abnormality display unit can determine in which area the abnormal vehicle is located and in which facility the abnormality is occurring, which can be used as a clue for analysis. It is effective because it can be done.
  • the abnormal vehicle detection server displays attacks on the vehicle by hierarchy according to the progress of the attack, and displays the information of any one of the vehicle, the vehicle type, and the position information determined to be the abnormal vehicle as the progress of the attack. It may be provided with an abnormal vehicle display unit that is displayed in the hierarchy of the reconnaissance phase with a low degree.
  • FIG. 1 is a diagram showing an overall configuration of an abnormal vehicle detection system according to the present embodiment.
  • the abnormal vehicle detection system is composed of an abnormal vehicle detection server 10, a vehicle system 20, an exclusion rule sharing server 30, and a vehicle log transmission device 200.
  • the system 20 is connected.
  • the external network is, for example, the Internet.
  • the communication method of the external network 50 may be wired or wireless. Further, the wireless communication method may be Wi-Fi (registered trademark) or 3G / LTE (Long Term Evolution), which is an existing technology.
  • the vehicle system 20 includes a vehicle log transmission device 200, and the vehicle log transmission device 200 is a device that transmits a vehicle log to an abnormal vehicle detection server 10 via an external network. Details of the vehicle log will be described later. In the figure, only one vehicle system 20 is shown, but each of the one or more vehicle systems 20 transmits the vehicle log to the abnormal vehicle detection server 10.
  • the exclusion rule sharing server 30 is a server that transmits the exclusion rule used by the abnormal vehicle detection server 10 to the abnormal vehicle detection server 10.
  • the exclusion rule is created, for example, by the developer of the vehicle system and uploaded to the exclusion rule sharing server 30.
  • the abnormal vehicle detection server 10 refers to the event content and the abnormal rule of the vehicle log and calculates the abnormal score
  • the abnormal rule to be excluded and at least one of the period and the position information are included in the exclusion rule. be written. The details of the exclusion rule will be described later.
  • the abnormal vehicle detection server 10 receives the vehicle log from the vehicle log transmission device 200, receives the exclusion rule from the exclusion rule sharing server 30, and determines the vehicle log, the exclusion rule, and the vehicle log stored in advance as abnormal. It is a server that calculates an abnormality score for each vehicle based on an abnormality rule in which conditions are described and detects an abnormality vehicle. Details of the method of calculating the abnormal score and the method of determining the abnormal vehicle will be described later.
  • FIG. 2 is a configuration diagram of the vehicle system 20.
  • the vehicle system 20 includes a vehicle log transmission device 200, a central ECU 300, a Zone ECU 400a, a Zone ECU 400b, a Zone ECU 400c, a Zone ECU 400d, a body ECU 500a, a car navigation ECU 500b, a steering ECU 500c, and a brake ECU 500d.
  • the 200, the central ECU 300, the Zone ECU 400a, the Zone ECU 400b, the Zone ECU 400c, and the Zone ECU 400d are connected via an Ethernet (registered trademark) 13 which is an in-vehicle network.
  • Ethernet registered trademark
  • the body ECU 500a and the Zone ECU 400a are connected via Ethernet 11
  • the car navigation ECU 500b and the Zone ECU 400b are connected via Ethernet 12
  • the steering ECU 500c and the Zone ECU 400c are connected via the CAN 14
  • the brake ECU 500d and the Zone ECU 400d are connected via the CAN-FD15. Will be done.
  • the vehicle log transmission device 200 and the central ECU 300 are also connected to an external network.
  • the vehicle log transmission device 200 is a device that collects vehicle logs from the central ECU 300 via Ethernet 13 and transmits the collected vehicle logs to the abnormal vehicle detection server 10 via an external network.
  • the central ECU 300 controls the Zone ECU 400a, Zone ECU 400b, Zone ECU 400c, and Zone ECU 400d via the Zone ECU 400a, Zone ECU 400b, Zone ECU 400c, Zone ECU 400d and Ethernet 13, and controls the entire vehicle system. For example, it controls vehicle control functions such as automatic parking and automatic driving. Further, event information such as network device connection and Internet connection abnormality generated in the vehicle system is collected from Zone ECUs 400a to d, the collected event information is stored as a vehicle log, and the vehicle log is transmitted to the vehicle log transmission device 200.
  • event information such as network device connection and Internet connection abnormality generated in the vehicle system is collected from Zone ECUs 400a to d, the collected event information is stored as a vehicle log, and the vehicle log is transmitted to the vehicle log transmission device 200.
  • Zone ECU 400a, Zone ECU 400b, Zone ECU 400c, and Zone ECU 400d communicate with the central ECU 300 and other Zone ECUs via Ethernet 13, and the Zone ECU 400a communicates with the body ECU 500a via Ethernet 13 to function related to the vehicle body such as vehicle lock and wiper.
  • the Zone ECU 400b communicates with the car navigation ECU 500b via Ethernet 11 to control the display of the car navigation system
  • the Zone ECU 400c communicates with the steering ECU 500c via CAN 14 to control the steering
  • the Zone ECU 400d controls the steering. It is an ECU having a function of communicating with the brake ECU 500d via the CAN-FD15 and controlling the brake.
  • the body ECU 500a is an ECU that controls functions related to the vehicle body mounted on the vehicle.
  • the car navigation ECU 500b is an ECU that controls the display of the car navigation system mounted on the vehicle.
  • the steering ECU 500c is an ECU that controls the steering of the steering mounted on the vehicle.
  • the brake ECU 500d is an ECU that controls the brake mounted on the vehicle.
  • FIG. 3 is a configuration diagram of the abnormal vehicle detection server 10.
  • the abnormal vehicle detection server 10 includes a server-side communication unit 101, a vehicle log receiving unit 102, a vehicle log storage unit 103, an exclusion rule receiving unit 104, a rule storage unit 105, an abnormal score calculation unit 106, and an abnormal score. It is composed of a storage unit 107, an abnormality vehicle determination unit 108, an abnormality countermeasure notification unit 109, and an abnormality display unit 110.
  • the server-side communication unit 101 receives the vehicle log from the vehicle log transmission device 200 and transmits it to the vehicle log reception unit 102 via the external network. Further, the exclusion rule is received from the exclusion rule sharing server 30, and the exclusion rule is transmitted to the exclusion rule receiving unit 104.
  • the vehicle log receiving unit 102 receives the vehicle log from the server-side communication unit 101 and stores it in the vehicle log storage unit 103.
  • the exclusion rule receiving unit 104 receives the exclusion rule from the server-side communication unit 101 and stores it in the rule storage unit 105.
  • the rule storage unit 105 describes in advance an abnormality rule in which the conditions for determining an abnormality among the events included in the vehicle log are described, and the countermeasure contents according to the abnormality category and the abnormality score described in the abnormality rule. Memorize the countermeasure rules. Further, the exclusion rule receiving unit 104 stores the exclusion rule received from the exclusion rule sharing server 30.
  • the abnormality score calculation unit 106 Upon receiving the vehicle log, the abnormality score calculation unit 106 acquires the abnormality rule and the exclusion rule from the rule storage unit 105, and based on the event, the abnormality rule, and the exclusion rule described in the vehicle log, for each vehicle. Calculate the anomaly score. Then, the abnormal score is recorded in the abnormal score storage unit 107. The details of the calculation method of the abnormal score will be described later.
  • the abnormal vehicle determination unit 108 refers to the abnormal score stored in the abnormal score storage unit 107, and detects an abnormal vehicle presumed to be attempting an attack. Details of the method for detecting an abnormal vehicle will be described later.
  • the abnormality countermeasure notification unit 109 transmits an abnormality countermeasure notification to a vehicle determined by the abnormal vehicle determination unit 108 to be an abnormal vehicle, a vehicle of the same type as the abnormal vehicle, or a vehicle located in the same area as the abnormal vehicle.
  • Abnormality countermeasure notifications include, for example, blocking the network interface, limiting access destination and access source addresses, limiting the number of network-connected devices, warning drivers, limiting network connection, limiting vehicle control functions, and starting / stopping vehicle control functions. , Increasing the frequency of transmitting vehicle logs, increasing the number of types of vehicle logs, and notifying the driver, which is one or more of the measures to notify the vehicle log transmitting device 200 of the vehicle system 20 or the central ECU 300. It will be realized with.
  • the abnormality display unit 110 displays to the user a vehicle determined by the abnormal vehicle determination unit 108 to be an abnormal vehicle, a vehicle type similar to the abnormal vehicle, or a vehicle located in the same area as the abnormal vehicle.
  • the operator who performs analysis using the abnormal vehicle detection server 10 is a user, and displays using a graphical user interface.
  • FIG. 4 is a configuration diagram of 200 of the vehicle log transmission device.
  • the vehicle log transmission device includes a vehicle-side communication unit 210, a vehicle log transmission unit 220, and an abnormality countermeasure unit 230.
  • the vehicle-side communication unit 210 is connected to the abnormal vehicle detection server 10 via an external network and exchanges information.
  • the vehicle log transmission unit 220 is connected to the central ECU 300 via Ethernet 13, receives the vehicle log from the central ECU 300, and transmits the vehicle log to the abnormal vehicle detection server 10 via the vehicle side communication unit 210.
  • the abnormality countermeasure unit 230 receives the abnormality countermeasure notification transmitted by the abnormality vehicle detection server 10, and depending on the content of the abnormality countermeasure notification, the central ECU 300 or the vehicle log transmission unit. Instruct 220 to take measures. For example, if the countermeasure notification content is a vehicle control function restriction, the central ECU 300 is instructed to limit the function, and if the countermeasure notification content is an increase in the vehicle log transmission frequency, the vehicle log transmission unit 220 is instructed to increase the transmission frequency. To do.
  • FIG. 5 is an example of a vehicle log stored in the vehicle log storage unit 103.
  • the vehicle log is the content of an event that has occurred in the vehicle system, and is used when the abnormality score calculation unit 106 calculates the abnormality score.
  • the vehicle log is composed of a vehicle log number, a vehicle identifier, a vehicle type, a time, vehicle position information, and an event name for each event.
  • the vehicle identifier corresponding to the vehicle on a one-to-one basis is "A1”
  • the vehicle type representing the vehicle type is "A”
  • the time indicating the event occurrence time is "A1”
  • the vehicle position information indicating the position of the vehicle at the time of the event occurrence is "X1, Y1”
  • the event name is "network device registration”.
  • the vehicle position information is the position information of the vehicle at the time when the event occurs using the GPS information.
  • Network device registration and network device deletion are, for example, events in which a smartphone is connected to or deleted from the car navigation ECU 500b via Bluetooth (registered trademark). Alternatively, it is an event in which the tablet device is connected to or deleted from the car navigation ECU 500b via Wi-Fi.
  • vehicle control function operation is an event in which functions that control the vehicle system, such as emergency braking operation and activation of automatic parking mode, are activated.
  • system error occurrence is an event in which the central ECU 300 has an error generated on the Zone ECUs 400a to d or a network error generated on the Ethernet 13, Ethernet 11, Ethernet 12, CAN 14, CAN-FD15, and the system.
  • Error cancellation is an event in which a system error is cleared using a vehicle diagnostic tool used by dealers and the like.
  • the access to the address A is an event in which the car navigation ECU 500b accesses the Web server at the address A.
  • the access from the address B is an event in which the server at the address B has accessed the car navigation system ECU 500b.
  • the system login is an event in which login is attempted for the car navigation system ECU 500b.
  • the increase in the number of files is an event in which the number of types of files stored on the central ECU 300 has increased.
  • the Internet disconnection time can be obtained from the time difference. The same applies to VPN disconnection and VPN connection.
  • the emergency brake is activated in the area "X1, Y1" at time TA23 by referring to the vehicle log of the line where the access destination address is changed and the vehicle log number is 7 and 8. However, it can be seen that it was activated in the area "X1, Y1" at time TA24.
  • the vehicle position information may be described as an area.
  • the emergency brake is activated in the area "X1, Y1" at the time TA23, and "X1, Y1" at the time TA24. It can be seen that it was activated in the area called.
  • the vehicle position information may be described as an area.
  • the car navigation ECU 500b has accessed the address 2, so that the change in the access destination address is acquired. be able to.
  • the event name refers to multiple events in which the number of files or the number of processes increases, the change in the number of files or the number of processes can be acquired.
  • FIG. 6 is an example of an abnormal rule stored in the rule storage unit 105.
  • the abnormal rule consists of the abnormal rule number, the content of the abnormal rule, the period, the number of times, the abnormal score, and the abnormal category.
  • the rule content is "network device connection”
  • the period is "1 hour”
  • the number of times is "4"
  • the abnormal score is "+1".
  • a rule is described in which the number of network connections within one hour is acquired from the vehicle log, and if it is four or more times, the abnormality score is "+1".
  • the period "-" indicates that the period is not considered.
  • the abnormality rule number is 8
  • the abnormality score is "+5".
  • the rules are listed.
  • Network device connections increase when an attacker connects a terminal such as a smartphone to the vehicle system to attempt intrusion, so connections four times an hour are judged to be abnormal.
  • Internet or VPN blockage occurs when an attacker intercepts the communication between the vehicle system and the server connected to the vehicle system, or when the attacker intentionally disconnects for fear of detecting an attack, so 1 in 10 minutes. If it occurs more than once, it is judged as abnormal.
  • the change in the access destination address changes when the attacker tries to access the malicious URL to the vehicle system, so it is judged as abnormal once.
  • the change in the access source address changes when the attacker attempts an attack such as a port scan on the vehicle system, so it is judged as abnormal once.
  • a system error occurs when an attacker makes a brute force attack on the vehicle system and causes communication that causes an error. Therefore, it is determined as an abnormality twice or more within 24 hours.
  • System error cancellation occurs when an attacker causes a system error and erases the system error by himself using a vehicle diagnostic tool, etc., so it is judged as an abnormality at least once.
  • System login occurs when an attacker attempts user login to the vehicle system, so it is judged as abnormal once.
  • the change in the number of files or the number of processes is judged as abnormal at least once because the number of files or the number of processes increases when the attacker installs the malware on the vehicle system.
  • the anomaly category describes either network analysis or system analysis, network analysis indicates that the attacker is likely to be analyzing the communication capabilities of the vehicle system, and network analysis indicates that the attacker is the host of the vehicle system. Indicates that the machine is likely to be analyzed.
  • the anomaly category is used to select an effective anomaly countermeasure measure at the time of anomaly countermeasures.
  • FIG. 7 is an example of an exclusion rule stored in the rule storage unit 105.
  • the exclusion rule number, location information, validity period, content, and exclusion target abnormality rule are described for each exclusion rule.
  • the location information is X6. It is Y6, the expiration date is "-" indicating no setting, the content is repair company A, and the exclusion target rule is system error cancellation. That is, position information X6. Since there is a repair company A in Y6, there is a possibility that the system error can be canceled by a dedicated tool. Therefore, it means that the error score is not counted without determining the system error cancellation event as abnormal in the abnormality rule. ..
  • the exclusion rule number is 4, the location information "Japan”, the validity period "T3 to T4", the content "software update”, and the exclusion target rule "change in the number of files or the number of processes". .. That is, during the valid period T3 to T4, the number of files may increase due to the software update of the vehicle system. Therefore, the change in the number of files or the number of processes is not judged as abnormal and the abnormal score is not counted. ..
  • FIG. 8 is an example of an abnormal score stored in the abnormal score storage unit 107.
  • the anomaly score is calculated by the anomaly score calculation unit 106 using the vehicle log, the anomaly rule, and the exclusion rule.
  • the anomaly score is composed of an anomaly score for each vehicle, which is an anomaly score for each vehicle, an average anomaly score for each vehicle type, which is an average of anomalous scores for each vehicle type, and an average anomaly score for each area, which is an average of anomalous scores for each area.
  • the abnormal score is calculated for each abnormal rule number.
  • the method of calculating the abnormal score will be described later. For example, in the row where the abnormality rule number is 2, it is shown that the abnormality score of the vehicle whose vehicle identifier is A1 is 1.
  • the last abnormal date and time which is the time when the last event determined to be abnormal occurs, is stored. By checking the last abnormal date and time, it is possible to obtain the period during which no abnormality has occurred for a specific vehicle, and the attacker has not attacked, that is, the vehicle in which the abnormality has not occurred for a certain period of time. The abnormal score can be lowered for.
  • the abnormal rule number and the abnormal score are calculated for each vehicle type, and the average value for each vehicle type is stored. For example, in the row where the abnormality rule number is 1, it is shown that the average abnormality score of the vehicle type A is 0.
  • the abnormal rule number and the abnormal score are calculated for each vehicle type, and the average value for each vehicle type is stored. For example, in the row where the abnormality rule number is 6, it is shown that the average abnormality score of the vehicle type A is 0.5.
  • FIG. 9 is an example of a countermeasure rule stored in the rule storage unit.
  • the countermeasure rule consists of a countermeasure rule number, an abnormality category, an abnormality score, and countermeasure rule contents.
  • the abnormality countermeasure notification unit 109 refers to the abnormality score of the vehicle determined to be abnormal, acquires the abnormality category of the abnormality rule having the highest abnormality score and the value of the abnormality score, and obtains the value of the abnormality category and the abnormality score according to the value of the abnormality category and the abnormality score.
  • a countermeasure rule is selected, and the content of the countermeasure rule is notified to the abnormality countermeasure unit 230.
  • the abnormality category is network analysis and the abnormality score is 25, select "Restrict access destination and accelerator source address" as the countermeasure rule content.
  • the larger the abnormal score the more measures can be taken to prevent the attacker from trying to attack. If the anomaly score is small, the attacker is unlikely to attempt an attack, so measures can be taken within a range that does not affect the normal use of the vehicle system.
  • Blocking the network interface is a measure that disables the interface with the external network and completely blocks the Internet connection.
  • Restricting access destination and access source addresses is a measure that interferes with the attacker's network analysis by limiting the access destination address of the Internet to a part and the access source address and port to a part.
  • Limiting the number of network-connected devices is a measure that interferes with network analysis such as brute force attacks on WiFi passwords by limiting the number of network-connected devices to a small number.
  • Stopping the vehicle control function is a measure that interferes with the attacker's system analysis, for example, by stopping the automatic parking mode or the activation of the emergency brake itself.
  • the increase in the transmission frequency of the vehicle log is to grasp the situation of the attacker's system analysis in more detail by changing the transmission frequency to once every 10 minutes when the vehicle log is transmitted once an hour in the steady state. It is a measure of.
  • Increasing the number of vehicle log types is a measure to grasp the situation of the attacker's system analysis in more detail by changing to 5 types when the vehicle log is 2 types at steady state.
  • the warning to the driver is a measure that interferes with future analysis by notifying that the vehicle system is being monitored if it is an attacker.
  • FIG. 10 is an example of an abnormality score list display screen displayed by the abnormality display unit 110. Arrange the vehicle identifiers in descending order of anomaly score. As a result, the operator using the abnormal vehicle detection server 10 can easily find the vehicle suspected of being attacked, and can preferentially analyze the vehicle log.
  • FIG. 11 is an example of an abnormality score map display screen displayed by the abnormality display unit 110.
  • a map is displayed on the screen, and the latitudes are displayed as X2, X3, X4 and the longitudes are displayed as Y2, Y3, Y4 on the map.
  • the latest position information points of the vehicle determined to be an abnormal vehicle for example, X4 and Y4, are displayed on the map as abnormal vehicles.
  • the area where the vehicle determined to be an abnormal vehicle is located for example, X3 and Y3, is displayed on the map as an abnormal area.
  • the operator can easily intuitively grasp the position of the vehicle where the attacker is likely to try to attack, and can infer the situation from the facility name on the map.
  • FIG. 12 is an example of an abnormality score stage display screen displayed by the abnormality display unit 110.
  • the phases showing the progress of the attack, reconnaissance, weaponization, delivery, exploit, installation, C & C, and purpose execution are displayed in stages, and the vehicle with vehicle identifier A1 determined to be an abnormal vehicle is displayed. It indicates that it is currently in the reconnaissance phase.
  • FIG. 13 shows a processing sequence from the abnormal vehicle detection server 10 according to the first embodiment of the present disclosure to receiving and storing the vehicle log from the vehicle system 20.
  • the central ECU 300 of the vehicle system 20 collects vehicle logs via Ethernet 13, and transmits the collected vehicle logs to the vehicle log transmission unit 220 of the vehicle log transmission device 200 (S1301).
  • the vehicle log transmission unit 220 of the vehicle log transmission device 200 transmits the vehicle log to the vehicle side communication unit 210 (S1302).
  • the vehicle-side communication unit 210 of the vehicle log transmission device 200 transmits the vehicle log to the server-side communication unit 101 of the abnormal vehicle detection server 10 via the external network (S1303).
  • the server-side communication unit 101 of the abnormal vehicle detection server 10 receives the vehicle log and transfers it to the vehicle log receiving unit 102 (S1304).
  • the vehicle log receiving unit 102 of the abnormal vehicle detection server 10 receives the vehicle log and stores it in the vehicle log storage unit 103 (S1305).
  • FIG. 14 shows a processing sequence in which the abnormal vehicle detection server 10 according to the first embodiment of the present disclosure receives and stores the exclusion rule from the exclusion rule sharing server 30.
  • the exclusion rule sharing server 30 transmits the exclusion rule to the server-side communication unit 101 of the abnormal vehicle detection server 10 via the external network (S1401).
  • the server-side communication unit 101 of the abnormal vehicle detection server 10 receives the exclusion rule and transfers it to the exclusion rule receiving unit 104 (S1402).
  • the exclusion rule receiving unit 104 of the abnormal vehicle detection server 10 receives the exclusion rule and stores it in the rule storage unit 105 (S1403).
  • FIG. 15 shows a processing sequence in which the abnormal vehicle detection server 10 according to the first embodiment of the present disclosure calculates the abnormal score and detects the abnormal vehicle.
  • the abnormality score calculation unit 106 of the abnormality vehicle detection server 10 acquires the vehicle log from the vehicle log storage unit 103, and acquires the exclusion rule and the abnormality rule from the rule storage unit 105 (S1501).
  • the abnormal score calculation unit 106 calculates the abnormal score based on the acquired vehicle log, the exclusion rule, and the abnormal rule, and stores it in the abnormal score storage unit 107 (S1502).
  • the abnormal score calculation unit 106 After calculating the abnormal score, the abnormal score calculation unit 106 notifies the abnormal vehicle determination unit 108 (S1503).
  • the abnormal vehicle determination unit 108 acquires an abnormal score from the abnormal score storage unit 107 and detects the abnormal vehicle (S1504).
  • FIG. 16 shows a processing sequence from when the abnormal vehicle detection server 10 according to the first embodiment of the present disclosure detects an abnormal vehicle to when a countermeasure is taken against the abnormality.
  • the abnormal vehicle determination unit 108 of the abnormal vehicle detection server 10 transmits the detected abnormal vehicle vehicle identifier, vehicle type, area, and abnormality score to the abnormality countermeasure notification unit 109 (S1601).
  • the abnormality countermeasure notification unit 109 of the abnormal vehicle detection server 10 is located in the same area as the vehicle corresponding to the vehicle identifier of the received abnormal vehicle, the vehicle of the same model as the received abnormal vehicle, or the area of the received abnormal vehicle. It is transmitted to the server-side communication unit 101 so as to notify the vehicle (S1602).
  • the server-side communication unit 101 of the abnormal vehicle detection server 10 transmits the notification of S1602 to the vehicle-side communication unit 210 of the vehicle log transmission device 200 via the external network (S1603).
  • the vehicle-side communication unit 210 of the vehicle log transmission device 200 transmits the notification of S1602 to the abnormality countermeasure unit 230 (S1604).
  • the abnormality countermeasure unit 230 of the vehicle log transmission device 200 requests the vehicle log transmission unit 220 for abnormality countermeasures (S1605). For example, request an increase in the amount and frequency of vehicle logs.
  • the abnormality countermeasure unit 230 of the vehicle log transmission device 200 requests the central ECU 300 for abnormality countermeasures via Ethernet 13 (S1606). For example, it requires restrictions on vehicle control functions.
  • FIG. 17 shows a processing sequence from the detection of the abnormal vehicle by the abnormal vehicle detection server 10 according to the first embodiment of the present disclosure to the display of the abnormality to the operator.
  • the abnormal vehicle determination unit 108 of the abnormal vehicle detection server 10 transmits the detected abnormal vehicle vehicle identifier, vehicle type, area, and abnormality score to the abnormality display unit 110 (S1701).
  • the abnormality display unit 110 of the abnormality vehicle detection server 10 displays the vehicle identifier, vehicle type, and area of the received abnormal vehicle using a graphical user interface (S1702).
  • FIG. 18 shows a flowchart of the vehicle-specific abnormality score calculation process of the abnormality score calculation unit 106 according to the first embodiment of the present disclosure.
  • i is a value from 1 to N
  • N represents the number of abnormal rules.
  • S1806 is executed (S1804). Further, when the event of the vehicle log does not match the abnormality rule i and it is determined that there is no abnormality, S1805 is executed.
  • the abnormality score corresponding to the vehicle identifier described in the vehicle log is added to the abnormality score described in the abnormality rule i (S1806), and S1808 is executed.
  • the abnormality score corresponding to the vehicle identifier described in the vehicle log is changed to 0 (S1807), and S1808 is executed.
  • FIG. 19 shows a flowchart of the vehicle-specific abnormality score calculation process of the abnormality score calculation unit 106 according to the first embodiment of the present disclosure.
  • the abnormality score calculation unit 106 acquires the abnormality score for each vehicle (S1901).
  • the abnormality score corresponding to the abnormality rule i is extracted from the vehicle-specific abnormality scores of all vehicles, and the average value is calculated (S1904).
  • FIG. 20 shows a flowchart of the vehicle-specific abnormality score calculation process of the abnormality score calculation unit 106 according to the first embodiment of the present disclosure.
  • the abnormality score calculation unit 106 acquires the abnormality score for each vehicle (S2001).
  • i is a value from 1 to N
  • N represents the number of abnormal rules.
  • the abnormality score corresponding to the abnormality rule i is extracted from the vehicle-specific abnormality scores of all vehicles, and the average value is calculated (S2004).
  • FIG. 21 shows a flowchart of the abnormal vehicle detection process of the abnormal vehicle determination unit 108 according to the first embodiment of the present disclosure.
  • the abnormal vehicle determination unit 108 selects a specific vehicle, acquires an abnormal score of the selected vehicle (S2101), and executes S2102, S2104, and S2106.
  • the abnormal score includes an abnormal score for each vehicle, an abnormal score for each vehicle, and an abnormal score for each area.
  • S2105 is executed, and if not, it ends (S2104).
  • the selected vehicle is detected as an abnormal vehicle, the abnormal score is doubled, stored in the abnormal score storage unit 107 (S2105), and the process ends.
  • the abnormality score of the vehicle showing a behavior different from the normal one can be increased, and the analysis can be prioritized.
  • the selected vehicle is detected as an abnormal vehicle, the abnormal score is doubled, stored in the abnormal score storage unit 107 (S2107), and the process ends.
  • the abnormality score of the vehicle showing a behavior different from the normal one can be increased, and the analysis can be prioritized.
  • FIG. 22 shows a flowchart of the abnormality countermeasure processing of the abnormality countermeasure notification unit 109 in the first embodiment of the present disclosure.
  • the information of the abnormal vehicle detected by the abnormal vehicle determination unit 108 is acquired (S2201), and S2202 is executed.
  • S2204 is performed, otherwise S2205 is performed (S2203).
  • the countermeasure rule stored in the rule storage unit Based on the countermeasure rule stored in the rule storage unit, refer to the abnormal category and abnormal score values, block the network interface, limit the access destination and access source addresses, limit the number of network connected devices, and warn the driver. Select any one or more countermeasures (S2204). Then, the countermeasure is notified to the vehicle-side communication unit 210, and the process ends.
  • S2206 is executed, and if not, it ends (S2205).
  • the countermeasure rule stored in the rule storage unit Based on the countermeasure rule stored in the rule storage unit, refer to the abnormal category and abnormal score values, block the network interface, limit the access destination and access source addresses, limit the number of network connected devices, and warn the driver. Select any one or more countermeasures (S2206). Then, the countermeasure is notified to the vehicle-side communication unit 210, and the process ends.
  • the period, the number of times, and the value of the abnormal score described in the abnormal rule may be changed.
  • Anomalous scores may be added if certain conditions under which an attack is suspected are met.
  • the abnormal score calculation unit 106 has explained that the abnormal score is calculated for each abnormal rule, but the total value of the abnormal scores to which all the abnormal rules are applied may be calculated.
  • the abnormal score calculation unit 106 calculates the average value of the abnormal scores for each vehicle type and area, but statistical values such as the total value or the median value may be used.
  • the abnormal score list display screen is displayed in descending order of abnormal score, but a function that can sort the abnormal score in ascending or descending order may be prepared.
  • the abnormal score map display screen displays the abnormal area and the abnormal vehicle on the map.
  • a plurality of abnormal areas and abnormal vehicles may be displayed respectively, and the abnormal scores are combined. May be displayed.
  • the abnormal score stage display screen is displayed for each stage indicating the attack progress of a specific abnormal vehicle, but it is not necessary to display all stages, and only the reconnaissance phase is displayed. You may.
  • the abnormal score is set to 0 when 24 hours have passed from the last abnormal date and time, but it is not necessarily 24 hours and is predetermined. It only needs time. Further, the abnormal score does not necessarily have to be 0, and may be reduced.
  • the abnormal score is doubled when the abnormal score is larger than the abnormal average score by vehicle type and when it is larger than the abnormal average score by area.
  • an abnormal score may be increased by adding a fixed value.
  • Each device in the above embodiment is specifically a computer system composed of a microprocessor, a ROM, a RAM, a hard disk unit, a display unit, a keyboard, a mouse, and the like. Computer programs are recorded in the RAM or hard disk unit. Each device achieves its function by operating the microprocessor according to a computer program.
  • a computer program is configured by combining a plurality of instruction codes indicating commands to a computer in order to achieve a predetermined function.
  • Each device may be composed of a part or all of the constituent elements of one system LSI (Large Scale Integration: large-scale integrated circuit).
  • a system LSI is an ultra-multifunctional LSI manufactured by integrating a plurality of components on a single chip, and specifically, is a computer system including a microprocessor, ROM, RAM, and the like. .. A computer program is recorded in the RAM. The system LSI achieves its function by operating the microprocessor according to the computer program.
  • each part of the component components constituting each of the above devices may be individually integrated into one chip, or may be integrated into one chip so as to include a part or all of them.
  • system LSI Although it is referred to as a system LSI here, it may be referred to as an IC, an LSI, a super LSI, or an ultra LSI due to the difference in the degree of integration. Further, the method of making an integrated circuit is not limited to LSI, and may be realized by a dedicated circuit or a general-purpose processor. An FPGA (Field Programmable Gate Array) that can be programmed after the LSI is manufactured, or a reconfigurable processor that can reconfigure the connection and settings of the circuit cells inside the LSI may be used.
  • FPGA Field Programmable Gate Array
  • Some or all of the components constituting each of the above devices may be composed of an IC card or a single module that can be attached to and detached from each device.
  • An IC card or module is a computer system composed of a microprocessor, ROM, RAM, and the like.
  • the IC card or module may include the above-mentioned super multifunctional LSI.
  • the microprocessor operates according to a computer program, the IC card or module achieves its function. This IC card or this module may have tamper resistance.
  • the present disclosure may be the method shown above. Further, it may be a computer program that realizes these methods by a computer, or it may be a digital signal composed of a computer program.
  • the present disclosure also describes computer programs or recording media capable of computer-readable digital signals, such as flexible disks, hard disks, CD-ROMs, MOs, DVDs, DVD-ROMs, DVD-RAMs, and BDs (Blu-ray®). ) It may be recorded on a Disc), a semiconductor memory, or the like. Further, it may be the digital signal recorded on these recording media.
  • a computer program or a digital signal may be transmitted via a telecommunication line, a wireless or wired communication line, a network typified by the Internet, data broadcasting, or the like.
  • the present disclosure is a computer system including a microprocessor and a memory, and the memory may record the above-mentioned computer program, and the microprocessor may operate according to the computer program.
  • This disclosure detects anomalous behavior suspected of reverse engineering activity by an attacker from the log of the in-vehicle system, and calculates an anomaly score. Furthermore, by comparing the abnormality score with the in-vehicle system of the same vehicle type or the same area, it is possible to detect an abnormal vehicle that is likely to be an attack target different from that of a normal vehicle. Then, by implementing countermeasures according to the abnormal score and the abnormal category for the abnormal vehicle, it is possible to preferentially and appropriately analyze the abnormal vehicle.

Abstract

本開示によれば、サーバ上で収集した車両ログから、攻撃者によるリバースエンジニアリング活動が疑われる不審な挙動を検知し、異常スコアを算出し、異常車両を検出する。さらに異常スコアに基づいて、適切な対策を選択することで不審な車両を重点的に監視、優先的に解析することを可能とする。

Description

異常車両検出サーバおよび異常車両検出方法
　本開示は、車両ログのイベント内容に基づいて車両ごとに異常スコアを算出し、同一車種の平均異常スコアよりも高い異常スコアを有する車両を異常車両として検出する技術に関する。
　近年、自動車の中のシステムには、電子制御ユニット（以下、ＥＣＵ）と呼ばれる装置が多数配置されている。これらのＥＣＵをつなぐネットワークを車載ネットワークと呼ばれる。車載ネットワークには、多数の規格が存在するが、その中でも最も主流な車載ネットワークの一つに、Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ（以降、ＣＡＮ）という規格が存在し、さらに、自動運転やコネクテッドカーの普及に伴い、車載ネットワークトラフィックの増大が予想され、車載Ｅｔｈｅｒｎｅｔ（登録商標）の普及が進んでいる。
　一方で、車載システムに侵入し、車両を不正制御する脅威も報告されている。このような脅威に対して、従来のＩｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ（ＩＰ）通信で用いられてきた、非特許文献１のように、暗号通信を用いて不正なノードの通信による不正制御を防ぐ方法や、特許文献１にように、車載ネットワークの異常な通信を検知し、不正なフレームを遮断する方法が開示されている。
特許第５６６４７９９号公報
ＲＦＣ５４０６：Ｇｕｉｄｅｌｉｎｅｓ　ｆｏｒ　Ｓｐｅｃｉｆｙｉｎｇ　ｔｈｅ　Ｕｓｅ　ｏｆ　ＩＰｓｅｃ　Ｖｅｒｓｉｏｎ２、２００９年２月
　しかしながら、非特許文献１の方法では、暗号通信を用いるため、送受信ノードによる暗号化・復号処理が必要となりオーバーヘッドが発生する。また暗号通信に用いる鍵管理が重要となり、ＥＣＵの制御を奪わる、鍵が漏洩する等の場合には、不正なフレーム送信による不正制御が可能となってしまう。また、特許文献１の方法は、不正なフレームを送信されたことによる異常への対処であり、攻撃の発生を未然に防ぐわけではない。一般に、車両の不正制御を試みる攻撃者は、事前に車両の不正制御を引き起こすためのフレームの調査等の車載ネットワークのリバースエンジニアを事前に行う。この時の車載ネットワークのフレーム調査段階における、攻撃者の活動を把握することができれば、フレームの調査段階を攻撃発生の予兆として捉え、攻撃者の調査の妨害や、対象車両の重点監視等のアクションにつなげることができ、より安全性を高めることができる。
　そこで、本開示は、複数車両の車両ログをサーバ上で監視し、攻撃者のリバースエンジニアによって発生する通常とは異なる車両の不審挙動を捉え、車両がリバースエンジニアをされている可能性の高さを異常スコアとして算出し、同一車種の平均異常スコアよりも高い異常スコアを有する車両を異常車両として検出し、異常スコアの値と異常カテゴリに基づいて異常に対して対策する異常車両検出方法を提供する。
　上記目的を達成するために、車両システムにおいて発生したイベント内容のデータを含む車両ログを１以上の車両から受信する異常車両検出サーバであって、受信した車両ログのイベント内容に基づいて、通常の運転とは異なる不審挙動を検出し、前記車両ログと対応する車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを算出する異常スコア算出部と、前記異常スコアが所定値以上の場合に、前記車両を異常車両として判定する異常車両判定部とを備える、異常車両検出サーバを提供する。
　本開示によれば、車載システムにおいて、攻撃者が車両を不正制御するためのリバースエンジニアリング活動が疑われる不審な挙動を検知し、異常スコアを算出する。さらに異常スコアの値と異常カテゴリに基づいて、異常に対して対策を実施することで車載システムのセキュリティを維持することを可能とする。
図１は、実施の形態１における、異常車両検出システムの全体構成図である。 図２は、実施の形態１における、車両システムの構成図である。 図３は、実施の形態１における、異常車両検出サーバの構成図である。 図４は、実施の形態１における、車両ログ送信装置の構成図である。 図５は、実施の形態１における、車両ログの一例を示す図である。 図６は、実施の形態１における、異常ルールの一例を示す図である。 図７は、実施の形態１における、除外ルールの一例を示す図である。 図８は、実施の形態１における、異常スコアの一例を示す図である。 図９は、実施の形態１における、対策ルールの一例を示す図である。 図１０は、実施の形態１における、異常リスト表示画面の一例を示す図である。 図１１は、実施の形態１における、異常エリア表示画面の一例を示す図である。 図１２は、実施の形態１における、異常階層表示画面の一例を示す図である。 図１３は、実施の形態１における、車両ログ受信処理のシーケンスを示す図である。 図１４は、実施の形態１における、外部ログ受信処理のシーケンスを示す図である。 図１５は、実施の形態１における、異常スコア算出処理のシーケンスを示す図である。 図１６は、実施の形態１における、異常対策処理のシーケンスを示す図である。 図１７は、実施の形態１における、異常表示処理のシーケンスを示す図である。 図１８は、実施の形態１における、車両別異常スコア算出処理のフローチャートである。 図１９は、実施の形態１における、車種別異常スコア算出処理のフローチャートである。 図２０は、実施の形態１における、エリア別異常スコア算出処理のフローチャートである。 図２１は、実施の形態１における、異常車両判定処理のフローチャートである。 図２２は、実施の形態１における、異常対策処理のフローチャートである。
　本開示の一実施態様の異常車両検出サーバは、車両システムにおいて発生したイベント内容のデータを含む車両ログを１以上の車両から受信する異常車両検出サーバであって、受信した車両ログのイベント内容に基づいて、通常の運転とは異なる不審挙動を検出し、前記車両ログと対応する車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを算出する異常スコア算出部と、前記異常スコアが所定値以上の場合に、前記車両を異常車両として判定する異常車両判定部と、を備える、異常車両検出サーバである。
　これにより、車載ネットワークシステムをリバースエンジニアリングしている疑わしさを算出することが可能となり、より疑わしい車両を把握することができるため効果的である。
　また、前記異常車両判定部は、さらに、一の車両に対して算出された異常スコアと、前記一の車両と同一の車種の異常スコアに基づく統計値を比較し、前記一の車両が異常車両であるか否かを判定するとしてもよい。
　これにより、特定の車種において発生する可能性が高い異常を除外することができ、同一車種の他の車両では発生数が少なく、より疑わしい異常および車両を抽出できるため効果的である。
　また、前記異常車両判定部は、一の車両に対して算出された異常スコアと、前記一の車両と同一のエリアに位置する車両の異常スコアに基づく統計値を比較し、前記一の車両が異常車両であるか否かを判定するとしてもよい。
　これにより、特定のエリアにおいて発生する可能性が高い異常を除外することができ、同一エリアに位置する他の車両では発生数が少なく、より疑わしい異常および車両を抽出できるため効果的である。
　また、前記異常スコア算出部は、ネットワーク機器接続頻発または、インターネット接続異常、アクセス先アドレスの変化、アクセス元アドレスの変化、ネットワークログイン試行のいずれかを不振挙動として検出し、前記不審挙動が発生した場合に、ネットワーク解析活動と判定し、車両に対して異常スコアを増加させるとしてもよい。
　これにより、攻撃者が車両システムの通信機能を解析しようとする試行をとらえることができるため効果的である。
　また、さらに、異常対策通知部を備え、前記異常スコア算出部が、前記不審挙動をネットワーク解析活動と判定した場合、前記異常対策通知部は、異常スコアの値に応じて、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告のいずれか１つ以上の対策を実施してもよい。
　これにより、攻撃者が車両システムの通信機能を解析しようとする試行を妨害することができるため効果的である。
　また、前記異常スコア算出部は、車両制御機能頻発、システムエラー頻発、システムエラー削除、システムログイン、ファイル数またはプロセス数の変化のいずれかを不審挙動として検出し、前記不審挙動が発生した場合に、システム解析活動と判定し、車両に対して異常スコアを増加させるとしてもよい。
　これにより、攻撃者が車両システムの車両制御機能やホストマシン自体を解析しようとする試行をとらえることができるため効果的である。
　また、さらに、異常対策通知部を備え、前記異常スコア算出部が、前記不審挙動をネットワーク解析活動と判定した場合、前記異常対策通知部は、異常スコアの値に応じて、車両制御機能の起動停止、車両ログの送信頻度の増加、車両ログの種類数の増加、ドライバへの警告のいずれか１つ以上の対策を実施してもよい。
　これにより、攻撃者が車両システムの車両制御機能やホストマシン自体を解析しようとする試行を妨害することができるため効果的である。
　また、前記異常スコア算出部は、前記不審挙動を検出した場合であっても、所定の期間内に前記不審挙動が発生した場合または所定のエリアにて前記不審挙動が発生した場合は、異常スコアを増加させないとしてもよい。
　これにより、開発者が車両システムの検証のために不審挙動を発生させている場合や、修理業者がエラー解除している場合、車両システムのソフトウェア更新によってファイル数が変わる場合など、誤検知を防ぐことができるため効果的である。
　また、前記異常スコア算出部は、所定の期間中に前記不審挙動が発生しなかった場合は、異常スコアを減少させるとしてもよい。
　これにより、攻撃者が攻撃対象車両を通常走行に用いる可能性は低いと考えられるため、しばらく通常走行され、不審な挙動が発生しなかった場合は、攻撃対象車両である可能性が低いと考えられるため効果的である。
　また、前記異常車両検出サーバは、さらに、前期異常車両判定装置が異常車両と判定した車両に対して、前記異常スコアの値または前記不審挙動の種別に基づいて、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告、ネットワーク接続制限と、車両制御機能制限、車両制御機能の起動停止、車両ログの送信頻度の増加、車両ログの種類数の増加、ドライバへの通知のうち、いずれか１つ以上の対策を要求する異常通知部を備えるとしてもよい。
　これにより、攻撃者によるリバースエンジニアリング活動の疑わしさが高い車両に対して、車両制御機能を制限することで攻撃者の解析を妨げることや、車両ログの種類数を増やして、攻撃内容を解析することが可能となり効率的である。
　また、前記異常車両検出サーバは、さらに、前期異常車両判定装置が異常車両と判定した車両と同一の車種に対して、前記異常スコアの値または前記不審挙動の種別に基づいて、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告、ネットワーク接続制限と、車両制御機能制限、車両制御機能の起動停止、車両ログの送信頻度の増加、車両ログの種類数の増加、ドライバへの通知のうち、いずれか１つ以上の対策を要求する異常通知部を備えるとしてもよい。
　これにより、攻撃者によるリバースエンジニアリング活動の疑わしさが高い車種に対して、車両制御機能を制限することで攻撃者の解析を妨げることや、車両ログの種類数を増やして、攻撃内容を解析することが可能となり効率的である。
　また、前記異常車両検出サーバは、さらに、前期異常車両判定装置が異常車両と判定した車両と同一のエリアに位置する車両に対して、前記異常スコアの値または前記不審挙動の種別に基づいて、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告、ネットワーク接続制限と、車両制御機能制限、車両制御機能の起動停止、車両ログの送信頻度の増加、車両ログの種類数の増加、ドライバへの通知のうち、いずれか１つ以上の対策を要求する異常通知部を備えるとしてもよい。
　これにより、攻撃者によるリバースエンジニアリング活動の疑わしさが高いエリアに対して、車両制御機能を制限することで攻撃者の解析を妨げることや、車両ログの種類数を増やして、攻撃内容を解析することが可能となり効率的である。
　また、前記異常車両検出サーバは、前記異常スコアが高い順に異常車両をリスト表示する異常表示部を備えるとしてもよい。
　これにより、異常表示部の表示内容を確認して異常車両を解析するオペレーターが、より疑わしい車両から優先的に解析することができるため効果的である。
　また、前記異常車両検出サーバは、前記異常車両と判定された車両の位置情報を地図上に表示する異常車両表示部を備えるとしてもよい。
　これにより、異常表示部の表示内容を確認して異常車両を解析するオペレーターが、異常車両がどのエリアに位置していて、どの施設で異常が発生しているかを判断でき、解析の手がかりとすることができるため効果的である。
　また、前記異常車両検出サーバは、車両に対する攻撃を、攻撃の進行度に応じて階層別に表示し、前記異常車両と判定された車両または車種、位置情報のいずれか一つの情報を、攻撃の進行度が低い偵察フェーズの階層に表示する異常車両表示部を備えるとしてもよい。
　これにより、異常表示部の表示内容を確認して異常車両を解析するオペレーターが、異常車両に対する攻撃の進行度が分かるため、解析の優先度をつけることができるため効果的である。
　以下、図面を参照しながら、本開示の実施の形態に関わる異常車両検出システムについて説明する。なお、以下で説明する実施の形態は、いずれも本開示の好ましい一具体例を示す。つまり、以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置および接続形態、ステップ、ステップの順序などは、本開示の一例であり、本開示を限定する主旨ではない。本開示は、請求の範囲の記載に基づいて特定される。したがって、以下の実施の形態における構成要素のうち、本開示の最上位概念を示す独立請求項に記載されていない構成要素は、本開示の課題を達成するために必ずしも必要ではないが、より好ましい形態を構成する構成要素として説明される。
　（実施の形態１）
　［１　異常車両検出システムの全体構成図］
　図１は、本実施の形態に関わる異常車両検出システムの全体構成を示す図である。異常車両検出システムは、異常車両検出サーバ１０、車両システム２０、除外ルール共有サーバ３０、車両ログ送信装置２００から構成され、外部ネットワークを介して異常車両検出サーバ１０と、除外ルール共有サーバ３０、車両システム２０が接続される。外部ネットワークは、例えば、インターネットである。外部ネットワーク５０の通信方法は、有線であっても無線であっても良い。また、無線通信方式は既存技術であるＷｉ－Ｆｉ（登録商標）や、３Ｇ／ＬＴＥ（Ｌｏｎｇ　Ｔｅｒｍ　Ｅｖｏｌｕｔｉｏｎ）であっても良い。
　車両システム２０は、車両ログ送信装置２００を備え、車両ログ送信装置２００は、外部ネットワークを介して、車両ログを異常車両検出サーバ１０へ送信する装置である。車両ログの詳細は後述する。図では、車両システム２０は１台のみ記載しているが、１以上の車両システム２０それぞれが、車両ログを異常車両検出サーバ１０へ送信する。
　除外ルール共有サーバ３０は、異常車両検出サーバ１０が利用する除外ルールを異常車両検出サーバ１０へ送信するサーバである。除外ルールは、例えば、車両システムの開発者によって作成され、除外ルール共有サーバ３０へアップロードされる。車両システムのソフトウェアアップデートのリストや、ディーラーまたは開発拠点、検証拠点、ディーラー、修理業者のリストである。除外ルールには、異常車両検出サーバ１０が車両ログのイベント内容と異常ルールを参照して異常スコアを算出する際に、除外対象となる異常ルールと、その期間と位置情報の少なくとも１つ以上が記載される。除外ルールの詳細は後述する。
　異常車両検出サーバ１０は車両ログ送信装置２００から車両ログを受信し、除外ルール共有サーバ３０から除外ルールを受信し、車両ログと、除外ルールと、事前に記憶された車両ログを異常と判定する条件が記載された異常ルールに基づいて車両ごとに異常スコアを算出し、異常車両を検出するサーバである。異常スコアの算出方法および異常車両の判定方法の詳細は後述する。
　［２　車両システムの構成図］
　図２は、車両システム２０の構成図である。車両システム２０は、車両ログ送信装置２００からと、セントラルＥＣＵ３００と、ＺｏｎｅＥＣＵ４００ａと、ＺｏｎｅＥＣＵ４００ｂと、ＺｏｎｅＥＣＵ４００ｃと、ＺｏｎｅＥＣＵ４００ｄと、ボディＥＣＵ５００ａと、カーナビＥＣＵ５００ｂと、ステアリングＥＣＵ５００ｃと、ブレーキＥＣＵ５００ｄを備え、車両ログ送信装置２００と、セントラルＥＣＵ３００と、ＺｏｎｅＥＣＵ４００ａと、ＺｏｎｅＥＣＵ４００ｂと、ＺｏｎｅＥＣＵ４００ｃと、ＺｏｎｅＥＣＵ４００ｄは、車載ネットワークであるイーサネット（登録商標）１３を介して接続される。ボディＥＣＵ５００ａとＺｏｎｅＥＣＵ４００ａはイーサネット１１を介して接続され、カーナビＥＣＵ５００ｂとＺｏｎｅＥＣＵ４００ｂはイーサネット１２を介して接続され、ステアリングＥＣＵ５００ｃとＺｏｎｅＥＣＵ４００ｃはＣＡＮ１４を介して接続され、ブレーキＥＣＵ５００ｄとＺｏｎｅＥＣＵ４００ｄはＣＡＮ－ＦＤ１５を介して接続される。車両ログ送信装置２００と、セントラルＥＣＵ３００は外部ネットワークにも接続される。
　車両ログ送信装置２００は、イーサネット１３を介して、セントラルＥＣＵ３００から車両ログを収集し、外部ネットワークを介して、収集した車両ログを異常車両検出サーバ１０へ送信する装置である。
　セントラルＥＣＵ３００は、ＺｏｎｅＥＣＵ４００ａ、ＺｏｎｅＥＣＵ４００ｂ、ＺｏｎｅＥＣＵ４００ｃ、ＺｏｎｅＥＣＵ４００ｄと、イーサネット１３を介して、ＺｏｎｅＥＣＵ４００ａ、ＺｏｎｅＥＣＵ４００ｂ、ＺｏｎｅＥＣＵ４００ｃ、ＺｏｎｅＥＣＵ４００ｄを制御し、車両システム全体を制御する。例えば、自動駐車や自動運転などの車両制御機能を制御する。また、車両システム内で発生したネットワーク機器の接続やインターネット接続異常などイベント情報をＺｏｎｅＥＣＵ４００ａ～ｄから収集し、収集したイベント情報を車両ログとして記憶し、車両ログを車両ログ送信装置２００へ送信する。
　ＺｏｎｅＥＣＵ４００ａ、ＺｏｎｅＥＣＵ４００ｂ、ＺｏｎｅＥＣＵ４００ｃ、ＺｏｎｅＥＣＵ４００ｄは、イーサネット１３を介して、セントラルＥＣＵ３００と他のＺｏｎｅＥＣＵと通信し、ＺｏｎｅＥＣＵ４００ａは、イーサネット１３を介して、ボディＥＣＵ５００ａと通信し、車両のロックやワイパーなど車体に関わる機能を制御し、ＺｏｎｅＥＣＵ４００ｂは、イーサネット１１を介して、カーナビＥＣＵ５００ｂと通信し、カーナビの表示を制御し、ＺｏｎｅＥＣＵ４００ｃは、ＣＡＮ１４を介して、ステアリングＥＣＵ５００ｃと通信し、ステアリングの操舵を制御し、ＺｏｎｅＥＣＵ４００ｄは、ＣＡＮ－ＦＤ１５を介して、ブレーキＥＣＵ５００ｄと通信し、ブレーキを制御する機能を有するＥＣＵである。
　ボディＥＣＵ５００ａは車両に搭載される車体に関わる機能を制御するＥＣＵである。
　カーナビＥＣＵ５００ｂは車両に搭載されるカーナビの表示を制御するＥＣＵである。
　ステアリングＥＣＵ５００ｃは車両に搭載されるステアリングの操舵を制御するＥＣＵである。
　ブレーキＥＣＵ５００ｄは車両に搭載されるブレーキを制御するＥＣＵである。
　［３　異常車両検出サーバの構成図］
　図３は、異常車両検出サーバ１０の構成図である。異常車両検出サーバ１０は、サーバ側通信部１０１と、車両ログ受信部１０２と、車両ログ記憶部１０３と、除外ルール受信部１０４と、ルール記憶部１０５と、異常スコア算出部１０６と、異常スコア記憶部１０７と、異常車両判定部１０８と、異常対策通知部１０９と、異常表示部１１０とで構成される。
　サーバ側通信部１０１は、外部ネットワークを介して、車両ログ送信装置２００から車両ログを受信し、車両ログ受信部１０２へ送信する。また、除外ルール共有サーバ３０から除外ルールを受信し、除外ルールを除外ルール受信部１０４へ送信する。
　車両ログ受信部１０２は、サーバ側通信部１０１から車両ログを受信し、車両ログ記憶部１０３へ記憶する。
　除外ルール受信部１０４は、サーバ側通信部１０１から除外ルールを受信し、ルール記憶部１０５へ記憶する。
　ルール記憶部１０５は、事前に、車両ログに含まれるイベントのうち異常と判定する条件が記載された異常ルールと、異常ルールに記載された異常カテゴリと異常スコアに応じた対策内容が記載された対策ルールを記憶する。また、除外ルール受信部１０４が除外ルール共有サーバ３０から受信した除外ルールを記憶する。
　異常スコア算出部１０６は、車両ログを受信すると、ルール記憶部１０５から異常ルールと除外ルールを取得し、車両ログに記載されたイベントと、異常ルールと、除外ルールに基づき、車両１台ごとに異常スコアを算出する。そして、異常スコア記憶部１０７に異常スコアを記録する。異常スコアの算出方法の詳細については後述する。
　異常車両判定部１０８は、異常スコア記憶部１０７が記憶する異常スコアを参照し、攻撃を試行されていると推測される異常車両を検出する。異常車両の検出方法の詳細については後述する。
　異常対策通知部１０９は、異常車両判定部１０８が異常車両と判定した車両または異常車両と同一の車種、異常車両と同一のエリアに位置する車両に対して、異常対策通知を送信する。異常対策通知は、例えば、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告、ネットワーク接続制限と、車両制御機能制限、車両制御機能の起動停止、車両ログの送信頻度の増加、車両ログの種類数の増加、ドライバへの通知のうち、いずれか１つ以上の対策であり、車両システム２０の車両ログ送信装置２００またはセントラルＥＣＵ３００へ通知することとで実現する。
　異常表示部１１０は、異常車両判定部１０８が異常車両と判定した車両または異常車両と同一の車種、異常車両と同一のエリアに位置する車両をユーザに対して表示する。例えば、異常車両検出サーバ１０を利用して解析を行うオペレーターがユーザであり、グラフィカルユーザーインターフェースを用いて表示する。
　［４　車両ログ送信装置の構成図］
　図４は、車両ログ送信装置の２００の構成図である。車両ログ送信装置は、車両側通信部２１０と、車両ログ送信部２２０と、異常対策部２３０と、で構成される。
　車両側通信部２１０は、外部ネットワークを介して、異常車両検出サーバ１０と接続され、情報を交換する。
　車両ログ送信部２２０は、イーサネット１３を介して、セントラルＥＣＵ３００と接続され、セントラルＥＣＵ３００から車両ログを受信し、車両側通信部２１０を経由して、異常車両検出サーバ１０へ車両ログを送信する。
　異常対策部２３０は、異常車両検出サーバ１０が異常車両を検出した場合、異常車両検出サーバ１０が送信した異常対策通知を受信し、異常対策通知の内容に応じて、セントラルＥＣＵ３００または車両ログ送信部２２０へ対策を指示する。例えば、対策通知内容が車両制御機能制限である場合はセントラルＥＣＵ３００へ機能制限を指示し、対策通知内容が車両ログの送信頻度の増加であれば、車両ログ送信部２２０へ送信頻度の増加を指示する。
　［５　車両ログの一例］
　図５は、車両ログ記憶部１０３に格納される車両ログの一例である。車両ログは車両システム内で発生したイベント内容であり、異常スコア算出部１０６が異常スコアを算出する際に用いられる。車両ログは、イベントごとに、車両ログ番号、車両識別子、車種、時刻、車両位置情報、イベント名で構成される。図では、車両ログは番号が１である行では、車両と１対１で対応する車両識別子が「Ａ１」であり、車両の車種を表す車種が「Ａ」であり、イベント発生時刻を表す時刻が「ＴＡ１１」であり、イベント発生時の車両の位置を表す車両位置情報が「Ｘ１、Ｙ１」であり、イベント名が「ネットワーク機器登録」であることを示している。例えば、車両位置情報はＧＰＳ情報を用いてイベントが発生した時刻における車両の位置情報である。ネットワーク機器登録およびネットワーク機器削除は、例えば、スマートフォンがＢｌｕｅｔｏｏｔｈ（登録商標）でカーナビＥＣＵ５００ｂと接続または削除されたイベントである。または、タブレット機器がカーナビＥＣＵ５００ｂとＷｉ―Ｆｉで接続または削除されたイベントである。
　また、車両制御機能作動は、緊急ブレーキ作動や自動駐車モードの起動など、車両システムを制御する機能が作動したイベントである。
　また、システムエラー発生は、セントラルＥＣＵ３００が、ＺｏｎｅＥＣＵ４００ａ～ｄ上で発生したエラーまたは、イーサネット１３、イーサネット１１、イーサネット１２、ＣＡＮ１４、ＣＡＮ－ＦＤ１５上にて発生したネットワークエラーが発生したイベントであり、システムエラー解除は、ディーラー等で利用される車両診断ツールを用いて、システムエラーを解除されたイベントである。
　また、アドレスＡへアクセスは、カーナビＥＣＵ５００ｂがアドレスＡのＷｅｂサーバに対してアクセスしたイベントである。
　また、アドレスＢからアクセスは、また、アドレスＢのサーバからカーナビＥＣＵ５００ｂに対してアクセスがあったイベントである。
　また、システムログインは、カーナビＥＣＵ５００ｂに対してログインが試行されたイベントである。
　ファイル数増加は、セントラルＥＣＵ３００上に格納されるファイルの種類数が増加したイベントである。
　つまり、車両識別子が同一で、イベント名がネットワーク機器登録である行と、イベント名がネットワーク機器削除である行を参照することで、時刻ＴＡ１１からＴＡ１２の間で、ネットワーク機器が１個接続され、その後１個減少したことが分かる。
　また、車両識別子が同一で、イベント名がインターネット切断である行と、直近の時刻で発生したイベント名がインターネット接続の行を参照することで、時刻の差からインターネット切断時間を得ることができる。ＶＰＮ切断およびＶＰＮ接続についても同様である。
　また、アドレスＡへのアクセスアクセス先アドレスの変化車両ログ番号が７である行と８である行の車両ログを参照することで、緊急ブレーキが、時刻ＴＡ２３に「Ｘ１、Ｙ１」というエリアで発動し、時刻ＴＡ２４に、「Ｘ１、Ｙ１」というエリアで発動したことがわかる。以降では車両位置情報をエリアとして表記することもある。
　また、車両ログ番号が７である行と８である行の車両ログを参照することで、緊急ブレーキが、時刻ＴＡ２３に「Ｘ１、Ｙ１」というエリアで発動し、時刻ＴＡ２４に、「Ｘ１、Ｙ１」というエリアで発動したことがわかる。以降では車両位置情報をエリアとして表記することもある。
　また、イベント名がアドレスＡへアクセスのイベントと、イベント名がアドレスＢへのアクセスのイベントを参照すれば、カーナビＥＣＵ５００ｂが２のアドレスへアクセスしたことが分かるため、アクセス先アドレスの変化を取得することができる。
　また、イベント名がファイル数またはプロセス数が増加のイベントを複数参照すれば、ファイル数またはプロセス数の変化を取得することができる。
　［６　異常ルールの一例］
　図６は、ルール記憶部１０５に格納される異常ルールの一例である。異常ルールは異常ルール番号、異常ルール内容、期間、回数、異常スコア、異常カテゴリからなる。図のルール番号「１」の行では、ルール内容が「ネットワーク機器接続」であり、期間が「１時間」であり、回数が「４」であり、異常スコアが「＋１」であることが分かる。例えば、車両ログから１時間以内のネットワーク接続数を取得し、４回以上であれば、異常スコアを「＋１」するというルールが記載される。また、期間「―」は期間を考慮しないことを示し、例えば、異常ルール番号が８の行では、車両ログからシステムログイン回数を取得し、１回以上であれば異常スコアを「＋５」するというルールが記載される。
　ネットワーク機器接続は、攻撃者がスマートフォンなどの端末を車両システムにつなげることで、侵入を図る際に増加するため、１時間に４回の接続は異常として判定する。
　インターネットまたはＶＰＮ遮断は、攻撃者が車両システムと車両システムと接続されるサーバの通信を傍受する場合または、攻撃者が攻撃発覚を恐れて意図的に切断する場合に発生するため、１０分間で１回以上発生した場合に異常として判定する。
　アクセス先アドレスの変化は、攻撃者が車両システムに対して、悪意のあるＵＲＬへアクセスさせようと試行した際に変化するため、１回で異常として判定する。
　アクセス元アドレスの変化は、攻撃者が車両システムに対して、ポートスキャンなど攻撃を試行した際に変化するため、１回で異常として判定する。
　車両制御機能作動は、攻撃者が緊急ブレーキの発動コマンドを調査する際に、緊急ブレーキを複数回発動させる際に発生するため、１時間に１０回以上で異常として判定する。
　システムエラー発生は、攻撃者が車両システムをブルートフォース攻撃した際に、エラーとなるような通信を発生させてしまう場合に発生するため、２４時間以内に２回以上で異常として判定する。
　システムエラー解除は、攻撃者がシステムエラーを発生させてしまった場合に、車両診断ツールなどを用いて自らシステムエラーを消去する場合に発生するため、１回以上で異常として判定する。
　システムログインは、攻撃者が車両システムに対してユーザログインを試行した場合に発生するため、１回で異常として判定する。
　ファイル数またはプロセス数の変化は、攻撃者がマルウェアを車両システムにインストールした際に、ファイル数が増加または、プロセス数が増加するため、１回以上で異常として判定する。
　異常カテゴリは、ネットワーク解析またはシステム解析のいずれかが記載され、ネットワーク解析は攻撃者が車両システムの通信機能を解析している可能性が高いことを示し、ネットワーク解析は攻撃者が車両システムのホストマシンを解析している可能性が高いことを示す。異常カテゴリは異常対策時に、効果的な異常対策手段を選択するために利用される。
　［７　除外ルールの一例］
　図７は、ルール記憶部１０５に格納される除外ルールの一例である。図では、１つの除外ルールごとに、除外ルール番号、位置情報、有効期間、内容、除外対象異常ルールが記載される。
　図の除外ルール番号が３である行では、位置情報がＸ６．Ｙ６であり、有効期限が設定なしを表す「―」であり、内容が修理業者Ａであり、除外対象ルールがシステムエラー解除である。つまり、位置情報Ｘ６．Ｙ６には、修理業者Ａが存在するため、システムエラーを専用ツールで解除する可能性があるため、異常ルールにおいてシステムエラー解除のイベントを異常と判定せずに、異常スコアをカウントしないことを表す。
　また、図の除外ルール番号が４である行では、位置情報「日本」、有効期間「Ｔ３～Ｔ４」、内容「ソフト更新」、除外対象ルール「ファイル数の変化またはプロセス数の変化」である。つまり、有効期間Ｔ３～Ｔ４の間は、車両システムのソフトウェア更新のため、ファイル数が増えることがあるため、ファイル数またはプロセス数の変化を異常と判定せず、異常スコアをカウントしないことを表す。
　また。図の番号Ｍの行では、位置情報Ｘ４、Ｙ４ではトンネルがあることがわかるため、攻撃者によらないインターネットまたはＶＰＮ切断であることから、異常と判定せずに異常スコアをカウントしないことを表す。
　［８　異常スコアの一例］
　図８は、異常スコア記憶部１０７に格納される異常スコアの一例である。異常スコアは異常スコア算出部１０６によって車両ログと、異常ルールと、除外ルールを用いて算出される。異常スコアは、車両ごとの異常スコアである車両別異常スコアと、車種ごとの異常スコアの平均である車種別平均異常スコアと、エリア別の異常スコアの平均であるエリア別平均異常スコアから構成される。
　車両別異常スコアでは、異常ルール番号ごとに異常スコアが算出される。異常スコアの算出方法は後述する。例えば、異常ルール番号が２である行では、車両識別子がＡ１である車両の異常スコアが１であることを示している。また、最後に異常と判定されたイベントの発生時刻である最終異常日時が格納される。最終異常日時を確認することで、特定の車両に対して、異常が発生していない期間を取得することができ、攻撃者が攻撃をしていない、つまり、異常が一定期間発生していない車両に対しては異常スコアを低下させることができる。
　車種別平均異常スコアでは、異常ルール番号と車種ごとに異常スコアが算出し、車種ごとの平均値が格納される。例えば、異常ルール番号が１である行では、車種Ａの平均異常スコアが０であることを示している。
　エリア別平均異常スコアでは、異常ルール番号と車種ごとに異常スコアが算出し、車種ごとの平均値が格納される。例えば、異常ルール番号が６である行では、車種Ａの平均異常スコアが０．５であることを示している。
　［９　対策ルールの一例］
　図９は、ルール記憶部に格納される対策ルールの一例である。対策ルールは、対策ルール番号と、異常カテゴリと、異常スコア、対策ルール内容から構成される。異常対策通知部１０９は、異常と判定された車両の異常スコアを参照し、異常スコアが最も高い異常ルールの異常カテゴリと、異常スコアの値を取得し、異常カテゴリと異常スコアの値に応じて対策ルールを選択し、対策ルール内容を異常対策部２３０へ通知する。
　例えば、異常カテゴリがネットワーク解析で、異常スコアが２５であった場合、対策ルール内容は、「アクセス先とアクセル元アドレスを制限」を選択する。
　異常スコアの値の大きさによって、攻撃者が攻撃を試行している可能性を把握することができるため、異常スコアが大きいほど、より攻撃者の攻撃試行を妨害する対策を講じることができる。異常スコアが小さい場合、攻撃者の攻撃試行の可能性は低いため、車両システムの通常利用に影響がない範囲での対策を講じることができる。
　ネットワークインターフェースを遮断は、外部ネットワークとのインタフェースを利用不能にし、インターネット接続を完全に遮断する対策である。
　アクセス先とアクセス元アドレスを制限は、インターネットのアクセス先のアドレスを一部に制限し、アクセス元アドレスおよびポートを一部に制限することで、攻撃者のネットワーク解析を妨害する対策である。
　ネットワーク接続機器数を制限は、ネットワーク接続機器を少数に制限することで、ＷｉＦｉパスワードに対するブルートフォース攻撃などのネットワーク解析を妨害する対策である。
　車両制御機能を停止は、例えば、自動駐車モードや緊急ブレーキの発動自体を停止することで、攻撃者のシステム解析を妨害する対策である。
　車両ログの送信頻度を増加は、車両ログが定常時には１時間に１回送信である場合に、１０分に１回送信に変更することで、攻撃者のシステム解析の状況をより詳細に捉えるための対策である。
　車両ログの種類数を増加は、車両ログが定常時には２種類である場合に、５種類に変更することで、攻撃者のシステム解析の状況をより詳細に捉えるための対策である。
　ドライバへの警告は、攻撃者であった場合に、車両システムを監視していることを通知することで、今後の解析を妨害する対策である。
　［１０　異常スコアリスト表示画面の一例］
　図１０は、異常表示部１１０が表示する異常スコアリスト表示画面の一例である。異常スコアの大きい順に車両識別子を並べる。これにより、異常車両検出サーバ１０を利用するオペレーターは、より攻撃が疑われる車両を容易に見つけ出すことができ、優先的に車両ログを解析することができる。
　［１１　異常スコア地図表示画面の一例］
　図１１は、異常表示部１１０が表示する異常スコア地図表示画面の一例である。画面には、地図が表示されており、地図上に緯度がＸ２、Ｘ３、Ｘ４と表示され、経度がＹ２、Ｙ３、Ｙ４と表示されている。また、異常車両と判定された車両の最新の位置情報の地点、例えば、Ｘ４、Ｙ４を異常車両として地図上に表示している。また、異常車両と判定された車両が位置するエリア、例えばＸ３、Ｙ３を異常エリアとして地図上に表示している。
　これにより、オペレーターは容易に攻撃者が攻撃試行している可能性が高い車が存在する位置を直観的に把握することができ、地図上の施設名から、状況を推測することができる。
　［１２　異常スコア段階表示画面の一例］
　図１２は、異常表示部１１０が表示する異常スコア段階表示画面の一例である。画面には攻撃の進行度を表すフェーズである、偵察、武器化、デリバリー、エクスプロイト、インストール、Ｃ＆Ｃ、目的実行を段階に分けて表示されており、異常車両と判定された車両識別子Ａ１の車両が現在偵察フェーズであることを示している。
　これにより、オペレーターは、車両Ａ１に対する攻撃がどの程度進行しているかを直観的に把握することができる。
　［１３　車両ログ受信処理のシーケンス］
　図１３は、本開示の実施の形態１における異常車両検出サーバ１０が、車両システム２０から車両ログを受信して記憶するまでの処理シーケンスを示している。
　車両システム２０のセントラルＥＣＵ３００は、イーサネット１３を介して車両ログを収集し、収集した車両ログを車両ログ送信装置２００の車両ログ送信部２２０に送信する（Ｓ１３０１）。
　車両ログ送信装置２００の車両ログ送信部２２０は、車両側通信部２１０へ車両ログを送信する（Ｓ１３０２）。
　車両ログ送信装置２００の車両側通信部２１０は、外部ネットワークを介して、異常車両検出サーバ１０のサーバ側通信部１０１へ車両ログを送信する（Ｓ１３０３）。
　異常車両検出サーバ１０のサーバ側通信部１０１は、車両ログを受信し、車両ログ受信部１０２へ転送する（Ｓ１３０４）。
　異常車両検出サーバ１０の車両ログ受信部１０２は、車両ログを受信し、車両ログ記憶部１０３に格納する（Ｓ１３０５）。
　［１４　除外ルール受信処理のシーケンス］
　図１４は、本開示の実施の形態１における異常車両検出サーバ１０が、除外ルール共有サーバ３０から除外ルールを受信して記憶するまでの処理シーケンスを示している。
　除外ルール共有サーバ３０は、外部ネットワークを介して、除外ルールを異常車両検出サーバ１０のサーバ側通信部１０１に送信する（Ｓ１４０１）。
　異常車両検出サーバ１０のサーバ側通信部１０１は、除外ルールを受信し、除外ルール受信部１０４へ転送する（Ｓ１４０２）。
　異常車両検出サーバ１０の除外ルール受信部１０４は、除外ルールを受信し、ルール記憶部１０５に格納する（Ｓ１４０３）。
　［１５　異常スコア算出処理のシーケンス］
　図１５は、本開示の実施の形態１における異常車両検出サーバ１０が、異常スコアを算出し、異常車両を検出するまでの処理シーケンスを示している。
　異常車両検出サーバ１０の異常スコア算出部１０６は、車両ログ記憶部１０３から車両ログを取得し、ルール記憶部１０５から除外ルールと異常ルールを取得する（Ｓ１５０１）。
　異常スコア算出部１０６は、取得した車両ログと、除外ルールと、異常ルールに基づき、異常スコアを算出して、異常スコア記憶部１０７に格納する（Ｓ１５０２）。
　異常スコア算出部１０６は、異常スコア算出後、異常車両判定部１０８へ通知する（Ｓ１５０３）。
　異常車両判定部１０８は、異常スコア記憶部１０７から異常スコアを取得し、異常車両を検出する（Ｓ１５０４）。
　［１６　異常対策処理のシーケンス］
　図１６は、本開示の実施の形態１における異常車両検出サーバ１０が、異常車両を検出後、異常に対して対策を講じるまでの処理シーケンスを示している。
　異常車両検出サーバ１０の異常車両判定部１０８は、検出した異常車両の車両識別子と、車種と、エリアと、異常スコアを異常対策通知部１０９へ送信する（Ｓ１６０１）。
　異常車両検出サーバ１０の異常対策通知部１０９は、受信した異常車両の車両識別子に対応する車両または、受信した異常車両の車種と同一の車種の車両、受信した異常車両のエリアと同一エリアに位置する車両へ通知するよう、サーバ側通信部１０１へ送信する（Ｓ１６０２）。
　異常車両検出サーバ１０のサーバ側通信部１０１は、外部ネットワークを介して、Ｓ１６０２の通知を車両ログ送信装置２００の車両側通信部２１０へ送信する（Ｓ１６０３）。
　車両ログ送信装置２００の車両側通信部２１０は、Ｓ１６０２の通知を異常対策部２３０へ送信する（Ｓ１６０４）。
　車両ログ送信装置２００の異常対策部２３０は、車両ログ送信部２２０へ異常対策を要求する（Ｓ１６０５）。例えば、車両ログの種類量や頻度の増加を要求する。
　車両ログ送信装置２００の異常対策部２３０は、イーサネット１３を介して、セントラルＥＣＵ３００へ異常対策を要求する（Ｓ１６０６）。例えば、車両制御機能の制限を要求する。
　［１７　異常表示処理のシーケンス］
　図１７は、本開示の実施の形態１における異常車両検出サーバ１０が、異常車両を検出後、異常をオペレーターへ表示するまでの処理シーケンスを示している。
　異常車両検出サーバ１０の異常車両判定部１０８は、検出した異常車両の車両識別子と、車種と、エリアと、異常スコアを異常表示部１１０へ送信する（Ｓ１７０１）。
　異常車両検出サーバ１０の異常表示部１１０は、受信した異常車両の車両識別子と、車種と、エリアを、グラフィカルユーザーインターフェースを用いて表示する（Ｓ１７０２）。
　[１８　車両別異常スコア算出処理のフローチャート]
　図１８に、本開示の実施の形態１における異常スコア算出部１０６の車両別異常スコア算出処理のフローチャートを示す。
　異常スコア算出部１０６は、変数ｉを用意し、ｉ＝１とする（Ｓ１８０１）。そして、Ｓ１８０２を実施する。ここでｉは１～Ｎの値で、Ｎは異常ルール数を表す。
　異常ルールｉを選択し（Ｓ１８０２）、Ｓ１８０３を実施する。
　車両ログに記載されるイベント内容と、位置情報と、時刻と、除外ルールを参照し、異常ルールｉが除外対象異常ルールでない場合、Ｓ１８０４を実行し、異常ルールｉが除外対象異常ルールである場合、Ｓ１８０５を実行する（Ｓ１８０３）。
　車両ログに記載されるイベント内容と位置情報と時刻と、除外ルールを参照し、車両ログのイベントが異常ルールｉと合致し、異常であると判定される場合、Ｓ１８０６を実施する（Ｓ１８０４）。また、車両ログのイベントが異常ルールｉと合致せず、異常でないと判定される場合、Ｓ１８０５を実行する。
　異常スコアに記載される最終異常日時を参照し、現在の日時から２４時間経過している場合、Ｓ１８０７を実施する（Ｓ１８０５）。
　車両ログに記載される車両識別子と対応する異常スコアを、異常ルールｉに記載された異常スコア分を加算し（Ｓ１８０６）、Ｓ１８０８を実施する。
　車両ログに記載される車両識別子と対応する異常スコアを、０に変更し（Ｓ１８０７）、Ｓ１８０８を実施する。
　ｉがＮである場合、終了し、そうでない場合Ｓ１８０９を実施する（Ｓ１８０８）。
　ｉを１インクリメントし（Ｓ１８０９）、Ｓ１８０２を実施する。
　[１９　車種別異常スコア算出処理のフローチャート]
　図１９に、本開示の実施の形態１における異常スコア算出部１０６の車種別異常スコア算出処理のフローチャートを示す。
　異常スコア算出部１０６は、車両別異常スコアを取得する（Ｓ１９０１）。
　変数ｉを用意し、ｉ＝１とする（Ｓ１９０２）。そして、Ｓ１９０３を実施する。ここでｉは１～Ｎの値で、Ｎは異常ルール数を表す。
　異常ルールｉを選択し（Ｓ１９０３）、Ｓ１９０４を実施する。
　車種ごとに、すべての車両の車両別異常スコアから、異常ルールｉと対応する異常スコアを抽出し、平均値を算出する（Ｓ１９０４）。
　ｉがＮである場合、終了し、そうでない場合Ｓ１９０６を実施する（Ｓ１９０５）。
　ｉを１インクリメントし（Ｓ１９０６）、Ｓ１９０３を実施する。
　[２０　エリア別異常スコア算出処理のフローチャート]
　図２０に、本開示の実施の形態１における異常スコア算出部１０６の車種別異常スコア算出処理のフローチャートを示す。
　異常スコア算出部１０６は、車両別異常スコアを取得する（Ｓ２００１）。
　変数ｉを用意し、ｉ＝１とする（Ｓ２００２）。そして、Ｓ２００３を実施する。ここでｉは１～Ｎの値で、Ｎは異常ルール数を表す。
　異常ルールｉを選択し（Ｓ２００３）、Ｓ２００４を実施する。
　エリアごとに、すべての車両の車両別異常スコアから、異常ルールｉと対応する異常スコアを抽出し、平均値を算出する（Ｓ２００４）。
　ｉがＮである場合、終了し、そうでない場合Ｓ２００９を実施する（Ｓ２００５）。
　ｉを１インクリメントし（Ｓ２００６）、Ｓ２００２を実施する。
　[２１　異常車両検出処理のフローチャート]
　図２１に、本開示の実施の形態１における異常車両判定部１０８の異常車両検出処理のフローチャートを示す。
　異常車両判定部１０８は、特定車両を選択し、選択した車両の異常スコアを取得し（Ｓ２１０１）、Ｓ２１０２と、Ｓ２１０４と、Ｓ２１０６を実施する。ここで異常スコアは車両別異常スコア、車種別異常スコア、エリア別異常スコアを含む。
　異常スコアが１０よりも大きい場合に、Ｓ２１０３を実施し、そうでない場合に、終了する（Ｓ２１０２）。
　選択中の車両を異常車両として検出し（Ｓ２１０３）、終了する。
　異常スコアが選択中の車両と同一車種の車種別異常平均スコアよりも大きい場合に、Ｓ２１０５を実施し、そうでない場合に、終了する（Ｓ２１０４）。
　選択中の車両を異常車両として検出し、異常スコアを２倍にして、異常スコア記憶部１０７に格納し（Ｓ２１０５）、終了する。これにより、通常とより異なる挙動を示す車両の異常スコアを大きくすることができ、優先的に解析することができる。
　異常スコアが選択中の車両と同一エリアに位置するエリア別異常平均スコアよりも大きい場合に、Ｓ２１０７を実施し、そうでない場合に、終了する（Ｓ２１０６）。
　選択中の車両を異常車両として検出し、異常スコアを２倍にして、異常スコア記憶部１０７に格納し（Ｓ２１０７）、終了する。これにより、通常とより異なる挙動を示す車両の異常スコアを大きくすることができ、優先的に解析することができる。
　[２２　異常対策処理のフローチャート]
　図２２に、本開示の実施の形態１における異常対策通知部１０９の異常対策処理のフローチャートを示す。
　異常車両判定部１０８が検出した異常車両の情報を取得し（Ｓ２２０１）、Ｓ２２０２を実施する。
　異常車両と判定された車両の異常スコアを参照し、異常スコアの値が最も大きい異常ルールと対応する異常カテゴリを抽出し（Ｓ２２０２）、Ｓ２２０３を実施する。
　異常カテゴリが、ネットワーク解析である場合、Ｓ２２０４を実施し、そうでない場合、Ｓ２２０５を実施する（Ｓ２２０３）。
　ルール記憶部が記憶する対策ルールに基づいて、異常カテゴリと異常スコアの値を参照し、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告のいずれか１つ以上の対策を選択する（Ｓ２２０４）。そして、車両側通信部２１０へその対策を通知し、終了する。
　異常カテゴリが、システム解析である場合、Ｓ２２０６を実施し、そうでない場合、終了する（Ｓ２２０５）。
　ルール記憶部が記憶する対策ルールに基づいて、異常カテゴリと異常スコアの値を参照し、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告のいずれか１つ以上の対策を選択する（Ｓ２２０６）。そして、車両側通信部２１０へその対策を通知し、終了する。
　［その他変形例］
　なお、本開示を上記各実施の形態に基づいて説明してきたが、本開示は、上記各実施の形態に限定されないのはもちろんである。以下のような場合も本開示に含まれる。
　（１）上記の実施の形態では、自動車に搭載される車載ネットワークにおけるセキュリティ対策として説明したが、適用範囲はこれに限られない。自動車に限らず、建機、農機、船舶、鉄道、飛行機などのモビリティにも適用してもよい。
　すなわち、モビリティネットワークおよびモビリティネットワークシステムにおけるサイバーセキュリティ対策として適用可能である。
　また、工場やビルなどの産業制御システムで利用される通信ネットワークや、組込みデバイスを制御するための通信ネットワークに適用してもよい。
　（２）上記の実施の形態において、異常ルールに記載される、期間と、回数、異常スコアの値は、変更してもよい。攻撃が疑われる特定の条件を満たした場合に異常スコアが加算されればよい。
　（３）上記の実施の形態において、異常スコア算出部１０６は、異常ルールごとに異常スコアを算出すると説明したが、異常ルールすべてを適応した異常スコアの合計値を算出してもよい。
　（４）上記の実施の形態において、異常スコア算出部１０６は、車種とエリアごとに異常スコアの平均値を算出すると説明したが、合計値または中央値のような統計値を用いてもよい。
　（５）上記の実施の形態において、異常スコアリスト表示画面は、異常スコアの高い順に表示させると説明したが、異常スコアの昇順または降順にソートできる機能を用意してもよい。
　（６）上記の実施の形態において、異常スコア地図表示画面は、異常エリアと異常車両を地図上に表示すると説明したが、異常エリアと異常車両はそれぞれ複数表示してもよく、異常スコアを合わせて表示してもよい。
　（７）上記の実施の形態において、異常スコア段階表示画面は、特定の異常車両の攻撃進行度を示す段階別に表示すると説明したが、すべての段階を表示する必要はなく、偵察フェーズのみを表示してもよい。
　（８）上記の実施の形態において、異常スコア算出処理のフローチャートでは、最終異常日時から２４時間経過していた場合、異常スコアを０にすると説明したが、必ずしも２４時間である必要はなく所定の時間であればよい。また、異常スコアを必ずしも０にする必要はなく、減少させてもよい。
　（９）上記の実施の形態において、異常車両検出処理のフローチャートでは、異常スコアが車種別異常平均スコアよりも大きい場合とエリア別異常平均スコアよりも大きい場合に、異常スコアを２倍すると説明したが、必ずしも２倍である必要はなく、固定値を加えるなど異常スコアが大きくなればよい。
　（１０）上記の実施の形態における各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
　（１１）上記の実施の形態における各装置は、構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ　Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。ＲＡＭには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。
　また、上記の各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部又はすべてを含むように１チップ化されてもよい。
　また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサーを利用しても良い。
　さらには、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。
　（１２）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。ＩＣカードまたはモジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。ＩＣカードまたはモジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、ＩＣカードまたはモジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。
　（１３）本開示は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、コンピュータプログラムからなるデジタル信号であるとしてもよい。
　また、本開示は、コンピュータプログラムまたはデジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標）　Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記デジタル信号であるとしてもよい。
　また、本開示は、コンピュータプログラムまたはデジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。
　また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、メモリは、上記コンピュータプログラムを記録しており、マイクロプロセッサは、コンピュータプログラムにしたがって動作するとしてもよい。
　また、プログラムまたはデジタル信号を記録媒体に記録して移送することにより、またはプログラムまたはデジタル信号を、ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
　（１４）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。
　本開示は、車載システムのログから、攻撃者によるリバースエンジニアリング活動が疑われる異常な挙動を検知し、異常スコアを算出する。さらに、同一車種や同一エリアの車載システムと異常スコアを比較することで、正常車両とは異なる攻撃対象となっている可能性の高い異常車両を検知する。そして、異常車両に対して、異常スコアと異常カテゴリに応じた対策を実施することで異常な車両を優先的に適切に解析することを可能とする。
　１０　異常車両検出サーバ
　１１、１２、１３　イーサネット
　１４　ＣＡＮ
　１５　ＣＡＮ－ＦＤ
　２０　車両システム
　３０　除外ルール共有サーバ
　２００　車両ログ送信装置
　３００　セントラルＥＣＵ
　４００ａ、４００ｂ、４００ｃ、４００ｄ　ＺｏｎｅＥＣＵ
　５００ａ　ボディＥＣＵ
　５００ｂ　カーナビＥＣＵ
　５００ｃ　ステアリングＥＣＵ
　５００ｄ　ブレーキＥＣＵ
　１０１　サーバ側通信部
　１０２　車両ログ受信部
　１０３　車両ログ記憶部
　１０４　除外ルール受信部
　１０５　ルール記憶部
　１０６　異常スコア算出部
　１０７　異常スコア記憶部
　１０８　異常車両判定部
　１０９　異常対策通知部
　１１０　異常表示部
　２１０　車両側通信部
　２２０　車両ログ送信部
　２３０　異常対策部

Claims (16)

  1. 　車両システムにおいて発生したイベント内容のデータを含む車両ログを１以上の車両から受信する異常車両検出サーバであって、
    　受信した車両ログのイベント内容に基づいて、通常の運転とは異なる不審挙動を検出し、前記車両ログと対応する車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを算出する異常スコア算出部と、
    　前記異常スコアが所定値以上の場合に、前記車両を異常車両として判定する異常車両判定部と、
    　を備える、異常車両検出サーバ。
  2. 　前記異常車両判定部は、さらに、一の車両に対して算出された異常スコアと、前記一の車両と同一の車種の異常スコアに基づく統計値を比較し、前記一の車両が異常車両であるか否かを判定する、
    　請求項１記載の異常車両検出サーバ。
  3. 　前記異常車両判定部は、
    　一の車両に対して算出された異常スコアと、前記一の車両と同一のエリアに位置する車両の異常スコアに基づく統計値を比較し、前記一の車両が異常車両であるか否かを判定する、
    　請求項１記載の異常車両検出サーバ。
  4. 　前記異常スコア算出部は、ネットワーク機器接続頻発または、インターネット接続異常、診断コマンド頻発、アクセス先アドレスの変化、アクセス元アドレスの変化のいずれかを不審挙動として検出し、前記不審挙動が発生した場合に、ネットワーク解析活動と判定し、車両に対して異常スコアを増加させる、
    　請求項１から３のいずれか１項に記載の異常車両検出サーバ。
  5. 　さらに、異常対策通知部を備え、
    　前記異常スコア算出部が、前記不審挙動をネットワーク解析活動と判定した場合、前記異常対策通知部は、異常スコアの値に応じて、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告のいずれか１つ以上の対策を実施する、
    　請求項４記載の異常車両検出サーバ。
  6. 　前記異常スコア算出部は、車両制御機能頻発、システムエラー頻発、システムエラー削除、故障コード頻発、システムログイン、ファイル数またはプロセス数の変化のいずれかを不審挙動として検出し、前記不審挙動が発生した場合に、システム解析活動と判定し、車両に対して異常スコアを増加させる、
    　請求項１から３のいずれか１項に記載の異常車両検出サーバ。
  7. 　さらに、異常対策通知部を備え、
    　前記異常スコア算出部が、前記不審挙動をネットワーク解析活動と判定した場合、前記異常対策通知部は、異常スコアの値に応じて、車両制御機能の起動停止、車両ログの送信頻度の増加、車両ログの種類数の増加、ドライバへの警告のいずれか１つ以上の対策を実施する、
    　請求項６記載の異常車両検出サーバ。
  8. 　前記異常スコア算出部は、前記不審挙動を検出した場合であっても、所定の期間内に前記不審挙動が発生した場合または所定のエリアにて前記不審挙動が発生した場合は、異常スコアを増加させない、
    　請求項１から７のいずれか１項に記載の異常車両検出サーバ。
  9. 　前記異常スコア算出部は、所定の期間中に前記不審挙動が発生しなかった場合は、異常スコアを減少させる、
    　請求項１から８のいずれか１項に記載の異常車両検出サーバ。
  10. 　前記異常車両検出サーバは、さらに、前期異常車両判定装置が異常車両と判定した車両に対して、前記異常スコアの値または前記不審挙動の種別に基づいて、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告、ネットワーク接続制限と、車両制御機能制限、車両制御機能の起動停止、車両ログの送信頻度の増加、車両ログの種類数の増加、ドライバへの通知のうち、いずれか１つ以上の対策を要求する異常通知部を備える、
    　請求項１から９のいずれか１項に記載の異常車両検出サーバ。
  11. 　前記異常車両検出サーバは、さらに、前記異常車両判定装置が異常車両と判定した車両と同一の車種に対して、前記異常スコアの値または前記不審挙動の種別に基づいて、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告、ネットワーク接続制限と、車両制御機能制限、車両制御機能の起動停止、車両ログの送信頻度の増加、車両ログの種類数の増加、ドライバへの通知のうち、いずれか１つ以上の対策を要求する異常通知部を備える、
    　請求項１から９のいずれか１項に記載の異常車両検出サーバ。
  12. 　前記異常車両検出サーバは、さらに、前記異常車両判定装置が異常車両と判定した車両と同一のエリアに位置する車両に対して、前記異常スコアの値または前記不審挙動の種別に基づいて、ネットワークインターフェースの遮断、アクセス先とアクセス元のアドレスの制限、ネットワーク接続機器数の制限、ドライバへの警告、ネットワーク接続制限と、車両制御機能制限、車両制御機能の起動停止、車両ログの送信頻度の増加、車両ログの種類数の増加、ドライバへの通知のうち、いずれか１つ以上の対策を要求する異常通知部を備える、
    　請求項１から９のいずれか１項に記載の異常車両検出サーバ。
  13. 　前記異常車両検出サーバは、前記異常スコアが高い順に異常車両をリスト表示する異常車両表示部を備える、
    　請求項１から１２のいずれか１項に記載の異常車両検出サーバ。
  14. 　前記異常車両検出サーバは、前記異常車両と判定された車両の位置情報を地図上に表示する異常車両表示部を備える、
    　請求項１から１２のいずれか１項に記載の異常車両検出サーバ。
  15. 　前記異常車両検出サーバは、車両に対する攻撃を、攻撃の進行度に応じて階層別に表示し、前記異常車両と判定された車両または車種、位置情報のいずれか一つの情報を、攻撃の進行度が低い偵察フェーズの階層に表示する異常車両表示部を備える、
    　請求項１から１２のいずれか１項に記載の異常車両検出サーバ。
  16. 　車両システムにおいて発生したイベント内容のデータを含む車両ログを１以上の車両から受信する異常車両検出方法であって、
    　受信した車両ログのイベント内容に基づいて、通常の運転とは異なる不審挙動を検出し、前記車両ログと対応する車両に対してリバースエンジニアリングが行われている可能性を示す異常スコアを算出する異常スコア算出ステップと、
    　前記異常スコアが所定値以上の場合に、前記車両を異常車両として判定する異常車両判定ステップと、
    　を備える、異常車両検出方法。
PCT/JP2019/034264 2019-08-30 2019-08-30 異常車両検出サーバおよび異常車両検出方法 WO2021038870A1 (ja)

Priority Applications (6)

Application Number Priority Date Filing Date Title
PCT/JP2019/034264 WO2021038870A1 (ja) 2019-08-30 2019-08-30 異常車両検出サーバおよび異常車両検出方法
PCT/JP2020/032208 WO2021039851A1 (ja) 2019-08-30 2020-08-26 異常車両検出サーバおよび異常車両検出方法
CN202080009570.0A CN113302953A (zh) 2019-08-30 2020-08-26 异常车辆检测服务器以及异常车辆检测方法
EP20858312.0A EP4024249A4 (en) 2019-08-30 2020-08-26 ABNORMAL VEHICLE DETECTION SERVERS AND ABNORMAL VEHICLE DETECTION METHODS
JP2021542969A JPWO2021039851A1 (ja) 2019-08-30 2020-08-26
US17/380,228 US11829472B2 (en) 2019-08-30 2021-07-20 Anomalous vehicle detection server and anomalous vehicle detection method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/034264 WO2021038870A1 (ja) 2019-08-30 2019-08-30 異常車両検出サーバおよび異常車両検出方法

Publications (1)

Publication Number Publication Date
WO2021038870A1 true WO2021038870A1 (ja) 2021-03-04

Family

ID=74684786

Family Applications (2)

Application Number Title Priority Date Filing Date
PCT/JP2019/034264 WO2021038870A1 (ja) 2019-08-30 2019-08-30 異常車両検出サーバおよび異常車両検出方法
PCT/JP2020/032208 WO2021039851A1 (ja) 2019-08-30 2020-08-26 異常車両検出サーバおよび異常車両検出方法

Family Applications After (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/032208 WO2021039851A1 (ja) 2019-08-30 2020-08-26 異常車両検出サーバおよび異常車両検出方法

Country Status (5)

Country Link
US (1) US11829472B2 (ja)
EP (1) EP4024249A4 (ja)
JP (1) JPWO2021039851A1 (ja)
CN (1) CN113302953A (ja)
WO (2) WO2021038870A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP4312400A1 (en) 2022-07-27 2024-01-31 Fujitsu Limited Attack situation output program, attack situation output device, and attack situation output system

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021144860A1 (ja) * 2020-01-14 2021-07-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車両ログ保存装置、車両ログ送信装置、車両ログ収集システムおよび車両ログ保存方法
WO2023112493A1 (ja) * 2021-12-17 2023-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 脅威情報展開システム、脅威情報展開方法およびプログラム
CN114954586B (zh) * 2022-06-16 2023-12-26 中车青岛四方机车车辆股份有限公司 智能化运营系统、方法、装置、设备、产品及轨道车辆
WO2024070078A1 (ja) * 2022-09-27 2024-04-04 パナソニックオートモーティブシステムズ株式会社 情報処理装置、情報処理装置の制御方法及びプログラム

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017005422A (ja) * 2015-06-08 2017-01-05 日本電信電話株式会社 検知システム、検知方法および検知プログラム
JP2017111796A (ja) * 2015-12-16 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
WO2018168291A1 (ja) * 2017-03-13 2018-09-20 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 情報処理方法、情報処理システム、及びプログラム
JP2018530066A (ja) * 2015-09-30 2018-10-11 シマンテック コーポレーションＳｙｍａｎｔｅｃ Ｃｏｒｐｏｒａｔｉｏｎ 低信頼度のセキュリティイベントによるセキュリティインシデントの検出
JP2019129529A (ja) * 2018-01-22 2019-08-01 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ データ解析装置及びプログラム

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5664799B2 (ja) 2011-12-22 2015-02-04 トヨタ自動車株式会社 通信システム及び通信方法
EP3274845B1 (en) * 2015-03-26 2021-07-07 Red Bend Ltd. Security systems and method for identification of in-vehicle attack originator
JP6956624B2 (ja) 2017-03-13 2021-11-02 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 情報処理方法、情報処理システム、及びプログラム
JP2019129528A (ja) * 2018-01-22 2019-08-01 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ データ解析装置及びプログラム
US20200216027A1 (en) * 2019-01-04 2020-07-09 Byton North America Corporation Detecting vehicle intrusion using command pattern models
US11546353B2 (en) * 2019-07-18 2023-01-03 Toyota Motor North America, Inc. Detection of malicious activity on CAN bus

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017005422A (ja) * 2015-06-08 2017-01-05 日本電信電話株式会社 検知システム、検知方法および検知プログラム
JP2018530066A (ja) * 2015-09-30 2018-10-11 シマンテック コーポレーションＳｙｍａｎｔｅｃ Ｃｏｒｐｏｒａｔｉｏｎ 低信頼度のセキュリティイベントによるセキュリティインシデントの検出
JP2017111796A (ja) * 2015-12-16 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
WO2018168291A1 (ja) * 2017-03-13 2018-09-20 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 情報処理方法、情報処理システム、及びプログラム
JP2019129529A (ja) * 2018-01-22 2019-08-01 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ データ解析装置及びプログラム

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP4312400A1 (en) 2022-07-27 2024-01-31 Fujitsu Limited Attack situation output program, attack situation output device, and attack situation output system

Also Published As

Publication number Publication date
WO2021039851A1 (ja) 2021-03-04
CN113302953A (zh) 2021-08-24
EP4024249A1 (en) 2022-07-06
US20210349997A1 (en) 2021-11-11
EP4024249A4 (en) 2022-10-26
JPWO2021039851A1 (ja) 2021-03-04
US11829472B2 (en) 2023-11-28

Similar Documents

Publication Publication Date Title
WO2021038870A1 (ja) 異常車両検出サーバおよび異常車両検出方法
EP4106298B1 (en) Vehicle anomaly detection server, vehicle anomaly detection system, and vehicle anomaly detection method
JP7197638B2 (ja) セキュリティ処理方法及びサーバ
EP3915843A1 (en) Vehicle security monitoring device, method, and program
WO2019142458A1 (ja) 車両監視装置、不正検知サーバ、および、制御方法
WO2017104112A1 (ja) セキュリティ処理方法及びサーバ
US20190182267A1 (en) Vehicle security manager
US20210044612A1 (en) In-vehicle apparatus and incident monitoring method
WO2022049894A1 (ja) 制御モード切替装置、および、制御モード切替方法
WO2021038869A1 (ja) 車両監視装置および車両監視方法
WO2021145144A1 (ja) 侵入経路分析装置および侵入経路分析方法
CN112600839A (zh) 基于车联网平台构建安全威胁关联视图的方法及装置
US20220050925A1 (en) Automotive data sharing and consent management platform
JP2022024266A (ja) ログ分析装置
US11971982B2 (en) Log analysis device
WO2023048187A1 (ja) 車両セキュリティ分析装置、方法およびそのプログラム
JP2012096600A (ja) 不正監視システムおよびそれに用いられる車載装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19942863

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19942863

Country of ref document: EP

Kind code of ref document: A1