WO2021186857A1 - 優先度判定システム、優先度判定方法及びプログラム - Google Patents

優先度判定システム、優先度判定方法及びプログラム Download PDF

Info

Publication number
WO2021186857A1
WO2021186857A1 PCT/JP2021/000425 JP2021000425W WO2021186857A1 WO 2021186857 A1 WO2021186857 A1 WO 2021186857A1 JP 2021000425 W JP2021000425 W JP 2021000425W WO 2021186857 A1 WO2021186857 A1 WO 2021186857A1
Authority
WO
WIPO (PCT)
Prior art keywords
abnormality
priority
task
risk value
data
Prior art date
Application number
PCT/JP2021/000425
Other languages
English (en)
French (fr)
Inventor
翔一朗 関屋
唯之 鳥崎
Original Assignee
パナソニックＩｐマネジメント株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニックＩｐマネジメント株式会社 filed Critical パナソニックＩｐマネジメント株式会社
Priority to DE112021001648.2T priority Critical patent/DE112021001648T5/de
Publication of WO2021186857A1 publication Critical patent/WO2021186857A1/ja
Priority to US17/900,283 priority patent/US11748157B2/en
Priority to US18/220,532 priority patent/US20230350714A1/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/46—Multiprogramming arrangements
    • G06F9/48—Program initiating; Program switching, e.g. by interrupt
    • G06F9/4806—Task transfer initiation or dispatching
    • G06F9/4843—Task transfer initiation or dispatching by program, e.g. task dispatcher, supervisor, operating system
    • G06F9/4881—Scheduling strategies for dispatcher, e.g. round robin, multi-level priority queues
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q10/00—Administration; Management
    • G06Q10/04—Forecasting or optimisation specially adapted for administrative or management purposes, e.g. linear programming or "cutting stock problem"
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q50/00—Information and communication technology [ICT] specially adapted for implementation of business processes of specific business sectors, e.g. utilities or tourism
    • G06Q50/10—Services
    • G—PHYSICS
    • G08—SIGNALLING
    • G08G—TRAFFIC CONTROL SYSTEMS
    • G08G1/00—Traffic control systems for road vehicles
    • G—PHYSICS
    • G08—SIGNALLING
    • G08G—TRAFFIC CONTROL SYSTEMS
    • G08G1/00—Traffic control systems for road vehicles
    • G08G1/123—Traffic control systems for road vehicles indicating the position of vehicles, e.g. scheduled vehicles; Managing passenger vehicles circulating according to a fixed timetable, e.g. buses, trains, trams
    • G08G1/127—Traffic control systems for road vehicles indicating the position of vehicles, e.g. scheduled vehicles; Managing passenger vehicles circulating according to a fixed timetable, e.g. buses, trains, trams to a central station ; Indicators in a central station
    • G08G1/13—Traffic control systems for road vehicles indicating the position of vehicles, e.g. scheduled vehicles; Managing passenger vehicles circulating according to a fixed timetable, e.g. buses, trains, trams to a central station ; Indicators in a central station the indicator being in the form of a map
    • G—PHYSICS
    • G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
    • G16Y—INFORMATION AND COMMUNICATION TECHNOLOGY SPECIALLY ADAPTED FOR THE INTERNET OF THINGS [IoT]
    • G16Y20/00—Information sensed or collected by the things
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis

Definitions

  • This disclosure relates to a priority determination system, a priority determination method, and a program.
  • Patent Document 1 a device that analyzes the content of the abnormality and accurately notifies an operator who manages the abnormality has been disclosed (for example, Patent Document 1). ).
  • the priority of the alert to be notified to the operator is determined according to the source or frequency of occurrence of the alert, so that the operator is notified according to the determined priority. Alerts can be notified with high accuracy.
  • the present disclosure provides a priority determination system and the like that can be further improved.
  • the priority determination system shows an abnormality acquisition unit that acquires a plurality of abnormality data indicating an abnormality of each of the plurality of moving objects, and a status of each of the plurality of moving objects.
  • a status acquisition unit that acquires a plurality of status data
  • a risk value calculation unit that calculates a risk value indicating the risk of abnormality based on the status data of the corresponding moving object for each of the plurality of abnormality data, and the plurality.
  • a priority determination unit that determines the priority of each task for dealing with the abnormality indicated by each of the plurality of abnormal data, and an output based on the result of the determination are output. It is provided with an output unit to be used.
  • the priority determination method acquires a plurality of abnormality data indicating the respective abnormalities of the plurality of moving objects, and each obtains a plurality of abnormality data indicating the respective situations of the plurality of moving objects.
  • Situation data is acquired, and for each of the plurality of abnormal data, a risk value indicating the risk of abnormality is calculated based on the status data of the corresponding moving object, and based on the risk value of each of the plurality of abnormal data. Therefore, the priority for each task for dealing with the abnormality indicated by each of the plurality of abnormality data is determined, and output is performed based on the result of the determination.
  • the program according to one aspect of the present disclosure is a program for causing a computer to execute the above-mentioned priority determination method.
  • the priority determination system and the like according to one aspect of the present disclosure can be further improved.
  • FIG. 1 is a configuration diagram showing an example of a priority determination system according to the embodiment.
  • FIG. 2 is a flowchart showing an example of the operation of the priority determination system according to the embodiment.
  • FIG. 3A is a diagram showing an example of situation data.
  • FIG. 3B is a diagram showing an example of information on the vehicle type A.
  • FIG. 4 is a diagram showing an example of a magnification for correcting the basic risk value.
  • FIG. 5 is a diagram showing an example of a task for dealing with an abnormality, a risk value allocation rate, and an expected response time.
  • FIG. 6 is a diagram for explaining a specific example of the operation of the priority determination system when the same abnormality occurs in two moving bodies.
  • FIG. 1 is a configuration diagram showing an example of the priority determination system 10 in the embodiment. Note that FIG. 1 also shows a plurality of mobile bodies 100 (for example, automobiles) and terminals 200 that are communicably connected to the priority determination system 10.
  • mobile bodies 100 for example, automobiles
  • terminals 200 that are communicably connected to the priority determination system 10.
  • Each of the plurality of mobile bodies 100 is, for example, a vehicle such as an automobile equipped with an in-vehicle network such as CAN (Control Area Network), and is a connected car capable of wireless communication with a priority determination system 10 or the like.
  • each of the plurality of mobile bodies 100 shows an abnormality such as an external attack, fraud, or failure in an in-vehicle network or an ECU (Electronic Control Unit) connected to the in-vehicle network.
  • the data is transmitted to the priority determination system 10.
  • Each of the plurality of mobile bodies 100 transmits log data in the vehicle-mounted network to an abnormality detection server or the like that performs abnormality detection, and is detected by the abnormality detection server or the like to the priority determination system 10 based on the log data.
  • each of the plurality of mobile bodies 100 transmits status data indicating their own status to the priority determination system 10.
  • each of the plurality of mobile bodies 100 may transmit status data to the priority determination system 10 at all times or at specific timings.
  • the terminal 200 monitors a plurality of moving objects 100 (for example, several hundreds, several thousands, etc.), collects abnormality information, analyzes the contents of the abnormality when the abnormality is detected, and notifies SIRT (Security Incident Response Team) or the like. It is a terminal used by an analyst such as SOC (Security Operation Center). For example, the terminal 200 can use software such as SIEM (Security Information and Event Management). It is assumed that the priority determination system 10 cooperates with SIEM or SOAR (Security Orchestration Automation and Response) as a server system.
  • SIEM Security Information and Event Management
  • the priority determination system 10 outputs an output based on the result of the priority determination of the task for dealing with the abnormality, and the analyst copes with the abnormality occurring in many mobile bodies 100. It is possible to effectively execute a task according to the output from a large number of tasks to be performed.
  • the terminal 200 is capable of wired communication or wireless communication with the priority determination system 10.
  • the priority determination system 10 is a computer for determining the priority of a task executed by an analyst, for example, a server.
  • the priority determination system 10 includes a processor, a memory, a communication interface, and the like.
  • the memory is a ROM (Read Only Memory), a RAM (Random Access Memory), or the like, and can store a program executed by the processor.
  • the priority determination system 10 includes an abnormality acquisition unit 11, a situation acquisition unit 12, a situation storage unit 13, a risk value calculation unit 14, a priority determination unit 15, a rule storage unit 16, a task definition storage unit 17, and an output unit 18. ..
  • the abnormality acquisition unit 11, the status acquisition unit 12, the risk value calculation unit 14, the priority determination unit 15, and the output unit 18 are realized by a processor or the like that executes a program stored in the memory.
  • the situation storage unit 13, the rule storage unit 16, and the task definition storage unit 17 are realized by the memory, but the memory for storing the program, the situation storage unit 13, the rule storage unit 16, and the task definition storage unit 17 are different from each other. It may be a memory or a single memory.
  • the components constituting the priority determination system 10 may be distributed and arranged on a plurality of servers.
  • the abnormality acquisition unit 11 acquires a plurality of abnormality data.
  • Each of the plurality of abnormality data indicates an abnormality of each of the plurality of mobile bodies 100.
  • the abnormality acquisition unit 11 acquires a plurality of abnormality data from a plurality of mobile bodies 100 (or an abnormality detection server or the like) via a communication interface or the like provided in the priority determination system 10.
  • the status acquisition unit 12 acquires a plurality of status data.
  • Each of the plurality of status data indicates the respective status of the plurality of mobile bodies 100.
  • the status acquisition unit 12 acquires a plurality of status data from a plurality of mobile bodies 100, a roadside machine, a server, or the like via a communication interface or the like provided in the priority determination system 10.
  • each of the plurality of situation data indicates the type information indicating the type of the moving body 100, the position information indicating the position of the moving body 100, the traffic information of the point corresponding to the position information, and the traveling state of the moving body 100. Includes at least one piece of running state information.
  • the status acquisition unit 12 may acquire position information and running state information from the mobile body 100, and from the server, the type information managed by the server or the occurrence status of an abnormality (for example, a popular attack) or the like. May be acquired, or traffic information of the place where the abnormality of the moving body 100 has occurred may be acquired from the roadside machine. It should be noted that each of the plurality of status data may be a combination of this information and information from another server or the like.
  • the situation storage unit 13 stores a plurality of situation data acquired by the situation acquisition unit 12.
  • the position information includes information indicating the position of the moving body 100 at each time
  • the traveling state information includes information indicating the traveling state of the moving body 100 at each time.
  • the risk value calculation unit 14 calculates a risk value indicating the risk of abnormality for each of the plurality of abnormality data based on the situation data of the corresponding mobile body 100. The details of the risk value calculation unit 14 will be described later.
  • the priority determination unit 15 determines the priority for each task for dealing with the abnormality indicated by each of the plurality of abnormal data based on the respective risk values of the plurality of abnormal data. For example, the priority determination unit 15 determines the risk value of each of the plurality of abnormal data and the predetermined index value for each task, for example, the rate at which the risk is reduced by executing each task and the execution for each task. Determine the priority for each task based on at least one of the required times. Specifically, the priority determination unit 15 sets the risk value of each of the plurality of abnormal data and the predetermined index value for each task, for example, the rate at which the risk is reduced by executing each task. The priority for each task is determined based on the time required for execution for each task.
  • the details of the priority determination unit 15 will be described later.
  • the predetermined index value for each task may be a value indicating the load for each task, a value indicating the degree of influence on the risk, or the like.
  • the priority determination unit 15 periodically performs the determination every time a task is executed or every time an abnormality is detected.
  • the rule storage unit 16 stores the rule used when the risk value calculation unit 14 calculates the risk value and the rule used when the priority determination unit 15 determines the priority. Details of these rules will be described later.
  • the information stored in the rule storage unit 16 may be updated by an instruction from the terminal 200 or the like.
  • the task definition storage unit 17 stores the correspondence between the abnormality indicated by each of the plurality of abnormality data and one or more tasks for dealing with the abnormality. Further, the task definition storage unit 17 stores, for each task, the ratio of the risk reduced by executing the task (also referred to as the allocation rate of the risk value) and the expected response time required to complete the task. Details of these will be described later.
  • the information stored in the task definition storage unit 17 may be updated according to an instruction from the terminal 200 or the like.
  • the output unit 18 outputs to the terminal 200 based on the result of the priority determination by the priority determination unit 15. The details of the output from the output unit 18 will be described later.
  • FIG. 2 is a flowchart showing an example of the operation of the priority determination system 10 in the embodiment.
  • the abnormality acquisition unit 11 acquires a plurality of abnormality data indicating each abnormality of the plurality of moving bodies 100 (step S11). For example, there are many mobile bodies 100 monitored by the terminal 200, and the abnormality acquisition unit 11 acquires a large number of abnormality data accordingly.
  • the status acquisition unit 12 acquires a plurality of status data indicating the respective statuses of the plurality of mobile bodies 100 (step S12).
  • a specific example of the situation data will be described with reference to FIG. 3A.
  • FIG. 3A is a diagram showing an example of situation data.
  • the situation data includes, for example, running state information indicating that the running state of the moving body 100 when an abnormality occurs is “running”. Further, the situation data includes, for example, position information indicating that the position of the moving body 100 when an abnormality occurs is an "urban area”. Further, the situation data includes, for example, type information indicating that the type of the moving body is "vehicle type A”. The "vehicle type A" indicates that the moving body 100 is, for example, a moving body as shown in FIG. 3B.
  • FIG. 3B is a diagram showing an example of information on vehicle type A.
  • Vehicle type A is a vehicle model in which the market number is 5000 units, the estimated damage amount at the time of a problem is less than the profit in the previous term, and the usage is a commercial vehicle model. Is shown.
  • step S11 and the processing in step S12 may be performed in the reverse order or in parallel.
  • the risk value calculation unit 14 calculates an abnormality risk value for each of the plurality of abnormality data based on the status data of the corresponding mobile body 100 (step S13). For example, the risk value calculation unit 14 first determines the basic risk value for each of the plurality of abnormal data.
  • the basic risk value is a value calculated according to the type of abnormality, and can be determined (for example, calculated) using, for example, a score value by SIEM or a score value by CTI (Cyber Threat Intelligence).
  • the risk value calculated by the risk value calculation unit 14 is, for example, a value obtained by correcting the basic risk value determined according to the type of abnormality by using the situation data of the corresponding mobile body 100. For example, the greater the risk value obtained by correcting the basic risk value, the greater the risk of the abnormality.
  • the magnification for correcting the basic risk value will be described with reference to FIG.
  • FIG. 4 is a diagram showing an example of a magnification for correcting the basic risk value.
  • the rule storage unit 16 stores a rule for correcting the basic risk value of an abnormality occurring in the moving body 100 of a vehicle model of "less than 1000 units in the market" by 1.0 times.
  • the rule to correct the basic risk value of the abnormality that occurred in the moving body 100 of the vehicle type of "market number of 1000 or more and less than 10000" is memorized by 1.2 times, and the moving body of the vehicle type of "market number of 10000 or more” is memorized.
  • the rule for correcting the basic risk value of the abnormality generated at 100 by 2.0 times is stored.
  • the influence of the abnormality is small even if the number of vehicles in the market is small and the number of vehicles in the market is less than 1000, the influence of the abnormality is small.
  • the basic risk value is not significantly corrected.
  • the mobile 100 of the vehicle type of "market number of 10,000 or more” has a large influence when the market number is large and an abnormality occurs. Therefore, the abnormality that occurred in the mobile 100 of the vehicle type of "market number of 10,000 or more"
  • the basic risk value of is greatly corrected.
  • the rule storage unit 16 has a rule for correcting the basic risk value of an abnormality occurring in the moving body 100 of a vehicle model having a “estimated damage amount less than the previous period profit” by 1.0 times. Is memorized, and the rule for correcting the basic risk value of the abnormality occurring in the moving body 100 of the vehicle type of "estimated damage amount equal to or more than the previous term profit" by 2.0 times is memorized. Since the estimated damage amount of the moving object 100 of the vehicle type having the “estimated damage amount less than the previous term profit” is small, the basic risk value of the abnormality occurring in the moving object 100 of the vehicle type having the “estimated damage amount less than the previous period profit” is not largely corrected.
  • the correction value may be stored in association with the vehicle type, or may be stored in association with the number of units in the market or the estimated damage amount.
  • the vehicle type and the market number or the estimated damage amount for each vehicle type may be stored in the priority determination system 10 as an intermediate value. It may be obtained by inquiring from the priority determination system 10 to an external system.
  • the rule storage unit 16 stores a rule for correcting the basic risk value of an abnormality occurring in the moving body 100, which is a “household vehicle”, by 1.0 times.
  • the rule for correcting the basic risk value of the abnormality that occurred in the moving body 100 that is the "business vehicle” by 1.2 times is stored, and the basic risk value of the abnormality that occurred in the moving body 100 that is the "emergency vehicle” is 2.
  • the rule to correct to 0 times is stored. Since the mobile body 100, which is a "household vehicle", is less likely to be used frequently, the probability that a problem will occur even if an abnormality occurs is low. The basic risk value is not significantly corrected.
  • the mobile body 100 which is a "business vehicle”
  • the probability that a problem will occur when an abnormality occurs increases. Therefore, the basic risk value of the abnormality that occurs in the mobile body 100, which is a "business vehicle”, is It is corrected more than "household vehicle". Since the moving body 100 which is an "emergency vehicle” is a vehicle having a high social importance, the basic risk value of the abnormality generated in the moving body 100 which is an "emergency vehicle” is greatly corrected.
  • the rule storage unit 16 stores a rule for correcting the basic risk value of the abnormality generated in the moving body 100 located in the “countryside” by 1.0 times.
  • a rule for correcting the basic risk value of an abnormality generated in the moving body 100 located in the "urban area” by 2.0 times is stored. Since there are few people and traffic is light in the countryside, the basic risk value of the abnormality that occurred in the moving body 100 located in the "countryside” is not greatly corrected. Since there are many people and heavy traffic in urban areas, the basic risk value of anomalies occurring in the moving body 100 located in the "urban area” is greatly corrected.
  • the rule storage unit 16 stores a rule for correcting the basic risk value of an abnormality generated in the “stopped” moving body 100 by 1.0 times, and “running”.
  • the rule for correcting the basic risk value of the abnormality generated in the moving body 100 of "medium” by 2.0 times is stored. Since the "stopped” mobile body 100 is stopped and is unlikely to be in a dangerous state even if an abnormality occurs, the basic risk value of the abnormality generated in the "stopped” mobile body 100 is not largely corrected. Since the "running" moving body 100 is likely to be in a dangerous state when the moving body 100 is running and an abnormality occurs, the basic risk value of the abnormality generated in the "running” moving body 100 is greatly corrected.
  • the moving body 100 in which the abnormality has occurred is running (magnification 2.0), is located in an urban area (magnification 2.0), and the vehicle type is vehicle type A.
  • the risk value can be calculated as follows.
  • Risk value basic risk value x 2.0 x 2.0 x 1.2 x 1.0 x 1.2
  • the risk value calculation unit 14 corrects the basic risk value for each of the plurality of abnormal data by using the status data of the corresponding moving body 100 (moving body 100 in which the abnormality has occurred) to correct the risk of abnormality. Calculate the value.
  • the priority determination unit 15 determines the priority for each task for dealing with each of the plurality of abnormal data based on the respective risk values of the plurality of abnormal data calculated by the risk value calculation unit 14. (Step S14). The task for dealing with the abnormality will be described with reference to FIG.
  • FIG. 5 is a diagram showing an example of a task for dealing with an abnormality, a risk value allocation rate, and an expected response time.
  • the user of the moving body 100 is notified of the occurrence of the abnormality as a task for dealing with the abnormality.
  • each task is associated with a risk value allocation rate and an expected response time.
  • the rate of risk mitigated by executing "user notification” is 0.10 (10%), and the expected response time required to complete “user notification” is 1 second. That is, the risk value of "illegal communication in IVI” can be reduced by 10% by executing "user notification” over 1 second.
  • connection disconnection The rate of risk mitigated by executing "connection disconnection” is 0.40 (40%), and the expected response time required to complete “connection disconnection” is 10 seconds. That is, the risk value of "illegal communication in IVI” can be reduced by 40% by executing "connection disconnection” over 10 seconds.
  • the rate of risk mitigated by executing "detailed analysis” is 0.10 (10%), and the expected response time required to complete “detailed analysis” is 3600 seconds. That is, the risk value of "illegal communication in IVI” can be reduced by 10% by executing "detailed analysis” over 3600 seconds.
  • the percentage of risk mitigated by executing "permanent patch distribution” is 0.40 (40%), and the expected response time required to complete “permanent patch distribution” is 60 seconds. .. That is, the risk value of "illegal communication with IVI” can be reduced by 40% by executing "permanent patch distribution" over 60 seconds.
  • the priority for each task is determined to be higher for tasks with a higher rate of risk reduction by execution, and higher for tasks with a shorter execution time. That is, the priority determination unit 15 raises the priority of the task that can greatly reduce the risk in a short time.
  • the rule storage unit 16 stores a rule that can be expressed by the following priority calculation formula, and the priority determination unit 15 inputs the risk value allocation rate and the expected response time to the calculation formula. By substituting, the priority for each task is determined.
  • rvdec is the amount of risk value reduction
  • rv is the risk value
  • rratio the risk value allocation rate
  • p is the importance of the task (tasks with higher importance are preferentially executed). Therefore, p can be said to be the priority of the task)
  • ⁇ is the tuning weight
  • test is the expected response time.
  • the priority of the task changes significantly when the allocation rate of the risk value and the expected response time are extremely small or extremely large, so the following formula is used to determine the priority. May be done.
  • ⁇ is 1 or more.
  • the rule storage unit 16 stores rules so that the priority of "permanent patch distribution" does not become higher than the priority of "detailed analysis”. For example, by adjusting the tuning weight depending on the task, the priority of a specific task can be lowered or raised.
  • the task definition storage unit 17 stores the correspondence between various abnormalities and one or more tasks in addition to the “illegal communication in IVI”, and the priority determination unit 15 stores various abnormalities.
  • the priority for each task can be determined by referring to the task definition storage unit 17. Although a plurality of tasks are associated with "illegal communication in IVI", there may be an abnormality in which only one task is associated.
  • the priority determination unit 15 determines the priority for each task based on the risk value calculated by the risk value calculation unit 14. Specifically, the priority determination unit 15 raises the priority of a task having a higher rate of risk reduction by being executed (in other words, a task having a smaller rate of risk reduction by being executed). Lower priority), and higher priority for tasks that take less time to execute a task (in other words, lower priority for tasks that take longer to execute a task).
  • the output unit 18 outputs to the terminal 200 based on the result of the determination by the priority determination unit 15 (step S15). For example, the output unit 18 outputs an alert to the terminal 200 as an output based on the result of the determination, prompting the terminal 200 to execute the task with the highest priority, and the terminal 200 displays the alert or outputs the voice. By doing so, the analyst may be made to execute the task with the highest priority. It should be noted that the priority determination and the output based on the determination result may be performed when a new abnormality is detected, may be performed periodically, or may be performed in combination thereof. ..
  • FIG. 6 is a diagram for explaining a specific example of the operation of the priority determination system 10 when the same abnormality occurs in the two moving bodies 100.
  • the IVI abnormal communication occurs in the vehicle X of the vehicle type A and the IVI abnormal communication occurs in the vehicle Y of the vehicle type B (steps S101a and S101b).
  • the risk value calculation unit 14 determines, for example, "100" as the basic risk value for the abnormality that occurred in the vehicle X of the vehicle type A and the abnormality that occurred in the vehicle Y of the vehicle type B (steps S102a and S102b). Since each abnormality is the same type of abnormality, the basic risk value is also the same.
  • the risk value calculation unit 14 calculates the risk value of the abnormality occurring in the vehicle X of the vehicle type A as "120", and calculates the risk value of the abnormality occurring in the vehicle Y of the vehicle type B as "110" ( Steps S103a and S103b). For example, since vehicle type A has a greater influence when an abnormality occurs than vehicle type B, the risk value of abnormality in vehicle X of vehicle type A is higher than the risk value of abnormality in vehicle Y of vehicle type B. Is also getting bigger.
  • the priority determination unit 15 sets the priority (importance) for each task to "user notification: 12", “connection cutoff: 4.8", and "permanent patch” for the abnormality that occurred in the vehicle X of the vehicle type A. "Delivery: 0.08" is judged, and for the abnormality that occurred in vehicle Y of vehicle type B, the priority (importance) for each task is "user notification: 11", “connection cutoff: 4.4", “permanent patch”. Delivery: 0.07 ”(steps S104a and S104b). That is, the user notification for the IVI abnormal communication of the vehicle X has the highest priority, and thereafter, the user notification for the IVI abnormal communication of the vehicle Y, the connection cutoff for the IVI abnormal communication of the vehicle X, and so on.
  • the output unit 18 outputs the output based on the result of the determination, so that the user is first notified of the IVI abnormal communication of the vehicle X having the highest priority, and then the IVI of the vehicle Y having the second highest priority.
  • the user is notified about the abnormal communication (step S105).
  • the tasks may be performed in order from the task having the highest priority.
  • two anomalies specifically, two anomalies of the same type
  • the terminal 200 has many moving objects other than the vehicles X and Y. We are monitoring 100, and various abnormalities other than these abnormalities can occur. Therefore, for each of the many abnormalities, the priority for each task is determined, and the priority is given for many tasks.
  • the priority determination system 10 has an abnormality acquisition unit 11 that acquires a plurality of abnormality data indicating each abnormality of the plurality of moving bodies 100, and a plurality of situation data indicating the respective situations of the plurality of moving bodies 100, respectively.
  • the risk value calculation unit 14 that calculates the risk value of the abnormality based on the status data of the corresponding moving body 100 for each of the status acquisition unit 12 and the plurality of abnormality data, and the risk value calculation unit 14 that calculates the abnormality risk value, and each of the plurality of abnormality data.
  • a priority determination unit 15 for determining the priority for each task for dealing with an abnormality indicated by each of a plurality of abnormality data based on a risk value, and an output unit 18 for outputting based on the determination result are provided. ..
  • the priority for each task for dealing with the abnormality is determined based on the risk value, it becomes difficult to ignore the abnormality with a large risk value. Further, even when the same attack is performed on a plurality of moving bodies 100, the risk value differs depending on the situation of the attacked moving body 100, that is, for each task determined based on the risk value. Since the priorities are also different, it becomes easy to determine which task should be executed for which abnormality of the moving body 100. In this way, it is possible to provide the priority determination system 10 capable of further improvement.
  • each of the plurality of situation data indicates the type information indicating the type of the moving body 100, the position information indicating the position of the moving body 100, the traffic information of the point corresponding to the position information, and the traveling state of the moving body 100. It may include at least one piece of running state information.
  • At least one piece of information such as type information, location information, traffic information and driving condition information that can affect the risk of abnormality can be reflected in the risk value.
  • the risk value may be a value obtained by correcting the basic risk value determined according to the type of abnormality by using the situation data of the corresponding mobile body 100.
  • the risk value can be easily calculated by correcting the basic risk value that can be easily determined according to the type of abnormality by using the situation data.
  • the priority for each task may be determined based on the risk value of each of the plurality of abnormal data and the predetermined index value for each task.
  • the priority for each task can be easily determined based on the risk value of each of the plurality of abnormal data and the predetermined index value for each task.
  • the predetermined index value for each task may be at least one of the rate at which the risk is reduced by executing each task and the time required for execution for each task.
  • the priority determination unit 15 may periodically determine the priority every time a task is executed or every time an abnormality is detected.
  • the priority can be automatically determined at these timings.
  • the abnormality acquisition unit 11, the situation acquisition unit 12, the situation storage unit 13, and the risk value calculation unit 14 may be arranged on the moving body 100.
  • the mobile body 100 in which these components are arranged may acquire the status data from the server that collects the status data of each of the plurality of mobile bodies 100, or each of the plurality of mobile bodies 100 may acquire the status data.
  • the situation data of each of the plurality of mobile bodies 100 may be shared.
  • the priority determination unit 15 may be arranged on the moving body 100.
  • the mobile body 100 in which the priority determination unit 15 is arranged may inquire the server including the task definition storage unit 17 about the task for dealing with the abnormality, the risk value allocation rate, the expected response time, and the like. , Each of the plurality of mobile bodies 100 may share this information.
  • the priority for each task is the risk value of each of the plurality of abnormal data and the risk due to the execution of each task.
  • An example of determination based on both the rate of reduction and the time required to execute each task has been described, but the present invention is not limited to this.
  • the priority for each task is based on the risk value of each of the plurality of abnormal data, the rate at which the risk is reduced by executing the task, and the time required for the execution of each task. It may be determined.
  • the priority determination system 10 may process the abnormal data in which the abnormal occurrence locations are close to each other as one abnormal data among the plurality of abnormal data.
  • the terminal 200 can perform wired communication or wireless communication with the priority determination system 10, and the priority determination system 10 (output unit 18) gives priority to the terminal 200.
  • the priority of each determined task may be provided to an automation tool such as SOAR, and the task may be automatically processed based on the determined priority.
  • the function of the priority determination system 10 may be implemented in an automation tool such as SOAR, and the output based on the result of the priority determination may be performed from the automation tool.
  • the moving body 100 is not limited to a vehicle, but may be a train, an aircraft (for example, an unmanned aerial vehicle), a ship, or the like.
  • the present disclosure can be realized not only as a priority determination system 10 but also as a priority determination method including steps (processes) performed by each component constituting the priority determination system 10.
  • the priority determination method acquires a plurality of abnormality data indicating the respective abnormalities of the plurality of moving objects (step S11), and shows the respective situations of the plurality of moving objects, respectively.
  • a plurality of status data are acquired (step S12), and for each of the plurality of abnormal data, an abnormality risk value is calculated based on the status data of the corresponding moving object (step S13), and each of the plurality of abnormal data is calculated.
  • the priority for each task for dealing with the abnormality indicated by each of the plurality of abnormal data is determined (step S14), the output based on the determination result is output (step S15), and the process is included.
  • the steps in the priority determination method may be executed by a computer (computer system).
  • the present disclosure can be realized as a program for causing a computer to execute the steps included in the priority determination method.
  • the present disclosure can be realized as a non-temporary computer-readable recording medium such as a CD-ROM on which the program is recorded.
  • each step is executed by executing the program using hardware resources such as a computer CPU, memory, and input / output circuit. .. That is, each step is executed when the CPU acquires data from the memory or the input / output circuit or the like and performs an operation, or outputs the operation result to the memory or the input / output circuit or the like.
  • hardware resources such as a computer CPU, memory, and input / output circuit. .. That is, each step is executed when the CPU acquires data from the memory or the input / output circuit or the like and performs an operation, or outputs the operation result to the memory or the input / output circuit or the like.
  • each component included in the priority determination system 10 of the above embodiment may be realized as a dedicated or general-purpose circuit.
  • each component included in the priority determination system 10 of the above embodiment may be realized as an LSI (Large Scale Integration) which is an integrated circuit (IC: Integrated Circuit).
  • LSI Large Scale Integration
  • IC integrated circuit
  • the integrated circuit is not limited to the LSI, and may be realized by a dedicated circuit or a general-purpose processor.
  • a programmable FPGA (Field Programmable Gate Array) or a reconfigurable processor in which the connection and settings of circuit cells inside the LSI can be reconfigured may be used.
  • This disclosure can be applied to, for example, a system for monitoring a vehicle.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Business, Economics & Management (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Software Systems (AREA)
  • Tourism & Hospitality (AREA)
  • Human Resources & Organizations (AREA)
  • Strategic Management (AREA)
  • Economics (AREA)
  • General Business, Economics & Management (AREA)
  • Marketing (AREA)
  • General Health & Medical Sciences (AREA)
  • Remote Sensing (AREA)
  • Primary Health Care (AREA)
  • Health & Medical Sciences (AREA)
  • Radar, Positioning & Navigation (AREA)
  • Development Economics (AREA)
  • Game Theory and Decision Science (AREA)
  • Entrepreneurship & Innovation (AREA)
  • Operations Research (AREA)
  • Quality & Reliability (AREA)
  • Alarm Systems (AREA)
  • Traffic Control Systems (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

優先度判定システム（１０）は、それぞれ、複数の移動体（１００）のそれぞれの異常を示す複数の異常データを取得する異常取得部（１１）と、それぞれ、複数の移動体（１００）のそれぞれの状況を示す複数の状況データを取得する状況取得部（１２）と、複数の異常データのそれぞれについて、対応する移動体（１００）の状況データに基づいて、異常のリスクを示すリスク値を算出するリスク値算出部（１４）と、複数の異常データのそれぞれのリスク値に基づいて、複数の異常データのそれぞれが示す異常に対処するためのタスク毎の優先度を判定する優先度判定部（１５）と、判定の結果に基づく出力をする出力部（１８）と、を備える。

Description

優先度判定システム、優先度判定方法及びプログラム
　本開示は、優先度判定システム、優先度判定方法及びプログラムに関する。
　従来、ＩＴシステムにおけるセキュリティインシデント等の異常が発生した場合に、異常の内容を分析したり、異常を管理したりする運用者にアラートを精度良く通知する装置が開示されている（例えば特許文献１）。例えば、特許文献１に開示された装置では、運用者に通知するアラートの優先度を、そのアラートの発生元又は発生頻度に応じて決定することで、決定された優先度に応じて運用者に精度良くアラートを通知することができる。
特開２０１９－１７５０７０号公報
　しかしながら、上記特許文献１に開示された装置では、アラートそのものが持つ異常のリスクを示すリスク値が考慮されないため、リスク値が大きいものが無視される可能性があり、また、複数の対象に対して同じ攻撃が実施された場合、どの対象についてのアラートを優先して対処すればよいかを判断することが難しい。このため、上記特許文献１に開示された装置には、改善の余地がある。
　そこで、本開示は、さらなる改善を図ることが可能な優先度判定システム等を提供する。
　本開示の一態様に係る優先度判定システムは、それぞれ、複数の移動体のそれぞれの異常を示す複数の異常データを取得する異常取得部と、それぞれ、前記複数の移動体のそれぞれの状況を示す複数の状況データを取得する状況取得部と、前記複数の異常データのそれぞれについて、対応する移動体の状況データに基づいて、異常のリスクを示すリスク値を算出するリスク値算出部と、前記複数の異常データのそれぞれの前記リスク値に基づいて、前記複数の異常データのそれぞれが示す異常に対処するためのタスク毎の優先度を判定する優先度判定部と、前記判定の結果に基づく出力をする出力部と、を備える。
　また、本開示の一態様に係る優先度判定方法は、それぞれ、複数の移動体のそれぞれの異常を示す複数の異常データを取得し、それぞれ、前記複数の移動体のそれぞれの状況を示す複数の状況データを取得し、前記複数の異常データのそれぞれについて、対応する移動体の状況データに基づいて、異常のリスクを示すリスク値を算出し、前記複数の異常データのそれぞれの前記リスク値に基づいて、前記複数の異常データのそれぞれが示す異常に対処するためのタスク毎の優先度を判定し、前記判定の結果に基づく出力をする。
　また、本開示の一態様に係るプログラムは、上記の優先度判定方法をコンピュータに実行させるためのプログラムである。
　本開示の一態様に係る優先度判定システム等は、さらなる改善を図ることができる。
図１は、実施の形態における優先度判定システムの一例を示す構成図である。 図２は、実施の形態における優先度判定システムの動作の一例を示すフローチャートである。 図３Ａは、状況データの一例を示す図である。 図３Ｂは、車種Ａの情報の一例を示す図である。 図４は、基礎リスク値を補正するための倍率の一例を示す図である。 図５は、異常に対処するためのタスク、リスク値の配分率及び予想対応時間の一例を示す図である。 図６は、２つの移動体について同じ異常が発生したときの、優先度判定システムの動作の具体例を説明するための図である。
　（実施の形態）
　［優先度判定システムの構成］
　以下、実施の形態における優先度判定システムについて図面を参照しながら説明する。
　図１は、実施の形態における優先度判定システム１０の一例を示す構成図である。なお、図１には、優先度判定システム１０と通信可能に接続される複数の移動体１００（例えば自動車）及び端末２００も示している。
　複数の移動体１００のそれぞれは、例えば、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）等の車載ネットワークが搭載された自動車等の車両であり、優先度判定システム１０等と無線通信が可能なコネクテッドカーである。例えば、複数の移動体１００のそれぞれは、車載ネットワーク又は車載ネットワークに接続されたＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）等において外部からの攻撃若しくは不正又は故障等の異常が発生したときに、当該異常を示す異常データを優先度判定システム１０に送信する。なお、複数の移動体１００のそれぞれは、車載ネットワークにおけるログデータを、異常検知を行う異常検知サーバ等に送信し、異常検知サーバ等から優先度判定システム１０へ、ログデータに基づいて検知された異常を示す異常データが送信されてもよい。また、複数の移動体１００のそれぞれは、自身の状況を示す状況データを優先度判定システム１０に送信する。例えば、複数の移動体１００のそれぞれは、常時又は特定のタイミング毎に状況データを優先度判定システム１０に送信してもよい。
　端末２００は、複数（例えば数１００、数１０００等）の移動体１００を監視し、異常情報の収集を行い、異常検知時に異常の内容を分析し、ＳＩＲＴ（Ｓｅｃｕｒｉｔｙ　Ｉｎｃｉｄｅｎｔ　Ｒｅｓｐｏｎｓｅ　Ｔｅａｍ）等に通知するＳＯＣ（Ｓｅｃｕｒｉｔｙ　Ｏｐｅｒａｔｉｏｎ　Ｃｅｎｔｅｒ）等の分析者が使用する端末である。例えば、端末２００は、ＳＩＥＭ（Ｓｅｃｕｒｉｔｙ　Ｉｎｆｏｒｍａｔｉｏｎ　ａｎｄ　Ｅｖｅｎｔ　Ｍａｎａｇｅｍｅｎｔ）等のソフトウェアを利用可能となっている。優先度判定システム１０は、ＳＩＥＭ又はＳＯＡＲ（Ｓｅｃｕｒｉｔｙ　Ｏｒｃｈｅｓｔｒａｔｉｏｎ　Ａｕｔｏｍａｔｉｏｎ　ａｎｄ　Ｒｅｓｐｏｎｓｅ）とサーバシステムとして連携することが想定される。後述するように、端末２００には優先度判定システム１０から異常に対処するためのタスクの優先度の判定の結果に基づく出力がされ、分析者は、数多くの移動体１００において発生する異常に対処するための数多くのタスクの中から当該出力に応じて効果的にタスクを実行していくことができる。端末２００は、優先度判定システム１０と有線通信又は無線通信が可能となっている。
　優先度判定システム１０は、分析者が実行するタスクの優先度を判定するためのコンピュータであり、例えば、サーバである。優先度判定システム１０は、プロセッサ、メモリ及び通信インタフェース等を含む。メモリは、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）及びＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）等であり、プロセッサにより実行されるプログラムを記憶することができる。優先度判定システム１０は、異常取得部１１、状況取得部１２、状況記憶部１３、リスク値算出部１４、優先度判定部１５、ルール記憶部１６、タスク定義記憶部１７及び出力部１８を備える。異常取得部１１、状況取得部１２、リスク値算出部１４、優先度判定部１５及び出力部１８は、メモリに格納されたプログラムを実行するプロセッサ等によって実現される。状況記憶部１３、ルール記憶部１６及びタスク定義記憶部１７は、メモリによって実現されるが、プログラムが記憶されるメモリ、状況記憶部１３、ルール記憶部１６及びタスク定義記憶部１７はそれぞれ別のメモリであってもよいし、１つのメモリであってもよい。優先度判定システム１０を構成する構成要素は、複数のサーバに分散して配置されていてもよい。
　異常取得部１１は、複数の異常データを取得する。複数の異常データのそれぞれは、複数の移動体１００のそれぞれの異常を示す。例えば、異常取得部１１は、優先度判定システム１０が備える通信インタフェース等を介して、複数の移動体１００（若しくは異常検知サーバ等）から複数の異常データを取得する。
　状況取得部１２は、複数の状況データを取得する。複数の状況データのそれぞれは、複数の移動体１００のそれぞれの状況を示す。例えば、状況取得部１２は、優先度判定システム１０が備える通信インタフェース等を介して、複数の移動体１００、路側機又はサーバ等から複数の状況データを取得する。例えば、複数の状況データのそれぞれは、移動体１００の種類を示す種類情報、移動体１００の位置を示す位置情報、位置情報に対応する地点の交通情報、及び、移動体１００の走行状態を示す走行状態情報の少なくとも１つの情報を含む。例えば、状況取得部１２は、移動体１００から位置情報及び走行状態情報を取得してもよく、サーバからサーバが管理している種類情報又は異常の発生状況（例えば流行している攻撃等）等を取得してもよく、路側機から移動体１００の異常が発生した場所の交通情報を取得してもよい。なお、複数の状況データのそれぞれは、これらの情報に対してさらに他のサーバ等からの情報を組み合わせたものであってもよい。
　状況記憶部１３は、状況取得部１２が取得した複数の状況データを記憶する。例えば、位置情報は、移動体１００の時刻毎の位置を示す情報を含み、走行状態情報は、移動体１００の時刻毎の走行状態を示す情報を含む。これにより、状況記憶部１３に記憶された複数の状況データを参照することで、複数の移動体１００のそれぞれがいつどこに位置し、いつどのような走行状態であったかを認識することができる。
　リスク値算出部１４は、複数の異常データのそれぞれについて、対応する移動体１００の状況データに基づいて、異常のリスクを示すリスク値を算出する。リスク値算出部１４の詳細については後述する。
　優先度判定部１５は、複数の異常データのそれぞれのリスク値に基づいて、複数の異常データのそれぞれが示す異常に対処するためのタスク毎の優先度を判定する。例えば、優先度判定部１５は、複数の異常データのそれぞれのリスク値と、タスク毎の所定の指標値、例えば、タスク毎の実行されることでリスクが軽減される割合及びタスク毎の実行に要する時間の少なくとも一方とに基づいてタスク毎の優先度を判定する。具体的には、優先度判定部１５は、複数の異常データのそれぞれのリスク値と、タスク毎の所定の指標値として、例えば、タスク毎の実行されることでリスクが軽減される割合と、タスク毎の実行に要する時間とに基づいてタスク毎の優先度を判定する。優先度判定部１５の詳細については後述する。なお、タスク毎の所定の指標値としては、他にもタスク毎の負荷を示す値やリスクに対する影響度合いを示す値などであってもよい。例えば、優先度判定部１５は、上記判定を、定期的に、タスクが実施される毎に、又は、異常が検知される毎に行う。
　ルール記憶部１６は、リスク値算出部１４がリスク値の算出を行う際に用いるルール及び優先度判定部１５が優先度の判定を行う際に用いるルールを記憶する。これらのルールの詳細については後述する。なお、ルール記憶部１６に記憶される情報は、端末２００等からの指示によって更新されてもよい。
　タスク定義記憶部１７は、複数の異常データのそれぞれが示す異常と、異常に対処するための１以上のタスクとの対応関係を記憶する。また、タスク定義記憶部１７は、各タスクについて、タスクを実行することで軽減されるリスクの割合（リスク値の配分率とも呼ぶ）及びタスクを完了するのに要する予想対応時間を記憶する。これらの詳細については後述する。なお、タスク定義記憶部１７に記憶される情報は、端末２００等からの指示によって更新されてもよい。
　出力部１８は、端末２００に対して、優先度判定部１５での優先度の判定の結果に基づく出力をする。出力部１８からの出力の詳細については後述する。
　［優先度判定システムの動作］
　次に、優先度判定システム１０の動作について図２を用いて説明する。
　図２は、実施の形態における優先度判定システム１０の動作の一例を示すフローチャートである。
　まず、異常取得部１１は、それぞれ、複数の移動体１００のそれぞれの異常を示す複数の異常データを取得する（ステップＳ１１）。例えば、端末２００で監視する移動体１００は数多く存在し、それに伴って異常取得部１１は、数多くの異常データを取得することになる。
　次に、状況取得部１２は、それぞれ、複数の移動体１００のそれぞれの状況を示す複数の状況データを取得する（ステップＳ１２）。状況データの具体例について、図３Ａを用いて説明する。
　図３Ａは、状況データの一例を示す図である。
　図３Ａに示されるように、状況データは、例えば、異常が発生したときの移動体１００の走行状態が「走行中」であることを示す走行状態情報を含む。また、状況データは、例えば、異常が発生したときの移動体１００の位置が「都市部」であることを示す位置情報を含む。また、状況データは、例えば、移動体の種類が「車種Ａ」であることを示す種類情報を含む。なお、「車種Ａ」は、移動体１００が例えば図３Ｂに示されるような移動体であることを示す。
　図３Ｂは、車種Ａの情報の一例を示す図である。
　図３Ｂに示されるように、「車種Ａ」は、市場台数が５０００台の車種であり、問題発生時の被害想定額が前期利益未満である車種であり、用途が営業車両の車種であることを示す。
　なお、ステップＳ１１での処理とステップＳ１２での処理とは、順序が逆であってもよいし並行して行われてもよい。
　次に、リスク値算出部１４は、複数の異常データのそれぞれについて、対応する移動体１００の状況データに基づいて、異常のリスク値を算出する（ステップＳ１３）。例えば、リスク値算出部１４は、複数の異常データのそれぞれについて、まずは基礎リスク値を決定する。基礎リスク値は、異常の種類に応じて算出される値であり、例えば、ＳＩＥＭによるスコア値又はＣＴＩ（Ｃｙｂｅｒ　Ｔｈｒｅａｔ　Ｉｎｔｅｌｌｉｇｅｎｃｅ）によるスコア値等を用いて決定（例えば算出）することができる。リスク値算出部１４によって算出されるリスク値は、例えば、異常の種類に応じて決定される基礎リスク値を、対応する移動体１００の状況データを用いて補正した値である。例えば、基礎リスク値が補正されることで得られるリスク値が大きいほど、その異常のリスクは大きくなる。ここで、基礎リスク値を補正するための倍率について図４を用いて説明する。
　図４は、基礎リスク値を補正するための倍率の一例を示す図である。
　例えば、ルール記憶部１６には、図４に示されるように、「市場台数１０００台未満」の車種の移動体１００で発生した異常の基礎リスク値を１．０倍に補正するルールが記憶され、「市場台数１０００台以上１００００台未満」の車種の移動体１００で発生した異常の基礎リスク値を１．２倍に補正するルールが記憶され、「市場台数１００００台以上」の車種の移動体１００で発生した異常の基礎リスク値を２．０倍に補正するルールが記憶される。「市場台数１０００台未満」の車種の移動体１００は、市場台数が少なく異常が発生してもその影響力は小さいため、「市場台数１０００台未満」の車種の移動体１００で発生した異常の基礎リスク値は大きく補正されない。一方で、「市場台数１００００台以上」の車種の移動体１００は、市場台数が多く異常が発生するとその影響力は大きいため、「市場台数１００００台以上」の車種の移動体１００で発生した異常の基礎リスク値は大きく補正される。
　また、例えば、ルール記憶部１６には、図４に示されるように、「被害想定額前期利益未満」の車種の移動体１００で発生した異常の基礎リスク値を１．０倍に補正するルールが記憶され、「被害想定額前期利益以上」の車種の移動体１００で発生した異常の基礎リスク値を２．０倍に補正するルールが記憶される。「被害想定額前期利益未満」の車種の移動体１００は、被害想定額が小さいため、「被害想定額前期利益未満」の車種の移動体１００で発生した異常の基礎リスク値は大きく補正されない。一方で、「被害想定額前期利益以上」の車種の移動体１００は、被害想定額が大きいため、「被害想定額前期利益以上」の車種の移動体１００で発生した異常の基礎リスク値は大きく補正される。
　なお、補正値（倍率）は、車種に紐づいて記憶されていてもよいし、市場台数又は被害想定額等に紐づいて記憶されていてもよい。補正値が市場台数又は被害想定額等に紐づいて記憶されている場合、中間値として車種と車種毎の市場台数又は被害想定額等が優先度判定システム１０において記憶されていてもよいし、優先度判定システム１０から外部のシステムに問い合わせて取得されてもよい。
　また、例えば、ルール記憶部１６には、図４に示されるように、「家庭用車両」である移動体１００で発生した異常の基礎リスク値を１．０倍に補正するルールが記憶され、「営業車両」である移動体１００で発生した異常の基礎リスク値を１．２倍に補正するルールが記憶され、「緊急車両」である移動体１００で発生した異常の基礎リスク値を２．０倍に補正するルールが記憶される。「家庭用車両」である移動体１００は、頻繁に使用されにくい分、異常が発生しても問題が発生する確率が低くなるため、「家庭用車両」である移動体１００で発生した異常の基礎リスク値は大きく補正されない。「営業車両」である移動体１００は、頻繁に使用される分、異常が発生すると問題が発生する確率が高くなるため、「営業車両」である移動体１００で発生した異常の基礎リスク値は「家庭用車両」よりも大きく補正される。「緊急車両」である移動体１００は、社会的重要度が高い車両であるため、「緊急車両」である移動体１００で発生した異常の基礎リスク値は大きく補正される。
　また、例えば、ルール記憶部１６には、図４に示されるように、「田園地帯」に位置する移動体１００で発生した異常の基礎リスク値を１．０倍に補正するルールが記憶され、「都市部」に位置する移動体１００で発生した異常の基礎リスク値を２．０倍に補正するルールが記憶される。田園地帯は、人が少なく交通量も少ないため、「田園地帯」に位置する移動体１００で発生した異常の基礎リスク値は大きく補正されない。都市部は、人が多く交通量も多いため、「都市部」に位置する移動体１００で発生した異常の基礎リスク値は大きく補正される。
　また、例えば、ルール記憶部１６には、図４に示されるように、「停止中」の移動体１００で発生した異常の基礎リスク値を１．０倍に補正するルールが記憶され、「走行中」の移動体１００で発生した異常の基礎リスク値を２．０倍に補正するルールが記憶される。「停止中」の移動体１００は、停止しており異常が発生しても危険な状態になりにくいため、「停止中」の移動体１００で発生した異常の基礎リスク値は大きく補正されない。「走行中」の移動体１００は、走行しており異常が発生した場合危険な状態になりやすいため、「走行中」の移動体１００で発生した異常の基礎リスク値は大きく補正される。
　例えば、異常が発生した移動体１００が、図３Ａに示されるように、走行中であり（倍率２．０）、都市部に位置しており（倍率２．０）、車種が車種Ａである（すなわち、図３Ｂに示されるように、市場台数が５０００台であり（倍率１．２）、被害想定額が前記利益未満であり（倍率１．０）、営業車両である（倍率１．２））場合、リスク値を以下のように算出することができる。
　リスク値＝基礎リスク値×２．０×２．０×１．２×１．０×１．２
　このように、リスク値算出部１４は、複数の異常データのそれぞれについて、対応する移動体１００（異常が発生した移動体１００）の状況データを用いて基礎リスク値を補正することで異常のリスク値を算出する。
　次に、優先度判定部１５は、リスク値算出部１４によって算出された複数の異常データのそれぞれのリスク値に基づいて、複数の異常データのそれぞれに対処するためのタスク毎の優先度を判定する（ステップＳ１４）。異常に対処にするためのタスクについて図５を用いて説明する。
　図５は、異常に対処するためのタスク、リスク値の配分率及び予想対応時間の一例を示す図である。
　例えば、移動体１００で発生した異常が、「ＩＶＩ（Ｉｎ　Ｖｉｅｃｌｅ　Ｉｎｆｏｔａｉｎｍｅｎｔ）での不正な通信」である場合、当該異常に対処するためのタスクとして、移動体１００のユーザへ異常の発生を通知する「ユーザ通知」、ＩＶＩと車載ネットワークとを遮断する「コネクション遮断」、当該異常の詳細に分析する「詳細分析」、及び、当該異常に対する対策がなされたプログラム等を配信する「恒久パッチ配信」が予め定義付けられている（言い換えると、タスク定義記憶部１７に異常と当該異常に対処するためのタスクとの対応関係が記憶されている）。また、各タスクには、リスク値の配分率及び予想対応時間が対応付けられている。
　「ユーザ通知」を実行することで軽減されるリスクの割合は０．１０（１０％）となっており、「ユーザ通知」を完了するのに要する予想対応時間は１秒となっている。つまり、１秒かけて「ユーザ通知」を実行することで「ＩＶＩでの不正な通信」のリスク値を１０％軽減できる。
　「コネクション遮断」を実行することで軽減されるリスクの割合は０．４０（４０％）となっており、「コネクション遮断」を完了するのに要する予想対応時間は１０秒となっている。つまり、１０秒かけて「コネクション遮断」を実行することで「ＩＶＩでの不正な通信」のリスク値を４０％軽減できる。
　「詳細分析」を実行することで軽減されるリスクの割合は０．１０（１０％）となっており、「詳細分析」を完了するのに要する予想対応時間は３６００秒となっている。つまり、３６００秒かけて「詳細分析」を実行することで「ＩＶＩでの不正な通信」のリスク値を１０％軽減できる。
　「恒久パッチ配信」を実行することで軽減されるリスクの割合は０．４０（４０％）となっており、「恒久パッチ配信」を完了するのに要する予想対応時間は６０秒となっている。つまり、６０秒かけて「恒久パッチ配信」を実行することで「ＩＶＩでの不正な通信」のリスク値を４０％軽減できる。
　例えば、タスク毎の優先度は、実行されることでリスクが軽減される割合が大きいタスクほど高くなるように判定され、実行に要する時間が短いタスクほど高くなるように判定される。つまり、優先度判定部１５は、短い時間で大きくリスクを軽減できるタスクの優先度を高くする。例えば、ルール記憶部１６には、以下のような優先度の計算式で表すことができるルールが記憶され、優先度判定部１５は、当該計算式にリスク値の配分率と予想対応時間とを代入することでタスク毎の優先度を判定する。なお、以下の式１及び式２において、ｒｖｄｅｃはリスク値の軽減量、ｒｖはリスク値、ｒｒａｔｉｏはリスク値の配分率、ｐはタスクの重要度（重要度が大きいタスクほど優先的に実行されることが望まれることから、ｐはタスクの優先度ともいえる）、αはチューニング重み、ｔｅｓｔは予想対応時間である。
Figure JPOXMLDOC01-appb-M000001
Figure JPOXMLDOC01-appb-M000002
　なお、上記式では、リスク値の配分率及び予想対応時間が極端に小さい場合や極端に大きい場合に、タスクの優先度が大きく変化してしまうため、優先度の判定には以下の式が用いられてもよい。なお、以下の式３においてαは１以上である。
Figure JPOXMLDOC01-appb-M000003
　ただし、例えば、「ＩＶＩでの不正な通信」に対処するためのタスクとして「恒久パッチ配信」は、「詳細分析」が完了した後でないと実行することができないタスクである。このため、ルール記憶部１６には、「恒久パッチ配信」の優先度が「詳細分析」の優先度よりも高くならないようなルールが記憶される。例えば、タスクによってチューニング重みが調整されることで、特定のタスクの優先度を低くしたり高くしたりすることができる。
　例えば、タスク定義記憶部１７には、「ＩＶＩでの不正な通信」の他にも様々な異常と１以上のタスクとの対応関係が記憶されており、優先度判定部１５は、様々な異常について、タスク定義記憶部１７を参照することで、タスク毎の優先度を判定することができる。なお、「ＩＶＩでの不正な通信」には、複数のタスクが対応付けられているが、タスクが１つのみ対応付けられている異常が存在していてもよい。
　このように、優先度判定部１５は、リスク値算出部１４によって算出されたリスク値に基づいてタスク毎の優先度を判定する。具体的には、優先度判定部１５は、実行されることでリスクが軽減される割合が大きいタスクほど優先度を高くし（言い換えると実行されることでリスクが軽減される割合が小さいタスクほど優先度を低くし）、また、タスクの実行に要する時間が短いタスクほど優先度を高くする（言い換えるとタスクの実行に要する時間が長いタスクほど優先度を低くする）。
　そして、出力部１８は、端末２００に対して、優先度判定部１５での判定の結果に基づく出力をする（ステップＳ１５）。例えば、出力部１８は、判定の結果に基づく出力として優先度の高いタスクから実行していくことを促すアラートを端末２００に出力して、端末２００は、当該アラートを表示したり音声出力したりすることで、分析者に優先度の高いタスクから実行させてもよい。なお、優先度の判定及び判定の結果に基づく出力は、新たな異常が検知された際に行われてもよいし、定期的に行われてもよいし、それらを組み合わせて行われてもよい。
　例えば２つの移動体１００について、同じ異常が発生したときの具体例について図６を用いて説明する。
　図６は、２つの移動体１００について同じ異常が発生したときの、優先度判定システム１０の動作の具体例を説明するための図である。
　例えば、車種Ａの車両ＸでＩＶＩ異常通信が発生し、車種Ｂの車両ＹでＩＶＩ異常通信が発生したとする（ステップＳ１０１ａ及びＳ１０１ｂ）。
　リスク値算出部１４は、車種Ａの車両Ｘで発生した異常及び車種Ｂの車両Ｙで発生した異常について基礎リスク値を例えば「１００」と決定する（ステップＳ１０２ａ及びＳ１０２ｂ）。各異常は、同じ種類の異常であるため、基礎リスク値も同じ値となっている。
　次に、リスク値算出部１４は、車種Ａの車両Ｘで発生した異常のリスク値を「１２０」と算出し、車種Ｂの車両Ｙで発生した異常のリスク値を「１１０」と算出する（ステップＳ１０３ａ及びＳ１０３ｂ）。例えば、車種Ａの方が車種Ｂよりも異常が発生したときの影響力が大きいため、車種Ａの車両Ｘでの異常のリスク値の方が、車種Ｂの車両Ｙでの異常のリスク値よりも大きくなっている。
　次に、優先度判定部１５は、車種Ａの車両Ｘで発生した異常について、タスク毎の優先度（重要度）を「ユーザ通知：１２」、「コネクション遮断：４．８」、「恒久パッチ配信：０．０８」と判定し、車種Ｂの車両Ｙで発生した異常について、タスク毎の優先度（重要度）を「ユーザ通知：１１」、「コネクション遮断：４．４」、「恒久パッチ配信：０．０７」と判定する（ステップＳ１０４ａ及びＳ１０４ｂ）。すなわち、車両ＸのＩＶＩ異常通信についてのユーザ通知が最も優先度が高く、以降、車両ＹのＩＶＩ異常通信についてのユーザ通知、車両ＸのＩＶＩ異常通信についてのコネクション遮断、・・・と優先度が低くなっていき、車両ＹのＩＶＩ異常通信についての恒久パッチ配信が最も優先度が低くなっている。車種Ａの車両Ｘで発生した異常と車種Ｂの車両Ｙで発生した異常とはそれぞれ同じ「ＩＶＩ異常通信」であるが、それぞれ状況データ（具体的には車種情報）が異なっており、それに伴ってリスク値も異なるため、車種Ａの車両Ｘで発生した異常に対処するためのタスク毎の優先度と、車種Ｂの車両Ｙで発生した異常に対処するためのタスク毎の優先度とに差が生じている。
　そして、出力部１８は、判定の結果に基づく出力をすることで、まずは最も優先度が高い車両ＸのＩＶＩ異常通信についてユーザ通知を行わせ、次に２番目に優先度が高い車両ＹのＩＶＩ異常通信についてユーザ通知を行わせる（ステップＳ１０５）。以降も、図示していないが、優先度の高いタスクから順にタスクを行わせてもよい。なお、ここでは、説明を簡明にするために、２つの異常（具体的には２つの同じ種類の異常）に着目して説明したが、端末２００では車両Ｘ及びＹ以外にも数多くの移動体１００の監視を行っており、これらの異常以外にも様々な異常が発生し得る。このため、数多くの異常のそれぞれについて、タスク毎の優先度が判定され、数多くのタスクについて優先順位が付けられる。
　［効果等］
　優先度判定システム１０は、それぞれ、複数の移動体１００のそれぞれの異常を示す複数の異常データを取得する異常取得部１１と、それぞれ、複数の移動体１００のそれぞれの状況を示す複数の状況データを取得する状況取得部１２と、複数の異常データのそれぞれについて、対応する移動体１００の状況データに基づいて、異常のリスク値を算出するリスク値算出部１４と、複数の異常データのそれぞれのリスク値に基づいて、複数の異常データのそれぞれが示す異常に対処するためのタスク毎の優先度を判定する優先度判定部１５と、判定の結果に基づく出力をする出力部１８と、を備える。
　これによれば、リスク値に基づいて異常に対処するためのタスク毎の優先度が判定されるため、リスク値が大きい異常が無視されにくくなる。また、複数の移動体１００に対して同じ攻撃が実施された場合であっても、攻撃された移動体１００の状況によってはリスク値が異なり、すなわち、リスク値に基づいて判定されるタスク毎の優先度も異なってくるため、どの移動体１００の異常についてどのタスクを実行すればよいかを判断しやすくなる。このように、さらなる改善を図ることが可能な優先度判定システム１０を提供することができる。
　また、複数の状況データのそれぞれは、移動体１００の種類を示す種類情報、移動体１００の位置を示す位置情報、位置情報に対応する地点の交通情報、及び、移動体１００の走行状態を示す走行状態情報の少なくとも１つの情報を含んでいてもよい。
　これによれば、異常のリスクに影響を与え得る種類情報、位置情報、交通情報及び走行状態情報の少なくとも１つの情報をリスク値に反映することができる。
　また、リスク値は、異常の種類に応じて決定される基礎リスク値を、対応する移動体１００の状況データを用いて補正した値であってもよい。
　これによれば、異常の種類に応じて容易に決定できる基礎リスク値を、状況データを用いて補正することで、リスク値を容易に算出することができる。
　また、タスク毎の優先度は、複数の異常データのそれぞれのリスク値と、タスク毎の所定の指標値とに基づいて判定されてもよい。
　これによれば、複数の異常データのそれぞれのリスク値と、タスク毎の所定の指標値とに基づいてタスク毎の優先度を容易に判定することができる。
　また、タスク毎の所定の指標値は、タスク毎の実行されることでリスクが軽減される割合及びタスク毎の実行に要する時間の少なくとも一方であってもよい。
　これによれば、実行されることでリスクが軽減される割合が大きいタスクの優先度を高くすることができ、また、実行に要する時間が短いタスクの優先度を高くすることができる。
　また、優先度判定部１５は、優先度の判定を、定期的に、タスクが実施される毎に、又は、異常が検知される毎に行ってもよい。
　これによれば、これらのタイミングで、優先度の判定を自動的に行うことができる。
　（その他の実施の形態）
　以上のように、本開示に係る技術の例示として実施の形態を説明した。しかしながら、本開示に係る技術は、これに限定されず、適宜、変更、置き換え、付加、省略等を行った実施の形態にも適用可能である。例えば、以下のような変形例も本開示の一実施の形態に含まれる。
　例えば、上記実施の形態では、優先度判定システム１０を構成する構成要素がサーバに配置される例について説明したが、これに限らない。例えば、異常取得部１１、状況取得部１２、状況記憶部１３及びリスク値算出部１４は、移動体１００に配置されていてもよい。この場合、これらの構成要素が配置された移動体１００は、複数の移動体１００のそれぞれの状況データを取りまとめているサーバから状況データを取得してもよいし、複数の移動体１００のそれぞれが複数の移動体１００のそれぞれの状況データを共有していてもよい。また、優先度判定部１５は、移動体１００に配置されていてもよい。例えば、アラートを構成する情報に、判定されたタスクの優先度（タスクの重要度）が追加されて、優先度判定部１５が配置された移動体１００からサーバ等に当該アラートが通知されてもよい。また、優先度判定部１５が配置された移動体１００は、タスク定義記憶部１７を備えるサーバに、異常に対処するためのタスク、リスク値の配分率及び予想対応時間等を問い合わせてもよいし、複数の移動体１００のそれぞれがこれらの情報を共有していてもよい。
　また、例えば、上記実施の形態では、タスク毎の優先度は、上記式１～式３に示されるように、複数の異常データのそれぞれのリスク値と、タスク毎の実行されることでリスクが軽減される割合及びタスク毎の実行に要する時間の両方とに基づいて判定される例について説明したが、これに限らない。例えば、タスク毎の優先度は、複数の異常データのそれぞれのリスク値と、タスク毎の実行されることでリスクが軽減される割合及びタスク毎の実行に要する時間のいずれか一方とに基づいて判定されてもよい。
　また、例えば、優先度判定システム１０は、複数の異常データのうち異常の発生場所が近い異常データを１つの異常データとして処理してもよい。
　また、例えば、上記実施の形態では、端末２００は、優先度判定システム１０と有線通信又は無線通信が可能となっており、優先度判定システム１０（出力部１８）が端末２００に対して、優先度の判定の結果に基づく出力をする例について説明したが、これに限らない。例えば、判定されたタスク毎の優先度がＳＯＡＲ等の自動化ツールに提供され、判定された優先度に基づいて自動でタスクが処理されてもよい。
　また、例えば、優先度判定システム１０が有する機能は、ＳＯＡＲ等の自動化ツールに実装されてもよく、優先度の判定の結果に基づく出力が自動化ツールから行われてもよい。
　また、例えば、移動体１００は、車両に限らず、列車、航空機（例えば無人航空機）又は船舶等であってもよい。
　なお、本開示は、優先度判定システム１０として実現できるだけでなく、優先度判定システム１０を構成する各構成要素が行うステップ（処理）を含む優先度判定方法として実現できる。
　優先度判定方法は、図２に示されるように、それぞれ、複数の移動体のそれぞれの異常を示す複数の異常データを取得し（ステップＳ１１）、それぞれ、複数の移動体のそれぞれの状況を示す複数の状況データを取得し（ステップＳ１２）、複数の異常データのそれぞれについて、対応する移動体の状況データに基づいて、異常のリスク値を算出し（ステップＳ１３）、複数の異常データのそれぞれのリスク値に基づいて、複数の異常データのそれぞれが示す異常に対処するためのタスク毎の優先度を判定し（ステップＳ１４）、判定の結果に基づく出力をする（ステップＳ１５）、処理を含む。
　例えば、優先度判定方法におけるステップは、コンピュータ（コンピュータシステム）によって実行されてもよい。そして、本開示は、優先度判定方法に含まれるステップを、コンピュータに実行させるためのプログラムとして実現できる。
　さらに、本開示は、そのプログラムを記録したＣＤ－ＲＯＭ等である非一時的なコンピュータ読み取り可能な記録媒体として実現できる。
　例えば、本開示が、プログラム（ソフトウェア）で実現される場合には、コンピュータのＣＰＵ、メモリ及び入出力回路等のハードウェア資源を利用してプログラムが実行されることによって、各ステップが実行される。つまり、ＣＰＵがデータをメモリ又は入出力回路等から取得して演算したり、演算結果をメモリ又は入出力回路等に出力したりすることによって、各ステップが実行される。
　また、上記実施の形態の優先度判定システム１０に含まれる各構成要素は、専用又は汎用の回路として実現されてもよい。
　また、上記実施の形態の優先度判定システム１０に含まれる各構成要素は、集積回路（ＩＣ：Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）であるＬＳＩ（Ｌａｒｇｅ　Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ）として実現されてもよい。
　また、集積回路はＬＳＩに限られず、専用回路又は汎用プロセッサで実現されてもよい。プログラム可能なＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）、又は、ＬＳＩ内部の回路セルの接続及び設定が再構成可能なリコンフィギュラブル・プロセッサが、利用されてもよい。
　さらに、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて、優先度判定システム１０に含まれる各構成要素の集積回路化が行われてもよい。
　その他、実施の形態に対して当業者が思いつく各種変形を施して得られる形態、本開示の趣旨を逸脱しない範囲で各実施の形態における構成要素及び機能を任意に組み合わせることで実現される形態も本開示に含まれる。
　本開示は、例えば車両を監視するシステムに適用できる。
　１０　優先度判定システム
　１１　異常取得部
　１２　状況取得部
　１３　状況記憶部
　１４　リスク値算出部
　１５　優先度判定部
　１６　ルール記憶部
　１７　タスク定義記憶部
　１８　出力部
　１００　移動体
　２００　端末
 

Claims (8)

  1. 　それぞれ、複数の移動体のそれぞれの異常を示す複数の異常データを取得する異常取得部と、
    　それぞれ、前記複数の移動体のそれぞれの状況を示す複数の状況データを取得する状況取得部と、
    　前記複数の異常データのそれぞれについて、対応する移動体の状況データに基づいて、異常のリスクを示すリスク値を算出するリスク値算出部と、
    　前記複数の異常データのそれぞれの前記リスク値に基づいて、前記複数の異常データのそれぞれが示す異常に対処するためのタスク毎の優先度を判定する優先度判定部と、
    　前記判定の結果に基づく出力をする出力部と、を備える
    　優先度判定システム。
  2. 　前記複数の状況データのそれぞれは、移動体の種類を示す種類情報、移動体の位置を示す位置情報、前記位置情報に対応する地点の交通情報、及び、移動体の走行状態を示す走行状態情報の少なくとも１つの情報を含む
    　請求項１に記載の優先度判定システム。
  3. 　前記リスク値は、異常の種類に応じて決定される基礎リスク値を、対応する移動体の状況データを用いて補正した値である
    　請求項１又は２に記載の優先度判定システム。
  4. 　前記タスク毎の優先度は、前記複数の異常データのそれぞれの前記リスク値と、前記タスク毎の所定の指標値とに基づいて判定される
    　請求項１～３のいずれか１項に記載の優先度判定システム。
  5. 　前記タスク毎の所定の指標値は、前記タスク毎の実行されることでリスクが軽減される割合及び前記タスク毎の実行に要する時間の少なくとも一方である
    　請求項４に記載の優先度判定システム。
  6. 　前記優先度判定部は、前記判定を、定期的に、タスクが実施される毎に、又は、異常が検知される毎に行う
    　請求項１～５のいずれか１項に記載の優先度判定システム。
  7. 　それぞれ、複数の移動体のそれぞれの異常を示す複数の異常データを取得し、
    　それぞれ、前記複数の移動体のそれぞれの状況を示す複数の状況データを取得し、
    　前記複数の異常データのそれぞれについて、対応する移動体の状況データに基づいて、異常のリスクを示すリスク値を算出し、
    　前記複数の異常データのそれぞれの前記リスク値に基づいて、前記複数の異常データのそれぞれが示す異常に対処するためのタスク毎の優先度を判定し、
    　前記判定の結果に基づく出力をする
    　優先度判定方法。
  8. 　請求項７に記載の優先度判定方法をコンピュータに実行させるためのプログラム。
PCT/JP2021/000425 2020-03-17 2021-01-08 優先度判定システム、優先度判定方法及びプログラム WO2021186857A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
DE112021001648.2T DE112021001648T5 (de) 2020-03-17 2021-01-08 Prioritätsbestimmungssystem, Prioritätsbestimmungsverfahren und Programm
US17/900,283 US11748157B2 (en) 2020-03-17 2022-08-31 Priority determination system, priority determination method, and recording medium
US18/220,532 US20230350714A1 (en) 2020-03-17 2023-07-11 Priority determination system, priority determination method, and recording medium

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2020-046280 2020-03-17
JP2020046280A JP7262000B2 (ja) 2020-03-17 2020-03-17 優先度判定システム、優先度判定方法及びプログラム

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/900,283 Continuation US11748157B2 (en) 2020-03-17 2022-08-31 Priority determination system, priority determination method, and recording medium

Publications (1)

Publication Number Publication Date
WO2021186857A1 true WO2021186857A1 (ja) 2021-09-23

Family

ID=77770809

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/000425 WO2021186857A1 (ja) 2020-03-17 2021-01-08 優先度判定システム、優先度判定方法及びプログラム

Country Status (4)

Country Link
US (2) US11748157B2 (ja)
JP (1) JP7262000B2 (ja)
DE (1) DE112021001648T5 (ja)
WO (1) WO2021186857A1 (ja)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102463732B1 (ko) * 2022-01-03 2022-11-04 주식회사 브이웨이 머신 러닝 기반의 고장 형태 영향 분석 시스템
JP2024063876A (ja) * 2022-10-27 2024-05-14 パナソニックオートモーティブシステムズ株式会社 優先度判定システム、優先度判定方法及びプログラム
US11956188B1 (en) * 2022-12-13 2024-04-09 Infineon Technologies Ag Security aware routing in an in-vehicle communication network
WO2024135506A1 (ja) * 2022-12-19 2024-06-27 パナソニックオートモーティブシステムズ株式会社 情報通知方法及び情報通知装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005267505A (ja) * 2004-03-22 2005-09-29 Fujitsu Ltd 交通管理システム
JP2013003896A (ja) * 2011-06-17 2013-01-07 Nec Corp 情報提供装置、情報提供方法およびプログラム
KR20150052431A (ko) * 2013-11-05 2015-05-14 현대자동차주식회사 사고 자동차의 긴급도 통지 시스템과 그 방법
JP2020102159A (ja) * 2018-12-25 2020-07-02 トヨタ自動車株式会社 車両制御装置及び車両制御方法

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030229509A1 (en) * 2002-04-12 2003-12-11 William Hall Risk management system
JP2009151648A (ja) 2007-12-21 2009-07-09 Mitsubishi Fuso Truck & Bus Corp 車両用警報装置
US20120143650A1 (en) * 2010-12-06 2012-06-07 Thomas Crowley Method and system of assessing and managing risk associated with compromised network assets
EP2610776B1 (en) * 2011-09-16 2019-08-21 Veracode, Inc. Automated behavioural and static analysis using an instrumented sandbox and machine learning classification for mobile security
JP6298004B2 (ja) 2015-03-31 2018-03-20 株式会社日立製作所 セキュリティ対策支援装置およびセキュリティ対策支援方法
GB2566657B8 (en) * 2016-06-30 2022-04-13 Sophos Ltd Proactive network security using a health heartbeat
US10873596B1 (en) * 2016-07-31 2020-12-22 Swimlane, Inc. Cybersecurity alert, assessment, and remediation engine
US10880322B1 (en) * 2016-09-26 2020-12-29 Agari Data, Inc. Automated tracking of interaction with a resource of a message
JP6521486B2 (ja) * 2017-06-06 2019-05-29 マツダ株式会社 車両制御装置
JP7081953B2 (ja) 2018-03-28 2022-06-07 株式会社日立システムズ アラート通知装置およびアラート通知方法
US11457024B2 (en) * 2018-08-03 2022-09-27 Citrix Systems, Inc. Systems and methods for monitoring security of an organization based on a normalized risk score
US11677773B2 (en) * 2018-11-19 2023-06-13 Bmc Software, Inc. Prioritized remediation of information security vulnerabilities based on service model aware multi-dimensional security risk scoring
US11410061B2 (en) * 2019-07-02 2022-08-09 Servicenow, Inc. Dynamic anomaly reporting
WO2021009531A1 (ja) * 2019-07-12 2021-01-21 日産自動車株式会社 情報処理装置、情報処理方法、及びプログラム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005267505A (ja) * 2004-03-22 2005-09-29 Fujitsu Ltd 交通管理システム
JP2013003896A (ja) * 2011-06-17 2013-01-07 Nec Corp 情報提供装置、情報提供方法およびプログラム
KR20150052431A (ko) * 2013-11-05 2015-05-14 현대자동차주식회사 사고 자동차의 긴급도 통지 시스템과 그 방법
JP2020102159A (ja) * 2018-12-25 2020-07-02 トヨタ自動車株式会社 車両制御装置及び車両制御方法

Also Published As

Publication number Publication date
DE112021001648T5 (de) 2023-03-23
US11748157B2 (en) 2023-09-05
JP2021149260A (ja) 2021-09-27
US20230350714A1 (en) 2023-11-02
US20220413907A1 (en) 2022-12-29
JP7262000B2 (ja) 2023-04-21

Similar Documents

Publication Publication Date Title
WO2021186857A1 (ja) 優先度判定システム、優先度判定方法及びプログラム
US11363045B2 (en) Vehicle anomaly detection server, vehicle anomaly detection system, and vehicle anomaly detection method
US20220084328A1 (en) Vehicle monitoring apparatus, fraud detection server, and control methods
US12028353B2 (en) Threat analysis apparatus, threat analysis method, and recording medium
CN113033860A (zh) 一种汽车故障预测方法、装置、电子设备及存储介质
US20230205181A1 (en) Control mode switching apparatus and control mode switching method
CN113129596A (zh) 行驶数据处理方法、装置、设备、存储介质及程序产品
CN111897304B (zh) 用于机器系统中实时诊断和故障监视的方法、设备和系统
CN112600839A (zh) 基于车联网平台构建安全威胁关联视图的方法及装置
EP3989060A2 (en) Methods for prioritizing updates for vehicle fleets
CN117707112B (zh) 一种故障诊断方法、系统、设备及存储介质
US20220276931A1 (en) Inhibiting recommendation of driver installations for drivers that are likely to cause a system failure
Trifonov et al. Enabling technologies for safety critical communications
WO2024089935A1 (ja) 優先度判定システム、優先度判定方法及びプログラム
CN115497289A (zh) 车辆监控处理方法以及装置
CN113386797A (zh) 用于控制自动驾驶车辆的方法、装置、设备、介质和产品
US20240056422A1 (en) Information processing device, program, and information processing method
CN118247640B (zh) 基于人脸识别设备的端侧算力协同控制方法及装置
EP4350551A1 (en) Integrity verification device and integrity verification method
US20240152608A1 (en) Method for supporting decision-making in security control environment based on artificial intelligence
WO2024135506A1 (ja) 情報通知方法及び情報通知装置
US20240045728A1 (en) Method for processing sensor data
CN105024968B (zh) 一种网络安全测量方法、装置及系统
CN118672237A (zh) 故障分析方法、系统、存储介质、电子设备及程序产品
CN115866603A (zh) 一种车辆安全防御方法、装置、电子设备及可读存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21770558

Country of ref document: EP

Kind code of ref document: A1

122 Ep: pct application non-entry in european phase

Ref document number: 21770558

Country of ref document: EP

Kind code of ref document: A1