WO2022049637A1 - 異常監視装置および異常監視方法 - Google Patents

異常監視装置および異常監視方法 Download PDF

Info

Publication number
WO2022049637A1
WO2022049637A1 PCT/JP2020/033122 JP2020033122W WO2022049637A1 WO 2022049637 A1 WO2022049637 A1 WO 2022049637A1 JP 2020033122 W JP2020033122 W JP 2020033122W WO 2022049637 A1 WO2022049637 A1 WO 2022049637A1
Authority
WO
WIPO (PCT)
Prior art keywords
log
abnormality
vehicle
attack means
control
Prior art date
Application number
PCT/JP2020/033122
Other languages
English (en)
French (fr)
Inventor
亮 平野
剛 岸川
良浩 氏家
Original Assignee
パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ filed Critical パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority to PCT/JP2020/033122 priority Critical patent/WO2022049637A1/ja
Priority to EP21863953.2A priority patent/EP4209948A4/en
Priority to PCT/JP2021/025869 priority patent/WO2022049895A1/ja
Priority to JP2022546911A priority patent/JPWO2022049895A1/ja
Priority to CN202180052018.4A priority patent/CN115968472A/zh
Publication of WO2022049637A1 publication Critical patent/WO2022049637A1/ja
Priority to US18/112,246 priority patent/US20230208859A1/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05D—SYSTEMS FOR CONTROLLING OR REGULATING NON-ELECTRIC VARIABLES
    • G05D1/00—Control of position, course or altitude of land, water, air, or space vehicles, e.g. automatic pilot
    • G05D1/0011—Control of position, course or altitude of land, water, air, or space vehicles, e.g. automatic pilot associated with a remote control arrangement
    • G05D1/0022—Control of position, course or altitude of land, water, air, or space vehicles, e.g. automatic pilot associated with a remote control arrangement characterised by the communication link
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/146—Tracing the source of attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks

Definitions

  • This disclosure relates to a device and a method for monitoring an abnormality in a vehicle remote control system.
  • a vehicle remote control system in which the operator remotely controls the vehicle according to the driving location of the vehicle.
  • the vehicle remote control system it is necessary to analyze the cause of the accident when the vehicle operates abnormally and causes a property damage accident or a personal injury accident.
  • the causes of the accident are assumed to be physical attacks on the vehicle, abnormal operations by the operator, and cyber attacks.
  • a physical attack on a vehicle is, for example, an attack in which a malicious third party physically approaches the vehicle and rolls over the vehicle.
  • An operator's anomalous operation is, for example, an attack in which a malicious operator rolls over the vehicle.
  • a cyber attack is, for example, an attack in which an attacker disguises the communication between the vehicle and the operator and rolls over the vehicle.
  • Patent Document 1 As a method of detecting a cyber attack on a vehicle, for example, a method of monitoring a frame flowing on a network in a vehicle to detect an abnormality is described in Patent Document 1.
  • the abnormality monitoring device collects and compares the control log of the vehicle and the operation log of the operator, and whether the cause of the abnormality is a cyber attack. , It can be judged whether it is an abnormal operation of the operator. As a result, it is possible to take measures according to the cause, so that safer autonomous driving mobility can be provided.
  • an abnormality monitoring device in a vehicle remote control system, collects an operation log which is a history of vehicle operation commands from the vehicle operation device, and a vehicle control command from the vehicle control device.
  • the log collection unit that collects the control log, which is the history of the above, the abnormality detection unit that detects an abnormality when the operation log and the control log do not match, and the first attack means when the abnormality is detected.
  • the abnormality monitoring device of the present disclosure it is possible to determine whether the cause of the abnormality occurring in the vehicle remote control system is a cyber attack or an abnormal operation of the operator. As a result, it is possible to take measures according to the cause, so that safer autonomous driving mobility can be provided.
  • FIG. 1 is a diagram showing an overall configuration diagram of a vehicle remote control system according to the first embodiment of the present disclosure.
  • FIG. 2 is a diagram showing a configuration diagram of an abnormality monitoring device according to the first embodiment of the present disclosure.
  • FIG. 3 is a diagram showing a configuration diagram of a vehicle operating device according to the first embodiment of the present disclosure.
  • FIG. 4 is a diagram showing a configuration diagram of a vehicle control device according to the first embodiment of the present disclosure.
  • FIG. 5 is a diagram showing an example of an operation log according to the first embodiment of the present disclosure.
  • FIG. 6 is a diagram showing an example of a control log according to the first embodiment of the present disclosure.
  • FIG. 7 is a diagram showing an example of a position log in the first embodiment of the present disclosure.
  • FIG. 1 is a diagram showing an overall configuration diagram of a vehicle remote control system according to the first embodiment of the present disclosure.
  • FIG. 2 is a diagram showing a configuration diagram of an abnormality monitoring device according to the first embodiment
  • FIG. 8 is a diagram showing an example of a log according to the first embodiment of the present disclosure.
  • FIG. 9 is a diagram showing an example of an abnormality detection rule in the first embodiment of the present disclosure.
  • FIG. 10 is a diagram showing an example of an attack means determination rule in the first embodiment of the present disclosure.
  • FIG. 11 is a diagram showing an example of an abnormality countermeasure rule in the first embodiment of the present disclosure.
  • FIG. 12 is a diagram showing a processing sequence of vehicle remote control according to the first embodiment of the present disclosure.
  • FIG. 13 is a diagram showing a log collection processing sequence according to the first embodiment of the present disclosure.
  • FIG. 14 is a diagram showing a processing sequence from abnormality detection to abnormality countermeasures in the first embodiment of the present disclosure.
  • FIG. 15 is a diagram showing a flowchart of the abnormality detection process according to the first embodiment of the present disclosure.
  • FIG. 16 is a diagram showing a flowchart of the attack means determination process according to the first embodiment of the present disclosure
  • the abnormality monitoring device is an abnormality monitoring device in a vehicle remote control system, and the abnormality monitoring device is an operation that is a history of vehicle operation commands from the vehicle operation device.
  • a log collecting unit that collects logs and collects a control log that is a history of vehicle control commands from the vehicle control device, an abnormality detecting unit that detects an abnormality when the operation log and the control log do not match, and the above.
  • the operation log and the vehicle log do not match, it is highly possible that the operator's operation command was tampered with in the communication path between the vehicle operation device and the vehicle control device and executed in the vehicle.
  • the attack means is a communication channel, the attack can be effectively stopped by stopping the remote control function of the vehicle (an example of countermeasures against the first attack means).
  • the log collecting unit collects the hash value of the operation log which is the history of the vehicle operation command from the vehicle operation device, and the hash value of the control log which is the history of the vehicle control command from the vehicle control device.
  • the abnormality detection unit is an abnormality monitoring device that detects an abnormality when the hash value of the operation log and the hash value of the control log do not match.
  • the abnormality detection unit further detects an abnormality in each of the operation log and the control log according to a predetermined rule
  • the attack means determination unit further detects an abnormality in both the operation log and the control log.
  • the means is an operator (an example of a second attack means).
  • the attack means is an operator
  • the attack can be effectively stopped by destroying the access authority of the operator to the vehicle operation device (an example of countermeasures against the second attack means).
  • the log collecting unit further receives a position log, which is a history of vehicle position information, from the vehicle control device, and the abnormality detecting unit detects abnormalities in the operation log, the control log, and the position log.
  • the attack means determination unit is an abnormality monitoring device that detects according to a predetermined rule and determines that it is a third attack means when only the position log is abnormal.
  • the attack means is a short range (an example of a third attack means).
  • the attack can be effectively stopped by issuing a warning to the surroundings of the vehicle control device using an alarm alarm or the like (an example of countermeasures against the third attack means). ..
  • the attack means determination unit determines that a malicious vehicle operation command has been inserted in the communication path between the vehicle operation device and the vehicle control device as the first attack means, and uses the vehicle operation device as the second attack means. It is determined that the operator has transmitted a malicious vehicle operation command, and it is determined that the attack means is physically attacked by the vehicle control device as the third attack means, and the abnormality countermeasure unit is the first.
  • the remote control function of the vehicle control device is stopped, and when it is determined to be a second attack means, the access authority to the vehicle operation device of the operator is abandoned, and the third It is an abnormality monitoring device that warns the surroundings of the vehicle control device when it is determined to be an attack means.
  • the abnormality monitoring method collects an operation log which is a history of vehicle operation commands from a vehicle operation device, and a control log which is a history of vehicle control commands from a vehicle control device.
  • a log collection step for collecting the above an abnormality detection step for detecting an abnormality when the operation log and the control log do not match, and an attack means for determining the first attack means when the abnormality is detected.
  • the operation log and the vehicle log do not match, it is highly possible that the operator's operation command was tampered with in the communication path between the vehicle operation device and the vehicle control device and executed in the vehicle.
  • the attack means is a communication channel, the attack can be effectively stopped by stopping the remote control function of the vehicle (an example of countermeasures against the first attack means).
  • these general or specific embodiments may be realized by a recording medium such as a system, a method, an integrated circuit, a computer program, or a computer-readable CD-ROM, and the system, the method, the integrated circuit, or the computer. It may be realized by any combination of a program or a recording medium.
  • the abnormality detection device according to the embodiment will be described with reference to the drawings.
  • the embodiments shown here are all specific examples of the present disclosure. Therefore, the numerical values, the components, the arrangement and connection form of the components, and the steps and the order of the steps as the elements of the process shown in the following embodiments are examples and do not limit the present disclosure. ..
  • the components in the following embodiments the components not described in the independent claims are components that can be arbitrarily added. Further, each figure is a schematic view and is not necessarily exactly illustrated.
  • FIG. 1 is an overall configuration diagram of a vehicle remote control system according to the first embodiment of the present disclosure.
  • the vehicle remote control system includes an abnormality monitoring device 10, a vehicle operation device 20, and a vehicle control device 30.
  • the abnormality monitoring device 10, the vehicle operation device 20, and the vehicle control device 30 are connected via an external network such as the Internet.
  • the connection form to the external network may be wired or wireless, and the vehicle operation device 20 and the vehicle control device 30 may be connected to a local area such as a 5G network or a radio radio without going through an external network. It may be connected by a network.
  • the abnormality monitoring device 10 is a device for monitoring an abnormality of the vehicle operation device 20 and the vehicle control device 30, collects an operation log which is a history of operation commands from the vehicle operation device 20, and a history of control commands from the vehicle control device 30.
  • the control log, which is the history of the vehicle position information, and the position log, which is the history of the vehicle position information, are collected and the abnormality is monitored.
  • the abnormality monitoring device 10 may monitor a plurality of vehicle operation devices 20 and a plurality of vehicle control devices 30.
  • the vehicle operation device 20 is a remote control device for the operator to remotely control the vehicle, receives input of an operation command, and transmits the operation command to the vehicle control device 30.
  • the vehicle operation device 20 may operate a plurality of vehicle control devices 30.
  • the vehicle control device 30 is a control device for controlling a vehicle in response to an operation command from the vehicle operation device 20, receives an operation command from the vehicle operation device 20, and executes the operation command in the vehicle.
  • the executed operation command is called a control command.
  • FIG. 2 is a configuration diagram of the abnormality monitoring device 10 according to the first embodiment.
  • the abnormality monitoring device 10 includes a communication unit 101, a log collecting unit 102, a log storage unit 103, an abnormality detecting unit 104, an attack means determination unit 105, and an abnormality notification unit 106.
  • the communication unit 101 communicates with the vehicle operation device 20 and the vehicle control device 30 via an external network.
  • the log collecting unit 102 receives the operation log from the vehicle operation device 20, and receives the control log and the position log from the vehicle control device 30.
  • the log storage unit 103 stores the received operation log, control log, and position log.
  • the abnormality detection unit 104 detects an abnormality using an operation log, a control log, and a position log based on the abnormality detection rule. Details of the anomaly detection rule and the anomaly detection method will be described later.
  • the attack means determination unit 105 determines the attack means based on the abnormal means determination rule. The details of the attack means determination method will be described later.
  • the abnormality notification unit 106 notifies the vehicle operation device 20 and the vehicle control device 30 of information including attack means when an abnormality is detected. If the driver is on board the vehicle, the driver may be notified of the abnormality, or the security guard near the vehicle may be notified of the abnormality.
  • FIG. 3 is a block diagram of the vehicle operating device 20 according to the first embodiment of the present disclosure.
  • the vehicle operation device 20 includes a communication unit 201, an operation command input unit 202, an operation command transmission unit 203, an operation log storage unit 204, an operation log transmission unit 205, and an abnormality countermeasure unit 206. Be prepared.
  • the communication unit 201 communicates with the abnormality monitoring device 10 and the vehicle control device 30 via an external network.
  • the operation command input unit 202 receives input of an operation command instructing the control of the vehicle from the operator in charge of remote control of the vehicle.
  • control commands may be entered with a keyboard and mouse or a gaming controller.
  • the operation command transmission unit 203 transmits the input operation command to the vehicle control device 30.
  • the operation log storage unit 204 stores the history of operation commands as an operation log. The details of the operation log will be described later.
  • the operation log transmission unit 205 transmits the operation log to the abnormality monitoring device 10.
  • the abnormality countermeasure unit 206 receives the attack means determined from the abnormality monitoring device 10 and implements countermeasures according to the abnormality countermeasure rule based on the attack means. The details of the anomaly countermeasure rule will be described later.
  • FIG. 4 is a block diagram of the vehicle control device 30 according to the first embodiment of the present disclosure.
  • the vehicle control device 30 includes a communication unit 301, an operation command receiving unit 302, a vehicle control unit 303, a control log storage unit 304, a position log storage unit 305, a control log transmission unit 306, and a position.
  • a log transmission unit 307 and an abnormality countermeasure unit 308 are provided.
  • the communication unit 301 communicates with the abnormality monitoring device 10 and the vehicle operation device 20 via an external network.
  • the operation command receiving unit 302 receives an operation command from the abnormality monitoring device 10.
  • the vehicle control unit 303 controls the vehicle based on the operation command. Further, the position information at the time of vehicle control is acquired from GPS or the like. The command that controls the vehicle is called a control command. Details of the control commands will be described later.
  • the control log storage unit 304 stores the history of control commands as a control log. The details of the control log will be described later.
  • the position log storage unit 305 stores the history of vehicle position information as a position log. The details of the location log will be described later.
  • the control log transmission unit 306 transmits the control log to the abnormality monitoring device 10.
  • the position log transmission unit 307 transmits the position log to the abnormality monitoring device 10.
  • the abnormality countermeasure unit 308 receives the attack means determined from the abnormality monitoring device 10, and implements countermeasures according to the abnormality countermeasure rules based on the attack means. The details of the anomaly countermeasure rule will be described later.
  • FIG. 5 is an example of an operation log held by the vehicle operating device 20 according to the first embodiment of the present disclosure.
  • the operation log is composed of a time and an operation command.
  • the operation command is a vehicle operation command input from the operator via the operation command input unit 202, and the time is the time when the operation command is transmitted by the operation command transmission unit 203. Is.
  • the operation commands include, for example, right movement, left movement, right turn, left turn, forward, backward, action A, action B, and the like.
  • Right movement, left movement, right turn, left turn, forward movement, and backward movement are examples of commands that control the movement of the vehicle.
  • Action A and action B are examples of commands for controlling special movements of the vehicle, specifically, opening the door of the vehicle, restarting the system of the vehicle, warning alert to a vehicle approaching person, and the like.
  • operation command at time T8 is described as (abnormal), it is for explaining that the operation command action B contains an abnormality, and is not described in the actual operation log. ..
  • the operation log it can be detected as an abnormality when the action B is executed even though the operation authority of the action B is not given to the operator. Further, for example, when the action B is executed even though the operation condition of the action B and the state of the vehicle do not match, it can be detected as an abnormality. Further, for example, when the action B is executed even though it does not match the operation condition of the action B, it can be detected as an abnormality. Further, for example, the operator can detect an abnormality when the action B is executed even though the action B is not normally executed.
  • FIG. 6 is an example of a control log held by the vehicle control device 30 according to the first embodiment of the present disclosure.
  • the control log is composed of a time and a control command.
  • the control command is a control command received from the operator via the operation command receiving unit 302 and executed by the vehicle control unit 303, and the time is controlled by the vehicle. It is the time executed by the unit 303.
  • the control commands include, for example, right movement, left movement, right turn, forward movement, backward movement, action A, action B, action C, and the like.
  • Right movement, left movement, right turn, left turn, forward movement, and backward movement are examples of commands that control the movement of the vehicle.
  • Action A, action B, and action C are commands for controlling the special movement of the vehicle, specifically, the door of the vehicle is opened, the system of the vehicle is restarted, a warning alert is given to an approaching vehicle, and the like.
  • control command at time T4 has a description of (abnormal), it is for the purpose of explaining that the control command contains an abnormality, and is not described in the actual control log.
  • the control log it is possible to detect an abnormality when the action C is executed even though the operation authority of the action C is not given to the vehicle. Further, for example, when the action C is executed even though the operation condition of the action C and the state of the vehicle do not match, it can be detected as an abnormality. Further, for example, when the action C is executed even though it does not match the operation condition of the action C, it can be detected as an abnormality. Further, for example, when the action C is executed even though the vehicle does not normally execute the action C, it can be detected as an abnormality.
  • FIG. 7 is an example of the position log held by the vehicle control device 30 in the first embodiment of the present disclosure.
  • the position log is composed of time and position information, and the position information is stored by acquiring the position information of the vehicle when the control command is executed by the vehicle control unit 303 from GPS or the like.
  • the time is the time when the location information was acquired.
  • X, Y, Z and the like are described as the position information, where X represents latitude, Y represents longitude, and Z represents altitude.
  • position information at time T6 is described as (abnormal), it is for the purpose of explaining that the position information includes an abnormality, and is not described in the actual position information.
  • the vehicle has moved eastward twice by referring to the position information X, Y + 1, Z at time T5 and the position information X, Y + 2, Z at time T6. ..
  • the position log it can be seen that the vehicle has moved eastward twice by referring to the position information X, Y + 1, Z at time T5 and the position information X, Y + 2, Z at time T6. ..
  • it is difficult to move twice in the period of T6-T5 as the running performance of the vehicle if it moves twice, it is judged that the vehicle has been moved at a speed exceeding the performance by a third party and it is abnormal. Can be detected as.
  • the speed and acceleration of the vehicle may be used as the position log.
  • the vehicle control unit 303 acquires information from the speed sensor and the acceleration sensor and stores the vehicle speed and acceleration as a position log. As a result, when a third party physically impacts the vehicle, it can be detected as an abnormality.
  • FIG. 8 is an example of a log collected by the abnormality monitoring device 10.
  • the operation log is collected from the vehicle operation device 20, and the control log and the position log are collected and stored from the vehicle control device 30.
  • the log is composed of time, operation command, control command, and location information, as described in the operation log example, control log example, and location log example, respectively.
  • the time is rounded to 0.5 second units and treated as the same time.
  • 0.5 seconds is an example of a standard for rounding the time, and it is sufficient if there is a predetermined standard for rounding the time.
  • the operation command included in the log it is possible to detect the abnormality described in the explanation of the operation log example, and by referring to the control command included in the log, it is described in the explanation of the control log example.
  • the abnormality can be detected, and by referring to the position log included in the log, the abnormality described in the explanation of the example of the position log can be detected.
  • the vehicle control unit 303 executes the retreat as a control command, the vehicle is fixed by a third party. It can be detected as an abnormality.
  • the operation command at time T4 is a left turn, but the control command is action C. That is, it can be seen that the operation command has been tampered with and the action C has been executed in the vehicle in the communication path from the transmission of the operation command to the execution of the control command by a malicious third party, and it can be detected as an abnormality.
  • the operation log and control log may be acquired only by the hash value.
  • detailed detection such as inputting an operation command that is not normally operated by the operator and detecting it as an abnormality cannot be performed, but the judgment of whether the above operation command and the control command match is hashed. It can be realized only by the value.
  • the hash value of the operation log and the control log do not match due to communication delay.
  • a 1-minute control command group is used.
  • 0xABCD which is a hash value of a group of operation commands acquired in the period of D1 (T1-T8)
  • 0xEFGH which is a hash value of a group of control commands acquired in the period of D1
  • FIG. 9 is an example of an abnormality detection rule used by the abnormality monitoring device 10 for abnormality detection.
  • the abnormality detection rule is used when the abnormality detection unit 104 of the abnormality monitoring device 10 detects an abnormality using an operation log, a control log, and a position log.
  • Anomaly detection rules consist of numbers, types, and rules.
  • the number is the identification number of the abnormality detection rule
  • the type is the type of log used for abnormality detection
  • the rule is the condition to detect as an abnormality, and when the abnormality is detected as an abnormality, the abnormality is included.
  • the expected log type is described.
  • the abnormality detection rule of No. 1 a rule that uses the operation log and the control log to detect an abnormality when the operation command and the control command at the same time do not match, and determines that the control log contains an abnormality.
  • the rules shown in FIG. 9 describe, as an example, an example of an operation log, an example of a control log, an example of a position log, and an example of a log for detecting an abnormality.
  • FIG. 10 is an example of an attack means determination rule used by the abnormality monitoring device 10 for determining an attack means.
  • the attack means determination rule is used to determine the attack means in which the abnormality is caused by the attack means determination unit 105 of the abnormality monitoring device 10.
  • the attack method judgment rule consists of a number, a rule, and an attack method.
  • the number is an identification number of the attack means determination rule
  • the rule is a condition for determining the attack means, and the attack means to be determined is described.
  • the attack means determination rule of No. 1 when the operation command and the control command at the same time do not match, it is determined that the attack means is a communication path. If the operation command and the vehicle command do not match, it is highly possible that the operator's operation command was tampered with in the communication path between the vehicle operation device and the vehicle control device and executed in the vehicle, so the attack means is the communication path. (An example of the first attack means).
  • the attack means determination rule of No. 2 when an abnormality occurs in both the operation log and the control log, it is determined that the attack means is the operator. If an abnormality is detected in both the operation log and the control log, it is highly possible that the malicious operator entered the abnormal operation command and the abnormal control command was executed in the vehicle, so the attack method is the operator. (An example of the second attack means).
  • the attack means determination rule of No. 3 if an abnormality occurs only in the position log, it is determined that the attack means is a short distance. This is because if the abnormality is not detected in both the operation log and the control log, and the abnormality is detected only in the position log, it is possible that a third party physically approached the vehicle and caused the abnormality in the vehicle. Is high, so it is determined that the attack means is a short range (an example of a third attack means).
  • FIG. 11 is an example of an abnormality countermeasure rule used by the vehicle operation device 20 and the vehicle control device 30 for abnormality countermeasures.
  • the abnormality detection rule is used by the abnormality countermeasure unit 206 of the vehicle operation device 20 and the abnormality countermeasure unit 308 of the vehicle control device 30 to take countermeasures against the abnormality.
  • the anomaly countermeasure rule consists of attack means and rules.
  • the attack means is the type of the attack means determined by the attack means determination unit 105 of the abnormality monitoring device 10, and the rule describes the content to be implemented as a countermeasure against the corresponding attack means.
  • the attack is stopped by stopping the remote control function of the vehicle (measures against the first attack means).
  • the vehicle control unit 303 not accepting an operation command from the vehicle operation device 20.
  • the attack is stopped by destroying the access authority of the operator to the vehicle operation device (an example of countermeasures against the second attack means). This can be realized by the operation command input unit 202 not accepting the operation command from the operator.
  • the attack means when the attack means is a short distance, the attack is stopped by issuing a warning to the surroundings of the vehicle control device using an alarm alarm or the like (an example of countermeasures against the third attack means). This can be achieved by the abnormality countermeasure unit 308 executing an alarm operation.
  • FIG. 12 shows a processing sequence from the time when the operator inputs an operation command to the time when the operator controls the vehicle and stores the position information in the first embodiment of the present disclosure.
  • the operation command input unit 202 of the vehicle operation device 20 receives the input of the operation command from the operator and transmits the input operation command to the operation command transmission unit 203.
  • the operation command transmission unit 203 of the vehicle operation device 20 transmits the received operation command to the operation command reception unit 302, and stores the operation command and the time when the operation command is transmitted in the operation log storage unit 204.
  • the operation command receiving unit 302 of the vehicle control device 30 transmits the received operation command to the vehicle control unit 303.
  • the vehicle control unit 303 of the vehicle control device 30 executes vehicle control using the received operation command as a control command, and stores the executed control command and the execution time in the control log storage unit 304.
  • the vehicle control unit 303 of the vehicle control device 30 acquires the position information of the vehicle from GPS or the like, and stores the position information and the time when the position information is acquired in the position log storage unit 305.
  • FIG. 13 shows a processing sequence until the log collecting unit 102 in the first embodiment of the present disclosure collects and stores the operation log, the control log, and the position log.
  • the operation log transmission unit 205 transmits the operation log stored in the operation log storage unit 204 to the log collection unit 102.
  • the log collecting unit 102 stores the received operation log in the log storage unit 103.
  • the control log transmission unit 306 transmits the control log stored in the control log storage unit 304 to the log collection unit 102.
  • the log collecting unit 102 stores the received control log in the log storage unit 103.
  • the position log transmission unit 307 transmits the position log stored in the position log storage unit 305 to the log collection unit 102.
  • the log collecting unit 102 stores the received position log in the log storage unit 103.
  • the operation log transmission unit 205, the control log transmission unit 306, and the position log transmission unit 307 may periodically transmit the log to the log collection unit 102, or transmit the log according to the storage capacity of the log. Alternatively, it may be transmitted according to an instruction from the log collecting unit 102.
  • the abnormality detection unit 104 acquires the operation log, control log, and position log stored in the log storage unit 103.
  • the abnormality detection unit 104 detects an abnormality by inputting an operation log, a control log, and a position log by using an abnormality detection rule. When an abnormality is detected, the abnormality detection unit 104 notifies the attack means determination unit 105 of the detected abnormality. The details of the abnormality detection method will be described later.
  • the attack means determination unit 105 When the attack means determination unit 105 receives an abnormality, it acquires the operation log, control log, and position log stored in the log storage unit 103. Then, the attack means is determined by using the attack means determination rule. The determined attack means is transmitted to the abnormality notification unit 106. The details of the attack means determination method will be described later.
  • the abnormality notification unit 106 transmits the attack means determined by the occurrence of the abnormality and the attack means determination unit 105 to the abnormality countermeasure unit 206 or the abnormality countermeasure unit 308.
  • the abnormality countermeasure unit 206 or the abnormality countermeasure unit 308 implements countermeasures according to the attack means by using the abnormality countermeasure rules.
  • FIG. 15 shows a flowchart of the abnormality detection process of the abnormality detection unit 104 in the first embodiment of the present disclosure.
  • the abnormality detection unit 104 acquires the operation log, control log, and position log, and executes S1502.
  • the abnormality detection unit 104 determines the presence or absence of an abnormality by using the log acquired in S1501 and the abnormality detection rule. When an abnormality is detected in at least one of the operation log, the control log, and the position log, S1502 is executed. If no abnormality is detected, the process ends.
  • the details of the abnormality detection method are as described in the example of the abnormality detection rule.
  • the abnormality detection unit 104 determines that an abnormality has occurred in the vehicle, notifies the attack means determination unit 105 of the abnormality, and executes the termination.
  • FIG. 16 shows a flowchart of the abnormality detection process of the attack means determination unit 105 according to the first embodiment of the present disclosure.
  • the attack means determination unit 105 acquires the operation log, control log, and position log, and executes S1602.
  • the attack means determination unit 105 compares the operation log and the control log, and if they do not match, the attack means determination unit 105 executes S1603, and if they match, the attack means determination unit 105 executes S1605. .. It is as described in the example of the attack means judgment rule.
  • the attack means determination unit 105 determines that the attack means is the first attack means that is a communication path, and implements S1604.
  • the abnormality countermeasure unit 206 or the abnormality countermeasure unit 308 implements "stopping the remote control function of the vehicle control device" as a countermeasure for the first attack means, and ends. It is as described in the example of the abnormality countermeasure rule.
  • the attack means determination unit 105 confirms whether or not there is an abnormality in the operation log and whether or not there is an abnormality in the control log, and when both the operation log and the control log are abnormal, the attack means determination unit 105 executes S1606. However, if the condition that both the operation log and the control log are abnormal is not satisfied, the attack means determination unit 105 implements S1608. It is as described in the example of the attack means judgment rule. In addition, the method of confirming the presence or absence of abnormality in each log is as described in an example of the attack detection rule.
  • the attack means determination unit 105 determines that the attack means is the second attack means of the operator, and implements S1607.
  • the abnormality countermeasure unit 308 implements "destroy the operator's access authority to the vehicle operation device" as a countermeasure for the second attack means, and terminates. This is as described in the example of the abnormality countermeasure rule.
  • the attack means determination unit 105 executes S1609 when only the position log is abnormal, and ends when the condition that only the position log is abnormal is not satisfied. This is as described in an example of the attack means determination rule. In addition, the method of confirming the presence or absence of abnormality in each log is as described in an example of the attack detection rule.
  • the attack means determination unit 105 determines that the attack means is a third attack means at a short distance, and implements S1610.
  • the abnormality countermeasure unit 308 implements "warning the surroundings of the vehicle control device" as a countermeasure for the third attack means, and ends. This is as described in the example of the abnormality countermeasure rule.
  • the first embodiment has been described as an example of the technique according to the present disclosure.
  • the technique according to the present disclosure is not limited to this, and can be applied to embodiments in which changes, replacements, additions, omissions, etc. are made as appropriate.
  • the following modifications are also included in one embodiment of the present disclosure.
  • a part or all of the components constituting each device in the above embodiment may be composed of one system LSI (Large Scale Integration: large-scale integrated circuit).
  • the system LSI is a super-multifunctional LSI manufactured by integrating a plurality of components on one chip, and specifically, is a computer system including a microprocessor, a ROM, a RAM, and the like. .. A computer program is recorded in the RAM.
  • the system LSI achieves its function by operating the microprocessor according to the computer program.
  • each part of the constituent elements constituting each of the above devices may be individually integrated into one chip, or may be integrated into one chip so as to include a part or all of them.
  • a system LSI it may be referred to as an IC, an LSI, a super LSI, or an ultra LSI depending on the degree of integration.
  • the method of making an integrated circuit is not limited to the LSI, and may be realized by a dedicated circuit or a general-purpose processor.
  • An FPGA Field Programmable Gate Array
  • a reconfigurable processor that can reconfigure the connection and settings of the circuit cells inside the LSI may be used.
  • an integrated circuit technology that replaces an LSI appears due to advances in semiconductor technology or another technology derived from it, it is naturally possible to integrate functional blocks using that technology. The application of biotechnology may be possible.
  • each of the above devices may be composed of an IC card or a single module that can be attached to and detached from each device.
  • An IC card or module is a computer system composed of a microprocessor, ROM, RAM, and the like.
  • the IC card or module may include the above-mentioned super multifunctional LSI.
  • the microprocessor operates according to a computer program, the IC card or module achieves its function.
  • This IC card or this module may have tamper resistance.
  • a program that realizes an abnormality detection method by a computer may be used, or a digital signal composed of a computer program may be used.
  • a computer program or a recording medium capable of reading a digital signal by a computer for example, a flexible disk, a hard disk, a CD-ROM, MO, a DVD, a DVD-ROM, a DVD-RAM, or a BD (Blu).
  • -It may be recorded on a ray (registered trademark) Disc), a semiconductor memory, or the like. Further, it may be a digital signal recorded on these recording media.
  • a computer program or a digital signal may be transmitted via a telecommunication line, a wireless or wired communication line, a network typified by the Internet, data broadcasting, or the like.
  • a computer system including a microprocessor and a memory, in which the memory records the computer program, and the microprocessor may operate according to the computer program. Further, it may be carried out by another independent computer system by recording the program or digital signal on a recording medium and transferring it, or by transferring the program or digital signal via a network or the like.
  • the scope of the present disclosure also includes a form realized by arbitrarily combining the above-described embodiment and each component and function shown in the above-mentioned modification.
  • the abnormality monitoring device collects and compares the control log of the vehicle and the operation log of the operator, and the cause of the abnormality is a cyber attack or the operator's abnormality. Determine if it is an operation. As a result, it is possible to take measures according to the cause, and the purpose is to provide safer autonomous driving mobility.
  • Abnormality monitoring device 20 Vehicle operation device 30 Vehicle control device 101 Communication unit 102 Log collection unit 103 Log storage unit 104 Abnormality detection unit 105 Attack means judgment unit 106 Abnormality notification unit 201 Communication unit 202 Operation command input unit 203 Operation command transmission unit 204 Operation log storage 205 Operation log transmission 206 Abnormality countermeasure unit 301 Communication unit 302 Operation command reception unit 303 Vehicle control unit 304 Control log storage unit 305 Position log storage unit 306 Control log transmission unit 307 Position log transmission unit 308 Abnormality countermeasure unit

Abstract

車両は電動化されており、制御コマンドをなりすますことにより不正に操作される脅威がある。しかしながら、車両遠隔操作システムの場合、車両内のネットワーク上で検知された異常がオペレーターの異常操作による異常であるか、サイバー攻撃による異常であるか判断することができない課題がある。本開示は、上記課題を解決するために、異常監視装置が車両の制御ログとオペレーターの操作ログを収集して比較することで、異常の原因がサイバー攻撃であるか、オペレーターの異常操作であるか判断することで、原因に応じた効果的な対策を講じることができるため、より安全な自律走行モビリティを提供できる。

Description

異常監視装置および異常監視方法
　本開示は、車両遠隔操作システムにおいて、異常を監視する装置および方法に関する。
　近年、ドライバーの人材不足の解消や、事故ゼロ社会の実現を目的として自動運転車両など自律走行モビリティの導入が期待されている。しかしながら、宅配用途ではドアツードアの自律走行が要求され、高速道路や公道のみならず小道や砂利道などの走行が必要となるためシステム構築の難易度が高い。
　そこで、完全な自律走行モビリティが実現するまで、車両の走行場所に応じてオペレーターが遠隔から車両を制御する車両遠隔操作システムが必要とされる。
　また、完全な自律走行モビリティの実現後であっても、車両故障時またはサイバー攻撃時に自律走行が危険と判断される状態の場合、車両遠隔操作システムが必要とされる。
特許第５６６４７９９号公報
　車両遠隔操作システムにおいて、車両が異常動作して物損事故や人身事故を起こした場合の事故原因を解析する必要がある。事故原因として、車両への物理攻撃、オペレーターの異常操作、サイバー攻撃が想定される。
　車両への物理攻撃は、例えば、悪意のある第三者が車両に物理的に接近し、車両を横転させる攻撃である。オペレーターの異常操作は、例えば、悪意のあるオペレーターが車両を横転させる攻撃である。サイバー攻撃は、例えば、攻撃者が車両とオペレーターの通信を偽装して車両を横転させる攻撃である。
　車両へのサイバー攻撃を検知する方法として、例えば、車両内のネットワーク上を流れるフレームを監視して異常を検知する方法が特許文献１に記載されている。
　しかしながら、車両遠隔操作システムの場合、車両内のネットワーク上で検知された異常フレームがオペレーターの異常操作による異常フレームであるか、サイバー攻撃による異常フレームであるか判断することができないという課題がある。
　本開示は、従来の課題を解決するもので、車両遠隔操作システムにおいて、異常監視装置が車両の制御ログとオペレーターの操作ログを収集して比較することで、異常の原因がサイバー攻撃であるか、オペレーターの異常操作であるか判断できる。これにより、原因に応じた対策を講じることができるため、より安全な自律走行モビリティを提供できる。
　上記課題を解決するために、車両遠隔操作システムにおける異常監視装置であって、前記異常監視装置は、車両操作装置から車両操作コマンドの履歴である操作ログを収集し、車両制御装置から車両制御コマンドの履歴である制御ログを収集するログ収集部と、前記操作ログと前記制御ログが一致しない場合に異常であると検知する異常検知部と、前記異常を検知した場合に第一の攻撃手段であると判定する攻撃手段判定部と、前記第一の攻撃手段に対して対策を実施する異常対策部と、を備える、異常監視装置である。
　本開示の異常監視装置によれば、車両遠隔操作システムにおいて発生した異常の原因がサイバー攻撃であるか、オペレーターの異常操作であるか判断できる。これにより、原因に応じた対策を講じることができるため、より安全な自律走行モビリティを提供できる。
図１は、本開示の実施の形態１における車両遠隔操作システムの全体構成図を示した図である。 図２は、本開示の実施の形態１における異常監視装置の構成図を示した図である。 図３は、本開示の実施の形態１における車両操作装置の構成図を示した図である。 図４は、本開示の実施の形態１における車両制御装置の構成図を示した図である。 図５は、本開示の実施の形態１における操作ログの一例を示した図である。 図６は、本開示の実施の形態１における制御ログの一例を示した図である。 図７は、本開示の実施の形態１における位置ログの一例を示した図である。 図８は、本開示の実施の形態１におけるログの一例を示した図である。 図９は、本開示の実施の形態１における異常検知ルールの一例を示した図である。 図１０は、本開示の実施の形態１における攻撃手段判定ルールの一例を示した図である。 図１１は、本開示の実施の形態１における異常対策ルールの一例を示した図である。 図１２は、本開示の実施の形態１における車両遠隔操作の処理シーケンスを示した図である。 図１３は、本開示の実施の形態１におけるログ収集の処理シーケンスを示した図である。 図１４は、本開示の実施の形態１における異常検知から異常対策までの処理シーケンスを示した図である。 図１５は、本開示の実施の形態１における異常検知処理のフローチャートを示した図である。 図１６は、本開示の実施の形態１における攻撃手段判定処理のフローチャートを示した図である。
　上記課題を解決するために、本開示の一態様に係る異常監視装置は、車両遠隔操作システムにおける異常監視装置であって、前記異常監視装置は、車両操作装置から車両操作コマンドの履歴である操作ログを収集し、車両制御装置から車両制御コマンドの履歴である制御ログを収集するログ収集部と、前記操作ログと前記制御ログが一致しない場合に異常であると検知する異常検知部と、前記異常を検知した場合に第一の攻撃手段であると判定する攻撃手段判定部と、前記第一の攻撃手段に対して対策を実施する異常対策部と、を備える、異常監視装置である。
　これにより、操作ログと車両ログが一致しない場合は、車両操作装置と車両制御装置の間の通信路にてオペレーターの操作コマンドが改ざんされて車両にて実行された可能性が高いため、攻撃手段が通信路（第一の攻撃手段の一例）であると判定できる。攻撃手段が通信路である場合、車両の遠隔制御機能を停止する（第一の攻撃手段に対して対策の一例）ことで、攻撃を効果的に止めることができる。
　また、前記異常監視装置は、前記ログ収集部は、車両操作装置から車両操作コマンドの履歴である操作ログのハッシュ値を収集し、車両制御装置から車両制御コマンドの履歴である制御ログのハッシュ値を収集し、前記異常検知部は、前記操作ログのハッシュ値と前記制御ログのハッシュ値が一致しない場合に異常であると検知する、異常監視装置である。
　これにより、操作ログと車両ログを収集する通信量を抑えて効率的に操作ログと車両ログの一致を判定できる。
　また、前記異常検知部は、さらに、前記操作ログと前記制御ログのそれぞれの異常を所定のルールにて検知し、前記攻撃手段判定部は、さらに、前記操作ログと前記制御ログの両方で異常が検知された場合に第二の攻撃手段であると判定し、前記攻撃手段の種類に応じて対策を実施する異常対策部と、を備える異常監視装置である。
　これにより、操作ログと制御ログの両方で異常が検知された場合は、悪意のあるオペレーターが異常な操作コマンドを入力し、車両にて異常な制御コマンドが実行された可能性が高いため、攻撃手段がオペレーター（第二の攻撃手段の一例）であると判定できる。攻撃手段がオペレーターである場合、オペレーターの車両操作装置へのアクセス権限を破棄する（第二の攻撃手段に対して対策の一例）ことで、攻撃を効果的に止めることができる。
　また、前記ログ収集部は、さらに、車両制御装置から車両の位置情報の履歴である位置ログを受信し、前記異常検知部は、前記操作ログと前記制御ログと前記位置ログのそれぞれの異常を所定のルールにて検知し、前記攻撃手段判定部は、前記位置ログのみが異常である場合に第三の攻撃手段であると判定する、異常監視装置である。
　これにより、操作ログと制御ログの両方で異常が検知されず、位置ログのみで異常が検知された場合は、第三者が車両に物理的に接近して、車両に異常をもたらした可能性が高いため、攻撃手段が近距離（第三の攻撃手段の一例）であると判定できる。攻撃手段が近距離である場合、警報アラームなどを用いて車両制御装置の周囲へ警告を実施する（第三の攻撃手段に対して対策の一例）ことで、攻撃を効果的に止めることができる。
　また、前記攻撃手段判定部は、第一の攻撃手段として車両操作装置と車両制御装置の通信路で悪意のある車両操作コマンドが挿入されたと判定し、第二の攻撃手段として車両操作装置を利用するオペレーターが悪意のある車両操作コマンドを送信したと判定し、第三の攻撃手段として車両制御装置へ物理的に攻撃されたという攻撃手段であると判定し、前記異常対策部は、第一の攻撃手段と判定された場合に前記車両制御装置の遠隔制御機能の停止を実施し、第二の攻撃手段と判定された場合に前記オペレーターの車両操作装置へのアクセス権限を破棄し、第三の攻撃手段と判定された場合に前記車両制御装置の周囲への警告を実施する異常監視装置である。
　これにより、判定された攻撃手段に応じて、効果的な対策手段を選択して実行できる。
　また、車両遠隔操作システムにおける異常監視方法であって、前記異常監視方法は、車両操作装置から車両操作コマンドの履歴である操作ログを収集し、車両制御装置から車両制御コマンドの履歴である制御ログを収集するログ収集ステップと、前記操作ログと前記制御ログが一致しない場合に異常であると検知する異常検知ステップと、前記異常を検知した場合に第一の攻撃手段であると判定する攻撃手段判定ステップと、前記第一の攻撃手段に対して対策を実施する異常対策ステップと、を備える、異常監視方法である。
　これにより、操作ログと車両ログが一致しない場合は、車両操作装置と車両制御装置の間の通信路にてオペレーターの操作コマンドが改ざんされて車両にて実行された可能性が高いため、攻撃手段が通信路（第一の攻撃手段の一例）であると判定できる。攻撃手段が通信路である場合、車両の遠隔制御機能を停止する（第一の攻撃手段に対して対策の一例）ことで、攻撃を効果的に止めることができる。
　なお、これらの全般的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ－ＲＯＭ等の記録媒体で実現されても良く、システム、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されてもよい。
　以下、実施の形態に係る異常検知装置について図面を参照しながら説明する。ここで示す実施の形態は、いずれも本開示の一具体例を示すものである。従って、以下の実施の形態で示される数値、構成要素、構成要素の配置及び接続形態、並びに、処理の要素としてのステップ及びステップの順序等は、一例であって本開示を限定するものではない。以下の実施の形態における構成要素のうち、独立請求項に記載されていない構成要素については、任意に付加可能な構成要素である。また、各図は、模式図であり、必ずしも厳密に図示されたものではない。
　（実施の形態１）
　［車両遠隔制御システムの全体構成］
　図１は、本開示の実施の形態１における車両遠隔制御システムの全体構成図である。
　図１において、車両遠隔制御システムは、異常監視装置１０と、車両操作装置２０と、車両制御装置３０を備える。
　異常監視装置１０と、車両操作装置２０と、車両制御装置３０は、インターネット等の外部ネットワークを介して接続される。ここで、外部ネットワークへの接続形態は、有線であっても無線であってもよいし、車両操作装置２０と車両制御装置３０は、外部ネットワークを介さずに５Ｇネットワークやラジオ無線等のローカルエリアネットワークにて接続されてもよい。
　異常監視装置１０は、車両操作装置２０と車両制御装置３０の異常を監視する装置であり、車両操作装置２０から操作コマンドの履歴である操作ログを収集し、車両制御装置３０から制御コマンドの履歴である制御ログと、車両の位置情報の履歴である位置ログを収集して異常を監視する。ここで、異常監視装置１０は、複数の車両操作装置２０と複数の車両制御装置３０を監視してもよい。
　車両操作装置２０は、オペレーターが車両を遠隔制御するための遠隔操作装置であり、操作コマンドの入力を受け付け、車両制御装置３０へ操作コマンドを送信する。ここで、車両操作装置２０は、複数の車両制御装置３０を操作してもよい。
　車両制御装置３０は、車両操作装置２０から操作コマンドに応じて車両を制御するための制御装置であり、車両操作装置２０から操作コマンドを受信し、車両にて実行する。実行された操作コマンドを制御コマンドと呼ぶ。
　［異常監視装置１０の構成］
　図２は、本実施の形態１における異常監視装置１０の構成図である。図２において、異常監視装置１０は、通信部１０１と、ログ収集部１０２と、ログ記憶部１０３と、異常検知部１０４と、攻撃手段判定部１０５と、異常通知部１０６と、を備える。
　通信部１０１は、外部ネットワークを介して車両操作装置２０と車両制御装置３０と通信する。
　ログ収集部１０２は、車両操作装置２０から操作ログを受信し、車両制御装置３０から制御ログと位置ログを受信する。
　ログ記憶部１０３は、受信した操作ログと制御ログと位置ログを記憶する。
　異常検知部１０４は、異常検知ルールに基づいて操作ログと制御ログと位置ログを用いて異常を検出する。異常検知ルールおよび異常検知方法についての詳細は後述する。
　攻撃手段判定部１０５は、異常手段判定ルールに基づいて攻撃手段を判定する。攻撃手段判定方法の詳細は後述する。
　異常通知部１０６は、異常検知時に車両操作装置２０と車両制御装置３０へ攻撃手段を含む情報を通知する。また、車両にドライバーが搭乗している場合は、ドライバーへ異常を通知してもよいし、車両近くの警備員へ異常を通知してもよい。
　［車両操作装置２０の構成］
　図３は、本開示の実施の形態１における車両操作装置２０の構成図である。図３において、車両操作装置２０は、通信部２０１と、操作コマンド入力部２０２と、操作コマンド送信部２０３と、操作ログ記憶部２０４と、操作ログ送信部２０５と、異常対策部２０６と、を備える。
　通信部２０１は、外部ネットワークを介して異常監視装置１０と車両制御装置３０と通信する。
　操作コマンド入力部２０２は、車両の遠隔制御を担当するオペレーターから車両の制御を指示する操作コマンドの入力を受け付ける。ここで、制御コマンドはキーボードとマウスまたはゲーミングコントローラーで入力されてもよい。
　操作コマンド送信部２０３は、入力された操作コマンドを車両制御装置３０へ送信する。
　操作ログ記憶部２０４は、操作コマンドの履歴を操作ログとして記憶する。操作ログの詳細については後述する。
　操作ログ送信部２０５は、操作ログを異常監視装置１０へ送信する。
　異常対策部２０６は、異常監視装置１０から判定された攻撃手段を受信し、攻撃手段に基づく異常対策ルールに応じて対策を実施する。異常対策ルールの詳細については後述する。
　［車両制御装置３０の構成］
　図４は、本開示の実施の形態１における車両制御装置３０の構成図である。図４において、車両制御装置３０は、通信部３０１と、操作コマンド受信部３０２と、車両制御部３０３と、制御ログ記憶部３０４と、位置ログ記憶部３０５と、制御ログ送信部３０６と、位置ログ送信部３０７と、異常対策部３０８と、を備える。
　通信部３０１は、外部ネットワークを介して異常監視装置１０と車両操作装置２０と通信する。
　操作コマンド受信部３０２は、異常監視装置１０から操作コマンドを受信する。
　車両制御部３０３は、操作コマンドに基づいて車両を制御する。さらに、車両制御時の位置情報をＧＰＳ等から取得する。車両を制御したコマンドを制御コマンドと呼ぶ。制御コマンドの詳細については後述する。
　制御ログ記憶部３０４は、制御コマンドの履歴を制御ログとして記憶する。制御ログの詳細については後述する。
　位置ログ記憶部３０５は、車両の位置情報の履歴を位置ログとして記憶する。位置ログの詳細については後述する。
　制御ログ送信部３０６は、制御ログを異常監視装置１０へ送信する。
　位置ログ送信部３０７は、位置ログを異常監視装置１０へ送信する。
　異常対策部３０８は、異常監視装置１０から判定された攻撃手段を受信し、攻撃手段に基づく異常対策ルールに応じて対策を実施する。異常対策ルールの詳細については後述する。
　［操作ログの一例］
　図５は、本開示の実施の形態１における車両操作装置２０が保持する操作ログの一例である。
　操作ログは、時刻と操作コマンドで構成され、操作コマンドは操作コマンド入力部２０２を介してオペレーターから入力された車両の操作コマンドであり、時刻は操作コマンドが操作コマンド送信部２０３によって送信された時刻である。
　操作コマンドは、例えば、右移動、左移動、右旋回、左旋回、前進、後退、アクションＡ、アクションＢなどが記載される。
　右移動、左移動、右旋回、左旋回、前進、後退は車両の移動を制御するコマンドの一例である。
　アクションＡ、アクションＢは、車両の特殊動作を制御するコマンドの一例であり、具体的には車両のドアオープンまたは車両のシステム再起動、車両接近者に対する警告アラートなどである。
　また、時刻Ｔ８における操作コマンドには、（異常）と記載があるが、操作コマンドであるアクションＢに異常が含まれていることを説明するためであり、実際の操作ログには記載されていない。
　例えば、操作ログを参照することで、オペレーターに対してアクションＢの操作権限が与えられていないにも関わらずアクションＢが実行された場合に異常として検知可能である。また、例えば、アクションＢの操作条件と車両の状態が一致していないにも関わらずアクションＢが実行された場合に異常として検知可能である。また、例えば、アクションＢの操作条件と一致していないにも関わらずアクションＢが実行された場合に異常として検知可能である。また、例えば、オペレーターは普段アクションＢを実行していないにも関わらずアクションＢが実行された場合に異常として検知可能である。
　［制御ログの一例］
　図６は、本開示の実施の形態１における車両制御装置３０が保持する制御ログの一例である。
　制御ログは、時刻と制御コマンドで構成され、制御コマンドは操作コマンド受信部３０２を介してオペレーターから受信して、車両制御部３０３にて実行された制御コマンドであり、時刻は制御コマンドが車両制御部３０３にて実行された時刻である。
　制御コマンドは、例えば、右移動、左移動、右旋回、前進、後退、アクションＡ、アクションＢ、アクションＣなどが記載される。
　右移動、左移動、右旋回、左旋回、前進、後退は車両の移動を制御するコマンドの一例である。
　アクションＡ、アクションＢ、アクションＣは、車両の特殊動作を制御するコマンドであり、具体的には車両のドアオープンまたは車両のシステム再起動、車両接近者に対する警告アラートなどである。
　また、時刻Ｔ４における制御コマンドには、（異常）と記載があるが、制御コマンドに異常が含まれていることを説明するためであり、実際の制御ログには記載されない。
　例えば、制御ログを参照することで、車両に対してアクションＣの操作権限が与えられていないにも関わらずアクションＣが実行された場合に異常として検知可能である。また、例えば、アクションＣの操作条件と車両の状態が一致していないにも関わらずアクションＣが実行された場合に異常として検知可能である。また、例えば、アクションＣの操作条件と一致していないにも関わらずアクションＣが実行された場合に異常として検知可能である。また、例えば、車両が普段アクションＣを実行していないにも関わらずアクションＣが実行された場合に異常として検知可能である。
　［位置ログの一例］
　図７は、本開示の実施の形態１における車両制御装置３０が保持する位置ログの一例である。
　位置ログは、時刻と位置情報で構成され、位置情報は車両制御部３０３にて制御コマンドが実行された際の車両の位置情報がＧＰＳなどから取得して記憶する。時刻は位置情報が取得された時刻である。
　位置情報は、例えば、Ｘ、Ｙ、Ｚなどが記載され、Ｘは緯度、Ｙは経度、Ｚは標高を表す。
　また、時刻Ｔ６における位置情報には、（異常）と記載があるが、位置情報に異常が含まれていることを説明するためであり、実際の位置情報には記載されない。
　例えば、位置ログを参照することで、時刻Ｔ５の位置情報Ｘ、Ｙ＋１、Ｚと、時刻Ｔ６の位置情報Ｘ、Ｙ＋２、Ｚを参照することで、車両が東向きに２度移動したことがわかる。ここで、車両の走行性能としてＴ６－Ｔ５の期間で２度移動することは困難にも関わらず２度移動した場合、第三者によって性能を上回る速度で車両が移動させられたと判断して異常として検知可能である。
　また、位置情報に加えて、車両の速度や加速度を位置ログとして用いてもよい。この場合、車両の速度や加速度は車両制御部３０３が速度センサーおよび加速度センサーから情報取得して、位置ログとして記憶する。これにより、第三者が車両へ物理的に衝撃を与えた場合に、異常として検知可能となる。
　［ログの一例］
　図８は、異常監視装置１０が収集するログの一例である。車両操作装置２０から操作ログを収集し、車両制御装置３０から制御ログと位置ログを収集して記憶する。
　ログは、時刻、操作コマンド、制御コマンド、位置情報で構成され、それぞれ、操作ログの一例、制御ログの一例、位置ログの一例で述べた通りである。
　また、それぞれ時刻として、操作コマンドの送信時刻と、制御コマンドの実行時刻と、位置情報の取得時刻を用いるため、通信遅延などで完全に一致しない。そこで、通信遅延を考慮して時刻を０．５秒単位に丸めて、同一時刻として扱う。
　ここで、０．５秒は時刻を丸める基準の一例であり、時刻を丸める所定の基準があればよい。
　また、ログには（異常）と記載が含まれる例もあるが、ログに異常が含まれていることを説明するためであり、実際のログには記載されない。
　例えば、ログに含まれる操作コマンドを参照することで、操作ログの一例の説明で述べた異常を検知可能となり、ログに含まれる制御コマンドを参照することで、制御ログの一例の説明で述べた異常を検知可能となり、ログに含まれる位置ログを参照することで、位置ログの一例の説明で述べた異常を検知可能となる。
　さらに、同一時刻の制御コマンドと位置情報を参照することで、車両制御部３０３にて制御コマンドとして後退が実行されたにも関わらず位置情報に変化がない場合、第三者によって車両が固定されているとして異常として検知可能である。
　さらに、同一時刻の操作コマンドと制御コマンドを参照することで、オペレーターの操作コマンドが車両にて正しく実行されているかどうかを判定できる。
　例えば、時刻Ｔ４の操作コマンドは左旋回であるが、制御コマンドはアクションＣである。つまり、悪意のある第三者によって、操作コマンドの送信から制御コマンドの実行までの通信路において操作コマンドが改ざんされてアクションＣが車両にて実行されたことがわかり、異常として検知可能である。
　また、操作ログと制御ログはハッシュ値のみで取得してもよい。ハッシュ値で取得する場合、普段オペレーターが操作していない操作コマンドが入力されて異常として検知するなどの詳細な検知はできないものの、前述の操作コマンドと制御コマンドが一致しているかどうかという判定はハッシュ値のみで実現可能である。
　ハッシュ値で取得する場合、詳細な時刻情報をハッシュ関数の入力に含めると通信遅延のため操作ログと制御ログのハッシュ値が一致しないため、ハッシュ関数の入力として、例えば、１分間の操作コマンド群および、１分間の制御コマンド群を用いる。例えば、Ｄ１（Ｔ１－Ｔ８）の期間で取得された操作コマンドの群のハッシュ値である０ｘＡＢＣＤと、Ｄ１の期間で取得された制御コマンドの群のハッシュ値である０ｘＥＦＧＨを取得して記憶する。Ｔ４にて操作コマンドと制御コマンドが一致していないため、操作コマンドの群のハッシュ値と制御コマンドの群のハッシュ値も一致しない。
　［異常検知ルールの一例］
　図９は、異常監視装置１０が異常検知に利用する異常検知ルールの一例である。異常検知ルールは、異常監視装置１０の異常検知部１０４にて操作ログ、制御ログ、位置ログを用いて異常を検知する際に利用される。
　異常検知ルールは、番号、種類、ルールで構成される。番号は異常検知ルールの識別番号であり、種類は異常検知に用いるログの種類であり、ルールは異常として検知する条件であり、異常箇所は異常として検知した場合に、異常が含まれていると想定されるログの種類が記載される。
　例えば、番号１の異常検知ルールでは、操作ログと制御ログを用いて、同一時刻の操作コマンドと制御コマンドが一致しない場合に異常として検知し、制御ログに異常が含まれていると判定するルールが記載される。図９に記載のルールは、それぞれ、操作ログの一例、制御ログの一例、位置ログの一例、ログの一例で述べた異常を検知するためのルールを一例として記載している。
　このように、異常検知部１０４が異常検知ルールを保持することで、操作ログ、制御ログ、位置ログのそれぞれに対して異常の検知が可能である。
　［攻撃手段判定ルールの一例］
　図１０は、異常監視装置１０が攻撃手段判定に利用する攻撃手段判定ルールの一例である。攻撃手段判定ルールは、異常監視装置１０の攻撃手段判定部１０５にて異常が引き起こされた攻撃手段を判定するために利用される。
　攻撃手段判定ルールは、番号と、ルールと、攻撃手段で構成される。番号は攻撃手段判定ルールの識別番号であり、ルールは攻撃手段を判定する条件であり、攻撃手段は判定される攻撃手段が記載される。
　例えば、番号１の攻撃手段判定ルールでは、同一時刻の操作コマンドと制御コマンドが一致しない場合に、攻撃手段は通信路であると判定する。操作コマンドと車両コマンドが一致しない場合は、車両操作装置と車両制御装置の間の通信路にてオペレーターの操作コマンドが改ざんされて車両にて実行された可能性が高いため、攻撃手段が通信路（第一の攻撃手段の一例）であると判定する。
　例えば、番号２の攻撃手段判定ルールでは、操作ログと制御ログの両方で異常が発生した場合に、攻撃手段はオペレーターであると判定する。操作ログと制御ログの両方で異常が検知された場合は、悪意のあるオペレーターが異常な操作コマンドを入力し、車両にて異常な制御コマンドが実行された可能性が高いため、攻撃手段がオペレーター（第二の攻撃手段の一例）であると判定する。
　例えば、番号３の攻撃手段判定ルールでは、位置ログのみで異常が発生した場合、攻撃手段は近距離であると判定する。これは、操作ログと制御ログの両方で異常が検知されず、位置ログのみで異常が検知された場合は、第三者が車両に物理的に接近して、車両に異常をもたらした可能性が高いため、攻撃手段が近距離（第三の攻撃手段の一例）であると判定する。
　［異常対策ルールの一例］
　図１１は、車両操作装置２０と車両制御装置３０が異常対策に利用する異常対策ルールの一例である。異常検知ルールは、車両操作装置２０の異常対策部２０６と、車両制御装置３０の異常対策部３０８にて異常の対策手段を講じるために利用される。
　異常対策ルールは、攻撃手段、ルールで構成される。攻撃手段は異常監視装置１０の攻撃手段判定部１０５が判定した攻撃手段の種類であり、ルールは該当する攻撃手段に対する対策として実施する内容が記載される。
　例えば、攻撃手段が通信路である場合の異常対策ルールでは、攻撃手段が通信路である場合、車両の遠隔制御機能を停止することで、攻撃を止める（第一の攻撃手段に対して対策の一例）。車両制御部３０３が車両操作装置２０からの操作コマンドを受け付けないことで実現可能である。
　また、攻撃手段がオペレーターである場合の異常対策ルールでは、オペレーターの車両操作装置へのアクセス権限を破棄することで、攻撃を止める（第二の攻撃手段に対して対策の一例）。操作コマンド入力部２０２がオペレーターからの操作コマンドを受け付けないことで実現可能である。
　また、攻撃手段が近距離である場合、警報アラームなどを用いて車両制御装置の周囲へ警告を実施することで、攻撃を止める（第三の攻撃手段に対して対策の一例）。異常対策部３０８が警報動作を実行することで実現可能である。
　このように、異常対策ルールを用いることで、攻撃手段判定部１０５判定した攻撃手段に応じて対策を講じることが可能になる。
　［車両遠隔操作の処理シーケンス］
　図１２は、本開示の実施の形態１におけるオペレーターが操作コマンドを入力してから車両を制御して位置情報を記憶するまでの処理シーケンスを示している。
　（Ｓ１２０１）車両操作装置２０の操作コマンド入力部２０２は、オペレーターから操作コマンドの入力を受け付け、入力された操作コマンドを操作コマンド送信部２０３へ送信する。
　（Ｓ１２０２）車両操作装置２０の操作コマンド送信部２０３は、受信した操作コマンドを操作コマンド受信部３０２へ送信し、操作コマンドと操作コマンドが送信された時刻を操作ログ記憶部２０４へ記憶する。
　（Ｓ１２０３）車両制御装置３０の操作コマンド受信部３０２は、受信した操作コマンドを車両制御部３０３へ送信する。
　（Ｓ１２０４）車両制御装置３０の車両制御部３０３は、受信した操作コマンドを制御コマンドとして、車両の制御を実行し、実行された制御コマンドと実行された時刻を制御ログ記憶部３０４へ記憶する。
　（Ｓ１２０５）車両制御装置３０の車両制御部３０３は、ＧＰＳなどから車両の位置情報を取得し、位置情報と位置情報を取得した時刻を位置ログ記憶部３０５へ記憶する。
　［ログ収集の処理シーケンス］
　図１３は、本開示の実施の形態１におけるログ収集部１０２が操作ログと制御ログと位置ログを収集して記憶するまでの処理シーケンスを示している。
　（Ｓ１３０１）操作ログ送信部２０５は、操作ログ記憶部２０４が記憶している操作ログをログ収集部１０２へ送信する。
　（Ｓ１３０２）ログ収集部１０２は、受信した操作ログをログ記憶部１０３に記憶する。
　（Ｓ１３０３）制御ログ送信部３０６は、制御ログ記憶部３０４が記憶している制御ログをログ収集部１０２へ送信する。
　（Ｓ１３０４）ログ収集部１０２は、受信した制御ログをログ記憶部１０３に記憶する。
　（Ｓ１３０５）位置ログ送信部３０７は、位置ログ記憶部３０５が記憶している位置ログをログ収集部１０２へ送信する。
　（Ｓ１３０６）ログ収集部１０２は、受信した位置ログをログ記憶部１０３に記憶する。
　ここで、操作ログ送信部２０５と、制御ログ送信部３０６と、位置ログ送信部３０７は、定期的にログをログ収集部１０２へ送信してもよいし、ログの記憶容量に応じて送信してもよいし、ログ収集部１０２からの指示に応じて送信してもよい。
　［異常検知から異常対策までの処理シーケンス］
　図１４は、本開示の実施の形態１におけるログ収集部１０２が操作ログと制御ログと位置ログを収集してから異常検知部１０４が異常を検知し、攻撃手段判定部１０５が攻撃手段を判定し、異常対策部２０６または異常対策部３０８が異常対策を実施するまでの処理シーケンスを示している。
　（Ｓ１４０１）異常検知部１０４は、ログ記憶部１０３が記憶している操作ログと制御ログと位置ログを取得する。
　（Ｓ１４０２）異常検知部１０４は、異常検知ルールを用いて、操作ログと制御ログと位置ログを入力として異常を検知する。異常を検知した場合、異常検知部１０４は、検知した異常を攻撃手段判定部１０５へ通知する。異常検知方法の詳細は後述する。
　（Ｓ１４０３）攻撃手段判定部１０５は、異常を受信した場合、ログ記憶部１０３が記憶している操作ログと制御ログと位置ログを取得する。そして、攻撃手段判定ルールを用いて、攻撃手段を判定する。判定された攻撃手段を異常通知部１０６へ送信する。攻撃手段判定方法の詳細は後述する。
　（Ｓ１４０４）異常通知部１０６は、異常の発生と攻撃手段判定部１０５判定した攻撃手段を異常対策部２０６または異常対策部３０８へ送信する。
　（Ｓ１４０５）異常対策部２０６または異常対策部３０８は、異常対策ルールを用いて、攻撃手段に応じた対策を実施する。
　［異常検知処理のフローチャート］
　図１５に、本開示の実施の形態１における異常検知部１０４の異常検知処理のフローチャートを示す。
　（Ｓ１５０１）異常検知部１０４は、操作ログ、制御ログ、位置ログを取得し、Ｓ１５０２を実施する。
　（Ｓ１５０２）異常検知部１０４は、Ｓ１５０１で取得したログと異常検知ルールを用いて、異常の有無を判定する。操作ログ、制御ログ、位置ログのうち、少なくとも１つのログにおいて異常が検知された場合、Ｓ１５０２を実施する。異常が検知されなかった場合、終了する。異常検知方法の詳細は異常検知ルールの一例にて述べた通りである。
　（Ｓ１５０３）異常検知部１０４は、車両に異常が発生していると判定し、攻撃手段判定部１０５に異常を通知して、終了を実施する。
　［攻撃手段判定処理のフローチャート］
　図１６に、本開示の実施の形態１における攻撃手段判定部１０５の異常検知処理のフローチャートを示す。
　（Ｓ１６０１）攻撃手段判定部１０５は、操作ログ、制御ログ、位置ログを取得し、Ｓ１６０２を実施する。
　（Ｓ１６０２）攻撃手段判定部１０５は、操作ログと制御ログを比較し、一致しない場合、攻撃手段判定部１０５はＳ１６０３を実施し、一致している場合、攻撃手段判定部１０５はＳ１６０５を実施する。攻撃手段判定ルールの一例にて述べた通りである。
　（Ｓ１６０３）攻撃手段判定部１０５は、攻撃手段が通信路である第一の攻撃手段と判定し、Ｓ１６０４を実施する。
　（Ｓ１６０４）異常対策部２０６または異常対策部３０８は、第一の攻撃手段の対策として「車両制御装置の遠隔制御機能の停止」を実施し、終了する。異常対策ルールの一例にて述べた通りである。
　（Ｓ１６０５）攻撃手段判定部１０５は、操作ログの異常の有無と制御ログの異常の有無を確認し、操作ログと制御ログの両方が異常である場合、攻撃手段判定部１０５は、Ｓ１６０６を実施し、操作ログと制御ログの両方が異常であるという条件を満たさない場合、攻撃手段判定部１０５は、Ｓ１６０８を実施する。攻撃手段判定ルールの一例にて述べた通りである。また、それぞれのログの異常の有無の確認方法は攻撃検知ルールの一例にて述べた通りである。
　（Ｓ１６０６）攻撃手段判定部１０５は、攻撃手段がオペレーターである第二の攻撃手段と判定し、Ｓ１６０７を実施する。
　（Ｓ１６０７）異常対策部３０８は、第二の攻撃手段の対策として、「オペレーターの車両操作装置へのアクセス権限を破棄」を実施し、終了する。これは、異常対策ルールの一例にて述べた通りである。
　（Ｓ１６０８）攻撃手段判定部１０５は、位置ログのみ異常である場合、Ｓ１６０９を実施し、位置ログのみ異常であるという条件を満たさない場合、終了する。これは、攻撃手段判定ルールの一例にて述べた通りである。また、それぞれのログの異常の有無の確認方法は攻撃検知ルールの一例にて述べた通りである。
　（Ｓ１６０９）攻撃手段判定部１０５は、攻撃手段が近距離である第三の攻撃手段と判定し、Ｓ１６１０を実施する。
　（Ｓ１６１０）異常対策部３０８は、第三の攻撃手段の対策として、「車両制御装置の周囲への警告を実施」を実施し、終了する。これは、異常対策ルールの一例にて述べた通りである。
　（他の実施の形態）
　以上のように、本開示に係る技術の例示として実施の形態１を説明した。しかしながら、本開示に係る技術は、これに限定されず、適宜、変更、置き換え、付加、省略等を行った実施の形態にも適用可能である。例えば、以下のような変形例も本開示の一実施態様に含まれる。
　（１）上記実施の形態では、自動車に対するセキュリティ対策として説明したが、適用範囲はこれに限られない。自動車に限らず、建機、農機、船舶、鉄道、飛行機などのモビリティにも適用してもよい。
　（２）上記実施の形態における各装置を構成する構成要素の一部又は全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ　Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしても良い。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等を含んで構成されるコンピュータシステムである。ＲＡＭには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。また、上記各装置を構成する構成要素の各部は、個別に１チップ化されていても良いし、一部又は全部を含むように１チップ化されても良い。また、ここでは、システムＬＳＩとしたが、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現しても良い。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用しても良い。更には、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行っても良い。バイオ技術の適用等が可能性としてあり得る。
　（３）上記各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしても良い。ＩＣカード又はモジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。ＩＣカード又はモジュールは、上記の超多機能ＬＳＩを含むとしても良い。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、ＩＣカード又はモジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしてもよい。
　（４）本開示の一態様としては、異常検知の方法をコンピュータにより実現するプログラム（コンピュータプログラム）であるとしても良いし、コンピュータプログラムからなるデジタル信号であるとしても良い。また、本開示の一態様としては、コンピュータプログラム又はデジタル信号をコンピュータで読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ―ｒａｙ（登録商標）　Ｄｉｓｃ）、半導体メモリ等に記録したものとしても良い。また、これらの記録媒体に記録されているデジタル信号であるとしても良い。また、本開示の一態様としては、コンピュータプログラム又はデジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしても良い。また、本開示の一態様としては、マイクロプロセッサとメモリを備えたコンピュータシステムであって、メモリは、上記コンピュータプログラムを記録しており、マイクロプロセッサは、コンピュータプログラムに従って動作するとしても良い。また、プログラム若しくはデジタル信号を記録媒体に記録して移送することにより、又は、プログラム若しくはデジタル信号を、ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
　（５）上記実施の形態及び上記変形例で示した各構成要素及び機能を任意に組み合わせることで実現される形態も本開示の範囲に含まれる。
　本開示の車両遠隔操作システムにおける異常監視装置によれば、異常監視装置が車両の制御ログとオペレーターの操作ログを収集して比較することで、異常の原因がサイバー攻撃であるか、オペレーターの異常操作であるか判断する。これにより、原因に応じた対策を講じることができるため、より安全な自律走行モビリティを提供することを目的とする。
　１０　異常監視装置
　２０　車両操作装置
　３０　車両制御装置
　１０１　通信部
　１０２　ログ収集部
　１０３　ログ記憶部
　１０４　異常検知部
　１０５　攻撃手段判定部
　１０６　異常通知部
　２０１　通信部
　２０２　操作コマンド入力部
　２０３　操作コマンド送信部
　２０４　操作ログ記憶部
　２０５　操作ログ送信部
　２０６　異常対策部
　３０１　通信部
　３０２　操作コマンド受信部
　３０３　車両制御部
　３０４　制御ログ記憶部
　３０５　位置ログ記憶部
　３０６　制御ログ送信部
　３０７　位置ログ送信部
　３０８　異常対策部

Claims (6)

  1. 　車両遠隔操作システムにおける異常監視装置であって、
    　前記異常監視装置は、
    　車両操作装置から車両操作コマンドの履歴である操作ログを収集し、車両制御装置から車両制御コマンドの履歴である制御ログを収集するログ収集部と、
    　前記操作ログと前記制御ログが一致しない場合に異常であると検知する異常検知部と、
    　前記異常を検知した場合に第一の攻撃手段であると判定する攻撃手段判定部と、
    　前記第一の攻撃手段に対して対策を実施する異常対策部と、を備える、
    　異常監視装置。
  2. 　前記異常監視装置は、
    　前記ログ収集部は、車両操作装置から車両操作コマンドの履歴である操作ログのハッシュ値を収集し、車両制御装置から車両制御コマンドの履歴である制御ログのハッシュ値を収集し、
    　前記異常検知部は、前記操作ログのハッシュ値と前記制御ログのハッシュ値が一致しない場合に異常であると検知する、
    　請求項１記載の異常監視装置。
  3. 　前記異常検知部は、さらに、前記操作ログと前記制御ログのそれぞれの異常を所定のルールにて検知し、
    　前記攻撃手段判定部は、さらに、前記操作ログと前記制御ログの両方で異常が検知された場合に第二の攻撃手段であると判定し、
    　前記攻撃手段の種類に応じて対策を実施する異常対策部と、を備える、
    　請求項１または２に記載の異常監視装置。
  4. 　前記ログ収集部は、さらに、車両制御装置から車両の位置情報の履歴である位置ログを受信し、
    　前記異常検知部は、前記操作ログと前記制御ログと前記位置ログのそれぞれの異常を所定のルールにて検知し、
    　前記攻撃手段判定部は、前記位置ログのみが異常である場合に第三の攻撃手段であると判定する、
    　請求項１から３のいずれか１項に記載の異常監視装置。
  5. 　前記攻撃手段判定部は、第一の攻撃手段として車両操作装置と車両制御装置の通信路で悪意のある車両操作コマンドが挿入されたと判定し、第二の攻撃手段として車両操作装置を利用するオペレーターが悪意のある車両操作コマンドを送信したと判定し、第三の攻撃手段として車両制御装置へ物理的に攻撃されたという攻撃手段であると判定し、
    　前記異常対策部は、第一の攻撃手段と判定された場合に前記車両制御装置の遠隔制御機能の停止を実施し、第二の攻撃手段と判定された場合に前記オペレーターの車両操作装置へのアクセス権限を破棄し、第三の攻撃手段と判定された場合に前記車両制御装置の周囲への警告を実施する、
    　請求項１から４のいずれか１項に記載の異常監視装置。
  6. 　車両遠隔操作システムにおける異常監視方法であって、
    　前記異常監視方法は、
    　車両操作装置から車両操作コマンドの履歴である操作ログを収集し、車両制御装置から車両制御コマンドの履歴である制御ログを収集するログ収集ステップと、
    　前記操作ログと前記制御ログが一致しない場合に異常であると検知する異常検知ステップと、
    　前記異常を検知した場合に第一の攻撃手段であると判定する攻撃手段判定ステップと、
    　前記第一の攻撃手段に対して対策を実施する異常対策ステップと、を備える、
    　異常監視方法。
PCT/JP2020/033122 2020-09-01 2020-09-01 異常監視装置および異常監視方法 WO2022049637A1 (ja)

Priority Applications (6)

Application Number Priority Date Filing Date Title
PCT/JP2020/033122 WO2022049637A1 (ja) 2020-09-01 2020-09-01 異常監視装置および異常監視方法
EP21863953.2A EP4209948A4 (en) 2020-09-01 2021-07-08 ANOMALY MONITORING DEVICE AND ANOMALY MONITORING METHOD
PCT/JP2021/025869 WO2022049895A1 (ja) 2020-09-01 2021-07-08 異常監視装置および異常監視方法
JP2022546911A JPWO2022049895A1 (ja) 2020-09-01 2021-07-08
CN202180052018.4A CN115968472A (zh) 2020-09-01 2021-07-08 异常监视装置以及异常监视方法
US18/112,246 US20230208859A1 (en) 2020-09-01 2023-02-21 Anomaly monitoring apparatus and anomaly monitoring method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2020/033122 WO2022049637A1 (ja) 2020-09-01 2020-09-01 異常監視装置および異常監視方法

Publications (1)

Publication Number Publication Date
WO2022049637A1 true WO2022049637A1 (ja) 2022-03-10

Family

ID=80490743

Family Applications (2)

Application Number Title Priority Date Filing Date
PCT/JP2020/033122 WO2022049637A1 (ja) 2020-09-01 2020-09-01 異常監視装置および異常監視方法
PCT/JP2021/025869 WO2022049895A1 (ja) 2020-09-01 2021-07-08 異常監視装置および異常監視方法

Family Applications After (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/025869 WO2022049895A1 (ja) 2020-09-01 2021-07-08 異常監視装置および異常監視方法

Country Status (5)

Country Link
US (1) US20230208859A1 (ja)
EP (1) EP4209948A4 (ja)
JP (1) JPWO2022049895A1 (ja)
CN (1) CN115968472A (ja)
WO (2) WO2022049637A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017539018A (ja) * 2015-03-31 2017-12-28 エスゼット ディージェイアイ テクノロジー カンパニー リミテッドＳｚ Ｄｊｉ Ｔｅｃｈｎｏｌｏｇｙ Ｃｏ．，Ｌｔｄ ユーザー操作データを遠隔制御車両に記録する装置、リモートコントローラ、及びシステム
JP2019129529A (ja) * 2018-01-22 2019-08-01 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ データ解析装置及びプログラム
JP2019174426A (ja) * 2018-03-29 2019-10-10 パナソニックＩｐマネジメント株式会社 異常検知装置、異常検知方法およびプログラム

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5664799B2 (ja) 2011-12-22 2015-02-04 トヨタ自動車株式会社 通信システム及び通信方法
WO2019021922A1 (ja) * 2017-07-26 2019-01-31 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知装置および異常検知方法
EP3744584A4 (en) * 2018-01-22 2021-06-02 Panasonic Intellectual Property Corporation of America VEHICLE MONITORING DEVICE, COUNTERFEIT DETECTION SERVER, AND CONTROL METHOD

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017539018A (ja) * 2015-03-31 2017-12-28 エスゼット ディージェイアイ テクノロジー カンパニー リミテッドＳｚ Ｄｊｉ Ｔｅｃｈｎｏｌｏｇｙ Ｃｏ．，Ｌｔｄ ユーザー操作データを遠隔制御車両に記録する装置、リモートコントローラ、及びシステム
JP2019129529A (ja) * 2018-01-22 2019-08-01 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ データ解析装置及びプログラム
JP2019174426A (ja) * 2018-03-29 2019-10-10 パナソニックＩｐマネジメント株式会社 異常検知装置、異常検知方法およびプログラム

Also Published As

Publication number Publication date
WO2022049895A1 (ja) 2022-03-10
EP4209948A1 (en) 2023-07-12
JPWO2022049895A1 (ja) 2022-03-10
US20230208859A1 (en) 2023-06-29
EP4209948A4 (en) 2024-01-24
CN115968472A (zh) 2023-04-14

Similar Documents

Publication Publication Date Title
WO2019142458A1 (ja) 車両監視装置、不正検知サーバ、および、制御方法
EP3752943B1 (en) System and method for side-channel based detection of cyber-attack
WO2020090146A1 (ja) 車両用システム及び制御方法
US20180373866A1 (en) Cyber security system for a vehicle
CN103981820B (zh) 车辆通道控制装置
EP4163183A1 (en) Information security protection method and apparatus
US20210334151A1 (en) Dynamic communications paths for sensors in an autonomous vehicle
CN111052681A (zh) 异常检测电子控制单元、车载网络系统及异常检测方法
US20220254198A1 (en) Vehicle log transmission device, vehicle log collection system, vehicle log transmission method, and save priority level changing device
WO2019162290A1 (de) Überwachungssystem für eine schutzeinrichtung und schutzeinrichtung
EP4024250A1 (en) Vehicle monitoring device and vehicle monitoring method
US20210349997A1 (en) Anomalous vehicle detection server and anomalous vehicle detection method
CN103177592B (zh) 车云智士系统及其实现方法
EP3732913A1 (de) Steuereinheit und verfahren zum manipulationsgeschütztes erfassen von betriebssicherheitsrelevanten integritätsüberwachungsdaten
US20190236477A1 (en) Fiber sensing on roadside applications
DE102018120328A1 (de) Sicherheitseinrichtung mit erweiterter Zuverlässigkeit
CN112540555A (zh) 用于远程控制机动车的方法
WO2022049637A1 (ja) 異常監視装置および異常監視方法
CN107610495A (zh) 驾驶责任确定方法、数据备份装置、判断系统和载具
EP3449416B1 (de) Verfahren und vorrichtung zum löschen von sicherheitsrelevanter information in einem gerät
JP2022161674A (ja) Ｅｔｃ制御装置及びｅｔｃ制御方法
KR101736789B1 (ko) 블랙박스 데이터 관리 장치 및 그 방법
CN108337115A (zh) 网络状态处理方法及装置
US20240017732A1 (en) Notification apparatus, notification method, and non-transitory computer-readable storage medium
WO2023058212A1 (ja) 制御装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20952377

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20952377

Country of ref document: EP

Kind code of ref document: A1