WO2022176253A1 - 電子制御システム - Google Patents

電子制御システム Download PDF

Info

Publication number
WO2022176253A1
WO2022176253A1 PCT/JP2021/034901 JP2021034901W WO2022176253A1 WO 2022176253 A1 WO2022176253 A1 WO 2022176253A1 JP 2021034901 W JP2021034901 W JP 2021034901W WO 2022176253 A1 WO2022176253 A1 WO 2022176253A1
Authority
WO
WIPO (PCT)
Prior art keywords
safety
security
event
unit
function
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2021/034901
Other languages
English (en)
French (fr)
Inventor
ギョーム ボリッツ
恒太 井手口
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Astemo Ltd
Original Assignee
Hitachi Astemo Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Astemo Ltd filed Critical Hitachi Astemo Ltd
Priority to US18/264,452 priority Critical patent/US12524537B2/en
Publication of WO2022176253A1 publication Critical patent/WO2022176253A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Program-control systems
    • G05B19/02—Program-control systems electric
    • G05B19/04—Program control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/048—Monitoring; Safety
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Definitions

  • the present invention relates to electronic control systems.
  • the vehicle is equipped with a large number of electronic control units, which communicate with each other to achieve advanced processing.
  • Patent Document 1 discloses a communication interface unit that performs communication processing with an external device, determines whether or not there is a denial of service attack, and if a denial of service attack is detected, causes the communication interface unit to restrict reception, and a security treatment unit a determination unit that instructs attachment of cutoff information data indicating that reception is restricted to the transmission data to the transmission data; a security processing unit that replaces return data contained in the received data and sent back to the external device with the cutoff information data; a black channel diagnostic unit for performing black channel diagnostics for checking integrity; attaching predetermined data for black channel diagnostics, including the return data, to transmission data to the external device;
  • a control device is disclosed that includes a black channel delivery unit that passes to a treatment unit, and a safety processing unit that includes a safety processing unit.
  • the electronic control system includes a security event analysis unit that reads a log recording the operation of the device, detects a security event that is an event related to information security, and a response to the safety event that is an event related to functional safety.
  • a security function execution unit that can execute a security function that is a response to the security event; and the safety function and the security function that correspond to the security event.
  • a storage unit that stores correspondence information indicating at least one of; a function corresponding to the security event detected by the security event analysis unit is specified based on the correspondence information; a determination unit that causes at least one of the security function execution units to execute the event, and in the correspondence information, the event classified as at least one security event is recorded so as to correspond to the safety function.
  • the safety event handling function to handle security events, it is possible to reduce the development of functions for handling security events.
  • Configuration diagram of an electronic control system according to an embodiment Diagram showing an example of a functional safety countermeasure table Diagram showing an example of an information security countermeasure table Flowchart showing gateway processing Flowchart showing gateway processing in modified example 1 Configuration diagram of gateway in modification 7
  • safety means functional safety, for example "absence of unreasonable risk due to hazards caused by malfunctioning behavior of electrical and electronic systems” as defined in ISO26262.
  • Security means information security, such as maintaining the confidentiality, integrity and availability of information. In the following, “security” is also referred to as "information security”.
  • a state in which safety is threatened or a state in which safety is not maintained is referred to as a "safety event” or a “safety event”, and an action or process for resolving or mitigating a safety event is referred to as a "safety event”. called function.
  • a state in which security is threatened or in which security is not maintained is called a “security event” or “security event”
  • an action or process to resolve or mitigate a security case is called a "security function”. call.
  • Safety cases include, for example, equipment failures and communication interruptions.
  • Security cases include, for example, parameter rewriting, intrusion detection, and degradation of communication quality.
  • Safety features include enabling degraded behavior to maintain operation with reduced functionality.
  • Security functions include parameter initialization and the like.
  • FIG. 1 An embodiment of an electronic control system 1 will be described below with reference to FIGS. 1 to 4.
  • FIG. 1 An embodiment of an electronic control system 1 will be described below with reference to FIGS. 1 to 4.
  • FIG. 1 is a configuration diagram of an electronic control system 1 according to the embodiment.
  • the electronic control system 1 includes a gateway 20 mounted on the vehicle, an ECU 30 and a TCU 40 . Any communication standard may be used for communication between gateway 20 and TCU 40 and communication between gateway 20 and ECU 30, and IEEE 802.3 is used, for example.
  • the gateway 20 is a device that controls communications inside the vehicle.
  • the ECU 30 is an electronic control unit, collects logs from various devices mounted on the vehicle, and provides the gateway 20 with the logs. Further, the ECU 30 performs safety measures and security measures based on the operation command of the gateway 20 .
  • the TCU 40 is a telematics control unit and performs wireless communication with the outside of the vehicle. Data received by the TCU 40 from the outside is transmitted to the ECU 30 via the gateway 20 .
  • the gateway 20 and the ECU 30 are provided with a CPU as a central processing unit, a ROM as a read-only storage device, and a RAM as a readable/writable storage device, and the CPU develops a program stored in the ROM into the RAM and executes it. By doing so, the function described later is realized.
  • the gateway 20 and the ECU 30 are realized by FPGA (Field Programmable Gate Array), which is a rewritable logic circuit, and ASIC (Application Specific Integrated Circuit), which is an application-specific integrated circuit, instead of a combination of CPU, ROM, and RAM. good too.
  • gateway 20 and ECU 30 may be realized by a combination of different configurations, for example, a combination of CPU, ROM, RAM and FPGA, instead of a combination of CPU, ROM, and RAM.
  • the gateway 20 includes a log collection unit 21, a functional safety analysis unit 221, an information safety analysis unit 222, a GW storage unit 23, a determination unit 24, and a communication unit 29 as its functions.
  • the log collection unit 21, the functional safety analysis unit 221, the information safety analysis unit 222, the determination unit 24, and the communication unit 29 are realized by the aforementioned CPU or the like.
  • the GW storage unit 23 is realized by a non-volatile storage device such as flash memory.
  • the functional safety analysis unit 221 is also called a "safety event analysis unit”
  • the information safety analysis unit 222 is also called a "security event analysis unit”.
  • the log collection unit 21 collects safety logs 331 and security logs 332 from the ECU storage unit 33 of the ECU 30 and stores them in the GW storage unit 23 .
  • the functional safety analysis unit 221 analyzes the safety log 331 stored in the GW storage unit 23 to identify a safety case and assigns an event ID.
  • the event ID of a safety case is represented by a combination of "P" and a number.
  • the functional safety analysis unit 221 identifies a safety case based on a match between a character string included in the log and a predetermined character string, or a magnitude relationship between a numerical value included in the log and a predetermined threshold value.
  • the information security analysis unit 222 analyzes the security log 332 stored in the GW storage unit 23 to identify security cases and assign event IDs.
  • the event ID of a security case is represented by a combination of "Q" and a number.
  • Information safety analysis unit 222 identifies a security case, for example, by matching a character string included in the log with a predetermined character string, or by comparing a numeric value included in the log with a predetermined threshold value.
  • the GW storage unit 23 stores a functional safety countermeasure table 231 and an information safety countermeasure table 232 that have been created in advance.
  • the functional safety countermeasure table 231 describes how to deal with security cases.
  • the information security countermeasure table 232 describes how to deal with safety cases. Details of the functional safety countermeasure table 231 and the information safety countermeasure table 232 will be described later.
  • the decision unit 24 decides how to deal with the security cases and safety cases detected by the functional safety analysis unit 221 and the information safety analysis unit 222 , and transmits the content of the decision to the ECU 30 .
  • the decision unit 24 refers to the functional safety action table 231 and the information safety action table 232 in order to decide the action for each case.
  • the functional safety countermeasure table 231 and the information safety countermeasure table 232 are collectively referred to as a countermeasure table 233 .
  • the communication unit 29 implements the essential functions of the gateway 20, such as determining the destination of data received from the TCU 40 and filtering. However, the details of the processing performed by the communication unit 29 will not be described in this embodiment.
  • the ECU 30 includes a functional safety function execution unit 31, an information safety function execution unit 32, an ECU storage unit 33, and an in-vehicle log collection unit 34 as its functions.
  • the functional safety function execution unit 31 and the information safety function execution unit 32 are realized by the aforementioned CPU or the like.
  • the functional safety function execution unit 31 and the information safety function execution unit 32 operate based on the operation command transmitted by the determination unit 24 of the GW 20 .
  • the operation command transmitted by the determination unit 24 is one of the predetermined operation commands, and in the present embodiment, these commands are represented by identifiers that are a combination of alphabets and numbers. Further, as for the alphabet of this identifier, "E" is used for the identifier that operates the functional safety function execution unit 31, and "F” is used for the identifier that operates the information safety function execution unit 32.
  • the functional safety function execution unit 31 handles the safety case based on the operation command sent from the gateway 20.
  • Functional safety function execution unit 31 outputs a stop command to a power source of the vehicle, such as a motor, based on an operation command from gateway 20, for example.
  • the operation of the functional safety function execution unit 31 conforms to the international standard "ISO26262 Part 3 section 7.4.2.3".
  • the information security function execution unit 32 handles security cases based on operation commands sent from the gateway 20 .
  • the information safety function execution unit 32 outputs, for example, a parameter initial value command to the controller of the headlamp based on the operation command from the gateway 20 .
  • the functional safety function executing section 31 is also referred to as the "safety function executing section”
  • the information safety function executing section 32 is also referred to as the "security function executing section”.
  • the in-vehicle log collection unit 34 collects operation logs from various devices installed in the vehicle and stores them in the ECU storage unit 33 as safety logs 331 and security logs 332 .
  • the safety log 331 and the security log 332 may be classified according to the device from which the logs are collected, or may be classified based on the contents of the logs. Specifically, it is as follows. For example, the logs of motors and brakes that control the movement of the vehicle may be stored as the safety log 331 , and the logs of the other headlight control devices may be stored as the security log 332 .
  • logs tagged with “debug” and “notice” are stored as security logs 332
  • logs tagged with “warn” and “error” are stored as safety logs 331 .
  • the ECU storage unit 33 is realized by a nonvolatile storage device such as a flash memory.
  • a safety log 331 and a security log 332 are stored in the ECU storage unit 33 .
  • FIG. 2 is a diagram showing an example of the functional safety countermeasure table 231.
  • the functional safety countermeasure table 231 includes multiple records. Each record of the functional safety countermeasure table 231 has fields of event ID 2311 , target 2312 , type 2313 and countermeasure 2314 .
  • the event ID 2311 field stores an event identifier.
  • the target 2312 field stores the identification information of the device to be dealt with. Information indicating the type of countermeasure is stored in the type 2313 field, but only "safety" is stored in the functional safety countermeasure table 231 .
  • the countermeasure 2314 field stores the content of the process to be executed as the countermeasure or the identifier of the process to be executed as the countermeasure.
  • the first record shown in FIG. 2 describes that the ECU 30 executes "E1" processing classified as safety when event P1 occurs.
  • the third record shown in FIG. 2 describes that when event P3 occurs, the gateway 20 executes the processing of "E3" classified as safety.
  • FIG. 3 is a diagram showing an example of the information security countermeasure table 232.
  • Information security countermeasure table 232 includes a plurality of records. Each record of the information security countermeasure table 232 has fields of event ID 2321 , target 2322 , type 2323 and countermeasure 2324 . The information stored in each field is the same as the information stored in the field of the same name in the functional safety countermeasure table 231, so the details are omitted. However, the type 2323 field can store not only “safety” but also “security”.
  • the first record shown in FIG. 3 describes that the ECU 30 executes "F1" processing classified as "security” when event Q1 occurs.
  • the second record shown in FIG. 3 describes that when the event Q2 occurs, the ECU 30 executes the process "E5" classified as "safety”.
  • the third record shown in FIG. 3 indicates that when event Q3 occurs, the ECU 30 executes processing "E2" classified as "safety” and processing "F2" classified as "security”. is described.
  • FIG. 4 is a flowchart showing processing of the gateway 20.
  • the log collection unit 21, the functional safety analysis unit 221, the information safety analysis unit 222, and the determination unit 24 of the gateway 20 repeatedly execute the processing shown in FIG. 4 while the gateway 20 is powered on.
  • the log collection unit 21 collects logs, that is, the security log 121 and the safety log 122 from the ECU 30 .
  • the gateway 20 executes the processing of step S302 and the processing of step S305 in parallel.
  • step S302 the functional safety analysis unit 221 analyzes the safety log 331 collected in step S301 to identify safety cases and assign event IDs.
  • the determination unit 24 refers to the functional safety countermeasure table 231 and determines whether or not the safety state is such that the safety function should be activated. When determining that the safety function should be activated, the determination unit 24 proceeds to step S304, and when determining that the safety function should not be activated, returns to step S301.
  • the specific processing of this step is as follows.
  • the determining unit 24 searches for a record in which the event ID specified in step S302 is included in the event ID 2311 column of the functional safety countermeasure table 231 .
  • the determining unit 24 makes an affirmative determination in step S303 if a record containing the event ID in the field of event ID 2311 is found, and makes a negative determination in step S303 if no corresponding record is found.
  • the determination unit 24 also makes a negative determination in step S303 when the event ID is not specified in step S302.
  • step S304 the determination unit 24 refers to the functional safety countermeasure table 231 or the information safety countermeasure table 232 to identify the countermeasure corresponding to the event ID, and causes the identified countermeasure to be executed.
  • the object to be dealt with is the ECU 30 or the communication unit 29 of the gateway 20 .
  • step S305 the information security analysis unit 222 analyzes the security log 332 collected in step S301 to identify security cases and assign event IDs.
  • the determination unit 24 refers to the information security countermeasure table 232 and determines whether the security state should enable the safety function. If the determination unit 24 determines that the security state should enable the safety function, the process proceeds to step S304, and if it determines that the security function should not be enabled, the determination unit 24 returns to step S307.
  • the specific processing of this step is as follows.
  • the determination unit 24 searches for a record in which the event ID specified in step S305 is included in the event ID 2321 column of the information security countermeasure table 232 .
  • the determining unit 24 identifies a record that includes the event ID in the field of the event ID 2321, and makes an affirmative determination when the type 2323 of the record is "safety".
  • the determination unit 24 makes a negative determination when the record including the event ID in the column of the event ID 2321 cannot be found or when the type 2323 of the record is "safety”.
  • step S307 the determining unit 24 refers to the information security handling table 232 and determines whether or not the security function should be enabled. If the determination unit 24 determines that the security state should enable the security function, the process proceeds to step S308, and if it determines that the security function should not be enabled, the determination unit 24 returns to step S301.
  • the specific processing of this step is as follows.
  • the determination unit 24 searches for a record in which the event ID specified in step S305 is included in the event ID 2321 column of the information security countermeasure table 232 .
  • the determining unit 24 identifies a record that includes the event ID in the column of the event ID 2321, and makes an affirmative determination when the type 2323 of the record is "security”.
  • the determination unit 24 makes a negative determination when no record including the event ID in the column of the event ID 2321 can be found.
  • the electronic control system 1 includes a security event analysis unit 222 that reads a log recording the operation of various devices mounted on the vehicle and detects a security event, which is an event related to information security, and an event related to functional safety.
  • a safety function execution unit 31 created to execute a safety function as a response to a safety event
  • a security function execution unit 32 capable of executing a security function as a response to a security event
  • a safety function and A GW storage unit 23 storing a countermeasure table 233 indicating at least one of security functions and a function corresponding to a security event detected by a security event analysis unit 222 are specified based on correspondence information, and the specified function is specified by a safety function execution unit.
  • the safety function execution unit 31 can be used to respond to some security events
  • the security function execution unit 32 only needs to respond to security events excluding some of them, reducing the development of the security function execution unit 32. can. Specifically, since the number of functions executed by the security function execution unit 32 can be reduced, the man-hours required for development and verification can be reduced, and the cost can also be reduced.
  • the electronic control system 1 includes a safety event analysis section 221 that reads logs and detects safety events.
  • the countermeasure table 233 includes a functional safety countermeasure table 231 indicating safety functions corresponding to safety events. Based on the countermeasure table 233, the determination unit 24 identifies a security function corresponding to the safety event detected by the safety event analysis unit 22, and causes the security function execution unit 32 to execute the identified security function. Therefore, the electronic control system 1 can also handle safety events.
  • the safety function execution unit 31 complies with the provisions of ISO26262 Part 3 section 7.4.2.3. Therefore, the electronic control system 1 can deal with security events using the highly reliable safety function execution unit 31 .
  • Modification 1 The processing in the embodiments described above may be simplified. For example, each function to be enabled may be identified and executed without parallel processing.
  • FIG. 5 is a flow chart showing processing of the gateway 20 in Modification 1.
  • the log collection unit 21 collects logs, that is, the security log 121 and the safety log 122 from the ECU 30 .
  • the functional safety analysis unit 221 analyzes the safety log 331 collected in step S301 to identify safety cases and assign event IDs to them.
  • the information security analysis unit 222 analyzes the security log 332 collected in step S301 to identify security cases and assign event IDs.
  • the determination unit 24 refers to the functional safety action table 231 and the information safety action table 232 to identify the action corresponding to the event IDB identified in steps S302A and S305A. For example, according to the examples of FIGS. 2 and 3, "E2", "F1", etc. are specified as countermeasures.
  • the determination unit 24 determines whether or not there is a safety function to be activated.
  • the determination unit 24 proceeds to step S304A when making an affirmative determination in step S312, and proceeds to step S313 when making a negative determination.
  • the determination unit 24 determines that there is a safety function to be activated when there is an identifier including "E" in the measures specified in step S311.
  • the determination unit 24 may make an affirmative determination in step S312 when the value in the column of type 2313 or type 2323 of the record specified in steps S302A and S305A is "safety".
  • step S304A the determination unit 24 activates the safety function determined to be activated in step S311, and proceeds to step S312. Specifically, the determination unit 24 transmits the identifier of the safety function to be activated, such as "E1", to the device that executes the function, such as the ECU 30.
  • the identifier of the safety function to be activated such as "E1”
  • the determination unit 24 determines whether or not there is a security function to be activated.
  • the determining unit 24 proceeds to step S308A when making an affirmative determination in step S313, and returns to step S301 when making a negative determination.
  • the determination unit 24 determines that there is a safety function to be activated when there is an identifier including "F" in the measures identified in step S311.
  • the determining unit 24 may make an affirmative determination in step S313 when the value in the column of type 2313 or type 2323 of the record specified in steps S302A and S305A is "security".
  • step S308A the determination unit 24 activates the security function determined to be activated in step S311, and returns to step S301. Specifically, the determining unit 24 transmits the identifier of the security function to be activated, such as "F1", to the device that executes the function, such as the ECU 30.
  • FIG. The above is the description of FIG.
  • Modification 1 it is possible to obtain the same effects as those of the above-described embodiment through simpler processing. Further, in this modification, the functional safety countermeasure table 231 and the information safety countermeasure table 232 may be integrated and stored in the GW storage unit 23 .
  • gateway 20 includes log collection unit 21 , functional safety analysis unit 221 , information safety analysis unit 222 , GW storage unit 23 , and determination unit 24 in addition to communication unit 29 .
  • the functions of the log collection unit 21, the functional safety analysis unit 221, the information safety analysis unit 222, the GW storage unit 23, and the determination unit 24 may be installed in different devices.
  • the processing of the log collection unit 21, the functional safety analysis unit 221, the information safety analysis unit 222, and the determination unit 24 are related to each other, but each is a function realized by a different device. Even if there is, there is no problem in operation by exchanging information by communication.
  • the electronic control system 1 does not have to include the functional safety analysis section 221 . In this case, the processing of steps S302 and S303 shown in FIG. 4 is not executed.
  • the information safety analysis unit 222 may refer to the analysis result by the functional safety analysis unit 221 . This case is useful for detecting security events that are related to safety events. That is, in this modified example, the security event analysis unit 222 detects a security event based on the safety event detected by the safety event analysis unit 221 and the security log 332 .
  • the functional safety function execution unit 31 and the information safety function execution unit 32 may be installed in separate devices. Furthermore, each of the functional safety function execution unit 31 and the information safety function execution unit 32 may be installed in a plurality of devices. In this case, the target 2312 field of the functional safety countermeasure table 231 and the target 2322 field of the information safety countermeasure table 232 store information specifying the device that executes the process.
  • the gateway 20 does not have to have the communication unit 29 which is a function of managing communications. That is, the functions of the log collection unit 21, the functional safety analysis unit 221, the information safety analysis unit 222, the GW storage unit 23, and the determination unit 24 may be installed in a device other than the gateway 20.
  • FIG. 1 the functions of the log collection unit 21, the functional safety analysis unit 221, the information safety analysis unit 222, the GW storage unit 23, and the determination unit 24 may be installed in a device other than the gateway 20.
  • the gateway 20 may have functions of a functional safety function execution unit 31 , an information safety function execution unit 32 , an ECU storage unit 33 , and an in-vehicle log collection unit 34 .
  • the electronic control system 1 may not include the ECU 30.
  • the above-described embodiment may be modified as in the following ⁇ 1> to ⁇ 4>.
  • the safety log 331 and the security log 332 collected by the log collection unit 21 may be stored in a temporary storage unit (not shown) instead of the GW storage unit 23 .
  • the gateway 20 may collect logs from multiple devices.
  • the gateway 20 may be configured to receive logs from other devices without including the log collection unit 21 .
  • the functional safety countermeasure table 231 and the information safety countermeasure table 232 may be integrated.
  • the configuration of the functional blocks is merely an example. Some functional configurations shown as separate functional blocks may be configured integrally, or a configuration represented by one functional block diagram may be divided into two or more functions. Further, a configuration may be adopted in which part of the functions of each functional block is provided in another functional block.
  • the program is stored in a ROM (not shown), but the program may be stored in a non-volatile memory.
  • the gateway 20 may have an input/output interface (not shown), and a program may be read from another device via a medium that can be used by the input/output interface and the gateway 20 when necessary.
  • the medium refers to, for example, a storage medium that can be attached to and detached from an input/output interface, or a communication medium, that is, a wired, wireless, or optical network, or a carrier wave or digital signal that propagates through the network.
  • part or all of the functions realized by the program may be realized by a hardware circuit or FPGA.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Automation & Control Theory (AREA)
  • Small-Scale Networks (AREA)
  • Safety Devices In Control Systems (AREA)
  • Programmable Controllers (AREA)

Abstract

電子制御システムは、装置の動作を記録したログを読み込み、情報セキュリティに関するイベントであるセキュリティイベントを検出するセキュリティイベント解析部と、機能安全に関するイベントであるセーフティイベントに対する対処であるセーフティ機能を実行するために作成されたセーフティ機能実行部と、セキュリティイベントに対する対処であるセキュリティ機能が実行可能なセキュリティ機能実行部と、セキュリティイベントに対応するセーフティ機能およびセキュリティ機能の少なくとも一方を示す対応情報が格納される記憶部と、セキュリティイベント解析部が検出したセキュリティイベントに対応する機能を対応情報に基づき特定し、特定した機能をセーフティ機能実行部およびセキュリティ機能実行部の少なくとも一方に実行させる決定部と、を備え、対応情報において、少なくとも１つのセキュリティイベントに分類されるイベントは、セーフティ機能と対応するように記録される。

Description

電子制御システム
　本発明は、電子制御システムに関する。
　車両には多数の電子制御装置が搭載され、相互に通信を行うことで高度な処理を実現している。装置に不具合が発生した場合への備えとして機能安全があり、機能安全を脅かすセーフティイベントへの対応について従来から広く研究開発が行われている。近年は電子制御装置が外部と通信することが一般的となり、通信を介した攻撃など情報セキュリティに関するセキュリティイベントへの対処も求められる。特許文献１には、外部装置との通信処理を行う通信インタフェース部、サービス不能攻撃の有無を判定し、サービス不能攻撃を検出した場合、前記通信インタフェース部に受信制限を実施させるとともに、セキュリティ処置部に受信制限を行っていることを示す遮断情報データの送信データへの添付を指示する判定部と、前記判定部からの指示に従い、送信時にセーフティ処理部からの送信データに対し、前記外部装置からの受信データ中に含まれこの外部装置に送り返す折り返しデータを前記遮断情報データへ付け替えるセキュリティ処置部と、を有するセキュリティ処理部、および、受信データに含まれる所定のデータを基に、該受信データの完全性をチェックするためのブラックチャネル診断を実施するブラックチャネル診断部と、前記外部装置への送信データに対し、前記折り返しデータを含む、ブラックチャネル診断のための所定のデータを添付し、前記セキュリティ処置部に渡すブラックチャネル送出部と、を有するセーフティ処理部、を備える制御装置が開示されている。
日本国特開２０１７－２１５７８８号公報
　特許文献１に記載されている発明では、セキュリティイベントへ対処する機能を全て開発する必要がある。
　本発明の第１の態様による電子制御システムは、装置の動作を記録したログを読み込み、情報セキュリティに関するイベントであるセキュリティイベントを検出するセキュリティイベント解析部と、機能安全に関するイベントであるセーフティイベントに対する対処であるセーフティ機能を実行するために作成されたセーフティ機能実行部と、前記セキュリティイベントに対する対処であるセキュリティ機能が実行可能なセキュリティ機能実行部と、前記セキュリティイベントに対応する前記セーフティ機能および前記セキュリティ機能の少なくとも一方を示す対応情報が格納される記憶部と、前記セキュリティイベント解析部が検出した前記セキュリティイベントに対応する機能を前記対応情報に基づき特定し、特定した機能を前記セーフティ機能実行部および前記セキュリティ機能実行部の少なくとも一方に実行させる決定部と、を備え、前記対応情報において、少なくとも１つの前記セキュリティイベントに分類される前記イベントは、前記セーフティ機能と対応するように記録される。
　本発明によれば、セキュリティイベントへの対処にセーフティイベントへの対応機能を用いることで、セキュリティイベントへ対処する機能の開発を低減できる。
実施の形態における電子制御システムの構成図 機能安全対処表の一例を示す図 情報安全対処表の一例を示す図 ゲートウエイの処理を示すフローチャート 変形例１におけるゲートウエイの処理を示すフローチャート 変形例７におけるゲートウエイの構成図
（用語の定義）
　本明細書では「セーフティ」および「セキュリティ」は次の意味で用いる。「セーフティ」とは、機能安全を意味し、たとえばＩＳＯ２６２６２に定義されている「電気電子システムの機能不全のふるまいにより引き起こされるハザードが原因となる、不合理なリスクの不在」である。「セキュリティ」とは、情報セキュリティを意味し、たとえば情報の機密性、完全性、可用性が保たれることとである。なお以下では「セキュリティ」を「情報安全」とも呼ぶ。
　また本明細書では、セーフティが脅かされている状態、またはセーフティが保たれていない状態を「セーフティ事例」や「セーフティイベント」と呼び、セーフティ事例を解消または緩和するための動作や処理を「セーフティ機能」と呼ぶ。同様に、セキュリティが脅かされている状態、またはセキュリティが保たれていない状態を「セキュリティ事例」や「セキュリティイベント」と呼び、セキュリティ事例を解消または緩和するための動作や処理を「セキュリティ機能」と呼ぶ。
　セーフティ事例にはたとえば、装置の故障や通信の断絶などが含まれる。セキュリティ事例にはたとえば、パラメータの書き換え、侵入の検知、および通信品質の低下などが含まれる。セーフティ機能には、機能を低下させて動作を維持する縮退動作の有効化が含まれる。セキュリティ機能には、パラメータの初期化などが含まれる。
―実施の形態―
　以下、図１～図４を参照して、電子制御システム１の実施の形態を説明する。
　図１は、実施の形態における電子制御システム１の構成図である。電子制御システム１は、車両に搭載されるゲートウエイ２０と、ＥＣＵ３０と、ＴＣＵ４０とを含む。ゲートウエイ２０とＴＣＵ４０との間の通信、およびゲートウエイ２０とＥＣＵ３０との間の通信に用いる通信規格は任意であり、たとえばＩＥＥＥ８０２．３が用いられる。
　ゲートウエイ２０は、車両の内部における通信を統括する装置である。ＥＣＵ３０は、電子制御装置（Electronic Control Unit）であり、車両に搭載されるさまざまな機器からログを収集してゲートウエイ２０に提供する。さらにＥＣＵ３０は、ゲートウエイ２０の動作指令に基づきセーフティ対応およびセキュリティ対応を行う。ＴＣＵ４０は、テレマティクス制御ユニット（Telematic control unit）であり、車両の外部と無線通信を行う。ＴＣＵ４０が外部から受信したデータは、ゲートウエイ２０を介してＥＣＵ３０に送信される。
　ゲートウエイ２０およびＥＣＵ３０は、中央演算装置であるＣＰＵ、読み出し専用の記憶装置であるＲＯＭ、および読み書き可能な記憶装置であるＲＡＭを備え、ＣＰＵがＲＯＭに格納されるプログラムをＲＡＭに展開して実行することで後述する機能を実現する。ゲートウエイ２０およびＥＣＵ３０は、ＣＰＵ、ＲＯＭ、およびＲＡＭの組み合わせの代わりに書き換え可能な論理回路であるＦＰＧＡ（Field　Programmable　Gate　Array）や特定用途向け集積回路であるＡＳＩＣ（Application　Specific　Integrated　Circuit）により実現されてもよい。またゲートウエイ２０およびＥＣＵ３０は、ＣＰＵ、ＲＯＭ、およびＲＡＭの組み合わせの代わりに、異なる構成の組み合わせ、たとえばＣＰＵ、ＲＯＭ、ＲＡＭとＦＰＧＡの組み合わせにより実現されてもよい。
　ゲートウエイ２０はその機能として、ログ収集部２１と、機能安全解析部２２１と、情報安全解析部２２２と、ＧＷ記憶部２３と、決定部２４と、通信部２９とを備える。ログ収集部２１、機能安全解析部２２１、情報安全解析部２２２、決定部２４、および通信部２９は、前述のＣＰＵなどにより実現される。ＧＷ記憶部２３は、不揮発性の記憶装置、たとえばフラッシュメモリにより実現される。なお以下では、機能安全解析部２２１を「セーフティイベント解析部」とも呼び、情報安全解析部２２２を「セキュリティイベント解析部」とも呼ぶ。
　ログ収集部２１は、ＥＣＵ３０のＥＣＵ記憶部３３からセーフティログ３３１およびセキュリティログ３３２を収集してＧＷ記憶部２３に格納する。ただし図１では作図の都合によりＧＷ記憶部２３にはセーフティログ３３１およびセキュリティログ３３２を記載していない。機能安全解析部２２１は、ＧＷ記憶部２３に格納されたセーフティログ３３１を解析してセーフティ事例を特定し、イベントＩＤを付与する。本実施の形態では、セーフティ事例のイベントＩＤは「Ｐ」と数字の組み合わせにより表現する。機能安全解析部２２１はたとえば、ログに含まれる文字列とあらかじめ定められた文字列との一致、またはログに含まれる数値と所定の閾値との大小関係により、セーフティ事例を特定する。
　情報安全解析部２２２は、ＧＷ記憶部２３に格納されたセキュリティログ３３２を解析してセキュリティ事例を特定し、イベントＩＤを付与する。本実施の形態では、セキュリティ事例のイベントＩＤは「Ｑ」と数字の組み合わせにより表現する。情報安全解析部２２２はたとえば、ログに含まれる文字列とあらかじめ定められた文字列との一致、またはログに含まれる数値と所定の閾値との大小関係により、セキュリティ事例を特定する。
　ＧＷ記憶部２３には、あらかじめ作成された、機能安全対処表２３１および情報安全対処表２３２が格納される。機能安全対処表２３１は、セキュリティ事例への対処方法が記載されている。情報安全対処表２３２には、セーフティ事例への対処方法が記載されている。機能安全対処表２３１および情報安全対処表２３２の詳細は後述する。決定部２４は、機能安全解析部２２１および情報安全解析部２２２が検出したセキュリティ事例およびセーフティ事例に対する対処を決定し、その決定内容をＥＣＵ３０に送信する。決定部２４は、それぞれの事例に対する対処を決定するために、機能安全対処表２３１および情報安全対処表２３２を参照する。なお以下では、機能安全対処表２３１および情報安全対処表２３２をあわせて、対処表２３３とも呼ぶ。
　通信部２９は、ゲートウエイ２０の本来的な機能を実現し、たとえばＴＣＵ４０から受信したデータの宛先決定やフィルタリングなどを行う。ただし通信部２９が行う処理の詳細は本実施の形態では説明しない。
　ＥＣＵ３０は、その機能として、機能安全機能実行部３１と、情報安全機能実行部３２と、ＥＣＵ記憶部３３と、車両内ログ収集部３４とを備える。機能安全機能実行部３１および情報安全機能実行部３２は、前述のＣＰＵなどにより実現される。機能安全機能実行部３１および情報安全機能実行部３２は、ＧＷ２０の決定部２４が送信する動作指令に基づき動作する。決定部２４が送信する動作指令は、あらかじめ定められたいずれかの動作指令であり、本実施の形態ではこれらの指令をアルファベットと数字を組み合わせた識別子で表す。さらにこの識別子のアルファベットは、機能安全機能実行部３１を動作させる識別子には「Ｅ」を用い、情報安全機能実行部３２を動作させる識別子には「Ｆ」を用いる。
　機能安全機能実行部３１は、ゲートウエイ２０から送信される動作指令に基づき、セーフティ事例への対処を行う。機能安全機能実行部３１はたとえば、ゲートウエイ２０からの動作指令に基づき、車両の動力源、たとえばモータに対して停止指令を出力する。機能安全機能実行部３１の動作は、国際規格である「ISO26262　Part 3 section 7.4.2.3」の規定に適合するものである。情報安全機能実行部３２は、ゲートウエイ２０から送信される動作指令に基づき、セキュリティ事例への対処を行う。情報安全機能実行部３２はたとえば、ゲートウエイ２０からの動作指令に基づき、前照灯のコントローラに対してパラメータの初期値指令を出力する。なお以下では、機能安全機能実行部３１を「セーフティ機能実行部」とも呼び、情報安全機能実行部３２を「セキュリティ機能実行部」とも呼ぶ。
　車両内ログ収集部３４は、車両に搭載されるさまざまな装置から動作ログを収集し、ＥＣＵ記憶部３３にセーフティログ３３１およびセキュリティログ３３２として格納する。セーフティログ３３１およびセキュリティログ３３２は、ログの収集先の装置により分類されてもよいし、ログの内容に基づき分類されてもよい。具体的には以下のとおりである。たとえば車両の移動に関与する、モータやブレーキを制御する装置のログはセーフティログ３３１として格納し、それ以外の前照灯を制御する装置のログはセキュリティログ３３２として格納してもよい。またたとえば、ログがあらかじめ「debug」、「notice」、「warn」、「error」と深刻さに応じてタグ付けされている場合には、「debug」と「notice」のタグが付されたログはセキュリティログ３３２として格納し、「warn」と「error」のタグが付されたログはセーフティログ３３１として格納する。
　ＥＣＵ記憶部３３は、不揮発性の記憶装置、たとえばフラッシュメモリにより実現される。ＥＣＵ記憶部３３には、セーフティログ３３１およびセキュリティログ３３２が格納される。
　図２は、機能安全対処表２３１の一例を示す図である。機能安全対処表２３１は複数のレコードを含む。機能安全対処表２３１の各レコードは、イベントＩＤ２３１１、対象２３１２、種別２３１３、および対処２３１４のフィールドを有する。イベントＩＤ２３１１のフィールドには、イベントの識別子が格納される。対象２３１２のフィールドには、対処を行う装置の識別情報が格納される。種別２３１３のフィールドには、対処の種類を示す情報が格納されるが、機能安全対処表２３１では「セーフティ」のみが格納される。対処２３１４のフィールドには、対処として実行する処理の内容、または対処として実行する処理の識別子が格納される。
　図２に示す最初のレコードは、イベントＰ１が発生した際にはＥＣＵ３０においてセーフティに分類される「Ｅ１」の処理を実行することが記載されている。また図２に示す３番目のレコードは、イベントＰ３が発生した際にはゲートウエイ２０においてセーフティに分類される「Ｅ３」の処理を実行することが記載されている。
　図３は、情報安全対処表２３２の一例を示す図である。情報安全対処表２３２は複数のレコードを含む。情報安全対処表２３２の各レコードは、イベントＩＤ２３２１、対象２３２２、種別２３２３、および対処２３２４のフィールドを有する。各フィールドに格納される情報は、機能安全対処表２３１の同名のフィールドに格納される情報と同様なので詳細は省略する。ただし種別２３２３のフィールドには、「セーフティ」だけでなく「セキュリティ」も格納されうる。
　図３に示す最初のレコードは、イベントＱ１が発生した際にはＥＣＵ３０において「セキュリティ」に分類される「Ｆ１」の処理を実行することが記載されている。図３に示す２番目のレコードは、イベントＱ２が発生した際にはＥＣＵ３０において「セーフティ」に分類される「Ｅ５」の処理を実行することが記載されている。図３に示す３番目のレコードは、イベントＱ３が発生した際にはＥＣＵ３０において「セーフティ」に分類される「Ｅ２」の処理、および「セキュリティ」に分類される「Ｆ２」の処理を実行することが記載されている。
　図４は、ゲートウエイ２０の処理を示すフローチャートである。ゲートウエイ２０のログ収集部２１、機能安全解析部２２１、情報安全解析部２２２、および決定部２４は、ゲートウエイ２０の電源がオンの間は図４に示す処理を繰り返し実行する。ステップＳ３０１では、ログ収集部２１がＥＣＵ３０からログ、すなわちセキュリティログ１２１およびセーフティログ１２２を収集する。ゲートウエイ２０は、ステップＳ３０１の処理が完了すると、ステップＳ３０２の処理とステップＳ３０５の処理を並列に実行する。
　ステップＳ３０２では機能安全解析部２２１は、ステップＳ３０１において収集されたセーフティログ３３１を解析してセーフティ事例を特定し、イベントＩＤを付与する。続くステップＳ３０３では決定部２４は、機能安全対処表２３１を参照し、セーフティ機能を有効化すべきセーフティ状態にあるか否かを判断する。決定部２４は、セーフティ機能を有効化すべきと判断する場合はステップＳ３０４に進み、セーフティ機能を有効化すべきではないと判断する場合はステップＳ３０１に戻る。本ステップの具体的な処理は次のとおりである。
　決定部２４は、ステップＳ３０２において特定されたイベントＩＤが機能安全対処表２３１のイベントＩＤ２３１１の欄に含まれるレコードを検索する。決定部２４は、そのイベントＩＤをイベントＩＤ２３１１の欄に含むレコードが見つかった場合にはステップＳ３０３を肯定判断し、該当するレコードが見つからない場合にはステップＳ３０３を否定判断する。また決定部２４は、ステップＳ３０２においてイベントＩＤが特定されなかった場合もステップＳ３０３において否定判断する。
　ステップＳ３０４では決定部２４は、機能安全対処表２３１または情報安全対処表２３２を参照してイベントＩＤに対応する対処を特定し、特定した対処を実行させる。対処を実行させる対象は、ＥＣＵ３０またはゲートウエイ２０の通信部２９である。
　ステップＳ３０５では情報安全解析部２２２は、ステップＳ３０１において収集されたセキュリティログ３３２を解析してセキュリティ事例を特定し、イベントＩＤを付与する。続くステップＳ３０６では決定部２４は、情報安全対処表２３２を参照し、セーフティ機能を有効化すべきセキュリティ状態にあるか否かを判断する。決定部２４は、セーフティ機能を有効化すべきセキュリティ状態にあると判断する場合はステップＳ３０４に進み、セーフティ機能を有効化すべきセキュリティ状態にないと判断する場合はステップＳ３０７に戻る。本ステップの具体的な処理は次のとおりである。
　決定部２４は、ステップＳ３０５において特定されたイベントＩＤが情報安全対処表２３２のイベントＩＤ２３２１の欄に含まれるレコードを検索する。決定部２４は、そのイベントＩＤをイベントＩＤ２３２１の欄に含むレコードを特定し、そのレコードの種別２３２３が「セーフティ」の場合は肯定判断する。決定部２４は、そのイベントＩＤをイベントＩＤ２３２１の欄に含むレコードが発見できない場合や、そのレコードの種別２３２３が「セーフティ」の場合は否定判断する。
　ステップＳ３０７では決定部２４は、情報安全対処表２３２を参照し、セキュリティ機能を有効化すべきセキュリティ状態にあるか否かを判断する。決定部２４は、セキュリティ機能を有効化すべきセキュリティ状態にあると判断する場合はステップＳ３０８に進み、セキュリティ機能を有効化すべきセキュリティ状態にないと判断する場合はステップＳ３０１に戻る。本ステップの具体的な処理は次のとおりである。
　決定部２４は、ステップＳ３０５において特定されたイベントＩＤが情報安全対処表２３２のイベントＩＤ２３２１の欄に含まれるレコードを検索する。決定部２４は、そのイベントＩＤをイベントＩＤ２３２１の欄に含むレコードを特定し、そのレコードの種別２３２３が「セキュリティ」の場合は肯定判断する。決定部２４は、そのイベントＩＤをイベントＩＤ２３２１の欄に含むレコードが発見できない場合は否定判断する。以上が図３に示す処理の説明である。
　上述した実施の形態によれば、次の作用効果が得られる。
（１）電子制御システム１は、車両に搭載される様々な装置の動作を記録したログを読み込み、情報セキュリティに関するイベントであるセキュリティイベントを検出するセキュリティイベント解析部２２２と、機能安全に関するイベントであるセーフティイベントに対する対処であるセーフティ機能を実行するために作成されたセーフティ機能実行部３１と、セキュリティイベントに対する対処であるセキュリティ機能が実行可能なセキュリティ機能実行部３２と、セキュリティイベントに対応するセーフティ機能およびセキュリティ機能の少なくとも一方を示す対処表２３３が格納されるＧＷ記憶部２３と、セキュリティイベント解析部２２２が検出したセキュリティイベントに対応する機能を対応情報に基づき特定し、特定した機能をセーフティ機能実行部３１およびセキュリティ機能実行部３２の少なくとも一方に実行させる決定部２４と、を備える。対処表２３３において、図３に示す例におけるイベントＱ２やＱ３のように、少なくとも１つのセキュリティイベントに分類されるイベントは、セーフティ機能と対応するように記録される。
　そのため、セーフティ機能実行部３１を利用して一部のセキュリティイベントに対応できるため、セキュリティ機能実行部３２はその一部を除いたセキュリティイベントに対応すればよく、セキュリティ機能実行部３２の開発を低減できる。具体的には、セキュリティ機能実行部３２が実行する機能を減らすことができるので、開発工数および検証工数を削減でき、コストも削減される。
　本実施の形態における技術的思想は次のとおりである。セーフティへの対応は、ISO26262などのように規格化されており、長年の研究開発に基づき熟練されている。その一方で、セキュリティへの対応は、セーフティに比較すれば歴史が浅く、新たに対処すべき事項が発見されることも多い。直接的な解決手法として、セーフティ事案とセキュリティ事案のそれぞれに対して個別の対応をとることができるが、同一または包含関係にある対応策も存在する。換言すると、一部のセキュリティ事案はあるセーフティ対応策により対応が可能であり、一部のセーフティ事案はあるセキュリティ対応策により対応が可能である。
　ここで、セキュリティ対応とセーフティ対応の開発の歴史、や資産の活用を考慮すると、開発済みのセーフティ対応策は開発済のセキュリティ対応策よりも多く、安定性の面でも利点があると考えられる。そのため、セーフティ対応策により対処可能なセキュリティ事案を事前に特定しておき、情報安全対処表２３２に記載しておくことでそのようなセキュリティ事例はセーフティ対応策により対応する。これによりセキュリティ対応策の開発を低減でき、コスト低減および開発期間短縮の利点が得られる。
（２）電子制御システム１は、ログを読み込み、セーフティイベントを検出するセーフティイベント解析部２２１を備える。対処表２３３には、セーフティイベントに対応するセーフティ機能が示された機能安全対処表２３１が含まれる。決定部２４は、対処表２３３に基づき、セーフティイベント解析部２２が検出したセーフティイベントに対応するセキュリティ機能を特定し、特定したセキュリティ機能をセキュリティ機能実行部３２に実行させる。そのため電子制御システム１は、セーフティイベントに対する対処も実行できる。
（３）セーフティ機能実行部３１は、ISO26262 Part 3 section 7.4.2.3の規定に適合する。そのため電子制御システム１は、信頼性の高いセーフティ機能実行部３１を用いてセキュリティイベントに対処できる。
（変形例１）
　上述した実施の形態における処理を簡略化してもよい。たとえば、並列処理を特に行うことなく、有効化すべき各機能を特定して実行してもよい。
　図５は、変形例１におけるゲートウエイ２０の処理を示すフローチャートである。図４と同一の処理には同一のステップ番号を付して説明を省略する。ステップＳ３０１では、ログ収集部２１がＥＣＵ３０からログ、すなわちセキュリティログ１２１およびセーフティログ１２２を収集する。続くステップＳ３０２Ａでは、機能安全解析部２２１は、ステップＳ３０１において収集されたセーフティログ３３１を解析してセーフティ事例を特定し、イベントＩＤを付与する。続くステップＳ３０５Ａでは、情報安全解析部２２２は、ステップＳ３０１において収集されたセキュリティログ３３２を解析してセキュリティ事例を特定し、イベントＩＤを付与する。
　続くステップＳ３１１では決定部２４は、機能安全対処表２３１および情報安全対処表２３２を参照し、ステップＳ３０２ＡおよびＳ３０５Ａにおいて特定されたイベントＩＤＢに対応する対処を特定する。たとえば図２や図３の例によれば、対処として「Ｅ２」や「Ｆ１」などが特定される。
　続くステップＳ３１２では決定部２４は、有効化すべきセーフティ機能が存在するか否かを判断する。決定部２４は、ステップＳ３１２において肯定判断する場合はステップＳ３０４Ａに進み、否定判断する場合はステップＳ３１３に進む。たとえば決定部２４は、ステップＳ３１１において特定された対処において、「Ｅ」を含む識別子が存在する場合には、有効化すべきセーフティ機能が存在すると判断する。ただし決定部２４は、ステップＳ３０２ＡおよびＳ３０５Ａにおいて特定されたレコードの種別２３１３または種別２３２３の欄の値が「セーフティ」である場合にステップＳ３１２を肯定判断してもよい。
　ステップＳ３０４Ａでは決定部２４は、ステップＳ３１１において有効化すべきと判断したセーフティ機能を有効化してステップＳ３１２に進む。具体的には決定部２４は、有効化すべきセーフティ機能の識別子、たとえば「Ｅ１」などを、その機能を実行する装置、たとえばＥＣＵ３０に送信する。
　ステップＳ３１３では決定部２４は、有効化すべきセキュリティ機能が存在するか否かを判断する。決定部２４は、ステップＳ３１３において肯定判断する場合はステップＳ３０８Ａに進み、否定判断する場合はステップＳ３０１に戻る。たとえば決定部２４は、ステップＳ３１１において特定された対処において、「Ｆ」を含む識別子が存在する場合には、有効化すべきセーフティ機能が存在すると判断する。ただし決定部２４は、ステップＳ３０２ＡおよびＳ３０５Ａにおいて特定されたレコードの種別２３１３または種別２３２３の欄の値が「セキュリティ」である場合にステップＳ３１３を肯定判断してもよい。
　ステップＳ３０８Ａでは決定部２４は、ステップＳ３１１において有効化すべきと判断したセキュリティ機能を有効化してステップＳ３０１に戻る。具体的には決定部２４は、有効化すべきセキュリティ機能の識別子、たとえば「Ｆ１」などを、その機能を実行する装置、たとえばＥＣＵ３０に送信する。以上が図５の説明である。
　この変形例１によれば、より簡素な処理により上述した実施の形態と同様の作用効果を得ることができる。また本変形例では機能安全対処表２３１と情報安全対処表２３２とを一体化してＧＷ記憶部２３に格納してもよい。
（変形例２）
　上述した実施の形態では、ゲートウエイ２０には通信部２９に加えて、ログ収集部２１、機能安全解析部２２１、情報安全解析部２２２、ＧＷ記憶部２３、および決定部２４が含まれた。しかし、ログ収集部２１、機能安全解析部２２１、情報安全解析部２２２、ＧＷ記憶部２３、および決定部２４の機能がそれぞれ異なる装置に搭載されてもよい。図４のフローチャートで示したように、ログ収集部２１、機能安全解析部２２１、情報安全解析部２２２、および決定部２４の処理は相互に関係するが、それぞれが異なる装置により実現される機能であっても、通信により情報を授受することで動作に支障がない。
（変形例３）
　上述した実施の形態において、電子制御システム１は、機能安全解析部２２１を備えなくてもよい。この場合には図４に示したステップＳ３０２およびステップＳ３０３の処理が実行されない。
（変形例４）
　上述した実施の形態において、情報安全解析部２２２は、機能安全解析部２２１による解析結果を参照してもよい。この場合は、セーフティイベントと関連のあるセキュリティイベントの検出に有用である。すなわち本変形例ではセキュリティイベント解析部２２２は、セーフティイベント解析部２２１が検出するセーフティイベント、およびセキュリティログ３３２に基づきセキュリティイベントを検出する。
（変形例５）
　機能安全機能実行部３１と情報安全機能実行部３２は、それぞれ別の装置に搭載されてもよい。さらに機能安全機能実行部３１と情報安全機能実行部３２のそれぞれが、複数の装置に搭載されてもよい。この場合には、機能安全対処表２３１の対象２３１２および情報安全対処表２３２の対象２３２２のフィールドには、処理を実行する装置を特定する情報が格納される。
（変形例６）
　ゲートウエイ２０は、通信を統括する機能である通信部２９を有さなくてもよい。すなわちゲートウエイ２０以外の装置に、ログ収集部２１、機能安全解析部２２１、情報安全解析部２２２、ＧＷ記憶部２３、および決定部２４の機能が搭載されてもよい。
（変形例７）
　図６に示すように、ゲートウエイ２０は、機能安全機能実行部３１、情報安全機能実行部３２、ＥＣＵ記憶部３３、および車両内ログ収集部３４の機能を備えてもよい。この場合には、電子制御システム１はＥＣＵ３０を含まなくてもよい。
　上述した実施の形態は、次の＜１＞～＜４＞のように変形してもよい。
＜１＞ログ収集部２１が収集したセーフティログ３３１およびセキュリティログ３３２は、ＧＷ記憶部２３の代わりに、不図示の一時記憶部に格納されてもよい。
＜２＞ゲートウエイ２０は、複数の装置からログを収集してもよい。
＜３＞ゲートウエイ２０は、ログ収集部２１を備えず、他の装置からログを受信する構成としてもよい。
＜４＞機能安全対処表２３１および情報安全対処表２３２は、一体に構成されてもよい。
　上述した各実施の形態および変形例において、機能ブロックの構成は一例に過ぎない。別々の機能ブロックとして示したいくつかの機能構成を一体に構成してもよいし、１つの機能ブロック図で表した構成を２以上の機能に分割してもよい。また各機能ブロックが有する機能の一部を他の機能ブロックが備える構成としてもよい。
　上述した各実施の形態および変形例において、プログラムは不図示のＲＯＭに格納されるとしたが、プログラムは不揮発性メモリに格納されていてもよい。また、ゲートウエイ２０およびが不図示の入出力インタフェースを備え、必要なときに入出力インタフェースとゲートウエイ２０が利用可能な媒体を介して、他の装置からプログラムが読み込まれてもよい。ここで媒体とは、例えば入出力インタフェースに着脱可能な記憶媒体、または通信媒体、すなわち有線、無線、光などのネットワーク、または当該ネットワークを伝搬する搬送波やディジタル信号、を指す。また、プログラムにより実現される機能の一部または全部がハードウエア回路やＦＰＧＡにより実現されてもよい。
　上述した各実施の形態および変形例は、それぞれ組み合わせてもよい。上記では、種々の実施の形態および変形例を説明したが、本発明はこれらの内容に限定されるものではない。本発明の技術的思想の範囲内で考えられるその他の態様も本発明の範囲内に含まれる。
１…電子制御システム
２０…ゲートウエイ
２１…ログ収集部
２３…ＧＷ記憶部
２４…決定部
２９…通信部
３１…機能安全機能実行部、セーフティ機能実行部
３２…情報安全機能実行部、セキュリティ機能実行部
３３…ＥＣＵ記憶部
３４…車両内ログ収集部
１２１…セキュリティログ
１２２…セーフティログ
２２１…機能安全解析部、セーフティイベント解析部
２２２…情報安全解析部、セキュリティイベント解析部
２３１…機能安全対処表
２３２…情報安全対処表
２３３…対処表
３３１…セーフティログ
３３２…セキュリティログ

Claims (4)

  1. 　装置の動作を記録したログを読み込み、情報セキュリティに関するイベントであるセキュリティイベントを検出するセキュリティイベント解析部と、
    　機能安全に関するイベントであるセーフティイベントに対する対処であるセーフティ機能を実行するために作成されたセーフティ機能実行部と、
    　前記セキュリティイベントに対する対処であるセキュリティ機能が実行可能なセキュリティ機能実行部と、
    　前記セキュリティイベントに対応する前記セーフティ機能および前記セキュリティ機能の少なくとも一方を示す対応情報が格納される記憶部と、
    　前記セキュリティイベント解析部が検出した前記セキュリティイベントに対応する機能を前記対応情報に基づき特定し、特定した機能を前記セーフティ機能実行部および前記セキュリティ機能実行部の少なくとも一方に実行させる決定部と、を備え、
    　前記対応情報において、少なくとも１つの前記セキュリティイベントに分類される前記イベントは、前記セーフティ機能と対応するように記録される、電子制御システム。
  2. 　請求項１に記載の電子制御システムにおいて、
    　前記ログを読み込み、前記セーフティイベントを検出するセーフティイベント解析部をさらに備え、
    　前記対応情報には、前記セーフティイベントに対応する前記セーフティ機能がさらに格納され、
    　前記決定部はさらに、前記対応情報に基づき、前記セーフティイベント解析部が検出した前記セーフティイベントに対応する前記セキュリティ機能を特定し、特定した前記セキュリティ機能を前記セキュリティ機能実行部に実行させる、電子制御システム。
  3. 　請求項２に記載の電子制御システムにおいて、
    　前記セキュリティイベント解析部は、前記セーフティイベント解析部が検出する前記セーフティイベント、および前記ログに基づき前記セキュリティイベントを検出する、電子制御システム。
  4. 　請求項１に記載の電子制御システムにおいて、
    　前記セーフティ機能実行部は、ISO26262 Part 3 section 7.4.2.3の規定に適合する、電子制御システム。
     
PCT/JP2021/034901 2021-02-19 2021-09-22 電子制御システム Ceased WO2022176253A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US18/264,452 US12524537B2 (en) 2021-02-19 2021-09-22 Electronic control system

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2021025704A JP7616901B2 (ja) 2021-02-19 2021-02-19 電子制御システム
JP2021-025704 2021-02-19

Publications (1)

Publication Number Publication Date
WO2022176253A1 true WO2022176253A1 (ja) 2022-08-25

Family

ID=82931316

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/034901 Ceased WO2022176253A1 (ja) 2021-02-19 2021-09-22 電子制御システム

Country Status (3)

Country Link
US (1) US12524537B2 (ja)
JP (1) JP7616901B2 (ja)
WO (1) WO2022176253A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7517223B2 (ja) * 2021-03-29 2024-07-17 株式会社デンソー 攻撃分析装置、攻撃分析方法、及び攻撃分析プログラム

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015001594A1 (ja) * 2013-07-01 2015-01-08 株式会社日立製作所 制御システム、制御方法及びコントローラ
JP2017152762A (ja) * 2016-02-22 2017-08-31 ルネサスエレクトロニクス株式会社 車載システム、プログラムおよびコントローラ
JP2019073102A (ja) * 2017-10-13 2019-05-16 日立オートモティブシステムズ株式会社 車両用制御装置
JP2019205125A (ja) * 2018-05-25 2019-11-28 株式会社東芝 異常要因判定装置、制御システム、および異常要因判定方法

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100497059C (zh) * 2002-06-24 2009-06-10 株式会社电装 车辆控制信息传递结构、使用该传递结构的车辆控制装置以及使用该传递结构的车辆控制模拟器
EP3825886B1 (en) * 2012-03-29 2024-10-02 Arilou Information Security Technologies Ltd. Protecting a vehicle electronic system
US9801517B2 (en) * 2015-03-06 2017-10-31 Wal-Mart Stores, Inc. Shopping facility assistance object detection systems, devices and methods
JP6576676B2 (ja) * 2015-04-24 2019-09-18 クラリオン株式会社 情報処理装置、情報処理方法
US9699205B2 (en) * 2015-08-31 2017-07-04 Splunk Inc. Network security system
US9824509B2 (en) * 2016-02-02 2017-11-21 Toyota Jidosha Kabushiki Kaisha Automobile modification system providing security and fault tolerance support
JP2017215788A (ja) 2016-05-31 2017-12-07 株式会社東芝 制御装置および制御システム
DE102018120328A1 (de) * 2017-08-24 2019-02-28 Infineon Technologies Ag Sicherheitseinrichtung mit erweiterter Zuverlässigkeit
US10498749B2 (en) * 2017-09-11 2019-12-03 GM Global Technology Operations LLC Systems and methods for in-vehicle network intrusion detection
WO2019107210A1 (ja) * 2017-12-01 2019-06-06 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 電子制御装置、不正検知サーバ、車載ネットワークシステム、車載ネットワーク監視システム及び車載ネットワーク監視方法
US20190182267A1 (en) * 2017-12-13 2019-06-13 International Business Machines Corporation Vehicle security manager
EP3744584B1 (en) * 2018-01-22 2026-04-08 Panasonic Intellectual Property Corporation of America Vehicle monitoring device, fraud detection server, and control method
JP7139257B2 (ja) * 2019-01-21 2022-09-20 エヌ・ティ・ティ・コミュニケーションズ株式会社 車両セキュリティ監視装置、方法及びプログラム
JP2020194354A (ja) * 2019-05-28 2020-12-03 オムロン株式会社 サポート装置および設定プログラム
EP3933630B1 (en) * 2020-06-30 2025-04-16 Nxp B.V. Method and apparatus to adjust system security policies based on system state

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015001594A1 (ja) * 2013-07-01 2015-01-08 株式会社日立製作所 制御システム、制御方法及びコントローラ
JP2017152762A (ja) * 2016-02-22 2017-08-31 ルネサスエレクトロニクス株式会社 車載システム、プログラムおよびコントローラ
JP2019073102A (ja) * 2017-10-13 2019-05-16 日立オートモティブシステムズ株式会社 車両用制御装置
JP2019205125A (ja) * 2018-05-25 2019-11-28 株式会社東芝 異常要因判定装置、制御システム、および異常要因判定方法

Also Published As

Publication number Publication date
JP2022127512A (ja) 2022-08-31
US12524537B2 (en) 2026-01-13
US20240104204A1 (en) 2024-03-28
JP7616901B2 (ja) 2025-01-17

Similar Documents

Publication Publication Date Title
JP7641900B2 (ja) 侵入経路分析装置および侵入経路分析方法
JP7247089B2 (ja) 車両異常検知サーバ、車両異常検知システム及び車両異常検知方法
JP6964274B2 (ja) 監視装置、監視システム及び監視方法
JP7053449B2 (ja) 不正通信検知基準決定方法、不正通信検知基準決定システム及びプログラム
JP7255710B2 (ja) 攻撃監視用センター装置、及び攻撃監視用端末装置
CN109076016B9 (zh) 非法通信检测基准决定方法、决定系统以及记录介质
EP3393086A1 (en) Security processing method and server
CN106828362B (zh) 汽车信息的安全测试方法及装置
US11785023B2 (en) Vehicle abnormality detection device and vehicle abnormality detection method
JP7680357B2 (ja) 異常検知方法、プログラム及び装置
US11952013B2 (en) Trusted context self learning method for an in-vehicle network intrusion detection system developed to limit calibration proliferation and development costs
CN115361212A (zh) 不正当检测服务器及其所执行的方法
US20240236131A1 (en) Vehicle security analysis apparatus, and method and program storage medium
WO2018186053A1 (ja) 不正通信検知方法、不正通信検知システム及びプログラム
CN112422495B (zh) 判定装置、判定系统、存储程序的存储介质以及判定方法
CN112152986A (zh) 用于自主系统的决策架构
CN117955862A (zh) 一种以太网服务接口的自动测试方法、装置、设备和介质
CN110049004B (zh) 工控环境流量白名单基线的生成方法
US11474889B2 (en) Log transmission controller
JP7616901B2 (ja) 電子制御システム
CN111614614B (zh) 应用于物联网的安全监测方法和装置
CN106899977B (zh) 异常流量检验方法和装置
CN118573446B (zh) 一种基于区块链的信息安全数据防御方法及系统
CN118625782A (zh) 车端故障检测方法、装置、设备及存储介质
CN114978629A (zh) 一种基于工业互联网安全监测、预警、应急处置系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21926682

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 18264452

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 21926682

Country of ref document: EP

Kind code of ref document: A1

WWG Wipo information: grant in national office

Ref document number: 18264452

Country of ref document: US