WO2024122142A1 - セキュリティ方法、および、セキュリティ装置 - Google Patents

セキュリティ方法、および、セキュリティ装置 Download PDF

Info

Publication number
WO2024122142A1
WO2024122142A1 PCT/JP2023/032837 JP2023032837W WO2024122142A1 WO 2024122142 A1 WO2024122142 A1 WO 2024122142A1 JP 2023032837 W JP2023032837 W JP 2023032837W WO 2024122142 A1 WO2024122142 A1 WO 2024122142A1
Authority
WO
WIPO (PCT)
Prior art keywords
vehicle
additional data
abnormality
unit
storage unit
Prior art date
Application number
PCT/JP2023/032837
Other languages
English (en)
French (fr)
Inventor
順一 吉田
淳 日高
秀世 福嶌
栄義 仲辻
将人 浅沼
Original Assignee
パナソニックオートモーティブシステムズ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニックオートモーティブシステムズ株式会社 filed Critical パナソニックオートモーティブシステムズ株式会社
Publication of WO2024122142A1 publication Critical patent/WO2024122142A1/ja

Links

Images

Definitions

  • This disclosure relates to a security method and a security device.
  • Patent document 1 discloses a device that, when an attack on a vehicle is detected, suppresses each control of the vehicle depending on the impact that the attack has on each control.
  • Patent Document 1 can avoid attacks as a temporary measure, there is a risk that the vehicle will become unusable until a permanent solution, such as an analysis of vulnerabilities or the creation of a security patch, is implemented.
  • This disclosure provides a security method that can improve the likelihood of quickly responding to an attack on a vehicle.
  • a security method is connected to an in-vehicle communication network in a vehicle, acquires abnormality information relating to an abnormality that occurs due to an attack on a vehicle computer that controls the vehicle, and deletes additional data that has been added to the storage unit after a predetermined timing from among data stored in a storage unit possessed by the vehicle computer based on the abnormality information.
  • a security device includes an acquisition unit that is connected to an in-vehicle communication network in a vehicle and acquires abnormality information related to an abnormality that occurs due to an attack on a vehicle computer that controls the vehicle, and a control unit that deletes additional data that has been added to the storage unit after a predetermined timing from the data stored in the storage unit of the vehicle computer based on the abnormality information.
  • the security method according to one embodiment of the present disclosure can improve the possibility of quickly dealing with an attack on a vehicle.
  • FIG. 1 is a block diagram showing a configuration of a security system according to an embodiment.
  • FIG. 2 is a block diagram showing the configuration of a vehicle computer according to the embodiment.
  • FIG. 3 is a block diagram illustrating a configuration of a management server according to an embodiment.
  • FIG. 4 is a sequence diagram showing a procedure for deleting additional data in the security system according to the embodiment.
  • FIG. 5 is a sequence diagram showing a processing procedure for a fundamental measure in the security system according to the embodiment.
  • FIG. 6 is a flowchart illustrating a procedure for deleting additional data in the management server according to the embodiment.
  • FIG. 7 is a flowchart illustrating a procedure for a fundamental measure performed by the management server according to the embodiment.
  • FIG. 8 is a flowchart showing a processing procedure of the security device according to the embodiment.
  • an immediate emergency response is required to prevent the vehicle from operating abnormally due to the attack in order to ensure the safety of the vehicle occupants, such as the driver.
  • Examples of the immediate response include degenerate operation, suppression of vehicle control, or blocking of communication with the outside world.
  • Degenerate operation is an operation that automatically controls the vehicle to make an emergency stop in a safe place, such as the shoulder of the road.
  • Vehicle control suppression is a process that restricts the control of actuators (steering, brakes, accelerator, etc.) to suppress the impact of abnormal operation caused by an attack.
  • Cutting off external communications is a process that cuts off communications between the vehicle and external devices outside the vehicle, such as Wi-Fi (registered trademark) or mobile communications, in anticipation of an unauthorized control attack on the vehicle remotely from outside the vehicle.
  • the inventors of the present application have therefore discovered a security method that can improve the possibility of quickly dealing with an attack on a vehicle, for example, without restricting the vehicle's driving functions.
  • FIG. 1 is a schematic diagram of a security system 10 for providing information to a vehicle according to an embodiment.
  • the security system 10 is an in-vehicle communication network system including a vehicle 100, a monitoring server 200, a management server 300, and a data server 400, which are communicatively connected to each other via a wireless network such as the Internet (e.g., a mobile communication network).
  • the vehicle 100 communicates with the monitoring server 200 and management server 300 arranged in a monitoring center such as a SOC (Security Operation Center), and the vehicle 100 monitors for abnormalities in each device such as a vehicle computer 120 connected to the in-vehicle communication network and the bus that communicatively connects these devices.
  • the vehicle 100 communicates with the data server 400 arranged in a center (e.g., a building such as a monitoring center) together with the monitoring server 200 and management server 300 to update the program (software) used to control the vehicle 100.
  • a center e.g., a building such as a monitoring center
  • Vehicle 100 is any vehicle, such as a motorcycle or a four-wheeled vehicle.
  • vehicle 100 is an autonomous vehicle equipped with an autonomous driving function.
  • the vehicle 100 includes a security device 110, multiple vehicle computers 120, and a software management device 130.
  • FIG. 1 shows three vehicle calculators 120 equipped on the vehicle 100
  • the number of vehicle calculators 120 equipped on the vehicle 100 may be one or two or more, and is optional.
  • the vehicle 100 has, for example, a hardware configuration including a TCU (Telematics Control Unit) and multiple ECUs.
  • TCU Transmission Control Unit
  • ECU Electronics Control Unit
  • vehicle 100 does not have to be an autonomous vehicle.
  • the security device 110 is a device for monitoring the state of the vehicle 100.
  • the security device 110 is connected to the monitoring server 200 and the management server 300 so as to be able to communicate with them.
  • the security device 110 acquires information (also called detection information) about attacks (specifically, cyber attacks) on the vehicle 100 detected by the vehicle 100, and monitors the state of the vehicle 100 based on the acquired detection information.
  • the security device 110 is, for example, a NIDS (Network-based Intrusion Detection System), is communicatively connected to each of the multiple vehicle computers 120 via a bus, and monitors data flowing on the connected bus. Specifically, the security device 110 detects abnormalities (in other words, attacks) occurring in the vehicle 100 (more specifically, the vehicle computer 120) by monitoring data flowing on the bus connected to the vehicle computer 120.
  • NIDS Network-based Intrusion Detection System
  • the abnormality detected by the security device 110 may be determined arbitrarily.
  • the abnormality may be, for example, no response from the vehicle computer 120 to an inquiry from the security device 110, an unauthorized command being sent on the bus, or the amount of commands being greater than or less than a predetermined amount.
  • the predetermined amount may be determined arbitrarily.
  • the security device 110 is communicably connected to the security device 110, and outputs (transmits) detection information (abnormality detection log) indicating the abnormality detection result to the security device 110.
  • the number of vehicle computers 120 and the buses to which the vehicle computers 120 are connected is not particularly limited.
  • the security device 110 is realized, for example, by a TCU including a cellular module compatible with mobile communication network standards for communicating with the monitoring server 200 and the management server 300, a communication interface for communicating with multiple vehicle computers 120 and the software management device 130, a non-volatile memory in which programs are stored, a volatile memory that is a temporary storage area for executing the programs, an input/output port for sending and receiving signals, and a processor for executing the programs.
  • a TCU including a cellular module compatible with mobile communication network standards for communicating with the monitoring server 200 and the management server 300, a communication interface for communicating with multiple vehicle computers 120 and the software management device 130, a non-volatile memory in which programs are stored, a volatile memory that is a temporary storage area for executing the programs, an input/output port for sending and receiving signals, and a processor for executing the programs.
  • an ECU is an example of the security device 110.
  • the communication interface provided by the security device 110 may be a wired LAN (Local Area Network) interface or a wireless LAN interface. Furthermore, the communication interface provided by the security device 110 is not limited to a LAN interface, and may be any communication interface that can establish a communication connection with a communication network.
  • LAN Local Area Network
  • the security device 110 may also be realized by a TCU and ECU, etc., provided in the vehicle 100, that perform the functions of the security device 110 in addition to the original functions of the TCU and ECU, etc.
  • the security device 110 includes a monitoring unit 111, an identification unit 112, an alarm unit 113, and a receiving unit 114.
  • the monitoring unit 111 is a processing unit that monitors whether or not there is an abnormality in the vehicle computer 120. For example, the monitoring unit 111 acquires (receives) a command flowing through a bus to which the vehicle computer 120 is connected, and determines whether or not there is an abnormality in the command.
  • the identification unit 112 is a processing unit that identifies the vehicle computer 120 in which an abnormality has occurred. For example, when the monitoring unit 111 determines that an abnormality has occurred, the identification unit 112 identifies which of the multiple vehicle computers 120 is responsible for the cause of the abnormality.
  • the identification unit 112 acquires information (hereinafter also referred to as an abnormality detection log) from the monitoring unit 111 indicating that an abnormal command (hereinafter also referred to as an unauthorized CAN (Controller Area Network) control command) is flowing on a bus in the in-vehicle communication network.
  • the abnormality detection log includes, for example, the contents of the unauthorized CAN control command and information indicating which of the multiple buses constituting the in-vehicle communication network the unauthorized CAN control command was flowing on. If the monitoring unit 111 is able to identify the vehicle computer 120 that is the source of the unauthorized CAN control command, the abnormality detection log may include information indicating the vehicle computer 120 that is the source.
  • the identification unit 112 identifies the vehicle computer 120 that can transmit the unauthorized CAN control command. For example, the identification unit 112 identifies the vehicle computer 120 that can transmit the unauthorized CAN control command based on the abnormality detection log received by the monitoring unit 111.
  • a vehicle computer 120 capable of transmitting unauthorized CAN control commands is, for example, a vehicle computer 120 connected to a bus through which unauthorized CAN control commands flow.
  • the identification unit 112 may identify, among the vehicle computers 120 connected to at least one of the first bus and the second bus, the vehicle computer 120 connected to the first bus as a vehicle computer 120 capable of transmitting unauthorized CAN control commands.
  • the identification unit 112 identifies the vehicle computer 120 that can send the unauthorized CAN control command based on the content of the unauthorized CAN control command.
  • Information regarding the commands that can be sent by each vehicle computer 120 may be stored in advance in a memory provided in the security device 110, for example.
  • the number of vehicle computers 120 identified by the identification unit 112 is not particularly limited.
  • the notification unit 113 is a processing unit that notifies the monitoring server 200 of an abnormality that has occurred. For example, when the monitoring unit 111 determines that an abnormality has occurred, the notification unit 113 outputs to the monitoring server 200 information indicating the content of the abnormality and information indicating the vehicle computer 120 identified by the identification unit 112.
  • the receiving unit 114 is a processing unit that acquires information indicating target instructions for abnormalities from the management server 300. For example, based on the acquired information, the receiving unit 114 outputs an instruction to the software management device 130 to update the software (program) used by the vehicle computer 120. Also, for example, based on the acquired information, the receiving unit 114 causes the vehicle computer 120 to execute processing such as restricting a specific function (for example, temporarily suspending that function).
  • Each of the vehicle computers 120 is connected to an in-vehicle communication network in the vehicle 100 and is a device that controls the vehicle 100. Specifically, each of the vehicle computers 120 controls the vehicle 100 using data (pre-installed applications and additional data) stored in a storage unit 126 provided in each vehicle computer 120.
  • Each of the vehicle computers 120 is realized by, for example, a memory that stores data such as programs, an input/output port for transmitting and receiving CAN control command signals to the TCU and other ECUs, and a processor that executes programs.
  • Each of the vehicle computers 120 is connected to an in-vehicle communication network such as CAN by the input/output port, and is capable of communicating via the in-vehicle communication network.
  • examples of the vehicle computers 120 include an IVI (In-Vehicle Infotainment), an ECU, or an RSE (Rear Seat Entertainment).
  • the vehicle computers 120 execute control of the devices equipped in the vehicle 100.
  • Such devices include, for example, an engine, a motor, a meter, a transmission, brakes, a steering wheel, a power window, an air conditioner, and a car navigation system.
  • At least one of the vehicle computers 120 is, for example, a control circuit that controls vehicle operations related to the autonomous driving of the vehicle 100.
  • the vehicle computers 120 are provided corresponding to each of these various devices.
  • Each of the vehicle computers 120 outputs a command to control the device.
  • the command is, for example, a command that complies with a communication protocol such as CAN (the CAN control command described above).
  • FIG. 2 is a block diagram showing the configuration of a vehicle calculator 120 according to an embodiment of the present invention.
  • the vehicle calculator 120 includes an execution unit 121, an initialization unit 122, a restoration unit 123, a function restriction unit 124, an additional data acquisition unit 125, and a memory unit 126.
  • the execution unit 121 is a processing unit that causes the initialization unit 122, the restoration unit 123, the function restriction unit 124, and the additional data acquisition unit 125 to execute various processes. For example, when the execution unit 121 receives an instruction from the security device 110 and/or the software management device 130 to execute a predetermined process such as a process for restricting a specific function or a program update, the execution unit 121 causes each processing unit to execute a process based on the instruction.
  • the initialization unit 122 is a processing unit that initializes the data stored in the storage unit 126.
  • pre-installed programs that are stored in advance before the vehicle 100 is sold to a user and additional data that is installed later by the user are stored in different data areas.
  • the storage unit 126 has a pre-installed program area and an additional data area.
  • the pre-installed programs are stored (stored) in the pre-installed program area, and the additional data is stored (stored) in the additional data area.
  • the initialization unit 122 initializes the storage unit 126 (in other words, initializes the data stored in the storage unit 126) by, for example, deleting the additional data stored in the additional data area.
  • the pre-installed programs are programs that allow the vehicle 100 to execute basic operations such as driving functions.
  • the pre-installed programs are stored in the storage unit 126 in advance, for example, when the vehicle 100 is sold.
  • the additional data is, for example, data that is stored in the storage unit 126 after the user starts using the vehicle 100.
  • the additional data is, for example, setting information such as a time zone set by the user, or data such as post-installation apps that are added after the user starts using the vehicle 100.
  • the restoration unit 123 is a processing unit that restores the deleted additional data after the initialization unit 122 executes the initialization, that is, stores the data again in the storage unit 126.
  • the additional data is stored, for example, as backup information in the data server 400.
  • the restoration unit 123 acquires backup information that is the deleted additional data after the initialization unit 122 executes the initialization, it stores the acquired additional data in the storage unit 126.
  • the function restriction unit 124 is a processing unit that restricts the functions of the vehicle 100. For example, when the function restriction unit 124 receives an instruction from the security device 110 to restrict a specific function, the function restriction unit 124 temporarily suspends some of the functions of the vehicle 100 based on the instruction. Also, when the function restriction unit 124 receives an instruction from the security device 110 to release the restriction on a specific function, the function restriction unit 124 resumes some of the functions of the vehicle 100 that were temporarily suspends based on the instruction.
  • the additional data acquisition unit 125 is a processing unit that acquires the additional data stored in the storage unit 126 and outputs it to the software management device 130.
  • the timing at which the additional data acquisition unit 125 acquires the additional data stored in the storage unit 126 and outputs it to the software management device 130, and the timing at which the software management device 130 transfers the additional data to the data server 400 and stores it in the data server 400, may be determined arbitrarily and are not particularly limited.
  • the timing may be, for example, at the time of initial setup by the user, or at any timing while the user is using the vehicle 100.
  • Each processing unit such as the execution unit 121, the initialization unit 122, the restoration unit 123, the function restriction unit 124, and the additional data acquisition unit 125, is realized, for example, by one or more processors.
  • the storage unit 126 is a memory that stores data such as programs used by each processing unit when controlling the vehicle 100. As described above, for example, the storage unit 126 has a pre-installed program area in which pre-installed programs are stored, and an additional data area in which additional data is stored.
  • the storage unit 126 may be realized by one memory or by multiple memories.
  • the pre-installed program area and the additional data area may be provided in separate memories, or each memory may be provided with a pre-installed program area and an additional data area.
  • the storage unit 126 is realized, for example, by a HDD (Hard Disk Drive) or an SSD (Solid State Drive).
  • the software management device 130 is a device that performs updates of software (e.g., pre-installed programs) used by each of the multiple vehicle computers 120.
  • the software management device 130 is communicably connected to the data server 400, obtains the latest software from the data server 400, and uses the obtained software to perform updates of the software used by the multiple vehicle computers 120.
  • the software management device 130 includes an OTA instruction unit 131 and an information transmission unit 132.
  • the OTA instruction unit 131 is a processing unit that outputs an instruction to update the pre-installed programs to the multiple vehicle computers 120.
  • the security device 110 acquires an instruction to update the pre-installed programs as an instruction to deal with an abnormality, it outputs an instruction to update the pre-installed programs to the software management device 130.
  • the OTA instruction unit 131 acquires an instruction to update the pre-installed programs, it causes the multiple vehicle computers 120 to update the pre-installed programs using an update program, which is OTA data acquired from the data server 400.
  • the information transmission unit 132 is a processing unit that outputs the additional data stored in the memory unit 126 of the multiple vehicle computers 120 to the data server 400, thereby backing up the additional data in the data server.
  • the software management device 130 (specifically, the OTA instruction unit 131 and the information transmission unit 132) is realized, for example, by a TCU, an ECU, and a memory that stores the programs executed by these devices.
  • the monitoring server 200 is a computer that communicates with the vehicle 100 (specifically, the security device 110) and monitors the status of the vehicle 100.
  • the security device 110 is a server used in a monitoring center such as an SOC, for example, that realizes SIEM (Security Information and Event Management).
  • SIEM Security Information and Event Management
  • the monitoring server 200 is connected to the security device 110 and the management server 300 so as to be able to communicate with them.
  • the monitoring server 200 acquires information indicating an abnormality from the security device 110, it identifies the details of the attack (also called a security attack) that caused the abnormality.
  • the monitoring server 200 outputs information indicating the vehicle computer 120 that caused the abnormality, the details of the abnormality, and information indicating the details of the attack that caused the abnormality to the management server 300 as attack information.
  • the details of the attack may be identified by obtaining information indicating the details of the attack from the user via a user interface such as a mouse and keyboard, or by the monitoring server 200 using a database indicating the relationship between anomalies and the details of the attack.
  • the monitoring server 200 is realized, for example, by a communication interface for communicating with the security device 110 and the management server 300, a non-volatile memory in which programs are stored, a volatile memory that is a temporary storage area for executing the programs, an input/output port for sending and receiving signals, and a processor for executing the programs.
  • the management server 300 is a computer that causes the vehicle 100 in which an abnormality has occurred to deal with the abnormality (specifically, the attack that caused the abnormality).
  • the management server 300 is connected so as to be able to communicate with the vehicle 100 (specifically, the security device 110), the monitoring server 200, and the data server 400.
  • the management server 300 is an example of a security device.
  • the management server 300 is realized, for example, by a communication interface for communicating with the security device 110, the monitoring server 200, and the data server 400, a non-volatile memory in which programs are stored, a volatile memory that is a temporary storage area for executing the programs, an input/output port for sending and receiving signals, and a processor that executes the programs.
  • FIG. 3 is a block diagram showing the configuration of a management server 300 according to an embodiment.
  • the management server 300 includes an acquisition unit 310, a control unit 320, an output unit 330, and a memory unit 340.
  • the acquisition unit 310 is a processing unit that acquires abnormality information.
  • the abnormality information is information about an abnormality that occurs due to an attack on the vehicle computer 120.
  • the abnormality information includes, for example, attack information output from the monitoring server 200 to the management server 300.
  • the acquisition unit 310 acquires the attack information from the management server 300 as abnormality information.
  • the abnormality information may include related information about the abnormality output from the vehicle 100 or the monitoring server 200.
  • the related information is, for example, information indicating whether the abnormality is still occurring, information about additional data obtained from the user of the vehicle 100, or information about the abnormality obtained from the user of the vehicle 100 or an analyst operating the management server 300.
  • the control unit 320 is a processing unit that causes the vehicle 100 to perform various processes. For example, the control unit 320 causes the output unit 330 to output (transmit) to the vehicle 100 information indicating an instruction to execute a predetermined countermeasure against the abnormality, thereby causing the vehicle 100 to execute the countermeasure against the abnormality.
  • control unit 320 deletes additional data that was added to the storage unit 126 after a specified timing from among the data stored in the storage unit 126 of the vehicle calculator 120.
  • the specified timing is, for example, the timing when the user of the vehicle 100 starts using the vehicle 100.
  • the control unit 320 deletes additional data that has been added to the storage unit 126 after the vehicle 100 started to be used, other than the pre-installed programs that have been stored in advance in the storage unit 126, from the data stored in the storage unit 126 of the vehicle calculator 120.
  • the specified timing may be determined arbitrarily, such as additional data added to the memory unit 126 within one year after the occurrence of the abnormality.
  • the control unit 320 determines whether the abnormality that has occurred is caused by the additional data, and if it determines that the abnormality is caused by the additional data, deletes the additional data that was added to the storage unit 126. For example, the control unit 320 determines whether the abnormality that has occurred is caused by the additional data based on the vulnerability database stored in the storage unit 340.
  • the vulnerability database is information that indicates the relationship between the type of data and the security vulnerabilities of the data.
  • the control unit 320 determines the vulnerability of the additional data based on the vulnerability database, and if it determines that the additional data has a vulnerability, it deletes the additional data.
  • control unit 320 may immediately delete the additional data that was added to the memory unit 126.
  • control unit 320 may delete the additional data that was added to the storage unit 126, and then store the additional data again in the storage unit 126.
  • the acquisition unit 310 acquires the additional data that has been backed up from the data server 400.
  • the control unit 320 stores the additional data again in the storage unit 126.
  • control unit 320 may, after deleting the additional data added to the storage unit 126, determine whether or not the abnormality is caused by the additional data, and if it determines that the abnormality is not caused by the additional data, may store the additional data again in the storage unit 126.
  • the control unit 320 may determine the vulnerability of the additional data based on a vulnerability database.
  • the control unit 320 may store the additional data that is not causing an abnormality, for example, the additional data that has no vulnerabilities, again in the storage unit 126.
  • control unit 320 identifies the function that caused the attack that caused the abnormality based on the anomaly information. Next, the control unit 320 disables the identified function, for example. Specifically, the control unit 320 temporarily disables the identified function.
  • Examples of functional restrictions include adding the designation of apps that are prohibited from being installed (e.g., registering the app name in a denylist and/or vulnerability database), disabling specific communication ports, or disabling specific communication functions (e.g., Wi-Fi (registered trademark) and/or Bluetooth (registered trademark), etc.).
  • control unit 320 determines whether the additional data determined to be vulnerable was automatically transmitted from an external communication device and stored in the storage unit 126, or was stored in the storage unit 126 through a user operation, based on the anomaly information. For example, when the control unit 320 determines that the additional data determined to be vulnerable was automatically transmitted from an external communication device and stored in the storage unit 126, it identifies the function that caused the attack that caused the anomaly as the communication function of the vehicle 100, and temporarily disables the operation of the communication port equipped in the vehicle 100.
  • control unit 320 determines that the additional data determined to be vulnerable was stored in the storage unit 126 through a user operation, it identifies the function that caused the attack that caused the anomaly as the app installation function, and temporarily disables the app installation function.
  • the occurrence of an abnormality may be caused by a pre-installed app, or may be suppressed by improving the pre-installed app. Therefore, when the control unit 320 acquires information indicating that measures against attacks have been taken, such as information indicating that an updated pre-installed app has been created, the control unit 320 enables the function.
  • the information indicating that measures against the attack have been taken may be obtained from the user via a user interface such as a mouse and keyboard, or may be obtained (received) from the data server 400.
  • the control unit 320 obtains information indicating that measures against the attack have been taken, it updates the pre-installed program stored in the storage unit 126 before a specified timing with a program for which measures against the attack have been taken, and after updating the pre-installed program, it enables the function.
  • the output unit 330 is a processing unit that outputs to the vehicle 100 information indicating the processing that the control unit 320 is to cause the vehicle 100 to execute.
  • Each processing unit such as the acquisition unit 310, the control unit 320, and the output unit 330, is realized, for example, by one or more processors.
  • the memory unit 340 is a storage device that stores the programs executed by each processing unit of the management server 300, as well as information such as a vulnerability database.
  • the storage unit 340 is realized, for example, by a HDD or SSD.
  • the data server 400 is an OTA (Over-the-Air) server that stores programs (e.g., pre-installed programs) used by each of the multiple vehicle computers 120 equipped in the vehicle 100.
  • the data server 400 also stores additional data used by each of the multiple vehicle computers 120 as backup information.
  • the data server 400 is connected to be able to communicate with the management server 300 and the vehicle 100 (specifically, the software management device 130).
  • the data server 400 is realized, for example, by a communication interface for communicating with the vehicle 100 and the management server 300, a non-volatile memory in which programs are stored, a volatile memory that is a temporary storage area for executing the programs, an input/output port for sending and receiving signals, and a processor for executing the programs.
  • Fig. 4 is a sequence diagram showing the process of deleting additional data in the security system 10 according to the embodiment.
  • the vehicle computer 120 shown in Fig. 4 is one of the multiple vehicle computers 120 provided in the vehicle 100 that has been identified by the security device 110 as having an abnormality. Although one vehicle computer 120 is shown in Fig. 4, multiple vehicle computers 120 may be used. In this embodiment, the additional data stored in the storage unit 126 provided in the vehicle computer 120 is described as having already been stored in the data server 400.
  • the security device 110 monitors for abnormalities in the in-vehicle communication network of the vehicle 100.
  • the security device 110 detects an abnormality (S110), for example, when it detects that an unauthorized CAN control command is being transmitted through the in-vehicle communication network, it identifies the vehicle computer 120 in which the abnormality has occurred among the multiple vehicle computers 120 equipped in the vehicle 100 based on the abnormality detection log (S120).
  • the security device 110 outputs information indicating that an abnormality has occurred (e.g., an abnormality detection log) to the monitoring server 200 (S130).
  • an abnormality detection log e.g., an abnormality detection log
  • the monitoring server 200 When the monitoring server 200 acquires information indicating that an abnormality has occurred, it detects the attack that caused the abnormality (specifically, identifies the content of the attack) (S140).
  • the monitoring server 200 outputs attack information, which is information indicating the detected attack, to the management server 300 (S150).
  • the security device 110 may output related information regarding the anomaly to the management server 300 (S160).
  • the management server 300 acquires, for example, the attack information and related information as anomaly information.
  • the management server 300 determines the instructions to be executed by the security device 110 and the notification content indicating whether or not to request additional data from the data server 400 (S170).
  • the management server 300 performs processing based on the determined notification content.
  • the management server 300 performs steps S180, S210, S240, and S270.
  • the management server 300 outputs, for example, an initialization instruction to the security device 110, which instructs the vehicle calculator 120 to delete the additional data (S180).
  • the security device 110 When the security device 110 receives an initialization instruction from the management server 300, it outputs the initialization instruction to the vehicle computer 120 (S190).
  • the security device 110 may transfer the initialization instruction received from the management server 300 to the vehicle computer 120 as is, or may transfer the instruction after processing such as changing the format.
  • the vehicle calculator 120 When the vehicle calculator 120 receives an initialization instruction from the security device 110, it initializes the additional data area, i.e., it deletes the additional data stored in the memory unit 126 (S200).
  • the management server 300 also outputs an additional data transmission instruction to the data server 400, which instructs the vehicle computer 120 to transmit the additional data that has been deleted (S210).
  • the data server 400 When the data server 400 receives an instruction to send additional data, it outputs the additional data to the management server 300 (S220).
  • the management server 300 determines, for example, based on the vulnerability database, whether to restore the additional data to the vehicle computer 120, that is, whether to store the additional data again in the memory unit 126 (S230).
  • the management server 300 determines that the additional data should be restored to the vehicle computer 120, for example, it outputs the additional data to the security device 110 (S240).
  • the management server 300 may delete the additional data without outputting it to the security device 110. In this way, only the additional data that the management server 300 determines should be restored is transferred to the vehicle computer 120 and restored.
  • step S240 if the security device 110 obtains additional data from the management server 300, it outputs the additional data to the vehicle calculator 120 (S250).
  • the vehicle calculator 120 When the vehicle calculator 120 acquires the additional data from the security device 110, it restores the additional data, that is, stores the additional data in the memory unit 126 (S260).
  • the management server 300 outputs a function restriction instruction to the security device 110, which instructs the vehicle computer 120 to restrict a specific function (S270).
  • the security device 110 When the security device 110 receives a function restriction instruction from the management server 300, it outputs the function restriction instruction to the vehicle computer 120 (S280).
  • the vehicle computer 120 When the vehicle computer 120 receives a function restriction instruction from the security device 110, it restricts (disables) a specified function (S290).
  • steps S200, S260, and S290 may be executed only by the vehicle computer 120 that has been identified as having an abnormality (that has been identified as having the possibility of an abnormality having occurred), or may be executed by all vehicle computers 120.
  • FIG. 5 is a sequence diagram showing the processing procedure for the fundamental countermeasure in the security system 10 according to the embodiment. For example, FIG. 5 shows the processing executed after the processing in FIG. 4 has been performed.
  • preparations for responding to the attack that caused the anomaly have begun, such as creating a countermeasure-ready update software that has been implemented with countermeasures against the anomaly detected in step S110 shown in FIG. 4 (i.e., countermeasures against the attack that caused the anomaly) (S310).
  • a countermeasure-ready update software that has been implemented with countermeasures against the attack that caused the anomaly has been created.
  • the management server 300 transmits information indicating that countermeasures against the attack have been implemented, in other words, information indicating that preparations for responding to the anomaly have been completed (notification of completion of permanent response preparation) to the security device 110.
  • the management server 300 outputs an OTA instruction to the security device 110 indicating an instruction to update a program (e.g., a pre-installed program) to respond to the anomaly (S320).
  • the security device 110 receives an OTA instruction from the management server 300, it outputs the OTA instruction to the software management device 130 (S330).
  • the software management device 130 receives an OTA instruction from the security device 110, it outputs an instruction to the data server 400 requesting an OTA image, which is information for updating the program (S340).
  • the data server 400 receives an instruction from the software management device 130 requesting an OTA image, it outputs the OTA image to the software management device 130 (S350).
  • the software management device 130 obtains the OTA image from the data server 400, it outputs the OTA image to the vehicle computer 120 (S360).
  • the vehicle computer 120 obtains the OTA image from the software management device 130, it performs a program update using the OTA image (S370).
  • the vehicle computer 120 outputs a completion notification to the software management device 130 indicating completion (S380).
  • the software management device 130 receives a completion notification from the vehicle computer 120, it outputs the completion notification to the security device 110 (S390).
  • the security device 110 receives a completion notification from the software management device 130, it outputs the completion notification to the management server 300 (S400).
  • the management server 300 when the management server 300 receives a completion notification from the security device 110, it outputs a function restriction release instruction to the security device 110, which is an instruction to release the restriction on the functions of the vehicle 100, that is, to enable the disabled functions of the vehicle 100 (S410).
  • the security device 110 receives a function restriction release instruction from the management server 300, it outputs the function restriction release instruction to the software management device 130 (S420).
  • the software management device 130 receives a function restriction release instruction from the security device 110, it outputs the function restriction release instruction to the vehicle computer 120 (S430).
  • the vehicle computer 120 when the vehicle computer 120 receives an instruction to remove function restrictions from the software management device 130, it removes the restrictions on the functions of the vehicle 100, i.e., it enables the functions of the vehicle 100 that were disabled (S440).
  • FIG. 6 is a flowchart showing a procedure for deleting additional data by the management server 300 according to the embodiment.
  • the acquisition unit 310 acquires anomaly information from the monitoring server 200 or the like (S510).
  • control unit 320 determines whether an abnormality has occurred in the vehicle 100 based on the abnormality information acquired by the acquisition unit 310 (S520). For example, the control unit 320 identifies the content of the abnormality and the content of the attack based on the abnormality information.
  • control unit 320 determines whether or not it is necessary to initialize the storage unit 126 provided in the vehicle calculator 120 (S530). For example, the control unit 320 determines that initialization is necessary if a serious abnormality has occurred that would cause the vehicle 100 to malfunction.
  • control unit 320 determines that initialization is necessary (Yes in S530), it causes the output unit 330 to output information indicating an instruction to initialize the vehicle computer 120 via the security device 110, thereby causing the vehicle computer 120 to initialize the memory unit 126 (S540).
  • the control unit 320 inspects the additional data (S550). For example, the acquisition unit 310 acquires multiple pieces of additional data stored as backup information from the data server 400, and the control unit 320 compares the multiple pieces of additional data with a vulnerability database, for example. As a result, for example, the control unit 320 determines whether or not the multiple pieces of additional data include any additional data that is related to vulnerabilities, i.e., has vulnerabilities (S560).
  • control unit 320 determines that there is additional data related to the vulnerability (Yes in S560), it deletes the additional data related to the vulnerability (S570).
  • control unit 320 determines that there is no additional data related to the vulnerability (No in S560), or after deleting the additional data related to the vulnerability in step S570, it causes the vehicle calculator 120 to output data unrelated to the vulnerability to the output unit 330 via the security device 110, thereby storing the additional data unrelated to the vulnerability in the memory unit 126.
  • step S580 may not be executed.
  • control unit 320 determines whether or not functional restrictions on the vehicle 100 are necessary (S590). For example, the control unit 320 determines the route through which the additional data determined to be related to a vulnerability was stored in the storage unit 126.
  • control unit 320 determines that functional restriction of the vehicle 100 is necessary (Yes in S590), it causes the vehicle computer 120 to disable a specified function by outputting information instructing the vehicle computer 120 to restrict the function to the output unit 330 via the security device 110 (S600). For example, if the control unit 320 determines that the additional data determined to be vulnerable was automatically transmitted from an external communication device and stored in the memory unit 126, it identifies the function that caused the abnormality and was subject to the attack as the communication function of the vehicle 100, and temporarily disables the operation of the communication port equipped in the vehicle 100.
  • control unit 320 determines that functional restrictions on the vehicle 100 are not necessary (Yes in S590), and ends the process without instructing the vehicle calculator 120 to restrict functionality.
  • the control unit 320 determines that initialization is not necessary (No in S530) and executes processing other than initialization (S610). For example, the control unit 320 may notify the user by displaying information indicating that an attack has occurred on a display (not shown) equipped in the vehicle 100. Also, the processing may end without executing step S610.
  • FIG. 7 is a flowchart showing the processing procedure for the fundamental countermeasure of the management server 300 according to the embodiment.
  • FIG. 7 shows, for example, the processing that is executed after the flowchart shown in FIG. 6 is executed.
  • the acquisition unit 310 acquires information from the data server 400 indicating that measures have been taken against the attack that caused the abnormality, such as the creation of countermeasure-ready updated software that has been implemented against the abnormality detected in step S110 shown in FIG. 4.
  • the control unit 320 determines whether OTA is necessary based on the information acquired by the acquisition unit 310, that is, whether it is necessary to update the program used by the vehicle calculator 120 (specifically, the pre-installed program) (S710).
  • the information includes, for example, information indicating whether a program update is necessary.
  • control unit 320 determines that OTA is necessary (Yes in S710), it causes the vehicle computer 120 to update the program by outputting an OTA instruction to the output unit 330 via the security device 110 (S720).
  • control unit 320 determines that OTA is not required (No in S710), or following step S720, it determines whether or not it is necessary to release the functional restrictions on the vehicle 100, that is, whether or not it is necessary to enable the disabled functions of the vehicle 100 (S730).
  • control unit 320 If the control unit 320, for example, has restricted the functions of the vehicle 100 and determines that it is necessary to remove the functional restrictions on the vehicle 100 (Yes in S730), it causes the output unit 330 to output an instruction to the vehicle computer 120 to remove the functional restrictions via the security device 110 (S740).
  • control unit 320 determines that the vehicle 100 is not subject to functional restrictions and that there is no need to remove the functional restrictions on the vehicle 100 (No in S730), it ends the process without executing step S740.
  • FIG. 8 is a flowchart showing the processing procedure of a security device according to an embodiment.
  • FIG. 8 is a flowchart showing the processing procedure of the management server 300.
  • the acquisition unit 310 is connected to the in-vehicle communication network in the vehicle 100, and acquires abnormality information regarding an abnormality that occurs due to an attack on the vehicle computer 120 that controls the vehicle 100.
  • the control unit 320 deletes additional data that was added to the storage unit 126 of the vehicle computer 120 after a predetermined timing from the data stored in the storage unit 126 of the vehicle computer 120 (S20). For example, when the abnormality information is acquired by the acquisition unit 310, the control unit 320 deletes additional data that was added to the storage unit 126 after the vehicle 100 began to be used from the data stored in the storage unit 126 of the vehicle computer 120, other than the pre-installed programs that were previously stored in the storage unit 126.
  • Technique 1 is a security method that acquires abnormality information (S10) regarding an abnormality that occurs due to an attack on a vehicle computer 120 that is connected to an in-vehicle communication network in a vehicle 100 and controls the vehicle 100, and deletes additional data that has been added to the storage unit 126 after a predetermined timing from among the data stored in the storage unit 126 of the vehicle computer 120 based on the abnormality information (S20).
  • S10 abnormality information
  • S10 abnormality information regarding an abnormality that occurs due to an attack on a vehicle computer 120 that is connected to an in-vehicle communication network in a vehicle 100 and controls the vehicle 100, and deletes additional data that has been added to the storage unit 126 after a predetermined timing from among the data stored in the storage unit 126 of the vehicle computer 120 based on the abnormality information (S20).
  • the specified timing is, for example, the timing when the user of the vehicle 100 starts using the vehicle 100.
  • step S20 for example, based on the abnormality information, the data stored in the storage unit 126 of the vehicle calculator 120, other than the pre-installed programs stored in the storage unit 126 in advance, and additional data that was added to the storage unit 126 after the vehicle 100 started to be used, is deleted.
  • the vehicle computer 120 such as an ECU can dynamically add functions, not over the air, i.e., can use additional data at the user's desired timing (for example, a type that allows apps to be installed like a personal computer).
  • the storage unit 126 of such a vehicle computer 120 may be designed so that a pre-installed program that is stored before the vehicle 100 is sold to a user and additional data that is installed by the user later are stored in different data areas.
  • a program for the vehicle 100 to execute basic operations such as driving functions is stored in the storage unit 126 as a pre-installed program at the time of the sale of the vehicle 100.
  • additional data such as setting information such as a time zone set by the user is stored in the storage unit 126 after the user starts using the data.
  • the additional data contains vulnerabilities and becomes a target of attacks, or unauthorized commands are mixed in with the additional data. Therefore, in the security method according to technology 1, for example, when an abnormality occurs in the vehicle 100, the additional data in the storage unit 126 is deleted. This allows the additional data that is likely to be the cause of the abnormality to be deleted while leaving the pre-installed programs that allow the vehicle 100 to execute basic operations such as the driving function. This allows the vehicle 100 to continue executing basic operations such as the driving function, and the occurrence of the abnormality can be stopped with a high probability.
  • the security method of the embodiment it is possible to improve the possibility that an attack can be quickly dealt with when the vehicle 100 is attacked without stopping basic functions, even if the pre-installed programs are not updated to programs that have fundamental measures against the attack. In other words, the risk of re-attack and/or re-intrusion can be reduced by provisionally dealing with the SOC and/or SIEM.
  • this eliminates the need to immediately update a pre-installed program stored in storage unit 126, for example, and therefore eliminates the need to prepare a program for updating the pre-installed program in advance. Furthermore, no time is required to update the pre-installed program when using vehicle 100 after a problem has occurred. In this way, deleting the additional data can shorten the period during which the user cannot use vehicle 100.
  • Technology 2 is a security method described in Technology 1, in which, when abnormality information is acquired, it is determined whether the abnormality is due to additional data, and if it is determined that the abnormality is due to the additional data, the additional data added to the storage unit 126 is deleted.
  • Technique 3 is a security method described in Technique 1 or 2, in which the additional data added to the storage unit 126 is deleted, and then it is determined whether the abnormality is due to the additional data, and if it is determined that the abnormality is not due to the additional data, the additional data is stored again in the storage unit 126.
  • Technology 4 is a security method described in any one of techniques 1 to 3, which identifies the function that caused the attack that caused the anomaly based on the anomaly information, and disables the identified function.
  • the function in question can be stopped, thereby reducing the risk of an abnormality in the vehicle 100, for example.
  • Technology 5 is a security method described in Technology 4, which enables the function when information is obtained indicating that countermeasures against attacks have been implemented.
  • Technology 7 is a security device that includes an acquisition unit 310 that is connected to an in-vehicle communication network in a vehicle 100 and acquires abnormality information related to an abnormality that occurs due to an attack on a vehicle computer 120 that controls the vehicle 100, and a control unit 320 that deletes additional data that has been added to the storage unit 126 after a predetermined timing from the data stored in the storage unit 126 of the vehicle computer 120 based on the abnormality information.
  • the management server 300 is an example of a security device.
  • the monitoring server 200, the management server 300, and the data server 400 may be located in the same building or in different buildings.
  • the functions of the monitoring server 200, the management server 300, and the data server 400 may be realized, for example, by one or more computers, and these functions may be executed by any of the one or more computers.
  • the vehicle 100 may have the functions executed by the monitoring server 200 and the management server 300. For example, when the vehicle 100 acquires abnormality information, that is, when an abnormality is detected, the vehicle 100 may delete additional data other than the pre-installed programs stored in the memory unit 126.
  • processing performed by a specific processing unit may be executed by another processing unit.
  • the order of multiple processes may be changed, and multiple processes may be executed in parallel.
  • each component of the processing unit may be configured with dedicated hardware, or may be realized by executing a software program suitable for each component.
  • Each component may be realized by a program execution unit such as a CPU or processor reading and executing a software program recorded on a recording medium such as a hard disk or semiconductor memory.
  • the at least one device is a computer system consisting of a microprocessor, ROM, RAM, a hard disk unit, a display unit, a keyboard, a mouse, etc.
  • a computer program is stored in the RAM or hard disk unit.
  • the at least one device achieves its functions by the microprocessor operating in accordance with the computer program.
  • a computer program is composed of a combination of multiple instruction codes that indicate commands for a computer to achieve a specified function.
  • a system LSI is an ultra-multifunctional LSI manufactured by integrating multiple components on a single chip, and is specifically a computer system composed of a microprocessor, ROM, RAM, etc.
  • a computer program is stored in the RAM. The system LSI achieves its functions when the microprocessor operates in accordance with the computer program.
  • Some or all of the components constituting at least one of the above devices may be composed of an IC card or a standalone module that is detachable from the device.
  • the IC card or module is a computer system composed of a microprocessor, ROM, RAM, etc.
  • the IC card or module may include the above-mentioned ultra-multifunction LSI.
  • the IC card or module achieves its functions when the microprocessor operates according to a computer program. This IC card or module may be tamper-resistant.
  • the present disclosure may be the methods described above. It may also be a computer program that implements these methods using a computer, or a digital signal that comprises a computer program.
  • the present disclosure may also be a computer program or a digital signal recorded on a computer-readable recording medium, such as a flexible disk, a hard disk, a CD (Compact Disc)-ROM, a DVD, a DVD-ROM, a DVD-RAM, a BD (Blu-ray (registered trademark) Disc), a semiconductor memory, etc. It may also be a digital signal recorded on such a recording medium.
  • a computer-readable recording medium such as a flexible disk, a hard disk, a CD (Compact Disc)-ROM, a DVD, a DVD-ROM, a DVD-RAM, a BD (Blu-ray (registered trademark) Disc), a semiconductor memory, etc. It may also be a digital signal recorded on such a recording medium.
  • the present disclosure may also involve the transmission of computer programs or digital signals via telecommunications lines, wireless or wired communication lines, networks such as the Internet, data broadcasting, etc.
  • the program or digital signal may also be implemented by another independent computer system by recording it on a recording medium and transferring it, or by transferring the program or digital signal via a network, etc.
  • Security system 100 Vehicle 110 Security device 111 Monitoring unit 112 Identification unit 113 Notification unit 114 Reception unit 120 Vehicle computer 121 Execution unit 122 Initialization unit 123 Restoration unit 124 Function restriction unit 125 Additional data acquisition unit 126, 340 Storage unit 130 Software management device 131 OTA instruction unit 132 Information transmission unit 200 Monitoring server 300 Management server 310 Acquisition unit 320 Control unit 330 Output unit 400 Data server

Landscapes

  • Small-Scale Networks (AREA)

Abstract

本開示の一態様に係るセキュリティ方法は、車両における車載通信ネットワークと接続され、車両の制御を行う車両計算機が攻撃されることで発生した異常に関する異常情報を取得し（Ｓ１０）、異常情報に基づいて、車両計算機が有する記憶部に記憶されたデータのうち、所定のタイミングより後に記憶部に追加された追加データを削除させる（Ｓ２０）。

Description

セキュリティ方法、および、セキュリティ装置
　本開示は、セキュリティ方法、および、セキュリティ装置に関する。
　従来、車載通信ネットワークなどの通信ネットワークにおけるセキュリティを提供するシステムがある。
　特許文献１には、車両への攻撃を検知したときに、攻撃が車両の各制御に与える影響に応じて、各制御に抑制をかける装置が開示されている。
特開２０１９－７５０５６号公報
　しかしながら、特許文献１に開示されている装置では、応急処置的には攻撃を回避できるが、脆弱性の解析またはセキュリティパッチの作成などの恒久対応が行われるまで車両の使用ができなくなる虞がある。
　本開示は、車両が攻撃を受けた際に当該攻撃に素早く対処できる可能性を向上できるセキュリティ方法などを提供する。
　本開示の一態様に係るセキュリティ方法は、車両における車載通信ネットワークと接続され、前記車両の制御を行う車両計算機が攻撃されることで発生した異常に関する異常情報を取得し、前記異常情報に基づいて、前記車両計算機が有する記憶部に記憶されたデータのうち、所定のタイミングより後に前記記憶部に追加された追加データを削除させる。
　本開示の一態様に係るセキュリティ装置は、車両における車載通信ネットワークと接続され、前記車両の制御を行う車両計算機が攻撃されることで発生した異常に関する異常情報を取得する取得部と、前記異常情報に基づいて、前記車両計算機が有する記憶部に記憶されたデータのうち、所定のタイミングより後に前記記憶部に追加された追加データを削除させる制御部と、を備える。
　本開示の一態様に係るセキュリティ方法などによれば、車両が攻撃を受けた際に当該攻撃に素早く対処できる可能性を向上できる。
図１は、実施の形態に係るセキュリティシステムの構成を示すブロック図である。 図２は、実施の形態に係る車両計算機の構成を示すブロック図である。 図３は、実施の形態に係る管理サーバの構成を示すブロック図である。 図４は、実施の形態に係るセキュリティシステムにおける追加データの削除の処理手順を示すシーケンス図である。 図５は、実施の形態に係るセキュリティシステムにおける根本対策の処理手順を示すシーケンス図である。 図６は、実施の形態に係る管理サーバの追加データの削除の処理手順を示すフローチャートである。 図７は、実施の形態に係る管理サーバの根本対策の処理手順を示すフローチャートである。 図８は、実施の形態に係るセキュリティ装置の処理手順を示すフローチャートである。
　（本開示の基礎となった知見）
　車両における車載通信ネットワークで攻撃（具体的には、サイバー攻撃）が検知された場合には、運転者などの車両の搭乗者の安全確保のために、攻撃による車両の異常動作の阻止を目的とした応急処置的な即時対応が必要となる。即時対応としては、例えば、縮退動作、車両制御抑制、または、外部との通信の遮断などが挙げられる。
　縮退動作とは、自動制御で車両を路肩など安全な場所に緊急停止させる動作である。車両制御抑制とは、アクチュエータ（ハンドル、ブレーキ、および、アクセルなど）の制御に制限を行い、攻撃による異常動作の影響を抑制する処理である。外部との通信の遮断とは、車外からのリモートでの車両への不正制御攻撃を想定して、Ｗｉ－Ｆｉ（登録商標）またはモバイル通信などの車両と車外の外部機器との通信を遮断する処理である。
　しかしながら、例えば、縮退動作では、攻撃自体が遮断されたわけではないため、再び運転を始めると同様の攻撃が再開される虞がある。そのため、車両は、緊急停止した後に、身動きが取れなくなる虞がある。
　また、例えば、車両制御抑制では、通常の運転制御も制限されるため、運転者も正しい運転ができなくなる虞がある。
　上記のような即時対応では、応急処置的には攻撃を回避できるが、脆弱性の解析またはセキュリティパッチの作成などの恒久対応が行われるまで車両の使用ができなくなる虞がある。これでは、攻撃を受けた車両は、運転自体ができなくなったり、一部の機能が使用不能になることで、当該車両を運搬する他の車両を用いて修理のためにサービスセンターなどに持ち込まなければならないなどの不具合が生じる。
　そこで、本願発明者らは、車両が攻撃を受けた際にも、例えば車両の運転機能に制限をかけないように当該攻撃に素早く対処できる可能性を向上できるセキュリティ方法などを見出した。
　以下、本開示の実施の形態について、図面を参照しながら具体的に説明する。
　なお、以下で説明する実施の形態は、いずれも本開示の一具体例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置および接続形態、ステップ、ステップの順序などは、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、独立請求項に記載されていない構成要素については、任意の構成要素として説明される。
　（実施の形態）
　［構成］
　図１は、実施の形態に係る車両への情報を提供するセキュリティシステム１０の概略図である。
　セキュリティシステム１０は、インターネットなどの無線ネットワーク（例えば、移動体通信網）を介して互いに通信可能に接続された車両１００、監視サーバ２００、管理サーバ３００、および、データサーバ４００を備える車載通信ネットワークシステムである。セキュリティシステム１０では、例えば、車両１００と、ＳＯＣ（Ｓｅｃｕｒｉｔｙ　Ｏｐｅｒａｔｉｏｎ　Ｃｅｎｔｅｒ）などの監視センターに配置された監視サーバ２００および管理サーバ３００とが通信することで、車両１００における車載通信ネットワークと接続された車両計算機１２０などの各機器およびこれらを通信可能に接続するバスなどに異常がないかが監視される。また、車両１００は、監視サーバ２００および管理サーバ３００とともにセンター（例えば、監視センターなどの建屋）に配置されたデータサーバ４００と通信することで、車両１００の制御に用いられるプログラム（ソフトウェア）の更新などを行う。
　車両１００は、自動二輪車または自動四輪車などの任意の車両である。本実施の形態では、車両１００は、自動運転機能を搭載した自動運転車である。
　車両１００は、セキュリティ装置１１０と、複数の車両計算機１２０と、ソフトウェア管理装置１３０と、を備える。
　なお、図１では、車両１００が備える車両計算機１２０を３つ示しているが、車両１００が備える車両計算機１２０の数は、１つでもよいし２以上でもよく、任意でよい。
　車両１００は、例えば、ハードウェア構成として、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）、および、複数のＥＣＵなどを備える。
　なお、車両１００は、自動運転車両でなくてもよい。
　セキュリティ装置１１０は、車両１００の状態を監視するための装置である。セキュリティ装置１１０は、監視サーバ２００および管理サーバ３００と通信可能に接続されている。
　セキュリティ装置１１０は、車両１００で検知された車両１００への攻撃（具体的には、サイバー攻撃）に関する情報（検知情報ともいう）を取得し、取得した検知情報に基づいて車両１００の状態を監視する。セキュリティ装置１１０は、例えばＮＩＤＳ（Ｎｅｔｗｏｒｋ－ｂａｓｅｄ　Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｓｙｓｔｅｍ）であって、複数の車両計算機１２０とのそれぞれとバスを介して通信可能に接続され、接続されたバスに流れるデータを監視する。具体的には、セキュリティ装置１１０は、車両計算機１２０と接続されたバスに流れるデータを監視することで、車両１００（より具体的には、車両計算機１２０）に行われる異常（言い換えると、攻撃）を検知する。
　なお、セキュリティ装置１１０が検知する異常は、任意に定められてよい。当該異常は、例えば、セキュリティ装置１１０の問い合わせに対して車両計算機１２０から応答がない、バスに不正なコマンドが流れている、または、コマンドの量が所定の量より多いもしくは少ないなどである。当該所定の量は、任意に定められてよい。セキュリティ装置１１０は、セキュリティ装置１１０と通信可能に接続されており、異常の検知結果を示す検知情報（異常検知ログ）をセキュリティ装置１１０に出力（送信）する。
　また、車両計算機１２０および車両計算機１２０が接続されるバスの数は、特に限定されない。
　セキュリティ装置１１０は、例えば、監視サーバ２００および管理サーバ３００と通信するための移動体通信網の規格に対応したセルラモジュールを含むＴＣＵ、複数の車両計算機１２０およびソフトウェア管理装置１３０と通信するための通信インターフェース、プログラムが格納された不揮発性メモリ、プログラムを実行するための一時的な記憶領域である揮発性メモリ、信号の送受信をするための入出力ポート、ならびに、プログラムを実行するプロセッサなどで実現される。具体的には、セキュリティ装置１１０としては、ＥＣＵが例示される。
　なお、セキュリティ装置１１０が備える通信インターフェースは、有線ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）インターフェースであってもよいし、無線ＬＡＮインターフェースであってもよい。また、セキュリティ装置１１０が備える通信インターフェースは、ＬＡＮインターフェースに限らずに、通信ネットワークとの通信接続を確立できる通信インターフェースであれば、どのような通信インターフェースであってもよい。
　また、セキュリティ装置１１０は、車両１００が備えるＴＣＵおよびＥＣＵなどがＴＣＵおよびＥＣＵなどの本来機能に加えてセキュリティ装置１１０の機能を兼ねることによって実現されてもよい。
　セキュリティ装置１１０は、監視部１１１と、特定部１１２と、報知部１１３と、受信部１１４と、を備える。
　監視部１１１は、車両計算機１２０に異常があるか否かを監視する処理部である。監視部１１１は、例えば、車両計算機１２０が接続されるバスに流れるコマンドを取得（受信）し、当該コマンドにおける異常の有無を判定する。
　特定部１１２は、異常が発生した車両計算機１２０を特定する処理部である。特定部１１２は、例えば、監視部１１１が、異常が発生したと判定した場合、発生した異常の要因が複数の車両計算機１２０のうちのどの車両計算機１２０によるものかを特定する。
　例えば、特定部１１２は、監視部１１１から、車載通信ネットワークにおいてバスに異常なコマンド（以下、不正ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）制御コマンドともいう）が流れていることを示す情報（以下、異常検知ログともいう）を取得する。異常検知ログには、例えば、不正ＣＡＮ制御コマンドの内容、および、車載通信ネットワークを構成する複数のバスのうちのどのバスに不正ＣＡＮ制御コマンドが流れていたかを示す情報などが含まれる。監視部１１１が不正ＣＡＮ制御コマンドの送信元の車両計算機１２０が特定可能である場合には、異常検知ログに当該送信元の車両計算機１２０を示す情報が含まれていてもよい。例えば、特定部１１２は、監視部１１１が車載通信ネットワークにおいて不正ＣＡＮ制御コマンドを検知した場合、その不正ＣＡＮ制御コマンドを送信可能な車両計算機１２０を特定する。例えば、特定部１１２は、監視部１１１が受信した異常検知ログに基づいて、その不正ＣＡＮ制御コマンドを送信可能な車両計算機１２０を特定する。
　不正ＣＡＮ制御コマンドを送信可能な車両計算機１２０とは、例えば、不正ＣＡＮ制御コマンドが流れるバスと接続された車両計算機１２０である。例えば、特定部１１２は、第１バスおよび第２バスのうちの第１バスに不正ＣＡＮ制御コマンドが流れていることをセキュリティ装置１１０が検知した場合、第１バスおよび第２バスの少なくとも一方に接続された車両計算機１２０のうち、第１バスと接続されている車両計算機１２０を、不正ＣＡＮ制御コマンドを送信可能な車両計算機１２０として特定してもよい。
　また、コマンドの内容によっては、ハードウェアレベルで車両計算機１２０ごとに特定のコマンドしか送信されないような仕組み（例えばＴｘフィルタリングなど）がある場合がある。このような場合には、例えば、特定部１１２は、不正ＣＡＮ制御コマンドの内容に基づいて、当該不正ＣＡＮ制御コマンドを送信可能な車両計算機１２０を特定する。車両計算機１２０ごとの送信可能なコマンドに関する情報は、例えば、セキュリティ装置１１０が備えるメモリに予め記憶されていてもよい。
　なお、特定部１１２が特定する車両計算機１２０の数は、特に限定されない。
　報知部１１３は、発生した異常を監視サーバ２００に報知する処理部である。例えば、報知部１１３は、監視部１１１が、異常が発生したと判定した場合、異常の内容を示す情報、および、特定部１１２によって特定された車両計算機１２０を示す情報を監視サーバ２００に出力する。
　受信部１１４は、管理サーバ３００から異常に対する対象指示を示す情報を取得する処理部である。受信部１１４は、例えば、取得した情報に基づいて、ソフトウェア管理装置１３０に、車両計算機１２０が用いるソフトウェア（プログラム）を更新させる指示を出力する。また、例えば、受信部１１４は、例えば、取得した情報に基づいて、車両計算機１２０に特定の機能を制限する（例えば、当該機能を一時停止させる）処理などを実行させる。
　複数の車両計算機１２０は、それぞれ、車両１００における車載通信ネットワークと接続され、車両１００の制御を行う装置である。具体的には、複数の車両計算機１２０は、それぞれ、それぞれの車両計算機１２０が備える記憶部１２６に記憶されたデータ（プリインストールアプリおよび追加データ）を用いて車両１００の制御を行う。複数の車両計算機１２０は、それぞれ、例えば、プログラムなどのデータを記憶するメモリ、ＴＣＵおよび他のＥＣＵなどとＣＡＮ制御コマンド信号の送受信をするための入出力ポート、および、プログラムを実行するプロセッサなどで実現される。複数の車両計算機１２０は、それぞれ、上記の入出力ポートによってＣＡＮなどの車載通信ネットワークに接続され、車載通信ネットワークを介して通信可能となっている。具体的には、複数の車両計算機１２０としては、それぞれ、ＩＶＩ（Ｉｎ－Ｖｅｈｉｃｌｅ　Ｉｎｆｏｔａｉｎｍｅｎｔ）、ＥＣＵ、または、ＲＳＥ（Ｒｅａｒ　Ｓｅａｔ　Ｅｎｔｅｒｔａｉｎｍｅｎｔ）などが例示される。
　複数の車両計算機１２０は、例えば、車両１００が備える機器の制御を実行する。当該機器は、例えば、エンジン、モータ、メータ、トランスミッション、ブレーキ、ステアリング、パワーウィンドウ、エアコン、および、カーナビゲーションなどを含む。また、複数の車両計算機１２０の少なくとも１つは、例えば、車両１００の自律運転に係る車両動作を制御する制御回路である。例えば、複数の車両計算機１２０は、これらの各種機器のそれぞれに対応して設けられている。
　複数の車両計算機１２０は、それぞれ、当該機器を制御するためのコマンドを出力する。当該コマンドは、例えば、ＣＡＮなどの通信プロトコルに準拠したコマンド（上記のＣＡＮ制御コマンド）である。
　図２は、実施の形態に係る車両計算機１２０の構成を示すブロック図である。
　車両計算機１２０は、実行部１２１と、初期化部１２２と、復元部１２３と、機能制限部１２４と、追加データ取得部１２５と、記憶部１２６と、を備える。
　実行部１２１は、初期化部１２２と、復元部１２３と、機能制限部１２４と、追加データ取得部１２５とに各種処理を実行させる処理部である。実行部１２１は、例えば、セキュリティ装置１１０および／またはソフトウェア管理装置１３０から特定の機能を制限する処理またはプログラムの更新などの所定の処理を実行させる指示を取得した場合に、当該指示に基づく処理を各処理部に実行させる。
　初期化部１２２は、記憶部１２６に記憶されたデータを初期化する処理部である。記憶部１２６には、例えば車両１００がユーザに販売される前に予め記憶されているプリインストールプログラムと、後からユーザがインストールする追加データとが、それぞれ異なるデータ領域に記憶されている。例えば、記憶部１２６は、プリインストールプログラム領域と、追加データ領域と、を有する。プリインストールプログラム領域には、プリインストールプログラムが記憶（格納）されており、追加データ領域には、追加データが記憶（格納）される。初期化部１２２は、例えば、追加データ領域に記憶されている追加データを削除することで、記憶部１２６を初期化（言い換えると、記憶部１２６に記憶されているデータを初期化）する。
　プリインストールプログラムは、例えば、運転機能などの基本的な動作を車両１００が実行するためのプログラムである。プリインストールプログラムは、例えば、車両１００の販売時などに予め記憶部１２６に記憶されている。
　追加データは、例えば、ユーザによって車両１００の利用が開始されてから記憶部１２６に記憶されるデータである。追加データは、例えば、ユーザが設定するタイムゾーンのような設定情報、または、ユーザが車両１００の利用を開始してから追加されたポストインストールアプリなどのデータである。
　復元部１２３は、初期化部１２２が初期化を実行した後に、削除された追加データを復元、つまり、記憶部１２６に再度記憶させる処理部である。追加データは、例えば、データサーバ４００にバックアップ情報として記憶される。復元部１２３は、例えば、初期化部１２２が初期化を実行した後に、削除された追加データであるバックアップ情報を取得した場合、取得した追加データを記憶部１２６に記憶させる。
　機能制限部１２４は、車両１００の機能を制限する処理部である。機能制限部１２４は、例えば、セキュリティ装置１１０から特定の機能を制限する指示を取得した場合に、当該指示に基づいて、車両１００の機能の一部を一時停止させる。また、機能制限部１２４は、例えば、セキュリティ装置１１０から特定の機能の制限を解除する指示を取得した場合に、当該指示に基づいて、一時停止させていた車両１００の機能の一部を再度動作させる。
　追加データ取得部１２５は、記憶部１２６に記憶されている追加データを取得し、ソフトウェア管理装置１３０に出力する処理部である。
　なお、追加データ取得部１２５が、記憶部１２６に記憶されている追加データを取得し、ソフトウェア管理装置１３０に出力するタイミング、および、ソフトウェア管理装置１３０が追加データをデータサーバ４００に転送し、データサーバ４００に記憶させるタイミングは、任意に定められてよく、特に限定されない。当該タイミングは、例えば、ユーザによる初期セットアップ時であってもよいし、ユーザが車両１００を利用中の任意にタイミングであってもよい。
　実行部１２１、初期化部１２２、復元部１２３、機能制限部１２４、および、追加データ取得部１２５などの各処理部は、例えば、１以上のプロセッサにより実現される。
　記憶部１２６は、各処理部が車両１００の制御を行う際に用いるプログラムなどのデータを記憶するメモリである。上記の通り、例えば、記憶部１２６は、プリインストールプログラムが記憶されたプリインストールプログラム領域と、追加データが記憶された追加データ領域と、を有する。
　なお、記憶部１２６は、１つのメモリにより実現されてもよいし、複数のメモリにより実現されてもよい。例えば、記憶部１２６が、複数のメモリにより実現される場合には、プリインストールプログラム領域と追加データ領域とが別のメモリに設けられてもよいし、各メモリにプリインストールプログラム領域と追加データ領域とが設けられてもよい。
　記憶部１２６は、例えば、ＨＤＤ（Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅ）またはＳＳＤ（Ｓｏｌｉｄ　Ｓｔａｔｅ　Ｄｒｉｖｅ）などにより実現される。
　ソフトウェア管理装置１３０は、複数の車両計算機１２０のそれぞれが用いるソフトウェア（例えば、プリインストールプログラム）の更新を実行する装置である。具体的に例えば、ソフトウェア管理装置１３０は、データサーバ４００と通信可能に接続されており、データサーバ４００から最新のソフトウェアを取得し、取得したソフトウェアに複数の車両計算機１２０が用いるソフトウェアの更新を実行させる。
　ソフトウェア管理装置１３０は、ＯＴＡ指示部１３１と、情報送信部１３２とを備える。
　ＯＴＡ指示部１３１は、複数の車両計算機１２０にプリインストールプログラムを更新させる指示を出力する処理部である。例えば、セキュリティ装置１１０は、異常に対する対処の指示としてプリインストールプログラムの更新指示を取得した場合、ソフトウェア管理装置１３０にプリインストールプログラムの更新指示を出力する。ＯＴＡ指示部１３１は、プリインストールプログラムの更新指示を取得した場合、データサーバ４００から取得したＯＴＡデータである更新プログラムを用いて、複数の車両計算機１２０にプリインストールプログラムを更新させる。
　情報送信部１３２は、複数の車両計算機１２０が備える記憶部１２６に記憶された追加データをデータサーバ４００に出力することで、追加データをデータサーバにバックアップさせる処理部である。
　ソフトウェア管理装置１３０（具体的には、ＯＴＡ指示部１３１および情報送信部１３２）は、例えば、ＴＣＵ、ＥＣＵ、および、これらの機器が実行するプログラムが記憶されたメモリにより実現される。
　監視サーバ２００は、車両１００（具体的には、セキュリティ装置１１０）と通信し、車両１００の状態を監視するためのコンピュータである。セキュリティ装置１１０は、例えば、ＳＯＣなどの監視センターで用いられ、ＳＩＥＭ（Ｓｅｃｕｒｉｔｙ　Ｉｎｆｏｒｍａｔｉｏｎ　ａｎｄ　Ｅｖｅｎｔ　Ｍａｎａｇｅｍｅｎｔ）を実現するサーバである。監視サーバ２００は、セキュリティ装置１１０および管理サーバ３００と通信可能に接続されている。
　例えば、監視サーバ２００は、セキュリティ装置１１０から異常を示す情報を取得した場合に、異常を発生された攻撃（セキュリティ攻撃ともいう）の内容を特定する。監視サーバ２００は、異常を発生した車両計算機１２０を示す情報、異常の内容、および、異常を発生された攻撃の内容を示す情報を攻撃情報として管理サーバ３００に出力する。
　なお、攻撃の内容の特定は、マウスおよびキーボードなどのユーザインターフェースを介して攻撃の内容を示す情報をユーザから取得することで行われてもよいし、異常と攻撃の内容との関係を示すデータベースなどを用いて監視サーバ２００が行ってもよい。
　監視サーバ２００は、例えば、セキュリティ装置１１０および管理サーバ３００と通信するための通信インターフェース、プログラムが格納された不揮発性メモリ、プログラムを実行するための一時的な記憶領域である揮発性メモリ、信号の送受信をするための入出力ポート、および、プログラムを実行するプロセッサなどで実現される。
　管理サーバ３００は、異常が発生した車両１００に当該異常（具体的には、当該異常を発生させる要因となる攻撃）に対する対処を行わせるためのコンピュータである。管理サーバ３００は、車両１００（具体的には、セキュリティ装置１１０）、監視サーバ２００、および、データサーバ４００と通信可能に接続されている。
　なお、管理サーバ３００は、セキュリティ装置の一例である。
　管理サーバ３００は、例えば、セキュリティ装置１１０、監視サーバ２００、および、データサーバ４００と通信するための通信インターフェース、プログラムが格納された不揮発性メモリ、プログラムを実行するための一時的な記憶領域である揮発性メモリ、信号の送受信をするための入出力ポート、ならびに、プログラムを実行するプロセッサなどで実現される。
　図３は、実施の形態に係る管理サーバ３００の構成を示すブロック図である。
　管理サーバ３００は、取得部３１０と、制御部３２０と、出力部３３０と、記憶部３４０と、を備える。
　取得部３１０は、異常情報を取得する処理部である。
　異常情報は、車両計算機１２０が攻撃されることで発生した異常に関する情報である。異常情報は、例えば、監視サーバ２００から管理サーバ３００に出力される攻撃情報を含む。例えば、取得部３１０は、管理サーバ３００から攻撃情報を異常情報として取得する。
　なお、異常情報には、攻撃情報以外に車両１００または監視サーバ２００などから出力される、異常に関する関連情報が含まれてもよい。関連情報は、例えば、異常が未だ発生し続けているか否かを示す情報、車両１００のユーザから取得された追加データに関する情報、もしくは、車両１００のユーザまたは管理サーバ３００を操作する分析官などから取得された異常に関する情報などである。
　制御部３２０は、車両１００に各種処理を行わせる処理部である。例えば、制御部３２０は、異常に対する所定の対処を実行する指示を示す情報を車両１００へ出力部３３０に出力（送信）させることで、車両１００に異常に対する対処を実行させる。
　例えば、制御部３２０は、異常情報に基づいて、車両計算機１２０が有する記憶部１２６に記憶されたデータのうち、所定のタイミングより後に記憶部１２６に追加された追加データを削除させる。
　所定のタイミングは、例えば、車両１００のユーザが車両１００の利用を開始するタイミングである。制御部３２０は、例えば、異常情報に基づいて、車両計算機１２０が有する記憶部１２６に記憶されたデータのうち、記憶部１２６に予め記憶されたプリインストールプログラム以外の、車両１００が利用され始めてから記憶部１２６に追加された追加データを削除させる。
　なお、所定のタイミングは、例えば、異常が発生してから１年以内に記憶部１２６に追加された追加データなどのように任意に定められてよい。
　例えば、制御部３２０は、取得部３１０が異常情報を取得した場合、発生した異常が追加データによるものであるか否かを判定し、異常が追加データによるものであると判定した場合、記憶部１２６に追加された追加データを削除させる。例えば、制御部３２０は、記憶部３４０に記憶された脆弱性データベースに基づいて、発生した異常が追加データによるものであるか否かを判定する。
　脆弱性データベースは、データの種類とデータのセキュリティの脆弱性との関係を示す情報である。例えば、制御部３２０は、脆弱性データベースに基づいて、追加データの脆弱性を判定し、追加データに脆弱性があると判定した場合、追加データを削除させる。
　なお、制御部３２０は、取得部３１０が異常情報を取得した場合、ただちに記憶部１２６に追加された追加データを削除させてもよい。
　また、例えば、制御部３２０は、記憶部１２６に追加された追加データを削除させた後に、追加データを記憶部１２６に再度記憶させてもよい。例えば、取得部３１０は、データサーバ４００からバックアップされている追加データを取得する。制御部３２０は、追加データを記憶部１２６に再度記憶させる。
　なお、例えば、制御部３２０は、記憶部１２６に追加された追加データを削除させた後に、異常が追加データによるものであるか否かを判定し、異常が追加データによるものでないと判定した場合、追加データを記憶部１２６に再度記憶させてもよい。例えば、制御部３２０は、脆弱性データベースに基づいて、追加データの脆弱性を判定する。追加データが複数の場合、例えば、制御部３２０は、異常を発生させていない追加データ、例えば、脆弱性のない追加データを記憶部１２６に再度記憶させる。
　また、例えば、制御部３２０は、異常情報に基づいて、異常を発生させた攻撃を受ける要因となった機能を特定する。次に、制御部３２０は、例えば、特定された機能を無効化させる。具体的には、制御部３２０は、特定された機能を一時的に無効化させる。
　機能制限としては、インストール禁止アプリの指定を追加（例えば、アプリ名をｄｅｎｙｌｉｓｔおよび／もしくは脆弱性データベースに登録）すること、特定の通信ポートを無効化すること、または、特定の通信機能（例えば、Ｗｉ－Ｆｉ（登録商標）および／もしくはＢｌｕｅｔｏｏｔｈ（登録商標）など）を無効化することなどが例示される。
　例えば、制御部３２０は、脆弱性があると判定した追加データが、外部の通信機器から自動的に送信されてきて記憶部１２６に記憶されたものであるのか、ユーザが操作して記憶部１２６に記憶されたものであるのかを異常情報に基づいて判定する。例えば、制御部３２０は、脆弱性があると判定した追加データが、外部の通信機器から自動的に送信されてきて記憶部１２６に記憶されたものであると判定した場合、異常を発生させた攻撃を受ける要因となった機能が車両１００の通信機能であると特定し、車両１００が備える通信ポートの動作を一時的に無効化させる。また、例えば、制御部３２０は、脆弱性があると判定した追加データが、ユーザが操作して記憶部１２６に記憶されたものであると判定した場合、異常を発生させた攻撃を受ける要因となった機能がアプリのインストール機能であると特定し、アプリのインストール機能を一時的に無効化させる。
　これらのように、攻撃の対象となっている可能性が高い追加データを削除することで異常の発生を止める可能性を向上させ、さらに、攻撃を受ける要因となった機能を停止させることで、さらなる異常が発生させる可能性を低減できる。
　また、異常の発生は、プリインストールアプリによるものであったり、プリインストールアプリの改善によって抑制されることもある。そのため、制御部３２０は、例えば、更新されたプリインストールアプリが作成された旨を示す情報などの、攻撃に対する対策が施された旨を示す情報が取得された場合、当該機能を有効化させる。
　なお、攻撃に対する対策が施された旨を示す情報は、マウスおよびキーボードなどのユーザインターフェースを介してユーザから取得されてもよいし、データサーバ４００から取得（受信）されてもよい。例えば、制御部３２０は、攻撃に対する対策が施された旨を示す情報が取得された場合、攻撃に対する対策が施されたプログラムに、所定のタイミングより前に記憶部１２６に記憶されたプリインストールプログラムを更新させ、プリインストールプログラムを更新させた後に、当該機能を有効化させる。
　出力部３３０は、制御部３２０が車両１００に実行させる処理を示す情報などを車両１００に出力する処理部である。
　取得部３１０、制御部３２０、および、出力部３３０などの各処理部は、例えば、１以上のプロセッサにより実現される。
　記憶部３４０は、管理サーバ３００が備える各処理部が実行するプログラム、および、脆弱性データベースなどの情報を記憶する記憶装置である。
　記憶部３４０は、例えば、ＨＤＤまたはＳＳＤなどにより実現される。
　再び図１を参照し、データサーバ４００は、車両１００が備える複数の車両計算機１２０のそれぞれが用いるプログラム（例えば、プリインストールプログラム）を記憶するＯＴＡ（Ｏｖｅｒ－Ｔｈｅ－Ａｉｒ）サーバである。また、データサーバ４００は、複数の車両計算機１２０のそれぞれが用いる追加データをバックアップ情報として記憶する。データサーバ４００は、管理サーバ３００および車両１００（具体的には、ソフトウェア管理装置１３０）と通信可能に接続されている。
　データサーバ４００は、例えば、車両１００および管理サーバ３００と通信するための通信インターフェース、プログラムが格納された不揮発性メモリ、プログラムを実行するための一時的な記憶領域である揮発性メモリ、信号の送受信をするための入出力ポート、ならびに、プログラムを実行するプロセッサなどによって実現される。
　［処理手順］
　続いて、セキュリティシステム１０および管理サーバ３００の処理手順について説明する。
　＜セキュリティシステム＞
　図４は、実施の形態に係るセキュリティシステム１０における追加データの削除の処理手順を示すシーケンス図である。なお、図４に示す車両計算機１２０は、車両１００が備える複数の車両計算機１２０のうち、セキュリティ装置１１０によって異常が発生されていると特定された車両計算機１２０である。図４には、１台の車両計算機１２０を示しているが、複数であってもよい。また、本実施の形態では、車両計算機１２０が備える記憶部１２６に記憶されている追加データが、データサーバ４００に既に記憶されているとして説明する。
　まず、セキュリティ装置１１０は、車両１００の車載通信ネットワークにおける異常を監視する。セキュリティ装置１１０は、異常を検知した場合（Ｓ１１０）、例えば、車載通信ネットワークに不正ＣＡＮ制御コマンドが流れていることを検知した場合、異常検知ログに基づいて、車両１００が備える複数の車両計算機１２０のうちの、異常が発生した車両計算機１２０を特定する（Ｓ１２０）。
　次に、セキュリティ装置１１０は、異常が発生している旨を示す情報（例えば、異常検知ログ）を監視サーバ２００に出力する（Ｓ１３０）。
　監視サーバ２００は、異常が発生している旨を示す情報を取得した場合、当該異常を発生させた攻撃を検出（具体的には、攻撃の内容を特定）する（Ｓ１４０）。
　次に、監視サーバ２００は、検出した攻撃を示す情報である攻撃情報を管理サーバ３００に出力する（Ｓ１５０）。
　なお、例えば、セキュリティ装置１１０は、異常に関する関連情報を管理サーバ３００に出力してもよい（Ｓ１６０）。管理サーバ３００は、例えば、攻撃情報および関連情報を異常情報として取得する。
　次に、管理サーバ３００は、異常情報に基づいて、セキュリティ装置１１０に実行させる指示およびデータサーバ４００から追加データを要求するか否かなどを示す報知内容を決定する（Ｓ１７０）。
　次に、管理サーバ３００は、決定した報知内容に基づいて、処理を行う。本実施の形態では、管理サーバ３００は、ステップＳ１８０、Ｓ２１０、Ｓ２４０、および、Ｓ２７０を行う。管理サーバ３００は、例えば、車両計算機１２０に追加データを削除させる指示を示す初期化指示をセキュリティ装置１１０に出力する（Ｓ１８０）。
　セキュリティ装置１１０は、初期化指示を管理サーバ３００から取得した場合、初期化指示を車両計算機１２０に出力する（Ｓ１９０）。セキュリティ装置１１０は、管理サーバ３００から取得した初期化指示を車両計算機１２０にそのまま転送してもよいし、フォーマットの変更などの処理を行って転送してもよい。
　車両計算機１２０は、初期化指示をセキュリティ装置１１０から取得した場合、追加データ領域を初期化する、つまり、記憶部１２６に記憶された追加データを削除する（Ｓ２００）。
　また、管理サーバ３００は、車両計算機１２０に削除させた追加データを送信させる指示を示す追加データ送信指示をデータサーバ４００に出力する（Ｓ２１０）。
　データサーバ４００は、追加データ送信指示を取得した場合、追加データを管理サーバ３００に出力する（Ｓ２２０）。
　管理サーバ３００は、例えば脆弱性データベースに基づいて、追加データを車両計算機１２０に復元、つまり、追加データを記憶部１２６に再度記憶させるか否かを判定する（Ｓ２３０）。
　管理サーバ３００は、例えば、追加データを車両計算機１２０に復元させると判定した場合、追加データをセキュリティ装置１１０に出力する（Ｓ２４０）。
　なお、管理サーバ３００は、例えば、追加データを車両計算機１２０に復元させないと判定した場合、追加データをセキュリティ装置１１０に出力せずに削除してもよい。これにより、管理サーバ３００によって復元させると判定した追加データのみが車両計算機１２０に転送されて復元される。
　ステップＳ２４０の次に、セキュリティ装置１１０は、追加データを管理サーバ３００から取得した場合、追加データを車両計算機１２０に出力する（Ｓ２５０）。
　車両計算機１２０は、追加データをセキュリティ装置１１０から取得した場合、追加データを復元、つまり、追加データを記憶部１２６に記憶させる（Ｓ２６０）。
　また、例えば、管理サーバ３００は、車両計算機１２０に所定の機能を制限する指示を示す機能制限指示をセキュリティ装置１１０に出力する（Ｓ２７０）。
　セキュリティ装置１１０は、機能制限指示を管理サーバ３００から取得した場合、機能制限指示を車両計算機１２０に出力する（Ｓ２８０）。
　車両計算機１２０は、機能制限指示をセキュリティ装置１１０から取得した場合、所定の機能を制限（無効化）させる（Ｓ２９０）。
　なお、ステップＳ２００、Ｓ２６０、および、Ｓ２９０などの処理は、異常が発生されたと特定された（異常が発生された可能性があると特定された）車両計算機１２０のみが実行してもよいし、全ての車両計算機１２０が実行してもよい。
　図５は、実施の形態に係るセキュリティシステム１０における根本対策の処理手順を示すシーケンス図である。図５は、例えば、図４の処理が行われた後に実行される処理である。
　例えば、図４に示すステップＳ１１０で検知された異常に対する対策（つまり、異常を発生させた攻撃に対する対策）が施された対策済み更新ソフトウェアが作成されるなどのように、当該異常を発生させた攻撃に対する対応の準備が開始されたとする（Ｓ３１０）。ここでは、例えば、異常を発生させた攻撃に対する対策が施された対策済み更新ソフトウェアが作成されたとする。管理サーバ３００は、攻撃に対する対策が施された旨を示す情報、言い換えると、当該異常に対する対応の準備が完了した旨を示す情報（恒久対応準備完了通知）をセキュリティ装置１１０に送信する。本実施の形態では、管理サーバ３００は、当該異常に対する対応のためにプログラム（例えば、プリインストールプログラム）を更新させる指示を示すＯＴＡ指示をセキュリティ装置１１０に出力する（Ｓ３２０）。
　次に、セキュリティ装置１１０は、ＯＴＡ指示を管理サーバ３００から取得した場合、ＯＴＡ指示をソフトウェア管理装置１３０に出力する（Ｓ３３０）。
　次に、ソフトウェア管理装置１３０は、ＯＴＡ指示をセキュリティ装置１１０から取得した場合、プログラムを更新させるための情報であるＯＴＡイメージを要求する指示をデータサーバ４００に出力する（Ｓ３４０）。
　次に、データサーバ４００は、ＯＴＡイメージを要求する指示をソフトウェア管理装置１３０から取得した場合、ＯＴＡイメージをソフトウェア管理装置１３０に出力する（Ｓ３５０）。
　次に、ソフトウェア管理装置１３０は、ＯＴＡイメージをデータサーバ４００から取得した場合、ＯＴＡイメージを車両計算機１２０に出力する（Ｓ３６０）。
　次に、車両計算機１２０は、ＯＴＡイメージをソフトウェア管理装置１３０から取得した場合、ＯＴＡイメージを用いてプログラムの更新を実行する（Ｓ３７０）。
　次に、車両計算機１２０は、プログラムの更新が完了した場合、完了した旨を示す完了通知をソフトウェア管理装置１３０に出力する（Ｓ３８０）。
　次に、ソフトウェア管理装置１３０は、完了通知を車両計算機１２０から取得した場合、完了通知をセキュリティ装置１１０に出力する（Ｓ３９０）。
　次に、セキュリティ装置１１０は、完了通知をソフトウェア管理装置１３０から取得した場合、完了通知を管理サーバ３００に出力する（Ｓ４００）。
　次に、管理サーバ３００は、完了通知をセキュリティ装置１１０から取得した場合、車両１００の機能の制限を解除させる、つまり、無効化させた車両１００の機能を有効化させる指示を示す機能制限解除指示をセキュリティ装置１１０に出力する（Ｓ４１０）。
　次に、セキュリティ装置１１０は、機能制限解除指示を管理サーバ３００から取得した場合、機能制限解除指示をソフトウェア管理装置１３０に出力する（Ｓ４２０）。
　次に、ソフトウェア管理装置１３０は、機能制限解除指示をセキュリティ装置１１０から取得した場合、機能制限解除指示を車両計算機１２０に出力する（Ｓ４３０）。
　次に、車両計算機１２０は、機能制限解除指示をソフトウェア管理装置１３０から取得した場合、車両１００の機能の制限を解除させる、つまり、無効化させた車両１００の機能を有効化させる（Ｓ４４０）。
　＜管理サーバ＞
　図６は、実施の形態に係る管理サーバ３００の追加データの削除の処理手順を示すフローチャートである。
　まず、取得部３１０は、監視サーバ２００などから異常情報を取得する（Ｓ５１０）。
　次に、制御部３２０は、取得部３１０が取得した異常情報に基づいて、車両１００で発生した異常を判定する（Ｓ５２０）。例えば、制御部３２０は、異常情報に基づいて異常の内容および攻撃の内容を特定する。
　次に、制御部３２０は、車両計算機１２０が備える記憶部１２６を初期化させる必要があるか否かを判定する（Ｓ５３０）。例えば、制御部３２０は、車両１００が誤動作するような重大な異常であるような場合には、初期化させる必要があると判定する。
　次に、制御部３２０は、初期化させる必要があると判定した場合（Ｓ５３０でＹｅｓ、）セキュリティ装置１１０を介して車両計算機１２０に初期化させる指示を示す情報を出力部３３０に出力させることで、車両計算機１２０に記憶部１２６を初期化させる（Ｓ５４０）。
　次に、制御部３２０は、追加データの検査を行う（Ｓ５５０）。例えば、取得部３１０は、データサーバ４００からバックアップ情報として記憶されている複数の追加データを取得し、制御部３２０は、例えば、脆弱性データベースと複数の追加データとの照合を行う。これにより、例えば、制御部３２０は、複数の追加データに、脆弱性に関わる、つまり、脆弱性がある追加データがあるか否かを判定する（Ｓ５６０）。
　制御部３２０は、脆弱性に関わる追加データがあると判定した場合（Ｓ５６０でＹｅｓ）、脆弱性に関わる追加データを削除する（Ｓ５７０）。
　一方、制御部３２０は、脆弱性に関わる追加データがないと判定した（Ｓ５６０でＮｏ）、または、ステップＳ５７０で脆弱性に関わる追加データを削除した後で、セキュリティ装置１１０を介して車両計算機１２０に脆弱性に関わらないデータを出力部３３０に出力させることで、記憶部１２６に当該脆弱性に関わらない追加データを記憶させる。
　なお、複数の追加データが全て脆弱性に関わる場合、複数の追加データを全て削除してステップＳ５８０が実行されなくてもよい。
　次に、制御部３２０は、車両１００の機能制限が必要であるか否かを判定する（Ｓ５９０）。例えば、制御部３２０は、脆弱性に関わると判定した追加データが、どのような経路を経て記憶部１２６に記憶されたかを判定する。
　次に、制御部３２０は、車両１００の機能制限が必要であると判定した場合（Ｓ５９０でＹｅｓ）、セキュリティ装置１１０を介して車両計算機１２０に、機能制限を指示する情報を出力部３３０に出力させることで、車両計算機１２０に所定の機能を無効化させる（Ｓ６００）。例えば、制御部３２０は、脆弱性があると判定した追加データが、外部の通信機器から自動的に送信されてきて記憶部１２６に記憶されたものであると判定した場合、異常を発生させた攻撃を受ける要因となった機能が車両１００の通信機能であると特定し、車両１００が備える通信ポートの動作を一時的に無効化させる。
　一方、制御部３２０は、例えば、異常の車両１００の動作への影響が小さい場合、または、脆弱性に関わると判定した追加データが、どのような経路を経て記憶部１２６に記憶されたか分からないような場合には、車両１００の機能制限が必要でないと判定し（Ｓ５９０でＹｅｓ）、車両計算機１２０に機能制限を指示せずに処理を終了する。
　なお、制御部３２０は、例えば、ステップＳ５２０で特定した攻撃が一過性のものであり直ぐに止んで車両１００の動作にほとんど影響がないようであれば、初期化させる必要がないと判定し（Ｓ５３０でＮｏ）、初期化以外の他の処理を実行する（Ｓ６１０）。例えば、制御部３２０は、車両１００が備える図示しないディスプレイなどに、攻撃があった旨を示す情報を表示させてユーザに通知してもよい。また、ステップＳ６１０は実行されずに処理が終了されてもよい。
　図７は、実施の形態に係る管理サーバ３００の根本対策の処理手順を示すフローチャートである。図７は、例えば、図６に示すフローチャートが実行された後に実行される処理である。
　まず、取得部３１０は、例えば、図４に示すステップＳ１１０で検知された異常に対する対策が施された対策済み更新ソフトウェアが作成されるなどのように、当該異常を発生させた攻撃に対する対策が施された旨を示す情報をデータサーバ４００から取得したとする。制御部３２０は、取得部３１０が取得した当該情報に基づいてＯＴＡが必要、つまり、車両計算機１２０が用いるプログラム（具体的には、プリインストールプログラム）を更新させる必要があるか否かを判定する（Ｓ７１０）。当該情報には、例えば、プログラムの更新の必要可否を示す情報が含まれる。
　制御部３２０は、ＯＴＡが必要であると判定した場合（Ｓ７１０でＹｅｓ）、セキュリティ装置１１０を介して車両計算機１２０にＯＴＡ指示を出力部３３０に出力させることで、車両計算機１２０にプログラムを更新させる（Ｓ７２０）。
　制御部３２０は、ＯＴＡが必要ではないと判定した場合（Ｓ７１０でＮｏ）、または、ステップＳ７２０の次に、車両１００に機能制限を解除させる必要があるか否か、つまり、無効化させた車両１００の機能を有効化させる必要があるか否かを判定する（Ｓ７３０）。
　制御部３２０は、例えば車両１００に機能制限をさせており、車両１００に機能制限を解除させる必要があると判定した場合（Ｓ７３０でＹｅｓ）、セキュリティ装置１１０を介して車両計算機１２０に機能制限を解除させる指示を出力部３３０に出力させる（Ｓ７４０）。
　一方、制御部３２０は、例えば車両１００に機能制限をさせておらず、車両１００に機能制限を解除させる必要がないと判定した場合（Ｓ７３０でＮｏ）、ステップＳ７４０を実行せず処理を終了する。
　図８は、実施の形態に係るセキュリティ装置の処理手順を示すフローチャートである。本実施の形態では、図８は、管理サーバ３００の処理手順を示すフローチャートである。
　まず、取得部３１０は、車両１００における車載通信ネットワークと接続され、車両１００の制御を行う車両計算機１２０が攻撃されることで発生した異常に関する異常情報を取得する。
　次に、制御部３２０は、異常情報に基づいて、車両計算機１２０が有する記憶部１２６に記憶されたデータのうち、所定のタイミングより後に記憶部１２６に追加された追加データを削除させる（Ｓ２０）。例えば、制御部３２０は、異常情報が取得部３１０に取得された場合に、車両計算機１２０が有する記憶部１２６に記憶されたデータのうち、記憶部１２６に予め記憶されたプリインストールプログラム以外の、車両１００が利用され始めてから記憶部１２６に追加された追加データを削除させる。
　［効果など］
　以下、本明細書の開示内容から得られる発明を例示し、例示される発明から得られる効果などについて説明する。
　技術１は、車両１００における車載通信ネットワークと接続され、車両１００の制御を行う車両計算機１２０が攻撃されることで発生した異常に関する異常情報を取得し（Ｓ１０）、異常情報に基づいて、車両計算機１２０が有する記憶部１２６に記憶されたデータのうち、所定のタイミングより後に記憶部１２６に追加された追加データを削除させる（Ｓ２０）、セキュリティ方法である。
　所定のタイミングは例えば、車両１００のユーザが車両１００の利用を開始するタイミングである。ステップＳ２０では、例えば、異常情報に基づいて、車両計算機１２０が有する記憶部１２６に記憶されたデータのうち、記憶部１２６に予め記憶されたプリインストールプログラム以外の、車両１００が利用され始めてから記憶部１２６に追加された追加データを削除させる。
　ＥＣＵなどの車両計算機１２０は、ＯＴＡではなく、動的に機能の追加が可能な、つまり、例えばユーザの所望のタイミングで追加データを利用可能なタイプ（例えば、パーソナルコンピュータのようなアプリインストール可能なタイプ）がある。このような車両計算機１２０が備える記憶部１２６は、例えば車両１００がユーザに販売される前に予め記憶されているプリインストールプログラムと、後からユーザがインストールする追加データとが、それぞれ異なるデータ領域に記憶されるように設計されている場合がある。また、例えば車両１００が自動運転車両である場合などにおいては、運転機能などの基本的な動作を車両１００が実行するためのプログラムは、プリインストールプログラムとして車両１００の販売時などに予め記憶部１２６に記憶されている。一方、ユーザが設定するタイムゾーンのような設定情報などの追加データは、ユーザによって利用が開始されてから記憶部１２６に記憶される。ここで、多くの場合、追加データに脆弱性が含まれているために攻撃の対象となったり、追加データに不正なコマンドが紛れ込んでいたりする。そこで、技術１に係るセキュリティ方法では、例えば車両１００に異常が発生した場合には、記憶部１２６における追加データを削除させる。これにより、運転機能などの基本的な動作を車両１００が実行するためのプリインストールプログラムを残しつつ、異常の原因となっている可能性が高い追加データが削除される。そのため、運転機能などの基本的な動作を車両１００に実行させ続けることができ、かつ、異常の発生を高い確率で止めることができる。したがって、実施の形態に係るセキュリティ方法によれば、攻撃に対して根本対策が施されたプログラムにプリインストールプログラムを更新しなくても、基本的な機能を停止させることなく車両１００が攻撃を受けた際に当該攻撃に素早く対処できる可能性を向上できる。言い換えると、ＳＯＣおよび／またはＳＩＥＭの暫定対処で、再攻撃および／または再侵入の危険性が低減され得る。
　また、これによれば、例えば記憶部１２６に記憶されたプリインストールプログラムの即時更新が不要であるため、プリインストールプログラムの更新用のプログラムを予め準備しておくことが不要になる。また、問題が発生してから車両１００を利用する際にプリインストールプログラムの更新のための時間も不要となる。このように、追加データの削除であれば、ユーザが車両１００を利用できない期間を短縮できる。
　技術２は、異常情報を取得した場合、異常が追加データによるものであるか否かを判定し、異常が追加データによるものであると判定した場合、記憶部１２６に追加された追加データを削除させる、技術１に記載のセキュリティ方法である。
　これによれば、追加データを不要に削除することを抑制できる。
　技術３は、記憶部１２６に追加された追加データを削除させた後に、異常が追加データによるものであるか否かを判定し、異常が追加データによるものでないと判定した場合、追加データを記憶部１２６に再度記憶させる、技術１または２に記載のセキュリティ方法である。
　これによれば、異常の発生の要因が仮に追加データによるものであった場合に、要因の判定に時間を要することなく素早く対処できる。
　技術４は、異常情報に基づいて、異常を発生させた攻撃を受ける要因となった機能を特定し、特定された機能を無効化させる、技術１～３のいずれかに記載のセキュリティ方法である。
　これによれば、例えば追加データにより車両１００の機能の一部が既に異常動作しているような場合に、当該機能を停止させることができるため、例えば車両１００の異常による危険性を低減できる。
　技術５は、攻撃に対する対策が施された旨を示す情報が取得された場合、当該機能を有効化させる、技術４に記載のセキュリティ方法である。
　これによれば、当該機能が不要に無効化され続けていることを抑制できる。
　技術６は、攻撃に対する対策が施された旨を示す情報が取得された場合、攻撃に対する対策が施されたプログラムに、所定のタイミングより前に記憶部１２６に記憶されたプリインストールプログラムを更新させ、プリインストールプログラムを更新させた後に、当該機能を有効化させる、技術５に記載のセキュリティ方法である。
　これによれば、車両１００を攻撃に対して確実に対処できるようにすることができる。
　技術７は、車両１００における車載通信ネットワークと接続され、車両１００の制御を行う車両計算機１２０が攻撃されることで発生した異常に関する異常情報を取得する取得部３１０と、異常情報に基づいて、車両計算機１２０が有する記憶部１２６に記憶されたデータのうち、所定のタイミングより後に記憶部１２６に追加された追加データを削除させる制御部３２０と、を備える、セキュリティ装置である。
　管理サーバ３００は、セキュリティ装置の一例である。
　これによれば、実施の形態に係るセキュリティ方法と同様の効果を奏する。
　なお、これらの全般的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの非一時的な記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび非一時的な記録媒体の任意な組み合わせで実現されてもよい。
　（その他の実施の形態）
　以上、一つまたは複数の態様に係るセキュリティ装置などについて、上記実施の形態に基づいて説明したが、本開示は、上記実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思いつく各種変形を上記実施の形態に施したものも、本開示の範囲内に含まれてもよい。
　例えば、監視サーバ２００、管理サーバ３００、および、データサーバ４００は、同じ建屋に配置されていてもよいし、異なる建屋に配置されていてもよい。監視サーバ２００、管理サーバ３００、および、データサーバ４００の機能は、例えば、１以上のコンピュータによって実現されればよく、これらの機能は１以上のコンピュータのうちの任意のコンピュータによって実行されてよい。
　また、例えば、監視サーバ２００および管理サーバ３００が実行する機能を、車両１００が有してもよい。例えば、車両１００が、異常情報を取得した場合に、つまり、異常が検知された場合に、記憶部１２６に記憶されたプリインストールプログラム以外の追加データを削除させてもよい。
　また、例えば、上記実施の形態において、特定の処理部が実行する処理を別の処理部が実行してもよい。また、複数の処理の順序が変更されてもよいし、複数の処理が並行して実行されてもよい。
　また、例えば、上記実施の形態において、処理部の各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵまたはプロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。
　なお、以下のような場合も本開示に含まれる。
　（１）上記の少なくとも１つの装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。そのＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記憶されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、上記の少なくとも１つの装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
　（２）上記の少なくとも１つの装置を構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ　Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。当該ＲＡＭには、コンピュータプログラムが記憶されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。
　（３）上記の少なくとも１つの装置を構成する構成要素の一部または全部は、その装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。ＩＣカードまたはモジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。ＩＣカードまたはモジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、ＩＣカードまたはモジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。
　（４）本開示は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、コンピュータプログラムからなるデジタル信号であるとしてもよい。
　また、本開示は、コンピュータプログラムまたはデジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ（Ｃｏｍｐａｃｔ　Ｄｉｓｃ）－ＲＯＭ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標）　Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されているデジタル信号であるとしてもよい。
　また、本開示は、コンピュータプログラムまたはデジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送などを経由して伝送するものとしてもよい。
　また、プログラムまたはデジタル信号を記録媒体に記録して移送することにより、またはプログラムまたはデジタル信号をネットワークなどを経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
　本開示は、車載通信ネットワークにおけるサイバー攻撃を監視するセキュリティ装置などに適用可能である。
　１０　セキュリティシステム
　１００　車両
　１１０　セキュリティ装置
　１１１　監視部
　１１２　特定部
　１１３　報知部
　１１４　受信部
　１２０　車両計算機
　１２１　実行部
　１２２　初期化部
　１２３　復元部
　１２４　機能制限部
　１２５　追加データ取得部
　１２６、３４０　記憶部
　１３０　ソフトウェア管理装置
　１３１　ＯＴＡ指示部
　１３２　情報送信部
　２００　監視サーバ
　３００　管理サーバ
　３１０　取得部
　３２０　制御部
　３３０　出力部
　４００　データサーバ

Claims (7)

  1. 　車両における車載通信ネットワークと接続され、前記車両の制御を行う車両計算機が攻撃されることで発生した異常に関する異常情報を取得し、
    　前記異常情報に基づいて、前記車両計算機が有する記憶部に記憶されたデータのうち、所定のタイミングより後に前記記憶部に追加された追加データを削除させる、
    　セキュリティ方法。
  2. 　前記異常情報を取得した場合、前記異常が前記追加データによるものであるか否かを判定し、前記異常が前記追加データによるものであると判定した場合、前記記憶部に追加された前記追加データを削除させる、
    　請求項１に記載のセキュリティ方法。
  3. 　前記記憶部に追加された前記追加データを削除させた後に、前記異常が前記追加データによるものであるか否かを判定し、前記異常が前記追加データによるものでないと判定した場合、前記追加データを前記記憶部に再度記憶させる、
    　請求項１に記載のセキュリティ方法。
  4. 　前記異常情報に基づいて、前記異常を発生させた攻撃を受ける要因となった機能を特定し、
    　特定された前記機能を無効化させる、
    　請求項１～３のいずれか１項に記載のセキュリティ方法。
  5. 　前記攻撃に対する対策が施された旨を示す情報が取得された場合、前記機能を有効化させる、
    　請求項４に記載のセキュリティ方法。
  6. 　前記攻撃に対する対策が施された旨を示す情報が取得された場合、前記攻撃に対する対策が施されたプログラムに、前記所定のタイミングより前に前記記憶部に記憶されたプリインストールプログラムを更新させ、前記プリインストールプログラムを更新させた後に、前記機能を有効化させる、
    　請求項５に記載のセキュリティ方法。
  7. 　車両における車載通信ネットワークと接続され、前記車両の制御を行う車両計算機が攻撃されることで発生した異常に関する異常情報を取得する取得部と、
    　前記異常情報に基づいて、前記車両計算機が有する記憶部に記憶されたデータのうち、所定のタイミングより後に前記記憶部に追加された追加データを削除させる制御部と、を備える、
    　セキュリティ装置。
PCT/JP2023/032837 2022-12-08 2023-09-08 セキュリティ方法、および、セキュリティ装置 WO2024122142A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2022196075A JP2024082318A (ja) 2022-12-08 2022-12-08 セキュリティ方法、および、セキュリティ装置
JP2022-196075 2022-12-08

Publications (1)

Publication Number Publication Date
WO2024122142A1 true WO2024122142A1 (ja) 2024-06-13

Family

ID=91378694

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2023/032837 WO2024122142A1 (ja) 2022-12-08 2023-09-08 セキュリティ方法、および、セキュリティ装置

Country Status (2)

Country Link
JP (1) JP2024082318A (ja)
WO (1) WO2024122142A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006178934A (ja) * 2004-12-21 2006-07-06 Microsoft Corp 自己回復デバイスのための方法およびシステム
JP2019133599A (ja) * 2018-02-02 2019-08-08 クラリオン株式会社 車載装置、インシデント監視方法
JP2020201787A (ja) * 2019-06-12 2020-12-17 株式会社デンソーウェーブ 情報処理端末及び管理システム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006178934A (ja) * 2004-12-21 2006-07-06 Microsoft Corp 自己回復デバイスのための方法およびシステム
JP2019133599A (ja) * 2018-02-02 2019-08-08 クラリオン株式会社 車載装置、インシデント監視方法
JP2020201787A (ja) * 2019-06-12 2020-12-17 株式会社デンソーウェーブ 情報処理端末及び管理システム

Also Published As

Publication number Publication date
JP2024082318A (ja) 2024-06-20

Similar Documents

Publication Publication Date Title
JP7496404B2 (ja) セキュリティ処理方法及びサーバ
US10129259B2 (en) Installment configurations within a vehicle and interoperability of devices configured to implement secure communication lockdowns, and methods of use thereof
JP6968722B2 (ja) 車載装置、インシデント監視方法
JP6585019B2 (ja) ネットワーク監視装置、ネットワークシステムおよびプログラム
JP6432611B2 (ja) セキュリティサポートおよび耐障害サポートを提供する自動車修正システム
JP6964277B2 (ja) 通信遮断システム、通信遮断方法及びプログラム
JPWO2019216306A1 (ja) 異常検知電子制御ユニット、車載ネットワークシステム及び異常検知方法
WO2022049894A1 (ja) 制御モード切替装置、および、制御モード切替方法
EP4350548A1 (en) Monitoring device, monitoring system, and monitoring method
WO2021111681A1 (ja) 情報処理装置、制御方法及びプログラム
JP2013009370A (ja) 車両ネットワーク用の安全なデータストア
US11971982B2 (en) Log analysis device
WO2024122142A1 (ja) セキュリティ方法、および、セキュリティ装置
US20220283798A1 (en) Mobility control system, method, and program
WO2021024588A1 (ja) モビリティ制御システム、方法、および、プログラム
US20230401317A1 (en) Security method and security device
WO2022255245A1 (ja) インテグリティ検証装置及びインテグリティ検証方法
US20230267204A1 (en) Mitigating a vehicle software manipulation
WO2023042426A1 (ja) 車載装置及びプログラム更新システム
US20240067193A1 (en) Vehicle control using serverless functions
US20240070258A1 (en) User-customized vehicle control using serverless functions
WO2024070044A1 (ja) 検証システム、検証方法、及び、プログラム
JP2024070327A (ja) 情報提供方法及び情報処理装置
CN116639140A (zh) 减轻对车辆软件的操纵
CN116639142A (zh) 减轻对车辆软件的操纵