WO2024166158A1 - 車載装置、サーバコンピュータ、通信システム、制御方法およびコンピュータプログラム - Google Patents

車載装置、サーバコンピュータ、通信システム、制御方法およびコンピュータプログラム Download PDF

Info

Publication number
WO2024166158A1
WO2024166158A1 PCT/JP2023/003740 JP2023003740W WO2024166158A1 WO 2024166158 A1 WO2024166158 A1 WO 2024166158A1 JP 2023003740 W JP2023003740 W JP 2023003740W WO 2024166158 A1 WO2024166158 A1 WO 2024166158A1
Authority
WO
WIPO (PCT)
Prior art keywords
vehicle
information
communication
unit
application
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2023/003740
Other languages
English (en)
French (fr)
Inventor
健太 栗山
明紘 小川
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Sumitomo Wiring Systems Ltd
AutoNetworks Technologies Ltd
Sumitomo Electric Industries Ltd
Original Assignee
Sumitomo Wiring Systems Ltd
AutoNetworks Technologies Ltd
Sumitomo Electric Industries Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Sumitomo Wiring Systems Ltd, AutoNetworks Technologies Ltd, Sumitomo Electric Industries Ltd filed Critical Sumitomo Wiring Systems Ltd
Priority to PCT/JP2023/003740 priority Critical patent/WO2024166158A1/ja
Priority to CN202380093205.6A priority patent/CN120641899A/zh
Priority to JP2024575870A priority patent/JPWO2024166158A1/ja
Publication of WO2024166158A1 publication Critical patent/WO2024166158A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures

Definitions

  • This disclosure relates to an in-vehicle device, a server computer, a communication system, a control method, and a computer program.
  • Patent Document 1 discloses a security setting support device that uses feature quantities of traffic data related to DDoS (Distributed Denial of Service) attacks to calculate predicted values of security setting parameters through machine learning.
  • the security setting support device provides security setting support based on the results of a prior evaluation of security settings based on predicted values.
  • DDoS Distributed Denial of Service
  • the on-board device is an on-board device mounted on a vehicle, and causes a communication unit that communicates with an external device outside the vehicle to restrict communication with the external device in accordance with security rules generated based on road-vehicle information including vehicle information about the vehicle and roadside information about the outside of the vehicle, and the vehicle information includes at least one of application operation information that identifies an application running in the vehicle and connection information that indicates the communication connection state with the external device.
  • FIG. 1 is a schematic diagram illustrating a configuration of a communication system according to an embodiment of the present disclosure.
  • FIG. 2 is a block diagram showing a hardware configuration of the in-vehicle system shown in FIG.
  • FIG. 3 is a block diagram showing a hardware configuration of the roadside unit shown in FIG.
  • FIG. 4 is a block diagram showing the hardware configuration of the server (that is, the server computer) shown in FIG.
  • FIG. 5 is a block diagram showing a functional configuration of the in-vehicle system shown in FIG.
  • FIG. 6 is a flowchart showing the operation of the in-vehicle system relating to the determination of security rules.
  • FIG. 7 is a flowchart showing the communication-related operation of the in-vehicle system.
  • FIG. 1 is a schematic diagram illustrating a configuration of a communication system according to an embodiment of the present disclosure.
  • FIG. 2 is a block diagram showing a hardware configuration of the in-vehicle system shown in FIG.
  • FIG. 8 is a diagram showing a first example showing a change in security rules accompanying a change in the application operation status in the vehicle.
  • FIG. 9 is a diagram showing the position of a vehicle.
  • FIG. 10 is a diagram showing a second example showing a change in security rules accompanying a change in the application operation status in the vehicle.
  • FIG. 11 is a diagram showing a third example showing a change in security rule accompanying a change in the communication connection status in the vehicle.
  • FIG. 12 is a diagram showing a fourth example of changes in security rules accompanying changes in application operation status and communication connection status in a vehicle.
  • FIG. 13 is a block diagram showing a functional configuration of an in-vehicle system according to a modified example.
  • FIG. 14 is a diagram showing an example of a security rule table generated from the specifications of an application.
  • the present disclosure therefore aims to provide an in-vehicle device, a server computer, a communication system, a control method, and a computer program that can determine security rules with low computational cost and dynamically control the security rules in response to at least one of the operating status of an application in the vehicle in which the device is installed and the connection status with an external device.
  • an in-vehicle device a server computer, a communication system, a control method, and a computer program that can determine security rules with low computational cost and dynamically control security rules according to at least one of the operating status of an application in the vehicle in which it is installed and the connection status with an external device.
  • An in-vehicle device is an in-vehicle device mounted on a vehicle, which causes a communication unit that communicates with an external device outside the vehicle to restrict communication with the external device in accordance with security rules generated based on road-vehicle information including vehicle information about the vehicle and roadside information about the outside of the vehicle, and the vehicle information includes at least one of application operation information that identifies an application running in the vehicle and connection information that indicates the communication connection state with the external device.
  • the in-vehicle device can receive security rules from an external device. This reduces the load of calculations required to determine security rules in the in-vehicle device.
  • the in-vehicle device may further include a roadside information acquisition unit that acquires roadside information from an external device, a roadside-vehicle information generation unit that generates roadside-vehicle information by adding vehicle information to the roadside information, a determination unit that determines outside-vehicle communication parameter determination information based on the roadside-vehicle information, and a security rule generation unit that generates security rules based on the outside-vehicle communication parameter determination information.
  • a roadside information acquisition unit that acquires roadside information from an external device
  • a roadside-vehicle information generation unit that generates roadside-vehicle information by adding vehicle information to the roadside information
  • a determination unit that determines outside-vehicle communication parameter determination information based on the roadside-vehicle information
  • a security rule generation unit that generates security rules based on the outside-vehicle communication parameter determination information.
  • the road-to-vehicle information may include at least one of location information and map information in addition to at least one of application operation information and connection information. This makes it possible to determine external vehicle communication parameters for generating appropriate security rules.
  • the outside-vehicle communication parameter determination information may include at least one of application operation information and connection information. This allows appropriate security rules to be generated.
  • the outside-vehicle communication parameter determination information may include at least application operation information
  • the security rule generation unit may generate a security rule including a first communication filter threshold value when it determines from the application operation information that there is no application running, and may generate a security rule including a second communication filter threshold value that is greater than the first communication filter threshold value when it determines from the application operation information that an application that controls the opening and closing of the vehicle doors is running.
  • This makes it possible to filter the transmitted data when data exceeding an expected communication volume (i.e., the first communication filter threshold value) is transmitted to the in-vehicle system while the vehicle is parked and before authentication (i.e., when there is no running application).
  • DoS Denial of Service
  • the outside-vehicle communication parameter determination information may include at least application operation information
  • the security rule generation unit may generate security rules that do not include access permissions when it determines from the application operation information that no application is running, and may generate security rules that include access permissions to external devices that provide services to the driving assistance application when it determines from the application operation information that a driving assistance application is running.
  • the outside-vehicle communication parameter determination information may include at least connection information
  • the security rule generation unit may generate a security rule including a third communication filter threshold value specified by the connection information corresponding to the first region when the vehicle position specified from the road-vehicle information is in a first region including multiple intersections, and may generate a security rule including a fourth communication filter threshold value specified by the connection information corresponding to the second region when the vehicle position specified from the road-vehicle information is in a second region narrower than the first region and including one intersection, and the fourth communication filter threshold value may be greater than the third communication filter threshold value.
  • the vehicle when the vehicle is located in the first region (e.g., a cloud communication area), if data exceeding the communication volume expected from the connection state (i.e., the third communication filter threshold value) is transmitted to the in-vehicle system, the transmitted data can be filtered. Therefore, it becomes possible to take measures against, for example, DoS attacks.
  • the first region e.g., a cloud communication area
  • the outside-vehicle communication parameter determination information may include application operation information, and when the security rule generation unit identifies that multiple applications are running in the vehicle based on the outside-vehicle communication parameter determination information, the security rule generation unit may generate a security rule table for each of the multiple running applications and integrate the multiple security rule tables to generate security rules. This makes it possible to efficiently generate security rules that restrict communication of one communication unit.
  • the decision unit may generate connection information from the road-to-vehicle information as outside-vehicle communication parameter determination information. This makes it possible to generate operation information and connection information from the road-to-vehicle information, and to generate appropriate security rules.
  • the security rules may include restrictions on at least one of the access frequency, communication speed, number of sessions, number of SYN packets, communication address of the communication destination, and port number of the communication destination, related to the communication by the communication unit. This can improve the security of the communication by the communication unit.
  • the in-vehicle device may further include an update unit that updates the security rules, and the update unit may update the security rules upon receiving, via the communication unit, a new application to be run in the vehicle or an update application for an application running in the vehicle. This allows the security rules to be maintained in an appropriate state.
  • new security rules corresponding to the new application or the updated application may be received from an external device, and the update unit may update the security rules using the new security rules. This can further reduce the load of calculations required to determine security rules according to the operating status of the application.
  • a server computer includes a generation unit that generates security rules for an on-board device mounted on a vehicle, the security rules restricting communication of the on-board device with the outside of the vehicle, based on vehicle information about the vehicle and road-vehicle information including roadside information about the outside of the vehicle, and a communication unit that transmits the security rules to the on-board device, the vehicle information including at least one of application operation information that identifies an application running in the vehicle and connection information that indicates the communication connection state with an external device.
  • This allows the on-board system to dynamically control communication with the outside of the vehicle in accordance with security rules according to the operation status of the application in the vehicle and the connection state with the external device.
  • the communication unit can receive vehicle information from the in-vehicle device, and the server computer can further include a road-to-vehicle information generation unit that generates road-to-vehicle information by adding the vehicle information received by the communication unit to the roadside information, and a determination unit that determines outside-vehicle communication parameter determination information based on the road-to-vehicle information, and the generation unit can generate security rules based on the outside-vehicle communication parameter determination information. This can reduce the load caused by the calculation process for determining security rules in the in-vehicle device.
  • a communication system includes an in-vehicle device according to any one of (1) to (13) above and a server computer according to (14) above, and the in-vehicle device causes a communication unit mounted in the vehicle to communicate with the server computer as an external device. This allows the in-vehicle device to dynamically control security rules according to the operating status of applications in the vehicle and the connection status with the external device.
  • a communication system includes the in-vehicle device described in (1) or (2) above and the server computer described in (15) above, and the in-vehicle device causes a communication unit mounted in the vehicle to communicate with the server computer as an external device. This allows the in-vehicle device to dynamically control security rules according to the operating status of applications in the vehicle and the connection status with the external device.
  • a control method is a control method for an in-vehicle system mounted on a vehicle, the control method including a step in which an in-vehicle device included in the in-vehicle system causes a communication unit that communicates with an external device outside the vehicle to restrict communication with the external device in accordance with security rules generated based on vehicle information about the vehicle and road-vehicle information including roadside information about the outside of the vehicle, the vehicle information including at least one of application operation information that identifies an application running in the vehicle and connection information that indicates a communication connection state with the external device.
  • This allows the in-vehicle device to dynamically control security rules according to the operation status of the application in the vehicle and the connection state with the external device.
  • a computer program causes a computer mounted on a vehicle to realize a function of restricting communication with an external device in a communication unit that communicates with an external device outside the vehicle in accordance with security rules generated based on road-vehicle information including vehicle information about the vehicle and roadside information about the outside of the vehicle, the vehicle information including at least one of application operation information that identifies an application running in the vehicle and connection information that indicates the communication connection state with the external device.
  • road-vehicle information including vehicle information about the vehicle and roadside information about the outside of the vehicle, the vehicle information including at least one of application operation information that identifies an application running in the vehicle and connection information that indicates the communication connection state with the external device.
  • a communication system 100 includes a vehicle 104 equipped with an in-vehicle system 102, and a server (i.e., a server computer) 112 capable of communicating with the in-vehicle system 102 via a base station 108 and a network 110.
  • the communication system 100 may include a roadside unit 106 including a sensor, which is fixedly installed on the roadside.
  • the server 112 provides services such as transmitting driving assistance information to the in-vehicle system 102.
  • the in-vehicle system 102 and the roadside unit 106 transmit data to the server 112 to be used for generating the driving assistance information to be transmitted by the server 112 (hereinafter, also referred to as uploading).
  • the base station 108 provides mobile communication services, for example, via 4G (i.e., fourth generation mobile communication system) lines and 5G (i.e., fifth generation mobile communication system) lines.
  • the base station 108 is connected to the network 110.
  • the in-vehicle system 102 mounted on the vehicle 104 has a communication function according to the communication specifications (i.e., 4G lines, 5G lines, etc.) provided by the base station 108.
  • the roadside unit 106 is also connected to the network 110 via the base station 108. Note that communication between the server 112 and the in-vehicle system 102 and the roadside unit 106 is not limited to communication via the network 110, and may be wireless communication such as Wi-Fi. Also, communication between the server 112 and the fixed roadside unit 106 may be wired communication without going through the base station 108.
  • Sensor data acquired by sensors mounted on the vehicle 104 (hereinafter also referred to as on-board sensors) is analyzed in the on-board system 102, and the analysis results are stored as dynamic information.
  • the dynamic information is used in the autonomous driving function of the vehicle.
  • the sensor data and dynamic information are uploaded from the on-board system 102 to the server 112.
  • the roadside unit 106 is installed on the roadside and acquires information on the roadside using sensors (hereinafter also referred to as infrastructure sensors).
  • the sensor data is analyzed in the roadside unit 106, and dynamic objects and the like are detected.
  • the sensor data and analysis results are uploaded from the roadside unit 106 to the server 112.
  • the vehicle 104 shown in FIG. 1 is the detection target of the infrastructure sensor of the roadside unit 106, and is detected as a dynamic object.
  • Dynamic information is information about dynamic objects detected by sensors (i.e., infrastructure sensors and vehicle-mounted sensors). Dynamic objects are not limited to moving objects (e.g., people and vehicles, etc.), but also include objects that have the ability to move but are stationary.
  • the dynamic information is used as driving assistance information for use in the autonomous driving of the vehicle.
  • the dynamic information is transmitted to server 112 and used to generate driving assistance information that is transmitted from server 112 to vehicles (including vehicle 104 and vehicles other than vehicle 104).
  • FIG. 1 shows one base station 108, one roadside unit 106, and one vehicle 104 equipped with an in-vehicle system 102.
  • this is merely an example.
  • multiple base stations are provided, and there are multiple vehicles equipped with in-vehicle systems.
  • There may be vehicles that do not have an in-vehicle system capable of communicating with the server 112.
  • Vehicles that do not have an in-vehicle system are detected as dynamic objects.
  • the in-vehicle system 102 includes an external communication unit 120, an in-vehicle device 122, a sensor 124, an automatic driving ECU (Electronic Control Unit) 126, an authentication ECU 128, a drive ECU 130, and a bus 132.
  • the in-vehicle system 102 includes a plurality of ECUs, and FIG. 2 shows the automatic driving ECU 126, the authentication ECU 128, and the drive ECU 130 as examples.
  • the external communication unit 120 performs wireless communication with external devices of the vehicle 104 (for example, communication with the server 112 via the base station 108).
  • the external communication unit 120 includes an integrated circuit (IC) for performing modulation and multiplexing used in wireless communication, an antenna for transmitting and receiving radio waves of a specific frequency, and an RF (Radio Frequency) circuit.
  • the external communication unit 120 also has a communication function with a global navigation satellite system (GNSS) such as a global positioning system (GPS) in order to obtain information for identifying the current position of the vehicle 104.
  • GNSS global navigation satellite system
  • GPS global positioning system
  • the external communication unit 120 may also have a communication function such as Wi-Fi.
  • the in-vehicle device 122 includes a control unit 140 and a memory 142.
  • the control unit 140 includes a CPU (Central Processing Unit) and controls the memory 142.
  • the memory 142 is, for example, a rewritable non-volatile semiconductor memory, and stores a computer program (hereinafter simply referred to as a program) executed by the control unit 140.
  • the memory 142 provides a work area for the program executed by the control unit 140.
  • the control unit 140 obtains data to be processed directly from the vehicle exterior communication unit 120 and obtains data from other than the vehicle exterior communication unit 120 via the bus 132.
  • the control unit 140 appropriately stores data received from the vehicle exterior communication unit 120 and data received via the bus 132 in the memory 142.
  • the control unit 140 stores the processing results in the memory 142 and outputs them to the bus 132.
  • the in-vehicle device 122 serves as a gateway (i.e., communication protocol conversion, etc.) that connects communication functions with the outside of the vehicle (specifically, communication specifications) with communication functions within the vehicle (i.e., communication specifications).
  • the autonomous driving ECU 126 and authentication ECU 128, etc. can communicate with external devices via the in-vehicle device 122 and the exterior communication unit 120.
  • the in-vehicle device 122 controls security rules regarding communication with the outside of the vehicle, as described below.
  • the in-vehicle device 122 transmits, for example, driving assistance information, which is received from the outside via the exterior communication unit 120, to the autonomous driving ECU 126.
  • the bus 132 serves as a communication function within the in-vehicle system.
  • Communication i.e., data exchange
  • the bus 132 For example, a Controller Area Network (CAN) is used for bus 132.
  • CAN Controller Area Network
  • the sensor 124 is mounted on the vehicle 104 and includes a sensor for acquiring information outside the vehicle 104 (for example, a video image capturing device (for example, a digital camera (CCD (Charge-Coupled Device) camera, CMOS (Complementary Metal-Oxide Semiconductor) camera)), a laser sensor (LiDAR), etc.).
  • the sensor 124 may also include a sensor for acquiring information about the vehicle itself (acceleration sensor, load sensor, etc.).
  • the sensor 124 acquires information within the detection range (imaging range in the case of a camera) and outputs it as sensor data. If the sensor 124 is a digital camera, it outputs digital image data.
  • the detection signal (i.e., analog or digital signal) of the sensor 124 is output as digital data to the bus 132 via an I/F unit (not shown) and transmitted to the in-vehicle device 122 and the autonomous driving ECU 126, etc.
  • the autonomous driving ECU 126 controls the driving of the vehicle 104.
  • the autonomous driving ECU 126 acquires sensor data from the sensors 124, analyzes it to understand the situation around the vehicle, and transmits it to the driving ECU 130, which is a mechanism related to autonomous driving.
  • the driving ECU 130 controls the driving unit 134 (e.g., mechanisms such as the engine, motor, transmission, steering, and brakes).
  • the autonomous driving ECU 126 uses driving assistance information acquired from the in-vehicle device 122 for autonomous driving.
  • the authentication ECU 128 performs user authentication to permit the unlocking of the doors of the vehicle 104, as described below.
  • the roadside unit 106 includes a communication unit 150, a control unit 152, a sensor 154, a memory 156, and a bus 158. Data exchange between the control unit 152, the sensor 154, and the memory 156 is performed via the bus 158.
  • the communication unit 150 receives data from the server 112 and transmits data to the server 112.
  • the communication unit 150 obtains transmission data from the control unit 152 and outputs received data to the control unit 152.
  • the data received by the communication unit 150 is appropriately stored in the memory 156.
  • the control unit 152 is configured to include, for example, a CPU.
  • the memory 156 is, for example, a rewritable non-volatile semiconductor memory, and stores the program executed by the control unit 152.
  • the memory 156 provides a work area for the program executed by the control unit 152.
  • the memory 156 may include a large-capacity storage device such as a hard disk drive.
  • the sensor 154 is a sensor for acquiring information outside the roadside unit 106, and includes, for example, an image sensor (for example, a digital surveillance camera), a radar (for example, a millimeter-wave radar), or a laser sensor (for example, a LiDAR).
  • the sensor 154 acquires information within a detection range (for example, an imaging range in the case of a camera) and outputs it as sensor data.
  • the sensor data is stored in the memory 156.
  • the control unit 152 reads out the sensor data from the memory 156 and outputs it to the communication unit 150. As a result, the sensor data of the sensor 154 is transmitted from the communication unit 150 to the server 112. The control unit 152 also reads out the sensor data from the memory 156 and analyzes it. As a result of the analysis, dynamic objects, etc. are detected. The control unit 152 outputs information about the detected dynamic objects, etc. to the communication unit 150. As a result, the analysis result of the control unit 152 is transmitted from the communication unit 150 to the server 112, and the server 112 can generate information about the outside of the vehicle 104 (hereinafter referred to as roadside information) as described below.
  • roadside information information about the outside of the vehicle 104
  • the server 112 includes a control unit 160 for controlling each unit, a memory 162 for storing data, a communication unit 164 for performing communication, and a bus 166 for exchanging data between each unit.
  • the control unit 160 includes a CPU, and realizes functions described below by controlling each unit.
  • the memory 162 includes a rewritable semiconductor non-volatile memory and a large-capacity storage device such as a hard disk drive.
  • the communication unit 164 receives data uploaded from the in-vehicle system 102 and the roadside device 106. The data received by the communication unit 164 is transmitted to and stored in the memory 162.
  • the server 112 analyzes the received data to generate roadside information and transmits it to the in-vehicle system 102.
  • the server 112 analyzes the received data to generate driving assistance information and transmits it to the vehicle (i.e., the in-vehicle system).
  • the in-vehicle device 122 includes a roadside information acquisition unit 200, a road-vehicle information generation unit 202, an exterior communication parameter judgment information determination unit 204, and a security rule generation unit 206.
  • the functions of the roadside information acquisition unit 200, the road-vehicle information generation unit 202, the exterior communication parameter judgment information determination unit 204, and the security rule generation unit 206 are realized by the control unit 140 and the memory 142 shown in Fig. 2.
  • the exterior communication unit 120 includes a security unit 208 that performs communication security such as a packet filter. As described later, the in-vehicle device 122 outputs the determined security rule to the security unit 208, and causes the security unit 208 to restrict the communication performed by the exterior communication unit 120 according to the input rule.
  • the roadside information acquisition unit 200 acquires roadside information transmitted from the server 112 by the external communication unit 120.
  • the roadside information is information relating to the outside of the in-vehicle system 102, and includes map information.
  • the map information includes, for example, a road map around the in-vehicle system 102, and location information of external devices such as servers that can communicate with the in-vehicle system 102 (hereinafter referred to as the external device map). Based on the external device map, the communication area of each server etc. becomes clear, and the communication connection status between the external device and the vehicle can be derived.
  • the external device map is used when the connection information (i.e., information indicating the communication connection status with an external device), which will be described later, cannot be acquired directly.
  • the acquired roadside information is stored in the memory 142.
  • the road-vehicle information generating unit 202 generates road-vehicle information by adding roadside information acquired by the roadside information acquiring unit 200 to information acquired from the external communication unit 120, the automatic driving ECU 126, the drive ECU 130, etc. (hereinafter referred to as vehicle information).
  • vehicle information includes, for example, position information indicating the position of the vehicle 104, application operation information identifying user-oriented applications running in the vehicle 104, and connection information indicating the communication connection state with an external device. Therefore, the road-vehicle information includes, for example, position information, map information, application operation information, and connection information.
  • the road-vehicle information generating unit 202 can identify applications running in the vehicle 104 by communicating with each unit in the in-vehicle system 102 via the bus 132, for example, and generate application operation information. This allows the determination of external vehicle communication parameters for generating appropriate security rules, as described below.
  • An application is, for example, a program executed in the in-vehicle system 102 to receive a service provided by the server 112.
  • An application may be any program that can be executed in the vehicle 104, and is not limited to programs executed by the in-vehicle device 122, but also includes programs executed by ECUs such as the autonomous driving ECU 126, authentication ECU 128, and drive ECU 130.
  • connection information can be generated from information included in the road-to-vehicle information. Therefore, it is sufficient for the road-to-vehicle information to include at least a portion of the above-mentioned information.
  • the outside-vehicle communication parameter judgment information determination unit 204 determines the outside-vehicle communication parameter judgment information from the road-and-vehicle information created by the road-and-vehicle information generation unit 202.
  • the determined outside-vehicle communication parameter judgment information is stored in the memory 142.
  • the outside-vehicle communication parameter judgment information is information for determining security rules related to wireless communication between the outside-vehicle communication unit 120 and the outside of the vehicle 104, that is, information used to determine which of the outside-vehicle communication parameters related to communication with the outside of the vehicle are to be restricted by the security rules.
  • the outside-vehicle communication parameter judgment information includes, for example, application operation information and connection information. This makes it possible to generate appropriate security rules, as described below.
  • the outside-vehicle communication parameter judgment information determination unit 204 determines that information included in the road-and-vehicle information as the outside-vehicle communication parameter judgment information.
  • the road-to-vehicle information may not include connection information.
  • the exterior-vehicle communication parameter judgment information determination unit 204 indirectly determines the connection information that is not included in the road-to-vehicle information. That is, the exterior-vehicle communication parameter judgment information determination unit 204 estimates the connection information that is not included from the information included in the road-to-vehicle information.
  • the exterior-vehicle communication parameter judgment information determination unit 204 can infer the external device (e.g., IP address and port number) and its communication state (e.g., communication speed) to which the exterior-vehicle communication unit 120 is connected, based on the position information and map information (including an exterior device map) included in the road-to-vehicle information, and can therefore determine the connection information. This makes it possible to generate connection information from the road-to-vehicle information, and to generate appropriate security rules.
  • the external device e.g., IP address and port number
  • its communication state e.g., communication speed
  • the security rule generating unit 206 generates security rules from the outside-vehicle communication parameter determination information determined by the outside-vehicle communication parameter determination information determining unit 204.
  • the outside-vehicle communication parameters which are parameters related to communication by the outside-vehicle communication unit 120, include, for example, the frequency of access from the outside, the communication volume (i.e., communication speed), the number of sessions established for communication, the number of SYN packets communicated to establish communication, the communication destination IP address, and the communication destination port number. This can improve the security of communication by the outside-vehicle communication unit 120, as described later.
  • the outside-vehicle communication parameters are not limited to these.
  • the security rule generating unit 206 identifies the outside-vehicle communication parameters to be restricted from the outside-vehicle communication parameter determination information (for example, application operation information and connection information), determines the content of the restriction, and generates, for example, a table (hereinafter referred to as a security rule table) that corresponds the outside-vehicle communication parameters to the content of the restriction, and sets it as a security rule.
  • the security rule generating unit 206 outputs the determined security rule to the security unit 208 of the outside-vehicle communication unit 120.
  • the security rule generation unit 206 stores the generated security rules in memory 142.
  • the security rule generation unit 206 can determine the outside-vehicle communication parameters, generate a security rule table for each application, and store it in the memory 142. Therefore, it is sufficient if the communication specifications of each application are stored in the memory 142 in advance. For example, each application may be analyzed and the communication specifications may be stored in the memory 142. By analyzing an application downloaded and stored in the in-vehicle system 102, the communication conditions of the application (e.g., communication destination IP address, communication destination port number, communication volume, etc.) can be identified and a security rule table can be generated.
  • the communication conditions of the application e.g., communication destination IP address, communication destination port number, communication volume, etc.
  • the communication specifications of the application may be downloaded from a server and stored in the memory 142.
  • the security rule generation unit 206 integrates multiple security rule tables. For example, when each of the multiple security rule tables includes communication volume, a security rule including the total value of those is generated. If each of the multiple security rule tables contains a pair of a destination IP address and a destination port number, a security rule that includes all of them is generated. This makes it possible to efficiently generate security rules that restrict communication of the exterior communication unit 120.
  • the security unit 208 stores the input security rules in an internal memory and restricts the communication executed by the vehicle exterior communication unit 120 according to the security rules. Therefore, the security of the communication by the vehicle exterior communication unit 120 can be improved.
  • the above-mentioned processes by the roadside information acquisition unit 200, the road-vehicle information generation unit 202, the vehicle exterior communication parameter judgment information determination unit 204, the security rule generation unit 206, and the security rule generation unit 206 are repeatedly executed, and the security rules are repeatedly generated.
  • the road-vehicle information changes according to the changes in the operating status of the application in the vehicle 104 and the connection status with the external device, and the vehicle exterior communication parameter judgment information changes according to the changes.
  • the security rules change according to the changes in the operating status of the application in the vehicle 104 and the connection status with the external device.
  • the security unit 208 rewrites and updates the security rule stored in the internal memory with the new security rule.
  • the in-vehicle system 102 (specifically, the in-vehicle device 122) can determine appropriate security rules according to the operating status of applications in the vehicle 104 in which it is installed and the connection status with external devices.
  • the in-vehicle system 102 can also dynamically control security rules according to changes in the operating status of applications in the vehicle 104 and the connection status with external devices. This makes it possible to counter cybersecurity attacks and improve the safety of communications with the outside world. Since security rules can be determined by processing information that can be obtained inside the vehicle 104 and information that can be obtained from a server, this can be achieved at low computational cost without performing resource-intensive processing such as machine learning.
  • the security rule generating unit 206 stores a security rule table for each application, but this is not limited to the above.
  • the security rule generating unit 206 only needs to store the outside-vehicle communication parameters used to generate security rules for each application.
  • the storage format may be a format other than a table.
  • FIG. 6 the control operation of the security rule by the in-vehicle device 122 will be described with reference to the functions shown in Fig. 5.
  • the process shown in Fig. 6 is realized by supplying power to the in-vehicle system 102 from an in-vehicle battery or the like, and by the control unit 140 (see Fig. 2) of the in-vehicle device 122 reading and executing a predetermined program from the memory 142.
  • the results of the execution of the process shown below are stored in the memory 142 as appropriate.
  • step 300 the control unit 140 determines whether or not roadside information has been received via the exterior vehicle communication unit 120. If it is determined that the roadside information has been received, control proceeds to step 302. If not, control proceeds to step 304.
  • the roadside information is transmitted, for example, from the server 112.
  • step 302 the control unit 140 stores the roadside information received in step 300 in the memory 142. Thereafter, control proceeds to step 304.
  • the processing in steps 300 and 302 corresponds to the function of the roadside information acquisition unit 200 in FIG. 5.
  • step 304 the control unit 140 acquires vehicle information of the vehicle 104 in which the in-vehicle system 102 is installed.
  • the control unit 140 stores the acquired vehicle information in the memory 142. Thereafter, control proceeds to step 306.
  • the vehicle information includes, for example, location information of the vehicle 104, application operation information, and connection information.
  • the vehicle 104 acquires the vehicle information from the external communication unit 120, the autonomous driving ECU 126, the drive ECU 130, etc.
  • step 306 the control unit 140 reads out from the memory 142 the vehicle information acquired in step 304 and the roadside information received in step 300, combines the vehicle information with the roadside information to generate road-and-vehicle information, and stores it in the memory 142. If the vehicle information and roadside information contain overlapping information, the control unit 140 leaves one of the overlapping pieces of information in the road-and-vehicle information. Then, control proceeds to step 308.
  • the processing in steps 304 and 306 corresponds to the function of the road-and-vehicle information generation unit 202 in FIG. 5.
  • step 308 the control unit 140 determines the exterior communication parameter determination information based on the road-vehicle information generated in step 306, and stores the information in the memory 142. Thereafter, control proceeds to step 310.
  • the processing in step 308 corresponds to the function of the exterior communication parameter determination information determination unit 204 shown in FIG. 5.
  • step 310 the control unit 140 generates a security rule based on the outside-vehicle communication parameter determination information determined in step 308. Then, control proceeds to step 312.
  • step 312 the control unit 140 outputs the security rule to the security unit 208. After that, control proceeds to step 314.
  • the processing of steps 310 and 312 corresponds to the function of the security rule generation unit 206 shown in FIG. 5.
  • step 314 the control unit 140 determines whether or not to terminate. If it is determined that the program should terminate, the program terminates. If not, control returns to step 300, and the above-described processing is repeated.
  • the instruction to terminate is given, for example, by stopping the supply of power to the in-vehicle device 122.
  • FIG. 7 An operation of restricting communication by security unit 208 (see FIG. 5) of exterior communication unit 120 will be described with reference to Fig. 7.
  • the process shown in Fig. 7 is realized, for example, by a control unit (e.g., a CPU) in security unit 208 reading out a predetermined program from an internal memory of security unit 208 and executing it.
  • a control unit e.g., a CPU
  • step 400 the security unit 208 determines whether or not a security rule has been acquired from the in-vehicle device 122. If it is determined that the security rule has been acquired, control proceeds to step 402. If not, control proceeds to step 404.
  • the security rule is output from the in-vehicle device 122 to the security unit 208 in step 312 shown in FIG. 6.
  • step 402 the security unit 208 updates the security rules currently in use. Specifically, the security unit 208 replaces the security rules currently in use with the security rules acquired in step 400 (e.g., overwrites them in the internal memory of the security unit 208). Then, control proceeds to step 404.
  • step 404 the security unit 208 determines whether or not communication that violates a security rule has occurred. If it is determined that communication has occurred, control proceeds to step 406. If not, control proceeds to step 408.
  • Communication that violates a security rule means communication that deviates from the range of the outside-vehicle communication parameters defined as the security rule. For example, if the security rule includes the communication volume as an outside-vehicle communication parameter and the threshold value (i.e., upper limit value) is set to a (bps), the security unit 208 determines that communication that violates a security rule has occurred when data exceeding a (bps) is received from outside the vehicle 104.
  • the threshold value i.e., upper limit value
  • the security unit 208 determines that communication that violates a security rule has occurred when packet data is received that includes an IP address different from the destination IP address as a source address.
  • the period for executing the process of step 404 may vary depending on the outside-vehicle communication parameters included in the security rule. For example, if the security rule includes a destination IP address as an outside-vehicle communication parameter, the security unit 208 may determine, for each received packet, whether the source address included in the packet is the destination IP address. On the other hand, if the security rule includes communication volume (threshold value is a (bps)) as an outside-vehicle communication parameter, the received packets are buffered for a predetermined period of time, and it is determined whether the total value is equal to or less than a (bps).
  • a (bps) communication volume
  • step 406 the security unit 208 allows only data that conforms to the security rules to be communicated. That is, the security unit 208 discards the received packet that is determined in step 404 to violate the security rules, and does not pass the packet to an application. The security unit 208 passes the received packet that is determined in step 404 not to violate the security rules to the application corresponding to the port number contained in the packet. After that, control proceeds to step 410.
  • step 408 the security unit 208 makes all received data available for communication and passes each packet to the application corresponding to the port number contained in the packet. After that, control proceeds to step 410.
  • step 410 the security unit 208 determines whether or not to terminate. If it is determined that the program should terminate, the program terminates. If not, control returns to step 400, and the above-described processing is repeated.
  • the instruction to terminate is given, for example, by stopping the power supply to the external vehicle communication unit 120.
  • the in-vehicle system 102 (specifically, the in-vehicle device 122) can determine appropriate security rules according to the operating status of applications in the vehicle 104 in which it is installed and the connection status with external devices. Furthermore, the in-vehicle system 102 can dynamically control security rules according to changes in the operating status of applications in the vehicle 104 and the connection status with external devices. Therefore, the in-vehicle system 102 can counter cybersecurity attacks and improve the safety of communications with the outside. Since security rules can be determined by processing information that can be obtained inside the vehicle 104 and information that can be obtained from a server, this can be achieved at low computational cost without performing processes that require many resources, such as machine learning.
  • the in-vehicle device 122 acting as a gateway has the function of controlling security rules, but this is not limited to the above.
  • An element constituting the in-vehicle system 102 other than the in-vehicle device 122 e.g., the external vehicle communication unit 120
  • the in-vehicle system 102 may also have a dedicated ECU for controlling security rules.
  • the external vehicle communication unit 120 and the dedicated ECU, etc. are also mounted on the vehicle 104 and are included in the in-vehicle device.
  • FIG. 8 An example of directly determining application operation information included in the vehicle exterior communication parameter determination information used to generate security rules will be described.
  • the doors of the vehicle 104 are locked when the vehicle 104 is parked, and an application for opening and closing (i.e. unlocking and locking) the doors of the vehicle 104 is started after authentication.
  • the left side of FIG. 8 shows information when the vehicle 104 is parked and before authentication.
  • the right side of FIG. 8 shows information when the vehicle 104 is parked and after authentication.
  • the user's smartphone is used for authentication, and the authentication ECU 128 (see FIG. 2) of the in-vehicle system 102 communicates with the user's smartphone via the vehicle exterior communication unit 120.
  • the authentication ECU 128 of the in-vehicle system 102 receives an authentication trigger signal transmitted from the user's smartphone.
  • the road-to-vehicle information includes application operation information.
  • the in-vehicle device 122 can communicate with each part of the in-vehicle system 102 and obtain the application operation information included in the road-to-vehicle information.
  • the vehicle 104 is stopped, the doors are locked, and there is no application running.
  • the application operation information included in the road-to-vehicle information is set with information indicating that there is no application running (e.g., "none").
  • the in-vehicle device 122 can identify that authentication has not yet occurred because the authentication ECU 128 has not received an authentication trigger signal.
  • the in-vehicle device 122 determines that the application operation information of the outside-vehicle communication parameter determination information is "none" directly from the application operation information included in the road-to-vehicle information. As a result, the in-vehicle device 122 sets the communication filter threshold value (i.e., upper limit value) corresponding to the communication volume limit to Th1 as a security rule.
  • Th1 is a small value that allows the in-vehicle device 122 to receive an authentication trigger signal from the outside (i.e., the user's smartphone) via the outside-vehicle communication unit 120. Th1 should be set to an appropriate value in advance.
  • the in-vehicle device 122 When the authentication ECU 128 receives an authentication trigger signal, authentication is performed, and the in-vehicle device 122 obtains information indicating post-authentication from the authentication ECU 128.
  • the in-vehicle device 122 can identify that the vehicle 104 is parked and post-authentication.
  • the in-vehicle device 122 also attempts to communicate with each part of the in-vehicle system 102, identifies that the door opening and closing application is running, and sets information identifying the door opening and closing application (i.e., "door opening and closing") to the application operation information included in the road-vehicle information.
  • the in-vehicle device 122 determines the application operation information of the outside-vehicle communication parameter determination information to be "door opening and closing" directly from the application operation information included in the road-vehicle information.
  • the in-vehicle device 122 sets the communication filter threshold value regarding the limit of communication volume to Th2 as a security rule. Th2 is a value greater than Th1.
  • Th2 may be set to a value that can receive data (e.g., including a code that specifies locking or unlocking) sent from the smartphone by a user operating the smartphone screen (e.g., touching a lock or unlock button displayed on a touch panel). Th2 may also be determined taking into account the amount of communication data generated by applications other than the door opening and closing application, assuming that such applications are running. Note that if applications that can be started in the in-vehicle system 102 are associated with their outside-vehicle communication parameters (e.g., communication volume, destination IP address, destination port number, etc.) and stored in memory 142 in advance, security rules can be generated based on application operation information.
  • data e.g., including a code that specifies locking or unlocking
  • Th2 may also be determined taking into account the amount of communication data generated by applications other than the door opening and closing application, assuming that such applications are running. Note that if applications that can be started in the in-vehicle system 102 are associated with their outside-veh
  • FIG. 9 and 10 show an example different from that shown in FIG. 8, in which application operation information included in the outside-vehicle communication parameter determination information used to generate security rules is directly determined.
  • a driving assistance service is provided by an edge server (not shown) in an edge service area 222 including an intersection, and that no service is provided in a wide cloud service area 220 including the edge service area 222.
  • the current vehicle position is indicated by a solid line, and the past positions are indicated by dashed lines.
  • Vehicle 104B and vehicle 104A indicate the current and past vehicle positions of the same vehicle 104.
  • the driving direction of each vehicle is indicated by an arrow.
  • the left side shows information when vehicle 104A is located on a straight road outside edge service area 222.
  • the right side of FIG. 10 shows information when vehicle 104B is located within edge service area 222.
  • Road-to-vehicle information includes application operation information.
  • the in-vehicle device 122 of vehicle 104A located on a straight road outside edge service area 222 attempts to communicate with each part of in-vehicle system 102, determines that no application is running, and sets the application operation information included in the road-to-vehicle information to "none".
  • the in-vehicle device 122 determines the application operation information of the outside-vehicle communication parameter determination information to "none" directly from the application operation information included in the road-to-vehicle information. As a result, the in-vehicle device 122 sets the security rule to "no communication access permission", that is, to not allow communication outside the vehicle.
  • the in-vehicle device 122 of the vehicle 104B located on the right turn line of the intersection in the edge service area 222 attempts to communicate with each part of the in-vehicle system 102, identifies that the right turn assist application is running, and sets information identifying the right turn assist application (i.e., "right turn assist") to the application operation information included in the road-to-vehicle information.
  • the in-vehicle device 122 determines the application operation information of the outside-vehicle communication parameter determination information to be "right turn assist" directly from the application operation information included in the road-to-vehicle information.
  • the in-vehicle device 122 allows communication access to the edge server that provides the right turn assist information service. That is, the in-vehicle device 122 generates a security rule that includes the IP address and port number of the edge server as the communication destination IP address and communication destination port number.
  • the access can be restricted. For example, it becomes possible to take measures against access from a false destination (i.e., spoofing).
  • connection information i.e., information representing a communication connection state with an external device
  • the position of the vehicle 104 is assumed to change in the same manner as in the second example (see Fig. 9).
  • the in-vehicle system 102 is assumed to communicate with a cloud server (not shown) in the cloud service area 220 outside the edge service area 222. Note that, here, the connection information will be described, and the operating application information will be omitted.
  • the left side shows information when the vehicle 104A is located on a road within the cloud service area 220 but outside the edge service area 222
  • the right side shows information when the vehicle 104B is located on a road within the edge service area 222.
  • the road-vehicle information includes, for example, position information and map information, but does not include connection information.
  • the in-vehicle device 122 of the vehicle 104A can identify the vehicle position as the cloud service area 220 (i.e., cloud communication area) outside the edge service area 222 from the road-vehicle information (e.g., position information and map information).
  • the in-vehicle device 122 determines the connection information of the out-of-vehicle communication parameter determination information to be cloud connection.
  • the in-vehicle device 122 sets the communication filter threshold value (i.e., upper limit value) corresponding to the communication volume limit to Th3 as a security rule.
  • Th3 may be set in advance based on the services provided by the cloud server.
  • the in-vehicle device 122 of the vehicle 104B can identify the vehicle position as being within the edge service region 222 (i.e., the edge server communication area) from the road-vehicle information.
  • the in-vehicle device 122 determines the connection information of the outside-vehicle communication parameter determination information to be an edge server connection.
  • the in-vehicle device 122 sets the communication filter threshold corresponding to the communication volume limit to Th4 as a security rule. Th4 may be set in advance based on the service provided by the edge server (e.g., right-turn assistance service).
  • Th4 is set to be greater than Th3.
  • the vehicle 104 is located within a cloud communication area and data that exceeds the expected communication volume based on the connection state is transmitted to the in-vehicle system 102, the transmitted data can be filtered. This makes it possible to take measures against DoS attacks, for example.
  • Road-to-vehicle information includes, for example, position information, map information, and application operation information. From the position information and map information included in the road-to-vehicle information, the in-vehicle device 122 of vehicle 104A can identify the vehicle position as the cloud service area 220 (i.e., cloud communication area). As a result, the in-vehicle device 122 sets the connection information of the outside-vehicle communication parameter determination information to "cloud connection".
  • the in-vehicle device 122 attempts to communicate with each part of the in-vehicle system 102, identifies that a route guidance application is running, and sets information identifying the route guidance application (i.e., "route guidance") in the application operation information included in the road-to-vehicle information. As a result, the in-vehicle device 122 sets the application operation information of the outside-vehicle communication parameter determination information to "route guidance" directly from the application operation information included in the road-to-vehicle information.
  • route guidance information i.e., "route guidance”
  • the in-vehicle device 122 From this outside-vehicle communication parameter determination information (i.e., the connection information is "cloud connection” and the application operation information is “route guidance”), the in-vehicle device 122 permits communication access to the cloud server that provides the route guidance service. That is, the in-vehicle device 122 generates a security rule that includes the IP address and port number of the cloud server as the communication destination IP address and communication destination port number, and the communication filter threshold value (i.e., upper limit value) corresponding to the communication volume limit is a (Mbps). a (Mbps) may be set in advance based on the route guidance service.
  • the communication filter threshold value i.e., upper limit value
  • the in-vehicle device 122 of the vehicle 104B can identify the vehicle position as the right turn line of the intersection in the edge service area 222 included in the cloud service area 220 from the position information and map information included in the road-to-vehicle information. As a result, the in-vehicle device 122 sets the connection information of the outside-vehicle communication parameter determination information to "cloud connection” and "edge server connection”.
  • the in-vehicle device 122 also attempts to communicate with each part of the in-vehicle system 102, identifies that a right-turn assist application is running in addition to the route guidance application that is already running, and sets "route guidance" and information specifying the right-turn assist application (i.e., "right turn assistance") to the application operation information included in the road-to-vehicle information. As a result, the in-vehicle device 122 sets "route guidance" and "right turn assistance" to the application operation information of the outside-vehicle communication parameter determination information directly from the application operation information included in the road-to-vehicle information.
  • the in-vehicle device 122 Based on this outside-vehicle communication parameter determination information (i.e., the connection information is “cloud connection” and “edge server connection”, and the application operation information is “route guidance” and “right turn support”), the in-vehicle device 122 allows communication access to the cloud server providing the route guidance service and the edge server providing the right turn support service. That is, the in-vehicle device 122 generates a security rule in which the destination IP address and destination port number include the IP addresses and port numbers of the cloud server and edge server, and the communication filter threshold value (i.e., upper limit value) corresponding to the communication volume limit is a+b (Mbps). b (Mbps) is a value preset based on the right turn support service.
  • the communication filter threshold value i.e., upper limit value
  • An application running in the vehicle 104 may be newly downloaded from a server by the in-vehicle system 102. Also, when an application already stored in the in-vehicle system 102 is updated, that is, when the in-vehicle system 102 downloads a new version of the application (hereinafter, referred to as an updated application) from a server, either case affects the generation of security rules in the in-vehicle system 102.
  • the communication system according to the modified example can deal with this and efficiently generate security rules.
  • the communication system according to the modified example is configured similarly to the communication system 100 shown in FIG. 1, and the hardware configurations of the in-vehicle system, roadside unit, and server are similar to those of FIG. 2, FIG. 3, and FIG. 4, respectively.
  • the communication system according to the modified example has FIG. 13 replacing FIG. 5, which shows the functional configuration of the in-vehicle device of the in-vehicle system, and transmits applications (including update applications) from server 112.
  • FIG. 13 shows the functional configuration of the in-vehicle device of the in-vehicle system, and transmits applications (including update applications) from server 112.
  • the in-vehicle device 122A includes a roadside information acquisition unit 200, a road-vehicle information generation unit 202, an exterior communication parameter judgment information determination unit 204, a security rule generation unit 206, and a security rule table update unit 230.
  • the exterior communication unit 120 includes a security unit 208 that performs communication security such as a packet filter.
  • Fig. 13 is a configuration in which a security rule table update unit 230 is added to Fig. 5.
  • the functions of the elements with the same reference numerals as those in Fig. 5 are the same as those in Fig. 5. Therefore, hereinafter, the overlapping description will not be repeated, and differences will mainly be described.
  • the functions of the security rule table update unit 230 are realized by the control unit 140 and memory 142 shown in FIG. 2, similar to the roadside information acquisition unit 200, road-and-vehicle information generation unit 202, exterior communication parameter judgment information determination unit 204, and security rule generation unit 206.
  • the roadside information acquisition unit 200 acquires roadside information transmitted from the server 112 by the exterior communication unit 120.
  • the road-and-vehicle information generation unit 202 generates road-and-vehicle information by adding the roadside information acquired by the roadside information acquisition unit 200 to the vehicle information acquired from the exterior communication unit 120, the autonomous driving ECU 126, the drive ECU 130, etc.
  • the exterior communication parameter judgment information determination unit 204 determines exterior communication parameter judgment information from the road-and-vehicle information created by the road-and-vehicle information generation unit 202.
  • the security rule generation unit 206 generates security rules from the exterior communication parameter determination information determined by the exterior communication parameter determination information determination unit 204, and outputs the generated security rules to the security unit 208 of the exterior communication unit 120.
  • the security rule generation unit 206 generates a security rule table for each application and stores it in the memory 142.
  • the security unit 208 restricts communication performed by the exterior communication unit 120 according to the input security rules.
  • the security rule table update unit 230 determines whether a new application or an updated application has been downloaded from the server 112, and if it determines that a new application or an updated application has been downloaded, it updates the security rule table. Specifically, when a new application is downloaded, the security rule table update unit 230 determines the outside-vehicle communication parameters of the application from the communication specifications of the downloaded application, generates a security rule table, and stores it in the memory 142. When an updated application is downloaded, the security rule table update unit 230 determines the outside-vehicle communication parameters of the application from the communication specifications of the downloaded application, generates a security rule table, and overwrites the old version of the security rule table already stored in the memory 142.
  • the application specification information can be generated by analyzing the application downloaded from the server 112 by the in-vehicle device 122.
  • the communication destination column indicates the party with which the entity executing the application (i.e., the in-vehicle system 102) communicates, and includes the IP address of the external server (i.e., the server 112) and a port number for identifying the service.
  • the communication content column indicates information transmitted from the server 112 as a service, and is information regarding objects (mainly dynamic objects) within a specified area including an intersection that is the service target of the server 112.
  • the communication volume column includes information for calculating the communication volume transmitted from the server 112 to the in-vehicle system. That is, the information includes that a maximum of a (bit) is assigned to one object within a specified area, the upper limit of the number of objects to which data is assigned is b, and the update period of the information transmitted from the server 112 is c (ms).
  • the security rule table update unit 230 generates a security table as shown in tabular form at the bottom of Figure 14 from the application specification information.
  • the communication access permission includes the IP address and port number of the external vehicle server (i.e., server 112) that is the communication destination.
  • the communication filter threshold i.e., upper limit
  • the exterior-vehicle communication parameter determination information determination unit 204 determines exterior-vehicle communication parameter identification information using the exterior-vehicle communication parameters newly stored in the memory 142. Based on the determined exterior-vehicle communication parameter identification information, the security rule generation unit 206 generates new security rules using the new security rule table stored in the memory 142.
  • the updated application is an important application and it is necessary to quickly run the updated application in place of the currently running application.
  • the running application is quickly stopped and the updated application is run, causing the exterior-vehicle communication parameter determination information determination unit 204 to determine exterior-vehicle communication parameter identification information using the exterior-vehicle communication parameters newly stored in memory 142.
  • This causes the security rule generation unit 206 to generate new security rules.
  • the security rules (specifically, the security rule table) can be updated by downloading applications (including new applications and updated applications), thereby maintaining the security rules in an appropriate state.
  • application specification information is generated by the in-vehicle device 122 analyzing an application downloaded from the server 112, but this is not limiting.
  • the application specification information may be transmitted from the server 112 to the in-vehicle device 122.
  • the server 112 that transmits the application stores the application specifications, and therefore can generate application specification information and transmit it to the in-vehicle device 122. This can reduce the load caused by the calculation process for determining security rules in the in-vehicle device 122.
  • the server 112 when sending new applications and updated applications to the in-vehicle system 102, the server 112 sends application specification information.
  • the in-vehicle device 122 By receiving specification information of applications executed in the in-vehicle system 102 from a device external to the in-vehicle system 102, the in-vehicle device 122 does not need to analyze the running applications to generate security rules. Therefore, the in-vehicle device 122 can further reduce the load of calculations required to determine security rules according to the operating status of the applications.
  • the in-vehicle system 102 (specifically, the in-vehicle device 122) generates security rules and restricts communication with the outside of the vehicle in accordance with the security rules, but this is not limited to the above.
  • An external device of the vehicle 104 e.g., the server 112 or the roadside device 106) may generate security rules for the in-vehicle system 102 and transmit them to the in-vehicle system 102, and restrict communication with the outside of the vehicle in accordance with the security rules received by the in-vehicle system 102.
  • the server 112 may include a generation unit that generates security rules that restrict communication with the outside of the vehicle 104 by the in-vehicle system 102 based on information about the outside of the vehicle 104 and road-vehicle information including vehicle information of the vehicle 104, and a communication unit that transmits the security rules to the in-vehicle system 102. This allows the in-vehicle system 102 to dynamically control communication with the outside of the vehicle in accordance with the security rules received from the server 112.
  • the communication unit 164 of the server 112 can receive vehicle information of the vehicle 104 from the in-vehicle system 102.
  • the server 112 can further include a road-vehicle information generation unit that generates road-vehicle information by adding the vehicle information received by the communication unit 164 to roadside information, which is information about the outside of the vehicle 104, and a determination unit that determines outside-vehicle communication parameter determination information based on the road-vehicle information, and the generation unit can generate security rules based on the outside-vehicle communication parameter determination information. This can reduce the load caused by the calculation processing for determining security rules in the in-vehicle system 102.
  • each process (each function) of the above-mentioned embodiments may be realized by a processing circuit (circuitry) including one or more processors.
  • the processing circuit may be configured by an integrated circuit or the like that combines one or more memories, various analog circuits, and various digital circuits in addition to the one or more processors.
  • the one or more memories store programs (instructions) that cause the one or more processors to execute each of the above processes.
  • the one or more processors may execute each of the above processes according to the programs read from the one or more memories, or may execute each of the above processes according to a logic circuit that has been designed in advance to execute each of the above processes.
  • the processor may be a CPU, a GPU (Graphics Processing Unit), a DSP (Digital Signal Processor), an FPGA (Field Programmable Gate Array), an ASIC (Application Specific Integrated Circuit), or any other processor suitable for computer control.
  • a recording medium can be provided that records a program that causes a computer to execute the processing of the in-vehicle system 102 (specifically, the processing executed by the in-vehicle device 122 (e.g., the processing shown in FIG. 6)).
  • the recording medium is, for example, an optical disk (such as a DVD (Digital Versatile Disc)) or a removable semiconductor memory (such as a USB (Universal Serial Bus) memory).
  • a computer program can be transmitted over a communication line, the recording medium refers to a non-temporary recording medium.
  • the computer can transmit data that can be effectively used by the service provided by the external device, taking into account the delay time and communication bandwidth when the in-vehicle system uploads data to an external device such as a roadside device, as described above.
  • the non-transitory computer-readable recording medium is A computer installed in a vehicle stores a computer program that causes a communication unit that communicates with an external device outside the vehicle to realize a security function that restricts communication with the external device in accordance with security rules generated based on vehicle information of the vehicle and road-vehicle information including roadside information, which is information regarding the outside of the vehicle, and the vehicle information includes at least one of application operation information that identifies an application running in the vehicle and connection information that indicates the communication connection status with the external device.
  • Communication system 102 Vehicle-mounted system 104, 104A, 104B Vehicle 106 Roadside device 108 Base station 110 Network 112 Server 120 External communication unit 122, 122A Vehicle-mounted device 124, 154 Sensor 126 Automatic driving ECU 128 Certified ECU 130 Drive ECU 132, 158, 166 Bus 134 Driving unit 140, 152, 160 Control unit 142, 156, 162 Memory 150, 164 Communication unit 200 Roadside information acquisition unit 202 Road-vehicle information generation unit 204 Exterior-vehicle communication parameter judgment information determination unit 206 Security rule generation unit 208 Security unit 220 Cloud service area 222 Edge service area 230 Security rule table update unit 300, 302, 304, 306, 308, 310, 312, 314, 400, 402, 404, 406, 408, 410 Step

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Traffic Control Systems (AREA)

Abstract

車載装置は、車両に搭載される車載装置であって、車両の車両情報および車両の外部に関する路側情報を含む路車情報に基づいて生成されたセキュリティルールに従って、車両の外部にある外部装置と通信する通信部に、外部装置との通信を制限させ、車両情報は、車両において稼働しているアプリケーションを特定するアプリケーション稼働情報および外部装置との通信接続状態を表す接続情報の少なくともいずれか１つを含む。

Description

車載装置、サーバコンピュータ、通信システム、制御方法およびコンピュータプログラム
　本開示は、車載装置、サーバコンピュータ、通信システム、制御方法およびコンピュータプログラムに関する。
　悪意のある第三者によるコンピュータシステムおよびネットワークへのサイバーセキュリティ攻撃には、セキュリティルール（例えば、通信アクセス許可リストおよび通信フィルタしきい値等）を適切に設定することにより対策可能であることが知られている。下記特許文献１には、ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ　Ｄｅｎｉａｌ　ｏｆ　Ｓｅｒｖｉｃｅ）攻撃に関連するトラフィックデータの特徴量を用いて機械学習によりセキュリティ設定パラメータの予測値を算出するセキュリティ設定支援装置が開示されている。セキュリティ設定支援装置は、予測値に基づくセキュリティ設定を事前に評価した結果に基づいてセキュリティ設定支援を行う。
国際公開第２０２２／００９２７４号
　本開示のある局面に係る車載装置は、車両に搭載される車載装置であって、車両の車両情報および車両の外部に関する路側情報を含む路車情報に基づいて生成されたセキュリティルールに従って、車両の外部にある外部装置と通信する通信部に、外部装置との通信を制限させ、車両情報は、車両において稼働しているアプリケーションを特定するアプリケーション稼働情報および外部装置との通信接続状態を表す接続情報の少なくともいずれか１つを含む。
図１は、本開示の実施形態に係る通信システムの構成を示す模式図である。 図２は、図１に示した車載システムのハードウェア構成を示すブロック図である。 図３は、図１に示した路側機のハードウェア構成を示すブロック図である。 図４は、図１に示したサーバ（即ちサーバコンピュータ）のハードウェア構成を示すブロック図である。 図５は、図２に示した車載システムの機能構成を示すブロック図である。 図６は、車載システムの動作のうち、セキュリティルールの決定に関する動作を示すフローチャートである。 図７は、車載システムの動作のうち、通信に関する動作を示すフローチャートである。 図８は、車両におけるアプリケーション稼働状況の変化に伴うセキュリティルールの変化を示す第１例を示す図である。 図９は、車両の位置を示す図である。 図１０は、車両におけるアプリケーション稼働状況の変化に伴うセキュリティルールの変化を示す第２例を示す図である。 図１１は、車両における通信接続状況の変化に伴うセキュリティルールの変化を示す第３例を示す図である。 図１２は、車両におけるアプリケーション稼働状況および通信接続状況の変化に伴うセキュリティルールの変化を示す第４例を示す図である。 図１３は、変形例に係る車載システムの機能構成を示すブロック図である。 図１４は、アプリケーションの仕様からセキュリティルールテーブルが生成される例を示す図である。
　［本開示が解決しようとする課題］
　車載ネットワークにおいては、車両において稼働しているアプリケーションプログラム（例えばユーザ向けのアプリケーションプログラムであり、以下、単にアプリケーションという）の切替えが行われる。また、車外装置（例えばサーバコンピュータ等）との接続状態等に応じて車外通信パラメータ（例えば、通信先ＩＰアドレス、ポート番号等のネットワーク情報、通信量等）が変動する。したがって、サイバーセキュリティ攻撃への対策を行うには、車載装置の限られたリソースを用いてセキュリティルールを動的に制御する必要がある。しかし、特許文献１に開示された方法は、特徴量の機械学習における計算コストが高く（即ち、演算処理による負荷が大きく）、多くのリソースが必要である。また、機械学習結果を利用する際にも多くのリソースが必要である。そのため、リソースが限られている車載装置において、特許文献１に開示された方法を適用することは困難である。
　したがって、本開示は、低い計算コストによりセキュリティルールを決定でき、搭載されている車両におけるアプリケーションの稼働状況および車外装置との接続状態の少なくともいずれか１つに応じてセキュリティルールを動的に制御できる車載装置、サーバコンピュータ、通信システム、制御方法およびコンピュータプログラムを提供することを目的とする。
　［発明の効果］
　本開示によれば、低い計算コストによりセキュリティルールを決定でき、搭載されている車両におけるアプリケーションの稼働状況および車外装置との接続状態の少なくともいずれか１つに応じてセキュリティルールを動的に制御できる車載装置、サーバコンピュータ、通信システム、制御方法およびコンピュータプログラムを提供できる。
　［本開示の実施形態の説明］
　本開示の実施形態の内容を列記して説明する。以下に記載する実施形態の少なくとも一部を任意に組合せてもよい。
　（１）本開示の第１の局面に係る車載装置は、車両に搭載される車載装置であって、車両の車両情報および車両の外部に関する路側情報を含む路車情報に基づいて生成されたセキュリティルールに従って、車両の外部にある外部装置と通信する通信部に、外部装置との通信を制限させ、車両情報は、車両において稼働しているアプリケーションを特定するアプリケーション稼働情報および外部装置との通信接続状態を表す接続情報の少なくともいずれか１つを含む。これにより、低い計算コストによりセキュリティルールを決定でき、車載装置が搭載されている車両におけるアプリケーションの稼働状況および外部装置との接続状態に応じてセキュリティルールを動的に制御できる。
　（２）上記（１）において、車載装置は、セキュリティルールを外部装置から受信できる。これにより、車載装置におけるセキュリティルールを決定するための演算処理による負荷を削減できる。
　（３）上記（１）において、車載装置は、外部装置から、路側情報を取得する路側情報取得部と、路側情報に車両情報を加えて路車情報を生成する路車情報生成部と、路車情報に基づいて車外通信パラメータ判定情報を決定する決定部と、車外通信パラメータ判定情報に基づいてセキュリティルールを生成するセキュリティルール生成部とをさらに含んでいてもよい。これにより、車両におけるアプリケーションの稼働状況および外部装置との接続状態に応じて適切なセキュリティルールを決定できる。
　（４）上記（３）において、路車情報は、アプリケーション稼働情報および接続情報の少なくともいずれか１つに加えて、位置情報および地図情報の少なくとも１つを含んでいてもよい。これにより、適切なセキュリティルールを生成するための車外通信パラメータを決定できる。
　（５）上記（３）または（４）において、車外通信パラメータ判定情報は、アプリケーション稼働情報および接続情報の少なくとも１つを含んでいてもよい。これにより、適切なセキュリティルールを生成できる。
　（６）上記（５）において、車外通信パラメータ判定情報は、少なくともアプリケーション稼働情報を含んでいてもよく、セキュリティルール生成部は、アプリケーション稼働情報により稼働しているアプリケーションがないことを特定した場合、第１通信フィルタしきい値を含むセキュリティルールを生成し、アプリケーション稼働情報により車両のドア開閉を制御するアプリケーションを特定した場合、第１通信フィルタしきい値よりも大きい第２通信フィルタしきい値を含むセキュリティルールを生成してもよい。これにより、車両の駐車時且つ認証前（即ち、稼働アプリケーションがない）において、想定される通信量（即ち第１通信フィルタしきい値）を超えるデータが車載システムに対して送信された場合、送信データをフィルタ可能になる。したがって、例えばＤｏＳ（Ｄｅｎｉａｌ　ｏｆ　Ｓｅｒｖｉｃｅ）攻撃に対策可能になる。
　（７）上記（５）または（６）において、車外通信パラメータ判定情報は、少なくともアプリケーション稼働情報を含んでいてもよく、セキュリティルール生成部は、アプリケーション稼働情報により稼働しているアプリケーションがないことを特定した場合、アクセス許可を含まないセキュリティルールを生成し、アプリケーション稼働情報により運転支援アプリケーションが稼働していることを特定した場合、運転支援アプリケーションにサービスを提供する外部装置へのアクセス許可を含むセキュリティルールを生成してもよい。これにより、車両が、運転支援サービス対象外のエリアに位置する場合に（即ち、稼働アプリケーションがない場合に）、車載システムに想定しない通信先からのアクセスがあった際に、そのアクセスを制限できる。例えば、通信先を偽ったアクセス（即ち、なりすまし）への対策が可能になる。
　（８）上記（５）から（７）のいずれか１つにおいて、車外通信パラメータ判定情報は、少なくとも接続情報を含んでいてもよく、セキュリティルール生成部は、路車情報から特定される車両の位置が、複数の交差点を含む第１領域内にある場合に、第１領域に対応する接続情報により特定される第３通信フィルタしきい値を含むセキュリティルールを生成し、路車情報から特定される車両の位置が、第１領域よりも狭く、１つの交差点を含む第２領域内にある場合に、第２領域に対応する接続情報により特定される第４通信フィルタしきい値を含むセキュリティルールを生成してもよく、第４通信フィルタしきい値は、第３通信フィルタしきい値よりも大きくてもよい。これにより、車両が、第１領域（例えばクラウド通信エリア）内に位置する場合に、接続状態から想定される通信量（即ち第３通信フィルタしきい値）を超えるデータが車載システムに対して送信された場合、送信データをフィルタ可能になる。したがって、例えばＤｏＳ攻撃に対策可能になる。
　（９）上記（５）において、車外通信パラメータ判定情報は、アプリケーション稼働情報を含んでいてもよく、セキュリティルール生成部は、車外通信パラメータ判定情報により、車両において複数のアプリケーションが稼働していることを特定した場合、稼働している複数のアプリケーションの各々に関するセキュリティルールテーブルを生成し、複数のセキュリティルールテーブルを統合してセキュリティルールを生成してもよい。これにより、１つの通信部の通信を制限するセキュリティルールを効率よく生成できる。
　（１０）上記（４）から（９）のいずれか１つにおいて、決定部は、路車情報が接続情報を含んでいなければ、当該路車情報から、車外通信パラメータ判定情報として接続情報を生成してもよい。これにより、路車情報から稼働情報、接続情報を生成でき、適切なセキュリティルールを生成できる。
　（１１）上記（１）から（１０）のいずれか１つにおいて、セキュリティルールは、通信部による通信に関するアクセス頻度、通信速度、セッション数、ＳＹＮパケット数、通信先の通信アドレス、および、通信先のポート番号の少なくとも１つに関する制限を含んでいてもよい。これにより、通信部による通信の安全性を向上できる。
　（１２）上記（１）から（１１）のいずれか１つにおいて、車載装置は、セキュリティルールを更新する更新部をさらに含んでいてもよく、更新部は、通信部により、車両において稼働させる新たなアプリケーション、または、車両において稼働しているアプリケーションの更新アプリケーションが受信されたことを受けて、セキュリティルールを更新してもよい。これにより、セキュリティルールを適切な状態に維持できる。
　（１３）上記（１２）において、新たなアプリケーションまたは更新アプリケーションに対応する新たなセキュリティルールは、外部装置から受信されてもよく、更新部は、新たなセキュリティルールを用いて、セキュリティルールを更新してもよい。これにより、アプリケーションの稼働状況に応じてセキュリティルールを決定するための演算処理による負荷をより軽減できる。
　（１４）本開示の第２の局面に係るサーバコンピュータは、車両に搭載される車載装置に、車載装置による車両の外部との通信を制限するセキュリティルールを、車両の車両情報および車両の外部に関する路側情報を含む路車情報に基づいて生成する生成部と、車載装置に、セキュリティルールを送信する通信部とを含み、車両情報は、車両において稼働しているアプリケーションを特定するアプリケーション稼働情報および外部装置との通信接続状態を表す接続情報の少なくともいずれか１つを含む。これにより、車載システムは、車両におけるアプリケーションの稼働状況および外部装置との接続状態に応じたセキュリティルールに従って、車外との通信を動的に制御できる。
　（１５）上記（１４）において、通信部は、車載装置から、車両情報を受信することができ、サーバコンピュータは、路側情報に、通信部により受信された車両情報を加えて路車情報を生成する路車情報生成部と、路車情報に基づいて車外通信パラメータ判定情報を決定する決定部とさらに含むことができ、生成部は、車外通信パラメータ判定情報に基づいてセキュリティルールを生成するができる。これにより、車載装置においてセキュリティルールを決定するための演算処理による負荷を削減できる。
　（１６）本開示の第３の局面に係る通信システムは、上記（１）から（１３）のいずれか１つに記載の車載装置と、上記（１４）に記載のサーバコンピュータとを含み、車載装置は、車両に搭載された通信部に、サーバコンピュータを外部装置として通信させる。これにより、車載装置は、車両におけるアプリケーションの稼働状況および外部装置との接続状態に応じてセキュリティルールを動的に制御できる。
　（１７）本開示の第４の局面に係る通信システムは、上記（１）または（２）に記載の車載装置と、上記（１５）に記載のサーバコンピュータとを含み、車載装置は、車両に搭載された通信部に、サーバコンピュータを外部装置として通信させる。これにより、車載装置は、車両におけるアプリケーションの稼働状況および外部装置との接続状態に応じてセキュリティルールを動的に制御できる。
　（１８）本開示の第５の局面に係る制御方法は、車両に搭載される車載システムの制御方法であって、車載システムに含まれる車載装置が、車両の車両情報および車両の外部に関する路側情報を含む路車情報に基づいて生成されたセキュリティルールに従って、車両の外部にある外部装置と通信する通信部に、外部装置との通信を制限させるステップを含み、車両情報は、車両において稼働しているアプリケーションを特定するアプリケーション稼働情報および外部装置との通信接続状態を表す接続情報の少なくともいずれか１つを含む。これにより、車載装置は、車両におけるアプリケーションの稼働状況および外部装置との接続状態に応じてセキュリティルールを動的に制御できる。
　（１９）本開示の第６の局面に係るコンピュータプログラムは、車両に搭載されるコンピュータに、車両の車両情報および車両の外部に関する路側情報を含む路車情報に基づいて生成されたセキュリティルールに従って、車両の外部にある外部装置と通信する通信部に、外部装置との通信を制限させる機能を実現させ、車両情報は、車両において稼働しているアプリケーションを特定するアプリケーション稼働情報および外部装置との通信接続状態を表す接続情報の少なくともいずれか１つを含む。これにより、車載装置は、車両におけるアプリケーションの稼働状況および外部装置との接続状態に応じてセキュリティルールを動的に制御できる。
　［本開示の実施形態の詳細］
　以下の実施形態においては、同一の部品には同一の参照番号を付してある。それらの名称および機能も同一である。したがって、それらについての詳細な説明は繰返さない。
　［全体構成］
　図１を参照して、本開示の実施形態に係る通信システム１００は、車載システム１０２が搭載された車両１０４と、基地局１０８およびネットワーク１１０を介して車載システム１０２と通信可能なサーバ（即ちサーバコンピュータ）１１２とを含む。通信システム１００は、路側に固定して設置された、センサを含む路側機１０６を含んでいてもよい。サーバ１１２は、車載システム１０２に運転支援情報を送信する等のサービスを提供する。車載システム１０２および路側機１０６は、サーバ１１２により送信される運転支援情報の生成に利用されるデータをサーバ１１２に送信する（以下、アップロードともいう）。
　基地局１０８は、例えば、４Ｇ（即ち第４世代移動通信システム）回線および５Ｇ（即ち第５世代移動通信システム）回線等による移動通信サービスを提供している。基地局１０８はネットワーク１１０に接続されている。車両１０４に搭載されている車載システム１０２は、基地局１０８がサービスしている通信仕様（即ち４Ｇ回線、５Ｇ回線等）による通信機能を有している。路側機１０６も、基地局１０８を介してネットワーク１１０に接続されている。なお、サーバ１１２と車載システム１０２および路側機１０６との通信は、ネットワーク１１０を介した通信に限定されず、Ｗｉ－Ｆｉ等の無線通信であってもよい。また、サーバ１１２と固定設置される路側機１０６との通信は、基地局１０８を介さない有線による通信であってもよい。
　車両１０４が搭載しているセンサ（以下、車載センサともいう）により取得されたセンサデータは、車載システム１０２において解析され、解析結果は動的情報として記憶される。動的情報は、自車両の自動運転機能において使用される。また、センサデータおよび動的情報は、車載システム１０２からサーバ１１２にアップロードされる。
　路側機１０６は路側に設置され、センサ（以下、インフラセンサともいう）により路側における情報を取得する。センサデータは、路側機１０６において解析され、動的物体等が検出される。センサデータおよび解析結果は、路側機１０６からサーバ１１２にアップロードされる。図１に示した車両１０４は、路側機１０６が有するインフラセンサの検出対象であり、動的物体として検出される。
　動的情報は、センサ（即ち、インフラセンサおよび車載センサ）により検出された動的物体に関する情報である。動的物体は、移動している物体（例えば、人および車両等）に限らず、移動機能を有しているが停止している物体をも含む。動的情報は、自車両の自動運転に用いるための運転支援情報として使用される。また、動的情報はサーバ１１２に送信されて、サーバ１１２から車両（車両１０４および車両１０４以外の車両を含む）に送信される運転支援情報の生成に利用される。
　図１には、１つの基地局１０８、１つの路側機１０６、車載システム１０２が搭載された１つの車両１０４を示している。しかしこれは例示に過ぎない。通常、複数の基地局が設けられ、車載システムが搭載されている複数台の車両が存在する。サーバ１１２と通信可能な車載システムを搭載していない車両が存在してもよい。車載システムを搭載していない車両は、動的物体として検出される。
　［車載システムのハードウェア構成］
　図２を参照して、車両１０４に搭載されている車載システム１０２のハードウェア構成の一例を示す。車載システム１０２は、車外通信部１２０、車載装置１２２、センサ１２４、自動運転ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）１２６、認証ＥＣＵ１２８、駆動ＥＣＵ１３０およびバス１３２を含む。なお、車載システム１０２は、複数のＥＣＵを含み、図２には一例として自動運転ＥＣＵ１２６、認証ＥＣＵ１２８および駆動ＥＣＵ１３０を示している。
　車外通信部１２０は、車両１０４の外部装置と無線通信（例えば、基地局１０８を介したサーバ１１２等との通信）を行う。車外通信部１２０は、無線通信において採用されている変調および多重化を行うためのＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）、所定周波数の電波を送信および受信するためのアンテナ、並びにＲＦ（Ｒａｄｉｏ　Ｆｒｅｑｕｅｎｃｙ）回路等を含む。車外通信部１２０は、車両１０４の現在位置を特定するための情報を取得するために、ＧＰＳ（Ｇｌｏｂａｌ　Ｐｏｓｉｔｉｏｎｉｎｇ　Ｓｙｓｔｅｍ）等のＧＮＳＳ（Ｇｌｏｂａｌ　Ｎａｖｉｇａｔｉｏｎ　Ｓａｔｅｌｌｉｔｅ　Ｓｙｓｔｅｍ、全地球衛星測位システム）との通信機能をも有する。車外通信部１２０は、Ｗｉ－Ｆｉ等の通信機能も有していてもよい。
　車載装置１２２は、制御部１４０およびメモリ１４２を含む。制御部１４０は、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）を含んで構成されており、メモリ１４２を制御する。メモリ１４２は、例えば、書換可能な不揮発性の半導体メモリであり、制御部１４０が実行するコンピュータプログラム（以下、単にプログラムという）を記憶している。メモリ１４２は、制御部１４０が実行するプログラムのワーク領域を提供する。制御部１４０は処理対象のデータを、車外通信部１２０からは直接取得し、車外通信部１２０以外からはバス１３２を介して取得する。制御部１４０は、車外通信部１２０から受信したデータおよびバス１３２を介して受信したデータを適宜メモリ１４２に記憶する。制御部１４０は、処理結果をメモリ１４２に記憶し、バス１３２に出力する。
　車載装置１２２は、車外との通信機能（具体的には通信仕様）と車内における通信機能（即ち通信仕様）とを接合するゲートウェイとしての役割（即ち通信プロトコル変換等）を担う。自動運転ＥＣＵ１２６および認証ＥＣＵ１２８等は、車載装置１２２および車外通信部１２０を介して、外部装置と通信できる。車載装置１２２は、後述するように、車外との通信に関するセキュリティルールの制御を実行する。また、車載装置１２２は、例えば、車外通信部１２０を介して外部から受信する情報のうち、運転支援情報を、自動運転ＥＣＵ１２６に伝送する。バス１３２は、車載システム内における通信機能を担う。車載装置１２２、センサ１２４、自動運転ＥＣＵ１２６、認証ＥＣＵ１２８および駆動ＥＣＵ１３０に関して、相互間の通信（即ちデータ交換）は、バス１３２を介して行われる。バス１３２には、例えば、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）が使用される。
　センサ１２４は、車両１０４に搭載され、車両１０４外部の情報を取得するためのセンサ（例えばビデオ映像の撮像装置（例えば、デジタルカメラ（ＣＣＤ（Ｃｈａｒｇｅ－Ｃｏｕｐｌｅｄ　Ｄｅｖｉｃｅ）カメラ、ＣＭＯＳ（Ｃｏｍｐｌｅｍｅｎｔａｒｙ　Ｍｅｔａｌ－Ｏｘｉｄｅ　Ｓｅｍｉｃｏｎｄｕｃｔｏｒ）カメラ））、レーザセンサ（ＬｉＤＡＲ）等）を含む。なお、センサ１２４は、車両自体の情報を取得するためのセンサ（加速度センサ、荷重センサ等）を含んでいてもよい。センサ１２４は、検知範囲（カメラの場合であれば撮像範囲）内の情報を取得してセンサデータとして出力する。センサ１２４が、デジタルカメラであれば、デジタルの画像データを出力する。センサ１２４の検出信号（即ちアナログまたはデジタル信号）は、Ｉ／Ｆ部（図示せず）を介して、デジタルデータとしてバス１３２に出力され、車載装置１２２および自動運転ＥＣＵ１２６等に送信される。
　自動運転ＥＣＵ１２６は、車両１０４の走行を制御する。例えば、自動運転ＥＣＵ１２６は、センサ１２４からセンサデータを取得し、それを解析して車両周囲の状況を把握し、自動運転に関連する機構である駆動ＥＣＵ１３０に伝送する。駆動ＥＣＵ１３０は駆動部１３４（例えば、エンジン、モータ、変速機、ステアリングおよびブレーキ等の機構）を制御する。自動運転ＥＣＵ１２６は、車載装置１２２から取得した運転支援情報を自動運転に利用する。認証ＥＣＵ１２８は、後述するように、車両１０４のドアロックの開錠等を許可するためにユーザ認証を実行する。
　［路側機のハードウェア構成］
　図３を参照して、路側機１０６のハードウェア構成の一例を示す。路側機１０６は、通信部１５０、制御部１５２、センサ１５４、メモリ１５６およびバス１５８を含む。制御部１５２、センサ１５４およびメモリ１５６の間のデータ交換はバス１５８を介して行われる。通信部１５０は、サーバ１１２からデータを受信し、サーバ１１２に対してデータを送信する。通信部１５０は、送信データを制御部１５２から取得し、受信データを制御部１５２に出力する。通信部１５０による受信データは、適宜メモリ１５６に記憶される。
　制御部１５２は、例えばＣＰＵを含んで構成されている。メモリ１５６は、例えば、書換可能な不揮発性の半導体メモリであり、制御部１５２が実行するプログラムを記憶している。メモリ１５６は、制御部１５２が実行するプログラムのワーク領域を提供する。メモリ１５６は、ハードディスクドライブ等の大容量記憶装置を含んでいてもよい。センサ１５４は、路側機１０６外部の情報を取得するためのセンサであり、例えば、イメージセンサ（例えばデジタルの監視カメラ等）、レーダ（例えばミリ波レーダ等）、またはレーザセンサ（例えばＬｉＤＡＲ等）等を含む。センサ１５４は、検知範囲（例えば、カメラの場合であれば撮像範囲）内の情報を取得してセンサデータとして出力する。センサデータは、メモリ１５６に記憶される。
　制御部１５２は、メモリ１５６からセンサデータを読出し、通信部１５０に出力する。これにより、センサ１５４のセンサデータは、通信部１５０からサーバ１１２に送信される。また、制御部１５２は、メモリ１５６からセンサデータを読出して解析する。解析結果として、動的物体等が検出される。制御部１５２は、検出された動的物体等の情報を通信部１５０に出力する。これにより、制御部１５２の解析結果は、通信部１５０からサーバ１１２に送信され、サーバ１１２は、後述するように、車両１０４の外部に関する情報（以下、路側情報という）を生成できる。
　［サーバのハードウェア構成］
　図４を参照して、サーバ１１２は、各部を制御する制御部１６０と、データを記憶するメモリ１６２と、通信を行う通信部１６４と、各部の間においてデータを交換するためのバス１６６とを含む。制御部１６０は、ＣＰＵを含んで構成されており、各部を制御することにより、後述する機能を実現する。メモリ１６２は、書換可能な半導体の不揮発性メモリおよびハードディスクドライブ等の大容量記憶装置を含む。通信部１６４は、車載システム１０２および路側機１０６からアップロードされるデータを受信する。通信部１６４により受信されたデータは、メモリ１６２に伝送されて記憶される。サーバ１１２は、受信したデータを解析して路側情報を生成し、車載システム１０２に送信する。サーバ１１２が運転支援サービスを提供している場合、受信したデータを解析して運転支援情報を生成し、車両（即ち車載システム）に送信する。
　［車載システムの機能的構成］
　図５を参照して、車載装置１２２の機能、即ちセキュリティルールを制御する機能に関して説明する。車載装置１２２は、路側情報取得部２００、路車情報生成部２０２、車外通信パラメータ判定情報決定部２０４およびセキュリティルール生成部２０６を含む。路側情報取得部２００、路車情報生成部２０２、車外通信パラメータ判定情報決定部２０４およびセキュリティルール生成部２０６の各機能は、図２に示した制御部１４０およびメモリ１４２により実現される。車外通信部１２０は、パケットフィルタ等の通信のセキュリティを実行するセキュリティ部２０８を含む。車載装置１２２は、後述するように、決定されたセキュリティルールをセキュリティ部２０８に出力し、セキュリティ部２０８に、入力されたルールに従って車外通信部１２０により実行される通信を制限させる。
　路側情報取得部２００は、車外通信部１２０によりサーバ１１２から送信される路側情報を取得する。路側情報は、車載システム１０２の外部に関する情報であり、地図情報を含む。地図情報は、例えば、車載システム１０２の周囲の道路地図、および、車載システム１０２と通信可能なサーバ等の車外装置の配置情報（以下、車外装置マップという）を含む。車外装置マップに基づき、各サーバ等の通信領域が明らかとなり、車外装置と車両の通信接続状態を導出できる。車外装置マップは、後述する接続情報（即ち、外部装置との通信接続状態を表す情報）を直接取得できない場合に利用される。取得された路側情報は、メモリ１４２に記憶される。
　路車情報生成部２０２は、車外通信部１２０、自動運転ＥＣＵ１２６および駆動ＥＣＵ１３０等から取得した情報（以下、車両情報という）に、路側情報取得部２００により取得された路側情報を加えて、路車情報を生成する。生成された路車情報は、メモリ１４２に記憶される。車両情報は、例えば、車両１０４の位置を表す位置情報、車両１０４において稼働しているユーザ向けのアプリケーションを特定するアプリケーション稼働情報、および、外部装置との通信接続状態を表す接続情報とを含む。したがって、路車情報は、例えば、位置情報、地図情報、アプリケーション稼働情報、および接続情報を含む。路車情報生成部２０２は、例えばバス１３２を介して車載システム１０２内の各部と通信することにより車両１０４において稼働しているアプリケーションを特定し、アプリケーション稼働情報を生成できる。これにより、後述するように、適切なセキュリティルールを生成するための車外通信パラメータを決定できる。
　アプリケーションとは、例えば、サーバ１１２から提供されるサービスを受けるために車載システム１０２において実行されるプログラムである。アプリケーションは、車両１０４において実行され得るプログラムであればよく、車載装置１２２が実行するプログラムに限らず、自動運転ＥＣＵ１２６、認証ＥＣＵ１２８および駆動ＥＣＵ１３０等のＥＣＵが実行するプログラムをも含む。
　なお、路車情報が接続情報を含んでいない場合、即ち、路車情報生成部２０２が接続情報を取得できない場合がある。そのような場合であっても、後述するように、路車情報に含まれる情報から、接続情報を生成できる。したがって、路車情報は、上記した情報のうち、少なくとも一部を含んでいればよい。
　車外通信パラメータ判定情報決定部２０４は、路車情報生成部２０２により作成された路車情報から車外通信パラメータ判定情報を決定する。決定された車外通信パラメータ判定情報は、メモリ１４２に記憶される。車外通信パラメータ判定情報は、車外通信部１２０と車両１０４の外部との無線通信に関するセキュリティルールを決定するための情報、即ち、車外との通信に関する車外通信パラメータのうち、セキュリティルールにより制限するパラメータを判定するために利用される情報である。車外通信パラメータ判定情報は、例えば、アプリケーション稼働情報および接続情報を含む。これにより、後述するように、適切なセキュリティルールを生成できる。路車情報がアプリケーション稼働情報および接続情報のいずれかを含む場合、車外通信パラメータ判定情報決定部２０４は、路車情報に含まれるその情報を、車外通信パラメータ判定情報として決定する。
　上記したように、路車情報は、接続情報を含んでいない場合もある。その場合には、車外通信パラメータ判定情報決定部２０４は、路車情報に含まれていない接続情報を間接的に決定する。即ち、車外通信パラメータ判定情報決定部２０４は、路車情報に含まれている情報から、含まれていない接続情報を推定する。例えば、車外通信パラメータ判定情報決定部２０４は、路車情報に含まれる位置情報および地図情報（車外装置マップを含む）により、車外通信部１２０が通信接続している外部装置（例えば、ＩＰアドレスおよびポート番号）およびその通信状態（例えば、通信速度）を推測でき、したがって接続情報を決定できる。これにより、路車情報から接続情報を生成でき、適切なセキュリティルールを生成できる。
　セキュリティルール生成部２０６は、車外通信パラメータ判定情報決定部２０４により決定された車外通信パラメータ判定情報から、セキュリティルールを生成する。車外通信部１２０による通信に関するパラメータである車外通信パラメータは、例えば、外部からのアクセス頻度、通信量（即ち通信速度）、通信確立されたセッションの数、通信確立するために通信されるＳＹＮパケットの数、通信先ＩＰアドレス、および通信先ポート番号を含む。これにより、後述するように、車外通信部１２０による通信の安全性を向上できる。車外通信パラメータは、これらに限定されない。セキュリティルール生成部２０６は、車外通信パラメータ判定情報（例えば、アプリケーション稼働情報および接続情報）から、制限すべき車外通信パラメータを特定し、その制限内容を決定し、例えば、車外通信パラメータと制限内容とを対応させたテーブル（以下、セキュリティルールテーブルという）を生成し、セキュリティルールとする。セキュリティルール生成部２０６は、決定したセキュリティルールを車外通信部１２０のセキュリティ部２０８に出力する。また、セキュリティルール生成部２０６は、生成したセキュリティルールをメモリ１４２に記憶する。
　アプリケーション稼働情報によりアプリケーションが特定されるので、そのアプリケーションによる車外通信の仕様が分かれば、セキュリティルール生成部２０６は車外通信パラメータを決定でき、アプリケーション毎のセキュリティルールテーブルを生成し、メモリ１４２に記憶できる。したがって、予め各アプリケーションの通信仕様がメモリ１４２に記憶されていればよい。例えば、各アプリケーションが解析されて通信仕様がメモリ１４２に記憶されてもよい。車載システム１０２にダウンロードされて記憶されているアプリケーションを解析することにより、そのアプリケーションの通信条件（例えば、通信先ＩＰアドレス、通信先ポート番号、通信量等）を特定でき、セキュリティルールテーブルを生成できる。また、後述するように、アプリケーションの通信仕様は、サーバからダウンロードされてメモリ１４２に記憶されていてもよい。なお、複数のアプリケーションが起動される場合には、各アプリケーションに対応する車外通信パラメータが得られるが、制限される車外通信経路は１つの車外通信部１２０であるので、セキュリティルール生成部２０６は、複数のセキュリティルールテーブルを統合する。例えば、複数のセキュリティルールテーブルの各々に通信量が含まれる場合、それらの合計値を含むセキュリティルールが生成される。複数のセキュリティルールテーブルの各々に通信先ＩＰアドレスおよび通信先ポート番号の組が含まれる場合、それら全てを含むセキュリティルールが生成される。これにより、車外通信部１２０の通信を制限するセキュリティルールを効率よく生成できる。
　セキュリティ部２０８は入力されたセキュリティルールを内部メモリに記憶し、セキュリティルールに従って、車外通信部１２０により実行される通信を制限する。したがって、車外通信部１２０による通信の安全性を向上できる。路側情報取得部２００、路車情報生成部２０２、車外通信パラメータ判定情報決定部２０４、セキュリティルール生成部２０６およびセキュリティルール生成部２０６による上記の処理は、繰返し実行され、セキュリティルールは繰返し生成される。車両１０４におけるアプリケーションの稼働状況および外部装置との接続状態の変化に応じて路車情報が変化し、その変化に応じて車外通信パラメータ判定情報が変化する。したがって、車両１０４におけるアプリケーションの稼働状況および外部装置との接続状態の変化に応じて、セキュリティルールは変化する。セキュリティ部２０８は、新たにセキュリティルール生成部２０６からセキュリティルールが入力されると、内部メモリに記憶しているセキュリティルールを、新たなセキュリティルールにより書き換えて更新する。
　これにより、車載システム１０２（具体的には車載装置１２２）は、搭載されている車両１０４におけるアプリケーションの稼働状況および外部装置との接続状態に応じて適切なセキュリティルールを決定できる。また、車載システム１０２は、車両１０４におけるアプリケーションの稼働状況および外部装置との接続状態の変化に応じてセキュリティルールを動的に制御できる。したがって、サイバーセキュリティ攻撃に対策でき、外部との通信の安全性を向上できる。セキュリティルールの決定は、車両１０４の内部において取得可能な情報、およびサーバから取得可能な情報を処理することにより可能であるので、機械学習等の多くのリソースが必要な処理を実行することなく、低い計算コストにより実現できる。
　なお、上記においては、セキュリティルール生成部２０６が、アプリケーション毎のセキュリティルールテーブルを記憶する場合を説明したが、これに限定されない。セキュリティルール生成部２０６は、アプリケーション毎に、セキュリティルールを生成するために用いられる車外通信パラメータを記憶していればよい。記憶形式はテーブル以外の形式であってもよい。
　［車載装置の動作］
　図６を参照して、車載装置１２２によるセキュリティルールの制御動作に関して、図５に示した機能を参照しつつ説明する。図６に示した処理は、車載バッテリ等から車載システム１０２に電力が供給され、車載装置１２２の制御部１４０（図２参照）が所定のプログラムをメモリ１４２から読出して実行することにより実現される。なお、以下に示す処理が実行された結果は、適宜メモリ１４２に記憶される。
　ステップ３００において、制御部１４０は、車外通信部１２０を介して路側情報を受信したか否かを判定する。受信したと判定された場合、制御はステップ３０２に移行する。そうでなければ、制御はステップ３０４に移行する。路側情報は、例えばサーバ１１２から送信される。
　ステップ３０２において、制御部１４０は、ステップ３００により受信した路側情報をメモリ１４２に記憶する。その後、制御はステップ３０４に移行する。ステップ３００およびステップ３０２の処理は、図５の路側情報取得部２００の機能に対応する。
　ステップ３０４において、制御部１４０は、車載システム１０２が搭載されている車両１０４の車両情報を取得する。制御部１４０は、取得した車両情報をメモリ１４２に記憶する。その後、制御はステップ３０６に移行する。車両情報は、例えば、車両１０４の位置情報、アプリケーション稼働情報および接続情報を含む。車両１０４は、車両情報を車外通信部１２０、自動運転ＥＣＵ１２６および駆動ＥＣＵ１３０等から取得する。
　ステップ３０６において、制御部１４０は、ステップ３０４により取得した車両情報およびステップ３００により受信した路側情報をメモリ１４２から読出し、車両情報と路側情報とを合わせて路車情報を生成し、メモリ１４２に記憶する。車両情報および路側情報に重複する情報が含まれていれば、制御部１４０は、路車情報には重複する情報のうちの１つを残す。その後、制御はステップ３０８に移行する。ステップ３０４およびステップ３０６の処理は、図５の路車情報生成部２０２の機能に対応する。
　ステップ３０８において、制御部１４０は、ステップ３０６により生成された路車情報に基づいて、車外通信パラメータ判定情報を決定し、メモリ１４２に記憶する。その後、制御はステップ３１０に移行する。ステップ３０８の処理は、図５に示した車外通信パラメータ判定情報決定部２０４の機能に対応する。
　ステップ３１０において、制御部１４０は、ステップ３０８により決定された車外通信パラメータ判定情報に基づいてセキュリティルールを生成する。その後、制御はステップ３１２に移行する。
　ステップ３１２において、制御部１４０は、セキュリティルールをセキュリティ部２０８に出力する。その後、制御はステップ３１４に移行する。ステップ３１０およびステップ３１２の処理は、図５に示したセキュリティルール生成部２０６の機能に対応する。
　ステップ３１４において、制御部１４０は、終了するか否かを判定する。終了すると判定された場合、本プログラムは終了する。そうでなければ、制御はステップ３００に戻り、上記した処理が繰返される。終了の指示は、例えば、車載装置１２２への電力供給が停止されることにより成される。
　［セキュリティ部の動作］
　図７を参照して、車外通信部１２０のセキュリティ部２０８（図５参照）による通信を制限する動作に関して説明する。図７に示した処理は、例えば、セキュリティ部２０８内部の制御部（例えばＣＰＵ）がセキュリティ部２０８の内部メモリから所定のプログラムを読出して実行することにより実現される。
　ステップ４００において、セキュリティ部２０８は、車載装置１２２からセキュリティルールを取得したか否かを判定する。取得したと判定された場合、制御はステップ４０２に移行する。そうでなければ、制御はステップ４０４に移行する。セキュリティルールは、図６に示したステップ３１２により、車載装置１２２からセキュリティ部２０８に出力される。
　ステップ４０２において、セキュリティ部２０８は、現在使用しているセキュリティルールを更新する。具体的には、セキュリティ部２０８は、現在使用しているセキュリティルールを、ステップ４００により取得したセキュリティルールにより代替する（例えば、セキュリティ部２０８の内部メモリにおいて上書きする）。その後、制御はステップ４０４に移行する。
　ステップ４０４において、セキュリティ部２０８は、セキュリティルールに反する通信があったか否かを判定する。あったと判定された場合、制御はステップ４０６に移行する。そうでなければ、制御はステップ４０８に移行する。セキュリティルールに反する通信とは、セキュリティルールとして規定されている車外通信パラメータの範囲を逸脱する通信を意味する。例えば、セキュリティルールが、車外通信パラメータとして通信量を含み、そのしきい値（即ち上限値）がａ（ｂｐｓ）に設定されていれば、車両１０４の外部からａ（ｂｐｓ）を超えるデータを受信した場合、セキュリティ部２０８はセキュリティルールに反する通信があったと判定する。例えば、セキュリティルールが、車外通信パラメータとして通信先ＩＰアドレスを含んでいれば、通信先ＩＰアドレスとは異なるＩＰアドレスを送信元アドレスとして含むパケットデータを受信した場合、セキュリティ部２０８はセキュリティルールに反する通信があったと判定する。
　なお、ステップ４０４の処理を実行する期間は、セキュリティルールに含まれる車外通信パラメータによって変わり得る。例えば、セキュリティルールが、車外通信パラメータとして通信先ＩＰアドレスを含んでいれば、セキュリティ部２０８は、受信したパケット毎に、当該パケットに含まれる送信元アドレスが通信先ＩＰアドレスであるか否かを判定すればよい。一方、セキュリティルールが、車外通信パラメータとして通信量（しきい値はａ（ｂｐｓ））を含む場合、所定期間にわたって受信したパケットをバッファし、その合計値がａ（ｂｐｓ）以下であるか否かを判定する。
　ステップ４０６において、セキュリティ部２０８は、セキュリティルールに則ったデータのみを通信可能とする。即ち、セキュリティ部２０８は、ステップ４０４によりセキュリティルールに反すると判定された受信パケットを破棄し、そのパケットをアプリケーションには渡さない。セキュリティ部２０８は、ステップ４０４によりセキュリティルールに反しないと判定された受信パケットを、そのパケットに含まれるポート番号に対応するアプリケーションに渡す。その後、制御はステップ４１０に移行する。
　ステップ４０８において、セキュリティ部２０８は、受信した全データを通信可能とし、各パケットを、そのパケットに含まれるポート番号に対応するアプリケーションに渡す。その後、制御はステップ４１０に移行する。
　ステップ４１０において、セキュリティ部２０８は、終了するか否かを判定する。終了すると判定された場合、本プログラムは終了する。そうでなければ、制御はステップ４００に戻り、上記した処理が繰返される。終了の指示は、例えば車外通信部１２０への電力供給が停止されることにより成される。
　以上により、車載システム１０２（具体的には車載装置１２２）は、搭載されている車両１０４におけるアプリケーションの稼働状況および外部装置との接続状態に応じた適切なセキュリティルールを決定できる。また、車載システム１０２は、車両１０４におけるアプリケーションの稼働状況および外部装置との接続状態の変化に応じて、セキュリティルールを動的に制御できる。したがって、車載システム１０２は、サイバーセキュリティ攻撃に対策でき、外部との通信の安全性を向上できる。セキュリティルールの決定は、車両１０４の内部において取得可能な情報、およびサーバから取得可能な情報を処理することにより可能であるので、機械学習等の多くのリソースが必要な処理を実行することなく、低い計算コストにより実現できる。
　上記においては、ゲートウェイとしての役割を担う車載装置１２２がセキュリティルールを制御する機能を有する場合を説明したが、これに限定されない。車載システム１０２を構成する車載装置１２２以外の要素（例えば車外通信部１２０）がセキュリティルールを制御する機能を有していてもよい。また、車載システム１０２は、セキュリティルールを制御するための専用ＥＣＵを有していてもよい。車外通信部１２０および専用ＥＣＵ等も、車両１０４に搭載されており車載装置に含まれる。
　図８から図１２を参照して具体例を示す。
　［第１例］
　図８を参照して、セキュリティルールの生成に利用される車外通信パラメータ判定情報に含まれるアプリケーション稼働情報を直接的に決定する例に関して説明する。ここでは、車両１０４の駐車時に車両１０４のドアがロックされており、認証後に車両１０４のドアを開閉（即ち開錠および施錠）するアプリケーションが起動するとする。図８の左側には、車両１０４の駐車時且つ認証前の情報を示している。図８の右側には、車両１０４の駐車時且つ認証後の情報を示している。認証には、例えばユーザのスマートフォンが利用され、車載システム１０２の認証ＥＣＵ１２８（図２参照）は、車外通信部１２０を介してユーザのスマートフォンと通信する。例えば、ユーザのスマートフォンから送信される認証用トリガ信号を、車載システム１０２の認証ＥＣＵ１２８が受信する。
　路車情報は、アプリケーション稼働情報を含む。上記したように、車載装置１２２は、車載システム１０２の各部と通信し、路車情報に含まれるアプリケーション稼働情報を取得できる。車両１０４は停車中でありドアが施錠されており、稼働しているアプリケーションはなく、路車情報に含まれるアプリケーション稼働情報には、稼働しているアプリケーションがないことを表す情報（例えば「なし」）が設定されている。車載装置１２２は、認証前であることを、認証ＥＣＵ１２８が認証用トリガ信号を受信していないことにより特定できる。車載装置１２２は、路車情報に含まれるアプリケーション稼働情報から直接、車外通信パラメータ判定情報のアプリケーション稼働情報を「なし」と決定する。その結果、車載装置１２２は、セキュリティルールとして、通信量の制限に対応する通信フィルタしきい値（即ち上限値）をＴｈ１に設定する。Ｔｈ１は、車載装置１２２が車外通信部１２０を介して外部（即ち、ユーザのスマートフォン）から認証用トリガ信号を受信できるだけの小さい値である。Ｔｈ１は、適切な値が予め設定されていればよい。
　認証ＥＣＵ１２８が認証用トリガ信号を受信すると認証が行われ、車載装置１２２は、認証ＥＣＵ１２８から認証後を表す情報を取得する。車載装置１２２は、車両１０４が、駐車時且つ認証後であると特定できる。また、車載装置１２２は、車載システム１０２の各部との通信を試み、ドア開閉アプリケーションが稼働していることを特定し、路車情報に含まれるアプリケーション稼働情報に、ドア開閉アプリケーションを特定する情報（即ち「ドア開閉」）を設定する。車載装置１２２は、路車情報に含まれるアプリケーション稼働情報から直接、車外通信パラメータ判定情報のアプリケーション稼働情報を「ドア開閉」と決定する。図８においては、アプリケーションを特定する情報としてアプリケーションの名称を用いる場合を示しているが、各アプリケーションに一意に対応する数字、記号、またはそれらの組合せ等を用いてもよい。車外通信パラメータ判定情報から、車載装置１２２は、セキュリティルールとして、通信量の制限に関する通信フィルタしきい値をＴｈ２に設定する。Ｔｈ２は、Ｔｈ１よりも大きい値である。例えば、ユーザによるスマートフォンの画面操作（例えば、タッチパネルに表示されている施錠ボタンまたは開錠ボタンへのタッチ操作）によりスマートフォンから送信されるデータ（例えば、施錠または開錠を特定するコードを含む）を受信できる値に、Ｔｈ２が設定されていればよい。また、ドア開閉アプリケーション以外のアプリケーションが稼働することを想定して、それらによる通信データ量をも考慮して、Ｔｈ２が決定されてもよい。なお、予め、車載システム１０２において起動され得るアプリケーションとその車外通信パラメータ（例えば、通信量、通信先ＩＰアドレスおよび通信先ポート番号等）とを対応させてメモリ１４２に記憶しておけば、アプリケーション稼働情報に基づいてセキュリティルールを生成できる。
　これにより、車両１０４の駐車時且つ認証前において、想定される通信量（即ちＴｈ１）を超えるデータが車載システム１０２に対して送信された場合、送信データをフィルタ可能になる。したがって、例えばＤｏＳ攻撃に対策可能になる。
　［第２例］
　セキュリティルールの生成に利用される車外通信パラメータ判定情報に含まれるアプリケーション稼働情報を直接的に決定する、図８と異なる例を、図９および図１０に示す。ここでは、図９を参照して、交差点を含むエッジサービス領域２２２において、エッジサーバ（図示せず）による運転支援サービスが提供されており、エッジサービス領域２２２を含む広いクラウドサービス領域２２０においてはサービスが提供されていないとする。図９において、現在の車両の位置を実線により示し、過去の位置を破線により示している。車両１０４Ｂおよび車両１０４Ａは、同じ車両１０４の現在および過去の車両位置を示している。各車両の走行方向を矢印により示している。
　図１０を参照して、左側には、車両１０４Ａが、エッジサービス領域２２２外の直線道路に位置しているときの情報を示している。図１０の右側には、車両１０４Ｂが、エッジサービス領域２２２内に位置しているときの情報を示している。路車情報は、アプリケーション稼働情報を含む。エッジサービス領域２２２外の直線道路に位置している車両１０４Ａの車載装置１２２は、車載システム１０２の各部との通信を試み、稼働しているアプリケーションはないことを特定し、路車情報に含まれるアプリケーション稼働情報には「なし」を設定する。これにより、車載装置１２２は、路車情報に含まれるアプリケーション稼働情報から直接、車外通信パラメータ判定情報のアプリケーション稼働情報を「なし」と決定する。その結果、車載装置１２２は、セキュリティルールとして、通信アクセス許可はなし、即ち、車外との通信を許可しないことを設定する。
　エッジサービス領域２２２内の交差点の右折ラインに位置している車両１０４Ｂの車載装置１２２は、車載システム１０２の各部との通信を試み、右折支援アプリケーションが稼働していることを特定し、路車情報に含まれるアプリケーション稼働情報に、右折支援アプリケーションを特定する情報（即ち「右折支援」）を設定する。これにより、車載装置１２２は、路車情報に含まれるアプリケーション稼働情報から直接、車外通信パラメータ判定情報のアプリケーション稼働情報を「右折支援」と決定する。この車外通信パラメータ判定情報から、車載装置１２２は、右折支援情報のサービスを提供しているエッジサーバとの通信アクセスを許可する。即ち、車載装置１２２は、通信先ＩＰアドレスおよび通信先ポート番号に、エッジサーバのＩＰアドレスおよびポート番号を含むセキュリティルールを生成する。
　これにより、車両１０４が、サービス対象外のエリアに位置している場合に、車載システム１０２に想定しない通信先からのアクセスがあった際に、そのアクセスを制限できる。例えば、通信先を偽ったアクセス（即ち、なりすまし）への対策が可能になる。
　［第３例］
　図１１を参照して、セキュリティルールの生成に利用される車外通信パラメータ判定情報に含まれる接続情報（即ち、外部装置との通信接続状態を表す情報）を間接的に決定する例に関して説明する。ここでは、車両１０４の位置は、第２例（図９参照）と同様に変化するとする。但し、第３例においては、第２例と異なり、エッジサービス領域２２２外のクラウドサービス領域２２０において、車載システム１０２がクラウドサーバ（図示せず）と通信するとする。なお、ここでは、接続情報に関して説明し、稼働アプリケーション情報に関しては省略する。
　図１１を参照して、左側には、車両１０４Ａが、クラウドサービス領域２２０内であるがエッジサービス領域２２２外の道路に位置しているときの情報を示し、右側には、車両１０４Ｂが、エッジサービス領域２２２内の道路に位置しているときの情報を示している。路車情報は、例えば、位置情報および地図情報を含み、接続情報を含まない。車両１０４Ａの車載装置１２２は、路車情報（例えば、位置情報および地図情報）から、車両位置を、エッジサービス領域２２２外のクラウドサービス領域２２０（即ち、クラウド通信エリア）と特定できる。車載装置１２２は、車外通信パラメータ判定情報の接続情報をクラウド接続と決定する。その結果、車載装置１２２は、セキュリティルールとして、通信量の制限に対応する通信フィルタしきい値（即ち上限値）をＴｈ３に設定する。Ｔｈ３は、クラウドサーバが提供しているサービスに基づいて予め設定されていればよい。
　車両１０４Ｂの車載装置１２２は、路車情報から、車両位置を、エッジサービス領域２２２内（即ち、エッジサーバ通信エリア）と特定できる。車載装置１２２は、車外通信パラメータ判定情報の接続情報をエッジサーバ接続と決定する。その結果、車載装置１２２は、セキュリティルールとして、通信量の制限に対応する通信フィルタしきい値をＴｈ４に設定する。Ｔｈ４は、エッジサーバが提供しているサービス（例えば、右折支援サービス）に基づいて予め設定されていればよい。一般に、車載システムと、交差点等の狭域におけるサービスを提供するエッジサーバとの通信は、車両の近くに人等の動的物体が多く、広域におけるサービスを提供するクラウドサーバとの通信よりもリアルタイム性は高いと考えられる。したがって、例えばＴｈ４＞Ｔｈ３と設定される。
　これにより、車両１０４が、クラウド通信エリア内に位置する場合に、接続状態から想定される通信量を超えるデータが車載システム１０２に対して送信された場合、送信データをフィルタ可能になる。したがって、例えばＤｏＳ攻撃に対策可能になる。
　［第４例］
　図１２を参照して、複数のアプリケーションが稼働している状態を含む場合にセキュリティルールが生成される例に関して説明する。ここでは、車両１０４の位置は、第２例（図９参照）と同様に変化するとする。但し、第４例においては、第２例と異なり、エッジサービス領域２２２を含むクラウドサービス領域２２０において、車載システム１０２が経路案内アプリケーションを稼働してクラウドサーバと通信するとする。
　図１２を参照して、左側には、車両１０４Ａの位置が、クラウドサービス領域２２０内であるがエッジサービス領域２２２外の道路に位置しているときの情報を示し、右側には、車両１０４Ｂの位置が、エッジサービス領域２２２内の道路に位置しているときの情報を示している。路車情報は、例えば、位置情報、地図情報およびアプリケーション稼働情報を含む。車両１０４Ａの車載装置１２２は、路車情報に含まれる位置情報および地図情報から、車両位置を、クラウドサービス領域２２０（即ち、クラウド通信エリア）と特定できる。これにより、車載装置１２２は、車外通信パラメータ判定情報の接続情報に「クラウド接続」を設定する。また、車載装置１２２は、車載システム１０２の各部との通信を試み、経路案内アプリケーションが稼働していることを特定し、路車情報に含まれるアプリケーション稼働情報に、経路案内アプリケーションを特定する情報（即ち「経路案内」）を設定する。これにより、車載装置１２２は、路車情報に含まれるアプリケーション稼働情報から直接、車外通信パラメータ判定情報のアプリケーション稼働情報に「経路案内」を設定する。この車外通信パラメータ判定情報（即ち、接続情報が「クラウド接続」、アプリケーション稼働情報が「経路案内」）から、車載装置１２２は、経路案内のサービスを提供しているクラウドサーバとの通信アクセスを許可する。即ち、車載装置１２２は、通信先ＩＰアドレスおよび通信先ポート番号に、クラウドサーバのＩＰアドレスおよびポート番号を含み、通信量の制限に対応する通信フィルタしきい値（即ち上限値）がａ（Ｍｂｐｓ）であるセキュリティルールを生成する。ａ（Ｍｂｐｓ）は、経路案内サービスに基づいて予め設定されていればよい。
　車両１０４Ｂの車載装置１２２は、路車情報に含まれる位置情報および地図情報から、車両位置を、クラウドサービス領域２２０に含まれるエッジサービス領域２２２内の交差点の右折ラインと特定できる。これにより、車載装置１２２は、車外通信パラメータ判定情報の接続情報に「クラウド接続」および「エッジサーバ接続」を設定する。また、車載装置１２２は、車載システム１０２の各部との通信を試み、既に稼働している経路案内アプリケーションに加えて、右折支援アプリケーションが稼働していることを特定し、路車情報に含まれるアプリケーション稼働情報に、「経路案内」と右折支援アプリケーションを特定する情報（即ち「右折支援」）とを設定する。これにより、車載装置１２２は、路車情報に含まれるアプリケーション稼働情報から直接、車外通信パラメータ判定情報のアプリケーション稼働情報に、「経路案内」および「右折支援」を設定する。この車外通信パラメータ判定情報（即ち、接続情報が「クラウド接続」および「エッジサーバ接続」、アプリケーション稼働情報が「経路案内」および「右折支援」）から、車載装置１２２は、経路案内のサービスを提供しているクラウドサーバ、および、右折支援のサービスを提供しているエッジサーバとの通信アクセスを許可する。即ち、車載装置１２２は、通信先ＩＰアドレスおよび通信先ポート番号に、クラウドサーバおよびエッジサーバのＩＰアドレスおよびポート番号を含み、通信量の制限に対応する通信フィルタしきい値（即ち上限値）がａ＋ｂ（Ｍｂｐｓ）であるセキュリティルールを生成する。ｂ（Ｍｂｐｓ）は、右折支援サービスに基づいて予め設定された値である。
　これにより、車両１０４がクラウド通信エリアに位置するときに、接続状態から想定される通信量を超えるデータが車載システム１０２に対して送信された場合、送信データをフィルタ可能になる。したがって、例えばＤｏＳ攻撃に対策可能になる。また、車両１０４が、サーバからサービスが提供されるエリアに位置するときに、車載システム１０２に想定しない通信先からのアクセスがあった際に、そのアクセスを制限できる。例えば、通信先を偽った（即ち、成りすまし）アクセスへの対策が可能になる。
　［変形例］
　車両１０４において稼働するアプリケーションは、車載システム１０２により新規にサーバからダウンロードされる場合がある。また、既に、車載システム１０２に記憶されているアプリケーションが更新される場合、即ち、車載システム１０２が、新たなバージョンのアプリケーション（以下、更新アプリケーションという）をサーバからダウンロードする場合がある。いずれの場合にも、車載システム１０２におけるセキュリティルールの生成に影響する。変形例に係る通信システムは、これに対応し、効率的にセキュリティルールを生成できる。
　変形例に係る通信システムは、図１に示した通信システム１００と同様に構成されており、車載システム、路側機およびサーバのハードウェア構成はそれぞれ図２、図３および図４と同様である。但し、変形例に係る通信システムは、通信システム１００とは異なり、車載システムの車載装置の機能構成を示す図５が図１３により代替され、サーバ１１２からアプリケーション（更新アプリケーションを含む）を送信する。以下においては、適宜、図１から図４に示した符号を参照する。
　［変形例に係る車載システムの機能的構成］
　図１３を参照して、変形例に係る車載装置１２２Ａの機能、即ちセキュリティルールの制御に関する機能に関して説明する。車載装置１２２Ａは、路側情報取得部２００、路車情報生成部２０２、車外通信パラメータ判定情報決定部２０４、セキュリティルール生成部２０６およびセキュリティルールテーブル更新部２３０を含む。車外通信部１２０は、パケットフィルタ等の通信のセキュリティを実行するセキュリティ部２０８を含む。図１３は、図５において、セキュリティルールテーブル更新部２３０を追加したものである。図１３において、図５に示した符号と同じ符号を付した要素の機能は、図５と同じである。したがって、以下においては、重複説明を繰返さず、主として、異なる点に関して説明する。
　セキュリティルールテーブル更新部２３０の機能は、路側情報取得部２００、路車情報生成部２０２、車外通信パラメータ判定情報決定部２０４およびセキュリティルール生成部２０６と同様に、図２に示した制御部１４０およびメモリ１４２により実現される。路側情報取得部２００は、車外通信部１２０によりサーバ１１２から送信された路側情報を取得する。路車情報生成部２０２は、車外通信部１２０、自動運転ＥＣＵ１２６および駆動ＥＣＵ１３０等から取得した車両情報に、路側情報取得部２００により取得された路側情報を加えて、路車情報を生成する。車外通信パラメータ判定情報決定部２０４は、路車情報生成部２０２により作成された路車情報から車外通信パラメータ判定情報を決定する。セキュリティルール生成部２０６は、車外通信パラメータ判定情報決定部２０４により決定された車外通信パラメータ判定情報から、セキュリティルールを生成し、生成したセキュリティルールを車外通信部１２０のセキュリティ部２０８に出力する。セキュリティルール生成部２０６は、アプリケーション毎のセキュリティルールテーブルを生成し、メモリ１４２に記憶している。セキュリティ部２０８は入力されたセキュリティルールに従って、車外通信部１２０により実行される通信を制限する。
　セキュリティルールテーブル更新部２３０は、サーバ１１２から新規のアプリケーションまたは更新アプリケーションがダウンロードされたか否かを判定し、ダウンロードされたと判定した場合、セキュリティルールテーブルを更新する。具体的には、新規のアプリケーションがダウンロードされた場合、セキュリティルールテーブル更新部２３０は、ダウンロードされたアプリケーションの通信仕様から、そのアプリケーションの車外通信パラメータを決定し、セキュリティルールテーブルを生成してメモリ１４２に記憶する。更新アプリケーションがダウンロードされた場合、セキュリティルールテーブル更新部２３０は、ダウンロードされたアプリケーションの通信仕様から、そのアプリケーションの車外通信パラメータを決定し、セキュリティルールテーブルを生成し、既にメモリ１４２記憶されている旧バージョンのセキュリティルールテーブルに上書きする。
　図１４を参照して、アプリケーションの仕様を表すアプリケーション仕様情報、および、セキュリティテーブルの例を示す。図１４において、上側に表形式により、右折支援を受けるためのアプリケーション仕様情報を示す。アプリケーション仕様情報は、車載装置１２２がサーバ１１２からダウンロードしたアプリケーションが解析されることにより生成され得る。通信先の欄は、アプリケーションを実行する主体（即ち車載システム１０２）が通信する相手を表し、車外サーバ（即ちサーバ１１２）のＩＰアドレス、および、サービスを特定するためのポート番号を含む。通信内容の欄は、サービスとしてサーバ１１２から送信される情報を表し、サーバ１１２がサービス対象とする交差点を含む所定エリア内における物体（主として動的物体）に関する情報である。通信量の欄には、サーバ１１２から車載システムへの送信の通信量を算出するための情報が含まれている。即ち、所定エリア内における１物体に関して最大ａ（ｂｉｔ）が割当てられ、データが割当てられる物体数の上限はｂであり、サーバ１１２から送信される情報の更新周期はｃ（ｍｓ）であることが含まれている。
　セキュリティルールテーブル更新部２３０は、アプリケーション仕様情報から、図１４の下側に表形式により示すようなセキュリティテーブルを生成する。通信アクセス許可には、通信先である車外サーバ（即ちサーバ１１２）のＩＰアドレスおよびポート番号が設定されている。通信フィルタしきい値（即ち上限値）は、アプリケーション仕様情報の通信量の欄に含まれる情報から算出される値である。
　これにより、ダウンロードされたアプリケーションが稼働すると、車外通信パラメータ判定情報決定部２０４は、メモリ１４２に新たに記憶された車外通信パラメータを用いて車外通信パラメータ特定情報を決定する。決定された車外通信パラメータ特定情報に基づいて、セキュリティルール生成部２０６は、メモリ１４２に記憶された新たなセキュリティルールテーブルを用いて、新たなセキュリティルールを生成する。
　なお、更新アプリケーションが重要なアプリケーションであり、現在稼働しているアプリケーションに代えて速やかに更新アプリケーションを稼働させる必要がある場合がある。そのような場合には速やかに、稼働しているアプリケーションを停止して更新アプリケーションを稼働させ、車外通信パラメータ判定情報決定部２０４に、メモリ１４２に新たに記憶された車外通信パラメータを用いて車外通信パラメータ特定情報を決定させる。これにより、セキュリティルール生成部２０６は、新たなセキュリティルールを生成する。
　このように、アプリケーション（新規プリケーションおよび更新アプリケーションを含む）のダウンロードにより、セキュリティルール（具体的にはセキュリティルールテーブル）を更新することにより、セキュリティルールを適切な状態に維持できる。
　上記においては、車載装置１２２が、サーバ１１２からダウンロードしたアプリケーションを解析することにより、アプリケーション仕様情報が生成される場合を説明したが、これに限定されない。アプリケーション仕様情報は、サーバ１１２から車載装置１２２に送信されてもよい。アプリケーションを送信するサーバ１１２は、アプリケーションの仕様を記憶しているので、アプリケーション仕様情報を生成して車載装置１２２に送信できる。これにより、車載装置１２２におけるセキュリティルールを決定するための演算処理による負荷を削減できる。
　例えば、サーバ１１２は、新規アプリケーションおよび更新アプリケーションを車載システム１０２に送信する際に、アプリケーションの仕様情報を送信する。車載装置１２２は、車載システム１０２において実行されるアプリケーションの仕様情報を車載システム１０２の外部の装置から受信することにより、セキュリティルールを生成するために、稼働するアプリケーションを解析することが不要になる。したがって、車載装置１２２は、アプリケーションの稼働状況に応じてセキュリティルールを決定するための演算処理による負荷をより軽減できる。
　上記においては、車載システム１０２（具体的には車載装置１２２）がセキュリティルールを生成し、それに従って、車外との通信を制限する場合を説明したが、これに限定されない。車両１０４の外部装置（例えば、サーバ１１２または路側機１０６）が、車載システム１０２のセキュリティルールを生成して車載システム１０２に送信し、車載システム１０２が受信したセキュリティルールに従って、車外との通信を制限してもよい。例えば、サーバ１１２は、車載システム１０２による車両１０４の外部との通信を制限するセキュリティルールを、車両１０４の外部に関する情報および車両１０４の車両情報を含む路車情報に基づいて生成する生成部と、車載システム１０２に、セキュリティルールを送信する通信部とを含むことができる。これにより、車載システム１０２は、サーバ１１２から受信したセキュリティルールに従って、車外との通信を動的に制御できる。
　また、サーバ１１２の通信部１６４は、車載システム１０２から、車両１０４の車両情報を受信できる。サーバ１１２は、車両１０４の外部に関する情報である路側情報に、通信部１６４により受信された車両情報を加えて路車情報を生成する路車情報生成部と、路車情報に基づいて車外通信パラメータ判定情報を決定する決定部とさらに含むことができ、生成部は、車外通信パラメータ判定情報に基づいてセキュリティルールを生成するができる。これにより、車載システム１０２においてセキュリティルールを決定するための演算処理による負荷を削減できる。
　なお、上述の実施形態の各処理（各機能）は、１または複数のプロセッサを含む処理回路（Ｃｉｒｃｕｉｔｒｙ）により実現されてもよい。上記処理回路は、上記１または複数のプロセッサに加え、１または複数のメモリ、各種アナログ回路および各種デジタル回路のいずれかが組み合わされた集積回路等により構成されてもよい。上記１または複数のメモリは、上記各処理を上記１または複数のプロセッサに実行させるプログラム（命令）を格納する。上記１または複数のプロセッサは、上記１または複数のメモリから読出した上記プログラムに従い上記各処理を実行してもよいし、予め上記各処理を実行するように設計された論理回路に従って上記各処理を実行してもよい。上記プロセッサは、ＣＰＵ、ＧＰＵ（Ｇｒａｐｈｉｃｓ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ　Ｓｉｇｎａｌ　Ｐｒｏｃｅｓｓｏｒ）、ＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）等、コンピュータの制御に適合する種々のプロセッサであってよい。
　また、車載システム１０２の処理（具体的には、車載装置１２２が実行する処理（例えば、図６に示した処理））をコンピュータに実行させるプログラムを記録した記録媒体を提供できる。記録媒体は、例えば光ディスク（ＤＶＤ（Ｄｉｇｉｔａｌ　Ｖｅｒｓａｔｉｌｅ　Ｄｉｓｃ）等）、着脱可能な半導体メモリ（ＵＳＢ（Ｕｎｉｖｅｒｓａｌ　Ｓｅｒｉａｌ　Ｂｕｓ）メモリ等）である。コンピュータプログラムは通信回線により伝送され得るが、記録媒体は非一時的な記録媒体を意味する。記録媒体に記憶されたプログラムを車両に搭載されたコンピュータに読込ませることにより、コンピュータは、上記したように、車載システムが、路側装置等の外部装置にデータをアップロードする際に、遅延時間および通信帯域を考慮して、外部装置が提供するサービスにより有効に利用され得るデータを送信することを可能とする。
（付記）
　即ち、コンピュータ読取り可能な非一時的な記録媒体は、
　車両に搭載されるコンピュータに、前記車両の車両情報および前記車両の外部に関する情報である路側情報を含む路車情報に基づいて生成されたセキュリティルールに従って、前記車両の外部にある外部装置と通信する通信部に、前記外部装置との通信を制限するセキュリティ機能を実現させ、前記車両情報は、前記車両において稼働しているアプリケーションを特定するアプリケーション稼働情報および前記外部装置との通信接続状態を表す接続情報の少なくともいずれか１つを含む、コンピュータプログラムを記憶している。
　以上、実施の形態を説明することにより本開示を説明したが、上記した実施の形態は例示であって、本開示は上記した実施の形態のみに制限されるわけではない。本開示の範囲は、発明の詳細な説明の記載を参酌した上で、請求の範囲の各請求項によって示され、そこに記載された文言と均等の意味および範囲内での全ての変更を含む。
１００　　通信システム
１０２　　車載システム
１０４、１０４Ａ、１０４Ｂ　　車両
１０６　　路側機
１０８　　基地局
１１０　　ネットワーク
１１２　　サーバ
１２０　　車外通信部
１２２、１２２Ａ　　車載装置
１２４、１５４　　センサ
１２６　　自動運転ＥＣＵ
１２８　　認証ＥＣＵ
１３０　　駆動ＥＣＵ
１３２、１５８、１６６　　バス
１３４　　駆動部
１４０、１５２、１６０　　制御部
１４２、１５６、１６２　　メモリ
１５０、１６４　　通信部
２００　　路側情報取得部
２０２　　路車情報生成部
２０４　　車外通信パラメータ判定情報決定部
２０６　　セキュリティルール生成部
２０８　　セキュリティ部
２２０　　クラウドサービス領域
２２２　　エッジサービス領域
２３０　　セキュリティルールテーブル更新部
３００、３０２、３０４、３０６、３０８、３１０、３１２、３１４、４００、４０２、４０４、４０６、４０８、４１０　　ステップ

Claims (19)

  1. 　車両に搭載される車載装置であって、
    　前記車両の車両情報および前記車両の外部に関する路側情報を含む路車情報に基づいて生成されたセキュリティルールに従って、前記車両の外部にある外部装置と通信する通信部に、前記外部装置との通信を制限させ、
    　前記車両情報は、前記車両において稼働しているアプリケーションを特定するアプリケーション稼働情報および前記外部装置との通信接続状態を表す接続情報の少なくともいずれか１つを含む、車載装置。
  2. 　前記セキュリティルールを前記外部装置から受信する、請求項１に記載の車載装置。
  3. 　前記外部装置から、前記路側情報を取得する路側情報取得部と、
    　前記路側情報に前記車両情報を加えて前記路車情報を生成する路車情報生成部と、
    　前記路車情報に基づいて車外通信パラメータ判定情報を決定する決定部と、
    　前記車外通信パラメータ判定情報に基づいて前記セキュリティルールを生成するセキュリティルール生成部とをさらに含む、請求項１に記載の車載装置。
  4. 　前記路車情報は、前記アプリケーション稼働情報および前記接続情報の少なくともいずれか１つに加えて、位置情報および地図情報の少なくとも１つを含む、請求項３に記載の車載装置。
  5. 　前記車外通信パラメータ判定情報は、前記アプリケーション稼働情報および前記接続情報の少なくとも１つを含む、請求項３または請求項４に記載の車載装置。
  6. 　前記車外通信パラメータ判定情報は、少なくとも前記アプリケーション稼働情報を含み、
    　前記セキュリティルール生成部は、
    　　前記アプリケーション稼働情報により稼働しているアプリケーションがないことを特定した場合、第１通信フィルタしきい値を含む前記セキュリティルールを生成し、
    　　前記アプリケーション稼働情報により前記車両のドア開閉を制御するアプリケーションを特定した場合、前記第１通信フィルタしきい値よりも大きい第２通信フィルタしきい値を含む前記セキュリティルールを生成する、請求項５に記載の車載装置。
  7. 　前記車外通信パラメータ判定情報は、少なくとも前記アプリケーション稼働情報を含み、
    　前記セキュリティルール生成部は、
    　　前記アプリケーション稼働情報により稼働しているアプリケーションがないことを特定した場合、アクセス許可を含まない前記セキュリティルールを生成し、
    　　前記アプリケーション稼働情報により運転支援アプリケーションが稼働していることを特定した場合、前記運転支援アプリケーションにサービスを提供する外部装置へのアクセス許可を含む前記セキュリティルールを生成する、請求項５または請求項６に記載の車載装置。
  8. 　前記車外通信パラメータ判定情報は、少なくとも前記接続情報を含み、
    　前記セキュリティルール生成部は、
    　　前記路車情報から特定される前記車両の位置が、複数の交差点を含む第１領域内にある場合に、前記第１領域に対応する前記接続情報により特定される第３通信フィルタしきい値を含む前記セキュリティルールを生成し、
    　　前記路車情報から特定される前記車両の位置が、前記第１領域よりも狭く、１つの交差点を含む第２領域内にある場合に前記第２領域に対応する前記接続情報により特定される第４通信フィルタしきい値を含む前記セキュリティルールを生成し、
    　前記第４通信フィルタしきい値は、前記第３通信フィルタしきい値よりも大きい、請求項５から請求項７のいずれか１項に記載の車載装置。
  9. 　前記車外通信パラメータ判定情報は、前記アプリケーション稼働情報を含み、
    　前記セキュリティルール生成部は、前記車外通信パラメータ判定情報により、前記車両において複数のアプリケーションが稼働していることを特定した場合、
    　　稼働している前記複数のアプリケーションの各々に関するセキュリティルールテーブルを生成し、
    　　複数の前記セキュリティルールテーブルを統合して前記セキュリティルールを生成する、請求項５に記載の車載装置。
  10. 　前記決定部は、前記路車情報が前記接続情報を含んでいなければ、当該路車情報から、前記車外通信パラメータ判定情報として接続情報を生成する、請求項４から請求項９のいずれか１項に記載の車載装置。
  11. 　前記セキュリティルールは、前記通信部による通信に関するアクセス頻度、通信速度、セッション数、ＳＹＮパケット数、通信先の通信アドレス、および、通信先のポート番号の少なくとも１つに関する制限を含む、請求項１から請求項１０のいずれか１項に記載の車載装置。
  12. 　前記セキュリティルールを更新する更新部をさらに含み、
    　前記更新部は、前記通信部により、前記車両において稼働させる新たなアプリケーション、または、前記車両において稼働しているアプリケーションの更新アプリケーションが受信されたことを受けて、前記セキュリティルールを更新する、請求項１から請求項１１のいずれか１項に記載の車載装置。
  13. 　前記新たなアプリケーションまたは前記更新アプリケーションに対応する新たなセキュリティルールは、前記外部装置から受信され、
    　前記更新部は、前記新たなセキュリティルールを用いて、前記セキュリティルールを更新する、請求項１２に記載の車載装置。
  14. 　車両に搭載される車載装置に、前記車載装置による前記車両の外部との通信を制限するセキュリティルールを、前記車両の車両情報および前記車両の外部に関する路側情報を含む路車情報に基づいて生成する生成部と、
    　前記車載装置に、前記セキュリティルールを送信する通信部とを含み、
    　前記車両情報は、前記車両において稼働しているアプリケーションを特定するアプリケーション稼働情報および前記外部装置との通信接続状態を表す接続情報の少なくともいずれか１つを含む、サーバコンピュータ。
  15. 　前記通信部は、前記車載装置から前記車両情報を受信し、
    　前記路側情報に、前記通信部により受信された前記車両情報を加えて前記路車情報を生成する路車情報生成部と、
    　前記路車情報に基づいて車外通信パラメータ判定情報を決定する決定部とさらに含み、
    　前記生成部は、前記車外通信パラメータ判定情報に基づいて前記セキュリティルールを生成する、請求項１４に記載のサーバコンピュータ。
  16. 　請求項１から請求項１３のいずれか１項に記載の車載装置と、
    　請求項１４に記載のサーバコンピュータとを含み、
    　前記車載装置は、前記車両に搭載された前記通信部に、前記サーバコンピュータを前記外部装置として通信させる、通信システム。
  17. 　請求項１または請求項２に記載の車載装置と、
    　請求項１５に記載のサーバコンピュータとを含み、
    　前記車載装置は、前記車両に搭載された前記通信部に、前記サーバコンピュータを前記外部装置として通信させる、通信システム。
  18. 　車両に搭載される車載システムの制御方法であって、
    　前記車載システムに含まれる車載装置が、前記車両の車両情報および前記車両の外部に関する路側情報を含む路車情報に基づいて生成されたセキュリティルールに従って、車両の外部にある外部装置と通信する通信部に、前記外部装置との通信を制限させるステップを含み、
    　前記車両情報は、前記車両において稼働しているアプリケーションを特定するアプリケーション稼働情報および前記外部装置との通信接続状態を表す接続情報の少なくともいずれか１つを含む、制御方法。
  19. 　車両に搭載されるコンピュータに、前記車両の車両情報および車両の外部に関する路側情報を含む路車情報に基づいて生成されたセキュリティルールに従って、前記車両の外部にある外部装置と通信する通信部に、前記外部装置との通信を制限させる機能を実現させ、
    　前記車両情報は、前記車両において稼働しているアプリケーションを特定するアプリケーション稼働情報および前記外部装置との通信接続状態を表す接続情報の少なくともいずれか１つを含む、コンピュータプログラム。
PCT/JP2023/003740 2023-02-06 2023-02-06 車載装置、サーバコンピュータ、通信システム、制御方法およびコンピュータプログラム Ceased WO2024166158A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
PCT/JP2023/003740 WO2024166158A1 (ja) 2023-02-06 2023-02-06 車載装置、サーバコンピュータ、通信システム、制御方法およびコンピュータプログラム
CN202380093205.6A CN120641899A (zh) 2023-02-06 2023-02-06 车载装置、服务器计算机、通信系统、控制方法以及计算机程序
JP2024575870A JPWO2024166158A1 (ja) 2023-02-06 2023-02-06

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2023/003740 WO2024166158A1 (ja) 2023-02-06 2023-02-06 車載装置、サーバコンピュータ、通信システム、制御方法およびコンピュータプログラム

Publications (1)

Publication Number Publication Date
WO2024166158A1 true WO2024166158A1 (ja) 2024-08-15

Family

ID=92262666

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2023/003740 Ceased WO2024166158A1 (ja) 2023-02-06 2023-02-06 車載装置、サーバコンピュータ、通信システム、制御方法およびコンピュータプログラム

Country Status (3)

Country Link
JP (1) JPWO2024166158A1 (ja)
CN (1) CN120641899A (ja)
WO (1) WO2024166158A1 (ja)

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007065893A (ja) * 2005-08-30 2007-03-15 Mitsubishi Electric Corp プログラム提供装置および車載情報システム
JP2017046080A (ja) * 2015-08-24 2017-03-02 三菱電機株式会社 車載器、車載器プログラム、車車間通信支援装置および車車間通信支援プログラム
JP2020017009A (ja) * 2018-07-24 2020-01-30 ヤンマー株式会社 制御端末
JP2021082064A (ja) * 2019-11-20 2021-05-27 株式会社オートネットワーク技術研究所 車載情報処理装置、プログラム実行制限方法及びコンピュータプログラム
WO2021145144A1 (ja) * 2020-01-14 2021-07-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 侵入経路分析装置および侵入経路分析方法
JP2022045225A (ja) * 2020-09-08 2022-03-18 ソフトバンク株式会社 情報送信装置及びプログラム

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007065893A (ja) * 2005-08-30 2007-03-15 Mitsubishi Electric Corp プログラム提供装置および車載情報システム
JP2017046080A (ja) * 2015-08-24 2017-03-02 三菱電機株式会社 車載器、車載器プログラム、車車間通信支援装置および車車間通信支援プログラム
JP2020017009A (ja) * 2018-07-24 2020-01-30 ヤンマー株式会社 制御端末
JP2021082064A (ja) * 2019-11-20 2021-05-27 株式会社オートネットワーク技術研究所 車載情報処理装置、プログラム実行制限方法及びコンピュータプログラム
WO2021145144A1 (ja) * 2020-01-14 2021-07-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 侵入経路分析装置および侵入経路分析方法
JP2022045225A (ja) * 2020-09-08 2022-03-18 ソフトバンク株式会社 情報送信装置及びプログラム

Also Published As

Publication number Publication date
CN120641899A (zh) 2025-09-12
JPWO2024166158A1 (ja) 2024-08-15

Similar Documents

Publication Publication Date Title
US11546363B2 (en) Anomaly detection device, in-vehicle network system, and anomaly detection method
US10939262B2 (en) System and method for bringing programmability and connectivity into isolated vehicles
EP3995978A1 (en) Abnormality detection device and abnormality detection method
US11652643B2 (en) Verification method, verification apparatus, and storage medium including program stored therein
JP2019133599A (ja) 車載装置、インシデント監視方法
US10938596B2 (en) Switch device, communication control method and communication control program
CN111142509A (zh) 车辆、服务器、车辆控制方法和服务器控制方法
KR20220091335A (ko) 보안 게이트웨이
US11395118B2 (en) Vehicular micro cloud hubs
US12445295B2 (en) Systems and methods of securing vehicle services from denial-of-service attacks using dynamic signature
US11711387B2 (en) Security management device, security management method, and computer program executed by security management device
US20200086827A1 (en) Extra-vehicular communication device, communication control method, and communication control program
WO2024166158A1 (ja) 車載装置、サーバコンピュータ、通信システム、制御方法およびコンピュータプログラム
KR20230008671A (ko) 차량-도로 협업 방법, 차량 탑재 스마트 단말, 클라우드 제어 플랫폼 및 시스템
EP4454306A1 (en) Autonomous vehicle communication gateway architecture
Kiran et al. Cyber security and risk analysis on connected autonomous vehicles
JP2012010022A (ja) 車載通信システム
Rai et al. Security Challenges of IoT-Enabled Vehicular Communications and Their Countermeasures
CN119403018A (zh) 协同照明方法、协同照明装置、车辆及可读存储介质
US20240388629A1 (en) Vehicle data access
US12267351B2 (en) System and method for dynamically updating firewall rules for a vehicle network of a vehicle
Akingboye et al. Study Investigation of the Internet of Vehicle (IoV) Security
Rai et al. Security Challenges of IoT-Enabled
Ng Autonomous System Connectivity
WO2023122586A1 (en) Autonomous vehicle communication gateway architecture

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 23920996

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2024575870

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 2024575870

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 202380093205.6

Country of ref document: CN

NENP Non-entry into the national phase

Ref country code: DE

WWP Wipo information: published in national office

Ref document number: 202380093205.6

Country of ref document: CN

122 Ep: pct application non-entry in european phase

Ref document number: 23920996

Country of ref document: EP

Kind code of ref document: A1