JP2020184651A - 車載制御装置、及び情報処理装置 - Google Patents

Abstract

【課題】車両が外部ネットワークから攻撃を受けた場合に、該車両からの車々間通信のデータの信頼性が担保されない可能性がある。【解決手段】車載制御装置（１３）は、対象車両に搭載される車載制御装置であって、前記対象車両以外の１又は複数の他の車両においてセキュリティ異常が発生したことを示す異常情報を、当該１又は複数の他の車両以外から取得する異常情報取得部と、前記異常情報取得部が前記異常情報を取得した場合に、前記対象車両に異常回避動作を実行させる縮退制御部（１３２）と、を備えている。【選択図】図１

Description

本発明は、車載制御装置、及び情報処理装置に関する。

近年、様々な面で移動体の自動運転に関する開発が進んでいる。たとえば、車両は、通信ネットワークに所属して、該ネットワークのサーバやネットワークに所属する他の車両と通信を行い、自車両に関する情報を外部に送信するとともに、外部から様々な情報を取得して、走行の安全を確保している（特許文献１、２）。

特開２００８−１２３４３５号公報（２００８年５月２９日公開） 特開２０１８−７３００４号公報（２０１８年５月１０日公開）

上記ネットワークでは、ネットワークに所属する１または複数の車両の各制御装置に対してサイバー攻撃を受ける等のセキュリティ異常が発生する場合がある。このような場合、セキュリティ異常が発生している車両に異常な動作が生じ、その結果として他の車両にも危険が及ぶといった虞がある。

また、セキュリティ異常以外にも、ネットワークに所属する各車両に様々な異常が発生する可能性がある。例えば、車両の各部に経年劣化等により不具合が発生し、正常な運転ができなくなる場合がある。あるいは、車両を操作するドライバが、癲癇、心臓発作等急激な体調不良により、正常な運転ができなくなる場合も考えられる。

上記の課題に鑑み、本発明の一態様では、ネットワークに所属する車両に異常が発生した場合に、他の車両において異常回避動作を行うことができる技術を提供することを目的とする。

上記の課題を解決するために、本発明の一態様に係る車載制御装置は、対象車両に搭載される車載制御装置であって、前記対象車両以外の１又は複数の他の車両において異常が発生したことを示す異常情報を、当該１又は複数の他の車両以外から取得する異常情報取得部と、前記異常情報取得部が前記異常情報を取得した場合に、前記対象車両に異常回避動作を実行させる回避制御部と、を備える。

上記の構成によれば、ネットワークに所属する車両に異常が発生した場合に、異常情報を当該異常が発生した車両以外から安全に取得することができ、適切な異常回避動作を実行することができる。

上記一態様に係る車載制御装置において、上記異常は、セキュリティ異常であってもよい。

上記の構成によれば、ネットワークに所属する車両にセキュリティ異常が発生した場合に、異常情報を当該セキュリティ異常が発生した車両以外から安全に取得することができ、適切な異常回避動作を実行することができる。

上記一態様に係る車載制御装置において、前記回避制御部が実行させる異常回避動作には、前記対象車両と前記１又は複数の他の車両との通信を制限する処理が含まれていてもよい。

上記の構成によれば、セキュリティ異常が発生した車両からの信頼性が担保されない通信により、ネットワークに所属する他の車両が被害を受けることを防ぐことができる。

上記一態様に係る車載制御装置において、前記回避制御部が実行させる異常回避動作には、前記１又は複数の他の車両を避けるように前記対象車両を制御する処理が含まれていてもよい。

上記の構成によれば、セキュリティ異常が発生した車両により、ネットワークに所属する他の車両が被害を受けることを防ぐことができる。

上記一態様に係る車載制御装置において、前記異常情報には、セキュリティ異常が発生した車両を識別するための車両識別情報が含まれてもよい。

上記の構成によれば、セキュリティ異常が発生した車両を特定することができるため、セキュリティ異常が発生した車両とネットワークに所属する他の車両との間の事故を防止することができる。

上記一態様に係る車載制御装置において、前記異常情報には、セキュリティ異常が発生した車両の位置情報が含まれてもよい。

上記の構成によれば、セキュリティ異常が発生した車両の位置を特定することができるため、セキュリティ異常が発生した車両とネットワークに所属する他の車両との間の事故を防止することができる。

上記の課題を解決するために、本発明の一態様に係る車載制御装置は、対象車両に搭載される車載制御装置であって、前記対象車両において異常が発生したことを検知する異常検知部と、前記異常検知部が検知した異常を示す異常情報を送信する送信部と、前記送信部が用いる伝送経路として、複数の伝送経路の何れかを選択する選択部とを備える。

上記の構成によれば、異常が発生した場合に、適切な伝送経路を使ってネットワークに所属する他の車両に被害を与えることなく、該異常に関する情報を送信することができる。

上記一態様に係る車載制御装置において、前記異常は、セキュリティ異常であってもよい。

上記の構成によれば、セキュリティ異常が発生した場合に、適切な伝送経路を使ってネットワークに所属する他の車両に被害を与えることなく、該セキュリティ異常に関する情報を送信することができる。

上記一態様に係る車載制御装置において、前記選択部は、前記複数の伝送経路の信頼度を示す信頼度情報を参照して、前記複数の伝送経路の何れかを選択してもよい。

上記の構成によれば、セキュリティ異常が発生した場合に、より信頼度の高い伝送経路を使ってネットワークに所属する他の車両に被害を与えることなく、該セキュリティ異常に関する情報を送信することができる。

上記一態様に係る車載制御装置において、前記異常情報を参照して、前記複数の伝送経路の信頼度を評価する信頼度評価部を更に備えてもよい。

上記の構成によれば、セキュリティ異常が発生した場合に、より信頼度の高い伝送経路を使ってネットワークに所属する他の車両に被害を与えることなく、該セキュリティ異常に関する情報を送信することができる。

上記の課題を解決するために、本発明の一態様に係る車載制御装置は、対象車両に搭載される車載制御装置であって、前記対象車両において異常が発生したことを検知する異常検知部と、前記異常検知部が検知した異常を示す異常情報をフィルタリングすることによってフィルタリング後の異常情報を生成するフィルタリング部と、前記フィルタリング後の異常情報を送信する送信部とを備える。

上記の構成によれば、異常を示す異常情報をフィルタリングしてから必要な異常情報だけを送信することができるため、通信情報量が増加しすぎることを防ぐことができる。

上記一態様に係る車載制御装置において、前記異常は、セキュリティ異常であってもよい。

上記の構成によれば、異常を示す異常情報をフィルタリングしてから必要な異常情報だけを送信することができるため、通信情報量が増加しすぎることを防ぐことができる。

上記の課題を解決するために、本発明の一態様に係る情報処理装置は、１又は複数の第１の車両から、当該１又は複数の第１の車両の状態を示す状態情報を取得する状態情報取得部と、前記状態情報を参照して、前記車両の異常を特定する異常特定部と、前記異常特定部による特定結果を含む異常情報を、１又は複数の第２の車両に送信する送信部と、を備える。

上記の構成によれば、ネットワークに所属する車両に異常が発生した場合に、異常情報を当該異常が発生した車両以外から安全に取得することができ、適切な異常回避動作を実行することができる。

上記一態様に係る情報処理装置において、前記異常は、セキュリティ異常であってもよい。

上記の構成によれば、ネットワークに所属する車両にセキュリティ異常が発生した場合に、異常情報を当該セキュリティ異常が発生した車両以外から安全に取得することができ、適切な異常回避動作を実行することができる。

上記一態様に係る情報処理装置において、前記送信部が用いる伝送経路として、複数の伝送経路の何れかを選択する選択部を備えていてもよい。

上記の構成によれば、セキュリティ異常が発生した場合に、適切な伝送経路を使ってネットワークに所属する他の車両に被害を与えることなく、該セキュリティ異常に関する情報を送信することができる。

上記一態様に係る情報処理装置において、前記異常情報をフィルタリングすることによってフィルタリング後の異常情報を生成するフィルタリング部を備え、前記送信部は、前記異常情報として、前記フィルタリング後の異常情報を送信してもよい。

上記の構成によれば、セキュリティ異常を示す異常情報をフィルタリングしてから必要な異常情報だけを送信することができるため、通信情報量が増加しすぎることを防ぐことができる。

本発明の一態様によれば、ネットワークに所属する車両にセキュリティ異常が発生した場合に、他の車両において異常回避動作を行うことができる技術を提供することができる。

図１は、実施形態１に係る車両システム１の構成を示すブロック図である。 図２は、実施形態１に係る車両システム１で実行される縮退および縮退解除動作についてのフローチャートである。 図３は、実施形態２に係る車両システム１の構成を示すブロック図である。 図４は、実施形態２に係る車両システム１で実行される縮退および縮退解除についてのフローチャートである。 図５は、実施形態３に係る車両システム１の構成を示すブロック図である。 図６は、実施形態４に係る車両システム１の構成を示すブロック図である。

以下、本発明の一側面に係る実施の形態（以下、「本実施形態」とも表記する）を、図面に基づいて説明する。

＜実施形態１＞
以下、本発明の実施形態１を、図面に基づいて説明する。

図１は、本実施形態に係る車両システム１の構成を示すブロック図である。図１に示すように、車両システム１は、サーバ装置１００、車両１０、及び、車両２０を含んでいる。図１に示す例では、簡単のため、車両の数を２としたが、これは本実施形態を限定するものではなく、車両システム１は、任意の数の車両を含むことができる。

（サーバ装置１００）
図１に示すように、サーバ装置１００は、制御部５０、通信部６０、及び、メモリ７０を備えている。通信部６０は、１又は複数の伝送経路を介して、車両１０、２０、並びに他のサーバ装置等との間でデータの送受信を行う。伝送経路の具体例は本実施形態を限定するものではないが、４Ｇ又は５Ｇ通信規格に準じた無線伝送経路を採用することができる。

また、図１に示すように、制御部５０は、データ解析部５１、車両特定・攻撃判定部５２、及び、判定結果通知部５３を備えている。

（データ解析部５１）
データ解析部５１は、ネットワークに所属する各車両、および他のサーバ装置から送信されるデータを解析する。データの解析結果は、車両特定・攻撃判定部５２に供給される。また、データの解析結果は、メモリ７０に格納されてもよい。

（車両特定・攻撃判定部５２）
車両特定・攻撃判定部５２は、データ解析部５１から受信したデータの解析結果に基づいて、セキュリティ異常が発生している場合には、異常が発生している車両の特定、およびセキュリティ攻撃の内容を判定する。判定結果は、判定結果通知部５３に供給される。なお、車両特定・攻撃判定部５２で行われる異常の特定には、セキュリティ異常の発生を判定しない構成の車両から取得した状態情報を参照して、セキュリティ異常の発生を特定する処理と、セキュリティ異常の発生を判定する構成の車両から、セキュリティ異常が発生したことを示す異常情報を取得し、取得した異常情報を参照して対象車両の状態を特定する処理の両方が含まれる。

（判定結果通知部５３）
判定結果通知部５３は、車両特定・攻撃判定部５２から供給される判定結果をメモリ７０に供給する。

（メモリ７０）
メモリ７０は、判定結果通知部５３から供給される判定結果を格納する。

（車両１０）
図１に示すように、車両１０は、第１通信部１１、第２通信部１２、制御部１３、メモリ１４、及び車両各部１５を備えている。

（第１通信部１１、第２通信部１２）
第１通信部１１は、サーバ装置１００の通信部６０との間でデータの送受信を行う。第２通信部１２は、車両１０以外の車両である車両２０（後述）の備える第２通信部２２との間でデータの送受信を行う。

第１通信部１１が通信に用いる具体的な伝送経路は本実施形態を限定するものではないが、一例として４Ｇ又は５Ｇ通信規格に準じた無線伝送経路を採用することができる。また、第２通信部１２が通信に用いる具体的な伝送経路は本実施形態を限定するものではないが、一例として、Ｗｉ−Ｆｉ（登録商標）を採用することができる。

（車両各部１５）
車両各部１５は、車両１０が備える各部の総称であり、例えば、情報系動作部、走行安全系動作部、ボディ系動作部、パワートレイン系動作部、ＥＶ系動作部、及び、これらの各部の間のデータ伝送路であるＣＡＮ（Car Area Network）等が含まれる。

情報系動作部は、ユーザに対し、情報やサービスを提供する装置を備える。一例として、情報系動作部は、オーディオ装置、ナビゲーション装置、およびテレマティクス装置等を備える。ユーザは、これらの装置を操作することにより、車両および周囲の状況に関する情報を取得し、様々なサービスを得ることができる。

走行安全系動作部は、安全運転を支援するための装置を備える。例えば、アイドリングストップ機構、ＡＤＡＳ（先進運転支援システム）制御装置、ＡＢＳ（アンチロックブレーキシステム）、パワーステアリング、エアバック等を備える。

ボディ系動作部は、オートＡ／Ｃ、オートレベリング、ボディコントロールモジュール、パワースライドシステム、パワーテールゲート、およびＢｌｕｅｔｏｏｔｈ（登録商標）ユニット等を備える。車両１０は、Ｂｌｕｅｔｏｏｔｈユニットを介して、携帯型端末等と通信することができる。

パワートレイン系動作部は、車両１０のエンジンで発生した回転エネルギーを、駆動輪に伝えるための装置を備える。例えば、エンジン制御部、及び変速機等を備える。

ＥＶ系動作部は、ＤＣ／ＤＣコンバータ等を備える。

（制御部１３）
図１に示すように、制御部１３は、異常検知部１３１、縮退制御部１３２、及び縮退解除部１３３を備えている。

（異常検知部１３１）
異常検知部１３１は、上記第１通信部１１または第２通信部１２を介して取得した異常情報に基づいて、車両２０においてセキュリティ異常が発生したことを検知する。検知されたセキュリティ異常に関する情報は、縮退制御部１３２に送信される。

上記異常情報には、セキュリティ異常が発生した車両を識別するための車両識別情報が含まれていてもよい。また、上記異常情報には、前記異常情報には、セキュリティ異常が発生した車両の位置情報が含まれていてもよい。

（縮退制御部１３２）
縮退制御部１３２（回避制御部）は、異常検知部１３１がセキュリティ異常の関する情報を検知した場合に、車両１０を縮退状態に遷移させる縮退処理を実行させる。ここで、「縮退処理」には、車両１０に異常回避動作を実行させることが含まれる。異常回避動作には、例えば、車両２０を避けるように車両１０を制御することが含まれてもよい。または、異常回避動作には、例えば、車両２０との通信を制限する処理が含まれてもよい。

（縮退解除部１３３）
縮退解除部１３３では、サーバ装置１００から車両２０が正常状態に復帰したことを示す情報を受信した場合に、車両１０の縮退状態を解除する。

（メモリ１４）
メモリ１４は、判定結果通知部５３から供給される判定結果を格納する。

（車両２０）
車両２０は、車両１０と同様の構成を備える。即ち、車両２０は、第１通信部２１、第２通信部２２、制御部２３、メモリ２４、及び車両各部２５を備えている。

第１通信部２１、第２通信部２２、制御部２３、メモリ２４、及び車両各部２５は、車両１０が備える第１通信部１１、第２通信部１２、制御部１３、メモリ１４、及び車両各部１５と同様の構成であるので、ここでは詳細な説明を繰り返さない。

以下では、本実施形態の車両システム１において、例えば、車両２０にセキュリティ異常が発生した場合の、車両１０に縮退動作および縮退回避動作を行わせる処理の流れを、図２を参照しながら説明する。図２は、本実施形態にかかる車両システム１で実行される縮退および縮退解除動作についてのフローチャートである。

＜縮退・縮退解除動作＞
（ステップＳ１０）
ステップＳ１０で、車両２０の異常検知部２３１が、自車両にセキュリティ異常が発生したことを検知する。

（ステップＳ１２）
ステップＳ１２では、車両２０の第１通信部２１、検知された異常情報をサーバ装置１００に送信する。このとき、異常情報には、セキュリティ異常が発生した車両を識別するための車両識別情報、およびセキュリティ異常が発生した車両の位置情報が含まれる。

（ステップＳ１４）
ステップＳ１４では、サーバ装置１００の通信部６０が、異常情報を車両２０から受信し、データ解析部５１で異常情報を解析する。そして、車両特定・攻撃判定部５２が、解析結果から、攻撃内容を特定する。攻撃内容には、セキュリティ異常が発生した車両、車両の位置、およびセキュリティ攻撃の内容等が含まれる。特定された攻撃内容は、判定結果通知部５３に送信される。

（ステップＳ１６）
ステップＳ１６では、判定結果通知部５３が、受信した攻撃内容に基づいて判定結果を通知する。

（ステップＳ１８）
ステップＳ１８では、サーバ装置１００の通信部６０が、セキュリティ異常に関する判定結果を、車両１０に送信し、車両１０では、第１通信部１１が上記判定結果を受信する。

車両１０の縮退制御部（回避制御部）１３２が、上記判定結果に基づいて、車両１０に異常回避動作を実行させる。異常回避動作には、車両１０と車両２０との通信を制限する処理が含まれてもよい。

（ステップＳ２０）
ステップ２０では、車両１０の縮退制御部１３２が、車両２０を避けるように車両１０を制御する。上記処理は、上記異常回避動作に含まれる。

（ステップＳ２２）
車両システム１に正常に動作する車両１０以外の車両３０が存在する場合には、さらに、ステップＳ２２において、車両１０の第２通信部１２が、該車両３０に車両２０に発生したセキュリティ異常に関する情報を送信し、車両３０と車両２０に発生したセキュリティ異常に関する情報を共有してもよい。

以上で、本実施形態の車両１０（車載制御装置）で実行される縮退動作の処理は終了する。

（ステップＳ２４）
続いて、ステップＳ２４では、サーバ装置１００から車両２０が正常状態に復帰したことを示す正常復帰情報を車両１０の第１通信部１１が受信すると、縮退解除部１３３が、車両１０の縮退状態を解除する。

上述したように、実施形態１によれば、車両２０が、自車両で発生したセキュリティ異常に関する情報を検知してサーバ装置１００に送信し、サーバ装置１００から、正常に動作している車両１０に車両２０で発生したセキュリティ異常に関する情報を送信する。したがって、車両２０に発生したセキュリティ異常に関する情報を安全に車両１０に送信することができ、これによって車両１０が縮退状態を取ることができる。

＜実施形態２＞
上記実施形態１では、車両に発生したセキュリティ異常を、車両側で検知する例について説明した。実施形態２では、車両に発生したセキュリティ異常を、サーバ装置側で検知する例について説明する。

（構成）
図３は、本実施形態に係る車両システム１の構成を示すブロック図である。図３に示すように、本実施形態２の車両システム１は、サーバ装置１００、車両１０、及び、車両２０を含んでいる。以下、本実施形態２における車両システム１の構成で、実施形態１の構成と異なる点のみについて以下に説明する。以下に説明する構成以外は、本実施形態２における車両システム１の構成は、実施形態１における車両システム１の構成と同様である。

（サーバ装置１００）
本実施形態２におけるサーバ装置１００は、制御部５０、通信部６０、及び、メモリ７０を備えている。また、図３に示すように、制御部５０は、データ解析部５１、車両特定・攻撃判定部５２、及び、判定結果通知部５３に加えて、異常検知部５４を備えている。

（車両１０、２０）
図３に示すように、本実施形態２の車両１０（２０）は、実施形態１の車両１０（２０）と同様に、第１通信部１１（２１）、第２通信部１２（２２）、制御部１３（２３）、メモリ１４（２４）、及び車両各部１５（２５）をそれぞれ備えている。しかし、制御部１３（２３）は、異常検知部１３１（２３１）を備えていなくてもよい。

以下では、本実施形態の車両システム１において、例えば、車両２０にセキュリティ異常が発生した場合の、車両１０に縮退動作および縮退回避動作を行わせる処理の流れを、図２を参照しながら説明する。図２は、本実施形態にかかる車両システム１で実行される縮退および縮退解除動作についてのフローチャートである。
＜縮退・縮退解除動作＞
続いて、図４を参照して、本実施形態の車両システム１に属する車両（車載制御装置）１０、２０、およびサーバ装置１００に実行される縮退および縮退解除動作について説明する。図４は、本実施形態の車載制御装置１０、２０、およびサーバ装置１００で実行される縮退および縮退解除動作についてのフローチャートである。

（ステップＳ１１０）
ステップＳ１１０では、車両２０の第１通信部２１が、自車両の車両状態、車両識別子、および車両の位置情報を含む車両状態情報を、サーバ装置１００に送信する。なお、各車両１０および２０は、自車両の状態に関する情報を、定期的にサーバ装置１００に送信しており、これにより、サーバ装置１００は、常時、各車両１０および２０の車両状態を監視している。また、車両状態情報には、セキュリティ異常情報が含まれる。

（ステップＳ１１２）
ステップＳ１１２では、サーバ装置１００の通信部６０が、車両２０から受信した車両状態情報を受信する。そして、異常検知部５４が、受信した車両状態情報に基づいて、車両２０のセキュリティ異常を検知する。

（ステップＳ１１４）
ステップＳ１１４では、データ解析部５１が検知されたセキュリティ異常情報を解析する。解析結果を基に、車両特定・攻撃判定部５２が、攻撃内容を特定する。攻撃内容には、異常が発生している車両を識別する車両識別子、および車両の位置を示す位置情報が含まれる。

（ステップＳ１１６）
ステップＳ１１６では、判定結果通知部５３が、特定された攻撃内容に基づいて監視結果を通知する。監視結果通知情報には、攻撃内容、異常車両情報、および車両の位置情報等が含まれる。異常車両情報には、セキュリティ異常が発生している車両を識別する車両識別子が含まれる。サーバ装置１００の通信部６０は、通知された監視結果を、車両１０に送信する。

（ステップＳ１１８）
ステップＳ１１８では、車両１０の第１通信部１１が、サーバ装置１００から車両２０に関する監視結果を受信する。そして、上記監視結果に基づいて、車両１０の縮退制御部（回避制御部）１３２が、車両１０に異常回避動作を実行させる。

（ステップＳ１２０）
ステップＳ１２０では、車両１０の縮退制御部１３２が、車両２０を避けるように車両１０を制御する。上記処理は、上記異常回避動作に含まれる。

（ステップＳ１２２）
車両システム１に正常に動作する車両１０以外の車両３０が存在する場合には、さらに、ステップＳ１２２において、車両１０の第２通信部１２が、該車両３０に車両２０に発生したセキュリティ異常に関する情報を送信し、車両３０と車両２０に発生したセキュリティ異常に関する情報を共有してもよい。

以上で、本実施形態の車両１０（車載制御装置）で実行される縮退動作の処理は終了する。

（ステップＳ１２４）
ステップＳ１２４では、サーバ装置１００から車両２０が正常状態に復帰したことを示す正常復帰情報を第１通信部１１が受信すると、縮退解除部１３３が、車両１０の縮退状態を解除する。

上述したように、実施形態２によれば、サーバ装置１００は、定期的に、車両１０および２０から車両状態に関する情報を受信している。そして、車両２０にセキュリティ異常が発生した場合に、サーバ装置１００は車両２０に発生したセキュリティ異常を検知する。そして、サーバ装置１００から、車両１０対して、車両２０に発生したセキュリティ異常に関する情報を送信する。したがって、実施形態２によっても、車両２０に発生したセキュリティ異常に関する情報を安全に車両１０に送信することができ、これによって車両１０が縮退状態を取ることができる。

＜実施形態３＞
本実施形態３では、車両システム１に属する車両１０、２０およびサーバ装置１００が、それぞれ伝送経路選択部１３４、２３４、５５をそれぞれ備える。

（構成）
図５は、本実施形態３に係る車両システム１の構成を示すブロック図である。図５に示すように、本実施形態３の車両システム１は、サーバ装置１００、車両１０、及び、車両２０を含んでいる。ここでは、本実施形態３における車両システム１の構成で、実施形態１の構成と異なる点のみ説明する。以下に説明する構成以外は、本実施形態３における車両システム１の構成は、実施形態１における車両システム１の構成と同様である。

（サーバ装置１００）
本実施形態３におけるサーバ装置１００は、制御部５０、通信部６０、及び、メモリ７０を備えている。また、図５に示すように、制御部５０は、データ解析部５１、車両特定・攻撃判定部５２、及び、判定結果通知部５３を備える。これらデータ解析部５１、車両特定・攻撃判定部５２、及び、判定結果通知部５３では、１又は複数の第１の車両から、当該１又は複数の第１の車両の状態を示す状態情報を取得する。これらを総称して状態情報取得部ともいう。

サーバ装置１００は、上記構成に加え、伝送経路選択部５５を備えている。サーバ装置１００は、例えば、ＬＴＥ、４Ｇ、５Ｇ等の信頼度の異なる複数の伝送経路を用いて、ネットワークに所属する車両１０，２０と情報の送受信を行っている。上記伝送経路選択部５５は、送信部（通信部６０）が用いる伝送経路として、上記複数の伝送経路の何れかを選択する。

伝送経路選択部５５は、何れかの車両にセキュリティ異常が発生し、このセキュリティ異常に関する情報を正常に動作している車両に送信する場合には、信頼度の高い伝送経路を選択する。一方、判定結果通知部５３の判定結果が、車両が正常に動作していることを示す場合には、伝送経路選択部５５は、信頼度の低い伝送経路を選択してもよい。また、伝送経路選択部５５は、判定結果通知部５３が判定したセキュリティ異常の内容に関する判定結果に基づいて、深刻度の高いセキュリティ異常が発生した場合には、より信頼度の高い伝送経路を選択する構成としてもよい。

（車両１０、２０）
図５に示すように、本実施形態３の車両１０（２０）は、実施形態１の車両１０（２０）と同様に、第１通信部１１（２１）、第２通信部１２（２２）、制御部１３（２３）、メモリ１４（２４）、及び車両各部１５（２５）をそれぞれ備えている。そして、制御部１３（２３）は、異常検知部１３１（２３１）、縮退制御部１３２（２３２）、及び縮退解除部１３３（２３３）に加え、伝送経路選択部１３４（２３４）を備えている。

上述したように、車両１０（２０）の第１通信部１１（２１）は、サーバ装置１００の通信部６０との間でデータの送受信を行い、第２通信部１２（２２）は、他の車両が備える第２通信部２２（１２）との間でデータの送受信を行う。車両１０（２０）の第１通信部１１（２１）は、上述したように、例えば、ＬＴＥ、４Ｇ、５Ｇ等の信頼度の異なる複数の伝送経路を用いて、サーバ装置１００と通信する。また、車両１０（２０）の第２通信部１２（２２）は、例えば、Ｗｉｆｉ、Ｂｌｕｅｔｏｏｔｈ等の信頼度の異なる複数の伝送経路を用いて、ネットワークに所属する他の車両と情報の送受信を行っている。上記伝送経路選択部１３４（２３４）は、送信部（第１通信部１１（２１）、または第２通信部１２（２２））が用いる伝送経路として、複数の伝送経路の何れかを選択する。

伝送経路選択部（選択部）１３４（２３４）は、前記複数の伝送経路の信頼度を示す信頼度情報を参照して、前記複数の伝送経路の何れかを選択する。例えば、伝送経路選択部１３４（２３４）は、サーバ装置１００との伝送経路、または車両間の伝送経路のうち、信頼度の高い伝送経路を選択してもよい。したがって、ネットワークに所属する車両に発生したセキュリティ異常に関する情報は、車両間通信を利用して直接正常に動作している他の車両に送信するよりも、サーバ装置１００との伝送経路を用いて、一旦、サーバ装置１００にセキュリティ情報を送信したうえで、サーバ装置１００から、ネットワークに所属する他の車両にセキュリティ異常に関する情報を送信する方が、安全である。

また、例えば、車両２０にセキュリティ異常が発生した場合、車両間通信が接続されたままであると、車両２０から正常に動作している車両１０にセキュリティ異常の影響が広がる危険性がある。この場合は、車両間通信を利用する伝送経路を遮断し、サーバ装置１００との伝送経路を利用してセキュリティ異常情報を送信する方が安全である。

また、本実施形態では、サーバ装置１００の伝送経路選択部５５が、上述の複数の伝送経路の中から、車両との伝送経路を選択してもよい。

例えば、サーバ装置１００が、車両２０から車両２０に関する車両状態情報を取得する。この場合、車両２０からの車両状態情報には、車両の識別子、車両の位置情報とともに、車両に発生しているセキュリティ異常の内容が含まれている。サーバ装置１００の伝送経路選択部５５は、サーバ装置１００のデータ解析部５１、車両特定・攻撃判定部５２、及び、判定結果通知部５３で判定された攻撃内容に従って、伝送経路を切り替えて、車両１０に異常情報を送信してもよい。

例えば、上記判定内容が発生したセキュリティ異常が他の車両の安全性に影響を及ぼす危険性がある深刻な異常であることを示している場合には、伝送経路選択部５５は、サーバ装置１００と車両間の伝送経路のうち、信頼性の高い５Ｇ等の伝送経路を選択してもよい。これに対して、上記判定内容が、車両が正常に動作している、または、発生したセキュリティ異常が他の車両の安全性に影響を及ぼす危険性のない軽微な異常であることを示している場合には、伝送経路選択部５５は、サーバ装置１００と車両間の伝送経路のうち、信頼性が比較的低いＬＴＥまたは４Ｇ等の伝送経路を選択してもよい。サーバ装置１００の通信部６０は、伝送経路選択部５５で選択された伝送経路を用いて、車両状態情報を車両に送信する。

また、本実施形態では、車両側の伝送経路選択部１３４（２３４）が、サーバ装置との伝送経路を選択してもよい。

例えば、異常検知部１３１（２３１）が車両のセキュリティ異常を検知した場合、車両側の伝送経路選択部１３４（２３４）が、異常検知部１３１からの異常情報に基づいて、サーバ装置１００との伝送経路を選択する。

上記異常情報が発生したセキュリティ異常が他の車両の安全性に影響を及ぼす危険性がある深刻な異常であることを示している場合には、伝送経路選択部１３４（２３４）は、サーバ装置１００と車両間の伝送経路のうち、信頼性の高い５Ｇ等の伝送経路を選択してもよい。これに対して、上記異常情報が、発生したセキュリティ異常が他の車両の安全性に影響を及ぼす危険性のない軽微な異常であることを示している場合には、伝送経路選択部１３４（２３４）は、サーバ装置１００と車両間の伝送経路のうち、信頼性が比較的低いＬＴＥまたは４Ｇ等の伝送経路を選択してもよい。第１通信部１１（２１）は、伝送経路選択部１３４（２３４）で選択された伝送経路を用いて、情報をサーバ装置１００に送信する。

また、車両間の通信では、ＷｉＦｉ、Ｂｌｕｅｔｏｏｔｈ等複数種類の伝送経路が用いられる。本実施形態では、車両の伝送経路選択部１３４（２３４）が、車両間の伝送経路を選択してもよい。

例えば、車両１０（２０）の異常検知部１３１（２３１）が車両のセキュリティ異常を検知した場合、伝送経路選択部１３４（２３４）は、検知した異常情報に基づいて、車両間の伝送経路を選択する。上記異常情報が発生したセキュリティ異常が他の車両の安全性に影響を及ぼす危険性がある深刻な異常であることを示している場合には、伝送経路選択部１３４（２３４）は、車両間の伝送経路のうち、信頼度の高い伝送経路を選択してもよい。これに対して、上記異常情報が、発生したセキュリティ異常が他の車両の安全性に影響を及ぼす危険性のない軽微な異常であることを示している場合には、伝送経路選択部１３４（２３４）は、車両間の伝送経路のうち、信頼性が比較的低い伝送経路を選択してもよい。第２通信部１２（２２）は、伝送経路選択部１３４（２３４）で選択された伝送経路を用いて、情報を他の車両に送信する。

以下では、本実施形態の車両システム１において、例えば、車両２０にセキュリティ異常が発生した場合の、車両１０に縮退動作および縮退回避動作を行わせる処理の流れを、図２に示した実施形態１における処理の流れとの相違点に絞って説明する。

＜縮退・縮退解除動作＞
（ステップＳ１２）
ステップＳ１２では、車両２０の第２通信部２２が、検知されたセキュリティの異常情報を正常に動作している車両１０に送信する必要がある。

この場合、車両２０の伝送経路選択部５５は、サーバ装置１００との伝送経路を利用して、セキュリティ異常情報をサーバ装置１００に送信するか、車両間の伝送経路を利用して、直接車両１０に送信するかを、それぞれの伝送経路の信頼度を参照して選択する。この場合には、信頼度のより高いサーバ装置１００との伝送経路を利用して、セキュリティ異常情報を送信する。

また、車両２０の伝送経路選択部５５は、伝送経路の信頼度を示す信頼度情報を参照して、前記サーバ装置１００との複数の伝送経路の何れかを選択してもよい。このため、制御部２３は、異常情報を参照して、前記複数の伝送経路の信頼度を評価する信頼度評価部を更に備えていてもよい。

たとえば、異常検知部２３１で検知した異常情報が発生した異常が深刻であることを示す場合には、伝送系路選択部２３４は、サーバ装置１００との伝送経路のうち、信頼度の高い伝送経路を選択してもよい。これに対して、上記異常情報が、発生したセキュリティ異常が他の車両の安全性に影響を及ぼす危険性のない軽微な異常であることを示している場合には、伝送経路選択部２３４は、サーバ装置１００との伝送経路のうち、信頼性が比較的低いＬＴＥ等の伝送経路を選択してもよい。第１通信部２１は、伝送経路選択部２３４で選択された伝送経路を用いて、異常情報をサーバ装置１００に送信する。

（ステップＳ１６）
ステップＳ１６では、サーバ装置１００の通信部６０が、攻撃通知、異常車両情報、異常車両の位置情報等を車両１０に送信する。異常車両情報には、車両識別子が含まれる。

この場合、サーバ装置１００の伝送経路選択部５５が、車両１０との複数の伝送経路の何れかを選択してもよい。上述したように、伝送経路選択部５５は、セキュリティ異常の深刻度が高い場合には、より信頼度の高い伝送経路を選択し、セキュリティ異常の深刻度がそれほど高くない場合には、信頼度が比較的低い伝送経路を選択してもよい。

それ以外の、処理は、図２に示す処理の流れを同様である。

上記実施形態３の処理によれば、車両２０に発生したセキュリティ異常に関する情報を、信頼性の高い伝送経路を利用して、確実に車両２０に送信することができる。また、車両１０と車両２０の間の車両間通信を切断することにより、車両２０に発生したセキュリティ異常の影響が、正常に動作している車両１０に及ぶのを防ぐことができる。

＜実施形態４＞
本実施形態４では、車両システム１に属する車両１０、２０およびサーバ装置１００が、それぞれフィルタリング部１３５、２３５、５６をそれぞれ備える。

（構成）
図６は、本実施形態４に係る車両システム１の構成を示すブロック図である。図６に示すように、本実施形態４の車両システム１は、サーバ装置１００、車両１０、及び、車両２０を含んでいる。ここでは、本実施形態４における車両システム１の構成で、実施形態１の構成と異なる点のみ説明する。以下に説明する構成以外は、本実施形態４における車両システム１の構成は、実施形態１における車両システム１の構成と同様である。

（サーバ装置１００）
本実施形態４におけるサーバ装置１００は、制御部５０、通信部６０、及び、メモリ７０を備えている。また、図６に示すように、制御部５０は、データ解析部５１、車両特定・攻撃判定部５２、及び、判定結果通知部５３を備える。これらデータ解析部５１、車両特定・攻撃判定部５２、及び、判定結果通知部５３では、１又は複数の第１の車両から、当該１又は複数の第１の車両の状態を示す状態情報を取得する。これらを総称して状態情報取得部ともいう。

制御部５０は、上記構成に加え、フィルタリング部５６を備えている。フィルタリング部５６は、車両に関するセキュリティ異常情報を取得すると、異常情報をフィルタリングすることによってフィルタリング後の異常情報を生成する。通信部６０は、フィルタリング部５６でフィルタリングされた後の異常情報を送信する。

フィルタリング部５６は、車両から送信されるセキュリティ異常情報を含めた車両状態情報を取得する。取得した車両状態情報の内容にも基づいて、フィルタリング部５６は、該情報をネットワークに所属する車両１０または２０に送信すべきか否かを切り分ける。

たとえば、車両が正常に動作していることを示す情報を取得した場合またセキュリティ異常の程度が軽微であり、正常に動作している車両に影響が出ない場合には、フィルタリング部５６は該情報をフィルタリングし、通信部６０はこの情報を送信しない構成としてもよい。

これに対して、車両のセキュリティ異常を特定する異常特定部が特定した異常情報が、他の車両に影響を及ぼす危険性のある深刻なものである場合には、該情報はフィルタリング部５６におけるフィルタリングを通過し、通信部６０は、車両１０（２０）に異常情報を送信する。

（車両１０、２０）
図６に示すように、本実施形態４の車両１０（２０）は、実施形態１の車両１０（２０）と同様に、第１通信部１１（２１）、第２通信部１２（２２）、制御部１３（２３）、メモリ１４（２４）、及び車両各部１５（２５）をそれぞれ備えている。そして、制御部１３（２３）は、異常検知部１３１（２３１）、縮退制御部１３２（２３２）、及び縮退解除部１３３（２３３）に加え、フィルタリング部１３５（２３５）を備えている。

本実施形態４では、車両１０（２０）でセキュリティ異常情報の送信を切り分けてもよい。

例えば、車両１０（２０）のフィルタリング部１３５（２３５）は、異常検知部１３１（２３１）が自車両に発生したセキュリティ異常を検知した場合、フィルタリング部１３５（２３５）は、異常検知部が検知したセキュリティ異常を示す異常情報をフィルタリングすることによってフィルタリング後の異常情報を生成する。そして、送信部（第１通信部１１（２１）または第２通信部１２（２２））はフィルタリング後の異常情報を送信する。

上記の場合、セキュリティ情報の内容が深刻で他の車両の安全性に影響を及ぼす危険性がある場合には、該情報は、フィルタリング部１３５（２３５）で行うフィルタリングを通過し、通信部はサーバ装置１００または他の車両にフィルタリング後の異常情報を送信する。

これに対して、セキュリティ情報の内容が軽微で他の車両の安全性に影響を及ぼす危険性がない場合には、該情報はフィルタリング部１３５（２３５）で行うフィルタリングを通過せず、通信部１１（１２）または２１（２２）は、該情報をサーバ装置１００および他の車両に送信しない。

以下では、本実施形態の車両システム１において、例えば、車両２０にセキュリティ異常が発生した場合の、車両１０に縮退動作および縮退回避動作を行わせる処理の流れを、図２に示した実施形態１における処理の流れとの相違点に絞って説明する。

＜サーバ装置１００で異常情報をフィルタリングする場合の処理の流れ＞
本実施形態において、サーバ装置１００で異常情報をフィルタリングする場合は、図２のステップ１８における処理のみが実施形態１と異なるが、それ以外の処理は実施形態１と同様である。したがって、以下では、ステップＳ１８における処理についてのみ説明する。

（ステップＳ１８）
ステップＳ１８では、サーバ装置１００のフィルタリング部５６が、車両に関する異常情報をフィルタリングすることによってフィルタリング後の異常情報を生成する。

この場合、車両２０に発生したセキュリティ異常の程度が軽微であり、正常に動作している車両１０に影響を及す危険性がない場合には、フィルタリング部５６は、該異常情報を含んだフィルタリング後異常情報を生成しない。したがって、通信部６０は、車両２０からの異常情報を、車両１０に送信しない。

これに対して、車両２０に発生したセキュリティ異常の程度が深刻であり、車両１０の安全性に影響を及ぼす危険性がある場合には、フィルタリング部５６は、該異常情報を含んだフィルタリング後の異常情報を生成する。その後、通信部６０は、車両１０にフィルタリング後の異常情報を送信する。

上記ステップ１８以外の処理は、実施形態１における処理と同じであるため、ここでは説明を省略する。

＜車両２０で異常情報をフィルタリングする場合の処理の流れ＞
本実施形態において、車両２０で異常情報をフィルタリングする場合は、図２のステップ１２における処理のみが実施形態１と異なるが、それ以外の処理は実施形態１と同様である。したがって、以下では、ステップＳ１２における処理についてのみ説明する。

（ステップＳ１２）
ステップＳ１２では、車両２０のフィルタリング部２３５が、異常検知部２３１が検知したセキュリティ異常を示す異常情報をフィルタリングすることによってフィルタリング後の異常情報を生成する。

この場合、車両２０に発生したセキュリティ異常の程度が軽微であり、正常に動作している車両１０に影響を及す危険性がない場合には、フィルタリング部２３５は、該異常情報を含んだフィルタリング後異常情報を生成しない。したがって、第１通信部２１は、異常情報を、サーバ装置１０に送信しない。

これに対して、車両２０に発生したセキュリティ異常の程度が深刻であり、車両１０の安全性に影響を及ぼす危険性がある場合には、フィルタリング部２３５は、該異常情報を含んだフィルタリング後の異常情報を生成する。その後、第１通信部２１は、車両１０にフィルタリング後の異常情報を送信する。

上記ステップ１２以外の処理は、実施形態１における処理と同じであるため、ここでは説明を省略する。

上記実施形態４の処理によれば、車両２０に発生したセキュリティ異常に関する情報が他の車両の安全性に影響を及ぼす可能性のある深刻な場合のみ、第１通信部２１がサーバ装置１００に、該情報を送信する。一方、車両２０に発生したセキュリティ異常に関する情報が他の車両の安全性に影響を及ぼす可能性のない軽微なものである場合は、フィルタリング部が情報をフィルタリングし、第１通信部２１は、該情報をサーバ装置１００に送信しない。

また、車両２０の第２通信部２２が、セキュリティ異常情報を、車両間通信によって、車両１０に送信する場合にも、フィルタリング部２３５が、異常情報をフィルタリングしてもよい。この場合にも、セキュリティ異常情報が深刻である場合のみ、フィルタリング部２３５が、この情報を含んだフィルタリング後の異常情報を生成する。その後、第２通信部２２が、フィルタリング後の異常情報を送信する。

したがって、車両システム１間の通信量を増加させることなく、システムの安全性にとって重要なセキュリティ情報のみをサーバ装置または他の車両に送信することができる。結果として、セキュリティに影響を及ぼす重要な情報を確実に送信することができる。

＜実施形態５＞
上記実施形態では、ネットワークに所属する車両にセキュリティ異常が生じた場合の処理に限定して説明した。

しかし、本発明は、セキュリティ異常以外の異常が生じた場合にも、適用することができる。例えば、ネットワークに所属する車両１０（２０）について、経年劣化などにより車両１０（２０）の各部に不具合が生じた場合にも、この不具合に関する情報をサーバ装置１００、または他の車両２０（１０）に送信し、情報を共有することによって、異常回避動作を実行することができる。

また、ネットワークに所属する車両１０（２０）を操作するドライバが、例えば、癲癇、心臓発作等急激な体調不良により正常な運転ができなくなる場合が考えられる。この場合も、当該車両１０（２０）からの異常に関する情報の送信、あるいは当該車両１０（２０）の異常を検出したサーバ装置１００や他の車両か２０（１０）らの情報の送信によって、ネットワークに所属する車両全体が異常回避動作を実行することができる。

〔ソフトウェアによる実現例〕
車載制御装置の制御ブロック（特に異常検知部、縮退解除制御部および縮退解除部）は、集積回路（ＩＣチップ）等に形成された論理回路（ハードウェア）によって実現してもよいし、ソフトウェアによって実現してもよい。

後者の場合、車載制御装置は、各機能を実現するソフトウェアであるプログラムの命令を実行するコンピュータを備えている。このコンピュータは、例えば１つ以上のプロセッサを備えていると共に、上記プログラムを記憶したコンピュータ読み取り可能な記録媒体を備えている。そして、上記コンピュータにおいて、上記プロセッサが上記プログラムを上記記録媒体から読み取って実行することにより、本発明の目的が達成される。上記プロセッサとしては、例えばＣＰＵ（Central Processing Unit）を用いることができる。上記記録媒体としては、「一時的でない有形の媒体」、例えば、ＲＯＭ（Read Only Memory）等の他、テープ、ディスク、カード、半導体メモリ、プログラマブルな論理回路などを用いることができる。また、上記プログラムを展開するＲＡＭ（Random Access Memory）などをさらに備えていてもよい。また、上記プログラムは、該プログラムを伝送可能な任意の伝送媒体（通信ネットワークや放送波等）を介して上記コンピュータに供給されてもよい。なお、本発明の一態様は、上記プログラムが電子的な伝送によって具現化された、搬送波に埋め込まれたデータ信号の形態でも実現され得る。

本発明は上述した各実施形態に限定されるものではなく、請求項に示した範囲で種々の変更が可能であり、異なる実施形態にそれぞれ開示された技術的手段を適宜組み合わせて得られる実施形態についても本発明の技術的範囲に含まれる。

１ 車両システム
１００ サーバ装置
１０、２０、３０ 車両
１１、２１ 第１通信部
１２、２２ 第２通信部
６０ 通信部
１３、２３、５０ 制御部
１４、２４、７０ メモリ
１５、２５ 車両各部
５１ データ解析部
５２ 攻撃判定部
５３ 判定結果通知部
５４、１３１、２３１ 異常検知部
５５、１３４、２３４ 伝送経路選択部
５６、１３５、２３５ フィルタリング部
１３１ 異常検知部
１３２ 縮退制御部
１３３ 縮退解除部

Claims (16)

1. 対象車両に搭載される車載制御装置であって、
   前記対象車両以外の１又は複数の他の車両において異常が発生したことを示す異常情報を、当該１又は複数の他の車両以外から取得する異常情報取得部と、
   前記異常情報取得部が前記異常情報を取得した場合に、前記対象車両に異常回避動作を実行させる回避制御部と、
   を備えていることを特徴とする車載制御装置。
2. 上記異常は、セキュリティ異常であることを特徴とする請求項１に記載の車載制御装置。
3. 前記回避制御部が実行させる異常回避動作には、前記対象車両と前記１又は複数の他の車両との通信を制限する処理が含まれている
   ことを特徴とする請求項１または２に記載の車載制御装置。
4. 前記回避制御部が実行させる異常回避動作には、前記１又は複数の他の車両を避けるように前記対象車両を制御する処理が含まれている
   ことを特徴とする請求項１から３の何れか１項に記載の車載制御装置。
5. 前記異常情報には、セキュリティ異常が発生した車両を識別するための車両識別情報が含まれていることを特徴とする請求項１から４の何れか１項に記載の車載制御装置。
6. 前記異常情報には、セキュリティ異常が発生した車両の位置情報が含まれていることを特徴とする請求項１から５の何れか１項に記載の車載制御装置。
7. 対象車両に搭載される車載制御装置であって、
   前記対象車両において異常が発生したことを検知する異常検知部と、
   前記異常検知部が検知した異常を示す異常情報を送信する送信部と、
   前記送信部が用いる伝送経路として、複数の伝送経路の何れかを選択する選択部と
   を備えていることを特徴とする車載制御装置。
8. 前記異常は、セキュリティ異常であることを特徴とする請求項７に記載の車載制御装置。
9. 前記選択部は、前記複数の伝送経路の信頼度を示す信頼度情報を参照して、前記複数の伝送経路の何れかを選択する請求項７または８に記載の車載制御装置。
10. 前記異常情報を参照して、前記複数の伝送経路の信頼度を評価する信頼度評価部を更に備えていることを特徴とする請求項９に記載の車載制御装置。
11. 対象車両に搭載される車載制御装置であって、
    前記対象車両において異常が発生したことを検知する異常検知部と、
    前記異常検知部が検知した異常を示す異常情報をフィルタリングすることによってフィルタリング後の異常情報を生成するフィルタリング部と、
    前記フィルタリング後の異常情報を送信する送信部と
    を備えていることを特徴とする車載制御装置。
12. 上記異常は、セキュリティ異常であることを特徴とする請求項１１に記載の車載制御装置。
13. １又は複数の第１の車両から、当該１又は複数の第１の車両の状態を示す状態情報を取得する状態情報取得部と、
    前記状態情報を参照して、前記車両の異常を特定する異常特定部と、
    前記異常特定部による特定結果を含む異常情報を、１又は複数の第２の車両に送信する送信部と
    を備えていることを特徴とする情報処理装置。
14. 上記異常は、セキュリティ異常であることを特徴とする請求項１３に記載の情報処理装置。
15. 前記送信部が用いる伝送経路として、複数の伝送経路の何れかを選択する選択部を備えていることを特徴とする請求項１３または１４に記載の情報処理装置。
16. 前記異常情報をフィルタリングすることによってフィルタリング後の異常情報を生成するフィルタリング部を備え、
    前記送信部は、前記異常情報として、前記フィルタリング後の異常情報を送信する
    ことを特徴とする請求項１３から１５の何れか１項に記載の情報処理装置。

Images