WO2022091371A1 - 車載コンピュータ、コンピュータプログラム、コンピュータ読み取り可能な記録媒体、及びセキュリティ設定方法 - Google Patents
車載コンピュータ、コンピュータプログラム、コンピュータ読み取り可能な記録媒体、及びセキュリティ設定方法 Download PDFInfo
- Publication number
- WO2022091371A1 WO2022091371A1 PCT/JP2020/040906 JP2020040906W WO2022091371A1 WO 2022091371 A1 WO2022091371 A1 WO 2022091371A1 JP 2020040906 W JP2020040906 W JP 2020040906W WO 2022091371 A1 WO2022091371 A1 WO 2022091371A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- data
- vehicle
- security
- risk
- vehicle computer
- Prior art date
Links
- 238000000034 method Methods 0.000 title claims description 34
- 238000004590 computer program Methods 0.000 title description 4
- 238000004891 communication Methods 0.000 claims abstract description 43
- 238000012502 risk assessment Methods 0.000 claims abstract description 21
- 230000005856 abnormality Effects 0.000 claims description 110
- 238000012545 processing Methods 0.000 claims description 63
- 238000001514 detection method Methods 0.000 claims description 30
- 230000007257 malfunction Effects 0.000 abstract 1
- 238000012546 transfer Methods 0.000 description 8
- 238000011156 evaluation Methods 0.000 description 7
- 238000010586 diagram Methods 0.000 description 6
- 230000000694 effects Effects 0.000 description 4
- 230000002411 adverse Effects 0.000 description 3
- 230000005540 biological transmission Effects 0.000 description 2
- 241000700605 Viruses Species 0.000 description 1
- 230000002159 abnormal effect Effects 0.000 description 1
- 238000012790 confirmation Methods 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 238000001914 filtration Methods 0.000 description 1
- 230000002265 prevention Effects 0.000 description 1
- 230000004043 responsiveness Effects 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
- G06F21/577—Assessing vulnerabilities and evaluating computer system security
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1425—Traffic logging, e.g. anomaly detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
- G06F2221/034—Test or assess a computer or a system
Definitions
- the present invention relates to an in-vehicle computer, a computer program, a computer-readable recording medium, and a security setting method.
- Patent Document 1 An in-vehicle computer system provided in an automobile is known (for example, Patent Document 1).
- the in-vehicle computer system described in Patent Document 1 is configured by connecting a master ECU and a plurality of end ECUs to a control network.
- the master ECU has a gateway function and, as a main gateway, monitors communication between the inside and the outside of the in-vehicle computer system.
- the master ECU cannot adjust the security level according to the data. Therefore, if the security level is raised in order to improve the security of the in-vehicle computer system, the time required for the anomaly detection process for detecting an abnormality in the data increases for any data, and as a result, the entire in-vehicle computer system There is a problem that the processing time is increased.
- the problem to be solved by the present invention is to provide an in-vehicle computer, a computer program, a computer-readable recording medium, and a security setting method that can reduce the processing time of the in-vehicle computer system as a whole while ensuring the security of the in-vehicle computer system. It is to be.
- the present invention evaluates the risk when an abnormality occurs due to the data based on the data information of the data input from the outside of the vehicle via the communication interface, and adjusts the security strength against the data based on the evaluated risk. , The above problem is solved by setting the security for the data with the adjusted security strength.
- the time required for anomaly detection processing can be changed for each data by adjusting the security strength based on the risk. Therefore, the processing time of the entire in-vehicle computer system can be reduced while ensuring the security of the in-vehicle computer system. It can be reduced.
- FIG. 1 is a block diagram of an in-vehicle computer system 1 mounted on a vehicle.
- the vehicle equipped with the in-vehicle computer system 1 include an electric vehicle, a hybrid vehicle, a gasoline vehicle, and the like.
- the type of vehicle equipped with the in-vehicle computer system 1 is not particularly limited. Further, in the present embodiment, a vehicle having an autonomous traveling control function for controlling a vehicle driving device by an aspect of supporting driving by a vehicle driver or by a completely automatic method will be described as an example.
- the in-vehicle computer according to the present invention is not limited to being mounted on a vehicle having an autonomous traveling control function.
- the in-vehicle computer system 1 includes a communication module 10, a vehicle control ECU 31 to a vehicle control ECU 34, and an in-vehicle computer 100.
- ECU is an abbreviation for Electronic Control Unit.
- Each device shown in FIG. 1 is connected by, for example, a CAN (Controller Area Network) or other in-vehicle network (Ethernet (trademark registration), etc.) in order to transmit and receive information to and from each other.
- the type and number of vehicle-mounted networks are not particularly limited.
- each device may be connected by a plurality of types of vehicle-mounted networks.
- the communication module 10 is a device having a wireless communication function for wirelessly transmitting and receiving data to and from the outside of the vehicle.
- Examples of the communication module 10 include a telematics control unit (TCU: Telematics Control Unit).
- TCU Telematics Control Unit
- the communication module 10 is connected to the Internet by using a communication standard such as 4G / LTE and Wifi (registered trademark) by a wireless communication function, and is variously connected to a server or system provided outside the vehicle. Send and receive various data.
- the communication module 10 When the communication module 10 receives data from the server or system, the communication module 10 outputs the received data to the in-vehicle computer 100.
- the data received by the communication module 10 includes, for example, a program for updating an in-vehicle operation system, a program for updating an application of an ECU, updated map information used in a navigation system, and a vehicle occupant. Guidance information and the like can be mentioned.
- the above data is an example, and does not limit the data received by the communication module 10.
- the communication module 10 transmits the input data to the server or system.
- Examples of the data transmitted by the communication module 10 include information indicating receipt confirmation of the data, information indicating that the update has been completed, information input by the vehicle occupant via the human interface, and the like.
- the above data is an example and does not limit the data transmitted by the communication module 10.
- the vehicle control ECU 31 to the vehicle control ECU 34 are ECUs for controlling the vehicle.
- Each vehicle control ECU functions as an accessible storage device with a ROM (ReadOnlyMemory) that stores a program for controlling the vehicle, a CPU (Central ProcessingUnit) that executes the program stored in this ROM, and an accessible storage device. It is a computer composed of RAM (RandomAccessMemory).
- the functions of the vehicle control ECU 31 to the vehicle control ECU 34 include, for example, a drive source control function for controlling the drive source of the vehicle, a brake control function for controlling the braking operation of the vehicle, and a steering control function for controlling the steering of the vehicle. These include a navigation function that guides the vehicle occupants by voice, a multimedia playback function such as music and video, and a voice communication function in which a person outside the vehicle and the vehicle occupant interact by voice.
- a navigation function that guides the vehicle occupants by voice
- a multimedia playback function such as music and video
- voice communication function in which a person outside the vehicle and the vehicle occupant interact by voice.
- the program executed by the vehicle control ECU 31 includes the vehicle control application 35.
- the vehicle control ECU 31 realizes the functions of the vehicle control ECU 31 by executing the vehicle control application 35.
- the vehicle control ECU 32 and the vehicle control application 36, the vehicle control ECU 33 and the vehicle control application 37, and the vehicle control ECU 34 and the vehicle control application 38 are the same as the relationship between the vehicle control ECU 31 and the vehicle control application 35. Therefore, the explanation in the vehicle control ECU 31 is referred to.
- the program executed by each ECU is not limited to the application shown in FIG. 1, and other applications may be executed in addition to the application shown in FIG.
- the vehicle control application 35 to the vehicle control application 38 are ranked in ASIL.
- the vehicle control application 35 is pre-ranked to ASIL-A
- the vehicle control application 36 is pre-ranked to ASIL-B
- the vehicle control application 37 is pre-ranked to ASIL-C.
- the vehicle control application 38 is pre-ranked to ASIL-D.
- ASIL is an abbreviation for Automotive Safety Integrity Level, and is an index that specifies automobile safety requirements and safety measures specified in IEC61508 / ISO2626, which is a standard for functional safety of vehicles.
- the vehicle control application 35 to the vehicle control application 38 indicate an application having a high safety standard among the applications generated based on the index.
- Four safety levels are defined in ASIL, and they are ASIL-D, ASIL-C, ASIL-B, and ASIL-A in descending order of safety standards. That is, in the example of FIG. 1, the vehicle control application 35, the vehicle control application 36, the vehicle control application 37, and the vehicle control application 38 are arranged in descending order of safety standards.
- the rank of ASIL is determined according to the three items and the variables for each item.
- the three items for determining the rank of ASIL are "severity", which indicates the degree of impact on the occupants of the vehicle, "exposure probability”, which indicates the frequency with which the vehicle encounters dangerous molecules or risk factors, and danger by the vehicle driver. It is “controllability” that indicates the difficulty of avoidance.
- each item is further subdivided by variables. "Severity” is classified into 4 levels of variables, “exposure probability” is classified into 5 levels of variables, and “controllability” is classified into 4 levels of variables.
- the rank of ASIL is set according to the size of the variable for each item. For example, if “severity" is the highest-level variable, “exposure probability” is the highest-level variable, and “controllability” is the highest-level variable, it is classified as ASIL-D.
- the in-vehicle computer 100 includes a ROM (Read Only Memory) that stores a program for executing data security-related processing and a vehicle control application, a CPU (Central Processing Unit) that executes a program stored in the ROM, and a CPU (Central Processing Unit). It consists of a RAM (RandomAccessMemory) that functions as an accessible storage device.
- ROM Read Only Memory
- CPU Central Processing Unit
- RAM RandomAccessMemory
- an MPU MicroProcessingUnit
- DSP DigitalSignalProcessor
- ASIC ApplicationSpecific IntegratedCircuit
- FPGA FieldProgrammableGateArray
- the program executed by the vehicle-mounted computer 100 will be described as a program stored in the ROM, but the storage location of the program may be outside the vehicle-mounted computer 100.
- the program executed by the in-vehicle computer 100 may be stored in a recording medium readable by the computer. In this case, by connecting the recording medium and the vehicle-mounted computer 100 using a predetermined standard, the vehicle-mounted computer 100 can execute the program recorded on the recording medium.
- the in-vehicle computer 100 includes a security processing unit 20 that performs security-related processing, and vehicle control application 25 to vehicle control application 28, and these blocks are formed by a program stored in ROM. , Realize each function described later.
- the vehicle control application 25 to the vehicle control application 28 are programs executed by the in-vehicle computer 100 for controlling the vehicle. Similar to the vehicle control application 35 to the vehicle control application 38, the vehicle control application 25 to the vehicle control application 28 are also ranked in ASIL. In the example of FIG. 1, the vehicle control application 25 is pre-ranked to ASIL-A, the vehicle control application 26 is pre-ranked to ASIL-B, and the vehicle control application 27 is pre-ranked to ASIL-C. Ranked, the vehicle control application 28 is pre-ranked to ASIL-D. For the explanation regarding ASIL, the explanation when the vehicle control ECU 31 to the vehicle control ECU 34 are used is referred to. Although FIG.
- the number of vehicle control applications executed by the in-vehicle computer 100 is not limited to the number shown in FIG. .. Even if the in-vehicle computer 100 executes a smaller number of vehicle control applications (including the case where the vehicle control application does not exist) than the number shown in FIG. 1, or a larger number of vehicle control applications than the number shown in FIG. 1 is executed. good.
- the security processing unit 20 will be described.
- the security processing unit 20 monitors the communication between the in-vehicle computer system 1 and the server or system outside the vehicle.
- the security processing unit 20 monitors the data input to the vehicle-mounted computer system 1 via the communication module 10 and the data output from the vehicle-mounted computer system 1 via the communication module 10.
- the security processing unit 20 includes a risk evaluation unit 21, a security strength adjustment unit 22, a security setting unit 23, and a gateway unit 24. The functions realized by each block will be described.
- Data is input to the risk assessment unit 21 from the outside of the vehicle via the communication module 10.
- the risk assessment unit 21 evaluates the risk when an abnormality occurs due to the data based on the data information of the input data.
- input data the data input from the communication module 10 to the risk assessment unit 21
- an abnormality occurrence risk the risk when an abnormality occurs due to the input data
- the risk of occurrence of an abnormality is the degree to which an abnormality occurs in the hardware or software for processing the input data due to the input data, and the generated abnormality has an adverse effect on the vehicle or the occupant of the vehicle. ..
- the input data contains accidental data garbled, so the hardware or software may have an abnormality, or the input data may be a virus.
- Examples of the hardware in the above description include the vehicle control ECU 31 to the vehicle control ECU 34 shown in FIG.
- examples of the software in the above description include the vehicle control application 25 to the vehicle control application 28 and the vehicle control application 35 to the vehicle control application 38 shown in FIG.
- the data information of the input data is the type information of the vehicle control application to which the input data is scheduled to be processed. Specifically, it is the rank of ASIL attached to the vehicle control application to which the input data is to be processed.
- the risk assessment unit 21 identifies the vehicle control application to which the input data is scheduled to be processed from the input data, and also specifies the rank of ASIL attached to the specified vehicle control application.
- the risk assessment unit 21 evaluates the risk of occurrence of an abnormality based on the input data according to the rank of ASIL. For example, the risk assessment unit 21 indicates that when the rank of ASIL attached to the specified vehicle control application is ASIL-A, the abnormality due to the input data is compared with the case of ASIL-B, ASIL-C, or ASIL-D. Underestimate the risk of occurrence.
- the risk assessment unit 21 evaluates the risk of abnormality occurrence due to the input data higher than that of ASIL-A. Compared with the case of ASIL-C or ASIL-D, the risk of abnormality occurrence due to the input data is evaluated lower. Further, for example, the risk assessment unit 21 has a higher risk of occurrence of an abnormality due to input data when the rank of ASIL attached to the specified vehicle control application is ASIL-C, as compared with the case of ASIL-A or ASIL-B. While evaluating, the risk of abnormality occurrence due to the input data is evaluated lower than in the case of ASIL-D.
- the risk assessment unit 21 uses input data when the rank of ASIL attached to the specified vehicle control application is ASIL-D, as compared with the case of ASIL-A, ASIL-B, or ASIL-C. Highly evaluate the risk of abnormal occurrence. The higher the risk of anomalies, the greater the degree of adverse effect of hardware or software anomalies on the vehicle or vehicle occupants.
- the security strength adjustment unit 22 adjusts the security strength for the input data based on the risk of abnormality occurrence evaluated by the risk assessment unit 21.
- the security strength adjusting unit 22 sets the security strength for the input data stronger as the risk of occurrence of an abnormality due to the input data is higher.
- the security strength adjusting unit 22 is ranked as ASIL-D rather than the security strength for the input data processed by the vehicle control application 25 ranked as ASIL-A.
- the security strength for the input data processed by the application 28 is strongly set.
- the security strength for the input data can be defined by multiple parameters.
- the security strength may be defined by the time required for the abnormality detection process for detecting an abnormality in the data. For example, when the security strength is strong, the time required for the abnormality detection process is longer than when the security strength is weak. Further, the security strength may be defined by the number of abnormality detection methods for detecting data abnormality. For example, when the security strength is strong, more abnormality detection methods are used than when the security strength is weak. Further, the security strength may be defined by the width of the abnormality detection target range indicating the target range for detecting the abnormality in the data. For example, if the security strength is strong, the abnormality is detected in the main part of the data and other parts, and if the security strength is weak, the abnormality is detected only in the main part of the data. Will be.
- the security setting unit 23 sets the security for the input data with the security strength adjusted by the security strength adjusting unit 22.
- the method of detecting the abnormality of the input data is not particularly limited.
- the security setting unit 23 has at least one of the number of stages of the firewall, the target range for detecting an abnormality by the firewall among the input data, and the abnormality detection method according to the security strength adjusted by the security strength adjusting unit 22.
- the security setting unit 23 sets a firewall for passing input data according to the security strength adjusted by the security strength adjusting unit 22.
- the security setting unit 23 sets the number of stages of the firewall according to the security strength.
- the security setting unit 23 increases the number of stages of the firewall as the security strength becomes stronger.
- the security setting unit 23 may set a target range for detecting an abnormality by a firewall in the input data according to the security strength.
- the security setting unit 23 may set a wider target range for detecting an abnormality by a firewall in the input data as the security strength is stronger. Further, for example, the security setting unit 23 may set an abnormality detection method according to the security strength. The security setting unit 23 sets the abnormality detection method on the firewall when the security strength is lower than the predetermined strength, and sets the abnormality detection method on the firewall and IDS (Instruction) when the security strength is higher than the predetermined strength. It may be set to Detection System) or IPS (Instruction Prevention System).
- the predetermined strength is a security strength preset for setting the abnormality detection method.
- a plurality of firewalls for detecting abnormalities in input data are installed in the gateway unit 24.
- the gateway unit 24 has an abnormality detection function for detecting an abnormality in input data using a firewall, and a transfer function for transferring input data to a vehicle control application or a vehicle control ECU.
- the gateway unit 24 executes an abnormality detection process for the input data according to the contents set by the security setting unit 23 by the abnormality detection function. For example, the gateway unit 24 executes a process of passing input data by the number of stages of the firewall set by the security setting unit 23. Then, when an abnormality is not detected in the input data, the gateway unit 24 transfers the input data to the vehicle-mounted control application or the vehicle-mounted control ECU scheduled to process the input data by the transfer function.
- the processing when an abnormality is detected in the abnormality detection processing is not particularly limited.
- the gateway unit 24 outputs information indicating that the abnormality has been detected to the ECU for controlling the human interface. do. In this case, the information indicating that an abnormality has been detected in the input data is presented to the occupants of the vehicle by the ECU.
- FIG. 2 is an explanatory diagram showing a state from the reception of data by the communication module 10 to the start of processing by the vehicle control application in the in-vehicle computer 100.
- Each of the communication module 10, the security processing unit 20, the vehicle control application 26, and the vehicle control application 29 shown in FIG. 2 corresponds to the block diagram shown in FIG. In FIG. 2, for comparison purposes, the communication module 10 receives the data B from the time when the communication module 10 receives the data A until the vehicle control application 26 starts processing using the data A. To the process in which the vehicle control application 29 is processed using the data B is shown.
- the transmission sources of the data A and the data B will be described as a server outside the vehicle, but the transmission sources of the data A and the data B are not limited.
- the communication module 10 receives the data A and outputs the received data A to the in-vehicle computer 100.
- the data A is input to the security processing unit 20 of the in-vehicle computer 100.
- the security processing unit 20 plans to process the data A from the data A by the vehicle control application 26 by using a predetermined specific method, and the rank assigned to the vehicle control application 26 is ASIL-A. Identify that.
- the security processing unit 20 evaluates the risk of occurrence of an abnormality due to the data A based on the index of ASIL-A.
- the security processing unit 20 sets the number of stages of the firewall to one as security with a security strength corresponding to ASIL-A.
- the security processing unit 20 passes the data A through the firewall of one stage, and determines whether or not an abnormality is detected in the data A. If no abnormality is detected in the data A, the security processing unit 20 transfers the data A to the vehicle control application 26 executed by the in-vehicle computer 100.
- the vehicle control application 26 is in a state where processing using data A is possible, and starts processing using data A.
- the communication module 10 receives the data B and outputs the received data B to the in-vehicle computer 100.
- the data B is input to the security processing unit 20 of the in-vehicle computer 100.
- the security processing unit 20 plans to process the data B from the data B by the vehicle control application 29 by using a predetermined specific method, and the rank assigned to the vehicle control application 29 is ASIL-D. Identify that.
- the security processing unit 20 evaluates the risk of occurrence of an abnormality due to the data B based on the index of ASIL-D.
- the security processing unit 20 sets the number of stages of the firewall to four as security with a security strength corresponding to ASIL-D.
- the security processing unit 20 passes the data B through the four-stage firewall and determines whether or not an abnormality is detected in the data B. If no abnormality is detected in the data B, the security processing unit 20 transfers the data B to the vehicle control application 29 executed by the in-vehicle computer 100.
- the vehicle control application 29 is in a state where processing using data B is possible, and starts processing using data B.
- FIG. 3 is an explanatory diagram showing a state from the reception of data by the communication module 10 to the start of processing by the vehicle control application in the vehicle-mounted control ECU.
- Each of the communication module 10, the security processing unit 20, the vehicle control application 36, and the vehicle control application 37 shown in FIG. 3 corresponds to the block diagram shown in FIG. In FIG. 3, for comparison purposes, the communication module 10 receives the data D from the time when the communication module 10 receives the data C until the vehicle control application 36 starts processing using the data C. From the above to the time when the vehicle control application 37 is processed using the data D.
- the source of the data C and the data D will be described as a server outside the vehicle, similarly to the source of the data A and the data B.
- the communication module 10 receives the data C and outputs the received data C to the in-vehicle computer 100.
- the data C is input to the security processing unit 20 of the in-vehicle computer 100.
- the security processing unit 20 plans to process the data C from the data C by the vehicle control application 36 by using a predetermined specific method, and the rank assigned to the vehicle control application 36 is ASIL-B. Identify that.
- the security processing unit 20 evaluates the risk of occurrence of an abnormality due to the data C based on the index of ASIL-B.
- the security processing unit 20 sets the number of stages of the firewall to two as security with a security strength corresponding to ASIL-B.
- the security processing unit 20 passes the data C through the two-stage firewall and determines whether or not an abnormality is detected in the data C. If no abnormality is detected in the data C, the security processing unit 20 transfers the data C to the vehicle control ECU 32. Data C is input to the vehicle control ECU 32, and the vehicle control application 36 is in a state where processing using data C is possible, and starts processing using data C.
- the communication module 10 receives the data D and outputs the received data D to the in-vehicle computer 100.
- the data D is input to the security processing unit 20 of the in-vehicle computer 100.
- the security processing unit 20 plans to process the data D from the data D by the vehicle control application 37 by using a predetermined specific method, and the rank assigned to the vehicle control application 37 is ASIL-C. Identify that.
- the security processing unit 20 evaluates the risk of occurrence of an abnormality due to the data D based on the index of ASIL-C.
- the security processing unit 20 sets the number of stages of the firewall to three as security with a security strength corresponding to ASIL-C.
- the security processing unit 20 passes the data D through the three-stage firewall and determines whether or not an abnormality is detected in the data D. If no abnormality is detected in the data D, the security processing unit 20 transfers the data D to the vehicle control ECU 33. Data D is input to the vehicle control ECU 33, the vehicle control application 37 is in a state where processing using data D is possible, and processing using data D is started.
- the number of stages of the firewall through which each data passes is different. Since the data A passes through the one-stage firewall, while the data B passes through the four-stage firewall, the time required for the abnormality detection process for detecting the abnormality in the data B is to detect the abnormality in the data A. It will be longer than the time required for the abnormality detection process. It takes a sufficient amount of time to detect anomalies in the data used in the vehicle control application 29 with a high safety standard, while it is used in the vehicle control application 26 with a relatively low safety standard. Anomaly detection is performed on the data without spending more time than necessary.
- the in-vehicle computer 100 it is possible to balance the safety standard and the time required for the abnormality detection process. Further, for example, when it is necessary to respond to the source of the data A within a predetermined time after the data A is processed by the vehicle control application, the responsiveness is ensured while ensuring the security of the in-vehicle computer system 1. Can satisfy the demands for. Since the same effects as those of the data A and the data B can be obtained for the data C and the data D shown in FIG. 3, the explanation using the data A and the data B is referred to.
- the in-vehicle computer 100 is an in-vehicle computer in which data is input from the outside of the vehicle via the communication module 10.
- the in-vehicle computer 100 is based on the risk evaluation unit 21 that evaluates the risk of occurrence of an abnormality, which is the risk when an abnormality occurs due to the input data, and the risk of abnormality occurrence evaluated by the risk evaluation unit 21 based on the data information of the input data.
- the security strength adjusting unit 22 for adjusting the security strength for the input data and the security setting unit 23 for setting the security for the input data with the security strength adjusted by the security strength adjusting unit 22 are provided.
- the program for making the computer function as the in-vehicle computer 100, the computer-readable recording medium in which the program is recorded, and the security setting method, the security strength for the input data is the risk of abnormality occurrence. Since the adjustment is made based on the above, the time required for the abnormality detection process can be changed for each data. As a result, the processing time of the vehicle-mounted computer system 1 as a whole can be reduced while ensuring the security of the vehicle-mounted computer system 1.
- the high risk of occurrence of an abnormality is the "severity” which is the degree of influence affecting the occupants of the vehicle, the “exposure probability” which is the frequency when the vehicle encounters a dangerous molecule or a risk factor, and. It is evaluated based on “controllability”, which is the difficulty level of danger avoidance by the driver of the vehicle. Thereby, the degree of adverse effect of the abnormality of the input data on the vehicle or the occupant of the vehicle can be appropriately evaluated.
- the security strength adjusting unit 22 sets the security strength for the input data stronger as the risk of abnormality occurrence due to the input data is higher. Since the security strength can be set according to the high risk of abnormality occurrence, it is possible to balance the risk of abnormality occurrence and the time required for abnormality detection processing. As a result, the processing time of the vehicle-mounted computer system 1 as a whole can be reduced while ensuring the security of the vehicle-mounted computer system 1.
- the data information of the input data used by the risk assessment unit 21 when evaluating the risk of occurrence of an abnormality is a type of vehicle control application that is scheduled to execute processing using the input data. This makes it possible to easily evaluate the risk of abnormality occurrence due to the input data. As a result, the time required for the evaluation processing of the abnormality occurrence risk can be shortened, and the influence on the processing time of the in-vehicle computer system 1 as a whole can be reduced.
- the in-vehicle computer 100 includes a gateway unit in which a firewall for detecting an abnormality in input data is installed, and the security setting unit 23 has a security strength adjusted by the security strength adjusting unit 22. According to this, the number of firewall stages through which the input data is passed is set. As a result, the higher the risk of occurrence of an abnormality, the larger the number of firewall stages can be set, so that the reliability of the input data can be improved.
- the gateway unit 24 executes an abnormality detection process for detecting whether or not there is an abnormality in the input data by using the firewall.
- the security of the in-vehicle computer system 1 can be maintained even against a cyber attack from the outside of the vehicle.
- the risk of abnormality occurrence due to input data has been described by taking as an example a configuration in which the risk of abnormality occurrence due to input data is evaluated based on the rank of ASIL.
- the risk of abnormality occurrence due to input data is evaluated based on the content of input data. You may.
- the risk evaluation unit 21 causes an abnormality due to the input data as compared with the case where the content of the input data is the guidance information for the occupants of the vehicle. You may appreciate the risk.
- the type of the vehicle control application has been described as an example of the data information of the input data, but the data information of the input data may be the type of the vehicle control ECU.
- the configuration in which the risk of abnormality occurrence due to the input data is evaluated based on the rank of ASIL has been described as an example, but the risk of occurrence of abnormality due to the input data is for classifying the rank of ASIL. It may be evaluated based on at least one of "severity”, "exposure probability”, and "controllability".
- the risk assessment unit 21 does not have an ASIL rank, but an abnormality due to input data according to each variable of "severity", "exposure probability”, and "controllability” for classifying the ASIL rank.
- the risk of occurrence may be evaluated.
- the vehicle control application 26 and the vehicle control application 36 are each ranked as ASIL-B.
- the "severity" variable, the "exposure probability” variable, and the “controllability” variable when the vehicle control application 26 is ranked as ASIL-B, and the vehicle control application 36 are ASIL-. It shall be different from the "severity" variable, the "exposure probability” variable, and the "controllability” variable when ranked as B.
- the risk assessment unit 21 makes different evaluations of the risk of abnormality occurrence due to the input data scheduled to be processed by the vehicle control application 26 and the risk of abnormality occurrence due to the input data scheduled to be processed by the vehicle control application 36. Can be done.
- the risk assessment unit 21 is not limited to the combination of "severity”, “exposure probability”, and “controllability”, and may evaluate the risk of abnormality occurrence due to the input data according to the variables of each item. good. Further, for example, the risk assessment unit 21 may evaluate the risk of abnormality occurrence due to the input data according to the combination of the variables of the two items.
- ASIL is used as an index for evaluating the risk of occurrence of an abnormality based on the input data, but the index for evaluating the risk of occurrence of an abnormality is not limited to ASIL.
- the risk assessment unit 21 may evaluate the risk of occurrence of anomalies using other indicators specified for the functional safety of the vehicle. Further, the risk assessment unit 21 may evaluate the risk of occurrence of an abnormality using a plurality of indicators.
- the security setting unit 23 may have the same number of firewall stages set for the data C and the same number of firewall stages set for the data D. Then, the security setting unit 23 may set not only the firewall but also the abnormality detection method by IDS or IPS for the data D. Further, for example, the security setting unit 23 may set the target range of abnormality detection by the firewall to be wider for the data D than for the data C after setting the number of stages of the firewall to be the same.
- the configuration in which the vehicle-mounted computer 100 includes the gateway unit 24 has been described as an example, but a computer different from the vehicle-mounted computer 100 may include the gateway unit 24. That is, the abnormality detection process for detecting the abnormality of the input data and the transfer process for the input data may be executed by a computer other than the in-vehicle computer 100. In this case, the in-vehicle computer 100 outputs the security setting information set by the security setting unit 23 to the computer including the gateway unit 24.
- the firewall, IDS, and IPS have been described as examples of the input data abnormality detection method, but the input data is input data using the abnormality detection method known in the communication field at the time of filing the application of the present application.
- the in-vehicle computer 100 may set a filtering process by a proxy (proxy) according to the security strength.
- the in-vehicle computer 100 may set the access control provided in the in-vehicle computer system 1 according to the security strength.
- In-vehicle computer system 10 Communication module 100 ... In-vehicle computer 20 ... Security processing unit 21 ... Risk evaluation unit 22 ... Security strength adjustment unit 23 ... Security setting unit 24 ... Gateway unit 25 ... Vehicle control application 26 ... Vehicle control application 27 ... Vehicle control application 28 ... Vehicle control application 31 ... Vehicle control ECU 35 ... Vehicle control application 32 ... Vehicle control ECU 36 ... Vehicle control application 33 ... Vehicle control ECU 37 ... Vehicle control application 34 ... Vehicle control ECU 38 ... Vehicle control application
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Computing Systems (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Small-Scale Networks (AREA)
Abstract
通信インターフェース(10)を介して車両の外部からデータが入力される車載コンピュータ(100)であって、車載コンピュータ(100)は、入力されたデータのデータ情報に基づき、データにより異常が生じたときのリスクを評価するリスク評価部(21)と、リスク評価部(21)により評価されたリスクに基づき、データに対するセキュリティ強度を調整するセキュリティ強度調整部(22)と、セキュリティ強度調整部(22)により調整されたセキュリティ強度でデータに対するセキュリティを設定するセキュリティ設定部(23)を備える車載コンピュータ。
Description
本発明は、車載コンピュータ、コンピュータプログラム、コンピュータ読み取り可能な記録媒体、及びセキュリティ設定方法に関する。
自動車に備わる車載コンピュータシステムが知られている(例えば、特許文献1)。特許文献1に記載の車載コンピュータシステムは、マスタECUと複数のエンドECUとが制御用ネットワークに接続されて構成されている。マスタECUは、ゲートウェイ機能を有し、主ゲートウェイとして、車載コンピュータシステムの内部と外部の間の通信を監視する。
特許文献1に記載の車載コンピュータシステムでは、マスタECUは、データに応じてセキュリティレベルを調整できない。そのため、車載コンピュータシステムのセキュリティを向上させるために、セキュリティレベルが上げられた場合、データの異常を検知する異常検知処理に要する時間はどのデータに対しても増大し、その結果、車載コンピュータシステム全体としての処理時間が増大する、という問題がある。
本発明が解決しようとする課題は、車載コンピュータシステムのセキュリティを確保しつつ、車載コンピュータシステム全体としての処理時間を低減できる車載コンピュータ、コンピュータプログラム、コンピュータ読み取り可能な記録媒体、及びセキュリティ設定方法を提供することである。
本発明は、通信インターフェースを介して車両の外部から入力されたデータのデータ情報に基づき、データにより異常が生じたときのリスクを評価し、評価されたリスクに基づき、データに対するセキュリティ強度を調整し、調整されたセキュリティ強度でデータに対するセキュリティを設定することで、上記課題を解決する。
本発明によれば、リスクに基づくセキュリティ強度の調整によって、異常検知処理に要する時間をデータごとに変えることができるため、車載コンピュータシステムのセキュリティを確保しつつ、車載コンピュータシステム全体としての処理時間を低減させることができる。
以下、本発明の実施形態を図面に基づいて説明する。
本実施形態では、本発明に係る車載コンピュータ、コンピュータプログラム、コンピュータ読み取り可能な記録媒体、及びセキュリティ設定方法を、車載コンピュータシステムに適用した例を用いて説明する。
本実施形態では、本発明に係る車載コンピュータ、コンピュータプログラム、コンピュータ読み取り可能な記録媒体、及びセキュリティ設定方法を、車載コンピュータシステムに適用した例を用いて説明する。
図1は、車両に搭載された車載コンピュータシステム1のブロック図である。車載コンピュータシステム1を搭載する車両としては、例えば、電気自動車、ハイブリッド自動車、ガソリン自動車などが挙げられる。車載コンピュータシステム1を搭載する車両の種別は特に限定されない。また本実施形態では、車両のドライバによる運転を支援する態様により、又は完全に自動的な方法により、車両の駆動装置を制御する自律走行制御機能を備えた車両を例に挙げて説明する。なお、本発明に係る車載コンピュータが、自律走行制御機能を備えた車両に搭載されることに限定するものではない。
図1に示すように、車載コンピュータシステム1は、通信モジュール10、車両制御用ECU31~車両制御用ECU34、及び車載コンピュータ100を含む。ECUとは、Electronic Control Unitの略称である。図1に示す各装置は相互に情報の送受信を行うために、例えばCAN(Controller Area Network)その他の車載ネットワーク(イーサネット(商標登録)など)によって接続されている。なお、車載コンピュータシステム1において、車載ネットワークの種別やその数は特に限定されない。例えば、車載コンピュータシステム1は、複数種類の車載ネットワークによって各装置間が接続されていてもよい。
通信モジュール10は、車両の外部との間で無線によりデータを送受信する無線通信機能を備えた機器である。通信モジュール10としては、例えば、テレマティクスコントロールユニット(TCU:Telematics Control Unit)が挙げられる。通信モジュール10は、無線通信機能により、例えば、4G/LTE、Wifi(商標登録)等の通信規格を利用して、インターネットに接続し、車両の外部に設けられたサーバやシステムとの間で様々なデータの送受信を行う。
通信モジュール10は、サーバやシステムからデータを受信すると、受信したデータを車載コンピュータ100に出力する。通信モジュール10が受信するデータとしては、例えば、車載用オペレーションシステムをアップデートするためのプログラム、ECUのアプリケーションをアップデートするためのプログラム、ナビゲーションシステムで用いられる更新された地図情報、車両の乗員に向けた案内情報などが挙げられる。なお、上記データは一例であって、通信モジュール10が受信するデータを限定するものではない。
一方、車両に搭載された各種ECUやシステムから、車載コンピュータ100を介して通信モジュール10にデータが入力されると、通信モジュール10は、入力されたデータをサーバやシステムに送信する。通信モジュール10が送信するデータとしては、例えば、データの受領確認を示す情報、アップデートが完了したことを示す情報、車両の乗員がヒューマンインターフェースを介して入力した情報などが挙げられる。上記データは一例であって、通信モジュール10が送信するデータを限定するものではない。
車両制御用ECU31~車両制御用ECU34は、車両を制御するためのECUである。各車両制御用ECUは、車両を制御するためのプログラムを格納したROM(Read Only Memory)と、このROMに格納されたプログラムを実行するCPU(Central Processing Unit)と、アクセス可能な記憶装置として機能するRAM(Random Access Memory)とから構成されるコンピュータである。
車両制御用ECU31~車両制御用ECU34が有する機能としては、例えば、車両の駆動源を制御する駆動源制御機能、車両のブレーキ動作を制御するブレーキ制御機能、車両の操舵を制御する操舵制御機能、車両の乗員に音声で経路案内するナビゲーション機能、音楽や動画などのマルチメディア再生機能、車両の外部にいる人間と車両の乗員とが音声で対話する音声通信機能などが挙げられる。なお、図1では、車両制御用ECUとして4つのECUを示しているが、車載コンピュータシステム1が備える車両制御用ECUの数は図1に示す数に限定されない。車載コンピュータシステム1は、図1に示す数よりも少ない数の車両制御用ECU、又は図1に示す数よりも多い車両制御用ECUを備えていてもよい。
図1に示すように、車両制御用ECU31が実行するプログラムには、車両制御用アプリケーション35が含まれる。車両制御用ECU31は、車両制御用アプリケーション35を実行することで、車両制御用ECU31が有する機能を実現する。車両制御用ECU32と車両制御用アプリケーション36、車両制御用ECU33と車両制御用アプリケーション37、及び車両制御用ECU34と車両制御用アプリケーション38については、車両制御用ECU31と車両制御用アプリケーション35の関係と同様であるため、車両制御用ECU31での説明を援用する。なお、各ECUが実行するプログラムは、図1に示すアプリケーションに限定されず、図1に示すアプリケーションに加えて、その他のアプリケーションを実行してもよい。
また図1に示すように、車両制御用アプリケーション35~車両制御用アプリケーション38は、ASILでのランクが付されている。図1の例では、車両制御用アプリケーション35は、ASIL-Aに予めランク付けされ、車両制御用アプリケーション36は、ASIL-Bに予めランク付けされ、車両制御用アプリケーション37は、ASIL-Cに予めランク付けされ、車両制御用アプリケーション38は、ASIL-Dに予めランク付けされている。
ここで、ASILとは、Automotive Safety Integrity Levelの略称であり、車両の機能安全について規格されたIEC61508/ISO2626に規定されている、自動車の安全要求と安全対策を指定する指標である。車両制御用アプリケーション35~車両制御用アプリケーション38は、当該指標に基づいて生成されたアプリケーションのうち、安全性の基準が高いアプリケーションを示している。ASILには4段階の安全性レベルが規定されており、安全性の基準が高い順に、ASIL-D、ASIL-C、ASIL-B、ASIL-Aとなっている。つまり、図1の例では、安全性の基準が高い順に、車両制御用アプリケーション35、車両制御用アプリケーション36、車両制御用アプリケーション37、車両制御用アプリケーション38となっている。
またASILのランクは、3つの項目と項目ごとの変数に応じて定められる。ASILのランクを定めるための3つの項目とは、車両の乗員に与える影響度を示す「重大度」、車両が危険分子又は危険因子に遭遇する頻度を示す「曝露確率」、車両のドライバによる危険回避の難易度を示す「制御可能性」である。また各項目はさらに変数により細分化される。「重大度」は4段階の変数に分類され、「曝露確率」は5段階の変数に分類され、「制御可能性」は4段階の変数に分類される。ASILのランクは、項目ごとの変数の大きさに応じて設定されている。例えば、「重大度」が最上位段階の変数、「曝露確率」が最上位段階の変数、及び「制御可能性」が最上位段階の変数の組み合わせの場合、ASIL-Dに分類される。
車載コンピュータ100は、データのセキュリティに関する処理及び車両制御用アプリケーションを実行するためのプログラムを格納したROM(Read Only Memory)と、このROMに格納されたプログラムを実行するCPU(Central Processing Unit)と、アクセス可能な記憶装置として機能するRAM(Random Access Memory)とから構成される。なお、動作回路としては、CPUに代えて又はこれとともに、MPU(Micro Processing Unit)、DSP(Digital Signal Processor)、ASIC(Application Specific Integrated Circuit)、FPGA(Field Programmable Gate Array)などを用いることができる。以降では、車載コンピュータ100が実行するプログラムは、ROMに格納されたプログラムとして説明するが、プログラムの格納場所は車載コンピュータ100の外部であってもよい。例えば、車載コンピュータ100が実行するプログラムは、コンピュータが読み取り可能な記録媒体に格納されていてもよい。この場合、当該記録媒体と車載コンピュータ100とを所定の規格を用いて接続することで、車載コンピュータ100は、記録媒体に記録されたプログラムを実行することができる。
図1に示すように、車載コンピュータ100は、セキュリティに関する処理を行うセキュリティ処理部20と、車両制御用アプリケーション25~車両制御用アプリケーション28とを含み、これらのブロックは、ROMに記憶されたプログラムによって、後述する各機能を実現する。
車両制御用アプリケーション25~車両制御用アプリケーション28は、車載コンピュータ100が実行する、車両を制御するためのプログラムである。車両制御用アプリケーション35~車両制御用アプリケーション38と同様に、車両制御用アプリケーション25~車両制御用アプリケーション28もASILでのランクが付されている。図1の例では、車両制御用アプリケーション25は、ASIL-Aに予めランク付けされ、車両制御用アプリケーション26は、ASIL-Bに予めランク付けされ、車両制御用アプリケーション27は、ASIL-Cに予めランク付けされ、車両制御用アプリケーション28は、ASIL-Dに予めランク付けされている。ASILに関する説明は、車両制御用ECU31~車両制御用ECU34を用いたときの説明を援用する。なお、図1では、車載コンピュータ100が実行する車両制御用アプリケーションとして4つの車両制御用アプリケーションを示しているが、車載コンピュータ100が実行する車両制御用アプリケーションの数は図1に示す数に限定されない。車載コンピュータ100は、図1に示す数よりも少ない数の車両制御用アプリケーション(車両制御用アプリケーションが存在しない場合も含む)、又は図1に示す数よりも多い車両制御用アプリケーションを実行してもよい。
セキュリティ処理部20について説明する。セキュリティ処理部20は、車載コンピュータシステム1と車両の外部にあるサーバ又はシステムとの間の通信を監視する。セキュリティ処理部20は、通信モジュール10を介して車載コンピュータシステム1に入力されるデータと、通信モジュール10を介して車載コンピュータシステム1から出力されるデータについて監視する。図1に示すように、セキュリティ処理部20は、リスク評価部21、セキュリティ強度調整部22、セキュリティ設定部23、及びゲートウェイ部24を含む。各ブロックが実現する機能について説明する。
リスク評価部21には、車両の外部から、通信モジュール10を介してデータが入力される。リスク評価部21は、入力データのデータ情報に基づき、当該データにより異常が生じたときのリスクを評価する。以降、便宜上、通信モジュール10からリスク評価部21に入力されるデータを入力データと称し、入力データにより異常が生じたときのリスクを異常発生リスクと称して説明する。
異常発生リスクとは、入力データが原因で、入力データを処理するためのハードウェア又はソフトウェアに異常が発生し、発生した異常が車両又は車両の乗員に対して与える悪影響の程度の高さである。入力データが原因でハードウェア又はソフトウェアに異常が発生する場合は、入力データが偶発的に発生したデータ化けを含んでいたため、ハードウェア又はソフトウェアに異常が発生する場合と、入力データがウィルスやスパイウェアなど、外部からの攻撃を意図したデータのため、ハードウェア又はソフトウェアに異常が発生する場合とを含む。上記の説明におけるハードウェアとしては、図1に示す車両制御用ECU31~車両制御用ECU34が挙げられる。また上記の説明におけるソフトウェアとしては、図1に示す車両制御用アプリケーション25~車両制御用アプリケーション28、及び車両制御用アプリケーション35~車両制御用アプリケーション38が挙げられる。
入力データのデータ情報とは、入力データが処理される予定の車両制御用アプリケーションの種別情報である。具体的には、入力データが処理される予定の車両制御用アプリケーションに付されたASILのランクである。
リスク評価部21は、入力データから、入力データが処理される予定の車両制御用アプリケーションを特定するとともに、特定した車両制御用アプリケーションに付されたASILのランクを特定する。リスク評価部21は、ASILのランクに応じて、入力データによる異常発生リスクを評価する。例えば、リスク評価部21は、特定した車両制御用アプリケーションに付されたASILのランクがASIL-Aの場合、ASIL-B、ASIL-C、又はASIL-Dの場合に比べて、入力データによる異常発生リスクを低く評価する。また例えば、リスク評価部21は、特定した車両制御用アプリケーションに付されたASILのランクがASIL-Bの場合、ASIL-Aの場合に比べて、入力データによる異常発生リスクを高く評価しつつ、ASIL-C、又はASIL-Dの場合に比べて、入力データによる異常発生リスクを低く評価する。また例えば、リスク評価部21は、特定した車両制御用アプリケーションに付されたASILのランクがASIL-Cの場合、ASIL-A又はASIL-Bの場合に比べて、入力データによる異常発生リスクを高く評価しつつ、ASIL-Dの場合に比べて、入力データによる異常発生リスクを低く評価する。また例えば、リスク評価部21は、特定した車両制御用アプリケーションに付されたASILのランクがASIL-Dの場合、ASIL-A、ASIL-B、又はASIL-Cの場合に比べて、入力データによる異常発生リスクを高く評価する。異常発生リスクが高いほど、ハードウェア又はソフトウェアで発生した異常が車両又は車両の乗員に対して与える悪影響の程度は高くなる。
セキュリティ強度調整部22は、リスク評価部21により評価された異常発生リスクに基づき、入力データに対するセキュリティ強度を調整する。セキュリティ強度調整部22は、入力データによる異常発生リスクが高いほど、入力データに対するセキュリティ強度を強く設定する。図1の例を用いると、セキュリティ強度調整部22は、ASIL-Aとしてランク付けされた車両制御用アプリケーション25で処理される入力データに対するセキュリティ強度よりも、ASIL-Dとしてランク付けされた車両制御用アプリケーション28で処理される入力データに対するセキュリティ強度を強く設定する。
入力データに対するセキュリティ強度は、複数のパラメータによって定義することができる。データの異常を検知する異常検知処理に要する時間によって、セキュリティ強度を定義してもよい。例えば、セキュリティ強度が強い場合、セキュリティ強度が弱い場合に比べて、異常検知処理に要する時間はより長くなる。またデータの異常を検知する異常検知方法の数によって、セキュリティ強度を定義してもよい。例えば、セキュリティ強度が強い場合、セキュリティ強度が弱い場合に比べて、より多くの異常検知方法が用いられる。またデータのうち異常を検知する対象範囲を示す異常検知対象範囲の広さによって、セキュリティ強度を定義してもよい。例えば、セキュリティ強度が強い場合、データのうち主要部分及びそれ以外の部分を対象にして異常の検知が行われ、セキュリティ強度が弱い場合、データのうち主要部分のみを対象にして異常の検知が行われる。
セキュリティ設定部23は、セキュリティ強度調整部22により調整されたセキュリティ強度で入力データに対するセキュリティを設定する。セキュリティ設定部23によるセキュリティの設定では、入力データの異常検知方法は特に限定されない。
セキュリティ設定部23は、セキュリティ強度調整部22により調整されたセキュリティ強度に応じて、ファイヤーウォールの段数、入力データのうちファイヤーウォールにより異常を検知する対象範囲、及び異常検知方法のうち少なくとも何れか一つを設定する。例えば、セキュリティ設定部23は、セキュリティ強度調整部22により調整されたセキュリティ強度に応じて、入力データを通過させるファイヤーウォールの設定を行う。例えば、セキュリティ設定部23は、セキュリティ強度に応じて、ファイヤーウォールの段数を設定する。セキュリティ設定部23は、セキュリティ強度が強いほど、ファイヤーウォールの段数を増やす。また例えば、セキュリティ設定部23は、セキュリティ強度に応じて、入力データのうちファイヤーウォールにより異常を検知する対象範囲を設定してもよい。セキュリティ設定部23は、セキュリティ強度が強いほど、入力データのうちファイヤーウォールにより異常を検知する対象範囲を広く設定してもよい。また例えば、セキュリティ設定部23は、セキュリティ強度に応じて、異常検知方法を設定してもよい。セキュリティ設定部23は、セキュリティ強度が所定の強度よりも低い場合、異常検知方法をファイヤーウォールに設定し、セキュリティ強度が所定の強度よりも高い場合、異常検知方法を、ファイヤーウォールと、IDS(Instruction Detection System)又はIPS(Instruction Prevention System)に設定してもよい。なお、所定の強度とは、異常検知方法を設定するために予め設定されたセキュリティ強度である。
ゲートウェイ部24には、入力データの異常を検知するための複数のファイヤーウォールがインストールされている。ゲートウェイ部24は、ファイヤーウォールを用いて入力データの異常を検知する異常検知機能と、入力データを車両制御用アプリケーション又は車両制御用ECUに転送する転送機能とを備えている。
ゲートウェイ部24は、異常検知機能により、セキュリティ設定部23により設定された内容にて、入力データに対する異常検知処理を実行する。例えば、ゲートウェイ部24は、セキュリティ設定部23により設定されたファイヤーウォールの段数だけ入力データを通過させる処理を実行する。そして、ゲートウェイ部24は、入力データに異常が検知されなかった場合、転送機能により、入力データを、当該入力データを処理する予定の車載制御用アプリケーション又は車載制御用ECUに転送する。なお、異常検知処理にて異常が検知された場合の処理については特に限定されず、例えば、ゲートウェイ部24は、異常が検知されたことを示す情報を、ヒューマンインターフェースを制御するためのECUに出力する。この場合、入力データに異常が検知されたことを示す情報は、当該ECUによって、車両の乗員に提示される。
図2は、通信モジュール10がデータを受信してから、車載コンピュータ100内の車両制御アプリケーションで処理が開始されるまでの様子を示す説明図である。図2に示す通信モジュール10、セキュリティ処理部20、車両制御用アプリケーション26、及び車両制御用アプリケーション29のそれぞれは、図1に示すブロック図に対応している。図2は、比較目的のために、通信モジュール10がデータAを受信してから、車両制御用アプリケーション26がデータAを用いて処理を開始するまでと、通信モジュール10がデータBを受信してから、車両制御用アプリケーション29がデータBを用いて処理されるまでとを示している。なお、以降では、データA及びデータBの送信元を車両の外部にあるサーバとして説明するが、データA及びデータBの送信元を限定するものではない。
サーバからデータAが送信されると、通信モジュール10はデータAを受信し、受信したデータAを車載コンピュータ100に出力する。データAは、車載コンピュータ100のセキュリティ処理部20に入力される。
セキュリティ処理部20は、所定の特定方法を用いて、データAから、データAが車両制御用アプリケーション26で処理される予定であり、車両制御用アプリケーション26に付されたランクがASIL-Aであることを特定する。セキュリティ処理部20は、データAによる異常発生リスクとして、ASIL-Aの指標に基づく評価を行う。セキュリティ処理部20は、ASIL-Aに対応したセキュリティ強度でのセキュリティとして、ファイヤーウォールの段数を1段に設定する。セキュリティ処理部20は、データAを1段のファイヤーウォールに通過させ、データAに異常が検知されるか否かを判定する。セキュリティ処理部20は、データAに異常が検知されない場合、車載コンピュータ100により実行される車両制御用アプリケーション26にデータAを転送する。車両制御用アプリケーション26は、データAを用いた処理が可能な状態となり、データAを用いた処理を開始する。
一方、サーバからデータBが送信されると、通信モジュール10はデータBを受信し、受信したデータBを車載コンピュータ100に出力する。データBは、車載コンピュータ100のセキュリティ処理部20に入力される。
セキュリティ処理部20は、所定の特定方法を用いて、データBから、データBが車両制御用アプリケーション29で処理される予定であり、車両制御用アプリケーション29に付されたランクがASIL-Dであることを特定する。セキュリティ処理部20は、データBによる異常発生リスクとして、ASIL-Dの指標に基づく評価を行う。セキュリティ処理部20は、ASIL-Dに対応したセキュリティ強度でのセキュリティとして、ファイヤーウォールの段数を4段に設定する。セキュリティ処理部20は、データBを4段のファイヤーウォールに通過させ、データBに異常が検知されるか否かを判定する。セキュリティ処理部20は、データBに異常が検知されない場合、車載コンピュータ100により実行される車両制御用アプリケーション29にデータBを転送する。車両制御用アプリケーション29は、データBを用いた処理が可能な状態となり、データBを用いた処理を開始する。
図3は、通信モジュール10がデータを受信してから、車載制御用ECU内の車両制御アプリケーションで処理が開始されるまでの様子を示す説明図である。図3に示す通信モジュール10、セキュリティ処理部20、車両制御用アプリケーション36、及び車両制御用アプリケーション37のそれぞれは、図1に示すブロック図に対応している。図3は、比較目的のために、通信モジュール10がデータCを受信してから、車両制御用アプリケーション36がデータCを用いて処理を開始するまでと、通信モジュール10がデータDを受信してから、車両制御用アプリケーション37がデータDを用いて処理されるまでとを示している。なお、以降では、データA及びデータBの送信元と同様に、データC及びデータDの送信元を車両の外部にあるサーバとして説明する。
サーバからデータCが送信されると、通信モジュール10はデータCを受信し、受信したデータCを車載コンピュータ100に出力する。データCは、車載コンピュータ100のセキュリティ処理部20に入力される。
セキュリティ処理部20は、所定の特定方法を用いて、データCから、データCが車両制御用アプリケーション36で処理される予定であり、車両制御用アプリケーション36に付されたランクがASIL-Bであることを特定する。セキュリティ処理部20は、データCによる異常発生リスクとして、ASIL-Bの指標に基づく評価を行う。セキュリティ処理部20は、ASIL-Bに対応したセキュリティ強度でのセキュリティとして、ファイヤーウォールの段数を2段に設定する。セキュリティ処理部20は、データCを2段のファイヤーウォールに通過させ、データCに異常が検知されるか否かを判定する。セキュリティ処理部20は、データCに異常が検知されない場合、データCを車両制御用ECU32に転送する。車両制御用ECU32にはデータCが入力され、車両制御用アプリケーション36は、データCを用いた処理が可能な状態となり、データCを用いた処理を開始する。
一方、サーバからデータDが送信されると、通信モジュール10はデータDを受信し、受信したデータDを車載コンピュータ100に出力する。データDは、車載コンピュータ100のセキュリティ処理部20に入力される。
セキュリティ処理部20は、所定の特定方法を用いて、データDから、データDが車両制御用アプリケーション37で処理される予定であり、車両制御用アプリケーション37に付されたランクがASIL-Cであることを特定する。セキュリティ処理部20は、データDによる異常発生リスクとして、ASIL-Cの指標に基づく評価を行う。セキュリティ処理部20は、ASIL-Cに対応したセキュリティ強度でのセキュリティとして、ファイヤーウォールの段数を3段に設定する。セキュリティ処理部20は、データDを3段のファイヤーウォールに通過させ、データDに異常が検知されるか否かを判定する。セキュリティ処理部20は、データDに異常が検知されない場合、データDを車両制御用ECU33に転送する。車両制御用ECU33にはデータDが入力され、車両制御用アプリケーション37は、データDを用いた処理が可能な状態となり、データDを用いた処理を開始する。
図2において、データAとデータBとを比較すると、各データが通過するファイヤーウォールの段数が異なる。データAは1段のファイヤーウォールを通過するのに対して、データBは4段のファイヤーウォールを通過するため、データBの異常を検知する異常検知処理に要する時間は、データAの異常を検知する異常検知処理に要する時間よりも長くなる。安全性の基準が高い車両制御用アプリケーション29で使用されるデータに対しては十分な時間をかけて異常検知を行う一方で、安全性の基準が比較的低い車両制御用アプリケーション26で使用されるデータに対しては必要以上に時間をかけずに異常検知を行う。このため、本実施形態に係る車載コンピュータ100によれば、安全性の基準と異常検知処理に要する時間とのバランスをとることができる。また、例えば、データAが車両制御用アプリケーションで処理された後、データAの送信元に対して所定の時間内に応答する必要がある場合、車載コンピュータシステム1のセキュリティを確保しながら、応答性に対する要求を満足させることができる。なお、図3に示すデータC及びデータDについても、データA及びデータBと同様の効果を得ることができるため、データA及びデータBを用いた説明を援用する。
以上のように、本実施形態に係る車載コンピュータ100は、通信モジュール10を介して車両の外部からデータが入力される車載コンピュータである。車載コンピュータ100は、入力データのデータ情報に基づき、入力データにより異常が生じたときのリスクである異常発生リスクを評価するリスク評価部21と、リスク評価部21により評価された異常発生リスクに基づき、入力データに対するセキュリティ強度を調整するセキュリティ強度調整部22と、セキュリティ強度調整部22により調整されたセキュリティ強度で入力データに対するセキュリティを設定するセキュリティ設定部23を備える。本発明に係る車載コンピュータ100、コンピュータを車載コンピュータ100として機能させるためのプログラム、当該プログラムを記録したコンピュータ読み取り可能な記録媒体、及びセキュリティ設定方法によれば、入力データに対するセキュリティ強度は、異常発生リスクに基づいて調整されるため、異常検知処理に要する時間はデータごとに変えることができる。その結果、車載コンピュータシステム1のセキュリティを確保しつつ、車載コンピュータシステム1全体としての処理時間を低減させることができる。
また、本実施形態では、異常発生リスクの高さは、車両の乗員に影響を与える影響度である「重大度」、車両が危険分子又は危険因子に遭遇する頻度である「曝露確率」、及び車両のドライバによる危険回避の難易度である「制御可能性」に基づき評価される。これにより、入力データの異常が車両又は車両の乗員に対して与える悪影響の程度を適切に評価することができる。
さらに、本実施形態では、セキュリティ強度調整部22は、入力データによる異常発生リスクが高いほど、入力データに対するセキュリティ強度を強く設定する。異常発生リスクの高さに対応したセキュリティ強度を設定することができるため、異常発生リスクと異常検知処理に要する時間とのバランスをとることができる。その結果、車載コンピュータシステム1のセキュリティを確保しつつ、車載コンピュータシステム1全体としての処理時間を低減させることができる。
加えて、本実施形態では、リスク評価部21が異常発生リスクを評価する時に用いる入力データのデータ情報は、入力データを用いて処理を実行する予定の車両制御用アプリケーションの種別である。これにより、入力データによる異常発生リスクを容易に評価することができる。その結果、異常発生リスクの評価処理に要する時間の短縮化を図ることができ、車載コンピュータシステム1全体としての処理時間に与える影響を低減させることができる。
また、本実施形態に係る車載コンピュータ100は、入力データの異常を検知するためのファイヤーウォールがインストールされたゲートウェイ部を備え、セキュリティ設定部23は、セキュリティ強度調整部22により調整されたセキュリティ強度に応じて、入力データを通過させるファイヤーウォールの段数を設定する。これにより、異常発生リスクが高いほど、ファイヤーウォールの段数を多く設定することができるため、入力データに対する信頼性を向上させることができる。
さらに、本実施形態では、ゲートウェイ部24は、ファイヤーウォールを用いて、入力データに異常があるか否かを検知する異常検知処理を実行する。車両の外部からのサイバー攻撃に対しても、車載コンピュータシステム1のセキュリティを保つことができる。
なお、以上に説明した実施形態は、本発明の理解を容易にするために記載されたものであって、本発明を限定するために記載されたものではない。したがって、上記の実施形態に開示された各要素は、本発明の技術的範囲に属する全ての設計変更や均等物をも含む趣旨である。
例えば、上述した実施形態では、入力データによる異常発生リスクを、ASILのランクに基づき評価する構成を例に挙げて説明したが、入力データの内容に基づいて、入力データによる異常発生リスクを評価してもよい。例えば、リスク評価部21は、入力データの内容が車載用オペレーティングシステムをアップデートするためのプログラムの場合、入力データの内容が車両の乗員に向けた案内情報の場合に比べて、入力データによる異常発生リスクを高く評価してもよい。ASILのランク付けがされないECUやアプリケーション、例えば、QM(Quality Management)のランク付けされたECUやアプリケーションにより実行される入力データに対しても、異常発生リスクを適切に評価することができる。その結果、車載コンピュータシステム1に含まれる全てのECU又は全てのアプリケーションで実行される入力データに対して、異常発生リスクを適切に評価することができる。
また例えば、上述した実施形態では、入力データのデータ情報として、車両制御用アプリケーションの種別を例に挙げて説明したが、入力データのデータ情報は、車両制御用ECUの種別であってもよい。
また例えば、上述した実施形態では、入力データによる異常発生リスクを、ASILのランクに基づき評価する構成を例に挙げて説明したが、入力データによる異常発生リスクは、ASILのランクを分類するための「重大度」、「曝露確率」、及び「制御可能性」のうち少なくともいずれか一つに基づき評価してもよい。
例えば、リスク評価部21は、ASILのランクではなく、ASILのランクを分類するための「重大度」、「曝露確率」、及び「制御可能性」のそれぞれの変数に応じて、入力データによる異常発生リスクを評価してもよい。図1の例では、車両制御用アプリケーション26及び車両制御用アプリケーション36は、それぞれASIL-Bとしてランク付けされている。ここで、車両制御用アプリケーション26がASIL-Bとしてランク付けされたときの「重大度」の変数、「曝露確率」変数、及び「制御可能性」の変数と、車両制御用アプリケーション36がASIL-Bとしてランク付けされたときの「重大度」の変数、「曝露確率」の変数、及び「制御可能性」の変数とが異なるものとする。この場合、リスク評価部21は、車両制御用アプリケーション26が処理する予定の入力データによる異常発生リスクと、車両制御用アプリケーション36が処理する予定の入力データによる異常発生リスクとを異なる評価にすることができる。
また例えば、リスク評価部21は、「重大度」、「曝露確率」、及び「制御可能性」の組み合わせに限られず、各項目の変数に応じて、入力データによる異常発生リスクを評価してもよい。また例えば、リスク評価部21は、2つの項目の変数の組み合わせに応じて、入力データによる異常発生リスクを評価してもよい。
また例えば、上述した実施形態では、入力データによる異常発生リスクを評価する指標として、ASILを用いて説明したが、異常発生リスクを評価する指標はASILに限られない。リスク評価部21は、車両の機能安全について規格されたその他の指標を用いて、異常発生リスクを評価してもよい。またリスク評価部21は、複数の指標を用いて、異常発生リスクを評価してもよい。
また例えば、上述した実施形態では、図2及び図3の例において、ファイヤーウォールの段数がASILのランクごとに変わる場合を例に挙げて説明したが、これに限定されない。例えば、図3の例において、セキュリティ設定部23は、データCに対して設定するファイヤーウォールの段数とデータDに対して設定するファイヤーウォールの段数とを同じにしてもよい。そのうえで、セキュリティ設定部23は、データDに対して、ファイヤーウォールだけでなく、IDS又はIPSによる異常検知方法を設定してもよい。また例えば、セキュリティ設定部23は、ファイヤーウォールの段数を同じにしたうえで、ファイヤーウォールによる異常検知の対象範囲を、データCよりもデータDに対して広く設定してもよい。
また例えば、上述した実施形態では、車載コンピュータ100がゲートウェイ部24を備える構成を例に挙げて説明したが、車載コンピュータ100とは異なるコンピュータがゲートウェイ部24を備えていてもよい。すなわち、入力データの異常を検知する異常検知処理及び入力データの転送処理は、車載コンピュータ100以外のコンピュータにより実行されてもよい。この場合、車載コンピュータ100は、セキュリティ設定部23により設定されたセキュリティの設定情報を、ゲートウェイ部24を備えるコンピュータに出力する。
また例えば、上述した実施形態では、入力データの異常検知方法として、ファイヤーウォール、IDS、IPSを例に挙げて説明したが、本願出願時に通信分野において知られている異常検知方法を用いて入力データの異常を検知してもよい。例えば、車載コンピュータ100は、セキュリティ強度に応じて、Proxy(プロキシ)によるフィルタリング処理を設定してもよい。また例えば、車載コンピュータ100は、セキュリティ強度に応じて、車載コンピュータシステム1が備えるアクセスコントロールを設定してもよい。
1…車載コンピュータシステム
10…通信モジュール
100…車載コンピュータ
20…セキュリティ処理部
21…リスク評価部
22…セキュリティ強度調整部
23…セキュリティ設定部
24…ゲートウェイ部
25…車両制御用アプリケーション
26…車両制御用アプリケーション
27…車両制御用アプリケーション
28…車両制御用アプリケーション
31…車両制御用ECU
35…車両制御用アプリケーション
32…車両制御用ECU
36…車両制御用アプリケーション
33…車両制御用ECU
37…車両制御用アプリケーション
34…車両制御用ECU
38…車両制御用アプリケーション
10…通信モジュール
100…車載コンピュータ
20…セキュリティ処理部
21…リスク評価部
22…セキュリティ強度調整部
23…セキュリティ設定部
24…ゲートウェイ部
25…車両制御用アプリケーション
26…車両制御用アプリケーション
27…車両制御用アプリケーション
28…車両制御用アプリケーション
31…車両制御用ECU
35…車両制御用アプリケーション
32…車両制御用ECU
36…車両制御用アプリケーション
33…車両制御用ECU
37…車両制御用アプリケーション
34…車両制御用ECU
38…車両制御用アプリケーション
Claims (10)
- 通信インターフェースを介して車両の外部からデータが入力される車載コンピュータであって、
前記車載コンピュータは、
前記データのデータ情報に基づき、前記データにより異常が生じたときのリスクを評価するリスク評価部と、
前記リスク評価部により評価された前記リスクに基づき、前記データに対するセキュリティ強度を調整するセキュリティ強度調整部と、
前記セキュリティ強度調整部により調整された前記セキュリティ強度で前記データに対するセキュリティを設定するセキュリティ設定部を備える
車載コンピュータ。 - 請求項1に記載の車載コンピュータであって、
前記リスクの高さは、第1項目、第2項目、及び第3項目のうち少なくともいずれか一つに基づき評価され、
前記第1項目は、前記車両の乗員に与える影響度であり、
前記第2項目は、前記車両が危険分子又は危険因子に遭遇する頻度であり、
前記第3項目は、前記車両のドライバによる危険回避の難易度である
車載コンピュータ。 - 請求項2に記載の車載コンピュータであって、
前記セキュリティ強度調整部は、前記リスクが高いほど前記セキュリティ強度を強く設定する
車載コンピュータ。 - 請求項2又は3に記載の車載コンピュータであって、
前記データの前記データ情報は、前記データを用いて処理を実行する予定のアプリケーション及び機器のうち少なくともいずれか一つの種別である
車載コンピュータ。 - 請求項2~4のいずれかに記載の車載コンピュータであって、
前記リスクの高さは、前記データの内容に基づき評価される
車載コンピュータ。 - 請求項1~5のいずれかに記載の車載コンピュータであって、
前記データの異常を検知するためのファイヤーウォールがインストールされたゲートウェイ部を備え、
前記セキュリティ設定部は、前記セキュリティ強度に応じて、前記データを通過させる前記ファイヤーウォールの段数を設定する
車載コンピュータ。 - 請求項6に記載の車載コンピュータであって、
前記ゲートウェイ部は、少なくとも前記ファイヤーウォールを用いて、前記データに異常があるか否かを検知する異常検知処理を実行する
車載コンピュータ。 - コンピュータを、請求項1~7のいずれかに記載の車載コンピュータとして機能させるためのプログラム。
- 請求項8に記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。
- 通信インターフェースを介して車両の外部からデータが入力される車載コンピュータが実行するセキュリティ設定方法であって、
前記車載コンピュータは、
前記データのデータ情報に基づき、前記データにより異常が生じたときのリスクを評価し、
前記リスクに基づき、前記データに対するセキュリティ強度を調整し、
前記セキュリティ強度で前記データに対するセキュリティを設定する
セキュリティ設定方法。
Priority Applications (5)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN202080055060.7A CN114698392A (zh) | 2020-10-30 | 2020-10-30 | 车载计算机、计算机程序、计算机可读的记录介质以及安全措施设定方法 |
JP2022503958A JP7251685B2 (ja) | 2020-10-30 | 2020-10-30 | 車載コンピュータ、コンピュータプログラム、コンピュータ読み取り可能な記録媒体、及びセキュリティ設定方法 |
PCT/JP2020/040906 WO2022091371A1 (ja) | 2020-10-30 | 2020-10-30 | 車載コンピュータ、コンピュータプログラム、コンピュータ読み取り可能な記録媒体、及びセキュリティ設定方法 |
EP20946528.5A EP4239506A4 (en) | 2020-10-30 | 2020-10-30 | VEHICLE-MOUNTED COMPUTER, COMPUTER PROGRAM, COMPUTER-READABLE STORAGE MEDIA AND SECURITY SETTING METHOD |
US17/632,734 US20220358224A1 (en) | 2020-10-30 | 2020-10-30 | Onboard computer, computer program, computer-readable recording medium, and security setting method |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
PCT/JP2020/040906 WO2022091371A1 (ja) | 2020-10-30 | 2020-10-30 | 車載コンピュータ、コンピュータプログラム、コンピュータ読み取り可能な記録媒体、及びセキュリティ設定方法 |
Publications (1)
Publication Number | Publication Date |
---|---|
WO2022091371A1 true WO2022091371A1 (ja) | 2022-05-05 |
Family
ID=81383861
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
PCT/JP2020/040906 WO2022091371A1 (ja) | 2020-10-30 | 2020-10-30 | 車載コンピュータ、コンピュータプログラム、コンピュータ読み取り可能な記録媒体、及びセキュリティ設定方法 |
Country Status (5)
Country | Link |
---|---|
US (1) | US20220358224A1 (ja) |
EP (1) | EP4239506A4 (ja) |
JP (1) | JP7251685B2 (ja) |
CN (1) | CN114698392A (ja) |
WO (1) | WO2022091371A1 (ja) |
Citations (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2015041167A (ja) * | 2013-08-21 | 2015-03-02 | 日立オートモティブシステムズ株式会社 | セキュリティ上の脅威を評価する評価装置及びその方法 |
WO2017060978A1 (ja) * | 2015-10-06 | 2017-04-13 | 株式会社日立製作所 | 自動運転制御装置および自動運転制御方法 |
JP2018014770A (ja) | 2017-10-30 | 2018-01-25 | Kddi株式会社 | 車載コンピュータシステム、車両、管理方法、及びコンピュータプログラム |
JP2018045392A (ja) * | 2016-09-13 | 2018-03-22 | 株式会社東芝 | ネットワーク監視装置、ネットワークシステムおよびプログラム |
US20180295518A1 (en) * | 2017-04-05 | 2018-10-11 | International Business Machines Corporation | Secure mobile device integration with vehicles |
JP2019073102A (ja) * | 2017-10-13 | 2019-05-16 | 日立オートモティブシステムズ株式会社 | 車両用制御装置 |
Family Cites Families (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP4905657B2 (ja) * | 2006-05-24 | 2012-03-28 | オムロン株式会社 | セキュリティ監視装置、セキュリティ監視システム、セキュリティ監視方法 |
EP3751818A1 (en) * | 2012-10-17 | 2020-12-16 | Tower-Sec Ltd. | A device for detection and prevention of an attack on a vehicle |
KR102271978B1 (ko) * | 2013-10-08 | 2021-07-02 | 주식회사 아이씨티케이 홀딩스 | 차량 보안 네트워크 장치 및 그 설계 방법 |
JP6500517B2 (ja) * | 2015-03-10 | 2019-04-17 | 住友電気工業株式会社 | 路側通信装置、データ中継方法、中央装置、コンピュータプログラム、及びデータ処理方法 |
WO2019237068A1 (en) * | 2018-06-08 | 2019-12-12 | Nvidia Corporation | Protecting vehicle buses from cyber-attacks |
-
2020
- 2020-10-30 EP EP20946528.5A patent/EP4239506A4/en active Pending
- 2020-10-30 JP JP2022503958A patent/JP7251685B2/ja active Active
- 2020-10-30 CN CN202080055060.7A patent/CN114698392A/zh active Pending
- 2020-10-30 WO PCT/JP2020/040906 patent/WO2022091371A1/ja unknown
- 2020-10-30 US US17/632,734 patent/US20220358224A1/en active Pending
Patent Citations (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2015041167A (ja) * | 2013-08-21 | 2015-03-02 | 日立オートモティブシステムズ株式会社 | セキュリティ上の脅威を評価する評価装置及びその方法 |
WO2017060978A1 (ja) * | 2015-10-06 | 2017-04-13 | 株式会社日立製作所 | 自動運転制御装置および自動運転制御方法 |
JP2018045392A (ja) * | 2016-09-13 | 2018-03-22 | 株式会社東芝 | ネットワーク監視装置、ネットワークシステムおよびプログラム |
US20180295518A1 (en) * | 2017-04-05 | 2018-10-11 | International Business Machines Corporation | Secure mobile device integration with vehicles |
JP2019073102A (ja) * | 2017-10-13 | 2019-05-16 | 日立オートモティブシステムズ株式会社 | 車両用制御装置 |
JP2018014770A (ja) | 2017-10-30 | 2018-01-25 | Kddi株式会社 | 車載コンピュータシステム、車両、管理方法、及びコンピュータプログラム |
Non-Patent Citations (1)
Title |
---|
See also references of EP4239506A4 |
Also Published As
Publication number | Publication date |
---|---|
EP4239506A4 (en) | 2023-11-29 |
JPWO2022091371A1 (ja) | 2022-05-05 |
US20220358224A1 (en) | 2022-11-10 |
JP7251685B2 (ja) | 2023-04-04 |
CN114698392A (zh) | 2022-07-01 |
EP4239506A1 (en) | 2023-09-06 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US10909237B2 (en) | Method of updating fraud detection rules for detecting malicious frames, fraud detecting electronic control unit, and on-board network system | |
CN111934966B (zh) | 不正常检测电子控制单元、车载网络***以及不正常检测方法 | |
US20220084328A1 (en) | Vehicle monitoring apparatus, fraud detection server, and control methods | |
CN109906587B (zh) | 车载中继装置、车载监视装置、车载控制网络***、通信监视方法以及计算机可读取记录介质 | |
JP5999178B2 (ja) | 車両用ネットワークの通信管理装置及び通信管理方法 | |
US11165851B2 (en) | System and method for providing security to a communication network | |
JP6807906B2 (ja) | 車両へのコンピュータ攻撃を阻止するためのルールを生成するシステムおよび方法 | |
CN107113214B (zh) | 不正常检测电子控制单元、车载网络***以及通信方法 | |
WO2017038351A1 (ja) | 車載ネットワーク装置 | |
JP6762347B2 (ja) | 交通手段に対するコンピュータ攻撃を阻止するためのシステムおよび方法 | |
WO2017024078A1 (en) | A method for detecting, blocking and reporting cyber-attacks against automotive electronic control units | |
US11528325B2 (en) | Prioritizing data using rules for transmission over network | |
US10796503B2 (en) | Vehicle calibration based upon performance product detection | |
CN111373701B (zh) | 异常检测装置、异常检测***以及控制方法 | |
US20230214483A1 (en) | Method of updating fraud detection rules for detecting malicious frames, fraud detecting electronic control unit, and on-board network system | |
JP2023115229A (ja) | モビリティ制御システム、方法、および、プログラム | |
JP2014031077A (ja) | 車両動作検証システム | |
CN111176251A (zh) | 网络*** | |
WO2022091371A1 (ja) | 車載コンピュータ、コンピュータプログラム、コンピュータ読み取り可能な記録媒体、及びセキュリティ設定方法 | |
JP2008259124A (ja) | 車載通信システム、電子制御ユニット | |
CN113169966B (zh) | 用于监控数据传输***的方法、数据传输***和机动车 | |
US20220029855A1 (en) | Relay device system | |
JPWO2022091371A5 (ja) | ||
WO2021019635A1 (ja) | セキュリティ装置、攻撃対応処理方法、コンピュータプログラム、及び記憶媒体 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
ENP | Entry into the national phase |
Ref document number: 2022503958 Country of ref document: JP Kind code of ref document: A |
|
121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 20946528 Country of ref document: EP Kind code of ref document: A1 |
|
NENP | Non-entry into the national phase |
Ref country code: DE |
|
ENP | Entry into the national phase |
Ref document number: 2020946528 Country of ref document: EP Effective date: 20230530 |