WO2020153122A1 - 車両セキュリティ監視装置、方法及びプログラム - Google Patents

車両セキュリティ監視装置、方法及びプログラム Download PDF

Info

Publication number
WO2020153122A1
WO2020153122A1 PCT/JP2020/000285 JP2020000285W WO2020153122A1 WO 2020153122 A1 WO2020153122 A1 WO 2020153122A1 JP 2020000285 W JP2020000285 W JP 2020000285W WO 2020153122 A1 WO2020153122 A1 WO 2020153122A1
Authority
WO
WIPO (PCT)
Prior art keywords
vehicle
information
security monitoring
log data
abnormal state
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2020/000285
Other languages
English (en)
French (fr)
Inventor
哲 上野
春樹 小田
厚司 若杉
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Docomo Business Inc
Original Assignee
NTT Communications Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NTT Communications Corp filed Critical NTT Communications Corp
Priority to CN202080010092.5A priority Critical patent/CN113348111B/zh
Priority to EP20745612.0A priority patent/EP3915843A4/en
Publication of WO2020153122A1 publication Critical patent/WO2020153122A1/ja
Priority to US17/377,855 priority patent/US12401667B2/en
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • B60R16/0231—Circuits relating to the driving or the functioning of the vehicle
    • B60R16/0232—Circuits relating to the driving or the functioning of the vehicle for measuring vehicle parameters and indicating critical, abnormal or dangerous conditions
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40169—Flexible bus arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/03—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for supply of electrical power to vehicle subsystems or for
    • B60R16/0315—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for supply of electrical power to vehicle subsystems or for using multiplexing techniques
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle

Definitions

  • One aspect of the present invention relates to a vehicle security monitoring device, method, and program for monitoring the security status of an in-vehicle network built in a vehicle, for example.
  • in-vehicle control devices that electronically control various in-vehicle devices such as an engine and a brake, as well as in-vehicle control devices that configure a navigation system, devices such as meters that display various vehicle states are displayed.
  • Many in-vehicle control devices such as an in-vehicle control device which controls, are mounted.
  • the on-vehicle control devices are electrically connected by a communication line to form an on-vehicle network, and various data are transmitted and received between the on-vehicle control devices via the on-vehicle network. ..
  • the vehicle-mounted network requires extremely high security because each vehicle-mounted control device connected to the network is responsible for controlling various vehicle-mounted devices such as the engine and brakes mounted on the vehicle.
  • an in-vehicle network is generally isolated from an external network. Therefore, for example, an in-vehicle network such as a control area network (CAN) is designed on the assumption that the data transmitted/received in the in-vehicle network is the regular data transmitted from the regular in-vehicle control device. ing.
  • CAN control area network
  • a vehicle equipped with this type of system is generally called a connected car and is used to realize advanced services such as updating map data of a navigation system and automatic driving.
  • the in-vehicle network can be connected to an external network, so it has been pointed out that the external network poses a threat of cyber attacks using malware, viruses, etc.
  • a cyber attack for example, an illegal control command may be executed to malfunction the vehicle, or the software of the vehicle-mounted control device or the control data may be tampered with.
  • the technology that has been conventionally considered is generally one that detects system tampering or failure due to cyber attack for each vehicle and notifies only the vehicle in which the system tampering or failure has been detected, such as the occurrence of a failure.
  • the present invention has been made in view of the above circumstances, and in one aspect thereof, aims to provide a technique that enables more effective execution of security measures based on log data transmitted from an in-vehicle network. is there.
  • a vehicle security monitoring device capable of communicating with an in-vehicle network having a function of transmitting log data relating to an operating state of an in-vehicle device.
  • a log data acquisition unit that acquires the log data
  • an abnormal state detection unit that detects an abnormal state in the vehicle-mounted network based on the acquired log data
  • a range of influence of the detected abnormal state a presumed information management unit that manages information representing the estimated range of influence.
  • the abnormal state is detected based on the log data transmitted from the vehicle onboard network, and the range of influence of the abnormal state is estimated. Therefore, it is possible to expand the target of the countermeasure not only to the vehicle in which the abnormal state is detected but also to the range affected by the abnormal state. As a result, for example, when a program of an in-vehicle network of a vehicle has been tampered with by a cyber attack, it is possible to collectively take countermeasures for other vehicles or in-vehicle networks related to the vehicle or the in-vehicle network.
  • each aspect of the present invention it is possible to provide a technology that enables more effective security measures to be executed based on the log data transmitted from the vehicle-mounted network.
  • FIG. 1 is a block diagram showing the overall configuration of a vehicle information communication system including a vehicle security monitoring device according to an embodiment of the present invention.
  • FIG. 2 is a block diagram showing a hardware configuration of an SOC server that operates as a vehicle security monitoring device according to an embodiment of the present invention.
  • FIG. 3 is a block diagram showing the software configuration of the SOC server that operates as the vehicle security monitoring device according to the embodiment of the present invention.
  • FIG. 4 is a flowchart showing a control procedure and control contents by the SOC server shown in FIGS. 2 and 3.
  • FIG. 5 is a diagram illustrating an example of a combination of a threat type (incident attack type) defined as threat information and a risk level (incident risk level).
  • FIG. 6 is a diagram showing an example of the analysis report.
  • FIG. 1 is a diagram showing an overall configuration of a system including a vehicle security monitoring device according to an embodiment of the present invention.
  • the vehicle security management system according to one embodiment has, for example, a mobility service network 8 as a core.
  • a mobility service server 20, a security operation center (SOC) server 30, and a PSIRT (Product Security Incident Response Team) server 40 are connected to the mobility service network 8.
  • SOC security operation center
  • PSIRT Product Security Incident Response Team
  • the mobility service network 8 can communicate with the vehicle-mounted network 2 mounted on the vehicle 1 via the mobile communication network 7. Further, the mobility service network 8 can communicate with the external server 50 via the Internet 9.
  • the mobile communication network 7 and the mobility service network 8 and the mobility service network 8 and the Internet 9 are connected via, for example, gateways 81 and 82 as inter-network connection devices.
  • the mobile communication network 7 for example, a cellular mobile communication network or a wireless LAN (Local Area Network) is used.
  • the in-vehicle network 2 is called, for example, CAN (Control Area Network), and has a plurality of in-vehicle electronic control units (Electric Control Unit: ECU). Each ECU is configured to perform a predetermined control function by causing a processor to execute a program.
  • the ECU is used as a device that controls an engine, a transmission, a steering angle, an accelerator, a brake, a device that controls a winker, a light, and a wiper, a device that controls opening and closing of a door lock and a window, a device that controls air conditioning, and the like. ..
  • the vehicle 1 includes measurement data of various vehicle sensors such as a speed sensor, a temperature sensor, and a vibration sensor related to the operating state of the vehicle, an in-vehicle sensor for monitoring the driver's state, an out-of-vehicle sensor for monitoring the outside condition, Many sensors are provided.
  • the ECU is also used as a device that captures the sensing data output from these sensors.
  • the ECU is also used as an automatic driving control device and a device for monitoring the state of the driver.
  • a communication control unit (TCU) 3 and a navigation device 4 are connected to the vehicle-mounted network 2.
  • the TCU 3 is used for transmitting and receiving data between the vehicle-mounted network 2 and the mobile communication network 7.
  • the TCU 3 is used for transmitting/receiving call data of a driver, receiving navigation data from a website, and transmitting log data representing an operation state of the ECU to the SOC server 30.
  • the navigation device 4 has a USB port and a wireless interface. Then, data is written to and read from the USB memory 5 via the USB port, and data is sent to and received from the mobile terminal 6 such as a smartphone via the wireless interface and data is sent to and received from the outside. Has the function of performing.
  • the wireless interface for example, one using Bluetooth (registered trademark) or WiFi (registered trademark) is used.
  • the in-vehicle network 2 has an external interface port (OBD-2).
  • OBD-2 external interface port
  • a test device or a personal computer can be connected to the OBD-2.
  • the test device and the personal computer are used, for example, to test the ECU and install an update program and control data to the ECU.
  • the external server 50 is operated and managed by, for example, Auto-ISAC (Automotive Information Sharing and Analysis Center).
  • the external server 50 includes, for example, a database that stores threat information related to connected car-related cyber threats and potential vulnerabilities. Then, the information accumulated in the database is provided to the SOC server 30.
  • the PSIRT server 40 is operated by, for example, an organization (PSIRT) for performing necessary safety management, support, and incident response throughout the development life cycle of a vehicle manufacturer or an in-vehicle device.
  • the PSIRT server 40 includes, for example, a threat information database that stores cyber threat information unique to the manufacturer. Then, the threat information is transmitted to the SOC server 30 in response to the request from the SOC server 30. Further, the PSIRT server 40 has a function of transmitting a recall instruction including the corresponding policy, etc., to the corresponding vehicle when the corresponding policy etc. determined by the manufacturer is input by the PSIRT administrator.
  • the above correspondence policy and the like are input based on the security analysis report provided from the SOC server 30.
  • the threat information is defined by, for example, a combination of a threat type and a risk level scale. The analysis report is also described using, for example, a combination of the threat type and the risk scale.
  • FIGS. 2 and 3 are block diagrams showing a hardware configuration and a software configuration of the SOC server 30, respectively.
  • the SOC server 30 operates as, for example, a vehicle security monitoring device, and is composed of a cloud server or a Web server.
  • the SOC server 30 includes a control unit 31, a storage unit 32, and a communication I/F (communication I/F) 33. These are connected to each other via a bus 34.
  • the communication I/F 33 transmits various data to and from the vehicle-mounted network 2, the external server 50 and the PSIRT server 40 according to the communication protocol used in the mobility service network 8 and the Internet 9.
  • the storage unit 32 is, for example, a combination of a non-volatile memory such as a HDD (Hard Disk Drive) or a Solid State Drive (SSD) that can be written and read at any time, and a ROM (Read Only Memory) and a RAM (Random Access Memory). And a program storage area and a data storage area.
  • a non-volatile memory such as a HDD (Hard Disk Drive) or a Solid State Drive (SSD) that can be written and read at any time
  • ROM Read Only Memory
  • RAM Random Access Memory
  • the data storage area is provided with a threat information storage unit 321, a log data storage unit 322, an abnormality detection information storage unit 323, and an impact estimation information storage unit 324.
  • the threat information storage unit 321 is used to store the threat information acquired from the external server 50 and the PSIRT server 40.
  • the log data storage unit 322 is used to store the log data transmitted from the in-vehicle network 2.
  • the abnormality detection information storage unit 323 is used to store the abnormality detection information of the vehicle-mounted network 2 obtained by the abnormality detection process of the control unit 31.
  • the influence estimation information storage unit 324 is used to store information indicating a plurality of estimation results regarding the influence of the abnormality, which is obtained by the control unit 31.
  • the control unit 31 includes a hardware processor such as a CPU (Central Processing Unit).
  • the control unit 31 has a threat information acquisition unit 311, a log data acquisition unit 312, an abnormality detection processing unit 313, an influence range estimation unit 314, and a risk degree as control functions for implementing the embodiment of the present invention.
  • the estimation unit 315, the threat type/cause estimation unit 316, the notification target vehicle selection unit 317, the notification information transmission unit 318, and the report information transmission unit 319 are included.
  • Each of these control function units is realized by causing the hardware processor to execute a program stored in the program storage area of the storage unit 32.
  • the threat information acquisition unit 311 acquires threat information for the in-vehicle network 2 from the external server 50 and the PSIRT server 40 via the mobility service network 8. Then, the acquired threat information is stored in the threat information storage unit 321.
  • the threat information includes, for example, information indicating the type of vulnerability of the in-vehicle network 2 against cyber attacks and its weakness, and information indicating the type of abnormal operation that may cause an accident and its importance.
  • the threat information may be acquired not via the mobility service network 8 but via another network such as the Internet 9.
  • the log data acquisition unit 312 acquires the log data transmitted from the vehicle-mounted network 2 via the mobile communication network 7 and the mobility service network 8. Then, the acquired log data is stored in the log data storage unit 322. Further, the log data may be acquired not via the mobility service network 8 but via another network such as the Internet 9.
  • the log data includes, for example, a change history of programs and control data in the ECU in the in-vehicle network 2, an operation history of in-vehicle devices and in-vehicle devices by each ECU, and various control data or content data when receiving various control data from an external network.
  • Information that indicates the communication path of the received data is included.
  • the log data includes information for identifying the transmission source, the identification number of the ECU that is the source of the log data, the vehicle device or the in-vehicle device, the network address that is pre-assigned to the vehicle 1, and the date and time when the log data is generated.
  • a time stamp indicating the position and position information indicating the current position of the vehicle 1 are added as a header.
  • the position information can be acquired by, for example, a GPS (Global Positioning System) receiver provided in the car navigation system.
  • the anomaly detection processing unit 313 obtains the correlation between the log data acquired by the log data acquisition unit 312 and the threat information stored in the threat information storage unit 321 to determine whether the content of the log data corresponds to a threat. Determine whether or not. Then, when it is determined that the threat corresponds to the threat, information indicating the type of abnormality corresponding to the threat and the degree of the correlation is stored in the abnormality detection information storage unit 323 as the abnormality detection information together with the target log data. Perform processing to
  • the influence range estimation unit 314 estimates the influence range of the abnormal state based on the content of the abnormality detection information stored in the abnormality detection information storage unit 323, and obtains the information indicating the estimation result as the influence estimation information storage unit 324. Process to be stored in.
  • the estimation target of the influence range for example, a vehicle manufacturer, a vehicle type, a year, an area, an ECU, and a part in the in-vehicle network 2 are assumed.
  • the risk estimation unit 315 correlates the type of abnormal operation included in the abnormality detection information stored in the abnormality detection information storage unit 323 with the threat information, and thus the degree of risk of the abnormal operation (degree of risk) To estimate. Then, a process of storing information indicating the estimation result in the influence estimation information storage unit 324 is performed.
  • the degree of danger indicates, for example, the degree of danger that the abnormal operation gives to the vehicle or the driver, and can be determined in four stages of “Information”, “Medium”, “Serious”, and “Critical”, for example.
  • the threat type/cause estimation unit 316 estimates the attack type of the abnormal state (incident) based on the information attached to the log data in which the abnormal state is detected. Further, when the threat type/cause estimation unit 316 receives a cyber attack such as malware or virus, it estimates the transmission route and the transmission source from the communication route information of the transmission data received at this time. Then, based on these estimation results, information indicating the threat type and/or the occurrence factor of the abnormal state is generated and stored in the influence estimation information storage unit 324.
  • a cyber attack such as malware or virus
  • the notification target vehicle selection unit 317 is a vehicle to be an abnormality response target, based on the information indicating the estimation result of the influence range, the risk level, the threat type, the occurrence factor, or both stored in the influence estimation information storage unit 324. Select a group. Then, the process of transmitting the abnormality correspondence notification information to the selected vehicle group is performed. Examples of the vehicle group that is the target of abnormality handling include vehicles that correspond to any of the manufacturer, vehicle type, and type, or vehicles that are used in a specific area.
  • the notification information transmission unit 318 performs a process of transmitting the abnormality correspondence notification information from the communication I/F 33 to the mobility service network 8 with the vehicle group selected by the notification target vehicle selection unit 317 as the destination.
  • the report information transmission unit 319 includes information indicating the estimation result of the influence range, the risk level, the threat type, or the generation factor stored in the influence estimation information storage unit 324, and the abnormality detection stored in the abnormality detection information storage unit 323. Create an analysis report for vehicle security including information and. Then, the information of the created analysis report is transmitted from the communication I/F 33 to the PSIRT server 40.
  • FIG. 4 is a flowchart showing an example of the control procedure and control contents.
  • the SOC server 30 Under the control of the threat information acquisition unit 311, the SOC server 30 periodically or at any time from the external server 50 and the PSIRT server 40 periodically or at any time, a connected car-related cyber threat or a threat. Get information that defines a potential vulnerability. Specifically, the information defined by the threat type and the risk scale is acquired. Then, the acquired information is stored in the threat information storage unit 321 as threat information. In the threat information acquisition process, even when the SOC server 30 accesses the external server 50 or the like to obtain the threat information, the SOC server 30 sends the threat information periodically or irregularly transmitted by the SOC server 30. A method of receiving may be used.
  • the in-vehicle network 2 collects the generated log data in step S10 and temporarily stores it in the internal memory. Then, the in-vehicle network 2 reads the stored log data every time a certain period of time elapses in step S11. Then, the read log data is transmitted from the TCU 3 to the SOC server 30 in step S12. The log data may be transmitted in real time each time it is generated, instead of being collected for a certain period of time.
  • the SOC server 30 monitors the reception of the log data in step S21 under the control of the log data acquisition unit 312. In this state, when the log data is received by the communication I/F 31, the log data acquisition unit 312 takes in the received log data and stores it in the log data storage unit 322 in step S22. The log data acquisition unit 312 repeats the above process each time log data is received.
  • the SOC server 30 outputs the newly acquired log data to the log data storage unit 322 in step S22 under the control of the abnormality detection processing unit 313 every time new log data is acquired. Read from. Then, the correlation value between the information indicating the operation content included in the log data and the plurality of pieces of threat information stored in the threat information storage unit 321 is calculated. Then, the log data whose correlation value is equal to or greater than the threshold value is stored in the abnormality detection information storage unit 323 as abnormality detection information.
  • the abnormality detection processing unit 313 extracts the log data as log data including an abnormal state, and detects this as abnormality detection information.
  • the information is stored in the information storage unit 323.
  • the influence range estimation unit 314 extracts the vehicle identification numbers or chassis numbers of the detected plurality of vehicles from the log data and determines, for example, the commonality of the vehicle manufacturer name, vehicle type, and year model. Then, based on the determination result, it is estimated whether the influence range of the abnormal operation is a specific "maker”, a specific "vehicle type", or a specific "year model", and The estimation result is stored in the influence estimation information storage unit 324 together with the target log data.
  • the vehicle seller or the manufacturer or seller of the in-vehicle network 2 may be estimated as the influence range.
  • the affected area is estimated to be "cold region”. Then, the estimation result is stored in the influence estimation information storage unit 324 together with the target log data.
  • the ECU that has generated log data indicating an abnormal operation, another ECU connected to the same bus as the on-vehicle device or apparatus, and the on-vehicle device or apparatus are estimated as the range of influence of the abnormal operation. .. Then, the estimation result is stored in the influence estimation information storage unit 324 together with the target log data.
  • the SOC server 30 estimates the degree of risk (degree of danger) caused by the abnormal operation in step S26.
  • the risk level is estimated based on the type of abnormal operation included in the abnormality detection information and the correlation value between the abnormal operation and threat information.
  • the degree of danger to the vehicle 1 or the driver Is estimated to be high.
  • the type of abnormal state is related to the air conditioner, it is estimated that the degree of danger to the vehicle 1 or the driver is low.
  • the risk level of an incident is determined in four levels of “Information”, “Medium”, “Serious”, and “Critical” as illustrated in FIG.
  • the risk estimation unit 315 stores the information indicating the estimation result of the risk estimated as described above in the influence estimation information storage unit 324 together with the log data that is the estimation target.
  • the SOC server 30 estimates the threat type or cause of occurrence of abnormal state or both in step S27. Perform processing. For example, based on the information indicating the log generation source added to the log data in which the abnormal state is detected, it is estimated whether the abnormal place is the ECU, the in-vehicle device, or the in-vehicle device. Further, for example, when a cyber attack such as malware or a virus is received, the communication route information of the transmission data related to the cyber attack is analyzed to obtain the information indicating the attack source and its communication route, such as the region, ID, and domain. presume.
  • a cyber attack such as malware or a virus
  • incident attack type information indicating the threat type (incident attack type) of the abnormal state or the generation factor or both is generated and stored in the influence estimation information storage unit 324.
  • incident attack type for example, as shown in FIG. 4, six types of “illegal access”, “DoS attack”, “malware”, “unnatural communication”, “investigative action” and “other” are defined. To be done.
  • the processing content of the threat type/cause estimation unit 316 not only is the location of the abnormality or the cyber attack source estimated, but the content of the log data is analyzed to estimate the threat type or the cause of the abnormal state. May be. For example, by extracting the characteristics of the waveform detected by the vibration sensor and the characteristics of the temperature change detected by the temperature sensor, and inputting the extracted characteristic data into the learning model, the threat type of abnormal state or the cause of occurrence or its Estimate both.
  • the SOC server 30 controls the notification target vehicle selection unit 317 to perform step S28.
  • the notification target vehicle of the correspondence information is selected based on the information indicating the estimation result of the influence range, the risk level, the threat type, or the generation factor stored in the influence estimation information storage unit 324.
  • the notification information transmitting unit 318 extracts the vehicle existing in the region based on the position information of the vehicle added to the log data. Then, a response instruction for the abnormal state is generated based on the estimation result of the risk level and the threat type or the occurrence factor or both, and the notification information including the response instruction is transmitted to the vehicles existing in the area.
  • the notification information transmission unit 318 sets the priority order in transmitting the response instruction according to the degree of risk. For example, when an abnormal state is detected in each of a plurality of vehicle-mounted networks 2 in the same time zone, a priority is set in order from the highest risk of each abnormal state, and a notification including a response instruction is given according to the priority. Send information. As a result, for example, a vehicle with an abnormality in the power unit or an abnormality suspected of taking over the in-vehicle network 2 has a higher priority than a vehicle with an abnormality in the air conditioner or the power window or an abnormality in the navigation system.
  • the notification information including the response instruction is transmitted every time.
  • the notification information including the handling instruction is transmitted to each vehicle to be notified via the mobility service network 8 and the mobile communication network 7.
  • the vehicle-mounted network 2 of the vehicle that has received the notification information detects the reception of the notification information in step S13 shown in FIG. To execute.
  • the program or control data of the ECU in which the operation abnormality is detected according to the response instruction is restored, or the operation state of the vehicle-mounted device or device is reset.
  • the SOC server 30 under the control of the report information transmission unit 319, in step S30, the influence range, the degree of risk and the threat type or occurrence stored in the influence estimation information storage unit 324.
  • An analysis report including information indicating the estimation result of each of the factors or both and the abnormality detection information stored in the abnormality detection information storage unit 323 is created. Then, the created analysis report is transmitted to the PSIRT server 40 of the corresponding manufacturer.
  • the analysis report includes messages indicating the estimated threat type (incident attack type) and/or the cause of the incident, the risk of the incident, and the recommended countermeasures.
  • FIG. 5 shows an example of combinations of threat types (incident attack types) and risk measures (incident risk levels). In this example, 12 combinations are defined.
  • FIG. 6 shows an example of the analysis report. The degree of incident risk is described in the “Severity” column, and the attack type of the incident is described in the “Category” column. In the "Recommendation/Action” column, the recommended response message for the attack is described.
  • the manufacturer can study, for example, a permanent recovery method for the relevant vehicle, send a countermeasure instruction to the relevant vehicle, or consider recall in some cases. It can also be reflected in the design of the vehicle-mounted network 2 to be mounted on a vehicle to be developed later.
  • the SOC server 30 acquires log data transmitted from the vehicle-mounted network 2 and obtains the correlation between the acquired log data and threat information to obtain log data indicating an abnormal operation. To detect. Then, the range of influence of the abnormality based on the detection information of the abnormality, the degree of danger and the threat type of the abnormality or the occurrence factor or both are estimated, respectively, and the notification target of the response instruction based on these estimation results. The vehicle is selected and the corresponding instruction is transmitted to the selected vehicle.
  • the range of influence of the abnormal state represented by the log data is estimated, the vehicle group corresponding to the range of influence is selected, and the corresponding instruction is given. Will be notified. Therefore, not only the vehicle in which the abnormal state is detected, but also other vehicles of the same maker, vehicle type, and model year, for example, can be simultaneously notified of the response instruction.
  • the program or control data of the ECU of a vehicle of a specific maker, vehicle type, or model year has been tampered with by a cyber attack, the program or control data of the corresponding vehicle can be collectively and remotely restored. It will be possible.
  • vehicles to be notified of response instructions are selected based on the range of influence of the abnormal state, and notification instructions are notified only to these vehicles. For this reason, it is possible to notify all vehicles of the response instruction without fail, while other unrelated vehicles are not notified of the response instruction, so that it is possible to prevent other vehicles from being adversely affected. it can.
  • the priority is set for the notification destination of the response instruction based on the degree of danger caused by the abnormal state. Therefore, for an in-vehicle network 2 in which a highly important abnormality that affects the traveling of the vehicle, such as a power unit abnormality or hijacking of the in-vehicle network 2 due to a cyber attack, is detected, the importance is higher than that. It is possible to give priority to the countermeasure instruction from the vehicle-mounted network 2 in which the low abnormality is detected.
  • [Other Embodiments] As a method for detecting an abnormality from log data, for example, a learning model using a neural network or the like is used to estimate the influence range of the abnormality, the degree of danger, the threat type, the generation factor, or both. Good.
  • the SOC server 30 extracts a plurality of parameters that represent the characteristics of abnormal operation from the log data, and inputs these parameters into the learning model to determine the range of influence of the abnormal operation, the degree of danger, and the threat type of the abnormal operation. Obtain the estimation result of the occurrence factor or both.
  • the parameter indicating the characteristic of abnormal operation for example, vibration, temperature, rotation speed, speed, illuminance, ambient weather, etc. can be considered.
  • the present invention may be applied to vehicles such as bus, taxi, and other business vehicles for riding, construction vehicles, agricultural vehicles, special-purpose vehicles such as ambulances, and further such as aircraft, helicopters, and drones. It can also be applied to flying bodies, fishing boats and passenger ships that run on water, ships such as cargo ships and tankers, and railway vehicles that run on tracks such as trams and monorails.
  • the respective embodiments may be implemented in combination as appropriate as possible, in which case the combined effects can be obtained.
  • the embodiments include inventions at various stages, and various inventions can be extracted by appropriately combining a plurality of disclosed constituent elements. For example, even if some constituent elements are deleted from all the constituent elements shown in the embodiment, the problems described in the section of the problem to be solved by the invention can be solved, and the effects described in the section of the effect of the invention When the above is obtained, the configuration in which this constituent element is deleted can be extracted as the invention.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Mechanical Engineering (AREA)
  • Automation & Control Theory (AREA)
  • Small-Scale Networks (AREA)
  • Alarm Systems (AREA)
  • Traffic Control Systems (AREA)

Abstract

この発明の一つの態様は、車載装置の動作状態に関するログデータを送信する機能を有する車載ネットワークとの間で通信が可能な車両セキュリティ監視装置にあって、前記ログデータを取得し、取得された前記ログデータに基づいて前記車載ネットワークにおける異常状態を検知する。そして、検知された前記異常状態が及ぼす影響の範囲を推定し、推定された前記影響の範囲を表す情報を管理する。

Description

車両セキュリティ監視装置、方法及びプログラム
　この発明の一態様は、例えば車両内に構築される車載ネットワークのセキュリティの状態を監視するための車両セキュリティ監視装置、方法およびプログラムに関する。
　近年の自動車等の車両には、ナビゲーションシステムを構成する車載制御装置をはじめ、エンジンやブレーキ等の各種車載機器を電子的に制御する車載制御装置、車両の各種状態を表示するメータ等の機器を制御する車載制御装置などの多くの車載制御装置が搭載されている。そして、車両内では、それら各車載制御装置が通信線により電気的に接続されて車載ネットワークが形成されており、この車載ネットワークを介して各車載制御装置間で各種データの送受信が行われている。
　車載ネットワークは、当該ネットワークに接続される各車載制御装置が車両に搭載されるエンジンやブレーキ等の各種車載機器の制御を担っていることから、極めて高いセキュリティが要求される。しかし、こうした車載ネットワークは、外部のネットワークとは隔離されているのが一般的である。このため、例えばコントロール・エリア・ネットワーク（ＣＡＮ）等をはじめとする車載ネットワークは、同車載ネットワークで送受信されるデータが正規の車載制御装置から送信される正規のデータであることを前提に設計されている。
　一方で、最近このような車載ネットワークと外部のネットワークとの各種データの授受や、車両に設けられたデータ・リンク・コネクタ（ＤＬＣ）に接続された外部機器との各種データの授受を可能とするシステムの開発が進められている。この種のシステムを搭載した車両は一般にコネクテッドカーと呼ばれ、例えばナビゲーションシステムの地図データの更新や自動運転等の高度なサービスを実現するために用いられている。
　しかしながら、コネクテッドカーでは、車載ネットワークが外部のネットワークに接続可能となるため、外部のネットワークからマルウェアやウィルス等を用いたサイバー攻撃の脅威が指摘されている。サイバー攻撃を受けると、例えば不正な制御命令が実行されて車両が誤動作したり、車載制御装置のソフトウェアまたは制御データが改ざんされるおそれがある。
　そこで、車載制御装置のソフトウェアまたは制御データ等の車内システムの改ざんや、それによる故障を検知する技術が種々検討されている（例えば特許文献１を参照）。
日本国特開２０１８－０８１３４９号公報
　ところが、従来検討されている技術は、車両ごとにサイバー攻撃によるシステム改ざんや故障を検知し、当該システム改ざんや故障が検知された車両のみに障害の発生等を通知するものが一般的である。
　この発明は上記事情に着目してなされたもので、その一側面では、車載ネットワークから送信されるログデータに基づいてさらに効果的なセキュリティ対策の実行を可能にする技術を提供しようとするものである。
　上記課題を解決するためにこの発明に係る車両セキュリティ監視装置の一つの態様は、車載装置の動作状態に関するログデータを送信する機能を有する車載ネットワークとの間で通信が可能な車両セキュリティ監視装置にあって、前記ログデータを取得するログデータ取得部と、前記取得されたログデータに基づいて前記車載ネットワークにおける異常状態を検知する異常状態検知部と、前記検知された異常状態が及ぼす影響の範囲を推定する第１の推定部と、前記推定された影響の範囲を表す情報を管理する推定情報管理部とを具備するようにしたものである。
　この発明の第１の態様によれば、車両の車載ネットワークから送信されたログデータをもとに異常状態が検知され、当該異常状態が及ぼす影響の範囲が推定される。このため、異常状態が検知された車両のみならず、当該異常状態が影響を及ぼす範囲まで対策の対象を拡げることが可能となる。この結果、例えばサイバー攻撃により車両の車載ネットワークのプログラムが改ざんされた場合には、当該車両または車載ネットワークと関連する他の車両または車載ネットワークについても一括して対応処置を講じることが可能となる。
　すなわち、この発明の各態様によれば、車載ネットワークから送信されるログデータに基づいてさらに効果的なセキュリティ対策の実行を可能にした技術を提供することができる。
図１は、この発明の一実施形態に係る車両セキュリティ監視装置を含む車両情報通信システムの全体構成を示すブロック図である。 図２は、この発明の一実施形態に係る車両セキュリティ監視装置として動作するＳＯＣサーバのハードウェア構成を示すブロック図である。 図３は、この発明の一実施形態に係る車両セキュリティ監視装置として動作するＳＯＣサーバのソフトウェア構成を示すブロック図である。 図４は、図２および図３に示したＳＯＣサーバによる制御手順と制御内容を示すフローチャートである。 図５は、脅威情報として定義される脅威の種別（インシデントの攻撃種別）と危険度の尺度（インシデントの危険度）との組み合わせの一例を示す図である。 図６は、分析レポートの一例を示す図である。
　以下、図面を参照してこの発明に係わる実施形態を説明する。　
　［一実施形態］
　（構成）
　（１）システム
　図１は、この発明の一実施形態に係る車両セキュリティ監視装置を備えたシステムの全体構成を示す図である。　
　一実施形態に係る車両セキュリティ管理システムは、例えば中核としてモビリティサービスネットワーク８を有する。モビリティサービスネットワーク８には、モビリティサービスサーバ２０、セキュリティ・オペレーション・センタ（Security Operation Center：ＳＯＣ）サーバ３０、およびＰＳＩＲＴ（Product Security Incident Response Team）サーバ４０が接続されている。
　またモビリティサービスネットワーク８は、車両１に搭載された車載ネットワーク２との間で、移動通信ネットワーク７を介して通信が可能となっている。さらにモビリティサービスネットワーク８は、インターネット９を介して外部サーバ５０との間でも通信が可能となっている。
　なお、移動通信ネットワーク７とモビリティサービスネットワーク８との間、およびモビリティサービスネットワーク８とインターネット９との間は、それぞれネットワーク間接続装置としての例えばゲートウェイ８１，８２を介して接続される。また、移動通信ネットワーク７としては、例えばセルラ移動通信ネットワークや無線ＬＡＮ（Local Area Network）が用いられる。
　車載ネットワーク２は、例えばＣＡＮ（Control Area Network）と呼称され、複数の車載電子制御装置（Electric Control Unit：ＥＣＵ）を有している。ＥＣＵは、それぞれがプロセッサにプログラムを実行させることにより所定の制御機能を果たすように構成される。例えば、ＥＣＵはエンジンやトランスミッション、操舵角、アクセル、ブレーキ等を制御する装置、ウィンカーやライト、ワイパーを制御する装置、ドアロックおよび窓の開閉を制御する装置、空調を制御する装置等として用いられる。
　また、車両１には、速度センサや温度センサ、振動センサ等の車両の動作状態に係る各種車両センサの計測データをはじめ、ドライバの状態を監視する車内センサ、車外の状況を監視する車外センサ等の多くのセンサが設けられている。ＥＣＵは、これらのセンサから出力されるセンシングデータを取り込む装置としても用いられる。ＥＣＵは、さらに自動運転制御装置やドライバの状態を監視する装置としても用いられる。
　また車載ネットワーク２には、通信制御ユニット（ＴＣＵ）３およびナビゲーション装置４が接続されている。ＴＣＵ３は、車載ネットワーク２と移動通信ネットワーク７との間でデータの送受信を行うために用いられる。例えば、ＴＣＵ３はドライバの通話データを送受信したり、Ｗｅｂサイトからナビゲーションデータを受信したり、上記ＥＣＵの動作状態を表すログデータをＳＯＣサーバ３０へ送信するために用いられる。
　ナビゲーション装置４は、ＵＳＢポートおよび無線インタフェースを有している。そして、ＵＳＢポートを介してＵＳＢメモリ５との間でデータの書き込みおよび読み出しを行うと共に、無線インタフェースを介してスマートフォン等の携帯端末６との間のデータの送受信や外部との間のデータの送受信を行う機能を有している。なお、無線インタフェースとしては、例えばBluetooth（登録商標）又はWiFi（登録商標）を使用するものが用いられる。
　なお、車載ネットワーク２は、外部インタフェースポート（ＯＢＤ－２）を有している。このＯＢＤ－２には、試験装置やパーソナルコンピュータが接続可能である。試験装置やパーソナルコンピュータは、例えばＥＣＵの試験を行ったり、ＥＣＵに対し更新プログラムや制御データをインストールするために使用される。
　外部サーバ５０は、例えばＡｕｔｏ－ＩＳＡＣ（Automotive Information Sharing and Analysis Center）が運用管理する。外部サーバ５０は、例えば、コネクテッドカー関連のサイバー脅威や潜在的な脆弱性に関する脅威情報を蓄積するデータベースを備える。そして、当該データベースに蓄積された情報をＳＯＣサーバ３０に提供する。
　ＰＳＩＲＴサーバ４０は、例えば、車両メーカ又は車載装置の開発ライフサイクルを通じて必要な安全管理、サポート、インシデント対応を実施するための組織（ＰＳＩＲＴ）が運用する。ＰＳＩＲＴサーバ４０は、例えば、当該メーカ固有のサイバー脅威情報を記憶する脅威情報データベースを備える。そして、ＳＯＣサーバ３０からの要求に応じて脅威情報をＳＯＣサーバ３０へ送信する。またＰＳＩＲＴサーバ４０は、例えば、メーカ別に決定された対応方針等がＰＳＩＲＴの管理者により入力された場合に、当該対応方針等を含むリコール指示を該当車両に向けて送信する機能を有する。上記対応方針等は、ＳＯＣサーバ３０から提供されるセキュリティに対する分析レポートをもとに入力される。なお、脅威情報は、例えば脅威の種別と危険度の尺度との組み合わせにより定義される。分析レポートも、例えば上記脅威の種別と危険度の尺度との組み合わせを用いて記述される。
　（２）ＳＯＣサーバ
　図２および図３は、それぞれ上記ＳＯＣサーバ３０のハードウェア構成およびソフトウェア構成を示すブロック図である。　
　ＳＯＣサーバ３０は、例えば車両セキュリティ監視装置として動作するもので、クラウドサーバやＷｅｂサーバにより構成される。ＳＯＣサーバ３０は、制御ユニット３１と、記憶ユニット３２と、通信Ｉ/Ｆ（通信Ｉ/Ｆ）３３とを備える。これらはバス３４を介して相互に接続される。
　通信Ｉ／Ｆ３３は、モビリティサービスネットワーク８およびインターネット９で使用される通信プロトコルに従い、車載ネットワーク２、外部サーバ５０およびＰＳＩＲＴサーバ４０との間で、それぞれ各種データの伝送を行う。
　記憶ユニット３２は、例えば、ＨＤＤ（Hard Disk Drive）またはSolid State Drive（ＳＳＤ）等の随時書込みおよび読出しが可能な不揮発性メモリと、ＲＯＭ（Read Only Memory）およびＲＡＭ（Random Access Memory）とを組み合わせて構成される記憶媒体を備えたもので、プログラム記憶領域とデータ記憶領域とを有する。なお、記憶媒体の構成は上記構成に限るものではない。プログラム記憶領域には、ＯＳ（Operating System）等のミドルウェアに加えて、この発明の一実施形態に係る各種制御処理を実行するために必要なプログラムが格納されている。
　データ記憶領域には、脅威情報記憶部３２１と、ログデータ記憶部３２２と、異常検知情報記憶部３２３と、影響推定情報記憶部３２４が設けられている。
　脅威情報記憶部３２１は、外部サーバ５０およびＰＳＩＲＴサーバ４０から取得された脅威情報を蓄積するために使用される。ログデータ記憶部３２２は、車載ネットワーク２から送信されたログデータを蓄積するために使用される。異常検知情報記憶部３２３は、制御ユニット３１の異常検知処理により得られた車載ネットワーク２の異常検知情報を記憶するために使用される。影響推定情報記憶部３２４は、制御ユニット３１により得られた、上記異常の影響に関する複数の推定結果を表す情報を記憶するために使用される。
　制御ユニット３１は、例えば、ＣＰＵ（Central Processing Unit）等のハードウェアプロセッサを備える。制御ユニット３１は、この発明の一実施形態を実現するための制御機能として、脅威情報取得部３１１と、ログデータ取得部３１２と、異常検知処理部３１３と、影響範囲推定部３１４と、危険度推定部３１５と、脅威種別／原因推定部３１６と、通知対象車両選択部３１７と、通知情報送信部３１８と、レポート情報送信部３１９とを有している。これらの制御機能部は、いずれも上記記憶ユニット３２のプログラム記憶領域に格納されたプログラムを上記ハードウェアプロセッサに実行させることにより実現される。
　脅威情報取得部３１１は、外部サーバ５０およびＰＳＩＲＴサーバ４０から、モビリティサービスネットワーク８を介して、車載ネットワーク２にとっての脅威情報を取得する。そして、取得された脅威情報を脅威情報記憶部３２１に記憶させる処理を行う。脅威情報には、例えば、サイバー攻撃に対する車載ネットワーク２の脆弱性の種類とその弱さを表す情報や、事故を引き起こす可能性がある異常動作の種類とその重要度を表す情報が含まれる。なお、脅威情報の取得は、モビリティサービスネットワーク８を介さず、インターネット９等の他のネットワークを介して行われてもよい。
　ログデータ取得部３１２は、車載ネットワーク２から送信されるログデータを、移動通信ネットワーク７およびモビリティサービスネットワーク８を介して取得する。そして、取得されたログデータをログデータ記憶部３２２に記憶させる処理を行う。また、ログデータの取得についても、モビリティサービスネットワーク８を介さず、インターネット９等の他のネットワークを介して行われてもよい。
　ログデータには、例えば、車載ネットワーク２内のＥＣＵにおけるプログラムや制御データの変更履歴や、各ＥＣＵによる車載機器および車載装置の動作履歴、外部ネットワークから各種制御データ又はコンテンツデータを受信したときの当該受信データの通信経路を表す情報が含まれる。また、ログデータには、送信元を識別する情報と、ログデータ発生元となるＥＣＵ、車両機器または車載装置の識別番号と、車両１に予め割り当てられたネットワークアドレスと、ログデータの発生日時を表すタイムスタンプおよび車両１の現在位置を表す位置情報がヘッダとして付与される。位置情報は、例えばカーナビゲーションシステムに備えられているＧＰＳ（Global Positioning System）受信機により取得できる。
　異常検知処理部３１３は、上記ログデータ取得部３１２により取得されたログデータと脅威情報記憶部３２１に記憶された脅威情報との相関を求めることで、ログデータの内容が脅威に相当するものか否かを判定する。そして、脅威に相当すると判定された場合に、その脅威に対応する異常の種類および上記相関の度合いを表す情報を、上記対象となったログデータと共に異常検知情報として異常検知情報記憶部３２３に記憶させる処理を行う。
　影響範囲推定部３１４は、上記異常検知情報記憶部３２３に記憶された異常検知情報の内容に基づいて異常状態が及ぼす影響の範囲を推定し、その推定結果を表す情報を影響推定情報記憶部３２４に記憶させる処理を行う。影響範囲の推定対象としては、例えば、車両のメーカ、車種、年式、地域、ＥＣＵ、および車載ネットワーク２内の部位が想定される。
　危険度推定部３１５は、上記異常検知情報記憶部３２３に記憶された異常検知情報に含まれる異常動作の種類と脅威情報との相関をとることで、異常動作が及ぼす危険の度合い（危険度）を推定する。そして、その推定結果を表す情報を影響推定情報記憶部３２４に記憶させる処理を行う。危険度は、例えば、異常動作が車両又はドライバに及ぼす危険の度合いを示すもので、例えば“Information”、“Medium”、“Serious”、“Critical”の４段階で判定できる。
　脅威種別／原因推定部３１６は、上記異常状態が検知されたログデータに付与されている情報もとに、異常状態（インシデント）の攻撃種別を推定する。また脅威種別／原因推定部３１６は、マルウェアやウィルス等によるサイバー攻撃を受けた場合に、このとき受信した伝送データの通信経路情報から送信経路および送信元を推定する。そして、これらの推定結果をもとに異常状態の脅威種別又は発生要因もしくはその両方を表す情報を生成し、影響推定情報記憶部３２４に記憶させる処理を行う。
　通知対象車両選択部３１７は、上記影響推定情報記憶部３２４に記憶された影響範囲、危険度および脅威種別又は発生要因もしくはその両方の推定結果を表す情報に基づいて、異常対応の対象となる車両群を選択する。そして、選択された車両群に対し異常対応通知情報を送信する処理を行う。異常対応の対象となる車両群としては、例えば、メーカ、車種、形式のいずれかに該当する車両、或いは特定地域で使用されている車両等が挙げられる。
　通知情報送信部３１８は、上記通知対象車両選択部３１７により選択された車両群を宛先として、上記異常対応通知情報を通信Ｉ/Ｆ３３からモビリティサービスネットワーク８へ送信する処理を行う。
　レポート情報送信部３１９は、上記影響推定情報記憶部３２４に記憶された影響範囲、危険度および脅威種別又は発生要因それぞれの推定結果を表す情報と、異常検知情報記憶部３２３に記憶された異常検知情報とを含む車両セキュリティ用の分析レポートを作成する。そして、作成された分析レポートの情報を通信Ｉ／Ｆ３３からＰＳＩＲＴサーバ４０へ送信する処理を行う。
　（動作）
　次に、以上のように構成されたＳＯＣサーバ３０の動作例を、車載ネットワーク２の動作例と共に説明する。図４はその制御手順と制御内容の一例を示すフローチャートである。
　（１）脅威情報の取得
　ＳＯＣサーバ３０は、脅威情報取得部３１１の制御の下、ステップＳ２０において、外部サーバ５０およびＰＳＩＲＴサーバ４０から、定期的又は任意のタイミングで、コネクテッドカー関連のサイバー脅威や潜在的な脆弱性を定義した情報を取得する。具体的には、脅威種別と危険度の尺度とで定義される情報を取得する。そして、取得された情報を脅威情報として脅威情報記憶部３２１に記憶させる。なお、上記脅威情報の取得処理は、ＳＯＣサーバ３０から外部サーバ５０等にアクセスして取得する方式でも、外部サーバ５０等が定期的又は不定期にプッシュ方式で送信する脅威情報をＳＯＣサーバ３０が受信する方式であってもよい。
　（２）ログデータの取得
　各車両１の車載ネットワーク２は、各ＥＣＵおよび車両機器または装置が自身の動作状態等を常時又は定期的に監視している。そして、その監視結果に基づいて動作履歴を表すログデータを生成している。また、外部ネットワークから送信された伝送データを車載ネットワーク２が受信した場合にも、当該伝送データの受信履歴を表すログデータを生成している。
　また車載ネットワーク２は、上記生成されたログデータをステップＳ１０により収集して内部メモリに一旦記憶する。そして車載ネットワーク２は、上記記憶されたログデータを、ステップＳ１１で一定期間が経過するごとに読み出す。そして、読み出されたログデータを、ステップＳ１２においてＴＣＵ３からＳＯＣサーバ３０に向け送信する。なお、上記ログデータは、一定時間分まとめずに、生成されるごとにリアルタイムで送信されるようにしてもよい。
　これに対しＳＯＣサーバ３０は、ログデータ取得部３１２の制御の下、ステップＳ２１によりログデータの受信を監視している。この状態で、通信Ｉ/Ｆ３１によりログデータが受信されると、ログデータ取得部３１２がステップＳ２２により、上記受信されたログデータを取り込んでログデータ記憶部３２２に記憶させる。ログデータ取得部３１２は、ログデータが受信されるごとに上記処理を繰り返す。
　（３）異常検知処理
　ＳＯＣサーバ３０は、新たなログデータが取得されるごとに、異常検知処理部３１３の制御の下、ステップＳ２２において、上記新たに取得されたログデータをログデータ記憶部３２２から読み込む。そして、当該ログデータに含まれる動作内容等を表す情報と、脅威情報記憶部３２１に記憶された複数の脅威情報との相関値をそれぞれ演算する。そして、相関値が閾値以上となるログデータを異常検知情報として異常検知情報記憶部３２３に記憶させる。
　例えば、サイバー攻撃によるプログラムまたは制御データの改ざんやプログラムのバグ等による不自然な挙動を定義する脅威情報として、「晴天時のワイパーの連続動作」、「ヘッドライトの連続的な点滅」、「エンジンの異常な高回転動作」といった検知ロジックが定義されている。異常検知処理部３１３は、車載ネットワーク２から送られたログデータの内容が上記検知ロジックのいずれかと一致すると、上記ログデータを異常状態を含むログデータとして抽出し、これを異常検知情報として異常検知情報記憶部３２３に記憶させる。
　（４）異常状態が及ぼす影響範囲の推定
　ＳＯＣサーバ３０は、異常状態を含むログデータが検出されたことをステップＳ２４で判定すると、先ず影響範囲推定部３１４の制御の下、ステップＳ２５により上記異常動作が及ぼす影響の範囲を推定する。
　例えば、異常状態が「晴天時のワイパーの連続動作」、「ヘッドライトの連続的な点滅」、「エンジンの異常な高回転動作」だったとし、当該異常状態が一定の期間中に複数台の車両から通知されたとする。この場合影響範囲推定部３１４は、検知された上記複数台の車両の車両識別番号又は車台番号をログデータから抽出して、例えば車両のメーカ名、車種、年式の共通性を判定する。そして、その判定結果をもとに、上記異常動作の影響範囲が特定の「メーカ」であるか、特定の「車種」であるか、或いは特定の「年式」であるのかを推定し、その推定結果を対象ログデータと共に影響推定情報記憶部３２４に記憶させる。なお、上記車両メーカ以外に、車両の販売者や、車載ネットワーク２のメーカまたは販売者を影響範囲として推定するようにしてもよい。
　また、例えば、異常状態が「寒冷地仕様の車載装置」で発生した場合には、影響範囲を「寒冷地域」と推定する。そして、その推定結果を対象ログデータと共に影響推定情報記憶部３２４に記憶させる。
　さらに、例えば、動作異常を示すログデータを発生したＥＣＵ、車載機器または装置と同一のバス上に接続されている他のＥＣＵ、車載機器または装置を、上記異常動作が及ぼす影響の範囲として推定する。そして、その推定結果を対象ログデータと共に影響推定情報記憶部３２４に記憶させる。
　（５）異常状態が及ぼす危険の度合い
　次にＳＯＣサーバ３０は、危険度推定部３１５の制御の下、ステップＳ２６において、上記異常動作が及ぼす危険の度合い（危険度）を推定する。この危険度の推定は、異常検知情報に含まれる異常動作の種類と、当該異常動作と脅威情報との相関値に基づいて、推定される。
　例えば、異常状態の種類が、エンジンやトランスミッション等のパワーユニットに係るものの場合や、マルウェアやウィルス等のサイバー攻撃による車載ネットワーク２の乗っ取りが疑われるものの場合には、車両１又はドライバに及ぼす危険の度合いが高いと推定される。一方、異常状態の種類が空調装置に関するものの場合には、車両１又はドライバに及ぼす危険の度合いは低いと推定される。具体的には、インシデントの危険度は、図５に例示したように“Information”、“Medium”、“Serious”、“Critical”の４段階で判定される。
　そして危険度推定部３１５は、以上のように推定された上記危険度の推定結果を表す情報を、推定の対象となったログデータと共に、影響推定情報記憶部３２４に記憶させる。
　（６）異常状態の脅威種別／発生要因の推定
　続いてＳＯＣサーバ３０は、脅威種別／原因推定部３１６の制御の下、ステップＳ２７において、異常状態の脅威種別又は発生要因もしくはその両方を推定する処理を行う。例えば、異常状態が検知されたログデータに付与されているログ発生元を示す情報もとに、異常状態の発生場所がＥＣＵ、車載機器、車載装置のいずれであるかを推定する。また、例えばマルウェアやウィルス等によるサイバー攻撃を受けた場合には、当該サイバー攻撃に係る伝送データの通信経路情報を解析することにより攻撃元とその通信経路を表す情報、例えば地域、ＩＤ、ドメインを推定する。そして、これらの推定結果をもとに、異常状態の脅威種別（インシデントの攻撃種別）又は発生要因もしくはその両方を表す情報を生成し、影響推定情報記憶部３２４に記憶させる。インシデントの攻撃種別としては、例えば図４に例示したように、「不正アクセス」、「ＤｏＳ攻撃」、「マルウェア」、「不自然な通信」、「調査行為」および「その他」の６種類が定義される。
　なお、脅威種別／原因推定部３１６の処理内容としては、異常発生場所又はサイバー攻撃元を推定するだけでなく、ログデータの内容を解析して異常状態の脅威種別又は発生要因を推定するようにしてもよい。例えば、振動センサにより検出された波形の特徴や温度センサにより検出された温度変化の特徴を抽出し、抽出された特徴データを学習モデルに入力することで、異常状態の脅威種別又は発生要因もしくはその両方を推定する。
　（７）通知対象車両の選択と対応情報の通知
　上記影響範囲、危険度および脅威種別／原因の各推定処理が終了すると、ＳＯＣサーバ３０は、通知対象車両選択部３１７の制御の下、ステップＳ２８において、上記影響推定情報記憶部３２４に記憶された影響範囲、危険度および脅威種別又は発生要因の各推定結果を表す情報に基づいて、対応情報の通知対象車両を選択する。
　例えば、影響範囲の推定結果が「メーカ」、「車種」、「年式」の場合には、ＰＳＩＲＴサーバ４０又は外部サーバ５０から、メーカ別、車種別、年式別の車両所有者の登録情報を取得し、取得した登録情報をもとに「メーカ」、「車種」、「年式」に該当する車両の所有者を抽出する。そして、通知情報送信部３１８の制御の下、ステップＳ２９において、上記危険度および脅威種別又は発生要因もしくはその両方の推定結果に基づいて異常に対する対応指示を生成する。そして、生成された上記対応指示を含む通知情報を、上記抽出された所有者のリストをもとに、当該各所有者の車両に向けてそれぞれ送信する。
　また通知情報送信部３１８は、影響範囲の推定結果が「地域」の場合には、当該地域に存在する車両をログデータに付与されている車両の位置情報をもとに抽出する。そして、上記危険度および脅威種別又は発生要因もしくはその両方の推定結果に基づいて異常状態に対する対応指示を生成し、当該対応指示を含む通知情報を、上記地域内に存在する車両に向け送信する。
　さらに通知情報送信部３１８は、危険度に応じて、対応指示を送信する際の優先順位を設定する。例えば、同一時間帯に複数の車載ネットワーク２においてそれぞれ異常状態が検知された場合に、それぞれの異常状態が及ぼす危険度が高いものから順に優先度を設定し、当該優先度に従い対応指示を含む通知情報を送信する。この結果、例えば、パワーユニットの異常や、車載ネットワーク２の乗っ取りが疑われる異常が発生した車両に対しては、空調機やパワーウィンドウの異常、ナビゲーションシステムの異常が発生した車両に比べて、高い優先度で対応指示を含む通知情報が送信される。上記対応指示を含む通知情報は、モビリティサービスネットワーク８および移動通信ネットワーク７を介して、通知対象の各車両にそれぞれ伝送される。
　上記通知情報を受信した車両の車載ネットワーク２は、図４に示すステップＳ１３により上記通知情報の受信を検出すると、ステップＳ１４において、上記通知情報に含まれる対応指示に応じて車載ネットワーク２の復旧処理を実行する。例えば、対応指示に応じて動作異常が検知されたＥＣＵのプログラムや制御データを修復したり、車載機器または装置の動作状態をリセットする。
　（８）分析レポートの作成および送信
　さらにＳＯＣサーバ３０は、レポート情報送信部３１９の制御の下、ステップＳ３０において、上記影響推定情報記憶部３２４に記憶された影響範囲、危険度および脅威種別又は発生要因もしくはその両方それぞれの推定結果を表す情報と、異常検知情報記憶部３２３に記憶された異常検知情報とを含む分析レポートを作成する。そして、作成した分析レポートを該当するメーカのＰＳＩＲＴサーバ４０に向け送信する。
　分析レポートには、例えば、推定された脅威種別（インシデントの攻撃種別）又は発生要因もしくはその両方、インシデントの危険度および推奨される対応内容を表すメッセージが記載される。図５は、脅威種別（インシデントの攻撃種別）と危険度の尺度（インシデントの危険度）との組み合わせの一例を示したもので、この例では１２通りの組み合わせが定義されている。図６は分析レポートの一例を示すもので、“Severity”の欄にインシデントの危険度が記載され、“Category”の欄にインシデントの攻撃種別が記載される。また、“Recommendation/Action”の欄には、攻撃に対し推奨される対応メッセージが記載される。
　メーカは、上記分析レポートに基づいて、例えば該当車両に対する恒久的な回復手段を検討してその対策指示を該当車両に送信したり、場合によってはリコールを検討することができる。また、以後開発する車両に搭載する車載ネットワーク２の設計にも反映することができる。
　（効果）
　以上詳述したように一実施形態では、ＳＯＣサーバ３０において、車載ネットワーク２から送信されるログデータを取得し、取得されたログデータと脅威情報との相関を求めることで異常動作を表すログデータを検知する。そして、上記異常の検知情報に基づいて上記異常が及ぼす影響の範囲、危険の度合いおよび異常の脅威種別又は発生要因もしくはその両方をそれぞれ推定し、これらの推定結果に基づいて対応指示の通知対象となる車両を選択して、選択した車両に対し対応指示を送信するようにしている。
　従って、車両の車載ネットワーク２から送信されたログデータをもとに、当該ログデータにより表される異常状態が及ぼす影響の範囲が推定され、当該影響範囲に対応する車両群が選択されて対応指示が通知される。このため、異常状態が検知された車両のみならず、例えば同一メーカ、車種、年式の他の車両に対しても同時に対応指示を通知することができる。この結果、例えばサイバー攻撃により特定のメーカ、車種又は年式の車両のＥＣＵのプログラム又は制御データが改ざんされた場合には、該当する車両のプログラム又は制御データを遠隔より一括して修復することが可能となる。
　また、異常状態が及ぼす影響の範囲をもとに対応指示の通知先となる車両が選択され、これらの車両に対してのみ通知指示が通知される。このため、対応が必要な車両に対しもれなく対応指示を通知することができ、一方他の無関係な車両には対応指示が通知されないので、他車両に対しては悪影響が及ばないようにすることができる。
　さらに、対応指示を送信する際に、異常状態が及ぼす危険の度合いおよび異常の脅威種別又は発生要因もしくはその両方の推定結果に基づいてそれらに適した対応指示を生成して送信することができる。このため、車載ネットワーク２内のＥＣＵ、車載機器または装置のプログラムや動作状態を、より的確に復旧させることが可能となる。
　さらに、異常状態が及ぼす危険の度合いに基づいて対応指示の通知先に対し優先度が設定される。このため、例えばパワーユニットの異常やサイバー攻撃による車載ネットワーク２の乗っ取り等のように、車両の走行自体に影響する重要度の高い異常が検知された車載ネットワーク２に対しては、それよりも重要度の低い異常が検知された車載ネットワーク２より優先的に対策指示を通知することが可能となる。
　［その他の実施形態］
　（１）ログデータから異常を検知する手法として、例えば、異常の影響範囲、危険度および脅威種別又は発生要因もしくはその両方を推定するために、ニューラルネットワーク等を用いた学習モデルを使用してもよい。この場合ＳＯＣサーバ３０は、ログデータから異常動作の特徴を表す複数のパラメータを抽出し、これらのパラメータを学習モデルに入力することにより、異常動作が及ぼす影響範囲、危険度および異常の脅威種別又は発生要因もしくはその両方の推定結果を得る。異常動作の特徴を表すパラメータとしては、例えば振動、温度、回転数、速度、照度、周囲の天候等が考えられる。
　（２）一実施形態では、車両セキュリティ監視装置の全機能をＳＯＣサーバ３０に設けた場合を例にとって説明した。しかし、それに限定されるものではなく、例えば、車両セキュリティ監視装置の機能を、ＳＯＣサーバ３０とＰＳＩＲＴサーバ４０又は外部サーバ５０に分散して設けるようにしてもよい。
　（３）その他、検知対象となる異常の種類とその検知手法、異常状態の影響範囲、危険度および脅威種別又は発生要因もしくはその両方のそれぞれの推定手法、車両セキュリティ監視装置のおよび車載ネットワークの構成、車両セキュリティ監視処理による処理手順と処理内容等についても、この発明の要旨を逸脱しない範囲で種々に変形することが可能である。
　（４）前記一実施形態では地上を走行する乗用車や貨物車、二輪車等の一般車両を対象として説明した。しかしこの発明は、車両として、バスやタクシー等の乗り合い用の営業車両、工事用車両、農業用車両、救急車両等の特殊用途車両等を対象としてもよく、さらには航空機やヘリコプター、ドローン等の飛行体、水上を走行する漁船や客船、貨物船、タンカー等の船舶、路面電車やモノレール等の軌道上を走行する鉄道等車両への適用も可能である。
　（５）各実施形態は可能な限り適宜組み合わせて実施してもよく、その場合組み合わせた効果が得られる。更に、上記実施形態には種々の段階の発明が含まれており、開示される複数の構成要件における適当な組み合わせにより種々の発明が抽出され得る。例えば、実施形態に示される全構成要件からいくつかの構成要件が削除されても、発明が解決しようとする課題の欄で述べた課題が解決でき、発明の効果の欄で述べられている効果が得られる場合には、この構成要件が削除された構成が発明として抽出され得る。
　１…車両
　２…車載ネットワーク
　３…通信制御ユニット（ＴＣＵ）
　４…ナビゲーション装置
　５…ＵＳＢメモリ
　６…携帯端末
　７…移動通信ネットワーク
　８…モビリティサービスネットワーク
　８１，８２…ゲートウェイ
　９…インターネット
　２０…モビリティサービスサーバ
　３０…ＳＯＣサーバ
　３１…制御ユニット
　３２…記憶ユニット
　３３…通信Ｉ/Ｆ
　３１１…脅威情報取得部
　３１２…ログデータ取得部
　３１３…異常検知処理部
　３１４…影響範囲推定部
　３１５…危険度推定部
　３１６…脅威種別／原因推定部
　３１７…通知対象車両選択部
　３１８…通知情報送信部
　３１９…レポート情報送信部
　３２１…脅威情報記憶部
　３２２…ログデータ記憶部
　３２３…異常検知情報記憶部
　３２４…影響推定情報記憶部
　４０…ＰＳＩＲＴサーバ
　５０…外部サーバ

Claims (12)

  1. 　車載装置の動作状態に関するログデータを送信する機能を有する車載ネットワークとの間で通信が可能な車両セキュリティ監視装置であって、
    　前記ログデータを取得するログデータ取得部と、
    　前記取得されたログデータに基づいて前記車載ネットワークにおける異常状態を検知する異常状態検知部と、
    　前記検知された異常状態が及ぼす影響の範囲を推定する第１の推定部と、
    　前記推定された影響の範囲を表す情報を管理する推定情報管理部と
    　を具備する車両セキュリティ監視装置。
  2. 　前記検知された異常状態が及ぼす危険の度合いを推定する第２の推定部を、さらに具備し、
    　前記推定情報管理部は、前記推定された影響危険の度合いを表す情報をさらに管理する、請求項１に記載の車両セキュリティ監視装置。
  3. 　前記検知された異常状態の脅威種別および発生要因の少なくとも一方を推定する第３の推定部を、さらに具備し、
    　前記推定情報管理部は、前記推定された脅威種別および発生要因の少なくとも一方を表す情報をさらに管理する、請求項１または２に記載の車両セキュリティ監視装置。
  4. 　前記推定情報管理部により管理される前記影響の範囲を表す情報に基づいて当該影響の範囲に関係する対応策の通知対象を選択し、当該選択された通知対象に対し前記対応策を表す情報を含む通知情報を送信する第１の送信制御部を、さらに具備する請求項１に記載の車両セキュリティ監視装置。
  5. 　前記推定情報管理部により管理される前記危険の度合いを表す情報に基づいて対応策の通知対象に対する優先度を設定し、当該優先度に従い通知対象に対し対応策を表す情報を含む通知情報を送信する第２の送信制御部を、さらに具備する請求項２に記載の車両セキュリティ監視装置。
  6. 　前記異常検知部により検知された異常状態と、前記推定情報管理部により管理される前記影響の範囲、前記危険の度合い、前記脅威種別および発生要因の少なくとも一方を表す各情報とに基づいて、前記異常状態に対する対応内容を含む対応指示情報を生成し、生成された対応指示情報を通知対象に送信する第３の送信制御部とを、さらに具備する請求項３に記載の車両セキュリティ監視装置。
  7. 　前記推定情報管理部は、脅威種別と危険度の尺度との組み合わせを定義した情報を記憶し、
    　前記第３の送信制御部は、前記記憶された脅威種別と危険度の尺度との組み合わせを定義した情報を参照して、前記前記異常状態に対する対応内容と対応指示の通知対象を決定する、請求項６に記載の車両セキュリティ監視装置。
  8. 　前記第１の送信制御部は、前記影響の範囲に関係する対応策の通知対象として、前記車載ネットワークまたは当該システムを搭載する車両の製造者または販売者、車種、年式、使用地域の少なくとも１つに該当する車両またはその車載ネットワークを選択し、当該選択された車両またはその車載ネットワークに対し前記対応策を表す情報を含む通知情報を送信する、請求項４に記載の車両セキュリティ監視装置。
  9. 　車載装置の動作状態に関するログデータを送信する機能を有する車載ネットワークとの間で通信が可能な車両セキュリティ監視装置が実行する車両セキュリティ監視方法であって、
    　前記ログデータを取得する過程と、
    　前記取得されたログデータに基づいて前記車載ネットワークにおける異常状態を検知する過程と、
    　前記検知された異常状態が及ぼす影響の範囲を推定する過程と、
    　前記推定された影響の範囲を表す情報を管理する過程と
    　を具備する車両セキュリティ監視方法。
  10. 　前記検知された異常状態が及ぼす危険の度合いを推定する過程を、さらに具備し、
    　前記推定情報を管理する過程は、前記推定された危険の度合いを表す情報をさらに管理する、請求項９に記載の車両セキュリティ監視方法。
  11. 　前記検知された異常状態の脅威種別および発生要因の少なくとも一方を推定する過程を、さらに具備し、
    　前記推定情報を管理する過程は、前記推定された脅威種別および発生要因の少なくとも一方を表す情報をさらに管理する、請求項９または１０に記載の車両セキュリティ監視方法。
  12. 　請求項１乃至８のいずれかに記載の車両セキュリティ監視装置が具備する前記各部による処理を、前記車両セキュリティ監視装置が備えるハードウェアプロセッサに実行させるプログラム。
PCT/JP2020/000285 2019-01-21 2020-01-08 車両セキュリティ監視装置、方法及びプログラム Ceased WO2020153122A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
CN202080010092.5A CN113348111B (zh) 2019-01-21 2020-01-08 车辆安全监视装置、方法以及程序记录介质
EP20745612.0A EP3915843A4 (en) 2019-01-21 2020-01-08 VEHICLE SAFETY MONITOR, METHOD AND PROGRAM
US17/377,855 US12401667B2 (en) 2019-01-21 2021-07-16 Vehicle security monitoring apparatus, method and non-transitory computer readable medium

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019-007916 2019-01-21
JP2019007916A JP7139257B2 (ja) 2019-01-21 2019-01-21 車両セキュリティ監視装置、方法及びプログラム

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/377,855 Continuation US12401667B2 (en) 2019-01-21 2021-07-16 Vehicle security monitoring apparatus, method and non-transitory computer readable medium

Publications (1)

Publication Number Publication Date
WO2020153122A1 true WO2020153122A1 (ja) 2020-07-30

Family

ID=71735912

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/000285 Ceased WO2020153122A1 (ja) 2019-01-21 2020-01-08 車両セキュリティ監視装置、方法及びプログラム

Country Status (5)

Country Link
US (1) US12401667B2 (ja)
EP (1) EP3915843A4 (ja)
JP (1) JP7139257B2 (ja)
CN (1) CN113348111B (ja)
WO (1) WO2020153122A1 (ja)

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112738198A (zh) * 2020-12-25 2021-04-30 台州动产质押金融服务有限公司 一种基于车辆的资源获取系统
CN113176987A (zh) * 2021-04-29 2021-07-27 华人运通(上海)云计算科技有限公司 车控指令块的日志处理方法、装置、设备及存储介质
US20220019661A1 (en) * 2020-07-14 2022-01-20 Denso Corporation Log analysis device
CN116342014A (zh) * 2023-05-24 2023-06-27 西南医科大学附属医院 一种基于数据分析的麻醉药剂运输管理系统
WO2024070859A1 (ja) * 2022-09-30 2024-04-04 株式会社デンソー 攻撃分析装置、攻撃分析方法、及び攻撃分析プログラム
WO2024071120A1 (ja) * 2022-09-30 2024-04-04 株式会社デンソー 情報処理装置、情報処理システム、情報処理プログラム、情報処理方法
JP2024088399A (ja) * 2022-12-20 2024-07-02 ソフトバンク株式会社 システム、プログラムおよび情報処理方法
US12401667B2 (en) 2019-01-21 2025-08-26 Ntt Communications Corporation Vehicle security monitoring apparatus, method and non-transitory computer readable medium
US12593211B2 (en) 2019-01-10 2026-03-31 NTT DOCOMO BUSINESS, Inc. Selective vehicle security log data communication control

Families Citing this family (33)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US12289322B2 (en) * 2019-06-05 2025-04-29 Upstream Security, Ltd. System and method for connected vehicle security incident integration based on aggregate events
US20220242419A1 (en) * 2019-07-24 2022-08-04 C2A-Sec, Ltd. Intrusion anomaly monitoring in a vehicle environment
JP7698394B2 (ja) * 2020-05-27 2025-06-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 異常検知システム、異常検知方法及びプログラム
EP3975495A1 (en) * 2020-09-29 2022-03-30 Siemens Aktiengesellschaft Method and system for detecting a cyber-attack on a machine controller
CN116438496A (zh) 2020-11-20 2023-07-14 松下电器（美国）知识产权公司 攻击解析装置、攻击解析方法及程序
JP7616901B2 (ja) * 2021-02-19 2025-01-17 日立Astemo株式会社 電子制御システム
JP7585569B2 (ja) 2021-02-26 2024-11-19 Ｎｔｔセキュリティ・ジャパン株式会社 情報処理システム、情報処理方法、及びプログラム
JP7517223B2 (ja) * 2021-03-29 2024-07-17 株式会社デンソー 攻撃分析装置、攻撃分析方法、及び攻撃分析プログラム
US11532221B1 (en) * 2021-08-05 2022-12-20 Ford Global Technologies, Llc System and method for vehicle security monitoring
JP7655680B2 (ja) 2021-09-09 2025-04-02 トヨタ自動車株式会社 情報処理装置、情報処理システム、情報処理方法、及び情報処理プログラム
JP7230146B1 (ja) 2021-09-24 2023-02-28 エヌ・ティ・ティ・コミュニケーションズ株式会社 車両セキュリティ分析装置、方法およびそのプログラム
JP7230147B1 (ja) 2021-09-24 2023-02-28 エヌ・ティ・ティ・コミュニケーションズ株式会社 車両セキュリティ分析装置、方法およびそのプログラム
JP7688957B2 (ja) * 2021-09-27 2025-06-05 パナソニックオートモーティブシステムズ株式会社 脅威分析方法および脅威分析システム
CN114201856B (zh) * 2021-11-16 2025-05-13 中国电子产品可靠性与环境试验研究所（（工业和信息化部电子第五研究所）（中国赛宝实验室）） 设备安全性分析方法、装置、计算机设备和存储介质
WO2023112376A1 (ja) 2021-12-17 2023-06-22 パナソニックＩｐマネジメント株式会社 セキュリティ対策方法、及び、セキュリティ対策システム
CN118355383A (zh) * 2021-12-17 2024-07-16 松下电器（美国）知识产权公司 威胁信息扩展系统、威胁信息扩展方法以及程序
CN114547615A (zh) * 2022-02-28 2022-05-27 重庆长安汽车股份有限公司 对车载信息系统进行杀毒和系统修复的系统、方法和装置
WO2023166779A1 (ja) * 2022-03-03 2023-09-07 パナソニックＩｐマネジメント株式会社 情報提供方法及び情報処理装置
US12027050B2 (en) * 2022-03-29 2024-07-02 Woven By Toyota, Inc. Hazard notification method and system for implementing
CN114691407A (zh) * 2022-03-30 2022-07-01 成都中科创达软件有限公司 一种车辆日志的获取方法、装置、电子设备及存储介质
CN115021977A (zh) * 2022-05-17 2022-09-06 蔚来汽车科技(安徽)有限公司 车机系统及包括其的车辆、预警方法以及存储介质
CN115086170B (zh) * 2022-06-02 2024-11-15 徐工汉云技术股份有限公司 一种轮式起重机车载ecu参数自动备份与恢复的方法及系统
IL294008A (en) * 2022-06-15 2025-01-01 Elta Systems Ltd Product System, method and computer program for improving vessel navigation security
JP2024011955A (ja) * 2022-07-15 2024-01-25 キヤノン株式会社 通知装置、通知方法
JP2024041386A (ja) * 2022-09-14 2024-03-27 株式会社デンソー 攻撃分析装置、攻撃分析方法、及び攻撃分析プログラム
JP2024051325A (ja) * 2022-09-30 2024-04-11 株式会社デンソー 車両用攻撃分析装置、攻撃分析システム、攻撃分析方法、及び攻撃分析プログラム
CN115690944B (zh) * 2022-10-19 2024-01-23 江苏泽景汽车电子股份有限公司 车辆信息获取方法、装置、车辆及存储介质
CN115866603A (zh) * 2022-11-29 2023-03-28 重庆长安汽车股份有限公司 一种车辆安全防御方法、装置、电子设备及可读存储介质
CN116192436B (zh) * 2022-12-09 2026-02-06 新华三信息安全技术有限公司 一种安全事件分析方法及装置
CN116094908B (zh) * 2023-01-17 2024-07-26 中国第一汽车股份有限公司 日志文件存储方法、装置、设备和存储介质
CN117425153B (zh) * 2023-12-18 2024-03-26 新华三网络信息安全软件有限公司 车联网终端的风险检测方法及装置
CN120363933A (zh) * 2024-01-18 2025-07-25 深圳引望智能技术有限公司 复位恢复方法及相关装置
US12549532B2 (en) * 2024-04-24 2026-02-10 Vision Marine Technologies Cryptographic authentication of components in an electric vessel

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017111796A (ja) * 2015-12-16 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
JP2018081349A (ja) 2016-11-14 2018-05-24 日本電信電話株式会社 改竄検知システム、検証ｅｃｕ、被検証ｅｃｕ、プログラム
US20180351980A1 (en) * 2017-05-30 2018-12-06 Argus Cyber Security Ltd System and method for providing fleet cyber-security

Family Cites Families (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050010697A1 (en) 2002-12-30 2005-01-13 Husam Kinawi System for bandwidth detection and content switching
US20070038338A1 (en) 2005-08-15 2007-02-15 Larschan Bradley R Driver activity and vehicle operation logging and reporting
JP2008269401A (ja) 2007-04-23 2008-11-06 Alaxala Networks Corp ログ管理プログラム及びログ管理装置
JP4453764B2 (ja) * 2008-02-22 2010-04-21 トヨタ自動車株式会社 車両診断装置、車両診断システム、診断方法
GB2488956B (en) 2010-12-15 2013-08-21 Andrew William Wright Method and system for logging vehicle behaviour
US9818088B2 (en) * 2011-04-22 2017-11-14 Emerging Automotive, Llc Vehicles and cloud systems for providing recommendations to vehicle users to handle alerts associated with the vehicle
US9389147B1 (en) 2013-01-08 2016-07-12 Lytx, Inc. Device determined bandwidth saving in transmission of events
US9349224B2 (en) 2013-10-02 2016-05-24 GM Global Technology Operations LLC Systems and methods for vehicle status notification
US9840212B2 (en) * 2014-01-06 2017-12-12 Argus Cyber Security Ltd. Bus watchman
US10423982B2 (en) * 2014-05-19 2019-09-24 Allstate Insurance Company Content output systems using vehicle-based data
JP6398329B2 (ja) 2014-05-29 2018-10-03 株式会社リコー 制御装置、制御方法及びプログラム
KR20160071166A (ko) 2014-12-11 2016-06-21 현대자동차주식회사 복수의 수집정책 처리 장치 및 그 방법
JP6649215B2 (ja) * 2015-12-14 2020-02-19 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ装置、ネットワークシステム及び攻撃検知方法
JP6418217B2 (ja) * 2015-12-18 2018-11-07 トヨタ自動車株式会社 通信システムで実行される情報集約方法
JP6330855B2 (ja) 2016-05-31 2018-05-30 マツダ株式会社 車両用情報通信システムおよびアプリケーションプログラム
JP6701030B2 (ja) * 2016-08-25 2020-05-27 クラリオン株式会社 車載装置、ログ収集システム
US10549760B2 (en) * 2016-10-06 2020-02-04 Red Bend Ltd. Systems and methods for handling a vehicle ECU malfunction
DE102017202176B4 (de) * 2017-02-10 2023-11-30 Audi Ag Verfahren zum Erkennen einer Manipulation an einem jeweiligen Datennetzwerk zumindest eines Kraftfahrzeugs sowie Servervorrichtung
US20180300477A1 (en) * 2017-04-13 2018-10-18 Argus Cyber Security Ltd. In-vehicle cyber protection
EP3699794A1 (en) * 2017-08-10 2020-08-26 Argus Cyber Security Ltd. System and method for detecting exploitation of a component connected to an in-vehicle network
CN110494330B (zh) 2018-01-22 2022-08-05 松下电器（美国）知识产权公司 车辆监视装置、不正当检测服务器、以及控制方法
US11094193B2 (en) 2018-06-28 2021-08-17 Intel Corporation Real-time vehicle-based data gathering
US11030321B2 (en) * 2018-10-02 2021-06-08 International Business Machines Corporation Processing and evaluating data based on associated device vulnerability
JP7229783B2 (ja) 2019-01-10 2023-02-28 エヌ・ティ・ティ・コミュニケーションズ株式会社 車載型情報処理装置、車両情報通信システム、情報処理方法およびプログラム
JP7139257B2 (ja) 2019-01-21 2022-09-20 エヌ・ティ・ティ・コミュニケーションズ株式会社 車両セキュリティ監視装置、方法及びプログラム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017111796A (ja) * 2015-12-16 2017-06-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ処理方法及びサーバ
JP2018081349A (ja) 2016-11-14 2018-05-24 日本電信電話株式会社 改竄検知システム、検証ｅｃｕ、被検証ｅｃｕ、プログラム
US20180351980A1 (en) * 2017-05-30 2018-12-06 Argus Cyber Security Ltd System and method for providing fleet cyber-security

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3915843A4

Cited By (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US12593211B2 (en) 2019-01-10 2026-03-31 NTT DOCOMO BUSINESS, Inc. Selective vehicle security log data communication control
US12401667B2 (en) 2019-01-21 2025-08-26 Ntt Communications Corporation Vehicle security monitoring apparatus, method and non-transitory computer readable medium
US11971982B2 (en) * 2020-07-14 2024-04-30 Denso Corporation Log analysis device
US20220019661A1 (en) * 2020-07-14 2022-01-20 Denso Corporation Log analysis device
CN112738198A (zh) * 2020-12-25 2021-04-30 台州动产质押金融服务有限公司 一种基于车辆的资源获取系统
CN113176987A (zh) * 2021-04-29 2021-07-27 华人运通(上海)云计算科技有限公司 车控指令块的日志处理方法、装置、设备及存储介质
CN113176987B (zh) * 2021-04-29 2023-09-15 华人运通(上海)云计算科技有限公司 车控指令块的日志处理方法、装置、设备及存储介质
WO2024070859A1 (ja) * 2022-09-30 2024-04-04 株式会社デンソー 攻撃分析装置、攻撃分析方法、及び攻撃分析プログラム
JP2024051738A (ja) * 2022-09-30 2024-04-11 株式会社デンソー 情報処理装置、情報処理システム、情報処理プログラム、情報処理方法
WO2024071120A1 (ja) * 2022-09-30 2024-04-04 株式会社デンソー 情報処理装置、情報処理システム、情報処理プログラム、情報処理方法
JP7835142B2 (ja) 2022-09-30 2026-03-25 株式会社デンソー 情報処理装置、情報処理システム、情報処理プログラム、情報処理方法
JP2024088399A (ja) * 2022-12-20 2024-07-02 ソフトバンク株式会社 システム、プログラムおよび情報処理方法
JP7702931B2 (ja) 2022-12-20 2025-07-04 ソフトバンク株式会社 システム、プログラムおよび情報処理方法
CN116342014B (zh) * 2023-05-24 2023-08-01 西南医科大学附属医院 一种基于数据分析的麻醉药剂运输管理系统
CN116342014A (zh) * 2023-05-24 2023-06-27 西南医科大学附属医院 一种基于数据分析的麻醉药剂运输管理系统

Also Published As

Publication number Publication date
EP3915843A1 (en) 2021-12-01
CN113348111A (zh) 2021-09-03
JP2020119090A (ja) 2020-08-06
US12401667B2 (en) 2025-08-26
CN113348111B (zh) 2024-09-06
US20210344700A1 (en) 2021-11-04
EP3915843A4 (en) 2022-03-16
JP7139257B2 (ja) 2022-09-20

Similar Documents

Publication Publication Date Title
US12401667B2 (en) Vehicle security monitoring apparatus, method and non-transitory computer readable medium
US20240348635A1 (en) System and method for providing fleet cyber-security
US11418519B2 (en) Systems and methods for detection of malicious activity in vehicle data communication networks
US11232655B2 (en) System and method for interfacing with a vehicular controller area network
US11748474B2 (en) Security system and methods for identification of in-vehicle attack originator
CN113272794B (zh) 车载型信息处理装置、用户终端、信息处理方法以及程序
US11380197B2 (en) Data analysis apparatus
US20220254198A1 (en) Vehicle log transmission device, vehicle log collection system, vehicle log transmission method, and save priority level changing device
US11539724B2 (en) Centralized detection techniques for cyber-attacks directed at connected vehicles
CN112840282B (zh) 异常检测方法以及异常检测装置
US11178164B2 (en) Data analysis apparatus
JP7180686B2 (ja) 情報処理装置、異常分析方法及びプログラム
WO2021038870A1 (ja) 異常車両検出サーバおよび異常車両検出方法
WO2020075809A1 (ja) 情報処理装置、データ分析方法及びプログラム
KR20190119514A (ko) 차량용 온보드 사이버보안진단 시스템, 전자 제어 장치 및 그것의 동작 방법
JP2022182015A (ja) 車両の故障診断装置及び故障診断方法
JP2019220770A (ja) 電子制御装置、監視方法、プログラム及びゲートウェイ装置
JP2024051327A (ja) 更新装置、更新方法、及び更新プログラム
JP2023006572A (ja) 攻撃分析装置、攻撃分析方法、及び攻撃分析プログラム
US20230249698A1 (en) Control apparatus
JP2024169239A (ja) ログ収集装置、ログ収集方法、ログ収集プログラム、及びログ送信装置
CN121832984A (zh) 考虑车辆驾驶状况的入侵检测策略更新方法及其执行设备
KR20240010427A (ko) 통지 장치, 통지 방법, 및 컴퓨터 판독가능한 저장매체

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20745612

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2020745612

Country of ref document: EP

Effective date: 20210823