特許ウォッチ

公開番号2024051327
公報種別公開特許公報(A)
公開日2024-04-11
出願番号2022157434
出願日2022-09-30
発明の名称更新装置、更新方法、及び更新プログラム
出願人株式会社デンソー
代理人個人,個人
主分類G06F 21/55 20130101AFI20240404BHJP(計算;計数)
要約【課題】サイバー攻撃の分析に使用する攻撃・異常関係情報を更新する更新装置、方法及びプログラムを提供する。
【解決手段】更新装置10は、攻撃を示す攻撃情報と、攻撃を受けた場合に発生することが予測される予測異常情報と予測される異常が発生する予測異常位置情報との対応関係を示すセットを含む攻撃・異常関係情報を保存している保存部105、電子制御システムに発生する異常情報と、異常が発生する位置情報と異常が発生した原因が故障又は攻撃であるかを示す原因情報を含む更新情報を取得する更新情報取得部106及び原因情報が故障を示している場合、異常情報及び位置情報に対応する予測異常情報及び予測異常位置情報を示すセットを攻撃・異常関係情報から削除し、原因情報が攻撃を示している場合、異常情報と位置情報と原因情報が示す攻撃を示す攻撃情報との対応関係を示すセットを攻撃・異常関係情報に追加する更新制御部107を備える。
【選択図】図3
特許請求の範囲【請求項１】
電子制御システムが受ける攻撃を示す攻撃情報と、前記電子制御システムが前記攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、前記予測される異常が発生する前記電子制御システム内の位置を示す予測異常位置情報と、の対応関係を示す１又は複数のセットを含む攻撃・異常関係情報を保存している保存部（１０５）と、
前記電子制御システムに発生する異常を示す異常情報と、前記異常が発生する位置を示す位置情報と、前記異常が発生した原因が故障又は攻撃であるかを示す原因情報と、を含む更新情報を取得する更新情報取得部（１０６）と、
前記原因情報が故障を示している場合、前記異常情報及び前記位置情報に対応する前記予測異常情報及び前記予測異常位置情報を示す前記セットを前記攻撃・異常関係情報から削除し、前記原因情報が攻撃を示している場合、前記異常情報と、前記位置情報と、前記原因情報が示す前記攻撃を示す攻撃情報との対応関係を示すセットを前記攻撃・異常関係情報に追加して、前記攻撃・異常関係情報を更新する更新制御部（１０７）と、
を備える、更新装置（１０、１１、１２、１３）。
続きを表示（約 1,900 文字）【請求項２】
前記原因情報が前記攻撃を示している場合であって、且つ、前記異常情報及び前記位置情報に対応する前記予測異常情報及び前記予測異常位置情報を示す前記セットが前記攻撃・異常関係情報に含まれている場合、
前記更新制御部は前記セットに重み付けをする、
請求項１記載の更新装置。
【請求項３】
前記原因情報は、前記異常が発生した原因が前記故障又は前記攻撃、あるいは前記電子制御システムの誤動作であることを示しており、
前記更新制御部は、前記原因情報が誤動作を示している場合、前記異常情報及び前記位置情報に対応する前記予測異常情報及び前記予測異常位置情報を示す前記セットを前記攻撃・異常関係情報から削除する、
請求項１記載の更新装置。
【請求項４】
前記電子制御システムは車両に搭載された車載システムであり、
前記保存部はさらに、前記予測される異常が発生する前記車両の状態を示す予測車両情報を前記１又は複数のセットに対応付けて保存しており、
前記更新情報はさらに、前記異常が発生する車両の状態を示す車両情報を含み、
前記更新制御部は、前記予測車両情報と前記車両情報が一致する場合に、前記セットを前記攻撃・異常関係情報から削除する、
請求項１記載の更新装置。
【請求項５】
当該更新装置はさらに、
前記電子制御システムに現実に故障が発生したことを示す故障情報と、前記電子制御システムに現実に発生した異常を示す実異常情報と、前記実異常情報が示す前記異常が発生した位置を示す実異常位置情報と、を含むログを取得する、ログ取得部（１０１）と、
前記ログ取得部が取得した前記ログが閾値よりも多い場合に、前記実異常情報に対応する前記異常情報と、前記実異常位置情報に対応する前記位置情報と、前記異常が発生した原因が故障であることを示す前記原因情報と、を含む前記更新情報を生成する更新情報生成部（１０４）と、
を備える、請求項１記載の更新装置（１０、１１）。
【請求項６】
前記ログ取得部は、前記ログである第１のログに加えて、前記故障情報を含まないログである第２のログを取得し、
前記更新情報生成部は、前記ログ取得部が取得した前記第２のログが前記閾値よりも多い場合に、前記第２のログに含まれる前記実異常情報に対応する前記異常情報と、前記第２のログに含まれる前記実異常位置情報に対応する前記位置情報と、前記異常が発生した原因が攻撃であることを示す前記原因情報と、を含む前記更新情報を生成する、
請求項５記載の更新装置（１０、１１）。
【請求項７】
前記電子制御システム及び当該更新装置は、移動体に搭載されている、
請求項１乃至６のいずれか記載の更新装置。
【請求項８】
前記電子制御システムは、移動体に搭載されており、
当該更新装置は、前記移動体の外部に配置されている、
請求項１乃至６のいずれかに記載の更新装置。
【請求項９】
当該更新装置はさらに、更新した前記攻撃・異常関係情報を前記移動体に送信する送信部（１０８）を備える、
請求項８に記載の更新装置（１０、１２）。
【請求項１０】
更新装置で実行される更新方法であって、
前記更新装置は、電子制御システムが受ける攻撃を示す攻撃情報と、前記電子制御システムが前記攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、前記予測される異常が発生する前記電子制御システム内の位置を示す予測異常位置情報と、の対応関係を示す１又は複数のセットを含む攻撃・異常関係情報を保存している保存部を備え、
前記電子制御システムに発生する異常を示す異常情報と、前記異常が発生する位置を示す位置情報と、前記異常が発生した原因が故障又は攻撃であるかを示す原因情報と、を含む更新情報を取得し（Ｓ２０１）、
前記原因情報が故障を示している場合、前記異常情報及び前記位置情報に対応する前記予測異常情報及び前記予測異常位置情報を含む前記セットを前記攻撃・異常関係情報から削除して、前記攻撃・異常関係情報を更新し（Ｓ２０３）、
前記原因情報が攻撃を示している場合、前記異常情報と、前記位置情報と、前記原因情報が示す前記攻撃を示す攻撃情報との対応関係を示すセットを前記攻撃・異常関係情報に追加して、前記攻撃・異常関係情報を更新する（Ｓ２０４）、
更新方法。
（【請求項１１】以降は省略されています）
発明の詳細な説明【技術分野】
【０００１】
本発明は、主に自動車をはじめとする移動体に搭載された電子制御システムに対する攻撃の分析に使用する情報を更新するための装置であって、更新装置、更新方法、及び更新プログラムに関する。
続きを表示（約 2,000 文字）【背景技術】
【０００２】
近年、車車間通信や路車間通信のようなＶ２Ｘをはじめ、運転支援や自動運転制御を行う技術が注目されている。これに伴い、車両が通信機能を備えるようになり、いわゆる車両のコネクティッド化が進んでいる。この結果、車両が不正アクセスといったサイバー攻撃を受ける可能性が増加している。そのため、車両に対するサイバー攻撃を分析して、その対応策を構築することが必要とされている。
【０００３】
車両に発生した異常を検知して、検知した異常に基づいてサイバー攻撃を分析する手法として、様々なものがある。例えば、特許文献１には、検知した異常データを取得するとともに、異常が検出された項目の組み合わせと、攻撃毎に予め特定された異常検出パターンとを照合して、異常に対応する攻撃の種類を特定することが記載されている。
【先行技術文献】
【特許文献】
【０００４】
特開２０２０－１２３３０７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ここで、本発明者は、詳細な検討の結果、以下の課題を見出した。
悪意ある攻撃者は、日々新たな技術や手法を用いたサイバー攻撃を行ってくる。そのため、サイバー攻撃の分析に用いられる情報についても、順次更新することが求められる。さらに、サイバー攻撃によって発生する異常であると過去に考えられていたものが、実際にはサイバー攻撃には関係ない、例えば、車両の故障や誤動作によって発生する異常であったと判明する場合がある。サイバー攻撃の分析に用いられる情報に、このようなサイバー攻撃に関係なく発生した異常に関する情報が含まれている場合、サイバー攻撃の分析・照合の効率が下がるだけでなく、分析精度が低下するおそれがある。そのため、サイバー攻撃とは関係がない情報については、サイバー攻撃の分析に用いられる情報から取り除くことが望ましい。
【０００６】
そこで、本発明は、サイバー攻撃の分析に用いられる情報を適宜更新することができる更新装置等を実現することを目的とする。
【課題を解決するための手段】
【０００７】
本開示の一態様による更新装置は、電子制御システムが受ける攻撃を示す攻撃情報と、前記電子制御システムが前記攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、前記予測される異常が発生する前記電子制御システム内の位置を示す予測異常位置情報と、の対応関係を示す１又は複数のセットを含む攻撃・異常関係情報を保存している保存部（１０５）と、前記電子制御システムに発生する異常を示す異常情報と、前記異常が発生する位置を示す位置情報と、前記異常が発生した原因が故障又は攻撃であるかを示す原因情報と、を含む更新情報を取得する更新情報取得部（１０６）と、前記原因情報が故障を示している場合、前記異常情報及び前記位置情報に対応する前記予測異常情報及び前記予測異常位置情報を示す前記セットを前記攻撃・異常関係情報から削除し、前記原因情報が攻撃を示している場合、前記異常情報と、前記位置情報と、前記原因情報が示す前記攻撃を示す攻撃情報との対応関係を示すセットを前記攻撃・異常関係情報に追加して、前記攻撃・異常関係情報を更新する更新制御部（１０７）と、を備える。
【０００８】
なお、特許請求の範囲、及び本項に記載した発明の構成要件に付した括弧内の番号は、本発明と後述の実施形態との対応関係を示すものであり、本発明を限定する趣旨ではない。
【発明の効果】
【０００９】
上述のような構成により、本開示の更新装置は、サイバー攻撃の分析に用いられる情報を適宜更新することができ、ひいては、サイバー攻撃の分析・照合の効率を高めるとともに、分析精度を高めることが可能となる。
【図面の簡単な説明】
【００１０】
各実施形態の更新装置の配置を説明する説明図
各実施形態の電子制御システムの構成を説明する説明図
実施形態１の更新装置の構成例を示すブロック図
実施形態１の攻撃・異常関係テーブルを説明する図
実施形態１の予測車両情報を説明する図
実施形態１の攻撃・異常関係テーブルの更新を説明する図
実施形態１の攻撃分析装置２０の構成例を説明するブロック図
実施形態１の更新装置の故障攻撃判定機能の動作を説明する図
実施形態１の更新装置の更新実行機能の動作を説明する図
実施形態１の変形例の更新装置の構成例を説明するブロック図
実施形態２の更新装置の構成例を説明するブロック図
実施形態２の変形例の更新装置の構成例を説明するブロック図
【発明を実施するための形態】
（【００１１】以降は省略されています）

関連特許