[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

JP5310761B2 - 車両ネットワークシステム - Google Patents

車両ネットワークシステム Download PDF

Info

Publication number
JP5310761B2
JP5310761B2 JP2011048020A JP2011048020A JP5310761B2 JP 5310761 B2 JP5310761 B2 JP 5310761B2 JP 2011048020 A JP2011048020 A JP 2011048020A JP 2011048020 A JP2011048020 A JP 2011048020A JP 5310761 B2 JP5310761 B2 JP 5310761B2
Authority
JP
Japan
Prior art keywords
control device
authentication
network system
vehicle network
public key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2011048020A
Other languages
English (en)
Other versions
JP2012186635A (ja
Inventor
祥平 小出
勇二 蜷川
典昭 井上
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Toyota Motor Corp
Original Assignee
Toyota Motor Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Toyota Motor Corp filed Critical Toyota Motor Corp
Priority to JP2011048020A priority Critical patent/JP5310761B2/ja
Priority to BR112013022417-7A priority patent/BR112013022417B1/pt
Priority to EP12719045.2A priority patent/EP2681901B1/en
Priority to US14/002,542 priority patent/US9413732B2/en
Priority to CN201280011347.5A priority patent/CN103404112B/zh
Priority to PCT/IB2012/000389 priority patent/WO2012120350A2/en
Publication of JP2012186635A publication Critical patent/JP2012186635A/ja
Application granted granted Critical
Publication of JP5310761B2 publication Critical patent/JP5310761B2/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/403—Bus networks with centralised control, e.g. polling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/84—Vehicles

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Small-Scale Networks (AREA)

Description

本発明は、車両に搭載された複数の電子制御装置が互いにネットワーク接続されて情報の送受信を行う車両ネットワークシステムに関する。
周知のように、車両に搭載された複数の電子制御装置（ＥＣＵ）にあっては、それぞれがネットワーク接続されることによってそれら電子制御装置の有する情報（車両情報）を相互に送受信可能とする車両ネットワークシステムを構成していることが多い。そして、このような車両ネットワークシステムで通常、ネットワーク接続されている電子制御装置間の車両情報の送受信を容易にする一方、当該ネットワークに接続されている装置を誤ってもしくは意図的に取り外したり、同ネットワークに誤ってもしくは意図的に装置を取り付けたりすることも容易である。すなわち、ネットワークから装置が予期せず取り外されたり、もしくは予期しない装置がネットワークに取り付けられたりすることは、当該ネットワークへの不正なアクセスを許してしまったり、車両情報の送受信に障害を生じさせかねないなど、車両ネットワークシステムとしての脆弱性を高めるおそれも否定できない。そこで、車両ネットワークシステムを構築している電子制御装置が取り外されるなどして除外された場合に対応可能なシステムの一例が特許文献１に記載されている。
特許文献１に記載のシステムでは、ネットワーク（通信ライン）に対して、例えば通信ＥＣＵ、エンジンＥＣＵ、カーナビゲーションＥＣＵ、及びエアコンＥＣＵがそれぞれ相互に通信可能に接続されている車両ネットワークシステムを想定している。そしてここでは、各ＥＣＵが相互に行う接続確認によって、いずれかのＥＣＵ（車載機器）との間の接続が正常でない旨が検出されると、自身や他のＥＣＵ（車載機器）の動作を停止させるようにしている。このように、いずれかの車載機器が車両から取り外されたようなとき、他の車載機器が機器群として正常に動作しないようにすることで、機器の取り外しを含む不正な行為、すなわちここでは車両の盗難などを未然に防止するようにしている。
特開２００５−１５３４号公報
このように、特許文献１に記載のシステムによれば、装置の取り外しには確かに対応できるようにはなるものの、不正な装置の追加などとなると、これに適切に対応することができるとは限らない。このため、特にネットワークに送信された正規信号を不正利用して生成した偽信号をネットワークに送信するリプレイ攻撃など、装置の追加が関わることの多い不正アクセスとなると、これに対抗し得るセキュリティーをシステムとして確保することはできない。
例えば、車両のネットワークとして用いられることの多いコントロールエリアネットワーク（ＣＡＮ：Ｃｏｎｔｒｏｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）は、送信装置が自身に割り当てられた識別子（ＣＡＮ ＩＤ）を付して信号を送信し、受信装置は、信号に付された識別子に基づいて信号を送信した装置とその信号の内容を判断する。すなわち、図１２（ａ）に示すように、いま、送信装置としてのＥＣＵ Ａ１１０から、識別子”ＸＸ”、データ”１２３・・・”の送信信号ＴＤ１１０がネットワーク１２０に出力されたとする。これにより通常、受信装置としてのＥＣＵ Ｂ１１１、ＥＣＵ Ｃ１１２及びＥＣＵ Ｎ
１１３は、それぞれ送信信号ＴＤ１１０に基づく、識別子”ＸＸ”、データ”１２３・・・”の受信信号ＲＤ１１１〜１１３を得る。一方、図１２（ｂ）に示すように、このネットワークシステム１００に偽ＥＣＵ Ａ１３０が接続されたとすると、この偽ＥＣＵ Ａ１３０は、正規の送信装置であるＥＣＵ Ａ１１０が用いる識別子”ＸＸ”を用いて、偽のデータ”９９９・・・”を含む送信信号ＴＤ１３０を出力することができる。これにより、ＥＣＵ Ｂ１１１、ＥＣＵ Ｃ１１２及びＥＣＵ Ｎ１１３は、それぞれ送信信号ＴＤ１３０に基づく、識別子”ＸＸ”、偽データ”９９９・・・”の受信信号ＲＤ１３１〜１３３を得ることとなる。そしてこの場合、偽ＥＣＵ Ａ１３０の送信信号であるにもかかわらず、ＥＣＵ Ｂ１１１、ＥＣＵ Ｃ１１２及びＥＣＵ Ｎ１１３はＥＣＵ Ａ１１０の送信信号と判断して、この偽データに基づく処理を行ってしまうこととなる。このように、ＣＡＮにより構成されたネットワークシステム１００は、不正なアクセスにより偽ＥＣＵ Ａ１３０が正規のＥＣＵ Ａ１１０になりすますことができてしまうという点が、近年のネットワークの進化にともない、車両においても課題となりつつある。
なお、装置の処理能力やネットワークのデータ転送能力が高いシステムであれば、信号送受信の都度、暗号計算を行うＳＳＬ（セキュア・ソケット・レイヤー）などの高度な暗号化プロトコルを採用して不正アクセスを防止することも考えられる。しかしながら高度な暗号化プロトコルの処理には負荷の高い演算を要するため、演算能力やデータ転送能力などを必要最小限に抑えている車両ネットワークシステムに対してこのような負荷の高い演算を要するプロトコルを採用することは現実的ではない。
本発明は、このような実情に鑑みてなされたものであり、その目的は、ネットワーク接続された複数の電子制御装置間での限られた通信能力の中で通信信号の信頼性をも適正に確保することのできる車両ネットワークシステムを提供することにある。
以下、上記課題を解決するための手段及びその作用効果を記載する。
上記課題を解決するため、請求項１に記載の発明は、車両に設けられる複数の制御装置が通信可能にネットワーク接続された車両ネットワークシステムにおいて、前記複数の制御装置には、前記車両ネットワークシステムが構築されたときのシステムを有効化する初期化処理が実行されることに基づいて、対となる秘密鍵と公開鍵とのうち、秘密鍵が設定された第１の制御装置と、公開鍵が設定された第２の制御装置とが含まれており、前記第２の制御装置は、前記設定された公開鍵と該第２の制御装置を特定可能な情報とから認証情報を作成するとともに、該作成した認証情報を他の制御装置に送信する通信信号に付加して前記ネットワークに送信し、前記第１の制御装置は、前記第２の制御装置から送信された通信信号に付加されている認証情報を取得するとともに、該取得した認証情報と前記設定された秘密鍵とに基づいて前記通信信号の信頼性を評価することを要旨とする。
このような構成によれば、初期化処理の実行にて公開鍵が設定されるので、通信信号とともに認証情報を送信する装置は初期化処理の実行の際、車両ネットワークシステムに含まれていた装置であることが特定される。これにより、認証情報を付加され送信された通信信号は、初期化処理の際に車両ネットワークシステムに含まれていた装置から送信されたものであることが特定されるため、その信頼性が担保されるようになる。その結果、通信信号の信頼性を向上させることができるようになる。
また、一旦作成した認証情報を記憶しておけば、同認証情報を再度作成する必要がないため、その後の通信信号の送信の際、認証情報の作成に要する負荷の増加がなく、第２の制御装置の処理能力を従来と同程度に維持することも可能となる。
さらに、公開鍵により暗号化されている認証情報はその内容が改ざんされることがない
ためそれが付加された通信信号の信頼性も向上されるようになる。
請求項２に記載の発明は、請求項１に記載の車両ネットワークシステムにおいて、前記第２の制御装置は、前記作成した認証情報を複数に分割するとともに、それら分割した認証情報を通信信号に順次付加して送信し、前記第１の制御装置は、前記通信信号を順次受信して得られる前記分割された認証情報から分割前の認証情報を再構成し、この再構成した認証情報に基づいて前記通信信号の信頼性を評価することを要旨とする。
このような構成によれば、認証情報が分割して送信されるため、送信される通信信号毎に認証情報の全体を付加する場合に比べて、信頼性を確保するために必要とする通信データ量を減少させることができるようになる。特に、必要最小限の性能・機能で設計される車両ネットワークシステムであれば、通信信号の信頼性を高めるための機能強化などにかかるコスト上昇を抑制しつつ通信信号の信頼性を向上させることができる。
請求項３に記載の発明は、請求項１又は２に記載の車両ネットワークシステムにおいて、前記第１の制御装置は、前記初期化処理が実行されることに基づいて前記対となる秘密鍵と公開鍵とを生成するものであり、該生成した鍵のうち、秘密鍵を第１の制御装置自身に設定し、公開鍵を前記第２の制御装置に設定することを要旨とする。
このような構成によれば、第１の制御装置が初期化処理の実行時に秘密鍵と公開鍵とを生成することから、秘密鍵及び公開鍵が事前に漏洩するようなおそれがない。
請求項４に記載の発明は、請求項３に記載の車両ネットワークシステムにおいて、前記第１の制御装置は、前記生成した公開鍵の前記第２の制御装置への設定を前記ネットワークを介して行うことを要旨とする。
このような構成によれば、初期化処理の実行時に、車両ネットワークシステムを構成している適正な制御装置に正確かつ効率よく公開鍵を配布することができる。
請求項５に記載の発明は、請求項１〜４のいずれか一項に記載の車両ネットワークシステムにおいて、前記第２の制御装置は、前記公開鍵が設定されたタイミングで前記認証情報を作成することを要旨とする。
このような構成によれば、認証情報が公開鍵が設定されたときに作成されているため、通信信号を送信する際、認証情報を作成する処理負荷が生じず、第２の制御装置の処理負荷の増加を抑えることができる。
請求項６に記載の発明は、請求項１〜５のいずれか一項に記載の車両ネットワークシステムにおいて、前記第２の制御装置は、前記認証情報を作成した後、前記設定された公開鍵を消去することを要旨とする。
このような構成によれば、公開鍵そのものは認証情報の作成後は必要とされないため、通信信号の信頼性の評価に用いられる認証情報を残し、公開鍵を削除することにより公開鍵の漏洩が防止されて通信信号の信頼性がさらに向上するようになる。
請求項７に記載の発明は、請求項１〜６のいずれか一項に記載の車両ネットワークシステムにおいて、前記第２の制御装置は、前記車両ネットワークシステムが起動される都度、前記通信信号の送信に先立ち、前記認証情報を前記ネットワークに送信し、前記第１の制御装置は、前記第２の制御装置からの通信信号の受信に先立って受信された認証情報を取得して記憶し、該記憶した認証情報を前記通信信号に付加されている認証情報と比較することで前記通信信号の信頼性を評価することを要旨とする。
このような構成によれば、第１の制御装置は、信頼性を評価する必要のある通信信号を
送信する制御装置を、車両ネットワークシステムの起動の都度、通信信号の送信に先立ち送信される認証情報により認識することで、システム構成の変更などの影響を受けることなく、通信信号の信頼性評価を行うことができるようになる。またこれにより、信頼性を評価しなければならない通信信号を送信する制御装置を、予め第１の制御装置に登録しておく必要がないため、システムとしての柔軟性も高められる。
請求項８に記載の発明は、請求項１〜７のいずれか一項に記載の車両ネットワークシステムにおいて、前記第１の制御装置は、前記通信信号に信頼性がないと判断したとき、前記第２の制御装置の送信する通信信号の当該車両ネットワークシステムでの利用を禁止することを要旨とする。
このような構成によれば、第２の制御装置になりすました装置などが車両ネットワークシステムに接続され、車両ネットワークシステムに不正な信号が送信された場合であれ、当該不正な信号による影響が車両ネットワークシステムから排除される。これにより、不正な信号などが車両ネットワークシステムに不都合などを生じさせるおそれを防止することができるようになる。
上記課題を解決するため、請求項９に記載の発明は、車両に設けられる複数の制御装置がＣＡＮプロトコルのフォーマットからなる信号を介して通信可能にネットワーク接続された車両ネットワークシステムにおいて、前記複数の制御装置には、前記車両ネットワークシステムが構築されたときのシステムを有効化する初期化処理が実行されることに基づいて、対となる秘密鍵と公開鍵とのうち、秘密鍵が設定された第１の制御装置と、公開鍵
が設定された第２の制御装置とが含まれており、前記第１の制御装置と前記第２の制御装置とには、ＣＡＮプロトコルのフォーマットからなる信号に付与される識別子のうち異なる第１の識別子と第２の識別子とが対応する識別子である旨がそれぞれ設定されており、前記第１の制御装置は、前記ネットワークを介して他の制御装置に通信信号を送信する際、該通信信号に前記第１の識別子を付与して送信するとともに、前記設定された秘密鍵と、前記通信信号に基づいて生成された認証データとに基づいて作成した認証信号を送信する際、該認証信号に前記第２の識別子を付与して送信し、前記第２の制御装置は、前記第１の制御装置から送信された前記通信信号と前記認証信号とをそれぞれ受信して、前記通信信号に付与された第１の識別子と前記認証信号に付与された第２の識別子とが対応する識別子であることをもとに、該受信した通信信号に基づいて生成した認証データと、前記認証信号と前記設定された公開鍵とに基づいて復号された認証データとの比較に基づいて前記通信信号の信頼性を評価することを要旨とする。
このような構成によれば、初期化処理の実行にて公開鍵が設定されるので、公開鍵を送信する第１の制御装置は初期化処理の実行の際に車両ネットワークシステムに含まれていた装置であることが特定される。また、第２の制御装置は、通信信号から生成された認証データと、第１の制御装置の認証信号を復号して得られた認証データとを比較することにより、通信信号の送信元が第１の制御装置であること及び通信信号に改ざんが加えられていないことを判定することができる。例えばネットワークを流れる通信信号が改ざんされたとしても、これに対応する認証データを改ざんすることができないため、通信信号の改ざんを検出することができる。これにより、第１の制御装置になりすました装置からの偽装された信号などが検出可能となり、通信信号の信頼性を向上させることができるようになる。
なお、ＣＡＮプロトコルのフォーマットからなる信号は、車両データに対応して識別子が付与されるとともに、この識別子に基づいて送受信が行われるため、異なる２つの識別子であれ対応付けが予め定義（設定）されていることで送信側でも受信側でも対応する識別子を有する２つの信号を認知できる。
また、ネットワークには、第１の制御装置から通信信号そのものも送信されるため、通信信号の信頼性を評価しない他の制御装置は、従来通り、第１の制御装置から通信信号を受信して利用することができる。このため、この通信信号の信頼性を評価するシステムを既存の車両ネットワークシステムに適用することも容易である。
請求項１０に記載の発明は、請求項９に記載の車両ネットワークシステムにおいて、前記第１の制御装置は、前記通信信号にハッシュ関数を適用して算出した認証データを前記秘密鍵に基づいて暗号化することにより前記認証信号を生成するものであり、前記第２の制御装置は、前記受信した通信信号に前記ハッシュ関数を適用して算出した認証データと、前記認証信号を復号して得られた認証データとの比較に基づいて前記通信信号の信頼性
を評価することを要旨とする。
このような構成によれば、ハッシュ関数により通信信号から適切な大きさ（強度）の認証データを算出することができるようになる。これにより車両ネットワークシステムの設計自由度が高められる。
請求項１１に記載の発明は、請求項９又は１０に記載の車両ネットワークシステムにおいて、前記第１の制御装置は、前記初期化処理が実行されることに基づいて前記対となる秘密鍵と公開鍵とを生成するものであり、該生成した鍵のうち、秘密鍵を第１の制御装置自身に設定し、公開鍵を前記第２の制御装置に設定することを要旨とする。
このような構成によれば、第１の制御装置が初期化処理の実行時に秘密鍵と公開鍵とを生成することから、秘密鍵及び公開鍵が事前に漏洩するようなおそれがない。
請求項１２に記載の発明は、請求項１１に記載の車両ネットワークシステムにおいて、前記第１の制御装置は、前記生成した公開鍵の前記第２の制御装置への設定を前記ネットワークを介して行うことを要旨とする。
このような構成によれば、初期化処理の実行時に、車両ネットワークシステムを構成している適正な制御装置に正確かつ効率よく公開鍵を配布することができる。
本発明にかかる車両ネットワークシステムを具体化した第１の実施形態について、その概略構成を示すブロック図。 同車両ネットワークシステムの電子制御装置が認証キーワードを生成する態様を模式的に示す模式図。 同車両ネットワークシステムの電子制御装置が送信信号に付加する分割した認証キーワードについて示す図であり、（ａ）は認証キーワードを分割して抽出キーワードを抽出する態様を模式的に示す模式図、（ｂ）は抽出キーワードの付加された送信信号のデータフォーマットの構成を模式的に示す模式図。 同車両ネットワークシステムにて通信信号の信頼性を評価する処理のステップについて示すフローチャートであり、（ａ）はシステム初期化処理のステップを示すフローチャート、（ｂ）は通信信号の信頼性を評価する処理のステップを示すフローチャート。 同車両ネットワークシステムのシステム初期化処理を示すシーケンス図。 同車両ネットワークシステムの接続管理処理を示すシーケンス図。 同車両ネットワークシステムのデータ認証処理を示すシーケンス図。 本発明にかかる車両ネットワークシステムを具体化した第２の実施形態について、その概略構成を示すブロック図。 同車両ネットワークシステムにおける各信号の送受信の態様を模式的に示す模式図。 同車両ネットワークシステムにおいて信号を送信する処理のステップを示すフローチャート。 同車両ネットワークシステムにおいて受信した信号に基づいて信号の信頼性を評価する処理のステップを示すフローチャート。 従来の車両ネットワークシステムの構成を模式的に示す図であり、（ａ）は通常時における信号の送受信態様を示す模式図、（ｂ）は不正アクセスが生じたときにおける信号の送受信態様を示す模式図。
（第１の実施形態）
本発明にかかる車両ネットワークシステムを具体化した一実施形態について、図１〜３に従って説明する。
図１に示すように、車両１０には、車両に搭載された装置を電子制御する装置としての第１〜第４の電子制御装置（ＥＣＵ）２０〜２３と、それら第１〜第４のＥＣＵ２０〜２３を相互通信可能にネットワーク接続させるネットワーク２９とを備える車両ネットワークシステムが設けられている。
ネットワーク２９は、車両１０への搭載に適した仕様のネットワークであり、本実施形態では、ネットワーク２９には、公知のネットワークである車両用のコントロールエリアネットワーク（ＣＡＮ：Ｃｏｎｔｒｏｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）が採用されている。車両用のＣＡＮは、その仕様として、最大通信容量が例えば１秒（時間）当たり５００キロビットであるとともに、１つのデータフレーム（約５〜１３バイト）に含むことのできるデータの大きさが最大８バイト（６４ビット）であることなどが知られている。なお、本実施形態では、ネットワーク２９に送信されるデータフレーム（送信信号）に含まれるデータは、車速、エンジン温度、ＥＣＵによる処理結果など、いわゆる車両情報データである。
第１〜第４のＥＣＵ２０〜２３にはそれぞれ、ネットワーク２９を介して相互通信を行うための通信部３０が設けられている。なお、第１〜第４のＥＣＵ２０〜２３の各通信部３０は、いずれも同様の機能を有するため、以下では第１の制御装置としての第１のＥＣＵ２０の通信部３０について詳しく説明し、説明の便宜上、第２の制御装置としての第２〜第４のＥＣＵ２１〜２３の各通信部３０の説明については割愛する。
第１のＥＣＵ２０の通信部３０は、第２〜第４のＥＣＵ２１〜２３から送信された車両情報データを含む通信信号としての送信信号を受信するとともに、該受信した送信信号に含まれている車両情報データを抽出して第１のＥＣＵ２０における各種のデータ処理を可能にさせる。そのため、通信部３０は、ネットワーク２９から受信したＣＡＮプロトコルのフォーマットからなる送信信号から、「ＣＡＮ ＩＤ」などのネットワーク通信の処理に用いられるデータを取り除くなどして、車両情報データを抽出するとともに、該抽出した車両情報データを「ＣＡＮ ＩＤ」に関連付けた状態で第１のＥＣＵ２０の記憶装置などに記憶させる。「ＣＡＮ ＩＤ」は、予め、一つの車両情報データに一対一に対応付けられているため、第１のＥＣＵ２０は、抽出された車両情報データの意味をそれに関連付けられている「ＣＡＮ ＩＤ」に基づいて判断することができる。逆に、第１のＥＣＵ２０の通信部３０は、車両情報データを送信する場合、第１のＥＣＵ２０から送信する車両情報データを含む送信信号を生成するとともに、該生成した送信信号をネットワーク２９に送信する。すなわち、第１のＥＣＵ２０の通信部３０は、送信する車両情報データに「ＣＡＮ ＩＤ」などを付加してＣＡＮプロトコルのフォーマットを有する送信信号を作成し、該作成した送信信号をネットワーク２９に送信する。このようなことにより、第１〜第４のＥＣＵ２０〜２３は、ネットワーク２９を介して各種の車両情報データの送受が相互に行えるようになっている。
第１〜第４のＥＣＵ２０〜２３はそれぞれ、例えば、エンジンＥＣＵや、ブレーキＥＣＵや、ステアリングＥＣＵや、運転支援（ナビゲーションシステム）ＥＣＵなどである。各第１〜第４のＥＣＵ２０〜２３は、演算装置、記憶装置、不揮発性メモリ（ＲＯＭ）、揮発性メモリ（ＲＡＭ）、不揮発性の記憶装置（フラッシュメモリーやハードディスク）などを備えたマイクロコンピュータを中心として構成されている。そして、記憶装置や各メモリに格納されている各種データ及びプログラムに基づく各種情報処理がマイクロコンピュータにより実行される。
また、本実施形態の車両ネットワークシステムには、通信信号の信頼性を向上させるための構成が設けられている。すなわち、第１のＥＣＵ２０は、ネットワーク２９に流されている送信信号を監視し、送信信号の信頼性を評価する機能、いわゆる認証マスターとしての機能を有している。一方、第２〜第４のＥＣＵ２１〜２３は、それらからの送信信号を認証マスターとしての第１のＥＣＵ２０が認証できるようにするため、送信信号に認証に用いる認証キーワード等を付加して送信する機能を有している。そこで、第２〜第４のＥＣＵ２１〜２３の構成について説明する。
第１のＥＣＵ２０には、対となる秘密鍵Ｋ１と公開鍵Ｋ２とを生成する鍵生成部３１と、鍵生成部３１により生成された秘密鍵Ｋ１を保持する秘密鍵保存部３２とが設けられている。また、第１のＥＣＵ２０には、車両１０の始動の都度、ネットワーク２９に接続されているＥＣＵを登録・管理する接続ＥＣＵ管理部３３と、公開鍵Ｋ２により暗号化された認証キーワードに基づいて送信信号の信頼性の評価（認証）処理を行うキーワード認証部３４とが設けられている。
鍵生成部３１は、暗号とデジタル署名とが可能なＲＳＡ暗号などの公開鍵暗号方式に用いる一対の秘密鍵Ｋ１と公開鍵Ｋ２（鍵ペア）とを生成するものであり、例えばＲＳＡ暗号方式が指定する演算方法により同ＲＳＡ暗号に用いる鍵ペアを生成する。すなわち鍵ペアを暗号に使用すれば、平文を公開鍵Ｋ２で暗号化できるとともに、該暗号化された平文を秘密鍵Ｋ１で復号することができる。また、鍵ペアをデジタル署名に使用すれば、秘密鍵Ｋ１で暗号化された平文を、公開鍵Ｋ２で復号することができるようになる。
また、鍵生成部３１による鍵ペアの生成は、車両ネットワークシステムの初期化の実行を条件に実行される。そして鍵生成部３１は、鍵ペアとして一対の秘密鍵Ｋ１と公開鍵Ｋ２を生成した後、該生成した公開鍵Ｋ２をネットワーク２９に一度だけ送信、すなわち公開鍵Ｋ２を一度だけ公開する。このように本実施形態では、公開鍵Ｋ２は、車両ネットワークシステムの初期化が実行されたことを条件にして車両ネットワークシステムに一度だけ公開されるようになっており、インターネットで使用される一般的な公開鍵のように常時公開されるようにはなっていない。
鍵生成部３１が鍵ペアを生成する条件としての車両ネットワークシステムの初期化とは、構築された車両ネットワークシステムを有効化するために同車両ネットワークシステムに対して行う初期化処理である。例えば、出荷のために車両にバッテリーを接続した場合や、車両ネットワークシステムの再構築を伴う車両整備をカーディーラで行った場合などに限って、車両ネットワークシステムの初期化が意図的に実行される。他方、これら以外の場合、例えば、車両を使用するためにイグニッションキーなどで同車両を始動させた場合や、車両ネットワークシステムの再構築とは無関係に行われるバッテリー交換の場合などは、車両ネットワークシステムの初期化は実行されないようになっているため、鍵生成部３１による鍵ペアの生成は行われない。
秘密鍵保存部３２は、鍵生成部３１により生成された鍵ペアのうちの秘密鍵Ｋ１を、鍵ペアの生成時に鍵生成部３１から受け、第１のＥＣＵ２０においてのみ利用可能に保持する。
接続ＥＣＵ管理部３３は、イグニッションキーなどによる車両１０始動操作に伴って車両ネットワークシステムが起動される都度、各ＥＣＵが送信する各ＥＣＵの識別情報を含む認証キーワード４３をネットワーク２９を介して受信する。そして、接続ＥＣＵ管理部３３は、それら受信した認証キーワード４３から得られる識別情報に基づいて特定されるＥＣＵをネットワーク２９に接続されているものと判断して接続リスト３３１に登録するとともに、該接続リスト３３１を同車両ネットワークシステムの稼働中、第１のＥＣＵ２
０において利用可能に管理する。なお、本実施形態では、認証キーワード４３は公開鍵Ｋ２により暗号化されているが、秘密鍵保存部３２に保持された秘密鍵Ｋ１により復号することでそこに含まれているＥＣＵの識別情報を取得することができる。
キーワード認証部３４は、公開鍵Ｋ２により暗号化された認証キーワード４３などを必要に応じて秘密鍵保存部３２に保持された秘密鍵Ｋ１により復号する。また、キーワード認証部３４は、ネットワーク２９に流されている送信信号を監視し、それら送信信号に付加されている認証キーワード４３等を取得する。なお本実施形態では、送信信号には認証キーワード４３の一部（抽出キーワード）が付加されているため、各送信信号から認証キーワード４３の一部を取得し、それら取得された一部の認証キーワード４３を同一の「ＣＡＮ ＩＤ」を有する送信信号毎にそれぞれ順次連結することにより、完全な大きさの再構成認証キーワード３４１を再構成する。
また、キーワード認証部３４は、再構成認証キーワード３４１を接続ＥＣＵ管理部３３に保持されている認証キーワード４３と照合する。キーワード認証部３４は、再構成認証キーワード３４１と認証キーワード４３とを暗号化されているまま照合してもよいし、復号してから照合するようにしてもよい。これにより、送信信号を送信したＥＣＵが接続リスト３３１に管理されている認証キーワード４３を送信したＥＣＵから送信されたものであるか否かが検証されるようになる。すなわち、再構成認証キーワード３４１と認証キーワード４３とが一致した場合、送信信号を送信したＥＣＵは接続リスト３３１に管理されている認証キーワード４３を送信したＥＣＵであることが検証される。その一方、再構成認証キーワード３４１と認証キーワード４３とが不一致の場合、不正なアクセスなどによりネットワーク２９に偽の送信信号が追加されていることなどが生じており、送信信号の信頼性が保証できないことが検出される。
さらに、キーワード認証部３４は、再構成認証キーワード３４１と認証キーワード４３とが不一致の場合、再構成認証キーワード３４１が不正であると判断して、当該再構成認証キーワード３４１が付加された「ＣＡＮ ＩＤ」を有する送信信号の利用を禁止する。例えば、キーワード認証部３４は、利用を禁止する「ＣＡＮ ＩＤ」が割り当てられたＥＣＵを車両ネットワークシステムで利用することを禁止したり、送信信号が不正である旨の情報をネットワーク２９にブロードキャスト（通知）することにより禁止対象とするＥＣＵを車両ネットワークシステムから切り離す、もしくは禁止対象とする送信信号を無視するようにするなどする。これにより、禁止対象の「ＣＡＮ ＩＤ」を有する送信信号がネットワーク２９に流れない、もしくは取り扱われないようにする。また、キーワード認証部３４は、ネットワーク２９に禁止対象の「ＣＡＮ ＩＤ」を送信することで、第２〜第４のＥＣＵ２１〜２３に禁止対象の「ＣＡＮ ＩＤ」を伝達して、同禁止対象の「ＣＡＮ ＩＤ」を有する送信信号を各ＥＣＵに使用させないようにすることができる。
続いて、第２〜第４のＥＣＵ２１〜２３における送信信号の信頼性の評価に関する機能について説明する。ところで第２〜第４のＥＣＵ２１〜２３は、いずれも同様の機能を有するため、以下では第２のＥＣＵ２１について詳しく説明し、説明の便宜上、第３及び第４のＥＣＵ２２，２３の説明については同様の機能には同一の符号を付し、その詳細な説明を割愛する。
第２のＥＣＵ２１には、第１のＥＣＵ２０から送信された公開鍵Ｋ２を受信して保持する公開鍵保存部４１と、公開鍵Ｋ２を用いて認証キーワード４３を作成して保持する認証キーワード生成保存部４２とが設けられている。また、第２のＥＣＵ２１には、車速、エンジン温度、又はＥＣＵによる処理結果等からなる車両情報データ４４と、車両情報データ４４に認証キーワード４３の一部を順次付加する認証キーワード付加部４５とが設けられている。
公開鍵保存部４１は、車両ネットワークシステムの初期化が実行される際、第１のＥＣＵ２０から送信された公開鍵Ｋ２を取得し、該取得した公開鍵Ｋ２を第２のＥＣＵ２１において利用可能に保持する。
認証キーワード生成保存部４２は、図２に示すように、第２のＥＣＵ２１を特定することが可能な情報である第２のＥＣＵ２１の固有情報、例えばＥＣＵ名２１１やシリアル番号２１２などの少なくとも１つの情報を公開鍵保存部４１に保持された公開鍵Ｋ２を用いて暗号化２１４することにより認証キーワード４３を作成し、保持する。また、認証キーワード生成保存部４２は、イグニッションキーによる車両１０の始動等に伴う車両ネットワークシステムの起動の都度、保持している認証キーワード４３をネットワーク２９に送信する。これにより、第２のＥＣＵ２１は、第１のＥＣＵ２０の接続ＥＣＵ管理部３３の接続リスト３３１に該第２のＥＣＵ２１の認証キーワード４３を登録させるようにしている。
車両情報データ４４は、車速、エンジン温度、ＥＣＵによる処理結果などのうちのいずれか一つの車両情報であり、一つの車両情報データ４４には、一つの「ＣＡＮ ＩＤ」が予め対応付けられている。これにより、車両ネットワークシステムでは、「ＣＡＮ ＩＤ」を参照することにより車両情報データ４４に含まれている車両情報の種類等と、該車両情報データ４４を送信したＥＣＵとを、不正アクセス等がなければ、正しく特定できるようになっている。
認証キーワード付加部４５は、第２のＥＣＵ２１から送信する、同一の「ＣＡＮ ＩＤ」が付される車両情報データ４４に、順次、認証キーワード４３の一部としての抽出キーワードを付加する。詳述すると、認証キーワード付加部４５は、図３（ａ）に示すように、認証キーワード４３の任意の位置に「抽出開始ポイント」を定め、該「抽出開始ポイント」から順次所定のビット数ずつキーワードを抽出することによりｎ個の認証情報としての抽出キーワード４３１〜４３ｎを取得するようにしている。この際、抽出位置が認証キーワード４３の最後に到達した場合、抽出位置を認証キーワード４３の最初に戻し、抽出位置が「抽出開始ポイント」になるまで「抽出キーワード」の抽出（取得）を繰り返す。このようにして認証キーワード４３から所定ビット数の抽出キーワード４３１〜４３ｎが所定の数であるｎ個抽出される。そして、図４（ｂ）に示すように、認証キーワード付加部４５は、車両情報データ４４に一つの抽出キーワード４３１（〜４３ｎ）を抽出順に付加する。このように、車両情報データ４４に一つの抽出キーワード４３１（〜４３ｎ）だけを付加することにより、認証キーワード４３そのものを付加する場合に比べて送信するデータ量を少なくすることができるようになる。
これにより、車両情報データ４４と抽出キーワード４３１（〜４３ｎ）とが通信部３０に送られ、通信部３０にてＣＡＮ ＩＤ２１５とシーケンス番号２１６とが付加されることなどによりＣＡＮプロトコルのデータフォーマットからなる送信信号が作成され、該作成された送信信号がネットワーク２９に送信される。
なお、上述の「抽出開始ポイント」は任意に定めることができるが、例えば、公開鍵Ｋ２のビット列に対して、隣り合うビットを順次、排他的論理和（ＸＯＲ）で演算するようにし、演算結果のビット数が予め定めた所望のビット数になった時点において該演算結果の値を得る。そして「抽出開始ポイント」を、認証キーワード４３の先頭ビットから前述のようにして得られた演算結果の値までシフトした位置に定めるようにしている。
次に、このように構成される車両ネットワークシステムの作用について、図４〜図７を参照して説明する。
図４（ａ）に示すように、車両ネットワークシステムは、同システムが構築された後、同システムを有効化するためのシステム初期化処理を実行する（図４のステップＳ１０）。システム初期化処理では、図５に示すように、第１のＥＣＵ２０は、一対の秘密鍵Ｋ１と公開鍵Ｋ２とを生成する（図５のステップＳ１１）。第１のＥＣＵ２０は、生成した秘密鍵Ｋ１を自身の秘密鍵保存部３２に保持する一方、生成した公開鍵Ｋ２をネットワーク２９を介して第２〜第４のＥＣＵ２１〜２３に配布し、設定する（図５のステップＳ１２）。公開鍵Ｋ２の設定された第２〜第４のＥＣＵ２１〜２３は、公開鍵Ｋ２が設定されたタイミングで同設定された公開鍵Ｋ２に基づいて認証キーワード４３をそれぞれ作成し、保持する（図５のステップＳ１３）。これらの処理が終了することにより、システム初期化処理の実行が終了する。
車両ネットワークシステムの初期化の実行後、車両ネットワークシステムが通常通り起動されると、図４（ｂ）に示すように、車両ネットワークシステムは、接続管理処理（図４のステップＳ２０）を行い、引き続いてデータ認証処理（図４のステップＳ３０）を行う。
接続管理処理では、図６に示すように、車両ネットワークシステムが起動することに伴って第２〜第４のＥＣＵ２１〜２３は保持しているそれぞれの認証キーワード４３をそれぞれネットワーク２９に送信する（図６のステップＳ２１）。第１のＥＣＵ２０は、第２〜第４のＥＣＵ２１〜２３の各認証キーワード４３をそれぞれ受信して秘密鍵Ｋ１により復号することにより送信元のＥＣＵを特定する（図６のステップＳ２２）とともに、各認証キーワード４３を特定されたＥＣＵに関連付けて接続リスト３３１に登録する（図６のステップＳ２３）。これにより、車両ネットワークシステムの初期化の実行時に公開鍵Ｋ２を取得できなかったＥＣＵ、例えば、車両ネットワークシステムの初期化の実行後に接続されたＥＣＵなどを接続リスト３３１に登録しないようにすることで、ネットワーク２９に不正に接続されたＥＣＵを判別することもできるようにしている。
データ認証処理では、図７に示すように、第２〜第４のＥＣＵ２１〜２３は、抽出キーワード４３１（〜４３ｎ）が付加された送信信号を送信する（図７のステップＳ３１）。第１のＥＣＵ２０は、抽出キーワードが付加された送信信号を監視し、各「ＣＡＮ ＩＤ」毎に抽出キーワード４３１（〜４３ｎ）を順次取得して再構成した再構成認証キーワード３４１と、接続リスト３３１に保持されている認証キーワード４３と照合することにより送信信号の信頼性を検証する（図７のステップＳ３２）。すなわち、再構成認証キーワード３４１と認証キーワード４３とが一致する場合（図７のステップＳ３３でＹＥＳ）、第１のＥＣＵ２０は、再構成認証キーワード３４１を適正であると判断するとともに、送信信号の監視を継続する（図７のステップＳ３４）。
一方、再構成認証キーワード３４１と認証キーワード４３とが不一致の場合（図７のステップＳ３３でＮＯ）、第１のＥＣＵ２０は、再構成認証キーワード３４１が不正であると判断して、当該再構成認証キーワード３４１が付加された「ＣＡＮ ＩＤ」を有するＥＣＵを車両ネットワークシステムから切り離す（図７のステップＳ３５）。また、第１のＥＣＵ２０は、第２〜第４のＥＣＵ２１〜２３に禁止対象の「ＣＡＮ ＩＤ」を有する送信信号を使用させないようにする（図７のステップＳ３６）。
これにより、本実施形態の車両ネットワークシステムでは、ネットワーク２９に送信されている送信信号に、偽のデータに第２〜第４のＥＣＵ２１〜２３が送信信号に付す「ＣＡＮ ＩＤ」を付された送信信号が含まれていないかどうかが、第１のＥＣＵ２０により監視されるようになる。そして、送信信号の中に偽装された送信信号が含まれている場合、それが判定されることにより、第１のＥＣＵ２０は、偽装された送信信号の同ネットワーク２９での利用を禁止することができる。
以上説明したように、本実施形態の車両ネットワークシステムによれば、以下に列記するような効果が得られるようになる。
（１）車両ネットワークシステムの初期化処理の実行にて公開鍵Ｋ２が第２〜第４のＥＣＵ２１〜２３に設定されるので、送信信号とともに抽出キーワード４３１〜４３ｎを送信する第２〜第４のＥＣＵ２１〜２３は初期化処理の実行の際、車両ネットワークシステムに含まれていた装置であることが特定される。これにより、抽出キーワード４３１〜４３ｎを付加され送信された送信信号は、初期化処理の実行の際に車両ネットワークシステムに含まれていた第２〜第４のＥＣＵ２１〜２３から送信されたものであることが特定されるため、その信頼性が担保されるようになる。その結果、送信信号の信頼性を向上させることができるようになる。
（２）また、一旦作成した抽出キーワード４３１〜４３ｎ（認証キーワード４３）を記憶しておけば、同抽出キーワード４３１〜４３ｎを再度作成する必要がないため、その後の送信信号の送信の際、抽出キーワード４３１〜４３ｎの作成に要する負荷の増加がなく、第２〜第４のＥＣＵ２１〜２３の処理能力を従来と同程度に維持することも可能となる。
（３）さらに、公開鍵Ｋ２により暗号化されている抽出キーワード４３１〜４３ｎはその内容が改ざんされることがないためそれが付加された送信信号の信頼性も向上されるようになる。
（４）抽出キーワード４３１〜４３ｎ（認証キーワード４３）が分割して送信されるため、送信される送信信号毎に抽出キーワード４３１〜４３ｎの全体を付加する場合に比べて、信頼性を確保するために必要とする通信データ量を減少させることができるようになる。特に、必要最小限の性能・機能で設計される車両ネットワークシステムであれば、送信信号の信頼性を高めるための機能強化などにかかるコスト上昇を抑制しつつ送信信号の信頼性を向上させることができる。
（５）第１のＥＣＵ２０が初期化処理の実行時に秘密鍵Ｋ１と公開鍵Ｋ２とを生成することから、秘密鍵Ｋ１及び公開鍵Ｋ２が事前に漏洩するようなおそれがない。
（６）初期化処理時に公開鍵Ｋ２を配布するため、車両ネットワークシステムを構成している適正な第２〜第４のＥＣＵ２１〜２３に正確かつ効率よく公開鍵Ｋ２を配布することができる。
（７）抽出キーワード４３１〜４３ｎ（認証キーワード４３）が公開鍵Ｋ２が設定されたときに作成されるため、送信信号を送信する際、抽出キーワード４３１〜４３ｎ（認証キーワード４３）を作成する処理負荷が生じず、第２〜第４のＥＣＵ２１〜２３の処理負荷の増加を抑えることができる。
（８）第１のＥＣＵ２０は、信頼性を評価する必要のある送信信号を送信する第２〜第４のＥＣＵ２１〜２３を、車両ネットワークシステムの起動の都度、送信信号の送信に先立ち送信される認証キーワード４３により認識することで、システム構成の変更などの影響を受けることなく、送信信号の信頼性評価を行うことができるようになる。またこれにより、信頼性を評価しなければならない送信信号を送信する第２〜第４のＥＣＵ２１〜２３を、予め第１のＥＣＵ２０に登録しておく必要がないため、システムとしての柔軟性も高められる。
（９）第２〜第４のＥＣＵ２１〜２３になりすました装置などが車両ネットワークシステムに接続されて車両ネットワークシステムに不正な信号（偽装された信号）が送信され
た場合、当該不正な信号の利用を禁止するため当該不正な信号による影響が車両ネットワークシステムに生じることが排除される。これにより、不正な信号などが車両ネットワークシステムに不都合などを生じさせるおそれを防止することができるようになる。
（第２の実施形態）
以下、本発明にかかる車両ネットワークシステムの第２の実施形態について、図８及び図９を参照して説明する。本実施形態は、送信信号の信頼性評価を可能にする認証信号を必要に応じて送信信号とは別に送信するようにしたことが、先の第１の実施形態に対して主に相違する。そこで以下では主に、本実施形態と、先の第１の実施形態との相違点について説明し、説明の便宜上、同様の構成については同一の符号を付してその説明を割愛する。
第１のＥＣＵ２０の通信部３０は、先の第１の実施形態の通信部３０と同様であるが、本実施形態では、図９に示すように、通信信号としての送信信号ＴＤ１０に付すための「ＣＡＮ ＩＤ」の値として”ＸＸ”が設定されているとともに、暗号信号ＴＳ１０に付するための「ＣＡＮ ＩＤ」の値として”ＹＹ”が設定されている。この値”ＹＹ”は、値”ＸＸ”に関連付けられた識別子であり、値”ＹＹ”が「ＣＡＮ ＩＤ」に設定された暗号信号ＴＳ１０は、値”ＸＸ”を有する送信信号ＴＤ１０の信頼性を評価するための信号、いわゆる認証信号であることが車両ネットワークシステムにおいて予め定義されている。
図８に示すように、第１の制御装置としての第１のＥＣＵ２０には、対となる秘密鍵Ｋ１と公開鍵Ｋ２とを生成する鍵生成部３１と、鍵生成部３１により生成された秘密鍵Ｋ１を保持する秘密鍵保存部３２とが設けられている。また、第１のＥＣＵ２０には、車速、エンジン温度、ＥＣＵによる処理結果等からなる車両情報データ３５と、車両情報データ３５の送信元を認証させるための認証データを作成する認証データ作成部３６と、認証データから認証信号としての暗号データを作成する暗号データ作成部３７とが設けられている。
鍵生成部３１は、先の第１の実施形態と同様に、暗号とデジタル署名とが可能なＲＳＡ暗号などの公開鍵暗号方式に用いる一対の秘密鍵Ｋ１と公開鍵Ｋ２（鍵ペア）とを生成するものであり、例えばＲＳＡ暗号方式が指定する演算方法により同ＲＳＡ暗号に用いる鍵ペアを生成する。すなわち鍵ペアを暗号に使用すれば、平文を公開鍵Ｋ２で暗号化できるとともに、該暗号化された平文を秘密鍵Ｋ１で復号することができる。また、鍵ペアをデジタル署名に使用すれば、秘密鍵Ｋ１で暗号化された平文を、公開鍵Ｋ２で復号することができるようになる。
車両情報データ３５は、車速、エンジン温度、ＥＣＵによる処理結果などのうちのいずれか一つの車両情報であり、一つの車両情報データ３５には、一つの「ＣＡＮ ＩＤ」が予め対応付けられている。これにより、車両ネットワークシステムでは、「ＣＡＮ ＩＤ」を参照することにより車両情報データ３５に含まれている車両情報の種類等と、該車両情報データ３５を送信したＥＣＵ（例えば第１のＥＣＵ２０）とを、不正アクセス等がなければ、正しく特定できるようになっている。
認証データ作成部３６は、予め定められたハッシュ関数を用いて得られた車両情報データ３５のハッシュ値を、車両情報データ３５の送信元が第１のＥＣＵ２０であることを認証させるための認証データとする。ハッシュ関数は、車両情報データ３５から予め定められた疑似乱数（ハッシュ値、メッセージダイジェスト）を生成する。なお理論上、同一のハッシュ値を持つ異なるデータ（例えば、偽の車両情報データ）を作成することは極めて困難であることから、ハッシュ関数により作成された認証データは、例えば車両情報デー
タ３５から作成されたものであることが保証される。
暗号データ作成部３７は、秘密鍵保存部３２に保持されている秘密鍵Ｋ１に基づいて認証データから暗号データを作成する。この暗号データは公開鍵Ｋ２によってのみ復号できるようになっているため、この暗号データを公開鍵Ｋ２により復号できれば該暗号データは第１のＥＣＵ２０により生成されたものであることが保証される。
次に、第２の制御装置としての第２のＥＣＵ２１に設けられる、送信信号ＴＤ１０の信頼性を評価する機能に関する構成について説明する。なお、第３及び第４のＥＣＵ２２，２３には、送信信号の信頼性を評価する機能が設けられていないが、それらの他の機能は、第２のＥＣＵ２１の機能と同様であるため、その詳細な説明を割愛する。
第２のＥＣＵ２１には、第１のＥＣＵ２０から送信された公開鍵Ｋ２を受信して保持する公開鍵保存部４１が設けられている。また、第２のＥＣＵ２１には、第１のＥＣＵ２０の送信した送信信号ＴＤ１０に含まれている車両情報データ３５を保持する受信データ保存部５０と、受信データ保存部５０に保持された車両情報データ３５に基づいて認証データを再生する認証データ再生部５１とが設けられている。さらに、第２のＥＣＵ２１には、第１のＥＣＵの送信した暗号信号ＴＳ１０に含まれている暗号データを保存する暗号データ保存部５２と、認証データ再生部５１が再生した認証データと暗号データから復号された認証データとに基づいて送信信号ＴＤ１０の信頼性を評価する信頼性評価部５３とが設けられている。
受信データ保存部５０は、第１のＥＣＵ２０の送信した送信信号ＴＤ１０を受信した通信部３０が同受信した送信信号ＴＤ１０から取り出した車両情報データ３５を取得して保持する。
認証データ再生部５１は、第１のＥＣＵ２０が認証データの作成に使用するハッシュ関数と同一のハッシュ関数を有しており、そのハッシュ関数を利用して受信データ保存部５０に保持されている車両情報データ３５のハッシュ値（メッセージダイジェスト）を生成する。すなわち、受信データ保存部５０は、第１のＥＣＵ２０が認証データの生成に用いたハッシュ関数と車両情報データ３５とに基づいて再生した認証データである再生認証データを生成する。なお通常、不正アクセス等がなければ、受信データ保存部５０は、第１のＥＣＵ２０により生成された認証データと同一の再生認証データを再生する。
暗号データ保存部５２は、第１のＥＣＵ２０の送信した暗号信号ＴＳ１０を受信した通信部３０が同受信した暗号信号ＴＳ１０から通信に必要とされる「ＣＡＮ ＩＤ」などを取り除くことにより取り出した暗号データを取得して保存する。すなわち、第１のＥＣＵ２０により生成された認証データに基づき生成された暗号データが保持される。
信頼性評価部５３は、暗号データ保存部５２に保持された暗号データを公開鍵保存部４１に保存された公開鍵Ｋ２に基づいて復号することにより、第１のＥＣＵ２０により生成された認証データである復号認証データを取得する。なお、公開鍵Ｋ２により復号することのできる暗号データは、第１のＥＣＵ２０の秘密鍵Ｋ１により暗号化された暗号データのみであるため、公開鍵Ｋ２により適切に復号される暗号データは秘密鍵Ｋ１を用い、すなわち第１のＥＣＵ２０によって暗号化されたものであることが保証される。
そして、信頼性評価部５３は、暗号データを復号した復号認証データと、認証データ再生部５１の再生認証データとを照合することに基づいて送信信号ＴＤ１０の信頼性を評価する。これにより、復号認証データと再生認証データとが一致した場合、復号認証データは第１のＥＣＵ２０により送信されたことが保証されていることから、再生認証データの
再生に用いられた車両情報データ３５も第１のＥＣＵ２０から送信されたものであることが保証される。また、認証データとしてのハッシュ値が一致していることから、第１のＥＣＵ２０が送信信号ＴＤ１０として送信した平文データ（車両情報データ３５）が、途中で異なるデータに改ざんされてないことも保証される。
次に、このように構成される車両ネットワークシステムの作用について、図１０及び図１１を併せ参照して説明する。
図９に示すように、第１のＥＣＵ２０は、車両ネットワークシステムの初期化の際、鍵生成部３１にて一対の秘密鍵Ｋ１と公開鍵Ｋ２とを生成し、生成した秘密鍵Ｋ１は秘密鍵保存部３２に保持する。一方、第１のＥＣＵ２０は、生成した公開鍵Ｋ２をネットワーク２９に送信して第２のＥＣＵ２１に設定させる。なお、本実施形態では、第３及び第４のＥＣＵ２２，２３は、第１のＥＣＵ２０より送信される送信信号の信頼性を評価する必要がないため、第１のＥＣＵ２０により生成された公開鍵Ｋ２が設定されない。
そして、このような初期化処理が終了した後、車両ネットワークシステムが起動され、第１のＥＣＵ２０から第２のＥＣＵ２１に対して信頼性評価を必要とされる送信信号ＴＤ１０が送信されるものとする。送信信号ＴＤ１０は、通常のＣＡＮプロトコルのフォーマットにて構成された信号であり、ＣＡＮ ＩＤの値”ＸＸ”、平文データ（車両情報データ３５）の値”１２３・・・”を有している。そして、この送信信号ＴＤ１０がネットワーク２９に送信されることにより、同ネットワーク２９に接続されている第２〜第４のＥＣＵ２１〜２３はそれぞれ、ＣＡＮ ＩＤの値”ＸＸ”、平文データの値”１２３・・・”からなる受信信号ＲＤ１１〜１３を受信する。
ところで、本実施形態では、第１のＥＣＵ２０は、送信信号ＴＤ１０の送信に先立ち同送信信号ＴＤ１０の信頼性評価に用いられる暗号信号ＴＳ１０をネットワーク２９に送信する。すなわち、図１０に示すように、第１のＥＣＵ２０は、平文データである車両情報データ３５のハッシュ値（メッセージダイジェスト）を認証データとして生成し（図１０のステップＳ４０）、この生成した認証データを秘密鍵Ｋ１により暗号化した暗号データを含む暗号信号ＴＳ１０を作成する（図１０のステップＳ４１）。例えば、平文データ”１２３・・・”から生成した認証データを暗号化することで暗号データとしての”６０８・・・”が得られる。そして、この暗号データを含むようにＣＡＮプロトコルのフォーマットに構成された暗号信号ＴＳ１０は、ＣＡＮ ＩＤの値”ＹＹ”、暗号データの値”６０８・・・”を有する。暗号信号ＴＳ１０が作成されると、第１のＥＣＵ２０は、作成された暗号信号ＴＳ１０を送信する（図１０のステップＳ４２）とともに、当該暗号信号ＴＳ１０に対応する通常の信号である送信信号ＴＤ１０を送信する（図１０のステップＳ４３）。これにより、第１のＥＣＵ２０による、送信信号ＴＤ１０の送信と、この送信信号の信頼性を評価するための暗号信号ＴＳ１０の送信とが終了する。
一方、第２のＥＣＵ２１は、送信信号ＴＤ１０と暗号信号ＴＳ１０をそれぞれ受信するとともに、受信した送信信号ＴＤ１０と暗号信号ＴＳ１０とに基づいて送信信号ＴＤ１０の信頼性を評価する。すなわち、図１１に示すように、第２のＥＣＵ２１は、暗号信号ＴＳ１０を受信する（図１１のステップＳ５０）。なお、第２のＥＣＵ２１は、暗号信号ＴＳ１０を受信することにより、この暗号信号ＴＳ１０のＣＡＮ ＩＤの値”ＹＹ”に対応するＣＡＮ ＩＤの値”ＸＸ”を有する送信信号ＴＤ１０が送信されることを予測することができる。暗号信号ＴＳ１０を受信すると、第２のＥＣＵ２１は、暗号信号ＴＳ１０から復号認証データを得る（図１１のステップＳ５１）。また、第２のＥＣＵ２１は、暗号信号ＴＳ１０に対応する送信信号ＴＤ１０から平文データ（車両情報データ３５）を得る（図１１のステップＳ５２）とともに、再生認証データとして平文データ（車両情報データ３５）のハッシュ値（メッセージダイジェスト）を生成する（図１１のステップＳ５３）。復号認証データ（メッセージダイジェスト）と再生認証データと（メッセージダイジ
ェスト）が得られると、第２のＥＣＵ２１は、それら復号認証データと再生認証データとを照合する（図１１のステップＳ５４）。照合の結果、復号認証データと再生認証データとが一致すると判断した場合（図１１のステップＳ５５でＹＥＳ）、送信信号ＴＤ１０は適正であると判定する（図１１のステップＳ５６）。一方、照合の結果、復号認証データと再生認証データとが一致しないと判断した場合（図１１のステップＳ５５でＮＯ）、送信信号ＴＤ１０は不正であると判定する（図１１のステップＳ５７）。これにより、送信信号ＴＤ１０の信頼性が評価されるようになる。そして、第１のＥＣＵ２０により送信された送信信号ＴＤ１０の信頼性評価が終了される。
以上説明したように、本実施形態の車両ネットワークシステムによれば、以下に列記するような効果が得られるようになる。
（１０）初期化処理の実行にて公開鍵Ｋ２が設定されるので、公開鍵Ｋ２を送信する第１の制御装置は初期化処理の実行の際に車両ネットワークシステムに含まれていた装置であることが特定される。また、第２のＥＣＵ２１は、送信信号ＴＤ１０から生成された再生認証データと、第１のＥＣＵ２０の暗号データを復号して得られた復号認証データとを比較することにより、送信信号ＴＤ１０の送信元が第１のＥＣＵ２０であること及び送信信号ＴＤ１０に改ざんが加えられていないことを判定することができる。例えばネットワーク２９を流れる送信信号ＴＤ１０が改ざんされたとしても、これに対応する暗号信号ＴＳ１０の認証データ（暗号データ）を改ざんすることができないため、送信信号ＴＤ１０の改ざんを検出することができる。これにより、第１のＥＣＵ２０になりすました装置からの偽装された信号などが検出可能となり、通信信号の信頼性を向上させることができるようになる。
（１１）またネットワークには、第１のＥＣＵ２０から送信信号ＴＤ１０そのものも送信されるため、送信信号ＴＤ１０の信頼性を評価しない第３及び第４のＥＣＵ２２，２３は、従来通り、第１のＥＣＵ２０から送信信号ＴＤ１０を受信して利用することができる。このため、この送信信号ＴＤ１０の信頼性を評価するシステムを既存の車両ネットワークシステムに適用することも容易である。
（１２）ハッシュ関数により送信信号ＴＤ１０、特に車両情報データ３５から適切な大きさ（強度）の認証データを算出することができるようになる。これにより車両ネットワークシステムの設計自由度が高められる。
（１３）第１のＥＣＵ２０が初期化処理の実行時に秘密鍵Ｋ１と公開鍵Ｋ２とを生成することから、秘密鍵Ｋ１及び公開鍵Ｋ２が事前に漏洩するようなおそれがない。
（１４）初期化処理時に公開鍵Ｋ２を配布するため、車両ネットワークシステムを構成している適正な第２のＥＣＵ２１に正確かつ効率よく公開鍵Ｋ２を配布することができる。
（その他の実施形態）
なお上記各実施形態は、以下の態様で実施することもできる。
・上記各実施形態では、ネットワーク２９は、ＣＡＮである場合について例示した。しかしこれに限らず、ネットワークは、イーサーネット（登録商標）や、フレックスレイ（登録商標）など車両のネットワークとして利用可能な、公知のネットワークを利用することができる。またネットワークは、無線接続でも有線接続でもよい、これらの接続が混合されていてもよい。これにより、車両ネットワークシステムの適用範囲が拡大されるとともに、同システムの設計の自由度も高められる。
・上記第１の実施形態では、公開鍵Ｋ２が設定されたタイミングで認証キーワード４３を生成する場合について例示したが、これに限らず、ＥＣＵの処理能力に余裕があり、公
開鍵を保持しており、かつ送信信号に付加するよりも前であれば、どのタイミングで認証キーワードを生成してもよい。
・上記各実施形態では、公開鍵Ｋ２が一度だけ公開される場合について例示したが、これに限らず、不正に追加された装置が取得されないようにできるのであれば、公開鍵を複数回公開するようにしてもよい。
・上記第１の実施形態では、公開鍵保存部４１に公開鍵Ｋ２が保持されている場合について例示したが、しかしこれに限らず、認証キーワードを生成した後は公開鍵を使用しないため、認証キーワードを生成後に公開鍵を消去するようにしてもよい。これにより、第２のＥＣＵなどから公開鍵が消去されるため、公開鍵配布後に公開鍵が漏洩するおそれなどが防止され、通信信号の信頼性がさらに向上するようになる。
・上記第１の実施形態では、送信信号において車両情報データ４４の後に抽出キーワード４３１（〜４３ｎ）を付加する場合について例示したが、これに限らず、ネットワークにおいて通信できるフォーマット形式を維持できるのであれば、抽出キーワードはデータの前など、その他の場所に付加されてもよい。これにより、送信信号に対する抽出キーワードの付加の自由度が高められ、このような送信信号の信頼性を評価の適用範囲が広げられるようになる。
・上記第１の実施形態では、第１のＥＣＵ２０は、ネットワーク２９に接続されている他の全てのＥＣＵ（第２〜第４のＥＣＵ２１〜２３）の送信信号の信頼性を評価する場合について例示した。しかしこれに限らず、第１のＥＣＵは、ネットワークに接続されている他の一部の（１又は複数の）ＥＣＵの送信信号の信頼性を評価するようにしてもよい。この場合、信頼性評価の対象外の送信信号に抽出キーワードを付加する必要がなくなるなど、車両ネットワークシステムとしての設計自由度が高められる。
・上記第２の実施形態では、第１のＥＣＵ２０より送信される送信信号の信頼性の評価を一つのＥＣＵ（第２のＥＣＵ２１）のみが行う場合について例示した。しかしこれに限らず、第１のＥＣＵより送信される送信信号の信頼性の評価を複数のＥＣＵ（第２〜第４のＥＣＵなど）が評価するようにしてもよい。これにより、車両ネットワークシステムとしての設計自由度が高められる。
・上記第２の実施形態では、送信側のＥＣＵである第１のＥＣＵ２０が送信信号ＴＤ１０の送信に先立ち暗号信号ＴＳ１０を送信し、受信側のＥＣＵである第２のＥＣＵ２１が送信信号ＴＤ１０より先に暗号信号ＴＳ１０を受信する場合について例示した。しかしこれに限らず、送信側のＥＣＵは送信信号の送信の後に暗号信号を送信するようにし、受信側のＥＣＵが送信信号の後に暗号信号を受信するようにしてもよい。これにより、車両ネットワークシステムとしての設計自由度が高められる。
・上記第１の実施形態では、公開鍵暗号方式としてＲＳＡ暗号を用いる場合について例示したが、これに限らず、公開鍵暗号方式としては、公開鍵により暗号化された平文を秘密鍵により復号することのできる関係が成り立つ方式であれば、その他の公知の公開鍵暗号方式を利用することができる。これにより、車両ネットワークシステムの設計の自由度や適用可能性などが拡張されるようになる。
・上記第２の実施形態では、公開鍵暗号方式としてＲＳＡ暗号を用いる場合について例示したが、これに限らず、公開鍵暗号方式としては、秘密鍵により暗号化された平文を公開鍵により復号することのできる関係が成り立つ方式、すなわちデジタル署名に用いることができる方式であれば、その他の公知の公開鍵暗号方式を利用することができる。これ
により、車両ネットワークシステムの設計の自由度や適用可能性などが拡張されるようになる。
・上記第１の実施形態では、認証マスターが第１のＥＣＵ２０だけである場合について例示したが、これに限らず、認証マスターを複数設けてもよい。これにより、車両ネットワークシステムのセキュリティーをより高く維持することができるようになる。
・上記第１の実施形態では、第１のＥＣＵ２０による送信信号の信頼性の評価が継続的に行われる場合について例示したが、これに限らず、送信信号の信頼性の評価を、適宜行うようにしてもよい。例えば、ネットワークに流される送信信号の頻度に異変がある場合に送信信号の信頼性を評価するようにしてもよい。これにより、送信信号の評価を適切に行うことができるようにもなる。
・上記第２の実施形態では、送信信号ＴＤ１０に対応する暗号信号ＴＳ１０には「ＣＡＮ ＩＤ」の値“ＹＹ”が対応付けられている場合について例示したが、これに限らず、送信信号に対応する暗号信号に用いられる「ＣＡＮ ＩＤ」の値を事前に定めたルールに従って変更するようにしてもよい。これにより、「ＣＡＮ ＩＤ」の盗用や、「ＣＡＮ ＩＤ」を用いた偽装をより難しくすることができる。
・上記第２の実施形態では、ハッシュ関数を利用して認証データを生成する場合について例示したが、これに限らず、予め定めた計算ルールに従って認証データを生成するようにしてもよい。これにより、車両ネットワークシステムの設計自由度が向上するようになる。
・上記各実施形態では、第１のＥＣＵ２０により鍵ペアが生成される場合について例示したが、これに限らず、予め生成された鍵ペアを用いるようにしてもよい。また、予め生成された鍵ペアであれば、予め各ＥＣＵに配布しておくようにしてもよい。これにより、車両ネットワークシステムの設計自由度が向上するようになる。
１０…車両、２０…第１のＥＣＵ、２１…第２のＥＣＵ、２２…第３のＥＣＵ、２３…第４のＥＣＵ、２９…ネットワーク、３０…通信部、３１…鍵生成部、３２…秘密鍵保存部、３３…接続ＥＣＵ管理部、３４…キーワード認証部、３５…車両情報データ、３６…認証データ作成部、３７…暗号データ作成部、４１…公開鍵保存部、４２…認証キーワード生成保存部、４３…認証キーワード、４４…車両情報データ、４５…認証キーワード付加部、５０…受信データ保存部、５１…認証データ再生部、５２…暗号データ保存部、５３…信頼性評価部、１００…ネットワークシステム、１２０…ネットワーク、Ｋ１…秘密鍵、Ｋ２…公開鍵。

Claims (12)

  1. 車両に設けられる複数の制御装置が通信可能にネットワーク接続された車両ネットワークシステムにおいて、
    前記複数の制御装置には、前記車両ネットワークシステムが構築されたときのシステムを有効化する初期化処理が実行されることに基づいて、対となる秘密鍵と公開鍵とのうち、秘密鍵が設定された第１の制御装置と、公開鍵が設定された第２の制御装置とが含まれており、
    前記第２の制御装置は、前記設定された公開鍵と該第２の制御装置を特定可能な情報とから認証情報を作成するとともに、該作成した認証情報を他の制御装置に送信する通信信号に付加して前記ネットワークに送信し、
    前記第１の制御装置は、前記第２の制御装置から送信された通信信号に付加されている認証情報を取得するとともに、該取得した認証情報と前記設定された秘密鍵とに基づいて前記通信信号の信頼性を評価する
    ことを特徴とする車両ネットワークシステム。
  2. 前記第２の制御装置は、前記作成した認証情報を複数に分割するとともに、それら分割した認証情報を通信信号に順次付加して送信し、
    前記第１の制御装置は、前記通信信号を順次受信して得られる前記分割された認証情報から分割前の認証情報を再構成し、この再構成した認証情報に基づいて前記通信信号の信頼性を評価する
    請求項１に記載の車両ネットワークシステム。
  3. 前記第１の制御装置は、前記初期化処理が実行されることに基づいて前記対となる秘密鍵と公開鍵とを生成するものであり、該生成した鍵のうち、秘密鍵を第１の制御装置自身に設定し、公開鍵を前記第２の制御装置に設定する
    請求項１又は２に記載の車両ネットワークシステム。
  4. 前記第１の制御装置は、前記生成した公開鍵の前記第２の制御装置への設定を前記ネットワークを介して行う
    請求項３に記載の車両ネットワークシステム。
  5. 前記第２の制御装置は、前記公開鍵が設定されたタイミングで前記認証情報を作成する
    請求項１〜４のいずれか一項に記載の車両ネットワークシステム。
  6. 前記第２の制御装置は、前記認証情報を作成した後、前記設定された公開鍵を消去する
    請求項１〜５のいずれか一項に記載の車両ネットワークシステム。
  7. 前記第２の制御装置は、前記車両ネットワークシステムが起動される都度、前記通信信号の送信に先立ち、前記認証情報を前記ネットワークに送信し、
    前記第１の制御装置は、前記第２の制御装置からの通信信号の受信に先立って受信された認証情報を取得して記憶し、該記憶した認証情報を前記通信信号に付加されている認証情報と比較することで前記通信信号の信頼性を評価する
    請求項１〜６のいずれか一項に記載の車両ネットワークシステム。
  8. 前記第１の制御装置は、前記通信信号に信頼性がないと判断したとき、前記第２の制御装置の送信する通信信号の当該車両ネットワークシステムでの利用を禁止する
    請求項１〜７のいずれか一項に記載の車両ネットワークシステム。
  9. 車両に設けられる複数の制御装置がＣＡＮプロトコルのフォーマットからなる信号を介して通信可能にネットワーク接続された車両ネットワークシステムにおいて、
    前記複数の制御装置には、前記車両ネットワークシステムが構築されたときのシステムを有効化する初期化処理が実行されることに基づいて、対となる秘密鍵と公開鍵とのうち、秘密鍵が設定された第１の制御装置と、公開鍵が設定された第２の制御装置とが含まれており、
    前記第１の制御装置と前記第２の制御装置とには、ＣＡＮプロトコルのフォーマットからなる信号に付与される識別子のうち異なる第１の識別子と第２の識別子とが対応する識別子である旨がそれぞれ設定されており、
    前記第１の制御装置は、前記ネットワークを介して他の制御装置に通信信号を送信する際、該通信信号に前記第１の識別子を付与して送信するとともに、前記設定された秘密鍵と、前記通信信号に基づいて生成された認証データとに基づいて作成した認証信号を送信する際、該認証信号に前記第２の識別子を付与して送信し、
    前記第２の制御装置は、前記第１の制御装置から送信された前記通信信号と前記認証信号とをそれぞれ受信して、前記通信信号に付与された第１の識別子と前記認証信号に付与された第２の識別子とが対応する識別子であることをもとに、該受信した通信信号に基づいて生成した認証データと、前記認証信号と前記設定された公開鍵とに基づいて復号された認証データとの比較に基づいて前記通信信号の信頼性を評価する
    ことを特徴とする車両ネットワークシステム。
  10. 前記第１の制御装置は、前記通信信号にハッシュ関数を適用して算出した認証データを前記秘密鍵に基づいて暗号化することにより前記認証信号を生成するものであり、
    前記第２の制御装置は、前記受信した通信信号に前記ハッシュ関数を適用して算出した認証データと、前記認証信号を復号して得られた認証データとの比較に基づいて前記通信信号の信頼性を評価する
    請求項９に記載の車両ネットワークシステム。
  11. 前記第１の制御装置は、前記初期化処理が実行されることに基づいて前記対となる秘密鍵と公開鍵とを生成するものであり、該生成した鍵のうち、秘密鍵を第１の制御装置自身に設定し、公開鍵を前記第２の制御装置に設定する
    請求項９又は１０に記載の車両ネットワークシステム。
  12. 前記第１の制御装置は、前記生成した公開鍵の前記第２の制御装置への設定を前記ネットワークを介して行う
    請求項１１に記載の車両ネットワークシステム。
JP2011048020A 2011-03-04 2011-03-04 車両ネットワークシステム Expired - Fee Related JP5310761B2 (ja)

Priority Applications (6)

Application Number Priority Date Filing Date Title
JP2011048020A JP5310761B2 (ja) 2011-03-04 2011-03-04 車両ネットワークシステム
BR112013022417-7A BR112013022417B1 (pt) 2011-03-04 2012-03-02 Sistema de rede de veículo
EP12719045.2A EP2681901B1 (en) 2011-03-04 2012-03-02 Vehicle network system
US14/002,542 US9413732B2 (en) 2011-03-04 2012-03-02 Vehicle network system
CN201280011347.5A CN103404112B (zh) 2011-03-04 2012-03-02 车辆网络系统
PCT/IB2012/000389 WO2012120350A2 (en) 2011-03-04 2012-03-02 Vehicle network system

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2011048020A JP5310761B2 (ja) 2011-03-04 2011-03-04 車両ネットワークシステム

Publications (2)

Publication Number Publication Date
JP2012186635A JP2012186635A (ja) 2012-09-27
JP5310761B2 true JP5310761B2 (ja) 2013-10-09

Family

ID=46028000

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2011048020A Expired - Fee Related JP5310761B2 (ja) 2011-03-04 2011-03-04 車両ネットワークシステム

Country Status (5)

Country Link
US (1) US9413732B2 (ja)
EP (1) EP2681901B1 (ja)
JP (1) JP5310761B2 (ja)
BR (1) BR112013022417B1 (ja)
WO (1) WO2012120350A2 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11036846B2 (en) 2017-03-16 2021-06-15 Denso Corporation Control device

Families Citing this family (30)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3825886B1 (en) 2012-03-29 2024-10-02 Arilou Information Security Technologies Ltd. Protecting a vehicle electronic system
WO2013147858A1 (en) * 2012-03-30 2013-10-03 Intel Corporation Collecting data from processor-based devices
US20150244520A1 (en) * 2014-02-21 2015-08-27 Safe Frontier Llc One-time-pad data encryption with media server
KR102236282B1 (ko) * 2014-03-19 2021-04-05 콘티넨탈 오토모티브 코리아(주) 차량용 통신 데이터 인증 방법 및 시스템
US9705678B1 (en) * 2014-04-17 2017-07-11 Symantec Corporation Fast CAN message authentication for vehicular systems
CN105594155B (zh) * 2014-05-08 2019-08-02 松下电器（美国）知识产权公司 车载网络系统、电子控制单元以及更新处理方法
US9215228B1 (en) * 2014-06-17 2015-12-15 Cisco Technology, Inc. Authentication of devices having unequal capabilities
KR101572935B1 (ko) 2014-10-02 2015-12-11 현대자동차주식회사 메시지 인증 코드 혼합을 통한 can 패킷 인증 방법 및 그 장치
JP6595885B2 (ja) * 2015-01-20 2019-10-23 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 不正対処方法及び電子制御ユニット
CN111885078B (zh) * 2015-01-20 2022-03-08 松下电器（美国）知识产权公司 不正常应对方法以及电子控制单元
JP6188744B2 (ja) * 2015-06-22 2017-08-30 Kddi株式会社 管理システム、車両及び管理方法
DE102015220226A1 (de) * 2015-10-16 2017-04-20 Volkswagen Aktiengesellschaft Verfahren zur Zertifizierung durch ein Steuergerät eines Fahrzeugs
US10200371B2 (en) 2015-11-09 2019-02-05 Silvercar, Inc. Vehicle access systems and methods
US10050983B2 (en) 2015-11-13 2018-08-14 Kabushiki Kaisha Toshiba Communication system, receiving apparatus, receiving method, and computer program product
JP6561811B2 (ja) * 2015-12-09 2019-08-21 株式会社オートネットワーク技術研究所 車載通信装置、車載通信システム及び車両特定処理禁止方法
JP6260066B2 (ja) * 2016-01-18 2018-01-17 Kddi株式会社 車載コンピュータシステム及び車両
US10181228B2 (en) 2016-02-08 2019-01-15 Allstate Insurance Company Telematics authentication
WO2018026030A1 (ko) * 2016-08-03 2018-02-08 엘지전자 주식회사 차량 및 그 제어방법
JP6956624B2 (ja) * 2017-03-13 2021-11-02 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 情報処理方法、情報処理システム、及びプログラム
JP7094670B2 (ja) * 2017-07-03 2022-07-04 矢崎総業株式会社 設定装置及びコンピュータ
US10218499B1 (en) * 2017-10-03 2019-02-26 Lear Corporation System and method for secure communications between controllers in a vehicle network
US11178158B2 (en) * 2018-01-29 2021-11-16 Nagravision S.A. Secure communication between in-vehicle electronic control units
US11269807B2 (en) * 2018-02-22 2022-03-08 Ford Motor Company Method and system for deconstructing and searching binary based vehicular data
US12088728B2 (en) * 2018-10-03 2024-09-10 Panasonic Automotive Systems Company Of America, Division Of Panasonic Corporation Of North America Secure controller area network in vehicles
US11290437B2 (en) * 2018-12-27 2022-03-29 Beijing Voyager Technology Co., Ltd. Trusted platform protection in an autonomous vehicle
US11381585B2 (en) 2019-02-21 2022-07-05 Hyundai Motor Company Method and system for providing security on in-vehicle network
RU2716871C1 (ru) * 2019-03-19 2020-03-17 Дмитрий Михайлович Михайлов Система и способ защиты электронных систем управления транспортных средств от несанкционированного вторжения
US11618395B2 (en) * 2019-09-17 2023-04-04 Ford Global Technologies, Llc Vehicle data verification
DE102019218045A1 (de) * 2019-11-22 2021-05-27 Volkswagen Aktiengesellschaft Verfahren zur Überwachung der Kommunikation auf einem Kommunikationsbus, elektronische Vorrichtung zum Anschluss an einen Kommunikationsbus, sowie zentrale Überwachungsvorrichtung zum Anschluss an einen Kommunikationsbus
CN116528235B (zh) * 2023-06-30 2023-10-20 华侨大学 基于扩展切比雪夫多项式的车地无线通信认证方法及系统

Family Cites Families (46)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6467039B1 (en) * 1996-02-22 2002-10-15 Kvaser Consultant Ab Device in a system operating with can-protocol and in a control and/or supervision system
US6122277A (en) * 1997-08-19 2000-09-19 International Business Machines Corporation Parallel computer network broadcasting and acknowledgement
US6044468A (en) * 1997-08-25 2000-03-28 Emc Corporation Secure transmission using an ordinarily insecure network communication protocol such as SNMP
JP2001069151A (ja) * 1999-08-26 2001-03-16 Matsushita Electric Ind Co Ltd 基地局装置、識別子管理装置及び識別子割当て方法
US6754811B1 (en) * 2000-06-16 2004-06-22 International Business Machines Corporation Operating system device centric agent
US6928336B2 (en) * 2001-02-12 2005-08-09 The Stanley Works System and architecture for providing a modular intelligent assist system
US20040249985A1 (en) * 2001-10-18 2004-12-09 Toshiaki Mori Host network interface device and drive network interface device
US20030163692A1 (en) * 2002-01-31 2003-08-28 Brocade Communications Systems, Inc. Network security and applications to the fabric
US8035508B2 (en) * 2002-06-11 2011-10-11 Intelligent Technologies International, Inc. Monitoring using cellular phones
US7404078B2 (en) * 2002-06-26 2008-07-22 Lucent Technologies Methods and apparatus for private certificates in public key cryptography
US7137142B2 (en) * 2002-06-28 2006-11-14 Motorola, Inc. Method and system for vehicle authentication of a component using key separation
JP3991927B2 (ja) 2003-06-12 2007-10-17 株式会社デンソー 盗難防止システム
JP2005012466A (ja) * 2003-06-18 2005-01-13 Denso Corp メッセージ認証方法及びメッセージ認証システム
JP3912788B2 (ja) * 2003-09-19 2007-05-09 京セラコミュニケーションシステム株式会社 端末装置、端末装置を目的装置に接続させるためのプログラム及び同プログラムを記録する記録媒体、端末接続方法
JP4774492B2 (ja) 2003-10-28 2011-09-14 財団法人生産技術研究奨励会 認証システム及び遠隔分散保存システム
US7034654B2 (en) * 2004-01-13 2006-04-25 General Motors Corporation Motor vehicle engine immobilizer security system and method
JP4423549B2 (ja) * 2004-04-28 2010-03-03 東洋紡績株式会社 銅張り積層フィルム及びその製造方法
WO2005116834A1 (de) 2004-04-29 2005-12-08 Bayerische Motoren Werke Aktiengesellschaft Authentisierung von steuerge­räten in einem fahrzeug
JP4774684B2 (ja) * 2004-06-02 2011-09-14 株式会社デンソー 通信システム、暗号化／復号中継装置、及び通信制御装置
JP4601470B2 (ja) 2005-03-18 2010-12-22 富士通株式会社 電子メール転送方法及び装置
JP4742682B2 (ja) * 2005-06-01 2011-08-10 富士ゼロックス株式会社 コンテンツ保護装置及びコンテンツ保護解除装置
JP4983017B2 (ja) * 2005-12-21 2012-07-25 富士通株式会社 情報アクセス・システム、および非接触情報記憶装置内の情報にアクセスする方法
KR101101812B1 (ko) * 2006-01-09 2012-01-05 삼성전자주식회사 디스플레이장치 및 그 제어방법
JP4914075B2 (ja) * 2006-01-31 2012-04-11 株式会社アイ・オー・データ機器 暗号鍵設定方法、ネットワークシステム、無線ｌａｎ用中継器、無線ｌａｎアダプタ、および暗号鍵設定プログラム
JP4597060B2 (ja) * 2006-02-07 2010-12-15 日立オートモティブシステムズ株式会社 車両制御装置間ネットワーク
JP4366382B2 (ja) * 2006-08-02 2009-11-18 株式会社東海理化電機製作所 充電システム
JP2008189209A (ja) 2007-02-07 2008-08-21 Hitachi Ltd 車両制御装置間ネットワークおよび制御装置
US7921316B2 (en) * 2007-09-11 2011-04-05 International Business Machines Corporation Cluster-wide system clock in a multi-tiered full-graph interconnect architecture
US8327130B2 (en) * 2007-09-25 2012-12-04 Rockwell Automation Technologies, Inc. Unique identification of entities of an industrial control system
US20090119657A1 (en) * 2007-10-24 2009-05-07 Link Ii Charles M Methods and systems for software upgrades
JP4760839B2 (ja) * 2008-02-27 2011-08-31 村田機械株式会社 電子メール中継装置及び電子メール中継方法
JPWO2009147734A1 (ja) * 2008-06-04 2011-10-20 ルネサスエレクトロニクス株式会社 車両、メンテナンス装置、メンテナンスサービスシステム及びメンテナンスサービス方法
DE602008004896D1 (de) * 2008-06-19 2011-03-24 Bosch Gmbh Robert Sensoreinheit zum Senden von Daten und Signatur für die Daten in einer Echtzeitumgebung
DE102009033215A1 (de) * 2008-07-15 2010-01-21 Airbus Operations Gmbh Netzwerkverwaltungs-System für ein Flugzeug
US8489796B2 (en) * 2008-07-18 2013-07-16 Dearborn Group, Inc. Wireless protocol adapter assembly with interchangeable connectors
JP5463738B2 (ja) * 2008-09-22 2014-04-09 沖電気工業株式会社 無線通信システム、アクセスポイント、コントローラ、ネットワーク管理装置及びアクセスポイントのネットワーク識別子設定方法
TWI501608B (zh) * 2009-01-23 2015-09-21 Ind Tech Res Inst 資料收集之方法及其主動裝置與從動裝置
TW201111194A (en) * 2009-09-18 2011-04-01 Liu I Sheng Auto-meter system with controller area network bus
CN102598594A (zh) * 2009-11-04 2012-07-18 丰田自动车株式会社 车辆用网关装置
JP2011128793A (ja) * 2009-12-16 2011-06-30 Sony Corp 電動移動体、課税サーバ、充電装置、駆動管理方法、及びプログラム
US20120124179A1 (en) * 2010-11-12 2012-05-17 Realnetworks, Inc. Traffic management in adaptive streaming protocols
US8594003B2 (en) * 2011-01-05 2013-11-26 Visoft Ltd. Method of estimating location of mobile device in transportation using WiFi
WO2013003535A1 (en) * 2011-06-28 2013-01-03 Interdigital Patent Holdings, Inc. Automated negotiation and selection of authentication protocols
US9852386B2 (en) * 2012-05-18 2017-12-26 Charepoint, Inc. Flexible administrative model in an electric vehicle charging service network
US8964906B1 (en) * 2012-10-05 2015-02-24 L-3 Communications Corp. Digital signal processing apparatus having parameter memory device and process of using such
KR101519793B1 (ko) * 2014-06-24 2015-05-12 현대자동차주식회사 차량용 네트워크 시스템 및 이 시스템 내 이종 통신 제어기의 데이터 전송 방법

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11036846B2 (en) 2017-03-16 2021-06-15 Denso Corporation Control device

Also Published As

Publication number Publication date
BR112013022417A2 (pt) 2016-12-13
BR112013022417B1 (pt) 2022-07-26
CN103404112A (zh) 2013-11-20
EP2681901A2 (en) 2014-01-08
JP2012186635A (ja) 2012-09-27
US9413732B2 (en) 2016-08-09
WO2012120350A2 (en) 2012-09-13
EP2681901B1 (en) 2017-07-26
US20140040992A1 (en) 2014-02-06
WO2012120350A3 (en) 2012-11-08

Similar Documents

Publication Publication Date Title
JP5310761B2 (ja) 車両ネットワークシステム
US9132790B2 (en) In-vehicle network system
CN109314639B (zh) 管理系统、密钥生成装置、车载计算机、管理方法以及记录介质
CN109257374B (zh) 安全控制方法、装置和计算机设备
CN109314640B (zh) 车辆信息收集系统、车载计算机、车辆信息收集装置、车辆信息收集方法以及记录介质
EP2461564A1 (en) Key transport protocol
JP2010011400A (ja) 共通鍵方式の暗号通信システム
CN104836784B (zh) 一种信息处理方法、客户端和服务器
JP2014204444A (ja) センサへの操作及び／又はセンサのセンサデータへの操作を検出するための方法及び装置
WO2017115751A1 (ja) 車載コンピュータシステム、車両、管理方法、及びコンピュータプログラム
JP2018078484A (ja) 再利用システム、鍵生成装置、データ保安装置、車載コンピュータ、再利用方法、及びコンピュータプログラム
KR102450811B1 (ko) 차량 내부 네트워크의 키 관리 시스템
CN110446075A (zh) 加密方法及装置、解密方法及装置、电子设备
CN113138775B (zh) 车载诊断系统固件保护方法及系统
CN114793184B (zh) 一种基于第三方密钥管理节点的安全芯片通信方法及装置
JP6547180B2 (ja) 通信システム
KR102236282B1 (ko) 차량용 통신 데이터 인증 방법 및 시스템
JP6203798B2 (ja) 車載制御システム、車両、管理装置、車載コンピュータ、データ共有方法、及びコンピュータプログラム
CN116419217B (zh) Ota数据升级方法、系统、设备及存储介质
Spaan et al. Secure updates in automotive systems
CN115276972A (zh) 数据传输方法、存储介质及车辆
WO2017126322A1 (ja) 車載コンピュータシステム、車両、鍵生成装置、管理方法、鍵生成方法、及びコンピュータプログラム
JP6454919B2 (ja) 管理システム、データ提供装置、車載コンピュータ、管理方法、及びコンピュータプログラム
CN103404112B (zh) 车辆网络系统
CN118590879B (zh) 基于kdc的密钥分发管理及安全通信方法

Legal Events

Date Code Title Description
A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20121221

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20130212

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20130408

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20130604

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20130617

R151 Written notification of patent or utility model registration

Ref document number: 5310761

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R151

LAPS Cancellation because of no payment of annual fees