JP6860464B2 - システム及び管理方法 - Google Patents

Description

本発明は、システム及び管理方法に関する。

近年、自動車は、ＥＣＵ（Electronic Control Unit）を有し、ＥＣＵによってエンジン制御等の機能を実現する。ＥＣＵは、コンピュータの一種であり、コンピュータプログラムによって所望の機能を実現する。既に使用されている自動車について、ＥＣＵのコンピュータプログラムの更新は、通常、自動車の検査時や定期点検時などに、一般の自動車整備工場で行われる。

従来、ＥＣＵのコンピュータプログラムの更新では、作業者が、自動車のＯＢＤ（On-board Diagnostics）ポートと呼ばれる診断ポートにメンテナンス専用の診断端末を接続し、該診断端末から更新プログラムのインストール及びデータの設定変更などを行う。これに関し例えば非特許文献１，２にはセキュリティについて記載されている。

C. Miller、C. Valasek、"Adventures in Automotive Networks and Control Units"、DEF CON 21、2013年8月 高田広章、松本勉、"車載組込みシステムの情報セキュリティ強化に関する提言"、2013年9月、インターネット＜ＵＲＬ：https://www.ipa.go.jp/files/000034668.pdf＞ Trusted Computing Group, インターネット＜ＵＲＬ：http://www.trustedcomputinggroup.org/＞ 竹森敬祐、"Android＋TPMによるセキュアブート"、日経エレクトロニクス、2012年8月6日号． 竹森敬祐、川端秀明、磯原隆将、窪田歩、"Android(ARM)＋TPMによるセキュアブート"、電子情報通信学会、SCIS2013シンポジウム、2013年1月． 竹森敬祐、川端秀明、窪田歩、"ARM＋SIM/UIMによるセキュアブート"、電子情報通信学会、SCIS2014シンポジウム、2014年1月．

上述した非特許文献１，２では、セキュリティの向上を実現する手段については記載されない。このため、自動車等の車両に備わるＥＣＵ等の車載コンピュータに使用されるコンピュータプログラム等のデータの適用についての信頼性を向上させることが課題である。

本発明は、このような事情を考慮してなされたものであり、車載コンピュータに使用されるデータの適用についての信頼性を向上させることができるシステム及び管理方法を提供することを課題とする。

（１）本発明の一態様は、車両に搭載された管理装置と、前記管理装置との間で通信によりデータを交換する端末と、を備え、前記管理装置は、前記端末とデータを交換する入出力インタフェースと、認証検証鍵を保持する鍵保持部と、前記認証検証鍵を使用して前記端末の認証を行う端末認証部と、実行部と、前記車両の内部の通信ネットワークを介して、前記車両に搭載された車載コンピュータとの間でデータを交換する車載ネットワークインタフェースと、を備え、前記端末は、前記認証検証鍵に対応する認証鍵を保持し、前記端末認証部からの認証要求に対して前記認証鍵を使用して応答する情報処理部を備え、前記車載コンピュータに使用されるデータを前記管理装置に送信し、前記実行部は、前記端末の認証が成功である場合に前記端末から受信したデータを前記車載コンピュータに使用し、前記端末の認証が失敗である場合には前記端末から受信したデータを使用しない、システムであって、前記車載コンピュータに使用されるデータは、処理の実行先の車載コンピュータを特定する車載コンピュータ識別子と、車載コンピュータに対する処理内容を特定する権限情報とを含み、前記実行部は、前記車載コンピュータ識別子で特定される車載コンピュータのみに対して前記権限情報で特定される前記処理内容を実行する、システムであり、前記車載コンピュータに使用されるデータは、車載コンピュータに対する処理の実行の対象のデータである処理実行対象データであって当該処理実行対象データの種別を含む処理実行対象データと、当該種別とは独立に設けられた、車載コンピュータに対する処理の実行の権限を示す権限証明書であって処理の実行先の車載コンピュータを特定する車載コンピュータ識別子と車載コンピュータに対する処理内容を特定する権限情報とから構成される権限証明書と、であり、前記実行部は、権限証明書に示される権限の範囲内で、処理実行対象データの種別に応じた処理を実行する、システムである。
（２）本発明の一態様は、上記（１）のシステムにおいて、前記処理実行対象データは、車載コンピュータの更新プログラム又は設定変更データであり、前記権限情報が特定する処理内容は、車載コンピュータへのデータの書き込みと車載コンピュータからのデータの読み出しとのうち少なくとも一方であり、前記実行部は、前記権限情報で特定される前記処理内容が車載コンピュータへのデータの書き込みである場合において処理実行対象データの種別が更新プログラムであるときには前記車載コンピュータ識別子で特定される車載コンピュータのみに対して処理実行対象データの更新プログラムをインストールし、前記実行部は、前記権限情報で特定される前記処理内容が車載コンピュータへのデータの書き込みである場合において処理実行対象データの種別が設定変更データであるときには前記車載コンピュータ識別子で特定される車載コンピュータのみに対して処理実行対象データの設定変更データで該当データを書き換える、システムである。
（３）本発明の一態様は、上記（１）又は（２）のいずれかのシステムにおいて、前記実行部は、前記権限情報で特定される前記処理内容が車載コンピュータからのデータの読み出しである場合に、前記車載コンピュータ識別子で特定される車載コンピュータのみに対してデータの読み出しを実行する、システムである。

（４）本発明の一態様は、車両に搭載された管理装置が、前記車両の内部の通信ネットワークを介して、前記車両に搭載された車載コンピュータとの間でデータを交換する車載ネットワークインタフェースを備え、前記管理装置が、前記管理装置との間で通信によりデータを交換する端末に対して、認証検証鍵を使用して端末の認証を行う端末認証ステップと、前記端末が、前記認証検証鍵に対応する認証鍵を保持し、前記管理装置からの認証要求に対して前記認証鍵を使用して応答するステップと、前記端末が、前記車載コンピュータに使用されるデータを前記管理装置に送信するステップと、前記管理装置が、前記端末の認証が成功である場合に前記端末から受信したデータを前記車載コンピュータに使用し、前記端末の認証が失敗である場合には前記端末から受信したデータを使用しない実行ステップと、を含む管理方法であって、前記車載コンピュータに使用されるデータは、処理の実行先の車載コンピュータを特定する車載コンピュータ識別子と、車載コンピュータに対する処理内容を特定する権限情報とを含み、前記管理装置は、前記実行ステップにおいて、前記車載コンピュータ識別子で特定される車載コンピュータのみに対して前記権限情報で特定される前記処理内容を実行する、管理方法であり、前記車載コンピュータに使用されるデータは、車載コンピュータに対する処理の実行の対象のデータである処理実行対象データであって当該処理実行対象データの種別を含む処理実行対象データと、当該種別とは独立に設けられた、車載コンピュータに対する処理の実行の権限を示す権限証明書であって処理の実行先の車載コンピュータを特定する車載コンピュータ識別子と車載コンピュータに対する処理内容を特定する権限情報とから構成される権限証明書と、であり、前記実行部は、権限証明書に示される権限の範囲内で、処理実行対象データの種別に応じた処理を実行する、管理方法である。

本発明によれば、車載コンピュータに使用されるデータの適用についての信頼性を向上させることができるという効果が得られる。

本発明の第１実施形態に係る管理ゲートウェイ１の構成を示すブロック図である。 本発明の第１実施形態に係る自動車１００の概略構成図である。 本発明の第１実施形態に係るセンタ局２００の構成を示すブロック図である。 本発明の第１実施形態に係る無線通信システムの概略構成図である。 本発明の第１実施形態に係る管理方法の手順を示すフローチャートである。 本発明の第１実施形態の変形例１に係る自動車１００の概略構成図である。 本発明の第１実施形態の変形例２に係る自動車１００の概略構成図である。 本発明の第２実施形態に係る自動車１００の概略構成図である。 本発明の第３実施形態に係る管理ゲートウェイ１の構成を示すブロック図である。 本発明の第３実施形態に係る自動車１００の概略構成図である。

以下、図面を参照し、本発明の実施形態について説明する。なお、以下に示す実施形態では、車両として自動車を例に挙げて説明する。

［第１実施形態］
図１は、本発明の第１実施形態に係る管理ゲートウェイ１の構成を示すブロック図である。管理ゲートウェイ１は管理装置である。図１において、管理ゲートウェイ１は、ｅＳＩＭ（Embedded Subscriber Identity Module）＿１０とＣＡＮ（Controller Area Network）インタフェース３１と実行部３２と無線通信部３３と入出力インタフェース３４とを備える。これら各部はデータを交換できるように構成されている。ｅＳＩＭ＿１０は、復号部１１と鍵保持部１２と署名検証部１３と端末認証部１４とを備える。

ｅＳＩＭ＿１０はセキュアエレメントである。セキュアエレメントは、当該セキュアエレメントの外部からアクセスできないセキュア領域を含む。ｅＳＩＭ＿１０において、鍵保持部１２はセキュア領域に在る。なお、セキュアエレメントとして、ｅＳＩＭ＿１０の代わりにＳＩＭ（Subscriber Identity Module）を利用してもよい。ｅＳＩＭおよびＳＩＭは、コンピュータの一種であり、コンピュータプログラムによって所望の機能を実現する。

図２は、本発明の第１実施形態に係る自動車１００の概略構成図である。図２において、自動車１００は、管理ゲートウェイ１と制御用車載ネットワーク１１０と駆動系ＥＣＵ群１２０と車体系ＥＣＵ群１２１と安全制御系ＥＣＵ群１２２と診断ポート１３０とを備える。管理ゲートウェイ１は、制御用車載ネットワーク１１０に接続される。本実施形態では、制御用車載ネットワーク１１０はＣＡＮ（Controller Area Network）である。制御用車載ネットワーク１１０には、駆動系ＥＣＵ群１２０と車体系ＥＣＵ群１２１と安全制御系ＥＣＵ群１２２とが接続される。管理ゲートウェイ１は、制御用車載ネットワーク１１０を介して、駆動系ＥＣＵ群１２０、車体系ＥＣＵ群１２１及び安全制御系ＥＣＵ群１２２との間でデータを交換する。

駆動系ＥＣＵ群１２０、車体系ＥＣＵ群１２１及び安全制御系ＥＣＵ群１２２のそれぞれは、エンジン制御等の機能を実現するＥＣＵを含む。以下、駆動系ＥＣＵ群１２０、車体系ＥＣＵ群１２１及び安全制御系ＥＣＵ群１２２に含まれる各ＥＣＵを特に区別しないときは、該各ＥＣＵのことを「車載ＥＣＵ」と称する。車載ＥＣＵは車載コンピュータである。管理ゲートウェイ１は、制御用車載ネットワーク１１０を介して、各車載ＥＣＵとの間でデータを交換する。

診断ポート１３０は従来のＯＢＤポートである。診断ポート１３０は診断端末１４０を接続する。診断ポート１３０は管理ゲートウェイ１に接続される。診断端末１４０と管理ゲートウェイ１とは、診断ポート１３０を介して、データを交換する。

管理ゲートウェイ１において、ＣＡＮインタフェース３１は、制御用車載ネットワーク１１０と接続し、制御用車載ネットワーク１１０を介して車載ＥＣＵとデータを交換する。実行部３２は、車載ＥＣＵに対する処理を実行する。無線通信部３３は無線通信によりデータを送受する。入出力インタフェース３４は、診断ポート１３０と接続し、診断ポート１３０を介して診断端末１４０とデータを交換する。

図３は、本発明の第１実施形態に係るセンタ局２００の構成を示すブロック図である。図３において、センタ局２００は、認証鍵保持部２１０と署名鍵保持部２２０とＥＣＵコード署名処理部２２２と権限証明書署名処理部２２４と無線通信部２３０とｅＳＩＭ＿２３２とを備える。認証鍵保持部２１０は、認証鍵（Ｋｓ＿１）と認証検証鍵（Ｋｐ＿１）とを保持する。本実施形態では、認証鍵（Ｋｓ＿１）は秘密鍵であり、認証検証鍵（Ｋｐ＿１）は認証鍵（Ｋｓ＿１）に対応する公開鍵である。署名鍵保持部２２０は、署名鍵（Ｋｓ＿２）と署名検証鍵（Ｋｐ＿２）とを保持する。本実施形態では、署名鍵（Ｋｓ＿２）は秘密鍵であり、署名検証鍵（Ｋｐ＿２）は署名鍵（Ｋｓ＿２）に対応する公開鍵である。

ＥＣＵコード署名処理部２２２は、ＥＣＵコードに対して、署名鍵保持部２２０に保持される署名鍵（Ｋｓ＿２）を使用して電子署名を行う。ＥＣＵコードは、車載ＥＣＵに使用されるデータである。ＥＣＵコードとして、例えば、車載ＥＣＵのコンピュータプログラムに関する更新プログラム又は設定変更データなどが挙げられる。

権限証明書署名処理部２２４は、権限証明書に対して、署名鍵保持部２２０に保持される署名鍵（Ｋｓ＿２）を使用して電子署名を行う。権限証明書は、車載ＥＣＵに対する処理の実行の権限を示す。権限証明書は、処理の実行先の車載ＥＣＵ又は車載ＥＣＵ群を特定するＥＣＵ識別子（ＥＣＵ ＩＤ）と、処理内容を特定する権限情報とを含む。処理内容として、例えば、車載ＥＣＵからのデータの読み出し（リード：Ｒ）と、車載ＥＣＵへのデータの書き込み（ライト：Ｗ）とがある。以下、電子署名のことを単に「署名」と称する。

無線通信部２３０は無線通信によりデータを送受する。ｅＳＩＭ＿２３２は、無線通信部２３０によって使用される。

図４は、本発明の第１実施形態に係る無線通信システムの概略構成図である。図４において、無線通信ネットワーク３００は、通信事業者によって運用される。無線通信ネットワーク３００を利用するためには、無線通信ネットワーク３００の契約者情報が書き込まれたｅＳＩＭ又はＳＩＭが必要である。管理ゲートウェイ１のｅＳＩＭ＿１０は、無線通信ネットワーク３００の契約者情報が書き込まれたｅＳＩＭである。よって、管理ゲートウェイ１の無線通信部３３は、ｅＳＩＭ＿１０を使用することにより無線通信ネットワーク３００を利用できる。センタ局２００のｅＳＩＭ＿２３２は、無線通信ネットワーク３００の契約者情報が書き込まれたｅＳＩＭである。よって、センタ局２００の無線通信部２３０は、ｅＳＩＭ＿２３２を使用することにより無線通信ネットワーク３００を利用できる。診断端末１４０は、無線通信部１４１０とｅＳＩＭ＿１４２０とを備える。診断端末１４０のｅＳＩＭ＿１４２０は、無線通信ネットワーク３００の契約者情報が書き込まれたｅＳＩＭである。よって、診断端末１４０の無線通信部１４１０は、ｅＳＩＭ＿１４２０を使用することにより無線通信ネットワーク３００を利用できる。無線通信部１４１０は無線通信によりデータを送受する。

管理ゲートウェイ１、センタ局２００及び診断端末１４０において、各無線通信部３３，２３０，１４１０は、各ｅＳＩＭ＿１０，２３２，１４２０を使用することにより、無線通信ネットワーク３００に接続し通信する。センタ局２００の無線通信部２３０は、無線通信ネットワーク３００を介して、管理ゲートウェイ１の無線通信部３３と通信する。センタ局２００の無線通信部２３０は、無線通信ネットワーク３００を介して、診断端末１４０の無線通信部１４１０と通信する。

次に図５を参照して第１実施形態に係る管理ゲートウェイ１の動作を説明する。図５は、本発明の第１実施形態に係る管理方法の手順を示すフローチャートである。

（ステップＳ１）センタ局２００の無線通信部２３０は、無線通信ネットワーク３００を介して、管理ゲートウェイ１の無線通信部３３と通信する。センタ局２００と管理ゲートウェイ１は、各ｅＳＩＭ＿２３２，１０を使用することにより、認証を行い、センタ局２００から管理ゲートウェイ１へ認証検証鍵（Ｋｐ＿１）及び署名検証鍵（Ｋｐ＿２）を暗号化して配布する。各ｅＳＩＭ＿２３２，１０は、予め、同じ共通鍵を保持する。センタ局２００と管理ゲートウェイ１との間の認証は、各ｅＳＩＭ＿２３２，１０に保持される共通鍵を使用して実行される。認証検証鍵（Ｋｐ＿１）及び署名検証鍵（Ｋｐ＿２）の暗号化は、ｅＳＩＭ＿２３２に保持される共通鍵を使用して実行される。管理ゲートウェイ１のｅＳＩＭ＿１０の復号部１１は、センタ局２００から受信した暗号化認証検証鍵（Ｋｐ＿１）及び暗号化署名検証鍵（Ｋｐ＿２）を復号する。暗号化認証検証鍵（Ｋｐ＿１）及び暗号化署名検証鍵（Ｋｐ＿２）の復号化は、ｅＳＩＭ＿１０に保持される共通鍵を使用して実行される。この復号により得られた認証検証鍵（Ｋｐ＿１）及び署名検証鍵（Ｋｐ＿２）は、ｅＳＩＭ＿１０の鍵保持部１２に保持される。

センタ局２００の無線通信部２３０は、無線通信ネットワーク３００を介して、診断端末１４０の無線通信部１４１０と通信する。センタ局２００と診断端末１４０は、各ｅＳＩＭ＿２３２，１４２０を使用することにより、認証を行い、センタ局２００から診断端末１４０へ認証鍵（Ｋｓ＿１）を暗号化して配布する。各ｅＳＩＭ＿２３２，１４２０は、予め、同じ共通鍵を保持する。センタ局２００と診断端末１４０との間の認証は、各ｅＳＩＭ＿２３２，１４２０に保持される共通鍵を使用して実行される。認証鍵（Ｋｓ＿１）の暗号化は、ｅＳＩＭ＿２３２に保持される共通鍵を使用して実行される。診断端末１４０のｅＳＩＭ＿１４２０は、センタ局２００から受信した暗号化認証鍵（Ｋｓ＿１）を復号する。暗号化認証鍵（Ｋｓ＿１）の復号化は、ｅＳＩＭ＿１４２０に保持される共通鍵を使用して実行される。この復号により得られた認証鍵（Ｋｓ＿１）は、ｅＳＩＭ＿１４２０のセキュア領域に保持される。

（ステップＳ２）管理ゲートウェイ１のｅＳＩＭ＿１０の端末認証部１４は、鍵保持部１２に保持される認証検証鍵（Ｋｐ＿１）を使用して、自動車１００の診断ポート１３０に接続された診断端末１４０の認証を行う。この認証の方法として、本実施形態ではチャレンジ・レスポンス認証方法を使用する。このチャレンジ・レスポンス認証方法を説明する。まず、端末認証部１４は、チャレンジ値を生成し、このチャレンジ値を入出力インタフェース３４から出力させる。入出力インタフェース３４から出力されたチャレンジ値は、診断ポート１３０を介して診断端末１４０に入力される。診断端末１４０のｅＳＩＭ＿１４２０は、入力されたチャレンジ値を、自己のセキュア領域に保持される認証鍵（Ｋｓ＿１）を使用して暗号化する。この暗号化チャレンジ値はレスポンス値である。このレスポンス値は、診断端末１４０から診断ポート１３０へ出力され、診断ポート１３０を介して管理ゲートウェイ１に入力される。管理ゲートウェイ１の入出力インタフェース３４は、入力されたレスポンス値をｅＳＩＭ＿１０へ出力する。端末認証部１４は、入力されたレスポンス値を、鍵保持部１２に保持される認証検証鍵（Ｋｐ＿１）で復号する。端末認証部１４は、レスポンス値の復号により得られた復号結果値がチャレンジ値と一致するかを判断する。この判断の結果、一致である場合には診断端末１４０の認証が成功であり、不一致である場合には診断端末１４０の認証が失敗である。

（ステップＳ３）センタ局２００は、権限証明書２５０を診断端末１４０へ送信する。権限証明書２５０は、権限証明書署名処理部２２４によって署名２５２が行われている（図２参照）。診断端末１４０は、権限証明書２５０を診断ポート１３０へ出力する。この出力された権限証明書２５０は診断ポート１３０を介して管理ゲートウェイ１へ入力される。管理ゲートウェイ１の入出力インタフェース３４は、入力された権限証明書２５０をｅＳＩＭ＿１０へ出力する。ｅＳＩＭ＿１０の署名検証部１３は、入力された権限証明書２５０の署名２５２を、鍵保持部１２に保持される署名検証鍵（Ｋｐ＿２）を使用して検証する。

（ステップＳ４）センタ局２００は、ＥＣＵコード２４０を診断端末１４０へ送信する。ＥＣＵコード２４０は、ＥＣＵコード署名処理部２２２によって署名２４２が行われている（図２参照）。診断端末１４０は、ＥＣＵコード２４０を診断ポート１３０へ出力する。この出力されたＥＣＵコード２４０は診断ポート１３０を介して管理ゲートウェイ１へ入力される。管理ゲートウェイ１の入出力インタフェース３４は、入力されたＥＣＵコード２４０をｅＳＩＭ＿１０へ出力する。ｅＳＩＭ＿１０の署名検証部１３は、入力されたＥＣＵコード２４０の署名２４２を、鍵保持部１２に保持される署名検証鍵（Ｋｐ＿２）を使用して検証する。

（ステップＳ５）管理ゲートウェイ１の実行部３２は、車載ＥＣＵに対する処理を実行する。以下に、実行部３２による車載ＥＣＵに対する処理の実行例について説明する。

＜処理の実行例１：ＥＣＵコードの適用＞
管理ゲートウェイ１の実行部３２は、ＥＣＵコード２４０の署名２４２の検証が成功である場合には、当該ＥＣＵコード２４０を車載ＥＣＵに使用する。一方、管理ゲートウェイ１の実行部３２は、ＥＣＵコード２４０の署名２４２の検証が失敗である場合には、当該ＥＣＵコード２４０を使用しない。以下にＥＣＵコードの使用例を挙げる。
（ＥＣＵコードの使用例１）
実行部３２は、署名２４２の検証が成功であるＥＣＵコード２４０が更新プログラムである場合に、該更新プログラムを車載ＥＣＵにインストールする。
（ＥＣＵコードの使用例２）
実行部３２は、署名２４２の検証が成功であるＥＣＵコード２４０が設定変更データである場合に、該設定変更データで車載ＥＣＵの該当データを書き換える。

＜処理の実行例２：権限証明書の適用＞
管理ゲートウェイ１の実行部３２は、権限証明書２５０の署名２５２の検証が成功である場合には、当該権限証明書２５０で示される権限を車載ＥＣＵに実行する。一方、管理ゲートウェイ１の実行部３２は、権限証明書２５０の署名２５２の検証が失敗である場合には、当該権限証明書２５０で示される権限を実行しない。
（権限の実行例１）
実行部３２は、署名２５２の検証が成功である権限証明書２５０で示される権限が「ＥＣＵ ＩＤ：３、ライト」である場合に、「ＥＣＵ ＩＤ」が３である車載ＥＣＵに対して、データの書き込みを実行する。署名２５２の検証が成功である権限証明書２５０において権限「ＥＣＵ ＩＤ：３、ライト」だけが示される場合には、実行部３２は、「ＥＣＵ ＩＤ」が３である車載ＥＣＵに対するデータの書き込みだけを実行する。この場合、例えば、上述したＥＣＵコードの使用例１においては、「ＥＣＵ ＩＤ」が３である車載ＥＣＵだけに、更新プログラムをインストールする。ＥＣＵコードの使用例２においては、「ＥＣＵ ＩＤ」が３である車載ＥＣＵだけに、設定変更データで該当データを書き換える。
（権限の実行例２）
実行部３２は、署名２５２の検証が成功である権限証明書２５０で示される権限が「ＥＣＵ ＩＤ：全て、リード」である場合に、全ての「ＥＣＵ ＩＤ」の車載ＥＣＵに対して、データの読み出しを実行する。

＜処理の実行例３：診断端末の適用＞
管理ゲートウェイ１の実行部３２は、診断端末１４０の認証が成功である場合には、当該診断端末１４０からの要求を実行する。一方、管理ゲートウェイ１の実行部３２は、診断端末１４０の認証が失敗である場合には、当該診断端末１４０からの要求を実行しない。
（診断端末の要求の実行例）
実行部３２は、認証が成功である診断端末１４０からの要求が車載ＥＣＵからのデータの読み出しである場合に、車載ＥＣＵからデータを読み出して該診断端末１４０へ出力する。実行部３２は、認証が成功である診断端末１４０からの要求が車載ＥＣＵへのデータの書き込みである場合に、該診断端末１４０から入力されたデータを車載ＥＣＵへ書き込む。

上述した処理の実行例１，２，３は組み合わせてもよい。例えば、実行部３２は、認証が成功である診断端末１４０から入力されたＥＣＵコード２４０及び権限証明書２５０だけを使用する。したがって、実行部３２は、認証が失敗である診断端末１４０から入力されたＥＣＵコード２４０及び権限証明書２５０を使用しない。例えば、実行部３２は、署名２５２の検証が成功である権限証明書２５０で示される権限の範囲内だけで、ＥＣＵコード２４０を使用する。したがって、実行部３２は、署名２５２の検証が成功である権限証明書２５０で示される権限の範囲外では、ＥＣＵコード２４０を使用しない。例えば、実行部３２は、署名２５２の検証が成功である権限証明書２５０で示される権限の範囲内だけで、認証が成功である診断端末１４０からの要求を実行する。したがって、実行部３２は、署名２５２の検証が成功である権限証明書２５０で示される権限の範囲外では、認証が成功である診断端末１４０からの要求を実行しない。

上述した第１実施形態によれば、車載ＥＣＵに使用されるデータの適用についての信頼性を向上させることができるという効果が得られる。署名２４２の検証が成功であるＥＣＵコード２４０だけが車載ＥＣＵに使用されることにより、車載ＥＣＵに適用されるＥＣＵコード２４０の信頼性が向上する。さらに、署名２５２の検証が成功である権限証明書２５０で示される権限の範囲内だけで、署名２４２の検証が成功であるＥＣＵコード２４０が使用されることにより、車載ＥＣＵに対する処理実行の信頼性が向上する。さらに、認証が成功である診断端末１４０からの要求だけを行うことにより、車載ＥＣＵに対する処理実行の行為者の信頼性が向上する。例えば、管理ゲートウェイ１が、認証が成功である診断端末１４０の端末識別情報を記録することにより、車載ＥＣＵに対する処理実行に使用された診断端末１４０を特定することができる。この診断端末１４０の特定によって、車載ＥＣＵに対する処理実行の行為者を特定することができるようになる。

［第１実施形態の変形例１］
図６は、本発明の第１実施形態の変形例１に係る自動車１００の概略構成図である。この図６において、図２の各部に対応する部分には同一の符号を付け、その説明を省略する。第１実施形態の変形例１では、診断端末１４０の代わりに端末１４２を利用する。

端末１４２は、図４に示される無線通信ネットワーク３００の契約者情報が書き込まれたｅＳＩＭを備える無線通信端末である。端末１４２は、例えば、スマートフォンやタブレット型のコンピュータ（タブレットＰＣ）等の携帯通信端末である。端末１４２は、自己のｅＳＩＭを使用することにより無線通信ネットワーク３００を利用できる。なお、端末１４２は、ｅＳＩＭの代わりに、無線通信ネットワーク３００の契約者情報が書き込まれたＳＩＭ、を備える無線通信端末であってもよい。

端末１４２は、自動車１００の管理ゲートウェイ１に接続される。管理ゲートウェイ１の入出力インタフェース３４は、端末１４２と接続して該端末１４２とデータを交換する。なお、図６の例では、管理ゲートウェイ１の入出力インタフェース３４は、自動車１００に備わるインフォテイメント（Infotainment）機器１５０にも接続して該インフォテイメント機器１５０とデータを交換する。端末１４２は、インフォテイメント機器１５０に接続して該インフォテイメント機器１５０とデータを交換する。端末１４２は、無線通信ネットワーク３００を介して取得した情報をインフォテイメント機器１５０に出力する。管理ゲートウェイ１は、インフォテイメント機器１５０から入力された情報を車載ＥＣＵへ出力する。

端末１４２は、上述した第１実施形態の診断端末１４０と同様の機能を有する。これは、診断端末１４０の機能を実現するコンピュータプログラムを端末１４２にインストールし、該コンピュータプログラムが端末１４２で実行されることによって実現される。これにより、第１実施形態の変形例１においても、上述した図５の管理方法と同様の手順が行われる。第１実施形態の変形例１では、図５の管理方法において、上述した第１実施形態で診断端末１４０が行う処理を端末１４２が行う。管理ゲートウェイ１は、診断端末１４０の代わりに、端末１４２との間で認証を行う。管理ゲートウェイ１は、診断端末１４０の代わりに、端末１４２からＥＣＵコード２４０及び権限証明書２５０を入力する。

第１実施形態の変形例１によれば、メンテナンス専用の診断端末１４０を使用しなくてもよい。これにより、自動車１００の所有者は自己の端末１４２を使用して車載ＥＣＵの保守を行うことができる。

［第１実施形態の変形例２］
図７は、本発明の第１実施形態の変形例２に係る自動車１００の概略構成図である。この図７において、図２及び図６の各部に対応する部分には同一の符号を付け、その説明を省略する。第１実施形態の変形例２では、診断端末１４０又は端末１４２のどちらでも利用可能な構成である。第１実施形態の変形例２においても、上述した図５の管理方法と同様の手順が行われる。管理ゲートウェイ１は、診断端末１４０又は端末１４２のいずれかとの間で認証を行う。管理ゲートウェイ１は、その認証相手の診断端末１４０又は端末１４２のいずれかから、ＥＣＵコード２４０及び権限証明書２５０を入力する。

第１実施形態の変形例２によれば、自動車整備工場でメンテナンス専用の診断端末１４０を使用して車載ＥＣＵの保守を行うこともできるし、自動車１００の所有者が自己の端末１４２を使用して車載ＥＣＵの保守を行うこともできる。

［第２実施形態］
図８は、本発明の第２実施形態に係る自動車１００の概略構成図である。この図８において、図２の各部に対応する部分には同一の符号を付け、その説明を省略する。第２実施形態では、診断端末１４０及び端末１４２を使用しない。第２実施形態において、管理ゲートウェイ１は、無線通信ネットワーク３００を介して、センタ局２００から直接にＥＣＵコード２４０及び権限証明書２５０を受信する。このため、第２実施形態では、管理ゲートウェイ１は、端末認証部１４が不要である。

第２実施形態においても、上述した図５の管理方法と同様の手順が行われる。但し、第２実施形態では、図５の管理方法において、管理ゲートウェイ１がセンタ局２００から直接にＥＣＵコード２４０及び権限証明書２５０を受信する。したがって、センタ局２００は、管理ゲートウェイ１へ、ＥＣＵコード２４０及び権限証明書２５０を送信する。管理ゲートウェイ１は、センタ局２００から受信したＥＣＵコード２４０及び権限証明書２５０の各署名２４２，２５２を検証する。

第２実施形態の変形例２によれば、センタ局２００から直接に管理ゲートウェイ１へＥＣＵコード２４０及び権限証明書２５０が送られるので、自動的に車載ＥＣＵの保守を行うこともできる。

［第３実施形態］
図９は、本発明の第３実施形態に係る管理ゲートウェイ１の構成を示すブロック図である。図１０は、本発明の第３実施形態に係る自動車１００の概略構成図である。この図９，図１０において、図１，図２の各部に対応する部分には同一の符号を付け、その説明を省略する。第３実施形態では、診断ポート５００が管理装置である。図９において、診断ポート５００は、図１に示される管理ゲートウェイ１と同じｅＳＩＭ＿１０、ＣＡＮインタフェース３１、実行部３２、無線通信部３３及び入出力インタフェース３４を備える。診断ポート５００のｅＳＩＭ＿１０は、管理ゲートウェイ１のｅＳＩＭ＿１０と同じ復号部１１、鍵保持部１２、署名検証部１３及び端末認証部１４を備える。

図１０において、診断ポート５００は、ＣＡＮインタフェース３１により、制御用車載ネットワーク１１０を介して車載ＥＣＵとデータを交換する。診断ポート５００の入出力インタフェース３４は診断端末１４０を接続する。診断ポート５００と診断端末１４０とは接続したり、接続を外したりできる。例えば、診断ポート５００と診断端末１４０との間は、通信ケーブルで接続してもよく、又は、近距離無線通信により接続してもよい。診断ポート５００は、入出力インタフェース３４により、診断端末１４０とデータを交換する。

第３実施形態においても、上述した図５の管理方法と同様の手順が行われる。第３実施形態では、図５の管理方法において、上述した第１実施形態で管理ゲートウェイ１が行う処理を診断ポート５００が行う。診断ポート５００は、診断端末１４０との間で認証を行う。診断ポート５００は、診断端末１４０からＥＣＵコード２４０及び権限証明書２５０を入力し、入力したＥＣＵコード２４０及び権限証明書２５０の各署名２４２，２５２を検証する。診断ポート５００は、車載ＥＣＵに対する処理を実行する。

第３実施形態によれば、診断ポート５００に管理装置の機能を備えることにより、構成の簡素化を図ることができる。従来の自動車１００に備わる診断ポートに管理装置の機能を備えるので、別途、管理ゲートウェイ１を自動車１００に設ける必要がない。

なお、第３実施形態では、インフォテイメント機器１５０については制御用車載ネットワーク１１０に接続しない。これは、セキュリティの観点から、管理ゲートウェイ１を介さずにインフォテイメント機器１５０を制御用車載ネットワーク１１０に接続することを避けるためである。

以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。

例えば、セキュアエレメントとして、ｅＳＩＭ又はＳＩＭのいずれを使用してもよい。ｅＳＩＭは、通常、電子基板にハンダ付け（ハードウェア・バインド（Ｈ／Ｗバインド））される。ＳＩＭは、通常、電子基板にプログラム的に紐付けられる（ソフトウェア・バインド（Ｓ／Ｗバインド））される。

上述した実施形態では、公開鍵と秘密鍵を使用する認証方法を使用したが、共通鍵を使用する認証方法を使用してもよい。共通鍵を使用する場合には、セキュアエレメント内のセキュア領域のみで鍵が保持されることがセキュリティの観点で好ましい。

管理ゲートウェイ１、診断端末１４０、診断ポート５００及び車載ＥＣＵにおいて、セキュアブート（Secure Boot）を行うことも好ましい。セキュアブートによれば、コンピュータの起動時に当該コンピュータのオペレーティングシステム（Operating System：ＯＳ）の正当性を検証することができる。セキュアブートについては、例えば非特許文献３，４，５，６に記載されている。

上述した実施形態では、車両として自動車を例に挙げたが、原動機付自転車や鉄道車両等の自動車以外の他の車両にも適用可能である。

また、上述した管理ゲートウェイ１又は診断ポート５００の機能を実現するためのコンピュータプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するようにしてもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Digital Versatile Disk）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。

さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Dynamic Random Access Memory））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

１…管理ゲートウェイ（管理装置）、１０，２３２，１４２０…ｅＳＩＭ（セキュアエレメント）、３１…ＣＡＮインタフェース、３２…実行部、３３，２３０，１４１０…無線通信部、３４…入出力インタフェース、１１…復号部、１２…鍵保持部、１３…署名検証部、１４…端末認証部、１００…自動車、１１０…制御用車載ネットワーク、１２０…駆動系ＥＣＵ群、１２１…車体系ＥＣＵ群、１２２…安全制御系ＥＣＵ群、１３０…診断ポート、１４０…診断端末、２００…センタ局、２１０…認証鍵保持部、２２０…署名鍵保持部、２２２…ＥＣＵコード署名処理部、２２４…権限証明書署名処理部、２４０…ＥＣＵコード、２４２，２５２…電子署名、２５０…権限証明書

Claims (4)

1. 車両に搭載された管理装置と、前記管理装置との間で通信によりデータを交換する端末と、を備え、
   前記管理装置は、
   前記端末とデータを交換する入出力インタフェースと、
   認証検証鍵を保持する鍵保持部と、
   前記認証検証鍵を使用して前記端末の認証を行う端末認証部と、
   実行部と、
   前記車両の内部の通信ネットワークを介して、前記車両に搭載された車載コンピュータとの間でデータを交換する車載ネットワークインタフェースと、を備え、
   前記端末は、
   前記認証検証鍵に対応する認証鍵を保持し、前記端末認証部からの認証要求に対して前記認証鍵を使用して応答する情報処理部を備え、前記車載コンピュータに使用されるデータを前記管理装置に送信し、
   前記実行部は、前記端末の認証が成功である場合に前記端末から受信したデータを前記車載コンピュータに使用し、前記端末の認証が失敗である場合には前記端末から受信したデータを使用しない、システムであって、
   前記車載コンピュータに使用されるデータは、処理の実行先の車載コンピュータを特定する車載コンピュータ識別子と、車載コンピュータに対する処理内容を特定する権限情報とを含み、
   前記実行部は、前記車載コンピュータ識別子で特定される車載コンピュータのみに対して前記権限情報で特定される前記処理内容を実行する、システムであり、
   前記車載コンピュータに使用されるデータは、車載コンピュータに対する処理の実行の対象のデータである処理実行対象データであって当該処理実行対象データの種別を含む処理実行対象データと、当該種別とは独立に設けられた、車載コンピュータに対する処理の実行の権限を示す権限証明書であって処理の実行先の車載コンピュータを特定する車載コンピュータ識別子と車載コンピュータに対する処理内容を特定する権限情報とから構成される権限証明書と、であり、
   前記実行部は、権限証明書に示される権限の範囲内で、処理実行対象データの種別に応じた処理を実行する、
   システム。
2. 前記処理実行対象データは、車載コンピュータの更新プログラム又は設定変更データであり、
   前記権限情報が特定する処理内容は、車載コンピュータへのデータの書き込みと車載コンピュータからのデータの読み出しとのうち少なくとも一方であり、
   前記実行部は、前記権限情報で特定される前記処理内容が車載コンピュータへのデータの書き込みである場合において処理実行対象データの種別が更新プログラムであるときには前記車載コンピュータ識別子で特定される車載コンピュータのみに対して処理実行対象データの更新プログラムをインストールし、
   前記実行部は、前記権限情報で特定される前記処理内容が車載コンピュータへのデータの書き込みである場合において処理実行対象データの種別が設定変更データであるときには前記車載コンピュータ識別子で特定される車載コンピュータのみに対して処理実行対象データの設定変更データで該当データを書き換える、
   請求項１に記載のシステム。
3. 前記実行部は、前記権限情報で特定される前記処理内容が車載コンピュータからのデータの読み出しである場合に、前記車載コンピュータ識別子で特定される車載コンピュータのみに対してデータの読み出しを実行する、
   請求項１又は２のいずれか１項に記載のシステム。
4. 車両に搭載された管理装置が、前記車両の内部の通信ネットワークを介して、前記車両に搭載された車載コンピュータとの間でデータを交換する車載ネットワークインタフェースを備え、
   前記管理装置が、前記管理装置との間で通信によりデータを交換する端末に対して、認証検証鍵を使用して前記端末の認証を行う端末認証ステップと、
   前記端末が、前記認証検証鍵に対応する認証鍵を保持し、前記管理装置からの認証要求に対して前記認証鍵を使用して応答するステップと、
   前記端末が、前記車載コンピュータに使用されるデータを前記管理装置に送信するステップと、
   前記管理装置が、前記端末の認証が成功である場合に前記端末から受信したデータを前記車載コンピュータに使用し、前記端末の認証が失敗である場合には前記端末から受信したデータを使用しない実行ステップと、を含む管理方法であって、
   前記車載コンピュータに使用されるデータは、処理の実行先の車載コンピュータを特定する車載コンピュータ識別子と、車載コンピュータに対する処理内容を特定する権限情報とを含み、
   前記管理装置は、前記実行ステップにおいて、前記車載コンピュータ識別子で特定される車載コンピュータのみに対して前記権限情報で特定される前記処理内容を実行する、管理方法であり、
   前記車載コンピュータに使用されるデータは、車載コンピュータに対する処理の実行の対象のデータである処理実行対象データであって当該処理実行対象データの種別を含む処理実行対象データと、当該種別とは独立に設けられた、車載コンピュータに対する処理の実行の権限を示す権限証明書であって処理の実行先の車載コンピュータを特定する車載コンピュータ識別子と車載コンピュータに対する処理内容を特定する権限情報とから構成される権限証明書と、であり、
   前記実行部は、権限証明書に示される権限の範囲内で、処理実行対象データの種別に応じた処理を実行する、
   管理方法。

Images