CN114834393B - 车辆控制系统 - Google Patents

车辆控制系统 Download PDF

Info

Publication number
CN114834393B
CN114834393B CN202111312788.6A CN202111312788A CN114834393B CN 114834393 B CN114834393 B CN 114834393B CN 202111312788 A CN202111312788 A CN 202111312788A CN 114834393 B CN114834393 B CN 114834393B
Authority
CN
China
Prior art keywords
control
vehicle
public key
special mode
control signal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202111312788.6A
Other languages
English (en)
Other versions
CN114834393A (zh
Inventor
玉树成章
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Toyota Motor Corp
Original Assignee
Toyota Motor Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Toyota Motor Corp filed Critical Toyota Motor Corp
Publication of CN114834393A publication Critical patent/CN114834393A/zh
Application granted granted Critical
Publication of CN114834393B publication Critical patent/CN114834393B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05D—SYSTEMS FOR CONTROLLING OR REGULATING NON-ELECTRIC VARIABLES
    • G05D1/00—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots
    • G05D1/02—Control of position or course in two dimensions
    • G05D1/021—Control of position or course in two dimensions specially adapted to land vehicles
    • G05D1/0276—Control of position or course in two dimensions specially adapted to land vehicles using signals provided by a source external to the vehicle
    • G05D1/028—Control of position or course in two dimensions specially adapted to land vehicles using signals provided by a source external to the vehicle using a RF signal
    • G05D1/0282—Control of position or course in two dimensions specially adapted to land vehicles using signals provided by a source external to the vehicle using a RF signal generated in a local control room
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R25/00—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles
    • B60R25/20—Means to switch the anti-theft system on or off
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R25/00—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles
    • B60R25/10—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles actuating a signalling device
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W60/00—Drive control systems specially adapted for autonomous road vehicles
    • B60W60/001—Planning or execution of driving tasks
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B62—LAND VEHICLES FOR TRAVELLING OTHERWISE THAN ON RAILS
    • B62D—MOTOR VEHICLES; TRAILERS
    • B62D63/00—Motor vehicles or trailers not otherwise provided for
    • B62D63/02—Motor vehicles
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B62—LAND VEHICLES FOR TRAVELLING OTHERWISE THAN ON RAILS
    • B62D—MOTOR VEHICLES; TRAILERS
    • B62D63/00—Motor vehicles or trailers not otherwise provided for
    • B62D63/02—Motor vehicles
    • B62D63/04—Component parts or accessories
    • G—PHYSICS
    • G08—SIGNALLING
    • G08C—TRANSMISSION SYSTEMS FOR MEASURED VALUES, CONTROL OR SIMILAR SIGNALS
    • G08C17/00—Arrangements for transmitting signals characterised by the use of a wireless electrical link
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/047—Key management, e.g. using generic bootstrapping architecture [GBA] without using a trusted network node as an anchor
    • H04W12/0471—Key exchange
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W2556/00—Input parameters relating to data
    • B60W2556/45—External transmission of data to or from the vehicle
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/106—Packet or message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/63—Location-dependent; Proximity-dependent
    • H04W12/64—Location-dependent; Proximity-dependent using geofenced areas

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Mechanical Engineering (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Transportation (AREA)
  • Signal Processing (AREA)
  • Automation & Control Theory (AREA)
  • Computing Systems (AREA)
  • Human Computer Interaction (AREA)
  • Chemical & Material Sciences (AREA)
  • General Physics & Mathematics (AREA)
  • Combustion & Propulsion (AREA)
  • Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Remote Sensing (AREA)
  • Radar, Positioning & Navigation (AREA)
  • Aviation & Aerospace Engineering (AREA)
  • Lock And Its Accessories (AREA)

Abstract

本发明涉及一种车辆控制系统，包括：车辆控制部，搭载于车辆，并控制车辆；和控制服务器，将用于在包括自动驾驶在内的特殊模式下控制车辆的控制信号向车辆控制部输出。车辆控制部生成特殊模式控制用的公共密匙并向控制服务器输出，并且将公共密匙储存于安全存储机构，控制服务器将公共密匙储存于存储部，并且向车辆控制部输出将公共密匙应用于控制信号而生成的控制信号的消息认证符和控制信号，在将储存于安全存储机构的公共密匙应用于控制服务器输出的控制信号而生成的消息认证符、与控制服务器输出的消息认证符一致的情况下，车辆控制部执行基于控制信号的特殊模式下的控制，控制服务器在结束特殊模式下的控制时删除储存于存储部的公共密匙。

Description

车辆控制系统
技术领域
本公开涉及仅在生产场所等限定性的区域对车辆允许自动驾驶等特殊模式下的驾驶的车辆控制系统。
背景技术
在工厂等限定性的区域，存在在自动驾驶等与一般道路中的驾驶不同的特殊模式下驾驶车辆来将该车辆向下一个路线运送的运作。通过有效地利用自动驾驶，从而不需要作业人员乘坐于各个车辆，能够避免工厂等中的由载人引起的繁琐的作业。
然而，运作自动驾驶等特殊模式的功能存在兼有针对来自外部的存在恶意的黑客攻击等的脆弱性这一问题。因此，在因出厂等而车辆在工厂等限定性的区域外行驶的情况下，需要使特殊模式无效化的处理。为了使特殊模式无效化，例如可以考虑改写特殊模式所涉及的软件等，但若进行该软件的改写，则车辆的状态从型号认证的出厂检查前的状态变化，因此存在需要该车辆的再次检查这一问题。
在日本特开2019-140577号公报中公开有关于车辆的在特殊模式下的驾驶所涉及的加密密匙的选择和切换的发明。
然而，对于日本特开2019-140577号公报所记载的发明而言，若当在车辆的出厂前经由通信使自动驾驶功能等特殊模式无效时从外部被黑客攻击，则可能被外部的干预者夺取该车辆的自动驾驶的主导权。
发明内容
考虑上述事实，本公开的目的在于获得一种能够将在限定性的区域内对车辆允许的特殊模式的功能在该车辆在该区域外行驶时安全地无效化的车辆控制系统。
为了实现上述目的，本公开的第1形态所记载的车辆控制系统包括：车辆控制部，搭载于车辆，并控制上述车辆；和控制服务器，将用于在包括自动驾驶在内的特殊模式下控制上述车辆的控制信号向上述车辆控制部输出，上述车辆控制部通过随机数生成而生成特殊模式控制用的公共密匙并向上述控制服务器输出，并且将生成的上述公共密匙储存于具有保护数据的完整性和机密性的功能的安全存储机构，上述控制服务器将上述车辆控制部输出的上述公共密匙储存于存储部，并且向上述车辆控制部输出将上述公共密匙应用于上述控制信号而生成的上述控制信号的消息认证符和上述控制信号，在将储存于上述安全存储机构的上述公共密匙应用于上述控制服务器输出的上述控制信号而生成的消息认证符、与上述控制服务器输出的消息认证符一致的情况下，上述车辆控制部执行基于上述控制信号的上述特殊模式下的控制，上述控制服务器在结束上述特殊模式下的控制时删除储存于上述存储部的上述公共密匙。
用于特殊模式的控制的公共密匙在车辆中储存于车辆内的安全存储机构，在控制服务器中储存于硬盘(HDD)等存储机构。在特殊模式下的控制结束后，删除储存于控制服务器内的公共密匙，因此公共密匙不会存在于车辆的安全存储机构以外，作为结果，与将特殊模式下的控制无效化的状态等效。车辆的安全存储机构具有保护数据的完整性和机密性的功能，因此能够防止特殊模式的功能因来自外部的黑客攻击等而被恶意使用。
另外，根据本公开的第1形态所记载的车辆控制系统，从出厂检查时起不变更车辆内的控制软件，在车辆存在于工厂等场所内的情况下，通过消息认证而允许特殊模式下的控制，由此不需要车辆的再度的检查。
为了实现上述目的，本公开的第2形态所记载的车辆控制系统包括：车辆控制部，分别搭载于多个车辆，并控制上述车辆；和控制服务器，将用于在包括自动驾驶在内的特殊模式下控制上述车辆的控制信号向上述车辆控制部输出，上述控制服务器通过随机数生成而生成特殊模式控制用的公共密匙并向上述多个车辆的上述车辆控制部输出，并且将生成的上述公共密匙储存于存储部，上述多个车辆的上述车辆控制部将上述控制服务器输出的上述公共密匙分别储存于具有保护数据的完整性和机密性的功能的安全存储机构，上述控制服务器向上述多个车辆的车辆控制部分别输出将储存于上述存储部的上述公共密匙应用于上述控制信号而生成的上述控制信号的消息认证符和上述控制信号，在将储存于上述安全存储机构的上述公共密匙应用于上述控制服务器输出的上述控制信号而生成的消息认证符、与上述控制服务器输出的消息认证符一致的情况下，上述多个车辆的车辆控制部分别执行基于上述控制信号的上述特殊模式下的控制，上述控制服务器在结束上述特殊模式下的控制时删除储存于上述存储部的上述公共密匙。
根据本公开的第2形态所记载的车辆控制系统，能够对多个车辆同时并行地进行特殊模式下的控制，从而作业的迅速化和作业顺序的简化成为可能。
另外，如本公开的第3形态所记载的车辆控制系统那样，也可以构成为：在车辆存在于规定的场所内的情况下，执行特殊模式下的控制，车辆具备能够定位当前位置的装置，并将当前位置向控制服务器输出，在车辆的当前位置变为了规定的场所外的情况下，控制服务器删除公共密匙。由此，能够在特殊模式下的控制变得危险的区域内将公共密匙无效化。
另外，如本公开的第4形态所记载的车辆控制系统那样，也可以构成为：在不需要特殊模式下的控制的情况下，车辆控制部删除储存于安全存储机构的公共密匙。由此，能够将特殊模式下的控制完全地无效化。
另外，如本公开的第5形态所记载的车辆控制系统那样，也可以构成为：在进行了车辆的出厂通知的情况下，车辆控制部删除储存于安全存储机构的公共密匙。
如以上说明的那样，根据本公开所涉及的车辆控制系统，能够将在限定性的区域内对车辆允许的特殊模式的功能在该车辆在该区域外行驶时安全地无效化。
附图说明
图1是表示第1实施方式所涉及的车辆控制系统的结构的一个例子的简图。
图2是表示第1实施方式所涉及的车辆的结构的一个例子的框图。
图3是表示第1实施方式所涉及的控制服务器的具体的结构的一个例子的框图。
图4是第1实施方式所涉及的控制服务器的CPU的功能框图。
图5是第1实施方式所涉及的车辆的运算装置的功能框图。
图6是表示第1实施方式中的控制服务器和车辆的各自中的处理的一个例子的流程图。
图7是表示第2实施方式中的控制服务器和多个车辆的各自中的处理的一个例子的流程图。
附图标记说明
10…控制服务器；12…输入输出装置；14…运算装置；16…车辆ECU；18…存储装置；20…随机数生成部；22…CMAC运算部；24…比较部；26…输出部；40…计算机；42…CPU；44…ROM；46…RAM；48…输入输出端口；50…显示器；52…鼠标；54…键盘；72…随机数生成部；74…CMAC运算部；76…输出部；100…车辆控制系统；200…车辆。
具体实施方式
[第1实施方式]
以下，使用图1，对本实施方式所涉及的车辆控制系统100进行说明。图1所示的车辆控制系统100包括车辆200、和构成为能够与车辆200相互通信的控制服务器10。控制服务器10是设置于工厂等用于车辆200的生产和维修的场所的计算机。
优选控制服务器10是能够高速地执行高级的运算处理的计算机，并且需要是具备截断来自外部的通信的防火墙等的等考虑到安全的结构。控制服务器10若是云服务器，则能够分散处理负荷，但在本实施方式中，原则上重视安全而是单体的服务器。
图2是表示车辆200的结构的一个例子的框图。车辆200由存储运算装置14的运算所需的数据和运算装置14的运算结果的存储装置18、被从控制服务器10等输入信号并且对控制服务器10等输出信号的输入输出装置12、基于从输入输出装置12输入的输入数据和存储于存储装置18的数据来生成特殊模式的控制信号、并将生成的控制信号向车辆ECU(Electronic Control Unit：电子控制单元)16输出的运算装置14、以及根据从运算装置14输入的特殊模式的控制信号来使车辆200动作的车辆ECU16构成。在存储装置18，安装有基于MAC(Message Authentication Code：消息认证代码)函数的公共密匙生成、和CMAC(Cipher-based Message AuthenticationCode：基于密文的消息认证码)运算等所涉及的程序。运算装置14通过执行该程序而生成用于MAC认证的公开密匙，通过CMAC运算来生成从控制服务器10输入的接收数据的MAC值，并进行判定生成的MAC值是否与从控制服务器10输入的MAC值一致的认证。作为来自远程的车辆黑客攻击对策，消息认证用于V2X等车辆通信，但在本实施方式中，使用与来自远程的车辆黑客攻击对策用的消息认证的密匙不同的密匙，进行特殊模式的控制信号的认证。另外，存储装置18包括具有保护数据的完整性和机密性的功能的安全存储机构。运算装置14和车辆ECU16也可以构成为一体。
图3是表示本公开的实施方式所涉及的控制服务器10的具体的结构的一个例子的框图。控制服务器10构成为包括计算机40。计算机40具备CPU(Central Processing Unit：中央处理器)42、ROM(Read Only Memory：只读存储器)44、RAM(Random Access Memory：随机存储器)46、以及输入输出端口48。作为一个例子，优选计算机40是能够高速地执行高级的运算处理的机型。
在计算机40中，CPU42、ROM44、RAM46、以及输入输出端口48经由地址总线、数据总线、以及控制总线等各种总线相互连接。在输入输出端口48，作为各种输入输出设备，分别连接有从显示器50、鼠标52、键盘54、HDD56、以及各种磁盘(例如，CD-ROM、DVD等)58进行信息的读出的磁盘驱动器60。
另外，在输入输出端口48连接有车辆200。控制服务器10也可以经由网络与车辆200连接，但从安全重视的观点出发，该网络需要是与外部隔绝的内部网。
在计算机40的HDD56，安装有基于MAC函数的公共密匙生成、和CMAC运算等所涉及的程序。在本实施方式中，通过CPU42执行该程序，从而生成用于MAC认证的公开密匙，通过CMAC运算生成特殊模式所涉及的控制信号的MAC值，并将生成的MAC值与控制信号一起向车辆200输出。另外，CPU42使基于该程序的处理结果显示于显示器50。此外，在控制服务器10中生成用于MAC认证的公开密匙的情况在第2实施方式中进行后述。
为了将本实施方式的MAC认证所涉及的程序安装于计算机40，存在若干方法，但例如将该程序与安装程序一起存储于CD-ROM、DVD等，在磁盘驱动器60设置磁盘，并对CPU42执行安装程序，由此在HDD56安装该程序。或者也可以构成为：通过与经由公用电话线路或者网络与计算机40连接的其他的信息处理设备通信，从而在HDD56安装该程序。
图4表示控制服务器10的CPU42的功能框图。对通过控制服务器10的CPU42执行MAC认证所涉及的程序而实现的各种功能进行说明。MAC认证所涉及的程序具备通过基于MAC函数的随机数生成来生成作为特殊模式控制用的公共密匙的MAC密匙的随机数生成功能、使用MAC密匙来生成作为特殊模式的控制信号的消息认证符的MAC值的CMAC运算功能、以及将生成的MAC密匙、通过CMAC运算功能生成的MAC值以及控制信号向车辆200输出的输出功能。通过CPU42执行具有该各功能的程序，从而CPU42如图4所示作为随机数生成部72、CMAC运算部74、以及输出部76发挥功能。此外，CPU42中的随机数生成功能、和输出功能中的MAC密匙的输出在后述的第2实施方式中使用。
图5表示车辆200的运算装置14的功能框图。运算装置14具备通过基于MAC函数的随机数生成来生成作为特殊模式控制用的公共密匙的MAC密匙的随机数生成功能、使用MAC密匙来生成作为特殊模式的控制信号的消息认证符的MAC值的CMAC运算功能、进行比较通过CMAC运算功能生成的MAC值与从控制服务器10输入的MAC值的MAC认证的比较功能、以及将生成的MAC密匙向控制服务器10输出的输出功能。通过运算装置14执行具有该各功能的程序，从而运算装置14如图5所示作为随机数生成部20、CMAC运算部22、比较部24以及输出部26发挥功能。
图6是表示控制服务器10与作为车辆200中的一台的车辆A的各自中的处理的一个例子的流程图。图6包括作为车辆A中的处理的线程(1)、(3)、和作为控制服务器10中的处理的线程(2)、(4)。
于在车辆A中进行的线程(1)中，在步骤10中，开始自动驾驶等特殊模式。在步骤12中，以随机数生成用于特殊模式控制的MAC密匙K。在特殊模式中使用的MAC密匙K在各个车辆中完全为随机数，由此使攻击者对密匙的预料变得困难。
在步骤14中，将生成的MAC密匙K储存于车辆A内的安全存储机构。安全存储机构是具有保护数据的完整性和机密性的功能的存储机构。
在步骤16中，将生成的MAC密匙K向控制服务器10发送。为了确保安全，原则上，MAC密匙K的发送以有线通信进行，但若通过通信内容的加密等而确保安全，则也可以使用无线通信。
于在控制服务器10中进行的线程(2)中，在步骤18中，将MAC密匙K储存于HDD56等存储机构。在本实施方式中，在控制服务器10中，仅暂时地储存MAC密匙K，如后述的那样，在不需要车辆A的特殊模式下的控制的情况下，删除储存于控制服务器10的MAC密匙K，因此储存MAC密匙K的存储机构也可以不具有安全存储机构等的保护数据的完整性和机密性的功能。
在步骤20中，判定是否继续控制。在通过从外部输入控制继续的指令等来继续控制的情况下，将顺序移至步骤22，在不继续控制的情况下，将顺序移至步骤48。
在步骤22中，输入特殊模式用控制信号XN。作为一个例子，特殊模式用控制信号XN的下标的N是1以上的自然数，是存在多个种类特殊模式的情况下的识别符。特殊模式用控制信号XN可以预先储存于控制服务器10的HDD56等，也可以从外部的设备输入。
在步骤24中，使用MAC密匙K，对特殊模式用控制信号XN进行作为基于块加密的消息认证编码算法的CMAC运算。而且，在步骤26中，生成MAC值MN。MAC值MN是将专用的MAC密匙K用于特殊模式控制信号XN时生成的消息认证符。
在步骤28中，将特殊模式用控制信号XN和MAC值MN设置为发送数据。而且，在步骤30中，将设置好的发送数据向车辆A发送。
于在车辆A中进行的线程(3)中，在步骤32中接收来自控制服务器10的发送数据。而且，在步骤34中，从接收到的数据中抽出特殊模式用控制信号XN和MAC值MN。在本实施方式中，仅在从控制服务器10传送过来的特殊模式控制信号XN中附带有作为在使用专用的MAC密匙K时生成的消息认证符的MAC值MN的情况下，进行特殊模式控制信号XN的控制。
在步骤36中，使用MAC密匙K，对从控制服务器10传送过来的特殊模式用控制信号XN进行作为基于块加密的消息认证编码算法的CMAC运算。而且，在步骤38中，生成MAC值M'N。
在步骤40中，判定从控制服务器10传送过来的MAC值MN、与在车辆A中根据特殊模式用控制信号XN生成的MAC值M'N是否一致。在步骤40中，在MAC值MN与MAC值M'N一致的情况下，将顺序移至步骤42，在MAC值MN与MAC值M'N不一致的情况下，将顺序移至步骤44。
在步骤42中，执行特殊模式用控制信号XN来将顺序移至步骤46。在步骤44中，放弃特殊模式用控制信号XN来将顺序移至步骤46。
在步骤46中，等待来自控制服务器10的下一个数据接收，并将顺序移至步骤20。
于在控制服务器10中进行的线程(4)中，在步骤48中删除使用完毕的MAC密匙K。在步骤48中，在通过GPS(Global PositioningSystem：全球定位系统)装置等能够定位车辆A的当前位置的装置探测到车辆A出现在工厂等的场所外时，也可以删除MAC密匙K。而且，在步骤50中，结束基于特殊模式的控制。
在本实施方式中，将消息认证导入于在特殊模式下使用的通信。作为来自远程的车辆黑客攻击对策，消息认证用于V2X等车辆通信，但在本实施方式中，使用与来自远程的车辆黑客攻击对策用的消息认证的密匙不同的密匙来进行特殊模式的控制信号的认证。
在特殊模式下使用的MAC密匙K在各个车辆中完全为随机数，由此使攻击者对密匙的预料变得困难。
仅当在从控制服务器10传送过来的特殊模式控制信号XN中附带有作为在使用专用的MAC密匙K时生成的消息认证符的MAC值MN的情况下，车辆进行特殊模式控制信号XN的控制。
用于特殊模式的控制的MAC密匙K在车辆中储存于车辆内的安全存储机构，在控制服务器10中储存于HDD56等的存储机构。在特殊模式下的控制结束后，将储存于控制服务器10内的MAC密匙K删除，因此MAC密匙K不会存在于车辆的安全存储机构以外，作为结果，与将特殊模式下的控制无效化的状态等效。车辆的安全存储机构具有保护数据的完整性和机密性的功能，因此机密泄漏的风险较低。然而，为了进一步期待万全的安全，在不需要特殊模式下的控制的情况下，也可以放弃安全存储机构内的MAC密匙K。放弃安全存储机构内的MAC密匙K的情况例如是从外部进行车辆的出厂通知的情况等。在对车辆进行了出厂通知的情况下，运算装置14放弃安全存储机构内的MAC密匙K。或者也可以构成为：在对车辆进行了出厂通知的情况下，运算装置14生成放弃安全存储机构内的MAC密匙K的指令，并基于该指令来放弃安全存储机构内的MAC密匙K。
另外，在本实施方式中，从出厂检查时起不变更车辆内的控制软件，在车辆存在于工厂等场所内的情况下，通过消息认证允许特殊模式下的控制，由此不需要车辆的再度的检查。
如以上说明的那样，根据本实施方式，能够将在限定性的区域内对车辆允许的特殊模式的功能在该车辆在该区域外行驶时安全地无效化。
[第2实施方式]
接着，对第2实施方式进行说明。本实施方式在由控制服务器10生成MAC密匙Kα并在多个车辆A、B分别进行特殊模式的控制这一点上与第1实施方式不同。
图7是表示控制服务器10和多个车辆A、B的各自中的处理的一个例子的流程图。图7包括作为控制服务器10中的处理的线程(1)、(3)、(5)和作为车辆A、B中的处理的线程(2)、(4)。
于在控制服务器10中进行的线程(1)中，在步骤100中，开始自动驾驶等特殊模式α。在步骤102中，以随机数生成用于特殊模式控制的MAC密匙Kα。
在步骤104中，将生成的MAC密匙Kα储存于控制服务器10内的HDD56等存储机构。在控制服务器10中，删除使用完毕的MAC密匙Kα，因此储存MAC密匙Kα的存储装置也可以不是具有安全存储机构等的保护数据的完整性和机密性的功能的存储机构。
在步骤106中，将生成的MAC密匙Kα向车辆A、B分别发送。为了确保安全，原则上，MAC密匙Kα的发送通过有线通信进行，但若通过通信内容的加密等而确保安全，则也可以使用无线通信。
于在车辆A、B中分别进行的线程(2)中，在步骤108A、108B中将MAC密匙Kα储存于车辆A、B内的安全存储机构。
于在控制服务器10中进行的线程(3)中，在步骤110中，判定是否继续控制。在通过从外部输入控制继续的指令等而继续控制的情况下，将顺序移至步骤112，在不继续控制的情况下，将顺序移至步骤138。
在步骤112中，输入特殊模式用控制信号XN。作为一个例子，特殊模式用控制信号XN的下标的N是1以上的自然数，是存在多个种类的特殊模式的情况下的识别符。
在步骤114中，使用MAC密匙Kα，对特殊模式用控制信号XN进行作为基于块加密的消息认证编码算法的CMAC运算。而且，在步骤116中，生成MAC值MN。
在步骤118中，将特殊模式用控制信号XN和MAC值MN设置为发送数据。而且，在步骤120中，将设置好的发送数据向车辆A、B分别发送。
于在车辆A、B中分别进行的线程(4)中，在步骤122A、122B中接收来自控制服务器10的发送数据。而且，在步骤124A、124B中，从接收到的数据中抽出特殊模式用控制信号XN和MAC值MN。
在步骤126A、126B中，使用MAC密匙Kα，对从控制服务器10传送过来的特殊模式用控制信号XN进行作为基于块加密的消息认证编码算法的CMAC运算。而且，在步骤128A、128B中，生成MAC值M'N。
在步骤130A、130B中，判定从控制服务器10传送过来的MAC值MN、与在车辆A、B中分别根据特殊模式用控制信号XN生成的MAC值M'N是否一致。在步骤130A、130B中，在MAC值MN与MAC值M'N一致的情况下，将顺序移至步骤132A、132B，在MAC值MN与MAC值M'N不一致的情况下，将顺序移至步骤134A、134B。
在步骤132A、132B中，执行特殊模式用控制信号XN来将顺序移至步骤136A、136B。在步骤134A、134B中，放弃特殊模式用控制信号XN来将顺序移至步骤136A、136B。
在步骤136A(或者步骤136B)中，等待来自控制服务器10的下一个数据接收，并将顺序移至步骤110。
于在控制服务器10中进行的线程(5)中，在步骤138中删除使用完毕的MAC密匙Kα。而且，在步骤140中，结束基于特殊模式的控制。
如以上说明的那样，本实施方式能够对多个车辆同时并行地进行特殊模式下的控制，从而作业的迅速化和作业顺序的简化成为可能。
用于特殊模式的控制的MAC密匙Kα在车辆中储存于车辆内的安全存储机构，在控制服务器10中储存于HDD56等存储机构。在特殊模式下的控制结束后，删除储存于控制服务器10内的MAC密匙Kα，因此MAC密匙Kα不会存在于车辆的安全存储机构以外，作为结果，与将特殊模式下的控制无效化的状态等效。车辆的安全存储机构具有保护数据的完整性和机密性的功能，因此机密泄漏的风险较低。然而，为了进一步期待万全的安全，在不需要特殊模式下的控制的情况下，也可以放弃安全存储机构内的MAC密匙Kα。
此外，权利要求书所记载的车辆控制部相当于说明书的发明的详细内容的说明所记载的“运算装置14”和“车辆ECU16”，同“公共密匙”相当于说明书的发明的详细内容的说明所记载的“MAC密匙K”和“MAC密匙Kα”，同“消息认证符”相当于说明书的发明的详细内容的说明所记载的“MAC值MN”和“MAC值M'N”。
此外，也可以由CPU以外的各种处理器执行在上述各实施方式中CPU读入并执行软件(程序)的处理。作为该情况下的处理器，例示FPGA(Field-Programmable Gate Array)等能够在制造后变更电路结构的PLD(Programmable Logic Device)、和ASIC(ApplicationSpecific Integrated Circuit)等作为具有为了执行特定的处理而专门设计的电路结构的处理器的专用电子电路等。另外，可以由这些各种处理器中的一个执行处理，也可以由相同种类或者不同种类的两个以上的处理器的组合(例如，多个FPGA、和CPU与FPGA的组合等)执行。另外，更具体而言，这些各种处理器的硬件的构造是将半导体元件等电路元件组合而成的电子电路。
另外，在上述各实施方式中，对将程序预先存储(安装)于磁盘驱动器60等的形态进行了说明，但并不限定于此。程序也可以以存储于CD-ROM(Compact Disk Read OnlyMemory：光盘只读存储器)、DVD-ROM(Digital Versatile Disk Read Only Memory：数字多功能磁盘只读存储器)、以及USB(Universal Serial Bus：通用串行总线)存储器等非暂时性(non-transitory)存储介质的方式来提供。另外，程序也可以为经由网络从外部装置下载的方式。

Claims (5)

1.一种车辆控制系统，其中，
所述车辆控制系统包括：
车辆控制部，搭载于车辆，并控制所述车辆；和
控制服务器，将用于在包括自动驾驶在内的特殊模式下控制所述车辆的控制信号向所述车辆控制部输出，
所述车辆控制部通过随机数生成而生成特殊模式控制用的公共密匙并向所述控制服务器输出，并且将生成的所述公共密匙储存于具有保护数据的完整性和机密性的功能的安全存储机构，
所述控制服务器将所述车辆控制部输出的所述公共密匙储存于存储部，并且向所述车辆控制部输出将所述公共密匙应用于所述控制信号而生成的所述控制信号的消息认证符和所述控制信号，
在将储存于所述安全存储机构的所述公共密匙应用于所述控制服务器输出的所述控制信号而生成的消息认证符、与所述控制服务器输出的消息认证符一致的情况下，所述车辆控制部执行基于所述控制信号的所述特殊模式下的控制，
所述控制服务器在结束所述特殊模式下的控制时删除储存于所述存储部的所述公共密匙。
2.一种车辆控制系统，其中，
所述车辆控制系统包括：
车辆控制部，分别搭载于多个车辆，并控制所述车辆；和
控制服务器，将用于在包括自动驾驶在内的特殊模式下控制所述车辆的控制信号向所述车辆控制部输出，
所述控制服务器通过随机数生成而生成特殊模式控制用的公共密匙并向所述多个车辆的所述车辆控制部输出，并且将生成的所述公共密匙储存于存储部，
所述多个车辆的所述车辆控制部将所述控制服务器输出的所述公共密匙分别储存于具有保护数据的完整性和机密性的功能的安全存储机构，
所述控制服务器向所述多个车辆的车辆控制部分别输出将储存于所述存储部的所述公共密匙应用于所述控制信号而生成的所述控制信号的消息认证符和所述控制信号，
在将储存于所述安全存储机构的所述公共密匙应用于所述控制服务器输出的所述控制信号而生成的消息认证符、与所述控制服务器输出的消息认证符一致的情况下，所述多个车辆的车辆控制部分别执行基于所述控制信号的所述特殊模式下的控制，
所述控制服务器在结束所述特殊模式下的控制时删除储存于所述存储部的所述公共密匙。
3.根据权利要求1或2所述的车辆控制系统，其中，
在所述车辆存在于规定的场所内的情况下，执行所述特殊模式下的控制，
所述车辆具备能够定位当前位置的装置，并将所述当前位置向所述控制服务器输出，
在所述车辆的所述当前位置变为了所述规定的场所外的情况下，所述控制服务器删除所述公共密匙。
4.根据权利要求1～3中任一项所述的车辆控制系统，其中，
在不需要所述特殊模式下的控制的情况下，所述车辆控制部删除储存于所述安全存储机构的所述公共密匙。
5.根据权利要求4所述的车辆控制系统，其中，
在进行了所述车辆的出厂通知的情况下，所述车辆控制部删除储存于所述安全存储机构的所述公共密匙。
CN202111312788.6A 2021-01-14 2021-11-08 车辆控制系统 Active CN114834393B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2021004329A JP7400744B2 (ja) 2021-01-14 2021-01-14 車両制御システム
JP2021-004329 2021-01-14

Publications (2)

Publication Number Publication Date
CN114834393A CN114834393A (zh) 2022-08-02
CN114834393B true CN114834393B (zh) 2023-08-04

Family

ID=82322683

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111312788.6A Active CN114834393B (zh) 2021-01-14 2021-11-08 车辆控制系统

Country Status (3)

Country Link
US (1) US20220219709A1 (zh)
JP (1) JP7400744B2 (zh)
CN (1) CN114834393B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2024066480A (ja) * 2022-10-31 2024-05-15 トヨタ自動車株式会社 車両制御システム、車両製造方法、プログラム及び情報処理装置

Citations (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102771078A (zh) * 2010-02-24 2012-11-07 瑞萨电子株式会社 无线通信装置及认证处理方法
CN105009136A (zh) * 2012-12-24 2015-10-28 三星电子株式会社 用于认证和通信的crum芯片和成像设备及其方法
JP2016100632A (ja) * 2014-11-18 2016-05-30 株式会社東芝 通信システム及び通信装置
JP2017038143A (ja) * 2015-08-07 2017-02-16 株式会社デンソー 通信システム、送信ノード、及び受信ノード
CN106464498A (zh) * 2014-06-06 2017-02-22 欧贝特科技 由第二电子实体认证第一电子实体的方法以及实施这种方法的电子实体
WO2017126322A1 (ja) * 2016-01-18 2017-07-27 Kddi株式会社 車載コンピュータシステム、車両、鍵生成装置、管理方法、鍵生成方法、及びコンピュータプログラム
CN107306269A (zh) * 2016-04-18 2017-10-31 通用汽车环球科技运作有限责任公司 消息认证库
CN107710672A (zh) * 2015-07-03 2018-02-16 Kddi株式会社 软件分配处理装置、车辆、软件分配处理方法以及计算机程序
CN108496322A (zh) * 2016-01-18 2018-09-04 Kddi株式会社 车载计算机系统、车辆、密钥生成装置、管理方法、密钥生成方法以及计算机程序
CN109314640A (zh) * 2016-08-29 2019-02-05 Kddi株式会社 车辆信息收集系统、车载计算机、车辆信息收集装置、车辆信息收集方法以及计算机程序
CN110708388A (zh) * 2019-10-15 2020-01-17 大陆投资(中国)有限公司 用于提供安全服务的车身安全锚节点设备、方法以及网络系统
JP2020088836A (ja) * 2018-11-15 2020-06-04 Kddi株式会社 車両メンテナンスシステム、メンテナンスサーバ装置、管理サーバ装置、車載装置、メンテナンスツール、コンピュータプログラム及び車両メンテナンス方法
CN112202665A (zh) * 2020-09-30 2021-01-08 郑州信大捷安信息技术股份有限公司 一种车载安全网关及其数据通信方法

Family Cites Families (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4220803B2 (ja) * 2003-02-20 2009-02-04 トヨタ自動車株式会社 暗号化通信方法、移動端末および移動体
JP4909668B2 (ja) * 2006-07-24 2012-04-04 Ｋｄｄｉ株式会社 ハイブリッド暗号化装置およびハイブリッド暗号化方法
JP2012090231A (ja) * 2010-10-22 2012-05-10 Hagiwara Solutions Co Ltd 記憶装置及びセキュアイレース方法
FR2966626B1 (fr) * 2010-10-26 2013-04-19 Somfy Sas Procede de fonctionnement d'une unite mobile de commande d'une installation domotique.
JP5845393B2 (ja) * 2011-04-28 2016-01-20 パナソニックＩｐマネジメント株式会社 暗号通信装置および暗号通信システム
US10211977B1 (en) * 2013-02-12 2019-02-19 Amazon Technologies, Inc. Secure management of information using a security module
GB201314231D0 (en) * 2013-08-08 2013-09-25 Harwood William T Data Comparator Store
DE102014208838A1 (de) * 2014-05-12 2015-11-12 Robert Bosch Gmbh Verfahren zum Betreiben eines Steuergeräts
DE102015209116A1 (de) * 2015-05-19 2016-11-24 Robert Bosch Gmbh Verfahren und Aktualisierungsgateway zum Aktualisieren eines eingebetteten Steuergerätes
JP6345157B2 (ja) * 2015-06-29 2018-06-20 クラリオン株式会社 車載情報通信システム及び認証方法
US10285051B2 (en) * 2016-09-20 2019-05-07 2236008 Ontario Inc. In-vehicle networking
WO2018125989A2 (en) * 2016-12-30 2018-07-05 Intel Corporation The internet of things
US20180310173A1 (en) * 2017-04-25 2018-10-25 Kabushiki Kaisha Toshiba Information processing apparatus, information processing system, and information processing method
JP6874575B2 (ja) * 2017-07-19 2021-05-19 沖電気工業株式会社 同期システム、通信装置、同期プログラム及び同期方法
DE102017222879A1 (de) * 2017-12-15 2019-06-19 Volkswagen Aktiengesellschaft Vorrichtung, Verfahr, und Computerprogramm zum Freischalten von einer Fahrzeugkomponente, Fahrzeug-zu-Fahrzeug-Kommunikationsmodul
GB2569383A (en) * 2017-12-18 2019-06-19 Airbus Operations Ltd Tyre monitoring device and method
JP2019140577A (ja) 2018-02-13 2019-08-22 株式会社デンソー 電子制御装置及び通信システム
US10728230B2 (en) * 2018-07-05 2020-07-28 Dell Products L.P. Proximity-based authorization for encryption and decryption services
US11418351B2 (en) 2018-12-30 2022-08-16 Beijing Voyager Technology, Inc. Systems and methods for managing a compromised autonomous vehicle server
JP2020120235A (ja) 2019-01-23 2020-08-06 ソニー株式会社 情報処理装置、情報処理方法及び情報処理プログラム
US11019052B2 (en) 2019-03-25 2021-05-25 Uber Technologies, Inc. Vehicle integration platform (VIP) security integration
US11233650B2 (en) * 2019-03-25 2022-01-25 Micron Technology, Inc. Verifying identity of a vehicle entering a trust zone
KR20200130539A (ko) * 2019-05-08 2020-11-19 삼성전자주식회사 강력한 보안 기능을 제공하는 스토리지 장치 및 그 스토리지 장치를 포함하는 전자 장치
US20190319781A1 (en) * 2019-06-27 2019-10-17 Intel Corporation Deterministic Encryption Key Rotation
JP2021190819A (ja) * 2020-05-29 2021-12-13 三菱重工業株式会社 通信装置、通信方法及びプログラム

Patent Citations (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102771078A (zh) * 2010-02-24 2012-11-07 瑞萨电子株式会社 无线通信装置及认证处理方法
CN105009136A (zh) * 2012-12-24 2015-10-28 三星电子株式会社 用于认证和通信的crum芯片和成像设备及其方法
CN106464498A (zh) * 2014-06-06 2017-02-22 欧贝特科技 由第二电子实体认证第一电子实体的方法以及实施这种方法的电子实体
JP2016100632A (ja) * 2014-11-18 2016-05-30 株式会社東芝 通信システム及び通信装置
CN107710672A (zh) * 2015-07-03 2018-02-16 Kddi株式会社 软件分配处理装置、车辆、软件分配处理方法以及计算机程序
JP2017038143A (ja) * 2015-08-07 2017-02-16 株式会社デンソー 通信システム、送信ノード、及び受信ノード
CN108496322A (zh) * 2016-01-18 2018-09-04 Kddi株式会社 车载计算机系统、车辆、密钥生成装置、管理方法、密钥生成方法以及计算机程序
WO2017126322A1 (ja) * 2016-01-18 2017-07-27 Kddi株式会社 車載コンピュータシステム、車両、鍵生成装置、管理方法、鍵生成方法、及びコンピュータプログラム
CN107306269A (zh) * 2016-04-18 2017-10-31 通用汽车环球科技运作有限责任公司 消息认证库
CN109314640A (zh) * 2016-08-29 2019-02-05 Kddi株式会社 车辆信息收集系统、车载计算机、车辆信息收集装置、车辆信息收集方法以及计算机程序
JP2020088836A (ja) * 2018-11-15 2020-06-04 Kddi株式会社 車両メンテナンスシステム、メンテナンスサーバ装置、管理サーバ装置、車載装置、メンテナンスツール、コンピュータプログラム及び車両メンテナンス方法
CN110708388A (zh) * 2019-10-15 2020-01-17 大陆投资(中国)有限公司 用于提供安全服务的车身安全锚节点设备、方法以及网络系统
CN112202665A (zh) * 2020-09-30 2021-01-08 郑州信大捷安信息技术股份有限公司 一种车载安全网关及其数据通信方法

Also Published As

Publication number Publication date
US20220219709A1 (en) 2022-07-14
JP7400744B2 (ja) 2023-12-19
JP2022109024A (ja) 2022-07-27
CN114834393A (zh) 2022-08-02

Similar Documents

Publication Publication Date Title
JP6574535B2 (ja) グローバル自動車安全システム
US11314661B2 (en) Hardware security for an electronic control unit
JP6908563B2 (ja) セキュリティ処理方法及びサーバ
CN110582988B (zh) 安全的系统操作
US9298917B2 (en) Enhanced security SCADA systems and methods
JP6846706B2 (ja) 監視装置、監視方法およびコンピュータプログラム
JP6782444B2 (ja) 監視装置、監視方法およびコンピュータプログラム
WO2018135098A1 (ja) 監視装置、監視方法およびコンピュータプログラム
US10637647B2 (en) Control device including direct memory access controller for securing data and method thereof
JP7185098B2 (ja) コンピューティングデバイス間の不正なファームウェアまたはソフトウェアアップグレードの受動的な監視および防止
Kornaros et al. Hardware-assisted security in electronic control units: Secure automotive communications by utilizing one-time-programmable network on chip and firewalls
CN114834393B (zh) 车辆控制系统
US10404718B2 (en) Method and device for transmitting software
WO2020137852A1 (ja) 情報処理装置
US20230401317A1 (en) Security method and security device
EP3486832B1 (en) Semiconductor device, authentication system, and authentication method
CN112806034A (zh) 用于为车辆的控制设备提供通信的装置、方法和计算机程序，用于提供更新的方法、中央装置和计算机程序，控制设备和车辆
Potteiger et al. A tutorial on moving target defense approaches within automotive cyber-physical systems
EP3692698A1 (en) System and method for validation of authenticity of communication at in-vehicle networks
Chan et al. Towards a blockchain framework for autonomous vehicle system integrity
JP2021167985A (ja) 車載セキュリティシステムおよび攻撃対処方法
Potteiger A Moving Target Defense Approach Towards Security and Resilience in Cyber-Physical Systems
Andréasson et al. Device Attestation for In-Vehicle Network
Bißmeyer et al. PREparing SEcuRe VEhicle-to-X Communication Systems
CN106355085A (zh) 一种可信应用运行安全控制方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant