CN116583839A - 通信控制方法以及通信装置 - Google Patents

Abstract

本发明的通信控制方法是控制在车载ECU(40)与车辆(Au)外部之间进行的车外通信的控制方法。通信控制方法在由处理器(11)执行的处理中包含如下处理：代替车载ECU(40)准备连接用信息，其中，该连接用信息是由车载ECU(40)进行的与特定连接目的地(SCD)的车外通信所需的信息，并允许车载ECU(40)进行限定于使用该连接用信息的特定连接目的地(SCD)的车外通信。

Description

通信控制方法以及通信装置

相关申请的交叉引用

本申请以2020年12月8日在日本申请的日本专利申请第2020－203695号为基础，通过参照整体上引用基础申请的内容。

技术领域

本说明书的公开涉及控制车载ECU的车外通信的信息发送方法以及通信装置。

背景技术

在专利文献1中公开了使搭载于车辆的电子控制装置能够与外部网络进行车外通信的信息处理装置。在专利文献1的信息处理装置中，由于由代理部代为实施电子控制装置与外部网络的车外通信，所以能够合适地确保安全。

专利文献1：日本特开2014－165641号公报

专利文献1那样的搭载于车辆的代理部难以确保处理性能。因此，即使通过代理部来确保车外通信的安全标准，代理部也成为瓶颈，可能难以确保车外通信的网络性能。

发明内容

本公开的目的在于提供一种能够兼得网络性能和确保安全标准的通信控制方法以及通信装置。

为了实现上述目的，公开的一个方式是控制在车载ECU与车辆外部之间进行的车外通信的通信控制方法，在由至少一个处理器执行的处理中包含如下步骤：代替车载ECU准备连接用信息，其中，该连接用信息是由车载ECU进行的与特定连接目的地的车外通信所需的信息；以及允许车载ECU进行限定于使用连接用信息的特定连接目的地的车外通信。

另外，公开的一个方式是控制在车载ECU与车辆外部之间进行的车外通信的通信装置，具备：信息准备部，代替车载ECU准备连接用信息，其中，该连接用信息是由车载ECU进行的与特定连接目的地的车外通信所需的信息；以及允许设定部，允许车载ECU进行限定于使用连接用信息的特定连接目的地的车外通信。

在这些方式中，可以准备与特定连接目的地的车外通信所需的连接用信息，并提供给车载ECU。因此，车载ECU即使不与未充分确保可靠性的连接目的地实施车外通信，通过使用所准备的连接用信息，也能够实施与特定连接目的地的车外通信。因此，能够兼顾网络性能和确保安全标准。

另外，权利要求书等中的括号内的参照编号仅表示与后述的实施方式中的具体结构的对应关系的一个例子，并不对技术范围进行任何限制。

附图说明

图1是表示本公开的第一实施方式的通信处理系统的整体图像的图。

图2是表示使ACP(Automotive Communication Platform：汽车通信平台)引擎与ACP云同步的同步处理的详细的时序图。

图3是表示使车载ECU与应用服务器连接的连接处理的详细内容的时序图。

图4是表示本公开的第二实施方式的通信处理系统的整体图像的图。

图5是表示第二实施方式的连接处理的详细内容的时序图。

图6是表示本公开的第三实施方式的通信处理系统的整体图像的图。

图7是表示第三实施方式的连接处理的详细内容的时序图。

图8是表示本公开的第四实施方式的通信处理系统的整体图像的图。

图9是表示第四实施方式的连接处理的详细内容的时序图。

具体实施方式

以下，基于附图对本公开的多个实施方式进行说明。另外，有通过在各实施方式中对对应的构成要素标注相同的附图标记，而省略重复的说明的情况。当在各实施方式中仅对结构的一部分进行说明的情况下，对于该结构的其他部分能够应用先行说明的其他实施方式的结构。另外，不仅是在各实施方式的说明中明确示出的结构的组合，特别是只要组合未产生妨碍，则即使未明确示出也能够部分地组合多个实施方式的结构彼此。而且，多个实施方式以及变形例中所描述的结构彼此的未明确示出的组合也通过以下的说明来公开。

(第一实施方式)

图1所示的本公开的第一实施方式的通信处理系统通过控制在车辆Au外部的通信网络与车载ECU40之间进行的车外通信，能够使车载ECU40进行安全的车外通信。通信处理系统采用包含ACP云110a以及ACP引擎10a而成的汽车无线通信平台100。汽车无线通信平台100以每个车辆Au为单位，实现所有车载ECU40如与车外的网络常时连接那样的伪常时连接。以下，依次对构成通信处理系统的云系统以及车载系统等的详细内容进行说明。

云系统是通信处理系统中设置在车辆Au的外部的结构组。云系统包含应用服务器140、第三方服务器160以及云服务器110。应用服务器140、第三方服务器160以及云服务器110分别以能够通信的方式与作为车外的通信网络的WAN(Wide Area Network：广域网)150连接。

应用服务器140为车载ECU40的实际的连接目的地。应用服务器140与车载ECU40之间实施应用通信。在第一实施方式中，由后述的代理部128对应用服务器140以及车载ECU40间的应用通信进行中继。应用服务器140具有TLS(Transport Layer Security：传输层安全)服务器141。TLS服务器141与车载ECU40(后述的TLS连接客户端44)协作，执行与构建TLS相关的处理。通过构建TLS，能够进行车载ECU40和应用服务器140间的进行了加密的应用通信。

第三方服务器160例如是NTP(Network Time Protocol：网络时间协议)服务器160a、DNS(Domain Name System：域名系统)服务器160b以及证书有效性管理服务器160c等(参照图2)。NTP服务器160a是将表示当前时刻的时刻信息分发给其他节点的服务器装置。DNS服务器160b是向其他节点提供名称解析信息的服务器装置。具体而言，DNS服务器160b将与域名(例如，Abc.com)相关联的IP地址(例如，123.23.123.123)作为名称解析信息返回到域名的发送源。证书有效性管理服务器160c是向其他节点提供证书有效性信息的服务器装置。管理NTP服务器160a、DNS服务器160b以及证书有效性管理服务器160c的管理者是与管理云服务器110的管理者不同的管理者(第三方)。

云服务器110经由WAN150与多个应用服务器140连接。云服务器110与搭载于车辆Au的车载通信机10之间，能够通过经由移动体通信网的无线通信交换信息。云服务器110不仅能够通过移动体通信网那样的移动电话线路，也能够通过Wi－Fi(注册商标)以及V2X等无线通信，与车载通信机10进行通信。在云服务器110中，实现汽车无线通信平台100的云侧的功能的ACP云110a进行动作。ACP云110a从车载ECU40得到访问应用服务器140所需的信息(以下，连接用信息)的至少一部分，并将得到的连接用信息提供给车载通信机10。

另外，经由WAN150与云服务器110连接的车载通信机10可以为多个。即，云服务器110从多个车辆Au中选择一个或者多个车辆Au，并向搭载于该车辆Au的车载通信机10提供连接用信息。这样的云服务器110的安全等可靠性处于比应用服务器140以及第三方服务器160的可靠性容易确保的趋势。这是因为在车辆Au的开发过程中，作为与车载通信机10成为一体的系统，实施鉴于车辆生命周期的安全开发。

云服务器110是包含处理器111、RAM112以及存储介质113等作为主体的运算处理装置。云服务器110通过利用处理器111执行存储于存储介质113的程序，来实现ACP云110a的功能。云服务器110具备名称解析信息获取部126、证书有效信息获取部127、名称解析信息提供部123、证书有效信息提供部124、能否连接管理部121以及代理部128，作为ACP云110a的功能部。

名称解析信息获取部126从DNS服务器160b获取名称解析信息。具体而言，名称解析信息获取部126获取表示允许各个车载ECU40连接的特定的连接目的地(以下，特定连接目的地)SCD的名称解析信息。证书有效信息获取部127从证书有效性管理服务器160c获取证书有效信息。具体而言，证书有效信息获取部127获取有关特定连接目的地SCD的证书有效信息。

名称解析信息提供部123将由名称解析信息获取部126获取的名称解析信息提供给ACP引擎10a。证书有效信息提供部124将由证书有效信息获取部127获取的证书有效信息提供给ACP引擎10a。

在能否连接管理部121设定有指定与各个车载ECU40相关联的特定连接目的地SCD的指定信息。由云服务器110能够信赖的管理者、提供车辆Au的汽车制造商、汽车无线通信平台100的平台等在能否连接管理部121设定指定信息。能否连接管理部121使名称解析信息获取部126以及证书有效信息获取部127实施有关基于指定信息的特定连接目的地SCD的连接用信息的获取。能否连接管理部121通过名称解析信息提供部123以及证书有效信息提供部124将名称解析信息以及证书有效信息提供给ACP引擎10a，在ACP云110a与ACP引擎10a之间使连接用信息同步。能否连接管理部121管理在ACP云110a和ACP引擎10a间共享的连接用信息。

在第一实施方式中，代理部128设定为特定连接目的地SCD。车载ECU40作为应用服务器140的代理，实施与代理部128的通信。代理部128认证车载ECU40，代理部128能够代替认证出的车载ECU40，与应用服务器140连接。车载ECU40能够仅经由代理部128，与应用服务器140进行数据收发。根据这样的认证处理，无需向应用服务器开发者公开认证是否为正确的车辆Au(车载ECU40)的处理方法。

车载系统是通信处理系统中设置在车辆Au的内部的结构组。在车载系统包含车载通信机10以及一个或者多个车载ECU40。车载通信机10以及各车载ECU40分别以能够通信的方式与作为车内的通信网络的车内LAN(Local Area Network：局域网)50连接。车内LAN50是以Ethernet(注册商标，以太网)等为主体的IP网络。车载通信机10和车载ECU40的一部分例如也可以以USB等连接方式直接或间接地与车内LAN50连接。

车载通信机10被称为TCU(Telematics Control Unit：远程信息控制单元)或者DCM(Data Communication Module：数据通信模块)等，车载系统与外部能够进行无线通信。车载通信机10例如即使在驻车中等车辆Au的主电源具体而言是所谓的点火开关断开的状态的情况下，也继续能够进行无线通信的状态，维持与网络连接的联机状态。在车载通信机10中，实现汽车无线通信平台100的车辆侧的功能的ACP引擎10a进行动作。ACP引擎10a将允许终端ECU(车载ECU40)进行车外通信的特定连接目的地SCD限定于代理部128(或者应用服务器140)。

车载通信机10是包含具有处理器11、RAM12以及存储介质13等的微控制器作为主体的控制装置。车载通信机10通过利用处理器11执行存储于存储介质13的程序(通信控制程序)，来实现ACP引擎10a的功能。车载通信机10具备能否连接管理部21、同步部36、代替服务器部35、车内FW部28以及车外FW部29，作为ACP引擎10a的功能部。

能否连接管理部21管理各车载ECU40可以与何处连接。能否连接管理部21与ACP云110a的能否连接管理部121协作，实施与特定连接目的地SCD相关的信息的同步。由此，能否连接管理部21能够从车外的ACP云110a设定以及管理允许各车载ECU40连接的特定连接目的地SCD。能否连接管理部21包含信息准备部21a以及允许设定部21b作为子功能部。

信息准备部21a代替车载ECU40准备连接用信息，该连接用信息为由车载ECU40进行的与特定连接目的地SCD的车外通信所需的信息。信息准备部21a与同步部36协作，通过车外通信获取连接用信息。信息准备部21a既可以从ACP云110a获取连接用信息，也可以从第三方服务器160直接获取连接用信息。第一实施方式的信息准备部21a从ACP云110a得到名称解析信息以及证书有效信息，并从NTP服务器160a得到时刻信息。信息准备部21a将由同步部36获取的连接用信息设置在代替服务器部35。

允许设定部21b允许车载ECU40进行限定于使用由信息准备部21a准备的连接用信息的特定连接目的地SCD的车外通信。允许设定部21b代替车外的第三方服务器160，进行车载ECU40(目的地服务器设定部41)的设定，以从代替服务器部35获取连接用信息。允许设定部21b根据名称解析信息来确定允许车载ECU40连接的车外的连接目的地。名称解析信息是特定连接目的地SCD的IP地址，兼为指定与车载ECU40相关联的特定连接目的地SCD的指定信息。第一实施方式的允许设定部21b允许车载ECU40仅与代理部128的连接。

具体而言，允许设定部21b限制针对从车载ECU40向ACP引擎10a的用于名称解析的访问的响应。允许设定部21b仅对允许与车载ECU40进行数据收发的应用服务器140或者代理部128的域名，不响应代理部128的IP地址及其连接所涉及的信息。这里的连接所涉及的信息包含代理部128能够对在向代理部128的连接请求时为了防止该请求数据包的窃听而进行了加密的数据包进行解密的公开密钥。允许设定部21b与车外FW部29协作，使由车载ECU40进行的车外通信仅通过发往代理部128的通信。

同步部36与能否连接管理部21协作，实施ACP引擎10a与ACP云110a的同步，也就是ACP引擎10a与第三方服务器160的信息共享。同步部36包含时刻获取部25、名称解析信息获取部26以及证书有效信息获取部27作为子功能部。时刻获取部25通过与作为第三方服务器160的NTP服务器160a的同步，来获取时刻信息。名称解析信息获取部26通过与ACP云110a的名称解析信息获取部126的同步，来获取名称解析信息。证书有效信息获取部27通过与ACP云110a的证书有效信息获取部127的同步，来获取证书有效信息。

代替服务器部35代替第三方服务器160向车载ECU40提供连接用信息。代替服务器部35代理由车载ECU40进行的与车外的安全连接所需的步骤中与各第三方服务器160的信号交换，并代替各第三方服务器160对来自车载ECU40的请求进行响应。

代替服务器部35包含时刻分发服务器22、名称解析服务器23以及证书有效性管理服务器24作为子功能部。时刻分发服务器22保持由时刻获取部25获取的时刻信息。时刻分发服务器22根据来自车载ECU40的请求，代替NTP服务器160a使时刻信息与车载ECU40同步。名称解析服务器23保持由名称解析信息获取部26获取的名称解析信息。名称解析服务器23根据来自车载ECU40的请求，代替DNS服务器160b使名称解析信息与车载ECU40同步。证书有效性管理服务器24保持由证书有效信息获取部27获取的证书有效信息。证书有效性管理服务器24根据来自车载ECU40的请求，代替证书有效性管理服务器160c使证书有效信息与车载ECU40同步。

在ACP引擎10a中，车内FW(Firewall：防火墙)部28设置在与车内LAN50的连接部分。ACP引擎10a与车内LAN50的通信一定通过车内FW部28。车内FW部28对于从车内LAN50向ACP引擎10a的车内通信以及从ACP引擎10a向车内LAN50的车内通信，切断基于规定的基准判断为非法的通信。

在ACP引擎10a中，车外FW部29设置在与WAN150的连接部分。ACP引擎10a与WAN150的通信一定通过车外FW部29。车外FW部29切断车载系统和WAN150间的车外通信中基于规定的基准判断为非法的通信。车外FW部29能够限制从车载ECU40向WAN150的车外通信。具体而言，车外FW部29将车载ECU40能够进行车外通信的连接目的地仅限制于特定连接目的地SCD。作为一个例子，车外FW部29使用从允许设定部21b获取的名称解析信息的IP地址，通过最低限度的限制规则，将能够访问的连接目的地限定为代理部128(或者应用服务器140)。

另外，构成车载系统的多个车载ECU40中的一部分也可以不使用车外通信控制的ACP引擎10a的机构。由于每个车载ECU40的IP地址不同，所以ACP引擎10a能够识别应用控制车外通信的机构的车载ECU40和未应用控制车外通信的机构的车载ECU40。并且，在能够通过端口号唯一地识别应用的系统结构的情况下，ACP引擎10a即使在相同的IP地址的车载ECU40上，也能够识别应用的应用和未应用的应用。因此，ACP引擎10a能够使应用的车载ECU40和未应用的车载ECU40在车载系统中共存。

车载ECU40是搭载于车辆Au的控制装置，包含微控制器作为主体。车载ECU40相当于车载系统中的终端ECU。车载ECU40可以是车身系统的ECU、车辆控制系统的ECU、ADAS系统或者自动驾驶系统的ECU、HMI系统的ECU中的任意一个。车载ECU40能够执行一个或者多个应用程序40a。应用程序40a通过与应用服务器140之间实施应用通信，而向车辆Au的用户提供各种服务。车载ECU40与车载通信机10不同，在车辆Au的电源为断开状态的情况下，为了抑制消耗电力原则上成为断开状态。

另外，也可以在多个车载ECU40中的一部分不安装应用程序40a。另外，车载通信机10也可以作为兼作车载ECU40的结构设置于车载系统，而能够执行应用程序40a。

车载ECU40具备目的地服务器设定部41、密钥管理设备42以及TLS连接客户端44，作为在ACP引擎10a与应用程序40a之间进行数据的中继处理的功能部。目的地服务器设定部41将时刻信息、名称解析信息以及证书有效信息的同步目的地设定为ACP引擎10a的IP地址。密钥管理设备42作为在硬件上与其他电路部独立的结构设置于车载ECU40。密钥管理设备42既可以作为单独的IC来设置，也可以在一个IC中在硬件上与其他电路部分离。目的地服务器设定部41能够独立地管理为只能够通过对密钥本身的访问以及使用密钥的运算等特定的方法来实施。密钥管理设备42管理用于特定连接目的地SCD的认证的密钥信息。TLS连接客户端44使用由密钥管理设备42管理的密钥信息，来认证作为特定连接目的地SCD的代理部128是否为合法的访问目的地。若特定连接目的地SCD的认证(服务器认证)和由服务器侧进行的车载ECU40的认证(客户端认证)完成，则构建车载ECU40以及代理部128间的安全连接。

接下来，以下基于图2和图3，并参照图1，对为了实现本公开的通信控制方法而在通信处理系统中实施的各处理的详细内容进行说明。

在图2所示的同步处理中，实施ACP云110a与ACP引擎10a的同步。根据同步处理，成为在ACP引擎10a中准备了连接用信息的状态。

在同步处理的S11中，在时刻获取部25与NTP服务器160a之间，实施时刻信息的同步。在S12中，ACP云110a在ACP云110a的能否连接管理部121，对各车辆Au的各车载ECU40设定允许连接的特定连接目的地SCD。在S12中，ACP云110a使指定信息与多个车载ECU40中的每一个相关联，指定每个车载ECU40的特定连接目的地SCD。

在S13中，能否连接管理部121获取连接用信息。在S14中，在DNS服务器160b与名称解析信息获取部126之间，共享名称解析信息。在S15中，在证书有效性管理服务器160c与证书有效信息获取部127之间，共享证书有效信息。另外，也可以代替从第三方服务器160的获取，而由ACP云110a的管理者向ACP云110a提供各连接用信息。

在S16中，实施从ACP云110a向ACP引擎10a提供连接用信息。在S16中，通过与预先设定的ACP云110a的车外通信，ACP引擎10a获取由ACP云110a管理的连接用信息。在S17中，ACP引擎10a的能否连接管理部21得到连接用信息。根据S16和S17，在名称解析信息提供部123以及证书有效信息提供部124、和名称解析信息获取部26以及证书有效信息获取部27之间，使名称解析信息以及证书有效信息同步。名称解析信息兼作与车载ECU40相关联的指定信息，是允许车载ECU40进行车外通信的特定连接目的地SCD的IP地址。

在S18中，在代替服务器部35设定S11和S16中的通过车外通信获取的连接用信息。如上述那样，代替服务器部35能够通过经由车内LAN50的车内通信，向车载ECU40提供连接用信息，而车载ECU40不进行车外连接。其结果是，代替车载ECU40而通过能否连接管理部21准备由车载ECU40进行的与特定连接目的地SCD的车外通信所需的连接用信息。

在S19中，能否连接管理部21允许车载ECU40进行限定于使用连接用信息的特定连接目的地SCD的车外通信。在第一实施方式中，对从车载ECU40向应用服务器140的车外通信进行中继的代理部128设定为车载ECU40的特定连接目的地SCD。在S19中，变更车外FW部29的过滤设定以允许向指定信息所表示的IP地址的车外通信。

在图3所示的连接处理中，在车载ECU40与代理部128之间构建加密通信路径。在加密通信路径中流动的应用通信的内容仅能够由相互进行了认证的车载ECU40以及代理部128掌握。即，ACP引擎10a不能掌握应用通信的内容。

在S31中，作为车载ECU40中的初始处理，目的地服务器设定部41将获取连接用信息的访问目的地设定为ACP引擎10a的代替服务器部35。

在S32中，掌握有无时刻信息，在没有时刻信息的情况下，通过向ACP引擎10a的时刻分发服务器22的车内通信来获取时刻信息。在S33中，通过向ACP引擎10a的名称解析服务器23的车内通信获取来名称解析信息。由于通过同步处理在ACP引擎10a中预先准备有各信息，所以在S32和S33中，也可以不实施向第三方服务器160的车外通信(参照虚线的箭头)。

在S34中，向代理部128实施连接请求，所谓的TLS协商。在S35中，对ACP引擎10a的证书有效性管理服务器24实施证书有效信息的失效确认。在S35中，也可以省略向第三方服务器160的车外通信(参照虚线的箭头)。在S36中，使用在密钥管理设备42中管理的密钥信息，来实施作为特定连接目的地SCD的代理部128与车载ECU40的相互认证，即服务器认证以及客户端认证处理。在S37中，实施认证信息以及密钥交换。由此，车载ECU40和代理部128间的TLS构建完成。此时，在代理部128和应用服务器140间，进行TLS构建的一系列连接序列完成。其结果是，在S38和S39中，在车载ECU40和代理部128以及代理部128和应用服务器140的加密路径上，开始车载ECU40上的应用程序40a与对应的应用服务器140之间的数据收发。

在以上说明的第一实施方式中，能够预先在ACP引擎10a准备向充分确保可靠性的特定连接目的地SCD的车外通信所需的连接用信息，并从ACP引擎10a提供给车载ECU40。因此，车载ECU40也可以不实施与未充分确保可靠性的连接目的地，具体而言为第三方服务器160、由第三方开发以及提供的应用服务器140的车外通信。即，车载ECU40能够通过使用在ACP引擎10a准备的连接用信息，来实施与特定连接目的地SCD的车外通信。因此，能够兼顾网络性能和确保安全标准。

若更详细地进行说明，则在通过具有代理功能的ECU(以下，称为代理ECU)完全代替由车载ECU进行的车外通信的比较例中，特别是通过代理ECU来进行代理中继处理的车载用处理器的处理能力降低。由此，容易产生生产率的限制以及通信延迟。即使尝试改进比较例，使得车载ECU仅能够直接实施与能够信赖的云上的代理服务器的车外通信，与能够信赖的云上的代理服务器的安全连接也需要向可靠性不足的第三方服务器160的连接。另一方面，在上述的第一实施方式中，由ACP引擎10a代替车载ECU40来实施与可靠性不足的第三方服务器160的车外通信，并能够向车载ECU40响应安全连接所需的连接用信息。其结果是，能够排除可靠性不足的连接并且无需向车内配置代理ECU，能够兼顾网络性能和确保安全标准。

除此之外，第一实施方式的车载通信机10将通过车外通信获取的连接用信息设定于代替服务器部35。然后，通过车内通信从代替服务器部35将连接用信息提供给车载ECU40。这样，若在代替服务器部35准备连接用信息，则能够省略车载通信机10与第三方服务器160的车外通信(参照图3的虚线箭头)。因此，能够迅速地开始由车载ECU40进行的车外通信，并抑制由第三方服务器160的冒充所带来的对车载ECU40的攻击风险。

另外，第一实施方式的ACP引擎10a通过与预先设定的ACP云110a的车外通信，来获取由能否连接管理部121管理可靠性的连接用信息。根据以上，能够实现风险的进一步降低。

并且，第一实施方式的ACP引擎10a从ACP云110a获取名称解析信息，作为指定与车载ECU40相关联的特定连接目的地SCD的指定信息。能否连接管理部21变更车外FW部29的设定，使得允许向名称解析信息所示的特定连接目的地SCD的车外通信。根据以上，能够从ACP云110a侧管理允许车载ECU40连接的连接目的地。

除此之外，在第一实施方式中，将对车外通信进行中继的代理部128设定为特定连接目的地SCD。因此，车载ECU40的连接目的地被限定于严格管理的ACP云110a。根据以上，能够进一步降低由应用服务器140引起的安全风险。另外，在第一实施方式中，ACP云110a相当于“连接管理部”，车载通信机10相当于“通信装置”。

(第二实施方式)

图4和图5所示的本公开的第二实施方式是第一实施方式的变形例。在第二实施方式的通信处理系统中，从ACP云110a省略了代理部128。除此之外，在第二实施方式中，通过ACP引擎10a代理由车载ECU40进行的认证处理。以下，依次对第二实施方式中的ACP引擎10a和车载ECU40的详细内容、以及同步处理和连接处理(参照图5)的详细内容进行说明。

ACP引擎10a具有加密通信部31、密钥管理设备32以及认证处理部33。加密通信部31对通过车内LAN50的车内通信进行加密。加密通信部31能够与车载ECU40的加密通信部45之间进行ECU间的加密通信。

密钥管理设备32是与第一实施方式的密钥管理设备42(参照图1)实质相同的结构。密钥管理设备32保管用于特定连接目的地SCD的认证的密钥信息。密钥管理设备32作为在硬件上与其他电路部独立的结构(Hardware Security Module：硬件安全模块，HSM)设置于车载通信机10。密钥管理设备32通过从外部给予随机数，并向外部返回与在内部具有的秘密的密钥信息进行运算的结果的处理，能够实施基于签名验证以及赋予签名的认证处理，而不将密钥信息送出到设备外部。

认证处理部33基于来自车载ECU40的认证转让，来认证成为车载ECU40的通信目的地的应用服务器140。认证处理部33能够利用安装于车载通信机10的现有的运算资源，来实施应用服务器140的认证处理。另外，在图4中，省略了信息准备部21a(参照图1)以及允许设定部21b(参照图1)的图示。

车载ECU40代替密钥管理设备42(参照图1)，而具有加密通信部45。由于省略密钥管理设备42，而简化车载ECU40的结构。加密通信部45能够与ACP引擎10a的加密通信部31协作，进行ACP引擎10a和车载ECU40间的进行了加密的通信。加密通信部45通过加密后的车内通信从车载ECU40获取基于由认证处理部33实施的运算结果的认证信息。

在这里，在第二实施方式中，由于将认证处理从车载ECU40转让给车载通信机10，所以若被有恶意者盗取认证信息，则能够进行伪装为合法的客户端的非法通信。作为这样的窃听对策，需要对车载ECU40和ACP引擎10a间的通信加密。作为一个例子，各加密通信部31、45进行与车辆Au的车门的解锁等等同的加密通信，保护认证信息。

第二实施方式的同步处理(参照图2)整体上与第一实施方式实质相同。在第二实施方式中，由于车载ECU40的特定连接目的地SCD为应用服务器140，所以ACP引擎10a在连接用信息的准备处理(参照图2的S16～S18)中，获取应用服务器140的IP地址作为名称解析信息。并且，车外FW部29的过滤设定基于名称解析信息，变更为使从车载ECU40向应用服务器140的连接通过的设定(参照图2的S19)。

在第二实施方式的连接处理中，S31～S35的处理与第一实施方式实质相同。但是，在S34中，在车载ECU40与应用服务器140之间实施TLS协商。在第二实施方式中，也从ACP引擎10a的代替服务器部35向车载ECU40提供连接用信息。由此，能够省略从ACP引擎10a向第三方服务器160的车外访问。

在S236中，进行从车载ECU40向ACP引擎10a的认证处理的转让以及请求。通过各加密通信部31、45对与认证处理的转让以及请求相关的通信进行加密。

在S237中，通过10a的认证处理部33实施使用了由密钥管理设备32管理的密钥信息的认证处理。在S237中，实施用于服务器认证处理以及客户端认证处理的签名的处理。

在S238中，ACP引擎10a将S237的认证信息提供给作为认证处理的请求源的车载ECU40。通过各加密通信部31、45对S238中的认证信息的发送进行加密。

在S239中，将从ACP引擎10a接受的认证信息从车载ECU40交给应用服务器140。并且，实施公开密钥的交换。由此，应用服务器140中的认证完成，构建车载ECU40和应用服务器140间的TLS。其结果是，在S240中，开始加密后的应用通信。

在以上说明的第二实施方式中，由于将由ACP引擎10a准备的连接用信息提供给车载ECU40，所以可以省略从车载ECU40向第三方服务器160的车外通信以及向车内的代理ECU的配置。因此，能够起到与第一实施方式相同的效果，兼顾网络性能与确保安全标准。

除此之外，在第二实施方式中，使用由密钥管理设备32管理的密钥信息来认证特定连接目的地SCD，并将基于该认证结果的认证信息提供给车载ECU40。这样，若实施从车载ECU40向ACP引擎10a的认证转让，则不需要各车载ECU40的密钥管理设备42(参照图1)。成为密钥管理设备32、42的HSM需要管理运用密钥信息的基础，由于注册以及废弃等的运用很困难，所以成为高成本。因此，通过密钥管理设备32的汇总而降低车载系统所需的安全成本的总额。并且，车载ECU40的运算处理能力较低，通过例如将非对称密钥加密、比特长度较长的加密那样的伴随着高负荷运算的认证处理转让给ACP引擎10a，能够实现ACP引擎10a同等的确保安全连接标准。另外，在第二实施方式中，密钥管理设备32相当于“密钥管理部”。

(第三实施方式)

图6和图7所示的本公开的第三实施方式是第一实施方式的其他变形例。在第三实施方式中，与第二实施方式同样地，将车载ECU40的特定连接目的地SCD设定为应用服务器140。由此，在连接处理的S34中，在车载ECU40与应用服务器140之间实施TLS协商。并且，在S36中，实施车载ECU40和应用服务器140间的相互认证。然后，在S37中，在车载ECU40和应用服务器140间交换认证信息以及密钥信息。由此，应用服务器140中的认证完成，构建车载ECU40和应用服务器140间的TLS，从而在S38中，开始加密后的应用通信。

在以上说明的第三实施方式中，由于将由ACP引擎10a准备的连接用信息提供给车载ECU40，所以可以省略从车载ECU40向第三方服务器160的车外通信。因此，能够起到与第一实施方式相同的效果，兼顾网络性能和确保安全标准。

(第四实施方式)

图8和图9所示的本公开的第四实施方式是第二实施方式的变形例。第四实施方式的ACP云110a具有认证处理部129。认证处理部129代替应用服务器140来认证访问应用服务器140的车载ECU40。以下，对第四实施方式的连接处理的详细内容进行说明。另外，第四实施方式的同步处理的S31～S35以及S236～S238的处理与第一实施方式以及第二实施方式实质相同。

在连接处理的S439中，车载ECU40实施与应用服务器140的通信。在S439中，车载ECU40和应用服务器140交换认证信息以及密钥信息。

在S440中，从应用服务器140向认证处理部129委托认证处理的代理。具体而言，在S440中，进行从应用服务器140向认证处理部129的认证处理的转让以及请求。认证处理部129基于来自应用服务器140的请求，使用发送到应用服务器140的认证信息，来实施车载ECU40的认证处理。认证处理部129将认证信息提供给作为请求源的应用服务器140。在S441中，基于在S440中获取的认证信息，来构建应用服务器140和车载ECU40间的TLS。由此，开始加密后的应用通信。

在以上说明的第四实施方式中，由于将由ACP引擎10a准备的连接用信息提供给车载ECU40，所以可以省略从车载ECU40向第三方服务器160的车外通信。因此，能够起到与第二实施方式相同的效果，兼顾网络性能和确保安全标准。

除此之外，在第四实施方式中，认证处理部129代替应用服务器140来认证车载ECU40。因此，无需将认证是否为正确的车载ECU40的认证信息以及规格信息交给多个应用服务器140。其结果是，容易确保从车载ECU40向应用服务器140的访问的安全标准确保。

(其他实施方式)

以上，对本公开的多个实施方式进行了说明，但本公开并不限定于上述实施方式来解释，能够在不脱离本公开的主旨的范围内应用于各种实施方式以及组合。

上述第一实施方式的通信控制系统通过将特定连接目的地SCD设定为代理部128，可以消除通信的瓶颈。因此，例如可以仅将控制系统的车载ECU40等安全风险相对较高的特定的车载ECU40作为与代理部128连接的对象。这样的第一实施方式是假定无需保证极低延迟的使用情况的方式。

在上述第二实施方式中，通过将认证处理汇总到ACP引擎10a，能够降低安全对策成本的总额，即使在以低性能处理器为主体的车载ECU40中也能够确保安全标准。因此，第二实施方式适合于使安全风险相对较高的车载ECU40、以低性能处理器为主体的车载ECU40实施车外通信的使用情况。

上述第三实施方式能够减少从上述比较例的结构的变更。因此，第三实施方式适合于使安全风险相对较高的车载ECU40实施车外通信的使用情况。

在上述第四实施方式中，无需向服务器开发运营商等以及多个服务器提供认证车辆Au的机构以及功能。另外，第四实施方式适合于远程控制那样的需要保证极低延迟的使用情况。作为一个例子，能够在被称为所谓的移动边缘计算的蜂窝的核心网络内配置TLS终端服务器(相当于应用服务器)，实现低延迟连接。在这样的系统结构中，由于不访问因特网，所以能够实现低延迟化。另一方面，也假定需要按照构成核心网络的区域单位进行服务器设置，并且成为核心网络运营商(基础设施运营商)的管辖，与其他用户共享，所以车辆Au的安全管理变得困难。本公开的通信控制系统也适合于这样的网络。

在上述实施方式的变形例1中，从ACP云110a交给ACP引擎10a的连接用信息中设定有效期限。当在有效期限内没有连接用信息的查询的情况下，ACP云110a使提供给ACP引擎10a的连接用信息无效。例如，假定租赁车辆的返还日期，来设定有效期限。与具有以上的功能的终端连接的云服务器110独立地管理以及更新对每个车辆Au、车载ECU40以及应用程序40a允许的连接用信息。

在上述实施方式的变形例2中，为在从ACP引擎10a向车载ECU40提供连接用信息时，ACP引擎10a也不访问第三方服务器160的结构。ACP引擎10a从ACP云110a获取所有向车载ECU40的连接用信息。

在上述实施方式中，在向第三方服务器160询问的DNS的数据包中以明文包含车载ECU40的连接目的地的域名。因此，在监听来自车辆Au的车外通信的情况下，也存在确定该车辆Au所访问的域名的风险。因此，在上述实施方式的变形例3中，在ACP引擎10a和ACP云110a间的加密通信路径上，实施上述的交换。由此，难以从车外监听车载ECU40的连接目的地。与具有这样的功能的终端连接的云服务器110访问第三方服务器160。其结果是，提供一种伴随着包含安全对策的时代发展，即使不实施车载ECU40的变更或者更新，也能够立即追随第三方服务器160的规格变更、以及认证方式变更和追加等的系统。

在上述实施方式的变形例4中，从ACP引擎10a省略了代替服务器部35。变形例1的ACP引擎10a基于来自车载ECU40的请求，从第三方服务器160或者ACP云110a依次获取连接用信息。

在上述实施方式的变形例5中，ACP引擎10a从第三方服务器160获取连接用信息，并设定为代替服务器部35。即，在ACP云110a中，省略了能否连接管理部121的连接用信息的提供功能。在这样的变形例5中，也省略对各车载ECU40指定特定连接目的地SCD的能否连接管理部121。

如上述那样，上述实施方式的密钥管理设备可以是IC本身与其他硬件分离的方式、在同一IC内与其他硬件部分分离的方式等。并且，密钥管理设备也可以是权限管理以及签名等在软件上分离的方式。

在上述实施方式中，也能够通过软件以及执行该软件的硬件、仅通过软件、仅通过硬件、或者通过它们的复合的组合来提供由车载通信机10以及云服务器110提供的各功能。并且，在通过作为硬件的电子电路来提供这样的功能的情况下，也可以通过包含多个逻辑电路的数字电路、或者模拟电路来提供各功能。

在上述实施方式中，各处理器11、111分别是与RAM12、112结合的用于运算处理的硬件，是实现本公开的信息发送方法的计算机的主体构成。各处理器11、111是包含至少一个CPU(Central Processing Unit：中央处理器)等运算核心的结构。包含处理器11、111的处理电路也可以是将FPGA(Field-Programmable Gate Array：现场可编程门阵列)以及ASIC(Application-Specific Integrated Circuit：专用集成电路)作为主体的结构。

存储介质13、113是包含非易失性的存储介质的结构。在各存储介质13、113中储存有用于由各处理器11、111执行来实现上述的通信控制方法的各种程序(通信控制程序)。这样的存储介质13、113的方式可以适当地变更。例如，存储介质13、113并不限定于设置在电路基板上的结构，也可以是以存储卡等形式提供，插入到插口部，并与车载通信机10以及云服务器110的处理电路电连接的结构。并且，存储介质13、113也可以是成为程序的复制基础的光盘以及硬盘驱动器等。

本公开所记载的控制部及其方法也可以由专用计算机来实现，该专用计算机构成被编程为执行通过计算机程序具体化的一个或者多个功能的处理器。或者，本公开所记载的装置及其方法也可以通过专用硬件逻辑电路来实现。或者，本公开所记载的装置及其方法也可以由一个以上的专用计算机来实现，该一个以上的专用计算机通过执行计算机程序的处理器与一个以上的硬件逻辑电路的组合构成。另外，计算机程序也可以作为由计算机执行的指令，存储于计算机可读取的非过渡有形记录介质。

Claims (8)

1.一种通信控制方法，是控制在车载ECU(40)与车辆(Au)外部之间进行的车外通信的通信控制方法，其中，

在由至少一个处理器(11)执行的处理中包含如下步骤：

代替上述车载ECU准备连接用信息，其中，上述连接用信息是由上述车载ECU进行的与特定连接目的地(SCD)的上述车外通信所需的信息(S16～S18)；以及

允许上述车载ECU进行限定于使用上述连接用信息的上述特定连接目的地的上述车外通信(S19)。

2.根据权利要求1所述的通信控制方法，其中，

在准备上述连接用信息的步骤中，在代替服务器部(35)中设定通过上述车外通信获取的上述连接用信息，其中，上述代替服务器部通过车内通信向上述车载ECU提供上述连接用信息。

3.根据权利要求1或2所述的通信控制方法，其中，

在准备上述连接用信息的步骤中，通过与预先设定的连接管理部(110a)的上述车外通信，获取由上述连接管理部管理的上述连接用信息。

4.根据权利要求3所述的通信控制方法，其中，

还包含如下步骤：从上述连接管理部获取指定信息，其中，上述指定信息指定与上述车载ECU相关联的上述特定连接目的地(S17)，

在允许上述车外通信的步骤中，允许上述车载ECU进行与上述指定信息所示的上述特定连接目的地的上述车外通信。

5.根据权利要求1～4中任一项所述的通信控制方法，其中，还包含如下步骤：

使用由密钥管理部(32)管理的密钥信息来认证上述特定连接目的地(S237)；以及

将基于上述特定连接目的地的认证结果的认证信息提供给上述车载ECU(S238)。

6.根据权利要求1～5中任一项所述的通信控制方法，其中，

在允许上述车外通信的步骤中，将对上述车外通信进行中继的代理部(128)设定为上述特定连接目的地。

7.根据权利要求1～5中任一项所述的通信控制方法，其中，

还包含如下步骤：认证处理部(129)代替上述特定连接目的地来认证访问上述特定连接目的地的上述车载ECU(S440)。

8.一种通信装置，是控制在车载ECU(40)与车辆(Au)外部之间进行的车外通信的通信装置，具备：

信息准备部(21a)，代替上述车载ECU准备连接用信息，其中，上述连接用信息是由上述车载ECU进行的与特定连接目的地(SCD)的上述车外通信所需的信息；以及

允许设定部(21b)，允许上述车载ECU进行限定于使用上述连接用信息的上述特定连接目的地的上述车外通信。