-
QUERVERWEIS AUF VERWANDTE ANMELDUNGEN
-
Diese Anmeldung basiert auf und beansprucht die Priorität der am 22. April 2010 eingereichten
japanischen Patentanmeldung Nr. 2010-98952 , auf deren Offenbarung hiermit vollinhaltlich Bezug genommen wird.
-
HINTERGRUND
-
(Technisches Gebiet der Erfindung)
-
Die vorliegende Erfindung betrifft ein Kommunikationssystem zum Senden und Empfangen von Kommunikationsdaten zusammen mit diesen beigefügten Signaturdaten zur Verifizierung der Kommunikationsdaten.
-
(Stand der Technik)
-
In den vergangenen Jahren ist angedacht worden, ein System auf den Markt zu bringen, das dazu ausgelegt ist, Fahrzeuginformation, wie beispielsweise eine Fahrzeugposition, eine Fahrzeuggeschwindigkeit, eine Fahrtrichtung und einen Betätigungszustand einer Bremse, mit in der Umgebung befindlichen Fahrzeugen durch eine Fahrzeug-Fahrzeug-Kommunikation auszutauschen, um den Fahrer eines eigenen Fahrzeugs über das Risiko einer Kollision mit einem oder mehreren der in der Umgebung befindlichen Fahrzeuge zu informieren, um so eine bevorstehende Kollision an einer unübersichtlichen bzw. nicht einsehbaren Kreuzung zu vermeiden, bevor die Kollision erfolgt. Die
JP 2009-081524 offenbart solch ein System.
-
Bei dem obigen System liegt eine der Hauptaufgaben darin, eine Validität von Kommunikationsdaten sicherzustellen. Bekannt ist eine Lösung, gemäß der ein elektronisches Signaturverfahren auf der Grundlage eines Verschlüsselungssystems mit einem öffentlichen Schlüssel angewandt wird.
-
Insbesondere werden gemäß dem elektronischen Signaturverfahren Verifizierungsdaten A (wie beispielsweise ein durch eine Hash-Funktion erzeugter Message Digest), die aus den zu verifizierenden Kommunikationsdaten erzeugt werden, bei dem einen öffentlichen Schlüssel verwendenden Verschlüsselungssystem mit einem privaten Schlüssel verschlüsselt, um verschlüsselte Daten zu erzeugen. Die Kommunikationsdaten werden zusammen mit diesen (Kommunikationsdaten) beigefügten Signaturdaten, welche die verschlüsselten Daten, einen öffentlichen Schlüssel, der zur Entschlüsselung der verschlüsselten Daten verwendet wird, und ein elektronisches Zertifikat, um den öffentlichen Schlüssel zu verifizieren, aufweisen, zu einem Kommunikationspartner übertragen. Wenn die Signaturdaten empfangen werden, versucht der Kommunikationspartner, den empfangenen öffentlichen Schlüssel mit dem empfangenen elektronischen Zertifikat zu verifizieren, und stellt anschließend die Verifizierungsdaten A wieder her, indem er die verschlüsselten Daten mit dem öffentlichen Schlüssel, der verifiziert worden ist, entschlüsselt. Es wird überprüft, ob die empfangenen Kommunikationsdaten manipuliert worden sind oder nicht, indem die wiederhergestellten Verifizierungsdaten A mit Verifizierungsdaten B verglichen werden, die aus den empfangenen Kommunikationsdaten erzeugt werden. Die empfangenen Kommunikationsdaten werden für gültig erklärt, wenn die Verifizierungsdaten A und B übereinstimmen.
-
Bei dem elektronischen Signaturverfahren auf der Grundlage des einen öffentlichen Schlüssel verwendenden Verschlüsselungssystems wird jedoch ein größerer öffentlicher Schlüssel benötigt, um eine höhere Zuverlässigkeit zu gewährleisten, was eine höhere Menge an Signaturdaten zur Folge hat.
-
Bei dem obigen Verfahren tritt der folgende Nachteil auf. In Fällen, in denen nur eine verhältnismäßig geringe Menge von Kommunikationsdaten bei jeder Kommunikation gesendet/empfangen werden darf und die Kommunikationsdaten von der Datenmange mit den Signaturdaten vergleichbar sind, wird ein Overhead für die Signaturdaten vergrößert, was zu einer Verringerung der Kommunikationseffizienz führt (siehe 11).
-
Insbesondere ist bei dem obigen Fahrzeug-Fahrzeug-Kommunikationssystem ein regelmäßiger (oder periodischer) Austausch von Daten erforderlich. Ferner wird angenommen, dass ausgetauschte Daten (d. h. die Fahrzeuginformation) bei jeder Kommunikation eine Größe von 100 Byte aufweisen, während die Signaturdaten eine Größe von wenigstens 200 Byte aufweisen. D. h., wenn die Signaturdaten den auszutauschenden Daten beigefügt werden, wird sich eine Gesamtmenge von Daten, die für jede Kommunikation erforderlich ist, auf das Zwei- oder Dreifache erhöhen.
-
Eine Datenmenge, die bei jeder Kommunikation ausgetauscht werden kann (d. h. die Größe eines Kommunikationsrahmens), wird durch eine Baud-Rate und eine zulässige Anzahl von gleichzeitigen Kommunikationspartnern und weitere Bedingungen bestimmt.
-
In diesem wird angenommen, dass ein Fahrzeug-Fahrzeug-Kommunikationsbereich einen Radius von 200 m aufweist, wobei die Mitte des Bereichs an einer Verkehrskreuzung von vier Straßen positioniert ist, die jeweils drei Fahrspuren auf einer Seite aufweisen. In der Annahme, dass mehrere Fahrzeuge beabstandet voneinander mit einem mittleren Fahrzeug-Fahrzeug-Abstand von 10 m fahren, sind 20 Fahrzeuge pro Fahrspur innerhalb eines 200 m langen Segments jeder Straße vorhanden. Folglich ergeben 3 Fahrspuren auf einer Seite × 2 Fahrspuren auf der anderen Seite × 4 Richtungen × 20 Fahrzeuge pro Fahrspur = 480 Fahrzeuge innerhalb des Bereichs mit dem 200 m Radius, was natürlich von der jeweiligen Verkehrsituation abhängig sein kann.
-
In der Annahme, dass jede Straße eine Hochgeschwindigkeitsstraße ist, auf welcher die Fahrzeuggeschwindigkeit bei 30 m/s liegt, und wenn ein potentieller Datenverlust aufgrund von Kommunikationsfehlern oder dergleichen berücksichtigt wird, so wird ein Datenübertragungszyklus vorzugsweise auf höchstens 100 ms beschränkt, so dass der Effekt eines Datenverlusts auf die Kommunikationssteuerung zulässig ausgefegt wird. Ferner kann angenommen werden, dass die Baud-Rate bei ungefähr 10 Mbit/s liegt, was jedoch von einer zugeordneten Bandbreite der Funkwellen abhängt.
-
Unter solch einer Bedingung kann eine Menge von Daten, die bei jeder Kommunikation übertragen werden kann, über die folgende Gleichung geschätzt werden. 10 × 106 [bit/s] × 0,1 [s]/480 [Fahrzeuge] = 2083 [bit]
-
D. h., auch ohne Übertragungsverlust kann die Datenmenge keinen über 260 Byte liegenden Wert annehmen. Ferner führt eine zunehmende Paketdichte zu einer signifikanten Verringerung der Kommunikationseffizienz bedingt durch ein häufiges Auftreten von Paketkollisionen. Folglich kann behauptet werden, dass die Datenmenge tatsächlich auf einen Wert von unter ungefähr 30% von 260 Byte beschränkt wird.
-
D. h. ein Nachteil des obigen Fahrzeug-Fahrzeug-Kommunikationssystems liegt darin, dass es, da die Signaturdaten ungefähr eine Größe von 200 Byte aufweisen, wahrscheinlich nicht möglich ist, auch nur 100 Byte Daten zu übertragen, die ursprünglich übertragen werden sollten.
-
Zur Überwindung des Nachteils kann das Kommunikationssystem wie folgt verbessert werden. Der Sender im System erzeugt die Signaturdaten aus den Verifizierungsdaten, die aus einer Einheit von Kommunikationsdaten bestehend aus M Teilen von zu sendenden Kommunikationsdaten erzeugt werden, und sendet die Kommunikationsdaten anschließend zusammen mit geteilten Signaturdaten, wobei M Teile von geteilten Signaturdaten erzeugt werden, indem die Signaturdaten in M Teile geteilt werden, und die M Teile von geteilten Signaturdaten M entsprechenden Teilen von Kommunikationsdaten beigefügt übertragen werden. Der Empfänger im System stellt die Einheit von Kommunikationsdaten aus M Teilen von empfangenen Kommunikationsdaten wieder her und stellt die Signaturdaten aus M Teilen von empfangenen geteilten Signaturdaten wieder her. Die Kommunikationsdaten können für jede Einheit von Kommunikationsdaten mit den aus den wiederhergestellten Signaturdaten extrahierten Verifizierungsdaten verifiziert werden.
-
Für gewöhnlich werden in der Annahme, dass Kommunikationsfehler häufig auftreten, oft übergeordnete Anwendungen im System installiert. Folglich können auch bei fehlenden Daten verschiedene Steuerungen auf der Empfangsseite auf der Grundlage eines Datenergänzungsprozesses unter Verwendung zuvor empfangener Kommunikationsdaten oder dergleichen fortgesetzt werden.
-
Der Datenergänzungsprozess kann jedoch nicht auf die Wiederherstellung der Verifizierungsdaten angewandt werden, wenn ein teilweiser Datenverlust auftritt. Folglich können dann, wenn die Signaturdaten, wie vorstehend beschrieben, in einer geteilten Form übertragen werden, die ursprünglichen Signaturdaten (und folglich die ursprünglichen Verifizierungsdaten) nicht wiederhergestellt werden, sofern nicht ein voller Satz von M Teilen von empfangenen geteilten Signaturdaten sicher empfangen wird.
-
Dementsprechend können die Signaturdaten (und folglich die Verifizierungsdaten) dann, wenn ein Kommunikationsrahmen auf der Empfangsseite fehlt, nicht wiederhergestellt werden. Dies führt dazu, dass die gesamte Einheit von Kommunikationsdaten (und folglich M Teile von empfangenen Kommunikationsdaten) nicht verifiziert werden kann.
-
Folglich sind die beispielhaften Ausführungsformen der vorliegenden Erfindung in Anbetracht der obigen Situation darauf ausgerichtet, ein Kommunikationssystem zum Senden und Empfangen von Kommunikationsdaten zusammen mit diesen in geteilter Form beigefügten Signaturdaten zur Verifizierung der Kommunikationsdaten bereitzustellen, das dazu ausgelegt ist, die Kommunikationsdaten auch im Falle eines teilweisen Datenverlusts aufgrund von Kommunikationsfehlern zu verifizieren.
-
ZUSAMMENFASSUNG
-
Gemäß einer beispielhaften Ausgestaltung der vorliegenden Erfindung wird ein Kommunikationssystem zum Senden und Empfangen von Kommunikationsdaten zusammen mit diesen beigefügten Signaturdaten zur Verifizierung der Kommunikationsdaten bereitgestellt. Ein sendeseitiger Anschluss des Systems erzeugt die Signaturdaten für jede Einheit von Kommunikationsdaten bestehend aus M × N (M multipliziert mit N; M und N sind positive ganze Zahlen, wobei M ≥ N ≥ 2 ist, wobei „X ≥ Y” für ganze Zahlen X, Y bedeutet, dass „X größer oder gleich Y ist”) Teilen von zu sendenden Kommunikationsdaten, teilt die erzeugten Signaturdaten in M Teile von geteilten Signaturdaten und sendet die M Teile von geteilten Signaturdaten wiederholt in N Runden, M × N entsprechenden Teilen von Kommunikationsdaten beigefügt, aus.
-
Bei dem Kommunikationssystem können die M Teile von geteilten Signaturdaten M entsprechenden Teilen von Kommunikationsdaten, die durch die Signaturdaten zu verifizieren sind, aus welchen die M Teile von geteilten Signaturdaten erzeugt werden, beigefügt werden.
-
Alternativ können die M Teile von geteilten Signaturdaten M entsprechenden Teilen von Kommunikationsdaten beigefügt werden, die durch die Signaturdaten zu verifizieren sind, die sich von den Signaturdaten unterscheiden, aus welchen die M Teile von geteilten Signaturdaten erzeugt werden. Diese alternative Ausführungsform kann auf ein Kommunikationssystem angewandt werden, dessen Kommunikationsdaten in Echtzeit gesendet und empfangen werden sollen, da die Signaturdaten nicht wiederhergestellt werden können, wenn wenigstens ein Teil der M Teile von geteilten Signaturdaten fehlt.
-
Demgegenüber empfängt ein empfangsseitiger Anschluss des Kommunikationssystems der vorliegenden Ausführungsform die Kommunikationsdaten zusammen mit den diesen beigefügten geteilten Signaturdaten empfängt, stellt jede Einheit von Kommunikationsdaten aus M × N Teilen von empfangenen Kommunikationsdaten wieder her, stellt die Signaturdaten für die wiederherstellte Einheit von Kommunikationsdaten aus M Teilen von empfangenen geteilten Signaturdaten, welche den empfangenen Kommunikationsdaten beigefügt sind, wieder her, und verifiziert die wiederherstellte Einheit von Kommunikationsdaten auf der Grundlage der wiederherstellten Signaturdaten, um so die Kommunikationsdaten der wiederherstellten Einheit von Kommunikationsdaten zu verifizieren. Hierdurch kann jede Einheit von Kommunikationsdaten durch die wiederhergestellten Signaturdaten verifiziert werden.
-
Bei dem vorliegenden Kommunikationssystem werden die Signaturdaten zur Verifizierung der Einheit von Kommunikationsdaten nicht in einer nicht geteilten Form gesendet (siehe 9A), sondern derart in einer geteilten Form (siehe 9B), dass M Teile von geteilten Signaturdaten N wiederholt in N Runden gesendet werden, und zwar M × N entsprechenden Teilen von Kommunikationsdaten beigefügt. Hierdurch kann eine signifikante Erhöhung der Datenmenge von zusätzlichen Daten in jedem Kommunikationsrahmen zur Verifizierung der Kommunikationsdaten verhindert werden.
-
Folglich wird es möglich, das elektronische Signaturverfahren zu realisieren, ohne den Durchsatz der Kommunikationsdaten signifikant zu verringern, so dass sowohl der Datendurchsatz als auch das Sicherheitsniveau, die für das Kommunikationssystem erforderlich sind, gewährleistet werden können.
-
Bei dem vorliegenden Kommunikationssystem kann der empfangsseitige Anschluss, da die M Teile von geteilten Signaturdaten wiederholt in N Runden gesendet werden, die Signaturdaten zuverlassig wiederherstellen, sofern nicht wenigstens ein Teil von geteilten Signaturdaten in allen N Runden nicht empfangen wird.
-
KURZE BESCHREIBUNG DER ZEICHNUNGEN
-
In den beigefügten Zeichnungen zeigt:
-
1 schematisch ein Blockdiagramm eines Kommunikatlonssystems mit einer Fahrzeug-Vorrichtung gemäß einer Ausführungsform der vorliegenden Erfindung;
-
2 schematisch einen Kommunikationsrahmen zur Verwendung im Kommunikationssystem;
-
3 schematisch Speicherbereiche für verschiedene Arten von Daten;
-
4 schematisch ein Ablaufdiagramm eines Sendeprozesses gemäß der ersten Ausführungsform;
-
5 schematisch Kommunikationsrahmen, die im Sendeprozess zu erzeugen sind;
-
6 schematisch ein Ablaufdiagramm eines Empfangsprozesses gemäß der ersten Ausführungsform;
-
7 schematisch ein Ablaufdiagramm eines Verifizierungsprozesses gemäß der ersten Ausführungsform;
-
8 schematisch ein Ablaufdiagramm eines Verifizierungsprozesses gemäß einer zweiten Ausführungsform der vorliegenden Erfindung;
-
9A schematisch ein Verhältnis zwischen Verifizierungsdaten und zusätzlichen Daten in einem herkömmlichen Kommunikationssystem;
-
9B schematisch ein Verhältnis zwischen Verifizierungsdaten und zusätzlichen Daten im Kommunikationssystem der ersten Ausführungsform;
-
9C schematisch ein Verhältnis zwischen Verifizierungsdaten und zusätzlichen Daten im Kommunikationssystem der zweiten Ausführungsform;
-
10A schematisch einen Erzeugungsprozess der Signaturdaten gemäß einer dritten Ausführungsform der vorliegenden Erfindung;
-
10B schematisch einen Verifizierungsprozess gemäß der dritten Ausführungsform; und
-
11 schematisch einen Kommunikationsrahmen zur Verwendung in einem herkömmlichen Kommunikationssystem.
-
BESCHREIBUNG DER BESTIMMTEN AUSFÜHRUNGSFORMEN
-
Die vorliegende Erfindung wird nachstehend unter Bezugnahme auf die beigefügten Zeichnungen näher beschrieben. Gleiche Elemente sind durchgehend mit den gleichen Bezugszeichen versehen.
-
(Erste Ausführungsform)
-
1 zeigt ein Blockdiagramm eines Kommunikationssystems mit einer In-Vehicle- bzw. Fahrzeug-Vorrichtung gemäß der ersten Ausführungsform der vorliegenden Erfindung.
-
Das Kommunikationssystem der vorliegenden Ausführungsform weist, wie in 1 gezeigt, mehrere Fahrzeug-Vorrichtungen 1 auf, die jeweils in einem entsprechenden Fahrzeug C befestigt sind und drahtlos miteinander kommunizieren können.
-
Die Fahrzeug-Vorrichtung 1 eines Eigenfahrzeugs C tauscht Fahrzeuginformation des Eigenfahrzeugs, wie beispielsweise eine Position, eine Geschwindigkeit, eine Beschleunigung, eine Winkelgeschwindigkeit und Korrekturinformation für die Position, mit anderen Fahrzeug-Vorrichtungen 1 von in der Umgebung befindlichen Fahrzeugen C um das Eigenfahrzeug herum (wie beispielsweise innerhalb eines Bereichs mit einem Radius von 200 m mit dem Eigenfahrzeug als Mittelpunkt) über eine Fahrzeug-Fahrzeug-Kommunikation aus, um so Kollisionen mit den in der Umgebung befindlichen Fahrzeugen zu vermeiden.
-
(Kommunikationsrahmen)
-
Nachstehend wird ein im Kommunikationssystem der vorliegenden Ausführungsform zu sendender und zu empfangender Kommunikationsrahmen unter Bezugnahme auf die 2 näher beschrieben.
-
Jeder Kommunikationsrahmen weist, wie in 2 gezeigt, einen Header, einen Datenabschnitt (Payload) und einen Footer auf. Der Header und der Footer sind bekannt und in Übereinstimmung mit einem bestimmten Kommunikationsprotokoll zur Verwendung im Kommunikationssystem definiert. Der Header weist wenigstens Information zur Erkennung einer Quelle des Kommunikationsrahmens auf. Der Footer weist wenigstens einen Fehlererfassungscode auf, wie beispielsweise einen CRC-Code.
-
Der Datenabschnitt weist Kommunikationsdaten, welche die Fahrzeuginformation umfassen, und zusätzliche Daten, die zur Verifizierung der Kommunikationsdaten verwendet werden, auf.
-
Für jeden Rahmen weisen die zusätzlichen Daten einen Signatur-Header und einen Teil von geteilten Signaturdaten auf. M (positive ganze Zahl, wobei M ≥ 2) Teile von geteilten Signaturdaten werden erhalten, indem die Signaturdaten in M Teile geteilt werden, wobei die Signaturdaten für jede Einheit von Kommunikationsdaten bestehend aus M × N (beide positive ganze Zahlen, wobei M, N ≥ 2) Teilen von Kommunikationsdaten erzeugt werden. Dieser Signatur-Header weist Information auf, die zur Wiederherstellung der ursprünglichen Signaturdaten aus den M Teilen von geteilten Signaturdaten verwendet werden.
-
Der Signatur-Header weist auf: eine Kennung zur Erkennung eines Typs des Signaturobjekts (wie beispielsweise Zertifikat oder Daten), eine Signaturnummer k (k = 1, 2, ...) zur Erkennung, zu welchen Signaturdaten die vorliegenden geteilten Signaturdaten gehören, und eine Blocknummer i (i = 1, 2, ..., M) zum Anzeigen, wo die vorliegenden geteilten Signaturdaten in den durch die Signaturnummer k erkannten Signaturdaten in absteigender Reihenfolge vorhanden sind.
-
(Fahrzeug-Vorrichtung)
-
Die In-Vehicle- bzw. Fahrzeug-Vorrichtung 1 weist, wie in 1 gezeigt, auf: einen Positionsdetektor 2, der eine momentane Position des Eigenfahrzeugs erfasst, einen Zustandsdetektor 3, der einen Fahrzeugzustand des Eigenfahrzeugs über verschiedene im Detektor 3 enthaltene Sensoren, wie beispielsweise einen Geschwindigkeitssensor, einen Beschleunigungssensor und einen Winkelgeschwindigkeitssensor, erfasst, einen Speicher 4, der verschiedene Information speichert, die wenigstens Karteninformation umfasst, und eine Mensch-Maschine-Schnittstelle (HIF) 5, die beispielsweise ein Bedienfeld zur Eingabe verschiedener Befehle durch einen Benutzer, eine Anzeige zum Anzeigen einer Karte und verschiedener Information und einen Lautsprecher zur Erzeugung einer Sprachführung oder eines akustischen Alarms aufweist.
-
Die Fahrzeug-Vorrichtung 1 weist ferner auf: eine Funkkommunikationseinheit 6 zur drahtlosen Kommunikation mit den anderen Fahrzeugen, einen Kryptographie-Prozessor 7 zur Erzeugung der Signaturdaten zur Verifizierung der über die Funkkommunikationseinheit 6 zu sendenden Kommunikationsdaten und zum Ausführen eines Verifizierungsprozesses zur Verifizierung der über die Funkkommunikationseinheit 6 empfangenen Kommunikationsdaten, und einen Prozessor 8 zum Ausführen verschiedener Prozesse unter Verwendung der Einheiten 2 bis 7, und einen Fahrzeug-Controller 9 zum Ausführen verschiedener Fahrzeugsteuerprozesse, wie beispielsweise einer Bremssteuerung, in Übereinstimmung mit Befehlen vom Prozessor 8.
-
Der Positionsdetektor 2 erfasst eine momentane Position, eine momentane Fahrrichtung und dergleichen des Eigenfahrzeugs auf der Grundlage von Funkwellen, die von GPS-Satelliten empfangen werden. Komplementär zur GPS-Navigation erfasst der Positionsdetektor 2 ferner die momentane Position bei einer sogenannten autonomen Navigation auf der Grundlage einer Fahrstrecke, die über die Beschleunigung, die Winkelgeschwindigkeit und dergleichen gewonnen wird, die vom Zustandsdetektor 3 erfasst werden, und einer Fahrtrichtung, die über Ausgangssignale eines Erdmagnetismussensors gewonnen wird. Es sollte beachtet werden, dass sich die GPS-Navigation und die autonome Navigation gegenseitig ergänzen.
-
Die Funkkommunikationseinheit 6 überträgt einen Kommunikationsrahmen gemäß der 2 zu Fahrzeugvorrichtungen 1 anderer Fahrzeuge C. Insbesondere erzeugt die Funkkommunikationseinheit 6 auf einen Empfang von Daten vom Prozessor 8 folgend den Kommunikationsrahmen mit den Daten (Payload) vom Prozessor 8 und dem Header und dem Footer, welche den Daten beigefügt sind, und sendet diesen anschließend aus. Demgegenüber überprüft die Funkkommunikationseinheit 6 auf einen Empfang des Kommunikationsrahmens von anderen Fahrzeug-Vorrichtungen folgend, ob ein Kommunikationsfehler vorliegt oder nicht, auf der Grundlage von Information, die im Header und im Footer enthalten ist (wie beispielsweise ein bekannter CRC-Code), verwirft bzw. löscht die Funkkommunikationseinheit 6 den empfangenen Rahmen im Falle eines Kommunikationsfehlers und meldet die Funkkommunikationseinheit 6 den Empfang des Rahmens im Falle keines Kommunikationsfehlers an den Prozessor 8.
-
Der Kryptographie-Prozessor 7 erzeugt Signaturdaten, die einen öffentlichen Schlüssel, ein elektronisches Zertifikat zur Verifizierung des öffentlichen Schlüssels und verschlüsselte Daten, die erhalten werden, indem Verifizierungsdaten (wie beispielsweise ein Message Digest, der durch eine Hash-Funktion erzeugt wird), die aus zu sendenden Kommunikationsdaten erzeugt werden, mit einem privaten Schlüssel verschlüsselt werden, aufweisen, und führt ferner einen ersten und einen zweiten Verifizierungsprozess aus. Bei dem ersten Verifizierungsprozess verifiziert der Kryptographie-Prozessor 7 den öffentlichen Schlüssel unter Verwendung des elektronischen Zertifikats. Bei dem zweiten Verifizierungsprozess verifiziert der Kryptographie-Prozessor 7 die Kommunikationsdaten (d. h. überprüft, ob die Kommunikationsdaten geändert bzw. manipuliert worden sind oder nicht), indem er Verifizierungsdaten, die erhalten werden, indem die verschlüsselten Daten mit dem öffentlichen Schlüssel entschlüsselt werden, der im ersten Verifizierungsprozess für gültig verifiziert worden ist, mit Verifizierungsdaten vergleicht, die aus den empfangenen Kommunikationsdaten extrahiert werden.
-
Der Prozessor 8 kann ein Mikrocomputer bekannter Bauart mit einer CPU, einem ROM und einem RAM sein und führt als Navigationsvorrichtung in Übereinstimmung mit Befehlen, die über die HIF 5 eingegeben werden, einen navigationsbezogenen Prozess zum Einstellen oder Herstellung eines Fahrtwegs aus und zeigt oder führt anschließend entlang der eingestellten Fahrtroute unter Verwendung einer vom Positionsdetektor 2 des Eigenfahrzeugs erfassten momentanen Position und im Speicher 4 gespeicherter Karteninformation. Ferner führt der Prozessor 8 einen Sendeprozess zum Senden der Fahrzeuginformation des Eigenfahrzeugs (nachstehend als „Eigenfahrzeuginformation” bezeichnet) über die Funkkommunikationseinheit 6 und einen Empfangsprozess zum Empfangen der Fahrzeuginformation von den anderen Fahrzeugen (nachstehend als „Fremdfahrzeuginformation” bezeichnet) über die Funkkommunikationseinheit 6 aus und schätzt anschließend einen Grad eines Kollisionsrisikos mit den anderen Fahrzeugen auf der Grundlage der Eigenfahrzeuginformation und der Fremdfahrzeuginformation.
-
Der navigationsbezogene Prozess umfasst amen Positionsinformationskorrekturprozess (Kartenabgleich), bei welchem der Prozessor 8 regelmäßig oder periodisch Positionsinformation vom Positionsdetektor 2 erfasst, die erfasste Information mit der im Speicher 4 gespeicherten Karteninformation vergleicht und die Positionsinformation anschließend derart korrigiert, dass das Eigenfahrzeug auf einer Straße der Karte positioniert wird.
-
Das RAM des Prozessors 8 weist, wie in 3 gezeigt, einen Sendeverarbeitungsspeicherbereich und einen Empfangsverarbeitungsspeicherbereich bzw. Empfangsverarbeitungsspeicherbereiche auf, die im RAM reserviert sind.
-
Der Sendeverarbeitungsspeicherbereich weist einen sendeseitigen Kommunikationsdateneinheit-Speicherbereich zur Speicherung einer Einheit von Kommunikationsdaten bestehend aus M × N Teilen von zu sendenden Kommunikationsdaten und einen sendeseitigen Signaturdaten-Speicherbereich zur Speicherung der vom Kryptographie-Prozessor 7 erzeugten Signaturdaten für die Einheit von Kommunikationsdaten auf. Der sendeseitige Signaturdaten-Speicherbereich weist M Blöcke zur sukzessiven Speicherung von M Teilen von geteilten Signaturdaten auf.
-
D. h., der sendeseitige Kommunikationsdateneinheit-Speicherbereich weist M × N Blöcke zur sukzessiven Speicherung von M × N Teilen von Kommunikationsdaten auf, wo die M × N Teile von Kommunikationsdaten eine Einheit von Kommunikationsdaten bilden, und der sendeseitige Signaturdaten-Speicherbereich weist M Blöcke zur sukzessiven Speicherung von M Teilen von geteilten Signaturdaten auf, wobei die M Teile von geteilten Signaturdaten einen Teil von Signaturdaten bilden, der für die Einheit von Kommunikationsdaten erzeugt wird.
-
Die Funkkommunikationseinheit 6 reserviert im RAM einen Empfangsverarbeitungsspeicherbereich für jeden von einer maximalen Anzahl von gleichzeitigen Kommunikationspartnern (nachstehend als „zulässige Kommunikationsanzahl” bezeichnet). Jeder Empfangsverarbeitungsspeicherbereich weist auf: zwei empfangsseitige Kommmunikationsdateneinheit-Speicherbereiche, die jeweils dem sendeseitigen Kommunikationsdateneinheit-Speicherbereich gleichen, einen empfangsseitigen Signaturdaten-Speicherbereich gleich dem sendeseitigen Signaturdaten-Speicherbereich und einen Zertifikat-Speicherbereich zur Speicherung eines öffentlichen Schlüssels, der vom Kryptographie-Prozessor 7 für gültig verifiziert worden ist, und eines elektronischen Zertifikats für den öffentlichen Schlüssel.
-
(Sendeprozess)
-
Nachstehend wird ein Sendeprozess, der von der CPU des Prozessors 8 ausgeführt wird, unter Bezugnahme auf das in der 4 gezeigte Ablaufdiagramm beschrieben.
-
Der Sendeprozess wird wiederholt in einem festen Zeitintervall (bei der vorliegenden Ausführungsform 100 ms) gestartet, während der Motor läuft. Vor dem ersten Start des Sendeprozesses werden die Parameter i, j zur Verwendung in dem Prozess auf 1 gesetzt.
-
Jedes Mal, wenn der Prozess gestartet wird, erfasst der Prozessor 8 in Schritt S110 die Fahrzeuginformation (bei der vorliegenden beispielhaften Ausführungsform eine Position, eine Geschwindigkeit, eine Beschleunigung, eine Winkelgeschwindigkeit und Korrekturinformation des Eigenfahrzeugs) vom Positionsdetektor 2 und vom Zustandsdetektor 3, erzeugt der Prozessor 8 Kommunikationsdaten aus der Fahrzeuginformation und speichert der Prozessor 8 anschließend die erzeugten Kommunikationsdaten im ((j – 1) × M + i)-ten Block des sendeseitigen Kommmunikationsdateneinheit-Speicherbereichs.
-
Hierauf folgend bestimmt der Prozessor 8 in Schritt S120, ob Signaturdaten zum Senden im sendeseitigen Signaturdaten-Speicherbereich gespeichert sind oder nicht.
-
Wenn keine Signaturdaten im sendeseitigen Signaturdaten-Speicherbereich gespeichert sind, schreitet der Prozess zu Schritt S130 voran, in welchem die in Schritt S110 erfassten Kommunikationsdaten zusammen mit diesen beigefügten Dummy-Daten (die im Voraus vorbereitet werden) über die Funkkommunikationseinheit 6 gesendet werden. Anschließend schreitet der Prozess zu Schritt S150 voran. Da M × N Teile von Kommunikationsdaten erforderlich sind, um die Signaturdaten zu erzeugen, sind während eine Zeitspanne vom ersten Start bis zum M × N-ten Start des Sendeprozesses (d. h. während einer Zeitspanne T0 bis T1) keine Signaturdaten zum Senden im sendeseitigen Signaturdaten-Speicherbereich gespeichert (oder es sind Dummy-Daten gespeichert).
-
Wenn die Signaturdaten im sendeseitigen Signaturdaten-Speicherbereich gespeichert sind, schreitet der Prozess zu Schritt S140 voran, in welchem die in Schritt S110 erfassten Kommunikationsdaten und die zusätzlichen Daten, die aus den geteilten Signaturdaten erzeugt werden, die im i-ten Block im sendeseitigen Signaturdaten-Speicherbereich gespeichert werden, über die Funkkommunikationseinheit 6 gesendet werden. Anschließend schreitet der Prozess zu Schritt S150 voran.
-
Da der Kommunikationsrahmen unmittelbar nach den Schritten S130, S140 für jeden Sendeprozess zu senden ist, stimmt der Kommunikationsrahmensendezyklus im Wesentlichen mit dem Startzyklus des Prozesses überein.
-
In Schritt S150 wird der Parameter i inkrementiert (i ← i + 1). Anschließend wird in Schritt S160 bestimmt, ob der Parameter i größer als M ist oder nicht, wobei M eine Teilungszahl der Signaturdaten ist. Wenn der Parameter i kleiner oder gleich M ist, wird bestimmt, dass ein voller Satz von M Teilen von Kommunikationsdaten, der zur Erzeugung der Signaturdaten erforderlich ist, bis jetzt noch nicht vorbereitet worden ist, woraufhin der Prozess unmittelbar beendet wird.
-
Wenn der Parameter i größer als M ist, wird der Parameter in Schritt S170 auf 1 gesetzt. Anschließend wird der Parameter j in Schritt S180 inkrementiert (j ← j + 1), woraufhin der Prozess zu Schritt S190 voranschreitet.
-
In Schritt S190 wird bestimmt, ob der Parameter j größer als N ist oder nicht, wobei N eine Wiederholungsanzahl ist. Wenn der Parameter j kleiner oder gleich N ist, wird bestimmt, dass ein voller Satz von M × N Teilen von Kommunikationsdaten, der zur Erzeugung von Signaturdaten erforderlich ist, noch nicht vorbereitet worden ist, woraufhin der Prozess unmittelbar beendet wird.
-
Wenn der Parameter j größer als N ist, kann berücksichtigt werden, dass ein voller Satz von M × N Teilen von Kommunikationsdaten, der zur Erzeugung von Signaturdaten erforderlich ist, vorbereitet worden ist, so dass der Prozess zu Schritt S200 voranschreitet, in welchem der Parameter j auf 1 gesetzt wird. Anschließend schreitet der Prozess zu Schritt S210 voran.
-
In Schritt S210 werden die Signaturdaten durch den Kryptographie-Prozessor 7 unter der Steuerung des Prozessors 8 für eine Einheit von Kommunikationsdaten bestehend aus M × N Teilen von Kommunikationsdaten, die im sendeseitigen Kommunikationsdateneinheit-Speicherbereich gespeichert werden, erzeugt. Nachdem die erzeugten Signaturdaten im sendeseitigen Signaturdaten-Speicherbereich gespeichert worden sind, wird der Prozess beendet.
-
(Operationen im Sendeprozess)
-
5 zeigt schematisch Kommunikationsrahmen, die bei jedem Sendeprozess zu senden sind, wobei die Widerholungsanzahl N beispielsweise auf 2 gesetzt wird.
-
Wenn der Sendeprozess das erste Mal gestartet wird (T0), sind, wie in 5 gezeigt, keine Signaturdaten im sendeseitigen Signaturdaten-Speicherbereich gespeichert. Folglich werden dem ersten bis 2M-ten Kommunikationsrahmen (Kommunikationsdaten 1-2M in der 5) Dummy-Daten beigefügt, bis die ersten Signaturdaten 1 erzeugt werden (T0–T1).
-
Nach dem Senden des 2M-ten Kommunikationsrahmens (T1) werden die Signaturdaten 1 für die 2M Teile von Kommunikationsdaten 1 bis 2M, die eine Einheit von Kommunikationsdaten bilden, erzeugt. Die erzeugten Signaturdaten 1 für die Einheit von Kommunikationsdaten werden in einer geteilten Form im sendeseitigen Signaturdaten-Speicherbereich gespeichert. Folglich werden M Teile von geteilten Signaturdaten 1-1 bis 1-M, die erhalten werden, indem die Signaturdaten 1 in M Teile geteilt werden, nacheinander und periodisch dem (2M+1)-ten bis 4M-ten Kommunikationsrahmen (Kommunikationsdaten 2M+1 bis 4M) beigefügt, bis die folgenden Signaturdaten 2 erzeugt werden (T1–T2). Die Kommunikationsdaten 2M+1 bis 3M werden beispielsweise nacheinander zusammen mit den geteilten Signaturdaten 1-1 bis 1-M gesendet, und die Kommunikationsdaten 3M+1 bis 4M werden ebenso nacheinander zusammen mit den gleichen geteilten Signaturdaten 1-1 bis 1-M gesendet. Auf diese Weise wird das Beifügen der geteilten Signaturdaten zu den Kommunikationsdaten zweimal wiederholt (N = 2 Mal).
-
In gleicher Weise werden bei den anschließenden Sendeprozessen M Teile von geteilten Signaturdaten k-1 bis k-M, die erhalten werden, indem die Signaturdaten k in M Teile geteilt werden, nacheinander und periodisch in N = 2 Runden gesendet, dem (2k·M + 1)-ten bis 2(k + 1)·M-ten Kommunikationsrahmen beigefügt (k = 1, 2, ...).
-
(Empfangsprozess)
-
Nachstehend wird ein von der CPU des Prozessors 8 ausgeführter Empfangsprozess unter Bezugnahme auf das in der 6 gezeigte Ablaufdiagramm beschrieben.
-
Der Prozess wird jedes Mai gestartet, wenn der Kommunikationsrahmen von der Fahrzeug-Vorrichtung 1 empfangen wird, während der Fahrzeugmotor läuft. Ein Gültigkeitsflag, das anzeigt, ob die empfangenen Kommunikationsdaten mit den Signaturdaten für gültig verifiziert worden sind oder nicht, wird bei dem Prozess verwendet, wobei das Flag während des nachstehend noch beschriebenen Verifizierungsprozesses gesetzt/gelöscht (EINTAUS) wird. Bevor der Empfangsprozess das erste Mal gestartet wird, wird das Gültigkeitsflag gelöscht (AUS) (nicht verifiziert).
-
Sobald der Prozess gestartet ist, erkennt der Prozessor 8 in Schritt S310 eine Quelle des empfangenen Kommunikationsrahmens aus dem Header und bestimmt der Prozessor 8 anschließend in Schritt S320, ob der Empfangsverarbeitungsspeicherbereich für die erkannte Quelle (nachstehend als „Kommunikationspartner” bezeichnet) reserviert worden ist oder nicht.
-
Wenn der Empfangsverarbeitungsspeicherbereich noch nicht für die erkannte Quelle reserviert worden ist, wird der Empfangsverarbeitungsspeicherbereich für die erkannte Quelle in Schritt S330 reserviert und einer der zwei empfangsseitigen Kommunikationsdateneinheit-Speicherbereiche des reservierten Empfangsverarbeitungsspeicherbereichs gewählt, um die Kommunikationsdaten zu speichern. Der nicht gewählte der zwei empfangsseitigen Kommunikationsdateneinheit-Speicherbereiche hält einzig gespeicherte Daten. Wenn der Empfangsverarbeitungsspeicherbereich bereits für die erkannte Quelle reserviert worden ist, schreitet der Prozess unmittelbar zu Schritt S340 voran.
-
Nachstehend beziehen sich die Kommunikationsdaten, der empfangsseitige Kommunikationsdateneinheit-Speicherbereich und der empfangsseitige Signaturdaten-Speicherbereich auf die Kommunikationsdaten, den empfangsseitigen Kommunikationsdateneinheit-Speicherbereich und den empfangsseitigen Signaturdaten-Speicherbereich im Empfangsverarbeitungsspeicherbereich, der für den Kommunikationspartner reserviert wird, der in Schritt S310 als Quelle erkannt wird.
-
In Schritt S340 wird überprüft, ob sich die Signaturnummer, die im Header der empfangenen zusätzlichen Daten enthalten ist, von der Signaturnummer, die im Header der zuvor empfangenen zusätzlichen Daten enthalten ist, zu einer anderen Nummer (eigentlich der vorherigen Signaturnummer plus eins) geändert hat. Wenn sich die Signaturnummer geändert hat, schreitet der Prozess zu Schritt S370 voran. Wenn sich die Signaturnummer nicht geändert hat, schreitet der Prozess unmittelbar zu Schritt S350 voran.
-
In Schritt S350 wird der nachstehend noch beschriebene Verifizierungsprozess unter Verwendung der Kommunikationsdaten, die in dem nicht gewählten der zwei empfangsseitigen Kommunikationsdateneinheit-Speicherbereiche gespeichert werden, und der Signaturdaten, die in dem empfangsseitigen Signaturdaten-Speicherbereich gespeichert werden, ausgeführt. Anschließend werden in Schritt S360 der nicht gewählte der zwei empfangsseitigen Kommunikationsdateneinheit-Speicherbereiche und der empfangsseitige Signaturdaten-Speicherbereich gelöscht, woraufhin die Rollen zwischen den zwei empfangsseitigen Kommunikationsdateneinheit-Speicherbereichen getauscht werden (d. h. der gewählte Speicherbereich → wird zum nicht gewählten Speicherbereich; der nicht gewählte Speicherbereich → wird zum gewählten Speicherbereich). Anschließend schreitet der Prozess zu Schritt S370 voran.
-
In Schritt S370 werden die empfangenen Kommunikationsdaten unter Bezugnahme auf die Blocknummer i im Signatur-Header der empfangenen zusätzlichen Daten im i-ten Block des gewählten der zwei empfangsseitigen Kommunikationsdateneinheit-Speicherbereiche gespeichert, und werden die empfangenen geteilten Signaturdaten in den empfangenen zusätzlichen Daten, welche den empfangenen Kommunikationsdaten beigefügt sind, im i-ten Block des empfangsseitigen Signaturdaten-Speicherbereichs gespeichert. Wenn die Blocknummer i größer als M ist, werden die empfangenen geteilten Signaturdaten in einem p-ten Block im empfangsseitigen Signaturdaten-Speicherbereich gespeichert, wobei p eine positive ganze Zahl von i – (r – 1) × M ist (p, r sind positive ganze Zahlen, wobei 1 ≤ p ≤ M, 1 ≤ r ≤ N). Wenn die geteilten Signaturdaten bereits im p-ten Block gespeichert sind, werden die empfangenen geteilten Signaturdaten verworfen.
-
Anschließend wird in Schritt S380 überprüft, ob das Gültigkeitsflag gesetzt (EIN) ist oder nicht, wobei das Flag im Verifizierungsprozess in Schritt S350 zu setzen ist. Wenn das Flag gelöscht (AUS) ist, wird der Prozess anschließend beendet. Wenn das Flag gesetzt (EIN) ist, schreitet der Prozess anschließend zu Schritt S390 voran.
-
In Schritt S390 wird überprüft, ob die empfangenen Kommunikationsdaten konsistent sind oder nicht. Insbesondere wird bestimmt, dass die empfangenen Kommunikationsdaten konsistent sind, wenn eine Verschiebung zwischen Positionsinformation, die in den empfangenen Kommunikationsdaten (insbesondere der Fahrzeuginformation) enthalten ist, und Positionsinformation, die in den neusten empfangenen Kommunikationsdaten enthalten ist, die bereits mit den Signaturdaten für gültig verifiziert worden sind, innerhalb eines vorbestimmten erwarteten Bereichs liegt. Wenn die Verschiebung außerhalb des erwarteten Bereichs liegt, wird bestimmt, dass die empfangenen Kommunikationsdaten inkonsistent sind.
-
Wenn die Korrekturinformation, die in den empfangenen Kommunikationsdaten (nicht verifiziert) enthalten ist, jedoch anzeigt, dass die Positionsinformation korrigiert worden sind, können die empfangenen Kommunikationsdaten auch dann als konsistent erachtet werden, wenn die Verschiebung außerhalb des erwarteten Bereichs liegt. Der erwartete Bereich kann in Übereinstimmung mit der Fahrzeuggeschwindigkeit des Kommunikationspartners und dem Übertragungszyklus des Kommunikationsrahmens und dergleichen variable eingestellt werden.
-
Wenn bestimmt wird, dass die empfangenen Kommunikationsdaten inkonsistent sind, wird der Prozess unmittelbar beendet. Wenn bestimmt wird, dass die Kommunikationsdaten konsistent sind, schreitet der Prozess zu Schritt S400 voran, in welchem der Prozessor 8 ein Kollisionsrisiko mit den anderen Fahrzeugen auf der Grundlage der empfangenen Kommunikationsdaten (insbesondere der Fahrzeuginformation) schätzt und anschließend auf der Grundlage der Schätzung einen Kallisionsvermeidungsprozess zur Vermeidung potentieller Kollisionen ausführt, bei dem verschiedene Steuervorgänge, wie beispielsweise die Generierung eines Alarms, elf automatisches Bremsen oder dergleichen, ausgeführt werden. Anschließend wird der Prozess beendet.
-
(Operationen im Empfangsprozess)
-
Bei dem Empfangsprozess wird eine Speicherung der empfangenen Kommunikationsdaten in dem gewählten der zwei empfangsseitigen Kommunikationsdateneinheit-Speicherbereiche erlaubt und wird eine Speicherung der empfangenen geteilten Signaturdaten im empfangsseitigen Signaturdaten-Speicherbereich erlaubt.
-
Jedes Mal, wenn die Signaturdaten geändert werden, d. h. ein voller Satz von M × N Teilen von Kommunikationsdaten erfolgreich empfangen und ohne Kommunikationsfehler gespeichert worden ist, wird der Verifizierungsprozess zur Verifizierung der Einheit von Kommunikationsdaten bestehend aus M × N Teilen von empfangenen Kommunikationsdaten ausgeführt, um so die Kommunikationsdaten zu verifizieren.
-
Gemäß obiger Beschreibung werden M Teile von geteilten Signaturdaten nacheinander und periodisch in N Runden gesendet. Folglich wird auch dann, wenn wenigstens ein Teil der M Teile von geteilten Signaturdaten in der ersten Runde nicht empfangen wird, der wenigstens eine Teil der geteilten Signaturdaten in der zweiten Runde oder den nachfolgenden Runden empfangen werden, sofern der wenigstens eine Teil nicht in allen Runden nicht empfangen wird.
-
Die Einheit von Kommunikationsdaten B1 (Kommunikationsdaten 1 bis 2M) ist, wie in 5 gezeigt, zum Zeitpunkt T1 in dem gewählten der zwei empfangsseitigen Kommmunikationsdateneinheit-Speicherbereiche, der momentan gewählt wird, um die Kommunikationsdaten zu speichern, gespeichert worden, während in dem nicht gewählten der zwei empfangsseitigen Kommmunikationsdateneinheit-Speicherbereiche keine Daten gespeichert sind. Ferner sind Dummy-Daten im empfangsseitigen Signaturdaten-Speicherbereich gespeichert. Folglich kann der Verifizierungsprozess nicht ausgeführt werden, da zum Zeitpunkt T1 keine Signaturdaten vorhanden sind.
-
Anschließend ist zum Zeitpunkt T2 die Einheit von Kommunikationsdaten B2 (Kommunikationsdaten 2M+1 bis 4M) in dem gewählten der zwei empfangsseitigen Kommmunikationsdateneinheit-Speicherbereiche, der momentan gewählt wird, um die Kommunikationsdaten zu speichern, gespeichert worden, und ist die Einheit von Kommunikationsdaten B1 (Kommunikationsdaten 1 bis 2M) bereits in dem momentan nicht gewählten der zwei empfangsseitigen Kommmunikationsdateneinheit-Speicherbereiche gespeichert worden ist. Ferner sind die Signaturdaten 1 (geteilte Signaturdaten 1-1 bis 1-M) für die Einheit von Kommunikationsdaten B1 im empfangsseitigen Signaturdaten-Speicherbereich gespeichert worden. Folglich kann der Verifizierungsprozess zum Zeitpunkt T2 für die wiederhergestellte Einheit von Kommunikationsdaten B1 ausgeführt werden, indem die wiederhergestellten Signaturdaten 1 verwendet werden.
-
Auch wenn die geteilten Signaturdaten 1-2, welche den Kommunikationsdaten 2M+2 beigefügt sind, beispielsweise aufgrund von Kommunikationsfehlern nicht empfangen werden, werden die geteilten Signaturdaten 1-2 empfangen werden, wenn die geteilten Signaturdaten 1-2, welche den Kommunikationsdaten 3M+2 beigefügt werden, in der zweiten Runde erfolgreich empfangen werden.
-
Der Empfangsverarbeitungsspeicherbereich kann offen sein, um zur Speicherung der Kommunikationsdaten von den anderen Fahrzeugen verwendet zu werden, sofern nicht durch einen anderen Prozess, der sich vom Empfangsprozess unterscheidet, während einer vorbestimmten maximalen Zeitspanne auf den Empfangsverarbeitungsspeicherbereich zugriffen wird, um Daten zu speichern.
-
(Verifizierungsprozess)
-
Nachstehend wird der in Schritt S350 auszuführende Verifizierungsprozess unter Bezugnahme auf das in der 7 gezeigte Ablaufdiagramm beschrieben.
-
Wenn der Prozess gestartet wird, wird in Schritt S510 bestimmt, ob in allen Blöcken im empfangsseitigen Signaturdaten-Speicherbereich entsprechende geteilte Signaturdaten gespeichert sind oder nicht. Wenn wenigstens ein Block keine geteilten Signaturdaten gespeichert aufweist, wird bestimmt, dass die empfangenen Kommunikationsdaten nicht verifiziert werden können. Der Prozess schreitet zu Schritt S600 voran, in welchem das Gültigkeitsflag gelöscht (AUS) wird. Anschließend wird der Prozess unmittelbar beendet.
-
Wenn alle der Blöcke entsprechende geteilte Signaturdaten gespeichert aufweisen, schreitet der Prozess zu Schritt S520 voran, in dem überprüft wird, ob die wiederhergestellten Signaturdaten, die im empfangsseitigen Signaturdaten-Speicherbereich gespeichert werden, Dummy-Daten sind oder nicht. Wenn die im empfangsseitigen Signaturdaten-Speicherbereich gespeicherten wiederhergestellten Signaturdaten Dummy-Daten sind, schreitet der Prozess zu Schritt S600 voran, in welchem das Gültigkeitsflag gelöscht (AUS) wird. Anschließend wird der Prozess unmittelbar beendet.
-
Wenn die wiederhergestellten Signaturdaten keine Dummy-Daten sind, schreitet der Prozess zu Schritt S530 voran, in dem bestimmt wird, ob das aus den wiederhergestellten Signaturdaten extrahierte elektronische Zertifikat mit dem im Zertifikat-Speicherbereich gespeicherten elektronischen Zertifikat übereinstimmt oder nicht. Wenn das elektronische Zertifikat aus den wiederhergestellten Signaturdaten mit dem elektronischen Zertifikat aus dem Zertifikat-Speicherbereich übereinstimmt, wird der anschließende Vorgang in Schritt S570 unter Verwendung des öffentlichen Schlüssels ausgeführt, der im Zertifikat-Speicherbereich gespeichert ist, zusammen mit dem elektronischen Zertifikat für den öffentlichen Schlüssel.
-
Wenn in Schritt S530 bestimmt wird, dass das aus den wiederhergestellten Signaturdaten extrahierte elektronische Zertifikat nicht mit dem im Zertifikat-Speicherbereich gespeicherten elektronischen Zertifikat übereinstimmt, schreitet der Prozess zu Schritt S540 voran, in welchem der erste Verifizierungsprozess zur Verifizierung des öffentlichen Schlüssels, der aus den wiederhergestellten Signaturdaten extrahiert wird, vom Kryptographie-Prozessor 7 unter Verwendung des aus den wiederhergestellten Signaturdaten extrahierten elektronischen Zertifikats ausgeführt wird.
-
Anschließend schreitet der Prozess in Schritt S550 dann, wenn der öffentliche Schlüssel im ersten Verifizierungsprozess nicht vom Kryptographie-Prozessor 7 verifiziert werden kann, zu Schritt S600 voran, in welchem das Gültigkeitsflag gelöscht (AUS) wird. Anschließend wird der Prozess beendet.
-
Demgegenüber schreitet der Prozess dann, wenn der öffentliche Schlüssel in Schritt S550 erfolgreich verifiziert wird, zu Schritt S560 voran, in welchem das elektronische Zertifikat und der verifizierte öffentliche Schlüssel, die beide aus den wiederhergestellten Signaturdaten extrahiert werden, im Zertifikat-Speicherbereich gespeichert werden. Anschließend schreitet der Prozess zu Schritt S570 voran.
-
In Schritt S570 wird der zweite Verifizierungsprozess zur Verifizierung der empfangenen Kommunikationsdaten vom Kryptographie-Prozessor 7 ausgeführt, wobei die verschlüsselten Daten, die aus den wiederhergestellten Signaturdaten extrahiert werden, unter Verwendung des im ersten Verifizierungsprozess für gültig verifizierten öffentlichen Schlüssels entschlüsselt werden, woraufhin die wiederhergestellten Verifizierungsdaten (wie beispielsweise der Message Digest), die erhalten werden, indem die verschlüsselten Daten entschlüsselt werden, mit den aus den empfangenen Kommunikationsdaten (eigentlich der Einheit von Kommunikationsdaten) generierten Verifizierungsdaten verglichen werden.
-
Anschließend wird in Schritt S580, wenn die Kommunikationsdaten im zweiten Verifizierungsprozess vom Kryptographie-Prozessor 7 erfolgreich für gültig verifiziert werden, das Gültigkeitsflag in Schritt S590 gesetzt (EIN). Anschließend wird der Prozess beendet. Wenn die Kommunikationsdaten nicht verifiziert werden können, wird das Gültigkeitsflag in Schritt S600 gelöscht (AUS). Anschließend wird der Prozess beendet.
-
Wenn die Kommunikationsdaten 1 bis 2M beispielsweise, wie in 5 gezeigt, zum Zeitpunkt T2 nicht für gültig verifiziert sind, bleibt das Gültigkeitsflag gelöscht (AUS), bevor der Zeitpunkt T3 erreicht wird. Folglich werden die Kommunikationsdaten 4M+1 bis 6M im Kollisionsvermeidungsprozess (S400) nicht verwendet werden. Wenn die Kommunikationsdaten 2M+1 bis 4M zum Zeitpunkt T3 für gültig verifiziert sind, können die Kommunikationsdaten 6M+1 bis 8M, die während einer Zeitspanne T3–T4 empfangen werden, als gültige Daten betrachtet werden, vorausgesetzt, dass die Kommunikationsdaten 6M+1 bis 8M mit den setzten verifizierten Kommunikationsdaten 4M konsistent sind. Dementsprechend können die Kommunikationsdaten 6M+1 bis 8M im Kollisionsvermeidungsprozess verwendet werden (S400).
-
Bei dem Kommunikationssystem der obigen Ausführungsform erzeugt die Fahrzeug-Vorrichtung 1 auf der Sendeseite, wie vorstehend beschrieben, Signaturdaten für jede Einheit von Kommunikationsdaten bestehend aus M × N Teilen von zu sendenden Kommunikationsdaten, teilt die Fahrzeug-Vorrichtung 1 die erzeugten Signaturdaten in M Teile von geteilten Signaturdaten und sendet die Fahrzeug-Vorrichtung 1 die M Teile von geteilten Signaturdaten nacheinander und periodisch in N Runden, den aufeinander folgenden Teilen von Kommunikationsdaten beigefügt.
-
Demgegenüber stellt die Fahrzeug-Vorrichtung 1 auf der Empfangsseite jede Einheit von Kommunikationsdaten aus M × N Teilen von empfangenen Kommunikationsdaten wieder her, stellt die Fahrzeug-Vorrichtung 1 auf der Empfangsseite die Signaturdaten für die wiederhergestellte Einheit von Kommunikationsdaten aus M Teilen von empfangenen geteilten Signaturdaten wieder her (die jeweils aus empfangenen zusätzlichen Daten extrahiert werden), und verifiziert die Fahrzeug-Vorrichtung 1 auf der Empfangsseite die wiederhergestellte Einheit von Kommunikationsdaten auf der Grundlage der wiederhergestellten Signaturdaten, um so die Kommunikationsdaten der wiederhergestellten Einheit von Kommunikationsdaten zu verifizieren.
-
Auf diese Weise werden, im Kommunikationssystem der vorliegenden Ausführungsform, die Signaturdaten zur Verifizierung der Einheit von Kommunikationsdaten nicht in einer nicht geteilten Form übertragen, sondern in einer geteilten Form, gemäß der die Signaturdaten in M zu übertragende Teile geteilt sind, welche den Kommunikationsdaten beigefügt sind. Hierdurch kann eine signifikante Erhöhung der Datenmenge von zusätzlichen Daten in jedem Kommunikationsrahmen zur Verifizierung der Kommunikationsdaten verhindert werden.
-
Folglich wird es möglich, das elektronische Signaturverfahren zu realisieren, ohne den Durchsatz der Kommunikationsdaten signifikant zu verringern, so dass sowohl der Durchsatz als auch das Sicherheitsniveau, die für das Kommunikationssystem erforderlich sind, gewährleistet werden können.
-
Im Kommunikationssystem der obigen Ausführungsform kann die empfangsseitige Fahrzeug-Vorrichtung 1, da die M Teile von geteilten Signaturdaten in N Runden nacheinander und periodisch gesendet werden, die Signaturdaten zuverlässig wiederherstellen, sofern nicht wenigstens ein Teil von geteilten Signaturdaten in allen N Runden nicht empfangen wird.
-
Folglich können die Kommunikationsdaten auch in Fällen, in denen ein teilweiser Datenverlust aufgrund von Kommunikationsfehlern auftritt, verifiziert werden.
-
Ferner bestimmt die empfangsseitige Fahrzeug-Vorrichtung 1, dass die empfangenen Kommunikationsdaten, die mit den wiederhergestellten Signaturdaten nicht verifiziert werden, konsistent sind, wenn eine Verschiebung zwischen Positionsinformation, die in den nicht verifizierten Kommunikationsdaten enthalten ist, und Positionsinformation, die in den letzten verifizierten (für gültig erklärten) Kommunikationsdaten enthalten ist, innerhalb eines vorbestimmten erwarteten Bereichs liegt. Wenn die nicht verifizierten Kommunikationsdaten konsistent sind, darf die empfangsseitige Fahrzeug-Vorrichtung 1 anschließend die nicht verifizierten Kommunikationsdaten im Kollisionsvermeidungsprozess verwenden.
-
Folglich kann die Fahrzeug-Vorrichtung 1 der vorliegenden Ausführungsform sich selbst auf der Grundlage der nicht verifizierten nicht fehlerhaften Kommunikationsdaten in Echtzeit steuern.
-
Ferner kann bei der Fahrzeug-Vorrichtung 1 der vorliegenden Ausführungsform dann, wenn die Korrekturinformation anzeigt, dass die Positionsinformation korrigiert worden ist, angenommen werden, dass die Kommunikationsdaten konsistent sind, auch wenn die Verschiebung außerhalb des erwarteten Bereichs liegt. Hierdurch können eigentlich normale empfangene Kommunikationsdaten genutzt werden, ohne dass diese unnötigerweise als fehlerhaft verworfen werden.
-
Wenn eine Kommunikation mit der Fahrzeug-Vorrichtung 1 des Kommunikationspartners gestartet wird, ist das Eigenfahrzeug im Wesentlichen einen bestimmten Abstand (in etwa einen Radius des Abdeckungsbereichs der Funkkommunikationseinheit 6, wie beispielsweise 200 m) vom Fahrzeug des Kommunikationspartners beabstandet. Folglich verbleibt ein Kollisionsrisiko zwischen dem Eigenfahrzeug und dem Fahrzeug des Kommunikationspartners auch nach einem Verstreichen einer Zeitspanne vom Start eines Empfangs von Kommunikationsdaten vom Fahrzeug des Kommunikationspartners bis zum Abschluss der ersten Verifizierung von empfangenen Kommunikationsdaten nach dem Start des Empfangs gering.
-
(Zweite Ausführungsform)
-
Nachstehend wird ein Kommunikationssystem gemäß einer zweiten Ausführungsform beschrieben. Der Einfachheit halber werden nachstehend einzig die Unterschiede zur ersten Ausführungsform aufgezeigt.
-
(Sendeprozess)
-
In Schritt S210 werden die Signaturdaten, wie in 4 gezeigt, durch den Kryptographie-Prozessor 7 für eine Einheit von Kommunikationsdaten bestehend aus M × N Teilen von Kommunikationsdaten, die im sendeseitigen Kommunikationsdateneinheit-Speicherbereich gespeichert sind, erzeugt. Anschließend werden die erzeugten Signaturdaten, wie in 9C gezeigt, codiert, indem eine Block-Fehlerkorrekturcodierung angewandt wird, woraufhin die codierten Daten im sendeseitigen Signaturdaten-Speicherbereich gespeichert werden.
-
Bei der vorliegenden Ausführungsform werden die codierten Daten in M Teile von geteilten Signaturdaten geteilt, bevor sie im sendeseitigen Signaturdaten-Speicherbereich gespeichert werden, ähnlich der vorstehend beschriebenen Weise.
-
Die Block-Fehlerkorrekturcodierung kann beispielsweise, ohne darauf beschränkt zu sein, eine Reed-Salomon-Codierung umfassen. Ferner kann angenommen werden, dass in Fällen, in denen einzig ein Teil von geteilten Signaturdaten fehlt, die Signaturdaten auf der Empfangsseite wieder hergestellt werden können.
-
(Empfangsprozess)
-
Nachstehend wird ein Empfangsprozess, insbesondere ein Verifizierungsprozess, unter Bezugnahme auf das in der 8 gezeigte Ablaufdiagramm beschrieben. Gleiche Schritte in den Zeichnungen sind durchgehend mit den gleichen Bezugszeichen versehen.
-
In Schritt S510 wird bestimmt, ob in allen der Blöcke im empfangsseitigen Signaturdaten-Speicherbereich die geteilten Signaturdaten gespeichert sind oder nicht. Wenn wenigstens ein Block keine geteilten Signaturdaten aufweist, wird in Schritt S512 bestimmt, ob es möglich ist, die Signaturdaten unter Verwendung einer Fehlerkorrekturdecodierung (wie beispielsweise einer Reed-Salomon-Decodierung) wiederherzustellen oder nicht. Wenn es nicht möglich ist, wird das Gültigkeitsflag in Schritt S600 gelöscht (AUS). Anschließend wird der Prozess beendet.
-
Insbesondere wird in Schritt S512, wenn nur ein Block von geteilten Signaturdaten fehlt, bestimmt, dass die Signaturdaten wiederhergestellt werden können (aus der Annahme). In Fällen, in denen jedoch mehr als ein Block von geteilten Signaturdaten fehlt, wird bestimmt, dass die Signaturdaten nicht wiederhergestellt werden können.
-
Wenn in Schritt S510 bestimmt wird, dass alle der Blöcke entsprechende geteilte Signaturdaten aufweisen, oder wenn in Schritt S512 bestimmt wird, dass die Signaturdaten wiederhergestellt werden können, werden die im empfangsseitigen Signaturdaten-Speicherbereich gespeicherten codierten Daten (M oder M-1 Teile von geteilten Signaturdaten) in Schritt S514 decodiert, um die ursprünglichen Signaturdaten in den Originalzustand zurückzusetzen und wiederherzustellen. Anschließend schreitet der Prozess zu Schritt S520 voran.
-
Die Operationen in den anschließenden Schritten S520 bis S600 gleichen denjenigen der ersten Ausführungsform.
-
Im Kommunikationssystem der vorliegenden Ausführungsform können die Signaturdaten auch dann, wenn einige Teile von geteilten Signaturdaten fehlen, wiederhergestellt werden, vorausgesetzt, dass die Anzahl von fehlenden Teilen von geteilten Signaturdaten innerhalb einer zulässigen Anzahl liegt (wie beispielsweise eins bei der vorliegenden Ausführungsform) und folglich wiederhergestellt werden kann, um die empfangenen Kommunikationsdaten mit den wiederhergestellten Signaturdaten zu verifizieren.
-
Bei der vorliegenden Ausführungsform wird angenommen, dass die Widerholungsanzahl N größer oder gleich 2 ist. Alternativ kann die Widerholungsanzahl N auf 1 festgelegt sein.
-
(Dritte Ausführungsform)
-
Nachstehend wird ein Kommunikationssystem gemäß einer dritten Ausführungsform beschrieben. Hierbei werden einzig auf die Unterschiede zur ersten und zweiten Ausführungsform aufgezeigt. Nachstehend wird die Wiederholungsanzahl N der Einfachheit halber als einen Wert von 1 aufweisend angenommen.
-
Die 10A und 10B zeigen einen Erzeugungsprozess der Signaturdaten bzw. einen Verifizierungsprozess der Kommunikationsdaten.
-
Auf der Sendeseite werden die Signaturdaten, wie in 10A gezeigt, wie folgt für jede Einheit von Kommunikationsdaten bestehend aus M Teilen von Kommunikationsdaten erzeugt.
-
Für jede Einheit von Kommunikationsdaten bestehend aus M Teilen von zu sendenden Kommunikationsdaten werden M Teile von Verifizierungsdaten (wie beispielsweise M Message Digests, die jeweils durch eine Hash-Funktion erzeugt werden), erzeugt, woraufhin Verbunddaten A erzeugt werden, indem M Teile von Teilverifizierungsdaten (d. h. Teildaten von Verifizierungsdaten) verkettet werden. Anschließend werden die Verbunddaten A verschlüsselt, woraufhin die Signaturdaten erzeugt werden, indem ein öffentlicher Schlüssel, ein elektronisches Zertifikat für den öffentlichen Schlüssel den verschlüsselten Daten (verschlüsselte Verbunddaten A) beigefügt werden.
-
Gleich der zweiten Ausführungsform werden die Signaturdaten mit der Block-Fehlerkorrekturcodierung codiert und die codierten Daten in M Teile von geteilten Signaturdaten geteilt, die jeweils in zusätzlichen Daten enthalten sein werden, welche den in einem Kommunikationsrahmen zu sendenden Kommunikationsdaten beigefügt werden.
-
Auf der Empfangsseite des Kommunikationsrahmens werden die Signaturdaten, wie in 10B gezeigt, aus den empfangenen Kommunikationsrahmen extrahiert (wie bei der zweiten Ausführungsform), woraufhin die verschlüsselten Daten aus den Signaturdaten extrahiert werden. Die Verbunddaten A werden erhalten, indem die verschlüsselten Daten mit dem öffentlichen Schlüssel entschlüsselt werden. Parallel zu diesen Operationen werden Verifizierungsdaten aus den empfangenen Kommunikationsdaten erzeugt, woraufhin Verbunddaten B aus den M Teilen von empfangenen Kommunikationsdaten erzeugt werden, indem M Teile von Teilverifizierungsdaten gleich der vorstehend beschriebenen Weise verkettet werden.
-
Anschließend wird bestimmt, ob die Verbunddaten A, B miteinander übereinstimmen oder nicht, indem jedes Teil von Teilverifizierungsdaten der Verbunddaten A mit einem entsprechenden Teil von Teilverifizierungsdaten der Verbunddaten B verglichen wird. Wenn die Verbunddaten A, B miteinander übereinstimmen, werden alle der Teile der empfangenen Kommunikationsdaten als gültig verifiziert.
-
In Fällen, in denen einige Teile von geteilten Signaturdaten aufgrund von Kommunikationsfehlern fehlen, können die Signaturdaten wiederhergestellt werden, vorausgesetzt, dass die Anzahl von fehlenden Teilen von geteilten Signaturdaten kleiner oder gleich einer zulässigen Anzahl (wie beispielsweise eins bei der vorliegenden Ausführungsform) ist, so dass die Verbunddaten A wiederhergestellt werden können. Bezüglich der Kommunikationsdaten kann die Einheit von Kommunikationsdaten jedoch nicht wiederhergestellt werden, da einige Teile von empfangenen Kommunikationsdaten immer noch fehlen. Folglich verbleiben einige Teile von Teilverifizierungsdaten der Verbunddaten B, die fehlenden Teilen von empfangenen Kommunikationsdaten entsprechen, fehlend (siehe schraffierte Blöcke in der 10B).
-
In diesem Fall wird dann, wenn die verbleibenden Teile der Teilverifizierungsdaten für die Verbunddaten B mit einem entsprechenden Teil von Teilverifizierungsdaten für die Verbunddaten A übereinstimmen, bestimmt, dass einige Teile von Kommunikationsdaten entsprechend den verbleibenden Teilen von Teilverifizierungsdaten für die Verbunddaten B für gültig erklärt werden.
-
Bei dem Kommunikationssystem der vorliegenden Ausführungsform können, wie vorstehend beschrieben, auch dann, wenn einige Teile der M Teile von Kommunikationsdaten, die eine Einheit von Kommunikationsdaten bilden, für welche die Signaturdaten erzeugt werden, fehlen, die verbleibenden Teile von Kommunikationsdaten ohne irgendwelche Schwierigkeiten für gültig erklärt werden, so dass die verbleibenden Teile von empfangenen Kommunikationsdaten genutzt werden können und nicht unnötigerweise verworfen werden.
-
Die obige Beschreibung der dritten Ausführungsform basiert auf dem Kommunikationssystem der zweiten Ausführungsform, bei welchem die Signaturdaten durch die Fehlerkorrekturcodierung codiert werden. Alternativ kann die dritte Ausführungsform jedoch auch auf dem Kommunikationssystem der ersten Ausführungsform basieren, bei dem M Teile von geteilten Signaturdaten nacheinander und periodisch in N (≥ 2) Runden übertragen werden.
-
Die vorliegende Erfindung ist nicht auf die vorstehend beschriebenen Ausführungsformen beschränkt, sondern kann, wie Fachleuten ersichtlich sein wird, auf verschiedene Weise modifiziert werden, ohne ihren Schutzumfang zu verfassen, so wie er in den beigefügten Ansprüchen dargelegt wird. Die hierin verwendeten bestimmten Begriffe sollen nicht als beschränkend, sondern lediglich als die Erfindung beschreibend verstanden werden.
-
Bei den vorstehend offenbarten Ausführungsformen ist der Kryptographie-Prozessor 7 dazu ausgelegt, den ersten Verifizierungsprozess (S540) und den zweiten Verifizierungsprozess (S570) auszuführen. Alternativ kann der Kryptographie-Prozessor 7 dazu ausgelegt sein, alle der Verifizierungsprozesse auszuführen.
-
Bei den vorstehend offenbarten Ausführungsformen dient die Fahrzeug-Vorrichtung 1 als Transceiver. Alternativ kann die Fahrzeug-Vorrichtung 1 entweder als Sender oder als Empfänger dienen.
-
Bei den vorstehend offenbarten Ausführungsformen ist das Fahrzeug-Fahrzeug-Kommunikationssystem beschrieben worden. Die Erfindung ist jedoch auf jedes beliebige Kommunikationssystem anwendbar, das zusätzliche Daten zur Verifizierung der Kommunikationsdaten den Kommunikationsdaten beifügt und die Kommunikationsdaten zusammen mit den diesen Kommunikationsdaten beigefügten zusätzlichen Daten sendet und empfängt.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- JP 2010-98952 [0001]
- JP 2009-081524 [0003]
