JP2008271506A - 機密保護装置 - Google Patents

Abstract

【課題】車両，航空機，船舶等用の機密保護装置（ＳＣＵ）を提供する。
【解決手段】機密保護装置（ＳＣＵ）が、少なくとも１つの暗号モジュール（ＫＵ）を有する。暗号鍵が、この暗号モジュール（ＫＵ）によって生成、記憶、管理、及び／又は処理される。ＳＣＵは、ＳＣＵが通信体系（ＫＶ）の１つ又は多数の制御装置（ＥＣＵ）と通信するため少なくとも１つの内部通信モジュール（ＩＫＯＭ）を有する。さらにプログラミングモジュールが、ソフトウェアモジュール及びデータ並びにそれらの信頼性検査及び保全性検査をＳＣＵ内に後に転送するために設けられている。さらにＳＣＵは、調整モジュール（ＫＭ）を有し、ＫＭがＳＣＵのハードウェア資源を管理し、この資源をアプリケーションに割り当て、ＳＣＵのモジュール間の通信を保証する。
【選択図】図２

Description

本発明は、例えば車両，航空機，船舶又は遠隔管理される設備用の機密保護装置に関する。

このような機械設備（例えば、車両）は、一般に多数の電気構成要素又は電子構成要素を有する。これらの構成要素又はこれらの構成要素の制御装置が、通信網を通じて互いに接続され、それ故に通信体系を構成し得る。通信網は、本発明の範囲内では特にバスシステム、例えば自動車，航空機，船舶のバスシステム又は生産ライン内の機械用若しくは遠隔管理される設備用のバスシステムつまり通信網を意味する。これらの機械装置（例えば、自動車）は、今日では多数の制御装置を有する。これらの制御装置は、プログラミング可能な制御装置として構成され得、常により高い頻度でこれらの制御装置の周囲に結合されている。この理由から、これらのような制御装置のデータの保全性及び信頼性を保証することが試みられている。この場合、データの保全性及び信頼性を保証するために暗号化方法を使用することが基本的に公知である。車両では、暗号化して保護されたプロトコルを使用して、工場内のデータ及びフィールド内のデータを保護して車両に転送することが既に公知である。これらに限って公知の方法は、ソフトウェアを基礎にしかつ暗号化して保護された記憶器領域を有さないか又は不十分に暗号化して保護された記憶器領域しか有さないプロセッサに対して有効である。さらにこれらのプロセッサは、複雑に暗号化されたプロトコル及び計算操作に対して必要な計算性能を持たない。

本発明の課題は、例えば車両等用の冒頭で説明した種類の高い信頼性を保証する機密保護装置を完全でかつ速い応答の機能でもって提供することにある。

この課題を解決するため、本発明は、例えば車両，航空機，船舶等用の機密保護装置(Secure Communication Unit)を提唱する。この場合、機密保護装置は、少なくとも１つの暗号モジュール(Krypto Unit)を有する。暗号鍵が、この暗号モジュールによって生成され、記憶され、管理され及び／又は処理される。この場合、機密保護装置は、この機密保護装置内に個々のモジュールを調整するための少なくとも１つの調整モジュールを有する。この機密保護装置内に組み込まれた暗号モジュールが、暗号鍵、例えば対称な鍵又は非対称な鍵を生成する。こうして、インターフェースを通じて別のモジュールから受信されるデータを暗号化及び／又は署名することができる。さらに、インターフェースを通じて別のモジュールから受信されるデータを、暗号モジュールによって復号化し及び／又は署名を検査若しくは評価することができる。この場合、機密保護装置は、この機密保護装置内に個々のモジュールを調整して通信するための少なくとも１つの調整モジュールを有する。この調整モジュールは、ハードウェア資源を評価し、これらの資源をアプリケーションに割り当て、機密保護装置のモジュール間の通信を保証する、つまりこれらのモジュールを制御する。この形態では、機密保護装置内の個々のモジュールが、相互に影響を受けることなしに稼働できること、及び、暴露時には、暴露されたモジュールが、接続されている残りのモジュールに対しても閉鎖されることを、この調整モジュールは保証する。調整モジュールは、本発明の機密保護装置の故障信頼性を保証する。好適な実施形によれば、機密保護装置は、プログラミングモジュールを少なくとも装備する。機密保護装置つまり機密保護装置の１つのモジュール又は多数のモジュールが、例えば外部システムを介してこのプログラミングモジュールによってプログラミング可能である。暗号モジュールは、特に好ましくはハードウェアモジュールとして構成されている。さらに調整モジュール及び／又はプログラミングモジュールも、ハードウェアモジュールとして構成されていると好都合である。

例えば本発明の機密保護装置は、例えば車両，航空機，船舶等の通信体系に対して規定され得る、つまりこのような通信体系内に組み込まれ得る。このような通信体系は、通信網、例えばバスを通じて互いに接続されている個々の電気構成要素又は電子構成要素の多数の制御装置から構成できる。この場合、本発明の機密保護装置がこの通信網を通じてその他の制御装置に接続されていることが可能である。このため機密保護装置は、この機密保護装置と通信体系の１つ又は多数の制御装置(Electronic Control Unit)との通信のための内部通信モジュールを有する。この内部通信モジュールは、（オプション的に）プログラミングモジュールによって後に転送され得る。

本発明は、機密保護装置が対応する制御装置を有する多数の電気装置又は電子装置を備える通信体系内に組み込まれている場合に、この通信体系内の信頼性が著しく向上するという認識から出発する。この機密保護装置は、特に暗号モジュールを有する。この暗号モジュールは、例えばＡＳＩＣ又はＦＰＧＡとしてのハードウェアで実現されている。暗号装置が、確実な方法で暗号鍵の材料を生成して記憶する。暗号操作及びデータの記憶が、暗号モジュールによって確実にかつ迅速に実行される。調整モジュールは、説明した機能を確実でかつ効率良く管理し、１つのモジュールが暴露された場合に通信モジュールに接続されているモジュールを閉鎖する。この場合、暴露されたモジュールに対するこの閉鎖は、通信モジュールに対するアクセスを遮断することによって実施される。プログラミングモジュールは、モジュールの確実な再転送を保証して、機密保護装置を様々な使用環境、例えば自動車メーカーの要求に適合させる。

機密保護装置を通信体系内に組み込む説明した可能性は、本発明の可能な実施形を表す。しかしながら本発明の機密保護装置は、単独でつまりこのような通信体系から独立して、したがって「スタンド・アロンモジュール」で稼働されてもよい。したがって本発明の範囲内では、機密保護装置が、例えば内部通信モジュールを通じて通信体系と（直接）交信するのではなくて、それ自体が機密保護装置の対象でないプロセッサと交信することが考えられる。このような通信は、以下でさらに説明するプロセッサ通信モジュールを通じて実施できる。このプロセッサ通信モジュールは、同様に機密保護装置内に組み込まれ得る。

したがって好適な実施形では、機密保護装置は、ハードウェアで実現された暗号装置，ハードウェアで実現された調整モジュール，ハードウェアで実現されたプログラミングモジュール及び暗号装置によるアクセス権の付与後にオプション的にプログラミング可能である内部通信モジュールから少なくとも構成される。

本発明の別の実施の形態によれば、機密保護装置は、この機密保護装置が１つ又は多数の外部装置と通信するための少なくとも１つの外部通信モジュールを有する。外部装置は、通信体系内に組み込まれていない装置を意味する。したがって機密保護装置は、通信体系外のシステムと交信するために（追加の）外部通信モジュールを使用できる。別のオプション的な構成では、機密保護装置は、この機密保護装置が少なくとも１つの外部プロセッサと交信するための少なくとも１つのプロセッサ通信モジュールを有する。したがってこの機密保護装置は、この内部プロセッサ通信モジュールを通じてもう１つのプロセッサに接続できる。この内部プロセッサ通信モジュールは、暗号装置によるアクセス権の付与後にプログラミング可能である。さらに機密保護装置は、さらなるモジュールを暗号モジュールによるアクセス権の付与後にこの機密保護装置に転送すること及び調整モジュールに対して申請することが可能である。

この内部通信モジュールは、ハードウェアモジュールとしてもソフトウェアモジュールとしても構成され得る。さらに、外部通信モジュールをハードウェアモジュール又はソフトウェアモジュールとして構成することが可能である。最後にプロセッサ通信モジュールは、ハードウェアモジュール又はソフトウェアモジュールとして構成され得る。

内部通信モジュール，外部通信モジュール，プログラミングモジュール及び／又はプロセッサ通信モジュールは、調整モジュールを通じて暗号装置に接続できる、つまり調整モジュールを通じて暗号装置にアクセスできる。

したがって本発明の範囲内では、確実に暗号化された信頼点を例えば自動車メーカー単独の管理の下に車両内で生成することができる。機密保護を暗号機能に基づいて保証するため、この秘密鍵は、暗号化方法及びこれらの暗号化方法のアプリケーションに十分な効力を与え、暗号操作を十分速く実施できる。この場合、この機密保護は、特に時間がない状況でも車両内で保証される。これらの状況とは、車両を低コストで生産する速い流れ作業過程，整備コストを最少にする速いサービス過程，車両間の通信及び車両へのオンラインアクセスである。さらに本発明は、車両，航空機及び船舶の範囲内で使用環境に関する要求を特に考慮する必要があるという認識から出発する。以下に、本発明を１つの実施の形態だけによって示した図に基づいて詳しく説明する。

これらの図中には、多数の電気構成要素及び電子構成要素を有する装置用の通信体系ＫＶが示されている。この装置は、例えば車両である。個々の電気構成要素及び電子構成要素はそれぞれ、１つの制御装置ＥＣＵを有する。個々の制御装置ＥＣＵは、通信網ＢＵＳを通じて互いに接続されている。この通信網ＢＵＳは、この実施の形態ではＢＵＳとして構成されている。このような車両のバスは、例えばＣＡＮバスである。この示された実施の形態では、機密保護装置ＳＣＵが、この通信体系ＫＶ内に組み込まれている。この機密保護装置ＳＣＵは、−その他の制御装置のように−ＢＵＳシステムに接続されている。このＢＵＳシステムは、図１中に概略的に示されている。しかしながらこの機密保護装置ＳＣＵは、単独でつまり示された通信体系なしに、すなわち「スタンド・アロンモード」で稼働されてもよい。

この本発明のＳＣＵの構成及び機能は、特に図２に示されている。

車両のバスに接続されているこの機密保護装置ＳＣＵは、まず第一に暗号モジュールＫＵ，調整モジュールＫＭ，プログラミングモジュールＰＭ及び内部通信モジュールＩＫＯＭを有する。いずれの場合でも暗号モジュールＫＵ，調整モジュールＫＭ及びプログラミングモジュールＰＭは、ハードウェアで実現されている。内部通信モジュールＩＫＯＭは、オプションで設けられている。この内部通信モジュールＩＫＯＭは、例えばプログラミングモジュールＰＭによって後に転送され得る。

さらにこの実施の形態では、外部通信モジュールＥＫＯＭ及びプロセッサ通信モジュールＩＰＣＭが、機密保護装置ＩＰＣＭ内に組み込まれている。

この機密保護装置ＳＣＵの機能上の中心部は、ハードウェアモジュールとして構成された暗号装置つまり暗号モジュールＫＵである。暗号鍵が、この暗号モジュールＫＵによって生成され、記憶され、管理され及び／又は処理される。この暗号モジュールＫＵは、暗号鍵の材料を生成して管理するための安全な環境を提供できる。さらに安全な記憶器領域を提供できる。これらの安全な記憶器領域は、アクセス権が付与されなかった任意のデータ、特に暗号鍵の読み取り及び書き込みに対して保護されている。さらにこれらの記憶器領域は、そこに記憶されたデータのアクセス及び管理に関して構成可能である。すなわち、これらのデータが再び送信可能であるか又は機密保護装置内だけで使用されなければならないかを設定することができる。

この場合、暗号装置ＫＵは、構成可能な長さの乱数及び／又は構成可能な長さの対称な鍵及び／又は構成可能な長さの非対称な鍵を機密保護装置の内部命令によって生成することが可能である。この場合、暗号装置ＫＵは、一般的なインターフェースを有する。さらに構成可能なアルゴリズムが組み込まれている。すなわち暗号モジュールＫＵが、アルゴリズムに関するデータ入力によって構成され得る。この場合、一般的なインターフェースが、外部に対して不変である。こうして、任意のデータが、暗号化され得るつまり対称に若しくは非対称に電子署名され得るか、又は、データの識別特徴も計算され得る。さらに暗号装置は、インターフェースを有する。暗号装置は、このインターフェースを通じてＰＫＩ（公開鍵インフラストラクチャ）に接続され得る。したがって説明したように、非対称な鍵の対を確実に生成し、記憶し、このＰＫＩに対する証明の問い合わせを送信することができる。この場合、暗号モジュールＫＵは、証明の問い合わせを送信することができ、証明書を受信することができる。さらに暗号装置ＫＵは、機密保護装置ＳＣＵの外側の記憶器領域をこの機密保護装置の外側からの読み取りアクセス及び書き込みアクセスに対して保護することが可能である。場合によっては付随する証明書を含む電子署名が、暗号モジュールＫＵによって（対称にかつ非対称に）検査される。さらに暗号装置ＫＵは、十分な時間で稼働できる。暗号装置ＫＵは、ハードウェアモジュールとして実現されているので、この暗号装置ＫＵはアクセス権の付与なしには外部からプログラミングできないことが保証されている。

図２中に示された調整モジュールＫＭは、暗号モジュールＫＵに加えて信頼性に関連する中心部を構成し、個々のモジュールが相互に影響を受けることなしに機密保護装置内で確実に稼働されることを保証する。暴露された場合には、調整装置ＫＭは、暴露されたモジュールを接続されている残りのモジュールに対して閉鎖する。こうして調整モジュールは、中央のＳＣＵの通信インターフェースとして機能中に暴露されたモジュールとの交信を停止することが可能である。調整モジュールＫＭは、機密保護装置ＳＣＵのハードウェア資源を管理し、これらのハードウェア資源をそれぞれのモジュール又はアプリケーションに割り当てる。必要であるならば、調整モジュールＫＭは、機密保護装置の個々のモジュール間の通信を保証する。

本発明の範囲内では、さらに（オプション的な）内部通信モジュールＩＫＯＭが重要である。内部は、この関係では通信体系ＫＶ内の通信、すなわち機密保護装置ＳＣＵと通信体系の個々の制御装置ＥＣＵとの通信を意味する。これらの制御装置ＥＣＵは、例えば対応する車両構成要素の構成要素でもよいし又はこのような車両構成要素に付設されてもよい。内部通信モジュールＩＫＯＭは、特に機密保護装置ＳＣＵと通信体系ＫＶのその他の制御装置ＥＣＵとの双方向通信を実現する。１つの制御装置ＥＣＵ自体が、１つの対応する機密保護装置を有し、したがって多数の機密保護装置が、１つの通信体系内に組み込まれている場合、確実でかつ偽装から保護されたデータ交換が、プロトコルを介してこれらの機密保護装置間で可能である。オプション的には、このデータ交換も機密である。この場合、図２は、内部通信モジュールＩＫＯＭが暗号化方法を使用するために調整モジュールＫＭを通じて暗号装置ＫＵにアクセスすることを示す。内部通信モジュールＩＫＯＭが、通信体系内に伝達される特定のデータに構成可能に「アクセス」することがオプション的に可能である。この場合、これらのデータが、暗号モジュールＫＵの安全な領域内に記憶されることが提唱され得る。

説明した内部通信モジュールＩＫＯＭが、通信体系内の通信を実現する一方で、さらに設けられている外部通信モジュールＥＫＯＭは、通信体系の機密保護装置と外部システム、例えば車両の外側のつまりＢＵＳに接続されていないシステムとの間のデータ通信を可能にする。このような外部システムＥＳは、例えば検査装置又は一時的に接続されているサーバでもよい。この場合、接続が構成される。すなわち外部通信モジュールＥＫＯＭが、暗号モジュールＫＵのアシストの下で外部システムＥＳを認証した時に初めて、接続が実施される。機密保護装置ＳＣＵも、外部通信モジュールＥＫＯＭのアシストの下で外部システムＥＳをオプション的に認証する。さらに、伝達されるデータを同様に確実にかつ必要ならば暗号化して伝達することがオプション的に可能である。この場合、データの認証は、接続の構成の認証にも結び付けられ得る。さらに外部通信モジュールＥＫＯＭが、データの転送を良好にする１つ又は多数のフィルタを有することが可能である。外部通信モジュールＥＫＯＭが、接続の認証データを記憶する。

さらに本発明の機密保護装置の重要な構成要素は、図２中に示されたプログラミングモジュールＰＭである。機密保護装置の記憶器領域に対する構成可能なアクセスが、このプログラミングモジュールＰＭによって可能である。その結果、モジュール及びデータが後に転送され得る。プログラムが、外部システムＥＳを通じて認証してアクセスされる。このことは、図２中に外部システムＥＳとプログラミングモジュールＰＭとの間の接続によって示されている一方で、このときプログラミングモジュールＰＭ自体は、調整モジュールＫＭに接続されている、その結果この調整モジュールＫＭを介して機密保護装置の残りのモジュールに接続されている。この場合、プログラミングモジュールは、後に転送されるモジュール及びデータの信頼性及び保全性を検査する。

機密保護装置が（オプション的な）プロセッサ通信モジュールＩＰＣＭを有し得る一方で、このプロセッサ通信モジュールＩＰＣＭは機密保護装置ＳＣＵのこのプロセッサ通信モジュールＩＰＣＭと別のプロセッサとの双方向通信を可能にすることが、最後に図２中に示されている。こうして機密保護装置ＳＣＵは、プロトコルを通じて暗号装置ＫＵの暗号サービスを別のプロセッサμＣに提供できる。図２中に示されたプロセッサは、この実施の形態ではマイクロコントローラμＣである。

（図示しなかった）異なる実施形では、機密保護装置が、通信体系と（直接）交信するのではなくて、例えばプロセッサ通信モジュールＩＰＣＭを介してプロセッサと交信する。このときこのプロセッサは、場合によっては情報／データを転送できる。本発明の範囲内で「スタンド・アロンモジュール」と呼ばれるこのような場合では、場合によっては内部通信モジュールＩＫＯＭが省略できる。

本発明の機密保持装置を有する通信体系の簡略化したブロック図である。 図１の通信体系の一部の概略図である。

符号の説明

ＳＣＵ 機密保護装置
ＥＣＵ 制御装置
ＢＵＳ 通信網
ＥＳ 外部システム
ＫＶ 通信体系
ＫＵ 暗号モジュール
ＥＫＯＭ 外部通信モジュール
ＫＭ 調整モジュール
ＩＰＣＭ プロセッサ通信モジュール
ＰＭ プログラミングモジュール
ＩＫＯＭ 内部通信モジュール
μＣ 外部プロセッサ

Claims (14)

1. 例えば車両，航空機，船舶等用の機密保護装置（ＳＣＵ）において、
   この場合、機密保護装置（ＳＣＵ）は、少なくとも１つの暗号モジュール（ＫＵ）を有し、暗号鍵が、この暗号モジュール（ＫＵ）によって生成され、記憶され、管理され及び／又は処理され、
   この場合、この機密保護装置（ＳＣＵ）は、機密保護装置（ＳＣＵ）内の個々のモジュールを調整するための少なくとも１つの調整モジュール（ＫＭ）を有する機密保護装置。
2. 暗号モジュール（ＫＵ）は、暗号鍵、例えば対称若しくは非対称な鍵を生成し及び／又はインターフェースを通じて別のモジュールから受信したデータを暗号化若しくは署名し及び／又はインターフェースを通じて別のモジュールから受信した暗号化されたデータを復号化し及び／又は署名を検査若しくは評価することを特徴とする請求項１に記載の機密保護装置。
3. 調整モジュール（ＫＭ）は、１つ又は多数のモジュールの暴露時にこの又はこれらの暴露されたモジュールを残りのモジュールのうちの１つ又は多数のモジュールに対して閉鎖することを特徴とする請求項１又は２に記載の機密保護装置。
4. 機密保護装置（ＳＣＵ）は、少なくとも１つのプログラミングモジュール（ＰＭ）を有し、機密保護装置つまり機密保護装置の１つ又は多数のモジュールが、このプログラミングモジュール（ＰＭ）を通じて例えば外部システム（ＥＳ）によってプログラミング可能であることを特徴とする請求項１〜３のいずれか１項に記載の機密保護装置。
5. 機密保護装置（ＳＣＵ）は、この機密保護装置が通信体系内に組み込まれなかった１つ又は多数の外部装置（ＥＳ）と通信するための少なくとも１つの外部通信モジュール（ＥＫＯＭ）を有することを特徴とする請求項１〜４のいずれか１項に記載の機密保護装置。
6. 機密保護装置（ＳＣＵ）は、この機密保護装置が少なくとも１つの外部プロセッサ（μＣ）と通信するための少なくとも１つのプロセッサ通信モジュール（ＩＰＣＭ）を有することを特徴とする請求項１〜５のいずれか１項に記載の機密保護装置。
7. 例えば車両，航空機，船舶等の特に通信体系用の機密保護装置において、機密保護装置（ＳＣＵ）は、少なくとも１つの通信網（ＢＵＳ）を通じて通信体系（ＫＶ）の多数の制御装置（ＥＣＵ）に接続されているか又は接続可能であることを特徴とする請求項１〜６のいずれか１項に記載の機密保護装置。
8. 機密保護装置（ＳＣＵ）は、この機密保護装置（ＳＣＵ）が通信体系（ＫＶ）の１つ又は多数の制御装置と通信するための少なくとも１つの内部通信モジュール（ＩＫＯＭ）を有することを特徴とする請求項７に記載の機密保護装置。
9. 通信網は、ＢＵＳシステム（ＢＵＳ）として構成されていることを特徴とする請求項７又は８に記載の機密保護装置。
10. 暗号モジュール（ＫＵ）は、ハードウェアモジュールとして構成されていることを特徴とする請求項１〜９のいずれか１項に記載の機密保護装置。
11. 調整モジュール（ＫＭ）及び／又はプログラミングモジュール（ＰＭ）は、ハードウェアモジュールとして構成されていることを特徴とする請求項１〜１０のいずれか１項に記載の機密保護装置。
12. 内部通信モジュール（ＩＫＯＭ），外部通信モジュール（ＥＫＯＭ）及び／又はプロセッサ通信モジュール（ＩＰＣＭ）は、ハードウェアモジュール及び／又はソフトウェアモジュールとして構成されていることを特徴とする請求項１〜１１のいずれか１項に記載の機密保護装置。
13. 内部通信モジュール（ＩＫＯＭ），外部通信モジュール（ＥＫＯＭ），プログラミングモジュール（ＰＭ）及び／又はプロセッサ通信モジュール（ＩＰＣＭ）は、調整モジュール（ＫＭ）を通じて暗号モジュール（ＫＵ）と交信するか又は暗号モジュール（ＫＵ）にアクセスすることを特徴とする請求項１〜１２のいずれか１項に記載の機密保護装置。
14. 少なくとも１つの通信網（ＢＵＳ）を通じて互いに接続されている多数の制御装置（ＥＣＵ）を有する通信体系であって多数の電気構成要素又は電子構成要素を備える装置、例えば車両，航空機，船舶等用の通信体系（ＫＶ）において、この場合、請求項１〜１３のいずれか１項に記載の少なくとも１つの機密保護装置（ＳＣＵ）が、通信網（ＢＵＳ）に接続されている通信体系（ＫＢ）。

Images