JP2013138320A - 車載システム及び通信方法 - Google Patents

Abstract

【課題】不正な外部ツールによる車載システムへの通信接続を抑制するための技術を提供する。
【解決手段】外部ツール２が、自身の公開鍵ＰｔのＩＤを車載システム１へ送信し（Ｓ２２，Ｓ２３）、車載システム１が、そのＩＤを、公開鍵Ｐｔと公開鍵ＰｔのＩＤとを対応付けて記憶するセンタ３へ送信する（Ｓ６３）。センタ３は、受信したＩＤに対応付けられた公開鍵Ｐｔを、ＩＤの送信元の車載システム１へ送信し（Ｓ４５，Ｓ４６）、車載システム１は、受信した公開鍵Ｐｔを用いて暗号化した共通鍵Ｃを外部ツール２へ送信する（Ｓ６４，Ｓ６５）。そして、外部ツール２は、暗号化された共通鍵Ｃを、自身の公開鍵Ｐｔと対をなす秘密鍵Ｓｔで復号化し（Ｓ２４，Ｓ２５）、その共通鍵Ｃを用いて車載システム１と暗号通信を行う（Ｓ２６）。
【選択図】図２

Description

本発明は、車載システムと外部ツールとの間で通信するための技術に関する。

従来、車両では、電子制御化の進歩に伴い、エンジンやブレーキ等といった各種の車両構成品が電子部品を介して制御され、これら電子部品に接続された電子制御装置（ＥＣＵ）の数も増加傾向にある。また、ＥＣＵは、相互間での連携動作や情報の共有化を可能とするために、ネットワーク（車載システム）を構築している。こうした車載システムは、コネクタ等を介して接続される外部ツールを用いて、ＥＣＵを介した車両状態の診断や、ＥＣＵに記憶されているプログラムの書換処理（リプログラミング）などを行うことができるように構成されている。

一方、伝送される情報のセキュリティ性を高めるために、伝送されるデータを暗号化する技術が知られており（特許文献１参照）、外部ツールと車載システムとの間の通信においても、暗号通信を行うことで、通信データの盗聴等を防止する効果が期待できる。

特開２００９−８１７５５号公報

ところで、前述した車載システムでは、不正な外部ツールを用いた不正行為（例えば、ＥＣＵプログラムの不正な書換えなど）が行われる懸念があった。
本発明は、こうした懸念にかんがみてなされたものであり、不正な外部ツールによる車載システムへの通信接続を抑制するための技術を提供することを目的としている。

請求項１に記載の車載システムは、外部ツールに関する情報を記憶するサーバと、サーバと通信するための通信手段を備える車載システムと、を備える車両用通信システムに用いられる。外部ツールは、車載システムとの通信に用いられるものであり、自身の秘密鍵であるツール秘密鍵を記憶する。そして、サーバは、外部ツールに関する情報として、ツール秘密鍵と対をなす公開鍵であるツール公開鍵及びそのツール公開鍵の識別情報である鍵識別情報を対応付けて記憶する。

車載システムでは、外部ツールから通信接続を要求された場合に、ツール鍵取得手段が、要求元の外部ツールについての鍵識別情報をサーバへ送信し、その鍵識別情報に対応付けられたツール公開鍵をサーバから取得する。そして、通信制御手段が、通信接続の要求元の外部ツールとの間で、ツール鍵取得手段により取得されたツール公開鍵を用いた暗号通信を行う。

このような車載システムによれば、サーバに記憶（登録）されたツール公開鍵を用いて外部ツールと暗号通信を行うため、暗号通信の対象となる外部ツールを、そのツール公開鍵と対をなすツール秘密鍵を記憶する外部ツールに制限することができる。すなわち、ツール公開鍵がサーバに記憶（登録）されていない外部ツールでは、サーバに記憶（登録）されているツール公開鍵の識別情報を仮に盗用したとしても、ツール秘密鍵を入手できない限り、そのツール公開鍵を用いた暗号通信を行うことができない。このため、ツール公
開鍵をサーバに登録することのできる外部ツールを、正規の外部ツールに制限することで、不正な外部ツールによる車載システムへの通信接続を抑制することができる。

具体的には、例えば請求項２に記載のように、通信制御手段は、外部ツールとの間でツール公開鍵を用いた公開鍵暗号方式の暗号通信を行い、共通鍵暗号方式の暗号通信を行うための共通鍵を共有するようにしてもよい。このようにすれば、共通鍵を共有した後には、公開鍵暗号方式の暗号通信に代えて、処理負荷の低い共通鍵暗号方式の暗号通信を行うことができる。

この場合、例えば請求項３に記載のように、更新手段が、共通鍵を更新するようにしてもよい。このようにすれば、共通鍵を更新しない構成と比較して、セキュリティ性を高くすることができる。

具体的には、例えば請求項４に記載のように、更新手段は、外部ツールと車載システムとの間での共通鍵暗号方式の暗号通信が完了するごとに、共通鍵を更新するようにしてもよい。このようにすれば、外部ツールと車載システムとの間で共通鍵暗号方式の暗号通信を行うごとに、異なる共通鍵が用いられるため、セキュリティ性を特に高くすることができる。

また、例えば請求項５に記載のように、更新手段は、更新後の共通鍵を、車両情報に基づいて生成するようにしてもよい。このようにすれば、車両情報に応じて共通鍵を変化させることができる。

ところで、車載システムが複数の電子制御装置を備え、個々の電子制御装置が外部ツールの通信対象となり得る場合、各電子制御装置がツール鍵取得手段及び通信制御手段を備えてもよいが、例えば請求項６に記載のようにしてもよい。すなわち、請求項６に記載の車載システムは、外部ツールと直接通信を行う第１の電子制御装置と、外部ツールと第１の電子制御装置を介して通信を行う第２の電子制御装置とを備える。そして、第１の電子制御装置が、ツール鍵取得手段及び通信制御手段を備える。このような車載システムによれば、各電子制御装置がツール鍵取得手段及び通信制御手段を備える構成と比較して、複数の電子制御装置による機能の重複を抑制することができる。

一方、例えば請求項７に記載の車載システムでは、記憶手段が、車載システムの秘密鍵である車両秘密鍵を記憶する。そして、ツール鍵取得手段は、外部ツールとの間で、車両秘密鍵と対をなす公開鍵である車両公開鍵を用いた公開鍵暗号方式の暗号通信を行い、外部ツールからその外部ツールについての鍵識別情報を取得するツール情報取得手段を備える。このような車載システムによれば、外部ツールについての鍵識別情報をセキュアな状態で取得することができる。

具体的には、例えば請求項８に記載のように、車両鍵生成手段が、車両秘密鍵及び車両公開鍵を生成し、記憶制御手段が、車両鍵生成手段により生成された車両秘密鍵を記憶手段に記憶させ、車両鍵送信手段が、車両鍵生成手段により生成された車両公開鍵をサーバへ送信するようにしてもよい。このような車載システムによれば、車両秘密鍵を車載システム以外の装置が生成する構成と比較して、車両秘密鍵をセキュアな状態で記憶することができる。しかも、車両公開鍵をサーバへ送信することで、外部ツールへの車両公開鍵の提供を行いやすくすることができる。

次に、請求項９に記載の通信方法は、車載システムとの通信に用いられる外部ツールと、車載システムと、が通信を行うための通信方法である。この通信方法では、外部ツールが、自身の公開鍵であるツール公開鍵の識別情報である鍵識別情報を、車載システムへ送
信する（ツール情報送信ステップ）。そして、車載システムが、ツール公開鍵と、そのツール公開鍵の鍵識別情報と、を対応付けて記憶するサーバへ、ツール情報送信ステップで受信した鍵識別情報をサーバへ送信する（ツール情報転送ステップ）。

サーバは、ツール情報転送ステップで受信した鍵識別情報に対応付けられたツール公開鍵を、鍵識別情報の送信元の車載システムへ送信する（ツール鍵送信ステップ）。そして、車載システムが、ツール鍵送信ステップで受信したツール公開鍵を用いて暗号化した共通鍵を外部ツールへ送信する（共通鍵送信ステップ）。そして、外部ツールが、ツール鍵送信ステップで受信した暗号化された共通鍵を、自身のツール公開鍵と対をなす秘密鍵であるツール秘密鍵で複合化し、共通鍵を用いて車載システムと暗号通信を行う（暗号通信ステップ）。

このような通信方法によれば、車載システムが、サーバに記憶（登録）されたツール公開鍵を用いて暗号化した共通鍵を外部ツールへ送信して、共通鍵を共有する。このため、車載システムは、共通鍵を用いた暗号通信を行う対象となる外部ツールを、そのツール公開鍵と対をなすツール秘密鍵を記憶する外部ツールに制限することができる。すなわち、ツール公開鍵がサーバに記憶（登録）されていない外部ツールでは、サーバに記憶（登録）されているツール公開鍵の識別情報を仮に盗用したとしても、ツール秘密鍵を入手できない限り、そのツール公開鍵を用いた暗号通信（暗号化された共通鍵の複合化）を行うことができず、共通鍵を用いた暗号通信を行うことができない。このため、ツール公開鍵をサーバに登録することのできる外部ツールを、正規の外部ツールに制限することで、不正な外部ツールによる車載システムへの通信接続を抑制することができる。加えて、共通鍵を共有した後には、公開鍵暗号方式の暗号通信に代えて、処理負荷の低い共通鍵暗号方式の暗号通信を行うことができる。

さらに、請求項１０に記載のように、車載システムが、暗号通信の完了後に共通鍵を更新してもよい（更新ステップ）。このようにすれば、共通鍵を更新しない構成と比較して、セキュリティ性を高くすることができる。

一方、請求項１１に記載の通信方法では、外部ツールが、自身のツール秘密鍵及びツール公開鍵を生成し（ツール鍵生成ステップ）、生成したツール公開鍵と、自身を特定する情報であるツール特定情報と、をサーバへ送信する（ツール鍵登録ステップ）。そして、サーバが、ツール鍵登録ステップで受信したツール特定情報に基づき、ツール特定情報の送信元の外部ツールが正規の外部ツールであるかを判定する（判定ステップ）。

この判定ステップで、ツール特定情報の送信元の外部ツールが正規の外部ツールであると判定した場合、サーバは、ツール鍵登録ステップで受信したツール公開鍵と、そのツール公開鍵に割り当てた鍵識別情報と、を対応付けて記憶する（ツール鍵記憶ステップ）。また、サーバは、判定ステップで、ツール特定情報の送信元の外部ツールが正規の外部ツールであると判定した場合、その送信元の外部ツールへ鍵識別情報を送信する（ツール情報通知ステップ）。

このような通信方法によれば、正規の外部ツールの公開鍵がサーバに記憶（登録）され、鍵識別情報が付与されるようにすることができ、不正な外部ツールの公開鍵がサーバに記憶（登録）されにくくすることができる。

また、請求項１２に記載の通信方法では、ツール情報送信ステップにおいて、外部ツールが、車載システムの秘密鍵である車両秘密鍵と対をなす公開鍵である車両公開鍵を用いて暗号化した鍵識別情報を、車載システムへ送信する。そして、ツール情報転送ステップにおいて、車載システムが、ツール情報送信ステップで受信した暗号化された鍵識別情報
を、自身の車両秘密鍵を用いて複合化し、複合化した鍵識別情報をサーバへ送信する。このような通信方法によれば、外部ツールについての鍵識別情報を、外部ツールから車載システムへセキュアな状態で送信することができる。

具体的には、請求項１３に記載の通信方法では、車載システムが、自身の車両秘密鍵及び車両公開鍵を生成し（車両鍵生成ステップ）、生成した車両公開鍵と、自身を特定する情報である車両特定情報と、をサーバへ送信する（車両鍵登録ステップ）。そして、サーバが、車両鍵登録ステップで受信した車両公開鍵及び車両特定情報を対応付けて記憶する（車両鍵記憶ステップ）。また、外部ツールが、車両特定情報をサーバへ送信し（車両情報送信ステップ）、サーバが、車両情報送信ステップで受信した車両特定情報に対応付けられた車両公開鍵を、車両特定情報の送信元の外部ツールへ送信する（車両鍵送信ステップ）。このような通信方法によれば、外部ツールは、車載システムの公開鍵をサーバから取得することができる。

実施形態の車両用通信システムの構成を示すブロック図である。 車両用通信システムで実行される処理の流れを示すフローチャートである。 外部ツールの制御部が実行するツール登録処理のフローチャートである。 外部ツールの制御部が実行するツール通信処理のフローチャートである。 センタの制御部が実行する鍵登録管理処理のフローチャートである。 センタの制御部が実行する鍵配信処理のフローチャートである。 ＧＷ−ＥＣＵのＣＰＵが実行する車両登録処理のフローチャートである。 ＧＷ−ＥＣＵのＣＰＵが実行する車両通信処理のフローチャートである。

以下、本発明が適用された実施形態について、図面を用いて説明する。
［１．全体構成］
図１は、実施形態の車両用通信システムの構成を示すブロック図である。

この車両用通信システムは、車両に搭載された車載システム１と、車載システム１との通信に用いられる外部ツール２と、複数の車両（車載システム１）に関する情報及び複数の外部ツール２に関する情報を記憶（管理）するセンタ（サーバ）３とを備える。

車載システム１は、車両の内部における各部に設置された複数の電子制御装置（ＥＣＵ）として、ゲートウェイＥＣＵ（以下「ＧＷ−ＥＣＵ」という。）１１と、ＣＡＮ−ＢＴ−ＥＣＵ１２と、種々の機能を有する他の複数のＥＣＵ１３とを備える。ＧＷ−ＥＣＵ１１、ＣＡＮ−ＢＴ−ＥＣＵ１２及び他のＥＣＵ１３は、共用通信線（多重通信線）であるバス１４に接続されて車内ＬＡＮを構築し、バス１４を介してＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）プロトコルに従った相互通信を行う。また、車載システム１は、ＧＷ−ＥＣＵ１１と専用通信線１５を介して接続された車載無線機（ＤＣＭ：Ｄａｔａ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｍｏｄｕｌｅ）１６を備える。

ＧＷ−ＥＣＵ１１は、外部ツール２を車両の外部から接続するためのデータリンクコネクタ（以下「コネクタ」という。）１７とバス１４とを中継する位置（外部ツール２とＥＣＵ１３とを接続するための通信経路上）に設置されている。つまり、車載システム１において、ＧＷ−ＥＣＵ１１は、外部ツール２と直接通信を行い、ＥＣＵ１３は、ＧＷ−ＥＣＵ１１を介して外部ツール２と通信を行う。換言すれば、外部ツール２は、ＥＣＵ１３に直接接続されるのではなく、ＧＷ−ＥＣＵ１１を介して接続され、ＧＷ−ＥＣＵ１１は、外部ツール２とＥＣＵ１３との通信を中継する中継装置として機能する。

具体的には、ＧＷ−ＥＣＵ１１は、ＣＰＵ１１１と、電気的に記憶内容の書換えが可能な不揮発性メモリであるフラッシュメモリ１１２とを備える。フラッシュメモリ１１２には、車載システム１の鍵データとして、秘密鍵Ｓｖと、秘密鍵Ｓｖと対をなす公開鍵Ｐｖと、車両内部で共通鍵暗号方式の暗号通信に用いられる共通鍵Ｃとが記憶される。秘密鍵Ｓｖは、秘密情報として管理される。公開鍵Ｐｖは、後述するように、センタ３に登録され、外部ツール２へ提供可能な状態で管理される。共通鍵Ｃは、ＣＡＮ−ＢＴ−ＥＣＵ１２及び他の各ＥＣＵ１３にも記憶され、送信データの暗号化及び受信データの複合化に用いられる。

ＣＡＮ−ＢＴ−ＥＣＵ１２は、バス１４を介してＣＡＮプロトコルに従った通信を行う機能と、Ｂｌｕｅｔｏｏｔｈ（登録商標）規格に従った近距離無線通信を行う機能とを有している。なお、前述したように、ＣＡＮ−ＢＴ−ＥＣＵ１２には、ＧＷ−ＥＣＵ１１の共通鍵Ｃと同一の共通鍵Ｃが記憶される。

各ＥＣＵ１３には、各種機能を実現するためのソフトウェアのプログラムが記憶される。また、前述したように、各ＥＣＵ１３には、ＧＷ−ＥＣＵ１１の共通鍵Ｃと同一の共通鍵Ｃが記憶される。

車載無線機１６は、携帯電話網やインターネット通信網を介した通信（各地に配置された携帯電話基地局等を介した広域無線通信）を行うためのものである。車載システム１は、車載無線機１６を備えることにより、センタ３との間で、遠距離での無線通信が可能となっている。

外部ツール２は、コネクタ１７に接続された状態で、車両の内部に設置されたＥＣＵ１３を介した車両状態の診断、データの読み出し、ＥＣＵ１３の機能による制御部品の制御、ＥＣＵ１３に記憶されているプログラムの書換処理（リプログラミング）などを行う機能を有した装置である。

具体的には、外部ツール２は、制御部２１と、記憶部２２と、通信部２３とを備える。記憶部２２には、外部ツール２の鍵データとして、秘密鍵Ｓｔと、秘密鍵Ｓｔと対をなす公開鍵Ｐｔとが記憶される。秘密鍵Ｓｔは、秘密情報として管理される。公開鍵Ｐｔは、後述するように、センタ３に登録され、車載システム１へ提供可能な状態で管理される。また、通信部２３は、コネクタ１７を介して車載システム１のＧＷ−ＥＣＵ１１との間で有線通信を行う機能と、携帯電話網やインターネット通信網を介してセンタ３との間で無線通信を行う機能とを有している。

センタ３は、車載システム１に対する外部ツール２の接続を管理する団体（例えば車両メーカや国家機関等）によって管理されるサーバであり、車載システム１の公開鍵Ｐｖ及び外部ツール２の公開鍵Ｐｔを記憶（管理）する機能を有する。

具体的には、センタ３は、制御部３１と、記憶部３２と、通信部３３とを備える。記憶部３２には、複数の外部ツール２の公開鍵Ｐｔ（１），Ｐｔ（２），…，Ｐｔ（Ｍ）を管理するためのツールリストと、複数の車載システム１の公開鍵Ｐｖ（１），Ｐｖ（２），…，Ｐｖ（Ｎ）を管理するための車両リストとが記憶される。ツールリストにおいて、公開鍵Ｐｔは、その公開鍵ＰｔのＩＤ（鍵識別情報）及び外部ツール２を特定するための情報であるツール特定情報（例えばツール本体のシリアル番号、使用者の情報（氏名、生年月日、住所、電話番号等）など）と対応付けて記憶される。同様に、車両リストにおいて、公開鍵Ｐｖは、車両（車載システム１）を特定するための情報である車両特定情報（例えば車両登録番号や製造番号など）と対応付けて記憶される。また、通信部３３は、携帯電話網やインターネット通信網を介して車載システム１及び外部ツール２との間で無線通
信を行う機能を有している。

［２．処理の概要］
次に、本実施形態の車両用通信システムで実行される処理の流れ（通信方法）について、図２を用いて説明する。なお、図２に示すステップ番号（Ｓ１１，Ｓ１２，…）は、後述する図３〜図８に示すフローチャートのステップ番号に対応する。

（１）秘密鍵及び公開鍵の準備と外部ツール認証
車載システム１では、ＧＷ−ＥＣＵ１１が、本実施形態の車両用通信システムにおいてあらかじめ決められている公開鍵暗号方式に従い、秘密鍵Ｓｖ及び公開鍵Ｐｖを生成して、自身の記憶部（フラッシュメモリ１１２）に保存する（Ｓ５１，Ｓ５２）。なお、公開鍵暗号方式としては、公知の暗号方式（例えばＲＳＡ）を用いることができる。

また、ＧＷ−ＥＣＵ１１は、生成した公開鍵Ｐｖ及び車両特定情報をセンタ３へ送信し、公開鍵Ｐｖの登録を要求する（Ｓ５３）。センタ３は、車載システム１から受信した公開鍵Ｐｖ及び車両特定情報を対応付けて、車両リストに登録（記憶）する（Ｓ３１，Ｓ３２）。なお、公開鍵Ｐｖを登録する時期は、例えば車両の工場出荷前としてもよい。ただし、その場合にも、ＥＣＵの交換やユーザの変更などの理由で、事後的に（工場出荷後に）公開鍵Ｐｖを登録（更新）できるようにしてもよい。

また、車載システム１では、ＧＷ−ＥＣＵ１１が、共通鍵Ｃを生成し、生成した共通鍵Ｃを車両内部の他のＥＣＵ（ＣＡＮ−ＢＴ−ＥＣＵ１２及びＥＣＵ１３）へ送信する（Ｓ５４）。これにより、車載システム１を構成するＥＣＵ（ＧＷ−ＥＣＵ１１、ＣＡＮ−ＢＴ−ＥＣＵ１２及びＥＣＵ１３）で共通鍵Ｃが共有され、共通鍵Ｃを用いた共通鍵暗号方式の暗号通信が行われる。

一方、外部ツール２も、ＧＷ−ＥＣＵ１１と同じ公開鍵暗号方式に従い、秘密鍵Ｓｔ及び公開鍵Ｐｔを生成して、自身の記憶部２２に保存する（Ｓ１１，Ｓ１２）。また、外部ツール２は、生成した公開鍵Ｐｔと、ツール特定情報と、をセンタ３へ送信し、公開鍵Ｐｔの登録を要求する（Ｓ１３）。

センタ３は、外部ツール２から受信した公開鍵ＰｔのＩＤを生成し、公開鍵Ｐｔ、ＩＤ及びツール特定情報を対応付けて、ツールリストに登録（記憶）するとともに（Ｓ３３〜Ｓ３５）、公開鍵ＰｔのＩＤを外部ツール２へ通知する（Ｓ３６，Ｓ３７）。外部ツール２は、公開鍵ＰｔのＩＤをセンタ３から受信すると、そのＩＤを自身の記憶部２２に保存する（Ｓ１４，Ｓ１５）。なお、この段階で、外部ツール２は、センタ３から正規の外部ツール（正規ツール）であると認証されたことになる。

（２）秘密鍵及び公開鍵を用いた暗号通信（共通鍵の享受）
認証済みの外部ツール２（センタ３から公開鍵ＰｔのＩＤを取得済みの外部ツール２）は、車両（車載システム１）に接続して通信を行う場合に、まず、接続対象の車両の車両特定情報をセンタ３へ送信し、その車両についての公開鍵Ｐｖを要求する（Ｓ２１）。センタ３は、外部ツール２から車両特定情報を受信すると、その車両特定情報と対応付けて車両リストに記憶されている公開鍵Ｐｖ（接続対象の車両についての公開鍵Ｐｖ）を、その外部ツール２へ送信する（Ｓ４１〜Ｓ４４）。外部ツール２は、接続対象の車両についての公開鍵Ｐｖを受信すると、その公開鍵Ｐｖで自身の公開鍵ＰｔのＩＤを暗号化し、コネクタ１７を介してＧＷ−ＥＣＵ１１へ送信することで、通信接続を要求する（Ｓ２２，Ｓ２３）。

ＧＷ−ＥＣＵ１１は、外部ツール２から通信接続を要求され、暗号データ（暗号化され
たＩＤ）を受信すると、受信した暗号データを自身の秘密鍵Ｓｖを用いて復号化して、要求元の外部ツール２の公開鍵ＰｔのＩＤを得る（Ｓ６１，Ｓ６２）。そして、そのＩＤをセンタ３へ送信し、そのＩＤに対応付けられた公開鍵Ｐｔ（外部ツール２の公開鍵Ｐｔ）を要求する（Ｓ６３）。センタ３は、車載システム１から受信したＩＤに対応付けられた公開鍵Ｐｔを、その車載システム１へ送信する（Ｓ４５，Ｓ４６）。ＧＷ−ＥＣＵ１１は、センタ３から公開鍵Ｐｔを受信（取得）すると、その公開鍵Ｐｔで共通鍵Ｃを暗号化し、コネクタ１７を介して、通信接続の要求元の外部ツール２へ送信する（Ｓ６４，Ｓ６５）。つまり、車載システム１は、外部ツール２との間で、公開鍵Ｐｔを用いた公開鍵暗号方式の暗号通信を行う。外部ツール２は、ＧＷ−ＥＣＵ１１から暗号データ（暗号化された共通鍵Ｃ）を受信すると、自身の秘密鍵Ｓｔを用いて復号化して、共通鍵Ｃを得る（Ｓ２４，Ｓ２５）。

（３）共通鍵暗号通信
共通鍵Ｃを得た外部ツール２は、ＥＣＵ１３へ送信すべきデータを、その共通鍵Ｃを用いて暗号化して、ＧＷ−ＥＣＵ１１へ送信する（Ｓ２６）。ＧＷ−ＥＣＵ１１は、外部ツール２から暗号化されたデータを受信すると、そのまま対象のＥＣＵ１３へ送信（中継）する（Ｓ６６）。ＥＣＵ１３は、ＧＷ−ＥＣＵ１１を介して暗号化されたデータを受信すると、共通鍵Ｃを用いて復号化する。ＥＣＵ１３から外部ツール２へデータを送信する場合にも同様に、ＥＣＵ１３が、送信すべきデータを共通鍵Ｃを用いて暗号化して送信し、外部ツール２が、受信したデータを共通鍵Ｃを用いて復号化する（Ｓ２６）。このように、外部ツール２とＥＣＵ１３とが、ＧＷ−ＥＣＵ１１を介して、共通鍵Ｃを用いた共通鍵暗号方式の暗号通信を行う。

その後、外部ツール２とＥＣＵ１３との間での通信の完了後、ＧＷ−ＥＣＵ１１は、新たな共通鍵Ｃを生成し、生成した共通鍵Ｃを車両内部の他のＥＣＵ（ＣＡＮ−ＢＴ−ＥＣＵ１２及びＥＣＵ１３）へ送信することで、共通鍵Ｃを更新（古い共通鍵Ｃを消去）する（Ｓ６７）。以降は、新たな共通鍵Ｃ（外部ツール２が有していない共通鍵Ｃ）を用いた暗号通信が行われる。一方、外部ツール２は、使用済みの共通鍵Ｃを消去する（Ｓ２７）。

［３．具体的処理手順］
次に、車載システム１（ＧＷ−ＥＣＵ１１）、外部ツール２及びセンタ３のそれぞれで実行される具体的処理手順について説明する。

（１）外部ツール２で実行される処理
図３は、外部ツール２を正規ツールとしてセンタ３に認証させるために、外部ツール２の制御部２１が実行するツール登録処理のフローチャートである。

制御部２１は、まず、あらかじめ決められている公開鍵暗号方式に従い、秘密鍵Ｓｔ及び公開鍵Ｐｔを生成する（Ｓ１１）。そして、制御部２１は、生成した秘密鍵Ｓｔを当該外部ツール２内（記憶部２２）に保存する（Ｓ１２）。また、制御部２１は、生成した公開鍵Ｐｔと、当該外部ツール２のツール特定情報とを、センタ３へ送信し、登録を要求する（Ｓ１３）。なお、Ｓ１２，Ｓ１３の処理は、この順序に限定されるものではなく、例えば逆の順序で実行してもよい。

続いて、制御部２１は、公開鍵ＰｔのＩＤをセンタ３から受信し（Ｓ１４）、受信したＩＤを当該外部ツール２内（記憶部２２）に保存して（Ｓ１５）、図３のツール登録処理を終了する。このようなツール登録処理により、外部ツール２は、センタ３により正規ツールとして認証される。

一方、図４は、外部ツール２を用いて車両に搭載されたＥＣＵ１３と通信（例えば、車両状態の診断やプログラムの書換処理のための通信）を行うために、外部ツール２の制御部２１が実行するツール通信処理のフローチャートである。

制御部２１は、まず、通信対象の車両の車両特定情報をセンタ３へ送信し（Ｓ２１）、通信対象の車両についての公開鍵Ｐｖをセンタ３から取得する（Ｓ２２）。続いて、制御部２１は、自身の公開鍵ＰｔのＩＤを、センタ３から取得した公開鍵Ｐｖ（通信対象の車両についての公開鍵Ｐｖ）を用いて暗号化し、コネクタ１７を介して車載システム１（ＧＷ−ＥＣＵ１１）へ送信することで、通信接続を要求する（Ｓ２３）。そして、制御部２１は、当該外部ツール２の公開鍵Ｐｔを用いて暗号化された共通鍵Ｃを車載システム１（ＧＷ−ＥＣＵ１１）から受信し（Ｓ２４）、自身の秘密鍵Ｓｔを用いて復号化して、共通鍵Ｃを得る（Ｓ２５）。

続いて、制御部２１は、共通鍵Ｃを用いてＥＣＵ１３と暗号通信を行う（Ｓ２６）。具体的には、ＥＣＵ１３へ送信すべきデータを、共通鍵Ｃを用いて暗号化し、ＧＷ−ＥＣＵ１１を介してＥＣＵ１３へ送信するとともに、ＧＷ−ＥＣＵ１１を介してＥＣＵ１３から受信した暗号データを、共通鍵Ｃを用いて復号化する。その後、制御部２１は、ＥＣＵ１３との通信が完了すると、共通鍵Ｃを破棄して（Ｓ２７）、図４のツール通信処理を終了する。

（２）センタ３で実行される処理
図５は、車載システム１の公開鍵Ｐｖ及び外部ツール２の公開鍵Ｐｔを管理するために、センタ３の制御部３１が実行する鍵登録管理処理のフローチャートである。

制御部３１は、まず、車載システム１から公開鍵Ｐｖの登録を要求されたか否かを判定する（Ｓ３１）。そして、制御部３１は、公開鍵Ｐｖの登録を要求されたと判定すると（Ｓ３１：ＹＥＳ）、車載システム１から受信した公開鍵Ｐｖ及び車両特定情報を対応付けて車両リストに登録（管理）する（Ｓ３２）。

また、制御部３１は、外部ツール２から公開鍵Ｐｔの登録を要求されたか否かを判定する（Ｓ３３）。そして、制御部３１は、公開鍵Ｐｔの登録を要求されたと判定すると（Ｓ３３：ＹＥＳ）、外部ツール２から受信したツール特定情報に基づいて、送信元の外部ツール２が正規ツールであるか否かを判定する（Ｓ３４）。具体的には、例えば、外部ツール２から受信したツール特定情報に含まれるシリアル番号が、車両メーカなどによって指定されている正規ツールのシリアル番号であるか否かを判定する。

そして、制御部３１は、送信元の外部ツール２が正規ツールでないと判定すると（Ｓ３４：ＮＯ）、送信元の外部ツール２に対して、認証が失敗した旨のエラー通知を行う（Ｓ３５）。一方、制御部３１は、送信元の外部ツール２が正規ツールであると判定すると（Ｓ３４：ＹＥＳ）、その外部ツール２から受信した公開鍵ＰｔのＩＤを生成し、公開鍵Ｐｔ、ＩＤ及びツール特定情報を対応付けて、ツールリストに登録（管理）する（Ｓ３６）。そして、制御部３１は、公開鍵ＰｔのＩＤを外部ツール２へ送信する（Ｓ３７）。図５に示す鍵登録管理処理では、以上の処理（Ｓ３１〜Ｓ３７）が繰り返される。

一方、図６は、車載システム１の公開鍵Ｐｖ及び外部ツール２の公開鍵Ｐｔを外部（車載システム１や外部ツール２）へ配信するために、センタ３の制御部３１が実行する鍵配信処理のフローチャートである。

制御部３１は、まず、外部ツール２から車載システム１の公開鍵Ｐｖの送信を要求されたか否かを判定する（Ｓ４１）。そして、制御部３１は、公開鍵Ｐｖの送信を要求された
と判定すると（Ｓ４１：ＹＥＳ）、外部ツール２から受信したＩＤに基づいて、送信元の外部ツール２が認証済みの外部ツール２（センタ３にＩＤが登録されている外部ツール２）であるか否かを判定する（Ｓ４２）。そして、制御部３１は、送信元の外部ツール２が認証済みの外部ツール２でないと判定すると（Ｓ４２：ＮＯ）、送信元の外部ツール２に対して、認証が失敗した旨のエラー通知を行う（Ｓ４３）。一方、制御部３１は、送信元の外部ツール２が認証済みの外部ツール２であると判定すると（Ｓ４２：ＹＥＳ）、その外部ツール２から受信した車両特定情報に対応付けられた公開鍵Ｐｖを、要求元の外部ツール２へ送信する（Ｓ４４）。

続いて、制御部３１は、車載システム１から外部ツール２の公開鍵Ｐｔの送信を要求されたか否かを判定する（Ｓ４５）。そして、制御部３１は、公開鍵Ｐｔの送信を要求されたと判定すると（Ｓ４５：ＹＥＳ）、車載システム１から受信したＩＤに対応付けられた公開鍵Ｐｔを、要求元の車載システム１へ送信する（Ｓ４６）。図６に示す鍵配信処理では、以上の処理（Ｓ４１〜Ｓ４６）が繰り返される。

（３）車載システム１（ＧＷ−ＥＣＵ１１）で実行される処理
図７は、車載システム１の公開鍵Ｐｖをセンタ３に登録させるために、ＧＷ−ＥＣＵ１１のＣＰＵ１１１が実行する車両登録処理のフローチャートである。

ＣＰＵ１１１は、まず、あらかじめ決められている公開鍵暗号方式に従い、秘密鍵Ｓｖ及び公開鍵Ｐｖを生成する（Ｓ５１）。そして、ＣＰＵ１１１は、生成した秘密鍵Ｓｖを当該ＧＷ−ＥＣＵ１１内（フラッシュメモリ１１２）に保存する（Ｓ５２）。また、ＣＰＵ１１１は、生成した公開鍵Ｐｖと、車両（車載システム１）の車両特定情報とを、センタ３へ送信し、登録を要求する（Ｓ５３）。なお、Ｓ５２，Ｓ５３の処理は、この順序に限定されるものではなく、例えば逆の順序で実行してもよい。

続いて、ＣＰＵ１１１は、共通鍵Ｃを生成し、生成した共通鍵Ｃを車両内部の他のＥＣＵ（ＣＡＮ−ＢＴ−ＥＣＵ１２及びＥＣＵ１３）へ送信して（Ｓ５４）、図７の車両登録処理を終了する。

一方、図８は、コネクタ１７に接続された状態の外部ツール２とＥＣＵ１３との通信を中継するために、ＧＷ−ＥＣＵ１１のＣＰＵ１１１が実行する車両通信処理のフローチャートである。

ＣＰＵ１１１は、まず、外部ツール２から通信接続の要求を受け（Ｓ６１）、外部ツール２から受信した暗号データ（車載システム１の公開鍵Ｐｖを用いて暗号化された外部ツール２の公開鍵ＰｔのＩＤ）を、自身の秘密鍵Ｓｖを用いて復号化して、公開鍵ＰｔのＩＤを得る（Ｓ６２）。続いて、ＣＰＵ１１１は、公開鍵ＰｔのＩＤをセンタ３へ送信して、そのＩＤに対応付けられた公開鍵Ｐｔ（通信接続の要求元である外部ツール２の公開鍵Ｐｔ）の送信を要求する（Ｓ６３）。そして、ＣＰＵ１１１は、センタ３から公開鍵Ｐｔを受信し（Ｓ６４）、その公開鍵Ｐｔを用いて共通鍵Ｃを暗号化して、外部ツール２へ送信する（Ｓ６５）。

続いて、ＣＰＵ１１１は、共通鍵Ｃを用いた外部ツール２とＥＣＵ１３との通信を中継する（Ｓ６６）。その後、ＣＰＵ１１１は、外部ツール２とＥＣＵ１３との通信が完了すると、新しい共通鍵Ｃを生成して共通鍵Ｃを更新する（Ｓ６７）。ここで、共通鍵Ｃは、車両情報（例えば燃料残量、走行距離、エンジン回転数など、値の変化する情報）に基づいて生成される。そして、ＣＰＵ１１１は、生成した共通鍵Ｃを車両内部の他のＥＣＵ（ＣＡＮ−ＢＴ−ＥＣＵ１２及びＥＣＵ１３）へ送信して共通鍵Ｃを更新させ（Ｓ６７）、図８の車両通信処理を終了する。

［４．効果］
以上説明したように、本実施形態の車両用通信システムでは、車載システム１（ＧＷ−ＥＣＵ１１）が、センタ３に登録された公開鍵Ｐｔを用いて外部ツール２と暗号通信を行う。具体的には、公開鍵Ｐｔを用いて暗号化した共通鍵Ｃを外部ツール２へ送信して、共通鍵Ｃを共有する。このため、車載システム１（ＧＷ−ＥＣＵ１１）は、公開鍵Ｐｔを用いた暗号通信の対象となる外部ツール２（ひいては、共通鍵Ｃを用いた暗号通信を行う対象となる外部ツール２）を、その公開鍵Ｐｔと対をなす秘密鍵Ｓｔを記憶する外部ツール２に制限することができる。

すなわち、公開鍵Ｐｔがセンタ３に登録されていない外部ツール２では、センタ３に登録されている公開鍵ＰｔのＩＤを仮に盗用したとしても、秘密鍵Ｓｔを入手できない限り、公開鍵Ｐｔを用いた暗号通信（暗号化された共通鍵Ｃの復号化）を行うことができず、共通鍵Ｃを用いた暗号通信を行うことができない。このため、公開鍵Ｐｔをセンタ３に登録することのできる外部ツール２を、正規ツールに制限することで、不正な外部ツールによる車載システム１への通信接続を抑制することができる。

加えて、共通鍵Ｃを共有した後には、公開鍵暗号方式の暗号通信に代えて、処理負荷の低い共通鍵暗号方式の暗号通信を行うため、車載システム１における処理負荷を低減することができる。

また、車載システム１（ＧＷ−ＥＣＵ１１）は、外部ツール２との共通鍵暗号方式の暗号通信が完了するごとに、共通鍵Ｃを更新する（Ｓ６７）。このため、外部ツール２との間で共通鍵暗号方式の暗号通信を行うごとに、異なる共通鍵Ｃが用いられることとなり、共通鍵Ｃを更新しない構成と比較して、セキュリティ性を高くすることができる。特に、更新後の共通鍵Ｃを、車両情報に基づいて生成するようにしているため、車両情報に応じて予測が困難な形で共通鍵Ｃを変化させることができる。

また、車載システム１では、外部ツール２と直接通信を行うＧＷ−ＥＣＵ１１が、外部ツール２からＥＣＵ１３を対象とする通信接続を要求された場合に、要求元の外部ツール２の公開鍵Ｐｔをセンタ３から取得し（Ｓ６３，Ｓ６４）、その公開鍵Ｐｔを用いた暗号通信を行う（Ｓ６５）。つまり、ＥＣＵ１３を対象とする外部ツール２からの通信接続の要求を許可するか否かを決定するための処理を、ＧＷ−ＥＣＵが代表して行う。このため、通信対象となった各ＥＣＵ１３がこうした処理を実行する構成と比較して、複数のＥＣＵ１３による機能の重複を抑制することができ、車載システム１の低コスト化を図ることができる。

また、車載システム１（ＧＷ−ＥＣＵ１１）は、外部ツール２との間で、公開鍵Ｐｖを用いた公開鍵暗号方式の暗号通信を行い、外部ツール２から公開鍵ＰｔのＩＤを取得するため（Ｓ６２）、外部ツール２の公開鍵ＰｔのＩＤをセキュアな状態で取得することができる。

また、車載システム１（ＧＷ−ＥＣＵ１１）は、自身で秘密鍵Ｓｖ及び公開鍵Ｐｖを生成し（Ｓ５１）、秘密鍵Ｓｖをフラッシュメモリ１１２に記憶するとともに（Ｓ５２）、公開鍵Ｐｖをセンタ３へ送信する（Ｓ５３）。このため、秘密鍵Ｓｖを車載システム１（ＧＷ−ＥＣＵ１１）以外の装置が生成する構成と比較して、生成後に秘密鍵Ｓｖを受け渡す必要がない分、秘密鍵Ｓｖの機密性を高くすることができる。しかも、公開鍵Ｐｖをセンタ３へ送信することで、外部ツール２への公開鍵Ｐｖの提供を行いやすくすることができる。

一方、外部ツール２も、自身で秘密鍵Ｓｔ及び公開鍵Ｐｔを生成し（Ｓ１１）、秘密鍵Ｓｔを記憶部２２に記憶するとともに（Ｓ１２）、公開鍵Ｐｔをセンタ３へ送信するため（Ｓ１３）、秘密鍵Ｓｔを外部ツール２以外の装置が生成する構成と比較して、秘密鍵Ｓｔの機密性を高くすることができる。しかも、センタ３は、公開鍵Ｐｔの送信元の外部ツール２が正規ツールであるかを判定し（Ｓ３４）、正規ツールであると判定した場合に、公開鍵Ｐｔ及びＩＤを対応付けて記憶するため（Ｓ３６）、不正な外部ツールの公開鍵がセンタ３に登録されにくくすることができる。

また、外部ツール２が、車載システム１の秘密鍵Ｓｖと対をなす公開鍵Ｐｖを用いて暗号化した公開鍵ＰｔのＩＤを、車載システム１へ送信するようにしているため（Ｓ２３）、公開鍵ＰｔのＩＤをセキュアな状態で送信することができる。

また、外部ツール２が、車両特定情報をセンタ３へ送信し（Ｓ２１）、センタ３が、Ｓ２１で受信した車両特定情報に対応付けられた公開鍵Ｐｖを、車両特定情報の送信元の外部ツール２へ送信するようにしているため（Ｓ４４）、外部ツール２は、接続対象の車載システム１の公開鍵Ｐｖをセンタ３から容易に取得することができる。

なお、車載システム１が車載システムの一例に相当し、ＧＷ−ＥＣＵ１１が第１の電子制御装置に相当し、フラッシュメモリ１１２が記憶手段の一例に相当し、ＥＣＵ１３が第２の電子制御装置に相当し、車載無線機１６が通信手段の一例に相当する。また、外部ツール２が外部ツールの一例に相当し、センタ３がサーバの一例に相当する。また、秘密鍵Ｓｖが車両秘密鍵の一例に相当し、公開鍵Ｐｖが車両公開鍵の一例に相当し、秘密鍵Ｓｔがツール秘密鍵の一例に相当し、公開鍵Ｐｔがツール公開鍵の一例に相当し、共通鍵Ｃが共通鍵の一例に相当する。

また、Ｓ１１がツール鍵生成ステップの一例に相当し、Ｓ１３がツール鍵登録ステップの一例に相当し、Ｓ２１が車両情報送信ステップの一例に相当し、Ｓ２３がツール情報送信ステップの一例に相当し、Ｓ２５，Ｓ２６が暗号通信ステップの一例に相当する。

また、Ｓ３２が車両鍵記憶ステップの一例に相当し、Ｓ３４が判定ステップの一例に相当し、Ｓ３６がツール鍵記憶ステップの一例に相当する。また、Ｓ３７がツール情報通知ステップの一例に相当し、Ｓ４４が車両鍵送信ステップの一例に相当し、Ｓ４６がツール鍵送信ステップの一例に相当する。

また、Ｓ５１が車両鍵生成手段としての処理及び車両鍵生成ステップの一例に相当し、Ｓ５２が記憶制御手段としての処理の一例に相当し、Ｓ５３が車両鍵送信手段としての処理及び車両鍵登録ステップの一例に相当する。また、Ｓ６２〜Ｓ６４がツール鍵取得手段としての処理の一例に相当し、特に、Ｓ６２がツール情報取得手段としての処理の一例に相当する。また、Ｓ６３がツール情報転送ステップの一例に相当し、Ｓ６５が通信制御手段としての処理及び共通鍵送信ステップの一例に相当し、Ｓ６７が更新手段としての処理及び更新ステップの一例に相当する。

［５．他の実施形態］
以上、本発明の実施形態について説明したが、本発明は、上記実施形態に限定されることなく、種々の形態を採り得ることは言うまでもない。

（１）上記実施形態では、ＧＷ−ＥＣＵ１１が、自身で秘密鍵Ｓｖ及び公開鍵Ｐｖを生成し、秘密鍵Ｓｖをフラッシュメモリ１１２に記憶する構成を例示したが（Ｓ５１，Ｓ５２）、これに限定されるものではない。例えば、他の装置（例えばパーソナルコンピュータやウェブサーバ等）で生成した秘密鍵Ｓｖをフラッシュメモリ１１２に記憶するように
してもよい。この場合の秘密鍵Ｓｖの受け渡しは、自動で行われるようにしてもよく、手動（操作者による操作）で行われるようにしてもよい。

（２）同様に、上記実施形態では、外部ツール２が、自身で秘密鍵Ｓｔ及び公開鍵Ｐｔを生成し、秘密鍵Ｓｔを記憶部２２に記憶する構成を例示したが（Ｓ１１，Ｓ１２）、これに限定されるものではない。例えば、他の装置（例えばパーソナルコンピュータやウェブサーバ等）で生成した秘密鍵Ｓｔを記憶部２２に記憶するようにしてもよい。この場合の秘密鍵Ｓｔの受け渡しは、自動で行われるようにしてもよく、手動（操作者による操作）で行われるようにしてもよい。

（３）上記実施形態では、携帯電話網やインターネット通信網を介してセンタ３との間で無線通信を行う機能とを有した外部ツール２を例示したが、これに限定されるものではなく、こうした無線通信機能を有しない構成としてもよい。この場合、外部ツール２とセンタ３との情報の受け渡しは、外部ツール２のユーザを介して、例えば郵送や、他の通信装置を用いた通信などにより実現可能である。

（４）上記実施形態では、車載システム１において（車両内部で）共通鍵Ｃを用いた共通鍵暗号方式の暗号通信が行われる構成を例示したが、これに限定されるものではなく、車両内部では暗号通信を行わないようにしてもよい。

（５）上記実施形態では、センタ３が、車載システム１の公開鍵Ｐｖの送信を外部ツール２から要求された場合に（Ｓ４１）、その外部ツール２が認証済みの外部ツール２であると判定したことを条件として公開鍵Ｐｖを送信するようにしているが（Ｓ４２：ＹＥＳ，Ｓ４４）、これに限定されるものではなく、このような判定を行わずに公開鍵Ｐｖを送信するようにしてもよい。仮に、不正な外部ツールが車載システム１の公開鍵Ｐｖを入手したとしても、センタ３に登録されている公開鍵Ｐｔと対をなす秘密鍵Ｓｔを入手できない限り、車載システム１との間で公開鍵Ｐｔを用いた暗号通信を行うことができないため、セキュリティ性は確保される。

（６）上記実施形態では、ＧＷ−ＥＣＵ１１が、外部ツール２から通信接続を要求された場合に、要求元の外部ツール２の公開鍵Ｐｔをセンタ３から取得し（Ｓ６３，Ｓ６４）、その公開鍵Ｐｔを用いた暗号通信を行うようにしているが（Ｓ６５）、これに限定されるものではない。例えば、過去に通信を行ったことがあるなどの理由で、要求元の外部ツール２の公開鍵Ｐｔを既に記憶している場合には、センタ３からの取得を省略してもよい。特に、前回の通信と同一の共通鍵Ｃを用いることで、外部ツール２への共通鍵Ｃの送信についても省略してもよい。

（７）上記実施形態では、コネクタ１７を介して車載システム１と有線通信を行う構成の外部ツール２を例示したが、これに限定されるものではない。例えば、ＣＡＮ−ＢＴ−ＥＣＵ１２と近距離無線通信を行う機能を有した外部ツールを用いてもよい。この場合にも、上記実施形態と同様の処理を行うことができる。

１…車載システム、２…外部ツール、３…センタ、１１…ゲートウェイＥＣＵ、１２…ＣＡＮ−ＢＴ−ＥＣＵ、１３…ＥＣＵ、１４…バス、１５…専用通信線、１６…車載無線機、１７…コネクタ、２１，３１…制御部、２２，３２…記憶部、２３，３３，１１３…通信部、１１１…ＣＰＵ、１１２…フラッシュメモリ

Claims (13)

1. 車載システムとの通信に用いられる外部ツールであって自身の秘密鍵であるツール秘密鍵を記憶する前記外部ツールに関する情報として、前記ツール秘密鍵と対をなす公開鍵であるツール公開鍵及びそのツール公開鍵の識別情報である鍵識別情報を対応付けて記憶するサーバと、
   前記サーバと通信するための通信手段を備える車載システムと、
   を備える車両用通信システムに用いられる前記車載システムであって、
   前記外部ツールから通信接続を要求された場合に、要求元の前記外部ツールについての前記鍵識別情報を前記サーバへ送信し、その鍵識別情報に対応付けられた前記ツール公開鍵を前記サーバから取得するツール鍵取得手段と、
   通信接続の要求元の前記外部ツールとの間で、前記ツール鍵取得手段により取得された前記ツール公開鍵を用いた暗号通信を行う通信制御手段と、
   を備えることを特徴とする車載システム。
2. 請求項１に記載の車載システムであって、
   前記通信制御手段は、前記外部ツールとの間で前記ツール公開鍵を用いた公開鍵暗号方式の暗号通信を行い、共通鍵暗号方式の暗号通信を行うための共通鍵を共有する
   ことを特徴とする車載システム。
3. 請求項２に記載の車載システムであって、
   前記共通鍵を更新する更新手段を更に備える
   ことを特徴とする車載システム。
4. 請求項３に記載の車載システムであって、
   前記更新手段は、前記外部ツールと前記車載システムとの間での前記共通鍵暗号方式の暗号通信が完了するごとに、前記共通鍵を更新する
   ことを特徴とする車載システム。
5. 請求項３又は請求項４に記載の車載システムであって、
   前記更新手段は、更新後の前記共通鍵を、車両情報に基づいて生成する
   ことを特徴とする車載システム。
6. 請求項１から請求項５までのいずれか１項に記載の車載システムであって、
   前記車載システムは、前記外部ツールと直接通信を行う第１の電子制御装置と、前記外部ツールと前記第１の電子制御装置を介して通信を行う第２の電子制御装置と、を備え、
   前記第１の電子制御装置が、前記ツール鍵取得手段及び前記通信制御手段を備える
   ことを特徴とする車載システム。
7. 請求項１から請求項６までのいずれか１項に記載の車載システムであって、
   前記車載システムは、自身の秘密鍵である車両秘密鍵を記憶する記憶手段を更に備え、
   前記ツール鍵取得手段は、前記外部ツールとの間で、前記車両秘密鍵と対をなす公開鍵である車両公開鍵を用いた公開鍵暗号方式の暗号通信を行い、前記外部ツールからその外部ツールについての鍵識別情報を取得するツール情報取得手段を備える
   ことを特徴とする車載システム。
8. 請求項７に記載の車載システムであって、
   前記車両秘密鍵及び前記車両公開鍵を生成する車両鍵生成手段と、
   前記車両鍵生成手段により生成された前記車両秘密鍵を前記記憶手段に記憶させる記憶制御手段と、
   前記車両鍵生成手段により生成された前記車両公開鍵を前記サーバへ送信する車両鍵送信手段と、
   を更に備えることを特徴とする車載システム。
9. 車載システムとの通信に用いられる外部ツールと、前記車載システムと、が通信を行うための通信方法であって、
   前記外部ツールが、自身の公開鍵であるツール公開鍵の識別情報である鍵識別情報を、前記車載システムへ送信するツール情報送信ステップと、
   前記車載システムが、前記ツール公開鍵と、そのツール公開鍵の鍵識別情報と、を対応付けて記憶するサーバへ、前記ツール情報送信ステップで受信した前記鍵識別情報を送信するツール情報転送ステップと、
   前記サーバが、前記ツール情報転送ステップで受信した前記鍵識別情報に対応付けられた前記ツール公開鍵を、前記鍵識別情報の送信元の前記車載システムへ送信するツール鍵送信ステップと、
   前記車載システムが、前記ツール鍵送信ステップで受信した前記ツール公開鍵を用いて暗号化した共通鍵を前記外部ツールへ送信する共通鍵送信ステップと、
   前記外部ツールが、前記ツール鍵送信ステップで受信した暗号化された前記共通鍵を、自身のツール公開鍵と対をなす秘密鍵であるツール秘密鍵で複合化し、前記共通鍵を用いて前記車載システムと暗号通信を行う暗号通信ステップと、
   を備えることを特徴とする通信方法。
10. 請求項９に記載の通信方法であって、
    前記車載システムが、前記暗号通信の完了後に前記共通鍵を更新する更新ステップを更に備える
    を備えることを特徴とする通信方法。
11. 請求項９又は請求項１０に記載の通信方法であって、
    前記外部ツールが、自身の前記ツール秘密鍵及び前記ツール公開鍵を生成するツール鍵生成ステップと、
    前記外部ツールが、前記ツール鍵生成ステップで生成した前記ツール公開鍵と、自身を特定する情報であるツール特定情報と、を前記サーバへ送信するツール鍵登録ステップと、
    前記サーバが、前記ツール鍵登録ステップで受信した前記ツール特定情報に基づき、前記ツール特定情報の送信元の前記外部ツールが正規の外部ツールであるかを判定する判定ステップと、
    前記サーバが、前記判定ステップで、前記ツール特定情報の送信元の前記外部ツールが正規の外部ツールであると判定した場合、前記ツール鍵登録ステップで受信した前記ツール公開鍵と、そのツール公開鍵に割り当てた前記鍵識別情報と、を対応付けて記憶するツール鍵記憶ステップと、
    前記サーバが、前記判定ステップで、前記ツール特定情報の送信元の前記外部ツールが正規の外部ツールであると判定した場合、その送信元の前記外部ツールへ前記鍵識別情報を送信するツール情報通知ステップと、
    を備えることを特徴とする通信方法。
12. 請求項９から請求項１１までのいずれか１項に記載の通信方法であって、
    前記ツール情報送信ステップでは、前記外部ツールが、前記車載システムの秘密鍵である車両秘密鍵と対をなす公開鍵である車両公開鍵を用いて暗号化した前記鍵識別情報を、前記車載システムへ送信し、
    前記ツール情報転送ステップでは、前記車載システムが、前記ツール情報送信ステップで受信した暗号化された前記鍵識別情報を、自身の前記車両秘密鍵を用いて複合化し、複
    合化した前記鍵識別情報を前記サーバへ送信する
    ことを特徴とする通信方法。
13. 請求項１２に記載の通信方法であって、
    前記車載システムが、自身の前記車両秘密鍵及び前記車両公開鍵を生成する車両鍵生成ステップと、
    前記車載システムが、前記車両鍵生成ステップで生成した前記車両公開鍵と、自身を特定する情報である車両特定情報と、を前記サーバへ送信する車両鍵登録ステップと、
    前記サーバが、前記車両鍵登録ステップで受信した前記車両公開鍵及び前記車両特定情報を対応付けて記憶する車両鍵記憶ステップと、
    前記外部ツールが、前記車両特定情報を前記サーバへ送信する車両情報送信ステップと、
    前記サーバが、前記車両情報送信ステップで受信した前記車両特定情報に対応付けられた前記車両公開鍵を、前記車両特定情報の送信元の前記外部ツールへ送信する車両鍵送信ステップと、
    を備えることを特徴とする通信方法。

Images