JP2014183395A - 車載ネットワークシステム - Google Patents

Abstract

【課題】通信トラフィックを増加させずに信頼性の高いセキュリティを有する車載ネットワークシステムを提供することにある。
【解決手段】車載ネットワークは、ＣＳＭＡ/ＣＲ方式で多重通信を行うため複数ノードの同時発信状態による衝突を検出もしくは調停する通信フレーム部分にメッセージ種別の識別子ともにセキュリティ情報を含ませている。セキュリティ情報は、例えば、メッセージ種別の識別子に対応付けられたシーケンス番号である。また、車載ネットワークシステムが、各正規ノードが通信に先立って恒久的ではないセッション鍵の共有を行い、該セッション鍵を各送受信ノード内部に規定時刻まで保持し認証に用いる場合、セキュリティ情報は該セッション鍵である。
【選択図】図２

Description

本発明は、車載ネットワークシステムに係り、とくに、セキュリティの向上した車載ネットワークシステムに関する。

近年、乗用車、トラック、バス等には、各機能部の制御を行う車載ＥＣＵ（Electronic Control Unit）が多数搭載されている。各ＥＣＵは車載ネットワークを介して相互接続し、協調動作する。

通常、この車載ネットワーク上でやり取りされる通信データは、ネットワークを構成する車載ＥＣＵの制御プログラムで厳密に定義され運用されている。また、このような車載ネットワークシステムで用いられる通信プロトコルは、既存ＥＣＵのソフトウェアを更新せずとも新設ＥＣＵを接続しやすく、通信ノードの機能的な配置・分散形態を変更しやすくする方式を採用することが常である。これは、裏を返せば当該ネットワークに接続されている車載ＥＣＵを誤ってもしくは意図的に取り外したり、同ネットワークに誤ってもしくは意図的に別装置を取り付けたりすることをも容易に許容される方式であることを意味している。

すなわち、ネットワークから車載ＥＣＵが予期せず取り外されたり、予期しない別装置がネットワークに取り付けられ、権限を無視した通信の傍受や、権限を無視した通信データの送信を行ったりすることが可能である。これによって当該ネットワークへの不正なアクセスが引き起こされたり、ネットワークの通信障害や誤った車両制御が生じさせられたりするなど、車載ネットワークプロトコルとしての設計的柔軟性が、逆に車両ネットワークシステムとしての脆弱性を引き起こしている状況が危惧されている。

この中で、ＣＡＮにより構成されたネットワークシステムは、不正なアクセスにより偽ＥＣＵが正規のＥＣＵに成り済ますことができるという点が車載ネットワークにおける脆弱性の中心である。近年のセキュリティ観点での従来技術の見直しに応じて、この車載ネットワークの脆弱性の改善が緊急な課題となりつつある。

このような課題に対して、公開鍵暗号を用いたデジタル署名を付加して車載ネットワークを流れる通信信号の信頼性（すなわちネットワークシステム自体のセキュリティに対する頑健性）を高める技術が知られている（例えば、特許文献１参照）。

特許文献１記載のものでは、上記の問題を解決するために送信フレームのデータ部分に通常の従来データと併せて、送信ＥＣＵを認証するための署名データ（の全部もしくは一部）を含んだ形でネットワークに送出する。「構成検証の中心となるＥＣＵ」では、この署名を検証して送信ＥＣＵの真正性を確認する。もし、真正性が確認できない送信フレームがある場合は、「構成検証の中心となるＥＣＵ」はその旨をブロードキャストして、同一ネットワークに繋がるＥＣＵに注意を促す。署名データの生成は、周辺ＥＣＵ（「構成検証の中心となるＥＣＵ」以外のＥＣＵ）内部では「構成検証の中心となるＥＣＵ」が発行した公開鍵と周辺ＥＣＵ自体を特定するＩＤ番号という二つの情報より生成する。検証は「構成検証の中心となるＥＣＵ」自体がその内部に秘密裏に保持する秘密鍵により行う。（すなわちＲＳＡのような公開鍵暗号に基づくデジタル署名を利用し、鍵ペアの発行は「構成検証の中心となるＥＣＵ」が行う。）

特開２０１２−１８６６３５号公報

しかしながら、特許文献１記載のものでは、以下のような問題点がある。

（１）デジタル署名にＲＳＡのような公開鍵暗号を用いているので、その暗号化／復号化に多大なＣＰＵパワーを消費する。また、多数桁の整数を扱うので多大なＲＡＭ容量が必要であり、現状の車載ＥＣＵに搭載されているクラスのＣＰＵ（Central Processing Unit）の処理能力と内蔵ＲＡＭ（Random Access Memory）容量では荷が重過ぎる。

（２）デジタル署名の全部（もしくは一部）を通常の通信ペイロード部分に乗せて送信するため、送信フレームごとの情報転送容量が従来のものより低下する。従来と同じ情報転送速度を維持しようとすると通信トラフィックが増加し、転送情報の送達に要する遅延が増加するのでリアルタイム制御に支障をきたす。

（３）「構成検証の中心となるＥＣＵ」（特許文献１では「第１の制御装置」と記載）のみが集中的にネットワークに繋がる各ＥＣＵの構成検証を行い、結果をブロードキャストする。したがって、この「構成検証の中心となるＥＣＵ」が取り外しなどの手段で無効化されたり、不正に改竄されたりするとこの検証システムは破綻する。脆弱性の観点からは、各ＥＣＵが各々成り済ましを独自に検出できるような分散的な検証システムを採用することが望ましい。

（４）署名データ（特許文献１では「認証キーワード」もしくは「抽出キーワード」と記載）は、工場での車両組み立て時やディーラーでの整備完了時などのネットワークの機器構成が確定したタイミングで生成される（特許文献１では「（ネットワークの）初期化処理」と記載。）このデータは、一旦生成されるとネットワーク構成を再構築するまで変化しない。（公開鍵暗号による署名生成時間を初回以外に節約する効果がある。）したがって、この署名データ部分を傍受して記録し、偽データに付加して再生送信するリプレイ攻撃によりセキュリティが破られやすい。

ちなみにリプレイ攻撃（反射攻撃）とは、ネットワークを経由した認証(など)の際、第三者がその通信内容を盗聴することによって認証情報を得、接続先のホストに同一の内容を送信することで不正にアクセスするという攻撃手法を呼ぶ。

本発明の目的は、通信トラフィックを増加させずに信頼性の高いセキュリティを有する車載ネットワークシステムを提供することにある。

上記目的を達成するために、本発明は、ＣＳＭＡ/ＣＲ方式で多重通信を行う車載ネットワークであって、複数ノードの同時発信状態による衝突を検出もしくは調停する通信フレーム部分にセキュリティ情報を含ませたものである。
かかる構成により、通信トラフィックを増加させずに信頼性の高いセキュリティを有するものとなる。

本発明によれば、通信トラフィックを増加させずに信頼性の高いセキュリティをシステムに付加することができる。

本発明の第１の実施形態による車載ネットワークシステムのシステム構成図である。 本発明の第１の実施形態による車載ネットワークシステムにて用いる送信フレームの説明図である。 本発明の第１の実施形態による車載ネットワークシステムの各受信ＥＣＵにおける異常メッセージの検出方法の内容を示すフローチャートである。 本発明の第２の実施形態による車載ネットワークシステムのシステム構成図である。 本発明の第２の実施形態による車載ネットワークシステムにおけるイグニッションキーＯＦＦ→ＯＮ時などに車載ネットワークのセッション鍵を決定する方法の内容を示すフローチャートである。 本発明の第２の実施形態による車載ネットワークシステムにおける不正な送信フレームを検出する方法の内容を示すフローチャートである。 本発明の第３の実施形態による車載ネットワークシステムのシステム構成図である。 本発明の第４の実施形態による車載ネットワークシステムのシステム構成図である。

以下、図１〜図３を用いて、本発明の第１の実施形態による車載ネットワークシステムの構成及び動作について説明する。
最初に、図１を用いて、本実施形態による車載ネットワークシステムの構成について説明する。
図１は、本発明の第１の実施形態による車載ネットワークシステムのシステム構成図である。

図１に示すように、複数のＥＣＵ（Electronic Control Unit）１０１，１０２，１０３，１０４ は、車載ネットワークとして用いられることの多いＣＡＮ（Control Area Network）１００を介して接続されている。ＣＡＮ１００は、送信ＥＣＵが自身に割り当てられたメッセージ種別の識別子（ＣＡＮ ＩＤ）を付加した送信フレームを送信し、受信ＥＣＵは、フレームに付加された識別子（ＣＡＮ ＩＤ）に基づいてその信号の内容を判断する。すなわち、図１に示すように、いま、送信装置としてのＥＣＵ（Ａ）１０１から、識別子”ＸＸ，ｉ”、データ”０ａ１ｂ２ｃ３”の送信フレームｔ１０１１が車載ネットワーク１００に出力されたとする。これにより通常、受信ＥＣＵとしてのＥＣＵ（Ｂ）１０２、ＥＣＵ（Ｃ）１０３及びＥＣＵ（Ｄ）１０４は、それぞれ送信フレームｔ１０１１に示された、識別子”ＸＸ，ｉ”、データ”０ａ１ｂ２ｃ３”の信号を取り込んで、識別子”ＸＸ，ｉ”、データ”０ａ１ｂ２ｃ３”の受信フレームｒ１０２１〜ｒ１０４１を得る。

ここで、本実施形態の特徴は、送信フレームの識別子のところにあるので、この点について、図２を用いて説明する。

図２は、本発明の第１の実施形態による車載ネットワークシステムにて用いる送信フレームの説明図である。

ここで、本発明に係る車載ネットワークシステムとしては、いわゆるＣＡＮなどのＣＳＭＡ／ＣＲ（Carrier Sense Multiple Access/Collision Resolution）方式の通信プロトコルを備えた車載ネットワークである。

例えばＣＡＮのプロトコルで、メッセージ種別の識別子（ＣＡＮ ＩＤ）を、図２（ａ）通常フォーマットから、図２（ｂ）の拡張フォーマットに拡張する。すなわち、通常フォーマットで有するＣＡＮの標準ＩＤ２００は、拡張フォーマットでは調停フィールド２１０に拡張される。調停フィールド２１０には、ＣＡＮの標準ＩＤ２００の他に、ＣＡＮの拡張ＩＤ２０１等が追加されている。ＣＡＮの拡張ＩＤ２０１は、１８ビットある。

そして、拡張に際しては、ＭＰＵ（MicroProcessing Unit）のＣＡＮ周辺デバイスの特定のレジスタ（ローカルアクセプタンスフィルタマスク（ＬＡＦＭ）２０２）で、拡張ＩＤの所定の部分をＩＤとしては無効化するとともに、この部分を「セキュリティ強化のためのデータ領域」２１２として流用する。その結果、実際の通信フレームでは、実際に有効なＣＡＮ ＩＤ部２１１と、「セキュリティ強化のためのデータ領域」２１２とから構成される。

ローカルアクセプタンスフィルタマスク（ＬＡＦＭ）２０２の該当ビットはＣＡＮ ＩＤの各ビットに対応しており、当該ビットに”１”をセットするとその部分のＣＡＮ ＩＤの照合をマスクする（すなわち「ｄｏｎ‘ｔ ｃａｒｅ」にする）ことができる（インターネット・アドレスのサブネットマスクと同様の仕組みである。）しかしながら、このマスクしたビットの実際の受信値は、受信レジスタ（ＭＰＵの種類によってはメッセージボックスと称するものもある）を読み出すことによって観測することが可能である。

ここで、本実施形態に基づく実際の通信フレームの態様を示す。「セキュリティ強化のためのデータ領域」２１２に、各ＣＡＮ ＩＤ毎のシーケンス番号を格納する。シーケンス番号とは、同一ＣＡＮ ＩＤが送信されるたびにインクリメントされ、上限値で０に戻る順序番号の系列を表す。

このデータは、上述のごとくＣＡＮなどのＣＳＭＡ／ＣＲ方式の調停フィールド２１０中に存在しているので、他の正規もしくは不正ＥＣＵ含めた如何なるＥＣＵによって上書きされても、送信ＥＣＵ自体の通信プロトコルファームウェアがこの妨害事象を認識し、壊された場合は正しく再送動作を行うので、ネットワーク上の送信データの時系列から失われることが無い。したがって、類似のＣＡＮ ＩＤで他のＥＣＵより妨害があると、各受信ＥＣＵ側でシーケンス番号の重複や順序性の逸脱という形で妨害により不正挿入された通信フレームが検出可能となる。

図１は、本実施形態に係る車載ネットワークシステム１００の態様を示す図であって、「セキュリティ強化のためのデータ領域」（図２の２１２）にＣＡＮ ＩＤ毎のシーケンス番号を採用してセキュリティを向上させた例を示している。

図１のＥＣＵ（Ａ）１０１は、ＣＡＮ ＩＤとシーケンス番号を合体させて”ＸＸ，ｉ”の値を拡張ＩＤに持つ送信フレームｔ１０１１と引き続き、シーケンス番号を１増加させて”ＸＸ，ｉ＋１”の値を持つ送信フレームｔ１０１２を送出したとする。

一方、車載ネットワーク１００に不正に接続した偽ＥＣＵ（Ａ）１０５は、ある時点のＥＣＵ（Ａ）１０１の送信フレームをキャプチャし、同一ＣＡＮ ＩＤ”ＸＸ，ｊ”の体裁を備えた偽送信フレームｔ１０５１でリプレイ攻撃を行うものとする。

ここにおいて、これらの送信フレーム受信するＥＣＵ（Ｂ）１０２、ＥＣＵ（Ｃ）１０３、ＥＣＵ（Ｄ）１０４では、受信データの時系列｛ｒ１０２１〜ｒ１０２３｝｛ｒ１０３１〜ｒ１０３３｝｛ｒ１０４１〜ｒ１０４３｝が各受信ＥＣＵで得られることになる。

各受信ＥＣＵでは、同一ＣＡＮ ＩＤのシーケンス番号の部分が、”ｉ”→”ｊ”→”ｉ＋１”と遷移することになるので、偽ＥＣＵ（Ａ）１０５のような不正ＥＣＵからの異常メッセージであると判定可能となる。

ここで、図３を用いて、本実施形態による車載ネットワークシステムの各受信ＥＣＵにおける異常メッセージの検出方法について説明する。
図３は、本発明の第１の実施形態による車載ネットワークシステムの各受信ＥＣＵにおける異常メッセージの検出方法の内容を示すフローチャートである。

ステップＳ１００では、車載ネットワーク１００よりＣＡＮ信号を受信し、ステップＳ１１０では、「セキュリティ強化のためのデータ領域」（図２の２１２）よりシーケンス番号Ｍ（ＩＤ,０）を抽出する。このシーケンス番号は、ＣＡＮ ＩＤ毎に独立であり、０と所定の最大値との間を単調増加で繰り返す整数である。また、この整数の最大値は「セキュリティ強化のためのデータ領域」（図２の２１２）に格納可能な大きさに設定されていることは言うまでも無い。

次に、ステップＳ１２０で、同一ＩＤの前回受信済みのシーケンス番号値Ｎ（ＩＤ，−１）が呼び出され、続くステップＳ１３０の判定処理で、今回値と前回値の差分がチェックされる。これが最大値から０へのラップアラウンド動作も加味して差分”１”ならば、受信信号は正常であり、ステップＳ１５０に進み、今回のシーケンス番号を次回の比較に備え保存する。（ここで言うラップアラウンドとは、処理可能な範囲の最後達した後に、最初に戻ることを表す技術用語である。）
今回値と前回値の差分が”１”ではない場合は、異常メッセージを検出したことを意味しているので、ステップＳ１４０で異常メッセージ検出処理を行う。

異常メッセージ検出処理（Ｓ１４０）とは、具体的には少なくとも今回メッセージを無視して今回シーケンス番号を前回値と同じと見なすことを意味する。その他、異常が発生したことを記憶し、必要ならば車載ネットワークを通じてブロードキャストする。もしくは、警告情報を他の手段を通じて表示し運転手に警告を促すなどが考えられるが、厳密な動作の規定は該当する車載ネットワークのセキュリティポリシーに従い決定される。

その後、ステップＳ１５０にて、今回のシーケンス番号を次回の比較に備え保存する。

以上のように、本実施形態の特徴を車載ネットワークに適用すれば、少しの手順で従来のネットワークシステムのセキュリティ機能を向上させることができる。

それに対するコストも、ＣＡＮ ＩＤを標準フォーマット（１１ビット）から拡張フォーマット（１１＋１８ビット）にするだけで済む。従来から標準フォーマットで構築されたネットワークシステムについては、ＣＡＮ ＩＤ値の割り当てやペイロードデータの定義はなにも変更しなくて良い。（本発明はペイロード部分のリソースは消費しない。）
通信トラフィックの増加も各フレームで拡張フォーマットにする約１８ビット分だけが増加するのみであるので、特許文献１に示す公知例のように公開鍵暗号による署名データを付加する場合よりシステムに対するリソース要求は微々たるものになる。（一例としてインターネットで使用されるＲＳＡ暗号で、現状で脆弱性を指摘されていない鍵長２５６バイトのものの署名データは、２０４８ビットとなる。）
また、本実施形態に係るセキュリティ情報部分は、ＣＳＭＡ／ＣＲ方式の調停フィールド（図２の２１０）に含まれているので、車載ネットワーク上から送信データが消失することが無い。妨害を受けて壊されても、プロトコル上の再送システムが働いて送信が完了するまでリトライが行われる。したがって、信頼性の観点からも従来技術に対して優位性が大きい。

前述した特許文献１に示す公知例の問題点に対応して本発明の第１の実施形態の効果を列記すると次のようになる。（箇条書きの番号は上述の公知例の問題点で指摘した各項に対応している。）
（１）公開鍵暗号を用いないので、計算能力が要求されていない従来の全ての車載ＥＣＵで実装可能であり、リアルタイム性を疎外しない。
（２）従来の通信ペイロードの内容に非干渉な発明である。通信トラフィックの増加も極小化される。
（３）各ＥＣＵが分散して自分の受け取る通信内容を検証可能であり、「構成検証の中心となるＥＣＵ」を存在させないことでこの集中制御に起因する脆弱性を回避できる。

公知例の問題点（４）に対する改善の効果は、後述の本発明の第２の実施形態により具現化されるが、第１の実施形態の範囲においてはこれに対応する効果は無い。

以上説明した本実施形態により、少しのソフトウェア的な手続きの増加で、各受信ＥＣＵに通信メッセージの一貫性をチェックする手段を与えることができる。したがって、受信ＥＣＵ側で不正な成り済ましＥＣＵからの信号をチェックして異常を検出することが可能となる。

以上のように、通信トラフィックを増加させずに信頼性の高いセキュリティをシステムに付加する効果がある。また、従来システムからの移行も簡単であり、コスト上昇を引き起こすハードウェアの変更を伴わず、ソフトウェアの少し変更で実装できる。

次に、図４〜図６を用いて、本発明の第２の実施形態による車載ネットワークシステムの構成及び動作について説明する。
最初に、図４を用いて、本実施形態による車載ネットワークシステムの構成について説明する。
図４は、本発明の第２の実施形態による車載ネットワークシステムのシステム構成図である。

図４は、セッション鍵を用いた検証をゲートウェイ越しのＥＣＵとの間に適用した例を示す。セキュアゲートウェイ（ＳＧＷ：SecureGateWay）１０６は、車載ネットワークＮｅｔｗｏｒｋ（Ａ）１００と車載ネットワークＮｅｔｗｏｒｋ（Ｂ）１１０をブリッジして通信の結合を行うＥＣＵである。

ＥＣＵ（Ａ）１０１とＥＣＵ（Ｃ）１０３とが送信するデータを、セキュアゲートウェイ（ＳＧＷ）１０６を通じてＥＣＵ（Ｄ）１０４に中継するものとする。

セッション鍵の共有は、車載ネットワークＮｅｔｗｏｒｋ（Ａ）１００に属するＥＣＵ（Ａ）１０１，ＥＣＵ（Ｃ）１０３と、車載ネットワーク１１０に属するＥＣＵ（Ｄ）１０４が直接（ピア・ツー・ピアで）行っても良いが、属するネットワークが異なるためタイミングが難しい。すなわち、車載ネットワークＮｅｔｗｏｒｋ（Ａ）１００と車載ネットワークＮｅｔｗｏｒｋ（Ｂ）１１０の立ち上がり速度が異なるので、ネットワーク立ち上がり初回にセッション鍵共有を行うよう規定しても、ハンドシェイクのための信号（後述の図５の”セッション鍵要求”や”乱数種Ｓ０信号”）がネットワークの立ち上がり差によるタイミングずれ（もしくは中間のセキュアゲートウェイ１０６による処理遅れ）によって途中消失し、デッドロックを引き起こす可能性がある。

したがって、セッション鍵の共有は、ネットワーク単位にとどめて置くほうがロバスト性の観点から望ましい。その際には、セキュアゲートウェイ１０６がＥＣＵ（Ｄ）１０４の変わりに代理で送信信号の真正性を検証し、信頼性評価結果の目印を付けてＥＣＵ（Ｄ）１０４に転送することとする。

動作に先立って、車載ネットワークＮｅｔｗｏｒｋ（Ａ）１００に属するＥＣＵ（Ａ）１０１、ＥＣＵ（Ｃ）１０３、およびセキュアゲートウェイ１０６は、セッション鍵Ｓを共有しているものとする。ＥＣＵ（Ａ）１０１が送信した通信フレームｔ１０１１は、セキュアゲートウェイ１０６に到達し、セッション鍵が検証される。セキュアゲートウェイ１０６でセッション鍵が正規のものであると判定された場合、セッション鍵が格納されていた部分に信頼性有りマーク”ｔ”（ｔｒｕｔｈ）を付けて通信フレームｔ１０１２として車載ネットワークＮｅｔｗｏｒｋ（Ｂ）１１０に中継する。一方、ＥＣＵ（Ｃ）１０３が送信した通信フレームｔ１０３１のセッション鍵はＳ’であり、セッション鍵の照合が失敗したものとする。セキュアゲートウェイ１０６では、この通信フレームのセッション鍵が格納されていた部分に信頼性無しマーク”ｆ”（ｆａｌｓｅ）を付けて通信フレームｔ１０３２として車載ネットワーク１１０に中継する。

車載ネットワークＮｅｔｗｏｒｋ（Ｂ）１１０に属するＥＣＵ（Ｄ）１０４では受信信号（ｒ１０４１・ｒ１０４２）の信頼性評価結果の目印 ”ｔ”もしくは”ｆ”を見て、信号を受け入れるか棄却するかの判断をすればよい。

本実施形態では、「セキュリティ強化のためのデータ領域」（図２の２１２）に通信のためのセッション鍵を格納する。

セッション鍵は、例えば車両のイグニッションキーＯＮ時などの初期化時（車載ネットワーク立ち上がり時）に、最大範囲としては車載システム全体で一意に、もしくは最小範囲としては通信すべき車載ＥＣＵの送受信ペアの対ごとに決定すればよい。

決定方法は、前者の最大範囲としては車載システム全体で一つの乱数を共有する（初期化時におけるマスタＥＣＵとして役割を与えられた唯一のＥＣＵが乱数をブロードキャストする。）後者の最小範囲としては通信すべき車載ＥＣＵの送受信ペアの対ごとに受信ＥＣＵが予めセッション鍵生成用の乱数を送信側に供給する。（受信側ＥＣＵが送信側ＥＣＵに乱数種を配布するのはリプレイ攻撃を回避する意図がある。）
正しく乱数を共有したならば、各ＥＣＵで予め示し合わせたハッシュ関数で乱数を変換し、それをセッション鍵として用いればよい。すなわち、送信ＥＣＵは、このセッション鍵を「セキュリティ強化のためのデータ領域」２１２に格納して送り、受信側ではこのセッション鍵を内部的に計算したハッシュ関数の出力値と照合する。値が一致すれば、送信側と受信側で秘匿されたハッシュ関数を共有していることが明らかなので、真正性を確認したことになる。この認証の形態としてはチャレンジ＆レスポンス認証となる。

ゲートウェイでは、このセッション鍵を検証することで送信メッセージの真正性が検証できるので、該ゲートウェイがこのメッセージを中継する場合は、セッション鍵部分をこの信頼性評価値（”正しい”もしくは”怪しい”を表す値）で置き換えて中継しても良い。

次に、図５を用いて、本実施形態による車載ネットワークシステムにおけるイグニッションキーＯＦＦ→ＯＮ時などに車載ネットワークのセッション鍵を決定する方法について説明する。
図５は、本発明の第２の実施形態による車載ネットワークシステムにおけるイグニッションキーＯＦＦ→ＯＮ時などに車載ネットワークのセッション鍵を決定する方法の内容を示すフローチャートである。

図５は、イグニッションキーＯＦＦ→ＯＮ時などに車載ネットワークのセッション鍵を決定する方法を示しており、「セキュリティ強化のためのデータ領域」（図２の２１２）に、正規の車載ＥＣＵ間のみに共有されるべきセッション鍵を格納してセキュリティを向上させた例を示している。

図５では、送信ＥＣＵと受信ＥＣＵでピア・ツー・ピア（通信マスタが存在しない対等の装置間）でセッション鍵を共有する手続きを示しているが、セッション鍵は車載ネットワーク全体で一つと規定し、該ネットワークに参加する全ＥＣＵが同一のセッション鍵で通信をやり取りしても良い。その場合は、図５の右側の乱数種Ｓ０を供給するＥＣＵは、車載ネットワークの中で唯一に設定される。

図５のフローチャートでは、送受信ＥＣＵのペアがセッション鍵を共有する手続きを示したものであり、イグニッションキーＯＦＦ→ＯＮ時などの車載ネットワーク立ち上がり時に通信に先立ち、ステップＳ２００において、送信ＥＣＵは受信ＥＣＵに対してセッション鍵要求の信号を発する。

受信ＥＣＵでは、ステップＳ３００において、その信号を受けて、ステップＳ３１０において、内部的に乱数Ｓ０を発生させ、ステップＳ３２０において、これを乱数種Ｓ０として要求元の送信ＥＣＵに送り返す。

送信ＥＣＵは、ステップＳ２１０において、返送されてきた乱数種Ｓ０を受信し、ステップＳ２２０において、これを元に受信ＥＣＵと予め示し合わせたハッシュ関数ｆｈａｓｈによりセッション鍵Ｓｋを生成し記憶する。

受信ＥＣＵでも、ステップＳ３２０で乱数種Ｓ０を送り返すとともに、ステップ３３０において、送信ＥＣＵと予め示し合わせた同一のハッシュ関数ｆｈａｓｈによりセッション鍵Ｓｋを計算し記憶する。

したがって、正規の送信ＥＣＵの記憶したセッション鍵Ｓｋと正規の受信ＥＣＵが記憶したセッション鍵Ｓｋとは値が一致するはずである。

ハッシュ関数自体を両者で秘密裏に共有し、乱数種とそれを入力とするハッシュ関数の出力値を照合して真正性を検証しているので、これは、チャレンジ＆レスポンス認証を実行していることとなる。

このセッション鍵は、各々のデータ通信において「セキュリティ強化のためのデータ領域」（図２の２１２）に格納して用いる。使われているセッション鍵は、送信ＥＣＵの付加値と受信ＥＣＵの記憶値とで一致するはずであり、この逸脱を捉えて不正なＥＣＵから不正な送信フレームが送信されていると認識する。

チャレンジ（乱数種）として送られてくる値はネットワークの立ち上がり毎にランダムな値で変更される。そのため、生成されるレスポンス（セッション鍵）の値も毎回異なる。そのため、チャレンジ＆レスポンス認証にはチャレンジ（乱数種）やレスポンス（セッション鍵）が盗聴されたとしても認証上の致命的な問題が生じないという利点がある。

ここで、図６を用いて、本実施形態による車載ネットワークシステムにおける不正な送信フレームを検出する手続きについて説明する。
図６は、本発明の第２の実施形態による車載ネットワークシステムにおける不正な送信フレームを検出する方法の内容を示すフローチャートである。

受信ＥＣＵは、ステップＳ４００において、ＣＡＮ信号を受信し、ステップＳ４１０において、「セキュリティ強化のためのデータ領域」（図２の２１２）からセッション鍵Ｓｒｅａｌを抽出する。

次のステップＳ４２０では、保存しておいたセッション鍵Ｓｋを呼び出し、続くステップＳ４３０の判定処理では、セッション鍵Ｓｒｅａｌとセッション鍵Ｓｋとを比較する。両者が一致した場合は、受信信号は正規のものであるので処理を終了する。一致しない場合は、ステップＳ４４０にて、異常メッセージ処理を実行する。

異常メッセージ検出処理Ｓ４４０とは、具体的には少なくとも今回メッセージを無視して制御には用いないことを意味する。その他、異常が発生したことを記憶し、必要ならば車載ネットワークを通じてブロードキャストする。もしくは、警告情報を他の手段を通じて表示し運転手に警告を促すなどが考えられるが、厳密な動作の規定は該当する車載ネットワークのセキュリティポリシーに従い決定される。

以上述べたように、セキュアゲートウェイ１０６の役割として、車載ネットワークＮｅｔｗｏｒｋ（Ａ）１００ではセッション鍵を意味しているセキュリティ情報を、車載ネットワークＮｅｔｗｏｒｋ（Ｂ）１１０では信頼性情報に翻訳して中継していることになる。

以上述べたように、本実施形態では、「セキュリティ強化のためのデータ領域」（図２の２１２）を、セッション鍵を格納するデータ領域と見なして、ネットワークの信頼性を向上することができる。セッション鍵はチャレンジ＆レスポンス方式で、計算能力の低い車載ＥＣＵのＣＰＵでも簡単に計算することができる。簡単に計算できるということは、イグニッションキーＯＦＦ→ＯＮ時などで、頻繁に更新することが可能であることを意味しており、通信フレームを傍受記録して再生するリプレイ攻撃に対しても耐性を上げることができる。

セッション鍵の共有による認証機構は、ロバスト性の観点から同一車載ネットワーク単位で閉じたほうが無難である。その際、ゲートワークを跨ぐ通信フレームは、セキュアゲートウェイがその信頼性を評価し、その評価値でセッション鍵の領域を書き換えることによって別ネットワークに属する車載ＥＣＵにうまく取り次ぐことができる。

セキュアゲートウェイ１０６は、ゲートウェイを跨ぐ信号の信頼性が低いと判定した場合、信頼度マーク”ｆ”を付けて中継する代わりに、中継をブロックし、次段のネットワークに送信フレームを流さないという選択もできる。このとき、セキュアゲートウェイ１０６はファイアウォール（防火壁）の役目を果たすことになる。

前述した特許文献１に示す公知例の問題点に対応して本発明の第２の実施形態の効果を列記すると次のようになる。（箇条書きの番号は上述の公知例の問題点で指摘した各項に対応している。）
（１）公開鍵暗号を用いないので、計算能力が要求されていない従来の全ての車載ＥＣＵで実装可能であり、リアルタイム性を疎外しない。
（２）従来の通信ペイロードの内容に非干渉な発明である。通信トラフィックの増加も極小化される。
（３）各ＥＣＵが分散して自分の受け取る通信内容を検証可能であり、「構成検証の中心となるＥＣＵ」を存在させないことでこの集中制御に起因する脆弱性を回避できる。

以上は、第１の実施形態と同様であるが、第２の実施形態ではそれに加えて次の改善効果が加わる。
（４）真正性を確認するためのいわゆる署名データを作成する計算コストが低い。したがって、車載ネットワーク構成時（ネットワーク構成装置の車両組み付け時や修理完了時）ばかりではなく、各ドライビングサイクル（イグニッションキーＯＮからＯＦＦするまでの車両運転サイクル）ごとに署名データを更新して使用することが可能である。したがってリプレイ攻撃からの脆弱性を回避することができる。

次に、図７を用いて、本発明の第３の実施形態による車載ネットワークシステムの構成及び動作について説明する。
図７は、本発明の第３の実施形態による車載ネットワークシステムのシステム構成図である。

本実施形態では、「セキュリティ強化のためのデータ領域」（図２の２１２）に送信ペイロードデータの有効な部分を指し示す値を格納する。ＣＡＮメッセージフレームのペイロード部分は可変長で最大８バイトであるが、常に８バイトを固定的に送信することにして、この部分で何バイト目が有効であるかを指定することができる。

有効部分の指定を複数の送信ＥＣＵで排他的に使用するならば同一のＣＡＮ ＩＤによる送信を複数の送信ＥＣＵ間で共用することができる。また、このルールを知らない通信傍受者は、有効なデータを取り出すことができないので、通信内容の難読化を行う効果がある。

図７は、「セキュリティ強化のためのデータ領域」（図２の２１２）に送信フレーム中の有効なペイロード部分を示すフラグを格納して、単位ＣＡＮ ＩＤあたりのフレーム使用効率を上げるとともに、第三者の通信傍受に対する難読性を付加してセキュリティを向上させた例を示している。

図７において、送信フレームｔ１０１１と送信フレームｔ１０３１は８バイトの通信ペイロードにより構成されており、バイト単位で使用／不使用（有効／無効）が決定されるものとする。また、両送信フレームは同一のＣＡＮ ＩＤを共用しており、ＥＣＵ（Ａ）１０１およびＥＣＵ（Ｃ）１０３の使用するペイロード部分（図７の送信フレームｔ１０１１および送信フレームｔ１０３１ではハッチをかけて図示している）は、各々の送信ＥＣＵに対して相互に排他的に使用されるものとする。

送信フレームｔ１０１１のペイロード有効部分を、有効時”１”／無効時”０”の二進数で表現すると、｛１１０００１１１｝となり、１６進数で「０ｘＣ７」となる。送信フレームｔ１０１１の「セキュリティ強化のためのデータ領域」（図２の２１２）には、この「０ｘＣ７」が格納されることとなるので、送信フレームｔ１０１１の見かけのＣＡＮ ＩＤは”ＸＸ，０ｘＣ７”となる。同様に、送信フレームｔ１０３１のペイロード有効部分を、有効時”１”／無効時”０”の二進数で表現すると、｛００１１１０００｝となり１６進数で「０ｘ３８」となる。したがって、送信フレームｔ１０３１の「セキュリティ強化のためのデータ領域」（図２の２１２）には、この「０ｘ３８」が格納されることとなるので、送信フレームｔ１０３１の見かけのＣＡＮ ＩＤは”ＸＸ，０ｘ３８”となる。

これら両送信フレームは、セキュアゲートウェイ１０６を通じてＥＣＵ（Ｄ）１０４にそのまま送達され、各々受信フレームｒ１０４１と受信フレームｒ１０４２となる。ＥＣＵ（Ｄ）１０４にとっては、上述の「セキュリティ強化のためのデータ領域」（図２の２１２）から有効領域を示すフラグを取り出しペイロード内容の有効／無効を正しく解釈できる。

しかしながら、外部から不正に車載ネットワーク（Ｎｅｔｗｏｒｋ（Ａ）１００もしくはＮｅｔｗｏｒｋ（Ｂ）１１０）に接続し傍受する第三者にとっては、ペイロードの有効／無効が正しく解釈できないので、通信内容が難読化されることになる。

また、同一ＣＡＮ ＩＤ（すなわち”ＸＸ”）を、ＥＣＵ Ａ→ＥＣＵ Ｄ間の通信と、ＥＣＵ Ｃ→ＥＣＵ Ｄの通信とに矛盾なく使い回すことができて効率化（通信フレーム当たりの無効ペイロード数の削減による、ネットワーク全体でのＣＡＮ ＩＤ数の増加抑制）が図れる。

以上述べたように、本実施形態では、「セキュリティ強化のためのデータ領域」（図２の２１２）に送信フレーム中の有効なペイロード部分を示すフラグを格納して、単位ＣＡＮ ＩＤあたりのフレーム使用効率を上げるとともに、第三者の通信傍受に対する難読性を加味することが可能となる。

次に、図８を用いて、本発明の第４の実施形態による車載ネットワークシステムの構成及び動作について説明する。
図８は、本発明の第４の実施形態による車載ネットワークシステムのシステム構成図である。

本実施形態では、「セキュリティ強化のためのデータ領域」（図２の２１２）にゲートウェイを介して中継すべきネットワークを指し示す識別値を格納する。メッセージ自体に中継先ネットワークの情報を含んでいるために、ゲートウェイではこの中継情報を管理しなくて済むようになる。したがって、ネットワークに繋がる車載ＥＣＵの増減および配置換えにも柔軟に対応できる。

また、このルールを知らない妨害者にとっては、ゲートウェイを超えて妨害フレームを送達することができないので、ゲートウェイにファイアウォール（防火壁）の機能を与え妨害フレームを局所化するメリットがある。

ちなみにファイアウォール（防火壁、Ｆｉｒｅｗａｌｌ）とは、ある特定のコンピュータネットワークとその外部との通信を制御し、内部のコンピュータネットワークの安全を維持することを目的としたソフトウェア（あるいはそのソフトウェアを搭載したハードウェア）の技術概念である。

図８は、「セキュリティ強化のためのデータ領域」（図２の２１２）にセキュアゲートウェイ１０６で中継されるべき車載ネットワークを選択する識別値を格納した例を示している。

ＥＣＵ（Ａ）１０１から送信された送信フレームｔ１０１１には、それ自体が中継されるべきネットワークの宛先を示す識別値”Ｂ”が格納されており、その結果セキュアゲートウェイ１０６は該当フレームのこの情報を見てＮｅｔｗｏｒｋ（Ｂ）１１０に振り分け、ＥＣＵ（Ｂ）１０２の受信フレームｒ１０２１として受信される。

同様にＥＣＵ（Ｃ）１０３から送信された送信フレームｔ１０３１には、それ自体が中継されるべきネットワークの宛先を示す識別値”Ｃ”が格納されており、その結果セキュアゲートウェイ１０６は該当フレームのこの情報を見てＮｅｔｗｏｒｋ Ｃ １２０に振り分け、ＥＣＵ（Ｄ）１０４の受信フレームｒ１０４１として受信される。

このように、ネットワークの宛先情報が通信フレーム自体に含まれているので、セキュアゲートウェイ１０６内部に「ＣＡＮ ＩＤ別の宛先ネットワークの振り分け表」のような管理情報を格納しないで済む。

振り分けルール（該ネットワーク宛先の識別値と物理ネットワークの対応付け）さえ統一しておけば、ＣＡＮ ＩＤに増減があっても、ＥＣＵ配置に変更があっても、該ネットワーク宛先の識別値変更だけで（セキュアゲートウェイ１０６のソフトウェアを変更することなし）中継先を変更することができ、柔軟にネットワークトポロジーの変化に対応することができる。

また、車載ネットワークに外部から不正に接続し妨害しようとする第三者にとって、セキュアゲートウェイ越しに妨害フレームを送ろうとすると、この振り分けルールを知っていないとゲートウェイを正しく動作させることができない。したがって、ゲートウェイがファイアウォールの役目を果たし妨害フレームを遮断することになるので、セキュリティ性能を向上させる効果がある。

以上述べたように、本実施形態では、「セキュリティ強化のためのデータ領域」（図２の２１２）にセキュアゲートウェイで振り分けられるネットワークの識別情報（すなわち宛先）をコーディングすることができる。この場合、セキュアゲートウェイ内部で、ＣＡＮ ＩＤと宛先の管理情報を持つ必要がなくなってネットワークシステムに柔軟性を与えることができる。この振り分けルールを知らない外部の妨害者に対しては、セキュアゲートウェイはファイアウォールの役目を果たす。

以上説明したように、本発明では、外部からの通信干渉によって消失することの無い（プロトコルの再送機構に守られた）調停フィールド（図２の２１０）に存在するデータ領域（図２の２１２）を活用することによって、車載ネットワークシステムのセキュリティ性能を向上させることが可能である。

強化されるセキュリティの各性能については上述の実施例（実施形態１〜４）で見てきたようにデータ領域に何を意味づけるかで異なる。しかしながら、各実施例の如く単一の意味づけで単一の効果を得ても良いし、複合的に上述の実施例を組み合わせたデータを格納することにより、複合的な効果を得ても良い。

このデータ領域は、もともとＣＡＮの拡張ＩＤとして自由度を与えられている領域なので、従来の通信トラフィックを大幅に増加させることが無い。換言すれば、従来の通信スループットを大幅に低下させることがない。

しかも、通信フレームのペイロード部分は、従来のものに対して何の変更も不要であり、従来からのペイロード定義を踏襲することができるので、仕様上の移行コストが低い。

従来方式のように、ペイロードにデジタル署名データの追加や暗号化を施す場合は、このようなことにならず、通信効率（ペイロードあたりの正味の情報転送速度）は本発明と比べて大幅に低下することはその原理上明らかである。

特筆すべきことは、本発明による手段を採用することによって、処理速度の速いＣＰＵへの交換や、整数多数桁演算に必要なＲＡＭ領域の増強や、もしくは転送速度を増強した車載ネットワークの採用など、他のいかなるコスト増加を引き起こす要因を引き換えにせずとも、簡単なソフトウェアの変更で上記の実施例に示すセキュリティ性能の向上が実現可能となることである。

１００…車載ネットワーク（Ｎｅｔｗｏｒｋ（Ａ））
１０１…ＥＣＵ（Ａ）
１０２…ＥＣＵ（Ｂ）
１０３…ＥＣＵ（Ｃ）
１０４…ＥＣＵ（Ｄ）
１０５…偽ＥＣＵ（Ａ）
１０６…セキュアゲートウェイ（ＳＧＷ）
１１０…車載ネットワーク（Ｎｅｔｗｏｒｋ（Ｂ））
１２０…車載ネットワーク（Ｎｅｔｗｏｒｋ（Ｃ））
２００…ＣＡＮの標準ＩＤ
２０１…ＣＡＮの拡張ＩＤ
２０２…ローカルアクセプタンスフィルタマスク（ＬＡＦＭ）
２０３…実際の通信フレーム
２１０…調停フィールド
２１１…実際に有効なＣＡＮ ＩＤ部
２１２…セキュリティ強化のためのデータ領域

Claims (6)

1. ＣＳＭＡ/ＣＲ方式で多重通信を行う車載ネットワークであって、
   複数ノードの同時発信状態による衝突を検出もしくは調停する通信フレーム部分にメッセージ種別の識別子とともにセキュリティ情報を含ませたことを特徴とする車載ネットワークシステム。
2. 請求項１記載の車載ネットワークシステムにおいて、
   前記セキュリティ情報は、メッセージ種別の識別子に対応付けられたシーケンス番号であることを特徴とする車載ネットワークシステム。
3. 請求項１記載の車載ネットワークシステムにおいて、
   前記車載ネットワークシステムは、各正規ノードが通信に先立って恒久的ではないセッション鍵の共有を行い、該セッション鍵を各送受信ノード内部に規定時刻まで保持し認証に用いる車載ネットワークであり、
   前記セキュリティ情報は、該セッション鍵であることを特徴とする車載ネットワークシステム。
4. 請求項３記載の車載ネットワークシステムにおいて、
   前記メッセージは、ゲートウェイを経由するメッセージであり、
   前記セキュリティ情報は、前記ゲートウェイがセッション鍵の検証に基づき評価した該メッセージの信頼度情報であることを特徴とする車載ネットワークシステム。
5. 請求項１記載の車載ネットワークシステムにおいて、
   前記セキュリティ情報は、ペイロードの有効部位を特定する情報であることを特徴とする車載ネットワークシステム。
6. 請求項１記載の車載ネットワークシステムにおいて、
   前記メッセージは、ゲートウェイを経由するメッセージであり、
   前記セキュリティ情報は、転送すべきネットワークを指定する情報であることを特徴とする車載ネットワークシステム。

Images