JP2017079369A - 車両システムおよび認証方法 - Google Patents

車両システムおよび認証方法 Download PDF

Info

Publication number
JP2017079369A
JP2017079369A JP2015205607A JP2015205607A JP2017079369A JP 2017079369 A JP2017079369 A JP 2017079369A JP 2015205607 A JP2015205607 A JP 2015205607A JP 2015205607 A JP2015205607 A JP 2015205607A JP 2017079369 A JP2017079369 A JP 2017079369A
Authority
JP
Japan
Prior art keywords
ecu
general
master
electronic certificate
master ecu
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2015205607A
Other languages
English (en)
Other versions
JP6217728B2 (ja
Inventor
小熊　寿
Hisashi Oguma
寿 小熊
毅 遠山
Takeshi Toyama
毅 遠山
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Toyota Motor Corp
Original Assignee
Toyota Motor Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Toyota Motor Corp filed Critical Toyota Motor Corp
Priority to JP2015205607A priority Critical patent/JP6217728B2/ja
Priority to US15/258,576 priority patent/US10484184B2/en
Priority to CN201610895447.9A priority patent/CN106603483B/zh
Priority to DE102016119697.5A priority patent/DE102016119697A1/de
Publication of JP2017079369A publication Critical patent/JP2017079369A/ja
Application granted granted Critical
Publication of JP6217728B2 publication Critical patent/JP6217728B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/575—Secure boot
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H04L9/3273—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response for mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/84—Vehicles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Storage Device Security (AREA)
  • Lock And Its Accessories (AREA)

Abstract

【課題】ＥＣＵの交換が容易に行えるような車両システムの認証処理を提供する。【解決手段】マスタＥＣＵと一般ＥＣＵとから構成される車両システムであって、マスタＥＣＵは、マスタＥＣＵ秘密鍵と一般ＥＣＵ公開鍵を備え、一般ＥＣＵは、一般ＥＣＵ秘密鍵と、マスタＥＣＵ電子証明書を備える。電子証明書には対応するＥＣＵに関する所定データ（例えばプログラムのダイジェスト値）が含まれる。一般ＥＣＵは、所定データを含む送信データに電子署名を付してマスタＥＣＵに送信し、マスタＥＣＵは、電子署名と所定データの検証を行い、正しければ一般ＥＣＵが正当であると判断する。マスタＥＣＵは、マスタＥＣＵの所定データおよびセッション鍵を含む送信データに電子署名を付して一般ＥＣＵに送信し、一般ＥＣＵは、電子署名と所定データの検証を行い、正しければ送信データに含まれるセッション鍵を今後の通信の際の共通鍵として用いる。【選択図】図３

Description

本発明は、複数のＥＣＵを有する車両システムにおけるＥＣＵ間の認証に関する。
近年、車両に搭載されるコンピュータ（ＥＣＵ（Electronic Control Unit））の数が
増加し、ＥＣＵ間で連携をとって高度な制御が行われている。このような車両ネットワークシステムに対して、不正データの混入、ＥＣＵプログラムの不正な書き換え、不正ＥＣＵへの置換、不正ＥＣＵの追加などの攻撃が考えられる。
このような攻撃に対する対策として、ＡＵＴＯＳＡＲ規格では共通鍵を利用したメッセージ認証が提案されている。例えば、エンジン起動時に共通鍵を用いたチャレンジレスポンス認証を行い、認証に成功したらセッション鍵を配布する。以降は、メッセージ送信時にこのセッション鍵を用いたメッセージ認証コード（ＭＡＣ）によるメッセージ認証を行う。
また、特許文献１は、アドホックネットワークＩＤと、当該ＩＤにより特定されるアドホックネットワークから除外される特定のデバイスを指定する排除リストと、認証局によって生成された装置証明書とを記憶したデバイスが、互いに装置証明書を交換してアドホックネットワークに構成できるデバイスであるかどうかを確認して、有効なデバイス同士でアドホックネットワークを構成することを開示する。この際、排除リストに登録されたデバイスとは相互認証を実施しないことで、排除リストに登録されたデバイスのネットワークへの参加を回避する。
特開２００７−０７４３９０号公報
ＡＵＴＯＳＡＲのように共通鍵を用いた認証では、共通鍵を事前に配布する必要があるため、特にＥＣＵ故障交換時においてどのように共通鍵を新しいＥＣＵに導入するかが問題となる。あらかじめ共通鍵が導入されたＥＣＵを用意しておくことも考えられるが、そうすると膨大な量の交換用ＥＣＵをあらかじめ用意する必要がある。また、後から共通鍵を書き換え可能な仕組みを採用すると、そこがセキュリティホールとなり得る。
特許文献１に記載の手法では、排除リストを用いてネットワークに参加できないデバイスを特定しているため、排除リストを随時変更する必要がある。排除リストの更新が間に合わないと、ネットワークに参加すべきでない不正なデバイスがネットワークに参加してしまう。
本発明は上記の問題点を考慮してなされたものであり、ＥＣＵの交換時においても容易に適用可能な、車両システム内の認証技術を提供することを目的とする。
本発明の第一の態様は、マスタＥＣＵと一般ＥＣＵとから構成される車両システムであって、公開鍵暗号方式を用いてマスタＥＣＵと一般ＥＣＵが相互認証を行う。この際、電子証明書の中にＥＣＵに関する所定データを含ませることでＥＣＵの正当性の検証を行う
。
本態様において、マスタＥＣＵは、当該マスタＥＣＵの秘密鍵（マスタＥＣＵ秘密鍵）と、前記一般ＥＣＵの公開鍵（一般ＥＣＵ公開鍵）に対応する電子証明書（一般ＥＣＵ電子証明書）を備える。当該一般ＥＣＵ電子証明書には、前記一般ＥＣＵに関する所定データが含まれる。また、一般ＥＣＵは、当該一般ＥＣＵの秘密鍵（一般ＥＣＵ秘密鍵）と、前記マスタＥＣＵの公開鍵（マスタＥＣＵ公開鍵）に対応する電子証明書（マスタＥＣＵ電子証明書）を備える。当該マスタＥＣＵ電子証明書には、前記マスタＥＣＵに関する所定データが含まれる。
前記一般ＥＣＵは、当該一般ＥＣＵの所定データを含む送信データに対して前記一般ＥＣＵ秘密鍵による電子署名を付して、前記マスタＥＣＵに送信する。
前記マスタＥＣＵは、前記一般ＥＣＵから送信された電子署名付きの送信データを前記一般ＥＣＵ電子証明書を用いて検証し、かつ、当該送信データに含まれる前記所定データを前記一般ＥＣＵ電子証明書に含まれるものと一致するかを検証し、いずれも正しいと判断されたときに、前記一般ＥＣＵが正当であると判断する。
電子署名の検証が成功することにより、送信データの送信元とデータの内容が正しいことがわかる。すわなち、なりすましや改ざんが行われていないことが分かる。また、送信された所定データが、電子証明書内に格納されたものと一致することで一般ＥＣＵのプログラムが改ざんされていないことが分かる。
そして、前記マスタＥＣＵは、前記一般ＥＣＵの正当性が確認された後に、当該マスタＥＣＵの所定データおよびセッション鍵を含む送信データに対して前記マスタＥＣＵ秘密鍵による電子署名を付して、前記一般ＥＣＵに送信する。セッション鍵を送信する際には送信先の一般ＥＣＵのみが読み取れるように暗号化して送信するとよい。具体的には、一般ＥＣＵの公開鍵を用いて暗号化して送信するよい。このセッション鍵は、相互認証の完了後において、マスタＥＣＵと一般ＥＣＵの間の通信の際に共通鍵として用いられるものである。
前記一般ＥＣＵは、前記マスタＥＣＵから送信された電子署名付きの送信データを前記マスタＥＣＵ電子証明書を用いて検証し、かつ、当該送信データに含まれる前記所定データが前記マスタＥＣＵ電子証明書に含まれるものと一致するかを検証し、いずれも正しいと判断された時に、前記マスタＥＣＵが正当であると判断する。この処理は、マスタＥＣＵによる一般ＥＣＵの正当性検証と同様である。マスタＥＣＵの正当性が確認できた場合には、一般ＥＣＵは、前記マスタＥＣＵが正当であると判断して前記送信データに含まれるセッション鍵を今後の通信の際の共通鍵として用いる。
このようにすれば、マスタＥＣＵと一般ＥＣＵが相互認証を行って、セッション鍵（共通鍵）の交換を行ってその後の通信に利用することができる。ここで、本態様においては、公開鍵暗号方式を利用しており、マスタＥＣＵおよび一般ＥＣＵには、電子証明書を格納している。電子証明書自体は秘匿化する必要がない情報であるため、通常のメモリに格納することができる。したがって、ＥＣＵの交換の際には他のＥＣＵに格納されている当該交換対象のＥＣＵについての電子証明書を更新すれば良いだけなので、ＥＣＵの交換が容易である。言い換えると、交換用のＥＣＵを過剰に用意する必要もないし、ＥＣＵの交換のためにセキュリティホールとなるような仕組みを導入する必要もない。
本態様において、前記一般ＥＣＵは複数存在し、前記マスタＥＣＵは、それぞれの一般ＥＣＵに対応する一般ＥＣＵ電子証明書を備えており、前記マスタＥＣＵは、それぞれの
一般ＥＣＵに対して同一の鍵をセッション鍵として送信し、前記一般ＥＣＵは、前記マスタＥＣＵおよび他の一般ＥＣＵとの間の通信に、前記セッション鍵を共通鍵として用いる、ことも好ましい。
このようにすれば、それぞれの一般ＥＣＵはマスタＥＣＵとの間で相互認証を行うだけで、セッション鍵を共有できる。すなわち、それぞれの一般ＥＣＵはマスタＥＣＵとの認証を介して互いの認証を行える。
本態様において、前記一般ＥＣＵに関する所定データは、当該一般ＥＣＵの実行プログラムの正しいダイジェスト値（ハッシュ値）とすることができる。この場合、前記一般ＥＣＵは、実行プログラムのダイジェスト値を算出して、当該ダイジェスト値を含む送信データに対して前記一般ＥＣＵ秘密鍵による電子署名を付して、前記マスタＥＣＵに送信する、とよい。
このようにすれば、一般ＥＣＵのプログラムが改ざんされた場合には、送信データに含まれるダイジェスト値と電子証明書に含まれるダイジェスト値が一致せず、マスタＥＣＵは一般ＥＣＵの実行プログラムが改ざんされたことを検知できる。
また、本態様において、前記一般ＥＣＵに関する所定データは、当該一般ＥＣＵのＩＤ（一意に識別可能なデータ）とすることもできる。この場合、前記一般ＥＣＵは、セキュアブートを用いて実行プログラムの完全性を確認した後に、当該一般ＥＣＵのＩＤを含む送信データに対して前記一般ＥＣＵ秘密鍵による電子署名を付して、前記マスタＥＣＵに送信する、とよい。
このように、一般ＥＣＵがセキュアブートを用いて実行プログラムが改ざんされていない事を確認してから一般ＥＣＵのＩＤを送信することによっても、一般ＥＣＵの実行プログラムの完全性を担保することができる。
本態様においては、電子証明書を利用しているので、各ＥＣＵはルート認証局の公開鍵であるルート公開鍵を記憶する。ここで、各ＥＣＵはルート公開鍵を、書き換え不可能なメモリに記憶しても良いし、書き換え可能なメモリに記憶しても良い。ルート公開鍵の更新が不要な場合には、書き替え不可能なメモリに記憶すると良い。一方、ルート公開鍵の更新が必要となる場合には、書き換え可能なメモリに記憶する必要がある。この場合は、ルート公開鍵の改ざんを防止するために、自装置の秘密鍵（マスタＥＣＵ秘密鍵または一般ＥＣＵ秘密鍵）を用いて電子署名を作成して関連づけて記憶すると良い。
本態様において、マスタＥＣＵがあらかじめ一般ＥＣＵ電子証明書を備えたり、一般ＥＣＵがあらかじめマスタＥＣＵ電子証明書を備えていなくてもよく、相互認証処理において電子証明書を配布するようにしてもよい。この場合、マスタＥＣＵはマスタＥＣＵ電子証明書をあらかじめ備えており、一般ＥＣＵは一般ＥＣＵ電子証明書を予め備えている必要がある。具体的には、前記一般ＥＣＵが前記マスタＥＣＵ電子証明書を有していない場合には、前記一般ＥＣＵは、前記電子署名を付した送信データとともに、前記一般ＥＣＵ電子証明書を前記マスタＥＣＵに送信し、前記マスタＥＣＵは、ルート公開鍵を用いて前記一般ＥＣＵ電子証明書を用いて検証し、前記一般ＥＣＵ電子証明書が正当である場合に、前記一般ＥＣＵ電子証明書を記憶する。また、前記マスタＥＣＵが前記一般ＥＣＵ電子証明書を有していない場合には、前記マスタＥＣＵは、前記電子署名を付した送信データとともに、前記マスタＥＣＵ電子証明書を前記一般ＥＣＵに送信し、前記一般ＥＣＵは、ルート公開鍵を用いて前記マスタＥＣＵ電子証明書を用いて検証し、前記マスタＥＣＵ電子証明書が正当である場合に、前記マスタＥＣＵ電子証明書を記憶する。
このような構成によれば、車両システム内の各ＥＣＵが他のＥＣＵの電子証明書をあらかじめ保有していなくてもＥＣＵ間の相互認証が可能となる。したがって、ＥＣＵ交換時に、他のＥＣＵの電子証明書を更新する作業を省略することが可能となる。
なお、本発明は、上記手段の少なくとも一部を含む車両システムとして捉えることもできる。本発明は、上記手段の少なくとも一部が実行する車両システムにおける認証方法として捉えることもできる。また、本発明は、この方法をコンピュータに実行させるためのコンピュータプログラム、あるいはこのコンピュータプログラムを非一時的に記憶したコンピュータ可読記憶媒体として捉えることもできる。上記手段および処理の各々は可能な限り互いに組み合わせて本発明を構成することができる。
本発明によれば、車両システム内の認証処理を、ＥＣＵの交換時においても容易に適用可能とすることができる。
図１は第１の実施形態におけるシステム概要図である。 図２は第１の実施形態における電子証明書のフォーマットを示す図である。 図３は第１の実施形態にＥＣＵの相互認証処理の流れを示すフローチャートである。 図４Ａは第１の実施形態における車両組み立て時の電子証明書の作成・配布方法を説明する図であり、図４Ｂは交換用ＥＣＵの出荷時の電子証明書の作成・配布方法を説明する図である。 図５は第２の実施形態における電子証明書のフォーマットを示す図である。 図６は第２の実施形態にＥＣＵの相互認証処理の流れを示すフローチャートである。 図７Ａは第３の実施形態にかかる交換用ＥＣＵの構成を示し、図７Ｂは第３の実施形態におけるＥＣＵの相互認証処理の流れを示すフローチャートである。 図８は変形例におけるＥＣＵの機能構成を示す図である。
（第１の実施形態）
＜構成＞
第１の実施形態にかかる車両システムについて、図１を参照しながら説明する。車両システムは、ＣＡＮバスシステムに接続された複数のコンピュータ（ＥＣＵ）から構成される。図１では、マスタＥＣＵ（１００ｍ）、一般ＥＣＵａ（１００ａ）、一般ＥＣＵｂ（１００ｂ）、一般ＥＣＵｃ（１００ｃ）の４つのＥＣＵが接続されているが、車両システムにおけるＥＣＵの数は特に限定されない。
それぞれのＥＣＵ１００は、プロセッサ（演算装置）、セキュリティチップ（耐タンパデバイス）、メモリ、通信装置などを有する。なお、セキュリティチップは、他のプロセッサとは独立して機能し、プログラムやデータを安全に格納しかつ実行できる。マスタＥＣＵ１００ｍは、ハードウェア構成上は一般ＥＣＵと特に異なる点はないが、演算資源が豊富なＥＣＵをマスタＥＣＵとすることが好ましい。
各ＥＣＵの機能構成はほぼ同様であるため、マスタＥＣＵ１００ｍを例にとって説明する。マスタＥＣＵ１００ｍは、ＲＯＭ（読み込み専用メモリ）１１０ｍ内に、実行プログラム１１１ｍおよびルート証明書１１２ｍを記憶する。実行プログラム１１１ｍは、システム起動後にマスタＥＣＵｍが提供する機能を記述したプログラムである。ルート証明書１１２ｍは、ルート認証局の公開鍵に対応する電子証明書である。
また、マスタＥＣＵ１００ｍは、耐タンパデバイス１２０ｍ内に、暗号エンジン１２１ｍおよび秘密鍵１２２ｍを記憶する。暗号エンジン１２１ｍは、秘密鍵・公開鍵のペアの生成、公開鍵の出力、暗号化処理、復号処理、電子署名付与、電子署名検証、ハッシュ値演算などの機能を提供する。また、秘密鍵１２２ｍは、マスタＥＣＵ１００ｍの秘密鍵である。
また、マスタＥＣＵ１００ｍは、フラッシュメモリ（読み書き可能メモリ）１３０ｍに、システム内の全ての一般ＥＣＵの電子証明書（ここでは、一般ＥＣＵａ、一般ＥＣＵｂ、一般ＥＣＵｃに対応する電子証明書１３１ａ，１３１ｂ，１３１ｃ）を記憶する。
なお、マスタＥＣＵと一般ＥＣＵとの相違点は、フラッシュメモリに格納される電子証明書の種類である。上述のように、マスタＥＣＵは全ての一般ＥＣＵの電子証明書を格納するのに対し、一般ＥＣＵはマスタＥＣＵの電子証明書１３１ｍのみをフラッシュメモリに格納する。
＜電子証明書＞
図２は、電子証明書のフォーマットを示す図である。図２では、例として一般ＥＣＵａの公開鍵に対応する電子証明書のフォーマットを示している。一般ＥＣＵａの電子証明書１３１は、一般ＥＣＵａの公開鍵２１、一般ＥＣＵａの秘密鍵の有効期限２２、その他の情報２３、一般ＥＣＵａに格納されるべき真正なプログラム１１１ａのダイジェスト値２４、これら全体に対する電子署名２５から構成される。電子証明書１３１は、例えば、Ｘ．５０９ ｖ３規格を採用することができる。この規格では拡張領域が用意されているので、この拡張領域にプログラムのダイジェスト値２４を格納することができる。
ダイジェスト値は、要約値やハッシュ値とも呼ばれ、元となるデータから一定の計算手順により求められる固定長の値である。元となるデータが少しでも異なれば得られるダイジェスト値は大きく異なる。異なるデータから同じダイジェスト値が得られることもあるが（ダイジェスト値の衝突）、同じダイジェスト値が得られる元データを効率的に探索することはできないので、ダイジェスト値を用いてデータの同一性を検証できる。
＜認証手順＞
次に、図３のフローチャートを参照して、車両システムにおけるＥＣＵ間の相互認証処理の流れについて説明する。本実施形態では、それぞれの一般ＥＣＵがマスタＥＣＵとの間で相互認証を行って、セッション鍵（共通鍵）を交換する。マスタＥＣＵは全ての一般ＥＣＵに対して同一のセッション鍵を配布することで、システム内の全てのＥＣＵの間でセッション鍵を用いた通信が行える。
図３は、マスタＥＣＵｍと一般ＥＣＵａの間で相互認証を行う場合の例である。この処理は、例えば、車両を工場から出荷するタイミング、共通鍵を更新するタイミング、ＥＣＵを交換したタイミングなどに行うことが好ましい。ただし、車両システムの起動時に毎回行うようにしてもかまわない。
まず、マスタＥＣＵｍが暗号エンジン１２１ｍによって乱数ｒｍを生成する（Ｓ１０１）。同様に、一般ＥＣＵａが暗号エンジン１２１ａによって乱数ｒａを生成する（Ｓ２０１）。これらの乱数を生成する理由は、今後のメッセージ交換処理が今回のセッションにおける認証処理であることを担保するためである。これらの乱数は必ずしも利用する必要はなく省略してもかまわない。
マスタＥＣＵｍは、乱数ｒｍを一般ＥＣＵａに送信する（Ｓ１０２）。すると、一般Ｅ
ＣＵａは、耐タンパデバイス１２０ａ内の暗号エンジン１２１ａを用いて、実行プログラム１１１ａのダイジェスト値Ｄａを算出する（Ｓ２０２）。また、一般ＥＣＵａは、暗号エンジン１２１ａを用いて、ダイジェスト値Ｄａ、乱数ｒｍ、乱数ｒａの連結値に対する電子署名Ｓ１を作成する（Ｓ２０３）。電子署名Ｓ１は、ダイジェスト値Ｄａ、乱数ｒｍ、乱数ｒａの連結値のハッシュ値を一般ＥＣＵａの秘密鍵１２２ａで暗号化したデータである。一般ＥＣＵａは、ダイジェスト値Ｄａ、乱数ｒｍ、乱数ｒａおよびその電子署名Ｓ１をマスタＥＣＵｍに送信する（Ｓ２０４）。
マスタＥＣＵｍは、暗号エンジン１２１ｍによって、セッション鍵Ｋを生成する（Ｓ１０３）。セッション鍵Ｋは、具体的には、乱数である。上述したように、車両システム内で一つのセッション鍵を共有して用いるため、相互認証処理時に一回のみセッション鍵を生成すれば十分である。
マスタＥＣＵｍは、一般ＥＣＵａから電子署名付きのメッセージを受信すると、一般ＥＣＵａの電子証明書を用いて電子署名の完全性を確認する（Ｓ１０４）。具体的には、受信したダイジェスト値Ｄａ、乱数ｒｍ、乱数ｒａのダイジェスト値を求めるとともに、電子署名を一般ＥＣＵａの公開鍵（電子証明書に含まれる）で復号する。これらの値が一致すれば、データの送信元が一般ＥＣＵａであること、および、送信データに改ざんがないことが保証できる。電子署名の完全性が確認できない場合には、なりすましや改ざんの恐れがあるので処理を中止する。
次に、マスタＥＣＵｍは、送信データに含まれる一般ＥＣＵａのプログラムのダイジェスト値Ｄａと、一般ＥＣＵａの電子証明書に含まれるダイジェスト値２４が一致するか照合する（Ｓ１０５）。これらのダイジェスト値が一致する場合には、一般ＥＣＵａに格納されているプログラム１１１ａが真正なものであること、すなわち改ざんなどがされていないことが分かる。ここまでの処理により、マスタＥＣＵｍは一般ＥＣＵａが正当なものであることを確認できる。一方、ダイジェスト値が一致しない場合には、プログラムが改ざんされている恐れがあるので処理を中止する。
マスタＥＣＵｍは、暗号エンジン１２１ｍを用いて、ステップＳ１０３で生成したセッション鍵Ｋを一般ＥＣＵａの公開鍵（電子証明書に含まれる）で暗号化して暗号化セッション鍵ＥＫを得る（Ｓ１０６）。また、マスタＥＣＵｍは、暗号エンジン１２１ｍを用いて、プログラム１１１ｍのダイジェスト値Ｄｍを算出する（Ｓ１０７）。さらに、マスタＥＣＵｍは、暗号エンジン１２１ｍを用いて、ダイジェスト値Ｄｍ、乱数ｒｍ、乱数ｒａ、暗号化セッション鍵ＥＫの連結値に対する電子署名Ｓ２を作成する（Ｓ１０８）。電子署名Ｓ２は、ダイジェスト値Ｄｍ、乱数ｒｍ、乱数ｒａ、暗号化セッション鍵ＥＫの連結値のハッシュ値をマスタＥＣＵｍの秘密鍵１２２ｍで暗号化したデータである。マスタＥＣＵｍは、ダイジェスト値Ｄｍ、乱数ｒｍ、乱数ｒａ、暗号化セッション鍵ＥＫおよびその電子署名Ｓ２を一般ＥＣＵａに送信する（Ｓ１０９）。
一般ＥＣＵａは、マスタＥＣＵｍから電子署名付きのメッセージを受信すると、マスＥＣＵｍの電子証明書を用いて電子署名の完全性を確認する（Ｓ２０５）。具体的には、受信したダイジェスト値Ｄｍ、乱数ｒｍ、乱数ｒａ、暗号化セッション鍵ＥＫのダイジェスト値を求めるとともに、電子署名をマスタＥＣＵｍの公開鍵（電子証明書に含まれる）で復号する。これらの値が一致すれば、データの送信元がマスタＥＣＵｍであること、および、送信データに改ざんがないことが保証できる。電子署名の完全性が確認できない場合には、なりすましや改ざんの恐れがあるので処理を中止する。
次に、一般ＥＣＵａは、送信データに含まれるマスタＥＣＵｍのプログラムのダイジェスト値Ｄｍと、マスタＥＣＵｍの電子証明書に含まれるダイジェスト値２４が一致するか
照合する（Ｓ２０６）。これらのダイジェスト値が一致する場合には、マスタＥＣＵｍに格納されているプログラム１１１ｍが真正なものであること、すなわち改ざんなどがされていないことが分かる。ここまでの処理により、一般ＥＣＵａはマスタＥＣＵｍが正当なものであることを確認できる。一方、ダイジェスト値が一致しない場合には、プログラムが改ざんされている恐れがあるので処理を中止する。
一般ＥＣＵａは、マスタＥＣＵｍの正当性が確認できたら、暗号化セッション鍵ＥＫを一般ＥＣＵａ自身の秘密鍵１２２ａによって復号する（Ｓ２０７）。これにより、マスタＥＣＵｍと一般ＥＣＵａの間でセッション鍵Ｋを共有することができる。この後は、マスタＥＣＵｍと一般ＥＣＵａの間で、セッション鍵を用いて安全な通信を行う。例えば、セッション鍵を用いて送信メッセージのＭＡＣ（メッセージ認証コード）を生成・送信することで通信の安全性を確保する。
なお、上述したように、それぞれの一般ＥＣＵがマスタＥＣＵｍとの間で相互認証をして、同一のセッション鍵ＫをマスタＥＣＵｍから受信する。したがって、車両システム内の全てのＥＣＵで同一のセッション鍵Ｋを共有できるので、一般ＥＣＵ間の通信でもセッション鍵Ｋを用いた通信が実行可能である。
このような認証処理を行うことで、車両システム内のＥＣＵが正当なものであり、かつ実行プログラムが真正なものであることを、公開鍵暗号方式を用いて確認することができる。また、相互認証がされたＥＣＵ間でセッション鍵を共有することができる。
＜電子証明書の作成・配布方法＞
以下、車両システムにおける電子証明書の作成・配布方法について説明する。
図４Ａは、車両組み立て時における電子証明書の作成・配布方法を説明する図である。車両組み立て工場の管理装置は、１台の車両に搭載される全てのＥＣＵに対して、公開鍵ペア作成コマンドおよび公開鍵取り出しコマンドを発行する（Ｓ３０１）。このコマンドを受け取ったＥＣＵは、暗号エンジンを用いて秘密鍵と公開鍵のペアを生成し（Ｓ３０２）、メモリに格納するとともに、公開鍵を管理装置に送信する（Ｓ３０３）。管理装置は、ＥＣＵの公開鍵と、ＥＣＵに搭載する真正なプログラムのダイジェスト値を認証局（ルート認証局）に送信して、電子証明書の作成を依頼する（Ｓ３０４）。認証局では、受け取った公開鍵とプログラムダイジェスト値に対する電子証明書を作成して管理装置に送信する（Ｓ３０５）。作成される電子証明書は、図２に示すように、ＥＣＵの公開鍵とプログラムダイジェスト値を含み、これら全体に対する認証局の秘密鍵による電子署名が付されたものである。管理装置は、認証局から電子証明書を受領すると、ＥＣＵのメモリに対して実行プログラムと電子証明書とルート証明書を保存する（Ｓ３０７，Ｓ３０８）。ここで、実行プログラムは、それぞれにＥＣＵに対応するものがＲＯＭに格納される。また、電子証明書はフラッシュメモリに格納される。また、マスタＥＣＵには全ての一般ＥＣＵの電子証明書が格納され、一般ＥＣＵにはマスタＥＣＵの電子証明書のみが格納される。ルート証明書は、認証局の公開鍵に対する電子証明書である。ルート証明書は、各ＥＣＵのＲＯＭに格納される。
このようにすることで、図１に示すような、車両システムの構成を作成することができる。
図４Ｂを参照して、交換用のＥＣＵの作成・配布方法について説明する。この場合も、図４ＡのステップＳ３０１〜Ｓ３０６の方法によって、交換用ＥＣＵのプログラムダイジェスト値を含む電子証明書を、認証局に依頼して作成する。管理装置は、図４Ｂに示すように、交換用ＥＣＵ１００に対して実行プログラム１１１およびルート証明書１１２を保
存するとともに、ＥＣＵとは別媒体のメモリ２００（フラッシュメモリやＣＤ−ＲＯＭなど）に対して交換用ＥＣＵの電子証明書１３１を保存する。交換用ＥＣＵ１００は、その電子証明書１３１を格納した記憶媒体２００とともに出荷される。
次に、車両システムにおいて、ＥＣＵを交換する際の手順について説明する。
交換用ＥＣＵが一般ＥＣＵである場合には、記憶媒体２００に格納されている交換用ＥＣＵの電子証明書を車両システム内のマスタＥＣＵに送信して、マスタＥＣＵのフラッシュメモリ内の電子証明書を更新する。なお、マスタＥＣＵでは、この電子証明書の正当性をルート証明書によって検証することができる。また、交換用ＥＣＵは、マスタＥＣＵからその電子証明書を受信してフラッシュメモリ内に格納する。この電子証明書の正当性は、上記と同様にルート証明書によって検証できる。
交換ＥＣＵがマスタＥＣＵである場合には、記憶媒体２００に格納されている交換用ＥＣＵの電子証明書を、車両システム内の全ての一般ＥＣＵに送信して一般ＥＣＵのフラッシュメモリ内の電子証明を更新する。また、交換用ＥＣＵは、車両システム内の全ての一般ＥＣＵから電子証明書を受信してフラッシュメモリ内に格納する。上記と同様に電子証明書の正当性はルート証明書によって検証できる。
このように、不正なＥＣＵが取り付けられた場合にはその電子証明書の検証に失敗することから、不正ＥＣＵの取り付けを検出することができる。また、正しいＥＣＵではあるが格納されているプログラムが改ざんされて正しいものでない場合には、相互認証処理（図３）において検出することができる。また、電子証明書はフラッシュメモリに格納すれば良く、対タンパ性デバイスに格納する必要がないので、ＥＣＵの交換のためにセキュリティホールとなるようなインタフェースを用意しないでよい。また、ＥＣＵの交換時に認証局との間での通信（ホットライン）が不要であることからも、ＥＣＵの交換が容易である。
（第２の実施形態）
第１の実施形態では、プログラムダイジェスト値を電子証明書に格納するとともに、認証処理において自装置のプログラムダイジェスト値を認証先のＥＣＵに送信してプログラムの真正性を確認していた。本実施形態では、プログラムの正当性の検証方法が第１の実施形態とは異なり、各ＥＣＵがセキュアブートを用いてプログラムの正当性を検証する。
第２の実施形態におけるＥＣＵの構成は第１の実施形態（図１）とほぼ同様であるので、詳しい説明は省略する。第１の実施形態との相違点は、電子証明書に含まれるデータである。
図５は、第２の実施形態における電子証明書のフォーマットを示す図である。第１の実施形態では電子証明書１３１の拡張領域にＥＣＵに格納されるべき正しいプログラムのダイジェスト値２４が格納されていたが、本実施形態ではこれに代えてＥＣＵの識別子（ＩＤ）２６が格納される。ＥＣＵの識別子は、ＥＣＵが一意に特定できるデータであれば任意の形式であってかまわない。
また、本実施形態では、プログラムの正当性をセキュアブートによって確認するので、耐タンパデバイス内にＥＣＵに格納されるプログラムの正しいダイジェスト値が格納される。このプログラムダイジェスト値は、第１の実施形態において電子証明書の拡張領域に格納されるものと同一である。
図６は、第２の実施形態における、車両システムでのＥＣＵ間の相互認証処理の流れを
示すフローチャートである。本実施形態では、まず、マスタＥＣＵｍと一般ＥＣＵａのそれぞれにおいて、セキュアブートの手法を用いて実行プログラムの正当性を検証する（Ｓ３０１，Ｓ４０１）。セキュアブートでは、暗号化エンジンがメモリ内に格納されているプログラムのダイジェスト値を計算し、耐タンパデバイス内に格納されている正しいプログラムのダイジェスト値と比較して、一致すればプログラムが正当であると判断し、一致しなければプログラムが不正であると判断する。マスタＥＣＵｍおよび一般ＥＣＵは、セキュアブートによりプログラムが正当であると判断された場合のみ、ステップＳ３０１およびＳ４０１以降の処理を実行する。
以降の処理は、第１の実施形態と基本的に同様であり、プログラムダイジェストを算出して送信する代わりに、ＥＣＵ識別子を送信する点が異なる。例えば、一般ＥＣＵａでは、ステップＳ４０３、Ｓ４０４において、自装置のＥＣＵＩＤａ、乱数ｒｍ，乱数ｒａの連結値に対する電子署名Ｓ１を作成して、これらのデータと電子署名をマスタＥＣＵに送信する。マスタＥＣＵｍにおける電子署名の完全性検証処理（Ｓ３０５）は第１の実施形態と同様である。また、ステップＳ３０６において、認証先の一般ＥＣＵａから送信されたデータ（ＥＣＵＩＤａ）と電子証明書内に格納されたデータが一致するかどうかによってＥＣＵの正当性を検証する点は、第１の実施形態と同じである。ただし、用いるデータが、プログラムのダイジェスト値であるか、ＥＣＵの識別子であるかが相違する。マスタＥＣＵｍから一般ＥＣＵａに向けて送信する処理（ステップＳ３０８〜Ｓ３０９，Ｓ４０５〜Ｓ４０７）も上記と同様である。
このような処理によって、第１の実施形態と同様の効果を得ることができる。なお、車両組み立て時の電子証明書の作成・配布方法や、交換用ＥＣＵの作成・配布方法および交換時の手順は、第１の実施形態と同様である。
（第３の実施形態）
上記第１および第２の実施形態においては、ＥＣＵを交換する際に、交換用ＥＣＵの電子証明書を車両システム内の他のＥＣＵにインストールする作業を行っている。本実施形態においては、この作業を省略してＥＣＵ交換時の作業負荷を低減可能とする。
図７Ａは、本実施形態にかかる交換用ＥＣＵｒの構成を示す図である。第１の実施形態においては交換用ＥＣＵｒの電子証明書をＥＣＵ本体とは異なる記憶媒体に格納している（図４Ｂ）が、本実施形態では、交換用ＥＣＵｒの電子証明書１３１ｒをＥＣＵｒのフラッシュメモリ１３０ｒ内に格納する。
本実施形態では、ＥＣＵを交換する際には、単にＥＣＵを交換する工程のみを行い、車両システム内の他のＥＣＵの電子証明書を更新する処理は行わない。そのため、ＥＣＵの交換直後は、交換用ＥＣＵｒは他のＥＣＵの電子証明書を保持せず、また、他のＥＣＵは交換用ＥＣＵｒの電子証明書を保持していない。
図７Ｂは、本実施形態におけるＥＣＵ間（ここでは、マスタＥＣＵｍと一般ＥＣＵａの間）の相互認証処理の流れを示すフローチャートである。本実施形態においては、ＥＣＵが認証相手の電子証明書を保持していない場合があるので、第１の実施形態と比較して追加の処理が必要となる。なお、交換されたＥＣＵが、マスタＥＣＵｍと一般ＥＣＵａのどちらであっても（あるいは両方であっても）、この処理によってＥＣＵ間の相互認証が行える。また、図７Ｂのフローチャートは、第１の実施形態における処理（図３）との相違点が明確になるように、図３に示す処理内容の一部を省略あるいは簡略化して示している。
まず、マスタＥＣＵが相互認証処理を開始する（Ｓ８００）。具体的には、ステップＳ
１０１と同様に、マスタＥＣＵｍは乱数ｒａを生成して一般ＥＣＵａに送信する。一般ＥＣＵａは、相互認証処理が開始されると、マスタＥＣＵｍの電子証明書ｍをメモリ内に保有しているか否かを判断する（Ｓ８０１）。
一般ＥＣＵａが電子証明書ｍを保有している場合（Ｓ８０１−ＹＥＳ）には、第１の実施形態と同様に一般ＥＣＵｒの実行プログラム１１１ｒのダイジェスト値Ｄａ、乱数ｒｍ、ｒａとこれらの連結値に対する電子署名Ｓ１とをマスタＥＣＵｍに送信する（Ｓ８０２）。この処理は、図３のステップＳ２０２〜Ｓ２０４の処理と同様である。
一方、一般ＥＣＵａが電子証明書ｍを保有していない場合（Ｓ８０１−ＮＯ）には、一般ＥＣＵｒの実行プログラム１１１ｒのダイジェスト値Ｄａ、乱数ｒｍ、ｒａに加えて、自装置の電子証明書ａも合わせて送信する（Ｓ８０３）。この際、電子証明書ａも電子署名Ｓ１の対象としてもよいし、電子証明書ａは電子署名Ｓ１の対象としなくてもよい。
マスタＥＣＵｍは、一般ＥＣＵａからプログラムのダイジェスト値Ｄａを含むデータを受信したら、この受信データに電子証明書ａ（より正確にはデータ送信元の電子証明書）が含まれているか判断する（Ｓ８０４）。受信データに電子証明書ａが含まれている場合（Ｓ８０４−ＹＥＳ）には、マスタＥＣＵｍは、当該電子証明書ａが登録済み（メモリに保有済み）であるか否かを判断する（Ｓ８０５）。マスタＥＣＵｍが電子証明書ａを保有していない場合（Ｓ８０５−ＮＯ）には、マスタＥＣＵｍは、ルート証明書１１２ｍを用いて暗号化エンジン１２１ｍによって電子証明書ａの正当性を確認し、正当性が確認できたら電子証明書ａを登録（メモリに記憶）する（Ｓ８０６）。なお、電子証明書ａの正当性が確認できない場合には、認証処理を中断し以降の処理は行わない。
一方、マスタＥＣＵｍが受信したデータに電子証明書ａが含まれない（Ｓ８０４−ＮＯ）か、受信データに含まれる電子証明書ａが既に登録済みである（Ｓ８０５−ＹＥＳ）には、ステップＳ８０６の処理は行われない。
次に、マスタＥＣＵｍは、電子証明書ａを用いて一般ＥＣＵａから受信したデータの正当性を確認する（Ｓ８０７）。具体的には、電子署名の検証と、ダイジェスト値の検証（受信データに含まれるダイジェスト値と電子証明書ａに含まれるダイジェスト値の比較）が行われる。この処理は、図３のステップＳ１０４〜Ｓ１０５と同様である。
マスタＥＣＵｍは、一般ＥＣＵａの正当性が確認できたら、自装置のプログラム１１１ｍのダイジェスト値Ｄｍ、乱数ｒｍ，ｒａ、および暗号化したセッション鍵ＥＫに加えて、自装置の電子証明書ｍに、電子署名を付して送信する（Ｓ８０８）。この処理は、図３のステップＳ１０６〜Ｓ１０９および上記ステップＳ８０３と同様である。なお、電子証明書ｍは常に送信しなくてもよく、一般ＥＣＵａから送信されたデータに一般ＥＣＵａの電子証明書ａが含まれている場合のみ、電子証明書ｍを送信するようにしてもよい。そうでない場合には、一般ＥＣＵａは電子証明書ｍを保有しているためである。
一般ＥＣＵａは、マスタＥＣＵｍから電子証明書ｍを含むデータを受信すると、電子証明書ｍの正当性を確認し、正当性が確認できたら当該電子証明書ｍを登録（メモリに記憶）する（Ｓ８０９）。そして、一般ＥＣＵａは、電子証明書ｍを用いて、マスタＥＣＵｍから送信されたデータの正当性を確認し、正当性が確認できたら電子証明書ｍを登録（メモリに記憶）する（Ｓ８０９）。この処理は、図３のステップＳ２０５〜Ｓ２０７の処理と同様である。なお、電子証明書ｍの正当性が確認できない場合には、認証処理を中断し以降の処理は行わない。これ以降の処理は図３のフローチャート同様であるため説明を省略する。
本実施形態によれば、ＥＣＵの交換時に車両システム内のＥＣＵに格納されている電子証明書を更新しなくても、交換後にＥＣＵ間で正しく相互認証を行うことができる。つまり、ＥＣＵ交換時の作業の負担を軽減することができる。
本実施形態では、ＥＣＵの交換後の最初の相互認証処理において電子証明書の配付およびその検証処理が必要となるため、工数が増えて認証完了までに要する時間が増加する。しかしながら、電子証明書の配付（登録）が完了した後は、第１の実施形態と同様の処理内容によって相互認証処理を行える。
上記の説明においては、第１の実施形態と同様に実行プログラムのダイジェスト値を用いて相互認証を行う例を説明したが、本実施形態はセキュアブート技術とＥＣＵの識別子を用いて相互認証を行う第２の実施形態にも適用可能である。
また、上記の説明においてはＥＣＵ交換時を例にとって説明しているが、車両の組み立て時にも上記と同様の方法を用いて各ＥＣＵの電子証明書を登録することもできる。
（変形例）
上記の実施形態はあくまでも一例であって、本発明はその要旨を逸脱しない範囲内で適宜変更して実施しうる。
例えば、上記の説明では、ＥＣＵの実行プログラム１１１をＲＯＭ１１０に格納しているが、実行プログラムはフラッシュメモリ（読み書き可能メモリ）１３０に格納してもかまわない。フラッシュメモリにプログラムを格納するとプログラムの改ざんが比較的容易になるが、プログラムが改ざんされてもプログラムダイジェスト値を用いた認証処理によって改ざんを検知することができるためである。
また、上記の説明では、マスタＥＣＵから一般ＥＣＵに送信するセッション鍵のみを暗号化して送信しているが、相互認証処理においてＥＣＵ間で送信されるメッセージを全て暗号化して送信しても良い。具体的には、通信相手の公開鍵を用いて送信データを暗号化して送信することで、通信相手のみが読み取り可能とすることができる。
また、上記の説明では、乱数ｒｍ、乱数ｒａを用いているが、これら認証時に送信されるメッセージが今回のセッションにおけるものであることを担保するためであり、これらの乱数は用いなくてもかまわない。
また、上記の説明では、ルート証明書は更新する必要がないものとしてＲＯＭに格納しているが、ルート認証局における秘密鍵の更新に対応するために、ルート証明書をフラッシュメモリに格納するようにしても良い。この場合の構成を図８に示す。図８に示すように、ルート証明書１１２がフラッシュメモリに格納される。フラッシュメモリに格納されたルート証明書１１２は改ざんされる恐れがあるので、この場合には、ルート証明書１１２を受け入れる（記憶する）際に、ＥＣＵの秘密鍵１２２を用いてルート証明書の電子署名１３２を作成してフラッシュメモリに格納する。これにより、ルート証明書１１２が正しいものであることをＥＣＵが確認できる。ルート証明書の更新に対応する別の方法は、ルート証明書をセキュアストレージに格納する方法である。
また、上記の説明では、車両システム内にマスタＥＣＵが１つのみ存在する例を示したが、車両システム内に複数のマスタＥＣＵが存在してもかまわない。この場合、それぞれのマスタＥＣＵがそれぞれ独自のグループを形成して、グループ内で独自のセッション鍵を用いるようにしても良いし、全てのグループで同一のセッション鍵を用いるようにしても良い。また、マスタＥＣＵと一般ＥＣＵの構成を３階層以上の構成とし、最上位のマス
タＥＣＵが配下のＥＣＵとの間で相互認証を行ってセッション鍵を共有し、第２レベルのマスタＥＣＵが配下のＥＣＵとの間で相互認証を行うようにしても良い。このようにすれば、マスタＥＣＵにかかる負荷を分散し、かつ車両システム全体の健全性確認に要する時間を短縮することができる。また、マスタＥＣＵを採用することなく、それぞれのＥＣＵが１対１で相互認証を行ってセッション鍵を共有する場合も上記と同様の方法によって行うことができる。
１００ ＥＣＵ（Electronic Control Unit）
１１０ ＲＯＭ（読み込み専用メモリ）
１１１ 実行プログラム
１１２ ルート証明書
１２０ 耐タンパデバイス
１２１ 暗号エンジン
１２２ 秘密鍵
１３０ フラッシュメモリ
１３１ 電子証明書

Claims (12)

  1. マスタＥＣＵと一般ＥＣＵとから構成される車両システムであって、
    マスタＥＣＵは、
    当該マスタＥＣＵの秘密鍵（マスタＥＣＵ秘密鍵）と、
    前記一般ＥＣＵの公開鍵（一般ＥＣＵ公開鍵）に対応する電子証明書（一般ＥＣＵ電子証明書）であって、前記一般ＥＣＵに関する所定データを含む電子証明書と、
    を備え、
    一般ＥＣＵは、
    当該一般ＥＣＵの秘密鍵（一般ＥＣＵ秘密鍵）と、
    前記マスタＥＣＵの公開鍵（マスタＥＣＵ公開鍵）に対応する電子証明書（マスタＥＣＵ電子証明書）であって、前記マスタＥＣＵに関する所定データを含む電子証明書と、
    を備え、
    前記一般ＥＣＵは、当該一般ＥＣＵの所定データを含む送信データに対して前記一般ＥＣＵ秘密鍵による電子署名を付して、前記マスタＥＣＵに送信し、
    前記マスタＥＣＵは、前記一般ＥＣＵから送信された電子署名付きの送信データを前記一般ＥＣＵ電子証明書を用いて検証し、かつ、当該送信データに含まれる前記所定データが前記一般ＥＣＵ電子証明書に含まれるものと一致するかを検証し、いずれも正しいと判断されたときに、前記一般ＥＣＵが正当であると判断し、
    前記マスタＥＣＵは、当該マスタＥＣＵの所定データおよびセッション鍵を含む送信データに対して前記マスタＥＣＵ秘密鍵による電子署名を付して、前記一般ＥＣＵに送信し、
    前記一般ＥＣＵは、前記マスタＥＣＵから送信された電子署名付きの送信データを前記マスタＥＣＵ電子証明書を用いて検証し、かつ、当該送信データに含まれる前記所定データが前記マスタＥＣＵ電子証明書に含まれるものと一致するかを検証し、いずれも正しいと判断された場合に、前記マスタＥＣＵが正当であると判断して前記送信データに含まれるセッション鍵を今後の通信の際の共通鍵として用いる、
    車両システム。
  2. 前記一般ＥＣＵは複数存在し、
    前記マスタＥＣＵは、それぞれの一般ＥＣＵに対応する一般ＥＣＵ電子証明書を備えており、
    前記マスタＥＣＵは、それぞれの一般ＥＣＵに対して同一の鍵をセッション鍵として送信し、
    前記一般ＥＣＵは、前記マスタＥＣＵおよび他の一般ＥＣＵとの間の通信に、前記セッション鍵を共通鍵として用いる、
    請求項１に記載の車両システム。
  3. 前記一般ＥＣＵに関する所定データは、当該一般ＥＣＵの実行プログラムの正しいダイジェスト値であり、
    前記マスタＥＣＵに関する所定データは、当該マスタＥＣＵの実行プログラムの正しいダイジェスト値であり、
    前記一般ＥＣＵおよび前記マスタＥＣＵは、実行プログラムのダイジェスト値を算出して、当該ダイジェスト値を含む送信データに電子署名を付して送信する、
    請求項１または２に記載の車両システム。
  4. 前記一般ＥＣＵに関する所定データは、当該一般ＥＣＵのＩＤであり、
    前記マスタＥＣＵに関する所定データは、当該マスタＥＣＵのＩＤであり、
    前記一般ＥＣＵおよび前記マスタＥＣＵは、セキュアブートを用いて実行プログラムの完全性を確認した後に、ＩＤを含む送信データに電子署名を付して送信する、
    請求項１または２に記載の車両システム。
  5. 前記マスタＥＣＵおよび前記一般ＥＣＵは、ルート認証局の公開鍵であるルート公開鍵を書き替え不可能なメモリに記憶する、
    請求項１から４のいずれか１項に記載の車両システム。
  6. 前記マスタＥＣＵおよび前記一般ＥＣＵは、ルート認証局の公開鍵であるルート公開鍵を書き替え可能なメモリに記憶し、当該書き替え可能なメモリにルート公開鍵を記憶する際に、当該ルート公開鍵に前記マスタＥＣＵ秘密鍵または前記一般ＥＣＵ秘密鍵を用いて電子署名を関連づけて記憶する、
    請求項１から４のいずれか１項に記載の車両システム。
  7. 前記マスタＥＣＵが前記マスタＥＣＵ電子証明書を有しており、
    前記一般ＥＣＵが前記一般ＥＣＵ電子証明書を有しており、
    前記一般ＥＣＵが前記マスタＥＣＵ電子証明書を有していない場合には、前記一般ＥＣＵは、前記電子署名を付した送信データとともに、前記一般ＥＣＵ電子証明書を前記マスタＥＣＵに送信し、
    前記マスタＥＣＵは、ルート公開鍵を用いて前記一般ＥＣＵ電子証明書を用いて検証し、前記一般ＥＣＵ電子証明書が正当である場合に、前記一般ＥＣＵ電子証明書を記憶し、
    前記マスタＥＣＵが前記一般ＥＣＵ電子証明書を有していない場合には、前記マスタＥＣＵは、前記電子署名を付した送信データとともに、前記マスタＥＣＵ電子証明書を前記一般ＥＣＵに送信し、
    前記一般ＥＣＵは、ルート公開鍵を用いて前記マスタＥＣＵ電子証明書を用いて検証し、前記マスタＥＣＵ電子証明書が正当である場合に、前記マスタＥＣＵ電子証明書を記憶する、
    請求項１から６のいずれか１項に記載の車両システム。
  8. マスタＥＣＵと一般ＥＣＵとから構成される車両システムにおける認証方法であって、
    マスタＥＣＵは、
    当該マスタＥＣＵの秘密鍵（マスタＥＣＵ秘密鍵）と、
    前記一般ＥＣＵの公開鍵（一般ＥＣＵ公開鍵）に対応する電子証明書（一般ＥＣＵ電子証明書）であって、前記一般ＥＣＵに関する所定データを含む電子証明書と、
    を備え、
    一般ＥＣＵは、
    当該一般ＥＣＵの秘密鍵（一般ＥＣＵ秘密鍵）と、
    前記マスタＥＣＵの公開鍵（マスタＥＣＵ公開鍵）に対応する電子証明書（マスタＥＣＵ電子証明書）であって、前記マスタＥＣＵに関する所定データを含む電子証明書と、
    を備え、
    前記一般ＥＣＵは、当該一般ＥＣＵの所定データを含む送信データに対して前記一般ＥＣＵ秘密鍵による電子署名を付して、前記マスタＥＣＵに送信し、
    前記マスタＥＣＵは、前記一般ＥＣＵから送信された電子署名付きの送信データを前記一般ＥＣＵ電子証明書を用いて検証し、かつ、当該送信データに含まれる前記所定データが前記一般ＥＣＵ電子証明書に含まれるものと一致するかを検証し、いずれも正しいと判断されたときに、前記一般ＥＣＵが正当であると判断し、
    前記マスタＥＣＵは、当該マスタＥＣＵの所定データおよびセッション鍵を含む送信データに対して前記マスタＥＣＵ秘密鍵による電子署名を付して、前記一般ＥＣＵに送信し、
    前記一般ＥＣＵは、前記マスタＥＣＵから送信された電子署名付きの送信データを前記マスタＥＣＵ電子証明書を用いて検証し、かつ、当該送信データに含まれる前記所定データが前記マスタＥＣＵ電子証明書に含まれるものと一致するかを検証し、いずれも正しい
    と判断された場合に、前記マスタＥＣＵが正当であると判断して前記送信データに含まれるセッション鍵を今後の通信の際の共通鍵として用いる、
    ことを特徴とする、認証方法。
  9. 前記一般ＥＣＵは複数存在し、
    前記マスタＥＣＵは、それぞれの一般ＥＣＵに対応する一般ＥＣＵ電子証明書を備えており、
    前記マスタＥＣＵは、それぞれの一般ＥＣＵに対して同一の鍵をセッション鍵として送信し、
    前記一般ＥＣＵは、前記マスタＥＣＵおよび他の一般ＥＣＵとの間の通信に、前記セッション鍵を共通鍵として用いる、
    請求項８に記載の認証方法。
  10. 前記一般ＥＣＵに関する所定データは、当該一般ＥＣＵの実行プログラムの正しいダイジェスト値であり、
    前記マスタＥＣＵに関する所定データは、当該マスタＥＣＵの実行プログラムの正しいダイジェスト値であり、
    前記一般ＥＣＵおよび前記マスタＥＣＵは、実行プログラムのダイジェスト値を算出して、当該ダイジェスト値を含む送信データに電子署名を付して送信する、
    請求項８または９に記載の認証方法。
  11. 前記一般ＥＣＵに関する所定データは、当該一般ＥＣＵのＩＤであり、
    前記マスタＥＣＵに関する所定データは、当該マスタＥＣＵのＩＤであり、
    前記一般ＥＣＵおよび前記マスタＥＣＵは、セキュアブートを用いて実行プログラムの完全性を確認した後に、ＩＤを含む送信データに電子署名を付して送信する、
    請求項８または９に記載の認証方法。
  12. 前記マスタＥＣＵが前記マスタＥＣＵ電子証明書を有しており、
    前記一般ＥＣＵが前記一般ＥＣＵ電子証明書を有しており、
    前記一般ＥＣＵが前記マスタＥＣＵ電子証明書を有していない場合には、前記一般ＥＣＵは、前記電子署名を付した送信データとともに、前記一般ＥＣＵ電子証明書を前記マスタＥＣＵに送信し、
    前記マスタＥＣＵは、ルート公開鍵を用いて前記一般ＥＣＵ電子証明書を用いて検証し、前記一般ＥＣＵ電子証明書が正当である場合に、前記一般ＥＣＵ電子証明書を記憶し、
    前記マスタＥＣＵが前記一般ＥＣＵ電子証明書を有していない場合には、前記マスタＥＣＵは、前記電子署名を付した送信データとともに、前記マスタＥＣＵ電子証明書を前記一般ＥＣＵに送信し、
    前記一般ＥＣＵは、ルート公開鍵を用いて前記マスタＥＣＵ電子証明書を用いて検証し、前記マスタＥＣＵ電子証明書が正当である場合に、前記マスタＥＣＵ電子証明書を記憶する、
    請求項８から１１のいずれか１項に記載の認証方法。
JP2015205607A 2015-10-19 2015-10-19 車両システムおよび認証方法 Active JP6217728B2 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2015205607A JP6217728B2 (ja) 2015-10-19 2015-10-19 車両システムおよび認証方法
US15/258,576 US10484184B2 (en) 2015-10-19 2016-09-07 Vehicle system and authentication method
CN201610895447.9A CN106603483B (zh) 2015-10-19 2016-10-14 车辆系统和认证方法
DE102016119697.5A DE102016119697A1 (de) 2015-10-19 2016-10-17 Fahrzeugsystem und Authentifizierungsverfahren

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2015205607A JP6217728B2 (ja) 2015-10-19 2015-10-19 車両システムおよび認証方法

Publications (2)

Publication Number Publication Date
JP2017079369A true JP2017079369A (ja) 2017-04-27
JP6217728B2 JP6217728B2 (ja) 2017-10-25

Family

ID=58456294

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2015205607A Active JP6217728B2 (ja) 2015-10-19 2015-10-19 車両システムおよび認証方法

Country Status (4)

Country Link
US (1) US10484184B2 (ja)
JP (1) JP6217728B2 (ja)
CN (1) CN106603483B (ja)
DE (1) DE102016119697A1 (ja)

Cited By (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018235799A1 (ja) * 2017-06-20 2018-12-27 国立大学法人名古屋大学 車載認証システム、通信装置、車載認証装置、コンピュータプログラム、通信装置の認証方法及び通信装置の製造方法
WO2019012889A1 (ja) * 2017-07-10 2019-01-17 住友電気工業株式会社 認証制御装置、認証制御方法および認証制御プログラム
JP2019197999A (ja) * 2018-05-09 2019-11-14 株式会社デンソー 車両用電子制御システムおよび車両用電子制御装置
CN111480314A (zh) * 2017-12-19 2020-07-31 美光科技公司 安全的车辆控制单元更新
CN111788811A (zh) * 2018-01-29 2020-10-16 耐瑞唯信有限公司 车载电子控制单元之间的安全通信
KR20210073354A (ko) * 2019-12-10 2021-06-18 한국전자통신연구원 차량용 이더넷 기반 차량 내부 네트워크를 이용한 차량 부품 교체 방법 및 시스템
JPWO2020170926A1 (ja) * 2019-02-18 2021-11-18 株式会社オートネットワーク技術研究所 車載通信装置、プログラム及び、通信方法
JP2022517238A (ja) * 2019-08-31 2022-03-07 華為技術有限公司 識別確認方法および装置
JP2022527985A (ja) * 2019-04-04 2022-06-07 マイクロン テクノロジー，インク． リモートサーバでの認証用のデバイス識別子を生成するためにセキュアデバイス上でソフトウェアをオンボードすること
JP2023517247A (ja) * 2020-03-13 2023-04-24 華為技術有限公司 通信方法、装置、およびシステム
WO2023171242A1 (ja) * 2022-03-10 2023-09-14 トヨタ自動車株式会社 通信制御装置、通信制御方法及び通信制御プログラム
JP7489069B2 (ja) 2019-04-23 2024-05-23 イタルデザイン－ジュジアーロ・ソシエタ・ペル・アチオニ Ｓｏｍｅ／ｉｐ通信プロトコルを用いる乗物上におけるデータ又はメッセージの伝送の改良

Families Citing this family (42)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6217728B2 (ja) * 2015-10-19 2017-10-25 トヨタ自動車株式会社 車両システムおよび認証方法
DE102016124352A1 (de) * 2015-12-18 2017-06-22 Toyota Jidosha Kabushiki Kaisha Kommunikationssystem und ein in dem Kommunikationssystem ausgeführtes Informationssammelverfahren
JP6260066B2 (ja) * 2016-01-18 2018-01-17 Kddi株式会社 車載コンピュータシステム及び車両
US20190028448A1 (en) * 2016-02-22 2019-01-24 Continental Automotive Systems, Inc, Method to establish and update keys for secure in-vehicle network communication
US11025428B2 (en) * 2016-05-05 2021-06-01 Neustar, Inc. Systems and methods for enabling trusted communications between controllers
KR101831134B1 (ko) * 2016-05-17 2018-02-26 현대자동차주식회사 암호화를 적용한 제어기 보안 방법 및 그 장치
US10285051B2 (en) * 2016-09-20 2019-05-07 2236008 Ontario Inc. In-vehicle networking
JP6683588B2 (ja) * 2016-11-10 2020-04-22 Kddi株式会社 再利用システム、サーバ装置、再利用方法、及びコンピュータプログラム
JP6956624B2 (ja) 2017-03-13 2021-11-02 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 情報処理方法、情報処理システム、及びプログラム
US10560263B2 (en) * 2017-03-24 2020-02-11 Micron Technology, Inc. Secure memory arrangements
EP3382932A1 (en) * 2017-03-31 2018-10-03 Nxp B.V. Intelligent transportation system station, host processor, and method therefor
EP3439264B1 (en) * 2017-08-01 2021-06-02 Panasonic Intellectual Property Corporation of America Management system, vehicle, and information processing method
CN109587518B (zh) * 2017-09-28 2022-06-07 三星电子株式会社 图像传输装置、操作图像传输装置的方法以及片上系统
KR102523416B1 (ko) * 2017-09-28 2023-04-19 삼성전자주식회사 이미지에 대한 보안 기능을 제공하는 보안 장치, 이를 포함하는 카메라 장치 및 카메라 장치를 제어하는 시스템 온 칩
US10701102B2 (en) * 2017-10-03 2020-06-30 George Mason University Hardware module-based authentication in intra-vehicle networks
US10057243B1 (en) * 2017-11-30 2018-08-21 Mocana Corporation System and method for securing data transport between a non-IP endpoint device that is connected to a gateway device and a connected service
CN108123805A (zh) * 2017-12-15 2018-06-05 上海汽车集团股份有限公司 车载ecu间通讯安全认证方法
US11256818B2 (en) 2017-12-28 2022-02-22 Corlina, Inc. System and method for enabling and verifying the trustworthiness of a hardware system
US11509636B2 (en) * 2018-01-30 2022-11-22 Corlina, Inc. User and device onboarding
JP6950605B2 (ja) * 2018-03-27 2021-10-13 トヨタ自動車株式会社 車両用通信システム
JP2019195116A (ja) * 2018-05-01 2019-11-07 ルネサスエレクトロニクス株式会社 データ転送システム及び転送方法
US10841284B2 (en) * 2018-05-30 2020-11-17 Lear Corporation Vehicle communication network and method
WO2020117549A1 (en) 2018-12-06 2020-06-11 Mocana Corporation System and method for zero touch provisioning of iot devices
US11665001B1 (en) * 2019-02-12 2023-05-30 Ethernovia Inc. Network security using root of trust
AU2020264092A1 (en) * 2019-04-25 2021-08-12 Deere & Company Systems, methods and controllers for secure communications
WO2021012078A1 (zh) * 2019-07-19 2021-01-28 华为技术有限公司 Can通信方法、设备及系统
CN110908357B (zh) * 2019-10-23 2020-12-15 深圳开源互联网安全技术有限公司 一种安全漏洞检测方法、装置、存储介质和智能设备
CN113098830B (zh) * 2019-12-23 2022-05-17 华为技术有限公司 通信方法及相关产品
CN112689982B (zh) * 2020-04-15 2022-04-29 华为技术有限公司 数据验证方法、装置及存储介质
DE102020111281A1 (de) * 2020-04-24 2021-10-28 Eto Magnetic Gmbh Kopierschutzverfahren und kopiergeschütztes elektronisches System
CN111814131B (zh) * 2020-06-15 2024-03-08 北京天空卫士网络安全技术有限公司 一种设备注册和配置管理的方法和装置
JP7555749B2 (ja) * 2020-07-28 2024-09-25 株式会社Subaru 車両通信制御装置、車両通信制御方法
DE102020004832A1 (de) 2020-08-07 2022-02-10 Daimler Ag Verfahren zur sicheren Ausstattung eines Fahrzeugs mit einem individuellen Zertifikat
US11956369B2 (en) 2020-08-13 2024-04-09 Robert Bosch Gmbh Accelerated verification of automotive software in vehicles
CN112131572B (zh) * 2020-08-31 2022-12-27 华为技术有限公司 车载设备的控制方法、车载设备及车辆系统
DE102020211346A1 (de) * 2020-09-10 2022-03-10 Robert Bosch Gesellschaft mit beschränkter Haftung Verfahren zum Booten einer elektronischen Vorrichtung
CN113315636B (zh) * 2021-05-31 2022-02-25 暨南大学 一种用于汽车ecu间安全通信的密钥交换方法
DE102021123327A1 (de) * 2021-09-09 2023-03-09 Bayerische Motoren Werke Aktiengesellschaft Verfahren zum sicheren Konfigurieren einer Vielzahl von Gateway-Steuergeräten eines Fahrzeugs, computerlesbares Medium, System, und Fahrzeug
CN114301981B (zh) * 2021-11-24 2023-05-30 岚图汽车科技有限公司 一种芯片服务代理方法及相关设备
CN114124578B (zh) * 2022-01-25 2022-04-15 湖北芯擎科技有限公司 一种通信方法、装置、车辆及存储介质
US12130903B2 (en) * 2022-03-17 2024-10-29 GM Global Technology Operations LLC Soft part authentication for electronic control unit
CN118487876A (zh) * 2024-07-16 2024-08-13 蔚来汽车科技(安徽)有限公司 公钥基础设施系统的通信安全保护方法、介质及智能设备

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040003234A1 (en) * 2002-06-28 2004-01-01 Jurgen Reinold Method and system for vehicle authentication of a subassembly
JP2009517749A (ja) * 2005-12-01 2009-04-30 ソニー エリクソン モバイル コミュニケーションズ， エービー フラッシュメモリ及び電子装置のためのセキュアなデジタル証明書の保存方法
JP2010011400A (ja) * 2008-06-30 2010-01-14 National Institute Of Advanced Industrial & Technology 共通鍵方式の暗号通信システム
JP2014174677A (ja) * 2013-03-07 2014-09-22 Canon Inc 情報処理装置及びその制御方法
US20140359296A1 (en) * 2013-05-29 2014-12-04 GM Global Technology Operations LLC Methods to improve secure flash programming

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5949877A (en) * 1997-01-30 1999-09-07 Intel Corporation Content protection for transmission systems
GB2372593B (en) * 2001-02-23 2005-05-18 Hewlett Packard Co Electronic communication
JP2002368735A (ja) * 2001-06-11 2002-12-20 Sharp Corp マスタ用ｉｃ装置、マスタ用ｉｃ装置のためのバックアップ用ｉｃ装置、マスタ用ｉｃ装置にダミー鍵を与えるダミー鍵格納装置、マスタ用ｉｃ装置とバックアップ用ｉｃ装置とのための補助装置、及び二つ以上の補助装置を用いた鍵バックアップシステム
DE602004030534D1 (de) * 2003-01-28 2011-01-27 Cellport Systems Inc Ein System und ein Verfahren zum Steuern des Zugriffs von Anwendungen auf geschützte Mittel innerhalb eines sicheren Fahrzeugtelematiksystems
JP3928589B2 (ja) * 2003-06-12 2007-06-13 コニカミノルタビジネステクノロジーズ株式会社 通信システムおよび方法
JP4156493B2 (ja) * 2003-11-04 2008-09-24 株式会社東海理化電機製作所 車両用セキュリティ装置及びｉｄコード管理装置
JP4744993B2 (ja) 2005-09-07 2011-08-10 株式会社エヌ・ティ・ティ・ドコモ 認証局、デバイス、移動局および通信システム並びに通信方法並びに通信プログラム
US20090169007A1 (en) * 2007-12-31 2009-07-02 Clark Equipment Company Control Area Network Data Encryption System and Method
US8327153B2 (en) * 2009-12-04 2012-12-04 Electronics And Telecommunications Research Institute Method and system for verifying software platform of vehicle
CN102413132B (zh) * 2011-11-16 2014-12-17 北京数码视讯软件技术发展有限公司 基于双向安全认证的数据下载方法及系统
US20130212659A1 (en) * 2012-02-13 2013-08-15 Intertrust Technologies Corporation Trusted connected vehicle systems and methods
US9769658B2 (en) * 2013-06-23 2017-09-19 Shlomi Dolev Certificating vehicle public key with vehicle attributes
US9571284B2 (en) * 2014-03-13 2017-02-14 GM Global Technology Operations LLC Controlling access to personal information stored in a vehicle using a cryptographic key
US9215228B1 (en) * 2014-06-17 2015-12-15 Cisco Technology, Inc. Authentication of devices having unequal capabilities
JP6217728B2 (ja) * 2015-10-19 2017-10-25 トヨタ自動車株式会社 車両システムおよび認証方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040003234A1 (en) * 2002-06-28 2004-01-01 Jurgen Reinold Method and system for vehicle authentication of a subassembly
JP2009517749A (ja) * 2005-12-01 2009-04-30 ソニー エリクソン モバイル コミュニケーションズ， エービー フラッシュメモリ及び電子装置のためのセキュアなデジタル証明書の保存方法
JP2010011400A (ja) * 2008-06-30 2010-01-14 National Institute Of Advanced Industrial & Technology 共通鍵方式の暗号通信システム
JP2014174677A (ja) * 2013-03-07 2014-09-22 Canon Inc 情報処理装置及びその制御方法
US20140359296A1 (en) * 2013-05-29 2014-12-04 GM Global Technology Operations LLC Methods to improve secure flash programming

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
吉岡 顕 ほか: "構成証明機能を持つ車内通信プロトコルの提案", マルチメディア，分散，協調とモバイル（ＤＩＣＯＭＯ２００８）シンポジウム論文集 ［ＣＤ−ＲＯＭ］, vol. 2008, no. 1, JPN6012062255, 2 July 2008 (2008-07-02), JP, pages 1270 - 1275, ISSN: 0003625820 *
竹森 敬祐 ほか: "セキュアブート＋認証による車載制御システムの保護", 電子情報通信学会技術研究報告, vol. 114, no. 225, JPN6016000807, 12 September 2014 (2014-09-12), JP, pages 47 - 54, ISSN: 0003625821 *

Cited By (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019009509A (ja) * 2017-06-20 2019-01-17 国立大学法人名古屋大学 車載認証システム、通信装置、車載認証装置、コンピュータプログラム、通信装置の認証方法及び通信装置の製造方法
US11606213B2 (en) 2017-06-20 2023-03-14 National University Corporation Nagoya University On-vehicle authentication system, communication device, on-vehicle authentication device, communication device authentication method and communication device manufacturing method
CN110785961A (zh) * 2017-06-20 2020-02-11 国立大学法人名古屋大学 车载认证系统、通信装置、车载认证装置、计算机程序、通信装置的认证方法及通信装置的制造方法
WO2018235799A1 (ja) * 2017-06-20 2018-12-27 国立大学法人名古屋大学 車載認証システム、通信装置、車載認証装置、コンピュータプログラム、通信装置の認証方法及び通信装置の製造方法
CN110785961B (zh) * 2017-06-20 2022-11-11 国立大学法人名古屋大学 车载认证系统、通信装置、车载认证装置、记录介质、通信装置的认证方法及制造方法
US11444939B2 (en) 2017-07-10 2022-09-13 Sumitomo Electric Industries, Ltd. Authentication control device, authentication control method, and authentication control program
WO2019012889A1 (ja) * 2017-07-10 2019-01-17 住友電気工業株式会社 認証制御装置、認証制御方法および認証制御プログラム
JP2019016247A (ja) * 2017-07-10 2019-01-31 住友電気工業株式会社 認証制御装置、認証制御方法および認証制御プログラム
CN111480314A (zh) * 2017-12-19 2020-07-31 美光科技公司 安全的车辆控制单元更新
CN111788811A (zh) * 2018-01-29 2020-10-16 耐瑞唯信有限公司 车载电子控制单元之间的安全通信
US11916924B2 (en) 2018-01-29 2024-02-27 Nagravision S.A. Secure communication between in-vehicle electronic control units
CN111788811B (zh) * 2018-01-29 2022-11-25 耐瑞唯信有限公司 车载电子控制单元之间的安全通信
JP2021512543A (ja) * 2018-01-29 2021-05-13 ナグラビジョン エス アー 車両内電子制御ユニット間のセキュアな通信
JP7159328B2 (ja) 2018-01-29 2022-10-24 ナグラビジョン エス アー 車両内電子制御ユニット間のセキュアな通信
JP2019197999A (ja) * 2018-05-09 2019-11-14 株式会社デンソー 車両用電子制御システムおよび車両用電子制御装置
JPWO2020170926A1 (ja) * 2019-02-18 2021-11-18 株式会社オートネットワーク技術研究所 車載通信装置、プログラム及び、通信方法
JP7351925B2 (ja) 2019-04-04 2023-09-27 マイクロン テクノロジー，インク． リモートサーバでの認証用のデバイス識別子を生成するためにセキュアデバイス上でソフトウェアをオンボードすること
JP2022527985A (ja) * 2019-04-04 2022-06-07 マイクロン テクノロジー，インク． リモートサーバでの認証用のデバイス識別子を生成するためにセキュアデバイス上でソフトウェアをオンボードすること
JP7489069B2 (ja) 2019-04-23 2024-05-23 イタルデザイン－ジュジアーロ・ソシエタ・ペル・アチオニ Ｓｏｍｅ／ｉｐ通信プロトコルを用いる乗物上におけるデータ又はメッセージの伝送の改良
JP7367032B2 (ja) 2019-08-31 2023-10-23 華為技術有限公司 識別確認方法および装置
JP2022517238A (ja) * 2019-08-31 2022-03-07 華為技術有限公司 識別確認方法および装置
US11979413B2 (en) 2019-08-31 2024-05-07 Huawei Technologies Co., Ltd. Identity verification method and apparatus
KR102436138B1 (ko) * 2019-12-10 2022-08-26 한국전자통신연구원 차량용 이더넷 기반 차량 내부 네트워크를 이용한 차량 부품 교체 방법 및 시스템
KR20210073354A (ko) * 2019-12-10 2021-06-18 한국전자통신연구원 차량용 이더넷 기반 차량 내부 네트워크를 이용한 차량 부품 교체 방법 및 시스템
JP2023517247A (ja) * 2020-03-13 2023-04-24 華為技術有限公司 通信方法、装置、およびシステム
JP7430817B2 (ja) 2020-03-13 2024-02-13 華為技術有限公司 通信方法、装置、およびシステム
WO2023171242A1 (ja) * 2022-03-10 2023-09-14 トヨタ自動車株式会社 通信制御装置、通信制御方法及び通信制御プログラム

Also Published As

Publication number Publication date
DE102016119697A1 (de) 2017-04-20
JP6217728B2 (ja) 2017-10-25
US10484184B2 (en) 2019-11-19
US20170111177A1 (en) 2017-04-20
CN106603483B (zh) 2020-05-01
CN106603483A (zh) 2017-04-26

Similar Documents

Publication Publication Date Title
JP6217728B2 (ja) 車両システムおよび認証方法
JP6684930B2 (ja) ブロックチェーンに基づくアイデンティティ認証方法、装置、ノード及びシステム
CN111144881B (zh) 对资产转移数据的选择性访问
JP6454918B2 (ja) 車載コンピュータシステム、車両、管理方法、及びコンピュータプログラム
CN110875821B (zh) 密码学区块链互操作
CN111010410B (zh) 一种基于证书身份认证的拟态防御系统及证书签发方法
CN110602138B (zh) 区块链网络的数据处理方法、装置、电子设备及存储介质
CN112311735B (zh) 可信认证方法，网络设备、系统及存储介质
JP4410821B2 (ja) 保護された処理システムへの初期トラステッド・デバイスのバインディングの検証
CN109600350A (zh) 用于车辆网络中的控制器间的安全通信的系统和方法
CN111797159A (zh) 数据库中的信息管理和访问控制
AU2003254377A1 (en) Methods and systems for providing a secure data distribution via public networks
CN101145906A (zh) 对单向网络中的接收终端进行合法性认证的方法及系统
CN116490868A (zh) 用于可信执行环境中的安全快速机器学习推理的系统和方法
CN101241528A (zh) 终端接入可信pda的方法和接入系统
KR20200080441A (ko) 사물인터넷 블록체인 환경에서의 디바이스 분산 인증 방법 및 이를 이용한 디바이스 분산 인증 시스템
CN113328997A (zh) 联盟链跨链系统及方法
CN112396421A (zh) 一种基于区块链通证的身份认证系统及方法
CN105610872B (zh) 物联网终端加密方法和物联网终端加密装置
CN110290111B (zh) 操作权限管理方法、装置及区块链节点、存储介质
CN114168913A (zh) 基于智能合约众包结果评估与奖励分配方法、系统和介质
KR102198178B1 (ko) 블록체인을 이용한 세션키 수립 방법
CN114598463A (zh) 一种数据认证系统
WO2017126322A1 (ja) 車載コンピュータシステム、車両、鍵生成装置、管理方法、鍵生成方法、及びコンピュータプログラム
JP4321303B2 (ja) プログラム配信システムおよび車載ゲートウェイ装置

Legal Events

Date Code Title Description
A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20170726

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20170829

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20170911

R151 Written notification of patent or utility model registration

Ref document number: 6217728

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R151