JP2020015338A - 制御装置およびセキュリティ管理方法 - Google Patents

Abstract

【課題】データの流出や悪用を防止すること。【解決手段】実施形態に係る制御装置は、取得部と、監視部と、セキュリティ処理部とを備える。取得部は、自装置へ接続された他装置への配信データを外部から取得し、記憶部へ保持させる。監視部は、自装置の装着状態を監視する。セキュリティ処理部は、監視部によって自装置の取り外しが検知された場合に、記憶部に保持された配信データを消去する。【選択図】図２

Description

開示の実施形態は、制御装置およびセキュリティ管理方法に関する。

従来、車両に搭載され、エンジンやトランスミッション、カーナビゲーションといった車両の各種システムをそれぞれ電子制御する制御装置であるＥＣＵ（Electronic Control Unit）が知られている。かかるＥＣＵでは、たとえばマイクロコンピュータ（以下、「マイコン」と記載する）が、ＥＣＵの内部に予め保持された制御プログラムを読み出して実行することにより、各ＥＣＵに割り当てられた各種機能を実行する。

なお、このようなＥＣＵの制御プログラムは、機能を追加する場合や事後的に不具合が発見された場合などに、更新（リプログラミング）が必要となる場合がある。そこで、近年では、管理センタから無線通信を介して更新用データを取得するとともに、かかる更新用データをＣＡＮ（Controller Area Network）等を介して各ＥＣＵへ配信し、各ＥＣＵのリプログラミングを実行する技術が提案されている（たとえば、特許文献１参照）。また、車両では、上記した更新用データだけでなく、各種のデータをセンタから無線通信を介して取得することが行われている。

特開２０１２−１７８０３５号公報

しかしながら、上述した従来技術には、データの流出や悪用を防止するうえで、更なる改善の余地がある。

たとえば、上述した従来技術では、管理センタから更新用データを取得して各ＥＣＵへ配信する制御装置が存在するが、かかる制御装置が更新用データを保持した状態でたとえば悪意の不正者により取り外され、外部へ持ち出された場合、データの流出や悪用が懸念される。

実施形態の一態様は、上記に鑑みてなされたものであって、データの流出や悪用を防止することができる制御装置およびセキュリティ管理方法を提供することを目的とする。

実施形態の一態様に係る制御装置は、取得部と、監視部と、セキュリティ処理部とを備える。前記取得部は、自装置へ接続された他装置への配信データを外部から取得し、記憶部へ保持させる。前記監視部は、当該自装置の他装置または車両への装着状態を監視する。前記セキュリティ処理部は、前記監視部によって当該自装置の取り外しが検知された場合に、前記記憶部に保持された前記配信データを消去する。

実施形態の一態様によれば、データの流出や悪用を防止することができる。

図１Ａは、実施形態に係る車載システムの概要説明図である。 図１Ｂは、データ流出のイメージ図である。 図１Ｃは、実施形態に係るセキュリティ管理方法の概要説明図である。 図２は、実施形態に係る車載システムのブロック図である。 図３Ａは、取り外し履歴の具体例を示す図（その１）である。 図３Ｂは、取り外し履歴の具体例を示す図（その２）である。 図４は、実施形態に係るリプロ制御装置が実行する処理手順を示すフローチャートである。 図５は、実施形態に係るリプロ制御装置が実行する処理手順の変形例を示すフローチャートである。

以下、添付図面を参照して、本願の開示する更新制御装置およびセキュリティ管理方法の実施形態を詳細に説明する。なお、以下に示す実施形態によりこの発明が限定されるものではない。

また、以下では、「リプログラミング」という用語については、短縮して「リプロ」と記載する場合がある。また、以下では、本実施形態に係るセキュリティ管理方法の概要について図１Ａ〜図１Ｃを用いて説明した後に、かかるセキュリティ管理方法を適用したリプロ制御装置１０（「制御装置」の一例に相当）を含む車載システム１の具体的な構成例について、図２〜図５を用いて説明することとする。

まず、本実施形態に係るセキュリティ管理方法の概要について、図１Ａ〜図１Ｃを用いて説明する。図１Ａは、本実施形態に係る車載システム１の概要説明図である。また、図１Ｂは、データ流出のイメージ図である。また、図１Ｃは、本実施形態に係るセキュリティ管理方法の概要説明図である。

図１Ａに示すように、車両Ｃは、車載システム１を備える。車載システム１は、複数のＥＣＵ２０−１〜２０−ｎを備える。ＥＣＵ２０−１〜２０−ｎは、ＣＡＮ等の車載ネットワークＣＮにより相互通信可能に接続され、それぞれ制御プログラムを実行することによって、たとえばエンジンやトランスミッション、カーナビゲーションといった各種システムを電子制御する。

また、車載システム１は、リプロ制御装置１０を備える。リプロ制御装置１０は、ＥＣＵ２０−１〜２０−ｎのリプログラミングを制御する制御装置であって、ＯＢＤ（On-board diagnostics）コネクタ３０を介して車載ネットワークＣＮにより、ＥＣＵ２０−１〜２０−ｎと相互通信可能に接続される。

また、リプロ制御装置１０は、通信ネットワークＮを介してデータセンタのセンタサーバ１００と無線通信可能に設けられている。通信ネットワークＮは、たとえば携帯電話回線網である。

なお、データセンタは、ＥＣＵ２０−１〜２０−ｎで動作させる各種プログラムに関するデータを管理する管理センタであり、たとえば車両Ｃのメーカーによって運営される。センタサーバ１００は、かかるデータセンタによって管理・運用され、ＥＣＵ２０−１〜２０−ｎの少なくともいずれかに該当する更新用データがある場合に、当該更新用データをリプロ制御装置１０へ向けてダウンロードする。

リプロ制御装置１０は、かかるセンタサーバ１００からダウンロードされる更新用データを取得し、リプロ関連データ１３ａとして図示略の記憶部１３（図２参照）へ保持する。なお、リプロ関連データ１３ａには、更新用のプログラムデータのほか、暗号化されて送られてくるプログラムデータの復元等でリプログラミング時に必要となる暗号鍵などが含まれる。

そして、リプロ制御装置１０は、保持したリプロ関連データ１３ａに基づき、リプログラミングの対象となるＥＣＵ２０−１〜２０−ｎへ更新用データを配信して、リプログラミングを実行する。リプログラミングの実行後は、リプロ制御装置１０は、リプロ関連データ１３ａを消去する。

ところで、こうした無線通信を利用したリプログラミングの方法に対し、車両Ｃにリプログラミング専用のリプロツールを有線接続し、かかるツールを介して更新用データをインストールするリプログラミングの方法もある。かかる方法の場合、リプログラミングの作業実施者は、車両Ｃのメーカーの担当者や、ディーラーの整備士など、車両Ｃの開発・整備等に関わる関係者であることが多いため、データの流出や悪用などの懸念は少ない。

ところが、無線通信を利用したリプログラミングの方法の場合、リプロツールを有していない、車両Ｃのユーザや、ひいては第三者までもがリプログラミングを実施可能な形態となる。このため、図１Ｂに示すように、たとえば悪意をもった不正者Ｍが、リプロ関連データ１３ａが保持された状態のリプロ制御装置１０を取り外して、他の車両Ｃ’や解析装置Ｐに装着し、データを流出させ、悪用するなどの懸念が高まる。

なお、悪意をもっていなくとも、リプロ関連データ１３ａを保持した状態のリプロ制御装置１０を、一般のユーザがたとえば過失により取り外してしまうことは考えられるので、やはりデータの流出は懸念されることとなり、こうした事態に対するセキュリティ対策を講ずる必要がある。

そこで、本実施形態に係るセキュリティ管理方法では、リプロ制御装置１０が、自装置の装着状態を監視し、かかる監視によって自装置の取り外しが検知された場合に、その履歴情報を記録し、センタサーバ１００へ通知するとともに、記憶部１３に保持されたリプロ関連データ１３ａを消去することとした。

具体的には、図１Ｃに示すように、本実施形態に係るセキュリティ管理方法では、リプロ制御装置１０は、通常動作中に、自装置の装着状態を監視する（ステップＳ１）。ステップＳ１では、リプロ制御装置１０はたとえば、自装置へ電源を供給する図示略のバッテリ５０（図２参照）の電圧状態や、車載ネットワークＣＮの通信状態を監視する。

そして、リプロ制御装置１０は、かかる監視によってたとえば電圧の急激な低下や通信途絶を検出した場合に、自装置の取り外しを検知する（ステップＳ２）。自装置の取り外しが検知された場合、リプロ関連データ１３ａが保持されている状態であるならば、リプロ制御装置１０は、かかる取り外しに関する履歴情報を記録する（ステップＳ３）。

また、リプロ制御装置１０は、かかる履歴情報を、通信ネットワークＮを介してたとえばデータセンタのセンタサーバ１００へ通知する（ステップＳ４）。また、その一方で、リプロ制御装置１０は、保持されているリプロ関連データ１３ａを消去する（ステップＳ５）。

なお、リプロ制御装置１０は、バッテリ５０からの電源供給が途絶えても、予備的な電源供給が可能な図示略の補助電源１５（図２参照）を備えており、かかる補助電源１５からの供給電源に応じてステップＳ２〜Ｓ５を実行することができる。

具体的には、補助電源１５が小容量であれば、リプロ制御装置１０は、ステップＳ２およびＳ３を実行して一旦処理を終了する。そして、リプロ制御装置１０は、自装置がいずこか（車両Ｃ’や解析装置Ｐ等）に再装着されて通常電源が供給された次回起動時に、ステップＳ４およびＳ５を実行する。

一方、補助電源１５の容量に余裕があれば、リプロ制御装置１０は、ステップＳ２〜Ｓ５を連続的に実行し、処理を終了するようにしてもよい。このように、ステップＳ２〜Ｓ５を連続的に実行する場合でも、前述のようにステップＳ２〜Ｓ５を、装置の終了／起動を挟んで分けて実行する場合でも、たとえば不正者Ｍがリプロ制御装置１０を起動させたときにはリプロ関連データ１３ａは消去されることとなり、データの流出や悪用を防止することができる。

なお、リプロ制御装置１０が取り外された後の次回起動時（リプロ関連データ１３ａのデータ消去処理時）より前に、リプロ制御装置１０からリプロ関連データ１３ａが記憶された記憶部１３のみが取り外されてしまう可能性があるので、リプロ制御装置１０の取り外しが検知された時点でリプロ関連データ１３ａを消去する方が、セキュリティの観点ではよりよい。

また、リプロ制御装置１０の取り外しが検知された時点で、前述の暗号鍵のみを消去するように構成してもよい。更新用のプログラムデータは暗号化された状態で記憶されているので、暗号鍵がなければデータの復元はできないうえ、重要度が高い暗号鍵の流出を優先的に防ぐことができるので、セキュリティの観点では効果的である。なお、暗号鍵のみを消去した場合で、仮に取り外しが悪意ある取り外しでなかったとしても、正常な再接続後に、暗号鍵のみをセンタサーバ１００から再入手すればよい。

なお、ステップＳ２〜Ｓ５を、装置の終了／起動を挟んで分けて実行する場合、連続的に実行する場合それぞれの具体的な処理手順については、図４および図５を用いて後述する。

また、ステップＳ４で履歴情報をセンタサーバ１００へ通知することにより、データセンタでかかる履歴情報を解析することが可能となり、たとえば不正者Ｍを特定するのに資することができる。

以下、上述したセキュリティ管理方法を適用したリプロ制御装置１０を含む車載システム１について、さらに具体的に説明する。

図２は、本実施形態に係る車載システム１のブロック図である。なお、図２では、本実施形態の特徴を説明するために必要な構成要素のみを表しており、一般的な構成要素についての記載を省略している。

換言すれば、図２に図示される各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。例えば、各ブロックの分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することが可能である。

また、既に説明済みの構成要素については、図２を用いた説明では、説明を簡略化するか省略する場合がある。

図２に示すように、車両Ｃは、車載システム１を備える。車載システム１は、リプロ制御装置１０と、ＥＣＵ２０−１〜２０−ｎと、ＯＢＤコネクタ３０と、ゲートウェイ装置４０と、バッテリ５０とを備える。

ＯＢＤコネクタ３０は、たとえばＯＢＤ２（On Board Diagnosis second generation）といった規格に沿った、車両Ｃのいわゆる自己診断機能用の接続インタフェースである。リプロ制御装置１０は、かかるＯＢＤコネクタ３０を介して車載ネットワークＣＮと接続される。ゲートウェイ装置４０は、車載ネットワークＣＮにおけるゲートウェイ機能を提供する。

バッテリ５０は、車両Ｃに搭載された主要電源である。リプロ制御装置１０は、ＯＢＤコネクタ３０を介して、かかるバッテリ５０から電源供給を受ける。

リプロ制御装置１０は、通信部１１と、ＧＰＳ（Global Positioning System）センサ１２と、記憶部１３と、制御部１４と、補助電源１５とを備える。なお、図２では、補助電源１５がリプロ制御装置１０の外部に取り付けられている構成を図示しているが、リプロ制御装置１０が取り外されても確実に電源供給を行うために、補助電源１５がリプロ制御装置１０の内部に搭載されていてもよい。

通信部１１は、たとえば、国際電気通信連合が定める無線通信規格に準拠するＮＩＣ（Network Interface Card）等によって実現される。通信部１１は、通信ネットワークＮと無線で接続され、通信ネットワークＮを介してセンタサーバ１００との間で情報の送受信を行う。

ＧＰＳセンサ１２は、ＧＰＳ衛星から受信する電波に基づいて車両Ｃの現在位置を検知する。

記憶部１３は、書き替え可能な不揮発性のメモリであり、たとえば、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現され、図２の例では、リプロ関連データ１３ａと、取り外し履歴１３ｂとを記憶する。

リプロ関連データ１３ａは、後述する取得部１４ａによって取得される、センタサーバ１００からの更新用データである。なお、既に述べたように、リプロ関連データ１３ａには、更新用のプログラムデータのほか、リプログラミング時に必要となる暗号鍵など、リプログラミングに関連する種々の情報が含まれる。

取り外し履歴１３ｂは、上述した履歴情報の一例であり、後述する監視部１４ｃによって自装置の取り外しが検知された場合に、監視部１４ｃにより記録される。

ここで、取り外し履歴１３ｂの具体例について説明しておく。図３Ａは、取り外し履歴１３ｂの具体例を示す図（その１）である。また、図３Ｂは、取り外し履歴１３ｂの具体例を示す図（その２）である。

図３Ａに示すように、取り外し履歴１３ｂは、たとえば「取り外し時刻」と、「取り外し時現在位置」とを少なくとも含む。「取り外し時現在位置」は、ＧＰＳセンサ１２の検知結果に基づく。また、図示していないが、リプロ制御装置１０のＭＡＣ（Media Access Control）アドレスや、車両Ｃの車台番号、ユーザの特定情報等、種々の識別情報を含んでいてもよい。

また、図３Ａに示すように、取り外し履歴１３ｂは、さらに「再装着時現在位置」を含んでもよい。「再装着時現在位置」は、リプロ制御装置１０がいずこかに再装着されて、再起動したときの現在位置であり、ＧＰＳセンサ１２の検知結果に基づく。

取り外し履歴１３ｂは、かかる「再装着時現在位置」を含んでセンタサーバ１００へ通知されることにより、たとえば不正者Ｍを特定するのに資することができる。

図２の説明に戻り、つづいて制御部１４について説明する。制御部１４は、コントローラ（controller）であり、たとえば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）、マイクロコンピュータ等によって、記憶部１３に記憶されている図示略の各種プログラムが図示略のＲＡＭ（Random Access Memory）を作業領域として実行されることにより実現される。また、制御部１４は、たとえば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路でも実現することができる。

図２に示すように、制御部１４は、取得部１４ａと、更新処理部１４ｂと、監視部１４ｃと、セキュリティ処理部１４ｄとを有し、以下に説明する情報処理の機能や作用を実現または実行する。

取得部１４ａは、通信部１１を介してセンタサーバ１００から更新用データを取得する。また、取得部１４ａは、取得した更新用データを、リプロ関連データ１３ａとして記憶部１３に保持させる。

更新処理部１４ｂは、リプロ関連データ１３ａに基づき、ＥＣＵ２０−１〜２０−ｎに対するリプログラミングを実施する更新処理を実行する。また、更新処理部１４ｂは、ＥＣＵ２０−１〜２０−ｎに対するリプログラミングが正常に実施された後、リプロ関連データ１３ａを消去する。

監視部１４ｃは、自装置すなわちリプロ制御装置１０の、ＯＢＤコネクタ３０への装着状態を監視する。また、監視部１４ｃは、かかる監視において、たとえばバッテリ５０の電圧の急激な低下や通信途絶を検出した場合に、自装置の取り外しを検知する。

なお、ＯＢＤコネクタ３０を介さずに、バッテリ５０からリプロ制御装置１０へ電源供給が行われる構成であっても、バッテリ５０のバッテリ電圧を監視することで、車両Ｃからのリプロ制御装置１０の取り外し（バッテリ線の取り外し）を検知することが可能である。リプロ制御装置１０の着脱検知としては、ＯＢＤコネクタ３０の着脱を検知することが望ましいが、上記のように単純にバッテリ線の取り外しを検知する構成であってもよい。

また、図２では、監視部１４ｃが、ＣＰＵ等で構成される制御部１４で動作する場合を図示しているが、監視部１４ｃを、常時電源が供給され、動作電圧の低いＩＣ等で構成してもよい。かかる場合、たとえばＩＧスイッチがオフされて、制御部１４が電源オフ状態やスリープモードに移行した場合であっても、監視部１４ｃが動作して取り外しを検知できるように構成することができる。なお、かかる場合に、監視部１４ｃは取り外しを検知すると、制御部１４の起動を行う。

また、監視部１４ｃは、自装置の取り外しを検知した場合に、記憶部１３にリプロ関連データ１３ａが保持されているならば、取り外しによって自装置を終了させる前に、取り外し履歴１３ｂを記録する。

また、監視部１４ｃは、少なくとも取り外しを検知した際の現在時刻（図３Ａおよび図３Ｂの「取り外し時刻」参照）ならびに現在位置（図３Ａおよび図３Ｂの「取り外し時現在位置」参照）を含むように取り外し履歴１３ｂを記録する。

セキュリティ処理部１４ｄは、監視部１４ｃによって自装置の取り外しが検知された場合に、記憶部１３に保持されたリプロ関連データ１３ａを消去する。なお、セキュリティ処理部１４ｄは、たとえば、取り外し後に自装置がいずこかへ再装着され、起動された際に、リプロ関連データ１３ａを消去する。

また、セキュリティ処理部１４ｄは、記憶部１３に取り外し履歴１３ｂが記録されている場合に、この取り外し履歴１３ｂを通信部１１を介してセンタサーバ１００へ通知する。また、セキュリティ処理部１４ｄは、記憶部１３に取り外し履歴１３ｂが記録されている場合に、リプロ関連データ１３ａを消去する。

次に、実施形態に係るリプロ制御装置１０が実行する処理手順について、図４を用いて説明する。図４は、実施形態に係るリプロ制御装置１０が実行する処理手順を示すフローチャートである。なお、図４には、図１Ｃで説明した、ステップＳ２〜Ｓ５を、装置の終了／起動を挟んで分けて実行する場合の処理手順を示している。すなわち、補助電源１５が小容量である場合である。

まず、前提として、リプロ制御装置１０が正常にＯＢＤコネクタ３０へ装着され、通常動作中であるものとする。この場合、図４に示すように、監視部１４ｃは、自装置の装着状態を監視する（ステップＳ１０１）。そして、監視部１４ｃは、取り外しを検知しなければ（ステップＳ１０２，Ｎｏ）、ステップＳ１０１からの処理を繰り返す。

一方、取り外しを検知した場合（ステップＳ１０２，Ｙｅｓ）、監視部１４ｃは、記憶部１３にリプロ関連データ１３ａがあるならば（ステップＳ１０３，Ｙｅｓ）、取り外し履歴１３ｂを記録する（ステップＳ１０４）。

また、記憶部１３にリプロ関連データ１３ａがなければ（ステップＳ１０３，Ｎｏ）、ステップＳ１０５へ移行する。

そして、監視部１４ｃは、リプロ制御装置１０を終了させる終了処理を実行する（ステップＳ１０５）。なお、つづくステップＳ１０６およびＳ１０７は、リプロ制御装置１０によるものではないので、便宜上破線で示す。

まず、取り外されたリプロ制御装置１０は、いずこかへ再装着される（ステップＳ１０６）。そのうえで、リプロ制御装置１０には、電源供給が開始される（ステップＳ１０７）。

電源供給が開始されると、リプロ制御装置１０は、起動処理を開始する（ステップＳ１０８）。かかる起動処理中において、セキュリティ処理部１４ｄは、記憶部１３に取り外し履歴１３ｂがあるか否かを判定する（ステップＳ１０９）。

ここで、取り外し履歴１３ｂがある場合（ステップＳ１０９，Ｙｅｓ）、セキュリティ処理部１４ｄは、かかる取り外し履歴１３ｂの内容をセンタサーバ１００へ通知する（ステップＳ１１０）。そのうえで、セキュリティ処理部１４ｄは、記憶部１３に保持されているリプロ関連データ１３ａを消去する（ステップＳ１１１）。

一方、取り外し履歴１３ｂがない場合（ステップＳ１０９，Ｎｏ）、ステップＳ１１２へ移行する。なお、取り外し履歴１３ｂがない場合であっても、念のため、ステップＳ１１１のリプロ関連データ１３ａを消去する処理を実行するようにしてもよい。

そして、リプロ制御装置１０は、起動処理終了後、通常動作を開始する（ステップＳ１１２）。なお、図示していないが、ステップＳ１０９において取り外し履歴１３ｂがあった場合には、ステップＳ１１２で通常動作へ移行するのではなく、終了処理を実行させるようにしてもよい。すなわち、不正者Ｍにより再装着された可能性がある場合においては、リプロ制御装置１０を通常動作させなくともよい。

次に、実施形態に係るリプロ制御装置１０が実行する処理手順の変形例について、図５を用いて説明する。図５は、実施形態に係るリプロ制御装置１０が実行する処理手順の変形例を示すフローチャートである。なお、図５には、図１Ｃで説明した、ステップＳ２〜Ｓ５を連続的に実行する場合の処理手順を示している。

図４の場合と同様に、前提として、リプロ制御装置１０が正常にＯＢＤコネクタ３０へ装着され、通常動作中であるものとする。この場合、図５に示すように、監視部１４ｃは、自装置の装着状態を監視する（ステップＳ２０１）。そして、監視部１４ｃは、取り外しを検知しなければ（ステップＳ２０２，Ｎｏ）、ステップＳ２０１からの処理を繰り返す。

一方、取り外しを検知した場合（ステップＳ２０２，Ｙｅｓ）、監視部１４ｃは、記憶部１３にリプロ関連データ１３ａがあるならば（ステップＳ２０３，Ｙｅｓ）、取り外し履歴１３ｂを記録する（ステップＳ２０４）。

セキュリティ処理部１４ｄは、かかる取り外し履歴１３ｂの内容をセンタサーバ１００へ通知する（ステップＳ２０５）。そして、セキュリティ処理部１４ｄは、記憶部１３に保持されているリプロ関連データ１３ａを消去する（ステップＳ２０６）。

なお、記憶部１３にリプロ関連データ１３ａがなければ（ステップＳ２０３，Ｎｏ）、ステップＳ２０７へ移行する。

そして、監視部１４ｃが、リプロ制御装置１０を終了させる終了処理を実行し（ステップＳ２０７）、処理を終了する。

上述してきたように、本実施形態に係るリプロ制御装置１０は、取得部１４ａと、監視部１４ｃと、セキュリティ処理部１４ｄとを備える。取得部１４ａは、自装置へ接続されたＥＣＵ２０−１〜２０−ｎ（「他装置」の一例に相当）へのリプロ関連データ１３ａ（「配信データ」の一例に相当）をセンタサーバ１００（「外部」の一例に相当）から取得し、記憶部１３へ保持させる。監視部１４ｃは、自装置のＥＣＵ２０−１〜２０−ｎまたはＯＢＤコネクタ３０（「車両」の一例に相当）への装着状態を監視する。セキュリティ処理部１４ｄは、監視部１４ｃによって自装置の取り外しが検知された場合に、記憶部１３に保持されたリプロ関連データ１３ａを消去する。

したがって、本実施形態に係るリプロ制御装置１０によれば、データの流出や悪用を防止することができる。

また、セキュリティ処理部１４ｄは、取り外しが検知された後に自装置が起動された際に、リプロ関連データ１３ａを消去する。

したがって、本実施形態に係るリプロ制御装置１０によれば、通常電源が供給された状態でリプロ関連データ１３ａを消去するので、途中で電源が切れてリプロ関連データ１３ａの消去が不完全となることがない。すなわち、データの流出や悪用を防止することができる。

また、監視部１４ｃは、上記取り外しを検知した場合に、リプロ関連データ１３ａが記憶部１３に保持されているならば、かかる取り外しによって自装置の電源がオフ状態になる前に、かかる取り外しが行われたことを示す取り外し履歴１３ｂ（「履歴情報」の一例に相当）を記憶部１３へ記録する。

したがって、本実施形態に係るリプロ制御装置１０によれば、補助電源１５が小容量であっても、少なくとも取り外し履歴１３ｂを残すことができる。

また、セキュリティ処理部１４ｄは、取り外し履歴１３ｂをセンタサーバ１００へ通知する。

したがって、本実施形態に係るリプロ制御装置１０によれば、センタサーバ１００における解析によってたとえば不正者Ｍを特定するのに資することができる。

また、セキュリティ処理部１４ｄは、記憶部１３に上記取り外しが行われたことを示す取り外し履歴１３ｂが記録されている場合に、リプロ関連データ１３ａを消去する。

したがって、本実施形態に係るリプロ制御装置１０によれば、自装置が取り外されたことを示す取り外し履歴１３ｂがあり、データの流出や悪用が懸念される場合に、少なくともリプロ関連データ１３ａを消去し、データの流出や悪用を防止することができる。

また、監視部１４ｃは、少なくとも取り外しに関する現在時刻ならびに現在位置を含むように取り外し履歴１３ｂを記録する。

したがって、本実施形態に係るリプロ制御装置１０によれば、センタサーバ１００における解析によってたとえば不正者Ｍを特定するのに資することができる。

また、リプロ関連データ１３ａは、車両Ｃに搭載される装置の制御プログラムの更新に関するデータである。

したがって、本実施形態に係るリプロ制御装置１０によれば、車両Ｃに搭載される装置の制御プログラムの更新に関するデータの流出や悪用を防止することができる。

なお、上述した実施形態では、たとえば不正者Ｍによって取り外しが行われる場合を例に挙げたが、ユーザや整備士が点検等のために言わば正規に取り外しを行う場合もある。

このような場合に、ダウンロード済みのリプロ関連データ１３ａがあり、これを消去してしまうと、改めてリプロ関連データ１３ａをダウンロードする必要があり、通信コストが嵩むことが考えられる。

したがって、このような正規の取り外しを行う場合には、たとえばメンテナンスモードへ移行するための暗証番号等の入力を受け付け、これに基づく認証処理を行うようにしてもよい。そして、正規に認証されたならば、取り外しが行われても、取り外し履歴１３ｂの記録や、センタサーバ１００への通知、リプロ関連データ１３ａの消去が行われないようにしてもよい。

また、上述した実施形態では、リプロ制御装置１０が車載システム１に搭載され、ＥＣＵ２０−１〜２０−ｎと接続されて、これらに更新用データを配信してリプログラミングを実行する例を挙げたが、リプロ制御装置１０の用途を限定するものではない。

すなわち、リプロ制御装置１０は、ＥＣＵ２０−１〜２０−ｎに対応するリプログラミング対象となる各種装置が含まれるものであれば、車載システム１に限らず、あらゆる各種システムに搭載させることが可能である。

また、上述してきた「装着状態」は、「接続状態」に読み替えてもよい。

さらなる効果や変形例は、当業者によって容易に導き出すことができる。このため、本発明のより広範な態様は、以上のように表しかつ記述した特定の詳細および代表的な実施形態に限定されるものではない。したがって、添付の特許請求の範囲およびその均等物によって定義される総括的な発明の概念の精神または範囲から逸脱することなく、様々な変更が可能である。

１ 車載システム
１０ リプロ制御装置
１３ 記憶部
１３ａ リプロ関連データ
１３ｂ 取り外し履歴
１４ａ 取得部
１４ｃ 監視部
１４ｄ セキュリティ処理部
１５ 補助電源
２０ ＥＣＵ
３０ ＯＢＤコネクタ
５０ バッテリ
１００ センタサーバ
Ｃ 車両

Claims (8)

1. 自装置へ接続された他装置への配信データを外部から取得し、記憶部へ保持させる取得部と、
   当該自装置の他装置または車両への装着状態を監視する監視部と、
   前記監視部によって当該自装置の取り外しが検知された場合に、前記記憶部に保持された前記配信データを消去するセキュリティ処理部と
   を備えることを特徴とする制御装置。
2. 前記セキュリティ処理部は、
   前記取り外しが検知された後に当該自装置が起動された際に、前記配信データを消去する
   ことを特徴とする請求項１に記載の制御装置。
3. 前記監視部は、
   前記取り外しを検知した場合に、前記配信データが前記記憶部に保持されているならば、当該取り外しによって当該自装置の電源がオフ状態になる前に、当該取り外しが行われたことを示す履歴情報を前記記憶部へ記録する
   ことを特徴とする請求項１または２に記載の制御装置。
4. 前記セキュリティ処理部は、前記履歴情報を外部へ通知する
   ことを特徴とする請求項３に記載の制御装置。
5. 前記セキュリティ処理部は、
   前記記憶部に前記取り外しが行われたことを示す前記履歴情報が記録されている場合に、前記配信データを消去する
   ことを特徴とする請求項３または４に記載の制御装置。
6. 前記監視部は、
   少なくとも前記取り外しに関する現在時刻ならびに現在位置を含むように前記履歴情報を記録する
   ことを特徴とする請求項３、４または５に記載の制御装置。
7. 前記配信データは、車両に搭載される装置の制御プログラムの更新に関するデータである
   ことを特徴とする請求項１〜６のいずれか一つに記載の制御装置。
8. 自装置へ接続された他装置への配信データを外部から取得し、記憶部へ保持させる取得部を備える制御装置を用いたセキュリティ管理方法であって、
   前記制御装置の他装置または車両への装着状態を監視する監視工程と、
   前記監視工程によって前記制御装置の取り外しが検知された場合に、前記記憶部に保持された前記配信データを消去するセキュリティ処理工程と
   を含むことを特徴とするセキュリティ管理方法。

Images