JP2021002713A - 更新装置、鍵更新プログラム - Google Patents

更新装置、鍵更新プログラム Download PDF

Info

Publication number
JP2021002713A
JP2021002713A JP2019114683A JP2019114683A JP2021002713A JP 2021002713 A JP2021002713 A JP 2021002713A JP 2019114683 A JP2019114683 A JP 2019114683A JP 2019114683 A JP2019114683 A JP 2019114683A JP 2021002713 A JP2021002713 A JP 2021002713A
Authority
JP
Japan
Prior art keywords
key
key information
processing unit
certificate
expiration date
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2019114683A
Other languages
English (en)
Inventor
誠剛 小谷
Masatake Kotani
誠剛 小谷
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Original Assignee
Fujitsu Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd filed Critical Fujitsu Ltd
Priority to JP2019114683A priority Critical patent/JP2021002713A/ja
Priority to EP20178018.6A priority patent/EP3754935A1/en
Priority to US16/892,162 priority patent/US20200403791A1/en
Publication of JP2021002713A publication Critical patent/JP2021002713A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/068—Network architectures or network communication protocols for network security for supporting key management in a packet data network using time-dependent keys, e.g. periodically changing keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F1/00—Details not covered by groups G06F3/00 - G06F13/00 and G06F21/00
    • G06F1/26—Power supply means, e.g. regulation thereof
    • G06F1/28—Supervision thereof, e.g. detecting power-supply failure by out of limits supervision
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3297—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving time stamps, e.g. generation of time stamps
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/44—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for communication between vehicles and infrastructures, e.g. vehicle-to-cloud [V2C] or vehicle-to-home [V2H]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/84—Vehicles

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Stored Programmes (AREA)

Abstract

【課題】適切なタイミングで鍵情報を更新する更新装置を提供する。【解決手段】更新装置１００は、電池量取得部１３３と、鍵生成処理部１３４と、鍵切替処理部１３５とを有する。電池量取得部１３３は、車載器に電力供給を行う電池の電池残量を取得する。鍵生成処理部１３４は、取得した電池残量に基づいて車載器が使用する鍵情報の新規発行を行うか否かを判定し、新規発行を行うと判定した場合、新規に生成した鍵情報の証明を、外部機器との通信により外部機器に依頼する。鍵切替処理部１３５は、車載器に関する鍵情報を、外部機器に証明された鍵情報に切り替える。【選択図】図２

Description

本発明の実施形態は、更新装置、鍵更新プログラムに関する。
従来、車に搭載された電子制御ユニット（ＥＣＵ：Electronic Control Unit）などの車載器については、ファームウェア等が不正に書き換えられるリスクを低減するために、ファームウェア等の更新にＰＫＩ（Public-Key Infrastructure）による鍵認証を用いている。ファームウェア等の更新に用いられるＰＫＩの公開鍵は、有効期限があることから、適宜更新が行われる。このような鍵情報を更新する従来技術としては、ＥＣＵ内の共有鍵等を更新させるための更新管理方法が知られている。
国際公開第２０１６／７５８６５号 特開２０１１−２１１５３７号公報
しかしながら、上記の従来技術は、鍵情報を更新する際に車載器に電力を供給するバッテリーの残量を考慮していない。このため、鍵情報を更新するのに十分なバッテリー残量がない場合などの不適切なタイミングで鍵情報の更新処理が行われる場合があるという問題がある。
１つの側面では、適切なタイミングで鍵情報を更新することができる更新装置、鍵更新プログラムを提供することを目的とする。
１つの案では、更新装置は、電池量取得部と、鍵生成処理部と、鍵切替処理部とを有する。電池量取得部は、車載器に電力供給を行う電池の電池残量を取得する。鍵生成処理部は、取得した電池残量に基づいて車載器が使用する鍵情報の新規発行を行うか否かを判定し、新規発行を行うと判定した場合、新規に生成した鍵情報の証明を、外部機器との通信により外部機器に依頼する。鍵切替処理部は、車載器に関する鍵情報を、外部機器に証明された鍵情報に切り替える。
本発明の１実施態様によれば、適切なタイミングで鍵情報を更新することができる。
図１は、遠隔更新の概要を説明する説明図である。 図２は、実施形態にかかる更新装置の機能構成例を示すブロック図である。 図３は、実施形態にかかる更新装置の動作例を示すフローチャートである。 図４は、鍵／証明書更新処理の一例を示すフローチャートである。 図５は、鍵／証明書発行処理の一例を示すフローチャートである。 図６は、鍵／証明書切替処理の一例を示すフローチャートである。
以下、図面を参照して、実施形態にかかる更新装置、鍵更新プログラムを説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明する更新装置、鍵更新プログラムは、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。
図１は、遠隔更新の概要を説明する説明図である。図１に示すように、車両１は、多種多様な車載器を有し、各車載器は例えばＣＡＮ（Control Area Network）などのビークルバスを介して相互に通信可能に接続される。なお、車両１については、一般的な自動車の他、大型自動車、特殊作業車などであってもよく、用途、車種などは限定しない。
具体的には、車両１は、ゲートウェイ１０、通信インタフェース１１、ＴＣＵ１２（TCU：Transmission Control Unit）、ＥＣＵ１３ａ、ＥＣＵ１３ｂ…、電源装置１４、ナビゲーション装置１５、表示装置１６を有する。なお、ＥＣＵ１３ａ、１３ｂ…については、特に区別しない場合はＥＣＵ１３と表記する場合がある。
これらの各車載器では、ソフトウェアが動作しており、例えばＣＡＮを介した通信による協調制御を行うことによって、走行制御、ＡＤＡＳ（Advanced Driver-Assistance Systems）制御、マルチメディア、ボディ制御などの各種機能を実現する。
各車載器のソフトウェアは、メモリ等に記憶されており、機能改善のためにソフトウェア更新（リプログラミングとも呼ぶ）を行うことがある。このリプログラミングには、ＯＢＤＩＩ（OBD：On-Board Diagnostics）などの通信規格による通信インタフェース１１を介して有線接続した診断ツール３によるリプログラミングの他に、遠隔からのＯＴＡ（Over The Air）リプログラミングがある。
ＯＴＡリプログラミングは、セルラー回線などの通信ネットワークＮを介して接続したＯＴＡサーバ２によるソフトウェア更新である。このＯＴＡリプログラミングでは、不正に書き換えられるリスクを低減するためにＰＫＩの鍵認証が用いられる。
鍵認証に用いられる公開鍵などの鍵情報については、例えば数年程度の有効期限が定められている。車両１の使用期間は、一般に鍵情報の有効期限よりも長い（例えば１０年以上）。このため、各車載器に関する鍵情報については、ＯＴＡでの更新（有効期限の延長）が行われる。本実施形態にかかる更新装置は、このＯＴＡでの車載器の鍵情報の更新を行うものであり、例えば車両１内のゲートウェイ１０、ＴＣＵ１２、ＥＣＵ１３が相当する。
図２は、実施形態にかかる更新装置の機能構成例を示すブロック図である。図２に示す更新装置１００は、車両１内のゲートウェイ１０、ＴＣＵ１２、ＥＣＵ１３ａ、１３ｂ…等の一例であり、ＯＴＡにより自身または他の車載器に関する鍵情報の更新を行う。例えば、更新装置１００は、ＥＣＵ１３ａ、１３ｂ…等に関する鍵情報をＥＣＵ１３に代わって更新するゲートウェイ１０やＴＣＵ１２などであってもよい。また、更新装置１００は、ゲートウェイ１０より通信ネットワークＮを介してＯＴＡサーバ２と通信するＥＣＵ１３ａ、１３ｂ…であり、ＥＣＵ１３ａ、１３ｂ…それぞれが自身の鍵情報を更新してもよい。
図２に示すように、更新装置１００は、通信部１１０、記憶部１２０および制御部１３０を有する。
通信部１１０は、ビークルバスを介してゲートウェイ１０、ＴＣＵ１２、ＥＣＵ１３、電源装置１４、ナビゲーション装置１５、ナビゲーション装置１５、表示装置１６などの車両１内の車載器との通信を行う処理部である。また、通信部１１０は、ゲートウェイ１０より通信ネットワークＮを介してＯＴＡサーバ２などの外部機器との通信を行う。
記憶部１２０は、例えば鍵情報１２１、証明書・有効期限情報１２２、必要電池量情報１２３および制御部１３０が実行する鍵更新プログラム１２４などの各種データを記憶する。記憶部１２０は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリなどの半導体メモリ素子などの記憶装置に対応する。
鍵情報１２１は、車載器に関する鍵情報であり、例えば車載器においてＰＫＩの鍵認証に用いる秘密鍵・公開鍵の鍵対のデータである。例えば、鍵情報１２１には、自身の車載器に対応する識別名（代理で鍵認証を行う場合は他の車載器）とともに、秘密鍵・公開鍵の情報が示されている。
証明書・有効期限情報１２２は、鍵情報１２１に対応する証明書（例えば公開鍵証明書）および証明書の有効期限の情報である。例えば、証明書・有効期限情報１２２には、鍵情報１２１の識別名とともに、認証局（CA：Certification Authority）、証明書の有効期限の情報などが示されている。
必要電池量情報１２３は、鍵情報１２１の更新（例えば鍵／証明書発行処理（Ｓ２５））を行うために必要な電池量（電力量）を示す情報である。例えば、証明書・有効期限情報１２２には、鍵情報１２１の更新を行う際に、ゲートウェイ１０、ＴＣＵ１２、ＥＣＵ１３などの稼働に要する電力量として見積もられた値が示されている。
鍵更新プログラム１２４は、制御部１３０が実行するプログラムである。制御部１３０は、記憶部１２０に記憶された鍵更新プログラム１２４を読み出して実行することで、各種の処理を行う。具体的には、鍵更新プログラム１２４は、制御部１３０を時刻取得部１３１、有効期限取得部１３２、電池量取得部１３３、鍵生成処理部１３４および鍵切替処理部１３５として機能させる。
制御部１３０は、更新装置１００の全体的な処理を司る処理部である。制御部１３０は、例えば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等によって、内部の記憶装置に記憶されているプログラムがＲＡＭを作業領域として実行されることにより実現される。また、制御部１３０は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現されるようにしてもよい。
具体的には、制御部１３０は、時刻取得部１３１、有効期限取得部１３２、電池量取得部１３３、鍵生成処理部１３４および鍵切替処理部１３５を有する。なお、時刻取得部１３１、有効期限取得部１３２、電池量取得部１３３、鍵生成処理部１３４および鍵切替処理部１３５は、プロセッサが有する電子回路の一例やプロセッサが実行するプロセスの一例である。
時刻取得部１３１は、時刻に関する情報を取得する処理部である。具体的には、時刻取得部１３１は、ＲＴＣ（Real Time Clock）より現在の時刻を取得する。また、時刻取得部１３１は、通信ネットワークＮを介してタイムスタンプ局（TSA：Time-Stamping Authority）にタイムスタンプを要求することで、現時点におけるデータの存在を証明するためのタイムスタンプの取得を行う。
有効期限取得部１３２は、鍵情報１２１に関する有効期限を取得する処理部である。具体的には、有効期限取得部１３２は、鍵情報１２１における識別名より、鍵情報１２１に対応する証明書・有効期限情報１２２を読み出して鍵情報１２１の有効期限を取得する。また、有効期限取得部１３２は、鍵情報１２１に対応する証明書・有効期限情報１２２を保持していない場合、通信ネットワークＮを介してＯＴＡサーバ２などに鍵情報１２１の識別名を示した送付要求を行うことで、鍵情報１２１に対応する証明書・有効期限情報１２２を取得する。
電池量取得部１３３は、車両１内の各車載器に電力供給を行う電池の電池残量を取得する処理部である。具体的には、電池量取得部１３３は、各車載器に電力供給を行う電池を管理する電源装置１４と通信部１１０を介して通信を行うことで、電源装置１４より電池の電池残量を取得する。
鍵生成処理部１３４は、新規の鍵情報１２１の生成に関する処理を行う処理部である。具体的には、鍵生成処理部１３４は、電池量取得部１３３が取得した電池残量に基づいて車載器に関する鍵情報１２１の新規発行を行うか否かを判定する。次いで、鍵生成処理部１３４は、新規発行を行うと判定した場合、新規に生成した鍵情報１２１の証明を、通信ネットワークＮを介したＯＴＡサーバ２などの外部機器との通信により外部機器に依頼する。
鍵切替処理部１３５は、車載器に関する鍵情報１２１について、古い鍵情報（旧鍵対）から鍵生成処理部１３４により外部機器に証明された新規の鍵情報（新鍵対）へ切り替える処理を行う処理部である。具体的には、鍵切替処理部１３５は、旧鍵対の秘密鍵による電子署名作成や旧鍵対の公開鍵による認証を停止する。次いで、鍵切替処理部１３５は、新鍵対の秘密鍵による電子署名作成や新鍵対の公開鍵による認証を開始する。
図３は、実施形態にかかる更新装置１００の動作例を示すフローチャートである。図３に示す更新装置１００の動作は、例えば車両１のイグニンションオンに応じて開始される。また、更新装置１００の動作は、イグニンションオンとは別に、定時に開始されてもよい。
図３に示すように、処理が開始されると、時刻取得部１３１は現在の時刻を取得する（Ｓ１）。次いで、有効期限取得部１３２は、記憶部１２０を参照して鍵情報１２１に対応する証明書・有効期限情報１２２を探索し、鍵情報１２１の証明書保持または有効期限情報の保持の有無を判定する（Ｓ２）。
証明書保持または有効期限情報の保持が肯定判定である場合（Ｓ２：Ｙｅｓ）、有効期限取得部１３２は、証明書または有効期限情報を保持していることから、そのままＳ５へ処理を進める。証明書保持または有効期限情報の保持が否定判定である場合（Ｓ２：Ｎｏ）、有効期限取得部１３２は、通信ネットワークＮを介してＯＴＡサーバ２などに鍵情報１２１の識別名を示した送付要求を行う（Ｓ３）。次いで、有効期限取得部１３２は、送付要求に対する返答受領、すなわち鍵情報１２１に対応する証明書・有効期限情報１２２を取得する（Ｓ４）。
次いで、有効期限取得部１３２は、既に保持している証明書・有効期限情報１２２または返答受領により取得した証明書・有効期限情報１２２より、鍵情報１２１に対応する証明書の有効期限を取得する（Ｓ５）。
次いで、鍵生成処理部１３４は、時刻取得部１３１が取得した現在の時刻から証明書の有効期限までの残存期間が１０日より長いか否かを判定する（Ｓ６）。なお、Ｓ６における判定の基準となる日数は、１０日に限定するものではなく、予め設定された任意の期間としてもよい。
証明書の有効期限までの残存期間が１０日より長い場合（Ｓ６：Ｙｅｓ）、鍵生成処理部１３４は、そのまま処理を終了する。
証明書の有効期限までの残存期間が１０日より長くなく、短い場合（Ｓ６：Ｎｏ）、鍵生成処理部１３４は鍵の更新用情報、すなわち外部機器に証明された新規の鍵情報（新鍵対）を取得済みであるか否かを判定する（Ｓ７）。取得済みである場合（Ｓ７：Ｙｅｓ）、鍵生成処理部１３４は、Ｓ９へ処理を進める。
取得済みでない場合（Ｓ７：Ｎｏ）、鍵生成処理部１３４は、鍵／証明書更新処理を行い（Ｓ８）、Ｓ９へ処理を進める。
図４は、鍵／証明書更新処理の一例を示すフローチャートである。図４に示すように、処理が開始されると、電池量取得部１３３は、各車載器に電力供給を行う電池を管理する電源装置１４より電池残量を取得する（Ｓ２０）。
次いで、鍵生成処理部１３４は、新規の鍵対（秘密鍵・公開鍵）を生成する生成処理を行う（Ｓ２１）。次いで、鍵生成処理部１３４は、必要電池量情報１２３を参照し、新規の鍵対における新公開鍵への証明書の発行要求に要する必要電池量、すなわち鍵／証明書発行処理（Ｓ２５）を行うために必要な電池量を取得する（Ｓ２２）。
次いで、鍵生成処理部１３４は、Ｓ２０で取得した現在の電池残量が必要電池量の２倍よりも多いか否かを判定する（Ｓ２３）。なお、Ｓ２３における判定の基準となる必要電池量の倍数は、２倍に限定するものではなく、予め設定された任意の値としてもよい。
現在の電池残量が必要電池量の２倍よりも多い場合（Ｓ２３：Ｙｅｓ）、鍵生成処理部１３４は、証明書の有効期限までの残存期間が２日よりも長いか否かを判定する（Ｓ２４）。なお、Ｓ２４における判定の基準となる日数は、２日に限定するものではなく、予め設定された任意の期間としてもよい。
現在の電池残量が必要電池量の２倍よりも多く（Ｓ２３：Ｙｅｓ）、証明書の有効期限までの残存期間が２日より長い場合（Ｓ２４：Ｙｅｓ）は、電池残量が十分であり、証明書の有効期限まで十分に長い期間あることから、鍵／証明書発行処理（Ｓ２５）を現時点で行わなくてもよいものとする。
したがって、証明書の有効期限までの残存期間が２日より長い場合（Ｓ２４：Ｙｅｓ）、鍵生成処理部１３４は、新規の鍵対について時刻取得部１３１よりタイムスタンプを取得する。次いで、鍵生成処理部１３４は、新規の鍵対をタイムスタンプ付きの鍵情報１２１として、運用中の鍵情報１２１とは別に記憶部１２０に保存し（Ｓ２６）、処理を終了する。
これにより、後に鍵／証明書発行処理（Ｓ２５）を行う場合は、タイムスタンプにより生成時点が証明された鍵情報１２１を読み出すことで、その生成時点における新規の鍵対について鍵／証明書発行処理を行うことができる。例えば、鍵／証明書発行処理を行わないうちに、運用中の鍵情報１２１における証明書の有効期限が切れてしまった場合でも、タイムスタンプにより新規の鍵対の生成時点を検証することができる。このため、証明書の有効期限内に生成された新規の鍵対であることを証明でき、鍵／証明書発行処理を進めることが可能となる。
また、証明書の有効期限までの残存期間が２日より長くない場合（Ｓ２４：Ｎｏ）または現在の電池残量が必要電池量の２倍よりも多くない場合（Ｓ２３：Ｎｏ）は、鍵／証明書発行処理（Ｓ２５）を現時点で行うものとする。この場合、鍵生成処理部１３４は、鍵／証明書発行処理を行い（Ｓ２５）、処理を終了する。
図５は、鍵／証明書発行処理の一例を示すフローチャートである。なお、図５における左側のフローチャートは、車両１側が行う処理を例示している。また、図５における右側のフローチャートは、ＯＴＡサーバ２側が行う処理を例示している。
図５に示すように、処理が開始されると、鍵生成処理部１３４は、新規の鍵対（秘密鍵、公開鍵）を取得する（Ｓ３０）。なお、Ｓ３０において、タイムスタンプ付きの鍵情報１２１が記憶部１２０に保存されている場合は、タイムスタンプ付きの鍵情報１２１を新規の鍵対とする。タイムスタンプ付きの鍵情報１２１が記憶部１２０に保存されていない場合は、Ｓ２１において生成された鍵対を新規の鍵対とする。
次いで、鍵生成処理部１３４は、新規の公開鍵、今回の処理を依頼する根拠（例えば電池全量情報を含め）の説明に、運用中の旧鍵対の秘密鍵で電子署名を付与する（Ｓ３１）。すなわち、鍵生成処理部１３４は、新規に生成した鍵情報について、運用中の車載器に関する鍵情報に基づく署名を付与する。
次いで、鍵生成処理部１３４は、Ｓ３１で付与した電子署名、新規の公開鍵、説明を通信部１１０より通信ネットワークＮを介してＯＴＡサーバ２へ送付し、証明書の発行を依頼する（Ｓ３２）。
証明書の発行を依頼されたＯＴＡサーバ２では、旧公開鍵の証明書で電子署名を検証し（Ｓ３３）、新規の公開鍵、依頼の真正性を確認する（Ｓ３４）。
次いで、ＯＴＡサーバ２は、依頼の真正性が確認できた場合、新公開鍵の証明書発行を証明書発行局（ＣＡ）に要求する（Ｓ３５）。この際、ＯＴＡサーバ２は、ＯＴＡサーバ２側（センター）が運用する秘密鍵で電子署名を付与する（Ｓ３６）。
ＣＡでは、ＯＴＡサーバ２の証明書（公開鍵）を用いてＯＴＡサーバ２を認証、要求のあった証明書を発行する（Ｓ３７）。ＯＴＡサーバ２は、ＣＡからの証明書を受け、証明書を含めてまとめ、ＯＴＡサーバ２が運用する秘密鍵で電子署名を付与した上で車両１側へ返す。証明書付きの返答を受けた鍵生成処理部１３４は、新規の鍵情報１２１および証明書・有効期限情報１２２について、運用中の鍵情報１２１および１２２とは別に記憶部１２０に保存する。
また、ＯＴＡサーバ２では、作業完了の時刻証明のためタイムスタンプ局（ＴＳＡ）にタイムスタンプの発行要求を行う（Ｓ３８）。タイムスタンプの発行要求を受けたＴＳＡは、ＯＴＡサーバ２にタイムスタンプを発行する。ＯＴＡサーバ２では、ＴＳＡからのタイムスタンプを受け、タイムスタンプ付きで証明書が発行された鍵情報を保存する（Ｓ３９）。
図３に戻り、Ｓ７、Ｓ８に次いで、鍵切替処理部１３５は、運用中の鍵情報１２１に対応する証明書（旧証明書）の有効期限までの残存期間が２日より長いか否かを判定する（Ｓ９）。なお、Ｓ９における判定の基準となる日数は、２日に限定するものではなく、予め設定された任意の期間としてもよい。
旧証明書の有効期限までの残存期間が２日より長くない場合（Ｓ９：Ｎｏ）、鍵切替処理部１３５は、そのまま処理を終了する。また、旧証明書の有効期限までの残存期間が２日より長い場合（Ｓ９：Ｙｅｓ）、鍵切替処理部１３５は、鍵／証明書切替処理を行う（Ｓ１０）。
図６は、鍵／証明書切替処理の一例を示すフローチャートである。図６に示すように、処理が開始されると、鍵切替処理部１３５は、運用中の鍵情報１２１とは別に、証明書付きの新規の鍵対の鍵情報１２１が記憶部１２０に保持されているか否かを判定する（Ｓ４０）。
新規の鍵対が保持されている場合（Ｓ４０：Ｙｅｓ）、鍵切替処理部１３５はそのままＳ４２へ処理を進める。新規の鍵対が保持されていない場合（Ｓ４０：Ｎｏ）、鍵生成処理部１３４は、Ｓ２５と同様の鍵／証明書発行処理を行う（Ｓ４１）。
Ｓ４１において、鍵切替処理部１３５は、新規の鍵対の鍵情報１２１に対応する証明書・有効期限情報１２２を探索し、新規の鍵対の証明書保持または有効期限情報の保持の有無を判定する（Ｓ４２）。
新規の鍵対の証明書保持または有効期限情報の保持が肯定判定である場合（Ｓ４２：Ｙｅｓ）、鍵切替処理部１３５は、新規の鍵対の証明書または有効期限情報を保持していることから、そのままＳ４５へ処理を進める。新規の鍵対の証明書保持または有効期限情報の保持が否定判定である場合（Ｓ４２：Ｎｏ）、鍵切替処理部１３５は、通信ネットワークＮを介してＯＴＡサーバ２などに新規の鍵対の識別名を示した送付要求を行う（Ｓ４３）。次いで、鍵切替処理部１３５は、送付要求に対する返答受領、すなわち新規の鍵対に対応する証明書・有効期限情報１２２を取得する（Ｓ４４）。
次いで、鍵切替処理部１３５は、時刻取得部１３１が取得した現在の時刻から新規の鍵対の証明書における有効期限までの残存期間が１０日より長いか否かを判定する（Ｓ４５）。なお、Ｓ４５における判定の基準となる日数は、１０日に限定するものではなく、予め設定された任意の期間としてもよい。
新規の鍵対の証明書の有効期限までの残存期間が１０日より長い場合（Ｓ４５：Ｙｅｓ）、鍵切替処理部１３５は、旧鍵対の秘密鍵による電子署名作成や旧鍵対の公開鍵による認証を停止する（Ｓ４６）。次いで、鍵切替処理部１３５は、新鍵対の秘密鍵による電子署名作成や新鍵対の公開鍵による認証を開始し（Ｓ４７）、処理を終了する。新規の鍵対の証明書の有効期限までの残存期間が１０日より長くない場合（Ｓ４５：Ｎｏ）、鍵切替処理部１３５は、Ｓ７へ処理を戻す。
以上のように、更新装置１００は、電池量取得部１３３と、鍵生成処理部１３４と、鍵切替処理部１３５とを有する。電池量取得部１３３は、ＥＣＵ１３ａ、１３ｂ…等の車載器に電力供給を行う電池の残量を取得する。鍵生成処理部１３４は、取得した電池残量に基づいて車載器が使用する鍵情報の新規発行を行うか否かを判定する。また、鍵生成処理部１３４は、新規発行を行うと判定した場合、新規に生成した鍵情報の証明を、ＯＴＡサーバ２などの外部機器との通信により外部機器に依頼する。鍵切替処理部１３５は、車載器に関する鍵情報を、外部機器に証明された鍵情報に切り替える。
これにより、車両１内の各車載器について、鍵情報を更新するのに十分なバッテリー残量がない場合などの不適切なタイミングで鍵情報の更新処理が行われることを抑止することができ、適切なタイミングで鍵情報の更新を行うことができる。
また、更新装置１００は、現在の時刻を取得する時刻取得部１３１と、鍵情報に関する証明の有効期限を取得する有効期限取得部１３２とを有する。そして、鍵切替処理部１３５は、取得した現在の時刻から車載器に関する鍵情報の有効期限までの残存期間が所定の条件を満たす場合に、外部機器に証明された鍵情報に切り替える。
これにより、例えば旧鍵対の残存期間に余裕があるときは新規の鍵対に切り替えないような運用とすることができ、鍵対の活用期間を有効期限近くまで伸ばすことができる。
また、鍵生成処理部１３４は、取得した電池残量に基づいて新規発行を行わないと判定した場合、新規に生成した鍵情報をタイムスタンプを付与して保存する。これにより、新規に生成した鍵情報の生成時点をタイムスタンプで検証することができる。例えば、新規に生成した鍵情報の証明を行う前に、運用中の鍵情報の有効期限が切れてしまっても、タイムスタンプにより有効期限内に生成された鍵情報であることを検証できる。
また、鍵生成処理部１３４は、新規に生成した鍵情報に車載器に関する鍵情報に基づく署名を付与して新規に生成した鍵情報の証明を依頼する。これにより、証明の依頼を受けた外部機器では、車載器に関する鍵情報に基づく署名により依頼元の真正性を確認することができる。
なお、図示した各部の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各部の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、時刻取得部１３１と、有効期限取得部１３２と、電池量取得部１３３とを統合してもよい。また、鍵生成処理部１３４と、鍵切替処理部１３５とを統合してもよい。また、図示した各処理は、上記の順番に限定されるものでなく、処理内容を矛盾させない範囲において、同時に実施してもよく、順序を入れ替えて実施してもよい。
さらに、各装置で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro Controller Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。
また、鍵更新プログラム１２４は、記憶部１２０に記憶されていなくてもよい。例えば、更新装置１００が読み取り可能な記憶媒体に記憶された鍵更新プログラム１２４を、更新装置１００が読み出して実行するようにしてもよい。更新装置１００が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤ（Digital Versatile Disc）、ＵＳＢ（Universal Serial Bus）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置に鍵更新プログラム１２４を記憶させておき、更新装置１００がこれらから鍵更新プログラム１２４を読み出して実行するようにしてもよい。
以上の実施形態に関し、さらに以下の付記を開示する。
（付記１）車載器に電力供給を行う電池の電池残量を取得する電池量取得部と、
取得した前記電池残量に基づいて前記車載器に関する鍵情報の新規発行を行うか否かを判定し、新規発行を行うと判定した場合、新規に生成した鍵情報の証明を、外部機器との通信により当該外部機器に依頼する鍵生成処理部と、
前記車載器に関する鍵情報を、前記外部機器に証明された鍵情報に切り替える鍵切替処理部と、
を有することを特徴とする更新装置。
（付記２）現在の時刻を取得する時刻取得部と、
前記鍵情報に関する証明の有効期限を取得する有効期限取得部と、を更に有し、
前記鍵切替処理部は、取得した前記現在の時刻から前記車載器に関する鍵情報の有効期限までの残存期間が所定の条件を満たす場合に、前記外部機器に証明された鍵情報に切り替える、
ことを特徴とする付記１に記載の更新装置。
（付記３）前記鍵生成処理部は、取得した前記電池残量に基づいて新規発行を行わないと判定した場合、新規に生成した鍵情報をタイムスタンプを付与して保存する、
ことを特徴とする付記１または２に記載の更新装置。
（付記４）前記鍵生成処理部は、前記新規に生成した鍵情報に前記車載器に関する鍵情報に基づく署名を付与して前記新規に生成した鍵情報の証明を依頼する、
ことを特徴とする付記１乃至３のいずれか一に記載の更新装置。
（付記５）車載器に電力供給を行う電池の電池残量を取得し、
取得した前記電池残量に基づいて前記車載器に関する鍵情報の新規発行を行うか否かを判定し、新規発行を行うと判定した場合、新規に生成した鍵情報の証明を、外部機器との通信により当該外部機器に依頼し、
前記車載器に関する鍵情報を、前記外部機器に証明された鍵情報に切り替える、
処理をコンピュータに実行させることを特徴とする鍵更新プログラム。
（付記６）現在の時刻を取得し、
前記鍵情報に関する証明の有効期限を取得する、処理をさらにコンピュータに実行させ、
前記切り替える処理は、取得した前記現在の時刻から前記車載器に関する鍵情報の有効期限までの残存期間が所定の条件を満たす場合に、前記外部機器に証明された鍵情報に切り替える、
ことを特徴とする付記５に記載の鍵更新プログラム。
（付記７）前記依頼する処理は、取得した前記電池残量に基づいて新規発行を行わないと判定した場合、新規に生成した鍵情報をタイムスタンプを付与して保存する、
ことを特徴とする付記５または６に記載の鍵更新プログラム。
（付記８）前記依頼する処理は、前記新規に生成した鍵情報に前記車載器に関する鍵情報に基づく署名を付与して前記新規に生成した鍵情報の証明を依頼する、
ことを特徴とする付記５乃至７のいずれか一に記載の鍵更新プログラム。
１…車両
２…ＯＴＡサーバ
３…診断ツール
１０…ゲートウェイ
１１…通信インタフェース
１２…ＴＣＵ
１３、１３ａ、１３ｂ…ＥＣＵ
１４…電源装置
１５…ナビゲーション装置
１６…表示装置
１００…更新装置
１１０…通信部
１２０…記憶部
１２１…鍵情報
１２２…証明書・有効期限情報
１２３…必要電池量情報
１２４…鍵更新プログラム
１３０…制御部
１３１…時刻取得部
１３２…有効期限取得部
１３３…電池量取得部
１３４…鍵生成処理部
１３５…鍵切替処理部
Ｎ…通信ネットワーク

Claims (5)

  1. 車載器に電力供給を行う電池の電池残量を取得する電池量取得部と、
    取得した前記電池残量に基づいて前記車載器が使用する鍵情報の新規発行を行うか否かを判定し、新規発行を行うと判定した場合、新規に生成した鍵情報の証明を、外部機器との通信により当該外部機器に依頼する鍵生成処理部と、
    前記車載器に関する鍵情報を、前記外部機器に証明された鍵情報に切り替える鍵切替処理部と、
    を有することを特徴とする更新装置。
  2. 現在の時刻を取得する時刻取得部と、
    前記鍵情報に関する証明の有効期限を取得する有効期限取得部と、を更に有し、
    前記鍵切替処理部は、取得した前記現在の時刻から前記車載器に関する鍵情報の有効期限までの残存期間が所定の条件を満たす場合に、前記外部機器に証明された鍵情報に切り替える、
    ことを特徴とする請求項１に記載の更新装置。
  3. 前記鍵生成処理部は、取得した前記電池残量に基づいて新規発行を行わないと判定した場合、新規に生成した鍵情報をタイムスタンプを付与して保存する、
    ことを特徴とする請求項１または２に記載の更新装置。
  4. 前記鍵生成処理部は、前記新規に生成した鍵情報に前記車載器に関する鍵情報に基づく署名を付与して前記新規に生成した鍵情報の証明を依頼する、
    ことを特徴とする請求項１乃至３のいずれか一項に記載の更新装置。
  5. 車載器に電力供給を行う電池の電池残量を取得し、
    取得した前記電池残量に基づいて前記車載器が使用する鍵情報の新規発行を行うか否かを判定し、新規発行を行うと判定した場合、新規に生成した鍵情報の証明を、外部機器との通信により当該外部機器に依頼し、
    前記車載器に関する鍵情報を、前記外部機器に証明された鍵情報に切り替える、
    処理をコンピュータに実行させることを特徴とする鍵更新プログラム。
JP2019114683A 2019-06-20 2019-06-20 更新装置、鍵更新プログラム Pending JP2021002713A (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2019114683A JP2021002713A (ja) 2019-06-20 2019-06-20 更新装置、鍵更新プログラム
EP20178018.6A EP3754935A1 (en) 2019-06-20 2020-06-03 Key update device and storage medium storing key update program
US16/892,162 US20200403791A1 (en) 2019-06-20 2020-06-03 Key update device and storage medium storing key update program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2019114683A JP2021002713A (ja) 2019-06-20 2019-06-20 更新装置、鍵更新プログラム

Publications (1)

Publication Number Publication Date
JP2021002713A true JP2021002713A (ja) 2021-01-07

Family

ID=70977419

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2019114683A Pending JP2021002713A (ja) 2019-06-20 2019-06-20 更新装置、鍵更新プログラム

Country Status (3)

Country Link
US (1) US20200403791A1 (ja)
EP (1) EP3754935A1 (ja)
JP (1) JP2021002713A (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7111074B2 (ja) * 2018-08-10 2022-08-02 株式会社デンソー 車両用マスタ装置、セキュリティアクセス鍵の管理方法、セキュリティアクセス鍵の管理プログラム及び車両用電子制御システム

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5404501B2 (ja) 2010-03-30 2014-02-05 日本電信電話株式会社 暗号化情報の有効期限延長システム、有効期限延長方法及びプログラム
JP5975964B2 (ja) * 2013-10-18 2016-08-23 富士通株式会社 情報処理プログラム、情報処理方法、情報処理装置、及び情報処理システム
EP3412514B1 (en) 2014-11-12 2019-12-04 Panasonic Intellectual Property Corporation of America Update management method, update management device, and control program
DE102015209116A1 (de) * 2015-05-19 2016-11-24 Robert Bosch Gmbh Verfahren und Aktualisierungsgateway zum Aktualisieren eines eingebetteten Steuergerätes

Also Published As

Publication number Publication date
US20200403791A1 (en) 2020-12-24
EP3754935A1 (en) 2020-12-23

Similar Documents

Publication Publication Date Title
JP5949732B2 (ja) プログラム更新システム及びプログラム更新方法
JP6641241B2 (ja) 情報共有システム、計算機、及び、情報共有方法
US9641329B2 (en) In-vehicle system and communication method
US7197637B2 (en) Authorization process using a certificate
KR102174469B1 (ko) V2x 통신을 위한 보안 인증 관리 시스템에서 eca와 dcm 사이를 중계하여 등록 인증서를 관리하기 위한 방법 및 장치
US10706646B2 (en) Vehicle diagnostic device and method of managing certificate thereof
EP3399691B1 (en) Onboard computer system, vehicle, management method, and computer program
CN109039654B (zh) Tbox身份认证方法及终端设备
JP6192673B2 (ja) 鍵管理システム、鍵管理方法およびコンピュータプログラム
CN109314644B (zh) 数据提供系统、数据保护装置、数据提供方法以及存储介质
EP2608477A1 (en) Trusted certificate authority to create certificates based on capabilities of processes
CN111355701A (zh) 针对连接性的基于策略和令牌的授权框架
JP6260068B1 (ja) 保守装置、保守方法、及びコンピュータプログラム
CN110920560A (zh) 云授权车辆控制
EP4113896A1 (en) Method and apparatus for updating certificate list
JP2021002713A (ja) 更新装置、鍵更新プログラム
JP2018019415A (ja) システム、認証局、車載コンピュータ、公開鍵証明書発行方法、及びプログラム
CN114785532B (zh) 一种基于双向签名认证的安全芯片通信方法及装置
CN115696321A (zh) 一种数字钥匙的秘钥灌装方法及系统
JP6188744B2 (ja) 管理システム、車両及び管理方法
JP2005117277A (ja) ルート証明書更新システム、方法およびプログラムとサーバ装置およびクライアント装置
JP6672243B2 (ja) データ提供システム、データ提供装置、データ提供方法、及びデータ提供プログラム
JP2015023307A (ja) 認証装置，及び認証システム
WO2023070465A1 (zh) 一种密钥传输方法和装置
JP6519060B2 (ja) 管理装置、車両、管理方法、及びコンピュータプログラム