JP2022109024A

JP2022109024A - 車両制御システム

Info

Publication number: JP2022109024A
Application number: JP2021004329A
Authority: JP
Inventors: 成章玉樹; Nariaki Tamaki
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2021-01-14
Filing date: 2021-01-14
Publication date: 2022-07-27
Anticipated expiration: 2041-01-14
Also published as: CN114834393B; CN114834393A; JP7400744B2; US20220219709A1

Abstract

【課題】限定的な領域内で車両に対して許容した特殊モードの機能を、当該車両が当該領域の外を走行する際に安全に無効化できる車両制御システムを得る。【解決手段】車両Ａは、乱数生成により特殊モード制御用のＭＡＣ鍵Ｋを生成して制御サーバに出力すると共に、生成したＭＡＣ鍵Ｋをデータの完全性及び機密性を保護する機能を有したセキュアストレージに格納する。制御サーバは、車両Ａが出力したＭＡＣ鍵Ｋを記憶すると共に、ＭＡＣ鍵Ｋを制御信号に適用して生成したＭＡＣ値ＭNと制御信号とを車両Ａに出力する。車両Ａは、制御サーバが出力した制御信号にＭＡＣ鍵Ｋを適用して生成したＭＡＣ値Ｍ'Nと、制御サーバが出力したＭＡＣ値ＭNとが一致する場合に当該制御信号による特殊モードでの制御を実行する。制御サーバは、特殊モードでの制御を終了する際に記憶したＭＡＣ鍵Ｋを削除する。【選択図】図６

Description

本発明は、生産拠点等の限定的な領域のみで自動運転等の特殊モードでの運転を車両に許容する車両制御システムに関する。

工場等の限定的な領域で、自動運転等の一般道での運転と異なる特殊モードで車両を運転して、当該車両を次のラインに運ぶような運用がある。自動運転を活用することにより、個々の車両に作業員が乗り込むことを要せず、工場等における有人による煩雑な作業を回避できる。

しかしながら、自動運転等の特殊モードを運用する機能は、外部からの悪意あるハッキング等に対する脆弱性を併せ持つという問題がある。従って、出荷等により車両が工場等の限定的な領域の外を走行する場合には、特殊モードを無効化する処理を要する。特モードを無効化するには、例えば、特殊モードに係るソフトウェアを書き換える等が考えられるが、かかるソフトウェアの書き換えを行うと、型式認証の出荷検査前の状態から車両の状態が変化するので、当該車両の再検査を要するという問題があった。

特許文献１には、車両の特殊モードでの運転に係る暗号鍵の選択及び切替に関する発明が開示されている。

特開２０１９－１４０５７７号公報

しかしながら、特許文献１に記載の発明は、車両の出荷前に自動運転機能等の特殊モードを通信を介して無効する際に外部からハッキングされると、当該車両の自動運転の主導権を外部の介入者に奪われるおそれがあった。

本発明は、上記事実を考慮し、限定的な領域内で車両に対して許容した特殊モードの機能を、当該車両が当該領域の外を走行する際に安全に無効化できる車両制御システムを得ることを目的とする。

上記目的を達成するために請求項１に記載の車両制御システムは、車両に搭載され、前記車両を制御する車両制御部と、前記車両を、自動運転を含む特殊モードで制御するための制御信号を前記車両制御部に出力する制御サーバと、を含み、前記車両制御部は、乱数生成により特殊モード制御用の共通鍵を生成して前記制御サーバに出力すると共に、生成した前記共通鍵をデータの完全性及び機密性を保護する機能を有したセキュアストレージに格納し、前記制御サーバは、前記車両制御部が出力した前記共通鍵を記憶部に格納すると共に、前記共通鍵を前記制御信号に適用して生成した前記制御信号のメッセージ認証子と前記制御信号とを前記車両制御部に出力し、前記車両制御部は、前記制御サーバが出力した前記制御信号に前記セキュアストレージに格納した前記共通鍵を適用して生成したメッセージ認証子と、前記制御サーバが出力したメッセージ認証子とが一致する場合に前記制御信号による前記特殊モードでの制御を実行し、前記制御サーバは、前記特殊モードでの制御を終了する際に前記記憶部に格納した前記共通鍵を削除する。

特殊モードの制御に用いる共通鍵は、車両では車両内のセキュアストレージに、制御サーバではハードディスク（ＨＤＤ）等のストレージに各々格納する。特殊モードでの制御が終了した後は、制御サーバ内に格納されている共通鍵を削除するので、共通鍵は車両のセキュアストレージ以外には存在しなくなり、結果として特殊モードでの制御が無効化された状態と等価となる。車両のセキュアストレージはデータの完全性及び機密性を保護する機能を有しているので、特殊モードの機能が外部からのハッキング等により悪用されることを防止できる。

また、請求項1に記載の車両制御システムによれば、車両内の制御ソフトウェアを出荷検査時から変更せず、車両が工場等の拠点内に存在する場合にメッセージ認証により特殊モードでの制御を許容することにより、車両の再度の検査を要しない。

上記目的を達成するために請求項２に記載の車両制御システムは、複数の車両の各々に搭載され、前記車両を制御する車両制御部と、前記車両を、自動運転を含む特殊モードで制御するための制御信号を前記車両制御部に出力する制御サーバと、を含み、前記制御サーバは、乱数生成により特殊モード制御用の共通鍵を生成して前記複数の車両の前記車両制御部に出力すると共に、生成した前記共通鍵を記憶部に格納し、前記複数の車両の前記車両制御部は、前記制御サーバが出力した前記共通鍵をデータの完全性及び機密性を保護する機能を有したセキュアストレージに各々格納し、前記制御サーバは、前記記憶部に格納した前記共通鍵を前記制御信号に適用して生成した前記制御信号のメッセージ認証子と前記制御信号とを前記複数の車両の車両制御部に各々出力し、前記複数の車両の車両制御部は、前記制御サーバが出力した前記制御信号に前記セキュアストレージに格納した前記共通鍵を適用して生成したメッセージ認証子と、前記制御サーバが出力したメッセージ認証子とが一致する場合に前記制御信号による前記特殊モードでの制御を各々実行し、前記制御サーバは、前記特殊モードでの制御を終了する際に前記記憶部に格納した前記共通鍵を削除する。

請求項２に記載の車両制御システムによれば、複数の車両に対して同時並行的に特殊モードでの制御を行うことができ、作業の迅速化及び作業手順の簡素化が可能となる。

また、特殊モードでの制御は、請求項３に記載の車両制御システムのように、車両が所定の拠点内に存在する場合に実行され、車両は、現在位置を測位可能な装置を備え、現在位置を制御サーバに出力し、制御サーバは、車両の現在位置が所定の拠点外となった場合に共通鍵を削除してもよい。これにより、特殊モードでの制御が危険となる領域で共通鍵を無効化できる。

また、車両制御部は、請求項４に記載の車両制御システムのように、特殊モードでの制御を要しなくなった場合に、セキュアストレージに格納した共通鍵を削除してもよい。これにより、特殊モードでの制御を完全に無効化できる。

また、車両制御部は、請求項５に記載の車両制御システムのように、車両の出荷通知がされた場合にセキュアストレージに格納した共通鍵を削除してもよい。

以上説明したように、本発明に係る車両制御システムによれば、限定的な領域内で車両に対して許容した特殊モードの機能を、当該車両が当該領域の外を走行する際に安全に無効化できる。

第１実施形態に係る車両制御システムの構成の一例を示した概略図である。第１実施形態に係る車両の構成の一例を示したブロック図である。第１実施形態に係る制御サーバの具体的な構成の一例を示すブロック図である。第１実施形態に係る制御サーバのＣＰＵの機能ブロック図である。第１実施形態に係る車両の演算装置の機能ブロック図である。第１実施形態における制御サーバと車両との各々における処理の一例を示したフローチャートである。第２実施形態における制御サーバと複数の車両との各々における処理の一例を示したフローチャートである。

［第１実施形態］
以下、図１を用いて、本実施形態に係る車両制御システム１００について説明する。図１に示した車両制御システム１００は、車両２００と、車両２００と相互に通信可能に構成された制御サーバ１０とを含む。制御サーバ１０は、工場等の車両２００の生産及び整備のための拠点に設置されたコンピュータである。

制御サーバ１０は、高度な演算処理を高速で実行できるコンピュータであることが望ましく、さらに外部からの通信を遮断するファイアウォール等を備える等のセキュリティに配慮した構成であることを要する。制御サーバ１０は、クラウドであれば処理負荷を分散できるが、本実施形態では、セキュリティを重視して単体のサーバであることを原則とする。

図２は、車両２００の構成の一例を示したブロック図である。車両２００は、演算装置１４の演算に必要なデータ及び演算装置１４による演算結果を記憶する記憶装置１８と、制御サーバ１０等から信号が入力されると共に、制御サーバ１０等に対して信号を出力する入出力装置１２と、入出力装置１２から入力された入力データ及び記憶装置１８に記憶されたデータに基づいて、特殊モードの制御信号を生成し、生成した制御信号を車両ＥＣＵ（Electronic Control Unit）１６に出力する演算装置１４と、演算装置１４から入力された特殊モードの制御信号に従って車両２００を動作させる車両ＥＣＵ１６と、で構成されている。記憶装置１８には、ＭＡＣ（Message Authentication Code：メッセージ認証コード）関数による共通鍵生成、及びＣＭＡＣ（Cipher-based Message Authentication Code）演算等に係るプログラムがインストールされている。演算装置１４は、当該プログラムを実行することにより、ＭＡＣ認証に用いる公開鍵を生成し、ＣＭＡＣ演算によって制御サーバ１０から入力された受信データのＭＡＣ値を生成し、生成したＭＡＣ値が制御サーバ１０から入力されたＭＡＣ値と一致するか否かを判定する認証を行う。メッセージ認証は、遠隔からの車両ハッキング対策としてＶ２Ｘ等の車両通信に用いられているが、本実施形態では、遠隔からの車両ハッキング対策用のメッセージ認証の鍵とは別の鍵を使用して、特殊モードの制御信号の認証を行う。また、記憶装置１８には、データの完全性及び機密性を保護する機能を有したセキュアストレージが含まれる。演算装置１４及び車両ＥＣＵ１６は、一体に構成されていてもよい。

図３は、本発明の実施形態に係る制御サーバ１０の具体的な構成の一例を示すブロック図である。制御サーバ１０は、コンピュータ４０を含んで構成されている。コンピュータ４０は、ＣＰＵ（Central Processing Unit）４２、ＲＯＭ（Read Only Memory）４４、ＲＡＭ（Random Access Memory）４６、及び入出力ポート４８を備える。一例としてコンピュータ４０は、高度な演算処理を高速で実行できる機種であることが望ましい。

コンピュータ４０では、ＣＰＵ４２、ＲＯＭ４４、ＲＡＭ４６、及び入出力ポート４８がアドレスバス、データバス、及び制御バス等の各種バスを介して互いに接続されている。入出力ポート４８には、各種の入出力機器として、ディスプレイ５０、マウス５２、キーボード５４、ＨＤＤ５６、及び各種ディスク（例えば、ＣＤ－ＲＯＭやＤＶＤ等）５８から情報の読み出しを行うディスクドライブ６０が各々接続されている。

また、入出力ポート４８には、車両２００が接続されている。制御サーバ１０は、ネットワークを介して車両２００に接続してもよいが、セキュリティ重視の観点から、当該ネットワークは外部とは隔絶されたイントラネットであることを要する。

コンピュータ４０のＨＤＤ５６には、ＭＡＣ関数による共通鍵生成、及びＣＭＡＣ演算等に係るプログラムがインストールされている。本実施形態では、ＣＰＵ４２が当該プログラムを実行することにより、ＭＡＣ認証に用いる公開鍵を生成し、ＣＭＡＣ演算によって特殊モードに係る制御信号のＭＡＣ値を生成し、生成したＭＡＣ値を制御信号と共に車両２００に出力する。また、ＣＰＵ４２は、当該プログラムによる処理結果をディスプレイ５０に表示させる。なお、制御サーバ１０においてＭＡＣ認証に用いる公開鍵を生成する場合は、第２実施形態で後述する。

本実施形態のＭＡＣ認証に係るプログラムをコンピュータ４０にインストールするには、幾つかの方法があるが、例えば、当該プログラムをセットアッププログラムと共にＣＤ－ＲＯＭやＤＶＤ等に記憶しておき、ディスクドライブ６０にディスクをセットし、ＣＰＵ４２に対してセットアッププログラムを実行することによりＨＤＤ５６に当該プログラムをインストールする。または、公衆電話回線又はネットワークを介してコンピュータ４０と接続される他の情報処理機器と通信することで、ＨＤＤ５６に当該プログラムをインストールするようにしてもよい。

図４は、制御サーバ１０のＣＰＵ４２の機能ブロック図を示す。制御サーバ１０のＣＰＵ４２がＭＡＣ認証に係るプログラムを実行することで実現される各種機能について説明する。ＭＡＣ認証に係るプログラムは、ＭＡＣ関数による乱数生成により特殊モード制御用の共通鍵であるＭＡＣ鍵を生成する乱数生成機能、ＭＡＣ鍵を用いて特殊モードの制御信号のメッセージ認証子であるＭＡＣ値を生成するＣＭＡＣ演算機能、及び生成したＭＡＣ鍵と、ＣＭＡＣ演算機能によって生成したＭＡＣ値と、制御信号とを車両２００に出力する出力機能を備えている。ＣＰＵ４２がこの各機能を有するプログラムを実行することで、ＣＰＵ４２は、図４に示すように、乱数生成部７２、ＣＭＡＣ演算部７４、及び出力部７６として機能する。なお、ＣＰＵ４２における乱数生成機能と、出力機能におけるＭＡＣ鍵の出力は、後述する第２実施形態で用いられる。

図５は、車両２００の演算装置１４の機能ブロック図を示す。演算装置１４は、ＭＡＣ関数による乱数生成により特殊モード制御用の共通鍵であるＭＡＣ鍵を生成する乱数生成機能、ＭＡＣ鍵を用いて特殊モードの制御信号のメッセージ認証子であるＭＡＣ値を生成するＣＭＡＣ演算機能、及びＣＭＡＣ演算機能によって生成したＭＡＣ値と制御サーバ１０から入力されたＭＡＣ値とを比較するＭＡＣ認証を行う比較機能、及び生成したＭＡＣ鍵を制御サーバ１０に出力する出力機能を備えている。ＣＰＵ４２がこの各機能を有するプログラムを実行することで、ＣＰＵ４２は、図５に示すように、乱数生成部２０、ＣＭＡＣ演算部２２、比較部２４、及び出力部２６として機能する。

図６は、制御サーバ１０と車両２００のうちの一台である車両Ａとの各々における処理の一例を示したフローチャートである。図６は、車両Ａにおける処理であるスレッド（１）、（３）と、制御サーバ１０における処理であるスレッド（２）、（４）とを含む。

車両Ａで行われるスレッド（１）では、ステップ１０で、自動運転等の特殊モードを開始する。ステップ１２では、特殊モード制御に用いるＭＡＣ鍵Ｋを乱数で生成する。特殊モードで使用するＭＡＣ鍵Ｋは、各々の車両で完全に乱数とすることにより、攻撃者による鍵の予想を困難にする。

ステップ１４では、生成したＭＡＣ鍵Ｋを車両Ａ内のセキュアストレージに格納する。セキュアストレージは、データの完全性及び機密性を保護する機能を有したストレージである。

ステップ１６では、生成したＭＡＣ鍵Ｋを制御サーバ１０に送信する。ＭＡＣ鍵Ｋの送信は、セキュリティを担保するために原則として有線通信で行うが、通信内容の暗号化等により、セキュリティが担保されるのであれば、無線通信を用いてもよい。

制御サーバ１０で行われるスレッド（２）では、ステップ１８でＭＡＣ鍵ＫをＨＤＤ５６等のストレージに格納する。本実施形態では、制御サーバ１０では、ＭＡＣ鍵Ｋを一時的に格納するのみであり、後述するように、車両Ａの特殊モードでの制御を要しなくなった場合に、制御サーバ１０に格納されているＭＡＣ鍵Ｋを削除するので、ＭＡＣ鍵Ｋを格納するストレージは、セキュアストレージ等の、データの完全性及び機密性を保護する機能を有していなくてもよい。

ステップ２０では、制御を継続するか否かを判定する。外部から制御継続の指令が入力される等により制御を継続する場合は手順をステップ２２に移行し、制御を継続しない場合は手順をステップ４８に移行する。

ステップ２２では、特殊モード用制御信号Ｘ_Nが入力される。特殊モード用制御信号Ｘ_Nの添え字のＮは、一例として、１以上の自然数であり、特殊モードが複数種類存在する場合の識別子である。特殊モード用制御信号Ｘ_Nは制御サーバ１０のＨＤＤ５６等に予め格納されていてもよいし、外部の機器から入力されてもよい。

ステップ２４では、ＭＡＣ鍵Ｋを用い、特殊モード用制御信号Ｘ_Nに対してブロック暗号に基づくメッセージ認証符号アルゴリズムであるＣＭＡＣ演算を行う。そして、ステップ２６では、ＭＡＣ値Ｍ_Nを生成する。ＭＡＣ値Ｍ_Nは、特殊モード制御信号Ｘ_Nに、専用のＭＡＣ鍵Ｋを用いた際に生成されるメメッセージ認証子である。

ステップ２８では、特殊モード用制御信号Ｘ_Nと、ＭＡＣ値Ｍ_Nとを送信データとしてセットする。そして、ステップ３０では、セットした送信データを車両Ａに送信する。

車両Ａで行われるスレッド（３）では、ステップ３２で制御サーバ１０からの送信データを受信する。そして、ステップ３４では、受信したデータから特殊モード用制御信号Ｘ_NとＭＡＣ値Ｍ_Nとを抽出する。本実施形態では、制御サーバ１０から送られてきた特殊モード制御信号Ｘ_Nに、専用のＭＡＣ鍵Ｋを用いた際に生成されるメッセージ認証子であるＭＡＣ値Ｍ_Nが付属している場合のみ、特殊モード制御信号Ｘ_Nの制御を行う。

ステップ３６では、ＭＡＣ鍵Ｋを用い、制御サーバ１０から送られてきた特殊モード用制御信号Ｘ_Nに対してブロック暗号に基づくメッセージ認証符号アルゴリズムであるＣＭＡＣ演算を行う。そして、ステップ３８では、ＭＡＣ値Ｍ'_Nを生成する。

ステップ４０では、制御サーバ１０から送られてきたＭＡＣ値Ｍ_Nと、車両Ａで特殊モード用制御信号Ｘ_Nから生成したＭＡＣ値Ｍ'_Nとが一致するか否かを判定する。ステップ４０で、ＭＡＣ値Ｍ_NとＭＡＣ値Ｍ'_Nとが一致する場合は手順をステップ４２に移行し、ＭＡＣ値Ｍ_NとＭＡＣ値Ｍ'_Nとが一致しない場合は手順をステップ４４に移行する。

ステップ４２では、特殊モード用制御信号Ｘ_Nを実行して手順をステップ４６に移行する。ステップ４４では、特殊モード用制御信号Ｘ_Nを破棄して手順をステップ４６に移行する。

ステップ４６では、制御サーバ１０からの次のデータ受信を待機して、手順をステップ２０に移行する。

制御サーバ１０で行われるスレッド（４）では、ステップ４８で使用済みのＭＡＣ鍵Ｋを削除する。ステップ４８では、車両Ａが工場等の拠点の外に出たことをＧＰＳ（Global Positioning System）装置等の車両Ａの現在位置を測位可能な装置によって検知した際に、ＭＡＣ鍵Ｋを削除してもよい。そして、ステップ５０で、特殊モードによる制御を終了する。

本実施形態では、特殊モードで使用する通信にメッセージ認証を導入している。メッセージ認証は、遠隔からの車両ハッキング対策としてＶ２Ｘ等の車両通信に用いられているが、本実施形態では、遠隔からの車両ハッキング対策用のメッセージ認証の鍵とは別の鍵を使用して、特殊モードの制御信号の認証を行う。

特殊モードで使用するＭＡＣ鍵Ｋは、各々の車両で完全に乱数とすることにより、攻撃者による鍵の予想を困難にしている。

車両は、制御サーバ１０から送られてきた特殊モード制御信号Ｘ_Nに、専用のＭＡＣ鍵Ｋを用いた際に生成されるメッセージ認証子であるＭＡＣ値Ｍ_Nが付属している場合のみ、特殊モード制御信号Ｘ_Nの制御を行う。

特殊モードの制御に用いるＭＡＣ鍵Ｋは、車両では車両内のセキュアストレージに、制御サーバ１０ではＨＤＤ５６等のストレージに各々格納する。特殊モードでの制御が終了した後は、制御サーバ１０内に格納されているＭＡＣ鍵Ｋを削除するので、ＭＡＣ鍵Ｋは車両のセキュアストレージ以外には存在しなくなり、結果として特殊モードでの制御が無効化された状態と等価となる。車両のセキュアストレージはデータの完全性及び機密性を保護する機能を有しているので、機密漏洩のリスクは低い。しかしながら、さらに万全のセキュリティを期すために、特殊モードでの制御を要しなくなった場合に、セキュアストレージ内のＭＡＣ鍵Ｋを破棄するようにしてもよい。セキュアストレージ内のＭＡＣ鍵Ｋを破棄する場合は、例えば、外部から車両の出荷通知がされた場合等である。車両に対して出荷通知がなされた場合に演算装置１４はセキュアストレージ内のＭＡＣ鍵Ｋを破棄する。又は、車両に対して出荷通知がなされた場合に演算装置１４は、セキュアストレージ内のＭＡＣ鍵Ｋを破棄する指令を生成し、当該指令に基づいてセキュアストレージ内のＭＡＣ鍵Ｋを破棄してもよい。

また、本実施形態では、車両内の制御ソフトウェアを出荷検査時から変更せず、車両が工場等の拠点内に存在する場合にメッセージ認証により特殊モードでの制御を許容することにより、車両の再度の検査を要しない。

以上説明したように、本実施形態によれば、限定的な領域内で車両に対して許容した特殊モードの機能を、当該車両が当該領域の外を走行する際に安全に無効化できる。

［第２実施形態］
続いて、第２実施形態について説明する。本実施形態は、ＭＡＣ鍵Ｋ_αを制御サーバ１０で生成し、複数の車両Ａ、Ｂの各々で特殊モードの制御を行う点で第１実施形態と相違する。

図７は、制御サーバ１０と複数の車両Ａ、Ｂとの各々における処理の一例を示したフローチャートである。図７は、制御サーバ１０における処理であるスレッド（１）、（３）、（５）と車両Ａ、Ｂにおける処理であるスレッド（２）、（４）と、を含む。

制御サーバ１０で行われるスレッド（１）では、ステップ１００で、自動運転等の特殊モードαを開始する。ステップ１０２では、特殊モード制御に用いるＭＡＣ鍵Ｋ_αを乱数で生成する。

ステップ１０４では、生成したＭＡＣ鍵Ｋ_αを制御サーバ１０内のＨＤＤ５６等のストレージに格納する。制御サーバ１０では、使用済みのＭＡＣ鍵Ｋ_αは削除するので、ＭＡＣ鍵Ｋ_αを格納する記憶装置は、セキュアストレージ等の、データの完全性及び機密性を保護する機能を有したストレージでなくてもよい。

ステップ１０６では、生成したＭＡＣ鍵Ｋ_αを車両Ａ、Ｂの各々に送信する。ＭＡＣ鍵Ｋ_αの送信は、セキュリティを担保するために原則として有線通信で行うが、通信内容の暗号化等により、セキュリティが担保されるのであれば、無線通信を用いてもよい。

車両Ａ、Ｂの各々で行われるスレッド（２）では、ステップ１０８Ａ、１０８ＢでＭＡＣ鍵Ｋ_αを車両Ａ、Ｂ内のセキュアストレージに格納する。

制御サーバ１０で行われるスレッド（３）では、ステップ１１０で、制御を継続するか否かを判定する。外部から制御継続の指令が入力される等により制御を継続する場合は手順をステップ１１２に移行し、制御を継続しない場合は手順をステップ１３８に移行する。

ステッ１１２では、特殊モード用制御信号Ｘ_Nが入力される。特殊モード用制御信号Ｘ_Nの添え字のＮは、一例として、１以上の自然数であり、特殊モードが複数種類存在する場合の識別子である。

ステップ１１４では、ＭＡＣ鍵Ｋ_αを用い、特殊モード用制御信号Ｘ_Nに対してブロック暗号に基づくメッセージ認証符号アルゴリズムであるＣＭＡＣ演算を行う。そして、ステップ２６では、ＭＡＣ値Ｍ_Nを生成する。

ステップ１１８では、特殊モード用制御信号Ｘ_Nと、ＭＡＣ値Ｍ_Nとを送信データとしてセットする。そして、ステップ１２０では、セットした送信データを車両Ａ、Ｂの各々に送信する。

車両Ａ、Ｂの各々で行われるスレッド（４）では、ステップ１２２Ａ、１２２Ｂで制御サーバ１０からの送信データを受信する。そして、ステップ１２４Ａ、１２４Ｂでは、受信したデータから特殊モード用制御信号Ｘ_NとＭＡＣ値Ｍ_Nとを抽出する。

ステップ１２６Ａ、１２６Ｂでは、ＭＡＣ鍵Ｋ_αを用い、制御サーバ１０から送られてきた特殊モード用制御信号Ｘ_Nに対してブロック暗号に基づくメッセージ認証符号アルゴリズムであるＣＭＡＣ演算を行う。そして、ステップ１２８Ａ、１２８Ｂでは、ＭＡＣ値Ｍ'_Nを生成する。

ステップ１３０Ａ、１３０Ｂでは、制御サーバ１０から送られてきたＭＡＣ値Ｍ_Nと、車両Ａ、Ｂの各々で特殊モード用制御信号Ｘ_Nから生成したＭＡＣ値Ｍ'_Nとが一致するか否かを判定する。ステップ１３０Ａ、１３０Ｂで、ＭＡＣ値Ｍ_NとＭＡＣ値Ｍ'_Nとが一致する場合は手順をステップ１３２Ａ、１３２Ｂに移行し、ＭＡＣ値Ｍ_NとＭＡＣ値Ｍ'_Nとが一致しない場合は手順をステップ１３４Ａ、１３４Ｂに移行する。

ステップ１３２Ａ、１３２Ｂでは、特殊モード用制御信号Ｘ_Nを実行して手順をステップ１３６Ａ、１３６Ｂに移行する。ステップ１３４Ａ、１３４Ｂでは、特殊モード用制御信号Ｘ_Nを破棄して手順をステップ１３６Ａ、１３６Ｂに移行する。

ステップ１３６Ａ（又はステップ１３６Ｂ）では、制御サーバ１０からの次のデータ受信を待機して、手順をステップ１１０に移行する。

制御サーバ１０で行われるスレッド（５）では、ステップ１３８で使用済みのＭＡＣ鍵Ｋを削除する。そして、ステップ１４０で、特殊モードによる制御を終了する。

以上説明したように、本実施形態は、複数の車両に対して同時並行的に特殊モードでの制御を行うことができ、作業の迅速化及び作業手順の簡素化が可能となる。

特殊モードの制御に用いるＭＡＣ鍵Ｋ_αは、車両では車両内のセキュアストレージに、制御サーバ１０ではＨＤＤ５６等のストレージに各々格納する。特殊モードでの制御が終了した後は、制御サーバ１０内に格納されているＭＡＣ鍵Ｋ_αを削除するので、ＭＡＣ鍵Ｋ_αは車両のセキュアストレージ以外には存在しなくなり、結果として特殊モードでの制御が無効化された状態と等価となる。車両のセキュアストレージはデータの完全性及び機密性を保護する機能を有しているので、機密漏洩のリスクは低い。しかしながら、さらに万全のセキュリティを期すために、特殊モードでの制御を要しなくなった場合に、セキュアストレージ内のＭＡＣ鍵Ｋ_αを破棄するようにしてもよい。

なお、特許請求の範囲に記載の車両制御部は、明細書の発明の詳細な説明に記載の「演算装置１４」及び「車両ＥＣＵ１６」に、同「共通鍵」は明細書の発明の詳細な説明に記載の「ＭＡＣ鍵Ｋ」及び「ＭＡＣ鍵Ｋ_α」に、同「メッセージ認証子」は明細書の発明の詳細な説明に記載の「ＭＡＣ値Ｍ_N」及び「ＭＡＣ値Ｍ'_N」に各々該当する。

なお、上記各実施形態でＣＰＵがソフトウェア（プログラム）を読み込んで実行した処理を、ＣＰＵ以外の各種のプロセッサが実行してもよい。この場合のプロセッサとしては、ＦＰＧＡ（Ｆｉｅｌｄ－ＰｒｏｇｒａｍｍａｂｌｅＧａｔｅＡｒｒａｙ）等の製造後に回路構成を変更可能なＰＬＤ（ＰｒｏｇｒａｍｍａｂｌｅＬｏｇｉｃＤｅｖｉｃｅ）、及びＡＳＩＣ（ＡｐｐｌｉｃａｔｉｏｎＳｐｅｃｉｆｉｃＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）等の特定の処理を実行させるために専用に設計された回路構成を有するプロセッサである専用電気回路等が例示される。また、処理を、これらの各種のプロセッサのうちの１つで実行してもよいし、同種又は異種の２つ以上のプロセッサの組み合わせ（例えば、複数のＦＰＧＡ、及びＣＰＵとＦＰＧＡとの組み合わせ等）で実行してもよい。また、これらの各種のプロセッサのハードウェア的な構造は、より具体的には、半導体素子等の回路素子を組み合わせた電気回路である。

また、上記各実施形態では、プログラムがディスクドライブ６０等に予め記憶（インストール）されている態様を説明したが、これに限定されない。プログラムは、ＣＤ－ＲＯＭ（ＣｏｍｐａｃｔＤｉｓｋＲｅａｄＯｎｌｙＭｅｍｏｒｙ）、ＤＶＤ－ＲＯＭ（ＤｉｇｉｔａｌＶｅｒｓａｔｉｌｅＤｉｓｋＲｅａｄＯｎｌｙＭｅｍｏｒｙ）、及びＵＳＢ（ＵｎｉｖｅｒｓａｌＳｅｒｉａｌＢｕｓ）メモリ等の非一時的（ｎｏｎ－ｔｒａｎｓｉｔｏｒｙ）記憶媒体に記憶された形態で提供されてもよい。また、プログラムは、ネットワークを介して外部装置からダウンロードされる形態としてもよい。

１０制御サーバ
１２入出力装置
１４演算装置
１６車両ＥＣＵ
１８記憶装置
２０乱数生成部
２２ＣＭＡＣ演算部
２４比較部
２６出力部
４０コンピュータ
４２ＣＰＵ
４４ＲＯＭ
４６ＲＡＭ
４８入出力ポート
５０ディスプレイ
５２マウス
５４キーボード
７２乱数生成部
７４ＣＭＡＣ演算部
７６出力部
１００車両制御システム
２００車両

Claims

車両に搭載され、前記車両を制御する車両制御部と、
前記車両を、自動運転を含む特殊モードで制御するための制御信号を前記車両制御部に出力する制御サーバと、を含み、
前記車両制御部は、乱数生成により特殊モード制御用の共通鍵を生成して前記制御サーバに出力すると共に、生成した前記共通鍵をデータの完全性及び機密性を保護する機能を有したセキュアストレージに格納し、
前記制御サーバは、前記車両制御部が出力した前記共通鍵を記憶部に格納すると共に、前記共通鍵を前記制御信号に適用して生成した前記制御信号のメッセージ認証子と前記制御信号とを前記車両制御部に出力し、
前記車両制御部は、前記制御サーバが出力した前記制御信号に前記セキュアストレージに格納した前記共通鍵を適用して生成したメッセージ認証子と、前記制御サーバが出力したメッセージ認証子とが一致する場合に前記制御信号による前記特殊モードでの制御を実行し、
前記制御サーバは、前記特殊モードでの制御を終了する際に前記記憶部に格納した前記共通鍵を削除する車両制御システム。
複数の車両の各々に搭載され、前記車両を制御する車両制御部と、
前記車両を、自動運転を含む特殊モードで制御するための制御信号を前記車両制御部に出力する制御サーバと、を含み、
前記制御サーバは、乱数生成により特殊モード制御用の共通鍵を生成して前記複数の車両の前記車両制御部に出力すると共に、生成した前記共通鍵を記憶部に格納し、
前記複数の車両の前記車両制御部は、前記制御サーバが出力した前記共通鍵をデータの完全性及び機密性を保護する機能を有したセキュアストレージに各々格納し、
前記制御サーバは、前記記憶部に格納した前記共通鍵を前記制御信号に適用して生成した前記制御信号のメッセージ認証子と前記制御信号とを前記複数の車両の車両制御部に各々出力し、
前記複数の車両の車両制御部は、前記制御サーバが出力した前記制御信号に前記セキュアストレージに格納した前記共通鍵を適用して生成したメッセージ認証子と、前記制御サーバが出力したメッセージ認証子とが一致する場合に前記制御信号による前記特殊モードでの制御を各々実行し、
前記制御サーバは、前記特殊モードでの制御を終了する際に前記記憶部に格納した前記共通鍵を削除する車両制御システム。
前記特殊モードでの制御は、前記車両が所定の拠点内に存在する場合に実行され、
前記車両は、現在位置を測位可能な装置を備え、前記現在位置を前記制御サーバに出力し、
前記制御サーバは、前記車両の前記現在位置が前記所定の拠点外となった場合に前記共通鍵を削除する請求項１又は２に記載の車両制御システム。
前記車両制御部は、前記特殊モードでの制御を要しなくなった場合に、前記セキュアストレージに格納した前記共通鍵を削除する請求項１～３のいずれか１項に記載の車両制御システム。
前記車両制御部は、前記車両の出荷通知がされた場合に前記セキュアストレージに格納した前記共通鍵を削除する請求項４に記載の車両制御システム。