JP2023125813A - 車載装置、プログラム及び情報処理方法 - Google Patents

Abstract

【課題】搭載する処理部に対し効率的にセキュリティ対策を行うことができる車載装置等を提供する。【解決手段】車載装置は、車載装置は、車載ネットワークを有する車両に搭載される車載装置であって、前記車載ネットワークに接続される第１処理部と、前記第１処理部と通信可能に接続される第２処理部とを備え、前記第１処理部は、前記第２処理部に対しセキュリティ検証を行う。【選択図】図１

Description

本発明は、車載装置、プログラム及び情報処理方法に関する。

車両に搭載され、複数のマイコンを備えつつ、通信バスの異常を検出できる電子制御装置が開示されている（例えば特許文献１）。特許文献１の電子制御装置は、通信バスに接続された複数のノードの一つであり、通信バスに流れている伝送信号を受信すると共に、通信バスに送信信号を送信する第１マイコンと第２マイコンを備え、通信バスに送信する送信信号が通信バスを介することなく各マイコンに送信され、各マイコンが送信信号を受信するように構成されている。

特開２０１６－１２６７１６号公報

しかしながら、特許文献１の電子制御装置においては、当該電子制御装置に含まれるマイコンに対し、効率的にセキュリティ対策を行う点が考慮されていないという問題点がある。

本開示は、搭載する処理部に対し効率的にセキュリティ対策を行うことができる車載装置等を提供することを目的とする。

本開示の一態様に係る車載装置は、車載装置は、車載ネットワークを有する車両に搭載される車載装置であって、前記車載ネットワークに接続される第１処理部と、前記第１処理部と通信可能に接続される第２処理部とを備え、前記第１処理部は、前記第２処理部に対しセキュリティ検証を行う。

本開示の一態様によれば、搭載する処理部に対し効率的にセキュリティ対策を行う車載装置等を提供することできる。

実施形態１に係る車載システムのシステム構成を例示する模式図である。 車載システムに含まれ車載装置の内部構成を例示するブロック図である。 車載装置の第１処理部及び第２処理部の処理を例示するフローチャートである。 実施形態２（復帰信号）に係る車載装置の第１処理部及び第２処理部の処理を例示するフローチャートである。 実施形態３（アクチュエータに接続）に係る車載システムのシステム構成を例示する模式図である。

［本開示の実施形態の説明］
最初に本開示の実施態様を列挙して説明する。また、以下に記載する実施形態の少なくとも一部を任意に組み合わせてもよい。

（１）本開示の一態様に係る車載装置は、車載ネットワークを有する車両に搭載される車載装置であって、前記車載ネットワークに接続される第１処理部と、前記第１処理部と通信可能に接続される第２処理部とを備え、前記第１処理部は、前記第２処理部に対しセキュリティ検証を行う。

本態様にあたっては、車載装置は、第１処理部及び第２処理部を備え、これら処理部それぞれは、例えば別個のマイコン等により構成される。車載ネットワークに接続される第１処理部は、第２処理部に対しセキュリティ検証を行うものであり、当該第２処理部に対する監視機能を発揮する。従って、第２処理部が、例えば、ＯＴＡサーバ又はダイアグ装置等、車両の外部に位置する車外装置と通信する場合、第２処理部に対し車外からの不正なアクセス又はデータが送信された場合であっても、第１処理部が第２処理部に対しセキュリティ検証を行うにより、第２処理部の完全性（正常性）を担保することができる。このように単一の車載装置に、第１処理部及び第２処理部を構成する複数のマイコン等が実装される場合であっても、車載ネットワークに接続される第１処理部が、当該車載ネットワークに直接的に接続されない第２処理部（他の処理部）に対するセキュリティ検証を効率的に行うことができる。

（２）本開示の一態様に係る車載装置は、前記第１処理部は、前記セキュリティ検証に対する前記第２処理部からの応答データを取得し、取得した応答データに基づき、前記第２処理部が正常であるか否かを判定する。

本態様にあたっては、第１処理部は、第２処理部に対するセキュリティ検証を行うあたり、第２処理部から応答データを取得し、当該応答データに対するセキュリティ検証の結果に基づき、第２処理部が正常であるか否かを判定する。第１処理部は、例えば、応答データに基づき生成されるハッシュ値を記憶部に予め記憶しておき、予め記憶されているハッシュ値（正解値）と、セキュリティ検証のために第２処理部から取得した応答データに基づき生成（変換）したハッシュ値とを対比することにより、当該取得した応答データが正常であるか異常であるかを判定するものであってもよい。第１処理部は、応答データが正常である場合、第２処理部は正常であると判定し、応答データが異常である場合、第２処理部は異常であると判定する。応答データを取得できなかった場合についても、第１処理部は、第２処理部が異常であると判定するものであってもよい。このように第２処理部から取得した応答データに対するセキュリティ検証の結果を用いることにより、第２処理部に対しセキュリティ検証を効率的に行うことができる。

（３）本開示の一態様に係る車載装置は、前記第１処理部は、チャレンジレスポンス方式を用いて、前記第２処理部に対しセキュリティ検証を行う。

本態様にあたっては、第１処理部は、チャレンジレスポンス方式を用いることにより、ランダムに生成したチャレンジ情報を第２処理部に送信すると共に、当該チャレンジ情報に対応するレスポンス情報を生成する。第２処理部は、第１処理部から出力されたチャレンジ情報、及び第２処理部にて設定されているパスワードからハッシュ値を生成（変換）することでレスポンス情報を生成し、第１処理部に出力する。第１処理部は、第２処理部から出力されたレスポンス情報と、自身がチャレンジ情報から生成したレスポンス情報とを対比し、同一であれば認証（チャレンジレスポンス認証）を成功させることにより、セキュリティ検証を行う。このようにチャレンジレスポンス方式を用いることにより、第２処理部に対しセキュリティ検証を効率的に行うことができる。

（４）本開示の一態様に係る車載装置は、前記第１処理部は、前記第２処理部からの検証依頼に応じて、前記第２処理部に対しセキュリティ検証を行う。

本態様にあたっては、第２処理部は、第１処理部に対し、例えば周期的又は定期的に検証依頼を行い（認証要求を出力）、第１処理部は、第２処理部からの検証依頼に応じて第２処理部に対しセキュリティ検証を行う。これにより、第１処理部は、第２処理部からの検証依頼を、セキュリティ検証を開始するトリガーとすることができ、第２処理部に対するセキュリティ検証を行う際のスケジューリング又はタイミング制御に関する処理を不要とし、第１処理部における負荷を低減することができる。従って、第１処理部がセキュリティ検証を担う第２処理部（他の処理部）が複数個ある場合であっても、これら複数の第２処理部からの検証依頼に応じることにより、第２処理部に対しセキュリティ検証を効率的に行うことができる。

（５）本開示の一態様に係る車載装置は、前記第１処理部は、前記第２処理部からの検証依頼を所定期間、取得しなかった場合、前記第２処理部は異常であると判定する。

本態様にあたっては、第２処理部が周期的に検証依頼を第１処理部に出力するように構成されている際、第１処理部が第２処理部からの検証依頼を所定期間、取得しなかった場合、第２処理部は例えば車外からの不正なアクセス等（セキュリティ攻撃）によって異常な状態にあることが想定される。このような場合であっても、第１処理部は、第２処理部からの検証依頼を所定期間、取得しなかったことにより、当該第２処理部は異常であると判定するため、第２処理部に対するセキュリティ検証を効率的に行うことができる。

（６）本開示の一態様に係る車載装置は、前記第２処理部は、前記車両外の外部装置からの車外通信データを取得し、前記第１処理部及び前記第２処理部は、前記車外通信データが流れるデータ用通信ラインと、前記セキュリティ検証のためのデータが流れる検証用通信ラインとにより接続される。

本態様にあたっては、第１処理部と第２処理部との間の通信回路として、データ用通信ライン及び検証用通信ラインとによる並列回路が構成され、二重化される。これにより、データ用通信ラインを用いた中継処理等に対する影響を及ぼすことなく、検証用通信ラインを用いたセキュリティ検証を行うことができる。

（７）本開示の一態様に係る車載装置は、前記第１処理部は、前記セキュリティ検証の結果に基づき、前記第２処理部は異常であると判定した場合、前記第２処理部を非活性化するための処理を行う。

本態様にあたっては、第１処理部は、セキュリティ検証の結果に基づき、第２処理部は異常であると判定した場合、第２処理部を非活性化するため、異常な状態にある第２処理部を車載ネットワークから実質的に切り離し、当該第２処理部によって車両の制御（車両システム）に影響が発生することを防止することができる。当該第２処理部の非活性化を行うあたり、第１処理部は、第２処理部への電力供給の遮断、第２処理部の強制的停止（シャットダウン）、第２処理部とのデータ用通信ラインの遮断、又は当該データ用通信ラインに接続される通信ポート（車内通信部）の無効化を行うものであってもよい。

（８）本開示の一態様に係る車載装置は、前記第１処理部は、前記セキュリティ検証の結果に基づき、前記第２処理部は異常であると判定した場合、前記第２処理部を復帰させるための復帰処理を行う。

本態様にあたっては、第１処理部は、セキュリティ検証の結果に基づき、第２処理部は異常であると判定した場合、第２処理部への電力の遮断及び再供給による第２処理部の再起動、第２処理部に対し復帰信号を出力等、復帰処理を行う。これにより、例えば車外からの不正なアクセス等（セキュリティ攻撃）によって異常な状態となった第２処理部を正常な状態に遷移（復帰）させることができる。当該第２処理部に対する復帰信号は、例えば、第２処理部のリブート、初期化、又は、第１処理部の記憶部に予め記憶されているプログラム及び当該プログラムの実行指示を含む信号であってもよい。第１処理部は、復帰信号を第２処理部に対し、複数回（所定回数）に亘って出力したにもかからず、第２処理部に対するセキュリティ検証の結果（検証結果）が異常となることが継続した場合、第２処理部を非活性化するものであってもよい。

（９）本開示の一態様に係る車載装置は、前記車載ネットワークには、複数の車載ＥＣＵが接続され、前記第１処理部は、前記第２処理部から取得したデータを、前記車載ネットワークを介して前記車載ＥＣＵに中継する。

本態様にあたっては、第１処理部は、第２処理部が取得したデータを、車載ネットワークを介して車載ＥＣＵに中継するため、車載装置を中継装置として機能させることができる。また、第１処理部には、車載ネットワークを構成する複数の通信ケーブル（ＣＡＮバス等）が接続され、これら複数の通信ケーブルそれぞれに接続される車載ＥＣＵ間にて送受信されるデータを中継するものであってもよい。

（１０）本開示の一態様に係る情報処理方法は、車載ネットワークを有する車両に搭載され、前記車載ネットワークに接続される第１処理部と、前記第１処理部と通信可能に接続される第２処理部とを備えるコンピュータに、前記第１処理部にて、前記第２処理部に対しセキュリティ検証を行う。

本態様にあたっては、コンピュータを、搭載する処理部に対し効率的にセキュリティ対策を行う車載装置として、機能させる情報処理方法を提供することができる。

（１１）本開示の一態様に係るプログラムは、車載ネットワークを有する車両に搭載され、前記車載ネットワークに接続される第１処理部と、前記第１処理部と通信可能に接続される第２処理部とを備えるコンピュータに、前記第１処理部にて、前記第２処理部に対しセキュリティ検証を行う。

本態様にあたっては、コンピュータを、搭載する処理部に対し効率的にセキュリティ対策を行う車載装置として、機能させるプログラム提供することができる。

［本開示の実施形態の詳細］
本開示をその実施の形態を示す図面に基づいて具体的に説明する。本開示の実施形態に係る車載システムＳを、以下に図面を参照しつつ説明する。なお、本開示はこれらの例示に限定されるものではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

（実施形態１）
以下、実施の形態について図面に基づいて説明する。図１は、実施形態１に係る車載システムＳのシステム構成を例示する模式図である。図２は、車載システムＳに含まれ車載装置２の内部構成を例示するブロック図である。車載システムＳは、車両Ｃに搭載される車載装置２及び複数の車載ＥＣＵ４を含み、これら車載装置２及び複数の車載ＥＣＵ４は、ＣＡＮバス等の通信ケーブル３１により構成される車載ネットワーク３を介して通信可能に接続される。車載ＥＣＵ４には、モータ等のアクチュエータ５（図５参照）、又はランプ、センサ等の車載機器が接続される。車載装置２は、車載ネットワーク３に接続される複数の車載ＥＣＵ４間において、送受信されるデータを中継する中継装置として機能するものであってもよい。

車載装置２には、外部ネットワークを介して通信するための車外通信装置１が接続される。車載装置２は、車外通信装置１及び外部ネットワークを介して、外部サーバ１００又は携帯端末等と通信する。当該外部サーバ１００は、例えばインターネット又は公衆回線網等の車外ネットワークに接続されているサーバ等のコンピュータであり、更新プログラムの提供を行うＯＴＡ（Over The Air）サーバであってもよい。

車外通信装置１は、無線通信部（図示せず）及び、車載装置２と通信するための通信Ｉ／Ｆを含む。無線通信部は、４Ｇ、ＬＴＥ（Long Term Evolution／登録商標）、５Ｇ、ＷｉＦｉ（登録商標）等の移動体通信のプロトコルを用いて無線通信をするための通信装置であり、車外通信部２２３に接続されたアンテナ１１を介して外部サーバ１００とデータの送受信を行う。通信Ｉ／Ｆは、車載装置２と、例えばシリアル通信するための通信インターフェイス、又はＣＡＮ通信するためのＣＡＮトランシーバであってもよい。車外通信装置１と外部サーバ１００との通信は、例えば公衆回線網又はインターネット等の外部ネットワークを介して行われる。本実施形態では、車外通信装置１は、車載装置２と別装置とし、通信Ｉ／Ｆ等によってこれら装置を通信可能に接続しているが、これに限定されない。車外通信装置１は、車載装置２の一構成部位として、車載装置２に内蔵されるものであってもよい。この場合、第２処理部２２（車外側マイコン）が車外通信装置１の機能を有するものであってもよい。

車載装置２には、車両Ｃの検査等の際に用いられるダイアグ装置１０１が接続されるものであってもよい。更に、車載装置２は、ＬＦアンテナ及びＲＦアンテナと接続され、スマートキーから発信された信号を受信するものであってもよい。このように車載装置２には車両Ｃ外に位置する外部装置が、直接的又は間接的に接続され、車載装置２は、当該外部装置から出力（送信）されたデータ（車外通信データ）を車載ネットワーク３に接続される車載ＥＣＵ４に中継する中継装置としても機能する。すなわち、車載装置２は、車載ネットワーク３内における車載ＥＣＵ４間のデータの中継処理、及び車両Ｃ外に位置する外部装置と、これら車載ＥＣＵ４との間でのデータの中継処理を行う。

このように中継装置として機能する車載装置２は、車載ネットワーク３に接続される第１処理部２１と、車載ネットワーク３には直接的に接続されず、外部装置から送信されるデータを受信する第２処理部２２とを備える。第１処理部２１及び第２処理部２２のそれぞれの処理部が例えばマイコンで構成される場合、第１処理部２１は車内側マイコンに相当し、第２処理部２２は車外側マイコンに相当する。

これら第１処理部２１（車内側マイコン）及び第２処理部２２（車外側マイコン）は、例えばチャレンジレスポンス方式を用いたセキュリティ機能が実装されており、第１処理部２１は、当該セキュリティ機能を用いて第２処理部２２を定期的にセキュリティ検証（セキュリティ処置）することにより、第２処理部２２の状態を監視する。外部装置による車両Ｃ外からのデータの流れ方向において、車外側（上流側）となる第２処理部２２（車外側マイコン）に対し、車内側（下流側）に位置する第１処理部２１（車内側マイコン）がセキュリティ処置を行うことにより、第２処理部２２（車外側マイコン）の完全性を担保し、車外からのセキュリティ攻撃に対する耐性を備えることができる。

車載装置２は、例えば、制御系ＥＣＵ等の車載機器、安全系ＥＣＵ等の車載機器及び、ＢＣＵ（Body Control Unit）等のボディ系の車載機器など、複数系統のセグメントを統括し、これらセグメント間での車載機器同士の通信を中継する。車載装置２は、例えばゲートウェイ又はイーサスイッチであり、レイヤ２スイッチ、レイヤ３スイッチ又はＣＡＮゲートウェイとして機能するものであってもよい。又は、車載装置２は、例えばヴィークルコンピュータ等の中央制御装置で構成され、車両Ｃ全体を制御する統合ＥＣＵであってもよい。

車載装置２は、第１処理部２１及び第２処理部２２を含む。車外側に位置する第２処理部２２は、外部サーバ１００又はダイアグ装置１０１等の外部装置から送信されたデータの受信、及びこれら外部装置へのデータの送信を行う。車内側に位置する第１処理部２１は、車載ネットワーク３に接続される車載ＥＣＵ４間にて送受信されるデータの中継処理に加え、第２処理部２２が受信した外部装置からのデータの車載ＥＣＵ４への中継処理、すなわち車載ＥＣＵ４と第２処理部２２との間での中継処理を行う。

本実施形態において、車載ネットワーク３に直接的に接続され、車内側に位置する第１処理部２１は一つとしているが、これに限定されず、車載ネットワーク３に直接的に接続される第１処理部２１（車内側処理部）は、複数個であってもよい。本実施形態において、車載ネットワーク３に直接的に接続されず、車外側に位置する第２処理部２２は一つとしているが、これに限定されず、車載ネットワーク３に直接的に接続されず、車外側に位置する第２処理部２２（車外側処理部）は、複数個であってもよい。この場合、第１処理部２１は、複数の第２処理部２２それぞれに対し、セキュリティ検証を行うものであってもよい。

これら第１処理部２１及び第２処理部２２は、データ用通信ライン２０１と検証用通信ライン２０３とによって、通信可能に接続される。すなわち、第１処理部２１と第２処理部２２との間の通信回路として、データ用通信ライン２０１及び検証用通信ライン２０３とによる並列回路が構成され、車載装置２は、このように二重化された通信回路を有する。

第１処理部２１は、例えばマイコンにより構成され、第１制御部２１１、第１記憶部２１２、及び車内通信部２１３を含む。第１制御部２１１は、例えば、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processing Unit）等により構成してあり、第１記憶部２１２に予め記憶されたプログラムＰ（プログラム製品）及びデータを読み出して実行することにより、種々の制御処理及び演算処理等を行う。

第１記憶部２１２は、例えば、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子又は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成してあり、プログラムＰ（プログラム製品）及び処理時に参照するデータが予め記憶してある。第１記憶部２１２に記憶されたプログラムＰ（プログラム製品）は、車載装置２が読み取り可能な記録媒体Ｍから読み出されたプログラムＰ（プログラム製品）を記憶したものであってもよい。また、図示しない通信網に接続されている図示しない外部コンピュータからプログラムＰ（プログラム製品）をダウンロードし、第１記憶部２１２に記憶させたものであってもよい。

車内通信部２１３は、例えばＣＡＮトランシーバにより構成され、ＣＡＮの通信プロトコルを用いた入出力インターフェイスである。又は、車内通信部２１３は、イーサネットＰＨＹにより構成され、イーサネット（Ethernet／登録商標）の通信プロトコルを用いた入出力インターフェイスであってもよい。第１処理部２１は、車内通信部２１３を介して、車載ネットワーク３に接続される車載ＥＣＵ４と通信可能に接続される。

第２処理部２２は、例えばマイコンにより構成され、第２制御部２２１、第２記憶部２２２、及び車外通信部２２３を含む。第２制御部２２１は、例えば、ＣＰＵ（Central Processing Unit）又はＭＰＵ（Micro Processing Unit）等により構成してあり、第２記憶部２２２に予め記憶されたプログラムＰ（プログラム製品）及びデータを読み出して実行することにより、種々の制御処理及び演算処理等を行う。

第２記憶部２２２は、例えば、ＲＡＭ（Random Access Memory）等の揮発性のメモリ素子又は、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）若しくはフラッシュメモリ等の不揮発性のメモリ素子により構成してあり、プログラムＰ（プログラム製品）及び処理時に参照するデータが予め記憶してある。第２記憶部２２２に記憶されたプログラムＰ（プログラム製品）は、車載装置２が読み取り可能な記録媒体Ｍから読み出されたプログラムＰ（プログラム製品）を記憶したものであってもよい。また、図示しない通信網に接続されている図示しない外部コンピュータからプログラムＰ（プログラム製品）をダウンロードし、第２記憶部２２２に記憶させたものであってもよい。

車外通信部２２３は、例えばＣＡＮトランシーバにより構成され、ＣＡＮの通信プロトコルを用いた入出力インターフェイスである。又は、車内通信部２１３は、イーサネットＰＨＹにより構成され、イーサネット（Ethernet／登録商標）の通信プロトコルを用いた入出力インターフェイスであってもよい。第２処理部２２は、車外通信部２２３を介して、外部サーバ１００（車外通信装置１）又はダイアグ装置１０１と通信可能に接続される。

本実施形態において、第１処理部２１及び第２処理部２２のそれぞれは、別個のマイコンにより構成されるとしたが、これに限定されない。車載装置２は、例えば、複数のＣＰＵから成るマルチＣＰＵを備え、当該マルチＣＰＵにおける個々のＣＰＵが、第１処理部２１及び第２処理部２２として機能するものであってもよい。

第１処理部２１及び第２処理部２２のそれぞれは、更に、データ用通信部２０２及び検証用通信部２０４を含む。第１処理部２１と第２処理部２２とは、それぞれのデータ用通信部２０２に接続されるデータ用通信ライン２０１を介して、通信可能に接続される。これらデータ用通信部２０２が、例えば、ＣＡＮトランシーバで構成される場合、データ用通信ライン２０１はＣＡＮバスにより構成され、第１処理部２１と第２処理部２２との間のデータ通信は、ＣＡＮのプロコトルを用いて行われる。これらデータ用通信部２０２が、例えば、イーサネット（登録商標）ＰＨＹで構成される場合、データ用通信ライン２０１はイーサネットケーブルにより構成され、第１処理部２１と第２処理部２２との間のデータ通信は、ＴＣＰ／ＩＰのプロコトルを用いて行われる。データ用通信ライン２０１を介して流れるデータは、外部サーバ１００又はダイアグ装置１０１等の外部装置と、車載ネットワーク３に接続される車載ＥＣＵ４との間にて送受信されるデータであり、車載装置２によって中継されるデータ（中継対象データ）である。

第１処理部２１と第２処理部２２とは、更に、それぞれの検証用通信部２０４に接続される検証用通信ライン２０３を介して、通信可能に接続される。当該検証用通信ライン２０３は、例えばシリアルケーブルにて構成され、この場合、検証用通信部２０４それぞれは、シリアル通信用ＩＦにて構成される。検証用通信ライン２０３を介した第１処理部２１と第２処理部２２との間のデータ通信は、シリアル通信にて行われる。又は、検証用通信ライン２０３は、例えば、第１処理部２１及び第２処理部２２が実装される基板に設けられたランド等の導電パターンであってもよく、この場合、検証用通信部２０４は、第１処理部２１及び第２処理部２２に設けられた端子により構成される。又は、検証用通信ライン２０３及び検証用通信部２０４は、データ用通信ライン２０１及びデータ用通信部２０２と同様にＣＡＮ又はイーサネットに対応したものであってもよい。

検証用通信ライン２０３を介して流れるデータは、第１処理部２１が第２処理部２２に対し施すセキュリティ検証（セキュリティ処置）に関するデータであり、当該セキュリティ検証としてチャレンジレスポンス方式を用いる場合、認証要求、チャレンジ情報、及びレスポンス情報を含む。更に、検証用通信ライン２０３には、第１処理部２１が第２処理部２２を非活性化する際に出力する非活性化信号、又は第１処理部２１が第２処理部２２を復帰させる際に出力する復帰信号が流れるものであってもよい。

このように第１処理部２１と第２処理部２２との間の通信ラインは、外部装置との間で送受信される車外通信データが流れるデータ中継用のデータ用通信ライン２０１と、セキュリティ検証のためのデータが流れる検証用通信ライン２０３とを、別ライン（別系統）として構成される。これにより、車載装置２が担う中継処理を阻害することなく、すなわち中継装置として機能する車載装置２が実施する従来機能の処理能力を維持（データ中継用の帯域幅を確保）しつつ、当該車載装置２に実装される複数の処理部（マイコン）に対するセキュリティ処置を効率的に行うことができる。

図３は、車載装置２の第１処理部２１及び第２処理部２２の処理を例示するフローチャートである。車載装置２は、例えば車両Ｃが起動状態（ＩＧスイッチがオン）又は停止状態（ＩＧスイッチがオフ）において、定常的に以下の処理を行う。車載装置２の第１処理部２１(車内側マイコン)及び第２処理部２２（車外側マイコン）一連の処理は、互いに連関して行われるものであるが、まずは第１処理部２１(車内側マイコン)による処理を説明し、以降、第２処理部２２（車外側マイコン）による処理を説明する。

第１処理部２１（第１制御部２１１）は、第２処理部２２からの検証依頼を取得したか否かを判定する（Ｓ１０１）。第１処理部２１は、検証用通信ライン２０３を介して第２処理部２２と通信可能に接続されており、当該検証用通信ライン２０３を介して第２処理部２２からの検証依頼（認証要求）に関するデータ又はシグナルを取得（受信）する処理を周規定又は定常的に実施している。第１処理部２１は、当該検証依頼（認証要求）の取得実績に基づき、第２処理部２２からの検証依頼を取得したか否かを判定する。

第１処理部２１は、更にデータ用通信ライン２０１を介して第２処理部２２と通信可能に接続されており、外部サーバ１００等の外部装置から送信され、第２処理部２２が受信したデータ（車外通信データ）は、データ用通信ライン２０１を介して第２処理部２２から第１処理部２１に出力される。このように第１処理部２１と第２処理部２２とは、データ用通信ライン２０１及び検証用通信ライン２０３による異なる通信ラインにて二重化された通信経路にて通信可能に接続されている。これにより、データ用通信ライン２０１を介した車外通信データの中継処理に影響を与えることなく、検証用通信ライン２０３にて、検証依頼（認証要求）の通信等、セキュリティ検証のための処理を行うことができる。

第２処理部２２からの検証依頼（認証要求）を取得していない場合（Ｓ１０１：ＮＯ）、第１処理部２１は、再度Ｓ１０１の処理を実行すべくループ処理を行う。すなわち、第１処理部２１は、第２処理部２２から送信される検証依頼（認証要求）の待受け処理を継続するものであってよい。従って、第１処理部２１は、第２処理部２２から送信される検証依頼（認証要求）の待受け処理等と並行して、データ用通信ライン２０１を介して第２処理部２２との間で送受信されるデータ（車外通信データ）の中継処理を行う。

第２処理部２２からの検証依頼（認証要求）を取得した場合（Ｓ１０１：ＹＥＳ）、第１処理部２１は、第２処理部２２に対し、セキュリティ検証を実施する（Ｓ１０２）。第１処理部２１は、第２処理部２２からの検証依頼（認証要求）に関するデータ又はシグナルを取得（受信）した場合、当該検証依頼をトリガーとして、第２処理部２２に対しセキュリティ検証を実施する。ただし、第１処理部２１は、第２処理部２２からの検証依頼（認証要求）をトリガーにセキュリティ検証を実施するものに限定されず、第１処理部２１自身が所定の周期にて、自発的に第２処理部２２に対しセキュリティ検証を実施（開始）するものであってもよい。第１処理部２１は、第２処理部２２に対するセキュリティ検証と並行して、データ用通信ライン２０１を介して第２処理部２２との間で送受信されるデータ（車外通信データ）の中継処理を行うものであってもよい。

第１処理部２１は、当該セキュリティ検証を行うにあたり、例えば、チャレンジレスポンス方式を用いるものであってもよい。チャレンジレスポンス方式を用いる場合、第１処理部２１は、チャレンジ情報を生成し、生成したチャレンジ情報を第２処理部２２に送信する。更に、第１処理部２１は、当該生成したチャレンジ情報に対応するレスポンス情報についても生成し、生成したレスポンス情報を第１記憶部２１２に記憶する。

本実施形態において、第１処理部２１は、セキュリティ検証としてチャレンジレスポンス方式を用いるとしたが、これに限定されず、第１処理部２１は、予め定められているパスワード認証、又は共通鍵暗号等を用いて、セキュリティ検証を行うものであってもよい。すなわち、第１処理部２１及び第２処理部２２は、共に同種のセキュリティ機能が実装されており、当該セキュリティ機能を用いて、第１処理部２１は、第２処理部２２のセキュリティ検証（セキュリティ処置）を行うものであってもよい。

第１処理部２１は、セキュリティ検証に対する第２処理部２２からの応答データを取得する（Ｓ１０３）。第１処理部２１は、セキュリティ検証として行ったチャレンジ情報の生成及び第２処理部２２への送信に対し、第２処理部２２がチャレンジ情報に基づき生成した応答データを、第２処理部２２から取得（受信）する。

第１処理部２１は、取得した応答データが正当であるか否かを判定する（Ｓ１０４）。例えば、チャレンジレスポンス方式を用いる場合、第１処理部２１は、第２処理部２２から取得（受信）した応答データ（レスポンス情報）と、自身（第１処理部２１）がチャレンジ情報に基づき生成した応答データ（レスポンス情報）とを比較し、これら応答データ（レスポンス情報）が同一であるか否かを判定する。

これら応答データ（レスポンス情報）が同一である場合、第１処理部２１は、第２処理部２２から取得（受信）した応答データ（レスポンス情報）は、正当（正常）であると判定する。この際、第１処理部２１は、第２処理部２２に対するチャレンジレスポンス認証が成功したと判定する。これら応答データ（レスポンス情報）が同一でない場合、すなわち第２処理部２２から取得（受信）した応答データ（レスポンス情報）と、自身（第１処理部２１）がチャレンジ情報に基づき生成した応答データ（レスポンス情報）とが、異なる場合、第１処理部２１は、第２処理部２２から取得（受信）した応答データ（レスポンス情報）は、失当（異常）であると判定する。この際、第１処理部２１は、第２処理部２２に対するチャレンジレスポンス認証が失敗したと判定する。

第１処理部２１は、チャレンジ情報を出力（送信）後、第２処理部２２から所定期間、応答データ（レスポンス情報）を取得できなかった場合についても、応答データ（レスポンス情報）は、失当（異常）であると判定するものであってもよい。第２処理部２２が、例えば車外からの不正なアクセス等（セキュリティ攻撃）によって異常な状態にある場合、チャレンジレスポンス方式に対するセキュリティ機能そのものが、既に失陥していることも想定される。このような場合であっても、レスポンス情報を所定期間、取得できかった際、応答データは失当であると判定することにより、第１処理部２１は、第２処理部２２が異常な状態にあることを効率的に判定することができる。

応答データが正当であると判定した場合（Ｓ１０４：ＹＥＳ）、第１処理部２１は、第２処理部２２は正常であると判定する（Ｓ１０５）。第１処理部２１は、応答データが正当（正常）であると判定した場合、第２処理部２２に対するチャレンジレスポンス認証を成功させ、第２処理部２２は正常であると判定する。第１処理部２１は、当該チャレンジレスポンス認証が成功した旨を示す判定結果を、セキュリティ検証を行った日時又はタイムスタンプ等を示す時点情報と関連付けて、第１記憶部２１２に履歴情報として記憶するものであってもよい。第１処理部２１は、Ｓ１０５の実行後、再度Ｓ１０１からの処理を実行すべくループ処理を行うものであってもよい。

応答データが正当でないと判定した場合（Ｓ１０４：ＮＯ）、第１処理部２１は、第２処理部２２は異常であると判定する（Ｓ１０４１）。第１処理部２１は、応答データが正当でない、すなわち失当（異常）と判定した場合、第２処理部２２に対するチャレンジレスポンス認証を失敗させ、第２処理部２２は異常であると判定する。第１処理部２１は、当該チャレンジレスポンス認証が失敗した旨を示す判定結果を、セキュリティ検証を行った日時又はタイムスタンプ等を示す時点情報と関連付けて、第１記憶部２１２に履歴情報として記憶するものであってもよい。

第１処理部２１は、第２処理部２２を非活性化する（Ｓ１０４２）。第１処理部２１は、セキュリティ検証の結果として異常であると判定した第２処理部２２を非活性化するための処理を行う。当該非活性化するための処理は、例えば、第２処理部２２への電力供給の遮断、第２処理部２２の強制的停止（シャットダウン）、第２処理部２２とのデータ用通信ライン２０１の遮断、又は当該データ用通信ライン２０１に接続される通信ポートの無効化を含む。

非活性化するための処理として第２処理部２２への電力供給の遮断を行う場合、第１処理部２１は、第２処理部２２に対し給電する電力線に設けられたリレー又は半導体スイッチをオフにするものであってもよい。非活性化するための処理として第２処理部２２の強制的停止（シャットダウン）を行う場合、第１処理部２１は、検証用通信ライン２０３を介して、第２処理部２２に対し強制的停止シグナルを出力（送信）するものであってもよい。非活性化するための処理として第２処理部２２とのデータ用通信ライン２０１の遮断を行う場合、第１処理部２１は、データ用通信ライン２０１に設けられたリレー又は半導体スイッチをオフにするものであってもよい。非活性化するための処理としてデータ用通信ライン２０１に接続される通信ポートの無効化を行う場合、第１処理部２１は、自部に設けられたデータ用通信部２０２への電力の供給を停止するものであってもよい。この場合であっても、第１処理部２１は、検証用通信部２０４の活性化状態を維持し、検証用通信ライン２０３を介した第２処理部２２との通信可能状態を継続するものであってもよい。第１処理部２１は、第２処理部２２を非活性化するために行った処置内容を、チャレンジレスポンス認証が失敗した旨を示す判定結果と関連付けて、第１記憶部２１２に履歴情報として記憶するものであってもよい。

第２処理部２２（第２制御部２２１）は、第１処理部２１へ検証依頼を出力する（Ｔ１０１）。第２処理部２２は、例えば、周期的又は定期的に、第１処理部２１へ検証依頼（認証要求）を出力（送信）する。第２処理部２２は、検証用通信ライン２０３を介して、検証依頼（認証要求）を第１処理部２１に出力（送信）するものであってもよい。

第２処理部２２は、第１処理部２１によるセキュリティ検証に応じて、応答データを生成する（Ｔ１０２）。セキュリティ検証としてチャレンジレスポンス方式を用いる場合、第２処理部２２は、第１処理部２１から出力（送信）されたチャレンジ情報を取得（受信）し、当該チャレンジ情報に基づきレスポンス情報を生成する。第２処理部２２は、チャレンジ情報と、第２処理部２２にて設定されているパスワード（第２記憶部２２２に記憶されているパスワード）とに基づき、ハッシュ値を生成（変換）することでレスポンス情報を生成するものであってもよい。

第２処理部２２は、第１処理部２１へ、生成した応答データを出力する（Ｔ１０３）。第２処理部２２は、生成した応答データ（レスポンス情報）を、検証用通信ライン２０３を介して、第１処理部２１に出力（送信）するものであってもよい。

第２処理部２２は、第１処理部２１による非活性化処理により非活性化状態に遷移する（Ｔ１０４）。セキュリティ検証の結果に基づき、第１処理部２１が、第２処理部２２は異常であると判定（チャレンジレスポンス認証が失敗）した場合、第１処理部２１は、第２処理部２２を非活性化するための処置を行う。当該処置によって、第２処理部２２は、非活性化状態に遷移するものとなる。これにより、例えば車外からの不正なアクセス等（セキュリティ攻撃）によって異常な状態となった第２処理部２２を、車載ネットワーク３から実質的に切り離す（分離）ことができ、第２処理部２２によって車両Ｃの制御（車両Ｃシステム）に影響が発生することを防止することができる。セキュリティ検証の結果に基づき、第１処理部２１が、第２処理部２２は正常であると判定（チャレンジレスポンス認証が成功）した場合、第１処理部２１は、第２処理部２２を非活性化するための処置を行わないため、第２処理部２２の活性化状態が維持（継続）される。

（実施形態２）
図４は、実施形態２（復帰信号）に係る車載装置２の第１処理部２１及び第２処理部２２の処理を例示するフローチャートである。車載装置２は、実施形態１と同様に例えば車両Ｃが起動状態（ＩＧスイッチがオン）又は停止状態（ＩＧスイッチがオフ）において、定常的に以下の処理を行う。車載装置２の第１処理部２１(車内側マイコン)及び第２処理部２２の（車外側マイコン）一連の処理は、互いに連関して行われるものであるが、まずは第１処理部２１(車内側マイコン)による処理を説明し、以降、第２処理部２２（車外側マイコン）による処理を説明する。

第１処理部２１は、第２処理部２２からの検証依頼を取得したか否かを判定する（Ｓ２０１）。第１処理部２１は、実施形態１の処理Ｓ１０１と同様に、Ｓ２０１の処理を行う。

第２処理部２２からの検証依頼（認証要求）を取得していない場合（Ｓ２０１：ＮＯ）、第１処理部２１は、所定期間、経過したかを判定する（Ｓ２０１１）。例えば、チャレンジレスポンス方式を用いる場合、第２処理部２２は周期的に検証依頼（認証要求）を第１処理部２１に出力するように構成されており、第１処理部２１は、当該周期に応じて、所定期間、第２処理部２２からの検証依頼（認証要求）を取得していない状態が継続したか否かを判定する。当該所定期間は、例えば、第２処理部２２が検証依頼を出力（送信）する際の送信周期の３倍の期間として、予め設定され、第１記憶部２１２に記憶されているものであってもよい。第１処理部２１は、第２処理部２２が検証依頼を出力（送信）する際の送信周期が経過する度に、第２処理部２２からの検証依頼を取得（受信）したか否かを検証依頼の受信履歴として第１記憶部２１２に記憶するものであってもよい。

所定期間、経過していないと判定した場合（Ｓ２０１１：ＮＯ）、第１処理部２１は、再度Ｓ１０１の処理を実行すべくループ処理を行う。すなわち、第１処理部２１は、第２処理部２２から送信される検証依頼（認証要求）の待受け処理を継続するものであってよい。

所定期間、経過したと判定した場合（Ｓ２０１１：ＹＥＳ）、第１処理部２１は、第２処理部２２は異常であると判定する（Ｓ２０４１）。第１処理部２１は、第２処理部２２が検証依頼（認証要求）を出力しない状態が所定期間よりも経過した場合、第２処理部２２は車外からの不正なアクセス等（セキュリティ攻撃）によって異常な状態にあり、セキュリティ機能が既に失陥していると判定するものであってもよい。

第２処理部２２からの検証依頼（認証要求）を取得した場合（Ｓ２０１：ＹＥＳ）、第１処理部２１は、第２処理部２２に対し、セキュリティ検証を実施する（Ｓ２０２）。第１処理部２１は、セキュリティ検証に対する第２処理部２２からの応答データを取得する（Ｓ２０３）。第１処理部２１は、取得した応答データが正当であるか否かを判定する（Ｓ２０４）。応答データが正当であると判定した場合（Ｓ２０４：ＹＥＳ）、第１処理部２１は、第２処理部２２は正常であると判定する（Ｓ２０５）。第１処理部２１は、実施形態１の処理Ｓ１０２からＳ１０５と同様に、Ｓ２０２からＳ２０５の処理を行う。

応答データが正当でないと判定した場合（Ｓ２０４：ＮＯ）、又は上述のとおり所定期間、経過したと判定した場合（Ｓ２０１１：ＹＥＳ）、第１処理部２１は、第２処理部２２は異常であると判定する（Ｓ２０４１）。第１処理部２１は、実施形態１の処理Ｓ１０４１と同様に、Ｓ２０４１の処理を行う。

第１処理部２１は、第２処理部２２の復帰処理を実行する（Ｓ２０４２）。第１処理部２１は、第２処理部２２は異常であると判定した場合、第２処理部２２を復帰させるための復帰処理を行う。第２処理部２２を復帰させるための復帰処理は、例えば、第２処理部２２への電力の遮断及び再供給による第２処理部２２の再起動、又は第２処理部２２に対し復帰信号の出力を含む。

復帰処理として、第２処理部２２への電力の遮断及び再供給による第２処理部２２の再起動を行う場合、第１処理部２１は、第２処理部２２に対し給電する電力線に設けられたリレー又は半導体スイッチをオフにし、再度オンにするものであってもよい。第２処理部２２に対する復帰信号は、例えば、第２処理部２２のリブート、初期化、又は、第１処理部２１の記憶部に予め記憶されているプログラム及び当該プログラムの実行指示を含む信号であってもよい。当該復帰信号は、検証用通信ライン２０３を介して、第１処理部２１から第２処理部２２に出力（送信）されるものであってもよい。第１処理部２１は、復帰信号を第２処理部２２に対し、複数回（所定回数）に亘って出力したにもかからず、第２処理部２２に対するセキュリティ検証の結果（検証結果）が異常となることが継続した場合、実施形態１と同様に第２処理部２２を非活性化するものであってもよい。

第２処理部２２は、第１処理部２１へ検証依頼を出力する（Ｔ２０１）。第２処理部２２は、第１処理部２１によるセキュリティ検証に応じて、応答データを生成する（Ｔ２０２）。第２処理部２２は、第１処理部２１へ、生成した応答データを出力する（Ｔ２０３）。第２処理部２２は、実施形態１の処理Ｔ１０１からＴ１０３と同様に、Ｔ２０１からＴ２０３の処理を行う。

第２処理部２２は、第１処理部２１によって施された復帰処理により、復帰処理を実行する（Ｔ２０４）。セキュリティ検証の結果に基づき、第１処理部２１が、第２処理部２２は異常であると判定（チャレンジレスポンス認証が失敗）した場合、第１処理部２１は、第２処理部２２を復帰させるための処置を行う。当該処置によって、第２処理部２２は、例えば、再起動、第１処理部２１から送信された正常なプログラムのロード及び実行等を行うことにより、復帰処理を実行する。これにより、例えば車外からの不正なアクセス等（セキュリティ攻撃）によって異常な状態となった第２処理部２２を正常な状態に遷移（復帰）させることができる。

（実施形態３）
図５は、実施形態３（アクチュエータ５に接続）に係る車載システムＳのシステム構成を例示する模式図である。本実施形態においては、モータ等のアクチュエータ５に直接、接続される車載ＥＣＵ４についても、実施形態１にて説明した車載装置２と同様に、第１処理部４１及び第２処理部４２を含む。車載ＥＣＵ４の第１処理部４１及び第２処理部４２の構成及び処理は、車載装置２の第１処理部２１及び第２処理部２２の構成及び処理と同様である。

車載ＥＣＵ４の第１処理部４１は、車載ネットワーク３に直接的に接続されず、モータ等のアクチュエータ５に直接的に接続される。車載ＥＣＵ４の第２処理部４２は、車載ネットワーク３に直接的に接続される。車載ＥＣＵ４の第１処理部４１及び第２処理部４２は、実施形態１の車載装置２と同様にデータ用通信ライン２０１及び検証用通信ライン２０３により通信可能に接続される。

車載ＥＣＵ４に含まれる第１処理部４１及び第２処理部４２は、実施形態１の車載装置２と同様にセキュリティ検証を行うものであり、アクチュエータ５側に位置する第１処理部４１は、車載ネットワーク３側に位置する第２処理部４２に対し、チャレンジレスポンス方式を用いてセキュリティ検証（セキュリティ処置）を行う。これにより、複数の処理部（マイコン）が実装される車載ＥＣＵ４において、車載ネットワーク３側の第２処理部４２の完全性を担保し、車載ネットワーク３を介した車外からのセキュリティ攻撃に対する耐性を備えることができる。

本実施形態において、第２処理部４２は車載ネットワーク３側に位置し、第１処理部４１はアクチュエータ５側に位置するとしたが、これに限定されない。第１処理部４１が車載ネットワーク３側に位置し、第２処理部４２がアクチュエータ５側に位置するものであってもよい。これにより、複数の処理部（マイコン）が実装される車載ＥＣＵ４において、アクチュエータ５側の第２処理部４２の完全性を担保し、アクチュエータ５側からのセキュリティ攻撃に対する耐性を備えることができる。

今回開示された実施形態は全ての点で例示であって、制限的なものではないと考えられるべきである。本開示の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

Ｃ 車両
Ｓ 車載システム
１００ 外部サーバ
１０１ ダイアグ装置
１ 車外通信装置
１１ アンテナ
２ 車載装置（中継装置）
２１ 第１処理部（車内側マイコン）
２１１ 第１制御部
２１２ 第１記憶部
２１３ 車内通信部
２２ 第２処理部（車外側マイコン）
２２１ 第２制御部
２２２ 第２記憶部
２２３ 車外通信部
Ｍ 記録媒体
Ｐ プログラム（プログラム製品）
２０１ データ用通信ライン
２０２ データ用通信部
２０３ 検証用通信ライン
２０４ 検証用通信部
３ 車載ネットワーク
３１ 通信ケーブル
４ 車載ＥＣＵ
４１ 第１処理部
４２ 第２処理部
５ アクチュエータ

Claims (11)

1. 車載ネットワークを有する車両に搭載される車載装置であって、
   前記車載ネットワークに接続される第１処理部と、
   前記第１処理部と通信可能に接続される第２処理部とを備え、
   前記第１処理部は、前記第２処理部に対しセキュリティ検証を行う
   車載装置。
2. 前記第１処理部は、前記セキュリティ検証に対する前記第２処理部からの応答データを取得し、
   取得した応答データに基づき、前記第２処理部が正常であるか否かを判定する
   請求項１に記載の車載装置。
3. 前記第１処理部は、チャレンジレスポンス方式を用いて、前記第２処理部に対しセキュリティ検証を行う
   請求項１又は請求項２に記載の車載装置。
4. 前記第１処理部は、前記第２処理部からの検証依頼に応じて、前記第２処理部に対しセキュリティ検証を行う
   請求項１から請求項３のいずれか１項に記載の車載装置。
5. 前記第１処理部は、前記第２処理部からの検証依頼を所定期間、取得しなかった場合、前記第２処理部は異常であると判定する
   請求項４に記載の車載装置。
6. 前記第２処理部は、前記車両外の外部装置からの車外通信データを取得し、
   前記第１処理部及び前記第２処理部は、前記車外通信データが流れるデータ用通信ラインと、前記セキュリティ検証のためのデータが流れる検証用通信ラインとにより接続される
   請求項１から請求項５のいずれか１項に記載の車載装置。
7. 前記第１処理部は、前記セキュリティ検証の結果に基づき、前記第２処理部は異常であると判定した場合、前記第２処理部を非活性化するための処理を行う
   請求項１から請求項６のいずれか１項に記載の車載装置。
8. 前記第１処理部は、前記セキュリティ検証の結果に基づき、前記第２処理部は異常であると判定した場合、前記第２処理部を復帰させるための復帰処理を行う
   請求項１から請求項７のいずれか１項に記載の車載装置。
9. 前記車載ネットワークには、複数の車載ＥＣＵが接続され、
   前記第１処理部は、前記第２処理部から取得したデータを、前記車載ネットワークを介して前記車載ＥＣＵに中継する
   請求項１から請求項８のいずれか１項に記載の車載装置。
10. 車載ネットワークを有する車両に搭載され、前記車載ネットワークに接続される第１処理部と、前記第１処理部と通信可能に接続される第２処理部とを備えるコンピュータに、
    前記第１処理部にて、前記第２処理部に対しセキュリティ検証を行う
    処理を実行させる情報処理方法。
11. 車載ネットワークを有する車両に搭載され、前記車載ネットワークに接続される第１処理部と、前記第１処理部と通信可能に接続される第２処理部とを備えるコンピュータに、
    前記第１処理部にて、前記第２処理部に対しセキュリティ検証を行う
    処理を実行させるプログラム。

Images