JP4597060B2 - 車両制御装置間ネットワーク - Google Patents

Description

本発明は、車両制御装置間ネットワークに係り、特に、車両制御装置間を接続するネットワーク上の暗号化通信に最適な車両制御装置間ネットワークに関する。

近年、動力性能や環境対応といった自動車に求められる性能が、高度，多岐化するに伴い、自動車システムは多数のセンサやアクチュエータ類によって構成されるようになる一方、それらセンサやアクチュエータ類に関わる複数の制御装置をネットワーク接続することにより、車両内における情報伝送路を最適化することが求められている。

このような要求に応えるべく、車両内における制御装置間ネットワークはＣＡＮ（Ｃｏｎｔｒｏｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）やＬＩＮ（Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ）といったさまざまな通信プロトコルが導入されるに至っている。

ところで、このような制御装置間ネットワークは、車両内という限定された領域に存在する閉じたネットワークであるため、一般のオープンネットワークにおいて見られる悪意者による情報の盗聴、改竄といった攻撃に対する防禦を講じておく必要はないものとして考えられている（ＣＡＮ、ＬＩＮといった通信プロトコルにおいても特段の防御策は講じられていない）。

しかしながら、このような制御装置ネットワークにおいては、通信プロトコルが標準化されており、ネットワークを外部機器と接続することができるインタフェースも広く知られたものによることが常である。つまり、このような制御装置ネットワークに対する介入には、それほどの専門知識を必要としないのが実情である。

さらに、近年、無線技術の導入や車両ＩＴＳ（Ｉｎｔｅｌｌｉｇｅｎｔ Ｔｒａｎｓｐｏｒｔ Ｓｙｓｔｅｍ）等の技術進歩に伴い、車両制御装置ネットワークはオープンネットワークへと移行し、また取り扱われるコンテンツも従来の制御系情報のみならず、ナビゲーション等を交えた情報系へと移行するにあたっての情報漏洩の重大性が増すことが予想されている。

以上のような背景をふまえ、車両内における制御装置間ネットワークにおいて、暗号化通信を用いてネットワーク上のデータ伝送を暗号化することにより、悪意の介入者に対し伝送内容を秘匿するといったものが提唱されている（例えば、特許文献１）。また、鍵情報を一定の規則性を持たせて変化させ、ネットワーク参加者間で暗号鍵を同期を取ることにより、セキュリティを向上したものなども提唱されている。

特開２００４−２３１５６号公報

従来の車両内における制御装置間ネットワークにおいて導入される暗号化通信は、ネットワーク上のデータ伝送を暗号化することにより、正当な権利を持つ受信者以外による情報の盗聴および改竄を防止するためのものであるが、正当な権利を持たない悪意者を特定するものではない。

すなわち、悪意者であれば判別できないであろう暗号を用いてデータ伝送を行うことにより結果的に悪意者を排除するものであり、個々のネットワーク参加者が、どの参加者が悪意者であるかを判別するものではない。

つまり、そのような暗号化通信が行われる車両内における制御装置間ネットワークにおいては、悪意者はその存在を特定されることなくネットワークに留まることができる。その結果、悪意者はそのネットワーク上の暗号解読を試行し続け、いずれは成功するかもしれないといった不都合が生じる。

車両内における制御装置間ネットワークにおいては、制御系情報のリアルタイム性が要求されるため、暗号化、復号化に処理時間のかからない共通鍵暗号方式が採用されることが多く、暗号鍵のデータ長も制限を受ける。そのため、悪意者が制御装置間ネットワークに留まることができる場合、その暗号化鍵を総当り方式等の攻撃によって判別することは、十分に現実的な時間内に可能な場合がある。

また、共通鍵暗号化方式が採用される場合、全てのネットワーク参加者が共通の暗号鍵を持つため、その共通の暗号鍵が悪意者に露呈するとすべての防禦が無効となってしまう不都合がある。ネットワーク参加者どうしで有限規則性に基づき同期を取りながら暗号鍵を順次変更する方法を取ったとしても、その鍵変更規則性が有限である以上、本質的な解決策になってはいない。

本発明は、前記課題に鑑みてなされたものであって、その目的とするところは、ネットワーク上に存在する悪意者（不正の制御装置）を特定し、使用者に物理的排除を即すと共に、物理的排除が行われる以前にも特定された悪意者を論理的に遮断し、物理的排除と同等の効果を得ることによって、十分かつ合理的なセキュリティを施された車両制御装置間ネットワークを提供することにある。

前記目的を達成するために、本発明による車両制御装置間ネットワークは、通信手段を有する複数の制御装置が参加する車両制御装置間ネットワークであって、ネットワーク上の各制御装置間にて正当性を保証する認証を互いに行い、当該制御装置相互間における認証行為によって、ネットワーク内で不正の制御装置を特定する。

本発明による車両制御装置間ネットワークは、好ましくは、前記認証によって特定された不正の制御装置の論理的参加を排除したネットワークを構成する。

本発明による車両制御装置間ネットワークは、好ましくは、前記不正の制御装置の論理的な参加を排除したネットワークにおいて、暗号鍵を暗号化して配信し、配信された暗号鍵によってその後のデータ伝送を暗号化して行い、暗号鍵配信と、その後のデータ伝送における暗号化通信の過程において暗号化強度を変える。

本発明による車両制御装置間ネットワークは、好ましくは、データ伝送における暗号化強度を暗号鍵配信の暗号化強度より低く設定する。

本発明による車両制御装置間ネットワークは、好ましくは、暗号化強度を落としてデータ伝送している際に、前記暗号鍵の有効性を期限付きとする。

本発明による車両制御装置間ネットワークによれば、制御装置間ネットワーク内に存在する悪意の制御装置を、制御装置相互間における認証行為によって特定するので、悪意の制御装置の物理的排除を即するような表示を使用者に対して行うことができる。また、悪意の制御装置が物理的にネットワークに留まった場合でも、制御装置間で選択的に暗号鍵を配信するので、悪意の制御装置を論理的に排除した車両制御装置間暗号化ネットワークを構成することができる。

本発明による車両制御装置間ネットワークの実施形態を、図を参照して説明する。
図１は、本実施形態の車両制御装置間ネットワークに用いられる制御装置（ＥＣＵ）１の一つの実施形態を示す機能ブロック図である。ＥＣＵ１は、車両の各部に取り付けられたセンサ類２からの入力信号を検出する入力信号検出手段３と、入力信号検出手段３からの信号を入力して制御のための演算等を行い制御指令を生成する制御手段４と、制御手段４からの制御指令を各アクチュエータ類５に出力駆動する出力回路６と、通信バス７に接続されてネットワークとの信号送受信を行う通信手段８と、通信手段８にてやりとりする送受信信号の暗号化／復号化を行う暗号化復号化手段９と、他のネットワーク参加者を認証する認証手段１０と、制御上必要となる不揮発性の情報を記憶する不揮発性メモリ１１と、不揮発性メモリ１１と制御手段４および暗号化復号化手段９、認証手段１０との媒介を行う不揮発性メモリアクセス手段１２を備える。

図２は、ＥＣＵ１の一つの実施形態の構成を示すブロック図である。ＥＣＵ１は、センサ類２およびアクチュエータ類５と接続されて入出力を司る入出力インタフェース１３と、通信バス７と接続されて信号送受信を司る通信インタフェース１４と、一時的情報を記憶する揮発性メモリであるＲＡＭ１５と、制御プログラムおよび各種制御設定情報を記憶する不揮発性メモリであるＲＯＭ１６と、不揮発性のメモリであるＥＥＰＲＯＭ１７と、それらを統括し制御を司るＣＰＵ１８とがバス１９によって接続されている。

したがって、ＥＣＵ−Ａ２０はマイクロコンピュータによって構成することも可能である。制御手段４と、暗号化／復号化を行う暗号化復号化手段９と、認証手段１０はいずれもＲＯＭ１６にプログラムとして記憶されていて、それらプログラムは実行時に読み出されてＣＰＵ１８が実行する。また、通信手段８は、ＯＳＩ参照モデルによる物理層およびデータリンク層の一部は電子回路により構成され、より上位の階層はＲＯＭ１６に記憶されたプログラムによるのが一般的である。

本実施形態の車両制御装置間ネットワークは、図３に示されているように、ＥＣＵ−Ａ２０とＥＣＵ−Ｂ２１とＥＣＵ−Ｃ２２が、通信バス７によって相互にデータ伝送可能に接続されている。このネットワークにおいて使用される通信バス７は、たとえば、ＣＡＮのようなものである。ＥＣＵ−Ａ２０、ＥＣＵ−Ｂ２１、ＥＣＵ−Ｃ２２は、各々、図１、図２に示されている構成による制御装置である。

この車両制御装置間ネットワークでは、各制御装置間で暗号化通信を行う前に、ネットワーク上の各制御装置間にて認証が行われる。図４に示されている例では、ＥＣＵ−Ａ２０はＥＣＵ−Ｂ２１を、ＥＣＵ−Ｂ２１はＥＣＵ−Ｃ２２を、ＥＣＵ−Ｃ２２はＥＣＵ−Ａ２０を、各々の認証手段１０によって認証する。なお、図４は制御装置間ネットワークを図式したものであり、物理的接続を表さない。

認証手段１０によって行われる認証行為の一例（ＥＣＵ−Ａ２０→ＥＣＵ−Ｂ２１）を、図５を参照して説明する。ＥＣＵ−Ａ２０は、乱数ｓを発生し、それをＥＣＵ−Ｂ２１に送信すると共に（ステップＳ１０１）、乱数ｓとＥＣＵ−Ｂ２１と共有する共通鍵ｋによって、応答ｆ（ｓ）を演算する（ステップＳ１０２）。

乱数ｓを受信したＥＣＵ−Ｂ２１側では、乱数ｓおよびＥＣＵ−Ａ２０と共有する共通鍵ｋによって応答ｇ（ｓ）を演算し、ＥＣＵ−Ａ２０に送り返す（ステップＳ１０３)。

ＥＣＵ−Ａ２０は、自ら演算した応答ｆ（ｓ）とＥＣＵ−Ｂ２１が演算した応答ｇ（ｓ）を比較する。もし、ＥＣＵ−Ａ２０とＥＣＵ−Ｂ２１が共有している共通鍵ｋと演算処理とが同一であれば、同一の乱数ｓから得られる応答は同一であり、信用できるということになる。こうして、ＥＣＵ−Ａ２０はＥＣＵ−Ｂ２１を認証する（ステップＳ１０４）。

このように制御装置同士による一方向認証が終了すると、今度は、図６に示すように逆方向認証を行う。すなわち、ＥＣＵ−Ｃ２２はＥＣＵ−Ｂ２１を、ＥＣＵ−Ｂ２１はＥＣＵ−Ａ２０を、ＥＣＵ−Ａ２０はＥＣＵ−Ｃ２２を、それぞれ認証する。

このように双方向による認証を行うのは、順方向だけの認証では悪意の制御装置（不正の制御装置）を特定できない場合があるからである。すなわち、悪意の制御装置が他の善意の制御装置（正当な制御装置）を故意に認証不可とする場合である。双方向から認証不可とされた制御装置のみ悪意者と判断することで、悪意の制御装置による妨害を阻止し、特定することが可能となる。

たとえば、図７に示されているように、ＥＣＵ−Ｂ２１が、ＥＣＵ−Ａ２０とＥＣＵ−Ｃ２２の双方から認証不可（×印）とされた場合、ＥＣＵ−Ａ２０とＥＣＵ−Ｃ２２は、ＥＣＵ−Ｂ２１を悪意の制御装置として特定する。この場合、悪意の制御装置であるＥＣＵ−Ｂ２１は、ＥＣＵ−Ａ２０とＥＣＵ−Ｃ２２を認証不可と見なす可能性があるものの、ＥＣＵ−Ａ２０とＥＣＵ−Ｃ２２は、それぞれ、ＥＣＵ−Ｃ２２とＥＣＵ−Ａ２０からは認証（○印）されるので、悪意の制御装置とは見なされない。

このように、認証によって制御装置間ネットワーク内に存在する悪意の制御装置が特定されるので、悪意の制御装置（不正の制御装置）と見なされた制御装置の論理的参加を排除したネットワーク構築することができ、更には、使用者に、悪意の制御装置の物理的排除を即するような表示を行うことも可能となる。

なお、以上述べた認証方法は、本発明に係る車両制御装置間ネットワークにおいて行われる制御装置間認証の一様態に過ぎない。

たとえば、本発明に係る制御装置間認証とは、前記例のように共通鍵認証を使用せず、公開鍵認証を行う様態でも、信用できる制御装置が中心となり１対ｎ認証を行う様態でも、一方向／逆方向と繰り返す認証ではなく、論理的に隣り合う制御装置同士で双方向認証を行う様態でも実現可能である。

すなわち、本発明に係る車両制御装置間ネットワークにおいて行われる制御装置間認証とは、認証不可となる制御装置をネットワーク内における認証行為で特定するものすべてに該当する。

悪意の制御装置と見なされる制御装置の参加を排除した車両制御装置間ネットワークの一つの実施形態について説明する。ここでは、前記説明した車両制御装置間ネットワークにおいて行われる制御装置間認証によって、既に、ネットワーク内の悪意の制御装置が特定されたものとする。

図８に示されている制御装置間ネットワークには、ＥＣＵ−Ａ２０、ＥＣＵ−Ｂ２１、ＥＣＵ−Ｃ２２およびＥＣＵ−Ｄ２３が接続されており、そのうちＥＣＵ−Ｂ２１が悪意の制御装置と特定されている場合である。

この制御装置間ネットワークでは、ＥＣＵ−Ａ２０、ＥＣＵ−Ｃ２２およびＥＣＵ−Ｄ２３は互いに善意の制御装置であり、このうちのいずれかが、例えば、図８（ａ）に示されているように、ＥＣＵ−Ａ２０が乱数などに基づき暗号鍵を決定する（ステップＳ２０１）。

ＥＣＵ−Ａ２０は、この暗号鍵を記憶すると共に、ＥＣＵ−Ｂ２１に分からないように、暗号鍵をＥＣＵ−Ｃ２２に伝送する（ステップＳ２０２）。

ＥＣＵ−Ｃ２２は、受け取った暗号鍵を記憶すると共に、ＥＣＵ−Ｂ２１に分からないように、暗号鍵をＥＣＵ−Ｄ２３に伝送する（ステップＳ２０３）。

ＥＣＵ−Ｄ２３は、受け取った暗号鍵を記憶すると共に、ＥＣＵ−Ｂ２１に分からないように、暗号鍵をＥＣＵ−Ａ２０に伝送する（ステップＳ２０４）。

これにより、ＥＣＵ−Ａ２０は、自身を起点とする善意の制御装置間における鍵配信が正常に終了したことを知る。

このようにすれば、善意の制御装置であるＥＣＵ−Ａ２０、ＥＣＵ−Ｃ２２、ＥＣＵ−Ｄ２３は、悪意の制御装置であるＥＣＵ−Ｂ２１に知られることなく暗号鍵を配信することができるので、図８（ｂ）に示されているように、以降、悪意の制御装置であるＥＣＵ−Ｂ２１を論理的に排除した暗号化伝送を行うことができる。

なお、善意の制御装置間における鍵配信は、ＥＣＵ−Ｂ２１に解読困難な方法であればどのような暗号を使用しても構わない。すなわち、鍵を配信しあう制御装置間で共通鍵を使用して暗号化伝送（共通鍵暗号）しても構わないし、各制御装置の公開鍵を使用して暗号化伝送（公開鍵暗号）しても構わない。また、以上説明したような論理的に隣り合う制御装置間で１対１に順々に配信する方法ではなく、一つの善意の制御装置から、その他の善意の制御装置に向けて個別に鍵配信する方法でも構わない。

以上のように、ネットワーク中の制御装置間で選択的に（善意の制御装置にのみ）暗号鍵を配信することで、認証において検出された悪意の制御装置の参加を論理的に排除した車両制御装置間暗号化ネットワークを構成することが可能となり、物理的にネットワークに留まった悪意の制御装置による影響を最小限に食い止めることができる。ネットワークにおける悪意の制御装置の論理的参加の排除とは、制御装置同士の有効なデータ伝送を不可能にすることである。

ところで、以上のように構成した車両制御装置間ネットワークにおいては、暗号鍵の配信と、その後の暗号化データ伝送といった複数段の暗号化通信を使用することとなるが、各々の暗号化強度を変えることも可能である。

すなわち、暗号鍵配信には、安全性が高い比較的暗号化強度の強い公開鍵暗号を使用し、その後の暗号化データ伝送については、暗号化強度を落とし、暗号化／復号化に処理時間が比較的かからない共有鍵暗号を使用するといった構成が考えられる。

以下に、暗号鍵配信と、その後のデータ伝送において暗号化強度を変える車両制御装置間ネットワークの一実施形態について、図９、図１０を参照して説明する。

図９において、車両制御装置間ネットワークに存在する各制御装置（ＥＣＵ−Ａ２０、ＥＣＵ−Ｂ２１，ＥＣＵ−Ｃ２２、ＥＣＵ−Ｄ２３）は、鍵配信用として、自身の秘密鍵であるＥＣＵ−Ａ秘密鍵３６、ＥＣＵ−Ｂ秘密鍵３７、ＥＣＵ−Ｃ秘密鍵３８、ＥＣＵ−Ｄ秘密鍵３９を、それぞれ自身の不揮発性メモリ２０Ａ、２１Ａ、２２Ａ、２３Ａに記憶している。さらに、ネットワークに参加するその他の制御装置の公開鍵であるＥＣＵ−Ａ公開鍵４０、ＥＣＵ−Ｂ公開鍵４１、ＥＣＵ−Ｃ公開鍵４２、ＥＣＵ−Ｄ公開鍵４３を（自身の公開鍵を除き）それぞれ自身の不揮発性メモリ２０Ａ、２１Ａ、２２Ａ、２３Ａに記憶している。なお、これら鍵は、たとえば１０２４ビット長や、２０４８ビット長といった比較的暗号化強度の強いものを使用する。

図１０は、善意の制御装置間における鍵配信の様子をフローチャートにて説明したものである。なお、ここでは、悪意の制御装置ＥＣＵ−Ｂ２１がすでに特定されており、論理的排除の対象と見なされていることとする。

ＥＣＵ−Ａ２０は、暗号鍵（鍵値）ｋを生成し、暗号鍵ｋをＥＣＵ−Ｃ公開鍵４２で暗号化し、ＥＣＵ−Ｃ公開鍵４２で暗号化した暗号化鍵ｋ42をＥＣＵ−Ｃ２２に対し送信する（ステップＳ３０１）。

ＥＣＵ−Ａ２０より暗号化鍵ｋ42を受け取ったＥＣＵ−Ｃ２２は、自身の秘密鍵であるＥＣＵ−Ｃ秘密鍵３８によって暗号鍵化ｋ42を復号化し、復号化して得られた暗号鍵（鍵値）ｋを記憶する。また、ＥＣＵ−Ｃ２２は、暗号鍵ｋをＥＣＵ−Ｄ公開鍵４３で暗号化し、ＥＣＵ−Ｄ公開鍵４３による暗号化鍵ｋ43をＥＣＵ−Ｄ２３に対し送信する（ステップＳ３０２）。

ＥＣＵ−Ｃ２２より暗号化鍵ｋ43を受け取ったＥＣＵ−Ｄ２３は、自身の秘密鍵であるＥＣＵ−Ｄ秘密鍵３９によって暗号化鍵ｋ43を復号化し、復号化して得られた暗号鍵（鍵値）ｋを記憶する。また、ＥＣＵ−Ｄ２３は、暗号鍵ｋをＥＣＵ−Ａ公開鍵４０で暗号化し、ＥＣＵ−Ｄ公開鍵４０による暗号化鍵ｋ40をＥＣＵ−Ａ２０に対し送信する（ステップＳ３０３）。

ＥＣＵ−Ｄ２３より暗号化鍵ｋ40を受け取ったＥＣＵ−Ａ２０は、自身の秘密鍵であるＥＣＵ−Ａ秘密鍵３６によって暗号化鍵ｋ40を復号化し、復号化して得られた暗号鍵（鍵値）ｋが、自身が最初に送信した暗号鍵（鍵値）ｋと同一であったなら、鍵配信の正常終了と判定し（ステップＳ３０４）、以降、配信した暗号鍵（鍵値）ｋを用いた共通鍵暗号化によるデータ伝送を行う（ステップＳ３０５）。
ステップ４８）。

このデータ伝送には、高速な暗号化／復号化が必要となるため、暗号鍵（鍵値）ｋを比較的短いビット長、たとえば６４ビット長程度に設定する。

このようにすることにより、暗号鍵配信には、公開鍵暗号化方式（非対称鍵暗号化方式）等による暗号化強度の高い暗号化データ伝送を、データ伝送には、共通鍵暗号化方式（対称鍵暗号化方式）等によるリアルタイム性の高い暗号化データ伝送を行うことができる。

上述の実施形態では、暗号鍵配信には公開鍵暗号、データ伝送には共通鍵暗号を使用したが、上記とは異なる組み合わせの暗号化方式によって暗号化強度を変えるものや、同じ暗号化方式で鍵ビット長を変化させて暗号化強度を変えるものなども、暗号鍵配信と、その後のデータ伝送において暗号化強度を変える車両制御装置間ネットワークの実施形態に含まれることは云うまでもない。

以上のように、本発明に係る車両制御装置間ネットワークにおいては、暗号化強度を暗号鍵配信時とその後の暗号化データ伝送時で適切に切り替えることができるので、定常的に行われるデータ伝送において行われる暗号化および復号化に比較的処理時間のかからない方法を採用することができ、セキュリティを失わずに、通信のリアルタイム性を確保することもできる。

このように暗号化強度を落としてデータ伝送を一定時間以上行う場合、そのセキュリティを補強するため、配信する暗号鍵を期限付きにするのが有効である。

以下に、暗号鍵の有効性を期限付きとする車両制御装置間ネットワークの実施形態について、図１１を参照して説明する。

図１１は、暗号鍵を配信する制御装置であるＥＣＵ−Ａ２０上で実行される制御のフローチャートである。

ＥＣＵ−Ａ２０は、暗号鍵ｋを生成し（ステップＳ４０１）、これを送信先（例えば、ＥＣＵ−Ｃ）の公開鍵によって暗号化し（ステップＳ４０２）、これを配信する（ステップ４０３）。

次に、有効期限カウンタＶＡを任意の値Ｎにセットする。ここで設定される値Ｎは一定値でもよいし、ランダムな値でもよい。ＥＣＵ−Ａ２０がデータ伝送（ステップＳ４０４）を行うたびに有効期限カウンタＶＡは１ずつ減少し（ステップ４０５）、Ｎ回のデータ伝送が行われ、有効期限カウンタＶＡが０になると（ステップＳ４０６肯定）、ステップＳ４０１を実行して暗号鍵を変更し、変更した暗号鍵を暗号化し（ステップＳ４０２）、これを再度配信する（ステップＳ４０３）。

暗号鍵の有効性の期限は、上述のデータ伝送回数以外に、経過時間や車両のイグニッションスイッチの状態変化を暗号鍵の有効期限とするといったものであってもよい。

以上に説明した本実施形態の効果を要約すると、以下のようになる。
（１）制御装置相互間における認証行為によって、ネットワーク内で認証不可となる制御装置を特定するから、悪意の制御装置がネットワーク上に存在するかどうかを特定し、悪意の制御装置の物理的な排除を即することが可能となる。

（２）認証不可となった悪意の制御装置の論理的参加を排除するから、悪意の制御装置が物理的に排除される前であっても、その制御装置のみが判別不可能な信号がネットワーク上に伝送されることにより、実質上のネットワーク参加を遮断してしまうことが可能となる。

（３）悪意の制御装置の論理的参加の排除の過程において、場面に応じて必要な暗号化強度を適切に変更することで、つまり暗号鍵配信と、その後のデータ伝送における暗号化通信の過程において暗号化強度を変えることで、暗号鍵を安全に配信して悪意の制御装置を排除しつつ、各制御装置間のデータ通信におけるリアルタイム性も確保でき、車両制御装置間ネットワークにおける合理的なセキュリティを導入することが可能となる。このことは、車両制御装置間ネットワークでは、特にリアルタイム性を要求されるので、有用性が高い。

（４）悪意の制御装置の論理的参加の排除の過程において、暗号化強度を変更する際に、暗号鍵の有効性を期限付きとすることにより、悪意者の攻撃時間を制限でき、ネットワークのセキュリティを補強することができる。

本発明に係る車両制御装置間ネットワークに用いられる制御装置の一つの実施形態を示す機能ブロック図。 本発明に係る車両制御装置間ネットワークに用いられる制御装置の一つの実施形態を示すブロック図。 車両制御装置間ネットワークの構成例を示す図。 本発明に係る車両制御装置間ネットワークにおいて行われる制御装置間認証の一つの実施形態を示す機能図。 一つの実施形態における制御装置間認証のフローチャート。 一つの実施形態における制御装置間認証を示す機能図。 一つの実施形態における制御装置間認証の結果例を示す機能図。 （ａ）、（ｂ）は、悪意の制御装置と見なされる制御装置の参加を排除した本発明による車両制御装置間ネットワークの一つの実施形態を示す機能図。 本発明による車両制御装置間ネットワークにおいて、暗号鍵配信とその後のデータ伝送において暗号化強度を変える実施形態を示す機能図。 暗号鍵配信とその後のデータ伝送において暗号化強度を変える実施形態の鍵配信の様子を示すフローチャート。 本発明による車両制御装置間ネットワークにおいて、暗号鍵の有効性を期限付きとする実施形態のフローチャート。

符号の説明

１、２０、２１、２２、２３ 制御装置
２ センサ類
３ 入力信号検出手段
４ 制御手段
５ アクチュエータ類
６ 出力回路
７ 通信バス
８ 通信手段
９ 暗号化／復号化手段
１０ 認証手段
１１ 不揮発性メモリ
１２ 不揮発性メモリアクセス手段

Claims (4)

1. 通信手段を有する複数の制御装置が参加する車両制御装置間ネットワークであって、
   ネットワーク上の前記各制御装置間にて正当性を保証する認証を互いに行い、
   前記複数の制御装置で相互認証を実施し、前記相互認証を、当該車両制御装置間ネットワークに接続されている制御装置間で巡回させて実施することによって、ネットワーク内で不正の制御装置を特定し、
   前記認証によって特定された不正の制御装置の論理的参加を排除したネットワークを構成する
   ことを特徴とする車両制御装置間ネットワーク。
2. 前記不正の制御装置の論理的な参加を排除したネットワークにおいて、暗号鍵を暗号化して配信し、配信された暗号鍵によってその後のデータ伝送を暗号化して行い、暗号鍵配信と、その後のデータ伝送における暗号化通信の過程において暗号化強度を変えることを特徴とする請求項１に記載の車両制御装置間ネットワーク。
3. データ伝送における暗号化強度を暗号鍵配信の暗号化強度より低く設定することを特徴とする請求項２に記載の車両制御装置間ネットワーク。
4. 暗号化強度を落としてデータ伝送している際に、前記暗号鍵の有効性を期限付きとすることを特徴とする請求項３に記載の車両制御装置間ネットワーク。

Images