JP5989192B1 - プログラム更新システム - Google Patents

Abstract

【課題】プログラム更新装置によるユーザ認証を新たな装置を追加することなく実現しつつ、ユーザの意図しないプログラム更新要求の発生を防止するプログラム更新システムを得る。【解決手段】プログラム配信装置２から更新プログラムを受信したプログラム受信装置１が、車内ＬＡＮを介してプログラム更新装置７に更新プログラムを送信したら、プログラム更新装置７が、パスワード生成手段８によりワンタイムパスワードを生成してインストルメントパネル１２の速度計および回転速度計に表示させ、これを見たユーザによって、プログラム受信装置１のタッチディスプレイ６で入力されたパスワードがプログラム更新装置７に転送された場合に、認証手段９によりパスワードを認証し、ＯＫであればプログラム更新管理手段１０が制御装置１５のフラッシュメモリのプログラムを書き換える。【選択図】図１

Description

この発明は、自動車の機器を制御する制御装置のプログラムの更新を行うプログラム更新システムに関するものである。

車両内の各種機器を制御する制御装置は、バージョンアップやバグ修正等により車両が市場に出てからプログラムを更新する機会がある。制御装置のプログラム更新は、ディーラや整備工場にて、専用の書き換えツールを車両ネットワークに接続して行われる。
このときの不正なプログラムの書き込みを防止するための方法として、偽の書き換えツールによる不正侵入防止のため、車両内の装置と書き換えツール間で認証する方法が提案されている（特許文献１）。

また、近年では、ディーラや整備工場などに赴くユーザの手間を省くため、外部との通信可能な装置が、車両外部にあるサーバに無線通信を介してアクセスして、サーバから制御装置の更新プログラムをダウンロードし、車両内にあるプログラム更新装置が制御装置のプログラムを更新することが行われるようになった。
効率よく更新するために、更新プログラムに対しては、車両状態に関わる更新条件を設け、車両状態から条件に合致したと判定したプログラムを自動で更新する方法が提案されている（特許文献２）。

サーバから制御装置の更新プログラムを受信する装置（以下、プログラム受信装置）は、公衆回線や無線通信を介してサーバに接続する必要性から、多くの場合は高度なナビゲーション機能やウェブブラウザ機能等を実現するために、すでに外部のサーバと接続する通信機能を持つ情報系装置がその役割を担う。
情報系装置は、このように外部と接続されて機能する先進的なアプリケーションを持っている。従って、情報系装置は、制御装置のプログラム更新を安全に行うために更新プログラムが格納される接続先サーバとの認証や暗号化による通信といった対策を施したとしても、情報系装置全体からすれば、他のアプリケーションを介した情報系装置に対する不正アクセスの脅威が存在し、制御装置のプログラム更新は、その脅威に晒される。
不正アクセスにより、プログラム受信装置に悪意のあるプログラムが混入した場合、プログラム受信装置からプログラム更新装置に、ユーザの意図しない不正なプログラム更新要求が発生してしまう可能性がある。

特開２０１２−１０４０４９号公報（第６〜７頁、第１図） 特開２０１４−１０６８７５号公報（第５〜１２頁、第１図）

外部との通信が可能で、車両外部にあるサーバに無線通信を介してアクセスして、サーバから制御装置の更新プログラムを受信するプログラム受信装置に、従来技術のように、プログラム受信装置とプログラム更新装置との間で認証を行う場合、偽のプログラム受信装置の交換による不正なプログラム更新要求を防止することができたとしても、正規のプログラム受信装置が不正アクセスを受け、プログラム受信装置が乗っ取られた状態でプログラム更新要求があった場合、プログラム更新装置に対してユーザの意図しないプログラム更新要求が発生してしまう。

また、上記の課題を解決するため、プログラム更新装置に対するプログラム更新要求の最終的な認証をユーザに委任させる場合、プログラム更新装置からユーザに対して認証要求を行うとパスワードの入力装置が必要となる。
パスワードの入力に関して、新たな入力装置を追加することは、コスト上昇につながるため、プログラム受信装置でもある既存の情報系装置の一部であるタッチディスプレイを使用することとなる。
しかし、悪意のあるプログラムが混入したプログラム受信装置は、ユーザが入力したパスワードを盗用し、次回の認証の際にユーザになり済まして、プログラム更新装置に回答する可能性がある。つまり、固定的なパスワードは使用できない。

さらに、固定的でないパスワード、つまり認証の度に変化するパスワードを、プログラム受信装置が、ユーザになり済ましてプログラム更新装置に回答することを防ぐために、プログラム受信装置が知り得ない、かつ不正操作できない方法で、ユーザに伝える必要がある。
プログラム受信装置が知り得ない、かつ不正操作できない方法としては、情報システムの分野で用いられるワンタイムパスワードが有効であるが、ユーザにパスワードを伝達する手段としてトークンが必要であり、新たな装置の追加はコストがかかるため、使用できない。
また、画像内に埋め込む形で記されている文字や数字を読み取る画像認証をタッチディスプレイに描画して用いることも考えられるが、パスワードの読み取りは認知するソフトウェアの進化と共に人にも読みにくくなり、ユーザビリティに欠ける。
また、プログラム更新要求の不正操作を防ぐことはできない。

この発明は、上記のような課題を解決するためになされたもので、プログラム更新装置によるユーザ認証を新たな装置を追加することなく実現しつつ、ユーザの意図しないプログラム更新要求の発生を防止するプログラム更新システムを得ることを目的とする。

この発明に係わるプログラム更新システムにおいては、制御装置のプログラムを更新するための更新プログラムを外部のサーバから受信するプログラム受信装置、およびインストルメントパネルに接続され、プログラム受信装置から更新プログラムを受け取り、制御装置のプログラムを更新するプログラム更新装置を備え、プログラム受信装置は、パスワードの入力画面を表示するとともに、ユーザから入力されたパスワードをプログラム更新装置に送信するパスワード入力手段を有し、プログラム更新装置は、ワンタイムパスワードとして、インストルメントパネルで表示可能な表示パターンを生成するワンタイムパスワード生成手段と、このワンタイムパスワード生成手段により生成されたワンタイムパスワードと、プログラム受信装置のパスワード入力手段で入力されたパスワードとを比較し、入力されたパスワードを認証する認証手段と、この認証手段により入力されたパスワードが認証された場合に、制御装置のプログラムを更新するプログラム更新手段とを有し、インストルメントパネルは、更新プログラムの更新内容を表示する更新内容表示手段と、ワンタイムパスワード生成手段により生成された表示パターンのワンタイムパスワードを表示するワンタイムパスワード表示手段とを有するものである。

この発明によれば、制御装置のプログラムを更新するための更新プログラムを外部のサーバから受信するプログラム受信装置、およびインストルメントパネルに接続され、プログラム受信装置から更新プログラムを受け取り、制御装置のプログラムを更新するプログラム更新装置を備え、プログラム受信装置は、パスワードの入力画面を表示するとともに、ユーザから入力されたパスワードをプログラム更新装置に送信するパスワード入力手段を有し、プログラム更新装置は、ワンタイムパスワードとして、インストルメントパネルで表示可能な表示パターンを生成するワンタイムパスワード生成手段と、このワンタイムパスワード生成手段により生成されたワンタイムパスワードと、プログラム受信装置のパスワード入力手段で入力されたパスワードとを比較し、入力されたパスワードを認証する認証手段と、この認証手段により入力されたパスワードが認証された場合に、制御装置のプログラムを更新するプログラム更新手段とを有し、インストルメントパネルは、更新プログラムの更新内容を表示する更新内容表示手段と、ワンタイムパスワード生成手段により生成された表示パターンのワンタイムパスワードを表示するワンタイムパスワード表示手段とを有するので、新たな装置を追加することなく、ユーザの意図しない制御装置のプログラム更新を防ぐことが可能となる。

この発明の実施の形態１によるプログラム更新システムを示す構成図である。 この発明の実施の形態１によるプログラム更新システムにおける認証の流れを示すフローチャートである。 この発明の実施の形態１によるプログラム更新システムにおける更新内容表示例を示す図である。 この発明の実施の形態１によるプログラム更新システムにおけるパスワード表示例を示す図である。 この発明の実施の形態１によるプログラム更新システムにおける入力画面例を示す図である。 この発明の実施の形態２によるプログラム更新システムを示す構成図である。

実施の形態１．
図１は、この発明の実施の形態１によるプログラム更新システムを示す構成図である。
図１において、プログラム配信装置２は、車両の外部にあり、車両内の書き換え対象となる制御装置の更新プログラムを配信する装置である。更新プログラムは、少なくともプログラム更新装置７で改ざんが検知できる形式で配信する。プログラム配信装置２から配信された更新プログラムは、車両に搭載されたプログラム受信装置１によって受信され、プログラム受信装置１から車内ＬＡＮを介してプログラム更新装置７に送られ、プログラム更新装置７によって、書き換え対象の制御装置１５の制御ソフトウェアおよび制御パラメータを含むプログラムが更新される。プログラム更新装置７は、車内ＬＡＮによってインストルメントパネル１２に接続されている。

プログラム受信装置１は、次のように構成されている。
プログラム受信手段５は、車両外部のプログラム配信装置２から無線通信を介して制御装置１５の更新プログラムを受信する。
ＧＵＩ管理部３（ＧＵＩ：Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）は、プログラム受信装置１の持つタッチディスプレイ６を介するユーザとのインターフェースを管理する。ＧＵＩ管理部３は、パスワード入力手段４を有し、パスワード入力手段４は、タッチディスプレイ６にユーザに対するパスワードの入力画面を表示し、ユーザのタッチによるパスワード入力を受け付け、入力されたパスワードをプログラム更新装置７に転送する。
なお、図１では、プログラム受信装置１への入出力のインターフェースとしてタッチディスプレイ６を示しているが、プログラム受信装置１に接続される入出力インターフェースであれば、これに限る必要はなく、外部から持ち込まれる携帯端末の入出力インターフェースを利用しても良い。パスワード入力手段４は、ＧＵＩ管理部３においてＧＵＩ入力を利用しているが、ユーザからのパスワードの入力が可能であれば、これに限らずユーザの声を利用した音声入力でも良い。

プログラム更新装置７は、次のように構成されている。
プログラム更新管理手段１０（プログラム更新手段）は、車内ＬＡＮで接続されたプログラム受信装置１から受信した制御装置１５の更新プログラムの更新内容を読み取る。フラッシュ書き換え手段１１は、更新内容によって、制御装置１５のフラッシュメモリに格納されているプログラムの書き換え（以下、フラッシュ書き換えと称す。）を行う。
パスワード生成手段８（ワンタイムパスワード生成手段）は、プログラム更新を行う度に必要となるワンタイムパスワードを生成する。パスワード生成手段８が出力するワンタイムパスワードは、一般的な乱数の数値の他にインストルメントパネル１２で表現可能なパターンを含む。
認証手段９は、パスワード生成手段８で生成されたワンタイムパスワードと、プログラム受信装置１のパスワード入力手段４から送信されたパスワードを比較して、入力されたパスワードの認証を行う。

プログラム更新装置７と車内ＬＡＮで接続されたインストルメントパネル１２は、次の機能を有している。
パスワード表示手段１３（ワンタイムパスワード表示手段）は、プログラム更新装置７のパスワード生成手段８で生成されたワンタイムパスワードを表示する。
更新内容表示手段１４は、プログラム更新装置７のプログラム更新管理手段１０からの指示に従い、プログラム更新内容を表示する。
なお、本実施の形態１では、後述するように、更新内容表示手段１４ではＬＥＤを用い、パスワード表示手段１３は速度計と回転速度計を用いているが、それぞれの手段において用いるものはこれらに限定されない。
パスワード表示手段１３は、パスワードに相当するパターンが表示できれば良く、インストルメントパネル１２に備えられるその他の計器類を用いることが可能であり、例えば積算距離計や区間距離計を用いても良い。
また、インストルメントパネル１２に、表示の自由度の高い、例えば、液晶ディスプレイもしくはヘッドアップディスプレイといった、プログラム受信装置以外のディスプレイが使用されている場合は、このディスプレイをパスワード表示手段１３および更新内容表示手段１４に使用しても良い。

図３は、この発明の実施の形態１によるプログラム更新システムにおける更新内容表示例を示す図である。
図３において、更新内容表示手段１４の更新内容表示例を示す図であり、インストルメントパネル１２内に更新プログラムの更新対象となる制御装置１５を示すＬＥＤ２１を設けている。

図４は、この発明の実施の形態１によるプログラム更新システムにおけるパスワード表示例を示す図である。
図４において、パスワード表示手段１３のパスワード表示例を示している。パスワード生成手段８に従い、インストルメントパネル１２の速度計２２に対して６０の値を表示し、回転速度計２３に対して５０００の値を表示する。

図５は、この発明の実施の形態１によるプログラム更新システムにおける入力画面例を示す図である。
図５において、プログラム受信装置１でのパスワードの入力画面例を示している。この入力画面では、パスワードとして速度計と回転速度計が指し示す数値のパターンを用いる。
図５のタッチディスプレイ６には、パスワードの入力画面として、インストルメントパネル２５と、その中に速度計２６と回転速度計２７の表示があり、速度計２６と回転速度計２７には、その周囲に図４で表示され得る範囲の数字を表示している。
なお、タッチディスプレイ６では、速度計２６の周囲に配置される数字および回転速度計２７の周囲に配置される数字をタッチすれば、その数値が選択されるようになっている。

次に、動作について説明する。
まず、プログラム更新装置７がユーザの認証を行わずに、制御装置１５のプログラム更新のみを行う場合について説明する。
この場合、プログラム配信装置２が配信する更新プログラムをプログラム受信装置１のプログラム受信手段５が受信して、プログラム更新装置７に送信し、プログラム更新装置７のプログラム更新管理手段１０が、更新プログラムの更新内容に基づき、フラッシュ書き換え手段１１を起動して、フラッシュ書き換え手段１１が、制御装置１５のフラッシュ書き換えを実施する。
なお、本実施の形態１では、プログラム更新の対象を制御装置１５で説明しているが、これに限らず、プログラム更新装置７がプログラム更新の対象とする装置は、プログラム更新装置７自身でもよく、プログラム受信装置１でも良い。

次に、プログラム更新装置７が、ユーザの認証を行うケースについて説明する。
認証の流れは、図２に示すとおりで、図２に示す認証は、プログラム更新装置７のフラッシュ書き換え手段１１が、制御装置１５のフラッシュ書き換えの実施以前に実施するものである。

プログラム更新装置７では、更新プログラムを受信すると（Ｓ１）、プログラム更新管理手段１０が、更新プログラムの内容を読み取り、更新内容をインストルメントパネル１２の更新内容表示手段１４に送信し、更新内容表示手段１４が更新内容を表示する（Ｓ２）。
図３は、この更新内容の表示例であり、インストルメントパネル１２内に更新プログラムの対象となる制御装置１５を示すＬＥＤ２１を設定している。
例えば、ＬＥＤ２１に３つの点灯個所を持たせれば、例えば左から、パワートレイン系制御装置、シャシー系制御装置、ボディ系制御装置などを割り当て、該当する更新プログラムの対象となる制御装置を点灯させるようにしている。
例えば、Ｓ１で受信した更新プログラムに対して、プログラム更新管理手段１０が内容を読み取り、パワートレイン系制御装置を更新対象としている場合は、プログラム更新管理手段１０は、更新内容表示手段１４にパワートレイン系制御装置が更新対象であることを伝達し、更新内容表示手段１４は、図３のＬＥＤ２１のように左を点灯させ、中央と右は消灯させる。

次に、プログラム更新装置７のパスワード生成手段８は、一回のみ有効なワンタイムパスワードを生成する（Ｓ３）。このパスワードは、毎回異なる内容で予測しにくいものであれば良く、先述の通り、一般的な乱数の数値でも良く、その他インストルメントパネル１２で表現可能なパターンでも良い。
パスワード生成手段８により生成されたパスワードは、インストルメントパネル１２のパスワード表示手段１３に伝達し、パスワード表示手段１３が、パスワードを表示する（Ｓ４）。
本実施の形態１では、便宜上、ワンタイムパスワードとして速度計２２と回転速度計２３が指し示す数値のパターンを用いることとして、パスワード生成手段８では、ワンタイムパスワードとして、速度計２２で示す値として６０、回転速度計２３で示す値として５０００という値を生成したものとする。
図４は、パスワード表示例を示す図であり、この時、パスワード表示手段１３は、パスワード生成手段８に従い、インストルメントパネル１２の速度計２２に対して６０の値を示し、回転速度計２３に対して５０００の値を示す。

Ｓ４のパスワードの表示後は、プログラム受信装置１のパスワード入力手段４が、タッチディスプレイ６にパスワード入力画面の表示を行う（Ｓ５）。
図５は、入力画面例を示す図である。本実施の形態１では、パスワードとして、速度計と回転速度計が指し示す数値のパターンを用いることとしているため、図５のタッチディスプレイ６には、パスワードの入力画面として、インストルメントパネル２５と速度計２６と回転速度計２７と、速度計２６と回転速度計２７にはその周囲に図４で表示され得る範囲の数字を表示している。

パスワード入力画面を表示したら（Ｓ５）、ユーザによるパスワード入力を待つ（Ｓ６）。
ユーザは、インストルメントパネル１２上のワンタイムパスワードの表示を読み取り、これと同じパスワードを入力する。ユーザが、図５のタッチディスプレイ６で示される速度計２６および回転速度計２７の周囲に配置される数字をタッチして、数値が選択されたら、プログラム受信装置１のパスワード入力手段４は、プログラム更新装置７にユーザが選択した数値を送信する。
プログラム更新装置７の認証手段９は、プログラム受信装置１のパスワード入力手段４から届いた数値と、Ｓ３のプログラム更新装置７のパスワード生成手段８が生成した値を比較する（Ｓ７）。
そこで両者の値が一致していれば（Ｓ８）、認証ＯＫ（Ｓ９）とし、一致していなければ認証ＮＧ（Ｓ１０）とする。
仮に、Ｓ６にてユーザが選択した数値が、速度計で示す値として６０、回転速度計で示す値として５０００であれば、Ｓ３のパスワード生成手段８が生成した値と一致するため、認証ＯＫとする（Ｓ９）。

なお、Ｓ６にて、パスワードがプログラム受信装置１に入力されることになるが、ここでの入力は、ユーザの認証に対する意思決定の結果によってもたらされた入力であって、プログラム受信装置１が知り得たところで、ユーザの意図に反するものではない。
また、パスワードの有効回数が１回限りであり、次回のプログラム更新時は無効となるため、プログラム受信装置１が知り得たところで、次回以降の認証において、ユーザが知り得ない環境下で、制御装置１５のプログラム更新を行おうとしても成立しない。

プログラム更新装置７のプログラム更新管理手段１０は、認証手段９の認証結果が、認証ＯＫであれば、フラッシュ書き換え手段１１を起動して、制御装置１５のフラッシュ書き換え処理を実施する。

実施の形態１によれば、以上により、プログラム受信装置１が乗っ取られたとしても、不正な更新内容が制御装置１５に伝わることはなく、またプログラム受信装置１によってユーザの知り得ない状況下での制御装置１５のプログラム更新の認証が行われることを防ぐことができる。
また、認証に必要なパスワードの通知をトークンといった新たな装置を備えることなく実現しているため、コストの上昇を抑えることができるとともに、ユーザが携帯する装置が増えないため、ユーザビリティの低下を招かない。
また、パスワードの通知を、ユーザにとって読み取りにくい画像認証ではなく、視認性に優れたインストルメントパネルを使用しているため、煩わしさもない。

実施の形態２．
図６は、この発明の実施の形態２によるプログラム更新システムを示す構成図である。
図６において、１〜１５は図１におけるものと同一のものである。図６では、プログラム受信装置１とプログラム更新装置７とインストルメントパネル１２が、同一の車内ＬＡＮで接続されている。このため、プログラム更新装置７とインストルメントパネル１２間の通信をプログラム受信装置１に知られないようにするために、プログラム更新装置７に、更新内容とワンタイムパスワードを暗号化する暗号化手段１６を設けるとともに、インストルメントパネル１２に暗号化された更新内容とワンタイムパスワードを復号する復号手段１７を設けている。

プログラム更新装置７の暗号化手段１６は、プログラム更新装置７のプログラム更新管理手段１０がインストルメントパネル１２の更新内容表示手段１４に伝達する更新内容、およびプログラム更新装置７のパスワード生成手段８がインストルメントパネル１２のパスワード表示手段１３に伝達するワンタイムパスワードを暗号化する。
一方で、インストルメントパネル１２の復号手段１７は、プログラム更新装置７の暗号化手段１６によって暗号化された更新内容とワンタイムパスワードを平文に復号する。

実施の形態２によれば、以上により、プログラム受信装置１とプログラム更新装置７とインストルメントパネル１２が、同一の車内ＬＡＮで接続されている構成であっても、プログラム更新装置７のプログラム更新管理手段１０が、インストルメントパネル１２の更新内容表示手段１４に伝達する更新内容、およびプログラム更新装置７のパスワード生成手段８がインストルメントパネル１２のパスワード表示手段１３に伝達するワンタイムパスワードに対して、プログラム受信装置１による改ざんや盗聴を防止することが可能となる。

なお、本発明は、その発明の範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略することが可能である。

１ プログラム受信装置、２ プログラム配信装置、３ ＧＵＩ管理部、
４ パスワード入力手段、５ プログラム受信手段、６ タッチディスプレイ、
７ プログラム更新装置、８ パスワード生成手段、９ 認証手段、
１０ プログラム更新管理手段、１１ フラッシュ書き換え手段、
１２ インストルメントパネル、１３ パスワード表示手段、１４ 更新内容表示手段、
１５ 制御装置、１６ 暗号化手段、１７ 復号手段、２１ ＬＥＤ、２２ 速度計、
２３ 回転速度計、２５ インストルメントパネル、２６ 速度計、２７ 回転速度計

Claims (5)

1. 制御装置のプログラムを更新するための更新プログラムを外部のサーバから受信するプログラム受信装置、
   およびインストルメントパネルに接続され、上記プログラム受信装置から上記更新プログラムを受け取り、上記制御装置のプログラムを更新するプログラム更新装置を備え、
   上記プログラム受信装置は、
   パスワードの入力画面を表示するとともに、ユーザから入力されたパスワードを上記プログラム更新装置に送信するパスワード入力手段を有し、
   上記プログラム更新装置は、
   ワンタイムパスワードとして、上記インストルメントパネルで表示可能な表示パターンを生成するワンタイムパスワード生成手段と、
   このワンタイムパスワード生成手段により生成されたワンタイムパスワードと、上記プログラム受信装置の上記パスワード入力手段で入力されたパスワードとを比較し、上記入力されたパスワードを認証する認証手段と、
   この認証手段により上記入力されたパスワードが認証された場合に、上記制御装置のプログラムを更新するプログラム更新手段とを有し、
   上記インストルメントパネルは、
   上記更新プログラムの更新内容を表示する更新内容表示手段と、
   上記ワンタイムパスワード生成手段により生成された上記表示パターンのワンタイムパスワードを表示するワンタイムパスワード表示手段とを有することを特徴とするプログラム更新システム。
2. 上記インストルメントパネルの上記更新内容表示手段は、ＬＥＤによって上記更新内容を表示することを特徴とする請求項１記載のプログラム更新システム。
3. 上記インストルメントパネルの上記ワンタイムパスワード表示手段は、上記インストルメントパネルの計器上に上記ワンタイムパスワードを表示するとともに、
   上記プログラム受信装置の上記パスワード入力手段は、タッチディスプレイ上に表示された上記インストルメントパネルの上記計器の画像から上記パスワードの入力を行うことを特徴とする請求項１または請求項２記載のプログラム更新システム。
4. 上記インストルメントパネルの上記ワンタイムパスワード表示手段および上記更新内容表示手段は、ディスプレイによって、それぞれ上記表示を行うことを特徴とする請求項１記載のプログラム更新システム。
5. 上記プログラム更新装置は、上記インストルメントパネルに送信するプログラム更新内容および上記ワンタイムパスワード生成手段により生成された上記表示パターンのワンタイムパスワードを暗号化する暗号化手段を有し、
   上記インストルメントパネルは、上記暗号化された上記プログラム更新内容および上記ワンタイムパスワードを復号する復号手段を有することを特徴とする請求項１から請求項４のいずれか一項記載のプログラム更新システム。

Images