JP6505318B2

JP6505318B2 - 車両の電子制御ユニットへの不正アクセスイベントの通知

Info

Publication number: JP6505318B2
Application number: JP2018512967A
Authority: JP
Inventors: シャーアンキット; ファレルアンソニー; ドレーゼンカール
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2015-09-10
Filing date: 2016-08-18
Publication date: 2019-04-24
Anticipated expiration: 2036-08-18
Also published as: US20180244238A1; EP3348036A1; EP3348036B1; JP2018528700A; US10279775B2; WO2017042012A1

Description

関連出願
本非仮出願は、２０１５年９月１０日に出願された、米国仮出願第６２／２１６，４５８号の優先権を主張するものであり、その開示内容全体は、参照により本願に組み込まれる。

本発明の実施の形態は、車両のセキュリティシステムの分野に関する。

概要
車両の電子制御ユニット（ＥＣＵ：ＥｌｅｃｔｒｏｎｉｃＣｏｎｔｒｏｌＵｎｉｔ）は、不正アクセスされる可能性があり、又は、そのアクティビティが改竄される可能性がある。そのような不正アクセスの結果、いくつかの車両システムが制御不能になる可能性があり、そのような車両システムには、制動システム及び操舵システムのような緊要なシステムが含まれる。特定のＥＣＵは、そのようなアクセスを阻止することができるが、しかしながら、不正アクセス又はアクティビティの改竄の試みを他のＥＣＵに通知することは有用であると考えられる。本発明によって、ＥＣＵは、不正アクセスイベントに関して、１つ又は複数の他のＥＣＵと通信することができる。

１つの実施の形態においては、本発明は、不正アクセスイベントを他のＥＣＵと通信する方法を提供する。この方法は、ルータ又はゲートウェイを含んでいないプライベートコントローラエリアネットワーク（ＣＡＮ：ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）を用いた、ＥＣＵ間における通信を含む。このプライベートＣＡＮは、少なくとも、最も緊要な、能動的及び受動的なセーフティモジュールを、例えば、操舵システム、制動システム及びエアバッグをネットワーク化する。ＥＣＵ間における通信は、イベントベースのＣＡＮメッセージ送信に利用される。プライベートＣＡＮは、既存のパブリックＣＡＮに付加的に動作する。また、本方法は、ＥＣＵ間における、不正アクセスイベント鍵と、不正アクセスイベントの通知のためにのみ使用されるハッキング通知鍵と、の共有を含む。

別の実施の形態は、不正アクセスイベントを他のＥＣＵと通信するように構成されているシステムを提供する。このシステムは、ＥＣＵ、プライベートＣＡＮ、ハッキング通知鍵、少なくとも１つのプロセッサ、及び、少なくとも１つの物理的なコンピュータ記憶媒体を含む。少なくとも１つの物理的なコンピュータ記憶媒体は、記憶されている実行可能な命令を含み、この命令は、少なくとも１つのプロセッサによって実行されると、少なくとも１つのプロセッサに、プライベートＣＡＮ上の他のＥＣＵに不正アクセスイベントを通信するオペレーションを実行させる。このオペレーションは、ルータ又はゲートウェイを含んでいないプライベートコントローラエリアネットワーク（ＣＡＮ）を用いた、ＥＣＵ間での通信を含む。ＥＣＵ間の通信は、イベントベースのＣＡＮメッセージ送信に利用される。プライベートＣＡＮは、既存のパブリックＣＡＮに付加的に動作する。また、この動作は、ＥＣＵ間での、不正アクセスイベント鍵及びハッキング通知鍵の共有も含み、ハッキング通知鍵は、不正アクセスイベントの通知のためにのみ使用される。

本発明に係る方法は、記憶されている命令を含む、少なくとも１つの物理的なコンピュータ記憶媒体を含む。記憶されている命令は、実行されると、プライベートＣＡＮ上の他のＥＣＵに不正アクセスイベントを通信するためのオペレーションを実行させる。このオペレーションは、ルータ又はゲートウェイを含んでいない（即ち、ピア・ツー・ピア・ネットワークにおける）プライベートコントローラエリアネットワーク（ＣＡＮ）を用いた、ＥＣＵ間での通信を含む。ＥＣＵ間の通信は、イベントベースのＣＡＮメッセージ送信に利用される。プライベートＣＡＮは、既存のパブリックＣＡＮに付加的に動作する。また、この動作は、ＥＣＵ間での、不正アクセスイベント鍵及びハッキング通知鍵の共有も含み、ハッキング通知鍵は、不正アクセスイベントの通知のためにのみ使用される。

本発明のいくつかの実施の形態によるシャシシステム制御部の図である。

詳細な説明
本発明の各実施の形態の詳細な説明に先立ち、本発明は、下記に説明されている又は添付の図面に図示したコンポーネントの構造及び構成の細部に対して適用されることに限定されるものではないと理解されたい。本発明の他の実施の形態も考えられ、また、実践することができ、又は、本発明を種々の手法で実施することができる。

即ち、本明細書において使用される語句及び用語は説明を目的としたものであって、制限を課すものとみなされるべきではないと理解されたい。本明細書における「含む」、「備えている」又は「有している」及びそれらの変化形の使用は、下記に挙げるアイテム及びそれらのアイテムと等価のアイテム、並びに、付加的なアイテムを包含していることを意味している。「取り付けられている」、「接続されている」及び「結合されている」という語句は、広範に使用されており、また、直接的な取付け、接続及び結合も、間接的な取付け、接続及び結合も包含している。さらに「接続された」及び「結合された」は、物理的又は機械的な接続又は結合に限定されておらず、直接的であるか間接的であるかは問わず、電気的な接続又は結合も含むと考えられる。また、電子的な通信及び通知を、有線式のコネクション、無線式のコネクション等を含む公知のいずれかの手段を使用して実施することができる。

また、ハードウェア及びソフトウェアをベースとする複数の装置、並びに、構造が異なる複数のコンポーネントを、本発明を実施するために使用することができることも言及しておく。さらに、本発明の複数の実施の形態は、ハードウェア、ソフトウェア、及び、複数の電子コンポーネント又は電子モジュールを含むことができるが、それらは検討のために、大部分があたかもハードウェアにおいてのみ実施されているように図示及び説明されている場合もあることを理解されたい。もっとも当業者であれば、この詳細な説明を読むことによって、少なくとも１つの実施の形態においては、本発明の電子ベースの態様を、１つ又は複数のプロセッサによって実行可能な（例えば、非一時的なコンピュータ可読媒体に記憶されている）ソフトウェアとして実施することができることが分かる。そのようにして、ハードウェア及びソフトウェアをベースとする複数の装置、並びに、構造が異なる複数のコンポーネントを、本発明を実施するために利用することができることを言及しておく。例えば、本明細書に記載されている「コントロールユニット」及び「コントローラ」は、標準的な処理コンポーネント、例えば１つ又は複数のプロセッサ、非一時的なコンピュータ可読媒体を含む１つ又は複数のメモリモジュール、１つ又は複数の入力／出力インタフェース、及び、コンポーネント同士を接続する種々のコネクション（例えばシステムバス）を含むことができる。

図１は、本発明のいくつかの実施の形態による、シャシシステム制御部、又は、不正アクセスの試みを通知するシステムの図である。さらに、図１における車両１０は、複数の車輪２０を有している。車両１０は、パブリックコントローラエリアネットワーク３０（以下では「パブリックＣＡＮ」と記す）を含み、このパブリックＣＡＮ３０によって、車両の電子制御式システムの電子制御ユニット（ＥＣＵ）が相互接続され又はネットワーク化される。パブリックＣＡＮ３０は、中央コントローラ４０を含むことができ、この中央コントローラ４０は、パブリックＣＡＮ３０上のトラフィックを制御する。パブリックＣＡＮ３０のための物理的なバスの代わりに、いくつかの実施の形態においては、無線式の暗号化ネットワークが使用される。

本発明に係るシステムは、パブリックＣＡＮ３０の他に、プライベートＣＡＮ１６０も含む。下記において述べるように、プライベートＣＡＮ１６０は、車両システムがパブリックＣＡＮ３０又はその他の手段を介して攻撃されたときに、ＥＣＵ間でメッセージを交換するために使用される。

図１において、プライベートＣＡＮ１６０は、車両の電子制御ユニット又はモジュール、例えば伝送制御モジュール（ＴＣＭ：ＴｒａｎｓｍｉｓｓｉｏｎＣｏｎｔｒｏｌＭｏｄｕｌｅ）１００、電力制御モジュール（ＰＣＭ：ＰｏｗｅｒＣｏｎｔｒｏｌＭｏｄｕｌｅ）１０５、ドライバアシスタンスシステムモジュール（ＤＡＳＭ：ＤｒｉｖｅｒＡｓｓｉｓｔａｎｃｅＳｙｓｔｅｍＭｏｄｕｌｅ）１１０、及び、横滑り防止装置（ＥＳＰ：ＥｌｅｃｔｒｏｎｉｃＳｔａｂｉｌｉｔｙＰｒｏｇｒａｍ）１１５のうちの少なくともいくつかをネットワーク化する。プライベートＣＡＮ１６０は、いくつかの実施の形態においては物理的なバスを使用し、別の実施の形態においては無線ネットワークを使用する。各モジュールは、一意の即ち固有ＩＤ１２０ａ，１２０ｂ，１２０ｃ及び１２０ｄをそれぞれ含み、それらの固有ＩＤは、対応するモジュールに関連付けられており、また、メッセージの送信元であるモジュールを識別するために他のモジュールによって使用される。各モジュール１００，１０５，１１０及び１１５は、それぞれ１つの第１の鍵１２５ａ，１２５ｂ，１２５ｃ及び１２５ｄと、それぞれ１つの第２の鍵１３０ａ，１３０ｂ，１３０ｃ及び１３０ｄと、ハッキング通知鍵１３５と、を含む、記憶された鍵を有している。ただし、記憶された鍵に含まれるものは、上記のものに限定されるものではない。ハッキング通知鍵１３５は、内部ＥＣＵプライベート通信のために割り当てられた固有の共通の秘密鍵である。ハッキング通知鍵１３５は、不揮発性メモリに存在している。この共通の専用鍵を使用することによって、受信側のＥＣＵには、不正アクセスイベントである通信の特定の根拠と、標的になったＥＣＵである、メッセージの送信元と、が通知される。このハッキング通知鍵１３５は、相手先ブランド製造業者（ＯＥＭ：ＯｒｉｇｉｎａｌＥｑｕｉｐｍｅｎｔＭａｎｕｆａｃｔｕｒｅｒ）によって選択されており、また、関係するすべてのＥＣＵモジュールにおいて整合されており又は記憶されている。ハッカーは、ＥＣＵへのアクセスを試みるために、又は、アクセスを得るために多数の鍵を使用すると考えられる。失敗に終わった大量の鍵を、標的になったＥＣＵ及び標的にならなかったＥＣＵによって記憶することができる。

また、各モジュール１００，１０５，１１０及び１１５は、真性乱数発生器（ＴＲＮＧ：ＴｒｕｅＲａｎｄｏｍＮｕｍｂｅｒＧｅｎｅｒａｔｏｒ）１４０ａ，１４０ｂ，１４０ｃ及び１４０ｄと、ＡＥＳ−１２８アルゴリズム又は他の暗号化エンジン１４５ａ，１４５ｂ，１４５ｃ及び１４５ｄと、をそれぞれ１つずつ含む。各ＡＥＳ−１２８エンジンは、外部のモジュール（例えば検査モジュール又は診断モジュール）からの通信要求を受信する、対応する各通知復号器１４７ａ，１４７ｂ，１４７ｃ及び１４７ｄと通信する。

すべてのモジュール１００，１０５，１１０及び１１５は、パブリックＣＡＮ３０を介して通信し、また、それらのモジュールは、プライベートＣＡＮ１６０を介してもネットワーク化されている。閉じられたネットワークの外部からプライベートＣＡＮ１６０にアクセスすることはできないので、このプライベートＣＡＮ１６０は、直接的な外部の影響を受けずに、ＥＣＵ間のアクセスがセキュアであるという特有の利点を提供する。プライベートＣＡＮには、自己診断ポート（例えばＯＢＤ２ポート）又は無線信号を介してアクセスすることはできない。プライベートＣＡＮ１６０は、ゲートウェイ又はルータを含んでいない、重要な能動的／受動的なセーフティモジュール間のリンクであり（即ち、それらのモジュールはピア・ツー・ピアネットワークで接続されている）、それによって、サイバ攻撃及び他の不正アクセスイベントに対するよりセキュアなアーキテクチャが提供される。ロバストで暗号化された無線ネットワークを使用することができるが、プライベートＣＡＮ１６０は、有利には、ＥＣＵとオプションとしてのコントローラ１６２との間を接続する物理的な電気伝導体又はケーブルから成る。プライベートＣＡＮ１６０上のトラフィックは、有利には、付加的なセキュリティのために暗号化される。

ＥＣＵの起動、ソフトウェアフラッシュメモリ及びランタイムオペレーションに関して、ソフトウェア／ハードウェアのセキュリティ機能は、プライベートＣＡＮ１６０のコンフィギュレーションのようなセキュリティシステム機能へのアクセスを提供する前に、アクセス要求者の真正性を検証する。認証が失敗した場合、要求者は、セキュリティ機能へのアクセスが許可されない。

プライベートＣＡＮを介してネットワークに接続されているＥＣＵへの、例えばＥＳＰモジュール１１５へのアクセスが試みられた場合、そのモジュールは、パブリックＣＡＮを介してアクセスを得ようと試みている外部のモジュール（例えば外部のテスタ又は権限が与えられていないユニット）に権限が与えられることを保証することになる。外部のモジュールに権限を与えるために、ＥＳＰモジュール１１５は、自身の乱数発生器１４０ｄに、乱数を含むパケットを、パブリックＣＡＮを介して外部のモジュールに送信させる。外部のモジュールは、公開鍵／秘密鍵ペアの秘密鍵を用いて乱数を暗号化し、結果をＥＳＰモジュール１１５に送信することを要求する。ＥＳＰモジュール１１５は、続いて、外部のモジュールの真正性を検証するために復号器１４７を使用して、自身の固有の公開鍵を用いて、受信したパケットを復号する。受信したメッセージの復号が成功し、かつ、乱数が一致する場合には、外部のモジュールには、パブリックＣＡＮを使用する権限が与えられ、また、他のＥＣＵに対して、その外部のモジュールを通知するための警告は送信されない。

復号が成功しなかった場合には（即ち、秘密鍵及び／又は乱数が期待される秘密鍵及び乱数と一致しない場合には）、外部のモジュールからの要求は不正なものであったということになる。この不正アクセスイベントは、ハッキング又は改竄の試みであった可能性がある。イベントベースのＣＡＮメッセージ通知は、標的になったモジュール又はコントローラ１６２から、プライベートＣＡＮ１６０上の他のＥＣＵに対して、ＥＣＵのうちの１つに不正アクセスイベントの試みがあったことをそれらの他のＥＣＵに通知するために送信される。（被害モジュール又はソースモジュールに依存する）特別な固有識別コード（ＩＤ）１２０ａ，１２０ｂ，１２０ｃ又は１２０ｄを有するＣＡＮメッセージは、被害ＥＣＵによって、標的になる可能性がある他のＥＣＵに対して、共通のハッキング通知鍵の記憶されている暗号化されたバージョンを用いて生成される。プライベートＣＡＮメッセージを用いて、被害ＥＣＵはまた、不正アクセスイベント鍵（無効な鍵）を暗号化して、暗号化された不正アクセスイベント鍵（無効な鍵）を後続のメッセージにおいて、プライベートＣＡＮネットワーク上の他のＥＣＵと共有する。すべてのＥＣＵには、不正な要求又は最初の攻撃が同時に通知される。このようにして、標的にならなかったＥＣＵには、それらの各ＥＣＵに到来するリクエストを監視するために、プライベートＣＡＮ１６０を介して警告及び通報が行われる。パブリックＣＡＮ３０を介する外部のモジュールの不正なリクエストを、特定の１つ又は複数のＥＣＵに限定することができるが、しかしながら、パブリックＣＡＮ又はその他の手段を介して、ＥＣＵからＥＣＵに拡散されない。この方法によって、各ＥＣＵが相互的に学習を行い、それによって、より信頼性の高い安定した車両レベルのサイバセキュリティシステムが形成される。

本発明のいくつかの実施の形態においては、相手先ブランド製造業者（ＯＥＭ：ＯｒｉｇｉｎａｌＥｑｕｉｐｍｅｎｔＭａｎｕｆａｃｔｕｒｅｒ）は、プライベートＣＡＮ１６０に関する車両レベルのアーキテクチャガイドライン、例示的なモジュール１００，１０５，１１０及び１１５それぞれのためのイベントベースのＣＡＮ固有ＩＤ１２０ａ，１２０ｂ，１２０ｃ及び１２０ｄ、共通のハッキング通知鍵１３５、並びに、プライベートＣＡＮでネットワーク化されたＥＣＵ間の通知方法論を提供する。種々のＥＣＵの供給業者は、それらＥＣＵの各ハードウェアセキュリティモジュール（ＨＳＭ：ＨａｒｄｗａｒｅＳｅｃｕｒｉｔｙＭｏｄｕｌｅ）が、ＯＥＭガイドラインと協調し、かつ、そのＯＥＭガイドラインに準拠し、これによって、それらの１つ又は複数のＥＣＵへの場合によっては起こり得る侵入に関する他のＥＣＵへの通知の要求が実現されることを保証する。別の実施の形態においては、セキュリティハードウェア拡張（ＳＨＥ：ＳｅｃｕｒｉｔｙＨａｒｄｗａｒｅＥｘｔｅｎｓｉｏｎ）又は信頼済みプラットフォームモジュール（ＴＰＭ：ＴｒｕｓｔｅｄＰｌａｔｆｏｒｍＭｏｄｕｌｅ）が、ハードウェアセキュリティモジュールの代わりに使用される。関係するＥＣＵは、暗号化及び復号を実行するために、サイバセキュリティ用のハードウェア又はソフトウェアのメカニズムも有していなければならない。

いくつかの実施の形態においては、上述のプライベートＣＡＮ１６０が、少なくとも１つのプロセッサ又はコントローラ１６２を使用して制御される。パブリックＣＡＮ３０は、１つ又は複数のコントローラ４０を有することができる。コントローラ１６２及びコントローラ４０はそれぞれ、１つ又は複数の処理ユニット（例えば、プロセッサ、特定用途向け集積回路（「ＡＳＩＣ」）等）、少なくとも１つの不揮発性のコンピュータ可読媒体を含む１つ又は複数のメモリモジュール、及び、１つ又は複数の入力／出力インタフェースを含むことができる。コントローラは、入力／出力インタフェースを使用して、コントローラ外部の１つ又は複数のセンサ又はシステムとの間で（例えば、車両通信バス、例えばＣＡＮバス又はＣＡＮワイヤレスネットワークを介して）情報を送受信する。いくつかの実施の形態においては、コントローラが、１つ又は複数の内部センサ又はシステムを含むこともできる。

本発明の種々の特徴及び利点は、添付の特許請求の範囲に記載されている。

Claims

それぞれが車両システムを制御し、かつ、車両の外部からアクセス可能なパブリックコントローラエリアネットワーク（ＣＡＮ）に接続されている、車両の電子制御ユニット（ＥＣＵ）を保護する方法において、
当該方法は、
第１のＥＣＵへのアクセスの試みを検出することと、
前記第１のＥＣＵへのアクセスの試みが不正な試みであるか否かを特定することと、
プライベートコントローラエリアネットワーク（ＣＡＮ）を使用して、前記不正な試みに関する通知メッセージを第２のＥＣＵに伝送することと、
を含む、方法。
前記伝送は、前記第１のＥＣＵを一意に識別する識別コードを、前記通知メッセージに組み込むこと、を含む、
請求項１に記載の方法。
暗号化されたハッキング通知鍵（ＨＮＫ）を、前記第１のＥＣＵ及び前記第２のＥＣＵに記憶することをさらに含み、
前記伝送は、前記暗号化されたＨＮＫを、前記プライベートＣＡＮを使用して、前記第２のＥＣＵに伝送することを含む、
請求項１に記載の方法。
不正なアクセスの試みに関連付けられた不正アクセスイベント鍵を暗号化することをさらに含み、
前記伝送は、暗号化された前記不正アクセスイベント鍵を、前記プライベートＣＡＮを使用して、前記第２のＥＣＵに伝送することを含む、
請求項１に記載の方法。
前記特定は、
乱数を生成することと、
前記乱数を、前記アクセスを試みるデバイスに、前記パブリックＣＡＮを使用して伝送することと、
前記デバイスからの応答を復号することと、
復号された前記応答を、正しい値と比較し、前記応答は権限が与えられた応答であることを特定することと、
を含む、
請求項１に記載の方法。
それぞれが車両システムを制御し、かつ、車両の外部からアクセス可能なパブリックコントローラエリアネットワーク（ＣＡＮ）に接続されている、車両の電子制御ユニット（ＥＣＵ）を保護するシステムにおいて、
当該システムは、
暗号化されたハッキング通知鍵を記憶する第１の記憶装置を含み、かつ、第１の車両システムを制御する第１のＥＣＵと、
暗号化されたハッキング通知鍵を記憶する第２の記憶装置を含み、かつ、第２の車両システムを制御する第２のＥＣＵと、
前記第１のＥＣＵと前記第２のＥＣＵとを相互接続する、閉じられたプライベートコントローラエリアネットワーク（ＣＡＮ）と、
を備えており、
前記第１のＥＣＵは、当該第１のＥＣＵが、前記パブリックＣＡＮを介する自身へのアクセスの不正な試みを検出した場合に、前記プライベートＣＡＮにおいて、前記第２のＥＣＵに警告メッセージを伝送するように構成されている、
システム。
前記第１のＥＣＵは、前記パブリックＣＡＮにおいて前記第１のＥＣＵへのアクセスの取得を試みている外部の装置に対して、乱数を生成する乱数発生器をさらに含む、
請求項６に記載のシステム。
前記第１のＥＣＵは、前記外部の装置から受信したメッセージを復号する復号装置をさらに含む、
請求項７に記載のシステム。
前記第１のＥＣＵは、当該第１のＥＣＵから送信されるメッセージを暗号化し、かつ、当該第１のＥＣＵによって受信されたメッセージを復号するように構成されている暗号化装置をさらに含む、
請求項６に記載のシステム。
前記第１のＥＣＵは、前記警告メッセージを用いて、前記第２のＥＣＵに一意の識別コードを伝送するように構成されている、
請求項９に記載のシステム。