JP6949797B2 - 鍵管理システム、管理サーバ装置、端末装置、コンピュータプログラム、及び鍵管理方法 - Google Patents

Description

本発明は、鍵管理システム、管理サーバ装置、端末装置、コンピュータプログラム、及び鍵管理方法に関する。

従来、自動車は、ＥＣＵ（Electronic Control Unit：電子制御装置）を有し、ＥＣＵによってエンジン制御等の機能を実現する。ＥＣＵは、コンピュータの一種であり、コンピュータプログラムによって所望の機能を実現する。複数のＥＣＵをＣＡＮ（Controller Area Network）に接続して構成される車載制御システムについてのセキュリティ技術が例えば非特許文献１に記載されている。

竹森敬祐、"セキュアエレメントを基点とした車載制御システムの保護 −要素技術の整理と考察−"、電子情報通信学会、信学技報、vol. 114、no. 508、pp. 73-78、2015年3月

自動車に搭載されたＥＣＵは、ＣＡＮパケットにＭＡＣ（Message Authentication Code）を付与したり又はデータを暗号化したりする際に、自動車毎に個別の共通鍵であるＥＣＵ鍵を利用する。このＥＣＵ鍵の生成に使用されるマスタ鍵は、一般的に、自動車メーカが１個から数個程度を持ち、管理サーバ装置で保管される。管理サーバ装置は、自己が保管するマスタ鍵を全て又は複数の自動車に共通に使用して、ＥＣＵ鍵を生成する。また、自動車整備工場における自動車のＥＣＵ交換時には、自動車整備工場の端末装置から管理サーバ装置にアクセスして交換用のＥＣＵに格納するＥＣＵ鍵を生成してもらう。このため、管理サーバ装置は、多数の端末装置からアクセスできるようになっている。しかしながら、そのような管理サーバ装置はＤｏＳ攻撃を受ける可能性があった。

本発明は、このような事情を考慮してなされたものであり、その目的は、複数の車両に共通に使用される共通マスタ鍵を保管する管理サーバ装置をＤｏＳ攻撃等の通信による攻撃から防御すると共に、当該共通マスタ鍵に基づいた車両毎に個別の車両共通鍵の生成を図ることにある。

（１）本発明の一態様は、ネットワークに通信接続される管理サーバ装置と、前記ネットワークに通信接続される端末装置と、を備え、前記ネットワークは独立した通信ネットワークであり、前記管理サーバ装置及び前記端末装置は前記ネットワーク以外の他の通信ネットワークには通信接続されないものであり、前記ネットワークに通信接続される装置は前記管理サーバ装置及び前記端末装置のみであり、前記端末装置は通信による攻撃を実行することがない端末装置であり、前記管理サーバ装置は、前記ネットワークにより前記端末装置と通信を行うサーバ通信部と、共通マスタ鍵を記憶する共通マスタ鍵記憶部と、前記共通マスタ鍵と個車マスタ鍵生成対象車両の車両識別情報とを使用して、前記個車マスタ鍵生成対象車両の車両共通鍵の生成に使用される個車マスタ鍵を生成する個車マスタ鍵生成部と、を備え、前記サーバ通信部は、前記個車マスタ鍵を前記端末装置へ送信し、前記端末装置は、前記ネットワークにより前記管理サーバ装置と通信を行う端末通信部と、前記個車マスタ鍵生成対象車両と通信を行う車両間通信部と、を備え、前記車両間通信部は、前記端末通信部により前記管理サーバ装置から受信した前記個車マスタ鍵を、前記個車マスタ鍵生成対象車両へ送信する、鍵管理システムである。
（２）本発明の一態様は、前記管理サーバ装置は、前記個車マスタ鍵生成対象車両の車両共通鍵を、前記個車マスタ鍵を使用して生成する車両共通鍵生成部をさらに備え、前記サーバ通信部は、前記車両共通鍵を前記端末装置へ送信し、前記車両間通信部は、前記端末通信部により前記管理サーバ装置から受信した前記車両共通鍵を、前記個車マスタ鍵生成対象車両へ送信する、上記（１）の鍵管理システムである。
（３）本発明の一態様は、前記個車マスタ鍵生成対象車両に付された記録媒体から、前記個車マスタ鍵の生成に使用される前記車両識別情報を取得する車両識別情報取得部をさらに備える、上記（１）又は（２）のいずれかの鍵管理システムである。

（４）本発明の一態様は、上記（１）の鍵管理システムに備わる端末装置と通信を行う端末間通信部と、前記端末間通信部により前記端末装置から受信した個車マスタ鍵を記憶する個車マスタ鍵記憶部と、自車両の車両共通鍵を、前記個車マスタ鍵記憶部に記憶される個車マスタ鍵を使用して生成する車両共通鍵生成部と、 前記車両共通鍵生成部が生成した前記車両共通鍵を記憶する車両共通鍵記憶部と、を備える車両である。
（５）本発明の一態様は、上記（２）に記載の鍵管理システムに備わる端末装置と通信を行う端末間通信部と、前記端末間通信部により前記端末装置から受信した個車マスタ鍵を記憶する個車マスタ鍵記憶部と、自車両の車両共通鍵を、前記個車マスタ鍵記憶部に記憶される個車マスタ鍵を使用して生成する車両共通鍵生成部と、前記端末間通信部により前記端末装置から受信した前記車両共通鍵又は前記車両共通鍵生成部が生成した前記車両共通鍵を記憶する車両共通鍵記憶部と、を備える車両である。

本発明の一態様は、ネットワークに通信接続される管理サーバ装置であり、前記ネットワークに通信接続される端末装置と前記ネットワークにより通信を行うサーバ通信部と、共通マスタ鍵を記憶する共通マスタ鍵記憶部と、前記共通マスタ鍵と個車マスタ鍵生成対象車両の車両識別情報とを使用して、前記個車マスタ鍵生成対象車両の車両共通鍵の生成に使用される個車マスタ鍵を生成する個車マスタ鍵生成部と、を備え、前記ネットワークは独立した通信ネットワークであり、前記管理サーバ装置及び前記端末装置は前記ネットワーク以外の他の通信ネットワークには通信接続されないものであり、前記ネットワークに通信接続される装置は前記管理サーバ装置及び前記端末装置のみであり、前記端末装置は通信による攻撃を実行することがない端末装置であり、前記サーバ通信部は、前記個車マスタ鍵を、前記個車マスタ鍵生成対象車両と通信を行う前記端末装置へ送信する、管理サーバ装置である。

本発明の一態様は、ネットワークに通信接続される端末装置であり、前記ネットワークに通信接続される管理サーバ装置と前記ネットワークにより通信を行う端末通信部と、前記管理サーバ装置が生成する個車マスタ鍵が車両共通鍵の生成に使用される個車マスタ鍵生成対象車両と通信を行う車両間通信部と、を備え、前記ネットワークは独立した通信ネットワークであり、前記管理サーバ装置及び前記端末装置は前記ネットワーク以外の他の通信ネットワークには通信接続されないものであり、前記ネットワークに通信接続される装置は前記管理サーバ装置及び前記端末装置のみであり、前記端末装置は通信による攻撃を実行することがない端末装置であり、前記車両間通信部は、前記端末通信部により前記管理サーバ装置から受信した前記個車マスタ鍵を、前記個車マスタ鍵生成対象車両へ送信する、端末装置である。

本発明の一態様は、ネットワークに通信接続される管理サーバ装置のコンピュータに、共通マスタ鍵を記憶する共通マスタ鍵記憶ステップと、前記共通マスタ鍵と個車マスタ鍵生成対象車両の車両識別情報とを使用して、前記個車マスタ鍵生成対象車両の車両共通鍵の生成に使用される個車マスタ鍵を生成する個車マスタ鍵生成ステップと、前記個車マスタ鍵を、前記ネットワークに通信接続される端末装置であって前記個車マスタ鍵生成対象車両と通信を行う前記端末装置へ前記ネットワークにより送信する個車マスタ鍵送信ステップと、を実行させるためのコンピュータプログラムであり、前記ネットワークは独立した通信ネットワークであり、前記管理サーバ装置及び前記端末装置は前記ネットワーク以外の他の通信ネットワークには通信接続されないものであり、前記ネットワークに通信接続される装置は前記管理サーバ装置及び前記端末装置のみであり、前記端末装置は通信による攻撃を実行することがない端末装置である、コンピュータプログラムである。
本発明の一態様は、ネットワークに通信接続される端末装置のコンピュータに、前記ネットワークに通信接続される管理サーバ装置から個車マスタ鍵を受信する個車マスタ鍵受信ステップと、前記管理サーバ装置から受信した前記個車マスタ鍵を、前記個車マスタ鍵が車両共通鍵の生成に使用される個車マスタ鍵生成対象車両へ送信する個車マスタ鍵送信ステップと、を実行させるためのコンピュータプログラムであり、前記ネットワークは独立した通信ネットワークであり、前記管理サーバ装置及び前記端末装置は前記ネットワーク以外の他の通信ネットワークには通信接続されないものであり、前記ネットワークに通信接続される装置は前記管理サーバ装置及び前記端末装置のみであり、前記端末装置は通信による攻撃を実行することがない端末装置である、コンピュータプログラムである。

本発明の一態様は、ネットワークに通信接続される管理サーバ装置が、共通マスタ鍵を記憶する共通マスタ鍵記憶ステップと、前記管理サーバ装置が、前記共通マスタ鍵と個車マスタ鍵生成対象車両の車両識別情報とを使用して、前記個車マスタ鍵生成対象車両の車両共通鍵の生成に使用される個車マスタ鍵を生成する個車マスタ鍵生成ステップと、前記管理サーバ装置が、前記個車マスタ鍵を、前記ネットワークに通信接続される端末装置へ前記ネットワークにより送信する第１個車マスタ鍵送信ステップと、前記端末装置が、前記ネットワークにより前記管理サーバ装置から前記個車マスタ鍵を受信する個車マスタ鍵受信ステップと、前記端末装置が、前記管理サーバ装置から受信した前記個車マスタ鍵を、前記個車マスタ鍵生成対象車両へ送信する第２個車マスタ鍵送信ステップと、を含み、前記ネットワークは独立した通信ネットワークであり、前記管理サーバ装置及び前記端末装置は前記ネットワーク以外の他の通信ネットワークには通信接続されないものであり、前記ネットワークに通信接続される装置は前記管理サーバ装置及び前記端末装置のみであり、前記端末装置は通信による攻撃を実行することがない端末装置である、鍵管理方法である。

本発明によれば、複数の車両に共通に使用される共通マスタ鍵を保管する管理サーバ装置をＤｏＳ攻撃等の通信による攻撃から防御すると共に、当該共通マスタ鍵に基づいた車両毎に個別の車両共通鍵の生成を図ることができるという効果が得られる。

一実施形態に係る鍵管理システム及び自動車の構成例を示す図である。 一実施形態に係る管理サーバ装置の機能構成例を示す図である。 一実施形態に係るメンテナンスツール（端末装置）の機能構成例を示す図である。 一実施形態に係るＧＷ装置の機能構成例を示す図である。 一実施形態に係るＥＣＵの機能構成例を示す図である。 一実施形態に係る鍵管理方法の例１を示すシーケンスチャートである。 一実施形態に係る鍵管理方法の例２を示すシーケンスチャートである。 一実施形態に係る鍵管理方法の例３を示すシーケンスチャートである。

以下、図面を参照し、本発明の実施形態について説明する。なお、以下に示す実施形態では、車両として自動車を例に挙げて説明する。

図１は、一実施形態に係る鍵管理システム及び自動車の構成例を示す図である。鍵管理システム１は、管理サーバ装置１０とメンテナンスツール（端末装置）３０とを備える。管理サーバ装置１０及びメンテナンスツール３０は、ローカルエリアネットワーク（Local Area Network：ＬＡＮ）２０に通信接続される。管理サーバ装置１０とメンテナンスツール３０とは、ＬＡＮ２０により相互に通信を行う。

ＬＡＮ２０は、独立した通信ネットワークである。管理サーバ装置１０及びメンテナンスツール３０は、ＬＡＮ２０以外のインターネット等の他の通信ネットワークには通信接続されない。また、ＬＡＮ２０に通信接続される装置は、本実施形態では、管理サーバ装置１０及びメンテナンスツール３０のみである。したがって、管理サーバ装置１０に対しては、メンテナンスツール３０のみがアクセスすることができる。メンテナンスツール３０は、安全な端末装置である。安全な端末装置とは、ＤｏＳ攻撃等の通信による攻撃を実行することがない端末装置である。これにより、管理サーバ装置１０はＤｏＳ攻撃等の通信による攻撃を受けることがないので、管理サーバ装置１０をＤｏＳ攻撃等の通信による攻撃から防御することができる。なお、メンテナンスツール３０以外の安全な端末装置がＬＡＮ２０に通信接続されてもよい。また、ＬＡＮ２０に通信接続される管理サーバ装置１０及びメンテナンスツール３０等の端末装置は、ユーザ認証によって正当な作業者のみが操作するものである。

自動車５０は、ＴＣＵ（Tele Communication Unit）５１と、車載インフォテイメント（In-Vehicle Infotainment：ＩＶＩ）機器５２と、ゲートウェイ（ＧＷ）装置５３と、通信ネットワーク５４と、複数のＥＣＵ（電子制御装置）５５と、メンテナンスポート５６とを備える。

ＥＣＵ５５は、自動車５０に備わる車載コンピュータである。ＥＣＵ５５は、自動車５０のエンジン制御等の制御機能を有する。ＥＣＵ５５として、例えば、エンジン制御機能を有するＥＣＵ、ハンドル制御機能を有するＥＣＵ、ブレーキ制御機能を有するＥＣＵなどがある。ＧＷ装置５３は、自動車５０に搭載されたＥＣＵ５５に適用されるデータのセキュリティ（保安）の機能を有する。なお、自動車５０に搭載されたいずれかのＥＣＵをＧＷ装置５３として機能させてもよい。

ＧＷ装置５３と複数のＥＣＵ５５は、自動車５０に備わる通信ネットワーク（以下、車載ネットワークと称する）５４に接続される。ＧＷ装置５３は、車載ネットワーク５４を介して、各ＥＣＵ５５との間でデータを交換する。ＥＣＵ５５は、車載ネットワーク５４を介して、他のＥＣＵ５５との間でデータを交換する。本実施形態の一例として、車載ネットワーク５４は、ＣＡＮ（Controller Area Network）である。ＣＡＮは車両に搭載される通信ネットワークの一例として知られている。ＣＡＮに接続される送信ノードと受信ノードとは、ＣＡＮを介してＣＡＮパケットを送受することにより、通信を行う。

なお、車両に搭載される通信ネットワークとして、ＣＡＮ以外の通信ネットワークを自動車５０に備え、ＣＡＮ以外の通信ネットワークを介して、ＧＷ装置５３とＥＣＵ５５との間のデータの交換、及び、ＥＣＵ５５同士の間のデータの交換が行われてもよい。例えば、ＬＩＮ（Local Interconnect Network）を自動車５０に備えてもよい。また、ＣＡＮとＬＩＮとを自動車５０に備えてもよい。

自動車５０の車載コンピュータシステムは、ＧＷ装置５３と複数のＥＣＵ５５とが車載ネットワーク５４に接続されて構成される。ＧＷ装置５３は、自動車５０の車載コンピュータシステムの内部と外部の間の通信を監視する。ＥＣＵ５５は、ＧＷ装置５３を介して、車載コンピュータシステムの外部の装置と通信を行う。

なお、車載ネットワーク５４の構成として、車載ネットワーク５４が複数のバス（通信線）を備え、該複数のバスをＧＷ装置５３に接続してもよい。この場合、一つのバスに、一つのＥＣＵ５５又は複数のＥＣＵ５５が接続される。

ＴＣＵ５１は通信装置である。ＴＣＵ５１は、携帯電話ネットワークや無線ＬＡＮ等の無線通信ネットワークを利用して自動車５０の外部の装置と通信を行う。

ＩＶＩ機器５２は、例えば、ナビゲーション機能、位置情報サービス機能、音楽や動画などのマルチメディア再生機能、音声通信機能、データ通信機能、インターネット接続機能などを備える。ＩＶＩ機器５２は、ユーザの操作に応じたデータ入力を行うための、キーボード、テンキー、マウス等の入力デバイスと、データ表示を行うための液晶表示装置等の表示デバイスとを備える。ＩＶＩ機器５２は、データ入力とデータ表示の両方が可能なタッチパネルを備えてもよい。

ＴＣＵ５１は、ＩＶＩ機器５２とＧＷ装置５３とに接続されている。ＩＶＩ機器５２は、ＴＣＵ５１とＧＷ装置５３とに接続されている。ＩＶＩ機器５２は、ＧＷ装置５３を介してＥＣＵ５５と通信を行う。ＩＶＩ機器５２は、ＴＣＵ５１を介して、自動車５０の車外の装置と通信を行う。ＥＣＵ５５は、ＧＷ装置５３及びＴＣＵ５１を介して、自動車５０の車外の装置と通信を行う。

自動車５０はメンテナンスポート５６を備える。メンテナンスポート５６はＧＷ装置５３に接続される。メンテナンスポート５６として、例えばＯＢＤ（On-board Diagnostics）ポートを使用してもよい。メンテナンスポート５６には、端末装置を接続可能である。メンテナンスポート５６に接続可能な端末装置として、例えば、図１に示されるメンテナンスツール３０がある。ＧＷ装置５３と、メンテナンスポート５６に接続された装置、例えばメンテナンスツール３０とは、メンテナンスポート５６を介して、データを交換する。メンテナンスツール３０は、ＯＢＤポートに接続される従来の診断端末の機能を有していてもよい。

自動車５０には、ＶＩＮ記録媒体７０が付されている。ＶＩＮ記録媒体７０は、自動車５０の車両識別番号（Vehicle Identification Number：ＶＩＮ）が記録された記録媒体である。ＶＩＮ記録媒体７０として、例えば、ＮＦＣ（Near Field Communication）タグを使用してもよく、又は、２次元バーコードを使用してもよい。

ＶＩＮ取得部７１は、ＶＩＮ記録媒体７０から、当該ＶＩＮ記録媒体７０に記録されたＶＩＮを取得する。ＶＩＮ取得部７１は、ＶＩＮ記録媒体７０がＮＦＣタグである場合、ＶＩＮ記録媒体７０（ＮＦＣタグ）からＶＩＮを無線により受信する。ＶＩＮ取得部７１は、ＶＩＮ記録媒体７０が２次元バーコードである場合、ＶＩＮ記録媒体７０（２次元バーコード）を撮像し、当該撮像画像からＶＩＮを取得する。ＶＩＮ取得部７１は、ＶＩＮ記録媒体７０から取得したＶＩＮを管理サーバ装置１０へ通知する。

なお、ＶＩＮ記録媒体７０は、適宜、自動車５０に付されたり、自動車５０から外されたりするものであってもよい。

図１に示される鍵管理システム１は、本実施形態の一例として、自動車５０の自動車メーカの自動車製造工場に設けられる。この場合、図１に示される自動車５０は、自動車製造工場で製造や検査などの工程にあるものである。メンテナンスツール３０は、自動車製造工場で自動車５０のメンテナンスポート５６に接続されて、当該自動車５０に対する各種の設定や試験などを行う。また、ＬＡＮ２０は、自動車製造工場内に設けられたものであって、外部からの不正な侵入やＤｏＳ攻撃等の通信による攻撃を受けることがない安全な通信ネットワークである。

図２は、本実施形態に係る管理サーバ装置の機能構成例を示す図である。図２に示される管理サーバ装置１０の各機能は、管理サーバ装置１０が備えるＣＰＵ（Central Processing Unit：中央演算処理装置）がコンピュータプログラムを実行することにより実現される。なお、管理サーバ装置１０として、汎用のコンピュータ装置を使用して構成してもよく、又は、専用のハードウェア装置として構成してもよい。

図２において、管理サーバ装置１０は、サーバ通信部１１と、共通マスタ鍵記憶部１２と、個車マスタ鍵生成部１３と、ＥＣＵ鍵生成部１４とを備える。サーバ通信部１１は、ＬＡＮ２０によりメンテナンスツール３０と通信を行う。

共通マスタ鍵記憶部１２は、共通マスタ鍵（共通ＭＳ）を記憶する。共通マスタ鍵は、自動車５０の自動車メーカが１個から数個程度を持つマスタ鍵（Master Secret：ＭＳ）であって、管理サーバ装置１０で安全に保管されて全て又は複数の自動車で共通して個車マスタ鍵の生成に使用される。個車マスタ鍵は、自動車毎に個別のマスタ鍵であって、自動車毎に個別の共通鍵であるＥＣＵ鍵（車両共通鍵）の生成に使用される。

個車マスタ鍵生成部１３は、共通マスタ鍵と個車マスタ鍵生成対象車両の車両識別情報とを使用して、当該個車マスタ鍵生成対象車両のＥＣＵ鍵の生成に使用される個車マスタ鍵を生成する。本実施形態の一例として、車両識別情報はＶＩＮである。

サーバ通信部１１は、個車マスタ鍵生成部１３が生成した個車マスタ鍵をメンテナンスツール３０へ送信する。当該個車マスタ鍵は、メンテナンスツール３０から該当の自動車５０へ送信される。

ＥＣＵ鍵生成部１４は、個車マスタ鍵生成対象車両のＥＣＵ鍵を、当該個車マスタ鍵生成対象車両の個車マスタ鍵を使用して生成する。サーバ通信部１１は、ＥＣＵ鍵生成部１４が生成したＥＣＵ鍵をメンテナンスツール３０へ送信する。当該ＥＣＵ鍵は、メンテナンスツール３０から該当の自動車５０へ送信される。

図３は、本実施形態に係るメンテナンスツール（端末装置）の機能構成例を示す図である。図３に示されるメンテナンスツール３０の各機能は、メンテナンスツール３０が備えるＣＰＵがコンピュータプログラムを実行することにより実現される。なお、メンテナンスツール３０として、汎用のコンピュータ装置を使用して構成してもよく、又は、専用のハードウェア装置として構成してもよい。また、メンテナンスツール３０として、スマートフォン等の携帯通信端末装置、タブレット型のコンピュータ装置（タブレットＰＣ）などを利用してもよい。

図３において、メンテナンスツール３０は、端末通信部３１と、車両間通信部３２とを備える。端末通信部３１は、ＬＡＮ２０により管理サーバ装置１０と通信を行う。

車両間通信部３２は、自動車５０と通信を行う。車両間通信部３２は、自動車５０のメンテナンスポート５６を介して、当該自動車５０のＧＷ装置５３と通信を行う。

図４は、本実施形態に係るＧＷ装置の機能構成例を示す図である。図４に示されるＧＷ装置５３の各機能は、ＧＷ装置５３が備えるＣＰＵがコンピュータプログラムを実行することにより実現される。図４において、ＧＷ装置５３は、端末間通信部５３１と、個車マスタ鍵記憶部５３２と、ＥＣＵ鍵生成部５３３と、ＥＣＵ鍵記憶部５３４と、ＧＷ通信部５３５とを備える。また、ＧＷ装置５３は、セキュアエレメント（Secure Element）ＳＥを備える。セキュアエレメントＳＥは、耐タンパー性（Tamper Resistant）を有する。個車マスタ鍵記憶部５３２及びＥＣＵ鍵生成部５３３は、セキュアエレメントＳＥに備わる。個車マスタ鍵記憶部５３２及びＥＣＵ鍵生成部５３３の各機能は、セキュアエレメントＳＥが備えるＣＰＵがコンピュータプログラムを実行することにより実現される。

端末間通信部５３１は、メンテナンスポート５６を介して、メンテナンスツール３０と通信を行う。個車マスタ鍵記憶部５３２は、端末間通信部５３１によりメンテナンスツール３０から受信した個車マスタ鍵を記憶する。

ＥＣＵ鍵生成部５３３は、自車両のＥＣＵ鍵を、個車マスタ鍵記憶部５３２に記憶される個車マスタ鍵を使用して生成する。ＥＣＵ鍵記憶部５３４は、自車両のＥＣＵ鍵を記憶する。ＥＣＵ鍵記憶部５３４が記憶するＥＣＵ鍵は、端末間通信部５３１によりメンテナンスツール３０から受信したＥＣＵ鍵又はＥＣＵ鍵生成部５３３が生成したＥＣＵ鍵である。

ＧＷ通信部５３５は、車載ネットワーク５４を介してＥＣＵ５５と通信を行う。また、ＧＷ通信部５３５は、ＴＣＵ５１やＩＶＩ機器５２と通信を行う。

図５は、本実施形態に係るＥＣＵの機能構成例を示す図である。図５に示されるＥＣＵ５５の各機能は、ＥＣＵ５５が備えるＣＰＵがコンピュータプログラムを実行することにより実現される。図５において、ＥＣＵ５５は、ＥＣＵ通信部５５１と、ＥＣＵ鍵記憶部５５２とを備える。

ＥＣＵ通信部５５１は、車載ネットワーク５４を介して、ＧＷ装置５３や他のＥＣＵ５５などと通信を行う。ＥＣＵ鍵記憶部５５２はＥＣＵ鍵を記憶する。

［鍵管理方法の例１］
次に図６を参照して、本実施形態に係る鍵管理方法の例１を説明する。図６は、本実施形態に係る鍵管理方法の例１を示すシーケンスチャートである。ここでは、本実施形態の一例として、自動車５０の製造・検査工程で自動車５０に初期設定を行う場合を例に挙げて説明する。自動車５０は自動車製造工場の製造・検査ラインに在り、自動車５０が初期設定工程に移行すると、図６の処理が実行される。

（ステップＳ１） ＶＩＮ取得部７１は、自動車５０に付されたＶＩＮ記録媒体７０からＶＩＮを取得する。

（ステップＳ２） ＶＩＮ取得部７１は、ＶＩＮ記録媒体７０から取得したＶＩＮを管理サーバ装置１０へ通知する。

なお、図６の例では、自動車５０に付されたＶＩＮ記録媒体７０からＶＩＮ取得部７１により取得されたＶＩＮが管理サーバ装置１０へ通知されるが、製造・検査工程の対象の自動車５０のＶＩＮを、管理サーバ装置１０に対して、予め、設定してもよい。

（ステップＳ３） 管理サーバ装置１０の個車マスタ鍵生成部１３は、共通マスタ鍵とＶＩＮ取得部７１から通知されたＶＩＮとを使用して、個車マスタ鍵を生成する。

（個車マスタ鍵の生成方法の例）
個車マスタ鍵の生成方法の例を説明する。個車マスタ鍵の生成には、所定の鍵導出関数（Key Development Function）ＫＤＦｍが使用される。鍵導出関数ＫＤＦｍは、予め、管理サーバ装置１０に保持される。
個車マスタ鍵＝ＫＤＦｍ（共通マスタ鍵、ＶＩＮ、個車ＭＳ＿ＩＤ）
ここで、ＫＤＦｍ（Ａ、Ｂ、Ｃ）は、例えば、ＡとＢとＣを使用して生成されるダイジェストである。個車ＭＳ＿ＩＤは、同一ＶＩＮの個車マスタ鍵の生成に使用された過去の個車ＭＳ＿ＩＤと異なる任意の値である。例えば、あるＶＩＮの個車ＭＳ＿ＩＤは、当該ＶＩＮの個車マスタ鍵の生成の度にカウントアップされるカウンタ値である。ダイジェストとして、例えば、ハッシュ（hash）関数により算出される値、又は、排他的論理和演算により算出される値などが挙げられる。例えば、個車マスタ鍵は、共通マスタ鍵とＶＩＮと個車ＭＳ＿ＩＤとを入力値に使用して算出されるハッシュ関数値である。また、ダイジェストとして、ＣＭＡＣ（Cipher-based Message Authentication Code）を使用してもよい。この場合、ＫＤＦｍ（Ａ、Ｂ、Ｃ）において、鍵ＡはＣＭＡＣの生成に使用される鍵であり、データＢ及びデータＣ（データＢとデータＣを連結したデータ）はＣＭＡＣの生成対象のデータである。これにより、個車マスタ鍵は、共通マスタ鍵をＣＭＡＣ生成鍵に使用して生成される「ＶＩＮ及び個車ＭＳ＿ＩＤのＣＭＡＣ」である。

（ステップＳ４） 管理サーバ装置１０のサーバ通信部１１は、ＶＩＮと、当該ＶＩＮを使用して生成した個車マスタ鍵とを、ＬＡＮ２０によりメンテナンスツール３０へ送信する。メンテナンスツール３０の端末通信部３１は、ＬＡＮ２０により管理サーバ装置１０から、ＶＩＮと個車マスタ鍵とを受信する。

（ステップＳ５） メンテナンスツール３０の車両間通信部３２は、端末通信部３１により管理サーバ装置１０から受信した個車マスタ鍵を、当該個車マスタ鍵と共に受信したＶＩＮに対応する自動車５０へ送信する。自動車５０のＧＷ装置５３の端末間通信部５３１は、メンテナンスポート５６を介して、メンテナンスツール３０から個車マスタ鍵を受信する。

（ステップＳ６） 自動車５０のＧＷ装置５３のセキュアエレメントＳＥの個車マスタ鍵記憶部５３２は、端末間通信部５３１によりメンテナンスツール３０から受信した個車マスタ鍵を記憶する。

（ステップＳ７） 自動車５０のＧＷ装置５３のセキュアエレメントＳＥのＥＣＵ鍵生成部５３３は、自車両のＥＣＵ鍵を、個車マスタ鍵記憶部５３２に記憶される個車マスタ鍵を使用して生成する。ＥＣＵ鍵記憶部５３４は、ＥＣＵ鍵生成部５３３が生成したＥＣＵ鍵を記憶する。

（ＥＣＵ鍵の生成方法の例）
ＥＣＵ鍵の生成方法の例を説明する。ＥＣＵ鍵の生成には、所定の鍵導出関数ＫＤＦｅが使用される。鍵導出関数ＫＤＦｅは、予め、ＧＷ装置５３のセキュアエレメントＳＥに保持される。
ＥＣＵ鍵＝ＫＤＦｅ（個車マスタ鍵、ドメイン＿ＩＤ、Ｋｅｙ＿ＩＤ（Ｎｋ））
ここで、ＫＤＦｅ（Ａ、Ｂ、Ｃ）は、例えば、ＡとＢとＣを使用して生成されるダイジェストである。ドメイン＿ＩＤは、ＥＣＵ鍵の発行単位の識別子である。ＥＣＵ鍵の発行単位として、例えば、ＶＩＮ単位、ＥＣＵのサプライヤ単位、ＥＣＵ識別子単位などが挙げられる。Ｋｅｙ＿ＩＤ（Ｎｋ）は鍵種別識別子である。Ｎｋは鍵の種別を表す変数である。鍵の種別として、例えば、ＭＡＣの生成に使用されるＭＡＣ鍵、データの暗号化及び復号に使用されるＥＮＣ鍵などが挙げられる。ダイジェストとして、例えば、ハッシュ関数により算出される値、又は、排他的論理和演算により算出される値などが挙げられる。例えば、ＥＣＵ鍵は、個車マスタ鍵とドメイン＿ＩＤとＫｅｙ＿ＩＤ（Ｎｋ）とを入力値に使用して算出されるハッシュ関数値である。また、ダイジェストとして、ＣＭＡＣを使用してもよい。この場合、ＫＤＦｅ（Ａ、Ｂ、Ｃ）において、鍵ＡはＣＭＡＣの生成に使用される鍵であり、データＢ及びデータＣ（データＢとデータＣを連結したデータ）はＣＭＡＣの生成対象のデータである。これにより、ＥＣＵ鍵は、個車マスタ鍵をＣＭＡＣ生成鍵に使用して生成される「ドメイン＿ＩＤ及びＫｅｙ＿ＩＤ（Ｎｋ）のＣＭＡＣ」である。

（ステップＳ８） ＧＷ装置５３のＧＷ通信部５３５は、ＥＣＵ鍵生成部５３３が生成したＥＣＵ鍵を各ＥＣＵ５５へ送信する。ＥＣＵ５５のＥＣＵ通信部５５１は、車載ネットワーク５４を介して、ＧＷ装置５３からＥＣＵ鍵を受信する。

（ステップＳ９） ＥＣＵ５５のＥＣＵ鍵記憶部５５２は、ＥＣＵ通信部５５１によりＧＷ装置５３から受信したＥＣＵ鍵を記憶する。

上述した鍵管理方法の例１によれば、複数の自動車に共通に使用される共通マスタ鍵を保管する管理サーバ装置１０をＤｏＳ攻撃等の通信による攻撃から防御することができる。また、当該共通マスタ鍵に基づいた自動車毎に個別のＥＣＵ鍵の生成を図ることができる。

［鍵管理方法の例２］
次に図７を参照して、本実施形態に係る鍵管理方法の例２を説明する。図７は、本実施形態に係る鍵管理方法の例２を示すシーケンスチャートである。ここでは、本実施形態の一例として、上述した鍵管理方法の例１と同様に、自動車５０の製造・検査工程で自動車５０に初期設定を行う場合を例に挙げて説明する。自動車５０は自動車製造工場の製造・検査ラインに在り、自動車５０が初期設定工程に移行すると、図７の処理が実行される。

（ステップＳ１１） ＶＩＮ取得部７１は、自動車５０に付されたＶＩＮ記録媒体７０からＶＩＮを取得する。

（ステップＳ１２） ＶＩＮ取得部７１は、ＶＩＮ記録媒体７０から取得したＶＩＮを管理サーバ装置１０へ通知する。

なお、図７の例では、自動車５０に付されたＶＩＮ記録媒体７０からＶＩＮ取得部７１により取得されたＶＩＮが管理サーバ装置１０へ通知されるが、製造・検査工程の対象の自動車５０のＶＩＮを、管理サーバ装置１０に対して、予め、設定してもよい。

（ステップＳ１３） 管理サーバ装置１０の個車マスタ鍵生成部１３は、共通マスタ鍵とＶＩＮ取得部７１から通知されたＶＩＮとを使用して、個車マスタ鍵を生成する。この個車マスタ鍵の生成方法は、上述した鍵管理方法の例１と同様であって、鍵導出関数ＫＤＦｍを使用する方法である。

管理サーバ装置１０のＥＣＵ鍵生成部１４は、個車マスタ鍵生成部１３が生成した個車マスタ鍵を使用して、ＥＣＵ鍵を生成する。このＥＣＵ鍵の生成方法は、上述した鍵管理方法の例１と同様であって、鍵導出関数ＫＤＦｅを使用する方法である。鍵導出関数ＫＤＦｅは、予め、管理サーバ装置１０に保持される。

（ステップＳ１４） 管理サーバ装置１０のサーバ通信部１１は、ＶＩＮと、当該ＶＩＮを使用して生成した個車マスタ鍵と、当該個車マスタ鍵を使用して生成したＥＣＵ鍵とを、ＬＡＮ２０によりメンテナンスツール３０へ送信する。メンテナンスツール３０の端末通信部３１は、ＬＡＮ２０により管理サーバ装置１０から、ＶＩＮと個車マスタ鍵とＥＣＵ鍵とを受信する。

（ステップＳ１５） メンテナンスツール３０の車両間通信部３２は、端末通信部３１により管理サーバ装置１０から受信した個車マスタ鍵及びＥＣＵ鍵を、当該個車マスタ鍵及びＥＣＵ鍵と共に受信したＶＩＮに対応する自動車５０へ送信する。自動車５０のＧＷ装置５３の端末間通信部５３１は、メンテナンスポート５６を介して、メンテナンスツール３０から個車マスタ鍵及びＥＣＵ鍵を受信する。

（ステップＳ１６） 自動車５０のＧＷ装置５３のセキュアエレメントＳＥの個車マスタ鍵記憶部５３２は、端末間通信部５３１によりメンテナンスツール３０から受信した個車マスタ鍵を記憶する。また、ＥＣＵ鍵記憶部５３４は、端末間通信部５３１によりメンテナンスツール３０から受信したＥＣＵ鍵を記憶する。

（ステップＳ１７） メンテナンスツール３０の車両間通信部３２は、端末通信部３１により管理サーバ装置１０から受信したＥＣＵ鍵を、当該ＥＣＵ鍵と共に受信したＶＩＮに対応する自動車５０の各ＥＣＵ５５へ、当該自動車５０のＧＷ装置５３を介して送信する。自動車５０のＧＷ装置５３のＧＷ通信部５３５は、端末間通信部５３１によりメンテナンスポート５６を介してメンテナンスツール３０から受信したＥＣＵ鍵を、各ＥＣＵ５５へ送信する。ＥＣＵ５５のＥＣＵ通信部５５１は、車載ネットワーク５４を介して、ＧＷ装置５３からＥＣＵ鍵を受信する。

（ステップＳ１８） ＥＣＵ５５のＥＣＵ鍵記憶部５５２は、ＥＣＵ通信部５５１によりＧＷ装置５３から受信したＥＣＵ鍵を記憶する。

上述した鍵管理方法の例２によれば、複数の自動車に共通に使用される共通マスタ鍵を保管する管理サーバ装置１０をＤｏＳ攻撃等の通信による攻撃から防御することができる。また、当該共通マスタ鍵に基づいた自動車毎に個別のＥＣＵ鍵の生成を図ることができる。

なお、上述した鍵管理方法の例１及び例２は、いずれか一方のみが使用されてもよく、又は、両方が使用されてもよい。

［鍵管理方法の例３］
次に図８を参照して、本実施形態に係る鍵管理方法の例３を説明する。図８は、本実施形態に係る鍵管理方法の例３を示すシーケンスチャートである。鍵管理方法の例３は、例えば自動車整備工場における自動車のＥＣＵ交換時に、当該自動車のＥＣＵ鍵を新しいＥＣＵ５５に設定する際に使用される。ここでは、本実施形態の一例として、自動車整備工場において、自動車５０のＥＣＵ交換時に、新しいＥＣＵ５５の初期設定を行う場合を例に挙げて説明する。自動車整備工場において、自動車５０のＥＣＵ５５が交換された後、自動車整備工場の端末装置から自動車５０へ新しいＥＣＵ５５（新ＥＣＵ５５）の初期設定が指示されると、図８の処理が実行される。

（ステップＳ２１） 自動車５０のＧＷ装置５３のセキュアエレメントＳＥのＥＣＵ鍵生成部５３３は、自車両のＥＣＵ鍵を、個車マスタ鍵記憶部５３２に記憶される個車マスタ鍵を使用して生成する。このＥＣＵ鍵の生成方法は、上述した鍵管理方法の例１と同様である。ＥＣＵ鍵記憶部５３４は、ＥＣＵ鍵生成部５３３が生成したＥＣＵ鍵を記憶する。

（ステップＳ２２） ＧＷ装置５３のＧＷ通信部５３５は、ＥＣＵ鍵生成部５３３が生成したＥＣＵ鍵を新ＥＣＵ５５へ送信する。新ＥＣＵ５５のＥＣＵ通信部５５１は、車載ネットワーク５４を介して、ＧＷ装置５３からＥＣＵ鍵を受信する。

（ステップＳ９） 新ＥＣＵ５５のＥＣＵ鍵記憶部５５２は、ＥＣＵ通信部５５１によりＧＷ装置５３から受信したＥＣＵ鍵を記憶する。

上述した鍵管理方法の例３によれば、自動車のＥＣＵ交換時において、当該自動車が保持する個車マスタ鍵を使用して、新ＥＣＵに格納されるＥＣＵ鍵が生成される。このため、自動車のＥＣＵ交換時に、自動車整備工場の端末装置から管理サーバ装置１０にアクセスする必要がない。これにより、管理サーバ装置１０を、ＬＡＮ２０以外のインターネット等の他の通信ネットワークに通信接続する必要がないので、複数の自動車に共通に使用される共通マスタ鍵を保管する管理サーバ装置１０をＤｏＳ攻撃等の通信による攻撃から防御する効果が得られる。また、当該共通マスタ鍵に基づいた自動車毎に個別のＥＣＵ鍵の生成を図ることができる。

上述したように本実施形態によれば、複数の車両に共通に使用される共通マスタ鍵を保管する管理サーバ装置１０をＤｏＳ攻撃等の通信による攻撃から防御することができる。また、当該共通マスタ鍵に基づいた自動車毎に個別のＥＣＵ鍵の生成を図ることができる。

また、各自動車に保管される個車マスタ鍵は自動車毎に個別であるので、もし一の個車マスタ鍵が漏洩したとしても、その悪影響は漏洩した一の個車マスタ鍵に対応する一の自動車に抑制することができる。なお、ある自動車５０の個車マスタ鍵が漏洩した場合、当該自動車５０の新しい個車マスタ鍵（新個車マスタ鍵）を管理サーバ装置１０で生成し、新個車マスタ鍵を、安全な方法で、当該自動車５０のＧＷ装置５３のセキュアエレメントＳＥの個車マスタ鍵記憶部５３２に格納させる。

また、ある自動車５０のＧＷ装置５３の故障時の交換は、当該自動車５０の新個車マスタ鍵を管理サーバ装置１０で生成し、新個車マスタ鍵を新しいＧＷ装置５３（新ＧＷ装置）のセキュアエレメントＳＥに安全な方法で格納してから、新ＧＷ装置５３を当該自動車５０に搭載させる。また、セキュアエレメントＳＥの故障時の交換も、ＧＷ装置５３の故障時の交換と同様である。

以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。

上述した実施形態では、ＧＷ装置５３が備えるセキュアエレメントＳＥに個車マスタ鍵記憶部５３２及びＥＣＵ鍵生成部５３３を備えたが、ＧＷ装置５３以外の他の車載装置、例えばＴＣＵ５１やＩＶＩ機器５２等の車載装置が備えるセキュアエレメントに、個車マスタ鍵記憶部５３２及びＥＣＵ鍵生成部５３３を備えてもよい。

上述した実施形態は、例えば、自動車の製造工場や整備工場、販売店等において、自動車に適用してもよい。

上述した実施形態では、車両として自動車を例に挙げたが、原動機付自転車や鉄道車両等の自動車以外の他の車両にも適用可能である。

また、上述した各装置の機能を実現するためのコンピュータプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するようにしてもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Digital Versatile Disc）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。

さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Dynamic Random Access Memory））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

１…鍵管理システム、１０…管理サーバ装置、１１…サーバ通信部、１２…共通マスタ鍵記憶部、１３…個車マスタ鍵生成部、１４…ＥＣＵ鍵生成部、２０…ＬＡＮ、３０…メンテナンスツール（端末装置）、３１…端末通信部、３２…車両間通信部、５０…自動車、５１…ＴＣＵ、５２…ＩＶＩ機器、５３…ＧＷ装置、５４…車載ネットワーク、５５…ＥＣＵ、５６…メンテナンスポート、７０…ＶＩＮ記録媒体、７１…ＶＩＮ取得部、５３１…端末間通信部、５３２…個車マスタ鍵記憶部、５３３…ＥＣＵ鍵生成部、５３４…ＥＣＵ鍵記憶部、５３５…ＧＷ通信部、５５１…ＥＣＵ通信部、５５２…ＥＣＵ鍵記憶部、ＳＥ…セキュアエレメント

Claims (8)

1. ネットワークに通信接続される管理サーバ装置と、前記ネットワークに通信接続される端末装置と、を備え、
   前記ネットワークは独立した通信ネットワークであり、
   前記管理サーバ装置及び前記端末装置は前記ネットワーク以外の他の通信ネットワークには通信接続されないものであり、
   前記ネットワークに通信接続される装置は前記管理サーバ装置及び前記端末装置のみであり、
   前記端末装置は通信による攻撃を実行することがない端末装置であり、
   前記管理サーバ装置は、
   前記ネットワークにより前記端末装置と通信を行うサーバ通信部と、
   共通マスタ鍵を記憶する共通マスタ鍵記憶部と、
   前記共通マスタ鍵と個車マスタ鍵生成対象車両の車両識別情報とを使用して、前記個車マスタ鍵生成対象車両の車両共通鍵の生成に使用される個車マスタ鍵を生成する個車マスタ鍵生成部と、を備え、
   前記サーバ通信部は、前記個車マスタ鍵を前記端末装置へ送信し、
   前記端末装置は、
   前記ネットワークにより前記管理サーバ装置と通信を行う端末通信部と、
   前記個車マスタ鍵生成対象車両と通信を行う車両間通信部と、を備え、
   前記車両間通信部は、前記端末通信部により前記管理サーバ装置から受信した前記個車マスタ鍵を、前記個車マスタ鍵生成対象車両へ送信する、
   鍵管理システム。
2. 前記管理サーバ装置は、
   前記個車マスタ鍵生成対象車両の車両共通鍵を、前記個車マスタ鍵を使用して生成する車両共通鍵生成部をさらに備え、
   前記サーバ通信部は、前記車両共通鍵を前記端末装置へ送信し、
   前記車両間通信部は、前記端末通信部により前記管理サーバ装置から受信した前記車両共通鍵を、前記個車マスタ鍵生成対象車両へ送信する、
   請求項１に記載の鍵管理システム。
3. 前記個車マスタ鍵生成対象車両に付された記録媒体から、前記個車マスタ鍵の生成に使用される前記車両識別情報を取得する車両識別情報取得部をさらに備える、
   請求項１又は２のいずれか１項に記載の鍵管理システム。
4. ネットワークに通信接続される管理サーバ装置であり、
   前記ネットワークに通信接続される端末装置と前記ネットワークにより通信を行うサーバ通信部と、
   共通マスタ鍵を記憶する共通マスタ鍵記憶部と、
   前記共通マスタ鍵と個車マスタ鍵生成対象車両の車両識別情報とを使用して、前記個車マスタ鍵生成対象車両の車両共通鍵の生成に使用される個車マスタ鍵を生成する個車マスタ鍵生成部と、を備え、
   前記ネットワークは独立した通信ネットワークであり、
   前記管理サーバ装置及び前記端末装置は前記ネットワーク以外の他の通信ネットワークには通信接続されないものであり、
   前記ネットワークに通信接続される装置は前記管理サーバ装置及び前記端末装置のみであり、
   前記端末装置は通信による攻撃を実行することがない端末装置であり、
   前記サーバ通信部は、前記個車マスタ鍵を、前記個車マスタ鍵生成対象車両と通信を行う前記端末装置へ送信する、
   管理サーバ装置。
5. ネットワークに通信接続される端末装置であり、
   前記ネットワークに通信接続される管理サーバ装置と前記ネットワークにより通信を行う端末通信部と、
   前記管理サーバ装置が生成する個車マスタ鍵が車両共通鍵の生成に使用される個車マスタ鍵生成対象車両と通信を行う車両間通信部と、を備え、
   前記ネットワークは独立した通信ネットワークであり、
   前記管理サーバ装置及び前記端末装置は前記ネットワーク以外の他の通信ネットワークには通信接続されないものであり、
   前記ネットワークに通信接続される装置は前記管理サーバ装置及び前記端末装置のみであり、
   前記端末装置は通信による攻撃を実行することがない端末装置であり、
   前記車両間通信部は、前記端末通信部により前記管理サーバ装置から受信した前記個車マスタ鍵を、前記個車マスタ鍵生成対象車両へ送信する、
   端末装置。
6. ネットワークに通信接続される管理サーバ装置のコンピュータに、
   共通マスタ鍵を記憶する共通マスタ鍵記憶ステップと、
   前記共通マスタ鍵と個車マスタ鍵生成対象車両の車両識別情報とを使用して、前記個車マスタ鍵生成対象車両の車両共通鍵の生成に使用される個車マスタ鍵を生成する個車マスタ鍵生成ステップと、
   前記個車マスタ鍵を、前記ネットワークに通信接続される端末装置であって前記個車マスタ鍵生成対象車両と通信を行う前記端末装置へ前記ネットワークにより送信する個車マスタ鍵送信ステップと、
   を実行させるためのコンピュータプログラムであり、
   前記ネットワークは独立した通信ネットワークであり、
   前記管理サーバ装置及び前記端末装置は前記ネットワーク以外の他の通信ネットワークには通信接続されないものであり、
   前記ネットワークに通信接続される装置は前記管理サーバ装置及び前記端末装置のみであり、
   前記端末装置は通信による攻撃を実行することがない端末装置である、
   コンピュータプログラム。
7. ネットワークに通信接続される端末装置のコンピュータに、
   前記ネットワークに通信接続される管理サーバ装置から個車マスタ鍵を受信する個車マスタ鍵受信ステップと、
   前記管理サーバ装置から受信した前記個車マスタ鍵を、前記個車マスタ鍵が車両共通鍵の生成に使用される個車マスタ鍵生成対象車両へ送信する個車マスタ鍵送信ステップと、
   を実行させるためのコンピュータプログラムであり、
   前記ネットワークは独立した通信ネットワークであり、
   前記管理サーバ装置及び前記端末装置は前記ネットワーク以外の他の通信ネットワークには通信接続されないものであり、
   前記ネットワークに通信接続される装置は前記管理サーバ装置及び前記端末装置のみであり、
   前記端末装置は通信による攻撃を実行することがない端末装置である、
   コンピュータプログラム。
8. ネットワークに通信接続される管理サーバ装置が、共通マスタ鍵を記憶する共通マスタ鍵記憶ステップと、
   前記管理サーバ装置が、前記共通マスタ鍵と個車マスタ鍵生成対象車両の車両識別情報とを使用して、前記個車マスタ鍵生成対象車両の車両共通鍵の生成に使用される個車マスタ鍵を生成する個車マスタ鍵生成ステップと、
   前記管理サーバ装置が、前記個車マスタ鍵を、前記ネットワークに通信接続される端末装置へ前記ネットワークにより送信する第１個車マスタ鍵送信ステップと、
   前記端末装置が、前記ネットワークにより前記管理サーバ装置から前記個車マスタ鍵を受信する個車マスタ鍵受信ステップと、
   前記端末装置が、前記管理サーバ装置から受信した前記個車マスタ鍵を、前記個車マスタ鍵生成対象車両へ送信する第２個車マスタ鍵送信ステップと、
   を含み、
   前記ネットワークは独立した通信ネットワークであり、
   前記管理サーバ装置及び前記端末装置は前記ネットワーク以外の他の通信ネットワークには通信接続されないものであり、
   前記ネットワークに通信接続される装置は前記管理サーバ装置及び前記端末装置のみであり、
   前記端末装置は通信による攻撃を実行することがない端末装置である、
   鍵管理方法。

Images