JP6950605B2 - 車両用通信システム - Google Patents

Description

本発明は、暗号化されたメッセージを通信する車両用通信システムに関する。

従来、この種の車両用通信システムの一例として、例えば特許文献１に記載のシステムでは、一のノードから他のノードにデータを中継する装置が、送信側のノードに接続されたバスと受信側のノードに接続されたバスとの組み合わせの単位で、メッセージを暗号化するか否かについて一元的に管理している。これにより、メッセージを暗号化する機能をノードが持つことが不要となるため、ノードの負担を抑制しつつ、データ通信のセキュリティが高められる。

特開２０１３−２０１５１０号公報

しかしながら、上記文献に記載のシステムでは、受信側のノードが車両ネットワークに接続された複数のノードにより構成されるときには、所定のノードが暗号化されたメッセージを車両ネットワークを通じて受信し、当該メッセージの復号化を行う。そして、このノードは、復号化されたメッセージを、車両ネットワークを通じて他のノードに順次転送する。すなわち、車両ネットワークに接続された複数のノードの間で暗号化されたメッセージを共有するときには、復号前後の同一のメッセージが車両ネットワークを二重に送信されることとなり、車両ネットワークの通信負荷が増大してしまうという問題があった。

本発明は、このような実情に鑑みてなされたものであり、その目的は、復号前後のメッセージが車両ネットワークに対して二重に送信されることを回避して車両ネットワークの通信負荷を抑えることのできる車両用通信システムを提供することにある。

上記課題を解決する車両用通信システムは、車両外部において暗号化された暗号化メッセージを車載機から車両ネットワークに接続された一つ以上の車両制御装置に転送する車両用通信システムであって、前記車載機は、前記暗号化メッセージが前記車両制御装置に対する個別のメッセージであるときには、前記暗号化メッセージを前記車両ネットワークを介して前記車両制御装置に送信し、前記暗号化メッセージが複数の車両制御装置に対する共通のメッセージであるときには、前記車載機が保有する暗号鍵を用いて前記暗号化メッセージを復号化した上で前記車両ネットワークを介して前記複数の車両制御装置に送信する。

上記構成によれば、車両外部から受信した暗号化メッセージの復号前後で同一のメッセージが車両ネットワークに対して二重に送信されることが回避されるため、車両ネットワークの通信負荷を抑えることができる。

上記車両用通信システムにおいて、前記暗号化メッセージには、メッセージの宛先に関する属性情報が付帯しており、前記車載機は、前記属性情報に基づき、前記暗号化メッセージの宛先を判定することが好ましい。

上記構成によれば、暗号化メッセージを復号化することなく、暗号化メッセージが各車両制御装置に対する個別のメッセージであるか、又は、複数の車両制御装置に対する共通のメッセージであるかについて判定することができる。

上記車両用通信システムにおいて、前記車載機は、車両外部から前記暗号化メッセージを受信する通信機に対して車両ネットワークとは異なる通信線を介して接続されていることが好ましい。

上記構成によれば、車載機が管理する暗号鍵を車両ネットワークを介することなく通信機との間で共有できるため、システムとしてのセキュリティを高めることができる。
上記車両用通信システムにおいて、前記車両ネットワークを介した前記暗号化メッセージの通信を管理するネットワーク管理装置を備え、前記ネットワーク管理装置は、前記車載機との間で認証処理を行うことにより前記暗号鍵を共有することが好ましい。

上記構成によれば、車載機は、暗号化メッセージの復号化に用いる暗号鍵をネットワーク管理装置との間での認証処理を通じて取得する。そのため、車両ネットワークに不正に接続された車載機が暗号化メッセージを復号化することができなくなり、システムとしてのセキュリティを高めることができる。

上記車両用通信システムにおいて、前記ネットワーク管理装置は、前記車両ネットワークを第１の車両ネットワークとし、前記第１の車両ネットワークとは異なる第２の車両ネットワークに接続された車両制御装置を宛先とする前記暗号化メッセージを前記車載機から受信したときには、当該暗号化メッセージを前記第２の車両ネットワークを介して前記車両制御装置に送信し、前記第２の車両ネットワークに接続された複数の車両制御装置を宛先とする前記暗号化メッセージを前記車載機から受信したときには、当該暗号化メッセージを前記ネットワーク管理装置が保有する暗号鍵を用いて復号化した上で前記第２の車両ネットワークを通じて前記複数の車両制御装置に送信することが好ましい。

上記構成によれば、車載機が第２の車両ネットワークに接続された車両制御装置に暗号化メッセージを送信するときには、暗号化メッセージを復号化することなく第１の車両ネットワークを通じてネットワーク管理装置に送信する。そのため、第１の車両ネットワークに不正に接続された車載機が暗号化メッセージの内容を取得することができなくなり、システムとしてのセキュリティを好適に高めることができる。

車両用通信システムの第１の実施の形態の概略構成を示すブロック図。 暗号化メッセージのデータ構造の一例を示す模式図。 同実施の形態の車両用通信システムが各ＥＣＵに対して個別のメッセージを送信するときの処理の流れを示すシーケンスチャート。 同実施の形態の車両用通信システムが複数のＥＣＵに対して共通のメッセージを送信するときの処理の流れを示すシーケンスチャート。 車両用通信システムの第２の実施の形態の概略構成を示すブロック図。 同実施の形態の車両用通信システムが第１の通信バス及び第２の通信バスに接続された複数のＥＣＵに対して共通のメッセージを送信するときの処理の流れを示すシーケンスチャート。 同実施の形態の車両用通信システムが第２の通信バスに接続された複数のＥＣＵに対して共通のメッセージを送信するときの処理の流れを示すシーケンスチャート。

（第１の実施の形態）
以下、車両用通信システムの第１の実施の形態について説明する。
本実施の形態の車両用通信システムは、車両外部の情報センタにおいて中継機（車載機）との暗号通信に用いる暗号鍵により暗号化されたメッセージを中継機から第１の通信バス（車両ネットワーク）に接続された複数のＥＣＵ（車両制御装置）に転送するシステムである。

具体的には、図１に示すように、車両１００は、バス管理装置１１０と、複数のＥＣＵ１２０と、車載通信機１４０と、中継機１３０とを備えている。
バス管理装置１１０は、通信バスＮＷ１，ＮＷ２を介した通信データの送受信の制御を行う装置であって、第１の通信バスＮＷ１を介して複数（同図に示す例では２つ）のＥＣＵ１２０、中継機１３０、及び、車載通信機１４０と接続されている。また、バス管理装置１１０は、第２の通信バスＮＷ２を介して複数（同図に示す例では２つ）のＥＣＵ１２０と接続されている。

各ＥＣＵ１２０は、各種の車両制御を行う電子制御装置であって、同一の通信バスＮＷ１，ＮＷ２に接続されたＥＣＵ１２０のグループ毎に、駆動系、情報系、ボディ系などのＥＣＵ１２０に分類される。また、各ＥＣＵ１２０は、ＥＣＵ１２０ごとに個別の暗号鍵として第１の秘密鍵Ｋ１を管理する。

中継機１３０は、情報センタ２００との間で通信を行う車載通信機１４０に対し、第１の通信バスＮＷ１とは異なる通信線Ｓ１を介して接続されている。中継機１３０は、中継機１３０に固有の暗号鍵として第２の秘密鍵Ｋ２を管理する。

車載通信機１４０は、中継機１３０が管理する第２の秘密鍵Ｋ２を通信線Ｓ１を介して取得する。また、車載通信機１４０は、各ＥＣＵ１２０が管理する第１の秘密鍵Ｋ１と対をなす第１の公開鍵Ｋ３、並びに、中継機１３０が管理する第２の秘密鍵Ｋ２と対をなす第２の公開鍵Ｋ４を通信バスＮＷ１，ＮＷ２を介して取得する。そして、車載通信機１４０は、これら取得した公開鍵Ｋ３，Ｋ４を車両外部の情報センタ２００に送信する。

情報センタ２００は、車両情報サーバ２１０と、センタ通信機２２０とを備えている。
車両情報サーバ２１０は、複数の車両１００の車両情報を管理する車両情報データベース２１１を備えている。なお、車両情報は、車両１００に搭載された各ＥＣＵ１２０が車両制御に用いる設定値を含んでいる。また、車両情報サーバ２１０は、車両１００からセンタ通信機２２０を通じて受信した公開鍵Ｋ３，Ｋ４を管理している。そして、車両情報サーバ２１０は、車両１００に対して車両情報を配信する際には、車両情報データベース２１１から読み出した車両情報を第１の公開鍵Ｋ３又は第２の公開鍵Ｋ４を用いて暗号化して暗号化メッセージを生成し、当該生成した暗号化メッセージをセンタ通信機２２０を通じて車両１００に送信する。

なお、図２に示すように、暗号化メッセージＭＳは、メッセージ領域Ｍ１と、属性フラグＭ２とを有している。メッセージ領域Ｍ１は、暗号化の対象となる車両情報を含んでいる。属性フラグＭ２は、暗号化メッセージＭＳの暗号化に第１の公開鍵Ｋ３及び第２の公開鍵Ｋ４の何れを用いたのかを示すフラグ情報を含んでいる。この属性フラグＭ２は、暗号化の対象から除外されている。

車載通信機１４０は、情報センタ２００から暗号化メッセージＭＳを受信したときには、暗号化メッセージＭＳを復号化することなく、属性フラグＭ２に含まれるフラグ情報を読み出す。また、車載通信機１４０は、暗号化メッセージＭＳから読み出したフラグ情報に基づき、暗号化メッセージＭＳの宛先を判定する。

より詳細には、車載通信機１４０は、暗号化に用いた暗号鍵が第１の公開鍵Ｋ３であるときには、暗号化メッセージＭＳが特定のＥＣＵ１２０に向けた個別のメッセージであると判定する。そして、車載通信機１４０は、暗号化メッセージを復号化することなく第１の通信バスＮＷ１を介して宛先となる特定のＥＣＵ１２０に送信する。特定のＥＣＵ１２０は、車載通信機１４０から暗号化メッセージＭＳを受信すると、自身が管理する第１の秘密鍵Ｋ１を用いて暗号化メッセージＭＳを復号化することにより、メッセージ領域Ｍ１に含まれる車両情報を取得する。

一方、車載通信機１４０は、暗号化に用いた暗号鍵が第２の公開鍵Ｋ４であるときには、暗号化メッセージＭＳが通信バスＮＷ１，ＮＷ２に接続された各ＥＣＵ１２０に向けた共通のメッセージであると判定する。そして、車載通信機１４０は、自身が管理する第２の秘密鍵Ｋ２を用いて暗号化メッセージＭＳを復号化した上で第１の通信バスＮＷ１を介して宛先となる複数のＥＣＵ１２０に送信する。各ＥＣＵ１２０は、復号化したメッセージを車載通信機１４０から受信すると、メッセージのメッセージ領域Ｍ１に含まれる車両情報を取得する。

次に、本実施の形態の車両用通信システムが各ＥＣＵ１２０に対して個別のメッセージを送信するときの処理の流れについて説明する。
図３に示すように、車両情報サーバ２１０はまず、第１の公開鍵Ｋ３を用いて車両情報を含むメッセージを暗号化する。そして、車両情報サーバ２１０は、暗号化メッセージＭＳの送信をセンタ通信機２２０に対して指示する。

センタ通信機２２０は、車両情報サーバ２１０からの指示に基づき、暗号化メッセージＭＳを車載通信機１４０に送信する。
車載通信機１４０は、車両情報サーバ２１０から受信した暗号化メッセージＭＳの属性フラグＭ２に基づき、メッセージの宛先を判定する。同図に示す例では、メッセージの暗号化に第１の公開鍵Ｋ３を用いていることから、メッセージの宛先として通信バスＮＷ１，ＮＷ２に接続された特定のＥＣＵ１２０を判定する。そして、車載通信機１４０は、暗号化メッセージＭＳを復号化することなく第１の通信バスＮＷ１に送出する。

第１の通信バスＮＷ１に接続された各ＥＣＵ１２０は、車載通信機１４０から第１の通信バスＮＷ１に送出された暗号化メッセージＭＳの宛先を識別する。このとき、ＥＣＵ１２０は、暗号化メッセージＭＳの宛先が自身であると識別したときには、第１の通信バスＮＷ１に送出された暗号化メッセージＭＳを受信する。一方、ＥＣＵ１２０は、暗号化メッセージＭＳの宛先が自身ではないと識別したときには、第１の通信バスＮＷ１に送出された暗号化メッセージＭＳを破棄する。そして、ＥＣＵ１２０は、第１の通信バスＮＷ１から受信した暗号化メッセージＭＳを第１の秘密鍵Ｋ１を用いて復号化することにより、メッセージに含まれる車両情報を取得する。

次に、本実施の形態の車両用通信システムが複数のＥＣＵ１２０に対して共通のメッセージを送信するときの処理の流れについて説明する。
図４に示すように、メッセージの送信に先立ち、車載通信機１４０は、中継機１３０が管理する第２の秘密鍵Ｋ２を通信線Ｓ１を通じて取得している。

続いて、車両情報サーバ２１０はまず、第２の公開鍵Ｋ４を用いて車両情報を含むメッセージを暗号化する。そして、車両情報サーバ２１０は、暗号化メッセージＭＳの送信をセンタ通信機２２０に対して指示する。

センタ通信機２２０は、車両情報サーバ２１０からの指示に基づき、暗号化メッセージＭＳを車載通信機１４０に送信する。
車載通信機１４０は、車両情報サーバ２１０から受信した暗号化メッセージＭＳの属性フラグＭ２に基づき、メッセージの宛先を判定する。同図に示す例では、メッセージの暗号化に第２の公開鍵Ｋ４を用いていることから、メッセージの宛先として通信バスＮＷ１，ＮＷ２に接続された複数のＥＣＵ１２０を判定する。そして、車載通信機１４０は、暗号化メッセージＭＳを第２の秘密鍵Ｋ２を用いて復号化した上で第１の通信バスＮＷ１に送出する。

第１の通信バスＮＷ１に接続された各ＥＣＵ１２０は、車載通信機１４０から第１の通信バスＮＷ１に送出された復号化メッセージの宛先を識別する。このとき、ＥＣＵ１２０は、復号化メッセージの宛先が自身であると識別したときには、第１の通信バスＮＷ１に送出された復号化メッセージを受信する。一方、ＥＣＵ１２０は、復号化メッセージの宛先が自身ではないと識別したときには、第１の通信バスＮＷ１に送出された復号化メッセージを破棄する。そして、ＥＣＵ１２０は、第１の通信バスＮＷ１から受信した復号化メッセージに含まれる車両情報を取得する。

また同様に、第１の通信バスＮＷ１に接続されたバス管理装置１１０は、中継機１３０から第１の通信バスＮＷ１に送出された復号化メッセージの宛先を識別する。このとき、バス管理装置１１０は、復号化メッセージの宛先が第２の通信バスＮＷ２に接続されたＥＣＵ１２０であると識別したときには、第１の通信バスＮＷ１に送出された復号化メッセージを受信する。そして、バス管理装置１１０は、第１の通信バスＮＷ１から受信した復号化メッセージを第２の通信バスＮＷ２に送出する。その後、復号化メッセージの宛先となるＥＣＵ１２０は、第２の通信バスＮＷ２から復号化メッセージを受信し、当該受信した復号化メッセージに含まれる車両情報を取得する。一方、バス管理装置１１０は、復号化メッセージの宛先が第２の通信バスＮＷ２に接続されたＥＣＵ１２０ではないと識別したときには、第１の通信バスＮＷ１に送出された復号化メッセージを破棄する。

次に、本実施の形態の車両用通信システムの作用について説明する。
情報センタ２００と車両１００との間で暗号通信を行う際、情報センタ２００から送信される暗号化メッセージＭＳが車両１００に搭載された複数のＥＣＵ１２０を宛先とする共通のメッセージとなることもある。この場合、復号前後の同一のメッセージが複数のＥＣＵ１２０に接続された通信バスに対して二重に送信されたとすると、通信バスＮＷ１，ＮＷ２の通信負荷が重くなり、メッセージの通信遅延や通信エラーを生じさせることにもなりかねない。

この点、本実施の形態では、車載通信機１４０が、情報センタ２００から暗号化メッセージＭＳを受信したとき、暗号化メッセージＭＳに付帯した属性フラグに基づき、メッセージが共通のメッセージであるか否かを判定する。そして、車載通信機１４０は、暗号化メッセージＭＳが共通のメッセージであると判定したときには、暗号化メッセージＭＳを復号化した上で第１の通信バスＮＷ１に送出する。これにより、復号前後の同一のメッセージが通信バスＮＷ１，ＮＷ２に対して二重に送信されることが回避され、メッセージの通信遅延や通信エラーの発生頻度が抑えられる。

以上説明したように、上記第１の実施の形態によれば、以下に示す効果を得ることができる。
（１）車両外部から受信した暗号化メッセージＭＳの復号前後で同一のメッセージが通信バスＮＷ１，ＮＷ２に対して二重に送信されることが回避されるため、通信バスＮＷ１，ＮＷ２の通信負荷を抑えることができる。

（２）暗号化メッセージＭＳには、メッセージの宛先に関する属性フラグＭ２が付帯している。そのため、車載通信機１４０は、暗号化メッセージＭＳを復号化することなく、暗号化メッセージＭＳが各ＥＣＵ１２０に対する個別のメッセージであるか、又は、複数のＥＣＵ１２０に対する共通のメッセージであるかについて判定することができる。

（３）中継機１３０は、車両外部から暗号化メッセージＭＳを受信する車載通信機１４０に対して第１の通信バスＮＷ１とは異なる通信線Ｓ１を介して接続されている。これにより、中継機１３０が管理する第２の秘密鍵Ｋ２を第１の通信バスＮＷ１を介することなく車載通信機１４０との間で共有できるため、システムとしてのセキュリティを高めることができる。

（第２の実施の形態）
次に、車両用通信システムの第２の実施の形態について説明する。なお、第２の実施の形態は、複数のＥＣＵに対して共通のメッセージを暗号化するときに用いる暗号鍵が第１の実施の形態と異なる。したがって、以下の説明においては、第１の実施の形態と相違する構成について主に説明し、第１の実施の形態と同一の又は相当する構成については重複する説明を省略する。

図５に示すように、本実施の形態では、中継機１３０は、情報センタ２００からの暗号化メッセージＭＳの受信に先立ち、バス管理装置１１０との間で認証処理を行うことにより、バス管理装置１１０が管理するセッション鍵Ｋ５を共有している。なお、認証処理としては、例えばチャレンジ・レスポンス方式の認証処理が挙げられる。

また同様に、車両情報サーバ２１０は、車両１００への暗号化メッセージＭＳの送信に先立ち、バス管理装置１１０との間で認証処理を行うことにより、バス管理装置１１０が管理するセッション鍵Ｋ５を共有している。そして、車両情報サーバ２１０は、複数のＥＣＵ１２０を宛先とする共通のメッセージを送信するときには、セッション鍵Ｋ５を用いてメッセージを暗号化した上で車両１００に送信する。

一方、車載通信機１４０は、車両情報サーバ２１０から受信した暗号化メッセージＭＳを通信線Ｓ１を通じて中継機１３０に転送する。そして、中継機１３０は、車載通信機１４０から受信した暗号化メッセージＭＳに付帯した属性フラグＭ２に基づき、暗号化メッセージＭＳの宛先が複数のＥＣＵ１２０を宛先とする共通のメッセージであるか否かを判定する。また、中継機１３０は、暗号化メッセージＭＳが上述した共通のメッセージであると判定したときには、暗号化メッセージＭＳに付帯した属性フラグＭ２に基づき、共通のメッセージの宛先が第１の通信バスＮＷ１に接続されたＥＣＵ１２０、及び、第２の通信バスＮＷ２に接続されたＥＣＵ１２０のいずれであるかを判定する。

そして、中継機１３０は、共通のメッセージの宛先が第１の通信バスＮＷ１に接続されたＥＣＵ１２０であると判定したときには、自身が管理するセッション鍵Ｋ５を用いて暗号化メッセージＭＳを復号化した上で第１の通信バスＮＷ１に送出する。

一方、中継機１３０は、共通のメッセージの宛先として第１の通信バスＮＷ１に接続されたＥＣＵ１２０を含むことなく、第２の通信バスＮＷ２に接続されたＥＣＵ１２０が選択的に判定されたときには、暗号化メッセージＭＳを復号化することなく、第１の通信バスＮＷ１を介してバス管理装置１１０に転送する。そして、バス管理装置１１０は、中継機１３０から転送された暗号化メッセージＭＳを自身が管理するセッション鍵Ｋ５を用いて復号化した上で第２の通信バスＮＷ２に送出する。

次に、本実施の形態の車両用通信システムが第１の通信バスＮＷ１及び第２の通信バスＮＷ２に接続された複数のＥＣＵ１２０に対して共通のメッセージを送信するときの処理の流れについて説明する。

図６に示すように、本実施の形態では、バス管理装置１１０は、暗号化メッセージＭＳの送信に先立ち、車両情報サーバ２１０との間で認証処理を行った上でセッション鍵Ｋ５を車両情報サーバ２１０に配布する。また、バス管理装置１１０は、中継機１３０との間で認証処理を行った上でセッション鍵Ｋ５を中継機１３０に配布する。

車両情報サーバ２１０は、バス管理装置１１０から配布されたセッション鍵Ｋ５を用いて車両情報を含むメッセージを暗号化する。そして、車両情報サーバ２１０は、暗号化メッセージＭＳの送信をセンタ通信機２２０に対して指示する。

センタ通信機２２０は、車両情報サーバ２１０からの指示に基づき、暗号化メッセージＭＳを車載通信機１４０に送信する。
車載通信機１４０は、車両情報サーバ２１０から受信した暗号化メッセージＭＳを通信線Ｓ１を通じて中継機１３０に転送する。

中継機１３０は、車載通信機１４０から転送された暗号化メッセージＭＳの属性フラグＭ２に基づき、メッセージの宛先を判定する。同図に示す例では、メッセージの宛先として第１の通信バスＮＷ１及び第２の通信バスＮＷ２に接続された複数のＥＣＵ１２０を判定する。そして、中継機１３０は、暗号化メッセージＭＳをセッション鍵Ｋ５を用いて復号化した上で第１の通信バスＮＷ１に送出する。

第１の通信バスＮＷ１に接続された各ＥＣＵ１２０は、中継機１３０から送信された復号化メッセージの宛先を識別する。このとき、ＥＣＵ１２０は、復号化メッセージの宛先が自身であると識別したときには、第１の通信バスＮＷ１に送出された復号化メッセージを受信する。一方、ＥＣＵ１２０は、復号化メッセージの宛先が自身ではないと識別したときには、第１の通信バスＮＷ１に送出された復号化メッセージを破棄する。そして、ＥＣＵ１２０は、第１の通信バスＮＷ１から受信した復号化メッセージに含まれる車両情報を取得する。

また同様に、第１の通信バスＮＷ１に接続されたバス管理装置１１０は、中継機１３０から第１の通信バスＮＷ１に送出された復号化メッセージの宛先を識別する。このとき、バス管理装置１１０は、復号化メッセージの宛先が第２の通信バスＮＷ２に接続されたＥＣＵ１２０であると識別したときには、第１の通信バスＮＷ１に送出された復号化メッセージを受信する。そして、バス管理装置１１０は、第１の通信バスＮＷ１から受信した復号化メッセージを第２の通信バスＮＷ２に送出する。その後、第２の通信バスＮＷ２に接続された各ＥＣＵ１２０は、第２の通信バスＮＷ２から復号化メッセージを受信し、当該受信した復号化メッセージに含まれる車両情報を取得する。

次に、本実施の形態の車両用通信システムが第２の通信バスＮＷ２に接続された複数のＥＣＵ１２０に対して共通のメッセージを送信するときの処理の流れについて説明する。
図７に示すように、本実施の形態では、バス管理装置１１０は、暗号化メッセージＭＳの送信に先立ち、車両情報サーバ２１０との間で認証処理を行った上でセッション鍵Ｋ５を車両情報サーバ２１０に配布する。また、バス管理装置１１０は、中継機１３０との間で認証処理を行った上でセッション鍵Ｋ５を中継機１３０に配布する。

車両情報サーバ２１０は、バス管理装置１１０から配布されたセッション鍵Ｋ５を用いて車両情報を含むメッセージを暗号化する。そして、車両情報サーバ２１０は、暗号化メッセージＭＳの送信をセンタ通信機２２０に対して指示する。

センタ通信機２２０は、車両情報サーバ２１０からの指示に基づき、暗号化メッセージＭＳを車載通信機１４０に送信する。
車載通信機１４０は、車両情報サーバ２１０から受信した暗号化メッセージＭＳを通信線Ｓ１を通じて中継機１３０に転送する。

中継機１３０は、車載通信機１４０から転送された暗号化メッセージＭＳの属性フラグＭ２に基づき、メッセージの宛先を判定する。同図に示す例では、メッセージの宛先として第２の通信バスＮＷ２に接続された複数のＥＣＵ１２０を判定する。そして、中継機１３０は、暗号化メッセージＭＳを復号化することなく第１の通信バスＮＷ１に送出する。

バス管理装置１１０は、中継機１３０から第１の通信バスＮＷ１に送出された暗号化メッセージＭＳの宛先を識別する。このとき、バス管理装置１１０は、暗号化メッセージＭＳの宛先が第２の通信バスＮＷ２に接続されたＥＣＵ１２０であると識別したときには、第１の通信バスＮＷ１に送出された暗号化メッセージＭＳを受信する。そして、バス管理装置１１０は、暗号化メッセージＭＳをセッション鍵Ｋ５を用いて復号化した上で第２の通信バスＮＷ２に送出する。その後、第２の通信バスＮＷ２に接続された各ＥＣＵ１２０は、第２の通信バスＮＷ２から復号化メッセージを受信し、当該受信した復号化メッセージに含まれる車両情報を取得する。

以上説明したように、上記第２の実施の形態によれば、上記第１の実施の形態の効果（１）〜（３）に加え、以下に示す効果を得ることができる。
（４）中継機１３０は、暗号化メッセージＭＳの復号化に用いるセッション鍵Ｋ５をバス管理装置１１０との間での認証処理を通じて取得する。そのため、第１の通信バスＮＷ１に不正に接続された中継機１３０が暗号化メッセージＭＳを復号化することができなくなり、システムとしてのセキュリティを高めることができる。

（５）中継機１３０が第２の通信バスＮＷ２に接続されたＥＣＵ１２０に暗号化メッセージを送信するときには、暗号化メッセージＭＳを復号化することなく第１の通信バスＮＷ１を通じてバス管理装置１１０に送信する。そのため、第１の通信バスＮＷ１に不正に接続された中継機１３０が暗号化メッセージＭＳの内容を取得することができなくなり、システムとしてのセキュリティを好適に高めることができる。

（その他の実施の形態）
なお、上記各実施の形態は、以下のような形態にて実施することもできる。
・上記第２の実施の形態においては、中継機１３０が第２の通信バスＮＷ２に接続されたＥＣＵ１２０に暗号化メッセージを送信するときには、暗号化メッセージＭＳを復号化することなく第１の通信バスＮＷ１を通じてバス管理装置１１０に送信するようにした。これに代えて、中継機１３０が第２の通信バスＮＷ２に接続されたＥＣＵ１２０に暗号化メッセージを送信するときであっても、暗号化メッセージＭＳを復号化した上で第１の通信バスＮＷ１を通じてバス管理装置１１０に送信するようにしてもよい。

・上記第２の実施の形態においては、中継機１３０は、暗号化メッセージＭＳの復号化に用いるセッション鍵Ｋ５をバス管理装置１１０との間での認証処理を通じて取得するようにした。これに代えて、中継機１３０は、バス管理装置１１０との間で第１の通信バスＮＷ１とは異なる通信線で接続されることにより、セッション鍵Ｋ５を共有するようにしてもよい。また、暗号化メッセージＭＳの復号化に用いる暗号鍵は必ずしもセッション鍵Ｋ５である必要はなく、中継機１３０とバス管理装置１１０との間で共有される共通鍵であってもよい。

・上記第１の実施の形態においては、中継機１３０は、車両外部から暗号化メッセージＭＳを受信する車載通信機１４０に対して第１の通信バスＮＷ１とは異なる通信線Ｓ１を介して接続されるようにした。これに代えて、中継機１３０と車載通信機１４０との間で第１の通信バスＮＷ１を介した認証処理を行うことにより、中継機１３０が管理する第２の秘密鍵Ｋ２を共有するようにしてもよい。

・上記各実施の形態においては、暗号化メッセージＭＳに対してメッセージの宛先に関する属性フラグＭ２を付帯させるようにした。これに代えて、暗号化メッセージＭＳの暗号化の対象となるメッセージ領域Ｍ１にメッセージの宛先に関する情報を含めてもよい。この場合、暗号化メッセージを復号化した上でメッセージの宛先を判定し、必要に応じてメッセージを再び暗号化するようにしてもよい。

・上記第１の実施の形態においては、暗号化メッセージＭＳの宛先の判定を車載通信機１４０が行うようにした。これに代えて、車両外部から受信した暗号化メッセージＭＳを車載通信機１４０から通信線Ｓ１を通じて中継機１３０に転送した上で、暗号化メッセージＭＳの宛先の判定を中継機１３０が行うようにしてもよい。

・上記各実施の形態においては、車載通信機１４０と中継機１３０とが別体と構成である場合を例に挙げて説明した。これに代えて、車載通信機１４０と中継機１３０とが一体に構成されてもよい。また同様に、バス管理装置１１０と車載通信機１４０についても、これらが一体に構成されてもよい。

・上記各実施の形態においては、メッセージの暗号化の手法として公開鍵暗号方式を用いる場合を例に挙げて説明した。ただし、メッセージの暗号化の手法はこれに限らず、例えば共通鍵暗号方式であってもよいし、公開鍵暗号方式と共通鍵暗号方式を組み合わせてもよい。

１００…車両、１１０…バス管理装置、１２０…ＥＣＵ、１３０…中継機、１４０…車載通信機、２００…情報センタ、２１０…車両情報サーバ、２１１…車両情報データベース、２２０…センタ通信機、Ｋ１…第１の秘密鍵、Ｋ２…第２の秘密鍵、Ｋ３…第１の公開鍵、Ｋ４…第２の公開鍵、ＮＷ１…第１の通信バス、ＮＷ２…第２の通信バス、Ｓ１…通信線。

Claims (5)

1. 車両外部において暗号化された暗号化メッセージを車載機から車両ネットワークに接続された一つ以上の車両制御装置に転送する車両用通信システムであって、
   前記車載機は、前記暗号化メッセージが前記車両制御装置に対する個別のメッセージであるときには、前記暗号化メッセージを前記車両ネットワークを介して前記車両制御装置に送信し、前記暗号化メッセージが複数の車両制御装置に対する共通のメッセージであるときには、前記車載機が保有する暗号鍵を用いて前記暗号化メッセージを復号化した上で前記車両ネットワークを介して前記複数の車両制御装置に送信する
   ことを特徴とする車両用通信システム。
2. 前記暗号化メッセージには、メッセージの宛先に関する属性情報が付帯しており、
   前記車載機は、前記属性情報に基づき、前記暗号化メッセージの宛先を判定する
   請求項１に記載の車両用通信システム。
3. 前記車載機は、車両外部から前記暗号化メッセージを受信する通信機に対して車両ネットワークとは異なる通信線を介して接続されている
   請求項１又は請求項２に記載の車両用通信システム。
4. 前記車両ネットワークを介した前記暗号化メッセージの通信を管理するネットワーク管理装置を備え、
   前記ネットワーク管理装置は、前記車載機との間で認証処理を行うことにより前記暗号鍵を共有する
   請求項１〜３のいずれか一項に記載の車両用通信システム。
5. 前記ネットワーク管理装置は、前記車両ネットワークを第１の車両ネットワークとし、前記第１の車両ネットワークとは異なる第２の車両ネットワークに接続された車両制御装置を宛先とする前記暗号化メッセージを前記車載機から受信したときには、当該暗号化メッセージを前記第２の車両ネットワークを介して前記車両制御装置に送信し、前記第２の車両ネットワークに接続された複数の車両制御装置を宛先とする前記暗号化メッセージを前記車載機から受信したときには、当該暗号化メッセージを前記ネットワーク管理装置が保有する暗号鍵を用いて復号化した上で前記第２の車両ネットワークを通じて前記複数の車両制御装置に送信する
   請求項４に記載の車両用通信システム。

Images