JP7159328B2 - 車両内電子制御ユニット間のセキュアな通信 - Google Patents

車両内電子制御ユニット間のセキュアな通信 Download PDF

Info

Publication number
JP7159328B2
JP7159328B2 JP2020541346A JP2020541346A JP7159328B2 JP 7159328 B2 JP7159328 B2 JP 7159328B2 JP 2020541346 A JP2020541346 A JP 2020541346A JP 2020541346 A JP2020541346 A JP 2020541346A JP 7159328 B2 JP7159328 B2 JP 7159328B2
Authority
JP
Japan
Prior art keywords
ecu
ecus
security
authentication
signal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2020541346A
Other languages
English (en)
Other versions
JP2021512543A (ja
Inventor
クリストフェ バッファード
サンジーブ シェガル
Original Assignee
ナグラビジョン エス アー
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ナグラビジョン エス アー filed Critical ナグラビジョン エス アー
Publication of JP2021512543A publication Critical patent/JP2021512543A/ja
Application granted granted Critical
Publication of JP7159328B2 publication Critical patent/JP7159328B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/068—Network architectures or network communication protocols for network security for supporting key management in a packet data network using time-dependent keys, e.g. periodically changing keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3297—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving time stamps, e.g. generation of time stamps
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/84—Vehicles

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Small-Scale Networks (AREA)
  • Stored Programmes (AREA)
  • Lock And Its Accessories (AREA)

Description

優先権の主張
本出願は、参照により本明細書に援用される、２０１８年１月２９日に提出された「ＡＵＴＯＭＡＴＥＤ ＳＥＣＵＲＥ ＩＮＣＬＵＳＩＯＮ ＯＦ ＡＵＴＯＭＯＴＩＶＥ ＥＣＵＳ ＩＮＴＯ Ａ ＴＲＵＳＴ ＺＯＮＥ」と題される米国特許仮出願第６２／６２３，３０４号、および２０１８年７月５日に提出された「ＳＥＣＵＲＥ ＣＯＭＭＵＮＩＣＡＴＩＯＮ ＢＥＴＷＥＥＮ ＩＮ‐ＶＥＨＩＣＬＥ ＥＬＥＣＴＲＯＮＩＣ ＣＯＮＴＲＯＬ ＵＮＩＴＳ」と題される米国特許出願第１６／０２７，６８１号に対する優先権の利益を主張するものである。
本明細書において開示される主題は、電子制御ユニット（ＥＣＵ：ｅｌｅｃｔｒｏｎｉｃ ｃｏｎｔｒｏｌ ｕｎｉｔ）を含む車両コンピュータ・システムにおけるセキュリティに関する。例示の実施形態は、ＥＣＵ間の通信などの車両コンピュータ・システムにおけるセキュアな通信のための技法に対処する。
自動車、船舶、電車、および航空機などの車両は、典型的には組み立てラインで組み立てられる別個のコンポーネントから作られている。これらのコンポーネントは、いくつかの電子制御ユニット（ＥＣＵ）から成るコンピュータ・システムを含む場合がある。ＥＣＵは、車両内の１つまたは複数の電気的なシステムまたはサブシステムをそれぞれ制御する埋め込みシステムであることができる。ＥＣＵの数が増加する結果、車両コンピュータ・システムにおけるセキュリティの脆弱性が高まる。そのような脆弱性により、不正な制御または悪意のある制御につながるサイバー脅威が生じ得る。現在、すべてのＥＣＵがセキュアに、また自動化されたやり方で接続される方法が、損なわれる可能性がある。
添付の図面の様々なものは、本主題の例示の実施形態を図示しているに過ぎず、その範囲を限定するものとしては見なされない。
いくつかの実施形態による、車両の電子制御ユニット（ＥＣＵ）の信頼ゾーンへのセキュアな取り込みを自動化するためのアーキテクチャを有するセキュリティ・システムを図示するアーキテクチャ図である。 いくつかの代替的な実施形態による、車両のＥＣＵの信頼ゾーンへの自動化されたセキュアな取り込みのためのアーキテクチャを有するセキュリティ・システムを図示するアーキテクチャ図である。 いくつかの代替的な実施形態による、車両のＥＣＵの信頼ゾーンへの自動化されたセキュアな取り込みのためのアーキテクチャを有するセキュリティ・システムを図示するアーキテクチャ図である。 いくつかの実施形態による、車両の複数のＥＣＵ間のセキュアな通信を可能にするための方法を実施する際の、セキュリティ・システムのコンポーネント間の対話を図示する対話図である。 いくつかの実施形態による、車両の複数のＥＣＵ上でファームウェアをセキュアに設定するための方法を実施する際の、セキュリティ・システムのコンポーネント間の対話を図示する対話図である。 いくつかの実施形態による、交換ＥＣＵ上でファームウェアをセキュアに設定するための方法を実施する際の、セキュリティ・システムのコンポーネント間の対話を図示する対話図である。 いくつかの代替的な実施形態による、交換ＥＣＵ上でファームウェアをセキュアに設定するための方法を実施する際の、セキュリティ・システムのコンポーネント間の対話を図示する対話図である。 いくつかの実施形態による、ＥＣＵの機能的なコンポーネントを図示するシステム図である。 いくつかの実施形態による、車両のＥＣＵ間でメッセージをセキュアに交換するための方法を実施する際の、セキュリティ・システムのコンポーネント間の対話を図示する概念図である。 いくつかの実施形態による、メッセージをセキュアに交換するための方法を実施する際の、車両の複数のＥＣＵ間の対話を図示する対話図である。 いくつかの実施形態による、メッセージをセキュアに交換するための方法を実施する際の、車両の複数のＥＣＵ間の対話を図示する対話図である。 いくつかの実施形態による、セキュリティ・システムによって提供されるグラフィカル・インターフェースの態様を図示するインターフェース図である。 本明細書において議論される方法のいずれか１つまたは複数を機械に実施させる命令のセットが実行され得るコンピュータ・システムの例示の形態における、機械の図的な表現である。
次に、主題を遂行するために、具体的な例示の実施形態を詳細に参照する。これらの具体的な実施形態の例は、添付の図面に図示されており、主題の徹底した理解を与えるために具体的な詳細が以下の説明で述べられる。これらの例は、特許請求の範囲を説明される実施形態に限定することを意図されていないことを理解されたい。反対に、それらは本開示の範囲内に含められ得るような代替例、変形例、および等価物をカバーするように意図されている。
本開示の態様は、電子制御ユニット（ＥＣＵ）を含む複数のコンポーネント間で、車両内のセキュアな通信を可能にするシステムを開発するためのセキュリティ・アーキテクチャを伴う。セキュリティ・アーキテクチャにより、セキュアなＦｉｒｍｗａｒｅ Ｏｖｅｒ－Ｔｈｅ－Ａｉｒ（ＦＯＴＡ）更新、セキュアなＭａｐ Ｏｖｅｒ－Ｔｈｅ－Ａｉｒ（ＭＯＴＡ）更新、ＥＣＵ間のセキュアな通信、セキュアな車車間および車－インフラストラクチャ間（「Ｖ２Ｘ」と総称される）通信、ならびに正当なＥＣＵ交換が可能となる。
車両組み立てプロセスの間、車両のＥＣＵの詳細は、分かる場合もあり、または分からない場合もある。例えば、ＥＣＵのタイプのみ（例えば、ゲートウェイ制御ユニット（ＧＣＵ）、ドア制御ユニット（ＤＣＵ）、テレマティクス制御ユニット（ＴＣＵ）など）が分かる場合もある。別のシナリオでは、車両に入れられる正確なＥＣＵが分かる場合もある。しかしながら、本明細書において説明されるセキュリティ・アーキテクチャは、デプロイメント時、またはデプロイメント後に、相手先ブランド供給業者（ＯＥＭ：ｏｒｉｇｉｎａｌ ｅｑｕｉｐｍｅｎｔ ｍａｎｕｆａｃｔｕｒｅｒ）がセキュアにする必要があるネットワークのコンポーネントの詳細を正確に知ることを要求しない。この方法では、セキュリティ・アーキテクチャにより、ＥＣＵの従来の詳細な知識により、またはそのような知識なしに、ＥＣＵをセキュアにすることができる。ＥＣＵが主ＥＣＵ（例えば、中央ゲートウェイ）に接続される場合、それらを識別することができ、次にこの識別情報を、それらを信頼されるセキュアなネットワークに自動化されたやり方で持ち込むために使用することができる。
本開示のさらなる態様は、車両内のＥＣＵ間のセキュアな通信を可能にするための技法（例えば、システム、方法、またはデバイス）に対処する。システムには、車両には少なくとも第１のＥＣＵおよび第２のＥＣＵが含まれる可能性がある。第１のＥＣＵは、複数のＥＣＵを通信可能にリンクして、ＥＣＵ間のセキュアな通信を可能にすることができる。ＥＣＵを通信可能にリンクすることにおいて、第１のＥＣＵは第３のＥＣＵと交換されるメッセージを認証するための認証データを第２のＥＣＵにプロビジョン（提供）することができ、第１のＥＣＵは第３のＥＣＵが第２のＥＣＵとメッセージを交換できるようにするセキュリティ鍵のセットを第３のＥＣＵにプロビジョンすることができる。第２のＥＣＵは、第３のＥＣＵから、第３のＥＣＵにプロビジョンされたセキュリティ鍵のセットからのセキュリティ鍵を使用して暗号法的に署名されたセキュアなメッセージを受信することができる。第２のＥＣＵは、認証データを認証信号と比較することによってセキュアなメッセージを認証することができる。
例として、認証データは、第３のＥＣＵが第２のＥＣＵに送信することができるメッセージ数を限定する最大メッセージ・カウントを含む場合があり、認証信号は、第３のＥＣＵによって第２のＥＣＵに送信されるメッセージ数に相当するメッセージ・カウンタを含む場合がある。この例では、第３のＥＣＵからメッセージを受信すると、第２のＥＣＵはメッセージ・カウンタをインクリメントし、メッセージ・カウンタを最大メッセージ・カウントと比較することができる。メッセージ・カウンタが最大メッセージ・カウント以下である場合、第２のＥＣＵは第３のＥＣＵからのメッセージを正常に認証する。メッセージ・カウンタが最大メッセージ・カウントよりも大きい場合、第２のＥＣＵは第３のＥＣＵから受信したメッセージを正常に認証することができない。
例として、認証データは第３のＥＣＵからのメッセージを暗号法的に署名するために使用されるセキュリティ鍵についての満了期間を含む場合があり、認証信号はクロック信号を含む場合がある。この例では、第３のＥＣＵからのメッセージを受信すると、第２のＥＣＵは満了期間をクロック信号と比較する。満了期間が経過していなければ、第２のＥＣＵは第３のＥＣＵからのメッセージを正常に認証する。満了期間が経過している場合、第２のＥＣＵは第３のＥＣＵから受信したメッセージを正常に認証することができない。
上で議論した例におけるような、第２のＥＣＵが第３のＥＣＵから受信したメッセージを正常に認証することができない事例では、第２のＥＣＵは、第３のＥＣＵに関してセキュリティ鍵認証に失敗したことを示す信号を第１のＥＣＵに送信することができる。それに応じて、第１のＥＣＵは車両の動作を限定することができる。例えば、第１のＥＣＵは、第３のＥＣＵを、第３のＥＣＵが１つまたは複数の動作を実施することを制限する制限動作モードに置くことができる。加えて、または代替的に、第１のＥＣＵはセキュリティ・サブシステムによって提供されるセキュリティ・サービスに、第２のＥＣＵ用の認証データを更新するために、更新された認証データを要求する場合がある。加えて、または代替的に、第１のＥＣＵは第３のＥＣＵ用の新しいセキュリティ鍵を要求する場合がある。
セキュリティ・アーキテクチャ
図１を参照すると、いくつかの実施形態による、例示のセキュリティ・システム１００が示されている。例示のセキュリティ・システム１００は、ＥＣＵが互いにセキュアに通信できるように、車両ＥＣＵの信頼ゾーンへの自動化されたセキュアな取り込みのために構成されている。不必要な詳細により主題が曖昧になることを回避するために、主題の理解を伝達することに密に関係しない様々な機能的なコンポーネント（例えば、サービスおよびエンジン）が図１から省略されている。しかしながら、当業者であれば、本明細書において具体的に説明されない追加の機能性を容易にするために、様々な追加の機能的なコンポーネントがセキュリティ・システム１００によってサポートされ得ることを容易に認識されよう。
関連するコンピュータ分野における当業者によって理解されるように、図１に図示される機能的なコンポーネントは、ハードウェア・コンポーネント、ファームウェア・コンポーネント、または命令を実装するために実行可能な命令と対応するハードウェアとのセット（例えば、メモリとプロセッサ）を有するコンポーネントなどの、１つまたは複数のコンポーネントを表現する場合がある。さらには、図１の機能的なコンポーネントが単数の意味合いで議論されるが、他の実施形態では、コンポーネントが１つまたは複数である、複数形の事例が採用され得ることを了解されたい。
図１で図示されるように、セキュリティ・システム１００には、ネットワーク１０６を介して、セキュリティ・サービスを提供するネットワーク・アクセス可能セキュリティ・サブシステム１０４と通信する組み立てられた車両の車両システム１０２が含まれる。ネットワーク１０６の１つまたは複数の部分は、アドホック・ネットワーク、イントラネット、エクストラネット、仮想プライベート・ネットワーク（ＶＰＮ）、ローカル・エリア・ネットワーク（ＬＡＮ）、ワイヤレスＬＡＮ（ＷＬＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、ワイヤレスＷＡＮ（ＷＷＡＮ）、メトロポリタン・エリア・ネットワーク（ＭＡＮ）、インターネット、インターネットの一部、公衆交換電話網（ＰＳＴＮ）の一部、基本電話サービス（ＰＯＴＳ）ネットワーク、セルラ電話ネットワーク、ワイヤレス・ネットワーク、Ｗｉ－Ｆｉ（Ｒ）ネットワーク、別のタイプのネットワーク、またはそのようなネットワークの２つ以上の組み合わせである可能性がある。例えば、ネットワーク１０６またはネットワーク１０６の一部には、ワイヤレスまたはセルラ・ネットワークが含まれる場合があり、ネットワーク１０６に接続されている図１に図示されるコンポーネントのいずれか１つは、符号分割多元接続（ＣＤＭＡ）接続、Ｇｌｏｂａｌ Ｓｙｓｔｅｍ ｆｏｒ Ｍｏｂｉｌｅ ｃｏｍｍｕｎｉｃａｔｉｏｎｓ（ＧＳＭ）接続、または別のタイプのセルラもしくはワイヤレス連結を介してネットワーク１０６に連結することができる。この例では、ネットワーク１０６への連結は、シングル・キャリア無線伝送技術（１ｘＲＴＴ）、Ｅｖｏｌｕｔｉｏｎ－Ｄａｔａ Ｏｐｔｉｍｉｚｅｄ（ＥＶＤＯ）技術、汎用パケット無線サービス（ＧＰＲＳ）技術、Ｅｎｈａｎｃｅｄ Ｄａｔａ ｒａｔｅｓ ｆｏｒ ＧＳＭ Ｅｖｏｌｕｔｉｏｎ（ＥＤＧＥ）技術、３Ｇを含む第３世代パートナーシップ・プロジェクト（３ＧＰＰ）、第４世代ワイヤレス（４Ｇ）ネットワーク、ユニバーサル移動体通信システム（ＵＭＴＳ）、Ｈｉｇｈ－Ｓｐｅｅｄ Ｐａｃｋｅｔ Ａｃｃｅｓｓ（ＨＳＰＡ）、Ｗｏｒｌｄｗｉｄｅ Ｉｎｔｅｒｏｐｅｒａｂｉｌｉｔｙ ｆｏｒ Ｍｉｃｒｏｗａｖｅ Ａｃｃｅｓｓ（ＷｉＭＡＸ）、Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ（ＬＴＥ）標準、様々な標準設定機関による他の定義されたもの、他のｌｏｎｇ－ｒａｎｇｅプロトコル、または他のデータ伝送技術などの、様々なタイプのデータ転送技術のいずれかを実装することができる。
示されるように、セキュリティ・サブシステム１０４は、フロントエンド・サーバ１１０、およびバックエンド・サーバ１１２などの１つまたは複数のコンピュータ・システムを含む。車両システム１０２は、組み立てられたＥＣＵなどの複数の制御ユニットを含む。例えば、車両システム１０２は、主ＥＣＵ１１６（例えば、「ゲートウェイ」）、ＴＣＵ１１８、駆動系ＥＣＵ、トランスミッションＥＣＵ、サスペンションＥＣＵ、制動制御ユニット（ＢＣＵ）、ＡＤＡ ＥＣＵ、クラスタＥＣＵ、および制動ＥＣＵなどの、１つまたは複数のＥＣＵを含むことができる。主ＥＣＵ１１６は、車両システム１０２のＥＣＵのそれぞれのセキュアな環境のコンテキストで通信するように構成される。プログラム・コード１０８（例えば、特定の機能性を実施するために実行機械を設定する機械可読命令のセットを含むソフトウェア・アプリケーション）は、例えばバックエンド・サーバ１１２に埋め込まれる場合があるか、またはバックエンド・サーバ１１２によって実行される場合があり、主ＥＣＵ１１６、またはコンピュータ・デバイス（例えば、セキュリティ・ツール）は、主ＥＣＵ１１６とセキュリティ・サブシステム１０４との通信を、ネットワーク１０６を介して容易にしている。車両システム１０２とのさらなる通信が、ピン配置、電気的、およびプロトコルの標準を提供する自己診断（ＯＢＤ）システム１２０によって促進され得る。
ＴＣＵ１１８は、車両の追跡を制御し、また追跡された値を、ネットワーク１０６を介して、例えば集中型の地理学的情報システム（ＧＩＳ）データベース・サーバ（図示せず）に与える移動体通信（例えば、ＧＳＭ、ＧＰＲＳ、Ｗｉ－Ｆｉ、ＷｉＭＡＸ、またはＬＴＥ）用の外部インターフェースを提供するように構成される。いくつかの実施形態において、ＴＣＵ１１８は、さらに主ＥＣＵ１１６がプログラム・コード１０８を必要とすることなくセキュリティ・サブシステム１０４と直接通信できるようにすることができる。
示されるように、主ＥＣＵ１１６は、車内の乗員に音声および動画コンテンツを提示するように構成される車載インフォテインメント（ＩＶＩ）システム１２２とさらに通信している。ＩＶＩシステム１２２は、ネットワーク１０６を介して、１つまたは複数の外部デバイスとの通信可能な連結（例えば、Ｗｉ－Ｆｉ、ＵＳＢ、またはイーサネット）を通じて１つまたは複数の外部システム（例えば、外部コンテンツ・プロビジョン・システム）と通信するようにさらに構成される。
セキュリティ・システム１００のコンテキストでは、それぞれのＥＣＵの製造の間、対称鍵がセキュアな記憶コンポーネントまたはそれぞれのＥＣＵの他のセキュアな要素（例えば、ＥＣＵで実行中のプロセスによって、またはＥＣＵの外部で実行中のあらゆるプロセスによってアクセスすることができない要素）に記憶される。さらには、それぞれのＥＣＵの製造の間、バックエンドのルート証明書がそれぞれのＥＣＵの非修正可能な記憶装置に記憶される。車両の組み立てプロセスの終了近くでは、すべての組み立てられたＥＣＵは、最低限の機能性を提供する埋め込まれた部分的なプログラム・コードのみを有するが、それだけでは車両を動作させることができない。例えば、部分的なプログラム・コードにより、ＥＣＵが一意の識別子（例えば、公開鍵証明書）を主ＥＣＵ１１６に通信できるようにすることができる。それぞれのＥＣＵの一意の識別子は、製造の間、対応するＥＣＵの非修正可能な記憶装置メカニズムに記憶することができる。部分的なプログラム・コードは、ＥＣＵを検証することにおいて補助となるようＥＣＵ間の他の小規模な通信をさらに促進する。
いくつかの実施形態に一貫して、プログラム・コード１０８を実行するデバイスまたはシステムは、車両製造業者により最終組み立てプロセスの間に車両の主ＥＣＵ１１６に接続することができる。プログラム・コード１０８を実行するデバイスまたはシステムは、次の少なくとも２つの方法のうちの１つで主ＥＣＵ１１６に接続することができる：１）共有の秘密（例えば、対称鍵と非対称鍵）に基づいてプログラム・コード１０８と主ＥＣＵ１１６との間に信頼される通信を確立することができる；または２）セキュアな接続は確立されない場合があるが、このプロセスが、車両の組み立ての最後に、自動車ＯＥＭにより提供される完全に制御される安全な環境において実装され得る。
（例えば、ＯＢＤシステム１２０を介して）主ＥＣＵ１１６に接続されると、プログラム・コード１０８は、主ＥＣＵ１１６から車両のすべての組み立てられたＥＣＵの一意の識別子（例えば、公開鍵証明書）の一覧を取得する。車両の正確なＥＣＵが予め分かっている場合、プログラム・コード１０８は生成された一覧と既知の一覧（例えば、マニフェスト）との比較を行って組み立てられたＥＣＵの正当性を検証する。既知の一覧は、例えば、バックエンド・サーバ１１２からプログラム・コード１０８により取り出すことができる。別の例では、既知の一覧の少なくとも一部がそれぞれのＥＣＵの製造者によって提供される可能性がある。
ＥＣＵが検証されると、プログラム・コード１０８は、車両システム１０２のＥＣＵ間のセキュアな通信を可能にするやり方で、すべてのＥＣＵを通信可能にリンクさせる。プログラム・コード１０８は、主ＥＣＵ１１６にＥＣＵを通信可能にリンクさせてＥＣＵ間のセキュアな通信を可能にするコマンドを、主ＥＣＵ１１６に発行することができる。コマンドを受信すると、主ＥＣＵ１１６はそれぞれのＥＣＵに、ＥＣＵが他のＥＣＵとメッセージをセキュアに交換できるようにすることによりＥＣＵ同士をリンクするセキュリティ鍵（例えば、暗号化鍵）のセットをプロビジョンする。主ＥＣＵ１１６は、それぞれのＥＣＵに、他のＥＣＵから受信したメッセージを認証するための認証データをさらにプロビジョンする。いくつかの実施形態では、バックエンド・サーバ１１２はすべてのＥＣＵ用にセキュリティ鍵を生成し、プログラム・コード１０８を介してそれらを主ＥＣＵ１１６に提供する。いくつかの実施形態では、主ＥＣＵ１１６がそれぞれのＥＣＵ用のセキュリティ鍵対を生成することができるか、またはそれぞれ個々のＥＣＵが、それ自身のセキュリティ鍵対を作り出すことができる。これらの実施形態に一貫して、それぞれのＥＣＵの公開鍵は、それぞれのＥＣＵに埋め込まれた一意の識別子を使用してバックエンド・サーバ１１２に提供される。セキュリティ鍵を生成してプロビジョンするために、多くの既知の技法のうちの１つを採用することができる。例えば、セキュリティ鍵は既知の対称アルゴリズムを使用して生成された「秘密鍵」であってもよく、または既知の非対称アルゴリズムを使用して生成された「公開鍵」であってもよい。
ＥＣＵをリンクすることに関しては、実施形態に応じて、すべてのＥＣＵを互いにリンクすることができ、それぞれのＥＣＵは個々に主ＥＣＵ１１６にリンクすることができるか、または一部のＥＣＵが互いにリンクされながら他のＥＣＵが主ＥＣＵ１１６だけにリンクされる場合もある。そのような通信スキームを可能にするために、ＥＣＵのうちのいずれか１つに複数のセキュリティ鍵を与えることができる。最終的に、それぞれのＥＣＵにプロビジョンされるセキュリティ鍵は他のＥＣＵとの通信を可能にし、ひいては、セキュリティ鍵はあらゆる所与のＥＣＵが通信を許可されるのが、他のどのＥＣＵかを定めている。このようにして、２つのＥＣＵ間のそれぞれのチャネルを一意の鍵でセキュアにすることができる。
セキュリティ鍵をプロビジョンされると、ＥＣＵは互いにセキュアに情報を交換することができる。実施形態に応じて、情報は、暗号化されたメッセージ、またはそれぞれプロビジョンされたセキュリティ鍵で暗号法的に署名されたメッセージに含まれる場合がある。実施形態に応じて、情報を交換することにおいて、受信側ＥＣＵは、署名が既知の署名かどうか、またはＥＣＵがＥＣＵ同士でネゴシエートされたセッションを暗号化することができる鍵を有しているかどうかをチェックする。
セキュアな車両内通信リンクが確立された後、次にプログラム・コード１０８は主ＥＣＵ１１６をバックエンド・サーバ１１２に接続し、バックエンド・サーバ１１２は主ＥＣＵ１１６にＥＣＵのそれぞれのためのデジタル証明書（例えば、公開鍵証明書）をプロビジョンする。より具体的には、バックエンド・サーバ１１２は主ＥＣＵ１１６に、証明書のトラスト・チェーン（ｃｈａｉｎ ｏｆ ｔｒｕｓｔ）を説明するために、バックエンドのルート証明書で署名された中間証明書を提供する。これらのデジタル証明書は、例えばＦＯＴＡプラットフォーム、またはプログラム・コードを完了させ車両を完全に機能できるようにするサービスを介して、新しいファームウェアを受け入れるためにＥＣＵによって使用される場合がある。これは、車両のネットワークが動作可能になる前にセキュアであることを確実にする。バックエンドのルート証明書、またはバックエンドのトラスト・チェーン内のあらゆる証明書で署名されたそれぞれのデジタル証明書は、対応するＥＣＵに記憶される。
ＥＣＵのうちの１つが交換される場合、ディーラにおいて相手先ブランド供給業者（ＯＥＭ）により、またはアフターマーケット施設においてのいずれかで、主ＥＣＵ１１６とプログラム・コード１０８との間のセキュアな接続が作られる。プログラム・コード１０８は、セキュリティ・サブシステム１０４とのセキュアな接続を確立する。セキュリティ・サブシステム１０４は、プログラム・コード１０８を検証し、バックエンド・サーバ１１２を介してデジタル証明書を提供する。プログラム・コード１０８は、交換ＥＣＵ用の一意の識別子を特定し、プログラム・コード１０８またはバックエンド・サーバ１１２は識別子を使用して交換ＥＣＵの真正性を検証し、プログラム・コード１０８はセキュアな接続を使用して証明書を交換ＥＣＵに配信する。次いでファームウェア更新がＦＯＴＡサービスを介して送信され、交換ＥＣＵ上でプログラム・コードを完了させ、機能できるようにする。
ＥＣＵが、別のＥＣＵが（例えば鍵の欠如により）損なわれていると判断する場合、ＥＣＵはそのような情報を主ＥＣＵ１１６、あらゆる他のＥＣＵ、またはセキュリティ・サブシステム２０４と通信することができるコンポーネントにレポートすることができる。損なわれているか、またはセキュアではない可能性があるＥＣＵに対処するために、またはそのようなＥＣＵを解決するために、主ＥＣＵ１１６は、どのようなアクションを取るかを決定するよう設計することができる。例えば、主ＥＣＵ１１６は、車両を、車両エンジンの動作が限定されるが車両の安全メカニズム（例えば、制動系）は限定されない「安全」モードに置くことができる。例として、「安全」モードは車両を、毎分回転数（ＲＰＭ）または時速マイル（ＭＰＨ）の、あるしきい値数で動作することに限定することができる。別の例では、「安全」モードでは、完全にスイッチオフされる前に、限定された距離（例えば１００マイル）について車両を通常モードで運転できるようにすることができる。主ＥＣＵ１１６がセキュリティ・サブシステム１０４に接続できると、主ＥＣＵ１１６は損なわれているＥＣＵのレポートをバックエンド・サーバ１１２に与えることができる。
いくつかの実施形態に一貫して、セキュリティ・システム１００は、ハードウェアの信頼のルート（ＲｏＴ）として機能してセキュアなネットワークを可能にして、ＬＴＥ／ＧＳＭＡ／Ｇｌｏｂａｌ Ｐｌａｔｆｏｒｍのフレームワークを使用して車両のＥＣＵ間のセキュリティを管理するために、技法および組み込みＵＩＣＣ（ｅＵＩＣＣ：Ｅｍｂｅｄｄｅｄ Ｕｎｉｖｅｒｓａｌ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ Ｃａｒｄ）ベースの加入者識別モジュール（ＳＩＭ）インフラストラクチャを実装することができる。セキュリティ・システム１００は、ＥＣＵの埋め込み型ＲｏＴおよび外部セキュア要素を活用することができる。このＲｏＴまたはセキュア要素は、コンポーネントの製造の間に非修正可能な記憶メカニズムにセキュアかつ秘密に記憶される埋め込み型の事前共有鍵に記憶することができる。ＥＣＵのＲｏＴまたは外部セキュア要素は、コンポーネントの製造の間に、バックエンドの証明書認証局（ＣＡ）の証明書、ＥＣＵの一意の識別子ならびにさらなるデータを非修正可能な記憶メカニズムを記憶することができる。
図１に図示される実施形態では、車両システム１０２はプログラム・コード１０８を介してネットワーク１０６上でセキュリティ・サブシステム１０４と通信している。しかしながら、いくつかの実施形態では、車両システム１０２は信頼ゾーンを確立するためにセキュリティ・サブシステム１０４と直接通信することができる。例えば、図２は、いくつかの代替的な実施形態による、車両のＥＣＵの信頼ゾーンへの自動化されたセキュアな取り込みのために構成されるセキュリティ・システム２００を図示している。セキュリティ・システム１００同様、セキュリティ・システム２００は、ＥＣＵ、ＯＢＤシステム２２０、ＩＶＩシステム２２２を備える車両システム２０２と、フロントエンド・サーバ２１０およびバックエンド・サーバ２１２を備えるセキュリティ・サブシステム２０４と、を備える。車両システム２０２のＥＣＵは、主ＥＣＵ２１６およびＴＣＵ２１８を含む。車両システム２０２およびセキュリティ・サブシステム２０４のそれぞれは、セキュリティ・システム１００の車両システム１０２およびセキュリティ・サブシステム１０４と同一の個々のコンポーネントを含み、それらと同一の個々の機能性を提供する。
しかしながら、セキュリティ・システム１００と違って、セキュリティ・システム２００では、主ＥＣＵ２１６は、プログラム・コードの必要なしにネットワーク２０６を介してセキュリティ・サブシステム２０４と通信することができる。主ＥＣＵ２１６とセキュリティ・サブシステム２０４との間の通信は、ＴＣＵ２１８によって、または主ＥＣＵ２１６に埋め込まれた通信コンポーネントによって、可能となる場合がある。セキュリティ・システム２００のコンテキストにおいて、主ＥＣＵ２１６は図１について上述したプログラム・コード１０８の機能を実施するように構成される。
図１および図２は、ネットワークを介してサーバベースのセキュリティ・サービスと直接的または間接的に通信している車両システムを図示しているが、代わりに他の実施形態では、セキュリティ・システムのセキュリティ・サブシステムは車両システムに直接接続される移動体ハードウェア・デバイス（例えば、ドングル）を含むことができる。例えば、図３は、ドングルベースのセキュリティ・サブシステム３０４と通信している車両システム３０２を含むセキュリティ・システム３００を図示している。
車両システム１０２および２０２と同様に、車両システム３０２は主ＥＣＵ３１６およびＴＣＵ３１８を含むＥＣＵ、ＯＢＤシステム３２０、ならびにＩＶＩシステム３２２を備える。車両システム３０２のコンポーネントのそれぞれは、セキュリティ・システム１００の車両システム１０２内の対応するコンポーネントと同一の機能性を提供する。
セキュリティ・システム１００および２００のセキュリティ・サブシステム１０４および２０４と違って、セキュリティ・サブシステム３０４は単純にドングル３１２を備える。ドングル３１２は、少なくともメモリ、プロセッサ、および少なくとも主ＥＣＵ３１６と通信するための手段を備える小型の移動体ハードウェア・デバイスである。いくつかの実施形態では、ドングル３１２は、スマートフォンなどの移動体コンピューティング・デバイスであり得るか、またはそのようなものを含むことができる。
実施形態に応じて、車両システム３０２は、ＯＢＤシステム３２０により、またはそれなしに、ドングルベースのセキュリティ・サブシステム３０４と通信することができる。示されるように、ドングルベースのセキュリティ・サブシステム３０４は車両システム３０２に直接接続することができ、ドングルベースのセキュリティ・サブシステム３０４はこの接続上で直接主ＥＣＵ３１６と通信することができる。車両システム３０２の能力に応じて、接続媒体は、例えばワイヤレス（例えば、ＢｌｕｅｔｏｏｔｈまたはＷｉ－Ｆｉ）、ワイヤード（例えば、イーサネット・ケーブル）、ユニバーサル・シリアル・バス（ＵＳＢ）またはデータ・バスであり得る。
ドングルベースのセキュリティ・サブシステム３０４は車両システム３０２に直接接続することができるため、セキュリティ・システム３００は、ネットワーク接続が利用できない状況において応用することができ、これは典型的にはＥＣＵ交換のコンテキストで生じる。例えば、デプロイメントに先立って、適当なセキュリティ対策がなされた別個のネットワーク接続デバイスは、ドングル３１２を認証するために期限付きの資格証明をダウンロードする。ドングル３１２が認証されると、１つまたは複数のデジタル証明書（例えば、公開鍵証明書）および交換ＥＣＵ用のファームウェアをドングル３１２のメモリにダウンロードして、暗号化して記憶することができる。
現場にデプロイされると、ドングル３１２は、図１および図２を参照して上述したサーバベースのセキュリティ・サービスの機能性をエミュレートする。例えば、ドングル３１２は、車両システム３０２に接続することができ、デジタル証明書およびファームウェアの両方を交換ＥＣＵにインストールすることができる。このファームウェア更新は交換ＥＣＵ上でプログラム・コードを完了させて完全に機能できるようにする。車両の車両識別番号（ＶＩＮ）に関連付けられたコンポーネント一覧は、新しいコンポーネント情報で更新される。
いくつかの実施形態では、ドングル３１２によって交換ＥＣＵに提供されるファームウェア更新は、プログラム・コードを完了して、ネットワーク接続が利用可能であり、さらなる情報が交換ＥＣＵに提供され得る施設に車両を持ち込むことができるまでの限られた時間の間だけ交換ＥＣＵが完全に機能できるようにする。したがって、ドングル３１２によって提供されるファームウェア更新は満了期間および／または満了日を含む場合がある。
セキュアな通信を可能にすること
図４は、いくつかの実施形態による、車両（例えば、車両システム１０２）のＥＣＵ間のセキュアな通信を可能にするための方法４００を実施する際の、セキュリティ・システム（例えば、セキュリティ・システム１００）のセキュリティ・サービスを提供するセキュリティ・サブシステム（例えば、セキュリティ・サブシステム１０４）と、プログラム・コード（例えば、プログラム・コード１０８）と、主ＥＣＵ（例えば、主ＥＣＵ１１６）との間の対話を図示する対話図である。方法４００は、１つまたは複数のハードウェア・コンポーネント（例えば、プロセッサ）による実行のためのコンピュータ可読命令において具体化することができる。
図４に示されるように、方法４００はセキュリティ・サブシステムで始まり、既知のＥＣＵ識別子の一覧をプログラム・コードに提供する（動作４０２）。それぞれのＥＣＵ識別子は対応するＥＣＵに関連付けられた一意の数値である。これらの一意の識別子は、例えば、ＥＣＵに割り振られる公開鍵証明書に対応する場合がある。既知のＥＣＵ識別子の一覧は、プログラム・コードによって受信される（動作４０４において）。既知のＥＣＵ識別子の一覧に含まれるそれぞれのＥＣＵ識別子は、設定中（例えば、組み立てプロセス）の特定の車両に含められることを意図されているＥＣＵに対応する。
プログラム・コードは主ＥＣＵに、組み立てられた車両に含まれる組み立てられたＥＣＵ識別子の一覧を問い合わせる（動作４０６）。次いで、主ＥＣＵは、車両内のそれぞれの組み立てられたＥＣＵからの識別子を編集する（動作４０８）。例えば、主ＥＣＵは識別子の要求を伴ってそれぞれのＥＣＵにｐｉｎｇを送信することができる。ＥＣＵのそれぞれに関連付けられた一意の識別子は、対応するＥＣＵの非修正可能な記憶メカニズムに記憶することができる。上述のように、ＥＣＵのそれぞれは、初めは主ＥＣＵへ一意の識別子を通信するための能力などの最低限の機能性を提供する部分的なプログラム・コードを含むだけであるが、部分的なプログラム・コードは車両を動作可能にさせることができない。
完全な一覧が編集されると、主ＥＣＵは組み立てられたＥＣＵの一覧をプログラム・コードに送信する（動作４１０）。組み立てられたＥＣＵ識別子の一覧を受信すると（動作４１２において）、プログラム・コードは、既知のＥＣＵ識別子の一覧を組み立てられたＥＣＵ識別子の一覧と比較することによって、組み立てられたＥＣＵの真正性を検証する（動作４１４）。
いくつかの実施形態では、組み立てられたＥＣＵの真正性が検証されると、セキュリティ・サブシステムは、認証データとともに組み立てられたＥＣＵのそれぞれについてセキュリティ鍵を生成し（動作４１６）、セキュリティ・サブシステムはセキュアになされた（例えば、暗号化された）チャネル上でセキュリティ鍵を認証データとともにプログラム・コードに提供する（動作４１８）。次に、プログラム・コードは、組み立てられたＥＣＵ用のセキュリティ鍵および認証データをセキュアになされたチャネル上で主ＥＣＵに提供し（動作４２０）、主ＥＣＵはプログラム・コードからセキュリティ鍵および認証データを受信する（動作４２２）。
他の実施形態では、セキュリティ・サブシステムではなく、主ＥＣＵがセキュリティ鍵を生成する。これらの実施形態では、方法４００から、動作４１６、４１８、４２０、および４２２を省略してもよい。さらには、これらの実施形態では、主ＥＣＵはプログラム・コードを通じて、ＥＣＵのそれぞれに対応するセキュリティ鍵のそれぞれをセキュリティ・サブシステムに通知し、それに応じてセキュリティ・サブシステムはその記録を更新することができる。
戻って図４を参照すると、プログラム・コードは主ＥＣＵへリンク・コマンドを発行し（動作４２４）、次に主ＥＣＵは組み立てられたＥＣＵを通信可能にリンクする（動作４２６）。主ＥＣＵは、それぞれのＥＣＵに、対応するセキュリティ鍵および認証データをプロビジョンすることにより、組み立てられたＥＣＵをリンクすることができる。セキュリティ鍵をプロビジョンされると、セキュリティ鍵がどのようにプロビジョンされているかに応じて、ＥＣＵは主ＥＣＵ、他のＥＣＵ、またはその両方の組み合わせとセキュアに情報を交換することができる。例えば、実施形態に応じて、すべてのＥＣＵを互いにリンクすることができ、それぞれのＥＣＵは個々に主ＥＣＵにリンクすることができるか、または一部のＥＣＵが互いにリンクされながら他のＥＣＵは主ＥＣＵだけにリンクされる場合もある。そのような通信スキームを可能にするために、ＥＣＵのうちのいずれか１つまたは複数に、複数のセキュリティ鍵を与えることができる。最終的に、それぞれのＥＣＵにプロビジョンされるセキュリティ鍵は他のＥＣＵとの通信を可能にし、ひいては、セキュリティ鍵はあらゆる所与のＥＣＵが通信を許可されるのが、他のどのＥＣＵかを定めている。メッセージを別のＥＣＵと交換する際、ＥＣＵを送信することは、他のＥＣＵとの通信に関連付けられたセキュリティ鍵でメッセージに署名する。このようにして、２つのＥＣＵ間のそれぞれのチャネルを一意の鍵でセキュアにすることができる。さらには、それぞれのＥＣＵは認証データを使用して他のＥＣＵから受信したメッセージを認証する。認証データは、例えば、特定のセキュリティ鍵についての時間ウインドウまたは満了期間を定義する時間的な属性、メッセージに署名するために特定のセキュリティ鍵を使用できる最大メッセージ・カウントを定義するメッセージ・カウント属性、ＥＣＵが実施することができる特定の動作を定義する動作属性、または特定のＥＣＵが通信することができる車両システム内の特定のコンポーネントを定義するコンポーネント属性などの、他のＥＣＵとの通信に関連する１つまたは複数の属性を含む。
ＥＣＵファームウェアをセキュアに設定する
図５は、いくつかの実施形態による、車両（例えば、車両システム１０２）の複数のＥＣＵ上でファームウェアをセキュアに設定するための方法５００を実施する際の、セキュリティ・システム（例えば、セキュリティ・システム１００）のセキュリティ・サブシステム（例えば、セキュリティ・サブシステム１０４）と、プログラム・コード（例えば、プログラム・コード１０８）と、主ＥＣＵ（例えば、主ＥＣＵ１１６）との間の対話を図示する対話図である。方法５００は、１つまたは複数のハードウェア・コンポーネント（例えば、プロセッサ）による実行のためのコンピュータ可読命令において具体化することができる。方法５００の動作は、例えば、上述の方法４００の動作に続いて実施される場合がある。
示されるように、方法５００は、主ＥＣＵで始まり、プログラム・コードに車両システムのＥＣＵにセキュリティ鍵がプロビジョンされているという指標を提供する（動作５０２）。この指標を受信することに応じて、プログラム・コードは主ＥＣＵをセキュリティ・サブシステムに接続する（動作５０４）。セキュリティ・サブシステムは、ＥＣＵのそれぞれについてのデジタル証明書（例えば、公開鍵証明書）を生成し、デジタル証明書を主ＥＣＵに提供する（動作５０６）。デジタル証明書を受信すると、主ＥＣＵは、ＥＣＵのそれぞれでファームウェアを設定するために、それぞれのＥＣＵのデジタル証明書を使用してＦＯＴＡサービスにファームウェア・データを要求することができる（動作５０８）。主ＥＣＵはＦＯＴＡサービスからファームウェア・データを受信し（動作５１０）、ファームウェア・データを使用してそれぞれのＥＣＵ上で対応するファームウェアを設定する（動作５１２）。設定されると、ファームウェアは以前ＥＣＵに埋め込まれた部分的なプログラム・コードを完了させ、それにより車両を完全に機能させる。
交換ＥＣＵ上でファームウェアをセキュアに設定する
図６は、いくつかの実施形態による、交換ＥＣＵ上でファームウェアをセキュアに設定するための方法６００を実施する際の、セキュリティ・システム（例えば、セキュリティ・システム１００）のセキュリティ・サブシステム（例えば、セキュリティ・サブシステム１０４）と、プログラム・コード（例えば、プログラム・コード１０８）と、主ＥＣＵ（例えば、主ＥＣＵ１１６）との間の対話を図示する対話図である。方法６００は、１つまたは複数のハードウェア・コンポーネント（例えば、プロセッサ）による実行のためのコンピュータ可読命令において具体化することができる。
示されるように、方法６００は主ＥＣＵで始まり、ＥＣＵが交換されたという指標をプログラム・コードに提供する（動作６０２）。指標は、交換ＥＣＵに関連付けられた一意の識別子（例えば、公開鍵）を含む場合がある。初めに、交換ＥＣＵは、それだけでは車両を動作できるようにしない部分的なプログラム・コードだけを含む。
主ＥＣＵから指標を受信することに応じて、プログラム・コードはセキュリティ・サブシステムとのセキュアな接続を確立する（動作６０４）。セキュアな接続を確立すると、セキュリティ・サブシステムは、プログラム・コードを実行しているデバイスまたはシステムの真正性を検証する（動作６０６）。プログラム・コードは指標の一部として受信された識別子に基づいて交換ＥＣＵを検証する（動作６０８）。
交換ＥＣＵが検証されると、セキュリティ・サブシステムは、交換ＥＣＵ用の１つまたは複数のセキュリティ鍵を生成してプログラム・コードを通じて主ＥＣＵに提供する（動作６１０）。プログラム・コードはリンク・コマンドを主ＥＣＵに発行し（動作６１２）、次いで主ＥＣＵは、交換ＥＣＵに１つまたは複数のセキュリティ鍵をプロビジョンすることによって、交換ＥＣＵを１つまたは複数の他のＥＣＵとリンクする（動作６１４）。１つまたは複数のセキュリティ鍵がプロビジョンされると、交換ＥＣＵは車両システムの１つまたは複数の他のＥＣＵとセキュアに通信することができる。例えば、交換ＥＣＵは１つまたは複数のセキュリティ鍵を使用して、別のＥＣＵと交換された暗号化されたメッセージに署名することができる。交換ＥＣＵには、交換ＥＣＵが通信するよう認可されるそれぞれ他のＥＣＵについて、セキュリティ鍵をプロビジョンすることができる。この方法で、ＥＣＵと交換ＥＣＵと間のそれぞれのチャネルを一意の鍵でセキュアにすることができる。
交換ＥＣＵが車両システムの他のＥＣＵとリンクされると、セキュリティ・サブシステムは交換ＥＣＵ用のデジタル証明書（例えば、公開鍵証明書）を生成してプログラム・コードを通じて主ＥＣＵに提供する（動作６１６）。主ＥＣＵ１１６は、交換ＥＣＵにデジタル証明書をプロビジョンし（動作６１８）、デジタル証明書は交換ＥＣＵの非修正可能な記憶メカニズムに記憶することができる。次に主ＥＣＵは交換ＥＣＵ用のファームウェアを設定するためのファームウェア・データを、デジタル証明書を使用してＦＯＴＡプラットフォームまたはサービスに要求することができる（動作６２０）。ＦＯＴＡプラットフォームまたはサービスからファームウェア・データを受信すると、主ＥＣＵは交換ＥＣＵ上でファームウェアを設定する（動作６２２）。設定されると、ファームウェアは以前交換ＥＣＵに埋め込まれた部分的なプログラム・コードを完了させ、それにより車両を完全に機能させる。
ドングルを使用して交換ＥＣＵ上でファームウェアをセキュアに設定する
図７は、いくつかの実施形態による、交換ＥＣＵ上でファームウェアをセキュアに設定するための方法７００を実施する際の、セキュリティ・システム（例えば、セキュリティ・システム３００）のドングル（例えば、ドングル３１２）と、主ＥＣＵ（例えば、主ＥＣＵ３１６）との間の対話を図示する対話図である。方法７００は、１つまたは複数のハードウェア・コンポーネント（例えば、プロセッサ）による実行のためのコンピュータ可読命令において具体化することができる。
示されるように、方法７００はドングルで始まり、デジタル証明書および交換ＥＣＵ用のファームウェアを取得する（動作７０２）。ドングルは、サーバベースのセキュリティ・サービス（例えば、セキュリティ・サブシステム１０４）からデジタル証明書およびファームウェアを取得することができ、その間ドングルはセキュリティ・サービスと通信できるようにするネットワーク接続を有する。ドングルは交換ＥＣＵに関連付けられた一意の識別子（例えば、公開鍵）に基づいて交換ＥＣＵを検証する（動作７０４）。一意の識別子は交換ＥＣＵの非修正可能な記憶メカニズムに記憶することができ、主ＥＣＵによってドングルに提供することができる。交換ＥＣＵを検証すると、ドングルは主ＥＣＵに交換ＥＣＵ用のデジタル証明書およびファームウェアを提供する（動作７０６）。動作７０６において、ドングルは主ＥＣＵへのリンク・コマンドをさらに発行することができる。リンク動作は、一時的な鍵（例えば、交換ＥＣＵにセキュアに記憶された）を使用して実施することができる。これにより、ネットワーク接続へのアクセスが利用可能になった時に、限られた時間でワークショップに到着して交換手順を終了させることができる。
リンク・コマンドを受信することに応じて、主ＥＣＵは交換ＥＣＵにデジタル証明書をプロビジョンし（動作７０８）、交換ＥＣＵ上でファームウェアを設定する（動作７１０）。設定されると、ファームウェアは以前交換ＥＣＵに埋め込まれた部分的なプログラム・コードを完了させ、それにより車両を完全に機能させる。
ＥＣＵの機能的なコンポーネント
図８は、いくつかの実施形態による、ＥＣＵ８００の機能的なコンポーネントを図示するシステム図である。ＥＣＵ８００は、図１～図３に図示し、上の図４～図７について議論したＥＣＵの例である。ＥＣＵ８００は、受信機８０４、送信機８０６、認証コンポーネント８０８、およびメモリ８１０を備えるセキュアな通信システム８０２を含むものとして示されている。受信機８０４は復号化コンポーネント８１２を備える場合があり、送信機８０６は暗号化コンポーネント８１４を備える場合がある。
セキュアな通信システム８０２の機能的なコンポーネントは、ＥＣＵ８００が車両内の他のＥＣＵとセキュアにメッセージを交換できるようにする。例えば、メモリ８１０は、ＥＣＵ８００がセキュアな（例えば、暗号化された、または暗号法的に署名された）メッセージを１つまたは複数の他のＥＣＵに送信し、他のＥＣＵから受信した暗号化されたメッセージを復号できるようにするセキュリティ鍵８１６を記憶する。さらには、メモリ８１０は、他のＥＣＵから受信したメッセージを認証するための認証データ８１８をさらに記憶する。認証データ８１８は、１つまたは複数の他のＥＣＵとの通信に関連する１つまたは複数の属性を含む。１つまたは複数の属性は、例えば、セキュリティ鍵についての満了期間または時間ウインドウを指定する時間的な属性、セキュリティ鍵についての最大メッセージ・カウントを指定するメッセージ・カウント属性、ＥＣＵが実施することができる１つまたは複数の動作を指定する動作属性、またはＥＣＵが通信することができる車両のコンポーネントを指定するコンポーネント属性のうちの１つまたは複数を含む場合がある。上で言及したように、車両システムの主ＥＣＵ（例えば、主ＥＣＵ１１６）は、ＥＣＵ８００にセキュリティ鍵８１６および認証データ８１８をプロビジョンすることができる。
受信機８０４は、他のＥＣＵからセキュアな（例えば、暗号化された、または暗号法的に署名された）メッセージを受信する役割を担い、受信機８０４の復号化コンポーネント８１２はメモリ８１０に記憶されたセキュリティ鍵８１６のうちの１つを使用して暗号化されたメッセージを復号する。送信機８０６は、暗号化コンポーネント８１４によってメモリ８１０に記憶されたセキュリティ鍵８１６のうちの１つを使用して暗号化されたおよび／または暗号法的に署名されたメッセージを他のＥＣＵへ送信する役割を担う。認証コンポーネント８０８は、他のＥＣＵから受信されたメッセージを認証する。認証コンポーネント８０８は、別のＥＣＵから受信したメッセージを、そのＥＣＵについての認証データ８１８をＥＣＵ８００に維持される認証信号と比較することによって、認証することができる。以下に、メッセージの認証に関するさらなる詳細を議論する。
セキュアな通信システム８０２の様々なコンポーネントは、（例えば、バス、共有メモリ、またはスイッチを介して）互いに通信するように構成することができる。説明されるコンポーネントのうちのいずれか１つまたは複数は、ハードウェアだけ（例えば、機械の１つまたは複数のプロセッサ）を使用して、またはハードウェアとソフトウェアとを組み合わせて実装することができる。例えば、セキュアな通信システム８０２のあらゆるコンポーネントは、そのコンポーネント用に、本明細書において説明される動作を実施するように構成されるプロセッサ８２０（例えば、機械の１つまたは複数のプロセッサのサブセット）の１つまたは複数の配置構成を物理的に含むことができる。別の例として、セキュアな通信システム８０２のあらゆるコンポーネントは、そのコンポーネント用に、本明細書において説明される動作を実施するための（例えば、機械の１つまたは複数のプロセッサの）１つまたは複数のプロセッサ８２０の配置構成を設定する、ソフトウェア、ハードウェア、またはその両方を含むことができる。したがって、セキュアな通信システム８０２の様々なコンポーネントは、様々な時点で、そのようなプロセッサ８２０の様々な配置構成、またはそのようなプロセッサ８２０の単一の配置構成を含んで設定することができる。さらには、セキュアな通信システム８０２のあらゆる２つ以上のコンポーネントは、単一のコンポーネントに結合することができ、単一のコンポーネントについて本明細書において説明される機能は複数のコンポーネントに分割することができる。さらには、様々な例示の実施形態によると、本明細書において単一の機械、データベース、またはデバイス内に実装されるものとして説明されるコンポーネントは、複数の機械、データベース、またはデバイスに分散することができる。
ＥＣＵ間のセキュアな通信
図９は、いくつかの実施形態による、車両システムのＥＣＵ間でメッセージをセキュアに交換するための方法９００を実施する際の、セキュリティ・システムのコンポーネント間の対話を図示する概念図である。特に、図９はセキュリティ・サブシステム（例えば、セキュリティ・サブシステム１０４）と、４つのＥＣＵすなわちＥＣＵ１、ＥＣＵ２、ＥＣＵ３、およびＥＣＵ４との間の対話を図示している。ＥＣＵ１、ＥＣＵ２、ＥＣＵ３、およびＥＣＵ４のそれぞれは、ＥＣＵ８００の例である。さらには、ＥＣＵ１は主ＥＣＵ（例えば、主ＥＣＵ１１６、２１６、または３１６）に相当する場合がある。
示されるように、動作９０２において、セキュリティ・サブシステムはＥＣＵ１（例えば、主ＥＣＵ１１６）に、セキュリティ鍵の複数のセットおよびＥＣＵ間で交換されるメッセージを認証するための関連付けられた認証データをプロビジョンする。セキュリティ鍵の複数のセットは、ＥＣＵ２に対応するセキュリティ鍵の第１のセット、ＥＣＵ３に対応するセキュリティ鍵の第２のセット、およびＥＣＵ４に対応するセキュリティ鍵の第３のセットを含む。
動作９０４Ａにおいて、ＥＣＵ１はＥＣＵ２にセキュリティ鍵の第１のセットおよび関連付けられた認証データをプロビジョンする。動作９０４Ｂにおいて、ＥＣＵ１はＥＣＵ３にセキュリティ鍵の第２のセットおよび関連付けられた認証データをプロビジョンする。動作９０４Ｃにおいて、ＥＣＵ１はＥＣＵ４にセキュリティ鍵の第３のセットおよび関連付けられた認証データをプロビジョンする。ＥＣＵ２、ＥＣＵ３、およびＥＣＵ４のそれぞれは、セキュアな記憶デバイス（例えば、メモリ８１０）内に、そのそれぞれのセキュリティ鍵のセットを記憶することができる。
この例では、ＥＣＵ２はＥＣＵ３とメッセージを交換することができるが、ＥＣＵ２はＥＣＵ４とはメッセージを交換することができない。したがって、セキュリティ鍵の第１のセットは、ＥＣＵ２がＥＣＵ３とセキュアに通信することができるように１つまたは複数のセキュリティ鍵を含み、セキュリティ鍵の第２のセットは、ＥＣＵ３がＥＣＵ２とセキュアに通信することができるように１つまたは複数のセキュリティ鍵を含む。例えば、セキュリティ鍵の第１のセットは、メッセージを暗号化するおよび／または暗号法的に署名するためにＥＣＵ２用のプライベート鍵と、ＥＣＵ３によって署名されたメッセージをＥＣＵ２が復号できるようにするための公開鍵（例えば、ＥＣＵ３にプロビジョンされたプライベート鍵を使用して）とを含む場合がある。同様に、セキュリティ鍵の第２のセットはメッセージを暗号化するためにＥＣＵ３用のプライベート鍵と、ＥＣＵ２よって暗号法的に署名されたメッセージをＥＣＵ３が復号できるようにするための公開鍵とを含む場合がある。
さらには、ＥＣＵ２にプロビジョンされた認証データにより、ＥＣＵ２はＥＣＵ３からのメッセージを認証できるようになるが、ＥＣＵ４からのメッセージは認証できない。認証データは、例えば、公開鍵についての満了期間または時間ウインドウを指定する時間的な属性、公開鍵についての最大メッセージ・カウントを指定するメッセージ・カウント属性、ＥＣＵ３が実施することができる１つまたは複数の動作を指定する動作属性、およびＥＣＵ３が通信することができる車両のコンポーネントを指定するコンポーネント属性のうちの１つまたは複数を含む場合がある、１つまたは複数の属性を含む。
動作９０６において、ＥＣＵ３は、セキュリティ鍵の第２のセットからのセキュリティ鍵を使用して暗号法的に署名されたセキュアなメッセージをＥＣＵ２に送信する。セキュアなメッセージを受信すると、ＥＣＵ２はＥＣＵ２にプロビジョンされた認証データを使用してセキュアなメッセージを正常に認証し、メッセージをセキュアな記憶エリアに記憶する（動作９０８）。以下でさらに議論するように、セキュアなメッセージを認証することは、認証データを認証信号と比較することを含む場合がある。
動作９１０において、ＥＣＵ４は、セキュリティ鍵の第３のセットからのセキュリティ鍵を使用して暗号法的に署名されたセキュアなメッセージをＥＣＵ２に送信する。しかしながら、上述のように、この例ではＥＣＵ２とＥＣＵ４とは互いにメッセージを交換することを許可されていない。したがって、動作９１２で示されるように、ＥＣＵ４から受信されたメッセージの認証は失敗する。ＥＣＵ４から受信したメッセージの認証ができないことに応じて、ＥＣＵ２はメッセージを破棄することができ、さらにはＥＣＵ１に信号を送信して失敗したセキュリティ鍵認証をＥＣＵ１に通知する。
図１０および図１１は、いくつかの実施形態による、メッセージをセキュアに交換するための方法１０００を実施する際の、車両の複数のＥＣＵ間の対話を図示する対話図である。より具体的には、図１０および図１１は、方法１０００を実施することにおいて、ＥＣＵ１、ＥＣＵ２、およびＥＣＵ３の間の対話を図示している。方法１０００は、方法１０００の動作がＥＣＵ１、ＥＣＵ２、およびＥＣＵ３によって実施することができるように、１つまたは複数のハードウェア・コンポーネント（例えば、プロセッサ）による実行のためのコンピュータ可読命令において具体化することができる。上述のように、ＥＣＵ１、ＥＣＵ２、およびＥＣＵ３は、ＥＣＵ８００の例である。さらには、ＥＣＵ１は主ＥＣＵ（例えば、主ＥＣＵ１１６、２１６、または３１６）に相当する場合がある。
示されるように、方法１０００はＥＣＵ１（例えば、主ＥＣＵ１１６）で始まり、ＥＣＵ３が少なくともＥＣＵ２を含む１つまたは複数のＥＣＵとメッセージを交換することができるように、ＥＣＵ３にセキュリティ鍵のセットをプロビジョンする（動作１００２）。ＥＣＵ３は、動作１００４において鍵のセットを受信する。
ＥＣＵ１は、ＥＣＵ２にＥＣＵ３と交換されるメッセージを認証するための認証データをプロビジョンする（動作１００６）。認証データは、動作１００８においてＥＣＵ２によって受信される。認証データは、セキュリティ鍵のセットに基づくＥＣＵ３との通信に関連する１つまたは複数の属性を含む。１つまたは複数の属性は、例えば次のうちの１つまたは複数を含む場合がある：セキュリティ鍵についての満了期間を定義する時間的な属性、セキュリティ鍵で暗号法的に署名されたメッセージを送信するための時間ウインドウを定義する時間的な属性、セキュリティ鍵についての最大メッセージ・カウントを定義するメッセージ・カウント属性、ＥＣＵ３が通信することができる車両のコンポーネントの識別子を指定するコンポーネント属性、およびＥＣＵ３が実施することができる動作を指定する動作属性。いくつかの実施形態において、１つまたは複数の属性は、認証されたメッセージに対応する第１のメッセージ・カウント属性、および認証に失敗したメッセージに対応する第２のメッセージ・カウント属性を含む場合がある。
ＥＣＵ３は、セキュリティ鍵のセットからのセキュリティ鍵を使用して暗号法的に署名されたセキュアなメッセージを生成し（動作１０１０）、ＥＣＵ３はセキュアなメッセージをＥＣＵ２に送信する（動作１０１２）。ＥＣＵ２はＥＣＵ３から、ＥＣＵ３にプロビジョンされたセキュリティ鍵のセットからのセキュリティ鍵を使用して暗号法的に署名されたセキュアなメッセージを受信する（動作１０１４）。
ＥＣＵ２は、認証データを使用して、ＥＣＵ３から受信したセキュアなメッセージを認証する（動作１０１６）。特に、ＥＣＵ２は、認証データを認証信号と比較することによってセキュアなメッセージを認証する。認証信号は、ＥＣＵ２によって維持することができる。いくつかの実施形態において、認証信号はＥＣＵ２およびＥＣＵ３の両方によって維持される場合がある。これらの実施形態に一貫して、ＥＣＵ３はセキュリティ鍵と認証信号の組み合わせを使用してセキュアなメッセージを暗号法的に署名することができる。いくつかの実施形態に一貫して、セキュアなメッセージの認証に先立って、またはその一部として、ＥＣＵ２はＥＣＵ２にプロビジョンされた１つまたは複数のセキュリティ鍵を使用してセキュアなメッセージを復号することができる。
第１の例として、１つまたは複数の属性は、セキュリティ鍵についての満了期間を定義する時間的な属性を含み、認証信号はクロック信号を含む。第１の例では、ＥＣＵ２はＥＣＵ３からのセキュアなメッセージを、満了期間をクロック信号と比較することによって認証し、満了期間が経過していなければ、ＥＣＵ２はセキュアなメッセージを正常に認証する。他方で、満了期間が経過している場合、認証は失敗し、ＥＣＵ２はＥＣＵ３に関してセキュリティ鍵認証失敗を示すメッセージをＥＣＵ１に送信することができる。
第２の例では、１つまたは複数の属性は、セキュリティ鍵を使用して署名されたメッセージを送信することができる時間ウインドウを定義する時間的な属性を含み、認証信号はクロック信号を含む。第２の例では、ＥＣＵ２はＥＣＵ３からのセキュアなメッセージを、時間ウインドウをクロック信号と比較することによって認証し、メッセージが時間ウインドウ内で送信される場合、ＥＣＵ２はセキュアなメッセージを正常に認証する。他方で、メッセージが時間ウインドウ外で送信される場合、認証は失敗し、ＥＣＵ２はＥＣＵ３に関してセキュリティ鍵認証失敗を示す信号をＥＣＵ１に送信することができる。さらには、第１および第２の例のコンテキストでは、ＥＣＵ２は、ＥＣＵ１と通信しているコンピュータ・システム（例えば、バックエンド・サーバ１１２）によって提供される１つまたは複数のクロック信号の更新に基づいてクロック信号を維持することができる。
第３の例では、１つまたは複数の属性は、セキュリティ鍵を使用して署名できるメッセージの数を限定する最大メッセージ・カウントを定義するメッセージ・カウント属性を含み、認証信号はセキュリティ鍵を使用して署名されるメッセージ数に対応するメッセージ・カウンタを含む。第３の例では、ＥＣＵ２は、ＥＣＵ３からセキュアなメッセージを受信するとメッセージ・カウンタをインクリメントし、メッセージ・カウンタを最大メッセージ・カウントと比較することによってセキュアなメッセージを認証する。メッセージ・カウンタが最大メッセージ・カウントを超えない場合、ＥＣＵ２はセキュアなメッセージを正常に認証する。メッセージ・カウンタが最大メッセージ・カウントを超える場合、認証は失敗し、ＥＣＵ２はＥＣＵ３に関してセキュリティ鍵認証失敗を示す信号をＥＣＵ１に送信することができる。ＥＣＵ２によって維持されるメッセージ・カウンタは、ＥＣＵ３にプロビジョンされたセキュリティ鍵のセット内のセキュリティ鍵を使用して暗号法的に署名されたメッセージに対応する。最大メッセージ・カウントは正常に認証されたメッセージ、または正常に認証されなかったメッセージに対応する場合があるため、正常に認証されたメッセージ、および正常に認証されなかったメッセージについて別個のメッセージ・カウンタを維持してもよい。
第４の例では、１つまたは複数の属性は、ＥＣＵ３が通信することができる車両のコンポーネントを指定するコンポーネント属性を含み、ＥＣＵ２は、セキュアなメッセージがＥＣＵ３が通信することができる車両のコンポーネントの動作に関連することを検証することによって、ＥＣＵ３からのセキュアなメッセージを認証する。
第５の例では、１つまたは複数の属性は、ＥＣＵ３が実施することができる動作を指定する動作属性を含み、ＥＣＵ２は、セキュアなメッセージがＥＣＵ３が実施することができる動作に対応することを検証することによって、セキュアなメッセージを認証する。
図１１に示されるように、方法１０００は、いくつかの実施形態において、動作１０１６、１０１８、１０２０、１０２２、１０２４、１０２６、１０２８、１０３０、および１０３２を含む。いくつかの実施形態に一貫して、動作１０１６、１０１８、１０２０、１０２２、１０２４、１０２６、１０２８、１０３０、および１０３２は、ＥＣＵ２がＥＣＵ３から受信したセキュアなメッセージを認証する動作１０１４の後に、実施することができる。上述のように、いくつかの事例では、ＥＣＵ２は動作１０１４においてセキュアなメッセージを正常に認証することができない。ＥＣＵ２がセキュアなメッセージを正常に認証することができないことに応じて、ＥＣＵ２はＥＣＵ３に関してセキュリティ鍵認証失敗を示す信号をＥＣＵ１に送信する（動作１０１６）。
ＥＣＵ２からの信号を受信すると、ＥＣＵ１は車両の動作を限定する（動作１０１８）。ＥＣＵ１は車両内の１つまたは複数のＥＣＵを、１つまたは複数のＥＣＵが１つまたは複数の動作（例えば、メッセージを送信すること）を実施することを制限する制限動作モードに置くことによって車両の動作を限定することができる。例えば、ＥＣＵ２がＥＣＵ３から受信したセキュアなメッセージを正常に認証することができなかったことに応じて、ＥＣＵ１はＥＣＵ３を制限動作モードに置くことができる。
さらには、ＥＣＵ１は表示デバイス上にＥＣＵ３に関して認証失敗の通知を表示させる（動作１０２０）。表示デバイスは、車両の表示デバイス（例えば、ダッシュボードの表示デバイス）、またはＥＣＵ１と通信している外部コンピュータ・システム（例えば、診断的ツール）の表示デバイスであり得る。通知は、車両のそれぞれのＥＣＵの認証と動作の状態を与えるグラフィカル・インターフェース上に提示することができる。そのようなグラフィカル・インターフェースの例を図１２に図示し、以下で議論する。
ＥＣＵ２からの信号を受信することに応じて、ＥＣＵ１はセキュリティ・サブシステムに更新された認証データをさらに要求することができる（動作１０２２）。更新された認証データは、例えば、セキュリティ鍵についての更新された満了期間を含む。ＥＣＵ１は、ＥＣＵ２に更新された認証データをプロビジョンし（動作１０２４）、これは動作１０２６でＥＣＵ２によって受信される。
いくつかの実施形態において、認証に失敗する結果となったセキュリティ鍵を交換するために、ＥＣＵ１は動作１０２８において追加的にＥＣＵ３用の新しいセキュリティ鍵を要求することができる。動作１０３０において、ＥＣＵ１はＥＣＵ３に新しいセキュリティ鍵をプロビジョンし、動作１０３２においてＥＣＵ３はその新しいセキュリティ鍵を受信する。
グラフィカル・インターフェース
図１２は、いくつかの実施形態による、セキュリティ・システム（例えば、セキュリティ・システム１００、２００、または３００）によって提供されるグラフィカル・インターフェース１２００の態様を図示するインターフェース図である。示されるように、グラフィカル・インターフェース１２００は、車両内のＥＣＵの一覧、ならびにそれぞれのＥＣＵについての認証と動作の状態を含む。グラフィカル・インターフェース１２００は、認証に失敗した通知を表示することができる。例えば、図１２では、認証失敗の通知は「ＥＣＵ４」について、その「ＥＣＵ４」が制限動作モードにあるという通知とともに、提示されている。
コンピュータ・システム
図１３は、例示の実施形態により、本明細書において議論される方法のいずれか１つまたは複数を機械１３００に実施させるための命令のセットが実行され得るコンピュータ・システムの形態における、機械１３００の図的な表現を示している。具体的には、図１３は本明細書において議論される方法のいずれか１つまたは複数を機械１３００に実施させる命令１３１６（例えば、ソフトウェア、プログラム、アプリケーション、アプレット、アプリ、または他の実行可能なコード）が実行され得るコンピュータ・システムの例示の形態における、機械１３００の図的な表現を示している。例えば、機械１３００は、フロントエンド・サーバ１１０および２１０、バックエンド・サーバ１１２および２１２、ＯＢＤシステム１２０、２２０、３２０、ＩＶＩシステム１２２、２２２、および３２２、ドングル３１２、ＥＣＵ８００、ならびにそのあらゆる例の、いずれか１つに対応することができる。さらには、命令１３１６は、機械１３００に方法４００、５００、６００、７００、９００、または１０００のうちのいずれか１つを実行させることができる。命令１３１６は、汎用の、非プログラム機械１３００を、本明細書で説明したやり方で、説明され図示された機能を遂行するようにプログラムされた特定の機械１３００に変形する。代替的な実施形態では、機械１３００はスタンドアロンのデバイスとして動作するか、または他の機械に連結（例えば、ネットワーク化）することができる。ネットワーク化されたデプロイメントでは、機械１３００はサーバ－クライアントのネットワーク環境内でサーバ機械もしくはクライアント機械の能力の範囲で、またはピアツーピア（または分散）のネットワーク環境内のピア機械として動作することができる。機械１３００は、サーバ・コンピュータ、クライアント・コンピュータ、パーソナル・コンピュータ（ＰＣ）、タブレット・コンピュータ、ラップトップ・コンピュータ、ネットブック、スマートフォン、モバイル・デバイス、ネットワーク・ルータ、ネットワーク・スイッチ、ネットワーク・ブリッジ、または命令１３１６を順次に実行することができるか、もしくは機械１３００によって取られるアクションを指定するあらゆる機械を含むことができるが、それに限定されない。さらには、単一の機械１３００のみが図示されているが、用語「機械」はやはり、本明細書において議論される方法のいずれか１つまたは複数を実施するために、命令１３１６を個々にまたは一緒に実行する機械１３００の集合を含むものとして受け取られるものである。
機械１３００は、プロセッサ１３１０、メモリ１３３０、およびＩ／Ｏコンポーネント１３５０を含むことができ、バス１３０２を介するなどして互いに通信するように構成することができる。例示の実施形態では、プロセッサ１３１０（例えば、中央処理装置（ＣＰＵ）、縮小命令セット・コンピューティング（ＲＩＳＣ）プロセッサ、複雑命令セット・コンピューティング（ＣＩＳＣ）プロセッサ、画像処理装置（ＧＰＵ）、デジタル信号プロセッサ（ＤＳＰ）、特定用途向け集積回路（ＡＳＩＣ）、無線周波数集積回路（ＲＦＩＣ）、別のプロセッサ、またはそれらのあらゆる適切な組み合わせ）は、例えば、命令１３１６を実行することができるプロセッサ１３１２およびプロセッサ１３１４を含むことができる。用語「プロセッサ」は、命令を同時的に実行することができる２つ以上の独立したプロセッサ（時に「コア」と称される）を備えることができるマルチコア・プロセッサ１３１０を含むよう意図されている。図１３は複数のプロセッサを示しているが、機械１３００は、シングル・コアを有する単一のプロセッサ、マルチ・コアの単一のプロセッサ（例えば、マルチコア・プロセッサ）、シングル・コアの複数のプロセッサ、複数のコアを有する複数のプロセッサ、またはそれらのあらゆる組み合わせを含むことができる。
メモリ１３３０は、主メモリ１３３２、スタティック・メモリ１３３４、記憶装置１３３６を含むことができ、バス１３０２を介するなどしてそれぞれ１３１０へアクセス可能である。主メモリ１３３２、スタティック・メモリ１３３４、および記憶装置１３３６は、本明細書において説明される方法または機能のうち、いずれか１つまたは複数を具体化する命令１３１６を記憶する。命令１３１６は、主メモリ１３３２内に、スタティック・メモリ１３３４内に、記憶装置１３３６内に、プロセッサ１３１０うちの少なくとも１つの内部に（例えば、プロセッサのキャッシュ・メモリ内部に）、またはそれらのあらゆる適切な組み合わせで、機械１３００によるその実行中、全体的にまたは部分的に存在することができる。
Ｉ／Ｏコンポーネント１３５０は、入力を受信すること、出力を与えること、出力を生成すること、情報を送信すること、情報を交換すること、測定値を捉えることなどを行うために、多様なコンポーネントを含むことができる。特定の機械１３００に含められる具体的なＩ／Ｏコンポーネント１３５０は、機械のタイプに依存する。例えば、携帯電話などのポータブルの機械はタッチ式の入力デバイスまたは他のそのような入力メカニズムを含む可能性が高いが、ヘッドレスのサーバ機械はそのようなタッチ式の入力デバイスを含む可能性は低い。Ｉ／Ｏコンポーネント１３５０は、図１３に示されない多くの他のコンポーネントを含む場合があることを了解されたい。Ｉ／Ｏコンポーネント１３５０は、以下の議論を単に単純化するために機能性にしたがってグループ化され、そのグループ化は決して限定的ではない。様々な例示の実施形態において、Ｉ／Ｏコンポーネント１３５０は出力コンポーネント１３５２、および入力コンポーネント１３５４を含む場合がある。出力コンポーネント１３５２は、視覚的コンポーネント（例えば、プラズマ・ディスプレイ・パネル（ＰＤＰ）、発光ダイオード（ＬＥＤ）ディスプレイ、液晶ディスプレイ（ＬＣＤ）、プロジェクタ、またはブラウン管（ＣＲＴ）などのディスプレイ）、聴覚的コンポーネント（例えば、スピーカ）、他の信号生成器などを含む場合がある。入力コンポーネント１３５４は、英数字入力コンポーネント（例えば、キーボード、英数字入力を受信するよう構成されるタッチ・スクリーン、光学的キーボード（ｐｈｏｔｏ－ｏｐｔｉｃａｌ ｋｅｙｂｏａｒｄ）、または他の英数字入力コンポーネント）、ポインティング・ベースの入力コンポーネント（例えば、マウス、タッチパッド、トラックボール、ジョイスティック、動きセンサ、または別のポインティング機器）、触感入力コンポーネント（例えば、物理的ボタン、タッチもしくはタッチジェスチャの位置および／もしくは力を与えるタッチ・スクリーン、または他の触感入力コンポーネント）、音声入力コンポーネント（例えば、マイクロフォン）など、を含む場合がある。
通信は、多様な技術を使用して実装することができる。Ｉ／Ｏコンポーネント１３５０は、機械１３００を、それぞれ連結１３８２および連結１３７２を介して、ネットワーク１３８０またはデバイス１３７０に連結するように動作可能である通信コンポーネント１３６４を含む場合がある。例えば、通信コンポーネント１３６４は、ネットワーク・インターフェース・コンポーネント、またはネットワーク１３８０とインターフェースするための別の適切なデバイスを含む場合がある。さらなる例では、通信コンポーネント１３６４は、ワイヤード通信コンポーネント、ワイヤレス通信コンポーネント、セルラ通信コンポーネント、近接場通信コンポーネント、Ｂｌｕｅｔｏｏｔｈ通信コンポーネント、およびＷｉ－Ｆｉ通信コンポーネントを含む場合がある。デバイス１３７０は、別の機械、または多様な周辺デバイス（例えば、ユニバーサル・シリアル・バス（ＵＳＢ）を介して連結される周辺デバイス）のいずれかである可能性がある。
実行可能な命令および機械記憶媒体
様々なメモリ（例えば、１３３０、１３３２、１３３４および／またはプロセッサ１３１０のメモリ）および／または記憶装置１３３６は、本明細書において説明される方法または機能のうち、いずれか１つもしくは複数を具体化するかまたはそれにより利用される、１つまたは複数の命令のセットおよびデータ構造（例えば、ソフトウェア）を記憶することができる。これらの命令は、プロセッサ１３１０に実行される際、様々な動作に開示される実施形態を実装させる。
本明細書において使用する場合、用語「機械記憶媒体」、「デバイス記憶媒体」、および「コンピュータ記憶媒体」は、同一のものを意味し、互換的に使用され得る。それらの用語は、実行可能な命令１３１６および／またはデータを記憶する、単一または複数の記憶デバイスおよび／または媒体（例えば、集中化もしくは分散されたデータベース、ならびに／または関連付けられたキャッシュおよびサーバ）を指す。したがってそれらの用語は、プロセッサ１３１０の内部または外部のメモリを含む、ソリッドステート・メモリ、光学的および磁気的媒体を含むが、それに限定されないものとして受け取られるものである。機械記憶媒体、コンピュータ記憶媒体および／またはデバイス記憶媒体の具体的な例としては、半導体メモリ・デバイス、例えば、消去可能プログラム可能読み取り専用メモリ（ＥＰＲＯＭ）、電気的消去可能プログラム可能読み取り専用メモリ（ＥＥＰＲＯＭ）、フィールド・プログラム可能ゲート・アレイ（ＦＰＧＡ）、およびフラッシュ・メモリ・デバイスを例として含む非揮発性メモリ、内部ハード・ディスクおよびリムーバブル・ディスクなどの磁気ディスク、磁気光学的ディスク、ならびにＣＤ－ＲＯＭおよびＤＶＤ－ＲＯＭディスクが挙げられる。用語「機械記憶媒体」、「コンピュータ記憶媒体」、および「デバイス記憶媒体」は、具体的に搬送波、変調データ信号、および少なくともその一部が以下で議論される用語「送信媒体」によってカバーされる他のそのような媒体を含まない。
送信媒体
様々な例示の実施形態において、ネットワーク１３８０の１つまたは複数の部分は、アドホック・ネットワーク、イントラネット、エクストラネット、仮想プライベート・ネットワーク（ＶＰＮ）、ローカル・エリア・ネットワーク（ＬＡＮ）、ワイヤレスＬＡＮ（ＷＬＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、ワイヤレスＷＡＮ（ＷＷＡＮ）、メトロポリタン・エリア・ネットワーク（ＭＡＮ）、インターネット、インターネットの一部、公衆交換電話網（ＰＳＴＮ）の一部、基本電話サービス（ＰＯＴＳ）ネットワーク、セルラ電話ネットワーク、ワイヤレス・ネットワーク、Ｗｉ－Ｆｉ（Ｒ）ネットワーク、別のタイプのネットワーク、またはそのようなネットワークの２つ以上の組み合わせである可能性がある。例えば、ネットワーク１３８０またはネットワーク１３８０の一部には、ワイヤレスまたはセルラ・ネットワークが含まれる場合があり、連結１３８２は、符号分割多元接続（ＣＤＭＡ）接続、Ｇｌｏｂａｌ Ｓｙｓｔｅｍ ｆｏｒ Ｍｏｂｉｌｅ ｃｏｍｍｕｎｉｃａｔｉｏｎｓ（ＧＳＭ）接続、または別のタイプのセルラもしくはワイヤレス連結であり得る。この例では、連結１３８２は、シングル・キャリア無線伝送技術（１ｘＲＴＴ）、Ｅｖｏｌｕｔｉｏｎ－Ｄａｔａ Ｏｐｔｉｍｉｚｅｄ（ＥＶＤＯ）技術、汎用パケット無線サービス（ＧＰＲＳ）技術、Ｅｎｈａｎｃｅｄ Ｄａｔａ ｒａｔｅｓ ｆｏｒ ＧＳＭ Ｅｖｏｌｕｔｉｏｎ（ＥＤＧＥ）技術、３Ｇを含む第３世代パートナーシップ・プロジェクト（３ＧＰＰ）、第４世代ワイヤレス（４Ｇ）ネットワーク、ユニバーサル移動体通信システム（ＵＭＴＳ）、Ｈｉｇｈ－Ｓｐｅｅｄ Ｐａｃｋｅｔ Ａｃｃｅｓｓ（ＨＳＰＡ）、Ｗｏｒｌｄｗｉｄｅ Ｉｎｔｅｒｏｐｅｒａｂｉｌｉｔｙ ｆｏｒ Ｍｉｃｒｏｗａｖｅ Ａｃｃｅｓｓ（ＷｉＭＡＸ）、Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ（ＬＴＥ）標準、様々な標準設定機関による他の定義されたもの、他のｌｏｎｇ－ｒａｎｇｅプロトコル、または他のデータ伝送技術などの、様々なタイプのデータ転送技術のいずれかを実装することができる。
命令１３１６は、ネットワーク・インターフェース・デバイス（例えば、通信コンポーネント１３６４に含まれるネットワーク・インターフェース・コンポーネント）を介して送信媒体を使用し、また複数の周知の転送プロトコル（例えば、ｈｙｐｅｒｔｅｘｔ ｔｒａｎｓｆｅｒ ｐｒｏｔｏｃｏｌ（ＨＴＴＰ））のいずれか１つを利用して、ネットワーク１３８０上で送信または受信することができる。同様に、命令１３１６は、連結１３７２（例えば、ピアツーピア連結）を介して送信媒体を使用してデバイス１３７０と送信または受信することができる。用語「送信媒体」および「信号媒体」は、同一のものを意味し、本開示において互換的に使用され得る。用語「送信媒体」および「信号媒体」は、機械１３００による実行のために命令１３１６を記憶、エンコード、または搬送することができるあらゆる非有形な媒体を含み、またデジタルもしくはアナログの通信信号またはそのようなソフトウェアの通信を容易にするための他の非有形な媒体を含むものとして受け取られるものである。したがって、用語「送信媒体」および「信号媒体」は、変調されたデータ信号、搬送波などあらゆる形態を含むものとして受け取られるものである。用語「変調されたデータ信号」は、信号内の情報をエンコードするようなやり方で設定または変更された、その特徴の１つまたは複数を有する信号を意味する。
コンピュータ可読媒体
用語「機械可読媒体」、「コンピュータ可読媒体」、および「デバイス可読媒体」は、同一のものを意味し、本開示において互換的に使用され得る。それらの用語は、機械記憶媒体および送信媒体の両方を含むように定義される。したがって、それらの用語は記憶デバイス／媒体、および搬送波／変調されたデータ信号の両方を含む。
本明細書において説明される例の方法の様々な動作は、関連動作を実施するように一時的に構成される（例えば、ソフトウェアによって）または恒久的に構成される１つまたは複数のプロセッサによって、少なくとも部分的に実施することができる。同様に、本明細書において説明される方法は、少なくとも部分的にプロセッサ実装であり得る。例えば、方法の動作の少なくとも一部は、１つまたは複数のプロセッサによって実施することができる。動作の一定部分の実施は、１つまたは複数のプロセッサ間で分散することができ、単一の機械内に存在するだけでなく、複数の機械にデプロイすることができる。いくつかの実施形態では、プロセッサは、単一の場所（例えば、家庭環境内、オフィス環境内、またはサーバ・ファーム内）に配置することができるが、他の実施形態ではプロセッサは複数の場所に分散していてもよい。
本開示の実施形態を、具体的な例示の実施形態を参照して説明してきたが、主題の広範囲から逸脱することなく様々な修正および変更がこれらの実施形態に対してなされることは明白である。したがって、明細書および図面は、意味合いとして制限的ではなく例示的であると見なされる。本明細書の一部を成す添付の図面は、限定ではなく例示として、主題が実践され得る具体的な実施形態を示している。例示される実施形態は、当業者が本明細書において開示される教示を実践できるようにするために、十分に詳細に説明される。本開示の範囲から逸脱することなく構造的および論理的な置き換えおよび変更を行うことができるように、他の実施形態を使用することができ、またそれから導出することができる。したがって、この「発明を実施するための形態」は、限定的な意味合いと取られるべきではなく、様々な実施形態の範囲は、添付の特許請求の範囲ならびにそのような請求項の権利を受ける等価物の全範囲によってのみ定義される。
具体的な実施形態が本明細書において図示され説明されるが、同一の目的を達成するために期待されるあらゆる配置構成が、示される具体的な実施形態の代わりとなり得ることを了解されたい。本開示は様々な実施形態のあらゆるすべての改変または変形をカバーするよう意図されている。上述の実施形態の組み合わせ、および本明細書において具体的に説明されない他の実施形態は、上の説明をレビューすれば当業者にとって明らかである。
本文書において、用語「１つの（ａ）」または「１つの（ａｎ）」は、特許文書において一般的であるように用いられ、「少なくとも１つの」または「１つまたは複数の」のいかなる他の事例または使用例とは無関係に、１つまたは複数を含む。本文書において、そうではないと明示されない限り、用語「または（ｏｒ）」は、「ＡまたはＢ（Ａ ｏｒ Ｂ）」が、「Ａを含むがＢは含まない」、「Ｂを含むがＡを含まない」、および「ＡおよびＢを含む」を含むように、非排他的な「または（ｏｒ）」を指すために使用される。添付の特許請求の範囲では、用語「を含む（ｉｎｃｌｕｄｉｎｇ）」、および「であって（ｉｎ ｗｈｉｃｈ）」は、それぞれの用語「を含む（ｃｏｍｐｒｉｓｉｎｇ）」および「であって（ｗｈｅｒｅｉｎ）」の平易な英語の等価語として使用される。また、以下の請求項では、用語「を含む（ｉｎｃｌｕｄｉｎｇ）」および「を含む（ｃｏｍｐｒｉｓｉｎｇ）」は、オープンエンドであり、つまり、請求項においてそのような用語の後に列挙されるものに加えて要素を含むシステム、デバイス、物品、またはプロセスは、やはりその請求項の範囲内に入るものと見なされる。

Claims (11)

  1. システムであって、
    車両内の複数の電子制御ユニット（ＥＣＵ）のうちの第１のＥＣＵと、
    前記複数のＥＣＵのうちの第２のＥＣＵと、
    を備え、
    前記第１のＥＣＵが、
    前記複数のＥＣＵのうちの第３のＥＣＵのみが前記第２のＥＣＵのみとセキュアにメッセージを交換することを可能にするために、前記第３のＥＣＵにセキュリティ鍵のセットを提供することと、
    前記第３のＥＣＵのみが前記第２のＥＣＵのみとセキュアにメッセージを交換することを可能にするために、前記第２のＥＣＵに、前記第３のＥＣＵのみと交換された前記メッセージを認証するための認証データを提供することであって、前記認証データが、前記セキュリティ鍵のセットに基づく前記第３のＥＣＵとの通信に関連付けられた、１つ以上の属性を含み、該１つ以上の属性は、前記セキュリティ鍵についての満了期間を定義する時間的な属性を含む、ことと、
    を含む第１の動作を実施するように構成され、
    前記第２のＥＣＵが、
    前記第３のＥＣＵのみが前記第２のＥＣＵのみとセキュアにメッセージを交換することを可能にするために、前記第３のＥＣＵから、前記第３のＥＣＵに提供された前記セキュリティ鍵のセットからのセキュリティ鍵を使用して暗号法的に署名されたセキュアなメッセージを受信することと、
    前記認証データを認証信号と比較して、前記受信されたセキュアなメッセージを認証することであって、前記認証信号は、前記第２のＥＣＵによって維持されるクロック信号を含み、前記認証データを前記認証信号と前記比較するために前記満了期間が前記クロック信号と比較される、ことと、
    前記認証データと前記認証信号との前記比較に基づき、前記第３のＥＣＵに関しての前記認証の失敗を示す失敗信号を前記第１のＥＣＵへ送信することと、
    を含む第２の動作を実施するように構成され、
    前記第１のＥＣＵは、前記第２のＥＣＵから前記失敗信号を受信することに応じて、前記第３のＥＣＵを、前記第３のＥＣＵが１つ以上の動作を実施することを制限する制限動作モードに置くことにより、前記車両の動作を限定するように更に構成される、
    システム。
  2. 前記第２のＥＣＵが、更に、前記第１のＥＣＵと通信するコンピュータ・システムによって提供される１つ以上の更新に基づいて前記クロック信号を維持する、請求項１に記載のシステム。
  3. 前記複数のＥＣＵ間でセキュアな通信を可能にするための前記第１の動作が、
    セキュリティ・システムのコンピュータ・システムに、前記認証データを更新するための更新された認証データを要求することであって、前記更新された認証データが、前記セキュリティ鍵についての前記満了期間の更新を含む、ことと、
    前記第２のＥＣＵに、前記セキュリティ鍵についての前記更新された認証データを提供することと、
    をさらに含む、請求項１に記載のシステム。
  4. 前記セキュアなメッセージが、前記認証信号と前記セキュリティ鍵との組み合わせを使用して暗号法的に署名される、請求項１に記載のシステム。
  5. 前記第１のＥＣＵは、前記第２のＥＣＵから前記失敗信号を受信することに応じて、セキュリティ・サービスを提供するコンピュータ・システムに、前記第３のＥＣＵ用の新しいセキュリティ鍵を要求するように、更に構成される、請求項１に記載のシステム。
  6. 前記第１のＥＣＵは、
    セキュリティ・サービスを提供するコンピュータ・システムから、複数のデジタル証明書を受信することであって、それぞれのデジタル証明書が前記複数のＥＣＵのうちの１つに対応している、ことと、
    ファームウェアを配信するサービスを提供するサーバ・コンピュータに、前記複数のＥＣＵのうちのそれぞれのＥＣＵ上でファームウェアを設定するためのファームウェア・データについての要求を送信することであって、前記要求が前記複数のデジタル証明書を含む、ことと、
    前記サーバ・コンピュータから、前記複数のＥＣＵのそれぞれのＥＣＵのための前記ファームウェア・データを受信することと、
    前記ファームウェア・データを使用して、前記複数のＥＣＵのそれぞれのＥＣＵ上で前記ファームウェアを設定させることと、
    をさらに行うように構成される、請求項１に記載のシステム。
  7. 前記複数のＥＣＵのそれぞれのＥＣＵが、最初に、プログラム・コードの一部を含み、それぞれのＥＣＵが、前記プログラム・コードの前記一部を使用しては完全に動作することができず、
    前記複数のＥＣＵのそれぞれのＥＣＵ上で設定されると、前記ファームウェアにより、それぞれのＥＣＵが、前記ＥＣＵが完全に動作させることを可能にする前記プログラム・コードを有するようになる、請求項６に記載のシステム。
  8. システムであって、
    車両内の複数の電子制御ユニット（ＥＣＵ）のうちの第１のＥＣＵの１つ以上のプロセッサと、
    前記第１のＥＣＵのメモリ・デバイスと、
    を備え、
    前記メモリ・デバイスが、
    前記複数のＥＣＵのうちの第２のＥＣＵのみによって前記複数のＥＣＵのうちの第３のＥＣＵのみと交換されるメッセージを認証するための認証データであって、前記第３のＥＣＵのみが前記第２のＥＣＵのみとセキュアにメッセージを交換することを可能にするために、前記認証データが、前記第３のＥＣＵに提供されたセキュリティ鍵のセットに基づく前記第３のＥＣＵとの通信に関連付けられた、１つ以上の属性を含み、該１つ以上の属性は、前記セキュリティ鍵についての満了期間を定義する時間的な属性を含む、認証データと、
    前記第３のＥＣＵのみが前記第２のＥＣＵのみとセキュアにメッセージを交換することを可能にするための、前記セキュリティ鍵のセットと、
    命令のセットと、
    を記憶し、
    前記命令のセットは、前記１つ以上のプロセッサによって実行されると、
    前記第１のＥＣＵに、
    前記第３のＥＣＵのみが前記第２のＥＣＵのみとセキュアにメッセージを交換することを可能にするために、前記第３のＥＣＵに前記セキュリティ鍵のセットを提供することと、
    前記第３のＥＣＵのみと交換された前記メッセージを認証するための前記認証データを、前記第２のＥＣＵに提供することと、
    を含む第１の動作を実施させ、
    前記第２のＥＣＵは、前記第２のＥＣＵへの前記認証データの提供に応じて、
    前記第３のＥＣＵから、前記第３のＥＣＵに提供された前記セキュリティ鍵のセットからのセキュリティ鍵を使用して暗号法的に署名されたセキュアなメッセージを受信することと、
    前記認証データを、前記第１のＥＣＵによって維持される認証信号と比較して、前記受信されたセキュアなメッセージを認証することであって、前記認証信号は、前記第２のＥＣＵによって維持されるクロック信号を含み、前記認証データを前記認証信号と前記比較するために前記満了期間が前記クロック信号と比較される、ことと、
    前記認証データと前記認証信号との前記比較に基づき、前記第３のＥＣＵに関しての前記認証の失敗を示す失敗信号を前記第１のＥＣＵへ送信することと、
    を含む第２の動作を実施し、
    前記第１のＥＣＵによって実施される前記第１の動作は、前記第２のＥＣＵから前記失敗信号を受信することに応じて、前記第３のＥＣＵを、前記第３のＥＣＵが１つ以上の動作を実施することを制限する制限動作モードに置くことにより、前記車両の動作を限定すること、を更に含む、
    システム。
  9. 前記車両の前記複数のＥＣＵのうちの前記第３のＥＣＵをさらに備える、請求項８に記載のシステム。
  10. 前記命令のセットが、前記第２のＥＣＵから受信した前記セキュアなメッセージを正常に認証することができないことに応じて、前記第１のＥＣＵに、前記第３のＥＣＵへ更なる信号を送信させ、前記更なる信号は、前記第２のＥＣＵに関しての前記認証の失敗を示し、
    前記第３のＥＣＵは、
    前記第１のＥＣＵから前記更なる信号を受信することに応じて、前記車両の動作を限定することと、
    前記第１のＥＣＵから前記更なる信号を受信することに応じて、セキュリティ・サービスを提供するコンピュータ・システムに、前記第２のＥＣＵ用の新しいセキュリティ鍵を要求することと、
    を含むさらなる動作を実施する、請求項９に記載のシステム。
  11. 車両内の複数の電子制御ユニット（ＥＣＵ）のうちの第１のＥＣＵにおいて、前記複数のＥＣＵのうちの第２のＥＣＵのみによって前記複数のＥＣＵのうちの第３のＥＣＵのみと交換されるメッセージを認証するための認証データを記憶することであって、前記第３のＥＣＵのみが前記第２のＥＣＵのみとセキュアにメッセージを交換することを可能にするために、前記認証データは、第３のＥＣＵに提供されたセキュリティ鍵のセットに基づく前記第３のＥＣＵとの通信に関連付けられた、１つ以上の属性を含み、該１つ以上の属性は、前記セキュリティ鍵についての満了期間を定義する時間的な属性を含む、ことと、
    前記第１のＥＣＵにおいて、前記第３のＥＣＵのみが前記第２のＥＣＵのみとセキュアにメッセージを交換することを可能にするために、前記セキュリティ鍵のセットを記憶することと、
    前記第３のＥＣＵのみが前記第２のＥＣＵのみとセキュアにメッセージを交換することを可能にするために、前記第３のＥＣＵに前記セキュリティ鍵のセットを提供することと、
    前記第３のＥＣＵのみと交換された前記メッセージを認証するための前記認証データを、前記第２のＥＣＵに提供することと、
    を含み、
    前記第２のＥＣＵは、前記第２のＥＣＵへの前記認証データの提供に応じて、
    前記第３のＥＣＵから、前記第３のＥＣＵに提供された前記セキュリティ鍵のセットからのセキュリティ鍵を使用して暗号法的に署名されたセキュアなメッセージを受信することと、
    前記認証データを、前記第１のＥＣＵによって維持される認証信号と比較して、前記受信されたセキュアなメッセージを認証することであって、前記認証信号は、前記第２のＥＣＵによって維持されるクロック信号を含み、前記認証データを前記認証信号と前記比較するために前記満了期間が前記クロック信号と比較される、ことと、
    前記認証データと前記認証信号との前記比較に基づき、前記第３のＥＣＵに関しての前記認証の失敗を示す失敗信号を前記第１のＥＣＵへ送信することと、
    を含む動作を実施し、
    前記第１のＥＣＵは、前記第２のＥＣＵから前記失敗信号を受信することに応じて、前記第３のＥＣＵを、前記第３のＥＣＵが１つ以上の動作を実施することを制限する制限動作モードに置くことにより、前記車両の動作を限定する、
    方法。
JP2020541346A 2018-01-29 2019-01-25 車両内電子制御ユニット間のセキュアな通信 Active JP7159328B2 (ja)

Applications Claiming Priority (5)

Application Number Priority Date Filing Date Title
US201862623304P 2018-01-29 2018-01-29
US62/623,304 2018-01-29
US16/027,681 2018-07-05
US16/027,681 US11178158B2 (en) 2018-01-29 2018-07-05 Secure communication between in-vehicle electronic control units
PCT/EP2019/051877 WO2019145488A1 (en) 2018-01-29 2019-01-25 Secure communication between in-vehicle electronic control units

Publications (2)

Publication Number Publication Date
JP2021512543A JP2021512543A (ja) 2021-05-13
JP7159328B2 true JP7159328B2 (ja) 2022-10-24

Family

ID=67393826

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2020541346A Active JP7159328B2 (ja) 2018-01-29 2019-01-25 車両内電子制御ユニット間のセキュアな通信

Country Status (7)

Country Link
US (3) US11178158B2 (ja)
EP (1) EP3747172A1 (ja)
JP (1) JP7159328B2 (ja)
KR (3) KR20240055869A (ja)
CN (2) CN115776385A (ja)
BR (1) BR112020015133A2 (ja)
WO (1) WO2019145488A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11916924B2 (en) 2018-01-29 2024-02-27 Nagravision S.A. Secure communication between in-vehicle electronic control units

Families Citing this family (29)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
AT521914B1 (de) * 2018-12-13 2020-10-15 Avl List Gmbh Kommunikationsmodul
US11290437B2 (en) * 2018-12-27 2022-03-29 Beijing Voyager Technology Co., Ltd. Trusted platform protection in an autonomous vehicle
US11356256B2 (en) * 2019-03-25 2022-06-07 Micron Technology, Inc. Secure vehicular part communication
KR20200119601A (ko) * 2019-04-10 2020-10-20 현대모비스 주식회사 차량의 바이너리 데이터 처리 장치 및 방법
AU2020264092A1 (en) * 2019-04-25 2021-08-12 Deere & Company Systems, methods and controllers for secure communications
US11368471B2 (en) * 2019-07-01 2022-06-21 Beijing Voyager Technology Co., Ltd. Security gateway for autonomous or connected vehicles
US11366879B2 (en) * 2019-07-08 2022-06-21 Microsoft Technology Licensing, Llc Server-side audio rendering licensing
CN112422595B (zh) * 2019-08-20 2022-10-11 华为技术有限公司 车载系统安全保护方法及设备
US11126752B2 (en) * 2019-09-04 2021-09-21 Fresenius Medical Care Holdings, Inc. Authentication of medical device computing systems by using metadata signature
DE102019216462A1 (de) * 2019-10-25 2021-04-29 Robert Bosch Gmbh Verfahren und Vorrichtung zum Betreiben einer Recheneinrichtung
WO2021094967A1 (en) * 2019-11-15 2021-05-20 Marvell Asia Pte, Ltd. Automotive gateway providing secure open platform for guest applications
CN114884737A (zh) * 2019-12-23 2022-08-09 华为技术有限公司 通信方法及相关产品
US11080387B1 (en) * 2020-03-16 2021-08-03 Integrity Security Services Llc Validation of software residing on remote computing devices
CN112689982B (zh) * 2020-04-15 2022-04-29 华为技术有限公司 数据验证方法、装置及存储介质
US20210362735A1 (en) * 2020-05-20 2021-11-25 Intertrust Technologies Corporation Policy managed vehicle operation systems and methods
CN111817849A (zh) * 2020-06-30 2020-10-23 宝能(广州)汽车研究院有限公司 电子控制单元ecu及其安全通信方法、系统
US11589326B2 (en) * 2020-07-30 2023-02-21 Nokia Technologies Oy Secure clock source as a service in a communication system
CN112131572B (zh) * 2020-08-31 2022-12-27 华为技术有限公司 车载设备的控制方法、车载设备及车辆系统
US11509466B2 (en) 2021-01-14 2022-11-22 Ford Global Technologies, Llc Transmission of authentication keys
US11791999B2 (en) 2021-02-18 2023-10-17 Ford Global Technologies, Llc Vehicle electronic control unit authentication
JP7535002B2 (ja) * 2021-03-30 2024-08-15 本田技研工業株式会社 車載電子システム、車両、制御方法、及びプログラム
US11804962B2 (en) * 2021-04-29 2023-10-31 GM Global Technology Operations LLC System and method for establishing an in-vehicle cryptographic manager
KR20220158523A (ko) * 2021-05-24 2022-12-01 현대자동차주식회사 차량 시스템, 서버 및 차량 통신 보안 방법
JP2022183563A (ja) * 2021-05-31 2022-12-13 本田技研工業株式会社 車両用認証制御装置、車両制御システム、車両、車両用認証処理方法
WO2023191195A1 (ko) * 2022-03-31 2023-10-05 엘지전자 주식회사 신호 처리 장치, 및 이를 구비하는 차량용 디스플레이 장치
US20230344819A1 (en) * 2022-04-20 2023-10-26 Dell Products L.P. Control-plane protocol for isolated or disconnected environments of an information handling system
US20240073037A1 (en) * 2022-08-31 2024-02-29 Toyota Motor North America, Inc. Internal certificate authority for electronic control unit
WO2024070044A1 (ja) * 2022-09-28 2024-04-04 パナソニックオートモーティブシステムズ株式会社 検証システム、検証方法、及び、プログラム
US20240113867A1 (en) * 2022-09-30 2024-04-04 General Electric Company Methods and systems for starting secure communication in systems with high availability

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015170451A1 (ja) 2014-05-08 2015-11-12 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車載ネットワークシステム、電子制御ユニット及び不正検知方法
JP2017079369A (ja) 2015-10-19 2017-04-27 トヨタ自動車株式会社 車両システムおよび認証方法
JP6260067B1 (ja) 2016-08-09 2018-01-17 Kddi株式会社 管理システム、鍵生成装置、車載コンピュータ、管理方法、及びコンピュータプログラム

Family Cites Families (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE3139702A1 (de) 1981-10-06 1983-04-21 Boehringer Mannheim Gmbh, 6800 Mannheim Gefaess zur handhabung von pastoesem probenmaterial
US7805612B2 (en) * 2005-12-02 2010-09-28 Gm Global Technology Operations, Inc. Use of global clock to secure and synchronize messages in XM and SMS messages to a vehicle
US8090949B2 (en) * 2008-03-13 2012-01-03 GM Global Technology Operations LLC Certificate assignment strategies for efficient operation of the PKI-based security architecture in a vehicular network
US8275891B2 (en) * 2009-07-20 2012-09-25 At&T Intellectual Property I, L.P. Method and apparatus for social networking in a dynamic environment
JP5310761B2 (ja) * 2011-03-04 2013-10-09 トヨタ自動車株式会社 車両ネットワークシステム
JP5479408B2 (ja) * 2011-07-06 2014-04-23 日立オートモティブシステムズ株式会社 車載ネットワークシステム
US9280653B2 (en) * 2011-10-28 2016-03-08 GM Global Technology Operations LLC Security access method for automotive electronic control units
KR101879820B1 (ko) * 2011-12-28 2018-07-18 한국단자공업 주식회사 스마트카의 보안시스템 및 보안방법
EP3358800B1 (en) 2014-01-06 2021-10-20 Argus Cyber Security Ltd Bus watchman
US9792440B1 (en) 2014-04-17 2017-10-17 Symantec Corporation Secure boot for vehicular systems
US9460567B2 (en) * 2014-07-29 2016-10-04 GM Global Technology Operations LLC Establishing secure communication for vehicle diagnostic data
US9825937B2 (en) * 2014-09-23 2017-11-21 Qualcomm Incorporated Certificate-based authentication
CN106458112B (zh) * 2014-11-12 2019-08-13 松下电器（美国）知识产权公司 更新管理方法、更新管理系统以及计算机可读取的记录介质
EP3041196B1 (en) * 2015-01-01 2019-06-26 Harman Becker Automotive Systems GmbH Method and apparatus for connecting a mobile communication device to a head unit of a vehicle
KR20160093764A (ko) * 2015-01-29 2016-08-09 주식회사 아나스타시스 Ｏｔｐ ｒｏｍ을 활용하는 ｅｃｕ 보안 통신 시스템
DE102015209116A1 (de) * 2015-05-19 2016-11-24 Robert Bosch Gmbh Verfahren und Aktualisierungsgateway zum Aktualisieren eines eingebetteten Steuergerätes
US11201736B2 (en) * 2015-08-05 2021-12-14 Kddi Corporation Management device, management system, key generation device, key generation system, key management system, vehicle, management method, key generation method, and computer program
JP6505318B2 (ja) 2015-09-10 2019-04-24 ローベルト ボツシユ ゲゼルシヤフト ミツト ベシユレンクテル ハフツングＲｏｂｅｒｔ Ｂｏｓｃｈ Ｇｍｂｈ 車両の電子制御ユニットへの不正アクセスイベントの通知
KR20170055648A (ko) * 2015-11-12 2017-05-22 주식회사 미래테크놀로지 자동차 내부 네트웍의 보안통신장치
KR102210438B1 (ko) * 2015-12-27 2021-02-01 한국전자기술연구원 대칭키 알고리즘을 이용한 경량 암복호화 방법 및 시스템
CN106533655B (zh) * 2016-10-27 2020-07-31 江苏大学 一种车内网ecu安全通信的方法
US10516683B2 (en) * 2017-02-15 2019-12-24 Ford Global Technologies, Llc Systems and methods for security breach detection in vehicle communication systems
GB2561256A (en) * 2017-04-05 2018-10-10 Stmicroelectronics Grenoble2 Sas Apparatus for use in a can system
WO2018207243A1 (ja) * 2017-05-09 2018-11-15 三菱電機株式会社 車載認証システム、車載認証方法および車載認証プログラム
US20190068361A1 (en) * 2017-08-30 2019-02-28 Ford Global Technologies, Llc In-vehicle group key distribution
US10009325B1 (en) * 2017-12-07 2018-06-26 Karamba Security End-to-end communication security
US11178158B2 (en) 2018-01-29 2021-11-16 Nagravision S.A. Secure communication between in-vehicle electronic control units

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015170451A1 (ja) 2014-05-08 2015-11-12 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車載ネットワークシステム、電子制御ユニット及び不正検知方法
JP2017079369A (ja) 2015-10-19 2017-04-27 トヨタ自動車株式会社 車両システムおよび認証方法
JP6260067B1 (ja) 2016-08-09 2018-01-17 Kddi株式会社 管理システム、鍵生成装置、車載コンピュータ、管理方法、及びコンピュータプログラム

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11916924B2 (en) 2018-01-29 2024-02-27 Nagravision S.A. Secure communication between in-vehicle electronic control units

Also Published As

Publication number Publication date
KR102658765B1 (ko) 2024-04-18
CN111788811A (zh) 2020-10-16
US20220094695A1 (en) 2022-03-24
EP3747172A1 (en) 2020-12-09
JP2021512543A (ja) 2021-05-13
KR20200135775A (ko) 2020-12-03
US11178158B2 (en) 2021-11-16
CN115776385A (zh) 2023-03-10
BR112020015133A2 (pt) 2021-01-05
US20240195813A1 (en) 2024-06-13
KR20230079487A (ko) 2023-06-07
CN111788811B (zh) 2022-11-25
KR102538435B1 (ko) 2023-05-31
KR20240055869A (ko) 2024-04-29
US20190238555A1 (en) 2019-08-01
WO2019145488A1 (en) 2019-08-01
US11916924B2 (en) 2024-02-27

Similar Documents

Publication Publication Date Title
JP7159328B2 (ja) 車両内電子制御ユニット間のセキュアな通信
EP3883212B1 (en) Device upgrade method and related device
US11985238B2 (en) Vehicle-mounted device upgrade method and related device
Mundhenk et al. Security in automotive networks: Lightweight authentication and authorization
CN107085870B (zh) 使用加密方法调节车辆访问
US11251978B2 (en) System and method for cryptographic protections of customized computing environment
EP3926500B1 (en) Device upgrade method and related device
JP2019537179A (ja) 機器の安全なプロビジョニングと管理
CN110708388B (zh) 用于提供安全服务的车身安全锚节点设备、方法以及网络系统
CN110855616B (zh) 一种数字钥匙生成系统
CN113572791B (zh) 一种视频物联网大数据加密服务方法、系统及装置
KR102377045B1 (ko) 하드웨어 보안 모듈을 이용한 클라우드를 통한 IoT(Internet of Thing) 디바이스 인증 시스템 및 방법
KR20190078154A (ko) 차량용 통합 인증 장치 및 방법
JP6188744B2 (ja) 管理システム、車両及び管理方法
US12009979B2 (en) Secure and adaptive mechanism to provision zero- touch network devices
Lang et al. Security Evolution in Vehicular Systems
CN115996375A (zh) 一种实现车辆空中下载的方法及系统
JP2018142823A (ja) 通信システム、及び、通信方法

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20200924

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20200924

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20210922

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20211102

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20220113

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20220614

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20220824

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20220913

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20221012

R150 Certificate of patent or registration of utility model

Ref document number: 7159328

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150