JP7371103B2 - 車載デバイスアップグレード方法及び関連装置 - Google Patents

Description

本出願は、情報技術の分野に関し、特に、車載デバイスのアップグレード方法及び関連装置に関する。

オーバ・ザ・エアー（ｏｖｅｒ ｔｈｅ ａｉｒ、ＯＴＡ）は、無線インターフェースを介して電子デバイス内のファームウェアを遠隔管理及び更新するための技術である。ＯＴＡアップグレードは、高効率、利便性、低コストである。現在、ＯＴＡ技術は、相手先ブランド製造業者（ｏｒｉｇｉｎａｌ ｅｑｕｉｐｍｅｎｔ ｍａｎｕｆａｃｔｕｒｅｒ、ＯＥＭ）の車種に展開されており、車両の電子制御ユニット（（ｅｌｅｃｔｒｏｎｉｃ ｃｏｎｔｒｏｌ ｕｎｉｔ、ＥＣＵ）などのファームウェアをアップグレードするために使用される。車両のオンボードユニット（ｔｅｌｅｍａｔｉｃｓ ｂｏｘ、Ｔｂｏｘ）は、無線リンクを使用することにより、ＯＥＭクラウドサーバからリリースされたソフトウェアアップグレードパッケージを取得し、車両のＥＣＵなどのファームウェアにソフトウェアアップグレードパッケージを書き込むことができる。

しかし、現時点では、ＯＴＡアップグレードのセキュリティが十分に考慮されていないことが明らかであり、ソフトウェアアップグレードパッケージの伝送プロセスにおいてセキュリティリスクが存在する。たとえば、ソフトウェアアップグレードパッケージに含まれる鍵アルゴリズム及びユーザプライバシーなどの重要な情報は、容易に改ざんされ、盗まれる。ソフトウェアアップグレードパッケージの伝送プロセスのセキュリティをどのように改善するかは、当業者によって研究されている課題である。

本出願の実施形態は、アップグレードファイル伝送プロセスのセキュリティを効果的に改善するための車載デバイスアップグレード方法及び関連装置を開示する。

第１の態様によれば、本出願の実施形態は、車載デバイスアップグレード方法を開示する。本方法は、
第１の車載デバイスによって、第１のアルゴリズムに従って第１のデータセグメントを処理して、第１のチェック値を取得することであって、第１のデータセグメントは、第２の車載デバイスをアップグレードするために使用されるアップグレードファイルに含まれる複数のデータセグメントのうちの任意のデータセグメントであり、第１のチェック値は、第２の車載デバイスに送信される、ことと、
第１の鍵を使用することにより第１のデータセグメントを暗号化して、第１の暗号化されたセグメントを取得することと、
第１の暗号化されたセグメントを第２の車載デバイスに送信して、第２の車載デバイスが、第１のアルゴリズムに従って第１のチェック値の検証に成功したときに、第１の鍵を使用することにより第１の暗号化されたセグメントを復号することによって取得された第１のデータセグメントを第２の車載デバイスに記憶するようにすることであって、第１のデータセグメントは、アップグレードのためのアップグレードファイルを形成するために第２の車載デバイスによって使用される、ことと、を含む。

前述の方法では、第２の車載デバイスをアップグレードするために使用されるアップグレードファイル内の複数のデータセグメントのうちの各データセグメントが、別々に暗号化及び送信されて、各データセグメントを盗むリスクを効果的に低減する。追加的に、受信端末（つまり、第２の車載デバイス）は、最後のデータセグメントの伝送が完了した後にのみアップグレードファイル全体を検証する代わりに、各データセグメントに対応するチェック値を検証する必要があり、受信端末が、改ざんされた異常データセグメントを時間内に検出することができ、異常データセグメントを検出した後に、新しいデータセグメントを停止することの停止を適時にトリガすることができるようにし、アップグレードファイル伝送プロセスのセキュリティを効果的に改善する。

第１の態様の任意選択の解決策では、第１の車載デバイスによって、第１のアルゴリズムに従って第１のデータセグメントを処理して、第１のチェック値を取得する前に、本方法は、
ハイパーテキスト・トランスファー・プロトコル・オーバ・セキュア・ソケット・レイヤ（ＨＴＴＰＳ）に従って第１の車載デバイスとダウンロードサーバとの間の双方向認証を行うことであって、ダウンロードサーバは、第２の車載デバイスにアップグレードファイルを提供するように構成されている、ことと、
ダウンロードサーバが送信した暗号化されたファイルを受信することであって、暗号化されたファイルは、アップグレードファイルを暗号化することにより取得される、ことと、
プリセットされたアップグレード条件が満たされたときに、暗号化されたファイルを復号して、アップグレードファイルを取得することと、をさらに含む。

アップグレードファイルを提供するダウンロードサーバは、ＨＴＴＰＳプロトコルに従って第１の車載デバイスとの双方向認証を行うサーバであり、アップグレードファイルの送信元が有効であり、不正なアップグレードファイルを第１の車載デバイスに送達する非認証プラットフォームが防止され、攻撃者が、ダウンロードサーバからリリースされ、かつ重要情報を含むアップグレードファイルを上述の第１の車載デバイスから盗むことが防止されることが分かる。追加的に、暗号化されたアップグレードファイルがダウンロードサーバと第１の車載デバイスとの間で送信され、アップグレードファイルを盗むリスクが効果的に低減され、アップグレードファイル伝送プロセスの安全性が効果的に改善されるようにする。

第１の態様の別の任意選択の解決策では、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメントを使用することにより取得される出力データである。

代替的には、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメント以外のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメント及び第２のチェック値を使用することにより取得される出力データであり、第２のチェック値は、第１のアルゴリズムに従って第１のデータセグメントの前のデータセグメントを処理することにより取得される。

アップグレードファイル内の複数のデータセグメントにおいて、第１のデータセグメント以外のデータセグメントに対応するチェック値は、前のデータセグメントに対応するチェック値に関連することが分かる。データセグメントのためのシーケンス検出メカニズムは、ハッシュチェーンを使用することにより実施されて、異常のあるセグメントが書き込みに成功することによるアップグレードファイル・アセンブリ中のエラー発生するのを回避し、ハッシュチェーンを用いた検証値を使用することにより、アップグレードファイルを悪意を持ってクラックすることの困難さを増加させる。

第１の態様の別の任意選択の解決策では、第１の暗号化されたセグメントは、第１の鍵を使用することにより第１のデータセグメント及び第１のチェック値を暗号化することによって取得される。

第１のデータセグメントが暗号化される間、第１のチェック値がさらに暗号化され得ることが分かる。これは、アップグレードファイル伝送プロセスのセキュリティをさらに改善する。

第１の態様の別の任意選択の解決策では、第１の鍵は、第１の車載デバイスと第２の車載デバイスのために事前に設定された事前共有鍵である。

各データセグメントの機密性は、セキュリティプロトコル又はセキュリティアルゴリズムネゴシエーションによって取得された鍵の代わりに、事前に設定された事前共有鍵を使用することにより保証され、第１の車載デバイス及び第２の車載デバイスのリソース消費を効果的に低減できることが分かる。

第１の態様の別の任意選択の解決策では、第１の鍵は、トランスポート・レイヤ・セキュリティＴＬＳに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

ＴＬＳプロトコルネゴシエーションを通して取得された鍵を使用することにより各データセグメントを暗号化することが、各データセグメントの機密性を保証できることが分かる。追加的に、異なる第２の車載デバイスに対して、第１の車載デバイスと第２の車載デバイスとの間で行われる異なる双方向認証プロセスが存在し、ネゴシエーションを通して取得される異なる第１の鍵、言い換えると、異なるアップグレードファイルが異なる暗号化鍵及び復号鍵に対応し、アップグレードファイル伝送プロセスのセキュリティを大幅に改善することができる。

第１の態様の別の任意選択の解決策では、第１の鍵は、ＴＬＳプロトコルに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

第１のチェック値は、ＴＬＳプロトコルと第１のアルゴリズムに従って第１のデータセグメントを処理することにより取得される、第１のデータセグメントのメッセージ認証コードである。

各データセグメントの機密性と完全性は、アップグレードファイル伝送プロセスのセキュリティを保証するために、ＴＬＳプロトコルに従って保護されることが分かる。

第２の態様によれば、本出願の一実施形態は、車載デバイスアップグレード方法であって
第２の車載デバイスによって、第１の車載デバイスによって送信された第１の暗号化されたセグメントを受信することであって、第１の暗号化されたセグメントは、第１の鍵を使用することにより第１のデータセグメントを暗号化することにより取得され、第１のデータセグメントは、第２の車載デバイスをアップグレードするために使用されるアップグレードファイルに含まれる複数のデータセグメントのうちの任意のデータセグメントである、ことと、
第１の鍵を使用することにより第１の暗号化されたセグメントを復号して、第１のデータセグメントを取得することと、
第１のアルゴリズムに従った第１のチェック値の検証に成功したときに、第１のデータセグメントを第２の車載デバイスに記憶することであって、第１のチェック値は、第１のアルゴリズムに従って第１のデータセグメントを処理することにより第１の車載デバイスにより取得され、第１のチェック値は、第１の車載デバイスから第２の車載デバイスによって受信される、ことと、
アップグレードのための第１のデータセグメントに基づいて、アップグレードファイルを形成することと、を含む、方法を提供する。

前述の方法では、第２の車載デバイスをアップグレードするために使用されるアップグレードファイル内の複数のデータセグメントのうちの各データセグメントが、別々に暗号化及び送信されて、各データセグメントを盗むリスクを効果的に低減する。追加的に、受信端末（つまり、第２の車載デバイス）は、最後のデータセグメントの伝送が完了した後にのみアップグレードファイル全体を検証する代わりに、各データセグメントに対応するチェック値を検証する必要があり、受信端末が、改ざんされた異常データセグメントを時間内に検出することができ、異常データセグメントを検出した後に、新しいデータセグメントを停止することの停止を適時にトリガすることができるようにする。これは、アップグレードファイル伝送プロセスのセキュリティを効果的に改善する。

第２の態様の別の任意選択の解決策では、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメントを使用することにより取得される出力データである。

代替的には、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメント以外のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメント及び第２のチェック値を使用することにより取得される出力データであり、第２のチェック値は、第１のアルゴリズムに従って第１のデータセグメントの前のデータセグメントを処理することにより取得される。

アップグレードファイル内の複数のデータセグメントにおいて、第１のデータセグメント以外のデータセグメントに対応するチェック値は、前のデータセグメントに対応するチェック値に関連することが分かる。データセグメントのためのシーケンス検出メカニズムは、ハッシュチェーンを使用することにより実施されて、異常のあるセグメントが書き込みに成功することによるアップグレードファイル・アセンブリ中のエラー発生するのを回避し、ハッシュチェーンを用いた検証値を使用することにより、アップグレードファイルを悪意を持ってクラックすることの困難さを増加させる。

第２の態様の別の任意選択の解決策では、第１の暗号化されたセグメントは、第１の鍵を使用することにより第１のデータセグメント及び第１のチェック値を暗号化することによって取得される。

第１のデータセグメントが暗号化される間、第１のチェック値がさらに暗号化され得ることが分かる。これは、アップグレードファイル伝送プロセスのセキュリティをさらに改善する。

第２の態様の別の任意選択の解決策では、第１の鍵は、第１の車載デバイスと第２の車載デバイスのために事前に設定された事前共有鍵である。

各データセグメントの機密性は、セキュリティプロトコル又はセキュリティアルゴリズムネゴシエーションによって取得された鍵の代わりに、事前に設定された事前共有鍵を使用することにより保証され、第１の車載デバイス及び第２の車載デバイスのリソース消費を効果的に低減できることが分かる。

第２の態様の別の任意選択の解決策では、第１の鍵は、トランスポート・レイヤ・セキュリティＴＬＳに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

ＴＬＳプロトコルネゴシエーションを通して取得された鍵を使用することにより各データセグメントを暗号化することが、各データセグメントの機密性を保証できることが分かる。追加的に、異なる第２の車載デバイスに対して、第１の車載デバイスと第２の車載デバイスとの間で行われる異なる双方向認証プロセスが存在し、ネゴシエーションを通して取得される異なる第１の鍵、言い換えると、異なるアップグレードファイルが異なる暗号化鍵及び復号鍵に対応し、アップグレードファイル伝送プロセスのセキュリティを大幅に改善することができる。

第２の態様の別の任意選択の解決策では、第１の鍵は、ＴＬＳプロトコルに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

第１のチェック値は、ＴＬＳプロトコルと第１のアルゴリズムに従って第１のデータセグメントを処理することにより取得される、第１のデータセグメントのメッセージ認証コードである。

各データセグメントの機密性と完全性は、アップグレードファイル伝送プロセスのセキュリティを保証するために、ＴＬＳプロトコルに従って保護されることが分かる。

第３の態様によれば、本出願の一実施形態は、車両に適用される車載デバイスアップグレード方法を提供する。車両は、第１の車載デバイス及び第２の車載デバイスを含む。本方法は、
第１の車載デバイスによって、第１のアルゴリズムに従って第１のデータセグメントを処理して、第１のチェック値を取得することであって、第１のデータセグメントは、第２の車載デバイスをアップグレードするために使用されるアップグレードファイルに含まれる複数のデータセグメントのうちの任意のデータセグメントであり、第１のチェック値は、第２の車載デバイスに送信される、ことと、
第１の車載デバイスによって、第１の鍵を使用することにより第１のデータセグメントを暗号化して、第１の暗号化されたセグメントを取得することと、
第１の車載デバイスによって、第１の暗号化されたセグメントを第２の車載デバイスに送信することと、
第２の車載デバイスによって、第１の車載デバイスによって送信された第１の暗号化されたセグメントを受信すること
第２の車載デバイスによって、第１の鍵を使用することにより第１の暗号化されたセグメントを復号して、第１のデータセグメントを取得することと、
第２の車載デバイスによって、第１のアルゴリズムに従った第１のチェック値の検証に成功したときに、第１のデータセグメントを第２の車載デバイスに記憶することと、
第２の車載デバイスによって、アップグレードのための第１のデータセグメントに基づいて、アップグレードファイルを形成することと、を含む。

前述の方法では、第２の車載デバイスをアップグレードするために使用されるアップグレードファイル内の複数のデータセグメントのうちの各データセグメントが、別々に暗号化及び送信されて、各データセグメントを盗むリスクを効果的に低減する。追加的に、受信端末（つまり、第２の車載デバイス）は、最後のデータセグメントの伝送が完了した後にのみアップグレードファイル全体を検証する代わりに、各データセグメントに対応するチェック値を検証する必要があり、受信端末が、改ざんされた異常データセグメントを時間内に検出することができ、異常データセグメントを検出した後に、新しいデータセグメントを停止することの停止を適時にトリガすることができるようにする。これは、アップグレードファイル伝送プロセスのセキュリティを効果的に改善する。

第３の態様の任意選択の解決策では、第１の車載デバイスによって、第１のアルゴリズムに従って第１のデータセグメントを処理して、第１のチェック値を取得する前に、本方法は、
ＨＴＴＰＳプロトコルに従って第１の車載デバイスとダウンロードサーバとの間の双方向認証を行うことであって、ダウンロードサーバは、第２の車載デバイスにアップグレードファイルを提供するように構成されている、ことと、
第１の車載デバイスによって、ダウンロードサーバが送信した暗号化されたファイルを受信することであって、暗号化されたファイルは、アップグレードファイルを暗号化することにより取得される、ことと、
第１の車載デバイスによって、プリセットされたアップグレード条件が満たされたときに、暗号化されたファイルを復号して、アップグレードファイルを取得することと、をさらに含む。

アップグレードファイルを提供するダウンロードサーバは、ＨＴＴＰＳプロトコルに従って第１の車載デバイスとの双方向認証を行うサーバであり、アップグレードファイルの送信元が有効であり、不正なアップグレードファイルを第１の車載デバイスに送達する非認証プラットフォームが防止され、攻撃者が、ダウンロードサーバからリリースされ、かつ重要情報を含むアップグレードファイルを上述の第１の車載デバイスから盗むことが防止されることが分かる。追加的に、暗号化されたアップグレードファイルがダウンロードサーバと第１の車載デバイスとの間で送信され、アップグレードファイルを盗むリスクが効果的に低減され、アップグレードファイル伝送プロセスの安全性が効果的に改善されるようにする。

第３の態様の別の任意選択の解決策では、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメントを使用することにより取得される出力データである。

代替的には、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメント以外のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメント及び第２のチェック値を使用することにより取得される出力データであり、第２のチェック値は、第１のアルゴリズムに従って第１のデータセグメントの前のデータセグメントを処理することにより取得される。

アップグレードファイル内の複数のデータセグメントにおいて、第１のデータセグメント以外のデータセグメントに対応するチェック値は、前のデータセグメントに対応するチェック値に関連することが分かる。データセグメントのためのシーケンス検出メカニズムは、ハッシュチェーンを使用することにより実施されて、異常のあるセグメントが書き込みに成功することによるアップグレードファイル・アセンブリ中のエラー発生するのを回避し、ハッシュチェーンを用いた検証値を使用することにより、アップグレードファイルを悪意を持ってクラックすることの困難さを増加させる。

第３の態様の別の任意選択の解決策では、第１の暗号化されたセグメントは、第１の鍵を使用することにより第１のデータセグメント及び第１のチェック値を暗号化することによって取得される。

第１のデータセグメントが暗号化される間、第１のチェック値がさらに暗号化され得ることが分かる。これは、アップグレードファイル伝送プロセスのセキュリティをさらに改善する。

第３の態様の別の任意選択の解決策では、第１の鍵は、第１の車載デバイスと第２の車載デバイスのために事前に設定された事前共有鍵である。

各データセグメントの機密性は、セキュリティプロトコル又はセキュリティアルゴリズムネゴシエーションによって取得された鍵の代わりに、事前に設定された事前共有鍵を使用することにより保証され、第１の車載デバイス及び第２の車載デバイスのリソース消費を効果的に低減できることが分かる。

第３の態様の別の任意選択の解決策では、第１の鍵は、トランスポート・レイヤ・セキュリティＴＬＳに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

ＴＬＳプロトコルネゴシエーションを通して取得された鍵を使用することにより各データセグメントを暗号化することが、各データセグメントの機密性を保証できることが分かる。追加的に、異なる第２の車載デバイスに対して、第１の車載デバイスと第２の車載デバイスとの間で行われる異なる双方向認証プロセスが存在し、ネゴシエーションを通して取得される異なる第１の鍵、言い換えると、異なるアップグレードファイルが異なる暗号化鍵及び復号鍵に対応し、アップグレードファイル伝送プロセスのセキュリティを大幅に改善することができる。

第３の態様の別の任意選択の解決策では、第１の鍵は、ＴＬＳプロトコルに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

第１のチェック値は、ＴＬＳプロトコルと第１のアルゴリズムに従って第１のデータセグメントを処理することにより取得される、第１のデータセグメントのメッセージ認証コードである。

各データセグメントの機密性と完全性は、アップグレードファイル伝送プロセスのセキュリティを保証するために、ＴＬＳプロトコルに従って保護されることが分かる。

第４の態様によれば、本出願の実施形態は、第１の車載デバイスであって、
第１のアルゴリズムに従って第１のデータセグメントを処理して、第１のチェック値を取得するように構成されている処理ユニットであって、第１のデータセグメントは、第２の車載デバイスをアップグレードするために使用されるアップグレードファイルに含まれる複数のデータセグメントのうちの任意のデータセグメントであり、第１のチェック値は、第２の車載デバイスに送信される、処理ユニットと、
第１の鍵を使用することにより第１のデータセグメントを暗号化して、第１の暗号化されたセグメントを取得するように構成されている暗号化ユニットと、
第１の暗号化されたセグメントを第２の車載デバイスに送信するように構成されている通信ユニットであって、第２の車載デバイスが、第１のアルゴリズムに従って第１のチェック値の検証に成功したときに、第１の鍵を使用することにより第１の暗号化されたセグメントを復号することによって取得された第１のデータセグメントを第２の車載デバイスに記憶するようにし、第１のデータセグメントは、アップグレードのためのアップグレードファイルを形成するために第２の車載デバイスによって使用される、通信ユニットと、を含む、第１の車載デバイスを提供する。

前述の装置では、第２の車載デバイスをアップグレードするために使用されるアップグレードファイル内の複数のデータセグメントのうちの各データセグメントが、別々に暗号化及び送信されて、各データセグメントを盗むリスクを効果的に低減する。追加的に、受信端末（つまり、第２の車載デバイス）は、最後のデータセグメントの伝送が完了した後にのみアップグレードファイル全体を検証する代わりに、各データセグメントに対応するチェック値を検証する必要があり、受信端末が、改ざんされた異常データセグメントを時間内に検出することができ、異常データセグメントを検出した後に、新しいデータセグメントを停止することの停止を適時にトリガすることができるようにする。これは、アップグレードファイル伝送プロセスのセキュリティを効果的に改善する。

第４の態様の任意選択の解決策では、第１の車載デバイスは、ネゴシエーションユニット及び復号ユニットをさらに含む。

ネゴシエーションユニットは、処理ユニットが第１のアルゴリズムに従って第１のデータセグメントを処理して、第１のチェック値を取得することの前に、ＨＴＴＰＳに従ってダウンロードサーバと双方向認証を行う。ダウンロードサーバは、第２の車載デバイスにアップグレードファイルを提供するように構成されている。

通信ユニットは、ダウンロードサーバが送信した暗号化されたファイルを受信するようにさらに構成されている。暗号化されたファイルは、アップグレードファイルを暗号化することによって取得される。

復号ユニットは、プリセットされたアップグレード条件が満たされたときに、暗号化されたファイルを復号して、アップグレードファイルを取得するように構成されている。

アップグレードファイルを提供するダウンロードサーバは、ＨＴＴＰＳプロトコルに従って第１の車載デバイスとの双方向認証を行うサーバであり、アップグレードファイルの送信元が有効であり、不正なアップグレードファイルを第１の車載デバイスに送達する非認証プラットフォームが防止され、攻撃者が、ダウンロードサーバからリリースされ、かつ重要情報を含むアップグレードファイルを上述の第１の車載デバイスから盗むことが防止されることが分かる。追加的に、暗号化されたアップグレードファイルがダウンロードサーバと第１の車載デバイスとの間で送信され、アップグレードファイルを盗むリスクが効果的に低減され、アップグレードファイル伝送プロセスの安全性が効果的に改善されるようにする。

第４の態様の別の任意選択の解決策では、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメントを使用することにより取得される出力データである。

代替的には、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメント以外のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメント及び第２のチェック値を使用することにより取得される出力データであり、第２のチェック値は、第１のアルゴリズムに従って第１のデータセグメントの前のデータセグメントを処理することにより取得される。

アップグレードファイル内の複数のデータセグメントにおいて、第１のデータセグメント以外のデータセグメントに対応するチェック値は、前のデータセグメントに対応するチェック値に関連することが分かる。データセグメントのためのシーケンス検出メカニズムは、ハッシュチェーンを使用することにより実施されて、異常のあるセグメントが書き込みに成功することによるアップグレードファイル・アセンブリ中のエラー発生するのを回避し、ハッシュチェーンを用いた検証値を使用することにより、アップグレードファイルを悪意を持ってクラックすることの困難さを増加させる。

第４の態様の別の任意選択の解決策では、第１の暗号化されたセグメントは、第１の鍵を使用することにより第１のデータセグメント及び第１のチェック値を暗号化することによって取得される。

第１のデータセグメントが暗号化される間、第１のチェック値がさらに暗号化され得ることが分かる。これは、アップグレードファイル伝送プロセスのセキュリティをさらに改善する。

第４の態様の別の任意選択の解決策では、第１の鍵は、第１の車載デバイスと第２の車載デバイスのために事前に設定された事前共有鍵である。

各データセグメントの機密性は、セキュリティプロトコル又はセキュリティアルゴリズムネゴシエーションによって取得された鍵の代わりに、事前に設定された事前共有鍵を使用することにより保証され、第１の車載デバイス及び第２の車載デバイスのリソース消費を効果的に低減できることが分かる。

第４の態様の別の任意選択の解決策では、第１の鍵は、トランスポート・レイヤ・セキュリティＴＬＳに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

ＴＬＳプロトコルネゴシエーションを通して取得された鍵を使用することにより各データセグメントを暗号化することが、各データセグメントの機密性を保証できることが分かる。追加的に、異なる第２の車載デバイスに対して、第１の車載デバイスと第２の車載デバイスとの間で行われる異なる双方向認証プロセスが存在し、ネゴシエーションを通して取得される異なる第１の鍵、言い換えると、異なるアップグレードファイルが異なる暗号化鍵及び復号鍵に対応し、アップグレードファイル伝送プロセスのセキュリティを大幅に改善することができる。

第４の態様の別の任意選択の解決策では、第１の鍵は、ＴＬＳプロトコルに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

第１のチェック値は、ＴＬＳプロトコルと第１のアルゴリズムに従って第１のデータセグメントを処理することにより取得される、第１のデータセグメントのメッセージ認証コードである。

各データセグメントの機密性と完全性は、アップグレードファイル伝送プロセスのセキュリティを保証するために、ＴＬＳプロトコルに従って保護されることが分かる。

第５の態様によれば、本出願の一実施形態は、第２の車載デバイスであって、
第１の車載デバイスによって送信された第１の暗号化されたセグメントを受信するように構成されている通信ユニットであって、第１の暗号化されたセグメントは、第１の鍵を使用することにより第１のデータセグメントを暗号化することにより取得され、第１のデータセグメントは、第２の車載デバイスをアップグレードするために使用されるアップグレードファイルに含まれる複数のデータセグメントのうちの任意のデータセグメントである、通信ユニットと、
第１の鍵を使用することにより第１の暗号化されたセグメントを復号して、第１のデータセグメントを取得するように構成されている復号ユニットと、
第１のアルゴリズムに従った第１のチェック値の検証に成功したときに、第１のデータセグメントを第２の車載デバイスに記憶するように構成されている検証ユニットであって、第１のチェック値は、第１のアルゴリズムに従って第１のデータセグメントを処理することにより第１の車載デバイスにより取得され、第１のチェック値は、第１の車載デバイスから第２の車載デバイスによって受信される、検証ユニットと、
アップグレードのための第１のデータセグメントに基づいて、アップグレードファイルを形成するように構成されているアップグレードユニットと、を含む、第２の車載デバイスを提供する。

前述の装置では、第２の車載デバイスをアップグレードするために使用されるアップグレードファイル内の複数のデータセグメントのうちの各データセグメントが、別々に暗号化及び送信されて、各データセグメントを盗むリスクを効果的に低減する。追加的に、受信端末（つまり、第２の車載デバイス）は、最後のデータセグメントの伝送が完了した後にのみアップグレードファイル全体を検証する代わりに、各データセグメントに対応するチェック値を検証する必要があり、受信端末が、改ざんされた異常データセグメントを時間内に検出することができ、異常データセグメントを検出した後に、新しいデータセグメントを停止することの停止を適時にトリガすることができるようにする。これは、アップグレードファイル伝送プロセスのセキュリティを効果的に改善する。

第５の態様の別の任意選択の解決策では、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメントを使用することにより取得される出力データである。

代替的には、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメント以外のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメント及び第２のチェック値を使用することにより取得される出力データであり、第２のチェック値は、第１のアルゴリズムに従って第１のデータセグメントの前のデータセグメントを処理することにより取得される。

アップグレードファイル内の複数のデータセグメントにおいて、第１のデータセグメント以外のデータセグメントに対応するチェック値は、前のデータセグメントに対応するチェック値に関連することが分かる。データセグメントのためのシーケンス検出メカニズムは、ハッシュチェーンを使用することにより実施されて、異常のあるセグメントが書き込みに成功することによるアップグレードファイル・アセンブリ中のエラー発生するのを回避し、ハッシュチェーンを用いた検証値を使用することにより、アップグレードファイルを悪意を持ってクラックすることの困難さを増加させる。

第５の態様の別の任意選択の解決策では、第１の暗号化されたセグメントは、第１の鍵を使用することにより第１のデータセグメント及び第１のチェック値を暗号化することによって取得される。

第１のデータセグメントが暗号化される間、第１のチェック値がさらに暗号化され得ることが分かる。これは、アップグレードファイル伝送プロセスのセキュリティをさらに改善する。

第５の態様の別の任意選択の解決策では、第１の鍵は、第１の車載デバイスと第２の車載デバイスのために事前に設定された事前共有鍵である。

各データセグメントの機密性は、セキュリティプロトコル又はセキュリティアルゴリズムネゴシエーションによって取得された鍵の代わりに、事前に設定された事前共有鍵を使用することにより保証され、第１の車載デバイス及び第２の車載デバイスのリソース消費を効果的に低減できることが分かる。

第５の態様の別の任意選択の解決策では、第１の鍵は、トランスポート・レイヤ・セキュリティＴＬＳに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

ＴＬＳプロトコルネゴシエーションを通して取得された鍵を使用することにより各データセグメントを暗号化することが、各データセグメントの機密性を保証できることが分かる。追加的に、異なる第２の車載デバイスに対して、第１の車載デバイスと第２の車載デバイスとの間で行われる異なる双方向認証プロセスが存在し、ネゴシエーションを通して取得される異なる第１の鍵、言い換えると、異なるアップグレードファイルが異なる暗号化鍵及び復号鍵に対応し、アップグレードファイル伝送プロセスのセキュリティを大幅に改善することができる。

第５の態様の別の任意選択の解決策では、第１の鍵は、ＴＬＳプロトコルに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

第１のチェック値は、ＴＬＳプロトコルと第１のアルゴリズムに従って第１のデータセグメントを処理することにより取得される、第１のデータセグメントのメッセージ認証コードである。

各データセグメントの機密性と完全性は、アップグレードファイル伝送プロセスのセキュリティを保証するために、ＴＬＳプロトコルに従って保護されることが分かる。

第６の態様によれば、本出願の実施形態は、第１の車載デバイスであって、第１の車載デバイスは、トランシーバ、プロセッサ、及びメモリを含み、メモリは、コンピュータプログラムを記憶するように構成されており、プロセッサは、コンピュータプログラムを呼び出して、
第１のアルゴリズムに従って第１のデータセグメントを処理して、第１のチェック値を取得することであって、第１のデータセグメントは、第２の車載デバイスをアップグレードするために使用されるアップグレードファイルに含まれる複数のデータセグメントのうちの任意のデータセグメントであり、第１のチェック値は、第２の車載デバイスに送信される、ことと、
第１の鍵を使用することにより第１のデータセグメントを暗号化して、第１の暗号化されたセグメントを取得することと、
第１の暗号化されたセグメントを第２の車載デバイスに送信するようにトランシーバを制御することであって、第２の車載デバイスが、第１のアルゴリズムに従って第１のチェック値の検証に成功したときに、第１の鍵を使用することにより第１の暗号化されたセグメントを復号することによって取得された第１のデータセグメントを第２の車載デバイスに記憶するようにし、第１のデータセグメントは、アップグレードのためのアップグレードファイルを形成するために第２の車載デバイスによって使用される、ことと、を行う動作を行う、第１の車載デバイスを提供する。

前述の装置では、第２の車載デバイスをアップグレードするために使用されるアップグレードファイル内の複数のデータセグメントのうちの各データセグメントが、別々に暗号化及び送信されて、各データセグメントを盗むリスクを効果的に低減する。追加的に、受信端末（つまり、第２の車載デバイス）は、最後のデータセグメントの伝送が完了した後にのみアップグレードファイル全体を検証する代わりに、各データセグメントに対応するチェック値を検証する必要があり、受信端末が、改ざんされた異常データセグメントを時間内に検出することができ、異常データセグメントを検出した後に、新しいデータセグメントを停止することの停止を適時にトリガすることができるようにする。これは、アップグレードファイル伝送プロセスのセキュリティを効果的に改善する。

第６の態様の任意選択の解決策では、プロセッサは、第１のアルゴリズムに従って第１のデータセグメントを処理して、第１のチェック値を取得することの前に、
ＨＴＴＰＳに従ってダウンロードサーバと双方向認証を行うことであって、ダウンロードサーバは、第２の車載デバイスにアップグレードファイルを提供するように構成されている、ことと、
ダウンロードサーバが送信した暗号化されたファイルを受信するようにトランシーバを制御することであって、暗号化されたファイルは、アップグレードファイルを暗号化することにより取得される、ことと、
プリセットされたアップグレード条件が満たされたときに、暗号化されたファイルを復号して、アップグレードファイルを取得することと、を行うようにさらに構成されている。

アップグレードファイルを提供するダウンロードサーバは、ＨＴＴＰＳプロトコルに従って第１の車載デバイスとの双方向認証を行うサーバであり、アップグレードファイルの送信元が有効であり、不正なアップグレードファイルを第１の車載デバイスに送達する非認証プラットフォームが防止され、攻撃者が、ダウンロードサーバからリリースされ、かつ重要情報を含むアップグレードファイルを上述の第１の車載デバイスから盗むことが防止されることが分かる。追加的に、暗号化されたアップグレードファイルがダウンロードサーバと第１の車載デバイスとの間で送信され、アップグレードファイルを盗むリスクが効果的に低減され、アップグレードファイル伝送プロセスの安全性が効果的に改善されるようにする。

第６の態様の別の任意選択の解決策では、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメントを使用することにより取得される出力データである。

代替的には、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメント以外のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメント及び第２のチェック値を使用することにより取得される出力データであり、第２のチェック値は、第１のアルゴリズムに従って第１のデータセグメントの前のデータセグメントを処理することにより取得される。

アップグレードファイル内の複数のデータセグメントにおいて、第１のデータセグメント以外のデータセグメントに対応するチェック値は、前のデータセグメントに対応するチェック値に関連することが分かる。データセグメントのためのシーケンス検出メカニズムは、ハッシュチェーンを使用することにより実施されて、異常のあるセグメントが書き込みに成功することによるアップグレードファイル・アセンブリ中のエラー発生するのを回避し、ハッシュチェーンを用いた検証値を使用することにより、アップグレードファイルを悪意を持ってクラックすることの困難さを増加させる。

第６の態様の別の任意選択の解決策では、第１の暗号化されたセグメントは、第１の鍵を使用することにより第１のデータセグメント及び第１のチェック値を暗号化することによって取得される。

第１のデータセグメントが暗号化される間、第１のチェック値がさらに暗号化され得ることが分かる。これは、アップグレードファイル伝送プロセスのセキュリティをさらに改善する。

第６の態様の別の任意選択の解決策では、第１の鍵は、第１の車載デバイスと第２の車載デバイスのために事前に設定された事前共有鍵である。

各データセグメントの機密性は、セキュリティプロトコル又はセキュリティアルゴリズムネゴシエーションによって取得された鍵の代わりに、事前に設定された事前共有鍵を使用することにより保証され、第１の車載デバイス及び第２の車載デバイスのリソース消費を効果的に低減できることが分かる。

第６の態様の別の任意選択の解決策では、第１の鍵は、トランスポート・レイヤ・セキュリティＴＬＳに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

ＴＬＳプロトコルネゴシエーションを通して取得された鍵を使用することにより各データセグメントを暗号化することが、各データセグメントの機密性を保証できることが分かる。追加的に、異なる第２の車載デバイスに対して、第１の車載デバイスと第２の車載デバイスとの間で行われる異なる双方向認証プロセスが存在し、ネゴシエーションを通して取得される異なる第１の鍵、言い換えると、異なるアップグレードファイルが異なる暗号化鍵及び復号鍵に対応し、アップグレードファイル伝送プロセスのセキュリティを大幅に改善することができる。

第６の態様の別の任意選択の解決策では、第１の鍵は、ＴＬＳプロトコルに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

第１のチェック値は、ＴＬＳプロトコルと第１のアルゴリズムに従って第１のデータセグメントを処理することにより取得される、第１のデータセグメントのメッセージ認証コードである。

各データセグメントの機密性と完全性は、アップグレードファイル伝送プロセスのセキュリティを保証するために、ＴＬＳプロトコルに従って保護されることが分かる。

第７の態様によれば、本出願の実施形態は、第２の車載デバイスを提供する。第２の車載デバイスは、トランシーバ、プロセッサ、及びメモリを含む。メモリは、コンピュータプログラムを記憶するように構成されており、プロセッサは、コンピュータプログラムを呼び出して、
第１の車載デバイスによって送信された第１の暗号化されたセグメントを受信するようにトランシーバを制御することであって、第１の暗号化されたセグメントは、第１の鍵を使用することにより第１のデータセグメントを暗号化することにより取得され、第１のデータセグメントは、第２の車載デバイスをアップグレードするために使用されるアップグレードファイルに含まれる複数のデータセグメントのうちの任意のデータセグメントである、ことと、
第１の鍵を使用することにより第１の暗号化されたセグメントを復号して、第１のデータセグメントを取得することと、
第１のアルゴリズムに従った第１のチェック値の検証に成功したときに、第１のデータセグメントを第２の車載デバイスに記憶することであって、第１のチェック値は、第１のアルゴリズムに従って第１のデータセグメントを処理することにより第１の車載デバイスにより取得され、第１のチェック値は、第１の車載デバイスから第２の車載デバイスによって受信される、ことと、
アップグレードのための第１のデータセグメントに基づいて、アップグレードファイルを形成することと、を行う動作を行う。

前述の装置では、第２の車載デバイスをアップグレードするために使用されるアップグレードファイル内の複数のデータセグメントのうちの各データセグメントが、別々に暗号化及び送信されて、各データセグメントを盗むリスクを効果的に低減する。追加的に、受信端末（つまり、第２の車載デバイス）は、最後のデータセグメントの伝送が完了した後にのみアップグレードファイル全体を検証する代わりに、各データセグメントに対応するチェック値を検証する必要があり、受信端末が、改ざんされた異常データセグメントを時間内に検出することができ、異常データセグメントを検出した後に、新しいデータセグメントを停止することの停止を適時にトリガすることができるようにする。これは、アップグレードファイル伝送プロセスのセキュリティを効果的に改善する。

第７の態様の別の任意選択の解決策では、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメントを使用することにより取得される出力データである。

代替的には、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメント以外のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメント及び第２のチェック値を使用することにより取得される出力データであり、第２のチェック値は、第１のアルゴリズムに従って第１のデータセグメントの前のデータセグメントを処理することにより取得される。

アップグレードファイル内の複数のデータセグメントにおいて、第１のデータセグメント以外のデータセグメントに対応するチェック値は、前のデータセグメントに対応するチェック値に関連することが分かる。データセグメントのためのシーケンス検出メカニズムは、ハッシュチェーンを使用することにより実施されて、異常のあるセグメントが書き込みに成功することによるアップグレードファイル・アセンブリ中のエラー発生するのを回避し、ハッシュチェーンを用いた検証値を使用することにより、アップグレードファイルを悪意を持ってクラックすることの困難さを増加させる。

第７の態様の別の任意選択の解決策では、第１の暗号化されたセグメントは、第１の鍵を使用することにより第１のデータセグメント及び第１のチェック値を暗号化することによって取得される。

第１のデータセグメントが暗号化される間、第１のチェック値がさらに暗号化され得ることが分かる。これは、アップグレードファイル伝送プロセスのセキュリティをさらに改善する。

第７の態様の別の任意選択の解決策では、第１の鍵は、第１の車載デバイスと第２の車載デバイスのために事前に設定された事前共有鍵である。

各データセグメントの機密性は、セキュリティプロトコル又はセキュリティアルゴリズムネゴシエーションによって取得された鍵の代わりに、事前に設定された事前共有鍵を使用することにより保証され、第１の車載デバイス及び第２の車載デバイスのリソース消費を効果的に低減できることが分かる。

第７の態様の別の任意選択の解決策では、第１の鍵は、トランスポート・レイヤ・セキュリティＴＬＳに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

ＴＬＳプロトコルネゴシエーションを通して取得された鍵を使用することにより各データセグメントを暗号化することが、各データセグメントの機密性を保証できることが分かる。追加的に、異なる第２の車載デバイスに対して、第１の車載デバイスと第２の車載デバイスとの間で行われる異なる双方向認証プロセスが存在し、ネゴシエーションを通して取得される異なる第１の鍵、言い換えると、異なるアップグレードファイルが異なる暗号化鍵及び復号鍵に対応し、アップグレードファイル伝送プロセスのセキュリティを大幅に改善することができる。

第７の態様の別の任意選択の解決策では、第１の鍵は、ＴＬＳプロトコルに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

第１のチェック値は、ＴＬＳプロトコルと第１のアルゴリズムに従って第１のデータセグメントを処理することにより取得される、第１のデータセグメントのメッセージ認証コードである。

各データセグメントの機密性と完全性は、アップグレードファイル伝送プロセスのセキュリティを保証するために、ＴＬＳプロトコルに従って保護されることが分かる。

第８の態様によれば、本出願の実施形態は、第１の車載デバイス及び第２の車載デバイスを含む車両を提供する。第１の車載デバイスは、第４の態様、又は第４の態様の可能な実施態様のうちのいずれかに説明される第１の車載デバイスである。第２の車載デバイスは、第５の態様、又は第５の態様の可能な実施態様のうちのいずれかに説明される第２の車載デバイスである。

第９の態様によれば、本出願の実施形態は、第１の車載デバイス及び第２の車載デバイスを含む車両を提供する。第１の車載デバイスは、第６の態様、又は第６の態様の可能な実施態様のうちのいずれかに説明される第１の車載デバイスである。第２の車載デバイスは、第７の態様、又は第７の態様の可能な実施態様のうちのいずれかに説明される第２の車載デバイスである。

第１０の態様によれば、本出願の実施形態は、コンピュータ可読記憶媒体を提供する。コンピュータ可読記憶媒体は、命令を記憶し、命令がプロセッサ上で動作するときに、第１の態様及び第２の態様又は第１の態様及び第２の態様のいずれかの任意選択の解決策のいずれかに説明される方法が実施される。

本出願の一実施形態による車載デバイスアップグレードシステムの概略アーキテクチャ図である。 本出願の一実施形態による車載デバイスアップグレード方法の概略フローチャートである。 本出願の一実施形態による車載デバイスアップグレード方法の概略フローチャートである。 本出願の一実施形態による別の車載デバイスアップグレード方法の概略フローチャートである。 本出願の一実施形態による別の車載デバイスアップグレード方法の概略フローチャートである。 本出願の一実施形態による別の車載デバイスアップグレード方法の概略フローチャートである。 本出願の一実施形態による別の車載デバイスアップグレード方法の概略フローチャートである。 本出願の一実施形態による別の車載デバイスアップグレード方法の概略フローチャートである。 本出願の一実施形態による第１のデバイスの概略構造図である。 本出願の一実施形態による第２のデバイスの概略構造図である。 本出願の一実施形態による別の第１のデバイスの概略構造図である。 本出願の一実施形態による別の第２のデバイスの概略構造図である。

以下、本出願の実施態様における添付図面を参照して、本出願の実施態様を説明する。

図１は、本出願の一実施形態による車載デバイスアップグレードシステムの概略アーキテクチャ図である。概略アーキテクチャ図は、ダウンロードサーバ１１０及び車両１２０を含む。サーバ１１０及び車両１２０は、無線リンク（たとえば、Ｗｉ－Ｆｉ、Ｂｌｕｅｔｏｏｔｈ、及びモバイル・デバイス・ネットワーク）を使用することにより通信ダウンロードを行ってもよい。車両１２０は、通信バス１２１と、通信バス１２１を使用することにより互いに通信する複数の車載デバイス１２２とを含む。複数の車載デバイス１２２の具体的な数は、本明細書では限定されない。

ダウンロードサーバ１１０は、相手先ブランド製造業者（ｏｒｉｇｉｎａｌ ｅｑｕｉｐｍｅｎｔ ｍａｎｕｆａｃｔｕｒｅｒ、ＯＥＭ）によって設定され、車両１２０にアップグレードファイルを提供するように構成されているサーバであってもよい。ダウンロードサーバ１１０は、単一のサーバであってもよいし、複数のサーバを含むサーバクラスタであってもよい。ダウンロードサーバ１１０は、ハードウェアサーバでもよいし、クラウドサーバでもよい。これは、本明細書では限定されない。

車両１２０はまた、スマート車両、又はスマート「チャージドッグ」などのデバイス（スマート車両を充電するように構成されている移動デバイス）であってもよい。通信バス１２１は、ローカル相互接続ネットワーク（ｌｏｃａｌ ｉｎｔｅｒｃｏｎｎｅｃｔ ｎｅｔｗｏｒｋ、ＬＩＮ）バス、コントローラエリアネットワーク（ｃｏｎｔｒｏｌｌｅｒ ａｒｅａ ｎｅｔｗｏｒｋ、ＣＡＮ）バスなどであってもよいが、これらに限定されない。車載デバイス１２２は、車両１２０内にあり、アップグレードファイルを使用することによりシステムをアップグレードすることができる電子デバイス又は制御ユニット、たとえば、電子制御ユニット（ｅｌｅｃｔｒｏｎｉｃ ｃｏｎｔｒｏｌ ｕｎｉｔ、ＥＣＵ）又は車両制御ユニット（ｖｅｈｉｃｌｅ ｃｏｎｔｒｏｌ ｕｎｉｔ、ＶＣＵ）であり得る。代替的には、車載デバイス１２２は、車両１２０内にあり、無線リンクを使用することによりダウンロードサーバ１１０が提供するアップグレードファイルを取得し、システムをアップグレードする必要がある別の車載デバイス、たとえば、オンボードユニット（ｔｅｌｅｍａｔｉｃｓ ｂｏｘ、Ｔｂｏｘ）にアップグレードファイルを転送することができる電子デバイスであってもよい。様々な種類のＥＣＵが存在し、異なるＥＣＵは、異なる機能を実施するように構成されてもよく、たとえば、ゲートウェイ（ｇａｔｅｗａｙ、ＧＷ）、自動伝送制御ユニット（ｔｒａｎｓｍｉｓｓｉｏｎ ｃｏｎｔｒｏｌ ｕｎｉｔ、ＴＣＵ）、及び補助制御ユニット（ａｕｘｉｌｉａｒｙ ｃｏｎｔｒｏｌ ｕｎｉｔ、ＡＣＵ）などである。

車両１２０内のＴｂｏｘは、無線リンクを使用することによりダウンロードサーバ１１０と通信してもよい。たとえば、Ｔｂｏｘは、無線リンクを使用することによって、ダウンロードサーバ１１０によってリリースされ、車両１２０の制御ユニット（ＥＣＵ又はＶＣＵなど）をアップグレードするために使用されるアップグレードファイルを取得し、統一された診断サービス（ｕｎｉｆｉｅｄ ｄｉａｇｎｏｓｔｉｃ ｓｅｒｖｉｃｅｓ、ＵＤＳ）のプロトコル仕様に従って、アップグレードファイルを対応する制御ユニットのフラッシュ（ｆｌａｓｈ）に対応するアドレスユニットにセグメントごとに書き込んで、オーバ・ザ・エア（ｏｖｅｒ ｔｈｅ ａｉｒ、ＯＴＡ）プロセスを完成させてもよい。

説明を簡単にするために、Ｔｂｏｘは下記の第１の車載デバイスと呼ばれ、Ｔｂｏｘを使用することによりセグメントごとにアップグレードファイルを書き込むのを支援する制御ユニット（たとえば、ＥＣＵ又はＶＣＵ）は下記の第２の車載デバイスと呼ばれる。

図２Ａ及び図２Ｂは、本出願の実施形態による、車載デバイスアップグレード方法を示す。本方法は、図１に示す車載デバイスアップグレードシステムに基づいて実施されてもよい。本方法は、以下のステップを含むが、これらに限定されない。

ステップＳ２０１：双方向認証は、ハイパーテキスト・トランスファー・プロトコル・オーバ・セキュア・ソケット・レイヤ（ｈｙｐｅｒｔｅｘｔ ｔｒａｎｓｆｅｒ ｐｒｏｔｏｃｏｌ ｏｖｅｒ ｓｅｃｕｒｅ ｓｏｃｋｅｔ ｌａｙｅｒ、ＨＴＴＰＳ）に従って、ダウンロードサーバと第１の車載デバイスとの間で行われる。

具体的には、ダウンロードサーバは、第１の車載デバイスを使用することにより第２の車載デバイスのアップグレードファイルを提供するように構成されている。

具体的には、ＨＴＴＰＳプロトコルは、セキュア・ソケット・レイヤ（ｓｅｃｕｒｅ ｓｏｃｋｅｔｓ ｌａｙｅｒ、ＳＳＬ）又はトランスポート・レイヤ・セキュリティ（ｔｒａｎｓｐｏｒｔ ｌａｙｅｒ ｓｅｃｕｒｉｔｙ、ＴＬＳ）を使用することにより、ハイパーテキスト・トランスファー・プロトコル（ｈｙｐｅｒｔｅｘｔ ｔｒａｎｓｆｅｒ ｐｒｏｔｏｃｏｌ、ＨＴＴＰ）に従って伝送プロセスのセキュリティを保証するプロトコルとして理解されてもよい。ＳＳＬプロトコルと比較して、ＴＬＳプロトコルは更新され、より広く適用される。本出願の本実施形態では、ＴＬＳプロトコルは、説明のための例として使用される。

ＨＴＴＰＳ双方向認証は、実際には、ＴＬＳハンドシェイク・プロトコル・インタラクション・プロセスとも呼ばれるＴＬＳ双方向認証である。双方向認証プロセスでは、ダウンロードサーバは、ダウンロードサーバのルート証明書又はＯＴＡ証明書を第１の車載デバイスに送信し、第１の車載デバイスが、ダウンロードサーバについてアイデンティティ認証を行うようにする。同様に、第１の車載デバイスはまた、第１の車載デバイスのデバイス証明書をダウンロードサーバに送信し、ダウンロードサーバが、第１の車載デバイスについてアイデンティティ認証を行うようにする。ＯＴＡ証明書は、ルート証明書に基づいてダウンロードサーバによって導出され、第１の車載デバイスとのセキュアな対話に使用される証明書であってもよい。

本出願の本実施形態では、双方向認証は、ＨＴＴＰＳプロトコルに従ってダウンロードサーバと第１の車載デバイスとの間で行われ、非認証ダウンロードサーバが、悪意のあるアップグレードファイルを第１の車載デバイスにリリースすることを効果的に防止することができ、攻撃者が、認証された第１の車載デバイスをだまして、ダウンロードサーバによってリリースされ、かつ鍵エクスペリエンス較正構成、鍵アルゴリズム、及びユーザプライバシーなどの重要な情報を含むアップグレードファイルを盗むことを防止することができるようにする。

ステップＳ２０２：ダウンロードサーバは、アップグレードファイルを暗号化及び署名して、暗号化されたファイル及び第１の署名を取得する。

具体的には、アップグレードファイルは、第２の車載デバイスをアップグレードするために使用される。ダウンロードサーバは、第２の鍵を使用することによりアップグレードファイルを暗号化して、暗号化されたファイルを取得してもよい。第２の鍵は、ダウンロードサーバによってランダムに生成された鍵であってもよいし、ダウンロードサーバと第１の車載デバイスとの間の事前ネゴシエーションを通して取得された鍵であってもよいし、事前に設定された（たとえば、信頼されたサードパーティデバイスを使用することにより設定された）鍵であってもよいし、確かに別の方式で取得された鍵であってもよい。ダウンロードサーバは、第１の証明書の秘密鍵を使用することによりアップグレードファイルを署名して、第１の署名を取得してもよい。第１の証明書は、ダウンロードサーバのルート証明書であってもよいし、前述のＯＴＡ証明書であってもよいし、確かにダウンロードサーバのアイデンティティを識別できる別の証明書であってもよい。

ステップＳ２０３：ダウンロードサーバは、暗号化されたファイル及び第１の署名を第１の車載デバイスに送信する。

ステップＳ２０４：第１の車載デバイスは、暗号化されたファイル及び第１の署名を受信する。

ステップＳ２０５：第１の車載デバイスは、第１の署名の検証に成功したときに、暗号化されたファイルを記憶する。

具体的には、ダウンロードサーバが送信するアップグレードファイルの完全性と、アップグレードファイルのソース（具体的には、ダウンロードサーバ）の妥当性を検証するために、第１の署名が使用される。ダウンロードサーバは、ダウンロードサーバのアイデンティを識別することができる証明書を使用することによりアップグレードファイルを署名して、第１の署名を取得し、第１の署名を第１の車載デバイスに送信してもよい。これに対応して、第１の車載デバイスは、ダウンロードサーバのアイデンティティを識別することができる証明書の公開鍵を使用することにより第１の署名を検証してもよい。第１の署名の検証に成功したときに、第１の車載デバイスは、アップグレードファイルが改ざんされていない（言い換えれば、完全性検証に成功した）と考え、暗号化されたファイルと第１の署名を送信するノードがダウンロードサーバである（言い換えれば、妥当性検証に成功した）と考える。ダウンロードサーバが署名を行う具体的な方法、及び第１の車載デバイスが署名を検証する具体的な方法は、本出願の本実施形態において限定されない。理解を容易にするために、以下、いくつかの任意選択の署名検証策について説明する。

任意選択で、第１の証明書がダウンロードサーバのルート証明書である場合、第１の車載デバイスが使用する第１の証明書は、ダウンロードサーバによって第１の車載デバイスに送信されてもよい。これに対応して、第１の車載デバイスは、ルート証明書の公開鍵を使用することにより第１の署名を検証する。

任意選択で、第１の証明書がＯＴＡ証明書である場合、第１の車載デバイスが使用する第１の証明書は、ダウンロードサーバによって第１の車載デバイスに送信されてもよく、ダウンロードサーバはさらに、ダウンロードサーバのルート証明書を第１の車載デバイスに送信する。これに対応して、第１の車載デバイスは、ルート証明書を使用することにより受信したＯＴＡ証明書の妥当性を検証し、検証が成功した場合は、ＯＴＡ証明書の公開鍵を使用することにより第１の署名を検証する。

本出願の本実施形態では、第１の署名の検証が成功した場合、暗号化されたファイルが記憶される。ＯＴＡ証明書の妥当性検証が失敗した場合、又は第１の署名の検証が失敗した場合、第１の車載デバイスは、暗号化されたファイルが異常であることを示すアラームを、車内にあり、かつ車両システムの故障診断及び保護を実施するように構成されている車載デバイス、たとえば、ＶＣＵに報告する。

ステップＳ２０６：プリセットされたアップグレード条件が満たされるときに、第１の車載デバイスは、暗号化されたファイルを復号して、アップグレードファイルを取得する。

具体的には、プリセットされたアップグレード条件は、車両がアップグレード命令を受信すること、車両が静止状態にあることなどであってもよいが、これらに限定されない。アップグレード命令は、車両に搭載された車載端末を使用することによりユーザによって指示されてもよいし、車両にワイヤレス接続された車両のインターネットの車両アプリケーション（ａｐｐｌｉｃａｔｉｏｎ、ＡＰＰ）使用することによりユーザによって指示されてもよいが、これらに限定されない。プリセットされたアップグレード条件が満たされないときに、アップグレードファイルは、暗号化されたファイルの形式で、第１の車載デバイスに記憶される。プリセットされたアップグレード条件が満たされるときに、第１の車載デバイスは、受信した暗号化されたファイルを直ちに復号して、アップグレードファイルを取得及び記憶する代わりに、第２の鍵を使用することにより暗号化されたファイルを復号して、アップグレードファイルを取得し、アップグレードファイルが記憶中に盗まれるか、又は改ざんされることを防止し、アップグレードファイルのセキュリティを保証する。

任意選択で、第２の鍵がダウンロードサーバによってランダムに生成された鍵である場合、ダウンロードサーバは、第１の車載デバイスのデバイス証明書の公開鍵を使用することにより第２の鍵をさらに暗号化し、暗号化された第２の鍵を第１の車載デバイスに送信してもよい。これに対応して、第１の車載デバイスは、ダウンロードサーバが送信した暗号化された第２の鍵を受信し、次いで、第１の車載デバイスのデバイス証明書の秘密鍵を使用することにより暗号化された第２の鍵を復号して、第２の鍵を取得する。この方式で取得された第２の鍵は、第１の車載デバイスによって、暗号化されたファイルを復号して、アップグレードファイルを取得するために使用される。

任意選択で、第１の車載デバイスは、暗号化されたファイルを受信した直後に暗号化されたファイルを復号して、アップグレードファイルを取得及び記憶してもよい。確かに、この方式で取得されたアップグレードファイルは、比較的セキュリティが低い。

ステップＳ２０７：第１の車載デバイスは、第１のアルゴリズムに従って第１のデータセグメントを処理して、第１のチェック値を取得する。

具体的には、第１の車載デバイスは、アップグレードファイルを、第２の車載デバイスの受信能力に基づいて複数のデータセグメントに分割してもよい。たとえば、ｎ個のデータセグメントが説明のために使用される。たとえば、アップグレードファイルのサイズは６４バイトであり、第２の車載デバイスが毎回受信できるデータパケットのサイズは８バイトであるため、第１の車載デバイスは６４バイトのアップグレードファイルを８つのデータセグメントに分割する必要がある。第１の車載デバイスは、ｎ個のデータセグメントのうちの１つのデータセグメントを第２の車載デバイスに毎回送信し、すべてのｎ個のデータセグメントが第２の車載デバイスに送信されるときに、セグメントごとにアップグレードファイルを書き込む処理を完了する。

第１のデータセグメントは、アップグレードファイルに含まれる複数のデータセグメントのうちの任意のデータセグメントであり、言い換えれば、複数のデータセグメントの各データセグメントの特徴は、第１のデータセグメントの後続の関連する記述に適用可能である。

追加的に、第１のアルゴリズムと第１のチェック値が使用されて、各データセグメントの完全性を保証する。以下、異なるケースにおける説明のために例を使用する。

ケース１：第１のアルゴリズムは、ハッシュアルゴリズム、たとえば、ＳＨＡ－２５６、ＳＨＡ－３８４、ＳＨＡ－５１２、ＭＤ２、ＭＤ４又はＭＤ５であり、第１のチェック値は、第１のデータセグメントに対応するハッシュ値である。

第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメントを使用することにより取得される出力データである

第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメント以外のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメント及び第２のチェック値を使用することにより取得される出力データである。第２のチェック値は、第１のアルゴリズムに従って第１のデータセグメントの前のデータセグメントを処理することにより取得される。

たとえば、アップグレードファイル（Ｆｉｌｅ）がデータ１、データ２、データ３の３つのデータセグメントを順番に含み、第１のアルゴリズムがＭＤ５アルゴリズムである場合、
第１のデータセグメントがデータ１である場合、第１のチェック値はチェック１＝ＭＤ５（データ１）であるか、
第１のデータセグメントがデータ２である場合、第１のチェック値はチェック２＝ＭＤ５（データ２、チェック１）であるか、又は
第１のデータセグメントがデータ３である場合、第１のチェック値はチェック３＝ＭＤ５（データ３、チェック２）である。

ケース２：第１のアルゴリズムは、メッセージ認証コード（ｍｅｓｓａｇｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｃｏｄｅ、ＭＡＣ）、たとえば、ＭＡＣを計算するための専用のハッシュベースのメッセージ認証コード（ｈａｓｈ－ｂａｓｅｄ ｍｅｓｓａｇｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｃｏｄｅ、ＨＭＡＣ）アルゴリズム、又は、暗号アルゴリズム、たとえば、データ暗号化標準（ｄａｔａ ｅｎｃｒｙｐｔｉｏｎ ｓｔａｎｄａｒｄ、ＤＥＳ）アルゴリズムを計算するために使用されるアルゴリズムである。第１のチェック値は、ＴＬＳプロトコル及び第１のアルゴリズムに従って第１のデータセグメントを処理することにより取得された第１のデータセグメントのＭＡＣである。

たとえば、アップグレードファイル（Ｆｉｌｅ）がデータ１とデータ２の２つのデータセグメントを順番に含み、第１のアルゴリズムがＨＭＡＣアルゴリズムである場合、
第１のデータセグメントがデータ１である場合、第１のチェック値はチェック１＝ＨＭＡＣ（データ１）であるか、又は
第１のデータセグメントがデータ２である場合、第１のチェック値はチェック２＝ＨＭＡＣ（データ２）である。

ステップＳ２０８：第１の車載デバイスは、第１の鍵を使用することにより第１のデータセグメントを暗号化して、第１の暗号化されたセグメントを取得する。

ケース１の場合、第１の鍵は、第１の車載デバイス及び第２の車載デバイスのために事前に設定された事前共有鍵（ｐｒｅ－ｓｈａｒｅｄ ｋｅｙ、ＰＳＫ）であってもよいし、セキュリティアルゴリズム又はセキュリティプロトコル、たとえばＴＬＳプロトコルに従って第１の車載デバイスと第２の車載デバイスとの間のネゴシエーションを通して取得された鍵であってもよい。第１の車載デバイスは、第１の鍵を使用することにより第１のデータセグメント及び第１のチェック値を暗号化して、第１の暗号化されたセグメントを取得してもよい。

ケース２の場合、第１の鍵は、ＴＬＳプロトコルなどのセキュリティプロトコルに従って、ネゴシエーションを通して取得された鍵であってもよい。第１の車載デバイスは、第１の鍵を使用することにより第１のデータセグメントを暗号化して、第１の暗号化された鍵を取得してもよい。

ステップＳ２０９：第１の車載デバイスは、第１の暗号化されたセグメントを第２の車載デバイスに送信する。

ケース１の場合、第１の車載デバイスは、第１の暗号化されたセグメントを第２の車載デバイスに送信し、第１の暗号化されたセグメントは、第１のアルゴリズムに従って第１のデータセグメント及び第１のチェック値を暗号化することにより、第１の車載デバイスによって取得される。

ケース２の場合、第１の車載デバイスが第１の暗号化セグメント及び第１のチェック値を第２の車載デバイスに送信する。

ステップＳ２１０：第２の車載デバイスは、第１の暗号化されたセグメントを受信する。

ケース１の場合、第２の車載デバイスは、第１の車載デバイスが送信した第１の暗号化されたセグメントを受信する。第１の暗号化セグメントは、第１のアルゴリズムに従って第１のデータセグメント及び第１のチェック値を暗号化することにより、第１の車載デバイスによって取得される。

ケース２の場合、第２の車載デバイスは、第１の車載デバイスが送信した第１の暗号化されたセグメント及び第１のチェック値を受信する。

ステップＳ２１１：第２の車載デバイスは、第１の鍵を使用することにより第１の暗号化されたセグメントを復号して、第１のデータセグメントを取得する。

ケース１の場合、第２の車載デバイス、任意選択で、たとえば、第２の車載デバイスのブートローダ（ＢｏｏｔＬｏａｄｅｒ）は、第１の鍵を使用することにより第１の暗号化されたセグメントを復号して、第１のデータセグメント及び第１のチェック値を取得する。

ケース２の場合、第２の車載デバイス、任意選択で、たとえば、第２の車載デバイスのブートローダ（ＢｏｏｔＬｏａｄｅｒ）は、第１の鍵を使用することにより第１の暗号化されたセグメントを復号して、第１のデータセグメントを取得する。

ステップＳ２１２：第２の車載デバイスは、第１のアルゴリズムに従って第１のチェック値の検証に成功したときに、第１のデータセグメントを第２の車載デバイスに記憶する。

具体的には、第２の車載デバイス、任意選択で、たとえば、第２の車載デバイスのブートローダ（ＢｏｏｔＬｏａｄｅｒ）は、第１のアルゴリズムに従って、復号を通して取得された第１のデータセグメントに対応するチェック値を計算し、受信又は復号を通してそのチェック値を第１のチェック値と比較する。チェック値が受信又は復号を通して取得された第１のチェック値と同じであり、完全性検証に成功した場合、第２の車載デバイスは、第２の車載デバイスのフラッシュに対応するアドレスユニットに第１のデータセグメントを記憶する。受信又は復号を通して取得されたチェック値と第１のチェック値とが異なり、完全性検証に失敗した場合、第２の車載デバイスは、アップグレードファイルの書き込み処理を停止し、第１のデータセグメントが異常であることを示すアラームを、車両内にあり、車両システムの故障診断及び保護を実施するように構成されている車載デバイス、たとえば、ＶＣＵに報告する。

ステップＳ２１３：第２の車載デバイスは、アップグレードのための第１のデータセグメントに基づいてアップグレードファイルを形成する。

具体的には、ステップＳ２０７～Ｓ２１２は、１つのデータセグメントのセキュアな書き込み処理に対応し、アップグレードファイルのｎ個のデータセグメントの各データセグメントは、ステップＳ２０７～Ｓ２１２で説明した方式で、第２の車載デバイスに書き込まれる。ｎ個のデータセグメントが全て第２の車載デバイスに書き込まれた後、第２の車載デバイスは、ｎ個のデータセグメントを組み立てて、アップグレードファイルを取得し、アップグレードファイルに基づいてシステムをアップグレードしてもよい。

前述の方法では、第２の車載デバイスをアップグレードするために使用されるアップグレードファイル内の複数のデータセグメントのうちの各データセグメントが、別々に暗号化及び送信されて、車内伝送プロセスにおける各データセグメントを盗むリスクを効果的に低減し、車内伝送プロセスにおける各データセグメントの機密性を保証する。追加的に、受信端末（つまり、第２の車載デバイス）は、最後のデータセグメントの伝送が完了した後にのみアップグレードファイル全体を検証する代わりに、各データセグメントに対応するチェック値を検証する必要があり、受信端末が、改ざんされた異常データセグメントを時間内に検出することができ、異常データセグメントを検出した後に、新しいデータセグメントを停止することの停止を適時にトリガすることができるようにし、異常データセグメントが第２の車載デバイスに書き込まれたために、第２の車載デバイスが異常に動作するか、又はリソースが無駄になるケースを回避し、各データセグメントの完全性を確保し、アップグレードファイル伝送プロセスのセキュリティを効果的に改善する。

図２Ａ及び図２Ｂに示される前述の方法の実施形態は、多くの可能な実施態様の解決策を含む。以下、図３Ａ、図３Ｂ、図４Ａ、図４Ｂ、及び図５を参照して、いくつかの実施態様の解決策を別々に図示する。図３Ａ、図３Ｂ、図４Ａ、図４Ｂ、及び図５に説明されていない関連する概念、動作、論理関係の説明については、図２Ａ、及び図２Ｂに示す実施形態における対応する説明を参照することに留意されたい。したがって、再度、詳細は説明しない。

図３Ａ及び図３Ｂは、本出願の一実施形態による、別の車載デバイスアップグレード方法の概略フローチャートである。本方法は、図１に示す車載デバイスアップグレードシステムに基づいて実施されてもよい。本方法は、以下のステップを含むが、これらに限定されない。

ステップＳ３０１：第１の車載デバイスは、第１の鍵を設定する。

ステップＳ３０２：第２の車載デバイスは、第１の鍵を設定する。

具体的には、第１の鍵は、第１の車載デバイス及び第２の車載デバイスのために事前に設定された事前共有鍵（ｐｒｅ－ｓｈａｒｅｄ ｋｅｙ、ＰＳＫ）である。第１の鍵は、第１の車載デバイス及び第２の車載デバイスに手動で設定される鍵であってもよいし、サードパーティのデバイスによって生成され、第１の車載デバイス及び第２の車載デバイスに送信される鍵であってもよい。サードパーティデバイスは、有線リンク又は無線リンクを使用することにより第１の車載デバイス及び第２の車載デバイスと通信してもよい。

ステップＳ３０３：第１の車載デバイスは、第１のアルゴリズムの入力として第１のデータセグメントを使用して、第１のデータセグメントに対応する出力チェック値を取得する。

具体的には、第１のアルゴリズムはハッシュアルゴリズムであり、チェック値は、第１のアルゴリズムに従って第１の車載デバイスが取得するハッシュ値である。第１の車載デバイスは、第１のアルゴリズムの入力として、第２の車載デバイスをアップグレードするために使用されるアップグレードファイルに含まれる複数のデータセグメント（たとえば、ｎ個のデータセグメント）のうちの第１のデータセグメントを使用して、出力ハッシュ値、すなわち第１のチェック値を取得してもよい。

たとえば、第１のデータセグメントがデータ１であり、第１のアルゴリズムがＭＤ５アルゴリズムである場合、第１の車載デバイスは、第１のアルゴリズムの入力として第１のデータセグメントを使用することにより、第１のデータセグメントに対応する出力チェック値を取得し、チェック値は、チェック１＝ＭＤ５（データ１）である。

ステップＳ３０４：第１の車載デバイスは、第１の鍵を使用することにより第１のデータセグメント及び第１のデータセグメントに対応するチェック値を暗号化して、第１のデータセグメントに対応する暗号化されたセグメントを取得する。

ステップＳ３０５：第１の車載デバイスは、第１のデータセグメントに対応する暗号化されたセグメントを第２の車載デバイスに送信する。

ステップＳ３０６：第２の車載デバイスは、第１のデータセグメントに対応する暗号化されたセグメントを受信する。

ステップＳ３０７：第２の車載デバイスは、第１の鍵を使用することにより第１のデータセグメントに対応する暗号化されたセグメントを復号して、第１のデータセグメント及び第１のデータセグメントに対応するチェック値を取得する。

ステップＳ３０８：第２の車載デバイスは、第１のアルゴリズムに従って第１のデータセグメントに対応するチェック値の検証に成功したときに、第１のデータセグメントを第２の車載デバイスに記憶する。

具体的には、第２の車載デバイスは、第１アルゴリズムの入力として復号を通して取得された第１データセグメントを使用して、出力ハッシュ値を取得し、復号を通して取得された第１のデータセグメントに対応するチェック値とハッシュ値を比較する。ハッシュ値が、復号を通して取得された第１のデータセグメントに対応するチェック値と同じである場合、第２の車載デバイスは、第１のデータセグメントが改ざんされていない（言い換えれば、完全性検証に成功した）とみなし、第１のデータセグメントを第２の車載デバイスのフラッシュに対応するアドレスユニットに記憶する。ハッシュ値が、復号を通して取得された第１のデータセグメントに対応するチェック値と異なる場合、第２の車載デバイスは、第１のデータセグメントが改ざんされた（すなわち、完全性検証に失敗した）とみなし、アップグレードファイルの書き込みを停止し、第１のデータセグメントが異常であることを示すアラームを、車両内にあり、かつ車両システムの故障診断及び保護を実施するように構成されている車載デバイス、たとえば、ＶＣＵに報告する。

たとえば、第１のアルゴリズムがＭＤ５アルゴリズムであり、復号を通して取得された第１のデータセグメントがデータ１であり、復号を通して取得された第１のデータセグメントに対応するチェック値がチェック１である場合、第２の車載デバイスは、第１のアルゴリズムの入力として、復号を通して取得された第１のデータセグメントを使用して、出力ハッシュ値ハッシュ１＝ＭＤ５（データ１）を取得し、ハッシュ１をチェック１と比較する。ハッシュ１とチェック１が同じである場合、完全性検証は成功する。ハッシュ１とチェック１が異なる場合、完全性検証は失敗する。

ステップＳ３０９：第１の車載デバイスは、第１のアルゴリズムの入力として、第２のデータセグメント及び第１のデータセグメントに対応するチェック値を使用して、第２のデータセグメントに対応する出力チェック値を取得する。

具体的には、第１のデータセグメントに対応するチェック値は、第１のアルゴリズムに従って第１のデータセグメントを処理することにより取得されたハッシュ値であり、第１のデータセグメントに対応するチェック値は、第１のデータセグメントを送信する処理において、第１の車載デバイスによって第２の車載デバイスに送信される。第１の車載デバイスは、第１のアルゴリズムの入力として第２のデータセグメント及び第１のデータセグメントに対応するチェック値を使用して、第２のデータセグメントに対応するチェック値を取得してもよい。

たとえば、第１のアルゴリズムがＭＤ５アルゴリズムであり、第１のデータセグメントがデータ１であり、第１のデータセグメントに対応するチェック値がチェック１＝ＭＤ５（データ１）であり、第２のデータセグメントがデータ２である場合、第１の車載デバイスは、第１のアルゴリズムの入力として、第２のデータセグメント及び第１のデータセグメントに対応するチェック値を使用して、第２のデータセグメントに対応するチェック値を取得し、チェック値は、チェック２＝ＭＤ５（データ２、チェック１）である。

ステップＳ３１０：第１の車載デバイスは、第１の鍵を使用することにより第２のデータセグメント及び第２のデータセグメントに対応するチェック値を暗号化して、第２の暗号化されたセグメントを取得する。

ステップＳ３１１：第１の車載デバイスは、第２の暗号化されたセグメントを第２の車載デバイスに送信する。

ステップＳ３１２：第２の車載デバイスは、第２の暗号化されたセグメントを受信する。

ステップＳ３１３：第２の車載デバイスは、第１の鍵を使用することにより第２の暗号化されたセグメントを復号して、第２のデータセグメント及び第２のデータセグメントに対応するチェック値を取得する。

ステップＳ３１４：第２の車載デバイスは、第１のアルゴリズムに従って、第２のデータセグメントに対応するチェック値の検証に成功したときに、第２のデータセグメントを第２の車載デバイスに記憶する。

具体的には、第１のアルゴリズムの入力として、復号を通して取得された第２のデータセグメント及び、第１のデータセグメントに対応し、第１のデータセグメントを送信するプロセスで復号を通して取得されたチェック値を使用して、出力ハッシュ値を取得し、ハッシュ値と、第２のデータセグメントに対応し、復号を通して取得されたチェック値とを比較する。ハッシュ値が第２のデータセグメントに対応し、復号を通して取得されたチェック値と同じであり、完全性検証に成功した場合、第２の車載デバイスは、復号を通して取得された第２のデータセグメントを、第２の車載デバイスのフラッシュに対応するアドレスユニットに記憶する。第２のデータセグメントに対応し、復号を通して取得されたチェック値と、ハッシュ値が異なり、完全性検証に失敗した場合、第２の車載デバイスは、アップグレードファイルの書き込みを停止し、第２のデータセグメントが異常であることを示すアラームを、車内にあり、かつ車両システムの故障診断及び保護を実施するために使用される車載デバイス、たとえば、ＶＣＵに報告する。

次に、第２の車載デバイスは、ステップＳ３０９～Ｓ３１４の方式で、第１のデータセグメント及び第２のデータセグメント以外のアップグレードファイル内のｎ－２個のデータセグメントを第２の車載デバイスに連続的に書き込む。全てのｎ個のデータセグメントを第２の車載デバイスに書き込んだ後、第２の車載デバイスは、ｎ個のデータセグメントを組み立てて、アップグレードファイルを取得し、アップグレードファイルに基づいてシステムをアップグレードしてもよい。

たとえば、ｎは３であり、言い換えると、アップグレードファイル（Ｆｉｌｅ）は、データ１、データ２、データ３の３つのデータセグメントを順番に含み、第１のアルゴリズムはＭＤ５アルゴリズムであり、第１のデータセグメントはデータ１であり、第２のデータセグメントはデータ２であり、第１のデータセグメントに対応するチェック値はチェック１であり、第２のデータセグメントに対応するチェック値はチェック２である。データ１及びデータ２の伝送処理は、図３Ａ及び図３Ｂに既に示されており、詳細は、ここでは再度説明しない。第３のデータセグメントがデータ３であり、第１の車載デバイスが第１のアルゴリズムの入力として第３のデータセグメントに対応するチェック値と第２のデータセグメントに対応するチェック値とを使用することにより、第３のデータセグメントに対応する出力チェック値を求め、チェック値が３＝ＭＤ５（データ３、チェック２）である場合、第１の鍵を使用することによりデータ３とチェック３を暗号化して第３の暗号化セグメントを求め、第３の暗号化セグメントを第２の車載デバイスに送信する。対応して、第２の車載デバイスは、第１の鍵を使用することにより第３の暗号化セグメントを受信及び復号し、第３のデータセグメントデータ３及び第３のデータセグメントに対応するチェック値チェック３を取得し、第１のアルゴリズムに従って、復号により取得された第３のデータセグメントに対応するハッシュ値を計算し、ハッシュ値は、ハッシュ値３＝ＭＤ５（データ３、チェック２）であり、ハッシュ値３及びチェック３を比較する。ハッシュ３とチェック３が同じであれば、完全性検証は成功する。ハッシュ３とチェック３が異なる場合、完全性検証は失敗する。３つのデータセグメントが全て第２の車載デバイスに書き込まれると、第２の車載デバイスは、データ１、データ２、及びデータ３を受信シーケンスで組み立て、アップグレードファイル（ファイル）を取得し、アップグレードファイル（ファイル）に基づいてシステムをアップグレードすることができる。

上述の方法では、アップグレードファイル内の複数のデータセグメントにおいて、第１のデータセグメント以外のデータセグメントに対応するチェック値は、前のデータセグメントに対応するチェック値に関連する。データセグメントのためのシーケンス検出メカニズムは、ハッシュチェーンを使用することにより実施されて、異常のあるセグメントが書き込みに成功することによるアップグレードファイル・アセンブリ中のエラー発生するのを回避し、ハッシュチェーンを用いた検証値を使用することにより、アップグレードファイルを悪意を持ってクラックすることの困難さを増加させる。追加的に、各データセグメントの機密性は、セキュリティプロトコル又はセキュリティアルゴリズムネゴシエーションによって取得された鍵の代わりに、事前に設定された事前共有鍵を使用することにより保証され、第１の車載デバイス及び第２の車載デバイスのリソース消費を効果的に低減できる。

図４Ａ及び図４Ｂは、本出願の一実施形態による、別の車載デバイスアップグレード方法の概略フローチャートである。本方法は、図１に示す車載デバイスアップグレードシステムに基づいて実施することができる。本方法は、以下のステップを含むが、これらに限定されない。

ステップＳ４０１：ＴＬＳプロトコルに従い、第１の車載デバイスと第２の車載デバイスとの間で双方向認証を行い、交渉により第１の鍵を取得する。

具体的には、第１の鍵は、第１の車載デバイスと第２の車載デバイスとの間のＴＬＳプロトコルネゴシエーションを通して取得される鍵である。ＴＬＳプロトコルによる双方向認証の原理は、図２Ａ及び図２Ｂに記載のＨＴＴＰＳによる双方向認証の原理と同じである。第１の車載デバイス及び第２の車載デバイスは、攻撃者が第１の車載デバイスを偽造して悪意のあるアップグレードファイルを配信したり、第２の車載デバイスを偽造してアップグレードファイルに含まれる重要情報を盗むことを防止するために、それぞれのデバイス証明書又はプリセット鍵を用いて、双方向のＩＤ認証を行うことができる。双方向認証がＴＬＳプロトコルに従って行われるとき、第１の車載デバイスと第２の車載デバイスは、第１のアルゴリズムのタイプや、暗号化と復号に使用される第１の鍵のような、伝送に使用されるパラメータをネゴシエーションすることができる。

ステップＳ４０２：第１の車載デバイスは、第１のアルゴリズムの入力として第１のデータセグメントを使用し、第１のデータセグメントに対応する出力チェック値を取得する。

ステップＳ４０３：第１の車載デバイスは、第１の鍵、第１のデータセグメント、及び第１のデータセグメントに対応するチェック値を使用することにより暗号化し、第１のデータセグメントに対応する暗号化されたセグメントを取得する。

ステップＳ４０４：第１の車載デバイスは、第１のデータセグメントに対応する暗号化されたセグメントを第２の車載デバイスに送信する。

ステップＳ４０５：第２の車載デバイスは、第１のデータセグメントに対応する暗号化されたセグメントを受信する。

ステップＳ４０６：第２の車載デバイスは、第１の鍵を使用することにより、第１のデータセグメントに対応する暗号化されたセグメントを復号し、第１のデータセグメントに対応する第１のデータセグメント及びチェック値を取得する。

ステップＳ４０７：第２の車載デバイスは、第１のアルゴリズムに従って、第１のデータセグメントに対応するチェック値を検証することに成功した場合、第１のデータセグメントを第２の車載デバイスに記憶する。

ステップＳ４０８：第１の車載デバイスは、第１のアルゴリズムの入力として、第２のデータセグメントと、第１のデータセグメントに対応するチェック値とを用いて、第２のデータセグメントに対応する出力チェック値を取得する。

ステップＳ４０９：第１の車載デバイスは、第１の鍵、第２のデータセグメント、及び第２のデータセグメントに対応するチェック値を使用することにより暗号化され、第２の暗号化されたセグメントを取得する。

ステップＳ４１０：第１の車載デバイスは、第２の暗号化されたセグメントを第２の車載デバイスに送信する。

ステップＳ４１１：第２の車載デバイスは、第２の暗号化セグメントを受信する。

ステップＳ４１２：第２の車載デバイスは、第１の鍵を使用することによって第２の暗号化されたセグメントを復号し、第２のデータセグメント及び第２のデータセグメントに対応するチェック値を取得する。

ステップＳ４１３：第２の車載デバイスは、第１のアルゴリズムに従って、第２のデータセグメントに対応するチェック値を検証することに成功した場合、第２のデータセグメントを第２の車載デバイスに記憶する。

具体的には、ステップＳ４０２～Ｓ４１３のアップグレードファイルをセグメント単位で書き込む処理は、図３Ａ及び図３ＢのステップＳ３０３～Ｓ３１４のアップグレードファイルをセグメント単位で書き込む処理と整合する。詳細は、ここでは再度説明しない。

前述の方法では、ＬＳプロトコルネゴシエーションを通して取得された鍵を使用することにより各データセグメントを暗号化することが、各データセグメントの機密性を保証できることが分かる。追加的に、異なる第２の車載デバイスに対して、第１の車載デバイスと第２の車載デバイスとの間で行われる異なる双方向認証プロセスが存在し、ネゴシエーションを通して取得される異なる第１の鍵、言い換えると、異なるアップグレードファイルが異なる暗号化鍵及び復号鍵に対応し、アップグレードファイル伝送プロセスのセキュリティを大幅に改善することができる。

図５は、本出願の一実施形態による別の車載デバイスアップグレード方法の概略フローチャートである。本方法は、図１に示す車載デバイスアップグレードシステムを使用することにより実施してもよい。本方法によれば、ＲＦＣ５２４６標準におけるＴＬＳプロトコルを、セグメントごとにアップグレードファイルを書き込むプロセスに適用してもよい。本方法は、以下のステップを含むが、これらに限定されない。

ステップＳ５０１：ＴＬＳプロトコルに従って、第１の車載デバイスと第２の車載デバイスとの間で双方向認証が行われる。

具体的には、ＲＦＣ５２４６標準におけるＴＬＳプロトコルは、ハンドシェイクフェーズ及び伝送フェーズを含む。ハンドシェイクフェーズ（すなわち、ＴＬＳプロトコルに従った双方向認証）では、ＴＬＳプロトコルに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証が行われて、アイデンティティ認証を実施し、後続の伝送フェーズで使用される完全性保護アルゴリズム（すなわち、第１のアルゴリズム）とアップグレードファイルの機密性を保証するために使用される第１の鍵がネゴシエーションされる。伝送フェーズでは、第１の車載デバイス及び第２の車載デバイスは、ＴＬＳプロトコルに従って各データセグメントを伝送するプロセスの機密性及び完全性を保護し、車載デバイスをアップグレードするプロセスのセキュリティを確保する。

ステップＳ５０２：第１の車載デバイス及び第２の車載デバイスは、第１のデータセグメントを送信するプロセスで、ＴＬＳプロトコルに従って暗号化及び完全性保護を行う。

具体的には、第２の車載デバイスをアップグレードするために使用されるアップグレードファイルは、複数のデータセグメントを含む。第１の車載デバイス及び第２の車載デバイスは、ＲＦＣ５２４６標準におけるＴＬＳプロトコルに従って、第２の車載デバイスをアップグレードするために使用されるアップグレードファイルに含まれる複数のデータセグメント（たとえば、ｎ個のデータセグメント）のうちの第１のデータセグメントの機密性及び完全性を保護してもよい。

具体的には、第１の車載デバイスは、ネゴシエーションされた第１の鍵を使用することにより第１のデータセグメントを暗号化して、第１のデータセグメントに対応する暗号化されたセグメントを取得し、ネゴシエーションされた第１のアルゴリズムに従って、第１のデータセグメントに対応するＭＡＣ、すなわち第１のデータセグメントに対応するチェック値を計算し、第２の車載デバイスに、第１のデータセグメントに対応する暗号化されたセグメント及び第１のデータセグメントに対応するＭＡＣを送信する。

これに対応して、第２の車載デバイスは、第１のデータセグメントに対応する暗号化されたセグメント及び第１のデータセグメントに対応するＭＡＣを受信し、ネゴシエーションされた第１の鍵を使用することにより第１のデータセグメントに対応する暗号化されたセグメントを復号して、第１のデータセグメントを取得し、ネゴシエーションされた第１のアルゴリズムに従って、復号を通して取得された第１のデータセグメントに対応するＭＡＣを計算し、次いで、計算を通して第２の車載デバイスが取得したＭＡＣと、第１のデータセグメントに対応する受信されたＭＡＣを比較する。第１のデータセグメントに対応する受信されたＭＡＣと計算を通して第２の車載デバイスが取得したＭＡＣが同一である場合、第２の車載デバイスは、第１のデータセグメントが改ざんされていない（言い換えれば、完全性確認に成功した）とみなし、復号を通して取得された第１のデータセグメントを、第２の車載デバイスのフラッシュに対応するアドレスユニットに記憶する。第１のデータセグメントに対応する受信されたＭＡＣと計算を通して第２の車載デバイスが取得したＭＡＣが異なる場合、第２の車載デバイスは、第１のデータセグメントが改ざんされた（言い換えれば、完全性検証に失敗した）とみなし、アップグレードファイルの書き込みを停止し、第１のデータセグメントが異常であることを示すアラームを、車内にあり、かつ車両システムの故障診断及び保護を実施するように構成されている車載デバイス、たとえば、ＶＣＵに報告する。

たとえば、第１のデータセグメントがデータ１であり、第１のアルゴリズムがＨＭＡＣアルゴリズムである場合、第１の車載デバイスは、第１のアルゴリズムに従った計算を通して、第１のデータセグメントデータ１に対応するＭＡＣ値を取得し、ＭＡＣは、チェック１＝ＨＭＡＣ（データ１）である。対応して、第２の車載デバイスは、第１のアルゴリズムに従って、復号を通して取得された第１のデータセグメントデータ１に対応するＭＡＣ値を計算し、ここで、ＭＡＣは、ｍａｃ１＝ＨＭＡＣ（データ１）であり、チェック１とｍａｃ１とを比較する。チェック１とｍａｃ１が同じであれば、完全性検証に成功する。チェック１とｍａｃ１が異なる場合、完全性検証は失敗する。

ステップＳ５０３：第１の車載デバイス及び第２の車載デバイスは、第２のデータセグメントを送信するプロセスで、ＴＬＳプロトコルに従って、暗号化及び完全性保護を行う。

具体的には、アップグレードファイル内のｎ個のデータセグメントのうちの第１のデータセグメント以外の各データセグメントを送信するプロセスで、ＴＬＳプロトコルに従って、暗号化及び完全性保護が継続して行われる。言い換えれば、アップグレードファイルのｎ個のデータセグメントのうちの第１のデータセグメント以外の各データセグメントは、ステップＳ５０２の方式で第２の車載デバイスに書き込まれる。ｎ個のデータセグメントが全て第２の車載デバイスに書き込まれた後、第２の車載デバイスは、ｎ個のデータセグメントを組み立てて、アップグレードファイルを取得し、アップグレードファイルに基づいてシステムをアップグレードしてもよい。

前述の方法では、各データセグメントの機密性と完全性は、ＲＦＣ５２４６標準におけるＴＬＳプロトコルに従って保護される。

本出願の本実施形態では、第２の車載デバイスをアップグレードするために使用されるアップグレードファイル内の複数のデータセグメントのうちの各データセグメントが、別々に暗号化及び送信されて、車内伝送プロセスの機密性を保証する。第１の車載デバイス及び第２の車載デバイスは、ハッシュチェーン又はＴＬＳプロトコルで一般的に使用される完全性保護アルゴリズムを使用することにより、各データセグメントの完全性を保護し、第１の車載デバイス及び第２の車載デバイスは、異常データセグメントを時間内に検出することができ、異常データセグメントを検出した後、タイムリーに新しいデータセグメントの送信の停止をトリガし、異常なデータがセグメントごとに第２の車載デバイスに書き込まれるため、第２の車載デバイスが異常に動作するか、又はリソースが浪費されるケースを回避する。

追加的に、アップグレードパッケージソースの有効性を保証するために、アップグレードファイルを提供するダウンロードサーバは、ＨＴＴＰＳプロトコルに従って第１の車載デバイスとの双方向認証を行うサーバである。ダウンロードサーバ及び第１の車載デバイスは、暗号化されたアップグレードファイルを送信する。第１の車載デバイスは、暗号化されたアップグレードファイルを記憶し、記憶中のアップグレードファイルの機密性を確保する。

以上、本出願の実施態様における方法を詳細に説明した。以下、本出願の実施形態における装置を提供する。

図６は、本出願の一実施形態による第１の車載デバイスの概略構造図である。第１の車載デバイス６００は、処理ユニット６０１、暗号化ユニット６０２、及び通信ユニット６０３を含んでもよい。ユニットの詳細な説明は以下のようである。

処理ユニット６０１は、第１のアルゴリズムに従って第１のデータセグメントを処理するように構成されている。第１のデータセグメントは、第２の車載デバイスをアップグレードするために使用されるアップグレードファイルに含まれる複数のデータセグメントのうちの任意のデータセグメントである。第１のチェック値は、第２の車載デバイスに送信される。

暗号化ユニット６０２は、第１の鍵を使用することにより第１のデータセグメントを暗号化して、第１の暗号化されたセグメントを取得するように構成されている。

通信ユニット６０３は、第１の暗号化されたセグメントを第２の車載デバイスに送信するように構成されており、第１のアルゴリズム従った第１のチェック値の検証に成功したときに、第２の車載デバイスは、第１の鍵を使用することにより第１の暗号化されたセグメントを復号することによって取得された第１のデータセグメントを第２の車載デバイスに記憶する。第１のデータセグメントは、アップグレードのためのアップグレードファイルを形成するために、第２の車載デバイスによって使用される。

第２の車載デバイスをアップグレードするために使用されるアップグレードファイル内の複数のデータセグメントのうちの各データセグメントが、別々に暗号化及び送信されて、車内伝送プロセスにおける各データセグメントを盗むリスクを効果的に低減し、車内伝送プロセスにおける各データセグメントの機密性を保証することが分かる。追加的に、受信端末（つまり、第２の車載デバイス）は、最後のデータセグメントの伝送が完了した後にのみアップグレードファイル全体を検証する代わりに、各データセグメントに対応するチェック値を検証する必要があり、受信端末が、改ざんされた異常データセグメントを時間内に検出することができ、異常データセグメントを検出した後に、新しいデータセグメントを停止することの停止を適時にトリガすることができるようにし、異常データセグメントが第２の車載デバイスに書き込まれたために、第２の車載デバイスが異常に動作するか、又はリソースが無駄になるケースを回避し、各データセグメントの完全性を確保し、アップグレードファイル伝送プロセスのセキュリティを効果的に改善する。

任意選択の解決策では、第１の車載デバイス６００は、ネゴシエーションユニット及び復号ユニットをさらに含む。

ネゴシエーションユニットは、処理ユニット６０１が第１のアルゴリズムに従って第１のデータセグメントを処理して、第１のチェック値を取得する前に、ＨＴＴＰＳネゴシエーションを通してダウンロードサーバとの双方向認証を実行するように構成されている。ダウンロードサーバは、第２の車載デバイスにアップグレードファイルを提供するように構成されている。

通信ユニット６０３は、ダウンロードサーバが送信した暗号化ファイルを受信するように構成されている。暗号化されたファイルは、アップグレードファイルを暗号化することによって取得される。

復号ユニットは、プリセットされたアップグレード条件が満たされたときに、暗号化されたファイルを復号して、アップグレードファイルを取得するように構成されている。

アップグレードファイルを提供するダウンロードサーバは、ＨＴＴＰＳプロトコルに従って第１の車載デバイスとの双方向認証を行うサーバであり、アップグレードファイルの送信元が有効であり、非認証プラットフォームが、不正なアップグレードファイルを第１の車載デバイスに配信することが防止され、攻撃者が、ダウンロードサーバからリリースされ、かつ重要情報を含むアップグレードファイルを上述の第１の車載デバイスから盗むことが防止されることが分かる。追加的に、暗号化されたアップグレードファイルがダウンロードサーバと第１の車載デバイスとの間で送信され、第１の車載デバイスが暗号化されたアップグレードファイルを記憶し、アップグレードファイルを盗むリスクを効果的に低減することができ、車外伝送プロセス及び記憶中のアップグレードファイルの機密性を保証することができ、アップグレードファイル伝送プロセスの安全性を効果的に改善することができるようにする。

別の任意選択の解決策では、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメントを使用することにより取得される出力データである。

代替的には、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメント以外のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメント及び第２のチェック値を使用することにより取得される出力データであり、第２のチェック値は、第１のアルゴリズムに従って第１のデータセグメントの前のデータセグメントを処理することにより取得される。

アップグレードファイル内の複数のデータセグメントにおいて、第１のデータセグメント以外のデータセグメントに対応するチェック値は、前のデータセグメントに対応するチェック値に関連することが分かる。データセグメントのためのシーケンス検出メカニズムは、ハッシュチェーンを使用することにより実施されて、異常のあるセグメントが書き込みに成功することによるアップグレードファイル・アセンブリ中のエラー発生するのを回避し、ハッシュチェーンを用いた検証値を使用することにより、アップグレードファイルを悪意を持ってクラックすることの困難さを増加させる。

別の任意選択の解決策では、第１の暗号化されたセグメントは、第１の鍵を使用することにより第１のデータセグメント及び第１のチェック値を暗号化することによって取得される。

第１のデータセグメントが暗号化される間、第１のチェック値がさらに暗号化され得ることが分かる。これは、アップグレードファイル伝送プロセスのセキュリティをさらに改善する。

別の任意選択の解決策では、第１の鍵は、第１の車載デバイスと第２の車載デバイスのために事前に設定された事前共有鍵である。

各データセグメントの機密性は、セキュリティプロトコル又はセキュリティアルゴリズムネゴシエーションによって取得された鍵の代わりに、事前に設定された事前共有鍵を使用することにより保証され、第１の車載デバイス及び第２の車載デバイスのリソース消費を効果的に低減できることが分かる。

別の任意選択の解決策では、第１の鍵は、ＴＬＳプロトコルに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

ＴＬＳプロトコルネゴシエーションを通して取得された鍵を使用することにより各データセグメントを暗号化することが、各データセグメントの機密性を保証できることが分かる。追加的に、異なる第２の車載デバイスに対して、第１の車載デバイスと第２の車載デバイスとの間で行われる異なる双方向認証プロセスが存在し、ネゴシエーションを通して取得される異なる第１の鍵、言い換えると、異なるアップグレードファイルが異なる暗号化鍵及び復号鍵に対応し、アップグレードファイル伝送プロセスのセキュリティを大幅に改善することができる。

別の任意選択の解決策では、第１の鍵は、ＴＬＳプロトコルに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

第１のチェック値は、ＴＬＳプロトコルと第１のアルゴリズムに従って第１のデータセグメントを処理することにより取得される、第１のデータセグメントのメッセージ認証コードである。

各データセグメントの機密性と完全性は、アップグレードファイル伝送プロセスのセキュリティを保証するために、ＴＬＳプロトコルに従って保護されることが分かる。

各動作の実施については、図２Ａ、図２Ｂ、図３Ａ、図３Ｂ、図４Ａ、図４Ｂ、及び図５に示す方法の実施形態の対応する説明を参照することに留意されたい。第１の車載デバイス６００は、図２Ａ、図２Ｂ、図３Ａ、図３Ｂ、図４Ａ、図４Ｂ、及び図５に示す方法の実施形態における第１の車載デバイスである。

図７は、本出願の一実施形態による第２の車載デバイスの概略構造図である。第２の車載デバイス７００は、通信ユニット７０１、復号ユニット７０２、検証ユニット７０３、及びアップグレードユニット７０４を含んでもよい。ユニットの詳細は以下のようである。

通信ユニット７０１は、第１の車載デバイスが送信した第１の暗号化セグメントを受信するように構成されており、第１の暗号化セグメントは、第１の鍵を使用することにより第１のデータセグメントを暗号化することにより取得され、第１のデータセグメントは、第２の車載デバイスをアップグレードするために使用されるアップグレードファイルに含まれる複数のデータセグメントのうちの任意のデータセグメントである。

復号ユニット７０２は、第１の鍵を使用することにより第１の暗号化されたセグメントを復号して、第１のデータセグメントを取得するように構成されている。

検証ユニット７０３は、第１のアルゴリズムに従った第１のチェック値の検証に成功したときに、第１のデータセグメントを第２の車載デバイスに記憶するように構成されており、第１のチェック値は、第１のアルゴリズムに従って第１のデータセグメントを処理することにより第１の車載デバイスによって取得され、第１のチェック値は、第１の車載デバイスから第２の車載デバイスによって受信される。

アップグレードユニット７０４は、アップグレードのための第１のデータセグメントに基づいてアップグレードファイルを形成するように構成されている。

任意選択の解決策では、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメントを使用することにより取得される出力データである。

代替的には、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメント以外のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメント及び第２のチェック値を使用することにより取得される出力データであり、第２のチェック値は、第１のアルゴリズムに従って第１のデータセグメントの前のデータセグメントを処理することにより取得される。

別の任意選択の解決策では、第１の暗号化されたセグメントは、第１の鍵を使用することにより第１のデータセグメント及び第１のチェック値を暗号化することによって取得される。

別の任意選択の解決策では、第１の鍵は、第１の車載デバイスと第２の車載デバイスのために事前に設定された事前共有鍵である。

別の任意選択の解決策では、第１の鍵は、ＴＬＳプロトコルに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

別の任意選択の解決策では、第１の鍵は、ＴＬＳプロトコルに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

第１のチェック値は、ＴＬＳプロトコルと第１のアルゴリズムに従って第１のデータセグメントを処理することにより取得される、第１のデータセグメントのメッセージ認証コードである。

各動作の実施については、図２Ａ、図２Ｂ、図３Ａ、図３Ｂ、図４Ａ、図４Ｂ、及び図５に示す方法における実施形態の対応する説明を参照することに留意されたい。第２の車載デバイス７００は、図２Ａ、図２Ｂ、図３Ａ、図３Ｂ、図４Ａ、図４Ｂ、及び図５に示す方法における実施形態における第２の車載デバイスである。

図８は、本出願の一実施形態による、さらに別の第１の車載デバイスの概略構造図である。第１の車載デバイス８００は、プロセッサ８０１、メモリ８０２、及びトランシーバ８０３を含んでもよい。プロセッサ８０１、メモリ８０２、及びトランシーバ８０３は、バスを使用することにより互いに接続される。

メモリ８０２は、ランダムアクセスメモリ（ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ、ＲＡＭ）、リードオンリーメモリ（ｒｅａｄ－ｏｎｌｙ ｍｅｍｏｒｙ、ＲＯＭ）、消去可能プログラマブルリードオンリーメモリ（ｅｒａｓａｂｌｅ ｐｒｏｇｒａｍｍａｂｌｅ ｒｅａｄ ｏｎｌｙ ｍｅｍｏｒｙ、ＥＰＲＯＭ）、又はコンパクトディスクリードオンリーメモリ（ｃｏｍｐａｃｔ ｄｉｓｃ ｒｅａｄ－ｏｎｌｙ ｍｅｍｏｒｙ、ＣＤ－ＲＯＭ）を含むが、これらに限定されない。メモリ８０２は、関連するコンピュータプログラム及びデータを記憶するように構成されている。トランシーバ８０３は、データを送信及び受信するように構成されている。

プロセッサ８０１は、１つ以上の中央処理装置（ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ、ＣＰＵ）であってもよい。プロセッサ８０１が１つのＣＰＵを含むときに、ＣＰＵは、シングルコアＣＰＵであってもよいし、マルチコアＣＰＵであってもよい。

第１の車載デバイス８００内のプロセッサ８０１は、メモリ８０２に記憶されたコンピュータプログラムコードを読み出して、
第１のアルゴリズムに従って第１のデータセグメントを処理して、第１のチェック値を取得することであって、第１のデータセグメントは、第２の車載デバイスをアップグレードするために使用されるアップグレードファイルに含まれる複数のデータセグメントのうちの任意のデータセグメントであり、第１のチェック値は、第２の車載デバイスに送信される、ことと、
第１の鍵を使用することにより第１のデータセグメントを暗号化して、第１の暗号化されたセグメントを取得することと、
第１の暗号化されたセグメントを第２の車載デバイスに送信するようにトランシーバを制御することであって、第２の車載デバイスが、第１のアルゴリズムに従って第１のチェック値の検証に成功したときに、第１の鍵を使用することにより第１の暗号化されたセグメントを復号することによって取得された第１のデータセグメントを第２の車載デバイスに記憶するようにし、第１のデータセグメントは、アップグレードのためのアップグレードファイルを形成するために第２の車載デバイスによって使用される、ことと、を行う動作を行うように構成されている。

任意選択の解決策では、プロセッサ８０１は、第１のアルゴリズムに従って第１のデータセグメントを処理して、第１のチェック値を取得することの前に、ＨＴＴＰＳに従ってダウンロードサーバと双方向認証を行うことであって、ダウンロードサーバは、第２の車載デバイスにアップグレードファイルを提供するように構成されている、ことと、ダウンロードサーバが送信した暗号化されたファイルを受信するようにトランシーバ８０３を制御することであって、暗号化されたファイルは、アップグレードファイルを暗号化することにより取得される、ことと、プリセットされたアップグレード条件が満たされたときに、暗号化されたファイルを復号して、アップグレードファイルを取得することと、を行うようにさらに構成されている。

任意選択の解決策では、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメントを使用することにより取得される出力データである。

代替的には、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメント以外のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメント及び第２のチェック値を使用することにより取得される出力データであり、第２のチェック値は、第１のアルゴリズムに従って第１のデータセグメントの前のデータセグメントを処理することにより取得される。

別の任意選択の解決策では、第１の暗号化されたセグメントは、第１の鍵を使用することにより第１のデータセグメント及び第１のチェック値を暗号化することによって取得される。

別の任意選択の解決策では、第１の鍵は、第１の車載デバイスと第２の車載デバイスのために事前に設定された事前共有鍵である。

別の任意選択の解決策では、第１の鍵は、ＴＬＳプロトコルに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

別の任意選択の解決策では、第１の鍵は、ＴＬＳプロトコルに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

第１のチェック値は、ＴＬＳプロトコルと第１のアルゴリズムに従って第１のデータセグメントを処理することにより取得される、第１のデータセグメントのメッセージ認証コードである。

各動作の実施については、図２Ａ、図２Ｂ、図３Ａ、図３Ｂ、図４Ａ、図４Ｂ、及び図５に示す方法の実施形態の対応する説明を参照することに留意されたい。第１の車載デバイス８００は、図２Ａ、図２Ｂ、図３Ａ、図３Ｂ、図４Ａ、図４Ｂ及び図５に示す方法の実施形態における第１の車載デバイスである。

図９は、本出願の一実施形態による、さらに別の車載デバイスの概略構造図である。第２の車載デバイス９００は、プロセッサ９０１、メモリ９０２、及びトランシーバ９０３を含んでもよい。プロセッサ９０１、メモリ９０２、及びトランシーバ９０３は、バスを使用することにより互いに接続される。

メモリ８０２は、ランダムアクセスメモリ（ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ、ＲＡＭ）、リードオンリーメモリ（ｒｅａｄ－ｏｎｌｙ ｍｅｍｏｒｙ、ＲＯＭ）、消去可能プログラマブルリードオンリーメモリ（ｅｒａｓａｂｌｅ ｐｒｏｇｒａｍｍａｂｌｅ ｒｅａｄ ｏｎｌｙ ｍｅｍｏｒｙ、ＥＰＲＯＭ）、又はコンパクトディスクリードオンリーメモリ（ｃｏｍｐａｃｔ ｄｉｓｃ ｒｅａｄ－ｏｎｌｙ ｍｅｍｏｒｙ、ＣＤ－ＲＯＭ）を含むが、これらに限定されない。メモリ９０２は、関連するコンピュータプログラム及びデータを記憶するように構成されている。トランシーバ９０３は、データを送信及び受信するように構成されている。

プロセッサ９０１は、１つ以上の中央処理装置（ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ、ＣＰＵ）であってもよい。プロセッサ９０１が１つのＣＰＵである場合、ＣＰＵは、シングルコアＣＰＵであってもよいし、マルチコアＣＰＵであってもよい。

第２の車載デバイス９００におけるプロセッサ９０１は、メモリ９０２に記憶されたコンピュータプログラムコードを読み出して、
第１の車載デバイスによって送信された第１の暗号化されたセグメントを受信するようにトランシーバ９０３を制御することであって、第１の暗号化されたセグメントは、第１の鍵を使用することにより第１のデータセグメントを暗号化することにより取得され、第１のデータセグメントは、第２の車載デバイスをアップグレードするために使用されるアップグレードファイルに含まれる複数のデータセグメントのうちの任意のデータセグメントである、ことと、
第１の鍵を使用することにより第１の暗号化されたセグメントを復号して、第１のデータセグメントを取得することと、
第１のアルゴリズムに従った第１のチェック値の検証に成功したときに、第１のデータセグメントを第２の車載デバイスに記憶することであって、第１のチェック値は、第１のアルゴリズムに従って第１のデータセグメントを処理することにより第１の車載デバイスにより取得され、第１のチェック値は、第１の車載デバイスから第２の車載デバイスによって受信される、ことと、
アップグレードのための第１のデータセグメントに基づいてアップグレードファイルを形成することと、を行う動作を行うように構成されている。

任意選択の解決策では、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメントを使用することにより取得される出力データである。

代替的には、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの第１のデータセグメント以外のデータセグメントである場合、第１のチェック値は、第１のアルゴリズムの入力として第１のデータセグメント及び第２のチェック値を使用することにより取得される出力データであり、第２のチェック値は、第１のアルゴリズムに従って第１のデータセグメントの前のデータセグメントを処理することにより取得される。

別の任意選択の解決策では、第１の暗号化されたセグメントは、第１の鍵を使用することにより第１のデータセグメント及び第１のチェック値を暗号化することによって取得される。

別の任意選択の解決策では、第１の鍵は、第１の車載デバイスと第２の車載デバイスのために事前に設定された事前共有鍵である。

別の任意選択の解決策では、第１の鍵は、ＴＬＳプロトコルに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

別の任意選択の解決策では、第１の鍵は、ＴＬＳプロトコルに従って第１の車載デバイスと第２の車載デバイスとの間で双方向認証ネゴシエーションを行うことによって取得される鍵である。

第１のチェック値は、ＴＬＳプロトコルと第１のアルゴリズムに従って第１のデータセグメントを処理することにより取得される、第１のデータセグメントのメッセージ認証コードである。

各動作の実施については、図２Ａ、図２Ｂ、図３Ａ、図３Ｂ、図４Ａ、図４Ｂ、及び図５に示す方法の実施形態の対応する説明を参照することに留意されたい。第２の車載デバイス９００は、図２Ａ、図２Ｂ、図３Ａ、図３Ｂ、図４Ａ、図４Ｂ、及び図５に示す方法の実施形態における第２の車載デバイスである。

本出願の一実施形態は、チップシステムをさらに提供する。チップシステムは、少なくとも１つのプロセッサ、メモリ、及びインターフェース回路を含む。メモリ、トランシーバ、及び少なくとも１つのプロセッサは、ラインを使用することにより相互接続され、少なくとも１つのメモリは、コンピュータプログラムを記憶する。コンピュータプログラムがプロセッサによって実行されるときに、図２Ａ、図２Ｂ、図３Ａ、図３Ｂ、図４Ａ、図４Ｂ、若しくは図５に示す実施形態における第１の車載デバイスが行う動作が実施されるか、又は図２Ａ、図２Ｂ、図３Ａ、図３Ｂ、図４Ａ、図４Ｂ、又は図５に示す実施形態における第２の車載デバイスが行う動作が実施される。

本出願の一実施形態は、コンピュータ可読記憶媒体をさらに提供する。コンピュータ可読記憶媒体は、コンピュータプログラムを記憶する。コンピュータプログラムがプロセッサ上で動作するときに、図２Ａ、図２Ｂ、図３Ａ、図３Ｂ、図４Ａ、図４Ｂ、又は図５に示す実施形態における第１の車載デバイスが行う動作が実施されるか、又は図２Ａ、図２Ｂ、図３Ａ、図３Ｂ、図４Ａ、図４Ｂ、又は図５に示す実施形態における第２の車載デバイスが行う動作が実施される。

本出願の一実施形態は、コンピュータプログラム製品をさらに提供する。コンピュータプログラム製品がプロセッサ上で動作するときに、図２Ａ、図２Ｂ、図３Ａ、図３Ｂ、図４Ａ、図４Ｂ、又は図５に示す実施形態における第１の車載デバイスが行う動作が実施されるか、又は図２Ａ、図２Ｂ、図３Ａ、図３Ｂ、図４Ａ、図４Ｂ、又は図５に示す実施形態における第２の車載デバイスが行う動作が実施される。

当業者であれば、実施形態における方法のプロセスの全部又は一部は、関連するハードウェアに命令するコンピュータプログラムによって実施されてもよいことを理解するであろう。コンピュータプログラムは、コンピュータ可読記憶媒体に記憶されてもよい。コンピュータプログラムが動作するときに、実施形態における方法のプロセスが行われる。前述の記憶媒体は、コンピュータプログラムコードを記憶することができる任意の媒体を含み、ＲＯＭ若しくはランダムアクセスメモリ（略してＲＡＭ）、磁気ディスク又は光ディスクなどである。

Claims (10)

1. 車載デバイス更新方法であって、
   第１の車載デバイスによって、第１のアルゴリズムに従って第１のデータセグメントを処理して、第１のチェック値を取得することであって、前記第１のデータセグメントは、第２の車載デバイスをアップグレードするために使用されるアップグレードファイルに含まれる複数のデータセグメントのうちの任意のデータセグメントであり、前記第１のチェック値は、前記第２の車載デバイスに送信され、
   前記第１のチェック値は、ハッシュ値であり、
   前記第１のデータセグメントが前記アップグレードファイル内の前記複数のデータセグメントのうちの最初のデータセグメントである場合、前記第１のチェック値は、前記第１のアルゴリズムの入力として前記第１のデータセグメントを使用することにより取得される出力データであり、
   前記第１のデータセグメントが前記アップグレードファイル内の前記複数のデータセグメントのうちの最初のデータセグメント以外のデータセグメントである場合、前記第１のチェック値は、前記第１のアルゴリズムの入力として前記第１のデータセグメント及び第２のチェック値を使用することにより取得される出力データであり、前記第２のチェック値は、前記第１のアルゴリズムに従って前記第１のデータセグメントの前のデータセグメントを処理することにより取得される、ことと、
   第１の鍵を使用することにより、前記第１のデータセグメントが前記アップグレードファイル内の前記複数のデータセグメントのうちの最初のデータセグメントである場合、前記第１のデータセグメントと前記第１のチェック値の両方を暗号化し、前記第１のデータセグメントが前記アップグレードファイル内の前記複数のデータセグメントのうちの最初のデータセグメント以外のデータセグメントである場合、前記第１のデータセグメントと前記第１のチェック値の両方を暗号化して、第１の暗号化されたセグメントを取得することと、
   前記第１の暗号化されたセグメントを前記第２の車載デバイスに送信して、前記第２の車載デバイスが、前記第１のアルゴリズムに従って前記第１のチェック値の検証に成功したときに、前記第１の鍵を使用することにより前記第１の暗号化されたセグメントを復号することによって取得された前記第１のデータセグメントを前記第２の車載デバイスに記憶するようにすることであって、前記第１のデータセグメントは、アップグレードのための前記アップグレードファイルを形成するために前記第２の車載デバイスによって使用される、ことと、を含む、方法。
2. 第１の車載デバイスによって、前記第１のアルゴリズムに従って第１のデータセグメントを処理して、第１のチェック値を取得する前に、
   ハイパーテキスト・トランスファー・プロトコル・オーバ・セキュア・ソケット・レイヤ（ＨＴＴＰＳ）に従って前記第１の車載デバイスとダウンロードサーバとの間の双方向認証を行うことであって、前記ダウンロードサーバは、前記第２の車載デバイスに前記アップグレードファイルを提供するように構成されている、ことと、
   前記ダウンロードサーバが送信した暗号化されたファイルを受信することであって、前記暗号化されたファイルは、前記アップグレードファイルを暗号化することにより取得される、ことと、
   プリセットされたアップグレード条件が満たされたときに、前記暗号化されたファイルを復号して、前記アップグレードファイルを取得することと、をさらに含む、請求項１に記載の方法。
3. 車載デバイスのアップデート方法であって、
   第２の車載デバイスによって、第１の車載デバイスによって送信された第１の暗号化されたセグメントを受信することであって、前記第１の暗号化されたセグメントは、第１の鍵を使用することにより、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの最初のデータセグメントである場合、第１のデータセグメントと第１のチェック値の両方を暗号化し、前記第１のデータセグメントが前記アップグレードファイル内の前記複数のデータセグメントのうちの最初のデータセグメント以外のデータセグメントである場合、前記第１のデータセグメントと前記第１のチェック値の両方を暗号化することにより取得され、前記第１のデータセグメントは、前記第２の車載デバイスをアップグレードするために使用される前記アップグレードファイルに含まれる前記複数のデータセグメントのうちの任意のデータセグメントであり、
   前記第１のチェック値は、ハッシュ値であり、
   前記第１のデータセグメントが前記アップグレードファイル内の前記複数のデータセグメントのうちの最初のデータセグメントである場合、前記第１のチェック値は、第１のアルゴリズムの入力として前記第１のデータセグメントを使用することにより取得される出力データであり、
   前記第１のデータセグメントが前記アップグレードファイル内の前記複数のデータセグメントのうちの最初のデータセグメント以外のデータセグメントである場合、前記第１のチェック値は、前記第１のアルゴリズムの入力として前記第１のデータセグメント及び第２のチェック値を使用することにより取得される出力データであり、前記第２のチェック値は、前記第１のアルゴリズムに従って前記第１のデータセグメントの前のデータセグメントを処理することにより取得される、ことと、
   前記第１の鍵を使用することにより前記第１の暗号化されたセグメントを復号して、前記第１のデータセグメントを取得することと、
   前記第１のアルゴリズムに従った前記第１のチェック値の検証に成功したときに、前記第１のデータセグメントを前記第２の車載デバイスに記憶することであって、前記第１のチェック値は、前記第１のアルゴリズムに従って第１のデータセグメントを処理することにより前記第１の車載デバイスにより取得され、前記第１のチェック値は、前記第１の車載デバイスから前記第２の車載デバイスによって受信される、ことと、
   アップグレードのための前記第１のデータセグメントに基づいて、前記アップグレードファイルを形成することと、を含む、方法。
4. 車両に適用される車載デバイスアップグレード方法であって、前記車両は、第１の車載デバイス及び第２の車載デバイスを含み、
   第１の車載デバイスによって、第１のアルゴリズムに従って第１のデータセグメントを処理して、第１のチェック値を取得することであって、前記第１のデータセグメントは、第２の車載デバイスをアップグレードするために使用されるアップグレードファイルに含まれる複数のデータセグメントのうちの任意のデータセグメントであり、前記第１のチェック値は、前記第２の車載デバイスに送信され、
   前記第１のチェック値は、ハッシュ値であり、
   前記第１のデータセグメントが前記アップグレードファイル内の前記複数のデータセグメントのうちの最初のデータセグメントである場合、前記第１のチェック値は、前記第１のアルゴリズムの入力として前記第１のデータセグメントを使用することにより取得される出力データであり、
   前記第１のデータセグメントが前記アップグレードファイル内の前記複数のデータセグメントのうちの最初のデータセグメント以外のデータセグメントである場合、前記第１のチェック値は、前記第１のアルゴリズムの入力として前記第１のデータセグメント及び第２のチェック値を使用することにより取得される出力データであり、前記第２のチェック値は、前記第１のアルゴリズムに従って前記第１のデータセグメントの前のデータセグメントを処理することにより取得される、ことと、
   前記第１の車載デバイスによって、第１の鍵を使用することにより、前記第１のデータセグメントが前記アップグレードファイル内の前記複数のデータセグメントのうちの最初のデータセグメントである場合、前記第１のデータセグメントと前記第１のチェック値の両方を暗号化し、前記第１のデータセグメントが前記アップグレードファイル内の前記複数のデータセグメントのうちの最初のデータセグメント以外のデータセグメントである場合、前記第１のデータセグメントと前記第１のチェック値の両方を暗号化して、第１の暗号化されたセグメントを取得することと、
   前記第１の車載デバイスによって、前記第１の暗号化されたセグメントを前記第２の車載デバイスに送信することと、
   前記第２の車載デバイスによって、前記第１の車載デバイスによって送信された前記第１の暗号化されたセグメントを受信することと、
   前記第２の車載デバイスによって、前記第１の鍵を使用することにより前記第１の暗号化されたセグメントを復号して、前記第１のデータセグメントを取得することと、
   前記第２の車載デバイスによって、前記第１のアルゴリズムに従った前記第１のチェック値の検証に成功したときに、前記第１のデータセグメントを前記第２の車載デバイスに記憶することと、
   前記第２の車載デバイスによって、アップグレードのための前記第１のデータセグメントに基づいて、前記アップグレードファイルを形成することと、を含む、方法。
5. 第１の車載デバイスであって、前記第１の車載デバイスは、トランシーバ、プロセッサ、及びメモリを含み、前記メモリは、コンピュータプログラムを記憶するように構成されており、前記プロセッサは、前記コンピュータプログラムを呼び出して、
   第１のアルゴリズムに従って第１のデータセグメントを処理して、第１のチェック値を取得することであって、前記第１のデータセグメントは、第２の車載デバイスをアップグレードするために使用されるアップグレードファイルに含まれる複数のデータセグメントのうちの任意のデータセグメントであり、前記第１のチェック値は、前記第２の車載デバイスに送信され、
   前記第１のチェック値は、ハッシュ値であり、
   前記第１のデータセグメントが前記アップグレードファイル内の前記複数のデータセグメントのうちの最初のデータセグメントである場合、前記第１のチェック値は、前記第１のアルゴリズムの入力として前記第１のデータセグメントを使用することにより取得される出力データであり、
   前記第１のデータセグメントが前記アップグレードファイル内の前記複数のデータセグメントのうちの最初のデータセグメント以外のデータセグメントである場合、前記第１のチェック値は、前記第１のアルゴリズムの入力として前記第１のデータセグメント及び第２のチェック値を使用することにより取得される出力データであり、前記第２のチェック値は、前記第１のアルゴリズムに従って前記第１のデータセグメントの前のデータセグメントを処理することにより取得される、ことと、
   第１の鍵を使用することにより、前記第１のデータセグメントが前記アップグレードファイル内の前記複数のデータセグメントのうちの最初のデータセグメントである場合、前記第１のデータセグメントと前記第１のチェック値の両方を暗号化し、前記第１のデータセグメントが前記アップグレードファイル内の前記複数のデータセグメントのうちの最初のデータセグメント以外のデータセグメントである場合、前記第１のデータセグメントと前記第１のチェック値の両方を暗号化して、第１の暗号化されたセグメントを取得することと、
   前記第１の暗号化されたセグメントを前記第２の車載デバイスに送信するように前記トランシーバを制御することであって、前記第２の車載デバイスが、前記第１のアルゴリズムに従って前記第１のチェック値の検証に成功したときに、前記第１の鍵を使用することにより前記第１の暗号化されたセグメントを復号することによって取得された前記第１のデータセグメントを前記第２の車載デバイスに記憶するようにし、前記第１のデータセグメントは、アップグレードのための前記アップグレードファイルを形成するために前記第２の車載デバイスによって使用される、ことと、を行う動作を行う、第１の車載デバイス。
6. 前記プロセッサは、前記第１のアルゴリズムに従って第１のデータセグメントを処理して、第１のチェック値を取得することの前に、
   ハイパーテキスト・トランスファー・プロトコル・オーバ・セキュア・ソケット・レイヤ（ＨＴＴＰＳ）に従ってダウンロードサーバと双方向認証を行うことであって、前記ダウンロードサーバは、前記第２の車載デバイスに前記アップグレードファイルを提供するように構成されている、ことと、
   前記ダウンロードサーバが送信した暗号化されたファイルを受信するように前記トランシーバを制御することであって、前記暗号化されたファイルは、前記アップグレードファイルを暗号化することにより取得される、ことと、
   プリセットされたアップグレード条件が満たされたときに、前記暗号化されたファイルを復号して、前記アップグレードファイルを取得することと、を行うようにさらに構成されている、請求項５に記載の第１の車載デバイス。
7. 第２の車載デバイスであって、前記第２の車載デバイスは、トランシーバ、プロセッサ、及びメモリを含み、前記メモリは、コンピュータプログラムを記憶するように構成されており、前記プロセッサは、前記コンピュータプログラムを呼び出して、
   第１の車載デバイスによって送信された第１の暗号化されたセグメントを受信するように前記トランシーバを制御することであって、前記第１の暗号化されたセグメントは、第１の鍵を使用することにより、第１のデータセグメントがアップグレードファイル内の複数のデータセグメントのうちの最初のデータセグメントである場合、第１のデータセグメントと第１のチェック値の両方を暗号化し、前記第１のデータセグメントが前記アップグレードファイル内の前記複数のデータセグメントのうちの最初のデータセグメント以外のデータセグメントである場合、前記第１のデータセグメントと前記第１のチェック値の両方を暗号化することにより取得され、前記第１のデータセグメントは、前記第２の車載デバイスをアップグレードするために使用される前記アップグレードファイルに含まれる前記複数のデータセグメントのうちの任意のデータセグメントであり、
   前記第１のチェック値は、ハッシュ値であり、
   前記第１のデータセグメントが前記アップグレードファイル内の前記複数のデータセグメントのうちの最初のデータセグメントである場合、前記第１のチェック値は、第１のアルゴリズムの入力として前記第１のデータセグメントを使用することにより取得される出力データであり、
   前記第１のデータセグメントが前記アップグレードファイル内の前記複数のデータセグメントのうちの最初のデータセグメント以外のデータセグメントである場合、前記第１のチェック値は、前記第１のアルゴリズムの入力として前記第１のデータセグメント及び第２のチェック値を使用することにより取得される出力データであり、前記第２のチェック値は、前記第１のアルゴリズムに従って前記第１のデータセグメントの前のデータセグメントを処理することにより取得される、ことと、
   前記第１の鍵を使用することにより前記第１の暗号化されたセグメントを復号して、前記第１のデータセグメントを取得することと、
   前記第１のアルゴリズムに従った前記第１のチェック値の検証に成功したときに、前記第１のデータセグメントを前記第２の車載デバイスに記憶することであって、前記第１のチェック値は、前記第１のアルゴリズムに従って第１のデータセグメントを処理することにより前記第１の車載デバイスにより取得され、前記第１のチェック値は、前記第１の車載デバイスから前記第２の車載デバイスによって受信される、ことと、
   アップグレードのための前記第１のデータセグメントに基づいて、前記アップグレードファイルを形成することと、を行う動作を行う、第２の車載デバイス。
8. 第１の車載デバイス及び第２の車載デバイスを含み、
   前記第１の車載デバイスは、請求項５又は６に記載の第１の車載デバイスであり、
   前記第２の車載デバイスは、請求項７に記載の第２の車載デバイスである、車両。
9. コンピュータ記憶媒体であって、前記コンピュータ記憶媒体は、コンピュータプログラムを記憶し、前記コンピュータプログラムがプロセッサによって行われるときに、請求項１～４のいずれか一項に記載の方法が実施される、コンピュータ記憶媒体。
10. コンピュータに請求項１～４のいずれか一項に記載の方法を実行させるプログラム。
    

Images