JP7491362B2

JP7491362B2 - セキュリティシステム、車両、セキュリティ装置および正当性判断方法

Info

Publication number: JP7491362B2
Application number: JP2022501620A
Authority: JP
Inventors: 孝典三好; 勇夫加藤; 聡櫻澤; 洋一畑; 巧朝夷名; 芳一礒山
Original assignee: Sumitomo Electric Industries Ltd
Current assignee: Sumitomo Electric Industries Ltd
Priority date: 2020-02-18
Filing date: 2020-10-16
Publication date: 2024-05-28
Anticipated expiration: 2040-10-16
Also published as: US20230046939A1; WO2021166321A1; CN115004642A; JPWO2021166321A1; DE112020006751T5

Description

本開示は、セキュリティシステム、車両、セキュリティ装置および正当性判断方法に関する。
この出願は、２０２０年２月１８日に出願された日本出願特願２０２０－２５００９号を基礎とする優先権を主張し、その開示のすべてをここに取り込む。

特許文献１（特開２００３－１９１８０４号公報）には、以下のような車両用通信システムが開示されている。すなわち、車両用通信システムは、車両に搭載された複数の電気的装置に、車両に配線された通信線を介してデータ通信を行う通信手段を設けて、各電気的装置間でデータを送受信できるようにした車両用通信システムであって、前記各電気的装置に、夫々、異なる通信線を使って同一データを通信するための複数の通信手段と、該複数の通信手段を用いた通信によって得られる複数の受信データの中から正常な受信データを選択する選択手段と、を設け、前記複数の通信手段の一つを、他の通信手段よりも遅い通信速度でデータ通信を行う低速通信手段とすることにより、該低速通信手段によるデータ通信の信頼性を他の通信手段よりも高くする。

特開２００３－１９１８０４号公報

本開示のセキュリティシステムは、情報送信装置と、対象機器を接続可能なセキュリティ装置とを備え、前記情報送信装置および前記セキュリティ装置は、ネットワークを介して互いに接続されており、前記情報送信装置は、参照用識別情報を生成するために用いる生成情報を前記セキュリティ装置へ送信し、前記セキュリティ装置は、前記ネットワークを介して前記情報送信装置から受信した前記生成情報を用いて前記参照用識別情報を生成し、前記セキュリティ装置は、自己に接続された前記対象機器の識別情報を取得し、前記セキュリティ装置は、取得した前記識別情報と、生成した前記参照用識別情報とを比較し、比較結果に基づいて、自己に接続された前記対象機器の正当性を判断する。

本開示のセキュリティ装置は、対象機器を接続可能なセキュリティ装置であって、ネットワークを介して前記セキュリティ装置に接続される情報送信装置から生成情報を受信する受信部と、前記受信部によって受信された前記生成情報を用いて参照用識別情報を生成する生成部と、前記セキュリティ装置に接続された前記対象機器の識別情報を取得する取得部と、前記生成部によって生成された前記参照用識別情報と、前記取得部よって取得された前記識別情報とを比較し、比較結果に基づいて、前記セキュリティ装置に接続された前記対象機器の正当性を判断する判断部とを備える。

本開示の正当性判断方法は、情報送信装置と、対象機器を接続可能なセキュリティ装置とを備えるセキュリティシステムにおける正当性判断方法であって、前記情報送信装置および前記セキュリティ装置は、ネットワークを介して互いに接続されており、前記情報送信装置が、参照用識別情報を生成するために用いる生成情報を前記セキュリティ装置へ送信するステップと、前記セキュリティ装置が、前記ネットワークを介して前記情報送信装置から受信した前記生成情報を用いて前記参照用識別情報を生成するステップと、前記セキュリティ装置が、自己に接続された前記対象機器の識別情報を取得するステップと、前記セキュリティ装置が、取得した前記識別情報と、生成した前記参照用識別情報とを比較し、比較結果に基づいて、自己に接続された前記対象機器の正当性を判断するステップとを含む。

本開示の正当性判断方法は、対象機器を接続可能なセキュリティ装置における正当性判断方法であって、ネットワークを介して前記セキュリティ装置に接続される情報送信装置から生成情報を受信するステップと、受信した前記生成情報を用いて参照用識別情報を生成するステップと、前記セキュリティ装置に接続された前記対象機器の識別情報を取得するステップと、生成した前記参照用識別情報と、取得した前記識別情報とを比較し、比較結果に基づいて、前記セキュリティ装置に接続された前記対象機器の正当性を判断するステップとを含む。

本開示の一態様は、このような特徴的な処理部を備えるセキュリティ装置として実現され得るだけでなく、セキュリティ装置の一部または全部を実現する半導体集積回路として実現され得たり、セキュリティ装置における処理のステップをコンピュータに実行させるためのプログラムとして実現され得る。また、本開示の一態様は、セキュリティ装置を備えるセキュリティシステムの一部または全部を実現する半導体集積回路として実現され得たり、セキュリティシステムにおける処理のステップをコンピュータに実行させるためのプログラムとして実現され得る。

図１は、本開示の第１の実施の形態に係る通信システムの構成を示す図である。図２は、本開示の第１の実施の形態に係るバス接続装置群の構成を示す図である。図３は、本開示の第１の実施の形態に係るセキュリティシステムの構成を示す図である。図４は、本開示の第１の実施の形態に係るセキュリティシステムにおけるセキュリティ装置が自己に接続された制御装置の正当性の判断を行う際の動作手順の一例を定めたフローチャートである。図５は、本開示の第１の実施の形態に係るセキュリティシステムにおける正当性判断処理のシーケンスの一例を示す図である。図６は、本開示の第２の実施の形態に係るセキュリティシステムの構成を示す図である。図７は、本開示の第３の実施の形態に係るセキュリティシステムの構成を示す図である。図８は、本開示の第４の実施の形態に係るセキュリティシステムの構成を示す図である。

従来、ネットワークにおけるセキュリティを向上させるための技術が開発されている。

［本開示が解決しようとする課題］
特許文献１に記載の技術を超えて、ネットワークにおけるセキュリティに関する優れた機能を実現することが可能な技術が望まれる。

本開示は、上述の課題を解決するためになされたもので、その目的は、ネットワークにおけるセキュリティに関する優れた機能を実現することが可能なセキュリティシステム、車両、セキュリティ装置および正当性判断方法を提供することである。

［本開示の効果］
本開示によれば、ネットワークにおけるセキュリティに関する優れた機能を実現することができる。

［本開示の実施形態の説明］
最初に、本開示の実施形態の内容を列記して説明する。

（１）本開示の実施の形態に係るセキュリティシステムは、情報送信装置と、対象機器を接続可能なセキュリティ装置とを備え、前記情報送信装置および前記セキュリティ装置は、ネットワークを介して互いに接続されており、前記情報送信装置は、参照用識別情報を生成するために用いる生成情報を前記セキュリティ装置へ送信し、前記セキュリティ装置は、前記ネットワークを介して前記情報送信装置から受信した前記生成情報を用いて前記参照用識別情報を生成し、前記セキュリティ装置は、自己に接続された前記対象機器の識別情報を取得し、前記セキュリティ装置は、取得した前記識別情報と、生成した前記参照用識別情報とを比較し、比較結果に基づいて、自己に接続された前記対象機器の正当性を判断する。

このように、分散配置されたセキュリティ装置と情報送信装置との間において伝送される生成情報を用いて参照用識別情報を生成し、生成した参照用識別情報を用いて対象機器の正当性を判断する構成により、たとえば情報送信装置およびセキュリティ装置のいずれか一方が攻撃された場合であっても、セキュリティ装置に接続された不正な対象機器をより確実に検知することができる。したがって、ネットワークにおけるセキュリティに関する優れた機能を実現することができる。

（２）好ましくは、前記セキュリティ装置は、前記対象機器の正当性の判断結果に応じて、前記対象機器への電力供給を制御する。

このような構成により、たとえば、セキュリティ装置に接続された対象機器が不正な機器である場合に、当該対象機器への電力供給を遮断する制御を行うことができ、セキュリティ性を向上することができる。

（３）より好ましくは、前記セキュリティ装置は、前記識別情報を前記セキュリティ装置へ送信するための回路である送信回路への電力供給と、前記対象機器における回路であって前記送信回路とは異なる回路である対象回路への電力供給とを個別に制御可能であり、前記セキュリティ装置は、前記情報送信装置から前記生成情報を受信すると前記送信回路への電力供給を開始し、前記対象機器が正当であると判断した場合、前記対象回路への電力供給を開始する。

このような構成により、対象機器の正当性を判断するまでの期間において、送信回路への電力供給を開始する一方で、対象回路への電力供給を停止することにより、対象機器の識別情報を提供させながら不正な対象機器の動作を制限することができるため、たとえばネットワークの起動時において、対象機器の動作前に当該対象機器の正当性を判断することができる。

（４）より好ましくは、前記セキュリティ装置は、前記対象機器が正当ではないと判断した場合、前記送信回路への電力供給を停止する。

このような構成により、たとえば、セキュリティ装置に接続された不正な対象機器への電力供給を遮断することによりセキュリティ性を向上することができるとともに、消費電力を低減することができる。

（５）より好ましくは、前記セキュリティ装置は、前記対象機器が正当ではないと判断した場合、前記対象回路への電力供給を開始しない。

このような構成により、たとえば、セキュリティ装置に接続された不正な対象機器への電力供給を行わないことによりセキュリティ性を向上することができるとともに、消費電力を低減することができる。

（６）好ましくは、前記ネットワークは、通信ラインと、補助ラインとを含み、前記対象機器は、前記通信ラインを介して前記ネットワークに接続された他の機器と通信を行い、前記情報送信装置は、前記補助ラインを介して前記生成情報を前記セキュリティ装置へ送信する。

このような構成により、情報送信装置からセキュリティ装置への生成情報の伝送を、通信ラインとは別個の補助ラインを介して行うことができるため、冗長化によりセキュリティ性をより向上させることができる。また、たとえば電源線を補助ラインとして用いることにより、従来のネットワークに補助ラインを別途追加する構成と比べて、セキュリティシステムの実現に必要なコストを低減することができる。

（７）より好ましくは、前記セキュリティ装置は、前記対象機器が正当ではないと判断した場合、前記通信ラインを遮断する処理、前記通信ラインへのエラー通知の送信、および前記通信ラインにおけるジャミングの発生、のうちの少なくともいずれか１つを行う。

このような構成により、不正な機器による不正アクセスの拡大を抑えることができる。

（８）より好ましくは、前記補助ラインは、前記セキュリティ装置へ電力を供給するための電源線である。

このような構成により、従来のネットワークに補助ラインを別途追加する構成と比べて、セキュリティシステムの実現に必要なコストを低減することができる。

（９）好ましくは、前記セキュリティシステムは、さらに、前記セキュリティ装置に前記対象機器を接続するための、前記対象機器に用いられるコネクタを備え、前記コネクタは、前記識別情報を記憶する記憶部と、前記記憶部における前記識別情報を前記セキュリティ装置へ送信するための回路である送信回路とを含む。

このような構成により、セキュリティ装置は、送信回路等の構成を備えない対象機器からコネクタを介して識別情報を取得することができるため、送信回路等の構成を備えない既存の対象機器の正当性を判断することが可能なセキュリティシステムを簡単に構築することができる。

（１０）本開示の第１の実施の形態に係る車両は、前記セキュリティシステムを備える。

このような構成により、セキュリティシステムを備える車両において、ネットワークにおけるセキュリティに関する優れた機能を実現することができる。

（１１）本開示の実施の形態に係るセキュリティ装置は、対象機器を接続可能なセキュリティ装置であって、ネットワークを介して前記セキュリティ装置に接続される情報送信装置から生成情報を受信する受信部と、前記受信部によって受信された前記生成情報を用いて参照用識別情報を生成する生成部と、前記セキュリティ装置に接続された前記対象機器の識別情報を取得する取得部と、前記生成部によって生成された前記参照用識別情報と、前記取得部よって取得された前記識別情報とを比較し、比較結果に基づいて、前記セキュリティ装置に接続された前記対象機器の正当性を判断する判断部とを備える。

（１２）本開示の実施の形態に係る正当性判断方法は、情報送信装置と、対象機器を接続可能なセキュリティ装置とを備えるセキュリティシステムにおける正当性判断方法であって、前記情報送信装置および前記セキュリティ装置は、ネットワークを介して互いに接続されており、前記情報送信装置が、参照用識別情報を生成するために用いる生成情報を前記セキュリティ装置へ送信するステップと、前記セキュリティ装置が、前記ネットワークを介して前記情報送信装置から受信した前記生成情報を用いて前記参照用識別情報を生成するステップと、前記セキュリティ装置が、自己に接続された前記対象機器の識別情報を取得するステップと、前記セキュリティ装置が、取得した前記識別情報と、生成した前記参照用識別情報とを比較し、比較結果に基づいて、自己に接続された前記対象機器の正当性を判断するステップとを含む。

このように、分散配置されたセキュリティ装置と情報送信装置との間において伝送される生成情報を用いて参照用識別情報を生成し、生成した参照用識別情報を用いて対象機器の正当性を判断する方法により、たとえば情報送信装置およびセキュリティ装置のいずれか一方が攻撃された場合であっても、セキュリティ装置に接続された不正な対象機器をより確実に検知することができる。したがって、ネットワークにおけるセキュリティに関する優れた機能を実現することができる。

（１３）本開示の実施の形態に係る正当性判断方法は、対象機器を接続可能なセキュリティ装置における正当性判断方法であって、ネットワークを介して前記セキュリティ装置に接続される情報送信装置から生成情報を受信するステップと、受信した前記生成情報を用いて参照用識別情報を生成するステップと、前記セキュリティ装置に接続された前記対象機器の識別情報を取得するステップと、生成した前記参照用識別情報と、取得した前記識別情報とを比較し、比較結果に基づいて、前記セキュリティ装置に接続された前記対象機器の正当性を判断するステップとを含む。

以下、本開示の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。

＜第１の実施の形態＞
［構成および基本動作］
図１は、本開示の第１の実施の形態に係る通信システムの構成を示す図である。

図１を参照して、通信システム５０１は、ゲートウェイ装置２０と、複数の車載通信機３０と、複数のバス接続装置群４０と、電源回路５０とを備える。

通信システム５０１は、たとえば車両１に搭載される。なお、通信システム５０１は、ホームネットワークまたはファクトリーオートメーションに用いられもよい。

複数の車載通信機３０は、それぞれ対応のケーブル１４を介してゲートウェイ装置２０と接続される。ケーブル１４は、たとえばイーサネット（登録商標）ケーブルである。また、複数のバス接続装置群４０は、それぞれ対応のバス１３を介してゲートウェイ装置２０と接続される。

電源回路５０は、電源線１５Ａを介してゲートウェイ装置２０と接続され、電源線１５Ｂを介して車載通信機３０と接続され、電源線１５Ｃを介してバス接続装置群４０と接続される。以下、電源線１５Ａ，１５Ｂ，１５Ｃの各々を電源線１５とも称する。電源回路５０は、電源線１５を介して、ゲートウェイ装置２０、車載通信機３０およびバス接続装置群４０に電力を供給する。

車載ネットワーク１２は、ゲートウェイ装置２０、バス１３、イーサネットケーブル１４および電源線１５を含む。

図２は、本開示の第１の実施の形態に係るバス接続装置群の構成を示す図である。

図２を参照して、バス接続装置群４０は、バス１３および電源線１５Ｃに接続された複数のセキュリティ装置２０１と、複数の制御装置１０１とを含む。ゲートウェイ装置２０、車載通信機３０および制御装置１０１は、車載装置の一例である。電源線１５Ｃは、セキュリティ装置２０１へ電力を供給するための電源線である。

セキュリティ装置２０１は、制御装置１０１を接続可能である。図２に示す例では、複数のセキュリティ装置２０１の各々に、対応の制御装置１０１が接続されている。

セキュリティ装置２０１に接続された制御装置１０１は、バス１３を介して、車載ネットワーク１２に接続された他の制御装置１０１等の機器と通信を行う。バス１３は、通信ラインの一例である。制御装置１０１は、対象機器の一例である。

電源線１５Ｃには、情報送信装置２００が接続される。情報送信装置２００の詳細については後述する。電源線１５Ｃは、補助ラインの一例である。

制御装置１０１は、たとえばＥＣＵ（ＥｌｅｃｔｒｏｎｉｃＣｏｎｔｒｏｌＵｎｉｔ）である。なお、バス接続装置群４０は、複数の制御装置１０１を含む構成に限らず、１つの制御装置１０１を含む構成であってもよい。また、バス接続装置群４０における一部の制御装置１０１は、セキュリティ装置２０１を介してバス１３および電源線１５Ｃに接続されずにバス１３および電源線１５Ｃに直接接続されてもよい。

なお、通信システム５０１は、車載通信機３０を含みかつ制御装置１０１を含まない構成であってもよいし、車載通信機３０を含まずかつ制御装置１０１を含む構成であってもよいし、１つの車載通信機３０および１つの制御装置１０１を含む構成であってもよい。

車載通信機３０は、たとえば、車両１の外部における装置と通信する。具体的には、車載通信機３０は、たとえば、ＴＣＵ（ＴｅｌｅｍａｔｉｃｓＣｏｎｔｒｏｌＵｎｉｔ）、近距離無線端末装置、およびＩＴＳ（ＩｎｔｅｌｌｉｇｅｎｔＴｒａｎｓｐｏｒｔＳｙｓｔｅｍｓ）無線機である。

バス１３は、たとえば、ＣＡＮ（ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）（登録商標）、ＦｌｅｘＲａｙ（登録商標）、ＭＯＳＴ（ＭｅｄｉａＯｒｉｅｎｔｅｄＳｙｓｔｅｍｓＴｒａｎｓｐｏｒｔ）（登録商標）、イーサネット、およびＬＩＮ（ＬｏｃａｌＩｎｔｅｒｃｏｎｎｅｃｔＮｅｔｗｏｒｋ）等の規格に従うバスである。

この例では、バス接続装置群４０における各セキュリティ装置２０１は、ＣＡＮの規格に従う対応のバス１３を介してゲートウェイ装置２０と接続されている。

バス１３は、たとえば系統別に設けられる。具体的には、バス１３は、たとえば、駆動系バス、シャーシ／安全系バス、ボディ／電装系バスおよびＡＶ／情報系バスである。

駆動系バスにおけるセキュリティ装置２０１には、制御装置１０１の一例であるエンジン制御装置、ＡＴ（ＡｕｔｏｍａｔｉｃＴｒａｎｓｍｉｓｓｉｏｎ）制御装置およびＨＥＶ（ＨｙｂｒｉｄＥｌｅｃｔｒｉｃＶｅｈｉｃｌｅ）制御装置が接続されている。エンジン制御装置、ＡＴ制御装置およびＨＥＶ制御装置は、エンジン、ＡＴ、およびエンジンとモータとの切替をそれぞれ制御する。

シャーシ／安全系バスにおけるセキュリティ装置２０１には、制御装置１０１の一例であるブレーキ制御装置、シャーシ制御装置およびステアリング制御装置が接続されている。ブレーキ制御装置、シャーシ制御装置およびステアリング制御装置は、ブレーキ、シャーシおよびステアリングをそれぞれ制御する。

ボディ／電装系バスにおけるセキュリティ装置２０１には、制御装置１０１の一例である計器表示制御装置、エアコン制御装置、盗難防止制御装置、エアバック制御装置およびスマートエントリ制御装置が接続されている。計器表示制御装置、エアコン制御装置、盗難防止制御装置、エアバック制御装置およびスマートエントリ制御装置は、計器、エアコン、盗難防止機構、エアバック機構およびスマートエントリをそれぞれ制御する。

ＡＶ／情報系バスにおけるセキュリティ装置２０１には、制御装置１０１の一例であるナビゲーション制御装置、オーディオ制御装置、ＥＴＣ（ＥｌｅｃｔｒｏｎｉｃＴｏｌｌＣｏｌｌｅｃｔｉｏｎＳｙｓｔｅｍ）（登録商標）制御装置および電話制御装置が接続されている。ナビゲーション制御装置、オーディオ制御装置、ＥＴＣ制御装置および電話制御装置は、ナビゲーション装置、オーディオ装置、ＥＴＣ装置および携帯電話をそれぞれ制御する。

ゲートウェイ装置２０は、たとえば、セントラルゲートウェイ（ＣｅｎｔｒａｌＧａｔｅｗａｙ：ＣＧＷ）であり、他の車載装置と通信を行うことが可能である。

ゲートウェイ装置２０は、たとえば、車両１において、対応のセキュリティ装置２０１を介して異なるバス１３に接続された制御装置１０１間でやり取りされる情報、各車載通信機３０間でやり取りされる情報、制御装置１０１および車載通信機３０間でやり取りされる情報を中継する中継処理を行う。

［セキュリティシステム］
図３は、本開示の第１の実施の形態に係るセキュリティシステムの構成を示す図である。

図３を参照して、セキュリティシステム４０１は、情報送信装置２００と、セキュリティ装置２０１と、制御装置１０１に用いられるコネクタ３０１とを備える。たとえば、コネクタ３０１は、制御装置１０１の基板に実装される。

セキュリティ装置２０１は、本体部２０１Ａと、コネクタ３０１を接続可能な接続部２０１Ｂとを備える。たとえば、接続部２０１Ｂは、セキュリティ装置２０１に用いられるコネクタであり、本体部２０１Ａの基板に実装される。

セキュリティ装置２０１における本体部２０１Ａは、インタフェース部２１０と、生成部２２０と、電力制御部２５０と、認証部２６０と、バス制御部２７０と、記憶部２８０とを含む。セキュリティ装置２０１における接続部２０１Ｂは、判断部２３０と、取得部２４０とを含む。インタフェース部２１０、生成部２２０、判断部２３０、取得部２４０、電力制御部２５０、認証部２６０およびバス制御部２７０は、たとえば、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）およびＤＳＰ（ＤｉｇｉｔａｌＳｉｇｎａｌＰｒｏｃｅｓｓｏｒ）等のプロセッサによって実現される。記憶部２８０は、たとえば不揮発性メモリである。

制御装置１０１は、通信部１１０と、認証情報送信部１２０と、電源回路１３０と、識別情報送信部１４０と、記憶部１５０と、記憶部１６０とを含む。通信部１１０は、たとえば通信用ＩＣ（ＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）によって実現される。認証情報送信部１２０および識別情報送信部１４０は、たとえば、ＣＰＵおよびＤＳＰ等のプロセッサによって実現される。記憶部１５０，１６０は、たとえば不揮発性メモリである。識別情報送信部１４０は、識別情報をセキュリティ装置２０１へ送信するための回路である送信回路の一例である。電源回路１３０は、対象回路の一例である。

セキュリティ装置２０１は、コネクタ３０１を介して制御装置１０１を接続可能である。より詳細には、セキュリティ装置２０１は、接続部２０１Ｂとコネクタ３０１とが嵌め合うことにより、コネクタ３０１を介して制御装置１０１に接続される。

より詳細には、セキュリティ装置２０１における取得部２４０は、コネクタ３０１を介して制御装置１０１における識別情報送信部１４０と接続される。また、セキュリティ装置２０１における電力制御部２５０は、コネクタ３０１を介して制御装置１０１における識別情報送信部１４０および電源回路１３０と接続される。また、セキュリティ装置２０１における認証部２６０は、コネクタ３０１を介して制御装置１０１における認証情報送信部１２０と接続される。また、セキュリティ装置２０１におけるバス制御部２７０は、コネクタ３０１を介して制御装置１０１における通信部１１０と接続される。

情報送信装置２００およびセキュリティ装置２０１は、車載ネットワーク１２を介して互いに接続される。より詳細には、情報送信装置２００およびセキュリティ装置２０１は、電源線１５Ｃを介して互いに接続される。

［情報送信装置］
情報送信装置２００は、参照用識別情報を生成するために用いる生成情報をセキュリティ装置２０１へ送信する。

より詳細には、後述するように、セキュリティ装置２０１は、参照用識別情報を生成し、生成した参照用識別情報と、制御装置１０１の識別情報との比較結果に基づいて、当該制御装置１０１の正当性を判断する。

情報送信装置２００は、参照用識別情報の生成に用いる生成情報をセキュリティ装置２０１へ送信する。

たとえば、情報送信装置２００は、参照用識別情報の生成に用いるキーを含む生成情報をセキュリティ装置２０１へ送信する。

たとえば、情報送信装置２００は、電源線１５Ｃを介して生成情報をセキュリティ装置２０１へ送信する。より詳細には、情報送信装置２００は、生成情報が格納された、たとえばＣＡＮの規格に従うフレームを生成し、生成したフレームを電源線１５Ｃ経由でセキュリティ装置２０１へ送信する。

情報送信装置２００は、たとえば車両１のイグニッション電源がオンされて車載ネットワーク１２が起動するたびに、車載ネットワーク１２における一部または全部のセキュリティ装置２０１へ生成情報を送信する。

なお、情報送信装置２００は、セキュリティ装置２０１ごとに異なる内容の生成情報を送信する構成であってもよいし、同じ内容の生成情報を複数のセキュリティ装置２０１へ送信する構成であってもよい。

［セキュリティ装置］
（参照用識別情報の生成）
セキュリティ装置２０１は、車載ネットワーク１２を介して情報送信装置２００から受信した生成情報を用いて参照用識別情報を生成する。

より詳細には、インタフェース部２１０は、車載ネットワーク１２を介してセキュリティ装置２０１に接続される情報送信装置２００から生成情報を受信する。そして、生成部２２０は、インタフェース部２１０によって受信された生成情報を用いて参照用識別情報を生成する。インタフェース部２１０は、受信部の一例である。

たとえば、インタフェース部２１０は、生成情報が格納されたフレームを電源線１５Ｃ経由で情報送信装置２００から受信すると、受信したフレームから生成情報を取得する。インタフェース部２１０は、取得した生成情報を生成部２２０へ出力する。

生成部２２０は、インタフェース部２１０から生成情報を受けると、受けた生成情報を用いて参照用識別情報を生成する。たとえば、生成部２２０は、受けた生成情報の内容に応じた情報を含む参照用識別情報を生成する。

たとえば、記憶部２８０は、キーからハッシュ値を生成するためのハッシュ関数を記憶している。具体的には、たとえば、記憶部２８０は、ハッシュ関数が行うデータ処理のプログラムを記憶している。

生成部２２０は、インタフェース部２１０から生成情報を受けると、たとえば記憶部２８０から上記プログラムを読み出して実行し、生成情報に含まれるキーをハッシュ関数に入力することにより、参照用識別情報であるハッシュ値を取得する。生成部２２０は、取得したハッシュ値を判断部２３０へ出力する。

（識別情報の取得）
セキュリティ装置２０１は、自己に接続された制御装置１０１の識別情報を取得する。より詳細には、セキュリティ装置２０１における取得部２４０は、セキュリティ装置２０１に接続された制御装置１０１の識別情報を取得する。

たとえば、セキュリティ装置２０１は、制御装置１０１における識別情報送信部１４０への電力供給と、制御装置１０１における電源回路１３０への電力供給とを個別に制御可能である。そして、セキュリティ装置２０１は、情報送信装置２００から生成情報を受信すると識別情報送信部１４０への電力供給を開始する。

より詳細には、電力制御部２５０は、電源線１５Ｃおよびインタフェース部２１０を介して電源回路５０から受けた電源電圧を電源回路１３０へ出力するか否かを切り替える制御を行う。

インタフェース部２１０は、情報送信装置２００から受信したフレームから生成情報を取得すると、制御装置１０１における識別情報送信部１４０への電力供給を開始すべき旨の供給指示Ｓ１を電力制御部２５０へ出力する。

電力制御部２５０は、供給指示Ｓ１をインタフェース部２１０から受けると、受けた供給指示Ｓ１に従い、制御装置１０１における識別情報送信部１４０への電源電圧の出力を開始する。

たとえば、制御装置１０１における記憶部１５０は、自己の制御装置１０１のＩＤを記憶している。

制御装置１０１における識別情報送信部１４０は、セキュリティ装置２０１における電力制御部２５０から電力供給を受けると、記憶部１５０からＩＤを取得し、取得したＩＤを含む識別情報をセキュリティ装置２０１における取得部２４０へ送信する。

セキュリティ装置２０１における取得部２４０は、制御装置１０１における識別情報送信部１４０から識別情報を受信すると、受信した識別情報を判断部２３０へ出力する。

（正当性の判断）
セキュリティ装置２０１は、取得した識別情報と、生成した参照用識別情報とを比較し、比較結果に基づいて、自己に接続された制御装置１０１の正当性を判断する。

より詳細には、セキュリティ装置２０１における判断部２３０は、生成部２２０によって生成された参照用識別情報と、取得部２４０よって取得された識別情報とを比較し、比較結果に基づいて、セキュリティ装置２０１に接続された制御装置１０１の正当性を判断する。

たとえば、判断部２３０は、取得部２４０から識別情報を受けると、受けた識別情報に含まれるＩＤと、生成部２２０から受けた識別情報すなわちハッシュ値とを比較する。

判断部２３０は、ＩＤとハッシュ値とが一致した場合、自己のセキュリティ装置２０１に接続された制御装置１０１は正当であると判断する。一方、判断部２３０は、ＩＤとハッシュ値とが一致しなかった場合、自己のセキュリティ装置２０１に接続された制御装置１０１は正当ではないと判断する。

たとえば、セキュリティ装置２０１は、制御装置１０１の正当性の判断結果に応じて、制御装置１０１への電力供給を制御する。具体的には、セキュリティ装置２０１は、制御装置１０１が正当であると判断した場合、制御装置１０１における電源回路１３０への電力供給を開始する。一方、セキュリティ装置２０１は、制御装置１０１が正当ではないと判断した場合、制御装置１０１における電源回路１３０への電力供給を開始しない。

より詳細には、判断部２３０は、自己のセキュリティ装置２０１に接続された制御装置１０１は正当であると判断した場合、制御装置１０１における電源回路１３０への電力供給を開始すべき旨の供給指示Ｓ２を電力制御部２５０へ出力する。

電力制御２５０は、供給指示Ｓ２を判断部２３０から受けると、受けた供給指示Ｓ２に従い、電源回路１３０への電源電圧の出力を開始する。

電源回路１３０は、セキュリティ装置２０１における電力制御部２５０から電力供給を受けると、制御装置１０１における各回路への電力供給を開始する。

また、たとえば、セキュリティ装置２０１は、制御装置１０１が正当ではないと判断した場合、制御装置１０１における識別情報送信部１４０への電力供給を停止する。

より詳細には、判断部２３０は、自己のセキュリティ装置２０１に接続された制御装置１０１は正当ではないと判断した場合、制御装置１０１における識別情報送信部１４０への電力供給を停止すべき旨の停止指示Ｓ３を電力制御部２５０へ出力する。

電力制御部２５０は、停止指示Ｓ３を判断部２３０から受けると、受けた停止指示Ｓ３に従い、識別情報送信部１４０への電源電圧の出力を停止する。

また、判断部２３０は、自己のセキュリティ装置２０１に接続された制御装置１０１は正当ではないと判断した場合、制御装置１０１が正当ではない旨を示す判断情報をインタフェース部２１０および電源線１５Ｃ経由で情報送信装置２００へ送信する。

たとえば、判断部２３０は、自己のセキュリティ装置２０１に接続された制御装置１０１は正当ではないと判断した場合、バス１３を遮断する処理を行う。また、たとえば、判断部２３０は、自己のセキュリティ装置２０１に接続された制御装置１０１は正当ではないと判断した場合、インタフェース部２１０を介してバス１３へエラー通知を送信する。また、たとえば、判断部２３０は、自己のセキュリティ装置２０１に接続された制御装置１０１は正当ではないと判断した場合、インタフェース部２１０を介してバス１３においてジャミングを発生する。なお、判断部２３０は、自己のセキュリティ装置２０１に接続された制御装置１０１は正当ではないと判断した場合、バス１３を遮断する処理、バス１３へのエラー通知の送信、およびバス１３におけるジャミングの発生のうちの一部または全部を行わない構成であってもよい。

（認証処理）
セキュリティ装置２０１における認証部２６０は、判断部２３０により制御装置１０１は正当であると判断されると、制御装置１０１の認証処理を行う。

たとえば、制御装置１０１における記憶部１６０は、自己の制御装置１０１の認証に用いるＭＡＣ（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌ）アドレス等の認証情報を記憶している。

制御装置１０１における認証情報送信部１２０は、電源回路１３０から電力供給を受けると、記憶部１６０から認証情報を取得し、取得した認証情報をコネクタ３０１経由でセキュリティ装置２０１における認証部２６０へ送信する。

セキュリティ装置２０１における認証部２６０は、制御装置１０１における認証情報送信部１２０から認証情報を受信すると、受信した認証情報に基づいて制御装置１０１の認証処理を行う。

認証部２６０は、制御装置１０１の認証に成功した場合、認証が成功した旨を示す認証成功情報をバス制御部２７０へ出力する。

たとえば、制御装置１０１における通信部１１０は、車載ネットワーク１２に接続された他の車載装置宛の制御情報等の各種情報を図示しない処理部から受けて、受けた各種情報をコネクタ３０１経由でセキュリティ装置２０１におけるバス制御部２７０へ送信する。

バス制御部２７０は、認証部２６０から認証成功情報を受けると、制御装置１０１によるバス１３を用いた各種情報の伝送を許可する。より詳細には、バス制御部２７０は、認証部２６０から認証成功情報を受けた後、制御装置１０１から受信する各種情報をバス１３経由で宛先の車載装置へ中継するとともに、バス１３経由で受信した車載装置からの各種情報をコネクタ３０１経由で制御装置１０１へ中継する。

一方、認証部２６０は、制御装置１０１の認証に失敗した場合、認証が失敗した旨を示す認証失敗情報をインタフェース部２１０および電源線１５Ｃ経由で情報送信装置２００へ送信する。なお、認証部２６０は、認証失敗情報をバス制御部２７０およびバス１３経由で車両１内または車両１外における上位装置へ送信する構成であってもよい。

また、認証部２６０は、制御装置１０１の認証に失敗した場合、制御装置１０１における電源回路１３０および識別情報送信部１４０への電力供給を停止すべき旨の停止指示Ｓ４を電力制御部２５０へ出力する。

電力制御部２５０は、停止指示Ｓ４を認証部２６０から受けると、受けた停止指示Ｓ４に従い、電源回路１３０および識別情報送信部１４０への電源電圧の出力を停止する。

［動作の流れ］
本開示の実施の形態に係る通信システムにおける各装置は、メモリを含むコンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のフローチャートおよびシーケンスの各ステップの一部または全部を含むプログラムを当該メモリから読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態で流通する。

図４は、本開示の第１の実施の形態に係るセキュリティシステムにおけるセキュリティ装置が自己に接続された制御装置の正当性の判断を行う際の動作手順の一例を定めたフローチャートである。

図４を参照して、まず、セキュリティ装置２０１は、情報送信装置２００から生成情報を受信する（ステップＳ１０２）。

次に、セキュリティ装置２０１は、受信した生成情報を用いて参照用識別情報を生成する（ステップＳ１０４）。

次に、セキュリティ装置２０１は、自己に接続された制御装置１０１における識別情報送信部１４０への電力供給を開始する（ステップＳ１０６）。

次に、セキュリティ装置２０１は、自己に接続された制御装置１０１の識別情報を取得する。より詳細には、セキュリティ装置２０１は、制御装置１０１における識別情報送信部１４０から識別情報を受信する（ステップＳ１０８）。

次に、セキュリティ装置２０１は、生成した参照用識別情報と、取得した識別情報とを比較し、比較結果に基づいて、自己に接続された制御装置１０１の正当性を判断する（ステップＳ１１０）。

次に、セキュリティ装置２０１は、自己に接続された制御装置１０１が正当ではないと判断した場合（ステップＳ１１２でＮＯ）、制御装置１０１における識別情報送信部１４０への電力供給を停止する（ステップＳ１１４）。

次に、セキュリティ装置２０１は、制御装置１０１が正当ではない旨を示す判断情報をインタフェース部２１０および電源線１５Ｃ経由で情報送信装置２００へ送信する（ステップＳ１１６）。

一方、セキュリティ装置２０１は、自己に接続された制御装置１０１が正当であると判断した場合（ステップＳ１１２でＹＥＳ）、制御装置１０１における電源回路１３０への電力供給を開始する（ステップＳ１１８）。

次に、セキュリティ装置２０１は、自己に接続された制御装置１０１の認証情報を取得する。より詳細には、セキュリティ装置２０１は、制御装置１０１における認証情報送信部１２０から認証情報を受信する（ステップＳ１２０）。

次に、セキュリティ装置２０１は、認証情報に基づいて制御装置１０１の認証処理を行う（ステップＳ１２２）。

次に、セキュリティ装置２０１は、制御装置１０１の認証に失敗した場合（ステップＳ１２４でＮＯ）、制御装置１０１における識別情報送信部１４０および電源回路１３０への電力供給を停止する（ステップＳ１２６）。

次に、セキュリティ装置２０１は、制御装置１０１の認証に失敗した旨を示す認証失敗情報をインタフェース部２１０および電源線１５Ｃ経由で情報送信装置２００へ送信する（ステップＳ１２８）。

一方、セキュリティ装置２０１は、制御装置１０１の認証に成功した場合（ステップＳ１２４でＹＥＳ）、制御装置１０１によるバス１３を用いた各種情報の伝送を許可する（ステップＳ１３０）。

図５は、本開示の第１の実施の形態に係るセキュリティシステムにおける正当性判断処理のシーケンスの一例を示す図である。

図５を参照して、まず、情報送信装置２００は、たとえば車両１のイグニッション電源がオンされて車載ネットワーク１２が起動されると、生成情報をセキュリティ装置２０１へ送信する（ステップＳ２０２）。

次に、セキュリティ装置２０１は、受信した生成情報を用いて参照用識別情報を生成する（ステップＳ２０４）。

次に、セキュリティ装置２０１は、自己に接続された制御装置１０１における識別情報送信部１４０への電源電圧の出力を開始する（ステップＳ２０６）。

次に、セキュリティ装置２０１は、自己に接続された制御装置１０１の識別情報を取得する。より詳細には、制御装置１０１における識別情報送信部１４０は、制御装置１０１のＩＤを含む識別情報をセキュリティ装置２０１へ送信する（ステップＳ２０８）。

次に、セキュリティ装置２０１は、生成した参照用識別情報と、取得した識別情報とを比較し、比較結果に基づいて、自己に接続された制御装置１０１の正当性を判断する（ステップＳ２１０）。

次に、セキュリティ装置２０１は、自己に接続された制御装置１０１が正当であると判断した場合、制御装置１０１における電源回路１３０への電源電圧の出力を開始する（ステップＳ２１２）。

次に、セキュリティ装置２０１は、自己に接続された制御装置１０１の認証情報を取得する。より詳細には、制御装置１０１における認証情報送信部１２０は、認証情報をセキュリティ装置２０１へ送信する（ステップＳ２１４）。

次に、セキュリティ装置２０１は、認証情報に基づいて制御装置１０１の認証処理を行う（ステップＳ２１６）。

次に、セキュリティ装置２０１は、制御装置１０１の認証に成功した場合、制御装置１０１によるバス１３を用いた各種情報の伝送を許可する。より詳細には、セキュリティ装置２０１は、制御装置１０１の認証に成功した後、制御装置１０１から各種情報を受信すると（ステップＳ２１８）、受信した情報をバス１３経由で宛先の車載装置へ中継し（ステップＳ２２０）、車載装置からバス１３経由で各種情報を受信すると（ステップＳ２２２）、受信した情報を制御装置１０１へ中継する（ステップＳ２２４）。

なお、本開示の第１の実施の形態に係るセキュリティシステム４０１では、セキュリティ装置２０１は、制御装置１０１の正当性の判断結果に応じて、制御装置１０１への電力供給を制御する構成であるとしたが、これに限定するものではない。セキュリティ装置２０１は、制御装置１０１の正当性の判断結果に関わらず、制御装置１０１への電力供給を行う構成であってもよい。

また、本開示の第１の実施の形態に係るセキュリティシステム４０１では、セキュリティ装置２０１は、制御装置１０１における識別情報送信部１４０への電力供給と、制御装置１０１における電源回路１３０への電力供給とを個別に制御可能な構成であるとしたが、これに限定するものではない。セキュリティ装置２０１は、識別情報送信部１４０への電力供給と電源回路１３０への電力供給とを個別に制御できない構成であってもよい。より詳細には、セキュリティ装置２０１は、情報送信装置２００から生成情報を受信すると、識別情報送信部１４０および電源回路１３０への電力供給を開始する構成であってもよい。

また、本開示の第１の実施の形態に係るセキュリティシステム４０１では、情報送信装置２００は、電源線１５Ｃを介して生成情報をセキュリティ装置２０１へ送信する構成であるとしたが、これに限定するものではない。情報送信装置２００は、バス１３を介して生成情報をセキュリティ装置２０１へ送信する構成であってもよい。

ところで、ネットワークにおけるセキュリティに関する優れた機能を実現することを可能とする技術が望まれる。

これに対して、本開示の第１の実施の形態に係るセキュリティシステム４０１では、情報送信装置２００およびセキュリティ装置２０１は、車載ネットワーク１２を介して互いに接続されている。情報送信装置２００は、参照用識別情報を生成するために用いる生成情報をセキュリティ装置２０１へ送信する。セキュリティ装置２０１は、車載ネットワーク１２を介して情報送信装置２００から受信した生成情報を用いて参照用識別情報を生成する。セキュリティ装置２０１は、自己に接続された制御装置１０１の識別情報を取得する。セキュリティ装置２０１は、取得した識別情報と、生成した参照用識別情報とを比較し、比較結果に基づいて、自己に接続された制御装置１０１の正当性を判断する。

本開示の第１の実施の形態に係る正当性判断方法は、情報送信装置２００と、制御装置１０１を接続可能なセキュリティ装置２０１とを備えるセキュリティシステム４０１における正当性判断方法である。この正当性判断方法では、まず、情報送信装置２００が、参照用識別情報を生成するために用いる生成情報をセキュリティ装置２０１へ送信する。次に、セキュリティ装置２０１が、車載ネットワーク１２を介して情報送信装置２００から受信した生成情報を用いて参照用識別情報を生成する。次に、セキュリティ装置２０１が、自己に接続された制御装置１０１の識別情報を取得する。次に、セキュリティ装置２０１が、取得した識別情報と、生成した参照用識別情報とを比較し、比較結果に基づいて、自己に接続された制御装置１０１の正当性を判断する。

このように、分散配置されたセキュリティ装置２０１と情報送信装置２００との間において伝送される生成情報を用いて参照用識別情報を生成し、生成した参照用識別情報を用いて制御装置１０１の正当性を判断する構成および方法により、たとえば情報送信装置２００およびセキュリティ装置２０１のいずれか一方が攻撃された場合であっても、セキュリティ装置２０１に接続された不正な制御装置をより確実に検知することができる。

したがって、本開示の第１の実施の形態に係るセキュリティシステムおよび正当性判断方法では、ネットワークにおけるセキュリティに関する優れた機能を実現することができる。

本開示の第１の実施の形態に係るセキュリティ装置２０１では、インタフェース部２１０は、車載ネットワーク１２を介してセキュリティ装置２０１に接続される情報送信装置２００から生成情報を受信する。生成部２２０は、インタフェース部２１０によって受信された生成情報を用いて参照用識別情報を生成する。取得部２４０は、セキュリティ装置２０１に接続された制御装置１０１の識別情報を取得する。判断部２３０は、生成部２２０によって生成された参照用識別情報と、取得部２４０よって取得された識別情報とを比較し、比較結果に基づいて、セキュリティ装置２０１に接続された制御装置１０１の正当性を判断する。

本開示の第１の実施の形態に係る正当性判断方法は、制御装置１０１を接続可能なセキュリティ装置２０１における正当性判断方法である。この正当性判断方法では、まず、セキュリティ装置２０１が、車載ネットワーク１２を介してセキュリティ装置２０１に接続される情報送信装置２００から生成情報を受信する。次に、セキュリティ装置２０１が、受信した生成情報を用いて参照用識別情報を生成する。次に、セキュリティ装置２０１が、セキュリティ装置２０１に接続された制御装置１０１の識別情報を取得する。次に、セキュリティ装置２０１が、生成した参照用識別情報と、取得した識別情報とを比較し、比較結果に基づいて、セキュリティ装置２０１に接続された制御装置１０１の正当性を判断する。

したがって、本開示の第１の実施の形態に係るセキュリティ装置および正当性判断方法では、ネットワークにおけるセキュリティに関する優れた機能を実現することができる。

次に、本発明の他の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。

＜第２の実施の形態＞
本実施の形態は、第１の実施の形態に係るセキュリティシステム４０１と比べて、識別情報送信部１４０および記憶部１５０がコネクタ３０１に設けられたセキュリティシステム４０２に関する。以下で説明する内容以外は第１の実施の形態に係るセキュリティシステム４０１と同様である。

図６は、本開示の第２の実施の形態に係るセキュリティシステムの構成を示す図である。

図６を参照して、制御装置１０１は、通信部１１０と、認証情報送信部１２０と、電源回路１３０と、記憶部１６０とを含む。

また、コネクタ３０１は、識別情報送信部１４０と、記憶部１５０とを含む。

たとえば、コネクタ３０１における記憶部１５０は、自己のコネクタ３０１に接続されるべき制御装置１０１のＩＤを記憶している。

セキュリティ装置２０１における電力制御部２５０は、供給指示Ｓ１をインタフェース部２１０から受けると、受けた供給指示Ｓ１に従い、コネクタ３０１における識別情報送信部１４０への電源電圧の出力を開始する。

コネクタ３０１における識別情報送信部１４０は、セキュリティ装置２０１における電力制御部２５０から電力供給を受けると、記憶部１５０からＩＤを取得し、取得したＩＤを含む識別情報をセキュリティ装置２０１における取得部２４０へ送信する。識別情報送信部１４０は、記憶部１５０における識別情報をセキュリティ装置２０１へ送信するための送信回路の一例である。

＜第３の実施の形態＞
本実施の形態は、第１の実施の形態に係るセキュリティシステム４０１と比べて、バス制御部２７０および電力制御部２５０がコネクタ３０１に設けられたセキュリティシステム４０３に関する。以下で説明する内容以外は第１および第２の実施の形態に係るセキュリティシステム４０１，４０２と同様である。

図７は、本開示の第３の実施の形態に係るセキュリティシステムの構成を示す図である。

図７を参照して、セキュリティ装置２０１における本体部２０１Ａは、インタフェース部２１０と、生成部２２０と、認証部２６０と、記憶部２８０とを含む。セキュリティ装置２０１における接続部２０１Ｂは、判断部２３０と、取得部２４０とを含む。

また、コネクタ３０１は、バス制御部２７０と、電力制御部２５０とを含む。

コネクタ３０１における電力制御部２５０は、電源線１５Ｃおよびインタフェース部２１０を介して電源回路５０から受けた電源電圧を制御装置１０１における電源回路１３０へ出力するか否かを切り替える制御を行う。

セキュリティ装置２０１におけるインタフェース部２１０は、情報送信装置２００から受信したフレームから生成情報を取得すると、制御装置１０１における識別情報送信部１４０への電力供給を開始すべき旨の供給指示Ｓ１をコネクタ３０１における電力制御部２５０へ出力する。

コネクタ３０１における電力制御部２５０は、供給指示Ｓ１をセキュリティ装置２０１におけるインタフェース部２１０から受けると、受けた供給指示Ｓ１に従い、制御装置１０１における識別情報送信部１４０への電源電圧の出力を開始する。

たとえば、セキュリティ装置２０１における判断部２３０は、自己のセキュリティ装置２０１に接続された制御装置１０１は正当であると判断した場合、制御装置１０１における電源回路１３０への電力供給を開始すべき旨の供給指示Ｓ２をコネクタ３０１における電力制御部２５０へ出力する。

コネクタ３０１における電力制御部２５０は、供給指示Ｓ２をセキュリティ装置２０１における判断部２３０から受けると、受けた供給指示Ｓ２に従い、制御装置１０１における電源回路１３０への電源電圧の出力を開始する。

一方、セキュリティ装置２０１における判断部２３０は、自己のセキュリティ装置２０１に接続された制御装置１０１は正当ではないと判断した場合、制御装置１０１における識別情報送信部１４０への電力供給を停止すべき旨の停止指示Ｓ３をコネクタ３０１における電力制御部２５０へ出力する。

コネクタ３０１における電力制御部２５０は、停止指示Ｓ３をセキュリティ装置２０１における判断部２３０から受けると、受けた停止指示Ｓ３に従い、制御装置１０１における識別情報送信部１４０への電源電圧の出力を停止する。

セキュリティ装置２０１における認証部２６０は、制御装置１０１における認証情報送信部１２０から受信した認証情報に基づいて制御装置１０１の認証処理を行い、制御装置１０１の認証に成功した場合、認証が成功した旨を示す認証成功情報をコネクタ３０１におけるバス制御部２７０へ出力する。

コネクタ３０１におけるバス制御部２７０は、セキュリティ装置２０１における認証部２６０から認証成功情報を受けた後、制御装置１０１から受信する各種情報をバス１３経由で宛先の車載装置へ中継する。

一方、認証部２６０は、制御装置１０１の認証に失敗した場合、制御装置１０１における電源回路１３０および識別情報送信部１４０への電力供給を停止すべき旨の停止指示Ｓ４をコネクタ３０１における電力制御部２５０へ出力する。

コネクタ３０１における電力制御部２５０は、停止指示Ｓ４をセキュリティ装置２０１における認証部２６０から受けると、受けた停止指示Ｓ４に従い、制御装置１０１における電源回路１３０および識別情報送信部１４０への電源電圧の出力を停止する。

上述のように、本開示の第３の実施の形態に係るセキュリティシステム４０３では、コネクタ３０１は、バス制御部２７０と、電力制御部２５０とを含む。このような構成により、セキュリティ装置２０１がバス制御部２７０および電力制御部２５０を備える構成と比べて、セキュリティ装置２０１のコストを低減することができる。

＜第４の実施の形態＞
本実施の形態は、第２の実施の形態に係るセキュリティシステム４０２と比べて、バス制御部２７０および電力制御部２５０がコネクタ３０１に設けられたセキュリティシステム４０４に関する。以下で説明する内容以外は第１～第３の実施の形態に係るセキュリティシステム４０１～４０３と同様である。

図８は、本開示の第４の実施の形態に係るセキュリティシステムの構成を示す図である。

図８を参照して、セキュリティ装置２０１における本体部２０１Ａは、インタフェース部２１０と、生成部２２０と、認証部２６０と、記憶部２８０とを含む。セキュリティ装置２０１における接続部２０１Ｂは、判断部２３０と、取得部２４０とを含む。

また、制御装置１０１は、通信部１１０と、認証情報送信部１２０と、電源回路１３０と、記憶部１６０とを含む。

また、コネクタ３０１は、バス制御部２７０と、電力制御部２５０と、識別情報送信部１４０と、記憶部１５０とを含む。

セキュリティシステム４０４のセキュリティ装置２０１、コネクタ３０１および制御装置１０１における各ユニットの動作および機能は、セキュリティシステム４０１，４０２，４０３のセキュリティ装置２０１、コネクタ３０１および制御装置１０１における各ユニットの動作および機能と同様であるため、詳細な説明は繰り返さない。

上述のように、本開示の第４の実施の形態に係るセキュリティシステム４０４では、コネクタ３０１は、バス制御部２７０と、電力制御部２５０と、識別情報送信部１４０と、記憶部１５０とを含む。このような構成により、セキュリティ装置２０１がバス制御部２７０および電力制御部２５０を備える構成と比べて、セキュリティ装置２０１のコストを低減することができる。さらに、セキュリティ装置２０１は、送信回路等の構成を備えない制御装置１０１からコネクタ３０１を介して識別情報を取得することができるため、送信回路等の構成を備えない既存の制御装置１０１の正当性を判断することが可能なセキュリティシステムを簡単に構築することができる。

上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

以上の説明は、以下に付記する特徴を含む。
［付記１］
情報送信装置と、
対象機器を接続可能なセキュリティ装置とを備え、
前記情報送信装置および前記セキュリティ装置は、ネットワークを介して互いに接続されており、
前記情報送信装置は、参照用識別情報を生成するために用いる生成情報を前記セキュリティ装置へ送信し、
前記セキュリティ装置は、前記ネットワークを介して前記情報送信装置から受信した前記生成情報を用いて前記参照用識別情報を生成し、
前記セキュリティ装置は、自己に接続された前記対象機器の識別情報を取得し、
前記セキュリティ装置は、取得した前記識別情報と、生成した前記参照用識別情報とを比較し、比較結果に基づいて、自己に接続された前記対象機器の正当性を判断し、
前記情報送信装置は、前記ネットワークが起動されると、電源線を介して前記生成情報を前記セキュリティ装置へ送信する、セキュリティシステム。

［付記２］
情報送信装置と、
対象機器を接続可能なセキュリティ装置とを備え、
前記情報送信装置および前記セキュリティ装置は、ネットワークを介して互いに接続されており、
前記情報送信装置は、参照用識別情報を生成するために用いる生成情報を前記セキュリティ装置へ送信し、
前記セキュリティ装置は、前記ネットワークを介して前記情報送信装置から受信した前記生成情報を用いて前記参照用識別情報を生成し、
前記セキュリティ装置は、自己に接続された前記対象機器の識別情報を取得し、
前記セキュリティ装置は、取得した前記識別情報と、生成した前記参照用識別情報とを比較し、比較結果に基づいて、自己に接続された前記対象機器の正当性を判断し、
前記ネットワークは、車載ネットワークであり、
前記対象機器は、ＥＣＵである、セキュリティシステム。

［付記３］
対象機器を接続可能なセキュリティ装置であって、
ネットワークを介して前記セキュリティ装置に接続される情報送信装置から生成情報を受信する受信部と、
前記受信部によって受信された前記生成情報を用いて参照用識別情報を生成する生成部と、
前記セキュリティ装置に接続された前記対象機器の識別情報を取得する取得部と、
前記生成部によって生成された前記参照用識別情報と、前記取得部よって取得された前記識別情報とを比較し、比較結果に基づいて、前記セキュリティ装置に接続された前記対象機器の正当性を判断する判断部とを備え、
前記受信部は、前記ネットワークが起動されると、電源線を介して前記情報送信装置から前記生成情報を受信する、セキュリティ装置。

［付記４］
対象機器を接続可能なセキュリティ装置であって、
ネットワークを介して前記セキュリティ装置に接続される情報送信装置から生成情報を受信する受信部と、
前記受信部によって受信された前記生成情報を用いて参照用識別情報を生成する生成部と、
前記セキュリティ装置に接続された前記対象機器の識別情報を取得する取得部と、
前記生成部によって生成された前記参照用識別情報と、前記取得部よって取得された前記識別情報とを比較し、比較結果に基づいて、前記セキュリティ装置に接続された前記対象機器の正当性を判断する判断部とを備え、
前記受信部、前記生成部、前記取得部および前記判断部は、プロセッサにより実現される、セキュリティ装置。

１車両
１２車載ネットワーク
１３バス
１４イーサネットケーブル
１５電源線
２０ゲートウェイ装置
３０車載通信機
４０バス接続装置群
５０電源回路
１０１制御装置
１１０通信部
１２０認証情報送信部
１３０電源回路
１４０識別情報送信部
１５０記憶部
１６０記憶部
２００情報送信装置
２０１セキュリティ装置
２０１Ａ本体部
２０１Ｂ接続部
２１０インタフェース部
２２０生成部
２３０判断部
２４０取得部
２５０電力制御部
２６０認証部
２７０バス制御部
２８０記憶部
３０１コネクタ
４０１，４０２，４０３，４０４セキュリティシステム
５０１通信システム

Claims

情報送信装置と、
対象機器を接続可能なセキュリティ装置とを備え、
前記情報送信装置および前記セキュリティ装置は、ネットワークを介して互いに接続されており、
前記情報送信装置は、参照用識別情報を生成するために用いる生成情報を前記セキュリティ装置へ送信し、
前記セキュリティ装置は、前記ネットワークを介して前記情報送信装置から受信した前記生成情報を用いて前記参照用識別情報を生成し、
前記セキュリティ装置は、自己に接続された前記対象機器の識別情報を取得し、
前記セキュリティ装置は、取得した前記識別情報と、生成した前記参照用識別情報とを比較し、比較結果に基づいて、自己に接続された前記対象機器の正当性を判断する、セキュリティシステム。
前記セキュリティ装置は、前記対象機器の正当性の判断結果に応じて、前記対象機器への電力供給を制御する、請求項１に記載のセキュリティシステム。
前記セキュリティ装置は、前記識別情報を前記セキュリティ装置へ送信するための回路である送信回路への電力供給と、前記対象機器における回路であって前記送信回路とは異なる回路である対象回路への電力供給とを個別に制御可能であり、
前記セキュリティ装置は、前記情報送信装置から前記生成情報を受信すると前記送信回路への電力供給を開始し、前記対象機器が正当であると判断した場合、前記対象回路への電力供給を開始する、請求項２に記載のセキュリティシステム。
前記セキュリティ装置は、前記対象機器が正当ではないと判断した場合、前記送信回路への電力供給を停止する、請求項３に記載のセキュリティシステム。
前記セキュリティ装置は、前記対象機器が正当ではないと判断した場合、前記対象回路への電力供給を開始しない、請求項３または請求項４に記載のセキュリティシステム。
前記ネットワークは、通信ラインと、補助ラインとを含み、
前記対象機器は、前記通信ラインを介して前記ネットワークに接続された他の機器と通信を行い、
前記情報送信装置は、前記補助ラインを介して前記生成情報を前記セキュリティ装置へ送信する、請求項１から請求項５のいずれか１項に記載のセキュリティシステム。
前記セキュリティ装置は、前記対象機器が正当ではないと判断した場合、前記通信ラインを遮断する処理、前記通信ラインへのエラー通知の送信、および前記通信ラインにおけるジャミングの発生のうちの少なくともいずれか１つを行う、請求項６に記載のセキュリティシステム。
前記補助ラインは、前記セキュリティ装置へ電力を供給するための電源線である、請求項６または請求項７に記載のセキュリティシステム。
前記セキュリティシステムは、さらに、前記セキュリティ装置に前記対象機器を接続するための、前記対象機器に用いられるコネクタを備え、
前記コネクタは、
前記識別情報を記憶する記憶部と、
前記記憶部における前記識別情報を前記セキュリティ装置へ送信するための回路である送信回路とを含む、請求項１から請求項８のいずれか１項に記載のセキュリティシステム。
請求項１から請求項９のいずれか１項に記載のセキュリティシステムを備える、車両。
対象機器を接続可能なセキュリティ装置であって、
ネットワークを介して前記セキュリティ装置に接続される情報送信装置から生成情報を受信する受信部と、
前記受信部によって受信された前記生成情報を用いて参照用識別情報を生成する生成部と、
前記セキュリティ装置に接続された前記対象機器の識別情報を取得する取得部と、
前記生成部によって生成された前記参照用識別情報と、前記取得部よって取得された前記識別情報とを比較し、比較結果に基づいて、前記セキュリティ装置に接続された前記対象機器の正当性を判断する判断部とを備える、セキュリティ装置。
情報送信装置と、対象機器を接続可能なセキュリティ装置とを備えるセキュリティシステムにおける正当性判断方法であって、
前記情報送信装置および前記セキュリティ装置は、ネットワークを介して互いに接続されており、
前記情報送信装置が、参照用識別情報を生成するために用いる生成情報を前記セキュリティ装置へ送信するステップと、
前記セキュリティ装置が、前記ネットワークを介して前記情報送信装置から受信した前記生成情報を用いて前記参照用識別情報を生成するステップと、
前記セキュリティ装置が、自己に接続された前記対象機器の識別情報を取得するステップと、
前記セキュリティ装置が、取得した前記識別情報と、生成した前記参照用識別情報とを比較し、比較結果に基づいて、自己に接続された前記対象機器の正当性を判断するステップとを含む、正当性判断方法。
対象機器を接続可能なセキュリティ装置における正当性判断方法であって、
ネットワークを介して前記セキュリティ装置に接続される情報送信装置から生成情報を受信するステップと、
受信した前記生成情報を用いて参照用識別情報を生成するステップと、
前記セキュリティ装置に接続された前記対象機器の識別情報を取得するステップと、
生成した前記参照用識別情報と、取得した前記識別情報とを比較し、比較結果に基づいて、前記セキュリティ装置に接続された前記対象機器の正当性を判断するステップとを含む、正当性判断方法。