JPWO2018047510A1 - 車載用処理装置 - Google Patents

Abstract

本発明は、車載ネットワークに段階的にセキュリティを導入することができる車載処理装置を提供する。本発明は、車載用ゲートウェイ装置１の通信装置（受信部）は、ＩＤ（識別子）を含むデータ４００（第１データ）を受信する。車載用ゲートウェイ装置１のルーティング制御部２は、ＩＤに対応する転送先を特定する。車載用ゲートウェイ装置１のセキュリティ制御部４は、転送先に要求される安全度を示すＡＳＩＬ（安全度情報）に基づいてデータ４００（第１データ）から転送先に転送するデータ４０２、４０３（第２データ）を生成する。車載用ゲートウェイ装置１の通信装置（送信部）は、データ４０２、４０３（第２データ）を転送先へ送信する。

Description

本発明は、車載用処理装置に関する。

車両システムの情報化の進展に従い、ネットワークのセキュリティリスクが増大している。実際に車両のネットワークに対し、攻撃することで走行に影響を与えるような脅威事例も発生し、外部からの攻撃に対して、自動車の制御システムを保護するセキュリティ機能が重要視されている。

車両には、複数の電子制御装置（以降、ＥＣＵと呼ぶ）が搭載されており、装置間のネットワークは、主にＣＡＮ（Controller Area Network）の規格で構成されている。車載ネットワークにセキュリティ対策を適用する場合、ＣＡＮフレーム送信ＥＣＵは、ＣＡＮフレームの正当性を保証し、ＣＡＮバスに接続された偽ＥＣＵからのリプレイ攻撃を防御するため、鍵を用いてＣＡＮフレームに認証コード（Ｍessage Ａuthentication Ｃode; ＭＡＣ）を付与する方法が提案されている（例えば、特許文献１参照）。

また、ノードの負担を抑制しつつ、データ通信のセキュリティ性を高めることができる技術が開示されている（例えば、特許文献２参照）。特許文献２の車両用データ通信装置は、データを暗号化するか否かの暗号化情報をデータの送信側のノードを接続するバスとデータの受信側のノードを接続するバスとの組み合わせの単位で一元的に管理し、ノードは、データを復号化するか否かの復号化情報をデータの送信側のノードを接続するバスの単位で一元的に管理する。

特許第5770602号公報 特開2013-201510号公報

現状の車両ネットワークのＣＡＮでは、ライン上に各ＥＣＵを接続していくことによるライン型のネットワークとなっている。ＣＡＮフレームには送信元ＥＣＵ及び宛先ＥＣＵの識別情報が含まれておらず、受信ＥＣＵにおいて、送信元の正しいＥＣＵからのデータであるか否かを単純に判断することはできない。

特許文献１に開示されるような技術では、車載ネットワークにセキュリティ対策を適用する場合、送信ＣＡＮフレーム自体に変更が必要となり、全ＥＣＵの変更対応工数が大きくなる。

特許文献２に開示されるような技術では、バス毎にセキュリティ対策を行うことができるが、データを受信するＥＣＵはすべて復号化する機能を持つ必要があり、信頼性（安全性）が要求されるＥＣＵから段階的にセキュリティ機能を取り入れる事ができず、対応工数が大きくなる。

本発明の目的は、車載ネットワークに段階的にセキュリティを導入することができる車載処理装置を提供することにある。

上記目的を達成するために、本発明は、識別子を含む第１データを受信する受信部と、前記識別子に対応する転送先を特定するルーティング制御部と、前記転送先に要求される安全度を示す安全度情報に基づいて前記第１データから前記転送先に転送する第２データを生成するセキュリティ制御部と、前記第２データを前記転送先へ送信する送信部と、を備える。

本発明によれば、車載ネットワークに段階的にセキュリティを導入することができる。
上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

本発明の一実施形態による車載用ゲートウェイ装置及び車載ネットワークシステムの構成並びに鍵配信の動作を説明するための図である。 本発明の一実施形態による車載用ゲートウェイ装置及び車載ネットワークシステムの構成並びに暗号鍵の付替え又は解除の動作を説明するための図である。 本発明の一実施形態による車載用ゲートウェイ装置のセキュリティテーブルの構成図である。 本発明の一実施形態による車載用ゲートウェイ装置のルーティングテーブルの構成図である。 本発明の一実施形態による車載用ゲートウェイ装置のフローチャートである。 本発明の一実施形態による車載用ゲートウェイ装置のハードウェア構成を示す図である。

以下、図面を用いて、本発明の実施形態による車載用ゲートウェイ装置（車載処理装置）の構成及び動作について説明する。なお、各図において、同一符号は同一部分を示す。

（システム構成） 図１を用いて本発明の一実施形態による車載用ゲートウェイ装置及び車載ネットワークシステムの構成を説明する。

図１の例では、車載ネットワークは、２つのバス（Ｎ６００、Ｎ６０１）を備えている。バスＮ６００（ライン）には、本発明の実施形態による車載用ゲートウェイ装置１、ＥＣＵ１（Ｎ１０１）、ＥＣＵ２（Ｎ３０１）、ＥＣＵ３（Ｎ２０１）等が接続されている。一方、バスＮ６０１には、ＥＣＵ４（Ｎ１０２）が接続されている。

各ＥＣＵには、ＩＳＯ（International Organization for Standardization）によって規定される自動車安全度水準ＡＳＩＬ（Automotive Safety Integrity Level）が割り当てられている。具体的には、ＡＳＩＬは、ＱＭ（Quality Management）、Ａ、Ｂ、Ｃ、Ｄ等の記号を用いて分類される。ＱＭ＜Ａ＜Ｂ＜Ｃ＜Ｄの順で要求される安全度は大きくなる。

図１の例では、破線Ｎ１００内のＥＣＵ１（Ｎ１０１）、ＥＣＵ４（Ｎ１０２）に、最も高い安全度である「Ｄ」が割り当てられている。破線Ｎ２００内のＥＣＵ３（Ｎ２０１）、ＥＣＵ５には、「Ｂ」が割り当てられている。破線Ｎ３００内のＥＣＵ２（Ｎ３０１）、ＥＣＵ６には、最も低い安全度である「ＱＭ」が割り当てられている。

車載用ゲートウェイ装置１は、データ転送先を判定するルーティング制御部２、ＣＡＮ ＩＤ（識別子）と出力先（転送先）の対応づけを示すルーティングテーブル３、セキュリティの制御判定等をするセキュリティ制御部４、各装置の鍵情報管理、ＥＣＵ間の認証情報、各ＡＳＩＬ情報及び暗号方式を示すセキュリティテーブル５、暗号化・復号化アルゴリズム６（図２）、鍵情報８を備える。

なお、車載用ゲートウェイ装置１は、図６に示すように、マイコン１１（プロセッサ）、入出力ポートなどの入出力装置１４、ＣＡＮトランシーバなどの通信装置１５等を備える。マイコン１１は、揮発性メモリの一例であるＳＲＡＭ１２（Static Random Access Memory）と、不揮発性メモリの一例であるＦＬＡＳＨ１３（Flash Memory）を内蔵する。

ＦＬＡＳＨ１３には、ルーティングテーブル３、セキュリティテーブル５、暗号化・復号化アルゴリズム６、７（プログラム）、鍵情報８等が記憶される。ＳＲＡＭ１２には、演算に必要なデータ、演算結果などが一時的に記憶される。

ルーティングテーブル３は、図４に示すように、送信先ＥＣＵが接続されるバスを識別する番号を示す「接続バスＮｏ」、受信データのＩＤを示す「受信データＩＤ」、受信データＩＤに対応する送信先のＥＣＵを示す「送信先ＥＣＵ」、送信先へ送信するデータに割り当てるＩＤを示す「送信ＩＤ」等のフィールドを備える。

セキュリティテーブル５は、図３に示すように、「装置名」、自動車安全度水準を示す「ＡＳＩＬ」、暗号鍵を識別するＩＤを示す「鍵ＩＤ」、「暗号方式」、装置名が示すＥＣＵが送信するデータのＩＤを示す「送信データＩＤ」、チャレンジアンドレスポンスによる認証の結果を示す「認証」等のフィールドを備える。換言すれば、ＦＬＡＳＨ１３（記憶装置）は、装置名（転送先）、及び装置名（転送先）に対応するＡＳＩＬ（安全度情報）の組合せを記憶する。

車載用ゲートウェイ装置１のセキュリティ制御部４（マイコン１１）は、ＦＬＡＳＨ１３（記憶装置）から転送先に対応するＡＳＩＬ（安全度情報）を読み出し、読み出したＡＳＩＬに応じて、転送先に転送するデータの暗号強度を設定する。これにより、転送前のデータの暗号強度にかかわらず転送先のＡＳＩＬに応じて転送するデータの暗号強度が決まる。動作の詳細については、図５を用いて後述する。

また、ＦＬＡＳＨ１３（記憶装置）は、ＡＳＩＬ（安全度情報）、及びＡＳＩＬに対応する暗号方式の組合せを記憶する。

車載用ゲートウェイ装置１のセキュリティ制御部４（マイコン１１）は、ＦＬＡＳＨ１３（記憶装置）からＡＳＩＬ（安全度情報）に対応する暗号方式を読み出し、読み出した暗号方式を用いて、転送先に転送するデータの暗号強度を設定する。これにより、転送先では、ＡＳＩＬに対応する暗号方式の復号のみを行えばよい。詳細については、図５を用いて後述する。

さらに、ＦＬＡＳＨ１３（記憶装置）は、ＡＳＩＬ（安全度情報）、及びＡＳＩＬに対応する暗号鍵の情報を示す鍵ＩＤ（暗号鍵情報）の組合せを記憶する。

車載用ゲートウェイ装置１のセキュリティ制御部４（マイコン１１）は、ＦＬＡＳＨ１３（記憶装置）からＡＳＩＬ（安全度情報）に対応する鍵ＩＤを読み出し、読み出した鍵ＩＤが示す暗号鍵を転送先に配信する。これにより、転送先では、ＡＳＩＬに応じた暗号鍵を用いてデータを復号化することができる。

なお、図３に示すCMAC (Cipher-based MAC)は、ブロック暗号に基づくメッセージ認証符号アルゴリズムである。また、図３に示すHMAC (Hash-based Message Authentication Code)は、メッセージ認証符号 (MAC; Message Authentication Code) の一つであり、秘密鍵とメッセージ（データ）とハッシュ関数をもとに計算される。CMACの暗号強度は、HMACの暗号強度よりも大きい。

（暗号鍵の配信）
次に、図１を用いて、ＡＳＩＬ毎に車載用ゲートウェイ装置１が各ＥＣＵへ鍵配信を行う例を説明する。

車載用ゲートウェイ装置１のルーティングテーブル３には、セキュリティを必要とするＥＣＵ１（Ｎ１０１）、ＥＣＵ３（Ｎ２０１）等へ鍵情報を送信するため送信ＩＤを準備する。図１の例では、ルーティングテーブル３の第３レコードにおいて、送信先「ＥＣＵ１」に送信ＩＤ「６００」が割り当てられている。また、ルーティングテーブル３の第４レコードにおいて、送信先「ＥＣＵ３」に送信ＩＤ「６１０」が割り当てられている。

セキュリティテーブル５には、各ＥＣＵに対応したＡＳＩＬ毎の鍵情報を準備する。図１の例では、セキュリティテーブル５の第１レコードにおいて、装置名「ＥＣＵ１」に、鍵ＩＤ「Ｄ」が割り当てられている。また、セキュリティテーブルの第３レコードにおいて、装置名「ＥＣＵ３」に鍵ＩＤ「Ｂ」が割り当てられている。ここで、鍵ＩＤは、暗号鍵を識別する識別子である。

車載用ゲートウェイ装置1は、各ＥＣＵとチャレンジ＆レスポンスによるＥＣＵ機器認証を行う。車載用ゲートウェイ装置1は、各ＥＣＵと認証が成功した場合に、セキュリティテーブル５で解決したＡＳＩＬ毎の鍵情報８を各ＥＣＵへ配信する。車載用ゲートウェイ装置1は、受信データID毎に周期の監視を行う。周期を逸脱して受信したIDのデータは不正データとし破棄する。

車載用ゲートウェイ装置1は、各ＥＣＵへ配信した鍵を用いてフレーム受信及びフレーム送信時ＭＡＣの解決を行い、各ＥＣＵとの暗号化の調停を行う。このフレーム調停（暗号鍵の付替え又は解除）は、図２を用いて説明する。

（暗号鍵の付替え又は解除）
次に、図２を用いて本発明の一実施形態による車載用ゲートウェイ装置及び車載ネットワークの暗号鍵の付替え又は解除の動作を説明する。

ＥＣＵ１（Ｎ１０１）からＥＣＵ２（Ｎ３０１）及びのＥＣＵ３（Ｎ２０１）へデータを渡したい場合、ＥＣＵ１（Ｎ１０１）で、ＣＡＮフレームの暗号化をしている為、受信側のＥＣＵはデータを受信してもそのままデータを扱う事ができない。そこで車載用ゲートウェイ装置1はＥＣＵ１（Ｎ１０１）からの受信データ４０１をルーティングテーブル３及びセキュリティテーブル５から解決し、復号化アルゴリズム６によりデータ復号化をする。

ルーティングテーブル３の送信先ＥＣＵに見合った暗号化アルゴリズム６により鍵情報８を指定して、データ暗号化する事でデータ強度Ｂ（４０３）とし、送信ＩＤを付け替えて送信する。セキュリティテーブル５の送信先ＥＣＵのＡＳＩＬがＱＭの場合は、暗号化せずに素データ４０２として、送信ＩＤを付け替えて送信する。

次に、図５を用いて、車載用ゲートウェイ装置１の動作を詳細に説明する。ここでは、図２に示すＥＣＵ１が、暗号化したデータ強度Ｄのデータ４００（ＣＡＮフレーム）を、バスＮ６０１を介して送信したと仮定する。なお、データ４００に含まれるＩＤ（識別子）は「１００」である。データ４００（第１データ）は、鍵ＩＤである「Ｄ」が示す暗号鍵（第１暗号鍵）を用いて暗号化されている。

車載用ゲートウェイ装置１は、データ４００を受信する（Ｓ１）。ここで、車載用ゲートウェイ装置１の通信装置１５は、ＩＤ（識別子）を含むデータ４００を受信する受信部として機能する。

車載用ゲートウェイ装置１は、受信したデータ４００（受信データ４０１）が転送の対象であるか否かを判定する（Ｓ２）。

詳細には、車載用ゲートウェイ装置１は、ルーティングテーブル３から「受信データＩＤ」フィールドの値がデータ４００のＩＤ「１００」と一致するレコードを検索する。車載用ゲートウェイ装置１は、検索によりヒットしたレコードの「送信先ＥＣＵ」フィールドの値が自身でない場合（Ｓ２：ＹＥＳ）、Ｓ３へ処理を進め、検索によりヒットしたレコードの「送信先ＥＣＵ」フィールドの値が自身である場合又は検索条件を満たすレコードがない場合（Ｓ２：ＮＯ）、処理を終了する。

図５に示すルーティングテーブル３では、検索により第１レコードがヒットする。車載用ゲートウェイ装置１は、ルーティングテーブル３の第１レコードの「送信先ＥＣＵ」フィールドＤ１の値から送信先ＥＣＵがＥＣＵ２、ＥＣＵ３であり、受信したデータ４００は転送の対象であると判定する。なお、車載用ゲートウェイ装置１は、ルーティングテーブル３の第１レコードの「送信ＩＤ」フィールドから送信するデータのＩＤが１０１、１０２であることを特定する。

ここで、車載用ゲートウェイ装置１のマイコン１１は、データ４００に含まれるＩＤ（識別子）に対応する転送先を特定するルーティング制御部２として機能する。

続いて、車載用ゲートウェイ装置１は、データ４００を送信したＥＣＵ１のＡＳＩＬと送信先のＥＣＵ２、ＥＣＵ３のＡＳＩＬが異なるか否かをそれぞれ判定する（Ｓ３）。

まず、車載用ゲートウェイ装置１は、セキュリティテーブル５を参照し、データ４００を送信したＥＣＵ１のＡＳＩＬを特定する。具体的には、車載用ゲートウェイ装置１は、セキュリティテーブル５から「送信データＩＤ」フィールドの値がデータ４００のＩＤ「１００」と一致するレコードを検索する。図５に示すセキュリティテーブル５では、第１レコードがヒットする。車載用ゲートウェイ装置１は、セキュリティテーブル５の第１レコードの「ＡＳＩＬ」フィールドＤ２の値からデータ４００を送信したＥＣＵ１のＡＳＩＬが「Ｄ」であることを特定する。

次に、車載用ゲートウェイ装置１は、セキュリティテーブル５を参照し、転送先のＥＣＵ２、ＥＣＵ３のＡＳＩＬを特定する。具体的には、車載用ゲートウェイ装置１は、セキュリティテーブル５から「装置名」フィールドの値が、ＥＣＵ２、ＥＣＵ３のデータをそれぞれ検索する。図５に示すセキュリティテーブル５では、第２レコード、第３レコードがそれぞれヒットする。

車載用ゲートウェイ装置１は、セキュリティテーブル５の第２レコードの「ＡＳＩＬ」フィールドＤ２の値から送信先のＥＣＵ２のＡＳＩＬが「ＱＭ」であることを特定する。
同様に、車載用ゲートウェイ装置１は、セキュリティテーブル５の第３レコードの「ＡＳＩＬ」フィールドＤ２の値から送信先のＥＣＵ３のＡＳＩＬが「Ｂ」であることを特定する。

これにより、車載用ゲートウェイ装置１は、データ４００を送信したＥＣＵ１のＡＳＩＬと送信先のＥＣＵ２、ＥＣＵ３のＡＳＩＬがそれぞれ異なると判定する（Ｓ３：ＹＥＳ）。

車載用ゲートウェイ装置１は、セキュリティテーブル５の第１レコードの「暗号方式」フィールドの値からＥＣＵ１が「ＣＭＡＣ」でデータ４００を暗号化したことを特定し、受信したデータ４００を暗号方式「ＣＭＡＣ」で復号化する（Ｓ４）。

車載用ゲートウェイ装置１は、送信先（転送先）のＥＣＵのＡＳＩＬが「ＱＭ」以外であるか否かを判定する（Ｓ５）。図５の例では、送信先のＥＣＵ２のＡＳＩＬは「ＱＭ」であるため、車載用ゲートウェイ装置１は、Ｓ４で復号化したデータ４００から平文の素データ４０２（ＣＡＮフレーム）を生成して送信する（Ｓ７）。また、送信先のＥＣＵ３のＡＳＩＬは「Ｂ」であるため、車載用ゲートウェイ装置１は、Ｓ４で復号化したデータ４００をセキュリティテーブル５の第３レコードの「鍵ＩＤ」フィールドの値「Ｂ」が示す暗号鍵を用いて、Ｓ４で復号化したデータ４００を「暗号方式」フィールドの値「ＨＭＡＣ」で暗号化し（Ｓ６）、データ強度Ｂのデータ４０３（ＣＡＮフレーム）を生成して送信する（Ｓ７）。

換言すれば、車載用ゲートウェイ装置１のマイコン１１は、転送先に要求される安全度を示すＡＳＩＬ（安全度情報）に基づいてデータ４００（第１データ）から転送先に転送するデータ４０２、４０３（第２データ）を生成するセキュリティ制御部４として機能する。また、車載用ゲートウェイ装置１の通信装置１５は、データ４０２、４０３（第２データ）を転送先へ送信する送信部として機能する。

詳細には、マイコン１１（セキュリティ制御部４）は、転送先のＡＳＩＬ（安全度情報）に応じてデータ４０２、４０３（第２データ）の暗号強度を設定する。具体的には、マイコン１１（セキュリティ制御部４）は、転送先のＡＳＩＬ（安全度情報）に応じてデータ４００（第１データ）の暗号鍵を交換する又はデータ４００の暗号化を解除することにより、データ４０２、４０３（第２データ）を生成する。

例えば、マイコン１１（セキュリティ制御部４）は、転送先のＡＳＩＬ（安全度情報）に応じて、第１暗号鍵（鍵ＩＤ＝Ｄ）を用いてデータ４００（第１データ）を復号化し、第１暗号鍵と異なる第２暗号鍵（鍵ＩＤ＝Ｂ）を用いて暗号化することにより、データ４００の暗号鍵を交換し、転送先のＡＳＩＬが最も低い安全度を示す場合、第１暗号鍵（鍵ＩＤ＝Ｄ）を用いてデータ４００を復号化することにより、データ４００の暗号化を解除する。これにより、転送先のＡＳＩＬに応じて、転送先毎にセキュリティを導入できる。

ＥＣＵ２（Ｎ３０１）は、暗号化されていない素データ４０２を受信し、受信した素データ４０２を用いて、所定の処理を行う。一方、ＥＣＵ３（Ｎ２０１）は、車載用ゲートウェイ装置１から配信された鍵ＩＤ「Ｂ」に対応する暗号鍵を用いて、暗号化されたデータ強度Ｂのデータ４０３を復号化し、復号化したデータ用いて所定の処理を行う。

このようにして、ＥＣＵ２（Ｎ３０１）は、素データ４０２を復号化なしでデータ受信のみでデータを取り扱う。ＥＣＵ３（Ｎ２０１）は、データ受信時にデータ強度Ｂのデータ４０３を対象アルゴリズム（ＨＭＡＣ）で復号化しデータを取り扱う。

以上説明したように、本実施形態によれば、車載ネットワークに段階的にセキュリティを導入することができる。具体的には、セキュリティ機能対応ＥＣＵ（復号機能あり）と従来ＥＣＵ（復号機能なし）との混在を許容する事で、セキュリティ導入を容易とする。
また従来ＥＣＵには、変更工数をかけずに、ネットワークにセキュリティ機能をいれる事ができる。ゲートウェイで認証や鍵管理を行う為、ゲートウェイでセキュリティ機能の一元管理がでるので早急な事故対応を可能とする。

なお、本発明は上記した実施形態に限定されるものではなく、様々な変形例が含まれる。例えば、上述した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施形態の構成の一部を他の実施形態の構成に置き換えることが可能であり、また、ある実施形態の構成に他の実施形態の構成を加えることも可能である。また、各実施形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

上記実施形態では、ルーティングテーブル３及びセキュリティテーブル５の各フィールドには予め値が格納されているが、各ＥＣＵから指定して登録するようにしてもよい。

また、上記の各構成、機能等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサ（マイコン）がそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、SSD（Solid State Drive）等の記録装置、または、ICカード、SDカード、DVD等の記録媒体に置くことができる。

なお、本発明の実施形態は、以下の態様であってもよい。

（１）他の車載処理装置と接続された車載処理装置において、前記他の車載処理装置の安全度情報が格納された記憶部と、前記他の車載処理装置に送信されるデータを前記他の車載処理装置の安全度情報に基づいて処理する送信データ処理部と、前記送信用データ処理部で処理されたデータを前記他の車載処理装置へ送信する送信部と、を備える、車載処理装置。

（２）前記送信データ処理部は、前記他の車載処理装置に送信されるデータを暗号化する暗号化部である、（１）に記載の車載処理装置。

（３）前記暗号化部は、前記データを暗号化する際の暗号化レベルを、前記安全度情報に基づいて設定する（２）に記載の車載処理装置。

（４）（１）に記載の車載処理装置において、前記暗号化部は、他の車載用ゲートウェイ装置から送信されたデータに付与された識別番号に基づいて、前記データを処置する他の車載用ゲートウェイ装置を特定した後、前記他の車載処理装置の情報と前記安全度情報とを、照合して、前記データを送信する際の暗号化レベルを設定する。

（５）（１）に記載の車載処理装置において、複数の車載用ゲートウェイ装置の少なくとも１つは、車載処理装置である。

（６）（１）に記載の車載処理装置において、複数の車載処理装置の少なくとも１つは、ＥＣＵである。

（７）（１）に記載の車載処理装置に暗号レベルが複数割り当てられ暗号レベルと、出力先車載装置が対応づけられた設定テーブルを有するゲートウェイ装置。

（８）（１）に記載の車載処理装置に安全度が複数割り当てられ安全度レベルと、暗号レベルが対応づけられた設定テーブルを有するゲートウェイ装置。

（９）（１）に記載の車載処理装置に暗号方式が複数割り当てられ暗号方式と、暗号レベルが対応づけられた設定テーブルを有するゲートウェイ装置。

１ 車載用ゲートウェイ装置
２ ルーティング制御（部）
３ ルーティングテーブル
４ セキュリティ制御（部）
５ セキュリティテーブル
６ 暗号化・復号化アルゴリズム（ＣＭＡＣ）
７ 暗号化・復号化アルゴリズム（ＨＭＡＣ）
８ 鍵情報
１１ マイコン
１２ ＳＲＡＭ
１３ ＦＬＡＳＨ
１４ 入出力装置
１５ 通信装置
１００ 安全度ＡＳＩＬ−ＤのＥＣＵ
Ｎ１０１ ＥＣＵ１
Ｎ１０２ ＥＣＵ４
Ｎ２００ 安全度ＡＳＩＬ−ＢのＥＣＵ
Ｎ２０１ ＥＣＵ３
Ｎ２０２ ＥＣＵ５
Ｎ３００ 安全度ＡＳＩＬ−ＱＭのＥＣＵ
Ｎ３０１ ＥＣＵ２
Ｎ３０２ ＥＣＵ６
４００ データ強度Ｄのデータ
４０１ 受信データ
４０２ 素データ
４０３ データ強度Ｂのデータ
５０１ 鍵情報Ｂ
５０２ 鍵情報Ｄ

Claims (9)

1. 識別子を含む第１データを受信する受信部と、
   前記識別子に対応する転送先を特定するルーティング制御部と、
   前記転送先に要求される安全度を示す安全度情報に基づいて前記第１データから前記転送先に転送する第２データを生成するセキュリティ制御部と、
   前記第２データを前記転送先へ送信する送信部と、
   を備えることを特徴とする車載処理装置。
2. 請求項１に記載の車載処理装置であって、
   前記セキュリティ制御部は、
   前記転送先の前記安全度情報に応じて前記第２データの暗号強度を設定する ことを特徴とする車載処理装置。
3. 請求項２に記載の車載処理装置であって、
   前記第１データは、
   暗号化されており、
   前記セキュリティ制御部は、
   前記転送先の前記安全度情報に応じて前記第１データの暗号鍵を交換する又は前記第１データの暗号化を解除することにより、前記第２データを生成する
   ことを特徴とする車載処理装置。
4. 請求項３に記載の車載処理装置であって、
   前記第１データは、
   第１暗号鍵を用いて暗号化されており、
   前記セキュリティ制御部は、
   前記転送先の前記安全度情報に応じて、前記第１暗号鍵を用いて前記第１データを復号化し、前記第１暗号鍵と異なる第２暗号鍵を用いて暗号化することにより、前記第１データの暗号鍵を交換し、
   前記転送先の前記安全度情報が最も低い前記安全度を示す場合、前記第１暗号鍵を用いて前記第１データを復号化することにより、前記第１データの暗号化を解除する
   ことを特徴とする車載処理装置。
5. 請求項２に記載の車載処理装置であって、
   前記転送先、及び前記転送先に対応する前記安全度情報の組合せを記憶する記憶装置を備え、
   前記セキュリティ制御部は、
   前記記憶装置から前記転送先に対応する前記安全度情報を読み出し、読み出した前記安全度情報に応じて、前記第２データの暗号強度を設定する
   ことを特徴とする車載処理装置。
6. 請求項５に記載の車載処理装置であって、
   前記記憶装置は、
   前記安全度情報、及び前記安全度情報に対応する暗号方式の組合せを記憶し、
   前記セキュリティ制御部は、
   前記記憶装置から前記安全度情報に対応する前記暗号方式を読み出し、読み出した前記暗号方式を用いて、前記第２データの暗号強度を設定する
   ことを特徴とする車載処理装置。
7. 請求項６に記載の車載処理装置であって、
   前記記憶装置は、
   前記安全度情報、及び前記安全度情報に対応する暗号鍵の情報を示す暗号鍵情報の組合せを記憶し、
   前記セキュリティ制御部は、
   前記記憶装置から前記安全度情報に対応する前記暗号鍵情報を読み出し、読み出した前記暗号鍵情報が示す暗号鍵を前記転送先に配信する
   ことを特徴とする車載処理装置。
8. 請求項１に記載の車載処理装置であって、
   前記安全度情報は、
   自動車安全度水準ＡＳＩＬである
   ことを特徴とする車載処理装置。
9. 第１の車載処理装置、第２の車載処理装置、及び第３の車載処理装置を含む車載システムであって、
   第１の車載処理装置は、
   識別子を含む第１データを送信し、
   前記第２の車載処理装置は、
   前記第１データを受信する受信部と、
   前記識別子に対応する転送先を特定するルーティング制御部と、
   前記転送先に要求される安全度を示す安全度情報に基づいて前記第１データから前記転送先に転送する第２データを生成するセキュリティ制御部と、
   前記第２データを前記転送先である前記第３の車載処理装置へ送信する送信部と、を備え、
   前記第３の車載処理装置は、
   前記第２データを受信し、受信した前記第２データを用いて所定の処理を行う
   ことを特徴とする車載システム。

Images