WO2017010172A1 - ゲートウェイ装置およびその制御方法 - Google Patents

ゲートウェイ装置およびその制御方法 Download PDF

Info

Publication number
WO2017010172A1
WO2017010172A1 PCT/JP2016/065246 JP2016065246W WO2017010172A1 WO 2017010172 A1 WO2017010172 A1 WO 2017010172A1 JP 2016065246 W JP2016065246 W JP 2016065246W WO 2017010172 A1 WO2017010172 A1 WO 2017010172A1
Authority
WO
WIPO (PCT)
Prior art keywords
domain
message
key
gateway device
domains
Prior art date
Application number
PCT/JP2016/065246
Other languages
English (en)
French (fr)
Inventor
伸義 森田
信 萱島
大和田　徹
恵輔 伯田
Original Assignee
日立オートモティブシステムズ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日立オートモティブシステムズ株式会社 filed Critical 日立オートモティブシステムズ株式会社
Priority to US15/743,691 priority Critical patent/US10560286B2/en
Priority to CN201680034661.3A priority patent/CN107710676B/zh
Priority to EP16824152.9A priority patent/EP3324574B1/en
Publication of WO2017010172A1 publication Critical patent/WO2017010172A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1475—Passive attacks, e.g. eavesdropping or listening without modification of the traffic monitored

Definitions

  • the present invention has been made in view of the above problems, and an object thereof is to reduce the management burden of a key for generating a message tampering detection code.
  • the in-vehicle bus 40 may be, for example, CAN or CAN FD (Flexible Data-Rate). Further, the number of in-vehicle buses 40 may be two, and the number of domains may be two.
  • the GW apparatus 10 includes an out-of-vehicle communication unit 11, a replacement processing unit 12, a routing processing unit 13, an in-vehicle communication unit 14, and a key related information storage unit 15.
  • the vehicle exterior communication unit 11 is connected to a device or center outside the vehicle 30 via a network (wired or wireless) 50, and transmits / receives messages to / from the vehicle exterior.
  • the replacement processing unit 12 determines whether the received message is a MAC replacement target.
  • the MAC replacement determination information 151 is information used to determine whether or not the message received by the replacement processing unit 12 is a replacement target.
  • the key information 152 is key information of each domain divided by the GW apparatus 10, and the replacement processing unit 12 calculates a MAC corresponding to the communication destination domain using the domain key acquired from the key information 152.
  • the message generating unit 23 generates a message by assigning the MAC calculated using the domain key selected by the key using unit 22.
  • the key related information storage unit 24 holds usage key information 241.
  • the usage key information 241 is domain key information added to the message, and the message generation unit 23 calculates the MAC using the domain key acquired from the usage key information 241.
  • the inter-domain key is a short cycle (high cycle) message, a message transmitted to a plurality of domains, a message prioritized in communication arbitration, or a domain having high importance in terms of security and functional safety. Although it may be set individually for a message to be communicated, it is not limited to this example.
  • the inter-domain key target column 1514 is used in the second embodiment.
  • FIG. 6 shows an example of the table configuration of the key information 152 referred to in step 102.
  • the domain column 1521 shows the domain of the in-vehicle network (in-vehicle bus 40) divided by the GW device 10.
  • the domain key column 1522 indicates a domain key set for each domain in the domain column 1521.
  • the total number of domains that are communication destinations acquired at step 1007 and the number of transmitted messages are managed, and the number of messages is counted up every time a message is transmitted. You may determine by comparing the number of transmitted messages.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Health & Medical Sciences (AREA)
  • Computing Systems (AREA)
  • Power Engineering (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

２以上のドメイン間でメッセージを中継するゲートウェイ装置であって、前記２以上のドメインの中の第１のドメインに対応する第１の改ざん検知符号と第１のデータを含む第１のメッセージを前記第１のドメインから受信し、前記２以上のドメインの中の第２のドメインに対応する第２の改ざん検知符号と前記第１のデータを含む第２のメッセージを前記第２のドメインへ送信する。

Description

ゲートウェイ装置およびその制御方法
　本発明は、ゲートウェイ装置およびその制御方法に関するものである。
　自動車の車載ネットワークにおける代表的な標準プロトコルとしてＣｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ（以下、ＣＡＮ）が普及している。このような車載ネットワークでは、ＯＢＤ２（Ｏｎ－Ｂｏａｒｄ－Ｄｉａｇｎｏｓｔｉｃｓ　２）ポートのような車載ネットワークに直接繋がっているインタフェースに不正な機器を接続し、リプレイ攻撃が行なわれる危険性がある。ここで、リプレイ攻撃とは、通信路上を流れるメッセージを盗聴して事前に取得し、取得したメッセージを再送することで不正な動作を引き起こす攻撃である。
　他にも、車外のシステムと連携する情報処理装置がマルウェアに感染し、感染した装置が偽メッセージを車載ネットワークに送信し、メッセージを受信した制御装置が誤動作を引き起こすといった危険性もある。
　通常、これらの脅威に対しては、各情報処理装置間を流れるメッセージに対して、改ざん検知符号としてＭＡＣ（Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｃｏｄｅ）を用いたメッセージ認証を実施することが有効とされている。ＭＡＣは暗号化用の鍵を利用し、所定の暗号アルゴリズムを用いて生成されるため、各制御装置において鍵の管理が必要となる。
　このような技術に関して、特許文献１には、通信フレーム部分にメッセージ種別の識別子とともにセキュリティ情報（改ざん検知符号）を含ませ、セキュリティ情報は各正規ノードの通信のセッション鍵とする技術が開示されている（要約）。
特開２０１４－１８３３９５号公報
　特許文献１に開示された技術を用いれば、正規の通信であることを確認することは可能である。しかしながら、特許文献１には鍵を管理する技術に関する開示はない。車載システムでは各装置の処理能力に制約があるため、鍵の管理においても負担の少ない技術が必要とされている。
　そこで、本発明は、以上の問題に鑑みてなされたものであり、メッセージの改ざん検知符号を生成する鍵の管理負担の低減を目的とする。
　上記目的を達成するために、本発明に係る代表的なゲートウェイ装置は、２以上のドメイン間でメッセージを中継するゲートウェイ装置であって、前記２以上のドメインの中の第１のドメインに対応する第１の改ざん検知符号と第１のデータを含む第１のメッセージを前記第１のドメインから受信し、前記２以上のドメインの中の第２のドメインに対応する第２の改ざん検知符号と前記第１のデータを含む第２のメッセージを前記第２のドメインへ送信することを特徴とする。
　本発明によれば、メッセージの改ざん検知符号を生成する鍵の管理負担を低減することが可能になる。
車載システムの構成の例を示す図である。 ドメイン間通信の処理シーケンスの例を示す図である。 送信制御装置の処理フローの例を示す図である。 ＧＷ装置の処理フローの例を示す図である。 受信制御装置の処理フローの例を示す図である。 鍵情報のテーブル構成の例を示す図である。 ＭＡＣ付け替え判定情報のテーブル構成の例を示す図である。 送信制御装置のドメイン間鍵処理を含む処理フローの例を示す図である。 ＧＷ装置のドメイン間鍵処理を含む処理フローの例を示す図である。 受信制御装置のドメイン間鍵処理を含む処理フローの例を示す図である。 利用鍵情報のテーブル構成の例を示す図である。 ナンスを含むドメイン間通信の処理シーケンスの例を示す図である。
　以下、本発明の実施形態について、実施例を用い、図面を参照しながら詳細に説明する。
　実施例１では、各制御装置がドメインごとに共有されるドメイン鍵を管理し、メッセージに対して、ドメイン鍵を用いて算出したＭＡＣを付与し、ＧＷ装置は付け替え処理部とＭＡＣ付け替え判定情報を用いて受信したメッセージがＭＡＣの付け替え対象なのかどうかを判定し、付け替え対象のメッセージに対してＭＡＣの付け替えを行い、ルーティング処理部を用いて通信先のドメインにメッセージを送信することを可能とする鍵管理の例を説明する。
　ただし、実施例１の構成は、この例に限定されるものではない。なお、各装置で利用する暗号用の鍵は、製品開発時やメンテナンス時などの任意のタイミングで安全に配布、更新されていることが好ましい。
　図１は、車載システムの構成の例を示す図である。車両３０に搭載されているＧＷ装置１０は、車内バス４０を介して、制御装置２０と互いに接続されている。なお、車内バス４０－１、４０－２、・・・４０－ｎ（ｎは３以上の自然数）を区別なく代表して表す場合は車内バス４０と記載し、制御装置２０－１ａ、２０－１ｂ、２０－２、・・・２０－ｎを区別なく代表して表す場合は制御装置２０と記載する。
　ここで、車内バス４０としては、例えば、ＣＡＮやＣＡＮ　ＦＤ（Ｆｌｅｘｉｂｌｅ　Ｄａｔａ－Ｒａｔｅ）であってもよい。また、車内バス４０の個数は２であってもよく、ドメインの個数も２であってもよい。
　ＧＷ装置１０は、車外通信部１１、付け替え処理部１２、ルーティング処理部１３、車内通信部１４、鍵関連情報記憶部１５から成る。車外通信部１１はネットワーク（有線、無線）５０を介して車両３０の外の装置、或いはセンタ等と接続し、車外とのメッセージの送受信を行なう。付け替え処理部１２は受信したメッセージがＭＡＣの付け替え対象なのかどうかを判定する。
　ルーティング処理部１３は付け替え処理部１２の判定結果に基づいて通信先の制御装置２０を特定し、送信するメッセージを作成する。車内通信部１４はルーティング処理部１３が生成したメッセージを該当するドメインの車内バス４０に送信する。鍵関連情報記憶部１５はＭＡＣ付け替え判定情報１５１と鍵情報１５２を保持する。
　ＭＡＣ付け替え判定情報１５１は付け替え処理部１２の受信したメッセージが付け替え対象であるのか否かを判定するために利用される情報である。鍵情報１５２はＧＷ装置１０によって分割された各ドメインの鍵情報であり、付け替え処理部１２は鍵情報１５２から取得したドメイン鍵を用いて通信先のドメインに対応するＭＡＣを算出する。
　制御装置２０は、車内通信部２１、鍵利用部２２、メッセージ生成部２３、鍵関連情報記憶部２４から成る。車内通信部２１は車内バス４０にメッセージを送信する、或いは車内バス４０からメッセージを受信する。鍵利用部２２は制御装置２０が接続されているドメインに設定されたドメイン鍵を選択し、例えばＭＡＣの生成および検証を行なう。
　メッセージ生成部２３は、鍵利用部２２が選択したドメイン鍵を用いて算出したＭＡＣを付与してメッセージを生成する。鍵関連情報記憶部２４は利用鍵情報２４１を保持する。利用鍵情報２４１はメッセージに付与するドメイン鍵の情報であり、メッセージ生成部２３は利用鍵情報２４１から取得したドメイン鍵を用いてＭＡＣを算出する。
　なお、制御装置２０は、車両３０を制御するための図示を省略したセンサ機器やアクチュエータ等と接続されてもよく、それらを備えてもよい。また、制御装置２０－１ａと制御装置２０－１ｂが車内バス４０－１に接続されているように、複数の制御装置２０が１つの車内バス４０に接続され、１つのドメインに属してもよい。
　また、利用鍵情報２４１、ＭＡＣ付け替え判定情報１５１、鍵情報１５２のそれぞれの情報は、図示を省略した入力装置から予め設定されてもよいし、ネットワーク５０経由で予め設定されてもよい。
　図２は、制御装置２０がＧＷ装置１０を介して異なるドメインの制御装置２０に対してメッセージを送信する、すなわちドメイン間通信における概要処理シーケンスの例を示す図である。なお、送信制御装置２０－３と受信制御装置２０－４は、複数の制御装置２０の中から送信する制御装置２０と受信する制御装置２０の例として挙げたものであり、制御装置２０と同じ構成を有している。
　以下のステップ２１０１からステップ２１０４は送信制御装置２０－３の処理である。ステップ２１０１では、メッセージ生成部２３が、車両３０の走行制御に用いる制御パラメータ情報を、例えば送信制御装置２０－３に備わるセンサ機器等から取得する。
　ステップ２１０２では、鍵利用部２２が、利用鍵情報２４１から送信制御装置２０－３が接続されたドメインのドメイン鍵を取得し、取得したドメイン鍵を用いてＭＡＣを算出する。例えば、取得した制御パラメータ情報をメッセージのデータとし、メッセージのＩＤ情報等の送受信に必要な情報をメッセージのヘッダとして、データとヘッダへドメイン鍵を適用することによりＭＡＣを算出してもよい。また、データのみにドメイン鍵を適用することによりＭＡＣを算出してもよい。
　ステップ２１０３では、メッセージ生成部２３が、メッセージのデータとなるステップ２１０１で取得した制御パラメータ情報と、ステップ２１０２で算出したＭＡＣをもとに、通信用のメッセージを生成する。なお、メッセージはヘッダや図示を省略したフッタ等を含んでもよい。ステップ２１０４では、メッセージ生成部２３が、車内通信部２１を用いてステップ２１０３で生成したメッセージを車内バス４０に送信する。
　ステップ１０１では、付け替え処理部１２は、車内通信部１４から受信したメッセージのＩＤ情報がＭＡＣの付け替え対象であるのか否かを、ＭＡＣ付け替え判定情報１５１をもとに判定する。受信したメッセージがＭＡＣの付け替え対象と判定した場合はステップ１０２に進み、ＭＡＣの付け替え対象ではないと判定した場合は処理を終了し、エラー処理に移行する。
　図７に、ステップ１０１で参照されるＭＡＣ付け替え判定情報１５１のテーブル構成の例を示す。ＣＡＮ－ＩＤ欄１５１１は、メッセージを識別する情報すなわちメッセージのＩＤ情報を示す。図７では、ＣＡＮ－ＩＤを情報の例とし、ＣＡＮ－ＩＤ欄１５１１としたが、メッセージを識別可能な情報であればＣＡＮ－ＩＤ以外の情報を用いてもよい。
　通信関係ドメイン欄１５１２は、ＣＡＮ－ＩＤ欄１５１１の値を使用するメッセージで通信関係のあるドメインを示す。ＭＡＣ付け替え要否欄１５１３は、ＣＡＮ－ＩＤ欄１５１１の値を使用するメッセージがＭＡＣの付け替え対象なのか、非対象なのかを示す。ＭＡＣ付け替え要否欄１５１３の値が「要」の場合はメッセージに付与されたＭＡＣは付け替えの対象となり、「否」の場合はメッセージに付与されたＭＡＣは付け替えの対象とならない。
　ドメイン間鍵対象欄１５１４は、ＣＡＮ－ＩＤ欄１５１１の値を使用するメッセージがドメイン間鍵の対象であるのか、非対象であるのかを示す。ドメイン間鍵対象欄１５１４の値が「該当」の場合はドメイン間鍵を用いてＭＡＣを算出する対象であることを示し、「非該当」の場合はドメイン間鍵を用いないことを示す。
　ここで、ドメイン間鍵は、周期の短い（高周期の）メッセージ、或いは複数のドメインに送信されるメッセージ、通信調停において優先されるメッセージ、或いはセキュリティや機能安全の観点で重要度の高いドメインと通信されるメッセージ等に対して個々に設定してもよいが、この例に限らないものである。なお、ドメイン間鍵対象欄１５１４は実施例２で用いられる。
　ステップ１０２では、付け替え処理部１２は、受信したメッセージ（ヘッダとデータ）と鍵情報１５２から取得したドメイン鍵を用いてＭＡＣを算出し、受信したメッセージに付与されたＭＡＣと、算出したＭＡＣを比較し、ＭＡＣの値が一致している場合はステップ１０３に進み、ＭＡＣの値が一致していない場合は本処理を終了して、エラー処理に移行する。
　図６に、ステップ１０２で参照される鍵情報１５２のテーブル構成の例を示す。ドメイン欄１５２１は、ＧＷ装置１０によって分割される車載ネットワーク（車内バス４０）のドメインを示す。ドメイン鍵欄１５２２は、ドメイン欄１５２１のドメインごとに設定されるドメイン鍵を示す。
　鍵情報１５２のテーブルのドメインとドメイン鍵の設定は、図示を省略した入力画面を表示して、それぞれドメインとドメイン鍵との組合せが入力されることによる設定であってもよい。また、予め設定されたドメインを入力画面に表示し、各ドメインに対応するドメイン鍵の入力枠を表示して、各入力枠にドメイン鍵が入力されることによる設定であってもよい。ここで、図１に示すようにドメイン１には制御装置２０－１ａと制御装置２０－１ｂの２つが属する場合もあるため、ドメイン鍵の入力枠の表示の個数は、制御装置２０の個数よりも少ない個数であってもよい。
　ステップ１０３では、付け替え処理部１２が、受信したメッセージが送られてきた車内バス４０のドメインと、通信関係ドメイン欄１５１２をもとに、通信先のドメインを特定し、特定した通信先のドメインをもとに鍵情報１５２から取得したドメイン鍵を用いてＭＡＣを算出する。ステップ１０４では、付け替え処理部１２が、受信したメッセージのＭＡＣをステップ１０３で生成したＭＡＣに付け替える。
　ステップ１０５では、ルーティング処理部１３が、ステップ１０３で特定した通信先となるドメインの情報を取得する。ここで、ステップ１０３において付け替え処理部１２が、図示を省略した一時的なメモリ上に通信先のドメインの情報を格納しておいてもよい。ステップ１０６では、ルーティング処理部１３が、ステップ１０４で生成したメッセージを、ステップ１０５で取得した通信先となるドメインの車内バス４０に送信する。
　なお、ステップ１０３からステップ１０６までの処理を、通信先のドメインの数だけ繰り返し実施する。
　以下のステップ２２０１からステップ２２０２は受信制御装置２０－４の処理である。ステップ２２０１では、鍵利用部２２が、利用鍵情報２４１から受信制御装置２０－４が接続されているドメインのドメイン鍵を取得し、受信したメッセージ（ヘッダ、データ）をもとにＭＡＣを算出し、算出したＭＡＣと受信したメッセージに付与されたＭＡＣを比較する。
　ＭＡＣの値が一致している場合はステップ２２０２に進み、ＭＡＣの値が一致していない場合は本処理を終了し、エラー処理に移行する。ステップ２２０２では、受信制御装置２０－４が受信したメッセージのデータである制御パラメータ情報をもとに走行制御を実施する。
　以上のステップにより、制御装置２０はＧＷ装置１０を介したドメイン間通信において、異なるドメインの制御装置２０にメッセージを送信できる。なお、ＧＷ装置１０の処理負荷を低減するために、ステップ１０２におけるＭＡＣの検証処理を省略してもよい。
　また、ＭＡＣは暗号化用の鍵を利用して所定の暗号アルゴリズムにより生成されるため、ＭＡＣの生成の代わりに暗号化されたデータを生成してメッセージに含め、暗号化のもととなったデータはメッセージに含めず、メッセージを送信してもよい。このように暗号化されたデータがメッセージに含められて送信される場合は、ＭＡＣの値が一致するかを比較して判定するＭＡＣ検証処理を省略してもよい。
　図３は、図２のステップ２１０１からステップ２１０４までの、送信制御装置２０－３の詳細な処理フローの例を示す図である。ステップ２１００１では、メッセージ生成部２３が、車両の走行制御に用いる制御パラメータ情報を、例えば送信制御装置２０－３に備わるセンサ機器等から取得する。
　ステップ２１００２では、メッセージ生成部２３が、ステップ２１００１で取得した制御パラメータ情報に対応するＣＡＮ－ＩＤを取得する。なお、予め制御パラメータ情報の種類に応じてＣＡＮ－ＩＤが設定され、図示を省略したメモリ等に記憶されている。
　ステップ２１００３では、鍵利用部２２が、ステップ２１００２で取得したＣＡＮ－ＩＤがメッセージ認証の対象であるのか否かを判定する。メッセージ認証の対象となる場合はステップ２１００４に進み、メッセージ認証の対象とならない場合はステップ２１００６に進む。なお、予めメッセージ認証の対象となるＣＡＮ－ＩＤのリストが設定され、図示を省略したメモリ等に記憶されている。
　ステップ２１００４では、鍵利用部２２が、利用鍵情報２４１から送信制御装置２０－３の接続されたドメインのドメイン鍵を取得する。ステップ２１００５では、鍵利用部２２が、ステップ２１００４で取得したドメイン鍵を用いてＭＡＣを算出する。
　ステップ２１００６では、メッセージ生成部２３が、ステップ２１００３においてメッセージ認証の対象外となった場合は、ステップ２１００１で取得した制御パラメータ情報をもとに通信用メッセージを生成する。一方、ステップ２１００３においてメッセージ認証の対象となった場合は、ステップ２１００１で取得した制御パラメータ情報と、ステップ２１００５で算出したＭＡＣをもとに、通信用のメッセージを生成する。
　ステップ２１００７では、メッセージ生成部２３が、車内通信部２１を用いて、ステップ２１００６で生成したメッセージを車内バス４０に送信する。
　以上のステップ２１００１からステップ２１００７により、送信制御装置２０－３は、ドメイン鍵を用いて算出したＭＡＣを付与したメッセージを車内バス４０に送信できる。
　図４は、図２のステップ１０１からステップ１０６までの、ＧＷ装置１０の詳細な処理フローの例を示す図である。ステップ１００１では、付け替え処理部１２が、受信したメッセージに付与されたＣＡＮ－ＩＤを取得する。
　ステップ１００２では、付け替え処理部１２が、ＭＡＣ付け替え判定情報１５１を参照し、ステップ１００１で取得したＣＡＮ－ＩＤと一致するＣＡＮ－ＩＤ欄１５１１のＣＡＮ－ＩＤに対応するＭＡＣ付け替え要否欄１５１３の情報を取得し、取得したＭＡＣ付け替え要否欄１５１３の情報が「要」の場合はステップ１００３に進み、「否」の場合は本処理を終了する。
　ステップ１００３では、付け替え処理部１２が、受信したメッセージが送られてきた車内バス４０のドメインすなわち通信元のドメインを取得し、取得したドメインと一致するドメイン欄１５２１のドメインに対応するドメイン鍵欄１５２２のドメイン鍵を取得する。
　ここで、図１に示した例のように車内通信部１４へドメイン１の車内バス４０－１、ドメイン２の車内バス４０－２、ドメインｎの車内バス４０－ｎが独立して接続され、どの接続の車内バス４０から受信したかに応じて、受信したメッセージが送られてきた車内バス４０のドメインを取得してもよいし、メッセージにドメインを特定する情報が含まれて、その情報からドメインを取得してもよい。
　ステップ１００４では、付け替え処理部１２が、受信したメッセージとステップ１００３で取得したドメイン鍵を用いてＭＡＣを算出し、受信したメッセージに付与されているＭＡＣと算出したＭＡＣを比較して検証する。ここで、２つのＭＡＣの値が一致した場合は正しく、一致しなかった場合は正しくないとする。
　ステップ１００５では、付け替え処理部１２が、ステップ１００４におけるＭＡＣの比較の結果、ＭＡＣが一致して正しかった場合はステップ１００７に進み、一致せずにＭＡＣが正しくなかった場合はステップ１００６に進む。ステップ１００６では、付け替え処理部１２が、例えばエラーが発生したことを車内バス４０経由で各制御装置等に通知し、本処理を終了する。
　ステップ１００７では、付け替え処理部１２が、ステップ１００１で取得したＣＡＮ－ＩＤと一致するＣＡＮ－ＩＤ欄１５１１のＣＡＮ－ＩＤに対応する通信関係ドメイン欄１５１２のドメインを取得する。この通信関係ドメイン欄１５１２から取得したドメインの中で、ステップ１００３で取得した通信元のドメイン以外のドメインを通信先のドメインとして取得する。そして、取得した通信先のドメインと一致するドメイン欄１５２１のドメインに対応するドメイン鍵欄１５２２のドメイン鍵を鍵情報１５２から取得する。
　ステップ１００８では、付け替え処理部１２が、受信したメッセージとステップ１００７で取得した通信先のドメインのドメイン鍵を用いてＭＡＣを算出する。ステップ１００９では、付け替え処理部１２は、受信したメッセージに付与されたＭＡＣの代わりに、ステップ１００８で算出したＭＡＣを付与し、メッセージを再生成する。
　ステップ１０１０では、ルーティング処理部１３が、ステップ１００９で生成したメッセージをステップ１００７で取得した通信先となるドメインの車内バス４０に送信する。
　ステップ１０１１では、ルーティング処理部１３が、対象となる全ての通信先のドメインに対して、ステップ１００９で生成したメッセージを送信した場合は本処理を終了し、対象となる全ての通信先のドメインに対してメッセージを送信できていない場合は、ステップ１００８に戻る。
　ステップ１０１１の判定として、例えば、ステップ１００７で取得した通信先となるドメインの総数と送信したメッセージ数を管理し、メッセージを送信するたびにメッセージ数をカウントアップし、通信先となるドメインの総数と送信したメッセージ数を比較することで判定してもよい。
　以上のステップ１００１からステップ１０１１により、ＧＷ装置１０はＭＡＣの付け替えが必要なメッセージに対して、ＭＡＣを付け替えた上で、通信先となるドメインにメッセージを転送できる。
　図５は、図２のステップ２２０１からステップ２２０２までの、受信制御装置２０－４の詳細な処理フローの例を示す図である。ステップ２２００１では、鍵利用部２２が、受信したメッセージに付与されたＣＡＮ－ＩＤを取得する。
　ステップ２２００２では、鍵利用部２２が、ステップ２２００２で取得したＣＡＮ－ＩＤがメッセージ認証の対象であるのか否かを判定する。メッセージ認証の対象となる場合はステップ２２００３に進み、メッセージ認証の対象とならない場合はステップ２２００７に進む。なお、予めメッセージ認証の対象となるＣＡＮ－ＩＤのリストが設定され、図示を省略したメモリ等に記憶されている。
　ステップ２２００３では、鍵利用部２２が、受信制御装置２０－４の接続された車内バス４０のドメインに該当するドメイン鍵を利用鍵情報２４１から取得する。ステップ２２００４では、鍵利用部２２が、受信したメッセージとステップ２２００３で取得したドメイン鍵を用いてＭＡＣを算出し、受信したメッセージに付与されたＭＡＣと算出したＭＡＣを比較して検証する。ここで、ＭＡＣの値が一致した場合は正しく、一致しなかった場合は正しくないとする。
　ステップ２２００５では、鍵利用部２２が、ステップ２２００４におけるＭＡＣの比較の結果、ＭＡＣが一致して正しかった場合はステップ２２００７に進み、ＭＡＣが一致せずに正しくなかった場合はステップ２２００６に進む。ステップ２２００６では、鍵利用部２２が、例えばエラーが発生したことを車内バス４０経由で各制御装置等に通知し、本処理を終了する。ステップ２２００７では、受信制御装置２０－４が、受信したメッセージをもとに走行制御を実施する。
　以上のステップ２２００１からステップ２２００７により、受信制御装置２０－４は、車内バス４０を介して受信したメッセージに対してドメイン鍵を用いてＭＡＣを検証し、走行制御を実施できる。
　以上、実施例１によれば、各制御装置２０はドメインごとに共有されるドメイン鍵を管理し、ＧＷ装置１０は受信したメッセージがＭＡＣの付け替え対象であるのか否かを判定し、付け替え対象のメッセージに対してＭＡＣの付け替えを行い、通信先のドメインにメッセージを送信することが可能となる。
　これにより、ドメイン鍵を管理すればよいので、制御装置２０毎に鍵を管理する構成と比較して、管理する鍵数を減らすことができ、鍵の更新負荷も減らすことができる。そして、車載システムのようにＧＷ装置１０の処理能力に制限のあるシステムにおいても鍵を管理することが可能になる。また、１つの鍵が漏洩しても車載システムとしての影響を抑えることができる。
　なお、実施例１では車載ネットワークを対象にした例を説明したが、これに限定するものではなく、他の制御系システムや情報系システムにおける装置にも適用可能である。
　実施例２として、各制御装置がドメインごとに共有されるドメイン鍵に加えて、ドメイン間で共有されるドメイン間鍵も管理し、メッセージに対して、メッセージのＩＤ情報に基づいてドメイン鍵、或いはドメイン間鍵を用いて算出したＭＡＣを付与し、ＧＷ装置は付け替え処理部とＭＡＣ付け替え判定情報を用いて受信したメッセージがＭＡＣの付け替え対象なのかどうかを判定するとともに、ＭＡＣの算出に用いた鍵がドメイン鍵なのか、ドメイン間鍵なのかを判定し、ドメイン鍵を用いたメッセージに対してはＭＡＣの付け替えを行い、ドメイン間鍵を用いたメッセージに対してはＭＡＣの付け替えを行なわず、ルーティング処理部を用いて通信先のドメインにメッセージを送信し、ＧＷ装置における処理負荷を低減することを可能とする鍵管理の例を説明する。
　車載システムの構成は、制御装置２０の利用鍵情報２４１が利用鍵情報２１４１であることを除き、実施例１の図１を用いて説明した構成と同じであり、各部の動作が以下で説明するように実施例１とは異なる。
　図８は、図３のステップ２１００３とステップ２１００５の間に、ＭＡＣの算出に用いる鍵の種類を判定する送信制御装置２０－３の詳細な処理フローの例を示す図である。ステップ２１００１からステップ２１００３までの各ステップは、実施例１の図３を用いて説明したステップ２１００１からステップ２１００３までの各ステップと同様である。
　ステップ２１００８では、鍵利用部２２が、図１１を用いて説明する利用鍵情報２１４１を参照し、ステップ２１００２で取得したＣＡＮ－ＩＤがドメイン鍵の対象であるのか否かを判定し、ドメイン鍵の対象である場合はステップ２１００４に進み、ドメイン鍵の対象ではない場合はステップ２１００９に進む。
　図１１に、ステップ２１００８で参照される利用鍵情報２１４１のテーブル構成の例を示す。ＣＡＮ－ＩＤ欄２１４１１は、メッセージを識別する情報を示す。メッセージを識別可能な情報であればＣＡＮ－ＩＤ以外の情報を用いてもよい。利用鍵欄２１４１２は、ＣＡＮ－ＩＤ欄２１４１１のＣＡＮ－ＩＤに応じてＭＡＣの生成に用いる鍵情報を示す。ドメイン鍵対象欄２１４１３はＣＡＮ－ＩＤ欄２１４１１のＣＡＮ－ＩＤで識別されるメッセージが、ドメイン鍵の対象であるのか否かを示す。
　例えば、ステップ２１００８において、鍵利用部２２は、ステップ２１００２で取得したＣＡＮ－ＩＤと一致するＣＡＮ－ＩＤ欄２１４１１のＣＡＮ－ＩＤに対応するドメイン鍵対象欄２１４１３の情報を取得し、ドメイン鍵対象欄２１４１３の情報が「該当」の場合は、ＭＡＣの生成においてドメイン鍵を利用し、「非該当」の場合は、ＭＡＣの生成においてドメイン間鍵を利用する。
　このため、ステップ２１００９では、鍵利用部２２が、ステップ２１００２で取得したＣＡＮ－ＩＤと一致するＣＡＮ－ＩＤ欄２１４１１のＣＡＮ－ＩＤに対応する利用鍵欄２１４１２のドメイン間鍵を取得する。
　ステップ２１００４からステップ２１００７までの各ステップは、実施例１の図３を用いて説明したステップ２１００４からステップ２１００７までの各ステップと同様である。
　以上のステップ２１００１からステップ２１００９により、送信制御装置２０－３は、メッセージのＣＡＮ－ＩＤに応じてドメイン鍵、或いはドメイン間鍵を用いたＭＡＣを生成できるようになる。
　図９は、図４のステップ１００２において、ＭＡＣ付け替え対象ではないと判定された場合に、ドメイン間鍵の対象メッセージであるのか否かを判定するＧＷ装置１０の詳細な処理フローの例を示す図である。ステップ１００１、およびステップ１００３からステップ１０１１までの各ステップは、実施例１の図４を用いて説明したステップ１００１、およびステップ１００３からステップ１０１１までの各ステップと同様である。
　ステップ１００２では、付け替え処理部１２が、ＭＡＣ付け替え判定情報１５１を参照し、ステップ１００１で取得したＣＡＮ－ＩＤと一致するＣＡＮ－ＩＤ欄１５１１のＣＡＮ－ＩＤに対応するＭＡＣ付け替え要否欄１５１３の情報を取得し、取得したＭＡＣ付け替え要否欄１５１３の情報が「要」の場合はステップ１００３に進み、「否」の場合はステップ１０１２に進む。
　ステップ１０１２では、付け替え処理部１２が、ＭＡＣ付け替え判定情報１５１を参照し、ステップ１００１で取得したＣＡＮ－ＩＤと一致するＣＡＮ－ＩＤ欄１５１１のＣＡＮ－ＩＤに対応するドメイン間鍵対象欄１５１４の情報を取得し、取得したドメイン間鍵対象欄１５１４の情報が「該当」の場合はステップ１０１３に進み、「非該当」の場合は本処理を終了する。
　ステップ１０１３では、付け替え処理部１２が、受信したメッセージが送られてきた車内バス４０のドメインすなわち通信元のドメインを取得する。そして、ステップ１００１で取得したＣＡＮ－ＩＤと一致する通信関係ドメイン欄１５１２のドメインを取得し、この通信関係ドメイン欄１５１２から取得したドメインの中で、通信元のドメイン以外のドメインを通信先のドメインとして取得する。
　ステップ１０１４では、ルーティング処理部１３が、受信したメッセージをステップ１０１３で取得した通信先となる全てのドメインの車内バス４０に送信する。
　以上のステップ１００１からステップ１０１４により、ＧＷ装置１０は、ＣＡＮ－ＩＤに応じて、ドメイン鍵を用いたＭＡＣが付与されたメッセージのＭＡＣを付け替え、ドメイン間鍵を用いたＭＡＣが付与されたメッセージのＭＡＣを付け替えずに、通信先となるドメインにメッセージを送信できる。ＭＡＣを付け替えない場合は、ＧＷ装置１０の処理負荷を低減できる。
　図１０は、図５のステップ２２００２とステップ２２００４の間に、ＭＡＣの検証に用いる鍵の種類を判定する受信制御装置２０－４の詳細な処理フローの例を示す図である。ステップ２２００１とステップ２２００２の各ステップは、実施例１の図５を用いて説明したステップ２２００１とステップ２２００２の各ステップと同様である。
　ステップ２２００８では、鍵利用部２２が、利用鍵情報２１４１を参照し、ステップ２２００１で取得したＣＡＮ－ＩＤと一致するＣＡＮ－ＩＤ欄２１４１１のＣＡＮ－ＩＤに対応するドメイン鍵対象欄２１４１３の情報を取得し、ドメイン鍵対象欄２１４１３の情報が「該当」の場合は、ステップ２２００３に進み、「非該当」の場合は、ステップ２２００９に進む。
　ステップ２２００９では、鍵利用部２２が、利用鍵情報２１４１を参照し、ステップ２２００１で取得したＣＡＮ－ＩＤと一致するＣＡＮ－ＩＤ欄２１４１１のＣＡＮ－ＩＤに対応する利用鍵欄２１４１２のドメイン間鍵を取得する。
　ステップ２２００３からステップ２２００７までの各ステップは、実施例１の図５を用いて説明したステップ２２００３からステップ２２００７までの各ステップと同様である。
　以上のステップ２２００１からステップ２２００９により、受信制御装置２０－４は、ＣＡＮ－ＩＤに応じてドメイン鍵、或いはドメイン間鍵を用いたＭＡＣの検証を実施できるようになる。
　以上、実施例２によれば、各制御装置２０はドメインごとに共有されるドメイン鍵に加えて、ドメイン間で共有されるドメイン間鍵を管理し、ＧＷ装置１０はＣＡＮ－ＩＤに応じて、ドメイン鍵を用いたＭＡＣが付与されたメッセージのＭＡＣを付け替え、ドメイン間鍵を用いたＭＡＣが付与されたメッセージのＭＡＣを付け替えずに、通信先となるドメインにメッセージを送信することで、ＧＷ装置１０の処理負荷を低減できる。
　実施例３として、各制御装置がメッセージに対してナンス（ｎｏｎｃｅ：使い捨て番号）を付与し、ＧＷ装置は受信したメッセージに付与されたナンスが正しいかを判定し、通信先のドメインにメッセージを送信し、ＧＷ装置における処理負荷を低減することを可能とする鍵管理の例を説明する。車載システムの構成は、実施例１の図１を用いて説明した構成であってもよい。
　図１２は、図２のステップ２１０３、ステップ１０２、ステップ１０４にナンスの処理を加えたドメイン間通信における概要処理シーケンスの例を示す図である。送信制御装置２０－３のステップ２１０１とステップ２１０２の各ステップは、実施例１の図２を用いて説明したステップ２１０１とステップ２１０２の各ステップと同様である。
　ステップ２１０５では、メッセージ生成部２３が、ナンスの値を生成し、メッセージのデータとなる制御パラメータ情報とＭＡＣとナンスをもとに、通信用のメッセージを作成する。ここで、メッセージはヘッダや図示を省略したフッタ等を含んでもよい。ステップ２１０６では、メッセージ生成部２３が、車内通信部２１を用いてステップ２１０５で生成したナンスを含むメッセージを車内バス４０に送信する。
　ナンスの値は、例えば通信のシーケンス番号であってもよいし、乱数等であってもよい。送信制御装置２０－３とＧＷ装置１０とが同じナンスの値を得るために、ステップ２１０６より前の任意の時点で送信制御装置２０－３とＧＷ装置１０がナンスの値を通信してもよいし、送信制御装置２０－３とＧＷ装置１０とが同じアルゴリズムを実現する生成回路をそれぞれ備え、それぞれの生成回路でナンスの同じ値を生成してもよいし、送信制御装置２０－３とＧＷ装置１０の同じアルゴリズムを実現する生成回路間でナンスの値を同期する通信を行ってもよい。
　ＧＷ装置１０のステップ１０１、ステップ１０３からステップ１０５の各ステップは、実施例１の図２を用いて説明したステップ１０１、ステップ１０３からステップ１０５の各ステップと同様である。ステップ１０７では、付け替え処理部１２が、ナンスの値を生成し、受信したメッセージのナンスの値と生成したナンスの値を比較し、ナンスの値が一致している場合はステップ１０３に進み、ナンスの値が一致していない場合は本処理を終了して、エラー処理に移行する。
　ステップ１０８では、ルーティング処理部１３が、ステップ１０４で生成したナンスを含むメッセージを、ステップ１０５で取得した通信先となるドメインの車内バス４０に送信する。この例では、メッセージのフォーマットを統一するためにナンスを含むメッセージとしている。
　受信制御装置２０－４のステップ２２０１とステップ２２０２の各ステップは、実施例１の図２を用いて説明したステップ２２０１とステップ２２０２の各ステップと同様である。
　なお、ステップ２２０１ではナンスの値が検証されないため、ステップ１０８ではメッセージにナンスを含めずに送信してもよい。逆に、受信制御装置２０－４もナンスの値を生成し、ステップ２２０１で鍵利用部２２が、ＭＡＣの値の一致を比較しての検証に加えて、ナンスの値の一致を比較しての検証を行ってもよい。
　以上、実施例３によれば、各制御装置２０はナンスを付与してメッセージを送信し、ＧＷ装置１０は受信したメッセージをナンスで検証可能となり、ＧＷ装置１０の処理負荷を低減できる。
　１０　ＧＷ装置
　２０　制御装置
　３０　車両
　４０　車内バス

Claims (12)

  1. 　２以上のドメイン間でメッセージを中継するゲートウェイ装置であって、
    　前記２以上のドメインの中の第１のドメインに対応する第１の改ざん検知符号と第１のデータを含む第１のメッセージを前記第１のドメインから受信し、
    　前記２以上のドメインの中の第２のドメインに対応する第２の改ざん検知符号と前記第１のデータを含む第２のメッセージを前記第２のドメインへ送信すること
    を特徴とするゲートウェイ装置。
  2. 　前記ゲートウェイ装置は、
    　さらに、前記２以上のドメインの中の第３のドメインに対応する第３の改ざん検知符号と前記第１のデータを含む第３のメッセージを前記第３のドメインへ送信すること
    を特徴とする請求項１に記載のゲートウェイ装置。
  3. 　前記ゲートウェイ装置は、
    　前記第１のドメインと前記第２のドメインのそれぞれに対応するドメイン鍵を管理し、
    　前記第２のドメインに対応するドメイン鍵と前記第１のデータに基づいて前記第２の改ざん検知符号を生成し、
    　前記第１のデータと前記第２の改ざん検知符号を含む前記第２のメッセージを生成し、
    　前記第２のメッセージを前記第２のドメインへ送信すること
    を特徴とする請求項１に記載のゲートウェイ装置。
  4. 　前記ゲートウェイ装置は、
    　前記第１のメッセージに含まれる前記第１のメッセージを識別するＩＤ情報に基づいて、前記第２のメッセージを生成するか否かを判定し、
    　前記第２のドメインを特定すること
    を特徴とする請求項３に記載のゲートウェイ装置。
  5. 　前記ゲートウェイ装置は、
    　前記第１のドメインに対応するドメイン鍵と前記第１のデータに基づいて改ざん検知符号を生成し、
    　前記第１のメッセージに含まれる前記第１の改ざん検知符号と比較して一致すると判定した場合、前記第２の改ざん検知符号を生成し、前記第２のメッセージを生成し、前記第２のメッセージを送信すること
    を特徴とする請求項４に記載のゲートウェイ装置。
  6. 　前記ゲートウェイ装置は、
    　使い捨て番号を生成し、
    　前記第１のメッセージに含まれる使い捨て番号と比較して一致すると判定した場合、前記第２の改ざん検知符号を生成し、前記第２のメッセージを生成し、前記第２のメッセージを送信すること
    を特徴とする請求項４に記載のゲートウェイ装置。
  7. 　前記ゲートウェイ装置は、
    　メッセージを識別するＩＤ情報に対して送受信される複数のドメインを管理し、
    　前記第１のメッセージを識別するＩＤ情報に基づいて、前記第１のメッセージの送受信される複数のドメインを特定し、
    　前記特定された複数のドメインの中の前記第１のドメインを除くドメインを送信先のドメインとして特定すること
    を特徴とする請求項５に記載のゲートウェイ装置。
  8. 　前記ゲートウェイ装置は、
    　前記２以上のドメインの中の第４のドメインと前記第１のドメインに共通のドメイン間鍵を管理し、
    　前記ＩＤ情報に基づいて、前記第２のメッセージを生成しないと判定した場合、前記ドメイン間鍵の対象であると判定すると、前記第１のメッセージを前記第４のドメインへ送信すること
    を特徴とする請求項７に記載のゲートウェイ装置。
  9. 　１以上の制御装置を含む１以上の第１のドメインと２以上の制御装置を含む１以上の第２のドメインを含む複数のドメイン間でメッセージを中継し、ドメイン鍵に基づく改ざん検知符号を前記メッセージに付与するゲートウェイ装置へ情報を設定する入力装置であって、
    　前記複数のドメインの個数の入力枠を表示し、
    　前記入力枠に入力された前記ドメイン鍵を前記ゲートウェイ装置へ設定すること
    を特徴とする入力装置。
  10. 　２以上のドメイン間でメッセージを中継し、前記２以上のドメインの中の第１のドメインと第２のドメインのそれぞれに対応するドメイン鍵を管理するゲートウェイ装置の制御方法であって、
    　前記第１のドメインに対応する第１の改ざん検知符号と第１のデータを含む第１のメッセージを前記第１のドメインから受信し、
    　前記第２のドメインに対応する第２の改ざん検知符号と前記第１のデータを含む第２のメッセージを前記第２のドメインへ送信すること
    を特徴とするゲートウェイ装置の制御方法。
  11. 　前記第２のメッセージを前記第２のドメインへ送信するために、
    　前記第２のドメインに対応するドメイン鍵と前記第１のデータに基づいて前記第２の改ざん検知符号を生成し、
    　前記第１のデータと前記第２の改ざん検知符号を含む前記第２のメッセージを生成すること
    を特徴とする請求項１０に記載のゲートウェイ装置の制御方法。
  12. 　前記第１のメッセージに含まれる前記第１のメッセージを識別するＩＤ情報に基づいて、前記第２のメッセージを生成するか否かを判定し、前記第２のドメインを特定すること
    を特徴とする請求項１１に記載のゲートウェイ装置の制御方法。
PCT/JP2016/065246 2015-07-15 2016-05-24 ゲートウェイ装置およびその制御方法 WO2017010172A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US15/743,691 US10560286B2 (en) 2015-07-15 2016-05-24 Gateway device and control method for the same
CN201680034661.3A CN107710676B (zh) 2015-07-15 2016-05-24 网关装置及其控制方法
EP16824152.9A EP3324574B1 (en) 2015-07-15 2016-05-24 Gateway device and control method therefor

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2015-141509 2015-07-15
JP2015141509A JP6484519B2 (ja) 2015-07-15 2015-07-15 ゲートウェイ装置およびその制御方法

Publications (1)

Publication Number Publication Date
WO2017010172A1 true WO2017010172A1 (ja) 2017-01-19

Family

ID=57756901

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/065246 WO2017010172A1 (ja) 2015-07-15 2016-05-24 ゲートウェイ装置およびその制御方法

Country Status (5)

Country Link
US (1) US10560286B2 (ja)
EP (1) EP3324574B1 (ja)
JP (1) JP6484519B2 (ja)
CN (1) CN107710676B (ja)
WO (1) WO2017010172A1 (ja)

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6693368B2 (ja) * 2016-09-21 2020-05-13 株式会社オートネットワーク技術研究所 通信システム、中継装置及び通信方法
DE102016221690A1 (de) * 2016-11-04 2018-05-09 Audi Ag Verfahren zum Übertragen von Datenpaketen zwischen einem Ethernet und einem Bussystem in einem Kraftfahrzeug sowie Gatewayvorrichtung und Kraftfahrzeug
JP6719413B2 (ja) * 2017-03-28 2020-07-08 株式会社Ｋｄｄｉ総合研究所 セキュリティゲートウェイ装置、方法、及びプログラム
CN108737073B (zh) * 2018-06-22 2021-09-28 北京智芯微电子科技有限公司 分组加密运算中抵抗能量分析攻击的方法和装置
US10922439B2 (en) * 2018-06-29 2021-02-16 Intel Corporation Technologies for verifying memory integrity across multiple memory regions
DE102018220498A1 (de) * 2018-11-28 2020-05-28 Robert Bosch Gmbh Teilnehmerstationen für ein serielles Bussystem und Verfahren zum Übertragen einer Nachricht in einem seriellen Bussystem
JP2020092318A (ja) * 2018-12-04 2020-06-11 株式会社東芝 中継装置、中継方法及びコンピュータプログラム
JP7328419B2 (ja) * 2019-01-09 2023-08-16 国立大学法人東海国立大学機構 車載通信システム、車載通信装置、コンピュータプログラム及び通信方法
CN115378581A (zh) * 2019-07-12 2022-11-22 华为技术有限公司 一种认证方法、设备和系统
US11436342B2 (en) 2019-12-26 2022-09-06 Intel Corporation TDX islands with self-contained scope enabling TDX KeyID scaling

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2000062480A2 (en) * 1999-04-13 2000-10-19 Nortel Networks, Inc. Apparatus and method for transmitting messages across different multicast domains
JP2007013366A (ja) * 2005-06-29 2007-01-18 Sony Corp 通信処理装置、通信処理システム、および方法、並びにコンピュータ・プログラム
JP2007135011A (ja) * 2005-11-10 2007-05-31 Auto Network Gijutsu Kenkyusho:Kk 中継接続ユニットおよび仮想車載ｌａｎシステム
JP2007336267A (ja) * 2006-06-15 2007-12-27 Toyota Motor Corp 車載通信システム
JP2012141660A (ja) * 2010-12-28 2012-07-26 Brother Ind Ltd 制御装置及びプログラム
JP2013048374A (ja) * 2011-08-29 2013-03-07 Toyota Motor Corp 保護通信方法
JP2014141154A (ja) * 2013-01-23 2014-08-07 Denso Corp 車両の暗号キー登録装置
JP2015114907A (ja) * 2013-12-12 2015-06-22 日立オートモティブシステムズ株式会社 ネットワーク装置およびネットワークシステム

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6041166A (en) * 1995-07-14 2000-03-21 3Com Corp. Virtual network architecture for connectionless LAN backbone
JP4333351B2 (ja) * 2003-12-05 2009-09-16 株式会社デンソー 通信システム
US7400596B1 (en) * 2005-08-17 2008-07-15 Rockwell Collins, Inc. Dynamic, multicast routing using a quality of service manager
US8320567B2 (en) * 2007-01-05 2012-11-27 Cisco Technology, Inc. Efficient data path encapsulation between access point and access switch
CN101594616B (zh) * 2009-07-08 2012-05-23 华为终端有限公司 认证方法、服务器、用户设备及通信系统
KR101356476B1 (ko) * 2012-01-13 2014-01-29 고려대학교 산학협력단 차량용 데이터의 인증 및 획득 방법
WO2013128317A1 (en) * 2012-03-01 2013-09-06 Nds Limited Anti-replay counter measures
JP2014183395A (ja) 2013-03-18 2014-09-29 Hitachi Automotive Systems Ltd 車載ネットワークシステム
JP5954236B2 (ja) * 2013-03-28 2016-07-20 日立金属株式会社 ネットワーク中継装置

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2000062480A2 (en) * 1999-04-13 2000-10-19 Nortel Networks, Inc. Apparatus and method for transmitting messages across different multicast domains
JP2007013366A (ja) * 2005-06-29 2007-01-18 Sony Corp 通信処理装置、通信処理システム、および方法、並びにコンピュータ・プログラム
JP2007135011A (ja) * 2005-11-10 2007-05-31 Auto Network Gijutsu Kenkyusho:Kk 中継接続ユニットおよび仮想車載ｌａｎシステム
JP2007336267A (ja) * 2006-06-15 2007-12-27 Toyota Motor Corp 車載通信システム
JP2012141660A (ja) * 2010-12-28 2012-07-26 Brother Ind Ltd 制御装置及びプログラム
JP2013048374A (ja) * 2011-08-29 2013-03-07 Toyota Motor Corp 保護通信方法
JP2014141154A (ja) * 2013-01-23 2014-08-07 Denso Corp 車両の暗号キー登録装置
JP2015114907A (ja) * 2013-12-12 2015-06-22 日立オートモティブシステムズ株式会社 ネットワーク装置およびネットワークシステム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3324574A4 *

Also Published As

Publication number Publication date
JP2017028345A (ja) 2017-02-02
EP3324574A1 (en) 2018-05-23
US10560286B2 (en) 2020-02-11
EP3324574B1 (en) 2020-07-08
CN107710676A (zh) 2018-02-16
CN107710676B (zh) 2021-03-23
US20180205576A1 (en) 2018-07-19
JP6484519B2 (ja) 2019-03-13
EP3324574A4 (en) 2019-01-23

Similar Documents

Publication Publication Date Title
JP6484519B2 (ja) ゲートウェイ装置およびその制御方法
CN106664311B (zh) 支持异构电子设备之间差异化的安全通信
CN106576096B (zh) 用于对具有不等能力的设备的认证的装置、方法及介质
CN105187376B (zh) 车联网中汽车内部网络的安全通信方法
CN107784223B (zh) 用于将证书传输到设备中的仪器的计算机装置
US11804967B2 (en) Systems and methods for verifying a route taken by a communication
KR20170045120A (ko) 차량의 보안 통신을 위한 방법
EP2859700A1 (en) Using neighbor discovery to create trust information for other applications
CN113016201B (zh) 密钥供应方法以及相关产品
JP2017091360A (ja) データ配布装置、通信システム、移動体およびデータ配布方法
JP2019041321A (ja) データ受信装置、データ伝送システム、及び鍵生成装置
JP2017121091A (ja) Ｅｃｕ、及び車用ネットワーク装置
US11228602B2 (en) In-vehicle network system
CN107852406A (zh) 安全组通信
JP2014123816A (ja) 通信システム、通信装置及び通信方法
JP2008017463A (ja) 無線制御セキュリティシステム
US20160323266A1 (en) Method, management apparatus and device for certificate-based authentication of communication partners in a device
CN110741660A (zh) 终端与相关联服务器之间的数据传输
CN105981028A (zh) 通信网络上的网络元件认证
CN110312232B (zh) 车辆通信系统和车辆通信方法
JP2016134834A (ja) 車載ゲートウェイ装置及び車載ネットワークシステム
CN109587134A (zh) 接口总线的安全认证的方法、装置、设备和介质
US20170222810A1 (en) User permission check system
CN110999353A (zh) 终端与网络服务器之间的通信的管理
KR20220135899A (ko) 차량의 전자 제어 장치, 게이트웨이 장치 및 이들을 포함하는 차량

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16824152

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 15743691

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2016824152

Country of ref document: EP