WO2018207243A1 - 車載認証システム、車載認証方法および車載認証プログラム - Google Patents

車載認証システム、車載認証方法および車載認証プログラム Download PDF

Info

Publication number
WO2018207243A1
WO2018207243A1 PCT/JP2017/017476 JP2017017476W WO2018207243A1 WO 2018207243 A1 WO2018207243 A1 WO 2018207243A1 JP 2017017476 W JP2017017476 W JP 2017017476W WO 2018207243 A1 WO2018207243 A1 WO 2018207243A1
Authority
WO
WIPO (PCT)
Prior art keywords
vehicle
authentication
electronic control
unit
function
Prior art date
Application number
PCT/JP2017/017476
Other languages
English (en)
French (fr)
Inventor
純子 中嶋
博仁 西山
竜 村松
雄也 高塚
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to PCT/JP2017/017476 priority Critical patent/WO2018207243A1/ja
Priority to US16/604,032 priority patent/US20200151972A1/en
Priority to DE112017007515.7T priority patent/DE112017007515T5/de
Priority to JP2019516759A priority patent/JP6625269B2/ja
Priority to CN201780090190.2A priority patent/CN110582430B/zh
Publication of WO2018207243A1 publication Critical patent/WO2018207243A1/ja

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R25/00—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles
    • B60R25/01—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles operating on vehicle systems or fittings, e.g. on doors, seats or windscreens
    • B60R25/04—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles operating on vehicle systems or fittings, e.g. on doors, seats or windscreens operating on the propulsion system, e.g. engine or drive motor
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/08—Registering or indicating performance data other than driving, working, idle, or waiting time, with or without registering driving, working, idle or waiting time
    • G07C5/0816—Indicating performance data, e.g. occurrence of a malfunction
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • B60R16/0231—Circuits relating to the driving or the functioning of the vehicle
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
    • G06F16/23—Updating
    • G06F16/2358—Change logging, detection, and notification
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/903—Querying
    • G06F16/9035—Filtering based on additional data, e.g. user or group profiles
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/12—Protecting executable software
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication

Definitions

  • the present invention relates to an in-vehicle authentication system, an in-vehicle authentication method, and an in-vehicle authentication program.
  • the technology for protecting the in-vehicle system includes a technology for preventing an attack in advance and a technology for suppressing the influence of unauthorized control when the possibility that the vehicle is illegally controlled is high.
  • Patent Document 2 discloses a technique in which a master ECU includes a database regarding information on all ECUs that may be mounted on a vehicle, and the master ECU verifies a configuration by verifying ECUs other than the master ECU. Are listed.
  • the present invention has an object of improving safety and convenience by displaying a vehicle-mounted function that can be realized by an ECU other than the unauthorized ECU when an unauthorized ECU is detected.
  • An in-vehicle authentication system is a vehicle communication device provided in a vehicle equipped with a plurality of electronic control devices, and includes a vehicle communication device that communicates with each electronic control device of the plurality of electronic control devices.
  • An authentication unit that executes configuration authentication for authenticating the validity of the configuration for each electronic control device of the plurality of electronic control devices, and registers an electronic control device that failed in configuration authentication in an authentication error list;
  • Vehicle mounting that can be realized in the vehicle based on the function correlation table that represents the correlation between the vehicle mounting function that is realized in the vehicle and the electronic control device that is used to realize the vehicle mounting function, and the authentication error list
  • a determination unit for determining a function
  • a display unit that displays on-vehicle functions that are determined to be realizable in the vehicle by the determination unit on a display device of the vehicle communication device.
  • the authentication unit registers the electronic control device for which configuration authentication has failed in the authentication error list.
  • the determination unit determines a vehicle-mounted function that can be realized in the vehicle based on a function correlation table that represents a correlation between the vehicle-mounted function and the electronic control device that is used to realize the vehicle-mounted function, and an authentication error list.
  • the display unit displays on-vehicle functions determined to be realizable in the vehicle on the display device of the vehicle communication device. Therefore, according to the in-vehicle authentication system of the present invention, safety and convenience can be improved without excessively stopping the on-vehicle function even when an unauthorized electronic control device is detected.
  • FIG. 1 is a configuration diagram of an in-vehicle authentication system 10 according to Embodiment 1.
  • FIG. 1 is a configuration diagram of a vehicle communication device 100 according to Embodiment 1.
  • FIG. 1 is a configuration diagram of a vehicle 200 according to Embodiment 1.
  • FIG. 1 is a configuration diagram of an authentication management device 300 according to Embodiment 1.
  • FIG. An example showing details of the configuration data table 610 according to the first embodiment.
  • FIG. FIG. 3 is a flowchart of function management processing according to the first embodiment.
  • FIG. 3 is a flowchart of authentication processing according to the first embodiment.
  • FIG. 6 shows an example of an authentication error list 630 according to the first embodiment.
  • FIG. FIG. 3 is a detailed flowchart of configuration authentication processing according to the first embodiment.
  • FIG. 3 is a flowchart of determination processing according to the first embodiment.
  • FIG. 6 is a diagram showing a specific example of a function correlation table 640 according to the first embodiment.
  • FIG. 4 shows a function display screen 500 according to the first embodiment.
  • FIG. 6 shows a configuration of update information 650 according to the first embodiment.
  • FIG. 3 is a flowchart of update processing according to the first embodiment.
  • FIG. 3 is a flowchart of software update processing according to the first embodiment.
  • FIG. 3 is a flowchart of table update processing according to the first embodiment.
  • FIG. 3 is a configuration diagram of an auxiliary storage device 903 of the authentication management apparatus 300 according to the first embodiment.
  • FIG. 3 is a flowchart of authentication management processing according to the first embodiment.
  • FIG. 3 is a flowchart of configuration data generation processing according to the first embodiment.
  • FIG. 3 is a flowchart of functional correlation generation processing according to the first embodiment.
  • the block diagram of the vehicle communication apparatus 100 which concerns on the modification of Embodiment 1.
  • FIG. FIG. 6 is a configuration diagram of an authentication management apparatus 300 according to a modification of the first embodiment.
  • the block diagram of the vehicle-mounted authentication system 10 which concerns on Embodiment 2.
  • FIG. The block diagram of the vehicle communication apparatus 100a which concerns on Embodiment 2.
  • FIG. The block diagram of the authentication management apparatus 300a which concerns on Embodiment 2.
  • FIG. The block diagram of the vehicle-mounted authentication system 10b which concerns on Embodiment 3.
  • Embodiment 1 FIG. *** Explanation of configuration *** The configuration of the in-vehicle authentication system 10 according to the present embodiment will be described with reference to FIG.
  • the in-vehicle authentication system 10 includes a vehicle 200, an authentication management device 300, and a vendor server device 400.
  • the vehicle 200, the authentication management apparatus 300, and the vendor server apparatus 400 communicate via a network.
  • a specific example of the network is the Internet.
  • the vehicle 200 is equipped with at least two electronic control devices that communicate with each other.
  • the electronic control device is called an ECU.
  • the electronic control device is referred to as an ECU.
  • the vehicle 200 includes an in-vehicle network that conforms to a communication protocol such as CAN (Controller area network) or FlexRay.
  • a plurality of ECUs mounted on the vehicle 200 communicate with each other via this in-vehicle network.
  • the vehicle 200 includes a vehicle communication device 100.
  • the vehicle communication device 100 communicates with each electronic control device of the plurality of electronic control devices.
  • the vehicle 200 is also referred to as a vehicle system.
  • the vehicle communication device 100 is specifically a gateway device for the vehicle 200.
  • the vendor server apparatus 400 is a server apparatus managed by an ECU vendor that exists for each ECU. Therefore, a plurality of vendor server apparatuses 400 exist.
  • the vendor server device 400 provides update software and update ECU information.
  • the updated software is the latest software for adding functions, changing functions, or correcting defects.
  • the update program is downloaded and the current program is updated or changed, so that the ECU program is updated.
  • the updated ECU information is information for transmitting the change contents when the software and hardware of the vehicle 200 are changed due to software update or addition of a new ECU.
  • the vehicle communication device 100 authenticates the validity of the ECU of the vehicle 200. Further, when detecting an unauthorized ECU, the vehicle communication device 100 excludes the unauthorized ECU, determines the remaining effective on-vehicle functions, and displays the determination result to the user.
  • the vehicle communication device 100 is a computer including hardware such as a processor 801, a memory 802, an auxiliary storage device 803, a communication device 804, and a display device 805.
  • the processor 801 is connected to other hardware via a signal line.
  • the processor 801 is an IC (Integrated Circuit) that performs arithmetic processing, and controls other hardware.
  • the processor 801 is a CPU, DSP, or GPU.
  • CPU is an abbreviation for Central Processing Unit
  • DSP is an abbreviation for Digital Signal Processor
  • GPU is an abbreviation for Graphics Processing Unit.
  • the memory 802 is a volatile storage device.
  • the memory 802 is also called main memory or main memory.
  • the memory 802 is a RAM (Random Access Memory).
  • the auxiliary storage device 803 is a nonvolatile storage device.
  • the auxiliary storage device 803 is a ROM, an HDD, or a flash memory.
  • ROM is an abbreviation for Read Only Memory
  • HDD is an abbreviation for Hard Disk Drive.
  • the communication device 804 is a device that performs communication, and includes a receiver and a transmitter.
  • the communication device 804 is a communication chip or a NIC (Network Interface Card).
  • the display device 805 is a display device that displays an image or the like.
  • the display device 805 is a liquid crystal display.
  • the display device 805 is also referred to as a monitor.
  • the vehicle communication apparatus 100 includes an authentication unit 101, a determination unit 102, an update unit 103, and a key management unit 110 as components.
  • the functions of the authentication unit 101, the determination unit 102, the update unit 103, and the key management unit 110 are realized by software.
  • the auxiliary storage device 803 stores programs that realize the functions of the authentication unit 101, the determination unit 102, the update unit 103, and the key management unit 110. Programs that implement the functions of the authentication unit 101, the determination unit 102, the update unit 103, and the key management unit 110 are loaded into the memory 802 and executed by the processor 801. Further, the auxiliary storage device 803 stores an OS (Operating System). At least a part of the OS is loaded into the memory 802 and executed by the processor 801. That is, the processor 801 executes a program that realizes the functions of the authentication unit 101, the determination unit 102, the update unit 103, and the key management unit 110 while executing the OS.
  • OS Operating System
  • Data obtained by executing programs that implement the functions of the authentication unit 101, the determination unit 102, the update unit 103, and the key management unit 110 are stored in the memory 802, the auxiliary storage device 803, the register in the processor 801, or the cache in the processor 801. It is stored in a storage device such as a memory.
  • the vehicle communication device 100 includes a plurality of processors 801, and the plurality of processors 801 may execute programs that realize the functions of the authentication unit 101, the determination unit 102, the update unit 103, and the key management unit 110 in cooperation with each other.
  • the memory 802 functions as the storage unit 104 that stores data used, generated, input / output, or transmitted / received in the vehicle communication device 100. However, a storage device other than the memory 802 may function as the storage unit 104.
  • the communication device 804 functions as a communication unit that communicates data.
  • the receiver functions as the reception unit 105 that receives data
  • the transmitter functions as the transmission unit 106 that transmits data.
  • the display device 805 functions as the display unit 107 that displays an image or the like.
  • the “unit” of the authentication unit 101, the determination unit 102, the update unit 103, and the key management unit 110 may be read as “processing” or “process”.
  • the functions of the authentication unit 101, the determination unit 102, the update unit 103, and the key management unit 110 may be realized by firmware.
  • Programs that realize the functions of the authentication unit 101, the determination unit 102, the update unit 103, and the key management unit 110 can be stored in a nonvolatile storage medium such as a magnetic disk, an optical disk, or a flash memory.
  • the configuration of vehicle 200 according to the present embodiment will be described using FIG.
  • the vehicle 200 is a vehicle on which at least two or more ECUs 202 that communicate with each other are mounted. At least two or more ECUs 202 are connected to each other via an in-vehicle network 201 compliant with a communication protocol such as CAN or FlexRay.
  • the ECU 202 includes hardware such as a CPU 250, a memory 251, and a communication device 254.
  • the memory 251 stores a program 252 and ECU information 253.
  • the authentication management apparatus 300 is a computer including hardware such as a processor 901, a memory 902, an auxiliary storage device 903, a communication device 904, a display device 905, and an input device 906.
  • the processor 901, the memory 902, the auxiliary storage device 903, the communication device 904, and the display device 905 are the same as the hardware included in the vehicle communication device 100.
  • the storage unit 307, the reception unit 308, the transmission unit 309, and the display unit 311 are the same as the storage unit 104, the reception unit 105, the transmission unit 106, and the display unit 107 included in the vehicle communication device 100.
  • the vehicle communication device 100 is a computer for embedded devices
  • the authentication management device 300 is a computer that functions as a server. Therefore, the authentication management device 300 is a computer having a much higher calculation capability than the vehicle communication device 100.
  • the input device 906 functions as a reception unit 310 that receives input.
  • the authentication management apparatus 300 includes an update data processing unit 301, a configuration data generation unit 302, a function correlation generation unit 303, a table management unit 306, and a key management unit 320 as components.
  • FIG. 5 is an example showing details of the ECU information table 620 according to the present embodiment.
  • the ECU information 621 is an example of attribute information 20 that represents an attribute of the ECU.
  • the ECU information table 620 includes a plurality of ECU information 621.
  • the plurality of ECU information 621 is managed by an ECU identification ID for identifying each ECU information 621.
  • the ECU information 621 includes information such as ECU identification ID, ECU information name, manufacturer information, vendor information, hardware number, version, function classification, related vehicle function, and related ECU input / output as ECU attributes.
  • FIG. 6 is an example showing details of the configuration data table 610 according to the present embodiment.
  • the configuration data table 610 includes a plurality of configuration data information 611.
  • the configuration data information 611 is information in which configuration data 601 generated from ECU information representing attributes of each ECU is associated with each ECU. Specifically, the configuration data 601 is a digital signature.
  • the plurality of pieces of configuration data information 611 are managed by a configuration identification ID that identifies each piece of configuration data information 611.
  • the configuration data information 611 includes information such as a configuration identification ID, header information, the name of ECU information, and a digital signature calculated from the ECU information.
  • the configuration data information 611 includes one or more names of ECU information.
  • the configuration data 611 calculated from the ECU information 621 of each of the ECU information A and the ECU information B is set in the configuration data information 611.
  • FIG. 7 is an example showing details of the function correlation table 640 according to the present embodiment.
  • the function correlation table 640 represents the correlation between the vehicle mounting function realized in the vehicle 200 and the ECU used to realize the vehicle mounting function.
  • the vehicle mounting function is a function mounted on the vehicle 200.
  • Specific examples of the on-vehicle function include functions such as automatic driving, ACC, LKAS, LDW, parking assistance, and automatic braking.
  • ACC is adaptive cruise control.
  • LKAS is a lane keeping support system.
  • LDW is a lane departure warning.
  • the function correlation table 640 includes an ECU column and a vehicle mounted function column. In the column of ECU, an ECU identification ID for identifying each ECU, a classification representing the use of each ECU, and a version of each ECU are set. Moreover, the column for each vehicle-mounted function is provided for each function, and a check mark is set in the ECU necessary for the function.
  • the operation of the in-vehicle authentication system 10 corresponds to an in-vehicle authentication method.
  • the procedure of the in-vehicle authentication method corresponds to the procedure of the in-vehicle authentication process by the in-vehicle authentication program.
  • the in-vehicle authentication process includes a function management process by the vehicle communication device 100 and an authentication management process by the authentication management device 300.
  • the operation of the vehicle communication device 100 corresponds to a function management method.
  • the procedure of the function management method corresponds to the procedure of function management processing by the function management program.
  • movement of the vehicle communication apparatus 100 is demonstrated using FIGS. 8-19.
  • the configuration data table 610, the function correlation table 640, and an authentication error table 631 described later are stored in the auxiliary storage device 803.
  • the configuration data table 610, the function correlation table 640, and the authentication error table 631 are stored in the storage unit 104.
  • a key for signature verification for each ECU identification ID is stored in the auxiliary storage device 803.
  • a signature verification key for each ECU identification ID is stored in the storage unit 104 by the key management unit 110.
  • step S100 the authentication unit 101 executes authentication processing.
  • step S ⁇ b> 100 the authentication unit 101 executes configuration authentication for authenticating the configuration of each ECU of the plurality of ECUs, and registers the ECU for which configuration authentication has failed in the authentication error list 630. Specifically, the authentication unit 101 acquires ECU information representing the attributes of the ECU from each ECU of the plurality of ECUs, and calculates the signature of the ECU based on the ECU information. The authentication unit 101 compares the signature with the configuration data 601 included in the configuration data table 610. Then, the authentication unit 101 makes the configuration authentication of the ECU successful when the signature and the configuration data 601 match.
  • step S101 the authentication unit 101 performs device authentication for one ECU or a plurality of ECUs using an authentication mechanism. Specifically, the authentication unit 101 performs device authentication using ISO / IEC 9798, which is a protocol that is an international standard technology in ISO / IEC. Alternatively, the authentication unit 101 may perform physical device authentication that detects unauthorized devices in combination with an authentication mechanism.
  • step S102 the authentication unit 101 determines the result of device authentication. If the device authentication is successful, the authentication unit 101 proceeds to step S103. If the device authentication has failed, the authentication unit 101 proceeds to step S106 and records the ECU in which the device authentication has failed in the authentication error list 630.
  • the authentication error list 630 is initialized before starting the authentication process.
  • FIG. 10 is a diagram showing an example of the authentication error list 630 according to the present embodiment.
  • the authentication error list 630 information such as a number representing a row number, the date and time when the error occurred, the ECI identification ID of the unauthorized ECU that caused the error, and an error ID representing the content of the error are set.
  • FIG. 11 is a diagram showing an example of the authentication error table 631 according to the present embodiment. In the authentication error table 631, an error ID and an explanation of the content of the error represented by the error ID are set.
  • step S103 the authentication unit 101 acquires the ECU information 253 from the ECU that has been successfully authenticated, and proceeds to step S104.
  • the configuration of the ECU information 253 acquired from the ECU is the same as the configuration of the ECU information 621 described with reference to FIG.
  • step S104 configuration authentication processing is executed.
  • the authentication unit 101 generates configuration data from the ECU information 253 acquired from the ECU that has been successfully authenticated. Then, the authentication unit 101 collates the generated configuration data with the configuration data table 610.
  • step S ⁇ b> 141 the authentication unit 101 acquires a signature verification key from the storage unit 104 via the key management unit 110 based on the ECU identification ID obtained from the ECU information 253.
  • step S142 the authentication unit 101 generates configuration data using the ECU information 253 and the signature verification key. Specifically, the authentication unit 101 calculates a signature from the ECU information 253 and a signature verification key. The signature calculated here is the configuration data.
  • step S143 the authentication unit 101 extracts the configuration data information 611 from the configuration data table 610 stored in the storage unit 104 based on the ECU information 253.
  • the authentication unit 101 acquires the configuration data 601 included in the extracted configuration data information 611 as an expected value.
  • step S144 the authentication unit 101 compares the signature calculated in step S142 with the configuration data 601 that is the expected value acquired in step S143.
  • the authentication unit 101 compares the signature calculated in step S142 with the configuration data 601 acquired in step S143, and obtains a comparison result as to whether or not they match.
  • step 105 the authentication unit 101 determines whether the configuration authentication is successful based on the comparison result output by the configuration authentication process. The authentication unit 101 determines that the configuration authentication is successful when the comparison results match. If the comparison results do not match, the authentication unit 101 determines that the configuration authentication has failed. If the configuration authentication is successful, the authentication unit 101 proceeds to step S107. If the configuration authentication is unsuccessful, the authentication unit 101 records the ECU in which the configuration authentication has failed in the authentication error list 630 in step S106. In step S107, the authentication unit 101 determines whether the processing from step S101 to step S106 has been completed for all the ECUs. If there is an ECU that has not ended, the authentication unit 101 returns to step S101. If there is no unfinished ECU, the authentication unit 101 ends the authentication process.
  • step S300 the determination unit 102 performs determination processing.
  • step S300 the determination unit 102 determines a vehicle mounted function that can be realized in the vehicle based on the function correlation table 640 and the authentication error list 630. Further, the determination unit 102 disconnects the ECU registered in the authentication error list 630 from the in-vehicle network 201.
  • step S ⁇ b> 301 the determination unit 102 acquires the authentication error list 630 from the storage unit 104.
  • step S ⁇ b> 302 the determination unit 102 determines whether the ECU is registered in the authentication error list 630. If the determination unit 102 is not registered in the authentication error list 630, it means that there is no authentication error ECU, and thus the processing is terminated as a successful authentication. If the ECU is registered in the authentication error list 630, the determination unit 102 means that there is an authentication error ECU. Therefore, the determination unit 102 proceeds to step S303 as an authentication failure.
  • step S ⁇ b> 303 the determination unit 102 logically separates and removes an unauthorized ECU that has caused an authentication error from the in-vehicle network 201.
  • the determination unit 102 logically separates and removes an unauthorized ECU that has caused an authentication error from the in-vehicle network 201.
  • a specific method of exclusion there is a method of logically separating the communication frame transmitted by an unauthorized ECU by ignoring other ECUs.
  • step S304 the determination unit 102 uses the function correlation table 640 to determine the on-vehicle function related to the ECU excluded in step S303. That is, the determination unit 102 determines a vehicle mounting function that can be realized in the vehicle 200 and determines a vehicle mounting function that should be invalidated.
  • step S305 display processing by the display unit 311 is executed.
  • step S ⁇ b> 305 the display unit 311 displays the on-vehicle function determined to be realizable in the vehicle 200 on the display device 805 of the vehicle communication device. Specifically, the display unit 311 displays a function display screen 500 that displays whether the on-vehicle function is valid or invalid on the display device 805.
  • the display unit 311 displays the function display screen 500, and presents the disabled function and the still effective function among the functions mounted on the vehicle 200 to the driver of the vehicle 200.
  • the display unit 311 may display an explanation about an increase or decrease in the on-vehicle functions that can be provided to the driver.
  • FIG. 14 is a diagram showing a specific example of the function correlation table 640 according to the present embodiment.
  • FIG. 15 is a diagram showing a function display screen 500 according to the present embodiment.
  • a specific example of the determination process will be described with reference to FIGS. 14 and 15.
  • the determination unit 102 determines that the on-vehicle functions related to the ECU_D are automatic driving, parking assistance, and a rear side vehicle detection alarm. Therefore, as shown in FIG. 15, the display unit 311 indicates that the automatic driving, parking assistance, and rear side vehicle detection alarm are disabled on the function display screen 500. Further, the display unit 311 displays an explanation in the message field of the function display screen 500 that the rear sonar of ECU_D has an authentication error.
  • step S ⁇ b> 400 the update unit 103 determines whether the reception unit 105 of the communication device 804 has received an update notification from the authentication management device 300. If there is an update notification, the update unit 103 proceeds to step S600. If there is no update notification, the update unit 103 ends the process.
  • FIG. 16 is a diagram showing a configuration of update information 650 according to the present embodiment.
  • the update information 650 includes ECU update information 651 and table update information 652.
  • ECU update information 651 header information 511 representing the ECU, ECU difference information 512 that is a difference between the changed part of the ECU information, that is, the ECU information before the change, and update software 513 are set in the table for each ECU. Is done.
  • table update information 652 an update content of the configuration data table, that is, a configuration data difference 521 that is a difference from the configuration data table before the change is set.
  • update contents of the function correlation table that is, a function correlation difference 522 that is a difference from the function correlation table before the change is set.
  • the update unit 103 determines that an update notification has been received.
  • step S600 the update unit 103 executes update processing.
  • the procedure of the update process according to the present embodiment will be described using FIG.
  • step S ⁇ b> 610 the update unit 103 receives the update information 650 via the reception unit 105.
  • step S620 the update unit 103 executes software update processing.
  • step S630 the update unit 103 executes table update processing.
  • step S621 the update unit 103 determines whether the update software 513 is included in the update information 650. When the update software 513 is included in the update information 650, the update unit 103 proceeds to step S622. If the update software 513 is not included in the update information 650, the update unit 103 ends the process. In step S622, the update unit 103 determines the ECU to be updated from the header information 511 of the update information 650. The update unit 103 distributes the ECU difference information 512 and the update software 513 through the in-vehicle network 201 to the ECU to be updated by the transmission unit 106. When the update unit 103 distributes the ECU difference information 512 and the update software 513 to all ECUs to be updated, the process ends. Only the difference information is sent to the update information distributed to the ECU.
  • step S ⁇ b> 631 the update unit 103 determines whether or not the configuration data difference 521 is included in the update information 650.
  • the update unit 103 proceeds to step S632.
  • the update unit 103 updates the configuration data table 610 of the auxiliary storage device 803 using the configuration data difference 521.
  • the update unit 103 determines whether the update information 650 includes the function correlation difference 522.
  • the authentication management device 300 is a server that exists outside the vehicle 200.
  • the authentication management device 300 is a part of a server that exists outside the vehicle 200.
  • FIG. 20 is a diagram showing a configuration of the auxiliary storage device 903 of the authentication management apparatus 300 according to the present embodiment. As shown in FIG. 20, the auxiliary storage device 903 stores an ECU information table 620, a configuration data table 610, and a function correlation table 640.
  • the operation of the authentication management apparatus 300 corresponds to an authentication management method.
  • the procedure of the authentication management method corresponds to the procedure of authentication management processing by the authentication management program.
  • the configuration data table 610, the function correlation table 640, and an authentication error table 631 described later are stored in the auxiliary storage device 903.
  • the configuration data table 610, the function correlation table 640, and the authentication error table 631 are stored in the storage unit 307.
  • a key for signature verification for each ECU identification ID is stored in the auxiliary storage device 903.
  • a key for signature verification for each ECU identification ID is stored in the storage unit 307 by the key management unit 320.
  • step S ⁇ b> 700 the update data processing unit 301 determines whether there is an update from the vendor server apparatus 400.
  • the update data processing unit 301 receives the ECU update information 651 via the receiving unit 308, it means that there is an update from the vendor server device 400. If there is an update from the vendor server apparatus 400, the update data processing unit 301 proceeds to step S710. If the update data processing unit 301 has not received the ECU update information 651, it means that there is no update from the vendor server device 400, and thus the process ends.
  • the ECU update information 651 is an example of device change information that represents a change related to each ECU of a plurality of ECUs.
  • step S710 configuration data generation processing is executed.
  • step S ⁇ b> 710 the configuration data generation unit 302 receives the ECU update information 651 representing a change related to each ECU of the plurality of ECUs, and updates the configuration data table 610 based on the ECU update information 651.
  • step S ⁇ b> 711 the configuration data generation unit 302 acquires header information 511 and ECU difference information 512 from the ECU update information 651.
  • the header information 511 includes the ECU identification ID of the ECU to be updated.
  • step S ⁇ b> 712 the configuration data generation unit 302 extracts ECU information of the ECU corresponding to the ECU identification ID included in the header information 511 from the ECU information table 620.
  • step S713 the configuration data generation unit 302 acquires vendor information included in the extracted ECU information.
  • the configuration data generation unit 302 acquires the signature key associated with the vendor ID set in the vendor information from the key management unit 320.
  • the configuration data generation unit 302 calculates a new digital signature based on the key acquired from the key management unit 320, the ECU information extracted from the ECU information table 620, and the ECU difference information 512. Specifically, the configuration data generation unit 302 calculates a digital signature for the ECU information of one or a plurality of ECUs using the acquired key. The configuration data generation unit 302 generates configuration data information 611 based on ECU information of one or a plurality of ECUs, assigns the calculated digital signature to the configuration data information 611 as configuration data 601, and creates new configuration data information. 611 is generated. In step S ⁇ b> 715, the table management unit 306 registers the new configuration data information 611 generated by the configuration data generation unit 302 in the configuration data table 610. As a result, the configuration data table 610 is updated.
  • step S720 a function correlation generation process is executed.
  • the function correlation generation unit 303 updates the function correlation table 640 based on the ECU update information 651 that represents a change related to each ECU of the plurality of ECUs.
  • step S721 the function correlation generation unit 303 acquires header information 511 and ECU difference information 512 from the ECU update information 651.
  • the header information 511 includes the ECU identification ID of the ECU to be updated.
  • step S722 the function correlation generation unit 303 extracts ECU information of the ECU corresponding to the ECU identification ID included in the header information 511 from the ECU information table 620.
  • the function correlation generation unit 303 updates the function correlation table 640 based on the ECU function change information obtained from the extracted ECU information 621 to be updated.
  • an example of specific processing for updating the function correlation table 640 will be described.
  • the ECU change information 651 includes one line of the function correlation table 640, that is, information related to the horizontal axis.
  • step S730 the update data processing unit 301 generates a configuration data difference 521 that is a difference before and after the update in the configuration data table 610. Further, the update data processing unit 301 generates a function correlation difference 522 that is a difference before and after the update in the function correlation table 640. The update data processing unit 301 generates update information 650 including the configuration data difference 521 and the function correlation difference 522. Then, the update data processing unit 301 transmits the update information 650 to the vehicle communication device 100 of the vehicle 200.
  • the authentication unit of the vehicle communication device 100 may be mounted on the authentication management device 300. And the authentication management apparatus 300 is good also as a structure which implements a part of authentication process. In this case, the authentication unit of the vehicle communication device 100 acquires ECU information from the ECU and sends it to the authentication management device 300. The authentication management device 300 performs configuration authentication based on the received ECU information, and transmits an authentication error list to the vehicle.
  • the determination unit of the vehicle communication device 100 may be mounted on the authentication management device 300. And the authentication management apparatus 300 is good also as a structure which implements a part of authentication process. In this case, the determination unit of the vehicle communication device 100 transmits an authentication error list to the authentication management device 300. And the authentication management apparatus 300 determines the vehicle mounting function which can be implemented with a vehicle, and transmits the determination result to a vehicle.
  • the configuration data generation unit of the authentication management device 300 may be mounted on the vehicle communication device 100.
  • the vehicle communication apparatus 100 is good also as a structure which implements a part of structure data generation process.
  • the vehicle communication device 100 generates configuration data that is an expected value from the updated ECU information, and updates the configuration data table.
  • the function correlation generation unit 303 of the authentication management device 300 may be mounted on the vehicle communication device 100.
  • the vehicle communication apparatus 100 is good also as a structure which implements a part of function correlation production
  • data transmitted and received between the authentication management device 300 and the vehicle communication device 100 may be encrypted in order to increase confidentiality.
  • the in-vehicle authentication system may include an encryption processing unit that adds an authenticator to data transmitted and received between the authentication management device 300 and the vehicle communication device 100 in order to improve integrity.
  • an encryption algorithm used for generating configuration data from ECU information a public key encryption based method or a secret key encryption based method may be used.
  • the functions of the component elements of the vehicle communication apparatus 100 and the authentication management apparatus 300 are realized by software, but as a modification, the functions of the component elements of the apparatuses are realized by hardware. Also good.
  • FIG. 24 is a diagram showing a configuration of a vehicle communication device 100 according to a modification of the present embodiment.
  • FIG. 25 is a diagram illustrating a configuration of an authentication management apparatus 300 according to a modification example of the present embodiment.
  • the vehicle communication device 100 includes hardware such as an electronic circuit 809, an auxiliary storage device 803, a communication device 804, and a display device 805.
  • the authentication management apparatus 300 includes hardware such as an electronic circuit 909, an auxiliary storage device 903, a communication device 904, a display device 905, and an input device 906.
  • the electronic circuit 809 is a dedicated electronic circuit that realizes the functions of the authentication unit 101, the determination unit 102, the update unit 103, and the key management unit 110.
  • the electronic circuit 909 is a dedicated electronic circuit that implements the functions of the update data processing unit 301, the configuration data generation unit 302, the function correlation generation unit 303, the table management unit 306, and the key management unit 320.
  • the electronic circuits 809 and 909 are a single circuit, a composite circuit, a programmed processor, a parallel programmed processor, a logic IC, a GA, an ASIC, or an FPGA.
  • GA is an abbreviation for Gate Array.
  • ASIC is an abbreviation for Application Specific Integrated Circuit.
  • FPGA is an abbreviation for Field-Programmable Gate Array.
  • the functions of the constituent elements of each device may be realized by a single electronic circuit, or may be realized by being distributed to a plurality of electronic circuits.
  • some functions of the components of each device may be realized by an electronic circuit, and the remaining functions may be realized by software.
  • Each of the processor and the electronic circuit is also called a processing circuit. That is, in the vehicle communication device 100, the functions of the authentication unit 101, the determination unit 102, the update unit 103, and the key management unit 110 are realized by a processing circuit. In the authentication management apparatus 300, the functions of the update data processing unit 301, the configuration data generation unit 302, the function correlation generation unit 303, the table management unit 306, and the key management unit 320 are realized by a processing circuit.
  • the “unit” of the authentication unit 101, the determination unit 102, the update unit 103, and the key management unit 110 may be read as “process”.
  • the “data” of the update data processing unit 301, the configuration data generation unit 302, the function correlation generation unit 303, the table management unit 306, and the key management unit 320 may be read as “process”.
  • “processing” in the in-vehicle authentication process, the function management process, and the authentication management process may be read as “program”, “program product”, or “computer-readable medium storing a program”.
  • a normal state can be confirmed by performing configuration authentication with a vehicle-mounted system, and the support function which ensured safety can be provided. That is, by authenticating the configuration of the in-vehicle system, an unauthorized ECU is detected, and after the unauthorized ECU is excluded, the remaining effective on-vehicle functions are determined, and an appropriate coping method is provided. Therefore, according to the in-vehicle authentication system 10 according to the present embodiment, the driving function is temporarily maintained until the security problem is solved, that is, until the vehicle is taken to the dealer and the vehicle is fixed. Even if it is limited to, it does not block the function excessively.
  • the user can travel safely using the support function after grasping the available on-vehicle functions. That is, according to the in-vehicle authentication system 10 according to the present embodiment, the vehicle can be used while ensuring safety while confirming the state of the vehicle.
  • Embodiment 2 FIG. In the present embodiment, differences from Embodiment 1 will be described. In addition, the same code
  • the configuration data generation process and the function correlation process are performed by the authentication management apparatus 300, and update information is transmitted from the authentication management apparatus to the vehicle communication apparatus 100 of the vehicle 200. And in the vehicle communication apparatus 100, an authentication process and a determination process can be performed simply. As described above, in the first embodiment, the authentication process and the determination process are performed by the vehicle communication apparatus 100. However, in the present embodiment, a configuration in which the authentication process and the determination process are performed by the authentication management apparatus 300 will be described. .
  • FIG. 26 is a diagram showing a configuration of the in-vehicle authentication system 10 according to the present embodiment. As shown in FIG. 26, the configuration of the in-vehicle authentication system 10 is the same as that of the first embodiment. However, the functions of the vehicle communication device 100a and the authentication management device 300a are different from those of the first embodiment.
  • FIG. 27 is a diagram showing a configuration of the vehicle communication device 100a according to the present embodiment.
  • the vehicle communication device 100a does not include the authentication unit 101, the determination unit 102, and the key management unit 110.
  • the vehicle communication device 100a includes a control unit 111a as a component.
  • the control unit 111a collects ECU information from each of the plurality of ECUs and transmits it to the authentication management device 300a. And the control part 111a receives the authentication error list
  • the display unit 311 displays the function display screen 500 on the display device 805 based on the authentication error list 630 and the determination result.
  • FIG. 28 is a diagram showing a configuration of the authentication management apparatus 300a according to the present embodiment.
  • the authentication management apparatus 300a includes an authentication unit 304 and a determination unit 305 in addition to the components described in the first embodiment.
  • the authentication unit 304 has the same function as the authentication unit 101 described in the first embodiment.
  • the determination unit 305 has the same function as the determination unit 102 described in the first embodiment.
  • authentication processing and determination processing are executed in the authentication management device 300a. Accordingly, the ECU information, the authentication error list, and the determination result are transmitted and received between the vehicle communication device 100a and the authentication management device 300a. Other procedures are the same as those in the first embodiment.
  • the ECU information table, the configuration data table, and the function correlation table can be managed by the authentication management device 300a. Therefore, according to the in-vehicle authentication system 10 according to the present embodiment, the storage capacity of the vehicle communication device 100a can be reduced. In the present embodiment, it is assumed that the vehicle is always stably and securely connected to the external network. In addition, according to the in-vehicle authentication system 10 according to the present embodiment, it is not necessary to perform update processing, authentication processing, and determination processing of various tables in the vehicle communication device 100a, thereby reducing the load on the vehicle communication device 100a and reducing the cost. Can be lowered.
  • Embodiment 3 FIG. In the present embodiment, differences from Embodiment 1 will be described. In addition, the same code
  • the configuration data generation process and the function correlation process are performed by the authentication management apparatus 300, and update information is transmitted from the authentication management apparatus to the vehicle communication apparatus 100 of the vehicle 200. And in the vehicle communication apparatus 100, an authentication process and a determination process can be performed simply.
  • the authentication management apparatus 300 performs the configuration data generation process for generating the configuration data table and the function correlation generation process for generating the function correlation table.
  • the configuration data generation process and the function correlation generation process are performed by the authentication management apparatus 300.
  • the configuration data generation process and the function correlation generation process are performed by the vehicle communication device 100. The configuration performed in step 1 will be described.
  • FIG. 29 is a diagram showing a configuration of the in-vehicle authentication system 10b according to the present embodiment.
  • the in-vehicle authentication system 10b does not have the authentication management device 300.
  • the vehicle communication device 100b of the vehicle 200 receives the ECU update information from the vendor server device 400 without relaying the authentication management device 300.
  • FIG. 30 is a diagram showing a configuration of the vehicle communication device 100b according to the present embodiment.
  • the vehicle communication device 100b includes a configuration data generation unit 108 and a function correlation generation unit 109 in addition to the components described in the first embodiment.
  • the configuration data generation unit 108 has the same function as the configuration data generation unit 302 described in the first embodiment.
  • the function correlation generation unit 109 has the same function as the function correlation generation unit 303 described in the first embodiment.
  • the configuration data generation process and the function correlation generation process are executed in the vehicle communication device 100b. Other procedures are the same as those in the first embodiment.
  • each part of the in-vehicle authentication system constitutes the in-vehicle authentication system as an independent function block.
  • the configuration as in the above-described embodiment may not be used, and the configuration of the in-vehicle authentication system is arbitrary.
  • the functional block of the in-vehicle authentication system is arbitrary as long as the functions described in the above-described embodiments can be realized.
  • the vehicle-mounted authentication system may be configured with any other combination of these functional blocks or with an arbitrary block configuration.
  • Embodiments 1 to 3 have been described, a combination of a plurality of portions may be implemented among these embodiments. Alternatively, one part of these embodiments may be implemented. In addition, these embodiments may be implemented in any combination as a whole or in part.
  • the above-described embodiment is essentially a preferable example, and is not intended to limit the scope of the present invention, the scope of the application of the present invention, and the scope of use of the present invention. The embodiment described above can be variously modified as necessary.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Databases & Information Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Mechanical Engineering (AREA)
  • Computer Hardware Design (AREA)
  • Computational Linguistics (AREA)
  • Automation & Control Theory (AREA)
  • Multimedia (AREA)
  • Technology Law (AREA)
  • Stored Programmes (AREA)
  • Small-Scale Networks (AREA)

Abstract

車載認証システムは、複数のＥＣＵを搭載する車両に備えられ、各ＥＣＵと通信する車両通信装置（１００）を有する。認証部（１０１）は、各ＥＣＵについて構成の正当性を認証する構成認証を実行し、構成認証が失敗したＥＣＵを認証エラーリストに登録する。判定部（１０２）は、車両において実現される車両搭載機能と車両搭載機能の実現に用いられるＥＣＵとの相関を表した機能相関テーブルと、認証エラーリストとに基づいて、車両において実現可能な車両搭載機能を判定する。表示部（１０７）は、判定部（１０２）により、車両において実現可能と判定された車両搭載機能を、表示機器（８０５）に表示する。

Description

車載認証システム、車載認証方法および車載認証プログラム
　本発明は、車載認証システム、車載認証方法および車載認証プログラムに関する。
　近年、車載システムには、様々な機能を制御するＥＣＵ（Ｅｌｅｃｔｒｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）が多数搭載されている。各ＥＣＵは、車載ネットワークを介して他のＥＣＵと相互に接続され、他のＥＣＵと協調動作を行う。一方、車載ネットワークに不正なデバイスを接続する、あるいは、正規のデバイスを不正なデバイスに取替えるといった不正な操作による攻撃が問題となっている。そのため、このような攻撃から車載システムを守る技術が重要となっている。車載システムを守る技術には、攻撃を未然に防ぐ技術、および、車両が不正に制御される可能性が高い場合に不正な制御の影響を抑制する技術が含まれる。
　車載システムを守る技術をＥＣＵに搭載するために、ＥＣＵに対する機能変更および機能追加を行うソフトウェア更新が当たり前になってくる。さらに、新規のＥＣＵを追加する際のＰｎＰ（Ｐｌｕｇ　ａｎｄ　Ｐｌａｙ）対応も必要となってくる。それらをセキュアに行うためには、不正なＥＣＵと正規のＥＣＵを判別するための認証と、構成が変化するような状況での構成認証の実施が必要である。
　また、ＥＣＵ機能の追加により、ユーザに対して新たな車両搭載機能が提供される。このとき、車両ではＥＣＵと協調動作を行う他ＥＣＵとの相関関係に変化が生じている。そのため、変化に応じて最新情報を管理する仕組みが必要である。
　特許文献１には、ＥＣＵに対応付けられたセキュリティレベルと、セキュリティレベルに対応した不正対応処理とを定義した対応情報テーブルを設け、不正が検知されたＥＣＵに対応した不正対応処理を行う技術が開示されている。
　また、特許文献２には、マスタＥＣＵが車両に搭載される可能性のある全てのＥＣＵの情報に関するデータベースを備え、マスタＥＣＵがマスタＥＣＵ以外のＥＣＵに対する検証を行うことで構成証明を行う技術が記載されている。
特開２０１６－１３４１７０号公報 特開２０１０－１１４００号公報
　特許文献１の技術では、単にＥＣＵのセキュリティレベルに応じて「停止、徐行、間隔をあけて走行、通知」といった不正対応処理を行うだけである。このため、特許文献１の技術では、過剰に車両搭載機能を止めてしまう虞がある。
　また、特許文献２の技術では、構成証明が確認できなかった場合には、対象のＥＣＵと他のＥＣＵとの通信を無効化するまでの技術しか開示されていない。このため、特許文献２の技術では、運転者が車両の機能の状態について確認できず、安全性および利便性が劣っている。
　本発明は、不正なＥＣＵを検出した場合、不正なＥＣＵ以外のＥＣＵにより実現可能な車両搭載機能を表示することにより、安全性および利便性を向上させることを目的とする。
　本発明に係る車載認証システムは、複数の電子制御装置を搭載する車両に備えられた車両通信装置であって、前記複数の電子制御装置の各電子制御装置と通信する車両通信装置を有する車載認証システムにおいて、
　前記複数の電子制御装置の各電子制御装置について構成の正当性を認証する構成認証を実行し、構成認証が失敗した電子制御装置を認証エラーリストに登録する認証部と、
　前記車両において実現される車両搭載機能と前記車両搭載機能の実現に用いられる電子制御装置との相関を表した機能相関テーブルと、前記認証エラーリストとに基づいて、前記車両において実現可能な車両搭載機能を判定する判定部と、
　前記判定部により前記車両において実現可能と判定された車両搭載機能を、前記車両通信装置の表示機器に表示する表示部とを備えた。
　本発明に係る車載認証システムでは、認証部が、構成認証が失敗した電子制御装置を認証エラーリストに登録する。判定部が、車両搭載機能と車両搭載機能の実現に用いられる電子制御装置との相関を表した機能相関テーブルと、認証エラーリストとに基づいて、車両において実現可能な車両搭載機能を判定する。表示部が、車両において実現可能と判定された車両搭載機能を、車両通信装置の表示機器に表示する。よって、本発明に係る車載認証システムによれば、不正な電子制御装置を検出した場合でも過剰に車両搭載機能を止めてしまうことなく、安全性および利便性を向上させることができる。
実施の形態１に係る車載認証システム１０の構成図。 実施の形態１に係る車両通信装置１００の構成図。 実施の形態１に係る車両２００の構成図。 実施の形態１に係る認証管理装置３００の構成図。 実施の形態１に係るＥＣＵ情報テーブル６２０の詳細を示した例。 実施の形態１に係る構成データテーブル６１０の詳細を示した例。 実施の形態１に係る機能相関テーブル６４０の詳細を示した例。 実施の形態１に係る機能管理処理のフロー図。 実施の形態１に係る認証処理のフロー図。 実施の形態１に係る認証エラーリスト６３０の例を示す図。 実施の形態１に係る認証エラーテーブル６３１の例を示す図。 実施の形態１に係る構成認証処理の詳細のフロー図。 実施の形態１に係る判定処理のフロー図。 実施の形態１に係る機能相関テーブル６４０の具体例を示す図。 実施の形態１に係る機能表示画面５００を示す図。 実施の形態１に係る更新情報６５０の構成を示す図。 実施の形態１に係る更新処理のフロー図。 実施の形態１に係るソフトウェア更新処理のフロー図。 実施の形態１に係るテーブル更新処理のフロー図。 実施の形態１に係る認証管理装置３００の補助記憶装置９０３の構成図。 実施の形態１に係る認証管理処理のフロー図。 実施の形態１に係る構成データ生成処理のフロー図。 実施の形態１に係る機能相関生成処理のフロー図。 実施の形態１の変形例に係る車両通信装置１００の構成図。 実施の形態１の変形例に係る認証管理装置３００の構成図。 実施の形態２に係る車載認証システム１０の構成図。 実施の形態２に係る車両通信装置１００ａの構成図。 実施の形態２に係る認証管理装置３００ａの構成図。 実施の形態３に係る車載認証システム１０ｂの構成図。 実施の形態３に係る車両通信装置１００ｂの構成図。
　以下、本発明の実施の形態について、図を用いて説明する。なお、各図中、同一または相当する部分には、同一符号を付している。実施の形態の説明において、同一または相当する部分については、説明を適宜省略または簡略化する。
　実施の形態１．
＊＊＊構成の説明＊＊＊
　図１を用いて、本実施の形態に係る車載認証システム１０の構成について説明する。
　車載認証システム１０は、車両２００と認証管理装置３００とベンダサーバ装置４００とを備える。車両２００と認証管理装置３００とベンダサーバ装置４００とはネットワークを介して通信を行う。ネットワークの具体例は、インターネットである。
　車両２００は、互いに通信する少なくとも２つ以上の電子制御装置を搭載する。電子制御装置はＥＣＵと呼ばれる。以下において、電子制御装置をＥＣＵと呼ぶ。車両２００は、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　ａｒｅａ　ｎｅｔｗｏｒｋ）、あるいは、ＦｌｅｘＲａｙといった通信プロトコルに準拠した車載ネットワークを備える。車両２００に搭載された複数のＥＣＵは、この車載ネットワークを介して互いに通信する。また、車両２００は、車両通信装置１００を備える。車両通信装置１００は、複数の電子制御装置の各電子制御装置と通信する。
　車両２００は、車両システムともいう。また、車両通信装置１００は、具体的には、車両２００のゲートウェイ装置である。
　ベンダサーバ装置４００は、ＥＣＵごとに存在するＥＣＵベンダが管理するサーバ装置である。よって、ベンダサーバ装置４００は複数存在する。ベンダサーバ装置４００は、更新ソフトウェアおよび更新ＥＣＵ情報を提供する。更新ソフトウェアは、機能の追加、機能の変更、あるいは、不具合の修正のための最新のソフトウェアである。車両２００では、更新ソフトウェアをダウンロードして現状のプログラムを更新あるいは変更することで、ＥＣＵのプログラムが最新の状態になる。更新ＥＣＵ情報は、ソフトウェアの更新、あるいは、新規のＥＣＵの追加によって、車両２００のソフトウェアおよびハードウェアに変更があったときに、変更内容を伝達するための情報である。
　図２を用いて、本実施の形態に係る車両通信装置１００の構成について説明する。
　車両通信装置１００は、車両２００のＥＣＵの正当性を認証する。また、車両通信装置１００は、不正なＥＣＵを検出した場合には、不正なＥＣＵを除外し、残された有効な車両搭載機能を判定し、判定結果をユーザに表示する。
　車両通信装置１００は、プロセッサ８０１とメモリ８０２と補助記憶装置８０３と通信装置８０４と表示機器８０５といったハードウェアを備えるコンピュータである。
　プロセッサ８０１は、信号線を介して他のハードウェアと接続されている。プロセッサ８０１は、演算処理を行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）であり、他のハードウェアを制御する。具体的には、プロセッサ８０１は、ＣＰＵ、ＤＳＰまたはＧＰＵである。ＣＰＵはＣｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔの略称であり、ＤＳＰはＤｉｇｉｔａｌ　Ｓｉｇｎａｌ　Ｐｒｏｃｅｓｓｏｒの略称であり、ＧＰＵはＧｒａｐｈｉｃｓ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔの略称である。
　メモリ８０２は揮発性の記憶装置である。メモリ８０２は、主記憶装置またはメインメモリとも呼ばれる。具体的には、メモリ８０２はＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）である。
　補助記憶装置８０３は不揮発性の記憶装置である。具体的には、補助記憶装置８０３は、ＲＯＭ、ＨＤＤまたはフラッシュメモリである。ＲＯＭはＲｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙの略称であり、ＨＤＤはＨａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅの略称である。
　通信装置８０４は、通信を行う装置であり、レシーバとトランスミッタとを備える。具体的には、通信装置８０４は通信チップまたはＮＩＣ（Ｎｅｔｗｏｒｋ　Ｉｎｔｅｒｆａｃｅ　Ｃａｒｄ）である。
　表示機器８０５は、画像等を表示する表示装置である。具体的には、表示機器８０５は液晶ディスプレイである。表示機器８０５はモニタともいう。
　車両通信装置１００は、構成要素として、認証部１０１と判定部１０２と更新部１０３と鍵管理部１１０とを備える。認証部１０１と判定部１０２と更新部１０３と鍵管理部１１０の機能はソフトウェアで実現される。
　補助記憶装置８０３には、認証部１０１と判定部１０２と更新部１０３と鍵管理部１１０の機能を実現するプログラムが記憶されている。認証部１０１と判定部１０２と更新部１０３と鍵管理部１１０の機能を実現するプログラムは、メモリ８０２にロードされて、プロセッサ８０１によって実行される。
　さらに、補助記憶装置８０３にはＯＳ（Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍ）が記憶されている。ＯＳの少なくとも一部は、メモリ８０２にロードされて、プロセッサ８０１によって実行される。
　つまり、プロセッサ８０１は、ＯＳを実行しながら、認証部１０１と判定部１０２と更新部１０３と鍵管理部１１０の機能を実現するプログラムを実行する。
　認証部１０１と判定部１０２と更新部１０３と鍵管理部１１０の機能を実現するプログラムを実行して得られるデータは、メモリ８０２、補助記憶装置８０３、プロセッサ８０１内のレジスタまたはプロセッサ８０１内のキャッシュメモリといった記憶装置に記憶される。
　なお、車両通信装置１００が複数のプロセッサ８０１を備えて、複数のプロセッサ８０１が認証部１０１と判定部１０２と更新部１０３と鍵管理部１１０の機能を実現するプログラムを連携して実行してもよい。
　メモリ８０２は、車両通信装置１００で使用、生成、入出力または送受信されるデータが記憶される記憶部１０４として機能する。ただし、メモリ８０２以外の記憶装置が記憶部１０４として機能してもよい。
　通信装置８０４はデータを通信する通信部として機能する。通信装置８０４において、レシーバはデータを受信する受信部１０５として機能し、トランスミッタはデータを送信する送信部１０６として機能する。
　表示機器８０５は画像等を表示する表示部１０７として機能する。
　認証部１０１と判定部１０２と更新部１０３と鍵管理部１１０の「部」は「処理」または「工程」に読み替えてもよい。認証部１０１と判定部１０２と更新部１０３と鍵管理部１１０の機能はファームウェアで実現してもよい。
　認証部１０１と判定部１０２と更新部１０３と鍵管理部１１０の機能を実現するプログラムは、磁気ディスク、光ディスクまたはフラッシュメモリ等の不揮発性の記憶媒体に記憶することができる。
　図３を用いて、本実施の形態に係る車両２００の構成について説明する。車両２００は、互いに通信する少なくとも２つ以上のＥＣＵ２０２が搭載されている車両である。少なくとも２つ以上のＥＣＵ２０２は、ＣＡＮあるいはＦｌｅｘＲａｙといった通信プロトコルに準拠した車載ネットワーク２０１を介して、互いに接続される。
　ＥＣＵ２０２は、ＣＰＵ２５０、メモリ２５１、および通信装置２５４といったハードウェアを備える。メモリ２５１には、プログラム２５２とＥＣＵ情報２５３とが記憶される。
　図４を用いて、本実施の形態に係る認証管理装置３００の構成について説明する。
　認証管理装置３００は、プロセッサ９０１とメモリ９０２と補助記憶装置９０３と通信装置９０４と表示機器９０５と入力装置９０６といったハードウェアを備えるコンピュータである。プロセッサ９０１とメモリ９０２と補助記憶装置９０３と通信装置９０４と表示機器９０５については、車両通信装置１００の備えるハードウェアと同様である。また、記憶部３０７、受信部３０８、送信部３０９、および表示部３１１についても、車両通信装置１００の備える記憶部１０４、受信部１０５、送信部１０６、および表示部１０７と同様である。ただし、車両通信装置１００は組込み機器向けのコンピュータであるのに対し、認証管理装置３００はサーバとしての機能を果たすコンピュータである。よって、認証管理装置３００は車両通信装置１００よりはるかに計算能力の高いコンピュータである。
　入力装置９０６は、入力を受け付ける受付部３１０として機能する。
　認証管理装置３００は、構成要素として、更新データ処理部３０１と構成データ生成部３０２と機能相関生成部３０３とテーブル管理部３０６と鍵管理部３２０とを備える。
　図５は、本実施の形態に係るＥＣＵ情報テーブル６２０の詳細を示した例である。
　ＥＣＵ情報６２１は、ＥＣＵの属性を表す属性情報２０の例である。ＥＣＵ情報テーブル６２０には複数のＥＣＵ情報６２１が含まれる。複数のＥＣＵ情報６２１は、各ＥＣＵ情報６２１を識別するＥＣＵ識別ＩＤで管理される。ＥＣＵ情報６２１には、ＥＣＵの属性として、ＥＣＵ識別ＩＤ、ＥＣＵ情報の名称、メーカー情報、ベンダ情報、ハードウェア番号、バージョン、機能分類、関連車載機能、関連ＥＣＵ入出力といった情報が含まれる。
　図６は、本実施の形態に係る構成データテーブル６１０の詳細を示した例である。
　構成データテーブル６１０は、複数の構成データ情報６１１から成る。構成データ情報６１１は、各ＥＣＵに、各ＥＣＵの属性を表すＥＣＵ情報から生成された構成データ６０１を対応付けた情報である。構成データ６０１は、具体的には、デジタル署名である。
　複数の構成データ情報６１１は、各構成データ情報６１１を識別する構成識別ＩＤで管理される。構成データ情報６１１には、構成識別ＩＤ、ヘッダ情報、ＥＣＵ情報の名称、ＥＣＵ情報から算出されたデジタル署名といった情報が含まれる。構成データ情報６１１には、ＥＣＵ情報の名称を１つ以上含む。図７では、構成データ情報６１１には、ＥＣＵ情報ＡとＥＣＵ情報Ｂの各々のＥＣＵ情報６２１から算出された構成データ６０１が設定されている。
　図７は、本実施の形態に係る機能相関テーブル６４０の詳細を示した例である。
　機能相関テーブル６４０は、車両２００において実現される車両搭載機能と車両搭載機能の実現に用いられるＥＣＵとの相関を表している。車両搭載機能は、車両２００に搭載された機能である。車両搭載機能の具体例は、自動運転、ＡＣＣ、ＬＫＡＳ、ＬＤＷ、駐車支援、あるいは自動ブレーキといった機能である。ＡＣＣは、アダプティブクルーズコントロールである。ＬＫＡＳは、車線維持支援システムである。ＬＤＷは、車線逸脱警告である。
　機能相関テーブル６４０には、ＥＣＵの欄と、車両搭載機能の欄とが設けられる。ＥＣＵの欄には、各ＥＣＵを識別するＥＣＵ識別ＩＤと、各ＥＣＵの用途を表す分類と、各ＥＣＵのバージョンとが設定される。また、車両搭載機能の欄は、機能ごとの欄が設けられ、当該機能に必要なＥＣＵにチェックマークが設定される。
＊＊＊動作の説明＊＊＊
　次に、車載認証システム１０による車載認証方法について説明する。車載認証システム１０の動作は車載認証方法に相当する。また、車載認証方法の手順は車載認証プログラムによる車載認証処理の手順に相当する。
　本実施の形態において、車載認証処理は、車両通信装置１００による機能管理処理と、認証管理装置３００による認証管理処理とを有する。
　車両通信装置１００の動作は機能管理方法に相当する。また、機能管理方法の手順は機能管理プログラムによる機能管理処理の手順に相当する。以下では、図８から図１９を用いて、車両通信装置１００の動作を説明する。
　なお、構成データテーブル６１０と機能相関テーブル６４０と後述する認証エラーテーブル６３１とは補助記憶装置８０３に格納されている。機能管理処理が開始されると、構成データテーブル６１０と機能相関テーブル６４０と認証エラーテーブル６３１とは、記憶部１０４に記憶される。また、ＥＣＵ識別ＩＤごとの署名検証用の鍵は補助記憶装置８０３に格納されている。機能管理処理が開始されると、ＥＣＵ識別ＩＤごとの署名検証用の鍵は、鍵管理部１１０により記憶部１０４に記憶される。
＜機能管理処理＞
　図８を用いて、本実施の形態に係る機能管理処理の手順について説明する。
　ステップＳ１００では認証部１０１により認証処理が実行される。
　ステップＳ１００において、認証部１０１は、複数のＥＣＵの各ＥＣＵについて構成の正当性を認証する構成認証を実行し、構成認証が失敗したＥＣＵを認証エラーリスト６３０に登録する。具体的には、認証部１０１は、複数のＥＣＵの各ＥＣＵから、ＥＣＵの属性を表すＥＣＵ情報を取得し、ＥＣＵ情報に基づいてＥＣＵの署名を算出する。認証部１０１は、署名と構成データテーブル６１０に含まれる構成データ６０１とを比較する。そして、認証部１０１は、署名と構成データ６０１とが一致する場合にＥＣＵの構成認証を成功とする。
＜＜認証処理＞＞
　図９を用いて、本実施の形態に係る認証処理の手順について説明する。
　ステップＳ１０１において、認証部１０１は、１つのＥＣＵあるいは複数のＥＣＵについて、認証メカニズムを利用して機器認証を行う。具体的には、認証部１０１は、ＩＳＯ／ＩＥＣで国際標準技術となっているプロトコルであるＩＳＯ／ＩＥＣ９７９８を利用して機器認証を行う。あるいは、認証部１０１は、認証メカニズムと合わせて、不正機器を検出するような物理的な機器認証を行ってもよい。
　ステップＳ１０２において、認証部１０１は、機器認証の結果を判定する。機器認証が成功した場合には、認証部１０１は、ステップＳ１０３に進む。機器認証が失敗した場合には、認証部１０１は、ステップＳ１０６に進み、機器認証が失敗したＥＣＵを認証エラーリスト６３０に記録する。なお、認証エラーリスト６３０は、認証処理の開始前に初期化される。
　図１０は、本実施の形態に係る認証エラーリスト６３０の例を示す図である。
　認証エラーリスト６３０には、行の番号を表す番号と、エラーが発生した日時と、エラーとなった不正なＥＣＵのＥＣＩ識別ＩＤと、エラーの内容を表すエラーＩＤといった情報が設定される。
　図１１は、本実施の形態に係る認証エラーテーブル６３１の例を示す図である。
　認証エラーテーブル６３１には、エラーＩＤと、そのエラーＩＤが表すエラーの内容の説明とが設定されている。
　ステップＳ１０３において、認証部１０１は、機器認証が成功したＥＣＵからＥＣＵ情報２５３を取得し、ステップＳ１０４に進む。なお、ＥＣＵから取得するＥＣＵ情報２５３の構成は、図５で説明したＥＣＵ情報６２１の構成を同様である。
＜＜＜構成認証処理＞＞＞
　ステップＳ１０４では構成認証処理が実行される。
　ステップＳ１０４において、認証部１０１は、機器認証が成功したＥＣＵから取得したＥＣＵ情報２５３から構成データを生成する。そして、認証部１０１は、生成した構成データを、構成データテーブル６１０と照合する。
　図１２を用いて、本実施の形態に係る構成認証処理の詳細手順について説明する。
　ステップＳ１４１において、認証部１０１は、ＥＣＵ情報２５３から得られたＥＣＵ識別ＩＤをもとに鍵管理部１１０を介して記憶部１０４から署名検証用の鍵を取得する。
　ステップＳ１４２において、認証部１０１は、ＥＣＵ情報２５３と署名検証用の鍵とを用いて構成データを生成する。具体的には、認証部１０１は、ＥＣＵ情報２５３と署名検証用の鍵とから署名を算出する。ここで算出された署名が構成データである。
　ステップＳ１４３において、認証部１０１は、ＥＣＵ情報２５３をもとに、記憶部１０４に記憶された構成データテーブル６１０から構成データ情報６１１を抽出する。認証部１０１は、抽出された構成データ情報６１１に含まれる構成データ６０１を期待値として取得する。
　ステップＳ１４４において、認証部１０１は、ステップＳ１４２で算出した署名と、ステップＳ１４３で取得した期待値である構成データ６０１とを比較する。認証部１０１は、ステップＳ１４２で算出した署名と、ステップＳ１４３で取得した構成データ６０１とを比較し、両者が一致するかどうかの比較結果を得る。
　図９に戻り説明を続ける。
　ステップ１０５において、認証部１０１は、構成認証処理により出力された比較結果に基づいて、構成認証が成功か否かを判定する。認証部１０１は、比較結果が一致の場合は構成認証が成功と判定する。認証部１０１は、比較結果が不一致の場合は構成認証が失敗と判定する。認証部１０１は、構成認証が成功であればステップＳ１０７に進み、構成認証が失敗であればステップＳ１０６において構成認証が失敗したＥＣＵを認証エラーリスト６３０に記録する。
　ステップＳ１０７において、認証部１０１は、すべてのＥＣＵに対してステップＳ１０１からステップＳ１０６までの処理を終了したかを判定する。認証部１０１は、終了していないＥＣＵがある場合、ステップＳ１０１に戻る。認証部１０１は、終了していないＥＣＵがない場合、認証処理を終了する。
＜＜判定処理＞＞
　図８に戻り、ステップＳ３００から説明を続ける。
　ステップＳ３００では判定部１０２により判定処理が実行される。
　ステップＳ３００では、判定部１０２は、機能相関テーブル６４０と認証エラーリスト６３０とに基づいて、車両において実現可能な車両搭載機能を判定する。また、判定部１０２は、認証エラーリスト６３０に登録されているＥＣＵを車載ネットワーク２０１から切り離す。
　図１３を用いて、本実施の形態に係る判定処理について説明する。
　ステップＳ３０１において、判定部１０２は、記憶部１０４から認証エラーリスト６３０を取得する。
　ステップＳ３０２において、判定部１０２は、認証エラーリスト６３０にＥＣＵが登録されているか否かを判定する。判定部１０２は、認証エラーリスト６３０に登録されていなければ認証エラーのＥＣＵがないことを意味するので、認証成功として、処理を終了する。判定部１０２は、認証エラーリスト６３０にＥＣＵが登録されていれば認証エラーのＥＣＵがあることを意味するので、認証失敗として、ステップＳ３０３に進む。
　ステップＳ３０３では、判定部１０２は、認証エラーとなった不正なＥＣＵを車載ネットワーク２０１から論理的に切り離して排除する。ここで、排除の具体的な方法として、不正なＥＣＵが発信する通信フレームを他のＥＣＵが無視することで論理的に切り離す方法がある。
　ステップＳ３０４において、判定部１０２は、機能相関テーブル６４０を用いて、ステップＳ３０３で排除したＥＣＵが係わる車両搭載機能を判定する。すなわち、判定部１０２は、車両２００において実現可能な車両搭載機能を決定するとともに、無効とすべき車両搭載機能を決定する。
　ステップＳ３０５では表示部３１１による表示処理が実行される。ステップＳ３０５において、表示部３１１は、車両２００において実現可能と判定された車両搭載機能を車両通信装置の表示機器８０５に表示する。具体的には、表示部３１１は、表示機器８０５に、車両搭載機能の有効あるいは無効を表示する機能表示画面５００を表示する。表示部３１１は、機能表示画面５００を表示することにより、車両２００の運転者に対して、車両搭載機能のうち無効となった機能とまだ有効である機能を区別して提示する。また、表示部３１１は、運転者に対し提供可能な車両搭載機能に増減が生じたことについての説明を表示してもよい。
　図１４は、本実施の形態に係る機能相関テーブル６４０の具体例を示す図である。また、図１５は、本実施の形態に係る機能表示画面５００を示す図である。
　図１４および図１５を用いて、判定処理の具体例について説明する。
　図１４に示すように、認証エラーとなった不正なＥＣＵが、ＥＣＵ＿Ｄの後側ソナーであるとする。このとき、判定部１０２は、ＥＣＵ＿Ｄに関連する車両搭載機能は、自動運転、駐車支援、および後側方車両検知警報であると判定する。したがって、表示部３１１は、図１５に示すように、機能表示画面５００において、自動運転、駐車支援、および後側方車両検知警報が無効になったことを示す。また、表示部３１１は、機能表示画面５００のメッセージ欄に、ＥＣＵ＿Ｄの後側ソナーが認証エラーになったという説明を表示する。
　図８に戻り、ステップＳ４００から説明を続ける。
　ステップＳ４００において、更新部１０３は、通信装置８０４の受信部１０５が認証管理装置３００から更新の通知を受信しているかを判定する。更新部１０３は、更新の通知がある場合、ステップＳ６００に進む。更新部１０３は、更新の通知がない場合、処理を終了する。
　図１６は、本実施の形態に係る更新情報６５０の構成を示す図である。
　更新情報６５０には、ＥＣＵ更新情報６５１と、テーブル更新情報６５２とが含まれる。
　ＥＣＵ更新情報６５１では、ＥＣＵごとのテーブルに、当該ＥＣＵを表すヘッダ情報５１１と、ＥＣＵ情報の変更部分、すなわち変更前のＥＣＵ情報との差分であるＥＣＵ差分情報５１２と、更新ソフトウェア５１３とが設定される。
　テーブル更新情報６５２には、構成データテーブルの更新内容、すなわち変更前の構成データテーブルとの差分である構成データ差分５２１が設定される。また、テーブル更新情報６５２には、機能相関テーブルの更新内容、すなわち変更前の機能相関テーブルとの差分である機能相関差分５２２が設定される。
　更新部１０３は、更新情報６５０を受信した場合に、更新の通知を受信したと判定する。
＜＜更新処理＞＞
　ステップＳ６００では更新部１０３により更新処理が実行される。
　図１７を用いて、本実施の形態に係る更新処理の手順について説明する。
　ステップＳ６１０において、更新部１０３は、受信部１０５を介して、更新情報６５０を受信する。
　ステップＳ６２０では更新部１０３によりソフトウェア更新処理が実行される。
　続いて、ステップＳ６３０では更新部１０３によりテーブル更新処理が実行される。
　図１８を用いて、本実施の形態に係るソフトウェア更新処理の手順について説明する。
　ステップＳ６２１において、更新部１０３は、更新情報６５０に更新ソフトウェア５１３が含まれるか否かを判定する。更新情報６５０に更新ソフトウェア５１３が含まれる場合、更新部１０３はステップＳ６２２に進む。更新情報６５０に更新ソフトウェア５１３が含まれない場合、更新部１０３は処理を終了する。
　ステップＳ６２２において、更新部１０３は、更新情報６５０のヘッダ情報５１１から更新対象のＥＣＵを決定する。更新部１０３は、送信部１０６により、更新対象のＥＣＵへ車載ネットワーク２０１を通してＥＣＵ差分情報５１２および更新ソフトウェア５１３を配信する。更新部１０３は、更新対象であるすべてのＥＣＵへ、ＥＣＵ差分情報５１２および更新ソフトウェア５１３を配信すると、処理を終了する。ＥＣＵへ配信する更新情報は、差分情報のみが送られる。
　図１９を用いて、本実施の形態に係るテーブル更新処理の手順について説明する。
　ステップＳ６３１において、更新部１０３は、更新情報６５０に構成データ差分５２１が含まれるか否かを判定する。更新情報６５０に構成データ差分５２１が含まれる場合、更新部１０３はステップＳ６３２に進む。更新情報６５０に構成データ差分５２１が含まれない場合、更新部１０３はステップＳ６３３に進む。
　ステップＳ６３２において、更新部１０３は、構成データ差分５２１を用いて、補助記憶装置８０３の構成データテーブル６１０を更新する。
　ステップＳ６３３において、更新部１０３は、更新情報６５０に機能相関差分５２２が含まれるか否かを判定する。更新情報６５０に機能相関差分５２２が含まれる場合、更新部１０３はステップＳ６３４に進む。更新情報６５０に機能相関差分５２２が含まれない場合、更新部１０３は処理を終了する。
　ステップＳ６３４において、更新部１０３は、機能相関差分５２２を用いて、補助記憶装置８０３の機能相関テーブル６４０を更新する。なお、更新部１０３は、更新情報６５０を参照し、更新によりＥＣＵの機能に変化があることが分かれば、ステップＳ６３４において、機能相関テーブル６４０を更新するとしてもよい。
　以上で、車両通信装置１００による機能管理処理の説明を終わる。
　次に、本実施の形態に係る認証管理装置３００の動作について説明する。認証管理装置３００は、具体的には、車両２００の外部に存在するサーバである。あるいは、認証管理装置３００は、車両２００の外部に存在するサーバの一部である。
　図２０は、本実施の形態に係る認証管理装置３００の補助記憶装置９０３の構成を示す図である。図２０に示すように、補助記憶装置９０３には、ＥＣＵ情報テーブル６２０、構成データテーブル６１０、機能相関テーブル６４０が記憶される。
　以下では、図２１から図２３を用いて、認証管理装置３００の動作を説明する。認証管理装置３００の動作は認証管理方法に相当する。また、認証管理方法の手順は認証管理プログラムによる認証管理処理の手順に相当する。
　なお、構成データテーブル６１０と機能相関テーブル６４０と後述する認証エラーテーブル６３１とは補助記憶装置９０３に格納されている。認証管理処理が開始されると、構成データテーブル６１０と機能相関テーブル６４０と認証エラーテーブル６３１とは、記憶部３０７に記憶される。また、ＥＣＵ識別ＩＤごとの署名検証用の鍵は補助記憶装置９０３に格納されている。認証管理処理が開始されると、ＥＣＵ識別ＩＤごとの署名検証用の鍵は、鍵管理部３２０により記憶部３０７に記憶される。
＜認証管理処理＞
　図２１を用いて、本実施の形態に係る認証管理処理の手順について説明する。
　ステップＳ７００において、更新データ処理部３０１は、ベンダサーバ装置４００からの更新があるか否かを判定する。更新データ処理部３０１が受信部３０８を介してＥＣＵ更新情報６５１を受信した場合、ベンダサーバ装置４００からの更新があることを意味する。更新データ処理部３０１は、ベンダサーバ装置４００からの更新がある場合、ステップＳ７１０に進む。更新データ処理部３０１は、ＥＣＵ更新情報６５１を受信していない場合、ベンダサーバ装置４００からの更新がないことを意味するので、処理を終了する。
　なお、ＥＣＵ更新情報６５１は、複数のＥＣＵの各ＥＣＵに関する変更を表す装置変更情報の例である。
＜＜構成データ生成処理＞＞
　ステップＳ７１０では構成データ生成処理が実行される。
　ステップＳ７１０では、構成データ生成部３０２は、複数のＥＣＵの各ＥＣＵに関する変更を表すＥＣＵ更新情報６５１を受け取ると、ＥＣＵ更新情報６５１に基づいて、構成データテーブル６１０を更新する。
　図２２を用いて、本実施の形態に係る構成データ生成処理の手順について説明する。
　ステップＳ７１１において、構成データ生成部３０２は、ＥＣＵ更新情報６５１の中からヘッダ情報５１１とＥＣＵ差分情報５１２を取得する。ヘッダ情報５１１には、更新対象のＥＣＵのＥＣＵ識別ＩＤが含まれる。
　ステップＳ７１２において、構成データ生成部３０２は、ヘッダ情報５１１に含まれるＥＣＵ識別ＩＤに対応するＥＣＵのＥＣＵ情報を、ＥＣＵ情報テーブル６２０から抽出する。
　ステップＳ７１３において、構成データ生成部３０２は、抽出したＥＣＵ情報に含まれるベンダ情報を取得する。構成データ生成部３０２は、ベンダ情報に設定されたベンダＩＤに紐付けられた署名用の鍵を、鍵管理部３２０から取得する。
　ステップＳ７１４において、構成データ生成部３０２は、鍵管理部３２０から取得した鍵と、ＥＣＵ情報テーブル６２０から抽出したＥＣＵ情報と、ＥＣＵ差分情報５１２とに基づいて、新たなデジタル署名を算出する。具体的には、構成データ生成部３０２は、１個あるいは複数のＥＣＵのＥＣＵ情報に対して、取得した鍵を用いてデジタル署名を算出する。構成データ生成部３０２は、１個あるいは複数のＥＣＵのＥＣＵ情報に基づいて、構成データ情報６１１を生成し、算出したデジタル署名を構成データ６０１として構成データ情報６１１に付与し、新たな構成データ情報６１１を生成する。
　ステップＳ７１５において、テーブル管理部３０６は、構成データ生成部３０２により生成された新たな構成データ情報６１１を構成データテーブル６１０に登録する。これにより、構成データテーブル６１０が更新される。
＜＜機能相関生成処理＞＞
　ステップＳ７２０では機能相関生成処理が実行される。
　ステップＳ７２０では、機能相関生成部３０３は、複数のＥＣＵの各ＥＣＵに関する変更を表すＥＣＵ更新情報６５１に基づいて、機能相関テーブル６４０を更新する。
　図２３を用いて、本実施の形態に係る機能相関生成処理の手順について説明する。
　ステップＳ７２１において、機能相関生成部３０３は、ＥＣＵ更新情報６５１の中からヘッダ情報５１１とＥＣＵ差分情報５１２を取得する。ヘッダ情報５１１には、更新対象のＥＣＵのＥＣＵ識別ＩＤが含まれる。
　ステップＳ７２２において、機能相関生成部３０３は、ヘッダ情報５１１に含まれるＥＣＵ識別ＩＤに対応するＥＣＵのＥＣＵ情報を、ＥＣＵ情報テーブル６２０から抽出する。機能相関生成部３０３は、抽出した更新対象のＥＣＵ情報６２１から得られたＥＣＵ機能の変更の情報を元に機能相関テーブル６４０を更新する。以下に、機能相関テーブル６４０の更新の具体的な処理の一例について説明する。ＥＣＵ変更情報６５１には、機能相関テーブル６４０の１行、すなわち横軸に関する情報が含まれている。具体例として、図７の機能相関テーブル６４０において、ＥＣＵ識別ＩＤ＝３が機能１、機能３、および機能４に関係する状態から、新たに機能５にも関係するようになったことがＥＣＵ変更情報６５１により通知される。このＥＣＵ変更情報６５１により、機能相関テーブル６４０に機能５が追加され、ＥＣＵ識別ＩＤ＝３の機能５にチェックが入る。
　図２１に戻り、ステップＳ７３０から説明する。
　ステップＳ７３０において、更新データ処理部３０１は、構成データテーブル６１０における更新前と更新後の差分である構成データ差分５２１を生成する。また、更新データ処理部３０１は、機能相関テーブル６４０における更新前と更新後の差分である機能相関差分５２２を生成する。更新データ処理部３０１は、構成データ差分５２１と機能相関差分５２２とを含む更新情報６５０を生成する。そして、更新データ処理部３０１は、更新情報６５０を、車両２００の車両通信装置１００に送信する。
＊＊＊他の構成＊＊＊
＜変形例１＞
　車両通信装置１００の認証部が認証管理装置３００に搭載されていてもよい。そして、認証管理装置３００は認証処理の一部を実施する構成としてもよい。この場合、車両通信装置１００の認証部は、ＥＣＵからＥＣＵ情報を取得し、認証管理装置３００に送る。認証管理装置３００は、受信したＥＣＵ情報に基づいて構成認証を実施し、認証エラーリストを車両に送信する。
＜変形例２＞
　車両通信装置１００の判定部が認証管理装置３００に搭載されていてもよい。そして、認証管理装置３００は、認証処理の一部を実施する構成としてもよい。この場合、車両通信装置１００の判定部は、認証エラーリストを認証管理装置３００に送信する。そして、認証管理装置３００は、車両で実施可能な車両搭載機能を判定し、その判定結果を車両に送信する。
＜変形例３＞
　認証管理装置３００の構成データ生成部が車両通信装置１００に搭載されていてもよい。そして、車両通信装置１００は、構成データ生成処理の一部を実施する構成としてもよい。この場合、車両通信装置１００は、更新ＥＣＵ情報から期待値である構成データを生成し、構成データテーブルの更新を行う。
＜変形例４＞
　認証管理装置３００の機能相関生成部３０３が車両通信装置１００に搭載されていてもよい。そして、車両通信装置１００は、機能相関生成処理の一部を実施する構成としてもよい。この場合、車両通信装置１００は、更新ＥＣＵ情報から機能相関テーブルを更新する。
＜変形例５＞
　車載認証システムでは、機密性を高めるために、認証管理装置３００と車両通信装置１００間で送受信されるデータを暗号化してもよい。あるいは、車載認証システムは、完全性を高めるために、認証管理装置３００と車両通信装置１００間で送受信されるデータに認証子を付与する暗号処理部を備えてもよい。
　ＥＣＵ情報から構成データを生成するために用いる暗号アルゴリズムとして、公開鍵暗号ベースの方法を用いてもよいし、秘密鍵暗号ベースの方法を用いてもよい。
＜変形例６＞
　本実施の形態では、車両通信装置１００と認証管理装置３００との各装置の構成要素の機能がソフトウェアで実現されるが、変形例として、各装置の構成要素の機能がハードウェアで実現されてもよい。
　図２４は、本実施の形態の変形例に係る車両通信装置１００の構成を示す図である。図２５は、本実施の形態の変形例に係る認証管理装置３００の構成を示す図である。
　車両通信装置１００は、電子回路８０９と補助記憶装置８０３と通信装置８０４と表示機器８０５といったハードウェアを備える。また、認証管理装置３００は、電子回路９０９と補助記憶装置９０３と通信装置９０４と表示機器９０５と入力装置９０６といったハードウェアを備える。
　電子回路８０９は、認証部１０１と判定部１０２と更新部１０３と鍵管理部１１０との機能を実現する専用の電子回路である。また、電子回路９０９は、更新データ処理部３０１と構成データ生成部３０２と機能相関生成部３０３とテーブル管理部３０６と鍵管理部３２０との機能を実現する専用の電子回路である。
　電子回路８０９，９０９は、具体的には、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＡＳＩＣ、または、ＦＰＧＡである。ＧＡは、Ｇａｔｅ　Ａｒｒａｙの略語である。ＡＳＩＣは、Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔの略語である。ＦＰＧＡは、Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙの略語である。
　各装置の構成要素の機能は、１つの電子回路で実現されてもよいし、複数の電子回路に分散して実現されてもよい。
　別の変形例として、各装置の構成要素の一部の機能が電子回路で実現され、残りの機能がソフトウェアで実現されてもよい。
　プロセッサと電子回路の各々は、プロセッシングサーキットリとも呼ばれる。つまり、車両通信装置１００において、認証部１０１と判定部１０２と更新部１０３と鍵管理部１１０の機能は、プロセッシングサーキットリにより実現される。また、認証管理装置３００において、更新データ処理部３０１と構成データ生成部３０２と機能相関生成部３０３とテーブル管理部３０６と鍵管理部３２０の機能は、プロセッシングサーキットリにより実現される。
　車両通信装置１００において、認証部１０１と判定部１０２と更新部１０３と鍵管理部１１０の「部」を「工程」に読み替えてもよい。また、認証管理装置３００において、更新データ処理部３０１と構成データ生成部３０２と機能相関生成部３０３とテーブル管理部３０６と鍵管理部３２０の「部」を「工程」に読み替えてもよい。
　また、車載認証処理、機能管理処理、および認証管理処理の「処理」を、「プログラム」、「プログラムプロダクト」または「プログラムを記録したコンピュータ読取可能な媒体」に読み替えてもよい。
＊＊＊本実施の形態の効果の説明＊＊＊
　本実施の形態に係る車載認証システム１０によれば、車両システム内の各ＥＣＵに対する構成認証を実施することで不正なＥＣＵを排除できる。また、本実施の形態に係る車載認証システム１０によれば、機能変更に対応した構成認証の実施をすることができる。また、ＥＣＵ相互の協調動作を考慮した車両搭載機能の提供ができる。
　また、本実施の形態に係る車載認証システム１０によれば、車載システムで構成認証を行うことにより正常な状態を確認でき、かつ、安全を確保した支援機能を提供することができる。すなわち、車載システムの構成認証を行うことで、不正なＥＣＵを検出し、不正なＥＣＵを除外した上で、残された有効な車両搭載機能を判断し、適切な対処方法を提供する。
　よって、本実施の形態に係る車載認証システム１０によれば、セキュリティ上の問題が解決されるまでの間、すなわちディーラーに車両を持って行き、その車両が直るまでの間、運転機能を一時的に制限するとしても、機能を過剰に遮断することはない。また、利用可能な車両搭載機能をユーザが把握した上で、支援機能を用いた安全な走行ができる。すなわち、本実施の形態に係る車載認証システム１０によれば、車両の状態を確認しつつ、安全を確保した上で車両を使用することができる。
　実施の形態２．
　本実施の形態では、実施の形態１とは異なる点について説明する。なお、実施の形態１と同様の構成には同一の符号を付し、その説明を省略する場合がある。
　実施の形態１では、構成データ生成処理および機能相関処理は認証管理装置３００で行い、更新情報が認証管理装置から車両２００の車両通信装置１００に送信される。そして、車両通信装置１００では、認証処理と判定処理とを簡便に実行することができる。このように、実施の形態１では、認証処理と判定処理とを車両通信装置１００で行っていたが、本実施の形態では、認証処理と判定処理とを認証管理装置３００で行う構成について説明する。
＊＊＊構成の説明＊＊＊
　図２６は、本実施の形態に係る車載認証システム１０の構成を示す図である。図２６に示す通り、車載認証システム１０の構成は、実施の形態１と同じである。ただし、車両通信装置１００ａと認証管理装置３００ａの機能が実施の形態１とは異なる。
　図２７は、本実施の形態に係る車両通信装置１００ａの構成を示す図である。車両通信装置１００ａは、認証部１０１、判定部１０２、および鍵管理部１１０を備えない。車両通信装置１００ａは、構成要素として、制御部１１１ａを有する。制御部１１１ａは、複数のＥＣＵの各々からＥＣＵ情報を収集し、認証管理装置３００ａへ送信する。そして、制御部１１１ａは、認証管理装置３００ａから、認証エラーリスト６３０と判定処理による判定結果とを受信する。表示部３１１は、認証エラーリスト６３０と判定結果とに基づいて、機能表示画面５００を表示機器８０５に表示する。
　図２８は、本実施の形態に係る認証管理装置３００ａの構成を示す図である。認証管理装置３００ａは、実施の形態１で説明した構成要素に加えて、認証部３０４と判定部３０５とを備える。認証部３０４は、実施の形態１で説明した認証部１０１と同様の機能を有する。判定部３０５は、実施の形態１で説明した判定部１０２と同様の機能を有する。
＊＊＊動作の説明＊＊＊
　本実施の形態では、認証処理および判定処理が認証管理装置３００ａにおいて実行される。また、それに伴い車両通信装置１００ａと認証管理装置３００ａとの間で、ＥＣＵ情報、認証エラーリスト、および判定結果の送受信が行われる。その他の手順は実施の形態１と同じである。
＊＊＊本実施の形態の効果の説明＊＊＊
　本実施の形態に係る車載認証システム１０によれば、ＥＣＵ情報テーブル、構成データテーブル、および機能相関テーブルを認証管理装置３００ａで管理することができる。よって、本実施の形態に係る車載認証システム１０によれば、車両通信装置１００ａの記憶容量を減らすことができる。なお、本実施の形態では、車両が常に外部ネットワークに安定してセキュアに接続している状態であることが前提である。また、本実施の形態に係る車載認証システム１０によれば、車両通信装置１００ａにおいて各種テーブルの更新処理、認証処理および判定処理を行う必要がないため、車両通信装置１００ａの負荷を軽減しコストを下げることができる。
　実施の形態３．
　本実施の形態では、実施の形態１とは異なる点について説明する。なお、実施の形態１と同様の構成には同一の符号を付し、その説明を省略する場合がある。
　実施の形態１では、構成データ生成処理および機能相関処理は認証管理装置３００で行い、更新情報が認証管理装置から車両２００の車両通信装置１００に送信される。そして、車両通信装置１００では、認証処理と判定処理とを簡便に実行することができる。また、実施の形態１では、構成データテーブルを生成する構成データ生成処理、および機能相関テーブルを生成する機能相関生成処理を認証管理装置３００で行っていた。このように、実施の形態１では、構成データ生成処理と機能相関生成処理を認証管理装置３００で行っていたが、本実施の形態では、構成データ生成処理と機能相関生成処理を車両通信装置１００で行う構成について説明する。
＊＊＊構成の説明＊＊＊
　図２９は、本実施の形態に係る車載認証システム１０ｂの構成を示す図である。
　本実施の形態では、車載認証システム１０ｂは、認証管理装置３００を有していない。車両２００の車両通信装置１００ｂは、認証管理装置３００を中継せずに、ベンダサーバ装置４００からＥＣＵ更新情報を受信する。
　図３０は、本実施の形態に係る車両通信装置１００ｂの構成を示す図である。車両通信装置１００ｂは、実施の形態１で説明した構成要素に加えて、構成データ生成部１０８と機能相関生成部１０９とを備える。構成データ生成部１０８は、実施の形態１で説明した構成データ生成部３０２と同様の機能を有する。機能相関生成部１０９は、実施の形態１で説明した機能相関生成部３０３と同様の機能を有する。
＊＊＊動作の説明＊＊＊
　本実施の形態では、構成データ生成処理および機能相関生成処理が車両通信装置１００ｂにおいて実行される。その他の手順は実施の形態１と同じである。
＊＊＊本実施の形態の効果の説明＊＊＊
　本実施の形態に係る車載認証システム１０ｂによれば、ベンダサーバ装置４００と車両２００の車両通信装置１００ｂ間に中継のサーバがない。よって、本実施の形態に係る車載認証システム１０ｂによれば、同じ情報を複数個所に持たせずに、一元的に管理するため、セキュリティ強化および保守の対象が軽減する。また、本実施の形態に係る車載認証システム１０ｂによれば、管理およびメンテナンスを含めシステム全体のコストを下げることができる。
　実施の形態１から３では、車載認証システムの各部が独立した機能ブロックとして車載認証システムを構成している。しかし、上述した実施の形態のような構成でなくてもよく、車載認証システムの構成は任意である。車載認証システムの機能ブロックは、上述した実施の形態で説明した機能を実現することができれば、任意である。これらの機能ブロックの他のどのような組み合わせ、あるいは任意のブロック構成で、車載認証システムを構成しても構わない。
　実施の形態１から３について説明したが、これらの実施の形態のうち、複数の部分を組み合わせて実施しても構わない。あるいは、これらの実施の形態のうち、１つの部分を実施しても構わない。その他、これらの実施の形態を、全体としてあるいは部分的に、どのように組み合わせて実施しても構わない。
　なお、上述した実施の形態は、本質的に好ましい例示であって、本発明の範囲、本発明の適用物の範囲、および本発明の用途の範囲を制限することを意図するものではない。上述した実施の形態は、必要に応じて種々の変更が可能である。
　１０，１０ｂ　車載認証システム、２０　属性情報、１００，１００ａ，１００ｂ　車両通信装置、１０１，３０４　認証部、１０２，３０５　判定部、１０３　更新部、１０４，３０７　記憶部、１０５，３０８　受信部、１０６，３０９　送信部、１０７，３１１　表示部、１１０，３２０　鍵管理部、１１１ａ　制御部、２００　車両、２０１　車載ネットワーク、２０２　ＥＣＵ、２５０　ＣＰＵ、２５２　プログラム、２５３，６２１　ＥＣＵ情報、２５４　通信装置、３００，３００ａ　認証管理装置、３０１　更新データ処理部、１０８，３０２　構成データ生成部、１０９，３０３　機能相関生成部、３０６　テーブル管理部、３１０　受付部、４００　ベンダサーバ装置、５１１　ヘッダ情報、５１２　ＥＣＵ差分情報、５１３　更新ソフトウェア、５２１　構成データ差分、５２２　機能相関差分、６１０　構成データテーブル、６０１　構成データ、６１１　構成データ情報、６２０　ＥＣＵ情報テーブル、６３０　認証エラーリスト、６３１　認証エラーテーブル、６４０　機能相関テーブル、６５０　更新情報、６５１　ＥＣＵ更新情報、６５２　テーブル更新情報、８０１，９０１　プロセッサ、２５１，８０２，９０２　メモリ、８０３，９０３　補助記憶装置、８０４，９０４　通信装置、８０５，９０５　表示機器、９０６　入力装置、９０７　入力装置、８０９，９０９　電子回路、５００　機能表示画面。

Claims (11)

  1. 　複数の電子制御装置を搭載する車両に備えられた車両通信装置であって、前記複数の電子制御装置の各電子制御装置と通信する車両通信装置を有する車載認証システムにおいて、
    　前記複数の電子制御装置の各電子制御装置について構成の正当性を認証する構成認証を実行し、構成認証が失敗した電子制御装置を認証エラーリストに登録する認証部と、
    　前記車両において実現される車両搭載機能と前記車両搭載機能の実現に用いられる電子制御装置との相関を表した機能相関テーブルと、前記認証エラーリストとに基づいて、前記車両において実現可能な車両搭載機能を判定する判定部と、
    　前記判定部により前記車両において実現可能と判定された車両搭載機能を、前記車両通信装置の表示機器に表示する表示部と
    を備えた車載認証システム。
  2. 　前記複数の電子制御装置は、車載ネットワークを介して互いに通信し、
    　前記判定部は、
    　前記認証エラーリストに登録されている電子制御装置を前記車載ネットワークから切り離す請求項１に記載の車載認証システム。
  3. 　前記車載認証システムは、
    　前記複数の電子制御装置の各電子制御装置に、前記複数の電子制御装置の各電子制御装置の属性を表す属性情報から生成された構成データを対応付けた構成データ情報から成る構成データテーブルを記憶する記憶部を備え、
    　前記認証部は、
    　前記複数の電子制御装置の各電子制御装置から、前記電子制御装置の属性を表す属性情報を取得し、前記属性情報に基づいて前記電子制御装置の署名を算出し、前記署名と前記構成データテーブルに含まれる前記構成データとを比較し、前記署名と前記構成データとが一致する場合に前記電子制御装置の構成認証を成功とする請求項１または２に記載の車載認証システム。
  4. 　前記車載認証システムは、さらに、前記記憶部を備えた認証管理装置を有し、
    　前記認証管理装置は、
    　前記複数の電子制御装置の各電子制御装置に関する変更を表す装置変更情報を受け取ると、前記装置変更情報に基づいて、前記構成データテーブルを更新する構成データ生成部を備えた請求項３に記載の車載認証システム。
  5. 　前記装置変更情報は、前記電子制御装置の前記属性情報を含み、
    　前記認証管理装置は、
    　前記装置変更情報に基づいて、前記機能相関テーブルを更新する機能相関生成部を備えた請求項４に記載の車載認証システム。
  6. 　前記認証管理装置は、
    　前記構成データテーブルにおける更新前と更新後の差分である構成データ差分と、前記機能相関テーブルにおける更新前と更新後の差分である機能相関差分とを含む更新情報を生成し、前記車両通信装置に送信する更新データ処理部を備えた請求項５に記載の車載認証システム。
  7. 　前記車載認証システムは、
    　前記複数の電子制御装置の各電子制御装置に関する変更を表す装置変更情報を受け取ると、前記装置変更情報に基づいて、前記構成データテーブルを更新する構成データ生成部と、
    　前記装置変更情報に基づいて、前記機能相関テーブルを更新する機能相関生成部と
    を備えた請求項３に記載の車載認証システム。
  8. 　前記車載認証システムは、さらに、前記記憶部を備えた認証管理装置を有し、
    　前記車両通信装置は、
    　前記複数の電子制御装置の各電子制御装置から、前記電子制御装置の前記属性情報を収集し、収集した前記属性情報を前記認証管理装置に送信する制御部を備え、
    　前記認証管理装置は、
    　前記認証部と、前記判定部と、前記構成データ生成部と、前記機能相関生成部とを備え、
    　前記認証部は、
    　前記認証エラーリストを前記制御部に送信し、
    　前記判定部は、
    　前記車両において実現可能な車両搭載機能を判定結果として前記制御部に送信する請求項７に記載の車載認証システム。
  9. 　前記車両通信装置は、
    　前記認証部と、前記判定部と、前記構成データ生成部と、前記機能相関生成部と、前記表示部とを備えた請求項７に記載の車載認証システム。
  10. 　複数の電子制御装置を搭載する車両に備えられた車両通信装置であって、前記複数の電子制御装置の各電子制御装置と通信する車両通信装置を有する車載認証システムの車載認証方法において、
    　認証部が、前記複数の電子制御装置の各電子制御装置について構成の正当性を認証する構成認証を実行し、構成認証が失敗した電子制御装置を認証エラーリストに登録し、
    　判定部が、前記車両において実現される車両搭載機能と前記車両搭載機能の実現に用いられる電子制御装置との相関を表した機能相関テーブルと、前記認証エラーリストとに基づいて、前記車両において実現可能な車両搭載機能を判定し、
    　表示部が、前記判定部により前記車両において実現可能と判定された車両搭載機能を、前記車両通信装置の表示機器に表示する車載認証方法。
  11. 　複数の電子制御装置を搭載する車両に備えられた車両通信装置であって、前記複数の電子制御装置の各電子制御装置と通信する車両通信装置を有する車載認証システムの車載認証プログラムにおいて、
    　前記複数の電子制御装置の各電子制御装置について構成の正当性を認証する構成認証を実行し、構成認証が失敗した電子制御装置を認証エラーリストに登録する認証処理と、
    　前記車両において実現される車両搭載機能と前記車両搭載機能の実現に用いられる電子制御装置との相関を表した機能相関テーブルと、前記認証エラーリストとに基づいて、前記車両において実現可能な車両搭載機能を判定する判定処理と、
    　前記判定処理により前記車両において実現可能と判定された車両搭載機能を、前記車両通信装置の表示機器に表示する表示処理と
    をコンピュータに実行させる車載認証プログラム。
PCT/JP2017/017476 2017-05-09 2017-05-09 車載認証システム、車載認証方法および車載認証プログラム WO2018207243A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
PCT/JP2017/017476 WO2018207243A1 (ja) 2017-05-09 2017-05-09 車載認証システム、車載認証方法および車載認証プログラム
US16/604,032 US20200151972A1 (en) 2017-05-09 2017-05-09 In-vehicle authentication system, vehicle communication apparatus, authentication management apparatus, in-vehicle authentication method, and computer readable medium
DE112017007515.7T DE112017007515T5 (de) 2017-05-09 2017-05-09 Fahrzeuginternes Authentifikationssystem, fahrzeuginternes Authentifikationsverfahren und fahrzeuginternes Authentifikationsprogramm
JP2019516759A JP6625269B2 (ja) 2017-05-09 2017-05-09 車載認証システム、車両通信装置、認証管理装置、車載認証方法および車載認証プログラム
CN201780090190.2A CN110582430B (zh) 2017-05-09 2017-05-09 车载认证系统、车辆通信装置、认证管理装置、车载认证方法以及计算机能读取的存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2017/017476 WO2018207243A1 (ja) 2017-05-09 2017-05-09 車載認証システム、車載認証方法および車載認証プログラム

Publications (1)

Publication Number Publication Date
WO2018207243A1 true WO2018207243A1 (ja) 2018-11-15

Family

ID=64105215

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2017/017476 WO2018207243A1 (ja) 2017-05-09 2017-05-09 車載認証システム、車載認証方法および車載認証プログラム

Country Status (5)

Country Link
US (1) US20200151972A1 (ja)
JP (1) JP6625269B2 (ja)
CN (1) CN110582430B (ja)
DE (1) DE112017007515T5 (ja)
WO (1) WO2018207243A1 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2020131925A (ja) * 2019-02-20 2020-08-31 トヨタ自動車株式会社 運転支援装置
WO2021100310A1 (ja) * 2019-11-18 2021-05-27 株式会社デンソー 車両用制御装置、車両用システム、及び車両用制御方法
CN113366803A (zh) * 2019-02-18 2021-09-07 株式会社自动网络技术研究所 车载通信装置、程序及通信方法
CN114567434A (zh) * 2022-03-07 2022-05-31 亿咖通(湖北)技术有限公司 一种证书和密钥的存储方法和电子设备

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6956624B2 (ja) 2017-03-13 2021-11-02 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 情報処理方法、情報処理システム、及びプログラム
JP6724829B2 (ja) * 2017-03-16 2020-07-15 株式会社デンソー 制御装置
US11496506B2 (en) * 2017-07-03 2022-11-08 Denso Corporation Program generation method and electronic control unit for changing importance of functions based on detected operation state in a vehicle
US11178158B2 (en) * 2018-01-29 2021-11-16 Nagravision S.A. Secure communication between in-vehicle electronic control units
KR20200102213A (ko) 2019-02-21 2020-08-31 현대자동차주식회사 차량 내 네트워크에서 보안을 제공하는 방법 및 시스템
JP7008661B2 (ja) * 2019-05-31 2022-01-25 本田技研工業株式会社 認証システム
EP3761125B1 (en) 2019-07-02 2024-05-15 Schneider Electric USA, Inc. Ensuring data consistency between a modular device and a control device
CN114124578B (zh) * 2022-01-25 2022-04-15 湖北芯擎科技有限公司 一种通信方法、装置、车辆及存储介质

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003260991A (ja) * 2002-03-12 2003-09-16 Nissan Motor Co Ltd 車両用故障診断装置
JP2004338630A (ja) * 2003-05-16 2004-12-02 Toyota Motor Corp 動的再構成デバイスを用いた車両機能担保システム
JP2013193612A (ja) * 2012-03-21 2013-09-30 Fuji Heavy Ind Ltd 車両の制御装置
JP2016013751A (ja) * 2014-07-01 2016-01-28 株式会社デンソー 制御装置
JP2016134170A (ja) * 2015-01-20 2016-07-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正対処方法及び電子制御ユニット
JP2017047835A (ja) * 2015-09-04 2017-03-09 日立オートモティブシステムズ株式会社 車載ネットワーク装置

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20070061654A (ko) * 2005-12-10 2007-06-14 현대자동차주식회사 차량용 네트워크를 이용한 보안 시스템
JP5395036B2 (ja) * 2010-11-12 2014-01-22 日立オートモティブシステムズ株式会社 車載ネットワークシステム
JP5654421B2 (ja) * 2011-07-07 2015-01-14 オムロンオートモーティブエレクトロニクス株式会社 車両制御システム及び認証方法
CN105050868B (zh) * 2012-10-17 2018-12-21 安全堡垒有限责任公司 用于检测和防止对交通工具的攻击的设备
JP6252304B2 (ja) * 2014-03-28 2017-12-27 株式会社デンソー 車両用認知通知装置、車両用認知通知システム
EP3860042B1 (en) * 2014-05-08 2023-08-02 Panasonic Intellectual Property Corporation of America In-vehicle network system, fraud-sensing electronic control unit, and anti-fraud method

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003260991A (ja) * 2002-03-12 2003-09-16 Nissan Motor Co Ltd 車両用故障診断装置
JP2004338630A (ja) * 2003-05-16 2004-12-02 Toyota Motor Corp 動的再構成デバイスを用いた車両機能担保システム
JP2013193612A (ja) * 2012-03-21 2013-09-30 Fuji Heavy Ind Ltd 車両の制御装置
JP2016013751A (ja) * 2014-07-01 2016-01-28 株式会社デンソー 制御装置
JP2016134170A (ja) * 2015-01-20 2016-07-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正対処方法及び電子制御ユニット
JP2017047835A (ja) * 2015-09-04 2017-03-09 日立オートモティブシステムズ株式会社 車載ネットワーク装置

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113366803A (zh) * 2019-02-18 2021-09-07 株式会社自动网络技术研究所 车载通信装置、程序及通信方法
JPWO2020170926A1 (ja) * 2019-02-18 2021-11-18 株式会社オートネットワーク技術研究所 車載通信装置、プログラム及び、通信方法
JP7103503B2 (ja) 2019-02-18 2022-07-20 株式会社オートネットワーク技術研究所 車載通信装置、プログラム及び、通信方法
CN113366803B (zh) * 2019-02-18 2022-08-19 株式会社自动网络技术研究所 车载通信装置、存储介质及通信方法
JP2020131925A (ja) * 2019-02-20 2020-08-31 トヨタ自動車株式会社 運転支援装置
JP7099357B2 (ja) 2019-02-20 2022-07-12 トヨタ自動車株式会社 運転支援装置
WO2021100310A1 (ja) * 2019-11-18 2021-05-27 株式会社デンソー 車両用制御装置、車両用システム、及び車両用制御方法
CN114567434A (zh) * 2022-03-07 2022-05-31 亿咖通(湖北)技术有限公司 一种证书和密钥的存储方法和电子设备
CN114567434B (zh) * 2022-03-07 2023-08-11 亿咖通(湖北)技术有限公司 一种证书和密钥的存储方法和电子设备

Also Published As

Publication number Publication date
US20200151972A1 (en) 2020-05-14
JPWO2018207243A1 (ja) 2019-11-07
JP6625269B2 (ja) 2019-12-25
CN110582430B (zh) 2022-12-20
DE112017007515T5 (de) 2020-10-15
CN110582430A (zh) 2019-12-17

Similar Documents

Publication Publication Date Title
WO2018207243A1 (ja) 車載認証システム、車載認証方法および車載認証プログラム
JP5864510B2 (ja) 修正プログラム確認方法、修正プログラム確認プログラム、及び情報処理装置
US20190057214A1 (en) Update control device, terminal, and method of controlling
US10360018B2 (en) Update control apparatus, software update system, and update control method
CN109324590B (zh) 管理系统、车辆及信息处理方法
US11861951B2 (en) Driving management system, vehicle, and information processing method
JP6719079B2 (ja) 情報機器、データ処理システム、データ処理方法およびコンピュータプログラム
JP6782446B2 (ja) 監視装置、通信システム、車両、監視方法、およびコンピュータプログラム
CN104904156B (zh) 认证处理装置、认证处理系统以及认证处理方法
CN111066303A (zh) 与机动车辆驾驶员辅助系统相关的方法
US11182485B2 (en) In-vehicle apparatus for efficient reprogramming and controlling method thereof
JP6389152B2 (ja) 車載器および車載器プログラム
WO2018173732A1 (ja) 車載通信装置、コンピュータプログラム及びメッセージ判定方法
JP2019040588A (ja) 運転管理システム、車両、及び、情報処理方法
JP2011108167A (ja) コンピューターシステム
WO2021111681A1 (ja) 情報処理装置、制御方法及びプログラム
JP2013026964A (ja) 車両用情報更新装置および車両用情報更新方法
US20230401317A1 (en) Security method and security device
US20220019669A1 (en) Information processing device
JP2019009788A (ja) 車載器、車載器の処理方法および車車間通信支援装置
CN114834393A (zh) 车辆控制系统
US20240086541A1 (en) Integrity verification device and integrity verification method
JP7466819B2 (ja) 管理装置、管理方法及びプログラム
WO2024070044A1 (ja) 検証システム、検証方法、及び、プログラム
WO2021181826A1 (ja) 車載装置及びサーバ

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17909223

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2019516759

Country of ref document: JP

Kind code of ref document: A

122 Ep: pct application non-entry in european phase

Ref document number: 17909223

Country of ref document: EP

Kind code of ref document: A1