WO2019012888A1 - 車載装置、管理方法および管理プログラム - Google Patents

車載装置、管理方法および管理プログラム Download PDF

Info

Publication number
WO2019012888A1
WO2019012888A1 PCT/JP2018/022350 JP2018022350W WO2019012888A1 WO 2019012888 A1 WO2019012888 A1 WO 2019012888A1 JP 2018022350 W JP2018022350 W JP 2018022350W WO 2019012888 A1 WO2019012888 A1 WO 2019012888A1
Authority
WO
WIPO (PCT)
Prior art keywords
vehicle
processing unit
unit
determination
secure area
Prior art date
Application number
PCT/JP2018/022350
Other languages
English (en)
French (fr)
Inventor
小川明紘
浦山博史
萩原剛志
藪内靖弘
Original Assignee
住友電気工業株式会社
株式会社オートネットワーク技術研究所
住友電装株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 住友電気工業株式会社, 株式会社オートネットワーク技術研究所, 住友電装株式会社 filed Critical 住友電気工業株式会社
Priority to CN201880046432.2A priority Critical patent/CN110892683B/zh
Priority to US16/630,514 priority patent/US11938897B2/en
Publication of WO2019012888A1 publication Critical patent/WO2019012888A1/ja

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R25/00—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles
    • B60R25/20—Means to switch the anti-theft system on or off
    • B60R25/24—Means to switch the anti-theft system on or off using electronic identifiers containing a code not memorised by the user
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R25/00—Fittings or systems for preventing or indicating unauthorised use or theft of vehicles
    • B60R25/30—Detection related to theft or to other events relevant to anti-theft systems
    • B60R25/34—Detection related to theft or to other events relevant to anti-theft systems of conditions of vehicle components, e.g. of windows, door locks or gear selectors
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/107—Network architectures or network communication protocols for network security for controlling access to devices or network resources wherein the security policies are location-dependent, e.g. entities privileges depend on current location or allowing specific operations only from locally connected terminals
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2129—Authenticate client device independently of the user
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2149—Restricted operating environment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]

Definitions

  • the present invention relates to an in-vehicle apparatus, a management method, and a management program.
  • This application claims priority based on Japanese Patent Application No. 2017-135844 filed on Jul. 12, 2017, the entire disclosure of which is incorporated herein.
  • Patent Document 1 discloses the following in-vehicle network system. That is, the in-vehicle network system is an in-vehicle network system provided with a relay device that relays data between an internal device of the vehicle and an external device of the vehicle, and when the own vehicle is in a traveling state, the data relay by the relay device Relay control means for prohibiting
  • the on-vehicle apparatus is an on-vehicle apparatus mounted on a vehicle, and the processing unit, the determination unit that determines whether the vehicle is in a predetermined stop state, and the processing unit A secure area accessible from the processing unit when the information is output; control information for controlling an on-vehicle apparatus by an external device is stored in the secure area; If the determination unit makes a positive determination, the secure area is accessed, and an acquisition process of acquiring the control information from the secure area is performed.
  • the management method according to the present disclosure is a management method in an in-vehicle apparatus including a processing unit and a secure area accessible by the processing unit when the processing unit outputs predetermined information.
  • Control information for controlling the in-vehicle apparatus by the external device is stored in the secure area, and it is determined whether the vehicle is in the predetermined stop state or not. When the determination is affirmative, the processing unit performs an acquisition process of accessing the secure area and acquiring the control information from the secure area.
  • the management program according to the present disclosure is a management program used in an on-vehicle apparatus mounted on a vehicle, and includes a computer, a processing unit, and a determination unit that determines whether the vehicle is in a predetermined stop state.
  • the in-vehicle device includes a secure area accessible by the processing unit when the processing unit outputs predetermined information, and an external device performs the in-vehicle device in the secure region. Control information for controlling a device is stored, and the processing unit accesses the secure area when the determination unit makes a positive determination, and acquires the control information from the secure area. Perform acquisition processing.
  • One aspect of the present disclosure can be implemented not only as an on-vehicle apparatus including such a characteristic processing unit, but also as an on-vehicle communication system including an on-vehicle apparatus.
  • one aspect of the present disclosure can be realized as a semiconductor integrated circuit that realizes part or all of a vehicle-mounted device.
  • FIG. 1 is a diagram showing the configuration of an on-vehicle communication system according to an embodiment of the present invention.
  • FIG. 2 is a diagram showing the configuration of the gateway device in the in-vehicle communication system according to the embodiment of the present invention.
  • FIG. 3 is a flowchart defining an operation procedure when the gateway device in the on-vehicle communication system according to the embodiment of the present invention receives the start request.
  • FIG. 4 is a flowchart that defines an operation procedure when the gateway device in the on-vehicle communication system according to the embodiment of the present invention performs acquisition processing.
  • FIG. 5 is a flowchart defining an operation procedure when the gateway device in the on-vehicle communication system according to the embodiment of the present invention performs a monitoring process.
  • in-vehicle network systems have been developed to improve security in in-vehicle networks.
  • the present disclosure has been made to solve the above-described problems, and an object of the present disclosure is to provide an in-vehicle apparatus capable of providing good communication in an in-vehicle network, a management method, and a management program.
  • An on-vehicle apparatus is an on-vehicle apparatus mounted on a vehicle, and a processing unit, a determination unit that determines whether the vehicle is in a predetermined stop state, and And a secure area accessible by the processing unit when the processing unit outputs predetermined information, wherein the secure area stores control information for the external device to control the in-vehicle device, When the determination unit makes an affirmative determination, the processing unit accesses the secure area and performs an acquisition process of acquiring the control information from the secure area.
  • the control information is acquired from the secure area where unauthorized access is difficult, so that the control information is used when the vehicle for which the control information is not to be used is traveling Therefore, for example, the possibility that the control information is abused while the vehicle is traveling and the type of packet permitted to be relayed can be rewritten improperly can be reduced. As a result, it is possible to avoid a situation in which the on-vehicle apparatus is taken over and remotely operated during traveling. Therefore, good communication can be provided in the in-vehicle network.
  • the in-vehicle apparatus further includes an authentication unit that performs an authentication process on the external device, and in the processing unit, when the determination unit makes an affirmative determination, and the authentication process is successful. Perform the above acquisition process.
  • the authentication process for the external device is likely to fail. According to the above configuration, the possibility that an unauthorized external device misuses control information can be further reduced.
  • the determination unit is included in the secure area.
  • the configuration in which the determination unit is included in the secure area where it is difficult to easily access can protect the determination unit from hacking, so, for example, by operating the determination unit illegally to the determination unit It is possible to prevent the control information from being illegally acquired.
  • the first determination unit is included inside the secure area
  • the second determination unit is included outside the secure area
  • the processing unit is the first determination unit
  • the predetermined stopping state is a parking state.
  • the processing unit discards the control information when the vehicle starts moving or when the use of the control information is ended.
  • the configuration in which the control information is discarded can reduce the opportunity for the control information to be abused.
  • the processing unit performs a response to the effect that the start request from the external device of the function realized by the control information is rejected.
  • a management method is mounted on a vehicle and includes a processing unit, and a secure area accessible by the processing unit when the processing unit outputs predetermined information.
  • a control method for controlling the in-vehicle device by an external device is stored in the secure area, and determining whether the vehicle is in a predetermined stop state; And if the determination result is affirmative, the processing unit performs an acquisition process of accessing the secure area and acquiring the control information from the secure area.
  • the control information is acquired from the secure area where unauthorized access is difficult, so that the control information is used when the vehicle for which the control information is not to be used is traveling Therefore, for example, the possibility that the control information is abused while the vehicle is traveling and the type of packet permitted to be relayed can be rewritten improperly can be reduced. As a result, it is possible to avoid a situation in which the on-vehicle apparatus is taken over and remotely operated during traveling. Therefore, good communication can be provided in the in-vehicle network.
  • the management program according to the embodiment of the present invention is a management program used in an on-vehicle apparatus mounted on a vehicle, and the computer, the processing unit, and whether the vehicle is in a predetermined stop state or not
  • the in-vehicle device includes a secure area accessible by the processing unit when the processing unit outputs predetermined information, and the secure region includes Control information for controlling the in-vehicle apparatus by the external device is stored, and the processing unit accesses the secure area when the determination unit makes an affirmative determination, and the control information is stored. An acquisition process for acquiring from the secure area is performed.
  • the control information is acquired from the secure area where unauthorized access is difficult, so that the control information is used when the vehicle for which the control information is not to be used is traveling Therefore, for example, the possibility that the control information is abused while the vehicle is traveling and the type of packet permitted to be relayed can be rewritten improperly can be reduced. As a result, it is possible to avoid a situation in which the on-vehicle apparatus is taken over and remotely operated during traveling. Therefore, good communication can be provided in the in-vehicle network.
  • FIG. 1 is a diagram showing the configuration of an on-vehicle communication system according to an embodiment of the present invention.
  • an on-vehicle communication system 301 includes a gateway apparatus (on-vehicle apparatus) 101, a plurality of functional units 111, and a plurality of functional units 161.
  • the in-vehicle communication system 301 is mounted on the vehicle 1.
  • the functional unit 111 is, for example, an autonomous control ECU (Electronic Control Unit), a sensor, a navigation device, a TCU (Telematics Communication Unit), a central gateway (CGW), a human machine interface, a camera, and the like.
  • ECU Electronic Control Unit
  • sensor Sensor Sensor Unit
  • TCU Telematics Communication Unit
  • CGW central gateway
  • human machine interface a camera, and the like.
  • the gateway device 101 and the functional unit 111 are connected to each other by, for example, a cable (hereinafter also referred to as an Ethernet cable) 10 for on-board Ethernet (registered trademark) communication.
  • a cable hereinafter also referred to as an Ethernet cable 10 for on-board Ethernet (registered trademark) communication.
  • the gateway device 101 and the function unit 111 communicate with each other using the Ethernet cable 10.
  • Information is exchanged between the gateway device 101 and the function unit 111 using, for example, an Ethernet frame conforming to IEEE 802.3.
  • the functional unit 161 is, for example, a control device such as an engine, an automatic transmission (AT), a brake and an air conditioner, and various sensors.
  • a control device such as an engine, an automatic transmission (AT), a brake and an air conditioner, and various sensors.
  • the gateway device 101 is connected to the function unit 161 via, for example, a bus (hereinafter also referred to as a CAN bus) 11 conforming to the CAN standard.
  • a bus hereinafter also referred to as a CAN bus 11 conforming to the CAN standard.
  • CAN bus 11 is provided, for example, for each system.
  • the CAN bus 11 is, for example, a drive system bus, a chassis / safety system bus, a body / electrical system bus, an AV / information system bus, and the like.
  • the gateway device 101 and the function unit 161 communicate with each other using the CAN bus 11.
  • Information is exchanged between the gateway device 101 and the function unit 161 using, for example, a message conforming to the CAN communication standard.
  • the gateway device 101 performs relay processing to relay data in the in-vehicle network.
  • gateway apparatus 101 relays data between functional units 161 connected to different CAN buses 11, relays data between functional units 111, and functional units 111 and 161, for example. Perform relay processing of data between the two.
  • the gateway device 101 is not limited to the configuration in which the gateway device 101 is connected to the functional units 111 and 161 via the Ethernet cable 10 and the CAN bus 11, and may be FlexRay (registered trademark), Media Oriented Systems Transport (MOST) (registered trademark), and It may be configured to be connected to the function units 111 and 161 via a bus conforming to a standard such as LIN (Local Interconnect Network).
  • FlexRay registered trademark
  • MOST Media Oriented Systems Transport
  • LIN Local Interconnect Network
  • FIG. 2 is a diagram showing the configuration of the gateway device in the in-vehicle communication system according to the embodiment of the present invention.
  • gateway apparatus 101 includes an operation area 51, a secure area 52, a relay unit 53, and an external device port 54.
  • the operation area 51 includes a processing unit 21, a vehicle state determination unit 22, and an authentication unit 23.
  • Secure area 52 includes a secure control unit 31, a vehicle state determination unit 32, and a secure storage unit 33.
  • a management tool which is an example of an external device, can be connected to the external device port 54.
  • the management tool performs, for example, update and inspection of firmware in the gateway device 101 and the function units 111 and 161.
  • the relay unit 53 performs relay processing to relay data in the in-vehicle network. Also, for example, when the management tool is connected to the gateway device 101 via the external device port 54, the relay unit 53 communicates with the management tool.
  • the relay unit 53 When the relay unit 53 receives information addressed to itself from the management tool, the relay unit 53 outputs the received information to the operation area 51. Further, when the relay unit 53 receives the information addressed to the management tool from the operation area 51, the relay unit 53 transmits the received information to the management tool. Also, the relay unit 53 relays data between the management tool and the function unit 111 and the function unit 161.
  • the secure area 52 is, for example, a secure integrated circuit (IC).
  • the secure storage unit 33 in the secure area 52 stores a management program which is an example of control information.
  • the management program is, for example, a program for causing the processing unit 21 to realize a management function.
  • the management function performs, for example, a function for providing a console for command operation to the management tool, a function for performing communication between the gateway apparatus 101 and the management tool, and a filter setting in the relay unit 53.
  • the filter setting sets the type of message and Ethernet frame to be permitted to relay.
  • the secure storage unit 33 is, for example, non-patent document 1 (“IT glossary e-Words”, [online], [May 1, 2017 search], Internet ⁇ URL: http: // e-words It has the tamper resistance described in .jp / w / tamper resistance. Html>).
  • the tamper resistance refers to the difficulty of analysis of internal structures, data, etc. that software and hardware have. In other words, tamper resistance is the ability to prevent the reading of sensitive data by unauthorized means.
  • the management program stored in the secure storage unit 33 is encrypted by the secure control unit 31 according to a predetermined encryption method.
  • the management tool is connected to the gateway device 101 via the external device port 54.
  • the management tool transmits, for example, an activation request indicating an activation request of the management program to the gateway apparatus 101.
  • the relay unit 53 in the gateway apparatus 101 When the relay unit 53 in the gateway apparatus 101 receives the activation request from the management tool via the external apparatus port 54, the relay unit 53 outputs the received activation request to the operation area 51.
  • the operation area 51 is, for example, an MPU (Micro Processing Unit).
  • the processing unit 21 in the operation area 51 When the processing unit 21 in the operation area 51 receives the activation request from the relay unit 53, the processing unit 21 outputs a determination command for determining the state of the vehicle 1 to the vehicle state determination unit 22.
  • the vehicle state determination unit 22 determines whether the own vehicle 1 is in a predetermined stop state.
  • the stopped state is, for example, a state in which the speed of the vehicle 1 is less than a predetermined threshold value.
  • the predetermined threshold is, for example, one kilometer per hour.
  • the predetermined stopping state is the parking state. That is, in the present embodiment, vehicle state determination unit 22 determines, for example, whether or not own vehicle 1 is in a parked state.
  • a user has registered a message to be monitored (hereinafter, also referred to as a determination message).
  • the determination message includes, for example, a message including information indicating the shift range of the automatic gear, a message including information indicating the state of the side brake, a message including information indicating the state of the foot brake, and vehicle speed information Messages, etc.
  • the vehicle state determination unit 22 monitors the message relayed by the relay unit 53, and when the relay unit 53 relays the determination message, the vehicle state determination unit 22 acquires the determination message from the relay unit 53, and based on the acquired determination message The state of the vehicle 1 is determined.
  • the vehicle state determination unit 22 determines that the own vehicle 1 is in the predetermined stop state, that is, the parking state.
  • the predetermined condition C1 is, for example, a state where the shift range is at the parking position.
  • the predetermined condition C2 is, for example, that the shift range is in the neutral position and the side brake is in operation.
  • the predetermined condition C3 is, for example, that the shift range is in the neutral position and the foot brake is in operation.
  • the predetermined condition C4 is, for example, that the shift range is in the neutral position and the vehicle speed is zero.
  • the vehicle state determination unit 22 determines that the own vehicle 1 is not in the predetermined stop state.
  • the vehicle state determination unit 22 When receiving the determination instruction from the processing unit 21, the vehicle state determination unit 22 creates determination result information indicating the determination result, and outputs the created determination result information to the processing unit 21.
  • the processing unit 21 responds to the effect that the start request from the management tool of the function realized by the management program is rejected.
  • the processing unit 21 accesses the secure area 52 and a management program for controlling the gateway device 101 by the management tool. Are acquired from the secure area 52.
  • the processing unit 21 when receiving the determination result information from the vehicle state determination unit 22 as a response to the determination command, the processing unit 21 performs the following process.
  • the processing unit 21 transmits rejection information indicating rejection of the activation request to the management tool via the relay unit 53 and the external device port 54 Do.
  • the processing unit 21 outputs an authentication command for authenticating the management tool to the authentication unit 23.
  • the authentication unit 23 performs, for example, an authentication process on an external device. More specifically, when the authentication unit 23 receives an authentication command from the processing unit 21, authentication of the management tool is performed by exchanging an IP packet for authentication with the management tool via the relay unit 53 and the external device port 54. Try.
  • the authentication unit 23 When the authentication of the management tool is successful, the authentication unit 23 outputs authentication success information to the processing unit 21. On the other hand, when the authentication of the management tool fails, the authentication unit 23 outputs authentication failure information to the processing unit 21.
  • the secure area 52 is accessible from the processing unit 21 when the processing unit 21 outputs predetermined information, as an example of tamper resistance.
  • the secure storage unit 33 in the secure area 52 for example, when the processing unit 21 outputs predetermined information, access from the processing unit 21 is permitted.
  • the secure storage unit 33 is accessible from the processing unit 21 when the processing unit 21 follows the predetermined procedure P1 and is not accessible when not following the procedure P1.
  • the secure control unit 31 can access the secure storage unit 33.
  • the processing unit 21 can access the secure storage unit 33 only when authenticated by the secure control unit 31 in the secure area 52.
  • the processing unit 21 When receiving the authentication success information from the authentication unit 23 as a response to the authentication command, the processing unit 21 outputs, for example, an access request for accessing the secure storage unit 33 to the secure area 52.
  • the secure control unit 31 in the secure area 52 When the secure control unit 31 in the secure area 52 receives an access request from the processing unit 21, the secure control unit 31 outputs to the vehicle state determination unit 32 a determination command for determining the state of the own vehicle 1.
  • the vehicle state determination unit 32 determines whether the vehicle 1 is in a predetermined stop state. More specifically, in the vehicle state determination unit 32, similarly to the vehicle state determination unit 22, a determination message is registered by the user, for example.
  • the vehicle state determination unit 32 monitors the message relayed by the relay unit 53, and when the relay unit 53 relays the determination message, the vehicle state determination unit 32 acquires the determination message from the relay unit 53, and based on the acquired determination message The state of the vehicle 1 is determined.
  • the vehicle state determination unit 32 determines that the own vehicle 1 is in the predetermined stop state.
  • the vehicle state determination unit 32 determines that the own vehicle 1 is not in the predetermined stop state.
  • the vehicle state determination unit 32 When receiving the determination command from the secure control unit 31, the vehicle state determination unit 32 creates determination result information indicating the determination result, and outputs the created determination result information to the secure control unit 31.
  • the secure control unit 31 When receiving the determination result information from the vehicle state determination unit 32 as a response to the determination command, the secure control unit 31 performs the following process.
  • the secure control unit 31 outputs the non-permission information indicating the access non-permission to the processing unit 21.
  • the processing unit 21 When receiving the non-permission information from the secure control unit 31 as a response to the access request, the processing unit 21 recognizes that the access to the secure area 52 has failed, and manages the rejection information via the relay unit 53 and the external device port 54 Send to tool
  • the secure control unit 31 outputs an authentication information request indicating a request for authentication information to the processing unit 21.
  • processing unit 21 When processing unit 21 receives an authentication information request from secure control unit 31, processing unit 21 outputs authentication information including, for example, a dedicated key, a password, or a combination of a password and an ID to secure control unit 31 in accordance with the received authentication information request. Do.
  • the secure control unit 31 When the secure control unit 31 receives the authentication information from the processing unit 21, the secure control unit 31 authenticates the received authentication information.
  • the secure control unit 31 outputs non-permission information to the processing unit 21 when the authentication of the authentication information fails.
  • the secure control unit 31 outputs permission information indicating access permission to the processing unit 21.
  • the processing unit 21 When the processing unit 21 receives the permission information from the secure control unit 31, the processing unit 21 can access the secure storage unit 33 via the secure control unit 31. However, if the processing unit 21 receives non-permission information from the secure control unit 31, Access to the secure storage unit 33 is blocked by the secure control unit 31.
  • the authentication of the processing unit 21 by the secure control unit 31 is not limited to the configuration according to the above procedure P1, but, for example, the processing unit 21 immediately transmits the access request and transmits the authentication information to the secure control unit 31
  • the control unit 31 may be configured to authenticate the authentication information received from the processing unit 21.
  • the processing unit 21 When the processing unit 21 receives the non-permission information from the secure control unit 31 as a response to the authentication information, the processing unit 21 recognizes that the authentication has failed, and transmits the rejection information to the management tool via the relay unit 53 and the external device port 54.
  • the processing unit 21 when receiving the permission information from the secure control unit 31 as a response to the authentication information, the processing unit 21 recognizes that the authentication is successful, and requests the secure control unit 31 for a management program.
  • the secure control unit 31 acquires the encrypted management program from the secure storage unit 33 in response to a request from the processing unit 21, and decrypts the management program according to a predetermined encryption method. Then, the secure control unit 31 outputs the decrypted management program to the processing unit 21.
  • the processing unit 21 uses the received management program.
  • the processing unit 21 holds, for example, a management program, and generates a process (hereinafter, also referred to as a target process), which is an instance of the management program, based on the held management program.
  • the processing unit 21 may hold, for example, a management program in a RAM (Random Access Memory) not shown.
  • the processing unit 21 discards the management program, for example, when the vehicle 1 starts moving or when the use of the management program is ended.
  • the processing unit 21 when using the management program, the processing unit 21 starts monitoring the determination result in the vehicle state determination unit 22 and monitoring the generated target process. Then, the processing unit 21 discards the management program based on the monitoring result.
  • processing unit 21 outputs a determination command to vehicle state determination unit 22 every predetermined time T1, for example, and receives determination result information from vehicle state determination unit 22 as a response to the determination command.
  • the processing unit 21 discards the held management program.
  • the processing unit 21 discards the held management program.
  • the processing unit 21 may return the management program to the secure storage unit 33 instead of discarding the management program.
  • the processing unit 21 continues holding the management program.
  • the gateway apparatus includes a computer, and an arithmetic processing unit such as a CPU in the computer reads and executes a program including part or all of each step of the flowchart shown below from a memory (not shown).
  • the program of this device can be installed from the outside.
  • the program of this device is distributed as stored in a recording medium.
  • FIG. 3 is a flowchart defining an operation procedure when the gateway device in the on-vehicle communication system according to the embodiment of the present invention receives the start request.
  • gateway apparatus 101 relays a message and an Ethernet frame until receiving a start request from the management tool (NO in step S102).
  • gateway apparatus 101 receives the activation request from the management tool (YES in step S102), determination processing is performed to determine whether or not own vehicle 1 is in a predetermined stop state in operation area 51 (step S104).
  • step S106 when the own vehicle 1 is in a predetermined stop state (YES in step S106), the gateway device 101 performs an authentication process for authenticating the management tool (step S108).
  • step S110 when the authentication of the management tool succeeds (YES in step S110), the gateway apparatus 101 performs an acquisition process (step S112).
  • gateway apparatus 101 transmits rejection information to the management tool (NO in step S110). Step S114).
  • FIG. 4 is a flowchart that defines an operation procedure when the gateway device in the on-vehicle communication system according to the embodiment of the present invention performs acquisition processing.
  • FIG. 4 shows the details of the operation in step S112 of FIG.
  • gateway device 101 outputs an access request to secure area 52 (step S202).
  • the gateway apparatus 101 performs a determination process to determine whether or not the own vehicle 1 is in a predetermined stop state (step S204).
  • the gateway device 101 outputs authentication information to the secure area 52 (step S208).
  • step S210 when the authentication information is valid (YES in step S210), the gateway device 101 is permitted access to the secure storage unit 33 (step S212).
  • the gateway device 101 acquires the management program from the secure storage unit 33, and holds and uses the acquired management program (step S214).
  • the gateway device 101 performs a monitoring process to monitor the state of the vehicle 1 and the use state of the management program (step S216).
  • gateway 1 101 when gateway 1 101 is not in a predetermined stop state (NO at step S206) and when the authentication information is not valid (NO at step S210), access to secure storage unit 33 is not permitted (YES at step S210). Step S218).
  • the gateway device 101 transmits rejection information to the management tool (step S220).
  • FIG. 5 is a flowchart defining an operation procedure when the gateway device in the on-vehicle communication system according to the embodiment of the present invention performs a monitoring process.
  • FIG. 5 shows the details of the operation in step S216 of FIG.
  • gateway apparatus 101 starts monitoring the result of the determination process in operation area 51 for each predetermined time T1 and monitoring the target process (step S302).
  • gateway apparatus 101 continues holding and using the management program. Do.
  • gateway apparatus 101 discards the held management program. (Step S308).
  • the gateway device 101 is configured to perform the above-described operation, the present invention is not limited to this.
  • the functional unit may perform the above-described operation.
  • the management tool is connected to the external device port 54 as an external device.
  • the present invention is not limited to this.
  • a smart phone, a navigation device, etc. may be connected to the external device port 54 as an external device.
  • the gateway device is configured to include the vehicle state determination unit in both the operation area 51 and the secure area 52
  • the present invention is not limited to this.
  • the gateway device 101 may be configured to include a vehicle state determination unit in any one of the operation area 51 and the secure area 52.
  • the vehicle state determination unit 32 in the secure area 52 can reject unauthorized access from the operation area 51 while the vehicle 1 is traveling. Therefore, it is preferable that the vehicle state determination unit be provided in both of the operation area 51 and the secure area 52.
  • the gateway device according to the embodiment of the present invention is configured to include the authentication unit 23, the present invention is not limited to this.
  • the gateway device 101 may not have the authentication unit 23.
  • the gateway apparatus which concerns on embodiment of this invention, although it was set as the structure which makes a parking state a predetermined
  • the vehicle may be temporarily stopped when the shift range is at the drive position and the side brake or foot brake is operated as a predetermined stop state.
  • vehicle state determination units 22 and 32 are configured to determine whether or not own vehicle 1 is in the parking state using predetermined conditions C1 to C4. However, it is not limited to this.
  • the vehicle state determination units 22 and 32 may be configured to determine whether or not the own vehicle 1 is in the parked state using other conditions.
  • vehicle state determination units 22 and 32 determine that their own vehicle 1 is in a predetermined stop state.
  • the configuration is determined to be, it is not limited to this.
  • the vehicle state determination units 22 and 32 may be configured to determine that the own vehicle 1 is in a predetermined stop state when other conditions are satisfied.
  • the processing unit 21 discards the management program when the vehicle 1 starts moving or when the use of the management program is ended. It is not limited to The processing unit 21 is not limited to the above case, and may be configured to delete the management program after a predetermined time has elapsed from the use start timing of the management program, for example.
  • the processing unit 21 transmits the rejection information to the management tool when the vehicle 1 is not in the predetermined stop state, but the present invention is limited thereto is not.
  • the processing unit 21 may be configured not to transmit rejection information to the management tool even in the above case.
  • the gateway device is mounted on the vehicle 1.
  • the vehicle state determination units 22 and 32 determine whether the vehicle 1 is in a predetermined stop state.
  • the secure area 52 is accessible from the processing unit 21 when the processing unit 21 outputs predetermined information.
  • Control information for the external device to control the gateway device 101 is stored in the secure area 52. Then, when the vehicle state determination units 22 and 32 make a positive determination, the processing unit 21 accesses the secure area 52 and performs an acquisition process for acquiring control information from the secure area 52.
  • the control information is acquired from the secure area 52 where unauthorized access is difficult, so that the control information is not used when the vehicle 1 is traveling. Since the use of the information can be more reliably restricted, for example, the possibility that the control information is abused while the vehicle 1 is traveling, and the type of packet permitted to be relayed can be rewritten improperly. As a result, it is possible to prevent the situation where the gateway device 101 is hijacked and operated remotely when traveling. Therefore, good communication can be provided in the in-vehicle network.
  • the authentication unit 23 performs an authentication process on the external device. Then, the processing unit 21 performs an acquisition process when the vehicle state determination units 22 and 32 make a positive determination and the authentication process is successful.
  • the authentication process for the external device is likely to fail. According to the above configuration, the possibility that an unauthorized external device misuses control information can be further reduced.
  • vehicle state determination unit 32 is included in secure area 52.
  • the vehicle state determination unit 32 can be protected from hacking.
  • the vehicle state determination unit 32 can make a positive determination by performing the operation to prevent acquisition of the control information illegally.
  • vehicle state determination unit 32 is included inside secure area 52, and vehicle state determination unit 22 is included outside secure area 52, for example, in operation area 51. Then, when both the vehicle state determination unit 32 and the vehicle state determination unit 22 make a positive determination, the processing unit 21 accesses the secure area 52 and performs an acquisition process.
  • the predetermined stopping state is the parking state.
  • the gateway device 101 is taken over and remotely operated by the configuration in which the predetermined stop state is in the parking state, for example, the vehicle 1 is in a runaway state. You can prevent.
  • the predetermined stop state is a state where the shift range is at the parking position, the shift range is at the neutral position, and the side brake or foot brake is operating.
  • the state or shift range is in the neutral position, and the vehicle speed is zero.
  • control information may be permitted by the configuration in which the predetermined stop state is determined using information transmitted in the vehicle such as CAN information, for example. can do.
  • the processing unit 21 discards the control information when the vehicle 1 starts moving or when the use of the control information is ended.
  • the configuration in which the control information is discarded can reduce the opportunity for the control information to be abused.
  • the processing unit 21 when the vehicle state determination unit 22 or 32 makes a negative determination, the processing unit 21 receives from the external device the function realized by the control information. It responds that it rejects the activation request.
  • An on-vehicle device mounted on a vehicle A processing unit, A determination unit that determines whether the vehicle is in a predetermined stop state; A secure area accessible by the processing unit when the processing unit outputs predetermined information; Control information for an external device to control the in-vehicle device is stored in the secure area.
  • the processing unit accesses the secure area and performs an acquisition process of acquiring the control information from the secure area.
  • the in-vehicle device is a gateway device,
  • the in-vehicle device may further include
  • the relay unit relays data conforming to the CAN (Controller Area Network) communication standard and data conforming to the Ethernet communication standard,
  • the secure area is tamper resistant and
  • the control information performs a management function for providing a console for command operation to the external device, a management function for performing communication between the in-vehicle device and the external device, or a filter setting in the relay unit.
  • An in-vehicle apparatus which is a management program for causing the processing unit to realize a management function for

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Computing Systems (AREA)
  • Mechanical Engineering (AREA)
  • Bioethics (AREA)
  • Medical Informatics (AREA)
  • Databases & Information Systems (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

車載装置は、車両に搭載される車載装置であって、処理部と、前記車両が所定の停車状態であるか否かを判定する判定部と、前記処理部が所定の情報を出力した場合に前記処理部からアクセス可能なセキュア領域とを備え、前記セキュア領域には、外部装置が前記車載装置を制御するための制御用情報が保存されており、前記処理部は、前記判定部が肯定的な判定を行った場合、前記セキュア領域にアクセスし、前記制御用情報を前記セキュア領域から取得する取得処理を行う。

Description

車載装置、管理方法および管理プログラム
　本発明は、車載装置、管理方法および管理プログラムに関する。
　この出願は、２０１７年７月１２日に出願された日本出願特願２０１７－１３５８４４号を基礎とする優先権を主張し、その開示のすべてをここに取り込む。
　特許文献１（国際公開第２０１３／５１１２２号）には、以下のような車載ネットワークシステムが開示されている。すなわち、車載ネットワークシステムは、車両内部機器と車両外部機器との間のデータ中継を行う中継装置を備える車載ネットワークシステムであって、自車両が走行状態にある場合に、前記中継装置による前記データ中継を禁止する中継制御手段を備える。
国際公開第２０１３／５１１２２号
"ＩＴ用語辞典　ｅ－Ｗｏｒｄｓ"、［ｏｎｌｉｎｅ］、［平成２９年５月１日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｅ－ｗｏｒｄｓ．ｊｐ／ｗ／耐タンパー性．ｈｔｍｌ〉
　（１）本開示の車載装置は、車両に搭載される車載装置であって、処理部と、前記車両が所定の停車状態であるか否かを判定する判定部と、前記処理部が所定の情報を出力した場合に前記処理部からアクセス可能なセキュア領域とを備え、前記セキュア領域には、外部装置が前記車載装置を制御するための制御用情報が保存されており、前記処理部は、前記判定部が肯定的な判定を行った場合、前記セキュア領域にアクセスし、前記制御用情報を前記セキュア領域から取得する取得処理を行う。
　（８）本開示の管理方法は、車両に搭載され、処理部と、前記処理部が所定の情報を出力した場合に前記処理部からアクセス可能なセキュア領域とを備える車載装置における管理方法であって、前記セキュア領域には、外部装置が前記車載装置を制御するための制御用情報が保存されており、前記車両が所定の停車状態であるか否かを判定するステップと、判定した結果が肯定的な場合、前記処理部が、前記セキュア領域にアクセスし、前記制御用情報を前記セキュア領域から取得する取得処理を行うステップとを含む。
　（９）本開示の管理プログラムは、車両に搭載される車載装置において用いられる管理プログラムであって、コンピュータを、処理部と、前記車両が所定の停車状態であるか否かを判定する判定部、として機能させるためのプログラムであり、前記車載装置は、前記処理部が所定の情報を出力した場合に前記処理部からアクセス可能なセキュア領域を備え、前記セキュア領域には、外部装置が前記車載装置を制御するための制御用情報が保存されており、前記処理部は、前記判定部が肯定的な判定を行った場合、前記セキュア領域にアクセスし、前記制御用情報を前記セキュア領域から取得する取得処理を行う。
　本開示の一態様は、このような特徴的な処理部を備える車載装置として実現され得るだけでなく、車載装置を備える車載通信システムとして実現され得る。また、本開示の一態様は、車載装置の一部または全部を実現する半導体集積回路として実現され得る。
図１は、本発明の実施の形態に係る車載通信システムの構成を示す図である。 図２は、本発明の実施の形態に係る車載通信システムにおけるゲートウェイ装置の構成を示す図である。 図３は、本発明の実施の形態に係る車載通信システムにおけるゲートウェイ装置が起動要求を受信した際の動作手順を定めたフローチャートである。 図４は、本発明の実施の形態に係る車載通信システムにおけるゲートウェイ装置が取得処理を行う際の動作手順を定めたフローチャートである。 図５は、本発明の実施の形態に係る車載通信システムにおけるゲートウェイ装置が監視処理を行う際の動作手順を定めたフローチャートである。
　従来、車載ネットワークにおけるセキュリティを向上させるための車載ネットワークシステムが開発されている。
　［本開示が解決しようとする課題］
　特許文献１に記載の車載ネットワークシステムでは、自車両が走行状態にある場合に車両外部機器との通信を遮断することで、車両外部機器による不正アクセスを防止する。しかしながら、中継装置では、中継機能よりも管理機能にセキュリティ上の脆弱性を抱えることが多い。具体的には、たとえば、中継を許可するパケットの種類が不正に書き換えられると、不正なパケットも中継されて車両内部機器に送信されるため、車両内部機器が車両の外部から攻撃に対して無防備になってしまう。
　本開示は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおいて、良好な通信を提供することが可能な車載装置、管理方法および管理プログラムを提供することである。
　［本開示の効果］
　本開示によれば、車載ネットワークにおいて、良好な通信を提供することができる。
　［本願発明の実施形態の説明］
　最初に、本発明の実施形態の内容を列記して説明する。
　（１）本発明の実施の形態に係る車載装置は、車両に搭載される車載装置であって、処理部と、前記車両が所定の停車状態であるか否かを判定する判定部と、前記処理部が所定の情報を出力した場合に前記処理部からアクセス可能なセキュア領域とを備え、前記セキュア領域には、外部装置が前記車載装置を制御するための制御用情報が保存されており、前記処理部は、前記判定部が肯定的な判定を行った場合、前記セキュア領域にアクセスし、前記制御用情報を前記セキュア領域から取得する取得処理を行う。
　このように、車両が所定の停車状態にある場合に、不正アクセスの困難なセキュア領域から制御用情報を取得する構成により、制御用情報を使用すべきでない車両の走行時において制御用情報の使用をより確実に制限することができるので、たとえば、車両の走行時に制御用情報が悪用され、中継を許可するパケットの種類が不正に書き換えられる可能性を低減することができる。これにより、走行時に車載装置が乗っ取られて遠隔操作される事態を回避することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。
　（２）好ましくは、前記車載装置は、さらに、前記外部装置に対する認証処理を行う認証部を備え、前記処理部は、前記判定部が肯定的な判定を行い、かつ前記認証処理が成功した場合に前記取得処理を行う。
　たとえば、外部装置が不正な装置である場合、外部装置に対する認証処理が失敗する可能性が高い。上記の構成により、不正な外部装置が制御用情報を悪用する可能性をより低減することができる。
　（３）好ましくは、前記セキュア領域に前記判定部が含まれる。
　このように、容易にアクセスすることが困難なセキュア領域に判定部が含まれる構成により、判定部をハッキングから守ることができるので、たとえば、判定部を不正に操作することで判定部に肯定的な判定を行わせ、制御用情報を不正に取得することを防ぐことができる。
　（４）より好ましくは、セキュア領域の内部に第１の前記判定部が含まれ、かつ前記セキュア領域の外部に第２の前記判定部が含まれ、前記処理部は、前記第１の判定部および前記第２の判定部の両方が肯定的な判定を行った場合、前記セキュア領域にアクセスし、前記取得処理を行う。
　このような構成により、たとえば、第１の判定部および第２の判定部のいずれか一方が不正に操作されて肯定的な判定を強制されても、不正な操作から逃れた判定部が正しい判定を行うことができるので、制御用情報を不正に取得することをより確実に防ぐことができる。
　（５）好ましくは、前記所定の停車状態は、駐車状態である。
　このように、所定の停車状態を駐車状態とする構成により、たとえば、制御用情報が悪用され、車載装置が乗っ取られて遠隔操作されても、車両が駐車状態であるので車両の暴走を防ぐことができる。
　（６）好ましくは、前記処理部は、前記車両が動き出した場合、または前記制御用情報の使用を終了した場合に、前記制御用情報を破棄する。
　このように、制御用情報を使用すべきでない場合、または制御用情報を使用しない場合に、制御用情報を破棄する構成により、制御用情報が悪用される機会を低減することができる。
　（７）好ましくは、前記処理部は、前記判定部が否定的な判定を行った場合、前記制御用情報により実現される機能の、前記外部装置からの起動要請を拒否する旨の応答を行う。
　このような構成により、車両において制御用情報の使用が制限されていることを、制御用情報の使用を要請した外部装置に通知することができる。
　（８）本発明の実施の形態に係る管理方法は、車両に搭載され、処理部と、前記処理部が所定の情報を出力した場合に前記処理部からアクセス可能なセキュア領域とを備える車載装置における管理方法であって、前記セキュア領域には、外部装置が前記車載装置を制御するための制御用情報が保存されており、前記車両が所定の停車状態であるか否かを判定するステップと、判定した結果が肯定的な場合、前記処理部が、前記セキュア領域にアクセスし、前記制御用情報を前記セキュア領域から取得する取得処理を行うステップとを含む。
　このように、車両が所定の停車状態にある場合に、不正アクセスの困難なセキュア領域から制御用情報を取得する構成により、制御用情報を使用すべきでない車両の走行時において制御用情報の使用をより確実に制限することができるので、たとえば、車両の走行時に制御用情報が悪用され、中継を許可するパケットの種類が不正に書き換えられる可能性を低減することができる。これにより、走行時に車載装置が乗っ取られて遠隔操作される事態を回避することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。
　（９）本発明の実施の形態に係る管理プログラムは、車両に搭載される車載装置において用いられる管理プログラムであって、コンピュータを、処理部と、前記車両が所定の停車状態であるか否かを判定する判定部、として機能させるためのプログラムであり、前記車載装置は、前記処理部が所定の情報を出力した場合に前記処理部からアクセス可能なセキュア領域を備え、前記セキュア領域には、外部装置が前記車載装置を制御するための制御用情報が保存されており、前記処理部は、前記判定部が肯定的な判定を行った場合、前記セキュア領域にアクセスし、前記制御用情報を前記セキュア領域から取得する取得処理を行う。
　このように、車両が所定の停車状態にある場合に、不正アクセスの困難なセキュア領域から制御用情報を取得する構成により、制御用情報を使用すべきでない車両の走行時において制御用情報の使用をより確実に制限することができるので、たとえば、車両の走行時に制御用情報が悪用され、中継を許可するパケットの種類が不正に書き換えられる可能性を低減することができる。これにより、走行時に車載装置が乗っ取られて遠隔操作される事態を回避することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。
　以下、本発明の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。
　［構成および基本動作］
　図１は、本発明の実施の形態に係る車載通信システムの構成を示す図である。
　図１を参照して、車載通信システム３０１は、ゲートウェイ装置（車載装置）１０１と、複数の機能部１１１と、複数の機能部１６１とを備える。車載通信システム３０１は、車両１に搭載される。
　機能部１１１は、たとえば、自動運転ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）、センサ、ナビゲーション装置、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｕｎｉｔ）、セントラルゲートウェイ（ＣＧＷ）、ヒューマンマシンインタフェース、およびカメラ等である。
　ゲートウェイ装置１０１および機能部１１１は、たとえば、車載のイーサネット（登録商標）通信用のケーブル（以下、イーサネットケーブルとも称する。）１０により互いに接続されている。
　ゲートウェイ装置１０１および機能部１１１は、イーサネットケーブル１０を用いて互いに通信する。ゲートウェイ装置１０１および機能部１１１間では、たとえば、ＩＥＥＥ８０２．３に従うイーサネットフレームを用いて情報のやり取りが行われる。
　機能部１６１は、たとえば、エンジン、ＡＴ（Ａｕｔｏｍａｔｉｃ　Ｔｒａｎｓｍｉｓｓｉｏｎ）、ブレーキおよびエアコン等の制御装置、ならびに各種センサである。
　ゲートウェイ装置１０１は、たとえばＣＡＮの規格に従うバス（以下、ＣＡＮバスとも称する。）１１を介して機能部１６１と接続されている。
　ＣＡＮバス１１は、たとえば系統別に設けられる。具体的には、ＣＡＮバス１１は、たとえば、駆動系バス、シャーシ／安全系バス、ボディ／電装系バスおよびＡＶ／情報系バス等である。
　ゲートウェイ装置１０１および機能部１６１は、ＣＡＮバス１１を用いて互いに通信する。ゲートウェイ装置１０１および機能部１６１間では、たとえば、ＣＡＮの通信規格に従うメッセージを用いて情報のやり取りが行われる。
　ゲートウェイ装置１０１は、車載ネットワークにおけるデータを中継する中継処理を行う。
　より詳細には、ゲートウェイ装置１０１は、たとえば、異なるＣＡＮバス１１にそれぞれ接続された機能部１６１間におけるデータの中継処理、各機能部１１１間におけるデータの中継処理、ならびに機能部１１１および機能部１６１間におけるデータの中継処理を行う。
　なお、ゲートウェイ装置１０１は、イーサネットケーブル１０およびＣＡＮバス１１を介して機能部１１１，１６１と接続される構成に限らず、ＦｌｅｘＲａｙ（登録商標）、ＭＯＳＴ（Ｍｅｄｉａ　Ｏｒｉｅｎｔｅｄ　Ｓｙｓｔｅｍｓ　Ｔｒａｎｓｐｏｒｔ）（登録商標）、およびＬＩＮ（Ｌｏｃａｌ　Ｉｎｔｅｒｃｏｎｎｅｃｔ　Ｎｅｔｗｏｒｋ）等の規格に従うバスを介して機能部１１１，１６１と接続される構成であってもよい。
　図２は、本発明の実施の形態に係る車載通信システムにおけるゲートウェイ装置の構成を示す図である。
　図２を参照して、ゲートウェイ装置１０１は、運用領域５１と、セキュア領域５２と、中継部５３と、外部装置用ポート５４とを備える。運用領域５１は、処理部２１と、車両状態判定部２２と、認証部２３とを含む。セキュア領域５２は、セキュア制御部３１と、車両状態判定部３２と、セキュア記憶部３３とを含む。
　外部装置用ポート５４には、たとえば、外部装置の一例である管理ツールが接続可能である。管理ツールは、たとえば、ゲートウェイ装置１０１および機能部１１１，１６１におけるファームウェアの更新および検査を行う。
　中継部５３は、車載ネットワークにおけるデータを中継する中継処理を行う。また、たとえば、管理ツールが外部装置用ポート５４を介してゲートウェイ装置１０１に接続された場合、中継部５３は、管理ツールと通信を行う。
　中継部５３は、自己宛の情報を管理ツールから受信すると、受信した情報を運用領域５１へ出力する。また、中継部５３は、管理ツール宛の情報を運用領域５１から受けると、受けた情報を管理ツールへ送信する。また、中継部５３は、管理ツールと機能部１１１および機能部１６１との間におけるデータを中継する。
　セキュア領域５２は、たとえば、セキュアＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）である。セキュア領域５２におけるセキュア記憶部３３は、制御用情報の一例である管理プログラムを記憶する。管理プログラムは、たとえば、処理部２１に管理機能を実現させるためのプログラムである。
　ここで、管理機能は、たとえば、コマンド操作するためのコンソールを管理ツールに提供するための機能、ゲートウェイ装置１０１および管理ツール間の通信を行うための機能、ならびに中継部５３におけるフィルタ設定等を行うための機能を含む。フィルタ設定により、中継を許可すべきメッセージおよびイーサネットフレームの種類が設定される。
　また、セキュア記憶部３３は、たとえば、非特許文献１（“ＩＴ用語辞典　ｅ－Ｗｏｒｄｓ”、［ｏｎｌｉｎｅ］、［平成２９年５月１日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｅ－ｗｏｒｄｓ．ｊｐ／ｗ／耐タンパー性．ｈｔｍｌ〉）に記載の耐タンパー性を有している。
　ここで、耐タンパー性は、ソフトウェアおよびハードウェアが備える、内部構造およびデータ等の解析の困難さを表す。言い換えると、耐タンパー性は、非正規な手段による機密データの読み取りを防ぐ能力である。この例では、セキュア記憶部３３に保存された管理プログラムは、所定の暗号方式に従ってセキュア制御部３１によって暗号化されている。
　たとえば、管理ツールが外部装置用ポート５４を介してゲートウェイ装置１０１に接続された状況を想定する。
　管理ツールは、たとえば、管理プログラムの起動要請を示す起動要求をゲートウェイ装置１０１へ送信する。
　ゲートウェイ装置１０１における中継部５３は、管理ツールから外部装置用ポート５４経由で起動要求を受信すると、受信した起動要求を運用領域５１へ出力する。
　運用領域５１は、たとえば、ＭＰＵ（Ｍｉｃｒｏ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）である。
　運用領域５１における処理部２１は、中継部５３から起動要求を受けると、自己の車両１の状態を判定させる判定命令を車両状態判定部２２へ出力する。
　車両状態判定部２２は、自己の車両１が所定の停車状態であるか否かを判定する。ここで、停車状態は、たとえば、車両１の速度が所定のしきい値未満の状態である。当該所定のしきい値は、たとえば１キロメートル毎時である。停車状態には様々な状態があり、停車状態の一例として駐車状態がある。
　本実施の形態では、所定の停車状態は駐車状態であるとして、以下説明する。すなわち、本実施の形態では、車両状態判定部２２は、たとえば、自己の車両１が駐車状態であるか否かを判定する。
　より詳細には、車両状態判定部２２には、監視対象とすべきメッセージ（以下、判定用メッセージとも称する。）がたとえばユーザにより登録されている。
　具体的には、判定用メッセージは、たとえば、オートマチックギアのシフトレンジを示す情報を含むメッセージ、サイドブレーキの状態を示す情報を含むメッセージ、フットブレーキの状態を示す情報を含むメッセージ、および車速情報を含むメッセージ等である。
　車両状態判定部２２は、中継部５３が中継するメッセージを監視し、中継部５３が判定用メッセージを中継する際、判定用メッセージを中継部５３から取得し、取得した判定用メッセージに基づいて自己の車両１の状態を判定する。
　具体的には、車両状態判定部２２は、たとえば、所定条件Ｃ１～Ｃ４のうちの少なくともいずれか１つが満たされた場合、自己の車両１が所定の停車状態すなわち駐車状態であると判定する。
　ここで、所定条件Ｃ１は、たとえばシフトレンジがパーキングの位置にある状態であることである。
　所定条件Ｃ２は、たとえば、シフトレンジがニュートラルの位置にあり、かつサイドブレーキが作動している状態であることである。
　所定条件Ｃ３は、たとえば、シフトレンジがニュートラルの位置にあり、かつフットブレーキが作動している状態であることである。
　所定条件Ｃ４は、たとえば、シフトレンジがニュートラルの位置にあり、かつ車速がゼロの状態であることである。
　一方、車両状態判定部２２は、所定条件Ｃ１～Ｃ４のうちのいずれも満たされない場合、自己の車両１が所定の停車状態でないと判定する。
　車両状態判定部２２は、処理部２１から判定命令を受けると、判定結果を示す判定結果情報を作成し、作成した判定結果情報を処理部２１へ出力する。
　処理部２１は、たとえば、車両状態判定部２２が否定的な判定を行った場合、管理プログラムにより実現される機能の、管理ツールからの起動要求を拒否する旨の応答を行う。
　一方、処理部２１は、たとえば、車両状態判定部２２が肯定的な判定を行い、かつ認証処理が成功した場合、セキュア領域５２にアクセスし、管理ツールがゲートウェイ装置１０１を制御するための管理プログラムをセキュア領域５２から取得する取得処理を行う。
　より詳細には、処理部２１は、判定命令の応答として判定結果情報を車両状態判定部２２から受けると、以下の処理を行う。
　すなわち、処理部２１は、判定結果情報が自己の車両１が所定の停車状態でないことを示す場合、起動要求の拒絶を示す拒絶情報を中継部５３および外部装置用ポート５４経由で管理ツールへ送信する。
　一方、処理部２１は、判定結果情報が自己の車両１が所定の停車状態であることを示す場合、管理ツールを認証させる認証命令を認証部２３へ出力する。
　認証部２３は、たとえば、外部装置に対する認証処理を行う。より詳細には、認証部２３は、認証命令を処理部２１から受けると、中継部５３および外部装置用ポート５４を介して管理ツールと認証用のＩＰパケットをやり取りすることにより管理ツールの認証を試みる。
　認証部２３は、管理ツールの認証に成功した場合、認証成功情報を処理部２１へ出力する。一方、認証部２３は、管理ツールの認証に失敗した場合、認証失敗情報を処理部２１へ出力する。
　セキュア領域５２は、耐タンパー性の一例として、処理部２１が所定の情報を出力した場合に処理部２１からアクセス可能である。
　より詳細には、セキュア領域５２におけるセキュア記憶部３３は、たとえば、処理部２１が所定の情報を出力した場合に処理部２１からのアクセスが許可される。
　この例では、セキュア記憶部３３は、処理部２１が所定の手順Ｐ１に従った場合に処理部２１からアクセス可能であり、手順Ｐ１に従わない場合にはアクセスできない。
　より詳細には、セキュア制御部３１は、セキュア記憶部３３にアクセス可能である。一方、処理部２１は、セキュア領域５２におけるセキュア制御部３１により認証された場合にしかセキュア記憶部３３にアクセスできない。
　処理部２１は、認証命令の応答として認証成功情報を認証部２３から受けると、たとえば、セキュア記憶部３３にアクセスするためのアクセス要求をセキュア領域５２へ出力する。
　セキュア領域５２におけるセキュア制御部３１は、処理部２１からアクセス要求を受けると、自己の車両１の状態を判定させる判定命令を車両状態判定部３２へ出力する。
　車両状態判定部３２は、車両１が所定の停車状態であるか否かを判定する。より詳細には、車両状態判定部３２には、車両状態判定部２２と同様に、判定用メッセージがたとえばユーザにより登録されている。
　車両状態判定部３２は、中継部５３が中継するメッセージを監視し、中継部５３が判定用メッセージを中継する際、判定用メッセージを中継部５３から取得し、取得した判定用メッセージに基づいて自己の車両１の状態を判定する。
　具体的には、車両状態判定部３２は、たとえば、所定条件Ｃ１～Ｃ４のうちの少なくともいずれか１つが満たされた場合、自己の車両１が所定の停車状態であると判定する。
　一方、車両状態判定部３２は、所定条件Ｃ１～Ｃ４のうちのいずれも満たされない場合、自己の車両１が所定の停車状態でないと判定する。
　車両状態判定部３２は、セキュア制御部３１から判定命令を受けると、判定結果を示す判定結果情報を作成し、作成した判定結果情報をセキュア制御部３１へ出力する。
　セキュア制御部３１は、判定命令の応答として判定結果情報を車両状態判定部３２から受けると、以下の処理を行う。
　すなわち、セキュア制御部３１は、判定結果情報が自己の車両１が所定の停車状態でないことを示す場合、アクセス不許可を示す不許可情報を処理部２１へ出力する。
　処理部２１は、アクセス要求の応答として不許可情報をセキュア制御部３１から受けると、セキュア領域５２へのアクセスに失敗したと認識し、拒絶情報を中継部５３および外部装置用ポート５４経由で管理ツールへ送信する。
　一方、セキュア制御部３１は、判定結果情報が自己の車両１が所定の停車状態であることを示す場合、認証情報の要求を示す認証情報要求を処理部２１へ出力する。
　処理部２１は、セキュア制御部３１から認証情報要求を受けると、受けた認証情報要求に従って、たとえば、専用鍵、パスワード、またはパスワードとＩＤとの組み合わせ等を含む認証情報をセキュア制御部３１へ出力する。
　セキュア制御部３１は、処理部２１から認証情報を受けると、受けた認証情報を認証する。セキュア制御部３１は、認証情報の認証に失敗した場合、不許可情報を処理部２１へ出力する。一方、セキュア制御部３１は、認証情報の認証に成功した場合、アクセス許可を示す許可情報を処理部２１へ出力する。
　処理部２１は、セキュア制御部３１から許可情報を受けた場合、セキュア制御部３１を介してセキュア記憶部３３へのアクセスが可能となるが、セキュア制御部３１から不許可情報を受けた場合、セキュア記憶部３３へのアクセスがセキュア制御部３１によってブロックされる。
　なお、セキュア制御部３１による処理部２１の認証は、上記の手順Ｐ１に従う構成に限らず、たとえば、処理部２１がアクセス要求を送信せずにいきなり認証情報をセキュア制御部３１へ送信し、セキュア制御部３１が、処理部２１から受けた認証情報を認証する構成であってもよい。
　処理部２１は、認証情報の応答として不許可情報をセキュア制御部３１から受けると、認証に失敗したと認識し、拒絶情報を中継部５３および外部装置用ポート５４経由で管理ツールへ送信する。
　一方、処理部２１は、認証情報の応答として許可情報をセキュア制御部３１から受けると、認証に成功したと認識し、管理プログラムをセキュア制御部３１に要求する。
　セキュア制御部３１は、処理部２１の要求に応じて、暗号化された管理プログラムをセキュア記憶部３３から取得し、所定の暗号方式に従って管理プログラムを復号する。そして、セキュア制御部３１は、復号後の管理プログラムを処理部２１へ出力する。
　処理部２１は、セキュア制御部３１から管理プログラムを受けると、受けた管理プログラムを使用する。
　より詳細には、処理部２１は、たとえば、管理プログラムを保持し、保持した管理プログラムに基づいて、管理プログラムのインスタンスであるプロセス（以下、対象プロセスとも称する。）を生成する。なお、処理部２１は、たとえば、管理プログラムを図示しないＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）に保持してもよい。
　処理部２１は、たとえば、車両１が動き出した場合、または管理プログラムの使用を終了した場合に、管理プログラムを破棄する。
　より詳細には、処理部２１は、管理プログラムを使用する際に、車両状態判定部２２における判定結果の監視、および生成した対象プロセスの監視を開始する。そして、処理部２１は、監視結果に基づいて管理プログラムを破棄する。
　より詳細には、処理部２１は、たとえば、所定時間Ｔ１ごとに判定命令を車両状態判定部２２へ出力し、判定命令の応答として判定結果情報を車両状態判定部２２から受ける。
　処理部２１は、車両状態判定部２２から受けた判定結果情報が自己の車両１が所定の停車状態でないことを示す場合、保持している管理プログラムを破棄する。
　また、処理部２１は、監視している対象プロセスが消滅した場合、保持している管理プログラムを破棄する。なお、処理部２１は、管理プログラムを破棄する代わりに管理プログラムをセキュア記憶部３３へ戻してもよい。
　一方、処理部２１は、判定結果情報が自己の車両１が所定の停車状態であることを示す場合、および対象プロセスが消滅していない場合、管理プログラムの保持を継続する。
　［動作の流れ］
　ゲートウェイ装置は、コンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下に示すフローチャートの各ステップの一部または全部を含むプログラムを図示しないメモリから読み出して実行する。この装置のプログラムは、外部からインストールすることができる。この装置のプログラムは、記録媒体に格納された状態で流通する。
　図３は、本発明の実施の形態に係る車載通信システムにおけるゲートウェイ装置が起動要求を受信した際の動作手順を定めたフローチャートである。
　図３を参照して、まず、ゲートウェイ装置１０１は、起動要求を管理ツールから受信するまで、メッセージおよびイーサネットフレームの中継処理を行う（ステップＳ１０２でＮＯ）。
　そして、ゲートウェイ装置１０１は、起動要求を管理ツールから受信すると（ステップＳ１０２でＹＥＳ）、運用領域５１において、自己の車両１が所定の停車状態であるか否かを判定する判定処理を行う（ステップＳ１０４）。
　次に、ゲートウェイ装置１０１は、自己の車両１が所定の停車状態である場合（ステップＳ１０６でＹＥＳ）、管理ツールを認証する認証処理を行う（ステップＳ１０８）。
　次に、ゲートウェイ装置１０１は、管理ツールの認証に成功した場合（ステップＳ１１０でＹＥＳ）、取得処理を行う（ステップＳ１１２）。
　また、ゲートウェイ装置１０１は、自己の車両１が所定の停車状態でない場合（ステップＳ１０６でＮＯ）、および管理ツールの認証に失敗した場合（ステップＳ１１０でＮＯ）、拒絶情報を管理ツールへ送信する（ステップＳ１１４）。
　図４は、本発明の実施の形態に係る車載通信システムにおけるゲートウェイ装置が取得処理を行う際の動作手順を定めたフローチャートである。図４は、図３のステップＳ１１２における動作の詳細を示している。
　図４を参照して、まず、ゲートウェイ装置１０１は、セキュア領域５２へアクセス要求を出力する（ステップＳ２０２）。
　次に、ゲートウェイ装置１０１は、セキュア領域５２において、自己の車両１が所定の停車状態であるか否かを判定する判定処理を行う（ステップＳ２０４）。
　次に、ゲートウェイ装置１０１は、自己の車両１が所定の停車状態である場合（ステップＳ２０６でＹＥＳ）、セキュア領域５２へ認証情報を出力する（ステップＳ２０８）。
　次に、ゲートウェイ装置１０１は、認証情報が正当である場合（ステップＳ２１０でＹＥＳ）、セキュア記憶部３３へのアクセスが許可される（ステップＳ２１２）。
　次に、ゲートウェイ装置１０１は、セキュア記憶部３３から管理プログラムを取得し、取得した管理プログラムを保持して使用する（ステップＳ２１４）。
　次に、ゲートウェイ装置１０１は、車両１の状態および管理プログラムの使用状況を監視する監視処理を行う（ステップＳ２１６）。
　また、ゲートウェイ装置１０１は、自己の車両１が所定の停車状態でない場合（ステップＳ２０６でＮＯ）、および認証情報が正当でない場合（ステップＳ２１０でＮＯ）、セキュア記憶部３３へのアクセスが許可されない（ステップＳ２１８）。
　次に、ゲートウェイ装置１０１は、拒絶情報を管理ツールへ送信する（ステップＳ２２０）。
　図５は、本発明の実施の形態に係る車載通信システムにおけるゲートウェイ装置が監視処理を行う際の動作手順を定めたフローチャートである。図５は、図４のステップＳ２１６における動作の詳細を示している。
　図５を参照して、まず、ゲートウェイ装置１０１は、所定時間Ｔ１ごとの運用領域５１における判定処理の結果の監視、および対象プロセスの監視を開始する（ステップＳ３０２）。
　次に、ゲートウェイ装置１０１は、自己の車両１が所定の停車状態であり、かつ対象プロセスが消滅していない場合、（ステップＳ３０４でＹＥＳおよびステップＳ３０６でＮＯ）、管理プログラムの保持および使用を継続する。
　一方、ゲートウェイ装置１０１は、自己の車両１が所定の停車状態でなくなった場合（ステップＳ３０４でＮＯ）、または対象プロセスが消滅した場合（ステップＳ３０６でＹＥＳ）、保持している管理プログラムを破棄する（ステップＳ３０８）。
　なお、本発明の実施の形態に係る車載通信システムでは、ゲートウェイ装置１０１が上述の動作を行う構成であるとしたが、これに限定するものではない。車載通信システム３０１において、機能部が上述の動作を行う構成であってもよい。
　また、本発明の実施の形態に係るゲートウェイ装置では、管理ツールが外部装置として外部装置用ポート５４に接続される構成であるとしたが、これに限定するものではない。外部装置用ポート５４には、スマートホンおよびナビゲーション装置等が外部装置として接続される構成であってもよい。
　また、本発明の実施の形態に係るゲートウェイ装置は、運用領域５１およびセキュア領域５２の両方において車両状態判定部を備える構成であるとしたが、これに限定するものではない。ゲートウェイ装置１０１は、運用領域５１およびセキュア領域５２のいずれか一方において車両状態判定部を備える構成であってもよい。しかしながら、たとえば、運用領域５１がハッキングされて認証情報が盗まれた場合においても、セキュア領域５２における車両状態判定部３２によって車両１の走行中における運用領域５１からの不正アクセスを拒絶することができるので、運用領域５１およびセキュア領域５２の両方において車両状態判定部を備える構成が好ましい。
　また、本発明の実施の形態に係るゲートウェイ装置は、認証部２３を備える構成であるとしたが、これに限定するものではない。ゲートウェイ装置１０１は、認証部２３を備えない構成であってもよい。
　また、本発明の実施の形態に係るゲートウェイ装置では、駐車状態を所定の停車状態とする構成であるとしたが、これに限定するものではない。たとえば、シフトレンジがドライブの位置にあり、かつサイドブレーキまたはフットブレーキが作動しているときのような車両１が一時停止している状態を所定の停車状態とする構成であってもよい。
　また、本発明の実施の形態に係るゲートウェイ装置では、車両状態判定部２２，３２は、所定条件Ｃ１～Ｃ４を用いて、自己の車両１が駐車状態であるか否かを判定する構成であるとしたが、これに限定するものではない。車両状態判定部２２，３２は、他の条件を用いて、自己の車両１が駐車状態であるか否かを判定する構成であってもよい。
　また、本発明の実施の形態に係るゲートウェイ装置では、車両状態判定部２２，３２は、所定条件Ｃ１～Ｃ４のうちの少なくともいずれか１つが満たされた場合、自己の車両１が所定の停車状態であると判定する構成であるとしたが、これに限定するものではない。車両状態判定部２２，３２は、他の条件が満たされた場合に、自己の車両１が所定の停車状態であると判定する構成であってもよい。
　また、本発明の実施の形態に係るゲートウェイ装置では、処理部２１は、車両１が動き出した場合、または管理プログラムの使用を終了した場合に、管理プログラムを破棄する構成であるとしたが、これに限定するものではない。処理部２１は、上記の場合に限らず、たとえば、管理プログラムの使用開始タイミングから所定時間経過後に当該管理プログラムを削除する構成であってもよい。
　また、本発明の実施の形態に係るゲートウェイ装置では、処理部２１は、車両１が所定の停車状態でない場合に、拒絶情報を管理ツールへ送信する構成であるとしたが、これに限定するものではない。処理部２１は、上記の場合においても、拒絶情報を管理ツールへ送信しない構成であってもよい。
　ところで、特許文献１に記載の車載ネットワークシステムでは、自車両が走行状態にある場合に車両外部機器との通信を遮断することで、車両外部機器による不正アクセスを防止する。しかしながら、中継装置では、中継機能よりも管理機能にセキュリティ上の脆弱性を抱えることが多い。具体的には、たとえば、中継を許可するパケットの種類が不正に書き換えられると、不正なパケットも中継されて車両内部機器に送信されるため、車両内部機器が車両の外部から攻撃に対して無防備になってしまう。
　これに対して、本発明の実施の形態に係るゲートウェイ装置は、車両１に搭載される。車両状態判定部２２，３２は、車両１が所定の停車状態であるか否かを判定する。セキュア領域５２は、処理部２１が所定の情報を出力した場合に処理部２１からアクセス可能である。セキュア領域５２には、外部装置がゲートウェイ装置１０１を制御するための制御用情報が保存されている。そして、処理部２１は、車両状態判定部２２，３２が肯定的な判定を行った場合、セキュア領域５２にアクセスし、制御用情報をセキュア領域５２から取得する取得処理を行う。
　このように、車両１が所定の停車状態にある場合に、不正アクセスの困難なセキュア領域５２から制御用情報を取得する構成により、制御用情報を使用すべきでない車両１の走行時において制御用情報の使用をより確実に制限することができるので、たとえば、車両１の走行時に制御用情報が悪用され、中継を許可するパケットの種類が不正に書き換えられる可能性を低減することができる。これにより、走行時にゲートウェイ装置１０１が乗っ取られて遠隔操作される事態を回避することができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。
　また、本発明の実施の形態に係るゲートウェイ装置では、認証部２３は、外部装置に対する認証処理を行う。そして、処理部２１は、車両状態判定部２２，３２が肯定的な判定を行い、かつ認証処理が成功した場合に取得処理を行う。
　たとえば、外部装置が不正な装置である場合、外部装置に対する認証処理が失敗する可能性が高い。上記の構成により、不正な外部装置が制御用情報を悪用する可能性をより低減することができる。
　また、本発明の実施の形態に係るゲートウェイ装置では、セキュア領域５２に車両状態判定部３２が含まれる。
　このように、容易にアクセスすることが困難なセキュア領域５２に車両状態判定部３２が含まれる構成により、車両状態判定部３２をハッキングから守ることができるので、たとえば、車両状態判定部３２を不正に操作することで車両状態判定部３２に肯定的な判定を行わせ、制御用情報を不正に取得することを防ぐことができる。
　また、本発明の実施の形態に係るゲートウェイ装置では、セキュア領域５２の内部に車両状態判定部３２が含まれ、かつセキュア領域５２の外部たとえば運用領域５１に車両状態判定部２２が含まれる。そして、処理部２１は、車両状態判定部３２および車両状態判定部２２の両方が肯定的な判定を行った場合、セキュア領域５２にアクセスし、取得処理を行う。
　このような構成により、たとえば、車両状態判定部３２および車両状態判定部２２のいずれか一方が不正に操作されて肯定的な判定を強制されても、不正な操作から逃れた判定部が正しい判定を行うことができるので、制御用情報を不正に取得することをより確実に防ぐことができる。
　また、本発明の実施の形態に係るゲートウェイ装置では、所定の停車状態は、駐車状態である。
　このように、所定の停車状態を駐車状態とする構成により、たとえば、制御用情報が悪用され、ゲートウェイ装置１０１が乗っ取られて遠隔操作されても、車両１が駐車状態であるので車両１の暴走を防ぐことができる。
　また、本発明の実施の形態に係るゲートウェイ装置では、所定の停車状態は、シフトレンジがパーキングの位置にある状態、シフトレンジがニュートラルの位置にあり、かつサイドブレーキもしくはフットブレーキが作動している状態、またはシフトレンジがニュートラルの位置にあり、かつ車速がゼロの状態である。
　このように、所定の停車状態を、たとえば、ＣＡＮ情報等の車両において伝送される情報を用いて定める構成により、制御用情報の使用を許可してもよい状態であるか否かを容易に判定することができる。
　また、本発明の実施の形態に係るゲートウェイ装置では、処理部２１は、車両１が動き出した場合、または制御用情報の使用を終了した場合に、制御用情報を破棄する。
　このように、制御用情報を使用すべきでない場合、または制御用情報を使用しない場合に、制御用情報を破棄する構成により、制御用情報が悪用される機会を低減することができる。
　また、本発明の実施の形態に係るゲートウェイ装置では、処理部２１は、車両状態判定部２２，３２が否定的な判定を行った場合、制御用情報により実現される機能の、外部装置からの起動要請を拒否する旨の応答を行う。
　このような構成により、車両１において制御用情報の使用が制限されていることを、制御用情報の使用を要請した外部装置に通知することができる。
　上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
　以上の説明は、以下に付記する特徴を含む。
　［付記１］
　車両に搭載される車載装置であって、
　処理部と、
　前記車両が所定の停車状態であるか否かを判定する判定部と、
　前記処理部が所定の情報を出力した場合に前記処理部からアクセス可能なセキュア領域とを備え、
　前記セキュア領域には、外部装置が前記車載装置を制御するための制御用情報が保存されており、
　前記処理部は、前記判定部が肯定的な判定を行った場合、前記セキュア領域にアクセスし、前記制御用情報を前記セキュア領域から取得する取得処理を行い、
　前記車載装置は、ゲートウェイ装置であり、
　前記車載装置は、さらに、
　ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）の通信規格に従うデータ、およびイーサネットの通信規格に従うデータを中継する中継部を備え、
　前記セキュア領域は、耐タンパー性を有し、
　前記制御用情報は、コマンド操作するためのコンソールを前記外部装置に提供するための管理機能、前記車載装置および前記外部装置間の通信を行うための管理機能、または前記中継部におけるフィルタ設定を行うための管理機能を前記処理部に実現させるための管理プログラムである、車載装置。
　１　車両
　１０　イーサネットケーブル
　１１　ＣＡＮバス
　２１　処理部
　２２　車両状態判定部
　２３　認証部
　３１　セキュア制御部
　３２　車両状態判定部
　３３　セキュア記憶部
　５１　運用領域
　５２　セキュア領域
　５３　中継部
　５４　外部装置用ポート
　１０１　ゲートウェイ装置（車載装置）
　１１１，１６１　機能部
　３０１　車載通信システム

Claims (9)

  1. 　車両に搭載される車載装置であって、
    　処理部と、
    　前記車両が所定の停車状態であるか否かを判定する判定部と、
    　前記処理部が所定の情報を出力した場合に前記処理部からアクセス可能なセキュア領域とを備え、
    　前記セキュア領域には、外部装置が前記車載装置を制御するための制御用情報が保存されており、
    　前記処理部は、前記判定部が肯定的な判定を行った場合、前記セキュア領域にアクセスし、前記制御用情報を前記セキュア領域から取得する取得処理を行う、車載装置。
  2. 　前記車載装置は、さらに、
    　前記外部装置に対する認証処理を行う認証部を備え、
    　前記処理部は、前記判定部が肯定的な判定を行い、かつ前記認証処理が成功した場合に前記取得処理を行う、請求項１に記載の車載装置。
  3. 　前記セキュア領域に前記判定部が含まれる、請求項１または請求項２に記載の車載装置。
  4. 　前記セキュア領域の内部に第１の前記判定部が含まれ、かつ前記セキュア領域の外部に第２の前記判定部が含まれ、
    　前記処理部は、前記第１の判定部および前記第２の判定部の両方が肯定的な判定を行った場合、前記セキュア領域にアクセスし、前記取得処理を行う、請求項３に記載の車載装置。
  5. 　前記所定の停車状態は、駐車状態である、請求項１から請求項４のいずれか１項に記載の車載装置。
  6. 　前記処理部は、前記車両が動き出した場合、または前記制御用情報の使用を終了した場合に、前記制御用情報を破棄する、請求項１から請求項５のいずれか１項に記載の車載装置。
  7. 　前記処理部は、前記判定部が否定的な判定を行った場合、前記制御用情報により実現される機能の、前記外部装置からの起動要請を拒否する旨の応答を行う、請求項１から請求項６のいずれか１項に記載の車載装置。
  8. 　車両に搭載され、処理部と、前記処理部が所定の情報を出力した場合に前記処理部からアクセス可能なセキュア領域とを備える車載装置における管理方法であって、
    　前記セキュア領域には、外部装置が前記車載装置を制御するための制御用情報が保存されており、
    　前記車両が所定の停車状態であるか否かを判定するステップと、
    　判定した結果が肯定的な場合、前記処理部が、前記セキュア領域にアクセスし、前記制御用情報を前記セキュア領域から取得する取得処理を行うステップとを含む、管理方法。
  9. 　車両に搭載される車載装置において用いられる管理プログラムであって、
    　コンピュータを、
    　処理部と、
    　前記車両が所定の停車状態であるか否かを判定する判定部、
    として機能させるためのプログラムであり、
    　前記車載装置は、前記処理部が所定の情報を出力した場合に前記処理部からアクセス可能なセキュア領域を備え、
    　前記セキュア領域には、外部装置が前記車載装置を制御するための制御用情報が保存されており、
    　前記処理部は、前記判定部が肯定的な判定を行った場合、前記セキュア領域にアクセスし、前記制御用情報を前記セキュア領域から取得する取得処理を行う、管理プログラム。
PCT/JP2018/022350 2017-07-12 2018-06-12 車載装置、管理方法および管理プログラム WO2019012888A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201880046432.2A CN110892683B (zh) 2017-07-12 2018-06-12 车载装置、管理方法和管理程序
US16/630,514 US11938897B2 (en) 2017-07-12 2018-06-12 On-vehicle device, management method, and management program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017135844A JP6852604B2 (ja) 2017-07-12 2017-07-12 車載装置、管理方法および管理プログラム
JP2017-135844 2017-07-12

Publications (1)

Publication Number Publication Date
WO2019012888A1 true WO2019012888A1 (ja) 2019-01-17

Family

ID=65001908

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/022350 WO2019012888A1 (ja) 2017-07-12 2018-06-12 車載装置、管理方法および管理プログラム

Country Status (4)

Country Link
US (1) US11938897B2 (ja)
JP (1) JP6852604B2 (ja)
CN (1) CN110892683B (ja)
WO (1) WO2019012888A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022048602A1 (zh) * 2020-09-04 2022-03-10 天地融科技股份有限公司 一种应用于车载单元的防拆装置和车载单元

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102018214999A1 (de) * 2017-10-13 2019-04-18 Robert Bosch Gmbh Vorrichtung zur Absicherung von Diagnosebefehlen an ein Steuergerät und entsprechendes Kraftfahrzeug
JP2020154540A (ja) 2019-03-19 2020-09-24 キオクシア株式会社 メモリシステム及び制御システム
JP7293867B2 (ja) * 2019-05-28 2023-06-20 トヨタ自動車株式会社 車両制御システムおよび車両制御インタフェース
JP2020201857A (ja) * 2019-06-13 2020-12-17 株式会社東海理化電機製作所 認証システム及び認証方法
JP2021114715A (ja) * 2020-01-20 2021-08-05 国立大学法人東海国立大学機構 中継装置、中継方法及びコンピュータプログラム
WO2022054529A1 (ja) * 2020-09-09 2022-03-17 日立Astemo株式会社 車載制御装置及び方法

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002202895A (ja) * 2000-12-28 2002-07-19 Toyota Central Res & Dev Lab Inc 車両基本機能制御プログラム更新装置
JP2008059450A (ja) * 2006-09-01 2008-03-13 Denso Corp 車両情報書換えシステム
WO2015129352A1 (ja) * 2014-02-28 2015-09-03 日立オートモティブシステムズ株式会社 認証システム、車載制御装置
JP2016072675A (ja) * 2014-09-26 2016-05-09 Kddi株式会社 管理装置、車両、管理方法およびコンピュータプログラム
WO2016075865A1 (ja) * 2014-11-12 2016-05-19 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 更新管理方法、更新管理装置及び制御プログラム
JP2017033248A (ja) * 2015-07-31 2017-02-09 パナソニックＩｐマネジメント株式会社 処理装置、車載端末装置、処理装置の起動方法、及び処理装置の起動プログラム
JP6140874B1 (ja) * 2016-10-03 2017-05-31 Kddi株式会社 制御装置、制御方法、及びコンピュータプログラム

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002016614A (ja) * 2000-06-30 2002-01-18 Sumitomo Electric Ind Ltd 車載ゲートウェイ
US7502928B2 (en) * 2004-11-12 2009-03-10 Sony Computer Entertainment Inc. Methods and apparatus for secure data processing and transmission
JP5002337B2 (ja) * 2007-05-31 2012-08-15 株式会社東芝 ネットワークアクセスを認証または中継する通信システム、中継装置、認証装置、および通信方法
US9299255B2 (en) * 2010-03-04 2016-03-29 Verizon Telematics Inc. Method and system for providing location information of a vehicle to a user device
EP2570309A1 (en) 2011-09-16 2013-03-20 Gemalto SA Vehicle providing a secured access to security data
WO2013051122A1 (ja) 2011-10-05 2013-04-11 トヨタ自動車株式会社 車載ネットワークシステム
US9041556B2 (en) * 2011-10-20 2015-05-26 Apple Inc. Method for locating a vehicle
EP2868529B1 (en) * 2012-06-27 2021-04-14 Nippon Seiki Co., Ltd. Information providing device for vehicle
US20140032865A1 (en) * 2012-07-26 2014-01-30 Yuji Nagai Storage system in which information is prevented
US10402184B2 (en) * 2014-05-20 2019-09-03 Ford Global Technologies, Llc Module interface for vehicle updates
US10308198B2 (en) * 2016-05-10 2019-06-04 Samsung Electronics Co., Ltd Electronic device and vehicle control method using the same
KR20180017606A (ko) * 2016-08-10 2018-02-21 삼성전자주식회사 차량의 주차 위치 정보를 제공하기 위한 방법 및 그 전자 장치
KR20180022005A (ko) * 2016-08-23 2018-03-06 삼성전자주식회사 외부 장치의 위치 정보를 제공하기 위한 방법 및 그 전자 장치
JP2018173721A (ja) * 2017-03-31 2018-11-08 オムロンオートモーティブエレクトロニクス株式会社 車載通信システム、車両制御装置、通信管理装置

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002202895A (ja) * 2000-12-28 2002-07-19 Toyota Central Res & Dev Lab Inc 車両基本機能制御プログラム更新装置
JP2008059450A (ja) * 2006-09-01 2008-03-13 Denso Corp 車両情報書換えシステム
WO2015129352A1 (ja) * 2014-02-28 2015-09-03 日立オートモティブシステムズ株式会社 認証システム、車載制御装置
JP2016072675A (ja) * 2014-09-26 2016-05-09 Kddi株式会社 管理装置、車両、管理方法およびコンピュータプログラム
WO2016075865A1 (ja) * 2014-11-12 2016-05-19 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 更新管理方法、更新管理装置及び制御プログラム
JP2017033248A (ja) * 2015-07-31 2017-02-09 パナソニックＩｐマネジメント株式会社 処理装置、車載端末装置、処理装置の起動方法、及び処理装置の起動プログラム
JP6140874B1 (ja) * 2016-10-03 2017-05-31 Kddi株式会社 制御装置、制御方法、及びコンピュータプログラム

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022048602A1 (zh) * 2020-09-04 2022-03-10 天地融科技股份有限公司 一种应用于车载单元的防拆装置和车载单元

Also Published As

Publication number Publication date
CN110892683A (zh) 2020-03-17
JP6852604B2 (ja) 2021-03-31
JP2019021973A (ja) 2019-02-07
US11938897B2 (en) 2024-03-26
US20200361412A1 (en) 2020-11-19
CN110892683B (zh) 2023-01-06

Similar Documents

Publication Publication Date Title
JP6852604B2 (ja) 車載装置、管理方法および管理プログラム
US11755713B2 (en) System and method for controlling access to an in-vehicle communication network
US11165851B2 (en) System and method for providing security to a communication network
JP6807906B2 (ja) 車両へのコンピュータ攻撃を阻止するためのルールを生成するシステムおよび方法
US20130227650A1 (en) Vehicle-Mounted Network System
US20160173530A1 (en) Vehicle-Mounted Network System
US10279775B2 (en) Unauthorized access event notification for vehicle electronic control units
EP3051855A1 (en) Communication device, lsi, program, and communication system
CN101199183A (zh) 保证汽车部件通过无线通信连接与外部通信伙伴的安全通信的方法和装置
WO2019216306A1 (ja) 異常検知電子制御ユニット、車載ネットワークシステム及び異常検知方法
CN111142500B (zh) 车辆诊断数据的权限设置方法、装置及车载网关控制器
JP2018046432A (ja) 検知装置、ゲートウェイ装置、検知方法および検知プログラム
WO2015194323A1 (ja) ネットワークシステム、通信制御方法および記憶媒体
Takahashi An overview of cyber security for connected vehicles
US10926737B2 (en) Extra-vehicular communication device, communication control method, and communication control program
WO2013051122A1 (ja) 車載ネットワークシステム
KR20150089697A (ko) 모바일 단말을 이용한 스마트 카 보안 시스템 및 그 방법
WO2020184001A1 (ja) 車載セキュリティ対策装置、車載セキュリティ対策方法およびセキュリティ対策システム
US20230401317A1 (en) Security method and security device
TWI569995B (zh) Information gateway and its interference with vehicle operation
KR20190097216A (ko) 센서의 측정값들에 서명하기 위한 방법, 장치 및 명령어들을 포함하는 컴퓨터 판독 가능 저장 매체
van Roermund In-vehicle networks and security
Rumez et al. Security hardening of automotive networks through the implementation of attribute-based plausibility checks
JP2013142963A (ja) 車載制御装置の認証システム
KR102411797B1 (ko) 하드웨어 기반의 차량 사이버보안시스템

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18831670

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18831670

Country of ref document: EP

Kind code of ref document: A1