WO2019012889A1 - 認証制御装置、認証制御方法および認証制御プログラム - Google Patents

認証制御装置、認証制御方法および認証制御プログラム Download PDF

Info

Publication number
WO2019012889A1
WO2019012889A1 PCT/JP2018/022351 JP2018022351W WO2019012889A1 WO 2019012889 A1 WO2019012889 A1 WO 2019012889A1 JP 2018022351 W JP2018022351 W JP 2018022351W WO 2019012889 A1 WO2019012889 A1 WO 2019012889A1
Authority
WO
WIPO (PCT)
Prior art keywords
authentication
vehicle
relay
control device
identification information
Prior art date
Application number
PCT/JP2018/022351
Other languages
English (en)
French (fr)
Inventor
小川明紘
浦山博史
萩原剛志
藪内靖弘
Original Assignee
住友電気工業株式会社
株式会社オートネットワーク技術研究所
住友電装株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 住友電気工業株式会社, 株式会社オートネットワーク技術研究所, 住友電装株式会社 filed Critical 住友電気工業株式会社
Priority to CN201880044888.5A priority Critical patent/CN110832486B/zh
Priority to US16/629,982 priority patent/US11444939B2/en
Publication of WO2019012889A1 publication Critical patent/WO2019012889A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04B—TRANSMISSION
    • H04B7/00—Radio transmission systems, i.e. using radiation field
    • H04B7/14—Relay systems
    • H04B7/15—Active relay systems
    • H04B7/155—Ground-based stations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/48—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for in-vehicle communication

Definitions

  • the present invention relates to an authentication control device, an authentication control method, and an authentication control program.
  • Patent Document 1 Japanese Unexamined Patent Publication No. 2013-168865 discloses the following in-vehicle network system. That is, the in-vehicle network system comprises an in-vehicle control device having a memory for storing definition data that defines a portion of the communication protocol used on the in-vehicle network depending on the implementation on the in-vehicle network; And a communication protocol issuing device for issuing the definition data.
  • the communication protocol issue device authenticates the registration device when receiving a registration request to cause the in-vehicle control device to participate in the in-vehicle network from the registration device in which the in-vehicle control device participates in the in-vehicle network.
  • the definition data conforming to the above implementation in the in-vehicle network is created and sent back to the registration device.
  • the registration device receives the definition data transmitted by the communication protocol issuing device, and requests the on-vehicle control device to store the received definition data on the memory.
  • the in-vehicle control device receives definition data from the registration device, stores the definition data on the memory, and communicates using the in-vehicle network in compliance with the communication protocol according to the portion defined by the definition data. .
  • the authentication control device of the present disclosure includes: an acquisition unit that acquires predetermined identification information on an in-vehicle device to be newly added to the in-vehicle network; and the in-vehicle device based on the identification information acquired by the acquisition unit. And a determination unit that determines which one of a plurality of types of authentication procedures is to be applied as the authentication process for.
  • the authentication control method according to the present disclosure is an authentication control method in an authentication control device, which is based on the step of acquiring predetermined identification information on an in-vehicle device to be newly added to the in-vehicle network; And determining which one of a plurality of types of authentication procedures is to be applied as the authentication process for the in-vehicle apparatus.
  • the authentication control program is an authentication control program used in an authentication control device, the computer including: an acquisition unit that acquires predetermined identification information on an in-vehicle apparatus to be newly added to the in-vehicle network; The program is configured to function as a determination unit that determines which of a plurality of types of authentication procedures is to be applied as the authentication process for the in-vehicle device based on the identification information acquired by the acquisition unit.
  • One aspect of the present disclosure can be realized not only as an authentication control apparatus including such a characteristic processing unit, but also as an on-vehicle communication system including an authentication control apparatus.
  • one aspect of the present disclosure can be realized as a semiconductor integrated circuit that implements part or all of the authentication control device.
  • FIG. 1 is a diagram showing a configuration of a communication system according to an embodiment of the present invention.
  • FIG. 2 is a diagram showing the configuration of the in-vehicle communication system according to the embodiment of the present invention.
  • FIG. 3 is a diagram showing the configuration of a relay device in the on-vehicle communication system according to the embodiment of the present invention.
  • FIG. 4 is a diagram showing a configuration of an authentication control device in the on-vehicle communication system according to the embodiment of the present invention.
  • FIG. 5 is a diagram showing an example of a sequence when the add-on device is connected to the in-vehicle network in the in-vehicle communication system according to the embodiment of the present invention.
  • FIG. 1 is a diagram showing a configuration of a communication system according to an embodiment of the present invention.
  • FIG. 2 is a diagram showing the configuration of the in-vehicle communication system according to the embodiment of the present invention.
  • FIG. 3 is a diagram showing the configuration of a
  • FIG. 6 is a view showing an example of data of an authentication key transmitted by the add-on device in the in-vehicle communication system according to the embodiment of the present invention.
  • FIG. 7 is a diagram showing an example of a sequence when authentication processing of the add-on device is performed in the in-vehicle communication system according to the embodiment of the present invention.
  • FIG. 8 is a diagram showing an example of a sequence when authentication processing of the add-on device is performed in the in-vehicle communication system according to the embodiment of the present invention.
  • FIG. 9 is a diagram showing an example of a sequence when authentication processing of the add-on device is performed in the on-vehicle communication system according to the embodiment of the present invention.
  • FIG. 10 is a diagram showing an example of an authentication history table held by the determination unit in the authentication control device according to the embodiment of the present invention.
  • FIG. 11 is a diagram showing an example of a sequence when the add-on device is connected to the in-vehicle network in the in-vehicle communication system according to the embodiment of the present invention.
  • FIG. 12 is a diagram showing an example of an authentication history table held by the determination unit in the authentication control device according to the embodiment of the present invention.
  • FIG. 13 is a diagram showing an example of a sequence when the add-on device is connected to the in-vehicle network in the in-vehicle communication system according to the embodiment of the present invention.
  • FIG. 11 is a diagram showing an example of a sequence when the add-on device is connected to the in-vehicle network in the in-vehicle communication system according to the embodiment of the present invention.
  • FIG. 12 is a diagram showing an example of an authentication history table held by the determination unit in the authentication control device according
  • FIG. 14 is a diagram showing an example of the reliability table held by the server in the communication system according to the embodiment of the present invention.
  • FIG. 15 is a diagram showing an example of a sequence when the add-on device is connected to the in-vehicle network in the in-vehicle communication system according to the embodiment of the present invention.
  • FIG. 16 is a diagram showing an example of the reliability table held by the server in the communication system according to the embodiment of the present invention.
  • in-vehicle network systems have been developed to improve security in in-vehicle networks.
  • an in-vehicle control device that performs communication that does not conform to the communication protocol, for example, DoS (Denial of Service) attack and eavesdropping is detected as an unauthorized in-vehicle control device.
  • DoS Delivery of Service
  • the onboard control device can perform DoS attack and wiretapping until it is detected as an unauthorized onboard control device.
  • Patent Document 1 In order to prevent such DoS attacks and eavesdropping, a configuration in which an unauthorized in-vehicle control device is not allowed to participate in the in-vehicle network system is preferable, but such a configuration is not disclosed in Patent Document 1.
  • the present disclosure has been made to solve the above-described problems, and it is an object of the present disclosure to provide an authentication control device, an authentication control method, and an authentication control program that can provide good communication in an in-vehicle network. It is.
  • the authentication control device is based on an acquisition unit for acquiring predetermined identification information on an in-vehicle apparatus to be newly added to the in-vehicle network, and the identification information acquired by the acquisition unit. And a determination unit that determines which one of a plurality of types of authentication procedures is to be applied as the authentication processing for the in-vehicle apparatus.
  • the determination unit determines the reliability of the in-vehicle apparatus based on the identification information acquired by the acquisition unit, and determines the authentication procedure according to the determined reliability.
  • a strict authentication procedure can be applied to an on-vehicle apparatus determined to have low reliability, so that detection accuracy of an unauthorized on-vehicle apparatus can be improved.
  • a simple authentication procedure can be applied to the on-vehicle apparatus determined to have high reliability, so that the load of the authentication process can be reduced.
  • the identification information is information capable of identifying a place where the mounting operation of the in-vehicle apparatus is performed.
  • the degree of involvement of the vehicle manufacturer in the in-vehicle apparatus varies depending on the place where the in-vehicle apparatus is attached, such as a manufacturing plant, a dealer, and other places. According to the above configuration, it is possible to appropriately evaluate the reliability, legitimacy, and the like of the in-vehicle apparatus based on the degree of involvement according to the place where the in-vehicle apparatus is attached.
  • the identification information indicates at least one of a product number and a model number of the in-vehicle device.
  • the identification information is information that can uniquely identify the in-vehicle device.
  • the server that holds the correspondence between the information that can uniquely identify the in-vehicle device and the manufacturer of the in-vehicle device, the time of manufacture, the specifications, etc. Etc., it is possible to perform appropriate evaluation such as the reliability and legitimacy of the on-vehicle apparatus.
  • the determination unit determines the newly applied authentication procedure based on the authentication procedure applied to the in-vehicle apparatus in the past.
  • a simple authentication procedure can be newly applied to an on-vehicle apparatus having a good authentication result according to an authentication procedure applied in the past, and to an on-vehicle apparatus having a poor authentication result.
  • strict authentication procedures can be newly applied. That is, since the authentication procedure according to the authentication result can be applied, the authentication process can be performed efficiently.
  • the authentication control device is included in a relay device that relays data in the in-vehicle network.
  • the configuration in which the authentication control device is included in the relay device capable of performing communication with the in-vehicle device more reliably the determination of the authentication procedure can be performed more reliably.
  • the identification information is included in an authentication key used in the authentication process with the relay device.
  • the configuration in which the identification information is included in the authentication key makes it difficult to falsify the identification information for the purpose of determining a simpler authentication procedure. It is possible to prevent impersonation of an in-vehicle device.
  • the plurality of types of authentication procedures include a plurality of authentication procedures having different numbers of authentication devices that perform the authentication process on the in-vehicle device.
  • the number of authentication devices can be made different depending on the reliability and legitimacy of the in-vehicle device, so that the strictness of the authentication procedure can be appropriately adjusted.
  • the plurality of types of authentication procedures include a plurality of authentication procedures in which authentication devices that perform the authentication process on the in-vehicle device are different.
  • the authentication device can be made different depending on the reliability and legitimacy of the in-vehicle device, so that the severity of the authentication procedure can be appropriately adjusted.
  • the authentication key used in the authentication process is different for each of the authentication devices.
  • the authentication process can be complicated by making the authentication key different for each authentication device, it is possible to make it difficult for the authentication process to be unfairly breached. That is, security in the in-vehicle network can be improved.
  • the authentication device includes a relay device that relays data in the in-vehicle network.
  • the authentication device includes the relay device that is the main point of data transmission in the in-vehicle network, so that, for example, when the authenticated in-vehicle device is incorrect, data transmission by the unauthorized communication of the in-vehicle device is more reliable Can be stopped.
  • the relay device instructs another vehicle-mounted device to be a communication partner of the vehicle-mounted device to start the authentication process when the authentication process of the vehicle-mounted device succeeds.
  • the legitimacy of the newly added in-vehicle device is more correctly determined by the configuration in which the in-vehicle device performs communication in the in-vehicle network. Can.
  • the relay device instructs the other relay devices to start the authentication process when the authentication process of the vehicle device succeeds.
  • the validity of the in-vehicle device is more correctly determined by the configuration in which the newly added in-vehicle device performs the authentication processing with another relay device. Can.
  • the plurality of types of authentication procedures include a plurality of authentication procedures with different security levels.
  • the security level can be made different depending on the reliability and legitimacy of the in-vehicle apparatus, so that the strictness of the authentication procedure can be appropriately adjusted.
  • the determination unit determines the reliability of the in-vehicle apparatus based on the identification information acquired by the acquisition unit, and the authentication process for the in-vehicle apparatus is performed as the determined reliability is smaller.
  • the number of authentication devices to perform is larger than the number of authentication devices.
  • An authentication control method is an authentication control method in an authentication control apparatus, which comprises the steps of acquiring predetermined identification information on an in-vehicle apparatus to be newly added to an in-vehicle network; Determining which one of a plurality of types of authentication procedures is to be applied as an authentication process for the in-vehicle apparatus based on the identification information.
  • the authentication control program is an authentication control program used in the authentication control device, and acquires predetermined identification information on an in-vehicle apparatus to be newly added to the in-vehicle network.
  • An acquisition unit and based on the identification information acquired by the acquisition unit, functions as a determination unit that determines which one of a plurality of types of authentication procedures is to be applied as an authentication process for the in-vehicle device. It is a program.
  • FIG. 1 is a diagram showing a configuration of a communication system according to an embodiment of the present invention.
  • the communication system 201 includes a server 181 and an in-vehicle communication system 301.
  • the in-vehicle communication system 301 is mounted on the vehicle 1.
  • FIG. 2 is a diagram showing the configuration of the in-vehicle communication system according to the embodiment of the present invention.
  • in-vehicle communication system 301 includes in-vehicle ECUs (Electronic Control Units) 111A to 111F and relay devices 151A and 151B.
  • ECUs Electronic Control Units
  • relay devices 151A and 151B relay devices
  • each of the onboard ECUs 111A to 111F is also referred to as an onboard ECU 111.
  • each of the relay devices 151A and 151B is also referred to as a relay device 151.
  • the in-vehicle ECU 111 and the relay device 151 are an example of the in-vehicle device.
  • the on-vehicle communication system 301 is not limited to the configuration including the six on-vehicle ECUs 111, and may have a configuration including five or less or seven or more on-vehicle ECUs 111. Further, the on-vehicle communication system 301 is not limited to the configuration including the two relay devices 151, and may be configured to include one or three or more relay devices 151.
  • the on-board ECU 111A is, for example, a TCU (Telematics Communication Unit).
  • TCU Transmission Control Unit
  • on-vehicle ECU 111A is also referred to as TCU 111A.
  • the on-board ECUs 111 B to 111 F are, for example, an automatic control ECU (Electronic Control Unit), a sensor, a navigation device, a human machine interface, a camera, and the like.
  • the in-vehicle ECUs 111A and 111C are connected to the relay device 151A via an Ethernet (registered trademark) cable.
  • the in-vehicle ECUs 111D to 111F are connected to the relay device 151B via an Ethernet cable.
  • the relay devices 151A and 151B are, for example, switch devices, and are connected to each other via an Ethernet cable.
  • the relay devices 151A and 151B may be gateway devices.
  • in-vehicle ECU 111B is not connected to relay device 151A in the initial state.
  • the on-vehicle ECU 111B is installed in the vehicle 1 at, for example, a manufacturing plant of the vehicle 1, a dealer of the vehicle 1, or an after-sales shop of the vehicle 1, and is connected to the relay device 151A via an Ethernet cable.
  • the communication counterpart of the onboard ECU 111B when connected to the relay device 151A is, for example, the onboard ECU 111C.
  • each of the on-vehicle ECUs 111B and 111C is also referred to as an expansion device 111B and a communication counterpart device 111C.
  • the relay apparatus 151 relays an Ethernet frame according to the Ethernet communication standard.
  • relay device 151 relays, for example, an Ethernet frame exchanged between onboard ECUs 111.
  • An IP packet is stored in the Ethernet frame.
  • the on-vehicle communication system 301 is not limited to the configuration in which the Ethernet frame is relayed according to the Ethernet communication standard, for example, CAN (Controller Area Network) (registered trademark), FlexRay (registered trademark), or MOST (Media Oriented Systems Transport) Data relay may be performed according to a communication standard such as (registered trademark) and LIN (Local Interconnect Network).
  • CAN Controller Area Network
  • FlexRay registered trademark
  • MOST Media Oriented Systems Transport
  • LIN Local Interconnect Network
  • TCU 111A can communicate with server 181.
  • the TCU 111A can communicate with the server 181 via the radio base station apparatus 161, for example, in accordance with the IP protocol.
  • the TCU 111A can perform wireless communication with the wireless base station device 161, for example, in accordance with a communication standard such as Long Term Evolution (LTE) or 3G.
  • LTE Long Term Evolution
  • 3G 3th Generation
  • the TCU 111A when the TCU 111A receives, for example, a wireless frame in which an IP packet from an IP server is stored from the wireless base station device 161, the TCU 111A acquires an IP packet from the received wireless frame, and acquires the acquired IP packet as an Ethernet frame. And transmit to the relay apparatus 151A.
  • the TCU 111A when the TCU 111A receives an Ethernet frame from the relay device 151A, the TCU 111A acquires an IP packet from the received Ethernet frame, stores the acquired IP packet in a wireless frame, and transmits the wireless frame to the wireless base station device 161.
  • the wireless base station device 161 When the wireless base station device 161 receives a wireless frame from the TCU 111A, the wireless base station device 161 acquires an IP packet from the received wireless frame, and transmits the acquired IP packet to the server 181 via the external network 11.
  • the wireless base station device 161 upon receiving an IP packet from the server 181 via the external network 11, stores the received IP packet in a wireless frame, and transmits the wireless frame to the TCU 111A.
  • FIG. 3 is a diagram showing the configuration of a relay device in the on-vehicle communication system according to the embodiment of the present invention.
  • relay device 151 ⁇ / b> A includes relay processing unit 51, communication ports 52 ⁇ / b> A, 52 ⁇ / b> B, 52 ⁇ / b> C, 52 D, and authentication control device 101.
  • FIG. 3 shows the configuration of the relay apparatus 151A
  • the relay apparatus 151B also has the same configuration as that of the relay apparatus 151A.
  • each of the communication ports 52A, 52B, 52C, and 52D is also referred to as a communication port 52.
  • the communication port 52 is, for example, a terminal to which an Ethernet cable can be connected.
  • the communication ports 52A, 52B, and 52C are connected to the relay apparatus 151B, the TCU 111A, and the communication partner apparatus 111C, respectively.
  • the communication port 52D is, for example, a communication port (hereinafter also referred to as an expansion port) used for connection of the expansion device 111B, and is an idle port in the initial state.
  • the relay processing unit 51 relays Ethernet frames. Specifically, when receiving an Ethernet frame via the communication port 52, for example, the relay processing unit 51 performs layer 2 switch processing and layer 3 relay processing on the received Ethernet frame.
  • the relay processing unit 51 transmits the Ethernet frame after switch processing or relay processing via the other communication port 52.
  • the relay processing unit 51 holds registration information indicating communication paths for which switch processing and relay processing are permitted.
  • the communication path is specified by, for example, a set of a source MAC (Media Access Control) address and a destination MAC address, and a set of a source IP address and a destination IP address.
  • MAC Media Access Control
  • the relay processing unit 51 performs, for example, filtering of the Ethernet frame based on the held registration information.
  • FIG. 4 is a diagram showing a configuration of an authentication control device in the on-vehicle communication system according to the embodiment of the present invention.
  • the authentication control device 101 includes an acquisition unit 21 and a determination unit 22.
  • Each device in the communication system 201 includes a computer, and an arithmetic processing unit such as a CPU in the computer reads and executes a program including part or all of each step of the following sequence diagram or flowchart from a memory (not shown).
  • the programs of the plurality of devices can be installed from the outside.
  • the programs of the plurality of apparatuses are distributed as stored in the recording medium.
  • FIG. 5 is a diagram showing an example of a sequence when the add-on device is connected to the in-vehicle network in the in-vehicle communication system according to the embodiment of the present invention.
  • the add-on device 111B transmits an Ethernet frame including its own MAC address and the MAC address of the communication partner device 111C as a transmission source MAC address and transmission destination MAC address as a communication request to the relay device 151A (step S102). ).
  • the relay processing unit 51 in the relay device 151A receives the Ethernet frame from the expansion device 111B via the expansion port, the relay processing unit 51 acquires and acquires the transmission source MAC address and the transmission destination MAC address included in the received Ethernet frame. It is checked whether a communication path based on the transmission source MAC address and the transmission destination MAC address is registered in the registration information (step S104).
  • the relay processing unit 51 confirms that the communication path is not registered in the registration information.
  • the relay processing unit 51 transmits an Ethernet frame including a request for an authentication key used for authentication of the add-on device 111B to the add-on device 111B as an authentication key request (step S106).
  • FIG. 6 is a view showing an example of data of an authentication key transmitted by the add-on device in the in-vehicle communication system according to the embodiment of the present invention.
  • authentication key data data of an authentication key (hereinafter also referred to as authentication key data) is used in an authentication process with relay device 151A.
  • the authentication key data includes a type that is an example of predetermined identification information related to the add-on device 111B, and an authentication key KA used for authentication with the relay device 151A.
  • the size of the authentication key data is X bits which is the size of the type and Z bits which is the sum of Y bits which is the size of the authentication key KA.
  • the type is, for example, information that can identify the place where the installation work of the add-on device 111B is performed.
  • the on-vehicle ECU 111B is an on-vehicle device installed in a manufacturing plant of the vehicle 1, the type indicates a maker option.
  • the type indicates the dealer option.
  • the on-board ECU 111B is an on-vehicle apparatus installed in a shop or the like of after-sales parts of the vehicle 1, the type indicates user custom.
  • the maker option, dealer option and user custom confidence levels are high, medium and low, respectively.
  • the reliability represents the degree of trust of the installation source of the add-on device 111B. More specifically, the reliability represents the degree of confidence in the installer of the expansion device 111B and the installation procedure. Specifically, the add-on device 111B is installed on the vehicle 1 by a more reliable installer according to a more reliable installation procedure as the reliability is higher.
  • expansion device 111B encrypts the authentication key data shown in FIG. 6 according to the received authentication key request,
  • the Ethernet frame including the encrypted authentication key data is transmitted to the relay apparatus 151A as authentication key information (step S108).
  • the relay processing unit 51 in the relay device 151A receives the Ethernet frame from the add-on device 111B, the relay processing unit 51 acquires authentication key data from the received Ethernet frame, and decrypts the acquired authentication key data to identify the type and authentication key.
  • KA is acquired (step S110).
  • the authentication control device 101 determines the reliability of the add-on device 111B (step S112).
  • the relay processing unit 51 outputs type information indicating the acquired type to the authentication control apparatus 101.
  • the acquisition unit 21 in the authentication control device 101 acquires predetermined identification information on an in-vehicle apparatus to be newly added to the in-vehicle network 12.
  • the acquiring unit 21 when receiving the type information from the relay processing unit 51, the acquiring unit 21 outputs the received type information to the determining unit 22.
  • the determination unit 22 determines which of a plurality of types of authentication procedures are to be applied as the authentication process for the add-on device 111B.
  • the determination unit 22 determines the reliability of the in-vehicle device based on the identification information acquired by the acquisition unit 21, for example.
  • the determination unit 22 determines the reliability of the add-on device 111B based on the received type information.
  • the determination unit 22 determines that the reliability of the add-on device 111B is high.
  • the determination unit 22 determines that the reliability of the add-on device 111B is medium.
  • the determination unit 22 determines that the reliability of the add-on device 111B is low.
  • the authentication control apparatus 101 determines an authentication procedure (step S114). Specifically, the determination unit 22 determines, for example, an authentication procedure corresponding to the determined reliability from among a plurality of types of authentication procedures.
  • the plurality of types of authentication procedures include, for example, a plurality of authentication procedures in which the number of authentication devices performing authentication processing on the add-on device 111B is different, and the authentication devices performing authentication processing on the extension device 111B are different.
  • the multiple types of authentication procedures include, for example, multiple authentication procedures with different security levels.
  • the authentication device includes, for example, a relay device 151A that relays data in the in-vehicle network 12.
  • the determination unit 22 determines an authentication procedure corresponding to the determined reliability from among the authentication procedures PH, PM, and PL.
  • the authentication procedure PH is an authentication procedure including the authentication process PA of the add-on device 111B by the relay device 151A.
  • the authentication procedure PM is an authentication procedure including an authentication process PA and an authentication process PB of the add-on device 111B by the communication partner device 111C.
  • the authentication procedure PL is an authentication procedure including an authentication process PA, an authentication process PB, and an authentication process PC of the add-on device 111B by the relay device 151B.
  • the authentication key used in each authentication process differs, for example, for each authentication device. Specifically, in authentication processes PA, PB, PC, mutually different authentication keys KA, KB, KC are used.
  • the lengths of the authentication keys KA, KB and KC become longer in this order. That is, in the authentication processes PA, PB, and PC, the security level becomes higher in this order.
  • the determination unit 22 determines an authentication procedure in which the number of authentication devices that perform authentication processing on the in-vehicle device is larger as the determined degree of reliability of the in-vehicle device is lower.
  • the determination unit 22 determines an authentication procedure PH. If the determination unit 22 determines that the reliability of the add-on device 111B is medium, the determination unit 22 determines the authentication procedure PM.
  • the determination unit 22 determines an authentication procedure PL.
  • the determination unit 22 outputs the determination information indicating the determination result to the relay processing unit 51.
  • FIG. 7 is a diagram showing an example of a sequence when authentication processing of the add-on device is performed in the in-vehicle communication system according to the embodiment of the present invention.
  • the relay processing unit 51 in the relay device 151A starts the authentication procedure PH according to the received determination information.
  • the relay processing unit 51 performs an authentication process PA (step S202). More specifically, the relay processing unit 51 authenticates the authentication key KA included in the authentication key information received from the add-on device 111B in accordance with a predetermined authentication method MA. Here, the relay processing unit 51 succeeds in the authentication of the authentication key KA.
  • the relay processing unit 51 registers, in the registration information, a communication path based on the MAC address of the add-on device 111B and the MAC address of the communication partner device 111C included in the communication request (step S204).
  • the relay processing unit 51 transmits, to the add-on device 111B, authentication completion information indicating that the authentication of the add-on device 111B is successful (step S206).
  • the relay processing unit 51 relays the communication request and transmits it to the communication opposite device 111C (step S208).
  • the relay processing unit 51 relays the Ethernet frame transmitted between the add-on device 111B and the communication counterpart device 111C, whereby communication is started between the add-on device 111B and the communication counterpart device 111C (step S210).
  • the relay processing unit 51 uses the communication path based on the MAC address of the add-on device 111B and the MAC address of the communication partner device 111C included in the communication request as registration information. Do not register.
  • the relay processing unit 51 does not relay the Ethernet frame transmitted between the add-on device 111B that is likely to be an illegal on-vehicle device and the communication partner device 111C, DoS attack and eavesdropping by the add-on device 111B Etc can be prevented.
  • FIG. 8 is a diagram showing an example of a sequence when authentication processing of the add-on device is performed in the in-vehicle communication system according to the embodiment of the present invention.
  • the relay processing unit 51 in the relay device 151A starts the authentication procedure PM according to the received determination information.
  • the relay processing unit 51 performs an authentication process PA (step S302). More specifically, the relay processing unit 51 authenticates the authentication key KA included in the communication request received from the add-on device 111B according to the predetermined authentication method MA (step S302). Here, the relay processing unit 51 succeeds in the authentication of the authentication key KA.
  • relay processing unit 51 instructs relay device 151A to start communication processing device 111C, which is the communication partner of expansion device 111B, for example, when authentication processing PA of relay device 151A is successful. Do.
  • the relay processing unit 51 transmits an Ethernet frame including a request for authenticating the add-on device 111B as an authentication request to the communication partner device 111C via the communication port 52C (step S304).
  • the communication partner apparatus 111C transmits an authentication key request addressed to the add-on apparatus 111B to the relay apparatus 151A according to the received authentication request (step S306).
  • the relay processing unit 51 in the relay device 151A relays the received authentication key request and transmits it to the expansion device 111B (step S308).
  • the add-on device 111B transmits an Ethernet frame including the encrypted authentication key KB as authentication key information to the relay device 151A according to the received authentication key request (step S310).
  • the destination of this authentication key information is the communication partner device 111C.
  • the relay processing unit 51 in the relay device 151A relays the received authentication key information and transmits it to the communication partner device 111C (step S312).
  • the communication partner device 111C performs an authentication process PB (step S302). More specifically, when receiving the authentication key information from the relay device 151A, the communication partner device 111C decrypts and authenticates the authentication key KB included in the received authentication key information according to a predetermined authentication scheme MB (step S314). .
  • the communication partner apparatus 111C succeeds in the authentication of the authentication key KB.
  • the communication partner device 111C transmits, to the relay device 151A, authentication completion information indicating that the authentication of the add-on device 111B has succeeded (step S316).
  • the relay processing unit 51 in the relay device 151A recognizes that the communication partner device 111C has succeeded in authenticating the add-on device 111B based on the received authentication completion information. Perform the following processing.
  • the relay processing unit 51 registers, in the registration information, a communication path based on the MAC address of the add-on device 111B and the MAC address of the communication partner device 111C included in the communication request (step S318).
  • the relay processing unit 51 transmits, to the add-on device 111B, authentication completion information indicating that the relay device 151A and the communication partner device 111C have succeeded in authenticating the add-on device 111B (step S320).
  • the relay processing unit 51 relays the communication request and transmits it to the communication partner apparatus 111C (step S322).
  • the relay processing unit 51 relays the Ethernet frame transmitted between the add-on device 111B and the communication counterpart device 111C, whereby communication is started between the add-on device 111B and the communication counterpart device 111C (step S324).
  • the relay processing unit 51 determines the MAC address of the add-on device 111B included in the communication request and The communication path based on the MAC address of the communication partner apparatus 111C is not registered in the registration information.
  • step S302 and the steps S304 to S316 is not limited to the above, and the order may be reversed.
  • FIG. 9 is a diagram showing an example of a sequence when authentication processing of the add-on device is performed in the on-vehicle communication system according to the embodiment of the present invention.
  • determination unit 22 in authentication control apparatus 101 determines authentication procedure PL.
  • steps S402 to S416 are similar to the operations of steps S302 to S316 shown in FIG.
  • the relay processing unit 51 in the relay device 151A recognizes that the communication partner device 111C has succeeded in authenticating the add-on device 111B based on the received authentication completion information. Perform the following processing.
  • the relay processing unit 51 instructs another relay device, in this case, the relay device 151B to start the authentication processing PC.
  • the relay processing unit 51 transmits an Ethernet frame including a request for authenticating the add-on device 111B as an authentication request to the relay device 151B via the communication port 52A (step S418).
  • the relay device 151B transmits, to the relay device 151A, an authentication key request with the add-on device 111B as a destination according to the received authentication request (step S420).
  • the relay processing unit 51 in the relay device 151A receives the authentication key request from the relay device 151B, the relay processing unit 51 relays the received authentication key request and transmits it to the expansion device 111B (step S422).
  • the add-on device 111B transmits an Ethernet frame including the encrypted authentication key KC as authentication key information to the relay device 151A according to the received authentication key request (step S424).
  • the destination of this authentication key information is the relay apparatus 151B.
  • the relay processing unit 51 in the relay device 151A relays the received authentication key information and transmits it to the relay device 151B (step S426).
  • the relay device 151B performs an authentication process PC (step S428). More specifically, when receiving the authentication key information from the relay device 151A, the relay device 151B decrypts and authenticates the authentication key KC included in the received authentication key information in accordance with a predetermined authentication method MC. Here, the relay device 151B succeeds in the authentication of the authentication key KC.
  • the relay device 151B transmits, to the relay device 151A, authentication completion information indicating that the authentication of the add-on device 111B has succeeded (step S430).
  • the relay processing unit 51 in the relay device 151A recognizes that the relay device 151B has succeeded in authenticating the add-on device 111B based on the received authentication completion information, and Perform the processing of
  • the relay processing unit 51 registers, in the registration information, a communication path based on the MAC address of the add-on device 111B and the MAC address of the communication partner device 111C included in the communication request (step S432).
  • the relay processing unit 51 transmits, to the add-on device 111B, authentication completion information indicating that the relay device 151A, the communication partner device 111C, and the relay device 151B have succeeded in authenticating the add-on device 111B (step S434).
  • the relay processing unit 51 relays the communication request and transmits it to the communication partner apparatus 111C (step S436).
  • the relay processing unit 51 relays the Ethernet frame transmitted between the add-on device 111B and the communication counterpart device 111C, whereby communication is started between the add-on device 111B and the communication counterpart device 111C (step S438).
  • the relay processing unit 51 performs communication when at least one of the authentication of the authentication key KA at step S402, the authentication of the authentication key KB at step S414, and the authentication of the authentication key KC at step S428 fails.
  • a communication path based on the MAC address of the add-on device 111B and the MAC address of the communication partner device 111C included in the request is not registered in the registration information.
  • step S402 the steps S404 to S416, and the steps S418 to S430 is not limited to the above, and the order of part or all may be changed.
  • FIG. 10 is a diagram showing an example of an authentication history table held by the determination unit in the authentication control device according to the embodiment of the present invention.
  • the authentication history table includes the correspondence between the ID of the added in-vehicle apparatus, the reliability determined for the in-vehicle apparatus, and the authentication result for the in-vehicle apparatus.
  • the ID of the in-vehicle apparatus is the MAC address of the in-vehicle apparatus.
  • the ID of the in-vehicle apparatus may be, for example, a serial number of the in-vehicle apparatus.
  • FIG. 11 is a diagram showing an example of a sequence when the add-on device is connected to the in-vehicle network in the in-vehicle communication system according to the embodiment of the present invention.
  • expansion device 111B is connected to an expansion port in relay device 151A.
  • steps S502 to S510 are the same as the operations of steps S102 to S110 shown in FIG.
  • the authentication control device 101 determines the reliability of the add-on device 111B (step S512).
  • the relay processing unit 51 outputs, to the authentication control apparatus 101, type information indicating the acquired type and a transmission source MAC address included in the communication request, that is, the MAC address of the add-on device 111B.
  • the acquisition unit 21 in the authentication control apparatus 101 When receiving the type information and the transmission source MAC address from the relay processing unit 51, the acquisition unit 21 in the authentication control apparatus 101 outputs the received type information and the transmission source MAC address to the determination unit 22.
  • the determination unit 22 determines the reliability of the add-on device 111B based on the received type information.
  • the determination unit 22 determines that the reliability of the add-on device 111B is medium.
  • the determination unit 22 checks whether the MAC address of the add-on device 111B is registered in the authentication history table (see FIG. 10) (step S514).
  • the determination unit 22 confirms that the MAC address of the add-on device 111B is not registered in the authentication history table.
  • the determination unit 22 determines an authentication procedure (step S516). Specifically, the determination unit 22 determines an authentication procedure to be newly applied based on, for example, the identification information acquired by the acquisition unit 21 and the authentication procedure applied to the in-vehicle apparatus in the past.
  • the determination unit 22 determines an authentication procedure PM according to the determined reliability from among the authentication procedures PH, PM, and PL, The determination information indicating the determination result is output to the relay processing unit 51.
  • the determination unit 22 monitors the authentication procedure PM (see FIG. 8) performed by the relay processing unit 51 (step S518).
  • step S302 the authentication process PA (step S302) and the authentication process PB (step S314) shown in FIG. 8 are successful, and the add-on device 111B starts communication with the communication partner device 111C via the relay device 151A (step S324). ).
  • the determination unit 22 registers the monitoring result of the authentication procedure PM in the authentication history table (step S520).
  • FIG. 12 is a diagram showing an example of an authentication history table held by the determination unit in the authentication control device according to the embodiment of the present invention.
  • the determination unit 22 confirms that the authentication processes PA and PB have succeeded, and sets “the add-on device 111 B” as “MAC address”, “reliability” and “authentication result” in the authentication history table. Register “MAC address”, “Medium” and “Success”.
  • step S522 the connection between expansion device 111B and relay device 151A is disconnected.
  • the communication path based on the MAC address of the add-on device 111B and the MAC address of the communication partner device 111C is deleted from the registration information.
  • step S524 the add-on device 111B is connected again to the add-on port of the relay device 151A (step S524).
  • steps S526 to S536 are the same as the operations of steps S502 to S512.
  • the determination unit 22 checks whether the MAC address of the add-on device 111B is registered in the authentication history table (see FIG. 12) (step S538).
  • the determination unit 22 confirms that the MAC address of the add-on device 111B is registered in the authentication history table.
  • the determination unit 22 determines an authentication procedure (step S540).
  • the determination unit 22 determines that the reliability is medium (step S536). Since the MAC address of the add-on device 111B is registered in the authentication history table, for example, the reliability is promoted from middle to high.
  • the determination unit 22 determines an authentication procedure PH according to the promoted reliability from among the authentication procedures PH, PM, and PL, and outputs determination information indicating the determination result to the relay processing unit 51.
  • the determination unit 22 registers “success” in the authentication of the expansion device 111B in the authentication history table in step S520, but registers “failure” in the authentication history table when authentication of the expansion device 111B fails. .
  • the determination unit 22 determines the reliability instead of promoting the reliability from middle to high. May be maintained in or demoted to low.
  • the determination part 22 in the authentication control apparatus 101 is a structure which determines an authentication procedure based on the classification which is an example of identification information, it does not limit to this.
  • the identification information may be, for example, information that can uniquely identify the in-vehicle device.
  • the determination unit 22 determines an authentication procedure based on the MAC address of the in-vehicle apparatus.
  • FIG. 13 is a diagram showing an example of a sequence when the add-on device is connected to the in-vehicle network in the in-vehicle communication system according to the embodiment of the present invention.
  • expansion device 111B is connected to the expansion port.
  • the add-on device 111B transmits an Ethernet frame including its own MAC address and the MAC address of the communication partner device 111C as a transmission source MAC address and transmission destination MAC address as a communication request to the relay device 151A (step S602). ).
  • the relay processing unit 51 in the relay device 151A receives the Ethernet frame from the expansion device 111B via the expansion port, the relay processing unit 51 acquires and acquires the transmission source MAC address and the transmission destination MAC address included in the received Ethernet frame. It is checked whether a communication path based on the transmission source MAC address and the transmission destination MAC address is registered in the registration information (step S604).
  • the relay processing unit 51 confirms that the communication path is not registered in the registration information, and outputs MAC address information indicating the acquired source MAC address, that is, the MAC address of the add-on device 111B to the authentication control device 101. Do.
  • the determination unit 22 in the authentication control apparatus 101 receives MAC address information from the relay processing unit 51 via the acquisition unit 21, the MAC in order to inquire the reliability corresponding to the MAC address indicated by the received MAC address information.
  • the address information is transmitted to the server 181 via the relay processing unit 51 (step S606).
  • the server 181 determines the reliability of the add-on device 111B based on the received MAC address information (step S608).
  • FIG. 14 is a diagram showing an example of the reliability table held by the server in the communication system according to the embodiment of the present invention.
  • the reliability table includes the correspondence between the MAC address of the in-vehicle apparatus and the reliability of the in-vehicle apparatus. This correspondence is registered, for example, by the manufacturer of the vehicle 1.
  • the server 181 acquires the reliability corresponding to the MAC address of the add-on device 111B indicated by the received MAC address information, in this case, from the reliability table.
  • the reliability information indicating the acquired reliability is transmitted to the relay apparatus 151A (step S610).
  • the relay processing unit 51 in the relay device 151A when receiving the reliability information from the server 181, the relay processing unit 51 in the relay device 151A outputs the received reliability information to the authentication control apparatus 101.
  • the determination unit 22 in the authentication control apparatus 101 receives the reliability information from the relay processing unit 51 via the acquisition unit 21, the determination unit 22 responds to the reliability indicated by the received reliability information from among the authentication procedures PH, PM, and PL.
  • the authentication procedure PM is determined, and determination information indicating the determination result is output to the relay processing unit 51 (step S612).
  • the relay processing unit 51 when receiving the determination information from the authentication control device 101, the relay processing unit 51 starts an authentication procedure PM according to the received determination information.
  • the relay processing unit 51 transmits an authentication key request to the add-on device 111B (step S614).
  • the add-on device 111B transmits an Ethernet frame including the encrypted authentication key KA as authentication key information to the relay device 151A according to the received authentication key request (step S616). ).
  • the add-on device 111B the relay device 151A, and the communication partner device 111C, for example, the operation of the flow illustrated in FIG. 8 is performed.
  • steps S606 to S612 and steps S614 to S616 is not limited to the above, and the order may be interchanged.
  • the identification information is a MAC address
  • the identification information may be a serial number of the in-vehicle device.
  • the server 181 holds, for example, a reliability table including the correspondence between the serial number of the in-vehicle apparatus and the reliability of the in-vehicle apparatus.
  • the relay device 151A acquires the serial number of the add-on device 111B from the add-on device 111B, and transmits serial number information indicating the acquired serial number to the server 181.
  • the server 181 receives the serial number information from the relay apparatus 151A, the server 181 determines the reliability of the in-vehicle apparatus based on the received serial number information and the reliability table.
  • the determination part 22 in the authentication control apparatus 101 is a structure which determines an authentication procedure based on the classification which is an example of identification information, it does not limit to this.
  • the identification information may indicate, for example, the part number of the in-vehicle device.
  • the determination unit 22 determines an authentication procedure based on the part number of the in-vehicle apparatus.
  • FIG. 15 is a diagram showing an example of a sequence when the add-on device is connected to the in-vehicle network in the in-vehicle communication system according to the embodiment of the present invention.
  • expansion device 111B is connected to the expansion port.
  • the add-on device 111B transmits, as a communication request, an Ethernet frame including its own MAC address and the MAC address of the communication partner device 111C as a transmission source MAC address and transmission destination MAC address, for example (step S702). ).
  • the relay processing unit 51 in the relay device 151A receives the Ethernet frame from the expansion device 111B via the expansion port, the relay processing unit 51 acquires and acquires the transmission source MAC address and the transmission destination MAC address included in the received Ethernet frame. It is checked whether a communication path based on the transmission source MAC address and the transmission destination MAC address is registered in the registration information (step S704).
  • the relay processing unit 51 confirms that the communication path is not registered in the registration information.
  • the relay processing unit 51 transmits an Ethernet frame including a request for the part number of the add-on device 111B as a part number request to the add-on device 111B (step S706).
  • the add-on device 111B receives the part number request from the relay device 151A, it transmits an Ethernet frame including part number information indicating its own part number to the relay device 151A according to the received part number request (step S708).
  • the relay processing unit 51 in the relay device 151 A acquires part number information from the received Ethernet frame, and outputs the acquired part number information to the authentication control device 101.
  • the determination processing unit 51 relays the product number information to inquire the reliability corresponding to the product number indicated by the received product number information. It transmits to the server 181 via (step S710).
  • the server 181 determines the reliability of the add-on device 111B based on the received product number information (step S712).
  • FIG. 16 is a diagram showing an example of the reliability table held by the server in the communication system according to the embodiment of the present invention.
  • the reliability table includes the correspondence between the part number of the in-vehicle apparatus and the reliability of the in-vehicle apparatus. This correspondence is registered, for example, by the manufacturer of the vehicle 1.
  • the server 181 acquires the reliability corresponding to the part number of the expansion device 111B indicated by the received part number information, in this case from the reliability table
  • the reliability information indicating the calculated reliability is transmitted to the relay apparatus 151A (step S714).
  • steps S716 to S720 are the same as the operations of steps S612 to S616 shown in FIG.
  • steps S706 to S716 and steps S718 to S720 is not limited to the above, and the order may be interchanged.
  • the identification information indicates the part number of the in-vehicle apparatus
  • the identification information may indicate the model number of the in-vehicle apparatus
  • the identification information may indicate the part number and model number of the in-vehicle apparatus.
  • the server 181 holds, for example, a reliability table including at least the correspondence between the model number of the in-vehicle apparatus and the reliability of the in-vehicle apparatus.
  • the relay device 151A acquires the model number of the expansion device 111B from the expansion device 111B (step S708), and transmits the model number information indicating the acquired model number to the server 181 (step S710).
  • the server 181 receives the model number information from the relay apparatus 151A, the server 181 determines the reliability of the in-vehicle apparatus based on the received model number information and the reliability table (step S712).
  • Authentication control device 101 may be configured to be provided in an external device of relay device 151 such as on-vehicle ECU 111 and server 181.
  • the acquisition unit 21 acquires one piece of identification information
  • the determination unit 22 performs an authentication process based on the one piece of identification information acquired by the acquisition unit 21.
  • the acquisition unit 21 may acquire a plurality of pieces of identification information
  • the determination unit 22 may perform the determination process based on the plurality of pieces of identification information acquired by the acquisition unit 21.
  • the determining unit 22 determines the reliability of the in-vehicle apparatus based on the identification information, and determines the authentication procedure according to the determined reliability.
  • the determination unit 22 holds the correspondence between the identification information and the authentication procedure, and may be configured to determine the authentication procedure corresponding to the identification information based on the correspondence.
  • a plurality of types of authentication procedures are the number of authentication devices performing authentication processing PA, PB, and PC on the in-vehicle device.
  • the configuration includes a plurality of different authentication procedures, the present invention is not limited to this.
  • the plurality of types of authentication procedures may include a plurality of authentication procedures having the same number of authentication devices performing authentication processing on the in-vehicle device.
  • the authentication devices performing authentication processing PA, PB, PC for the in-vehicle device are different in authentication procedures of a plurality of types, specifically, authentication procedures PH, PM, PL.
  • the configuration includes a plurality of authentication procedures, it is not limited to this.
  • the plurality of types of authentication procedures may include the same plurality of authentication procedures in which the authentication device that performs the authentication process on the in-vehicle device.
  • the authentication keys KA, KB, KC used in the authentication processes PA, PB, PC have different configurations for each authentication apparatus. It is not limited.
  • the authentication keys KA, KB, KC used in the authentication processes PA, PB, PC may be partially or entirely the same.
  • the relay device 151A authenticates the add-on device 111B in the authentication procedure PH shown in FIG. 7, but the present invention is not limited to this.
  • the communication partner device 111C may be configured to authenticate the add-on device 111B.
  • the relay device 151A in the authentication procedure PM shown in FIG. 8, when the relay device 151A succeeds in its own authentication process PA for the add-on device 111B, the relay device 151A communicates with the communication partner of the add-on device 111B. In this configuration, the communication partner apparatus 111C is instructed to start the authentication process PB.
  • the relay device 151A may be configured to instruct the relay device 151B to start the authentication process PC when the authentication process PA of its own to the add-on device 111B is successful.
  • the lengths of the authentication keys KA, KB, KC used in the authentication processing PA, PB, PC, respectively, are longer in this order. It is not limited to The lengths of the authentication keys KA, KB, KC may be partially or entirely the same.
  • the authentication methods MA, MB, MC used in the authentication processes PA, PB, PC, respectively are configured to have security levels becoming higher in this order, It is not limited to The security levels of the authentication schemes MA, MB and MC may be partially or entirely the same.
  • the determination unit 22 is configured to determine the authentication procedure in which the number of authentication devices performing authentication processing on the in-vehicle device increases as the determined reliability decreases. However, it is not limited to this.
  • the determination unit 22 may be configured to determine an authentication procedure in which the number of authentication devices that perform the authentication process on the in-vehicle device is smaller as the determined reliability is smaller.
  • an in-vehicle control device that performs communication that does not conform to the communication protocol, for example, DoS attack and wiretapping is detected as an unauthorized in-vehicle control device.
  • the onboard control device can perform DoS attack and wiretapping until it is detected as an unauthorized onboard control device.
  • Patent Document 1 In order to prevent such DoS attacks and eavesdropping, a configuration in which an unauthorized in-vehicle control device is not allowed to participate in the in-vehicle network system is preferable, but such a configuration is not disclosed in Patent Document 1.
  • the acquisition unit 21 acquires predetermined identification information on the in-vehicle apparatus to be newly added to the in-vehicle network 12. Then, based on the identification information acquired by the acquisition unit 21, the determination unit 22 determines which of a plurality of types of authentication procedures to apply as the authentication process for the in-vehicle apparatus.
  • the determination unit 22 determines the reliability of the in-vehicle apparatus based on the identification information acquired by the acquisition unit 21 and performs an authentication procedure according to the determined reliability. Decide.
  • a strict authentication procedure can be applied to an on-vehicle apparatus determined to have low reliability, so that detection accuracy of an unauthorized on-vehicle apparatus can be improved.
  • a simple authentication procedure can be applied to the on-vehicle apparatus determined to have high reliability, so that the load of the authentication process can be reduced.
  • the identification information is information capable of identifying a place where the mounting operation of the in-vehicle device is performed.
  • the degree of involvement of the vehicle manufacturer in the in-vehicle apparatus varies depending on the place where the in-vehicle apparatus is attached, such as a manufacturing plant, a dealer, and other places. According to the above configuration, it is possible to appropriately evaluate the reliability, legitimacy, and the like of the in-vehicle apparatus based on the degree of involvement according to the place where the in-vehicle apparatus is attached.
  • the identification information indicates at least one of the part number and the model number of the in-vehicle device.
  • the identification information is information that can uniquely identify the in-vehicle device.
  • the server 181 that holds the correspondence between the information that can uniquely identify the in-vehicle device and the manufacturer of the in-vehicle device, the time of manufacture, the specifications, etc. Since specifications and the like can be obtained, appropriate evaluations such as the reliability and legitimacy of the on-vehicle apparatus can be performed.
  • the determination unit 22 determines an authentication procedure to be newly applied based on the authentication procedure applied to the in-vehicle apparatus in the past.
  • a simple authentication procedure can be newly applied to an on-vehicle apparatus having a good authentication result according to an authentication procedure applied in the past, and to an on-vehicle apparatus having a poor authentication result.
  • strict authentication procedures can be newly applied. That is, since the authentication procedure according to the authentication result can be applied, the authentication process can be performed efficiently.
  • the authentication control device 101 is included in the relay device 151A that relays data in the in-vehicle network 12.
  • the identification information is included in the authentication key data used in the authentication process with the relay device 151A.
  • the configuration in which the identification information is included in the authentication key data makes it difficult to falsify the identification information for the purpose of determining a simpler authentication procedure. Can be prevented from impersonating an in-vehicle device.
  • the plurality of types of authentication procedures include a plurality of authentication procedures in which the number of authentication devices performing authentication processing on the in-vehicle device is different.
  • the number of authentication devices can be made different depending on the reliability and legitimacy of the in-vehicle device, so that the strictness of the authentication procedure can be appropriately adjusted.
  • the plurality of types of authentication procedures include a plurality of authentication procedures in which the authentication devices that perform the authentication process on the in-vehicle device are different.
  • the authentication device can be made different depending on the reliability and legitimacy of the in-vehicle device, so that the severity of the authentication procedure can be appropriately adjusted.
  • the authentication key used in the authentication process differs for each authentication device.
  • the authentication process can be complicated by making the authentication key different for each authentication device, it is possible to make it difficult for the authentication process to be unfairly breached. That is, security in the in-vehicle network 12 can be improved.
  • the authentication device includes the relay device 151A that relays data in the in-vehicle network 12.
  • the authentication device includes the relay device 151A that is the key of data transmission in the in-vehicle network 12, for example, when the authenticated in-vehicle device is incorrect, data transmission by the unauthorized communication of the in-vehicle device is performed. It can be stopped more reliably.
  • the relay device 151A when the relay device 151A succeeds in its own authentication processing for the in-vehicle device, the relay device 151A starts the authentication processing for the other in-vehicle device which is the communication partner of the in-vehicle device. To direct.
  • the authentication processing by the relay device 151A is successful, the authentication processing is performed between the in-vehicle devices to be communicated in the in-vehicle network 12, thereby more correctly determining the legitimacy of the newly added in-vehicle device can do.
  • the relay device 151A instructs the relay device 151B to start the authentication processing.
  • the legitimacy of the in-vehicle device is more correctly determined by the configuration in which the newly added in-vehicle device performs the authentication processing with the relay device 151B. Can.
  • the plurality of types of authentication procedures include a plurality of authentication procedures having different security levels.
  • the security level can be made different depending on the reliability and legitimacy of the in-vehicle apparatus, so that the strictness of the authentication procedure can be appropriately adjusted.
  • the determination unit 22 determines the reliability of the in-vehicle apparatus based on the identification information acquired by the acquisition unit 21.
  • the number of authentication devices that perform the authentication process on the devices determines a large number of authentication procedures.
  • a determination unit configured to determine which one of a plurality of types of authentication procedures is to be applied as the authentication process for the in-vehicle device based on the identification information acquired by the acquisition unit;
  • the in-vehicle device is a TCU (Telematics Communication Unit), an autonomous control ECU (Electronic Control Unit), a sensor, a navigation device, a human machine interface, and a camera,
  • the authentication control device is included in a relay device or server that relays data in the in-vehicle network.
  • the authentication control device wherein the identification information is a type included in an authentication key used in the authentication process with the relay device, a MAC (Media Access Control) address of the in-vehicle device, a serial number, a product number or a model number.
  • MAC Media Access Control

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Power Engineering (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Small-Scale Networks (AREA)

Abstract

認証制御装置は、車載ネットワークに新たに追加される車載装置に関する所定の識別情報を取得する取得部と、前記取得部によって取得された前記識別情報に基づいて、前記車載装置に対する認証処理として、複数種類の認証手順のうちのいずれを適用するかを決定する決定部とを備える。

Description

認証制御装置、認証制御方法および認証制御プログラム
　本発明は、認証制御装置、認証制御方法および認証制御プログラムに関する。
　この出願は、２０１７年７月１０日に出願された日本出願特願２０１７－１３４２７２号を基礎とする優先権を主張し、その開示のすべてをここに取り込む。
　特許文献１（特開２０１３－１６８８６５号公報）には、以下のような車載ネットワークシステムが開示されている。すなわち、車載ネットワークシステムは、車載ネットワーク上で用いられる通信規約のうち前記車載ネットワーク上における実装に依拠する部分を定義する定義データを格納するメモリを備えた車載制御装置と、前記車載制御装置に対して前記定義データを発行する通信規約発行装置とを備える。前記通信規約発行装置は、前記車載制御装置を前記車載ネットワークに参加させる登録装置から、前記車載制御装置を前記車載ネットワークに参加させるよう要求する登録要求を受け取ると、前記登録装置に対する認証を実施した上で、前記車載ネットワークに上における実装に準拠した前記定義データを作成して前記登録装置に返信する。前記登録装置は、前記通信規約発行装置が送信した前記定義データを受け取り、受け取った前記定義データを前記メモリ上に格納するよう前記車載制御装置に対して要求する。そして、前記車載制御装置は、前記登録装置から定義データを受け取って前記メモリ上に格納し、前記定義データが定義する前記部分にしたがって、前記通信規約に準拠して前記車載ネットワークを用いて通信する。
特開２０１３－１６８８６５号公報
　（１）本開示の認証制御装置は、車載ネットワークに新たに追加される車載装置に関する所定の識別情報を取得する取得部と、前記取得部によって取得された前記識別情報に基づいて、前記車載装置に対する認証処理として、複数種類の認証手順のうちのいずれを適用するかを決定する決定部とを備える。
　（１７）本開示の認証制御方法は、認証制御装置における認証制御方法であって、車載ネットワークに新たに追加される車載装置に関する所定の識別情報を取得するステップと、取得した前記識別情報に基づいて、前記車載装置に対する認証処理として、複数種類の認証手順のうちのいずれを適用するかを決定するステップとを含む。
　（１８）本開示の認証制御プログラムは、認証制御装置において用いられる認証制御プログラムであって、コンピュータを、車載ネットワークに新たに追加される車載装置に関する所定の識別情報を取得する取得部と、前記取得部によって取得された前記識別情報に基づいて、前記車載装置に対する認証処理として、複数種類の認証手順のうちのいずれを適用するかを決定する決定部、として機能させるためのプログラムである。
　本開示の一態様は、このような特徴的な処理部を備える認証制御装置として実現され得るだけでなく、認証制御装置を備える車載通信システムとして実現され得る。また、本開示の一態様は、認証制御装置の一部または全部を実現する半導体集積回路として実現され得る。
図１は、本発明の実施の形態に係る通信システムの構成を示す図である。 図２は、本発明の実施の形態に係る車載通信システムの構成を示す図である。 図３は、本発明の実施の形態に係る車載通信システムにおける中継装置の構成を示す図である。 図４は、本発明の実施の形態に係る車載通信システムにおける認証制御装置の構成を示す図である。 図５は、本発明の実施の形態に係る車載通信システムにおいて、増設装置が車載ネットワークに接続された際のシーケンスの一例を示す図である。 図６は、本発明の実施の形態に係る車載通信システムにおける増設装置が送信する認証鍵のデータの一例を示す図である。 図７は、本発明の実施の形態に係る車載通信システムにおいて、増設装置の認証処理が行われる際のシーケンスの一例を示す図である。 図８は、本発明の実施の形態に係る車載通信システムにおいて、増設装置の認証処理が行われる際のシーケンスの一例を示す図である。 図９は、本発明の実施の形態に係る車載通信システムにおいて、増設装置の認証処理が行われる際のシーケンスの一例を示す図である。 図１０は、本発明の実施の形態に係る認証制御装置における決定部が保持する認証履歴テーブルの一例を示す図である。 図１１は、本発明の実施の形態に係る車載通信システムにおいて、増設装置が車載ネットワークに接続された際のシーケンスの一例を示す図である。 図１２は、本発明の実施の形態に係る認証制御装置における決定部が保持する認証履歴テーブルの一例を示す図である。 図１３は、本発明の実施の形態に係る車載通信システムにおいて、増設装置が車載ネットワークに接続された際のシーケンスの一例を示す図である。 図１４は、本発明の実施の形態に係る通信システムにおけるサーバが保持する信頼度テーブルの一例を示す図である。 図１５は、本発明の実施の形態に係る車載通信システムにおいて、増設装置が車載ネットワークに接続された際のシーケンスの一例を示す図である。 図１６は、本発明の実施の形態に係る通信システムにおけるサーバが保持する信頼度テーブルの一例を示す図である。
　従来、車載ネットワークにおけるセキュリティを向上させるための車載ネットワークシステムが開発されている。
　［本開示が解決しようとする課題］
　特許文献１に記載の車載ネットワークシステムでは、通信規約に準拠しない通信、たとえばＤｏＳ（Ｄｅｎｉａｌ　ｏｆ　Ｓｅｒｖｉｃｅ）攻撃および盗聴等を行う車載制御装置は、不正な車載制御装置として検知される。
　このため、上記車載制御装置は、不正な車載制御装置として検知されるまでＤｏＳ攻撃および盗聴を行うことが可能である。
　このようなＤｏＳ攻撃および盗聴等を行わせないために、不正な車載制御装置を車載ネットワークシステムに参加させない構成が好ましいが、特許文献１にはこのような構成は開示されていない。
　本開示は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおいて、良好な通信を提供することが可能な認証制御装置、認証制御方法および認証制御プログラムを提供することである。
　［本開示の効果］
　本開示によれば、車載ネットワークにおいて、良好な通信を提供することができる。
　［本願発明の実施形態の説明］
　最初に、本発明の実施形態の内容を列記して説明する。
　（１）本発明の実施の形態に係る認証制御装置は、車載ネットワークに新たに追加される車載装置に関する所定の識別情報を取得する取得部と、前記取得部によって取得された前記識別情報に基づいて、前記車載装置に対する認証処理として、複数種類の認証手順のうちのいずれを適用するかを決定する決定部とを備える。
　このように、識別情報に基づいて、複数種類の認証手順のうちのいずれを適用するかを決定する構成により、たとえば、新たに追加される車載装置に応じた認証を行うことができるので、車載装置が正当であるか否かをより正しく判断することができる。これにより、ＤｏＳ攻撃および盗聴等の不正な通信を行う前に不正な車載装置を検知することができるので、車載ネットワークにおいて不正な通信が発生することを防ぐことができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。
　（２）好ましくは、前記決定部は、前記取得部によって取得された前記識別情報に基づいて前記車載装置の信頼度を判定し、判定した前記信頼度に応じた前記認証手順を決定する。
　このような構成により、信頼度が低いと判定した車載装置に対しては、たとえば厳重な認証手順を適用することができるので、不正な車載装置の検知精度を向上させることができる。また、信頼度が高いと判定した車載装置に対しては、たとえば、簡素な認証手順を適用することができるので、認証処理の負荷を軽減することができる。
　（３）好ましくは、前記識別情報は、前記車載装置の取り付け作業が行われる場所を識別可能な情報である。
　たとえば、製造工場、ディーラおよびその他の場所等のように、車載装置の取り付け作業が行われる場所に応じて、車両メーカーの当該車載装置に対する関与度が異なる。上記の構成により、車載装置の取り付け作業が行われた場所に応じた関与度に基づいて、当該車載装置の信頼度および正当性等の適切な評価を行うことができる。
　（４）好ましくは、前記識別情報は、前記車載装置の品番および型番の少なくともいずれか一方を示す。
　このような構成により、車載装置の品番および型番の少なくともいずれか一方に基づいて、たとえば当該車載装置の製造元、製造時期および仕様等を認識することができるので、車載装置の信頼度および正当性等の適切な評価を行うことができる。
　（５）好ましくは、前記識別情報は、前記車載装置を一意に識別可能な情報である。
　このような構成により、たとえば、車載装置を一意に識別可能な情報と当該車載装置の製造元、製造時期および仕様等との対応関係を保持するサーバから、識別情報に対応する製造元、製造時期および仕様等を取得することができるので、当該車載装置の信頼度および正当性等の適切な評価を行うことができる。
　（６）好ましくは、前記決定部は、前記車載装置に対して過去に適用された前記認証手順にさらに基づいて、新たに適用する前記認証手順を決定する。
　このような構成により、たとえば、過去に適用した認証手順による認証結果が良好な車載装置には、簡素な認証手順を新たに適用することができ、また、上記認証結果が不良な車載装置には、厳重な認証手順を新たに適用することができる。すなわち、上記認証結果に応じた認証手順を適用することができるので、認証処理を効率よく行うことができる。
　（７）好ましくは、前記認証制御装置は、前記車載ネットワークにおけるデータを中継する中継装置に含まれる。
　このように、車載装置との通信をより確実に行うことが可能な中継装置に認証制御装置が含まれる構成により、認証手順の決定をより確実に行うことができる。
　（８）より好ましくは、前記識別情報は、前記中継装置との前記認証処理において使用される認証鍵に含まれる。
　このように、認証鍵に識別情報が含まれる構成により、より簡素な認証手順を決定させることを目的とする、識別情報の改ざんを困難にすることができるので、不正な車載装置が、正当な車載装置に成りすますことを防止することができる。
　（９）好ましくは、前記複数種類の認証手順は、前記車載装置に対する前記認証処理を行う認証装置の数が異なる複数の認証手順を含む。
　このような構成により、車載装置の信頼度および正当性等に応じて認証装置の数を異ならせることができるので、認証手順の厳重さを適切に調整することができる。
　（１０）好ましくは、前記複数種類の認証手順は、前記車載装置に対する前記認証処理を行う認証装置が異なる複数の認証手順を含む。
　このような構成により、車載装置の信頼度および正当性等に応じて認証装置を異ならせることができるので、認証手順の厳重さを適切に調整することができる。
　（１１）より好ましくは、前記認証処理において使用される認証鍵は、前記認証装置ごとに異なる。
　このように、認証鍵を認証装置ごとに異ならせる構成により、認証処理を複雑化することができるので、認証処理が不正に突破されることを困難にすることができる。すなわち、車載ネットワークにおけるセキュリティを向上させることができる。
　（１２）より好ましくは、前記認証装置には、前記車載ネットワークにおけるデータを中継する中継装置が含まれる。
　このように、認証装置には、車載ネットワークにおけるデータ伝送の要となる中継装置が含まれる構成により、たとえば、認証した車載装置が不正な場合において、当該車載装置の不正通信によるデータ伝送をより確実に停止させることができる。
　（１３）より好ましくは、前記中継装置は、前記車載装置に対する自己の前記認証処理が成功した場合、前記車載装置の通信相手となる他の車載装置に前記認証処理の開始を指示する。
　このように、中継装置による認証処理が成功した場合に、車載ネットワークにおいて通信を行う予定の車載装置間で認証処理を行う構成により、新たに追加された車載装置の正当性をより正しく判断することができる。
　（１４）より好ましくは、前記中継装置は、前記車載装置に対する自己の前記認証処理が成功した場合、他の前記中継装置に前記認証処理の開始を指示する。
　このように、中継装置による認証処理が成功した場合に、新たに追加された車載装置に対して他の中継装置と認証処理を行わせる構成により、当該車載装置の正当性をより正しく判断することができる。
　（１５）好ましくは、前記複数種類の認証手順は、セキュリティレベルの異なる複数の認証手順を含む。
　このような構成により、車載装置の信頼度および正当性等に応じてセキュリティレベルを異ならせることができるので、認証手順の厳重さを適切に調整することができる。
　（１６）好ましくは、前記決定部は、前記取得部によって取得された前記識別情報に基づいて前記車載装置の信頼度を判定し、判定した前記信頼度が小さいほど、前記車載装置に対する前記認証処理を行う認証装置の数が大きい前記認証手順を決定する。
　このように、信頼度の小さい車載装置すなわち不正である可能性が高い車載装置に対して、より多くの認証装置に認証させる構成により、新たに追加した車載装置が正当であるか否かをより正しく判断することができる。
　（１７）本発明の実施の形態に係る認証制御方法は、認証制御装置における認証制御方法であって、車載ネットワークに新たに追加される車載装置に関する所定の識別情報を取得するステップと、取得した前記識別情報に基づいて、前記車載装置に対する認証処理として、複数種類の認証手順のうちのいずれを適用するかを決定するステップとを含む。
　このように、識別情報に基づいて、複数種類の認証手順のうちのいずれを適用するかを決定する構成により、たとえば、新たに追加される車載装置に応じた認証を行うことができるので、車載装置が正当であるか否かをより正しく判断することができる。これにより、ＤｏＳ攻撃および盗聴等の不正な通信を行う前に不正な車載装置を検知することができるので、車載ネットワークにおいて不正な通信が発生することを防ぐことができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。
　（１８）本発明の実施の形態に係る認証制御プログラムは、認証制御装置において用いられる認証制御プログラムであって、コンピュータを、車載ネットワークに新たに追加される車載装置に関する所定の識別情報を取得する取得部と、前記取得部によって取得された前記識別情報に基づいて、前記車載装置に対する認証処理として、複数種類の認証手順のうちのいずれを適用するかを決定する決定部、として機能させるためのプログラムである。
　このように、識別情報に基づいて、複数種類の認証手順のうちのいずれを適用するかを決定する構成により、たとえば、新たに追加される車載装置に応じた認証を行うことができるので、車載装置が正当であるか否かをより正しく判断することができる。これにより、ＤｏＳ攻撃および盗聴等の不正な通信を行う前に不正な車載装置を検知することができるので、車載ネットワークにおいて不正な通信が発生することを防ぐことができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。
　以下、本発明の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。
　［構成および基本動作］
　図１は、本発明の実施の形態に係る通信システムの構成を示す図である。
　図１を参照して、通信システム２０１は、サーバ１８１と、車載通信システム３０１とを備える。車載通信システム３０１は、車両１に搭載される。
　図２は、本発明の実施の形態に係る車載通信システムの構成を示す図である。
　図２を参照して、車載通信システム３０１は、車載ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）１１１Ａ～１１１Ｆと、中継装置１５１Ａ，１５１Ｂとを備える。
　以下、車載ＥＣＵ１１１Ａ～１１１Ｆの各々を、車載ＥＣＵ１１１とも称する。また、中継装置１５１Ａ，１５１Ｂの各々を、中継装置１５１とも称する。車載ＥＣＵ１１１および中継装置１５１は、車載装置の一例である。
　なお、車載通信システム３０１は、６つの車載ＥＣＵ１１１を備える構成に限らず、５つ以下、または７つ以上の車載ＥＣＵ１１１を備える構成であってもよい。また、車載通信システム３０１は、２つの中継装置１５１を備える構成に限らず、１つ、または３つ以上の中継装置１５１を備える構成であってもよい。
　車載ＥＣＵ１１１Ａは、たとえばＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｕｎｉｔ）である。以下、車載ＥＣＵ１１１Ａを、ＴＣＵ１１１Ａとも称する。
　車載ＥＣＵ１１１Ｂ～１１１Ｆは、たとえば、自動運転ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）、センサ、ナビゲーション装置、ヒューマンマシンインタフェース、およびカメラ等である。
　車載ネットワーク１２では、車載ＥＣＵ１１１Ａ，１１１Ｃは、イーサネット（登録商標）ケーブルを介して中継装置１５１Ａに接続される。車載ＥＣＵ１１１Ｄ～１１１Ｆは、イーサネットケーブルを介して中継装置１５１Ｂに接続される。
　中継装置１５１Ａ，１５１Ｂは、たとえば、スイッチ装置であり、イーサネットケーブルを介して互いに接続される。なお、中継装置１５１Ａ，１５１Ｂは、ゲートウェイ装置であってもよい。
　たとえば、車載ＥＣＵ１１１Ｂは、初期状態では中継装置１５１Ａに接続されていない。車載ＥＣＵ１１１Ｂは、たとえば、車両１の製造工場、車両１のディーラ、および車両１のアフターパーツの販売店等のいずれかにおいて車両１に設置され、イーサネットケーブルを介して中継装置１５１Ａに接続される。
　この例では、中継装置１５１Ａに接続された場合における車載ＥＣＵ１１１Ｂの通信相手は、たとえば車載ＥＣＵ１１１Ｃである。
　以下、車載ＥＣＵ１１１Ｂ，１１１Ｃの各々を、増設装置１１１Ｂ，通信相手装置１１１Ｃとも称する。
　中継装置１５１は、イーサネットの通信規格に従って、イーサネットフレームの中継処理を行う。
　具体的には、中継装置１５１は、たとえば、車載ＥＣＵ１１１間でやり取りされるイーサネットフレームを中継する。イーサネットフレームには、ＩＰパケットが格納される。
　なお、車載通信システム３０１では、イーサネットの通信規格に従ってイーサネットフレームの中継が行われる構成に限らず、たとえば、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）（登録商標）、ＦｌｅｘＲａｙ（登録商標）、ＭＯＳＴ（Ｍｅｄｉａ　Ｏｒｉｅｎｔｅｄ　Ｓｙｓｔｅｍｓ　Ｔｒａｎｓｐｏｒｔ）（登録商標）およびＬＩＮ（Ｌｏｃａｌ　Ｉｎｔｅｒｃｏｎｎｅｃｔ　Ｎｅｔｗｏｒｋ）等の通信規格に従ってデータの中継が行われる構成であってもよい。
　図１および図２を参照して、ＴＣＵ１１１Ａは、サーバ１８１と通信を行うことが可能である。詳細には、ＴＣＵ１１１Ａは、たとえば、ＩＰプロトコルに従い、無線基地局装置１６１を介してサーバ１８１と通信することが可能である。
　より詳細には、ＴＣＵ１１１Ａは、たとえば、ＬＴＥ（Ｌｏｎｇ　Ｔｅｒｍ　Ｅｖｏｌｕｔｉｏｎ）または３Ｇ等の通信規格に従って、無線基地局装置１６１と無線通信を行うことが可能である。
　具体的には、ＴＣＵ１１１Ａは、たとえば、ＩＰサーバからのＩＰパケットが格納された無線フレームを無線基地局装置１６１から受信すると、受信した無線フレームからＩＰパケットを取得し、取得したＩＰパケットをイーサネットフレームに格納して中継装置１５１Ａへ送信する。
　また、ＴＣＵ１１１Ａは、中継装置１５１Ａからイーサネットフレームを受信すると、受信したイーサネットフレームからＩＰパケットを取得し、取得したＩＰパケットを無線フレームに格納して無線基地局装置１６１へ送信する。
　無線基地局装置１６１は、ＴＣＵ１１１Ａから無線フレームを受信すると、受信した無線フレームからＩＰパケットを取得し、取得したＩＰパケットを外部ネットワーク１１経由でサーバ１８１へ送信する。
　また、無線基地局装置１６１は、サーバ１８１から外部ネットワーク１１経由でＩＰパケットを受信すると、受信したＩＰパケットを無線フレームに格納し、当該無線フレームをＴＣＵ１１１Ａへ送信する。
　図３は、本発明の実施の形態に係る車載通信システムにおける中継装置の構成を示す図である。
　図３を参照して、中継装置１５１Ａは、中継処理部５１と、通信ポート５２Ａ，５２Ｂ，５２Ｃ，５２Ｄと、認証制御装置１０１とを備える。
　図３には、中継装置１５１Ａの構成が示されるが、中継装置１５１Ｂも、中継装置１５１Ａと同様の構成を有する。
　以下、通信ポート５２Ａ，５２Ｂ，５２Ｃ，５２Ｄの各々を、通信ポート５２とも称する。通信ポート５２は、たとえば、イーサネットケーブルを接続可能な端子である。
　この例では、通信ポート５２Ａ，５２Ｂ，５２Ｃは、それぞれ中継装置１５１Ｂ，ＴＣＵ１１１Ａ，通信相手装置１１１Ｃに接続されている。
　通信ポート５２Ｄは、たとえば、増設装置１１１Ｂの接続に用いられる通信ポート（以下、増設用ポートとも称する。）であり、初期状態では空きポートである。
　中継処理部５１は、イーサネットフレームの中継処理を行う。具体的には、中継処理部５１は、たとえば、通信ポート５２経由でイーサネットフレームを受信すると、受信したイーサネットフレームに対してレイヤ２のスイッチ処理およびレイヤ３の中継処理を行う。
　そして、中継処理部５１は、スイッチ処理または中継処理後のイーサネットフレームを他の通信ポート５２経由で送信する。
　また、中継処理部５１は、スイッチ処理および中継処理が許可された通信経路を示す登録情報を保持する。通信経路は、たとえば、送信元ＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ）アドレスおよび送信先ＭＡＣアドレスの組、ならびに送信元ＩＰアドレスおよび送信先ＩＰアドレスの組等によって特定される。
　中継処理部５１は、たとえば、保持する登録情報に基づいて、イーサネットフレームのフィルタ処理を行う。
　図４は、本発明の実施の形態に係る車載通信システムにおける認証制御装置の構成を示す図である。
　図４を参照して、認証制御装置１０１は、取得部２１と、決定部２２とを備える。
　［動作の流れ］
　通信システム２０１における各装置は、コンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下のシーケンス図またはフローチャートの各ステップの一部または全部を含むプログラムを図示しないメモリからそれぞれ読み出して実行する。これら複数の装置のプログラムは、それぞれ、外部からインストールすることができる。これら複数の装置のプログラムは、それぞれ、記録媒体に格納された状態で流通する。
　図５は、本発明の実施の形態に係る車載通信システムにおいて、増設装置が車載ネットワークに接続された際のシーケンスの一例を示す図である。
　図３～図５を参照して、増設装置１１１Ｂが増設用ポートに接続された状況を想定する。
　まず、増設装置１１１Ｂは、たとえば、送信元ＭＡＣアドレスおよび送信先ＭＡＣアドレスとして、それぞれ自己のＭＡＣアドレスおよび通信相手装置１１１ＣのＭＡＣアドレスを含むイーサネットフレームを通信要求として中継装置１５１Ａへ送信する（ステップＳ１０２）。
　次に、中継装置１５１Ａにおける中継処理部５１は、増設用ポート経由で増設装置１１１Ｂからイーサネットフレームを受信すると、受信したイーサネットフレームに含まれる送信元ＭＡＣアドレスおよび送信先ＭＡＣアドレスを取得し、取得した送信元ＭＡＣアドレスおよび送信先ＭＡＣアドレスに基づく通信経路が登録情報に登録されているか否かを確認する（ステップＳ１０４）。
　ここでは、中継処理部５１は、上記通信経路が登録情報に登録されていないことを確認する。
　次に、中継処理部５１は、上記通信経路が登録情報に登録されていないため、増設装置１１１Ｂの認証に用いる認証鍵の要求を含むイーサネットフレームを認証鍵要求として増設装置１１１Ｂへ送信する（ステップＳ１０６）。
　図６は、本発明の実施の形態に係る車載通信システムにおける増設装置が送信する認証鍵のデータの一例を示す図である。
　図６を参照して、認証鍵のデータ（以下、認証鍵データとも称する。）は、中継装置１５１Ａとの認証処理において使用される。
　認証鍵データは、増設装置１１１Ｂに関する所定の識別情報の一例である種別と、中継装置１５１Ａとの認証に用いる認証鍵ＫＡとを含む。認証鍵データのサイズは、種別のサイズであるＸビット、および認証鍵ＫＡのサイズであるＹビットの和であるＺビットである。
　ここでは、種別は、たとえば、増設装置１１１Ｂの取り付け作業が行われる場所を識別可能な情報である。
　具体的には、たとえば、車載ＥＣＵ１１１Ｂが、車両１の製造工場において設置される車載装置である場合、種別はメーカオプションを示す。
　また、たとえば、車載ＥＣＵ１１１Ｂが、車両１のディーラにおいて設置される車載装置である場合、種別はディーラオプションを示す。
　また、たとえば、車載ＥＣＵ１１１Ｂが、車両１のアフターパーツの販売店等において設置される車載装置である場合、種別はユーザカスタムを示す。
　メーカオプション、ディーラオプションおよびユーザカスタムの信頼度は、それぞれ高、中および低である。ここで、信頼度は、増設装置１１１Ｂの取り付け元の信用の程度を表す。より詳細には、信頼度は、増設装置１１１Ｂの取り付け者および取り付け手順の信用の程度を表す。具体的には、増設装置１１１Ｂは、信頼度が高いほど、より信頼のおける取り付け者によって、より信頼のおける取り付け手順の通りに車両１に設置される。
　再び図３～図５を参照して、次に、増設装置１１１Ｂは、中継装置１５１Ａから認証鍵要求を受信すると、受信した認証鍵要求に応じて、図６に示す認証鍵データを暗号化し、暗号化した認証鍵データを含むイーサネットフレームを認証鍵情報として中継装置１５１Ａへ送信する（ステップＳ１０８）。
　次に、中継装置１５１Ａにおける中継処理部５１は、増設装置１１１Ｂからイーサネットフレームを受信すると、受信したイーサネットフレームから認証鍵データを取得し、取得した認証鍵データを復号化することにより種別および認証鍵ＫＡを取得する（ステップＳ１１０）。
　次に、認証制御装置１０１は、増設装置１１１Ｂの信頼度を判定する（ステップＳ１１２）。
　より詳細には、中継処理部５１は、取得した種別を示す種別情報を認証制御装置１０１へ出力する。
　認証制御装置１０１における取得部２１は、車載ネットワーク１２に新たに追加される車載装置に関する所定の識別情報を取得する。
　具体的には、取得部２１は、中継処理部５１から種別情報を受けると、受けた種別情報を決定部２２へ出力する。
　決定部２２は、取得部２１によって取得された識別情報に基づいて、増設装置１１１Ｂに対する認証処理として、複数種類の認証手順のうちのいずれを適用するかを決定する。
　詳細には、決定部２２は、たとえば、取得部２１によって取得された識別情報に基づいて車載装置の信頼度を判定する。
　より詳細には、決定部２２は、取得部２１から種別情報を受けると、受けた種別情報に基づいて増設装置１１１Ｂの信頼度を判定する。
　具体的には、決定部２２は、種別情報がメーカオプションを示す場合、増設装置１１１Ｂの信頼度が高であると判定する。
　また、決定部２２は、種別情報がディーラオプションを示す場合、増設装置１１１Ｂの信頼度が中であると判定する。
　また、決定部２２は、種別情報がユーザカスタムを示す場合、増設装置１１１Ｂの信頼度が低であると判定する。
　次に、認証制御装置１０１は、認証手順を決定する（ステップＳ１１４）。詳細には、決定部２２は、たとえば、複数種類の認証手順の中から、判定した信頼度に応じた認証手順を決定する。
　複数種類の認証手順は、たとえば、増設装置１１１Ｂに対する認証処理を行う認証装置の数が異なり、かつ増設装置１１１Ｂに対する認証処理を行う認証装置が異なる複数の認証手順を含む。
　また、複数種類の認証手順は、たとえば、セキュリティレベルの異なる複数の認証手順を含む。ここで、認証装置には、たとえば、車載ネットワーク１２におけるデータを中継する中継装置１５１Ａが含まれる。
　この例では、決定部２２は、認証手順ＰＨ，ＰＭ，ＰＬの中から、判定した信頼度に応じた認証手順を決定する。
　ここで、認証手順ＰＨは、中継装置１５１Ａによる増設装置１１１Ｂの認証処理ＰＡを含む認証手順である。
　認証手順ＰＭは、認証処理ＰＡ、および通信相手装置１１１Ｃによる増設装置１１１Ｂの認証処理ＰＢを含む認証手順である。
　認証手順ＰＬは、認証処理ＰＡおよび認証処理ＰＢ、ならびに中継装置１５１Ｂによる増設装置１１１Ｂの認証処理ＰＣを含む認証手順である。
　各認証処理において使用される認証鍵は、たとえば認証装置ごとに異なる。具体的には、認証処理ＰＡ，ＰＢ，ＰＣでは、互いに異なる認証鍵ＫＡ，ＫＢ，ＫＣがそれぞれ用いられる。
　認証鍵ＫＡ，ＫＢ，ＫＣの長さは、この順に長くなる。すなわち、認証処理ＰＡ，ＰＢ，ＰＣは、この順にセキュリティレベルが高くなる。
　また、認証処理ＰＡ，ＰＢ，ＰＣでは、互いに異なる認証方式ＭＡ，ＭＢ，ＭＣがそれぞれ用いられる。また、認証方式ＭＡ，ＭＢ，ＭＣは、この順にセキュリティレベルが高くなる。
　決定部２２は、たとえば、判定した車載装置の信頼度が小さいほど、当該車載装置に対する認証処理を行う認証装置の数が大きい認証手順を決定する。
　具体的には、決定部２２は、増設装置１１１Ｂの信頼度が高であると判定した場合、認証手順ＰＨを決定する。また、決定部２２は、増設装置１１１Ｂの信頼度が中であると判定した場合、認証手順ＰＭを決定する。
　また、決定部２２は、増設装置１１１Ｂの信頼度が低であると判定した場合、認証手順ＰＬを決定する。決定部２２は、決定結果を示す決定情報を中継処理部５１へ出力する。
　図７は、本発明の実施の形態に係る車載通信システムにおいて、増設装置の認証処理が行われる際のシーケンスの一例を示す図である。
　図７を参照して、認証制御装置１０１における決定部２２が認証手順ＰＨを決定した状況を想定する。
　まず、中継装置１５１Ａにおける中継処理部５１は、認証手順ＰＨを示す決定情報を認証制御装置１０１から受けると、受けた決定情報に従って認証手順ＰＨを開始する。
　詳細には、中継処理部５１は、認証処理ＰＡを行う（ステップＳ２０２）。より詳細には、中継処理部５１は、所定の認証方式ＭＡに従って、増設装置１１１Ｂから受信した認証鍵情報に含まれる認証鍵ＫＡを認証する。ここでは、中継処理部５１は、認証鍵ＫＡの認証に成功する。
　次に、中継処理部５１は、通信要求に含まれる増設装置１１１ＢのＭＡＣアドレスおよび通信相手装置１１１ＣのＭＡＣアドレスに基づく通信経路を登録情報に登録する（ステップＳ２０４）。
　これにより、増設装置１１１Ｂおよび通信相手装置１１１Ｃ間において伝送されるイーサネットフレームの中継が許可される。
　次に、中継処理部５１は、増設装置１１１Ｂの認証に成功したことを示す認証完了情報を増設装置１１１Ｂへ送信する（ステップＳ２０６）。
　次に、中継処理部５１は、通信要求を中継して通信相手装置１１１Ｃへ送信する（ステップＳ２０８）。
　次に、中継処理部５１が増設装置１１１Ｂおよび通信相手装置１１１Ｃ間において伝送されるイーサネットフレームを中継することで、増設装置１１１Ｂおよび通信相手装置１１１Ｃ間において通信が開始される（ステップＳ２１０）。
　なお、中継処理部５１は、上記ステップＳ２０２において、認証鍵ＫＡの認証に失敗した場合、通信要求に含まれる増設装置１１１ＢのＭＡＣアドレスおよび通信相手装置１１１ＣのＭＡＣアドレスに基づく通信経路を登録情報に登録しない。
　このような構成により、不正な車載装置である可能性が高い増設装置１１１Ｂ、および通信相手装置１１１Ｃ間において伝送されるイーサネットフレームが中継処理部５１において中継されないので、増設装置１１１ＢによるＤｏＳ攻撃および盗聴等を防ぐことができる。
　図８は、本発明の実施の形態に係る車載通信システムにおいて、増設装置の認証処理が行われる際のシーケンスの一例を示す図である。
　図８を参照して、認証制御装置１０１における決定部２２が認証手順ＰＭを決定した状況を想定する。
　まず、中継装置１５１Ａにおける中継処理部５１は、認証手順ＰＭを示す決定情報を認証制御装置１０１から受けると、受けた決定情報に従って認証手順ＰＭを開始する。
　詳細には、中継処理部５１は、認証処理ＰＡを行う（ステップＳ３０２）。より詳細には、中継処理部５１は、所定の認証方式ＭＡに従って、増設装置１１１Ｂから受信した通信要求に含まれる認証鍵ＫＡを認証する（ステップＳ３０２）。ここでは、中継処理部５１は、認証鍵ＫＡの認証に成功する。
　次に、中継処理部５１は、中継装置１５１Ａは、たとえば、増設装置１１１Ｂに対する自己の認証処理ＰＡが成功した場合、増設装置１１１Ｂの通信相手となる通信相手装置１１１Ｃに認証処理ＰＢの開始を指示する。
　具体的には、中継処理部５１は、増設装置１１１Ｂを認証させるための要求を含むイーサネットフレームを認証要求として通信ポート５２Ｃ経由で通信相手装置１１１Ｃへ送信する（ステップＳ３０４）。
　次に、通信相手装置１１１Ｃは、中継装置１５１Ａから認証要求を受信すると、受信した認証要求に従って、増設装置１１１Ｂを宛先とする認証鍵要求を中継装置１５１Ａへ送信する（ステップＳ３０６）。
　次に、中継装置１５１Ａにおける中継処理部５１は、通信相手装置１１１Ｃから認証鍵要求を受信すると、受信した認証鍵要求を中継して増設装置１１１Ｂへ送信する（ステップＳ３０８）。
　次に、増設装置１１１Ｂは、中継装置１５１Ａから認証鍵要求を受信すると、受信した認証鍵要求に従って、暗号化した認証鍵ＫＢを含むイーサネットフレームを認証鍵情報として中継装置１５１Ａへ送信する（ステップＳ３１０）。この認証鍵情報の宛先は、通信相手装置１１１Ｃである。
　次に、中継装置１５１Ａにおける中継処理部５１は、増設装置１１１Ｂから認証鍵情報を受信すると、受信した認証鍵情報を中継して通信相手装置１１１Ｃへ送信する（ステップＳ３１２）。
　次に、通信相手装置１１１Ｃは、認証処理ＰＢを行う（ステップＳ３０２）。より詳細には、通信相手装置１１１Ｃは、中継装置１５１Ａから認証鍵情報を受信すると、所定の認証方式ＭＢに従って、受信した認証鍵情報に含まれる認証鍵ＫＢを復号化して認証する（ステップＳ３１４）。ここでは、通信相手装置１１１Ｃは、認証鍵ＫＢの認証に成功する。
　次に、通信相手装置１１１Ｃは、増設装置１１１Ｂの認証に成功したことを示す認証完了情報を中継装置１５１Ａへ送信する（ステップＳ３１６）。
　次に、中継装置１５１Ａにおける中継処理部５１は、通信相手装置１１１Ｃから認証完了情報を受信すると、受信した認証完了情報に基づいて、通信相手装置１１１Ｃによる増設装置１１１Ｂの認証に成功したと認識し、以下の処理を行う。
　すなわち、中継処理部５１は、通信要求に含まれる増設装置１１１ＢのＭＡＣアドレスおよび通信相手装置１１１ＣのＭＡＣアドレスに基づく通信経路を登録情報に登録する（ステップＳ３１８）。
　これにより、増設装置１１１Ｂおよび通信相手装置１１１Ｃ間において伝送されるイーサネットフレームの中継が許可される。
　次に、中継処理部５１は、自己の中継装置１５１Ａおよび通信相手装置１１１Ｃによる増設装置１１１Ｂの認証に成功したことを示す認証完了情報を増設装置１１１Ｂへ送信する（ステップＳ３２０）。
　次に、中継処理部５１は、通信要求を中継して通信相手装置１１１Ｃへ送信する（ステップＳ３２２）。
　次に、中継処理部５１が増設装置１１１Ｂおよび通信相手装置１１１Ｃ間において伝送されるイーサネットフレームを中継することで、増設装置１１１Ｂおよび通信相手装置１１１Ｃ間において通信が開始される（ステップＳ３２４）。
　なお、中継処理部５１は、上記ステップＳ３０２における認証鍵ＫＡの認証、および上記ステップＳ３１４における認証鍵ＫＢの認証の少なくともいずれか一方に失敗した場合、通信要求に含まれる増設装置１１１ＢのＭＡＣアドレスおよび通信相手装置１１１ＣのＭＡＣアドレスに基づく通信経路を登録情報に登録しない。
　また、上記ステップＳ３０２と上記ステップＳ３０４～Ｓ３１６との順番は、上記に限らず、順番を入れ替えてもよい。
　図９は、本発明の実施の形態に係る車載通信システムにおいて、増設装置の認証処理が行われる際のシーケンスの一例を示す図である。
　図９を参照して、認証制御装置１０１における決定部２２が認証手順ＰＬを決定した状況を想定する。
　ステップＳ４０２～Ｓ４１６の動作は、図８に示すステップＳ３０２～Ｓ３１６の動作と同様である。
　次に、中継装置１５１Ａにおける中継処理部５１は、通信相手装置１１１Ｃから認証完了情報を受信すると、受信した認証完了情報に基づいて、通信相手装置１１１Ｃによる増設装置１１１Ｂの認証に成功したと認識し、以下の処理を行う。
　すなわち、中継処理部５１は、たとえば、増設装置１１１Ｂに対する自己の認証処理ＰＡが成功した場合、他の中継装置、ここでは中継装置１５１Ｂに認証処理ＰＣの開始を指示する。
　具体的には、中継処理部５１は、増設装置１１１Ｂを認証させるための要求を含むイーサネットフレームを認証要求として通信ポート５２Ａ経由で中継装置１５１Ｂへ送信する（ステップＳ４１８）。
　次に、中継装置１５１Ｂは、中継装置１５１Ａから認証要求を受信すると、受信した認証要求に従って、増設装置１１１Ｂを宛先とする認証鍵要求を中継装置１５１Ａへ送信する（ステップＳ４２０）。
　次に、中継装置１５１Ａにおける中継処理部５１は、中継装置１５１Ｂから認証鍵要求を受信すると、受信した認証鍵要求を中継して増設装置１１１Ｂへ送信する（ステップＳ４２２）。
　次に、増設装置１１１Ｂは、中継装置１５１Ａから認証鍵要求を受信すると、受信した認証鍵要求に従って、暗号化した認証鍵ＫＣを含むイーサネットフレームを認証鍵情報として中継装置１５１Ａへ送信する（ステップＳ４２４）。この認証鍵情報の宛先は、中継装置１５１Ｂである。
　次に、中継装置１５１Ａにおける中継処理部５１は、増設装置１１１Ｂから認証鍵情報を受信すると、受信した認証鍵情報を中継して中継装置１５１Ｂへ送信する（ステップＳ４２６）。
　次に、中継装置１５１Ｂは、認証処理ＰＣを行う（ステップＳ４２８）。より詳細には、中継装置１５１Ｂは、中継装置１５１Ａから認証鍵情報を受信すると、所定の認証方式ＭＣに従って、受信した認証鍵情報に含まれる認証鍵ＫＣを復号化して認証する。ここでは、中継装置１５１Ｂは、認証鍵ＫＣの認証に成功する。
　次に、中継装置１５１Ｂは、増設装置１１１Ｂの認証に成功したことを示す認証完了情報を中継装置１５１Ａへ送信する（ステップＳ４３０）。
　次に、中継装置１５１Ａにおける中継処理部５１は、中継装置１５１Ｂから認証完了情報を受信すると、受信した認証完了情報に基づいて、中継装置１５１Ｂによる増設装置１１１Ｂの認証に成功したと認識し、以下の処理を行う。
　すなわち、中継処理部５１は、通信要求に含まれる増設装置１１１ＢのＭＡＣアドレスおよび通信相手装置１１１ＣのＭＡＣアドレスに基づく通信経路を登録情報に登録する（ステップＳ４３２）。
　これにより、増設装置１１１Ｂおよび通信相手装置１１１Ｃ間において伝送されるイーサネットフレームの中継が許可される。
　次に、中継処理部５１は、自己の中継装置１５１Ａ、通信相手装置１１１Ｃおよび中継装置１５１Ｂによる増設装置１１１Ｂの認証に成功したことを示す認証完了情報を増設装置１１１Ｂへ送信する（ステップＳ４３４）。
　次に、中継処理部５１は、通信要求を中継して通信相手装置１１１Ｃへ送信する（ステップＳ４３６）。
　次に、中継処理部５１が増設装置１１１Ｂおよび通信相手装置１１１Ｃ間において伝送されるイーサネットフレームを中継することで、増設装置１１１Ｂおよび通信相手装置１１１Ｃ間において通信が開始される（ステップＳ４３８）。
　なお、中継処理部５１は、上記ステップＳ４０２における認証鍵ＫＡの認証、上記ステップＳ４１４における認証鍵ＫＢの認証、および上記ステップＳ４２８における認証鍵ＫＣの認証の少なくともいずれか１つに失敗した場合、通信要求に含まれる増設装置１１１ＢのＭＡＣアドレスおよび通信相手装置１１１ＣのＭＡＣアドレスに基づく通信経路を登録情報に登録しない。
　また、上記ステップＳ４０２と上記ステップＳ４０４～Ｓ４１６と上記ステップＳ４１８～Ｓ４３０との順番は、上記に限らず、一部または全部の順番を変更してもよい。
　［認証制御装置１０１の変形例１］
　図１０は、本発明の実施の形態に係る認証制御装置における決定部が保持する認証履歴テーブルの一例を示す図である。
　図１０を参照して、認証履歴テーブルには、増設した車載装置のＩＤと当該車載装置に対して判定した信頼度と当該車載装置に対する認証結果との対応関係が含まれる。
　この例では、車載装置のＩＤは、当該車載装置のＭＡＣアドレスである。なお、車載装置のＩＤは、たとえば当該車載装置のシリアル番号であってもよい。
　図１１は、本発明の実施の形態に係る車載通信システムにおいて、増設装置が車載ネットワークに接続された際のシーケンスの一例を示す図である。
　図３、図４および図１１を参照して、増設装置１１１Ｂが中継装置１５１Ａにおける増設用ポートに接続された状況を想定する。
　ステップＳ５０２～Ｓ５１０の動作は、図５に示すステップＳ１０２～Ｓ１１０の動作と同様である。
　次に、認証制御装置１０１は、増設装置１１１Ｂの信頼度を判定する（ステップＳ５１２）。
　より詳細には、中継処理部５１は、取得した種別を示す種別情報、および通信要求に含まれる送信元ＭＡＣアドレスすなわち増設装置１１１ＢのＭＡＣアドレスを認証制御装置１０１へ出力する。
　認証制御装置１０１における取得部２１は、中継処理部５１から種別情報および送信元ＭＡＣアドレスを受けると、受けた種別情報および送信元ＭＡＣアドレスを決定部２２へ出力する。
　決定部２２は、取得部２１から種別情報および送信元ＭＡＣアドレスを受けると、受けた種別情報に基づいて増設装置１１１Ｂの信頼度を判定する。ここでは、決定部２２は、増設装置１１１Ｂの信頼度を中と判定する。
　次に、決定部２２は、認証履歴テーブル（図１０参照）において増設装置１１１ＢのＭＡＣアドレスが登録されているか否かを確認する（ステップＳ５１４）。
　ここでは、決定部２２は、増設装置１１１ＢのＭＡＣアドレスが認証履歴テーブルに登録されていないことを確認する。
　次に、決定部２２は、認証手順を決定する（ステップＳ５１６）。詳細には、決定部２２は、たとえば、取得部２１によって取得された識別情報、および車載装置に対して過去に適用された認証手順に基づいて、新たに適用する認証手順を決定する。
　ここでは、決定部２２は、増設装置１１１ＢのＭＡＣアドレスが認証履歴テーブルに登録されていないので、認証手順ＰＨ，ＰＭ，ＰＬの中から、判定した信頼度に応じた認証手順ＰＭを決定し、決定結果を示す決定情報を中継処理部５１へ出力する。
　次に、決定部２２は、中継処理部５１が行う認証手順ＰＭ（図８参照）を監視する（ステップＳ５１８）。
　ここでは、図８に示す認証処理ＰＡ（ステップＳ３０２）および認証処理ＰＢ（ステップＳ３１４）が成功し、増設装置１１１Ｂは、中継装置１５１Ａを介した通信相手装置１１１Ｃとの通信を開始する（ステップＳ３２４）。
　次に、決定部２２は、認証手順ＰＭの監視結果を認証履歴テーブルに登録する（ステップＳ５２０）。
　図１２は、本発明の実施の形態に係る認証制御装置における決定部が保持する認証履歴テーブルの一例を示す図である。
　図１２を参照して、決定部２２は、認証処理ＰＡ，ＰＢが成功したことを確認し、認証履歴テーブルにおける「ＭＡＣアドレス」、「信頼度」および「認証結果」として、それぞれ「増設装置１１１ＢのＭＡＣアドレス」、「中」および「成功」を登録する。
　再び図３、図４および図１１を参照して、次に、増設装置１１１Ｂと中継装置１５１Ａとの接続が切断される（ステップＳ５２２）。
　この際、増設装置１１１ＢのＭＡＣアドレスおよび通信相手装置１１１ＣのＭＡＣアドレスに基づく通信経路は、登録情報から抹消される。
　次に、増設装置１１１Ｂが中継装置１５１Ａにおける増設用ポートに再び接続される（ステップＳ５２４）。
　ステップＳ５２６～Ｓ５３６の動作は、上記ステップＳ５０２～Ｓ５１２の動作と同様である。
　次に、決定部２２は、認証履歴テーブル（図１２参照）において増設装置１１１ＢのＭＡＣアドレスが登録されているか否かを確認する（ステップＳ５３８）。
　ここでは、決定部２２は、増設装置１１１ＢのＭＡＣアドレスが認証履歴テーブルに登録されていることを確認する。
　次に、決定部２２は、認証手順を決定する（ステップＳ５４０）。ここでは、決定部２２は、信頼度を中と判定した（ステップＳ５３６）増設装置１１１ＢのＭＡＣアドレスが認証履歴テーブルに登録されているので、たとえば、信頼度を中から高に昇格させる。
　そして、決定部２２は、認証手順ＰＨ，ＰＭ，ＰＬの中から、昇格させた信頼度に応じた認証手順ＰＨを決定し、決定結果を示す決定情報を中継処理部５１へ出力する。
　なお、決定部２２は、上記ステップＳ５２０において、増設装置１１１Ｂの認証の「成功」を認証履歴テーブルに登録したが、増設装置１１１Ｂの認証に失敗した場合、「失敗」を認証履歴テーブルに登録する。
　この場合、決定部２２は、上記ステップＳ５４０において、増設装置１１１Ｂの「認証結果」として「失敗」が認証履歴テーブルに登録されているので、信頼度を中から高に昇格させる代わりに、信頼度を中に維持するか、または低に降格させてもよい。
　［認証制御装置１０１の変形例２］
　図５では、認証制御装置１０１における決定部２２は、識別情報の一例である種別に基づいて認証手順を決定する構成であるとしたが、これに限定するものではない。識別情報は、たとえば、車載装置を一意に識別可能な情報であってもよい。具体的には、決定部２２は、車載装置のＭＡＣアドレスに基づいて認証手順を決定する。
　図１３は、本発明の実施の形態に係る車載通信システムにおいて、増設装置が車載ネットワークに接続された際のシーケンスの一例を示す図である。
　図３、図４および図１３を参照して、増設装置１１１Ｂが増設用ポートに接続された状況を想定する。
　まず、増設装置１１１Ｂは、たとえば、送信元ＭＡＣアドレスおよび送信先ＭＡＣアドレスとして、それぞれ自己のＭＡＣアドレスおよび通信相手装置１１１ＣのＭＡＣアドレスを含むイーサネットフレームを通信要求として中継装置１５１Ａへ送信する（ステップＳ６０２）。
　次に、中継装置１５１Ａにおける中継処理部５１は、増設用ポート経由で増設装置１１１Ｂからイーサネットフレームを受信すると、受信したイーサネットフレームに含まれる送信元ＭＡＣアドレスおよび送信先ＭＡＣアドレスを取得し、取得した送信元ＭＡＣアドレスおよび送信先ＭＡＣアドレスに基づく通信経路が登録情報に登録されているか否かを確認する（ステップＳ６０４）。
　ここでは、中継処理部５１は、上記通信経路が登録情報に登録されていないことを確認し、取得した送信元ＭＡＣアドレスすなわち増設装置１１１ＢのＭＡＣアドレスを示すＭＡＣアドレス情報を認証制御装置１０１へ出力する。
　次に、認証制御装置１０１における決定部２２は、中継処理部５１から取得部２１経由でＭＡＣアドレス情報を受けると、受けたＭＡＣアドレス情報の示すＭＡＣアドレスに対応する信頼度を問い合わせるために、ＭＡＣアドレス情報を中継処理部５１経由でサーバ１８１へ送信する（ステップＳ６０６）。
　次に、サーバ１８１は、中継装置１５１ＡからＭＡＣアドレス情報を受信すると、受信したＭＡＣアドレス情報に基づいて増設装置１１１Ｂの信頼度を判定する（ステップＳ６０８）。
　図１４は、本発明の実施の形態に係る通信システムにおけるサーバが保持する信頼度テーブルの一例を示す図である。
　図１４を参照して、信頼度テーブルには、車載装置のＭＡＣアドレスと当該車載装置の信頼度との対応関係が含まれる。この対応関係は、たとえば、車両１の製造者により登録される。
　再び図３、図４および図１３を参照して、次に、サーバ１８１は、受信したＭＡＣアドレス情報の示す増設装置１１１ＢのＭＡＣアドレスに対応する信頼度、ここでは中を信頼度テーブルから取得し、取得した信頼度を示す信頼度情報を中継装置１５１Ａへ送信する（ステップＳ６１０）。
　次に、中継装置１５１Ａにおける中継処理部５１は、信頼度情報をサーバ１８１から受信すると、受信した信頼度情報を認証制御装置１０１へ出力する。
　認証制御装置１０１における決定部２２は、中継処理部５１から取得部２１経由で信頼度情報を受けると、認証手順ＰＨ，ＰＭ，ＰＬの中から、受信した信頼度情報の示す信頼度に応じた認証手順ＰＭを決定し、決定結果を示す決定情報を中継処理部５１へ出力する（ステップＳ６１２）。
　次に、中継処理部５１は、決定情報を認証制御装置１０１から受けると、受けた決定情報に従って認証手順ＰＭを開始する。
　詳細には、中継処理部５１は、認証鍵要求を増設装置１１１Ｂへ送信する（ステップＳ６１４）。
　次に、増設装置１１１Ｂは、中継装置１５１Ａから認証鍵要求を受信すると、受信した認証鍵要求に従って、暗号化した認証鍵ＫＡを含むイーサネットフレームを認証鍵情報として中継装置１５１Ａへ送信する（ステップＳ６１６）。
　この後、増設装置１１１Ｂ、中継装置１５１Ａおよび通信相手装置１１１Ｃでは、たとえば、図８に示す流れの動作が行われる。
　なお、上記ステップＳ６０６～Ｓ６１２と上記ステップＳ６１４～Ｓ６１６との順番は、上記に限らず、順番を入れ替えてもよい。
　また、識別情報がＭＡＣアドレスであるとしたが、これに限定するものではない。識別情報は車載装置のシリアル番号であってもよい。この場合、サーバ１８１は、たとえば、車載装置のシリアル番号と当該車載装置の信頼度との対応関係を含む信頼度テーブルを保持する。
　また、中継装置１５１Ａは、たとえば、増設装置１１１Ｂのシリアル番号を増設装置１１１Ｂから取得し、取得したシリアル番号を示すシリアル番号情報をサーバ１８１へ送信する。サーバ１８１は、中継装置１５１Ａからシリアル番号情報を受信すると、受信したシリアル番号情報、および信頼度テーブルに基づいて車載装置の信頼度を判定する。
　［認証制御装置１０１の変形例３］
　図５では、認証制御装置１０１における決定部２２は、識別情報の一例である種別に基づいて認証手順を決定する構成であるとしたが、これに限定するものではない。識別情報は、たとえば、車載装置の品番を示してもよい。具体的には、決定部２２は、車載装置の品番に基づいて認証手順を決定する。
　図１５は、本発明の実施の形態に係る車載通信システムにおいて、増設装置が車載ネットワークに接続された際のシーケンスの一例を示す図である。
　図３、図４および図１５を参照して、増設装置１１１Ｂが増設用ポートに接続された状況を想定する。
　まず、増設装置１１１Ｂは、たとえば、送信元ＭＡＣアドレスおよび送信先ＭＡＣアドレスとして、それぞれ自己のＭＡＣアドレスおよび通信相手装置１１１ＣのＭＡＣアドレスを含むイーサネットフレームを通信要求として中継装置１５１Ａへ送信する（ステップＳ７０２）。
　次に、中継装置１５１Ａにおける中継処理部５１は、増設用ポート経由で増設装置１１１Ｂからイーサネットフレームを受信すると、受信したイーサネットフレームに含まれる送信元ＭＡＣアドレスおよび送信先ＭＡＣアドレスを取得し、取得した送信元ＭＡＣアドレスおよび送信先ＭＡＣアドレスに基づく通信経路が登録情報に登録されているか否かを確認する（ステップＳ７０４）。
　ここでは、中継処理部５１は、上記通信経路が登録情報に登録されていないことを確認する。
　次に、中継処理部５１は、上記通信経路が登録情報に登録されていないため、増設装置１１１Ｂの品番の要求を含むイーサネットフレームを品番要求として増設装置１１１Ｂへ送信する（ステップＳ７０６）。
　次に、増設装置１１１Ｂは、中継装置１５１Ａから品番要求を受信すると、受信した品番要求に従って、自己の品番を示す品番情報を含むイーサネットフレームを中継装置１５１Ａへ送信する（ステップＳ７０８）。
　次に、中継装置１５１Ａにおける中継処理部５１は、増設装置１１１Ｂからイーサネットフレームを受信すると、受信したイーサネットフレームから品番情報を取得し、取得した品番情報を認証制御装置１０１へ出力する。
　認証制御装置１０１における決定部２２は、中継処理部５１から取得部２１経由で品番情報を受けると、受けた品番情報の示す品番に対応する信頼度を問い合わせるために、品番情報を中継処理部５１経由でサーバ１８１へ送信する（ステップＳ７１０）。
　次に、サーバ１８１は、中継装置１５１Ａから品番情報を受信すると、受信した品番情報に基づいて増設装置１１１Ｂの信頼度を判定する（ステップＳ７１２）。
　図１６は、本発明の実施の形態に係る通信システムにおけるサーバが保持する信頼度テーブルの一例を示す図である。
　図１６を参照して、信頼度テーブルには、車載装置の品番と当該車載装置の信頼度との対応関係が含まれる。この対応関係は、たとえば、車両１の製造者により登録される。
　再び図３、図４および図１５を参照して、次に、サーバ１８１は、受信した品番情報の示す増設装置１１１Ｂの品番に対応する信頼度、ここでは中を信頼度テーブルから取得し、取得した信頼度を示す信頼度情報を中継装置１５１Ａへ送信する（ステップＳ７１４）。
　ステップＳ７１６～Ｓ７２０の動作は、図１３に示すステップＳ６１２～Ｓ６１６の動作と同様である。
　なお、上記ステップＳ７０６～Ｓ７１６と上記ステップＳ７１８～Ｓ７２０との順番は、上記に限らず、順番を入れ替えてもよい。
　また、識別情報が車載装置の品番を示すとしたが、これに限定するものではない。識別情報が車載装置の型番を示してもよいし、識別情報が車載装置の品番および型番を示してもよい。この場合、サーバ１８１は、たとえば、車載装置の型番と当該車載装置の信頼度との対応関係を少なくとも含む信頼度テーブルを保持する。
　また、中継装置１５１Ａは、増設装置１１１Ｂの型番を増設装置１１１Ｂから取得し（ステップＳ７０８）、取得した型番を示す型番情報をサーバ１８１へ送信する（ステップＳ７１０）。サーバ１８１は、中継装置１５１Ａから型番情報を受信すると、受信した型番情報、および信頼度テーブルに基づいて車載装置の信頼度を判定する（ステップＳ７１２）。
　また、本発明の実施の形態に係る認証制御装置は、中継装置１５１に設けられる構成であるとしたが、これに限定するものではない。認証制御装置１０１は、車載ＥＣＵ１１１およびサーバ１８１等の中継装置１５１の外部装置に設けられる構成であってもよい。
　また、本発明の実施の形態に係る認証制御装置では、取得部２１は、１つの識別情報を取得し、決定部２２は、取得部２１によって取得された１つの識別情報に基づいて、認証処理として、複数種類の認証手順のうちのいずれを適用するかを決定する決定処理を行う構成であるとしたが、これに限定するものではない。取得部２１は、複数の識別情報を取得し、決定部２２は、取得部２１によって取得された複数の識別情報に基づいて決定処理を行う構成であってもよい。
　また、本発明の実施の形態に係る認証制御装置では、決定部２２は、識別情報に基づいて車載装置の信頼度を判定し、判定した信頼度に応じた認証手順を決定する構成であるとしたが、これに限定するものではない。決定部２２は、たとえば、識別情報と認証手順との対応関係を保持しており、対応関係に基づいて、識別情報に対応する認証手順を決定する構成であってもよい。
　また、本発明の実施の形態に係る認証制御装置では、複数種類の認証手順、具体的には認証手順ＰＨ，ＰＭ，ＰＬは、車載装置に対する認証処理ＰＡ，ＰＢ，ＰＣを行う認証装置の数が異なる複数の認証手順を含む構成であるとしたが、これに限定するものではない。複数種類の認証手順は、車載装置に対する認証処理を行う認証装置の数が同じ複数の認証手順を含んでもよい。
　また、本発明の実施の形態に係る認証制御装置では、複数種類の認証手順、具体的には認証手順ＰＨ，ＰＭ，ＰＬは、車載装置に対する認証処理ＰＡ，ＰＢ，ＰＣを行う認証装置が異なる複数の認証手順を含む構成であるとしたが、これに限定するものではない。複数種類の認証手順は、車載装置に対する認証処理を行う認証装置が同じ複数の認証手順を含んでもよい。
　また、本発明の実施の形態に係る認証制御装置では、認証処理ＰＡ，ＰＢ，ＰＣにおいてそれぞれ使用される認証鍵ＫＡ，ＫＢ，ＫＣは、認証装置ごとに異なる構成であるとしたが、これに限定するものではない。認証処理ＰＡ，ＰＢ，ＰＣにおいてそれぞれ使用される認証鍵ＫＡ，ＫＢ，ＫＣは、一部または全部が同じであってもよい。
　また、本発明の実施の形態に係る認証制御装置では、図７に示す認証手順ＰＨにおいて、中継装置１５１Ａが増設装置１１１Ｂを認証する構成であるとしたが、これに限定するものではない。認証手順ＰＨにおいて、通信相手装置１１１Ｃが増設装置１１１Ｂを認証する構成であってもよい。
　また、本発明の実施の形態に係る認証制御装置では、図８に示す認証手順ＰＭにおいて、中継装置１５１Ａは、増設装置１１１Ｂに対する自己の認証処理ＰＡが成功した場合、増設装置１１１Ｂの通信相手となる通信相手装置１１１Ｃに認証処理ＰＢの開始を指示する構成であるとしたが、これに限定するものではない。認証手順ＰＭにおいて、中継装置１５１Ａは、増設装置１１１Ｂに対する自己の認証処理ＰＡが成功した場合、中継装置１５１Ｂに認証処理ＰＣの開始を指示する構成であってもよい。
　また、本発明の実施の形態に係る認証制御装置では、認証処理ＰＡ，ＰＢ，ＰＣにおいてそれぞれ用いられる認証鍵ＫＡ，ＫＢ，ＫＣの長さは、この順に長くなる構成であるとしたが、これに限定するものではない。認証鍵ＫＡ，ＫＢ，ＫＣの長さは、一部または全部が同じであってもよい。
　また、本発明の実施の形態に係る認証制御装置では、認証処理ＰＡ，ＰＢ，ＰＣにおいてそれぞれ用いられる認証方式ＭＡ，ＭＢ，ＭＣは、この順にセキュリティレベルが高くなる構成であるとしたが、これに限定するものではない。認証方式ＭＡ，ＭＢ，ＭＣのセキュリティレベルは、一部または全部が同じであってもよい。
　また、本発明の実施の形態に係る認証制御装置では、決定部２２は、判定した信頼度が小さいほど、車載装置に対する認証処理を行う認証装置の数が大きい認証手順を決定する構成であるとしたが、これに限定するものではない。決定部２２は、判定した信頼度が小さいほど、車載装置に対する認証処理を行う認証装置の数が小さい認証手順を決定する構成であってもよい。
　ところで、特許文献１に記載の車載ネットワークシステムでは、通信規約に準拠しない通信、たとえばＤｏＳ攻撃および盗聴等を行う車載制御装置は、不正な車載制御装置として検知される。
　このため、上記車載制御装置は、不正な車載制御装置として検知されるまでＤｏＳ攻撃および盗聴を行うことが可能である。
　このようなＤｏＳ攻撃および盗聴等を行わせないために、不正な車載制御装置を車載ネットワークシステムに参加させない構成が好ましいが、特許文献１にはこのような構成は開示されていない。
　これに対して、本発明の実施の形態に係る認証制御装置では、取得部２１は、車載ネットワーク１２に新たに追加される車載装置に関する所定の識別情報を取得する。そして、決定部２２は、取得部２１によって取得された識別情報に基づいて、車載装置に対する認証処理として、複数種類の認証手順のうちのいずれを適用するかを決定する。
　このように、識別情報に基づいて、複数種類の認証手順のうちのいずれを適用するかを決定する構成により、たとえば、新たに追加される車載装置に応じた認証を行うことができるので、車載装置が正当であるか否かをより正しく判断することができる。これにより、ＤｏＳ攻撃および盗聴等の不正な通信を行う前に不正な車載装置を検知することができるので、車載ネットワーク１２において不正な通信が発生することを防ぐことができる。したがって、車載ネットワークにおいて、良好な通信を提供することができる。
　また、本発明の実施の形態に係る認証制御装置では、決定部２２は、取得部２１によって取得された識別情報に基づいて車載装置の信頼度を判定し、判定した信頼度に応じた認証手順を決定する。
　このような構成により、信頼度が低いと判定した車載装置に対しては、たとえば厳重な認証手順を適用することができるので、不正な車載装置の検知精度を向上させることができる。また、信頼度が高いと判定した車載装置に対しては、たとえば、簡素な認証手順を適用することができるので、認証処理の負荷を軽減することができる。
　また、本発明の実施の形態に係る認証制御装置では、識別情報は、車載装置の取り付け作業が行われる場所を識別可能な情報である。
　たとえば、製造工場、ディーラおよびその他の場所等のように、車載装置の取り付け作業が行われる場所に応じて、車両メーカーの当該車載装置に対する関与度が異なる。上記の構成により、車載装置の取り付け作業が行われた場所に応じた関与度に基づいて、当該車載装置の信頼度および正当性等の適切な評価を行うことができる。
　また、本発明の実施の形態に係る認証制御装置では、識別情報は、車載装置の品番および型番の少なくともいずれか一方を示す。
　このような構成により、車載装置の品番および型番の少なくともいずれか一方に基づいて、たとえば当該車載装置の製造元、製造時期および仕様等を認識することができるので、車載装置の信頼度および正当性等の適切な評価を行うことができる。
　また、本発明の実施の形態に係る認証制御装置では、識別情報は、車載装置を一意に識別可能な情報である。
　このような構成により、たとえば、車載装置を一意に識別可能な情報と当該車載装置の製造元、製造時期および仕様等との対応関係を保持するサーバ１８１から、識別情報に対応する製造元、製造時期および仕様等を取得することができるので、当該車載装置の信頼度および正当性等の適切な評価を行うことができる。
　また、本発明の実施の形態に係る認証制御装置では、決定部２２は、車載装置に対して過去に適用された認証手順にさらに基づいて、新たに適用する認証手順を決定する。
　このような構成により、たとえば、過去に適用した認証手順による認証結果が良好な車載装置には、簡素な認証手順を新たに適用することができ、また、上記認証結果が不良な車載装置には、厳重な認証手順を新たに適用することができる。すなわち、上記認証結果に応じた認証手順を適用することができるので、認証処理を効率よく行うことができる。
　また、本発明の実施の形態に係る認証制御装置では、認証制御装置１０１は、車載ネットワーク１２におけるデータを中継する中継装置１５１Ａに含まれる。
　このように、車載装置との通信をより確実に行うことが可能な中継装置１５１Ａに認証制御装置１０１が含まれる構成により、認証手順の決定をより確実に行うことができる。
　また、本発明の実施の形態に係る認証制御装置では、識別情報は、中継装置１５１Ａとの認証処理において使用される認証鍵データに含まれる。
　このように、認証鍵データに識別情報が含まれる構成により、より簡素な認証手順を決定させることを目的とする、識別情報の改ざんを困難にすることができるので、不正な車載装置が、正当な車載装置に成りすますことを防止することができる。
　また、本発明の実施の形態に係る認証制御装置では、複数種類の認証手順は、車載装置に対する認証処理を行う認証装置の数が異なる複数の認証手順を含む。
　このような構成により、車載装置の信頼度および正当性等に応じて認証装置の数を異ならせることができるので、認証手順の厳重さを適切に調整することができる。
　また、本発明の実施の形態に係る認証制御装置では、複数種類の認証手順は、車載装置に対する認証処理を行う認証装置が異なる複数の認証手順を含む。
　このような構成により、車載装置の信頼度および正当性等に応じて認証装置を異ならせることができるので、認証手順の厳重さを適切に調整することができる。
　また、本発明の実施の形態に係る認証制御装置では、認証処理において使用される認証鍵は、認証装置ごとに異なる。
　このように、認証鍵を認証装置ごとに異ならせる構成により、認証処理を複雑化することができるので、認証処理が不正に突破されることを困難にすることができる。すなわち、車載ネットワーク１２におけるセキュリティを向上させることができる。
　また、本発明の実施の形態に係る認証制御装置では、認証装置には、車載ネットワーク１２におけるデータを中継する中継装置１５１Ａが含まれる。
　このように、認証装置には、車載ネットワーク１２におけるデータ伝送の要となる中継装置１５１Ａが含まれる構成により、たとえば、認証した車載装置が不正な場合において、当該車載装置の不正通信によるデータ伝送をより確実に停止させることができる。
　また、本発明の実施の形態に係る認証制御装置では、中継装置１５１Ａは、車載装置に対する自己の認証処理が成功した場合、当該車載装置の通信相手となる他の車載装置に認証処理の開始を指示する。
　このように、中継装置１５１Ａによる認証処理が成功した場合に、車載ネットワーク１２において通信を行う予定の車載装置間で認証処理を行う構成により、新たに追加された車載装置の正当性をより正しく判断することができる。
　また、本発明の実施の形態に係る認証制御装置では、中継装置１５１Ａは、車載装置に対する自己の認証処理が成功した場合、中継装置１５１Ｂに認証処理の開始を指示する。
　このように、中継装置１５１Ａによる認証処理が成功した場合に、新たに追加された車載装置に対して中継装置１５１Ｂと認証処理を行わせる構成により、当該車載装置の正当性をより正しく判断することができる。
　また、本発明の実施の形態に係る認証制御装置では、複数種類の認証手順は、セキュリティレベルの異なる複数の認証手順を含む。
　このような構成により、車載装置の信頼度および正当性等に応じてセキュリティレベルを異ならせることができるので、認証手順の厳重さを適切に調整することができる。
　また、本発明の実施の形態に係る認証制御装置では、決定部２２は、取得部２１によって取得された識別情報に基づいて車載装置の信頼度を判定し、判定した信頼度が小さいほど、車載装置に対する認証処理を行う認証装置の数が大きい認証手順を決定する。
　このように、信頼度の小さい車載装置すなわち不正である可能性が高い車載装置に対して、より多くの認証装置に認証させる構成により、新たに追加した車載装置が正当であるか否かをより正しく判断することができる。
　上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
　以上の説明は、以下に付記する特徴を含む。
　［付記１］
　車載ネットワークに新たに追加される車載装置に関する所定の識別情報を取得する取得部と、
　前記取得部によって取得された前記識別情報に基づいて、前記車載装置に対する認証処理として、複数種類の認証手順のうちのいずれを適用するかを決定する決定部とを備え、
　前記車載装置は、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｕｎｉｔ）、自動運転ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）、センサ、ナビゲーション装置、ヒューマンマシンインタフェース、およびカメラであり、
　前記認証制御装置は、前記車載ネットワークにおけるデータを中継する中継装置、またはサーバに含まれ、
　前記識別情報は、前記中継装置との前記認証処理において使用される認証鍵に含まれる種別、または前記車載装置のＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ）アドレス、シリアル番号、品番もしくは型番である、認証制御装置。
　１　車両
　１１　外部ネットワーク
　１２　車載ネットワーク
　２１　取得部
　２２　決定部
　５１　中継処理部
　５２　通信ポート
　１０１　認証制御装置
　１１１　車載ＥＣＵ
　１１１Ａ　ＴＣＵ
　１１１Ｂ　増設装置
　１１１Ｃ　通信相手装置
　１５１　中継装置
　１６１　無線基地局装置
　１８１　サーバ
　２０１　通信システム
　３０１　車載通信システム

Claims (18)

  1. 　車載ネットワークに新たに追加される車載装置に関する所定の識別情報を取得する取得部と、
    　前記取得部によって取得された前記識別情報に基づいて、前記車載装置に対する認証処理として、複数種類の認証手順のうちのいずれを適用するかを決定する決定部とを備える、認証制御装置。
  2. 　前記決定部は、前記取得部によって取得された前記識別情報に基づいて前記車載装置の信頼度を判定し、判定した前記信頼度に応じた前記認証手順を決定する、請求項１に記載の認証制御装置。
  3. 　前記識別情報は、前記車載装置の取り付け作業が行われる場所を識別可能な情報である、請求項１または請求項２に記載の認証制御装置。
  4. 　前記識別情報は、前記車載装置の品番および型番の少なくともいずれか一方を示す、請求項１から請求項３のいずれか１項に記載の認証制御装置。
  5. 　前記識別情報は、前記車載装置を一意に識別可能な情報である、請求項１から請求項４のいずれか１項に記載の認証制御装置。
  6. 　前記決定部は、前記車載装置に対して過去に適用された前記認証手順にさらに基づいて、新たに適用する前記認証手順を決定する、請求項１から請求項５のいずれか１項に記載の認証制御装置。
  7. 　前記認証制御装置は、前記車載ネットワークにおけるデータを中継する中継装置に含まれる、請求項１から請求項６のいずれか１項に記載の認証制御装置。
  8. 　前記識別情報は、前記中継装置との前記認証処理において使用される認証鍵に含まれる、請求項７に記載の認証制御装置。
  9. 　前記複数種類の認証手順は、前記車載装置に対する前記認証処理を行う認証装置の数が異なる複数の認証手順を含む、請求項１から請求項８のいずれか１項に記載の認証制御装置。
  10. 　前記複数種類の認証手順は、前記車載装置に対する前記認証処理を行う認証装置が異なる複数の認証手順を含む、請求項１から請求項９のいずれか１項に記載の認証制御装置。
  11. 　前記認証処理において使用される認証鍵は、前記認証装置ごとに異なる、請求項９または請求項１０に記載の認証制御装置。
  12. 　前記認証装置には、前記車載ネットワークにおけるデータを中継する中継装置が含まれる、請求項９から請求項１１のいずれか１項に記載の認証制御装置。
  13. 　前記中継装置は、前記車載装置に対する自己の前記認証処理が成功した場合、前記車載装置の通信相手となる他の車載装置に前記認証処理の開始を指示する、請求項１２に記載の認証制御装置。
  14. 　前記中継装置は、前記車載装置に対する自己の前記認証処理が成功した場合、他の前記中継装置に前記認証処理の開始を指示する、請求項１２または請求項１３に記載の認証制御装置。
  15. 　前記複数種類の認証手順は、セキュリティレベルの異なる複数の認証手順を含む、請求項１から請求項１４のいずれか１項に記載の認証制御装置。
  16. 　前記決定部は、前記取得部によって取得された前記識別情報に基づいて前記車載装置の信頼度を判定し、判定した前記信頼度が小さいほど、前記車載装置に対する前記認証処理を行う認証装置の数が大きい前記認証手順を決定する、請求項１から請求項１５のいずれか１項に記載の認証制御装置。
  17. 　認証制御装置における認証制御方法であって、
    　車載ネットワークに新たに追加される車載装置に関する所定の識別情報を取得するステップと、
    　取得した前記識別情報に基づいて、前記車載装置に対する認証処理として、複数種類の認証手順のうちのいずれを適用するかを決定するステップとを含む、認証制御方法。
  18. 　認証制御装置において用いられる認証制御プログラムであって、
    　コンピュータを、
    　車載ネットワークに新たに追加される車載装置に関する所定の識別情報を取得する取得部と、
    　前記取得部によって取得された前記識別情報に基づいて、前記車載装置に対する認証処理として、複数種類の認証手順のうちのいずれを適用するかを決定する決定部、
    として機能させるための、認証制御プログラム。
PCT/JP2018/022351 2017-07-10 2018-06-12 認証制御装置、認証制御方法および認証制御プログラム WO2019012889A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201880044888.5A CN110832486B (zh) 2017-07-10 2018-06-12 认证控制装置、认证控制方法和认证控制程序
US16/629,982 US11444939B2 (en) 2017-07-10 2018-06-12 Authentication control device, authentication control method, and authentication control program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017134272A JP6766766B2 (ja) 2017-07-10 2017-07-10 認証制御装置、認証制御方法および認証制御プログラム
JP2017-134272 2017-07-10

Publications (1)

Publication Number Publication Date
WO2019012889A1 true WO2019012889A1 (ja) 2019-01-17

Family

ID=65002158

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/022351 WO2019012889A1 (ja) 2017-07-10 2018-06-12 認証制御装置、認証制御方法および認証制御プログラム

Country Status (4)

Country Link
US (1) US11444939B2 (ja)
JP (1) JP6766766B2 (ja)
CN (1) CN110832486B (ja)
WO (1) WO2019012889A1 (ja)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113475044A (zh) * 2019-03-05 2021-10-01 住友电气工业株式会社 管理装置、通信系统、车辆、车辆通信管理方法和车辆通信管理程序
CN113557697A (zh) * 2019-03-05 2021-10-26 住友电气工业株式会社 管理装置、车辆通信系统、车辆、车辆通信管理方法及车辆通信管理程序
JPWO2020170926A1 (ja) * 2019-02-18 2021-11-18 株式会社オートネットワーク技術研究所 車載通信装置、プログラム及び、通信方法
CN113853766A (zh) * 2019-07-05 2021-12-28 住友电气工业株式会社 中继装置和车辆通信方法
CN113994720A (zh) * 2019-08-01 2022-01-28 住友电气工业株式会社 中继装置、车辆通信系统、车辆、通信方法及通信程序

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113853769B (zh) * 2019-05-30 2023-05-23 住友电气工业株式会社 设定装置、通信系统以及车辆通信管理方法
JP7491362B2 (ja) * 2020-02-18 2024-05-28 住友電気工業株式会社 セキュリティシステム、車両、セキュリティ装置および正当性判断方法
JP7355073B2 (ja) * 2021-05-19 2023-10-03 トヨタ自動車株式会社 車両制御装置、車両、車両制御方法及びプログラム
JP2024112382A (ja) * 2023-02-08 2024-08-21 株式会社オートネットワーク技術研究所 車載中継装置、中継方法、及びコンピュータプログラム
JP2024112381A (ja) * 2023-02-08 2024-08-21 株式会社オートネットワーク技術研究所 車載中継装置、中継方法、及びコンピュータプログラム

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10304333A (ja) * 1997-02-28 1998-11-13 Matsushita Electric Ind Co Ltd デジタル著作物の著作権保護のための暗号技術利用プロトコルを複数から選択して使用する情報機器
JP2005196568A (ja) * 2004-01-08 2005-07-21 Denso Corp 車両の部品管理方法及び装置、車両の部品管理データ更新方法及び装置、並びに車両部品管理センタ
CN105099689A (zh) * 2014-05-15 2015-11-25 比亚迪股份有限公司 车载电子设备的更换系统和方法
JP2015233176A (ja) * 2014-06-09 2015-12-24 三菱電機株式会社 認証システム、及び認証方法
JP2017079369A (ja) * 2015-10-19 2017-04-27 トヨタ自動車株式会社 車両システムおよび認証方法

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6182215B1 (en) * 1997-02-28 2001-01-30 Matsushita Electric Industrial Co., Ltd. Information devices which select and use one out of plurality of encryption utilization protocols for protecting copyrights of digital productions
US8230149B1 (en) * 2007-09-26 2012-07-24 Teradici Corporation Method and apparatus for managing a peripheral port of a computer system
JP5479408B2 (ja) * 2011-07-06 2014-04-23 日立オートモティブシステムズ株式会社 車載ネットワークシステム
JP5651615B2 (ja) 2012-02-16 2015-01-14 日立オートモティブシステムズ株式会社 車載ネットワークシステム
US10095571B2 (en) * 2016-01-04 2018-10-09 SmarterHi Communications Private Limited System and method for managing devices relayed via an established session
JP6684690B2 (ja) * 2016-01-08 2020-04-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正検知方法、監視電子制御ユニット及び車載ネットワークシステム

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10304333A (ja) * 1997-02-28 1998-11-13 Matsushita Electric Ind Co Ltd デジタル著作物の著作権保護のための暗号技術利用プロトコルを複数から選択して使用する情報機器
JP2005196568A (ja) * 2004-01-08 2005-07-21 Denso Corp 車両の部品管理方法及び装置、車両の部品管理データ更新方法及び装置、並びに車両部品管理センタ
CN105099689A (zh) * 2014-05-15 2015-11-25 比亚迪股份有限公司 车载电子设备的更换系统和方法
JP2015233176A (ja) * 2014-06-09 2015-12-24 三菱電機株式会社 認証システム、及び認証方法
JP2017079369A (ja) * 2015-10-19 2017-04-27 トヨタ自動車株式会社 車両システムおよび認証方法

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPWO2020170926A1 (ja) * 2019-02-18 2021-11-18 株式会社オートネットワーク技術研究所 車載通信装置、プログラム及び、通信方法
CN113475044A (zh) * 2019-03-05 2021-10-01 住友电气工业株式会社 管理装置、通信系统、车辆、车辆通信管理方法和车辆通信管理程序
CN113557697A (zh) * 2019-03-05 2021-10-26 住友电气工业株式会社 管理装置、车辆通信系统、车辆、车辆通信管理方法及车辆通信管理程序
CN113557697B (zh) * 2019-03-05 2023-03-24 住友电气工业株式会社 管理装置、车辆通信系统、车辆、车辆通信管理方法及车辆通信管理程序
CN113853766A (zh) * 2019-07-05 2021-12-28 住友电气工业株式会社 中继装置和车辆通信方法
CN113853766B (zh) * 2019-07-05 2024-03-05 住友电气工业株式会社 中继装置和车辆通信方法
CN113994720A (zh) * 2019-08-01 2022-01-28 住友电气工业株式会社 中继装置、车辆通信系统、车辆、通信方法及通信程序
CN113994720B (zh) * 2019-08-01 2024-01-09 住友电气工业株式会社 中继装置、车辆通信系统、车辆、通信方法及通信程序

Also Published As

Publication number Publication date
JP6766766B2 (ja) 2020-10-14
US20200137049A1 (en) 2020-04-30
US11444939B2 (en) 2022-09-13
CN110832486A (zh) 2020-02-21
JP2019016247A (ja) 2019-01-31
CN110832486B (zh) 2023-10-24

Similar Documents

Publication Publication Date Title
JP6766766B2 (ja) 認証制御装置、認証制御方法および認証制御プログラム
EP2681901B1 (en) Vehicle network system
US9132790B2 (en) In-vehicle network system
JP5651615B2 (ja) 車載ネットワークシステム
US20140297109A1 (en) In-vehicle communication system and in-vehicle relay apparatus
WO2012063724A1 (ja) 車載ネットワークシステム
EP3399691B1 (en) Onboard computer system, vehicle, management method, and computer program
KR20160092496A (ko) 통신 장치, lsi, 프로그램 및 통신 시스템
CN111788796B (zh) 车载通信系统、交换装置、验证方法和计算机可读存储介质
JP2024088803A (ja) 中継装置、車両通信方法および車両通信プログラム
JP2005203882A (ja) 通信システム及び鍵送信方法
US11916903B2 (en) Method for setting up authorization verification for a first device
JP2018041200A (ja) 車載通信機、管理装置、管理方法および監視プログラム
JP2024020560A (ja) 設定装置、通信システムおよび車両通信管理方法
JP2013142963A (ja) 車載制御装置の認証システム
JP7425016B2 (ja) 車載中継装置
US20230129128A1 (en) Secure and documented key access by an application
JP4767736B2 (ja) 基地局装置、認証サーバ、移動局装置、及び通信制御方法
JP5108634B2 (ja) 鍵交換方法
JP2005065237A (ja) 通信装置、通信システム、異常検知方法及びプログラム
JP2023059006A (ja) 制御装置及び制御システム
JP2022078868A (ja) 車両通信システム、通信方法及び通信プログラム
JP2008278133A (ja) ネットワーク認証手段、端末装置、ネットワーク認証システム及び認証方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18831133

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18831133

Country of ref document: EP

Kind code of ref document: A1