特開 2022-173923 車載中継装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022173923

(43)【公開日】2022-11-22

(54)【発明の名称】車載中継装置

(51)【国際特許分類】

   H04L 12/46 20060101AFI20221115BHJP

   G06F 21/44 20130101ALI20221115BHJP

   G09C 1/00 20060101ALI20221115BHJP

   H04L 9/32 20060101ALI20221115BHJP

【ＦＩ】

H04L12/46 100C

G06F21/44

G09C1/00 640E

H04L9/00 675A

【審査請求】有

【請求項の数】5

【出願形態】ＯＬ

(21)【出願番号】P 2021079984

(22)【出願日】2021-05-10

(71)【出願人】

【識別番号】000002967

【氏名又は名称】ダイハツ工業株式会社

(74)【代理人】

【識別番号】100129643

【弁理士】

【氏名又は名称】皆川 祐一

(72)【発明者】

【氏名】斉藤 大起

(72)【発明者】

【氏名】岡村 建作

(72)【発明者】

【氏名】中西 雷太

(72)【発明者】

【氏名】中野 英茂

【テーマコード（参考）】

5K033

【Ｆターム（参考）】

5K033AA08

5K033BA06

5K033CB06

5K033DA06

5K033DB18

(57)【要約】

【課題】セキュリティ対策の強化を図ることができる、車載中継装置を提供する。
【解決手段】ゲートウェイＥＣＵ３には、第１ＣＰＵ１１および第２ＣＰＵ１２が備えられている。第１ＣＰＵ１１は、車両の内部の車載ネットワーク２から切り離されており、車両の外部との通信は、第１ＣＰＵ１１により行われる。一方、第２ＣＰＵ１２は、車両の外部から切り離して設けられ、車載ネットワーク２に通信可能に接続されている。そして、第１ＣＰＵ１１は、車載ネットワーク２に対する攻撃を検知する攻撃検知部２１を有し、第２ＣＰＵ１２は、第１ＣＰＵ１１が攻撃を受けたか否かを判定する攻撃判定部３１と、第１ＣＰＵ１１に対するＣ＆Ｒ認証の結果から第１ＣＰＵ１１が攻撃を受けたか否かを判定するＣ＆Ｒ侵入判定部４１とを有している。
【選択図】図１

【特許請求の範囲】

【請求項1】

車両に搭載されて、前記車両の外部と内部の車載ネットワークとの間の通信を中継する車載中継装置であって、
前記車載ネットワークから切り離して設けられ、前記車両の外部と通信を行う第１装置と、
前記車両の外部から切り離して設けられ、前記第１装置に第１通信線を介して通信可能に接続されるとともに、前記車載ネットワークに通信可能に接続される第２装置と、を備え、
前記第１装置は、前記車載ネットワークに対する攻撃を検知し、当該攻撃を検知した場合に前記第１通信線を介して前記第２装置に通知する検知手段、を有し、
前記第２装置は、
前記第１装置から前記第１通信線を介して受信する情報に基づいて、前記第１装置が攻撃を受けたか否かを判定する判定手段と、
前記第１装置に対して暗号鍵を用いた認証を行う認証手段と、を有し、
前記判定手段により前記第１装置が攻撃を受けたと判定されるか、または、前記認証手段による認証に失敗した場合に、所定の対応を行う、車載中継装置。

【請求項2】

前記第１装置と前記第２装置とは、前記第１通信線とは別の第２通信線を介して通信可能に接続され、
前記認証手段は、前記第２通信線を介した前記第１装置との通信により認証を行う、請求項１に記載の車載中継装置。

【請求項3】

前記第１通信線を介した通信は、前記車載ネットワークにおける通信と同じ通信方式を採用し、
前記第２通信線を介した通信は、前記第１通信線を介した通信とは異なる通信方式を採用している、請求項２に記載の車載中継装置。

【請求項4】

前記第１装置は、リプログラミングされるソフトウェアが格納されるリプログラミング領域と、暗号鍵が格納されるセキュアメモリ領域とを有し、
前記暗号鍵は、前記セキュアメモリ領域に格納されている、請求項１～３のいずれか一項に記載の車載中継装置。

【請求項5】

前記暗号鍵は、前記車載中継装置ごとに設定された個別鍵である、請求項１～４のいずれか以降に記載の車載中継装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、車両に搭載されて、車両の外部と内部の車載ネットワークとの通信を中継する装置に関する。

【背景技術】

【0002】

最近の車両には、車両の外部と内部のＣＡＮ（Controller Area Network）などの車載ネットワークとの間で通信を行うコネクテッド機能が搭載されてきている。

【0003】

コネクテッド機能を搭載した車両は、外部から車載ネットワークへの攻撃の対象となる可能性がある。車載ネットワークには、複数のＥＣＵ（Electronic Control Unit：電子制御ユニット）が接続されており、各ＥＣＵにより、エンジンおよびブレーキなどの各部の制御が行われる。そのため、車載ネットワークが外部から攻撃を受けて、ＥＣＵのソフトウェアや制御データが改ざんされると、車両の各部が誤動作するおそれがある。

【0004】

そこで、かかる車両では、車両の外部と車載ネットワークとの通信を中継するゲートウェイＥＣＵ（Electronic Control Unit：電子制御ユニット）が設けられ、ゲートウェイＥＣＵに、外部からの攻撃を検出して、車載ネットワークを防御する機能が盛り込まれている。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２０１６－１１６０７５号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

ところが、自動運転技術などの発展に伴い、車載ネットワークへの攻撃が深刻な問題となっており、セキュリティ対策の強化が重要な課題となっている。

【0007】

本発明の目的は、セキュリティ対策の強化を図ることができる、車載中継装置を提供することである。

【課題を解決するための手段】

【0008】

前記の目的を達成するため、本発明に係る車載中継装置は、車両に搭載されて、車両の外部と内部の車載ネットワークとの間の通信を中継する車載中継装置であって、車載ネットワークから切り離して設けられ、車両の外部と通信を行う第１装置と、車両の外部から切り離して設けられ、第１装置に第１通信線を介して通信可能に接続されるとともに、車載ネットワークに通信可能に接続される第２装置とを備え、第１装置は、車載ネットワークに対する攻撃を検知し、当該攻撃を検知した場合に第１通信線を介して第２装置に通知する検知手段を有し、第２装置は、第１装置から第１通信線を介して受信する情報に基づいて、第１装置が攻撃を受けたか否かを判定する判定手段と、第１装置に対して暗号鍵を用いた認証を行う認証手段とを有し、判定手段により第１装置が攻撃を受けたと判定されるか、または、認証手段による認証に失敗した場合に、所定の対応を行う。

【0009】

この構成によれば、車載中継装置には、第１装置および第２装置が備えられている。第１装置は、車両の内部の車載ネットワークから切り離されており、車両の外部との通信は、第１装置により行われる。一方、第２装置は、車両の外部から切り離して設けられ、車載ネットワークに通信可能に接続されている。そして、第１装置は、車載ネットワークに対する攻撃を検知する検知手段を有し、第２装置は、第１装置が攻撃を受けたか否かを判定する判定手段と、第１装置に対して暗号鍵を用いた認証を行う認証手段とを有している。第２装置では、第１装置が攻撃を受けたと判定された場合、所定の対応が行われる。また、第１装置が攻撃を受けたと判定されなくても、認証手段による認証に失敗した場合、所定の対応が行われる。

【0010】

これにより、車両の外部からの車載ネットワークへの攻撃の対策として、第１装置の検知手段を第１層の防御層とし、第２装置の判定手段を第２層の防御層とする多層防御が構築される。この多層防御の構築により、セキュリティ対策の強化を図ることができる。

【0011】

所定の対応は、たとえば、第１装置から受信したメッセージを破棄するという対応であってもよい。

【0012】

これにより、外部からの攻撃を受けた第１装置が不正メッセージを第２装置に向けて送信しても、その不正メッセージが破棄されるので、車載ネットワークが不正メッセージによる攻撃を受けることを防止でき、車載ネットワークによる通信を継続できる。

【0013】

第１装置と第２装置とは、第１通信線とは別の第２通信線を介して通信可能に接続され、認証手段は、第２通信線を介した第１装置との通信により認証を行ってもよい。

【0014】

たとえば、第１装置から第２装置を経由して車載ネットワークに送信されるメッセージは、第１装置と第２装置との間で第１通信線を伝送されるのに対し、認証用の暗号鍵を含むデータは、第１装置と第２装置との間で第２通信線を伝送される。そのため、認証が行われるときに、第２通信線への不正データの流し込みを受けることを抑制できる。また、第２装置が第１装置から第２通信線を介して不正データを受信した場合には、第１装置が外部からの攻撃を受けたと即座に判定することができる。

【0015】

第１通信線を介した通信は、車載ネットワークにおける通信と同じ通信方式を採用し、第２通信線を介した通信は、第１通信線を介した通信とは異なる通信方式を採用していることが好ましい。

【0016】

第１通信線を介した通信と第２通信線を介した通信とが同一の通信方式である場合、第１装置が外部から不正データを受信した場合に、その不正データが通信プロトコルの変換なしで第２通信線に流し込まれる可能性がある。第１通信線を介した通信と第２通信線を介した通信との通信方式が異なることにより、第１装置が外部から受信した不正データを第２通信線に流し込むには、通信プロトコルの変換が必要となるので、その攻撃に対する耐性をより高くすることができる。

【0017】

第１装置は、リプログラミングされるソフトウェアが格納されるリプログラミング領域と、暗号鍵が格納されるセキュアメモリ領域とを有し、暗号鍵は、セキュアメモリ領域に格納されていてもよい。

【0018】

これにより、ソフトウェアよりも高いセキュリティレベルで暗号鍵を保管することができ、セキュリティ性を高めることができる。その結果、暗号鍵の書き換えを防止でき、暗号鍵を用いた認証の精度を高めることができる。

【0019】

暗号鍵は、車載中継装置ごとに設定された個別鍵であってもよい。

【0020】

これにより、車載中継装置の外部に同一の暗号鍵が存在しないので、暗号鍵の漏洩の危険性を低下させることができる。また、暗号鍵が外部に漏洩したとしても、その暗号鍵を他の車載中継装置で第２装置による第１装置の認証に使用できないので、他の車両の車載ネットワークに対する攻撃の危険性に影響を及ぼさない。

【発明の効果】

【0021】

本発明によれば、車載ネットワークの攻撃に対して、セキュリティ対策の強化を図ることができる。

【図面の簡単な説明】

【0022】

【図1】本発明の一実施形態に係る車載中継装置（ゲートウェイＥＣＵ）を含む車載通信システム１の構成を示す図である。

【図2】第１ＣＰＵにより起動時に行われる処理の流れを示すフローチャートである。

【図3】第１ＣＰＵによりメッセージ受信時に行われる処理の流れを示すフローチャートである。

【図4】第１ＣＰＵによりスキャンツールの接続時に行われる処理の流れを示すフローチャートである。

【図5】第２ＣＰＵにより起動後に行われる処理の流れを示すフローチャートである。

【発明を実施するための形態】

【0023】

以下では、本発明の実施の形態について、添付図面を参照しつつ詳細に説明する。

【0024】

＜車載通信システム＞
図１は、本発明の一実施形態に係るゲートウェイＥＣＵ３を含む車載通信システム１の構成を示す図である。

【0025】

車載通信システム１は、自動車などの車両に搭載されて、車両の外部と内部の車載ネットワーク２との間で通信を可能にするコネクテッド機能のためのシステムである。車載通信システム１には、車載ネットワーク２、ゲートウェイＥＣＵ（Electronic Control Unit：電子制御ユニット）３、ＴＣＵ（Telematics Communication Unit）４およびＤＬＣ（Data Link Connector）５が含まれる。

【0026】

車載ネットワーク２は、たとえば、ＣＡＮ（Controller Area Network）通信プロトコルによる通信が可能なネットワークである。車載ネットワーク２には、複数のバス（伝送線路）６が設けられており、各バス６には、車両の各部を制御するための複数のＥＣＵ７が接続されている。ＥＣＵ７には、車両のイグニッションスイッチがオフの状態でも動作可能なボデーＥＣＵ７Ａ、車両のコンビネーションメータに配設された機器（たとえば、マルチインフォメーションディスプレイなど）を制御するメータＥＣＵ７Ｂなどが含まれる。

【0027】

ゲートウェイＥＣＵ３には、ＴＣＵ４、ＯＢＤ５および各バス６が接続されている。ゲートウェイＥＣＵ３は、車載ネットワーク２とＴＣＵ４との間および車載ネットワーク２とＯＢＤ５との間でメッセージを中継する機能と、車載ネットワーク２の各バス６間でメッセージを中継する機能とを有している。また、ゲートウェイＥＣＵ３は、外部からの車載ネットワーク２に対する攻撃を検知して、その攻撃から車載ネットワーク２を防御するセキュリティ機能を有している。

【0028】

ＴＣＵ４は、車両に搭載されるデータ通信機であり、車両のユーザに種々の情報やサービスを提供するために、移動体無線データ通信などを利用して、サービスセンタのサーバ８とデータ通信を行う。ユーザに提供されるサービスには、たとえば、乗車前にエアコンディショナを作動させるなど、車両を遠隔操作するリモートサービスが含まれる。なお、本実施の形態では、データ通信機としてＴＣＵ４を用いているが、これに代えて、スマートフォンなどの携帯端末を用いてもよい。

【0029】

ＤＬＣ５は、ＯＢＤ（On-Board Diagnostics：オン・ボード・ダイアグノーシス）による故障コードなどの読み出しのために、スキャンツール９が接続されるコネクタである。

【0030】

＜ゲートウェイＥＣＵ＞
ゲートウェイＥＣＵ３には、第１ＣＰＵ（Central Processing Unit）１１および第２ＣＰＵ１２が備えられている。第１ＣＰＵ１１には、ＴＣＵ４およびＤＬＣ５が接続され、車載ネットワーク２から切り離して設けられている。第２ＣＰＵ１２は、ＴＣＵ４およびＤＬＣ５から切り離され、車載ネットワーク２に通信可能に接続されている。また、第１ＣＰＵ１１と第２ＣＰＵ１２とは、通信線Ｘにより通信可能に接続されている。この通信線Ｘを使用する通信は、車載ネットワーク２と同じ通信方式、つまりＣＡＮ通信プロトコルによる通信方式で行われる。

【0031】

第１ＣＰＵ１１および第２ＣＰＵ１２には、それぞれセキュアメモリ１３，１４が内蔵されている。セキュアメモリ１３，１４は、たとえば、フラッシュメモリやＥ２ＰＲＯＭなどのデータの書き換えが可能な不揮発性メモリからなる。また、ゲートウェイＥＣＵ３には、ＨＳＭ（Hardware Security Module）が備えられており、セキュアメモリ１３，１４に記憶されているプログラムコードやパラメータデータなどのデータは、ＨＳＭの機能によるセキュア認証を経て書き換えることができる。

【0032】

＜第１ＣＰＵ＞
第１ＣＰＵ１１は、外部からの攻撃に対するセキュリティ機能のための機能処理部として、攻撃検知部２１、転送判定部２２、攻撃情報管理部２３およびソフトウェア起動部２４を実質的に備えている。これらの機能処理部は、プログラム処理によってソフトウエア的に実現されるか、または、論理回路などのハードウェアにより実現される。

【0033】

攻撃検知部２１は、ファイアウォールとしての機能を有している。すなわち、攻撃検知部２１は、車両の外部からの車載ネットワーク２に対する攻撃を検知する攻撃検知機能と、その攻撃から車載ネットワーク２およびゲートウェイＥＣＵ３を保護する保護機能とを有している。

【0034】

セキュアメモリ１３には、車載ネットワーク２で通信可能なメッセージに使用されるＩＤ（Identifier）を登録したホワイトリストが記憶されている。攻撃検知部２１は、外部からＴＣＵ４またはＯＢＤ５経由で第１ＣＰＵ１１がメッセージを受信すると、ホワイトリストに登録されているＩＤ（以下、「登録ＩＤ」という。）がメッセージに使用されているか否かを調べる。そして、攻撃検知部２１は、登録ＩＤがメッセージに使用されている場合、そのメッセージが正規のメッセージであると判断する。この場合、攻撃検知部２１から転送判定部２２にメッセージが送信される。

【0035】

一方、攻撃検知部２１は、登録ＩＤがメッセージに使用されていない場合には、そのメッセージの受信を外部からの車載ネットワーク２に対する攻撃として検知する。攻撃検知部２１は、外部からの攻撃を検知した場合、その登録ＩＤが使用されていないメッセージを不正メッセージとして破棄し、外部からの車載ネットワーク２に対する攻撃を受けたことを転送判定部２２に通知する。

【0036】

転送判定部２２は、攻撃検知部２１からメッセージを受信した場合、そのメッセージを第２ＣＰＵ１２に転送（中継）する。一方、転送判定部２２は、攻撃検知部２１から攻撃を受けたことの通知（以下、「受攻撃の通知」という。）を受信した場合、その通知を第２ＣＰＵ１２に転送する。

【0037】

また、攻撃検知部２１により外部からの車載ネットワーク２に対する攻撃が検知された場合、攻撃検知部２１から攻撃情報管理部２３に、攻撃の内容（たとえば、メッセージの送信先の情報など）と攻撃を受けた日時とを含む攻撃情報が送信される。攻撃情報管理部２３は、攻撃検知部２１から攻撃情報を受信した場合、その攻撃情報をセキュアメモリ１３に記憶させる。そして、ＴＣＵ４がサーバ８から攻撃情報の送信の要求を受信した場合、攻撃情報管理部２３は、要求に従い、セキュアメモリ１３から攻撃情報を読み出して、その読み出した攻撃情報をＴＣＵ４経由でサーバ８に送信する。また、ＤＬＣ５に接続されたスキャンツール９から第１ＣＰＵ１１に攻撃情報の出力の要求が入力された場合、攻撃情報管理部２３は、要求に従い、セキュアメモリ１３から攻撃情報を読み出して、その読み出した攻撃情報をスキャンツール９に出力する。

【0038】

ソフトウェア起動部２４は、車両のイグニッションスイッチがオンにされたこと、または、車両の各ＥＣＵがドミナントウェイクアップしたことを検出し、セキュアメモリ１３に記憶されているソフトウェアを起動させる。ソフトウェア起動部２４は、ソフトウェア改ざん検知機能を有しており、ソフトウェアの起動時に、ソフトウェアの改ざんを検知するため、ソフトウェアに付与されているデジタル署名とセキュアメモリ１３に格納されている署名情報（ハッシュ値やサム値など）との整合を確認する。その確認の結果、ソフトウェアの改ざんが検知されなければ、ソフトウェア起動部２４は、そのソフトウェアを起動する。ソフトウェアの改ざんが検知された場合、ソフトウェア起動部２４は、そのソフトウェアを起動しない。ソフトウェアの改ざんが検知された場合、第１ＣＰＵ１１は、動作を停止する。

【0039】

＜第２ＣＰＵ＞
第２ＣＰＵ１２は、車載ネットワーク２への攻撃に対するセキュリティ機能のための機能処理部として、攻撃判定部３１、転送判定部３２、攻撃通知部３３およびソフトウェア起動部３４を実質的に備えている。これらの機能処理部は、プログラム処理によってソフトウエア的に実現されるか、または、論理回路などのハードウェアにより実現される。

【0040】

攻撃判定部３１は、車両の外部からの車載ネットワーク２に対する攻撃を第１ＣＰＵ１１が受けたか否かを判定する。

【0041】

具体的には、攻撃判定部３１は、第１ＣＰＵ１１から受攻撃の通知を受信した場合、第１ＣＰＵ１１が外部から攻撃を受けたと判定する。そして、攻撃判定部３１は、第１ＣＰＵ１１との通信を切断（遮断）し、第１ＣＰＵ１１が外部からの攻撃を受けたことを攻撃通知部３３に通知する。

【0042】

また、セキュアメモリ１４には、セキュアメモリ１３に記憶されているホワイトリストと同一のホワイトリストが記憶されている。攻撃判定部３１は、第１ＣＰＵ１１からメッセージ（第１ＣＰＵ１１により中継されるメッセージ）を受信すると、そのメッセージに登録ＩＤが使用されているか否かを調べる。そして、攻撃判定部３１は、登録ＩＤがメッセージに使用されている場合、そのメッセージが正規のメッセージであると判断する。この場合、攻撃判定部３１から転送判定部３２にメッセージが転送される。一方、登録ＩＤがメッセージに使用されていない場合には、攻撃判定部３１は、第１ＣＰＵ１１が外部から攻撃を受けたと判定し、そのメッセージを不正メッセージとして破棄する。そして、攻撃判定部３１は、第１ＣＰＵ１１との通信を切断し、第１ＣＰＵ１１が外部からの攻撃を受けたことを攻撃通知部３３に通知する。

【0043】

さらに、第１ＣＰＵ１１が起動時にソフトウェアの改ざんを検知した場合、第１ＣＰＵ１１の動作が停止し、第１ＣＰＵ１１から第２ＣＰＵ１２にメッセージが送信されない状態が続く。攻撃判定部３１は、第１ＣＰＵ１１からメッセージを受信しない状態が一定時間続くと、第１ＣＰＵ１１が外部から攻撃を受けたと判定してもよい。そして、攻撃判定部３１は、第１ＣＰＵ１１との通信を切断し、第１ＣＰＵ１１が外部からの攻撃を受けたことを攻撃通知部３３に通知してもよい。

【0044】

転送判定部３２は、攻撃判定部３１からメッセージを受信した場合、そのメッセージを車載ネットワーク２に転送（中継）する。メッセージは、メッセージに含まれるＩＤに応じた送信先のＥＣＵ７が受信する。

【0045】

また、攻撃判定部３１から攻撃通知部３３に第１ＣＰＵ１１の受攻撃が通知された場合、攻撃通知部３３は、ＴＣＵ４と通信線Ｙにより通信可能に接続されたボデーＥＣＵ７Ａ経由にて、第１ＣＰＵ１１が外部から攻撃を受けたことをＴＣＵ４に通知してもよい。ＴＣＵ４は、その通知を受けて、第１ＣＰＵ１１（第１ＣＰＵ１１を含むゲートウェイＥＣＵ３を搭載した車両）が外部から車載ネットワーク２に対する攻撃を受けたことの情報をサーバ８にアップロードする。

【0046】

ソフトウェア起動部３４は、車両のイグニッションスイッチがオンにされたこと、または、車両の各ＥＣＵがドミナントウェイクアップしたことを検出し、セキュアメモリ１４に記憶されているソフトウェアを起動させる。ソフトウェア起動部３４は、ソフトウェア改ざん検知機能を有しており、ソフトウェアの起動時に、ソフトウェアの改ざんを検知するため、ソフトウェアに付与されているデジタル署名とセキュアメモリ３３に格納されている署名情報（ハッシュ値やサム値など）との整合を確認する。その確認の結果、ソフトウェアの改ざんが検知されなければ、ソフトウェア起動部３４は、そのソフトウェアを起動する。ソフトウェアの改ざんが検知された場合、ソフトウェア起動部３４は、そのソフトウェアを起動しない。ソフトウェアの改ざんが検知された場合、第２ＣＰＵ１２は、動作を停止する。

【0047】

＜Ｃ＆Ｒ侵入判定＞
また、第２ＣＰＵ１２では、第１ＣＰＵ１１に対してＣ＆Ｒ（チャレンジ＆レスポンス）認証が行われて、そのＣ＆Ｒ認証の結果に認証失敗であった場合、第１ＣＰＵが外部からの攻撃（侵入）を受けたと判定される。このＣ＆Ｒ侵入判定は、ゲートウェイＥＣＵ３の動作中、一定の周期で定期的に行われる。

【0048】

Ｃ＆Ｒ侵入判定のため、第２ＣＰＵ１２は、Ｃ＆Ｒ侵入判定部４１を実質的に備え、第１ＣＰＵ１１は、Ｃ＆Ｒ演算部４２を実質的に備えている。Ｃ＆Ｒ侵入判定部４１とＣ＆Ｒ演算部４２とは、通信線Ｚにより通信可能に接続されている。Ｃ＆Ｒ侵入判定部４１とＣ＆Ｒ演算部４２との間では、通信線Ｚを介して、ＣＡＮ通信プロトコルとは異なる通信プロトコル、たとえば、ＳＰＩ（Serial Peripheral Interface）通信プロトコルによる通信が行われる。

【0049】

第２ＣＰＵ１２に接続されたメモリ１４には、Ｃ＆Ｒ認証に用いる暗号鍵が記憶されている。また、第１ＣＰＵ１１に接続されたメモリ１３には、リプログラミングされるソフトウェアが格納されるリプログラミング領域と、データを高度セキュリティ下で保存されるセキュアメモリ領域とが設定されており、セキュアメモリ領域に、Ｃ＆Ｒ認証に用いる暗号鍵が記憶されている。暗号鍵は、たとえば、共通鍵であり、ゲートウェイＥＣＵ３のみに設定された個別鍵である。

【0050】

Ｃ＆Ｒ認証では、Ｃ＆Ｒ侵入判定部４１がチャレンジコードをＣ＆Ｒ演算部４２に送信する。Ｃ＆Ｒ演算部４２は、チャレンジコードを受信すると、メモリ１３に記憶されている暗号鍵を用いた演算処理を行う。そして、Ｃ＆Ｒ演算部４２は、その演算処理で生成されたレスポンスコード（ハッシュ値など）をＣ＆Ｒ侵入判定部４２に送信する。Ｃ＆Ｒ侵入判定部４２は、チャレンジコードに対してメモリ１４に記憶されている暗号鍵を用いた演算処理を行い、その演算処理で生成されるレスポンスコードとＣ＆Ｒ演算部４２から受信したレスポンスコードとを比較し、それらが一致した場合、認証成功と判定し、それらが一致しなかった場合、認証失敗と判定する。そして、Ｃ＆Ｒ侵入判定部４２は、Ｃ＆Ｒ認証の結果が認証成功であった場合、第１ＣＰＵ１１が外部から攻撃を受けていないと判定し、Ｃ＆Ｒ認証の結果が認証失敗であった場合、第１ＣＰＵ１１が外部から攻撃を受けていると判定する。

【0051】

Ｃ＆Ｒ侵入判定部４１は、その判定結果を攻撃判定部３１に通知する。攻撃判定部３１は、第１ＣＰＵ１１が外部から攻撃を受けているとの判定結果を受け取った場合には、第１ＣＰＵ１１との通信を切断し、第１ＣＰＵ１１が外部からの攻撃を受けたことを攻撃通知部３３に通知する。

【0052】

＜フローチャート＞
外部からの攻撃に対するセキュリティ機能による第１ＣＰＵ１１および第２ＣＰＵ１２の処理動作は、前述したとおりであるが、以下では、その処理動作を時系列に沿って説明する。

【0053】

図２は、第１ＣＰＵ１１により起動時に行われる処理の流れを示すフローチャートである。

【0054】

第１ＣＰＵ１１の起動時には、第１ＣＰＵ１１により、図２に示される処理が行われる。

【0055】

図２に示される処理では、ソフトウェア改ざん検知機能により、セキュアメモリ１３に記憶されているソフトウェアが改ざんされていないかがチェックされる（ステップＳ１１）。

【0056】

ソフトウェアが改ざんされていない場合（ステップＳ１２のＮＯ）、そのソフトウェアが起動される（ステップＳ１３）。ソフトウェアが改ざんされている場合、そのソフトウェアは起動されず、第１ＣＰＵ１１の動作が停止される（ステップＳ１４）。

【0057】

図３は、第１ＣＰＵ１１によりメッセージ受信時に行われる処理の流れを示すフローチャートである。

【0058】

第１ＣＰＵ１１が外部からＴＣＵ４またはＤＬＣ５経由でメッセージを受信すると、第１ＣＰＵ１１により、図３に示される処理が行われる。

【0059】

図３に示される処理では、第１ＣＰＵ１１が受信したメッセージ（受信メッセージ）に登録ＩＤが使用されているか否かが判断される。登録ＩＤが受信メッセージに使用されている場合、その受信メッセージは、正規のメッセージである。一方、登録ＩＤが受信メッセージに使用されていない場合、その受信メッセージは、不正メッセージである。

【0060】

受信メッセージが正規のメッセージである場合（ステップＳ２１のＮＯ）、その正規のメッセージが第１ＣＰＵ１１から第２ＣＰＵ１２に転送される（ステップＳ２２）。

【0061】

受信メッセージが不正メッセージである場合（ステップＳ２１のＹＥＳ）、その不正メッセージが破棄される（ステップＳ２３）。また、第１ＣＰＵ１１が外部から車載ネットワーク２に対する攻撃を受けたことが第２ＣＰＵ１２に通知される（ステップＳ２４）。さらに、攻撃の内容と攻撃を受けた日時とを含む攻撃情報がメモリ１３に記憶される（ステップＳ２５）。

【0062】

図４は、第１ＣＰＵ１１によりスキャンツール９の接続時に行われる処理の流れを示すフローチャートである。

【0063】

スキャンツール９がＤＬＣ５に接続されている間、第１ＣＰＵ１１により、図４に示される処理が繰り返し行われる。

【0064】

図４に示される処理では、スキャンツール９からＤＬＣ５経由で、攻撃情報の出力の要求が入力されたか否かが判断される（ステップＳ３１）。

【0065】

攻撃情報の出力の要求が入力されていない場合（ステップＳ３１のＮＯ）、図４に示される処理が一旦終了されて、所定のタイミングが到来すると、図４に示される処理が再び開始される。

【0066】

スキャンツール９から攻撃情報の出力の要求が出されて、その要求が第１ＣＰＵ１１に入力されると（ステップＳ３１のＹＥＳ）、要求に従い、セキュアメモリ１３から攻撃情報が読み出されて、その読み出された攻撃情報がＤＬＣ５経由でスキャンツール９に出力される（ステップＳ３２）。

【0067】

図５は、第２ＣＰＵ１２により起動後に行われる処理の流れを示すフローチャートである。

【0068】

第２ＣＰＵ１２の起動後、第２ＣＰＵ１２により、図５に示される処理が繰り返し行われる。

【0069】

図５に示される処理では、第１ＣＰＵ１１と第２ＣＰＵ１２との通信が切断されているか否かが判断される（ステップＳ４１）。第１ＣＰＵ１１と第２ＣＰＵ１２との通信が切断されている状況では（ステップＳ４１のＹＥＳ）、図５に示される処理が一旦終了されて、所定のタイミングが到来すると、図５に示される処理が再び開始される。

【0070】

第１ＣＰＵ１１と第２ＣＰＵ１２との通信が切断されていない場合（ステップＳ４１のＮＯ）、Ｃ＆Ｒ認証の結果が認証失敗であったか否かが判定される（ステップＳ４２）。Ｃ＆Ｒ認証の結果が認証失敗であった場合（ステップＳ４２のＹＥＳ）、第１ＣＰＵ１１が外部から攻撃を受けたと判定されて、第１ＣＰＵ１１との通信が切断される（ステップＳ４３）。第１ＣＰＵ１１が外部から攻撃を受けたことは、第２ＣＰＵ１２からボデーＥＣＵ７Ａ経由でＴＣＵ４に通知されてもよい（ステップＳ４４）。

【0071】

一方、Ｃ＆Ｒ認証の結果が認証失敗でなかった場合、つまり認証成功であった場合（ステップＳ４２のＮＯ）、第１ＣＰＵ１１から受攻撃の通知を受信したか否かが判断される（ステップＳ４５）。

【0072】

第２ＣＰＵ１２が第１ＣＰＵ１１から受攻撃の通知を受信している場合（ステップＳ４５のＹＥＳ）、第１ＣＰＵ１１が外部から攻撃を受けたと判定されて、第１ＣＰＵ１１との通信が切断される（ステップＳ４３）。そして、第１ＣＰＵ１１が外部から攻撃を受けたことがボデーＥＣＵ７Ａ経由でＴＣＵ４に通知される（ステップＳ４４）。

【0073】

なお、Ｃ＆Ｒ認証の結果が認証失敗であったか否かの判定と、第１ＣＰＵ１１から受攻撃の通知を受信したか否かの判断とは、先後が逆であってもよい。

【0074】

一方、第２ＣＰＵ１２が第１ＣＰＵ１１から受攻撃の通知を受信していない場合（ステップＳ４５のＮＯ）、第２ＣＰＵ１２が第１ＣＰＵ１１からメッセージ（第１ＣＰＵ１１により中継されるメッセージ）を受信したか否かが判断される（ステップＳ４６）。

【0075】

第１ＣＰＵ１１からメッセージを受信した場合（ステップＳ４６のＹＥＳ）、その受信したメッセージに登録ＩＤが使用されているか否かが判断される。登録ＩＤが受信メッセージに使用されている場合、その受信メッセージは、正規のメッセージである。一方、登録ＩＤが受信メッセージに使用されていない場合、その受信メッセージは、不正メッセージである。

【0076】

受信メッセージが正規のメッセージである場合（ステップＳ４７のＮＯ）、その正規のメッセージが第２ＣＰＵ１２から車載ネットワーク２に転送される（ステップＳ４８）。

【0077】

受信メッセージが不正メッセージである場合（ステップＳ４７のＹＥＳ）、第１ＣＰＵ１１が外部から攻撃を受けたと判定されて、第１ＣＰＵ１１との通信が切断される（ステップＳ４３）。第１ＣＰＵ１１が外部から攻撃を受けたことは、ボデーＥＣＵ７Ａ経由でＴＣＵ４に通知されてもよい（ステップＳ４４）。

【0078】

第２ＣＰＵ１２が第１ＣＰＵ１１からメッセージを受信していないときには（ステップＳ４６のＮＯ）、図５に示される処理が終了される。

【0079】

＜作用効果＞
以上のように、ゲートウェイＥＣＵ３には、第１ＣＰＵ１１および第２ＣＰＵ１２が備えられている。第１ＣＰＵ１１は、車両の内部の車載ネットワーク２から切り離されており、車両の外部との通信は、第１ＣＰＵ１１により行われる。一方、第２ＣＰＵ１２は、車両の外部から切り離して設けられ、車載ネットワーク２に通信可能に接続されている。そして、第１ＣＰＵ１１は、車載ネットワーク２に対する攻撃を検知する攻撃検知機能（攻撃検知部２１）を有し、第２ＣＰＵ１２は、第１ＣＰＵ１１が攻撃を受けたか否かを判定する攻撃判定機能（攻撃判定部３１）を有している。また、第２ＣＰＵ１２は、第１ＣＰＵ１１に対するＣ＆Ｒ認証の結果から第１ＣＰＵ１１が攻撃を受けたか否かを判定する認証判定機能（Ｃ＆Ｒ侵入判定部４１）を有している。第２ＣＰＵ１２では、攻撃判定機能または認証判定機能により第１ＣＰＵ１１が攻撃を受けたと判定された場合、第１ＣＰＵ１１との通信が切断されるとともに、第１ＣＰＵ１１が外部から攻撃を受けたことがボデーＥＣＵ７Ａ経由でＴＣＵ４に通知される。

【0080】

これにより、車両の外部からの車載ネットワーク２への攻撃の対策として、第１ＣＰＵ１１の攻撃検知機能を第１層の防御層とし、第２ＣＰＵ１２の攻撃判定機能および第２ＣＰＵ１２による第１ＣＰＵ１１との通信を第２層の防御層とする多層防御が構築される。この多層防御の構築により、セキュリティ対策の強化を図ることができる。

【0081】

また、第２ＣＰＵ１２が第１ＣＰＵ１１から不正メッセージを受信した場合、その不正メッセージが破棄される。これにより、外部からの攻撃を受けた第１ＣＰＵ１１が不正メッセージを第２ＣＰＵ１２に向けて送信しても、その不正メッセージが破棄されるので、車載ネットワーク２が不正メッセージによる攻撃を受けることを防止でき、車載ネットワーク２による通信を継続できる。

【0082】

第１ＣＰＵ１１と第２ＣＰＵ１２とは、車載ネットワーク２へのメッセージの伝送に使用される通信線Ｘとは別の通信線Ｚを介して通信可能に接続され、Ｃ＆Ｒ認証では、通信線Ｚを介して、第１ＣＰＵ１１と第２ＣＰＵ１２との間で通信が行われる。そのため、Ｃ＆Ｒ認証が行われるときに、通信線Ｚへの不正データの流し込みを受けることを抑制できる。また、第２ＣＰＵ１２が第１ＣＰＵ１１から通信線Ｚを介して不正データを受信した場合には、第１ＣＰＵ１１が外部からの攻撃を受けたと即座に判定することができる。

【0083】

通信線Ｘを介した通信には、車載ネットワーク２における通信と同じ通信方式が採用され、通信線Ｚを介した通信には、通信線Ｘを介した通信とは異なる通信方式が採用されている。通信方式が異なることにより、第１ＣＰＵ１１が外部から受信した不正データを通信線Ｚに流し込むには、通信プロトコルの変換が必要となるので、その攻撃に対する耐性をより高くすることができる。

【0084】

第１ＣＰＵ１１に接続されたセキュアメモリ１３には、リプログラミング領域およびセキュアメモリ領域が設定されており、Ｃ＆Ｒ認証に用いられる暗号鍵は、セキュアメモリ領域に格納されている。これにより、外部からの暗号鍵の書き換えを防止でき、暗号鍵を用いた認証の精度を高めることができる。

【0085】

また、暗号鍵は、ゲートウェイＥＣＵ３のみに設定された個別鍵、すなわち、ゲートウェイＥＣＵの個体ごとに設定された個別鍵である。これにより、ゲートウェイＥＣＵ３の外部に同一の暗号鍵が存在しないので、暗号鍵の漏洩の危険性を低下させることができる。また、暗号鍵が外部に漏洩したとしても、その暗号鍵を他のゲートウェイＥＣＵでのＣ＆Ｒ認証に使用できないので、他の車両の車載ネットワーク２に対する攻撃の危険性に影響を及ぼさない。

【0086】

第１ＣＰＵ１１は、攻撃検知機能により攻撃が検知されたことに応じて、当該攻撃に関する攻撃情報をセキュアメモリ１３に記憶させ、車両の外部のサーバ８またはスキャンツール９からの要求に従って、セキュアメモリ１３に記憶されている攻撃情報を出力する。これにより、第１ＣＰＵ１１が外部からの攻撃を受けた場合に、その攻撃に関する情報を車両の外部のサーバ８およびスキャンツール９に読み出すことができる。そのため、サーバ８またはスキャンツール９に読み出した情報を解析して、第１ＣＰＵ１１が受けた攻撃の内容を早期に特定でき、攻撃への対策を早期に講じることができる。

【0087】

また、第１ＣＰＵ１１は、起動時にソフトウェアの改ざんを検知する改ざん検知機能を有し、起動時にソフトウェアの改ざんが検知されなければ、そのソフトウェアを起動し、起動時にソフトウェアの改ざんが検知された場合には、そのソフトウェアを起動せずに動作を停止する。これにより、改ざんされたソフトウェアの起動を防止できる。そのため、改ざんされたソフトウェアが実行されることによる第２ＣＰＵ１２への不正メッセージの送信などを防止できる。

【0088】

ソフトウェアの改ざんが検知されて、第１動作が動作を停止した場合、第１ＣＰＵ１１から第２ＣＰＵ１２へのメッセージ送信が行われないので、メッセージ送信が一定時間行われない場合には、第２ＣＰＵ１２により、第１ＣＰＵ１１が外部から攻撃を受けたと判定されて、第１ＣＰＵ１１と第２ＣＰＵ１２との通信が切断される。これにより、第１ＣＰＵ１１のソフトウェアが改ざんされていても、第２ＣＰＵ１２が第１ＣＰＵ１１から不正メッセージを受信しないので、車載ネットワーク２が不正メッセージによる攻撃を受けることを防止できる。

【0089】

第２ＣＰＵ１２により第１ＣＰＵ１１が攻撃を受けたと判定された場合、車両に搭載されているＴＣＵ４から車両の外部のサーバ８に第１ＣＰＵ１１が攻撃を受けたことの情報がアップロードされるように、第１ＣＰＵ１１が外部から攻撃を受けたことは、第２ＣＰＵ１２からボデーＥＣＵ７Ａ経由でＴＣＵ４に通知されてもよい。これにより、サーバ管理者またはサーバ経由で情報を入手しうるユーザが第１ＣＰＵ１１の受攻撃を認知することができる。

【0090】

＜変形例＞
以上、本発明の一実施形態について説明したが、本発明は、他の形態で実施することもできる。

【0091】

たとえば、前述の実施形態では、共通鍵を用いたＣ＆Ｒ認証が行われるとしたが、秘密鍵および公開鍵を用いた公開鍵暗号方式の認証が行われて、認証の結果が認証失敗であった場合、第１ＣＰＵ１１が外部から攻撃を受けたと判定されてもよい。

【0092】

また、第１ＣＰＵ１１が車載ネットワーク２に対する攻撃を受けたことの情報がＴＣＵ４からサーバ８にアップロードされたことに応じて、車両を遠隔操作するリモートサービスが停止されてもよい。これにより、車載ネットワーク２の攻撃による車両の誤動作を防止することができる。また、第１ＣＰＵ１１には、ＴＣＵ４やＤＬＣ５の他にも、コクピットＥＣＵとの専用通信線や急速充電用の専用通信線が接続されてもよい。この場合、ＴＣＵ４やＤＬＣ５と同様に、それらの専用通信線から攻撃検知部２１に並列に情報が入力される。

【0093】

その他、前述の構成には、特許請求の範囲に記載された事項の範囲で種々の設計変更を施すことが可能である。

【符号の説明】

【0094】

２：車載ネットワーク
３：ゲートウェイＥＣＵ（車載中継装置）
１１：第１ＣＰＵ（第１装置）
１２：第２ＣＰＵ（第２装置）
１３：セキュアメモリ（リプログラミング領域、セキュアメモリ領域）
Ｘ：第１通信線
Ｚ：第２通信線

【図1】

【図2】

【図3】

【図4】

【図5】