▶ ガードノックス・サイバー・テクノロジーズ・リミテッドの特許一覧
特開2023-130454サービス指向アーキテクチャに基づく集中化サービスＥＣＵおよびその使用方法
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2023130454
(43)【公開日】2023-09-20
(54)【発明の名称】サービス指向アーキテクチャに基づく集中化サービスＥＣＵおよびその使用方法
(51)【国際特許分類】
G06F 9/50 20060101AFI20230912BHJP
G06F 21/55 20130101ALI20230912BHJP
G06F 9/44 20180101ALI20230912BHJP
G06F 9/455 20180101ALN20230912BHJP
【ＦＩ】
G06F9/50 120Z
G06F21/55
G06F9/44
G06F9/455 150
【審査請求】有
【請求項の数】30
【出願形態】ＯＬ
【外国語出願】
(21)【出願番号】P 2023112241
(22)【出願日】2023-07-07
(62)【分割の表示】P 2019536499の分割
【原出願日】2018-01-05
(31)【優先権主張番号】62/442,745
(32)【優先日】2017-01-05
(33)【優先権主張国・地域又は機関】US
(71)【出願人】
【識別番号】518363381
【氏名又は名称】ガードノックス・サイバー・テクノロジーズ・リミテッド
【氏名又は名称原語表記】ＧｕａｒｄＫｎｏｘ Ｃｙｂｅｒ Ｔｅｃｈｎｏｌｏｇｉｅｓ Ｌｔｄ．
(74)【代理人】
【識別番号】100101454
【弁理士】
【氏名又は名称】山田 卓二
(74)【代理人】
【識別番号】100135703
【弁理士】
【氏名又は名称】岡部 英隆
(74)【代理人】
【識別番号】100189544
【弁理士】
【氏名又は名称】柏原 啓伸
(72)【発明者】
【氏名】ディオニス・テシュラー
(72)【発明者】
【氏名】モーシェ・シュリセル
(72)【発明者】
【氏名】イダン・ナダブ
(57)【要約】 （修正有）
【課題】少なくとも以下のコンポーネント、即ち、サービス指向アーキテクチャを有する電子制御ユニット（ＳＯＡ ＥＣＵ）を含むシステムを提供する。
【解決手段】ＳＯＡ ＥＣＵは少なくとも一つのＳＯＡサーバを含み、ＳＯＡ ＥＣＵが車両内にあり、少なくとも１つのＳＯＡサーバは、車両内に位置する少なくとも１つのクライアントＥＣＵに少なくとも１つのサービスを提供し、少なくとも１つのサービスを提供するために、少なくとも１つの専用処理リソースおよび少なくとも１つの専用メモリリソースを割り当てる。
【選択図】なし
【解決手段】ＳＯＡ ＥＣＵは少なくとも一つのＳＯＡサーバを含み、ＳＯＡ ＥＣＵが車両内にあり、少なくとも１つのＳＯＡサーバは、車両内に位置する少なくとも１つのクライアントＥＣＵに少なくとも１つのサービスを提供し、少なくとも１つのサービスを提供するために、少なくとも１つの専用処理リソースおよび少なくとも１つの専用メモリリソースを割り当てる。
【選択図】なし
【特許請求の範囲】
【請求項1】
サービス指向アーキテクチャを有する電子制御ユニット（ＳＯＡ ＥＣＵ）を含むシステムであって、前記ＳＯＡ ＥＣＵが、
少なくとも１つのＳＯＡサーバを含み、
前記ＳＯＡ ＥＣＵが車両内にあり、
前記少なくとも１つのＳＯＡサーバが、前記車両内に位置する少なくとも１つのクライアントＥＣＵに少なくとも１つのサービスを提供するように構成され、
前記少なくとも１つのＳＯＡサーバが、前記少なくとも１つのサービスを提供するために、少なくとも１つの専用処理リソースおよび少なくとも１つの専用メモリリソースを割り当てるように構成される、
システム。
少なくとも１つのＳＯＡサーバを含み、
前記ＳＯＡ ＥＣＵが車両内にあり、
前記少なくとも１つのＳＯＡサーバが、前記車両内に位置する少なくとも１つのクライアントＥＣＵに少なくとも１つのサービスを提供するように構成され、
前記少なくとも１つのＳＯＡサーバが、前記少なくとも１つのサービスを提供するために、少なくとも１つの専用処理リソースおよび少なくとも１つの専用メモリリソースを割り当てるように構成される、
システム。
【請求項2】
前記ＳＯＡ ＥＣＵがさらに、
少なくとも１つの第１の区画を含み、前記少なくとも１つの第１の区画が、
少なくとも１つの第１のＳＯＡサーバを含み、
前記少なくとも１つの第１のＳＯＡサーバが、少なくとも１つの第１のサービスを少なくとも１つの第１のクライアントＥＣＵに提供するように構成され、
前記少なくとも１つの第１のＳＯＡサーバが、前記少なくとも１つの第１のサービスを提供するために、少なくとも１つの第１の専用処理リソースおよび少なくとも１つの第１の専用メモリリソースを割り当てるように構成され、
前記ＳＯＡ ＥＣＵがさらに、少なくとも１つの第２の区画を含み、前記少なくとも１つの第２の区画が、
少なくとも１つの第２のＳＯＡサーバを含み、
前記少なくとも１つの第２のＳＯＡサーバが、少なくとも１つの第２のサービスを少なくとも１つの第２のクライアントＥＣＵに提供するように構成され、
前記少なくとも１つの第２のＳＯＡサーバが、前記少なくとも１つの第２のサービスを提供するために、少なくとも１つの第２の専用処理リソースおよび少なくとも１つの第２の専用メモリリソースを割り当てるように構成され、
前記少なくとも１つの第１の区画および前記少なくとも１つの第２の区画が、分離カーネルを介して互いに動作上分離される、請求項１に記載のシステム。
少なくとも１つの第１の区画を含み、前記少なくとも１つの第１の区画が、
少なくとも１つの第１のＳＯＡサーバを含み、
前記少なくとも１つの第１のＳＯＡサーバが、少なくとも１つの第１のサービスを少なくとも１つの第１のクライアントＥＣＵに提供するように構成され、
前記少なくとも１つの第１のＳＯＡサーバが、前記少なくとも１つの第１のサービスを提供するために、少なくとも１つの第１の専用処理リソースおよび少なくとも１つの第１の専用メモリリソースを割り当てるように構成され、
前記ＳＯＡ ＥＣＵがさらに、少なくとも１つの第２の区画を含み、前記少なくとも１つの第２の区画が、
少なくとも１つの第２のＳＯＡサーバを含み、
前記少なくとも１つの第２のＳＯＡサーバが、少なくとも１つの第２のサービスを少なくとも１つの第２のクライアントＥＣＵに提供するように構成され、
前記少なくとも１つの第２のＳＯＡサーバが、前記少なくとも１つの第２のサービスを提供するために、少なくとも１つの第２の専用処理リソースおよび少なくとも１つの第２の専用メモリリソースを割り当てるように構成され、
前記少なくとも１つの第１の区画および前記少なくとも１つの第２の区画が、分離カーネルを介して互いに動作上分離される、請求項１に記載のシステム。
【請求項3】
前記少なくとも１つの第１の区画が、前記少なくとも１つの第１の専用処理リソースおよび前記少なくとも１つの第１の専用メモリリソースを用いて少なくとも１つの第１のオペレーティングシステム（ＯＳ）を実行するように構成され、
前記少なくとも１つの第２の区画が、前記少なくとも１つの第２の専用処理リソースおよび前記少なくとも１つの第２の専用メモリリソースを用いて少なくとも１つの第２のＯＳを実行するように構成される、
請求項２に記載のシステム。
前記少なくとも１つの第２の区画が、前記少なくとも１つの第２の専用処理リソースおよび前記少なくとも１つの第２の専用メモリリソースを用いて少なくとも１つの第２のＯＳを実行するように構成される、
請求項２に記載のシステム。
【請求項4】
前記少なくとも１つの第１の専用処理リソースおよび前記少なくとも１つの第２の専用処理リソースが、少なくとも１つの専用ハードウェアモジュールの一部であり、
前記分離カーネルが、前記少なくとも１つの第１の専用処理リソースおよび前記少なくとも１つの第２の専用処理リソースに、前記少なくとも１つの第１のサービスまたは前記少なくとも１つの第２のサービスをそれぞれ実行するための個別のアクセスを個別に提供し、
前記少なくとも１つの第１の専用メモリリソースおよび前記少なくとも１つの第２の専用メモリリソースが、前記少なくとも１つの専用ハードウェアモジュールの一部であり、
前記分離カーネルが、前記少なくとも１つの第１の専用メモリリソースおよび前記少なくとも１つの第２の専用メモリリソースに、前記少なくとも１つの第１のサービスまたは前記少なくとも１つの第２のサービスをそれぞれ実行するための個別のアクセスを個別に提供するように構成される、
請求項３に記載のシステム。
前記分離カーネルが、前記少なくとも１つの第１の専用処理リソースおよび前記少なくとも１つの第２の専用処理リソースに、前記少なくとも１つの第１のサービスまたは前記少なくとも１つの第２のサービスをそれぞれ実行するための個別のアクセスを個別に提供し、
前記少なくとも１つの第１の専用メモリリソースおよび前記少なくとも１つの第２の専用メモリリソースが、前記少なくとも１つの専用ハードウェアモジュールの一部であり、
前記分離カーネルが、前記少なくとも１つの第１の専用メモリリソースおよび前記少なくとも１つの第２の専用メモリリソースに、前記少なくとも１つの第１のサービスまたは前記少なくとも１つの第２のサービスをそれぞれ実行するための個別のアクセスを個別に提供するように構成される、
請求項３に記載のシステム。
【請求項5】
前記少なくとも１つの第１のＳＯＡサーバが安全性重視のサーバであり、前記少なくとも１つの第２のＳＯＡサーバが安全性重視でないサーバである、請求項２に記載のシステム。
【請求項6】
前記少なくとも１つの第１のクライアントＥＣＵが少なくとも１つの第１のネットワークに関連付けられ、前記少なくとも１つの第２のクライアントＥＣＵが少なくとも１つの第２のネットワークに関連付けられ、前記少なくとも１つの第１のネットワークと前記少なくとも１つの第２のネットワークとが異なるネットワークである、請求項２に記載のシステム。
【請求項7】
前記分離カーネルが、少なくとも１つの障害のある区画が少なくとも１つの障害のない区画に悪影響を及ぼすのを防止または妨げるように構成される、請求項２に記載のシステム。
【請求項8】
前記少なくとも１つの障害のある区画が、サイバー攻撃を受けやすい区画である、請求項７に記載のシステム。
【請求項9】
前記少なくとも１つのＳＯＡサーバが、前記少なくとも１つのクライアントＥＣＵに関連付けられたサービス品質（ＱｏＳ）レベルに少なくとも部分的に基づいて前記少なくとも１つのサービスを提供するように構成される、請求項１に記載のシステム。
【請求項10】
前記少なくとも１つのサービスが、
ｉ）遠隔管理サービス、
ｉｉ）遠隔監視サービス、
ｉｉｉ）地上波（ＯＴＡ）更新サービス、
ｉｖ）対称暗号化サービス、
ｖ）非対称暗号化サービス、
ｖｉ）証明書管理サービス、
ｖｉｉ）中央ファイアウォールサービス、
ｖｉｉｉ）セキュアストレージサービス、
ｉｘ）ロックダウンサービス、
ｘ）侵入検知サービス、
ｘｉ）侵入防止サービス、
ｘｉｉ）セキュア処理サービス、
ｘｉｉｉ）認証局（ＣＡ）サービス、
ｘｉｖ）通信セキュリティサービス、
ｘｖ）認証サービス、
ｘｖｉ）アイデンティティ管理サービス、
ｘｖｉｉ）鍵管理サービス、
ｘｖｉｉｉ）更新配布サービス、
ｘｉｘ）ソフトウェア回復サービス、
ｘｘ）ソフトウェアフラッシュサービス、および
ｘｖｉｉ）それらの任意の組み合わせからなる群から選択される、請求項１に記載のシステム。
ｉ）遠隔管理サービス、
ｉｉ）遠隔監視サービス、
ｉｉｉ）地上波（ＯＴＡ）更新サービス、
ｉｖ）対称暗号化サービス、
ｖ）非対称暗号化サービス、
ｖｉ）証明書管理サービス、
ｖｉｉ）中央ファイアウォールサービス、
ｖｉｉｉ）セキュアストレージサービス、
ｉｘ）ロックダウンサービス、
ｘ）侵入検知サービス、
ｘｉ）侵入防止サービス、
ｘｉｉ）セキュア処理サービス、
ｘｉｉｉ）認証局（ＣＡ）サービス、
ｘｉｖ）通信セキュリティサービス、
ｘｖ）認証サービス、
ｘｖｉ）アイデンティティ管理サービス、
ｘｖｉｉ）鍵管理サービス、
ｘｖｉｉｉ）更新配布サービス、
ｘｉｘ）ソフトウェア回復サービス、
ｘｘ）ソフトウェアフラッシュサービス、および
ｘｖｉｉ）それらの任意の組み合わせからなる群から選択される、請求項１に記載のシステム。
【請求項11】
前記ＳＯＡ ＥＣＵが、
ｉ）車両関連データ、および
ｉｉ）前記車両の少なくとも１人のユーザに関するユーザ関連データ、のうちの少なくとも１つを収集するように構成された少なくとも１つのモジュールをさらに含む、
請求項１に記載のシステム。
ｉ）車両関連データ、および
ｉｉ）前記車両の少なくとも１人のユーザに関するユーザ関連データ、のうちの少なくとも１つを収集するように構成された少なくとも１つのモジュールをさらに含む、
請求項１に記載のシステム。
【請求項12】
前記少なくとも１つのモジュールがさらに、前記車両関連データ、前記ユーザ関連データ、またはその両方を、第三者に関連付けられた少なくとも１つの電子遠隔目的地に送信させるように構成され、前記少なくとも１つの電子遠隔目的地が、前記車両の外部にある、請求項１１に記載のシステム。
【請求項13】
前記ＳＯＡ ＥＣＵがさらに、
ｉ）少なくとも１つのリアルタイムの第１の承認されたソフトウェア変更を前記ＳＯＡ ＥＣＵに導入すること、
ｉｉ）少なくとも１つのリアルタイムの第２の承認された変更を前記少なくとも１つのＳＯＡサーバに導入すること、および
ｉｉｉ）少なくとも１つのリアルタイムの第３の承認された変更を前記少なくとも１つのサービスに導入すること、のうちの少なくとも１つを可能にするように構成される、請求項１に記載のシステム。
ｉ）少なくとも１つのリアルタイムの第１の承認されたソフトウェア変更を前記ＳＯＡ ＥＣＵに導入すること、
ｉｉ）少なくとも１つのリアルタイムの第２の承認された変更を前記少なくとも１つのＳＯＡサーバに導入すること、および
ｉｉｉ）少なくとも１つのリアルタイムの第３の承認された変更を前記少なくとも１つのサービスに導入すること、のうちの少なくとも１つを可能にするように構成される、請求項１に記載のシステム。
【請求項14】
前記少なくとも１つのリアルタイムの第２の承認された変更が、
１）少なくとも１つの新しいサービスを前記少なくとも１つのＳＯＡサーバにリアルタイムで追加すること、
２）前記少なくとも１つのサービスを前記少なくとも１つの新しいサービスにリアルタイムで置き換えること、
３）前記少なくとも１つのＳＯＡサーバから前記少なくとも１つのサービスをリアルタイムで削除すること、および
４）前記少なくとも１つのＳＯＡサーバの設定をリアルタイムで変更すること、のうちの少なくとも１つである、請求項１３に記載のシステム。
１）少なくとも１つの新しいサービスを前記少なくとも１つのＳＯＡサーバにリアルタイムで追加すること、
２）前記少なくとも１つのサービスを前記少なくとも１つの新しいサービスにリアルタイムで置き換えること、
３）前記少なくとも１つのＳＯＡサーバから前記少なくとも１つのサービスをリアルタイムで削除すること、および
４）前記少なくとも１つのＳＯＡサーバの設定をリアルタイムで変更すること、のうちの少なくとも１つである、請求項１３に記載のシステム。
【請求項15】
前記少なくとも１つの第１のリアルタイムの第１の承認された変更、前記少なくとも１つのリアルタイムの第２の承認された変更、および前記少なくとも１つの第３のリアルタイムの第１の承認された変更が、前記車両の外部の少なくとも１つの外部ソースから導入される、請求項１４に記載のシステム。
【請求項16】
前記少なくとも１つのリアルタイムの第１の承認された変更、前記少なくとも１つのリアルタイムの第２の承認された変更、および前記少なくとも１つのリアルタイムの第３の承認された変更のうちの少なくとも１つが、
ｉ）前記車両の少なくとも１つの車両固有の特性、
ｉｉ）ユーザの少なくとも１つの前記ユーザ固有の特性、
ｉｉｉ）少なくとも１つのユーザ要求、
ｉｖ）少なくとも１つのサービスプロバイダ要求、および
ｖ）少なくとも１つのメーカ要求、のうちの少なくとも１つに基づく、請求項１３に記載のシステム。
ｉ）前記車両の少なくとも１つの車両固有の特性、
ｉｉ）ユーザの少なくとも１つの前記ユーザ固有の特性、
ｉｉｉ）少なくとも１つのユーザ要求、
ｉｖ）少なくとも１つのサービスプロバイダ要求、および
ｖ）少なくとも１つのメーカ要求、のうちの少なくとも１つに基づく、請求項１３に記載のシステム。
【請求項17】
前記少なくとも１つのサービスが、前記車両の組み立て中に前記少なくとも１つのＳＯＡサーバに追加され、前記少なくとも１つのサービスが、前記車両の耐用期間中の特定の期間、遠隔で作動されるように構成される、請求項１に記載のシステム。
【請求項18】
前記少なくとも１つのサービスが、複数の別個のクライアントＥＣＵに利用可能な専用アプリケーションプログラムインタフェース（ＡＰＩ）要求を介して呼び出されるように構成される、請求項１に記載のシステム。
【請求項19】
前記少なくとも１つのＳＯＡサーバが、少なくとも１つのセキュリティポリシーに従って、複数のサービスを複数の別個のクライアントＥＣＵに提供するように構成される、請求項１に記載のシステム。
【請求項20】
前記少なくとも１つのセキュリティポリシーが、
ｉ）特定のクライアントＥＣＵへのアクセス、
ｉｉ）前記特定のクライアントＥＣＵによって利用される少なくとも１つの特定のサービスの利用可能性、
ｉｉｉ）少なくとも１つのＱｏＳ要件、および
ｉｖ）前記ＳＯＡ ＥＣＵの特定のハードウェアモジュールへのアクセス、のうちの少なくとも１つを制御する少なくとも１つの規則を含む、請求項１９に記載のシステム。
ｉ）特定のクライアントＥＣＵへのアクセス、
ｉｉ）前記特定のクライアントＥＣＵによって利用される少なくとも１つの特定のサービスの利用可能性、
ｉｉｉ）少なくとも１つのＱｏＳ要件、および
ｉｖ）前記ＳＯＡ ＥＣＵの特定のハードウェアモジュールへのアクセス、のうちの少なくとも１つを制御する少なくとも１つの規則を含む、請求項１９に記載のシステム。
【請求項21】
前記少なくとも１つのモジュールが、前記車両関連データ、前記ユーザ関連データ、またはその両方を送信させる前に、前記車両関連データ、前記ユーザ関連データ、またはその両方を用いて少なくとも１つの動作を実行するようにさらに構成される、請求項１２に記載のシステム。
【請求項22】
サービス指向アーキテクチャを有する電子制御ユニット（ＳＯＡ ＥＣＵ）を供給するステップを含む方法であって、前記ＳＯＡ ＥＣＵが、
少なくとも１つのＳＯＡサーバを含み、
前記ＳＯＡ ＥＣＵが車両内にあり、
前記少なくとも１つのＳＯＡサーバが、前記車両内に位置する少なくとも１つのクライアントＥＣＵに少なくとも１つのサービスを提供するように構成され、
前記少なくとも１つのＳＯＡサーバが、前記少なくとも１つのサービスを提供するために、少なくとも１つの専用処理リソースおよび少なくとも１つの専用メモリリソースを割り当てるように構成される、
方法。
少なくとも１つのＳＯＡサーバを含み、
前記ＳＯＡ ＥＣＵが車両内にあり、
前記少なくとも１つのＳＯＡサーバが、前記車両内に位置する少なくとも１つのクライアントＥＣＵに少なくとも１つのサービスを提供するように構成され、
前記少なくとも１つのＳＯＡサーバが、前記少なくとも１つのサービスを提供するために、少なくとも１つの専用処理リソースおよび少なくとも１つの専用メモリリソースを割り当てるように構成される、
方法。
【請求項23】
前記ＳＯＡ ＥＣＵがさらに、
少なくとも１つの第１の区画を含み、前記少なくとも１つの第１の区画が、
少なくとも１つの第１のＳＯＡサーバを含み、
前記少なくとも１つの第１のＳＯＡサーバが、少なくとも１つの第１のサービスを少なくとも１つの第１のクライアントＥＣＵに提供するように構成され、
前記少なくとも１つの第１のＳＯＡサーバが、前記少なくとも１つの第１のサービスを提供するために、少なくとも１つの第１の専用処理リソースおよび少なくとも１つの第１の専用メモリリソースを割り当てるように構成され、
前記ＳＯＡ ＥＣＵがさらに、少なくとも１つの第２の区画を含み、前記少なくとも１つの第２の区画が、
少なくとも１つの第２のＳＯＡサーバを含み、
前記少なくとも１つの第２のＳＯＡサーバが、少なくとも１つの第２のサービスを少なくとも１つの第２のクライアントＥＣＵに提供するように構成され、
前記少なくとも１つの第２のＳＯＡサーバが、前記少なくとも１つの第２のサービスを提供するために、少なくとも１つの第２の専用処理リソースおよび少なくとも１つの第２の専用メモリリソースを割り当てるように構成され、
前記少なくとも１つの第１の区画および前記少なくとも１つの第２の区画が、分離カーネルを介して互いに動作上分離され、
前記少なくとも１つの第１の区画が、少なくとも１つの第１のオペレーティングシステム（ＯＳ）を実行するように構成され、
前記少なくとも１つの第１の区画の前記少なくとも１つの第１のＯＳが、前記少なくとも１つの第２の区画から独立して動作する、請求項２２に記載の方法。
少なくとも１つの第１の区画を含み、前記少なくとも１つの第１の区画が、
少なくとも１つの第１のＳＯＡサーバを含み、
前記少なくとも１つの第１のＳＯＡサーバが、少なくとも１つの第１のサービスを少なくとも１つの第１のクライアントＥＣＵに提供するように構成され、
前記少なくとも１つの第１のＳＯＡサーバが、前記少なくとも１つの第１のサービスを提供するために、少なくとも１つの第１の専用処理リソースおよび少なくとも１つの第１の専用メモリリソースを割り当てるように構成され、
前記ＳＯＡ ＥＣＵがさらに、少なくとも１つの第２の区画を含み、前記少なくとも１つの第２の区画が、
少なくとも１つの第２のＳＯＡサーバを含み、
前記少なくとも１つの第２のＳＯＡサーバが、少なくとも１つの第２のサービスを少なくとも１つの第２のクライアントＥＣＵに提供するように構成され、
前記少なくとも１つの第２のＳＯＡサーバが、前記少なくとも１つの第２のサービスを提供するために、少なくとも１つの第２の専用処理リソースおよび少なくとも１つの第２の専用メモリリソースを割り当てるように構成され、
前記少なくとも１つの第１の区画および前記少なくとも１つの第２の区画が、分離カーネルを介して互いに動作上分離され、
前記少なくとも１つの第１の区画が、少なくとも１つの第１のオペレーティングシステム（ＯＳ）を実行するように構成され、
前記少なくとも１つの第１の区画の前記少なくとも１つの第１のＯＳが、前記少なくとも１つの第２の区画から独立して動作する、請求項２２に記載の方法。
【請求項24】
前記少なくとも１つの第１のＳＯＡサーバが安全性重視のサーバであり、前記少なくとも１つの第２のＳＯＡサーバが安全性重視でないサーバであり、
前記少なくとも１つの第１のクライアントＥＣＵが少なくとも１つの第１のネットワークに関連付けられ、
前記少なくとも１つの第２のクライアントＥＣＵが少なくとも１つの第２のネットワークに関連付けられ、
前記少なくとも１つの第１のネットワークと前記少なくとも１つの第２のネットワークとが異なるネットワークである、請求項２３に記載の方法。
前記少なくとも１つの第１のクライアントＥＣＵが少なくとも１つの第１のネットワークに関連付けられ、
前記少なくとも１つの第２のクライアントＥＣＵが少なくとも１つの第２のネットワークに関連付けられ、
前記少なくとも１つの第１のネットワークと前記少なくとも１つの第２のネットワークとが異なるネットワークである、請求項２３に記載の方法。
【請求項25】
前記分離カーネルが、少なくとも１つの障害のある区画が少なくとも１つの障害のない区画に悪影響を及ぼすのを防止または妨げるように構成され、
前記少なくとも１つの障害のある区画が、サイバー攻撃を受けやすい区画である、
請求項２３に記載の方法。
前記少なくとも１つの障害のある区画が、サイバー攻撃を受けやすい区画である、
請求項２３に記載の方法。
【請求項26】
前記ＳＯＡ ＥＣＵが、
ｉ）車両関連データ、および
ｉｉ）前記車両の少なくとも１人のユーザに関するユーザ関連データ、
のうちの少なくとも１つを収集するように構成された少なくとも１つのモジュールをさらに含み、
前記少なくとも１つのモジュールがさらに、前記車両関連データ、前記ユーザ関連データ、またはその両方を、第三者に関連付けられた少なくとも１つの電子遠隔目的地に送信させるように構成され、前記少なくとも１つの電子遠隔目的地が、前記車両の外部にある、
請求項２２に記載の方法。
ｉ）車両関連データ、および
ｉｉ）前記車両の少なくとも１人のユーザに関するユーザ関連データ、
のうちの少なくとも１つを収集するように構成された少なくとも１つのモジュールをさらに含み、
前記少なくとも１つのモジュールがさらに、前記車両関連データ、前記ユーザ関連データ、またはその両方を、第三者に関連付けられた少なくとも１つの電子遠隔目的地に送信させるように構成され、前記少なくとも１つの電子遠隔目的地が、前記車両の外部にある、
請求項２２に記載の方法。
【請求項27】
前記ＳＯＡ ＥＣＵがさらに、
ｉ）少なくとも１つのリアルタイムの第１の承認されたソフトウェア変更を前記ＳＯＡ ＥＣＵに導入すること、
ｉｉ）少なくとも１つのリアルタイムの第２の承認された変更を前記少なくとも１つのＳＯＡサーバに導入すること、および
ｉｉｉ）少なくとも１つのリアルタイムの第３の承認された変更を前記少なくとも１つのサービスに導入すること、のうちの少なくとも１つを可能にするように構成される、
請求項２２に記載の方法。
ｉ）少なくとも１つのリアルタイムの第１の承認されたソフトウェア変更を前記ＳＯＡ ＥＣＵに導入すること、
ｉｉ）少なくとも１つのリアルタイムの第２の承認された変更を前記少なくとも１つのＳＯＡサーバに導入すること、および
ｉｉｉ）少なくとも１つのリアルタイムの第３の承認された変更を前記少なくとも１つのサービスに導入すること、のうちの少なくとも１つを可能にするように構成される、
請求項２２に記載の方法。
【請求項28】
前記少なくとも１つのサービスが、前記車両の組み立て中に前記少なくとも１つのＳＯＡサーバに追加され、前記少なくとも１つのサービスが、前記車両の耐用期間中の特定の期間、遠隔で作動されるように構成される、請求項２２に記載の方法。
【請求項29】
前記少なくとも１つのサービスが、複数の別個のクライアントＥＣＵに利用可能な専用アプリケーションプログラムインタフェース（ＡＰＩ）要求を介して呼び出されるように構成される、請求項２２に記載の方法。
【請求項30】
前記少なくとも１つのＳＯＡサーバが、少なくとも１つのセキュリティポリシーに従って、複数のサービスを複数の別個のクライアントＥＣＵに提供するように構成され、
前記少なくとも１つのセキュリティポリシーが、
ｉ）特定のクライアントＥＣＵへのアクセス、
ｉｉ）前記特定のクライアントＥＣＵによって利用される少なくとも１つの特定のサービスの利用可能性、
ｉｉｉ）少なくとも１つのＱｏＳ要件、および
ｉｖ）前記ＳＯＡ ＥＣＵの特定のハードウェアモジュールへのアクセス、のうちの少なくとも１つを制御する少なくとも１つの規則を含む、
請求項２２に記載の方法。
前記少なくとも１つのセキュリティポリシーが、
ｉ）特定のクライアントＥＣＵへのアクセス、
ｉｉ）前記特定のクライアントＥＣＵによって利用される少なくとも１つの特定のサービスの利用可能性、
ｉｉｉ）少なくとも１つのＱｏＳ要件、および
ｉｖ）前記ＳＯＡ ＥＣＵの特定のハードウェアモジュールへのアクセス、のうちの少なくとも１つを制御する少なくとも１つの規則を含む、
請求項２２に記載の方法。
【発明の詳細な説明】
【技術分野】
【0001】
本出願は、２０１７年１月５日に出願された米国仮特許出願第６２／４４２，７４５号の優先権を主張するものであり、上記出願は、あらゆる目的のためにその全体が参照により本明細書に組み入れられる。
【0002】
一部の実施形態では、本発明は、一般に、サービス指向アーキテクチャおよびその使用方法に基づく集中型サービスｅｃｕを実装するように構成された関連装置を備える、特別にプログラムされたコンピューティングシステムに関する。
【背景技術】
【0003】
例えば、車両は、多数のコンピュータ、電子制御装置（ＥＣＵ）を含み得る。通常、ＥＣＵは、ブルートゥース（登録商標）（ＴＭ）、３Ｇ、Ｗｉ－Ｆｉなどの外部通信機能を含むことができる様々なネットワークを介して相互接続することができる。場合によっては、そのような例示的な外部通信機能を利用して、車両のＥＣＵおよび／または動作機能を追跡、制御、および／または更新することができる。
【先行技術文献】
【特許文献】
【0004】
【特許文献1】米国特許出願第１５，４８６，０５５号明細書
【発明の概要】
【課題を解決するための手段】
【0005】
一部の実施形態では、本発明は、少なくとも以下の構成要素、すなわちサービス指向アーキテクチャを有する電子制御ユニット（ＳＯＡ ＥＣＵ）を含む例示的な本発明のシステムを提供し、ＳＯＡ ＥＣＵは少なくとも１つの例示的な本発明のＳＯＡサーバを含み、ＳＯＡ ＥＣＵは車両内にあり、少なくとも１つのＳＯＡサーバは、車両内に位置する少なくとも１つのクライアントＥＣＵに少なくとも１つのサービスを提供するように構成され、少なくとも１つのＳＯＡサーバは、少なくとも１つのサービスを提供するために、少なくとも１つの専用処理リソースおよび少なくとも１つの専用メモリリソースを割り当てるように構成される。
【0006】
一部の実施形態では、例示的なＳＯＡ ＥＣＵはさらに、少なくとも１つの第１のＳＯＡサーバを含む少なくとも１つの第１の区画を含み、少なくとも１つの第１のＳＯＡサーバは、少なくとも１つの第１のサービスを少なくとも１つの第１のクライアントＥＣＵに提供するように構成され、少なくとも１つの第１のＳＯＡサーバは、少なくとも１つの第１のサービスを提供するために、少なくとも１つの第１の専用処理リソースおよび少なくとも１つの第１の専用メモリリソースを割り当てるように構成され、例示的なＳＯＡ ＥＣＵはさらに、少なくとも１つの第２のＳＯＡサーバを含む少なくとも１つの第２の区画を含み、少なくとも１つの第２のＳＯＡサーバは、少なくとも１つの第２のサービスを少なくとも１つの第２のクライアントＥＣＵに提供するように構成され、少なくとも１つの第２のＳＯＡサーバは、少なくとも１つの第２のサービスを提供するために、少なくとも１つの第２の専用処理リソースおよび少なくとも１つの第２の専用メモリリソースを割り当てるように構成され、少なくとも１つの第１の区画および少なくとも１つの第２の区画は、分離カーネルを介して互いに動作上分離される。
【0007】
一部の実施形態では、少なくとも１つの第１の区画は、少なくとも１つの第１の専用処理リソースおよび少なくとも１つの第１の専用メモリリソースを用いて少なくとも１つの第１のオペレーティングシステム（ＯＳ）を実行するように構成され、少なくとも１つの第２の区画は、少なくとも１つの第２の専用処理リソースおよび少なくとも１つの第２の専用メモリリソースを用いて少なくとも１つの第２のＯＳを実行するように構成され、少なくとも１つの第１の専用処理リソースおよび少なくとも１つの第２の専用処理リソースは、少なくとも１つの専用ハードウェアモジュールの一部であり、分離カーネルは、少なくとも１つの第１の専用処理リソースおよび少なくとも１つの第２の専用処理リソースに、少なくとも１つの第１のサービスまたは少なくとも１つの第２のサービスをそれぞれ実行するための個別のアクセスを個別に提供し、少なくとも１つの第１の専用メモリリソースおよび少なくとも１つの第２の専用メモリリソースは、少なくとも１つの専用ハードウェアモジュールの一部であり、分離カーネルは、少なくとも１つの第１の専用メモリリソースおよび少なくとも１つの第２の専用メモリリソースに、少なくとも１つの第１のサービスまたは少なくとも１つの第２のサービスをそれぞれ実行するための個別のアクセスを個別に提供するように構成される。
【0008】
一部の実施形態では、少なくとも１つの第１のＳＯＡサーバは安全性重視のサーバであり、少なくとも１つの第２のＳＯＡサーバは安全性重視でないサーバである。
【0009】
一部の実施形態では、少なくとも１つの第１のクライアントＥＣＵは少なくとも１つの第１のネットワークに関連付けられ、少なくとも１つの第２のクライアントＥＣＵは少なくとも１つの第２のネットワークに関連付けられ、少なくとも１つの第１のネットワークと少なくとも１つの第２のネットワークとは異なるネットワークである。
【0010】
一部の実施形態では、分離カーネルは、少なくとも１つの障害のある区画が少なくとも１つの障害のない区画に悪影響を及ぼすのを防止または妨げるように構成される。
【0011】
一部の実施形態では、少なくとも１つの障害のある区画は、サイバー攻撃を受けやすい区画である。
【0012】
一部の実施形態では、少なくとも１つのＳＯＡサーバは、少なくとも１つのクライアントＥＣＵに関連付けられたサービス品質（ＱｏＳ）レベルに少なくとも部分的に基づいて少なくとも１つのサービスを提供するように構成される。
【0013】
一部の実施形態では、少なくとも１つのサービスは、ｉ）遠隔管理サービス、ｉｉ）遠隔監視サービス、ｉｉｉ）地上波（ＯＴＡ）更新サービス、ｉｖ）対称暗号化サービス、ｖ）非対称暗号化サービス、ｖｉ）証明書管理サービス、ｖｉｉ）中央ファイアウォールサービス、ｖｉｉｉ）セキュアストレージサービス、ｉｘ）ロックダウンサービス、ｘ）侵入検知サービス、ｘｉ）侵入防止サービス、ｘｉｉ）セキュア処理サービス、ｘｉｉｉ）認証局（ＣＡ）サービス、ｘｉｖ）通信セキュリティサービス、ｘｖ）認証サービス、ｘｖｉ）アイデンティティ管理サービス、ｘｖｉｉ）鍵管理サービス、ｘｖｉｉｉ）更新配布サービス、ｘｉｘ）ソフトウェア回復サービス、ｘｘ）ソフトウェアフラッシュサービス、およびｘｖｉｉ）それらの任意の組み合わせからなる群から選択される。
【0014】
一部の実施形態では、ＳＯＡ ＥＣＵは、ｉ）車両関連データ、およびｉｉ）車両の少なくとも１人のユーザに関するユーザ関連データ、のうちの少なくとも１つを収集するように構成された少なくとも１つのモジュールをさらに含む。
【0015】
一部の実施形態では、少なくとも１つのモジュールはさらに、車両関連データ、ユーザ関連データ、またはその両方を、第三者に関連付けられた少なくとも１つの電子遠隔目的地に送信させるように構成され、少なくとも１つの電子遠隔目的地は、車両の外部にある。
【0016】
一部の実施形態では、ＳＯＡ ＥＣＵはさらに、ｉ）少なくとも１つのリアルタイムの第１の承認されたソフトウェア変更をＳＯＡ ＥＣＵに導入すること、ｉｉ）少なくとも１つのリアルタイムの第２の承認された変更を少なくとも１つのＳＯＡサーバに導入すること、およびｉｉｉ）少なくとも１つのリアルタイムの第３の承認された変更を少なくとも１つのサービスに導入すること、のうちの少なくとも１つを可能にするように構成される。
【0017】
一部の実施形態では、少なくとも１つのリアルタイムの第２の承認された変更は、１）少なくとも１つの新しいサービスを少なくとも１つのＳＯＡサーバにリアルタイムで追加すること、２）少なくとも１つのサービスを少なくとも１つの新しいサービスにリアルタイムで置き換えること、３）少なくとも１つのＳＯＡサーバから少なくとも１つのサービスをリアルタイムで削除すること、および４）少なくとも１つのＳＯＡサーバの設定をリアルタイムで変更すること、のうちの少なくとも１つである。
【0018】
一部の実施形態では、少なくとも１つの第１のリアルタイムの第１の承認された変更、少なくとも１つのリアルタイムの第２の承認された変更、および少なくとも１つの第３のリアルタイムの第１の承認された変更は、車両の外部の少なくとも１つの外部ソースから導入される。
【0019】
一部の実施形態では、少なくとも１つのリアルタイムの第１の承認された変更、少なくとも１つのリアルタイムの第２の承認された変更、および少なくとも１つのリアルタイムの第３の承認された変更のうちの少なくとも１つは、ｉ）車両の少なくとも１つの車両固有の特性、ｉｉ）ユーザの少なくとも１つのユーザ固有の特性、ｉｉｉ）少なくとも１つのユーザ要求、ｉｖ）少なくとも１つのサービスプロバイダ要求、およびｖ）少なくとも１つのメーカ要求、のうちの少なくとも１つに基づく。
【0020】
一部の実施形態では、少なくとも１つのサービスは、車両の組み立て中に少なくとも１つのＳＯＡサーバに追加され、少なくとも１つのサービスは、車両の耐用期間中の特定の期間、遠隔で作動されるように構成される。
【0021】
一部の実施形態では、少なくとも１つのサービスは、複数の別個のクライアントＥＣＵに利用可能な専用アプリケーションプログラムインタフェース（ＡＰＩ）要求を介して呼び出されるように構成される。
【0022】
一部の実施形態では、少なくとも１つのＳＯＡサーバは、少なくとも１つのセキュリティポリシーに従って、複数のサービスを複数の別個のクライアントＥＣＵに提供するように構成される。
【0023】
一部の実施形態では、少なくとも１つのセキュリティポリシーは、ｉ）特定のクライアントＥＣＵへのアクセス、ｉｉ）特定のクライアントＥＣＵによって利用される少なくとも１つの特定のサービスの利用可能性、ｉｉｉ）少なくとも１つのＱｏＳ要件、およびｉｖ）ＳＯＡ ＥＣＵの特定のハードウェアモジュールへのアクセス、のうちの少なくとも１つを制御する少なくとも１つの規則を含む。
【0024】
一部の実施形態では、少なくとも１つのモジュールは、車両関連データ、ユーザ関連データ、またはその両方を送信させる前に、車両関連データ、ユーザ関連データ、またはその両方を用いて少なくとも１つの動作を実行するようにさらに構成される。
【0025】
一部の実施形態では、本発明は、少なくとも以下のステップ、すなわちサービス指向アーキテクチャ（ＳＯＡ ＥＣＵ）を有する電子制御ユニットを提供するステップを含む例示的な本発明の方法を提供し、ＳＯＡ ＥＣＵは少なくとも１つのＳＯＡサーバを含み、ＳＯＡ ＥＣＵは車両内にあり、少なくとも１つのＳＯＡサーバは、車両内に位置する少なくとも１つのクライアントＥＣＵに少なくとも１つのサービスを提供するように構成され、少なくとも１つのＳＯＡサーバは、少なくとも１つのサービスを提供するために、少なくとも１つの専用処理リソースおよび少なくとも１つの専用メモリリソースを割り当てるように構成される。
【図面の簡単な説明】
【0026】
本発明は、添付の図面を参照してさらに説明することができ、いくつかの図を通して、類似の構造は類似の番号で参照される。示された図面は必ずしも縮尺通りではなく、代わりに本発明の原理を説明することに重点が置かれている。したがって、本明細書に開示された特定の構造上および機能上の詳細は、限定として解釈されるべきではなく、単に本発明を様々に使用することを当業者に教示するための代表的な基礎として解釈されるべきである。
【0027】
【発明を実施するための形態】
【0028】
開示されているこれらの利点および改良点の中で、本発明の他の目的および利点は、添付の図面と併せて以下の説明から明らかになるであろう。本発明の詳細な実施形態は本明細書に開示されているが、開示された実施形態は、様々な形態で具現化され得る本発明の単なる例示であることが理解されるべきである。さらに、本発明の様々な実施形態に関連して与えられる各実施例は例示的であり、限定的ではないことが意図されている。
【0029】
例えば、本明細書に詳述される様々な実施形態の例示的な例は、様々な種類の移動車両（例えば、自動車、トラック、クレーン、バスなど）のような自動車産業において実施されるように記載されているが、当業者には、他の多くの実装形態が明らかになり得、本発明の原理、方法、システム、および装置は、コンピューティング装置を利用する様々な他の環境でも同様に実施することができる。例えば、本発明の原理、方法、システム、および装置は、当業者には明らかになり得る任意の修正を伴って、または伴わずに、多くの産業、環境、およびコンピューティング装置、例えば、これに限定されないが、航空、産業制御、コンピュータ、医療機器、金融端末、公益事業管理、ホームセキュリティ、重要インフラストラクチャコンピューティングシステム（例えば、交通信号機、送電網など）、および他の同様に適切な用途などにおいて実装することができる。
【0030】
本明細書を通して、文脈が明らかにそうでないと指示しない限り、以下の用語は本明細書に明示的に関連する意味をとる。本明細書で使用される「一実施形態では」および「一部の実施形態では」という句は、必ずしも同じ実施形態を指すわけではないが、そうであってもよい。さらに、本明細書で使用される「別の実施形態では」および「一部の別の実施形態では」という句は、必ずしも異なる実施形態を指すわけではないが、そうであってもよい。したがって、以下に記載されるように、本発明の範囲または精神から逸脱することなく、本発明の様々な実施形態を容易に組み合わせることができる。
【0031】
「に基づく」という用語は排他的なものではなく、文脈が明らかにそうでないと指示しない限り、記載されていない追加の要因に基づくことを可能にする。さらに、本明細書を通して、「ａ」、「ａｎ」、および「ｔｈｅ」の意味は複数への言及を含む。「内」の意味は、「内」および「上」を含む。
【0032】
本明細書に記載の様々な実施形態の少なくとも１つの態様／機能は、リアルタイムでおよび／または動的に実行できることを理解されたい。本明細書で使用される場合、用語「リアルタイム」は、別のイベント／動作が発生したときに瞬間的にまたはほぼ瞬間的に発生し得るイベント／動作を対象とする。一部の実施形態では、「瞬間的」、「瞬間的に」、「直ちに」、および「リアルタイム」という用語は、電子要求が送信される第１の時間と要求への電子応答が受信される第２の時間との間の時間差が、１秒以下である状態を指す。一部の実施形態では、要求と応答との間の時間差は、１秒未満から数秒の間（例えば、５～１０秒）である。
【0033】
本明細書で使用される場合、用語「動的（に）」は、イベントおよび／または動作が人間の介入なしにトリガされ得るおよび／または発生し得ることを意味する。一部の実施形態では、本発明によるイベントおよび／または動作は、リアルタイムであってもよく、および／またはナノ秒、数ナノ秒、ミリ秒、数ミリ秒、秒、数秒、分、数分、毎時、数時間、毎日、数日、毎週、毎月などのうちの少なくとも１つの所定の周期に基づいてもよい。
【0034】
本明細書で使用される場合、用語「通信」および「メッセージ」は交換可能に使用することができ、通信は単一のメッセージまたは複数のメッセージに対応し得ると仮定されるべきである。
【0035】
本明細書で使用される場合、用語「ランタイム」は、ソフトウェアアプリケーションまたはソフトウェアアプリケーションの少なくとも一部の実行中に動的に決定される任意の動作に対応する。
【0036】
一部の実施形態では、関連装置を有する本発明の特別にプログラムされたコンピューティングシステムは、適切なデータ通信ネットワーク（例えばインターネットなど）を介して通信し、かつ少なくとも１つの適切なデータ通信プロトコル（例えば、ＩＰＸ／ＳＰＸ、Ｘ．２５、ＡＸ．２５、アップルトーク（ＴＭ）、ＴＣＰ／ＩＰ（例えば、ＨＴＴＰ）など）を利用する分散型ネットワーク環境で動作するように構成される。一部の実施形態では、関連装置を有する本発明の特別にプログラムされたコンピューティングシステムは、少なくとも１０個の他の電子／コンピューティング装置（例えば、これに限定されないが、１０～９９個）、少なくとも１００個の他の電子／コンピューティング装置（例えば、これに限定されないが、１００～９９９個）、少なくとも１，０００（例えば、これに限定されないが、１，０００～９，９９９）個、少なくとも１０，０００個の他の電子／コンピューティング装置（例えば、これに限定されないが、１０，０００～９９，９９９個）、少なくとも１００，０００個の他の電子／コンピューティング装置（例えば、これに限定されないが、１００，０００～９９９，９９９個）、少なくとも１，０００，０００個の他の電子／コンピューティング装置（例えば、これに限定されないが、１，０００，０００～９，９９９，９９９個）、少なくとも１０，０００，０００個の他の電子／コンピューティング装置（例えば、これに限定されないが、１０，０００，０００～９９，９９９，９９９個）、少なくとも１００，０００，０００個の他の電子／コンピューティング装置（例えば、これに限定されないが、１００，０００，０００～９９９，９９９，９９９個）、少なくとも１，０００，０００，０００個の他の電子／コンピューティング装置（例えば、これに限定されないが、１，０００，０００，０００～１０，０００，０００，０００個）に関連する対話を処理／追跡／管理するように構成される。
【0037】
本明細書で使用される場合、用語「セキュリティ」は、サイバーセキュリティを指す。
【0038】
本明細書で使用される場合、用語「安全」は、機能的観点から見たシステムの安全な動作を指す。
【0039】
一部の実施形態では、例示的な本発明のコンピュータシステムおよび例示的なそれぞれの本発明の装置は、様々な車両機能（エンジン管理、操舵、ペダル、電動窓など）に関与する多数（例えば、最大１５０）の電子制御ユニット（ＥＣＵ）と通信するように構成される。一般的なＥＣＵは、その機能を実装し、かつＥＣＵを車両内の他のシステムと接続するために必要な独自のプロセッサ、メモリ、および周辺機器を含むコンピュータモジュールである。一般的なＥＣＵには、設計目的である機能を実行するファームウェアおよびソフトウェアが含まれている。
【0040】
一部の実施形態では、例示的な本発明のコンピュータシステムおよび例示的なそれぞれの本発明の装置は、安全性を高めるための先進の車－車間（Ｖ２Ｖ）通信、遠隔測定を高めるための車両対インフラストラクチャ（Ｖ２Ｉ）通信、道路および地方自治体のインフラストラクチャ（例えば信号機）との通信、電気自動車を充電するための地方および全国の電力網との通信、インターネットアクセスおよび電子財布機能を有するインフォテインメント、およびその他などの車の多数のサービス／機能の動作を集中化することができる。一部の実施形態では、例示的な本発明のコンピュータシステムおよび例示的なそれぞれの本発明の装置は、遠隔管理、無線（ＯＴＡ）更新機能、更新配布、ＥＣＵソフトウェアのフラッシュ、ＥＣＵソフトウェアの回復、監視、暗号化、認証、デジタル証明書および鍵管理、セキュアストレージ、セキュアデータ処理、安全でセキュアな新機能の車両内テスト、セキュリティ監視などの車両の機能を実行するために必要な共通サービスを集中化し提供することを可能にする。一部の実施形態では、例示的な本発明のコンピュータシステムおよび例示的なそれぞれの本発明の装置は、車両の全体コストの削減、統合および検証労力の削減を可能にするが、これはセキュリティ状態に影響を及ぼすことがあり、より多くのＥＣＵがセキュリティ機能を有するにつれ、それらのいくつかがそのような機能を誤って実装する機会が多くなる（例えば、ソフトウェアのバグ、不正確に実装されたプロトコル、セキュアでない実装）。例示的な車両について、一部の実施形態では、例示的な本発明のコンピュータシステムおよび例示的なそれぞれの本発明の装置は、外部通信および／または高度なコンピューティング能力の量を減らすことを可能にし、例えば、車両ごとのコストの低減、重量の低減、および燃費の向上の達成につながる。
【0041】
一部の実施形態では、例示的な本発明のコンピュータシステムおよび例示的なそれぞれの本発明の装置は、サービス指向アーキテクチャ（ＳＯＡ）を利用して、サービスと呼ばれる個別のスタンドアロン構成要素として構成される共通機能およびインタフェースを提供する。一部の実施形態では、例示的な本発明のコンピュータシステムおよび例示的な本発明の装置は、クライアントがシステムの方針に従ってそれらのサービスを利用することを承認される限り、例示的な車両のハードウェア／ソフトウェアの任意のクライアントに車両のネットワーク全体で共通サービスを提供することを可能にする。一部の実施形態では、例示的な本発明のコンピュータシステムおよび例示的なそれぞれの本発明の集中型装置は、それらを設計／実装するベンダおよびそれらを使用するクライアントから独立して共通サービスを構成および利用することを可能にする。一部の実施形態では、例示的な本発明のコンピュータシステムおよび例示的なそれぞれの本発明の集中型装置は、標準化プロトコルおよび／またはアプリケーションプログラムインタフェース（ＡＰＩ）を介して共通サービスを提供するように設計される。
【0042】
一部の実施形態では、例示的な本発明のコンピュータシステムおよび例示的なそれぞれの本発明の集中型装置は、セッションベースタイプ（例えば、ＨＴＴＰセッション、ＴＣＰセッションなど）であってもなくてもよい通信を介して、独自の特定機能を実行するＥＣＵに共通のサービスを提供することを可能にする。一部の実施形態では、通信はステートフルまたはステートレスであり得る。一部の実施形態では、例示的な本発明のコンピュータシステムおよび例示的なそれぞれの本発明の集中型装置は、典型的にはサービス指向の環境で動作するようには設計されていない複数のネットワークプロトコルを介して通信するように典型的に設計されている自動車のＥＣＵに共通のサービスを提供することを可能にする。
【0043】
通常、各車両のＥＣＵは、様々なティア１サプライヤによって設計および製造されている。通常、自動車業界のティア１プロバイダは、それぞれのＥＣＵの閉鎖環境内でのみ機能している。通常、他のＥＣＵとの統合には高い実装リスクがある（構成要素は通常、独自の方法で独自のアーキテクチャで動作するように設計され、他のＥＣＵと統合することは通常、設計目標ではない）。通常、個別化された開発は、他のＥＣＵの要件を考慮する必要性を踏まえると、スケーラビリティの難しさが増す可能性がある。典型的な設計方法論の下では、サービス指向アーキテクチャは、例えば自動車産業においては、技術的および経済的に実現可能な実装ではない。
【0044】
一部の実施形態では、例示的な本発明のコンピュータシステムおよび例示的なそれぞれの本発明の集中型装置（例示的な集中型ＥＣＵ）は、サービス指向アーキテクチャの埋め込み実装に基づいている。一部の実施形態では、例示的な本発明のコンピュータシステムおよび例示的なそれぞれの本発明の集中型装置（例示的な集中型ＥＣＵ）は、様々な適切な輸送機関（例えば自動車、鉄道、船舶、航空）および他の同様の適切な埋め込みシステム（例えば産業制御、医療、重要インフラなど）に採用することができる。
【0045】
一部の実施形態では、例示的な本発明のコンピュータシステムおよび例示的なそれぞれの本発明の集中型装置（例示的な集中型ＥＣＵ）は、車両ネットワーク（例えばＣＡＮ、イーサネット（登録商標）、ＬＩＮ、ＭＯＳＴ、ＦｌｅｘＲａｙなど）のいずれかを介して相互接続された車両内の他のすべてのＥＣＵに任意のサービスを提供できる、拡張可能で安全かつセキュアなＳＯＡサーバの形態で実装できる。例示的な集中型ＥＣＵのこの例示的な本発明のＳＯＡサーバは、（本明細書に詳述された原理と一致するすべての目的のために本明細書に組み込まれる、米国特許出願第１５，４８６，０５５号（特許出願１）に記載されるように）遠隔管理サービス、遠隔監視サービス、無線（ＯＴＡ）更新サービス、対称暗号化サービス（例えばＡＥＳ、ＤＥＳ）、非対称暗号化サービス（例えばＲＳＡ、ＥＣＣ）、認証局（ＣＡ）に対する証明書の保存および検証、認証局サービスの提供、証明書の発行と署名、およびセキュアストレージ（暗号化メモリ、ＴＰＭ（トラステッドプラットフォームモジュール）など）サービス、ソフトウェア画像管理および配布サービス、ソフトウェアホスティングサービス、データ匿名化サービス、ソフトウェアサンドボックスサービス、集中型ファイアウォール、セキュリティ構成管理、侵入検知システム（ＩＤＳ）、侵入防止システム（ＩＰＳ）、および／またはロックダウンコアを含むことができる。
【0046】
一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵを使用して、車両からデータを安全に収集、処理、記憶、および／または、データを収益化し、および／またはそれに基づいてサービスを提供するサービスプロバイダにデータを送信することができる。一部の実施形態では、サービスプロバイダは、車両のセキュリティのあらゆる側面を担当する集中施設の形態のセキュリティオペレーションセンター（ＳＯＣ）であり得る。
【0047】
一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵを使用して、車両からデータを安全に収集、処理、およびデータを収益化するサービスプロバイダに送信することができる。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、ＨＳＭ（ハードウェアセキュリティモジュール）モジュール、ＴＰＭ（トラステッドプラットフォームモジュール）モジュールおよび／または暗号化コプロセッサなどの機能の一部を実装および加速するためのハードウェアモジュールを含み得る。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵによって提供されるサービスは、無線（ＯＴＡ）ソフトウェアの更新を含む例示的な本発明のＳＯＡ ＥＣＵへの更新を介して修正（追加、削除、機能変更、および／または構成修正（規則、アクセスリストなど））することができる。一部の実施形態では、サービスは工場で事前搭載することができ、例示的な本発明のＳＯＡ ＥＣＵが動作状態になった後に遠隔で作動させることもできる（例えば、車両が顧客に引き渡された後に販売される追加機能）。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵによって提供されるサービスは、エンジン性能の向上、（例えば、様々な道路状況、氷、冬に対する）サスペンションの修正、および運転モード（スロットル応答時間、ステアリングなど）の適応などを含むが、これに限定されない。そのような機能は、ＯＴＡ更新を介して（例えば、インターネットのクラウドベースのプッシュまたはプルサービスを介して）遠隔で送信できる、および／または要求に応じて起動される、および／または無期限にまたは設定期間にわたって提供される。一部の実施形態では、そのような機能の配信は、インターネットのクラウドベース管理ソリューションによって遠隔管理することができる。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、車両および／またはユーザ（例えば、運転手、同乗者）に関連するデータを収集し、収集したデータを安全に記憶、処理、および／またはサービスプロバイダに送信することができる。一部の実施形態では、収集されたデータは、サービス固有および／またはユーザ固有のニーズおよび／または実社会の運用に合わせて調整されるように構成され得る。一部の実施形態では、収集されたデータは、例えば、これに限定されないが、ユーザの運転行動を修正するために、（例えば、ヘッドユニットの車載アシスタントを通じて）ユーザに推奨を提供するために第三者によって利用されるように構成される。
【0048】
一部の実施形態では、例示的なＳＯＡ ＥＣＵは、（例えば、干渉を防止し、性能を保証するために）各個別サービス構成要素を互いに完全に分離しながら、様々なサービスが動作するリアルタイムの安全かつセキュアな環境を提供するように設計され、また、接続されている各ネットワークまたはクライアントの処理を分離することができる（安全性およびサービス品質を考慮して、クライアントに所定のレベルのサービスおよびパフォーマンスを提供するか、安全性重視のクライアント／ネットワークを安全性重視でないクライアント／ネットワークと相互接続しないようにする）。一部の実施形態では、例示的なＳＯＡ ＥＣＵは、必要とされるあらゆる種類のネットワークプロトコルのための汎用サービスＡＰＩを可能にすることができる規定を含むことができる。一部の実施形態において、例示的なＳＯＡ ＥＣＵは、最新のプロトコル（例えば、イーサネット）に対して最大の性能を提供しながら、レガシープロトコル（例えば、ＣＡＮ、ＬＩＮ）がこのアーキテクチャの利点を利用できるように構成され得る。
【0049】
一部の実施形態では、例示的なＳＯＡ ＥＣＵは、各クライアント（および／またはネットワーク）に要求される性能の各レベルに対応し、要求されたレベルにリアルタイムのサービス品質（ＱｏＳ）を提供するように構成することができる。これにより、直接的なコストと統合の複雑さ（およびコスト）の両方が軽減される。（その機能が複数のティア１で製造された複数のＥＣＵで提供されていたため）ＯＥＭが何度も費用を負担して同じ機能をテストして統合するのではなく、費用負担、テスト、および実装されるのは１回だけで、他のＥＣＵはそれが正しく動作しているものとしてこれを利用するだけである。一部の実施形態では、テストは一度だけ実行されればよいので、重要なサービスまたは安全関連サービスがより徹底的にテストされるので、例示的なＳＯＡ ＥＣＵは車両内の機能の信頼性を向上させる。一部の実施形態では、例示的なＳＯＡ ＥＣＵは、特定の安全規格（例えば、ＩＳＯ２６２６２）および／または特定のサイバーセキュリティ規格（例えば、ＩＳＯ１５４０８）を満たすように構成することができ、したがってそれが正しく動作しているという保証を提供する。一部の実施形態では、例示的なＳＯＡ ＥＣＵは、例示的なＳＯＡ ＥＣＵがプラットフォームとして認定されているが、安全ではない／セキュリティ重視でない個々のサービスが認定される必要がないように構成することができる。
【0050】
一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、図１に示す例示的設計によって構成することができる。例えば、例示的な本発明のＳＯＡ ＥＣＵは、これに限定されないが、ＣＰＵ／ＤＳＰ／ＳｏＣ／マイクロコントローラ（例えば、Ｉｎｆｉｎｅｏｎ Ｔｅｃｈｎｏｌｏｇｉｅｓ社のＴｒｉＣｏｒｅ（ＴＭ）（ノイビーベルク、ドイツ）、ＮＸＰセミコンダクターズ社のＭＣ５７ｘｘ（ＴＭ）（アイントホーフェン、オランダ）、ルネサスエレクトロニクス社のＲ－Ｃａｒ（東京、日本）など）などの任意の適切な自動車用コンピューティングハードウェアに基づくことができる。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、例えばボードサポートパッケージ（ＢＳＰ）、アーキテクチャサポートパッケージ（ＡＳＰ）、またはその両方の組み合わせを含むファームウェア層を有するように構成することができる。
【0051】
一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、ＯＳ（例えば、ＡＵＴＯＳＡＲ（ＴＭ）、Ｌｉｎｕｘ（登録商標）（ＴＭ）、その他）上で、またはＯＳなし（ベアメタル）で実行するように構成することができる。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、そのすべてのサービスへのアクセスを許可し、クライアントＥＣＵの認証および／または例示的な本発明のＳＯＡ ＥＣＵと特定のクライアントＥＣＵまたは外部システムとの間のトラフィックの暗号化を可能にするＡＰＩを含むように構成することができる（例えば、ドイツ、シュツットガルトのＶｅｃｔｏｒ Ｉｎｆｏｒｍａｔｉｋ社によるＡＵＴＯＳＡＲベースのサービスＡＰＩ）。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、クライアント要求のリアルタイム処理を優先するように構成することができる（例えば、安全性重視のＥＣＵ動作／要求は、安全性重視でないＥＣＵよりも高い優先度を受ける）。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、１つ以上のプロセッサコア上で実行される１つ以上の要求待ち行列上のサービス要求を処理するように構成することができる。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、所定のセキュリティポリシーに従って、そのすべてのサービスへのアクセスを管理するように構成することができ、このポリシーは、特定のＥＣＵによる特定のサービスへのアクセスを選択的に許可したり、一部のＥＣＵによる一部のサービスへのアクセスを拒否したりするように設計することができる。一部の実施形態では、本発明のＳＯＡ ＥＣＵは、特定のタスクをハードウェアにオフロードし、および／または実行を補助構成要素に転送するように構成することができる。
【0052】
一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、任意のプロトコル処理および構文解析を担当するように構成することができる。例えば、例示的な本発明のＳＯＡ ＥＣＵは、１つ以上のネットワーク通信プロトコル（例えば、ＣＡＮ、イーサネットなど）を介してサービスＡＰＩへのアクセスを提供するように構成することができる。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、それ自体の専用ＥＣＵとして構成する、または車両内の既存のＥＣＵの一部とすることができる。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、様々なネットワーク通信プロトコルを介したＡＰＩアクセスの通信およびサービスを可能にするために、ＤＤＳ（データ配信サービス）、ＣＯＲＢＡ（共通オブジェクト要求ブローカアーキテクチャ）および／またはＥＳＢ（エンタープライズサービスバス）インフラストラクチャを利用するように構成することができる。
【0053】
一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、ハードウェアに対するドライバ（ファームウェアの一部）が悪用されてハードウェアへの不正アクセスを得たり、システム用に意図したのと異なる方法で動作させたりしないようにするセキュアファームウェアを含むように構成できる。セキュアなファームウェアは、通常、関連する安全規格（例えば、ＩＳＯ２６２６２）およびセキュリティ規格（例えば、ＩＳＯ１５４０８）に準拠するように書かれているファームウェアである。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、認定された分離カーネル（例えば、Ｇｒｅｅｎ Ｈｉｌｌｓ Ｓｏｆｔｗａｒｅ社のＩｎｔｅｇｒｉｔｙ、ＷｉｎｄＲｉｖｅｒ社のＶｘＷｏｒｋｓ、Ｓｙｓｇｏ社のＰｉｋｅ ＯＳなど）を含むように構成することができる。これは、様々なネットワーク（パワートレイン、利便性、ボディ、インフォテインメントなど）、クライアントおよび／またはサービス間の安全でセキュアな分離を可能にすることができる。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、１つのネットワークのクライアントが他のネットワークに提供されるサービスおよび／またはサービス品質に影響を与えるのを防ぐように構成することができる。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、各ネットワーク用に別々の区画を含むことができ、例えば分離カーネルは、両メモリアドレス空間（例えば、ストレージメモリ－ＲＯＭ／フラッシュ、およびランタイムメモリ－ＲＡＭ）および／またはプロセッサ時間（例えば、各区画は、そのような区画からの命令が実行のためにランタイムコンテキストに挿入される、専用の静的および所定のタイムスロットを有する）内の区画間に安全でセキュアな分離を提供するように実装できる。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、要求されるサービス品質に従って区画にタイムスロットを割り当てるように構成することができる（安全性重視の区画は、サービスへの優先アクセスを可能にするためにより長いタイムスロットを受け取ることができ、または安全性重視でない区画と比較してより多くのタイムスロットを受け取ることができる）。例えば、図２に示す例示的な一実施形態によれば、各区画は、特定のネットワークに利用可能なそれ自身の特定のサービスのサブセットを用いてそれ自身のＳＯＡサーバのインスタンスを実行することができる。分離カーネルの上にハイパーバイザがある可能性があるため、各区画に独立したＯＳを含めることができる。そうでなければ、一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵサーバは、分離カーネル上で、またはハードウェアプロセッサが提供する他の任意のメカニズム（例えば、メモリ保護ユニット（ＭＰＵ）またはＡＲＭ社のＴｒｕｓｔＺｏｎｅなどのセキュリティモニタを介した分離）上ですべてのサービスをネイティブ（または「ベアメタル」）で実行するように構成することができる。
【0054】
一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、図３に示すように、クライアントの重要性に基づいて、ならびに／あるいは安全性重視および／または安全性重視でないＥＣＵもしくはネットワーク間に分離を含むように構成することができる。そのような例示的なアーキテクチャは、安全性重視のＥＣＵに特定のサービスを提供し、サービス品質レベルがそれらの要件に合わせて調整されることを保証することができる（主に安全性重視区画のタイムスロット割り当てである、プロセッサおよびリソースの可用性を保証する）。例えば、ハイパーバイザなしでは、すべてのアプリケーション（例示的な本発明のＳＯＡ ＥＣＵサーバおよびサービス）は、分離カーネル上でネイティブに動作する。
【0055】
本明細書で、例えば図２および図３で詳述するように、サービスが異なる区画内でホストされている場合でも、例示的な本発明のＳＯＡ ＥＣＵを再開発または修正する必要はなく、いくつかの区画にインスタンスを有する独立した機能ユニットとして使用することができる。
【0056】
一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、セキュリティなどの共通の機能間の再利用を可能にし、各ＥＣＵおよび／またはアプリケーションがそれらをローカルに実装する必要性を軽減するように構成することができる。セキュリティの観点から、例示的な本発明のＳＯＡ ＥＣＵは、システムの全体的なセキュリティ状態を監視し、必要に応じて任意のイベントに反応することを可能にするように構成することができる。例えば、セキュリティ関連の構成要素が正しく実装され、適切に利用される必要があり、例えば、セキュリティメカニズムのみがアクセスを許可されるように、証明書はアクセス保護されたメモリに記憶される必要がある。セキュアなストレージが暗号化されていても、どのエンティティからもアクセスが許可されている場合、セキュアではない。したがって、例示的な本発明のＳＯＡ ＥＣＵは、リソースを節約しながらシステム全体のセキュリティを向上させるように構成することができる。さらに、分離カーネルを利用することによって、区画内の不良／障害のあるアプリケーションが他の区画に悪影響を与えること（例えば、サービス妨害（ＤｏＳ）攻撃）を防ぐことができる。安全性の観点から、この例示的な本発明のＳＯＡ ＥＣＵアーキテクチャを有する例示的な本発明のコンピュータシステムは、すべてが単一のＥＣＵ上でホストされる一方で、要求される安全レベルおよびサービス品質に従ってサービスおよびクライアントの分離を可能にする。他の分離ロジック（サービスが区画間でどのように分割されるか）を使用することもできるが、区画は共通の要件（安全性、セキュリティ、および重要度レベル）のサービス環境を提供する。
【0057】
一例示的実施形態では、図４に示すように、例示的な本発明のＳＯＡ ＥＣＵを遠隔管理サーバ上に実装することができ、それによって遠隔更新（ＯＴＡ更新－無線更新）を車両内の様々なＥＣＵに配布することができる。さらに、例示的な本発明のＳＯＡ ＥＣＵは、それ自体のＯＴＡ更新およびＳＯＡ ＥＣＵによって提供されるサービスをサポートすることができる。一部の実施形態において、遠隔更新の認証および検証を可能にすること以上に、例示的な本発明のＳＯＡ ＥＣＵを有する例示的な本発明のコンピュータシステムは、外部通信により他のすべてのＥＣＵ（例えば、Ｖ２Ｘ通信ＥＣＵ、遠隔測定ＥＣＵなど）に認証サービスを拡張するように構成することができる。例示的な一実施形態では、例示的な本発明のＳＯＡ ＥＣＵを有する例示的な本発明のコンピュータシステムは、セキュアな通信に使用されるすべてのデジタル証明書を検証し、通信における様々な当事者を認証する認証局（ＣＡ）を実装するように構成することができる。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵを有する例示的な本発明のコンピュータシステムは、すべての利用可能なサービスにアクセスできるようにプログラム可能な拡張可能サービスＡＰＩを含むように構成することができる。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵを有する例示的な本発明のコンピュータシステムは、ゲートウェイサービスを実行することによって相互接続ネットワーク間のゲートウェイとしても機能するように構成することができる。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、（それが別個のサブネットワークであるかのように）ゲートウェイＥＣＵに直接接続するように構成することができる。
【0058】
例示的な一実施形態では、例示的な本発明のＳＯＡ ＥＣＵを有する例示的な本発明のコンピュータシステムは、ザイリンクス社（カリフォルニア州サンノゼ）の、デュアルコアＡＲＭ Ａ９プロセッサおよびＡｒｔｉｘ－７ ＦＰＧＡを備えるＺｙｎｑ（登録商標）７０１０システムオンチップ（ＳｏＣ）に基づくことができる。そのような例示的な設定は、１ＧＢのＤＤＲ３ ＲＡＭおよび４ＧＢのフラッシュＳＳＤを有することができ、それは本発明のシステムのための動作および記憶メモリを提供する。イーサネットインタフェースは、ＺｙｎｑおよびＭａｒｖｅｌｌ社のＡｌａｓｋａ ＰＨＹ（８８Ｅ１１１６Ｒ）の内蔵ギガビットイーサネットコントローラを介したイーサネット通信に基づくインフォテインメントネットワークなどの１つの車両ネットワークにサーバを接続できる。別の実施形態は、Ｂｒｏａｄｃｏｍ社のＢｒｏａｄＲ－Ｒｅａｃｈ Ａｕｔｏｍｏｔｉｖｅ Ｅｔｈｅｒｎｅｔ ＰＨＹを利用することができる。図４では、Ｖ２Ｘ通信ネットワーク（車－車間・路車間）通信は、車両からその車両に影響を与える可能性のある任意のエンティティに情報を渡すことができ、その逆も可能である。典型的には、車両通信システムは、これに限定されないが、Ｖ２Ｉ（車両対インフラストラクチャ）、Ｖ２Ｖ（車両対車両）、Ｖ２Ｐ（車両対歩行者）、Ｖ２Ｄ（車両対装置）および／またはＶ２Ｇ（車両対送電網）など、他のより具体的なタイプの通信の少なくとも１つを組み込む。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵを有する例示的な本発明のコンピュータシステムは、ＮＸＰ ＭＣ３３９０１トランシーバ（ＰＨＹ）およびＺｙｎｑ ＳｏＣの内蔵ＦＰＧＡ（例えば、Ｂｏｓｃｈ社のＣ＿ＣＡＮ ＦＤ８ ＩＰモジュールなど）に実装されたコントローラを介して実装できる、１Ｍｂｐｓを超える高速通信をサポートする柔軟なデータ転送速度を有するＣＡＮ（ＣＡＮ ＦＤ－ＩＳＯ １１８９８－１：２０１５）に基づくように構成できる。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵを有する例示的な本発明のコンピュータシステムが使用するように構成できるネットワークインタフェースは、例えば、これに限定されないが、すべて最大１Ｍｂｐｓの伝送速度で動作するＺｙｎｑ ＳｏＣの内蔵コントローラやＮＸＰ ＴＪＡ１０４０などの外部トランシーバに基づくＣＡＮ２．０Ｂインタフェース（ＩＳＯ１１８９８－２：２００３）とすることができる。
【0059】
例示的な一実施形態では、ＱＮＸニュートリノＲＴＯＳ（リアルタイムオペレーションシステム）マイクロカーネルを分離カーネルとして使用することができる。暗号化コプロセッサは、一般的な暗号化機能（例えば、ＡＥＳ暗号化、ＳＨＡ－１ハッシュ計算、ＲＳＡ暗号化および署名検証、乱数生成など）のためのハードウェアアクセラレーションを含む専用チップである。この非限定的な実施形態では、ＮＸＰ Ｃ２９１コプロセッサを利用することができる。例えば、図５は、本発明のＳＯＡ ＥＣＵを有するこのような本発明の遠隔管理サーバハードウェアのアーキテクチャの一例を示す。
【0060】
一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵを有する例示的な本発明のコンピュータシステムは、他のＥＣＵと通信するために任意の適切な通信プロトコル（例えば、ＬＩＮ、ＦｌｅｘＲａｙ、ＭＯＳＴなど）を利用するように構成することができる。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、すべての区画がその許可されたセットリソースのみにアクセスできるように、マイクロカーネルがハードウェアリソース（例えば通信インタフェース、暗号コプロセッサなど）へのアクセスを保護するように構成することができる。これらは例示的な本発明のＳＯＡ ＥＣＵの主構成に予め決められている。この実施形態では、ＯＴＡ更新は、インフォテインメントネットワークの一部であるインフォテインメントＥＣＵ（またはいくつかある場合にはインフォテインメントヘッドユニットＥＣＵ）に接続されるであろう外部無線通信インタフェース（例えば３Ｇセルラ）を介して、（自動車ＯＥＭ遠隔更新サーバから）通信することができる。例えば、更新をＯＴＡサービスで受信し、検証後に（特定の更新に関連するＥＣＵのセットに従って）他の相互接続ネットワークに配布することができる。一部の実施形態では、インフォテインメントネットワークに接続されたＥＣＵに対する更新もまた、例示的な本発明のＳＯＡ ＥＣＵを有する遠隔管理サーバに渡され、検証され、次いで関連するＥＣＵに送信され得る。例えば、更新を検証するために、ＯＴＡサービスはすべてのデジタル証明書（Ｘ５０９準拠の証明書）を管理するＣＡサービスを使用することができる。例えば、ＣＡサービスは、ＣＡサービスが管理することになる１セットのルート証明書に対して、外部または内部の通信関係者によって提供されたデジタル証明書の有効性を検証することができるであろう。例えば、ＯＥＭ更新サーバは、更新と共にＣＡサービスで認証するための有効な証明書を提供する必要がある。この証明書は、自動車の製造中に例示的な本発明のＳＯＡ ＥＣＵに事前搭載されているルート証明書を使用して検証されるであろう。一部の実施形態では、ＣＡサービスによって使用されるルート証明書もまた、更新パッケージの一部として遠隔で更新することができる。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵを有する例示的な本発明のコンピュータシステムは、（例えば、ＳＨＡ－２５６アルゴリズムを使用して）そのハッシュを計算し、更新パッケージと共に提供される署名付き証明書（ＲＳＡ、ＥＣＣなどの標準の非対称暗号化アルゴリズムを使用して署名された証明書）に含まれるハッシュ値と比較することによって、更新ファイルの完全性を検証する追加のセキュリティ手段を利用するように構成できる。これにより、ＣＡサービスは更新を検証することができる。基本的に、ＣＡサービスは車両全体の信頼の根幹に役立ち得る。例えば、認証サービスは、証明書のハッシュ値を（例えばＳＨＡ－２５６を使用して）計算し、かつ証明書内の署名付きハッシュ値がルート証明書の秘密鍵を使用して署名されたかどうかを（ルート証明書の公開鍵を使用して）確認する一般的な方法を使用して、証明書を検証することができる。証明書内の計算されたハッシュ値と添付された署名付き値（公開鍵を使用して導き出された値）が一致する場合、それは立証される。
【0061】
一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵを有する例示的な本発明のコンピュータシステムは、ＯＥＭおよび他の適切なエンティティと通信して車両および／またはその使用に関する遠隔測定情報（例えば、エンジン利用率、燃料効率、利用統計など）を送信できるテレマティクスＥＣＵを管理するように構成することができる。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵを有する例示的な本発明のコンピュータシステムは、それ自体および／または車両内の他のＥＣＵ内の機能を有効化／無効化（例えば、様々な燃料効率モードの有効化、誤動作などの場合に低パフォーマンスモードを有効化）する様々なコマンドも受信できるテレマティクスＥＣＵを管理するように構成することができる。例えば、テレマティクスＥＣＵは、通信している遠隔エンティティを（ＰＫＩを介して）認証するために、認証サービス（これは次にＣＡサービスを使用することもできる）を使用する。例えば、各エンティティは、認証サービスによって検証された署名付きデジタル証明書（Ｘ５０９準拠）を含むハンドシェイクとの通信を確立する。一実施形態では、認証サービスは、その動作の一部を実行するためにＣＡサービスの機能を利用することができる。一部の実施形態では、ＣＡサービスは、他のすべての区画が使用しているインフォテインメント区画にインスタンスを有することができる（これはカーネルによって仲介される区画間通信メカニズムを介して行われ、そのような直接ソケット接続またはメッセージは共有メモリを介する）。別の実施形態では、利用のボトルネックおよび一度に複数の区画からサービスへのアクセスを回避するために、ＣＡサービスをそれを必要とするすべての区画に複製することができる。
【0062】
一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵを有する例示的な本発明のコンピュータシステムは、車両、歩行者および／またはインフラストラクチャ（信号機、道路など）などの外部エンティティとリアルタイム通信できるＶ２Ｘ ＥＣＵを管理するように構成することができる。一部の実施形態では、そのようなＶ２Ｘ通信は暗号化することができる。例えば、例示的な本発明のＳＯＡ ＥＣＵを有する例示的な本発明のコンピュータシステムは、Ｖ２Ｘ ＥＣＵによるＶ２Ｘ通信に安全で効率的な暗号化アルゴリズムＡＥＳ２５６を使用するように構成することができる。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵ（遠隔管理サーバ）は、内蔵暗号コプロセッサおよび通信暗号化サービスを利用してＶ２Ｘ ＥＣＵへの／からのデータを暗号化および復号するように構成することができる。例えば、適切な暗号化鍵を選択するために、通信暗号化サービスは（各エンティティ、プロバイダ、自治体、またはその他の区分ごとに個別の証明書がある場合）適切な証明書を使用でき、これにより、両当事者（Ｖ２Ｘ ＥＣＵと外部エンティティ）が（ディフィー・ヘルマン鍵交換アルゴリズムなどのよく知られたアルゴリズムを使用して）対称暗号鍵を交換できるようになる。対称鍵を使用すると、実際のＶ２Ｘ ＥＣＵが暗号化や鍵管理を処理しなくても、コプロセッサは（ハードウェアアクセラレーションを利用して）データを高速で暗号化および復号できる。例えば、認証サービスは、その動作の少なくとも一部を実行するためにＣＡサービスの機能を利用することができる。
【0063】
図６は、例示的な本発明のＳＯＡ ＥＣＵを有する例示的な本発明のコンピュータシステム（「ＳＯＡサーバ」として識別される）が一部の実施形態において利用することができるネットワーク分離を伴う例示的なソフトウェアアーキテクチャを示す。例示的な本発明のＳＯＡ ＥＣＵを有する本発明の遠隔管理サーバのこの例示的なアーキテクチャでは、各区画は、それぞれのサブネットと通信するのに必要なハードウェアにしかアクセスできない（例えば、インフォテインメントネットワークはイーサネットコントローラにのみアクセスでき、ＣＡＮトランシーバにはアクセスできない）。さらに、アクセスをすべてのハードウェアリソースに制限することができる。例えば、サービスが暗号化コプロセッサへのアクセスを必要としない区画はアクセスできない。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵを有する例示的な本発明のコンピュータシステムは、各区画にアクセス可能なハードウェアアドレスを安全に制限できるマイクロカーネル／分離カーネルを介して（例えば、メモリ管理ユニット（ＭＭＵ）またはＭＰＵ内のアドレスマッピングメカニズムによって）アクセス制御を提供するように構成することができ、これによりハードウェアアクセスを制限する。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵを有する例示的な本発明のコンピュータシステムは、重要度（異なる実施形態における可能性もある）に従ってサービスを分離するのではなくネットワーク（ネットワークごとに１つの区画）に従って、あるいはその両方に従ってサービスを分離するように構成することができる。例えば、例示的な本発明のＳＯＡ ＥＣＵを有する例示的な本発明のコンピュータシステムは、要求側ＥＣＵの識別トークン（例えば、ＥＣＵ ＩＤ）を検証することによって、および／または暗号化手段（例えば、証明書交換）によってＥＣＵを認証することによって、そのような制限を実施するように構成することができる。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵを有する例示的な本発明のコンピュータシステムは、どの特定のサービスがどのハードウェアリソースおよび／またはどの他の区画にアクセスできるかを制限するために個々のアクセスサーバ（区画内）を利用するように構成することができる。例えば、アクセスサーバとサービスは、分離カーネル上のネイティブアプリケーションとして実装することができる。例えば、ＱＮＸ Ｎｅｕｔｒｉｎｏの場合は、ＰＯＳＩＸ準拠のアプリケーションにすることができる（マイクロカーネルはＰＯＳＩＸ ＡＰＩに完全に準拠しているため）。表１は、例示的な本発明のＳＯＡ ＥＣＵを有する例示的な遠隔管理サーバからのサービスを要求するＥＣＵに対する例示的なＡＰＩのコードを提供する。
【表1】
【0064】
対話型サービス要求の一例は、図７に示すように、外部ＯＥＭ ＯＴＡ更新サーバから車両にインターネットを介して送信される無線（ＯＴＡ）更新である。この通信はインフォテインメントＥＣＵによって受信されるが、すべての処理は、例示的な本発明のＳＯＡ ＥＣＵを有する遠隔管理サーバ上で実行されているインフォテインメントサーバ区画上のＯＴＡおよびＣＡサービスによって行われる。一部の実施形態では、プロセスは、認証され暗号化された通信セッションを開始するための要求をＯＥＭ ＯＴＡサーバが送信することによって開始する。それを行うために、ＯＥＭサーバは、ＣＡサービスを介して、例示的な本発明のＳＯＡ ＥＣＵを有する遠隔管理サーバによって検証される署名付きデジタル証明書を供給する。検証後、例示的な本発明のＳＯＡ ＥＣＵを有する遠隔管理サーバは、（本実施形態で使用されるＡＥＳ２５６暗号化のためにＣＡサービスを使用して）セッション鍵を生成し、ＯＥＭサーバ証明書からの公開鍵を使用してこれを暗号化する。この暗号化された鍵は、インフォテインメントＥＣＵを介してＯＥＭサーバに送り返される。その後、ＯＥＭサーバは、更新パッケージ（更新ファイルおよび証明書を個別に）をセッション鍵で暗号化し、暗号化された更新パッケージをインフォテインメントＥＣＵに送信し、インフォテインメントＥＣＵはこれを例示的な本発明のＳＯＡ ＥＣＵを有する遠隔管理サーバのＯＴＡサービスに渡す。ＯＴＡサービスは（ＣＡサービスを使用して）更新パッケージを復号し、それに付属する署名付き証明書のハッシュと実際に計算されたファイルのハッシュとを検証することによって更新ファイルの完全性を検証する（この例ではハッシュはＳＨＡ－２５６を使用して計算され、ＯＥＭサーバおよび遠隔管理サーバの両方のルートＣＡの秘密鍵を使用して証明書の署名が作成され、どちらもルート証明書に公開鍵が含まれている）。更新ファイルが検証された後、ＯＴＡサービスはそれをすべてのターゲットＥＣＵに配布して更新を適用する。これらのターゲットＥＣＵは、動作のステータス（例えば、成功、失敗、エラーなど）をＯＴＡサービスに返す。ＯＴＡサービスは、すべての応答を１つのリストにまとめて、インフォテインメントＥＣＵを介してＯＥＭサーバに返信することができる（このリストは、セッション鍵を使用して暗号化された形式で送信することもできる）。このステップでセッションと更新操作が終了する。
【0065】
一例では、例示的な本発明のＳＯＡ ＥＣＵを有する例示的な本発明のコンピュータシステムは、例えば例示的な本発明のＳＯＡ ＥＣＵを有する遠隔管理サーバのＴＣＰ／ＩＰソケットを介してメッセージを送信することによってネットワークを介して、および／またはＣＡＮフレームのデータセクションを介して通信されるＡＰＩ機能呼び出しを受け入れるように構成でき、ＡＰＩ機能呼び出しは以下のフォーマットであり得る。
＜サービス名＞＼ｎ＜長さ入力１＞＜入力変数１＞＜長さ入力２＞＜入力変数２＞．．．、
ここで、「長さ」は入力変数値のバイト単位での長さである。例えば、改行文字（「＼ｎ」、ＡＳＣＩＩでは０ｘＡ）は、サービス名と入出力値を区切ることができる。
＜サービス名＞＼ｎ＜長さ入力１＞＜入力変数１＞＜長さ入力２＞＜入力変数２＞．．．、
ここで、「長さ」は入力変数値のバイト単位での長さである。例えば、改行文字（「＼ｎ」、ＡＳＣＩＩでは０ｘＡ）は、サービス名と入出力値を区切ることができる。
【0066】
例えば、サービスの出力は、次のような例示的な形式でクライアントＥＣＵに送信される結果になる。
＜サービス名＞＼ｎ＜長さ出力＞＜出力変数＞
＜サービス名＞＼ｎ＜長さ出力＞＜出力変数＞
【0067】
他の実施形態では、出力は複数の変数を含むこともできる。
【0068】
図８は、例示的な本発明のＳＯＡ ＥＣＵを有する遠隔管理サーバ内の例示的なＶ２Ｘサーバの通信暗号化サービスのＡＰＩ通信の一例を示す。例えば、７（１０進数）および００００００００１１１（２進数）のＣＡＮ ＩＤを持つＶ２Ｘネットワーク上のクライアントは、（ＡＥＳ２５６を使用して）トラフィックを暗号化して外部インタフェース経由で送信する必要がある。このネットワークは１１ビットのＣＡＮ識別子を利用するであろう（例えば、別の実施形態では、Ｖ２Ｘネットワークは、ＣＡＮプロトコル－ＩＳＯ１１８９８－１：２０１５に記載されているように２９ビットの識別子を使用することができる）。一例では、例示的な本発明のＳＯＡ ＥＣＵを有する遠隔管理サーバは、１５（１０進数）および０００００００１１１１（２進数）のＣＡＮ ＩＤとして接続されている。クライアントは、文字列「パラメータ１０，５，６５，０．４’」を暗号化しようとしている。通信暗号化サービスが要求を受信してそれを解釈すると、例示的な本発明のＳＯＡ ＥＣＵを有する遠隔管理サーバは、このクライアントがそれに対して生成された暗号化鍵を有するかどうかを検証するであろう。このクライアントが暗号鍵を持っていない場合、鍵がクライアントのために生成され、例えばこれに限定されないが、フラッシュＳＳＤ内の専用区画に記憶される（記憶区画はマイクロカーネルによってこのサービスにのみマッピングされ、一部の実施形態ではこの区画は暗号化されてもよい）。一部の実施形態では、区画は、（ＣＡＮ ＩＤによって識別される）クライアントのリストおよび各クライアントに対するそれぞれの鍵を含む。新しいクライアントが追加されると、エントリがリストに追加される。リストには鍵が生成された日時を含めることもできるため、リストは所定期間ごとに更新され得る。通信暗号化サービスが鍵を受信すると、通信暗号化サービスはメッセージを暗号化してそれをクライアントに送り返す。この例では、メッセージは２５６ビットのブロックに埋め込まれる（ＡＥＳ２５６の最小ブロックサイズ、最後に０個のゼロが埋め込まれる）。この例では、結果として得られる暗号化された２５６ビットブロック（３２バイト）は、次のＡＳＣＩＩシーケンスによって表されると仮定される。“］∧ＬＶ２Ｍｃ６ＪＦＫ５Ｚｘ？５Ｓ＝ＫＺＱｃ＃Ｕ＋＜！ｔ８’＠”。したがって、クライアントは、暗号化操作を行わずに、暗号化鍵にさらされることなく、通信を暗号化できる。鍵が他方の外部の当事者に伝達される必要がある場合には、鍵が生成されるか変更されると、非対称のＰＫＩ暗号化を使用してそれを送達することができる。この特定の例では、例示的な本発明のＳＯＡ ＥＣＵを有する遠隔管理サーバは、１つの集中型ポイントがすべてのＯＴＡ更新を受信、検証、管理および配布することを可能にするように構成される。この特定の例では、例示的な本発明のＳＯＡ ＥＣＵを有する遠隔管理サーバは、暗号化および認証などの他の通信セキュリティサービスを提供するように構成される。一部の実施形態では、この発明の実装は、任意の個々のセキュリティ機能を含むために外部と通信する機能を必要とする任意のＥＣＵからの要求を軽減するであろう。
【0069】
図９は、集中セキュリティサービスを他の車両ＥＣＵに提供するように構成されることになる例示的な本発明のＳＯＡ ＥＣＵ（図９において「セキュリティサーバ」として識別される）の例示的なセキュリティサーバアーキテクチャを示す。この特定の実施形態では、例示的な本発明のＳＯＡ ＥＣＵ（セキュリティサーバ）は、接続されている様々な自動車ネットワーク間に安全でセキュアな分離を提供するように構成される。サービスはネットワークごとに独立して提供される。例示的な本発明のＳＯＡ ＥＣＵ（セキュリティサーバ）は、他の任意のＥＣＵに一般的な対話型サービスＡＰＩを提供するであろう。例えば、例示的なＡＰＩは、将来の拡張をも含むあらゆるサービスをサポートするように拡張可能であろう。図９の例の一部の実施形態では、本発明のセキュリティサーバは、デュアルコアＡＲＭ Ａ７プロセッサ、ＳＨ－４Ａ ＣＰＵコア、ＡＥＳ２５６対称暗号化を高速化するためのオンボード暗号化コプロセッサ、およびＳＨＡ－２５６ならびにＲＳＡ非対称暗号化を使用するハッシュ計算モジュールを含むことができるルネサス社のＲ－Ｃａｒ Ｅ２（Ｒ８Ａ７７９４）システムオンチップ（ＳｏＣ）に基づくことができる。一例では、本発明のセキュリティサーバは、システム用の動作および記憶メモリを提供するために、２ＧＢのＤＤＲ３ ＲＡＭおよび１６ＧＢのフラッシュＳＳＤを有し得る。一例では、本発明のセキュリティサーバは、本発明のセキュリティサーバをＶ２Ｘ通信ネットワークなどの１つの車両ネットワークに接続することができるイーサネットインタフェースを有することができ、Ｒ－Ｃａｒ Ｅ２に内蔵されたイーサネットコントローラ、およびこれに限定されないがＮＸＰ社のＴＪＡ１１００などの外部イーサネットＰＨＹモジュールに基づくことができる。一例では、高速ＣＡＮ １Ｍｂｐｓインタフェース（ＩＳＯ１１８９８準拠）を使用して、本発明のセキュリティサーバを（ドアロック／ロック解除、警報、イモビライザ、遠隔キーレスエントリ、スマートキーなどの機能を制御する）ボディネットワークなどの別の車両ネットワークに接続することができる。一例では、インタフェースは、Ｒ－Ｃａｒ Ｅ２上の内蔵コントローラおよびＮＸＰ社のＴＪＡ１０４０などの外部トランシーバに基づくことができる。一例では、本発明のセキュリティサーバは、ソフトウェアインフラストラクチャの一部としてＳｙｓｇｏ社のＰｉｋｅＯＳ分離カーネルおよびハイパーバイザを利用することができる。一部の例では、本発明のセキュリティサーバは、他のＥＣＵと通信するために任意の十分に適切な通信プロトコル（例えば、ＣＡＮ、ＬＩＮ、ＦｌｅｘＲａｙ、ＭＯＳＴなど）を利用することができる。一部の例では、本発明のセキュリティサーバは少なくとも１つのセッションベースのプロトコルを利用することができる。
【0070】
図１０は、車両との外部通信を保護するために、例えば（例えば、Ｖ２Ｘネットワーク内のＥＣＵによって要求される）データおよび通信暗号化サービスを提供するために利用される例示的な本発明のＳＯＡ ＥＣＵの例示的なセキュリティサービスアーキテクチャを示す。例えば、車体のＥＣＵには、アラーム、イモビライザ、遠隔キーレスエントリシステムなどの認証情報をサポートするためのセキュアな記憶サービスが必要である。一部の実施形態では、提供される暗号化サービスは任意の暗号化プロトコル（例えばＡＥＳ、ＤＥＳおよび他のもの）を含み得る。図１０の本発明のアーキテクチャの一部の実施形態では、（例えば、セキュアな記憶またはセキュアなブートの目的で）静止データの暗号化はＡＥＳ２５６アルゴリズムを使用して実装でき、送信データの暗号化はＡＥＳ２５６を使用して実行できる。例示的な一実施形態では、セキュリティサーバとしての例示的な本発明のＳＯＡ ＥＣＵは、外部通信による認証を採用することができる。例示的な一実施形態では、セキュリティサーバとしての例示的な本発明のＳＯＡ ＥＣＵは、例えば、信頼できる第三者による署名付き証明書の交換によって、通信当事者の認証を実行する。例示的な一実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、ＰＫＩインフラストラクチャを使用し、次に非対称暗号法を使用して証明書を検証するように構成され、対称鍵はディフィー・ヘルマンアルゴリズムによって交換される。例示的な一実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、非対称暗号化サービス（例えば、ＲＳＡ、楕円曲線暗号化（ＥＣＣ）など）を使用するように構成される。例示的な一実施形態では、ＰＫＩ証明書は標準のＸ５０９証明書に準拠することができ、非対称暗号化はＥＣＣを使用して実施することができる。例示的な一実施形態では、暗号化鍵および証明書を記憶するために、セキュリティサーバとして機能する例示的な本発明のＳＯＡ ＥＣＵは、例えばフラッシュドライブ内の専用の１ＧＢ区画を利用することができ、ここにすべてのデータは（例えば、ＳｏＣ上のＡＥＳ２５６コプロセッサおよび／またはデータ暗号化サービスを使用して）暗号化ファイルとして記憶される。例えば、主暗号化鍵は、ＳｏＣ暗号化コプロセッサ内の専用のオンチップセキュアストレージ内に記憶することができる。さらに別の実施形態では、暗号化鍵および証明書は一時的なものとすることができる（セッションごとにまたはリアルタイムで生成され、ＲＡＭなどの揮発性メモリに記憶される）。一部の実施形態では、各ネットワークは、例示的な本発明のＳＯＡ ＥＣＵの別々の区画に、必要なサービスをサポートする専用のセキュリティサーバを有することができる。例えば、各サービスを個別のプロセス（個別のアプリケーション）としてホストすることも、セキュリティサーバプロセスがすべての機能をホストして各サービスおよび各クライアントに対して個別のスレッドを開くこともできる。例えば、例示的な本発明のＳＯＡ ＥＣＵによって提供されるセキュリティサーバサービスは、バックグラウンドでオペレーティングシステムサービスまたはデーモン（Ｌｉｎｕｘ（登録商標）の場合）として動作し、新しいクライアント接続要求をリッスンすることができる。例えば、本発明のセキュリティサーバがボディネットワークにサービスを提供する場合、セキュアな記憶サービスは単純であり、ＯＳのオーバーヘッドは最小化されるので、ＯＳは使用されないであろう。例えば、ボディセキュリティサーバは、分離カーネルの上にあるネイティブアプリケーションとして実装することができる。
【0071】
表２は、Ｖ２Ｘイーサネットネットワーク上のクライアント（例えばＩＰ１０．０．０．５８）にサービスを提供しながら、本発明のセキュリティサーバ（例示的な本発明のＳＯＡ ＥＣＵ）による外部システムへのＡＰＩ要求呼び出しに対応する例示的なコードを提供する。例えば、クライアントは本発明のセキュリティサーバのリスニングポート（例えばセキュリティサーバのＩＰ１０．０．０．２５上のポート６２３２０）にメッセージを送信し、そのメッセージでクライアントは必要なサービスとすべての必要な入力データを識別する。例えば、ボディネットワークの場合、クライアントは１つ以上のＣＡＮフレームを通じてサービスの名前および入力データを送信することができる。一部の実施形態では、本発明のセキュリティサーバとクライアントとの間の通信は、例えば、クライアントと本発明のセキュリティサーバの両方に事前搭載され、信頼できる認証局によって署名される（セキュリティサーバ自体が認証局として機能することもできる）デジタル証明書を使用するＳＳＬ／ＴＬＳを使用するイーサネットベースのネットワークで認証および暗号化できる。外部システムに対するセキュリティサーバのＡＰＩのコードベースの例を以下に示す。追加された追加サービスは、それら自身のＡＰＩ呼び出しを追加する。
【表2】
【0072】
例えば、ＡＥＳ２５６を使用してデータブロックを暗号化するために、Ｖ２Ｘネットワーク上のクライアントは、例示的な本発明のセキュリティサーバ（例示的な本発明のＳＯＡ ＥＣＵ）のポート６２３２０に以下のデータを含むであろうメッセージを送信する。
「ＥｎｃｒｙｐｔＡＥＳ２５６ １９ ａｓｄｊｎｋａｓｄｎ４３２５４．ｓｄａ」、
ここで、「ａｓｄｊｎｋａｓｄｎ４３２５４．ｓｄａ」は暗号化されるデータで、長さは１９バイトになる（または１９文字、０を埋め込んで３２文字にされる－ＡＥＳ２５６の最小ブロックサイズは３２バイト）。結果は、開かれたポートを介してクライアントに送り返される暗号化されたデータ「ＥｎｃｒｙｐｔＡＥＳ２５６ ３２ ｌｋａｊｓｄｌｋｓａｄｊ８７ａｓｄ！！ｊｄ／ｋｆｄ；ｓｋｍｆｄｓ」であり得、「ｌｋａｊｓｄｌｋｓａｄｊ８７ａｓｄ！！ｊｄ／ｋｆｄ；ｓｋｍｆｄｓ」が暗号化テキストであると推測される。
「ＥｎｃｒｙｐｔＡＥＳ２５６ １９ ａｓｄｊｎｋａｓｄｎ４３２５４．ｓｄａ」、
ここで、「ａｓｄｊｎｋａｓｄｎ４３２５４．ｓｄａ」は暗号化されるデータで、長さは１９バイトになる（または１９文字、０を埋め込んで３２文字にされる－ＡＥＳ２５６の最小ブロックサイズは３２バイト）。結果は、開かれたポートを介してクライアントに送り返される暗号化されたデータ「ＥｎｃｒｙｐｔＡＥＳ２５６ ３２ ｌｋａｊｓｄｌｋｓａｄｊ８７ａｓｄ！！ｊｄ／ｋｆｄ；ｓｋｍｆｄｓ」であり得、「ｌｋａｊｓｄｌｋｓａｄｊ８７ａｓｄ！！ｊｄ／ｋｆｄ；ｓｋｍｆｄｓ」が暗号化テキストであると推測される。
【0073】
一部の実施形態では、暗号化鍵について、例示的な本発明のセキュリティサーバの例示的なセキュリティサービスは、データを暗号化するために鍵を使用することになるすべてのクライアントに対して一意の鍵を生成することができる。例えば、鍵は（例示的な本発明のセキュリティサーバに組み込まれる）暗号コプロセッサ内の専用記憶装置に記憶することができ、あるいは鍵の量が多い場合には、クライアントのＩＤおよび鍵のリストを含むセキュアな区画内の別個のファイルに鍵を記憶することができる。例えば、そのようなファイルは、暗号化コプロセッサの内部に記憶されることになる一意のセキュリティサーバ暗号化鍵によって暗号化することができる。一部の実施形態では、専用のセキュアな記憶装置（例えばフラッシュ）をＳｏＣに直接接続し、本発明のセキュリティサーバのプロセス（分離カーネル許可によって保護されている）によってのみアクセス可能とすることができ、すべての鍵をそこに記憶することができる。一部の実施形態では、暗号化鍵はセキュリティサーバへの入力とすることができ、または鍵が内部で生成されると、そのような鍵を将来の使用のためにクライアントに返すこともできる（例えば、鍵を他方の当事者と交換しなければならない通信を暗号化するため）。一部の実施形態では、例示的な本発明のセキュリティサーバ（図１１では「サーバ」として識別される）は、例えば図１１に示すようにセキュアな記憶を利用することができる。例えば、データを安全に記憶するために、例示的な本発明のセキュリティサーバは、一意のクライアント鍵を利用することができる（クライアントは、そのＩＰによって、または任意のＩＤなどの他の手段によって識別することができる）。例えば、セキュアストレージサービスは、暗号化サービスを内部的に呼び出し、暗号化されたデータを受信し、鍵を「ＣｌｉｅｎｔＩＰ．ＶａｒＮａｍｅ．ｄａｔａ」という名前のファイルとして専用区画に記憶することができる。
【0074】
例えば、セキュリティサービスの集中型実装を提供する例示的な本発明のセキュリティサーバは、本発明のシステムおよび車両全体のセキュリティレベルを向上させる。例えば、セキュリティ関連の機能は正しく実装する必要があり、綿密なテストが必要なため、セキュリティサービスを集中的に実装することで、各アプリケーションまたはＥＣＵが、安全ではない可能性もある、独自のセキュリティ実装を行うリスクを軽減することができる。本発明は、セキュリティに関連するすべての機能を安全で検証済みかつ認証済みの本発明のシステムに集中させることを可能にし、それによってセキュリティメカニズムにおける信頼性を高める。例えば、様々なＥＣＵはソフトウェアの更新および／またはＥＣＵの追加によって向上する必要があるので、追加のサービスを可能にするために本発明のセキュリティサーバを（ソフトウェアの更新によって）更新することもできる。例えば、本発明の原理による集中型実装は、各機能に必要なインスタンスは１つだけであり、そのようなインスタンスは必要な数のクライアントにサービスを提供できるため、コストを削減し、柔軟性を高める。例えば、新しいアプリケーションまたはＥＣＵが特定のサービスを必要とする場合、そのような新しいアプリケーションまたはＥＣＵは、そのようなサービスを本発明のセキュリティサーバに要求するだけでよい。一部の実施形態では、例示的な本発明のアーキテクチャは、階層型バリューチェーン業界においてサービス指向アーキテクチャを有することによる困難を最小限に抑えるように構成される。例えば、ＳＯＡ ＥＣＵは完全に独立したシステムであるため、あらゆる自動車プロトコルで通信可能で、かつ他のＥＣＵとのセッションや同期を必要としない標準ＡＰＩを備えている。例えば、すべてのティア１メーカは、インタフェース仕様（特定のＳＯＡ ＥＣＵが送受信する必要があるメッセージのリスト）に頼ることができる。そして各ティア１は、それぞれのＥＣＵを完全に独立して実装し、ＥＣＵによって必要とされるサービスにのみ完全に非同期的にアクセスする。注目すべきことに、本明細書に記載の実施形態は、もちろん、任意の適切なハードウェア言語および／またはコンピューティングソフトウェア言語を使用して実装され得る。これに関して、当業者は、使用され得るコンピュータハードウェアの種類、使用され得るコンピュータプログラミング技術の種類（例えば、オブジェクト指向プログラミング）、および使用され得るコンピュータプログラミング言語（例えば、Ｃ＋＋、Ｂａｓｉｃ、ＡＪＡＸ、Ｊａｖａ（登録商標）スクリプト）の種類に精通している。前述の例はもちろん例示的であり、限定的ではない。
【0075】
一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、これに限定されないが自動車会社および適切な第三者などのエンティティが、車両のライフサイクル全体を通して遠隔におよび／またはリアルタイムで１つ以上の付加価値サービスをユーザに提供できるように構成／プログラムすることができる。一部の実施形態では、例示的な本発明のＳＯＡ ＥＣＵは、あたかもサブスクリプションのような構成の場合のようにサプライヤに継続的な収入の流れをもたらす、ユーザ経験の継続的な個別化を可能にするように構成／プログラムすることができる。
【0076】
一部の実施形態では、本発明は、少なくとも以下の構成要素、すなわちサービス指向アーキテクチャを有する電子制御ユニット（ＳＯＡ ＥＣＵ）を含む例示的な本発明のシステムを提供し、ＳＯＡ ＥＣＵは少なくとも１つの例示的な本発明のＳＯＡサーバを含み、ＳＯＡ ＥＣＵは車両内にあり、少なくとも１つのＳＯＡサーバは、車両内に位置する少なくとも１つのクライアントＥＣＵに少なくとも１つのサービスを提供するように構成され、少なくとも１つのＳＯＡサーバは、少なくとも１つのサービスを提供するために、少なくとも１つの専用処理リソースおよび少なくとも１つの専用メモリリソースを割り当てるように構成される。
【0077】
一部の実施形態では、例示的なＳＯＡ ＥＣＵはさらに、少なくとも１つの第１のＳＯＡサーバを含む少なくとも１つの第１の区画を含み、少なくとも１つの第１のＳＯＡサーバは、少なくとも１つの第１のサービスを少なくとも１つの第１のクライアントＥＣＵに提供するように構成され、少なくとも１つの第１のＳＯＡサーバは、少なくとも１つの第１のサービスを提供するために、少なくとも１つの第１の専用処理リソースおよび少なくとも１つの第１の専用メモリリソースを割り当てるように構成され、例示的なＳＯＡ ＥＣＵはさらに、少なくとも１つの第２のＳＯＡサーバを含む少なくとも１つの第２の区画を含み、少なくとも１つの第２のＳＯＡサーバは、少なくとも１つの第２のサービスを少なくとも１つの第２のクライアントＥＣＵに提供するように構成され、少なくとも１つの第２のＳＯＡサーバは、少なくとも１つの第２のサービスを提供するために、少なくとも１つの第２の専用処理リソースおよび少なくとも１つの第２の専用メモリリソースを割り当てるように構成され、少なくとも１つの第１の区画および少なくとも１つの第２の区画は、分離カーネルを介して互いに動作上分離される。
【0078】
一部の実施形態では、少なくとも１つの第１の区画は、少なくとも１つの第１の専用処理リソースおよび少なくとも１つの第１の専用メモリリソースを用いて少なくとも１つの第１のオペレーティングシステム（ＯＳ）を実行するように構成され、少なくとも１つの第２の区画は、少なくとも１つの第２の専用処理リソースおよび少なくとも１つの第２の専用メモリリソースを用いて少なくとも１つの第２のＯＳを実行するように構成され、少なくとも１つの第１の専用処理リソースおよび少なくとも１つの第２の専用処理リソースは、少なくとも１つの専用ハードウェアモジュールの一部であり、分離カーネルは、少なくとも１つの第１の専用処理リソースおよび少なくとも１つの第２の専用処理リソースに、少なくとも１つの第１のサービスまたは少なくとも１つの第２のサービスをそれぞれ実行するための個別のアクセスを個別に提供し、少なくとも１つの第１の専用メモリリソースおよび少なくとも１つの第２の専用メモリリソースは、少なくとも１つの専用ハードウェアモジュールの一部であり、分離カーネルは、少なくとも１つの第１の専用メモリリソースおよび少なくとも１つの第２の専用メモリリソースに、少なくとも１つの第１のサービスまたは少なくとも１つの第２のサービスをそれぞれ実行するための個別のアクセスを個別に提供するように構成される。
【0079】
一部の実施形態では、少なくとも１つの第１のＳＯＡサーバは安全性重視のサーバであり、少なくとも１つの第２のＳＯＡサーバは安全性重視でないサーバである。
【0080】
一部の実施形態では、少なくとも１つの第１のクライアントＥＣＵは少なくとも１つの第１のネットワークに関連付けられ、少なくとも１つの第２のクライアントＥＣＵは少なくとも１つの第２のネットワークに関連付けられ、少なくとも１つの第１のネットワークと少なくとも１つの第２のネットワークとは異なるネットワークである。
【0081】
一部の実施形態では、分離カーネルは、少なくとも１つの障害のある区画が少なくとも１つの障害のない区画に悪影響を及ぼすのを防止または妨げるように構成される。
【0082】
一部の実施形態では、少なくとも１つの障害のある区画は、サイバー攻撃を受けやすい区画である。
【0083】
一部の実施形態では、少なくとも１つのＳＯＡサーバは、少なくとも１つのクライアントＥＣＵに関連付けられたサービス品質（ＱｏＳ）レベルに少なくとも部分的に基づいて少なくとも１つのサービスを提供するように構成される。
【0084】
一部の実施形態では、少なくとも１つのサービスは、ｉ）遠隔管理サービス、ｉｉ）遠隔監視サービス、ｉｉｉ）地上波（ＯＴＡ）更新サービス、ｉｖ）対称暗号化サービス、ｖ）非対称暗号化サービス、ｖｉ）証明書管理サービス、ｖｉｉ）中央ファイアウォールサービス、ｖｉｉｉ）セキュアストレージサービス、ｉｘ）ロックダウンサービス、ｘ）侵入検知サービス、ｘｉ）侵入防止サービス、ｘｉｉ）セキュア処理サービス、ｘｉｉｉ）認証局（ＣＡ）サービス、ｘｉｖ）通信セキュリティサービス、ｘｖ）認証サービス、ｘｖｉ）アイデンティティ管理サービス、ｘｖｉｉ）鍵管理サービス、ｘｖｉｉｉ）更新配布サービス、ｘｉｘ）ソフトウェア回復サービス、ｘｘ）ソフトウェアフラッシュサービス、およびｘｖｉｉ）それらの任意の組み合わせからなる群から選択される。
【0085】
一部の実施形態では、ＳＯＡ ＥＣＵは、ｉ）車両関連データ、およびｉｉ）車両の少なくとも１人のユーザに関するユーザ関連データ、のうちの少なくとも１つを収集するように構成された少なくとも１つのモジュールをさらに含む。
【0086】
一部の実施形態では、少なくとも１つのモジュールはさらに、車両関連データ、ユーザ関連データ、またはその両方を、第三者に関連付けられた少なくとも１つの電子遠隔目的地に送信させるように構成され、少なくとも１つの電子遠隔目的地は、車両の外部にある。
【0087】
一部の実施形態では、ＳＯＡ ＥＣＵはさらに、ｉ）少なくとも１つのリアルタイムの第１の承認されたソフトウェア変更をＳＯＡ ＥＣＵに導入すること、ｉｉ）少なくとも１つのリアルタイムの第２の承認された変更を少なくとも１つのＳＯＡサーバに導入すること、およびｉｉｉ）少なくとも１つのリアルタイムの第３の承認された変更を少なくとも１つのサービスに導入すること、のうちの少なくとも１つを可能にするように構成される。
【0088】
一部の実施形態では、少なくとも１つのリアルタイムの第２の承認された変更は、１）少なくとも１つの新しいサービスを少なくとも１つのＳＯＡサーバにリアルタイムで追加すること、２）少なくとも１つのサービスを少なくとも１つの新しいサービスにリアルタイムで置き換えること、３）少なくとも１つのＳＯＡサーバから少なくとも１つのサービスをリアルタイムで削除すること、および４）少なくとも１つのＳＯＡサーバの設定をリアルタイムで変更すること、のうちの少なくとも１つである。
【0089】
一部の実施形態では、少なくとも１つの第１のリアルタイムの第１の承認された変更、少なくとも１つのリアルタイムの第２の承認された変更、および少なくとも１つの第３のリアルタイムの第１の承認された変更は、車両の外部の少なくとも１つの外部ソースから導入される。
【0090】
一部の実施形態では、少なくとも１つのリアルタイムの第１の承認された変更、少なくとも１つのリアルタイムの第２の承認された変更、および少なくとも１つのリアルタイムの第３の承認された変更のうちの少なくとも１つは、ｉ）車両の少なくとも１つの車両固有の特性、ｉｉ）ユーザの少なくとも１つのユーザ固有の特性、ｉｉｉ）少なくとも１つのユーザ要求、ｉｖ）少なくとも１つのサービスプロバイダ要求、およびｖ）少なくとも１つのメーカ要求、のうちの少なくとも１つに基づく。
【0091】
一部の実施形態では、少なくとも１つのサービスは、車両の組み立て中に少なくとも１つのＳＯＡサーバに追加され、少なくとも１つのサービスは、車両の耐用期間中の特定の期間、遠隔で作動されるように構成される。
【0092】
一部の実施形態では、少なくとも１つのサービスは、複数の別個のクライアントＥＣＵに利用可能な専用アプリケーションプログラムインタフェース（ＡＰＩ）要求を介して呼び出されるように構成される。一部の実施形態では、少なくとも１つのＳＯＡサーバは、少なくとも１つのセキュリティポリシーに従って、複数のサービスを複数の別個のクライアントＥＣＵに提供するように構成される。
【0093】
一部の実施形態では、少なくとも１つのセキュリティポリシーは、ｉ）特定のクライアントＥＣＵへのアクセス、ｉｉ）特定のクライアントＥＣＵによって利用される少なくとも１つの特定のサービスの利用可能性、ｉｉｉ）少なくとも１つのＱｏＳ要件、およびｉｖ）ＳＯＡ ＥＣＵの特定のハードウェアモジュールへのアクセス、のうちの少なくとも１つを制御する少なくとも１つの規則を含む。
【0094】
一部の実施形態では、少なくとも１つのモジュールは、車両関連データ、ユーザ関連データ、またはその両方を送信させる前に、車両関連データ、ユーザ関連データ、またはその両方を用いて少なくとも１つの動作を実行するようにさらに構成される。
【0095】
一部の実施形態では、本発明は、少なくとも以下のステップ、すなわちサービス指向アーキテクチャ（ＳＯＡ ＥＣＵ）を有する電子制御ユニットを提供するステップを含む例示的な本発明の方法を提供し、ＳＯＡ ＥＣＵは少なくとも１つのＳＯＡサーバを含み、ＳＯＡ ＥＣＵは車両内にあり、少なくとも１つのＳＯＡサーバは、車両内に位置する少なくとも１つのクライアントＥＣＵに少なくとも１つのサービスを提供するように構成され、少なくとも１つのＳＯＡサーバは、少なくとも１つのサービスを提供するために、少なくとも１つの専用処理リソースおよび少なくとも１つの専用メモリリソースを割り当てるように構成される。
【0096】
本発明のいくつかの実施形態を説明したが、これらの実施形態は例示的なものであって限定的なものではないこと、および多くの変更が当業者に明らかとなり得ることが理解され、変更には、本明細書に記載の本発明の方法論、本発明のシステムおよび本発明の装置が、互いに任意の組み合わせで利用できることが含まれる。さらになお、様々なステップは、任意の所望の順序で実行することができる（および任意の所望のステップを追加することができ、および／または任意の所望のステップを排除することができる）。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【手続補正書】
【提出日】2023-08-03
【手続補正1】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項1】
サービス指向アーキテクチャを有する電子制御ユニット（ＳＯＡ ＥＣＵ）を含むシステムにおいて、
前記ＳＯＡ ＥＣＵが車両内に配置されており、
前記ＳＯＡ ＥＣＵは、少なくとも１つのＳＯＡサーバを含む少なくとも１つのパーティションを含み、
前記少なくとも１つのパーティションは、
ｉ）セキュアな分離機能、
ｉｉ）セキュアなパーティション機能、
ｉｉｉ）セキュアなハイパーバイザ機能、若しくは、
ｉｖ）上記のｉ）～ｉｉｉ）のうちの任意の組み合わせ
の、少なくとも１つを提供するように構成されたカーネルに関連付けられ、
前記少なくとも１つのＳＯＡサーバは、少なくとも１つの第１のクライアント電子制御ユニット（ＥＣＵ）に少なくとも１つのサービスを提供するように構成されており、
前記少なくとも１つのＳＯＡサーバは、前記少なくとも１つのサービスを提供するために、少なくとも１つの第１のサービス専用処理リソースと少なくとも１つのサービス専用メモリリソースとを割り当てるように構成されており、
前記少なくとも１つのサービスは、以下の（ｉ）～（ｖｉｉ）のうちの、少なくとも１つを実行するように構成された、少なくとも１つのセキュリティサービスを含む、
（ｉ）前記少なくとも１つのパーティションへの少なくとも１つの第１の通信の確認、
（ｉｉ）前記少なくとも１つのパーティションからの少なくとも１つの第２の通信の確認、
（ｉｉｉ）前記少なくとも１つのパーティション内部での少なくとも１つの第３の通信を確認、
（ｉｖ）前記少なくとも１つのパーティションへの前記少なくとも１つの第１の通信の検証、
（ｖ）前記少なくとも１つのパーティションからの前記少なくとも１つの第２の通信の検証、
（ｖｉ）前記少なくとも１つのパーティション内部の前記少なくとも１つの第３の通信の検証、
（ｖｉｉ）上記（ｉ）～（ｖｉ）のうちの任意の組み合わせ、
システム。
前記ＳＯＡ ＥＣＵが車両内に配置されており、
前記ＳＯＡ ＥＣＵは、少なくとも１つのＳＯＡサーバを含む少なくとも１つのパーティションを含み、
前記少なくとも１つのパーティションは、
ｉ）セキュアな分離機能、
ｉｉ）セキュアなパーティション機能、
ｉｉｉ）セキュアなハイパーバイザ機能、若しくは、
ｉｖ）上記のｉ）～ｉｉｉ）のうちの任意の組み合わせ
の、少なくとも１つを提供するように構成されたカーネルに関連付けられ、
前記少なくとも１つのＳＯＡサーバは、少なくとも１つの第１のクライアント電子制御ユニット（ＥＣＵ）に少なくとも１つのサービスを提供するように構成されており、
前記少なくとも１つのＳＯＡサーバは、前記少なくとも１つのサービスを提供するために、少なくとも１つの第１のサービス専用処理リソースと少なくとも１つのサービス専用メモリリソースとを割り当てるように構成されており、
前記少なくとも１つのサービスは、以下の（ｉ）～（ｖｉｉ）のうちの、少なくとも１つを実行するように構成された、少なくとも１つのセキュリティサービスを含む、
（ｉ）前記少なくとも１つのパーティションへの少なくとも１つの第１の通信の確認、
（ｉｉ）前記少なくとも１つのパーティションからの少なくとも１つの第２の通信の確認、
（ｉｉｉ）前記少なくとも１つのパーティション内部での少なくとも１つの第３の通信を確認、
（ｉｖ）前記少なくとも１つのパーティションへの前記少なくとも１つの第１の通信の検証、
（ｖ）前記少なくとも１つのパーティションからの前記少なくとも１つの第２の通信の検証、
（ｖｉ）前記少なくとも１つのパーティション内部の前記少なくとも１つの第３の通信の検証、
（ｖｉｉ）上記（ｉ）～（ｖｉ）のうちの任意の組み合わせ、
システム。
【請求項2】
前記少なくとも１つのセキュリティサービスは、予め定義されたセキュリティポリシを実装するように構成されている、請求項１に記載のシステム。
【請求項3】
前記少なくとも１つのセキュリティサービスは、以下のｉ）～ｉｖ）のうちの、少なくとも１つを含む、
ｉ）侵入検知システム（ＩＤＳ）サービス、
ｉｉ）侵入防止システム（ＩＰＳ）サービス、
ｉｉｉ）証明書検証サービス（ＣＡサービス）、
ｉｖ）暗号化サービス、
ｖ）セキュア通信ロックダウンサービス、
ｉｖ）上記ｉ）ｉ）～ｖ）のうちの任意の組み合わせ、
請求項１に記載のシステム。
ｉ）侵入検知システム（ＩＤＳ）サービス、
ｉｉ）侵入防止システム（ＩＰＳ）サービス、
ｉｉｉ）証明書検証サービス（ＣＡサービス）、
ｉｖ）暗号化サービス、
ｖ）セキュア通信ロックダウンサービス、
ｉｖ）上記ｉ）ｉ）～ｖ）のうちの任意の組み合わせ、
請求項１に記載のシステム。
【請求項4】
前記カーネルは、分離カーネルであり、
該分離カーネルは、前記少なくとも１つのセキュリティサービスを利用することによって、前記少なくとも１つの第１の通信、前記少なくとも１つの第２の通信、または前記少なくとも１つの第３の通信のうちの、少なくとも１つを仲介するように構成されている、
請求項１に記載のシステム。
該分離カーネルは、前記少なくとも１つのセキュリティサービスを利用することによって、前記少なくとも１つの第１の通信、前記少なくとも１つの第２の通信、または前記少なくとも１つの第３の通信のうちの、少なくとも１つを仲介するように構成されている、
請求項１に記載のシステム。
【請求項5】
前記分離カーネルが、前記少なくとも１つのセキュリティサービスを介したルーティングを経由して、前記少なくとも１つの第１の通信、前記少なくとも１つの第２の通信、および前記少なくとも１つの第３の通信のうちの、１つ以上をルーティングするように構成されている、請求項４に記載のシステム。
【請求項6】
前記少なくとも１つのセキュリティサービスを介したルーティングが、前記分離カーネルによって強制されるバイパス不可能な必須ルーティングを含む、請求項５に記載のシステム。
【請求項7】
前記少なくとも１つのセキュリティサービスが、前記少なくとも１つのパーティションのセキュリティパーティションにローカルに実装されており、
前記少なくとも１つのセキュリティサービスは、前記少なくとも１つのＳＯＡサーバによって管理される、
請求項１に記載のシステム。
前記少なくとも１つのセキュリティサービスは、前記少なくとも１つのＳＯＡサーバによって管理される、
請求項１に記載のシステム。
【請求項8】
前記少なくとも１つの第１の通信、前記少なくとも１つの第２の通信、および前記少なくとも１つの第３の通信のうちの、少なくとも１つが、前記少なくとも１つのＳＯＡサーバによって提供される複数のサービスの間にある、請求項１に記載のシステム。
【請求項9】
前記少なくとも１つの第１の通信、前記少なくとも１つの第２の通信、または前記少なくとも１つの第３の通信のうちの、少なくとも１つが、以下のｉ）～ｉｉｉ）の間にある、
ｉ） 前記少なくとも１つのサービス以外のサービス、
ｉｉ） アプリケーション、
ｉｉｉ） サービスとアプリケーションの両方、
請求項１に記載のシステム。
ｉ） 前記少なくとも１つのサービス以外のサービス、
ｉｉ） アプリケーション、
ｉｉｉ） サービスとアプリケーションの両方、
請求項１に記載のシステム。
【請求項10】
前記少なくとも１つの第１の通信、前記少なくとも１つの第２の通信、または前記少なくとも１つの第３の通信のうちの、少なくとも１つが、共通のＥＣＵの２つ以上のパーティションの間にある、請求項１に記載のシステム。
【請求項11】
前記少なくとも１つの第１の通信、前記少なくとも１つの第２の通信、または前記少なくとも１つの第３の通信のうちの、少なくとも１つが、前記車両の別々のＥＣＵの間にある、前記車両のＥＣＵと前記車両に対する外部エンティティとの間にある、または、その両方である、請求項１に記載のシステム。
【請求項12】
前記少なくとも１つのセキュリティサービスが、外部サービスを利用するように構成されている、請求項１に記載のシステム。
【請求項13】
前記少なくとも１つのセキュリティサービスが、共通オブジェクト要求ブローカアーキテクチャ（ＣＯＲＢＡ）を含む、請求項１に記載のシステム。
【請求項14】
前記ＣＯＲＢＡがセキュリティポリシの少なくとも一部を実装し、
前記セキュリティポリシはセキュリティルールのセットを含む、
請求項１３に記載のシステム。
前記セキュリティポリシはセキュリティルールのセットを含む、
請求項１３に記載のシステム。
【請求項15】
前記少なくとも１つのセキュリティサービスが、データ配信サービス （ＤＤＳ） を含む、
請求項１に記載のシステム。
請求項１に記載のシステム。
【請求項16】
前記ＤＤＳは、セキュリティポリシの一つ以上のルールを実装するように構成されている、
請求項１５に記載のシステムは、
請求項１５に記載のシステムは、
【請求項17】
前記ＳＯＡ ＥＣＵが、エンタープライズサービスバス（ＥＳＢ）をさらに含み、
前記少なくとも１つのＳＯＡサーバはＥＳＢを介して前記少なくとも１つの通信をルーティングする、
請求項１に記載のシステム。
前記少なくとも１つのＳＯＡサーバはＥＳＢを介して前記少なくとも１つの通信をルーティングする、
請求項１に記載のシステム。
【請求項18】
前記ＥＳＢは、セキュリティポリシの一つ以上のルールを実装するように構成されている、
請求項１７に記載のシステムは。
請求項１７に記載のシステムは。
【請求項19】
前記少なくとも１つの第１の通信、前記少なくとも１つの第２の通信、または前記少なくとも１つの第３の通信のうちの、少なくとも１つが、前記少なくとも１つのパーティション内部にある、請求項１に記載のシステム。
【請求項20】
前記少なくとも１つの第１の通信、前記少なくとも１つの第２の通信、または前記少なくとも１つの第３の通信のうちの、少なくとも１つが、以下のｉ）～ｖｉ）のうちの１つ以上で配信される、２つ以上のサービス若しくは２つ以上のアプリケーションの間にある、
ｉ）同じパーティションに少なくとも２つ、
ｉｉ）同じＥＣＵ内部の、１つのパーティションに少なくとも１つ、及び、別のパーティションに１つ、
ｉｉｉ）同じＥＣＵ内部の別のカーネルで実行される少なくとも１つ、
ｉｖ）同じＥＣＵ内部の別の処理リソースで実行される少なくとも１つ、
ｖ）前記車両内の別のＥＣＵに少なくとも１つ、
ｖｉ）前記車両に関連する外部エンティティに少なくとも１つ、
請求項１に記載のシステム。
ｉ）同じパーティションに少なくとも２つ、
ｉｉ）同じＥＣＵ内部の、１つのパーティションに少なくとも１つ、及び、別のパーティションに１つ、
ｉｉｉ）同じＥＣＵ内部の別のカーネルで実行される少なくとも１つ、
ｉｖ）同じＥＣＵ内部の別の処理リソースで実行される少なくとも１つ、
ｖ）前記車両内の別のＥＣＵに少なくとも１つ、
ｖｉ）前記車両に関連する外部エンティティに少なくとも１つ、
請求項１に記載のシステム。
【請求項21】
サービス指向アーキテクチャを有する電子制御ユニット（ＳＯＡ ＥＣＵ）を提供するステップを含む方法であって、
前記ＳＯＡ ＥＣＵは車両内に配置されており、
前記ＳＯＡ ＥＣＵは、少なくとも１つのＳＯＡサーバを含む少なくとも１つのパーティションを含み、
前記少なくとも１つのパーティションは、
ｉ）セキュアな分離機能、
ｉｉ）セキュアなパーティション機能、
ｉｉｉ）セキュアなハイパーバイザ機能、若しくは、
ｉｖ）上記のｉ）～ｉｉｉ）のうちの任意の組み合わせ；
の、少なくとも１つを提供するように設定されたカーネルに関連付けられ、
前記少なくとも１つのＳＯＡサーバは、少なくとも１つの第１のクライアント電子制御ユニット（ＥＣＵ）に少なくとも１つのサービスを提供するように構成されており、
前記少なくとも１つのＳＯＡサーバは、前記少なくとも１つのサービスを提供するために、少なくとも１つの第１のサービス専用処理リソースと少なくとも１つのサービス専用メモリリソースとを割り当てるように構成されており、
前記少なくとも１つのサービスは、以下の（ｉ）～（ｖｉｉ）のうちの、少なくとも１つを実行するように構成された、少なくとも１つのセキュリティサービスを含む、
（ｉ）前記少なくとも１つのパーティションへの少なくとも１つの第１の通信の確認、
（ｉｉ）前記少なくとも１つのパーティションからの少なくとも１つの第２の通信の確認、
（ｉｉｉ）前記少なくとも１つのパーティション内部での少なくとも１つの第３の通信を確認、
（ｉｖ）前記少なくとも１つのパーティションへの前記少なくとも１つの第１の通信の検証、
（ｖ）前記少なくとも１つのパーティションからの前記少なくとも１つの第２の通信の検証、
（ｖｉ）前記少なくとも１つのパーティション内部の前記少なくとも１つの第３の通信の検証、
（ｖｉｉ）上記（ｉ）～（ｖｉ）のうちの任意の組み合わせ、
方法。
前記ＳＯＡ ＥＣＵは車両内に配置されており、
前記ＳＯＡ ＥＣＵは、少なくとも１つのＳＯＡサーバを含む少なくとも１つのパーティションを含み、
前記少なくとも１つのパーティションは、
ｉ）セキュアな分離機能、
ｉｉ）セキュアなパーティション機能、
ｉｉｉ）セキュアなハイパーバイザ機能、若しくは、
ｉｖ）上記のｉ）～ｉｉｉ）のうちの任意の組み合わせ；
の、少なくとも１つを提供するように設定されたカーネルに関連付けられ、
前記少なくとも１つのＳＯＡサーバは、少なくとも１つの第１のクライアント電子制御ユニット（ＥＣＵ）に少なくとも１つのサービスを提供するように構成されており、
前記少なくとも１つのＳＯＡサーバは、前記少なくとも１つのサービスを提供するために、少なくとも１つの第１のサービス専用処理リソースと少なくとも１つのサービス専用メモリリソースとを割り当てるように構成されており、
前記少なくとも１つのサービスは、以下の（ｉ）～（ｖｉｉ）のうちの、少なくとも１つを実行するように構成された、少なくとも１つのセキュリティサービスを含む、
（ｉ）前記少なくとも１つのパーティションへの少なくとも１つの第１の通信の確認、
（ｉｉ）前記少なくとも１つのパーティションからの少なくとも１つの第２の通信の確認、
（ｉｉｉ）前記少なくとも１つのパーティション内部での少なくとも１つの第３の通信を確認、
（ｉｖ）前記少なくとも１つのパーティションへの前記少なくとも１つの第１の通信の検証、
（ｖ）前記少なくとも１つのパーティションからの前記少なくとも１つの第２の通信の検証、
（ｖｉ）前記少なくとも１つのパーティション内部の前記少なくとも１つの第３の通信の検証、
（ｖｉｉ）上記（ｉ）～（ｖｉ）のうちの任意の組み合わせ、
方法。
【請求項22】
前記少なくとも１つのセキュリティサービスは、予め定義されたセキュリティポリシを実装するように構成されている、請求項２１に記載の方法。
【請求項23】
前記少なくとも１つのセキュリティサービスは、以下のｉ）～ｉｖ）のうちの、少なくとも１つを含む、
ｉ）侵入検知システム（ＩＤＳ）サービス、
ｉｉ）侵入防止システム（ＩＰＳ）サービス、
ｉｉｉ）証明書検証サービス（ＣＡサービス）、
ｉｖ）暗号化サービス、
ｖ）セキュア通信ロックダウンサービス、
ｉｖ）上記ｉ）ｉ）～ｖ）のうちの任意の組み合わせ、
請求項２１に記載の方法。
ｉ）侵入検知システム（ＩＤＳ）サービス、
ｉｉ）侵入防止システム（ＩＰＳ）サービス、
ｉｉｉ）証明書検証サービス（ＣＡサービス）、
ｉｖ）暗号化サービス、
ｖ）セキュア通信ロックダウンサービス、
ｉｖ）上記ｉ）ｉ）～ｖ）のうちの任意の組み合わせ、
請求項２１に記載の方法。
【請求項24】
前記カーネルは、分離カーネルであり、
該分離カーネルは、前記少なくとも１つのセキュリティサービスを利用することによって、前記少なくとも１つの第１の通信、前記少なくとも１つの第２の通信、または前記少なくとも１つの第３の通信のうちの、少なくとも１つを仲介するように構成されている、
請求項２１に記載の方法。
該分離カーネルは、前記少なくとも１つのセキュリティサービスを利用することによって、前記少なくとも１つの第１の通信、前記少なくとも１つの第２の通信、または前記少なくとも１つの第３の通信のうちの、少なくとも１つを仲介するように構成されている、
請求項２１に記載の方法。
【請求項25】
前記分離カーネルが、前記少なくとも１つのセキュリティサービスを介したルーティングを経由して、前記少なくとも１つの第１の通信、前記少なくとも１つの第２の通信、および前記少なくとも１つの第３の通信のうちの、１つ以上をルーティングするように構成されている、
請求項２４に記載の方法。
請求項２４に記載の方法。
【請求項26】
前記少なくとも１つのセキュリティサービスを介したルーティングが、前記分離カーネルによって強制されるバイパス不可能な必須ルーティングを含む、
請求項２５に記載の方法。
請求項２５に記載の方法。
【請求項27】
前記少なくとも１つのセキュリティサービスが、前記少なくとも１つのパーティションのセキュリティパーティションにローカルに実装されており、
前記少なくとも１つのセキュリティサービスは、前記少なくとも１つのＳＯＡサーバによって管理される、
請求項２１に記載の方法。
前記少なくとも１つのセキュリティサービスは、前記少なくとも１つのＳＯＡサーバによって管理される、
請求項２１に記載の方法。
【請求項28】
前記少なくとも１つの第１の通信、前記少なくとも１つの第２の通信、および前記少なくとも１つの第３の通信のうちの、少なくとも１つが、前記少なくとも１つのＳＯＡサーバによって提供される複数のサービスの間にある、
請求項２１に記載の方法。
請求項２１に記載の方法。
【請求項29】
前記少なくとも１つの第１の通信、前記少なくとも１つの第２の通信、または前記少なくとも１つの第３の通信のうちの、少なくとも１つが、以下のｉ）～ｉｉｉ）の間にある、
ｉ） 前記少なくとも１つのサービス以外のサービス、
ｉｉ） アプリケーション、
ｉｉｉ） サービスとアプリケーションの両方、
請求項２１に記載の方法。
ｉ） 前記少なくとも１つのサービス以外のサービス、
ｉｉ） アプリケーション、
ｉｉｉ） サービスとアプリケーションの両方、
請求項２１に記載の方法。
【請求項30】
前記少なくとも１つの第１の通信、前記少なくとも１つの第２の通信、または前記少なくとも１つの第３の通信のうちの、少なくとも１つが、以下のｉ）～ｖｉ）のうちの１つ以上で配信される、２つ以上のサービス若しくは２つ以上のアプリケーションの間にある、
ｉ）同じパーティションに少なくとも２つ、
ｉｉ）同じＥＣＵ内部の、１つのパーティションに少なくとも１つ、及び、別のパーティションに１つ、
ｉｉｉ）同じＥＣＵ内部の別のカーネルで実行される少なくとも１つ、
ｉｖ）同じＥＣＵ内部の別の処理リソースで実行される少なくとも１つ、
ｖ）前記車両内の別のＥＣＵに少なくとも１つ、
ｖｉ）前記車両に関連する外部エンティティに少なくとも１つ、
請求項２１に記載の方法。
ｉ）同じパーティションに少なくとも２つ、
ｉｉ）同じＥＣＵ内部の、１つのパーティションに少なくとも１つ、及び、別のパーティションに１つ、
ｉｉｉ）同じＥＣＵ内部の別のカーネルで実行される少なくとも１つ、
ｉｖ）同じＥＣＵ内部の別の処理リソースで実行される少なくとも１つ、
ｖ）前記車両内の別のＥＣＵに少なくとも１つ、
ｖｉ）前記車両に関連する外部エンティティに少なくとも１つ、
請求項２１に記載の方法。
【外国語明細書】