知財求人 - 知財ポータルサイト「IP Force」
▶ パナソニックオートモーティブシステムズ株式会社の特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024173158
(43)【公開日】2024-12-12
(54)【発明の名称】車両セキュリティシステムおよび車両セキュリティ装置
(51)【国際特許分類】
H04L 12/46 20060101AFI20241205BHJP
H04L 12/28 20060101ALI20241205BHJP
【ＦＩ】
H04L12/46 100Z
H04L12/28 100A
【審査請求】未請求
【請求項の数】14
【出願形態】ＯＬ
(21)【出願番号】P 2023091388
(22)【出願日】2023-06-02
(71)【出願人】
【識別番号】322003857
【氏名又は名称】パナソニックオートモーティブシステムズ株式会社
(74)【代理人】
【識別番号】100109210
【弁理士】
【氏名又は名称】新居 広守
(74)【代理人】
【識別番号】100137235
【弁理士】
【氏名又は名称】寺谷 英作
(74)【代理人】
【識別番号】100131417
【弁理士】
【氏名又は名称】道坂 伸一
(72)【発明者】
【氏名】安齋 潤
【テーマコード（参考）】
5K033
【Ｆターム（参考）】
5K033AA08
5K033BA06
5K033DA05
5K033DB19
(57)【要約】
【課題】車載ネットワークへ脅威が侵入した場合であっても、被害を抑制することができる車両セキュリティシステムを提供する。
【解決手段】車両セキュリティシステム１は、車両における統合ＥＣＵ１０１に設けられた主動的認証部１１と、１以上の接続管理部と、を備え、主動的認証部１１は、車両における任意のアクセス元から車両における任意のアクセス先へのアクセス要求があった場合、車両の状態に基づいて、アクセス要求の認証を動的に行い、アクセス要求の認証の結果に基づいて、１以上の接続管理部のうちのアクセス元とアクセス先との通信経路上に設けられた接続管理部２１に、アクセス元とアクセス先との接続を制御させる。
【選択図】図１
【解決手段】車両セキュリティシステム１は、車両における統合ＥＣＵ１０１に設けられた主動的認証部１１と、１以上の接続管理部と、を備え、主動的認証部１１は、車両における任意のアクセス元から車両における任意のアクセス先へのアクセス要求があった場合、車両の状態に基づいて、アクセス要求の認証を動的に行い、アクセス要求の認証の結果に基づいて、１以上の接続管理部のうちのアクセス元とアクセス先との通信経路上に設けられた接続管理部２１に、アクセス元とアクセス先との接続を制御させる。
【選択図】図１
【特許請求の範囲】
【請求項1】
車両に搭載された車両セキュリティシステムであって、
前記車両におけるＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）に設けられた主動的認証部と、
１以上の接続管理部と、を備え、
前記主動的認証部は、前記車両における任意のアクセス元から前記車両における任意のアクセス先へのアクセス要求があった場合、前記車両の状態に基づいて、前記アクセス要求の認証を動的に行い、前記アクセス要求の認証の結果に基づいて、前記１以上の接続管理部のうちの前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、
車両セキュリティシステム。
前記車両におけるＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）に設けられた主動的認証部と、
１以上の接続管理部と、を備え、
前記主動的認証部は、前記車両における任意のアクセス元から前記車両における任意のアクセス先へのアクセス要求があった場合、前記車両の状態に基づいて、前記アクセス要求の認証を動的に行い、前記アクセス要求の認証の結果に基づいて、前記１以上の接続管理部のうちの前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、
車両セキュリティシステム。
【請求項2】
前記主動的認証部は、
前記車両の状態が所定の条件を満たすと判定した場合、前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先とを接続させ、
前記車両の状態が前記所定の条件を満たさなくなったと判定した場合、前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を切断させる、
請求項１に記載の車両セキュリティシステム。
前記車両の状態が所定の条件を満たすと判定した場合、前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先とを接続させ、
前記車両の状態が前記所定の条件を満たさなくなったと判定した場合、前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を切断させる、
請求項１に記載の車両セキュリティシステム。
【請求項3】
前記主動的認証部は、前記車両の状態が前記所定の条件を満たさなくなったと判定した場合、再度前記アクセス要求の認証を行い、再度の前記アクセス要求の認証が失敗した場合、前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先とを接続を切断させる、
請求項２に記載の車両セキュリティシステム。
請求項２に記載の車両セキュリティシステム。
【請求項4】
前記１以上の接続管理部には、前記主動的認証部が設けられたＥＣＵに設けられた接続管理部が含まれ、
前記アクセス元と前記アクセス先との通信経路上に前記主動的認証部が設けられたＥＣＵが設けられている場合に、前記主動的認証部は、当該ＥＣＵに設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、
請求項１に記載の車両セキュリティシステム。
前記アクセス元と前記アクセス先との通信経路上に前記主動的認証部が設けられたＥＣＵが設けられている場合に、前記主動的認証部は、当該ＥＣＵに設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、
請求項１に記載の車両セキュリティシステム。
【請求項5】
前記１以上の接続管理部には、前記車両におけるゾーンＥＣＵに設けられた接続管理部が含まれ、
前記アクセス元と前記アクセス先との通信経路上に前記ゾーンＥＣＵが設けられている場合に、前記主動的認証部は、前記ゾーンＥＣＵに設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、
請求項１に記載の車両セキュリティシステム。
前記アクセス元と前記アクセス先との通信経路上に前記ゾーンＥＣＵが設けられている場合に、前記主動的認証部は、前記ゾーンＥＣＵに設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、
請求項１に記載の車両セキュリティシステム。
【請求項6】
さらに、前記車両におけるゾーンＥＣＵに設けられた副動的認証部を備え、
前記アクセス元と前記アクセス先との通信経路上に前記ゾーンＥＣＵが設けられている場合には、前記副動的認証部は、前記アクセス要求があったときに、前記車両の状態に基づいて、前記アクセス要求の認証を動的に行い、前記アクセス要求の認証の結果に基づいて、前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、
請求項１に記載の車両セキュリティシステム。
前記アクセス元と前記アクセス先との通信経路上に前記ゾーンＥＣＵが設けられている場合には、前記副動的認証部は、前記アクセス要求があったときに、前記車両の状態に基づいて、前記アクセス要求の認証を動的に行い、前記アクセス要求の認証の結果に基づいて、前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、
請求項１に記載の車両セキュリティシステム。
【請求項7】
前記副動的認証部は、前記車両の状態が所定の条件を満たすと判定した場合、前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先とを接続させ、
前記副動的認証部は、前記車両の状態が前記所定の条件を満たさなくなったと判定した場合、前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を切断させる、
請求項６に記載の車両セキュリティシステム。
前記副動的認証部は、前記車両の状態が前記所定の条件を満たさなくなったと判定した場合、前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を切断させる、
請求項６に記載の車両セキュリティシステム。
【請求項8】
前記副動的認証部は、前記車両の状態が前記所定の条件を満たさなくなったと判定した場合、再度前記アクセス要求の認証を行い、再度の前記アクセス要求の認証が失敗した場合、前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先とを接続を切断させる、
請求項７に記載の車両セキュリティシステム。
請求項７に記載の車両セキュリティシステム。
【請求項9】
前記１以上の接続管理部には、前記ゾーンＥＣＵに設けられた接続管理部が含まれ、
前記副動的認証部は、前記ゾーンＥＣＵに設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、
請求項６に記載の車両セキュリティシステム。
前記副動的認証部は、前記ゾーンＥＣＵに設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、
請求項６に記載の車両セキュリティシステム。
【請求項10】
前記主動的認証部が設けられたＥＣＵおよび前記ゾーンＥＣＵは、前記車両の状態を示す車両状態情報を保持し、
前記主動的認証部は、所定のタイミングで、前記副動的認証部に対して、前記ゾーンＥＣＵに保持された前記車両状態情報を、前記主動的認証部が設けられたＥＣＵに保持された前記車両状態情報に更新させ、
前記副動的認証部は、前記ゾーンＥＣＵに保持された前記車両状態情報が示す前記車両の状態に基づいて、前記アクセス要求の認証を動的に行う、
請求項６に記載の車両セキュリティシステム。
前記主動的認証部は、所定のタイミングで、前記副動的認証部に対して、前記ゾーンＥＣＵに保持された前記車両状態情報を、前記主動的認証部が設けられたＥＣＵに保持された前記車両状態情報に更新させ、
前記副動的認証部は、前記ゾーンＥＣＵに保持された前記車両状態情報が示す前記車両の状態に基づいて、前記アクセス要求の認証を動的に行う、
請求項６に記載の車両セキュリティシステム。
【請求項11】
前記主動的認証部は、前記１以上の接続管理部のいずれかの接続管理部を介して、前記車両の状態を示す車両状態情報を取得する、
請求項１～１０のいずれか１項に記載の車両セキュリティシステム。
請求項１～１０のいずれか１項に記載の車両セキュリティシステム。
【請求項12】
前記車両の状態は、前記アクセス先の利用状況、前記車両の走行状態、前記アクセス元のセキュリティ状況、前記アクセス先のセキュリティ状況、前記車両において利用されるサービスの利用状況または前記アクセス先の状態を含む、
請求項１～１０のいずれか１項に記載の車両セキュリティシステム。
請求項１～１０のいずれか１項に記載の車両セキュリティシステム。
【請求項13】
車両に搭載された車両セキュリティ装置であって、
主動的認証部を備え、
前記主動的認証部は、前記車両の状態に基づいて、前記車両における任意のアクセス元から前記車両における任意のアクセス先へのアクセス要求の認証を動的に行い、前記アクセス要求の認証の結果に基づいて、前記車両に設けられた１以上の接続管理部のうちの前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、
車両セキュリティ装置。
主動的認証部を備え、
前記主動的認証部は、前記車両の状態に基づいて、前記車両における任意のアクセス元から前記車両における任意のアクセス先へのアクセス要求の認証を動的に行い、前記アクセス要求の認証の結果に基づいて、前記車両に設けられた１以上の接続管理部のうちの前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、
車両セキュリティ装置。
【請求項14】
車両に搭載された車両セキュリティ装置であって、
副動的認証部を備え、
前記副動的認証部は、前記車両における任意のアクセス元と前記車両における任意のアクセス先との通信経路上に前記車両セキュリティ装置が設けられている場合に、前記車両の状態に基づいて、前記アクセス元から前記アクセス先へのアクセス要求の認証を動的に行い、前記アクセス要求の認証の結果に基づいて、前記車両に設けられた１以上の接続管理部のうちの前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、
車両セキュリティ装置。
副動的認証部を備え、
前記副動的認証部は、前記車両における任意のアクセス元と前記車両における任意のアクセス先との通信経路上に前記車両セキュリティ装置が設けられている場合に、前記車両の状態に基づいて、前記アクセス元から前記アクセス先へのアクセス要求の認証を動的に行い、前記アクセス要求の認証の結果に基づいて、前記車両に設けられた１以上の接続管理部のうちの前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、
車両セキュリティ装置。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、車両に搭載された車両セキュリティシステムおよび車両セキュリティ装置に関する。
【背景技術】
【0002】
車両のＣＡＳＥ（Ｃｏｎｎｅｃｔｅｄ、Ａｕｔｏｎｏｍｏｕｓ、Ｓｈａｒｅｄ ＆ Ｓｅｒｖｉｃｅｓ、Ｅｌｅｃｔｒｉｃ）による進展にともない、車両内のネットワークであるＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）またはＥｔｈｅｒｎｅｔ（登録商標）などが、車両の外部のネットワークであるＷｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、Ｃｅｌｌｕｌａｒ、Ｖ２Ｘ（Ｖｅｈｉｃｌｅ ｔｏ Ｘ）などを通じてスマートフォンや外部サーバへ接続されることが多くなっている。例えば、電気自動車は、充電状況の管理のため、コネクテッドカーである場合が多く、不正に操作された場合には、バッテリが危険な状態になるおそれがある。このため、車両の外部からの脅威に対する対策が必要となっている。
【0003】
車載ネットワークへの脅威の侵入を検知する方法として、例えば、特許文献１に開示されている方法がある。
【先行技術文献】
【特許文献】
【0004】
【特許文献1】特開２０１４－１４６８６８号公報
【発明の概要】
【発明が解決しようとする課題】
【0005】
しかしながら、車載ネットワークへの脅威の侵入が検知できなかった場合には、その脅威によって被害が発生するおそれがある。
【0006】
そこで、本開示は、車載ネットワークへ脅威が侵入した場合であっても、被害を抑制することができる車両セキュリティシステムなどを提供する。
【課題を解決するための手段】
【0007】
本開示に係る車両セキュリティシステムは、車両に搭載された車両セキュリティシステムであって、前記車両におけるＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）に設けられた主動的認証部と、１以上の接続管理部と、を備え、前記主動的認証部は、前記車両における任意のアクセス元から前記車両における任意のアクセス先へのアクセス要求があった場合、前記車両の状態に基づいて、前記アクセス要求の認証を動的に行い、前記アクセス要求の認証の結果に基づいて、前記１以上の接続管理部のうちの前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる。
【0008】
本開示に係る車両セキュリティ装置は、車両に搭載された車両セキュリティ装置であって、主動的認証部を備え、前記主動的認証部は、前記車両の状態に基づいて、前記車両における任意のアクセス元から前記車両における任意のアクセス先へのアクセス要求の認証を動的に行い、前記アクセス要求の認証の結果に基づいて、前記車両に設けられた１以上の接続管理部のうちの前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる。
【0009】
本開示に係る車両セキュリティ装置は、車両に搭載された車両セキュリティ装置であって、副動的認証部を備え、前記副動的認証部は、前記車両における任意のアクセス元と前記車両における任意のアクセス先との通信経路上に前記車両セキュリティ装置が設けられている場合に、前記車両の状態に基づいて、前記アクセス元から前記アクセス先へのアクセス要求の認証を動的に行い、前記アクセス要求の認証の結果に基づいて、前記車両に設けられた１以上の接続管理部のうちの前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる。
【0010】
なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータ読み取り可能なＣＤ－ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。
【発明の効果】
【0011】
本開示の一態様に係る車両セキュリティシステムなどによれば、車載ネットワークへ脅威が侵入した場合であっても、被害を抑制することができる。
【図面の簡単な説明】
【0012】
【図1】実施の形態１に係る車両セキュリティシステムの一例を示すブロック図である。
【図2】実施の形態２に係る車両セキュリティシステムの一例を示すブロック図である。
【図3】実施の形態３に係る車両セキュリティシステムの一例を示すブロック図である。
【図4】実施の形態４に係る車両セキュリティシステムの一例を示すブロック図である。
【発明を実施するための形態】
【0013】
以下、実施の形態について、図面を参照しながら具体的に説明する。
【0014】
なお、以下で説明する実施の形態は、いずれも包括的または具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置および接続形態などは、一例であり、本開示を限定する主旨ではない。
【0015】
（実施の形態１）
以下、実施の形態１に係る車両セキュリティシステムおよび車両セキュリティ装置について説明する。
以下、実施の形態１に係る車両セキュリティシステムおよび車両セキュリティ装置について説明する。
【0016】
図１は、実施の形態１に係る車両セキュリティシステム１の一例を示すブロック図である。車両セキュリティシステム１は、車両に搭載される。例えば、車両セキュリティシステム１は、少なくとも主動的認証部１１および１以上の接続管理部を備えていればよく、車両に設けられた統合ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）１０１、ゾーンＥＣＵ２０１、２０２、２０３および２０４、アクチュエータ４０１、センサ４０２ならびに充電器４０３は、車両セキュリティシステム１の構成要素でなくてもよい。
【0017】
車両セキュリティシステム１は、車両にゼロトラストアーキテクチャを適用するためのシステムである。ゼロトラストアーキテクチャは、例えば、ＮＩＳＴ（Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ）によるＳＰ（Ｓｐｅｃｉａｌ Ｐｕｂｌｉｃａｔｉｏｎ）８００－２０７ゼロトラストアーキテクチャである。ゼロトラストアーキテクチャが車両に適用された場合、車両が有する様々なリソースによるアクセス要求ごとに認証が動的に行われる。アクセス要求の認証を動的に行うために、車両セキュリティシステム１は、主動的認証部１１および１以上の接続管理部を備える。動的認証部は、ゼロトラストアーキテクチャにおけるＰＤＰ（Ｐｏｌｉｃｙ Ｄｅｃｉｓｉｏｎ Ｐｏｉｎｔ）の一例であり、接続管理部は、ゼロトラストアーキテクチャにおけるＰＥＰ（Ｐｏｌｉｃｙ Ｅｎｆｏｒｃｅｍｅｎｔ Ｐｏｉｎｔ）の一例である。例えば、１以上の接続管理部には、統合ＥＣＵ１０１に設けられた接続管理部２１が含まれる。
【0018】
図１には、車両に設けられた、統合ＥＣＵ１０１、統合ＥＣＵ１０１に接続されたゾーンＥＣＵ２０１、２０２、２０３および２０４、ゾーンＥＣＵ２０２に接続されるアクチュエータ４０１およびセンサ４０２、ならびに、ゾーンＥＣＵ２０３に接続される充電器４０３が示されている。
【0019】
統合ＥＣＵ１０１は、ゾーンＥＣＵ２０１、２０２、２０３および２０４などの中心となって、車両全体を制御するＥＣＵである。統合ＥＣＵ１０１は、車両に搭載された車両セキュリティ装置の一例である。統合ＥＣＵ１０１は、複数のＥＣＵが統合された中心的なＥＣＵであり、例えば、セキュリティ機能を有していてもよい。統合ＥＣＵ１０１は、主動的認証部１１および接続管理部２１を備える。統合ＥＣＵ１０１は、主動的認証部１１が設けられたＥＣＵの一例である。また、例えば、統合ＥＣＵ１０１は、ＨＳＭ（Ｈａｒｄｗａｒｅ Ｓｅｃｕｒｉｔｙ Ｍｏｄｕｌｅ）３１およびストレージ３２を備える。
【0020】
統合ＥＣＵ１０１は、プロセッサ（マイクロプロセッサ）およびメモリなどを含むコンピュータである。メモリは、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）およびＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などであり、プロセッサにより実行されるプログラムを記憶することができる。主動的認証部１１および接続管理部２１は、メモリに格納されたプログラムを実行するプロセッサなどによって実現される。また、例えば、統合ＥＣＵ１０１は、ＡＤＡＳ（Ａｄｖａｎｃｅｄ Ｄｒｉｖｅｒ Ａｓｓｉｓｔａｎｃｅ Ｓｙｓｔｅｍ）、充電制御、ボディ制御およびＩＶＩ（Ｉｎ Ｖｅｈｉｃｌｅ Ｉｎｆｏｔａｉｎｍｅｎｔ）制御の機能（アプリケーション）を有していてもよく、これらの機能（アプリケーション）もメモリに格納されたプログラムを実行するプロセッサなどによって実現される。
【0021】
ゾーンＥＣＵ２０１、２０２、２０３および２０４のそれぞれは、例えば、車両の前後左右の領域ごとに配置され、配置された領域におけるリソースを制御する。例えば、ゾーンＥＣＵ２０２は、アクチュエータ４０１およびセンサ４０２を制御し、ゾーンＥＣＵ２０３は、充電器４０３を制御する。
【0022】
ゾーンＥＣＵ２０１、２０２、２０３および２０４は、プロセッサ（マイクロプロセッサ）およびメモリなどを含むコンピュータである。メモリは、ＲＯＭおよびＲＡＭなどであり、プロセッサにより実行されるプログラムを記憶することができる。例えば、ゾーンＥＣＵ２０１、２０２、２０３および２０４が有する、ゾーンＥＣＵ２０１、２０２、２０３および２０４に接続されたリソース（例えばアクチュエータ４０１、センサ４０２、充電器４０３など）を制御する機能は、メモリに格納されたプログラムを実行するプロセッサなどによって実現される。
【0023】
主動的認証部１１は、車両における任意のアクセス元から車両における任意のアクセス先へのアクセス要求があった場合、車両の状態に基づいて、アクセス要求の認証（具体的には、アクセス要求が許可可能か否かの判定）を動的に行い、アクセス要求の認証の結果に基づいて、１以上の接続管理部のうちのアクセス元とアクセス先との通信経路上に設けられた接続管理部（車両セキュリティシステム１では接続管理部２１）に、アクセス元とアクセス先との接続を制御させる。具体的には、アクセス要求の認証は、ポリシーに基づいて実施され、ポリシーには、車両の状態がどういう状態のときに、どのアクセス元からどのアクセス先へのアクセスを許可するかについて記載されている。また、後述するように、いったん接続が許可された後でも、ポリシーの条件が満たされているか否かが定期的に確認され、満たされていない場合には、再度認証が行われるか、接続が解除される。
【0024】
接続管理部２１は、接続管理部２１を介して通信を行うリソース間の接続を制御する。
【0025】
例えば、車両内のリソースにより行われるアクセス要求は、車両の状態に応じて許可される場合もあれば許可されない場合もあるため、車両の状態を考慮してアクセス要求の可否が判定される。例えば、車両の状態は、アクセス先の利用状況、車両の走行状態、アクセス元のセキュリティ状況、アクセス先のセキュリティ状況、車両において利用されるサービスの利用状況またはアクセス先の状態を含む。
【0026】
例えば、アクセス先の利用状況が使用中の場合には、アクセス要求が許可されず、アクセス元とアクセス先とは接続されない。例えば、アクセス先の利用状況が未使用の場合には、アクセス要求が許可され、アクセス元とアクセス先とは接続される。なお、例えば、アクセス先の利用状況が使用中の場合であってもアクセス元とアクセス先とが接続されてもよく、この場合には、アクセス先が空き次第、アクセス元がアクセス先を利用できるようになる。言い換えると、アクセス元とアクセス先とが接続されていても、アクセス元はアクセス先が空くまではアクセス先を利用できない。例えば、アクセス先の利用状況が使用中であるが空きがある場合には、アクセス要求が許可され、アクセス元とアクセス先とは接続される。ただし、アクセス先を使用中のリソースとアクセス要求を行ったアクセス元とが同時にアクセス先を利用できない場合（競合する場合）、アクセス要求が許可されず、アクセス元とアクセス先とは接続されない。
【0027】
例えば、車両の走行状態が停止中の場合に、アクセス先が停止中でも使用可能なリソースであるときには、アクセス要求が許可され、アクセス元とアクセス先とは接続される。例えば、車両の走行状態が停止中の場合に、アクセス先が停止中には使用不可なリソースであるときには、アクセス要求が許可されず、アクセス元とアクセス先とは接続されない。例えば、車両の走行状態が走行中の場合に、アクセス先が走行中でも使用可能なリソースであるときには、アクセス要求が許可され、アクセス元とアクセス先とは接続される。例えば、車両の走行状態が走行中の場合に、アクセス先が走行中には使用不可なリソースであるときには、アクセス要求が許可されず、アクセス元とアクセス先とは接続されない。
【0028】
例えば、アクセス元のセキュリティ状況が、攻撃されていない状況または脆弱性がない状況である場合には、アクセス要求が許可され、アクセス元とアクセス先とは接続される。例えば、アクセス元のセキュリティ状況が、攻撃されている状況または脆弱性がある状況である場合には、アクセス要求が許可されず、アクセス元とアクセス先とは接続されない。
【0029】
例えば、アクセス先のセキュリティ状況が、攻撃されていない状況または脆弱性がない状況である場合には、アクセス要求が許可され、アクセス元とアクセス先とは接続される。例えば、アクセス先のセキュリティ状況が、攻撃されている状況または脆弱性がある状況である場合には、アクセス要求が許可されず、アクセス元とアクセス先とは接続されない。
【0030】
例えば、アクセス先が特定のサービスを提供する場合に、車両において利用される当該サービスの利用状況として、契約が存続しているときまたはアクセス元がアクセス先の利用条件に合致しているときには、アクセス要求が許可され、アクセス元とアクセス先とは接続される。例えば、アクセス先が特定のサービスを提供する場合に、車両において利用される当該サービスの利用状況として、契約が存続していないときまたはアクセス元がアクセス先の利用条件に合致していないときには、アクセス要求が許可されず、アクセス元とアクセス先とは接続されない。
【0031】
例えば、アクセス先の状態としてバッテリの残量が少ない場合に、電力を消費するようなアクセス元からの要求、例えば、コンテンツ再生などの要求があった場合には、アクセス要求が許可されず、アクセス元とアクセス先とは接続されない。
【0032】
このように、主動的認証部１１は、車両の状態が所定の条件を満たすと判定した場合、アクセス元とアクセス先との通信経路上に設けられた接続管理部２１に、アクセス元とアクセス先とを接続させる。なお、例えば、主動的認証部１１は、車両の状態が所定の条件を満たさなくなったと判定した場合、アクセス元とアクセス先との通信経路上に設けられた接続管理部２１に、アクセス元とアクセス先との接続を切断させる。例えば、主動的認証部１１は、車両の状態が所定の条件を満たさなくなったと判定した場合、再度アクセス要求の認証を行い、再度のアクセス要求の認証が失敗した場合、アクセス元とアクセス先との通信経路上に設けられた接続管理部２１に、アクセス元とアクセス先とを接続を切断させてもよい。
【0033】
アクセス元とアクセス先との通信経路上に設けられた接続管理部２１は、アクセス元とアクセス先との接続を制御することができるため、主動的認証部１１は、車両の状態が所定の条件を満たすか否かに基づいて、接続管理部２１を介してアクセス元とアクセス先との接続を制御することができる。また、主動的認証部１１は、車両の状態が所定の条件を満たさなくなったと判定した場合、再度アクセス要求の認証を行うため、一時的に車両の状態が変化して一時的に車両の状態が所定の条件を満たさなくなった場合に、アクセス元とアクセス先との接続が切断されてしまうことを抑制できる。
【0034】
例えば、アクセス元が統合ＥＣＵ１０１のＡＤＡＳ機能（アプリケーション）であり、アクセス先がアクチュエータ４０１である場合について説明する。この場合、接続管理部２１がアクセス元とアクセス先との通信経路上に設けられているため、接続管理部２１は、統合ＥＣＵ１０１のＡＤＡＳ機能とアクチュエータ４０１との接続を制御する。
【0035】
まず、統合ＥＣＵ１０１のＡＤＡＳ機能は、接続管理部２１を介して主動的認証部１１に対してアクチュエータ４０１へのアクセス要求を行う。主動的認証部１１は、車両の状態に基づいて、統合ＥＣＵ１０１のＡＤＡＳ機能からのアクセス要求の可否を判定する。主動的認証部１１は、アクセス要求を許可する場合、接続管理部２１に対して、アクチュエータ４０１と統合ＥＣＵ１０１のＡＤＡＳ機能とを接続させる（言い換えると、アクチュエータ４０１と統合ＥＣＵ１０１のＡＤＡＳ機能とのセッションを確立させる）。
【0036】
次に、例えば、アクセス元が統合ＥＣＵ１０１のＩＶＩ制御機能（アプリケーション）であり、アクセス先が統合ＥＣＵ１０１のストレージ３２である場合について説明する。この場合、接続管理部２１がアクセス元とアクセス先との通信経路上に設けられているため、接続管理部２１は、統合ＥＣＵ１０１のＩＶＩ制御機能とストレージ３２との接続を制御する。
【0037】
まず、統合ＥＣＵ１０１のＩＶＩ制御機能は、接続管理部２１を介して主動的認証部１１に対してストレージ３２へのアクセス要求を行う。主動的認証部１１は、車両の状態に基づいて、統合ＥＣＵ１０１のＩＶＩ制御機能からのアクセス要求の可否を判定する。主動的認証部１１は、アクセス要求を許可する場合、接続管理部２１に対して、ストレージ３２と統合ＥＣＵ１０１のＩＶＩ制御機能とを接続させる（言い換えると、ストレージ３２と統合ＥＣＵ１０１のＩＶＩ制御機能とのセッションを確立させる）。
【0038】
このように、アクセス元とアクセス先との通信経路上に統合ＥＣＵ１０１が設けられている場合に、主動的認証部１１は、統合ＥＣＵ１０１に設けられた接続管理部２１に、アクセス元とアクセス先との接続を制御させてもよい。
【0039】
以上説明した通り、アクセス要求の認証を動的に行う、すなわち、脅威がすでに侵入しているという前提でアクセス要求ごとに認証を行う、いわゆるゼロトラストアーキテクチャが車両に適用されるため、車載ネットワークへ脅威が侵入した場合であっても、アクセス要求の認証が動的に行われ脅威が検出され得るため、被害を抑制することができる。例えば、脅威が侵入した車両が危険な状態になることを抑制でき、また、脅威が侵入した車両が外部ネットワークへの攻撃の起点として利用され外部ネットワークが攻撃されることを抑制できる。
【0040】
例えば、主動的認証部１１は、１以上の接続管理部のいずれかの接続管理部を介して、車両の状態を示す車両状態情報を取得してもよい。主動的認証部１１が車両状態情報を取得するときにも、車両状態情報を保持しているリソースへのアクセス要求の認証が行われ、１以上の接続管理部を介して取得されるため、セキュリティを向上することができる。なお、主動的認証部１１は、１以上の接続管理部のいずれかの接続管理部を介さずに、車両状態情報を保持しているリソースから直接車両状態情報を取得してもよい。あるいは、車両状態情報を保持しているリソースから車両状態情報を取得し、管理する車両状態情報管理部が車両に設けられていてもよく、主動的認証部１１は、車両状態情報管理部から車両状態情報を取得してもよい。
【0041】
例えば、アクセス先の利用状況は、アクセス先などから取得することができる。例えば、車両の走行状態は、統合ＥＣＵ１０１またはＡＤＡＳＥＣＵなどから取得することができる。例えば、アクセス元のセキュリティ状況およびアクセス先のセキュリティ状況は、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）などから取得することができる。例えば、車両において利用されるサービスの利用状況は、サービスを管理するサービス管理部などから取得することができる。例えば、統合ＥＣＵ１０１は、サービス管理部の機能を有していてもよい。
【0042】
（実施の形態２）
次に、実施の形態２に係る車両セキュリティシステムおよび車両セキュリティ装置について説明する。
次に、実施の形態２に係る車両セキュリティシステムおよび車両セキュリティ装置について説明する。
【0043】
図２は、実施の形態２に係る車両セキュリティシステム２の一例を示すブロック図である。実施の形態２では、車両セキュリティシステム２は、１以上の接続管理部として、統合ＥＣＵ１０１に設けられた接続管理部２１およびゾーンＥＣＵ２０２ａに設けられた接続管理部２２を備える。その他の点は、実施の形態１に係る車両セキュリティシステム１および車両セキュリティ装置（統合ＥＣＵ１０１）と基本的には同じであるため説明は省略し、以下では異なる点を中心に説明する。
【0044】
接続管理部２２は、接続管理部２２を介して通信を行うリソース間の接続を制御する。接続管理部２２は、ゾーンＥＣＵ２０２ａにおけるメモリに格納されたプログラムを実行するプロセッサなどによって実現される。
【0045】
主動的認証部１１は、車両の状態が所定の条件を満たすと判定した場合、アクセス元とアクセス先との通信経路上に設けられた接続管理部２２に、アクセス元とアクセス先とを接続させる。なお、例えば、主動的認証部１１は、車両の状態が所定の条件を満たさなくなったと判定した場合、アクセス元とアクセス先との通信経路上に設けられた接続管理部２２に、アクセス元とアクセス先との接続を切断させる。このとき、主動的認証部１１は、車両の状態が所定の条件を満たさなくなったと判定した場合、再度アクセス要求の認証を行い、再度のアクセス要求の認証が失敗した場合、アクセス元とアクセス先との通信経路上に設けられた接続管理部２２に、アクセス元とアクセス先とを接続を切断させてもよい。
【0046】
例えば、アクセス元が統合ＥＣＵ１０１のＡＤＡＳ機能（アプリケーション）であり、アクセス先がアクチュエータ４０１である場合について説明する。この場合、接続管理部２２がアクセス元とアクセス先との通信経路上に設けられているため、接続管理部２２は、統合ＥＣＵ１０１のＡＤＡＳ機能とアクチュエータ４０１との接続を制御する。
【0047】
まず、統合ＥＣＵ１０１のＡＤＡＳ機能は、接続管理部２１を介して主動的認証部１１に対してアクチュエータ４０１へのアクセス要求を行う。主動的認証部１１は、車両の状態に基づいて、統合ＥＣＵ１０１のＡＤＡＳ機能からのアクセス要求の可否を判定する。主動的認証部１１は、アクセス要求を許可する場合、接続管理部２２に対して、アクチュエータ４０１と統合ＥＣＵ１０１のＡＤＡＳ機能とを接続させる（言い換えると、アクチュエータ４０１と統合ＥＣＵ１０１のＡＤＡＳ機能とのセッションを確立させる）。
【0048】
次に、例えば、アクセス元が統合ＥＣＵ１０１のＩＶＩ制御機能（アプリケーション）であり、アクセス先が統合ＥＣＵ１０１のストレージ３２である場合について説明する。この場合、接続管理部２１がアクセス元とアクセス先との通信経路上に設けられているため、接続管理部２１は、統合ＥＣＵ１０１のＩＶＩ制御機能とストレージ３２との接続を制御する。
【0049】
まず、統合ＥＣＵ１０１のＩＶＩ制御機能は、接続管理部２１を介して主動的認証部１１に対してストレージ３２へのアクセス要求を行う。主動的認証部１１は、車両の状態に基づいて、統合ＥＣＵ１０１のＩＶＩ制御機能からのアクセス要求の可否を判定する。主動的認証部１１は、アクセス要求を許可する場合、接続管理部２１に対して、ストレージ３２と統合ＥＣＵ１０１のＩＶＩ制御機能とを接続させる（言い換えると、ストレージ３２と統合ＥＣＵ１０１のＩＶＩ制御機能とのセッションを確立させる）。
【0050】
このように、アクセス元とアクセス先との通信経路上にゾーンＥＣＵ２０２ａが設けられている場合に、主動的認証部１１は、ゾーンＥＣＵ２０２ａに設けられた接続管理部２２に、アクセス元とアクセス先との接続を制御させてもよい。
【0051】
（実施の形態３）
次に、実施の形態３に係る車両セキュリティシステムおよび車両セキュリティ装置について説明する。
次に、実施の形態３に係る車両セキュリティシステムおよび車両セキュリティ装置について説明する。
【0052】
図３は、実施の形態３に係る車両セキュリティシステム３の一例を示すブロック図である。実施の形態３では、車両セキュリティシステム３は、統合ＥＣＵ１０１の代わりに統合ＥＣＵ１０２を備える。その他の点は、実施の形態２に係る車両セキュリティシステム２および車両セキュリティ装置（統合ＥＣＵ１０１）と基本的には同じであるため説明は省略し、以下では異なる点を中心に説明する。
【0053】
統合ＥＣＵ１０２は、ＡＤＡＳ機能およびＩＶＩ制御機能を有していない点が、統合ＥＣＵ１０１と異なる。その他の点は、統合ＥＣＵ１０１と同じであるため説明は省略する。統合ＥＣＵ１０２がＡＤＡＳ機能およびＩＶＩ制御機能を有していないため、車両には、ＡＤＡＳＥＣＵ３０１およびＩＶＩＥＣＵ３０２が設けられている。例えば、ＡＤＡＳＥＣＵ３０１は、ゾーンＥＣＵ２０２ａによって制御され、ＩＶＩＥＣＵ３０２は、統合ＥＣＵ１０２によって制御される。
【0054】
例えば、アクセス元がＡＤＡＳＥＣＵ３０１であり、アクセス先がアクチュエータ４０１である場合について説明する。この場合、接続管理部２２がアクセス元とアクセス先との通信経路上に設けられているため、接続管理部２２は、ＡＤＡＳＥＣＵ３０１とアクチュエータ４０１との接続を制御する。
【0055】
まず、ＡＤＡＳＥＣＵ３０１は、接続管理部２２を介して主動的認証部１１に対してアクチュエータ４０１へのアクセス要求を行う。主動的認証部１１は、車両の状態に基づいて、ＡＤＡＳＥＣＵ３０１からのアクセス要求の可否を判定する。主動的認証部１１は、アクセス要求を許可する場合、接続管理部２２に対して、アクチュエータ４０１とＡＤＡＳＥＣＵ３０１とを接続させる（言い換えると、アクチュエータ４０１とＡＤＡＳＥＣＵ３０１とのセッションを確立させる）。
【0056】
次に、例えば、アクセス元がＩＶＩＥＣＵ３０２であり、アクセス先が統合ＥＣＵ１０１のストレージ３２である場合について説明する。この場合、接続管理部２１がアクセス元とアクセス先との通信経路上に設けられているため、接続管理部２１は、ＩＶＩＥＣＵ３０２とストレージ３２との接続を制御する。
【0057】
まず、ＩＶＩＥＣＵ３０２は、接続管理部２１を介して主動的認証部１１に対してストレージ３２へのアクセス要求を行う。主動的認証部１１は、車両の状態に基づいて、ＩＶＩＥＣＵ３０２からのアクセス要求の可否を判定する。主動的認証部１１は、アクセス要求を許可する場合、接続管理部２１に対して、ストレージ３２とＩＶＩＥＣＵ３０２とを接続させる（言い換えると、ストレージ３２とＩＶＩＥＣＵ３０２とのセッションを確立させる）。
【0058】
（実施の形態４）
次に、実施の形態４に係る車両セキュリティシステムおよび車両セキュリティ装置について説明する。
次に、実施の形態４に係る車両セキュリティシステムおよび車両セキュリティ装置について説明する。
【0059】
図４は、実施の形態４に係る車両セキュリティシステム４の一例を示すブロック図である。車両セキュリティシステム４は、車両に搭載される。例えば、車両セキュリティシステム４は、少なくとも主動的認証部１２、１以上の副動的認証部および１以上の接続管理部を備えていればよく、車両に設けられた、統合ＥＣＵ１０３、ゾーンＥＣＵ２０５、２０６、２０７および２０８、ＡＤＡＳＥＣＵ３０３、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）３０４、ＣＤＣ（Ｃｏｃｋｐｉｔ Ｄｏｍａｉｎ Ｃｏｎｔｒｏｌｌｅｒ）３０５、ＰＣＵ（Ｐｏｗｅｒ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）３０６、ＢＭＳ（Ｂａｔｔｅｒｙ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ）３０７、ＯＢＣ（Ｏｎ Ｂｏａｒｄ Ｃｈａｒｇｅｒ）３０８、センサ４０４、４０５、４０７および４１２、シャシー４０６、モータ４０８、バッテリ４０９、充電器４１０ならびにブレーキ４１１は、車両セキュリティシステム４の構成要素でなくてもよい。
【0060】
車両セキュリティシステム４は、車両セキュリティシステム１～３と同じように、車両にゼロトラストアーキテクチャを適用するためのシステムである。アクセス要求の認証を動的に行うために、車両セキュリティシステム４は、主動的認証部１２、１以上の副動的認証部および１以上の接続管理部を備える。例えば、１以上の副動的認証部には、ゾーンＥＣＵ２０５、２０６、２０７および２０８に設けられた副動的認証部１３、１４、１５および１６が含まれる。例えば、１以上の接続管理部には、統合ＥＣＵ１０１に設けられた接続管理部２３、ならびに、ゾーンＥＣＵ２０５、２０６、２０７および２０８に設けられた接続管理部２４、２５、２６、２７が含まれる。
【0061】
図４には、車両に設けられた、統合ＥＣＵ１０３、統合ＥＣＵ１０３に接続されたゾーンＥＣＵ２０５、２０６、２０７および２０８、ＡＤＡＳＥＣＵ３０３、ＴＣＵ３０４、ＣＤＣ３０５、ゾーンＥＣＵ２０５によって制御されるセンサ４０４、ゾーンＥＣＵ２０６によって制御されるセンサ４０５およびシャシー４０６、ゾーンＥＣＵ２０７によって制御されるセンサ４０７、ＰＣＵ３０６、ＢＭＳ３０７およびＯＢＣ３０８、ゾーンＥＣＵ２０８によって制御されるブレーキ４１１およびセンサ４１２、ＰＣＵ３０６によって制御されるモータ４０８、ＢＭＳ３０７によって制御されるバッテリ４０９ならびにＯＢＣ３０８によって制御される充電器４１０が示されている。
【0062】
統合ＥＣＵ１０３は、ゾーンＥＣＵ２０５、２０６、２０７および２０８などの中心となって、車両全体を制御するＥＣＵである。統合ＥＣＵ１０３は、車両に搭載された車両セキュリティ装置の一例である。統合ＥＣＵ１０３は、主動的認証部１２および接続管理部２３およびマスターＩＤＳ３３を備える。統合ＥＣＵ１０３は、主動的認証部１２が設けられたＥＣＵの一例である。
【0063】
統合ＥＣＵ１０３は、プロセッサ（マイクロプロセッサ）およびメモリなどを含むコンピュータである。メモリは、ＲＯＭおよびＲＡＭなどであり、プロセッサにより実行されるプログラムを記憶することができる。主動的認証部１２および接続管理部２３は、メモリに格納されたプログラムを実行するプロセッサなどによって実現される。
【0064】
ゾーンＥＣＵ２０５、２０６、２０７および２０８のそれぞれは、例えば、車両の前後左右の領域ごとに配置され、配置された領域におけるリソースを制御する。例えば、ゾーンＥＣＵ２０５は、副動的認証部１３、接続管理部２４およびエッジＩＤＳ３４を備え、センサ４０４を制御する。例えば、ゾーンＥＣＵ２０６は、副動的認証部１４、接続管理部２５およびエッジＩＤＳ３６を備え、センサ４０５およびシャシー４０６を制御する。例えば、ゾーンＥＣＵ２０７は、副動的認証部１５、接続管理部２６およびエッジＩＤＳ３８を備え、センサ４０７、ＰＣＵ３０６、ＢＭＳ３０７およびＯＢＣ３０８を制御する。例えば、ゾーンＥＣＵ２０８は、副動的認証部１６、接続管理部２７およびエッジＩＤＳ３９を備え、ブレーキ４１１およびセンサ４１２を制御する。
【0065】
ゾーンＥＣＵ２０５、２０６、２０７および２０８は、プロセッサ（マイクロプロセッサ）およびメモリなどを含むコンピュータである。メモリは、ＲＯＭおよびＲＡＭなどであり、プロセッサにより実行されるプログラムを記憶することができる。副動的認証部１３、１４、１５および１６ならびに接続管理部２４、２５、２６および２７は、メモリに格納されたプログラムを実行するプロセッサなどによって実現される。また、例えば、ゾーンＥＣＵ２０５、２０６、２０７および２０８が有する、センサ４０４、４０５、４０７および４１２、シャシー４０６、ブレーキ４１１、ＰＣＵ３０６、ＢＭＳ３０７ならびにＯＢＣ３０８などを制御する機能は、メモリに格納されたプログラムを実行するプロセッサなどによって実現される。
【0066】
ＡＤＡＳＥＣＵ３０３は、車両のドライバーの運転操作を支援するためのＥＣＵである。例えば、ＡＤＡＳＥＣＵ３０３は、エッジＩＤＳ３５を備える。
【0067】
ＴＣＵ３０４は、統合ＥＣＵ１０３からの要求に応じて、車両と外部ネットワークとの通信を行うための通信ユニットである。
【0068】
ＣＤＣ３０５は、車両に設けられた画面（ＩＶＩのディスプレイ、メーターディスプレイ、ヘッドアップディスプレイなど）を制御するコントローラである。例えば、ＣＤＣ３０５は、エッジＩＤＳ３７を備える。
【0069】
ＰＣＵ３０６は、インバータおよびＤＣＤＣコンバータなどによって構成され、モータ４０８への電力供給を制御するユニットである。
【0070】
ＢＭＳ３０７は、バッテリ４０９を管理するシステムである。リチウムイオン電池などのバッテリ４０９は危険な部品であるため、ＢＭＳ３０７による管理が必要となっている。
【0071】
ＯＢＣ３０８は、充電器４１０によって供給された交流電力を直流電力に変換して、バッテリ４０９に充電する。
【0072】
主動的認証部１２は、車両における任意のアクセス元から車両における任意のアクセス先へのアクセス要求があった場合、車両の状態に基づいて、アクセス要求の認証（具体的には、アクセス要求が許可可能か否かの判定）を動的に行い、アクセス要求の認証の結果に基づいて、１以上の接続管理部のうちのアクセス元とアクセス先との通信経路上に設けられた接続管理部（例えば、接続管理部２３、２４、２５、２６および２７のうちのいずれかの接続管理部）に、アクセス元とアクセス先との接続を制御させる。
【0073】
アクセス元とアクセス先との通信経路上にゾーンＥＣＵ２０５、２０６、２０７または２０８が設けられている場合には、副動的認証部１３、１４、１５または１６は、アクセス元からアクセス先へのアクセス要求があったときに、車両の状態に基づいて、アクセス要求の認証（具体的には、アクセス要求が許可可能か否かの判定）を動的に行い、アクセス要求の認証の結果に基づいて、１以上の接続管理部のうちのアクセス元とアクセス先との通信経路上に設けられた接続管理部（例えば、接続管理部２３、２４、２５、２６および２７のうちのいずれかの接続管理部）に、アクセス元とアクセス先との接続を制御させる。つまり、実施の形態１～３のように必ずしも主動的認証部１２がアクセス要求の認証を行わなくてもよく、実施の形態４では、アクセス元とアクセス先との通信経路上にゾーンＥＣＵ２０５、２０６、２０７または２０８が設けられている場合、かつ、アクセス元とアクセス先との通信経路上に統合ＥＣＵ１０３が設けられていない場合には、副動的認証部１３、１４、１５または１６がアクセス要求の認証を行う。
【0074】
接続管理部２３、２４、２５、２６および２７は、それぞれ自身を介して通信を行うリソース間の接続を制御する。
【0075】
各エッジＩＤＳは、自身が設けられているＥＣＵに対応する領域内のリソースへの攻撃の検知を行う。マスターＩＤＳ３３は、各エッジＩＤＳでの検知結果を収集し、車両全体における攻撃の検知を行う。
【0076】
実施の形態１で説明したように、例えば、車両の状態を考慮してアクセス要求の可否が判定され、車両の状態は、アクセス先の利用状況、車両の走行状態、アクセス元のセキュリティ状況、アクセス先のセキュリティ状況または車両において利用されるサービスの利用状況を含む。
【0077】
アクセス元とアクセス先との通信経路上に設けられたゾーンＥＣＵが備える副動的認証部は、車両の状態が所定の条件を満たすと判定した場合、アクセス元とアクセス先との通信経路上に設けられた接続管理部に、アクセス元とアクセス先とを接続させる。なお、副動的認証部は、車両の状態が所定の条件を満たさなくなったと判定した場合、アクセス元とアクセス先との通信経路上に設けられた接続管理部に、アクセス元とアクセス先との接続を切断させる。例えば、副動的認証部は、車両の状態が所定の条件を満たさなくなったと判定した場合、再度アクセス要求の認証を行い、再度のアクセス要求の認証が失敗した場合、アクセス元とアクセス先との通信経路上に設けられた接続管理部に、アクセス元とアクセス先とを接続を切断させてもよい。
【0078】
アクセス元とアクセス先との通信経路上に設けられた接続管理部は、アクセス元とアクセス先との接続を制御することができるため、副動的認証部は、車両の状態が所定の条件を満たすか否かに基づいて、接続管理部を介してアクセス元とアクセス先との接続を制御することができる。また、副動的認証部は、車両の状態が所定の条件を満たさなくなったと判定した場合、再度アクセス要求の認証を行うため、一時的に車両の状態が変化して一時的に車両の状態が所定の条件を満たさなくなった場合に、アクセス元とアクセス先との接続が切断されてしまうことを抑制できる。
【0079】
例えば、アクセス元が統合ＥＣＵ１０３の外部ネットワークとの通信制御機能（図示せず）であり、アクセス先がＴＣＵ３０４である場合について説明する。この場合、接続管理部２３がアクセス元とアクセス先との通信経路上に設けられているため、接続管理部２３は、統合ＥＣＵ１０３の通信制御機能とＴＣＵ３０４との接続を制御する。
【0080】
まず、統合ＥＣＵ１０３の通信制御機能は、接続管理部２３を介して主動的認証部１２に対してＴＣＵ３０４へのアクセス要求を行う。主動的認証部１２は、車両の状態に基づいて、統合ＥＣＵ１０３の通信制御機能からのアクセス要求の可否を判定する。主動的認証部１２は、アクセス要求を許可する場合、接続管理部２３に対して、ＴＣＵ３０４と統合ＥＣＵ１０３の通信制御機能とを接続させる（言い換えると、ＴＣＵ３０４と統合ＥＣＵ１０３の通信制御機能とのセッションを確立させる）。
【0081】
このように、外部ネットワークへ情報を送信するために、ＴＣＵ３０４へのアクセス要求がされた場合には、主動的認証部１２によってアクセス要求の認証が動的に行われるため、脅威が侵入した車両が外部ネットワークへの攻撃の起点として利用されてＴＣＵ３０４を介して外部ネットワークが攻撃されることを抑制できる。
【0082】
なお、充電器４１０も外部ネットワーク（例えばホームチャージャーまたは公衆チャージャー）と接続されるため、車両が充電器４１０を介する外部ネットワークへの攻撃の起点として利用され得る。しかし、充電器４１０へのアクセス要求があった場合には、充電器４１０へのアクセス要求の認証が動的に行われるため、脅威が侵入した車両が外部ネットワークへの攻撃の起点として利用されて充電器４１０を介して外部ネットワークが攻撃されることを抑制できる。
【0083】
次に、例えば、アクセス元がＯＢＣ３０８であり、アクセス先がＢＭＳ３０７である場合について説明する。この場合、ゾーンＥＣＵ２０７に設けられた接続管理部２６がアクセス元とアクセス先との通信経路上に設けられているため、接続管理部２６は、ＯＢＣ３０８とＢＭＳ３０７との接続を制御する。
【0084】
まず、ＯＢＣ３０８は、接続管理部２６を介して副動的認証部１５に対してＢＭＳ３０７へのアクセス要求を行う。副動的認証部１５は、車両の状態に基づいて、ＯＢＣ３０８からのアクセス要求の可否を判定する。副動的認証部１５は、アクセス要求を許可する場合、接続管理部２６に対して、ＢＭＳ３０７とＯＢＣ３０８とを接続させる（言い換えると、ＢＭＳ３０７とＯＢＣ３０８とのセッションを確立させる）。
【0085】
例えば、車両内のリソースにより行われるアクセス要求には、加速、減速、停止、右折、左折といった、即時に行われなければならない制御に関するアクセス要求が含まれるため、アクセス要求の認証に高い応答性が求められる。そこで、車両セキュリティシステム４は、統合ＥＣＵ１０３に設けられた主動的認証部１２に加え、ゾーンＥＣＵ２０５、２０６、２０７および２０８に設けられた副動的認証部１３、１４、１５および１６を備える。これにより、アクセス元とアクセス先との通信経路上にゾーンＥＣＵ２０５、２０６、２０７または２０８が設けられている場合には、アクセス元に近い副動的認証部１３、１４、１５または１６によってアクセス要求の認証を行うことができるため、アクセス要求の認証の応答性を高めることができる。
【0086】
なお、ゾーンＥＣＵ２０５、２０６、２０７および２０８が制御しないリソース（例えば、ＡＤＡＳＥＣＵ３０３、ＴＣＵ３０４またはＣＤＣ３０５）へのアクセス要求の認証は、主動的認証部１２が行う。また、あるゾーンＥＣＵにおけるリソースから他のゾーンＥＣＵにおけるリソースへのアクセス要求の認証は、これらのゾーンＥＣＵ間に統合ＥＣＵ１０３が配置されているため、主動的認証部１２が行う。
【0087】
例えば、主動的認証部１２は、１以上の接続管理部のいずれかの接続管理部を介して、車両の状態を示す車両状態情報を取得してもよい。主動的認証部１２が車両状態情報を取得するときにも、車両状態情報を保持しているリソースへのアクセス要求の認証が行われ、１以上の接続管理部を介して取得されるため、セキュリティを向上することができる。なお、主動的認証部１２は、１以上の接続管理部のいずれかの接続管理部を介さずに、車両状態情報を保持しているリソースから直接車両状態情報を取得してもよい。あるいは、車両状態情報を保持しているリソースから車両状態情報を取得し、管理する車両状態情報管理部が車両に設けられていてもよく、主動的認証部１２は、車両状態情報管理部から車両状態情報を取得してもよい。
【0088】
例えば、アクセス先の利用状況は、アクセス先などから取得することができる。例えば、車両の走行状態は、統合ＥＣＵ１０３またはＡＤＡＳＥＣＵ３０３などから取得することができる。例えば、アクセス元のセキュリティ状況およびアクセス先のセキュリティ状況は、ＩＤＳなどから取得することができる。例えば、車両において利用されるサービスの利用状況は、サービスを管理するサービス管理部などから取得することができる。例えば、統合ＥＣＵ１０３は、サービス管理部の機能を有していてもよい。
【0089】
例えば、統合ＥＣＵ１０３ならびにゾーンＥＣＵ２０５、２０６、２０７および２０８は、車両の状態を示す車両状態情報を保持し、主動的認証部１２は、所定のタイミングで、副動的認証部１３、１４、１５および１６に対して、ゾーンＥＣＵ２０５、２０６、２０７および２０８に保持された車両状態情報を、統合ＥＣＵ１０３に保持された最新の車両状態情報に更新させる。そして、副動的認証部１３、１４、１５および１６は、ゾーンＥＣＵ２０５、２０６、２０７および２０８に保持された車両状態情報が示す車両の状態に基づいて、アクセス元からアクセス先へのアクセス要求の認証を動的に行う。
【0090】
ゾーンＥＣＵ２０５、２０６、２０７および２０８で保持されている車両状態情報が、統合ＥＣＵ１０３で保持されている最新の車両状態情報に、所定のタイミング（例えば、定期的、セキュリティ情報更新時、または、異常発生時）で更新されるため、副動的認証部１３、１４、１５および１６は、更新された車両状態情報によって、精度良くアクセス要求の認証を行うことができる。
【0091】
（その他の実施の形態）
以上のように、本開示に係る技術の例示として実施の形態を説明した。しかしながら、本開示に係る技術は、これに限定されず、適宜、変更、置き換え、付加、省略などを行った実施の形態にも適用可能である。例えば、以下のような変形例も本開示の一実施の形態に含まれる。
以上のように、本開示に係る技術の例示として実施の形態を説明した。しかしながら、本開示に係る技術は、これに限定されず、適宜、変更、置き換え、付加、省略などを行った実施の形態にも適用可能である。例えば、以下のような変形例も本開示の一実施の形態に含まれる。
【0092】
例えば、上記実施の形態では、主動的認証部が設けられたＥＣＵが統合ＥＣＵである例を説明したが、これに限らない。例えば、主動的認証部は、主動的認証部の専用のＥＣＵに設けられていてもよいし、ゲートウェイＥＣＵに設けられていてもよい。
【0093】
例えば、本開示は、車両セキュリティシステム、統合ＥＣＵ（車両セキュリティ装置）またはゾーンＥＣＵ（車両セキュリティ装置）として実現できるだけでなく、車両セキュリティシステム、統合ＥＣＵまたはゾーンＥＣＵを構成する構成要素が行うステップ（処理）を含む車両セキュリティ方法として実現できる。
【0094】
例えば、本開示は、車両セキュリティ方法に含まれるステップを、コンピュータ（プロセッサ）に実行させるためのプログラムとして実現できる。さらに、本開示は、そのプログラムを記録したＣＤ－ＲＯＭ等である非一時的なコンピュータ読み取り可能な記録媒体として実現できる。
【0095】
例えば、本開示が、プログラム（ソフトウェア）で実現される場合には、コンピュータのＣＰＵ、メモリおよび入出力回路などのハードウェア資源を利用してプログラムが実行されることによって、各ステップが実行される。つまり、ＣＰＵがデータをメモリまたは入出力回路などから取得して演算したり、演算結果をメモリまたは入出力回路などに出力したりすることによって、各ステップが実行される。
【0096】
なお、上記実施の形態において、車両セキュリティシステム、統合ＥＣＵおよびゾーンＥＣＵに含まれる各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵまたはプロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。
【0097】
上記実施の形態に係る車両セキュリティシステム、統合ＥＣＵおよびゾーンＥＣＵの機能の一部または全ては典型的には集積回路であるＬＳＩとして実現される。これらは個別に１チップ化されてもよいし、一部または全てを含むように１チップ化されてもよい。また、集積回路化はＬＳＩに限るものではなく、専用回路または汎用プロセッサで実現してもよい。ＬＳＩ製造後にプログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）、またはＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用してもよい。
【0098】
さらに、半導体技術の進歩または派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて、車両セキュリティシステム、統合ＥＣＵおよびゾーンＥＣＵに含まれる各構成要素の集積回路化が行われてもよい。
【0099】
その他、実施の形態に対して当業者が思いつく各種変形を施して得られる形態、本開示の趣旨を逸脱しない範囲で各実施の形態における構成要素および機能を任意に組み合わせることで実現される形態も本開示に含まれる。
【0100】
（付記）
以上の実施の形態の記載により、下記の技術が開示される。
以上の実施の形態の記載により、下記の技術が開示される。
【0101】
（技術１）車両に搭載された車両セキュリティシステムであって、前記車両におけるＥＣＵに設けられた主動的認証部と、１以上の接続管理部と、を備え、前記主動的認証部は、前記車両における任意のアクセス元から前記車両における任意のアクセス先へのアクセス要求があった場合、前記車両の状態に基づいて、前記アクセス要求の認証を動的に行い、前記アクセス要求の認証の結果に基づいて、前記１以上の接続管理部のうちの前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、車両セキュリティシステム。
【0102】
これによれば、アクセス要求の認証を動的に行う、すなわち、脅威がすでに侵入しているという前提でアクセス要求ごとに認証を行う、いわゆるゼロトラストアーキテクチャが車両に適用されるため、車載ネットワークへ脅威が侵入した場合であっても、アクセス要求の認証が動的に行われ脅威が検出され得るため、被害を抑制することができる。例えば、脅威が侵入した車両が危険な状態になることを抑制でき、また、脅威が侵入した車両が外部ネットワークへの攻撃の起点として利用されて外部ネットワークが攻撃されることを抑制できる。なお、アクセス元として車両内のリソースにより行われるアクセス要求は、車両の状態に応じて許可される場合もあれば許可されない場合もあるため、車両の状態を考慮してアクセス要求の可否が判定される。
【0103】
（技術２）前記主動的認証部は、前記車両の状態が所定の条件を満たすと判定した場合、前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先とを接続させ、前記車両の状態が前記所定の条件を満たさなくなったと判定した場合、前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を切断させる、技術１に記載の車両セキュリティシステム。
【0104】
これによれば、アクセス元とアクセス先との通信経路上に設けられた接続管理部は、アクセス元とアクセス先との接続を制御することができるため、主動的認証部は、車両の状態が所定の条件を満たすか否かに基づいて、当該接続管理部を介してアクセス元とアクセス先との接続を制御することができる。
【0105】
（技術３）前記主動的認証部は、前記車両の状態が前記所定の条件を満たさなくなったと判定した場合、再度前記アクセス要求の認証を行い、再度の前記アクセス要求の認証が失敗した場合、前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先とを接続を切断させる、技術２に記載の車両セキュリティシステム。
【0106】
これによれば、主動的認証部は、車両の状態が所定の条件を満たさなくなったと判定した場合、再度アクセス要求の認証を行うため、一時的に車両の状態が変化して一時的に車両の状態が所定の条件を満たさなくなった場合に、アクセス元とアクセス先との接続が切断されてしまうことを抑制できる。
【0107】
（技術４）前記１以上の接続管理部には、前記主動的認証部が設けられたＥＣＵに設けられた接続管理部が含まれ、前記アクセス元と前記アクセス先との通信経路上に前記主動的認証部が設けられたＥＣＵが設けられている場合に、前記主動的認証部は、当該統合ＥＣＵに設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、技術１～３のいずれかに記載の車両セキュリティシステム。
【0108】
このように、アクセス元とアクセス先との通信経路上に主動的認証部が設けられたＥＣＵが設けられている場合には、主動的認証部は、当該ＥＣＵに設けられた接続管理部を介してアクセス元とアクセス先との接続を制御することができる。
【0109】
（技術５）前記１以上の接続管理部には、前記車両におけるゾーンＥＣＵに設けられた接続管理部が含まれ、前記アクセス元と前記アクセス先との通信経路上に前記ゾーンＥＣＵが設けられている場合に、前記主動的認証部は、前記ゾーンＥＣＵに設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、技術１～３のいずれかに記載の車両セキュリティシステム。
【0110】
このように、アクセス元とアクセス先との通信経路上にゾーンＥＣＵが設けられている場合には、主動的認証部は、ゾーンＥＣＵに設けられた接続管理部を介してアクセス元とアクセス先との接続を制御することができる。
【0111】
（技術６）さらに、前記車両におけるゾーンＥＣＵに設けられた副動的認証部を備え、前記アクセス元と前記アクセス先との通信経路上に前記ゾーンＥＣＵが設けられている場合には、前記副動的認証部は、前記アクセス要求があったときに、前記車両の状態に基づいて、前記アクセス要求の認証を動的に行い、前記アクセス要求の認証の結果に基づいて、前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、技術１に記載の車両セキュリティシステム。
【0112】
車両内のリソースにより行われるアクセス要求には、加速、減速、停止、右折、左折といった、即時に行われなければならない制御に関するアクセス要求が含まれるため、アクセス要求の認証に高い応答性が求められる。そこで、車両セキュリティシステムは、主動的認証部に加え、ゾーンＥＣＵに設けられた副動的認証部を備える。これにより、アクセス元とアクセス先との通信経路上にゾーンＥＣＵが設けられている場合には、アクセス元に近い副動的認証部によってアクセス要求の認証を行うことができるため、アクセス要求の認証の応答性を高めることができる。
【0113】
（技術７）前記副動的認証部は、前記車両の状態が所定の条件を満たすと判定した場合、前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先とを接続させ、前記副動的認証部は、前記車両の状態が前記所定の条件を満たさなくなったと判定した場合、前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を切断させる、技術６に記載の車両セキュリティシステム。
【0114】
これによれば、アクセス元とアクセス先との通信経路上に設けられた接続管理部（例えば、アクセス元とアクセス先との間に設けられた接続管理部）は、アクセス元とアクセス先との接続を制御することができるため、副動的認証部は、車両の状態が所定の条件を満たすか否かに基づいて、当該接続管理部を介してアクセス元とアクセス先との接続を制御することができる。
【0115】
（技術８）前記副動的認証部は、前記車両の状態が前記所定の条件を満たさなくなったと判定した場合、再度前記アクセス要求の認証を行い、再度の前記アクセス要求の認証が失敗した場合、前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先とを接続を切断させる、技術７に記載の車両セキュリティシステム。
【0116】
これによれば、副動的認証部は、車両の状態が所定の条件を満たさなくなったと判定した場合、再度アクセス要求の認証を行うため、一時的に車両の状態が変化して一時的に車両の状態が所定の条件を満たさなくなった場合に、アクセス元とアクセス先との接続が切断されてしまうことを抑制できる。
【0117】
（技術９）前記１以上の接続管理部には、前記ゾーンＥＣＵに設けられた接続管理部が含まれ、前記副動的認証部は、前記ゾーンＥＣＵに設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、技術６～８のいずれかに記載の車両セキュリティシステム。
【0118】
このように、アクセス元とアクセス先との通信経路上にゾーンＥＣＵが設けられている場合には、副動的認証部は、ゾーンＥＣＵに設けられた接続管理部を介してアクセス元とアクセス先との接続を制御することができる。
【0119】
（技術１０）前記主動的認証部が設けられたＥＣＵおよび前記ゾーンＥＣＵは、前記車両の状態を示す車両状態情報を保持し、前記主動的認証部は、所定のタイミングで、前記副動的認証部に対して、前記ゾーンＥＣＵに保持された前記車両状態情報を、前記主動的認証部が設けられたＥＣＵに保持された前記車両状態情報に更新させ、前記副動的認証部は、前記ゾーンＥＣＵに保持された前記車両状態情報が示す前記車両の状態に基づいて、前記アクセス要求の認証を動的に行う、技術６～９のいずれかに記載の車両セキュリティシステム。
【0120】
これによれば、ゾーンＥＣＵで保持されている車両状態情報が、主動的認証部が設けられたＥＣＵで保持されている最新の車両状態情報に、所定のタイミング（例えば、定期的、セキュリティ情報更新時、または、異常発生時）で更新されるため、副動的認証部は、更新された車両状態情報によって、精度良くアクセス要求の認証を行うことができる。
【0121】
（技術１１）前記主動的認証部は、前記１以上の接続管理部のいずれかの接続管理部を介して、前記車両の状態を示す車両状態情報を取得する、技術１～１０のいずれかに記載の車両セキュリティシステム。
【0122】
これによれば、主動的認証部が車両状態情報を取得するときにも、車両状態情報を保持しているリソースへのアクセス要求の認証が行われ、接続管理部を介して取得されるため、セキュリティを向上することができる。
【0123】
（技術１２）前記車両の状態は、前記アクセス先の利用状況、前記車両の走行状態、前記アクセス元のセキュリティ状況、前記アクセス先のセキュリティ状況、前記車両において利用されるサービスの利用状況または前記アクセス先の状態を含む、技術１～１１のいずれかに記載の車両セキュリティシステム。
【0124】
このように、アクセス先の利用状況、車両の走行状態、アクセス元のセキュリティ状況、アクセス先のセキュリティ状況または車両において利用されるサービスの利用状況を考慮して、アクセス要求の認証の可否を判定することができる。
【0125】
（技術１３）車両に搭載された車両セキュリティ装置であって、主動的認証部を備え、前記主動的認証部は、前記車両の状態に基づいて、前記車両における任意のアクセス元から前記車両における任意のアクセス先へのアクセス要求の認証を動的に行い、前記アクセス要求の認証の結果に基づいて、前記車両に設けられた１以上の接続管理部のうちの前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、車両セキュリティ装置。
【0126】
これによれば、車載ネットワークへ脅威が侵入した場合であっても、被害を抑制することができる車両セキュリティ装置を提供することができる。
【0127】
（技術１４）車両に搭載された車両セキュリティ装置であって、副動的認証部を備え、前記副動的認証部は、前記車両における任意のアクセス元と前記車両における任意のアクセス先との通信経路上に前記車両セキュリティ装置が設けられている場合に、前記車両の状態に基づいて、前記アクセス元から前記アクセス先へのアクセス要求の認証を動的に行い、前記アクセス要求の認証の結果に基づいて、前記車両に設けられた１以上の接続管理部のうちの前記アクセス元と前記アクセス先との通信経路上に設けられた接続管理部に、前記アクセス元と前記アクセス先との接続を制御させる、車両セキュリティ装置。
【0128】
これによれば、車載ネットワークへ脅威が侵入した場合であっても、被害を抑制することができる車両セキュリティ装置を提供することができる。
【産業上の利用可能性】
【0129】
本開示は、車載ネットワークなどに適用できる。
【符号の説明】
【0130】
１、２、３、４ 車両セキュリティシステム
１１、１２ 主動的認証部
１３、１４、１５、１６ 副動的認証部
２１、２２、２３、２４、２５、２６、２７ 接続管理部
３１ ＨＳＭ
３２ ストレージ
３３ マスターＩＤＳ
３４、３５、３６、３７、３８、３９ エッジＩＤＳ
１０１、１０２、１０３ 統合ＥＣＵ
２０１、２０２、２０２ａ、２０３、２０４、２０５、２０６、２０７、２０８ ゾーンＥＣＵ
３０１、３０３ ＡＤＡＳＥＣＵ
３０２ ＩＶＩＥＣＵ
３０４ ＴＣＵ
３０５ ＣＤＣ
３０６ ＰＣＵ
３０７ ＢＭＳ
３０８ ＯＢＣ
４０１ アクチュエータ
４０２、４０４、４０５、４０７、４１２ センサ
４０３、４１０ 充電器
４０６ シャシー
４０８ モータ
４０９ バッテリ
４１１ ブレーキ
１１、１２ 主動的認証部
１３、１４、１５、１６ 副動的認証部
２１、２２、２３、２４、２５、２６、２７ 接続管理部
３１ ＨＳＭ
３２ ストレージ
３３ マスターＩＤＳ
３４、３５、３６、３７、３８、３９ エッジＩＤＳ
１０１、１０２、１０３ 統合ＥＣＵ
２０１、２０２、２０２ａ、２０３、２０４、２０５、２０６、２０７、２０８ ゾーンＥＣＵ
３０１、３０３ ＡＤＡＳＥＣＵ
３０２ ＩＶＩＥＣＵ
３０４ ＴＣＵ
３０５ ＣＤＣ
３０６ ＰＣＵ
３０７ ＢＭＳ
３０８ ＯＢＣ
４０１ アクチュエータ
４０２、４０４、４０５、４０７、４１２ センサ
４０３、４１０ 充電器
４０６ シャシー
４０８ モータ
４０９ バッテリ
４１１ ブレーキ
【図1】
【図2】
【図3】
【図4】