特表 2022-545420 車載システムにおけるセキュリティ保護方法およびデバイス

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2022-10-27

(54)【発明の名称】車載システムにおけるセキュリティ保護方法およびデバイス

(51)【国際特許分類】

   H04L 9/10 20060101AFI20221020BHJP

   H04L 9/32 20060101ALI20221020BHJP

   G06F 21/64 20130101ALI20221020BHJP

【ＦＩ】

H04L9/10 A

H04L9/32 200B

G06F21/64

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2022510835

(86)(22)【出願日】2020-08-19

(85)【翻訳文提出日】2022-03-18

(86)【国際出願番号】 CN2020110078

(87)【国際公開番号】W WO2021032132

(87)【国際公開日】2021-02-25

(31)【優先権主張番号】201910770024.8

(32)【優先日】2019-08-20

(33)【優先権主張国・地域又は機関】CN

(81)【指定国・地域】

(71)【出願人】

【識別番号】504161984

【氏名又は名称】ホアウェイ・テクノロジーズ・カンパニー・リミテッド

(74)【代理人】

【識別番号】110000877

【氏名又は名称】弁理士法人ＲＹＵＫＡ国際特許事務所

(72)【発明者】

【氏名】ガオ、チョンジェン

(72)【発明者】

【氏名】ワン、ヨン

(72)【発明者】

【氏名】ユ、インホイ

(57)【要約】

本願の実施形態が車載システムにおけるセキュリティ保護方法およびデバイスを提供し、これらの実施形態は、「車両のインターネット」技術の分野に関し、ゲートウェイ、ドメインコントローラ、および電子制御ユニットのセキュリティレベル要件に基づいて、第１セキュリティ保護モジュールをゲートウェイに配置し、第２セキュリティ保護モジュールをドメインコントローラに配置し、第３セキュリティ保護モジュールを電子制御ユニットに配置する。そのため、ゲートウェイ、ドメインコントローラ、および電子制御ユニットは異なるセキュリティレベルを有する。第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルであり、第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルであり、第３セキュリティ保護モジュールのセキュリティレベルが第３セキュリティレベルである。

【特許請求の範囲】

【請求項1】

ゲートウェイと、ドメインコントローラと、前記ドメインコントローラに対応する電子制御ユニット（ＥＣＵ）とを備える車載システムであって、前記ゲートウェイが前記ドメインコントローラに接続されており、前記ドメインコントローラが前記ＥＣＵに接続されており、
前記ＥＣＵには第１セキュリティ保護モジュールが配置されており、前記第１セキュリティ保護モジュールが前記ＥＣＵに対してセキュリティ保護を提供するように構成されており、前記第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルであり、
前記ドメインコントローラには第２セキュリティ保護モジュールが配置されており、前記第２セキュリティ保護モジュールが前記ドメインコントローラに対してセキュリティ保護を提供するように構成されており、前記第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルであり、
前記ゲートウェイには第３セキュリティ保護モジュールが配置されており、前記第３セキュリティ保護モジュールが前記ゲートウェイに対してセキュリティ保護を提供するように構成されており、前記第３セキュリティ保護モジュールのセキュリティレベルが第３セキュリティレベルである、車載システム。

【請求項2】

前記第３セキュリティレベルが前記第２セキュリティレベルより高いまたはこれに等しく、前記第２セキュリティレベルが前記第１セキュリティレベルより高い、請求項１に記載の車載システム。

【請求項3】

前記第１セキュリティ保護モジュールがデバイス識別子構成エンジン（ＤＩＣＥ）を有し、
前記第２セキュリティ保護モジュールが、トラステッドプラットフォームモジュールシン、埋め込み型セキュアエレメント（ｅＳＥ）、物理的に分離されたセキュリティプロセッサ（ＳＰ）システムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュール（ＨＳＭ）を含むチップを有し、
前記第３セキュリティ保護モジュールが、トラステッドプラットフォームモジュールリッチ、ｅＳＥ、物理的に分離されたＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを有する、請求項１または２に記載の車載システム。

【請求項4】

車載システムにおけるセキュリティ保護方法であって、
電子制御ユニット（ＥＣＵ）が第１セキュリティ保護モジュールを用いて前記ＥＣＵの公開鍵および前記ＥＣＵの秘密鍵を生成する段階であって、前記第１セキュリティ保護モジュールが前記ＥＣＵに対してセキュリティ保護を提供するように構成されており、前記第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルである、生成する段階と、
前記ＥＣＵが前記ＥＣＵの前記秘密鍵を用いて前記ＥＣＵのファームウェアダイジェストに署名し、第１署名情報を取得する段階と、
前記ＥＣＵが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストをドメインコントローラに送信する段階と、
前記ドメインコントローラが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ＥＣＵから受信する段階と、
前記ドメインコントローラが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストをゲートウェイに送信する段階と、
前記ゲートウェイが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ドメインコントローラから受信する段階と、
前記ゲートウェイが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストをサーバに送信する段階と
を備える方法。

【請求項5】

前記第１セキュリティ保護モジュールがデバイス識別子構成エンジン（ＤＩＣＥ）を有する、請求項４に記載の方法。

【請求項6】

前記ドメインコントローラがＥＣＵリストを格納し、前記ＥＣＵが前記ＥＣＵリスト内のＥＣＵである、請求項４または５に記載の方法。

【請求項7】

前記ＥＣＵの前記ファームウェアダイジェストが前記ＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる、請求項４から６のいずれか一項に記載の方法。

【請求項8】

前記方法がさらに、
前記サーバが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ゲートウェイから受信する段階と、
前記サーバが前記ＥＣＵの前記公開鍵を用いて前記第１署名情報に対して検証を行う段階と、
前記第１署名情報が検証された場合、前記サーバが前記ゲートウェイに第１応答情報を送信する段階であって、前記第１応答情報は前記ＥＣＵを起動することを示すのに用いられる、送信する段階と、
前記ゲートウェイが前記第１応答情報を前記サーバから受信する段階と、
前記ゲートウェイが前記第１応答情報を前記ドメインコントローラに送信する段階と、
前記ドメインコントローラが前記第１応答情報を前記ゲートウェイから受信する段階と、
前記ドメインコントローラが前記第１応答情報を前記ＥＣＵに送信する段階と、
前記ＥＣＵが前記第１応答情報を前記ドメインコントローラから受信する段階と
を備える、請求項４から７のいずれか一項に記載の方法。

【請求項9】

車載システムにおけるセキュリティ保護方法であって、
電子制御ユニット（ＥＣＵ）が第１セキュリティ保護モジュールを用いて前記ＥＣＵの公開鍵および前記ＥＣＵの秘密鍵を生成する段階であって、前記第１セキュリティ保護モジュールが前記ＥＣＵに対してセキュリティ保護を提供するように構成されており、前記第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルである、生成する段階と、
前記ＥＣＵが前記ＥＣＵの前記秘密鍵を用いて前記ＥＣＵのファームウェアダイジェストに署名し、第１署名情報を取得する段階と、
前記ＥＣＵが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストをドメインコントローラに送信する段階と、
前記ドメインコントローラが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ＥＣＵから受信する段階と、
前記ドメインコントローラが第２セキュリティ保護モジュールを用いて前記ドメインコントローラの公開鍵および前記ドメインコントローラの秘密鍵を生成する段階であって、前記第２セキュリティ保護モジュールが前記ドメインコントローラに対してセキュリティ保護を提供するように構成されており、前記第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルである、生成する段階と、
前記ドメインコントローラが前記ＥＣＵの前記公開鍵を用いて前記第１署名情報に対して検証を行う段階と、
前記第１署名情報が検証された場合、前記ドメインコントローラが前記ドメインコントローラの前記秘密鍵を用いて前記ＥＣＵの前記ファームウェアダイジェストに署名し、第２署名情報を取得する段階と、
前記ドメインコントローラが、前記第２署名情報、前記ドメインコントローラの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストをゲートウェイに送信する段階と、
前記ゲートウェイが、前記第２署名情報、前記ドメインコントローラの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ドメインコントローラから受信する段階と、
前記ゲートウェイが第３セキュリティ保護モジュールを用いて前記ゲートウェイの公開鍵および前記ゲートウェイの秘密鍵を生成する段階であって、前記第３セキュリティ保護モジュールが前記ゲートウェイに対してセキュリティ保護を提供するように構成されており、前記第３セキュリティ保護モジュールのセキュリティレベルが第３セキュリティレベルである、生成する段階と、
前記ゲートウェイが前記ドメインコントローラの前記公開鍵を用いて前記第２署名情報に対して検証を行う段階と、
前記第２署名情報が検証された場合、前記ゲートウェイが前記ゲートウェイの前記秘密鍵を用いて前記ＥＣＵの前記ファームウェアダイジェストに署名し、第３署名情報を取得する段階と、
前記ゲートウェイが、前記第３署名情報、前記ゲートウェイの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストをサーバに送信する段階と
を備える方法。

【請求項10】

前記第３セキュリティレベルが前記第２セキュリティレベルより高いまたはこれに等しく、前記第２セキュリティレベルが前記第１セキュリティレベルより高い、請求項９に記載の方法。

【請求項11】

前記第１セキュリティ保護モジュールがデバイス識別子構成エンジン（ＤＩＣＥ）を有し、
前記第２セキュリティ保護モジュールが、トラステッドプラットフォームモジュールシン、埋め込み型セキュアエレメント（ｅＳＥ）、物理的に分離されたセキュリティプロセッサ（ＳＰ）システムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュールＨＳＭを含むチップを有し、
前記第３セキュリティ保護モジュールが、トラステッドプラットフォームモジュールリッチ、ｅＳＥ、物理的に分離されたＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを有する、請求項９に記載の方法。

【請求項12】

前記ドメインコントローラがＥＣＵリストを格納し、前記ＥＣＵが前記ＥＣＵリスト内のＥＣＵである、請求項９から１１のいずれか一項に記載の方法。

【請求項13】

前記ＥＣＵの前記ファームウェアダイジェストが前記ＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる、請求項９から１２のいずれか一項に記載の方法。

【請求項14】

前記方法がさらに、
前記サーバが、前記第３署名情報、前記ゲートウェイの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ゲートウェイから受信する段階と、
前記サーバが前記ゲートウェイの前記公開鍵を用いて前記第３署名情報に対して検証を行う段階と、
前記第３署名情報が検証された場合、前記サーバが前記ゲートウェイに第１応答情報を送信する段階であって、前記第１応答情報は前記ＥＣＵが起動することを示すのに用いられる、送信する段階と、
前記ゲートウェイが前記第１応答情報を前記サーバから受信する段階と、
前記ゲートウェイが前記第１応答情報を前記ドメインコントローラに送信する段階と、
前記ドメインコントローラが前記第１応答情報を前記ゲートウェイから受信する段階と、
前記ドメインコントローラが前記第１応答情報を前記ＥＣＵに送信する段階と、
前記ＥＣＵが前記第１応答情報を前記ドメインコントローラから受信する段階と
を備える、請求項９から１３のいずれか一項に記載の方法。

【請求項15】

電子制御ユニット（ＥＣＵ）と、ドメインコントローラと、ゲートウェイとを備える車載セキュリティ保護システムであって、
前記ＥＣＵが第１セキュリティ保護モジュールを用いて前記ＥＣＵの公開鍵および前記ＥＣＵの秘密鍵を生成するように構成されており、前記第１セキュリティ保護モジュールが前記ＥＣＵに対してセキュリティ保護を提供するように構成されており、前記第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルであり、
前記ＥＣＵがさらに、前記ＥＣＵの前記秘密鍵を用いて前記ＥＣＵのファームウェアダイジェストに署名し、第１署名情報を取得するように構成されており、
前記ＥＣＵがさらに、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ドメインコントローラに送信するように構成されており、
前記ドメインコントローラが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ＥＣＵから受信するように構成されており、
前記ドメインコントローラがさらに、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ゲートウェイに送信するように構成されており、
前記ゲートウェイが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ドメインコントローラから受信するように構成されており、
前記ゲートウェイがさらに、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストをサーバに送信するように構成されている、車載セキュリティ保護システム。

【請求項16】

前記第１セキュリティ保護モジュールがデバイス識別子構成エンジン（ＤＩＣＥ）を有する、請求項１５に記載の車載セキュリティ保護システム。

【請求項17】

前記ドメインコントローラがＥＣＵリストを格納し、前記ＥＣＵが前記ＥＣＵリスト内のＥＣＵである、請求項１５または１６に記載の車載セキュリティ保護システム。

【請求項18】

前記ＥＣＵの前記ファームウェアダイジェストが前記ＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる、請求項１５から１７のいずれか一項に記載の車載セキュリティ保護システム。

【請求項19】

前記車載セキュリティ保護システムがさらに前記サーバを備え、
前記サーバが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ゲートウェイから受信するように構成されており、
前記サーバがさらに、前記ＥＣＵの前記公開鍵を用いて前記第１署名情報に対して検証を行うように構成されており、
前記サーバがさらに、前記第１署名情報が検証された場合、前記ゲートウェイに第１応答情報を送信するように構成されており、前記第１応答情報が前記ＥＣＵを起動することを示すのに用いられ、
前記ゲートウェイがさらに、前記第１応答情報を前記サーバから受信するように構成されており、
前記ゲートウェイがさらに、前記第１応答情報を前記ドメインコントローラに送信するように構成されており、
前記ドメインコントローラがさらに、前記第１応答情報を前記ゲートウェイから受信するように構成されており、
前記ドメインコントローラがさらに、前記第１応答情報を前記ＥＣＵに送信するように構成されており、
前記ＥＣＵがさらに、前記第１応答情報を前記ドメインコントローラから受信するように構成されている、請求項１５から１８のいずれか一項に記載の車載セキュリティ保護システム。

【請求項20】

電子制御ユニット（ＥＣＵ）と、ドメインコントローラと、ゲートウェイとを備える車載セキュリティ保護システムであって、
前記ＥＣＵが第１セキュリティ保護モジュールを用いて前記ＥＣＵの公開鍵および前記ＥＣＵの秘密鍵を生成するように構成されており、前記第１セキュリティ保護モジュールが前記ＥＣＵに対してセキュリティ保護を提供するように構成されており、前記第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルであり、
前記ＥＣＵがさらに、前記ＥＣＵの前記秘密鍵を用いて前記ＥＣＵのファームウェアダイジェストに署名し、第１署名情報を取得するように構成されており、
前記ＥＣＵがさらに、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ドメインコントローラに送信するように構成されており、
前記ドメインコントローラが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ＥＣＵから受信するように構成されており、
前記ドメインコントローラがさらに、第２セキュリティ保護モジュールを用いて前記ドメインコントローラの公開鍵および前記ドメインコントローラの秘密鍵を生成するように構成されており、前記第２セキュリティ保護モジュールが前記ドメインコントローラに対してセキュリティ保護を提供するように構成されており、前記第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルであり、
前記ドメインコントローラがさらに、前記ＥＣＵの前記公開鍵を用いて前記第１署名情報に対して検証を行うように構成されており、
前記ドメインコントローラがさらに、前記第１署名情報が検証された場合、前記ドメインコントローラの前記秘密鍵を用いて前記ＥＣＵの前記ファームウェアダイジェストに署名し、第２署名情報を取得するように構成されており、
前記ドメインコントローラがさらに、前記第２署名情報、前記ドメインコントローラの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ゲートウェイに送信するように構成されており、
前記ゲートウェイが、前記第２署名情報、前記ドメインコントローラの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ドメインコントローラから受信するように構成されており、
前記ゲートウェイがさらに、第３セキュリティ保護モジュールを用いて前記ゲートウェイの公開鍵および前記ゲートウェイの秘密鍵を生成するように構成されており、前記第３セキュリティ保護モジュールが前記ゲートウェイに対してセキュリティ保護を提供するように構成されており、前記第３セキュリティ保護モジュールのセキュリティレベルが第３セキュリティレベルであり、
前記ゲートウェイがさらに、前記ドメインコントローラの前記公開鍵を用いて前記第２署名情報に対して検証を行うように構成されており、
前記ゲートウェイがさらに、前記第２署名情報が検証された場合、前記ゲートウェイの前記秘密鍵を用いて前記ＥＣＵの前記ファームウェアダイジェストに署名し、第３署名情報を取得するように構成されており、
前記ゲートウェイがさらに、前記第３署名情報、前記ゲートウェイの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストをサーバに送信するように構成されている、車載セキュリティ保護システム。

【請求項21】

前記第３セキュリティレベルが前記第２セキュリティレベルより高いまたはこれに等しく、前記第２セキュリティレベルが前記第１セキュリティレベルより高い、請求項２０に記載の車載セキュリティ保護システム。

【請求項22】

前記第１セキュリティ保護モジュールがデバイス識別子構成エンジン（ＤＩＣＥ）を有し、
前記第２セキュリティ保護モジュールが、トラステッドプラットフォームモジュールシン、埋め込み型セキュアエレメント（ｅＳＥ）、物理的に分離されたセキュリティプロセッサ（ＳＰ）システムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュール（ＨＳＭ）を含むチップを有し、
前記第３セキュリティ保護モジュールが、トラステッドプラットフォームモジュールリッチ、ｅＳＥ、物理的に分離されたＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを有する、請求項２０または２１に記載の車載セキュリティ保護システム。

【請求項23】

前記ドメインコントローラがＥＣＵリストを格納し、前記ＥＣＵが前記ＥＣＵリスト内のＥＣＵである、請求項２０から２２のいずれか一項に記載の車載セキュリティ保護システム。

【請求項24】

前記ＥＣＵの前記ファームウェアダイジェストが前記ＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる、請求項２０から２３のいずれか一項に記載の車載セキュリティ保護システム。

【請求項25】

前記車載セキュリティ保護システムがさらに前記サーバを備え、
前記サーバが、前記第３署名情報、前記ゲートウェイの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ゲートウェイから受信するように構成されており、
前記サーバがさらに、前記ゲートウェイの前記公開鍵を用いて前記第３署名情報に対して検証を行うように構成されており、
前記サーバがさらに、前記第３署名情報が検証された場合、前記ゲートウェイに第１応答情報を送信するように構成されており、前記第１応答情報が前記ＥＣＵを起動することを示すのに用いられ、
前記ゲートウェイがさらに、前記第１応答情報を前記サーバから受信するように構成されており、
前記ゲートウェイがさらに、前記第１応答情報を前記ドメインコントローラに送信するように構成されており、
前記ドメインコントローラがさらに、前記第１応答情報を前記ゲートウェイから受信するように構成されており、
前記ドメインコントローラがさらに、前記第１応答情報を前記ＥＣＵに送信するように構成されており、
前記ＥＣＵがさらに、前記第１応答情報を前記ドメインコントローラから受信するように構成されている、請求項２０から２４のいずれか一項に記載の車載セキュリティ保護システム。

【請求項26】

車載システムに、請求項４から８のいずれか一項に記載の方法を実行させるためのプログラム。

【請求項27】

車載システムに、請求項９から１４のいずれか一項に記載の方法を実行させるためのプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本願は「車両のインターネット」技術の分野に関し、具体的には、車載システムにおけるセキュリティ保護方法およびデバイスに関する。

【背景技術】

【0002】

現在、通信機能を有する車両が、インターネットを介してスマートフォンなどの移動端末デバイスに接続されることがあり、そのような車両は、様々な機能、例えば、車両測位および車両情報取得を実行するのに用いられている。したがって、通信機能を有する車両は、機械的車両よりもネットワーク攻撃に脆弱であり、極端な例では悪意を持って遠隔で制御されることさえあり得る。したがって、車両セキュリティがますます重要になっている。

【0003】

先行技術の場合、車両セキュリティは主に４層防御によって改善されている。第１層は、電子制御ユニット（ｅｌｅｃｔｒｏｎｉｃ ｃｏｎｔｒｏｌ ｕｎｉｔ、ＥＣＵ）層であり、セキュアバーニング、セキュアブート、実行時の不具合監視、およびセキュアデバッグなどのセキュリティメカニズムをＥＣＵに用いて車両セキュリティを向上させることがある。第２層は、車載セキュリティ通信層であり、車載デバイスの通信情報を暗号化して車両セキュリティを向上させることができる。第３層は電気アーキテクチャ層であり、ゲートウェイを配置して通信データおよびアクセス権を管理することがある。第４層は、「車両のインターネット」層である。ファイアウォールが配置されることがあり、車載デバイスがファイアウォールを介して外部デバイスと通信する。前述の多層防御方法では、各層が異なる機能を有するが、各車載デバイスのセキュリティレベルは同じである。具体的には、比較的高いセキュリティレベル要件を有する車載デバイス（例えば、ゲートウェイ）、および比較的低いセキュリティレベル要件を有する車載デバイス（例えば、ＥＣＵ）のセキュリティレベルは同じである。

【発明の概要】

【0004】

本願の実施形態が車載システムにおけるセキュリティ保護方法およびデバイスを提供し、ゲートウェイ、ドメインコントローラ、および電子制御ユニットのセキュリティレベル要件に基づいて、電子制御ユニットに第１セキュリティ保護モジュールを配置し、ドメインコントローラに第２セキュリティ保護モジュールを配置し、ゲートウェイに第３セキュリティ保護モジュールを配置する。そのため、ゲートウェイ、ドメインコントローラ、および電子制御ユニットは異なるセキュリティレベルを有する。

【0005】

前述の目的を達成するために、本願の実施形態では以下に挙げる技術的解決手段を用いる。

【0006】

第１態様によれば、本願の一実施形態が車載システムを提供する。車載システムには、ゲートウェイ、ドメインコントローラ、およびドメインコントローラに対応する電子制御ユニットＥＣＵが含まれ、ゲートウェイはドメインコントローラに接続され、ドメインコントローラはＥＣＵに接続される。第１セキュリティ保護モジュールがＥＣＵに配置され、第１セキュリティ保護モジュールは、ＥＣＵに対してセキュリティ保護を提供するように構成され、第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルである。第２セキュリティ保護モジュールがドメインコントローラに配置され、第２セキュリティ保護モジュールは、ドメインコントローラに対してセキュリティ保護を提供するように構成され、第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルである。第３セキュリティ保護モジュールがゲートウェイに配置され、第３セキュリティ保護モジュールは、ゲートウェイに対してセキュリティ保護を提供するように構成され、第３セキュリティ保護モジュールのセキュリティレベルが第３セキュリティレベルである。

【0007】

第１態様で提供される技術的解決手段によれば、ゲートウェイ、ドメインコントローラ、および電子制御ユニットのセキュリティレベル要件に基づいて、第１セキュリティ保護モジュールは電子制御ユニットに配置されてよく、第２セキュリティ保護モジュールはドメインコントローラに配置されてよく、第３セキュリティ保護モジュールは電子制御ユニットに配置されてよい。そのため、ゲートウェイ、ドメインコントローラ、および電子制御ユニットは異なるセキュリティレベルを有する。

【0008】

第１態様に関連して、第１の実行可能な実装例では、第３セキュリティレベルは第２セキュリティレベルより高いまたはこれに等しく、第２セキュリティレベルは第１セキュリティレベルより高い。第１態様の第１の実行可能な実装例によれば、ゲートウェイ、ドメインコントローラ、および電子制御ユニットのセキュリティレベルは異なってもよい。

【0009】

第１態様および第１態様の第１の実行可能な実装例に関連して、第２の実行可能な実装例では、第１セキュリティ保護モジュールはデバイス識別子構成エンジンＤＩＣＥを含む。第２セキュリティ保護モジュールは、トラステッドプラットフォームモジュールシンＴＰＭ－Ｔｈｉｎ、埋め込み型セキュアエレメントｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュールＨＳＭを含むチップを内蔵する。第３セキュリティ保護モジュールは、トラステッドプラットフォームモジュールリッチＴＰＭ－Ｒｉｃｈ、ｅＳＥ、物理的に分離されたＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを内蔵する。第１態様の第２の実行可能な実装例によれば、ＤＩＣＥのセキュリティレベルは、ＴＰＭ－Ｔｈｉｎ、ｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップのセキュリティレベルより低く、ＴＰＭ－Ｔｈｉｎ、ｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップのセキュリティレベルは、ＴＰＭ－Ｒｉｃｈのセキュリティレベルより低い。したがって、第１セキュリティレベルは第２セキュリティレベルより低く、第２セキュリティレベルは第３セキュリティレベルより低いまたはこれに等しい。

【0010】

第２態様によれば、本願の一実施形態が車載システムにおけるセキュリティ保護方法を提供する。本方法は、電子制御ユニットＥＣＵが第１セキュリティ保護モジュールを用いてＥＣＵの公開鍵およびＥＣＵの秘密鍵を生成する段階を含み、第１セキュリティ保護モジュールはＥＣＵに対してセキュリティ保護を提供するように構成され、第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルである。ＥＣＵは、ＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名し、第１署名情報を取得する。ＥＣＵは、第１署名情報、ＥＣＵの公開鍵、ＥＣＵのファームウェアダイジェストをドメインコントローラに送信する。ドメインコントローラは、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをＥＣＵから受信する。ドメインコントローラは、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをゲートウェイに送信する。ゲートウェイは、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをドメインコントローラから受信する。ゲートウェイは、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをサーバに送信する。

【0011】

第２態様で提供される技術的解決手段によれば、ＥＣＵは、ドメインコントローラおよびゲートウェイを介してサーバに、ＥＣＵのファームウェアダイジェストに基づいて取得した第１署名情報を送信してよく、サーバは、ＥＣＵの公開鍵を用いて第１署名情報に対して検証を行い、ＥＣＵのファームウェアが改ざんされていないことを保証することにより、車載システムのセキュリティを向上させ得る。

【0012】

第２態様に関連して、第１の実行可能な実装例では、第１セキュリティ保護モジュールはデバイス識別子構成エンジンＤＩＣＥを含む。第２態様の第１の実行可能な実装例によれば、ＥＣＵの公開鍵およびＥＣＵの秘密鍵はＤＩＣＥを用いて生成され、ＤＩＣＥの複雑性およびコストは低い。したがって、ＥＣＵのファームウェアに対して検証を行うためにＤＩＣＥをＥＣＵに配置することで、コストを削減することができる。

【0013】

第２態様および第２態様の様々な実行可能な実装例に関連して、第２の実行可能な実装例では、ドメインコントローラはＥＣＵリストを格納し、当該ＥＣＵはこのリストに含まれるＥＣＵである。第２態様の第２の実行可能な実装例によれば、ドメインコントローラは、格納されたＥＣＵリストに基づいて、ＥＣＵリストに含まれるＥＣＵのファームウェアダイジェストに対して検証を行うかどうかを監視してよい。

【0014】

第２態様および第２態様の様々な実行可能な実装例に関連して、第３の実行可能な実装例では、ＥＣＵのファームウェアダイジェストはＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる。第２態様の第３の実行可能な実装例によれば、ＥＣＵは、ＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することによりＥＣＵのファームウェアダイジェストを求め、ＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名して、第１署名情報を取得し、ドメインコントローラおよびゲートウェイを用いて第１署名をサーバに送信してよい。こうして、サーバは、ＥＣＵの公開鍵を用いて第１署名情報に対して検証を行い、ＥＣＵのファームウェアが改ざんされていないことを保証することにより、車載システムのセキュリティが向上する。

【0015】

第２態様および第２態様の様々な実行可能な実装例に関連して、第４の実行可能な実装例では、本方法はさらに、サーバが第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをゲートウェイから受信する段階を含む。サーバは、ＥＣＵの公開鍵を用いて、第１署名情報に対して検証を行う。第１署名情報が検証された場合、サーバは第１応答情報をゲートウェイに送信する。第１応答情報は、ＥＣＵを起動することを示すのに用いられる。ゲートウェイは、第１応答情報をサーバから受信する。ゲートウェイは、第１応答情報をドメインコントローラに送信する。ドメインコントローラは、第１応答情報をゲートウェイから受信する。ドメインコントローラは、第１応答情報をＥＣＵに送信する。ＥＣＵは、第１応答情報をドメインコントローラから受信する。第２態様の第４の実行可能な実装例によれば、サーバがＥＣＵのファームウェアダイジェストを検証した後に、サーバは、ゲートウェイおよびドメインコントローラを介して第１応答情報をＥＣＵに送信してよい。ＥＣＵは、第１応答情報に基づいて起動してよい。その後、サーバはＥＣＵにサービスを提供してよい。

【0016】

第３態様によれば、本願の一実施形態が車載システムにおけるセキュリティ保護方法を提供する。本方法は、電子制御ユニットＥＣＵが第１セキュリティ保護モジュールを用いてＥＣＵの公開鍵およびＥＣＵの秘密鍵を生成する段階を含み、第１セキュリティ保護モジュールはＥＣＵに対してセキュリティ保護を提供するように構成され、第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルである。ＥＣＵは、ＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名し、第１署名情報を取得する。ＥＣＵは、第１署名情報、ＥＣＵの公開鍵、ＥＣＵのファームウェアダイジェストをドメインコントローラに送信する。ドメインコントローラは、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをＥＣＵから受信する。ドメインコントローラは、第２セキュリティ保護モジュールを用いてドメインコントローラの公開鍵およびドメインコントローラの秘密鍵を生成する。第２セキュリティ保護モジュールは、ドメインコントローラに対してセキュリティ保護を提供するように構成され、第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルである。ドメインコントローラは、ＥＣＵの公開鍵を用いて、第１署名情報に対して検証を行う。第１署名情報が検証された場合、ドメインコントローラは、ドメインコントローラの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名し、第２署名情報を取得する。ドメインコントローラは、第２署名情報、ドメインコントローラの公開鍵、およびＥＣＵのファームウェアダイジェストをゲートウェイに送信する。ゲートウェイは、第２署名情報、ドメインコントローラの公開鍵、およびＥＣＵのファームウェアダイジェストをドメインコントローラから受信する。ゲートウェイは、第３セキュリティ保護モジュールを用いて、ゲートウェイの公開鍵およびゲートウェイの秘密鍵を生成する。第３セキュリティ保護モジュールはゲートウェイに対してセキュリティ保護を提供するように構成され、第３セキュリティ保護モジュールのセキュリティレベルが第３セキュリティレベルである。ゲートウェイは、ドメインコントローラの公開鍵を用いて第２署名情報に対して検証を行う。第２署名情報が検証された場合、ゲートウェイは、ゲートウェイの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名し、第３署名情報を取得する。ゲートウェイは、第３署名情報、ゲートウェイの公開鍵、およびＥＣＵのファームウェアダイジェストをサーバに送信する。

【0017】

第３態様で提供される技術的解決手段によれば、ドメインコントローラは、ＥＣＵの公開鍵を用いて、ＥＣＵのファームウェアダイジェストに基づいて取得した第１署名情報に対して検証を行ってよい。検証が成功した後に、ゲートウェイは、ドメインコントローラの公開鍵を用いて、ＥＣＵのファームウェアダイジェストに基づいて取得した第２署名情報に対して検証を行ってよい。検証が成功した後に、サーバは、ゲートウェイの公開鍵を用いて、ＥＣＵのファームウェアダイジェストに基づいて取得した第３署名情報に対して検証を行ってよい。検証が成功した後に、サーバは、ゲートウェイおよびドメインコントローラを介して第１応答情報をＥＣＵに送信してよい。したがって、ＥＣＵのファームウェアダイジェストに対して３段階検証が行われ、ＥＣＵのファームウェアが改ざんされていないことを保証することにより、車載システムのセキュリティが向上し得る。

【0018】

第３態様に関連して、第１の実行可能な実装例では、第３セキュリティレベルは第２セキュリティレベルより高いまたはこれに等しく、第２セキュリティレベルは第１セキュリティレベルより高い。第３態様の第１の実行可能な実装例によれば、ゲートウェイ、ドメインコントローラ、および電子制御ユニットのセキュリティレベルが異なってもよい。

【0019】

第３態様および第３態様の第１の実行可能な実装例に関連して、第２の実行可能な実装例では、第１セキュリティ保護モジュールはデバイス識別子構成エンジンＤＩＣＥを含む。第２セキュリティ保護モジュールは、トラステッドプラットフォームモジュールシンＴＰＭ－Ｔｈｉｎ、埋め込み型セキュアエレメントｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュールＨＳＭを含むチップを内蔵する。第３セキュリティ保護モジュールは、トラステッドプラットフォームモジュールリッチＴＰＭ－Ｒｉｃｈ、ｅＳＥ、物理的に分離されたＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを内蔵する。第３態様の第２の実行可能な実装例によれば、ＤＩＣＥのセキュリティレベルは、ＴＰＭ－Ｔｈｉｎ、ｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップのセキュリティレベルより低く、ＴＰＭ－Ｔｈｉｎ、ｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップのセキュリティレベルは、ＴＰＭ－Ｒｉｃｈのセキュリティレベルより低い。したがって、第１セキュリティレベルは第２セキュリティレベルより低く、第２セキュリティレベルは第３セキュリティレベルより低いまたはこれに等しい。さらに、ＤＩＣＥの複雑性およびコストが低い。したがって、ＥＣＵのファームウェアに対して検証を行うためにＤＩＣＥをＥＣＵに配置することで、コストを削減することができる。

【0020】

第３態様および第３態様の様々な実行可能な実装例に関連して、第３の実行可能な実装例では、ドメインコントローラはＥＣＵリストを格納し、当該ＥＣＵはリストに含まれるＥＣＵである。第３態様の第３の実行可能な実装例によれば、ドメインコントローラは、格納されたＥＣＵリストに基づいて、ＥＣＵリストに含まれるＥＣＵのファームウェアダイジェストに対して検証を行うかどうかを監視してよい。

【0021】

第３態様および第３態様の様々な実行可能な実装例に関連して、第４の実行可能な実装例では、ＥＣＵのファームウェアダイジェストはＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる。第３態様の第４の実行可能な実装例によれば、ＥＣＵは、ＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することによりＥＣＵのファームウェアダイジェストを求め、ＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名して、第１署名情報を取得し、第１署名をドメインコントローラに送信してよい。こうして、ドメインコントローラは、ＥＣＵの公開鍵を用いて第１署名情報に対して検証を行い、ＥＣＵのファームウェアが改ざんされていないことを保証することにより、車載システムのセキュリティが向上する。

【0022】

第３態様および第３態様の様々な実行可能な実装例に関連して、第５の実行可能な実装例では、本方法はさらに、サーバが第３署名情報、ゲートウェイの公開鍵、およびＥＣＵのファームウェアダイジェストをゲートウェイから受信する段階を含む。サーバは、ゲートウェイの公開鍵を用いて、第３署名情報に対して検証を行う。第３署名情報が検証された場合、サーバは第１応答情報をゲートウェイに送信する。第１応答情報は、ＥＣＵを起動することを示すのに用いられる。ゲートウェイは、第１応答情報をサーバから受信する。ゲートウェイは、第１応答情報をドメインコントローラに送信する。ドメインコントローラは、第１応答情報をゲートウェイから受信する。ドメインコントローラは、第１応答情報をＥＣＵに送信する。ＥＣＵは、第１応答情報をドメインコントローラから受信する。第３態様の第５の実行可能な実装例によれば、サーバがＥＣＵのファームウェアダイジェストを検証した後に、サーバは、ゲートウェイおよびドメインコントローラを介して第１応答情報をＥＣＵに送信してよい。ＥＣＵは、第１応答情報に基づいて起動してよい。その後、サーバはＥＣＵにサービスを提供してよい。

【0023】

第４態様によれば、本願の一実施形態が車載システムにおけるセキュリティ保護方法を提供する。本方法は、電子制御ユニットＥＣＵにより行われる。第１セキュリティ保護モジュールがＥＣＵに配置され、第１セキュリティ保護モジュールは、ＥＣＵに対してセキュリティ保護を提供するように構成され、第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルである。本方法は、第１セキュリティ保護モジュールを用いてＥＣＵの公開鍵およびＥＣＵの秘密鍵を生成する段階と、ＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名し、第１署名情報を取得する段階と、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをドメインコントローラに送信する段階とを含む。

【0024】

第４態様で提供される技術的解決手段によれば、ＥＣＵは、ＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名し、取得した第１署名情報をドメインコントローラに送信してよい。こうして、ドメインコントローラが第１署名情報に対して検証を行うことにより、車載システムのセキュリティが向上する。

【0025】

第４態様に関連して、第１の実行可能な実装例では、第２セキュリティ保護モジュールがドメインコントローラに配置され、第２セキュリティ保護モジュールは、ドメインコントローラに対してセキュリティ保護を提供するように構成され、第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルである。第４態様の第１の実行可能な実装例によれば、第２セキュリティ保護モジュールはドメインコントローラに配置されてよい。そのため、ドメインコントローラのセキュリティレベルがＥＣＵのセキュリティレベルと異なる。

【0026】

第４態様の第１の実行可能な実装例に関連して、第２の実行可能な実装例では、第１セキュリティ保護モジュールはデバイス識別子構成エンジンＤＩＣＥを含む。第２セキュリティ保護モジュールは、トラステッドプラットフォームモジュールシンＴＰＭ－Ｔｈｉｎ、埋め込み型セキュアエレメントｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを内蔵する。第４態様の第２の実行可能な実装例によれば、ＤＩＣＥのセキュリティレベルは、ＴＰＭ－Ｔｈｉｎ、ｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭチップを含むチップのセキュリティレベルより低い。したがって、第１セキュリティレベルは第２セキュリティレベルより低い。

【0027】

第４態様および第４態様の様々な実行可能な実装例に関連して、第３の実行可能な実装例では、ドメインコントローラはＥＣＵリストを格納し、当該ＥＣＵはこのリストに含まれるＥＣＵである。第４態様の第３の実行可能な実装例によれば、ドメインコントローラは、格納されたＥＣＵリストに基づいて、ＥＣＵリストに含まれるＥＣＵのファームウェアダイジェストに対して検証を行うかどうかを監視してよい。

【0028】

第４態様および第４態様の様々な実行可能な実装例に関連して、第４の実行可能な実装例では、ＥＣＵのファームウェアダイジェストはＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる。第４態様の第４の実行可能な実装例によれば、ＥＣＵは、ＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することによりＥＣＵのファームウェアダイジェストを求め、ＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名して、第１署名情報を取得し、第１署名をドメインコントローラに送信してよい。こうして、ドメインコントローラまたはサーバは、ＥＣＵの公開鍵を用いて第１署名情報に対して検証を行い、ＥＣＵのファームウェアが改ざんされていないことを保証することにより、車載システムのセキュリティが向上する。

【0029】

第４態様および第４態様の様々な実行可能な実装例に関連して、第５の実行可能な実装例では、本方法はさらに、ドメインコントローラから第１応答情報を受信する段階を含み、第１応答情報はＥＣＵを起動することを示すのに用いられる。第４態様の第５の実行可能な実装例によれば、ＥＣＵのファームウェアダイジェストに基づいて取得した署名情報が検証された場合、ＥＣＵはドメインコントローラから第１応答情報を受信してよく、ＥＣＵは第１応答情報に基づいて起動する。その後、サーバはＥＣＵにサービスを提供してよい。

【0030】

第５態様によれば、本願の一実施形態が車載システムにおけるセキュリティ保護方法を提供する。本方法は、ドメインコントローラにより行われる。第２セキュリティ保護モジュールがドメインコントローラに配置され、第２セキュリティ保護モジュールは、ドメインコントローラに対してセキュリティ保護を提供するように構成され、第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルである。本方法は、第１署名情報、電子制御ユニットＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをＥＣＵから受信する段階であって、第１署名情報はＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名することにより取得され、ＥＣＵのファームウェアダイジェストはＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる、受信する段階と、第２セキュリティ保護モジュールを用いてドメインコントローラの公開鍵およびドメインコントローラの秘密鍵を生成する段階と、ＥＣＵの公開鍵を用いて第１署名情報に対して検証を行う段階と、第１署名情報が検証された場合、ドメインコントローラの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名し、第２署名情報を取得する段階と、第２署名情報、ドメインコントローラの公開鍵、およびＥＣＵのファームウェアダイジェストをゲートウェイに送信する段階とを含む。

【0031】

第５態様で提供される技術的解決手段によれば、ドメインコントローラはＥＣＵの公開鍵を用いて第１署名情報に対して検証を行い、第１署名情報が検証された後に、ドメインコントローラの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名し、取得した第２署名情報をゲートウェイに送信してよい。こうして、ゲートウェイが第２署名情報に対して検証を行うことにより、車載システムのセキュリティが向上する。

【0032】

第５態様に関連して、第１の実行可能な実装例では、第１セキュリティ保護モジュールがＥＣＵに配置され、第１セキュリティ保護モジュールは、ＥＣＵに対してセキュリティ保護を提供するように構成され、第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルである。第３セキュリティ保護モジュールがゲートウェイに配置され、第３セキュリティ保護モジュールは、ゲートウェイに対してセキュリティ保護を提供するように構成され、第３セキュリティ保護モジュールのセキュリティレベルが第３セキュリティレベルである。第５態様の第１の実行可能な実装例によれば、第１セキュリティ保護モジュールはＥＣＵに配置されてよく、第２セキュリティ保護モジュールはドメインコントローラに配置されてよく、第３セキュリティ保護モジュールはゲートウェイに配置されてよい。そのため、ＥＣＵ、ドメインコントローラ、およびゲートウェイは異なるセキュリティレベルを有する。

【0033】

第５態様の第１の実行可能な実装例に関連して、第２の実行可能な実装例では、第１セキュリティ保護モジュールはデバイス識別子構成エンジンＤＩＣＥを含む。第２セキュリティ保護モジュールは、トラステッドプラットフォームモジュールシンＴＰＭ－Ｔｈｉｎ、埋め込み型セキュアエレメントｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュールＨＳＭを含むチップを内蔵する。第３セキュリティ保護モジュールは、トラステッドプラットフォームモジュールリッチＴＰＭ－Ｒｉｃｈ、ｅＳＥ、物理的に分離されたＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを内蔵する。第５態様の第２の実行可能な実装例によれば、ＤＩＣＥのセキュリティレベルは、ＴＰＭ－Ｔｈｉｎ、ｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップのセキュリティレベルより低く、ＴＰＭ－Ｔｈｉｎ、ｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップのセキュリティレベルは、ＴＰＭ－Ｒｉｃｈのセキュリティレベルより低い。したがって、第１セキュリティレベルは第２セキュリティレベルより低く、第２セキュリティレベルは第３セキュリティレベルより低いまたはこれに等しい。

【0034】

第５態様および第５態様の様々な実行可能な実装例に関連して、第３の実行可能な実装例では、ドメインコントローラはＥＣＵリストを格納し、当該ＥＣＵはリストに含まれるＥＣＵである。第５態様の第３の実行可能な実装例によれば、ドメインコントローラは、格納されたＥＣＵリストに基づいて、ＥＣＵリストに含まれるＥＣＵのファームウェアダイジェストに対して検証を行うかどうかを監視してよい。

【0035】

第５態様および第５態様の様々な実行可能な実装例に関連して、第４の実行可能な実装例では、本方法はさらに、ゲートウェイから第１応答情報を受信する段階であって、第１応答情報はＥＣＵを起動することを示すのに用いられる、受信する段階と、第１応答情報をＥＣＵに送信する段階とを含む。第５態様の第４の実行可能な実装例によれば、ＥＣＵのファームウェアダイジェストに基づいて取得した署名情報が検証された場合、ドメインコントローラは第１応答情報をゲートウェイから受信してよい。これにより、ドメインコントローラは第１応答情報をＥＣＵに送信し、ＥＣＵは第１応答情報に基づいて起動する。その後、サーバはＥＣＵにサービスを提供してよい。

【0036】

第６態様によれば、本願の一実施形態が車載システムにおけるセキュリティ保護方法を提供する。本方法は、ゲートウェイにより行われる。第３セキュリティ保護モジュールがゲートウェイに配置され、第３セキュリティ保護モジュールは、ゲートウェイに対してセキュリティ保護を提供するように構成され、第３セキュリティ保護モジュールのセキュリティレベルが第３セキュリティレベルである。本方法は、第２署名情報、ドメインコントローラの公開鍵、およびＥＣＵのファームウェアダイジェストをドメインコントローラから受信する段階であって、第２署名情報はドメインコントローラの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名することにより取得され、ＥＣＵのファームウェアダイジェストはＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる、受信する段階と、第３セキュリティ保護モジュールを用いてゲートウェイの公開鍵およびゲートウェイの秘密鍵を生成する段階と、ドメインコントローラの公開鍵を用いて第２署名情報に対して検証を行う段階と、第２署名情報が検証された場合、ゲートウェイの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名し、第３署名情報を取得する段階と、第３署名情報、ゲートウェイの公開鍵、およびＥＣＵのファームウェアダイジェストをサーバに送信する段階とを含む。

【0037】

第６態様で提供される技術的解決手段によれば、ゲートウェイはドメインコントローラの公開鍵を用いて第２署名情報に対して検証を行い、第２署名情報が検証された後に、ゲートウェイの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名して、取得した第３署名情報をサーバに送信してよい。こうして、サーバが第３署名情報に対して検証を行うことにより、車載システムのセキュリティが向上する。

【0038】

第６態様に関連して、第１の実行可能な実装例では、第２セキュリティ保護モジュールがドメインコントローラに配置され、第２セキュリティ保護モジュールは、ドメインコントローラに対してセキュリティ保護を提供するように構成され、第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルである。第６態様の第１の実行可能な実装例によれば、第２セキュリティ保護モジュールはドメインコントローラに配置されてよく、第３セキュリティ保護モジュールはゲートウェイに配置されてよい。そのため、ドメインコントローラおよびゲートウェイは異なるセキュリティレベルを有する。

【0039】

第６態様の第１の実行可能な実装例に関連して、第２の実行可能な実装例では、第２セキュリティ保護モジュールは、トラステッドプラットフォームモジュールシンＴＰＭ－Ｔｈｉｎ、埋め込み型セキュアエレメントｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュールＨＳＭを含むチップを内蔵する。第３セキュリティ保護モジュールは、トラステッドプラットフォームモジュールリッチＴＰＭ－Ｒｉｃｈ、ｅＳＥ、物理的に分離されたＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを内蔵する。第６態様の第２の実行可能な実装例によれば、ＴＰＭ－Ｔｈｉｎ、ｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭチップを含むチップのセキュリティレベルが、ＴＰＭ－Ｒｉｃｈのセキュリティレベルより低い。したがって、第２セキュリティレベルは第３セキュリティレベルより低いまたはこれに等しい。

【0040】

第６態様および第６態様の様々な実行可能な実装例に関連して、第３の実行可能な実装例では、ドメインコントローラはＥＣＵリストを格納し、当該ＥＣＵはリストに含まれるＥＣＵである。第６態様の第３の実行可能な実装例によれば、ドメインコントローラは、格納されたＥＣＵリストに基づいて、ＥＣＵリストに含まれるＥＣＵのファームウェアダイジェストに対して検証を行うかどうかを監視してよい。

【0041】

第６態様および第６態様の様々な実行可能な実装例に関連して、第４の実行可能な実装例では、本方法はさらに、サーバから第１応答情報を受信する段階であって、第１応答情報はＥＣＵを起動することを示すのに用いられる、受信する段階と、第１応答情報をドメインコントローラに送信する段階とを含む。第６態様の第４の実行可能な実装例によれば、ＥＣＵのファームウェアダイジェストに基づいて取得した署名情報が検証された場合、ゲートウェイは第１応答情報をサーバから受信してよい。これにより、ゲートウェイはドメインコントローラを介して第１応答情報をＥＣＵに送信し、ＥＣＵは第１応答情報に基づいて起動する。その後、サーバはＥＣＵにサービスを提供してよい。

【0042】

第７態様によれば、本願の一実施形態が車載システムにおけるセキュリティ保護方法を提供する。本方法は、ドメインコントローラにより行われる。第２セキュリティ保護モジュールがドメインコントローラに配置され、第２セキュリティ保護モジュールは、ドメインコントローラに対してセキュリティ保護を提供するように構成され、第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルである。本方法は、第１署名情報、電子制御ユニットＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをＥＣＵから受信する段階であって、第１署名情報はＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名することにより取得され、ＥＣＵのファームウェアダイジェストはＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる、受信する段階と、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをゲートウェイに送信する段階とを含む。

【0043】

第７態様で提供される技術的解決手段によれば、ドメインコントローラは第１署名情報をゲートウェイに送信してよい。これにより、ゲートウェイが第１署名情報をサーバに送信し、サーバが第１署名情報に対して検証を行うことにより、車載システムのセキュリティが向上する。

【0044】

第７態様に関連して、第１の実行可能な実装例では、第１セキュリティ保護モジュールがＥＣＵに配置され、第１セキュリティ保護モジュールは、ＥＣＵに対してセキュリティ保護を提供するように構成され、第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルである。第３セキュリティ保護モジュールがゲートウェイに配置され、第３セキュリティ保護モジュールは、ゲートウェイに対してセキュリティ保護を提供するように構成され、第３セキュリティ保護モジュールのセキュリティレベルが第３セキュリティレベルである。第７態様の第１の実行可能な実装例によれば、第１セキュリティ保護モジュールはＥＣＵに配置されてよく、第２セキュリティ保護モジュールはドメインコントローラに配置されてよく、第３セキュリティ保護モジュールはゲートウェイに配置されてよい。そのため、ＥＣＵ、ドメインコントローラ、およびゲートウェイは異なるセキュリティレベルを有する。

【0045】

第７態様の第１の実行可能な実装例に関連して、第２の実行可能な実装例では、第１セキュリティ保護モジュールはデバイス識別子構成エンジンＤＩＣＥを含む。第２セキュリティ保護モジュールは、トラステッドプラットフォームモジュールシンＴＰＭ－Ｔｈｉｎ、埋め込み型セキュアエレメントｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュールＨＳＭを含むチップを内蔵する。第３セキュリティ保護モジュールは、トラステッドプラットフォームモジュールリッチＴＰＭ－Ｒｉｃｈ、ｅＳＥ、物理的に分離されたＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを内蔵する。第７態様の第２の実行可能な実装例によれば、ＤＩＣＥのセキュリティレベルは、ＴＰＭ－Ｔｈｉｎ、ｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップのセキュリティレベルより低く、ＴＰＭ－Ｔｈｉｎ、ｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップのセキュリティレベルは、ＴＰＭ－Ｒｉｃｈのセキュリティレベルより低い。したがって、第１セキュリティレベルは第２セキュリティレベルより低く、第２セキュリティレベルは第３セキュリティレベルより低いまたはこれに等しい。

【0046】

第７態様および第７態様の様々な実行可能な実装例に関連して、第３の実行可能な実装例では、ドメインコントローラはＥＣＵリストを格納し、当該ＥＣＵはリストに含まれるＥＣＵである。第７態様の第３の実行可能な実装例によれば、ドメインコントローラは、格納されたＥＣＵリストに基づいて、ＥＣＵリストに含まれるＥＣＵのファームウェアダイジェストに対して検証を行うかどうかを監視してよい。

【0047】

第７態様および第７態様の様々な実行可能な実装例に関連して、第４の実行可能な実装例では、本方法はさらに、ゲートウェイから第１応答情報を受信する段階であって、第１応答情報はＥＣＵを起動することを示すのに用いられる、受信する段階と、第１応答情報をＥＣＵに送信する段階とを含む。第７態様の第４の実行可能な実装例によれば、ＥＣＵのファームウェアダイジェストに基づいて取得した署名情報が検証された場合、ドメインコントローラは第１応答情報をゲートウェイから受信してよい。これにより、ドメインコントローラは第１応答情報をＥＣＵに送信し、ＥＣＵは第１応答情報に基づいて起動する。その後、サーバはＥＣＵにサービスを提供してよい。

【0048】

第８態様によれば、本願の一実施形態が車載システムにおけるセキュリティ保護方法を提供する。本方法は、ゲートウェイにより行われる。第３セキュリティ保護モジュールがゲートウェイに配置され、第３セキュリティ保護モジュールは、ゲートウェイに対してセキュリティ保護を提供するように構成され、第３セキュリティ保護モジュールのセキュリティレベルが第３セキュリティレベルである。本方法は、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをドメインコントローラから受信する段階であって、第１署名情報はＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名することにより取得され、ＥＣＵのファームウェアダイジェストはＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる、受信する段階と、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをサーバに送信する段階とを含む。

【0049】

第８態様で提供される技術的解決手段によれば、ゲートウェイは第１署名情報をサーバに送信してよい。こうして、サーバが第１署名情報に対して検証を行うことにより、車載システムのセキュリティが向上する。

【0050】

第８態様に関連して、第１の実行可能な実装例では、第２セキュリティ保護モジュールがドメインコントローラに配置され、第２セキュリティ保護モジュールは、ドメインコントローラに対してセキュリティ保護を提供するように構成され、第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルである。第８態様の第１の実行可能な実装例によれば、第２セキュリティ保護モジュールはドメインコントローラに配置されてよく、第３セキュリティ保護モジュールはゲートウェイに配置されてよい。そのため、ドメインコントローラおよびゲートウェイは異なるセキュリティレベルを有する。

【0051】

第８態様の第１の実行可能な実装例に関連して、第２の実行可能な実装例では、第２セキュリティ保護モジュールは、トラステッドプラットフォームモジュールシンＴＰＭ－Ｔｈｉｎ、埋め込み型セキュアエレメントｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュールＨＳＭを含むチップを内蔵する。第３セキュリティ保護モジュールは、トラステッドプラットフォームモジュールリッチＴＰＭ－Ｒｉｃｈ、ｅＳＥ、物理的に分離されたＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを内蔵する。第８態様の第２の実行可能な実装例によれば、ＴＰＭ－Ｔｈｉｎ、ｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭチップを含むチップのセキュリティレベルが、ＴＰＭ－Ｒｉｃｈのセキュリティレベルより低い。したがって、第２セキュリティレベルは第３セキュリティレベルより低いまたはこれに等しい。

【0052】

第８態様および第８態様の様々な実行可能な実装例に関連して、第３の実行可能な実装例では、ドメインコントローラはＥＣＵリストを格納し、当該ＥＣＵはリストに含まれるＥＣＵである。第８態様の第３の実行可能な実装例によれば、ドメインコントローラは、格納されたＥＣＵリストに基づいて、ＥＣＵリストに含まれるＥＣＵのファームウェアダイジェストに対して検証を行うかどうかを監視してよい。

【0053】

第８態様および第８態様の様々な実行可能な実装例に関連して、第４の実行可能な実装例では、本方法はさらに、サーバから第１応答情報を受信する段階であって、第１応答情報はＥＣＵを起動することを示すのに用いられる、受信する段階と、第１応答情報をドメインコントローラに送信する段階とを含む。第８態様の第４の実行可能な実装例によれば、ＥＣＵのファームウェアダイジェストに基づいて取得した署名情報が検証された場合、ゲートウェイは第１応答情報をサーバから受信してよい。これにより、ゲートウェイはドメインコントローラを介して第１応答情報をＥＣＵに送信し、ＥＣＵは第１応答情報に基づいて起動する。その後、サーバはＥＣＵにサービスを提供してよい。

【0054】

第９態様によれば、本願の一実施形態が車載セキュリティ保護システムを提供する。車載セキュリティ保護システムは、第２態様で説明した方法および機能を実装する機能を有する。この機能は、ハードウェアで実装されてもよく、またはハードウェアが対応するソフトウェアを実行することにより実装されてもよい。ハードウェアまたはソフトウェアは、この機能に対応する１つまたは複数のモジュールを含む。

【0055】

第１０態様によれば、本願の一実施形態が車載セキュリティ保護システムを提供する。車載セキュリティ保護システムは、第３態様で説明した方法および機能を実装する機能を有する。この機能は、ハードウェアで実装されてもよく、またはハードウェアが対応するソフトウェアを実行することにより実装されてもよい。ハードウェアまたはソフトウェアは、この機能に対応する１つまたは複数のモジュールを含む。

【0056】

第１１態様によれば、本願の一実施形態が電子制御ユニットＥＣＵを提供する。第１セキュリティ保護モジュールがＥＣＵに配置され、第１セキュリティ保護モジュールは、ＥＣＵに対してセキュリティ保護を提供するように構成され、第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルである。ＥＣＵは、生成モジュール、署名モジュール、および送信モジュールを含む。生成モジュールは、第１セキュリティ保護モジュールを用いてＥＣＵの公開鍵およびＥＣＵの秘密鍵を生成するように構成される。署名モジュールは、ＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名して、第１署名情報を取得するように構成され、ＥＣＵのファームウェアダイジェストはＥＣＵのファームウェアを計算することにより求められる。送信モジュールは、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをドメインコントローラに送信するように構成される。

【0057】

第１１態様で提供される技術的解決手段によれば、ＥＣＵは、ＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名し、取得した第１署名情報をドメインコントローラに送信してよい。こうして、ドメインコントローラが第１署名情報に対して検証を行うことにより、車載システムのセキュリティが向上する。

【0058】

第１１態様に関連して、第１の実行可能な実装例では、第２セキュリティ保護モジュールがドメインコントローラに配置され、第２セキュリティ保護モジュールは、ドメインコントローラに対してセキュリティ保護を提供するように構成され、第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルである。第１１態様の第１の実行可能な実装例によれば、第２セキュリティ保護モジュールはドメインコントローラに配置されてよい。そのため、ドメインコントローラのセキュリティレベルがＥＣＵのセキュリティレベルと異なる。

【0059】

第１１態様の第１の実行可能な実装例に関連して、第２の実行可能な実装例では、第１セキュリティ保護モジュールはデバイス識別子構成エンジンＤＩＣＥを含む。第２セキュリティ保護モジュールは、トラステッドプラットフォームモジュールシンＴＰＭ－Ｔｈｉｎ、埋め込み型セキュアエレメントｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを内蔵する。第１１態様の第２の実行可能な実装例によれば、ＤＩＣＥのセキュリティレベルは、ＴＰＭ－Ｔｈｉｎ、ｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭチップを含むチップのセキュリティレベルより低い。したがって、第１セキュリティレベルは第２セキュリティレベルより低い。

【0060】

第１１態様および第１１態様の様々な実行可能な実装例に関連して、第３の実行可能な実装例では、ドメインコントローラはＥＣＵリストを格納し、当該ＥＣＵはこのリストに含まれるＥＣＵである。第１１態様の第３の実行可能な実装例によれば、ドメインコントローラは、格納されたＥＣＵリストに基づいて、ＥＣＵリストに含まれるＥＣＵのファームウェアダイジェストに対して検証を行うかどうかを監視してよい。

【0061】

第１１態様および第１１態様の様々な実行可能な実装例に関連して、第４の実行可能な実装例では、ＥＣＵのファームウェアダイジェストはＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる。第１１態様の第４の実行可能な実装例によれば、ＥＣＵは、ＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することによりＥＣＵのファームウェアダイジェストを求め、ＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名して、第１署名情報を取得し、第１署名をドメインコントローラに送信してよい。こうして、ドメインコントローラまたはサーバは、ＥＣＵの公開鍵を用いて第１署名情報に対して検証を行い、ＥＣＵのファームウェアが改ざんされていないことを保証することにより、車載システムのセキュリティが向上する。

【0062】

第１１態様および第１１態様の様々な実行可能な実装例に関連して、第５の実行可能な実装例では、ＥＣＵはさらに、ドメインコントローラから第１応答情報を受信するように構成された受信モジュールを含み、第１応答情報はＥＣＵを起動することを示すのに用いられる。第１１態様の第５の実行可能な実装例によれば、ＥＣＵのファームウェアダイジェストに基づいて取得した署名情報が検証された場合、ＥＣＵはドメインコントローラから第１応答情報を受信してよく、ＥＣＵは第１応答情報に基づいて起動する。その後、サーバはＥＣＵにサービスを提供してよい。

【0063】

第１２態様によれば、本願の一実施形態がドメインコントローラを提供する。第２セキュリティ保護モジュールがドメインコントローラに配置され、第２セキュリティ保護モジュールは、ドメインコントローラに対してセキュリティ保護を提供するように構成され、第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルである。ドメインコントローラは、受信モジュール、生成モジュール、検証モジュール、署名モジュール、および送信モジュールを含む。受信モジュールは、第１署名情報、電子制御ユニットＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをＥＣＵから受信するように構成されており、第１署名情報はＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名することにより取得され、ＥＣＵのファームウェアダイジェストはＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる。生成モジュールは、第２セキュリティ保護モジュールを用いてドメインコントローラの公開鍵およびドメインコントローラの秘密鍵を生成するように構成される。検証モジュールは、ＥＣＵの公開鍵を用いて第１署名情報に対して検証を行うように構成される。署名モジュールは、第１署名情報が検証された場合、ドメインコントローラの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名して、第２署名情報を取得するように構成される。送信モジュールは、第２署名情報、ドメインコントローラの公開鍵、およびＥＣＵのファームウェアダイジェストをゲートウェイに送信するように構成される。

【0064】

第１２態様で提供される技術的解決手段によれば、ドメインコントローラはＥＣＵの公開鍵を用いて第１署名情報に対して検証を行い、第１署名情報が検証された後に、ドメインコントローラの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名し、取得した第２署名情報をゲートウェイに送信してよい。こうして、ゲートウェイが第２署名情報に対して検証を行うことにより、車載システムのセキュリティが向上する。

【0065】

第１２態様に関連して、第１の実行可能な実装例では、第１セキュリティ保護モジュールがＥＣＵに配置され、第１セキュリティ保護モジュールは、ＥＣＵに対してセキュリティ保護を提供するように構成され、第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルである。第３セキュリティ保護モジュールがゲートウェイに配置され、第３セキュリティ保護モジュールは、ゲートウェイに対してセキュリティ保護を提供するように構成され、第３セキュリティ保護モジュールのセキュリティレベルが第３セキュリティレベルである。第１２態様の第１の実行可能な実装例によれば、第１セキュリティ保護モジュールはＥＣＵに配置されてよく、第２セキュリティ保護モジュールはドメインコントローラに配置されてよく、第３セキュリティ保護モジュールはゲートウェイに配置されてよい。そのため、ＥＣＵ、ドメインコントローラ、およびゲートウェイは異なるセキュリティレベルを有する。

【0066】

第１２態様の第１の実行可能な実装例に関連して、第２の実行可能な実装例では、第１セキュリティ保護モジュールはデバイス識別子構成エンジンＤＩＣＥを含む。第２セキュリティ保護モジュールは、トラステッドプラットフォームモジュールシンＴＰＭ－Ｔｈｉｎ、埋め込み型セキュアエレメントｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュールＨＳＭを含むチップを内蔵する。第３セキュリティ保護モジュールは、トラステッドプラットフォームモジュールリッチＴＰＭ－Ｒｉｃｈ、ｅＳＥ、物理的に分離されたＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを内蔵する。第１２態様の第２の実行可能な実装例によれば、ＤＩＣＥのセキュリティレベルは、ＴＰＭ－Ｔｈｉｎ、ｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップのセキュリティレベルより低く、ＴＰＭ－Ｔｈｉｎ、ｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップのセキュリティレベルは、ＴＰＭ－Ｒｉｃｈのセキュリティレベルより低い。したがって、第１セキュリティレベルは第２セキュリティレベルより低く、第２セキュリティレベルは第３セキュリティレベルより低いまたはこれに等しい。

【0067】

第１２態様および第１２態様の様々な実行可能な実装例に関連して、第３の実行可能な実装例では、ドメインコントローラはＥＣＵリストを格納し、当該ＥＣＵはリストに含まれるＥＣＵである。第１２態様の第３の実行可能な実装例によれば、ドメインコントローラは、格納されたＥＣＵリストに基づいて、ＥＣＵリストに含まれるＥＣＵのファームウェアダイジェストに対して検証を行うかどうかを監視してよい。

【0068】

第１２態様および第１２態様の様々な実行可能な実装例に関連して、第４の実行可能な実装例では、受信モジュールはさらに、ゲートウェイから第１応答情報を受信するように構成され、第１応答情報はＥＣＵを起動することを示すのに用いられ、また送信モジュールはさらに、第１応答情報をＥＣＵに送信するように構成される。第１２態様の第４の実行可能な実装例によれば、ＥＣＵのファームウェアダイジェストに基づいて取得した署名情報が検証された場合、ドメインコントローラは第１応答情報をゲートウェイから受信してよい。これにより、ドメインコントローラは第１応答情報をＥＣＵに送信し、ＥＣＵは第１応答情報に基づいて起動する。その後、サーバはＥＣＵにサービスを提供してよい。

【0069】

第１３態様によれば、本願の一実施形態がゲートウェイを提供する。第３セキュリティ保護モジュールがゲートウェイに配置され、第３セキュリティ保護モジュールは、ゲートウェイに対してセキュリティ保護を提供するように構成され、第３セキュリティ保護モジュールのセキュリティレベルが第３セキュリティレベルである。ゲートウェイは、受信モジュール、生成モジュール、検証モジュール、署名モジュール、および送信モジュールを含む。受信モジュールは、第２署名情報、ドメインコントローラの公開鍵、およびＥＣＵのファームウェアダイジェストをドメインコントローラから受信するように構成され、第２署名情報はドメインコントローラの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名することにより取得され、ＥＣＵのファームウェアダイジェストはＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる。生成モジュールは、第３セキュリティ保護モジュールを用いてゲートウェイの公開鍵およびゲートウェイの秘密鍵を生成するように構成される。検証モジュールは、ドメインコントローラの公開鍵を用いて第２署名情報に対して検証を行うように構成される。署名モジュールは、第２署名情報が検証された場合、ゲートウェイの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名して、第３署名情報を取得するように構成される。送信モジュールは、第３署名情報、ゲートウェイの公開鍵、およびＥＣＵのファームウェアダイジェストをサーバに送信するように構成される。

【0070】

第１３態様で提供される技術的解決手段によれば、ゲートウェイはドメインコントローラの公開鍵を用いて第２署名情報に対して検証を行い、第２署名情報が検証された後に、ゲートウェイの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名して、取得した第３署名情報をサーバに送信してよい。こうして、サーバが第３署名情報に対して検証を行うことにより、車載システムのセキュリティが向上する。

【0071】

第１３態様に関連して、第１の実行可能な実装例では、第２セキュリティ保護モジュールがドメインコントローラに配置され、第２セキュリティ保護モジュールは、ドメインコントローラに対してセキュリティ保護を提供するように構成され、第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルである。第１３態様の第１の実行可能な実装例によれば、第２セキュリティ保護モジュールはドメインコントローラに配置されてよく、第３セキュリティ保護モジュールはゲートウェイに配置されてよい。そのため、ドメインコントローラおよびゲートウェイは異なるセキュリティレベルを有する。

【0072】

第１３態様の第１の実行可能な実装例に関連して、第２の実行可能な実装例では、第２セキュリティ保護モジュールは、トラステッドプラットフォームモジュールシンＴＰＭ－Ｔｈｉｎ、埋め込み型セキュアエレメントｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュールＨＳＭを含むチップを内蔵する。第３セキュリティ保護モジュールは、トラステッドプラットフォームモジュールリッチＴＰＭ－Ｒｉｃｈ、ｅＳＥ、物理的に分離されたＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを内蔵する。第１３態様の第２の実行可能な実装例によれば、ＴＰＭ－Ｔｈｉｎ、ｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭチップを含むチップのセキュリティレベルが、ＴＰＭ－Ｒｉｃｈのセキュリティレベルより低い。したがって、第２セキュリティレベルは第３セキュリティレベルより低いまたはこれに等しい。

【0073】

第１３態様および第１３態様の様々な実行可能な実装例に関連して、第３の実行可能な実装例では、ドメインコントローラはＥＣＵリストを格納し、当該ＥＣＵはリストに含まれるＥＣＵである。第１３態様の第３の実行可能な実装例によれば、ドメインコントローラは、格納されたＥＣＵリストに基づいて、ＥＣＵリストに含まれるＥＣＵのファームウェアダイジェストに対して検証を行うかどうかを監視してよい。

【0074】

第１３態様および第１３態様の様々な実行可能な実装例に関連して、第４の実行可能な実装例では、受信モジュールはさらに、サーバから第１応答情報を受信するように構成され、第１応答情報はＥＣＵを起動することを示すのに用いられ、また送信モジュールはさらに、第１応答情報をドメインコントローラに送信するように構成される。第１３態様の第４の実行可能な実装例によれば、ＥＣＵのファームウェアダイジェストに基づいて取得した署名情報が検証された場合、ゲートウェイは第１応答情報をサーバから受信してよい。これにより、ゲートウェイはドメインコントローラを介して第１応答情報をＥＣＵに送信し、ＥＣＵは第１応答情報に基づいて起動する。その後、サーバはＥＣＵにサービスを提供してよい。

【0075】

第１４態様によれば、本願の一実施形態がドメインコントローラを提供する。第２セキュリティ保護モジュールがドメインコントローラに配置され、第２セキュリティ保護モジュールは、ドメインコントローラに対してセキュリティ保護を提供するように構成され、第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルである。ドメインコントローラは、受信モジュールおよび送信モジュールを含む。受信モジュールは、第１署名情報、電子制御ユニットＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをＥＣＵから受信するように構成されており、第１署名情報はＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名することにより取得され、ＥＣＵのファームウェアダイジェストはＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる。送信モジュールは、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをゲートウェイに送信するように構成される。

【0076】

第１４態様で提供される技術的解決手段によれば、ドメインコントローラは第１署名情報をゲートウェイに送信してよい。こうして、ゲートウェイが第１署名情報をサーバに送信し、サーバが第１署名情報に対して検証を行うことにより、車載システムのセキュリティが向上する。

【0077】

第１４態様に関連して、第１の実行可能な実装例では、第１セキュリティ保護モジュールがＥＣＵに配置され、第１セキュリティ保護モジュールは、ＥＣＵに対してセキュリティ保護を提供するように構成され、第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルである。第３セキュリティ保護モジュールがゲートウェイに配置され、第３セキュリティ保護モジュールは、ゲートウェイに対してセキュリティ保護を提供するように構成され、第３セキュリティ保護モジュールのセキュリティレベルが第３セキュリティレベルである。第１４態様の第１の実行可能な実装例によれば、第１セキュリティ保護モジュールはＥＣＵに配置されてよく、第２セキュリティ保護モジュールはドメインコントローラに配置されてよく、第３セキュリティ保護モジュールはゲートウェイに配置されてよい。そのため、ＥＣＵ、ドメインコントローラ、およびゲートウェイは異なるセキュリティレベルを有する。

【0078】

第１４態様の第１の実行可能な実装例に関連して、第２の実行可能な実装例では、第１セキュリティ保護モジュールはデバイス識別子構成エンジンＤＩＣＥを含む。第２セキュリティ保護モジュールは、トラステッドプラットフォームモジュールシンＴＰＭ－Ｔｈｉｎ、埋め込み型セキュアエレメントｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュールＨＳＭを含むチップを内蔵する。第３セキュリティ保護モジュールは、トラステッドプラットフォームモジュールリッチＴＰＭ－Ｒｉｃｈ、ｅＳＥ、物理的に分離されたＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを内蔵する。第１４態様の第２の実行可能な実装例によれば、ＤＩＣＥのセキュリティレベルは、ＴＰＭ－Ｔｈｉｎ、ｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップのセキュリティレベルより低く、ＴＰＭ－Ｔｈｉｎ、ｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップのセキュリティレベルは、ＴＰＭ－Ｒｉｃｈのセキュリティレベルより低い。したがって、第１セキュリティレベルは第２セキュリティレベルより低く、第２セキュリティレベルは第３セキュリティレベルより低いまたはこれに等しい。

【0079】

第１４態様および第１４態様の様々な実行可能な実装例に関連して、第３の実行可能な実装例では、ドメインコントローラはＥＣＵリストを格納し、当該ＥＣＵはリストに含まれるＥＣＵである。第１４態様の第３の実行可能な実装例によれば、ドメインコントローラは、格納されたＥＣＵリストに基づいて、ＥＣＵリストに含まれるＥＣＵのファームウェアダイジェストに対して検証を行うかどうかを監視してよい。

【0080】

第１４態様および第１４態様の様々な実行可能な実装例に関連して、第４の実行可能な実装例では、受信モジュールは、ゲートウェイから第１応答情報を受信するように構成され、第１応答情報はＥＣＵを起動することを示すのに用いられ、また送信モジュールは第１応答情報をＥＣＵに送信するように構成される。第１４態様の第４の実行可能な実装例によれば、ＥＣＵのファームウェアダイジェストに基づいて取得した署名情報が検証された場合、ドメインコントローラは第１応答情報をゲートウェイから受信してよい。これにより、ドメインコントローラは第１応答情報をＥＣＵに送信し、ＥＣＵは第１応答情報に基づいて起動する。その後、サーバはＥＣＵにサービスを提供してよい。

【0081】

第１５態様によれば、本願の一実施形態がゲートウェイを提供する。第３セキュリティ保護モジュールがゲートウェイに配置され、第３セキュリティ保護モジュールは、ゲートウェイに対してセキュリティ保護を提供するように構成され、第３セキュリティ保護モジュールのセキュリティレベルが第３セキュリティレベルである。ゲートウェイは、受信モジュールおよび送信モジュールを含む。受信モジュールは、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをドメインコントローラから受信するように構成され、第１署名情報はＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名することにより取得され、ＥＣＵのファームウェアダイジェストはＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる。送信モジュールは、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをサーバに送信するように構成される。

【0082】

第１５態様で提供される技術的解決手段によれば、ゲートウェイは第１署名情報をサーバに送信してよい。こうして、サーバが第１署名情報に対して検証を行うことにより、車載システムのセキュリティが向上する。

【0083】

第１５態様に関連して、第１の実行可能な実装例では、第２セキュリティ保護モジュールがドメインコントローラに配置され、第２セキュリティ保護モジュールは、ドメインコントローラに対してセキュリティ保護を提供するように構成され、第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルである。第１５態様の第１の実行可能な実装例によれば、第２セキュリティ保護モジュールはドメインコントローラに配置されてよく、第３セキュリティ保護モジュールはゲートウェイに配置されてよい。そのため、ドメインコントローラおよびゲートウェイは異なるセキュリティレベルを有する。

【0084】

第１５態様の第１の実行可能な実装例に関連して、第２の実行可能な実装例では、第２セキュリティ保護モジュールは、トラステッドプラットフォームモジュールシンＴＰＭ－Ｔｈｉｎ、埋め込み型セキュアエレメントｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュールＨＳＭを含むチップを内蔵する。第３セキュリティ保護モジュールは、トラステッドプラットフォームモジュールリッチＴＰＭ－Ｒｉｃｈ、ｅＳＥ、物理的に分離されたＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを内蔵する。第１５態様の第２の実行可能な実装例によれば、ＴＰＭ－Ｔｈｉｎ、ｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭチップを含むチップのセキュリティレベルが、ＴＰＭ－Ｒｉｃｈのセキュリティレベルより低い。したがって、第２セキュリティレベルは第３セキュリティレベルより低いまたはこれに等しい。

【0085】

第１５態様および第１５態様の様々な実行可能な実装例に関連して、第３の実行可能な実装例では、ドメインコントローラはＥＣＵリストを格納し、当該ＥＣＵはリストに含まれるＥＣＵである。第１５態様の第３の実行可能な実装例によれば、ドメインコントローラは、格納されたＥＣＵリストに基づいて、ＥＣＵリストに含まれるＥＣＵのファームウェアダイジェストに対して検証を行うかどうかを監視してよい。

【0086】

第１５態様および第１５態様の様々な実行可能な実装例に関連して、第４の実行可能な実装例では、受信モジュールはさらに、サーバから第１応答情報を受信するように構成され、第１応答情報はＥＣＵを起動することを示すのに用いられ、また送信モジュールは、第１応答情報をドメインコントローラに送信するように構成される。第１５態様の第４の実行可能な実装例によれば、ＥＣＵのファームウェアダイジェストに基づいて取得した署名情報が検証された場合、ゲートウェイは第１応答情報をサーバから受信してよい。これにより、ゲートウェイはドメインコントローラを介して第１応答情報をＥＣＵに送信し、ＥＣＵは第１応答情報に基づいて起動する。その後、サーバはＥＣＵにサービスを提供してよい。

【0087】

第１６態様によれば、本願の一実施形態が電子制御ユニットＥＣＵを提供する。ＥＣＵは、少なくとも１つのプロセッサ、少なくとも１つのメモリ、および通信インタフェースを含む。通信インタフェースおよび少なくとも１つのメモリは、少なくとも１つのプロセッサに結合される。ＥＣＵは、通信インタフェースを介して別のデバイスと通信する。少なくとも１つのメモリはコンピュータプログラムを格納するように構成される。そのため、コンピュータプログラムが少なくとも１つのプロセッサにより実行されると、第４態様および第４態様の実行可能な実装例による車載システムにおけるセキュリティ保護方法が実施される。

【0088】

第１７態様によれば、本願の一実施形態がドメインコントローラを提供する。ドメインコントローラは、少なくとも１つのプロセッサ、少なくとも１つのメモリ、および通信インタフェースを含む。通信インタフェースおよび少なくとも１つのメモリは、少なくとも１つのプロセッサに結合される。ドメインコントローラは、通信インタフェースを介して別のデバイスと通信する。少なくとも１つのメモリはコンピュータプログラムを格納するように構成される。そのため、コンピュータプログラムが少なくとも１つのプロセッサにより実行されると、第５態様および第５態様の実行可能な実装例による車載システムにおけるセキュリティ保護方法が実施される。

【0089】

第１８態様によれば、本願の一実施形態がゲートウェイを提供する。ゲートウェイは、少なくとも１つのプロセッサ、少なくとも１つのメモリ、および通信インタフェースを含む。通信インタフェースおよび少なくとも１つのメモリは、少なくとも１つのプロセッサに結合される。ゲートウェイは、通信インタフェースを介して別のデバイスと通信する。少なくとも１つのメモリはコンピュータプログラムを格納するように構成される。そのため、コンピュータプログラムが少なくとも１つのプロセッサにより実行されると、第６態様および第６態様の実行可能な実装例による車載システムにおけるセキュリティ保護方法が実施される。

【0090】

第１９態様によれば、本願の一実施形態がドメインコントローラを提供する。ドメインコントローラは、少なくとも１つのプロセッサ、少なくとも１つのメモリ、および通信インタフェースを含む。通信インタフェースおよび少なくとも１つのメモリは、少なくとも１つのプロセッサに結合される。ドメインコントローラは、通信インタフェースを介して別のデバイスと通信する。少なくとも１つのメモリはコンピュータプログラムを格納するように構成される。そのため、コンピュータプログラムが少なくとも１つのプロセッサにより実行されると、第７態様および第７態様の実行可能な実装例による車載システムにおけるセキュリティ保護方法が実施される。

【0091】

第２０態様によれば、本願の一実施形態がゲートウェイを提供する。ゲートウェイは、少なくとも１つのプロセッサ、少なくとも１つのメモリ、および通信インタフェースを含む。通信インタフェースおよび少なくとも１つのメモリは、少なくとも１つのプロセッサに結合される。ゲートウェイは、通信インタフェースを介して別のデバイスと通信する。少なくとも１つのメモリはコンピュータプログラムを格納するように構成される。そのため、コンピュータプログラムが少なくとも１つのプロセッサにより実行されると、第８態様および第８態様の実行可能な実装例による車載システムにおけるセキュリティ保護方法が実施される。

【0092】

第２１態様によれば、本願がシステムチップを提供する。システムチップは電子制御ユニットＥＣＵに用いられてよく、システムチップは少なくとも１つのプロセッサを含み、少なくとも１つのプロセッサでは関連するプログラム命令が実行され、第４態様および第４態様のいずれかの設計における方法に従ってＥＣＵの機能が実装される。任意選択的に、システムチップはさらに少なくとも１つのメモリを含んでよく、メモリは関連するプログラム命令を格納する。

【0093】

第２２態様によれば、本願がシステムチップを提供する。システムチップはドメインコントローラに用いられてよく、システムチップは少なくとも１つのプロセッサを含み、少なくとも１つのプロセッサでは関連するプログラム命令が実行され、第５態様および第５態様のいずれかの設計における方法に従ってドメインコントローラの機能が実装される。任意選択的に、システムチップはさらに少なくとも１つのメモリを含んでよく、メモリは関連するプログラム命令を格納する。

【0094】

第２３態様によれば、本願がシステムチップを提供する。システムチップはゲートウェイに用いられてよく、システムチップは少なくとも１つのプロセッサを含み、少なくとも１つのプロセッサでは関連するプログラム命令が実行され、第６態様および第６態様のいずれかの設計における方法に従ってゲートウェイの機能が実装される。任意選択的に、システムチップはさらに少なくとも１つのメモリを含んでよく、メモリは関連するプログラム命令を格納する。

【0095】

第２４態様によれば、本願がシステムチップを提供する。システムチップはドメインコントローラに用いられてよく、システムチップは少なくとも１つのプロセッサを含み、少なくとも１つのプロセッサでは関連するプログラム命令が実行され、第７態様および第７態様のいずれかの設計における方法に従ってドメインコントローラの機能が実装される。任意選択的に、システムチップはさらに少なくとも１つのメモリを含んでよく、メモリは関連するプログラム命令を格納する。

【0096】

第２５態様によれば、本願がシステムチップを提供する。システムチップはゲートウェイに用いられてよく、システムチップは少なくとも１つのプロセッサを含み、少なくとも１つのプロセッサでは関連するプログラム命令が実行され、第８態様および第８態様のいずれかの設計における方法に従ってゲートウェイの機能が実装される。任意選択的に、システムチップはさらに少なくとも１つのメモリを含んでよく、メモリは関連するプログラム命令を格納する。

【0097】

第２６態様によれば、本願の一実施形態がコンピュータ可読記憶媒体、例えば、非一時的コンピュータ可読記憶媒体を提供する。コンピュータ可読記憶媒体にはコンピュータプログラムが格納され、コンピュータプログラムがコンピュータで実行されると、コンピュータは第２態様におけるいずれかの実行可能な方法を行うことが可能になる。例えば、コンピュータは少なくとも１つのストレージノードであってよい。

【0098】

第２７態様によれば、本願の一実施形態がコンピュータ可読記憶媒体、例えば、非一時的コンピュータ可読記憶媒体を提供する。コンピュータ可読記憶媒体にはコンピュータプログラムが格納され、コンピュータプログラムがコンピュータで実行されると、コンピュータは第３態様におけるいずれかの実行可能な方法を行うことが可能になる。例えば、コンピュータは少なくとも１つのストレージノードであってよい。

【0099】

第２８態様によれば、本願の一実施形態がコンピュータ可読記憶媒体、例えば、非一時的コンピュータ可読記憶媒体を提供する。コンピュータ可読記憶媒体にはコンピュータプログラムが格納され、コンピュータプログラムがコンピュータで実行されると、コンピュータは第４態様におけるいずれかの実行可能な方法を行うことが可能になる。例えば、コンピュータは少なくとも１つのストレージノードであってよい。

【0100】

第２９態様によれば、本願の一実施形態がコンピュータ可読記憶媒体、例えば、非一時的コンピュータ可読記憶媒体を提供する。コンピュータ可読記憶媒体にはコンピュータプログラムが格納され、コンピュータプログラムがコンピュータで実行されると、コンピュータは第５態様におけるいずれかの実行可能な方法を行うことが可能になる。例えば、コンピュータは少なくとも１つのストレージノードであってよい。

【0101】

第３０態様によれば、本願の一実施形態がコンピュータ可読記憶媒体、例えば、非一時的コンピュータ可読記憶媒体を提供する。コンピュータ可読記憶媒体にはコンピュータプログラムが格納され、コンピュータプログラムがコンピュータで実行されると、コンピュータは第６態様におけるいずれかの実行可能な方法を行うことが可能になる。例えば、コンピュータは少なくとも１つのストレージノードであってよい。

【0102】

第３１態様によれば、本願の一実施形態がコンピュータ可読記憶媒体、例えば、非一時的コンピュータ可読記憶媒体を提供する。コンピュータ可読記憶媒体にはコンピュータプログラムが格納され、コンピュータプログラムがコンピュータで実行されると、コンピュータは第７態様におけるいずれかの実行可能な方法を行うことが可能になる。例えば、コンピュータは少なくとも１つのストレージノードであってよい。

【0103】

第３２態様によれば、本願の一実施形態がコンピュータ可読記憶媒体、例えば、非一時的コンピュータ可読記憶媒体を提供する。コンピュータ可読記憶媒体にはコンピュータプログラムが格納され、コンピュータプログラムがコンピュータで実行されると、コンピュータは第８態様におけるいずれかの実行可能な方法を行うことが可能になる。例えば、コンピュータは少なくとも１つのストレージノードであってよい。

【0104】

第３３態様によれば、本願の一実施形態がコンピュータプログラム製品を提供する。コンピュータプログラム製品がコンピュータで実行されると、第２態様で提供されるいずれかの方法が行われる。例えば、コンピュータは少なくとも１つのストレージノードであってよい。

【0105】

第３４態様によれば、本願の一実施形態がコンピュータプログラム製品を提供する。コンピュータプログラム製品がコンピュータで実行されると、第３態様で提供されるいずれかの方法が行われる。例えば、コンピュータは少なくとも１つのストレージノードであってよい。

【0106】

第３５態様によれば、本願の一実施形態がコンピュータプログラム製品を提供する。コンピュータプログラム製品がコンピュータで実行されると、第４態様で提供されるいずれかの方法が行われる。例えば、コンピュータは少なくとも１つのストレージノードであってよい。

【0107】

第３６態様によれば、本願の一実施形態がコンピュータプログラム製品を提供する。コンピュータプログラム製品がコンピュータで実行されると、第５態様で提供されるいずれかの方法が行われる。例えば、コンピュータは少なくとも１つのストレージノードであってよい。

【0108】

第３７態様によれば、本願の一実施形態がコンピュータプログラム製品を提供する。コンピュータプログラム製品がコンピュータで実行されると、第６態様で提供されるいずれかの方法が行われる。例えば、コンピュータは少なくとも１つのストレージノードであってよい。

【0109】

第３８態様によれば、本願の一実施形態がコンピュータプログラム製品を提供する。コンピュータプログラム製品がコンピュータで実行されると、第７態様で提供されるいずれかの方法が行われる。例えば、コンピュータは少なくとも１つのストレージノードであってよい。

【0110】

第３９態様によれば、本願の一実施形態がコンピュータプログラム製品を提供する。コンピュータプログラム製品がコンピュータで実行されると、第８態様で提供されるいずれかの方法が行われる。例えば、コンピュータは少なくとも１つのストレージノードであってよい。

【0111】

第４０態様によれば、本願の一実施形態が車載セキュリティ保護システムを提供する。車載セキュリティ保護システムは以下に挙げるもののうちのいずれか１つまたは複数を含んでよい。すなわち、第４態様のＥＣＵ、第５態様のドメインコントローラ、第６態様のゲートウェイ、第７態様のドメインコントローラ、第８態様のゲートウェイ、第１１態様のＥＣＵ、第１２態様のドメインコントローラ、第１３態様のゲートウェイ、第１４態様のドメインコントローラ、第１５態様のゲートウェイ、第１６態様のＥＣＵ、第１７態様のドメインコントローラ、第１８態様のゲートウェイ、第１９態様のドメインコントローラ、第２０態様のゲートウェイ、第２１態様のシステムチップ、第２２態様のシステムチップ、第２３態様のシステムチップ、第２４態様のシステムチップ、第２５態様のシステムチップ、第２６態様のコンピュータ可読記憶媒体、第２７態様のコンピュータ可読記憶媒体、第２８態様のコンピュータ可読記憶媒体、第２９態様のコンピュータ可読記憶媒体、第３０態様のコンピュータ可読記憶媒体、第３１態様のコンピュータ可読記憶媒体、第３２態様のコンピュータ可読記憶媒体、第３３態様のコンピュータプログラム製品、第３４態様のコンピュータプログラム製品、第３５態様のコンピュータプログラム製品、第３６態様のコンピュータプログラム製品、第３７態様のコンピュータプログラム製品、第３８態様のコンピュータプログラム製品、または第３９態様のコンピュータプログラム製品のうちのいずれか１つまたは複数を含んでよい。

【0112】

上記で提供した車載システム、車載セキュリティ保護システム、ＥＣＵ、ドメインコントローラ、ゲートウェイ、システムチップ、コンピュータ記憶媒体、またはコンピュータプログラム製品などのうちのいずれか１つは、上記で提供した対応する方法を行うように構成されることが理解されるであろう。したがって、車載セキュリティ保護システム、ＥＣＵ、ドメインコントローラ、ゲートウェイ、システムチップ、コンピュータ記憶媒体、またはコンピュータプログラム製品などによって達成され得る有益な効果については、対応する方法の有益な効果を参照されたい。詳細については、再度ここで説明しない。

【図面の簡単な説明】

【0113】

【図1(a)】本願の一実施形態による車載セキュリティ保護システムの概略アーキテクチャ図である。

【0114】

【図1(b)】本願の一実施形態による車載システムの概略アーキテクチャ図である。

【0115】

【図2】本願の一実施形態によるハードウェアデバイスのハードウェア構造に関する概略図である。

【0116】

【図3A】本願の一実施形態による、車載システムにおけるセキュリティ保護方法の概略フローチャート１である。

【図3B】本願の一実施形態による、車載システムにおけるセキュリティ保護方法の概略フローチャート１である。

【図3C】本願の一実施形態による、車載システムにおけるセキュリティ保護方法の概略フローチャート１である。

【0117】

【図4A】本願の一実施形態による、車載システムにおけるセキュリティ保護方法の概略フローチャート２である。

【図4B】本願の一実施形態による、車載システムにおけるセキュリティ保護方法の概略フローチャート２である。

【0118】

【図5】本願の一実施形態による車載システムの概略構造図である。

【0119】

【図6】本願の一実施形態によるＥＣＵの概略構造図１である。

【0120】

【図7】本願の一実施形態によるＥＣＵの概略構造図２である。

【0121】

【図8】本願の一実施形態によるドメインコントローラの概略構造図１である。

【0122】

【図9】本願の一実施形態によるゲートウェイの概略構造図１である。

【0123】

【図10】本願の一実施形態によるドメインコントローラの概略構造図２である。

【0124】

【図11】本願の一実施形態によるゲートウェイの概略構造図２である。

【発明を実施するための形態】

【0125】

以下では、添付図面を参照して、本願の実施形態の実装例を詳細に説明する。

【0126】

図１（ａ）は、本願の一実施形態による車載セキュリティ保護システム１００の概略アーキテクチャ図である。図１（ａ）では、車載セキュリティ保護システム１００は、車載システム１０およびサーバ２０を含んでよい。

【0127】

図１（ａ）の車載システム１０は車両３０の車載システムであってよく、車載システム１０は複数のデバイスを含んでよい。例えば、車載システム１０は、車載Ｔ－Ｂｏｘ（Ｔｅｌｅｍａｔｉｃｓ ＢＯＸ）、ゲートウェイ、車載インフォテインメント（ｉｎ－ｖｅｈｉｃｌｅ ｉｎｆｏｔａｉｎｍｅｎｔ、ＩＶＩ）システム、車両制御ユニット（ｖｅｈｉｃｌｅ ｃｏｎｔｒｏｌ ｕｎｉｔ、ＶＣＵ）、および高度運転支援システム（ａｄｖａｎｃｅｄ ｄｒｉｖｉｎｇ ａｓｓｉｓｔａｎｃｅ ｓｙｓｔｅｍ、ＡＤＡＳ）などのデバイスを含んでよい。具体的には、車載システム１０のアーキテクチャが図１（ｂ）に示されてよい。

【0128】

図１（ｂ）は、本願の一実施形態による車載システム１０の概略アーキテクチャ図である。図１（ｂ）に示すように、車載システム１０は、Ｔ－Ｂｏｘ１０１、ゲートウェイ１０２、ＩＶＩ１０３、ＶＣＵ１０４、ＡＤＡＳ１０５、およびＥＣＵ１０６～ＥＣＵ１１０を含む。ＩＶＩ１０３、ＶＣＵ１０４、およびＡＤＡＳ１０５は、集合的にドメインコントローラと呼ばれることがある。ＥＣＵ１０６およびＥＣＵ１０７はＩＶＩ１０３に対応するＥＣＵであり、ＥＣＵ１０８はＶＣＵ１０４に対応するＥＣＵであり、ＥＣＵ１０９およびＥＣＵ１１０はＡＤＡＳ１０５に対応するＥＣＵである。

【0129】

Ｔ－Ｂｏｘ１０１およびゲートウェイ１０２は、イーサネット（登録商標）によって互いに接続されてよい。ゲートウェイ１０２およびドメインコントローラは、イーサネットまたはコントローラエリアネットワーク（ｃｏｎｔｒｏｌｌｅｒ ａｒｅａ ｎｅｔｗｏｒｋ、ＣＡＮ）によって互いに接続されてよい。例えば、ゲートウェイ１０２およびＩＶＩ１０３は、イーサネットまたはＣＡＮによって互いに接続されてよい。ドメインコントローラおよびＥＣＵは、イーサネットまたはＣＡＮによって互いに接続されてよい。例えば、ＶＣＵ１０４およびＥＣＵ１０８はイーサネットまたはＣＡＮによって互いに接続されてよく、ＡＤＡＳ１０５およびＥＣＵ１０９はイーサネットまたはＣＡＮによって互いに接続されてよい。

【0130】

図１（ｂ）のＴ－Ｂｏｘ１０１およびドメインコントローラ（例えば、ＩＶＩ１０３、ＶＣＵ１０４、またはＡＤＡＳ１０５）には、第２セキュリティ保護モジュールが配置されてよく、第２セキュリティ保護モジュールは、Ｔ－Ｂｏｘ１０１またはドメインコントローラに対してセキュリティ保護を提供するように構成されてよい。第２セキュリティ保護モジュールのセキュリティレベルが、第２セキュリティレベルである。第２セキュリティ保護モジュールは、トラステッドプラットフォームモジュールシン（ｔｒｕｓｔｅｄ ｐｌａｔｆｏｒｍ ｍｏｄｕｌｅ－ｔｈｉｎ、ＴＰＭ－Ｔｈｉｎ）、埋め込み型セキュアエレメント（ｅｍｂｅｄｄｅｄ ｓｅｃｕｒｅ ｅｌｅｍｅｎｔ、ｅＳＥ）、物理的に分離されたセキュリティプロセッサ（ｓｅｃｕｒｉｔｙ ｐｒｏｃｅｓｓｏｒ、ＳＰ）システムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュール（ｈａｒｄｗａｒｅ ｓｅｃｕｒｉｔｙ ｍｏｄｕｌｅ、ＨＳＭ）を含むチップを内蔵する。

【0131】

第３セキュリティ保護モジュールが図１（ｂ）のゲートウェイ１０２に配置されてよく、第３セキュリティ保護モジュールは、ゲートウェイ１０２に対してセキュリティ保護を提供するように構成されてよく、第３セキュリティ保護モジュールのセキュリティレベルが第３セキュリティレベルである。第３セキュリティ保護モジュールは、トラステッドプラットフォームモジュールリッチ（ｔｒｕｓｔｅｄ ｐｌａｔｆｏｒｍ ｍｏｄｕｌｅ－ｒｉｃｈ、ＴＰＭ－Ｒｉｃｈ）、ｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを内蔵する。

【0132】

第１セキュリティ保護モジュールが図１（ｂ）のＥＣＵ１０６～ＥＣＵ１１０に配置されてよく、第１セキュリティ保護モジュールは、ＥＣＵ１０６～ＥＣＵ１１０に対してセキュリティ保護を提供するように構成されてよく、第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルである。第１セキュリティ保護モジュールは、デバイス識別子構成エンジン（ｄｅｖｉｃｅ ｉｄｅｎｔｉｆｉｅｒ ｃｏｍｐｏｓｉｔｉｏｎ ｅｎｇｉｎｅ、ＤＩＣＥ）を含む。

【0133】

当業者にはよく知られていることだが、ソフトウェアのセキュリティレベルがハードウェアのセキュリティレベルより低く、ＴＰＭ－ＴｈｉｎのセキュリティレベルがＴＰＭ－Ｒｉｃｈのセキュリティレベルより低い。したがって、第１セキュリティレベルは第２セキュリティレベルより低く、第２セキュリティレベルは第３セキュリティレベルより低いまたはこれに等しい。

【0134】

第１セキュリティ保護モジュール、第２セキュリティ保護モジュール、および第３セキュリティ保護モジュールの配置方式は単なる例に過ぎないことに留意されたい。当業者であれば、特定の実装プロセスにおいて、対応するセキュリティ保護モジュールが、必要に応じて車載システムのデバイス（例えば、ゲートウェイ、Ｔ－Ｂｏｘ、ドメインコントローラ、およびＥＣＵ）に配置されてよいことを理解するはずである。例えば、ＶＣＵ１０４のセキュリティレベルを改善する必要がある場合、第３セキュリティ保護モジュールがＶＣＵ１０４に配置されてよい。ＥＣＵ１０６のセキュリティレベルを改善する必要がある場合、第２セキュリティ保護モジュールがＥＣＵ１０６に配置されてよい。ＥＣＵ１０７に対してセキュリティ保護を提供する必要がない場合、ＥＣＵ１０７にはセキュリティ保護モジュールが配置されなくてもよい。

【0135】

図１（ｂ）のＴ－Ｂｏｘ１０１は、車載システム１０の外部デバイスおよび車載システム１０の内蔵デバイスと通信する能力を有してよい。車載システム１０の外部デバイスは、車載システム１０の外側にあるデバイス、例えば、図１（ａ）のサーバ２０として説明されてよい。車載システム１０の内蔵デバイスは、図１（ｂ）に示すデバイス、例えば、ゲートウェイ１０２、ＩＶＩ１０３、またはＥＣＵ１０６であってよい。

【0136】

図１（ｂ）のＴ－Ｂｏｘ１０１は、車載システム１０の内蔵デバイスと通信し、車載システム１０の内蔵デバイスに関する情報（例えば、ＥＣＵ１０６のファームウェアダイジェスト）を受信するように構成されてよい。Ｔ－Ｂｏｘ１０１は、車載システム１０の内蔵デバイスと通信し、さらに、受信した車載システム１０の外部デバイスにより送信された情報を車載システム１０の内蔵デバイスに転送する（または、トランスペアレントに伝送する）（例えば、サーバ２０により送信された第１応答情報をゲートウェイ１０２に転送する（または、トランスペアレントに伝送する））ように構成されてよい。Ｔ－Ｂｏｘ１０１は車載システム１０の外部デバイスと通信し、車載システム１０の内蔵デバイスに対して検証を行うように構成されてよい（例えばＴ－Ｂｏｘ１０１は、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをサーバ２０に送信し、サーバ２０が第１署名情報に対して検証を行った後に、サーバ２０により送信される第１応答情報を受信する）。

【0137】

図１（ｂ）のゲートウェイ１０２は、ＥＣＵのファームウェアに対して検証を行う能力を有してよい。例えば、ゲートウェイ１０２は、第２署名情報、ＶＣＵ１０４の公開鍵、およびＥＣＵ１０８のファームウェアダイジェストをＶＣＵ１０４から受信し、第２署名情報は、ＥＣＵ１０８のファームウェアダイジェストを第３ダイジェスト関数に従って計算し、計算によって求めたダイジェストをＶＣＵ１０４の秘密鍵を用いて暗号化することにより取得される。ゲートウェイ１０２は、ＶＣＵ１０４の公開鍵を用いて第２署名情報を解読し、ＥＣＵ１０８のファームウェアダイジェストを第３ダイジェスト関数に従って計算し、解読した第２署名情報と、ＥＣＵ１０８のファームウェアダイジェストを第３ダイジェスト関数に従って計算することにより求めたダイジェストとが一致するかどうかを検証してよい。

【0138】

図１（ｂ）のゲートウェイ１０２はさらに、ＥＣＵのファームウェアダイジェストに署名する能力を有してよい。例えば、ゲートウェイ１０２は、解読した第２署名情報と、ＥＣＵ１０８のファームウェアダイジェストを第３ダイジェスト関数に従って計算することにより求めたダイジェストとが一致することを検証し、ゲートウェイ１０２は、ＥＣＵ１０８のファームウェアダイジェストを第４ダイジェスト関数に従って計算し、計算によって取得したダイジェストをゲートウェイ１０２の秘密鍵を用いて暗号化してよい。

【0139】

図１（ｂ）のドメインコントローラは、ＥＣＵのファームウェアに対して検証を行う能力を有してよい。例えば、ＩＶＩ１０３は、第１署名情報、ＥＣＵ１０６の公開鍵、およびＥＣＵ１０６のファームウェアダイジェストをＥＣＵ１０６から受信し、第１署名情報は、ＥＣＵ１０６のファームウェアダイジェストを第２ダイジェスト関数に従って計算し、計算によって求めたダイジェストをＥＣＵ１０６の秘密鍵を用いて暗号化することにより取得される。ＩＶＩ１０３は、ＥＣＵ１０６の公開鍵を用いて第１署名情報を解読し、ＥＣＵ１０６のファームウェアダイジェストを第２ダイジェスト関数に従って計算し、解読した第１署名情報と、ＥＣＵ１０６のファームウェアダイジェストを第２ダイジェスト関数に従って計算することにより求めたダイジェストとが一致するかどうかを検証してよい。

【0140】

図１（ｂ）のドメインコントローラはさらに、ＥＣＵのファームウェアダイジェストに署名する能力を有してよい。例えば、ＩＶＩ１０３は、解読した第１署名情報と、ＥＣＵ１０６のファームウェアダイジェストを第２ダイジェスト関数に従って計算することにより求めたダイジェストとが一致することを検証し、ＩＶＩ１０３は、ＥＣＵ１０６のファームウェアダイジェストを第３ダイジェスト関数に従って計算し、計算によって取得したダイジェストをＩＶＩ１０３の秘密鍵を用いて暗号化してよい。

【0141】

図１（ｂ）のＥＣＵは、ＥＣＵのファームウェアダイジェストに署名する能力を有してよい。例えば、ＥＣＵ１０６は、ＥＣＵ１０６のファームウェアダイジェストを第２ダイジェスト関数に従って計算し、計算によって取得したダイジェストをＩＶＩ１０３の秘密鍵を用いて暗号化してよい。

【0142】

図１（ｂ）に示す車載システム１０のアーキテクチャは、単に一例として用いられているに過ぎず、本願の技術的解決手段を限定する意図はないことを理解されたい。当業者であれば、特定の実装プロセスにおいて、車載システム１０はさらに、別のデバイス、例えば、車載式故障診断（ｏｎ－ｂｏａｒｄ ｄｉａｇｎｏｓｔｉｃ、ＯＢＤ）システムを含んでよいことを理解するはずである。さらに、ゲートウェイの数量、ドメインコントローラの数量、およびＥＣＵの数量も、特定の要件に従って決定されてよい。

【0143】

図１（ａ）のサーバ２０は、ＥＣＵのファームウェアに対して検証を行う能力を有してよい。例えば、サーバ２０は、第１署名情報、ＥＣＵ１０６の公開鍵、およびＥＣＵ１０６のファームウェアダイジェストをゲートウェイ１０２から受信し、第１署名情報は、ＥＣＵ１０６のファームウェアダイジェストを第２ダイジェスト関数に従って計算し、計算によって求めたダイジェストをＥＣＵ１０６の秘密鍵を用いて暗号化することにより取得される。サーバ２０は、ＥＣＵ１０６の公開鍵を用いて第１署名情報を解読し、ＥＣＵ１０６のファームウェアダイジェストを第２ダイジェスト関数に従って計算し、解読した第１署名情報と、ＥＣＵ１０６のファームウェアダイジェストを第２ダイジェスト関数に従って計算することにより求めたダイジェストとが一致するかどうかを検証してよい。

【0144】

図１（ａ）のサーバ２０はさらに、車載システム１０のデバイスに対してサービスを提供する能力を有してよい。例えば、ＥＣＵ１０６がナビゲーションに用いられる場合、解読した第１署名情報と、ＥＣＵ１０６のファームウェアダイジェストを第２ダイジェスト関数に従って計算することにより求めたダイジェストとが一致することをサーバ２０が検証した後に、サーバ２０はＥＣＵ１０６に対してナビゲーションサービスを提供してよい。

【0145】

図１（ａ）に示す車載セキュリティ保護システム１００は、単に一例として用いられているに過ぎず、本願の技術的解決手段を限定する意図はないことを理解されたい。当業者であれば、特定の実装プロセスにおいて、車載セキュリティ保護システム１００はさらに別のデバイスを含んでよく、サーバ２０の数量および車載システム１０の数量も、特定の要件に基づいて決定されてよいことを理解するはずである。これについては、限定されない。

【0146】

任意選択的に、本願の実施形態における図１（ｂ）のゲートウェイ１０２、ＩＶＩ１０３、またはＥＣＵ１０８などの各デバイスは、あるデバイスに含まれる機能モジュールであってもよい。機能モジュールは、ハードウェアデバイスに含まれる要素であってもよく、専用ハードウェアで動作するソフトウェア機能であってもよく、プラットフォーム（例えば、クラウドプラットフォーム）にインスタンス化された仮想化機能であってもよいことが理解されるであろう。

【0147】

例えば、図１（ｂ）の各デバイスは、図２のハードウェアデバイス２００を用いて実現されてよい。図２は、本願の一実施形態に適用可能なハードウェアデバイスのハードウェア構造に関する概略図である。ハードウェアデバイス２００は、少なくとも１つのプロセッサ２０１、通信回線２０２、メモリ２０３、および少なくとも１つの通信インタフェース２０４を含んでよい。

【0148】

プロセッサ２０１は、汎用ＣＰＵ、マイクロプロセッサ、特定用途向け集積回路（ａｐｐｌｉｃａｔｉｏｎ－ｓｐｅｃｉｆｉｃ ｉｎｔｅｇｒａｔｅｄ ｃｉｒｃｕｉｔ、ＡＳＩＣ）、または本願の解決手段においてプログラム実行を制御するように構成された１つもしくは複数の集積回路であってもよい。

【0149】

通信回線２０２は、前述のコンポーネント間で情報が伝達される経路、例えば、バスを含んでよい。

【0150】

通信インタフェース２０４は、別のデバイスまたは通信ネットワークと、送受信機などの任意の装置を介して通信するように構成され、例えば、イーサネットインタフェース、無線アクセスネットワーク（ｒａｄｉｏ ａｃｃｅｓｓ ｎｅｔｗｏｒｋ、ＲＡＮ）インタフェース、または無線ローカルエリアネットワーク（ｗｉｒｅｌｅｓｓ ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋｓ、ＷＬＡＮ）インタフェースである。

【0151】

メモリ２０３は、読み出し専用メモリ（ｒｅａｄ－ｏｎｌｙ ｍｅｍｏｒｙ、ＲＯＭ）または静的情報および命令を格納できる別の種類の静的ストレージデバイスであっても、ランダムアクセスメモリ（ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ、ＲＡＭ）または情報および命令を格納できる別の種類の動的ストレージデバイスであってもよく、あるいは電気的消去可能プログラム可能型読み出し専用メモリ（ｅｌｅｃｔｒｉｃａｌｌｙ ｅｒａｓａｂｌｅ ｐｒｏｇｒａｍｍａｂｌｅ ｒｅａｄ－ｏｎｌｙ ｍｅｍｏｒｙ、ＥＥＰＲＯＭ）、コンパクトディスク読み出し専用メモリ（ｃｏｍｐａｃｔ ｄｉｓｃ ｒｅａｄ－ｏｎｌｙ ｍｅｍｏｒｙ、ＣＤ－ＲＯＭ）または別のコンパクトディスク記憶媒体、光ディスク記憶媒体（コンパクトディスク、レーザディスク、光ディスク、デジタル多用途ディスク、またはブルーレイディスクなどを含む）、および磁気ディスク記憶媒体、別の磁気ストレージデバイス、または期待されるプログラムコードを命令もしくはデータ構造体の形態で保持もしくは格納するように構成されることができ且つコンピュータがアクセス可能な任意の他の媒体であってもよいが、これらに限定されない。メモリは独立して存在してもよいが、通信回線２０２を介してプロセッサに接続される。メモリは代替的に、プロセッサに統合されてもよい。本願の実施形態で提供されるメモリは通常、不揮発性であってよい。メモリ２０３は、本願の解決手段を実行するためのコンピュータ実行可能命令を格納するように構成され、プロセッサ２０１はその実行を制御する。プロセッサ２０１は、メモリ２０３に格納されたコンピュータ実行可能命令を実行して、本願の実施形態で提供される方法を実施するように構成される。

【0152】

任意選択的に、本願の実施形態におけるコンピュータ実行可能命令は、アプリケーションプログラムコードとも呼ばれることがある。これについては、本願の実施形態において特に限定されない。

【0153】

具体的な実装時に、一実施形態において、プロセッサ２０１は１つまたは複数のＣＰＵ（例えば、図２のＣＰＵ０およびＣＰＵ１）を含んでよい。

【0154】

具体的な実装時に、一実施形態において、ハードウェアデバイス２００は、複数のプロセッサ（例えば、図２のプロセッサ２０１およびプロセッサ２０７）を含んでよい。各プロセッサは、シングルコアプロセッサ（ｓｉｎｇｌｅ－ＣＰＵ）であっても、マルチコアプロセッサ（ｍｕｌｔｉ－ＣＰＵ）であってもよい。ここでのプロセッサは、データ（例えば、コンピュータプログラム命令）を処理するように構成された１つまたは複数のデバイス、回路、および／または処理コアであってもよい。

【0155】

具体的な実装時に、一実施形態において、ハードウェアデバイス２００はさらに、出力デバイス２０５および入力デバイス２０６を含んでよい。出力デバイス２０５は、プロセッサ２０１と通信し、情報を複数の方式で表示してよい。例えば、出力デバイス２０５は、液晶ディスプレイ（ｌｉｑｕｉｄ ｃｒｙｓｔａｌ ｄｉｓｐｌａｙ、ＬＣＤ）、発光ダイオード（ｌｉｇｈｔ ｅｍｉｔｔｉｎｇ ｄｉｏｄｅ、ＬＥＤ）表示デバイス、ブラウン管（ｃａｔｈｏｄｅ ｒａｙ ｔｕｂｅ、ＣＲＴ）表示デバイス、またはプロジェクタ（ｐｒｏｊｅｃｔｏｒ）であってもよい。入力デバイス２０６は、プロセッサ２０１と通信し、ユーザからの入力を複数の方式で受け取ってよい。例えば、入力デバイス２０６は、マウス、キーボード、タッチスクリーンデバイス、または感知デバイスであってもよい。

【0156】

具体的な実装時に、ハードウェアデバイス２００は、埋め込み型デバイスであっても、または図２と同様の構造を有するデバイスであってもよい。ハードウェアデバイス２００の種類が、本願の実施形態において限定されることはない。

【0157】

以下では、図１（ａ）、図１（ｂ）、および図２を参照して、本願の実施形態において提供される車載システムにおけるセキュリティ保護方法を具体的に説明する。

【0158】

図３Ａ～図３Ｃは、本願の一実施形態による、車載システムにおけるセキュリティ保護方法を示している。車載システムにおけるセキュリティ保護方法は、段階３０１～段階３２１を含む。

【0159】

段階３０１：ＥＣＵが、第１セキュリティ保護モジュールを用いてＥＣＵの公開鍵およびＥＣＵの秘密鍵を生成する。

【0160】

ＥＣＵは、図１（ｂ）のＥＣＵ１０６～ＥＣＵ１１０であってよい。

【0161】

第１セキュリティ保護モジュールはＥＣＵに配置されてよく、第１セキュリティ保護モジュールはＤＩＣＥを含んでよい。第１セキュリティ保護モジュールは、ＥＣＵに対してセキュリティ保護を提供するように構成されてよく、第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルである。

【0162】

実行可能な一実装例では、車両が起動すると、ＥＣＵは第１セキュリティ保護モジュールを用いてＥＣＵの公開鍵およびＥＣＵの秘密鍵を生成する。

【0163】

実行可能な一実装例では、ＥＣＵが第１セキュリティ保護モジュールを用いてＥＣＵの公開鍵およびＥＣＵの秘密鍵を生成することは、ＥＣＵに配置された第１セキュリティ保護モジュールがＥＣＵの一意のデバイスシークレット（ｕｎｉｑｕｅ ｄｅｖｉｃｅ ｓｅｃｒｅｔ、ＵＤＳ）に基づいてＥＣＵの公開鍵およびＥＣＵの秘密鍵を生成することを含む。ＥＣＵの一意のデバイスシークレットは、製造業者が各ＥＣＵに割り当てる秘密である。

【0164】

段階３０２：ＥＣＵは、ＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名し、第１署名情報を取得する。

【0165】

ＥＣＵのファームウェアは、ＥＣＵの静的コードとして説明されてよい。

【0166】

ＥＣＵのファームウェアダイジェストは、ＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められてよい。

【0167】

実行可能な一実装例では、ＥＣＵがＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名して第１署名情報を取得することは、ＥＣＵがＥＣＵのファームウェアダイジェストを第２ダイジェスト関数に従って計算し、次いでＥＣＵの秘密鍵を用いて計算によりダイジェストを暗号化し、第１署名情報を取得することを含む。

【0168】

第１ダイジェスト関数および第２ダイジェスト関数は同じであってもよく、異なっていてもよい。

【0169】

段階３０３：ＥＣＵは、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをドメインコントローラに送信する。

【0170】

ドメインコントローラは、イーサネットまたはＣＡＮによってＥＣＵに接続されるドメインコントローラである。例えば、ＥＣＵが図１（ｂ）のＥＣＵ１０６またはＥＣＵ１０７である場合、ドメインコントローラは図１（ｂ）のＩＶＩ１０３であってよい。ＥＣＵが図１（ｂ）のＥＣＵ１０８である場合、ドメインコントローラは図１（ｂ）のＶＣＵ１０４であってよい。ＥＣＵが図１（ｂ）のＥＣＵ１０９またはＥＣＵ１１０である場合、ドメインコントローラは図１（ｂ）のＡＤＡＳ１０５であってよい。

【0171】

任意選択的に、ドメインコントローラはＥＣＵリストを格納し、当該ＥＣＵはリスト内のＥＣＵである。ＥＣＵリスト内のＥＣＵは、本願の本実施形態で提供される車載システムにおけるセキュリティ保護方法を行い、またＥＣＵはドメインコントローラに接続される。

【0172】

実際の適用プロセスでは、ＥＣＵリスト内のＥＣＵは、本願の本実施形態で提供される車載システムにおけるセキュリティ保護方法を行う必要があるので、ＥＣＵリスト内の全ＥＣＵは、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをドメインコントローラに送信する。

【0173】

実行可能な一実装例では、車両が起動した後の所定時間内に、ドメインコントローラが第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをＥＣＵリスト内のＥＣＵから受信していない場合、ドメインコントローラはＥＣＵに第１インジケーション情報を送信する。第１インジケーション情報は、本願の本実施形態で提供される車載システムにおけるセキュリティ保護方法を行うことをＥＣＵに示すのに用いられる。

【0174】

例えば、所定時間は２秒であり、図１（ｂ）のＩＶＩ１０３はＥＣＵリストを格納し、ＥＣＵリストはＥＣＵ１０６を含む。車両が起動した２秒後に、ＩＶＩ１０３が第１署名情報、ＥＣＵ１０６の公開鍵、およびＥＣＵ１０６のファームウェアダイジェストをＥＣＵ１０６から受信していないと、ＩＶＩ１０３はＥＣＵ１０６に第１インジケーション情報を送信する。第１インジケーション情報は、本願の本実施形態で提供される車載システムにおけるセキュリティ保護方法を行うことをＥＣＵ１０６に示すのに用いられる。

【0175】

別の実行可能な実装例では、車両が起動した後の所定時間内に、ドメインコントローラが第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをＥＣＵリスト内のＥＣＵから受信していない場合、ドメインコントローラはゲートウェイを介してサーバに第２インジケーション情報を送信する。第２インジケーション情報は、ＥＣＵに対してサービスが提供されていないことを示すのに用いられる。

【0176】

例えば、所定時間は２秒であり、図１（ｂ）のＩＶＩ１０３はＥＣＵリストを格納し、ＥＣＵリストはＥＣＵ１０６を含む。車両が起動した２秒後に、ＩＶＩ１０３が第１署名情報、ＥＣＵ１０６の公開鍵、およびＥＣＵ１０６のファームウェアダイジェストをＥＣＵ１０６から受信していないと、ＩＶＩ１０３はゲートウェイ１０２に第２インジケーション情報を送信する。ゲートウェイ１０２は、第２インジケーション情報を受信した後に、第２インジケーション情報をサーバ２０に転送する（またはトランスペアレントに伝送する）。第２インジケーション情報は、ＥＣＵ１０６に対してサービスが提供されていないことを示すのに用いられる。

【0177】

段階３０４：ドメインコントローラは、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをＥＣＵから受信する。

【0178】

段階３０５：ドメインコントローラは、第２セキュリティ保護モジュールを用いてドメインコントローラの公開鍵およびドメインコントローラの秘密鍵を生成する。

【0179】

第２セキュリティ保護モジュールはドメインコントローラに配置されてよく、第２セキュリティ保護モジュールは、ＴＰＭ－Ｔｈｉｎ、ｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを内蔵してよい。第２セキュリティ保護モジュールは、ドメインコントローラに対してセキュリティ保護を提供するように構成されてよく、第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルである。

【0180】

任意選択的に、第１セキュリティレベルは第２セキュリティレベルより低い。

【0181】

実行可能な一実装例では、車両が起動すると、ドメインコントローラは、第２セキュリティ保護モジュールを用いてドメインコントローラの公開鍵およびドメインコントローラの秘密鍵を生成する。

【0182】

別の実行可能な実装例では、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをＥＣＵから受信した後に、ドメインコントローラは、第２セキュリティ保護モジュールを用いてドメインコントローラの公開鍵およびドメインコントローラの秘密鍵を生成する。

【0183】

さらに別の実行可能な実装例では、第１署名情報が検証された後に（すなわち、段階３０６の後に）、ドメインコントローラは、第２セキュリティ保護モジュールを用いてドメインコントローラの公開鍵およびドメインコントローラの秘密鍵を生成する。

【0184】

実行可能な一実装例では、ドメインコントローラが第２セキュリティ保護モジュールを用いてドメインコントローラの公開鍵およびドメインコントローラの秘密鍵を生成することは、ドメインコントローラに配置された第２セキュリティ保護モジュールがドメインコントローラの一意のデバイスシークレットに基づいてドメインコントローラの公開鍵およびドメインコントローラの秘密鍵を生成することを含む。ドメインコントローラの一意のデバイスシークレットは、製造業者が各ドメインコントローラに割り当てる秘密である。

【0185】

段階３０６：ドメインコントローラは、ＥＣＵの公開鍵を用いて第１署名情報に対して検証を行う。

【0186】

実行可能な一実装例では、ドメインコントローラがＥＣＵの公開鍵を用いて第１署名情報に対して検証を行うことは、ドメインコントローラがＥＣＵの公開鍵を用いて第１署名情報を解読し、ＥＣＵのファームウェアダイジェストを第２ダイジェスト関数に従って計算した後に、解読した第１署名情報と、ＥＣＵのファームウェアダイジェストを第２ダイジェスト関数に従って計算することにより求めたダイジェストとが一致するかどうかを検証することを含む。解読した第１署名情報と、ＥＣＵのファームウェアダイジェストを第２ダイジェスト関数に従って計算することにより求めたダイジェストとが一致する場合、第１署名情報は検証されたことになる。解読した第１署名情報と、ＥＣＵのファームウェアダイジェストを第２ダイジェスト関数に従って計算することにより求めたダイジェストとが一致しない場合、第１署名情報は検証できていない。

【0187】

実行可能な一実装例では、第１署名情報が検証できていない場合、ドメインコントローラは第１検証エラーメッセージをＥＣＵに送信する。第１検証エラーメッセージは第１署名情報が検証できていないことを示すのに用いられる。

【0188】

実行可能な一実装例では、第１署名情報が検証された場合、ドメインコントローラは、ドメインコントローラの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名し、第２署名情報を取得する。こうして、ゲートウェイは第２署名情報に対して検証を行う。

【0189】

段階３０７：第１署名情報が検証された場合、ドメインコントローラは、ドメインコントローラの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名し、第２署名情報を取得する。

【0190】

実行可能な一実装例では、ドメインコントローラがドメインコントローラの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名し、第２署名情報を取得することは、ドメインコントローラがＥＣＵのファームウェアダイジェストを第３ダイジェスト関数に従って計算し、次いで計算により取得したダイジェストをドメインコントローラの秘密鍵を用いて暗号化し、第２署名情報を取得することを含む。

【0191】

第１ダイジェスト関数、第２ダイジェスト関数、および第３ダイジェスト関数は同じであってもよく、異なっていてもよい。

【0192】

段階３０８：ドメインコントローラは、第２署名情報、ドメインコントローラの公開鍵、およびＥＣＵのファームウェアダイジェストをゲートウェイに送信する。

【0193】

ゲートウェイは、図１（ｂ）のゲートウェイ１０２であってよい。

【0194】

段階３０９：ゲートウェイは、第２署名情報、ドメインコントローラの公開鍵、およびＥＣＵのファームウェアダイジェストをドメインコントローラから受信する。

【0195】

段階３１０：ゲートウェイは、第３セキュリティ保護モジュールを用いてゲートウェイの公開鍵およびゲートウェイの秘密鍵を生成する。

【0196】

第３セキュリティ保護モジュールは、ゲートウェイに配置されてよい。第３セキュリティ保護モジュールは、ＴＰＭ－Ｒｉｃｈ、ｅＳＥ、または物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを内蔵してよい。第３セキュリティ保護モジュールは、ゲートウェイに対してセキュリティ保護を提供するように構成されてよく、第３セキュリティ保護モジュールのセキュリティレベルが第３セキュリティレベルである。

【0197】

任意選択的に、第３セキュリティレベルは第２セキュリティレベルより高いまたはこれに等しく、第２セキュリティレベルは第１セキュリティレベルより高い。

【0198】

実行可能な一実装例では、車両が起動すると、ゲートウェイは、第３セキュリティ保護モジュールを用いてゲートウェイの公開鍵およびゲートウェイの秘密鍵を生成する。

【0199】

別の実行可能な実装例では、第２署名情報、ドメインコントローラの公開鍵、およびＥＣＵのファームウェアダイジェストをドメインコントローラから受信した後に、ゲートウェイは、第３セキュリティ保護モジュールを用いてゲートウェイの公開鍵およびゲートウェイの秘密鍵を生成する。

【0200】

さらに別の実行可能な実装例では、第２署名情報が検証された後に（すなわち、段階３１１の後に）、ゲートウェイは、第３セキュリティ保護モジュールを用いてゲートウェイの公開鍵およびゲートウェイの秘密鍵を生成する。

【0201】

実行可能な一実装例では、ゲートウェイが第３セキュリティ保護モジュールを用いてゲートウェイの公開鍵およびゲートウェイの秘密鍵を生成することは、ゲートウェイに配置された第３セキュリティ保護モジュールがゲートウェイの一意のデバイスシークレットに基づいてゲートウェイの公開鍵およびゲートウェイの秘密鍵を生成することを含む。ゲートウェイの一意のデバイスシークレットは、製造業者が各ゲートウェイに割り当てる秘密である。

【0202】

段階３１１：ゲートウェイは、ドメインコントローラの公開鍵を用いて第２署名情報に対して検証を行う。

【0203】

実行可能な一実装例では、ゲートウェイがドメインコントローラの公開鍵を用いて第１署名情報に対して検証を行うことは、ゲートウェイがドメインコントローラの公開鍵を用いて第２署名情報を解読し、ＥＣＵのファームウェアダイジェストを第３ダイジェスト関数に従って計算した後に、解読した第２署名情報と、ＥＣＵのファームウェアダイジェストを第３ダイジェスト関数に従って計算することにより求めたダイジェストとが一致するかどうかを検証することを含む。解読した第２署名情報と、ＥＣＵのファームウェアダイジェストを第３ダイジェスト関数に従って計算することにより求めたダイジェストとが一致する場合、第２署名情報は検証されたことになる。解読した第２署名情報と、ＥＣＵのファームウェアダイジェストを第３ダイジェスト関数に従って計算することにより求めたダイジェストとが一致しない場合、第２署名情報は検証できていない。

【0204】

実行可能な一実装例では、第２署名情報が検証できていない場合、ゲートウェイはドメインコントローラに第２検証エラーメッセージを送信する。ドメインコントローラは、第２検証エラーメッセージを受信した後に、第２検証エラーメッセージをＥＣＵに転送する（またはトランスペアレントに伝送する）。第２検証エラーメッセージは、第２署名情報が検証できていないことを示すのに用いられる。

【0205】

実行可能な一実装例では、第２署名情報が検証された場合、ゲートウェイは、ゲートウェイの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名し、第３署名情報を取得する。こうして、サーバは第３署名情報に対して検証を行う。

【0206】

段階３１２：第２署名情報が検証された場合、ゲートウェイは、ゲートウェイの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名し、第３署名情報を取得する。

【0207】

実行可能な一実装例では、ゲートウェイがゲートウェイの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名し、第３署名情報を取得することは、ゲートウェイがＥＣＵのファームウェアダイジェストを第４ダイジェスト関数に従って計算し、次いで計算により取得したダイジェストをゲートウェイの秘密鍵を用いて暗号化し、第３署名情報を取得することを含む。

【0208】

第１ダイジェスト関数、第２ダイジェスト関数、第３ダイジェスト関数、および第４ダイジェスト関数は同じであってもよく、異なっていてもよい。

【0209】

段階３１３：ゲートウェイは、第３署名情報、ゲートウェイの公開鍵、およびＥＣＵのファームウェアダイジェストをサーバに送信する。

【0210】

サーバは、図１（ａ）のサーバ２０であってよい。

【0211】

実行可能な一実装例では、ゲートウェイが第３署名情報、ゲートウェイの公開鍵、およびＥＣＵのファームウェアダイジェストをサーバに送信することは、ゲートウェイが第３署名情報、ゲートウェイの公開鍵、およびＥＣＵのファームウェアダイジェストをＴ－Ｂｏｘに送信することを含む。第３署名情報、ゲートウェイの公開鍵、およびＥＣＵのファームウェアダイジェストを受信した後に、Ｔ－Ｂｏｘは、第３署名情報、ゲートウェイの公開鍵、およびＥＣＵのファームウェアダイジェストをサーバに転送する（またはトランスペアレントに伝送する）。

【0212】

Ｔ－Ｂｏｘは、図１（ｂ）のＴ－Ｂｏｘ１０１であってよい。

【0213】

段階３１４：サーバは、第３署名情報、ゲートウェイの公開鍵、およびＥＣＵのファームウェアダイジェストをゲートウェイから受信する。

【0214】

段階３１５：サーバは、ゲートウェイの公開鍵を用いて第３署名情報に対して検証を行う。

【0215】

任意選択的に、サーバがゲートウェイの公開鍵を用いて第３署名情報に対して検証を行うことは、サーバがゲートウェイの公開鍵を用いて第３署名情報を解読し、ＥＣＵのファームウェアダイジェストを第４ダイジェスト関数に従って計算した後に、解読した第３署名情報と、ＥＣＵのファームウェアダイジェストを第４ダイジェスト関数に従って計算することにより求めたダイジェストとが一致するかどうかを検証することを含む。解読した第３署名情報と、ＥＣＵのファームウェアダイジェストを第４ダイジェスト関数に従って計算することにより求めたダイジェストとが一致する場合、第３署名情報は検証されたことになる。解読した第３署名情報と、ＥＣＵのファームウェアダイジェストを第４ダイジェスト関数に従って計算することにより求めたダイジェストとが一致しない場合、第３署名情報は検証できていない。

【0216】

実行可能な一実装例では、第３署名情報が検証された場合、サーバはゲートウェイに第１応答情報を送信し、第１応答情報はＥＣＵを起動することを示すのに用いられる。これにより、ゲートウェイは第１応答情報をＥＣＵに転送し、ＥＣＵは第１応答情報に基づいて起動し、サーバはＥＣＵに対してサービスを提供する。第３署名情報が検証できていない場合、サーバはゲートウェイに第２応答情報を送信し、第２応答情報はＥＣＵの起動を禁じることを示すのに用いられる。これにより、ゲートウェイは第２応答情報をＥＣＵに転送し、第２応答情報に基づいてＥＣＵの起動が禁じられる。

【0217】

別の実行可能な実装例では、第３署名情報が検証された場合、サーバはゲートウェイに第１応答情報を送信し、第１応答情報はＥＣＵを起動することを示すのに用いられる。これにより、ゲートウェイは第１応答情報をＥＣＵに転送し、ＥＣＵは第１応答情報に基づいて起動し、サーバはＥＣＵに対してサービスを提供する。第３署名情報が検証できていない場合、サーバはゲートウェイに応答情報を送信しない。ＥＣＵが所定時間後に応答情報を受け取っていない場合、ＥＣＵの起動が禁じられる。

【0218】

第３署名情報が検証された場合も、または検証できていない場合も、サーバはゲートウェイに応答情報を送信しなくてもよいことに留意されたい。具体的には、第３署名情報が検証された場合、サーバはＥＣＵに対してサービスを提供する。あるいは、第３署名情報が検証できていない場合、サーバはＥＣＵに対してサービスを提供しない。

【0219】

段階３１６：第３署名情報が検証された場合、サーバは第１応答情報をゲートウェイに送信する。

【0220】

実行可能な一実装例では、サーバが第１応答情報をゲートウェイに送信することは、サーバが第１応答情報をＴ－Ｂｏｘに送信することを含む。Ｔ－Ｂｏｘは、第１応答情報を受信した後に、第１応答情報をゲートウェイに転送する（または、トランスペアレントに伝送する）。

【0221】

段階３１７：ゲートウェイは、第１応答情報をサーバから受信する。

【0222】

段階３１８：ゲートウェイは、第１応答情報をドメインコントローラに送信する。

【0223】

段階３１９：ドメインコントローラは、第１応答情報をゲートウェイから受信する。

【0224】

段階３２０：ドメインコントローラは、第１応答情報をＥＣＵに送信する。

【0225】

段階３２１：ＥＣＵは、第１応答情報をドメインコントローラから受信する。

【0226】

図３Ａ～図３Ｃに示す方法によれば、ドメインコントローラは、ＥＣＵの公開鍵を用いて、ＥＣＵのファームウェアダイジェストに基づいて取得した第１署名情報に対して検証を行ってよい。この検証が成功した後に、ゲートウェイは、ドメインコントローラの公開鍵を用いて、ＥＣＵのファームウェアダイジェストに基づいて取得した第２署名情報に対して検証を行ってよい。この検証が成功した後に、サーバは、ゲートウェイの公開鍵を用いて、ＥＣＵのファームウェアダイジェストに基づいて取得した第３署名情報に対して検証を行ってよい。この検証が成功した後に、サーバは、ゲートウェイおよびドメインコントローラを介して第１応答情報をＥＣＵに送信してよい。したがって、ＥＣＵのファームウェアダイジェストに対して３段階検証が行われ、ＥＣＵのファームウェアが改ざんされていないことを保証することにより、車載システムのセキュリティが向上し得る。さらに、ＥＣＵの公開鍵およびＥＣＵの秘密鍵はＤＩＣＥを用いて生成され、ＤＩＣＥの複雑性およびコストは低い。したがって、ＥＣＵのファームウェアに対して検証を行うためにＤＩＣＥをＥＣＵに配置することで、コストを削減することができる。

【0227】

図３Ａ～図３Ｃに示す方法では、代替的に、ドメインコントローラおよびゲートウェイがＥＣＵのファームウェアダイジェストの署名情報を検証した後にサーバが検証を行う場合、ＥＣＵは、ＥＣＵのファームウェアダイジェストの署名情報を検証のためにサーバに直接的に送信してよい。

【0228】

図４Ａおよび図４Ｂは、本願の一実施形態による車載システムにおける別のセキュリティ保護方法を示している。車載システムにおけるセキュリティ保護方法は、段階４０１～段階４１５を含む。

【0229】

段階４０１：ＥＣＵが、第１セキュリティ保護モジュールを用いてＥＣＵの公開鍵およびＥＣＵの秘密鍵を生成する。

【0230】

段階４０２：ＥＣＵは、ＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名し、第１署名情報を取得する。

【0231】

段階４０３：ＥＣＵは、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをドメインコントローラに送信する。

【0232】

段階４０１～段階４０３の具体的なプロセスについては、図３Ａ～図３Ｃに示す方法の段階３０１～段階３０３の説明を参照されたい。詳細については、再度ここで説明しない。

【0233】

段階４０４：ドメインコントローラは、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをＥＣＵから受信する。

【0234】

段階４０５：ドメインコントローラは、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをゲートウェイに送信する。

【0235】

ゲートウェイは、図１（ｂ）のゲートウェイ１０２であってよい。

【0236】

段階４０６：ゲートウェイは、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをドメインコントローラから受信する。

【0237】

段階４０７：ゲートウェイは、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをサーバに送信する。

【0238】

サーバは、図１（ａ）のサーバ２０であってよい。

【0239】

実行可能な一実装例では、ゲートウェイが第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをサーバに送信することは、ゲートウェイが第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをＴ－Ｂｏｘに送信することを含む。第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストを受信した後に、Ｔ－Ｂｏｘは、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをサーバに転送する（または、トランスペアレントに伝送する）。

【0240】

Ｔ－Ｂｏｘは、図１（ｂ）のＴ－Ｂｏｘ１０１であってよい。

【0241】

段階４０８：サーバは、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをゲートウェイから受信する。

【0242】

段階４０９：サーバは、ＥＣＵの公開鍵を用いて第１署名情報に対して検証を行う。

【0243】

任意選択的に、サーバがＥＣＵの公開鍵を用いて第１署名情報に対して検証を行うことは、サーバがＥＣＵの公開鍵を用いて第１署名情報を解読し、ＥＣＵのファームウェアダイジェストを第２ダイジェスト関数に従って計算した後に、解読した第１署名情報と、ＥＣＵのファームウェアダイジェストを第２ダイジェスト関数に従って計算することにより求めたダイジェストとが一致するかどうかを検証することを含む。解読した第１署名情報と、ＥＣＵのファームウェアダイジェストを第２ダイジェスト関数に従って計算することにより求めたダイジェストとが一致する場合、第１署名情報は検証されたことになる。解読した第１署名情報と、ＥＣＵのファームウェアダイジェストを第２ダイジェスト関数に従って計算することにより求めたダイジェストとが一致しない場合、第１署名情報は検証できていない。

【0244】

実行可能な一実装例では、第１署名情報が検証された場合、サーバはゲートウェイに第１応答情報を送信し、第１応答情報はＥＣＵを起動することを示すのに用いられる。これにより、ゲートウェイは第１応答情報をＥＣＵに転送し、ＥＣＵは第１応答情報に基づいて起動し、サーバはＥＣＵに対してサービスを提供する。第１署名情報が検証できていない場合、サーバはゲートウェイに第２応答情報を送信し、第２応答情報はＥＣＵの起動を禁じることを示すのに用いられる。これにより、ゲートウェイは第２応答情報をＥＣＵに転送し、第２応答情報に基づいてＥＣＵの起動が禁じられる。

【0245】

別の実行可能な実装例では、第１署名情報が検証された場合、サーバはゲートウェイに第１応答情報を送信し、第１応答情報はＥＣＵを起動することを示すのに用いられる。これにより、ゲートウェイは第１応答情報をＥＣＵに転送し、ＥＣＵは第１応答情報に基づいて起動し、サーバはＥＣＵに対してサービスを提供する。第１署名情報が検証できていない場合、サーバはゲートウェイに応答情報を送信しない。ＥＣＵが所定時間後に応答情報を受け取っていない場合、ＥＣＵの起動が禁じられる。

【0246】

第１署名情報が検証された場合も、または検証できていない場合も、サーバはゲートウェイに応答情報を送信しなくてもよいことに留意されたい。具体的には、第１署名情報が検証された場合、サーバはＥＣＵに対してサービスを提供する。あるいは、第１署名情報が検証できていない場合、サーバはＥＣＵに対してサービスを提供しない。

【0247】

段階４１０：第１署名情報が検証された場合、サーバは第１応答情報をゲートウェイに送信する。

【0248】

実行可能な一実装例では、サーバが第１応答情報をゲートウェイに送信することは、サーバが第１応答情報をＴ－Ｂｏｘに送信することを含む。Ｔ－Ｂｏｘは、第１応答情報を受信した後に、第１応答情報をゲートウェイに転送する（または、トランスペアレントに伝送する）。

【0249】

段階４１１：ゲートウェイは、第１応答情報をサーバから受信する。

【0250】

段階４１２：ゲートウェイは、第１応答情報をドメインコントローラに送信する。

【0251】

段階４１３：ドメインコントローラは、第１応答情報をゲートウェイから受信する。

【0252】

段階４１４：ドメインコントローラは、第１応答情報をＥＣＵに送信する。

【0253】

段階４１５：ＥＣＵは、第１応答情報をドメインコントローラから受信する。

【0254】

図４Ａおよび図４Ｂに示す方法によれば、ＥＣＵは、ドメインコントローラおよびゲートウェイを介してサーバに、ＥＣＵのファームウェアダイジェストに基づいて取得した第１署名情報を送信してよく、サーバは、ＥＣＵの公開鍵を用いて第１署名情報に対して検証を行い、ＥＣＵのファームウェアが改ざんされていないことを保証することにより、車載システムのセキュリティを向上させ得る。さらに、ＥＣＵの公開鍵およびＥＣＵの秘密鍵はＤＩＣＥを用いて生成され、ＤＩＣＥの複雑性およびコストは低い。したがって、ＥＣＵのファームウェアに対して検証を行うためにＤＩＣＥをＥＣＵに配置することで、コストを削減することができる。

【0255】

前述したことは主に、本願の実施形態で提供される解決手段を、ネットワークエレメント間のやり取りの観点から説明したものである。前述の機能を実現するために、前述の車載システム、ＥＣＵ、ドメインコントローラ、またはゲートウェイなどは、これらの機能を行うための対応するハードウェア構造および／またはソフトウェアモジュールを含むことが理解されるであろう。当業者であれば、本明細書に開示した実施形態で説明した例を組み合わせて、各ユニットおよび各アルゴリズムの動作がハードウェアまたはハードウェアとコンピュータソフトウェアとの組み合わせにより実現され得ることを容易に認識するはずである。ある機能がハードウェアで行われるのか、またはコンピュータソフトウェアで動くハードウェアで行われるのかは、技術的解決手段の具体的な用途および設計上の制約によって決まる。当業者であれば、異なる方法を用いて、説明した機能を具体的な用途ごとに実現するかもしれないが、その実装例が本願に範囲を超えるものとみなされるべきではない。

【0256】

本願の実施形態では、車載セキュリティ保護システム、ＥＣＵ、ドメインコントローラ、またはゲートウェイは、前述の方法例に基づいて各機能モジュールに分割されてよい。例えば、各機能モジュールは、それぞれ対応する機能に基づく分割によって取得されてもよく、または２つ以上の機能が１つの処理モジュールに統合されてもよい。統合されたモジュールは、ハードウェアの形態で実現されてもよく、またはソフトウェア機能モジュールの形態で実現されてもよい。本願の実施形態では、複数のモジュールへの分割は一例であって、単なる論理的な機能分割に過ぎず、実際の実装においては他の分割であってもよいことに留意されたい。

【0257】

例えば、各機能モジュールを統合によって分割した場合、図５は車載システム５０の概略構造図である。車載システム５０は、ＥＣＵ５０１、ドメインコントローラ５０２、およびゲートウェイ５０３を含む。

【0258】

第１セキュリティ保護モジュールがＥＣＵ５０１に配置されてよく、第１セキュリティ保護モジュールは、ＥＣＵ５０１に対してセキュリティ保護を提供するように構成されてよく、第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルである。

【0259】

第２セキュリティ保護モジュールがドメインコントローラ５０２に配置されてよく、第２セキュリティ保護モジュールは、ドメインコントローラ５０２に対してセキュリティ保護を提供するように構成されてよく、第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルである。

【0260】

第３セキュリティ保護モジュールがゲートウェイ５０３に配置されてよく、第３セキュリティ保護モジュールは、ゲートウェイ５０３に対してセキュリティ保護を提供するように構成されてよく、第３セキュリティ保護モジュールのセキュリティレベルが第３セキュリティレベルである。

【0261】

各機能モジュールを統合によって分割した場合、図６はＥＣＵ５０１の概略構造図である。ＥＣＵ５０１は、生成モジュール５０１１、署名モジュール５０１２、および送信モジュール５０１３を含む。

【0262】

生成モジュール５０１１は、第１セキュリティ保護モジュールを用いてＥＣＵの公開鍵およびＥＣＵの秘密鍵を生成するように構成される。

【0263】

署名モジュール５０１２は、ＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名し、第１署名情報を取得するように構成され、ＥＣＵのファームウェアダイジェストは、ＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる。

【0264】

送信モジュール５０１３は、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをドメインコントローラに送信するように構成される。

【0265】

任意選択的に、第２セキュリティ保護モジュールはドメインコントローラに配置され、第２セキュリティ保護モジュールは、ドメインコントローラに対してセキュリティ保護を提供するように構成され、第２セキュリティ保護モジュールのセキュリティレベルは第２セキュリティレベルである。

【0266】

任意選択的に、第１セキュリティ保護モジュールはデバイス識別子構成エンジンＤＩＣＥを含む。第２セキュリティ保護モジュールは、トラステッドプラットフォームモジュールシンＴＰＭ－Ｔｈｉｎ、埋め込み型セキュアエレメントｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを内蔵する。

【0267】

任意選択的に、ドメインコントローラはＥＣＵリストを格納し、当該ＥＣＵはリスト内のＥＣＵである。

【0268】

任意選択的に、図７に示すように、ＥＣＵ５０１はさらに受信モジュール５０１４を含む。受信モジュール５０１４はドメインコントローラから第１応答情報を受信するように構成され、第１応答情報はＥＣＵを起動することを示すのに用いられる。

【0269】

前述の方法の実施形態における各動作の全関連内容は、対応する機能モジュールの機能説明に挙げられているであろう。詳細については、再度ここで説明しない。

【0270】

本実施形態では、ＥＣＵ５０１は、分割によって取得された複数の機能モジュールの形態で一体的に示され得る。本明細書における「モジュール」とは、特定のＡＳＩＣ、回路、１つまたは複数のソフトウェアまたはファームウェアプログラムを実行するプロセッサ、メモリ、集積論理回路、および／または前述の機能を提供できる別のデバイスであってよい。簡単な一実施形態において、当業者であれば、ＥＣＵ５０１は図２に示す形態であってよいと理解するであろう。

【0271】

例えば、図２のプロセッサ２０１はメモリ２０３に格納されたコンピュータ実行可能命令を呼び出してよい。こうして、ＥＣＵ５０１は前述の方法の実施形態において車載システムにおけるセキュリティ保護方法を行う。

【0272】

例えば、図７の生成モジュール５０１１、署名モジュール５０１２、送信モジュール５０１３、および受信モジュール５０１４の機能／実装プロセスが、メモリ２０３に格納されたコンピュータ実行可能命令を図２のプロセッサ２０１が呼び出すことにより実現されてよい。あるいは、図７の生成モジュール５０１１および署名モジュール５０１２の機能／実装プロセスが、メモリ２０３に格納されたコンピュータ実行可能命令を図２のプロセッサ２０１が呼び出すことにより実現されてよく、図７の送信モジュール５０１３および受信モジュール５０１４の機能／実装プロセスが図２の通信インタフェース２０４により実現されてよい。

【0273】

本願の本実施形態で提供されるＥＣＵ５０１は、車載システムにおけるセキュリティ保護方法を行ってよい。したがって、ＥＣＵ５０１によって得ることができる技術的効果については、前述の方法の実施形態を参照されたい。詳細については、再度ここで説明しない。

【0274】

各機能モジュールを統合によって分割した場合、図８はドメインコントローラ５０２の概略構造図である。ドメインコントローラ５０２は、受信モジュール５０２１、生成モジュール５０２２、検証モジュール５０２３、署名モジュール５０２４、および送信モジュール５０２５を含む。

【0275】

受信モジュール５０２１は、第１署名情報、電子制御ユニットＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをＥＣＵから受信するように構成されており、第１署名情報はＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名することにより取得され、ＥＣＵのファームウェアダイジェストはＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる。

【0276】

生成モジュール５０２２は、第２セキュリティ保護モジュールを用いてドメインコントローラの公開鍵およびドメインコントローラの秘密鍵を生成するように構成される。

【0277】

検証モジュール５０２３は、ＥＣＵの公開鍵を用いて第１署名情報に対して検証を行うように構成される。

【0278】

署名モジュール５０２４は、第１署名情報が検証された場合、ドメインコントローラの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名して、第２署名情報を取得するように構成される。

【0279】

送信モジュール５０２５は、第２署名情報、ドメインコントローラの公開鍵、およびＥＣＵのファームウェアダイジェストをゲートウェイに送信するように構成される。

【0280】

任意選択的に、第１セキュリティ保護モジュールはＥＣＵに配置され、第１セキュリティ保護モジュールは、ＥＣＵに対してセキュリティ保護を提供するように構成され、第１セキュリティ保護モジュールのセキュリティレベルは第１セキュリティレベルである。第３セキュリティ保護モジュールはゲートウェイに配置され、第３セキュリティ保護モジュールは、ゲートウェイに対してセキュリティ保護を提供するように構成され、第３セキュリティ保護モジュールのセキュリティレベルは第３セキュリティレベルである。

【0281】

任意選択的に、第１セキュリティ保護モジュールはデバイス識別子構成エンジンＤＩＣＥを含む。第２セキュリティ保護モジュールは、トラステッドプラットフォームモジュールシンＴＰＭ－Ｔｈｉｎ、埋め込み型セキュアエレメントｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュールＨＳＭを含むチップを内蔵する。第３セキュリティ保護モジュールは、トラステッドプラットフォームモジュールリッチＴＰＭ－Ｒｉｃｈ、ｅＳＥ、物理的に分離されたＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを内蔵する。

【0282】

任意選択的に、ドメインコントローラはＥＣＵリストを格納し、当該ＥＣＵはリスト内のＥＣＵである。

【0283】

任意選択的に、受信モジュール５０２１はさらに、ゲートウェイから第１応答情報を受信するように構成され、第１応答情報はＥＣＵを起動することを示すのに用いられる。送信モジュール５０２５はさらに、第１応答情報をＥＣＵに送信するように構成される。

【0284】

前述の方法の実施形態における各動作の全関連内容は、対応する機能モジュールの機能説明に挙げられているであろう。詳細については、再度ここで説明しない。

【0285】

本実施形態では、ドメインコントローラ５０２は、分割によって取得された複数の機能モジュールの形態で一体的に示され得る。本明細書における「モジュール」とは、特定のＡＳＩＣ、回路、１つまたは複数のソフトウェアまたはファームウェアプログラムを実行するプロセッサ、メモリ、集積論理回路、および／または前述の機能を提供できる別のデバイスであってよい。簡単な一実施形態において、当業者であれば、ドメインコントローラ５０２は図２に示す形態であってよいと理解するであろう。

【0286】

例えば、図２のプロセッサ２０１はメモリ２０３に格納されたコンピュータ実行可能命令を呼び出してよい。こうして、ドメインコントローラ５０２は前述の方法の実施形態において車載システムにおけるセキュリティ保護方法を行う。

【0287】

例えば、図８の受信モジュール５０２１、生成モジュール５０２２、検証モジュール５０２３、署名モジュール５０２４、および送信モジュール５０２５の機能／実装プロセスが、メモリ２０３に格納されたコンピュータ実行可能命令を図２のプロセッサ２０１が呼び出すことにより実現されてよい。あるいは、図８の生成モジュール５０２２、検証モジュール５０２３、および署名モジュール５０２４の機能／実装プロセスが、メモリ２０３に格納されたコンピュータ実行可能命令を図２のプロセッサ２０１が呼び出すことにより実現されてよく、図８の受信モジュール５０２１および送信モジュール５０２５の機能／実装プロセスが、図２の通信インタフェース２０４により実現されてよい。

【0288】

本願の本実施形態で提供されるドメインコントローラ５０２は、車載システムにおけるセキュリティ保護方法を行ってよい。したがって、ドメインコントローラ５０２によって得ることができる技術的効果については、前述の方法の実施形態を参照されたい。詳細については、再度ここで説明しない。

【0289】

各機能モジュールを統合によって分割した場合、図９はゲートウェイ５０３の概略構造図である。ゲートウェイ５０３は、受信モジュール５０３１、生成モジュール５０３２、検証モジュール５０３３、署名モジュール５０３４、および送信モジュール５０３５を含む。

【0290】

受信モジュール５０３１は、第２署名情報、ドメインコントローラの公開鍵、およびＥＣＵのファームウェアダイジェストをドメインコントローラから受信するように構成され、第２署名情報はドメインコントローラの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名することにより取得され、ＥＣＵのファームウェアダイジェストはＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる。

【0291】

生成モジュール５０３２は、第３セキュリティ保護モジュールを用いてゲートウェイの公開鍵およびゲートウェイの秘密鍵を生成するように構成される。

【0292】

検証モジュール５０３３は、ドメインコントローラの公開鍵を用いて第２署名情報に対して検証を行うように構成される。

【0293】

署名モジュール５０３４は、第２署名情報が検証された場合、ゲートウェイの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名して、第３署名情報を取得するように構成される。

【0294】

送信モジュール５０３５は、第３署名情報、ゲートウェイの公開鍵、およびＥＣＵのファームウェアダイジェストをサーバに送信するように構成される。

【0295】

任意選択的に、第２セキュリティ保護モジュールはドメインコントローラに配置され、第２セキュリティ保護モジュールは、ドメインコントローラに対してセキュリティ保護を提供するように構成され、第２セキュリティ保護モジュールのセキュリティレベルは第２セキュリティレベルである。

【0296】

任意選択的に、第２セキュリティ保護モジュールは、トラステッドプラットフォームモジュールシンＴＰＭ－Ｔｈｉｎ、埋め込み型セキュアエレメントｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュールＨＳＭを含むチップを内蔵する。第３セキュリティ保護モジュールは、トラステッドプラットフォームモジュールリッチＴＰＭ－Ｒｉｃｈ、ｅＳＥ、物理的に分離されたＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを内蔵する。

【0297】

任意選択的に、ドメインコントローラはＥＣＵリストを格納し、当該ＥＣＵはリスト内のＥＣＵである。

【0298】

任意選択的に、受信モジュール５０３１はさらに、サーバから第１応答情報を受信するように構成され、第１応答情報はＥＣＵを起動することを示すのに用いられる。送信モジュール５０３５はさらに、第１応答情報をドメインコントローラに送信するように構成される。

【0299】

前述の方法の実施形態における各動作の全関連内容は、対応する機能モジュールの機能説明に挙げられているであろう。詳細については、再度ここで説明しない。

【0300】

本実施形態では、ゲートウェイ５０３は、分割によって取得された複数の機能モジュールの形態で一体的に示され得る。本明細書における「モジュール」とは、特定のＡＳＩＣ、回路、１つまたは複数のソフトウェアまたはファームウェアプログラムを実行するプロセッサ、メモリ、集積論理回路、および／または前述の機能を提供できる別のデバイスであってよい。簡単な一実施形態において、当業者であれば、ゲートウェイ５０３は図２に示す形態であってよいと理解するであろう。

【0301】

例えば、図２のプロセッサ２０１はメモリ２０３に格納されたコンピュータ実行可能命令を呼び出してよい。こうして、ゲートウェイ５０３は前述の方法の実施形態において車載システムにおけるセキュリティ保護方法を行う。

【0302】

例えば、図９の受信モジュール５０３１、生成モジュール５０３２、検証モジュール５０３３、署名モジュール５０３４、および送信モジュール５０３５の機能／実装プロセスが、メモリ２０３に格納されたコンピュータ実行可能命令を図２のプロセッサ２０１が呼び出すことにより実現されてよい。あるいは、図９の生成モジュール５０３２、検証モジュール５０３３、および署名モジュール５０３４の機能／実装プロセスが、メモリ２０３に格納されたコンピュータ実行可能命令を図２のプロセッサ２０１が呼び出すことにより実現されてよく、図９の受信モジュール５０３１および送信モジュール５０３５の機能／実装プロセスが、図２の通信インタフェース２０４により実現されてよい。

【0303】

本願の本実施形態で提供されるゲートウェイ５０３は、車載システムにおけるセキュリティ保護方法を行ってよい。したがって、ゲートウェイ５０３によって得ることができる技術的効果については、前述の方法の実施形態を参照されたい。詳細については、再度ここで説明しない。

【0304】

各機能モジュールを統合によって分割した場合、図１０はドメインコントローラ５０２の別の概略構造図である。ドメインコントローラ５０２は、受信モジュール５０２６および送信モジュール５０２７を含む。

【0305】

受信モジュール５０２６は、第１署名情報、電子制御ユニットＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをＥＣＵから受信するように構成されており、第１署名情報はＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名することにより取得され、ＥＣＵのファームウェアダイジェストはＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる。

【0306】

送信モジュール５０２７は、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをゲートウェイに送信するように構成される。

【0307】

任意選択的に、第１セキュリティ保護モジュールはＥＣＵに配置され、第１セキュリティ保護モジュールは、ＥＣＵに対してセキュリティ保護を提供するように構成され、第１セキュリティ保護モジュールのセキュリティレベルは第１セキュリティレベルである。第３セキュリティ保護モジュールはゲートウェイに配置され、第３セキュリティ保護モジュールは、ゲートウェイに対してセキュリティ保護を提供するように構成され、第３セキュリティ保護モジュールのセキュリティレベルは第３セキュリティレベルである。

【0308】

任意選択的に、第１セキュリティ保護モジュールはデバイス識別子構成エンジンＤＩＣＥを含む。第２セキュリティ保護モジュールは、トラステッドプラットフォームモジュールシンＴＰＭ－Ｔｈｉｎ、埋め込み型セキュアエレメントｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュールＨＳＭを含むチップを内蔵する。第３セキュリティ保護モジュールは、トラステッドプラットフォームモジュールリッチＴＰＭ－Ｒｉｃｈ、ｅＳＥ、物理的に分離されたＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを内蔵する。

【0309】

任意選択的に、ドメインコントローラはＥＣＵリストを格納し、当該ＥＣＵはリスト内のＥＣＵである。

【0310】

任意選択的に、受信モジュール５０２６はゲートウェイから第１応答情報を受信するように構成され、第１応答情報はＥＣＵを起動することを示すのに用いられる。送信モジュール５０２７は、第１応答情報をＥＣＵに送信するように構成される。

【0311】

前述の方法の実施形態における各動作の全関連内容は、対応する機能モジュールの機能説明に挙げられているであろう。詳細については、再度ここで説明しない。

【0312】

本実施形態では、ドメインコントローラ５０２は、分割によって取得された複数の機能モジュールの形態で一体的に示され得る。本明細書における「モジュール」とは、特定のＡＳＩＣ、回路、１つまたは複数のソフトウェアまたはファームウェアプログラムを実行するプロセッサ、メモリ、集積論理回路、および／または前述の機能を提供できる別のデバイスであってよい。簡単な一実施形態において、当業者であれば、ドメインコントローラ５０２は図２に示す形態であってよいと理解するであろう。

【0313】

例えば、図２のプロセッサ２０１はメモリ２０３に格納されたコンピュータ実行可能命令を呼び出してよい。こうして、ドメインコントローラ５０２は前述の方法の実施形態において、車載システムにおけるセキュリティ保護方法を行う。

【0314】

例えば、図１０の受信モジュール５０２６および送信モジュール５０２７の機能／実装プロセスが、メモリ２０３に格納されたコンピュータ実行可能命令を図２のプロセッサ２０１が呼び出すことにより実現されてよい。あるいは、図１０の受信モジュール５０２６および送信モジュール５０２７の機能／実装プロセスが、図２の通信インタフェース２０４により実現されてよい。

【0315】

本願の本実施形態で提供されるドメインコントローラ５０２は、車載システムにおけるセキュリティ保護方法を行ってよい。したがって、ドメインコントローラ５０２によって得ることができる技術的効果については、前述の方法の実施形態を参照されたい。詳細については、再度ここで説明しない。

【0316】

各機能モジュールを統合によって分割した場合、図１１はゲートウェイ５０３の別の概略構造図である。ゲートウェイ５０３は、受信モジュール５０３６および送信モジュール５０３７を含む。

【0317】

受信モジュール５０３６は、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをドメインコントローラから受信するように構成されており、第１署名情報はＥＣＵの秘密鍵を用いてＥＣＵのファームウェアダイジェストに署名することにより取得され、ＥＣＵのファームウェアダイジェストはＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる。

【0318】

送信モジュール５０３７は、第１署名情報、ＥＣＵの公開鍵、およびＥＣＵのファームウェアダイジェストをサーバに送信するように構成される。

【0319】

任意選択的に、第２セキュリティ保護モジュールはドメインコントローラに配置され、第２セキュリティ保護モジュールは、ドメインコントローラに対してセキュリティ保護を提供するように構成され、第２セキュリティ保護モジュールのセキュリティレベルは第２セキュリティレベルである。

【0320】

任意選択的に、第２セキュリティ保護モジュールは、トラステッドプラットフォームモジュールシンＴＰＭ－Ｔｈｉｎ、埋め込み型セキュアエレメントｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュールＨＳＭを含むチップを内蔵する。第３セキュリティ保護モジュールは、トラステッドプラットフォームモジュールリッチＴＰＭ－Ｒｉｃｈ、ｅＳＥ、物理的に分離されたＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを内蔵する。

【0321】

任意選択的に、ドメインコントローラはＥＣＵリストを格納し、当該ＥＣＵはリスト内のＥＣＵである。

【0322】

任意選択的に、受信モジュール５０３６は、サーバから第１応答情報を受信するように構成され、第１応答情報はＥＣＵを起動することを示すのに用いられる。送信モジュール５０３７は、第１応答情報をドメインコントローラに送信するように構成される。

【0323】

前述の方法の実施形態における各動作の全関連内容は、対応する機能モジュールの機能説明に挙げられているであろう。詳細については、再度ここで説明しない。

【0324】

本実施形態では、ゲートウェイ５０３は、分割によって取得された複数の機能モジュールの形態で一体的に示され得る。本明細書における「モジュール」とは、特定のＡＳＩＣ、回路、１つまたは複数のソフトウェアまたはファームウェアプログラムを実行するプロセッサ、メモリ、集積論理回路、および／または前述の機能を提供できる別のデバイスであってよい。簡単な一実施形態において、当業者であれば、ゲートウェイ５０３は図２に示す形態であってよいと理解するであろう。

【0325】

例えば、図２のプロセッサ２０１はメモリ２０３に格納されたコンピュータ実行可能命令を呼び出してよい。こうして、ゲートウェイ５０３は前述の方法の実施形態において車載システムにおけるセキュリティ保護方法を行う。

【0326】

例えば、図１１の受信モジュール５０３６および送信モジュール５０３７の機能／実装プロセスが、メモリ２０３に格納されたコンピュータ実行可能命令を図２のプロセッサ２０１が呼び出すことにより実現されてよい。あるいは、図１１の受信モジュール５０３６および送信モジュール５０３７の機能／実装プロセスが、図２の通信インタフェース２０４により実現されてよい。

【0327】

本願の本実施形態で提供されるゲートウェイ５０３は、車載システムにおけるセキュリティ保護方法を行ってよい。したがって、ゲートウェイ５０３によって得ることができる技術的効果については、前述の方法の実施形態を参照されたい。詳細については、再度ここで説明しない。

【0328】

前述の実施形態の全部または一部が、ソフトウェア、ハードウェア、ファームウェア、またはそのあらゆる組み合わせを用いて実現されてよい。ソフトウェアプログラムを用いて実施形態を実現する場合、実施形態の全部または一部がコンピュータプログラム製品の形態で実現されてよい。コンピュータプログラム製品は、１つまたは複数のコンピュータ命令を含む。コンピュータプログラム命令をコンピュータにロードして実行すると、本願の実施形態による手順または機能が全てまたは部分的にもたらされる。コンピュータは、汎用コンピュータ、専用コンピュータ、コンピュータネットワーク、または別のプログラム可能型装置であってもよい。コンピュータ命令はコンピュータ可読記憶媒体に格納されてもよく、あるコンピュータ可読記憶媒体から別のコンピュータ可読記憶媒体に伝送されてもよい。例えば、コンピュータ命令は、あるウェブサイト、コンピュータ、サーバ、またはデータセンタから、別のウェブサイト、コンピュータ、サーバ、またはデータセンタに、有線（例えば、同軸ケーブル、光ファイバ、またはデジタル加入者回線（ｄｉｇｉｔａｌ ｓｕｂｓｃｒｉｂｅｒ ｌｉｎｅ、ＤＳＬ））方式または無線（例えば、赤外線、無線、またはマイクロ波）方式で伝送されてよい。コンピュータ可読記憶媒体は、コンピュータがアクセス可能な任意の使用可能な媒体であっても、１つまたは複数の使用可能な媒体を統合したデータストレージデバイス（例えば、サーバまたはデータセンタ）であってもよい。使用可能な媒体は、磁気媒体（例えば、フロッピディスク、ハードディスク、または磁気テープ）、光媒体（例えば、ＤＶＤ）、または半導体媒体（例えば、ソリッドステートドライブ（ｓｏｌｉｄ ｓｔａｔｅ ｄｉｓｋ、ＳＳＤ））などであってもよい。

【0329】

本願は複数の実施形態を参照して説明されているが、保護を主張する本願を実現する手順において、当業者であれば、添付図面、開示内容、および添付した特許請求の範囲を考察することにより、開示した実施形態の別の変形例を理解して実現するであろう。特許請求の範囲においては、「ｃｏｍｐｒｉｓｅ（含む）」（ｃｏｍｐｒｉｓｉｎｇ）が別のコンポーネントも別の段階も除外することはなく、「ａ」も「ｏｎｅ」も複数の場合を除外することはない。１つのプロセッサまたは別のユニットが、特許請求の範囲に列挙されるいくつかの機能を実装してよい。いくつかの手段が、互いに異なる複数の従属クレームに述べられているが、これをもって、これらの手段を組み合わせても大きな効果をもたらすことができないと言っているわけではない。

【0330】

本願は具体的な特徴およびその実施形態を参照して説明されているが、それらに対して、本願の趣旨および範囲から逸脱することなく、様々な修正および組み合わせが行われてよいことは明らかである。同様に、本明細書および添付図面は、添付した特許請求の範囲によって定められる本願の単なる例示的な説明に過ぎず、本願の範囲内の修正例、変形例、組み合わせ例、もしくは均等例のうちのいずれか、または全てを包含することが意図されている。当業者であれば、本願の趣旨および範囲から逸脱することなく、本願に対して様々な修正および変形を行い得ることは明らかである。このように、本願のこれらの修正および変形が本願の特許請求の範囲およびその均等な技術の範囲内に含まれる限り、本願はそうした修正および変形を包含することが意図されている。
［他の考え得る請求項］
（請求項１）
ゲートウェイと、ドメインコントローラと、前記ドメインコントローラに対応する電子制御ユニットＥＣＵとを備える車載システムであって、前記ゲートウェイが前記ドメインコントローラに接続されており、前記ドメインコントローラが前記ＥＣＵに接続されており、
前記ＥＣＵには第１セキュリティ保護モジュールが配置されており、前記第１セキュリティ保護モジュールが前記ＥＣＵに対してセキュリティ保護を提供するように構成されており、前記第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルであり、
前記ドメインコントローラには第２セキュリティ保護モジュールが配置されており、前記第２セキュリティ保護モジュールが前記ドメインコントローラに対してセキュリティ保護を提供するように構成されており、前記第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルであり、
前記ゲートウェイには第３セキュリティ保護モジュールが配置されており、前記第３セキュリティ保護モジュールが前記ゲートウェイに対してセキュリティ保護を提供するように構成されており、前記第３セキュリティ保護モジュールのセキュリティレベルが第３セキュリティレベルである、車載システム。
（請求項２）
前記第３セキュリティレベルが前記第２セキュリティレベルより高いまたはこれに等しく、前記第２セキュリティレベルが前記第１セキュリティレベルより高い、請求項１に記載の車載システム。
（請求項３）
前記第１セキュリティ保護モジュールがデバイス識別子構成エンジンＤＩＣＥを有し、
前記第２セキュリティ保護モジュールが、トラステッドプラットフォームモジュールシン、埋め込み型セキュアエレメントｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュールＨＳＭを含むチップを有し、
前記第３セキュリティ保護モジュールが、トラステッドプラットフォームモジュールリッチ、ｅＳＥ、物理的に分離されたＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを有する、請求項１または２に記載の車載システム。
（請求項４）
車載システムにおけるセキュリティ保護方法であって、
電子制御ユニットＥＣＵが第１セキュリティ保護モジュールを用いて前記ＥＣＵの公開鍵および前記ＥＣＵの秘密鍵を生成する段階であって、前記第１セキュリティ保護モジュールが前記ＥＣＵに対してセキュリティ保護を提供するように構成されており、前記第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルである、生成する段階と、
前記ＥＣＵが前記ＥＣＵの前記秘密鍵を用いて前記ＥＣＵのファームウェアダイジェストに署名し、第１署名情報を取得する段階と、
前記ＥＣＵが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストをドメインコントローラに送信する段階と、
前記ドメインコントローラが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ＥＣＵから受信する段階と、
前記ドメインコントローラが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストをゲートウェイに送信する段階と、
前記ゲートウェイが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ドメインコントローラから受信する段階と、
前記ゲートウェイが、前記第１署名情報、前記ＥＵＣの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストをサーバに送信する段階と
を備える方法。
（請求項５）
前記第１セキュリティ保護モジュールがデバイス識別子構成エンジンＤＩＣＥを有する、請求項４に記載の方法。
（請求項６）
前記ドメインコントローラがＥＣＵリストを格納し、前記ＥＣＵが前記リスト内のＥＣＵである、請求項４または５に記載の方法。
（請求項７）
前記ＥＣＵの前記ファームウェアダイジェストが前記ＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる、請求項４から６のいずれか一項に記載の方法。
（請求項８）
前記方法がさらに、
前記サーバが、前記第１署名情報、前記ＥＵＣの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ゲートウェイから受信する段階と、
前記サーバが前記ＥＣＵの前記公開鍵を用いて前記第１署名情報に対して検証を行う段階と、
前記第１署名情報が検証された場合、前記サーバが前記ゲートウェイに第１応答情報を送信する段階であって、前記第１応答情報は前記ＥＣＵを起動することを示すのに用いられる、送信する段階と、
前記ゲートウェイが前記第１応答情報を前記サーバから受信する段階と、
前記ゲートウェイが前記第１応答情報を前記ドメインコントローラに送信する段階と、
前記ドメインコントローラが前記第１応答情報を前記ゲートウェイから受信する段階と、
前記ドメインコントローラが前記第１応答情報を前記ＥＣＵに送信する段階と、
前記ＥＣＵが前記第１応答情報を前記ドメインコントローラから受信する段階と
を備える、請求項４から７のいずれか一項に記載の方法。
（請求項９）
車載システムにおけるセキュリティ保護方法であって、
電子制御ユニットＥＣＵが第１セキュリティ保護モジュールを用いて前記ＥＣＵの公開鍵および前記ＥＣＵの秘密鍵を生成する段階であって、前記第１セキュリティ保護モジュールが前記ＥＣＵに対してセキュリティ保護を提供するように構成されており、前記第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルである、生成する段階と、
前記ＥＣＵが前記ＥＣＵの前記秘密鍵を用いて前記ＥＣＵのファームウェアダイジェストに署名し、第１署名情報を取得する段階と、
前記ＥＣＵが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストをドメインコントローラに送信する段階と、
前記ドメインコントローラが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ＥＣＵから受信する段階と、
前記ドメインコントローラが第２セキュリティ保護モジュールを用いて前記ドメインコントローラの公開鍵および前記ドメインコントローラの秘密鍵を生成する段階であって、前記第２セキュリティ保護モジュールが前記ドメインコントローラに対してセキュリティ保護を提供するように構成されており、前記第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルである、生成する段階と、
前記ドメインコントローラが前記ＥＣＵの前記公開鍵を用いて前記第１署名情報に対して検証を行う段階と、
前記第１署名情報が検証された場合、前記ドメインコントローラが前記ドメインコントローラの前記秘密鍵を用いて前記ＥＣＵの前記ファームウェアダイジェストに署名し、第２署名情報を取得する段階と、
前記ドメインコントローラが、前記第２署名情報、前記ドメインコントローラの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストをゲートウェイに送信する段階と、
前記ゲートウェイが、前記第２署名情報、前記ドメインコントローラの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ドメインコントローラから受信する段階と、
前記ゲートウェイが第３セキュリティ保護モジュールを用いて前記ゲートウェイの公開鍵および前記ゲートウェイの秘密鍵を生成する段階であって、前記第３セキュリティ保護モジュールが前記ゲートウェイに対してセキュリティ保護を提供するように構成されており、前記第３セキュリティ保護モジュールのセキュリティレベルが第３セキュリティレベルである、生成する段階と、
前記ゲートウェイが前記ドメインコントローラの前記公開鍵を用いて前記第２署名情報に対して検証を行う段階と、
前記第２署名情報が検証された場合、前記ゲートウェイが前記ゲートウェイの前記秘密鍵を用いて前記ＥＣＵの前記ファームウェアダイジェストに署名し、第３署名情報を取得する段階と、
前記ゲートウェイが、前記第３署名情報、前記ゲートウェイの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストをサーバに送信する段階と
を備える方法。
（請求項１０）
前記第３セキュリティレベルが前記第２セキュリティレベルより高いまたはこれに等しく、前記第２セキュリティレベルが前記第１セキュリティレベルより高い、請求項９に記載の方法。
（請求項１１）
前記第１セキュリティ保護モジュールがデバイス識別子構成エンジンＤＩＣＥを有し、
前記第２セキュリティ保護モジュールが、トラステッドプラットフォームモジュールシン、埋め込み型セキュアエレメントｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュールＨＳＭを含むチップを有し、
前記第３セキュリティ保護モジュールが、トラステッドプラットフォームモジュールリッチ、ｅＳＥ、物理的に分離されたＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを有する、請求項９に記載の方法。
（請求項１２）
前記ドメインコントローラがＥＣＵリストを格納し、前記ＥＣＵが前記リスト内のＥＣＵである、請求項９から１１のいずれか一項に記載の方法。
（請求項１３）
前記ＥＣＵの前記ファームウェアダイジェストが前記ＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる、請求項９から１２のいずれか一項に記載の方法。
（請求項１４）
前記方法がさらに、
前記サーバが、前記第３署名情報、前記ゲートウェイの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ゲートウェイから受信する段階と、
前記サーバが前記ゲートウェイの前記公開鍵を用いて前記第３署名情報に対して検証を行う段階と、
前記第３署名情報が検証された場合、前記サーバが前記ゲートウェイに第１応答情報を送信する段階であって、前記第１応答情報は前記ＥＣＵが起動することを示すのに用いられる、送信する段階と、
前記ゲートウェイが前記第１応答情報を前記サーバから受信する段階と、
前記ゲートウェイが前記第１応答情報を前記ドメインコントローラに送信する段階と、
前記ドメインコントローラが前記第１応答情報を前記ゲートウェイから受信する段階と、
前記ドメインコントローラが前記第１応答情報を前記ＥＣＵに送信する段階と、
前記ＥＣＵが前記第１応答情報を前記ドメインコントローラから受信する段階と
を備える、請求項９から１３のいずれか一項に記載の方法。
（請求項１５）
電子制御ユニットＥＣＵと、ドメインコントローラと、ゲートウェイとを備える車載セキュリティ保護システムであって、
前記ＥＣＵが第１セキュリティ保護モジュールを用いて前記ＥＣＵの公開鍵および前記ＥＣＵの秘密鍵を生成するように構成されており、前記第１セキュリティ保護モジュールが前記ＥＣＵに対してセキュリティ保護を提供するように構成されており、前記第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルであり、
前記ＥＣＵがさらに、前記ＥＣＵの前記秘密鍵を用いて前記ＥＣＵのファームウェアダイジェストに署名し、第１署名情報を取得するように構成されており、
前記ＥＣＵがさらに、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ドメインコントローラに送信するように構成されており、
前記ドメインコントローラが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ＥＣＵから受信するように構成されており、
前記ドメインコントローラがさらに、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ゲートウェイに送信するように構成されており、
前記ゲートウェイが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ドメインコントローラから受信するように構成されており、
前記ゲートウェイがさらに、前記第１署名情報、前記ＥＵＣの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストをサーバに送信するように構成されている、車載セキュリティ保護システム。
（請求項１６）
前記第１セキュリティ保護モジュールがデバイス識別子構成エンジンＤＩＣＥを有する、請求項１５に記載の車載セキュリティ保護システム。
（請求項１７）
前記ドメインコントローラがＥＣＵリストを格納し、前記ＥＣＵが前記リスト内のＥＣＵである、請求項１５または１６に記載の車載セキュリティ保護システム。
（請求項１８）
前記ＥＣＵの前記ファームウェアダイジェストが前記ＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる、請求項１５から１７のいずれか一項に記載の車載セキュリティ保護システム。
（請求項１９）
前記車載セキュリティ保護システムがさらに前記サーバを備え、
前記サーバが、前記第１署名情報、前記ＥＵＣの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ゲートウェイから受信するように構成されており、
前記サーバがさらに、前記ＥＣＵの前記公開鍵を用いて前記第１署名情報に対して検証を行うように構成されており、
前記サーバがさらに、前記第１署名情報が検証された場合、前記ゲートウェイに第１応答情報を送信するように構成されており、前記第１応答情報が前記ＥＣＵを起動することを示すのに用いられ、
前記ゲートウェイがさらに、前記第１応答情報を前記サーバから受信するように構成されており、
前記ゲートウェイがさらに、前記第１応答情報を前記ドメインコントローラに送信するように構成されており、
前記ドメインコントローラがさらに、前記第１応答情報を前記ゲートウェイから受信するように構成されており、
前記ドメインコントローラがさらに、前記第１応答情報を前記ＥＣＵに送信するように構成されており、
前記ＥＣＵがさらに、前記第１応答情報を前記ドメインコントローラから受信するように構成されている、請求項１５から１８のいずれか一項に記載の車載セキュリティ保護システム。
（請求項２０）
電子制御ユニットＥＣＵと、ドメインコントローラと、ゲートウェイとを備える車載セキュリティ保護システムであって、
前記ＥＣＵが第１セキュリティ保護モジュールを用いて前記ＥＣＵの公開鍵および前記ＥＣＵの秘密鍵を生成するように構成されており、前記第１セキュリティ保護モジュールが前記ＥＣＵに対してセキュリティ保護を提供するように構成されており、前記第１セキュリティ保護モジュールのセキュリティレベルが第１セキュリティレベルであり、
前記ＥＣＵがさらに、前記ＥＣＵの前記秘密鍵を用いて前記ＥＣＵのファームウェアダイジェストに署名し、第１署名情報を取得するように構成されており、
前記ＥＣＵがさらに、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ドメインコントローラに送信するように構成されており、
前記ドメインコントローラが、前記第１署名情報、前記ＥＣＵの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ＥＣＵから受信するように構成されており、
前記ドメインコントローラがさらに、第２セキュリティ保護モジュールを用いて前記ドメインコントローラの公開鍵および前記ドメインコントローラの秘密鍵を生成するように構成されており、前記第２セキュリティ保護モジュールが前記ドメインコントローラに対してセキュリティ保護を提供するように構成されており、前記第２セキュリティ保護モジュールのセキュリティレベルが第２セキュリティレベルであり、
前記ドメインコントローラがさらに、前記ＥＣＵの前記公開鍵を用いて前記第１署名情報に対して検証を行うように構成されており、
前記ドメインコントローラがさらに、前記第１署名情報が検証された場合、前記ドメインコントローラの前記秘密鍵を用いて前記ＥＣＵの前記ファームウェアダイジェストに署名し、第２署名情報を取得するように構成されており、
前記ドメインコントローラがさらに、前記第２署名情報、前記ドメインコントローラの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ゲートウェイに送信するように構成されており、
前記ゲートウェイが、前記第２署名情報、前記ドメインコントローラの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ドメインコントローラから受信するように構成されており、
前記ゲートウェイがさらに、第３セキュリティ保護モジュールを用いて前記ゲートウェイの公開鍵および前記ゲートウェイの秘密鍵を生成するように構成されており、前記第３セキュリティ保護モジュールが前記ゲートウェイに対してセキュリティ保護を提供するように構成されており、前記第３セキュリティ保護モジュールのセキュリティレベルが第３セキュリティレベルであり、
前記ゲートウェイがさらに、前記ドメインコントローラの前記公開鍵を用いて前記第２署名情報に対して検証を行うように構成されており、
前記ゲートウェイがさらに、前記第２署名情報が検証された場合、前記ゲートウェイの前記秘密鍵を用いて前記ＥＣＵの前記ファームウェアダイジェストに署名し、第３署名情報を取得するように構成されており、
前記ゲートウェイがさらに、前記第３署名情報、前記ゲートウェイの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストをサーバに送信するように構成されている、車載セキュリティ保護システム。
（請求項２１）
前記第３セキュリティレベルが前記第２セキュリティレベルより高いまたはこれに等しく、前記第２セキュリティレベルが前記第１セキュリティレベルより高い、請求項２０に記載の車載セキュリティ保護システム。
（請求項２２）
前記第１セキュリティ保護モジュールがデバイス識別子構成エンジンＤＩＣＥを有し、
前記第２セキュリティ保護モジュールが、トラステッドプラットフォームモジュールシン、埋め込み型セキュアエレメントｅＳＥ、物理的に分離されたセキュリティプロセッサＳＰシステムを含むチップ、または物理的に分離されたハードウェアセキュリティモジュールＨＳＭを含むチップを有し、
前記第３セキュリティ保護モジュールが、トラステッドプラットフォームモジュールリッチ、ｅＳＥ、物理的に分離されたＳＰシステムを含むチップ、または物理的に分離されたＨＳＭを含むチップを有する、請求項２０または２１に記載の車載セキュリティ保護システム。
（請求項２３）
前記ドメインコントローラがＥＣＵリストを格納し、前記ＥＣＵが前記リスト内のＥＣＵである、請求項２０から２２のいずれか一項に記載の車載セキュリティ保護システム。
（請求項２４）
前記ＥＣＵの前記ファームウェアダイジェストが前記ＥＣＵのファームウェアを第１ダイジェスト関数に従って計算することにより求められる、請求項２０から２３のいずれか一項に記載の車載セキュリティ保護システム。
（請求項２５）
前記車載セキュリティ保護システムがさらに前記サーバを備え、
前記サーバが、前記第３署名情報、前記ゲートウェイの前記公開鍵、および前記ＥＣＵの前記ファームウェアダイジェストを前記ゲートウェイから受信するように構成されており、
前記サーバがさらに、前記ゲートウェイの前記公開鍵を用いて前記第３署名情報に対して検証を行うように構成されており、
前記サーバがさらに、前記第３署名情報が検証された場合、前記ゲートウェイに第１応答情報を送信するように構成されており、前記第１応答情報が前記ＥＣＵを起動することを示すのに用いられ、
前記ゲートウェイがさらに、前記第１応答情報を前記サーバから受信するように構成されており、
前記ゲートウェイがさらに、前記第１応答情報を前記ドメインコントローラに送信するように構成されており、
前記ドメインコントローラがさらに、前記第１応答情報を前記ゲートウェイから受信するように構成されており、
前記ドメインコントローラがさらに、前記第１応答情報を前記ＥＣＵに送信するように構成されており、
前記ＥＣＵがさらに、前記第１応答情報を前記ドメインコントローラから受信するように構成されている、請求項２０から２４のいずれか一項に記載の車載セキュリティ保護システム。
（請求項２６）
コンピュータ記憶媒体であって、前記コンピュータ可読記憶媒体がプログラム命令を格納し、前記プログラム命令が実行されると、請求項４から８のいずれか一項に記載の車載システムにおけるセキュリティ保護方法が実施される、コンピュータ記憶媒体。
（請求項２７）
コンピュータ記憶媒体であって、前記コンピュータ可読記憶媒体がプログラム命令を格納し、前記プログラム命令が実行されると、請求項９から１４のいずれか一項に記載の車載システムにおけるセキュリティ保護方法が実施される、コンピュータ記憶媒体。

【図1(a)】

【図1(b)】

【図2】

【図3A】

【図3B】

【図3C】

【図4A】

【図4B】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【国際調査報告】