知財求人 - 知財ポータルサイト「IP Force」
▶ コンチネンタル オートモーティヴ テクロノジーズ ゲー・エム・ベー・ハーの特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2024-07-25
(54)【発明の名称】車両のセキュリティを検証するための方法及びシステム
(51)【国際特許分類】
G09C 1/00 20060101AFI20240718BHJP
G06F 21/44 20130101ALI20240718BHJP
【ＦＩ】
G09C1/00 650Z
G06F21/44
【審査請求】有
【予備審査請求】未請求
(21)【出願番号】P 2024500235
(86)(22)【出願日】2022-06-24
(85)【翻訳文提出日】2024-01-05
(86)【国際出願番号】 EP2022067390
(87)【国際公開番号】W WO2023280601
(87)【国際公開日】2023-01-12
(31)【優先権主張番号】2109903.1
(32)【優先日】2021-07-09
(33)【優先権主張国・地域又は機関】GB
(81)【指定国・地域】
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＨＤＭＩ
２．ＢＬＵＥＴＯＯＴＨ
(71)【出願人】
【識別番号】522388073
【氏名又は名称】コンチネンタル・オートモーティヴ・テクノロジーズ・ゲゼルシャフト・ミト・ベシュレンクテル・ハフツング
【氏名又は名称原語表記】Ｃｏｎｔｉｎｅｎｔａｌ Ａｕｔｏｍｏｔｉｖｅ Ｔｅｃｈｎｏｌｏｇｉｅｓ ＧｍｂＨ
【住所又は居所原語表記】Ｃｏｎｔｉｎｅｎｔａｌ－Ｐｌａｚａ １， ３０１７５ Ｈａｎｎｏｖｅｒ， Ｇｅｒｍａｎｙ
(74)【代理人】
【識別番号】100114890
【弁理士】
【氏名又は名称】アインゼル・フェリックス＝ラインハルト
(74)【代理人】
【識別番号】100098501
【弁理士】
【氏名又は名称】森田 拓
(74)【代理人】
【識別番号】100116403
【弁理士】
【氏名又は名称】前川 純一
(74)【代理人】
【識別番号】100134315
【弁理士】
【氏名又は名称】永島 秀郎
(74)【代理人】
【識別番号】100162880
【弁理士】
【氏名又は名称】上島 類
(72)【発明者】
【氏名】イ ウァン
(72)【発明者】
【氏名】ヴィジャーライ スリャクマー
(57)【要約】
開示される主題は、車両のセキュリティを検証する方法を提供する、暗号及び車両セキュリティの分野に関する。所定ゾーンのゾーンマスタＥＣＵに統合される認証システムは、認証要求が存在する場合、ゾーンマスタＥＣＵに関連付けられた複数のプライマリＥＣＵのそれぞれから、予め割り当てられた署名付き固有暗号鍵シェアを要求する。その後、認証システムは、所定の数の鍵シェアを使用して、所定ゾーンの第１の固有署名を計算し、且つ公開鍵を使用して、計算された第１の固有署名の有効性を検証し得る。最終的に、検証された第１の固有署名は、ゾーンマスタＥＣＵに関連付けられた車両マスタＥＣＵに提供されて、それが、プライマリＥＣＵに関連付けられた安全機能を起動することを可能にする。その後、複数のセカンダリＥＣＵのために同じ方法を繰り返す。本開示は、車両のセキュリティの高速で非逐次的な単一ステップの検証を達成することを可能にする。
【特許請求の範囲】
【請求項1】
車両のセキュリティを検証する方法であって、前記車両（１０１）の車載ネットワークは、所定ゾーン（１０５）に分割され、及び前記所定ゾーン（１０５）のそれぞれは、プライマリＥＣＵ（１１１）又はセカンダリＥＣＵ（１１３）の少なくとも１つに分類される複数のＥＣＵを備え、更に、各所定ゾーン（１０５）は、前記対応する所定ゾーンの前記複数のＥＣＵのそれぞれに関連付けられたゾーンマスタＥＣＵ（１０７）を含み、前記方法は、所定ゾーン（１０５１）のゾーンマスタＥＣＵ（１０７）に統合される認証システム（１０９）により、車載ネットワークにおいて認証要求が存在する場合、前記ゾーンマスタＥＣＵ（１０７）に関連付けられた複数のプライマリＥＣＵ（１１１）から、予め割り当てられた署名付き固有暗号鍵シェアを要求することと、
前記認証システム（１０９）により、前記複数のプライマリＥＣＵ（１１１）から受信された所定の数（Ｋ－１）の前記予め割り当てられた署名付き固有暗号鍵シェアを使用して、前記所定ゾーンの第１の固有署名を計算することと、
前記認証システム（１０９）により、公開鍵を使用して、前記計算された第１の固有署名の有効性を検証して、前記所定ゾーン（１０５１）内の前記複数のプライマリＥＣＵ（１１１）のそれぞれを認証することと、
前記認証システム（１０９）により、前記検証された第１の固有署名を、各所定ゾーン（１０５）の前記ゾーンマスタＥＣＵ（１０７）に関連付けられた車両マスタＥＣＵ（１０３）に提供して、前記車両マスタＥＣＵ（１０３）が、各所定ゾーン（１０５）の前記複数のプライマリＥＣＵ（１１１）のそれぞれに関連付けられた安全機能を起動することを可能にすることと
を含む、方法。
【請求項2】
前記認証システム（１０９）により、前記複数のプライマリＥＣＵ（１１１）の検証時、前記ゾーンマスタＥＣＵ（１０７）に関連付けられた複数のセカンダリＥＣＵ（１１３）のそれぞれから、予め割り当てられた署名付き固有暗号鍵シェアを要求することと、前記認証システム（１０９）により、前記複数のセカンダリＥＣＵ（１１３）から受信された所定の数（Ｋ－１）の前記予め割り当てられた署名付き固有暗号鍵シェアを使用して、前記所定ゾーン（１０５１）の第２の固有署名を計算することと、
前記認証システム（１０９）により、前記公開鍵を使用して、前記計算された第２の固有署名の有効性を検証して、前記所定ゾーン（１０５１）内の前記複数のセカンダリＥＣＵ（１１３）のそれぞれを認証することと、
前記認証システム（１０９）により、前記検証された第２の固有署名を、各所定ゾーン（１０５）の前記ゾーンマスタＥＣＵ（１０７）に関連付けられた前記車両マスタＥＣＵ（１０３）に提供して、前記車両マスタＥＣＵ（１０３）が、各所定ゾーン（１０５）の前記複数のセカンダリＥＣＵ（１１３）のそれぞれに関連付けられた他の機能を起動することを可能にすることと
を更に含む、請求項１に記載の方法。
【請求項3】
前記所定の数（Ｋ－１）の前記固有暗号鍵シェアは、先着順（ＦＣＦＳ）技法、ランダム選択技法又はルールベース技法の１つに基づいて選択される、請求項１に記載の方法。
【請求項4】
前記計算された第１の固有署名及び第２の固有署名の前記有効性を検証するために、前記対応するゾーンマスタＥＣＵ（１０７）に関連付けられたストレージユニットから、各所定ゾーンのための前記公開鍵を取得することを含む、請求項１に記載の方法。
【請求項5】
前記複数のプライマリＥＣＵ（１１１）から受信された前記予め割り当てられた署名付き固有暗号鍵シェアを、乱数を使用して暗号化することを含む、請求項１に記載の方法。
【請求項6】
式Ｓｉｇ（ＥＣＵｉ）＝ｍｙｉ ｍｏｄ Ｎ
を使用して、前記予め割り当てられた固有暗号鍵シェアのそれぞれに署名することを含み、式中、「ｉ」は、整数（１、２．．．ｎ）であり、「ｍ」は、予め構成された値であり、「ｙ」は、前記固有暗号鍵シェアであり、「Ｎ」は、前記公開鍵であり、及びｍｏｄ Ｎは、所定のモジュラ演算技法を使用して特定される前記公開鍵のモジュロである、請求項１に記載の方法。
【請求項7】
式Ｓｉｇ（ＥＣＵ１＋ＥＣＵ２＋，．．．，＋ＥＣＵｋ－１）＝ｍＳ ｍｏｄ Ｎ
を使用して、前記固有の第１の署名及び固有の第２の署名を計算することを含み、式中、Ｓｉｇ（ＥＣＵ１＋ＥＣＵ２＋，．．．，＋ＥＣＵｋ－１）は、前記複数のプライマリＥＣＵ（１１１）又は前記複数のセカンダリＥＣＵ（１１３）の少なくとも１つから受信された署名付き固有暗号鍵シェアを示し、「ｍ」は、予め構成された値であり、「Ｓ」は、（ｙ１＋ｙ２，．．．，＋ｙｋ－１）に等しく、ここで、「ｙ」は、前記固有暗号鍵シェアであり、「Ｋ－１」は、前記固有の第１の署名又は前記固有の第２の署名を計算するために必要とされる固有暗号鍵シェアの所定の数を示し、「Ｎ」は、前記公開鍵であり、及びｍｏｄ Ｎは、所定のモジュラ演算技法を使用して特定される前記公開鍵のモジュロである、請求項１に記載の方法。
【請求項8】
車両（１０１）のセキュリティを検証するための認証システム（１０９）であって、前記車両（１０１）の車載ネットワークは、所定ゾーン（１０５）に分割され、及び前記所定ゾーン（１０５）のそれぞれは、プライマリＥＣＵ（１１１）又はセカンダリＥＣＵ（１１３）の少なくとも１つに分類される複数のＥＣＵを備え、更に、各所定ゾーン（１０５）は、前記対応する所定ゾーンの前記複数のＥＣＵのそれぞれに関連付けられたゾーンマスタＥＣＵ（１０７）を含み、前記認証システム（１０９）は、プロセッサ（１１５）と、
前記プロセッサ（１１５）に通信可能に結合されるメモリ（１１９）であって、プロセッサ命令を格納し、前記プロセッサ命令は、実行時、前記プロセッサ（１１９）に、
車載ネットワークにおいて認証要求が存在する場合、前記ゾーンマスタＥＣＵ（１０７）に関連付けられた複数のプライマリＥＣＵ（１１１）から、予め割り当てられた署名付き固有暗号鍵シェアを要求することと、
前記複数のプライマリＥＣＵ（１１１）から受信された所定の数（Ｋ－１）の前記予め割り当てられた署名付き固有暗号鍵シェアを使用して、前記所定ゾーン（１０５１）の第１の固有署名を計算することと、
公開鍵を使用して、前記計算された第１の固有署名の有効性を検証して、前記所定ゾーン（１０５１）内の前記複数のプライマリＥＣＵ（１１１）のそれぞれを認証することと、
前記検証された第１の固有署名を、各所定ゾーン（１０５）の前記ゾーンマスタＥＣＵ（１０７）に関連付けられた車両マスタＥＣＵ（１０３）に提供して、前記車両マスタＥＣＵ（１０３）が、各所定ゾーン（１０５）の前記複数のプライマリＥＣＵ（１１１）のそれぞれに関連付けられた安全機能を起動することを可能にすることと
を行わせる、メモリ（１１９）と
を含む、認証システム（１０９）。
【請求項9】
前記プロセッサ（１１５）は、前記複数のプライマリＥＣＵ（１１１）の検証時、前記ゾーンマスタＥＣＵ（１０７）に関連付けられた複数のセカンダリＥＣＵ（１１３）のそれぞれから、予め割り当てられた署名付き固有暗号鍵シェアを要求することと、
前記複数のセカンダリＥＣＵ（１１３）から受信された所定の数（Ｋ－１）の前記予め割り当てられた署名付き固有暗号鍵シェアを使用して、前記所定ゾーン（１０５１）の第２の固有署名を計算することと、
前記公開鍵を使用して、前記計算された第２の固有署名の有効性を検証して、前記所定ゾーン（１０５１）内の前記複数のセカンダリＥＣＵ（１１３）のそれぞれを認証することと、
前記検証された第２の固有署名を、各所定ゾーン（１０５）の前記ゾーンマスタＥＣＵ（１０７）に関連付けられた前記車両マスタＥＣＵ（１０３）に提供して、前記車両マスタＥＣＵ（１０３）が、各所定ゾーン（１０５）の前記複数のセカンダリＥＣＵ（１１３）のそれぞれに関連付けられた他の機能を起動することを可能にすることと
を行うように更に構成される、請求項８に記載の認証システム（１０９）。
【請求項10】
前記プロセッサ（１１５）は、先着順（ＦＣＦＳ）技法、ランダム選択技法又はルールベース技法の１つに基づいて、前記所定の数（Ｋ－１）の前記固有暗号鍵シェアを選択する、請求項８に記載の認証システム（１０９）。
【請求項11】
前記プロセッサ（１１５）は、前記計算された第１の固有署名及び第２の固有署名の前記有効性を検証するために、前記対応するゾーンマスタＥＣＵ（１０７）に関連付けられたストレージユニットから、各所定ゾーン（１０５）のための前記公開鍵を取得する、請求項８に記載の認証システム（１０９）。
【請求項12】
前記複数のプライマリＥＣＵ（１１１）から受信された前記予め割り当てられた署名付き固有暗号鍵シェアは、乱数を使用して暗号化される、請求項８に記載の認証システム（１０９）。
【請求項13】
前記プロセッサ（１１５）は、式Ｓｉｇ（ＥＣＵｉ）＝ｍｙｉ ｍｏｄ Ｎ
を使用して、前記予め割り当てられた固有暗号鍵シェアのそれぞれに署名し、式中、「ｉ」は、整数（１、２．．．ｎ）であり、「ｍ」は、予め構成された値であり、「ｙ」は、前記固有暗号鍵シェアであり、「Ｎ」は、公開鍵であり、及びｍｏｄ Ｎは、所定のモジュラ演算技法を使用して特定される前記公開鍵のモジュロである、請求項８に記載の認証システム（１０９）。
【請求項14】
前記プロセッサ（１１５）は、式Ｓｉｇ（ＥＣＵ１＋ＥＣＵ２＋，．．．，＋ＥＣＵｋ－１）＝ｍＳ ｍｏｄ Ｎ
を使用して、前記固有の第１の署名及び固有の第２の署名を計算し、式中、Ｓｉｇ（ＥＣＵ１＋ＥＣＵ２＋，．．．，＋ＥＣＵｋ－１）は、前記複数のプライマリＥＣＵ（１１１）又は前記複数のセカンダリＥＣＵ（１１３）の少なくとも１つから受信された署名付き固有暗号鍵シェアを示し、「ｍ」は、予め構成された値であり、「Ｓ」は、（ｙ１＋ｙ２，．．．，＋ｙｋ－１）に等しく、ここで、「ｙ」は、前記固有暗号鍵シェアであり、「Ｋ－１」は、前記固有の第１の署名又は前記固有の第２の署名を計算するために必要とされる固有暗号鍵シェアの所定の数を示し、「Ｎ」は、公開鍵であり、及びｍｏｄ Ｎは、所定のモジュラ演算技法を使用して特定される前記公開鍵のモジュロである、請求項８に記載の認証システム（１０９）。
【発明の詳細な説明】
【技術分野】
【0001】
本主題は、概して、暗号及び車両セキュリティの分野に関し、より詳細には、限定されないが、車両のセキュリティを検証するための方法及びシステムに関する。
【背景技術】
【0002】
近年、車両は、車載ネットワークを形成する多数の電子制御ユニット（ＥＣＵ）を有している。これらのＥＣＵは、それらの機能性と、相手先商標製造会社（ＯＥＭ）によって提供されるカスタマイズされた定義とに基づいて、クリティカルＥＣＵ及び非クリティカルＥＣＵの１つに分類され得る。例えば、安全及びセキュリティ機能、アンチロックブレーキシステム（ＡＢＳ）機能、パワートレイン機能、サラウンドビュー及び警告機能、ゲートウェイ機能等の車両の重要な機能を制御するＥＣＵは、クリティカルＥＣＵと見なされ得、インフォテインメントシステム機能、暖房、換気及び空調（ＨＶＡＣ）制御機能、パワーウィンドウ制御機能等の車両の他の非クリティカル機能を制御する残りのＥＣＵは、非クリティカルＥＣＵと見なされ得る。車両の始動フェーズ中、車両内に存在するＥＣＵは、車載ネットワーク内のＥＣＵの真正性を保証するためにセキュリティ検証を必要とする。換言すれば、セキュリティ検証は、車両のクリティカルＥＣＵが第三者の攻撃者／ハッカーによって操作されたかどうかを特定し得る。クリティカルＥＣＵが第三者の攻撃者／ハッカーによって操作された場合、車両は、車両の始動フェーズ後に第三者の攻撃者／ハッカーの制御下に置かれることになる。従って、始動フェーズ中にＥＣＵ、少なくともクリティカルＥＣＵの真正性を検証することは、必須であるだけでなく、極めて重要である。
【0003】
既存のアプローチは、セキュリティ署名及びセキュリティ検証を適用してＥＣＵの真正性をチェックし、それらは、逐次的に実行され、それによりセキュリティ検証のためにより長い時間がかかり、従って最小始動時間を超えて始動フェーズ中の遅延を引き起こす。これは、ユーザ経験レベルを低下させる場合がある。また、セキュリティ検証を実行するために長い時間を要するかかる逐次的なアプローチは、最小始動時間で検証される必要ＥＣＵの低いカバレッジにつながる。かかる低いカバレッジは、始動フェーズ中にクリティカルＥＣＵのセキュリティ検証を見逃すことにつながる場合があり、重要なセキュリティ問題につながる可能性がある。
【0004】
現在、既存のアプローチは、検証時間を場合により短縮し、セキュリティ検証中のＥＣのカバレッジを向上させる、非逐次的なセキュリティ検証のための機構を提供していない。
【0005】
本開示の背景のセクションに開示される情報は、本開示の一般的な背景の理解を高めるためのものにすぎず、この情報が、当業者に既に知られている従来技術を形成することの承認又は何らかの形式の示唆として解釈すべきではない。
【発明の概要】
【課題を解決するための手段】
【0006】
本明細書で開示されるのは、車両のセキュリティを検証する方法である。車両の車載ネットワークは、所定ゾーンに分割され、及び所定ゾーンのそれぞれは、プライマリＥＣＵ及びセカンダリＥＣＵの少なくとも１つに分類される複数のＥＣＵを備える。各所定ゾーンは、対応する所定ゾーンの複数のＥＣＵのそれぞれに関連付けられたゾーンマスタＥＣＵを含む。本方法は、所定ゾーンのゾーンマスタＥＣＵに統合される認証システムにより、車載ネットワークに認証要求が存在する場合、ゾーンマスタＥＣＵに関連付けられた複数のプライマリＥＣＵから、予め割り当てられた署名付き固有暗号鍵シェアを要求することを含む。その後、本方法は、複数のプライマリＥＣＵから受信された所定の数（Ｋ－１）の予め割り当てられた署名付き固有暗号鍵シェアを使用して、所定ゾーンの第１の固有署名を計算することを含む。所定ゾーンの第１の固有署名を計算すると、本方法は、公開鍵を使用して、計算された第１の固有署名の有効性を検証して、所定ゾーン内の複数のプライマリＥＣＵのそれぞれを認証することを含む。最終的に、本方法は、検証された第１の固有署名を、各所定ゾーンのゾーンマスタＥＣＵに関連付けられた車両マスタＥＣＵに提供して、車両マスタＥＣＵが、各所定ゾーンの複数のプライマリＥＣＵのそれぞれに関連付けられた安全機能を起動することを可能にすることを含む。
【0007】
更に、本開示は、車両のセキュリティを検証するための認証システムを開示する。車両の車載ネットワークは、所定ゾーンに分割され、及び所定ゾーンのそれぞれは、プライマリＥＣＵ及びセカンダリＥＣＵの少なくとも１つに分類される複数のＥＣＵを備える。各所定ゾーンは、対応する所定ゾーンの複数のＥＣＵのそれぞれに関連付けられたゾーンマスタＥＣＵを含む。認証システムは、プロセッサと、プロセッサに通信可能に結合されるメモリとを含む。メモリは、プロセッサ命令を格納し、プロセッサ命令は、実行時、プロセッサに、車載ネットワークにおいて認証要求が存在する場合、ゾーンマスタＥＣＵに関連付けられた複数のプライマリＥＣＵから、予め割り当てられた署名付き固有暗号鍵シェアを要求させる。その後、プロセッサは、複数のプライマリＥＣＵから受信された所定の数（Ｋ－１）の予め割り当てられた署名付き固有暗号鍵シェアを使用して、所定ゾーンの第１の固有署名を計算する。所定ゾーンの第１の固有署名を計算すると、プロセッサは、公開鍵を使用して、計算された第１の固有署名の有効性を検証して、所定ゾーン内の複数のプライマリＥＣＵのそれぞれを認証する。最終的に、プロセッサは、検証された第１の固有署名を、各所定ゾーンのゾーンマスタＥＣＵに関連付けられた車両マスタＥＣＵに提供して、車両マスタＥＣＵが、各所定ゾーンの複数のプライマリＥＣＵのそれぞれに関連付けられた安全機能を起動することを可能にする。
【0008】
前述の概要は、単なる例示であり、決して限定することを意図するものではない。上記で説明した例示的な態様、実施形態及び特徴に加えて、更なる態様、実施形態及び特徴は、図面及び以下の詳細な説明を参照することによって明らかになるであろう。
【0009】
本開示に組み込まれ、その一部を構成する添付図面は、例示的な実施形態を図示し、且つ説明と共に、開示する原理を説明するのに役立つ。図において、参照番号の左端の数字は、その参照番号が最初に出現する図を識別する。同様の特徴及びコンポーネントを参照するために、図面全体を通して同じ番号が使用される。ここで、本主題の実施形態によるシステム及び／又は方法の幾つかの実施形態を、単なる例として添付の図面を参照して説明する。
【図面の簡単な説明】
【0010】
【図1A】本開示の幾つかの実施形態による、車両のセキュリティを検証するための例示的なアーキテクチャを示す。
【図1B】本開示の幾つかの実施形態による、車両のセキュリティを検証するための別の例示的なアーキテクチャを示す。
【図1C】本開示の幾つかの実施形態による、車両のセキュリティを検証するための例示的な認証システムの簡単なブロック図を示す。
【図2A】本開示の幾つかの実施形態による、車両のセキュリティを検証するための例示的な認証システムの詳細なブロック図を示す。
【図2B】本開示の幾つかの実施形態による、車両のセキュリティを検証するための例示的なシナリオを示す。
【図3】本開示の幾つかの実施形態による、車両のセキュリティを検証する方法を示すフローチャートを示す。
【図4】本開示と一致する実施形態を実装するための例示的なコンピュータシステムのブロック図である。
【発明を実施するための形態】
【0011】
本明細書中の任意のブロック図は、本主題の原理を具現化する例示的なシステムの概念図を表すことが当業者によって正しく認識されるべきである。同様に、任意のフローチャート、フローチャート、状態遷移図、擬似コード等は、コンピュータ読取可能媒体において実質的に表され、コンピュータ又はプロセッサが明示的に示されているか否かに関わらず、かかるコンピュータ又はプロセッサによって実行され得る様々なプロセスを表すことが正しく認識されるであろう。
【0012】
本明細書において、単語「例示的」とは、「例、事例又は例示としての役割を果たすこと」を意味するために本明細書で使用される。「例示的」として本明細書中に説明する本主題の任意の実施形態又は実装は、必ずしも他の実施形態よりも好ましいか又は有利であると解釈されない。
【0013】
本開示は、様々な改良形態及び代替形態に対する余地がある一方、それらの特定の実施形態を図面において例として示し、以下で詳細に説明する。しかし、本開示を、開示される形態に限定することを意図しておらず、逆に、本開示は、本開示の適用範囲内に入る全ての変更形態、均等物及び代替形態を包含するものであることを理解すべきである。
【0014】
用語「含む」、「含んでいる」、「包含する」又はそれらの任意の他の変形は、コンポーネント又はステップのリストを含むセットアップ、デバイス又は方法が、それらのコンポーネント又はステップのみを含むのではなく、明示的に列挙されていないか、又はかかるセットアップ、若しくはデバイス、若しくは方法に固有ではない他のコンポーネント若しくはステップを含み得るように、非排他的な包含をカバーすることを意図する。換言すれば、「ある～を含む」によって進められるシステム又は装置における１つ以上の要素は、それより多くの制約がなければ、システム又は方法における他の要素又は追加の要素の存在を排除しない。
【0015】
本明細書で開示されるのは、車両のセキュリティを検証するための方法及びシステムである。幾つかの実施形態において、車両は、車両コンポーネント間の内部通信を可能にするための車両内部の制御ユニット、センサ、機械部品並びに種々のシステム及びサブシステム等の車両コンポーネントを接続する車載ネットワークを含む。一実施形態において、車両の車載ネットワークは、所定ゾーンに分割され得、所定ゾーンのそれぞれは、複数の電子制御ユニット（ＥＣＵ）を備え得る。幾つかの実施形態において、複数のＥＣＵは、プライマリＥＣＵとセカンダリＥＣＵとに分類され得る。幾つかの実施形態において、プライマリＥＣＵは、車両のクリティカル機能を実行し得るクリティカルＥＣＵであり得、セカンダリＥＣＵは、車両の非クリティカル機能を実行し得る非クリティカルＥＣＵであり得る。例えば、プライマリ／クリティカルＥＣＵは、安全及びセキュリティ機能、アンチロックブレーキシステム（ＡＢＳ）機能、パワートレイン機能、サラウンドビュー及び警告機能、ゲートウェイ機能等の車両のクリティカル機能を実行し、残りのＥＣＵ、即ちセカンダリ／非クリティカルＥＣＵは、インフォテインメントシステム機能、暖房、換気及び空調（ＨＶＡＣ）制御機能、パワーウィンドウ制御機能等の車両の非クリティカル機能を実行し得る。
【0016】
更に、車載ネットワークの各所定ゾーンは、対応する所定ゾーンの複数のＥＣＵのそれぞれに関連付けられたゾーンマスタＥＣＵを含み得る。車載ネットワーク内の各ゾーンマスタＥＣＵは、認証システムと統合され得る。本開示は、認証システムと統合されるゾーンマスタＥＣＵのみによって実行され得る。本方法は、本開示において、車両内の所定ゾーンに属する１つのゾーンマスタＥＣＵの観点から説明される。しかし、これは、単に例示及び理解の容易さの目的のためであり、本開示の限定として解釈されるべきではない。
【0017】
認証システムは、車載ネットワークにおいて認証要求が存在する場合、ゾーンマスタＥＣＵに関連付けられた複数のプライマリＥＣＵのそれぞれから、予め割り当てられた署名付き固有暗号鍵シェアを要求し得る。複数のプライマリＥＣＵから受信された予め割り当てられた署名付き固有暗号鍵シェアを受信すると、認証システムは、複数のプライマリＥＣＵから受信された所定の数（Ｋ－１）の予め割り当てられた署名付き固有暗号鍵シェアを使用して、所定ゾーンの第１の固有署名を計算し得る。幾つかの実施形態において、予め割り当てられた署名付き固有暗号鍵シェアの所定の数（Ｋ－１）は、車両の製造時又は所定ゾーンのそれぞれにおけるゾーンマスタＥＣＵの設置時に定義／計算され得る。一例として、所定の数（Ｋ－１）は、３であり得、これは、認証システムが、複数のプライマリＥＣＵから受信された３つの予め割り当てられた署名付き固有暗号鍵シェアのみを使用して、所定ゾーンの第１の固有署名を計算し得ることを意味する。しかし、これは、所定の数（Ｋ－１）が変化し得、動的に構成可能であり得るため、限定として解釈すべきではない。幾つかの実施形態において、第１の固有署名を計算するために選択される３つの予め割り当てられた署名付き固有暗号鍵シェアは、ＥＣＵによって最初に受信される３つの予め割り当てられた署名付き固有暗号鍵シェアであり得る。幾つかの他の実施形態において、第１の固有署名を計算するために選択される３つの予め割り当てられた署名付き固有暗号鍵シェアは、受信された予め割り当てられた署名付き固有暗号鍵シェアの中からランダムに選択され得る。更に他の実施形態において、第１の固有署名を計算するために選択される３つの予め割り当てられた署名付き固有暗号鍵シェアは、ルールに基づいて選択され得る。例えば、ルールは、「第１の固有署名を生成するために、アンチロックブレーキシステムに関連するクリティカルＥＣＵから受信された予め割り当てられた署名付き固有暗号鍵シェアを選択する」ことを示し得る。
【0018】
その後、認証システムは、所定ゾーンの公開鍵を使用して、計算された第１の固有署名の妥当性を検証して、対応する所定ゾーン内の複数のプライマリＥＣＵのそれぞれを認証し得る。第１の固有署名の検証時、認証システムは、検証された第１の固有署名を、各所定ゾーンのゾーンマスタＥＣＵに関連付けられた車両マスタＥＣＵに提供して、車両マスタＥＣＵが、各所定ゾーンの複数のプライマリＥＣＵのそれぞれに関連付けられた安全機能を起動することを可能にし得る。複数のプライマリＥＣＵを最初に検証すると、認証システムは、次いで、複数のプライマリＥＣＵについて上記で開示したものと同じ方法を使用して、複数のセカンダリＥＣＵを検証し得る。
【0019】
本開示において、プライマリＥＣＵ（クリティカルＥＣＵ）が最初に検証され、次にセカンダリＥＣＵ（非クリティカルＥＣＵ）が検証される。クリティカルＥＣＵが第三者の攻撃者によって攻撃されると、車両のセキュリティを完全に危険にさらし、車両の制御を第三者の攻撃者に引き渡す可能性がある。従って、クリティカルＥＣＵを最初に認証することは、車両の最も重要なＥＣＵの真正性を完全なカバレッジでチェックすることを可能にするだけでなく、高いセキュリティを保証する。その上、本開示において開示する方法は、所定ゾーンの各ＥＣＵを次々に認証する逐次的な方法ではなく、むしろ、本開示において開示する方法は、所定ゾーンのそれぞれにおいて、また各ゾーン内のプライマリＥＣＵから受信された所定の数（Ｋ－１）の鍵シェアのみにより、並列検証を可能にする。従って、本開示は、各ＥＣＵからの応答を待ってそのＥＣＵを認証する必要性を排除する。むしろ、本開示は、所定ゾーン内の（Ｋ－１）数のプライマリＥＣＵから受信された（Ｋ－１）の鍵シェアを使用することを可能にし、（Ｋ－１）の鍵シェアを使用して計算される固有署名に基づいて、そのゾーン内のプライマリＥＣＵのそれぞれを一気に認証する。本開示において、検証の逐次的アプローチは排除され、検証の並列アプローチ、即ち各所定ゾーンにおける並列検証及びまた各所定ゾーン内の単一ステップ検証が行われる。かかる並列検証及び単一ステップ検証は、例えば、車両の始動フェーズ中に認証要求が存在する場合、ＥＣＵの真正性を検証するのにかかる時間を短縮する。その上、（Ｋ－１）の鍵シェアのみが、所定ゾーン内のＥＣＵのオンショット検証に使用される第１／第２の固有署名を計算するために使用されるため、真正性を検証するために必要とされる時間は、既存の技法と比較して更に短縮される。加えて、本開示において、セカンダリＥＣＵは、それらの非クリティカルな性質により、プライマリＥＣＵの後に真正性について検証される。従って、（始動自体に必要とされる）プライマリＥＣＵの検証の後に、始動フェーズの後であってもセカンダリＥＣＵの真正性を検証することは、車載ネットワークに害を与えない場合がある。その上、始動後の遅いステージでセカンダリ／非クリティカルＥＣＵの検証を実行することは、始動フェーズでのプライマリ／クリティカルＥＣＵの検証の速度を向上させる可能性があり、始動フェーズ中の不必要な遅延を排除し、始動フェーズでのプライマリ／クリティカルＥＣＵのカバレッジを向上させ、また高速始動につながるクリティカルセキュリティヘルスチェックのより高速な検証により、ユーザ経験を向上させる。
【0020】
互いに通信する幾つかのコンポーネントを有する実施形態の説明は、全てのかかるコンポーネントが必要とされることを意味するものではない。反対に、様々な任意のコンポーネントは、本開示の多種多様な可能な実施形態を例示するために説明される。
【0021】
本開示の実施形態の以下の詳細な説明において、この一部を形成し、本開示が実施され得る特定の実施形態を例示として示す添付図面を参照する。これらの実施形態は、当業者が本開示を実施することを可能にするために十分に詳細に説明し、他の実施形態が利用され得、本開示の適用範囲から逸脱することなく変更形態がなされ得ることを理解されたい。以下の説明は、従って、限定する意味で取るべきではない。
【0022】
図１Ａは、本開示の幾つかの実施形態による、車両のセキュリティを検証するための例示的なアーキテクチャを示す。
【0023】
車載ネットワークのアーキテクチャ１００は、車両１０１と、車両マスタ電子制御ユニット（ＥＣＵ）１０３と、所定ゾーン１０５１～所定ゾーン１０５ｎ（所定ゾーン１０５と総称する）と、ゾーンマスタＥＣＵ１０７１～ゾーンマスタＥＣＵ１０７ｎ（ゾーンマスタＥＣＵ１０７と総称する）と、認証システム１０９１～認証システム１０９ｎ（認証システム１０９と総称する）と、プライマリＥＣＵ１１１１～プライマリＥＣＵ１１１ｎ（複数のプライマリＥＣＵ１１１と総称する）と、セカンダリＥＣＵ１１３１～セカンダリＥＣＵ１１３ｎ（複数のセカンダリＥＣＵ１１３と総称する）とを含む。幾つかの実施形態において、車載ネットワークは、様々なＥＣＵ、センサ、機械部品並びに様々なシステム及びサブシステムが車両１０１内部で通信するネットワークであり得る。一例として、車両１０１は、車載ネットワークを介して通信することができるＥＣＵ及びシステムと統合される自動車、バス、トラック、貨物自動車等であり得る。幾つかの実施形態において、車両１０１は、自律車両又は非自律車両であり得る。幾つかの実施形態において、車載ネットワークは、所定ゾーンに分割され得る。所定ゾーンは、例えば、同様の種類の機能に関連するＥＣＵ、異なる種類の機能に関連するＥＣＵ、同じ又は異なるレベルのクリティカリティに関連するＥＣＵ等を含む車載ネットワーク内部のエリアであり得る。一例として、「安全システムゾーン」は、安全に関連するＥＣＵ、例えば、アンチロックブレーキシステム（ＡＢＳ）、補助拘束システム（ＳＲＳ）及び緊急ブレーキアシスト（ＥＢＡ）等のＥＣＵを含む所定ゾーンであり得る。別の例において、「パワートレイン制御ゾーン」は、エンジン制御、トランスミッション制御及びオイル供給制御に関連するＥＣＵを含む所定ゾーンであり得る。幾つかの実施形態において、車両１０１の各所定ゾーン１０５に属する複数のプライマリＥＣＵ１１１及び複数のセカンダリＥＣＵ１１３は、機能に関連付けられ得る。幾つかの実施形態において、複数のプライマリＥＣＵ１１１は、車両１０１のクリティカル機能を実行し得るクリティカルＥＣＵであり得、複数のセカンダリＥＣＵ１１３は、複数のプライマリＥＣＵ１１１によって実行される機能と異なる車両１０１の機能を実行し得る非クリティカルＥＣＵであり得る。例えば、複数のプライマリ／クリティカルＥＣＵ１１１は、安全及びセキュリティ機能、アンチロックブレーキシステム（ＡＢＳ）機能、パワートレイン機能、サラウンドビュー及び警告機能、ゲートウェイ機能等の車両１０１のクリティカル機能を実行し得、残りのＥＣＵ、即ちセカンダリ／非クリティカルＥＣＵ１１３は、インフォテインメントシステム機能、暖房、換気及び空調（ＨＶＡＣ）制御機能、パワーウィンドウ制御機能等の複数のプライマリＥＣＵ１１１の機能と異なる車両の機能を実行し得る。幾つかの実施形態において、複数のプライマリＥＣＵ１１１のそれぞれ及び複数のセカンダリＥＣＵ１１３のそれぞれは、互いに通信する。幾つかの実施形態において、複数のプライマリＥＣＵ１１３のそれぞれは、セキュア通信、例えば、暗号化通信又は認証通信を介して互いに通信する。
【0024】
幾つかの実施形態において、図１Ａに示すように、車載ネットワークは、所定ゾーン１０５１～１０５ｎに分割され得る。車載ネットワークの各所定ゾーン１０５は、１つのゾーンマスタＥＣＵ１０７を含み得る。更に、各ゾーンマスタＥＣＵ１０７は、対応する所定ゾーン１０５内部の複数のプライマリＥＣＵ１１１及び複数のセカンダリＥＣＵ１１３に通信可能に接続され得る。例えば、図１Ｂに示すように、所定ゾーン１０５１は、ゾーンマスタＥＣＵ１０７１を含み得、これは、プライマリＥＣＵ１１１Ａ及びセカンダリＥＣＵ１１３Ａに通信可能に更に接続される。プライマリＥＣＵ１１１Ａは、プライマリＥＣＵ１１１Ａ．１及びプライマリＥＣＵ１１１Ａ．２に更に通信可能に接続され得る。セカンダリＥＣＵ１１３Ａは、更に、セカンダリＥＣＵ１１３Ａ．１及びセカンダリＥＣＵ１１３Ａ．２に通信可能に接続され得る。更に、例えば、図１Ｂに示すように、所定ゾーン１０５２は、ゾーンマスタＥＣＵ１０７２を含み得、これは、プライマリＥＣＵ１１１Ｂ及びセカンダリＥＣＵ１１３Ｂに通信可能に更に接続される。プライマリＥＣＵ１１１Ｂは、更に、プライマリＥＣＵ１１１Ｂ．１に通信可能に接続され得る。セカンダリＥＣＵ１１３Ｂは、更に、セカンダリＥＣＵ１１３Ｂ．１及びセカンダリＥＣＵ１１３Ｂ．２に通信可能に接続され得る。図１Ａ及び図１Ｂに図示するような所定ゾーン１０５内部の複数のプライマリＥＣＵ１１１及び複数のセカンダリＥＣＵ１１３の配置は、純粋に例示的なものであり、配置は、車両、車両のモデル、車両によって提供される特徴等に基づいて異なるか又は変更され得る。従って、図１Ａ及び図１Ｂに示すような配置は、限定として解釈されるべきではない。これは、単に読者の理解のためものである。
【0025】
更に、各ゾーンマスタＥＣＵ１０７は、認証システム１０９と統合され得る。図１Ａに示すように、ゾーンマスタＥＣＵ１０７１は、認証システム１０９１と統合され得、同様に、ゾーンマスタＥＣＵ１０７ｎは、認証システム１０９ｎと統合され得る。幾つかの実施形態において、所定ゾーン１０５１～１０５ｎにそれぞれ属するゾーンマスタ１０７１～１０７ｎは、通信ネットワーク（図１Ａには図示せず）を介して車両マスタＥＣＵ１０３に接続され得る。幾つかの実施形態において、通信ネットワークは、有線通信ネットワーク又は無線通信ネットワークの１つであり得る。
【0026】
以下、本開示の方法を、１つの認証システム１０９、例えば１０９１に関して開示する。しかし、同じ方法が車載ネットワーク内部の各所定ゾーン１０５１～１０５ｎに統合される各認証システム１０９１～１０９ｎによって実行されるため、これを限定として解釈すべきではない。幾つかの実施形態において、図１Ｃに示すように、認証システム１０９１は、プロセッサ１１５１と、入力／出力（Ｉ／Ｏ）インターフェース１１７１と、メモリ１１９１とを含み得る。プロセッサ１１５１は、車載ネットワークにおいて認証要求が存在する場合、ゾーンマスタＥＣＵ１０５１に関連付けられた複数のプライマリＥＣＵ１１１Ａのそれぞれから、予め割り当てられた署名付き固有暗号鍵シェアを要求し得る。幾つかの実施形態において、予め割り当てられた署名付き固有暗号鍵シェアは、本開示において開示する方法を実行する前に、署名付き固有暗号鍵シェアを生成し、生成された署名付き固有暗号鍵シェアを複数のプライマリＥＣＵ１１１Ａ及びセカンダリＥＣＵ１１３Ａのそれぞれに割り当てるプロセスを実行することにより存在する。幾つかの実施形態において、署名付き固有暗号鍵シェアを生成し、生成された署名付き固有暗号鍵シェアを車載ネットワーク内の種々のＥＣＵに割り当てる概念及びプロセスは、英国特許出願第２１０８７０５．１号明細書、発明の名称「Ａ ＭＥＴＨＯＤ ＡＮＤ ＳＹＳＴＥＭ ＦＯＲ ＳＥＣＲＥＴ ＫＥＹ ＳＨＡＲＩＮＧ ＦＯＲ ＡＮ ＩＮ－ＶＥＨＩＣＬＥ ＮＥＴＷＯＲＫ」に開示されている。英国特許出願第２１０８７０５．１号明細書の開示全体は、参照として本明細書中に含まれる。
【0027】
Ｉ／Ｏインターフェース１１７１は、ゾーンマスタＥＣＵ１０７１に関連付けられた複数のプライマリＥＣＵ１１１Ａのそれぞれから、予め割り当てられた署名付き固有暗号鍵シェアを受信し得る。幾つかの実施形態において、複数のプライマリＥＣＵ１１１Ａから受信された予め割り当てられた署名付き固有暗号鍵シェアのそれぞれは、乱数又はノンスを使用して暗号化され得る。更に、プロセッサ１１５１は、複数のプライマリＥＣＵ１１１Ａから受信された所定の数（Ｋ－１）の予め割り当てられた署名付き固有暗号鍵シェアを使用して、所定ゾーン１０５１の第１の固有署名を計算し得る。幾つかの実施形態において、予め割り当てられた署名付き固有暗号鍵シェアの所定の数（Ｋ－１）は、車両１０１の製造時又は各所定ゾーン１０５１～１０５ｎのゾーンマスタＥＣＵ１０７１～１０７ｎの設置時に定義され得る。一例として、所定の数（Ｋ－１）は、３であり得、これは、認証システムが、所定ゾーン１０５１の複数のプライマリＥＣＵ１１１Ａから受信された３つの予め割り当てられた署名付き固有暗号鍵シェアのみを使用して、所定ゾーンの第１の固有署名を計算し得ることを意味する。しかし、これは、所定の数（Ｋ－１）が変化し得、動的に構成可能であり得るため、限定として解釈すべきではない。幾つかの実施形態において、所定の数（Ｋ－１）の固有暗号鍵シェアは、先着順（ＦＣＦＳ）技法、ランダム選択技法又はルールベース技法の１つに基づいて選択される。その後、プロセッサ１１５１は、公開鍵を使用して、計算された第１の固有署名の有効性を検証して、所定ゾーン１０５１内の複数のプライマリＥＣＵ１１１Ａのそれぞれを認証し得る。幾つかの実施形態において、公開鍵は、暗号化及び認証の目的のために使用される数値であり得る。幾つかの実施形態において、各所定ゾーン１０５のための公開鍵は、計算された第１の固有署名の有効性を検証するために、対応するゾーンマスタＥＣＵ１０７に関連付けられたストレージユニット（図１Ａ及び図１Ｂには図示せず）から取得される。計算された第１の固有署名の有効性の検証時、プロセッサ１１５１は、検証された第１の固有署名を、各所定ゾーン１０５１～１０５ｎのゾーンマスタＥＣＵ１０７１～１０７ｎに関連付けられた車両マスタＥＣＵ１０３に提供し得る。幾つかの実施形態において、車両マスタＥＣＵ１０３は、図１Ｂの例示的なシナリオに示すように、検証された第１の固有署名を使用して、所定ゾーン１０５１及び１０５２の複数のプライマリＥＣＵ１１１Ａ及び１１１Ｂのそれぞれに関連付けられた安全機能を起動し得る。しかし、「ｎ」個のプライマリＥＣＵが存在する場合、車両マスタＥＣＵ１０３は、検証された第１の固有署名を使用して、所定ゾーン１０５１及び１０５ｎの「ｎ」個のプライマリＥＣＵのそれぞれに関連付けられた安全機能を起動し得る。
【0028】
幾つかの実施形態において、所定ゾーン１０５１の複数のプライマリＥＣＵ１１１Ａのためのセキュリティ検証を実行すると、プロセッサ１１５１は、所定ゾーン１０５１の複数のセカンダリＥＣＵ１１３Ａのセキュリティ検証を実行し得る。幾つかの実施形態において、複数のセカンダリＥＣＵ１１３Ａは、クリティカル機能を有するＥＣＵを、非クリティカル機能を有するＥＣＵよりも優先させるために、複数のプライマリＥＣＵ１１１Ａの検証後に検証され得る。所定ゾーン１０５１の複数のセカンダリＥＣＵ１１３Ａを検証するために、プロセッサ１１５１は、ゾーンマスタＥＣＵ１０７１に関連付けられた複数のセカンダリＥＣＵ１１３Ａのそれぞれから、予め割り当てられた署名付き固有暗号鍵シェアを要求し得る。幾つかの実施形態において、プロセッサ１１５１は、複数のセカンダリＥＣＵ１１３Ａから受信された予め割り当てられた所定の数（Ｋ－１）の署名付き固有暗号鍵シェアを使用して、所定ゾーン１０５１の第２の固有署名を計算し得る。その後、プロセッサ１１５１は、公開鍵を使用して、計算された第２の固有署名の有効性を検証して、所定ゾーン内の複数のセカンダリＥＣＵのそれぞれを認証し、検証された第２の固有署名を、各所定ゾーン１０５１～１０５ｎのゾーンマスタＥＣＵ１０７１～１０７ｎに関連付けられた車両マスタＥＣＵ１０３に提供し得る。幾つかの実施形態において、車両マスタＥＣＵ１０３は、図１Ｂの例示的なシナリオに示すように、検証された第２の固有署名を使用して、所定ゾーン１０５１及び１０５ｎの複数のセカンダリＥＣＵ１１３Ａ及び１１３Ｂのそれぞれに関連付けられた他の機能を起動し得る。しかし、「ｎ」個のセカンダリＥＣＵが存在する場合、車両マスタＥＣＵ１０３は、検証された第２の固有署名を使用して、所定ゾーン１０５１及び１０５ｎの「ｎ」個のセカンダリＥＣＵのそれぞれに関連付けられた安全機能を起動し得る。
【0029】
従って、車両１０１のセキュリティを検証する方法は、車載ネットワークにおいて認証要求が存在する度に実行される反復サイクルであり得る。
【0030】
図２Ａは、本開示の幾つかの実施形態による、車両のセキュリティを検証するための認証システム１０９の詳細なブロック図を示す。
【0031】
幾つかの実装形態において、各ゾーンマスタ電子制御ユニット（ＥＣＵ）１０７に統合される認証システム１０９は、データ２０３及びモジュール２０５を含み得る。一例として、データ２０３は、図２Ａに示すように、認証システム１０９のメモリ１１９に格納される。一実施形態において、データ２０３は、鍵共有データ２０７、署名データ２０９及び他のデータ２１１を含み得る。図２Ａにおいて、モジュール２０５を本明細書中で詳細に説明する。
【0032】
幾つかの実施形態において、データ２０３は、様々なデータ構造の形態でメモリ１１９に格納され得る。加えて、データ２０３は、リレーショナル又は階層データモデル等のデータモデルを使用して整理することができる。他のデータ２１５は、認証システム１０９の様々な機能を実行するためのモジュール２０５によって生成される、所定ゾーン１０５の公開鍵、所定の数（Ｋ－１）の固有暗号鍵シェア、一時データ及び一時ファイルを含むデータを格納し得る。
【0033】
幾つかの実施形態において、鍵共有データ２０７は、所定ゾーン１０５に属するゾーンマスタＥＣＵ１０７に関連付けられた複数のプライマリＥＣＵ１１１のそれぞれから受信された予め割り当てられた署名付き固有暗号鍵シェアを含み得る。幾つかの実施形態において、認証システム１０９は、車載ネットワークにおいて認証要求が存在する場合に鍵共有データ２０７を受信し得る。
【0034】
幾つかの実施形態において、署名データ２０９は、所定ゾーン１０５の第１の固有署名と、所定ゾーン１０５の第２の固有署名とを含み得る。幾つかの実施形態において、所定ゾーン１０５の第１の固有署名は、所定ゾーン１０５内に存在する複数のプライマリＥＣＵ１１１に関連する場合があり、所定ゾーン１０５の第２の固有署名は、所定ゾーン１０５内に存在する複数のセカンダリＥＣＵ１１３に関連する場合がある。第１の固有署名は、複数のプライマリＥＣＵ１１１から受信された所定の数（Ｋ－１）の予め割り当てられた署名付き固有暗号鍵シェアを使用して特定され得る。同様に、第２の固有署名は、複数のセカンダリＥＣＵ１１３から受信された所定の数（Ｋ－１）の予め割り当てられた署名付き固有暗号鍵シェアを使用して特定され得る。幾つかの実施形態において、第１の固有署名及び第２の固有署名は、鍵共有データ２０７が複数のプライマリＥＣＵ１１１及びセカンダリＥＣＵ１１３から受信される度に計算され得る。換言すれば、第１の固有署名及び第２の固有署名は、車両１０１の始動フェーズ又は任意の他のフェーズ中に認証要求が存在する度に計算され得る。
【0035】
幾つかの実施形態において、メモリ１１９に格納されるデータ２０３は、認証システム１０９のモジュール２０５によって処理され得る。モジュール２０５は、メモリ１１９内部に格納され得る。一例において、認証システム１０９のプロセッサ１１５に通信可能に結合されるモジュール２０５は、図２Ａに示すようにメモリ１１９の外部に存在し、ハードウェアとして実装され得る。本明細書中で使用される場合、用語モジュール２０５とは、特定用途向け集積回路（ＡＳＩＣ）、電子回路、１つ以上のソフトウェア又はファームウェアプログラムを実行するプロセッサ（共有、専用又はグループ）及びメモリ、組合せ論理回路及び／又は説明された機能を提供する他の適切なコンポーネントを指し得る。
【0036】
幾つかの実施形態において、モジュール２０５は、例えば、署名計算モジュール２２１と、受信モジュール２２３と、署名検証モジュール２２５と、送信モジュール２２７と、他のモジュール２２９とを含み得る。他のモジュール２２９は、認証システム１０９の様々な雑多な機能を実行するために使用され得る。かかる前述のモジュール２０５は、単一のモジュール又は異なるモジュールの組み合わせとして表され得ることが正しく認識されるであろう。
【0037】
幾つかの実施形態において、署名計算モジュール２２１は、車載ネットワークにおいて認証要求が存在する場合、ゾーンマスタＥＣＵ１０７に関連付けられた複数のプライマリＥＣＵ１１１のそれぞれから、予め割り当てられた署名付き固有暗号鍵シェアを要求し得る。一例として、以下の方法の更なる説明のために、モジュール２０５が、所定ゾーン１０５１に属するゾーンマスタＥＣＵ１０７１の認証システム１０９１内に存在すると考える。従って、署名計算モジュール２２１は、ゾーンマスタＥＣＵ１０７１に関連付けられた複数のプライマリＥＣＵ１１１Ａのそれぞれから、予め割り当てられた署名付き固有暗号鍵シェアを要求し得る。幾つかの他の実施形態において、署名計算モジュール２２１は、ゾーンマスタＥＣＵ１０７１に関連付けられた複数のプライマリＥＣＵ１１１Ａの幾つかから、予め割り当てられた署名付き固有暗号鍵シェアを要求し得る。しかし、複数のプライマリＥＣＵ１１１Ａの幾つかは、第１の固有署名を計算するために必要とされる予め割り当てられた署名付き固有暗号鍵シェアの所定の数（Ｋ－１）よりも大きくなければならない。幾つかの実施形態において、認証要求は、車載ネットワークの各所定ゾーン１０５に統合される複数のプライマリＥＣＵ１１１及び／又は複数のセカンダリＥＣＵ１１３を認証するための要件を示す任意の通知であり得る。幾つかの実施形態において、認証要求は、車両１０１の始動フェーズで生じ得る。幾つかの他の実施形態において、認証要求は、車両１０１の始動後に生じ得、換言すれば、認証要求は、所定のイベントの少なくとも１つの発生がある場合に生じ得る。一例として、所定のイベントは、イグニッションオン／オフ状態、ＥＣＵのウェイクアップモード、ＥＣＵのスリープモード、バス回復状態、所定の種類のメッセージ又はデータの受信及び所定の種類のメッセージ又はデータの送信等であり得る。
【0038】
その後、受信モジュール２２３は、複数のプライマリＥＣＵ１１１Ａから受信された予め割り当てられた署名付き固有暗号鍵シェアを受信し得る。幾つかの実施形態において、本開示において開示する方法を実行する前に、署名付き固有暗号鍵シェアを生成し、生成された署名付き固有暗号鍵シェアを車載ネットワーク内の種々のＥＣＵに割り当てる概念及びプロセスは、英国特許出願第２１０８７０５．１号明細書、発明の名称「Ａ ＭＥＴＨＯＤ ＡＮＤ ＳＹＳＴＥＭ ＦＯＲ ＳＥＣＲＥＴ ＫＥＹ ＳＨＡＲＩＮＧ ＦＯＲ ＡＮ ＩＮ－ＶＥＨＩＣＬＥ ＮＥＴＷＯＲＫ」に開示されている。英国特許出願第２１０８７０５．１号明細書の開示全体は、参照として本明細書中に含まれる。幾つかの実施形態において、複数のプライマリＥＣＵ１１１Ａから従って受信する予め割り当てられた署名付き固有暗号鍵シェアは、乱数又はノンスを使用して暗号化され得る。幾つかの他の実施形態において、複数のプライマリＥＣＵ１１１Ａから従って受信する予め割り当てられた署名付き固有暗号鍵シェアは、プレーンテキストフォーマットであり得る。幾つかの実施形態において、固有暗号鍵シェアのそれぞれは、割り当てに先立って署名され得る。例えば、固有暗号鍵シェアは、以下の式１使用して署名され得る。
Ｓｉｇ（ＥＣＵｉ）＝ｍｙｉ ｍｏｄ Ｎ － 式１
上記の式１において、
「ｉ」は、整数（１、２．．．ｎ）を指し得、
「ｍ」は、予め構成された値を指し得、
「ｙ」は、固有暗号鍵シェアを指し得、従って、ｙ１、ｙ２、．．．、ｙｋは、ゾーンマスタＥＣＵ１０７１の元の暗号鍵の固有暗号鍵シェアであり、
「Ｎ」は、公開鍵を指し得、
「ｍｏｄ Ｎ」は、所定のモジュラ演算技法を使用して特定される公開鍵のモジュロを指し得る。
Ｓｉｇ（ＥＣＵｉ）＝ｍｙｉ ｍｏｄ Ｎ － 式１
上記の式１において、
「ｉ」は、整数（１、２．．．ｎ）を指し得、
「ｍ」は、予め構成された値を指し得、
「ｙ」は、固有暗号鍵シェアを指し得、従って、ｙ１、ｙ２、．．．、ｙｋは、ゾーンマスタＥＣＵ１０７１の元の暗号鍵の固有暗号鍵シェアであり、
「Ｎ」は、公開鍵を指し得、
「ｍｏｄ Ｎ」は、所定のモジュラ演算技法を使用して特定される公開鍵のモジュロを指し得る。
【0039】
幾つかの実施形態において、署名計算モジュール２２１は、次いで、複数のプライマリＥＣＵから受信された予め割り当てられた所定の数（Ｋ－１）の署名付き固有暗号鍵シェアを使用して、所定ゾーンの第１の固有署名を計算し得る。一例として、所定の数（Ｋ－１）は、３であり得、これは、認証システムが、所定ゾーン１０５１の複数のプライマリＥＣＵ１１１Ａから受信された３つの予め割り当てられた署名付き固有暗号鍵シェアのみを使用して、所定ゾーンの第１の固有署名を計算し得ることを意味する。しかし、これは、所定の数（Ｋ－１）が変化し得、動的に構成可能であり得るため、限定として解釈すべきではない。幾つかの実施形態において、所定の数（Ｋ－１）の予め割り当てられた固有暗号鍵シェアは、先着順（ＦＣＦＳ）技法、ランダム選択技法又はルールベース技法の１つに基づいて選択される。一例として、署名計算モジュール２２１は、３つのプライマリＥＣＵから受信された最初の３つの予め割り当てられた署名付き固有暗号鍵シェアを使用して、第１の固有署名を計算し得る。別の例において、署名計算モジュール２２１は、第１の固有署名を計算するために３つのプライマリＥＣＵから受信された３つの予め割り当てられた署名付き固有暗号鍵シェアをランダムに選択し得る。更に別の例において、署名計算モジュール２２１は、第１の固有署名を計算するために、１つ以上の所定のルールに基づいて３つの異なるＥＣＵから受信された３つの固有暗号鍵シェアを選択し得る。一例として、所定のルールが「第１の固有署名を計算するためにアンチロックブレーキング機能に関連するプライマリＥＣＵから受信された署名付き固有暗号鍵シェアを選択する」ことを示す場合、署名計算モジュール２２１は、アンチロックブレーキシステム（ＡＢＳ）機能に関連する３つのプライマリＥＣＵから受信された３つの固有暗号鍵シェアを選択し、第１の固有署名を計算するためにそれらを使用し得る。
【0040】
幾つかの実施形態において、署名計算モジュール２２１は、以下の式２を使用して、所定ゾーン１０５１の複数のプライマリＥＣＵ１１１Ａから受信された予め割り当てられた署名付き固有暗号鍵シェアに基づいて第１の固有署名を計算し得る。
Ｓｉｇ（ＥＣＵ１＋ＥＣＵ２＋，．．．，＋ＥＣＵｋ－１）＝ｍＳ ｍｏｄ Ｎ － 式２
上記の式２において、
Ｓｉｇ（ＥＣＵ１＋ＥＣＵ２＋，．．．，＋ＥＣＵｋ－１）は、複数のプライマリＥＣＵから受信された署名付き固有暗号鍵シェアの集約を示し、
「ｍ」は、予め構成された値であり、
「Ｓ」は、（ｙ１＋ｙ２，．．．，＋ｙｋ－１）に等しく、ここで、「ｙ」は、固有暗号鍵シェアであり、
「Ｋ－１」は、固有の第１の署名を計算するために必要とされる署名付き固有暗号鍵シェアの所定の数を示し、
「Ｎ」は、公開鍵であり、
「ｍｏｄ Ｎ」は、所定のモジュラ演算技法を使用して特定される公開鍵のモジュロである。
Ｓｉｇ（ＥＣＵ１＋ＥＣＵ２＋，．．．，＋ＥＣＵｋ－１）＝ｍＳ ｍｏｄ Ｎ － 式２
上記の式２において、
Ｓｉｇ（ＥＣＵ１＋ＥＣＵ２＋，．．．，＋ＥＣＵｋ－１）は、複数のプライマリＥＣＵから受信された署名付き固有暗号鍵シェアの集約を示し、
「ｍ」は、予め構成された値であり、
「Ｓ」は、（ｙ１＋ｙ２，．．．，＋ｙｋ－１）に等しく、ここで、「ｙ」は、固有暗号鍵シェアであり、
「Ｋ－１」は、固有の第１の署名を計算するために必要とされる署名付き固有暗号鍵シェアの所定の数を示し、
「Ｎ」は、公開鍵であり、
「ｍｏｄ Ｎ」は、所定のモジュラ演算技法を使用して特定される公開鍵のモジュロである。
【0041】
上記の式２において、署名計算モジュール２２１は、複数のプライマリＥＣＵ１１１Ａから受信された（Ｋ－１）数の署名付き固有暗号鍵シェアを集約して、固有の第１の署名を取得し得る。幾つかの実施形態において、（Ｋ－１）数の署名付き固有暗号鍵シェアは、以下の形態で集約され得る。式２に示すように、ｍＳ ｍｏｄ Ｎ。「Ｓ」は、（Ｋ－１）数の署名付き固有暗号鍵シェアの合計、即ち（ｙ１＋ｙ２，．．．，＋ｙｋ－１）を示す。一例として、所定の数（Ｋ－１）が３であると考える。従って、第１の固有署名は、式２を使用して以下に示すように計算され得る。
Ｓｉｇ（ＥＣＵ１＋ＥＣＵ２＋ＥＣＵ３）、即ち［固有の第１の署名］＝ｍ（ｙ１＋ｙ２＋ｙ３）ｍｏｄ Ｎ
Ｓｉｇ（ＥＣＵ１＋ＥＣＵ２＋ＥＣＵ３）、即ち［固有の第１の署名］＝ｍ（ｙ１＋ｙ２＋ｙ３）ｍｏｄ Ｎ
【0042】
幾つかの実施形態において、各所定ゾーン１０５のための公開鍵「Ｎ」は、計算された第１の固有署名の有効性を検証するために、対応する所定ゾーン１０５の対応するゾーンマスタＥＣＵ１０７に関連付けられたストレージユニットから取得される。幾つかの実施形態において、公開鍵「Ｎ」は、所定ゾーン１０５ごとに異なり得る。公開鍵「Ｎ」は、予め定義されたものの１つであり得るか、又は認証要求が存在する場合に動的に構成され得る。
【0043】
幾つかの実施形態において、第１の固有署名を計算すると、署名検証モジュール２２５は、計算された第１の固有署名の有効性を検証して、所定ゾーン１０５１内の複数のプライマリＥＣＵ１１１Ａのそれぞれを認証し得る。幾つかの実施形態において、計算された第１の署名の有効性は、所定ゾーン１０５１の公開鍵（Ｎ，ｅ）を使用して検証され得る。幾つかの実施形態において、計算された第１の固有署名の有効性を検証することは、予め割り当てられた署名付き固有暗号鍵シェアの（Ｋ－１）のシェアを使用して形成される第１の固有署名が、元の暗号鍵に対応するかどうかをチェックすることを含み得る。幾つかの実施形態において、予め割り当てられた署名付き固有暗号鍵シェアの（Ｋ－１）のシェアの各組み合わせは、結果として異なる第１の固有署名を生じ得る。しかし、そのように形成される第１の固有署名は、所定ゾーン１０５１の元の暗号鍵に従うべきである。
【0044】
幾つかの実施形態において、第１の固有署名がゾーンマスタＥＣＵ１０５１によって正常に検証された場合、送信モジュール２２７は、検証された固有の第１の署名を、各所定ゾーン１０５１～１０５ｎのゾーンマスタＥＣＵ１０７１～１０７ｎに関連付けられた車両マスタＥＣＵ１０３に提供し得る。同様に、ゾーンマスタＥＣＵ１０７１～１０７ｎのそれぞれの送信モジュール２２７は、対応する検証された第１の固有署名を車両マスタＥＣＵ１０３に送信し得る。幾つかの実施形態において、ゾーンマスタＥＣＵ１０７１～１０７ｎのそれぞれから対応する検証された第１の固有署名を受信すると、車両マスタＥＣＵ１０３は、車両１０１のセキュリティを全体として検証し得る。幾つかの実施形態において、車両１０１のセキュリティを全体として検証するために、車両マスタＥＣＵ１０３は、ゾーンマスタＥＣＵ１０７１～１０７ｎのそれぞれから受信された第１の固有署名の有効性が成功裏に検証されたかどうかを特定し得る。幾つかの実施形態において、所定ゾーン１０５１の第１の固有署名の有効性の検証の成功は、所定ゾーン１０５１内に存在する複数のプライマリＥＣＵ１１１Ａの真正性を示し得る。従って、所定ゾーン１０５１～１０５ｎのそれぞれの第１の固有署名が有効であると特定される場合、車両マスタＥＣＵ１０３は、所定ゾーン１０５１～１０５ｎのそれぞれに存在する複数のプライマリＥＣＵ１１１のそれぞれが有効であると特定し得、それにより複数のプライマリＥＣＵ１１１のみが最初に認証されているため、車両１０１のセキュリティ又はより正確には車両１０１の重要なセキュリティを検証する。車両１０１のセキュリティの検証に成功すると、車両マスタＥＣＵ１０３は、各所定ゾーン１０５１～１０５ｎの複数のプライマリＥＣＵ１１１のそれぞれに関連付けられた１つ以上の安全機能を起動し得る。幾つかの実施形態において、安全機能は、車両に関連するクリティカル機能と同等であり得る。一例として、安全機能／クリティカル機能は、エアバッグ機能、アンチロックブレーキシステム（ＡＢＳ）機能、パワートレイン機能、サラウンドビュー及び警告機能、ゲートウェイ機能等を含み得るが、これらに限定されない。第１の固有署名が所定ゾーン１０５１～１０５ｎのいずれに対しても有効ではないと特定された場合、車両マスタＥＣＵ１０３は、複数のプライマリＥＣＵ１１１の１つ以上が第三者の攻撃者／ハッカーによって攻撃されたと特定し得る。幾つかの他の実施形態において、第１の固有署名が所定ゾーン１０５１～１０５ｎのいずれに対しても有効ではないと特定された場合、対応するゾーンマスタＥＣＵ１０７自体は、かかるセキュリティ違反に関して車両マスタＥＣＵ１０３に通知し得、車両マスタＥＣＵ１０３がかかるセキュリティ違反に対して適切な措置を講じることを可能にし得る。
【0045】
幾つかの実施形態において、所定ゾーン１０５１～１０５ｎのそれぞれにおける複数のプライマリＥＣＵ１１１に対して車両１０１のセキュリティの検証時、認証システム１０９は、複数のセカンダリＥＣＵ１１３に対して車両１０１のセキュリティを検証し得る。幾つかの実施形態において、認証システム１０９は、車両１０１のセキュリティを検証するために、上記で開示されたものと同じ方法を使用して、複数のセカンダリＥＣＵ１１３に対して車両１０１のセキュリティを検証し得る。しかし、簡単に繰り返すと、署名計算モジュール２２１は、複数のプライマリＥＣＵ１１１Ａの検証時、ゾーンマスタＥＣＵ１０７１に関連付けられた複数のセカンダリＥＣＵ１１３Ａのそれぞれから、予め割り当てられた署名付き固有暗号鍵シェアを要求し得る。その後、受信モジュール２２３は、複数のセカンダリＥＣＵ１１３Ａから受信された予め割り当てられた署名付き固有暗号鍵シェアを受信し得る。続いて、署名計算モジュール２２１は、複数のセカンダリＥＣＵ１１３Ａから受信された所定の数（Ｋ－１）の予め割り当てられた署名付き固有暗号鍵シェアを使用して、所定ゾーン１０５１の第２の固有署名を計算し得る。幾つかの実施形態において、署名計算モジュール２２１は、第１の固有署名を計算するために使用されるのと同じ式である式２を使用して、第２の固有署名を計算し得る。第２の固有署名を計算すると、署名検証モジュール２２５は、公開鍵（Ｎ，ｅ）を使用して、計算された第２の固有署名の有効性を検証して、所定ゾーン１０５１内の複数のセカンダリＥＣＵ１１３Ａのそれぞれを認証し得る。その後、送信モジュール２２７は、検証された第２の固有署名を、所定ゾーン１０５１のゾーンマスタＥＣＵ１０７１に関連付けられた車両マスタＥＣＵ１０３に提供し得る。
【0046】
幾つかの実施形態において、車両マスタＥＣＵ１０３は、第１の固有署名に基づいてセキュリティ検証を実行するために、本開示において上記で説明したように、所定ゾーン１０５１～１０５ｎのそれぞれのゾーンマスタＥＣＵ１０７１～１０７ｎのそれぞれから第２の固有署名を受信して、車両のセキュリティを全体として検証し得る。幾つかの実施形態において、第２の固有署名に基づいて車両１０１のセキュリティの検証時、車両マスタＥＣＵ１０３は、複数のセカンダリＥＣＵ１１３のそれぞれに関連付けられた他の機能を起動し得る。幾つかの実施形態において、他の機能は、車両１０１の非クリティカル機能と同等であり得る。一例として、車両１０１の他の機能／非クリティカル機能は、インフォテインメントシステム機能、暖房、換気及び空調（ＨＶＡＣ）制御機能、パワーウィンドウ制御機能等を含み得るが、これらに限定されない。
【0047】
以下では、本開示のよりよい理解のために、１つ以上の例により、車両のセキュリティを検証するプロセスを説明する。しかし、１つ以上の例が本開示の限定と見なされるべきではない。
【0048】
図２Ｂに示すような例示的な図を考える。このシナリオにおいて、以下の表１に示すような車載ネットワークの配置を考える。
【0049】
【表1】
【0050】
車両始動フェーズが発生すると、車両１０１のＥＣＵの認証が必要となる。車両１０１のセキュリティの認証／検証が速いほど、ユーザ体験は、より良好になる。従って、迅速な始動を確実にするために、本開示は、最初に、最も重要な、各所定ゾーン１０５における複数のプライマリＥＣＵ（クリティカルＥＣＵ）１１１を検証し、次いでセカンダリＥＣＵ（非クリティカルＥＣＵ）１１３の検証が続く方法を開示する。本例示的シナリオにおいて、認証要求が存在する場合、並行して、表２に示すような以下の動作が、プライマリＥＣＵに対して、ＰＺ－１及びＰＺ－２において発生する。
【0051】
【表2】
【0052】
ＶＭＥ１０３は、ＰＺ－１のＺＭＥ－１及びＰＺ－２のＺＭＥ－２からそれぞれＦＵＳ－１及びＦＵＳ－２を受信し、プライマリ／クリティカルＥＣＵ１１１の真正性及び有効性に基づいて車両１０１のセキュリティを検証する。クリティカルＥＣＵが第三者の攻撃者によって攻撃されると、車両１０１のセキュリティを完全に危険にさらし、車両１０１の制御を第三者の攻撃者に引き渡す可能性がある。従って、クリティカルＥＣＵを最初に認証することは、車両１０１の最も重要なＥＣＵの真正性を完全なカバレッジでチェックすることを可能にするだけでなく、高いセキュリティを保証する。その上、本開示において開示する方法は、所定ゾーンの各ＥＣＵを次々に認証する逐次的な方法ではなく、むしろ、本開示において開示する方法は、所定ゾーンのそれぞれにおいて、また各ゾーン内のプライマリＥＣＵから受信された所定の数（Ｋ－１）の鍵シェアのみにより、並列検証を可能にする。従って、本開示は、各ＥＣＵからの応答を待ってそのＥＣＵを認証する必要性を排除する。むしろ、本開示は、所定ゾーン内の（Ｋ－１）数のプライマリＥＣＵから受信された（Ｋ－１）の鍵シェアを使用することを可能にし、（Ｋ－１）の鍵シェアを使用して計算される固有署名に基づいて、そのゾーン内のプライマリＥＣＵのそれぞれを一気に認証する。ＦＵＳ－１及びＦＵＳ－２に基づいて車両１０１のセキュリティの検証時、ＶＭＥ１０３は、ＡＢＳ機能、エアバッグ機能、パワートレイン機能等のセキュア／クリティカル機能を起動する。
【0053】
その後、ＺＭＥ－１及びＺＭＥ－２は、所定ゾーンＰＺ－１及びＰＺ－２内の複数のセカンダリＥＣＵ１１３のそれぞれに対して同じ方法を実行する。本例示的シナリオにおいて、認証要求が存在する場合、並行して、表３に示すような以下の動作が、セカンダリＥＣＵに対して、ＰＺ－１及びＰＺ－２において発生する。
【0054】
【表3】
【0055】
ＶＭＥ１０３は、ＰＺ－１のＺＭＥ－１及びＰＺ－２のＺＭＥ－２からそれぞれＳＵＳ－１及びＳＵＳ－２を受信し、セカンダリ／非クリティカルＥＣＵ１１１の真正性及び有効性に基づいて車両１０１のセキュリティを検証する。セカンダリＥＣＵは本質的に非クリティカルであるため、（始動自体に必要とされる）プライマリＥＣＵの検証の後、始動フェーズの後であってもセカンダリＥＣＵを検証することは、車載ネットワークに害を与えない場合がある。その上、始動後の遅いステージでセカンダリ／非クリティカルＥＣＵの検証を実行することは、始動フェーズでのプライマリ／クリティカルＥＣＵの検証の速度を向上させる可能性があり、始動フェーズ中の不必要な遅延を排除し、始動フェーズでのプライマリ／クリティカルＥＣＵのカバレッジを向上させ、また高速始動につながるクリティカルセキュリティヘルスチェックのより高速な検証により、ユーザ経験を向上させる。ＳＵＳ－１及びＳＵＳ－２に基づいて車両１０１のセキュリティの検証時、ＶＭＥ１０３は、インフォテインメントシステム機能、暖房、換気及び空調（ＨＶＡＣ）制御機能、パワーウィンドウ制御機能等のセキュア／クリティカル機能を起動する。
【0056】
図３は、本開示の幾つかの実施形態による、車両のセキュリティを検証する方法を示すフローチャートを示す。
【0057】
図３に示すように、方法３００は、車両１０１のセキュリティを検証する方法を示す１つ以上のブロックを含む。方法３００は、コンピュータ実行可能命令の一般的な文脈において説明され得る。一般に、コンピュータ実行可能命令は、関数を実行するか又は抽象データ型を実装するルーチン、プログラム、オブジェクト、コンポーネント、データ構造、プロシージャ、モジュール及び関数を含むことができる。
【0058】
方法３００を説明する順序は、限定として解釈されることを意図しておらず、任意の数の説明する方法ブロックは、方法３００を実装するために任意の順序で組み合わせることができる。加えて、個々のブロックは、本明細書中に説明する主題の趣旨及び適用範囲から逸脱することなく、方法から削除され得る。更に、方法３００は、任意の適切なハードウェア、ソフトウェア、ファームウェア又はそれらの組み合わせにおいて実装され得る。
【0059】
ブロック３０１において、方法３００は、所定ゾーン１０５１の１つのゾーンマスタ電子制御ユニット（ＥＣＵ）１０７１に統合される認証システム１０９１のプロセッサ１１５により、ゾーンマスタＥＣＵ１０７１に関連付けられた複数のプライマリＥＣＵ１１１Ａのそれぞれから、予め割り当てられた署名付き固有暗号鍵シェアを要求することを含み得る。幾つかの実施形態において、プロセッサ１１５は、車載ネットワークにおいて認証要求が存在する場合、複数のプライマリＥＣＵ１１１Ａのそれぞれから、予め割り当てられた署名付き固有暗号鍵シェアを要求し得る。幾つかの実施形態において、複数のプライマリＥＣＵ１１１Ａから受信された予め割り当てられた署名付き固有暗号鍵シェアは、乱数又はノンスを使用して暗号化される。
【0060】
ブロック３０３において、方法３００は、プロセッサ１１５により、複数のプライマリＥＣＵ１１１Ａから受信された所定の数（Ｋ－１）の予め割り当てられた署名付き固有暗号鍵シェアを使用して、所定ゾーンの第１の固有署名を計算することを含み得る。幾つかの実施形態において、所定の数（Ｋ－１）は、第１の固有署名及び第２の固有署名を計算するために必要とされる予め割り当てられた署名付き固有暗号鍵シェアの最小数であり得る。幾つかの実施形態において、所定の数（Ｋ－１）の固有暗号鍵シェアは、先着順（ＦＣＦＳ）技法、ランダム選択技法又はルールベース技法の１つに基づいて選択される。
【0061】
ブロック３０５において、方法３００は、プロセッサ１１５により、公開鍵を使用して、計算された第１の固有署名の有効性を検証して、所定ゾーン１０５１内の複数のプライマリＥＣＵ１１１Ａのそれぞれを認証することを含み得る。幾つかの実施形態において、各所定ゾーンのための公開鍵は、計算された第１の固有署名及び第２の固有署名の有効性を検証するために、対応するゾーンマスタＥＣＵ１０７１に関連付けられたストレージユニットから取得され得る。
【0062】
ブロック３０７において、方法３００は、プロセッサ１１５により、検証された第１の固有署名を、各所定ゾーン１０５１～１０５ｎのゾーンマスタＥＣＵ１０７１～１０７ｎに関連付けられた車両マスタＥＣＵ１０３に提供して、車両マスタＥＣＵ１０３が、各所定ゾーン１０５１～１０５ｎの複数のプライマリＥＣＵ１１１のそれぞれに関連付けられた安全機能を起動することを可能にすることを含み得る。
【0063】
幾つかの実施形態において、プロセッサ１１５は、車両マスタＥＣＵ１０３が複数のプライマリＥＣＵ１１１に基づいて車両１０１のセキュリティを検証した後に、所定ゾーン１０５１内のゾーンマスタＥＣＵ１０７１に関連付けられた複数のセカンダリＥＣＵ１１３Ａに対してブロック３０１～ブロック３０７のステップを繰り返し得る。幾つかの実施形態において、複数のセカンダリＥＣＵ１１３Ａに対してブロック３０１～ブロック３０７のステップを実行している間に、第２の固有署名が検証のために計算され、各所定ゾーン１０５１～１０５ｎの各ゾーンマスタＥＣＵ１０７１～１０７ｎに関連付けられた複数のセカンダリＥＣＵ１１３に基づいて、車両１０１のセキュリティを検証するために車両マスタＥＣＵ１０３に提供され得る。
【0064】
図４は、本開示と一致する実施形態を実装するための例示的なコンピュータシステムのブロック図である。
【0065】
幾つかの実施形態において、図４は、本発明と一致する実施形態を実装するための例示的なコンピュータシステム４００のブロック図を示す。幾つかの実施形態において、コンピュータシステム４００は、図４に示すように、車両１０１のセキュリティを検証するためのゾーンマスタ電子制御ユニット（ＥＣＵ）１０７に関連付けられた認証システム１０９とすることができる。幾つかの他の実施形態において、コンピュータシステム４００は、車両１０１のセキュリティを検証するための、ゾーンマスタＥＣＵ１０７１～１０７ｎのそれぞれに関連付けられた車両マスタＥＣＵ１０３とすることができる。コンピュータシステム４００は、中央処理装置（「ＣＰＵ」又は「プロセッサ」）４０２を含み得る。プロセッサ４０２は、ユーザ又はシステムが生成したビジネスプロセスを実行するためのプログラムコンポーネントを実行するための少なくとも１つのデータプロセッサを含み得る。ユーザは、人、本発明に含まれるもの等のデバイスを使用する人又はかかるデバイス自体を含み得る。プロセッサ４０２は、統合システム（バス）コントローラ、メモリ管理制御ユニット、浮動小数点ユニット、グラフィックス処理ユニット、デジタル信号処理ユニット等の専用処理ユニットを含み得る。
【0066】
プロセッサ４０２は、Ｉ／Ｏインターフェース４０１を介して入力デバイス４１１及び出力デバイス４１２と通信するように配設され得る。Ｉ／Ｏインターフェース４０１は、オーディオ、アナログ、デジタル、ステレオ、ＩＥＥＥ－１３９４、シリアルバス、ユニバーサルシリアルバス（ＵＳＢ）、赤外線、ＰＳ／２、ＢＮＣ、同軸、コンポーネント、コンポジット、デジタルビジュアルインターフェース（ＤＶＩ）、高解像度マルチメディアインターフェース（ＨＤＭＩ）、無線周波数（ＲＦ）アンテナ、Ｓ－Ｖｉｄｅｏ、ビデオグラフィックスアレイ（ＶＧＡ）、ＩＥＥＥ８０２．ｎ／ｂ／ｇ／ｎ／ｘ、Ｂｌｕｅｔｏｏｔｈ、セルラー（例えば、符号分割多元接続（ＣＤＭＡ）、高速パケットアクセス（ＨＳＰＡ＋）、汎欧州デジタル移動電話方式（ＧＳＭ）、ロングタームエボリューション（ＬＴＥ）、ＷｉＭａｘ等）の通信プロトコル／方法を採用し得るが、これらに限定されない。
【0067】
Ｉ／Ｏインターフェース４０１を使用して、コンピュータシステム４００は、入力デバイス４１１及び出力デバイス４１２と通信し得る。
【0068】
幾つかの実施形態において、プロセッサ４０２は、ネットワークインターフェース接続４０３を介して通信ネットワーク４０９と通信するように配設され得る。ネットワークインターフェース４０３は、通信ネットワーク４０９と通信し得る。ネットワークインターフェース４０３は、直接接続、イーサネット（例えば、ツイストペア１０／１００／１０００ＢａｓｅＴ）、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）、トークンリング、ＩＥＥＥ８０２．１１ａ／ｂ／ｇ／ｎ／ｘ等を含むがこれらに限定されない接続プロトコルを採用し得る。ネットワークインターフェース４０３及び通信ネットワーク４０９を使用して、コンピュータシステム４００は、複数のゾーンマスタＥＣＵ１０７（１０７１～１０７ｎ）と通信し得、それらは、従って、ユニバーサルシリアルバス（ＵＳＢ）、Ｂｌｕｅｔｏｏｔｈ等のインターネット又は非インターネット又は非ＩＰベースの通信を介して、車両マスタＥＣＵ１０３並びに複数のプライマリＥＣＵ１１１（１１１１～１１１ｎ）及び複数のセカンダリＥＣＵ１１３（１１３１～１１３ｎ）と通信する。通信ネットワーク４０９は、イントラネット又はローカルエリアネットワーク（ＬＡＮ）、クローズドエリアネットワーク（ＣＡＮ）等、及び自律車両内部のような異なる種類のネットワークの１つとして実装することができる。通信ネットワーク４０９は、専用ネットワーク又は共有ネットワークのいずれか一方であり得、これは、互いに通信するために、種々のプロトコル、例えばハイパーテキスト転送プロトコル（ＨＴＴＰ）、ＣＡＮプロトコル、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）、ワイヤレスアプリケーションプロトコル（ＷＡＰ）等を使用する異なる種類のネットワークの関連を表す。更に、通信ネットワーク４０９は、ルータ、ブリッジ、サーバ、コンピューティングデバイス、ストレージデバイス等を含む、種々のネットワークデバイスを含み得る。幾つかの実施形態において、プロセッサ４０２は、ストレージインターフェース４０４を介して、メモリ４０５（例えば、図４に図示していないＲＡＭ、ＲＯＭ等）と通信するように配設され得る。ストレージインターフェース４０４は、シリアルアドバンスドテクノロジーアタッチメント（ＳＡＴＡ）、Ｉｎｔｅｇｒａｔｅｄ Ｄｒｉｖｅ Ｅｌｅｃｔｒｏｎｉｃｓ（ＩＤＥ）、ＩＥＥＥ－１３９４、ユニバーサルシリアルバス（ＵＳＢ）、ファイバーチャネル、小型計算機システムインターフェース（ＳＣＳＩ）等の接続プロトコルを採用して、メモリドライブ、リムーバブルディスクドライブ等を含むが、これらに限定されないメモリ４０５に接続され得る。メモリドライブは、ドラム、磁気ディスクドライブ、磁気光学ドライブ、光学ドライブ、Ｒｅｄｕｎｄａｎｔ Ａｒｒａｙ ｏｆ Ｉｎｄｅｐｅｎｄｅｎｔ Ｄｉｓｃ（ＲＡＩＤ）、ソリッドステートメモリデバイス、ソリッドステートドライブ等を更に含み得る。
【0069】
メモリ４０５は、ユーザインターフェース４０６、オペレーティングシステム４０７、Ｗｅｂブラウザ４０８等を含むがこれらに限定されないプログラム又はデータベースコンポーネントの集合を格納し得る。幾つかの実施形態において、コンピュータシステム４００は、本発明において説明するようなデータ、変数、記録等のユーザ／アプリケーションデータを格納し得る。かかるデータベースは、Ｏｒａｃｌｅ又はＳｙｂａｓｅ等のフォールトトレラント、リレーショナル、スケーラブルで、セキュアなデータベースとして実装され得る。
【0070】
オペレーティングシステム４０７は、コンピュータシステム４００のリソース管理及び動作を容易にし得る。オペレーティングシステム４０７の例は、ＡＰＰＬＥ（登録商標）ＭＡＣＩＮＴＯＳＨ（登録商標）ＯＳ Ｘ（登録商標）、ＵＮＩＸ（登録商標）、ＵＮＩＸ系システムディストリビューション（例えば、ＢＥＲＫＥＬＥＹ ＳＯＦＴＷＡＲＥ ＤＩＳＴＲＩＢＵＴＩＯＮ（登録商標）（ＢＳＤ）、ＦＲＥＥＢＳＤ（登録商標）、ＮＥＴＢＳＤ（登録商標）、ＯＰＥＮＢＳＤ等）、ＬＩＮＵＸ（登録商標）ディストリビューション（例えば、ＲＥＤ ＨＡＴ（登録商標）、ＵＢＵＮＴＵ（登録商標）、ＫＵＢＵＮＴＵ（登録商標）等）、ＩＢＭ（登録商標）ＯＳ／２（登録商標）、ＭＩＣＲＯＳＯＦＴ（登録商標）ＷＩＮＤＯＷＳ（登録商標）（ＸＰ（登録商標）、ＶＩＳＴＡ（登録商標）／７／８、１０等）、ＡＰＰＬＥ（登録商標）ＩＯＳ（登録商標）、ＧＯＯＧＬＥ（商標）ＡＮＤＲＯＩＤ（商標）、ＢＬＡＣＫＢＥＲＲＹ（登録商標）ＯＳ等を含むが、これらに限定されない。ユーザインターフェース４０６は、テキスト又はグラフィック機能を介してプログラムコンポーネントの表示、実行、対話、操作又は動作を容易にし得る。例えば、ユーザインターフェース４０６は、カーソル、アイコン、チェックボックス、メニュー、スクローラ、ウィンドウ、ウィジェット等、コンピュータシステム４００に動作可能に接続されるディスプレイシステム上のコンピュータ対話インターフェース要素を提供し得る。Ａｐｐｌｅ（登録商標）Ｍａｃｉｎｔｏｓｈ（登録商標）オペレーティングシステムのＡｑｕａ（登録商標）、ＩＢＭ（登録商標）ＯＳ／２（登録商標）、Ｍｉｃｒｏｓｏｆｔ（登録商標）Ｗｉｎｄｏｗｓ（登録商標）（例えば、Ａｅｒｏ、Ｍｅｔｒｏ等）、Ｗｅｂインターフェースライブラリ（例えば、ＡｃｔｉｖｅＸ（登録商標）、Ｊａｖａ（登録商標）、Ｊａｖａｓｃｒｉｐｔ（登録商標）、ＡＪＡＸ、ＨＴＭＬ、Ａｄｏｂｅ（登録商標）Ｆｌａｓｈ（登録商標）等）等を含むがこれらに限定されないグラフィカルユーザインターフェース（ＧＵＩ）を採用し得る。
【0071】
幾つかの実施形態において、コンピュータシステム４００は、Ｗｅｂブラウザ４０８格納プログラムコンポーネントを実装し得る。Ｗｅｂブラウザ４０８は、ＭＩＣＲＯＳＯＦＴ（登録商標）ＩＮＴＥＲＮＥＴ ＥＸＰＬＯＲＥＲ（登録商標）、ＧＯＯＧＬＥ（商標）ＣＨＲＯＭＥ（商標）、ＭＯＺＩＬＬＡ（登録商標）ＦＩＲＥＦＯＸ（登録商標）、ＡＰＰＬＥ（登録商標）ＳＡＦＡＲＩ（登録商標）等のハイパーテキスト閲覧アプリケーションであり得る。セキュアウェブブラウジングは、セキュアハイパーテキスト転送プロトコル（ＨＴＴＰＳ）、Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ（ＳＳＬ）、トランスポート層セキュリティ（ＴＬＳ）等を使用して提供され得る。Ｗｅｂブラウザ４０８は、ＡＪＡＸ、ＤＨＴＭＬ、ＡＤＯＢＥ（登録商標）ＦＬＡＳＨ（登録商標）、ＪＡＶＡＳＣＲＩＰＴ（登録商標）、ＪＡＶＡ（登録商標）、アプリケーションプログラミングインターフェース（ＡＰＩ）等の機能を利用し得る。幾つかの実施形態において、コンピュータシステム４００は、メールサーバ格納プログラムコンポーネントを実装し得る。メールサーバは、Ｍｉｃｒｏｓｏｆｔ Ｅｘｃｈａｎｇｅ等のインターネットメールサーバであり得る。メールサーバは、アクティブサーバページ（ＡＳＰ）、ＡＣＴＩＶＥＸ（登録商標）、ＡＮＳＩ（登録商標）Ｃ＋＋／Ｃ＃、ＭＩＣＲＯＳＯＦＴ（登録商標）．ＮＥＴ、ＣＧＩスクリプト、ＪＡＶＡ（登録商標）、ＪＡＶＡＳＣＲＩＰＴ（登録商標）、ＰＥＲＬ（登録商標）、ＰＨＰ、ＰＹＴＨＯＮ（登録商標）、ＷＥＢＯＢＪＥＣＴＳ（登録商標）等の機能を利用し得る。メールサーバは、インターネットメッセージアクセスプロトコル（ＩＭＡＰ）、Ｍｅｓｓａｇｉｎｇ Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅ（ＭＡＰＩ）、ＭＩＣＲＯＳＯＦＴ（登録商標）ｅｘｃｈａｎｇｅ、ポストオフィスプロトコル（ＰＯＰ）、簡易メール転送プロトコル（ＳＭＴＰ）等の通信プロトコルを利用し得る。幾つかの実施形態において、コンピュータシステム４００は、メールクライアント格納プログラムコンポーネントを実装し得る。メールクライアントは、ＡＰＰＬＥ（登録商標）ＭＡＩＬ、ＭＩＣＲＯＳＯＦＴ（登録商標）ＥＮＴＯＵＲＡＧＥ（登録商標）、ＭＩＣＲＯＳＯＦＴ（登録商標）ＯＵＴＬＯＯＫ（登録商標）、ＭＯＺＩＬＬＡ（登録商標）ＴＨＵＮＤＥＲＢＩＲＤ（登録商標）等のメール閲覧アプリケーションであり得る。
【0072】
更に、１つ以上のコンピュータ読取可能ストレージ媒体が、本発明と一致する実施形態を実装することにおいて利用され得る。コンピュータ読取可能ストレージ媒体とは、プロセッサによって読み取り可能な情報又はデータが格納され得る任意の種類の物理メモリを指す。従って、コンピュータ読取可能ストレージ媒体は、本明細書中に説明する実施形態と一致するステップ又はステージをプロセッサに実行させるための命令を含む、１つ以上のプロセッサによる実行のための命令を格納し得る。用語「コンピュータ読取可能媒体」とは、有形のアイテムを含み、搬送波及び過渡信号を除外し、即ち非一時的であると理解されるべきである。例は、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、揮発性メモリ、不揮発性メモリ、ハードドライブ、コンパクトディスク（ＣＤ）ＲＯＭ、デジタルビデオディスク（ＤＶＤ）、フラッシュドライブ、ディスク及び他の任意の公知の物理的ストレージ媒体を含む。
【0073】
全体として、本開示は、始動フェーズ中に車両内のクリティカルＥＣＵに対して実行可能なセキュリティ検証を提供する。本開示は、クリティカルＥＣＵの真正性を保証し、それらが攻撃者によって危険にさらされることを防止する。従って、本開示は、
－ 各ＥＣＵのための多数のセキュリティ検証の代わりに、ＥＣＵのグループのための単一ステップのセキュリティ検証を使用することにより、認証及び始動のより高速なチェックを達成する。
－ セキュリティ検証タイミングを短縮し、ユーザ経験レベルを向上させる。
－ バランスのとれた性能及びコスト要因内で、始動フェーズ中のクリティカルＥＣＵの認証を確実にする。
－ 各ＥＣＵのための多数のセキュリティ検証の代わりに、ＥＣＵのグループのための単一ステップのセキュリティ検証を使用することにより、認証及び始動のより高速なチェックを達成する。
－ セキュリティ検証タイミングを短縮し、ユーザ経験レベルを向上させる。
－ バランスのとれた性能及びコスト要因内で、始動フェーズ中のクリティカルＥＣＵの認証を確実にする。
【0074】
互いに通信する幾つかのコンポーネントを有する実施形態の説明は、全てのかかるコンポーネントが必要とされることを意味するものではない。反対に、様々な任意のコンポーネントは、本発明の多種多様な可能な実施形態を例示するために説明される。単一のデバイス又は物品が本明細書中に説明されている場合、単一のデバイス／物品の代わりに１つを超えるデバイス／物品（それらが協働するか否かに関わらず）が使用され得ることは、明らかであろう。同様に、１つを超えるデバイス又は物品が本明細書中で説明される場合（それらが協働するか否かに関わらず）、単一のデバイス／物品が、１つを超えるデバイス若しくは物品の代わりに使用され得るか、又は異なる数のデバイス／物品が、図示した数のデバイス若しくはプログラムの代わりに使用され得ることは、明らかであろう。デバイスの機能及び／又は特徴は、かかる機能／特徴を有するものとして明示的に説明されていない１つ以上の他のデバイスによって代替として具現化され得る。従って、本発明の他の実施形態は、デバイス自体を含む必要はない。
【0075】
本明細書は、車両のセキュリティを検証するための方法及びシステムを説明した。図示のステップは、示した例示的な実施形態を説明するために提示され、進行中の技術開発が、特定の機能が実行される様式を変化させるであろうことは予期すべきである。これらの例は、例示の目的のために本明細書中に提示され、限定するものではない。更に、機能構成ブロックの境界は、説明の便宜上、本明細書中に任意に定義されている。指定された機能及びその関係が適切に実行される限り、代替の境界を定義することができる。代替形態（本明細書中に説明するものの均等物、拡張形態、変形形態、逸脱等を含む）は、本明細書に含まれる教示に基づいて、関連技術の当業者には明らかであろう。かかる代替形態は、開示した実施形態の適用範囲及び趣旨に含まれる。また、単語「含む」、「有する」、「含有する」及び「包含する」並びに他の同様の形態は、意味において同等であり、これらの単語のいずれか１つに続く単数又は複数の項目が、かかる単数又は複数の項目の網羅的な列挙であることを意味するものでも、又は列挙された単数又は複数の項目のみに限定されることを意味するものでもない点でオープンエンドであることを意図している。本明細書及び添付の特許請求の範囲で使用する場合、単数形「１つの（ａ）」、「１つの（ａｎ）」及び「その」は、文脈で明確に規定しない限り、複数の言及を含むことにも留意されたい。
【0076】
最後に、本明細書で使用される言語は、主に読みやすさ及び教示する目的のために選択されたものであり、本発明の主題を線引き又は限定するために選択されたものではない。従って、本発明の適用範囲は、この詳細な説明によってではなく、本明細書に基づく出願に関して発行される任意の特許請求の範囲によって限定されることを意図している。従って、本発明の実施形態は、以下の特許請求の範囲に記載する本発明の適用範囲を例示することを意図しているが、限定するものではない。
【符号の説明】
【0077】
１００ アーキテクチャ
１０１ 車両
１０３ 車両マスタＥＣＵ
１０５ 所定ゾーン
１０７ ゾーンマスタＥＣＵ
１０９ 認証システム
１１１ 複数のプライマリＥＣＵ
１１３ 複数のセカンダリＥＣＵ
１１５ プロセッサ
１１７ Ｉ／Ｏインターフェース
１１９ メモリ
２０３ データ
２０５ モジュール
２０７ 鍵共有データ
２０９ 署名データ
２１１ 他のデータ
２２１ 署名計算モジュール
２２３ 受信モジュール
２２５ 署名検証モジュール
２２７ 送信モジュール
２２９ 他のモジュール
４００ 例示的なコンピュータシステム
４０１ 例示的なコンピュータシステムのＩ／Ｏインターフェース
４０２ 例示的なコンピュータシステムのプロセッサ
４０３ ネットワークインターフェース
４０４ ストレージインターフェース
４０５ 例示的なコンピュータシステムのメモリ
４０６ ユーザインターフェース
４０７ オペレーティングシステム
４０８ Ｗｅｂブラウザ
４０９ 通信ネットワーク
４１１ 入力デバイス
４１２ 出力デバイス
１０１ 車両
１０３ 車両マスタＥＣＵ
１０５ 所定ゾーン
１０７ ゾーンマスタＥＣＵ
１０９ 認証システム
１１１ 複数のプライマリＥＣＵ
１１３ 複数のセカンダリＥＣＵ
１１５ プロセッサ
１１７ Ｉ／Ｏインターフェース
１１９ メモリ
２０３ データ
２０５ モジュール
２０７ 鍵共有データ
２０９ 署名データ
２１１ 他のデータ
２２１ 署名計算モジュール
２２３ 受信モジュール
２２５ 署名検証モジュール
２２７ 送信モジュール
２２９ 他のモジュール
４００ 例示的なコンピュータシステム
４０１ 例示的なコンピュータシステムのＩ／Ｏインターフェース
４０２ 例示的なコンピュータシステムのプロセッサ
４０３ ネットワークインターフェース
４０４ ストレージインターフェース
４０５ 例示的なコンピュータシステムのメモリ
４０６ ユーザインターフェース
４０７ オペレーティングシステム
４０８ Ｗｅｂブラウザ
４０９ 通信ネットワーク
４１１ 入力デバイス
４１２ 出力デバイス
【図1A】
【図1B】
【図1C】
【図2A】
【図2B】
【図3】
【図4】
【国際調査報告】