(57)【要約】【課題】セキュリティ上の問題が発生した場合においても、当該問題に対してより好適な対策を選択可能とする。【解決手段】所定の条件に応じて、セキュリティ認証局との間で認証を行う認証処理部と、車載ネットワークに接続されたコンポーネントを所定のインタフェースを介して制御するユニットとは独立して設けられ、前記認証の結果に応じて、前記インタフェースを介した前記コンポーネントへのアクセスを制御する制御部と、を備える、制御装置。【選択図】図２
2019071572.tif 000002
【特許請求の範囲】
【請求項１】
所定の条件に応じて、セキュリティ認証局との間で認証を行う認証処理部（１１１）と、
車載ネットワークに接続されたコンポーネントを所定のインタフェースを介して制御するユニットとは独立して設けられ、前記認証の結果に応じて、前記インタフェースを介した前記コンポーネントへのアクセスを制御する制御部（１１３）と、
を備える、制御装置。
【請求項２】
前記制御部（１１３）は、前記認証が失敗した場合に、前記インタフェースを介した前記コンポーネントへのアクセスを制限する、請求項１に記載の制御装置。
【請求項３】
前記制御部（１１３）は、前記セキュリティ認証局からの前記認証に係る応答の取得に失敗した場合に、前記インタフェースを介した前記コンポーネントへのアクセスを制限する、請求項２に記載の制御装置。
【請求項４】
認証のためのコードを生成するコード生成部（１０３）を備え、
前記認証処理部は、前記コードに基づき、前記セキュリティ認証局との間で認証を行う、
請求項１〜３のいずれか一項に記載の制御装置。
【請求項５】
前記認証は、前記コードを利用したチャレンジアンドレスポンス方式に基づく認証である、請求項４に記載の制御装置。
【請求項６】
制御部（１１３）は、設定された期間の経過に応じて、前記インタフェースを介した前記コンポーネントへのアクセスを制御する、請求項１〜５のいずれか一項に記載の制御装置。
【請求項７】
前記期間は、前記セキュリティ認証局により設定される、請求項６に記載の制御装置。
【請求項８】
前記セキュリティ認証局（２００）を備える、請求項１〜７のいずれか一項に記載の制御装置。
【請求項９】
前記認証処理部（１１１）は、所定のネットワークを前記セキュリティ認証局との間で前記認証を行う、請求項１〜７のいずれか一項に記載の制御装置。
【請求項１０】
前記所定のネットワークは、前記制御装置が保持された車両内のネットワークである、請求項９に記載の制御装置。
【請求項１１】
前記所定のネットワークは、前記制御装置が保持された車両の外部にアクセスするためのネットワークを含む、請求項９に記載の制御装置。
【請求項１２】
前記制御装置は、複数のネットワーク間のアクセスを制御する装置であり、
前記制御部（１１３）は、前記認証の結果に応じて、前記複数のネットワークのうち保護対象となるネットワークへの、当該ネットワークとは異なる他のネットワークからのアクセスを制限する、請求項１〜１１のいずれか一項に記載の制御装置。
【請求項１３】
前記保護対象となるネットワークは、前記制御装置が保持された車両の運行に関する情報が送受信される車載ネットワークである、請求項１２に記載の制御装置。
【請求項１４】
車載ネットワークに接続されたコンポーネントを所定のインタフェースを介して制御するユニットとは独立して設けられたコンピュータが、
所定の条件に応じて、セキュリティ認証局との間で認証を行うことと、
前記認証の結果に応じて、前記インタフェースを介した前記コンポーネントへのアクセスを制御することと、
を含む、制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、制御装置及び制御方法に関する。
【背景技術】
【０００２】
近年、車両に搭載されたシステムには、電子制御ユニット（ＥＣＵ：Electronic  Control  Unit）と称される装置が多数配置されており、これらのＥＣＵが当該車両の各種動作を制御する。また、これらのＥＣＵは、車載ネットワークと称される車両内のネットワークに接続される。車載ネットワークには多数の規格が存在し、代表的なものとして、ＣＡＮ（Controller  Area  Network）と称される規格が挙げられる。上記のような構成により、例えば、ＥＣＵは、他の制御ユニット（他のＥＣＵ等）から当該車載ネットワークを介して指示を受けて、当該指示に基づき車両内の各種コンポーネントの動作を制御することも可能となる。このようなコンポーネントには、例えば、ブレーキやモータ等のような、車両の運行に関する構成も含まれ得る。
【０００３】
また、近年では、ＬＴＥ、Bluetooth（登録商標）、Ｗｉ−Ｆｉ（登録商標）等の無線通信技術の発展に伴い、車両内の機器を、ＷＡＮ（World  Area  Network）やインターネット等のような車両の外部のネットワークに接続可能とする技術も各種提案されている。具体的な一例として、車両内の機器は、ＤＣＭ（Data  Communication  Module）やＴＣＵ（Telematics  Communication  Unit）等の通信ユニットを介して外部のネットワークにアクセスすることで、車両外の機器との通信が可能となる。特に近年では、所謂自動運転等の実現のために、外部から車両内の機器にアクセスすることで、当該車両の運行に関する各種構成の動作を制御する技術も注目されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１７−７３７６５号公報
【特許文献２】国際公開第２０１４／１９９６８７号
【発明の概要】
【発明が解決しようとする課題】
【０００５】
これに対して、車両内の機器と車両外の機器との間の通信が可能となることで、当該通信のためのインタフェースを介して車両外からの悪意ある攻撃により、車両内の機器が危険にさらされるリスクが発生し得る。特に、悪意のある攻撃者による攻撃により、ＣＰＵやマイクロコントローラのコードが不正に書き換えられた場合には、ＥＣＵを介して車両の運行に関わるコンポーネントが不正に動作させられるような事態が発生するような状況も想定され得る。このような背景から、車載システム内のセキュリティを確保するための技術の実現が求められている。例えば、特許文献１及び２には、車載システム内の機器のセキュリティを確保するための技術の一例が開示されている。
【０００６】
一方で、一部のＣＰＵやマイクロコントローラが攻撃者による悪意ある攻撃にさらされたとしても、その時点では、必ずしも他の部分（例えば、車両の運行に関する部分）の機能が当該攻撃により直接侵害されているとは限らない。即ち、このような状況下においては、悪意ある攻撃の検出に伴い、当該攻撃に直接侵害されていない部分も含めて、機能を無効化することは、必ずしも現実的な対応とは限らない。特に、車両の運用を想定した場合には、例えば、セキュリティ上の問題が発生して一部の機能が損なわれたとしても、当該機能を無効化して車両の運行を可能にする等のように、可能な限りの対策を行うことを可能とする仕組みが望まれる。
【０００７】
そこで、本開示では、セキュリティ上の問題が発生した場合においても、当該問題に対してより好適な対策を選択可能とする技術について提案する。
【課題を解決するための手段】
【０００８】
上記課題を解決するために、所定の条件に応じて、セキュリティ認証局との間で認証を行う認証処理部（１１１）と、車載ネットワークに接続されたコンポーネントを所定のインタフェースを介して制御するユニットとは独立して設けられ、前記認証の結果に応じて、前記インタフェースを介した前記コンポーネントへのアクセスを制御する制御部（１１３）と、を備える、制御装置が提供される。
【０００９】
また、上記課題を解決するために、車載ネットワークに接続されたコンポーネントを所定のインタフェースを介して制御するユニットとは独立して設けられたコンピュータが、所定の条件に応じて、セキュリティ認証局との間で認証を行うことと、前記認証の結果に応じて、前記インタフェースを介した前記コンポーネントへのアクセスを制御することと、を含む、制御方法が提供される。
【発明の効果】
【００１０】
以上説明したように本発明によれば、セキュリティ上の問題が発生した場合においても、当該問題に対してより好適な対策を選択可能とする技術が提供される。
【図面の簡単な説明】
【００１１】
【図１】車両に搭載された複数の制御装置を互いに接続する制御ネットワークの構成の一例を示した図である。
【図２】本開示の一実施形態に係るセキュリティ監視部の機能構成の一例について示したブロック図である。
【図３】同実施形態に係るセキュリティ監視部の適用例について説明するための説明図である。
【図４】ゲートウェイの概要について説明するための説明図である。
【図５】同実施形態に係るセキュリティ監視部の他の適用例について説明するための説明図である。
【図６】同実施形態に係るセキュリティ監視部の他の適用例について説明するための説明図である。
【図７】同実施形態に係る車載システムの一連の処理の流れの一例を示したフローチャートである。
【図８】同実施形態に係る車載システムの一連の処理の流れの一例を示したフローチャートである。
【図９】同実施形態に係る車載システムの一連の処理の流れの一例を示したフローチャートである。
【図１０】同実施形態に係る車載システムの一連の処理の流れの他の一例を示したフローチャートである。
【図１１】同実施形態に係る車載システムの一連の処理の流れの他の一例を示したフローチャートである。
【図１２】同実施形態に係る車載システムの一連の処理の流れの他の一例を示したフローチャートである。
【発明を実施するための形態】
【００１２】
以下に添付図面を参照しながら、本発明の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。
【００１３】
＜＜１．車載ネットワークの基本構成例＞＞
まず、図１を参照して、車載ネットワークの基本的な構成の一例について説明する。例えば、図１は、車両に搭載された複数の制御装置（ＥＣＵ：Electronic  Control  Unit）を互いに接続する制御ネットワーク１０の構成の一例を示す。
【００１４】
図示した制御ネットワーク１０はボディ系ＣＡＮネットワーク２０とシャシー／パワートレイン系ＣＡＮネットワーク３０とを含む。ボディ系ＣＡＮネットワーク２０とシャシー／パワートレイン系ＣＡＮネットワーク３０とはゲートウェイＥＣＵ５０ｈを介して互いに通信可能に接続されている。
【００１５】
ボディ系ＣＡＮネットワーク２０及びシャシー／パワートレイン系ＣＡＮネットワーク３０はそれぞれＣＡＮ（Controller  Area  Network）通信線を介して互いに通信可能に接続された複数の制御装置５０ａ〜５０ｈ（以下、特に区別が必要な場合を除き制御装置５０と総称する。）を含む。
【００１６】
ボディ系ＣＡＮネットワーク２０はＣＡＮ通信線を介して互いに通信可能に接続されたエアバッグＥＣＵ５０ａ、ボディ制御ＥＣＵ５０ｂ、インパネ制御ＥＣＵ５０ｃ及びメーターＥＣＵ５０ｄを備える。
【００１７】
エアバッグＥＣＵ５０ａは主として車両の衝突を検知してエアバッグ装置を制御する。エアバッグＥＣＵ５０ａにはＬＩＮ（Local  Internet  Network）を介して助手席乗員検知ＥＣＵ５０ｉが接続されている。
【００１８】
ボディ制御ＥＣＵ５０ｂは主として空調装置、パワーウィンドウ、ワイパー装置、ドアロック及びパワーシートを制御する。インパネ制御ＥＣＵ５０ｃは主として車室内のインストルメントパネルの表示及び点灯を制御する。メーターＥＣＵ５０ｄは主として車両の車速を検出して記録するとともに記録された車速を車両の他の部品へ送信する。
【００１９】
シャシー／パワートレイン系ＣＡＮネットワーク３０はＣＡＮ通信線を介して互いに通信可能に接続された自動変速機ＥＣＵ５０ｅ、車両安定制御ＥＣＵ５０ｆ及びエンジンＥＣＵ５０ｇを備える。
【００２０】
自動変速機ＥＣＵ５０ｅは主として自動変速機を制御する。車両安定制御ＥＣＵ５０ｆは主として自動変速機、ブレーキシステム及びエンジンを統合的に制御して車両の横滑り等を防止する。エンジンＥＣＵ５０ｇは主としてエンジンを制御する。
【００２１】
以上、図１を参照して、車載ネットワークの基本的な構成の一例について説明した。
【００２２】
＜＜２．セキュリティに関する検討＞＞
車載システムのセキュリティに関して概要を説明したうえで、本実施形態に係る車載システムの技術的課題について整理する。
【００２３】
近年では、無線通信技術の発展に伴い、車両内の機器が、ＤＣＭやＴＣＵを介してインターネットやＷＡＮ等のネットワークに直接または間接的にアクセスすることで、車両外の機器との間で情報の送受信を行うことが可能となってきている。このような仕組みを応用することで、例えば、自動運転等のような各種サービスの提供も検討されている。
【００２４】
その一方で、セキュリティ業界においては、悪意ある攻撃者が上記のような通信インタフェースを悪用することで、車載システムに対して危険な攻撃を行うことが可能という問題が注目されている。即ち、車両内の機器と車両外の機器との間の通信が可能となることで、当該通信のための通信インタフェースを介した車両外からの悪意ある攻撃により、車両内の機器が危険にさらされるリスクが発生し得る。
【００２５】
具体的な一例として、悪意ある攻撃者は、自身の悪意あるコードを実行するために、上記通信インタフェースを利用して、車両内のＣＰＵやマイクロコントローラのコードの変更を試みる。そして、悪意ある攻撃者のコードが実行されると、実質的には、当該攻撃者が、ＥＣＵが実行可能な動作を意図的に実行することが可能となる。これにより、例えば、攻撃者は、車両に設けられた各種センサの検知結果に基づく情報や、ＧＰＳデータ等の情報等を取得することが可能となる。また、攻撃者は、例えば、意図的に各種アクチュエータを動作させることも可能となる。これにより、攻撃者は、例えば、所望の状況で、ブレーキやモータ等のコンポーネントの動作を意図的に制御し、事故を誘発させることも可能となる。最悪の場合には、攻撃者は、例えば、インターネットを介して多くの車両のＥＣＵを侵害することで、当該多くの車両それぞれに、同時に危険な動作（例えば、急ブレーキ等）を行わせることも可能となる。
【００２６】
このような背景から、車両内の機器（特に、ＥＣＵ）のセキュリティの確保が重要な課題となる。そのため、ＥＣＵのセキュリティを確保するための技術が多数提案されている。このような技術の一例として、ＨＳＭ（Hardware  Security  Modules）やＩＤＳ（Intrusion  Detection  Systems）等が挙げられる。
【００２７】
現状の技術は、主に、保護対象（例えば、ＥＣＵ）に対する悪意ある攻撃を防御することに着目し、例えば、悪意ある攻撃者がＥＣＵ等のＣＰＵやマイクロコントローラに当該攻撃者のコードを実行できないことを確認することを主な課題としている傾向にある。このような傾向から、上記技術に関する研究においては、主に、悪意ある攻撃等のようなセキュリティ侵害の検出の速度向上に焦点が当てられている。
【００２８】
一方で、セキュリティ上の問題が確認された場合に、どのような対応がとれるかという観点については、優先度が低く設定されていることが多い。そのため、製造業者は、問題が検出された場合に、ＥＣＵを機能させなくする等の措置をとる場合がある。
【００２９】
具体的な一例として、ＥＣＵ等のプログラムに問題が生じた場合には、例えば、ＯＤＢ（On−board  diagnostics）ポート等を介して端末装置をＣＡＮＢＡＳに接続させ、当該端末装置を介してＥＣＵの自己診断機能を動作させることで、当該プログラムのリプログラミングを行う等の対応が行われる。一方で、セキュリティ上の問題が発生した場合には、自己診断機能が実行されなくなることで、問題が生じたプログラムのリプログラミングを行うことも困難となる（所謂「ブリッキング（bricking）」と称される状態となる）場合がある。このような状況下では、製造業者は、セキュリティ上の異常が生じた場合に、ハードウェアを交換せざるを得ない場合もあり、対応に係るコストがより増大する傾向にある。特に、自動運転等のサービスの提供を想定した場合には、ＥＣＵ等の車両内の機器が、ネットワークを介してインフラから情報を取得するような状況がより想定され、上記のような影響がより顕在化しやすくなることが予想される。
【００３０】
そのため、従来の技術を採用することでセキュリティ性を向上させることは可能となるものの、実際にセキュリティ上の問題が発生した場合に、ＥＣＵ等の機器の修理機能や最小限の機能が損なわれ、異常を修復することも困難となる。そのため、このような状況下においては、当該機器の信頼性が低下する恐れもある。
【００３１】
一方で、セキュリティ上の問題が発生し、修復のための機能等が損なわれているような状況下であっても、必ずしも車両の運行に関わる機能自体が損なわれているとは限らない。例えば、ＥＣＵのＣＰＵ自体は正常に機能しており、当該ＥＣＵの外部からの不正な指示により異常が生じているような状況も想定され得る。このような場合についても、ＥＣＵを無効化し、当該ＥＣＵをハードウェアごと交換するような対応は、現実的な対応とは言い難い。
【００３２】
特に、車両の運用を想定した場合には、例えば、セキュリティ上の問題が発生して一部の機能が損なわれたとしても、当該機能を無効化して車両の運行を可能にする等のように、可能な限りの対策を行うことを可能とする仕組みが望まれる。
【００３３】
このような状況を鑑み、本開示では、セキュリティ上の問題が発生した場合においても、保護対象とする機器を当該問題から保護することで、当該問題に対してより好適な対策を選択可能とする技術について提案する。
【００３４】
＜＜３．技術的特徴＞＞
続いて、本開示の一実施形態に係る車載システムの技術的特徴について説明する。
【００３５】
＜３．１．セキュリティ監視部（Security  Watchdog）＞
本実施形態に係る車載システムでは、ＥＣＵ、ＧＷ、及びＴＣＵ等の各種機器に対してセキュリティ監視部（Security  Watchdog）を導入することで、セキュリティ上の問題が生じた場合においても、保護対象となるコンポーネントを当該問題から保護する。そこで、まず図２を参照して、セキュリティ監視部の機能構成の一例について説明する。図２は、本開示の一実施形態に係るセキュリティ監視部の機能構成の一例について示したブロック図である。
【００３６】
図２に示すように、セキュリティ監視部１００は、暗号化エンジン（Cryptographic  engine）１０１と、コード生成部（True  Random  Number  Generator）１０３と、通信インタフェース（Communication  Interface）１０５と、タイマー１０７及び汎用入出力部（ＧＰＩＯ：General  Purpose  Input  Output）１０９とを含む。なお、セキュリティ監視部１００は、汎用入出力部１０９を複数含んでもよく、この場合には、汎用入出力部１０９ごとにタイマー１０７が設けられていてもよい。
【００３７】
通信インタフェース１０５は、セキュリティ監視部１００内の各構成が、当該セキュリティ監視部１００の外部の機器との間で通信を行うための通信インタフェースである。なお、通信インタフェース１０５の構成は、当該通信インタフェース１０５が接続されるネットワークに応じて適宜変更されてもよい。具体的な一例として、通信インタフェース１０５は、ＵＡＲＴ（Universal  Asynchronous  Receiver-Transmitter）、ＳＰＩ（Stateful  Packet  Inspection）、ＣＡＮ、またはイーサネット（登録商標）等の規格に対応した通信インタフェースとして構成され得る。
【００３８】
汎用入出力部１０９は、ケーブル等の伝送路を介して接続された機器に対して、所定のトリガに基づき所定のシグナルを送出する。具体的な一例として、汎用入出力部１０９は、ＥＣＵの通信インタフェースに設けられたイネーブルピン（enable  pin）に対して、イネーブルシグナル（enable  signal）とディセーブルシグナル（disable  signal）とを選択的に切り替えて送出してもよい。このような制御により、当該通信インタフェースを介した通信の有効化及び無効化を選択的に切り替えることが可能となる。
【００３９】
汎用入出力部１０９は、例えば、タイマー１０７による計時結果に応じて、上記シグナルを送出してもよい。また、他の一例として、汎用入出力部１０９は、所定のイベントをトリガとして、上記シグナルを送出してもよい。なお、以降の説明では、汎用入出力部１０９は、タイマー１０７による計時結果に応じて、上記シグナルを送出するものとする。
【００４０】
タイマー１０７は、計時機能を有し、設定された期間が経過すると、当該期間の経過を汎用入出力部１０９に通知する。また、タイマー１０７は、所定の指示に応じて、設定された期間の計時をリセットしてもよい。上記期間の設定については、外部からの指示に応じて変更されてもよい。
【００４１】
暗号化エンジン１０１は、認証処理部１１１と、制御部１１３とを含む。認証処理部１１１は、通信インタフェース１０５を介して所定のセキュリティ認証局（ＳＡ：Security  Authority）にアクセスすることで、当該セキュリティ認証局との間で認証に係る処理を実行する。なお、認証処理部１１１が、セキュリティ認証局との間で認証を行うことが可能であれば、当該認証の方式は特に限定されない。
【００４２】
例えば、上記認証の方式として、チャレンジアンドレスポンス方式が採用されていてもよい。この場合には、認証処理部１１１は、例えば、後述するコード生成部１０３により生成されたコードを、セキュリティ認証局との間の認証に利用してもよい。
【００４３】
具体的には、認証処理部１１１は、セキュリティ認証局との間で共通の鍵情報（Key  store）１９０を有している。認証処理部１１１は、コード生成部１０３により生成されたコード（チャレンジ）を鍵情報１９０により暗号化し、暗号化後のコードをセキュリティ認証局に送信する。また、認証処理部１１１は、応答として、セキュリティ認証局から暗号化されたコードを受信し、当該暗号化されたコードを鍵情報１９０により復号し、復号結果を基となるコード（チャレンジ）と比較することで、正しく認証が行われたか否か（即ち、チャレンジに対する応答が正しいか）を確認する。
【００４４】
なお、以降では、認証処理部１１１は、コード生成部１０３により生成されたコードを利用して、チャンレンジアンドレスポンス方式に基づき、セキュリティ認証局との間で認証を行うものとする。
【００４５】
制御部１１３は、セキュリティ認証局との間の認証の結果に応じて、汎用入出力部１０９からのシグナルの送出に関する制御を行う。
【００４６】
具体的な一例として、制御部１１３は、セキュリティ認証局との間の認証に成功した場合に、タイマー１０７をリセットしてもよい。また、このとき制御部１１３は、タイマー１０７による計時期間を更新してもよい。このような制御により、タイマー１０７による計時に係る処理の持続時間が更新（例えば、延長）される。また、タイマー１０７による計時に係る処理の持続中には、例えば、汎用入出力部１０９は、ＥＣＵの通信インタフェースに設けられたイネーブルピンに対して、イネーブルレベルのシグナル（即ち、イネーブルシグナル）を送出してもよい。この場合には、例えば、当該通信インタフェースを介した所定のコンポーネントへのアクセスが有効化される。
【００４７】
また、制御部１１３は、セキュリティ認証局との間の認証に失敗した場合に、タイマー１０７のリセットに係る処理や、タイマー１０７による計時期間の更新に係る処理を実行しなくてもよい。この場合には、所定の期間が経過し、タイマー１０７による計時に係る処理が完了すると、例えば、汎用入出力部１０９は、ＥＣＵの通信インタフェースに設けられたイネーブルピンに対して、ディセーブルレベルのシグナル（即ち、ディセーブルシグナル）を送出してもよい。これにより、例えば、当該通信インタフェースを介した所定のコンポーネントへのアクセスが無効化される。
【００４８】
コード生成部１０３は、暗号化エンジン１０１（認証処理部１１１）がセキュリティ認証局との間で認証を行うためのコードを生成する。具体的な一例として、コード生成部１０３は、乱数生成器を備え、当該乱数生成器により生成された乱数を、上記コードとして暗号化エンジン１０１に出力してもよい。
【００４９】
なお、上述したセキュリティ認証局が設けられる位置は特に限定されない。具体的な一例として、ローカルのＨＳＭやＩＤＳに対して、上記セキュリティ認証局に相当する機能が設けられていてもよい。即ち、当該ＨＳＭや当該ＩＤＳが、上記セキュリティ認証局の役割を担ってもよい。また、車両内においても、セキュリティ監視部１００が設けられた機器とは異なる他の機器（例えば、車載ネットワークを介して接続された機器）に、上記セキュリティ認証局に相当する機能が設けられていてもよい。また、リモートの鍵管理サーバ（ＫＭＳ：Key  Management  Service）が上記セキュリティ認証局の役割を担ってもよい。
【００５０】
以上、図２を参照して、セキュリティ監視部の機能構成の一例について説明した。なお、セキュリティ監視部による各種制御の具体的な一例については、当該セキュリティ監視部の適用例とあわせて詳細を別途後述する。
【００５１】
＜３．２．オートモーティブＥＣＵへの適用例＞
続いて、本実施形態に係るセキュリティ監視部の適用例として、当該セキュリティ監視部を車両の運行の制御に関するオートモーティブＥＣＵに適用した場合の一例について説明する。例えば、図３は、本実施形態に係るセキュリティ監視部の適用例について説明するための説明図であり、当該セキュリティ監視部をオートモーティブＥＣＵに適用した場合における当該オートモーティブＥＣＵの機能構成の一例を示したブロック図である。
【００５２】
図３に示すように、ＥＣＵ３１０は、主制御部３１１と、検知部３１３と、アクチュエータドライバ３１５と、通信インタフェース３１７と、セキュリティ監視部１００とを含む。なお、セキュリティ監視部１００は、図２を参照して説明したセキュリティ監視部１００に相当する。
【００５３】
検知部３１３は、外部から情報を収集するための構成に相当する。例えば、検知部３１３は、加速度センサや圧力センサ等のような各種センサにより構成されていてもよい。また、検知部３１３は、ボタン等のような、ＥＣＵ３１０に対して外部から情報を入力するためのインタフェースとしての役割を担ってもよい。
【００５４】
アクチュエータドライバ３１５は、例えば、車両の運行に係る各種コンポーネントにおけるアクチュエータ（例えば、図３に示すアクチュエータ３３１）の駆動を制御する。当該コンポーネントとしては、例えば、ブレーキ、ライト、モータ等が挙げられる。
【００５５】
通信インタフェース３１７は、ＥＣＵ３１０内の各構成が、当該ＥＣＵ３１０の外部の機器との間で通信を行うための通信インタフェースである。
【００５６】
具体的な一例として、通信インタフェース３１７は、ＣＡＮ等の車載ネットワーク３４０にアクセスするためのインタフェースとして構成されていてもよい。これにより、ＥＣＵ３１０内の各構成（例えば、後述する主制御部３１１）は、当該通信インタフェース３１７を介して、他のＥＣＵとの間で情報を送受信することが可能となる。また、他の一例として、通信インタフェース３１７は、インターネット３５０のような車両の外部のネットワークにアクセスするためのインタフェースとして構成されていてもよい。これにより、ＥＣＵ３１０内の各構成は、当該ネットワークを介して車両の外部の機器との間で情報を送受信することも可能となる。また、通信インタフェース３１７は、無線通信のネットワーク３６０にアクセスするためのインタフェースとして構成されていてもよい。これにより、ＥＣＵ３１０内の各構成は、当該無線のネットワークを介して他の機器との間で情報を送受信することも可能となる。
【００５７】
このように、通信インタフェース３１７が設けられることで、ＥＣＵ３１０内の各構成は、検知部３１３により取得される情報とは異なる他の情報を、当該ＥＣＵ３１０の外部から取得することが可能となる。また、ＥＣＵ３１０内の各構成は、当該ＥＣＵ３１０の外部の機器に対して、各種情報（例えば、検知部３１３により取得された情報等）を送信する（例えば、ブロードキャストする）ことも可能となる。
【００５８】
主制御部３１１は、ＥＣＵ３１０内の各種動作を制御する。主制御部３１１は、例えば、１つまたは複数のＣＰＵ（または、マイクロコントローラ）により実現され、インプリメントされたロジックを実行する。
【００５９】
具体的な一例として、主制御部３１１は、検知部３１３による急激な減速が検知された場合に、エアバックのアクチュエータ３３１の制御を担うアクチュエータドライバ３１５を動作させることで、当該エアバックを作動させてもよい。また、他の一例として、主制御部３１１は、ＡＤＡＳ（Advanced  Driver  Assistance  System）等により障害物が検出された場合に、ブレーキのアクチュエータ３３１の制御を担うアクチュエータドライバ３１５を動作させることで、当該ブレーキを動作させることも可能となる。
【００６０】
セキュリティ監視部１００は、セキュリティ認証局２００との間で鍵情報を共有する。なお、以降の説明では、便宜上、セキュリティ監視部１００が保持する当該鍵情報を「鍵情報１９０」と称し、セキュリティ認証局２００が保持する当該鍵情報を「鍵情報１９５」と称する。具体的な一例として、公開鍵暗号方式が採用されている場合には、セキュリティ認証局２００が鍵情報１９５として秘密鍵を保持し、セキュリティ監視部１００が鍵情報１９０として当該秘密鍵に関連する公開鍵を保持することとなる。このとき、セキュリティ監視部１００が保持する鍵情報１９０を、当該セキュリティ監視部１００とは異なる構成（例えば、主制御部３１１）が認識することは困難である。
【００６１】
また、ＥＣＵ３１０内の各構成（例えば、主制御部３１１、検知部３１３、アクチュエータドライバ３１５、及び通信インタフェース３１７の少なくともいずれか）の有効化及び無効化のうち少なくともいずれかは、セキュリティ監視部１００により制御される。即ち、セキュリティ監視部１００は、セキュリティ認証局２００との間での認証の結果に応じて、ＥＣＵ３１０内の各構成を有効化または無効化する。このとき、主制御部３１１による、ＥＣＵ３１０内の各構成の直接的な有効化及び無効化が制限されていることが望ましい。これにより、主制御部３１１は、セキュリティ監視部１００の介在なしに、他の構成を有効化または無効化することが困難となる。
【００６２】
セキュリティ監視部１００は、例えば、所定の期間ごとにセキュリティ認証局２００にチャンレンジを送信し、当該セキュリティ認証局２００からの当該チャンレンジに対するレスポンスを待ち受ける。セキュリティ認証局２００は、セキュリティ上の問題を検出した場合には、セキュリティ監視部１００からチャンレンジに対するレスポンスの送信を停止する。この場合には、セキュリティ監視部１００は、タイムアウトし、ＥＣＵ３１０内の所望の構成に対してディセーブルシグナルを送信することで、当該構成を無効化する。
【００６３】
具体的な一例として、セキュリティ監視部１００は、タイムアウトした場合に、通信インタフェース３１７の少なくとも一部の機能を無効化することで、ＥＣＵ３１０の外部から当該ＥＣＵ３１０の内部へのアクセスを制限してもよい。また、セキュリティ監視部１００は、検知部３１３を無効化することで、各種情報の検知に係る動作を一時的に無効化してもよい。また、セキュリティ監視部１００は、アクチュエータドライバ３１５を無効化することで、当該アクチュエータドライバ３１５に対応するアクチュエータ３３１の動作が不正に制御される事態の発生を防止してもよい。
【００６４】
以上のように、本実施形態に係るＥＣＵ３１０では、セキュリティ認証局２００が問題を検出した場合に、セキュリティ監視部１００が当該セキュリティ認証局２００との認証結果に応じて、一部の機能（例えば、ＥＣＵ３１０内の少なくとも一部の構成）を無効化する。このような制御により、例えば、セキュリティ上の問題が生じた場合においても、重要なコンポーネント（例えば、ブレーキアクチュエータ等）を無効化することで、ＣＰＵやマイクロコントローラを無効にすることなくＥＣＵ３１０を保護することが可能となる。
【００６５】
このように、本実施形態に係る技術を適用することで、例えば、ＥＣＵは、ＣＰＵやマイクロコントローラを一時的または恒久的にシャットダウンすることなく、一部のモジュールを効果的に非アクティブ化する（例えば、セーフモードに遷移させる）ことが可能となる。これにより、例えば、ＥＣＵの製造業者は、重大なセキュリティインシデントが発生した場合においても、ＥＣＵを交換する代わりに、ＥＣＵの診断や修復を行うことが可能となる。これにより、ＥＣＵを物理的に交換する場合に比べて、セキュリティインシデントが発生した場合の対応に係るコストをより低減することが可能となる。
【００６６】
また、前述したように、セキュリティ認証局２００が設けられる位置は特に限定されず、例えば、リモートサーバがセキュリティ認証局２００の役割を担うことも可能である。このように、リモートサーバがセキュリティ認証局２００の役割を担う場合には、例えば、セキュリティインシデントが発生する恐れがある場合に、リスクのある機能を事前に無効化することで先制して防御を行うことも可能となる。
【００６７】
これにより、例えば、ＩＤＳがＡＤＡＳシステムに対するワールドワイドな攻撃を検出している場合に、製造業者（例えば、自動車メーカー）は、ＡＤＡＳを遠隔で無効にすることで、乗客を保護することも可能となる。
【００６８】
また、セキュリティ上の脆弱性が発見された場合に、製造業者は、更新されたソフトウェアの提供が行われるまで、ＥＣＵの機能を一時的に停止させることも可能となる。この場合には、例えば、製造業者は、リモートサーバが該当するＥＣＵ内のセキュリティ監視部１００からのチャレンジに対して応答を行わないように当該リモートサーバを制御する（例えば、リモートサーバを無効化する）と良い。これにより、セキュリティ監視部１００がタイムアウトし、当該セキュリティ監視部１００によりＥＣＵ内の機能が無効化されることとなる。
【００６９】
また、本実施形態に係る技術を適用することで、ハードウェアトロイの木馬やバックドアのリスクの低減を期待することも可能となる。
【００７０】
具体的には、ＥＣＵの製造業者は、ＣＰＵやマイクロコントローラの設計及び製造の段階において、ハードウェアトロイの木馬により侵害される等のセキュリティ上のリスクに対して、事前に完全な対策を行うことは困難である。このような状況下においても、ＣＰＵやマクロコントローラとは独立してセキュリティ監視部（Security  Watchdog）が設けられることで、当該ＣＰＵや当該マクロコントローラが信頼できない場合においても、ＥＣＵの信頼性を担保することが可能となる。
【００７１】
以上、本実施形態に係るセキュリティ監視部の適用例として、図３を参照して、当該セキュリティ監視部を車両の運行の制御に関するオートモーティブＥＣＵに適用した場合の一例について説明する。
【００７２】
＜３．３．ゲートウェイ（ＧＷ）への適用例＞
続いて、本実施形態に係るセキュリティ監視部の他の適用例として、当該セキュリティ監視部を、車両内における複数のネットワーク間を接続するゲートウェイ（ＧＷ）として動作するＥＣＵに適用した場合の一例について説明する。
【００７３】
ゲートウェイは、車両内における異なる複数のネットワーク（サブネットワーク）間を接続し、当該複数のネットワーク間における情報の送受信を制御する。また、車両内には、優先度の異なるネットワークが存在し得る。具体的には、複数のネットワークのうち、他のネットワークに比べてより高いセキュリティ性が求められるネットワークには、当該他のネットワークよりも高い優先度が設定される場合がある。より具体的な一例として、エアーコンディショナー（Air  conditioner）やインフォテイメント（Infotainment）等のように、車両の運行には直接関与しない機器が接続されたネットワークは、優先度が低く設定されている場合がある。これに対して、パワートレインやシャシーに関するＥＣＵ等のように、車両の運行に直接関与し得る機器（換言すると、悪用されることでより危機的な状況に陥る可能性がある機器）が接続されたネットワークは、優先度が高く設定されている場合がある。
【００７４】
例えば、図４は、ゲートウェイの概要について説明するための説明図である。図４に示す例では、ゲートウェイ４１０は、互いに異なるネットワークＮ４１及びＮ４３の間を接続し、当該ネットワークＮ４１及びＮ４３間における情報交換を制御する。
【００７５】
ネットワークＮ４１は、車両の運行に直接関与し得る各種機器が接続されるネットワークのように、優先度がより高く設定されたネットワークを模式的に示している。具体的な一例として、ネットワークＮ４１には、ＡＤＡＳ４３０や、ステアリングコラム（Steering  column）４４０及びブレーキ（Brakes）４５０等のコンポーネントが接続される。
【００７６】
ネットワークＮ４３は、車両の運行に直接的には関与しない各種機器が接続されるネットワークのように、優先度が比較的低く設定されたネットワーク（例えば、ネットワークＮ４１よりも優先度のより低いネットワーク）を模式的に示している。具体的な一例として、ネットワークＮ４３には、インフォテインメント（Infotainment）４６０、エアーコンディショナー（Air  Conditioner）４７０、診断ツール（Diagnostic  tools）４８０、及びライト（Lights）４９０等のコンポーネントが接続される。
【００７７】
上記のように、複数のネットワーク間（サブネットワーク間）を接続する場合（特に、優先度の異なる複数のネットワーク間を接続する場合）には、限られた情報についてのみ当該ネットワーク間で情報交換が行われるように制御が行われることが望ましい。このような背景から、ゲートウェイのセキュリティの確保が重要となる。
【００７８】
具体的な一例として、図４に示す例において、インフォテインメント４６０に、ＡＤＡＳ４３０の状態を示す情報を表示させるような状況が想定され得る。この場合には、例えば、ＡＤＡＳ４３０からの情報が、ゲートウェイ４１０を介してインフォテインメント４６０に伝送される。
【００７９】
一方で、インフォテインメント４６０は、構成が複雑で、かつ多くの機能を有しており、他の機器に比べて脆弱性のリスクがより高い傾向にある。このような状況を想定し、ゲートウェイ４１０は、インフォテインメント４６０が正常に動作することが困難となった場合においても、誤った動作により危険な状態に陥るきっかけとなり得るメッセージ（例えば、制動信号等）が送信されないことを保証する必要がある。そのため、ゲートウェイ４１０には、多くのセキュリティ対策が必要となる。
【００８０】
一般的な対策としては、セキュアブート（Secure  Boot）やランタイムチューニングディテクション（Run  Time  Tuning  Detection）が挙げられ、これらの対策によりゲートウェイ４１０におけるマイクロコントローラのメモリの整合性が保証される。しかしながら、セキュアブートやランタイムチューニングディテクションでエラーが検出された場合には、現状は、取り得る対策の選択肢として、ゲートウェイ４１０をリセットするか、またはゲートウェイ４１０を無効化する（即ち、ブリッキングの状態とする）かの選択肢に限られる。この場合には、当該ゲートウェイ４１０が、永続的に診断不能かつ修復不能となる場合もある。
【００８１】
そこで、本開示では、ゲートウェイ４１０に対してセキュリティ監視部１００を設けることで、上記のような課題を解決するための仕組みの一例について説明する。
【００８２】
例えば、図５は、本実施形態に係るセキュリティ監視部の他の適用例について説明するための説明図であり、当該セキュリティ監視部をゲートウェイに適用した場合における当該ゲートウェイの機能構成の一例を示したブロック図である。
【００８３】
図５に示すように、ゲートウェイ４１０は、メインマイクロコントローラ４１１と、ＣＡＮ通信部４１６ａ及び４１６ｂとを含む。ＣＡＮ通信部４１６ａは、図４に示すネットワークＮ４１に接続されている。また、ＣＡＮ通信部４１６ｂは、図４に示すネットワークＮ４３に接続されている。なお、以降の説明では、ネットワークＮ４１は、ネットワークＮ４３に比べてより高いセキュリティ性が求められるものとする。即ち、ネットワークＮ４１は、ネットワークＮ４３よりも高い優先度が設定されているものとする。
【００８４】
メインマイクロコントローラ４１１は、制御部（ＣＰＵ）４１４と、メモリ４１５と、ＨＳＭ４１３と、セキュリティ監視部１００とを含む。なお、図５に示す例では、ＨＳＭ４１３が、セキュリティ認証局としての役割を担う。そのため、セキュリティ監視部１００とＨＳＭ４１３との間で鍵情報が共有される。なお、以降の説明では、便宜上、セキュリティ監視部１００が保持する当該鍵情報を「鍵情報１９０」と称し、ＨＳＭ４１３（即ち、セキュリティ認証局）が保持する当該鍵情報を「鍵情報１９５」と称する。
【００８５】
図４に示す例では、ネットワークＮ４１に接続されたコンポーネントを保護対象としている。即ち、セキュリティ上の問題が検出された場合に、セキュリティ監視部１００がＣＡＮ通信部４１６ａを無効化することでネットワークＮ４１外からの当該コンポーネントへのアクセスが物理的に制限され、これにより悪意ある攻撃から当該コンポーネントが保護される。以下に、当該動作の具体的な内容について説明する。
【００８６】
制御部４１４は、ＣＡＮ通信部４１６ａ及び４１６ｂ間におけるメッセージの交換を仲介する。即ち、制御部４１４は、ＣＡＮ通信部４１６ａ及び４１６ｂの一方から取得したメッセージを他方に転送する。これにより、ネットワークＮ４１及びＮ４３のうち一方のネットワークに接続された機器から送信されたメッセージが、他方のネットワークに接続された機器に転送される。
【００８７】
また、制御部４１４は、ＣＡＮ通信部４１６ａ及び４１６ｂ間（即ち、ネットワークＮ４１及びＮ４３間）で交換されるメッセージを制限する役割も担う。例えば、制御部４１４は、ＣＡＮ通信部４１６ａ及び４１６ｂのうちの一方から送信されたメッセージのうち、所定の条件を満たさないメッセージについては、他方への転送を拒否する（即ち、他方への伝送を遮蔽する）。このような制御により、ネットワークＮ４１及びＮ４３間で交換されるメッセージが、ゲートウェイ４１０（制御部４１４）により制限される。
【００８８】
メモリ４１５は、各種情報を一時的または恒久的に保持する。具体的な一例として、メモリ４１５には、制御部４１４が提供する機能を実現するためのプログラムのデータ（例えば、ライブラリ等）や制御情報のデータ等が保持されてもよい。また、メモリ４１５には、ＣＡＮ通信部４１６ａ及び４１６ｂ間で交換される情報（例えば、メッセージの少なくとも一部）が一時的に保持されてもよい。
【００８９】
ＨＳＭ４１３は、例えば、メモリ４１５に保持された情報を定期的に監視することで、異常（例えば、セキュリティ上の異常）が生じた場合に当該異常を検出する。
【００９０】
また、ＨＳＭ４１３は、セキュリティ認証局としても動作する。即ち、ＨＳＭ４１３は、異常を検出していない場合には、セキュリティ監視部１００から送信されるチャンレンジに対して、鍵情報１９５に基づきレスポンスを生成し、当該レスポンスを当該セキュリティ監視部１００に返信する。一方で、ＨＳＭ４１３は、異常（例えば、セキュリティ上の異常）を検出した場合には、セキュリティ監視部１００からのチャレンジに対するレスポンスの返信を制限する。この場合には、セキュリティ監視部１００のタイマーがタイムアウトすることとなる。
【００９１】
セキュリティ監視部１００は、ＨＳＭ４１３（即ち、セキュリティ認証局）との間で定期的に認証を実行する。具体的な一例として、セキュリティ監視部１００は、鍵情報１９０に基づき生成したチャレンジをＨＳＭ４１３に送信し、当該ＨＳＭ４１３から返信されるレスポンスを当該鍵情報１９０に基づき復号することで認証を行う。また、セキュリティ監視部１００は、認証に成功した場合にはタイマーを再設定する。
【００９２】
一方で、セキュリティ監視部１００は、認証に成功しない限りタイマーの再設定は行わない。即ち、ＨＳＭ４１３が異常を検出し、セキュリティ監視部１００に対するレスポンスの返信を制限している場合には、当該タイマーのカウントが進行し、結果としてタイムアウトすることとなる。タイマーがタイムアウトすると、セキュリティ監視部１００は、ＣＡＮ通信部４１６ａに対して当該ＣＡＮ通信部４１６ａを無効化するためのシグナル（即ち、ディセーブルシグナル）を送出する。
【００９３】
具体的な一例として、図５に示す例では、ＣＡＮ通信部４１６ａには、当該ＣＡＮ通信部４１６ａによる通信機能の有効化及び無効化を切り替えるためのインタフェースとしてイネーブルピン４１７が設けられている。即ち、セキュリティ監視部１００から送出されたディセーブルシグナルが、当該イネーブルピン４１７を介してＣＡＮ通信部４１６ａに入力されると、当該ＣＡＮ通信部４１６ａが無効化されることとなる。
【００９４】
以上のような構成により、例えば、制御部４１４が侵害され、当該制御部４１４からネットワークＮ４１に接続されたコンポーネントに対して悪意あるメッセージ（シグナル）が送信されたとしても、当該メッセージの伝送がＣＡＮ通信部４１６ａにおいて物理的に遮蔽される。また、このような状況下においても、ネットワークＮ４３は依然として有効化されているため、例えば、当該ネットワークＮ４３を介して診断ツール４８０によりゲートウェイ４１０を診断し、ひいては、当該ゲートウェイ４１０を修復することも可能となる。
【００９５】
なお、図５に示す例では、ＨＳＭ４１３とセキュリティ監視部１００とを別々の構成として示しているが、当該ＨＳＭ４１３と当該セキュリティ監視部１００とが一体的に構成されていてもよい。また、ＨＳＭ４１３のうち、セキュリティ監視部１００との間で認証を実行する部分についてはゲートウェイ４１０の外部に設けられていてもよい。
【００９６】
以上、本実施形態に係るセキュリティ監視部の他の適用例として、図４及び図５を参照して、当該セキュリティ監視部を、車両内における複数のネットワーク間を接続するゲートウェイ（ＧＷ）として動作するＥＣＵに適用した場合の一例について説明した。
【００９７】
＜３．４．車載通信ユニット（ＴＣＵ）への適用例＞
続いて、本実施形態に係るセキュリティ監視部の他の適用例として、当該セキュリティ監視部を、車載通信ユニット（ＴＣＵ）に適用した場合の一例について説明する。
【００９８】
ＴＣＵは、車両内と車両外との間の通信を実現するための構成である。例えば、図６は、本実施形態に係るセキュリティ監視部の他の適用例について説明するための説明図であり、当該セキュリティ監視部をＴＣＵに適用した場合における当該ＴＣＵの機能構成の一例を示したブロック図である。
【００９９】
図６に示すように、ＴＣＵ５１０は、ＣＡＮ５３０のような車載ネットワークに接続され得る。例えば、通信部５１２は、ＴＣＵ５１０がＣＡＮ５３０に接続するための通信インタフェースを模式的に示しいている。また、ＴＣＵ５１０は、３Ｇ／４Ｇ、Ｗｉ−Ｆｉ（登録商標）、及びBluetooth（登録商標）等の無線通信規格に基づくネットワークに接続可能に構成されていてもよい。図６において、ネットワーク５５０、５６０、及び５７０は、３Ｇ／４Ｇ、Ｗｉ−Ｆｉ（登録商標）、及びBluetooth（登録商標）の通信規格に基づくネットワークを模式的に示している。また、通信部５１３、５１４、及び５１５は、ＴＣＵ５１０がネットワーク５５０、５６０、及び５７０に接続するための通信インタフェースを模式的に示している。また、ＴＣＵ５１０は、所謂スマートシティ等のようなインフラストラクチャ（Infrastructures）５４０に接続可能に構成されていてもよい。例えば、通信部５１２は、ＴＣＵ５１０がインフラストラクチャ５４０に接続するための通信インタフェースを模式的に示しいている。
【０１００】
図６に示すように、ＴＣＵ５１０は、車両内のネットワークや車両外のネットワークを含めて複数のネットワークに接続可能に構成されている。このような構成により、例えば、車両内の機器と車両外の機器との間でＴＣＵ５１０を介して情報の送受信が可能となる。そのため、ＴＣＵ５１０は、重要な機能（例えば、ドアロックの解除等）に関連している場合も多く、脆弱性のリスクが高い傾向にある。また、ＴＣＵ５１０に対する悪意ある攻撃の一例として、所謂「グローバルアタック」と称されるものが挙げられる。具体的には、ＴＣＵ５１０のインタフェースに脆弱性が存在する場合に、当該インタフェースが利用されてワーム等が拡散されるような状況が想定され得る。
【０１０１】
上述のようなイベント（例えば、ワームの進入等）に関する情報を取得するために、ＩＤＳが導入されている場合もある。しかしながら、ＩＤＳのみでは、検出以外の対策を行うことが困難な場合もある。
【０１０２】
また、上述のようなイベントに対する対策として、更新プログラムの配信が挙げられる。一方で、更新プログラムの適用による対策は、ワーム等の脅威にまだ侵害されていないＴＣＵに対しては有効に働くが、既に侵害されたＴＣＵについては必ずしも有効に働くとは限らない（即ち、問題が解決されるとは限らない）。
【０１０３】
そこで、本開示では、ＴＣＵ５１０に対してセキュリティ監視部１００を設けることで、上記のような課題を解決するための仕組みの一例について説明する。
【０１０４】
例えば、図６に示す例では、ＴＣＵ５１０がセキュリティ監視部１００を含み、当該セキュリティ監視部１００は、リモートの鍵管理サーバ（ＫＭＳ）等のように、車両の外部に設けられたセキュリティ認証局２００との間で認証を行う。即ち、セキュリティ監視部１００は、３Ｇ／４Ｇの通信規格に基づく無線のネットワーク５５０や、Ｗｉ−Ｆｉ（登録商標）の通信規格に基づく無線のネットワーク５６０等を介してセキュリティ認証局２００にアクセスし、当該セキュリティ認証局２００との間で認証を行う。また、図６に示す例では、セキュリティ監視部１００とセキュリティ認証局２００との間で鍵情報が共有される。なお、以降の説明では、便宜上、セキュリティ監視部１００が保持する当該鍵情報を「鍵情報１９０」と称し、セキュリティ認証局２００が保持する当該鍵情報を「鍵情報１９５」と称する。
【０１０５】
図６に示す例では、セキュリティ監視部１００の汎用入出力部（ＧＰＩＯ）は、伝送路を介して通信部５１１〜５１５それぞれのイネーブルピンに接続される。また、セキュリティ監視部１００は、セキュリティ認証局２００からレスポンスが返信される限り、上記汎用入出力部のタイマーを更新し続ける。即ち、セキュリティ認証局２００からレスポンスが返信される限り、通信部５１１〜５１５それぞれは有効化されることとなる。
【０１０６】
一方で、例えば、ＩＤＳが、３Ｇ／４Ｇ規格に基づくネットワーク５５０へアクセスするためのインタフェース（例えば、通信部５１３）の脆弱性（例えば、ワームへの感染）を検出したとする。この場合には、セキュリティ認証局２００（例えば、ＫＭＳ）は、ＩＤＳによる当該検出結果に基づき、セキュリティ監視部１００からのチャンレンジに対するレスポンスの返信を制限することが可能である。
【０１０７】
具体的には、セキュリティ監視部１００は、鍵情報１９０に基づきチャレンジを生成し、当該チャレンジをネットワーク５５０または５６０等を介して、リモートのセキュリティ認証局２００（例えば、ＫＭＳ）に送信する。セキュリティ認証局２００は、セキュリティ監視部１００から送信されたチャンレンジの正当性を鍵情報１９５に基づき確認すると、通信部５１１〜５１５それぞれに対応するタイマーの値を決定する。このとき、セキュリティ認証局２００は、通信部５１１〜５１５それぞれに対応するタイマーの値をそれぞれ独立して個別に決定してもよい。そして、セキュリティ認証局２００は、決定したタイマーの値を、セキュリティ監視部１００からのチャレンジに対するレスポンスに関連付け、当該レスポンスをセキュリティ監視部１００に送信する。セキュリティ監視部１００は、セキュリティ認証局２００から返信されたレスポンスの正当性を鍵情報１９０に基づき確認する。セキュリティ監視部１００は、当該レスポンスの正当性を確認すると、当該レスポンスに関連付けられたタイマーの値に基づき、通信部５１１〜５１５それぞれに対応するタイマーを更新する。
【０１０８】
このような構成の基で、ＴＣＵ５１０の製造業者が、当該ＴＣＵ５１０のインタフェースの少なくとも一部（例えば、通信部５１１〜５１５のいずれか）を無効化する場合には、セキュリティ認証局２００によるセキュリティ監視部１００へのレスポンスの送信を制限するとよい。この場合には、セキュリティ監視部１００のタイムアウトに伴い、当該セキュリティ監視部１００から対応するインタフェースにディセーブルシグナルが送出され、当該インタフェースが物理的に無効化される。
【０１０９】
また、他の一例として、タイマーの値として「０」が設定されるように、セキュリティ認証局２００によるセキュリティ監視部１００へのレスポンスに対して関連付けられる情報（即ち、タイマーの値）が制御されてもよい。この場合には、セキュリティ監視部１００は、レスポンスの受信に伴いタイマーの値を０に更新することとなる。即ち、当該タイマーがただちにタイムアウトし、セキュリティ監視部１００から対応するインタフェースにディセーブルシグナルが送出され、当該インタフェースが物理的に無効化されることとなる。
【０１１０】
以上のような制御により、ＴＣＵ５１０は、インタフェースの侵害に伴いワームが拡散し続けるといった事態の発生を防止することが可能となる。また、セキュリティ監視部１００により対応するインタフェース（例えば、通信部５１１〜５１５等）がハードウェア的に無効化されるため、ワーム等の悪意あるプログラムがソフトウェア的なバイパスにより拡散することは困難である。
【０１１１】
また、上述した例では、ＴＣＵ５１０のインタフェースが侵害された場合の例に着目して説明したが、必ずしも同態様に限定されるものではない。例えば、ＴＣＵ５１０の外部の機器が侵害された場合に、ＴＣＵ５１０が当該外部の機器との間でメッセージを交換するためのインタフェースを無効化することで、当該外部の機器からのセキュリティ侵害を物理的に遮断することも可能となる。
【０１１２】
なお、上記では、セキュリティ認証局２００がセキュリティ監視部１００のタイマーを更新する例について説明したが、ユーザが操作により意図的にセキュリティ監視部１００のタイマーを設定するためのインタフェースが設けられていてもよい。このような構成により、例えば、ユーザ（または、保守担当者）からの操作に基づき、セキュリティ監視部１００のタイマーに対して「０」が設定されることで、当該セキュリティ監視部１００をただちにタイムアウトさせ、所望のコンポーネントを保護することも可能となる。
【０１１３】
以上、図６を参照して、本実施形態に係るセキュリティ監視部の他の適用例として、当該セキュリティ監視部を、車載通信ユニット（ＴＣＵ）に適用した場合の一例について説明した。
【０１１４】
＜３．５．処理＞
続いて、本実施形態に係るセキュリティ監視部１００を適用した制御装置を含む車載システムの一連の処理の流れの一例について説明する。
【０１１５】
（ＨＳＭがセキュリティ認証局として機能する場合）
まず、図７〜図９を参照して、ＨＳＭがセキュリティ認証局２００として機能する場合の一例について説明する。即ち、セキュリティ監視部１００が当該ＨＳＭとの間で認証を行い、当該認証の結果に応じて、ＣＡＮ通信部を無効化することで所定のコンポーネントを保護する場合の制御の一例について説明する。図７〜図９は、本実施形態に係る車載システムの一連の処理の流れの一例を示したフローチャートであり、セキュリティ監視部１００による所定の機器の有効化及び無効化に係る制御の一例を示している。なお、ＨＳＭは、ＣＰＵがセキュリティ侵害されていない否かを監視し、当該監視の結果に応じて、セキュリティ監視部１００との間の認証に係る動作を制御するものとする。
【０１１６】
例えば、図７は、セキュリティ認証局２００として動作するＨＳＭと、ＣＰＵと、のそれぞれの動作の一例を示している。具体的には、参照符号Ｓ１３１〜Ｓ１３５で示した一連の処理は、ＣＰＵの動作を模式的に示している。また、参照符号Ｓ１０１〜１０７で示した一連の処理は、ＨＳＭの動作を模式的に示している。
【０１１７】
例えば、ＣＰＵは、所定の契機で動作を開始し（Ｓ１３１）、所定のコンポーネントに向けたＣＡＮメッセージを、後述するＣＡＮ通信部に送信し（Ｓ１３３）、その後に動作を一時的に休止する（Ｓ１３５）。ＣＰＵは、以上のような一連の処理（即ち、参照符号Ｓ１３１〜Ｓ１３５で示した処理）を逐次繰り返えして実行する。一方で、ＣＰＵが悪意あるプログラムにより侵害された場合には、例えば、参照符号Ｓ１３３で示した処理において、ＣＰＵから悪意あるメッセージがＣＡＮ通信部に送信されることとなる。
【０１１８】
ＨＳＭは、ＣＰＵのセキュリティに関する状態を逐次監視する（Ｓ１０１）。このとき、ＨＳＭは、ＣＰＵにセキュリティ上の異常が検出されない限りは（Ｓ１０１、ＹＥＳ）、セキュリティ監視部１００からの認証に係るリクエスト（チャレンジ）に対して応答し、当該セキュリティ監視部１００に対して新たなタイマー値を設定する（Ｓ１０３）。一方で、ＨＳＭは、ＣＰＵにセキュリティ上の異常が検出された場合には（Ｓ１０１、ＮＯ）、セキュリティ監視部１００からの認証に係るリクエストを拒否する（例えば、当該リクエストに対する応答を制限する）ことで、当該セキュリティ監視部１００をタイムアウトさせる（Ｓ１０５）。
【０１１９】
ＨＳＭは、参照符号Ｓ１０１〜Ｓ１０５で示した一連の処理を定期的に実行する。即ち、ＨＳＭは、参照符号Ｓ１０１〜Ｓ１０５で示した一連の処理を実行した後に、所定の期間だけウェイトし（Ｓ１０７）、当該期間経過後に当該一連の処理を再度実行する。
【０１２０】
続いて、図８を参照して、セキュリティ監視部１００の一連の処理の流れについて説明する。
【０１２１】
セキュリティ監視部１００は、乱数等のコードに基づき認証のためのチャレンジを生成し、当該チャレンジをＨＳＭ（即ち、セキュリティ認証局２００）に送信する（Ｓ１５１）。
【０１２２】
セキュリティ監視部１００は、ＨＳＭから上記チャンレンジに対するレスポンスを受信し、認証に成功したことが確認できる限り（Ｓ１５３、ＹＥＳ）、ＣＡＮ通信部が有効化されるように制御する（Ｓ１６１）。具体的な一例として、セキュリティ監視部１００は、ＣＡＮ通信部のイネーブルピンに対してイネーブルシグナルを送出することで、当該ＣＡＮ通信部を有効化する。
【０１２３】
一方で、セキュリティ監視部１００は、ＨＳＭから上記チャンレンジに対するレスポンスを受信できず認証に失敗した場合には（Ｓ１５３、ＮＯ）、タイムアウトしない限り（Ｓ１５７、ＮＯ）、所定期間だけウェイトし（Ｓ１５５）、再度ＨＳＭからのレスポンスを待ち受ける（Ｓ１５３）。そして、セキュリティ監視部１００は、ＨＳＭからのレスポンスを受信できない状態が継続し、結果としてタイムアウトした場合には（Ｓ１５７、ＹＥＳ）、ＣＡＮ通信部が無効化されるように制御する（Ｓ１５９）。具体的な一例として、セキュリティ監視部１００は、ＣＡＮ通信部のイネーブルピンに対してディセーブルシグナルを送出することで、当該ＣＡＮ通信部を無効化する。
【０１２４】
セキュリティ監視部１００は、参照符号Ｓ１５１〜Ｓ１６１で示した一連の処理を定期的に実行する。即ち、セキュリティ監視部１００は、参照符号Ｓ１５１〜Ｓ１６１で示した一連の処理を実行した後に、所定の期間だけウェイトし（Ｓ１６３）、当該期間経過後に当該一連の処理を再度実行する。
【０１２５】
続いて、図９を参照して、ＣＡＮ通信部の一連の処理の流れについて説明する。
【０１２６】
ＣＡＮ通信部は、ＣＰＵからＣＡＮメッセージを受信する（Ｓ１７１）。このとき、ＣＡＮ通信部が有効化されている場合には（Ｓ１７３、ＹＥＳ）、ＣＡＮ通信部は、受信したＣＡＮメッセージを、宛先となるコンポーネントに送信する（Ｓ１７５）。一方で、セキュリティ監視部１００からの制御に基づきＣＡＮ通信部が無効化されている場合には（Ｓ１７３、ＮＯ）、当該ＣＡＮ通信部に送信されたＣＰＵからのＣＡＮメッセージは無視されることとなる（Ｓ１７７）。
【０１２７】
以上、図７〜図９を参照して、本実施形態に係るセキュリティ監視部１００がセキュリティ認証局２００との間の認証の結果に応じて、ＣＡＮ通信部を無効化することで所定のコンポーネントを保護する場合の制御の一例について説明した。
【０１２８】
（リモートのＯＥＭサーバがセキュリティ認証局として機能する場合）
続いて、図１０〜図１２を参照して、リモートのＯＥＭサーバがセキュリティ認証局２００として機能する場合の一例について説明する。即ち、セキュリティ監視部１００が当該ＯＥＭサーバとの間で認証を行い、当該認証の結果に応じて、ＣＡＮ通信部を無効化することで所定のコンポーネントを保護する場合の制御の一例について説明する。図１０〜図１２は、本実施形態に係る車載システムの一連の処理の流れの他の一例を示したフローチャートである。
【０１２９】
例えば、図１０は、セキュリティ監視部１００の動作の一例を示している。図１０に示す例では、セキュリティ監視部１００は、乱数等のコードと自信を特定するための識別式（ＩＤ）とを暗号化することでチャンレンジを生成し、当該チャレンジをＣＰＵに送信する（Ｓ２１１）。当該チャンレンジは、ＣＰＵを介して外部のＯＥＭサーバに送信される。そして、セキュリティ監視部１００は、ＣＰＵを介して外部のＯＥＭサーバから上記チャンレンジに対するレスポンスを受信することで、当該ＯＥＭサーバとの間で認証を行う（Ｓ２１３）。なお、以降の処理（即ち、参照符号Ｓ２１５〜Ｓ２２３で示した処理）については、図８に示す例において参照符号Ｓ１５５〜１６３で示した処理と同様であるため、詳細な説明は省略する。
【０１３０】
続いて、図１１を参照して、ＣＰＵの一連の処理の流れの一例について説明する。なお、本説明では、ＣＰＵは、第１のハードウェア及び第２のハードウェアそれぞれの動作を個別に制御するものとして説明する。
【０１３１】
ＣＰＵは、所定の契機で動作を開始する（Ｓ２３１）。図１０〜図１２に示す例では、ＣＰＵは、セキュリティ監視部１００とＯＥＭサーバとの間のデータの送受信を仲介する（Ｓ２３３）。即ち、ＣＰＵは、セキュリティ監視部１００からＯＥＭサーバに宛てのチャレンジを受信すると、当該チャレンジを当該ＯＥＭサーバに送信する。また、ＣＰＵは、ＯＥＭサーバから上記チャレンジに対するレスポンスを受信すると、当該レスポンスをセキュリティ監視部１００に転送してもよい。
【０１３２】
また、ＣＰＵは、第１のハードウェア及び第２のハードウェアの動作を制御する（Ｓ２３５、Ｓ２３７）。具体的な一例として、ＣＰＵは、第１のハードウェア及び第２のハードウェアのそれぞれに対して、メッセージやシグナルを送信することで、当該第１のハードウェア及び当該第２のハードウェアそれぞれの動作を制御してもよい。
【０１３３】
そして、ＣＰＵは、上記各処理の実行を終了すると、動作を一時的に休止する（Ｓ２３９）。ＣＰＵは、以上のような一連の処理（即ち、参照符号Ｓ２３１〜Ｓ２３９で示した処理）を逐次繰り返す。
【０１３４】
続いて、図１２を参照して、セキュリティ認証局２００として機能するＯＥＭサーバの一連の処理の流れの一例について説明する。なお、本説明では、ＯＥＭサーバは、第１のハードウェア及び第２のハードウェアそれぞれについて個別にセキュリティ上の危険性の有無を判定し、当該第１のハードウェア及び当該第２のハードウェアそれぞれの制御について個別にタイマーの値を設定するものとする。
【０１３５】
図１２に示すように、ＯＥＭサーバは、セキュリティ監視部１００から認証に係るリクエストとして、当該セキュリティ監視部１００により生成されたチャンレンジを受信する（Ｓ２５１）。このとき、ＯＥＭサーバは、対応する鍵情報に基づき当該チャレンジを復号することで、当該チャレンジに含まれるセキュリティ監視部１００の識別情報を抽出してもよい。
【０１３６】
次いで、ＯＥＭサーバは、第１のハードウェアの制御に関するセキュリティ上の障害が報告されていないかを確認する（Ｓ２５３）。このとき、ＯＥＭサーバは、ＩＤＳやセキュリティ監視システム等に対して問合せを行うことで、上記障害の報告の有無を確認してもよい。また、このとき、ＯＥＭサーバは、セキュリティ監視部１００から取得した識別情報を指定して上記問い合わせを行うことで、関連する情報の絞り込みを行ってもよい。第１のハードウェアの制御に関して障害が報告されていない場合には（Ｓ２５３、ＮＯ）、ＯＥＭサーバは、第１のハードウェアの制御に関して新たなタイマー値を設定する（Ｓ２５７）。一方で、第１のハードウェアの制御に関する障害が報告されている場合には（Ｓ２５３、ＹＥＳ）、ＯＥＭサーバは、当該第１のハードウェアの制御について、セキュリティ監視部１００からの認証に係るリクエストを拒否する（Ｓ２５５）。この場合には、セキュリティ監視部１００において、第１のハードウェアの動作の制御に関するタイマーがタイムアウトすることとなる。即ち、この場合には、セキュリティ監視部１００は、例えば、第１のハードウェアがＣＰＵからのシグナルを受け付けるためのインタフェースに対してディセーブルシグナルを送出することで当該インタフェースを無効化する。
【０１３７】
同様に、ＯＥＭサーバは、第２のハードウェアの制御に関するセキュリティ上の障害が報告されていないかを確認する（Ｓ２５９）。第２のハードウェアの制御に関して障害が報告されていない場合には（Ｓ２５９、ＮＯ）、ＯＥＭサーバは、第２のハードウェアの制御に関して新たなタイマー値を設定する（Ｓ２６３）。一方で、第２のハードウェアの制御に関する障害が報告されている場合には（Ｓ２５９、ＹＥＳ）、ＯＥＭサーバは、当該第２のハードウェアの制御について、セキュリティ監視部１００からの認証に係るリクエストを拒否する（Ｓ２６１）。この場合には、セキュリティ監視部１００において、第２のハードウェアの動作の制御に関するタイマーがタイムアウトすることとなる。即ち、この場合には、セキュリティ監視部１００は、例えば、第２のハードウェアがＣＰＵからのシグナルを受け付けるためのインタフェースに対してディセーブルシグナルを送出することで当該インタフェースを無効化する。
【０１３８】
そして、ＯＥＭサーバは、上述した第１のハードウェア及び第２のハードウェアそれぞれに関する判定の結果に基づき、セキュリティ監視部１００からのチャレンジに対するレスポンスを生成し、当該レスポンスを当該セキュリティ監視部１００に送信する（Ｓ２６５）。
【０１３９】
ＯＥＭサーバは、以上のような一連の処理（即ち、参照符号Ｓ２５１〜Ｓ２６５で示した処理）を逐次繰り返して実行する。
【０１４０】
以上、図１０〜図１２を参照して、リモートのＯＥＭサーバがセキュリティ認証局２００として機能する場合の一例について説明した。
【０１４１】
＜＜４．むすび＞＞
以上説明したように、本実施形態に係る車載システムは、ＥＣＵ等の制御装置に対してセキュリティ監視部（Security  Watchdog）が、ＣＰＵ等のような所定のインタフェースを介してコンポーネントを制御する制御部とは独立して設けられている。このような構成の基で、セキュリティ監視部は、セキュリティ認証局との間で認証を行い、当該認証の結果に応じて、上記インタフェースを介した上記コンポーネントへのアクセスを制御（例えば、制限）する。このとき、セキュリティ監視部は、上記インタフェースを無効化することで、上記コンポーネントへのアクセスを物理的に制限してもよい。また、セキュリティ監視部は、タイマーを備え、上記セキュリティ認証局からの上記認証に係る応答の取得に失敗し、タイマーがタイムアウトした場合に、上記コンポーネントへのアクセスを制限してもよい。
【０１４２】
以上のように、本実施形態に係る技術に依れば、車載システムの一部の機器に異常（例えば、セキュリティ上の異常）が生じた場合に、保護対象となるコンポーネントへのアクセスを物理的に制限する。これにより、侵害された機器から保護対象となるコンポーネントを隔離し、当該機器を悪用した悪意ある攻撃から当該コンポーネントを保護することが可能となる。また、保護対象となるコンポーネントへのアクセスが物理的に遮蔽されるため、例えば、ワームなどの悪意あるプログラムが車載ネットワーク内に進入したとしても、当該ブログラムがソフトウェア的なバイパスにより当該コンポーネントにアクセスすることは困難となる。
【０１４３】
このように、本開示に係る技術を適用することで、車載ネットワーク内の一部の機器（例えば、ＣＰＵやマイクロコントローラ）に障害が発生したとしても、当該機器を一時的または恒久的にシャットダウンすることなく、一部のモジュールを効果的に非アクティブ化することが可能となる。これにより、例えば、製造業者は、重大なセキュリティインシデントが発生した場合においても、ＥＣＵ等の機器を交換する代わりに、当該機器の診断や修復を行うことが可能となる。即ち、本開示に係る技術を適用することで、セキュリティ上の問題が発生した場合においても、当該問題に対して従来よりも多様な対策を講じることが可能となり、ひいてはより好適な対策を選択することも可能となる。
【０１４４】
なお、上述した構成はあくまで一例であり、必ずしも本開示の一実施形態に係る車載システムの構成を限定するものではない。具体的な一例として、前述したように、セキュリティ認証局２００の機能を担う構成の位置は特に限定されない。例えば、セキュリティ認証局２００が、セキュリティ監視部１００が設けられた機器内に同様に設けられていてもよい。また、セキュリティ認証局２００が、セキュリティ監視部１００が設けられた機器の外部に設けられていてもよい。このとき、セキュリティ認証局２００が、リモートのサーバに設けられていてもよい。また、他の一例として、セキュリティ認証局２００が、車載ネットワーク内における、セキュリティ監視部１００が設けられた機器とは異なる機器に設けられていてもよい。具体的な一例として、図４に示す例において、ＡＤＡＳ４３０にセキュリティ監視部１００が設けられている場合において、ゲートウェイ４１０がセキュリティ認証局２００の役割を担ってもよい（即ち、ゲートウェイ４１０にセキュリティ認証局２００が設けられていてもよい）。
【０１４５】
また、セキュリティ監視部１００に相当する構成の提供態様も限定されない。例えば、上述した例のように、ＥＣＵ、ＧＷ、ＴＣＵ等の装置の一部として提供されてもよい。また、他の一例として、セキュリティ監視部１００は、ＥＣＵ、ＧＷ、ＴＣＵ等の装置に対して着脱可能に構成されたユニット（例えば、チップ）として提供されてもよい。この場合には、当該ユニットに相当する構成が、「制御装置」の一例に相当する。
【０１４６】
以上、添付図面を参照しながら本発明の好適な実施形態について詳細に説明したが、本発明はかかる例に限定されない。本発明の属する技術の分野における通常の知識を有する者であれば、特許請求の範囲に記載された技術的思想の範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、これらについても、当然に本発明の技術的範囲に属するものと了解される。
【符号の説明】
【０１４７】
１０    制御ネットワーク
２０    ネットワーク
３０    ネットワーク
５０、５０ａ〜５０ｈ  制御装置
１００  セキュリティ監視部
１０１  暗号化エンジン
１１１  認証処理部
１１３  制御部
１０３  コード生成部
１０５  通信インタフェース
１０７  タイマー
１０９  汎用入出力部
２００  セキュリティ認証局
３１１  主制御部
３１３  検知部
３１５  アクチュエータドライバ
３１７  通信インタフェース
３３１  アクチュエータ
３４０  車載ネットワーク
３５０  インターネット
３６０  ネットワーク
４１０  ゲートウェイ
４１１  メインマイクロコントローラ
４１４  制御部
４１５  メモリ
４１６ａ、４１６ｂ  通信部
４１７  イネーブルピン
４４０  ステアリングコラム
４５０  ブレーキ
４６０  インフォテインメント
４７０  エアーコンディショナー
４８０  診断ツール
４９０  ライト
５１０  ＴＣＵ
５１１〜５１５  通信部
５４０  インフラストラクチャ
５５０、５６０、５７０  ネットワーク
【図１】
2019071572.tif 000003
【図２】
2019071572.tif 000004
【図３】
2019071572.tif 000005
【図４】
2019071572.tif 000006
【図５】
2019071572.tif 000007
【図６】
2019071572.tif 000008
【図７】
2019071572.tif 000009
【図８】
2019071572.tif 000010
【図９】
2019071572.tif 000011
【図１０】
2019071572.tif 000012
【図１１】
2019071572.tif 000013
【図１２】
2019071572.tif 000014