(57)【要約】      （修正有）【課題】複数の装置間で鍵を共有する際の同期化を行うことのできる電子制御装置を提供する。【解決手段】電子制御システム１において、マスタ電子制御装置１１は、第１のタイミングで、メッセージの認証に使用する鍵であって未だ有効でない未有効鍵を、通信ネットワーク１５を介して第１スレーブ電子制御装置１２−１乃至第ｎスレーブ電子制御装置１２−ｎと共有するマスタ側鍵通信制御部と、未有効鍵、及び有効な鍵である有効鍵を記憶するマスタ側鍵記憶部と、第１のタイミングより後の第２のタイミングで、メッセージ認証に使用するために未有効鍵を有効にする有効化指示を、通信ネットワーク１５を介して、第１スレーブ電子制御装置１２−１乃至第ｎスレーブ電子制御装置１２−ｎに同時に送信する有効化指示制御部と、有効化指示制御部が有効化指示を送信したときに、未有効鍵を有効化するマスタ側鍵有効化部と、を備える。【選択図】図１
2019161605.tif 000002
【特許請求の範囲】
【請求項１】
第１スレーブ電子制御装置及び第２スレーブ電子制御装置と、通信ネットワーク（１５）を介して前記第１スレーブ電子制御装置及び前記第２スレーブ電子制御装置とメッセージを送受信するマスタ電子制御装置と、を備える電子制御システムであって、
前記マスタ電子制御装置は、
前記第１スレーブ電子制御装置との前記メッセージの認証に用いる鍵として、有効である第１有効鍵と未だ有効でない第１未有効鍵とを記憶し、前記第２スレーブ電子制御装置との前記メッセージの認証に用いる鍵として、有効である第２有効鍵と未だ有効でない第２未有効鍵とを記憶するマスタ側鍵記憶部（１１２）と、
前記第１スレーブ電子制御装置の第１のタイミングで前記第１未有効鍵を前記通信ネットワークを介して前記第１スレーブ電子制御装置と共有し、前記第２スレーブ電子制御装置の第１のタイミングで前記第２未有効鍵を前記通信ネットワークを介して前記第２スレーブ電子制御装置と共有するマスタ側鍵通信制御部（１１１）と、
前記第１スレーブ電子制御装置の前記第１のタイミングよりも後で、前記第２スレーブ電子制御装置の前記第１のタイミングよりも後の、第２のタイミングで前記マスタ側記憶部に記憶された前記第１未有効鍵及び前記第２未有効鍵を有効化するマスタ側鍵有効化部（１１３）と、を備え、
前記第１スレーブ電子制御装置は、
前記第１有効鍵、及び前記第１未有効鍵を記憶する第１スレーブ側鍵記憶部（１２２−１）と、
前記第１スレーブ電子制御装置の前記第１のタイミングで前記第１未有効鍵を前記通信ネットワークを介して前記マスタ電子制御装置と共有する第１スレーブ側鍵通信制御部（１２１−１）と、
前記第２のタイミングで前記第１スレーブ側鍵記憶部に記憶された前記第１未有効鍵を有効化する第１スレーブ側鍵有効化部（１２３−１）と、を備え、
前記第２スレーブ電子制御装置は、
前記第２有効鍵、及び前記第２未有効鍵を記憶する第２スレーブ側鍵記憶部（１２２−２）と、
前記第２スレーブ電子制御装置の前記第１のタイミングで前記第２未有効鍵を前記通信ネットワークを介して前記マスタ電子制御装置と共有する第２スレーブ側鍵通信制御部（１２１−２）と、
前記第２のタイミングで前記第２スレーブ側鍵記憶部に記憶された前記第２未有効鍵を有効化する第２スレーブ側鍵有効化部（１２３−２）と、を備えることを特徴とする電子制御システム。
【請求項２】
前記マスタ電子制御装置は、前記第２のタイミングで前記第１未有効鍵及び前記第２未有効鍵を有効にさせるための有効化指示を、前記通信ネットワークを介して、前記第１スレーブ電子制御装置及び前記第２スレーブ電子制御装置に対して同時に送信する有効化指示制御部（１１４）を更に有する、請求項１に記載の電子制御システム。
【請求項３】
第１のタイミングで、メッセージの認証に使用する鍵であって未だ有効でない未有効鍵を、通信ネットワーク（１５）を介した複数の通信先と共有するマスタ側鍵通信制御部（１１１）と、
前記未有効鍵、及び有効な前記鍵である有効鍵を記憶するマスタ側鍵記憶部（１１２）と、
前記第１のタイミングより後の第２のタイミングで、メッセージ認証に使用するために前記未有効鍵を有効にする有効化指示を、前記通信ネットワークを介して、前記複数の通信先に同時に送信する有効化指示制御部（１１４）と、
前記有効化指示制御部が前記有効化指示を送信したときに、前記未有効鍵を有効化するマスタ側鍵有効化部（１１３）と、を備えるマスタ電子制御装置（１１）。
【請求項４】
前記第１のタイミングは、第１の電源ＯＮタイミングから所定時間経過したタイミングである、請求項３に記載のマスタ電子制御装置。
【請求項５】
前記第２のタイミングは、第２の電源ＯＮタイミングである請求項３又は４に記載のマスタ電子制御装置。
【請求項６】
前記マスタ側鍵通信制御部は、前記複数の通信先のうち一の通信先との前記鍵の送受信の終了後、順次他の一の通信先との前記鍵の送受信を行う、請求項３乃至５のいずれか一項に記載のマスタ電子制御装置。
【請求項７】
前記マスタ側鍵通信制御部は、前記複数の通信先に対するそれぞれの前記鍵の送受信は、互いに重複する時間に行う、請求項３乃至５のいずれか一項に記載のマスタ電子制御装置。
【請求項８】
前記有効化指示制御部が送信する前記有効化指示を同時に送信するタイミングは、時間周期的なタイミングである、請求３乃至７のいずれか一項に記載のマスタ電子制御装置。
【請求項９】
前記有効化指示制御部が送信する前記有効化指示を同時に送信するタイミングは、車両の所定走行距離に達する毎のタイミングである、請求項３乃至８のいずれか一項に記載のマスタ電子制御装置。
【請求項１０】
前記有効化指示制御部が送信する前記有効化指示を同時に送信するタイミングは、前記鍵が使用される前記メッセージの秘匿性が高い程、発生する頻度が高い、請求項３乃至９のいずれか一項に記載のマスタ電子制御装置。
【請求項１１】
前記有効化指示制御部が送信する前記有効化指示を同時に送信するタイミングは、前記メッセージの送受信の頻度が高い程、発生する頻度が高い、請求項３乃至１０のいずれか一項に記載のマスタ電子制御装置。
【請求項１２】
前記複数の通信先は、前記通信ネットワークに接続された複数の電子制御装置である、請求項３乃至１１のいずれか一項に記載のマスタ電子制御装置。
【請求項１３】
前記鍵を使用した情報要求を送信し、前記情報要求に係る情報を受信する情報取得部（１１５）と、
前記通信ネットワークとは異なる外部ネットワークから前記情報の外部要求を受信し、前記情報取得部を介して、前記情報取得部で取得した前記情報を前記外部要求の発信元に送信する外部通信部（１１６）と、を更に備える、請求項３乃至１２のいずれか一項に記載のマスタ電子制御装置。
【請求項１４】
第１のタイミングで、メッセージの認証に使用する鍵であって未だ有効でない未有効鍵を、通信ネットワーク（１５）を介して通信先と共有するスレーブ側鍵通信制御部（１２１）と、
前記未有効鍵、及び有効な前記鍵である有効鍵を記憶するスレーブ側鍵記憶部（１２２）と、
前記第１のタイミングより後であって、前記通信ネットワークに接続される他の装置内に記憶された前記未有効鍵をメッセージ認証に使用するために有効化する第２のタイミングで、前記スレーブ側鍵記憶部に記憶された前記未有効鍵を有効化するスレーブ側鍵有効化部（１２３）と、を備えるスレーブ電子制御装置（１２）。
【請求項１５】
前記第１のタイミングは、第１の電源ＯＮタイミングから所定時間経過したタイミングである、請求項１４に記載のスレーブ電子制御装置。
【請求項１６】
前記第２のタイミングは、第２の電源ＯＮタイミングである請求項１４又は１５に記載のスレーブ電子制御装置。
【請求項１７】
前記スレーブ側鍵有効化部は、前記通信ネットワークを介して、前記鍵を有効にする有効化指示を受信したときに前記未有効鍵を有効化する、請求項１４乃至１６のいずれか一項に記載のスレーブ電子制御装置。
【請求項１８】
前記第２のタイミングは、時間周期的なタイミングで発生する、請求項１４乃至１７のいずれか一項に記載のスレーブ電子制御装置。
【請求項１９】
前記第２のタイミングは、車両の所定走行距離に達する毎のタイミングで発生する、請求項１４乃至１８のいずれか一項に記載のスレーブ電子制御装置。
【請求項２０】
前記スレーブ側鍵有効化部は、前記鍵が使用される前記メッセージの秘匿性が高い程、高い頻度で前記未有効鍵を有効化する、請求項１４乃至１９のいずれか一項に記載のスレーブ電子制御装置。
【請求項２１】
前記スレーブ側鍵有効化部は、前記メッセージの送受信の頻度が高い程、高い頻度で前記未有効鍵を有効化する、請求項１４乃至２０のいずれか一項に記載のスレーブ電子制御装置。
【請求項２２】
マスタ側鍵通信制御部（１１１）が、第１のタイミングで、メッセージの認証に使用する鍵であって未だ有効でない未有効鍵を、通信ネットワーク（１５）を介した複数の通信先と共有し、
マスタ側鍵記憶部（１１２）が、前記未有効鍵、及び有効な前記鍵である有効鍵を記憶し、
有効化指示制御部（１１４）が、前記第１のタイミングより後の第２のタイミングで、メッセージ認証に使用するために前記未有効鍵を有効にする有効化指示を、前記通信ネットワークを介して、前記複数の通信先に同時に送信し、
マスタ側鍵有効化部（１１３）が、前記有効化指示制御部が前記有効化指示を送信したときに、前記未有効鍵を有効化する通信制御方法。
【請求項２３】
スレーブ側鍵通信制御部（１２１）が、第１のタイミングで、メッセージの認証に使用する鍵であって未だ有効でない未有効鍵を、通信ネットワーク（１５）を介して通信先と共有し、
スレーブ側鍵記憶部（１２２）が、前記未有効鍵、及び有効な前記鍵である有効鍵を記憶し、
スレーブ側鍵有効化部（１２３）が、前記第１のタイミングより後であって、前記通信ネットワークに接続される他の装置内に記憶された前記未有効鍵をメッセージ認証に使用するために有効化する第２のタイミングで、前記スレーブ側鍵記憶部に記憶された前記未有効鍵を有効化する、通信制御方法。
【請求項２４】
第１のタイミングで、メッセージの認証に使用する鍵であって未だ有効でない未有効鍵を、通信ネットワーク（１５）を介した複数の通信先と共有する工程と、
前記未有効鍵、及び有効な前記鍵である有効鍵を記憶する工程と、
前記第１のタイミングより後の第２のタイミングで、メッセージ認証に使用するために前記未有効鍵を有効にする有効化指示を、前記通信ネットワークを介して、前記複数の通信先に同時に送信する工程と、
前記有効化指示制御部が前記有効化指示を送信したときに、前記未有効鍵を有効化する工程と、を処理装置に実行させるための通信制御プログラム。
【請求項２５】
第１のタイミングで、メッセージの認証に使用する鍵であって未だ有効でない未有効鍵を、通信ネットワーク（１５）を介して通信先と共有する工程と、
スレーブ側鍵記憶部（１２２）が、前記未有効鍵、及び有効な前記鍵である有効鍵を記憶する工程と、
前記第１のタイミングより後であって、前記通信ネットワークに接続される他の装置内に記憶された前記未有効鍵をメッセージ認証に使用するために有効化する第２のタイミングで、前記スレーブ側鍵記憶部に記憶された前記未有効鍵を有効化する工程と、を処理装置に実行させるための通信制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、鍵の送受信を必要とする通信ネットワークにおけるマスタ電子制御装置、スレーブ電子制御装置、電子制御システム、通信制御方法及び通信制御プログラムに関する。
【背景技術】
【０００２】
従来から、通信ネットワークの外部からの不正なアクセスやデータがないかを検知するネットワークシステムに関する研究開発が行われている。例えば、特許文献１では、複数の装置間でセッション鍵を共有し、送受信するメッセージに関してセッション鍵を照合することで、不正を検知する。また、特許文献２では、複数の装置間で共有された鍵に基づいて生成されるメッセージ認証子（Message Authentication Code）を利用して、送受信されるメッセージの不正を検知する。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１４−１８３３９５号公報
【特許文献２】特開２０１７−３８３６５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
このように、不正検知に用いられる鍵を複数の装置間で共有するにあたり、特許文献１では、イグニッションＯＮ時に新たな鍵を送受信する。しかしながら、通信負荷が高い場合には、一部の装置では新たな鍵を遅れて取得する可能性がある。その場合、当該一部の装置では、受信したメッセージの認証に失敗する恐れが生じ得る。
【０００５】
本開示は、上述の事情に鑑みてされたものであり、複数の装置間で鍵を共有する際の同期化を目的とする電子制御システム、マスタ電子制御装置、スレーブ電子制御装置、通信制御方法及び通信制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本開示の一態様である電子制御システムは、第１スレーブ電子制御装置及び第２スレーブ電子制御装置と、通信ネットワーク（１５）を介して前記第１スレーブ電子制御装置及び前記第２スレーブ電子制御装置とメッセージを送受信するマスタ電子制御装置と、を備える電子制御システム（１）であって、前記マスタ電子制御装置は、前記第１スレーブ電子制御装置との前記メッセージの認証に用いる鍵として、有効である第１有効鍵と未だ有効でない第１未有効鍵とを記憶し、前記第２スレーブ電子制御装置との前記メッセージの認証に用いる鍵として、有効である第２有効鍵と未だ有効でない第２未有効鍵とを記憶するマスタ側鍵記憶部（１１２）と、前記第１スレーブ電子制御装置の第１のタイミングで前記第１未有効鍵を前記通信ネットワークを介して前記第１スレーブ電子制御装置と共有し、前記第２スレーブ電子制御装置の第１のタイミングで前記第２未有効鍵を前記通信ネットワークを介して前記第２スレーブ電子制御装置と共有するマスタ側鍵通信制御部（１１１）と、前記第１スレーブ電子制御装置の前記第１のタイミングよりも後で、前記第２スレーブ電子制御装置の前記第１のタイミングよりも後の、第２のタイミングで前記マスタ側記憶部に記憶された前記第１未有効鍵及び前記第２未有効鍵を有効化するマスタ側鍵有効化部（１１３）と、を備え、前記第１スレーブ電子制御装置は、前記第１有効鍵、及び前記第１未有効鍵を記憶する第１スレーブ側鍵記憶部（１２２−１）と、前記第１スレーブ電子制御装置の前記第１のタイミングで前記第１未有効鍵を前記通信ネットワークを介して前記マスタ電子制御装置と共有する第１スレーブ側鍵通信制御部（１２１−１）と、前記第２のタイミングで前記第１スレーブ側鍵記憶部に記憶された前記第１未有効鍵を有効化する第１スレーブ側鍵有効化部（１２３−１）と、を備え、前記第２スレーブ電子制御装置は、前記第２有効鍵、及び前記第２未有効鍵を記憶する第２スレーブ側鍵記憶部（１２２−２）と、前記第２スレーブ電子制御装置の前記第１のタイミングで前記第２未有効鍵を前記通信ネットワークを介して前記マスタ電子制御装置と共有する第２スレーブ側鍵通信制御部（１２１−２）と、前記第２のタイミングで前記第２スレーブ側鍵記憶部に記憶された前記第２未有効鍵を有効化する第２スレーブ側鍵有効化部（１２３−２）と、を備えることを特徴とする電子制御システムである。
【０００７】
上述のような構成により、複数の装置間で鍵を共有する際の同期化を行うことができる。
【図面の簡単な説明】
【０００８】
【図１】本実施形態に係る電子制御システムの構成例について示す図である。
【図２】マスタ電子制御装置の機能ブロックについて示す図である。
【図３】スレーブ電子制御装置の機能ブロックについて示す図である。
【図４】マスタ電子制御装置及び第１〜第ｎスレーブ電子制御装置における鍵交換及び鍵有効化について示すシーケンス図である。
【図５】外部装置から電子制御システムに対して情報を要求された場合の処理について示すシーケンス図である。
【図６】第１〜第ｎスレーブ電子制御装置における有効な鍵の時間的変化の例を説明するための図である。
【図７】第１〜第ｎスレーブ電子制御装置における有効な鍵の時間的変化の例を説明するための図である。
【図８】マスタ電子制御装置の処理の例について示すフローチャートである。
【図９】スレーブ電子制御装置の処理の例について示すフローチャートである。
【発明を実施するための形態】
【０００９】
以下、本発明の電子制御システム１、並びにそれに含まれるマスタ電子制御装置１１及びスレーブ電子制御装置１２の構成及び機能について、図面を参照して説明する。
ここで、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。
また、少なくとも鉤括弧内の語は、特許請求の範囲又は課題を解決するための手段の項に記載された語を意味し、同じく以下の実施形態に限定されるものではない。
さらに特許請求の範囲の従属項に記載の構成及び方法、従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明においては任意の構成及び方法である。
なお、各実施形態に開示の構成は、各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。
発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の手段と共に発明の進歩性を肯定する事実である。
【００１０】
図１に示されるように、電子制御システム１は、外部装置８に通信接続されている。外部装置８は、有線通信により接続されるツールでもよいし、無線通信により接続されるセンタでもよい。また外部装置８とは接続されない構成であってもよい。電子制御システム１は、例えば車両に載置された車両ネットワークシステムとして構成される。電子制御システム１は、通信ネットワーク１５に接続されたマスタ電子制御装置１１及び複数のスレーブ電子制御装置１２を有している。本実施形態においては、複数のスレーブ電子制御装置１２は、ｎを２以上の整数として、第１〜第ｎスレーブ電子制御装置１２と呼ぶこともある。通信ネットワーク１５には、ＣＡＮ（登録商標）等のシリアル通信規格、Ｅｔｈｅｒｎｅｔ（登録商標）やＷｉ−Ｆｉ（登録商標）等のＬＡＮ（Local Area Network）通信規格その他の通信方式を用いることができる。また、本実施形態においては、マスタ電子制御装置１１は、外部装置８と接続されたゲートウェイ等のプロトコル変換機能を有する装置とするが、プロトコル変換機能を有さない電子制御装置として構成されていてもよい。
【００１１】
マスタ電子制御装置１１、複数のスレーブ電子制御装置１２及び外部装置８は、例えば、主に半導体装置で構成され、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）等の揮発性記憶部等を有する、いわゆる情報処理装置として構成されていてもよい。情報処理装置は、フラッシュメモリ等の不揮発性記憶部、通信ネットワーク１５等に接続されるネットワークインターフェース部等を更に有していてもよい。また、このような情報処理装置はパッケージ化された半導体装置であっても、配線基板において各半導体装置が配線接続された構成であってもよい。
【００１２】
図２に示されるように、マスタ電子制御装置１１は、マスタ側鍵通信制御部１１１、マスタ側鍵記憶部１１２、マスタ側鍵有効化部１１３、有効化指示制御部１１４、情報取得部１１５及び外部通信部１１６を有している。マスタ側鍵通信制御部１１１は、第１のタイミングで、「メッセージの認証に使用する鍵」であって「未だ有効でない未有効鍵」を、通信ネットワーク１５を介した「複数の通信先」と「共有」する。マスタ側鍵記憶部１１２は、不揮発性メモリにより構成され、マスタ電子制御装置１１で使用する「有効な鍵」である有効鍵、及び「未だ有効でない鍵」である未有効鍵を記憶する。マスタ側鍵有効化部１１３は、有効化指示制御部１１４が有効化指示を送信したときに、未有効鍵を有効化する。
【００１３】
有効化指示制御部１１４は、第１のタイミングより後の第２のタイミングで、メッセージ認証に使用するために未有効鍵を有効にする有効化指示を、通信ネットワーク１５を介して、複数の通信先に「同時に送信」する。情報取得部１１５は、鍵を使用した情報要求の送信と、情報要求に係る、その鍵を使用した情報を受信する。外部通信部１１６は、通信ネットワーク１５とは異なる外部ネットワークから情報の外部要求を受信し、情報取得部１１５で取得した情報を外部要求の発信元に送信する。
【００１４】
ここで、本発明の「メッセージの認証」には、メッセージの送信元の認証やメッセージが改ざんされていないことの認証の他、暗号化・復号化が含まれていてもよい。「メッセージの認証に使用する鍵」は、送信元の認証やメッセージが改ざんされていないことを認証する「メッセージの認証」で使用する鍵であり、例えばＭＡＣにおける共通鍵を意味する。「複数の通信先」は、複数の物理的に異なる装置だけでなく、単一の装置であっても、例えば、鍵がそれぞれ独立して異なる記憶領域に記憶されて、装置における異なる種類のメッセージに対してそれぞれ使用されるものである等の場合には、「複数の通信先」に含まれるものとする。鍵の「共有」は、通信を行う装置間で使用する鍵が、それぞれの装置に保持される状態、つまり共有される状態にすることを意味する。共有される状態は、送信及び受信の他、送信のみ又は受信のみによっても達成される。本実施形態においては鍵の送受信を鍵の交換もしくは共有と呼ぶこともある。複数の通信先と鍵を送受信する場合、通信先ごとに異なる鍵を使用してもよいし、同一の鍵を使用してもよい。
【００１５】
「同時に送信」は、例えばブロードキャストのように１つのメッセージが複数の送信先で同時に受信される場合の他、送信バッファに個々の送信先のメッセージが連続して保存されることにより、連続して送信されるような場合を含む。「有効な鍵」とは、メッセージの送信及び受信のいずれか又は両方において、メッセージの認証に使用されている鍵をいい、「未だ有効でない鍵」は、未だメッセージの認証に使用されないが、将来「有効な鍵」が無効となる際に「有効な鍵」となる鍵を意味する。
【００１６】
このような構成とすることにより、より効率的に鍵の取得及び有効化を行うことができる。また、例えば２つ以上の通信先間、特にこの場合にはマスタ電子制御装置１１と複数のスレーブ電子制御装置１２間で共通の鍵を使用する場合においても、同じタイミングで有効化することができるため、通信エラーの発生を抑えてメッセージの送受信を行うことができる。マスタ電子制御装置１１のマスタ側鍵有効化部１１３は、有効化指示制御部１１４が有効化指示を送信するタイミングで、マスタ電子制御装置１１内の有効な鍵を無効にすると共に、未有効鍵を有効化する。例えば、マスタ側鍵記憶部１１２に記憶された有効な鍵を未有効鍵で上書きすることで無効にしてもよいし、マスタ側鍵記憶部１１２に記憶された有効な鍵を削除することで無効にしてもよいし、マスタ側鍵記憶部１１２に記憶された有効な鍵が無効であることを示すフラグを設けてもよい。
【００１７】
ここで、「第１のタイミング」は、電源ＯＮやイグニッションＯＮ等のタイミングである第１の電源ＯＮタイミングから所定時間経過したタイミングとする。例えば、電源ＯＮ時における、通信ネットワーク１５に接続された機器の初期処理に伴う通信が混雑する時間を所定時間と定め、所定時間の経過後に、鍵の送受信を行うこととする。これにより、通信遅延を抑制した鍵の交換を行うことができると共に、電源ＯＮ時の通信混雑を緩和することができる。
ここで、本発明の「第１の電源ＯＮタイミング」とは、電子制御システム１の起動タイミングの他、各電子制御装置の電源ＯＮタイミングとしてもよく、例えば車両に載置されるマスタ電子制御装置１１においては、電源ＯＮ又はイグニッションＯＮのタイミングとしてもよい。「所定時間」は、予め定められた時間であり、例えばタイマーにより第１の電源ＯＮタイミングからの時間を計測することとしてもよい。
【００１８】
また、第２のタイミングは、「第２の電源ＯＮタイミング」とすることができる。ここで、本発明の「第２の電源ＯＮタイミング」とは、電子制御システム１の起動タイミングの他、各電子制御装置の電源ＯＮタイミングとしてもよく、例えば車両に載置されるマスタ電子制御装置においては、電源ＯＮ又はイグニッションＯＮのタイミングとしてもよい。また、マスタ側鍵通信制御部が鍵を送受信する際に参照するタイミングである第１の電源ＯＮタイミングと、有効化指示制御部が有効化指示を送信するタイミングである第２の電源ＯＮタイミングとは、同じ条件であっても異なっていてもよい。同じ場合には、第１の電源ＯＮタイミングの後に発生する第２の電源ＯＮタイミングにおいて、第１の電源ＯＮタイミング後に交換された未有効鍵が第２の電源ＯＮタイミングにおいて有効化される。以上は、後述のスレーブ電子制御装置においても同様である。
これにより、第２の電源ＯＮタイミングにおいて同時に鍵を有効化することができるため、より安全にメッセージを送受信することができる。本実施形態において鍵は、一時的に有効なセッション鍵を例に説明するが、本開示の電子制御システム１はセッション鍵の共有及び有効化に限らず、他の種類の鍵に対しても用いることができる。
【００１９】
図３に示されるように、スレーブ電子制御装置１２は、スレーブ側鍵通信部１２１、スレーブ側鍵記憶部１２２、及びスレーブ側鍵有効化部１２３を有している。ここで、各スレーブ電子制御装置１２である第１スレーブ電子制御装置１２−１〜第ｎスレーブ電子制御装置１２−ｎに係る各構成について示すときは、それぞれ第１スレーブ側鍵通信制御部１２１−１〜第ｎスレーブ側鍵通信制御部１２１−ｎ、第１スレーブ側鍵記憶部１２２−１〜第ｎスレーブ側鍵記憶部１２２−ｎ、及び第１スレーブ側鍵有効化部１２３−１〜第ｎスレーブ側鍵有効化部１２３−ｎの符号を用いて示すこととする。スレーブ側鍵通信制御部１２１は、第１のタイミングで、「メッセージの認証に使用する鍵」であって「未だ有効でない未有効鍵」を、通信ネットワーク１５を介して通信先と「共有」する。スレーブ側鍵記憶部１２２は、不揮発性メモリにより構成され、「有効な鍵」である有効鍵、及び「未だ有効でない鍵」である未有効鍵を記憶する。スレーブ側鍵有効化部１２３は、通信ネットワーク１５に接続される他の装置内に記憶された未有効鍵をメッセージ認証に使用するために有効化する第２のタイミングで、スレーブ側鍵記憶部１２２に記憶された未有効鍵を有効化する。ここで、スレーブ側鍵有効化部１２３は、通信ネットワーク１５を介して、未有効を有効にする指示である有効化指示を受信したときに未有効鍵を有効化する。
【００２０】
図４に示すマスタ電子制御装置１１及び複数のスレーブ電子制御装置１２の処理シーケンス図を用いて、電子制御装置間の鍵交換及び鍵有効化の方法を説明する。一例として、マスタ側鍵記憶部１１２及びスレーブ側鍵記憶部１２２に、有効鍵が記憶されている状態で、新たな鍵を交換及び有効化する場合について説明する。
【００２１】
図４の電子制御システム１のシーケンス図に示されるように、まず、ステップＳ１１において、電子制御システム１の電源ＯＮやイグニッションＯＮ等により第１の電源ＯＮタイミングが発生する。ここで、マスタ側鍵通信制御部１１１及びスレーブ側鍵通信制御部１２１は、第１の電源ＯＮタイミングから所定時間経過した第１のタイミングにおいて、ステップＳ２０の鍵の交換処理を行う。所定時間の経過を待って鍵を交換することにより、例えば電源ＯＮ時における、通信ネットワーク１５に接続された機器の初期処理に伴う通信が混雑する所定時間の経過後に、鍵の送受信を行うことができるため、より効率的に鍵の取得を行うことができると共に、初期時の通信混雑を緩和することができる。
【００２２】
次にステップＳ２０において、マスタ電子制御装置１１は、第１〜第ｎスレーブ電子制御装置１２のそれぞれと機器認証を行うと共に、第１〜第ｎ鍵の交換を行う。機器認証は、例えばチャレンジレスポンス方式により行い、正しいノードであることが確認できた後に鍵の交換を行う。事前に機器認証の処理が終了している場合や必要のない場合等において、機器認証の処理は省略可能である。交換する鍵である第１〜第ｎ鍵はすべて異なっていてもよいし、一部又は全部を同じ鍵としてもよい。また、送受信するメッセージの種類等に応じて異なる鍵を使用してもよいし、同じ鍵を使用してもよい。
【００２３】
本実施形態においてステップＳ２０は、ステップＳ２１において第１スレーブ電子制御装置１２、ステップＳ２２において第２スレーブ電子制御装置１２、ステップＳ２３において第ｎスレーブ電子制御装置１２と、それぞれ機器認証及び鍵交換を順次行っている。このように、マスタ側鍵通信制御部１１１は、複数の通信先のうち一の通信先との鍵の送受信の完了を待った上で、順次他の一の通信先との鍵の送受信を開始する。これにより、通信ネットワーク１５を一時期に混雑させることなく鍵の交換を行うことができる。しかしながら、マスタ側鍵通信制御部１１１は、複数の通信先に対するそれぞれの鍵の送受信は、互いに「重複する時間」に行うこととしてもよい。つまり、複数の通信先のうち一の通信先との鍵の送受信の完了を待つことなく、並行して他の通信先との鍵の送受信を行う。これにより、より短時間で複数の通信先との鍵の交換処理を完了することができる。
ここで、本発明の「重複する時間」は、送受信が同時に行われる場合の他、鍵の送受信に関係するメッセージの送受信に要する時間が重複している場合を含む。
【００２４】
次に、第１のタイミングより後の第２のタイミングが発生する。本実施形態においては、第２のタイミングは、第１の電源ＯＮタイミングより後に発生する次の電源ＯＮやイグニッションＯＮ等のタイミングである第２の電源ＯＮタイミング（ステップ１３）としている。しかしながら第２のタイミングは、例えば第１のタイミングから鍵の交換処理Ｓ２０終了後の予め見積もられた時間に発生することとしてもよい。この第２の電源ＯＮタイミングを契機として、ステップＳ１４において、マスタ電子制御装置１１の有効化指示制御部１１４は、鍵を有効にする有効化指示を、通信ネットワーク１５を介して、複数のスレーブ電子制御装置１２に同時に送信する。このステップＳ１３における第２の電源ＯＮタイミングにおいても、前述した鍵交換の処理と同様に、所定時間経過の後、有効化指示を送信（ステップ１４）するようにしてもよい。
【００２５】
なお、有効化指示制御部１１４による有効化指示を同時に送信する第２のタイミングは、「時間周期的なタイミング」とすることもできる。時間周期的なタイミングとする場合には、有効化指示のタイミングから、次の時間周期の有効化指示のタイミングまでの間に新たな鍵を交換しておく。これにより、予め定められた時間間隔により新たな鍵を有効化することができるため、より安全にメッセージを送受信することができる。
ここで、本発明の「時間周期的なタイミング」とは、所定時間経過毎に発生するタイミングを意味する。
【００２６】
また、有効化指示制御部１１４による有効化指示を同時に送信するタイミングは、車両の所定走行距離に達する毎のタイミングとしてもよい。車両の所定走行距離に達する毎のタイミングとする場合には、有効化指示のタイミングから、次の所定走行距離に達した際の有効化指示のタイミングまでの間に新たな鍵を交換しておく。これにより、予め定められた走行距離により鍵を有効化することができるため、より安全にメッセージを送受信することができる。
【００２７】
また、メッセージの種類等に応じて異なる鍵を使用する場合、新たな鍵に更新する頻度は、鍵が使用されるメッセージの秘匿性が高い程、高いものとすることができる。例えば、マスタ電子制御装置１１は、メッセージの種類毎の秘匿性に応じて、上述した時間周期を、秘匿性が高いほど短く、秘匿性が低いほど長く設定しておく。また、所定走行距離を走行する毎に新たな鍵を有効化する前提の下、所定走行距離を、秘匿性が高いほど短く、秘匿性が低いほど長く設定してもよい。そして、設定した時間周期で新たな鍵に更新されるよう、マスタ側鍵通信制御部１１１は事前に鍵を共有し、有効化指示制御部１１４は時間周期のタイミングで有効化指示を送信する。これにより、秘匿性が高いメッセージについて、より安全性を高めることができると共に、秘匿性が低いメッセージについては、処理の負担を低減することができる。また、新たな鍵に更新する頻度は、メッセージの送受信の頻度が高い程、高いものとしてもよい。例えば、マスタ電子制御装置１１は、メッセージの種類毎の送受信頻度を計測し、上述した時間周期を、送受信頻度が高いほど短く、送受信頻度が低いほど長く設定する。これにより、送受信の頻度が高いメッセージについて、より安全性を高めることができると共に、送受信の頻度が低いメッセージについては、処理の負担を低減することができる。
【００２８】
ステップＳ１５において、マスタ側鍵有効化部１１３は、有効化指示制御部１１４の有効化指示の送信後又は送信と同時に、有効化指示に係る未有効鍵である第１〜第ｎ鍵を有効化する。マスタ電子制御装置１１が送信する有効化指示は、有効化する鍵を識別する識別子を含めてもよい。一方、通信ネットワーク１５を介して、鍵を有効にする有効化指示を受信した第１〜第ｎスレーブ電子制御装置１２のスレーブ側鍵有効化部１２３は、それぞれステップＳ１６〜Ｓ１８において、スレーブ側鍵記憶部１２２に保存された未有効鍵のうち、有効化指示にて指定された識別子に対応する未有効鍵を有効化する。スレーブ電子制御装置１２は、有効化した結果をマスタ電子制御装置１１に応答してもよい。有効化指示が複数の未有効鍵に対して同じタイミングで送信されることにより、第１〜第ｎスレーブ電子制御装置１２においては、同じタイミングで鍵の有効化を行うことができる。
【００２９】
ここで、マスタ電子制御装置１１及び各スレーブ電子制御装置１２は、有効化指示を送受信することなく、同じタイミングで有効化するよう構成してもよい。例えば、マスタ側鍵有効化部１１３及びスレーブ側鍵有効化部１２３は、内部クロックを用いて、予め定められた時間経過もしくは時刻に未有効鍵の有効化を行う。また、マスタ電子制御装置１１及び各スレーブ電子制御装置１２が、電源ＯＮ等を検知したタイミングや、通信ネットワークを介して取得した車両の走行距離が所定走行距離に達する毎のタイミング等の第２のタイミングで未有効鍵の有効化を行う。この場合、所定走行距離等の条件は、マスタ電子制御装置１１及び各スレーブ電子制御装置１２の間で、予め共有しておく。また、スレーブ側鍵有効化部１２３は、鍵が使用されるメッセージの秘匿性が高い程、高い頻度で未有効鍵を有効化することができる。例えば、マスタ電子制御装置１１及びスレーブ電子制御装置１２は、上述した時間周期として、メッセージの種類の秘匿性に応じた時間周期を、メッセージの種類毎に予め共有しておく。秘匿性が高いメッセージに対応する時間周期は短く、秘匿性が低いメッセージに対応する時間周期は長いものとする。そして、マスタ側鍵有効化部１１３及びスレーブ側鍵有効化部１２３は、例えば内部クロックを用いて、共有した時間周期に合わせてメッセージの種類に応じた未有効鍵の有効化を行う。これにより、秘匿性が高いメッセージについて、より安全性を高めることができると共に、秘匿性が低いメッセージについては、処理の負担を低減することができる。また、スレーブ側鍵有効化部１２３は、メッセージの送受信の頻度が高い程、高い頻度で未有効鍵を有効化することとしてもよい。例えば、マスタ電子制御装置１１は、メッセージの種類毎の送受信頻度を計測し、上述した時間周期を、送受信頻度が高いほど短く、送受信頻度が低いほど長く設定する。この時間周期を、メッセージの種類毎に、予めスレーブ電子制御装置１２と共有しておく。これにより、送受信の頻度が高いメッセージについて、より安全性を高めることができると共に、送受信の頻度が低いメッセージについては、処理の負担を低減することができる。
【００３０】
次にステップＳ３０において、マスタ電子制御装置１１は、第１〜第ｎスレーブ電子制御装置１２から情報を取得する。具体的には、まず、マスタ電子制御装置１１の情報取得部１１５が、ステップＳ３１において、第１スレーブ電子制御装置１２に対して、鍵を使用して生成された認証子と共に、第１情報を要求する。引き続き、要求を受信した第１スレーブ電子制御装置１２は、ステップＳ３２において、要求に係る第１情報を、鍵を使用した認証子と共にマスタ電子制御装置１１に送信する。次に、マスタ電子制御装置１１の情報取得部１１５が、ステップＳ３３において、第２スレーブ電子制御装置１２に対して、鍵を使用して生成された認証子と共に、第２情報を要求する。引き続き、要求を受信した第２スレーブ電子制御装置１２は、ステップＳ３４において、要求に係る第２情報を、鍵を使用した認証子と共にマスタ電子制御装置１１に送信する。最後に、マスタ電子制御装置１１の情報取得部１１５が、ステップＳ３５において、第ｎスレーブ電子制御装置１２に対して、鍵を使用して生成された認証子と共に、第ｎ情報を要求する。引き続き、要求を受信した第ｎスレーブ電子制御装置１２は、ステップＳ３６において、要求に係る第ｎ情報を、鍵を使用した認証子と共にマスタ電子制御装置１１に送信する。マスタ電子制御装置１１の情報取得部１１５は、第１〜第ｎ情報を受信し、それぞれ対応する第１〜第ｎ鍵により受信した情報を認証する。
【００３１】
なお、上述のスレーブ側鍵通信制御部１２１、スレーブ側鍵記憶部１２２及びスレーブ側鍵有効化部１２３のそれぞれの構成及び機能は、マスタ側鍵通信制御部１１１、マスタ側鍵記憶部１１２及びマスタ側鍵有効化部１１３の構成及び機能にも適用することができる。
【００３２】
図５を用いて外部装置との情報の授受について説明する。
図５のシーケンス図において、図４のステップＳ１１の第１の電源ＯＮタイミングからステップＳ１８の第ｎ鍵有効化までと同様の処理は事前に行われているものとする。この図に示されるように、まずステップＳ４１において、外部装置８とマスタ電子制御装置１１との間で機器認証が行われる。互いの機器が認証されると、引き続き、ステップＳ４２において、外部装置８は第１〜第ｎ情報の要求するメッセージを、外部鍵により署名し、ステップＳ４３において送信する。ここで、外部鍵とは、外部装置８とマスタ電子制御装置１１との間で送受信されるメッセージを認証するために用いられる鍵である。
【００３３】
マスタ電子制御装置１１の外部通信部１１６は第１〜第ｎ情報要求のメッセージを受信し、引き続き情報取得部１１５が、ステップＳ３０において、第１〜第ｎスレーブ電子制御装置１２から情報を取得する。ステップＳ３０の処理は、図４のステップＳ３０と同様であるため説明を省略する。マスタ電子制御装置１１の情報取得部１１５により認証された第１〜第ｎ情報は、ステップＳ４４において、外部通信部１１６により外部鍵で署名され、ステップＳ４５において外部装置８に送信される。
【００３４】
図６を用いて鍵の有効期間の例を説明する。図６において鍵の有効期間は、電源ＯＮのタイミングから次の電源ＯＮのタイミング迄としている。例えば、イグニッションＯＮを契機に未有効鍵を交換し、次回イグニッションＯＮで未有効鍵を同時に有効化する。また、鍵の送受信に際して参照する第１の電源ＯＮタイミングすなわち所定時間の開始の起算点は、鍵の有効化を行うタイミングである第２のタイミングと同じ電源ＯＮタイミングとしている。第１〜第ｎスレーブ電子制御装置１２の各々のスレーブ側鍵有効化部１２３は、第２のタイミングである電源ＯＮ時において、それぞれ第１〜第ｎ鍵を有効化する。次の第１〜第ｎ鍵は、第１の電源ＯＮタイミングである電源ＯＮ時から所定時間の経過を待って、送受信を開始する。図６においては、第１〜第ｎ鍵は、対応する第１〜第ｎスレーブ電子制御装置１２において順次送受信されることとしているが、第１〜第ｎ鍵の送受信は、互いに重複する時間に行われてもよい。
【００３５】
送受信された新たな第１〜第ｎ鍵は、未有効な鍵としてそれぞれのスレーブ側鍵記憶部１２２に保存される。有効な第１〜第ｎ鍵は、次の電源ＯＮタイミングにおいて無効化され、それと共に未有効な新たな第１〜第ｎ鍵が有効化される。これにより、より効率的に鍵の取得及び有効化を行うことができる。また、例えば２つ以上の通信先間、特にこの場合にはマスタ電子制御装置１１と複数のスレーブ電子制御装置１２間で共通の鍵を使用する場合においても、同じタイミングで有効化することができるため、通信エラーの発生を抑えてメッセージの送受信を行うことができる。ここで各スレーブ側鍵有効化部１２３による鍵の有効化は、マスタ電子制御装置１１の有効化指示制御部１１４により送信された有効化指示を受信することを契機として行われることとしてもよい。
【００３６】
図７を用いて鍵の有効期間の他の例を説明する。図７において鍵の有効期間は、すなわち第２のタイミングが発生する周期は、予め定められた時間周期としている。この図に示されるように、第１〜第ｎスレーブ電子制御装置１２の各々のスレーブ側鍵有効化部１２３は、時間周期ごとにそれぞれ第１〜第ｎ鍵を有効化する。次の第１〜第ｎ鍵は、時間周期が開始されると送受信されるが、その間に電源ＯＮ等の第１の電源ＯＮタイミングが発生すると鍵の送受信は行わず、所定時間の経過を待って、鍵の送受信を再開する。図７においては、第１〜第ｎ鍵は、対応する第１〜第ｎスレーブ電子制御装置１２において順次送受信されることとしているが、第１〜第ｎ鍵の送受信は、互いに重複する時間に行われてもよい。
【００３７】
新たな第１〜第ｎ鍵は、図６と同様に、未有効な鍵としてそれぞれのスレーブ側鍵記憶部１２２に保存される。有効な第１〜第ｎ鍵は、次の時間周期の開始時において無効化され、それと共に未有効な次の第１〜第ｎ鍵が有効化される。これにより、図６と同様に、より効率的に鍵の取得及び有効化を行うことができる。また、例えば２つ以上の通信先間、特にこの場合にはマスタ電子制御装置１１と複数のスレーブ電子制御装置１２間で共通の鍵を使用する場合においても、同じタイミングで有効化することができるため、通信エラーの発生を抑えてメッセージの送受信を行うことができる。ここで各スレーブ側鍵有効化部１２３による鍵の有効化は、マスタ電子制御装置１１の有効化指示制御部１１４により送信された有効化指示を受信することを契機として行われることとしてもよい。
【００３８】
マスタ電子制御装置１１の処理Ｓ５０について、図８を参照して説明する。なお、以下、生成とは、マスタ電子制御装置１１において鍵を取得することをいい、その方法は問わない。例えば、外部装置８のような他の装置から受信してもよいし、自身で新たに生成してもよい。図８のマスタ電子制御装置１１の処理Ｓ５０に示されるように、マスタ電子制御装置１１は、ステップＳ５１において、新たな鍵が生成済みかどうかを判定する。次の鍵が生成済みの場合には（ステップＳ５１：Ｙｅｓ）、ステップＳ５５に移行する。次の鍵が生成済みでない場合には、ステップＳ５２において、第１の電源ＯＮタイミングから所定時間経過しているかどうかを判定する。所定時間経過していない場合には（ステップＳ５２：Ｎｏ）、ステップＳ５５に移行する。所定時間経過している場合には（ステップＳ５２：Ｙｅｓ）、ステップＳ５３において鍵を生成し、マスタ側鍵記憶部１１２に鍵を保存すると共に、ステップＳ５４においてスレーブ電子制御装置１２に鍵を送信し、ステップＳ５５に移行する。
【００３９】
ステップＳ５５では、鍵の有効化条件を満たすかどうかを判定する。すなわち、上述の「第２のタイミング」であるか否かを判定し、例えば、有効化指示を送信するタイミングであるか否かを判定する。有効化条件を満たさない場合には（ステップＳ５５：Ｎｏ）、処理を終了する。有効化条件を満たす場合には（ステップＳ５５：Ｙｅｓ）、ステップＳ５６において鍵の有効化処理を行う。ここで有効化処理には、マスタ側鍵有効化部１１３によるマスタ電子制御装置１１の鍵を有効化する処理の他、有効化指示制御部１１４により有効化指示をスレーブ電子制御装置１２に送信する場合には、有効化指示の送信を含む。また、有効化条件は、例えば、電源ＯＮタイミング、時間周期、車両の所定走行距離に達する毎のタイミング等その他のタイミングである第２の電源ＯＮタイミングとすることができる。また、有効化の頻度は、鍵が使用されるメッセージの秘匿性が高い程、高くすることができる。また、有効化の頻度は、メッセージの送受信の頻度が高い程、高くすることができる。
【００４０】
スレーブ電子制御装置１２の処理Ｓ６０について、図９を参照して説明する。スレーブ電子制御装置１２は、ステップＳ６１において、次の鍵の交換要求を受信したかどうかを判定する。次の鍵の交換要求を受信していない場合には（ステップＳ６１：Ｎｏ）、ステップＳ６３に移行する。次の鍵の交換要求を受信している場合には（ステップＳ６１：Ｙｅｓ）、ステップＳ６２において鍵を受信し、ステップＳ６３に移行する。
【００４１】
ステップＳ６３では、鍵の有効化条件を満たすかどうかを判定する。すなわち、上述の「第２のタイミング」であるか否かを判定する。有効化条件を満たさない場合には（ステップＳ６３：Ｎｏ）、処理を終了する。有効化条件を満たす場合には（ステップＳ６３：Ｙｅｓ）、ステップＳ５６において鍵の有効化処理を行う。ここで有効化条件は、上述のマスタ電子制御装置１１における有効化条件の他、有効化指示を受信することも有効化条件に含まれる。
【００４２】
すなわち、本実施形態に係る電子制御システム１では、複数のスレーブ電子制御装置１２が第１スレーブ電子制御装置１２−１及び第２スレーブ電子制御装置１２−２であるとして言い換えると、第１スレーブ電子制御装置１２−１及び第２スレーブ電子制御装置１２−２と、通信ネットワーク１５を介して第１スレーブ電子制御装置１２−１及び第２スレーブ電子制御装置１２−２とメッセージを送受信するマスタ電子制御装置１１と、を備える電子制御システム１であって、マスタ電子制御装置１１は、第１スレーブ電子制御装置１２−１とのメッセージの認証に用いる鍵として、有効である第１有効鍵と未だ有効でない第１未有効鍵とを記憶し、第２スレーブ電子制御装置１２−２とのメッセージの認証に用いる鍵として、有効である第２有効鍵と未だ有効でない第２未有効鍵とを記憶するマスタ側鍵通信制御部１１１と、第１スレーブ電子制御装置１２−１の第１のタイミングで第１未有効鍵を通信ネットワーク１５を介して第１スレーブ電子制御装置１２−１と共有し、第２スレーブ電子制御装置１２−２の第１のタイミングで第２未有効鍵を通信ネットワーク１５を介して第２スレーブ電子制御装置１２−２と共有するマスタ側鍵通信制御部１１１と、第１スレーブ電子制御装置１２−１の第１のタイミングよりも後で、第２スレーブ電子制御装置１２−２の第１のタイミングよりも後の、第２のタイミングでマスタ側記憶部に記憶された第１未有効鍵及び第２未有効鍵を有効化するマスタ側鍵有効化部１１３と、を備え、第１スレーブ電子制御装置１２−１は、第１有効鍵、及び第１未有効鍵を記憶する第１スレーブ側鍵記憶部１２２−１と、第１スレーブ電子制御装置１２−１の第１のタイミングで第１未有効鍵を通信ネットワーク１５を介してマスタ電子制御装置１１と共有する第１スレーブ側鍵通信制御部１２１−１と、第２のタイミングで第１スレーブ側鍵記憶部１２２−１に記憶された第１未有効鍵を有効化する第１スレーブ側鍵有効化部１２３−１と、を備え、第２スレーブ電子制御装置１２−２は、第２有効鍵、及び第２未有効鍵を記憶する第２スレーブ側鍵記憶部１２２−２と、第２スレーブ電子制御装置１２−２の第１のタイミングで第２未有効鍵を通信ネットワーク１５を介してマスタ電子制御装置１１と共有する第２スレーブ側鍵通信制御部１２１−２と、第２のタイミングで第２スレーブ側鍵記憶部１２２−２に記憶された第２未有効鍵を有効化する第２スレーブ側鍵有効化部１２３−２と、を備えることを特徴とする。ここで、第１スレーブ電子制御装置１２−１の第１のタイミングと、第２スレーブ電子制御装置１２−２の第１のタイミングとは同じであっても、異なっていてもよい。
【００４３】
以上説明したように、本実施形態に係るマスタ電子制御装置、スレーブ電子制御装置及び電子制御システムは、複数の装置間で鍵を共有する際の同期化を行うことができる。また、例えば他の未有効鍵を記憶する２つ以上の通信先間で共通の鍵を使用する場合においても、同じタイミングで有効化することができるため、通信エラーの発生を抑えてメッセージの送受信を行うことができる。
【００４４】
なお、図８及び図９では、鍵の生成及び送信はマスタ電子制御装置１１により行われるものとしたが、鍵の生成及び送信をスレーブ電子制御装置１２により行われるものとしてもよい。例えば、各スレーブ電子制御装置１２で共通な鍵を使用する場合には、マスタ電子制御装置１１で鍵の生成及び送信を行い、各スレーブ電子制御装置１２で異なる鍵を使用する場合には、各スレーブ電子制御装置１２で鍵の生成及び送信を行うこととしてもよい。
【００４５】
上述のマスタ電子制御装置１１の処理Ｓ５０及びスレーブ電子制御装置１２の処理Ｓ６０は、例えば半導体メモリ等の記録媒体である非遷移的実体的記録媒体にプログラムが格納され、ＣＰＵ等の処理装置においてプログラムに対応する方法が実行されることによる処理とすることができる。また、ソフトウェアに限らず、デジタル回路又はアナログ回路を含むハードウェアによる処理、又はソフトウェアとハードウェアの協働による処理とすることができる。
【００４６】
以上、本発明の実施形態におけるマスタ電子制御装置、スレーブ電子制御装置、電子制御システム、通信制御方法及び通信制御プログラムについて説明した。
【００４７】
本発明のマスタ電子制御装置及びスレーブ電子制御装置は、車載の各種電子制御装置（ＥＣＵ）すべてが該当する。また本発明の電子制御装置の形態の例として、半導体、電子回路、モジュール、マイクロコンピュータが挙げられる。またこれらにアンテナや通信用インターフェースなど、必要な機能を追加してもよい。また、カーナビゲーションシステム、スマートフォン、パーソナルコンピュータ、携帯情報端末のような形態をとることも可能である。
【００４８】
加えて、本発明は、上述の専用のハードウェア（例えばゲートウェイ装置としての「マスタ電子制御装置」やＥＣＵとしての「スレーブ電子制御装置」）で実現できるものだけでなく、メモリやハードディスク等の記録媒体に記録したプログラム、及びこれを実行可能な専用又は汎用のハードウェアに提供することもできる。これによりプログラムのアップグレードを通じて常に最新の機能を提供することができる。すなわち、マスタ電子制御装置及びスレーブ電子制御装置の通信制御方法をコンピュータにて実行可能な通信制御プログラムも本発明に含まれる。
【００４９】
なお、本発明の「マスタ電子制御装置」は、図１のように車載のゲートウェイ装置を念頭に置いて説明したが、図１の外部装置８を本発明の「マスタ電子制御装置」とし、スレーブ電子制御装置と直接又はゲートウェイ等を介して間接に通信を行うものであってもよい。すなわち、本発明の「マスタ電子制御装置」は、車載として設けられていても、車外に設けられていてもよい。
【産業上の利用可能性】
【００５０】
本発明のマスタ電子制御装置、スレーブ電子制御装置、電子制御システム、通信制御方法及び通信制御プログラムは、実施形態において自動車に搭載される車載ネットワークを念頭において説明したが、自動二輪車、船舶、鉄道、航空機等、移動する移動体全般に適用することが可能である。また、移動体に限らず通信ネットワークに接続された情報通信機器に関する製品全般に適用可能である。
【符号の説明】
【００５１】
１  電子制御システム、８  外部装置、１１  マスタ電子制御装置、１２  スレーブ電子制御装置、１５  通信ネットワーク、１１１  マスタ側鍵通信制御部、１１２  マスタ側鍵記憶部、１１３  マスタ側鍵有効化部、１１４  有効化指示制御部、１１５  情報取得部、１１６  外部通信部、１２１  スレーブ側鍵通信制御部、１２２  スレーブ側鍵記憶部、１２３  スレーブ側鍵有効化部
【図１】
2019161605.tif 000003
【図２】
2019161605.tif 000004
【図３】
2019161605.tif 000005
【図４】
2019161605.tif 000006
【図５】
2019161605.tif 000007
【図６】
2019161605.tif 000008
【図７】
2019161605.tif 000009
【図８】
2019161605.tif 000010
【図９】
2019161605.tif 000011