(57)【特許請求の範囲】
【請求項１】
識別子を含む第１データを受信する受信部と、
前記識別子に対応する転送先を特定するルーティング制御部と、
前記転送先に要求される安全度を示す安全度情報に基づいて前記第１データから前記転送先に転送する第２データを生成するセキュリティ制御部と、
前記第２データを前記転送先へ送信する送信部と、
を備える車載処理装置であって、
前記第１データの送信元及び前記転送先の電子制御装置ごとに前記安全度情報としての自動車安全度水準ＡＳＩＬが割り当てられ、
前記セキュリティ制御部は、
前記第１データの送信元の前記電子制御装置に割り当てられる前記自動車安全度水準ＡＳＩＬと前記転送先の前記電子制御装置に割り当てられる前記自動車安全度水準ＡＳＩＬが異なるか否かを判定し、
前記第１データの送信元の前記電子制御装置に割り当てられる前記自動車安全度水準ＡＳＩＬと前記転送先の前記電子制御装置に割り当てられる前記自動車安全度水準ＡＳＩＬが異なる場合、前記第１データの送信元の前記電子制御装置に割り当てられる前記自動車安全度水準ＡＳＩＬに対応づけられた暗号方式で前記第１データを復号化し、かつ、前記転送先の前記電子制御装置に割り当てられる前記自動車安全度水準ＡＳＩＬに対応づけられた暗号方式で暗号化することで、前記第２データを生成する
ことを特徴とする車載処理装置。
【請求項２】
請求項１に記載の車載処理装置であって、
前記セキュリティ制御部は、
前記転送先の前記安全度情報に応じて前記第２データの暗号強度を設定する
ことを特徴とする車載処理装置。
【請求項３】
請求項２に記載の車載処理装置であって、
前記第１データは、
暗号化されており、
前記セキュリティ制御部は、
前記転送先の前記安全度情報に応じて前記第１データの暗号鍵を交換する又は前記第１データの暗号化を解除することにより、前記第２データを生成する
ことを特徴とする車載処理装置。
【請求項４】
請求項３に記載の車載処理装置であって、
前記第１データは、
第１暗号鍵を用いて暗号化されており、
前記セキュリティ制御部は、
前記転送先の前記安全度情報に応じて、前記第１暗号鍵を用いて前記第１データを復号化し、前記第１暗号鍵と異なる第２暗号鍵を用いて暗号化することにより、前記第１データの暗号鍵を交換し、
前記転送先の前記安全度情報が最も低い前記安全度を示す場合、前記第１暗号鍵を用いて前記第１データを復号化することにより、前記第１データの暗号化を解除する
ことを特徴とする車載処理装置。
【請求項５】
請求項２に記載の車載処理装置であって、
前記転送先、及び前記転送先に対応する前記安全度情報の組合せを記憶する記憶装置を備え、
前記セキュリティ制御部は、
前記記憶装置から前記転送先に対応する前記安全度情報を読み出し、読み出した前記安全度情報に応じて、前記第２データの暗号強度を設定する
ことを特徴とする車載処理装置。
【請求項６】
請求項５に記載の車載処理装置であって、
前記記憶装置は、
前記安全度情報、及び前記安全度情報に対応する暗号方式の組合せを記憶し、
前記セキュリティ制御部は、
前記記憶装置から前記安全度情報に対応する前記暗号方式を読み出し、読み出した前記暗号方式を用いて、前記第２データの暗号強度を設定する
ことを特徴とする車載処理装置。
【請求項７】
請求項６に記載の車載処理装置であって、
前記記憶装置は、
前記安全度情報、及び前記安全度情報に対応する暗号鍵の情報を示す暗号鍵情報の組合せを記憶し、
前記セキュリティ制御部は、
前記記憶装置から前記安全度情報に対応する前記暗号鍵情報を読み出し、読み出した前記暗号鍵情報が示す暗号鍵を前記転送先に配信する
ことを特徴とする車載処理装置。
【請求項８】
第１の車載処理装置、第２の車載処理装置、及び第３の車載処理装置を含む車載システムであって、
第１の車載処理装置は、
識別子を含む第１データを送信し、
前記第２の車載処理装置は、
前記第１データを受信する受信部と、
前記識別子に対応する転送先を特定するルーティング制御部と、
前記転送先に要求される安全度を示す安全度情報に基づいて前記第１データから前記転送先に転送する第２データを生成するセキュリティ制御部と、
前記第２データを前記転送先である前記第３の車載処理装置へ送信する送信部と、を備え、
前記第３の車載処理装置は、
前記第２データを受信し、受信した前記第２データを用いて所定の処理を行う車載システムにおいて、
前記第１データの送信元及び前記転送先の電子制御装置ごとに前記安全度情報としての自動車安全度水準ＡＳＩＬが割り当てられ、
前記セキュリティ制御部は、
前記第１データの送信元の前記電子制御装置に割り当てられる前記自動車安全度水準ＡＳＩＬと前記転送先の前記電子制御装置に割り当てられる前記自動車安全度水準ＡＳＩＬが異なるか否かを判定し、
前記第１データの送信元の前記電子制御装置に割り当てられる前記自動車安全度水準ＡＳＩＬと前記転送先の前記電子制御装置に割り当てられる前記自動車安全度水準ＡＳＩＬが異なる場合、前記第１データの送信元の前記電子制御装置に割り当てられる前記自動車安全度水準ＡＳＩＬに対応づけられた暗号方式で前記第１データを復号化し、かつ、前記転送先の前記電子制御装置に割り当てられる前記自動車安全度水準ＡＳＩＬに対応づけられた暗号方式で暗号化することで、前記第２データを生成する
ことを特徴とする車載システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車載用処理装置に関する。
【背景技術】
【０００２】
車両システムの情報化の進展に従い、ネットワークのセキュリティリスクが増大している。実際に車両のネットワークに対し、攻撃することで走行に影響を与えるような脅威事例も発生し、外部からの攻撃に対して、自動車の制御システムを保護するセキュリティ機能が重要視されている。【０００３】
車両には、複数の電子制御装置（以降、ＥＣＵと呼ぶ）が搭載されており、装置間のネットワークは、主にＣＡＮ（Controller Area Network）の規格で構成されている。車載ネットワークにセキュリティ対策を適用する場合、ＣＡＮフレーム送信ＥＣＵは、ＣＡＮフレームの正当性を保証し、ＣＡＮバスに接続された偽ＥＣＵからのリプレイ攻撃を防御するため、鍵を用いてＣＡＮフレームに認証コード（Ｍessage Ａuthentication Ｃode; ＭＡＣ）を付与する方法が提案されている（例えば、特許文献１参照）。【０００４】
また、ノードの負担を抑制しつつ、データ通信のセキュリティ性を高めることができる技術が開示されている（例えば、特許文献２参照）。特許文献２の車両用データ通信装置は、データを暗号化するか否かの暗号化情報をデータの送信側のノードを接続するバスとデータの受信側のノードを接続するバスとの組み合わせの単位で一元的に管理し、ノードは、データを復号化するか否かの復号化情報をデータの送信側のノードを接続するバスの単位で一元的に管理する。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特許第5770602号公報
【特許文献２】特開2013-201510号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
現状の車両ネットワークのＣＡＮでは、ライン上に各ＥＣＵを接続していくことによるライン型のネットワークとなっている。ＣＡＮフレームには送信元ＥＣＵ及び宛先ＥＣＵの識別情報が含まれておらず、受信ＥＣＵにおいて、送信元の正しいＥＣＵからのデータであるか否かを単純に判断することはできない。【０００７】
特許文献１に開示されるような技術では、車載ネットワークにセキュリティ対策を適用する場合、送信ＣＡＮフレーム自体に変更が必要となり、全ＥＣＵの変更対応工数が大きくなる。【０００８】
特許文献２に開示されるような技術では、バス毎にセキュリティ対策を行うことができるが、データを受信するＥＣＵはすべて復号化する機能を持つ必要があり、信頼性（安全性）が要求されるＥＣＵから段階的にセキュリティ機能を取り入れる事ができず、対応工数が大きくなる。【０００９】
本発明の目的は、車載ネットワークに段階的にセキュリティを導入することができる車載処理装置を提供することにある。
【課題を解決するための手段】
【００１０】
上記目的を達成するために、本発明の一例の車載処理装置は、識別子を含む第１データを受信する受信部と、前記識別子に対応する転送先を特定するルーティング制御部と、前記転送先に要求される安全度を示す安全度情報に基づいて前記第１データから前記転送先に転送する第２データを生成するセキュリティ制御部と、前記第２データを前記転送先へ送信する送信部と、を備える車載処理装置であって、前記第１データの送信元及び前記転送先の電子制御装置ごとに前記安全度情報としての自動車安全度水準ＡＳＩＬが割り当てられ、前記セキュリティ制御部は、前記第１データの送信元の前記電子制御装置に割り当てられる前記自動車安全度水準ＡＳＩＬと前記転送先の前記電子制御装置に割り当てられる前記自動車安全度水準ＡＳＩＬが異なるか否かを判定し、前記第１データの送信元の前記電子制御装置に割り当てられる前記自動車安全度水準ＡＳＩＬと前記転送先の前記電子制御装置に割り当てられる前記自動車安全度水準ＡＳＩＬが異なる場合、前記第１データの送信元の前記電子制御装置に割り当てられる前記自動車安全度水準ＡＳＩＬに対応づけられた暗号方式で前記第１データを復号化し、かつ、前記転送先の前記電子制御装置に割り当てられる前記自動車安全度水準ＡＳＩＬに対応づけられた暗号方式で暗号化することで、前記第２データを生成する。
【発明の効果】
【００１１】
本発明によれば、車載ネットワークに段階的にセキュリティを導入することができる。
上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。
【図面の簡単な説明】
【００１２】
【図１】本発明の一実施形態による車載用ゲートウェイ装置及び車載ネットワークシステムの構成並びに鍵配信の動作を説明するための図である。
【図２】本発明の一実施形態による車載用ゲートウェイ装置及び車載ネットワークシステムの構成並びに暗号鍵の付替え又は解除の動作を説明するための図である。
【図３】本発明の一実施形態による車載用ゲートウェイ装置のセキュリティテーブルの構成図である。
【図４】本発明の一実施形態による車載用ゲートウェイ装置のルーティングテーブルの構成図である。
【図５】本発明の一実施形態による車載用ゲートウェイ装置のフローチャートである。
【図６】本発明の一実施形態による車載用ゲートウェイ装置のハードウェア構成を示す図である。
【発明を実施するための形態】
【００１３】
以下、図面を用いて、本発明の実施形態による車載用ゲートウェイ装置（車載処理装置）の構成及び動作について説明する。なお、各図において、同一符号は同一部分を示す。
【００１４】
（システム構成）  図１を用いて本発明の一実施形態による車載用ゲートウェイ装置及び車載ネットワークシステムの構成を説明する。
【００１５】
図１の例では、車載ネットワークは、２つのバス（Ｎ６００、Ｎ６０１）を備えている。バスＮ６００（ライン）には、本発明の実施形態による車載用ゲートウェイ装置１、ＥＣＵ１（Ｎ１０１）、ＥＣＵ２（Ｎ３０１）、ＥＣＵ３（Ｎ２０１）等が接続されている。一方、バスＮ６０１には、ＥＣＵ４（Ｎ１０２）が接続されている。
【００１６】
各ＥＣＵには、ＩＳＯ（International Organization for Standardization）によって規定される自動車安全度水準ＡＳＩＬ（Automotive Safety Integrity Level）が割り当てられている。具体的には、ＡＳＩＬは、ＱＭ（Quality Management）、Ａ、Ｂ、Ｃ、Ｄ等の記号を用いて分類される。ＱＭ＜Ａ＜Ｂ＜Ｃ＜Ｄの順で要求される安全度は大きくなる。
【００１７】
図１の例では、破線Ｎ１００内のＥＣＵ１（Ｎ１０１）、ＥＣＵ４（Ｎ１０２）に、最も高い安全度である「Ｄ」が割り当てられている。破線Ｎ２００内のＥＣＵ３（Ｎ２０１）、ＥＣＵ５には、「Ｂ」が割り当てられている。破線Ｎ３００内のＥＣＵ２（Ｎ３０１）、ＥＣＵ６には、最も低い安全度である「ＱＭ」が割り当てられている。
【００１８】
車載用ゲートウェイ装置１は、データ転送先を判定するルーティング制御部２、ＣＡＮ ＩＤ（識別子）と出力先（転送先）の対応づけを示すルーティングテーブル３、セキュリティの制御判定等をするセキュリティ制御部４、各装置の鍵情報管理、ＥＣＵ間の認証情報、各ＡＳＩＬ情報及び暗号方式を示すセキュリティテーブル５、暗号化・復号化アルゴリズム６（図２）、鍵情報８を備える。
【００１９】
なお、車載用ゲートウェイ装置１は、図６に示すように、マイコン１１（プロセッサ）、入出力ポートなどの入出力装置１４、ＣＡＮトランシーバなどの通信装置１５等を備える。マイコン１１は、揮発性メモリの一例であるＳＲＡＭ１２（Static Random Access Memory）と、不揮発性メモリの一例であるＦＬＡＳＨ１３（Flash Memory）を内蔵する。
【００２０】
ＦＬＡＳＨ１３には、ルーティングテーブル３、セキュリティテーブル５、暗号化・復号化アルゴリズム６、７（プログラム）、鍵情報８等が記憶される。ＳＲＡＭ１２には、演算に必要なデータ、演算結果などが一時的に記憶される。
【００２１】
ルーティングテーブル３は、図４に示すように、送信先ＥＣＵが接続されるバスを識別する番号を示す「接続バスＮｏ」、受信データのＩＤを示す「受信データＩＤ」、受信データＩＤに対応する送信先のＥＣＵを示す「送信先ＥＣＵ」、送信先へ送信するデータに割り当てるＩＤを示す「送信ＩＤ」等のフィールドを備える。
【００２２】
セキュリティテーブル５は、図３に示すように、「装置名」、自動車安全度水準を示す「ＡＳＩＬ」、暗号鍵を識別するＩＤを示す「鍵ＩＤ」、「暗号方式」、装置名が示すＥＣＵが送信するデータのＩＤを示す「送信データＩＤ」、チャレンジアンドレスポンスによる認証の結果を示す「認証」等のフィールドを備える。換言すれば、ＦＬＡＳＨ１３（記憶装置）は、装置名（転送先）、及び装置名（転送先）に対応するＡＳＩＬ（安全度情報）の組合せを記憶する。
【００２３】
車載用ゲートウェイ装置１のセキュリティ制御部４（マイコン１１）は、ＦＬＡＳＨ１３（記憶装置）から転送先に対応するＡＳＩＬ（安全度情報）を読み出し、読み出したＡＳＩＬに応じて、転送先に転送するデータの暗号強度を設定する。これにより、転送前のデータの暗号強度にかかわらず転送先のＡＳＩＬに応じて転送するデータの暗号強度が決まる。動作の詳細については、図５を用いて後述する。
【００２４】
また、ＦＬＡＳＨ１３（記憶装置）は、ＡＳＩＬ（安全度情報）、及びＡＳＩＬに対応する暗号方式の組合せを記憶する。
【００２５】
車載用ゲートウェイ装置１のセキュリティ制御部４（マイコン１１）は、ＦＬＡＳＨ１３（記憶装置）からＡＳＩＬ（安全度情報）に対応する暗号方式を読み出し、読み出した暗号方式を用いて、転送先に転送するデータの暗号強度を設定する。これにより、転送先では、ＡＳＩＬに対応する暗号方式の復号のみを行えばよい。詳細については、図５を用いて後述する。
【００２６】
さらに、ＦＬＡＳＨ１３（記憶装置）は、ＡＳＩＬ（安全度情報）、及びＡＳＩＬに対応する暗号鍵の情報を示す鍵ＩＤ（暗号鍵情報）の組合せを記憶する。
【００２７】
車載用ゲートウェイ装置１のセキュリティ制御部４（マイコン１１）は、ＦＬＡＳＨ１３（記憶装置）からＡＳＩＬ（安全度情報）に対応する鍵ＩＤを読み出し、読み出した鍵ＩＤが示す暗号鍵を転送先に配信する。これにより、転送先では、ＡＳＩＬに応じた暗号鍵を用いてデータを復号化することができる。
【００２８】
なお、図３に示すCMAC (Cipher-based MAC)は、ブロック暗号に基づくメッセージ認証符号アルゴリズムである。また、図３に示すHMAC (Hash-based Message Authentication Code)は、メッセージ認証符号 (MAC; Message Authentication Code) の一つであり、秘密鍵とメッセージ（データ）とハッシュ関数をもとに計算される。CMACの暗号強度は、HMACの暗号強度よりも大きい。
【００２９】
（暗号鍵の配信）
次に、図１を用いて、ＡＳＩＬ毎に車載用ゲートウェイ装置１が各ＥＣＵへ鍵配信を行う例を説明する。
【００３０】
車載用ゲートウェイ装置１のルーティングテーブル３には、セキュリティを必要とするＥＣＵ１（Ｎ１０１）、ＥＣＵ３（Ｎ２０１）等へ鍵情報を送信するため送信ＩＤを準備する。図１の例では、ルーティングテーブル３の第３レコードにおいて、送信先「ＥＣＵ１」に送信ＩＤ「６００」が割り当てられている。また、ルーティングテーブル３の第４レコードにおいて、送信先「ＥＣＵ３」に送信ＩＤ「６１０」が割り当てられている。
【００３１】
セキュリティテーブル５には、各ＥＣＵに対応したＡＳＩＬ毎の鍵情報を準備する。図１の例では、セキュリティテーブル５の第１レコードにおいて、装置名「ＥＣＵ１」に、鍵ＩＤ「Ｄ」が割り当てられている。また、セキュリティテーブルの第３レコードにおいて、装置名「ＥＣＵ３」に鍵ＩＤ「Ｂ」が割り当てられている。ここで、鍵ＩＤは、暗号鍵を識別する識別子である。
【００３２】
車載用ゲートウェイ装置1は、各ＥＣＵとチャレンジ＆レスポンスによるＥＣＵ機器認証を行う。車載用ゲートウェイ装置1は、各ＥＣＵと認証が成功した場合に、セキュリティテーブル５で解決したＡＳＩＬ毎の鍵情報８を各ＥＣＵへ配信する。車載用ゲートウェイ装置1は、受信データID毎に周期の監視を行う。周期を逸脱して受信したIDのデータは不正データとし破棄する。
【００３３】
車載用ゲートウェイ装置1は、各ＥＣＵへ配信した鍵を用いてフレーム受信及びフレーム送信時ＭＡＣの解決を行い、各ＥＣＵとの暗号化の調停を行う。このフレーム調停（暗号鍵の付替え又は解除）は、図２を用いて説明する。
【００３４】
（暗号鍵の付替え又は解除）
次に、図２を用いて本発明の一実施形態による車載用ゲートウェイ装置及び車載ネットワークの暗号鍵の付替え又は解除の動作を説明する。
【００３５】
ＥＣＵ１（Ｎ１０１）からＥＣＵ２（Ｎ３０１）及びのＥＣＵ３（Ｎ２０１）へデータを渡したい場合、ＥＣＵ１（Ｎ１０１）で、ＣＡＮフレームの暗号化をしている為、受信側のＥＣＵはデータを受信してもそのままデータを扱う事ができない。そこで車載用ゲートウェイ装置1はＥＣＵ１（Ｎ１０１）からの受信データ４０１をルーティングテーブル３及びセキュリティテーブル５から解決し、復号化アルゴリズム６によりデータ復号化をする。
【００３６】
ルーティングテーブル３の送信先ＥＣＵに見合った暗号化アルゴリズム６により鍵情報８を指定して、データ暗号化する事でデータ強度Ｂ（４０３）とし、送信ＩＤを付け替えて送信する。セキュリティテーブル５の送信先ＥＣＵのＡＳＩＬがＱＭの場合は、暗号化せずに素データ４０２として、送信ＩＤを付け替えて送信する。
【００３７】
次に、図５を用いて、車載用ゲートウェイ装置１の動作を詳細に説明する。ここでは、図２に示すＥＣＵ１が、暗号化したデータ強度Ｄのデータ４００（ＣＡＮフレーム）を、バスＮ６０１を介して送信したと仮定する。なお、データ４００に含まれるＩＤ（識別子）は「１００」である。データ４００（第１データ）は、鍵ＩＤである「Ｄ」が示す暗号鍵（第１暗号鍵）を用いて暗号化されている。
【００３８】
車載用ゲートウェイ装置１は、データ４００を受信する（Ｓ１）。ここで、車載用ゲートウェイ装置１の通信装置１５は、ＩＤ（識別子）を含むデータ４００を受信する受信部として機能する。
【００３９】
車載用ゲートウェイ装置１は、受信したデータ４００（受信データ４０１）が転送の対象であるか否かを判定する（Ｓ２）。
【００４０】
詳細には、車載用ゲートウェイ装置１は、ルーティングテーブル３から「受信データＩＤ」フィールドの値がデータ４００のＩＤ「１００」と一致するレコードを検索する。車載用ゲートウェイ装置１は、検索によりヒットしたレコードの「送信先ＥＣＵ」フィールドの値が自身でない場合（Ｓ２：ＹＥＳ）、Ｓ３へ処理を進め、検索によりヒットしたレコードの「送信先ＥＣＵ」フィールドの値が自身である場合又は検索条件を満たすレコードがない場合（Ｓ２：ＮＯ）、処理を終了する。
【００４１】
図５に示すルーティングテーブル３では、検索により第１レコードがヒットする。車載用ゲートウェイ装置１は、ルーティングテーブル３の第１レコードの「送信先ＥＣＵ」フィールドＤ１の値から送信先ＥＣＵがＥＣＵ２、ＥＣＵ３であり、受信したデータ４００は転送の対象であると判定する。なお、車載用ゲートウェイ装置１は、ルーティングテーブル３の第１レコードの「送信ＩＤ」フィールドから送信するデータのＩＤが１０１、１０２であることを特定する。
【００４２】
ここで、車載用ゲートウェイ装置１のマイコン１１は、データ４００に含まれるＩＤ（識別子）に対応する転送先を特定するルーティング制御部２として機能する。
【００４３】
続いて、車載用ゲートウェイ装置１は、データ４００を送信したＥＣＵ１のＡＳＩＬと送信先のＥＣＵ２、ＥＣＵ３のＡＳＩＬが異なるか否かをそれぞれ判定する（Ｓ３）。
【００４４】
まず、車載用ゲートウェイ装置１は、セキュリティテーブル５を参照し、データ４００を送信したＥＣＵ１のＡＳＩＬを特定する。具体的には、車載用ゲートウェイ装置１は、セキュリティテーブル５から「送信データＩＤ」フィールドの値がデータ４００のＩＤ「１００」と一致するレコードを検索する。図５に示すセキュリティテーブル５では、第１レコードがヒットする。車載用ゲートウェイ装置１は、セキュリティテーブル５の第１レコードの「ＡＳＩＬ」フィールドＤ２の値からデータ４００を送信したＥＣＵ１のＡＳＩＬが「Ｄ」であることを特定する。
【００４５】
次に、車載用ゲートウェイ装置１は、セキュリティテーブル５を参照し、転送先のＥＣＵ２、ＥＣＵ３のＡＳＩＬを特定する。具体的には、車載用ゲートウェイ装置１は、セキュリティテーブル５から「装置名」フィールドの値が、ＥＣＵ２、ＥＣＵ３のデータをそれぞれ検索する。図５に示すセキュリティテーブル５では、第２レコード、第３レコードがそれぞれヒットする。
【００４６】
車載用ゲートウェイ装置１は、セキュリティテーブル５の第２レコードの「ＡＳＩＬ」フィールドＤ２の値から送信先のＥＣＵ２のＡＳＩＬが「ＱＭ」であることを特定する。
同様に、車載用ゲートウェイ装置１は、セキュリティテーブル５の第３レコードの「ＡＳＩＬ」フィールドＤ２の値から送信先のＥＣＵ３のＡＳＩＬが「Ｂ」であることを特定する。
【００４７】
これにより、車載用ゲートウェイ装置１は、データ４００を送信したＥＣＵ１のＡＳＩＬと送信先のＥＣＵ２、ＥＣＵ３のＡＳＩＬがそれぞれ異なると判定する（Ｓ３：ＹＥＳ）。
【００４８】
車載用ゲートウェイ装置１は、セキュリティテーブル５の第１レコードの「暗号方式」フィールドの値からＥＣＵ１が「ＣＭＡＣ」でデータ４００を暗号化したことを特定し、受信したデータ４００を暗号方式「ＣＭＡＣ」で復号化する（Ｓ４）。
【００４９】
車載用ゲートウェイ装置１は、送信先（転送先）のＥＣＵのＡＳＩＬが「ＱＭ」以外であるか否かを判定する（Ｓ５）。図５の例では、送信先のＥＣＵ２のＡＳＩＬは「ＱＭ」であるため、車載用ゲートウェイ装置１は、Ｓ４で復号化したデータ４００から平文の素データ４０２（ＣＡＮフレーム）を生成して送信する（Ｓ７）。また、送信先のＥＣＵ３のＡＳＩＬは「Ｂ」であるため、車載用ゲートウェイ装置１は、Ｓ４で復号化したデータ４００をセキュリティテーブル５の第３レコードの「鍵ＩＤ」フィールドの値「Ｂ」が示す暗号鍵を用いて、Ｓ４で復号化したデータ４００を「暗号方式」フィールドの値「ＨＭＡＣ」で暗号化し（Ｓ６）、データ強度Ｂのデータ４０３（ＣＡＮフレーム）を生成して送信する（Ｓ７）。
【００５０】
換言すれば、車載用ゲートウェイ装置１のマイコン１１は、転送先に要求される安全度を示すＡＳＩＬ（安全度情報）に基づいてデータ４００（第１データ）から転送先に転送するデータ４０２、４０３（第２データ）を生成するセキュリティ制御部４として機能する。また、車載用ゲートウェイ装置１の通信装置１５は、データ４０２、４０３（第２データ）を転送先へ送信する送信部として機能する。
【００５１】
詳細には、マイコン１１（セキュリティ制御部４）は、転送先のＡＳＩＬ（安全度情報）に応じてデータ４０２、４０３（第２データ）の暗号強度を設定する。具体的には、マイコン１１（セキュリティ制御部４）は、転送先のＡＳＩＬ（安全度情報）に応じてデータ４００（第１データ）の暗号鍵を交換する又はデータ４００の暗号化を解除することにより、データ４０２、４０３（第２データ）を生成する。
【００５２】
例えば、マイコン１１（セキュリティ制御部４）は、転送先のＡＳＩＬ（安全度情報）に応じて、第１暗号鍵（鍵ＩＤ＝Ｄ）を用いてデータ４００（第１データ）を復号化し、第１暗号鍵と異なる第２暗号鍵（鍵ＩＤ＝Ｂ）を用いて暗号化することにより、データ４００の暗号鍵を交換し、転送先のＡＳＩＬが最も低い安全度を示す場合、第１暗号鍵（鍵ＩＤ＝Ｄ）を用いてデータ４００を復号化することにより、データ４００の暗号化を解除する。これにより、転送先のＡＳＩＬに応じて、転送先毎にセキュリティを導入できる。
【００５３】
ＥＣＵ２（Ｎ３０１）は、暗号化されていない素データ４０２を受信し、受信した素データ４０２を用いて、所定の処理を行う。一方、ＥＣＵ３（Ｎ２０１）は、車載用ゲートウェイ装置１から配信された鍵ＩＤ「Ｂ」に対応する暗号鍵を用いて、暗号化されたデータ強度Ｂのデータ４０３を復号化し、復号化したデータ用いて所定の処理を行う。
【００５４】
このようにして、ＥＣＵ２（Ｎ３０１）は、素データ４０２を復号化なしでデータ受信のみでデータを取り扱う。ＥＣＵ３（Ｎ２０１）は、データ受信時にデータ強度Ｂのデータ４０３を対象アルゴリズム（ＨＭＡＣ）で復号化しデータを取り扱う。
【００５５】
以上説明したように、本実施形態によれば、車載ネットワークに段階的にセキュリティを導入することができる。具体的には、セキュリティ機能対応ＥＣＵ（復号機能あり）と従来ＥＣＵ（復号機能なし）との混在を許容する事で、セキュリティ導入を容易とする。
また従来ＥＣＵには、変更工数をかけずに、ネットワークにセキュリティ機能をいれる事ができる。ゲートウェイで認証や鍵管理を行う為、ゲートウェイでセキュリティ機能の一元管理がでるので早急な事故対応を可能とする。
【００５６】
なお、本発明は上記した実施形態に限定されるものではなく、様々な変形例が含まれる。例えば、上述した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施形態の構成の一部を他の実施形態の構成に置き換えることが可能であり、また、ある実施形態の構成に他の実施形態の構成を加えることも可能である。また、各実施形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
【００５７】
上記実施形態では、ルーティングテーブル３及びセキュリティテーブル５の各フィールドには予め値が格納されているが、各ＥＣＵから指定して登録するようにしてもよい。
【００５８】
また、上記の各構成、機能等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサ（マイコン）がそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、SSD（Solid State Drive）等の記録装置、または、ICカード、SDカード、DVD等の記録媒体に置くことができる。
【００５９】
なお、本発明の実施形態は、以下の態様であってもよい。
【００６０】
（１）他の車載処理装置と接続された車載処理装置において、前記他の車載処理装置の安全度情報が格納された記憶部と、前記他の車載処理装置に送信されるデータを前記他の車載処理装置の安全度情報に基づいて処理する送信データ処理部と、前記送信用データ処理部で処理されたデータを前記他の車載処理装置へ送信する送信部と、を備える、車載処理装置。
【００６１】
（２）前記送信データ処理部は、前記他の車載処理装置に送信されるデータを暗号化する暗号化部である、（１）に記載の車載処理装置。
【００６２】
（３）前記暗号化部は、前記データを暗号化する際の暗号化レベルを、前記安全度情報に基づいて設定する（２）に記載の車載処理装置。
【００６３】
（４）（１）に記載の車載処理装置において、前記暗号化部は、他の車載用ゲートウェイ装置から送信されたデータに付与された識別番号に基づいて、前記データを処置する他の車載用ゲートウェイ装置を特定した後、前記他の車載処理装置の情報と前記安全度情報とを、照合して、前記データを送信する際の暗号化レベルを設定する。
【００６４】
（５）（１）に記載の車載処理装置において、複数の車載用ゲートウェイ装置の少なくとも１つは、車載処理装置である。
【００６５】
（６）（１）に記載の車載処理装置において、複数の車載処理装置の少なくとも１つは、ＥＣＵである。
【００６６】
（７）（１）に記載の車載処理装置に暗号レベルが複数割り当てられ暗号レベルと、出力先車載装置が対応づけられた設定テーブルを有するゲートウェイ装置。
【００６７】
（８）（１）に記載の車載処理装置に安全度が複数割り当てられ安全度レベルと、暗号レベルが対応づけられた設定テーブルを有するゲートウェイ装置。
【００６８】
（９）（１）に記載の車載処理装置に暗号方式が複数割り当てられ暗号方式と、暗号レベルが対応づけられた設定テーブルを有するゲートウェイ装置。
【符号の説明】
【００６９】
１      車載用ゲートウェイ装置
２      ルーティング制御（部）
３      ルーティングテーブル
４      セキュリティ制御（部）
５      セキュリティテーブル
６      暗号化・復号化アルゴリズム（ＣＭＡＣ）
７      暗号化・復号化アルゴリズム（ＨＭＡＣ）
８      鍵情報
１１    マイコン
１２    ＳＲＡＭ
１３    ＦＬＡＳＨ
１４    入出力装置
１５    通信装置
１００  安全度ＡＳＩＬ−ＤのＥＣＵ
Ｎ１０１  ＥＣＵ１
Ｎ１０２  ＥＣＵ４
Ｎ２００  安全度ＡＳＩＬ−ＢのＥＣＵ
Ｎ２０１  ＥＣＵ３
Ｎ２０２  ＥＣＵ５
Ｎ３００  安全度ＡＳＩＬ−ＱＭのＥＣＵ
Ｎ３０１  ＥＣＵ２
Ｎ３０２  ＥＣＵ６
４００  データ強度Ｄのデータ
４０１  受信データ
４０２  素データ
４０３  データ強度Ｂのデータ
５０１  鍵情報Ｂ
５０２  鍵情報Ｄ
【図１】
0006704458.tif 000002
【図２】
0006704458.tif 000003
【図３】
0006704458.tif 000004
【図４】
0006704458.tif 000005
【図５】
0006704458.tif 000006
【図６】
0006704458.tif 000007