(57)【要約】【課題】セキュリティを強化したより安定した認証処理を可能とする車載制御装置の認証システムを提供する。【解決手段】車両１００に搭載された車載制御装置１１０〜１４０は、通信対象となる外部機器２００の正当性を検証する認証部１１２〜１４２を備える。また、外部機器２００からのアクセス要求を受信する車載制御装置１１０は、各認証部１１２〜１４２の中から選択した少なくとも１つの認証部に外部機器２００の認証を依頼する認証先判定部１１３、及び該認証先判定部１１３が依頼した各認証部１１２〜１４２の認証結果に基づき外部機器２００との通信を管理する通信管理部１１４を備える。【選択図】図１
2013142963.tif 000002
【特許請求の範囲】
【請求項１】
複数の車載制御装置の間で車両データの通信が行われる車両ネットワークにあって前記車載制御装置との通信に対する認証を行う車載制御装置の認証システムであって、
前記複数の車載制御装置は、通信対象の正当性を検証する認証部を備え、
前記複数の車載制御装置のうち、前記通信対象からのアクセス要求を受信する少なくとも１つの車載制御装置は、前記複数の車載制御装置に搭載された認証部から選択した少なくとも１つの認証部に前記通信対象の認証を依頼する認証先判定部を備える
ことを特徴とする車載制御装置の認証システム。
【請求項２】
請求項１に記載の車載制御装置の認証システムにおいて、
前記認証先判定部が、前記通信対象の認証を２以上の認証部に分散した分散認証として依頼するものであり、
前記通信対象からのアクセス要求を受信する少なくとも１つの車載制御装置は、前記認証部による分散認証を通じて得られた全ての認証結果が前記通信対象の正当性を示すときに前記通信対象との通信を許可する通信管理部をさらに備える
ことを特徴とする車載制御装置の認証システム。
【請求項３】
前記認証部は、特定の認証アルゴリズム及び該認証アルゴリズムに基づく認証鍵を用いて前記通信対象の認証を行うものであり、前記複数の車載制御装置の別に認証鍵及び認証アルゴリズムの少なくとも一つが相違する
請求項１または２に記載の車載制御装置の認証システム。
【請求項４】
前記認証先判定部は、前記通信対象からアクセス要求がある都度、前記通信対象の認証の依頼先とする認証部を動的に変更する
請求項１〜３のいずれか一項に記載の車載制御装置の認証システム。
【請求項５】
前記認証部は、前記通信対象の認証を該通信対象との間でのチャレンジアンドレスポンス方式に基づき行うものであって、前記通信対象の認証に際して前記通信対象に特定のチャレンジデータを送信し、該チャレンジデータの応答として前記通信対象から返信されるレスポンスデータと前記チャレンジデータとの照合を通じて前記通信対象の認証を行う
請求項１〜４のいずれか一項に記載の車載制御装置の認証システム。
【請求項６】
前記認証部は、前記通信対象の認証が成立したのち、
ａ．前記通信対象の認証が成立してから所定の期間が経過したとき、及び
ｂ．認証が成立した通信対象に対して定期送信される該通信対象との通信状況を確認する確認データに対する応答がないとき、及び
ｃ．前記通信対象と前記車両ネットワークとの接続状況を電気的に検出し、該検出した結果に基づき前記車両ネットワークを介した前記通信対象と前記車載制御装置との通信の終了が検知できたとき、及び
ｄ．前記通信対象もしくは前記車載制御装置から通信の終了要求があったとき、
の少なくとも１つを条件として、前記認証した前記通信対象の認証結果を無効にする処理を行う
請求項１〜５のいずれか一項に記載の車載制御装置の認証システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、例えば、車両ネットワークと外部のネットワークとの間での認証や、車両に搭載される車載制御装置間での認証に適用して有益な車載制御装置の認証システムに関する。
【背景技術】
【０００２】
近年の自動車等の車両には、ナビゲーションシステムを構成する車載制御装置をはじめ、エンジンやブレーキ等の各種車載機器を電子的に制御する車載制御装置、車両の各種状態を表示するメータ等の機器を制御する車載制御装置などの多くの車載制御装置が搭載されている。そして、車両内では、それら各車載制御装置が通信線により電気的に接続されて車両ネットワークが形成されており、この車両ネットワークを介して各車載制御装置間での各種車両データの送受信が行われている。
【０００３】
また、こうした車両ネットワークに接続される各車載制御装置は車両に搭載されるエンジンやブレーキ等の各種車載機器の制御を担っていることから、それら制御装置が接続されるネットワークそのものに極めて高いセキュリティが要求されている。もっとも、こうした車両ネットワークは本来、外部のネットワークとは隔離されていることから、例えばコントロール・エリア・ネットワーク（ＣＡＮ）等をはじめとする車両ネットワークなどにあっても、送受信されるデータは正規の車載制御装置から送信される正規のデータであることを前提に設計されていることが普通である。
【０００４】
一方、最近は、こうした車両ネットワークと外部のネットワークとの各種データの授受や、車両に設けられたデータ・リンク・コネクタ（ＤＬＣ）に接続された外部機器等との各種データの授受を可能とするシステムの開発が進められている。そして、こうしたシステムでは、そのセキュリティを確保すべく、例えば、アクセス要求を行ってきた外部機器等が正当な通信相手であるか否かを認証する認証システムを導入することも検討されている。
【０００５】
その一例として、例えば特許文献１に記載の認証システムでは、ネットワークに接続された端末装置間で通信が行われる際に、アクセス要求を行う端末装置の利用者により入力されるＩＤやパスワードと、同端末装置に固有のシリアルナンバーやＩＰアドレス、ＭＡＣアドレス等といった複数の情報の提示を、アクセス要求を行ってきた端末装置に要求するようにしている。そして、通信の要求先となる端末装置では、アクセス要求を行ってきた端末装置、すなわち認証対象となる端末装置から提示された複数の情報を用いて同認証対象を認証するようにしている。このように、特許文献１に記載の認証システムによれば、認証対象から提示される複数の情報が認証に用いられる分だけ、不正な装置が正当な端末装置になりすますことが困難となり、認証精度の向上が図られることとなる。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００５−８５１５４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
ところで、特許文献１に記載の認証システムでは、通信の要求先となる端末装置で認証処理が行われることから、この端末装置に対して集中した不正アクセスや、端末装置の脆弱性を狙った攻撃が行われると、この端末装置による認証処理が阻害されることにもなりかねない。すなわち、端末装置とのアクセス要求を行う通信対象は、認証を行う端末装置を容易に特定することができ、同特定した装置に対する攻撃等も容易になっている。このため、認証を通じてネットワークのセキュリティを維持するシステムとしてはなお改良の余地を残すものとなっている。
【０００８】
本発明は、このような実情に鑑みてなされたものであり、その目的は、セキュリティを強化したより安定した認証処理を可能とする車載制御装置の認証システムを提供することにある。
【課題を解決するための手段】
【０００９】
以下、上記課題を解決するための手段及びその作用効果について記載する。
請求項１に記載の発明は、複数の車載制御装置の間で車両データの通信が行われる車両ネットワークにあって前記車載制御装置との通信に対する認証を行う車載制御装置の認証システムであって、前記複数の車載制御装置は、通信対象の正当性を検証する認証部を備え、前記複数の車載制御装置のうち、前記通信対象からのアクセス要求を受信する少なくとも１つの車載制御装置は、前記複数の車載制御装置に搭載された認証部から選択した少なくとも１つの認証部に前記通信対象の認証を依頼する認証先判定部を備えることを要旨とする。
【００１０】
上記構成によれば、例えば、車両ネットワークに繋がるデータ・リンク・コネクタに接続された外部機器等の通信対象が例えば上記認証先判定部を備えた車載制御装置との通信を要求すると、上記認証先判定部は、通信対象の正当性を検証するための認証を認証部に依頼する。このとき、認証先判定部は、自身が搭載された車載制御装置が有する認証部や、他の車載制御装置が有する認証部の中から選択した認証部に通信対象の認証を依頼する。よって、通信対象が或る車載制御装置に対して同車載制御装置との通信を要求しても、この車載制御装置内で通信対象の認証が行われるとは限らない。このため、たとえ不正な通信対象が車載制御装置に通信を要求したとしても、不正な通信対象は、自身を認証する車載制御装置を特定することが困難となる。よって、不正な通信対象は、自身を認証する車載制御装置を特定し、この特定した車載制御装置が行う認証処理を解読して正当な通信対象になりすますことや、特定した車載制御装置に対して各種攻撃を行うことが難しくなる。このため、認証部は、通信対象を認証するための認証処理を不正な通信対象に阻害されることなく安定して行うことが可能となり、通信対象を精度よく安定して認証することが可能となる。
【００１１】
請求項２に記載の発明は、請求項１に記載の車載制御装置の認証システムにおいて、前記認証先判定部が、前記通信対象の認証を２以上の認証部に分散した分散認証として依頼するものであり、前記通信対象からのアクセス要求を受信する少なくとも１つの車載制御装置は、前記認証部による分散認証を通じて得られた全ての認証結果が前記通信対象の正当性を示すときに前記通信対象との通信を許可する通信管理部をさらに備えることを要旨とする。
【００１２】
一般に、車両には、各種車載機器を制御するための多数の車載制御装置が搭載されている。この点、上記構成によれば、こうした車載制御装置に搭載された複数の認証部によって通信対象を認証するための認証処理がそれぞれ行われる。そして、各認証部による認証処理の結果、全ての認証結果が通信対象の正当性を示すとき、車載制御装置に通信を要求してきた通信対象が正当な装置であると判定される。このため、たとえ不正な通信対象が認証部の搭載された車載制御装置を特定して同特定した車載制御装置に対して各種攻撃や認証処理の解読等を試みようとしても、認証処理を行う全ての認証部を特定することは難しい。このため、認証部による認証精度が好適に向上することとなり、通信対象の認証にかかる信頼性が好適に向上されるようになる。
【００１３】
また、こうした車載制御装置は、本来、車載機器を制御する装置であることから、車載制御装置の処理能力は車載機器を制御するために必要十分なものとなっている。このため、認証処理の精度を担保すべく極めて複雑な暗号方式を車載制御装置に実行させようとしても、車載制御装置の性能上、利用可能な暗号方式には限界がある。
【００１４】
この点においても、上記構成によれば、たとえ各認証部が行う個々の認証処理が簡易な処理であったとしても、各認証部による認証処理の認証結果が一つでも通信対象の正当性を否定する結果であるときには、車載制御装置との通信を要求してきた通信対象が不正な装置であると判定することが可能となる。このため、車両に搭載された複数の車載制御装置の演算機能を利用して、通信対象の認証を高精度に行うことが可能となる。また、上記構成によれば、車載制御装置の処理能力を向上させずとも、従来の車載制御装置に認証部を設けるだけで通信対象の認証を実現することが可能となる。これにより、通信対象の認証を行う上で、車載制御装置の簡略化、ひいては、こうした車載制御装置の製造コストが大幅に低減されるようになる。
【００１５】
請求項３に記載の発明は、請求項１または２に記載の車載制御装置の認証システムにおいて、前記認証部は、特定の認証アルゴリズム及び該認証アルゴリズムに基づく認証鍵を用いて前記通信対象の認証を行うものであり、前記複数の車載制御装置の別に認証鍵及び認証アルゴリズムの少なくとも一つが相違することを要旨とする。
【００１６】
通常、通信対象を認証するための認証処理は、認証アルゴリズム及び該認証アルゴリズムに基づく認証鍵を用いて行われる。そして、上記構成によれば、各認証部による認証処理が、認証アルゴリズム及び認証鍵の少なくとも１つが相違する態様で行われる。このため、各認証部は、それぞれ異なる認証アルゴリズムや認証鍵を用いて通信対象を認証する。これにより、たとえ或る認証部の利用する認証アルゴリズムや認証鍵が解読されたり不正取得されたとしても、他の認証部が利用する認証アルゴリズムや認証鍵の秘匿性を継続して維持することが可能となる。よって、不正な通信対象は各認証部が用いる全ての認証アルゴリズムや認証鍵を解読することが極めて困難となり、当該不正な通信対象が各認証部に自身が正当な通信対象であると不正認証させることが的確に抑止される。
【００１７】
請求項４に記載の発明は、請求項１〜３のいずれか一項に記載の車載制御装置の認証システムにおいて、前記認証先判定部は、前記通信対象からアクセス要求がある都度、前記通信対象の認証の依頼先とする認証部を動的に変更することを要旨とする。
【００１８】
上記構成によれば、各車載制御装置とのアクセス要求が行われる都度、通信対象の認証を行う認証部が動的に変更される。このため、不正な通信対象が自身を認証する認証部を一旦特定したとしても、不正な通信対象が次にアクセス要求を行ったときには通信対象を認証する認証部が変更されている。よって、認証処理を行う認証部が不正な通信対象に特定されることが抑制される。また、たとえ、認証処理を行う認証部が一旦特定されたとしても、この特定された認証部が次に行われるアクセス要求の認証処理を実行するとは限らない。このように、上記構成によれば、認証処理を実行する認証部が動的に変更されることで、認証処理の実行主体がさらに特定され難くなり、各認証部による認証処理をより高い信頼性のもとに行うことが可能となる。
【００１９】
請求項５に記載の発明は、請求項１〜４のいずれか一項に記載の車載制御装置の認証システムにおいて、前記認証部は、前記通信対象の認証を該通信対象との間でのチャレンジアンドレスポンス方式に基づき行うものであって、前記通信対象の認証に際して前記通信対象に特定のチャレンジデータを送信し、該チャレンジデータの応答として前記通信対象から返信されるレスポンスデータと前記チャレンジデータとの照合を通じて前記通信対象の認証を行うことを要旨とする。
【００２０】
上記構成によれば、通信対象の認証が、認証部と通信対象との間でのチャレンジアンドレスポンス方式に基づいて行われる。そして、通信対象から或る車載制御装置に対してアクセス要求があると、例えば、上記認証先判定部が選択した認証部に対して同通信対象を認証するための認証依頼を行う。認証依頼を受けた認証部は、通信対象に対してチャレンジデータを送信する。通信対象は、認証部からチャレンジデータを受信すると、例えば、正当な通信対象にのみ予め配布される認証用アルゴリズムや認証用鍵等を用いてチャレンジデータを暗号化する。次いで、通信装置は、暗号化したデータをチャレンジデータに対するレスポンスデータとして、同チャレンジデータを送信してきた認証部に返信する。認証部は、レスポンスデータを受信すると、自身が保有する認証用アルゴリズムや認証用鍵等を用いて、暗号化されたレスポンスデータを復元する。そして、認証部は、復元したレスポンスデータと自身が通信対象に送信したチャレンジデータとが一致するとき、レスポンスデータを返信してきた通信対象が正当な通信対象であると認識する。一方、認証部は、復元したレスポンスデータと自身が通信対象に送信したチャレンジデータとが一致しないとき、レスポンスデータを返信してきた通信対象が不正な通信対象であると認識する。そして、認証部は、この認証結果を認証先判定部に返信する。認証先判定部は、認証部から認証結果を受信すると、例えば、この受信した認証結果に基づいて通信対象と同通信対象がアクセス要求した車載制御装置との通信を許可する。
【００２１】
このように、上記構成によれば、チャレンジアンドレスポンス方式に基づいた認証を通じて、通信対象の認証を行うことが可能となり、より簡易かつ確実な手法によって通信対象の認証を行うことが可能となる。
【００２２】
請求項６に記載の発明は、請求項１〜５のいずれか一項に記載の車載制御装置の認証システムにおいて、前記認証部は、前記通信対象の認証が成立したのち、ａ．前記通信対象の認証が成立してから所定の期間が経過したとき、及びｂ．認証が成立した通信対象に対して定期送信される該通信対象との通信状況を確認する確認データに対する応答がないとき、及びｃ．前記通信対象と前記車両ネットワークとの接続状況を電気的に検出し、該検出した結果に基づき前記車両ネットワークを介した前記通信対象と前記車載制御装置との通信の終了が検知できたとき、及びｄ．前記通信対象もしくは前記車載制御装置から通信の終了要求があったとき、の少なくとも１つを条件として、前記認証した前記通信対象の認証結果を無効にする処理を行うことを要旨とする。
【００２３】
一旦、通信対象の認証が成立したとしても、車両ネットワークのセキュリティをより確実に維持するためには、通信対象に対する認証を所定の条件のもとに無効化することが好ましい。
【００２４】
そこで、上記構成によるように、通信対象の認証が成立してから、例えば、通常想定され得るデータの通信期間が経過したときには、一旦、正当な通信対象として認めた認証を無効化する。このため、一旦、通信対象の認証が成立したことをもって、車載制御装置との通信の許可が長期間に亘って認められることもない。そして、所定期間が経過して以降、通信対象が車載制御装置との通信を行う際には、再び、通信対象の認証が行われる。これにより、通信対象の認証が継続して行われることとなり、ひいては、通信対象の正当性を定期的に検証することが可能となる。
【００２５】
また、上記構成によるように、例えば同通信対象が適正な動作を行っているか否かを確認するための確認データを、認証が一旦成立した通信対象に対して送信する。そして、例えば、確認データに対して返信すべきデータとして予め規定された応答データが通信対象から返信されないときは、通信対象が車載制御装置とのデータ通信を適正に行っていないと推定することが可能である。もしくは、通信対象を、応答データを返信すべき規定を認知していない不正な通信対象であると推定することが可能である。よって、通信対象から応答データが返信されないときにも、通信対象に対する認証を無効化することによって、不正な通信対象を認証後においても車両ネットワークから排除することが可能となる。
【００２６】
また一方、通信対象と車両ネットワークとの通信が行われる際には、例えば車両に搭載されたデータ・リンク・コネクタに電気的に接続されることによって、データ・リンク・コネクタの電位が変化する。同様に、通信対象と車両ネットワークとの通信が行われる際には、車両ネットワーク上の信号が変化する。よって、こうした変化に基づき通信対象と車両ネットワークとの接続状態が解除されたか否かを検知することとすれば、認証が成立した通信対象と車両ネットワークとの通信が終了したか否かを検知することが可能となる。そして、通信対象と車両ネットワークとの通信が終了したときには、一旦成立させた通信対象の認証を無効化することで、通信対象の認証結果を通信が行われる期間に限定して有効なものとすることができる。これにより、通信対象と車載制御装置との通信状況に応じて、認証の無効化を行うことが可能となる。
【００２７】
さらに、上記構成によれば、通信対象と車載制御装置との通信が終了したこと等を条件として通信対象や車載制御装置から通信の終了要求があったときにも、一旦成立させた通信対象の認証が無効化される。これにより、通信対象と車載制御装置との通信が終了したことをもって、通信対象に成立させた認証結果が無効化されることとなり、通信対象に成立させた認証が必要な期間だけ有効となる。また、本構成によれば、例えば、一旦認証の成立した通信対象が不正動作等をしていることを車載制御装置が検知したときにも、通信の終了要求を同車載制御装置が発信することによって通信対象に対する認証結果が無効化される。このため、通信対象との通信が行われる過程で、同通信対象が不正な通信対象であることを車載制御装置が検知、推測したときにも、通信対象に成立させた認証が無効化される。これにより、通信対象の認証の成立後においても、車載制御装置による監視を通じて通信対象の正当性を検証し、その検証結果に基づいて認証の無効化を行うことが可能となる。
【００２８】
このように上記構成によれば、一旦成立させた認証についても、各種条件が満たされたことを条件に事後的に無効とすることで、認証システムとしての一層のセキュリティの向上が図られることとなる。また、上記構成によれば、一旦成立させた認証が各種条件の満たされたことを条件に事後的に無効とされることから、例えば通信対象に対する誤認証が行われたときにも、通信対象に対する誤認証を事後的に是正することが可能ともなる。これにより、認証システムとしてのセキュリティが一層維持されることとなる。
【図面の簡単な説明】
【００２９】
【図１】本発明にかかる車載制御装置の認証システムの第１の実施の形態について、同認証システムが搭載される車両の概略構成を示すブロック図。
【図２】アクセス要求を受信した車載制御装置による認証の依頼手順及び通信の管理手順の一例を示すフローチャート。
【図３】同実施の形態の認証先判定部による認証部への認証依頼態様を示すブロック図。
【図４】同実施の形態の認証部及び通信管理部による外部機器の認証態様を示すブロック図。
【図５】認証依頼を受けた車載制御装置による外部機器の認証手順の一例を示すフローチャート。
【図６】外部機器による車載制御装置との通信手順の一例を示すフローチャート。
【図７】同実施の形態の認証システムによる認証の無効化手順の一例を示すフローチャート。
【図８】同実施の形態の認証システムによる外部機器の認証態様を示すシーケンス図。
【図９】本発明にかかる車載制御装置の認証システムの第２の実施の形態について、同認証システムが搭載される車両の概略構成を示すブロック図。
【図１０】同実施の形態の認証先判定部による認証部への認証依頼態様を示すブロック図。
【図１１】同実施の形態の認証部及び通信管理部による外部機器の認証態様を示すブロック図。
【図１２】本発明にかかる車載制御装置の認証システムの第３の実施の形態について、同認証システムが搭載される車両の概略構成を示すブロック図。
【発明を実施するための形態】
【００３０】
（第１の実施の形態）
以下、本発明にかかる車載制御装置の認証システムを具体化した第１の実施の形態について図１〜図８を参照して説明する。なお、本実施の形態の車載制御装置の認証システムは、車両に搭載された各種車載機器を制御する車載制御装置との通信を行う外部機器の正当性を検証するための認証を行うものである。
【００３１】
図１に示すように、車両１００には、該車両１００に搭載された各種車載機器を電子的に制御する車載制御装置１１０〜１４０等が設けられている。車載制御装置１１０〜１４０は、例えば、エンジンやブレーキ、ステアリング等の各種車両駆動系の機器、エアコンや車両１００の各種状態を表示するメータ等のボディ系の機器、及びカーナビゲーションシステムをはじめとする情報系の機器等を制御する。
【００３２】
こうした車載制御装置１１０〜１４０は、例えば、車両ネットワークを構成する通信線１０１に接続されている。各車載制御装置１１０〜１４０は、当該車載制御装置１１０〜１４０に設けられて通信データの送受信を行う通信部１１１〜１４１と通信線１０１とを介して、車両１００の状態を検出する各種センサの検出結果を示すセンサデータや各種車載機器の制御データなどの通信データを送受信する。なお、本実施の形態では、例えば、車両ネットワークの通信プロトコルとしてコントロール・エリア・ネットワーク（ＣＡＮ）が採用されている。そして、車両１００に予め搭載された車載制御装置１１０〜１４０は、ＣＡＮに規定された通信規定に従って通信データの送受信が行われる。
【００３３】
また、車両１００には、例えば、車載制御装置１１０〜１４０の診断を行う診断機器をはじめとする外部機器２００等が接続されるＤＬＣ１０２が設けられている。
本実施の形態の車載制御装置１１０〜１４０はそれぞれ、例えば、ＤＬＣ１０２に接続されて同車載制御装置１１０〜１４０とのデータ通信に対してアクセス要求を行う外部機器２００等の正当性を検証するための認証を行う認証部１１２〜１４２を有している。認証部１１２〜１４２は、各別の変換アルゴリズムＸ、Ｙ、Ｚ、及びＮとともに用いられる認証鍵Ｘｋ、Ｙｋ、Ｚｋ、及びＮｋを保有している。本実施の形態の認証部１１２〜１４２は、これら認証鍵Ｘｋ、Ｙｋ、Ｚｋ、及びＮｋを外部機器２００の認証に用いる。
【００３４】
また、本実施の形態では、車載制御装置１１０〜１４０のうち、例えば、代表として外部機器２００からアクセス要求が行われる車載制御装置１１０は、アクセス要求を行ってきた外部機器２００の認証処理の依頼先を判定する認証先判定部１１３を備えている。同様に、車載制御装置１１０は、認証先判定部１１３が判定した認証の依頼先から送信される認証結果に基づき外部機器２００との通信を許可するか否かを判断する通信管理部１１４を備えている。通信管理部１１４は、認証結果に基づいて外部機器２００との通信状態を管理する。また、本実施の形態の通信管理部１１４は、外部機器２００の認証成立後、同外部機器２００との通信が継続して行われているか否かを確認するための確認データを外部機器２００に定期送信する。
【００３５】
一方、外部機器２００は、ＤＬＣ１０２を介したデータ通信を行う通信部２０１を有している。また、外部機器２００は、認証部１１２〜１４２による認証処理に際して認証部１１２〜１４２から送信されるデータに対して予め規定された処理を行う認証部２０２を有している。
【００３６】
また、外部機器２００は、車載制御装置１１０〜１４０とのデータ通信が許可された正当な機器等にのみ予め配布される変換アルゴリズムＸ、Ｙ、Ｚ、及びＮ、並びに、認証鍵Ｘｋ、Ｙｋ、Ｚｋ、及びＮｋを有している。ここでの例では、外部機器２００が正当な通信対象であることから、同外部機器２００が有する変換アルゴリズムＸ、Ｙ、Ｚ、及びＮ、並びに、認証鍵Ｘｋ、Ｙｋ、Ｚｋ、及びＮｋは、上記車載制御装置１１０〜１４０が保有するものと同一になっている。
【００３７】
次に、本実施の形態の車載制御装置１１０、車載制御装置１２０〜１４０、及び外部機器２００の動作例を、図２〜図４を参照して説明する。
図２にステップＳ１００として示すように、ＤＬＣ１０２に接続された外部機器２００から、例えば代表として規定された車載制御装置１１０に対してアクセス要求が行われたとする。すると、この車載制御装置１１０を構成する上記認証先判定部１１３は、例えば、ラウンドロビン方式やランダム方式に基づいて外部機器２００の認証の依頼先を動的に選択する。すなわち、本実施の形態では、外部機器２００がアクセス要求を行う都度、認証の依頼先が動的に変更される。
【００３８】
そして、ここでの例では、認証先判定部１１３は、外部機器２００の認証の依頼先として、例えば認証部１１２〜１４２の４つの認証部を選定する。これにより、図３に示すように、外部機器２００の認証依頼を示す信号が認証先判定部１１３から各認証部１１２〜１４２に送信される（図２  ステップＳ１０２）。
【００３９】
次いで、各認証部１１２〜１４２による認証が終了すると、図４に示すように、各認証部１１２〜１４２による外部機器２００の認証結果を示す信号が通信管理部１１４に入力される。
【００４０】
通信管理部１１４は、図２にステップＳ１０３として示すように、各認証部１１２〜１４２の認証結果を受信すると、この認証結果の全てが、外部機器２００が正当な通信対象である旨を示すものであるかを判断する（ステップＳ１０４）。
【００４１】
次いで、通信管理部１１４は、各認証部１１２〜１４２による全ての認証結果が、外部機器２００が正当な通信対象である旨を示すとき、外部機器２００とのデータ通信を許可する（ステップＳ１０４：ＹＥＳ、Ｓ１０５）。その後、外部機器２００が通信を要求してきた車載制御装置１１０〜１４０と同外部機器２００との通信が行われることとなる。
【００４２】
一方、各認証部１１２〜１４２による認証結果のうち、一つでも外部機器２００が正当な通信対象ではない旨を示すとき、通信管理部１１４は、外部機器２００とのデータ通信を禁止する（ステップＳ１０４：ＮＯ、Ｓ１０６）。この結果、外部機器２００が不正な通信対象であるとして、車両ネットワーク内に存在する車載制御装置１１０〜１４０と外部機器２００との通信が禁止されることとなる。
【００４３】
また、各認証部１１２〜１４２の動作例を図５に示すように、各認証部１１２〜１４２は、認証先判定部１１３から外部機器２００の認証依頼を受信すると（ステップＳ２００：ＹＥＳ）、チャレンジアンドレスポンス方式に基づくチャレンジデータをそれぞれ作成する（ステップＳ２０１）。なお、本実施の形態の各認証部１１２〜１４２は、チャレンジデータとして任意の乱数を作成する。
【００４４】
次いで、各認証部１１２〜１４２は、各々作成したチャレンジデータを、認証対象となる外部機器２００に送信する（ステップＳ２０２）。その後、各認証部１１２〜１４２は、各チャレンジデータに対する応答として外部機器２００からそれぞれ送信された各レスポンスデータを受信すると（ステップＳ２０３）、各レスポンスデータを検証する。本実施の形態の各認証部１１２〜１４２は、例えば、認証鍵Ｘｋ、Ｙｋ、Ｚｋ、及びＮｋを用いて各レスポンスデータの正当性を検証する（ステップＳ２０４）。そして、各認証部１１２〜１４２は、検証した結果を、車載制御装置１１０に搭載された通信管理部１１４に送信する（ステップＳ２０５）。
【００４５】
また、一方、外部機器２００は、図６にステップＳ３００として示すように、例えば車載制御装置１１０とのデータ通信を開始すべく、同車載制御装置１１０にアクセス要求を示す信号を送信する（ステップＳ３００）。
【００４６】
次いで、外部機器２００は、上記ステップＳ２０２にて各認証部１１２〜１４２が送信した各チャレンジデータをそれぞれ受信すると（ステップＳ３０１）、これら受信したチャレンジデータの別にレスポンスデータを作成する（ステップＳ３０２）。なお、本実施の形態では、外部機器２００は、変換アルゴリズムＸ、Ｙ、Ｚ、及びＮのもと、認証部２０２が保有する認証鍵Ｘｋ、Ｙｋ、Ｚｋ、及びＮｋを用いてチャレンジデータをレスポンスデータに変換する。次いで、外部機器２００は、作成した各レスポンスデータを、それぞれ認証部１１２〜１４２に返信する（ステップＳ３０３）。
【００４７】
その後、外部機器２００は、認証の結果、通信管理部１１４から通信を要求した車載制御装置１１０への通信が許可されると（ステップＳ３０４：ＹＥＳ）、この車載制御装置１１０とのデータ通信を開始する（ステップＳ３０５）。一方、認証の結果、通信管理部１１４から通信を要求した車載制御装置１１０への通信が禁止されると（ステップＳ３０４：ＹＥＳ）、外部機器２００と車載制御装置１１０等との通信が禁止される（ステップＳ３０６）。よって、不正な通信対象であると認証された外部機器２００は、車載制御装置１１０等との通信が行えないこととなる。
【００４８】
次に、本実施の形態の通信管理部１１４による認証の無効手順を図７を参照して説明する。
図７にステップＳ４００として示すように、外部機器２００の認証が成立すると、認証が成立してからの期間である認証期間のカウントが開始される（ステップＳ４０１）。次いで、外部機器２００との通信が継続して行われているか否かを確認するための確認データが外部機器２００に定期送信される（ステップＳ４０２）。
【００４９】
次いで、ステップＳ４０１にてカウントが開始された認証期間が、外部機器２００に行った認証を一旦無効化する期間として予め規定された無効期間を超えているか否かが判断される（ステップＳ４０３）。そして、無効期間が未だ経過していないときには（ステップＳ４０３：ＮＯ）、先のステップＳ４０２にて定期送信された確認データに対する応答データが外部機器２００から定期的に返信されているか否かが判断される（ステップＳ４０４）。
【００５０】
この判断の結果、応答データが定期的に返信されているときには（ステップＳ４０４：ＮＯ）、車載制御装置１１０と外部機器２００との通信が終了したか否かが判断される（ステップＳ４０５）。なお、車載制御装置１１０と外部機器２００との通信が終了したか否かは、例えば、ＤＬＣ１０２に電気的に接続されていた外部機器２００が同外部機器２００から取り外されることにより生じるＤＬＣ１０２の電圧の変化や、通信の終了に伴う車両ネットワーク上のバスレベルの変化等によって検知される。そして、車載制御装置１１０と外部機器２００との通信が継続されているときには（ステップＳ４０５：ＮＯ）、例えば、外部機器２００や車載制御装置１１０から通信の終了要求があったか否かが判断される（ステップＳ４０６）。なお、外部機器２００や車載制御装置１１０による通信の終了要求は、必要なデータの授受が終了したときに行われる。また、例えば、車載制御装置１１０による通信の終了要求は、例えば、外部機器２００が不正データを大量に送信してきたり、同外部機器２００が車両ネットワークの通信プロトコルにしたがったデータ通信を行っていないときに行われる。
【００５１】
こうして、通信の終了要求が行われていないと（ステップＳ４０６：ＮＯ）、再び、無効期間の経過、応答データの有無、及び通信の終了要求の有無が判断される。その後、無効期間の経過、応答データの有無、及び通信の終了要求といった各条件のうち、一つの条件が満たされると、一旦、認証が成立した外部機器２００の認証結果が無効化される（ステップＳ４０７）。そして、再び、外部機器２００からアクセス要求があると、外部機器２００の認証処理が再度行われることとなる。
【００５２】
以下、本実施の形態の車載制御装置の認証システムの作用を図８を参照して説明する。
図８に示すように、例えば、車両１００のＤＬＣ１０２に接続された外部機器２００が車載制御装置１１０とのアクセス要求を行うと、車載制御装置１１０に搭載された認証先判定部１１３が外部機器２００の認証を例えば各認証部１１２、１２２、及び１３２に依頼する。
【００５３】
各車載制御装置１１０〜１３０に搭載された認証部１１２、１２２、及び１３２は、外部機器２００から認証依頼を受けると、チャレンジアンドレスポンス方式に基づく外部機器２００の認証処理に用いる乱数（Ａ）、（Ｂ）、及び（Ｃ）をそれぞれ発行する。そして、各認証部１１２、１２２、及び１３２は、これら発行した乱数（Ａ）、（Ｂ）、及び（Ｃ）をチャレンジデータとして外部機器２００に送信する。
【００５４】
外部機器２００は、各認証部１１２、１２２、及び１３２が送信したチャレンジデータ（Ａ）、（Ｂ）、及び（Ｃ）を受信すると、各認証鍵Ｘｋ、Ｙｋ、及びＺｋを用いて各変換アルゴリズムＸ、Ｙ、及びＺにしたがった演算を実行する。すなわち、外部機器２００は、各認証部１１２、１２２、及び１３２が保有する各認証鍵Ｘｋ、Ｙｋ、及びＺｋ、並びに各変換アルゴリズムＸ、Ｙ、及びＺと共通の手段を用いてチャレンジデータ（Ａ）、（Ｂ）、及び（Ｃ）に対する演算を行う。この結果、チャレンジデータ（Ａ）、（Ｂ）、及び（Ｃ）が例えば、データ（Ａ’）、（Ｂ”）、及び（Ｃ’”）に変換される。次いで、外部機器２００は、この変換した各データ（Ａ’）、（Ｂ”）、及び（Ｃ’”）を、チャレンジデータ（Ａ）、（Ｂ）、及び（Ｃ）に対するレスポンスデータとして各認証部１１２、１２２、及び１３２に返信する。
【００５５】
各認証部１１２、１２２、及び１３２は、外部機器２００が送信したレスポンスデータ（Ａ’）、（Ｂ”）、及び（Ｃ’”）を受信すると、各変換アルゴリズムＸ、Ｙ、及びＺにしたがった演算を各認証鍵Ｘｋ、Ｙｋ、及びＺｋを用いて実行する。この結果、レスポンスデータ（Ａ’）、（Ｂ”）、及び（Ｃ’”）は、変換される前のデータ、すなわちチャレンジデータ（Ａ）、（Ｂ）、及び（Ｃ）に復元される。各認証部１１２、１２２、及び１３２は、こうしてレスポンスデータ（Ａ’）、（Ｂ”）、及び（Ｃ’”）をチャレンジデータ（Ａ）、（Ｂ）、及び（Ｃ）に復元できると、外部機器２００が正当な通信対象である旨を示す認証結果を通信管理部１１４に送信する。
【００５６】
通信管理部１１４は、各認証結果を受信すると、これら受信した認証結果の全てが外部機器２００の正当性を示しているか否かを検証する。次いで、通信管理部１１４は、認証結果の全てが外部機器２００の正当性を示すものであれば、外部機器２００と車載制御装置１１０との通信を許可する。
【００５７】
こうして、外部機器２００は、アクセス要求を行った車載制御装置１１０とのデータ通信を開始する。
一方、例えば、認証鍵もしくは鍵アルゴリズムの一方が相違するときには、各認証部１１２、１２２、及び１３２は、外部機器２００から返信されたレスポンスデータを元のチャレンジデータに復元できないこととなる。よって、各認証部１１２、１２２、及び１３２は、レスポンスデータを復元できないときには、外部機器２００が不当な旨である旨を示す認証結果を通信管理部１１４に送信する。そして、通信管理部１１４は、この認証結果に基づいて外部機器２００と車載制御装置１１０等とのデータ通信を禁止する。
【００５８】
以上説明したように、本実施の形態にかかる車載制御装置の認証システムによれば、以下の効果が得られるようになる。
（１）車載制御装置１１０〜１４０に、通信対象となる外部機器２００の正当性を検証する認証部１１２〜１４２を設けた。また、外部機器２００からのアクセス要求を受信する車載制御装置１１０に、各認証部１１２〜１４２の中から選択した少なくとも１つに外部機器２００の認証を依頼する認証先判定部１１３を設けた。そして、外部機器２００の認証を、認証先判定部１１３が選択した各認証部１１２〜１４２に行わせた。このため、外部機器２００は、当該外部機器２００を認証する車載制御装置１１０〜１４０を特定し、この特定した車載制御装置１１０〜１４０が行う認証処理を解読して正当な通信対象になりすますことや、特定した車載制御装置１１０〜１４０に対して各種攻撃を行うことが難しくなる。このため、外部機器２００を認証するための認証処理を、不正な通信対象に阻害されることなく安定して行うことが可能となり、通信対象を精度よく安定して認証することが可能となる。
【００５９】
（２）認証先判定部１１３による認証の依頼先として、複数の認証部１１２〜１４２を選択し、それら選択した各認証部１１２〜１４２に外部機器２００の認証を行わせた。また、外部機器２００からのアクセス要求を受信する車載制御装置１１０に、各認証部１１２〜１４２による分散認証を通じて得られた全ての認証結果が外部機器２００の正当性を示すときに外部機器２００との通信を許可する通信管理部を設けた。これにより、不正な通信対象は、自身の認証主体を特定することが一層困難となる。また、このため、車載制御装置１１０〜１４０の処理能力に起因して各認証部１１２〜１４２による個々の認証処理が簡易な処理であったとしても、こうした認証処理が複数の認証部１１２〜１４２に実行されることによって、認証処理の精度が担保される。また、このため、車載制御装置１１０〜１４０の処理能力を特に向上させずとも、従来の車載制御装置に認証部１１２〜１４２等を設けるだけで、外部機器２００の認証を実現することが可能となる。これにより、外部機器２００の認証を行う上で、車載制御装置１１０〜１４０の簡略化、ひいては、こうした車載制御装置１１０〜１４０の製造コストが大幅に低減されるようになる。さらに、上記実施の形態では、たとえ不正な通信対象が、一つの認証部１１２による認証処理を阻害したり、同認証処理を解読して不正に認証を行わせたとしても、その他の認証部１２２〜１４２による認証処理までも阻害したり不正認証させたりすることは極めて困難となる。よって、複数の認証部１１２〜１４２による認証処理を通じて、外部機器２００の認証にかかる信頼性がさらに向上されることとなる。
【００６０】
（３）認証部１１２〜１４２毎に、各別の変換アルゴリズムＸ、Ｙ、Ｚ、及びＮ、並びに各別の認証鍵Ｘｋ、Ｙｋ、Ｚｋ、及びＮｋを保有させた。そして、これら変換アルゴリズムＸ、Ｙ、Ｚ、及びＮ、並びに各別の認証鍵Ｘｋ、Ｙｋ、Ｚｋ、及びＮｋを利用して通信対象の認証を行った。これにより、外部機器２００は、各認証部１１２〜１４２が用いる全ての変換アルゴリズムＸ、Ｙ、Ｚ、及びＮや認証鍵Ｘｋ、Ｙｋ、Ｚｋ、及びＮｋを解読することが極めて困難となる。よって、不正な通信対象が、自身が正当な通信対象であることを各認証部１１２〜１４２に不正認証させることが的確に抑止される。
【００６１】
（４）外部機器２００からアクセス要求がある都度、同外部機器２００の認証の依頼先とする認証部１１２〜１４２を動的に変更させた。このため、たとえ不正な通信対象が一旦、自身を認証する認証部１１２、１２２、１３２、１４２を特定したとしても、不正な通信対象が次にアクセス要求を行ったときには、通信対象を認証する認証部が変更されている。よって、認証処理を行う認証部１１２〜１４２が不正な通信対象に特定されることが抑制される。また、たとえ、認証処理を行う認証部１１２〜１４２が一旦特定されたとしても、この特定された認証部１１２〜１４２が次に行われるアクセス要求の認証処理を実行するとは限らない。これにより、認証処理の実行主体がさらに特定され難くなり、各認証部１１２〜１４２による認証処理をより高い信頼性のもとに行うことが可能となる。
【００６２】
（５）外部機器２００の認証を、該外部機器２００との間でのチャレンジアンドレスポンス方式に基づき行った。これにより、各認証部１１２〜１４２は、チャレンジアンドレスポンス方式に基づいた認証を通じて外部機器２００の認証を行うことが可能となり、より簡易かつ確実な手法によって外部機器２００の認証を行うことが可能となる。
【００６３】
（６）外部機器２００の認証が成立したのち、
ａ．外部機器２００の認証が成立してから所定の期間が経過したとき、及び
ｂ．認証が成立した外部機器２００に対して定期送信される該外部機器２００との通信状況を確認する確認データに対する応答がないとき、及び
ｃ．外部機器２００と車両ネットワークとの接続状況を電気的に検出し、該検出した結果に基づき車両ネットワークを介した外部機器２００と車載制御装置１１０等との通信の終了が検知できたとき、及び
ｄ．外部機器２００もしくは車載制御装置１１０〜１４０から通信の終了要求があったとき、
の少なくとも１つを条件として、認証した外部機器２００の認証結果を無効にする処理を通信管理部１１４に行わせた。これにより、一旦成立させた認証についても、各種条件が満たされたことを条件に事後的に無効とすることで、認証システムとしての一層のセキュリティの向上が図られることとなる。また、これにより、一旦成立させた認証が各種条件の満たされたことを条件に事後的に無効とされることから、例えば通信対象に対する誤認証が行われたときにも、通信対象に対する誤認証を事後的に是正することが可能ともなる。これにより、認証システムとしてのセキュリティが一層維持されることとなる。
【００６４】
（第２の実施の形態）
次に、本発明にかかる車載制御装置の認証システムの実施の形態を、第１の実施の形態との相違点を中心に、先の図１に対応する図である図９〜図１１を参照して説明する。なお、本実施の形態にかかる車載制御装置の認証システムも、その基本的な構成は第１の実施の形態と同等であり、図９〜図１１においても第１の実施の形態と実質的に同一の要素にはそれぞれ同一の符号を付して示し、重複する説明は割愛する。
【００６５】
図９に示すように、本実施の形態の車載制御装置の認証システムでは、車載制御装置１１０の他、車載制御装置１２０Ａ、１３０Ａ、及び１４０Ａも、上記認証先判定部１１３に相当する認証先判定部１２３、１３３、及び１４３を備える構成となっている。同様に、本実施の形態の車載制御装置１２０Ａ、１３０Ａ、及び１４０Ａは、上記通信管理部１１４に相当する通信管理部１２４、１３４、及び１４４を備える構成となっている。また、本実施の形態の各認証部１１２〜１４２は、例えば、各認証部１１２〜１４２が利用する全ての変換アルゴリズムＸ、Ｙ、Ｚ、及びＮ、並びに全ての認証鍵Ｘｋ、Ｙｋ、Ｚｋ、及びＮｋを保有している。なお、変換アルゴリズムＸ、Ｙ、Ｚ、及びＮは、それぞれ各認証部１１２〜１４２に割り当てられた固有の変換アルゴリズムとなっている。同様に、認証鍵Ｘｋ、Ｙｋ、Ｚｋ、及びＮｋは、それぞれ各認証部１１２〜１４２に割り当てられた固有の変換アルゴリズムとなっている。そして、各認証部１１２〜１４２は、自身に割り当てられた変換アルゴリズム及び認証鍵を用いて、上記レスポンスデータの検証を行う。
【００６６】
そして、本実施の形態では、車両ネットワーク内に接続される各車載制御装置１１０〜１４０等の間で行われるデータ通信に際し、通信対象が正当なものであるかが認証されることとなる。
【００６７】
ここで、図１０に示すように、例えば、不正な制御装置１５０が車両ネットワーク内に取り付けられたとする。不正な制御装置１５０は、通信部１５１、及び認証部１５２を有している。しかし、不正な制御装置１５０の認証部１５２は、車両ネットワーク内に正規に取り付けられた装置ではない。よって、不正な制御装置１５０の認証部１５２が独自に備える変換アルゴリズムＡや認証鍵Ａｋは、認証部１１２〜１４２が備える変換アルゴリズムＸ、Ｙ、Ｚ、及びＮ、並びに全ての認証鍵Ｘｋ、Ｙｋ、Ｚｋ、及びＮｋとは相違するものとなっている。
【００６８】
ここで、同図１０に矢印にて示すように、不正な制御装置１５０が例えば車載制御装置１３０Ａにアクセス要求を行うと、車載制御装置１３０Ａの認証先判定部１３３は、例えば不正な制御装置１５０の認証先として車載制御装置１１０、１２０Ａ、及び１４０Ａの認証部１１２、１２２、及び１４２を選定する。そして、認証先判定部１３３は、選定した各認証部１１２、１２２、及び１４２に対して不正な制御装置１５０の認証を依頼する。
【００６９】
各認証部１１２、１２２、及び１４２は、認証先判定部１３３から認証依頼を受けると、例えば、不正な制御装置１５０にチャレンジデータを送信する。次いで、不正な制御装置１５０は、例えば変換アルゴリズムＡ及び認証鍵Ａｋを用いることにより、チャレンジデータに対するレスポンスデータを生成する。そして、不正な制御装置１５０は、生成したレスポンスデータを各認証部１１２、１２２、及び１４２に返信する。また、このとき、不正な制御装置１５０は、例えば車載制御装置１２０Ａに固有の変換アルゴリズムＹ及び認証鍵Ｙｋを解読し、これら解読した変換アルゴリズムＹ及び認証鍵Ｙｋを用いて車載制御装置１２０Ａに対するレスポンスデータを生成したとする。
【００７０】
そして、認証部１１２〜１４２は、不正な制御装置１５０から送信されたレスポンスデータを、各々に割り当てられた変換アルゴリズムＸ、Ｙ、Ｚ、及びＮ、並びに全ての認証鍵Ｘｋ、Ｙｋ、Ｚｋ、及びＮｋを用いて変換する。しかし、各認証部１１２及び１４２は、不正な制御装置１５０が独自の変換アルゴリズムＡ及び認証鍵Ａｋを用いて変換したレスポンスデータを元のチャレンジデータに復元することができない。よって、各認証部１１２及び１４２は、不正な制御装置１５０が不当な通信対象である旨を示す認証結果を車載制御装置１３０の通信管理部１３４に送信する。
【００７１】
一方、車載制御装置１２０Ａの認証部１２２は、例えば、不正な制御装置１５０によって解読された変換アルゴリズムＹ及び認証鍵Ｙｋに基づき生成されたレスポンスデータを受信していることから、不正な制御装置１５０が正当な通信対象である旨を示す認証結果を通信管理部１３４に送信してしまう。
【００７２】
しかし、本実施の形態では、通信管理部１３４に集約される各認証部１１２、１２２、及び１４２による全ての認証結果が不正な制御装置１５０の正当性を示すものではないため、通信管理部１３４は、不正な制御装置１５０が不当な通信対象であると特定することが可能となる。そして、通信管理部１３４は、この特定した不正な制御装置１５０と車載制御装置１１０、１２０Ａ〜１４０Ａとのデータ通信を禁止する。この結果、不正な制御装置１５０が正当な車載制御装置１１０、１２０Ａ〜１４０Ａになりすましたとしても、不正な制御装置１５０は車両ネットワーク内に侵入して不正なデータを車載制御装置１１０、１２０Ａ〜１４０Ａに送信することが不可能となる。
【００７３】
以上説明したように、本実施の形態にかかる車載制御装置の認証システムによれば、前記（１）〜（６）の効果が得られるとともに、さらに以下の効果が得られるようになる。
（７）車載制御装置１２０Ａ、１３０Ａ、及び１４０Ａに、認証先判定部１２３、１３３、及び１４３を設けた。また、車載制御装置１２０Ａ、１３０Ａ、及び１４０Ａに、通信管理部１２４、１３４、及び１４４を設けた。そして、不正な制御装置１５０から車載制御装置１３０Ａにアクセス要求があったとき、不正な制御装置１５０の認証を、車載制御装置１３０Ａの依頼によって、車載制御装置１１０、１２０Ａ、及び１４０Ａの認証部１１２、１２２、及び１４２に行わせた。これにより、車両ネットワーク内に不正な制御装置１５０が取り付けられ、この不正な制御装置１５０が任意の車載制御装置１３０Ａにアクセス要求を行ったときでも、この車載制御装置１３０Ａによる不正な制御装置１５０の認証の依頼や同依頼した認証結果に応じた通信の許否等を行うことが可能となる。また、これにより、車載制御装置１１０、１２０Ａ、及び１４０Ａのいずれにアクセス要求が行われたときでも、各車載制御装置１１０、１２０Ａ、及び１４０Ａによる認証の依頼や同依頼した認証結果に応じた通信の許否等を行うことが可能となる。
【００７４】
（第３の実施の形態）
次に、本発明にかかる車載制御装置の認証システムの実施の形態を、第１の実施の形態との相違点を中心に、先の図１に対応する図である図１２を参照して説明する。なお、本実施の形態にかかる車載制御装置の認証システムも、その基本的な構成は第１の実施の形態と同等であり、図１２においても第１の実施の形態と実質的に同一の要素にはそれぞれ同一の符号を付して示し、重複する説明は割愛する。
【００７５】
図１２に示すように、本実施の形態では、ＤＬＣ１０２と車載制御装置１１０〜１４０との間であって、車載制御装置１１０〜１４０と通信線１０１との接続端であるエントリポイントに、ゲートウェイ１６０が設けられる。ゲートウェイ１６０は、車載制御装置１１０〜１４０間のデータ通信の中継や、車載制御装置１１０〜１４０と外部機器２００との間のデータ通信の中継を行う。
【００７６】
次に、本実施の形態の車載制御装置の認証システムの作用を説明する。
本実施の形態では、外部機器２００が例えば車載制御装置１４０とのアクセス要求を行うと、ゲートウェイ１６０は、外部機器２００のアクセス要求を、認証先判定部１１３及び通信管理部１１４を備えた車載制御装置１１０に転送する。
【００７７】
車載制御装置１１０は、ゲートウェイ１６０から転送されたアクセス要求を受信すると、認証先判定部１１３が選択した認証先に外部機器２００の認証を依頼する。そして、例えば、認証先となる車載制御装置１２０及び１３０の認証部１２２及び１３２によって外部機器２００の認証処理が行われ、その認証結果が車載制御装置１１０の通信管理部１１４に送信される。なお、このとき行われる認証依頼や認証結果を示すデータの授受は、外部機器２００から見て、ゲートウェイ１６０を介した状態で行われる。よって、外部機器２００は、車載制御装置１１０〜１４０間で送受信されるデータの内容を識別することができず、当該外部機器２００に対する認証処理の内容を特定することができない。
【００７８】
次いで、車載制御装置１１０の通信管理部１１４が外部機器２００の認証結果を受信すると、通信管理部１１４は、この認証結果に基づき、外部機器２００にアクセスを許可するか否かを判断する。
【００７９】
こうして、外部機器２００のアクセスが許可されると、ゲートウェイ１６０を介して、外部機器２００と車載制御装置１４０とのデータ通信が行われる。
以上説明したように、本実施の形態にかかる車載制御装置の認証システムによれば、前記（１）〜（６）の効果が得られるとともに、さらに以下の効果が得られるようになる。
【００８０】
（８）外部機器２００と車載制御装置１１０〜１４０との間に、ゲートウェイ１６０を設けた。そして、このゲートウェイ１６０によって、外部機器２００によるアクセス要求を予め固定された車載制御装置１１０に転送した。また、外部機器２００と車載制御装置１１０〜１４０との間のデータ通信を、ゲートウェイ１６０を介して行った。このため、車両ネットワークの外部に存在する外部機器２００は、車両ネットワーク内部で行われる通信データの内容を認識することができない。よって、認証部１１２〜１４２による認証依頼や認証結果を示すデータの授受を、車両ネットワークの外部に存在する外部機器２００に察知されることなく行うことが可能となる。これにより、認証部１１２〜１４２による認証処理にかかる秘匿性が一層向上され、認証部１１２〜１４２による認証処理のセキュリティがさらに向上されることとなる。
【００８１】
（他の実施の形態）
なお、上記各実施の形態は、以下のような形態をもって実施することもできる。
・上記第３の実施の形態では、車両ネットワークにゲートウェイ１６０を設け、通信対象として外部機器２００を想定した。これに限らず、先の第２の実施の形態のように、車両ネットワークにゲートウェイを設けるとともに、車両ネットワーク内部に存在する車載制御装置１１０〜１４０や不正な制御装置１５０を通信対象としてもよい。そして、車載制御装置１１０〜１４０や不正な制御装置１５０の間で行われるデータ通信を、ゲートウェイを介して行ってもよい。この構成では、車載制御装置１１０〜１４０や不正な制御装置１５０が、アクセス要求を行うと、このアクセス要求が予め規定された転送された例えば車載制御装置１１０に転送される。車載制御装置１１０は、認証の依頼先の決定、認証依頼、及び認証依頼の結果として返信される認証結果に基づいて、アクセス要求を行った通信対象の正当性を検証し、通信の許否を判断する。これによれば、車両ネットワーク内に接続された車載制御装置１１０〜１４０や不正な制御装置１５０がいずれの装置に対してアクセス要求を行ったとしても、このアクセス要求が予め規定された車載制御装置１１０に転送される。よって、アクセス要求の転送先として規定された車載制御装置１１０にだけ、認証先判定部１１３や通信管理部１１４を設ければよく、その他の車載制御装置１２０〜１４０をより簡易な構成とすることができる。
【００８２】
・上記第１及び第３の各実施の形態では、外部機器２００の認証依頼を４つの認証部１１２〜１４２に対して行った。また、上記第２の実施の形態では、外部機器２００の認証依頼を、３つの認証部１１２、１２２、及び１４２に対して行った。さらに、こうした外部機器２００の認証後、再びアクセス要求が行われたときは、認証部１１２→認証部１１２、認証部１２２→認証部１１２、認証部１２２、認証部１３２→認証部１１２、認証部１２２、認証部１３２、認証部１４２→認証部１１２→．．といった態様で、外部機器２００の認証依頼先とする認証部の数を動的に変更してもよい。なお、認証依頼先とする認証部が一つであるときには、例えば、認証部１１２→認証部１２２→認証部１３２→認証部１４２→．．といった態様で認証依頼先が動的に変更されることとなる。
【００８３】
・上記第１及び第３の各実施の形態では、アクセス要求を行う通信対象として外部機器２００を想定した。また、上記第２の実施の形態では、アクセス要求を行う通信対象として車両ネットワークに取り付けられた不正な制御装置１５０を想定した。これに限らず、アクセス要求を行う通信対象としては、車両ネットワーク内に接続されるとともに上記認証先判定部及び通信管理部を備えた車載制御装置であってもよい。これによれば、車載制御装置間でのデータ通信に際しても、アクセス要求が行われる都度、車載制御装置の認証が行われることとなる。これにより、車両ネットワーク内のセキュリティがより確実に担保されることとなる。またこの他、車両ネットワークと外部のネットワークとが接続可能なときには、外部のネットワークを介して車両ネットワークに通信要求する装置であってもよい。また、通信対象とは、例えば、ＤＬＣ１０２に接続が可能な携帯情報端末であってもよい。
【００８４】
・上記各実施の形態では、上記ａ〜ｄの少なくとも１つの条件が満たされたことを条件として通信対象の認証結果を無効化した。これに限らず、上記ａ〜ｄの全ての条件が満たされたことを条件として通信対象の認証結果を無効化してもよい。またこの他、一旦、認証が成立した通信対象については、認証結果の無効化を行わないこととしてもよい。
【００８５】
・上記各実施の形態では、通信対象の認証の依頼先として、複数の車載制御装置を選択した。そして、この選択した各車載制御装置が備える認証部による認証結果のうち、一つの認証結果が通信対象の正当性を否定するものであるとき、通信対象が不当であるとして同通信対象との通信を禁止した。これに限らず、例えば、各認証部による認証結果の全てが、通信対象の正当性を否定するものであるとき、通信対象が不当であるとして同通信対象との通信を禁止するようにしてもよい。また、通信対象の正当性を否定する認証結果が１つ以上得られたときには、通信対象の認証を再度行うこととしてもよい。
【００８６】
・上記各実施の形態では、認証部１１２〜１４２毎に、各別の変換アルゴリズムＸ、Ｙ、Ｚ、及びＮ、並びに各別の認証鍵Ｘｋ、Ｙｋ、Ｚｋ、及びＮｋを保有させた。そして、これら変換アルゴリズムＸ、Ｙ、Ｚ、及びＮ、並びに各別の認証鍵Ｘｋ、Ｙｋ、Ｚｋ、及びＮｋを利用して通信対象の認証を行った。これに限らず、共通した一つの変換アルゴリズムを認証部１１２〜１４２に保有させるとともに、各別の認証鍵を認証部１１２〜１４２に保有させることとしてもよい。もしくは、各別の変換アルゴリズムを認証部１１２〜１４２に保有させるとともに、共通した一つの認証鍵を認証部１１２〜１４２に保有させることとしてもよい。またこの他、認証部１１２〜１４２に保有させる変換アルゴリズムや認証鍵とは、共に共通するものであってもよい。
【００８７】
・上記各実施の形態では、通信対象からアクセス要求が行われる都度、認証処理の依頼先を動的に変更することとした。これに限らず、例えば、所定の期間が経過したこと、及び所定数のアクセス要求が行われたことの少なくとも一方を条件として、認証処理の依頼先を動的に変更することとしてもよい。また、認証処理の依頼先を固定することとしてもよい。なお、このように認証処理の依頼先を固定したとしても、アクセス要求の対象となった車載制御装置と、認証処理が行われる車載制御装置とが相違さえすれば、認証処理の行われる車載制御装置が特定されることが困難となり、認証を通じたセキュリティも高く維持されることとなる。
【００８８】
・上記各実施の形態では、通信対象の認証をチャレンジアンドレスポンス方式に基づいて行った。これに限らず、例えば、公開鍵暗号方式に基づくデジタル署名や、メッセージ認証、パスワード認証等を通じて、通信対象の正当性を検証することとしてもよい。これによっても、通信対象は、デジタル署名や、メッセージ認証、パスワード認証等を行う車載制御装置を特定することが困難となり、デジタル署名や、メッセージ認証、パスワード認証等を通じた通信対象の認証を安定して行うことが可能となる。
【００８９】
・上記各実施の形態では、通信対象の認証の依頼先として複数の車載制御装置を選択し、各車載制御装置が備える認証部に通信対象の認証を行わせた。これに限らず、通信対象の認証の依頼先として一つの車載制御装置のみを選択し、この車載制御装置が備える認証部に通信対象の認証を行わせてもよい。これによっても、通信対象は、自身を認証する認証部（車載制御装置）を特定することが困難となり、認証部による認証処理を不正な通信対象等が阻害することが困難となる。
【符号の説明】
【００９０】
１００…車両、１０１…通信線、１０２…データ・リンク・コネクタ、１１０、１２０、１２０Ａ、１３０、１３０Ａ、１４０、１４０Ａ…車載制御装置、１１１、１２１、１３１、１４１…通信部、１１２、１２２、１３２、１４２…認証部、１１３、１２３、１３３…認証先判定部、１１４、１２４、１３４…通信管理部、１５０…不正な制御装置、１５１…通信部、１５２…認証部、１６０…ゲートウェイ、２００…外部機器、２０１…外部機器の通信部、２０２…外部機器の認証部。
【図１】
2013142963.tif 000003
【図２】
2013142963.tif 000004
【図３】
2013142963.tif 000005
【図４】
2013142963.tif 000006
【図５】
2013142963.tif 000007
【図６】
2013142963.tif 000008
【図７】
2013142963.tif 000009
【図８】
2013142963.tif 000010
【図９】
2013142963.tif 000011
【図１０】
2013142963.tif 000012
【図１１】
2013142963.tif 000013
【図１２】
2013142963.tif 000014