(57)【要約】      （修正有）【課題】エンジン始動後のセキュリティ性能が向上した車載制御システムを提供する。【解決手段】車両に備わる該車両の制御装置同士が該車両に備わる通信ネットワークを介して通信する車載制御システムにおいて、第１ＥＣＵは、車両のエンジンの始動を示すエンジン始動情報を取得する車両情報取得部１１と、車両情報取得部が取得したエンジン始動情報に基づいて、該制御装置の通信に使用される鍵の配信タイミングであるかを判定する配信タイミング判定部１２と、配信タイミング判定部の判定結果に応じて、鍵を制御装置へ通信ネットワークを介して配信する配信部１３と、を備える。【選択図】図２
2017157976.tif 000002
【特許請求の範囲】
【請求項１】
車両に備わる前記車両の制御装置同士が前記車両に備わる通信ネットワークを介して通信する車載制御システムにおいて、
前記車両のエンジンの始動を示すエンジン始動情報を取得する車両情報取得部と、
前記車両情報取得部が取得したエンジン始動情報に基づいて、前記制御装置の通信に使用される鍵の配信タイミングであるかを判定する配信タイミング判定部と、
前記配信タイミング判定部の判定結果に応じて、前記鍵を前記制御装置へ前記通信ネットワークを介して配信する配信部と、
を備える車載制御システム。
【請求項２】
前記配信タイミング判定部は、前記車両情報取得部が取得したエンジン始動情報に基づいて、前記エンジンの始動から所定時間が経過した時に前記配信タイミングであると判定する、
請求項１に記載の車載制御システム。
【請求項３】
前記車両情報取得部は、前記車両が走行する状態にあるか否かを示す走行状態情報をさらに取得し、
前記配信タイミング判定部は、前記車両情報取得部が取得したエンジン始動情報及び走行状態情報に基づいて、前記エンジンが始動し且つ前記車両が走行する状態にある時に前記配信タイミングであると判定する、
請求項１に記載の車載制御システム。
【請求項４】
前記鍵の配信が完了しているか否かを報知する報知部をさらに備える、
請求項１から３のいずれか１項に記載の車載制御システム。
【請求項５】
前記配信部は、前記制御装置から前記通信ネットワークを介して受信した前記鍵の配信要求に応じて、前記鍵を該配信要求元の前記制御装置へ前記通信ネットワークを介して配信し、
前記制御装置は、
前記配信部から前記通信ネットワークを介して前記鍵を受信する受信部と、
前記鍵の配信要求をするかの判定に使用される情報を取得する配信要求判定情報取得部と、
前記受信部の前記鍵の受信の有無と前記配信要求判定情報取得部が取得した情報とに基づいて、前記鍵の配信要求を前記配信部へ前記通信ネットワークを介して送信する配信要求部と、を備える、
請求項１から４のいずれか１項に記載の車載制御システム。
【請求項６】
前記配信要求判定情報取得部は、自制御装置が起動してからの経過時間を取得し、
前記配信要求部は、前記受信部の前記鍵の受信なしであり且つ自制御装置が起動してから所定時間が経過した時に、前記鍵の配信要求を前記配信部へ前記通信ネットワークを介して送信する、
請求項５に記載の車載制御システム。
【請求項７】
前記配信要求判定情報取得部は、前記車両が走行する状態にあるか否かを示す走行状態情報を取得し、
前記配信要求部は、前記受信部の前記鍵の受信なしであり且つ前記車両が走行する状態にある時に、前記鍵の配信要求を前記配信部へ前記通信ネットワークを介して送信する、
請求項５に記載の車載制御システム。
【請求項８】
請求項１から７のいずれか１項に記載の車載制御システムを備える車両。
【請求項９】
車両に備わる前記車両の制御装置同士が前記車両に備わる通信ネットワークを介して通信する車載制御システムの鍵配信装置であり、
前記車両のエンジンの始動を示すエンジン始動情報を取得する車両情報取得部と、
前記車両情報取得部が取得したエンジン始動情報に基づいて、前記制御装置の通信に使用される鍵の配信タイミングであるかを判定する配信タイミング判定部と、
前記配信タイミング判定部の判定結果に応じて、前記鍵を前記制御装置へ前記通信ネットワークを介して配信する配信部と、
を備える鍵配信装置。
【請求項１０】
車両に備わる前記車両の制御装置同士が前記車両に備わる通信ネットワークを介して通信する車載制御システムの前記制御装置であり、
前記車両のエンジンの始動を示すエンジン始動情報を取得する車両情報取得部と、
前記車両情報取得部が取得したエンジン始動情報に基づいて、前記制御装置の通信に使用される鍵の配信タイミングであるかを判定する配信タイミング判定部と、
前記配信タイミング判定部の判定結果に応じて、前記鍵を前記制御装置へ前記通信ネットワークを介して配信する配信部と、
を備える制御装置。
【請求項１１】
車両に備わる前記車両の制御装置同士が前記車両に備わる通信ネットワークを介して通信する車載制御システムの鍵配信方法であり、
車両情報取得部が、前記車両のエンジンの始動を示すエンジン始動情報を取得する車両情報取得ステップと、
配信タイミング判定部が、前記車両情報取得部が取得したエンジン始動情報に基づいて、前記制御装置の通信に使用される鍵の配信タイミングであるかを判定する配信タイミング判定ステップと、
配信部が、前記配信タイミング判定部の判定結果に応じて、前記鍵を前記制御装置へ前記通信ネットワークを介して配信する配信ステップと、
を含む鍵配信方法。
【請求項１２】
車両に備わる前記車両の制御装置同士が前記車両に備わる通信ネットワークを介して通信する車載制御システムのコンピュータに、
前記車両のエンジンの始動を示すエンジン始動情報を取得する車両情報取得機能と、
前記車両情報取得機能が取得したエンジン始動情報に基づいて、前記制御装置の通信に使用される鍵の配信タイミングであるかを判定する配信タイミング判定機能と、
前記配信タイミング判定機能の判定結果に応じて、前記鍵を前記制御装置へ前記通信ネットワークを介して配信する配信機能と、
を実現させるためのコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車載制御システム、車両、鍵配信装置、制御装置、鍵配信方法、及びコンピュータプログラムに関する。
【背景技術】
【０００２】
従来、自動車は、ＥＣＵ（Electronic Control Unit：電子制御装置）を有し、ＥＣＵによってエンジン制御等の機能を実現する。ＥＣＵは、コンピュータの一種であり、コンピュータプログラムによって所望の機能を実現する。複数のＥＣＵをＣＡＮ（Controller Area Network）に接続して構成される車載制御システムについてのセキュリティ技術が例えば非特許文献１に記載されている。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】竹森敬祐、“セキュアエレメントを基点とした車載制御システムの保護  −要素技術の整理と考察−”、電子情報通信学会、信学技報、vol. 114、no. 508、pp. 73-78、2015年3月
【発明の概要】
【発明が解決しようとする課題】
【０００４】
従来の車載制御システムのセキュリティ技術では、エンジン始動後のセキュリティ性能の向上を図ることが課題である。例えば、エンジン始動後にＥＣＵ同士が通信する際に、該通信のセキュリティ強度が不十分になる可能性があった。
【０００５】
本発明は、このような事情を考慮してなされたものであり、エンジン始動後のセキュリティ性能の向上を図ることができる車載制御システム、車両、鍵配信装置、制御装置、鍵配信方法、及びコンピュータプログラムを提供することを課題とする。
【課題を解決するための手段】
【０００６】
（１）本発明の一態様は、車両に備わる前記車両の制御装置同士が前記車両に備わる通信ネットワークを介して通信する車載制御システムにおいて、前記車両のエンジンの始動を示すエンジン始動情報を取得する車両情報取得部と、前記車両情報取得部が取得したエンジン始動情報に基づいて、前記制御装置の通信に使用される鍵の配信タイミングであるかを判定する配信タイミング判定部と、前記配信タイミング判定部の判定結果に応じて、前記鍵を前記制御装置へ前記通信ネットワークを介して配信する配信部と、を備える車載制御システムである。
（２）本発明の一態様は、上記（１）の車載制御システムにおいて、前記配信タイミング判定部は、前記車両情報取得部が取得したエンジン始動情報に基づいて、前記エンジンの始動から所定時間が経過した時に前記配信タイミングであると判定する、車載制御システムである。
（３）本発明の一態様は、上記（１）の車載制御システムにおいて、前記車両情報取得部は、前記車両が走行する状態にあるか否かを示す走行状態情報をさらに取得し、前記配信タイミング判定部は、前記車両情報取得部が取得したエンジン始動情報及び走行状態情報に基づいて、前記エンジンが始動し且つ前記車両が走行する状態にある時に前記配信タイミングであると判定する、車載制御システムである。
（４）本発明の一態様は、上記（１）から（３）のいずれかの車載制御システムにおいて、前記鍵の配信が完了しているか否かを報知する報知部をさらに備える、車載制御システムである。
（５）本発明の一態様は、上記（１）から（４）のいずれかの車載制御システムにおいて、前記配信部は、前記制御装置から前記通信ネットワークを介して受信した前記鍵の配信要求に応じて、前記鍵を該配信要求元の前記制御装置へ前記通信ネットワークを介して配信し、前記制御装置は、前記配信部から前記通信ネットワークを介して前記鍵を受信する受信部と、前記鍵の配信要求をするかの判定に使用される情報を取得する配信要求判定情報取得部と、前記受信部の前記鍵の受信の有無と前記配信要求判定情報取得部が取得した情報とに基づいて、前記鍵の配信要求を前記配信部へ前記通信ネットワークを介して送信する配信要求部と、を備える、車載制御システムである。
（６）本発明の一態様は、上記（５）の車載制御システムにおいて、前記配信要求判定情報取得部は、自制御装置が起動してからの経過時間を取得し、前記配信要求部は、前記受信部の前記鍵の受信なしであり且つ自制御装置が起動してから所定時間が経過した時に、前記鍵の配信要求を前記配信部へ前記通信ネットワークを介して送信する、車載制御システムである。
（７）本発明の一態様は、上記（５）の車載制御システムにおいて、前記配信要求判定情報取得部は、前記車両が走行する状態にあるか否かを示す走行状態情報を取得し、前記配信要求部は、前記受信部の前記鍵の受信なしであり且つ前記車両が走行する状態にある時に、前記鍵の配信要求を前記配信部へ前記通信ネットワークを介して送信する、車載制御システムである。
【０００７】
（８）本発明の一態様は、上記（１）から（５）のいずれかの車載制御システムを備える車両である。
【０００８】
（９）本発明の一態様は、車両に備わる前記車両の制御装置同士が前記車両に備わる通信ネットワークを介して通信する車載制御システムの鍵配信装置であり、前記車両のエンジンの始動を示すエンジン始動情報を取得する車両情報取得部と、前記車両情報取得部が取得したエンジン始動情報に基づいて、前記制御装置の通信に使用される鍵の配信タイミングであるかを判定する配信タイミング判定部と、前記配信タイミング判定部の判定結果に応じて、前記鍵を前記制御装置へ前記通信ネットワークを介して配信する配信部と、を備える鍵配信装置である。
【０００９】
（１０）本発明の一態様は、車両に備わる前記車両の制御装置同士が前記車両に備わる通信ネットワークを介して通信する車載制御システムの前記制御装置であり、前記車両のエンジンの始動を示すエンジン始動情報を取得する車両情報取得部と、前記車両情報取得部が取得したエンジン始動情報に基づいて、前記制御装置の通信に使用される鍵の配信タイミングであるかを判定する配信タイミング判定部と、前記配信タイミング判定部の判定結果に応じて、前記鍵を前記制御装置へ前記通信ネットワークを介して配信する配信部と、を備える制御装置である。
【００１０】
（１１）本発明の一態様は、車両に備わる前記車両の制御装置同士が前記車両に備わる通信ネットワークを介して通信する車載制御システムの鍵配信方法であり、車両情報取得部が、前記車両のエンジンの始動を示すエンジン始動情報を取得する車両情報取得ステップと、配信タイミング判定部が、前記車両情報取得部が取得したエンジン始動情報に基づいて、前記制御装置の通信に使用される鍵の配信タイミングであるかを判定する配信タイミング判定ステップと、配信部が、前記配信タイミング判定部の判定結果に応じて、前記鍵を前記制御装置へ前記通信ネットワークを介して配信する配信ステップと、を含む鍵配信方法である。
【００１１】
（１２）本発明の一態様は、車両に備わる前記車両の制御装置同士が前記車両に備わる通信ネットワークを介して通信する車載制御システムのコンピュータに、前記車両のエンジンの始動を示すエンジン始動情報を取得する車両情報取得機能と、前記車両情報取得機能が取得したエンジン始動情報に基づいて、前記制御装置の通信に使用される鍵の配信タイミングであるかを判定する配信タイミング判定機能と、前記配信タイミング判定機能の判定結果に応じて、前記鍵を前記制御装置へ前記通信ネットワークを介して配信する配信機能と、を実現させるためのコンピュータプログラムである。
【発明の効果】
【００１２】
本発明によれば、エンジン始動後のセキュリティ性能の向上を図ることができるという効果が得られる。
【図面の簡単な説明】
【００１３】
【図１】一実施形態に係る自動車１の構成例を示す図である。
【図２】一実施形態に係る第１ＥＣＵ１０の機能構成例を示す図である。
【図３】一実施形態に係る第２ＥＣＵ２０の機能構成例を示す図である。
【図４】一実施形態に係る鍵配信方法の例を示すフローチャートである。
【図５】一実施形態に係る鍵配信方法の例を示すフローチャートである。
【発明を実施するための形態】
【００１４】
以下、図面を参照し、本発明の実施形態について説明する。なお、以下に示す実施形態では、車両として自動車を例に挙げて説明する。
【００１５】
図１は、本実施形態に係る自動車１の構成例を示す図である。図１において、自動車１は、複数のＥＣＵ（電子制御装置）１０，２０と、ＣＡＮ３０と、インフォテイメント（Infotainment）機器１０２と、診断ポート１０４とを備える。ＥＣＵ１０，２０はＣＡＮ３０に接続されている。ＣＡＮ３０は通信ネットワークである。ＣＡＮは車両に搭載される通信ネットワークの一例として知られている。ＥＣＵ１０は、ＣＡＮ３０を介して、ＥＣＵ２０との間でデータを交換する。ＥＣＵ２０は、ＣＡＮ３０を介して、他のＥＣＵ２０との間でデータを交換する。
【００１６】
ＥＣＵ１０，２０は、コンピュータの一種である。ＥＣＵ１０，２０は、自動車１に備わる車載コンピュータである。ＥＣＵ１０，２０は、ＣＰＵ（Central Processing Unit：中央演算処理装置）及びメモリ等から構成される。ＥＣＵ１０，２０のＣＰＵが該ＥＣＵ１０，２０の機能を実現させるためのコンピュータプログラムを実行することによって、該ＥＣＵ１０，２０の機能が実現される。例えば、ＥＣＵ１０，２０は、自動車１内の機器を制御する制御機能を有する。
【００１７】
ＥＣＵ１０を第１ＥＣＵ１０と称する。ＥＣＵ２０を第２ＥＣＵ２０と称する。第１ＥＣＵ１０は、自動車１に搭載されたＥＣＵのうち、ゲートウェイ機能を有するＥＣＵである。第２ＥＣＵ２０は、自動車１に搭載されたＥＣＵのうち、エンジン制御等の機能を有するＥＣＵである。第２ＥＣＵ２０として、例えば、エンジン制御機能を有するＥＣＵ、ハンドル制御機能を有するＥＣＵ、ブレーキ制御機能を有するＥＣＵなどがある。
【００１８】
第１ＥＣＵ１０は、ＣＡＮ３０を介して、第２ＥＣＵ２０と通信する。第２ＥＣＵ２０は、ＣＡＮ３０を介して、他の第２ＥＣＵ２０と通信する。本実施形態において、車載制御システム２は、第１ＥＣＵ１０と第２ＥＣＵ２０とＣＡＮ３０とを備える。
【００１９】
インフォテイメント機器１０２として、例えば、ナビゲーション機能、位置情報サービス機能、音楽や動画などのマルチメディア再生機能、音声通信機能、データ通信機能、インターネット接続機能などを有するものが挙げられる。インフォテイメント機器１０２は、外部機器２００と接続して、外部機器２００とデータを交換する。外部機器２００として、例えば、携帯通信端末やオーディオビジュアル機器などが挙げられる。インフォテイメント機器１０２は第１ＥＣＵ１０に接続される。
【００２０】
診断ポート１０４は、診断ツール２１０を接続する。診断ツール２１０は、診断ポート１０４を介して、第１ＥＣＵ１０や第２ＥＣＵ２０等の更新プログラムのインストールやデータの設定変更などを実行する。診断ポート１０４として、例えばＯＢＤ（On-board Diagnostics）ポートを使用してもよい。
【００２１】
インフォテイメント機器１０２は、第１ＥＣＵ１０を介して、ＣＡＮ３０に接続されている第２ＥＣＵ２０とデータを送受する。第１ＥＣＵ１０は、インフォテイメント機器１０２と第２ＥＣＵ２０との間のデータの送受を監視する。
【００２２】
診断ツール２１０は、診断ポート１０４及び第１ＥＣＵ１０を介して、ＣＡＮ３０に接続されている第２ＥＣＵ２０とデータを送受する。第１ＥＣＵ１０は、診断ツール２１０と第２ＥＣＵ２０との間のデータの送受を監視する。
【００２３】
図２は、本実施形態に係る第１ＥＣＵ１０の機能構成例を示す図である。図２において、第１ＥＣＵ１０は、車両情報取得部１１と、配信タイミング判定部１２と、配信部１３と、報知部１４とを備える。これら各部の機能は、第１ＥＣＵ１０のＣＰＵが該第１ＥＣＵ１０のメモリに格納されているコンピュータプログラムを実行することによって実現される。
【００２４】
車両情報取得部１１は、自動車１のエンジンの始動を示すエンジン始動情報を取得する。車両情報取得部１１は、自動車１のエンジンの始動を制御する第２ＥＣＵ２０から、エンジン始動情報を取得する。例えば、車両情報取得部１１は、自動車１のエンジンの始動を制御する第２ＥＣＵ２０がＣＡＮ３０へ送信した情報をＣＡＮ３０から受信し、該受信した情報からエンジン始動情報を取得する。
【００２５】
車両情報取得部１１は、自動車１が走行する状態にあるか否かを示す走行状態情報をさらに取得してもよい。走行状態情報は、例えば、自動車１の変速機（ギヤ：gear）の状態を示す情報であってもよい。自動車１の変速機の状態として、ドライブレンジやリバースレンジ等の走行する状態と、ニュートラルやパーキング等の走行しない状態とが存在する。走行状態情報として自動車１の変速機の状態を示す情報を使用する場合、車両情報取得部１１は、自動車１の変速機を制御する第２ＥＣＵ２０から、走行状態情報を取得する。例えば、車両情報取得部１１は、自動車１の変速機を制御する第２ＥＣＵ２０がＣＡＮ３０へ送信した情報をＣＡＮ３０から受信し、該受信した情報から走行状態情報を取得する。
【００２６】
配信タイミング判定部１２は、車両情報取得部１１が取得したエンジン始動情報に基づいて、第１ＥＣＵ１０及び第２ＥＣＵ２０の通信に使用される鍵の配信タイミングであるかを判定する。本実施形態では、第１ＥＣＵ１０及び第２ＥＣＵ２０の通信に使用される鍵をセッション鍵と称する。セッション鍵は、通信のセキュリティ強度を高めるために使用される。例えば、セッション鍵は、通信データの暗号化及び復号や、メッセージ認証コード（Message Authentication Code：ＭＡＣ）の生成及び検査などに使用される。
【００２７】
配信タイミング判定部１２は、車両情報取得部１１が取得したエンジン始動情報及び走行状態情報に基づいて、セッション鍵の配信タイミングであるかを判定してもよい。
【００２８】
配信部１３は、配信タイミング判定部１２の判定結果に応じて、セッション鍵を第２ＥＣＵ２０へＣＡＮ３０を介して配信する。配信部１３は、セッション鍵をブロードキャストで送信してもよい。ブロードキャストで送信されたセッション鍵は、ＣＡＮ３０を介して、各第２ＥＣＵ２０で受信される。
【００２９】
配信部１３は、第２ＥＣＵ２０からＣＡＮ３０を介して受信したセッション鍵の配信要求に応じて、セッション鍵を該配信要求元の第２ＥＣＵ２０へＣＡＮ３０を介して配信してもよい。
【００３０】
報知部１４は、セッション鍵の配信が完了しているか否かを報知する。例えば、報知部１４は、自動車１の運転席の表示画面上に、セッション鍵の配信が完了しているか否かを表示してもよい。また、報知部１４は、セッション鍵の配信が完了しているか否かを音声によって報知してもよい。
【００３１】
図３は、本実施形態に係る第２ＥＣＵ２０の機能構成例を示す図である。図３において、第２ＥＣＵ２０は、受信部２１と、配信要求部２２と、配信要求判定情報取得部２３とを備える。これら各部の機能は、第２ＥＣＵ２０のＣＰＵが該第２ＥＣＵ２０のメモリに格納されているコンピュータプログラムを実行することによって実現される。
【００３２】
受信部２１は、第１ＥＣＵ１０からＣＡＮ３０を介してセッション鍵を受信する。配信要求判定情報取得部２３は、セッション鍵の配信要求をするかの判定に使用される情報を取得する。配信要求部２２は、受信部２１のセッション鍵の受信の有無と配信要求判定情報取得部２３が取得した情報とに基づいて、セッション鍵の配信要求を第１ＥＣＵ１０へＣＡＮ３０を介して送信する。
【００３３】
次に図４及び図５を参照して本実施形態に係る第１ＥＣＵ１０及び第２ＥＣＵ２０の各動作を説明する。
【００３４】
図４を参照して本実施形態に係る第１ＥＣＵ１０について説明する。図４は、本実施形態に係る鍵配信方法の例を示すフローチャートである。図４の処理は、例えば、第１ＥＣＵ１０が起動した時に開始される。
【００３５】
（ステップＳ１）第１ＥＣＵ１０において、配信タイミング判定部１２は、車両情報取得部１１が取得したエンジン始動情報に基づいて、セッション鍵の配信タイミングであるかを判定する。又は、配信タイミング判定部１２は、車両情報取得部１１が取得したエンジン始動情報及び走行状態情報に基づいて、セッション鍵の配信タイミングであるかを判定する。この判定の結果、セッション鍵の配信タイミングである場合にはステップＳ２に進み、セッション鍵の配信タイミングではない場合にはステップＳ１を継続する。
【００３６】
（ステップＳ２）配信部１３は、配信タイミング判定部１２の判定結果、セッション鍵の配信タイミングである場合に、セッション鍵を第２ＥＣＵ２０へＣＡＮ３０を介して配信する。配信部１３は、セッション鍵をブロードキャストで送信してもよい。
【００３７】
（ステップＳ３）配信部１３は、第２ＥＣＵ２０へのセッション鍵の配信が完了したかを判断する。具体的には、配信部１３は、各第２ＥＣＵ２０からＣＡＮ３０を介してセッション鍵の受信応答を受信したかを判断する。配信部１３は、該判断の結果、全ての配信先の第２ＥＣＵ２０からセッション鍵の受信応答を受信した場合に、第２ＥＣＵ２０へのセッション鍵の配信が完了したと判断する。一方、配信部１３は、該判断の結果、いずれかの配信先の第２ＥＣＵ２０からセッション鍵の受信応答を受信していない場合には、第２ＥＣＵ２０へのセッション鍵の配信が完了していないと判断する。
【００３８】
ステップＳ３の判断の結果、セッション鍵の配信が完了した場合にはステップＳ４に進み、セッション鍵の配信が完了していない場合にはステップＳ５に進む。
【００３９】
（ステップＳ４）報知部１４は、セッション鍵の配信が完了したことを報知する。例えば、報知部１４は、自動車１の運転席の表示画面上に、セッション鍵の配信が完了したことを示す表示を行う。
【００４０】
（ステップＳ５）配信部１３は、第２ＥＣＵ２０からＣＡＮ３０を介してセッション鍵の配信要求を受信したかを判断する。この判断の結果、セッション鍵の配信要求を受信した場合にはステップＳ６に進み、セッション鍵の配信要求を受信していない場合にはステップＳ３に戻る。
【００４１】
（ステップＳ６）配信部１３は、第２ＥＣＵ２０からＣＡＮ３０を介して受信したセッション鍵の配信要求に応じて、セッション鍵を該配信要求元の第２ＥＣＵ２０へＣＡＮ３０を介して配信する。
【００４２】
（ステップＳ７）図４の処理の終了である場合には本処理を終了し、図４の処理の継続である場合にはステップＳ１に戻る。
【００４３】
図５を参照して本実施形態に係る第２ＥＣＵ２０について説明する。図５は、本実施形態に係る鍵配信方法の例を示すフローチャートである。図５の処理は、例えば、第２ＥＣＵ２０が起動した時に開始される。
【００４４】
（ステップＳ１１）第２ＥＣＵ２０において、受信部２１は、第１ＥＣＵ１０からＣＡＮ３０を介してセッション鍵を受信したかを判断する。例えば、受信部２１は、第１ＥＣＵ１０からＣＡＮ３０を介してブロードキャストによってセッション鍵を受信したかを判断する。
【００４５】
ステップＳ１１の判断の結果、セッション鍵を受信した場合にはステップＳ１２に進み、セッション鍵を受信していない場合にはステップＳ１３に進む。
【００４６】
（ステップＳ１２）受信部２１は、セッション鍵の受信応答を第１ＥＣＵ１０へＣＡＮ３０を介して送信する。
【００４７】
セッション鍵の受信応答として、例えばＣＭＡＣ（Cipher-based Message Authentication Code）を使用してもよい。例えば、受信部２１は、受信応答のＣＭＡＣとして、受信部２１が受信したセッション鍵を使用して、自第２ＥＣＵ２０のＥＣＵ＿ＩＤとカウンタ値との連結データのＣＭＡＣを生成してもよい。該ＥＣＵ＿ＩＤは、該第２ＥＣＵ２０に付与されているＣＡＮの識別子である。該カウンタ値は、該第２ＥＣＵ２０から第１ＥＣＵ１０へ通信データを送信した回数を表す。この場合、上記の図４のステップＳ３において、第１ＥＣＵ１０の配信部１３は、第２ＥＣＵ２０から受信したセッション鍵の受信応答のＣＭＡＣを、自己が配信したセッション鍵を使用して検査する。配信部１３は、該ＣＭＡＣの検査結果が合格である場合には当該第２ＥＣＵ２０へのセッション鍵の配信が完了したと判断し、該ＣＭＡＣの検査結果が不合格である場合には当該第２ＥＣＵ２０へのセッション鍵の配信が完了していないと判断する。セッション鍵の受信応答としてＣＭＡＣを使用することによって、リプレイ攻撃を防ぐことができる。
【００４８】
（ステップＳ１３）配信要求部２２は、受信部２１のセッション鍵の受信の有無と配信要求判定情報取得部２３が取得した情報とに基づいて、セッション鍵の配信要求を行うかを判断する。この判断の結果、セッション鍵の配信要求を行う場合にはステップＳ１４に進み、セッション鍵の配信要求を行わない場合にはステップＳ１１に戻る。
【００４９】
（ステップＳ１４）配信要求部２２は、セッション鍵の配信要求を第１ＥＣＵ１０へＣＡＮ３０を介して送信する。
【００５０】
（ステップＳ１５）図５の処理の終了である場合には本処理を終了し、図５の処理の継続である場合にはステップＳ１１に戻る。
【００５１】
次に本実施形態に係るセッション鍵の配信タイミングの例を説明する。
【００５２】
［セッション鍵の配信タイミングの例１］
セッション鍵の配信タイミングの例１は、自動車１のエンジンが始動してから所定時間が経過した時である。配信タイミング判定部１２は、車両情報取得部１１が取得したエンジン始動情報に基づいて、自動車１のエンジンの始動から所定時間が経過した時に、セッション鍵の配信タイミングであると判定する。配信部１３は、該配信タイミング判定部１２が配信タイミングであると判定すると、セッション鍵を第２ＥＣＵ２０へＣＡＮ３０を介して配信する。これにより、セッション鍵は、自動車１のエンジンの始動から所定時間が経過したタイミングで、第１ＥＣＵ１０から第２ＥＣＵ２０へ配信される。
【００５３】
セッション鍵の配信タイミングの例１によれば、自動車１のエンジンの始動から所定時間（配信タイミングの判定時間）が経過したタイミングで、第１ＥＣＵ１０から第２ＥＣＵ２０へ、セッション鍵の配信が行われる。これにより、自動車１のエンジンの始動によって各第２ＥＣＵ２０が起動又は再起動した場合に、各第２ＥＣＵ２０の動作が安定するまで待ってから、第１ＥＣＵ１０から第２ＥＣＵ２０へセッション鍵を配信することができる。また、各第２ＥＣＵ２０の動作が安定するまでの時間が異なっていても、その差の時間を考慮して配信タイミングの判定時間を設定することにより、セッション鍵の安定的な配信を実現できる。
【００５４】
［セッション鍵の配信タイミングの例２］
セッション鍵の配信タイミングの例２は、自動車１のエンジンが始動し且つ該自動車１が走行する状態にある時である。配信タイミング判定部１２は、車両情報取得部１１が取得したエンジン始動情報及び走行状態情報に基づいて、自動車１のエンジンが始動し且つ該自動車１が走行する状態にある時に、セッション鍵の配信タイミングであると判定する。配信部１３は、該配信タイミング判定部１２が配信タイミングであると判定すると、セッション鍵を第２ＥＣＵ２０へＣＡＮ３０を介して配信する。これにより、セッション鍵は、自動車１のエンジンが始動し且つ該自動車１が走行する状態にあるタイミングで、第１ＥＣＵ１０から第２ＥＣＵ２０へ配信される。例えば、自動車１のエンジン始動後に変速機の状態がドライブレンジになったタイミングで、セッション鍵が第１ＥＣＵ１０から第２ＥＣＵ２０へ配信される。
【００５５】
セッション鍵の配信タイミングの例２によれば、自動車１のエンジンが始動し且つ該自動車１が走行する状態にあるタイミングで、第１ＥＣＵ１０から第２ＥＣＵ２０へ、セッション鍵の配信が行われる。これにより、自動車１が走行するタイミングで、第１ＥＣＵ１０から第２ＥＣＵ２０へセッション鍵を配信することができる。自動車１が走行するタイミングでは、ほとんどの第２ＥＣＵ２０は動作が安定していると考えられるので、セッション鍵の安定的な配信を実現できる。
【００５６】
次に本実施形態に係るセッション鍵の配信要求方法の例を説明する。
【００５７】
［セッション鍵の配信要求方法の例１］
セッション鍵の配信要求方法の例１では、第２ＥＣＵ２０において、第１ＥＣＵ１０からのセッション鍵の受信がなく、且つ、該第２ＥＣＵ２０が起動してから所定時間が経過した時に、第１ＥＣＵ１０に対してセッション鍵の配信要求を行う。配信要求判定情報取得部２３は、自第２ＥＣＵ２０が起動してからの経過時間を取得する。例えば、配信要求判定情報取得部２３は、自第２ＥＣＵ２０のＣＰＵが起動してからの経過時間を計測する。配信要求部２２は、受信部２１のセッション鍵の受信の有無と配信要求判定情報取得部２３が取得した経過時間とに基づいて、受信部２１のセッション鍵の受信なしであり且つ自第２ＥＣＵ２０が起動してから所定時間が経過した時に、セッション鍵の配信要求を第１ＥＣＵ１０へＣＡＮ３０を介して送信する。第１ＥＣＵ１０の配信部１３は、該第２ＥＣＵ２０からＣＡＮ３０を介して受信したセッション鍵の配信要求に応じて、セッション鍵を該配信要求元の第２ＥＣＵ２０へＣＡＮ３０を介して配信する。
【００５８】
セッション鍵の配信要求方法の例１によれば、車載制御システム２に備わる複数の第２ＥＣＵ２０の内、ある第２ＥＣＵ２０の起動が第１ＥＣＵ１０からのセッション鍵の配信タイミングに間に合わなかった場合に、該第２ＥＣＵ２０に対してセッション鍵を再送することができる。これにより、セッション鍵の安定的な配信を実現できる。
【００５９】
［セッション鍵の配信要求方法の例２］
セッション鍵の配信要求方法の例２では、第２ＥＣＵ２０において、第１ＥＣＵ１０からのセッション鍵の受信がなく、且つ、自動車１が走行する状態にある時に、第１ＥＣＵ１０に対してセッション鍵の配信要求を行う。配信要求判定情報取得部２３は、走行状態情報を取得する。走行状態情報の取得方法は、上述した車両情報取得部１１の走行状態情報の取得方法と同じである。配信要求部２２は、受信部２１のセッション鍵の受信の有無と配信要求判定情報取得部２３が取得した走行状態情報とに基づいて、受信部２１のセッション鍵の受信なしであり且つ自動車１が走行する状態にある時に、セッション鍵の配信要求を第１ＥＣＵ１０へＣＡＮ３０を介して送信する。第１ＥＣＵ１０の配信部１３は、該第２ＥＣＵ２０からＣＡＮ３０を介して受信したセッション鍵の配信要求に応じて、セッション鍵を該配信要求元の第２ＥＣＵ２０へＣＡＮ３０を介して配信する。
【００６０】
セッション鍵の配信要求方法の例２によれば、車載制御システム２に備わる複数の第２ＥＣＵ２０の内、ある第２ＥＣＵ２０の起動が第１ＥＣＵ１０からのセッション鍵の配信タイミングに間に合わなかった場合に、該第２ＥＣＵ２０に対してセッション鍵を再送することができる。これにより、セッション鍵の安定的な配信を実現できる。
【００６１】
なお、上述のセッション鍵の配信要求方法の例２において、セッション鍵の配信要求を実行する条件としてさらに、自動車１のエンジンが始動してから所定時間が経過している時を追加してもよい。この場合、配信要求判定情報取得部２３は、さらにエンジン始動情報を取得する。エンジン始動情報の取得方法は、上述した車両情報取得部１１のエンジン始動情報の取得方法と同じである。配信要求部２２は、受信部２１のセッション鍵の受信の有無と配信要求判定情報取得部２３が取得した走行状態情報及びエンジン始動情報とに基づいて、受信部２１のセッション鍵の受信なしであり且つ自動車１が走行する状態にある時であり且つ自動車１のエンジンの始動から所定時間が経過している時に、セッション鍵の配信要求を第１ＥＣＵ１０へＣＡＮ３０を介して送信する。第１ＥＣＵ１０の配信部１３は、該第２ＥＣＵ２０からＣＡＮ３０を介して受信したセッション鍵の配信要求に応じて、セッション鍵を該配信要求元の第２ＥＣＵ２０へＣＡＮ３０を介して配信する。
【００６２】
上述した実施形態によれば、自動車１において、エンジン始動後にＥＣＵ同士が通信する際の通信のセキュリティ強度を向上させる効果が得られる。
【００６３】
なお、第１ＥＣＵ１０から第２ＥＣＵ２０へ配信するセッション鍵のデータ長が長いために、ＣＡＮ３０を介して１回で該セッション鍵を配信できない場合には、複数回に分けて該セッション鍵を配信してもよい。
【００６４】
また、第１ＥＣＵ１０は、第２ＥＣＵ２０へセッション鍵を配信する際に、該セッション鍵と共に使用される情報を一緒に配信してもよい。例えば、第１ＥＣＵ１０は、ＭＡＣの生成及び検査にセッション鍵が使用される場合において、該ＭＡＣの生成及び検査に使用される他の情報を該セッション鍵と一緒に第２ＥＣＵ２０へ配信してもよい。例えば、第１ＥＣＵ１０は、通信データの送信回数のカウント値がＭＡＣの生成及び検査に使用される場合に、該カウント値の初期値をセッション鍵と一緒に第２ＥＣＵ２０へ配信してもよい。
【００６５】
また、上記の図５のステップＳ１２では、第２ＥＣＵ２０から第１ＥＣＵ１０へセッション鍵の受信応答を行ったが、セッション鍵の受信応答は必須ではない。第２ＥＣＵ２０から第１ＥＣＵ１０へセッション鍵の受信応答を行わない場合、第１ＥＣＵ１０は、第２ＥＣＵ２０が該セッション鍵を使用する通信を監視し、この監視結果に基づいて第２ＥＣＵ２０へのセッション鍵の配信が完了したかを判断する。例えば、第２ＥＣＵ２０が送信する通信データに含まれるＭＡＣがセッション鍵を使用して生成される場合、第１ＥＣＵ１０は、第２ＥＣＵ２０が送信した通信データに含まれるＭＡＣを該第１ＥＣＵ１０が配信したセッション鍵を使用して検査する。第１ＥＣＵ１０は、該ＭＡＣの検査結果が合格である場合には当該第２ＥＣＵ２０へのセッション鍵の配信が完了したと判断し、該ＭＡＣの検査結果が不合格である場合には当該第２ＥＣＵ２０へのセッション鍵の配信が完了していないと判断する。該ＭＡＣとして、例えばＣＭＡＣを使用してもよい。例えば、該ＣＭＡＣは、第２ＥＣＵ２０が送信した通信データに含まれる送信データと、カウンタ値との連結データに対して、セッション鍵を使用して生成されるＣＭＡＣであってもよい。該カウンタ値は、該第２ＥＣＵ２０から宛先の第２ＥＣＵ２０へ通信データを送信した回数を表す。
【００６６】
本実施形態において、第１ＥＣＵ１０は鍵配信装置に対応する。
【００６７】
以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。
【００６８】
上述した実施形態では、第１ＥＣＵ１０が鍵配信装置の機能を有したが、鍵配信装置をＣＡＮ３０に接続する単独の装置として別個に設けてもよい。
【００６９】
また、車両に搭載される通信ネットワークとして、ＣＡＮ以外の通信ネットワークを自動車１に備え、ＣＡＮ以外の通信ネットワークを介して、第１ＥＣＵ１０と第２ＥＣＵ２０との間のデータの交換、及び、第２ＥＣＵ２０同士の間のデータの交換が行われてもよい。例えば、ＬＩＮ（Local Interconnect Network）を自動車１に備えてもよい。また、ＣＡＮとＬＩＮとを自動車１に備えてもよい。また、自動車１において、ＬＩＮに接続する第２ＥＣＵ２０を備えてもよい。また、第１ＥＣＵ１０は、ＣＡＮとＬＩＮとに接続されてもよい。また、第１ＥＣＵ１０は、ＣＡＮを介して該ＣＡＮに接続される第２ＥＣＵ２０との間でデータを交換し、また、ＬＩＮを介して該ＬＩＮに接続される第２ＥＣＵ２０との間でデータを交換してもよい。また、第２ＥＣＵ２０同士が、ＬＩＮを介してデータを交換してもよい。
【００７０】
上述した実施形態では、車両として自動車を例に挙げたが、原動機付自転車や自動二輪等の自動車以外のエンジンを使用する他の車両にも適用可能である。
【００７１】
また、上述した第１ＥＣＵ１０又は第２ＥＣＵ２０の機能を実現するためのコンピュータプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するようにしてもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Digital Versatile Disc）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。
【００７２】
さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Dynamic Random Access Memory））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【符号の説明】
【００７３】
１…自動車、２…車載制御システム、１０…第１ＥＣＵ、２０…第２ＥＣＵ、３０…ＣＡＮ、１１…車両情報取得部、１２…配信タイミング判定部、１３…配信部、１４…報知部、２１…受信部、２２…配信要求部、２３…配信要求判定情報取得部、１０２…インフォテイメント機器、１０４…診断ポート
【図１】
2017157976.tif 000003
【図２】
2017157976.tif 000004
【図３】
2017157976.tif 000005
【図４】
2017157976.tif 000006
【図５】
2017157976.tif 000007
【手続補正書】
【提出日】平成29年7月10日(2017.7.10)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
車両に備わる前記車両の制御装置同士が前記車両に備わる通信ネットワークを介して通信する車載制御システムにおいて、
前記車両のエンジンの始動を示すエンジン始動情報を取得する車両情報取得部と、
前記車両情報取得部が取得したエンジン始動情報に基づいて、前記制御装置の通信に使用される鍵の配信タイミングであるかを判定する配信タイミング判定部と、
前記配信タイミング判定部の判定結果に応じて、前記鍵を前記制御装置へ前記通信ネットワークを介して配信する配信部と、を備え、
前記配信タイミング判定部は、前記車両情報取得部が取得したエンジン始動情報に基づいて、前記エンジンの始動から所定時間が経過した時に前記配信タイミングであると判定する、
車載制御システム。
【請求項２】
前記所定時間は、前記エンジンの始動によって複数の前記制御装置が起動又は再起動した場合に各前記制御装置の動作が安定するまでの時間の差に基づいて設定された時間である、
請求項１に記載の車載制御システム。
【請求項３】
前記鍵の配信が完了しているか否かを報知する報知部をさらに備える、
請求項１又は２のいずれか１項に記載の車載制御システム。
【請求項４】
前記配信部は、前記制御装置から前記通信ネットワークを介して受信した前記鍵の配信要求に応じて、前記鍵を該配信要求元の前記制御装置へ前記通信ネットワークを介して配信し、
前記制御装置は、
前記配信部から前記通信ネットワークを介して前記鍵を受信する受信部と、
前記鍵の配信要求をするかの判定に使用される情報を取得する配信要求判定情報取得部と、
前記受信部の前記鍵の受信の有無と前記配信要求判定情報取得部が取得した情報とに基づいて、前記鍵の配信要求を前記配信部へ前記通信ネットワークを介して送信する配信要求部と、を備える、
請求項１から３のいずれか１項に記載の車載制御システム。
【請求項５】
前記配信要求判定情報取得部は、自制御装置が起動してからの経過時間を取得し、
前記配信要求部は、前記受信部の前記鍵の受信なしであり且つ自制御装置が起動してから所定時間が経過した時に、前記鍵の配信要求を前記配信部へ前記通信ネットワークを介して送信する、
請求項４に記載の車載制御システム。
【請求項６】
前記配信要求判定情報取得部は、前記車両が走行する状態にあるか否かを示す走行状態情報を取得し、
前記配信要求部は、前記受信部の前記鍵の受信なしであり且つ前記車両が走行する状態にある時に、前記鍵の配信要求を前記配信部へ前記通信ネットワークを介して送信する、
請求項４に記載の車載制御システム。
【請求項７】
請求項１から６のいずれか１項に記載の車載制御システムを備える車両。
【請求項８】
車両に備わる前記車両の制御装置同士が前記車両に備わる通信ネットワークを介して通信する車載制御システムの鍵配信装置であり、
前記車両のエンジンの始動を示すエンジン始動情報を取得する車両情報取得部と、
前記車両情報取得部が取得したエンジン始動情報に基づいて、前記制御装置の通信に使用される鍵の配信タイミングであるかを判定する配信タイミング判定部と、
前記配信タイミング判定部の判定結果に応じて、前記鍵を前記制御装置へ前記通信ネットワークを介して配信する配信部と、を備え、
前記配信タイミング判定部は、前記車両情報取得部が取得したエンジン始動情報に基づいて、前記エンジンの始動から所定時間が経過した時に前記配信タイミングであると判定する、
鍵配信装置。
【請求項９】
車両に備わる前記車両の制御装置同士が前記車両に備わる通信ネットワークを介して通信する車載制御システムの前記制御装置であり、
前記車両のエンジンの始動を示すエンジン始動情報を取得する車両情報取得部と、
前記車両情報取得部が取得したエンジン始動情報に基づいて、前記制御装置の通信に使用される鍵の配信タイミングであるかを判定する配信タイミング判定部と、
前記配信タイミング判定部の判定結果に応じて、前記鍵を前記制御装置へ前記通信ネットワークを介して配信する配信部と、を備え、
前記配信タイミング判定部は、前記車両情報取得部が取得したエンジン始動情報に基づいて、前記エンジンの始動から所定時間が経過した時に前記配信タイミングであると判定する、
制御装置。
【請求項１０】
車両に備わる前記車両の制御装置同士が前記車両に備わる通信ネットワークを介して通信する車載制御システムの鍵配信方法であり、
車両情報取得部が、前記車両のエンジンの始動を示すエンジン始動情報を取得する車両情報取得ステップと、
配信タイミング判定部が、前記車両情報取得部が取得したエンジン始動情報に基づいて、前記制御装置の通信に使用される鍵の配信タイミングであるかを判定する配信タイミング判定ステップと、
配信部が、前記配信タイミング判定部の判定結果に応じて、前記鍵を前記制御装置へ前記通信ネットワークを介して配信する配信ステップと、を含み、
前記配信タイミング判定部は、前記車両情報取得部が取得したエンジン始動情報に基づいて、前記エンジンの始動から所定時間が経過した時に前記配信タイミングであると判定する、
鍵配信方法。
【請求項１１】
車両に備わる前記車両の制御装置同士が前記車両に備わる通信ネットワークを介して通信する車載制御システムのコンピュータに、
前記車両のエンジンの始動を示すエンジン始動情報を取得する車両情報取得機能と、
前記車両情報取得機能が取得したエンジン始動情報に基づいて、前記制御装置の通信に使用される鍵の配信タイミングであるかを判定する配信タイミング判定機能と、
前記配信タイミング判定機能の判定結果に応じて、前記鍵を前記制御装置へ前記通信ネットワークを介して配信する配信機能と、
を実現させるためのコンピュータプログラムであり、
前記配信タイミング判定機能は、前記車両情報取得機能が取得したエンジン始動情報に基づいて、前記エンジンの始動から所定時間が経過した時に前記配信タイミングであると判定する、
コンピュータプログラム。