(57)【要約】【課題】複数のモジュール間で行われるデータ通信のセキュリティを高める。【解決手段】ユーザによる要求の要求元であるマスタ１１、１２と、ユーザによる要求の要求先であるスレーブ２１、２２と、ユーザ認証部１０２及びアドレスデコーダ１０４を有し、マスタ１１、１２及びスレーブ２１、２２を接続するデータ伝送路に配置された制御モジュール１と、制御モジュール１の内部又は外部に備えられ、マスタ１１、１２及びスレーブ２１、２２に対して割り振られるアクセス権テーブル２００を持つバスフィルタリング部１０３とを備える。【選択図】図１
2017108218.tif 000002
【特許請求の範囲】
【請求項１】
ユーザによる要求の要求元であるマスタと、
ユーザによる要求の要求先であるスレーブと、
ユーザ認証部及びアドレスデコーダを有し、前記マスタ及び前記スレーブを接続するデータ伝送路に配置された制御モジュールと、
前記制御モジュールの内部又は外部に備えられ、前記マスタ及び前記スレーブに対して割り振られるアクセス権テーブルを持つバスフィルタリング部と、
を備えたことを特徴とするデータ通信制御システム。
【請求項２】
前記ユーザ認証部は、ユーザＩＤ、パスワード及びアクセス権テーブルを格納するためのＦｌａｓｈＲＯＭ、ＣＰＵ及びＲＡＭを備えたことを特徴とする請求項１に記載のデータ通信制御システム。
【請求項３】
前記ＦｌａｓｈＲＯＭにレジスタコントローラを接続すると共に、前記レジスタコントローラにレジスタを接続し、システムの起動時又は前記ＦｌａｓｈＲＯＭのデータ更新時に、前記レジスタに前記ＦｌａｓｈＲＯＭのデータを格納させることを特徴とする請求項２に記載のデータ通信制御システム。
【請求項４】
前記制御モジュールは、前記マスタに対して前記要求が失敗したことを通知する信号線を持ち、前記ユーザによる要求が前記ユーザ認証部で拒否されたとき、前記信号線を用いて前記マスタに前記要求が失敗したことを通知することを特徴とする請求項１乃至請求項３のいずれか１項に記載のデータ通信制御システム。
【請求項５】
前記アクセス権テーブルは、前記マスタ及び前記スレーブに割り当てられるアクセス権テーブルよりも細かい区切りで権限が設定されていることを特徴とする請求項１乃至請求項４のいずれか１項に記載のデータ通信制御システム。
【請求項６】
前記マスタと前記スレーブとの間に、バスアービタによってバス権が調停されるマルチプレクサと、アドレスデコーダから出力されるスレーブ選択情報に応じて前記スレーブから出力されるデータ信号を選択するマルチプレクサとを備え、前記バスアービタとして、前記マスタと前記スレーブとの間のアクセス許可機能を持ったものを備えたことを特徴とする請求項１乃至請求項５のいずれか１項に記載のデータ通信制御システム。
【請求項７】
前記制御モジュールは、マスタポートの機能を併せ持ち、前記マスタポートからこれに接続された前記スレーブにアクセスして、前記スレーブの機器ＩＤを読み取り、読み取られた機器ＩＤから前記スレーブを判定して、デフォルトのアクセス権を前記制御モジュールが自動で設定することを特徴とする請求項１乃至請求項６のいずれか１項に記載のデータ通信制御システム。
【請求項８】
前記データ伝送路は、イーサネット（登録商標）であることを特徴とする請求項１乃至請求項７のいずれか１項に記載のデータ通信制御システム。
【請求項９】
前記データ伝送路は、が無線によるデータ伝送路であることを特徴とする請求項１乃至請求項７のいずれか１項に記載のデータ通信制御システム。
【請求項１０】
ユーザによる要求の要求元であるマスタとユーザによる要求の要求先であるスレーブとの間のデータの送受信を、ユーザ認証部及びアドレスデコーダを有し、前記マスタ及び前記スレーブを接続するデータ伝送路に配置された制御モジュールと、前記制御モジュールの内部又は外部に備えられ、前記マスタ及び前記スレーブに対して割り振られるアクセス権テーブルを持つバスフィルタリング部とを用いて行うことを特徴とするデータ通信制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データ通信制御システム及びデータ通信制御方法に関する。
【背景技術】
【０００２】
近年、電子情報を取り扱う機器においては、高度なセキュリティを必要とするものが増加している。また、複数のモジュールが連携してサービスを提供する機器においては、複数のモジュールを連携させる中でもセキュリティを保つことが要求されるようになっている。それと同時に、ユーザ認証によるアクセス制御機能などセキュリティ機能に対する要求についても複雑化が進んでいる。
【０００３】
従来、電子情報を取り扱う機器において高度なセキュリティシステムを構築する方法としては、Ｔｒｕｓｔｅｄ  Ｐｌａｔｆｏｒｍ  Ｍｏｄｕｌｅ（セキュリティチップ：以下「ＴＰＭ」と略称する。）を利用して信頼性の根幹となる部分を構築する方法や、ＴＰＭに接続される各モジュールを認証することで機器を安全に運用し、ユーザ認証に基づいてアクセスに制限をかける方法などが提案されている（例えば特許文献１参照。）。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来のセキュリティシステムの構築方法は、ＴＰＭについてはもちろんのこと、認証される側のモジュールについても、セキュリティに携わる可能性があるものに関しては、機器認証情報、機器ＩＤ、ハッシュ機能といった何らかのセキュリティ機能やセキュリティ情報が必要であった。加えて、各モジュールをアクセス制御に対応させる場合には、相応のスペックが各モジュールに求められる上に、機器にデータが入ってきてから各モジュールが動作するまでのデータのフローが制約されるという問題があった。
【０００５】
一方、車載機器などの近年急速にセキュリティの需要が高まった機器については、ユーザ毎の個別情報の管理要求などの複雑なセキュリティ機能が要求される反面、セキュリティの要求がモジュールに求められてから間もないため、ＴＰＭと連携できるようなセキュリティ機能を持ったモジュールが多くは存在しない。なお、カメラモジュールやセンサモジュールなどの安価な装置に対してセキュリティのためだけに高性能のＣＰＵ（中央処理装置）を搭載することは、コスト面からも現実的ではない。
【０００６】
つまり、急速にセキュリティの需要が高まってきた機器は、その機器を構成する全てのモジュールについてのセキュリティ対応が追いつかないため、セキュリティホールを生じたり、セキュリティの需要はあっても実現が難しいという問題が有している。
【０００７】
本発明は、このような従来技術の課題を解決するためになされたものであり、複数のモジュール間で行われるデータ通信のセキュリティを高めることを目的とする。
【課題を解決するための手段】
【０００８】
上記課題を解決するために、本発明の一態様は、ユーザによる要求の要求元であるマスタと、ユーザによる要求の要求先であるスレーブと、ユーザ認証部及びアドレスデコーダを有し、前記マスタ及び前記スレーブを接続するデータ伝送路に配置された制御モジュールと、前記制御モジュールの内部又は外部に備えられ、前記マスタ及び前記スレーブに対して割り振られるアクセス権テーブルを持つバスフィルタリング部と、を備えたことを特徴とする。
【発明の効果】
【０００９】
本発明によれば、複数のモジュール間で行われるデータ通信のセキュリティが高められる。
【図面の簡単な説明】
【００１０】
【図１】実施形態に係るデータ通信制御システムのシステム構成図である。
【図２】第１実施例に係る通信制御システムのシステム構成図である。
【図３】第１実施例に係る通信制御システムに備えられるバス制御モジュールの制御構成を示すブロック図である。
【図４】第１実施例に係る通信制御システムに格納されるアクセス権テーブルを例示する図である。
【図５】第２実施例に係る通信制御システムのシステム構成図である。
【図６】第１及び第２実施例に係る通信制御システムの動作手順を示すシーケンス図である。
【図７】第３実施例に係る通信制御システムに備えられるバス制御モジュールの制御構成を示すブロック図である。
【図８】第４実施例に係る通信制御システムに備えられるバス制御モジュールの制御構成を示すブロック図である。
【図９】第６実施例に係る通信制御システムに備えられるバス制御モジュールの制御構成を示すブロック図である。
【図１０】本発明の実施形態に係る加熱装置の第２例を示す構成図である。
【図１１】他の実施形態に係るデータ通信制御システムのシステム構成図である。
【図１２】さらに他の実施形態に係るデータ通信制御システムのシステム構成図である。
【発明を実施するための形態】
【００１１】
自動車には、エンジンコントロールモジュール、ナビゲーションモジュール、車載カメラモジュール及びこれら各モジュールの駆動制御を行う駆動制御モジュールなど、数多くのモジュールが搭載されており、これらの各モジュールはバスを介して接続されている。自動車の走行を制御するためには、これらのモジュールが連携する必要があるが、例えば車載カメラモジュールとして使用されるのは汎用的なカメラであることが多く、認証機能を持ち合わせていない場合が多い。
【００１２】
このため、従来においては、自動車のユーザが望まない場合にも、車載カメラが撮影した自宅近辺の映像などのセンシティブな情報が外部に流出する恐れがある。このような問題の発生を回避するためには、ユーザの要望に応じて車載された各モジュールにアクセスできる範囲を変えるといったアクセス制御を実施することが望ましい。
【００１３】
しかしながら、アクセス制御を実施するために数多くのモジュールを認証機能付きのモジュールに置き換えることはコスト面で大きな負担になるし、そもそも車載された全てのモジュールが認証機能に対応するとは限らない。また、自動車には、センサなどの安価なパーツが数多く搭載されており、それら全てを認証機能に対応した高価なパーツに積み替えることは現実的ではない。
【００１４】
そこで、本実施形態では、バスに接続する各種のモジュールに対してユーザ認証情報に基づいてアクセスの認可／拒否を出すバス制御モジュールを設置する。バス制御モジュールは、特定のモジュールからバスを介して別のモジュールにアクセスする際に、全てバス制御モジュールがアクセス制御の判定をした結果を返す。
【００１５】
また、バス制御モジュールは、事前に行われたユーザ認証の結果に基づいたアクセス可否の判断を行い、モジュールへのアクセスを拒否された場合には、バス制御モジュールがモジュールへのアクセスを行わせないというフィルタリング処理を実施する。これにより各モジュールがユーザ認証に対応しなくても、バス制御モジュールがユーザ認証に対応することで、自動車全体のセキュリティを保証する。
【００１６】
以下、本発明に係るデータ通信制御システム及びデータ通信制御方法の実施形態を実施例毎に図面を参照しながら説明する。なお、以下に記載する各実施例においては、車載機器のデータ通信制御システムを例にとって説明するが、本発明の要旨はこれに限定されるものではなく、高度なセキュリティが要求される全ての機器のデータ通信制御システムに適用することができる。
【００１７】
〈車載機器のデータ通信制御システム〉
図１に示すように、実施形態に係る車載機器のデータ通信制御システムは、車載機器であるエンジンコントロールモジュール２、ナビゲーションモジュール３、車載カメラモジュール４及び駆動制御モジュール５とバス制御モジュール１とが、データ伝送路であるバス６を介して接続されている。
【００１８】
〈データ通信制御システムの第１実施例〉
図２は、車載機器の相互間で構成されるデータ通信制御システムを示しており、バス制御モジュール１を介して第１バスマスタ１１又は第２バスマスタ１２から第１バススレーブ２１又は第２バススレーブ２２にアクセスする際の構成を示している。この回路構成において、第１バスマスタ１１又は第２バスマスタ１２から出力されるアドレス信号、データ信号及びバス制御信号は、バス権を調停するバスアービタ３０から出力されるマスタ選択情報に応じて、第１マルチプレクサ４１、第２マルチプレクサ４２、第３マルチプレクサ４３から選択的に出力され、第１バススレーブ２１又は第２バススレーブ２２に入力される。
【００１９】
また、第１マルチプレクサ４１から出力されるアドレス信号は、バススレーブを選択するアドレスデコーダ５０にも入力されている（図示省略）。第１バススレーブ２１又は第２バススレーブ２２から出力されるデータ信号は、アドレスデコーダ５０から出力されるスレーブ選択情報に応じて第４マルチプレクサ４４から選択的に出力され、第１バスマスタ１１又は第２バスマスタ１２に入力される。
【００２０】
第１バスマスタ１１又は第２バスマスタ１２が内部バスを使用する場合、第１バスマスタ１１又は第２バスマスタ１２からバスアービタ３０に対してバスリクエスト信号（図示省略）が送信される。
【００２１】
バスアービタ３０では、バスリクエスト信号を受信すると、その時点におけるバス権の優先順位に従って、バスリクエスト信号を送信してきたバスマスタの中から最も優先順位の高いバスマスタが選択され、選択されたバスマスタに対して、バス権が与えられたことを表すグラント信号（図示省略）が送信される。これと同時に、バスアービタ３０から第１マルチプレクサ４１及び第２マルチプレクサ４２に対して、選択されたバスマスタを指定するためのマスタ選択情報が与えられる。
【００２２】
グラント信号を受信したバスマスタから出力されるアドレス信号、バス制御信号及びデータ信号は、バスアービタ３０から出力されるマスタ選択情報に応じて、第１乃至第３のマルチプレクサ４１、４２、４３から選択的に出力される。
【００２３】
第１マルチプレクサ４１から出力されるアドレス信号は、アドレスデコーダ５０によってデコードされ、このアドレス信号によって指定されるバススレーブを選択するためのスレーブ選択信号が第１バススレーブ２１又は第２バススレーブ２２に送信される。これと同時に、アドレスデコーダ５０から第４マルチプレクサ４４に対して、選択されたバススレーブを指定するためのスレーブ選択情報が与えられる。
【００２４】
第１バススレーブ２１又は第２バススレーブ２２は、スレーブ選択信号を受信し、自分自身が選択されている場合には、第１マルチプレクサ４１から出力されるアドレス信号及び第３マルチプレクサ４３から出力されるバス制御信号（書き込み信号）に応じて、データ信号が書き込まれる。また、アドレス信号及びバス制御信号（読み出し信号）に応じて、選択されたバススレーブから読み出されるデータ信号は、アドレスデコーダ５０から出力されるスレーブ選択情報に応じて、第４マルチプレクサ４４から選択的に出力される。そして、第４マルチプレクサ４４から出力されるデータ信号は、グラント信号を受信したバスマスタによって受信される。
【００２５】
以上は、バス制御モジュール１を備えない一般的なバス６の動作である。
【００２６】
本実施例においては、第１マルチプレクサ４１から出力されるアドレス信号、第２マルチプレクサ４２から出力されるデータ信号及び第３マルチプレクサ４３から出力されるバス制御信号が、バス制御モジュール１にも入力されている。バス制御モジュール１の出力信号は、第１バススレーブ２１及び第２バススレーブ２２に入力される。
【００２７】
第１実施例に係るバス制御モジュール１は、バススレーブとしての動作と、アドレスデコーダとしての動作を行う2つの役割を有している。図２は、アドレスデコーダとしての動作を示しており、スレーブ線については記載が省略されている。バス制御モジュール１がバススレーブとして動作するとき、バス制御モジュール１はユーザ認証モジュールとして振舞う。バス制御モジュール１は、ユーザ認証結果に従って、認証に成功した場合には、そのユーザＩＤをバス制御モジュール１内に記録し、バスマスタ１１、１２からバススレーブ２１、２２へのアクセス制御情報として利用する。
【００２８】
バス制御モジュール１の認証が完了すると、バスマスタ１１、１２からバススレーブ２１、２２への要求アドレスは、第４マルチプレクサ４４を経過した後に、バス制御モジュール１に入力される。バス制御モジュール１は、バススレーブとして動作したときのユーザ認証の結果と要求アドレスとから、バススレーブ２１、２２に対するセレクト信号を発行する。
【００２９】
セレクト信号の発行時において、ユーザ認証の結果がＮＧである場合や、ユーザ認証のレベルがバススレーブ２１、２２にアクセスするのに十分な権限を持たない場合には、バス制御モジュール１がアドレス要求に従ってスレーブポートへのセレクト信号を下げる。こうすることで、各バススレーブ２１、２２は、バス制御モジュール１に従い、かつユーザ認証の結果に応じて駆動するようになる。
【００３０】
なお、上例では、２つのバスマスタ１１、１２と、２つのバススレーブ２１、２２と、４つのマルチプレクサ４１、４２、４３、４４を備えた場合を例にとって説明したが、バスマスタの数、バススレーブの数及びマルチプレクサの数については、特に制限があるものではなく、それぞれ１つ以上任意の数とすることができる。
【００３１】
また、図２には、バス６を構成する代表的な信号線を示しているに過ぎず、信号線として他の線が存在しても構わない。また、バス６には、ＡＨＢやＡＸＩなどの汎用的なバスも含まれる。
【００３２】
次に、図３を用いて第１実施例に係るバス制御モジュール１の内部構成を説明する。
【００３３】
第１実施例に係るバス制御モジュール１は、図３に示すように、バススレーブ１０１、ユーザ認証部１０２、バスフィルタリング部１０３、アドレスデコーダ１０４、レジスタ（Ｄａｔａ＿Ｒｅｇ）１０５及び２つのＡＮＤゲート１０６、１０７をもって構成されている。
【００３４】
バス制御モジュール１は、上述したバスマスタ１１、１２から出力されるアドレス信号、データ信号及びバス制御信号の入力ポートとして、バススレーブ１０１のａｄｄｓ、ｗｄａｔａ、ｗｒｉｔｅを持つ。また、上述したバススレーブ２１、２２へのデータ信号及びセレクト信号の出力ポートとして、ｒｄａｔａ、ｓｅｌ１、ｓｅｌ２を持つ。なお、ｓｅｌ１、ｓｅｌ２は、上述した２つのバススレーブ２１、２２に対応するものであり、バススレーブの数が増加した場合には、それに対応する数のセレクト信号の出力ポートが用意される。
【００３５】
上述したように、第１実施例に係るバス制御モジュール１は、アドレスデコーダとしての役割とバススレーブとしての役割を持つ。そのため、バススレーブ１０１に入力したアドレス信号は、アドレスデコーダ１０４にも入力され、アドレスデコーダ１０４でバス制御モジュール１に対するアクセスだと判断したときにバススレーブ１０４のセレクト信号を有効にすることでデータを受理する。
【００３６】
バス制御モジュール１がスレーブとして行うことは、ユーザ認証である。ユーザ認証は、ユーザ認証部１０２で行われる。
【００３７】
ユーザ認証部１０２は、バススレーブ１０１に入力されたデータを用いてユーザ認証を行う。ユーザ認証の方式については特に定めない。ユーザＩＤとパスワードを用いた認証でも良いし、証明書署名認証でも良いし、指紋認証でも良い。更には、それらを複数サポートしていても良い。ユーザ認証部１０２は、レジスタ１０５からユーザ情報と、そのユーザに紐付いた秘密情報とを読み出し、これらの情報を入力データと比較することで認証を行う。そして、スレーブ２１、２２から認証結果を要求された場合には、ｒｄａｔａから認証結果を出力する。ユーザ認証部１０２は、認証に成功したユーザ情報を覚えておくためのレジスタを持つ。
【００３８】
レジスタ１０５には、ユーザ情報、ユーザのパスワード情報、ユーザ毎に各モジュールのアクセス権が定められたアクセス権テーブルが格納される。これらの情報は、ユーザ認証部１０２、バスフィルタリング部１０３及びアドレスデコーダ１０４に提供される。なお、アクセス権テーブルについては、後に図４を用いて詳細に説明する。
【００３９】
バスフィルタリング部１０３は、ユーザ認証部１０２から認証に成功したユーザのＩＤ、アドレス信号及びｗｒｉｔｅ信号を入力し、アクセスの有効／無効の信号を出力する。バスフィルタリング部１０３は、ユーザＩＤとアドレス信号から有効／無効の判断をする手段として、バスフィルタリング部１０３はレジスタ１０５からアクセス権テーブルを読み出す。
【００４０】
アドレスデコーダ１０４は、入力したアドレス信号を解析し、その解析結果に応じて、動作すべきバススレーブ２１、２２のセレクト信号を有効にする。このとき、アドレスデコーダ１０４は、アドレス信号を解析する手段として、レジスタ１０５からアクセス権テーブルを読み出す。
【００４１】
アドレスデコーダ１０４により有効／無効が判断された信号と、バスフィルタリング部１０３で判断された有効／無効の信号は、ＡＮＤゲート１０６、１０７に入力される。ＡＮＤゲート１０６、１０７は、これらの各信号のどちらもが有効になったときに、セレクト信号ｓｅｌ１、ｓｅｌ２を出力する。このような構成を取ることにより、ユーザ認証部１０２を用いてユーザ認証をしない限りはバスフィルタリング部１０３でのアクセス制御がかかる。
【００４２】
よって、第１及び第２のバススレーブ２１、２２がセキュリティ機能を有しているか否かに関わりなく、これら第１及び第２のバススレーブ２１、２２のセレクト信号ｓｅｌ１、ｓｅｌ２が有効にならないというアクセス制限をかけることができる。
【００４３】
図４に、レジスタ１０５に格納されるアクセス権テーブルの一例を示す。この図から明らかなように、第１実施例に係るアクセス権テーブル２００には、一般的なアドレスデコーダが持つテーブルと同様に、アドレスマップ２０１が記載されており、アドレスデコーダ１０４はこのテーブルに従って特定のバススレーブのセレクト信号を有効にする。
【００４４】
また、第１実施例に係るアクセス権テーブル２００には、アドレスマップ２０１に記載されたアドレス領域に対応させて、機器製造者のアクセス権２０２、機器管理者のアクセス権２０３、機器利用者のアクセス権２０４、その他のユーザのアクセス権２０５が合わせて記載されている。アクセス権としては、読み出し権限（Ｒ）と書き込み権限（Ｗ）とが記載されている。従って、図３に示したバスフィルタリング部１０３は、ユーザＩＤ及び入力されたアドレス値から図４に示したアクセス権テーブルを検索して、バススレーブ２１、２２読み出しの許可又は書き込みの許可を与える。
【００４５】
なお、図４の例では、ユーザＩＤとして、機器製造者、機器管理者、機器利用者及びその他のユーザが記載されているが、ここに記載された以外の者のユーザＩＤであっても良い。また、ユーザＩＤに代えて個人ＩＤを記載することもできる。更には、ユーザＩＤと個人ＩＤを併せ持った形とすることもできる。
【００４６】
また、一般的には、アドレスデコーダが持つアドレスマップはモジュールの割り当てに対応させるが、第１実施例に係るアドレスマップは、これに限定されるものではなく、同一モジュールに対してアドレスマップの区切りであるアクセス権テーブルを更に詳細に分けても良い。こうすることで、特定の領域のアクセスは可能だが、別の領域へのアクセスは不可能といった違いを作ることができる。特に、機器全体で共有するＦｌａｓｈ  ＲＯＭがバスに接続されている場合などは、ユーザ毎にアドレスマップのパーティションを切ることで、Ｆｌａｓｈ  ＲＯＭの特定領域を個人用に利用し、他の人にはアクセス禁止にするといった安全性の確保が可能となる。
【００４７】
〈データ通信制御システムの第２実施例〉
図５に、第２実施例に係るデータ通信制御システムを示す。第２実施例に係るデータ通信制御システムは、第１実施例に係るデータ通信制御システムに備えられたバスアービタ３０に代えて、フィルタリング機能付バスアービタ３１を用いたことを特徴とする。本例のデータ通信制御システムに備えられるバス制御モジュールは、第１実施例に係るバス制御モジュール１とは異なり、バスフィルタリング部１０３を省略できる。その他の構成については、第１実施例に係るバス制御モジュール１と同じであるので、重複を避けるために説明を省略する。
【００４８】
バスアービタの中には、特定のバスマスタから特定のバススレーブへのアクセスを禁止する機能を有するバスアービタが存在する。本明細書においては、このような機能を備えたバスアービタを「フィルタリング機能付バスアービタ３１」という。本発明に係るデータ通信制御システムは、フィルタリング機能付バスアービタ３１と共存することが可能である。即ち、フィルタリング機能付バスアービタ３１は、バス６を利用するバスマスタが、指定されたアドレス領域に対応したバススレーブにアクセス可能か否かを判断し、その結果に基づいてセレクト信号を立てる。一方でバス制御モジュール１もユーザ認証結果に応じてセレクト信号を立てるため、その２つのＡＮＤを取った信号をそれぞれのスレーブに入力すれば、よりセキュリティ強度の高いシステムを作ることができる。
【００４９】
以下、第１実施例及び第２実施例に係るデータ通信制御システムの処理手順を、図６のシーケンス図を用いて説明する。
【００５０】
まず、第２実施例に係るデータ通信制御システムでは、モジュール間のアクセスの前に認証処理を必要とする。認証処理を行わない場合は、モジュール間のアクセスは認証を必要としない範囲の弱いアクセス権限しか持たず、機能を十分に利用できない。そのため、モジュール間の通信を円滑に行うためには、原則として認証処理を行った後にアクセス処理を行う。
【００５１】
認証処理では、ユーザがＵＩを通してユーザ情報の入力を行う。ＵＩとしては、例えばナビゲーションモジュールを利用したタッチパネルによるユーザ名とパスワードの入力などが挙げられる。ＵＩはユーザ情報の入力が行われるとユーザ認証要求をユーザ認証部１０２に対して実施する。ユーザ認証部１０２は、事前に登録されたユーザの認証情報と、入力された認証情報を比較し、結果を通知する。
【００５２】
アクセス処理では、例えば、車載カメラ等のモジュール の記録情報を見たいという場合に、特権を持ったユーザによる認証が行われているか、特権のないユーザによる認証が行われているかで挙動を変えたい場合が存在する。一般のユーザ認証の場合は、カメラの記録情報にアクセスできないようにブロックをかけたいが、カメラ側は一般のカメラなので、ユーザアクセスをブロックする機能がないときに、本構成を利用できる。
【００５３】
以下、アクセス処理の流れについて説明する。ＵＩが特定のモジュールにアクセスする際にはバスを経由してモジュールにアクセスすることになる。そのバスを流れるデータは必ずバス制御モジュール１を通過することになり、その結果としてバスフィルタリング部の結果に応じてセレクト信号の有効/無効が判断される。つまり、認証処理の結果に応じて特権を持ったユーザ認証が行われていればセレクト信号を有効にし、一般ユーザの認証ではセレクト信号を無効にするといった差を作り出すことができる。
【００５４】
モジュールに対するセレクト信号が有効になっている場合は、ＵＩからモジュールへのアクセスは、一般的なバスを用いたモジュール間アクセスと同様に扱われる。また、モジュールに対するセレクト信号が無効な場合にはUIからモジュールへのアクセスはモジュール側が要求を受け付けないためモジュールからの結果が返ってこない。つまりユーザ認証の結果によって情報を取得できるか否かの結果が変わってくる。
【００５５】
ユーザ認証については、一度認証処理を行った後には、その後にバスにユーザＩＤなどの情報は流さないで、ユーザ認証部１０２が認証したユーザＩＤで、バス制御モジュール１を動作させる。理由としては、バスの応答速度の低下を回避するためである。バス６上にユーザＩＤなどの余計なデータを流した場合、それだけでバストランザクションが落ちるため、それを回避するために、一度ユーザ認証を完了したら、後はバス制御モジュール１だけでユーザＩＤとアクセス権の照合を行える構成としている。
【００５６】
なお、本構成では、ユーザ認証の種類及び方法については特に限定がない。指紋認証やネットワーク認証でも構わないし、自動車に使われることを考えた場合、エンジン始動のためのキーの挿入をユーザ認証のトリガーとしても構わない。そのためＵＩとしてはユーザ認証が可能な入力を受け付ける装置であれば良く、特に制限はない。カーナビゲーションシステムのタッチパネルでも良いし、指紋認証用のセンサでも、車の鍵の差込口でも構わない。また、スマートフォンなどを利用したネットワーク認証でも構わない。
【００５７】
認証処理、アクセス処理を行った後の認証情報の解除方法については、システムの用途によって、どのタイミングで解除するかが変わるので、特に指定しない。例えばシステムを車載に用いるのであれば走行中にアクセス制御がかわると問題があるため、車の始動時に認証が行われ、車の停止時に自動で認証が解除されるようにすべきである。また、メンテナンスを行うために認証が必要な場合には、メンテナンス前に認証処理を行い、メンテナンス後に手動での認証解除、もしくは自動タイムアウトの時間制限による対応などが良いと考えられる。
【００５８】
〈データ通信制御システムの第３実施例〉
第３実施例に係るデータ通信制御システムは、バス制御モジュール１において、例えばユーザパスワードの追加、変更、削除等のユーザ情報への要求、又は、ユーザのアクセス権限のアクセス権テーブル２００への追加、変更、削除等の要求に対応できるようにしたことを特徴とする。
【００５９】
このため、第３実施例に係るデータ通信制御システムは、ユーザ認証部１０２の内部にＣＰＵ３０１、ＲＡＭ３０２及びＦｌａｓｈＲＯＭ３０３を備えている。その他については、第１実施例に係るデータ通信制御システムと同じであるので、重複を避けるために説明を省略する。
【００６０】
バス制御モジュール１に対する要求は、バススレーブ１０１を用いて行われる。ユーザ認証部１０２は、その内部にＣＰＵ３０１、ＲＡＭ３０２及びＦｌａｓｈＲＯＭ３０３を有しており、バススレーブ１０１の指示に基づいて、ユーザのパスワード情報、アクセス権テーブルの追加、変更、削除といった要求を受ける機能を持つ。要求として受け付けたデータはＦｌａｓｈＲＯＭ３０３に書き込むことで永続化して保存する。ただし、変更要求は特権を持ったユーザのみ実施できるべきであり、そのため変更を行う前に特権ユーザで認証を行った後にできるようにすることが望ましい。
【００６１】
ＦｌａｓｈＲＯＭ３０３には、ユーザ情報、ユーザのパスワード情報、ユーザ毎に各モジュールのアクセス権が定められたアクセス権テーブル、ユーザのパスワード情報及びアクセス権テーブルを追加、書き換え、削除するためのプログラム、ユーザ情報とパスワード情報とを入力されたデータと比較して成否判定をするためのプログラムが、少なくとも格納される。
【００６２】
〈データ通信制御システムの第４実施例〉
第４実施例に係るデータ通信制御システムは、ＦｌａｓｈＲＯＭ３０３からのデータの読み込み速度を高めたことを特徴とする。そのため、第４実施例に係るデータ通信制御システムは、バス制御モジュール１内にレジスタコントローラ４０１とレジスタ４０２とを備えている。その他については、第３実施例に係るデータ通信制御システムと同じであるので、重複を避けるために説明を省略する。
【００６３】
ＦｌａｓｈＲＯＭ３０３に書かれたアクセス権テーブル２００は、バスフィルタリング部１０３やアドレスデコーダ１０４でも用いるデータである。しかし、ＦｌａｓｈＲＯＭ３０３からアクセス権テーブル２００を順次データを読み出して、バスフィルタリング部１０３、アドレスデコーダ部１０４で用いることは、データの読み込み速度的に問題が生じる可能性がある。なぜなら、一般に、ＦｌａｓｈＲＯＭ３０３からのデータの読み出しは、複数クロックを必要とする低速での読み出しとなるからである。
【００６４】
そこで、第４実施例に係るデータ通信制御システムは、機器の起動時又はＦｌａｓｈＲＯＭ３０３のデータの更新時に、レジスタコントローラ４０１がＦｌａｓｈＲＯＭ３０３のデータを読み取り、それをレジスタ４０２に展開する。このようにすることにより、バスフィルタリング部１０３及びアドレスデコーダ部１０４は、レジスタ４０２からデータの読み出しを行うことができるので、ＦｌａｓｈＲＯＭ３０３にダイレクトにデータを読みに行くよりも高速にアクセス権テーブル２００の判定が可能になる。
【００６５】
〈データ通信制御システムの第５実施例〉
第５実施例に係るデータ通信制御システムは、バス制御モジュール１がバスマスタ１１、１２からの要求を却下するときに、バス制御モジュール１がバスマスタ１１、１２に対してバス要求の却下を早急に伝えられるようにしたことを特徴とする。そのため、第５実施例に係るデータ通信制御システムは、バス制御モジュール１とバスマスタ１１、１２との間に、信号線５００を設けている。その他については、第１実施例に係るデータ通信制御システムと同じであるので、重複を避けるために説明を省略する。
【００６６】
図６のシーケンス図によれば、バス制御モジュール１は、バスマスタ１１、１２からの要求を却下するときに、バススレーブ２１、２２に対するセレクト信号を立てない構成になっている。しかし、このような構成であると、バスマスタ１１、１２は、バスタイムアウトを待つ必要があり、その間バスマスタ１１、１２がバス６を占有してしまう。効率的にバス６を利用するには、バスマスタ１１、１２に対してバス要求の却下を早急に伝える必要がある。
【００６７】
そのため、バス制御モジュール１は、バスマスタ１１、１２の要求を拒否するとき、ｒｅｊｅｃｔ信号を有効にする。ｒｅｊｅｃｔ信号は、信号線５００を介してバスマスタ１１、１２に入力され、バスマスタ１１、１２はｒｅｊｅｃｔ信号を受けたときにマスタ１１、１２の要求を取り下げることができる。これにより、バスマスタ１１、１２によるバス６を占有時間を短縮できる。
【００６８】
なお、信号線５００は、専用の信号線でも良い。またＡＨＢなどの標準的なバスは、大抵の場合においてバススレーブからのレスポンス用の線の中にＥＲＲＯＲを示す信号を送れるバスが存在する、その場合は、専用のｒｅｊｅｃｔ線に代えて、ＥＲＲＯＲを示す信号を送れるバスを用いてバスマスタ１１、１２に拒否を通知しても良い。
【００６９】
〈データ通信制御システムの第６実施例〉
第６実施例に係るデータ通信制御システムは、初期状態において機器の管理者がデフォルトのアクセス権を利用してレジスタ１０５を設定できるようにしたことを特徴とする。そのため、第６実施例に係るデータ通信制御システムは、バス制御モジュール１にバスマスタ６０１と初期アクセス権登録部６０２を設けている。その他については、第１実施例に係るデータ通信制御システムと同じであるので、重複を避けるために説明を省略する。
【００７０】
上述したように、バス制御モジュール１は、レジスタ１０５にアクセス権テーブル２００を用意するが、初期状態ではレジスタ１０５にアクセス権テーブル２００が設定がされていないため、管理者がアクセス権テーブル２００を設定する手間が必要になる。第６実施例に係るデータ通信制御システムは、バス制御モジュール１にバスマスタ６０１と初期アクセス権登録部６０２を設けているので、レジスタ１０５へのアクセス権テーブル２００の初期設定を容易に行うことができる。
【００７１】
デフォルトのアクセス権を設定するためには、バス制御モジュール１は、バスマスタとしてのポートを持つ必要がある。そして、システムの起動時にバス制御モジュール１は、バススレーブ２１、２２に対して機器ＩＤを求める操作を行う。バススレーブ２１，２２の機器ＩＤには、機器の種類(カメラ、センサなどの種別)を示す情報が含まれているものとする。
【００７２】
初期アクセス権登録部６０２は、機器ＩＤの、特に機器の種類に応じてアクセス権テーブル２００の初期値を設定するモジュールである。例えば、カメラにはアクセス権を弱く、センサ類にはアクセス権を強く設定するといったデフォルトの設定を保持しており、それにあわせてアクセス権テーブルの初期値を定めていく。
【００７３】
上記の構成を取ることで、管理者が最初にアクセス権テーブル２００を設定することなく、スレーブ２１、２２側に機器の種別情報を持たせることで、機器種別に応じたデフォルトのアクセス権を設定することができる。
【００７４】
なお、上記の各実施例においては、データ伝送路としてバス６を用いたデータ通信に本発明を適用した場合を例にとって説明したが、本発明の要旨はデータ伝送路としてバス６を用いたデータ通信に限定されるものではなく、イーサネット（登録商標）又は無線等の他のデータ伝送路を用いたデータ通信に本発明を適用することもできる。
【００７５】
図１１は、イーサネット（登録商標）７０１を用いた場合のシステム構成を示している。本構成では、全てのモジュール間通信のトランザクションを検閲する機能を持った制御モジュールが、アクセス制御機能を保持していれば、必ずしも通信チャネルはバスでなくても構わない。例えば、イーサネット（登録商標）を用いても、全ての通信を検閲できる位置のモジュールがアクセス制御機能を持っていれば良い。
【００７６】
図１１の構成は、バス６の代わりにイーサネット（登録商標）７０１でモジュール間トランザクションにアクセス制御機能を持たせるための構成例である。この場合、ネットワークトポロジーは全てのトランザクションを集約させるためにスター型で構成し、その中心にあるハブ７００にアクセス制御機能を持たせて、制御モジュールとすれば良い。その際にモジュールからハブ７００に対して認証をする手順は、バス６の代わりにイーサネット（登録商標）７０１を利用するという点を除いて、バス６を用いた場合と共通で構わない。
【００７７】
違いとしては、バス６のアドレスに基づいたアクセス権テーブル２００に代えて、イーサネット（登録商標）７０１を想定したＩＰアドレスに基づいたアクセス権テーブルを持つことである。そして、バスアドレスでのアクセス権限のフィルタリングに代えて、ＩＰアドレスによるフィルタリングをすることである。
【００７８】
なお、モジュールによっては、どんなユーザに対してもアクセス可能であるようなモジュールが存在する場合もある。そのようなモジュールに対しては必ずしもハブ７００でアクセス制御権限を確認する必要がないため、スター型のネットワークトポロジーから部分的に外れていても良い。
【００７９】
図１２は、無線データ伝送路８０１を用いた場合のシステム構成を示している。本構成では、全てのモジュール間通信のトランザクションを検閲する機能を持ったモジュールが、アクセス制御機能を保持していれば、必ずしも通信チャネルはバスでなくても構わない。例えばデータ伝送路としてＷＬＡＮのような無線データ伝送路８０１を用いても、全ての通信を検閲できる位置のモジュールがアクセス制御機能を持っていれば構成できる。
【００８０】
図２の構成は、ＷＬＡＮでモジュール間トランザクションにアクセス制御機能を持たせるための構成例である。この場合、ネットワークトポロジーは中心にワイヤレスルータ８００を置いたスター型で構成し、その中心にあるワイヤレスルータ８００にアクセス制御機能を持たせて、制御モジュールとすれば良い。その際にモジュールからワイヤレスルータ８００に対して認証をする手順は、バスの代わりにＷＬＡＮを利用するという点を除いて、バス６を用いた場合と共通で構わない。
【００８１】
違いとしては、バス６のアドレスに基づいたアクセス権テーブル２００に代えて、ＷＬＡＮを想定したＩＰアドレスに基づいたアクセス権テーブルを持つことである。そしてバスアドレスでのアクセス権限のフィルタリングに代えて、ＩＰアドレスによるフィルタリングをすることである。よって、ＩＰアドレスフィルタリングをするという点では、図１１とも差はない。
【符号の説明】
【００８２】
１    バス制御モジュール
２    エンジンコントロールモジュール
３    ナビゲーションモジュール
４    車載カメラモジュール
５    駆動制御モジュール
１１    第１バスマスタ
１２    第２バスマスタ
２１    第１バススレーブ
２２    第２バススレーブ
３０    バスアービタ
３１    フィルタリング機能付バスアービタ
４１    第１マルチプレクサ
４２    第２マルチプレクサ
４３    第３マルチプレクサ
４４    第４マルチプレクサ
５０    アドレスデコーダ
１０１    バススレーブ
１０２    ユーザ認証部
１０３    バスフィルタリング部
１０４    アドレスデコーダ
１０５    レジスタ
１０６    ＡＮＤゲート
１０７    ＡＮＤゲート
２００    アクセス権テーブル
２０１    アドレスマップ
２０２    機器製造者のアクセス権
２０３    機器管理者のアクセス権
２０４    機器利用者のアクセス権
２０５    その他のユーザのアクセス権
３０１    ＣＰＵ
３０２    ＲＡＭ
３０３    ＦｌａｓｈＲＯＭ
４０１    レジスタコントローラ
４０２    レジスタ
５００    信号線
６０１    バスマスタ
６０２    初期アクセス権登録部
７００    ハブ
７０１    イーサネット（登録商標）
８００    ワイヤレスルータ
８０１    無線データ伝送路
【先行技術文献】
【特許文献】
【００８３】
【特許文献１】特開２００８−２５０３８６号公報
【図１】
2017108218.tif 000003
【図２】
2017108218.tif 000004
【図３】
2017108218.tif 000005
【図４】
2017108218.tif 000006
【図５】
2017108218.tif 000007
【図６】
2017108218.tif 000008
【図７】
2017108218.tif 000009
【図８】
2017108218.tif 000010
【図９】
2017108218.tif 000011
【図１０】
2017108218.tif 000012
【図１１】
2017108218.tif 000013
【図１２】
2017108218.tif 000014