JP2018121109A - 通信システム、移動体、及び通信方法 - Google Patents

Abstract

【課題】製造工程におけるセキュリティポリシを、より簡便に設定できる通信システム、移動体、及び通信方法を提供する。【解決手段】通信システムは、サイバーセキュリティソリューションに関する処理の実行内容を規定するポリシ情報に従って前記サイバーセキュリティソリューションに関する処理を実行する通信装置を含む通信システムであって、前記ポリシ情報を変更する変更部を備え、前記変更部は、当該通信システムの製造工程における前記通信装置の状態が、前記通信装置が搭載されるに至った第１状態からその後の所定処理がなされた第２状態へと遷移した後に、当該第２状態における前記サイバーセキュリティソリューションに関する処理の実行内容が前記第１状態における前記実行内容よりも拡充されるように前記ポリシ情報を変更する。【選択図】図１

Description

本発明は、通信システム、移動体、及び通信方法に関する。

近年、通信システムにおける通信は、所望のセキュリティポリシを満足することが要求される。それを満たすように、通信システムに含まれる各通信装置のセキュリティポリシが、通信システムの製造段階で設定されることがある。通信装置のセキュリティポリシを設定するための技術が知られている（例えば、特許文献１参照。）。特許文献１によれば、一旦設定された通信装置のセキュリティポリシを、接続対象の性質に応じて変更するゲートウエイに関することが開示されている。

特開２０１４−１４３６２０号公報

しかしながら、通信システムの製造段階で要求されるセキュリティポリシが、製造完了時に必要とされるセキュリティポリシとは異なる場合、通信システムに含まれる通信装置のセキュリティポリシを製造段階で変更することが必要とされる。特許文献１に記載された技術を製造工程に適用したとしても、通信装置のセキュリティポリシを変更することが困難な場合がある。
本発明は、このような事情を考慮してなされたものであり、製造工程におけるセキュリティポリシを、より簡便に設定できる通信システム、移動体、及び通信方法を提供することを目的の一つとする。

請求項１記載の発明は、サイバーセキュリティソリューションに関する処理の実行内容を規定するポリシ情報に従って前記サイバーセキュリティソリューションに関する処理を実行する通信装置を含む通信システムであって、前記ポリシ情報を変更する変更部を備え、前記変更部は、当該通信システムの製造工程における前記通信装置の状態が、前記通信装置が搭載されるに至った第１状態からその後の所定処理がなされた第２状態へと遷移した後に、当該第２状態における前記サイバーセキュリティソリューションに関する処理の実行内容が前記第１状態における前記実行内容よりも拡充されるように前記ポリシ情報を変更する、通信システムである。

この発明によれば、通信システムは、その製造工程における通信装置の状態が、通信装置が搭載されるに至った第１状態からその後の所定処理がなされた第２状態へと遷移した後に、当該第２状態におけるサイバーセキュリティソリューションに関する処理の実行内容が第１状態における実行内容よりも拡充されるようにポリシ情報を変更する。

請求項２記載の発明における通信システムは、秘密通信、メッセージ認証、及び、機器認証のうち少なくとも何れかの前記サイバーセキュリティソリューションに関する処理の内容を規定する前記ポリシ情報を格納する記憶部を備え、前記変更部は、当該通信システムの製造工程において前記ポリシ情報を書き換える。

請求項３記載の発明における前記通信装置は、前記サイバーセキュリティソリューションに関する処理として、その他の通信装置との秘密通信を実行可能であり、前記変更部は、前記秘密通信のための暗号情報を記憶部に書き込む処理が完了した状態へと遷移した後に、前記秘密通信が実行内容に加わるように、前記ポリシ情報を変更する。

請求項４記載の発明における前記通信装置は、前記サイバーセキュリティソリューションに関する処理として、その他の通信装置との通信に対するメッセージ認証を実行可能であり、前記変更部は、前記メッセージ認証のための認証情報を記憶部に書き込む処理が完了した状態へと遷移した後に、前記メッセージ認証が実行内容に加わるように、前記ポリシ情報を変更する。

請求項５記載の発明における前記通信装置は、前記サイバーセキュリティソリューションに関する処理として、その他の通信装置に対する機器認証を実行可能であり、前記変更部は、前記機器認証のための認証情報を記憶部に書き込む処理が完了した状態へと遷移した後に、前記機器認証が実行内容に加わるように、前記ポリシ情報を変更する。

請求項６記載の発明における前記通信装置は、車両に搭載され、サイバーセキュリティソリューションとして、前記通信において検出された受信信号の個数に基づく不正な状態の監視を実行可能であり、前記変更部は、前記車両に対する検査工程が完了した状態へと遷移した後に、前記通信における不正な状態の監視が実行内容に加わるように、前記ポリシ情報を変更する。

請求項７記載の発明における前記通信装置は、前記サイバーセキュリティソリューションに関する処理として、その他の通信装置との通信に対するメッセージ認証と、前記通信において検出された受信信号の個数に基づく不正な状態の監視とを実行可能であり、前記変更部は、前記メッセージ認証のための認証情報を記憶部に書き込む処理が完了した状態へと遷移した後に、前記メッセージ認証が実行内容に加わるように、前記ポリシ情報を変更し、前記メッセージ認証のための認証情報を記憶部に書き込む処理が完了した状態へと遷移した後に実施される検査工程が完了した状態へと遷移した後に、前記通信における不正な状態の監視が実行内容に加わるように、さらに前記ポリシ情報を変更する。

請求項８記載の発明における前記通信装置は、前記サイバーセキュリティソリューションに関する処理として、その他の通信装置との秘密通信と、前記通信において検出された受信信号の個数に基づく不正な状態の監視とを実行可能であり、前記変更部は、前記秘密通信のための暗号情報を記憶部に書き込む処理が完了した状態へと遷移した後に、前記秘密通信が実行内容に加わるように、前記ポリシ情報を変更し、前記秘密通信のための暗号情報を記憶部に書き込む処理が完了した状態へと遷移した後に実施される検査工程が完了した状態へと遷移した後に、前記通信における不正な状態の監視が実行内容に加わるように、さらに前記ポリシ情報を変更する。

請求項９記載の発明における前記通信装置は、前記サイバーセキュリティソリューションに関する処理として、その他の通信装置に対する機器認証と、前記通信において検出された受信信号の個数に基づく不正な状態の監視とを実行可能であり、前記変更部は、前記機器認証のための認証情報を記憶部に書き込む処理が完了した状態へと遷移した後に、前記その他の通信装置に対する機器認証が実行内容に加わるように、前記ポリシ情報を変更し、前記機器認証のための認証情報を記憶部に書き込む処理が完了した状態へと遷移した後に実施される検査工程が完了した状態へと遷移した後に、前記通信における不正な状態の監視が実行内容に加わるように、さらに前記ポリシ情報を変更する。

請求項１０記載の発明における前記通信装置は、その通信の信号の個数に基づいて、その通信における不正な状態を監視する監視部を備える。

請求項１１記載の発明における通信システムは、共通の筐体に搭載される複数の通信装置を含む。

請求項１２記載の発明は、請求項１から請求項８の何れか１項に記載の通信システムと、前記通信システムが搭載された筐体を駆動する駆動部と、を備える移動体である。

請求項１３記載の発明は、サイバーセキュリティソリューションに関する処理の実行内容を規定するポリシ情報に従って前記サイバーセキュリティソリューションに関する処理を実行する通信装置を含む通信システムにおける通信方法であって、当該通信システムの製造工程における前記通信装置の状態が、前記通信装置が搭載されるに至った第１状態からその後の所定処理がなされた第２状態へと遷移した後に、当該第２状態における前記サイバーセキュリティソリューションに関する処理の実行内容が前記第１状態における前記実行内容よりも拡充されるように前記ポリシ情報を変更する通信方法である。

請求項１から請求項１３に記載の発明によれば、通信システムは、サイバーセキュリティソリューションに関する処理の実行内容を規定するポリシ情報に従って前記サイバーセキュリティソリューションに関する処理を実行する通信装置を含む通信システムであって、前記ポリシ情報を変更する変更部を備え、前記変更部は、当該通信システムの製造工程における前記通信装置の状態が、前記通信装置が搭載されるに至った第１状態からその後の所定処理がなされた第２状態へと遷移した後に、当該第２状態における前記サイバーセキュリティソリューションに関する処理の実行内容が前記第１状態における前記実行内容よりも拡充されるように前記ポリシ情報を変更することにより、製造工程におけるセキュリティポリシを、より簡便に設定することができる。

本実施形態の通信システム１の構成を示す図である。 本実施形態のＥＣＵ１０のハードウェア構成を示す図である。 本実施形態のＥＣＵ１０の機能構成を示す図である。 本実施形態に係る製造工程と、製造工程の各段階における認証処理と検証処理の実行制御について説明するための図である。 本実施形態に係る製造工程における認証処理と検証処理の流れを説明するための図である。 実施形態に係る製造工程における認証処理と検証処理のフローチャートである。

以下、図面を参照し、本発明の通信システム、移動体、及び通信方法の実施形態について説明する。

（第１の実施形態）
図１は、本実施形態の通信システム１の構成を示す図である。通信システム１は、例えば車両５に搭載される。車両５は、移動体の一例である。例えば、車両５は、少なくとも筐体（車体）６と、駆動部７と、駆動部７により駆動される車輪８と、通信システム１とを備えている。駆動部７は、エンジン又はモーターを含む。

通信システム１は、少なくとも車両内にネットワークＮＷを構成する。ネットワークＮＷでは、例えば、バス２を介してＣＡＮ（Controller Area Network）、ＩＥＥＥ８０２．３などの通信方式に基づく通信が行われる。

通信システム１は、バス２に接続されたＥＣＵ１０−１からＥＣＵ１０−７を備える。以下、ＥＣＵ１０−１からＥＣＵ１０−７を区別しない場合は、単にＥＣＵ１０と表記する。ＥＣＵ１０等の装置は、共通のバス２に接続されたものとして説明するが、不図示の中継装置等により互いに通信可能に接続された異なるバスに接続されていてもよい。

例えば、ＥＣＵ１０−１が、駆動部７を制御する駆動部ＥＣＵであり、ＥＣＵ−２が、シートベルトを制御するシートベルトＥＣＵ等である。ＥＣＵ１０は、自装置が所属するネットワークＮＷに送信されたフレームを受信する。以下、ネットワークＮＷに送信される各フレームのことをフレームＦという。フレームＦは、それぞれに附された識別子（以下、ＩＤという。）により識別される。ＥＣＵ１０は、自ＥＣＵ１０に係るフレームＦを識別するＩＤ（以下、受信ＩＤ１２３という）を記憶部１２（図３）に格納しておく。ＥＣＵ１０は、フレームＦを受信する際には、受け付けたフレームＦに附されたＩＤ（以下、送信ＩＤ１２２という）を参照して、受信ＩＤ１２３と同じ値の送信ＩＤ１２２が附されたフレームＦを抽出して取得する。ＥＣＵ１０は、互いに通信をする際に通信相手の認証処理（機器認証）を実施する。

ネットワークＮＷには、検証装置等の外部装置５０を接続する端子であるＤＬＣを設けたインタフェース装置（ＩＦ装置）３が設けられている。インタフェース装置３は、外部装置５０と通信するための接続端子（ＤＬＣ）を有している。車両の点検時等にインタフェース装置３に接続される検証装置等は、外部装置５０の一例である。検証装置は、バス２に接続されたＥＣＵ１０と通信して、通信システム１の状態を検査・検証する。車両の製造工程、点検時等を除けば、インタフェース装置３に検証装置等を接続することなく、通信システム１を機能させることができる。

なお、図１に示す車両５は、少なくとも筐体（車体）６と、駆動部７と、駆動部７により駆動される車輪８と、通信システム１とを備えている。

図２は、本実施形態のＥＣＵ１０のハードウェア構成を示す図である。ＥＣＵ１０は、ＣＰＵ１０Ａと、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable and Programmable Read Only Memory）、ＨＤＤ（Hard Disk Drive）の不揮発性記憶装置１０Ｃと、ＲＡＭ（Random Access Memory）、レジスタ等の揮発性記憶装置１０Ｂと、無線通信インタフェース１０Ｄと、入出力装置１０Ｅと、通信インタフェース１０Ｆなどを含むコンピュータである。なお、ＥＣＵ１０は、その種類又は用途により、無線通信インタフェース１０Ｄと入出力装置１０Ｅの何れか又は両方を含まない場合がある。

図３は、本実施形態のＥＣＵ１０の機能構成を示す図である。ＥＣＵ１０は、制御部１１と、記憶部１２と、通信制御部１３と、変更部１４と、監視部１５とを含む。例えば、制御部１１と通信制御部１３と変更部１４と監視部１５は、ＣＰＵ１０Ａ等のプロセッサがプログラムを実行することにより実現される。

制御部１１は、通信制御部１３を含む各部を制御する。例えば、制御部１１は、他のＥＣＵ１０、ＩＦ装置３、外部装置５０等の他の装置からの通信要求を受け付けるとともに、他の装置からの通信要求に応じて当該他の装置の認証処理を実施する。以下、制御部１１によるＣＳＳ（Cyber Security Solutions）処理（サイバーセキュリティソリューションに関する処理）の制御を中心に説明する。

記憶部１２は、不揮発性記憶装置１０Ｃと、揮発性記憶装置１０Ｂによって実現される。記憶部１２は、アプリケーションプログラム、通信制御プログラム等のプログラムと、上記のプログラムの実行により参照される各種情報とを格納する。例えば、各種情報には、ポリシ情報１２１、送信ＩＤ１２２，受信ＩＤ１２３などが含まれる。ポリシ情報１２１とは、通信システム１におけるＣＳＳ処理として実行する内容を規定するものである。ポリシ情報１２１には、秘密通信、メッセージ認証、及び、機器認証のうち少なくとも何れかのＣＳＳ処理の内容を規定する情報が含まれてもよく、これに限定されない。秘密通信設定情報、メッセージ認証設定情報、及び、機器認証設定情報は、ＣＳＳ処理の内容を規定する情報の一例である。

さらに、ポリシ情報１２１には、検証機能を調整するための検証情報が含まれてもよく、これに限定されない。

通信制御部１３は、通信インタフェース１０Ｆを介した外部の装置との通信を制御する。通信インタフェース１０Ｆは、ＥＣＵ１０をバス２に接続するインタフェースである。通信制御部１３が通信インタフェース１０Ｆを制御することにより、制御部１１が要求する他の装置との通信を可能にする。通信制御部１３は、通信インタフェース１０Ｆからの通知を受け、他の装置からの通信要求を制御部１１に通知する。制御部１１における認証処理などにより、他の装置からの通信要求に対するか否かが判断される。

変更部１４は、例えば、外部装置５０から取得した情報、又は、他のＥＣＵ１０を介して通知された情報に基づいて、記憶部１２に格納されるポリシ情報１２１を変更して書き換える。変更部１４は、上記のポリシ情報１２１の変更により、例えば、通信システム１の製造工程におけるＥＣＵ１０（通信装置）の状態が、ＥＣＵ１０が搭載されるに至った第１状態からその後の所定処理がなされた第２状態へと遷移した後に、当該第２状態におけるサイバーセキュリティソリューションに関する処理（ＣＳＳ処理）の実行内容が第１状態における実行内容よりも拡充されるようにする。変更部１４によるＣＳＳ処理の詳細は後述する。

監視部１５は、通信における不正な状態を監視する。例えば、監視部１５は、受信した信号の個数に基づいて、その単位時間当たりの個数又は頻度が予め定めた所定値以上である場合に、不正な状態と判定する。

上記のとおり、通信システム１は、ＣＳＳ処理の実行内容を規定するポリシ情報１２１に従って、ＣＳＳ処理を実行するＥＣＵ１０を含むものである。

次に、車両５の製造工程の概要について説明する。
図４は、本実施形態に係る製造工程と、製造工程の各段階における認証処理と検証処理の実行制御について説明するための図である。図４に示す表には、細分化した製造工程を示す。製造工程全体を、「（１）組立配線工程」、「（２）電装品の初期情報設定工程」、「（３）車両検査工程」の３つに大別する。「（２）電装品の初期情報設定工程」と「（３）車両検査工程」は、更にそれぞれを２つに分ける。

例えば、「（２）電装品の初期情報設定工程」には、「各種設定を実施する工程」と「ＣＳＳ処理の検証工程」とが含まれる。「ＣＳＳ処理の検証工程」は、ＣＳＳ処理を実施する状態（有効化状態）に遷移させた後の段階に割り当てられる。

例えば、「（３）車両検査工程」には、「各種設定を実施する工程」と「ＣＳＳ処理の検証工程」とが含まれる。「ＣＳＳ処理の検証工程」は、ＣＳＳ処理を実施する状態（有効化状態）に遷移させた後の段階に割り当てられる。

それぞれの工程における認証処理と検証処理の実施の有無を示す。対象とする認証処理には、例えば、メッセージ認証、秘密通信、機器認証などの認証項目が含まれる。対象とする検証処理には、周期異常検出などの検出項目が含まれる。

図５は、本実施形態に係る製造工程における認証処理と検証処理の流れを説明するための図である。
車両５におけるＥＣＵ１０の少なくとも何れかが、外部装置５０と通信すると共に、そのＥＣＵ１０が、通信システム１内の他のＥＣＵ１０に対してそれを通知する。各ＥＣＵ１０は、外部装置５０から取得した情報に基づいて、認証処理と検証処理の実行をそれぞれ制御する。例えば、本実施形態では、ＥＣＵ１０−１が外部装置５０と通信するものとして説明する。

（１）組立配線工程
まず、車両５は、本工程（「（１）組立配線工程」）において、各部の組み立てが実施される（Ｓ１１）。組立配線工程は、例えば、次の工程を含む。
・エンジン７をはじめとする機構部品と、通信システム１等の電装品と、ワイヤーハーネスなどを、筐体６の所定の位置に据え付けて車両５を組み立てる工程。
・各電装品とワイヤーハーネスの据え付けを終えた後、電装品間をワイヤーハーネスで接続する工程。
なお、この「組立配線工程」は、車両５の電装品に通電される段階を含まない。

（２）電装品の初期情報設定工程
次に、上記の（１）の工程が終わると、所定の工程を経て、車両５の製造は、電装品の初期情報設定工程（Ｓ１２）に移る。車両５は、本工程（「（２）電装品の初期情報設定工程」）において、外部装置５０からの制御を受け、電装品の初期情報が設定される。例えば、本工程には次の工程が含まれる。

・外部装置５０の接続を検出する工程
各ＥＣＵ１０に対し通電した後、インタフェース装置３は、通信システムに１に外部装置５０が接続されたことを検出し、これをＥＣＵ１０−１に通知する（Ｓ１２Ａ）。ＥＣＵ１０−１は、それを検出する（Ｓ１２Ｂ）。

・各ＥＣＵ１０の初期情報を設定する工程。
例えば、ＥＣＵ１０−１は、自らの初期情報と、他の各ＥＣＵ１０の初期情報を設定する（Ｓ１２Ｃ）。この工程で設定される初期情報には、各ＥＣＵ１０の基本設定を行うための各種情報が含まれる。なお、初期情報が設定された段階の各ＥＣＵ１０は、ＣＳＳ処理を実施しない状態（無効化状態）にある。

・ＣＳＳ処理を実施する工程。
電装品の初期情報設定工程における各種処理が完了した後に、ＥＣＵ１０−１の変更部１４は、外部装置５０からの指令（認証情報設定指令）を受け、他の各ＥＣＵ１０に指令を送り、他の各ＥＣＵ１０がＣＳＳ処理を実施する状態（有効化状態）になるように、他の各ＥＣＵ１０の状態を遷移させる。さらに、ＥＣＵ１０−１は、自らの状態もＣＳＳ処理を実施する状態になるように、その状態を遷移させる（Ｓ１２Ｄ）。例えば、この工程は、電装品の初期情報設定工程における最後又は最後に近い段階の工程に割り付けられる。以降、各ＥＣＵ１０において、ＣＳＳ処理による監視が有効になる。

（３）車両検査工程
次に、上記の（２）の工程が終わると、所定の工程を経て、車両５の製造は、車両検査工程（Ｓ１３）に移る。車両５は、本工程（「（３）車両検査工程」）において、各種検査が実施される。例えば、本工程には次の工程が含まれる。

・機能検証の工程。
機能検証の工程（Ｓ１３Ａ）は、車両５としての平常時の基本動作と、非常時の動作とを含む各種機能が法律に従った性能を発揮する態様で作動するかを検証する工程（いわゆる法定車検工程）である。

この機能検証の工程においては、必要なすべての検査に要する時間の短縮のために、互いに影響を及ぼしあわない検査を同時並行で実施することが可能である。たとえば、前照灯装置の照射角を検証する工程と、制動装置の作動を検証する工程とでは、それぞれを独立して同時に行うことができる。ただしこのように同時並行で複数の検査工程を実施する場合には、通信装置の通信負荷が通常時よりも増大する場合がある。
すなわち、同時並行で実施する検査の組み合わせによっては、各ＥＣＵ１０から通信メッセージの送信を要求する間隔が平常時に比べて短くなり、その結果、実際に送信される通信メッセージの密度が高まることがある。

ところで、通信システム１は、その保安機能として、ＥＣＵ１０間の通信メッセージの送信周期を監視して、標準状態から逸脱した間隔で送信されている通信メッセージを異常状態として検出する機能（周期異常検出機能）を有している。そのため、この機能が活性化された状態にあると、機能検証の工程において、異常な状態を検出することが頻発するおそれがある。そのため、この段階のＥＣＵ１０では、周期異常検出機能を非活性化するように、そのポリシ情報１２１が設定されている。

次に、通信システム１に対する機能検証の工程における各種処理が完了した後に、ＥＣＵ１０−１の変更部１４は、外部装置５０からの指令（検証情報設定指令）を受け（Ｓ１３Ｃ）、ポリシ情報１２１（検証情報）にそれを書き込む。変更部１４は、他の各ＥＣＵ１０に指令を送り、他の各ＥＣＵ１０が周期異常を検出する状態（周期異常検出機能の活性化状態）になるように、他の各ＥＣＵ１０の状態を遷移させる（Ｓ１３Ｄ）。さらに、ＥＣＵ１０−１は、自らの状態も周期異常検出機能の活性化状態になるように、その状態を遷移させる。

このように、通信システム１は、機能検証の工程を実施する際のポリシ情報１２１を変更して、周期異常検出機能を非活性状態から活性化状態に遷移させることにより、本来の車両５の周期異常検出機能が有効化される。例えば、ＥＣＵ１０は、車両検査工程の一部又は全部において、周期異常検出機能を無効化しておき、機能検証の工程が終わった段階で、周期異常検出機能を活性化するように検証処理の判断レベルを変更してもよい。

上記の各工程の検査に合格した車両５は、製品として出荷される（Ｓ１４）。

上記の手順で機能検証の工程を実施すれば、ＥＣＵ１０が、その機能検証の工程において処理負荷の増大により送信周期が短縮されることを異常状態として検出することによって検証工程が滞ってしまうことがなく、通信システム１における検証を効率よく実施することができる。

図６は、実施形態に係る製造工程における認証処理と検証処理のフローチャートである。ＥＣＵ１０−１が実施する上記の処理について説明する。

ＥＣＵ１０−１は、通信システム１に電力が供給された後、外部装置５０が接続されたことの通知を、インタフェース装置３を介して受けるまで待機する（Ｓ２０）。

外部装置５０が接続されたことの通知を受けた後、ＥＣＵ１０−１は、外部装置５０から取得した情報が、状態を切換えるための制御指令であるか否かを判定する（Ｓ２１）。Ｓ２１の判定により、状態を切換えるための制御指令でないと判定した場合には（Ｓ２１：Ｎｏ）、ＥＣＵ１０−１は、取得した情報が通信メッセージであるとして、その通信メッセージに対応する処理を実施する（Ｓ２２）。この通信メッセージには、初期化情報と、その設定指示が含まれていてもよい。その後、ＥＣＵ１０−１は、図に示された一連の処理を終える。

Ｓ２１の判定により、状態を切換えるための制御指令であると判定した場合には（Ｓ２１：Ｙｅｓ）、ＥＣＵ１０−１は、取得した制御指令（通信メッセージ）が認証処理に関するものであるか否かを判定する（Ｓ２３）。

Ｓ２３の判定により、取得した制御指令が認証処理に関するものであると判定した場合には（Ｓ２３：Ｙｅｓ）、ＥＣＵ１０−１は、取得した制御指令に応じて、認証処理の実施を制御する（Ｓ２４）。例えば、ＥＣＵ１０−１の変更部１４は、ポリシ情報１２１を書き換えて、認証処理を実施しない状態から、実施する状態に制御状態を遷移させる。その後、ＥＣＵ１０−１は、図に示された一連の処理を終える。

Ｓ２３の判定により、取得した制御指令が認証処理に関するものでないと判定した場合には（Ｓ２３：Ｎｏ）、ＥＣＵ１０−１は、取得した制御指令（通信メッセージ）が検証処理に関するものであるか否かを判定する（Ｓ２５）。

Ｓ２５の判定により、取得した制御指令が検証処理に関するものであると判定した場合には（Ｓ２５：Ｙｅｓ）、ＥＣＵ１０−１は、取得した制御指令に応じて、検証処理の実施を制御する（Ｓ２６）。例えば、ＥＣＵ１０−１の変更部１４は、ポリシ情報１２１を書き換えて、検証処理を実施しない状態から、実施する状態に制御状態を遷移させる。その後、ＥＣＵ１０−１は、図に示された一連の処理を終える。

Ｓ２５の判定により、取得した制御指令が検証処理に関するものでないと判定した場合には（Ｓ２５：Ｎｏ）、ＥＣＵ１０−１は、取得した制御指令を破棄する（Ｓ２７）。その後、ＥＣＵ１０−１は、図に示された一連の処理を終える。

以上に示した処理により、ＥＣＵ１０−１は、認証処理と検証処理の双方について、自装置並びに他のＥＣＵ１０のそれぞれの処理に関するポリシ情報１２１を変更して、製造工程の途中で実行する内容を変更する。

実施形態によれば、通信システム１は、サイバーセキュリティソリューションに関する処理の実行内容を規定するポリシ情報１２１に従って、そのサイバーセキュリティソリューションに関する処理を実行するＥＣＵ１０を含む。通信システム１は、ポリシ情報１２１を変更する変更部１４を、ＥＣＵ１０内に備える。変更部１４は、当該通信システム１の製造工程におけるＥＣＵ１０の状態が、ＥＣＵ１０が搭載されるに至った第１状態からその後の所定処理がなされた第２状態へと遷移した後に、当該第２状態における前記サイバーセキュリティソリューションに関する処理の実行内容が前記第１状態における前記実行内容よりも拡充されるように前記ポリシ情報１２１を変更する。これにより、通信システム１は、製造工程におけるセキュリティポリシを、より簡便に設定できる。

また、通信システム１は、秘密通信、メッセージ認証、及び、機器認証のうち少なくとも何れかの前記サイバーセキュリティソリューションに関する処理の内容を規定するポリシ情報１２１を格納する記憶部１２を、ＥＣＵ１０内に備える。変更部１４は、当該通信システム１の製造工程においてそのポリシ情報１２１を書き換える。これにより、通信システム１は、サイバーセキュリティソリューションに関する処理の内容を調整することができる。

また、ＥＣＵ１０は、他のＥＣＵ１０との通信に対するメッセージ認証と、上記の通信において検出された受信信号の個数に基づく不正な状態の監視との実行の可否を調整する。このようなＥＣＵ１０は、サイバーセキュリティソリューションに関する処理として、少なくとも他のＥＣＵ１０との通信に対するメッセージ認証と、上記の通信において検出された受信信号の個数に基づく不正な状態の監視とを実行するものであればよい。これにより、通信システム１は、サイバーセキュリティソリューションに関する処理として、他のＥＣＵ１０との通信に対するメッセージ認証と、上記の通信において検出された受信信号の個数に基づく不正な状態の監視とを実施することができる。

なお、ＥＣＵ１０は、その通信の信号の個数に基づいて、その通信における不正な状態を監視する監視部１５を備えることにより、その通信の信号の個数に基づいて、その通信における不正な状態を監視することができる。

なお、通信システム１は、共通の筐体６に搭載される複数のＥＣＵ１０を含むように形成されていることにより、筐体６の移動に伴い複数のＥＣＵ１０も共に移動することができる。

なお、車両５は、通信システム１と、通信システム１が搭載された筐体６を駆動する駆動部７と、を備えることにより、駆動部７の駆動力により移動することができる。なお、車両５は移動体の一例であり、これに制限されない。

（第１の実施形態の変形例その１）
この変形例に示すＥＣＵ１０は、ＣＳＳ処理として、少なくとも、他のＥＣＵ１０との秘密通信を実行可能である。
この場合、変更部１４は、その秘密通信のための暗号情報を記憶部１２に書き込む処理が完了した状態へと遷移した後に、その秘密通信が実行内容に加わるように、ポリシ情報１２１を変更する。これにより、ＥＣＵ１０は、他のＥＣＵ１０との秘密通信の実行の可否を調整して、他のＥＣＵ１０との秘密通信を実行することができる。

（第１の実施形態の変形例その２）
この変形例に示すＥＣＵ１０は、ＣＳＳ処理として、少なくとも、他のＥＣＵ１０との通信に対するメッセージ認証を実行可能である。
この場合、変更部１４は、そのメッセージ認証のための認証情報を記憶部１２に書き込む処理が完了した状態へと遷移した後に、そのメッセージ認証が実行内容に加わるように、ポリシ情報１２１を変更する。これにより、ＥＣＵ１０は、他のＥＣＵ１０とのメッセージ認証の実行の可否を調整して、他のＥＣＵ１０との通信に対するメッセージ認証を実行することができる。

（第１の実施形態の変形例その３）
この変形例に示すＥＣＵ１０は、ＣＳＳ処理として、少なくとも、他のＥＣＵ１０に対する機器認証を実行可能である。
この場合、変更部１４は、その機器認証のための認証情報を記憶部１２に書き込む処理が完了した状態へと遷移した後に、その機器認証が実行内容に加わるように、ポリシ情報１２１を変更する。これにより、ＥＣＵ１０は、他のＥＣＵ１０との機器認証の実行の可否を調整して、他のＥＣＵ１０との機器認証を実行することができる。

なお、上記の「第１の実施形態の変形例その１」から「第１の実施形態の変形例その３」に示したように、ＣＳＳ処理の状態の変更は、その内容ごとに実施してもよく、「第１の実施形態」に示ししたように、ＣＳＳ処理の複数の内容に関する状態の変更を同じタイミングに実施してもよい。ＣＳＳ処理の内容の個数と、状態を変更するタイミングについては制限されない。

（第１の実施形態の変形例その４）
この変形例に示すＥＣＵ１０は、サイバーセキュリティソリューションに関する処理として、例えば、他のＥＣＵ１０との通信に対するメッセージ認証と、上記の通信において検出された受信信号の個数に基づく不正な状態の監視とを実行可能である。
この場合、変更部１４は、そのメッセージ認証のための認証情報を記憶部１２に書き込む処理が完了した状態へと遷移した後に、そのメッセージ認証が実行内容に加わるように、ポリシ情報１２１を変更する。その後、そのメッセージ認証のための認証情報を記憶部１２に書き込む処理が完了した状態へと遷移した後に検査工程が実施される。変更部１４は、実施される検査工程が完了した状態へと遷移した後に、その通信における不正な状態の監視が実行内容に加わるように、さらにポリシ情報１２１を変更する。これにより、ＥＣＵ１０は、他のＥＣＵ１０とのメッセージ認証と不正な状態の監視の実行の可否を調整して、他のＥＣＵ１０とのメッセージ認証と不正な状態の監視を実行することができる。

（第１の実施形態の変形例その５）
第１の実施形態では、外部装置からの認証処理及び検証処理の指令をＥＣＵ１０において受信し処理しているが、これに代えてインタフェース装置（ＩＦ装置）３が、上記認証処理及び検証処理の指令を受信して、ポリシ情報１２１の変更を行うこととしてもよい。また、インタフェース装置３は、外部装置に対する機器認証を、上記認証処理の指令とは独立して実施してもよい。

（第２の実施形態）
次に、第２の実施形態について説明する。第１の実施形態では、通信システム１は、共通の筐体６に搭載される複数のＥＣＵ１０を含むように形成されている事例について説明した。これに代えて、複数のＥＣＵ１０は、それぞれ独立した筐体を有して構成されていてもよい。独立した筐体を有することが異なるが、個々のＥＣＵ１０の構成は、第１の実施形態に準じたものとする。

上記の第２の実施形態によれば、第１の実施形態と同様の効果を奏することの他、ＥＣＵ１０は、それぞれが独立した筐体６に搭載され、筐体６の移動に伴いＥＣＵ１０はそれぞれ独立に移動が可能である。

例えば、各ＥＣＵ１０が外部装置５０とそれぞれ通信可能であれば、外部装置５０から各ＥＣＵ１０に初期設定情報を登録することができる。これにより、ＥＣＵ１０の記憶部１２には、車両５に組み込む前に初期設定情報が書き込まれる。

このように、通信システム１は、ＥＣＵ１０における一部の製造工程を、車両５に搭載する前に実施することができる。例えば、通信システム１は、車両５に搭載する前の製造工程を、車両５の組み立て工程と並行して実施してもよい。

上記の通り、製造工程の順の一部を第１の実施形態とは異なる順に実施することが可能である。
本実施形態によれば、第１の実施形態と同様の効果を奏することの他、少なくとも初期化情報の一部又は全部が設定されたＥＣＵ１０を、車両５に配置する組み立て工程についても適用することができる。

以上説明した少なくともひとつの実施形態によれば、通信システムは、サイバーセキュリティソリューションに関する処理の実行内容を規定するポリシ情報に従って前記サイバーセキュリティソリューションに関する処理を実行する通信装置を含む。
通信システムは、ポリシ情報を変更する変更部を備える。変更部は、当該通信システムの製造工程における前記通信装置の状態が、前記通信装置が搭載されるに至った第１状態からその後の所定処理がなされた第２状態へと遷移した後に、当該第２状態における前記サイバーセキュリティソリューションに関する処理の実行内容が前記第１状態における前記実行内容よりも拡充されるように前記ポリシ情報を変更する。これにより、通信システムは、製造工程におけるセキュリティポリシを、より簡便に設定することができる。

以上、本発明を実施するための形態について実施形態を用いて説明したが、本発明はこうした実施形態に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。

例えば、車両５は移動体の一例であり、これに制限されない。これに代えて、移動体は、自走するロボット、飛行体などであってもよい。

１‥通信システム、２…バス、３…インタフェース装置（ＩＦ装置）、１０、１０−１、１０−２、１０−３、１０−４、１０−５、１０−６、１０−７…ＥＣＵ（制御装置）、１１…制御部、１２…記憶部、１３…通信制御部、１４…変更部、１５…監視部、５０…外部装置、ＮＷ…ネットワーク

Claims (13)

1. サイバーセキュリティソリューションに関する処理の実行内容を規定するポリシ情報に従って前記サイバーセキュリティソリューションに関する処理を実行する通信装置を含む通信システムであって、
   前記ポリシ情報を変更する変更部
   を備え、
   前記変更部は、当該通信システムの製造工程における前記通信装置の状態が、前記通信装置が搭載されるに至った第１状態からその後の所定処理がなされた第２状態へと遷移した後に、当該第２状態における前記サイバーセキュリティソリューションに関する処理の実行内容が前記第１状態における前記実行内容よりも拡充されるように前記ポリシ情報を変更する、
   通信システム。
2. 秘密通信、メッセージ認証、及び、機器認証のうち少なくとも何れかの前記サイバーセキュリティソリューションに関する処理の内容を規定する前記ポリシ情報を格納する記憶部
   を備え、
   前記変更部は、
   当該通信システムの製造工程において前記ポリシ情報を書き換える、
   請求項１に記載の通信システム。
3. 前記通信装置は、前記サイバーセキュリティソリューションに関する処理として、その他の通信装置との秘密通信を実行可能であり、
   前記変更部は、
   前記秘密通信のための暗号情報を記憶部に書き込む処理が完了した状態へと遷移した後に、前記秘密通信が実行内容に加わるように、前記ポリシ情報を変更する、
   請求項１又は請求項２に記載の通信システム。
4. 前記通信装置は、前記サイバーセキュリティソリューションに関する処理として、その他の通信装置との通信に対するメッセージ認証を実行可能であり、
   前記変更部は、
   前記メッセージ認証のための認証情報を記憶部に書き込む処理が完了した状態へと遷移した後に、前記メッセージ認証が実行内容に加わるように、前記ポリシ情報を変更する、
   請求項１から請求項３の何れか１項に記載の通信システム。
5. 前記通信装置は、前記サイバーセキュリティソリューションに関する処理として、その他の通信装置に対する機器認証を実行可能であり、
   前記変更部は、
   前記機器認証のための認証情報を記憶部に書き込む処理が完了した状態へと遷移した後に、前記機器認証が実行内容に加わるように、前記ポリシ情報を変更する、
   請求項１から請求項４の何れか１項に記載の通信システム。
6. 前記通信装置は、車両に搭載され、サイバーセキュリティソリューションとして、前記通信において検出された受信信号の個数に基づく不正な状態の監視を実行可能であり、
   前記変更部は、
   前記車両に対する検査工程が完了した状態へと遷移した後に、前記通信における不正な状態の監視が実行内容に加わるように、前記ポリシ情報を変更する、
   請求項１から請求項５の何れか１項に記載の通信システム。
7. 前記通信装置は、前記サイバーセキュリティソリューションに関する処理として、その他の通信装置との通信に対するメッセージ認証と、前記通信において検出された受信信号の個数に基づく不正な状態の監視とを実行可能であり、
   前記変更部は、
   前記メッセージ認証のための認証情報を記憶部に書き込む処理が完了した状態へと遷移した後に、前記メッセージ認証が実行内容に加わるように、前記ポリシ情報を変更し、
   前記メッセージ認証のための認証情報を記憶部に書き込む処理が完了した状態へと遷移した後に実施される検査工程が完了した状態へと遷移した後に、前記通信における不正な状態の監視が実行内容に加わるように、さらに前記ポリシ情報を変更する、
   請求項１から請求項５の何れか１項に記載の通信システム。
8. 前記通信装置は、前記サイバーセキュリティソリューションに関する処理として、その他の通信装置との秘密通信と、前記通信において検出された受信信号の個数に基づく不正な状態の監視とを実行可能であり、
   前記変更部は、
   前記秘密通信のための暗号情報を記憶部に書き込む処理が完了した状態へと遷移した後に、前記秘密通信が実行内容に加わるように、前記ポリシ情報を変更し、
   前記秘密通信のための暗号情報を記憶部に書き込む処理が完了した状態へと遷移した後に実施される検査工程が完了した状態へと遷移した後に、前記通信における不正な状態の監視が実行内容に加わるように、さらに前記ポリシ情報を変更する、
   請求項１から請求項５の何れか１項に記載の通信システム。
9. 前記通信装置は、前記サイバーセキュリティソリューションに関する処理として、その他の通信装置に対する機器認証と、前記通信において検出された受信信号の個数に基づく不正な状態の監視とを実行可能であり、
   前記変更部は、
   前記機器認証のための認証情報を記憶部に書き込む処理が完了した状態へと遷移した後に、前記その他の通信装置に対する機器認証が実行内容に加わるように、前記ポリシ情報を変更し、
   前記機器認証のための認証情報を記憶部に書き込む処理が完了した状態へと遷移した後に実施される検査工程が完了した状態へと遷移した後に、前記通信における不正な状態の監視が実行内容に加わるように、さらに前記ポリシ情報を変更する、
   請求項１から請求項５の何れか１項に記載の通信システム。
10. 前記通信装置は、
    その通信の信号の個数に基づいて、その通信における不正な状態を監視する監視部
    を備える請求項１から請求項５の何れか１項に記載の通信システム。
11. 共通の筐体に搭載される複数の通信装置を含む、
    請求項１から請求項１０の何れか１項に記載の通信システム。
12. 請求項１から請求項１１の何れか１項に記載の通信システムと、
    前記通信システムが搭載された筐体を駆動する駆動部と、
    を備える移動体。
13. サイバーセキュリティソリューションに関する処理の実行内容を規定するポリシ情報に従って前記サイバーセキュリティソリューションに関する処理を実行する通信装置を含む通信システムにおける通信方法であって、
    当該通信システムの製造工程における前記通信装置の状態が、前記通信装置が搭載されるに至った第１状態からその後の所定処理がなされた第２状態へと遷移した後に、当該第２状態における前記サイバーセキュリティソリューションに関する処理の実行内容が前記第１状態における前記実行内容よりも拡充されるように前記ポリシ情報を変更する、
    通信方法。

Images