JP6049841B1 - 車載ネットワーク管理装置及び車載ネットワーク管理方法 - Google Patents

Abstract

【課題】暗号化を解除する機能を持たない車載ネットワーク解析ツールを用いても、パスワードを配布することなく、暗号化を解除して通信内容を解析できる車載ネットワーク管理装置及び車載ネットワーク管理方法を提供する。
【解決手段】ユーザからの暗号化の実施又は解除の要求を取得する要求取得部と、車の鍵の位置を取得する鍵位置取得部と、要求取得部が、暗号化の解除の要求を取得し、かつ鍵位置取得部が取得した鍵の位置が予め設定された範囲の場所に存在すると判定した場合、ネットワーク通信データに対して暗号化を解除するための信号を発生する暗号通信管理部とを備える。
【選択図】図１

Description

本発明は、車載ネットワーク管理装置及び車載ネットワーク管理方法に関し、特に車両に搭載された車載ネットワークの管理装置及び管理方法に関するものである。

近年、自動車の管理システムの乗っ取りなど、セキュリティの脆弱性が指摘されており、車載ネットワークにおける制御ユニット間でも暗号化や認証などの技術を用いてセキュリティ性を向上させる取り組みが注目されている。
しかしながら、通信が暗号化されたままだと、整備や修理を目的とした通信も自由に行うことができなくなる。暗号化の解除機能を有した専用のツールを利用することで対応しようとすると、整備工場はメーカごとに異なったツールを導入しなくてはならず、負担が大きい。

このような課題を解決するために、メーカごとに異なる認証手順をプログラムとしてインストールすることで、整備する車によって認証を解除する方法が異なっても、１台のツールで整備が行えるようにしたものがある（例えば、特許文献１）。

この特許文献１のようなツールでは、暗号化通信を解除する認証手順やパスワードをツールにインストールし、使用後は廃棄するよう運用することで、必要な時だけ暗号化通信を解除する運用が可能になる。

特表２０１４−５１４２０３号公報

しかしながら、このようなツールの場合でも、認証手順やパスワードをダウンロードして使用する機能を持つ新たなツールが整備工場に必要となる点は変わらない。また、メーカ各社が認証手順やパスワードをダウンロードするプラットフォームを統一したときでなければ、単一のツールで実行できる利点も生かせない。

本発明は、このような従来技術の状況に鑑みてなされたものであり、暗号化を解除する機能を持たない車載ネットワーク解析ツールを用いても、暗号化を解除して通信内容を解析できる車載ネットワーク管理装置を実現することを目的とするものである。

上記の目的を達成するための本発明に係る車載ネットワーク管理装置は、ユーザからの暗号化の実施又は解除の要求を取得する要求取得部と、車の鍵の位置を取得する鍵位置取得部と、前記要求取得部が、前記暗号化の解除の要求を取得し、かつ前記鍵位置取得部が取得した前記鍵の位置が予め設定された範囲の場所に存在すると判定した場合、ネットワーク通信データに対して前記暗号化を解除するための信号を発生する暗号通信管理部と、前記暗号通信管理部が前記暗号化を解除するとき、車両の速度が設定値を超過しないように指示信号を発生する速度制限指示部とを備えている。
また、本発明では、ユーザからの暗号化の実施又は解除の要求を取得する要求取得部と、車の鍵の位置を取得する鍵位置取得部と、前記要求取得部が、前記暗号化の解除の要求を取得し、かつ前記鍵位置取得部が取得した前記鍵の位置が予め設定された範囲の場所に存在すると判定した場合、ネットワーク通信データに対して前記暗号化を解除するための信号を発生する暗号通信管理部と、前記暗号通信管理部が前記暗号化を解除するとき、前記暗号通信管理部の指示により、指定したデータのみを暗号化するための信号を発生する部分暗号通信部とを備えた車載ネットワーク管理装置が提供される。
さらに、本発明では、ユーザからの暗号化の実施又は解除の要求を取得する要求取得部と、車の鍵の位置を取得する鍵位置取得部と、前記要求取得部が、前記暗号化の解除の要求を取得し、かつ前記鍵位置取得部が取得した前記鍵の位置が予め設定された範囲の場所に存在すると判定した場合、ネットワーク通信データに対して前記暗号化を解除するための信号を発生する暗号通信管理部と、前記暗号通信管理部が前記暗号化を解除するとき、前記暗号通信管理部の指示により、不正な通信が行われていないかどうかを監視する通信監視部とを備えた車載ネットワーク管理装置が提供される。

上記の目的を達成するための本発明に係る車載ネットワーク管理方法は、ユーザからの暗号化の実施又は解除の要求を取得し、車の鍵の位置を取得し、前記暗号化の解除の要求を取得し、かつ前記取得した鍵の位置が予め設定された範囲の場所に存在すると判定した場合、ネットワーク通信データに対して前記暗号化を解除するための信号を発生し、前記暗号化を解除するとき、車両の速度が設定値を超過しないように指示信号を発生するものである。
また、本発明では、ユーザからの暗号化の実施又は解除の要求を取得し、車の鍵の位置を取得し、前記暗号化の解除の要求を取得し、かつ前記取得した鍵の位置が予め設定された範囲の場所に存在すると判定した場合、ネットワーク通信データに対して前記暗号化を解除するための信号を発生し、前記暗号化を解除するとき、指定したデータのみを暗号化するための信号を発生する車載ネットワーク管理方法が提供される。
さらに、本発明では、ユーザからの暗号化の実施又は解除の要求を取得し、車の鍵の位置を取得し、前記暗号化の解除の要求を取得し、かつ前記取得した鍵の位置が予め設定された範囲の場所に存在すると判定した場合、ネットワーク通信データに対して前記暗号化を解除するための信号を発生し、前記暗号化を解除するとき、不正な通信が行われていないかどうかを監視する車載ネットワーク管理方法が提供される。

本発明に係る車載ネットワーク管理装置及び車載ネットワーク管理方法では、ユーザからの暗号化の解除の要求を取得し、かつ車の鍵の位置が予め設定された範囲の場所に存在すると判定した場合、暗号化を解除するための信号を発生するように構成したので、暗号通信を行う車両を、専用の暗号解析ツールを持たない整備工場、すなわち暗号化解除機能が無くネットワーク解析ツールしか持たない整備工場で整備する場合でも、パスワードを開示することなく、ユーザの要求に応じて通信内容を閲覧可能にし、以て整備や修理を行うことができる。

本発明の実施の形態１による車載ネットワーク管理装置の構成を示すブロック図である。 本発明の実施の形態１による車載ネットワーク管理装置の動作概念を示すフローチャート図である。 本発明の実施の形態２による車載ネットワーク管理装置の構成を示すブロック図である。 本発明の実施の形態２による車載ネットワーク管理装置の動作概念を示すフローチャート図である。 本発明の実施の形態３による車載ネットワーク管理装置の構成を示すブロック図である。 本発明の実施の形態３による車載ネットワーク管理装置の動作概念を示すフローチャート図である。 本発明の実施の形態４による車載ネットワーク管理装置の構成を示すブロック図である。 本発明の実施の形態４による車載ネットワーク管理装置の動作概念を示すフローチャート図である。

以下に、本発明に係る車載ネットワーク管理装置及び車載ネットワーク管理方法を、車載ネットワーク管理装置の実施の形態に基づき、図面を参照して詳細に説明する。なお、これらの実施の形態により本発明が限定されるものではない。

実施の形態１．
本実施の形態１の車載ネットワーク管理装置は、概念的に言えば、（１）ユーザからの暗号化解除の指示があり、かつ車の鍵が予め設定した範囲の場所（以下、所定の場所と称する。）に存在する場合に通信の暗号化を解除し、（２−１）ユーザからの暗号化実施の指示があるか、又は（２−２）鍵が所定の場所に存在していない場合に通信の暗号化を実施するものである。

図１に示す本実施の形態１による車載ネットワーク管理装置１１０は、車両１００に搭載されており、ユーザの操作指示を取得する要求取得部１１１と、鍵の位置を取得する鍵位置取得部１１２と、ネットワーク通信データに対する暗号化の実施又は解除を指示する暗号通信管理部１１３とを有する。

また、車載ネットワーク管理装置１１０には、制御ユニット１２０Ａ，１２０Ｂが共通バス１３０を介して接続されており、暗号化対象のネットワーク通信データを相互に送受信している。これらの制御ユニットには、管理ユニットなどの種々のユニットが含まれる。

要求取得部１１１と通信するユーザの操作端末は、ユーザの携帯電話又はスマートフォンでも良いし、カーナビなどの入力機能を有する車載器でもよく、暗号化解除の操作に対応したパスワードの入力と、暗号化を解除するか、又は再開するかを指示入力できるものであればどのようなものでもよい。また、ユーザの操作端末との通信の方式は、有線でも無線でもよく、無線の場合には、サーバを経由して通信しても良いし、直接通信しても良い。
また、ユーザによる暗号化再開の指示は、日時や、暗号化を解除してからの経過時間をユーザが指定することで、タイミングを任意に指定できるようにしてもよい。

鍵位置取得部１１２は、鍵の位置を検知するものである。すなわち、鍵がシリンダーに差さっているか否かを検知してもよいし、鍵に無線通信機能を付して無線通信により検知してもよい。また、この鍵位置取得部１１２においては、取得した鍵の位置が所定の場所に存在するか否かの判定を実施してもよい。

暗号通信管理部１１３は、鍵位置取得部１１２で取得された鍵の位置を受けて鍵が所定の場所に存在するか否かの判定を実施する。あるいは、暗号通信管理部１１３は、鍵の位置が所定の場所に存在するか否かを鍵位置取得部１１２が判定し、その結果を受けるだけでもよい。

このような車載ネットワーク管理装置１１０の動作を、図２に示すフローチャートを参照して説明する。
（１）要求取得部１１１がユーザからの暗号化解除の要求を取得したか否かを判定する（ステップＳ１）。そして、鍵位置取得部１１２で取得した鍵位置が所定の場所に存在するか否かを判定する（ステップＳ２）。この結果、ステップＳ１において暗号化解除の要求を取得し、ステップＳ２において、鍵位置が所定の場所に存在すると判定した場合には、暗号通信管理部１１３は、ステップＳ３において、外部の例えば制御ユニット１２０Ａ及び１２０Ｂに対して共通バス１３０を介して暗号化解除の信号を送る。これにより、制御ユニット１２０Ａ−１２０Ｂ間のネットワーク通信データの暗号化が解除される。

（２−１）ユーザから暗号化再開の指示があったときに暗号化を実施又は再開するための信号を発生する（ステップＳ４）。（２−２）鍵が所定の場所に存在しない場合にも暗号化を実施又は再開するための信号を発生する（ステップＳ４）。

鍵が一旦所定の場所から離れて暗号化が再開された後も、ユーザによる暗号化再開の指示が未実施の場合は、再度鍵が所定の場所に存在すると確認したときに、再度暗号化解除を実施できるようにしてもよい。

なお、暗号通信管理部１１３は、コマンド信号を発生することにより、ネットワーク通信データの暗号化を指示するとともに、特定のメッセージや通信手順により、通信対象に暗号化の実施や解除を指示できるものとする。暗号化はソフトウェア上で行っても良いし、専用のハードウェアで行っても良い。

上記のように構成することで、ユーザが車両を鍵と共に工場に預け、ユーザがパスワードと共に暗号化解除の要求を入力することで、パスワードを工場側に知らせることなく暗号化を解除でき、工場側は従来通りのネットワーク解析ツールを用いて修理や整備の作業を行うことができる。パスワードを知る人間の操作と、車の鍵を持っていることが暗号化解除に必要になるので、第３者が勝手に暗号化を解除するのを防止できる。

また、鍵が所定の場所から外れたときに暗号化は再開されるので、暗号化が解除されたままになるのを防ぐことができる。

以上のように、車両に搭載された車載ネットワーク管理装置が、要求取得部と、鍵位置取得部と、暗号通信管理部とを有し、（１）ユーザから暗号化解除の指示があり、かつ鍵が所定の場所に存在する場合に、他の装置とのネットワーク通信の暗号化を解除し、（２−１）ユーザから暗号化再開の指示があるか、又は（２−２）鍵が所定の場所に無い場合にネットワーク通信データに対して暗号化を実施する、という機能を備えている。

これにより、パスワードを工場側に教えることなく、また工場側は暗号化に対応した専用のツールを用意することなく、必要な時だけ暗号化を解除して整備や修理を行うことができる車載ネットワーク管理装置を提供することができる。

実施の形態２．
上記の実施の形態１では暗号通信を不正に解除されることを抑制する構成について説明したが、実際には不正なアクセスのリスクを完全に排除することは難しい。
そこで、本実施の形態２では、実施の形態１の構成に加えて、暗号化の解除中は車両の最高速度を制限する機能を設けることで、暗号化が解除された状態で車両が不正なアクセスを受けた場合でも、重篤な事故が起こるリスクを低減する構成を備えている。

図３は、実施の形態２における車載ネットワーク管理装置の構成図であり、実施の形態１に付加した構成についてのみ、以下に、図４のフローチャートを参照して説明する。
車載ネットワーク管理装置１１０には速度制限指示部１１４が設けられている。この速度制限指示部１１４は、暗号通信管理部１１３に接続され、暗号通信管理部１１３が暗号化を解除するとき、これを受けて車両の速度が設定値を超過しないように共通バス１３０を介して、速度制御を司る制御ユニット１２０Ａ又は１２０Ｂに対して指示するものである（図４のステップＳ５)。

あるいは、暗号通信管理部１１３が暗号化を解除するとき、速度制限指示部１１４を使用せずに、暗号通信管理部１１３から直接制御ユニット１２０Ｂにおける速度制限部１２１に対して指示する構成でもよい。
これにより、通信の暗号化が解除されているときは、最高速度が制限されることになる。

なお、速度制限信号は、車両の駆動を制御する制御ユニット１２０Ａ又は１２０Ｂに与えられるものであるが、条件を満たすならば、速度制限指示部１１４や速度制限部１２１を使用せずに、車載ネットワーク管理装置１１０自身が速度制限機能を有していても良い。

上記の構成によれば、暗号化の解除中に不正なアクセスを受けても、重篤な事故が起こるリスクを低減することによりシステムの安全性を高めることができる。

実施の形態３．
上記の実施の形態１では、暗号化された通信により整備に必要な情報を閲覧できないという問題を、暗号化を解除する手段を提供することで解決する構成について説明したが、車両のネットワークの中には整備に直接必要なく、かつユーザのプライバシーに関わるような情報がやり取りされる場合もある。

そこで、本実施の形態３では、実施の形態１の構成に加え、ユーザが指定した情報のみを別途暗号化する処理を追加した構成を備えている。

図５は、実施の形態３における車載ネットワーク管理装置の構成図であり、実施の形態１に付加した構成についてのみ、以下に、図６のフローチャートを参照して説明する。
車載ネットワーク管理装置１１０及び制御ユニット１２０は、それぞれ、暗号化の解除時にユーザが指定したデータのみを別途部分暗号化して通信するための信号を発生する部分暗号通信部１１５及び１２２を備えることで、暗号化を解除したときも、ユーザが指定した情報のみを別途部分暗号化して通信するものである（図６のステップＳ６)。

部分暗号通信部１１５は、各メッセージの送信側を構成し、部分暗号通信部１２２はその受信側を構成する。暗号化するメッセージによっては制御ユニット１２０Ａ及び別の制御ユニット１２０Ｂにそれぞれ部分暗号通信部を設けて、両部分暗号通信部間で暗号化を実施してもよい。

上記の構成によれば、暗号化の解除により整備に必要な情報は開示しつつも、整備に必要無く、かつユーザのプライバシーに関わるような情報を守る装置を提供できる。

実施の形態４．
本実施の形態４では、上記の実施の形態１の構成に加え、暗号化解除中の通信を監視することで不正なアクセスに対応する構成を備えるものである。

図７は、本実施の形態４における車載ネットワーク管理装置の構成図であり、上記の実施の形態１に付加した構成についてのみ、以下に、図８のフローチャートを参照して説明する。
車載ネットワーク管理装置１１０には通信監視部１１６が設けられており、この通信監視部１１６は暗号通信管理部１１３に接続され、暗号化の解除時の通信の内容において不正なアクセスが無いか否かを監視する（図８のステップＳ７)。これにより、暗号化が解除されている間のセキュリティ性能の低下を補完している。

通信監視部１１６は、正常な場合の通信の内容を保持しており、実際の通信内容と比較して監視をする仕組みでもよいし、あるいは、通信内容を逐次又は一旦保持してサーバにアップロードし、サーバで監視した結果を取得するものでもよい。

このような構成によれば、暗号化を解除していても通信の内容を監視しているので、不正なアクセスのリスクを低減することができる。
また、サーバで監視する場合は、全ての車を常に監視するのではなく、暗号化を解除している車両をターゲットとして重点的に監視するので、サーバのリソースを有効活用できる。

１００ 車両、１１０ 車載ネットワーク管理装置、１１１ 要求取得部、１１２ 鍵位置取得部、１１３ 暗号通信管理部、１１４ 速度制限指示部、１１５ 部分暗号通信部、１１６ 通信監視部、１２０Ａ，１２０Ｂ 制御ユニット、１２１ 速度制限部、１２２ 部分暗号通信部。

Claims (11)

1. ユーザからの暗号化の実施又は解除の要求を取得する要求取得部と、
   車の鍵の位置を取得する鍵位置取得部と、
   前記要求取得部が、前記暗号化の解除の要求を取得し、かつ前記鍵位置取得部が取得した前記鍵の位置が予め設定された範囲の場所に存在すると判定した場合、ネットワーク通信データに対して前記暗号化を解除するための信号を発生する暗号通信管理部と、
   前記暗号通信管理部が前記暗号化を解除するとき、車両の速度が設定値を超過しないように指示信号を発生する速度制限指示部とを備えた
   車載ネットワーク管理装置。
2. 前記暗号通信管理部は、前記要求取得部が、前記暗号化の実施の要求を取得した場合、通信の暗号化を実施するための信号を発生する
   請求項１に記載の車載ネットワーク管理装置。
3. 前記暗号通信管理部は、前記鍵位置取得部が、前記鍵が前記予め設定された範囲の場所に存在しないと判定した場合、前記暗号化を実施するための信号を発生する
   請求項１に記載の車載ネットワーク管理装置。
4. 前記速度制限指示部が、内部に設けられている
   請求項１に記載の車載ネットワーク管理装置。
5. 前記速度制限指示部が、外部に設けられている
   請求項１に記載の車載ネットワーク管理装置。
6. ユーザからの暗号化の実施又は解除の要求を取得する要求取得部と、
   車の鍵の位置を取得する鍵位置取得部と、
   前記要求取得部が、前記暗号化の解除の要求を取得し、かつ前記鍵位置取得部が取得した前記鍵の位置が予め設定された範囲の場所に存在すると判定した場合、ネットワーク通信データに対して前記暗号化を解除するための信号を発生する暗号通信管理部と、
   前記暗号通信管理部が前記暗号化を解除するとき、前記暗号通信管理部の指示により、指定したデータのみを暗号化するための信号を発生する部分暗号通信部とを備えた
   車載ネットワーク管理装置。
7. 前記部分暗号通信部が、内部及び外部に設けられた
   請求項６に記載の車載ネットワーク管理装置。
8. ユーザからの暗号化の実施又は解除の要求を取得する要求取得部と、
   車の鍵の位置を取得する鍵位置取得部と、
   前記要求取得部が、前記暗号化の解除の要求を取得し、かつ前記鍵位置取得部が取得した前記鍵の位置が予め設定された範囲の場所に存在すると判定した場合、ネットワーク通信データに対して前記暗号化を解除するための信号を発生する暗号通信管理部と、
   前記暗号通信管理部が前記暗号化を解除するとき、前記暗号通信管理部の指示により、不正な通信が行われていないかどうかを監視する通信監視部とを備えた
   車載ネットワーク管理装置。
9. ユーザからの暗号化の実施又は解除の要求を取得し、
   車の鍵の位置を取得し、
   前記暗号化の解除の要求を取得し、かつ前記取得した鍵の位置が予め設定された範囲の場所に存在すると判定した場合、ネットワーク通信データに対して前記暗号化を解除するための信号を発生し、
   前記暗号化を解除するとき、車両の速度が設定値を超過しないように指示信号を発生する
   車載ネットワーク管理方法。
10. ユーザからの暗号化の実施又は解除の要求を取得し、
    車の鍵の位置を取得し、
    前記暗号化の解除の要求を取得し、かつ前記取得した鍵の位置が予め設定された範囲の場所に存在すると判定した場合、ネットワーク通信データに対して前記暗号化を解除するための信号を発生し、
    前記暗号化を解除するとき、指定したデータのみを暗号化するための信号を発生する
    車載ネットワーク管理方法。
11. ユーザからの暗号化の実施又は解除の要求を取得し、
    車の鍵の位置を取得し、
    前記暗号化の解除の要求を取得し、かつ前記取得した鍵の位置が予め設定された範囲の場所に存在すると判定した場合、ネットワーク通信データに対して前記暗号化を解除するための信号を発生し、
    前記暗号化を解除するとき、不正な通信が行われていないかどうかを監視する
    車載ネットワーク管理方法。

Images