[go: up one dir, main page]

WO2019163026A1 - 車載機能アクセス制御システム、車載装置および車載機能アクセス制御方法 - Google Patents

車載機能アクセス制御システム、車載装置および車載機能アクセス制御方法 Download PDF

Info

Publication number
WO2019163026A1
WO2019163026A1 PCT/JP2018/006240 JP2018006240W WO2019163026A1 WO 2019163026 A1 WO2019163026 A1 WO 2019163026A1 JP 2018006240 W JP2018006240 W JP 2018006240W WO 2019163026 A1 WO2019163026 A1 WO 2019163026A1
Authority
WO
WIPO (PCT)
Prior art keywords
vehicle
vehicle function
function
access control
authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2018/006240
Other languages
English (en)
French (fr)
Inventor
純子 中嶋
伸彰 的▲崎▼
雄也 高塚
佳子 塩本
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Mitsubishi Electric Corp
Original Assignee
Mitsubishi Electric Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Mitsubishi Electric Corp filed Critical Mitsubishi Electric Corp
Priority to PCT/JP2018/006240 priority Critical patent/WO2019163026A1/ja
Priority to CN201880089317.3A priority patent/CN111788458A/zh
Priority to US16/961,839 priority patent/US20200389325A1/en
Priority to JP2020501903A priority patent/JP6937887B2/ja
Priority to DE112018007132.4T priority patent/DE112018007132T5/de
Publication of WO2019163026A1 publication Critical patent/WO2019163026A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0877—Generation of secret information including derivation or calculation of cryptographic keys or passwords using additional device, e.g. trusted platform module [TPM], smartcard, USB or hardware security module [HSM]
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01C—MEASURING DISTANCES, LEVELS OR BEARINGS; SURVEYING; NAVIGATION; GYROSCOPIC INSTRUMENTS; PHOTOGRAMMETRY OR VIDEOGRAMMETRY
    • G01C21/00—Navigation; Navigational instruments not provided for in groups G01C1/00 - G01C19/00
    • G01C21/26—Navigation; Navigational instruments not provided for in groups G01C1/00 - G01C19/00 specially adapted for navigation in a road network
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/629—Protecting access to data via a platform, e.g. using keys or access control rules to features or functions of an application
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/84—Vehicles

Definitions

  • the present invention relates to a technology for controlling access to in-vehicle functions.
  • the debugging function enables execution of a program and access to a memory, so that it is an efficient attack path from an attacker's point of view and can be a risky attack.
  • the present invention has been made in view of the above-described problems, and an object of the present invention is to suppress unauthorized use of an in-vehicle function by an unauthorized person.
  • An in-vehicle function access control system includes an encryption processing unit that encrypts an in-vehicle function program for executing an in-vehicle function that is a function of an in-vehicle device and acquires encrypted data, and a storage unit that stores the encrypted data
  • An authentication unit that authenticates the user, a decryption processing unit that decrypts the encrypted data into the in-vehicle function program after successful authentication, and a program storage provided in the in-vehicle device that stores the in-vehicle function program after successful authentication A part.
  • the encrypted data is stored in the storage unit before the user authentication is successful, but the in-vehicle function program is not stored. Therefore, use of the in-vehicle function by a person who does not receive authentication or a person who fails authentication can be suppressed.
  • FIG. 1 is a conceptual diagram of an in-vehicle function access control system according to a first embodiment.
  • 1 is a block diagram illustrating a configuration of an in-vehicle function access control system according to a first embodiment.
  • 3 is a flowchart showing the operation of the in-vehicle function access control system according to the first embodiment.
  • 6 is a block diagram illustrating a configuration of an in-vehicle function access control system according to a second embodiment.
  • FIG. It is a block diagram which shows the structure of a vehicle. It is a block diagram of the vehicle communication apparatus of Embodiment 2.
  • 6 is a configuration diagram of a management server according to Embodiment 2.
  • FIG. 6 is a configuration diagram of an IC card according to a second embodiment.
  • FIG. 6 is a flowchart illustrating an operation of the in-vehicle function access control system according to the second embodiment.
  • 10 is a flowchart illustrating details of the encryption processing according to the second embodiment.
  • 10 is a flowchart illustrating details of authentication information generation processing according to the second embodiment.
  • 10 is a flowchart illustrating details of a user authentication process and a use validity determination process according to the second embodiment.
  • FIG. 10 is a flowchart illustrating details of a function validation process according to the second embodiment.
  • FIG. 6 is a configuration diagram of a vehicle communication device according to a third embodiment.
  • FIG. 6 is a configuration diagram of an IC card according to a third embodiment.
  • 12 is a flowchart illustrating details of a function validation process according to the third embodiment.
  • It is a block diagram of the vehicle communication apparatus of Embodiment 4.
  • FIG. 10 is a configuration diagram of a management server according to a fourth embodiment. It is a block diagram of the vehicle communication apparatus of Embodiment 5.
  • 10 is a flowchart illustrating details of a function validation process according to the fifth embodiment.
  • FIG. 1 is a conceptual diagram of the in-vehicle function access control system according to the first embodiment.
  • the in-vehicle function access control system controls access to the in-vehicle function of the in-vehicle device mounted on the vehicle 200.
  • the in-vehicle device refers to a device mounted on the vehicle 200 in order to perform some function
  • the in-vehicle function refers to a function performed by the in-vehicle device.
  • the in-vehicle function access control system performs authentication, which is an action for confirming whether the user is permitted to use the in-vehicle function, and enables the in-vehicle function to be used only by those who have succeeded in the authentication. For example, only the vehicle dealer or the supplier is allowed to pass the authentication, so that the in-vehicle function cannot be used for a general user who fails the authentication or an attacker who bypasses the authentication and tries to use the in-vehicle function.
  • the in-vehicle function for which access is restricted may be any function that the in-vehicle device has.
  • the maintenance function or the debug function is particularly required to restrict access because a technique for exploiting these functions to attack the vehicle is known.
  • the maintenance function is a function for performing vehicle maintenance
  • the debug function is a function for performing various error checks and the like.
  • FIG. 2 is a block diagram illustrating a configuration of the in-vehicle function access control system 11 according to the first embodiment.
  • the in-vehicle function access control system 11 includes an encryption processing unit 101, an encrypted data storage unit 102, an authentication unit 103, a decryption processing unit 104, and a program storage unit 105.
  • the encryption processing unit 101 encrypts the in-vehicle function program and creates encrypted data.
  • the in-vehicle function program is a program for executing the in-vehicle function.
  • an in-vehicle function program that is not encrypted is simply referred to as an “in-vehicle function program”, and an encrypted in-vehicle function program is referred to as “encrypted data”.
  • Encrypted data is stored in the encrypted data storage unit 102.
  • the authentication unit 103 authenticates the user.
  • the decryption processing unit 104 decrypts the encrypted data and acquires the in-vehicle function program after the authentication by the authentication unit 103 is successful.
  • the program storage unit 105 is provided in the in-vehicle device, and stores the in-vehicle function program decrypted by the decryption processing unit 104.
  • the encrypted data storage unit 102 and the program storage unit 105 may be the same storage unit.
  • FIG. 3 is a flowchart showing the operation of the in-vehicle function access control system 11.
  • the operation of the in-vehicle function access control system 11 will be described with reference to FIG.
  • the encryption processing unit 101 encrypts the in-vehicle function program and creates encrypted data. This process is called an encryption process (step S101).
  • the encrypted data created in step S101 is stored in the encrypted data storage unit 102.
  • the authentication unit 103 performs user authentication processing (step S102). If it is confirmed that the user is a regular user in the authentication process (Yes in step S103), the decryption processing unit 104 decrypts the encrypted data to obtain an in-vehicle function program (step S104). The decrypted in-vehicle function program is stored in the program storage unit 105 (step S105).
  • the in-vehicle function access control system 11 ends the process without decrypting the encrypted data.
  • the in-vehicle function access control system 11 encrypts the in-vehicle function program for executing the in-vehicle function, which is a function of the in-vehicle device, and acquires encrypted data.
  • 101 an encrypted data storage unit 102 that stores encrypted data
  • an authentication unit 103 that authenticates a user
  • a decryption processing unit 104 that decrypts the encrypted data into an in-vehicle function program after successful authentication
  • a program storage unit 105 provided in the in-vehicle device that stores the in-vehicle function program decrypted by the decryption processing unit after success.
  • the in-vehicle function access control method encrypts an in-vehicle function program for executing an in-vehicle function that is a function of the in-vehicle device, acquires encrypted data, and stores the encrypted data in the storage unit. Then, the user is authenticated, the encrypted data is decrypted into the in-vehicle function program after the authentication is successful, and the decrypted in-vehicle function program is stored in the storage unit after the authentication is successful.
  • the encrypted data is decrypted into the in-vehicle function program and stored in the program storage unit 105 only when the user authentication is successful. Therefore, the user can use the in-vehicle function only when the authentication is successful.
  • a user who is not permitted to use the in-vehicle function fails to authenticate and cannot use the in-vehicle function. Further, even if an attacker attempts to use the in-vehicle function while avoiding authentication, the in-vehicle function cannot be used because the program storage unit 105 does not store the in-vehicle function program in that case.
  • FIG. 4 is a block diagram illustrating a configuration of the in-vehicle function access control system 12 according to the second embodiment.
  • the in-vehicle function access control system 12 includes a vehicle communication device 100 mounted on a vehicle 200, a management server 300, an IC card 600, and a vendor server 800.
  • each component of the in-vehicle function access control system 12 is shown one by one, but the number of each component may be plural.
  • the vehicle 200, the management server 300, and the vendor server 800 communicate via the network 400.
  • a specific example of the network 400 is the Internet.
  • the IC card 600 stores user authentication information generated by the management server 300.
  • the IC card 600 is an example of a terminal used by the in-vehicle function user 500, that is, a user terminal.
  • a user terminal As the user terminal, another device having an equivalent function, such as a portable terminal or a USB token, is assumed, but in this specification, the user terminal is described as an IC card.
  • the vehicle 200 is equipped with a vehicle communication device 100 and a plurality of ECUs (Electric Control Units) 202 that communicate with each other.
  • the plurality of ECUs 202 and the in-vehicle network 201 are connected via an in-vehicle network 201 that conforms to a communication protocol such as CAN (Controller (Area ⁇ ⁇ ⁇ Network) or Flexray.
  • CAN Controller (Area ⁇ ⁇ ⁇ Network) or Flexray.
  • the in-vehicle function that the vehicle communication device 100 has is a target of access control by the in-vehicle function access control system 12.
  • FIG. 6 is a block diagram showing a configuration of the vehicle communication device 100.
  • the vehicle communication device 100 performs authentication processing on a person who desires to use the in-vehicle function, and only when the authentication is successful, that is, when it is confirmed that the user who wants to use is a legitimate user, Decrypt into the program to make the in-vehicle function usable.
  • the vehicle communication device 100 is a computer including hardware such as a processor 110, an HSM (Hardware Security Module) 120, a display device 130, a storage unit 140, an auxiliary storage unit 150, a communication unit 160, and an input device 170, and is an in-vehicle device. .
  • the processor 110 is connected to other hardware via a signal line.
  • the processor 110 is an integrated circuit (IC) that performs arithmetic processing, and controls other hardware.
  • the processor 110 is a CPU (Central Processing Unit), a DSP (Digital Signal Processing) or a GPU (Graphics Processing Unit).
  • the processor 110 includes an authentication unit 111, a determination unit 112, and a switching unit 113.
  • the authentication unit 111 performs user authentication.
  • the determination unit 112 determines the validity of use of the in-vehicle function for a user who wishes to use the user who has been confirmed as a legitimate user by user authentication.
  • the switching unit 113 changes the dummy program stored in the storage unit 140 to the in-vehicle function program. To make the in-vehicle function usable.
  • the HSM 120 includes an encryption processing unit 121 and an encryption key storage unit 122.
  • the encryption key storage unit 122 stores the encryption key safely.
  • the cryptographic processing unit 121 performs cryptographic computation using the cryptographic key stored in the cryptographic key storage unit 122, and encrypts the in-vehicle function program.
  • the display device 130 is a device that displays an image or the like, for example, a liquid crystal display.
  • the display device 130 is also called a monitor.
  • the storage unit 140 is a RAM (Random Access Memory) or the like, and stores an in-vehicle function program 141 for executing the in-vehicle function of the vehicle communication device 100 and encrypted data 142 obtained by encrypting the in-vehicle function program. That is, the storage unit 140 functions as an encrypted data storage unit that stores encrypted data and a program storage unit that stores an in-vehicle function program.
  • RAM Random Access Memory
  • the auxiliary storage unit 150 is a non-volatile storage device, specifically, a ROM (Read Only Memory), a HDD (Hard Disk Drive), or a flash memory.
  • the auxiliary storage unit 150 stores user authentication information 151 and log information 152.
  • the communication unit 160 is a device that performs communication, and includes a receiver and a transmitter. Specifically, the communication unit 160 is a communication chip or a NIC (NetworkNInterface Card).
  • NIC NetworkNInterface Card
  • the input device 170 functions as a reception unit that receives an input to the vehicle communication device 100.
  • FIG. 7 is a block diagram showing the configuration of the management server 300.
  • the management server 300 is a computer including hardware such as a processor 310, a storage unit 320, a communication unit 330, and a key writing unit 340.
  • the hardware configuration of the processor 310, the storage unit 320, and the communication unit 330 is the same as that of the processor 110, the storage unit 140, and the communication unit 160 of the vehicle communication device 100.
  • the vehicle communication device 100 is a computer for an embedded device
  • the management server 300 is a computer that functions as a server. Therefore, the management server 300 is a computer having a much higher calculation capability than the vehicle communication device 100.
  • the processor 310 includes a key generation unit 311, an authentication information generation unit 312, and an encryption processing unit 313.
  • the key generation unit 311 generates a key necessary for user authentication (hereinafter referred to as an authentication key).
  • the authentication information generation unit 312 generates user authentication information other than the authentication key.
  • the encryption processing unit 313 encrypts the in-vehicle function program.
  • the storage unit 320 includes a management database 321.
  • the communication unit 330 is connected to the vendor server 800 and the vehicle communication device 100 via the network 400.
  • the key writing unit 340 writes the authentication key generated by the key generation unit 311 to the IC card 600.
  • FIG. 8 is a block diagram showing the configuration of the IC card 600.
  • the IC card 600 includes a processor 610, a storage unit 620, and a communication unit 630.
  • the hardware configurations of the processor 610, the storage unit 620, and the communication unit 630 are the same as those of the processor 110, the storage unit 140, and the communication unit 160 of the vehicle communication device 100.
  • the storage unit 620 stores data used in the IC card 600.
  • the storage unit 620 stores a user ID 621 and a user authentication key 622.
  • the communication unit 630 communicates data used in the IC card 600. For example, the communication unit 630 receives the user ID 621 and the user authentication key 622 from the management server 300 when the IC card 600 is issued or updated. The communication unit 630 transmits and receives data necessary for user authentication to and from the vehicle communication device 100.
  • FIG. 9 illustrates details of the management database 321 included in the storage unit 320 of the management server 300.
  • the management database 321 includes a key management data table 322, an in-vehicle function data table 323, a user authentication data table 324, and a log information data table 325.
  • FIG. 10 illustrates details of the key management data table 322.
  • the key management data table 322 includes key ID, registration date and time, and key data information.
  • the key management data table 322 is used for registering an authentication key ID corresponding to a user ID issued by the management server 300 and its key data, and centrally managing a life cycle such as updating or revoking them.
  • the key management data table 322 also includes information on the ID, registration date and key data of the encryption key for data encryption used for encrypting the in-vehicle function program. That is, the key management data table 322 is also used for registering and managing encryption keys.
  • FIG. 11 illustrates the details of the in-vehicle function data table 323.
  • the in-vehicle function data table 323 includes data ID, registration date and time, in-vehicle function program identification ID that is an ID for identifying the in-vehicle function program, in-vehicle function program version, and encryption that is an ID for identifying the encryption program. Information such as the computerized program identification ID and vehicle function program data.
  • the in-vehicle function data table 323 is used for centrally managing the in-vehicle function program to be protected by the in-vehicle function access control system 12 on the management server 300.
  • FIG. 12 illustrates the details of the user authentication data table 324.
  • the user authentication data table 324 includes a plurality of user authentication information 107 prepared for each user.
  • the user authentication information 107 includes user ID, header information, status, user authentication key, and usage information related to usage history.
  • the user authentication key may be a public key or a private key.
  • the status represents the authentication status of the user. For example, when the user authentication has expired, the information is described as the status.
  • FIG. 13 illustrates details of the log information data table 325.
  • the log information data table 325 includes a plurality of log information 108.
  • the log information 108 includes information such as a log ID, date / time, event ID, and contents.
  • the log information 108 is accumulated and stored for each vehicle 200.
  • the management server 300 encrypts the in-vehicle function program by the encryption processing unit 313 and obtains encrypted data (step S201).
  • the process in this step is referred to as an encryption process.
  • the encryption process is performed at the time of manufacturing the vehicle 200 and the vehicle communication device 100, or at the time of software update of the in-vehicle function after shipment.
  • the management server 300 generates an authentication key with the key generation unit 311, generates other authentication information with the authentication information generation unit 312, and stores the generated authentication key and authentication information in the IC card 600 and the management database 321. (Step S202).
  • the process of this step is referred to as an authentication information generation process.
  • the vehicle communication device 100 performs a user authentication process in the authentication unit 111, and if the authentication is successful, the determination unit 112 further performs a function use validity determination process by utilizing information such as a log (step) S203).
  • the vehicle communication device 100 decrypts the encrypted data in the encryption processing unit 121 and sets the in-vehicle function in a usable state. (Step S205).
  • the process of this step is referred to as a function activation process.
  • the vehicle communication device 100 performs processing for returning the available state of the in-vehicle function to the original state after the use of the in-vehicle function by the user is completed or after a predetermined time has elapsed since the function is activated.
  • step S204 If there is an abnormality in the user authentication process or the use validity determination process (Yes in step S204), the process of the in-vehicle function access control system 12 ends without performing the function activation process by the vehicle communication device 100.
  • FIG. 15 is a flowchart showing details of the encryption process (step S201 in FIG. 14). Details of the encryption process will be described below with reference to FIG.
  • the communication unit 330 of the management server 300 acquires an in-vehicle function program from the vendor server 800 via the secure network 400.
  • the acquired in-vehicle function program is stored in the management database 321 of the storage unit 320 and registered in the in-vehicle function data table 323 (step S2011).
  • the management server 300 may acquire the in-vehicle function program by safe delivery using media.
  • the encryption processing unit 313 executes encryption of the in-vehicle function program registered in step S2011 using the encryption key for data encryption managed by the ID in the key management data table 322, and generates encrypted data. (Step S2012).
  • the management server 300 updates the in-vehicle function data table 323 of the management database 321 and registers the encrypted data generated in step S2012 (step S2013).
  • the communication unit 330 transmits the encrypted data to the vehicle communication device 100, and the encrypted data is written in the storage unit 140 in the vehicle communication device 100 (step S2014). This step is performed when the vehicle communication device 100 is manufactured in the factory or when software of the in-vehicle function is updated after shipment.
  • FIG. 16 is a flowchart showing details of the authentication information generation process (step S202 in FIG. 14). Details of the authentication information generation process will be described below with reference to FIG. First, the key generation unit 311 of the management server 300 generates a user authentication key 622 used for user authentication (step S2021). Next, the authentication information generation unit 312 of the management server 300 generates user authentication information (step S2022). The management server 300 stores the user authentication key 622 and user authentication information generated in steps S2021 and S2022 in the management database 321 of the storage unit 320, and updates the key management data table 322 and the user authentication data table 324. (Step S2023).
  • the key writing unit 340 writes the user ID 621 and the user authentication key 622 to the IC card 600 (step S2024). Specifically, the key writing unit 340 stores the user ID 621 and the user authentication key 622 in the storage unit 620 of the IC card 600. By issuing this IC card 600 only to a specific user such as a dealer or a supplier, users who can use the in-vehicle function are limited.
  • the communication unit 330 transmits user authentication information to the vehicle communication device 100, and the vehicle communication device 100 updates the user authentication information 151 in the auxiliary storage unit 150 (step S2025).
  • FIG. 17 is a flowchart showing details of the user authentication process and the use validity determination process (step S203 in FIG. 14).
  • the user connects the IC card 600 to the vehicle communication device 100 (step S2031).
  • the connection method may be contact or non-contact, but the communication path and the communication protocol are protected on security.
  • the user inputs an in-vehicle function desired to be used via the input device 170 (step S2032).
  • the input device 170 functions as a use request receiving unit that receives a use request for the in-vehicle function from the user.
  • the authentication unit 111 of the vehicle communication device 100 performs mutual authentication with the IC card 600 (step S2033).
  • the authentication unit 111 performs mutual authentication using an authentication mechanism, specifically, an existing technology such as a protocol that is an international standard technology in ISO / IEC.
  • the authentication unit 111 determines the authentication result (step S2034). If the authentication has succeeded, the process proceeds to step S2035. If the authentication has failed, the process ends.
  • the determination unit 112 searches the log information 152 stored in the auxiliary storage unit 150 or the log information data table 325 in the management database 321 of the management server 300, refers to the log information, and uses the vehicle function appropriately. Determine sex. In the following, three determination methods are exemplified, but the determination unit 112 may use any one of these determination methods or a plurality of determination methods.
  • the first determination method is a method of analyzing the correlation between user authentication processing and log information. Some maintenance functions are often performed due to some abnormality in the vehicle. Therefore, using this fact, the determination unit 112 analyzes the correlation between the log information recording the abnormality of the vehicle and the user authentication process, and determines the use validity of the maintenance function. For example, when an abnormality has occurred in the vehicle at a past time within a predetermined period from the user authentication process, it is determined that the use of the in-vehicle function is appropriate. Moreover, even if the abnormality occurs in the vehicle at a past time point within the predetermined period from the user authentication process, the determination unit 112 is an abnormality having a small relationship with the in-vehicle function that the user desires to use. You may determine use validity for every vehicle-mounted function so that it may determine using of the said vehicle-mounted function is unjust.
  • the second determination method makes an inquiry to the management server on the cloud at the time of user authentication, and determines the validity of the function that the user is trying to use. For some in-vehicle functions such as the maintenance function, a usable period is determined in advance in response to a survey conducted by the vehicle manufacturer. The determination unit 112 determines the validity of the use based on the usable period, and specifically determines that there is a possibility of unauthorized access to an action to be used outside the usable period.
  • the third determination method is a method for determining the use validity based on the use history of the in-vehicle function by the same user.
  • the use history of in-vehicle functions by the same user can be acquired from log information stored in the auxiliary storage unit 150 of the vehicle communication device 100 or the management database 321 of the management server 300.
  • the identity of the user can be determined from the user terminal. For example, when the same user uses the in-vehicle function more than the specified number of times in a certain period, or uses the in-vehicle function at the same time in a remote place, the determination unit 112 may determine that the use is inappropriate. it can.
  • step S2036 determines that the use of the in-vehicle function is appropriate (Yes in step S2036), the determination unit 112 determines that there is no abnormality in the user authentication process and the use validity determination process (step S2037), and ends the process. .
  • step S2034 determines that the authentication by the authentication unit 111 fails (No in step S2034), the authentication unit 111 determines that there is an abnormality in the user authentication process (step S2038) and ends the process.
  • step S2038 determines that the use validity determination process is abnormal (step S2038) and ends the process.
  • FIG. 18 is a flowchart showing details of the function enabling process (step S205 in FIG. 14). Details of the function enabling process will be described below with reference to FIG.
  • the encryption processing unit 121 of the vehicle communication device 100 uses the encryption key to decrypt the encrypted data 142 to obtain the in-vehicle function program (step S2051). That is, the encryption processing unit 121 functions as a decryption processing unit that decrypts the encrypted data into the in-vehicle function program.
  • the vehicle communication device 100 replaces the dummy program incorporated in the execution program area of the storage unit 140 with the in-vehicle function program acquired in step S2051 (step S2052). Thereby, the vehicle-mounted function can be used.
  • the vehicle communication device 100 determines whether or not the use of the in-vehicle function by the user has ended (step S2053). For example, the vehicle communication apparatus 100 determines in step S2053 based on the fact that the user has pressed an end button (not shown) provided on the vehicle communication apparatus 100 or that a predetermined expiration date has been reached. I do. The expiration date is determined as, for example, a specific date or a certain time after the vehicle-mounted function becomes usable.
  • the vehicle communication device 100 erases the in-vehicle function program incorporated in the execution program area of the storage unit 140 and replaces it with a dummy program (step S2054). Thereby, a vehicle-mounted function will be in the state which cannot be used.
  • the on-vehicle function is switched between valid and invalid by replacing the dummy program and the on-vehicle function program.
  • the in-vehicle function program is stored in the execution program area of the storage unit 140, and when the in-vehicle function is disabled, the in-vehicle function program is deleted from the execution program area of the storage unit 140.
  • replacement with a dummy program is not essential.
  • the use of the dummy program has an advantage that the execution program area can be easily rewritten.
  • the in-vehicle function access control system 12 includes a determination unit 112 that determines the validity of use of the in-vehicle function by the user. Then, the encryption processing unit 121, which is a decryption processing unit, decrypts the in-vehicle function program when the determination unit 112 determines that the use is appropriate. Accordingly, even a user who has succeeded in authentication cannot use the in-vehicle function if the use is determined to be inappropriate.
  • the vehicle communication device 100 is an in-vehicle device having an in-vehicle function, and an in-vehicle function program for executing the in-vehicle function is encrypted, and a use request reception that receives a use request for the in-vehicle function from a user.
  • an input device 170 that is a storage unit, and a storage unit 140 that is a program storage unit that stores a decrypted in-vehicle function program after successful user authentication. Therefore, the user can use the in-vehicle function only when the authentication is successful.
  • a user who is not permitted to use the in-vehicle function fails to authenticate and cannot use the in-vehicle function. Further, even if an attacker attempts to use the in-vehicle function while avoiding authentication, the in-vehicle function cannot be used because the program storage unit 105 does not store the in-vehicle function program in that case.
  • the vehicle communication device 100 has the encryption key and decrypts the encrypted data.
  • the IC card has an encryption key and decrypts the encrypted data.
  • the configuration of the in-vehicle function access control system of the third embodiment is the same as that of the in-vehicle function access control system of the second embodiment shown in FIG. However, in the third embodiment, since the configurations of the vehicle communication device and the IC card are different from those of the second embodiment, they will be described below as the vehicle communication device 100B and the IC card 600B, respectively.
  • FIG. 19 is a configuration diagram of the vehicle communication device 100B.
  • the vehicle communication device 100B is different from the vehicle communication device 100 of the second embodiment in that the HSM 120 does not have an encryption key storage unit.
  • FIG. 20 is a configuration diagram of the IC card 600B.
  • the IC card 600B is different from the IC card 600 of the second embodiment in that the processor 610 includes an encryption processing unit 611 and the storage unit 620 includes an encryption key 623.
  • the encryption key for encrypting the in-vehicle function program exists not in the vehicle communication device 100B but in the IC card 600B.
  • the operation of the in-vehicle function access control system according to the third embodiment is the same as the operation of the in-vehicle function access control system 12 according to the second embodiment whose flow is shown in FIG. 14, and includes encryption processing, authentication information generation processing, user It consists of authentication processing, use validity judgment processing, and function validation processing. Among them, the encryption process, the user authentication process, and the use validity determination process are the same as those in the second embodiment, and thus detailed description of the flow is omitted.
  • the authentication information generation process of the third embodiment is almost the same as the authentication information generation process of the second embodiment whose flow is shown in FIG.
  • the management server 300 writes the user ID and the user authentication key in the IC card 600
  • the management server 300 adds the encryption key to the IC card 600B. Write.
  • FIG. 21 is a flowchart showing details of the function enabling process of the third embodiment.
  • the communication unit 160 of the vehicle communication device 100B transmits the encrypted data 142 stored in the storage unit 140 to the IC card 600B (step S2051A).
  • the encryption processing unit 611 of the IC card 600B decrypts the encrypted data using the encryption key, and sends the obtained in-vehicle function program back to the vehicle communication device 100B (step S2051B).
  • Subsequent steps S2052 to S2054 are the same as the processing of the second embodiment shown in FIG.
  • the IC card 600 ⁇ / b> B that is a user terminal has the encryption processing unit 611.
  • the IC card 600B decrypts the encrypted data
  • the encrypted data is shared by the vehicle communication device 100B and the encryption key is shared by the IC card 600B. Accordingly, security is improved.
  • the vehicle communication device 100 performs user authentication processing with the IC card 600.
  • the management server performs user authentication processing with the IC card.
  • the configuration of the in-vehicle function access control system of the fourth embodiment is the same as that of the in-vehicle function access control system of the second embodiment shown in FIG. However, in the fourth embodiment, since the configurations of the vehicle communication device and the management server are different from those of the second embodiment, they will be described below as the vehicle communication device 100C and the management server 300C, respectively.
  • FIG. 22 shows a configuration of the vehicle communication device 100C.
  • the vehicle communication device 100C is different from the vehicle communication device 100 of the second embodiment in that the processor 110 does not include the authentication unit 111 and the user authentication information 151 is not stored in the auxiliary storage unit 150.
  • FIG. 23 shows the configuration of the management server 300C.
  • the management server 300C includes an authentication unit 314 in the processor 310 in addition to the configuration of the management server 300 of the second embodiment.
  • the operation of the in-vehicle function access control system of the fourth embodiment is the same as the operation of the in-vehicle function access control system 12 of the second embodiment whose flow is shown in FIG. 14, and the encryption process, the authentication information generation process, and the user It consists of authentication processing, use validity judgment processing, and function validation processing.
  • the encryption process, the use validity determination process, and the function validation process are the same as those in the second embodiment, and thus detailed description of the flow is omitted.
  • the authentication information generation process of the fourth embodiment is the same as the authentication information generation process of the third embodiment shown in FIG. 16 except that the user authentication information is not transmitted from the management server 300C to the vehicle communication device 100C.
  • the user authentication process of the fourth embodiment is the same as the user authentication of the second embodiment shown in FIG. 17 except that the authentication unit 314 of the management server 300C performs mutual authentication with the IC card 600 via the vehicle communication device 100C. It is the same as the processing.
  • the management server 300C performs mutual authentication with the IC card 600 via the vehicle communication device 100C.
  • the management server 300C may perform mutual authentication by directly communicating with the user terminal.
  • Embodiment 3 may be combined with Embodiment 3. That is, user authentication may be performed by the management server, and the encrypted data may be decrypted by the IC card.
  • the authentication unit 314 is provided in the management server 300C that communicates with the vehicle communication device 100C that is the in-vehicle device. Thereby, the configuration of the vehicle communication device 100C can be simplified.
  • Embodiment 5 when the management server encrypts the in-vehicle function program, the encrypted data is transmitted to the vehicle communication device, and the vehicle communication device decrypts the encrypted data into the in-vehicle function program after user authentication.
  • the management server encrypts the in-vehicle function program and holds it, and transmits the encrypted data to the vehicle communication device after user authentication. Except for this point, the present embodiment is the same as the fourth embodiment.
  • the configuration of the in-vehicle function access control system of the fifth embodiment is the same as that of the in-vehicle function access control system of the second embodiment shown in FIG. However, in the fifth embodiment, since the configuration of the vehicle communication device is different from that of the second embodiment, this is referred to as a vehicle communication device 100D and will be described below.
  • FIG. 24 is a configuration diagram of the vehicle communication device 100D.
  • the vehicle communication device 100D differs from the vehicle communication device 100C of the second embodiment in that the storage unit 140 does not store encrypted data.
  • the operation of the in-vehicle function access control system according to the fifth embodiment is the same as the operation of the in-vehicle function access control system 12 according to the second embodiment whose flow is shown in FIG. 14, and includes encryption processing, authentication information generation processing, user It consists of authentication processing, use validity judgment processing, and function validation processing. Among them, the authentication information generation process, the user authentication process, the use validity determination process, and the function validation process are the same as those in the second embodiment, and thus detailed description of the flow is omitted.
  • the management server 300 encrypts the in-vehicle function program and then transmits the encrypted data to the vehicle communication device (step S2014 in FIG. 15).
  • the management server 300 stores the encrypted data in the storage unit 320, and transmits the encrypted data to the vehicle communication device 100D during the function enabling process. That is, the storage unit 320 of the management server 300 functions as an encrypted data storage unit that stores encrypted data.
  • FIG. 25 is a flowchart showing details of the function enabling process of the fifth embodiment.
  • the vehicle communication device 100D acquires encrypted data from the management server 300 (step S2051C).
  • the vehicle communication device 100 decrypts the encrypted data and acquires an in-vehicle function program (step S2051D).
  • Subsequent steps S2052 to 2054 are the same as the processing of the second embodiment shown in FIG.
  • the storage unit 320 that is an encrypted data storage unit is provided in the management server 300 that communicates with the vehicle communication device 100D. Therefore, if the user authentication is not successful, the vehicle communication device has neither the in-vehicle function program nor the encrypted data, so that the security is improved as compared with the second embodiment.
  • the vehicle communication device 100 acquires the encrypted data from the management server 300 and then transmits the encrypted data to the IC card 600. Then, the IC card 600 decrypts the encrypted data, and sends the obtained in-vehicle function program back to the vehicle communication device 100.
  • On-vehicle function access control system 100, 100B, 100C, 100D Vehicle communication device, 101, 121, 313, 611 Encryption processing unit, 102 Encrypted data storage unit, 103 Authentication unit, 104 Decryption processing unit, 105 Program storage Part, 107, 151 user authentication information, 108, 152 log information, 110, 310, 610 processor, 111, 314 authentication part, 112 determination part, 113 switching part, 120 HSM, 122 encryption key storage part, 130 display device, 140, 320, 620 storage unit, 141 in-vehicle function program, 142 encrypted data, 150 auxiliary storage unit, 160, 330, 630 communication unit, 170 input device, 200 vehicle, 201 in-vehicle network, 202 ECU, 300, 300C management , 311 key generation unit, 312 authentication information generation unit, 321 management database, 322 key management data table, 323 in-vehicle function data table, 324 user authentication data table, 325 log information data

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Remote Sensing (AREA)
  • Radar, Positioning & Navigation (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Power Engineering (AREA)
  • General Engineering & Computer Science (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Automation & Control Theory (AREA)
  • Navigation (AREA)
  • Traffic Control Systems (AREA)
  • Storage Device Security (AREA)
  • Lock And Its Accessories (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本発明は、許可されていない人物による不正な車載機能の利用を抑制することを目的とする。車載機能アクセス制御システム（１１）は、車載装置が有する機能である車載機能を実行するための車載機能プログラムを暗号化して暗号化データを取得する暗号処理部（１０１）と、暗号化データを格納する暗号化データ記憶部（１０２）と、利用者の認証を行う認証部（１０３）と、認証の成功後に暗号化データを車載機能プログラムに復号する復号処理部（１０４）と、認証の成功後に復号処理部が復号した車載機能プログラムを格納する、車載装置に設けられたプログラム記憶部（１０５）を備える。

Description

車載機能アクセス制御システム、車載装置および車載機能アクセス制御方法
　本発明は、車載機能へのアクセスを制御する技術に関する。
　従来、カーナビゲーションシステム（例えば特許文献１）または自動運転システムといった、様々な車載システムが存在する。
特開２０１６－０２９３９２号公報
　これらの車載システムにおいて、第三者が車載装置に搭載された車載機能を悪用して車両に攻撃する手法が知られている。車載機能の中でもとりわけデバッグ機能は、プログラムの実行およびメモリへのアクセスを可能にするため、攻撃者から見ると効率的なアタック経路であり、リスクの高い攻撃となり得る。本発明は上述の問題点に鑑み、許可されていない人物による不正な車載機能の利用を抑制することを目的とする。
　本発明の車載機能アクセス制御システムは、車載装置が有する機能である車載機能を実行するための車載機能プログラムを暗号化して暗号化データを取得する暗号処理部と、暗号化データを格納する記憶部と、利用者の認証を行う認証部と、認証の成功後に暗号化データを車載機能プログラムに復号する復号処理部と、認証の成功後に車載機能プログラムを格納する、車載装置に設けられたプログラム記憶部とを備える。
　本発明の車載機能アクセス制御システムによれば、利用者の認証の成功前に記憶部には暗号化データが格納されるが、車載機能プログラムは格納されない。そのため、認証を受けない者または認証に失敗した者による車載機能の利用を抑制することができる。本発明の目的、特徴、態様、および利点は、以下の詳細な説明と添付図面とによって、より明白となる。
実施の形態１の車載機能アクセス制御システムの概念図である。 実施の形態１の車載機能アクセス制御システムの構成を示すブロック図である。 実施の形態１の車載機能アクセス制御システムの動作を示すフローチャートである。 実施の形態２の車載機能アクセス制御システムの構成を示すブロック図である。 車両の構成を示すブロック図である。 実施の形態２の車両通信装置の構成図である。 実施の形態２の管理サーバの構成図である。 実施の形態２のＩＣカードの構成図である。 管理データベースの詳細を例示する図である。 鍵管理データテーブルの詳細を例示する図である。 車載機能データテーブルの詳細を例示する図である。 利用者認証データテーブルの詳細を例示する図である。 ログ情報データテーブルの詳細を例示する図である。 実施の形態２の車載機能アクセス制御システムの動作を示すフローチャートである。 実施の形態２の暗号化処理の詳細を示すフローチャートである。 実施の形態２の認証情報生成処理の詳細を示すフローチャートである。 実施の形態２の利用者認証処理と使用妥当性判定処理の詳細を示すフローチャートである。 実施の形態２の機能有効化処理の詳細を示すフローチャートである。 実施の形態３の車両通信装置の構成図である。 実施の形態３のＩＣカードの構成図である。 実施の形態３の機能有効化処理の詳細を示すフローチャートである。 実施の形態４の車両通信装置の構成図である。 実施の形態４の管理サーバの構成図である。 実施の形態５の車両通信装置の構成図である。 実施の形態５の機能有効化処理の詳細を示すフローチャートである。
　＜Ａ．実施の形態１＞
　図１は、実施の形態１の車載機能アクセス制御システムの概念図である。車載機能アクセス制御システムは、車両２００に搭載された車載装置の車載機能へのアクセスを制御する。ここで、車載装置とは何らかの機能を果たすため車両２００に搭載された装置のことをいい、車載機能とは車載装置が果たす機能のことをいう。車載機能アクセス制御システムは、ユーザが車載機能の利用が許可された者であるかを確認する行為である認証を行い、認証に成功した者にのみ車載機能の利用を可能にする。例えば、車両のディーラ又はサプライヤのみ認証を通過させ、認証に失敗する一般のユーザ、または認証を迂回して車載機能を利用しようとする攻撃者に対しては、車載機能を利用できないようにする。
　ここで、アクセスを制限する対象となる車載機能は、車載装置が有する機能であれば何でも良い。しかし、中でも保守機能またはデバッグ機能は、これらを悪用して車両に攻撃する手法が知られているため、特にアクセスを制限する必要性が高い。保守機能は、車両のメンテナンスを行うための機能であり、デバッグ機能はそのうち各種のエラーチェック等を行う機能である。
　＜Ａ－１．構成＞
　図２は、実施の形態１の車載機能アクセス制御システム１１の構成を示すブロック図である。車載機能アクセス制御システム１１は、暗号処理部１０１、暗号化データ記憶部１０２、認証部１０３、復号処理部１０４およびプログラム記憶部１０５を備えている。
　暗号処理部１０１は、車載機能プログラムを暗号化して暗号化データを作成する。車載機能プログラムとは、車載機能を実行するためのプログラムである。以下、本明細書では、暗号化されていない車載機能プログラムを単に「車載機能プログラム」と称し、暗号化された車載機能プログラムを「暗号化データ」と称する。
　暗号化データは、暗号化データ記憶部１０２に格納される。
　認証部１０３は、利用者の認証を行う。
　復号処理部１０４は、認証部１０３による認証が成功した後に、暗号化データを復号して車載機能プログラムを取得する。
　プログラム記憶部１０５は、車載装置に設けられ、復号処理部１０４により復号された車載機能プログラムを格納する。なお、暗号化データ記憶部１０２とプログラム記憶部１０５は、同一の記憶部であっても良い。
　＜Ａ－２．動作＞
　図３は、車載機能アクセス制御システム１１の動作を示すフローチャートである。以下、図３に沿って車載機能アクセス制御システム１１の動作を説明する。
　まず、暗号処理部１０１が車載機能プログラムを暗号化し、暗号化データを作成する。この処理を暗号化処理という（ステップＳ１０１）。ステップＳ１０１で作成された暗号化データは、暗号化データ記憶部１０２に格納される。
　次に、認証部１０３が利用者の認証処理を行う（ステップＳ１０２）。認証処理において利用者が正規の利用者であることが確認されれば（ステップＳ１０３でＹｅｓ）、復号処理部１０４が暗号化データを復号して車載機能プログラムを得る（ステップＳ１０４）。そして、復号された車載機能プログラムはプログラム記憶部１０５に格納される（ステップＳ１０５）。
　一方、利用者が正規の利用者でない場合（ステップＳ１０３でＮｏ）、車載機能アクセス制御システム１１は暗号化データを復号することなく処理を終了する。
　＜Ａ－３．効果＞
　以上に説明したように、実施の形態１の車載機能アクセス制御システム１１は、車載装置が有する機能である車載機能を実行するための車載機能プログラムを暗号化して暗号化データを取得する暗号処理部１０１と、暗号化データを格納する暗号化データ記憶部１０２と、利用者の認証を行う認証部１０３と、認証の成功後に暗号化データを車載機能プログラムに復号する復号処理部１０４と、認証の成功後に復号処理部が復号した車載機能プログラムを格納する、車載装置に設けられたプログラム記憶部１０５とを備える。
　また、実施の形態１の車載機能アクセス制御方法は、車載装置が有する機能である車載機能を実行するための車載機能プログラムを暗号化して暗号化データを取得し、暗号化データを記憶部に格納し、利用者の認証を行い、認証の成功後に暗号化データを車載機能プログラムに復号し、認証の成功後に復号された車載機能プログラムを記憶部に格納する。
　これらの構成により、利用者の認証が成功した場合にのみ、暗号化データを車載機能プログラムに復号してプログラム記憶部１０５に格納する。従って、利用者は認証に成功した場合にのみ車載機能を使用することができる。車載機能を使用する許可が与えられていない利用者は認証に失敗するため、車載機能を使用することができない。また、攻撃者が認証を回避して車載機能の使用を試みても、その場合にプログラム記憶部１０５は車載機能プログラムを格納していないため、車載機能を使用することはできない。
　＜Ｂ．実施の形態２＞
　＜Ｂ－１．構成＞
　図４は、実施の形態２の車載機能アクセス制御システム１２の構成を示すブロック図である。車載機能アクセス制御システム１２は、車両２００に搭載された車両通信装置１００、管理サーバ３００、ＩＣカード６００およびベンダサーバ８００を備えて構成される。図４では、車載機能アクセス制御システム１２の各構成要素を１つずつ示しているが、各構成要素の数は複数でも良い。
　車両２００、管理サーバ３００およびベンダサーバ８００は、ネットワーク４００を介して通信を行う。ネットワーク４００の具体例は、インターネットである。
　ＩＣカード６００は、管理サーバ３００によって生成された利用者認証情報を記憶する。なお、ＩＣカード６００は、車載機能の利用者５００が用いる端末すなわち利用者端末の一例である。利用者端末として、同等の機能を備える他のデバイス、例えば携帯端末またはＵＳＢトークン等も想定されるが、本明細書では利用者端末をＩＣカードとして説明を行う。
　図５に示すように、車両２００には、車両通信装置１００と、互いに通信する複数のＥＣＵ（Electric Control Unit）２０２が搭載されている。複数のＥＣＵ２０２と車載ネットワーク２０１は、ＣＡＮ（Controller Area Network）またはＦｌｅｘｒａｙ等の通信プロトコルに準拠した車載ネットワーク２０１を介して接続されている。車両通信装置１００が有する車載機能が、車載機能アクセス制御システム１２によるアクセス制御の対象である。
　図６は、車両通信装置１００の構成を示すブロック図である。車両通信装置１００は、車載機能の使用希望者に認証処理を行い、認証が成功した場合、すなわち使用希望者が正規の利用者であることが確認できた場合に限り、暗号化データを車載機能プログラムに復号し、車載機能を使用可能な状態にする。
　車両通信装置１００は、プロセッサ１１０、ＨＳＭ（Hardware Security Module）１２０、表示機器１３０、記憶部１４０、補助記憶部１５０、通信部１６０および入力装置１７０といったハードウェアを備えるコンピュータであり、車載装置である。
　プロセッサ１１０は、信号線を介して他のハードウェアと接続されている。プロセッサ１１０は、演算処理を行うＩＣ（Integrated Circuit）であり、他のハードウェアを制御する。プロセッサ１１０は、具体的にはＣＰＵ（Central Processing Unit）、ＤＳＰ（Digital Signal Processor）またはＧＰＵ（Graphics Processing Unit）である。
　プロセッサ１１０は、認証部１１１、判定部１１２および切替部１１３を備えている。認証部１１１は、ユーザ認証を行う。判定部１１２は、ユーザ認証により正規の利用者であると確認された使用希望者に対して、車載機能の使用妥当性を判断する。切替部１１３は、認証部１１１が使用希望者を正規の利用者と確認し、判定部１１２が車載機能の使用を妥当と判断した場合に、記憶部１４０に格納されたダミープログラムを車載機能プログラムに置き換え、車載機能を使用可能な状態にする。
　ＨＳＭ１２０は、暗号処理部１２１と暗号鍵格納部１２２を備えている。暗号鍵格納部１２２は暗号鍵を安全に保管している。暗号処理部１２１は、暗号鍵格納部１２２に格納された暗号鍵を用いて暗号演算を行い、車載機能プログラムを暗号化する。
　表示機器１３０は、画像等を表示する機器であり、例えば液晶ディスプレイである。表示機器１３０はモニタともいう。
　記憶部１４０は、ＲＡＭ（Random Access Memory）などであり、車両通信装置１００の車載機能を実行するための車載機能プログラム１４１と、車載機能プログラムを暗号化した暗号化データ１４２が格納される。すなわち、記憶部１４０は、暗号化データを格納する暗号化データ格納部と、車載機能プログラムを格納するプログラム格納部として機能する。
　補助記憶部１５０は、不揮発性の記憶装置であり、具体的にはＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）またはフラッシュメモリである。補助記憶部１５０には、利用者認証情報１５１と、ログ情報１５２が格納される。
　通信部１６０は、通信を行う装置であり、レシーバとトランスミッタとを備える。具体的には、通信部１６０は通信チップまたはＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。
　入力装置１７０は、車両通信装置１００への入力を受け付ける受付部として機能する。
　図７は、管理サーバ３００の構成を示すブロック図である。管理サーバ３００は、プロセッサ３１０、記憶部３２０、通信部３３０および鍵書込部３４０といったハードウェアを備えるコンピュータである。
　プロセッサ３１０、記憶部３２０および通信部３３０のハードウェア構成は、車両通信装置１００のプロセッサ１１０、記憶部１４０および通信部１６０と同様である。但し、車両通信装置１００は組み込み機器向けのコンピュータであるのに対し、管理サーバ３００はサーバとしての機能を果たすコンピュータである。よって、管理サーバ３００は車両通信装置１００よりはるかに計算能力の高いコンピュータである。
　プロセッサ３１０は、鍵生成部３１１、認証情報生成部３１２および暗号処理部３１３を備える。鍵生成部３１１は、ユーザ認証に必要な鍵（以下、認証鍵と称する）を生成する。認証情報生成部３１２は、認証鍵以外の利用者認証情報を生成する。暗号処理部３１３は、車載機能プログラムの暗号化を行う。
　記憶部３２０は、管理データベース３２１を備える。
　通信部３３０は、ネットワーク４００を介してベンダサーバ８００および車両通信装置１００と互いに接続される。
　鍵書込部３４０は、鍵生成部３１１が生成した認証鍵をＩＣカード６００に書き込む。
　図８は、ＩＣカード６００の構成を示すブロック図である。ＩＣカード６００は、プロセッサ６１０、記憶部６２０および通信部６３０を備える。プロセッサ６１０、記憶部６２０および通信部６３０のハードウェア構成は、車両通信装置１００のプロセッサ１１０、記憶部１４０および通信部１６０と同様である。
　記憶部６２０は、ＩＣカード６００で使用するデータを記憶する。例えば、記憶部６２０は、利用者ＩＤ６２１および利用者認証鍵６２２を記憶する。
　通信部６３０は、ＩＣカード６００で使用するデータを通信する。例えば、通信部６３０は、ＩＣカード６００の発行時あるいは更新の際に、管理サーバ３００から利用者ＩＤ６２１と利用者認証鍵６２２を受信する。また、通信部６３０は、車両通信装置１００との間で利用者認証に必要なデータの送受信を行う。
　図９は、管理サーバ３００の記憶部３２０が有する管理データベース３２１の詳細を例示している。管理データベース３２１には、鍵管理データテーブル３２２、車載機能データテーブル３２３、利用者認証データテーブル３２４およびログ情報データテーブル３２５が含まれる。
　図１０は、鍵管理データテーブル３２２の詳細を例示している。鍵管理データテーブル３２２には、鍵のＩＤ、登録日時および鍵データの情報が含まれる。鍵管理データテーブル３２２は、管理サーバ３００が発行した利用者ＩＤに対応する認証鍵ＩＤとその鍵データを登録し、それらの更新または失効といったライフサイクルを一元管理するために用いられる。また、鍵管理データテーブル３２２は、車載機能プログラムを暗号化するために用いられるデータ暗号化用の暗号鍵についても、そのＩＤ、登録日時および鍵データの情報を含んでいる。すなわち、鍵管理データテーブル３２２は、暗号鍵の登録と管理を行うためにも用いられる。
　図１１は、車載機能データテーブル３２３の詳細を例示している。車載機能データテーブル３２３には、データのＩＤ、登録日時、車載機能プログラムを識別するためのＩＤである車載機能プログラム識別ＩＤ、車載機能プログラムのバージョン、暗号化プログラムを識別するためのＩＤである暗号化プログラム識別ＩＤ、および車両機能プログラムのデータといった情報が含まれる。車載機能データテーブル３２３は、車載機能アクセス制御システム１２の保護対象となる車載機能プログラムを管理サーバ３００上で一元管理するために用いられる。
　図１２は、利用者認証データテーブル３２４の詳細を例示している。利用者認証データテーブル３２４は、利用者ごとに用意された複数の利用者認証情報１０７からなる。利用者認証情報１０７は、利用者ＩＤ、ヘッダ情報、ステータス、利用者認証鍵、および使用履歴に関する利用情報を含んでいる。利用者認証鍵は公開鍵でも秘密鍵でも良い。ステータスは利用者の認証状態を表しており、例えば利用者の認証が失効した場合にはその情報がステータスとして記載される。
　図１３は、ログ情報データテーブル３２５の詳細を例示している。ログ情報データテーブル３２５は、複数のログ情報１０８からなる。ログ情報１０８には、ログＩＤ、日時、イベントＩＤ、および内容といった情報が含まれる。ログ情報１０８は、車両２００ごとに蓄積され保管される。
　＜Ｂ－２．動作＞
　図１４に沿って、車載機能アクセス制御システム１２の動作を説明する。
　まず、管理サーバ３００が暗号処理部３１３で車載機能プログラムを暗号化し、暗号化データを取得する（ステップＳ２０１）。本ステップの処理を暗号化処理と称する。暗号化処理は、車両２００および車両通信装置１００の製造時、または出荷後の車載機能のソフトウェア更新時に実施される。
　次に、管理サーバ３００が鍵生成部３１１で認証鍵を生成し、認証情報生成部３１２で他の認証情報を生成し、生成した認証鍵および認証情報を、ＩＣカード６００および管理データベース３２１へ格納する（ステップＳ２０２）。本ステップの処理を認証情報生成処理と称する。
　次に、車両通信装置１００が認証部１１１で利用者認証処理を行い、認証が成功した場合はさらに判定部１１２がログなどの情報を活用して、機能の使用妥当性判定処理を行う（ステップＳ２０３）。
　そして、利用者認証処理または使用妥当性判定処理において異常がなければ（ステップＳ２０４でＮｏ）、車両通信装置１００が暗号処理部１２１で暗号化データを復号し、車載機能を利用可能な状態に設定する（ステップＳ２０５）。本ステップの処理を機能有効化処理と称する。車両通信装置１００は、利用者による車載機能の使用終了後、あるいは機能有効化から所定時間の経過後に、車載機能の利用可能状態を元に戻す処理を行う。
　なお、利用者認証処理や使用妥当性判定処理において異常があれば（ステップＳ２０４でＹｅｓ）、車両通信装置１００による機能有効化処理を行うことなく、車載機能アクセス制御システム１２の処理は終了する。
　図１５は、暗号化処理（図１４のステップＳ２０１）の詳細を示すフローチャートである。以下、図１５に沿って暗号化処理の詳細を説明する。まず、管理サーバ３００の通信部３３０がベンダサーバ８００からセキュアなネットワーク４００を介して車載機能プログラムを取得する。取得した車載機能プログラムは、記憶部３２０の管理データベース３２１に格納され、車載機能データテーブル３２３に登録される（ステップＳ２０１１）。ここでは、ネットワーク４００を介した車載機能プログラムの取得方法について述べているが、管理サーバ３００はメディアを用いた安全な受け渡しにより車載機能プログラムを取得しても良い。
　次に、暗号処理部３１３が鍵管理データテーブル３２２においてＩＤで管理されたデータ暗号化用の暗号鍵を用いて、ステップＳ２０１１で登録した車載機能プログラムの暗号化を実行し、暗号化データを生成する（ステップＳ２０１２）。
　そして、管理サーバ３００は管理データベース３２１の車載機能データテーブル３２３を更新し、ステップＳ２０１２で生成した暗号化データを登録する（ステップＳ２０１３）。
　次に、通信部３３０は暗号化データを車両通信装置１００に送信し、車両通信装置１００において記憶部１４０に暗号化データが書き込まれる（ステップＳ２０１４）。本ステップは、工場内における車両通信装置１００の製造時、または出荷後の車載機能のソフトウェア更新時に実施される。
　図１６は、認証情報生成処理（図１４のステップＳ２０２）の詳細を示すフローチャートである。以下、図１６に沿って認証情報生成処理の詳細を説明する。まず、管理サーバ３００の鍵生成部３１１が利用者認証に用いられる利用者認証鍵６２２を生成する（ステップＳ２０２１）。次いで、管理サーバ３００の認証情報生成部３１２が利用者認証情報を生成する（ステップＳ２０２２）。管理サーバ３００は、ステップＳ２０２１およびステップＳ２０２２で生成した利用者認証鍵６２２および利用者認証情報を、記憶部３２０の管理データベース３２１に格納し、鍵管理データテーブル３２２および利用者認証データテーブル３２４を更新する（ステップＳ２０２３）。さらに、鍵書込部３４０が利用者ＩＤ６２１と利用者認証鍵６２２をＩＣカード６００に書き込む（ステップＳ２０２４）。具体的には、鍵書込部３４０はＩＣカード６００の記憶部６２０に利用者ＩＤ６２１と利用者認証鍵６２２を格納する。このＩＣカード６００がディーラまたはサプライヤ等、特定のユーザにのみ発行されることにより、車載機能を利用可能なユーザが制限される。次に、通信部３３０が車両通信装置１００に利用者認証情報を送信し、車両通信装置１００は補助記憶部１５０の利用者認証情報１５１を更新する（ステップＳ２０２５）。
　図１７は、利用者認証処理と使用妥当性判定処理（図１４のステップＳ２０３）の詳細を示すフローチャートである。以下、図１７に沿って利用者認証処理と使用妥当性判定処理の詳細を説明する。まず、利用者がＩＣカード６００を車両通信装置１００に接続する（ステップＳ２０３１）。接続方法は、接触あるいは非接触を問わないが、通信路および通信プロトコルはセキュリティ上の保護がなされている。次に、利用者が入力装置１７０を介して使用を希望する車載機能を入力する（ステップＳ２０３２）。このように、入力装置１７０は、利用者から車載機能の使用要求を受ける使用要求受付部として機能する。その後、車両通信装置１００の認証部１１１が、ＩＣカード６００との間で相互認証を行う（ステップＳ２０３３）。認証部１１１は、認証メカニズム、具体的にはＩＳＯ／ＩＥＣで国際標準技術となっているプロトコルなどの既存の技術を利用して、相互認証を行う。
　認証部１１１は、認証結果を判定する（ステップＳ２０３４）。認証が成功した場合にはステップＳ２０３５に進み、失敗した場合には処理を終了する。ステップＳ２０３５において、判定部１１２は、補助記憶部１５０に格納されたログ情報１５２または管理サーバ３００の管理データベース３２１内のログ情報データテーブル３２５を検索してログ情報を参照し、車載機能の使用妥当性を判定する。以下に、判定手法を３つ例示するが、判定部１１２はこれらのうちいずれかの判定手法を用いても良いし、複数の判定手法を用いても良い。
　第１の判定手法は、利用者認証処理とログ情報の相関を解析する方法である。一部の保守機能は、車両に何らかの異常が生じたことに起因して実施されることが多い。そのため、この事実を利用して、判定部１１２は、車両の異常を記録したログ情報と利用者認証処理との相関を分析し、その保守機能の使用妥当性を判定する。例えば、利用者認証処理から所定期間内の過去の時点で車両に異常が発生している場合には、車載機能の使用を妥当と判定する。また、判定部１１２は、利用者認証処理から所定期間内の過去の時点で車両に異常が発生しているとしても、利用者が使用を希望する車載機能との関係が小さい異常であれば、当該車載機能の使用を不当と判定するというように、車載機能ごとに使用妥当性を判定しても良い。
　第２の判定手法は、利用者認証時にクラウド上の管理サーバに問い合わせて、そのユーザが使おうとしている機能の使用妥当性を判定する。保守機能など一部の車載機能には、車両製造元が実施する調査に対応して、予め使用可能期間が定められている。判定部１１２はこの使用可能期間に基づき使用の妥当性を判断し、具体的には使用可能期間外に使用しようとする行為に対して不正アクセスの可能性があると判定する。
　第３の判定手法は、同一の利用者による車載機能の使用履歴に基づき使用妥当性を判定する方法である。同一のユーザによる車載機能の使用履歴は、車両通信装置１００の補助記憶部１５０または管理サーバ３００の管理データベース３２１に保管されているログ情報から取得することが可能である。また、ユーザの同一性は、利用者端末から判断することが可能である。例えば、同一のユーザが一定期間に規定回数を超えて車載機能を使用したり、離れた場所で同時期に車載機能を使用したりする場合に、判定部１１２は使用を不当と判断することができる。
　判定部１１２が車載機能の使用を妥当と判定した場合（ステップＳ２０３６でＹｅｓ）、判定部１１２は利用者認証処理と使用妥当性判定処理に異常なしと判断し（ステップＳ２０３７）、処理を終了する。一方、認証部１１１による認証が失敗した場合（ステップＳ２０３４でＮｏ）、認証部１１１は利用者認証処理に異常ありと判断し（ステップＳ２０３８）、処理を終了する。また、判定部１１２が車載機能の使用を不当と判定した場合（ステップＳ２０３６でＮｏ）、判定部１１２は使用妥当性判定処理に異常ありと判断し（ステップＳ２０３８）、処理を終了する。
　図１８は、機能有効化処理（図１４のステップＳ２０５）の詳細を示すフローチャートである。以下、図１８に沿って機能有効化処理の詳細を説明する。まず、車両通信装置１００の暗号処理部１２１が暗号鍵を用いて、暗号化データ１４２を復号して車載機能プログラムを取得する（ステップＳ２０５１）。すなわち、暗号処理部１２１は暗号化データを車載機能プログラムに復号する復号処理部として機能する。次に、車両通信装置１００は、記憶部１４０の実行プログラム領域に組み込まれたダミープログラムを、ステップＳ２０５１で取得した車載機能プログラムと置き換える（ステップＳ２０５２）。これにより、車載機能が使用可能な状態となる。
　次に、車両通信装置１００は利用者による車載機能の利用が終了したか否かを判断する（ステップＳ２０５３）。例えば、利用者により車両通信装置１００に設けられた終了ボタン（図示せず）が押下されたこと、あるいは予め定められた有効期限に達したこと、等に基づき車両通信装置１００はステップＳ２０５３の判断を行う。有効期限は、例えば特定の期日、または車載機能が使用可能な状態になってからの一定時間等として定められる。
　利用者による車載機能の利用が終了すると、車両通信装置１００は記憶部１４０の実行プログラム領域に組み込まれた車載機能プログラムを消去し、ダミープログラムに置き換える（ステップＳ２０５４）。これにより、車載機能は使用できない状態となる。
　なお、上記の機能有効化処理の説明では、ダミープログラムと車載機能プログラムを置き換えることにより、車載機能の有効または無効の切り替えが行われている。しかし、少なくとも車載機能の有効の際には車載機能プログラムが記憶部１４０の実行プログラム領域に格納され、車載機能の無効の際には車載機能プログラムが記憶部１４０の実行プログラム領域から消去されればよく、ダミープログラムとの置き換えは必須ではない。但し、ダミープログラムを用いることにより、実行プログラム領域の書き換えが容易になるというメリットがある。
　＜Ｂ－３．効果＞
　実施の形態２の車載機能アクセス制御システム１２は、利用者による車載機能の使用妥当性を判定する判定部１１２を備える。そして、復号処理部である暗号処理部１２１は、判定部１１２が使用を妥当と判定すると車載機能プログラムを復号する。従って、認証に成功した利用者でも使用が不当と判定されると車載機能を使用することができない。
　実施の形態２の車両通信装置１００は、車載機能を有する車載装置であり、車載機能を実行するための車載機能プログラムが暗号化されており、利用者から車載機能の使用要求を受ける使用要求受付部である入力装置１７０と、利用者の認証が成功した後に、復号された車載機能プログラムを格納するプログラム記憶部である記憶部１４０と、を備える。従って、利用者は認証に成功した場合にのみ車載機能を使用することができる。車載機能を使用する許可が与えられていない利用者は認証に失敗するため、車載機能を使用することができない。また、攻撃者が認証を回避して車載機能の使用を試みても、その場合にプログラム記憶部１０５は車載機能プログラムを格納していないため、車載機能を使用することはできない。
　＜Ｃ．実施の形態３＞
　実施の形態２では、車両通信装置１００が暗号鍵を有し暗号化データの復号を行った。これに対して実施の形態３では、ＩＣカードが暗号鍵を有し暗号化データの復号を行う。これにより、暗号鍵と暗号化データがＩＣカードと車両通信装置に分担して管理されるため、セキュリティが向上する。
　＜Ｃ－１．構成＞
　実施の形態３の車載機能アクセス制御システムの構成は、図４に示した実施の形態２の車載機能アクセス制御システムと同様である。しかし、実施の形態３では、車両通信装置とＩＣカードの構成が実施の形態２と異なるため、これらをそれぞれ車両通信装置１００Ｂ、ＩＣカード６００Ｂと称して以下に説明する。
　図１９は、車両通信装置１００Ｂの構成図である。車両通信装置１００Ｂは、ＨＳＭ１２０が暗号鍵格納部を有さないという点で実施の形態２の車両通信装置１００と異なる。
　図２０は、ＩＣカード６００Ｂの構成図である。ＩＣカード６００Ｂは、プロセッサ６１０が暗号処理部６１１を備え、記憶部６２０が暗号鍵６２３を有する点で実施の形態２のＩＣカード６００と異なっている。このように、実施の形態３の車載機能アクセス制御システムでは、車載機能プログラムを暗号化するための暗号鍵が車両通信装置１００ＢではなくＩＣカード６００Ｂに存在する。
　＜Ｃ－２．動作＞
　実施の形態３の車載機能アクセス制御システムの動作は、図１４にフローを示した実施の形態２の車載機能アクセス制御システム１２の動作と同様であり、暗号化処理、認証情報生成処理、利用者認証処理、使用妥当性判定処理および機能有効化処理からなる。そのうち、暗号化処理、利用者認証処理および使用妥当性判定処理は、実施の形態２と同様であるため、詳細なフローの説明を省略する。
　実施の形態３の認証情報生成処理は、図１６にフローを示した実施の形態２の認証情報生成処理と概ね同様である。但し、実施の形態２では、管理サーバ３００がＩＣカード６００に利用者ＩＤと利用者認証鍵を書き込むのに対し、実施の形態３ではそれらに加えて、管理サーバ３００がＩＣカード６００Ｂに暗号鍵を書き込む。
　図２１は、実施の形態３の機能有効化処理の詳細を示すフローチャートである。以下、図２１に沿って実施の形態３の機能有効化処理を説明する。まず、車両通信装置１００Ｂの通信部１６０が、記憶部１４０に格納された暗号化データ１４２をＩＣカード６００Ｂに送信する（ステップＳ２０５１Ａ）。次に、ＩＣカード６００Ｂの暗号処理部６１１が暗号鍵を用いて暗号化データを復号し、得られた車載機能プログラムを車両通信装置１００Ｂに送り戻す（ステップＳ２０５１Ｂ）。その後のステップＳ２０５２－Ｓ２０５４は図１８に示した実施の形態２の処理と同様であるため、説明を省略する。
　＜Ｃ－３．効果＞
　実施の形態３の車載機能アクセス制御システムでは、利用者端末であるＩＣカード６００Ｂが暗号処理部６１１を有する。ＩＣカード６００Ｂで暗号化データの復号を行う構成とすることにより、暗号化データを車両通信装置１００Ｂで、暗号鍵をＩＣカード６００Ｂで分担して保有することになる。従って、セキュリティが向上する。
　＜Ｄ．実施の形態４＞
　実施の形態２では、車両通信装置１００がＩＣカード６００との間で利用者認証処理を行った。これに対して実施の形態４では、管理サーバがＩＣカードとの間で利用者認証処理を行う。
　＜Ｄ－１．構成＞
　実施の形態４の車載機能アクセス制御システムの構成は、図４に示した実施の形態２の車載機能アクセス制御システムと同様である。しかし、実施の形態４では、車両通信装置と管理サーバの構成が実施の形態２と異なるため、これらをそれぞれ車両通信装置１００Ｃ、管理サーバ３００Ｃと称して以下説明する。
　図２２は、車両通信装置１００Ｃの構成を示している。車両通信装置１００Ｃは、プロセッサ１１０が認証部１１１を備えず、補助記憶部１５０に利用者認証情報１５１が格納されない点で、実施の形態２の車両通信装置１００と異なっている。
　図２３は、管理サーバ３００Ｃの構成を示している。管理サーバ３００Ｃは、実施の形態２の管理サーバ３００の構成に加えて、プロセッサ３１０に認証部３１４を備える。
　＜Ｄ－２．動作＞
　実施の形態４の車載機能アクセス制御システムの動作は、図１４にフローを示した実施の形態２の車載機能アクセス制御システム１２の動作と同様であり、暗号化処理、認証情報生成処理、利用者認証処理、使用妥当性判定処理および機能有効化処理からなる。そのうち、暗号化処理、使用妥当性判定処理および機能有効化処理は実施の形態２と同様であるため、詳細なフローの説明を省略する。
　実施の形態４の認証情報生成処理は、管理サーバ３００Ｃから車両通信装置１００Ｃに利用者認証情報を送信しない点以外は、図１６に示した実施の形態３の認証情報生成処理と同様である。
　実施の形態４の利用者認証処理は、管理サーバ３００Ｃの認証部３１４が車両通信装置１００Ｃ経由でＩＣカード６００と相互認証を行う点以外は、図１７に示した実施の形態２の利用者認証処理と同様である。なお、ここではＩＣカード６００が近距離無線通信にのみ対応していることを前提として、管理サーバ３００Ｃが車両通信装置１００Ｃ経由でＩＣカード６００と相互認証を行うこととしている。タブレット端末またはパーソナルコンピュータ等、遠距離の無線通信に対応した利用者端末を用いる場合、管理サーバ３００Ｃはそれらの利用者端末と直接通信を行って相互認証を行っても良い。
　なお、本実施の形態は実施の形態３と組み合わせても良い。すなわち、管理サーバで利用者認証を行い、かつＩＣカードで暗号化データを復号しても良い。
　＜Ｄ－３．効果＞
　実施の形態４の車載機能アクセス制御システムでは、認証部３１４が車載装置である車両通信装置１００Ｃと通信を行う管理サーバ３００Ｃに設けられる。これにより、車両通信装置１００Ｃの構成を簡略化することができる。
　＜Ｅ．実施の形態５＞
　実施の形態２－４では、管理サーバが車載機能プログラムを暗号化すると暗号化データを車両通信装置に送信し、車両通信装置は利用者認証後に暗号化データを車載機能プログラムに復号していた。これに対して本実施の形態では、管理サーバは車載機能プログラムを暗号化した後これを保有し、利用者認証後に暗号化データを車両通信装置に送信する。これ以外の点で本実施の形態は実施の形態４と同様である。
　＜Ｅ－１．構成＞
　実施の形態５の車載機能アクセス制御システムの構成は、図４に示した実施の形態２の車載機能アクセス制御システムと同様である。しかし、実施の形態５では、車両通信装置の構成が実施の形態２と異なるため、これを車両通信装置１００Ｄと称して以下説明する。
　図２４は、車両通信装置１００Ｄの構成図である。車両通信装置１００Ｄは、記憶部１４０が暗号化データを格納しないという点で実施の形態２の車両通信装置１００Ｃと異なる。
　＜Ｅ－２．動作＞
　実施の形態５の車載機能アクセス制御システムの動作は、図１４にフローを示した実施の形態２の車載機能アクセス制御システム１２の動作と同様であり、暗号化処理、認証情報生成処理、利用者認証処理、使用妥当性判定処理および機能有効化処理からなる。そのうち、認証情報生成処理、利用者認証処理、使用妥当性判定処理および機能有効化処理は実施の形態２と同様であるため、詳細なフローの説明を省略する。
　実施の形態２の暗号化処理では、管理サーバ３００は車載機能プログラムを暗号化した後、車両通信装置に暗号化データを送信した（図１５のステップＳ２０１４）。しかし、本実施の形態では、管理サーバ３００は暗号化データを記憶部３２０に格納しておき、機能有効化処理の際に車両通信装置１００Ｄに暗号化データを送信する。すなわち、管理サーバ３００の記憶部３２０が、暗号化データを記憶する暗号化データ記憶部として機能する。
　図２５は、実施の形態５の機能有効化処理の詳細を示すフローチャートである。以下、図２５に沿って実施の形態５の機能有効化処理を説明する。まず、車両通信装置１００Ｄが管理サーバ３００から暗号化データを取得する（ステップＳ２０５１Ｃ）。次に、車両通信装置１００が暗号化データを復号し、車載機能プログラムを取得する（ステップＳ２０５１Ｄ）。その後のステップＳ２０５２－２０５４は図１８に示した実施の形態２の処理と同様であるため、説明を省略する。
　＜Ｅ－３．効果＞
　実施の形態５の車載機能アクセス制御システムにおいて、暗号化データ記憶部である記憶部３２０は車両通信装置１００Ｄと通信を行う管理サーバ３００に設けられる。従って、利用者の認証が成功しなければ、車両通信装置には車載機能プログラムは勿論、暗号化データも存在しないため、実施の形態２に比べてセキュリティが向上する。
　なお、本実施の形態は実施の形態３または実施の形態４と組み合わせても良い。本実施の形態を実施の形態４と組み合わせる場合、車両通信装置１００は管理サーバ３００から暗号化データを取得した後、当該暗号化データをＩＣカード６００に送信する。そして、ＩＣカード６００は暗号化データを復号処理し、得られた車載機能プログラムを車両通信装置１００に送り戻す。
　なお、本発明は、その発明の範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略したりすることが可能である。
　この発明は詳細に説明されたが、上記した説明は、すべての態様において、例示であって、この発明がそれに限定されるものではない。例示されていない無数の変形例が、この発明の範囲から外れることなく想定され得るものと解される。
　１１，１２　車載機能アクセス制御システム、１００，１００Ｂ，１００Ｃ，１００Ｄ　車両通信装置、１０１，１２１，３１３，６１１　暗号処理部、１０２　暗号化データ記憶部、１０３　認証部、１０４　復号処理部、１０５　プログラム記憶部、１０７，１５１　利用者認証情報、１０８，１５２　ログ情報、１１０，３１０，６１０　プロセッサ、１１１，３１４　認証部、１１２　判定部、１１３　切替部、１２０　ＨＳＭ、１２２　暗号鍵格納部、１３０　表示機器、１４０，３２０，６２０　記憶部、１４１　車載機能プログラム、１４２　暗号化データ、１５０　補助記憶部、１６０，３３０，６３０　通信部、１７０　入力装置、２００　車両、２０１　車載ネットワーク、２０２　ＥＣＵ、３００，３００Ｃ　管理サーバ、３１１　鍵生成部、３１２　認証情報生成部、３２１　管理データベース、３２２　鍵管理データテーブル、３２３　車載機能データテーブル、３２４　利用者認証データテーブル、３２５　ログ情報データテーブル、３４０　鍵書込部、４００　ネットワーク、５００　利用者、６００，６００Ｂ　ＩＣカード、６２２　利用者認証鍵、６２３　暗号鍵、８００　ベンダサーバ。

Claims (11)

  1. 　車載装置が有する機能である車載機能を実行するための車載機能プログラムを暗号化して暗号化データを取得する暗号処理部と、
    　前記暗号化データを格納する暗号化データ記憶部と、
    　利用者の認証を行う認証部と、
    　前記認証の成功後に前記暗号化データを前記車載機能プログラムに復号する復号処理部と、
    　前記認証の成功後に前記復号処理部が復号した前記車載機能プログラムを格納する、前記車載装置に設けられたプログラム記憶部と、
    を備える、
    車載機能アクセス制御システム。
  2. 　前記利用者による前記車載機能の使用妥当性を判定する判定部をさらに備え、
    　前記復号処理部は、前記判定部が使用を妥当と判定すると前記車載機能プログラムを復号する、
    請求項１に記載の車載機能アクセス制御システム。
  3. 　前記判定部は、前記車両の異常を記録したログ情報を参照して前記使用妥当性を判定する、
    請求項２に記載の車載機能アクセス制御システム。
  4. 　前記判定部は、予め定められた前記車載機能の使用可能期間に基づき前記使用妥当性を判定する、
    請求項２に記載の車載機能アクセス制御システム。
  5. 　前記判定部は、前記利用者の過去の認証結果を記録したログ情報を参照して前記使用妥当性を判定する、
    請求項２に記載の車載機能アクセス制御システム。
  6. 　前記車載機能は保守機能またはデバッグ機能である、
    請求項１に記載の車載機能アクセス制御システム。
  7. 　前記認証部は前記利用者が使用する利用者端末との間の通信により前記利用者の認証を行い、
    　前記暗号処理部は前記利用者端末に設けられる、
    請求項１に記載の車載機能アクセス制御システム。
  8. 　前記認証部は前記車載装置と通信を行う管理サーバに設けられる、
    請求項１に記載の車載機能アクセス制御システム。
  9. 　前記暗号化データ記憶部は前記車載装置と通信を行う管理サーバに設けられる、
    請求項１に記載の車載機能アクセス制御システム。
  10. 　車載機能を有する車載装置であって、
    　前記車載機能を実行するための車載機能プログラムが暗号化されており、
    　利用者から前記車載機能の使用要求を受ける使用要求受付部と、
    　前記利用者の認証の成功後に、復号された前記車載機能プログラムを格納するプログラム記憶部と、を備える、
    車載装置。
  11. 　車載装置が有する機能である車載機能を実行するための車載機能プログラムを暗号化して暗号化データを取得し、
    　前記暗号化データを記憶部に格納し、
    　利用者の認証を行い、
    　前記認証の成功後に前記暗号化データを前記車載機能プログラムに復号し、
    　前記認証の成功後に復号された前記車載機能プログラムを記憶部に格納する、
    車載機能アクセス制御方法。
PCT/JP2018/006240 2018-02-21 2018-02-21 車載機能アクセス制御システム、車載装置および車載機能アクセス制御方法 Ceased WO2019163026A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
PCT/JP2018/006240 WO2019163026A1 (ja) 2018-02-21 2018-02-21 車載機能アクセス制御システム、車載装置および車載機能アクセス制御方法
CN201880089317.3A CN111788458A (zh) 2018-02-21 2018-02-21 车载功能访问控制系统、车载装置及车载功能访问控制方法
US16/961,839 US20200389325A1 (en) 2018-02-21 2018-02-21 In-vehicle-function access control system, in-vehicle apparatus, and in-vehicle-function access control method
JP2020501903A JP6937887B2 (ja) 2018-02-21 2018-02-21 車載機能アクセス制御システム、車載装置および車載機能アクセス制御方法
DE112018007132.4T DE112018007132T5 (de) 2018-02-21 2018-02-21 Fahrzeuginternes Funktionszugriffkontrollsystem, fahrzeuginterne Vorrichtung und fahrzeuginternes Funktionszugriffkontrollverfahren

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2018/006240 WO2019163026A1 (ja) 2018-02-21 2018-02-21 車載機能アクセス制御システム、車載装置および車載機能アクセス制御方法

Publications (1)

Publication Number Publication Date
WO2019163026A1 true WO2019163026A1 (ja) 2019-08-29

Family

ID=67688154

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/006240 Ceased WO2019163026A1 (ja) 2018-02-21 2018-02-21 車載機能アクセス制御システム、車載装置および車載機能アクセス制御方法

Country Status (5)

Country Link
US (1) US20200389325A1 (ja)
JP (1) JP6937887B2 (ja)
CN (1) CN111788458A (ja)
DE (1) DE112018007132T5 (ja)
WO (1) WO2019163026A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112994898A (zh) * 2021-04-08 2021-06-18 北京邮电大学 车内网通信安全认证方法及装置

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102450811B1 (ko) * 2018-11-26 2022-10-05 한국전자통신연구원 차량 내부 네트워크의 키 관리 시스템
JP7400680B2 (ja) * 2020-09-30 2023-12-19 株式会社デンソー 認証管理方法、認証管理プログラム及び利用者認証管理装置
CN112351043A (zh) * 2020-11-18 2021-02-09 北斗星通智联科技有限责任公司 车载导航工厂设置密码管理方法和系统
CN116321145B (zh) * 2022-09-07 2026-01-02 合肥杰发科技有限公司 通信认证方法、相应设备和存储介质

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0934355A (ja) * 1995-07-25 1997-02-07 Toshiba Corp 暗号化システム及び通信ネットワークに適用する暗号化システム
JP2002373116A (ja) * 2001-05-12 2002-12-26 Robert Bosch Gmbh マイクロコンピュータシステムの保護方法，メモリ装置，コンピュータプログラム，スマートカード，マイクロコンピュータシステム
JP2012198827A (ja) * 2011-03-23 2012-10-18 Nec Corp フィッシング防止システム、認証装置、フィッシング防止方法、及びプログラム
JP2013201510A (ja) * 2012-03-23 2013-10-03 Denso Corp 車両用データ通信システム及び車両用データ通信装置
JP2014146868A (ja) * 2013-01-28 2014-08-14 Hitachi Automotive Systems Ltd ネットワーク装置およびデータ送受信システム
JP2017167614A (ja) * 2016-03-14 2017-09-21 富士通株式会社 復号プログラム、暗号化プログラム、復号装置、暗号化装置、復号方法、および暗号化方法

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003132028A (ja) * 2001-10-26 2003-05-09 Sony Corp アクセス制御システム、アクセス管理サーバ、電子機器、リモート電子機器及びアクセス制御方法
WO2009063947A1 (ja) * 2007-11-16 2009-05-22 Fujitsu Ten Limited 認証方法、認証システム、車載装置および認証装置
JP6190188B2 (ja) * 2013-07-05 2017-08-30 クラリオン株式会社 情報配信システムおよびそれに用いるサーバ、車載端末、通信端末

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0934355A (ja) * 1995-07-25 1997-02-07 Toshiba Corp 暗号化システム及び通信ネットワークに適用する暗号化システム
JP2002373116A (ja) * 2001-05-12 2002-12-26 Robert Bosch Gmbh マイクロコンピュータシステムの保護方法，メモリ装置，コンピュータプログラム，スマートカード，マイクロコンピュータシステム
JP2012198827A (ja) * 2011-03-23 2012-10-18 Nec Corp フィッシング防止システム、認証装置、フィッシング防止方法、及びプログラム
JP2013201510A (ja) * 2012-03-23 2013-10-03 Denso Corp 車両用データ通信システム及び車両用データ通信装置
JP2014146868A (ja) * 2013-01-28 2014-08-14 Hitachi Automotive Systems Ltd ネットワーク装置およびデータ送受信システム
JP2017167614A (ja) * 2016-03-14 2017-09-21 富士通株式会社 復号プログラム、暗号化プログラム、復号装置、暗号化装置、復号方法、および暗号化方法

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112994898A (zh) * 2021-04-08 2021-06-18 北京邮电大学 车内网通信安全认证方法及装置

Also Published As

Publication number Publication date
US20200389325A1 (en) 2020-12-10
JP6937887B2 (ja) 2021-09-22
DE112018007132T5 (de) 2021-01-07
CN111788458A (zh) 2020-10-16
JPWO2019163026A1 (ja) 2020-08-20

Similar Documents

Publication Publication Date Title
JP6719079B2 (ja) 情報機器、データ処理システム、データ処理方法およびコンピュータプログラム
US11032278B2 (en) System, method and apparatus for generating device identifier
JP5680115B2 (ja) データ・セキュリティ装置のためのトランザクション監査
US9270466B2 (en) System and method for temporary secure boot of an electronic device
CN100421102C (zh) 便携式存储装置和使用该便携式存储装置的内容管理方法
ES2318302T3 (es) Prueba de ejecucion que utiliza funcion aleatoria.
US8886964B1 (en) Protecting remote asset against data exploits utilizing an embedded key generator
KR101546204B1 (ko) 호스트 디바이스, 반도체 메모리 디바이스, 및 인증 방법
JP6937887B2 (ja) 車載機能アクセス制御システム、車載装置および車載機能アクセス制御方法
JP4219965B2 (ja) ワンタイムｉｄによる認証
US20110126023A1 (en) Systems And Methods For Data Security
CN111401901B (zh) 生物支付设备的认证方法、装置、计算机设备和存储介质
US8433908B2 (en) Card issuing system, card issuing server, card issuing method and program
JP2004295271A (ja) カード及びパスコード生成器
JPWO2005096158A1 (ja) 利用認証方法、利用認証プログラム、情報処理装置および記録媒体
KR20030095343A (ko) 디지털 컨텐츠 발행시스템 및 발행방법
JP2017157018A (ja) 情報処理装置、情報処理方法、情報処理プログラム、及びトラステッド・プラットフォーム・モジュール
JP2011012511A (ja) 電気錠制御システム
WO2019224912A1 (ja) 車両通信装置、車両アクセス制御システム、管理装置、車両アクセス制御方法、および車両アクセス制御プログラム
US20060155651A1 (en) Device and method for digital rights management
KR102551592B1 (ko) 자동차의 주행거리 조작을 방지하는 방법 및 이를 사용한 주행거리기록장치
CN101657822B (zh) 数据保管方法、客户端装置、存储装置以及数据保管系统
JP2008191851A (ja) 電子機器、および情報処理方法
JP2020005064A (ja) 利用者権限認証システム
JP2022061275A (ja) ライセンス管理方法、ライセンス管理装置、及びプログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18907331

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020501903

Country of ref document: JP

Kind code of ref document: A

122 Ep: pct application non-entry in european phase

Ref document number: 18907331

Country of ref document: EP

Kind code of ref document: A1