JP2022094017A - 車載システム - Google Patents

Abstract

【課題】不揮発性メモリへの書き込み回数を抑えながら通信異常後のリセット時にセキュア通信を短時間で再開させることができる車載システムを得る。【解決手段】送信ＥＣＵ２０及び受信ＥＣＵ３０は、揮発性メモリであるＲＡＭのセッション情報記憶部２６、３６にセッション情報を記憶させ、通信異常の予兆を検出している場合には不揮発性メモリであるＮＶＲＡＭのバックアップ部２７、３７にもセッション情報を記憶させる。バックアップ部２７、３７に記憶させるセッション情報は、セッション情報記憶部２６、３６に記憶させるセッション情報とは異なる新たなセッション情報とされる。【選択図】図１

Description

本発明は、車載システムに関する。

下記特許文献１には、通信セキュリティを確保するための鍵管理システムに関する技術が開示されている。この先行技術では、車載機器等は不揮発性の補助記憶装置（電気的にデータ書換可能な不揮発性メモリ）を備え、補助記憶装置には種々の識別情報及び鍵情報等（セッション情報を含む情報）が記憶される。このような先行技術では、通信異常後のリセット時には、不揮発性の補助記憶装置に記憶されたセッション情報を利用することで、セッション情報を共有するための処理を省略できるので、セキュア通信を短時間で再開させることができる。

国際公開第２０１８／１８９８８５号パンフレット

しかしながら、セッション情報は更新頻度が高いため、車載機器の不揮発性メモリの書き込み上限を踏まえると、車載機器の不揮発性メモリにセッション情報をすべて記憶させるのは現実的ではない。一方、車載機器の不揮発性メモリにセッション情報を記憶させない場合には通信異常後のリセット時にセキュア通信を短時間で再開させることができない。

本発明は、上記事実を考慮して、不揮発性メモリへの書き込み回数を抑えながら通信異常後のリセット時にセキュア通信を短時間で再開させることができる車載システムを得ることが目的である。

請求項１に記載する本発明の車載システムは、車両にそれぞれ搭載されて伝送路を介して通信する複数のＥＣＵを含み、前記複数のＥＣＵのそれぞれが、揮発性メモリと、電気的にデータ書換可能な不揮発性メモリと、を備える、車載システムであって、前記複数のＥＣＵのそれぞれは、通信異常の予兆を検出する検出部と、前記揮発性メモリにセッション情報を記憶させ、前記検出部が通信異常の予兆を検出している場合には前記不揮発性メモリにもセッション情報を記憶させる管理部と、を有する。

上記構成によれば、揮発性メモリと、電気的にデータ書換可能な不揮発性メモリと、を備える複数のＥＣＵは、車両にそれぞれ搭載されて伝送路を介して通信する。ここで、複数のＥＣＵのそれぞれは、検出部と管理部とを有する。検出部は、通信異常の予兆を検出する。管理部は、揮発性メモリにセッション情報を記憶させ、検出部が通信異常の予兆を検出している場合には不揮発性メモリにもセッション情報を記憶させる。これにより、不揮発性メモリへの書き込み回数が抑えられ、かつ通信異常後のリセット時には、不揮発性メモリに記憶されたセッション情報を利用することでセキュア通信を短時間で再開させることが可能となる。

請求項２に記載する本発明の車載システムは、請求項１記載の構成において、前記管理部は、前記検出部が通信異常の予兆を検出している場合には、前記揮発性メモリに記憶させるセッション情報とは異なる新たなセッション情報を所定の基準に基づいて生成して当該新たなセッション情報を前記不揮発性メモリに記憶させる。

上記構成によれば、検出部が通信異常の予兆を検出している場合、揮発性メモリに記憶されるセッション情報とは異なる新たなセッション情報が不揮発性メモリに記憶される。このため、悪意のある第三者による再送攻撃の失敗確率を高めることができる。

請求項３に記載する本発明の車載システムは、請求項２記載の構成において、前記管理部は、前記検出部が通信異常の予兆を検出している場合には、前記揮発性メモリに記憶させるセッション情報のうちシーケンス番号を除く情報と、所定のタイミングで更新されかつ自車両から取得可能な値と、を含む情報を前記新たセッション情報として一回のみ生成し、当該新たなセッション情報を前記不揮発性メモリに記憶させる。

上記構成によれば、検出部が通信異常の予兆を検出している場合に生成される新たなセッション情報は、揮発性メモリに記憶させるセッション情報のうちシーケンス番号を除く情報と、所定のタイミングで更新されかつ自車両から取得可能な値と、を含む情報であり、一回のみ生成されて不揮発性メモリに記憶される。ここで、例えば、検出部が通信異常の予兆を検出している間においてセッション情報が揮発性メモリに複数回記憶される場合、その複数のセッション情報は、シーケンス番号以外は同じ情報である。よって、検出部が通信異常の予兆を検出している間に上記のように一回のみ新たなセッション情報が生成されて不揮発性メモリへの書き込みも一回のみとされることで、不揮発性メモリへの書き込み回数を効率的に低減することが可能となる。

以上説明したように、本発明の車載システムによれば、不揮発性メモリへの書き込み回数を抑えながら通信異常後のリセット時にセキュア通信を短時間で再開させることができるという優れた効果を有する。

第１の実施形態に係る車載システムの概略構成の一例を示すブロック図である。 送信ＥＣＵのハードウェア構成の一例を示すブロック図である。 受信ＥＣＵのハードウェア構成の一例を示すブロック図である。 送信ＥＣＵの機能構成の一例を示すブロック図である。 受信ＥＣＵの機能構成の一例を示すブロック図である。 メッセージフォーマットの一例を示すイメージ図である。 車載システムの動作の一例を示す図である。 送信ＥＣＵによるセッション情報の検索を含む処理の流れの一例を示すフローチャートである。 受信ＥＣＵによるセッション情報の検索を含む処理の流れの一例を示すフローチャートである。 第２の実施形態に係る車載システムの概略構成の一例を示すブロック図である。

［第１の実施形態］
本発明の第１の実施形態に係る車載システムについて図１～図９を用いて説明する。

図１には、第１の実施形態に係る車載システム１０の概略構成の一例がブロック図で示されている。図１に示されるように、車載システム１０は、伝送路としてのバス１２を介して通信する複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）としての送信ＥＣＵ２０及び受信ＥＣＵ３０を含む。送信ＥＣＵ２０及び受信ＥＣＵ３０は、車両Ｖにそれぞれ搭載されている。バス１２は、送信ＥＣＵ２０と受信ＥＣＵ３０とを接続する。車載システム１０では、送信ＥＣＵ２０と受信ＥＣＵ３０との間のメッセージの送受が通信により行われる。なお、図１では、送信ＥＣＵ２０及び受信ＥＣＵ３０が一個ずつで計二個のＥＣＵが図示されているが、ＥＣＵの合計は三個以上であってもよい。

送信ＥＣＵ２０は、バス１２に接続され、バス１２へメッセージを送信する。受信ＥＣＵ３０は、バス１２に接続され、バス１２からメッセージを受信する。バス１２は、送信ＥＣＵ２０と受信ＥＣＵ３０との間で送受されるメッセージが伝送される伝送路であり、一例としてＥｔｈｅｒｎｅｔ（登録商標）規格のものが適用される。

送信ＥＣＵ２０は、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）処理部２１、ＴＣＰ／ＵＤＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）処理部２２、ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）処理部２３、アプリケーション（Ａｐｐｌｉｃａｔｉｏｎ）処理部２４、判定部２５、セッション情報（Ｓｅｓｓｉｏｎ Ｉｎｆｏ）記憶部２６、及びバックアップ（Ｂａｃｋ Ｕｐ）部２７を備える。ＩＰ処理部２１、ＴＣＰ／ＵＤＰ処理部２２、ＴＬＳ処理部２３、アプリケーション処理部２４及び判定部２５は、ＣＰＵ２０Ａ（図２参照）がプログラムを実行することによって実現される機能ブロックである。なお、図１に示される両向きの矢印は、各要素間のインタフェースを示す。

また、受信ＥＣＵ３０は、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）処理部３１、ＴＣＰ／ＵＤＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）処理部３２、ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）処理部３３、アプリケーション（Ａｐｐｌｉｃａｔｉｏｎ）処理部３４、判定部３５、セッション情報（Ｓｅｓｓｉｏｎ Ｉｎｆｏ）記憶部３６、及びバックアップ（Ｂａｃｋ Ｕｐ）部３７を備える。ＩＰ処理部３１、ＴＣＰ／ＵＤＰ処理部３２、ＴＬＳ処理部３３、アプリケーション処理部３４及び判定部３５は、ＣＰＵ３０Ａ（図３参照）がプログラムを実行することによって実現される機能ブロックである。

ＩＰ処理部２１、３１は、インターネット層を処理する。ＴＣＰ／ＵＤＰ処理部２２、３２は、トランスポート層を処理する。ＴＬＳ処理部２３、３３は、セキュアなチャンネル（通信路）を利用できるように共通鍵方式暗号化処理をする。

送信ＥＣＵ２０のアプリケーション処理部２４は、通信相手へのメッセージ送信処理をする。受信ＥＣＵ３０のアプリケーション処理部３４は、通信相手からのメッセージ受信処理をする。

セッション情報記憶部２６、３６は、セッション情報を記憶する記憶部である。セッション情報記憶部２６、３６が記憶するセッション情報には、一例として、セッションＩＤ、アドレス情報、暗号アルゴリズム、暗号鍵、及びシーケンス番号が含まれる。セッションＩＤは、セッションを識別する識別子である。アドレス情報はセッションを確立した送信ＥＣＵ２０及び受信ＥＣＵ３０の双方のＩＰアドレス及びポート番号の情報である。暗号アルゴリズムはセキュア通信で利用する暗号アルゴリズムである。暗号鍵はセキュア通信で利用する暗号鍵である。シーケンス番号は、再送攻撃（過去に送信された正規メッセージを再利用した攻撃）を防ぐための連番である。

バックアップ部２７、３７は、所定の場合（後述）にセッション情報を記憶するバックアップ用の記憶部である。バックアップ部２７、３７に記憶されるセッション情報については後述する。判定部２５、３５は、セッション情報記憶部２６、３６に検索対象のデータが存在するか否かを判定する他、所定の場合にバックアップ部２７、３７に利用可能なデータが存在するか否かを判定する。

図２には、送信ＥＣＵ２０のハードウェア構成の一例がブロック図で示されている。図２に示されるように、送信ＥＣＵ２０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ：プロセッサ）２０Ａ、電気的にデータ書換不可能な不揮発性メモリであるＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２０Ｂ、揮発性メモリとしてのＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２０Ｃ、電気的にデータ書換可能な不揮発性メモリとしてのＮＶＲＡＭ（Ｎｏｎ－Ｖｏｌａｔｉｌｅ ＲＡＭ）２０Ｄ及び通信Ｉ／Ｆ（Ｉｎｔｅｒ Ｆａｃｅ）２０Ｅを備えている。ＣＰＵ２０Ａ、ＲＯＭ２０Ｂ、ＲＡＭ２０Ｃ、ＮＶＲＡＭ２０Ｄ及び通信Ｉ／Ｆ２０Ｅは、バス２０Ｚを介して相互に通信可能に接続されている。

図３には、受信ＥＣＵ３０のハードウェア構成の一例がブロック図で示されている。図３に示されるように、受信ＥＣＵ３０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ：プロセッサ）３０Ａ、電気的にデータ書換不可能な不揮発性メモリであるＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）３０Ｂ、揮発性メモリとしてのＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）３０Ｃ、電気的にデータ書換可能な不揮発性メモリとしてのＮＶＲＡＭ（Ｎｏｎ－Ｖｏｌａｔｉｌｅ ＲＡＭ）３０Ｄ及び通信Ｉ／Ｆ（Ｉｎｔｅｒ Ｆａｃｅ）３０Ｅを備えている。ＣＰＵ３０Ａ、ＲＯＭ３０Ｂ、ＲＡＭ３０Ｃ、ＮＶＲＡＭ３０Ｄ及び通信Ｉ／Ｆ３０Ｅは、バス３０Ｚを介して相互に通信可能に接続されている。

図２及び図３に示されるＣＰＵ２０Ａ、３０Ａは、中央演算処理ユニットであり、各種プログラムを実行したり、各部を制御したりする。すなわち、ＣＰＵ２０Ａ、３０Ａは、ＲＯＭ２０Ｂ、３０Ｂからプログラムを読み出し、ＲＡＭ２０Ｃ、３０Ｃを作業領域としてプログラムを実行する。ＣＰＵ２０Ａ、３０Ａは、ＲＯＭ２０Ｂ、３０Ｂに記録されているプログラムに従って、上記各構成の制御及び各種の演算処理を行う。

ＲＯＭ２０Ｂ、３０Ｂは、各種プログラム及び各種データを格納する。ＲＡＭ２０Ｃ、３０Ｃは、作業領域として一時的にプログラムを記憶したり、データを記憶したりする。ＲＡＭ２０Ｃはセッション情報記憶部２６（図１）を含み、ＲＡＭ３０Ｃは、セッション情報記憶部３６（図１）を含む。ＮＶＲＡＭ２０Ｄ、３０Ｄは、一例としてフラッシュメモリで構成され、各種プログラム及び各種データを記憶する。ＮＶＲＡＭ２０Ｄは、バックアップ部２７（図１参照）を含み、ＮＶＲＡＭ３０Ｄは、バックアップ部３７（図１参照）を含む。通信Ｉ／Ｆ２０Ｅ、３０Ｅは、他の機器と通信するためのインタフェースであり、一例として、Ｅｔｈｅｒｎｅｔ（登録商標）の規格が用いられている。

図４には、送信ＥＣＵ２０の機能構成の一例がブロック図で示されている。図４に示されるように、送信ＥＣＵ２０は、機能構成として、検出部２０１及び管理部２０２を有する。各機能構成は、ＣＰＵ２０ＡがＲＯＭ２０Ｂに記憶されたプログラムを読み出し、実行することにより実現される。

図５には、受信ＥＣＵ３０の機能構成の一例がブロック図で示されている。図５に示されるように、受信ＥＣＵ３０は、機能構成として、検出部３０１及び管理部３０２を有する。各機能構成は、ＣＰＵ３０ＡがＲＯＭ３０Ｂに記憶されたプログラムを読み出し、実行することにより実現される。

図４及び図５に示される検出部２０１、３０１は、通信異常の予兆を検出する。通信異常の予兆は、例えばバッテリの電圧が閾値以下に低下していること、ＥＣＵ（送信ＥＣＵ２０、受信ＥＣＵ３０）自身がフェール状態に移行していること等から検出される。

管理部２０２、３０２は、ＲＡＭ２０Ｃ、３０Ｃのセッション情報記憶部２６、３６にセッション情報を記憶させ、検出部２０１、３０１が通信異常の予兆を検出している場合にはＮＶＲＡＭ２０Ｄ、３０Ｄのバックアップ部２７、３７にもセッション情報を記憶させる。ここでは、一例として、管理部２０２、３０２は、検出部２０１、３０１が通信異常の予兆を検出している場合には、ＲＡＭ２０Ｃ、３０Ｃのセッション情報記憶部２６、３６に記憶させるセッション情報とは異なる新たなセッション情報を所定の基準に基づいて生成して当該新たなセッション情報をＮＶＲＡＭ２０Ｄ、３０Ｄのバックアップ部２７、３７に記憶させる。

より具体的に説明すると、この実施形態の管理部２０２、３０２は、検出部２０１、３０１が通信異常の予兆を検出している場合には、ＲＡＭ２０Ｃ、３０Ｃのセッション情報記憶部２６、３６に記憶させるセッション情報のうちシーケンス番号を除く情報と、所定のタイミングで更新されかつ自車両である車両Ｖから取得可能な値（以下、適宜「ユニーク値」という）と、を含む情報を新たセッション情報として一回のみ生成し、当該新たなセッション情報をＮＶＲＡＭ２０Ｄ、３０Ｄのバックアップ部２７、３７に記憶させる。なお、所定のタイミングで更新されかつ自車両である車両Ｖから取得可能な値（ユニーク値）としては、例えば、トリップのカウンタ値（車両Ｖの電源を入れる度にカウントアップされる値）、日付及び時刻に関する情報の値（例えば何年何月何日何時を示す値）等が挙げられる。

図６には、通信に利用されるパケットのメッセージフォーマットの一例がイメージ図で示されている。メッセージフォーマットは、ＥｔｈｅｒｎｅｔヘッダＭ１、ＩＰヘッダＭ２、ＴＣＰ／ＵＤＰヘッダＭ３、ＴＬＳヘッダＭ４、ユニーク値領域Ｍ５、及び送信メッセージＭ６が、この順に設定された構造となっている。ユニーク値領域Ｍ５は、通常時はＡＬＬ０とされ、バックアップ部２７（図１参照）の値を利用する場合は上記のユニーク値に上書きされる。

次に、車載システム１０の動作の一例を図７により説明する。

図７のステップＳ１では、送信ＥＣＵ２０は、送信データを分割した分割データを含むメッセージを受信ＥＣＵ３０へ送信する。受信ＥＣＵ３０は、当該メッセージを受信する。その後、受信ＥＣＵ３０において、通信異常の予兆（例えばバッテリの電圧が閾値以下に低下していること等）が検出された場合（つまり受信ＥＣＵ３０がリセットされる可能性がある場合）、ステップＳ２においてＣＰＵ３０ＡはＮＶＲＡＭ３０Ｄにセッション情報を記憶させる。ここで、ＣＰＵ３０Ａは、ＲＡＭ３０Ｃに記憶させるセッション情報のうちシーケンス番号を除く情報と、所定のタイミングで更新されかつ自車両である車両Ｖから取得可能な値（ユニーク値）と、を含む情報を新たセッション情報として生成し、当該新たなセッション情報をＮＶＲＡＭ３０Ｄに記憶させる。なお、図示を省略するが、送信ＥＣＵ２０においても、ＣＰＵ２０Ａは、通信異常の予兆が検出されると同様の新たなセッション情報をＮＶＲＡＭ２０Ｄに記憶させる。

次に、通信異常の予兆が検出されている状態（例えばバッテリの電圧が閾値以下に低下している状態）で、ステップＳ３において送信ＥＣＵ２０がメッセージを受信ＥＣＵ３０へ送信し、ステップＳ４において送信ＥＣＵ２０がメッセージを受信ＥＣＵ３０へ送信した場合、受信ＥＣＵ３０はこれらのメッセージを受信しても、これらについてＮＶＲＡＭ３０Ｄに上書きでセッション情報を記憶させることはしない。ちなみに、ＲＡＭ３０Ｃに記憶されるセッション情報においては、シーケンス番号以外は、セッション確立時に値が確定されているので、仮にステップＳ３、Ｓ４に応じてＮＶＲＡＭ３０Ｄに上書きがなされてもその値は変わらない。

その後、例えば、受信ＥＣＵ３０が異常終了した後にリセットのために立ち上がる過程で、ステップＳ５において送信ＥＣＵ２０がメッセージを受信ＥＣＵ３０へ送信し、ステップＳ６において送信ＥＣＵ２０がメッセージを受信ＥＣＵ３０へ送信した場合、通信は成立しない。なお、通信途絶中は、送信ＥＣＵ２０において送信対象のメッセージを格納するためのバッファ内に、送信待ちの状態のメッセージが滞留することになる。その後に受信ＥＣＵ３０が復帰すると、ステップＳ７では、受信ＥＣＵ３０において、ＣＰＵ３０Ａは、ＮＶＲＡＭ３０Ｄに記憶したセッション情報を確認（チェック）し、該当するセッション情報があると、ステップＳ８でその情報でＴＬＳ処理部３３が処理できるようにする。これにより、セキュア通信が再開可能になる。

その後、ステップＳ９で送信ＥＣＵ２０が送信待ち状態にあったメッセージを受信ＥＣＵ３０へ送信し、受信ＥＣＵ３０がメッセージを受信する。なお、受信ＥＣＵ３０は、通信異常の予兆が新たに検出されている場合には、ステップＳ１０において、ＣＰＵ３０Ａは、ＮＶＲＡＭ３０Ｄにセッション情報を記憶させる。また、受信ＥＣＵ３０は、ユニーク値を付与されたデータを送信ＥＣＵ２０から受信した場合、メッセージ認証子の検証結果がＯＫの場合に限り、ＲＡＭ３０Ｃにおいて対象セッションのシーケンス番号を受信したシーケンス番号で上書き（更新）する。

次に、送信ＥＣＵ２０によるセッション情報の検索を含む処理（図１に示される判定部２５に関わる処理）について図８を参照しながら説明する。

図８には、送信ＥＣＵ２０によるセッション情報の検索を含む処理の流れの一例がフローチャートで示されている。ＣＰＵ２０ＡがＲＯＭ２０Ｂから図８に示すフローのプログラムを読み出して、ＲＡＭ２０Ｃに展開して実行することにより、図８に示される送信ＥＣＵ２０による制御処理が行なわれる。図１に示される送信ＥＣＵ２０においてアプリケーション処理部２４がＴＬＳ処理部２３に対してデータの送信を要求し、これを受けてＴＬＳ処理部２３が判定部２５を用いてセッション情報を確認しようとするときに図８に示される制御処理が行なわれる。

まず、ＣＰＵ２０Ａは、セッション情報記憶部２６において該当するセッション情報を検索する（ステップＳ１０１）。次に、ＣＰＵ２０Ａは、セッション情報記憶部２６において該当するセッション情報が存在するか否かを判断する（ステップＳ１０２）。

セッション情報記憶部２６において該当するセッション情報が存在する場合（ステップＳ１０２：Ｙ）、ＣＰＵ２０Ａは、該当するセッション情報をＴＬＳ処理部２３に返して（ステップＳ１０３）、処理をＴＬＳ処理部２３の通常の処理シーケンスに戻し、図８に示される処理を終了する。一方、セッション情報記憶部２６において該当するセッション情報が存在しない場合（ステップＳ１０２：Ｎ）、ＣＰＵ２０ＡはステップＳ１０４の処理へ移行する。

ステップＳ１０４において、ＣＰＵ２０Ａはバックアップ部２７において該当するセッション情報を検索する。次に、ＣＰＵ２０Ａは、バックアップ部２７において該当するセッション情報が存在するか否かを判断する（ステップＳ１０５）。

バックアップ部２７において該当するセッション情報が存在しない場合（ステップＳ１０５：Ｎ）、ＣＰＵ２０Ａは、ＴＬＳ処理部２３にセッションの確立を指示し（ステップＳ１０７）、図８に示される処理を終了する。なお、バックアップ部２７において該当するセッション情報が存在しない場合（ステップＳ１０５：Ｎ）としては、通信相手となる受信ＥＣＵ３０と初めて通信する場合が該当する。

バックアップ部２７において該当するセッション情報が存在する場合（ステップＳ１０５：Ｙ）、ＣＰＵ２０Ａは、シーケンス番号を０とし、送信メッセージのユニーク値領域Ｍ５（図６参照）に、該当するセッション情報のユニーク値を付与し、該当するセッション情報をＴＬＳ処理部２３に返し（ステップＳ１０６）、処理をＴＬＳ処理部２３の通常の処理シーケンスに戻して図８に示される処理を終了する。なお、ステップＳ１０６によって移行されるＴＬＳ処理部２３の処理は、既存の機能を用いて実施され、この処理においてセッション情報記憶部２６のセッション情報が更新される。

次に、受信ＥＣＵ３０によるセッション情報の検索を含む処理（図１に示される判定部３５に関わる処理）について図９を参照しながら説明する。

図９には、受信ＥＣＵ３０によるセッション情報の検索を含む処理の流れの一例がフローチャートで示されている。ＣＰＵ３０ＡがＲＯＭ３０Ｂから図９に示すフローのプログラムを読み出して、ＲＡＭ３０Ｃに展開して実行することにより、図９に示される受信ＥＣＵ３０による制御処理が行なわれる。図１に示される受信ＥＣＵ３０においてアプリケーション処理部３４がＴＬＳ処理部３３に対してデータの受信を要求し、これを受けてＴＬＳ処理部３３が判定部３５を用いてセッション情報を確認しようとするときに図９に示される制御処理が行なわれる。

まず、ＣＰＵ３０Ａは、セッション情報記憶部３６において該当するセッション情報を検索する（ステップＳ１１１）。次に、ＣＰＵ３０Ａは、セッション情報記憶部３６において該当するセッション情報が存在するか否かを判断する（ステップＳ１１２）。

セッション情報記憶部３６において該当するセッション情報が存在する場合（ステップＳ１１２：Ｙ）、ＣＰＵ３０Ａは、該当するセッション情報をＴＬＳ処理部３３に返して（ステップＳ１１３）、処理をＴＬＳ処理部３３の通常の処理シーケンスに戻し、図９に示される処理を終了する。一方、セッション情報記憶部３６において該当するセッション情報が存在しない場合（ステップＳ１１２：Ｎ）、ＣＰＵ３０ＡはステップＳ１１４の処理へ移行する。

ステップＳ１１４において、ＣＰＵ３０Ａは、バックアップ部３７においてユニーク値を除く情報を検索対象として該当するセッション情報を検索する。次に、ＣＰＵ３０Ａは、バックアップ部３７においてユニーク値を除く情報を検索対象として該当するセッション情報が存在するか否かを判断する（ステップＳ１１５）。

バックアップ部３７においてユニーク値を除く情報を検索対象として該当するセッション情報が存在しない場合（ステップＳ１１５：Ｎ）、ＣＰＵ３０Ａは、ＴＬＳ処理部３３にセッションの確立を指示し（ステップＳ１２２）、図９に示される処理を終了する。なお、バックアップ部３７においてユニーク値を除く情報を検索対象として該当するセッション情報が存在しない場合（ステップＳ１１５：Ｎ）としては、通信相手となる送信ＥＣＵ２０と初めて通信する場合が該当する。

バックアップ部３７においてユニーク値を除く情報を検索対象として該当するセッション情報が存在する場合（ステップＳ１１５：Ｙ）、ＣＰＵ３０Ａは、受信メッセージのユニーク値領域Ｍ５（図６参照）を確認する（ステップＳ１１６）。次に、ＣＰＵ３０Ａは、受信メッセージのユニーク値領域Ｍ５の値がＡＬＬ０であるか否かを判断する（ステップＳ１１７）。

受信メッセージのユニーク値領域Ｍ５の値がＡＬＬ０である場合（ステップＳ１１７：Ｙ）、ＣＰＵ３０Ａは、該当するセッション情報をＴＬＳ処理部３３に返して（ステップＳ１１８）、処理をＴＬＳ処理部３３の通常の処理シーケンスに戻し、図９に示される処理を終了する。一方、受信メッセージのユニーク値領域Ｍ５の値がＡＬＬ０でない場合（ステップＳ１１７：Ｎ）、ＣＰＵ３０ＡはステップＳ１１９の処理へ移行する。

ステップＳ１１９において、ＣＰＵ３０Ａはメッセージ認証の検証結果を確認する。次に、ＣＰＵ３０Ａはメッセージ認証の検証結果がＯＫであるか否かを判断する（ステップＳ１２０）。

メッセージ認証の検証結果がＯＫである場合（ステップＳ１２０：Ｙ）、ＣＰＵ３０Ａは、該当するセッション情報をＴＬＳ処理部３３に返して（ステップＳ１２１）、処理をＴＬＳ処理部３３の通常の処理シーケンスに戻し、図９に示される処理を終了する。なお、ステップＳ１１８及びステップＳ１２１によって移行されるＴＬＳ処理部３３の処理は、既存の機能を用いて実施され、この処理においてセッション情報記憶部３６のセッション情報が更新される。一方、メッセージ認証の検証結果がＯＫでない場合（ステップＳ１２０：Ｎ）、ＣＰＵ３０Ａは、ＴＬＳ処理部３３にセッションの確立を指示し（ステップＳ１２２）、図９に示される処理を終了する。

以上説明した本実施形態の作用について補足説明すると、図４及び図５に示される管理部２０２、３０２は、揮発性メモリであるＲＡＭ２０Ｃ、３０Ｃにセッション情報を記憶させ、検出部２０１、３０１が通信異常の予兆を検出している場合には不揮発性メモリであるＮＶＲＡＭ２０Ｄ、３０Ｄにもセッション情報を記憶させる。これにより、ＲＡＭ２０Ｃ、３０Ｃへの書き込み回数が抑えられ、かつ通信異常後のリセット時には、ＮＶＲＡＭ２０Ｄ、３０Ｄに記憶されたセッション情報を利用することでセキュア通信を短時間で再開させることが可能となる。

また、本実施形態では、検出部２０１、３０１が通信異常の予兆を検出している場合、ＲＡＭ２０Ｃ、３０Ｃに記憶されるセッション情報とは異なる新たなセッション情報がＮＶＲＡＭ２０Ｄ、３０Ｄに記憶される。このため、悪意のある第三者による再送攻撃の失敗確率を高めることができる。

さらに、検出部２０１、３０１が通信異常の予兆を検出している場合に生成される新たなセッション情報は、ＲＡＭ２０Ｃ、３０Ｃに記憶させるセッション情報のうちシーケンス番号を除く情報と、所定のタイミングで更新されかつ自車両である車両Ｖから取得可能な値（ユニーク値）と、を含む情報であり、一回のみ生成されてＮＶＲＡＭ２０Ｄ、３０Ｄに記憶される。ここで、例えば、検出部２０１、３０１が通信異常の予兆を検出している間においてセッション情報がＲＡＭ２０Ｃ、３０Ｃに複数回記憶される場合、その複数のセッション情報は、シーケンス番号以外は同じ情報である。よって、検出部２０１、３０１が通信異常の予兆を検出している間に上記のように一回のみ新たなセッション情報が生成されてＮＶＲＡＭ２０Ｄ、３０Ｄへの書き込みも一回のみとされることで、ＮＶＲＡＭ２０Ｄ、３０Ｄへの書き込み回数を効率的に低減することが可能となる。

以上説明したように、本実施形態の車載システム１０によれば、不揮発性メモリであるＮＶＲＡＭ２０Ｄ、３０Ｄへの書き込み回数を抑えながら通信異常後のリセット時にセキュア通信を短時間で再開させることができる。

［第２の実施形態］
次に、第２の実施形態について図２～図５を流用しながら図１０を用いて説明する。本実施形態の車載システム４０は、以下に説明する点を除いて第１の実施形態の車載システム１０と同様とされる。第１の実施形態と実質的に同様の部分は同一符号を付して説明を省略する。また、本実施形態の車載システム４０のハードウェア構成は、第１の実施形態の車載システム１０のハードウェア構成（図２及び図３参照）と同様であるため、図２及び図３を流用して図示及び詳細説明を省略する。

図１０には、第２の実施形態に係る車載システム４０の概略構成の一例がブロック図で示されている。なお、本実施形態の送信ＥＣＵ２０は、第１の実施形態における送信ＥＣＵ２０のＴＬＳ処理部２３（図１参照）がない点及びＩＰｓｅｃ処理部２８が設けられている点で第１の実施形態における送信ＥＣＵ２０（図１参照）とは異なるが、便宜上、第１の実施形態における送信ＥＣＵ２０と同一符号を付す。また、本実施形態の受信ＥＣＵ３０は、第１の実施形態における受信ＥＣＵ３０のＴＬＳ処理部３３（図１参照）がない点及びＩＰｓｅｃ処理部３８が設けられている点で第１の実施形態における受信ＥＣＵ３０（図１参照）とは異なるが、便宜上、第１の実施形態における受信ＥＣＵ３０と同一符号を付す。図１０に示されるＩＰｓｅｃ処理部２８、３８は、ＩＰｓｅｃによるセキュアな通信を行うための暗号化処理をする。なお、図１０に示される両向きの矢印は、各要素間のインタフェースを示す。

本実施形態では、送信ＥＣＵ２０においては、ＣＰＵ２０Ａは、一例として、ＩＰｓｅｃ処理部２８によるセッションの確立時に、保持している暗号鍵（共有鍵）に対し、送信ＥＣＵ２０と受信ＥＣＵ３０とで同じアルゴリズムを利用して、元の暗号鍵と異なる暗号鍵を生成してＲＡＭ２０Ｃに記憶させる。そして、本実施形態の管理部２０２（図４参照）は、ＲＡＭ２０Ｃにセッション情報を記憶させ、検出部２０１（図４参照）が通信異常の予兆を検出している場合には、ＮＶＲＡＭ２０Ｄに、前述した元の暗号鍵と異なる暗号鍵を含むセッション情報を、記憶させる。

本実施形態では、受信ＥＣＵ３０においては、ＣＰＵ３０Ａは、一例として、ＩＰｓｅｃ処理部３８によるセッションの確立時に、保持している暗号鍵（共有鍵）に対し、送信ＥＣＵ２０と受信ＥＣＵ３０とで同じアルゴリズムを利用して、元の暗号鍵と異なる暗号鍵を生成してＲＡＭ３０Ｃに記憶させる。そして、本実施形態の管理部３０２（図５参照）は、ＲＡＭ３０Ｃにセッション情報を記憶させ、検出部３０１（図５参照）が通信異常の予兆を検出している場合には、ＮＶＲＡＭ３０Ｄに、前述した元の暗号鍵と異なる暗号鍵を含むセッション情報を、記憶させる。

元の暗号鍵と異なる暗号鍵を生成する際のアルゴリズムの例としては、ハッシュ関数を用いる方法、暗号鍵（１２８ビット、２５６ビット等）において所定の指示したビット位置に対し値を反転させる方法等の方法が考えられる。

以上説明した第２の実施形態によっても、不揮発性メモリであるＮＶＲＡＭ２０Ｄ、３０Ｄへの書き込み回数を抑えながら通信異常後のリセット時にセキュア通信を短時間で再開させることができる。また、悪意のある第三者による再送攻撃の失敗確率を高めることができる。

［実施形態の補足説明］
なお、上記第１、第２実施形態では、管理部２０２、３０２は、検出部２０１、３０１が通信異常の予兆を検出している場合にはＲＡＭ２０Ｃ、３０Ｃに記憶させるセッション情報とは異なる新たなセッション情報を所定の基準に基づいて生成して当該新たなセッション情報をＮＶＲＡＭ２０Ｄ、３０Ｄに記憶させているが、上記実施形態の変形例として、管理部（２０２、３０２）は、検出部（２０１、３０１）が通信異常の予兆を検出している場合に、ＲＡＭ（２０Ｃ、３０Ｃ）に記憶させるセッション情報をＮＶＲＡＭ（２０Ｄ、３０Ｄ）に記憶させる、という構成も採り得る。

また、上記各実施形態で図２及び図３に示されるＣＰＵ２０Ａがソフトウェア（プログラム）を読み込んで実行した各処理を、ＣＰＵ以外の各種のプロセッサが実行してもよい。この場合のプロセッサとしては、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等の製造後に回路構成を変更可能なＰＬＤ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）、及びＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）等の特定の処理を実行させるために専用に設計された回路構成を有するプロセッサである専用電気回路等が例示される。また、各処理を、これらの各種のプロセッサのうちの１つで実行してもよいし、同種又は異種の２つ以上のプロセッサの組み合わせ（例えば、複数のＦＰＧＡ、及びＣＰＵとＦＰＧＡとの組み合わせ等）で実行してもよい。また、これらの各種のプロセッサのハードウェア的な構造は、より具体的には、半導体素子等の回路素子を組み合わせた電気回路である。

また、上記実施形態で説明した各プログラムは、ＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＤＶＤ－ＲＯＭ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、及びＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリ等の記録媒体に記録された形態で提供されてもよい。また、プログラムは、ネットワークを介して外部装置からダウンロードされる形態としてもよい。

なお、上記実施形態及び上述の変形例は、適宜組み合わされて実施可能である。

以上、本発明の一例について説明したが、本発明は、上記に限定されるものでなく、上記以外にも、その主旨を逸脱しない範囲内において種々変形して実施可能であることは勿論である。

１０ 車載システム
１２ バス（伝送路）
２０ 送信ＥＣＵ（ＥＣＵ）
２０Ｃ ＲＡＭ（揮発性メモリ）
２０Ｄ ＮＶＲＡＭ（不揮発性メモリ）
２０１ 検出部
２０２ 管理部
３０ 受信ＥＣＵ（ＥＣＵ）
３０Ｃ ＲＡＭ（揮発性メモリ）
３０Ｄ ＮＶＲＡＭ（不揮発性メモリ）
３０１ 検出部
３０２ 管理部
４０ 車載システム
Ｖ 車両（自車両）

Claims (3)

1. 車両にそれぞれ搭載されて伝送路を介して通信する複数のＥＣＵを含み、前記複数のＥＣＵのそれぞれが、揮発性メモリと、電気的にデータ書換可能な不揮発性メモリと、を備える、車載システムであって、
   前記複数のＥＣＵのそれぞれは、
   通信異常の予兆を検出する検出部と、
   前記揮発性メモリにセッション情報を記憶させ、前記検出部が通信異常の予兆を検出している場合には前記不揮発性メモリにもセッション情報を記憶させる管理部と、
   を有する車載システム。
2. 前記管理部は、前記検出部が通信異常の予兆を検出している場合には、前記揮発性メモリに記憶させるセッション情報とは異なる新たなセッション情報を所定の基準に基づいて生成して当該新たなセッション情報を前記不揮発性メモリに記憶させる、請求項１記載の車載システム。
3. 前記管理部は、前記検出部が通信異常の予兆を検出している場合には、前記揮発性メモリに記憶させるセッション情報のうちシーケンス番号を除く情報と、所定のタイミングで更新されかつ自車両から取得可能な値と、を含む情報を前記新たセッション情報として一回のみ生成し、当該新たなセッション情報を前記不揮発性メモリに記憶させる、請求項２記載の車載システム。

Images