JP6536251B2 - 通信中継装置、通信ネットワーク、通信中継プログラム及び通信中継方法 - Google Patents

通信中継装置、通信ネットワーク、通信中継プログラム及び通信中継方法 Download PDF

Info

Publication number
JP6536251B2
JP6536251B2 JP2015146621A JP2015146621A JP6536251B2 JP 6536251 B2 JP6536251 B2 JP 6536251B2 JP 2015146621 A JP2015146621 A JP 2015146621A JP 2015146621 A JP2015146621 A JP 2015146621A JP 6536251 B2 JP6536251 B2 JP 6536251B2
Authority
JP
Japan
Prior art keywords
authentication
unit
ecu
child
parent
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2015146621A
Other languages
English (en)
Other versions
JP2017028567A (ja
Inventor
純 矢嶋
純 矢嶋
長谷部　高行
高行 長谷部
保彦 阿部
保彦 阿部
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Original Assignee
Fujitsu Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd filed Critical Fujitsu Ltd
Priority to JP2015146621A priority Critical patent/JP6536251B2/ja
Priority to US15/194,793 priority patent/US10298578B2/en
Priority to DE102016212752.7A priority patent/DE102016212752A1/de
Publication of JP2017028567A publication Critical patent/JP2017028567A/ja
Application granted granted Critical
Publication of JP6536251B2 publication Critical patent/JP6536251B2/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
    • H04W12/122—Counter-measures against attacks; Protection against rogue devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/48—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for in-vehicle communication

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Small-Scale Networks (AREA)
  • Power Engineering (AREA)

Description

本発明は、通信装置間の通信の制御に関する。
自動車の車載ネットワークやファクトリーオートメーションなどに使用される装置間で、データや制御情報を送受信するために、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）と呼ばれるネットワーク技術が使用されることがある。ＣＡＮが用いられるシステムは、複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）を含む。ＥＣＵ同士はメッセージを送受信することにより通信を行う。ＣＡＮ通信に使用されるメッセージには、メッセージの識別情報（ＩＤ）が含まれている。また、各ＥＣＵは、受信するメッセージのＩＤを予め記憶している。メッセージはブロードキャストされ、各ＥＣＵは、設定されたＩＤを含むメッセージを受信するが、受信対象に設定されていないＩＤを含むメッセージは破棄する。
ＣＡＮのネットワークに関し、車両を制御する車両制御装置のデータを書き換える技術が知られている。車両にはＣＡＮバスに送信されるデータの送信状況を監視し、この監視するデータ送信状況に適応させて、書き換え用データのデータフレームをＣＡＮバスに送信する書き換え用データ送信制御装置が搭載されている（例えば、特許文献１を参照）。
車両の電子制御装置をアクセスする車外装置、例えば、メンテナンス装置の正当性を車両が認証処理を行って判定する技術が知られている。車両はその判定結果に従ってメンテナンス装置による電子制御装置へのアクセス可能な範囲を決定する。車外装置による車両の電子制御装置に対する所望しないアクセスを抑止する（例えば、特許文献２を参照）。
車外装置と車内通信システムとの間の通信にて生じ得る不都合な事象の発生を抑制する技術が知られている。車内通信システムに至る通信路としての迂回路を有する。迂回路には、上流と下流とを接続及び遮断するスイッチが設けられる。正当な外部ツールからの迂回路接続要求を受信すると、迂回路が接続され、それ以外の場合には、迂回路が遮断されるようにスイッチを制御する（例えば、特許文献３を参照）。
車載通信ネットワークに送信される不正メッセージを小さな処理負荷で検知する車両制御装置が知られている。送信されるメッセージに対して該メッセージに含まれる識別子が自身の識別子と一致するか否かに基づいて正当性の判断を含むメッセージ処理を行う。他の制御装置から送信されるメッセージに対してはメッセージ処理を行う一方、自身が送信したメッセージに対してはメッセージ処理を行わないように制御する（例えば、特許文献４を参照）。
特開２０１２−１７８０３５号公報 国際公開第２００９／１４７７３４号 特開２０１５−５８２５号公報 特開２０１５−６５５４６号公報
ＣＡＮにおいて、或る通信ノード（ＥＣＵ）が悪意ある第３者によって別の通信ノード（ＥＣＵ）に置き換えられたとする。置き換えられた通信ノードからはＩＤを成りすましたデータ、つまり、別の通信ノードが送信するＩＤを持つメッセージが発信され、このデータは、全ての通信ノードに到達する。成りすましたＩＤが自装置で受け取るべきＩＤである通信ノードは、このデータを受信してしまい、その結果、意図しない動作を引き起こされる可能性がある。
上記攻撃対策として、各通信ノードに自身が発信する可能性があるＩＤを登録しておき、受信データに含まれるＩＤと登録ＩＤを比較することが考えられる。他通信ノードから受信したデータに自身が発信する可能性があるＩＤが含まれている場合、他の通信ノードの何れかが不正な通信ノードに置き換わり、自身に成りすましていることを認識できる。
しかしながら、上述の対策では、置き換えられた通信ノードの存在は検知できるが、どの通信ノードが置き換えられたかは特定できない。置き換えられた通信ノードがどれであったのか、なるべく１箇所に集約した情報として確認できることが好ましい。
本発明は、１つの側面において、不正に置き換えられた通信ノードを特定できる手法を提供することを目的とする。
通信中継装置は、バスを介して複数の通信ノードが互いにデータ通信を行う通信ネットワークにおいて、対応する前記通信ノードと前記バスの間に介在する。通信中継装置は、第１の認証部、記憶部、第２の認証部、通知部を備える。第１の認証部は、バスに接続された管理装置との間で認証処理を行う。記憶部は、対応する前記通信ノードの送信データに含まれる可能性がある識別情報を記憶する。第２の認証部は、対応する通信ノードの送信データに含まれる識別情報と記憶部に記憶された識別情報との比較結果に応じた認証処理を行う。通知部は、第１の認証部における認証処理が成功した場合、第２の認証部における認証結果を管理装置に通知する。
本発明によれば、不正に置き換えられた通信ノードを管理装置が特定することができる。
検知器を備えた複数のＥＣＵを含むＣＡＮの例を説明する図である。 第１の実施形態に係るシステムの例を説明する図である。 第１の実施形態に係るシステムの例を説明する図である。 ハードウェア構成の例を説明する図である。 第１の実施形態に係る親機の処理の例を説明するフローチャートである。 第１の実施形態に係る子機の処理の例を説明するフローチャートである。 第２の実施形態に係る子機と親機の例を説明する図である。 第２の実施形態に係る子機の処理の例を説明するフローチャートである。
以下、図面を参照しながら、実施形態を詳細に説明する。
図１は、検知器を備えた複数のＥＣＵを含むＣＡＮの例を説明する図である。システム１００１は、ＣＡＮ１０１とＥＣＵ１１１（１１１ａ〜１１１ｆ）を含む。ＥＣＵ１１１ａ〜１１１ｆの各々は、ＣＡＮ１０１で接続されている。そのため、ＥＣＵ同士は、メッセージの送受信をすることができる。ＥＣＵ１１１ａ〜１１１ｆの各々は、ＣＡＮ１０１に接続されるインターフェースに検知器１１２ａ（ＥＣＵ１１１ａに対応）〜１１２ｆ（ＥＣＵ１１１ｆに対応）を備える。検知器は、ＥＣＵが送信するメッセージのＩＤを、ホワイトリストとして保持している。ここで、ＥＣＵの各々は、複数種類のメッセージが送信可能であり、種類毎のメッセージに対応したＩＤが設定される。なお、システム１００１内で異なるＥＣＵが同一のＩＤを持つメッセージを送信することはないものとする。検知器は、自ＥＣＵが送信する可能性のある複数種類のメッセージのＩＤの何れかを含むメッセージを受信した場合に、異常を検知する。また、検知器は、ＥＣＵが送信する可能性のある複数種類のメッセージのＩＤの何れかを含むメッセージを受信した場合に、システム１００１に異常があることを検知できる。
システム１００２は、システム１００１のＥＣＵ１１１ｂが、何者かによって不正にＥＣＵ１１１ｇに置き換えられたシステムの例である。システム１００２におけるＣＡＮ１０１、ＥＣＵ１１１ａ、ＥＣＵ１１１ｃ〜１１１ｆはシステム１００１と同じものである。ＥＣＵ１１１ｇには、ＥＣＵ１１１ａが送信する可能性のある複数種類のメッセージのＩＤの何れかを含むメッセージを送信する。ＥＣＵ１１１ｇがメッセージを送信すると、該メッセージは、ＥＣＵ１１１ａ、ＥＣＵ１１１ｃ〜１１１ｆに到達する。すると、ＥＣＵ１１１ａの検知器１１２ａは、自ＥＣＵ１１１ａが送信する可能性のある複数種類のメッセージのＩＤの何れかを含むメッセージを受信するため、異常を検知できる。
図１のシステム１００２において、ＥＣＵ１１１ａは、自身が送信する可能性のある複数種類のメッセージのＩＤの何れかを含むメッセージを受信することで、システム１００２内の何れかのＥＣＵ１１１が何者かによって置き換えられていることを検知できる。一方、図１のシステム１００２において、何れかのＥＣＵ１１１が何者かによって置き換えられていることは検知可能であるものの、どのＥＣＵ１１１（以下、「通信ノード」とも称す）が置き換えられたかまでは特定できない。
車内ネットワーク（ＣＡＮ）において、ＥＣＵの不正な置き換えや、改竄される脅威が存在する。これらの脅威に対しては、ＥＣＵ同士が認証を行うことで解決する方法も考えうる。しかし、ＥＣＵ同士が認証を行うためには、認証用の機能を備えるようにＥＣＵを改造することになり、ＣＡＮに対してそのまま適用できない。そのため、ＥＣＵを改造しないでも、これらの脅威に対抗できる車内ネットワークが求められる。
そこで本発明では、認証機能をＥＣＵではなく、子機に持たせる。しかし、認証機能を子機に持たせただけでは、不正に置き換えられたＥＣＵを特定できない。そこで親機と複数の子機とをＣＡＮで接続し、親機と各子機間での親子間の認証機能を導入する。なお、各子機１個につき、ＥＣＵ１個を接続する。子機は、対応して接続された（予め登録された）ＥＣＵからのデータだけをＣＡＮ側に通過させる。そのために、子機には、対応して接続されたＥＣＵが送信するメッセージに対応したＩＤのホワイトリストが登録される。また、子機は、ＥＣＵから送信されてくるメッセージの送信周期の情報を備えてもよい。
子機は、ＥＣＵ側からのデータについて、ホワイトリストに登録されたＩＤ以外のＩＤを持つデータが到着した場合、又は、メッセージの送信周期以外のタイミングでメッセージが到着した場合、ＥＣＵが異常であると判定する。異常があると判定した場合、どのＥＣＵも使用しないＩＤを用いて親機に通知する。これにより、車内ネットワークへの攻撃（ＥＣＵ置き換えや改竄）を防ぎ、不正に置き換えられた通信ノードを管理装置が特定することができる。
図２Ａ及び図２Ｂは、第１の実施形態に係るシステムの例を説明する図である。システム２０００は、ＣＡＮ２１０、ＥＣＵ２０１（２０１ａ〜２０１ｆ）、子機２０２（２０２ａ〜２０２ｆ）、親機２２０を含む。子機の各々はＣＡＮ２１０で接続されている。ＣＡＮ２１０は、例えば、ＣＡＮバスである。また、親機２２０も子機とＣＡＮ２１０を介して通信可能に接続されている。ＥＣＵ２０１a〜２０１ｆは、子機２０２ａ（ＥＣＵ２０１ａと対応）〜２０２ｆ（ＥＣＵ２０１ｆと対応）と対応付けられており、ＣＡＮ２１０を介して通信可能に接続されている。子機２０２は、ＥＣＵ２０１と1対１でＣＡＮ２１０を介して通信可能に接続される。
図２Ｂには、図１Ａのシステム２０００に含まれる親機２２０、子機２０２ｂの機能部が示されている。子機２０２ｂは、ＣＡＮトランシーバ２３１、記憶部２３２、第１の認証部２３３、第２の認証部２３４、制御部２３５、ＣＡＮトランシーバ２３６を備える。なお、子機２０２ａ〜２０２ｆの各々は、子機２０２ｂと同様である。ＣＡＮトランシーバ２３１は、子機２０２ｂが他の子機、親機２２０とＣＡＮ２１０を介して通信をする際に使用される通信インターフェースである。ＣＡＮトランシーバ２３６は、子機２０２ｂが自身に対応づけて設定されるＥＣＵ２０１ｂと通信をする際に使用される通信インターフェースである。記憶部２３２は、ＥＣＵ２０１が送信する可能性のある複数種類のメッセージのＩＤをホワイトリストとして記憶する。ホワイトリストは、子機２０２と１対１で予め設置されたＥＣＵが送信するメッセージに対応したＩＤが登録されている。第１の認証部２３３は、親機２２０と通信をし、親機２２０と子機２０２ｂとの間の認証処理をする。第２の認証部２３４は、子機２０２ｂに対応して接続されているＥＣＵ２０１ｂと子機２０２ｂとの認証処理をする。制御部２３５は、第１の認証部２３３、第２の認証部２３４などの処理を制御する。なお、図２Ｂの子機２０２ｂ内に記載されている矢印は、データの流れを示す図である。
親機２２０は、ＣＡＮトランシーバ２２１、第１の認証部２２２、記憶部２２３、制御部２２４を備える。ＣＡＮトランシーバ２２１は、子機２０２ａ〜２０２ｆとＣＡＮ２１０を介して通信をする際に使用される通信インターフェースである。第１の認証部２２２は、子機２０２の第１の認証部２３３との間で親子間認証を実行する。記憶部２２３は、親機２２０と子機２０２との認証結果と、子機２０２と対応するＥＣＵ２０１と子機２０２との間の認証結果とを記憶する。制御部２２４は、第１の認証部２２２の処理などを制御する。
以下に、第１の実施形態に係る親機２２０と子機２０２ｂの処理の例を順に説明する。
（Ａ１）ＥＣＵ２０１ｂから子機２０２ｂに対してメッセージが送信される。
（Ａ２）子機２０２ｂのＣＡＮトランシーバ２３６は、ＥＣＵ２０１ｂからのメッセージを受信する。
（Ａ３）第２の認証部２３４は、ＥＣＵ２０１ｂの認証処理を開始する。第２の認証部２３４は、受信したメッセージに含まれるＩＤが記憶部２３２に保持されているホワイトリストに含まれているか否かを判定する。ここではＥＣＵ２０１ｂは、未だ不正にＥＣＵ２０１´に置き換えられていないものとする。そのため、第２の認証部２３４は、ＥＣＵ２０１ｂから受信したメッセージに含まれるＩＤが記憶部２３２のホワイトリストに保持されているため、ＥＣＵ２０１ｂの認証を成功と判定する。子機２０２は、（Ａ１）〜（Ａ３）の処理を繰り返し実行する。
（Ａ４）子機２０２ｂの第１の認証部２３３は、親機２２０との親子間認証処理を開始する。親子間認証は、定期的に実行されてもよい。該親子間認証は、第２の認証部２３４の認証結果を親機２２０に通知するための前処理として実行される。具体的には、ＣＡＮトランシーバ２３１は、親機２２０に対して親子間認証を実施する要求を通知する。
（Ａ５）親機２２０の第１の認証部２２２は、該要求に応じて親子間認証を行う。第１の認証部２２２は、子機２０２ｂと親機２２０との親子間認証に成功する。ＣＡＮトランシーバ２２１は、親子間認証の結果を子機２０２ｂに対して通知する。親機２２０の制御部２２４によって、親子間認証の結果が記憶部２２３に記憶される。
（Ａ６）親子間認証が問題なければ、ＣＡＮトランシーバ２３１は、ＥＣＵ２０１ｂとの認証結果（成功したこと）を親機２２０に対して通知する。
（Ａ７）親機２２０の制御部２２４の制御によって、子機２０２ｂから送られてきた認証結果が、記憶部２２３に記憶される。
（Ａ１）〜（Ａ７）の処理は、子機２０２ａ〜２０２ｆと親機２２０の夫々により実行される。これにより、親機２２０は、親機２２０と各子機２０２との間の親子間認証の結果と、子機２０２と各子機２０２ａ〜２０２ｆに対応するＥＣＵ２０１間の認証結果とを収集することができる。なお、ＣＡＮトランシーバ２３１は、子機２０２の通知部として動作してもよい。ＣＡＮトランシーバ２３１の処理は、例えば、制御部２３５により制御される。ＣＡＮトランシーバ２２１の処理は、例えば、制御部２２４により制御される。ＥＣＵ２０１は、通信ノードであってもよい。図２のシステム２０００は、ＥＣＵ２０１や子機２０２の台数を限定するものではない。
ここで、ＥＣＵ２０１ｂが、不正にＥＣＵ２０１´に置き換えられたものとする。以下に、システム２０００内のＥＣＵ２０１ｂが、不正なＥＣＵ２０１´に置き換えられた場合の親機２２０と子機２０２ｂの処理の例を順に説明する。ＥＣＵ２０１´は、不正に置き換えられたＥＣＵであるため、ＥＣＵ２０１ｂが送信するメッセージと異なるＩＤを含むメッセージを送信するものとする。
（Ｂ１）ＥＣＵ２０１´から子機２０２に対してメッセージが送信される。
（Ｂ２）子機２０２ｂのＣＡＮトランシーバ２３６は、ＥＣＵ２０１´からのメッセージを受信する。
（Ｂ３）第２の認証部２３４は、ＥＣＵ２０１´の認証処理を開始する。第２の認証部２３４は、受信したメッセージに含まれるＩＤが記憶部２３２に保持されているホワイトリストに含まれているか否かを判定する。第２の認証部２３４は、ＥＣＵ２０１´から受信したメッセージに含まれるＩＤを、記憶部２３２のホワイトリストに保持していないため、ＥＣＵ２０１´の認証を失敗と判定する。
（Ｂ４）子機２０２ｂの第１の認証部２３３は、親機２２０との親子間認証処理を開始する。親子間認証は、定期的に実行されてもよい。該親子間認証は、第２の認証部２３４の認証結果（失敗したこと）を親機２２０に通知するための前処理として行われる。具体的には、ＣＡＮトランシーバ２３１は、親子間認証を実施する要求を親機２２０に対して通知する。
（Ｂ５）親機２２０の第１の認証部２２２は、該要求に応じて親子間認証を行う。第１の認証部２２２は、子機２０２ｂと親機２２０との親子間認証に成功する。ＣＡＮトランシーバ２２１は、親子間認証の結果を子機２０２ｂに対して通知する。親機２２０の制御部２２４の制御によって、親子間認証の結果が記憶部２２３に記憶される。
（Ｂ６）ＣＡＮトランシーバ２３１は、親子間認証が問題なければ、ＥＣＵ２０１´との認証結果（失敗したこと）を、親機２２０に対して通知する。
（Ｂ７）親機２２０の制御部２２４の制御によって、子機２０２ｂから送られてきた認証結果（失敗したこと）が、記憶部２２３に記憶される。
ＥＣＵ２０１が不正に置き換えられた場合、不正なＥＣＵ２０１´と通信をする子機２０２（２０２ａ〜２０２ｆ）は、（Ｂ１）〜（Ｂ７）の処理を実行する。親機２２０は、子機２０２ａ〜２０２ｆから自身に接続されているＥＣＵ２０１が不正に置き換えられていないかの認証結果を収集可能である。そのため、親機２２０は該認証結果を収集することで、不正に置き換えられたＥＣＵ２０１（通信ノード）を特定することができる。言い換えると、子機２０２は、不正に置き換えられたＥＣＵ２０１を検知し、親機２２０に不正に置き換えられたＥＣＵ２０１を通知する。このことで、親機２２０は、その不正なＥＣＵを特定することができる。親機２２０の制御部２２４は、画面などに不正に置き換えられたと特定したＥＣＵ２０１´を表示させるなどをして、ユーザに対して異常を通知してもよい。又、親機２２０の制御部２２４は、システム２０００外のシステムに対して、不正に置き換えられたＥＣＵ２０１´があることを通知してもよい。なお、システム２０００では、子機２０２と親機２２０と記載しているものの、子機２０２を、「中継装置」、親機２２０を中継装置及びＥＣＵを管理する「管理装置」と称してもよい。
図３は、ハードウェア構成の例を説明する図である。親機２２０、子機２０２のいずれも、図３に示すハードウェアによって実現される。子機２０２は、ＣＡＮトランシーバ３０１、ＣＡＮコントローラ３０２、処理回路３０３を含む。処理回路３０３は、プロセッサ３０４とメモリ３０５を備える。
ＣＡＮトランシーバ３０１は、子機２０２がＣＡＮネットワークを介して他の装置と通信するための処理を行う。ＣＡＮコントローラ３０２は、受信したメッセージ内のデータやＩＤなどを抽出する。ＣＡＮコントローラ３０２は、データをプロセッサ３０４に出力する。プロセッサ３０４は、任意の処理回路である。プロセッサは、メモリ３０５に格納されたプログラムを読み込み、処理を行う。
親機２２０において、ＣＡＮトランシーバ２２１は、ＣＡＮトランシーバ３０１とＣＡＮコントローラ３０２で実現される。プロセッサ３０４は、第１の認証部２２２、制御部２２４として動作する。メモリ３０５は、記憶部２２３として動作する。
子機２０２のＣＡＮトランシーバ２３１とＣＡＮトランシーバ２３６は、ＣＡＮトランシーバ３０１とＣＡＮコントローラ３０２で実現される。プロセッサ３０４は、第１の認証部２３３、第２の認証部２３４、制御部２３５として動作する。メモリ３０５は、記憶部２３２として動作する。
＜チャレンジ＆レスポンス形式を用いた第１の実施形態に係るシステムの例＞
図２Ｂのシステム２０００の例を用いて、チャレンジ＆レスポンス形式を用いた子機２０２と親機２２０の処理の例を順に説明する。ＥＣＵ２０１ｂは、０ｘ１２３、０ｘ４５６、０ｘ７８９の３つのＩＤの何れかを含めてメッセージを送信するものとする。なお、子機２０２と親機２２０とは、共通鍵と対応付けられた認証用アルゴリズムを保持しているものとする。共通鍵と認証用アルゴリズムは、記憶部２２３と記憶部２３２に保持されていればよい。また以下の処理において、「通知」とはブロードキャスト通信のことである。
（Ｃ１）ＥＣＵ２０１ｂは、０ｘ１２３、０ｘ４５６、０ｘ７８９の３つのＩＤの何れかを含むメッセージを子機２０２ｂに対して送信する。
（Ｃ２）子機２０２ｂのＣＡＮトランシーバ２３６は、ＥＣＵ２０１ｂからのメッセージを受信する。
（Ｃ３）第２の認証部２３４は、ＥＣＵ２０１ｂの認証処理を開始する。第２の認証部２３４は、受信したメッセージに含まれるＩＤが記憶部２３２に保持されているホワイトリストに含まれているか否かを判定する。子機２０２ｂのホワイトリストは、０ｘ１２３、０ｘ４５６、０ｘ７８９の３つのＩＤを保持している。第２の認証部２３４は、受信したメッセージに含まれるＩＤとホワイトリストに保持されているＩＤとを比較し、ＥＣＵ２０１ｂの認証を成功と判定する。子機２０２は、（Ｃ１）〜（Ｃ３）の処理を繰り返し実行する。
（Ｃ４）子機２０２ｂの第１の認証部２３３は、親機２２０との親子間認証処理を開始する。親子間認証は、定期的に実行されてもよい。親子間認証は、チャレンジ＆レスポンス形式の認証などを用いる。該親子間認証は、第２の認証部２３４の認証結果を親機２２０に通知するための前処理として実行される。子機は親機に対してチャレンジ＆レスポンス認証の開始を要求する。親機の第１の認証部２２２は子機からの認証要求（子機２０２ｂを識別するＩＤ（例えば０ｘ２）を含む）に応じて、チャレンジ＆レスポンス形式の認証に用いる乱数を生成する。ＣＡＮトランシーバ２２１は、乱数と親子認証用のＩＤ（例えば０ｘ７７７）と子機２０２ｂを識別するＩＤ（例えば０ｘ２）とを含めたメッセージを、親機２２０に対して通知する。このメッセージは、チャレンジ＆レスポンス形式の認証における「チャレンジ」である。
（Ｃ５）子機２０２ｂの第１の認証部２３３は、親子認証用のＩＤ（０ｘ７７７）を含むメッセージを受け取ると、メッセージに含まれる乱数と、保持している共通鍵を用いて乱数を暗号化する。以下、暗号化された乱数を「暗号文」と称し、暗号文の生成には認証用アルゴリズムが用いられる。ＣＡＮトランシーバ２３１は、暗号文と親子認証用のＩＤ（０ｘ７７７）と子機２０２ｂを識別するＩＤ（０ｘ２）を含めたメッセージを、親機２２０に対して通知する。このメッセージは、チャレンジ＆レスポンス形式の認証における「レスポンス」である。さらに、子機２０２ｂの第１の認証部２３３は乱数を生成して、上記乱数と子機２０２それぞれを識別するＩＤを含めたメッセージを親機２２０に送信する。また、乱数を共通鍵で暗号化し、結果を保持する。
（Ｃ６）子機２２０の第１の認証部２２２は、（Ｃ４）の処理で生成した乱数と保持している共通鍵とから予想される暗号文と、レスポンスとして受け取ったメッセージに含まれる暗号文とが一致するかを判定する。暗号文が一致する場合、親機２２０の第１の認証部２２２は、親子間認証に問題がないと判定する。
（Ｃ７）親機２２０の第１の認証部２２２は、レスポンスとして受け取ったメッセージに含まれる暗号文から乱数と子機２０２を識別するＩＤを抽出する。第１の認証部２２２は、レスポンスとして受け取ったメッセージから抽出した乱数と共通鍵とから、暗号文を生成する。
（Ｃ８）ＣＡＮトランシーバ２２１は、暗号文と親子認証用のＩＤ（０ｘ７７７）と子機２０２ｂを識別するＩＤ（０ｘ２）を含めたメッセージを子機２０２ｂに対して通知する。
（Ｃ９）子機２２０の第１の認証部２３３は、（Ｃ５）で生成した暗号文と、（Ｃ８）で親機２２０から通知された暗号文とが一致するかを判定する。暗号文が一致する場合、子機２０２ｂの第１の認証部２３３は、親子間認証に問題がないと判定する。認証結果を親機に通知する。この通知は暗号化されていても良い。
（Ｃ４）〜（Ｃ９）では、親機と子機の双方を認証する親子間認証を、親機側が開始している。しかし、認証は子機側から開始してもよい。また、親機と子機の双方の認証をせずに、親機が子機を認証する方法でもよい。同様に、親機と子機の双方の認証をせずに、子機が親機を認証する方法でもよい。
（Ｃ１０）親機２２０の第１の認証部２２２は、送られてきた子機２０２ｂの第１の認証結果と、第２の認証部２３４の認証結果を復号化して（暗号化されている場合）取得する。
（Ｃ１１）親機２２０の制御部２２４の制御によって、子機２０２ｂから送られてきた認証結果が記憶部２２３に記憶される。
（Ｃ１）〜（Ｃ１１）の処理は、子機２０２ａ〜２０２ｆと親機２２０の夫々により実行される。これにより、親機２２０は、親機２２０と各子機２０２との間の親子間認証の結果と、子機２０２と各子機２０２ａ〜２０２ｆに対応するＥＣＵ２０１間の認証結果とを収集することができる。
次に、ＥＣＵ２０１ｂが不正にＥＣＵ２０１´に置き換えられたものとする。以下に、システム２０００内のＥＣＵ２０１ｂが、不正なＥＣＵ２０１´に置き換えられた場合の親機２２０と子機２０２ｂの処理の例を順に説明する。ＥＣＵ２０１´は、０ｘ１１１のＩＤを含むメッセージを送信し、他のＥＣＵ２０１を誤動作させようとする。
（Ｄ１）ＥＣＵ２０１´から子機２０２に対してメッセージが送信される。
（Ｄ２）子機２０２ｂのＣＡＮトランシーバ２３６は、ＥＣＵ２０１´からのメッセージを受信する。
（Ｄ３）第２の認証部２３４は、ＥＣＵ２０１´の認証処理を開始する。第２の認証部２３４は、受信したメッセージに含まれるＩＤである０ｘ１１１が記憶部２３２に保持されているホワイトリスト（０ｘ１２３、０ｘ４５６、０ｘ７８９を含む）に含まれているか否かを判定する。第２の認証部２３４は、ＥＣＵ２０１´から受信したメッセージに含まれるＩＤ０ｘ１１１を、記憶部２３２のホワイトリスト（０ｘ１２３、０ｘ４５６、０ｘ７８９を含む）に保持していないため、ＥＣＵ２０１´の認証を失敗と判定する。
（Ｄ４）親機の第１の認証部２２２は子機からの認証要求（子機２０２ｂを識別するＩＤ（例えば０ｘ２）を含む）に応じて、子機機２０２ｂとの親子間認証処理を開始する。親子間認証は、チャレンジ＆レスポンス形式の認証などを用いる。親子間認証は、定期的に実行されてもよい。該親子間認証は、第２の認証部２３４の認証結果（失敗したこと）を親機２２０に通知するための前処理として実行される。親機２２０の第１の認証部２２２は、チャレンジ＆レスポンス形式の認証に用いる乱数を生成する。ＣＡＮトランシーバ２２１は、乱数と親子認証用のＩＤ（例えば０ｘ７７７）と子機２０２ｂを識別するＩＤ（例えば０ｘ２）とを含めたメッセージ（チャレンジ）を、子機２０２ｂに対して通知する。
（Ｄ５）子機２０２ｂの第１の認証部２３３は、親子認証用のＩＤ（０ｘ７７７）を含むメッセージを受け取ると、メッセージに含まれる乱数と、保持している共通鍵を用いて乱数を暗号化する。ＣＡＮトランシーバ２３１は、暗号文と親子認証用のＩＤ（０ｘ７７７）と子機２０２ｂを識別するＩＤ（０ｘ２）を含めたメッセージ（レスポンス）を、親機２２０に対して通知する。さらに、子機２０２ｂの第１の認証部２３３は乱数を生成して、上記乱数と子機２０２それぞれを識別するＩＤを含めたメッセージを親機２２０に送信する。また、乱数を共通鍵で暗号化し、結果を保持する。
（Ｄ６）親機２２０の第１の認証部２２１は、（Ｄ４）の処理で生成した乱数と保持している共通鍵とから予想される暗号文と、レスポンスとして受け取ったメッセージに含まれる暗号文とが一致するかを判定する。暗号文が一致する場合、親機２２０の第１の認証部２２１は、親子間認証に問題がないと判定する。
（Ｄ７）親機２２０の第１の認証部２２２は、レスポンスとして受け取ったメッセージに含まれる暗号文から乱数と子機２０２を識別するＩＤを抽出する。第１の認証部２２２は、レスポンスとして受け取ったメッセージから抽出した乱数と共通鍵とから、暗号文を生成する。
（Ｄ８）ＣＡＮトランシーバ２２１は、暗号文と親子認証用のＩＤ（０ｘ７７７）と子機２０２ｂを識別するＩＤ（０ｘ２）を含めたメッセージを子機２０２ｂに対して通知する。
（Ｄ９）子機２２０の第１の認証部２３３は、（Ｃ５）で生成した暗号文と、（Ｃ８）で親機２２０から通知された暗号文とが一致するかを判定する。暗号文が一致する場合、子機２０２ｂの第１の認証部２３３は、親子間認証に問題がないと判定する。認証結果を親機に通知する。この通知は暗号化されていても良い。
（Ｄ４）〜（Ｄ９）では、親機と子機の双方を認証する親子間認証を、親機側が開始している。しかし、認証は子機側から開始してもよい。また、親機と子機の双方の認証をせずに、親機が子機を認証する方法でもよい。同様に、親機と子機の双方の認証をせずに、子機が親機を認証する方法でもよい。
（Ｄ１０）親機２２０の第１の認証部２２２は、送られてきた子機２０２ｂの第２の認証部２３４の認証結果を復号化して（暗号化されている場合）取得する。
（Ｄ１１）親機２２０の制御部２２４の制御によって、子機２０２ｂから送られてきた認証結果が、記憶部２２３に記憶される。
ＥＣＵ２０１が不正に置き換えられた場合、不正なＥＣＵ２０１´と通信をする子機２０２（２０２ａ〜２０２ｆ）は、（Ｄ１）〜（Ｄ１１）の処理を実行する。親機２２０は、子機２０２ａ〜２０２ｆから自身に接続されているＥＣＵ２０１が不正に置き換えられたかどうかを示す認証結果を収集可能である。そのため、親機２２０は該認証結果を収集することで、不正に置き換えられたＥＣＵ２０１（通信ノード）を特定することができる。言い換えると、子機２０２は、自身で不正に置き換えられたＥＣＵ２０１を検知し、親機２２０に不正に置き換えられたＥＣＵ２０１を特定させることができる。なお、チャレンジ＆レスポンス方式の親子認証において、乱数は子機２０２ｂ側で生成して親機のみを認証してもよいし、親機２２０と子機２０２ｂ双方で生成し、互いに認証を行っても良い。
図４は、第１の実施形態に係る親機の処理の例を説明するフローチャートである。親機２２０の第１の認証部２２２は、親子間認証を実行する（ステップＳ１０１）。親機２２０の制御部２２４の制御によって、親子間認証の結果が記憶部２２３に記憶される（ステップＳ１０２）。制御部２２４は、親子間認証に問題があったか否かを判定する（ステップＳ１０３）。親子間認証に問題がない場合（ステップＳ１０３でＮＯ）、親機２２０の第１の認証部２２２は、ＣＡＮトランシーバ２２１を介してＥＣＵ２０１と子機２０２との間の認証結果を取得する（ステップＳ１０４）。親機２２０の制御部２２４の制御によって、ＥＣＵ２０１と子機２０２との間の認証結果が記憶部２２３に記憶される（ステップＳ１０５）。制御部２２４は、ＥＣＵ２０１と子機２０２との間の認証に問題があったか否かを判定する（ステップＳ１０６）。親子間認証に異常があった場合（ステップＳ１０３でＹＥＳ）とＥＣＵ２０１と子機２０２との間の認証で異常があった場合（ステップＳ１０６でＹＥＳ）、制御部２２４は、親機２２０が通信可能な装置に異常を検知したことを通知する（ステップＳ１０７）。ステップＳ１０６又はステップＳ１０７の処理が終了すると、親機２２０の第１の実施形態に係る処理を終了する。親機２２０は、ステップＳ１０１〜Ｓ１０７の処理を、子機２０２ａ〜２０２ｆ毎に実行する。また、該処理を定期的に実行する。
図５は、第１の実施形態に係る子機の処理の例を説明するフローチャートである。ＣＡＮトランシーバ２３６は、ＥＣＵ２０１からのメッセージを受信する（ステップＳ２０１）。子機２０２の第２の認証部２３４は、メッセージに含まれるＩＤと記憶部２３２内の記憶部２３２に保持されているホワイトリストに該ＩＤが含まれるか否かを判定する（ステップＳ２０２）。子機２０２の第１の認証部２３３は、親機２２０との親子間認証を実施する（ステップＳ２０３）。ＣＡＮトランシーバ２３１は、子機が親機を認証する必要がある場合には親子間認証の結果を親機２２０に通知する（ステップＳ２０４）。ＣＡＮトランシーバ２３１は、ＥＣＵ２０１と子機２０２との認証結果（ステップ２０２の結果）を親機２２０に通知する（ステップＳ２０５）。なお、ステップＳ２０４とステップＳ２０５の処理は、並列して実行されてもよいし、逐次実行されてもよい。図５の処理は、ＥＣＵ２０１から子機２０２がメッセージを受信する毎に実行される。
図４と図５の処理により、親機２２０は、子機２０２ａ〜２０２ｆから自身に接続されているＥＣＵ２０１が不正に置き換えられていないかの認証結果を収集可能である。そのため、親機２２０は該認証結果を収集することで、不正に置き換えられたＥＣＵ２０１（通信ノード）を特定することができる。言い換えると、子機２０２は、不正に置き換えられたＥＣＵ２０１を検知し、親機２２０に不正に置き換えられたＥＣＵ２０１を通知することで特定させることができる。親機２２０の制御部２２４は、画面などに不正に置き換えられたＥＣＵ２０１´を表示させるなどをして、ユーザに対して異常を通知してもよい。又、親機２２０の制御部２２４は、システム２０００外のシステムに対して、不正に置き換えられたＥＣＵ２０１´があることを通知してもよい。
図６は、第２の実施形態に係る子機と親機の例を説明する図である。第２の実施形態に係る子機２０２と親機２２０とは、図２Ｂに示した第１の実施形態に係る子機２０２と親機２２０と同じブロック構成を備える。そのため、図６では、図２Ｂと同じものには同じ番号を付す。図６に示す子機２０２ｂにおいて、データの流れを示す矢印が図２Ｂに示す子機２０２ｂのものと異なる。より詳しくは、図２Ｂに示す子機２０２ｂにおいて、ＥＣＵ２０１からのメッセージを受信すると、第２の認証部２３４が子機２０２とＥＣＵ２０１間の認証を実行し、その後に、第１の認証部２３３が親子間認証を実行する。第２の実施形態のおいては、第２の認証部２３４の認証処理と第１の認証部２３３の認証処理との順番が異なる。
（Ｅ１）システム２０００に備えられている全ての装置（親機２２０と子機２０２）の電源が投入される。システム２０００に備えられている全ての装置（親機２２０と子機２０２）の電源投入が完了すると、第１の認証部２２２は、全ての子機２０２と親機２２０との間の親子間認証を実行する。
（Ｅ２）親機２２０の制御部２２４の制御によって、各子機２０２と親機２２０との間の親子間認証の結果が記憶部２２３に記憶される。
（Ｅ３）親子間認証で問題のない子機２０２は、ＥＣＵ２０１からのメッセージがある場合に、該メッセージの受信を開始する。
（Ｅ４）ＥＣＵ２０１ｂから子機２０２ｂに対してメッセージが送信される。
（Ｅ５）子機２０２ｂのＣＡＮトランシーバ２３６は、ＥＣＵ２０１ｂからのメッセージを受信する。
（Ｅ６）第２の認証部２３４は、ＥＣＵ２０１ｂの認証処理を開始する。第２の認証部２３４は、受信したメッセージに含まれるＩＤが記憶部２３２に保持されているホワイトリストに含まれているか否かを判定する。ここではＥＣＵ２０１ｂは、未だ不正にＥＣＵ２０１´に置き換えられていないものとする。そのため、第２の認証部２３４は、ＥＣＵ２０１ｂから受信したメッセージに含まれるＩＤが記憶部２３２のホワイトリストに保持されているため、ＥＣＵ２０１ｂの認証を成功と判定する。
（Ｅ７）ＣＡＮトランシーバ２３１は、子機２０２ｂにおけるＥＣＵ２０１ｂの認証結果を親機２２０に通知する。ＣＡＮトランシーバ２３１は、制御部２３５に制御されて通知処理を実行する。子機２０２ｂにおけるＥＣＵ２０１ｂの認証結果は、親機２２０に暗号化されて通知されてもよい。
（Ｅ８）親機２２０の制御部２２４の制御によって、子機２０２ｂから送られてきた認証結果（成功したこと）が記憶部２２３に記憶される。
（Ｅ１）〜（Ｅ２）の処理は、親機２２０と子機２０２の電源が投入された場合に実行され、システム内の全ての子機２０２と親機２２０との間で親子間認証が実行される。その後、（Ｅ４）〜（Ｅ８）の処理が子機２０２と親機２２０とで繰り返される。このように電源投入時に親子間認証を済ませておくことで、その後のＥＣＵ２０１と子機２０２との認証処理毎の親子間認証処理を省くことができる。これにより、第１の実施形態に係るシステム２０００と比べて、親子間認証の処理の回数を減らすことができ、親機２２０の負荷を軽減することができる。
ここで、ＥＣＵ２０１ｂが、不正にＥＣＵ２０１´に置き換えられたものとする。ＥＣＵ２０１´は、不正に置き換えられたＥＣＵであるため、ＥＣＵ２０１ｂが送信するメッセージと異なるＩＤを含むメッセージを送信するものとする。
（Ｅ９）ＥＣＵ２０１´から子機２０２に対してメッセージが送信される。
（Ｅ１０）子機２０２ｂのＣＡＮトランシーバ２３６は、ＥＣＵ２０１´からのメッセージを受信する。
（Ｅ１１）第２の認証部２３４は、ＥＣＵ２０１´の認証処理を開始する。第２の認証部２３４は、受信したメッセージに含まれるＩＤが記憶部２３２に保持されているホワイトリストに含まれているか否かを判定する。第２の認証部２３４は、ＥＣＵ２０１´から受信したメッセージに含まれるＩＤを、記憶部２３２のホワイトリストに保持していないため、ＥＣＵ２０１´の認証を失敗と判定する。
（Ｅ１２）ＣＡＮトランシーバ２３１は、ＥＣＵ２０１´との認証結果（失敗したこと）を、親機２２０に対して通知する。子機２０２ｂにおけるＥＣＵ２０１ｂの認証結果は、親機２２０に暗号化されて通知されてもよい。
（Ｅ１３）親機２２０の制御部２２４によって、子機２０２ｂから送られてきた認証結果（失敗したこと）が記憶部２２３に記憶される。
ＥＣＵ２０１が不正に置き換えられた場合、不正なＥＣＵ２０１´と通信をする子機２０２（２０２ａ〜２０２ｆ）と親機２２０は、（Ｅ９）〜（Ｅ１３）の処理を実行する。親機２２０は、子機２０２ａ〜２０２ｆから自身に接続されているＥＣＵ２０１が不正に置き換えられていないかの認証結果を収集可能である。そのため、親機２２０は該認証結果を収集することで、不正に置き換えられたＥＣＵ２０１（通信ノード）を特定することができる。言い換えると、子機２０２は、不正に置き換えられたＥＣＵ２０１を検知し、親機２２０に不正に置き換えられたＥＣＵ２０１を通知することで特定させることができる。親機２２０の制御部２２４は、画面などに不正に置き換えられたＥＣＵ２０１´を表示させるなどをして、ユーザに対して異常を通知してもよい。又、親機２２０の制御部２２４は、システム２０００外のシステムに対して、不正に置き換えられたＥＣＵ２０１´があることを通知してもよい。また、（Ｅ９）〜（Ｅ１３）の処理では、ＥＣＵ２０１と子機２０２との認証結果を親機２２０に通知する際に、親子間認証処理が実行されない。そのため、第１の実施形態に係るシステム２０００と比べて、親機２２０の負荷を軽減することができる。
＜チャレンジ＆レスポンス形式を用いた第２の実施形態に係るシステムの例＞
図６を用いて、チャレンジ＆レスポンス形式を用いた子機２０２と親機２２０の処理の例を順に説明する。ＥＣＵ２０１ｂは、０ｘ１２３、０ｘ４５６、０ｘ７８９の３つのＩＤの何れかを含めてメッセージを送信するものとする。
（Ｆ１）システム２０００に備えられている全ての装置（親機２２０と子機２０２）の電源が投入される。システム２０００に備えられている全ての装置（親機２２０と子機２０２）の電源投入が完了すると、親機２２０は、システム２０００内の全ての子機２０２と親子間認証処理を開始する。親子間認証は、チャレンジ＆レスポンス形式の認証などを用いる。
（Ｆ２）親機２２０の第１の認証部２２２は、親機２２０に接続されている子機２０２の数の乱数を生成する。乱数は、チャレンジ＆レスポンス形式の認証に用いられる。なお、生成された乱数には、各子機２０２に対応するＩＤが含まれる。そのため、生成された乱数は、各子機２０２に対応して生成される。ＣＡＮトランシーバ２２１は、乱数と親子認証用のＩＤ（例えば０ｘ７７７）と子機２０２ｂを識別するＩＤ（例えば０ｘ２）とを含めたメッセージを、子機２０２に対して通知する。このメッセージは、チャレンジ＆レスポンス形式の認証におけるチャレンジである。
（Ｆ３）子機２０２の第１の認証部２３３は、親子認証用のＩＤ（０ｘ７７７）を含むメッセージを受け取ると、メッセージに含まれる乱数と、保持している共通鍵を用いて乱数を暗号化する。ＣＡＮトランシーバ２３１は、暗号文と親子認証用のＩＤ（０ｘ７７７）と子機２０２ｂを識別するＩＤ（０ｘ２）を含めたメッセージを、親機２２０に対して通知する。このメッセージは、チャレンジ＆レスポンス形式の認証におけるレスポンスである。
（Ｆ４）親機２２０の第１の認証部２２２は、（Ｆ２）の処理で生成した乱数と保持している共通鍵とから予想される暗号文と、レスポンスとして受け取ったメッセージに含まれる暗号文とが一致するかを判定する。暗号文が一致する場合、親機２２０の第１の認証部２２２は、親子間認証に問題がないと判定する。子機２０２の第一の認証部２３３は乱数を生成して、上記乱数と子機２０２それぞれを識別するＩＤを含めたメッセージを親機２２０に送信する。
（Ｆ５）親機２２０の第１の認証部２２２は、レスポンスとして受け取ったメッセージに含まれる暗号文と乱数と子機２０２を識別するＩＤを抽出する。第１の認証部２２２は、メッセージに含まれる子機２０２を識別するＩＤが、該レスポンスを送ってきた子機２０２を示すＩＤと一致するかを判定する。ＩＤが一致する場合、親機２２０の第１の認証部２２２は、レスポンスとして受け取ったメッセージから抽出した乱数と共通鍵とから、暗号文を生成する。
（Ｆ６）ＣＡＮトランシーバ２２１は、暗号文と親子認証用のＩＤ（０ｘ７７７）と子機２０２ｂを識別するＩＤ（０ｘ２）を含めたメッセージを子機２０２ｂに対して通知する。
（Ｆ７）子機２０２の第１の認証部２３３は、（Ｆ３）で生成した暗号文と、（Ｆ６）で親機２２０から通知された暗号文とが一致するかを判定する。暗号文が一致する場合、子機２０２の第１の認証部２３３は、親子間認証に問題がないと判定する。併せて、子機２０２の第１の認証部２３３は、（Ｆ６）で親機２２０から通知されたメッセージに含まれる子機２０２を識別するＩＤが、自子機２０２のＩＤであるかを判定する。ＩＤが一致する、且つ、親子間認証に問題がない場合、ＣＡＮトランシーバ２３１は、親子間認証の結果（問題ないこと）と親子認証用のＩＤ（０ｘ７７７）と子機２０２ｂを識別するＩＤ（０ｘ２）を含めたメッセージを親機２２０に対して通知する。なお、親子間認証の結果は、暗号化されていてもよい。
（Ｆ８）親機２２０の第１の認証部２２２は、送られてきた子機２０２ｂの第２の認証部２３４の認証結果を復号化して（暗号化されている場合）取得する。
（Ｆ９）親機２２０の制御部２２４の制御によって、子機２０２ｂから送られてきた認証結果が記憶部２２３に記憶される。
（Ｆ１０）親子間認証で問題のない子機２０２は、ＥＣＵ２０１からのメッセージがある場合に、該メッセージの受信を開始する。ＥＣＵ２０１ｂから子機２０２ｂに対してメッセージが送信される。
（Ｆ１１）子機２０２ｂのＣＡＮトランシーバ２３６は、ＥＣＵ２０１ｂからのメッセージを受信する。
（Ｆ１２）第２の認証部２３４は、ＥＣＵ２０１ｂの認証処理を開始する。第２の認証部２３４は、受信したメッセージに含まれるＩＤが記憶部２３２に保持されているホワイトリストに含まれているか否かを判定する。ここではＥＣＵ２０１ｂは、未だ不正にＥＣＵ２０１´に置き換えられていないものとする。そのため、第２の認証部２３４は、ＥＣＵ２０１ｂから受信したメッセージに含まれるＩＤが記憶部２３２のホワイトリストに保持されているため、ＥＣＵ２０１ｂの認証を成功と判定する。
（Ｆ１３）ＣＡＮトランシーバ２３１は、子機２０２ｂにおけるＥＣＵ２０１ｂの認証結果と認証用のＩＤ（０ｘ７７７）と子機２０２ｂを識別するＩＤ（０ｘ２）を含めたメッセージを親機２２０に通知する。子機２０２ｂにおけるＥＣＵ２０１ｂの認証結果を定期的に親機２２０に通知するようにしてもよい。なお、認証結果は、暗号化されて通知されてもよい。
（Ｆ１４）親機２２０の制御部２２４の制御によって、子機２０２ｂから送られてきた認証結果（成功したこと）が記憶部２２３に記憶される。
（Ｆ１）〜（Ｆ９）の処理は、親機２２０と子機２０２の電源が投入された場合に実行され、システム内の全ての子機２０２と親機２２０との間で親子間認証が実行される。その後、（Ｆ１０）〜（Ｆ１４）の処理が子機２０２と親機２２０とで繰り返される。このように電源投入時に親子間認証を済ませておくことで、その後のＥＣＵ２０１と子機２０２との認証処理毎の親子間認証処理を省くことができる。これにより、第１の実施形態に係るシステム２０００と比べて、親子間認証の処理の回数を減らすことができ、親機２２０の負荷を軽減することができる。
ここで、ＥＣＵ２０１ｂが、不正にＥＣＵ２０１´に置き換えられたものとする。ＥＣＵ２０１´は、不正に置き換えられたＥＣＵであるため、ＥＣＵ２０１ｂが送信するメッセージ（０ｘ１２３、０ｘ４５６、０ｘ７８９）と異なるＩＤ（０ｘ１１１）を含むメッセージを送信するものとする。
（Ｆ１５）ＥＣＵ２０１´から子機２０２に対してメッセージが送信される。
（Ｆ１６）子機２０２ｂのＣＡＮトランシーバ２３６は、ＥＣＵ２０１´からのメッセージを受信する。
（Ｆ１７）第２の認証部２３４は、ＥＣＵ２０１´の認証処理を開始する。第２の認証部２３４は、受信したメッセージに含まれるＩＤである０ｘ１１１が記憶部２３２に保持されているホワイトリスト（０ｘ１２３、０ｘ４５６、０ｘ７８９
を含む）に含まれているか否かを判定する。第２の認証部２３４は、ＥＣＵ２０１´から受信したメッセージに含まれるＩＤ０ｘ１１１を、記憶部２３２のホワイトリスト（０ｘ１２３、０ｘ４５６、０ｘ７８９を含む）に保持していないため、ＥＣＵ２０１´の認証を失敗と判定する。
（Ｆ１８）ＣＡＮトランシーバ２３１は、子機２０２ｂにおけるＥＣＵ２０１ｂの認証結果と認証用のＩＤ（０ｘ７７７）と子機２０２ｂを識別するＩＤ（０ｘ２）を含めたメッセージを親機２２０に通知する。なお、認証結果は、暗号化されて通知されてもよい。
（Ｆ１９）親機２２０の制御部２２４の制御によって、子機２０２ｂから送られてきた認証結果（失敗したこと）が記憶部２２３に記憶される。
なお、（Ｆ１３）の処理では、子機２０２ｂにおけるＥＣＵ２０１ｂの認証結果（成功したこと）を親機２２０に通知すると記載している。しかし、子機２０２ｂにおけるＥＣＵ２０１ｂの認証結果が失敗と判定された場合に、子機２２０は、親機２２０に認証結果を通知してもよい。
ＥＣＵ２０１が不正に置き換えられた場合、不正なＥＣＵ２０１´と通信をする子機２０２（２０２ａ〜２０２ｆ）は、（Ｆ１５）〜（Ｆ１９）の処理を実行する。親機２２０は、子機２０２ａ〜２０２ｆから自身に接続されているＥＣＵ２０１が不正に置き換えられたかどうかを示す認証結果を収集可能である。そのため、親機２２０は該認証結果を収集することで、不正に置き換えられたＥＣＵ２０１（通信ノード）を特定することができる。言い換えると、子機２０２は、自身で不正に置き換えられたＥＣＵ２０１を検知し、親機２２０に不正に置き換えられたＥＣＵ２０１を特定させることができる。なお、チャレンジ＆レスポンス方式の親子認証において、乱数は親機２２０側で生成して子機を認証する形式であってもよいし、子機２０２で生成して親機を認証する形式でも良い。
図７は、第２の実施形態に係る子機の処理の例を説明するフローチャートである。子機２０２の第１の認証部２３３は、親機２２０からの要求により親子間認証を実行する（ステップＳ３０１）。ＣＡＮトランシーバ２３１は、親機２２０に親子間認証の結果を通知する（ステップＳ３０２）。ＣＡＮトランシーバ２３６は、ＥＣＵ２０１からのメッセージを受信する（ステップＳ３０３）。第２の認証部２３４は、ＥＣＵ２０１から受信したメッセージに含まれるＩＤが記憶部２３２に保持されているホワイトリストに含まれているか否かを判定する（ステップＳ３０４）。ＥＣＵ２０１から受信したメッセージに含まれるＩＤが記憶部２３２に保持されているホワイトリストに含まれている場合（ステップＳ３０４でＹＥＳ）、子機２０２は、処理をステップＳ３０３から繰り返す。ＥＣＵ２０１から受信したメッセージに含まれるＩＤが記憶部２３２に保持されているホワイトリストに含まれていない場合（ステップＳ３０４でＮＯ）、ＣＡＮトランシーバ２３１は、不正なＥＣＵ２０１を検知したことを親機２２０に通知する（ステップＳ３０５）。子機２０２は、ステップＳ３０５の処理が終了すると処理を終了する。
ＥＣＵ２０１が不正に置き換えられた場合、親機２２０は、子機２０２ａ〜２０２ｆから自身に接続されているＥＣＵ２０１が不正に置き換えられたかどうかを示す認証結果を収集可能である。そのため、親機２２０は該認証結果を収集することで、不正に置き換えられたＥＣＵ２０１（通信ノード）を特定することができる。言い換えると、子機２０２は、自身で不正に置き換えられたＥＣＵ２０１を検知し、親機２２０が不正に置き換えられたＥＣＵ２０１を特定することができる。
１００１、１００２、２０００ システム
１０１、２１０ ＣＡＮ
１１１、１１１ａ〜１１１ｆ、１１１ｂ´ ＥＣＵ
１１２、１１２ａ〜１１２ｆ 検知器
２０１、２０１ａ〜２０１ｅ ＥＣＵ
２０２、２０２ａ〜２０２ｆ 子機
２２０ 親機
２２１、２３１，２３６、３０１ ＣＡＮトランシーバ
２２２、２３３ 第１の認証部
２２３、２３２ 記憶部
２２４、２３５ 制御部
２３４ 第２の認証部
３０２ ＣＡＮコントローラ
３０３ 処理回路
３０４ プロセッサ
３０５ メモリ

Claims (10)

  1. バスを介して複数の通信ノードが互いにデータ通信を行う通信ネットワークにおける、対応する前記通信ノードと前記バスの間に介在する通信中継装置であって、
    前記バスに接続された管理装置との間で認証処理を行う第１の認証部と、
    対応する前記通信ノードの送信データに含まれる可能性がある識別情報を記憶する記憶部と、
    対応する前記通信ノードの送信データに含まれる識別情報と前記記憶部に記憶された識別情報との比較結果に応じた認証処理を行う第２の認証部と、
    前記第１の認証部における認証処理が成功した場合、前記第２の認証部における認証結果を前記管理装置に通知する通知部と、
    を有することを特徴とする通信中継装置。
  2. 前記第１の認証部が、前記管理装置と前記通信中継装置の電源が投入されると、前記管理装置との間で認証処理を行い、
    前記第１の認証部における認証処理が成功した場合で、且つ、前記第２の認証部における認証結果が失敗である場合に、前記通知部が、前記第２の認証部における認証結果を通知する
    ことを特徴とする請求項１に記載の通信中継装置。
  3. 前記第１の認証部は、前記管理装置との認証処理をチャレンジ＆レスポンス形式の認証を用いて行う
    ことを特徴とする請求項１に記載の通信中継装置。
  4. バスを介して複数の通信ノードが互いにデータ通信を行う通信ネットワークにおける、対応する前記通信ノードと前記バスの間に介在する通信中継装置で実行されるプログラムであって、
    前記バスに接続された管理装置との間で第１の認証処理を行い、
    対応する前記通信ノードの送信データに含まれる可能性がある識別情報を記憶部に記憶し、
    対応する前記通信ノードの送信データに含まれる識別情報と前記記憶部に記憶された識別情報との比較結果に応じた第２の認証処理を行い、
    前記第１の認証処理が成功した場合、前記第２の認証処理の結果を前記管理装置に通知する
    ことを特徴とする通信中継プログラム。
  5. 前記プログラムは、
    前記管理装置と前記通信中継装置の電源が投入されると、前記管理装置との間で認証処理を行い、
    前記第１の認証処理が成功した場合で、且つ、前記第２の認証処理が失敗である場合に、前記第２の認証処理の結果を前記管理装置に通知する処理を含む
    ことを特徴とする請求項４に記載の通信中継プログラム。
  6. 前記第１の認証処理は、前記管理装置との認証処理をチャレンジ＆レスポンス形式の認証を用いて行われる
    ことを特徴とする請求項４に記載の通信中継プログラム。
  7. バスを介して複数の通信ノードが互いにデータ通信を行う通信ネットワークにおける、対応する前記通信ノードと前記バスの間に介在する通信中継装置が、
    前記バスに接続された管理装置との間で第１の認証処理を行い、
    対応する前記通信ノードの送信データに含まれる可能性がある識別情報を記憶部に記憶し、
    対応する前記通信ノードの送信データに含まれる識別情報と前記記憶部に記憶された識別情報との比較結果に応じた第２の認証処理を行い、
    前記第１の認証処理が成功した場合、前記第２の認証処理の結果を前記管理装置に通知する
    ことを特徴とする通信中継方法。
  8. 前記管理装置と前記通信中継装置の電源が投入されると、前記管理装置との間で認証処理を行い、
    前記第１の認証処理が成功した場合で、且つ、前記第２の認証処理が失敗である場合に、前記第２の認証処理の結果を前記管理装置に通知する
    ことを特徴とする請求項７に記載の通信中継方法。
  9. 前記第１の認証処理は、前記管理装置との認証処理をチャレンジ＆レスポンス形式の認証を用いて行われる
    ことを特徴とする請求項７に記載の通信中継方法。
  10. バスを介して複数の通信ノードが互いにデータ通信を行う通信ネットワークにおける、対応する前記通信ノードと前記バスの間に介在する通信中継装置と、対応する前記通信ノードと前記通信中継装置を管理する管理装置とを含むシステムであって、
    前記通信中継装置は、
    前記バスに接続された管理装置との間で第１の認証処理を行い、
    対応する前記通信ノードの送信データに含まれる可能性がある識別情報を記憶部に記憶し、
    対応する前記通信ノードの送信データに含まれる識別情報と前記記憶部に記憶された識別情報との比較結果に応じた第２の認証処理を行い、
    前記第１の認証処理が成功した場合、前記第２の認証処理の結果を前記管理装置に通知し、
    前記管理装置は、
    複数の通信ノードのうち、前記第２の認証処理の結果が失敗している通信ノードを不正に置きえられた通信ノードとして特定する
    ことを特徴とするシステム。
JP2015146621A 2015-07-24 2015-07-24 通信中継装置、通信ネットワーク、通信中継プログラム及び通信中継方法 Expired - Fee Related JP6536251B2 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2015146621A JP6536251B2 (ja) 2015-07-24 2015-07-24 通信中継装置、通信ネットワーク、通信中継プログラム及び通信中継方法
US15/194,793 US10298578B2 (en) 2015-07-24 2016-06-28 Communication relay device, communication network, and communication relay method
DE102016212752.7A DE102016212752A1 (de) 2015-07-24 2016-07-13 Kommunikations-relaisvorrichtung, kommunikationsnetzwerk; kommunikationsrelais-programm und kommunikationsrelais-verfahren

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2015146621A JP6536251B2 (ja) 2015-07-24 2015-07-24 通信中継装置、通信ネットワーク、通信中継プログラム及び通信中継方法

Publications (2)

Publication Number Publication Date
JP2017028567A JP2017028567A (ja) 2017-02-02
JP6536251B2 true JP6536251B2 (ja) 2019-07-03

Family

ID=57739133

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2015146621A Expired - Fee Related JP6536251B2 (ja) 2015-07-24 2015-07-24 通信中継装置、通信ネットワーク、通信中継プログラム及び通信中継方法

Country Status (3)

Country Link
US (1) US10298578B2 (ja)
JP (1) JP6536251B2 (ja)
DE (1) DE102016212752A1 (ja)

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6683588B2 (ja) * 2016-11-10 2020-04-22 Kddi株式会社 再利用システム、サーバ装置、再利用方法、及びコンピュータプログラム
JP7094670B2 (ja) * 2017-07-03 2022-07-04 矢崎総業株式会社 設定装置及びコンピュータ
US10956555B2 (en) 2017-08-01 2021-03-23 Panasonic Intellectual Property Corporation Of America Management system, vehicle, and information processing method
WO2019026833A1 (ja) * 2017-08-04 2019-02-07 日本電産株式会社 認証システム、当該認証システムにおいて用いられる電子機器および認証方法
CN108123805A (zh) * 2017-12-15 2018-06-05 上海汽车集团股份有限公司 车载ecu间通讯安全认证方法
US10706651B2 (en) * 2018-03-28 2020-07-07 Denso International America, Inc. Systems and methods for communication bus security in a vehicle
CN111434077B (zh) * 2018-05-23 2023-02-24 松下电器（美国）知识产权公司 通信控制装置、移动网络系统、通信控制方法以及存储介质
CN110771099B (zh) * 2018-05-23 2022-08-26 松下电器（美国）知识产权公司 异常检测装置、异常检测方法以及记录介质
JP6833143B2 (ja) * 2018-12-25 2021-02-24 三菱電機株式会社 Ｅｃｕ、監視ｅｃｕおよびｃａｎシステム
CN112118095A (zh) * 2020-08-27 2020-12-22 江苏徐工工程机械研究院有限公司 一种工程机械can总线随机数生成方法、系统及身份认证系统
US11505161B2 (en) * 2020-10-13 2022-11-22 Ford Global Technologies, Llc Authenticating privilege elevation on a transportation service
US11665516B2 (en) * 2021-07-02 2023-05-30 Ettifos Co. Method and apparatus for relaying or receiving message

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4920878B2 (ja) * 2004-07-14 2012-04-18 日本電気株式会社 認証システム、ネットワーク集線装置及びそれらに用いる認証方法並びにそのプログラム
US8948395B2 (en) * 2006-08-24 2015-02-03 Qualcomm Incorporated Systems and methods for key management for wireless communications systems
JP4841519B2 (ja) * 2006-10-30 2011-12-21 富士通株式会社 通信方法、通信システム、鍵管理装置、中継装置及びコンピュータプログラム
US20110083161A1 (en) 2008-06-04 2011-04-07 Takayuki Ishida Vehicle, maintenance device, maintenance service system, and maintenance service method
JP5256516B2 (ja) 2009-01-29 2013-08-07 ソフトバンクＢｂ株式会社 基地局
JP5395036B2 (ja) * 2010-11-12 2014-01-22 日立オートモティブシステムズ株式会社 車載ネットワークシステム
JP5267598B2 (ja) 2011-02-25 2013-08-21 トヨタ自動車株式会社 車両制御装置のデータ書き換え支援システム及びデータ書き換え支援方法
JP5310824B2 (ja) * 2011-11-10 2013-10-09 株式会社リコー 伝送管理装置、プログラム、伝送管理システムおよび伝送管理方法
JP6136174B2 (ja) * 2012-10-05 2017-05-31 株式会社リコー 通信システム及び通信方法
JP6097158B2 (ja) 2013-06-19 2017-03-15 日本電信電話株式会社 故障復旧方法及びネットワーク管理装置
JP6036569B2 (ja) 2013-06-19 2016-11-30 株式会社デンソー セキュリティ装置
JP2015065546A (ja) 2013-09-25 2015-04-09 日立オートモティブシステムズ株式会社 車両制御装置

Also Published As

Publication number Publication date
US10298578B2 (en) 2019-05-21
DE102016212752A1 (de) 2017-01-26
JP2017028567A (ja) 2017-02-02
US20170026373A1 (en) 2017-01-26

Similar Documents

Publication Publication Date Title
JP6536251B2 (ja) 通信中継装置、通信ネットワーク、通信中継プログラム及び通信中継方法
CN105656941B (zh) 身份认证装置和方法
JP2019097218A (ja) 電子制御装置、通信方法およびプログラム
CN107979467B (zh) 验证方法及装置
WO2015143554A1 (en) Management and distribution of security policies in a communication system
JP2016019280A (ja) 産業用制御システム冗長通信／制御モジュール認証
JP7579299B2 (ja) 安全な産業用制御システムのためのイメージ・キャプチャ・デバイス
WO2018153362A1 (zh) 接入物联网平台的方法、物联网平台和物联网设备
CN107710676A (zh) 网关装置及其控制方法
US20100070755A1 (en) Method and device for confirming authenticity of a public key infrastructure (pki) transaction event
CN110796220B (zh) 一种基于公共交通的识别码发码系统
CN110855427B (zh) 一种无人机身份认证方法及系统
EP4162662A1 (en) System and method for authenticating a device on a network
JP6520515B2 (ja) ネットワーク監視システム、ネットワーク監視プログラム及びネットワーク監視方法
JP6453351B2 (ja) 通信ネットワークにおけるネットワーク要素の認証
CN105744555A (zh) 一种终端维护方法、维护装置以及网管服务器
WO2019239191A1 (en) Methods, wireless modules, electronic devices and server devices
US8355508B2 (en) Information processing apparatus, information processing method, and computer readable recording medium
CN113767595B (zh) 设备监视方法、设备监视装置以及程序记录介质
CN101616087A (zh) 关联至安全设备的路由器
CN107040928B (zh) 非法wifi检测方法、终端、aaa服务器和系统
US9825952B2 (en) Secure machine to machine communication
JP5940013B2 (ja) 車載通信システム及び通信装置
CN102811196A (zh) 自动交换光网络中的网络安全保护方法、装置和系统
CN108076046A (zh) 通信系统

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20180413

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20190206

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20190219

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20190328

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20190507

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20190520

R150 Certificate of patent or registration of utility model

Ref document number: 6536251

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

LAPS Cancellation because of no payment of annual fees