JP7660596B2 - 車両と前記車両を管理するためのリモート管理サーバとの間の接続のセキュリティ保護 - Google Patents

Description

本発明は、一般に、電気通信および自動車に関し、より詳細には、車両に供給されるテレマティクス（ｔｅｌｅｍａｔｉｃｓ）サービスと、この車両のソフトウェアとのセキュリティ保護に関する。

車両上で製造業者によって提供されるテレマティクスサービスはセンシティブなデータおよび機能をエラボレートし、使用する。これらのサービスは、一般に、一方では、車両中に常駐する組込みロジックによって、他方では、製造業者またはサードパーティの少なくとも１つのリモートサーバ上に常駐する外部ロジックによって実行される。テレマティクスサービスのおよび車のソフトウェアのセキュリティ保護における１つの基本的な問題は、一般に、これらの２つのロジック間の通信リンクを中心に展開する。事実上、良好なレベルのセキュリティを達成するために、製造業者は、これらのテレマティクスサービスのソフトウェアの組込み部分と外部部分との間にセキュリティ保護された通信機構をセットアップする。製造業者はまた、それの車両ストックのための管理センターをセットアップする。これらの管理ツールは、製造業者が、車両において異常を検出し、たとえば車両のソフトウェアを更新することによって、誤動作にまたは潜在的なサイバー攻撃に応答するように予防アクションまたは修正アクションをトリガすることを可能にする。

しかしながら、このセキュリティ保護ストラテジーは、車両がネットワークカバレージを有さず、製造業者のリモートサーバと対話することができないとき、または、車両とリモートサーバとの間の通信がもはや信頼性が高く信頼できると考えられないときは効果的でないことがわかる。車両におけるテレマティクスサービスソフトウェアの組込み部分とそれの外部部分との間の接続のセキュリティを強化するための１つの手段は、車両の製造業者がそれにサブスクライブする電気通信オペレータによって実装される追加の保護と追加の防護措置機能とを得ることである。

しかしながら、これらのテレマティクスサービスのセットアップと並んで、車両のユーザにインターネットをもたらすといった、新たに生じた増大する必要性がある。さらに、車のユーザがこのインターネット使用のためにユーザ自身のセルラー電話サブスクリプションを使用することが可能であることに対する強い需要がある。

現在、インターネット接続は、ハッカーが、この接続を使用する電子部品の制御権を握ることを可能にすることができる、脅威と潜在的な侵害とのセットを復活させる。そのことだけでなく、このインターネット接続のために、ユーザに固有のサブスクリプションを用いて、関係する車両の製造業者の電気通信オペレータとは異なる電気通信オペレータを使用することは、車両によって使用されるテレマティクスサービスをセキュリティ保護するために、製造業者の電気通信オペレータが提供することができる保護および是正措置の恩恵を得ることを妨げる。

したがって、車両のユーザがそのユーザのセルラー電話サブスクリプションを介してインターネットに接続することを可能にしながら、車両と車両のリモート管理センターとの間の通信をセキュリティ保護する必要がある。

１つのソリューションは、一方のインターネットのための接続およびシステムと、他方のテレマティクスサービスのための接続およびシステムとを分離することである。ユーザはユーザ自身のセルラー電話サブスクリプションを使用するので、そのことは、ただ１つのセルラーモデムの代わりに２つのセルラーモデムを用いるか、または、「アクティブデュアルＳＩＭ」と呼ばれる機能である、同時にアクティブである２つのＳＩＭ（加入者識別情報モジュール）カードを用いて動作することができる１つのセルラーモデムを用いるかのいずれかによって、物理的セルラー通信システムが複製されなければならないことを意味する。これらのケースの両方において、この複製は非常に大きいコスト経費（車両当たり数十ドル）を表す。

本発明の目的のうちの１つは、車両のユーザがユーザ自身のセルラー電話サブスクリプションを介してインターネットにアクセスすることを可能にしながら、車両と車両のサイバーセキュリティを管理する管理センターとの間の信頼できる通信を保証する車両、システムおよび方法をより低コストで供給することによって、従来技術の欠点のうちの少なくともいくつかを改善することである。

この目的のために、本発明は、２つの電気通信識別子カードを使用することが可能な通信モジュールを備える車両であって、前記２つの電気通信識別子カードは、一方が前記車両の製造業者と電気通信オペレータとの間のサブスクリプションに関し、他方が前記車両のユーザと電気通信オペレータとの間のサブスクリプションに関し、前記車両は、車両のセキュリティ機能をホストする信頼できる実行環境と、前記通信モジュールの少なくとも一部をホストするマルチメディアシステム実行環境とを含み、前記車両は、前記信頼できる実行環境が、前記車両と前記車両のリモート管理サーバとの間の接続を監視する監督モジュールを備えることを特徴とする、車両、を提案する。

本発明によって、単一のモデムが、車両のサブスクリプションを使用する接続か、またはユーザのサブスクリプションを使用する接続のいずれかを使用するが、車両とリモートサーバとの間の接続は監視される。したがって、ユーザサブスクリプションを使用する接続がもはや信頼性が高い、または信頼できると考えられないとすぐに、モデムは、たとえば、サイバー攻撃防止および修正措置の恩恵を受けるために車両の製造業者のＳＩＭカードに切り替えることができ、これらの措置は、高価な「アクティブデュアルＳＩＭ」モデムを必要とすることなしに、製造業者にリンクされたオペレータによって供給される。

有利なことには、前記監督モジュールは、署名されて一意に予め定められたメッセージを、それぞれ前記リモート管理サーバに送信し、前記リモート管理サーバから受信することによって前記接続を一定の間隔で試験することが可能である。この実装形態は特にリプレイプロテクションを与える。

本発明の一変形実施形態では、前記監督モジュールは、前記リモート管理サーバから署名されて一意に予め定められたメッセージを受信することによって前記接続を一定の間隔で試験することが可能である。この変形態では、監督モジュールは、したがって、テストメッセージを送信しないが、テストメッセージの正しい受信を監視する。

この場合も有利なことには、前記監督モジュールは、
－ 前記通信モジュールが前記リモート管理サーバへの前記メッセージのうちの１つの送信を確認しないか、もしくは前記通信モジュールが前記リモート管理サーバによって送信された前記メッセージのうちの１つを送信しない間、前記通信モジュールが、車両のセルラー接続が動作していることを示すか、
－ または前記通信モジュールが、車両のセルラー接続が第１の予め定められた時間間隔よりも大きい時間の間利用不可能であることを示す
ときに、接続異常を検出することが可能である。

この実装形態は、無線カバレージの短く限定的な喪失によって引き起こされたものではないために疑われる通信モジュールの異常を、簡単に検出することを可能にする。本出願において、車両の「セルラー接続」は、特に適切なセルラー電話ネットワークカバレージによって、無線によってメッセージを受信または送信する能力を意味すると理解される。

この場合も有利なことには、前記監督モジュールによって送信されたメッセージは、前記車両と前記リモート管理サーバとの間の接続異常の検出を表すか、またはそのような検出がないことを表す情報を含む。そのことは、リモート管理サーバが、そのことが可能であるときに異常を除外するか、または確認するために介入し、リモート車両ソフトウェアアップデートなどの是正行為を実施することを可能にする。

別の有利な特徴によれば、本発明による車両は、
－ 車両のセキュリティ保護されていないアプリケーションのための外部通信の無効化をトリガする命令を通信モジュールに送信するための第１の手段と、
－ 単一の接続手段としての前記車両の製造業者のサブスクリプションに関する電気通信識別子カードの通信モジュールによる選択と、前記リモート管理サーバとの通信以外の通信の通信モジュールによる無効化とをトリガする命令を通信モジュールに送信するための第２の手段と、
－ 前記再始動にセキュリティ保護された構成を課しながら、前記通信モジュールの再始動をトリガする命令と、前記マルチメディアシステム実行環境の再始動を誘発する命令とを通信モジュールに送信するための第３の手段と、
－ 車両の他の実行環境または他のソフトウェアの少なくとも一部にセキュリティ保護された構成を課しながら、前記車両の前記他の実行環境または前記他のソフトウェアの前記少なくとも一部の再始動をトリガする命令を送信するための第４の手段と
を含むリストから選定された送信手段のうちの少なくとも１つを備え、
前記車両は、前記車両と前記リモート管理サーバとの間の接続異常が検出されると選定された前記送信手段の全部または一部をアクティブ化するように構成されたアクティブ化手段をさらに含む。

これらの４つの送信手段のうちの１つまたは複数を組み込むことによって、本発明による車両は、リモート管理サーバから独立した是正ソリューションの恩恵を受ける。

有利なことには、本発明による車両は、少なくとも前記第１の送信手段を含み、前記アクティブ化手段は、前記通信モジュールが、車両のセルラー接続が前記第１の予め定められた時間間隔よりも大きい時間の間利用不可能であることを示したときに、前記第１の送信手段のみをアクティブ化するように構成される。このようにして、無線カバレージの喪失による誤った異常検出の場合にユーザエクスペリエンスを過大に劣化させることが回避される。

この場合も有利なことには、本発明による車両は、少なくとも前記第２の送信手段を含み、前記アクティブ化手段は、前記通信モジュールが、セルラー接続が第１の予め定められた時間間隔よりも大きい第２の予め定められた時間間隔よりも大きい時間の間利用不可能であることを示したときに、前記第３の送信手段または前記第４の送信手段の中から選定された送信手段を除いて、前記第２の送信手段をアクティブ化するように構成される。このようにして、本発明による車両が第３の送信手段および／または第４の送信手段を組み込んでいる場合でも、後者は、特に車両が停止されない限り、当初は実施されない。リモート管理サーバＳＧは、したがって、誤検出の場合に第３の送信手段および第４の送信手段の実施を回避するために介入する時間を有する。したがって、疑わしい異常の確率が大きくなったときに車両をセキュリティ保護しながら、ユーザエクスペリエンスの劣化がほとんどない。

この場合も有利なことには、本発明による車両は、少なくとも前記第３の送信手段または前記第４の送信手段を含み、前記アクティブ化手段は、前記車両が停止されたときのみ前記第３の送信手段または前記第４の送信手段をアクティブ化するように構成される。それにより、特に車両走行段階外の最も適切な瞬間において車両のみをセキュリティ保護するためにユーザエクスペリエンスを損なうことが可能になる。

本発明はまた、本発明による車両と前記リモート管理サーバとを備えるシステムであって、前記リモート管理サーバは、
－ 前記監督モジュールによって送信され、前記車両と前記リモート管理サーバとの間の接続異常の検出を表す情報を含むメッセージを受信するための手段と、
－ 前記車両の位置と無線カバレージデータとの間の相関によって、前記異常検出がサイバー攻撃によるものでないことを検出するための手段と、
－ 前記監督モジュールからの前記メッセージに応答して、前記異常が前記車両に対するサイバー攻撃によるものでないことを示すメッセージを送信し、前記異常検出を報告するための手段と
を含むことを特徴とする、システムに関する。

このようにして、リモート管理サーバは、無線カバレージの瞬時のまたは長時間の喪失による誤検出時に、車両がユーザエクスペリエンスを損なう是正行為を行うことを防ぐ。

有利なことには、前記リモート管理サーバは、
－ 予め定められたしきい値よりも大きい数の車両によって異常が報告されるとすぐにサイバー攻撃を検出するための手段と、
－ 前記検出手段によってサイバー攻撃が検出されるとすぐに、前記通信モジュールと前記マルチメディア実行環境とのセキュリティ保護された再始動するための、および／または前記マルチメディア実行環境を更新するためのプロシージャをアクティブ化するメッセージを前記車両に送信するための手段と
をさらに備える。この追加の特徴により、予め定められた将来のサイバー攻撃に対して車両を保護することが可能になる。

本発明は、最後に、本発明による車両と、前記車両の前記リモート管理サーバとの間の接続をセキュリティ保護するための方法であって、
－ 予め定めら署名されて一意に予め定められたメッセージを、それぞれ前記リモート管理サーバに送信し、および／または前記リモート管理サーバから受信するステップと、
－ 前記接続についての異常を検出するステップと、
－ 前記車両と前記リモート管理サーバとの間の通信を、前記車両の構成のサブスクリプションに関する電気通信識別子カードを使用する接続に切り替えることが可能な命令を前記通信モジュールに送信するステップと
を含む、方法に関する。

本発明によるシステムおよび方法は本発明による車両の利点と同様の利点を与える。

他の特徴および利点は、図を参照しながら説明する好ましい実施形態を読むと明らかになろう。

本発明のこの好ましい実施形態における、本発明による車両およびシステムを表す図である。 本発明のこの好ましい実施形態における、本発明による車両の是正手段を表す図である。 本発明のこの好ましい実施形態における、本発明による方法のステップを表す図である。 本発明のこの好ましい実施形態における、本発明による車両において実施される是正ロジックの状態図を表す図である。

図１に表された本発明の好ましい実施形態によれば、本発明による車両Ｖは、様々なソフトウェアをホストする様々な実行環境を含む。特に、エンジン制御ソフトウェアまたは運転支援ソフトウェアなど、車両Ｖのセキュリティソフトウェアは、たとえば、信頼できる実行環境ＴＥＥを組み込んでいるセキュリティ保護されたゲートウェイを介してのみアクセス可能な、セキュリティ保護されたコンピュータ上にホストされる。本発明のこの例示的な実施形態では、信頼できる環境ＴＥＥは、車両Ｖのセキュリティ機能ＳＦと、サイバー攻撃の検出の場合にトリガされる是正機能をホストするモジュールＭＲと、車両Ｖと車両Ｖのリモート管理サーバＳＧとの間の接続を監督するためのモジュールＭＳとをホストする。信頼できる環境ＴＥＥは、たとえば、車両のセキュリティ保護されたコンピュータへのアクセスを与える車両のセキュリティ保護されたソフトウェアゾーンと、車両の外部と通信しているマルチメディア通信機能を含むソフトウェアゾーンとの間のリンクを作成する、セキュリティ保護されたゲートウェイにおいてホストされる。

車両Ｖはまた、少なくとも１つのセキュリティ保護されていない実行環境、ここでは、車両Ｖのいわゆる「インフォテインメント」情報と娯楽部分とをホストするマルチメディアシステムの実行環境ＥＥＳＭを含む。実行環境ＥＥＳＭは、したがって、車両のユーザの使用のために意図され、ジオロケーションサービス、組込みブラウザなど、インターネットからのまたはインターネットへのデータストリームに曝される、アプリケーションＡＣをホストする。実行環境ＥＥＳＭはまた、車両Ｖのオーディオ出力設定機能またはグラフィカルインターフェースなど、車両の非セキュリティ機能ＢＦをホストする。

最後に、実行環境ＥＥＳＭは通信モジュールＭＣをホストする。通信モジュールＭＣは、イーサネットネットワーク信号を、ＧＳＭ（「モバイル通信用グローバルシステム」）、３Ｇ、４Ｇ、５Ｇ（Ｇはモバイルテレフォニー技術世代を表す）または（ＩＥＥＥ８０２．１１規格による）Ｗｉ－Ｆｉ無線信号に変換し、その逆も同様に変換することが可能な、セルラー無線モデムを組み込んでいる。一変形実施形態では、通信モジュールＭＣは、他のタイプのワイヤードプロトコルを、特に車両の使用の国とその国の電気／電子アーキテクチャとに応じて、他のタイプの無線プロトコルに変換する。たとえば、一変形態では、モデムは、ＣＡＮ（コントローラエリアネットワーク）信号をＣＤＭＡ２０００信号に変換するために使用される。

通信モジュールＭＣは、特にセキュリティ保護されていないアプリケーションが外部で通信することを可能にするために、実行環境ＥＥＳＭに組み込まれるが、通信モジュールＭＣの機能のうちのいくつかはセキュリティ保護される。これらのセキュリティ保護された機能は、セキュリティ保護された電子回路によって実装されるか、または、マイクロコントローラなど、セキュリティ保護されたコンピュータ中に実装される。実行環境ＥＥＳＭは、したがって、セキュリティ保護されていないソフトウェアだけでなく、セキュリティ保護されたソフトウェアおよび／またはハードウェア回路をも組み込む。これらの機能は、後で説明するように、特に、信頼できる実行環境ＴＥＥが、通信モジュールＭＣに車両Ｖの製造業者に固有の電気通信識別子カードに切り替えさせることを可能にする。一変形態では、通信モジュールＭＣのセキュリティ保護された一部が信頼できる実行環境ＴＥＥの一部を形成すると考えることももちろん可能である。

通信モジュールＭＣのモデムは、２つのＳＩＭカードを通信モジュールＭＣが使用することを可能にする「デュアルＳＩＭ」機能を有し、２つのＳＩＭカードは、この実施形態では、
－ 車両Ｖのユーザと電気通信オペレータとの間のサブスクリプションに関する、ＵＣＡと呼ばれる電気通信識別子ＳＩＭカード、
－ 車両Ｖの製造業者と、ＵＣＡカードを供給した電気通信オペレータとは異なり得る電気通信オペレータとの間のサブスクリプションに関する、ＶＣＡと呼ばれる電気通信識別子ＳＩＭカード
である。

通信モジュールＭＣが使用するＵＣＡカードは、たとえば、仮想ＳＩＭ、すなわち、ユーザが自身のＳＩＭカードを車両Ｖのモデムの特定のスロット中に配置する必要はないが、ユーザは、車両がこの仮想ＳＩＭカードを生成するために自身の個人ＳＩＭカードを認証するデータを車両に入力するだけで済む仮想ＳＩＭである。一変形態では、通信モジュールＭＣは、ユーザが自身の個人ＳＩＭカードをその中に挿入することを可能にする物理スロットを有する。

本発明のこの実施形態では、通信モジュールＭＣのモデムは、ＵＣＡカードとＶＣＡカードの両方を使用する機能を有しないが、単に、コンテキストに応じて外部との通信をセットアップするために一方のカードから他方のカードに切り替えることによって、一度にこれらのカードの一方または他方を使用する機能を有する。通信モジュールＭＣのモデムは、したがって、いわゆる「アクティブデュアルＳＩＭ」機能を有しない。たとえば、車両Ｖのユーザが、インターネットに接続するために実行環境ＥＥＳＭを使用するときに、通信モジュールは、インターネットネットワークＩＮＴとの通信セッションＬＳＵをセットアップするためにＵＣＡカードを使用する。この通信セッションは、個々のセルラー電話サブスクリプションに固有の標準レベルのセキュリティでセットアップされ、リモート管理サーバＳＧとも通信するために使用され得る。車両Ｖが、内部にユーザがおらず、エンジンが切られ、ドアが閉じられた状態で停止され、保守理由のためにリモート管理サーバＳＧと通信するとき、他方の通信モジュールＭＣは、リモート管理サーバＳＧとの通信セッションＬＳＶをセットアップするためにＶＣＡカードを使用する。この通信セッションＬＳＶは、たとえばセキュリティ保護されたＡＰＮ（「アクセスポイント名」）を使用して、場合によっては通信セッションＬＳＵのセキュリティレベルよりも高いセキュリティレベルの恩恵を受ける。

通信モジュールＭＣはまた、セルラー接続の状態を実行環境ＴＥＥに報告する能力を有する。特に、通信モジュールＭＣは、外部で通信セッションをセットアップするのに無線ネットワークカバレージが弱すぎるかまたはないかどうかを示す。

リモート管理サーバＳＧは、製造業者の車両の一般的な管理のためのロジックＶＡＬと、車両Ｖとリモート管理サーバＳＧとの間の通信リンクを監視するための監督モジュールＳＭＭとを備える。

ＵＣＡカードを使用するときの主なリスクは、ハッカーがリモート管理サーバＳＧと信頼できる実行環境ＴＥＥとの間の通信を切断することを可能にして、信頼できる実行環境ＴＥＥが修正アクションをトリガして正常に復帰するためのコマンドを受信することを妨げ得る、車両のコンピュータとセキュリティ保護されていない実行環境との制御権をハッカーが握ることを可能にするインターネットから来る攻撃のリスクである。この問題を改善するために、監督モジュールＭＳは、車両Ｖが使用されているときに、特に車両Ｖとリモート管理サーバＳＧとの間の接続を一定の間隔で試験することによって、この接続を監視する。監督モジュールは、したがって、車両Ｖとリモート管理サーバＳＧとの間の通信の異常中断を検出することが可能である。そのような接続異常が検出されたとき、監督モジュールＭＳは、図２に表されているように、モジュールＭ１～Ｍ４において実施されるセキュリティ機能ＳＦをアクティブ化する。したがって、本出願において、監督モジュールＭＳは、通信モジュールＭＣによって実装される標準化された監督機構とは別個に、特に、通信モジュールＭＣによって使用されるＧＳＭ、３Ｇ、４Ｇ、５ＧまたはＷｉ－Ｆｉ通信規格によって義務付けられたメッセージ暗号化機構とは別個に、車両とリモート管理サーバＳＧとの間の接続の監督を確立することを理解されるべきである。実際、この監督モジュールは、車両Ｖとリモート管理サーバＳＧとの間の通信の異常中断、すなわち、通信モジュールＭＣのソフトウェアインテグリティの侵害による異常中断を検出することが可能である。

より詳細には、監督モジュールＭＳは、入力として異常コードとセルラー接続の状態と車両Ｖの状態とを受信するアクティブ化モジュールＭＡを備える。これらの入力パラメータに基づいて、アクティブ化モジュールＭＡはモジュールＭ１～Ｍ４のうちの１つまたは複数をアクティブ化する。

モジュールＭ１は、車両のセキュリティ保護されていないアプリケーションのための外部通信の無効化をトリガする命令、すなわち、実行環境ＥＥＳＭからインターネットへ出る如何なる通信をも切断する命令を通信モジュールＭＣのセキュリティ保護されたマイクロコントローラに送信するためのソフトウェア手段である。

モジュールＭ２は、外部で通信するためにＶＣＡカードの通信モジュールＭＣによる選択と、リモート管理サーバＳＧとの通信以外の任意の通信の通信モジュールＭＣによる無効化とをトリガする命令を通信モジュールＭＣのセキュリティ保護されたマイクロコントローラに送信するためのソフトウェア手段である。

モジュールＭ３は、通信モジュールＭＣの再始動をトリガする命令を通信モジュールＭＣのセキュリティ保護されたマイクロコントローラに送信し、実行環境ＥＥＳＭのセキュリティ保護された部分ＭＢ１に実行環境ＥＥＳＭを再始動する命令を送信するためのソフトウェア手段である。一変形態では、特にマイクロコントローラがセキュリティ保護された部分ＭＢ１にリンクされたときに、ただ１つの命令が必要である。これらのセキュリティ保護された再始動は、これらのシステムのランダムアクセスメモリの消去をトリガし、インターネットへの接続なしにリモート管理サーバＳＧと通信するためにＶＣＡカードの選択を強制する。

モジュールＭ４は、車両Ｖの他の実行環境または他のソフトウェアＭＢ２～ＭＢｎの全部または一部のセキュリティ保護された再始動をトリガする命令を送信するためのソフトウェア手段である。このセキュリティ保護された再始動は、これらの他の環境とソフトウェアとのランダムアクセスメモリの消去をトリガし、必要な場合、他よりも攻撃に敏感であるいくつかのソフトウェア部分の使用を阻止する。

監督モジュールＭＳによるこれらの手段のうちの１つの使用の１つの例は、図３に、本発明による車両Ｖとリモート管理サーバＳＧとの間の接続をセキュリティ保護するための方法の形態で表されている。この例では、通信モジュールＭＣは、外部で通信するために最初にＵＣＡカードを使用する。

ステップＥ１は、署名されて一意に予め定められたメッセージの、それぞれリモート管理サーバＳＧへの送信、および監督モジュールＭＳによる車両Ｖからの受信である。そのために、監督モジュールＭＳは、リモート管理サーバＳＧが監督モジュールＭＳを認証することを可能にするメッセージをリモート管理サーバＳＧに定期的に送信する。このメッセージは、たとえば、ＲＳＡ（Ｒｉｖｅｓｔ、ＳｈａｍｉｒおよびＡｄｌｅｍａｎ）暗号化など、非対称暗号化アルゴリズムを使用することによって署名される。一変形態では、監督モジュールＭＳは、製造業者にのみ知られている（および、車両Ｖおよびリモート管理サーバＳＧ中にセキュアに含まれている）暗号化鍵を使用してＨＭＡＣ（「鍵付きハッシュメッセージ認証コード」）タイプのハッシングアルゴリズムによって得られる署名を使用する。もちろん、監督モジュールＭＳによって送信されたメッセージの署名のために他の対称アルゴリズムまたは非対称暗号化アルゴリズムが使用され得る。これらのメッセージはまた、車両Ｖとリモート管理サーバＳＧとにのみ知られているアルゴリズムによって生成されるタイムスタンプ、カウントまたは予め定められた番号などのリプレイ防止データを含む。監督モジュールＭＳによって送信されたメッセージはまた、異常コードを含み、異常コードの値および意味は、たとえば、
－ ０：監督モジュールＭＳによって異常が検出されない
－ １：第１の所定の時間しきい値Ｔ１よりも大きい時間の間のネットワークカバレージの欠如の通信モジュールＭＣによる指示を伴う、接続における中断
－ ２：第１の所定の時間しきい値Ｔ１よりも大きい第２の所定の時間しきい値Ｔ２よりも大きい時間の間のネットワークカバレージの欠如の通信モジュールＭＣによる指示を伴う、接続における中断
－ ３：説明されない接続における中断
である。

第１の所定の時間しきい値Ｔ１は、たとえば３０分に設定され、第２の所定の時間しきい値Ｔ２は、たとえば６０分に設定される。

本発明のこの実施形態では、簡単のために、異常コードは、特に、真のまたは誤ったネットワークカバレージ停止による接続における中断に向けられることに留意されたい。実際には、異常コードは、場合によってはより微妙な差異をもつ。たとえば、一変形態では、以下の状況、すなわち、
－ 監督モジュールＭＳは、テストメッセージを送信し、即時のプロトコル返信を受信したが、リモート管理サーバＳＧからの応答を受信していない状況、
－ リモート管理サーバＳＧとの接続がセットアップされたことを通信モジュールＭＣが示すにもかかわらず、監督モジュールＭＳは、テストメッセージを送信したが、即時のプロトコル返信を受信していない状況、
－ セルラー接続はデータ転送モードで動作しているが、監督モジュールＭＳはテストメッセージを送信することができず、もはやリモート管理サーバＳＧとセットアップされた接続がないことを通信モジュールＭＣが示す状況、
－ ネットワークカバレージは利用可能であるが、もはやデータ転送モードで利用可能なセルラー接続がないことを通信モジュールＭＣが示す状況、
－ もはやネットワークカバレージがないことを通信モジュールＭＣ示す状況
に異なるコードが適用される。

この変形態では、それぞれモジュールＭ１およびＭ２をアクティブ化するために、たとえば時間Ｔ１およびＴ２に対応して、より広くは、通信モジュールＭＣが、もはやリモートサーバＳＧとセットアップされた接続がないことを示した場合に、時間カウンタが適用される。

リモート管理サーバＳＧが監督モジュールＭＳから受信したメッセージに応答して、リモート管理サーバＳＧによって送信されたメッセージは、監督モジュールＭＳによって送信されたメッセージと同様の方法で署名され、リプレイ防止データを含む。さらに、リモート管理サーバＳＧからの応答メッセージは、場合によっては、監督モジュールＭＳによって以前に報告されたネットワークカバレージの欠如の存在を確認または除外する情報を含むか、または車両Ｖが停止されるとすぐに、ソフトウェアアップデートまたはセキュリティ保護された再始動命令など、車両Ｖに関する是正行為をトリガする命令を含む。

本方法のステップＥ２は、監督モジュールＭＳによる接続異常の検出である。監督モジュールＭＳは、
－ ネットワークカバレージが利用可能であることを通信モジュールＭＣが示すにもかかわらず、監督モジュールＭＳが送信したメッセージのうちの１つに対する応答を受信しないときに、または、監督モジュールＭＳからのメッセージのうちの１つをリモート管理サーバＳＧに送信することが可能でなかったことを通信モジュールＭＣが示したときに、
そのような異常を検出する。この検出は、場合によっては、数回の再送信テストの後に、または、たとえば１５分に設定された予め定められた応答時間に設定された時間カウンタの満了時に行われ、この検出は、上記で定義された異常コード３に対応し、
－ 予め定められた時間しきい値Ｔ１またはＴ２よりも大きい時間から、ネットワークカバレージが利用不可能であることを通信モジュールＭＣが示したときに、この検出は、対応するしきい値に基づいて上記で定義された異常コード１または２に対応する。

ステップＥ３は、実行環境ＥＥＳＭが攻撃によって損なわれた場合でも車両Ｖとリモート管理サーバＳＧとの間の信頼できる通信を再確立することを可能にする、監督モジュールＭＳによる是正手段のアクティブ化である。これらの手段は、特に、検出された異常がサイバー攻撃には対応しないが、ネットワークカバレージの真正の喪失に対応する場合に、ユーザエクスペリエンスを最も良く保つように選定される。そのために、ユーザおよび車両Ｖの接続の可能性に関する影響は車両Ｖの状態とサイバー攻撃の現実のリスクとに応じて徐々に増加する。たとえば、通信モジュールＭＣがネットワークカバレージの欠如を示したときに、監督モジュールＭＳは、通信モジュールＭＣが利用可能なネットワークカバレージを示したときよりも多い回数、メッセージを再送する試みを行う。同様に、予め定められた時間しきい値Ｔ１またはＴ２は、たとえばジオロケーションデータに基づいて設定される。したがって、車両がホワイトゾーンへの進入を検出した場合、これらのしきい値は、たとえば、このゾーンにおける推定される走行時間に適応される。検出された異常コードに基づいて、是正行為はまた、より多いまたはより少ない影響を及ぼす。本発明のこの使用例では、車両Ｖが使用中であることと、報告された異常コードが３であることとが仮定される。この場合、ステップＥ３は、車両Ｖとリモート管理サーバＳＧとの間の通信の、ＶＣＡカードを使用する接続への切り替えをトリガする、モジュールＭ２のアクティブ化にある。言い換えれば、モジュールＭ２は、車両Ｖとリモート管理サーバＳＧとの間の通信を一時的に切断し、車両Ｖの製造業者のサブスクリプションを使用することによってこれらの２つのエンティティ間の接続を再確立する命令を通信モジュールＭＣに送信する。

車両Ｖとリモート管理サーバＳＧとの間で通信が再確立されると、監督モジュールＭＳは異常コード３をメッセージ中でリモート管理サーバＳＧに送信する。リモート管理サーバＳＧの監督モジュールＳＭＭは、次いで、車両のセキュリティ機能ＳＦによる是正行為、たとえば、車両が停止されるとすぐに、優先的にエンジンが切られた状態で実施されるソフトウェアアップデートまたは環境ＥＥＳＭのセキュリティ保護された再始動の実施を可能にする命令を、対応する応答メッセージ中でまたは別個に送信する。リモート管理サーバＳＧからの非応答の場合、車両Ｖ自体がこの是正行為を実施する。

車両Ｖとリモート管理サーバＳＧとの間に通信が再確立された後に、監督モジュールによって報告された異常コードが１または２であるときに、リモート管理サーバＳＧは、ネットワークカバレージが実質的に不十分であるかまたは存在しないゾーン中に車両Ｖがいるかどうかを検査することができることに留意されたい。車両Ｖがゾーン中にいる場合、リモート管理サーバＳＧの監督モジュールＳＭＭは、車両Ｖとの通信が再確立されるとすぐに、車両Ｖがそのようなゾーン中にいたことを車両Ｖに通知し、それにより、次に車両Ｖが停止されたときに実行環境ＥＥＳＭの無意味なセキュリティ保護された再始動を回避することが可能になる。一方、車両Ｖがゾーン中にいないとき、リモート管理サーバＳＧの監督モジュールＳＭＭは、車両Ｖとの通信が再確立されるとすぐに、これを車両Ｖに通知し、車両が停止されるとすぐに、優先的にエンジンが切られた状態で、セキュリティ保護された再始動命令、または実行環境ＥＥＳＭを更新する命令を車両Ｖに送信する。優先的に、通信モジュールＭＣと環境ＥＥＳＭとのセキュリティ保護された再始動は、ミッション終了処理動作が中断されないように、車両が停止された後に数十秒間遅らせられることに留意されたい。さらに、車両が停止されたとき、テストメッセージの送信および受信は、車両のバッテリーを維持するために停止される。

さらに、リモート管理サーバＳＧは車両のストック全体を管理するので、このストックの車両によって報告された異常の相関によってサイバー攻撃を検出することが可能である。特に、車両のこのストックが、短い期間にわたって、および許容できるネットワークカバレージを含む地理ゾーンにわたって、予め定められたしきい値よりも大きい数、たとえば１０００個の異常を報告した場合、監督モジュールＳＭＭは、サイバー攻撃を検出し、セキュリティ保護された再始動を用いてそれの車両上のソフトウェアアップデートをプログラムする。

図４を参照すると、ユーザエクスペリエンスへの本発明によるセキュリティ保護方法の影響を最小にすることを可能にする、監督モジュールＭＳにおいて実装されるロジックの例は、状態Ｓ０～状態Ｓ５を含む。

状態Ｓ０において、車両Ｖは、エンジンが切られ、イグニションが切られた状態で停止される、すなわち、イグニションスイッチは設定されない。この状態において、車両Ｖは、ＶＣＡカードを用いてリモート管理サーバＳＧとのみ通信し、インターネット通信は確立されない。ユーザがイグニションスイッチを用いて車両Ｖをオンに切り替えたとき、ロジックは状態Ｓ１に切り替わる。

状態Ｓ１において、ユーザは、自身の個人ＳＩＭカードのデータを車両に入力し、ＵＣＡカードを介して実行環境ＥＥＳＭを通じてインターネットにアクセスすることができる。これらのデータが車両Ｖの以前の使用中にすでに車両Ｖに入力されていた場合、車両がオンに切り替えられるとすぐに、通信モジュールＭＣはＵＣＡカードに切り替わる。監督モジュールＭＳは、次いで、車両Ｖとリモート管理サーバＳＧとの間の接続を監督する。この状態Ｓ１において、ユーザが車両をオフに切り替えたときに、ロジックは状態Ｓ０に戻る。

状態Ｓ１において、監督モジュールＭＳが、通信モジュールＭＣと実行環境ＥＥＳＭとの可能な更新を用いてこれらのエンティティのセキュリティ保護された再始動を実行する命令をリモート管理サーバＳＧから受信した場合、ロジックは、これらのエンティティの（可能な更新を用いた）セキュリティ保護された再始動のために状態Ｓ２に切り替わる。この状態Ｓ２におけるこのセキュリティ保護された再始動の後に、ロジックは、後で説明するセキュリティ保護された通信状態Ｓ４に切り替わる。

状態Ｓ１において、監督モジュールＭＳがコード１または３異常を検出した場合、監督モジュールＭＳはモジュールＭ１をアクティブ化し、ロジックは状態Ｓ３に切り替わり、通信モジュールＭＣは、ＵＣＡカードを使用し続けるが、リモート管理サーバＳＧとのインターネット通信以外のインターネット通信を禁止する。

この状態Ｓ３において、監督モジュールＭＳがコード２または３異常を検出した場合、すなわち、通信モジュールＭＣが、ネットワークカバレージが１時間の間なかったことと、通信モジュールＭＣがネットワークカバレージの喪失の指示なしに１５分間の間もはやメッセージを送信または受信していないこととを示した場合、ロジックはセキュリティ保護された通信状態Ｓ４に切り替わる。

状態Ｓ３において、リモート管理サーバＳＧが、状態Ｓ３への切り替えをトリガしたコード１または３異常を排除することと、それについて車両Ｖに通知することとが可能であることなしに、車両Ｖがユーザによってオフに切り替えられた場合、ロジックは、通信モジュールＭＣのセキュリティ保護された再始動の状態Ｓ５に切り替わり、通信モジュールにＶＣＡカードのみを使用させる。この再始動の後に、ロジックはセキュリティ保護された通信状態Ｓ４に切り替わる。

状態Ｓ３において、リモート管理サーバＳＧが、状態Ｓ３への切り替えをトリガしたコード１または３異常を排除した場合、ロジックは状態Ｓ１に切り替わる。

セキュリティ保護された通信状態Ｓ４において、通信モジュールＭＣは、車両Ｖがオンに切り替えられようとオフに切り替えられようと、リモート管理サーバＳＧと通信するためにＶＣＡカードのみを使用することが許可される。この状態Ｓ４において、リモート管理サーバＳＧが、状態Ｓ４への切り替えにつながったコード１、２または３異常を排除することと、それについて車両Ｖに通知することとが可能であることなしに、車両Ｖがオンに切り替えられ、ユーザが自身の車両をオフに切り替えた場合、ロジックは状態Ｓ４に戻る。反対に、この状態Ｓ４において、リモート管理サーバＳＧが、状態Ｓ４への切り替えにつながったコード１、２または３異常を排除し、それについて車両Ｖに通知する場合、ロジックは、車両がオフに切り替えられた場合は状態Ｓ０に戻るか、または車両がオンに切り替えられた場合は状態Ｓ１に戻る。

明らかに、このロジックは本発明の例示的な実施形態にすぎない。本発明による車両、システムまたは方法の他の変形実施形態において他のロジックが実装され得る。たとえば、車両がモジュールＭ２とモジュールＭ３とのみを実装する変形態では、状態Ｓ３と状態Ｓ４とはマージされる。さらに、本発明の別の変形実施形態では、リモート管理サーバＳＧはサードパーティによって保持される。この変形態では、監督モジュールＭＳとモート管理サーバＳＧとの間で交換されたメッセージの署名のための秘密鍵の交換は、たとえばＲＳＡ非対称暗号化アルゴリズムを使用する第１の暗号化された交換によって実行される。多くの他の変形実施形態がもちろん可能である。特に、本発明の別の変形実施形態では、監督モジュールＭＳは、リモート管理サーバＳＧによって送信された署名されて一意に予め定められたメッセージの正しい受信を監視することによって通信モジュールＭＣとリモート管理サーバＳＧとの間の接続の正しい動作を監督するが、監督モジュールＭＳ自体はリモート管理サーバＳＧにテストメッセージを送信しない。この変形態は、しかしながら、１つの方向における接続の監督のみをカバーする。別の変形態では、監督モジュールは、リモート監督サーバＳＧにテストメッセージを送信し、これらのテストメッセージは、異常コードを含んでいないか、または異常が検出されたときにのみ１つの異常コードを含んでいる。最後に、別の変形態では、管理サーバＳＧは、ホワイトゾーンから出るまで、しきい値Ｔ１およびＴ２にリンクされた時間カウンタを非アクティブ化するために、車両Ｖがホワイトゾーン中に入る直前に、車両Ｖにアラートするメッセージを送信する。

Claims (12)

1. ２つの電気通信識別子カードを使用することが可能な通信モジュール（ＭＣ）を備える車両（Ｖ）であって、前記２つの電気通信識別子カードは、一方（ＶＣＡ）が車両（Ｖ）の製造業者と電気通信オペレータとの間のサブスクリプションに関し、他方（ＵＣＡ）が前記車両（Ｖ）のユーザと電気通信オペレータとの間のサブスクリプションに関し、前記車両（Ｖ）は、前記車両（Ｖ）のセキュリティ機能をホストする信頼できる実行環境（ＴＥＥ）と、前記通信モジュール（ＭＣ）の少なくとも一部をホストするマルチメディアシステム実行環境（ＥＥＳＭ）とを含み、
   前記車両（Ｖ）は、前記信頼できる実行環境（ＴＥＥ）が、前記車両（Ｖ）と前記車両（Ｖ）のリモート管理サーバ（ＳＧ）との間の接続を監視する監督モジュール（ＭＳ）を備えることを特徴とする、車両（Ｖ）。
2. 前記監督モジュール（ＭＳ）が、署名されて一意に予め定められたメッセージを、それぞれ前記リモート管理サーバ（ＳＧ）に送信し、前記リモート管理サーバ（ＳＧ）から受信することによって、前記接続を一定の間隔で試験することが可能であることを特徴とする、請求項１に記載の車両（Ｖ）。
3. 前記監督モジュール（ＭＳ）が、前記リモート管理サーバ（ＳＧ）から署名されて一意に予め定められたメッセージを受信することによって前記接続を一定の間隔で試験することが可能であることを特徴とする、請求項１に記載の車両（Ｖ）。
4. 前記監督モジュール（ＭＳ）は、
   － 前記通信モジュール（ＭＣ）が、前記リモート管理サーバ（ＳＧ）への前記メッセージのうちの１つの送信を確認しないか、もしくは前記通信モジュール（ＭＣ）が、前記リモート管理サーバ（ＳＧ）によって送信された前記メッセージのうちの１つを送信しない間、前記通信モジュール（ＭＣ）が、前記車両のセルラー接続が動作していることを示すか、または
   － 前記通信モジュール（ＭＣ）が、前記車両のセルラー接続が第１の予め定められた時間間隔よりも大きい時間の間利用不可能であることを示す
   ときに、接続異常を検出することが可能であることを特徴とする、請求項２または３に記載の車両（Ｖ）。
5. 前記監督モジュール（ＭＳ）によって送信された前記メッセージが、前記車両（Ｖ）と前記リモート管理サーバ（ＳＧ）との間の接続異常の検出を表すか、またはそのような検出がないことを表す情報を含むことを特徴とする、請求項２または４に記載の車両（Ｖ）。
6. 前記車両（Ｖ）が、
   － 前記車両（Ｖ）のセキュリティ保護されていないアプリケーションのための外部通信の無効化をトリガする命令を前記通信モジュール（ＭＣ）に送信するための第１の送信手段（Ｍ１）と、
   － 単一の接続手段としての前記車両（Ｖ）の前記製造業者の前記サブスクリプションに関する前記電気通信識別子カード（ＶＣＡ）の前記通信モジュール（ＭＣ）による選択と、前記リモート管理サーバ（ＳＧ）との通信以外の通信の前記通信モジュール（ＭＣ）による無効化とをトリガする命令を前記通信モジュール（ＭＣ）に送信するための第２の送信手段（Ｍ２）と、
   － 再始動のセキュリティ保護された構成を課しながら、前記通信モジュール（ＭＣ）の再始動をトリガする命令と、前記マルチメディアシステム実行環境（ＥＥＳＭ）の再始動を誘発する命令とを前記通信モジュール（ＭＣ）に送信するための第３の送信手段（Ｍ３）と、
   － 前記車両（Ｖ）の他の実行環境または他のソフトウェアの少なくとも一部にセキュリティ保護された構成を課しながら、前記車両（Ｖ）の前記他の実行環境または前記他のソフトウェアの前記少なくとも一部の再始動をトリガする命令を送信するための第４の送信手段（Ｍ４）と
   を含むリストから選定された送信手段のうちの少なくとも１つを備えることと、
   前記車両（Ｖ）は、前記車両（Ｖ）と前記リモート管理サーバ（ＳＧ）との間の接続異常が検出されると、前記選定された送信手段（Ｍ１、Ｍ２、Ｍ３、Ｍ４）の全部または一部をアクティブ化するように構成されたアクティブ化手段（ＭＡ）をさらに含むことと
   を特徴とする請求項１から５のいずれか一項に記載の車両（Ｖ）。
7. 前記車両（Ｖ）は少なくとも前記第１の送信手段（Ｍ１）を含み、前記アクティブ化手段（ＭＡ）は、前記通信モジュール（ＭＣ）が、前記車両（Ｖ）のセルラー接続が第１の予め定められた時間間隔よりも大きい時間の間利用不可能であることを示すときに、前記第１の送信手段（Ｍ１）のみをアクティブ化するように構成されていることを特徴とする、請求項６に記載の車両（Ｖ）。
8. 前記車両（Ｖ）が少なくとも前記第２の送信手段（Ｍ２）を含み、前記アクティブ化手段（ＭＡ）は、前記通信モジュール（ＭＣ）が、前記車両（Ｖ）のセルラー接続が前記第１の予め定められた時間間隔よりも大きい第２の予め定められた時間間隔よりも大きい時間の間利用不可能であることを示すときに、前記第３の送信手段（Ｍ３）または前記第４の送信手段（Ｍ４）の中から選定された前記送信手段を除いて、前記第２の送信手段（Ｍ２）をアクティブ化するように構成されていることを特徴とする、請求項６または７に記載の車両（Ｖ）。
9. 前記車両（Ｖ）が少なくとも前記第３の送信手段（Ｍ３）または前記第４の送信手段（Ｍ４）を含み、前記アクティブ化手段（ＭＡ）は、前記車両（Ｖ）が停止されたときにのみ前記第３の送信手段（Ｍ３）または前記第４の送信手段（Ｍ４）をアクティブ化するように構成されたことを特徴とする、請求項６から８のいずれか一項に記載の車両（Ｖ）。
10. 請求項１から９のいずれか一項に記載の車両（Ｖ）と前記リモート管理サーバ（ＳＧ）とを備えるシステムであって、前記リモート管理サーバ（ＳＧ）が、
    － 前記監督モジュール（ＭＳ）によって送信され、前記車両（Ｖ）と前記リモート管理サーバ（ＳＧ）との間の接続異常の検出を表す情報を含むメッセージを受信するための受信手段（ＳＭＭ）と、
    － 前記車両（Ｖ）の位置と無線カバレージデータとの間の相関によって、前記異常の検出がサイバー攻撃によるものでないことを検出するための検出手段（ＳＭＭ）と、
    － 前記監督モジュール（ＭＳ）からの前記メッセージに応答して、前記異常が前記車両（Ｖ）に対するサイバー攻撃によるものでないことを示すメッセージを送信し、前記異常の検出を報告するための送信手段（ＳＭＭ）と
    を含むことを特徴とする、システム。
11. 前記リモート管理サーバ（ＳＧ）は、
    － 予め定められたしきい値よりも大きい数の車両によって異常が報告されるとすぐにサイバー攻撃を検出するための検出手段（ＳＭＭ）と、
    － 前記検出手段（ＳＭＭ）によってサイバー攻撃が検出されるとすぐに、前記通信モジュール（ＭＣ）とマルチメディア実行環境（ＥＥＳＭ）とのセキュリティ保護された再始動をするための、および／または前記マルチメディア実行環境（ＥＥＳＭ）を更新するためのプロシージャをアクティブ化するメッセージを前記車両に送信するための手段と
    をさらに含むことを特徴とする、請求項１０に記載のシステム。
12. 請求項１から６のいずれか一項に記載の車両（Ｖ）と、前記車両の前記リモート管理サーバ（ＳＧ）との間の接続をセキュリティ保護するための方法であって、
    － 署名されて一意に予め定められたメッセージを、それぞれ前記リモート管理サーバ（ＳＧ）に送信し、および／または前記リモート管理サーバ（ＳＧ）から受信するステップ（Ｅ１）と、
    － 前記接続についての異常を検出するステップ（Ｅ２）と、
    － 前記車両（Ｖ）と前記リモート管理サーバ（ＳＧ）との間の通信を、前記車両（Ｖ）の前記製造業者の前記サブスクリプションに関する前記電気通信識別子カード（ＶＣＡ）を使用する接続に切り替えることが可能な命令を前記通信モジュール（ＭＣ）に送信するステップ（Ｅ３）と
    を含む、方法。
    

Images