JP2020088836A - 車両メンテナンスシステム、メンテナンスサーバ装置、管理サーバ装置、車載装置、メンテナンスツール、コンピュータプログラム及び車両メンテナンス方法 - Google Patents

Abstract

【課題】自動車等の車両の車載装置に対するアクセス権限の認証の仕組みを改善すること。【解決手段】メンテナンスサーバ装置は、車載装置に対するアクセス権限を示すセキュリティアクセス鍵を鍵登録鍵で暗号化して暗号化セキュリティアクセス鍵を生成し、暗号化セキュリティアクセス鍵を前記メンテナンスツールへ送信する。メンテナンスツールは、暗号化セキュリティアクセス鍵を車載装置へ送信し、セキュリティアクセス鍵を使用して車載装置との間で認証処理を実行する。車載装置は、メンテナンスサーバ装置の鍵登録鍵と同じ鍵登録鍵を記憶し、暗号化セキュリティアクセス鍵の復号結果のセキュリティアクセス鍵を使用してメンテナンスツールとの間で認証処理を実行する。【選択図】図５

Description

本発明は、車両メンテナンスシステム、メンテナンスサーバ装置、管理サーバ装置、車載装置、メンテナンスツール、コンピュータプログラム及び車両メンテナンス方法に関する。

従来、自動車は、ＥＣＵ（Electronic Control Unit：電子制御装置）を有し、ＥＣＵによってエンジン制御等の機能を実現する。ＥＣＵは、コンピュータの一種であり、コンピュータプログラムによって所望の機能を実現する。複数のＥＣＵをＣＡＮ（Controller Area Network）に接続して構成される車載制御システムについてのセキュリティ技術が例えば非特許文献１に記載されている。

竹森敬祐、"セキュアエレメントを基点とした車載制御システムの保護 −要素技術の整理と考察−"、電子情報通信学会、信学技報、vol. 114、no. 508、pp. 73-78、2015年3月 STMicroelectronics、"AN4240 Application note"、［平成３０年１１月８日検索］、インターネット＜ＵＲＬ：http://www.st.com/web/en/resource/technical/document/application_note/DM00075575.pdf＞

自動車の車載制御システムのＥＣＵの診断やコンピュータプログラムの更新等のメンテナンス（保守）作業の際に、メンテナンスに使用されるメンテナンスツールがメンテナンス対象のＥＣＵに対してアクセスすることができる範囲（アクセス権限）を、メンテナンス対象のＥＣＵが認証する、車両メンテナンスシステムを想定する。この車両メンテナンスシステムの場合、認証対象のアクセス権限の種別毎に個別の認証鍵を各自動車に予め設定しておくことにより、メンテナンス作業の際には、メンテナンス対象のＥＣＵが認証対象のアクセス権限に対応する認証鍵を使用して認証を行うことが考えられる。しかし、認証対象のアクセス権限の種別数が多いと、その分の個別の認証鍵を各自動車に設定することは負担になる可能性があった。

本発明は、このような事情を考慮してなされたものであり、その目的は、自動車等の車両の車載装置に対するアクセス権限の認証の仕組みを改善することにある。

（１）本発明の一態様は、メンテナンスサーバ装置と、車両のメンテナンスツールと、前記車両に搭載される車載装置とを備え、前記メンテナンスサーバ装置は、前記メンテナンスツールと通信を行うサーバ通信部と、鍵登録鍵を記憶する鍵登録鍵サーバ記憶部と、前記車載装置に対するアクセス権限を示すセキュリティアクセス鍵を前記鍵登録鍵サーバ記憶部に記憶される鍵登録鍵で暗号化して暗号化セキュリティアクセス鍵を生成するサーバ暗号処理部と、を備え、前記暗号化セキュリティアクセス鍵を前記メンテナンスツールへ送信し、前記メンテナンスツールは、前記メンテナンスサーバ装置と通信を行うサーバ間通信部と、前記車載装置と通信を行う車載装置間通信部と、前記セキュリティアクセス鍵を使用して前記車載装置との間で認証処理を実行するアクセス認証処理部と、を備え、前記暗号化セキュリティアクセス鍵を前記車載装置へ送信し、前記車載装置は、前記メンテナンスツールと通信を行うツール間通信部と、前記鍵登録鍵サーバ記憶部が記憶する鍵登録鍵と同じ鍵登録鍵を記憶する鍵登録鍵車両記憶部と、前記暗号化セキュリティアクセス鍵を、前記鍵登録鍵車両記憶部が記憶する鍵登録鍵で復号する車両暗号処理部と、前記暗号化セキュリティアクセス鍵の復号結果のセキュリティアクセス鍵を使用して前記メンテナンスツールとの間で認証処理を実行する車両認証処理部と、を備える、車両メンテナンスシステムである。
（２）本発明の一態様は、前記メンテナンスサーバ装置は、前記メンテナンスツールのユーザのユーザ属性に対応する前記アクセス権限を示すセキュリティアクセス鍵を生成する鍵生成部をさらに備える、上記（１）の車両メンテナンスシステムである。

（３）本発明の一態様は、端末装置と通信を行う端末間通信部と、メンテナンス対象の車両と通信を行う車両間通信部と、鍵登録鍵を記憶する鍵登録鍵サーバ記憶部と、前記車両に搭載される車載装置に対するアクセス権限を示すセキュリティアクセス鍵を前記鍵登録鍵サーバ記憶部に記憶される鍵登録鍵で暗号化して、前記車載装置へ送信される暗号化セキュリティアクセス鍵を生成するサーバ暗号処理部と、前記端末装置からのメンテナンス開始要求に応じて、前記セキュリティアクセス鍵を使用して前記車載装置との間で認証処理を実行するアクセス認証処理部と、を備えるメンテナンスサーバ装置である。
（４）本発明の一態様は、前記端末装置のユーザのユーザ属性に対応する前記アクセス権限を示すセキュリティアクセス鍵を生成する鍵生成部をさらに備える、上記（３）のメンテナンスサーバ装置である。
（５）本発明の一態様は、車両に搭載される車載装置において、メンテナンスサーバ装置と通信を行うサーバ間通信部と、前記メンテナンスサーバ装置が記憶する鍵登録鍵と同じ鍵登録鍵を記憶する鍵登録鍵車両記憶部と、前記メンテナンスサーバ装置から受信した暗号化セキュリティアクセス鍵を、前記鍵登録鍵車両記憶部が記憶する鍵登録鍵で復号する車両暗号処理部と、前記暗号化セキュリティアクセス鍵の復号結果のセキュリティアクセス鍵を使用して前記メンテナンスサーバ装置との間で認証処理を実行する車両認証処理部と、を備える車載装置である。

（６）本発明の一態様は、車両に搭載される車載装置と通信を行う車載装置間通信部と、符号鍵を記憶する符号鍵ツール記憶部と、前記車載装置から受信した認証情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵で第１メッセージ認証符号を生成し、前記車載装置に対するアクセス権限を示すアクセス権限情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵で第２メッセージ認証符号を生成するメッセージ認証符号生成部と、を備え、前記第１メッセージ認証符号と前記アクセス権限情報と前記第２メッセージ認証符号とを前記車載装置へ送信する、メンテナンスツールである。
（７）本発明の一態様は、車両に搭載される車載装置において、メンテナンスツールと通信を行うツール間通信部と、前記メンテナンスツールが記憶する符号鍵と同じ符号鍵を記憶する符号鍵車両記憶部と、前記メンテナンスツールへ送信した認証情報と前記メンテナンスツールから受信した第１メッセージ認証符号とを対象にして前記第１メッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証し、前記メンテナンスツールから受信したアクセス権限情報と第２メッセージ認証符号を対象にして前記第２メッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証する符号検証部と、を備える車載装置である。

（８）本発明の一態様は、端末装置と通信を行う端末間通信部と、メンテナンス対象の車両と通信を行う車両間通信部と、符号鍵を記憶する符号鍵ツール記憶部と、前記端末装置からのメンテナンス開始要求に応じて、前記車両に搭載される車載装置から受信した認証情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵で第１メッセージ認証符号を生成し、前記車載装置に対するアクセス権限を示すアクセス権限情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵で第２メッセージ認証符号を生成するメッセージ認証符号生成部と、を備え、前記第１メッセージ認証符号と前記アクセス権限情報と前記第２メッセージ認証符号とを前記車載装置へ送信する、メンテナンスサーバ装置である。
（９）本発明の一態様は、車両に搭載される車載装置において、メンテナンスサーバ装置と通信を行うサーバ間通信部と、前記メンテナンスサーバ装置が記憶する符号鍵と同じ符号鍵を記憶する符号鍵車両記憶部と、前記メンテナンスサーバ装置へ送信した認証情報と前記メンテナンスサーバ装置から受信した第１メッセージ認証符号とを対象にして前記第１メッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証し、前記メンテナンスサーバ装置から受信したアクセス権限情報と第２メッセージ認証符号を対象にして前記第２メッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証する符号検証部と、を備える車載装置である。

（１０）本発明の一態様は、コンピュータに、端末装置と通信を行う端末間通信ステップと、メンテナンス対象の車両と通信を行う車両間通信ステップと、鍵登録鍵を鍵登録鍵サーバ記憶部に記憶する鍵登録鍵サーバ記憶ステップと、前記車両に搭載される車載装置に対するアクセス権限を示すセキュリティアクセス鍵を前記鍵登録鍵サーバ記憶部に記憶される鍵登録鍵で暗号化して、前記車載装置へ送信される暗号化セキュリティアクセス鍵を生成するサーバ暗号処理ステップと、前記端末装置からのメンテナンス開始要求に応じて、前記セキュリティアクセス鍵を使用して前記車載装置との間で認証処理を実行するアクセス認証処理ステップと、を実行させるためのコンピュータプログラムである。
（１１）本発明の一態様は、車両に搭載されるコンピュータに、メンテナンスサーバ装置と通信を行うサーバ間通信ステップと、前記メンテナンスサーバ装置が記憶する鍵登録鍵と同じ鍵登録鍵を鍵登録鍵車両記憶部に記憶する鍵登録鍵車両記憶ステップと、前記メンテナンスサーバ装置から受信した暗号化セキュリティアクセス鍵を、前記鍵登録鍵車両記憶部が記憶する鍵登録鍵で復号する車両暗号処理ステップと、前記暗号化セキュリティアクセス鍵の復号結果のセキュリティアクセス鍵を使用して前記メンテナンスサーバ装置との間で認証処理を実行する車両認証処理ステップと、を実行させるためのコンピュータプログラムである。

（１２）本発明の一態様は、コンピュータに、車両に搭載される車載装置と通信を行う車載装置間通信ステップと、符号鍵を符号鍵ツール記憶部に記憶する符号鍵ツール記憶ステップと、前記車載装置から受信した認証情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵で第１メッセージ認証符号を生成し、前記車載装置に対するアクセス権限を示すアクセス権限情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵で第２メッセージ認証符号を生成するメッセージ認証符号生成ステップと、前記第１メッセージ認証符号と前記アクセス権限情報と前記第２メッセージ認証符号とを前記車載装置へ送信するステップと、を実行させるためのコンピュータプログラムである。
（１３）本発明の一態様は、車両に搭載されるコンピュータに、メンテナンスツールと通信を行うツール間通信ステップと、前記メンテナンスツールが記憶する符号鍵と同じ符号鍵を符号鍵車両記憶部に記憶する符号鍵車両記憶ステップと、前記メンテナンスツールへ送信した認証情報と前記メンテナンスツールから受信した第１メッセージ認証符号とを対象にして前記第１メッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証し、前記メンテナンスツールから受信したアクセス権限情報と第２メッセージ認証符号を対象にして前記第２メッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証する符号検証ステップと、を実行させるためのコンピュータプログラムである。

（１４）本発明の一態様は、コンピュータに、端末装置と通信を行う端末間通信ステップと、メンテナンス対象の車両と通信を行う車両間通信ステップと、符号鍵を符号鍵ツール記憶部に記憶する符号鍵ツール記憶ステップと、前記端末装置からのメンテナンス開始要求に応じて、前記車両に搭載される車載装置から受信した認証情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵で第１メッセージ認証符号を生成し、前記車載装置に対するアクセス権限を示すアクセス権限情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵で第２メッセージ認証符号を生成するメッセージ認証符号生成ステップと、前記第１メッセージ認証符号と前記アクセス権限情報と前記第２メッセージ認証符号とを前記車載装置へ送信するステップと、を実行させるためのコンピュータプログラムである。
（１５）本発明の一態様は、車両に搭載されるコンピュータに、メンテナンスサーバ装置と通信を行うサーバ間通信ステップと、前記メンテナンスサーバ装置が記憶する符号鍵と同じ符号鍵を符号鍵車両記憶部に記憶する符号鍵車両記憶ステップと、前記メンテナンスサーバ装置へ送信した認証情報と前記メンテナンスサーバ装置から受信した第１メッセージ認証符号とを対象にして前記第１メッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証し、前記メンテナンスサーバ装置から受信したアクセス権限情報と第２メッセージ認証符号を対象にして前記第２メッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証する符号検証ステップと、を実行させるためのコンピュータプログラムである。

（１６）本発明の一態様は、メンテナンスサーバ装置が、車両に搭載される車載装置に対するアクセス権限を示すセキュリティアクセス鍵を鍵登録鍵で暗号化して暗号化セキュリティアクセス鍵を生成するサーバ暗号処理ステップと、前記メンテナンスサーバ装置が、前記暗号化セキュリティアクセス鍵を前記車両のメンテナンスツールへ送信するステップと、前記メンテナンスツールが、前記暗号化セキュリティアクセス鍵を前記車載装置へ送信するステップと、前記メンテナンスツールが、前記セキュリティアクセス鍵を使用して前記車載装置との間で認証処理を実行するアクセス認証処理ステップと、前記車載装置が、前記メンテナンスサーバ装置の鍵登録鍵と同じ鍵登録鍵を記憶する鍵登録鍵車両記憶部を備え、前記車載装置が、前記暗号化セキュリティアクセス鍵を、前記鍵登録鍵車両記憶部が記憶する鍵登録鍵で復号する車両暗号処理ステップと、前記車載装置が、前記暗号化セキュリティアクセス鍵の復号結果のセキュリティアクセス鍵を使用して前記メンテナンスツールとの間で認証処理を実行する車両認証処理ステップと、を含む車両メンテナンス方法である。

（１７）本発明の一態様は、管理サーバ装置と、車両のメンテナンスツールと、前記車両に搭載される車載装置とを備え、前記管理サーバ装置は、前記メンテナンスツールと通信を行うサーバ通信部と、前記メンテナンスツールを操作する作業員から通知された認可レベルが所定値であるか否かを確認し、前記認可レベルが所定値である場合に、認証局公開鍵証明書に対応する認証局秘密鍵を使用して作業員公開鍵証明書を発行するサーバ制御部と、を備え、前記メンテナンスツールは、前記管理サーバ装置と通信を行うサーバ間通信部と、前記車載装置と通信を行う車載装置間通信部と、前記作業員公開鍵証明書を使用して前記車載装置との間で認証処理を実行するツール制御部と、を備え、前記車載装置は、前記メンテナンスツールと通信を行うツール間通信部と、前記認証局公開鍵証明書を記憶する車両記憶部と、前記車両記憶部が記憶する前記認証局公開鍵証明書を使用して前記作業員公開鍵証明書を検証し、当該検証が合格である前記作業員公開鍵証明書を使用して、前記メンテナンスツールとの間の認証処理を実行する車載制御部と、を備える、車両メンテナンスシステムである。
（１８）本発明の一態様は、前記作業員公開鍵証明書は、前記認可レベルを示す認可レベル情報を含むものである、上記（１７）の車両メンテナンスシステムである。
（１９）本発明の一態様は、前記ツール制御部は、前記作業員公開鍵証明書に対応する作業員秘密鍵を使用して、前記認可レベルを示す認可レベル情報の電子署名を生成し、前記電子署名付きの前記認可レベル情報を前記車載装置へ送信する、上記（１７）の車両メンテナンスシステムである。

（２０）本発明の一態様は、管理サーバ装置と、車両に搭載される車載装置とを備え、前記管理サーバ装置は、前記車両のメンテナンスの作業員が操作する端末装置と通信を行う端末間通信部と、前記車両と通信を行う車両間通信部と、前記作業員から通知された認可レベルが所定値であるか否かを確認し、前記認可レベルが所定値である場合に、認証局公開鍵証明書に対応する認証局秘密鍵を使用して作業員公開鍵証明書を発行するサーバ制御部と、を備え、前記サーバ制御部は、前記作業員公開鍵証明書を使用して前記車載装置との間で認証処理を実行し、前記車載装置は、前記管理サーバ装置と通信を行うサーバ間通信部と、前記認証局公開鍵証明書を記憶する車両記憶部と、前記車両記憶部が記憶する前記認証局公開鍵証明書を使用して前記作業員公開鍵証明書を検証し、当該検証が合格である前記作業員公開鍵証明書を使用して、前記管理サーバ装置との間の認証処理を実行する車載制御部と、を備える、車両メンテナンスシステムである。
（２１）本発明の一態様は、前記作業員公開鍵証明書は、前記認可レベルを示す認可レベル情報を含むものである、上記（２０）の車両メンテナンスシステムである。
（２２）本発明の一態様は、前記サーバ制御部は、前記作業員公開鍵証明書に対応する作業員秘密鍵を使用して、前記認可レベルを示す認可レベル情報の電子署名を生成し、前記電子署名付きの前記認可レベル情報を前記車載装置へ送信する、上記（２０）の車両メンテナンスシステムである。

（２３）本発明の一態様は、車両のメンテナンスの作業員から通知された認可レベルが所定値であるか否かを確認し、前記認可レベルが所定値である場合に、認証局公開鍵証明書に対応する認証局秘密鍵を使用して、前記車両に供給される作業員公開鍵証明書を発行するサーバ制御部、を備える管理サーバ装置である。

（２４）本発明の一態様は、車両に搭載される車載装置において、認証局公開鍵証明書を記憶する車両記憶部と、前記車両記憶部が記憶する前記認証局公開鍵証明書を使用して、管理サーバ装置が発行した作業員公開鍵証明書を検証し、当該検証が合格である前記作業員公開鍵証明書を使用して、前記車両のメンテナンスにおける認証処理を実行する車載制御部と、を備える車載装置である。

（２５）本発明の一態様は、コンピュータに、車両のメンテナンスの作業員から通知された認可レベルが所定値であるか否かを確認し、前記認可レベルが所定値である場合に、認証局公開鍵証明書に対応する認証局秘密鍵を使用して、前記車両に供給される作業員公開鍵証明書を発行するステップを実行させるためのコンピュータプログラムである。
（２６）本発明の一態様は、車両に搭載されるコンピュータに、認証局公開鍵証明書を車両記憶部に記憶するステップと、前記車両記憶部が記憶する前記認証局公開鍵証明書を使用して、管理サーバ装置が発行した作業員公開鍵証明書を検証し、当該検証が合格である前記作業員公開鍵証明書を使用して、前記車両のメンテナンスにおける認証処理を実行するステップと、を実行させるためのコンピュータプログラムである。

（２７）本発明の一態様は、管理サーバ装置が、車両のメンテナンスツールを操作する作業員から通知された認可レベルが所定値であるか否かを確認し、前記認可レベルが所定値である場合に、認証局公開鍵証明書に対応する認証局秘密鍵を使用して作業員公開鍵証明書を発行するステップと、前記メンテナンスツールが、前記作業員公開鍵証明書を使用して前記車両に搭載される車載装置との間で認証処理を実行するステップと、前記車載装置が、前記認証局公開鍵証明書を車両記憶部に記憶するステップと、前記車載装置が、前記車両記憶部が記憶する前記認証局公開鍵証明書を使用して前記作業員公開鍵証明書を検証し、当該検証が合格である前記作業員公開鍵証明書を使用して、前記メンテナンスツールとの間の認証処理を実行するステップと、を含む車両メンテナンス方法である。
（２８）本発明の一態様は、管理サーバ装置が、車両のメンテナンスの作業員が操作する端末装置と通信を行うステップと、前記管理サーバ装置が、前記作業員から通知された認可レベルが所定値であるか否かを確認し、前記認可レベルが所定値である場合に、認証局公開鍵証明書に対応する認証局秘密鍵を使用して作業員公開鍵証明書を発行するステップと、前記管理サーバ装置が、前記作業員公開鍵証明書を使用して、前記車両に搭載される車載装置との間で認証処理を実行するステップと、前記車載装置が、前記認証局公開鍵証明書を車両記憶部に記憶するステップと、前記車載装置が、前記車両記憶部が記憶する前記認証局公開鍵証明書を使用して前記作業員公開鍵証明書を検証し、当該検証が合格である前記作業員公開鍵証明書を使用して、前記管理サーバ装置との間の認証処理を実行するステップと、を含む車両メンテナンス方法である。

本発明によれば、自動車等の車両の車載装置に対するアクセス権限の認証の仕組みを改善することができるという効果が得られる。

第１実施形態に係る車両メンテナンスシステム及び自動車の構成例を示す図である。 第１実施形態に係る実施形態に係るメンテナンスサーバ装置の機能構成例を示す図である。 第１実施形態に係るメンテナンスツールの機能構成例を示す図である。 第１実施形態に係るＥＣＵの機能構成例を示す図である。 第１実施形態に係る車両メンテナンス方法の例を示すシーケンスチャートである。 第２実施形態に係る車両メンテナンスシステム及び自動車の構成例を示す図である。 第２実施形態に係るメンテナンスサーバ装置の機能構成例を示す図である。 第２実施形態に係る操作端末の機能構成例を示す図である。 第２実施形態に係る車両メンテナンス方法の例を示すシーケンスチャートである。 第３実施形態に係る車両メンテナンスシステム及び自動車の構成例を示す図である。 第３実施形態に係るメンテナンスツールの機能構成例を示す図である。 第３実施形態に係るＥＣＵの機能構成例を示す図である。 第３実施形態に係る車両メンテナンス方法の例を示すシーケンスチャートである。 第３実施形態に係るＣＭＡＣ算出対象の例を示す図である。 第３実施形態に係るＣＭＡＣ算出対象の例を示す図である。 第４実施形態に係る車両メンテナンスシステム及び自動車の構成例を示す図である。 第４実施形態に係るメンテナンスサーバ装置の機能構成例を示す図である。 第４実施形態に係る車両メンテナンス方法の例を示すシーケンスチャートである。 第５実施形態に係る車両メンテナンスシステム及び自動車の構成例を示す図である。 第５実施形態に係る管理サーバ装置の機能構成例を示す図である。 第５実施形態に係るメンテナンスツールの機能構成例を示す図である。 第５実施形態に係るＥＣＵの機能構成例を示す図である。 第５実施形態に係る車両メンテナンス方法の例１を示すシーケンスチャートである。 第５実施形態に係る車両メンテナンス方法の例２を示すシーケンスチャートである。 第６実施形態に係る車両メンテナンスシステム及び自動車の構成例を示す図である。 第６実施形態に係る管理サーバ装置の機能構成例を示す図である。 第６実施形態に係る車両メンテナンス方法の例１を示すシーケンスチャートである。 第６実施形態に係る車両メンテナンス方法の例２を示すシーケンスチャートである。

以下、図面を参照し、本発明の実施形態について説明する。なお、以下に示す実施形態では、車両として自動車を例に挙げて説明する。また、アクセス権限の認証を行う対象の車載装置としてＥＣＵ（電子制御装置）を例に挙げて説明する。

［第１実施形態］
図１は、第１実施形態に係る車両メンテナンスシステム及び自動車の構成例を示す図である。車両メンテナンスシステム１は、メンテナンスサーバ装置１０と、メンテナンスツール３０と、自動車５０に搭載されるＥＣＵ５５とを備える。ＥＣＵ５５は、自動車５０に搭載される車載装置であって、アクセス権限の認証を行う対象の車載装置である。メンテナンスサーバ装置１０及びメンテナンスツール３０は、通信ネットワーク２０に通信接続される。メンテナンスサーバ装置１０とメンテナンスツール３０とは、通信ネットワーク２０により相互に通信を行う。

通信ネットワーク２０として、例えば、インターネット等の広域ネットワークを利用してもよく、又は、ローカルエリアネットワーク（Local Area Network：ＬＡＮ）であってもよい。また、通信ネットワーク２０は、有線ネットワーク若しくは無線ネットワークであってもよく、又は、有線ネットワークと無線ネットワークとの組合せであってもよい。

自動車５０は、ＴＣＵ（Tele Communication Unit）５１と、車載インフォテイメント（In-Vehicle Infotainment：ＩＶＩ）機器５２と、ゲートウェイ（ＧＷ）装置５３と、通信ネットワーク５４と、複数のＥＣＵ５５と、メンテナンスポート５６とを備える。

ＥＣＵ５５は、自動車５０に備わる車載コンピュータである。ＥＣＵ５５は、自動車５０のエンジン制御等の制御機能を有する。ＥＣＵ５５として、例えば、エンジン制御機能を有するＥＣＵ、ハンドル制御機能を有するＥＣＵ、ブレーキ制御機能を有するＥＣＵなどがある。ＧＷ装置５３は、自動車５０に搭載されたＥＣＵ５５に適用されるデータのセキュリティ（保安）の機能を有する。なお、自動車５０に搭載されたいずれかのＥＣＵをＧＷ装置５３として機能させてもよい。

ＧＷ装置５３と複数のＥＣＵ５５は、自動車５０に備わる通信ネットワーク（以下、車載ネットワークと称する）５４に接続される。ＧＷ装置５３は、車載ネットワーク５４を介して、各ＥＣＵ５５との間でデータを交換する。ＥＣＵ５５は、車載ネットワーク５４を介して、他のＥＣＵ５５との間でデータを交換する。本実施形態の一例として、車載ネットワーク５４は、ＣＡＮ（Controller Area Network）である。ＣＡＮは車両に搭載される通信ネットワークの一例として知られている。ＣＡＮに接続される送信ノードと受信ノードとは、ＣＡＮを介してＣＡＮパケットを送受することにより、通信を行う。

なお、車両に搭載される通信ネットワークとして、ＣＡＮ以外の通信ネットワークを自動車５０に備え、ＣＡＮ以外の通信ネットワークを介して、ＧＷ装置５３とＥＣＵ５５との間のデータの交換、及び、ＥＣＵ５５同士の間のデータの交換が行われてもよい。例えば、ＬＩＮ（Local Interconnect Network）を自動車５０に備えてもよい。また、ＣＡＮとＬＩＮとを自動車５０に備えてもよい。

自動車５０の車載コンピュータシステムは、ＧＷ装置５３と複数のＥＣＵ５５とが車載ネットワーク５４に接続されて構成される。ＧＷ装置５３は、自動車５０の車載コンピュータシステムの内部と外部の間の通信を監視する。ＥＣＵ５５は、ＧＷ装置５３を介して、車載コンピュータシステムの外部の装置と通信を行う。

なお、車載ネットワーク５４の構成として、車載ネットワーク５４が複数のバス（通信線）を備え、該複数のバスをＧＷ装置５３に接続してもよい。この場合、一つのバスに、一つのＥＣＵ５５又は複数のＥＣＵ５５が接続される。

ＴＣＵ５１は通信装置である。ＴＣＵ５１は、自動車５０の車外の装置と通信を行う。ＴＣＵ５１は、例えば、携帯電話ネットワークや無線ＬＡＮ等の無線通信ネットワークを利用して自動車５０の外部の装置と通信を行う。また、ＴＣＵ５１は、例えばＢｌｕｅｔｏｏｔｈ（登録商標）等の近距離無線通信方式により、自動車５０の外部の装置と通信を行ってもよい。

ＩＶＩ機器５２は、例えば、ナビゲーション機能、位置情報サービス機能、音楽や動画などのマルチメディア再生機能、音声通信機能、データ通信機能、インターネット接続機能などを備える。ＩＶＩ機器５２は、ユーザの操作に応じたデータ入力を行うための、キーボード、テンキー、マウス等の入力デバイスと、データ表示を行うための液晶表示装置等の表示デバイスとを備える。ＩＶＩ機器５２は、データ入力とデータ表示の両方が可能なタッチパネルを備えてもよい。

自動車５０はメンテナンスポート５６を備える。メンテナンスポート５６はＧＷ装置５３に接続される。メンテナンスポート５６として、例えばＯＢＤ（On-board Diagnostics）ポートを使用してもよい。メンテナンスポート５６には、端末装置を接続可能である。メンテナンスポート５６に接続可能な端末装置として、例えば、図１に示されるメンテナンスツール３０がある。ＧＷ装置５３と、メンテナンスポート５６に接続された装置、例えばメンテナンスツール３０とは、メンテナンスポート５６を介して、データを交換する。

ＴＣＵ５１は、ＩＶＩ機器５２とＧＷ装置５３とに接続されている。ＩＶＩ機器５２は、ＴＣＵ５１とＧＷ装置５３とに接続されている。ＩＶＩ機器５２は、ＧＷ装置５３を介してＥＣＵ５５と通信を行う。ＩＶＩ機器５２は、ＴＣＵ５１を介して、自動車５０の車外の装置と通信を行う。ＥＣＵ５５は、ＧＷ装置５３及びＴＣＵ５１を介して、自動車５０の車外の装置と通信を行う。また、ＥＣＵ５５は、ＧＷ装置５３及びメンテナンスポート５６を介して、自動車５０の車外の装置と通信を行う。

図１に示されるメンテナンスツール３０は、例えば、自動車の整備工場や販売店等において、自動車５０に対してメンテナンス（保守）作業を行う場合に、当該自動車５０のメンテナンスポート５６に接続される。メンテナンス作業員は、メンテナンスツール３０を操作して、自動車５０のメンテナンス項目を実施する。自動車５０のメンテナンス項目として、例えば、ＥＣＵ５５やＩＶＩ機器５２やＧＷ装置５３等の車載装置に対して行われる、診断、コンピュータプログラムの更新、パラメータの設定、及び装置の初期化や最新化などが挙げられる。

なお、メンテナンスツール３０は、近距離無線通信方式により、自動車５０のＴＣＵ５１と通信を行ってもよい。この場合、メンテナンスツール３０は、ＴＣＵ５１を介して、ＧＷ装置５３やＥＣＵ５５等の車載装置とデータを交換する。

図２は、本実施形態に係るメンテナンスサーバ装置の機能構成例を示す図である。図２に示されるメンテナンスサーバ装置１０の各機能は、メンテナンスサーバ装置１０が備えるＣＰＵ（Central Processing Unit：中央演算処理装置）がコンピュータプログラムを実行することにより実現される。なお、メンテナンスサーバ装置１０として、汎用のコンピュータ装置を使用して構成してもよく、又は、専用のハードウェア装置として構成してもよい。

図２において、メンテナンスサーバ装置１０は、サーバ通信部６１と、サーバ記憶部１３と、サーバ暗号処理部６２と、鍵生成部６４とを備える。

サーバ通信部６１は、通信ネットワーク２０によりメンテナンスツール３０と通信を行う。

サーバ記憶部１３は、ツール鍵登録鍵Ｋ＿ｔｉと、鍵登録鍵Ｋ＿ｍとを記憶する。ツール鍵登録鍵Ｋ＿ｔｉ及び鍵登録鍵Ｋ＿ｍは、予め、メンテナンスサーバ装置１０に設定される。ツール鍵登録鍵Ｋ＿ｔｉは、メンテナンスサーバ装置１０とメンテナンスツール３０とに同じものが予め設定される。鍵登録鍵Ｋ＿ｍは、メンテナンスサーバ装置１０とＥＣＵ５５とに同じものが予め設定される。

ツール鍵登録鍵Ｋ＿ｔｉ及び鍵登録鍵Ｋ＿ｍの生成方法の例を以下に示す。ツール鍵登録鍵Ｋ＿ｔｉ及び鍵登録鍵Ｋ＿ｍの生成には、所定の鍵導出関数（Key Development Function）ＫＤＦが使用される。
Ｋ＿ｔｉ＝ＫＤＦ（共通マスタ鍵、端末ＩＤ、ＫＩＤ０）
Ｋ＿ｍ＝ＫＤＦ（共通マスタ鍵、ＶＩＮ、ＫＩＤ１）

ここで、端末ＩＤは、メンテナンスツール３０の端末識別情報である。ＶＩＮは、自動車５０の車両識別番号（Vehicle Identification Number）である。ＫＩＤ０及びＫＩＤ１は、鍵種別情報であって、ＫＩＤ０はツール鍵登録鍵を示すものであり、ＫＩＤ１は鍵登録鍵を示すものである。共通マスタ鍵は、予め、メンテナンスサーバ装置１０に設定される。

ＫＤＦ（Ａ、Ｂ、Ｃ）は、例えば、ＡとＢとＣを使用して生成されるダイジェストである。ダイジェストとして、例えば、ハッシュ（hash）関数により算出される値、又は、排他的論理和演算により算出される値などが挙げられる。例えば、鍵登録鍵Ｋ＿ｍは、共通マスタ鍵とＶＩＮとＫＩＤ１とを入力値に使用して算出されるハッシュ関数値である。また、ダイジェストとして、ＣＭＡＣ（Cipher-based Message Authentication Code）を使用してもよい。この場合、ＫＤＦ（Ａ、Ｂ、Ｃ）において、鍵ＡはＣＭＡＣの生成に使用される鍵であり、データＢ及びデータＣ（データＢとデータＣを連結したデータ）はＣＭＡＣの生成対象のデータである。これにより、鍵登録鍵Ｋ＿ｍは、共通マスタ鍵をＣＭＡＣ生成鍵に使用して生成される「ＶＩＮとＫＩＤ１のＣＭＡＣ」である。

上記したＫＤＦによれば、メンテナンスツール毎に異なるツール鍵登録鍵Ｋ＿ｔｉを生成することができる。また、自動車毎に異なる鍵登録鍵Ｋ＿ｍを生成することができる。また、共通マスタ鍵が安全に保管されることによって、ツール鍵登録鍵Ｋ＿ｔｉ及び鍵登録鍵Ｋ＿ｍの偽造等の不正行為を防止することができる。なお、ツール鍵登録鍵Ｋ＿ｔｉ及び鍵登録鍵Ｋ＿ｍは、上記したＫＤＦによる算出値に限定されない。

サーバ暗号処理部６２は、暗号化処理等の暗号処理を実行する。

鍵生成部６４は、ＥＣＵ５５に対するアクセス権限を示すセキュリティアクセス鍵Ｋ＿ｓａを生成する。ＥＣＵ５５に対するアクセス権限は、ＥＣＵ５５に対してアクセスすることができる範囲である。アクセス権限は、メンテナンスツール３０のユーザのユーザ属性に応じて決定される。

セキュリティアクセス鍵Ｋ＿ｓａの生成方法の例を以下に示す。セキュリティアクセス鍵Ｋ＿ｓａの生成には、上記したＫＤＦが使用される。
Ｋ＿ｓａ＝ＫＤＦ（共通マスタ鍵、ＶＩＮ又はＥＣＵ＿ｖｅｎｄｅｒＩＤ、ＳＡＩＤ）

ここで、ＥＣＵ＿ｖｅｎｄｅｒＩＤは、ＥＣＵ５５のベンダの識別情報（ＥＣＵベンダ識別情報）である。ＶＩＮ又はＥＣＵ＿ｖｅｎｄｅｒＩＤのいずれを使用するのかは予め定められる。

ＳＡＩＤは、ＥＣＵ５５に対するアクセス権限の識別情報（アクセス権限ＩＤ）である。ＳＡＩＤは、予め、メンテナンスサーバ装置１０に保持される。ＳＡＩＤは、ユーザ属性の種別毎に、特定のＳＡＩＤが対応付けられてメンテナンスサーバ装置１０に保持される。ユーザ属性の種別として、例えば、自動車に関係するユーザ身分が挙げられる。自動車に関係するユーザ身分は、例えば、ユーザの所属先や、ユーザと自動車との関係などである。ユーザの所属先として、例えば、自動車メーカ、ＥＣＵ等の車載装置のベンダ（車載装置ベンダ）、自動車の正規販売店、自動車整備工場などが挙げられる。ユーザと自動車との関係として、例えば、自動車の所有者、自動車の使用者などが挙げられる。

例えば、ユーザの所属先「自動車メーカ」には全てのメンテナンス項目が実行できるＳＡＩＤが対応付けられる。一方、ユーザの所属先「ＥＣＵベンダ」、「自動車の正規販売店」及び「自動車整備工場」には、一部のメンテナンス項目のみが実行できるＳＡＩＤが対応付けられる。また、ユーザと自動車との関係「自動車の所有者」には、ごく一部のメンテナンス項目のみが実行できるＳＡＩＤが対応付けられる。また、ユーザと自動車との関係「自動車の使用者」には、ごくごく一部のメンテナンス項目のみが実行できるＳＡＩＤ又は全てのメンテナンス項目が実行不可のＳＡＩＤが対応付けられる。

なお、セキュリティアクセス鍵Ｋ＿ｓａは、上記したＫＤＦによる算出値に限定されない。例えば、１２８ビット長のＡＥＳ（Advanced Encryption Standard）方式の共通鍵を、セキュリティアクセス鍵に使用してもよい。

図３は、本実施形態に係るメンテナンスツールの機能構成例を示す図である。図３に示されるメンテナンスツール３０の各機能は、メンテナンスツール３０が備えるＣＰＵがコンピュータプログラムを実行することにより実現される。なお、メンテナンスツール３０として、汎用のコンピュータ装置を使用して構成してもよく、又は、専用のハードウェア装置として構成してもよい。また、メンテナンスツール３０として、スマートフォン等の携帯通信端末装置、タブレット型のコンピュータ装置（タブレットＰＣ）などを利用してもよい。

図３において、メンテナンスツール３０は、サーバ間通信部３１と、メンテナンス操作部３３と、車載装置間通信部７５と、アクセス認証処理部７６と、ツール記憶部７３と、ツール暗号処理部７４とを備える。サーバ間通信部３１は、通信ネットワーク２０によりメンテナンスサーバ装置１０と通信を行う。車載装置間通信部７５は、自動車５０のＥＣＵ５５と通信を行う。

メンテナンス操作部３３は、メンテナンス作業員がメンテナンス対象の自動車５０に対するメンテナンス作業の操作を行うためのユーザインタフェースである。メンテナンス操作部３３は、ユーザの操作に応じたデータ入力を行うための、キーボード、テンキー、マウス等の入力デバイスと、データ表示を行うための液晶表示装置等の表示デバイスとを備える。メンテナンス操作部３３は、データ入力とデータ表示の両方が可能なタッチパネルを備えてもよい。

アクセス認証処理部７６は、セキュリティアクセス鍵Ｋ＿ｓａを使用して、自動車５０のＥＣＵ５５との間で認証処理を実行する。

ツール記憶部７３は、ツール鍵登録鍵Ｋ＿ｔｉを記憶する。ツール鍵登録鍵Ｋ＿ｔｉは、予め、メンテナンスツール３０に設定される。ツール鍵登録鍵Ｋ＿ｔｉは、メンテナンスサーバ装置１０のサーバ記憶部１３に記憶されるものと同じである。また、ツール記憶部７３は、メンテナンスサーバ装置１０から供給されるセキュリティアクセス鍵Ｋ＿ｓａを記憶する。

なお、ツール記憶部７３は、セキュアエレメント（Secure Element：ＳＥ）であることが好ましい。セキュアエレメントは、耐タンパー性（Tamper Resistant）を有するので、セキュアエレメントであるツール記憶部７３に記憶されるツール鍵登録鍵Ｋ＿ｔｉ及びセキュリティアクセス鍵Ｋ＿ｓａの安全性が向上する。

ツール暗号処理部７４は、暗号化処理等の暗号処理を実行する。

なお、アクセス認証処理部７６及びツール暗号処理部７４は、セキュアエレメントであることが好ましい。さらには、アクセス認証処理部７６、ツール暗号処理部７４及びツール記憶部７３は、同じセキュアエレメントであることが好ましい。

図４は、本実施形態に係るＥＣＵの機能構成例を示す図である。図４に示されるＥＣＵ５５の各機能は、ＥＣＵ５５が備えるＣＰＵがコンピュータプログラムを実行することにより実現される。図４において、ＥＣＵ５５は、ＥＣＵ通信部５５１と、ＥＣＵ記憶部５５２と、車両暗号処理部５４１と、車両認証処理部５４２とを備える。

ＥＣＵ通信部５５１は、車載ネットワーク５４を介して、ＧＷ装置５３や他のＥＣＵ５５などと通信を行う。また、ＥＣＵ通信部５５１は、ＧＷ装置５３を介して、メンテナンスツール３０等の自動車５０の車外の装置と通信を行う。

ＥＣＵ記憶部５５２は、鍵登録鍵Ｋ＿ｍを記憶する。鍵登録鍵Ｋ＿ｍは、予め、ＥＣＵ５５に設定される。例えば自動車５０の製造工場等で、鍵登録鍵Ｋ＿ｍがＥＣＵ５５に設定される。鍵登録鍵Ｋ＿ｍは、メンテナンスサーバ装置１０のサーバ記憶部１３に記憶されるものと同じである。また、ＥＣＵ５５は、メンテナンスサーバ装置１０から供給されるセキュリティアクセス鍵Ｋ＿ｓａを記憶する。

なお、ＥＣＵ記憶部５５２は、セキュアエレメントであることが好ましい。セキュアエレメントは、耐タンパー性を有するので、セキュアエレメントであるＥＣＵ記憶部５５２に記憶される鍵登録鍵Ｋ＿ｍ及びセキュリティアクセス鍵Ｋ＿ｓａの安全性が向上する。

車両暗号処理部５４１は、復号処理等の暗号処理を実行する。

車両認証処理部５４２は、メンテナンスサーバ装置１０から供給されるセキュリティアクセス鍵Ｋ＿ｓａを使用して、メンテナンスツール３０との間で認証処理を実行する。

なお、車両暗号処理部５４１及び車両認証処理部５４２は、セキュアエレメントであることが好ましい。さらには、車両暗号処理部５４１、車両認証処理部５４２及びＥＣＵ記憶部５５２は、同じセキュアエレメントであることが好ましい。

次に図５を参照して、本実施形態に係る車両メンテナンス方法の例を説明する。図５は、本実施形態に係る車両メンテナンス方法の例を示すシーケンスチャートである。図５において、メンテナンスツール３０は、メンテナンス対象の自動車５０（以下、単に自動車５０と称する）のメンテナンスポート５６に接続されている。

（ステップＳ１０１） メンテナンス作業員は、メンテナンスツール３０により、メンテナンスサーバ装置１０へのログイン操作を行う。メンテナンスツール３０は、ログイン操作に応じて、メンテナンスサーバ装置１０へログイン要求メッセージを送信する。メンテナンスサーバ装置１０は、メンテナンスツール３０から受信したログイン要求メッセージに応じてユーザ認証を行う。ユーザ認証方法は、例えば、ユーザ識別情報（ユーザＩＤ）とパスワードとの組を使用するものであってもよく、又は、生体認証であってもよい。

ユーザ認証が合格である場合には、メンテナンスツール３０からメンテナンスサーバ装置１０へのログインは成功である。一方、ユーザ認証が不合格である場合には、メンテナンスツール３０からメンテナンスサーバ装置１０へのログインは失敗である。ログインが成功である場合には以降の処理に進む。一方、ログインが失敗である場合には、図５の処理を終了する。

なお、ログインが失敗である場合には、メンテナンスサーバ装置１０は所定のエラー処理を実行してもよい。例えば、当該エラー処理として、メンテナンスサーバ装置１０は、ログイン失敗のユーザＩＤをログイン禁止に設定したり、ログイン失敗を報知するアラームを所定の報告先へ通知したりしてもよい。

（ステップＳ１０２） メンテナンス作業員は、メンテナンスツール３０により、メンテナンス対象のＥＣＵ５５（以下、単にＥＣＵ５５と称する）のＥＣＵ＿ｖｅｎｄｅｒＩＤをメンテナンスサーバ装置１０へ送信する操作を行う。メンテナンスツール３０は、当該送信操作に応じて、メンテナンスサーバ装置１０へＥＣＵ＿ｖｅｎｄｅｒＩＤを送信する。

（ステップＳ１０３） メンテナンスサーバ装置１０の鍵生成部６４は、メンテナンスツール３０から受信したＥＣＵ＿ｖｅｎｄｅｒＩＤと、当該メンテナンスツール３０のログインのユーザＩＤのユーザ属性に対応するＳＡＩＤとを使用して、上記したＫＤＦによりセキュリティアクセス鍵Ｋ＿ｓａを生成する。ここでは、上記したＫＤＦにおいて、ＶＩＮ又はＥＣＵ＿ｖｅｎｄｅｒＩＤのうちＥＣＵ＿ｖｅｎｄｅｒＩＤがセキュリティアクセス鍵Ｋ＿ｓａの生成に使用される。

サーバ暗号処理部６２は、セキュリティアクセス鍵Ｋ＿ｓａをサーバ記憶部１３に記憶されるツール鍵登録鍵Ｋ＿ｔｉで暗号化して暗号化セキュリティアクセス鍵Ｋ＿ｔｉ（Ｋ＿ｓａ）を生成する。メンテナンスサーバ装置１０は、暗号化セキュリティアクセス鍵Ｋ＿ｔｉ（Ｋ＿ｓａ）をメンテナンスツール３０へ送信する。

メンテナンスツール３０のツール暗号処理部７４は、メンテナンスサーバ装置１０から受信した暗号化セキュリティアクセス鍵Ｋ＿ｔｉ（Ｋ＿ｓａ）を、ツール記憶部７３が記憶するツール鍵登録鍵Ｋ＿ｔｉで復号する。ツール記憶部７３は、復号結果のセキュリティアクセス鍵Ｋ＿ｓａを記憶する。

なお、セキュリティアクセス鍵Ｋ＿ｓａは、予め、メンテナンスサーバ装置１０等のセキュリティアクセス鍵保管装置に安全に保管されていてもよい。この場合、メンテナンスサーバ装置１０は、ログインされたメンテナンスツール３０のユーザＩＤのユーザ属性に対応するセキュリティアクセス鍵Ｋ＿ｓａをセキュリティアクセス鍵保管装置から取得し、取得したセキュリティアクセス鍵Ｋ＿ｓａをサーバ暗号処理部６２により暗号化して暗号化セキュリティアクセス鍵Ｋ＿ｔｉ（Ｋ＿ｓａ）を生成する。

（ステップＳ１０４） メンテナンスサーバ装置１０のサーバ暗号処理部６２は、セキュリティアクセス鍵Ｋ＿ｓａをサーバ記憶部１３に記憶される鍵登録鍵Ｋ＿ｍで暗号化して暗号化セキュリティアクセス鍵Ｋ＿ｍ（Ｋ＿ｓａ）を生成する。メンテナンスサーバ装置１０は、暗号化セキュリティアクセス鍵Ｋ＿ｍ（Ｋ＿ｓａ）をメンテナンスツール３０へ送信する。メンテナンスツール３０は、メンテナンスサーバ装置１０から、暗号化セキュリティアクセス鍵Ｋ＿ｍ（Ｋ＿ｓａ）を受信する。

（ステップＳ１０５） メンテナンス作業員は、メンテナンスツール３０により、自動車５０に対するメンテナンス開始操作を行う。メンテナンスツール３０は、メンテナンス開始操作に応じて、自動車５０のＥＣＵ５５へメンテナンス開始要求メッセージを送信する。

（ステップＳ１０６） 自動車５０のＥＣＵ５５の車両認証処理部５４２は、メンテナンスツール３０から受信したメンテナンス開始要求メッセージに応じて、認証情報ｎｏｎｃｅをメンテナンスツール３０へ送信する。認証情報ｎｏｎｃｅは、例えば乱数に基づいた値である。メンテナンスツール３０は、認証情報ｎｏｎｃｅを自動車５０のＥＣＵ５５から受信する。

（ステップＳ１０７） メンテナンスツール３０は、メンテナンスサーバ装置１０から受信した暗号化セキュリティアクセス鍵Ｋ＿ｍ（Ｋ＿ｓａ）を、自動車５０のＥＣＵ５５へ送信する。自動車５０のＥＣＵ５５は、メンテナンスツール３０から、暗号化セキュリティアクセス鍵Ｋ＿ｍ（Ｋ＿ｓａ）を受信する。

（ステップＳ１０８） メンテナンスツール３０のアクセス認証処理部７６は、自動車５０のＥＣＵ５５から受信した認証情報ｎｏｎｃｅを対象にして、ツール記憶部７３に記憶されるセキュリティアクセス鍵Ｋ＿ｓａでＣＭＡＣ「ＣＭＡＣ＿Ｋ＿ｓａ（ｎｏｎｃｅ）」を生成する。メンテナンスツール３０は、ＣＭＡＣ＿Ｋ＿ｓａ（ｎｏｎｃｅ）を、自動車５０のＥＣＵ５５へ送信する。自動車５０のＥＣＵ５５は、メンテナンスツール３０から、ＣＭＡＣ＿Ｋ＿ｓａ（ｎｏｎｃｅ）を受信する。

（ステップＳ１０９） 自動車５０のＥＣＵ５５の車両暗号処理部５４１は、メンテナンスツール３０から受信した暗号化セキュリティアクセス鍵Ｋ＿ｍ（Ｋ＿ｓａ）を、ＥＣＵ記憶部５５２が記憶する鍵登録鍵Ｋ＿ｍで復号する。ＥＣＵ記憶部５５２は、復号結果のセキュリティアクセス鍵Ｋ＿ｓａを記憶する。

ＥＣＵ５５の車両認証処理部５４２は、認証情報ｎｏｎｃｅとメンテナンスツール３０から受信したＣＭＡＣ＿Ｋ＿ｓａ（ｎｏｎｃｅ）とを対象にして、当該ＣＭＡＣ＿Ｋ＿ｓａ（ｎｏｎｃｅ）を、ＥＣＵ記憶部５５２が記憶するセキュリティアクセス鍵Ｋ＿ｓａで検証する。当該ＣＭＡＣ＿Ｋ＿ｓａ（ｎｏｎｃｅ）の検証が合格である場合には、メンテナンスツール３０の正当性認証が合格であって、セキュリティアクセス鍵Ｋ＿ｓａが示すアクセス権限の認証が合格である。ＥＣＵ５５は、認証が合格したセキュリティアクセス鍵Ｋ＿ｓａが示すアクセス権限を認識する。この後、以降の処理に進む。一方、当該ＣＭＡＣ＿Ｋ＿ｓａ（ｎｏｎｃｅ）の検証が不合格である場合には、メンテナンスツール３０ｂの認証が不合格であり、図５の処理を終了する。

ＥＣＵ５５は、アクセス権限の認証結果に基づいて、メンテナンスツール３０へ、アクセスの許可又は拒否を通知する。ＥＣＵ５５は、アクセス権限の認証が合格である場合には、アクセスの許可を、メンテナンスツール３０へ通知する。一方、ＥＣＵ５５は、アクセス権限が不合格である場合には、アクセスの拒否を、メンテナンスツール３０へ通知する。

メンテナンスツール３０は、自動車５０のＥＣＵ５５から受信したアクセスの許可又は拒否の通知を、画面表示等で報知する。また、メンテナンスツール３０は、自己が保持する暗号化セキュリティアクセス鍵Ｋ＿ｍ（Ｋ＿ｓａ）とＣＭＡＣ＿Ｋ＿ｓａ（ｎｏｎｃｅ）とを消去する。

メンテナンス作業員は、アクセスの許可又は拒否の通知がアクセスの許可である場合、メンテナンスツール３０により、ＥＣＵ５５に対する所望のメンテナンス作業を実行する。自動車５０のＥＣＵ５５は、認識したアクセス権限に基づいて、メンテナンスツール３０により実行されるメンテナンス作業を許可するか否かを判断する。当該判断の結果、許可されたメンテナンス作業は実行されるが、許可されなかったメンテナンス作業は実行されない。

なお、メンテナンスツール３０の正当性認証が不合格である場合には、ＥＣＵ５５は所定のエラー処理を実行してもよい。例えば、当該エラー処理として、ＥＣＵ５５は、認証が不合格のメンテナンスツール３０をアクセス禁止に設定したり、メンテナンスツール３０の認証の不合格を報知するアラームを所定の報告先へ通知したりしてもよい。

上述した第１実施形態によれば、メンテナンスツール３０によりＥＣＵ５５のメンテナンス作業が行われる際に、ＥＣＵ５５に対するアクセス権限を示すセキュリティアクセス鍵Ｋ＿ｓａがメンテナンスサーバ装置１０からＥＣＵ５５へ供給され、当該セキュリティアクセス鍵Ｋ＿ｓａを使用して、メンテナンスツール３０とＥＣＵ５５との間で認証処理が実行される。これにより、認証対象のアクセス権限の種別毎に個別の認証鍵をＥＣＵ５５に対して設定しなくてもよい。このように本実施形態によれば、自動車５０の車載装置の認証の仕組みを改善することができるという効果が得られる。

［第２実施形態］
図６は、第２実施形態に係る車両メンテナンスシステム及び自動車の構成例を示す図である。図６において図１の各部に対応する部分には同一の符号を付け、その説明を省略する。図６に示される車両メンテナンスシステム１ａは、メンテナンスサーバ装置１０ａと、操作端末３０ａと、自動車５０に搭載されるＥＣＵ５５とを備える。メンテナンスサーバ装置１０ａと操作端末３０ａとは、通信ネットワーク２０により相互に通信を行う。自動車５０のメンテナンスポート５６には、操作端末３０ａを接続可能である。ＥＣＵ５５と、メンテナンスポート５６に接続された操作端末３０ａとは、メンテナンスポート５６及びＧＷ装置５３を介して、データを交換する。

操作端末３０ａは、例えば、自動車の整備工場や販売店等において、自動車５０に対してメンテナンス（保守）作業を行う場合に、当該自動車５０のメンテナンスポート５６に接続される。メンテナンス作業員は、操作端末３０ａを操作して、自動車５０のメンテナンス項目を実施する。自動車５０のメンテナンス項目として、例えば、ＥＣＵ５５やＩＶＩ機器５２やＧＷ装置５３等の車載装置に対して行われる、診断、コンピュータプログラムの更新、パラメータの設定、及び装置の初期化や最新化などが挙げられる。

図７は、本実施形態に係るメンテナンスサーバ装置の機能構成例を示す図である。図７において図２の各部に対応する部分には同一の符号を付け、その説明を省略する。図７に示されるメンテナンスサーバ装置１０ａは、端末間通信部１１と、車両間通信部１２と、サーバ記憶部１３と、サーバ暗号処理部６２と、メッセージ認証符号（ＭＡＣ）生成部６３と、鍵生成部６４とを備える。

端末間通信部１１は、通信ネットワーク２０により操作端末３０ａと通信を行う。車両間通信部１２は、メンテナンス対象の自動車５０と通信を行う。図６の構成例では、車両間通信部１２は、通信ネットワーク２０及び操作端末３０ａを介して、メンテナンス対象の自動車５０と通信を行う。サーバ記憶部１３は、鍵登録鍵Ｋ＿ｍを記憶する。ＭＡＣ生成部６３は、ＣＭＡＣを生成する。

図８は、本実施形態に係る操作端末の機能構成例を示す図である。図８に示される操作端末３０ａの各機能は、操作端末３０ａが備えるＣＰＵがコンピュータプログラムを実行することにより実現される。なお、操作端末３０ａとして、汎用のコンピュータ装置を使用して構成してもよく、又は、専用のハードウェア装置として構成してもよい。また、操作端末３０ａとして、スマートフォン等の携帯通信端末装置、タブレット型のコンピュータ装置（タブレットＰＣ）などを利用してもよい。

図８において、操作端末３０ａは、サーバ間通信部３１と、サーバ・車両間中継部３２と、メンテナンス操作部３３とを備える。サーバ間通信部３１は、通信ネットワーク２０によりメンテナンスサーバ装置１０ａと通信を行う。サーバ・車両間中継部３２は、メンテナンスサーバ装置１０ａとメンテナンス対象の自動車５０との間の通信の中継を行う。メンテナンス操作部３３は、図３に示されるメンテナンスツール３０のものと同じである。

ＥＣＵ５５は、第１実施形態と同様のものであって、図４に示される構成である。

次に図９を参照して、本実施形態に係る車両メンテナンス方法の例を説明する。図９は、本実施形態に係る車両メンテナンス方法の例を示すシーケンスチャートである。図９において、操作端末３０ａは、メンテナンス対象の自動車５０（以下、単に自動車５０と称する）のメンテナンスポート５６に接続されている。

（ステップＳ１１１） メンテナンス作業員は、操作端末３０ａにより、メンテナンスサーバ装置１０ａへのログイン操作を行う。操作端末３０ａは、ログイン操作に応じて、メンテナンスサーバ装置１０ａへログイン要求メッセージを送信する。メンテナンスサーバ装置１０ａは、操作端末３０ａから受信したログイン要求メッセージに応じてユーザ認証を行う。ユーザ認証方法は、例えば、ユーザＩＤとパスワードとの組を使用するものであってもよく、又は、生体認証であってもよい。

ユーザ認証が合格である場合には、操作端末３０ａからメンテナンスサーバ装置１０ａへのログインは成功である。一方、ユーザ認証が不合格である場合には、操作端末３０ａからメンテナンスサーバ装置１０ａへのログインは失敗である。ログインが成功である場合には以降の処理に進む。一方、ログインが失敗である場合には、図９の処理を終了する。

なお、ログインが失敗である場合には、メンテナンスサーバ装置１０ａは所定のエラー処理を実行してもよい。例えば、当該エラー処理として、メンテナンスサーバ装置１０ａは、ログイン失敗のユーザＩＤをログイン禁止に設定したり、ログイン失敗を報知するアラームを所定の報告先へ通知したりしてもよい。

（ステップＳ１１２） メンテナンス作業員は、操作端末３０ａにより、メンテナンス対象のＥＣＵ５５（以下、単にＥＣＵ５５と称する）のＥＣＵ＿ｖｅｎｄｅｒＩＤをメンテナンスサーバ装置１０ａへ送信する操作を行う。操作端末３０ａは、当該送信操作に応じて、メンテナンスサーバ装置１０ａへＥＣＵ＿ｖｅｎｄｅｒＩＤを送信する。

メンテナンスサーバ装置１０ａの鍵生成部６４は、操作端末３０ａから受信したＥＣＵ＿ｖｅｎｄｅｒＩＤと、当該操作端末３０ａのログインのユーザＩＤのユーザ属性に対応するＳＡＩＤとを使用して、上記したＫＤＦによりセキュリティアクセス鍵Ｋ＿ｓａを生成する。ここでは、上記したＫＤＦにおいて、ＶＩＮ又はＥＣＵ＿ｖｅｎｄｅｒＩＤのうちＥＣＵ＿ｖｅｎｄｅｒＩＤがセキュリティアクセス鍵Ｋ＿ｓａの生成に使用される。

なお、セキュリティアクセス鍵Ｋ＿ｓａは、予め、メンテナンスサーバ装置１０ａ等のセキュリティアクセス鍵保管装置に安全に保管されていてもよい。この場合、メンテナンスサーバ装置１０ａは、ログインされた操作端末３０ａのユーザＩＤのユーザ属性に対応するセキュリティアクセス鍵Ｋ＿ｓａをセキュリティアクセス鍵保管装置から取得する。

（ステップＳ１１３） メンテナンス作業員は、操作端末３０ａにより、自動車５０に対するメンテナンス開始操作を行う。操作端末３０ａは、メンテナンス開始操作に応じて、メンテナンスサーバ装置１０ａへメンテナンス開始要求メッセージを送信する。メンテナンスサーバ装置１０ａは、操作端末３０ａからメンテナンス開始要求メッセージを受信すると、メンテナンス開始要求メッセージを自動車５０のＥＣＵ５５へ送信する。

以降、メンテナンスサーバ装置１０ａと自動車５０のＥＣＵ５５との間の通信は、操作端末３０ａのサーバ・車両間中継部３２を介して中継される。操作端末３０ａは、メンテナンスサーバ装置１０ａと自動車５０のＥＣＵ５５との間の通信の中継を行うが、当該通信の内容を取り扱わない。また、メンテナンスサーバ装置１０ａと自動車５０のＥＣＵ５５との間の通信は、暗号化通信路によって、操作端末３０ａに対して秘匿されてもよい。

（ステップＳ１１４） 自動車５０のＥＣＵ５５の車両認証処理部５４２は、メンテナンスサーバ装置１０ａから受信したメンテナンス開始要求メッセージに応じて、認証情報ｎｏｎｃｅをメンテナンスサーバ装置１０ａへ送信する。認証情報ｎｏｎｃｅは、例えば乱数に基づいた値である。メンテナンスサーバ装置１０ａは、認証情報ｎｏｎｃｅを自動車５０のＥＣＵ５５から受信する。

（ステップＳ１１５） メンテナンスサーバ装置１０ａのサーバ暗号処理部６２は、セキュリティアクセス鍵Ｋ＿ｓａをサーバ記憶部１３に記憶される鍵登録鍵Ｋ＿ｍで暗号化して暗号化セキュリティアクセス鍵Ｋ＿ｍ（Ｋ＿ｓａ）を生成する。メンテナンスサーバ装置１０ａは、暗号化セキュリティアクセス鍵Ｋ＿ｍ（Ｋ＿ｓａ）を自動車５０のＥＣＵ５５へ送信する。自動車５０のＥＣＵ５５は、メンテナンスサーバ装置１０ａから、暗号化セキュリティアクセス鍵Ｋ＿ｍ（Ｋ＿ｓａ）を受信する。

（ステップＳ１１６） メンテナンスサーバ装置１０ａのＭＡＣ生成部６３は、認証情報ｎｏｎｃｅを対象にしてサーバ記憶部１３に記憶されるセキュリティアクセス鍵Ｋ＿ｓａでＣＭＡＣ「ＣＭＡＣ＿Ｋ＿ｓａ（ｎｏｎｃｅ）」を生成する。メンテナンスサーバ装置１０ａは、ＣＭＡＣ＿Ｋ＿ｓａ（ｎｏｎｃｅ）を自動車５０のＥＣＵ５５へ送信する。自動車５０のＥＣＵ５５は、メンテナンスサーバ装置１０ａから、ＣＭＡＣ＿Ｋ＿ｓａ（ｎｏｎｃｅ）を受信する。

（ステップＳ１１７） 自動車５０のＥＣＵ５５の車両暗号処理部５４１は、メンテナンスサーバ装置１０ａから受信した暗号化セキュリティアクセス鍵Ｋ＿ｍ（Ｋ＿ｓａ）を、ＥＣＵ記憶部５５２が記憶する鍵登録鍵Ｋ＿ｍで復号する。ＥＣＵ記憶部５５２は、復号結果のセキュリティアクセス鍵Ｋ＿ｓａを記憶する。

ＥＣＵ５５の車両認証処理部５４２は、認証情報ｎｏｎｃｅとメンテナンスサーバ装置１０ａから受信したＣＭＡＣ＿Ｋ＿ｓａ（ｎｏｎｃｅ）とを対象にして、当該ＣＭＡＣ＿Ｋ＿ｓａ（ｎｏｎｃｅ）を、ＥＣＵ記憶部５５２が記憶するセキュリティアクセス鍵Ｋ＿ｓａで検証する。当該ＣＭＡＣ＿Ｋ＿ｓａ（ｎｏｎｃｅ）の検証が合格である場合には、操作端末３０ａの正当性認証が合格であって、セキュリティアクセス鍵Ｋ＿ｓａが示すアクセス権限の認証が合格である。ＥＣＵ５５は、認証が合格したセキュリティアクセス鍵Ｋ＿ｓａが示すアクセス権限を認識する。この後、以降の処理に進む。一方、当該ＣＭＡＣ＿Ｋ＿ｓａ（ｎｏｎｃｅ）の検証が不合格である場合には、操作端末３０ａの認証が不合格であり、図９の処理を終了する。

ＥＣＵ５５は、アクセス権限の認証結果に基づいて、メンテナンスサーバ装置１０ａへ、アクセスの許可又は拒否を通知する。ＥＣＵ５５は、アクセス権限の認証が合格である場合には、アクセスの許可を、メンテナンスサーバ装置１０ａへ通知する。一方、ＥＣＵ５５は、アクセス権限が不合格である場合には、アクセスの拒否を、メンテナンスサーバ装置１０ａへ通知する。

メンテナンスサーバ装置１０ａは、自動車５０のＥＣＵ５５から受信したアクセスの許可又は拒否の通知を、操作端末３０ａへ送信する。操作端末３０ａは、メンテナンスサーバ装置１０ａから受信したアクセスの許可又は拒否の通知を、画面表示等で報知する。

メンテナンス作業員は、アクセスの許可又は拒否の通知がアクセスの許可である場合、操作端末３０ａにより、ＥＣＵ５５に対する所望のメンテナンス作業を実行する。自動車５０のＥＣＵ５５は、認識したアクセス権限に基づいて、操作端末３０ａにより実行されるメンテナンス作業を許可するか否かを判断する。当該判断の結果、許可されたメンテナンス作業は実行されるが、許可されなかったメンテナンス作業は実行されない。

なお、操作端末３０ａの正当性認証が不合格である場合には、ＥＣＵ５５は所定のエラー処理を実行してもよい。例えば、当該エラー処理として、ＥＣＵ５５は、認証が不合格の操作端末３０ａをアクセス禁止に設定したり、操作端末３０ａの認証の不合格を報知するアラームを所定の報告先へ通知したりしてもよい。

上述した第２実施形態によれば、操作端末３０ａによりＥＣＵ５５のメンテナンス作業が行われる際に、ＥＣＵ５５に対するアクセス権限を示すセキュリティアクセス鍵Ｋ＿ｓａがメンテナンスサーバ装置１０ａからＥＣＵ５５へ供給され、当該セキュリティアクセス鍵Ｋ＿ｓａを使用して、メンテナンスサーバ装置１０ａとＥＣＵ５５との間で認証処理が実行される。これにより、認証対象のアクセス権限の種別毎に個別の認証鍵をＥＣＵ５５に対して設定しなくてもよい。このように本実施形態によれば、自動車５０の車載装置の認証の仕組みを改善することができるという効果が得られる。

［第３実施形態］
図１０は、第３実施形態に係る車両メンテナンスシステム及び自動車の構成例を示す図である。図１０において図１の各部に対応する部分には同一の符号を付け、その説明を省略する。図１０に示される車両メンテナンスシステム１ｂは、メンテナンスツール３０ｂと、自動車５０に搭載されるＥＣＵ５５ｂとを備える。自動車５０のメンテナンスポート５６には、メンテナンスツール３０ｂを接続可能である。ＥＣＵ５５ｂと、メンテナンスポート５６に接続されたメンテナンスツール３０ｂとは、メンテナンスポート５６及びＧＷ装置５３を介して、データを交換する。

図１０に示されるメンテナンスツール３０bは、図１に示されるメンテナンスツール３０と同様に、例えば、自動車の整備工場や販売店等において、自動車５０に対してメンテナンス（保守）作業を行う場合に、当該自動車５０のメンテナンスポート５６に接続される。メンテナンス作業員は、メンテナンスツール３０bを操作して、自動車５０のメンテナンス項目を実施する。自動車５０のメンテナンス項目として、例えば、ＥＣＵ５５やＩＶＩ機器５２やＧＷ装置５３等の車載装置に対して行われる、診断、コンピュータプログラムの更新、パラメータの設定、及び装置の初期化や最新化などが挙げられる。

図１１は、本実施形態に係るメンテナンスツールの機能構成例を示す図である。図１１において図３の各部に対応する部分には同一の符号を付け、その説明を省略する。図１１に示されるメンテナンスツール３０ｂは、メンテナンス操作部３３と、車載装置間通信部７５と、ツール記憶部７３と、ＭＡＣ生成部６３とを備える。ＭＡＣ生成部６３は、図７に示されるメンテナンスサーバ装置１０ａのものと同様である。ツール記憶部７３は、符号鍵Ｋ＿ｍａｃを記憶する。符号鍵Ｋ＿ｍａｃは、予め、メンテナンスツール３０bに設定される。

符号鍵Ｋ＿ｍａｃの生成方法の例を以下に示す。符号鍵Ｋ＿ｍａｃの生成には、上記したＫＤＦが使用される。
Ｋ＿ｍａｃ＝ＫＤＦ（共通マスタ鍵、ＶＩＮ又はＥＣＵ＿ｖｅｎｄｅｒＩＤ、ＫＩＤ２）
ここで、ＫＩＤ２は、符号鍵を示す鍵種別情報である。ＶＩＮ又はＥＣＵ＿ｖｅｎｄｅｒＩＤのいずれを使用するのかは予め定められる。

なお、ツール記憶部７３及びＭＡＣ生成部６３は、セキュアエレメントであることが好ましい。さらには、ツール記憶部７３及びＭＡＣ生成部６３は、同じセキュアエレメントであることが好ましい。

図１２は、本実施形態に係るＥＣＵの機能構成例を示す図である。図１２において図４の各部に対応する部分には同一の符号を付け、その説明を省略する。図１２に示されるＥＣＵ５５ｂは、ＥＣＵ通信部５５１と、ＥＣＵ記憶部５５２と、メッセージ認証符号（ＭＡＣ）検証部５４３とを備える。ＥＣＵ記憶部５５２は、符号鍵Ｋ＿ｍａｃを記憶する。符号鍵Ｋ＿ｍａｃは、予め、ＥＣＵ５５ｂに設定される。例えば自動車５０の製造工場等で、符号鍵Ｋ＿ｍａｃがＥＣＵ５５ｂに設定される。符号鍵Ｋ＿ｍａｃは、メンテナンスツール３０ｂのツール記憶部７３に記憶されるものと同じである。

なお、ＥＣＵ記憶部５５２及びＭＡＣ検証部５４３は、セキュアエレメントであることが好ましい。さらには、ＥＣＵ記憶部５５２及びＭＡＣ検証部５４３は、同じセキュアエレメントであることが好ましい。

次に図１３を参照して、本実施形態に係る車両メンテナンス方法の例を説明する。図１３は、本実施形態に係る車両メンテナンス方法の例を示すシーケンスチャートである。図１３において、メンテナンスツール３０ｂは、メンテナンス対象の自動車５０（以下、単に自動車５０と称する）のメンテナンスポート５６に接続されている。

（ステップＳ１２１） メンテナンス作業員は、メンテナンス対象のＥＣＵ５５ｂ（以下、単にＥＣＵ５５ｂと称する）に対するアクセス権限を示すアクセス権限情報などを、メンテナンスツール３０ｂに入力する。

（ステップＳ１２２） メンテナンス作業員は、メンテナンスツール３０ｂにより、自動車５０に対するメンテナンス開始操作を行う。メンテナンスツール３０ｂは、メンテナンス開始操作に応じて、自動車５０のＥＣＵ５５ｂへメンテナンス開始要求メッセージを送信する。

（ステップＳ１２３） 自動車５０のＥＣＵ５５ｂのＭＡＣ検証部５４３は、メンテナンスツール３０ｂから受信したメンテナンス開始要求メッセージに応じて、認証情報ｎｏｎｃｅをメンテナンスツール３０ｂへ送信する。認証情報ｎｏｎｃｅは、例えば乱数に基づいた値である。メンテナンスツール３０ｂは、認証情報ｎｏｎｃｅを自動車５０のＥＣＵ５５ｂから受信する。

（ステップＳ１２４） メンテナンスツール３０ｂのＭＡＣ生成部６３は、自動車５０のＥＣＵ５５ｂから受信した認証情報ｎｏｎｃｅを対象にして、ツール記憶部７３に記憶される符号鍵Ｋ＿ｍａｃでＣＭＡＣ「ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）」を生成する。

また、ＭＡＣ生成部６３は、アクセス権限情報を対象にしてツール記憶部７３に記憶される符号鍵Ｋ＿ｍａｃでＣＭＡＣ「ＣＭＡＣ＿Ｋ＿ｍａｃ（アクセス権限情報）」を生成する。メンテナンスツール３０ｂは、ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）とアクセス権限情報とＣＭＡＣ＿Ｋ＿ｍａｃ（アクセス権限情報）とを、自動車５０のＥＣＵ５５ｂへ送信する。自動車５０のＥＣＵ５５ｂは、メンテナンスツール３０ｂから、ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）とアクセス権限情報とＣＭＡＣ＿Ｋ＿ｍａｃ（アクセス権限情報）とを受信する。

（ステップＳ１２５） 自動車５０のＥＣＵ５５ｂのＭＡＣ検証部５４３は、認証情報ｎｏｎｃｅとメンテナンスツール３０ｂから受信したＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）とを対象にして、当該ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）を、ＥＣＵ記憶部５５２が記憶する符号鍵Ｋ＿ｍａｃで検証する。当該ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）の検証が合格である場合には、メンテナンスツール３０ｂの認証が合格であり、以降の処理に進む。一方、当該ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）の検証が不合格である場合には、メンテナンスツール３０ｂの認証が不合格であり、図１３の処理を終了する。

また、ＭＡＣ検証部５４３は、メンテナンスツール３０ｂから受信したアクセス権限情報とＣＭＡＣ＿Ｋ＿ｍａｃ（アクセス権限情報）とを対象にして、当該ＣＭＡＣ＿Ｋ＿ｍａｃ（アクセス権限情報）を、ＥＣＵ記憶部５５２が記憶する符号鍵Ｋ＿ｍａｃで検証する。当該ＣＭＡＣ＿Ｋ＿ｍａｃ（アクセス権限情報）の検証が合格である場合には以降の処理に進む。一方、当該ＣＭＡＣ＿Ｋ＿ｍａｃ（アクセス権限情報）の検証が不合格である場合には、図１３の処理を終了する。

なお、ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）及びＣＭＡＣ＿Ｋ＿ｍａｃ（アクセス権限情報）の両方の検証が合格である場合にのみ、メンテナンスツール３０ｂの認証が合格であると判断してもよい。

また、上記いずれかのＣＭＡＣ検証が不合格である場合には、ＥＣＵ５５ｂは所定のエラー処理を実行してもよい。例えば、当該エラー処理として、ＥＣＵ５５ｂは、ＣＭＡＣ検証が不合格のメンテナンスツール３０ｂをアクセス禁止に設定したり、メンテナンスツール３０ｂの認証の不合格を報知するアラームを所定の報告先へ通知したりしてもよい。

ＥＣＵ５５ｂは、メンテナンスツール３０ｂの認証結果に基づいて、メンテナンスツール３０ｂへ、アクセスの許可又は拒否を通知する。ＥＣＵ５５ｂは、メンテナンスツール３０ｂの認証が合格である場合には、アクセスの許可を、メンテナンスツール３０ｂへ通知する。一方、ＥＣＵ５５ｂは、メンテナンスツール３０ｂの認証が不合格である場合には、アクセスの拒否を、メンテナンスツール３０ｂへ通知する。

メンテナンスツール３０ｂは、自動車５０のＥＣＵ５５ｂから受信したアクセスの許可又は拒否の通知を、画面表示等で報知する。また、メンテナンスツール３０ｂは、自己が保持するＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）及びＣＭＡＣ＿Ｋ＿ｍａｃ（アクセス権限情報）を消去する。

メンテナンス作業員は、アクセスの許可又は拒否の通知がアクセスの許可である場合、メンテナンスツール３０ｂにより、ＥＣＵ５５ｂに対する所望のメンテナンス作業を実行する。自動車５０のＥＣＵ５５ｂは、メンテナンスツール３０ｂから受信したアクセス権限情報に基づいて、メンテナンスツール３０ｂにより実行されるメンテナンス作業を許可するか否かを判断する。当該判断の結果、許可されたメンテナンス作業は実行されるが、許可されなかったメンテナンス作業は実行されない。

図１４及び図１５は、本実施形態に係るＣＭＡＣ算出対象の例を示す図である。図１４の例では、一つのＣＭＡＣ算出対象は認証情報ｎｏｎｃｅであり、もう一つのＣＭＡＣ算出対象はアクセス権限情報である。図１５の例では、ＣＭＡＣ算出対象は、認証情報ｎｏｎｃｅとアクセス権限情報である。図１４又は図１５の例のいずれが使用されてもよい。

なお、図１４及び図１５の例において、アクセス権限情報に対して有効期限を設け、アクセス権限情報に加えて有効期限を示す有効期限情報も含めてＣＭＡＣ算出対象にしてもよい。自動車５０のＥＣＵ５５ｂは、ＣＭＡＣ検証が合格したアクセス権限情報及び有効期限に対して、当該有効期限内で当該アクセス権限情報を使用する。ＥＣＵ５５ｂは、自己が時計を備えていない場合、ＴＣＵ５１やＩＶＩ機器５２等に問い合わせて日時情報を取得する。

上述した第３実施形態によれば、メンテナンスツール３０ｂによりＥＣＵ５５ｂのメンテナンス作業が行われる際に、認証情報ｎｏｎｃｅが自動車５０のＥＣＵ５５ｂからメンテナンスツール３０ｂへ供給され、符号鍵Ｋ＿ｍａｃと当該認証情報ｎｏｎｃｅとを使用して、メンテナンスツール３０ｂとＥＣＵ５５ｂとの間でＣＭＡＣによる認証処理が実行される。また、符号鍵Ｋ＿ｍａｃとアクセス権限情報とを使用して、メンテナンスツール３０ｂとＥＣＵ５５ｂとの間でＣＭＡＣによる認証処理が実行される。これにより、認証対象のアクセス権限の種別毎に個別の認証鍵をＥＣＵ５５ｂに対して設定しなくてもよい。このように本実施形態によれば、自動車５０の車載装置の認証の仕組みを改善することができるという効果が得られる。

［第４実施形態］
図１６は、第４実施形態に係る車両メンテナンスシステム及び自動車の構成例を示す図である。図１６において図１の各部に対応する部分には同一の符号を付け、その説明を省略する。図１６に示される車両メンテナンスシステム１ｃは、メンテナンスサーバ装置１０ｃと、操作端末３０ａと、自動車５０に搭載されるＥＣＵ５５ｂとを備える。メンテナンスサーバ装置１０ｃと操作端末３０ａとは、通信ネットワーク２０により相互に通信を行う。自動車５０のメンテナンスポート５６には、操作端末３０ａを接続可能である。ＥＣＵ５５ｂと、メンテナンスポート５６に接続された操作端末３０ａとは、メンテナンスポート５６及びＧＷ装置５３を介して、データを交換する。

操作端末３０ａは、第２実施形態と同様のものであって、図８に示される構成である。ＥＣＵ５５ｂは、第３実施形態と同様のものであって、図１２に示される構成である。

図１７は、本実施形態に係るメンテナンスサーバ装置の機能構成例を示す図である。図１７において図２の各部に対応する部分には同一の符号を付け、その説明を省略する。図１７に示されるメンテナンスサーバ装置１０ｃは、端末間通信部１１と、車両間通信部１２と、サーバ記憶部１３と、ＭＡＣ生成部６３と、鍵生成部６４とを備える。

端末間通信部１１は、通信ネットワーク２０により操作端末３０ａと通信を行う。車両間通信部１２は、メンテナンス対象の自動車５０と通信を行う。図１６の構成例では、車両間通信部１２は、通信ネットワーク２０及び操作端末３０ａを介して、メンテナンス対象の自動車５０と通信を行う。

ＭＡＣ生成部６３は、ＣＭＡＣを生成する。鍵生成部６４は、符号鍵Ｋ＿ｍａｃを生成する。サーバ記憶部１３は、符号鍵Ｋ＿ｍａｃを記憶する。符号鍵Ｋ＿ｍａｃは、自動車５０のＥＣＵ５５ｂのＥＣＵ記憶部５５２に記憶されるものと同じである。本実施形態に係る符号鍵Ｋ＿ｍａｃの生成方法は、上記した第３実施形態と同じである。

次に図１８を参照して、本実施形態に係る車両メンテナンス方法の例を説明する。図１８は、本実施形態に係る車両メンテナンス方法の例を示すシーケンスチャートである。図１８において、操作端末３０ａは、メンテナンス対象の自動車５０（以下、単に自動車５０と称する）のメンテナンスポート５６に接続されている。

（ステップＳ１３１） メンテナンス作業員は、操作端末３０ａにより、メンテナンスサーバ装置１０ｃへのログイン操作を行う。操作端末３０ａは、ログイン操作に応じて、メンテナンスサーバ装置１０ｃへログイン要求メッセージを送信する。メンテナンスサーバ装置１０ｃは、操作端末３０ａから受信したログイン要求メッセージに応じてユーザ認証を行う。ユーザ認証方法は、例えば、ユーザＩＤとパスワードとの組を使用するものであってもよく、又は、生体認証であってもよい。

ユーザ認証が合格である場合には、操作端末３０ａからメンテナンスサーバ装置１０ｃへのログインは成功である。一方、ユーザ認証が不合格である場合には、操作端末３０ａからメンテナンスサーバ装置１０ｃへのログインは失敗である。ログインが成功である場合には以降の処理に進む。一方、ログインが失敗である場合には、図１８の処理を終了する。

なお、ログインが失敗である場合には、メンテナンスサーバ装置１０ｃは所定のエラー処理を実行してもよい。例えば、当該エラー処理として、メンテナンスサーバ装置１０ｃは、ログイン失敗のユーザＩＤをログイン禁止に設定したり、ログイン失敗を報知するアラームを所定の報告先へ通知したりしてもよい。

（ステップＳ１３２） メンテナンス作業員は、操作端末３０ａにより、自動車５０のＶＩＮやＥＣＵ５５ｂの情報（ＥＣＵ情報）をメンテナンスサーバ装置１０ｃへ送信する操作を行う。操作端末３０ａは、当該送信操作に応じて、メンテナンスサーバ装置１０ｃへＶＩＮ及びＥＣＵ情報を送信する。メンテナンスサーバ装置１０ｃは、操作端末３０ａからＶＩＮ及びＥＣＵ情報を受信する。メンテナンスサーバ装置１０ｃの鍵生成部６４は、操作端末３０ａから受信したＶＩＮ又はＥＣＵ＿ｖｅｎｄｅｒＩＤを使用して、上記した第３実施形態に係るＫＤＦにより符号鍵Ｋ＿ｍａｃを生成する。サーバ記憶部１３は、鍵生成部６４が生成した符号鍵Ｋ＿ｍａｃを記憶する。

（ステップＳ１３３） メンテナンス作業員は、操作端末３０ａにより、自動車５０に対するメンテナンス開始操作を行う。操作端末３０ａは、メンテナンス開始操作に応じて、メンテナンスサーバ装置１０ｃへメンテナンス開始要求メッセージを送信する。メンテナンスサーバ装置１０ｃは、操作端末３０ａからメンテナンス開始要求メッセージを受信すると、メンテナンス開始要求メッセージを自動車５０のＥＣＵ５５ｂへ送信する。

以降、メンテナンスサーバ装置１０ｃと自動車５０のＥＣＵ５５ｂとの間の通信は、操作端末３０ａのサーバ・車両間中継部３２を介して中継される。操作端末３０ａは、メンテナンスサーバ装置１０ｃと自動車５０のＥＣＵ５５ｂとの間の通信の中継を行うが、当該通信の内容を取り扱わない。また、メンテナンスサーバ装置１０ｃと自動車５０のＥＣＵ５５ｂとの間の通信は、暗号化通信路によって、操作端末３０ａに対して秘匿されてもよい。

（ステップＳ１３４） 自動車５０のＥＣＵ５５ｂのＭＡＣ検証部５４３は、メンテナンスサーバ装置１０ｃから受信したメンテナンス開始要求メッセージに応じて、認証情報ｎｏｎｃｅをメンテナンスサーバ装置１０ｃへ送信する。認証情報ｎｏｎｃｅは、例えば乱数に基づいた値である。メンテナンスサーバ装置１０ｃは、認証情報ｎｏｎｃｅを自動車５０のＥＣＵ５５ｂから受信する。

（ステップＳ１３５） メンテナンスサーバ装置１０ｃのＭＡＣ生成部６３は、自動車５０のＥＣＵ５５ｂから受信した認証情報ｎｏｎｃｅを対象にして、サーバ記憶部１３に記憶される符号鍵Ｋ＿ｍａｃでＣＭＡＣ「ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）」を生成する。また、ＭＡＣ生成部６３は、操作端末３０ａのログインのユーザＩＤのユーザ属性に対応するアクセス権限情報を対象にしてサーバ記憶部１３に記憶される符号鍵Ｋ＿ｍａｃでＣＭＡＣ「ＣＭＡＣ＿Ｋ＿ｍａｃ（アクセス権限情報）」を生成する。アクセス権限情報は、ユーザ属性の種別毎に、特定のアクセス権限情報が対応付けられてメンテナンスサーバ装置１０ｃに保持される。メンテナンスサーバ装置１０ｃは、ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）とアクセス権限情報とＣＭＡＣ＿Ｋ＿ｍａｃ（アクセス権限情報）とを、自動車５０のＥＣＵ５５ｂへ送信する。自動車５０のＥＣＵ５５ｂは、メンテナンスサーバ装置１０ｃから、ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）とアクセス権限情報とＣＭＡＣ＿Ｋ＿ｍａｃ（アクセス権限情報）とを受信する。

（ステップＳ１３６） 自動車５０のＥＣＵ５５ｂのＭＡＣ検証部５４３は、認証情報ｎｏｎｃｅとメンテナンスサーバ装置１０ｃから受信したＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）とを対象にして、当該ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）を、ＥＣＵ記憶部５５２が記憶する符号鍵Ｋ＿ｍａｃで検証する。当該ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）の検証が合格である場合には、操作端末３０ａの認証が合格であり、以降の処理に進む。一方、当該ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）の検証が不合格である場合には、操作端末３０ａの認証が不合格であり、図１８の処理を終了する。

また、ＭＡＣ検証部５４３は、メンテナンスサーバ装置１０ｃから受信したアクセス権限情報とＣＭＡＣ＿Ｋ＿ｍａｃ（アクセス権限情報）とを対象にして、当該ＣＭＡＣ＿Ｋ＿ｍａｃ（アクセス権限情報）を、ＥＣＵ記憶部５５２が記憶する符号鍵Ｋ＿ｍａｃで検証する。当該ＣＭＡＣ＿Ｋ＿ｍａｃ（アクセス権限情報）の検証が合格である場合には以降の処理に進む。一方、当該ＣＭＡＣ＿Ｋ＿ｍａｃ（アクセス権限情報）の検証が不合格である場合には、図１８の処理を終了する。

なお、ＣＭＡＣ＿Ｋ＿ｍａｃ（ｎｏｎｃｅ）及びＣＭＡＣ＿Ｋ＿ｍａｃ（アクセス権限情報）の両方の検証が合格である場合にのみ、操作端末３０ａの認証が合格であると判断してもよい。

また、上記いずれかのＣＭＡＣ検証が不合格である場合には、ＥＣＵ５５ｂは所定のエラー処理を実行してもよい。例えば、当該エラー処理として、ＥＣＵ５５ｂは、ＣＭＡＣ検証が不合格の操作端末３０ａをアクセス禁止に設定したり、操作端末３０ａの認証の不合格を報知するアラームを所定の報告先へ通知したりしてもよい。

ＥＣＵ５５ｂは、操作端末３０ａの認証結果に基づいて、メンテナンスサーバ装置１０ｃへ、アクセスの許可又は拒否を通知する。ＥＣＵ５５ｂは、操作端末３０ａの認証が合格である場合には、アクセスの許可を、メンテナンスサーバ装置１０ｃへ通知する。一方、ＥＣＵ５５ｂは、操作端末３０ａの認証が不合格である場合には、アクセスの拒否を、メンテナンスサーバ装置１０ｃへ通知する。

メンテナンスサーバ装置１０ｃは、自動車５０のＥＣＵ５５ｂから受信したアクセスの許可又は拒否の通知を、操作端末３０ａへ送信する。操作端末３０ａは、メンテナンスサーバ装置１０ｃから受信したアクセスの許可又は拒否の通知を、画面表示等で報知する。

メンテナンス作業員は、アクセスの許可又は拒否の通知がアクセスの許可である場合、操作端末３０ａにより、ＥＣＵ５５ｂに対する所望のメンテナンス作業を、メンテナンスサーバ装置１０ｃを介して実行する。自動車５０のＥＣＵ５５ｂは、メンテナンスサーバ装置１０ｃから受信したアクセス権限情報に基づいて、操作端末３０ａにより実行されるメンテナンス作業を許可するか否かを判断する。当該判断の結果、許可されたメンテナンス作業は実行されるが、許可されなかったメンテナンス作業は実行されない。

なお、操作端末３０ａの認証が不合格である場合には、メンテナンスサーバ装置１０ｃは所定のエラー処理を実行してもよい。例えば、当該エラー処理として、メンテナンスサーバ装置１０ｃは、認証が不合格の操作端末３０ａをアクセス禁止に設定したり、操作端末３０ａの認証の不合格を報知するアラームを所定の報告先へ通知したりしてもよい。

なお、本実施形態に係るＣＭＡＣ算出対象の例は、第３実施形態に係る図１４及び図１５の例と同様であり、図１４又は図１５の例のいずれが使用されてもよい。また、図１４及び図１５の例において、第３実施形態と同様に、アクセス権限情報に対して有効期限を設け、アクセス権限情報に加えて有効期限を示す有効期限情報も含めてＣＭＡＣ算出対象にしてもよい。

上述した第４実施形態によれば、操作端末３０ａによりＥＣＵ５５ｂのメンテナンス作業が行われる際に、認証情報ｎｏｎｃｅが自動車５０のＥＣＵ５５ｂからメンテナンスサーバ装置１０ｃへ供給され、符号鍵Ｋ＿ｍａｃと当該認証情報ｎｏｎｃｅとを使用して、メンテナンスサーバ装置１０ｃとＥＣＵ５５ｂとの間でＣＭＡＣによる認証処理が実行される。また、符号鍵Ｋ＿ｍａｃとアクセス権限情報とを使用して、メンテナンスサーバ装置１０ｃとＥＣＵ５５ｂとの間でＣＭＡＣによる認証処理が実行される。これにより、認証対象のアクセス権限の種別毎に個別の認証鍵をＥＣＵ５５ｂに対して設定しなくてもよい。このように本実施形態によれば、自動車５０の車載装置の認証の仕組みを改善することができるという効果が得られる。

以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。

上述した第１実施形態及び第２実施形態において、メンテナンスツール３０及びＥＣＵ５５にＳＨＥ（Secure Hardware Extension）を適用してもよい。ＳＨＥは耐タンパー性を有するセキュアエレメントの例である。ＳＨＥを適用する場合、暗号化セキュリティアクセス鍵Ｋ＿ｍ（Ｋ＿ｓａ）とは、ＳＨＥにおいて、鍵登録鍵Ｋ＿ｍを「AuthID」鍵に使用した「Ｍ１、Ｍ２及びＭ３パラメータ形式のセキュリティアクセス鍵」に相当する。また、暗号化セキュリティアクセス鍵Ｋ＿ｍ（Ｋ＿ｓａ）を鍵登録鍵Ｋ＿ｍで復号することは、ＳＨＥにおいて、鍵登録鍵Ｋ＿ｍを使用して鍵を更新することに相当する。なお、ＳＨＥについては、例えば非特許文献２に記載されている。

上述した実施形態では、アクセス権限の認証を行う対象の車載装置としてＥＣＵを例に挙げて説明したが、ＥＣＵ以外の車載装置として例えばＧＷ装置やＩＶＩ機器やＴＣＵなどを、アクセス権限の認証を行う対象の車載装置に適用してもよい。

他の実施形態を以下に説明する。

［第５実施形態］
図１９は、第５実施形態に係る車両メンテナンスシステム及び自動車の構成例を示す図である。図１９において図１の各部に対応する部分には同一の符号を付け、その説明を省略する。図１９に示される車両メンテナンスシステム１ｄは、管理サーバ装置１０ｄと、メンテナンスツール３０ｄと、自動車５０に搭載されるＥＣＵ５５ｄとを備える。管理サーバ装置１０ｄとメンテナンスツール３０ｄとは、通信ネットワーク２０により相互に通信を行う。自動車５０のメンテナンスポート５６には、メンテナンスツール３０ｄを接続可能である。ＥＣＵ５５ｄと、メンテナンスポート５６に接続されたメンテナンスツール３０ｄとは、メンテナンスポート５６及びＧＷ装置５３を介して、データを交換する。

図２０は、本実施形態に係る管理サーバ装置の機能構成例を示す図である。図２０において図２の各部に対応する部分には同一の符号を付け、その説明を省略する。図２０に示される管理サーバ装置１０ｄは、サーバ通信部６１と、サーバ記憶部１３と、サーバ制御部６７とを備える。サーバ記憶部１３はデータを記憶する。サーバ記憶部１３には、認証局（Certification Authority：ＣＡ）公開鍵証明書Ｋ＿ｃａ＿ｐｕｂ＿ｖと、ＣＡ秘密鍵Ｋ＿ｃａ＿ｓｅｃとが格納される。ＣＡ公開鍵証明書Ｋ＿ｃａ＿ｐｕｂ＿ｖとＣＡ秘密鍵Ｋ＿ｃａ＿ｓｅｃは、ペアの公開鍵証明書（公開鍵）と秘密鍵である。

図２１は、本実施形態に係るメンテナンスツールの機能構成例を示す図である。図２１において図３の各部に対応する部分には同一の符号を付け、その説明を省略する。図２１に示されるメンテナンスツール３０ｄは、サーバ間通信部３１と、メンテナンス操作部３３と、車載装置間通信部７５と、ツール記憶部７３と、ツール制御部７７とを備える。

図２２は、本実施形態に係るＥＣＵの機能構成例を示す図である。図２２において図４の各部に対応する部分には同一の符号を付け、その説明を省略する。図２２に示されるＥＣＵ５５ｄは、ＥＣＵ通信部５５１と、ＥＣＵ記憶部５５２と、車載制御部５５７とを備える。ＥＣＵ記憶部５５２はデータを記憶する。ＥＣＵ記憶部５５２にはＣＡ公開鍵証明書Ｋ＿ｃａ＿ｐｕｂ＿ｖが格納される。ＥＣＵ記憶部５５２に格納されるＣＡ公開鍵証明書Ｋ＿ｃａ＿ｐｕｂ＿ｖは、管理サーバ装置１０ｄのサーバ記憶部１３に格納されるものと同じである。

次に図２３、図２４を参照して、本実施形態に係る車両メンテナンス方法の例１、例２を説明する。

（第５実施形態に係る車両メンテナンス方法の例１）
図２３は、本実施形態に係る車両メンテナンス方法の例１を示すシーケンスチャートである。図２３において、メンテナンスツール３０ｄは、メンテナンス対象の自動車５０（以下、単に自動車５０と称する）のメンテナンスポート５６に接続されている。

管理サーバ装置１０ｄのサーバ通信部６１は、通信ネットワーク２０によりメンテナンスツール３０ｄと通信を行う。メンテナンスツール３０ｄのサーバ間通信部３１は、通信ネットワーク２０により管理サーバ装置１０ｄと通信を行う。車載装置間通信部７５は、自動車５０のＥＣＵ５５ｄと通信を行う。

（ステップＳ２０１） メンテナンス作業員は、メンテナンスツール３０ｄにより、管理サーバ装置１０ｄへのログイン操作を行う。メンテナンスツール３０ｄのツール制御部７７は、ログイン操作に応じて、管理サーバ装置１０ｄへログイン要求メッセージを送信する。

（ステップＳ２０２） 管理サーバ装置１０ｄのサーバ制御部６７は、メンテナンスツール３０ｄから受信したログイン要求メッセージに応じてユーザ（作業員）認証を行う。ユーザ認証方法は、例えば、ユーザ識別情報（ユーザＩＤ）とパスワードとの組を使用するものであってもよく、又は、生体認証であってもよい。ここでは、ユーザ認証方法として、ユーザＩＤ（作業員ＩＤ）とパスワード（ＰＷＤ）との組を使用するものである。

ユーザ（作業員）認証が合格である場合には、メンテナンスツール３０ｄから管理サーバ装置１０ｄへのログインは成功である。一方、ユーザ（作業員）認証が不合格である場合には、メンテナンスツール３０ｄから管理サーバ装置１０ｄへのログインは失敗である。ログインが成功である場合には以降の処理に進む。一方、ログインが失敗である場合には、図２３の処理を終了する。

なお、ログインが失敗である場合には、管理サーバ装置１０ｄは所定のエラー処理を実行してもよい。例えば、当該エラー処理として、管理サーバ装置１０ｄは、ログイン失敗の作業員ＩＤをログイン禁止に設定したり、ログイン失敗を報知するアラームを所定の報告先へ通知したりしてもよい。

（ステップＳ２０３） メンテナンスツール３０ｄのツール制御部７７は、公開鍵Ｋ＿ｐｕｂと秘密鍵Ｋ＿ｓｅｃのペアを生成する。以下、説明の便宜上、ＣＡ公開鍵証明書Ｋ＿ｃａ＿ｐｕｂ＿ｖ及びＣＡ秘密鍵Ｋ＿ｃａ＿ｓｅｃと区別するために、公開鍵Ｋ＿ｐｕｂを作業員公開鍵Ｋ＿ｐｕｂと称し、秘密鍵Ｋ＿ｓｅｃを作業員秘密鍵Ｋ＿ｓｅｃと称する。ツール記憶部７３は、作業員公開鍵Ｋ＿ｐｕｂ及び作業員秘密鍵Ｋ＿ｓｅｃを記憶する。

（ステップＳ２０４） メンテナンス作業員は、メンテナンスツール３０ｄにより、自動車５０のＶＩＮ、メンテナンス対象のＥＣＵ５５ｄ（以下、単にＥＣＵ５５ｄと称する）のＥＣＵ＿ｖｅｎｄｅｒＩＤ及び自己の認可レベルを指定し、指定したＶＩＮ、ＥＣＵ＿ｖｅｎｄｅｒＩＤ及び認可レベルを管理サーバ装置１０ｄへ通知する操作を行う。ツール制御部７７は、当該操作に応じて、メンテナンス作業員が指定したＶＩＮ、ＥＣＵ＿ｖｅｎｄｅｒＩＤ及び認可レベル、並びに作業員公開鍵Ｋ＿ｐｕｂを管理サーバ装置１０ｄへ通知する。認可レベルは、ＥＣＵ等の車載装置に対するアクセス権限のレベルを示すものである。認可レベルは、セキュリティアクセス・レベルと称される場合がある。

（ステップＳ２０５） 管理サーバ装置１０ｄのサーバ制御部６７は、メンテナンスツール３０ｄから通知された認可レベルが、メンテナンスツール３０ｄのログインの作業員ＩＤに対応する所定値であるか否かを確認する。各作業員ＩＤの認可レベルの所定値は、管理サーバ装置１０ｄに予め保持されてもよく、又は、管理サーバ装置１０ｄが通信により取得するものであってもよい。各作業員ＩＤの認可レベルの所定値は、各作業員ＩＤに対応付けられた作業員属性の種別毎に、異なってもよい。作業員属性の種別として、例えば、自動車に関係するユーザ身分が挙げられる。自動車に関係するユーザ身分は、例えば、ユーザの所属先や、ユーザと自動車との関係などである。ユーザの所属先として、例えば、自動車メーカ、ＥＣＵ等の車載装置のベンダ（車載装置ベンダ）、自動車の正規販売店、自動車整備工場などが挙げられる。ユーザと自動車との関係として、例えば、自動車の所有者、自動車の使用者などが挙げられる。また、各作業員ＩＤの認可レベルの所定値は、ＶＩＮ毎又はＥＣＵ＿ｖｅｎｄｅｒＩＤ毎に異なってもよい。

認可レベルの確認が合格である場合にはステップＳ２０６へ進む。一方、認可レベルの確認が不合格である場合には、図２３の処理を終了する。

なお、認可レベルの確認が不合格である場合には、管理サーバ装置１０ｄは所定のエラー処理を実行してもよい。例えば、当該エラー処理として、管理サーバ装置１０ｄは、メンテナンスツール３０ｄを介して作業員に認可レベルの再通知を要求したり、認可レベルの確認の不合格を報知するアラームを所定の報告先へ通知したりしてもよい。

（ステップＳ２０６） サーバ制御部６７は、ＣＡ秘密鍵Ｋ＿ｃａ＿ｓｅｃを使用して、メンテナンスツール３０ｄから通知された作業員公開鍵Ｋ＿ｐｕｂの公開鍵証明書（以下、作業員公開鍵証明書と称する）Ｋ＿ｐｕｂ＿ｖを発行する。このとき、サーバ制御部６７は、メンテナンスツール３０ｄから通知された認可レベルを示す認可レベル情報を、作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖに含める。認可レベル情報を作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖに含める方法として、作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖの拡張領域に認可レベルを記載してもよく、又は、作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖに付加される属性証明書に認可レベルを記載してもよい。ここでは、作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖの拡張領域に認可レベルを記載する。また、サーバ制御部６７は、作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖの有効期限を作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖに記載してもよい。有効期限は、短期間（例えば、１日程度）にすることにより、発行された公開鍵証明書がいつまでも利用されることを防止できる。

（ステップＳ２０７） サーバ制御部６７は、作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖをメンテナンスツール３０ｄへ送信する。この作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖは、拡張領域に認可レベルが記載されたものである。メンテナンスツール３０ｄのツール記憶部７３は、管理サーバ装置１０ｄから受信した作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖを記憶する。

（ステップＳ２０８） メンテナンスツール３０ｄのツール制御部７７は、自動車５０のＥＣＵ５５ｄに対するアクセスを開始する。ここでは、ＥＣＵに対するアクセスの一例として、「ISO/DIS 14229-1」準拠の「Authentication Service $29（以下、サービス＄２９と称する）」を挙げて説明する。ツール制御部７７は、自動車５０のＥＣＵ５５ｄに対して、サービス＄２９の開始を通知し、作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖを送信する。

（ステップＳ２０９） 自動車５０のＥＣＵ５５ｄの車載制御部５５７は、ＥＣＵ記憶部５５２が記憶するＣＡ公開鍵証明書Ｋ＿ｃａ＿ｐｕｂ＿ｖを使用して、メンテナンスツール３０ｄから受信した作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖを検証する。作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖの検証が合格である場合、車載制御部５５７は、作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖから作業員公開鍵Ｋ＿ｐｕｂを取得する。ＥＣＵ記憶部５５２は、作業員公開鍵Ｋ＿ｐｕｂを記憶する。また、車載制御部５５７は、作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖの拡張領域に記載された認可レベルを確認する。この後、ステップＳ２１０へ進む。

一方、作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖの検証が不合格である場合には、図２３の処理を終了する。

なお、作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖの検証が不合格である場合には、ＥＣＵ５５ｄは所定のエラー処理を実行してもよい。例えば、当該エラー処理として、ＥＣＵ５５ｄは、メンテナンスツール３０ｄに作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖの再送信を要求したり、作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖの検証の不合格を報知するアラームを所定の報告先へ通知したりしてもよい。

（ステップＳ２１０） 車載制御部５５７は、チャレンジ（認証情報）ｎｏｎｃｅをメンテナンスツール３０ｄへ送信する。チャレンジｎｏｎｃｅは、例えば乱数に基づいた値である。

（ステップＳ２１１） メンテナンスツール３０ｄのツール制御部７７は、自動車５０のＥＣＵ５５ｄから受信したチャレンジｎｏｎｃｅに対して作業員秘密鍵Ｋ＿ｓｅｃで電子署名を施したレスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））を生成する。ツール制御部７７は、レスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））を自動車５０のＥＣＵ５５ｄへ返信する。

（ステップＳ２１２） 自動車５０のＥＣＵ５５ｄの車載制御部５５７は、作業員公開鍵Ｋ＿ｐｕｂを使用して、メンテナンスツール３０ｄから受信したレスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））の電子署名を検証する。レスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））の電子署名の検証が合格である場合、車載制御部５５７は、レスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））に含まれるチャレンジｎｏｎｃｅが、メンテナンスツール３０ｄに送信した値に一致するか否かを確認する。チャレンジｎｏｎｃｅの確認が合格である場合、メンテナンスツール３０ｄとの間の認証処理が合格である。メンテナンスツール３０ｄとの間の認証処理が合格である場合には、サービス＄２９が許可される。

一方、レスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））の電子署名の検証が不合格である場合、又は、チャレンジｎｏｎｃｅの確認が不合格である場合には、メンテナンスツール３０ｄとの間の認証処理が不合格である。メンテナンスツール３０ｄとの間の認証処理が不合格である場合には、サービス＄２９が拒否される。

（ステップＳ２１３） 車載制御部５５７は、サービス＄２９の「許可／拒否」をメンテナンスツール３０ｄへ返信する。

（ステップＳ２１４） サービス＄２９が許可された場合、メンテナンスツール３０ｄのツール制御部７７は、ＥＣＵ５５ｄに対して、認可レベルに沿って診断等のメンテナンスを実施する。

（ステップＳ２１５） メンテナンスツール３０ｄのツール制御部７７は、メンテナンス結果（ここでは診断結果）に対して作業員秘密鍵Ｋ＿ｓｅｃで電子署名（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（診断結果））を生成する。ツール制御部７７は、診断結果と電子署名（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（診断結果））を管理サーバ装置１０ｄへ送信する。管理サーバ装置１０ｄのサーバ制御部６７は、作業員公開鍵Ｋ＿ｐｕｂで電子署名（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（診断結果））を検証する。サーバ制御部６７は、電子署名（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（診断結果））の検証が合格した場合に、当該診断結果をサーバ記憶部１３に格納する。

なお、ステップＳ２０８からステップＳ２１４までの期間は、メンテナンスツール３０ｄと管理サーバ装置１０ｄの間はオフライン状態である。

（第５実施形態に係る車両メンテナンス方法の例２）
図２４は、本実施形態に係る車両メンテナンス方法の例２を示すシーケンスチャートである。図２４において、図２３に対応する部分には同一の符号を付け、その説明を省略する。図２４において、メンテナンスツール３０ｄは、メンテナンス対象の自動車５０（以下、単に自動車５０と称する）のメンテナンスポート５６に接続されている。

管理サーバ装置１０ｄのサーバ通信部６１は、通信ネットワーク２０によりメンテナンスツール３０ｄと通信を行う。メンテナンスツール３０ｄのサーバ間通信部３１は、通信ネットワーク２０により管理サーバ装置１０ｄと通信を行う。車載装置間通信部７５は、自動車５０のＥＣＵ５５ｄと通信を行う。

メンテナンスツール３０ｄは、事前に例えばメンテナンス作業員の初期登録時に、作業員公開鍵Ｋ＿ｐｕｂ及び作業員秘密鍵Ｋ＿ｓｅｃを生成してツール記憶部７３に格納する。管理サーバ装置１０ｄは、事前に例えばメンテナンス作業員の初期登録時に、作業員公開鍵Ｋ＿ｐｕｂをツール記憶部７３に格納する。なお、上記した車両メンテナンス方法の例１のように、作業員公開鍵Ｋ＿ｐｕｂは、メンテナンスツール３０ｄから管理サーバ装置１０ｄへ供給されてもよい。

ステップＳ２０１，Ｓ２０２，Ｓ２０４−Ｓ２１０が順次実行される。但し、ステップＳ２０４では、作業員公開鍵Ｋ＿ｐｕｂは、メンテナンスツール３０ｄから管理サーバ装置１０ｄへ送信されない。また、作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖは、メンテナンスツール３０ｄから通知された認可レベルを示す認可レベル情報を含まないものであってもよい。また、ステップＳ２０９では、ＥＣＵ５５ｄは、作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖに対して認可レベルの確認を実行しない。

次いでステップＳ２１１ａが実行される。
（ステップＳ２１１ａ） メンテナンスツール３０ｄのツール制御部７７は、自動車５０のＥＣＵ５５ｄから受信したチャレンジｎｏｎｃｅに対して作業員秘密鍵Ｋ＿ｓｅｃで電子署名を施したレスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））を生成する。また、ツール制御部７７は、メンテナンスツール３０ｄから通知されたメンテナンス作業員の認可レベルを示す認可レベル情報に対して、作業員秘密鍵Ｋ＿ｓｅｃで電子署名Ｓｉｇｎ＿Ｋ＿ｓｅｃ（認可レベル）を生成する。ツール制御部７７は、レスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））と認可レベル情報と電子署名Ｓｉｇｎ＿Ｋ＿ｓｅｃ（認可レベル）を自動車５０のＥＣＵ５５ｄへ返信する。

（ステップＳ２１２ａ） 自動車５０のＥＣＵ５５ｄの車載制御部５５７は、作業員公開鍵Ｋ＿ｐｕｂを使用して、メンテナンスツール３０ｄから受信したレスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））の電子署名を検証する。レスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））の電子署名の検証が合格である場合、車載制御部５５７は、レスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））に含まれるチャレンジｎｏｎｃｅが、メンテナンスツール３０ｄに送信した値に一致するか否かを確認する。チャレンジｎｏｎｃｅの確認が合格である場合、メンテナンスツール３０ｄとの間の認証処理が合格である。また、車載制御部５５７は、作業員公開鍵Ｋ＿ｐｕｂを使用して、メンテナンスツール３０ｄから受信した電子署名Ｓｉｇｎ＿Ｋ＿ｓｅｃ（認可レベル）を検証する。電子署名Ｓｉｇｎ＿Ｋ＿ｓｅｃ（認可レベル）の検証が合格である場合、車載制御部５５７は、メンテナンスツール３０ｄから受信した認可レベル情報で示される認可レベルを確認する。メンテナンスツール３０ｄとの間の認証処理が合格であり且つ電子署名Ｓｉｇｎ＿Ｋ＿ｓｅｃ（認可レベル）の検証が合格である場合には、サービス＄２９が許可される。

一方、レスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））の電子署名の検証が不合格である場合、又は、チャレンジｎｏｎｃｅの確認が不合格である場合、又は、電子署名Ｓｉｇｎ＿Ｋ＿ｓｅｃ（認可レベル）の検証が不合格である場合には、サービス＄２９が拒否される。

次いで、ステップＳ２１３，Ｓ２１４，Ｓ２１５が順次実行される。

上述した第５実施形態によれば、メンテナンス作業員がメンテナンスツール３０ｄによりＥＣＵ５５ｄのメンテナンス作業を実施する際に、メンテナンス作業員から通知された認可レベルが当該メンテナンス作業員に対応する所定値であることが確認された場合に作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖが発行され、当該作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖを使用して、メンテナンスツール３０ｄとＥＣＵ５５ｄとの間で認証処理が実行される。これにより、正当な認可レベルのメンテナンス作業員の公開鍵証明書に基づいた認証処理を実行することができる。このように本実施形態によれば、自動車５０の車載装置の認証の仕組みを改善することができるという効果が得られる。

［第６実施形態］
図２５は、第６実施形態に係る車両メンテナンスシステム及び自動車の構成例を示す図である。図２５において図６の各部に対応する部分には同一の符号を付け、その説明を省略する。図２５に示される車両メンテナンスシステム１ｅは、管理サーバ装置１０ｅと、操作端末３０ａと、自動車５０に搭載されるＥＣＵ５５ｄとを備える。管理サーバ装置１０ｅと操作端末３０ａとは、通信ネットワーク２０により相互に通信を行う。自動車５０のメンテナンスポート５６には、操作端末３０ａを接続可能である。ＥＣＵ５５ｄと、メンテナンスポート５６に接続された操作端末３０ａとは、メンテナンスポート５６及びＧＷ装置５３を介して、データを交換する。

操作端末３０ａは、図８に示される構成である。ＥＣＵ５５ｄは、図２２に示される構成である。

図２６は、本実施形態に係る管理サーバ装置の機能構成例を示す図である。図２６において図７の各部に対応する部分には同一の符号を付け、その説明を省略する。図２６に示される管理サーバ装置１０ｅは、端末間通信部１１と、車両間通信部１２と、サーバ記憶部１３と、サーバ制御部６７とを備える。サーバ記憶部１３はデータを記憶する。サーバ記憶部１３には、ＣＡ公開鍵証明書Ｋ＿ｃａ＿ｐｕｂ＿ｖと、ＣＡ秘密鍵Ｋ＿ｃａ＿ｓｅｃとが格納される。ＣＡ公開鍵証明書Ｋ＿ｃａ＿ｐｕｂ＿ｖとＣＡ秘密鍵Ｋ＿ｃａ＿ｓｅｃは、ペアの公開鍵証明書（公開鍵）と秘密鍵である。管理サーバ装置１０ｅのサーバ記憶部１３に格納されるＣＡ公開鍵証明書Ｋ＿ｃａ＿ｐｕｂ＿ｖは、ＥＣＵ５５ｄのＥＣＵ記憶部５５２に格納されるものと同じである。

次に図２７、図２８を参照して、本実施形態に係る車両メンテナンス方法の例１、例２を説明する。

（第６実施形態に係る車両メンテナンス方法の例１）
図２７は、本実施形態に係る車両メンテナンス方法の例１を示すシーケンスチャートである。図２４において、図２３に対応する部分には同一の符号を付け、その説明を省略する。なお、図２７において図２３と同一の符号が付されたステップでは、図２７の管理サーバ装置１０ｅが図２３の管理サーバ装置１０ｄに対応し、図２７の操作端末３０ａが図２３のメンテナンスツール３０ｄに対応する。

図２７において、操作端末３０ａは、メンテナンス対象の自動車５０（以下、単に自動車５０と称する）のメンテナンスポート５６に接続されている。

管理サーバ装置１０ｅの端末間通信部１１は、通信ネットワーク２０により操作端末３０ａと通信を行う。車両間通信部１２は、自動車５０と通信を行う。図２５の構成例では、車両間通信部１２は、通信ネットワーク２０及び操作端末３０ａを介して、自動車５０と通信を行う。

ステップＳ２０１，Ｓ２０２，Ｓ２０４，Ｓ２０５が順次実行される。但し、ステップＳ２０４では、作業員公開鍵Ｋ＿ｐｕｂは、操作端末３０ａから管理サーバ装置１０ｅへ送信されない。

次いでステップＳ２３０が実行される。
（ステップＳ２３０） 管理サーバ装置１０ｅのサーバ制御部６７は、作業員公開鍵Ｋ＿ｐｕｂと作業員秘密鍵Ｋ＿ｓｅｃのペアを生成する。サーバ記憶部１３は、作業員公開鍵Ｋ＿ｐｕｂ及び作業員秘密鍵Ｋ＿ｓｅｃを記憶する。

次いでステップＳ２０６が実行される。ステップＳ２０６で発行される作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖは、操作端末３０ａから通知された認可レベルを示す認可レベル情報を含むものである。ここでは、作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖの拡張領域に認可レベルが記載される。

次いでステップＳ２０７ｂが実行される。
（ステップＳ２０７ｂ） 、管理サーバ装置１０ｅのサーバ制御部６７は、自動車５０のＥＣＵ５５ｄに対するアクセスを開始する。ここでは、ＥＣＵに対するアクセスの一例として、サービス＄２９を挙げて説明する。サーバ制御部６７は、車両間通信部１２により、操作端末３０ａを介して自動車５０のＥＣＵ５５ｄへ、サービス＄２９の開始を通知し、作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖを送信する。

次いでステップＳ２０９が実行される。ここでは、自動車５０のＥＣＵ５５ｄの車載制御部５５７は、管理サーバ装置１０ｅから操作端末３０ａを介して受信した作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖを処理対象にする。

次いでステップＳ２１０ｂが実行される。本実施形態では、管理サーバ装置１０ｅと自動車５０のＥＣＵ５５ｄとの間で、チャレンジ・レスポンス方式の認証処理が実行される。
（ステップＳ２１０ｂ） 自動車５０のＥＣＵ５５ｄの車載制御部５５７は、チャレンジ（認証情報）ｎｏｎｃｅを管理サーバ装置１０ｅへ送信する。チャレンジｎｏｎｃｅは、例えば乱数に基づいた値である。

（ステップＳ２１１ｂ） 管理サーバ装置１０ｅのサーバ制御部６７は、自動車５０のＥＣＵ５５ｄから受信したチャレンジｎｏｎｃｅに対して作業員秘密鍵Ｋ＿ｓｅｃで電子署名を施したレスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））を生成する。サーバ制御部６７は、レスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））を自動車５０のＥＣＵ５５ｄへ返信する。

次いでステップＳ２１２が実行される。ここでは、自動車５０のＥＣＵ５５ｄの車載制御部５５７は、管理サーバ装置１０ｅから操作端末３０ａを介して受信したレスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））を処理対象にする。

次いでステップＳ２１３ｂが実行される。
（ステップＳ２１３ｂ） 自動車５０のＥＣＵ５５ｄの車載制御部５５７は、サービス＄２９の「許可／拒否」を管理サーバ装置１０ｅへ返信する。

（ステップＳ２１４ｂ） サービス＄２９が許可された場合、管理サーバ装置１０ｅのサーバ制御部６７は、操作端末３０ａからのメンテナンス操作に応じて、ＥＣＵ５５ｄに対し、認可レベルに沿って診断等のメンテナンスを実施する。

（第６実施形態に係る車両メンテナンス方法の例２）
図２８は、本実施形態に係る車両メンテナンス方法の例２を示すシーケンスチャートである。図２８において、図２３に対応する部分には同一の符号を付け、その説明を省略する。
なお、図２８において図２３と同一の符号が付されたステップでは、図２８の管理サーバ装置１０ｅが図２３の管理サーバ装置１０ｄに対応し、図２８の操作端末３０ａが図２３のメンテナンスツール３０ｄに対応する。

図２８において、操作端末３０ａは、メンテナンス対象の自動車５０（以下、単に自動車５０と称する）のメンテナンスポート５６に接続されている。

管理サーバ装置１０ｅの端末間通信部１１は、通信ネットワーク２０により操作端末３０ａと通信を行う。車両間通信部１２は、自動車５０と通信を行う。図２５の構成例では、車両間通信部１２は、通信ネットワーク２０及び操作端末３０ａを介して、自動車５０と通信を行う。

管理サーバ装置１０ｅは、事前に例えばメンテナンス作業員の初期登録時に、作業員公開鍵Ｋ＿ｐｕｂ、作業員秘密鍵Ｋ＿ｓｅｃ及び作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖをツール記憶部７３に格納する。なお、上記した本実施形態に係る車両メンテナンス方法の例１のように、管理サーバ装置１０ｅは、作業員公開鍵Ｋ＿ｐｕｂ及び作業員秘密鍵Ｋ＿ｓｅｃを生成し、作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖを発行するようにしてもよい。

ステップＳ２０１，Ｓ２０２，Ｓ２０４，Ｓ２０５が順次実行される。但し、ステップＳ２０４では、作業員公開鍵Ｋ＿ｐｕｂは、操作端末３０ａから管理サーバ装置１０ｅへ送信されない。また、作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖは、操作端末３０ａから通知された認可レベルを示す認可レベル情報を含まないものであってもよい。

次いでステップＳ２０７ｂが実行される。
（ステップＳ２０７ｂ） 、管理サーバ装置１０ｅのサーバ制御部６７は、自動車５０のＥＣＵ５５ｄに対するアクセスを開始する。ここでは、ＥＣＵに対するアクセスの一例として、サービス＄２９を挙げて説明する。サーバ制御部６７は、車両間通信部１２により、操作端末３０ａを介して自動車５０のＥＣＵ５５ｄへ、サービス＄２９の開始を通知し、作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖを送信する。

次いでステップＳ２０９が実行される。ここでは、自動車５０のＥＣＵ５５ｄの車載制御部５５７は、管理サーバ装置１０ｅから操作端末３０ａを介して受信した作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖを処理対象にする。また、車載制御部５５７は、作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖに対して認可レベルの確認を実行しない。

次いでステップＳ２１０ｂが実行される。本実施形態では、管理サーバ装置１０ｅと自動車５０のＥＣＵ５５ｄとの間で、チャレンジ・レスポンス方式の認証処理が実行される。
（ステップＳ２１０ｂ） 自動車５０のＥＣＵ５５ｄの車載制御部５５７は、チャレンジ（認証情報）ｎｏｎｃｅを管理サーバ装置１０ｅへ送信する。チャレンジｎｏｎｃｅは、例えば乱数に基づいた値である。

（ステップＳ２１１ｃ） 管理サーバ装置１０ｅのサーバ制御部６７は、自動車５０のＥＣＵ５５ｄから受信したチャレンジｎｏｎｃｅに対して作業員秘密鍵Ｋ＿ｓｅｃで電子署名を施したレスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））を生成する。また、サーバ制御部６７は、操作端末３０ａから通知されたメンテナンス作業員の認可レベルを示す認可レベル情報に対して、作業員秘密鍵Ｋ＿ｓｅｃで電子署名Ｓｉｇｎ＿Ｋ＿ｓｅｃ（認可レベル）を生成する。サーバ制御部６７は、レスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））と認可レベル情報と電子署名Ｓｉｇｎ＿Ｋ＿ｓｅｃ（認可レベル）を自動車５０のＥＣＵ５５ｄへ返信する。

（ステップＳ２１２ａ） 自動車５０のＥＣＵ５５ｄの車載制御部５５７は、作業員公開鍵Ｋ＿ｐｕｂを使用して、管理サーバ装置１０ｅから受信したレスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））の電子署名を検証する。レスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））の電子署名の検証が合格である場合、車載制御部５５７は、レスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））に含まれるチャレンジｎｏｎｃｅが、管理サーバ装置１０ｅに送信した値に一致するか否かを確認する。チャレンジｎｏｎｃｅの確認が合格である場合、管理サーバ装置１０ｅとの間の認証処理が合格である。また、車載制御部５５７は、作業員公開鍵Ｋ＿ｐｕｂを使用して、管理サーバ装置１０ｅから受信した電子署名Ｓｉｇｎ＿Ｋ＿ｓｅｃ（認可レベル）を検証する。電子署名Ｓｉｇｎ＿Ｋ＿ｓｅｃ（認可レベル）の検証が合格である場合、車載制御部５５７は、管理サーバ装置１０ｅから受信した認可レベル情報で示される認可レベルを確認する。管理サーバ装置１０ｅとの間の認証処理が合格であり且つ電子署名Ｓｉｇｎ＿Ｋ＿ｓｅｃ（認可レベル）の検証が合格である場合には、サービス＄２９が許可される。

一方、レスポンス（Ｓｉｇｎ＿Ｋ＿ｓｅｃ（ｎｏｎｃｅ））の電子署名の検証が不合格である場合、又は、チャレンジｎｏｎｃｅの確認が不合格である場合、又は、電子署名Ｓｉｇｎ＿Ｋ＿ｓｅｃ（認可レベル）の検証が不合格である場合には、サービス＄２９が拒否される。

（ステップＳ２１３ｂ） 自動車５０のＥＣＵ５５ｄの車載制御部５５７は、サービス＄２９の「許可／拒否」を管理サーバ装置１０ｅへ返信する。

（ステップＳ２１４ｂ） サービス＄２９が許可された場合、管理サーバ装置１０ｅのサーバ制御部６７は、操作端末３０ａからのメンテナンス操作に応じて、ＥＣＵ５５ｄに対し、認可レベルに沿って診断等のメンテナンスを実施する。

上述した第６実施形態によれば、メンテナンス作業員が操作端末３０ａによりＥＣＵ５５ｄのメンテナンス作業を実施する際に、メンテナンス作業員から通知された認可レベルが当該メンテナンス作業員に対応する所定値であることが確認された場合に作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖが発行され、当該作業員公開鍵証明書Ｋ＿ｐｕｂ＿ｖを使用して、管理サーバ装置１０ｅとＥＣＵ５５ｄとの間で認証処理が実行される。これにより、正当な認可レベルのメンテナンス作業員の公開鍵証明書に基づいた認証処理を実行することができる。このように本実施形態によれば、自動車５０の車載装置の認証の仕組みを改善することができるという効果が得られる。

上述した第５実施形態及び第６実施形態では、車載装置としてＥＣＵを例に挙げて説明したが、ＥＣＵ以外の車載装置として例えばＧＷ装置やＩＶＩ機器やＴＣＵなどに適用してもよい。また、上述した第５実施形態及び第６実施形態において、メンテナンスツール３０ｄ及びＥＣＵ５５ｄにセキュアエレメントを適用してもよい。セキュアエレメントとして、例えばＳＨＥを適用してもよい。

上述した実施形態は、例えば、自動車の製造工場や整備工場、販売店等において、自動車に適用してもよい。

上述した実施形態では、車両として自動車を例に挙げたが、原動機付自転車や鉄道車両等の自動車以外の他の車両にも適用可能である。

また、上述した各装置の機能を実現するためのコンピュータプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するようにしてもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Digital Versatile Disc）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。

さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Dynamic Random Access Memory））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

１，１ａ，１ｂ，１ｃ，１ｄ，１ｅ…車両メンテナンスシステム、１０，１０ａ，１０ｃ…メンテナンスサーバ装置、１０ｄ，１０ｅ…管理サーバ装置、１１…端末間通信部、１２…車両間通信部、１３…サーバ記憶部、２０…通信ネットワーク、３０，３０ｂ，３０ｄ…メンテナンスツール、３０ａ…操作端末、３１…サーバ間通信部、３２…サーバ・車両間中継部、３３…メンテナンス操作部、５０…自動車、５１…ＴＣＵ、５２…ＩＶＩ機器、５３…ＧＷ装置、５４…車載ネットワーク、５５，５５ｂ，５５ｄ…ＥＣＵ、５６…メンテナンスポート、６１…サーバ通信部、６２…サーバ暗号処理部、６３…ＭＡＣ生成部、６４…鍵生成部、６７…サーバ制御部、７３…ツール記憶部、７４…ツール暗号処理部、７５…車載装置間通信部、７６…アクセス認証処理部、７７…ツール制御部、５５１…ＥＣＵ通信部、５５２…ＥＣＵ記憶部、５４１…車両暗号処理部、５４２…車両認証処理部、５４３…ＭＡＣ検証部、５５７…車載制御部

Claims (28)

1. メンテナンスサーバ装置と、車両のメンテナンスツールと、前記車両に搭載される車載装置とを備え、
   前記メンテナンスサーバ装置は、
   前記メンテナンスツールと通信を行うサーバ通信部と、
   鍵登録鍵を記憶する鍵登録鍵サーバ記憶部と、
   前記車載装置に対するアクセス権限を示すセキュリティアクセス鍵を前記鍵登録鍵サーバ記憶部に記憶される鍵登録鍵で暗号化して暗号化セキュリティアクセス鍵を生成するサーバ暗号処理部と、を備え、前記暗号化セキュリティアクセス鍵を前記メンテナンスツールへ送信し、
   前記メンテナンスツールは、
   前記メンテナンスサーバ装置と通信を行うサーバ間通信部と、
   前記車載装置と通信を行う車載装置間通信部と、
   前記セキュリティアクセス鍵を使用して前記車載装置との間で認証処理を実行するアクセス認証処理部と、を備え、前記暗号化セキュリティアクセス鍵を前記車載装置へ送信し、
   前記車載装置は、
   前記メンテナンスツールと通信を行うツール間通信部と、
   前記鍵登録鍵サーバ記憶部が記憶する鍵登録鍵と同じ鍵登録鍵を記憶する鍵登録鍵車両記憶部と、
   前記暗号化セキュリティアクセス鍵を、前記鍵登録鍵車両記憶部が記憶する鍵登録鍵で復号する車両暗号処理部と、
   前記暗号化セキュリティアクセス鍵の復号結果のセキュリティアクセス鍵を使用して前記メンテナンスツールとの間で認証処理を実行する車両認証処理部と、を備える、
   車両メンテナンスシステム。
2. 前記メンテナンスサーバ装置は、
   前記メンテナンスツールのユーザのユーザ属性に対応する前記アクセス権限を示すセキュリティアクセス鍵を生成する鍵生成部をさらに備える、
   請求項１に記載の車両メンテナンスシステム。
3. 端末装置と通信を行う端末間通信部と、
   メンテナンス対象の車両と通信を行う車両間通信部と、
   鍵登録鍵を記憶する鍵登録鍵サーバ記憶部と、
   前記車両に搭載される車載装置に対するアクセス権限を示すセキュリティアクセス鍵を前記鍵登録鍵サーバ記憶部に記憶される鍵登録鍵で暗号化して、前記車載装置へ送信される暗号化セキュリティアクセス鍵を生成するサーバ暗号処理部と、
   前記端末装置からのメンテナンス開始要求に応じて、前記セキュリティアクセス鍵を使用して前記車載装置との間で認証処理を実行するアクセス認証処理部と、
   を備えるメンテナンスサーバ装置。
4. 前記端末装置のユーザのユーザ属性に対応する前記アクセス権限を示すセキュリティアクセス鍵を生成する鍵生成部をさらに備える、
   請求項３に記載のメンテナンスサーバ装置。
5. 車両に搭載される車載装置において、
   メンテナンスサーバ装置と通信を行うサーバ間通信部と、
   前記メンテナンスサーバ装置が記憶する鍵登録鍵と同じ鍵登録鍵を記憶する鍵登録鍵車両記憶部と、
   前記メンテナンスサーバ装置から受信した暗号化セキュリティアクセス鍵を、前記鍵登録鍵車両記憶部が記憶する鍵登録鍵で復号する車両暗号処理部と、
   前記暗号化セキュリティアクセス鍵の復号結果のセキュリティアクセス鍵を使用して前記メンテナンスサーバ装置との間で認証処理を実行する車両認証処理部と、
   を備える車載装置。
6. 車両に搭載される車載装置と通信を行う車載装置間通信部と、
   符号鍵を記憶する符号鍵ツール記憶部と、
   前記車載装置から受信した認証情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵で第１メッセージ認証符号を生成し、
   前記車載装置に対するアクセス権限を示すアクセス権限情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵で第２メッセージ認証符号を生成するメッセージ認証符号生成部と、を備え、
   前記第１メッセージ認証符号と前記アクセス権限情報と前記第２メッセージ認証符号とを前記車載装置へ送信する、
   メンテナンスツール。
7. 車両に搭載される車載装置において、
   メンテナンスツールと通信を行うツール間通信部と、
   前記メンテナンスツールが記憶する符号鍵と同じ符号鍵を記憶する符号鍵車両記憶部と、
   前記メンテナンスツールへ送信した認証情報と前記メンテナンスツールから受信した第１メッセージ認証符号とを対象にして前記第１メッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証し、
   前記メンテナンスツールから受信したアクセス権限情報と第２メッセージ認証符号を対象にして前記第２メッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証する符号検証部と、
   を備える車載装置。
8. 端末装置と通信を行う端末間通信部と、
   メンテナンス対象の車両と通信を行う車両間通信部と、
   符号鍵を記憶する符号鍵ツール記憶部と、
   前記端末装置からのメンテナンス開始要求に応じて、
   前記車両に搭載される車載装置から受信した認証情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵で第１メッセージ認証符号を生成し、
   前記車載装置に対するアクセス権限を示すアクセス権限情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵で第２メッセージ認証符号を生成するメッセージ認証符号生成部と、を備え、
   前記第１メッセージ認証符号と前記アクセス権限情報と前記第２メッセージ認証符号とを前記車載装置へ送信する、
   メンテナンスサーバ装置。
9. 車両に搭載される車載装置において、
   メンテナンスサーバ装置と通信を行うサーバ間通信部と、
   前記メンテナンスサーバ装置が記憶する符号鍵と同じ符号鍵を記憶する符号鍵車両記憶部と、
   前記メンテナンスサーバ装置へ送信した認証情報と前記メンテナンスサーバ装置から受信した第１メッセージ認証符号とを対象にして前記第１メッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証し、
   前記メンテナンスサーバ装置から受信したアクセス権限情報と第２メッセージ認証符号を対象にして前記第２メッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証する符号検証部と、
   を備える車載装置。
10. コンピュータに、
    端末装置と通信を行う端末間通信ステップと、
    メンテナンス対象の車両と通信を行う車両間通信ステップと、
    鍵登録鍵を鍵登録鍵サーバ記憶部に記憶する鍵登録鍵サーバ記憶ステップと、
    前記車両に搭載される車載装置に対するアクセス権限を示すセキュリティアクセス鍵を前記鍵登録鍵サーバ記憶部に記憶される鍵登録鍵で暗号化して、前記車載装置へ送信される暗号化セキュリティアクセス鍵を生成するサーバ暗号処理ステップと、
    前記端末装置からのメンテナンス開始要求に応じて、前記セキュリティアクセス鍵を使用して前記車載装置との間で認証処理を実行するアクセス認証処理ステップと、
    を実行させるためのコンピュータプログラム。
11. 車両に搭載されるコンピュータに、
    メンテナンスサーバ装置と通信を行うサーバ間通信ステップと、
    前記メンテナンスサーバ装置が記憶する鍵登録鍵と同じ鍵登録鍵を鍵登録鍵車両記憶部に記憶する鍵登録鍵車両記憶ステップと、
    前記メンテナンスサーバ装置から受信した暗号化セキュリティアクセス鍵を、前記鍵登録鍵車両記憶部が記憶する鍵登録鍵で復号する車両暗号処理ステップと、
    前記暗号化セキュリティアクセス鍵の復号結果のセキュリティアクセス鍵を使用して前記メンテナンスサーバ装置との間で認証処理を実行する車両認証処理ステップと、
    を実行させるためのコンピュータプログラム。
12. コンピュータに、
    車両に搭載される車載装置と通信を行う車載装置間通信ステップと、
    符号鍵を符号鍵ツール記憶部に記憶する符号鍵ツール記憶ステップと、
    前記車載装置から受信した認証情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵で第１メッセージ認証符号を生成し、
    前記車載装置に対するアクセス権限を示すアクセス権限情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵で第２メッセージ認証符号を生成するメッセージ認証符号生成ステップと、
    前記第１メッセージ認証符号と前記アクセス権限情報と前記第２メッセージ認証符号とを前記車載装置へ送信するステップと、
    を実行させるためのコンピュータプログラム。
13. 車両に搭載されるコンピュータに、
    メンテナンスツールと通信を行うツール間通信ステップと、
    前記メンテナンスツールが記憶する符号鍵と同じ符号鍵を符号鍵車両記憶部に記憶する符号鍵車両記憶ステップと、
    前記メンテナンスツールへ送信した認証情報と前記メンテナンスツールから受信した第１メッセージ認証符号とを対象にして前記第１メッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証し、
    前記メンテナンスツールから受信したアクセス権限情報と第２メッセージ認証符号を対象にして前記第２メッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証する符号検証ステップと、
    を実行させるためのコンピュータプログラム。
14. コンピュータに、
    端末装置と通信を行う端末間通信ステップと、
    メンテナンス対象の車両と通信を行う車両間通信ステップと、
    符号鍵を符号鍵ツール記憶部に記憶する符号鍵ツール記憶ステップと、
    前記端末装置からのメンテナンス開始要求に応じて、
    前記車両に搭載される車載装置から受信した認証情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵で第１メッセージ認証符号を生成し、
    前記車載装置に対するアクセス権限を示すアクセス権限情報を対象にして前記符号鍵ツール記憶部に記憶される符号鍵で第２メッセージ認証符号を生成するメッセージ認証符号生成ステップと、
    前記第１メッセージ認証符号と前記アクセス権限情報と前記第２メッセージ認証符号とを前記車載装置へ送信するステップと、
    を実行させるためのコンピュータプログラム。
15. 車両に搭載されるコンピュータに、
    メンテナンスサーバ装置と通信を行うサーバ間通信ステップと、
    前記メンテナンスサーバ装置が記憶する符号鍵と同じ符号鍵を符号鍵車両記憶部に記憶する符号鍵車両記憶ステップと、
    前記メンテナンスサーバ装置へ送信した認証情報と前記メンテナンスサーバ装置から受信した第１メッセージ認証符号とを対象にして前記第１メッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証し、
    前記メンテナンスサーバ装置から受信したアクセス権限情報と第２メッセージ認証符号を対象にして前記第２メッセージ認証符号を、前記符号鍵車両記憶部が記憶する符号鍵で検証する符号検証ステップと、
    を実行させるためのコンピュータプログラム。
16. メンテナンスサーバ装置が、車両に搭載される車載装置に対するアクセス権限を示すセキュリティアクセス鍵を鍵登録鍵で暗号化して暗号化セキュリティアクセス鍵を生成するサーバ暗号処理ステップと、
    前記メンテナンスサーバ装置が、前記暗号化セキュリティアクセス鍵を前記車両のメンテナンスツールへ送信するステップと、
    前記メンテナンスツールが、前記暗号化セキュリティアクセス鍵を前記車載装置へ送信するステップと、
    前記メンテナンスツールが、前記セキュリティアクセス鍵を使用して前記車載装置との間で認証処理を実行するアクセス認証処理ステップと、
    前記車載装置が、前記メンテナンスサーバ装置の鍵登録鍵と同じ鍵登録鍵を記憶する鍵登録鍵車両記憶部を備え、
    前記車載装置が、前記暗号化セキュリティアクセス鍵を、前記鍵登録鍵車両記憶部が記憶する鍵登録鍵で復号する車両暗号処理ステップと、
    前記車載装置が、前記暗号化セキュリティアクセス鍵の復号結果のセキュリティアクセス鍵を使用して前記メンテナンスツールとの間で認証処理を実行する車両認証処理ステップと、
    を含む車両メンテナンス方法。
17. 管理サーバ装置と、車両のメンテナンスツールと、前記車両に搭載される車載装置とを備え、
    前記管理サーバ装置は、
    前記メンテナンスツールと通信を行うサーバ通信部と、
    前記メンテナンスツールを操作する作業員から通知された認可レベルが所定値であるか否かを確認し、前記認可レベルが所定値である場合に、認証局公開鍵証明書に対応する認証局秘密鍵を使用して作業員公開鍵証明書を発行するサーバ制御部と、を備え、
    前記メンテナンスツールは、
    前記管理サーバ装置と通信を行うサーバ間通信部と、
    前記車載装置と通信を行う車載装置間通信部と、
    前記作業員公開鍵証明書を使用して前記車載装置との間で認証処理を実行するツール制御部と、を備え、
    前記車載装置は、
    前記メンテナンスツールと通信を行うツール間通信部と、
    前記認証局公開鍵証明書を記憶する車両記憶部と、
    前記車両記憶部が記憶する前記認証局公開鍵証明書を使用して前記作業員公開鍵証明書を検証し、当該検証が合格である前記作業員公開鍵証明書を使用して、前記メンテナンスツールとの間の認証処理を実行する車載制御部と、を備える、
    車両メンテナンスシステム。
18. 前記作業員公開鍵証明書は、前記認可レベルを示す認可レベル情報を含むものである、
    請求項１７に記載の車両メンテナンスシステム。
19. 前記ツール制御部は、前記作業員公開鍵証明書に対応する作業員秘密鍵を使用して、前記認可レベルを示す認可レベル情報の電子署名を生成し、前記電子署名付きの前記認可レベル情報を前記車載装置へ送信する、
    請求項１７に記載の車両メンテナンスシステム。
20. 管理サーバ装置と、車両に搭載される車載装置とを備え、
    前記管理サーバ装置は、
    前記車両のメンテナンスの作業員が操作する端末装置と通信を行う端末間通信部と、
    前記車両と通信を行う車両間通信部と、
    前記作業員から通知された認可レベルが所定値であるか否かを確認し、前記認可レベルが所定値である場合に、認証局公開鍵証明書に対応する認証局秘密鍵を使用して作業員公開鍵証明書を発行するサーバ制御部と、を備え、
    前記サーバ制御部は、前記作業員公開鍵証明書を使用して前記車載装置との間で認証処理を実行し、
    前記車載装置は、
    前記管理サーバ装置と通信を行うサーバ間通信部と、
    前記認証局公開鍵証明書を記憶する車両記憶部と、
    前記車両記憶部が記憶する前記認証局公開鍵証明書を使用して前記作業員公開鍵証明書を検証し、当該検証が合格である前記作業員公開鍵証明書を使用して、前記管理サーバ装置との間の認証処理を実行する車載制御部と、を備える、
    車両メンテナンスシステム。
21. 前記作業員公開鍵証明書は、前記認可レベルを示す認可レベル情報を含むものである、
    請求項２０に記載の車両メンテナンスシステム。
22. 前記サーバ制御部は、前記作業員公開鍵証明書に対応する作業員秘密鍵を使用して、前記認可レベルを示す認可レベル情報の電子署名を生成し、前記電子署名付きの前記認可レベル情報を前記車載装置へ送信する、
    請求項２０に記載の車両メンテナンスシステム。
23. 車両のメンテナンスの作業員から通知された認可レベルが所定値であるか否かを確認し、前記認可レベルが所定値である場合に、認証局公開鍵証明書に対応する認証局秘密鍵を使用して、前記車両に供給される作業員公開鍵証明書を発行するサーバ制御部、
    を備える管理サーバ装置。
24. 車両に搭載される車載装置において、
    認証局公開鍵証明書を記憶する車両記憶部と、
    前記車両記憶部が記憶する前記認証局公開鍵証明書を使用して、管理サーバ装置が発行した作業員公開鍵証明書を検証し、当該検証が合格である前記作業員公開鍵証明書を使用して、前記車両のメンテナンスにおける認証処理を実行する車載制御部と、
    を備える車載装置。
25. コンピュータに、
    車両のメンテナンスの作業員から通知された認可レベルが所定値であるか否かを確認し、前記認可レベルが所定値である場合に、認証局公開鍵証明書に対応する認証局秘密鍵を使用して、前記車両に供給される作業員公開鍵証明書を発行するステップ
    を実行させるためのコンピュータプログラム。
26. 車両に搭載されるコンピュータに、
    認証局公開鍵証明書を車両記憶部に記憶するステップと、
    前記車両記憶部が記憶する前記認証局公開鍵証明書を使用して、管理サーバ装置が発行した作業員公開鍵証明書を検証し、当該検証が合格である前記作業員公開鍵証明書を使用して、前記車両のメンテナンスにおける認証処理を実行するステップと、
    を実行させるためのコンピュータプログラム。
27. 管理サーバ装置が、車両のメンテナンスツールを操作する作業員から通知された認可レベルが所定値であるか否かを確認し、前記認可レベルが所定値である場合に、認証局公開鍵証明書に対応する認証局秘密鍵を使用して作業員公開鍵証明書を発行するステップと、
    前記メンテナンスツールが、前記作業員公開鍵証明書を使用して前記車両に搭載される車載装置との間で認証処理を実行するステップと、
    前記車載装置が、前記認証局公開鍵証明書を車両記憶部に記憶するステップと、
    前記車載装置が、前記車両記憶部が記憶する前記認証局公開鍵証明書を使用して前記作業員公開鍵証明書を検証し、当該検証が合格である前記作業員公開鍵証明書を使用して、前記メンテナンスツールとの間の認証処理を実行するステップと、
    を含む車両メンテナンス方法。
28. 管理サーバ装置が、車両のメンテナンスの作業員が操作する端末装置と通信を行うステップと、
    前記管理サーバ装置が、前記作業員から通知された認可レベルが所定値であるか否かを確認し、前記認可レベルが所定値である場合に、認証局公開鍵証明書に対応する認証局秘密鍵を使用して作業員公開鍵証明書を発行するステップと、
    前記管理サーバ装置が、前記作業員公開鍵証明書を使用して、前記車両に搭載される車載装置との間で認証処理を実行するステップと、
    前記車載装置が、前記認証局公開鍵証明書を車両記憶部に記憶するステップと、
    前記車載装置が、前記車両記憶部が記憶する前記認証局公開鍵証明書を使用して前記作業員公開鍵証明書を検証し、当該検証が合格である前記作業員公開鍵証明書を使用して、前記管理サーバ装置との間の認証処理を実行するステップと、
    を含む車両メンテナンス方法。

Images