JP2012224239A

JP2012224239A - 認証システム及び認証方法

Info

Publication number: JP2012224239A
Application number: JP2011094185A
Authority: JP
Inventors: Koji Yura; 浩司由良
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2011-04-20
Filing date: 2011-04-20
Publication date: 2012-11-15

Abstract

【課題】本発明は、認証システム及び認証方法に係り、車両に電子機器を認証させるうえで計算処理を増大させることなく高いセキュリティ性を確保することにある。
【解決手段】走行可能な車両と通信接続した電子機器が所定機能を実行する前に、該車両に該電子機器を認証させるうえで、電子機器は、所定機能の実行が許可される有効位置の情報及び許可利用者情報を記憶し、車両と通信接続した際にその有効位置の情報及び許可利用者情報を含む認証情報を送信する。また、車両は、通信接続した電子機器から送信される認証情報を受信し、自車位置を検出し、利用者により入力される利用者の情報を取得し、自車位置が認証情報に情報として含まれる有効位置に合致するか否かを判別し、利用者の情報が認証情報に含まれる許可利用者情報に合致するか否かを判別し、自車位置が有効位置に合致すると判別されかつ利用者の情報が許可利用者情報に合致すると判別される場合に、電子機器での所定機能の実行を許可する。
【選択図】図６

Description

本発明は、認証システム及び認証方法に係り、特に、走行可能な車両と、その車両と通信接続して所定機能を実行する電子機器と、を備え、車両と通信接続した電子機器が所定機能を実行する前に、車両に電子機器を認証させるうえで好適な認証システム及び認証方法に関する。

従来、機器同士の認証に公開鍵暗号系を利用する認証システムが知られている（例えば、特許文献１参照）。この認証システムにおいては、複数の機器が情報交換を実施する前に、相互の認証が行われる。具体的には、複数の機器が情報交換前に相手方の公開鍵を用いて検証して相互認証を実施する。この認証に使われる情報としては、各機器の属性（シリアルナンバー）や情報の有効期限などを示す情報が含まれている。

特開２００７−２７４３８０号公報

しかし、上記の如く認証が公開鍵暗号系を用いて行われる認証システムでは、一般的に、機器で必要な計算処理が増大するため、短時間で認証処理を完了させることが困難となり、或いは、短時間で認証処理を完了させるうえで計算機のコストが高くなる不都合が生じてしまう。一方、何らセキュリティ対策がとられないのは一定のセキュリティ強度を確保するうえで適切でない。

本発明は、上述の点に鑑みてなされたものであり、車両に電子機器を認証させるうえで計算処理を増大させることなく高いセキュリティ性を確保することが可能な認証システム及び認証方法を提供することを目的とする。

上記の目的は、走行可能な車両と、前記車両と通信接続して所定機能を実行する電子機器と、を備え、前記車両と通信接続した前記電子機器が前記所定機能を実行する前に、該車両に該電子機器を認証させる認証システムであって、前記電子機器は、前記所定機能の実行が許可される有効位置の情報及び利用者の認証に関する許可利用者情報を少なくとも記憶する記憶手段と、前記車両と通信接続した際に該車両へ前記記憶手段に記憶される前記有効位置の情報及び前記許可利用者情報を含む認証情報を送信する認証情報送信手段と、を有し、前記車両は、通信接続した前記電子機器から送信される前記認証情報を受信する認証情報受信手段と、自車位置を検出する自車位置検出手段と、利用者により入力される利用者の情報を取得する入力取得手段と、前記自車位置検出手段により検出される前記自車位置が前記認証情報受信手段により受信される前記認証情報に情報として含まれる前記有効位置に合致するか否かを判別する位置認証手段と、前記入力取得手段により取得される前記利用者の情報が前記認証情報受信手段により受信される前記認証情報に含まれる前記許可利用者情報に合致するか否かを判別するユーザ認証手段と、前記位置認証手段により前記自車位置が前記有効位置に合致すると判別されかつ前記ユーザ認証手段により前記利用者の情報が前記許可利用者情報に合致すると判別される場合に、前記電子機器での前記所定機能の実行を許可する機器作動許可手段と、を有する認証システムにより達成される。

また、上記の目的は、走行可能な車両と通信接続した電子機器が所定機能を実行する前に、該車両に該電子機器を認証させる認証方法であって、前記電子機器が、前記車両と通信接続した際に該車両へ前記所定機能の実行が許可される有効位置の情報及び利用者の認証に関する許可利用者情報を含む認証情報を送信する認証情報送信ステップと、前記車両が、通信接続した前記電子機器から送信される前記認証情報を受信する認証情報受信ステップと、前記車両が自車位置を検出する自車位置検出ステップと、前記車両が利用者により入力される利用者の情報を取得する入力取得ステップと、前記車両が、前記自車位置検出ステップにおいて検出される前記自車位置が前記認証情報受信ステップにおいて受信される前記認証情報に情報として含まれる前記有効位置に合致するか否かを判別する位置認証ステップと、前記車両が、前記入力取得ステップにおいて取得される前記利用者の情報が前記認証情報受信ステップにおいて受信される前記認証情報に含まれる前記許可利用者情報に合致するか否かを判別するユーザ認証ステップと、前記車両が、前記位置認証ステップにおいて前記自車位置が前記有効位置に合致すると判別されかつ前記ユーザ認証ステップにおいて前記利用者の情報が前記許可利用者情報に合致すると判別される場合に、前記電子機器での前記所定機能の実行を許可する機器作動許可ステップと、を備える認証方法により達成される。

本発明によれば、車両に電子機器を認証させるうえで計算処理を増大させることなく高いセキュリティ性を確保することができる。

本発明の一実施例である認証システムの構成図である。本実施例の認証システムが備える保守用機器と車両とが通信接続する前に保守用機器１４が置かれる状態を表した図である。本実施例においてアクセス権管理サーバが発行するアクセス権定義ファイルの具体的内容を表した図である。本実施例においてアクセス権管理サーバが発行するアクセス権定義ファイルに含まれる有効地域の具体的内容を表した図である。本実施例においてアクセス権管理サーバが発行するアクセス権定義ファイルに含まれる利用者情報の具体的内容を表した図である。本実施例の認証システムにおいて車両側が実行するメインルーチンの一例のフローチャートである。本実施例の認証システムにおいて車両側が実行するサブルーチンの一例のフローチャートである。

以下、図面を用いて、本発明に係る認証システムの具体的な実施の形態について説明する。

図１は、本発明の一実施例である認証システム１０の構成図を示す。図１に示す如く、本実施例の認証システム１０は、走行して移動可能な車両１２と、該車両１２と通信接続して後述の所定機能を実行する保守用機器１４と、を備えている。認証システム１０は、車両１２と通信接続した保守用機器１４が所定機能を実行する前に、その車両１２にその保守用機器１４を認証させる車両用認証システムである。

保守用機器１４は、マイクロコンピュータを主体に構成されており、メモリなどを有する電子機器である。保守用機器１４は、例えば、車両整備会社や車両ディーラー，車両修理工場ごとに少なくとも一台ずつ設けられた、車両保守を行うための機器である。保守用機器１４の実行する所定機能は、例えば、車両１２に搭載される各電子制御ユニット（ＥＣＵ）などに蓄積されている故障データを収集して車両故障を診断するための機能や、ＥＣＵの有するデータやソフトウェアを更新するための機能のことである。保守用機器１４は、インターフェースを介して車両１２と通信接続される。保守用機器１４は、インターフェースにより車両１２に対して脱着可能である。

図２は、本実施例の認証システム１０が備える保守用機器１４と車両１２とが通信接続する前に保守用機器１４が置かれる状態を表した図を示す。保守用機器１４は、車両１２と通信接続される前、サーバ接続ＰＣ１６を通じてネットワークに接続された状態に置かれ、そのネットワークを介してアクセス権管理サーバ１８にアクセス可能である。サーバ接続ＰＣ１６は、正規の車両整備会社や車両ディーラー，車両修理工場などに設置されたＰＣである。保守用機器１４は、サーバ接続ＰＣ１６に対して脱着可能である。

アクセス権管理サーバ１８は、アクセス権管理サービス会社や行政，企業などが運営する認証局に設置されており、ネットワークを介して接続するサーバ接続ＰＣ１６を通じて保守用機器１４が必要とするアクセス権定義ファイルを発行することが可能である。保守用機器１４は、サーバ接続ＰＣ１６を通じてアクセスするアクセス権管理サーバ１８から発行されるアクセス権定義ファイルを取得して、メモリに格納するアクセス権定義ファイルを更新することが可能である。

アクセス権管理サーバ１８は、予め、アクセスし得る保守用機器１４ごとに、他の保守用機器１４と識別するためのＩＤ、保守用機器１４において実行が許可される機能、保守用機器１４において実行が許可される地域（例えば、保守用機器１４が設置されるディーラーの敷地内やそのディーラーが置かれている町，区，市など；以下、有効地域と称す。）、保守用機器１４の使用が許可される利用者の情報（具体的には、その許可利用者（例えば、車両整備会社の従業員など）の人数、並びに、その許可利用者ごとの利用者ＩＤ及びそのパスワード）の各種情報などをメモリに格納している。

図３は、本実施例のアクセス権管理サーバ１８が発行するアクセス権定義ファイルの具体的内容を表した図を示す。図４は、本実施例のアクセス権管理サーバ１８が発行するアクセス権定義ファイルに含まれる有効地域の具体的内容を表した図を示す。また、図５は、本実施例においてアクセス権管理サーバ１８が発行するアクセス権定義ファイルに含まれる利用者情報の具体的内容を表した図を示す。

アクセス権管理サーバ１８が発行するアクセス権定義ファイルは、例えば図３に示す如く、そのアクセス権定義ファイルの発行ＩＤ、そのアクセス権定義ファイルの発行先である保守用機器１４のＩＤ、その保守用機器１４での実行が許可される許可機能（例えば、故障診断機能のみなど）、その保守用機器１４での所定機能の実行が許可される有効期限（例えば、○月×日△時までなど）、その保守用機器１４での所定機能の実行が許可される有効地域、その保守用機器１４の使用（特に、所定機能を実行させる使用）が許可される許可利用者の情報（許可利用者情報）、及び、そのアクセル権定義ファイルを発行する発行元である発行者の署名などの各種情報を含む。また、そのアクセル権定義ファイル内の有効地域の情報は、例えば図４に示す如く、有効地域の北限の緯度、南限の緯度、東端の経度、及び西端の経度の各種情報を含む。尚、上記の許可利用者情報は、例えば図５に示す如く、許可利用者の総人数ｎ並びにその許可利用者ごとのＩＤ１，・・・，ＩＤｎ及びパスワードのハッシュ値を含む。

車両１２は、保守用機器１４とインターフェースを介して通信接続される保守用機器接続ＥＣＵ２０を有している。保守用機器接続ＥＣＵ２０は、車載ＬＡＮ２２に接続されており、車載ＬＡＮ２２の通信プロトコルに従った通信を、その車載ＬＡＮ２２に接続する車載機器との間で実行することが可能である。保守用機器接続ＥＣＵ２０は、後に詳述する如く、インターフェースを介して通信接続した保守用機器１４の所定機能の実行を許可・拒否する権限（すなわち、その保守用機器１４の認証を行う機能）を有していると共に、保守用機器１４の認証が完了した場合はその保守用機器１４の所定機能の実行に必要な車両データなどを車載ＬＡＮ２２を介して収集してその保守用機器１４に対して転送することが可能である。

また、保守用機器接続ＥＣＵ２０は、時計を内蔵している。この時計は、例えば標準電波を送信する送信局からの電波を受信して現在時刻を示す時刻データを取得することが可能であり、現在時刻を刻むことができる。保守用機器接続ＥＣＵ２０は、時計の刻む現在時刻に基づいて現在時刻を取得することが可能である。また、保守用機器接続ＥＣＵ２０は、利用者に入力可能な操作手段を有している。この操作手段は、車両１２の車室内などに設けられている。保守用機器接続ＥＣＵ２０は、操作手段への入力に従って入力情報を特定することができる。

車載ＬＡＮ２２には、カーナビゲーションシステム２４が接続されている。カーナビゲーションシステム２４は、地球を周回する複数のＧＰＳ衛星から電波として送られるＧＰＳ信号を受信して、それらの受信した各ＧＰＳ信号を用いた高度な計算結果に基づいて、車両１２の地球上における地理的な位置（自車位置）を少なくとも緯度及び経度の情報として検出することが可能である。カーナビゲーションシステム２４は、例えば、検出した自車位置を示すマークを、運転者などに視認可能な表示ディスプレイ上で道路地図に重ねて表示することが可能である。また、カーナビゲーションシステム２４は、所定周期で自車位置の検出を行い、その検出ごとに自車位置情報を車載ＬＡＮ２２に送出する。保守用機器接続ＥＣＵ２０は、カーナビゲーションシステム２４から車載ＬＡＮ２２へ送出される自車位置情報を受信してその自車位置情報を取得しメモリに一時記憶することが可能である。

次に、図６及び図７を参照して、本実施例の認証システム１０の認証動作について説明する。図６は、本実施例の認証システム１０において車両１２の保守用機器接続ＥＣＵ２０が実行するメインルーチンの一例のフローチャートを示す。また、図７は、本実施例の認証システム１０において車両１２の保守用機器接続ＥＣＵ２０が実行するサブルーチンの一例のフローチャートを示す。

本実施例において、保守用機器１４は、車両１２と通信接続される前すなわち所定機能を実行する前は、サーバ接続ＰＣ１６に接続されて、ネットワークを介してアクセル権管理サーバ１８にアクセス可能である（図２参照）。尚、この保守用機器１４のサーバ接続ＰＣ１６を通じたネットワークへの接続は、正規の車両整備会社などにおいて入室を制限された部屋の中で行われることが好ましい。また、保守用機器１４をサーバ接続ＰＣ１６に接続させ又はネットワークを介してアクセス権管理サーバ１８にアクセスさせるうえで、利用者にＩＤ及びパスワードの入力を要求することとしてもよく、更に、この場合に入力すべきＩＤ及びパスワードを、後述の如く車両１２が保守用機器１４での所定機能の実行を許可するうえで利用者が入力すべきＩＤ及びパスワードと共通化することとしてもよい。また、セキュリティ強度を高めるために、入力すべきＩＤ及びパスワードを、車両１２が保守用機器１４での所定機能の実行を許可するうえで利用者が入力すべきＩＤ及びパスワードとは別のものとしてもよい。

保守用機器１４は、車両１２と通信接続されて所定機能を実行するうえで、その直前に、まず、サーバ接続ＰＣ１６に接続された状態で、アクセス権管理サーバ１８にアクセスしてアクセス権定義ファイルの更新を要求する。尚、この保守用機器１４による更新要求は、その保守用機器１４のＩＤを特定して行われる。アクセス権管理サーバ１８は、サーバ接続ＰＣ１６を介して通信接続された保守用機器１４からアクセス権定義ファイルの更新要求を受けた場合、メモリに格納されたその保守用機器１４に対応する情報に基づいて、図３に示す如き情報を含むアクセス権定義ファイルを生成して発行する。この生成・発行されるアクセス権定義ファイルには、その生成・発行時点を基準として保守用機器１４での所定機能の実行が許可される有効期限や有効地域などの情報が含まれる。

保守用機器１４は、上記の如くアクセス権管理サーバ１８に対してアクセス権定義ファイルの更新要求を行った後、そのアクセス権管理サーバ１８の発行するアクセス権定義ファイルを取得してメモリに記憶する。つまり、メモリに記憶するアクセス権定義ファイルを最新のものに更新する。そして、保守用機器１４がアクセス権定義ファイルをメモリに記憶した後、利用者（保守員）は、その保守用機器１４とサーバ接続ＰＣ１６との接続を解除する。保守用機器１４は、アクセス権管理サーバ１８の発行するアクセス権定義ファイルを取得してメモリに記憶し、サーバ接続ＰＣ１６との接続が解除された後、次に、利用者により保守対象の車両１２の近傍或いはその車室内に持っていかれ、その車両１２の保守用機器接続ＥＣＵ２０にインターフェースを介して通信接続される（図１参照）。

車両１２の保守用機器接続ＥＣＵ２０は、保守用機器１４との通信接続を検知することが可能であって、その通信接続を検知した場合には、その通信接続する保守用機器１４のアクセス権判定を行う。

すなわち、保守用機器接続ＥＣＵ２０は、通信接続する保守用機器１４からその保守用機器１４がメモリに格納するアクセス権定義ファイルを取得する（ステップ１００）。そして、その取得したアクセス権定義ファイルのフォーム（形式）、並びに、そのアクセス権定義ファイルに含まれる、保守用機器１４での所定機能の実行が許可される有効期限及びそのアクセス権定義ファイルを発行した発行者の署名、をそれぞれ検証する（ステップ１１０）。その検証の結果、取得したアクセス権定義ファイルのフォーム、有効期限、及び発行者署名の何れもが、アクセス許可される所望のものと合致すると判別した場合（ステップ１２０の肯定判定時）は、次に、その取得したアクセス権定義ファイルに含まれる保守用機器１４での所定機能の実行が許可される有効地域を検証する（ステップ１３０）。

具体的には、保守用機器接続ＥＣＵ２０は、ステップ１３０における有効地域の検証のため、まず、その取得したアクセス権定義ファイルに含まれる保守用機器１４での所定機能の実行が許可される有効地域の情報から、その有効地域の北限、南限、東端、及び西端の情報を取得する（ステップ１３２）と共に、カーナビゲーションシステム２４がＧＰＳ信号に基づいて検出しそのカーナビゲーションシステム２４から車載ＬＡＮ２２へ送出された自車位置情報を受信して自車両１２が位置する現在位置の緯度及び経度の情報を取得する（ステップ１３４）。尚、カーナビゲーションシステム２４は、所定周期でＧＰＳ信号に基づいて自車位置を検出してその自車位置情報を車載ＬＡＮ２２へ送出すると共に、保守用機器接続ＥＣＵ２０は、自車両１２の現在位置の情報として常に最新の情報をカーナビゲーションシステム２４から車載ＬＡＮ２２を通じて取得してメモリに一時記憶する。

保守用機器接続ＥＣＵ２０は、上記ステップ１３４で情報取得した自車両１２の現在位置を示す緯度及び経度が、上記ステップ１３２で情報取得した有効地域の北限及び南限の緯度並びに東端及び西端の経度に囲まれる領域範囲内にあるか否かを判別する（ステップ１３６）。自車両１２の現在位置が有効地域の領域範囲内にない場合は、自車両１２が保守用機器１４の所定機能の実行が許可される有効地域内に存在しないので、保守用機器１４にその所定機能を実行させることは妥当でない。一方、自車両１２の現在位置が有効地域の領域範囲内にある場合は、自車両１２が保守用機器１４の所定機能の実行が許可される有効地域内に存在するので、保守用機器１４にその所定機能を実行させることとしても許される。

保守用機器接続ＥＣＵ２０は、上記の如き有効地域の検証の結果、自車両１２の現在位置が有効地域の領域範囲内にあると判別した場合（ステップ１４０の肯定判定時）は、次に、通信接続する保守用機器１４を使用しようとする利用者の認証を行う（ステップ１５０）。具体的には、その保守用機器１４を使用しようとする利用者にＩＤ及びパスワードの入力を要求すると共に、その要求に従って入力されたＩＤ及びパスワードが、取得したアクセス権定義ファイルに含まれる保守用機器１４の使用が許可される許可利用者のＩＤ及びパスワードに一致するか否かの判別を行う。

その利用者認証の結果、入力ＩＤ及び入力パスワードが所望のものに合致すると判別した場合（ステップ１６０の肯定判定時）は、次に、通信接続する保守用機器１４の所定機能の実行を許可する処理を行う（ステップ１７０）。具体的には、その通信接続する保守用機器１４に対してアクセス権定義ファイルに含まれる実行許可がされている許可機能の実行を許可する指令をインターフェースを介して行う。この場合、保守用機器接続ＥＣＵ２０と通信接続する保守用機器１４は、その保守用機器接続ＥＣＵ２０からの実行許可指令に従って、その許可された所定機能を実行する。例えば、車両１２の故障診断機能を実施し或いは車両１２内のＥＣＵのデータやソフトウェアの更新などを実行する。

尚、保守用機器接続ＥＣＵ２０は、保守用機器１４から取得したアクセス権定義ファイルのフォーム、有効期限、及び発行者署名の何れか一つが所望のものと合致しないと判別した場合（ステップ１２０の否定判定時）、自車両１２の現在位置が有効地域の領域範囲外にあると判別した場合（ステップ１４０の否定判定時）、及び、保守用機器１４を使用しようとする利用者が許可利用者に該当しないと判別した場合（ステップ１６０の否定判定時）は、次に、通信接続する保守用機器１４の所定機能の実行を拒否する処理を行う（ステップ１８０）。具体的には、その通信接続する保守用機器１４に対して機能の実行を拒否する旨をインターフェースを介して伝える、或いは、機能の実行を許可する指令を発しない。この場合、保守用機器接続ＥＣＵ２０と通信接続する保守用機器１４は、所定機能を実行しない。

このように、本実施例の認証システム１０においては、車両１２の保守用機器接続ＥＣＵ２０が、通信接続された保守用機器１４を認証するうえで、アクセス権管理サーバ１８が発行しその保守用機器１４から送られるアクセス権定義ファイルに含まれるその保守用機器１４での所定機能の実行が許可される有効期限や発行者署名などの検証を行うだけでなく、そのアクセス権定義ファイルに含まれるその保守用機器１４での所定機能の実行が許可される有効地域の領域範囲内に自車両１２が存在するか否かの検証、及び、利用者の入力ＩＤ及び入力パスワードがそのアクセス権定義ファイルに含まれる許可利用者のＩＤ及びパスワードに一致するか否かの利用者認証を行う。

そして、現時点が有効期限内にありかつ発行者の署名が確認されたうえで、自車両１２が有効地域内に存在しかつその保守用機器１４の利用者のＩＤ及びパスワードが所望のものに合致する場合に、通信接続された保守用機器１４の認証がとれたと判定し、その保守用機器１４での所定機能の実行を許可する。一方、現時点が有効期限を過ぎており、発行者の署名の確認がとれず、自車両１２が有効地域内に存在せず、又は保守用機器１４の利用者のＩＤ及びパスワードが所望のものに合致しない場合には、通信接続された保守用機器１４の認証がとれないと判定し、その保守用機器１４での所定機能の実行を拒否する。

すなわち、本実施例においては、車両１２が保守用機器１４の作動が許可される有効地域内に存在する場合に、その車両１２が通信接続する保守用機器１４を認証してその保守用機器１４の機能実行を許可することができる。逆に、保守用機器１４の認証がとれてその保守用機器１４の実行が許可されるのは、アクセス権管理サーバ１８により発行されるアクセス権定義ファイルに含まれる有効地域の領域範囲内に車両１２が存在する場合に限定される。

車両１２による保守用機器１４の認証に用いられる自車位置は、ＧＰＳ衛星から送られるＧＰＳ信号に基づいて車両１２のカーナビゲーションシステム２４が検出したものである。ＧＰＳ衛星からのＧＰＳ信号（電波）は、改ざんが非常に難しいものであるので、そのＧＰＳ信号に基づいて検出される自車位置は、信頼性の高い情報であって、車両１２の保守用機器接続ＥＣＵ２０内で取得される自車位置の情報を書き換えることは難しい。このため、本実施例の構成によれば、有効地域外で車両１２に通信接続する保守用機器１４を認証させることは極めて困難であり、その結果として、車両１２を盗難した第三者が有効地域外で無断で保守用機器１４の所定機能を実行させて車両１２から各種データを吸い上げることなどを防止することができる。

また、本実施例の認証システム１０においては、カーナビゲーションシステム２４が、所定周期でＧＰＳ信号に基づいて自車位置を検出してその自車位置情報を車載ＬＡＮ２２へ送出すると共に、保守用機器接続ＥＣＵ２０が、自車両１２の現在位置の情報として最新の情報をカーナビゲーションシステム２４から車載ＬＡＮ２２を通じて取得してメモリに一時記憶し、そして、その更新された最新の現在位置が有効地域の領域範囲内にあるかを判別する。かかる構成によれば、当初は車両１２が有効地域内にあっても、その後、車両１２が走行して有効地域外へ出た際に、通信接続する保守用機器１４の認証がとれなくなったとして、車両１２がその保守用機器１４の機能実行を拒否することができる。

従って、本実施例の認証システム１０によれば、車両１２と保守用機器１４との認証におけるセキュリティ性を向上させることができる。

尚、保守用機器接続ＥＣＵ２０は、カーナビゲーションシステム２４から車載ＬＡＮ２２を通じて所定周期で送られる自車位置情報を取得するが、その自車位置情報の取得ができなかった場合にも、メモリに一時記憶されている最後に取得した自車位置情報を用いて有効地域の検証を行う。このため、かかる構成によれば、ＧＰＳ衛星からのＧＰＳ信号が届かない場所（例えば、トンネル内や地下など）に車両１２が位置するときに、自車位置情報を用いた有効地域の検証が行われなくなるのを防止することができるので、車両１２と保守用機器１４との認証を適切に行うことができる。

また、本実施例の認証システム１０においては、車両１２が通信接続する保守用機器１４での所定機能の実行が許可される有効地域の領域範囲内に存在するか否かの検証が行われた結果として、車両１２がその有効地域内に存在すると判別された後、利用者の入力ＩＤ及び入力パスワードがその保守用機器１４から取得したアクセス権定義ファイルに含まれる許可利用者のＩＤ及びパスワードに一致するか否かの利用者認証が行われる。すなわち、有効期限や有効地域及び発行者署名などに基づく保守用機器１４自体の機器認証に加えて、入力ＩＤや入力パスワードに基づく保守用機器１４を使用しようとする利用者の利用者認証が行われる。

かかる構成によれば、車両１２での通信接続する保守用機器１４の認証として、その保守用機器１４がアクセス権管理サーバ１８から取得したアクセス権定義ファイルに含まれる有効期限や有効地域及び発行者署名などの情報に基づく保守用機器１４自体の機器認証だけでなく、その保守用機器１４を使用しようとする利用者のＩＤ及びパスワードに基づく利用者の利用者認証が含まれることとなり、保守用機器１４の認証が互いに異なる２つの認証形態からなる。このため、保守用機器１４が仮に盗難された場合にも、その保守用機器１４の使用が許可されるのを抑制することができ、保守用機器１４の盗難による悪用を抑止することができるので、セキュリティ性を向上させることができる。また逆に、このようにセキュリティ性を向上させることができれば、車両１２と保守用機器１４との間で公開鍵暗号系を用いて認証をとる必要性はあまり無い。

従って、本実施例の認証システム１０によれば、車両１２に保守用機器１４を認証させるうえで、公開鍵暗号系のものと異なり、計算処理を増大させることなく又は高コスト化を招くことなく高いセキュリティ性を確保することが可能となっている。

また、本実施例においては、車両１２が通信接続する保守用機器１４の認証を行ううえで、保守用機器１４がアクセス権管理サーバ１８から発行されたアクセス権定義ファイルを取得して有効期限、有効地域、及び利用者の情報を取得するタイミングは、その認証直前であることが好ましい。これは、かかる構成によれば、アクセス権定義ファイルに含める有効期限、有効地域、及び利用者の各情報を必要最小限に抑えることができるので、保守用機器１４の認証がとれて保守用機器１４の機能実行が許可される時刻や地域，利用者を限定することができ、その結果として、万一の盗難に対する悪用のリスクを最小限に抑制することが可能となる、からである。

尚、上記の実施例においては、保守用機器１４が特許請求の範囲に記載した「電子機器」に、有効地域内の各位置が特許請求の範囲に記載した「有効位置」に、保守用機器１４のメモリが特許請求の範囲に記載した「記憶手段」に、保守用機器１４が車両１２の保守用機器接続ＥＣＵ２０と通信接続した際にその保守用機器接続ＥＣＵ２０へメモリに格納したアクセス権管理サーバ１８からのアクセス権定義ファイルを送信することが特許請求の範囲に記載した「認証情報送信手段」及び「認証情報送信ステップ」に、アクセス権定義ファイルが特許請求の範囲に記載した「認証情報」に、保守用機器接続ＥＣＵ２０が保守用機器１４からのアクセス権定義ファイルを受信することが特許請求の範囲に記載した「認証情報受信手段」及び「認証情報受信ステップ」に、カーナビゲーションシステム２４がＧＰＳ衛星からのＧＰＳ信号に基づいて自車両１２の現在位置を検出することが特許請求の範囲に記載した「自車位置検出手段」及び「自車位置検出ステップ」に、保守用機器接続ＥＣＵ２０がステップ１３０，１４０の処理を実行することが特許請求の範囲に記載した「位置認証手段」及び「位置認証ステップ」に、保守用機器接続ＥＣＵ２０がステップ１５０，１６０の処理を実行することが特許請求の範囲に記載した「ユーザ認証手段」及び「ユーザ認証ステップ」に、また、保守用機器接続ＥＣＵ２０がステップ１７０の処理を実行することが特許請求の範囲に記載した「機器作動許可手段」及び「機器作動許可ステップ」に、それぞれ相当している。

ところで、上記の実施例においては、車両１２の保守用機器接続ＥＣＵ２０が、通信接続された保守用機器１４の認証を行った際、その接続ログ情報として、その認証に用いた、その保守用機器１４から送られたアクセス権定義ファイルの発行ＩＤ、そのアクセス権定義ファイルに含まれる有効地域と比較された自車位置及び時刻、並びに利用者ＩＤなどの各情報を纏めて不揮発性のメモリに保存しておくこととしてもよい。かかる変形例によれば、保守用機器１４が有効地域内で不正に使用されて車両１２と通信接続された場合にも、その不正使用が行われたことを記録として残すことができるので、保守用機器１４の不正使用自体を抑止することができると共に、また、その不正使用が行われたときはその不正使用が行われた日時や位置，利用者の記録を残すことができる。

また、上記の実施例においては、保守用機器１４での所定機能の実行が許可される有効地域の情報として、その有効地域の北限の緯度、南限の緯度、東端の経度、及び西端の経度の情報を用いているが、かかる有効地域は正方形や長方形の四角形状に囲まれた領域に限定されるものではなく、かかる有効地域として、円形状に囲まれた領域（すなわちある中心を定めてその中心から所定距離内にある領域）や楕円形状に囲まれた領域などを設定することとしてもよく、また、三角形や五角形の形状としたものを用いることとしてもよい。

また、上記の実施例においては、保守用機器１４での所定機能の実行が許可される場所を、ある領域範囲を有する上記した有効地域としているが、ピンポイントの特定位置（有効位置）としてもよい。

更に、上記の実施例においては、車両１２に搭載され保守用機器１４と通信接続する保守用機器接続ＥＣＵ２０に、利用者が入力可能な操作手段を設け、車両１２に通信接続する保守用機器１４を使用する利用者を認証させることとしているが、保守用機器接続ＥＣＵ２０と車載ＬＡＮ２２を介して接続するカーナビゲーションシステム２４に、利用者が入力可能な操作手段（Human Machine Interface）を設け、車両１２に通信接続する保守用機器１４を使用する利用者を認証させることとしてもよい。かかる変形例においては、保守用機器接続ＥＣＵ２０が、通信接続する保守用機器１４からアクセス権定義ファイルを取得した場合に、そのアクセス権定義ファイルに含まれる許可利用者情報を車載ＬＡＮ２２を介してカーナビゲーションシステム２４に送り、そのカーナビゲーションシステム２４が、操作手段に入力されるＩＤ及びパスワードがその許可利用者情報としてのＩＤ及びパスワードに一致するか否かの利用者認証を行い、その利用者認証結果を車載ＬＡＮ２２を介して保守用機器接続ＥＣＵ２０に送る。そして、保守用機器接続ＥＣＵ２０がカーナビゲーションシステム２４からの利用者認証結果に基づいて保守用機器１４の所定機能の実行可否を判断する。

１０認証システム
１２車両
１４保守用機器
２０保守用機器接続ＥＣＵ
２４カーナビゲーションシステム

Claims

走行可能な車両と、前記車両と通信接続して所定機能を実行する電子機器と、を備え、前記車両と通信接続した前記電子機器が前記所定機能を実行する前に、該車両に該電子機器を認証させる認証システムであって、
前記電子機器は、前記所定機能の実行が許可される有効位置の情報及び利用者の認証に関する許可利用者情報を少なくとも記憶する記憶手段と、前記車両と通信接続した際に該車両へ前記記憶手段に記憶される前記有効位置の情報及び前記許可利用者情報を含む認証情報を送信する認証情報送信手段と、を有し、
前記車両は、通信接続した前記電子機器から送信される前記認証情報を受信する認証情報受信手段と、自車位置を検出する自車位置検出手段と、利用者により入力される利用者の情報を取得する入力取得手段と、前記自車位置検出手段により検出される前記自車位置が前記認証情報受信手段により受信される前記認証情報に情報として含まれる前記有効位置に合致するか否かを判別する位置認証手段と、前記入力取得手段により取得される前記利用者の情報が前記認証情報受信手段により受信される前記認証情報に含まれる前記許可利用者情報に合致するか否かを判別するユーザ認証手段と、前記位置認証手段により前記自車位置が前記有効位置に合致すると判別されかつ前記ユーザ認証手段により前記利用者の情報が前記許可利用者情報に合致すると判別される場合に、前記電子機器での前記所定機能の実行を許可する機器作動許可手段と、を有することを特徴とする認証システム。
前記ユーザ認証手段は、前記位置認証手段により前記自車位置が前記有効位置に合致すると判別された後に、前記入力取得手段により取得される前記利用者の情報が前記認証情報受信手段により受信される前記認証情報に含まれる前記許可利用者情報に合致するか否かを判別することを特徴とする請求項１記載の認証システム。
前記自車位置検出手段は、ＧＰＳ衛星から送られるＧＰＳ信号に基づいて前記自車位置を検出することを特徴とする請求項１又は２記載の認証システム。
前記電子機器は、前記所定機能として、前記車両の故障診断又は前記車両に搭載される電子制御ユニットのデータ若しくはソフトウェアの更新を実行する保守用機器であることを特徴とする請求項１乃至３の何れか一項記載の認証システム。
走行可能な車両と通信接続した電子機器が所定機能を実行する前に、該車両に該電子機器を認証させる認証方法であって、
前記電子機器が、前記車両と通信接続した際に該車両へ前記所定機能の実行が許可される有効位置の情報及び利用者の認証に関する許可利用者情報を含む認証情報を送信する認証情報送信ステップと、
前記車両が、通信接続した前記電子機器から送信される前記認証情報を受信する認証情報受信ステップと、
前記車両が自車位置を検出する自車位置検出ステップと、
前記車両が利用者により入力される利用者の情報を取得する入力取得ステップと、
前記車両が、前記自車位置検出ステップにおいて検出される前記自車位置が前記認証情報受信ステップにおいて受信される前記認証情報に情報として含まれる前記有効位置に合致するか否かを判別する位置認証ステップと、
前記車両が、前記入力取得ステップにおいて取得される前記利用者の情報が前記認証情報受信ステップにおいて受信される前記認証情報に含まれる前記許可利用者情報に合致するか否かを判別するユーザ認証ステップと、
前記車両が、前記位置認証ステップにおいて前記自車位置が前記有効位置に合致すると判別されかつ前記ユーザ認証ステップにおいて前記利用者の情報が前記許可利用者情報に合致すると判別される場合に、前記電子機器での前記所定機能の実行を許可する機器作動許可ステップと、
を備えることを特徴とする認証方法。