JP2016119543A - 無線通信装置、サーバ、移動局、及びそれらに関する方法 - Google Patents

Abstract

【課題】無線通信装置の不正使用の対策。【解決手段】サービスデータを含む無線パケット１０を無線送信する無線通信装置３Ａ，３Ｂ，４Ａ，４Ｂであって、サーバ２からの活性指示１０２の受信前においては、無線送信用の第１セキュリティ処理１０３ａが施されたサービスデータを含む無線パケット１０の送信処理には制限がある。無線通信装置３Ａ，３Ｂ，４Ａ，４Ｂは、活性指示１０２を受信したことに基づいて、制限を解除する。【選択図】図１

Description

本発明は、車載器などの移動局に対してデータを送信する路側機などの無線通信装置等に関するものである。

近年、路車間通信、車車間通信による高度道路交通システム（ＩＴＳ）が検討されている。路車間通信とは、路側機（基地局）と車載器（移動局）との間の無線通信であり、車車間通信とは、車載器（移動局）間の無線通信である。
特許文献１は、路車間通信のためのセキュリティ処理及び車車間通信のためのセキュリティ処理を開示している。

特許第５３５０５６１号公報

路側機又は車載器が盗難されるなどして、悪意のある第三者に不正使用された場合、偽の路車間通信データ又は車車間通信データなどの偽データが送信されるおそれがある。偽データが送信されると、他の車載器は、なりすまし通信による被害、ジャミング（ｊａｍｍｉｎｇ）による被害、ＤｏＳ攻撃による被害などを受けるおそれがある。
したがって、不正使用への対策が望まれる。

ある観点からみた本発明は、サービスデータを含む無線パケットを無線送信する無線通信装置であって、サーバからの活性指示の受信前においては、無線送信用の第１セキュリティ処理が施されたサービスデータを含む無線パケットの送信処理には制限があり、前記活性指示を受信したことに基づいて、前記制限が解除されるよう構成されている無線通信装置である。他の観点からみた本発明には様々なバリエーションがあり、後述の実施形態によって開示される。

本発明によれば、不正使用への対策が得られる。

通信システムの構成図である。 センターサーバ、路側機、車載器、及び第２サーバそれぞれの構成図である。 無線通信用セキュリティ情報の説明図である。 路車間通信データのデータ構造図である。 路側機（車載器）の状態遷移図である。 オンライン路側機が運用モードになる手順を示すフローチャートである。 図６の処理におけるデータフローを示す図である。 オンライン路側機が運用モードになる手順を示すフローチャートである。 図８の処理におけるデータフローを示す図である。 図８の処理におけるデータフローを示す図である。 図８の処理におけるデータフローを示す図である。 スタンドアローン路側機が運用モードになる手順を示す図である。 図１２の手順を示すフローチャートである。 図１３の処理におけるデータフローを示す図である。 スタンドアローン路側機が運用モードになる手順を示す図である。 図１５の手順におけるデータフローを示す図である。 スタンドアローン路側機が運用モードになる手順を示す図である。 図１７の手順を示すフローチャートである。 図１８の処理におけるデータフローを示す図である。 スタンドアローン路側機が運用モードになる手順を示す図である。 車載器が運用モードになる手順を示す図である。

以下、本発明の好ましい実施形態について図面を参照しながら説明する。

［１．実施形態の概要］
（１）実施形態に係る無線通信装置は、サービスデータを含む無線パケットを無線送信する無線通信装置であって、サーバからの活性指示の受信前においては、無線送信用の第１セキュリティ処理が施されたサービスデータを含む無線パケットの送信処理には制限があり、活性指示を受信したことに基づいて、制限が解除されるよう構成されている。この無線通信装置によれば、サーバからの活性指示の受信前においては、無線送信用の第１セキュリティ処理が施されたサービスデータを含む無線パケットの送信処理には制限があるため、無線通信装置が盗難されても、サーバからの活性指示がなければ、制限を解除できず、偽データの送信を抑制できる。

（２）無線通信装置は、無線送信用の第１セキュリティ処理が施されたサービスデータを含む無線パケットの送信処理には制限がある状態において、活性指示の要求をサーバへ送信するよう構成されているのが好ましい。この無線通信装置によれば、活性指示の送信をサーバへ要求することができる。

（３）前記要求は、前記サーバによってセキュリティ検証される第２セキュリティ処理が前記無線通信装置によって施されているのが好ましい。この場合、無線通信装置とサーバ間の通信がセキュアになる。サーバは、要求に施された第２セキュリティ処理を検証することができる。

（４）前記要求は、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信されるとともに、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信されるのが好ましい。前記要求は、前記第１セキュリティ処理が施されていないのが好ましい。無線送信用の第１セキュリティ処理が施されたサービスデータを含む無線パケットの送信処理には制限があっても、前記要求には、第１セキュリティ処理が施されていないので、要求を含む無線パケットの送信が可能となる。

（５）前記サーバと前記無線通信装置とは有線接続されているのが好ましい。前記要求は、前記サーバへ有線送信される。この場合、要求をサーバへ有線送信できる。

（６）前記第１セキュリティ処理に用いられるセキュリティ情報と、前記第２セキュリティ処理に用いられるセキュリティ情報とは、異なるのが好ましい。第２セキュリティ処理に用いられるセキュリティ情報は、第１セキュリティ処理に用いられるセキュリティ情報とは異なるため、第２セキュリティ処理の際に第１セキュリティ処理で用いられる情報の使用を回避できる。

（７）前記第１セキュリティ処理に用いられるセキュリティ情報と、前記第２セキュリティ処理に用いられるセキュリティ情報とは、共通であるのが好ましい。セキュリティ情報が共通であることで、セキュリティ情報の情報量の増加を防止できる。

（８）前記要求は、セキュリティ処理が施されていないのが好ましい。要求にセキュリティ処理が施されていないことで、無線通信装置の処理負荷が軽減される。

（９）前記要求は、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信されるとともに、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信されるのが好ましい。前記要求は、前記第１セキュリティ処理が施されていないのが好ましい。無線送信用の第１セキュリティ処理が施されたサービスデータを含む無線パケットの送信処理には制限があっても、前記要求には、第１セキュリティ処理が施されていないので、要求を含む無線パケットの送信が可能となる。

（１０）前記要求は、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信されるとともに、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信されるのが好ましい。前記要求は、前記第１セキュリティ処理が前記無線通信装置によって施されているのが好ましい。無線送信用の第１セキュリティ処理が施されたサービスデータを含む無線パケットの送信処理には制限があっても、例外的に、要求に第１セキュリティ処理を施して無線パケットとして送信可能とすることで、要求の無線送信が可能となる。

（１１）前記活性指示を受信すると、前記活性指示の適否の検証を行って、適切であれば前記制限を解除するよう構成されているのが好ましい。活性指示の適否の検証を行うことで、不適切な活性指示によって制限を解除してしまうことを防止できる。

（１２）実施形態に係る無線通信装置は、サーバへ活性指示の要求を送信するよう構成されているとともに、サービスデータを含む無線パケットを無線送信するよう構成されている。前記サービスデータを含む無線パケットは、前記要求に対する応答として前記サーバから送信された活性指示に基づいて前記無線通信装置が活性状態になると、前記サービスデータに無線送信用の第１セキュリティ処理が施された状態で送信可能となる。前記要求は、前記サーバによってセキュリティ検証される第２セキュリティ処理が前記無線通信装置によって施されている。要求に第２セキュリティ処理が施されているため、サーバへの要求の送信をセキュアにできる。

（１３）前記第１セキュリティ処理に用いられるセキュリティ情報と、前記第２セキュリティ処理に用いられるセキュリティ情報とは、異なるのが好ましい。第２セキュリティ処理に用いられるセキュリティ情報は、第１セキュリティ処理に用いられるセキュリティ情報とは異なるため、第２セキュリティ処理の際に第１セキュリティ処理で用いられる情報の使用を回避できる。

（１４）前記第１セキュリティ処理に用いられるセキュリティ情報と、前記第２セキュリティ処理に用いられるセキュリティ情報とは、共通であるのが好ましい。セキュリティ情報が共通であることで、セキュリティ情報の情報量の増加を防止できる。

（１５）実施形態に係る無線通信装置は、サーバへ活性指示の要求を送信するよう構成されているとともに、サービスデータを含む無線パケットを無線送信するよう構成されている。前記サービスデータを含む無線パケットは、前記要求に対する応答として前記サーバから送信された活性指示に基づいて前記無線通信装置が活性状態になると、前記サービスデータに無線送信用の第１セキュリティ処理が施された状態で送信可能となる。前記要求は、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信され、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信される。前記要求は、前記無線通信装置によって前記第１セキュリティ処理が施されている。要求に第１セキュリティ処理が施されているため、無線通信装置と他の無線通信装置との間の無線通信をセキュアにできる。

（１６）実施形態に係る無線通信装置は、サーバへ活性指示の要求を送信するよう構成されているとともに、サービスデータを含む無線パケットを無線送信するよう構成されている。前記サービスデータを含む無線パケットは、前記要求に対する応答として前記サーバから送信された活性指示に基づいて前記無線通信装置が活性状態になると、前記サービスデータに無線送信用の第１セキュリティ処理が施された状態で送信可能となる。前記サーバと前記無線通信装置は有線接続されている。前記要求は、前記サーバへ有線送信される。要求はサーバへ有線送信されるため、要求を無線送信する場合に比べてセキュアである。

（１７）実施形態に係る無線通信装置は、サーバへ活性指示の要求を送信するよう構成されているとともに、サービスデータを含む無線パケットを無線送信するよう構成されている。前記サービスデータを含む無線パケットは、前記要求に対する応答として前記サーバから送信された活性指示に基づいて前記無線通信装置が活性状態になると、前記サービスデータに無線送信用の第１セキュリティ処理が施された状態で送信可能となる。前記要求は、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信され、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信される。前記要求は、セキュリティ処理が施されていない。要求にセキュリティ処理が施されていないため、処理負荷を軽減できる。

（１８）実施形態に係る無線通信装置は、サービスデータを含む無線パケットを無線送信する無線通信装置であって、サーバ宛データを、サーバへ送信するよう構成されている。前記サーバ宛データは、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信されるとともに、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信される。前記サーバ宛データは、前記サービスデータに施される無線送信用の第１セキュリティ処理は施されておらず、前記サーバによってセキュリティ検証される第２セキュリティ処理が前記無線通信装置によって施されている。サーバ宛データに対して第１セキュリティ処理を施さなくても、第２セキュリティ処理が施されているため、サーバと無線通信装置との間の通信をセキュアにできる。

（１９）前記第１セキュリティ処理に用いられるセキュリティ情報と、前記第２セキュリティ処理に用いられるセキュリティ情報とは、異なるのが好ましい。第２セキュリティ処理に用いられるセキュリティ情報は、第１セキュリティ処理に用いられるセキュリティ情報とは異なるため、第２セキュリティ処理の際に第１セキュリティ処理で用いられる情報の使用を回避できる。

（２０）前記第１セキュリティ処理に用いられるセキュリティ情報と、前記第２セキュリティ処理に用いられるセキュリティ情報とは、共通であるのが好ましい。セキュリティ情報が共通であることで、セキュリティ情報の情報量の増加を防止できる。

（２１）実施形態に係る無線通信装置は、サービスデータを含む無線パケットを無線送信する無線通信装置であって、サーバ宛データを、サーバへ送信するよう構成されている。前記サーバ宛データは、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信されるとともに、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信される。前記サービスデータを含む無線パケットを生成する手順と、前記サーバ宛データを含む無線パケットを生成する手順と、は異なる。サービスデータを生成する手順とサーバ宛データを生成する手順とを異ならせることで、両データの異なった取扱いが可能となる。

（２２）実施形態に係る無線通信装置は、サーバ宛データを、サーバへ送信するよう構成されているとともに、前記サーバ以外の宛先のデータには無線送信用の第１セキュリティ処理を行い、サーバ宛データには前記第１セキュリティ処理とは異なるサーバ宛データ用の第２セキュリティ処理を行うよう構成されている。サーバ宛データには前記第１セキュリティ処理とは異なるサーバ宛データ用の第２セキュリティ処理を行うことで、第１セキュリティ処理が禁止されている場合であっても、サーバ宛データについては第２セキュリティ処理によってセキュアにできる。

（２３）前記第１セキュリティ処理に用いられるセキュリティ情報と、前記第２セキュリティ処理に用いられるセキュリティ情報とは、異なるのが好ましい。第２セキュリティ処理に用いられるセキュリティ情報は、第１セキュリティ処理に用いられるセキュリティ情報とは異なるため、第２セキュリティ処理の際に第１セキュリティ処理で用いられる情報の使用を回避できる。

（２４）前記第１セキュリティ処理に用いられるセキュリティ情報と、前記第２セキュリティ処理に用いられるセキュリティ情報とは、共通であるのが好ましい。この場合、セキュリティ情報の情報量の増加を抑えることができる。

（２５）実施形態に係る無線通信装置は、データを無線送信する無線通信装置であって、非活性状態及び活性状態の各状態での処理を行うよう構成されている。前記非活性状態は、前記無線通信装置の起動後の初期状態であって、前記データの送信に関して制限がある状態である。前記活性状態は、前記制限が解除された状態である。前記活性状態は、前記非活性状態から遷移可能である。この無線通信装置によれば、起動後はデータの送信に関して制限がある非活性状態となるため、起動しても送信が制限され、無線通信装置が盗難された場合における、偽データの送信を抑制することができる。

（２６）前記非活性状態から前記活性状態への遷移は、サーバからの活性指示を受信したことに基づいて生じるのが好ましい。この場合、サーバからの活性指示がなければ、活性状態に遷移することができないため、盗難された無線通信装置を起動しただけでは、活性状態にならず、偽データの送信を抑制することができる。

（２７）前記非活性状態から前記活性状態への遷移は、無線送信されるデータに施されるセキュリティ処理に用いられるセキュリティ情報を、サーバから受信したことに基づいて生じる。この場合、無線送信されるデータに施されるセキュリティ処理に用いられるセキュリティ情報を、サーバから受信しなければ、活性状態に遷移することができないため、盗難された無線通信装置を起動しただけでは、活性状態にならず、偽データの送信を抑制することができる。なお、セキュリティ情報は、サーバから直接受信する必要はなく、送信元がサーバであれば足りる。つまり、無線通知装置は、セキュリティ情報を、他の無線通信装置などを介在して受信してもよい。

（２８）前記制限は、前記データの無線送信の禁止を含むのが好ましい。前記非活性状態では、前記活性指示の要求を前記サーバへ送信することは許容されているのが好ましい。この場合、非活性状態では、データの無線送信が禁止されるが、活性指示の要求はサーバへ送信することができる。

（２９）前記制限は、無線送信用の第１セキュリティ処理の禁止を含むのが好ましい。前記非活性状態では、前記サーバによってセキュリティ検証される第２セキュリティ処理が施されたデータを送信することは許容されているのが好ましい。この場合、非活性状態では、無線送信用の第１セキュリティ処理が禁止されるが、第２セキュリティ処理が施されたデータを送信することは許容される。無線送信用の第１セキュリティ処理の禁止の制限は、無線送信は可能であるが第１セキュリティ処理が行われない場合や、無線送信自体が禁止であることにより、結果として無線送信用の第１セキュリティ処理が禁止されること、のいずれでもあってもよい。

（３０）前記制限は、送信可能なデータ種別の制限を含むのが好ましい。この場合、特定の種別のデータの送信を制限することができる。

（３１）前記制限は、送信が可能な時間の制限を含むのが好ましい。この場合、所定の時間内においてだけデータを送信することができる。

（３２）前記制限は、送信されるデータのセキュリティレベルが低いことを示す情報が前記データに付加されることであるのが好ましい。この場合、データのセキュリティレベルが低いため、受信側に破棄されるおそれが高くなり、データが受信側に届きにくくなるという制限がかかる。

（３３）実施形態に係る無線通信装置は、データを無線送信する無線通信装置であって、前記無線通信装置が起動してからサーバからの活性指示を受信するまでは、所定の条件を満たしている場合において、サーバ宛データの無線送信が可能である。この無線通信装置は、起動してからサーバからの活性指示を受信するまでは、所定の条件を満たしていなければ、サーバ宛データの無線送信を行えないため、サーバ宛データの送信が抑制され、盗難されても偽データの送信を抑制できる。

（３４）前記所定の条件は、データの無線送信が許される所定の時間内であること、を含むのが好ましい。この場合、所定の時間内においてデータ送信が可能である。

（３５）前記所定の条件は、無線送信可能なデータ量で規定される条件を含むのが好ましい。この場合、無線送信可能なデータ量に達するまでデータ送信が可能である。

（３６）実施形態に係るサーバは、前記（２）、（１５）、（１６）、（１７）、（２８）のいずれか１項に記載の無線通信装置から送信された前記要求を受信すると、前記要求の適否の検証を行って、適切であれば、前記無線通信装置へ前記活性指示を送信するよう構成されている。この場合、不適切な要求に応じて活性指示を無線通信装置へ送信することを防止できる。

（３７）実施形態に係る無線通信装置は、サーバからの前記活性指示を受信すると、前記活性指示の適否の検証を行って、適切であれば前記制限を解除するよう構成されている。この場合、適切な活性指示の場合に制限を解除することができる。

（３８）実施形態に係る無線通信装置は、前記（３）又は（４）に記載の無線通信装置から前記要求を含む無線パケットを受信すると、前記要求の適否の検証を行って、適切であれば、前記サーバへ前記要求を送信するよう構成されている。この場合、適切な要求の場合にその要求をサーバに送信することができる。

（３９）実施形態に係るサーバは、前記（３８）に記載の無線通信装置から送信された前記要求を受信すると、前記活性指示を前記無線通信装置へ送信する。この場合、サーバは、要求を受信したことに基づいて、活性指示を無線通信装置へ送信することができる。

（４０）実施形態に係る無線通信装置は、前記（３９）の前記サーバから送信された前記活性指示を受信すると、無線送信用のセキュリティ処理が施された前記活性指示を含む無線パケットを無線送信するよう構成されている。

（４１）実施形態に係る無線通信装置は、前記（４０）の無線通信装置から、前記活性指示を含む無線パケットを受信すると、前記活性指示に施された前記セキュリティ処理の検証を行って、前記セキュリティ処理が適切でなければ前記活性指示を受け入れないよう構成されている。この場合、他の無線通信装置によって施されたセキュリティ処理の検証によって、活性指示の適否を検証することができる。

（４２）前記無線通信装置は、移動局への無線パケット送信が可能な路側機であるのが好ましい。

（４３）前記無線通信装置は、移動局であるのが好ましい。

（４４）実施形態に係る移動局は、高度道路交通システムの運用管理機関の第１サーバによって管理される路側機から送信されたデータを受信するとともに、他の移動局との間で無線通信をするための第１無線部と、前記運用管理機関とは異なる機関によって管理される第２サーバとの通信を行うために用いられる第２無線部と、を備える。移動局は、前記第２サーバからの活性指示の受信前においては、他の移動局への無線送信用の第１セキュリティ処理が施されたサービスデータを含む無線パケットの送信処理には制限があり、前記活性指示を前記第２サーバから受信したことに基づいて、前記制限が解除されるよう構成されている。この場合、第２サーバからの活性指示で制限を解除することができる。

（４５）移動局は、他の移動局への無線送信用の第１セキュリティ処理が施されたサービスデータを含む無線パケットの送信処理には前記制限がある状態において、前記活性指示の要求を前記第２サーバへ送信するよう構成されているのが好ましい。この場合、移動局は、第２サーバへ活性指示を要求することができる。

（４６）前記要求は、前記第２サーバによってセキュリティ検証される第２セキュリティ処理が前記移動局によって施されているのが好ましい。この場合、要求の送信をセキュアにできる。

（４７）前記運用管理機関とは異なる前記機関は、自動車メーカ又は車載器メーカであるのが好ましい。

（４８）実施形態に係る方法は、サービスデータを含む無線パケットを無線送信する無線通信装置は、サーバからの活性指示を受信する前においては、無線送信用の第１セキュリティ処理が施されたサービスデータを含む無線パケットの送信処理には制限がある状態になり、前記無線通信装置は、前記活性指示を受信したことに基づいて、前記制限を解除することを含む。

（４９）実施形態に係る方法は、サーバへ活性指示の要求を送信するよう構成されているとともに、サービスデータを含む無線パケットを無線送信するよう構成された無線通信装置が行う方法である。この方法は、前記無線通信装置は、前記要求に対する応答として前記サーバから送信された活性指示に基づいて活性状態になり、前記無線通信装置は、前記活性状態になると、前記サービスデータを含む無線パケットを、前記サービスデータに無線送信用の第１セキュリティ処理が施された状態で送信する、ことを含む。前記要求は、前記サーバによってセキュリティ検証される第２セキュリティ処理が前記無線通信装置によって施されている。

（５０）実施形態に係る方法は、無線通信装置が行う方法であって、サーバへ活性指示の要求を送信することと、サービスデータを含む無線パケットを無線送信することと、
を含む。前記サービスデータを含む無線パケットは、前記要求に対する応答として前記サーバから送信された活性指示に基づいて前記無線通信装置が活性状態になると、前記サービスデータに無線送信用の第１セキュリティ処理が施された状態で送信される。前記要求は、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信され、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信される。前記要求は、前記無線通信装置によって前記第１セキュリティ処理が施されている。

（５１）実施形態に係る方法は、無線通信装置が行う方法であって、サーバへ活性指示の要求を送信することと、サービスデータを含む無線パケットを無線送信することと、
を含む。前記サービスデータを含む無線パケットは、前記要求に対する応答として前記サーバから送信された活性指示に基づいて前記無線通信装置が活性状態になると、前記サービスデータに無線送信用の第１セキュリティ処理が施された状態で送信される。前記サーバと前記無線通信装置は有線接続されている。前記要求は、前記サーバへ有線送信される。

（５２）実施形態に係る方法は、無線通信装置が行う方法であって、サーバへ活性指示の要求を送信することと、サービスデータを含む無線パケットを無線送信することと、
を含む。前記サービスデータを含む無線パケットは、前記要求に対する応答として前記サーバから送信された活性指示に基づいて前記無線通信装置が活性状態になると、前記サービスデータに無線送信用の第１セキュリティ処理が施された状態で送信される。前記要求は、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信され、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信される。前記要求は、セキュリティ処理が施されていない。

（５３）実施形態に係る方法は、サービスデータを含む無線パケットを無線送信する無線通信装置が行う方法であって、サーバ宛データを、サーバへ送信することを含む。前記サーバ宛データは、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信されるとともに、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信される。前記サーバ宛データは、前記サービスデータに施される無線送信用の第１セキュリティ処理は施されておらず、前記サーバによってセキュリティ検証される第２セキュリティ処理が前記無線通信装置によって施されている。

（５４）実施形態に係る方法は、サービスデータを含む無線パケットを無線送信する無線通信装置が行う方法であって、サービスデータを含む無線パケットを送信することと、
サーバ宛データを、サーバへ送信することと、を含む。前記サーバ宛データは、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信されるとともに、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信され、前記サービスデータを含む無線パケットを生成する手順と、前記サーバ宛データを含む無線パケットを生成する手順と、は異なる。

（５５）実施形態に係る方法は、無線通信装置が行う方法であって、サーバ宛データを、サーバへ送信することと、前記サーバ以外の宛先のデータを無線送信することと、を含む。前記サーバ以外の宛先のデータには無線送信用の第１セキュリティ処理が行われる。前記サーバ宛データには前記第１セキュリティ処理とは異なるサーバ宛データ用の第２セキュリティ処理が行われる。

（５６）実施形態に係る方法は、データを無線送信する無線通信装置が行う方法であって、非活性状態及び活性状態の各状態での処理を行うことを含む。前記非活性状態は、前記無線通信装置の起動後の初期状態であって、前記データの送信に関して制限がある状態である。前記活性状態は、前記制限が解除された状態である。前記活性状態は、前記非活性状態から遷移可能である。

（５７）実施形態に係る方法は、データを無線送信する無線通信装置が行う方法であって、前記無線通信装置が起動してからサーバからの活性指示を受信するまでは、所定の条件を満たしている場合において、サーバ宛データの無線送信を行うことを含む。

（５８）実施形態に係る方法は、サーバが、無線通信装置から、前記無線通信装置における通信の制限を解除するための活性指示の要求を受信し、前記サーバが、前記要求の適否の検証を行い、前記サーバが、前記要求が適切であれば、前記活性指示を前記無線通信装置へ送信することを含む。

（５９）実施形態に係る方法は、前記無線通信装置が、前記サーバからの前記活性指示を受信し、前記無線通信装置が、前記活性指示の適否の検証を行い、前記無線通信装置が、前記活性指示が適切であれば、前記制限を解除することを更に含む。

（６０）実施形態に係る方法は、無線通信装置が、他の無線通信装置から、前記他の無線通信装置における通信の制限を解除するための活性指示の要求を含む無線パケットを受信し、前記無線通信装置が、前記要求の適否の検証を行い、前記無線通信装置が、前記要求が適切であれば、前記要求をサーバへ送信することを含む。

（６１）実施形態に係る方法は、前記サーバが、前記要求を受信すると、前記活性指示を前記無線通信装置へ送信することを更に含む。

（６２）実施形態に係る方法は、前記他の無線通信装置が、前記無線通信装置を介して、前記活性指示を受信し、前記他の無線通信装置が、前記他の無線通信装置によって前記活性指示に施されたセキュリティ処理の検証を行い、前記他の無線通信装置が、前記活性指示に施されたセキュリティ処理が適切であれば前記制限を解除することを更に含む。

［２．実施形態の詳細］
［２．１ 通信システム］
図１は、高度道路交通システム（ＩＴＳ）に用いられる通信システム（ＩＴＳ情報通信システム）１を示している。この通信システム１は、７００ＭＨｚ帯高度道路交通システム標準規格（ＡＲＩＢ ＳＴＤ−Ｔ１０９）に準拠した通信を行うよう構成されている。また、この通信システム１では、ＩＴＳ情報通信システム推進会議（ＩＴＳ Ｉｎｆｏ−ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｆｏｒｕｍ）発行の「運転支援通信システムに関するセキュリティガイドライン（ＩＴＳ ＦＯＲＵＭ ＲＣ−００９（１．２版））」に準拠したセキュリティ処理が行われる。

通信システム１は、ＩＴＳの運用管理機関のサーバ（センターサーバ；第１サーバ）２と、車載器４Ａ，４Ｂと通信可能な路側機３Ａ，３Ｂと、を有している。センターサーバ２は、交通管制センター等に設置される。路側機３Ａ，３Ｂ及び車載器４Ａ，４Ｂは、無線通信装置である。路側機３は、センターサーバ２によって管理される。センターサーバ２には、通信回線（ネットワーク）５ａを介して、複数の路側機３Ａが有線接続されている。以下、センターサーバ２に有線接続されている路側機３Ａを「オンライン路側機」といい、センターサーバ２に有線接続されておらず、オンライン路側機３Ａとの無線通信を介してセンターサーバ２と通信する路側機３Ｂを、「スタンドアローン路側機」という。
なお、オンライン路側機３は、ルータ７に接続されており、ルータ７は、通信回線５ａを介して、センターサーバ２と接続されている。

路側機３は、交差点近傍などに設置される。路側機３は、路側機３の周囲の車載器（移動局）４Ａ，４Ｂとの間で無線通信（路車間通信）が可能である。車載器４Ａ，４Ｂは、車両に搭載されている。車載器（移動局）４Ａ，４Ｂは、キャリアセンス方式によって、周囲の他の車載器４Ａ，４Ｂとの間で無線通信（車車間通信）が可能である。

図１は、ＩＴＳ情報通信システム１以外の通信システム６００の構成も示している。ＩＴＳ情報通信システム１以外の通信システム６００は、例えば、携帯電話に用いられる移動体通信網である。車載器には、携帯電話用の移動体通信網用の無線通信を行う機能も有した車載器４Ｂも含まれる。そのような車載器４Ｂは、携帯電話用の移動体通信網の基地局９との間でも無線通信が可能である。

車載器４Ｂは、携帯電話用の移動体通信網を介して、インターネット５ｂ上のサーバ（第２サーバ）８との間で通信が可能である。第２サーバ８は、例えば、カーナビゲーション機能を有する車載器４Ｂへの交通情報提供のためのサーバ、又は、車載器４Ｂからプローブ情報を収集し車載器４Ｂへ交通情報を提供するサーバなどである。サーバ（第２サーバ）８は、ＩＴＳの運用管理機関とは異なる機関、例えば、自動車メーカ、又は、車載器メーカによって管理される。なお、自動車メーカ及び車載器メーカは、それらの子会社若しくは関連会社、又はそれらから委託を受けた会社を含む。

図２は、センターサーバ（第１サーバ）２、路側機３Ａ，３Ｂ、車載器４Ａ，４Ｂ、第２サーバ８それぞれの構成を示している。
センターサーバ２は、コンピュータを有して構成されている。センターサーバ２として機能するコンピュータは、処理部２１と、図示しない記憶部と、を有している。センターサーバ２の機能は、センターサーバ２の記憶部に記憶されたコンピュータプログラムが、処理部２１によって実行されることによって発揮される。処理部２１は、路側機３Ａ，３Ｂ及び車載器４Ａ，４Ｂを活性化させるための処理など、様々な処理を実行する。

センターサーバ２の記憶部は、センターサーバ２が行うセキュリティ処理（サーバセキュリティ処理）に用いるセンター用セキュリティ情報を有している。センター用セキュリティ情報は、センターサーバ２の記憶部の耐タンパ領域に、セキュアな状態で格納されている。センターサーバ２の処理部２１は、セキュリティ処理の際には、センターサーバ２の記憶部の耐タンパ領域にアクセスして、セキュリティ情報を参照する。セキュリティ情報は、センターサーバ２の処理部２１のセキュリティ管理部（Ｓｅｃｕｒｅ Ａｐｐｌｉｃａｔｉｏｎ Ｍｏｄｕｌｅ；ＳＡＭ）によって参照される。

第２サーバ８は、コンピュータを有して構成されている。第２サーバ８として機能するコンピュータは、処理部８１と、図示しない記憶部と、を有している。第２サーバ８の機能は、第２サーバ８の記憶部に記憶されたコンピュータプログラムが、処理部８１によって実行されることによって発揮される。処理部８１は、車載器４への情報提供処理のほか、車載器４Ｂを活性化させるための処理など、様々な処理を実行する。

第２サーバ８の記憶部は、第２サーバ８が行うセキュリティ処理（サーバセキュリティ処理）に用いるセキュリティ情報を有している。セキュリティ情報は、第２サーバ８の記憶部の耐タンパ領域に、セキュアな状態で格納されている。第２サーバ８の処理部８１は、セキュリティ処理の際には、第２サーバ８の記憶部の耐タンパ領域にアクセスして、セキュリティ情報を参照する。

路側機３Ａ，３Ｂは、制御部３１と、無線部３２と、を有している。制御部３１は、路側機３Ａ，３Ｂの制御を行う。制御部３１は、路側機３Ａ，３Ｂに接続された交通端末（交通信号制御機など）Ｔの制御を行う。制御部３１は、センターサーバ２との間の通信を制御する。交通端末Ｔは、ルータ７にも接続されているものもある。
制御部３１の機能は、路側機３Ａ，３Ｂの記憶部（図示省略）に記憶されたコンピュータプログラムが、路側機３Ａ，３Ｂの処理部（図示省略）によって実行されることによって発揮される。
路側機３Ａ，３Ｂの制御部３１（のアプリケーション３１１；図７参照）は、無線部３２によって無線送信されるサービスデータを自ら生成し、又は他の機器から受け取って、無線部３２に出力することができる。サービスデータは、例えば、ＩＴＳサービスのために、他の無線通信装置３Ａ，３Ｂ，４Ａ，４Ｂに提供されるデータであり、交通情報を含む。

路側機３Ａ，３Ｂの無線部３２は、車載器４又は他の路側機３との無線通信（７００ＭＨｚ帯高度道路交通システムのための無線通信）を行う。路側機３Ａ，３Ｂの無線部３２が有する機能のうち、無線部３２に含まれる送受信回路によって回路処理される機能を除き、路側機３Ａ，３Ｂの記憶部（図示省略）に記憶されたコンピュータプログラムが、路側機３Ａ，３Ｂの処理部（図示省略）によって実行されることによって発揮される。路側機３Ａ，３Ｂの無線部３２として機能を発揮する処理部は、制御部３１として機能を発揮する処理部と同じでもよいし、異なっていても良い。

路側機３Ａ，３Ｂの記憶部は、路側機３Ａ，３Ｂが行うセキュリティ処理に用いるセキュリティ情報を有している。セキュリティ情報は、路側機３Ａ，３Ｂの記憶部の耐タンパ領域に、セキュアな状態で格納されている。路側機３Ａ，３Ｂは、セキュリティ処理の際には、路側機３Ａ，３Ｂの記憶部の耐タンパ領域にアクセスして、セキュリティ情報を参照する。セキュリティ情報は、路側機３Ａ，３Ｂの無線部３２のセキュリティ管理部（Ｓｅｃｕｒｅ Ａｐｐｌｉｃａｔｉｏｎ Ｍｏｄｕｌｅ；ＳＡＭ）によって参照される。

車載器４Ａ，４Ｂは、制御部４１と、無線部４２と、を有している。制御部４１は、車載器４Ａ，４Ｂの制御を行う。制御部４１は、センターサーバ２との間の通信を制御する。車載器４Ｂの制御部４１は、第２サーバ８との間の通信の制御も行う。
制御部４１の機能は、車載器４Ａ，４Ｂの記憶部（図示省略）に記憶されたコンピュータプログラムが、車載器４Ａ，４Ｂの処理部（図示省略）によって実行されることによって発揮される。

車載器４Ａ，４Ｂの制御部４１（のアプリケーション）は、無線部４２によって無線送信されるサービスデータを自ら生成し、又は他の車載器４Ａ，４Ｂから受け取って、無線部４２に出力することができる。サービスデータは、例えば、他の無線通信装置３Ａ，３Ｂ，４Ａ，４Ｂに提供されるデータであり、交通情報を含む。

車載器４Ａの無線部４２は、路側機３Ａ，３Ｂ及び他の車載器４Ａ，４Ｂとの無線通信（７００ＭＨｚ帯高度道路交通システムのための無線通信）を行う。
車載器４Ｂの無線部４２は、第１無線部４２ａと、第２無線部４２ｂと、を有している。第１無線部４２ａは、車載器４Ａの無線部４２と同様に、路側機３及び他の車載器４Ａ，４Ｂとの無線通信（７００ＭＨｚ帯高度道路交通システムのための無線通信）を行う。第２無線部４２ｂは、基地局８との無線通信（携帯電話用の移動体通信網のための無線通信）を行う。なお、第２無線部４２ｂは、無線ＬＡＮ通信又はその他の無線通信を行うものであってもよい。

車載器４Ａ，４Ｂの無線部４２が有する機能のうち、無線部４２に含まれる送受信回路によって回路処理される機能を除き、車載器４Ａ，４Ｂの記憶部（図示省略）に記憶されたコンピュータプログラムが、車載器４Ａ，４Ｂの処理部（図示省略）によって実行されることによって発揮される。車載器４Ａ，４Ｂの無線部４２として機能を発揮する処理部は、制御部４１として機能を発揮する処理と同じでもよいし、異なっていてもよい。

車載器４Ａ，４Ｂの記憶部は、車載器４Ａ，４Ｂが行うセキュリティ処理に用いるセキュリティ情報を有している。セキュリティ情報は、車載器４Ａ，４Ｂの記憶部の耐タンパ領域に、セキュアな状態で格納されている。車載器４Ａ，４Ｂは、セキュリティ処理の際には、車載器４Ａ，４Ｂの記憶部の耐タンパ領域にアクセスして、セキュリティ情報を参照する。セキュリティ情報は、車載器４Ａ，４Ｂの無線部４２（第１無線部４２ａ）のセキュリティ管理部（Ｓｅｃｕｒｅ Ａｐｐｌｉｃａｔｉｏｎ Ｍｏｄｕｌｅ；ＳＡＭ）によって参照される。

路車間通信及び車車間通信では、無線通信のセキュリティのために、例えば、メッセージ認証符号（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ；ＭＡＣ）が用いられる。路側機３Ａ，３Ｂ及び車載器４Ａ，４Ｂは、路車間通信及び車車間通信を行う際には、無線通信用（無線送信用）の第１セキュリティ処理として、ＭＡＣ生成処理及びその他のセキュリティ処理を行う。ＭＡＣによって、無線送信されるデータの完全性を確保することができる。
路車間通信では、送信者の真正性の確認のため、公開鍵認証も用いられる。公開鍵認証のため、路側機３Ａ，３Ｂは、公開鍵証明書１３ｄと電子署名１３ｅを路車間通信データに付加する（図４参照）。

メッセージ認証符号のための処理（ＭＡＣ処理）には、送受信者間（例えば、路車間又は車車間）で共有される共通鍵（無線通信用セキュリティ情報３２５ａ；第１セキュリティ情報；図３参照）が用いられる。路側機３Ａ，３Ｂ及び車載器４Ａ，４Ｂの記憶部の耐タンパ領域は、複数の共通鍵を有する共通鍵テーブル５５１を、複数有している。
無線通信用の第１セキュリティ処理としては、上述したもののほか、例えば、特許文献１に記載のセキュリティ処理を行うことができる。

図３は、路側機３Ａ，３Ｂ及び車載器４Ａ，４Ｂの記憶部の耐タンパ領域に格納される無線通信用セキュリティ情報３２５ａの例を示している。耐タンパ領域は、無線通信用セキュリティ情報３２５ａとして、複数の共通鍵テーブル５１を有する。各共通鍵テーブル５１には、テーブルＩＤ（テーブル識別子）が付与されている。各共通鍵テーブル５１は、複数の共通鍵を有し、複数の共通鍵それぞれには鍵ＩＤが付与されている。路側機３Ａ，３Ｂ及び車載器４Ａ，４Ｂは、無線パケット（路車間通信データ、車車間通信データ）を送信する際には、使用すべき一つの共通鍵テーブル５１に含まれる共通鍵をランダムに選択し、選択された共通鍵を用いて第１セキュリティ処理（ＭＡＣ処理など）を行う。無線パケットの送信者３Ａ、３Ｂ，４Ａ，４Ｂは、セキュリティ処理に用いたテーブルＩＤ及び鍵ＩＤをセキュリティ情報ＩＤ１３ｂ（図４参照）として、無線パケットに付加して送信する。無線パケットの受信者４Ａ，４Ｂは、受信した無線パケットのセキュリティ情報ＩＤ情報１３ｂを参照して、受信側でのセキュリティ処理（セキュリティ検証）に用いるべき共通鍵を特定する。セキュリティ情報ＩＤ１３ｂは、例えば、特許文献１記載のテーブルＩＤなどであってもよい。

図４は、路車間通信データ１０を示している。路車間通信データ１０は、無線パケットとして、路側機３Ａ，３Ｂから車載器４へ送信される。路車間通信データ１０は、無線ヘッダ１１と、アプリケーションデータ１２と、を有している。アプリケーションデータ１２は、路側機３Ａ，３Ｂの制御部３１（アプリケーション３１１）から無線部３２に与えられるデータである。無線ヘッダ１１は、無線部３２によってアプリケーションデータ１２に付加される。

無線部３２によって無線通信のための第１セキュリティ処理が行われる場合、無線ヘッダ１１は、セキュリティヘッダ１３を含む。セキュリティヘッダは、無線部３２のセキュリティ管理部（ＳＡＭ）による第１セキュリティ処理によって生成される。セキュリティヘッダ１３は、路車間通信データ（無線パケット）のセキュリティレベルを示す情報１３ａ、セキュリティ情報ＩＤ１３ｂ、ＭＡＣ処理により生成されたＭＡＣ１３ｃ、路側機３Ａ，３Ｂの公開鍵証明書１３ｄ、路側機３Ａ，３Ｂの電子署名１３ｅを含む。なお、セキュリティレベルを示す情報１３ａは、アプリケーションデータ１２（のアプリケーションヘッダ）の中に設けられていても良い。
路車間通信データ１０のデータ構造は、車載器４Ａ，４Ｂ以外の宛先のために路側機３Ａ，３Ｂが送信する無線パケットのデータ構造としても採用される。例えば、路側機３Ａ，３Ｂが、他の路側機３Ａ，３Ｂ向けに送信する路路間通信データの構造や、歩行者が有する移動局向けに送信する路歩間通信データの構造としても用いられる。
車車間通信データは、基本的に路車間通信データ１０と同様の構造を有している。ただし、車車間通信データは、公開鍵証明書１３ｄ及び電子署名１３ｅを有しない。

路側機３Ａ，３Ｂが第１セキュリティ処理に使用すべき共通鍵テーブル５１は、時間がたつと危殆化するため、別の共通鍵テーブル５１に更新される。車載器４Ａ，４Ｂは、路側機３Ａ、３Ｂが第１セキュリティ処理に使用している共通鍵テーブル５１を、車載器４Ａ，４Ｂが第１セキュリティ処理に使用すべき共通鍵テーブル５１として認識する。

路側機３Ａ，３Ｂが悪意のある第三者に不正使用された場合の懸念の一つとして、車載器４Ａ，４Ｂが使用すべき共通鍵テーブル５１が不必要に更新されてしまうことが挙げられる。車載器４Ａ，４Ｂは、受信した路車間通信データに含まれるセキュリティ情報ＩＤ１３ｂに基づいて、車載器４Ａ，４Ｂ自身が使用すべき共通鍵テーブル５１を更新するため、悪意のある路側機３Ａ，３Ｂが、不適切なセキュリティ情報ＩＤ１３ｂを含む路車間通信データ（偽データ）を送信すると、車載器４Ａ，４Ｂの共通鍵テーブル５１が不適切に更新されるおそれがある。

また、車載器４Ａ，４Ｂが、他の車載器４Ａ，４Ｂから受信した車車間通信データに含まれるセキュリティ情報ＩＤ１３ｂに基づいて、車載器４Ａ，４Ｂ自身が使用すべき共通鍵テーブル５１を更新するよう構成されていると、悪意のある他の車載器４Ａ，４Ｂが存在すると、悪意のある他の車載器４Ａ，４Ｂから送信される偽データによって、悪意のある路側機３Ａ，３Ｂが存在する場合と同様の懸念が生じる。

さらに、偽データの送信は、様々な被害を引き起こすおそれがある。偽データによる被害を低減するため、本実施形態の路側機３Ａ，３Ｂ及び車載器４Ａ，４Ｂは、図５に示すように、起動した直後は、無線パケット送信に制限がある準備モード（非活性状態）ＮＡとなる。準備モード（非活性状態）ＮＡでは、送信に制限があるため、偽データの送信を抑制することができる。

路側機３Ａ，３Ｂ及び車載器４Ａ，４Ｂは、準備モードＮＡから、運用モード（活性状態）Ａへ、状態遷移することができる。ただし、運用モードＡは、準備モードにおける制限が解除されたモード（状態）である。路側機３Ａ，３Ｂ及び車載器４Ａ，４Ｂは、所定の遷移イベントが発生した場合にしか、準備モードＮＡから運用モードＡへ状態遷移できない。したがって、盗難された路側機３Ａ，３Ｂ及び車載器４Ａ，４Ｂの電源を単にＯＮにしても、所定の遷移イベントが生じなければ、盗難された路側機３Ａ，３Ｂ及び車載器４Ａ，４Ｂは、活性化して運用モードＡになることができない。これにより、盗難された路側機３Ａ，３Ｂ及び車載器４Ａ，４Ｂによる偽データ送信の抑制が可能である。

準備モード（非活性状態）ＮＡにおける制限としては、例えば、図５に示すように、以下に列挙する制限のうちの１又は複数の制限が採用される。いずれの制限が採用された場合も、無線送信用の第１セキュリティ処理が施されたサービスデータを含む無線パケットの送信処理（無線通信処理）は、運用モードＡに比べて制限があることになる。
（１）無線送信（無線通信）が不可
（２）無線送信用の第１セキュリティ処理が不可
（３）無線通信の時間制限
（４）無線通信のパケット数制限
（５）低セキュリティレベルでの送信

「（１）無線送信（無線通信）が不可」は、無線部３２，４２（４２ａ）による無線送信自体を禁止する制限である。この制限がかかっている場合には、制御部３１，４１（アプリケーション３１１，４１１）から無線部３２，４２（４２ａ）にアプリケーションデータ（サービスデータなど）が与えられても、無線部３２，４２（４２ａ）は、無線伝送路への無線パケットの送出を行わない。無線送信が禁止されることで偽データ送信が抑制される。なお、無線部３２，４２（４２ａ）による無線送信だけでなく、無線受信も禁止して、無線部３２，４２（４２ａ）による無線通信が行われないようにしてもよい。

ただし、本実施形態において、「（１）無線送信（無線通信）が不可」の制限には、例外を設けることができる。例外は、例えば、センターサーバ２との有線通信又は無線通信とすることができる。この例外の下では、センターサーバ２との無線通信は可能である。なお、またオンライン路側機３Ａは、「（１）無線送信（無線通信）が不可」の制限にかかわらず、センターサーバ２と通信可能とすることができる。

他の例外は、特定の種類のアプリケーションデータ（例えば、後述の発信情報（活性要求）や活性指示）の送受信とすることができる。この例外の下では、特定の種類のアプリケーションデータの無線送受信は可能であるが、他の種類のアプリケーションデータ（例えば、路車間通信又は車車間通信用のサービスデータ）の送受信は行えない。この例外の下では、送信可能なデータ種別によって通信に制限が加えられることになる。

「（２）無線送信用の第１セキュリティ処理が不可」は、無線部３２，４２，（４２ａ）による無線通信は、可能であるが、無線通信用の第１セキュリティ処理を禁止する制限である。この制限がかかっている場合、無線部３２，４２，４２（４２ａ）は、制御部３１，４１（アプリケーション３１１，４１１）から無線部３２，４２（４２ａ）にアプリケーションデータ（サービスデータなど）が与えられると、そのアプリケーションデータに対する第１セキュリティ処理を行うことなく、平文の無線パケットとして、アプリケーションデータを無線伝送路に送出する。第１セキュリティ処理が禁止されることで、送信された偽データには第１セキュリティ処理が施されていないことを受信側が認識できる。したがって、受信側でそのような偽データを排除することが可能である。

「（２）無線送信用の第１セキュリティ処理が不可」の制限には、「（１）無線送信（無線通信）が不可」の制限における例外と同様の例外を設けることができる。

「（３）無線通信の時間制限」は、準備モードＮＡにおける所定の期間内だけ、運用モードＡと同様に通信できるが、所定の期間外では、例えば、無線部３２，４２（４２ａ）による無線送信を禁止する制限である。所定の期間外では、無線部３２，４２（４２ａ）による無線通信は、可能であるが、無線通信用の第１セキュリティ処理を禁止してもよい。
所定の期間は、例えば、路側機３Ａ，３Ｂ及び車載器４Ａ，４Ｂが、起動（電源ＯＮ又は再起動）してからの所定の期間とすることができる。このように、所定の時間内であるという条件を満たさない場合には、通信が制限される。無線通信に時間制限が加わることで、偽データの送信機会が制限されるため、偽データ送信を抑制できる。この制限は、例えば、ジャミング攻撃及びＤｏｓ攻撃の抑制に有効である。

「（４）無線通信のパケット数の制限」は、準備モードＮＡにおいて送信可能なパケット数（送信可能なデータ量）によって規定される制限である。この制限がかかっている場合、準備モードＮＡにおいて送信したパケット数（データ量）が、所定の上限値に達するまでは、運用モードＡと同様に通信できるが、送信したパケット数（データ量）が所定の上限値に達すると、例えば、無線部３２，４２（４２ａ）による無線送信が禁止される。送信したパケット数（データ量）が所定の上限値に達すると、無線部３２，４２（４２ａ）による無線通信は、可能であるが、無線通信用の第１セキュリティ処理を禁止してもよい。このように、送信可能なパケット数（送信可能なデータ量）で規定される条件を満たさない場合には、通信が制限される。送信可能なパケット数の制限が加わることで、偽データの送信機会が制限されるため、偽データ送信を抑制できる。この制限は、例えば、ジャミング攻撃及びＤｏｓ攻撃の抑制に有効である。

「（５）低セキュリティレベルでの送信」は、第１セキュリティ処理が施された無線パケットの送信は許可するが、その無線パケットは、第１セキュリティ処理が施されているにもかかわらずセキュリティレベルが低いことを示す情報が付加されるという制限である。具体的には、無線部３２，４２（４２ａ）は、無線パケットのセキュリティレベルを示す情報１３ａ（図４参照）を、低セキュリティレベルを示す値に設定した無線パケット（セキュリティヘッダ１３を含む）を送信する。この場合、偽データが送信されたとしても、送信された偽データには、セキュリティレベルが低いことを示す情報１３ａが付加されているため、セキュリティレベルが低いことを受信側が認識できる。したがって、受信側でそのような偽データを排除することが可能である。

準備モード（非活性状態）ＮＡから運用モード（活性状態）Ａへの状態遷移は、図５に示すように、所定の遷移イベントの発生によって生じる。所定の遷移イベントは、例えば、センターサーバ２からの活性指示（遷移指示）を受信したこと、である。

所定の遷移イベント（活性指示）は、センターサーバ２から、無線通信用の第１セキュリティ情報（共通鍵；共通鍵テーブル５５１）を受信したこと、であってもよい。この場合、路側機３Ａ，３Ｂ，４Ａ，４Ｂは、センターサーバ２から第１セキュリティ情報を受信することで、運用モード（活性状態）Ａになり、その運用モードＡでは、センターサーバ２から受信した第１セキュリティ情報を、無線送信されるデータに施される第１セキュリティ処理に用いる。

［２．２ オンライン路側機３Ａの活性化のための処理］
［２．２．１ 第２セキュリティ処理なし］
図６は、オンライン路側機３Ａが、運用モード（活性状態）Ａとなるための手順を示している。路側機３Ａの電源がＯＮになると（ステップＳ１００）、路側機３Ａ（の無線部３２）は、準備モード（非活性状態）ＮＡとなる（ステップＳ１０２）。準備モードＮＡでは、制御部３１は、発信情報（活性要求）１０１を除き、サービスデータなどのアプリケーションデータの生成を行わないので、無線送信も行われない。なお、仮に、路車間通信のためのサービスデータが制御部３１によって生成されても、無線部３２は、そのサービスデータの無線送信を行わないように構成されていてもよい。

ここでは、「（１）無線送信（無線通信）が不可」の制限がかかっており、準備モードでは無線送信が禁止されるが、制限は、他の（２）〜（５）の制限であってもよく、以後説明する活性化のための処理においても同様である。また、準備モードＮＡでは、特定の種別のデータ（発信情報（活性要求）１０１，活性指示１０２）については、センターサーバ２との間の有線通信は可能である。

また、路側機３Ａの電源がＯＮになると（ステップＳ１００）、路側機３Ａの制御部３１（のアプリケーション３１１）は、発信情報（活性要求）１０１を生成する（ステップＳ１０４）。発信情報１０１は、路側機３Ａが起動したことをセンターサーバ２に通知する情報である。本実施形態では、センターサーバ２は、発信情報１０１を受信したことに基づいて活性指示１０２を生成するため、発信情報１０１は活性指示の要求（以下、「活性要求」という）として機能する。なお、本実施形態では、発信情報１０１が活性要求を兼ねているが、路側機３の起動後にセンターサーバ２に送信される他の情報１０１が活性要求を兼ねてもよい。さらに、活性要求は、活性指示を要求するための専用のコマンドであってもよい。

発信情報１０１は、路側機３ＡのＩＤ及びアプリケーションＩＤ（発信情報であることをを示すＩＤ）などを含む。制御部３１は、生成した発信情報１０１を、無線部３２に与える（ステップＳ１０６）。無線部３２は、受け取った発信情報１０１に、ＳＡＭ情報を追加する（ステップＳ１０８）。追加されるＳＡＭ情報は、無線部３２のＳＡＭの機器ＩＤ、セキュリティ状態情報（路側機３Ａが運用モードで使用することになるセキュリティ情報を示す情報（共通鍵テーブル５１のＩＤなど））などを含む。

無線部３２は、ＳＡＭ情報が追加された発信情報１０１を制御部３１に戻す（ステップＳ１１０）。制御部３１は、無線部３２から戻された発信情報１０１を、センターサーバ２へ送信する（ステップＳ１１２）。制御部３１は、センターサーバ２へ送信する発信情報（活性要求）１０１にセキュリティ処理を施すことなく、平文で送信する。

センターサーバ２は、活性要求である発信情報１０１を受信すると、活性要求の送信元である路側機３Ａへ送信される活性指示１０２を生成する（ステップＳ１１６）。活性指示１０２は、センターサーバ２のＩＤ、時刻情報、アプリケーションＩＤ（発信情報（活性要求）コマンドを示すＩＤ）などを含む。センターサーバ２は、生成した活性指示１０２を、路側機３Ａへ送信する（ステップＳ１２０）。

路側機３Ａの制御部３１は、センターサーバ２から活性指示１０２を受信すると（ステップＳ１２０）、その活性指示１０２を無線部３２へ与える（ステップＳ１２２）。路側機３Ａ（の無線部３２）は、活性指示１０２を受信したことに基づいて、準備モード（非活性状態）ＮＡから運用モード（活性状態）Ａとなり、準備モードにおける制限（無線送信不可）が解除される（ステップＳ１３０）。つまり、無線部３２による送信が可能となる。運用モードＡでは、無線部３２のＳＡＭによる第１セキュリティ処理も可能である。

無線部３２は、起動してから所定時間内に活性指示１０２を受信できなかったり、受信したデータが活性指示１０２でなかったり、受信した活性指示１０２が不適切である場合には、運用モード（活性状態）Ａへの遷移失敗と判断し（ステップＳ１２６）、準備モードのままとなる（ステップＳ１２８）。

そして、無線部３２は、活性状態Ａになれたか否かを示す活性可否応答を制御部３１に送る（ステップＳ１３２）。制御部１３４は、活性可否応答に基づいて、無線部３２が運用モードになるのに成功したか否かの可否判定を行う（ステップＳ１３４）。可否判定の結果、運用モードへの遷移が成功であると判定されると（ステップＳ１３６）、制御部３１は、サービスデータ（路車間通信用のデータ）となるアプリケーションデータの生成を開始する（ステップＳ１３８）。ステップＳ１３６において成功と判定されない場合、ステップＳ１０４の手前まで戻る。

制御部３１は、生成したサービスデータを、無線部３２に与える（ステップＳ１４）。無線部３２のＳＡＭ（セキュリティ管理部）３２５は、受け取ったサービスデータに無線送信用の第１セキュリティ処理（ＭＡＣ処理など；セキュリティヘッダ１３の生成）１０３ａを施すことができる（ステップＳ１４２）。無線部３２は、第１セキュリティ処理１０３ａが施されたサービスデータに対して、その他の無線送信処理（無線ヘッダ１１の生成）を行い（ステップＳ１４４）、無線伝送路に無線パケットとして送信する（ステップＳ１４４）。

図７は、図６に示す手順におけるデータの流れを示している。図７に示すように、発信情報（活性要求）１０１及び活性指示１０２のやり取りは、（ステップＳ１０８のＳＡＭ情報の追加を除き）、路側機３Ａの制御部３１とセンターサーバ２との間で行われ、無線部３２による無線送受信処理（無線通信処理）の必要はない。したがって、路側機３は、無線送信が禁止されていても、準備モードＮＡにおいて許可されているセンターサーバ２との通信によって、活性要求１０１をセンターサーバ２へ有線送信し、活性指示１０２をセンターサーバ２から有線受信することができる。
また、センターサーバ２とオンライン路側機３Ａとの間は、ＩＴＳ通信システム１専用の通信回線にて有線接続されているため、活性要求１０１及び活性指示１０２は、セキュリティ処理が施されていない平文でも、ある程度セキュアに送信可能である。

図７のステップＳ１４０ａに示すように、路側機３Ａの制御部３１は、路側機３Ａが運用モード（活性状態；Ａｃｔｉｖｅ）Ａになるまで、仮にサービスデータを生成しても、無線部３２に与えず、そのサービスデータは送信不可である。また、運用モードＮＡでは、発信情報（活性要求）１０１及び活性指示１０２という活性化のための特定の種別のアプリケーションデータを除き、センターサーバ２への通信も行えない（ステップＳ１４０ａにおいてＮｏ）。
これに対して、路側機３Ａが運用モード（活性状態；Ａｃｔｉｖｅ）Ａになると、無線送信用のサービスデータ１０３を、無線部３２に与えて無線パケット（路車間通信データ）として送信したり、センターサーバ２宛のサービスデータ（有線送信用データ）１０４をセンターサーバへ送信したりすることができる（ステップＳ１４０ｂ）。

図７に示すように、路側機３Ａの無線部３２は、物理層３２１、下位層３２２、レイヤ７（Ｌ７）３２３、拡張層（ＥＬ）３２４、セキュリティ管理部（ＳＡＭ）３２５を有している。物理層３２１は、一般社団法人電波産業会の”７００ＭＨｚ帯高度道路交通システム標準規格（ＡＲＩＢ ＳＴＤ−Ｔ１０９）”におけるレイヤ１に相当する。下位層３２２は、同標準規格のレイヤ２及び車車間・路車間共用通信制御情報層に相当する。レイヤ７（Ｌ７）３２３は、同標準規格のレイヤ７に相当する。拡張層３２４は、ＩＴＳ情報通信システム推進会議の”７００ＭＨｚ帯高度道路交通システム拡張機能ガイドライン（ＩＴＳ ＦＯＲＵＭ ＲＣ−０１０）”における拡張層に相当する。

セキュリティ管理部３２５は、同標準規格及び同ガイドラインにおけるセキュリティ管理に相当する。前記標準規格及び前記ガイドラインにおいて、セキュリティ管理部３２５は、拡張層３２４及びレイヤ７（Ｌ７）３２３それぞれにからアクセスされる。セキュリティ管理部３２５は、無線送信されるアプリケーションデータ（サービスデータなど）を拡張層３２４又はレイヤ７（Ｌ７）３２３から受け取って、そのアプリケーションデータに無線送信用の第１セキュリティ処理１０３ａ，１０３ｂを施し、第１セキュリティ処理１０３ａ，１０３ｂが施されたアプリケーションデータを拡張層３２４又はレイヤ７（Ｌ７）３２３に戻す。
セキュリティ管理部３２５は、路側機３Ａの記憶部の耐タンパ領域に記憶された無線通信用セキュリティ情報（共通鍵など；図３参照）３２５を用いて、第１セキュリティ処理を行い、図４に示すセキュリティヘッダ１３を生成する。

無線部３２が、運用モードＡにおいて、制御部３１から路車間通信データとして無線送信すべきサービスデータを受け取ると、拡張層３２４は、そのサービスデータをセキュリティ管理部３２５に渡し、第１セキュリティ処理１０３ａが施されたサービスデータ（セキュリティヘッダ１３に相当する情報を含む）をセキュリティ管理部３２５から受け取る。そして、拡張層３２４及びその他の層３２３，３２２，３２１は、各自がヘッダを生成し、無線パケットを生成する。生成された無線パケットは無線伝送路に送信される。なお、レイヤ７（Ｌ７）３２３が、サービスデータをセキュリティ管理部３２５に渡すことで、第１セキュリティ処理１０３ｂが行われても良い。

［２．２．１ 第２セキュリティ処理あり］
図８は、オンライン路側機３Ａが、運用モード（活性状態）Ａとなるための手順の他の例を示している。図８の手順は、センターサーバ２と路側機３Ａとの間の通信にセキュリティがかかっている点で、図６の手順と相違する。

図８の手順と図６の手順とで異なる点は、図８のステップＳ１０８、ステップＳ１１４、ステップＳ１１８、及びステップＳ１２４である。図８のその他のステップについては、図６と同様である。図８のステップＳ１０８では、路側機３Ａの無線部３２は、受け取った発信情報（活性要求）１０１に、ＳＡＭ情報を追加するとともに、第２セキュリティ処理１０１ａを施す（図９参照）。第２セキュリティ処理１０ａ１は、センターサーバ２と路側機３Ａとの間の通信のためのセキュリティ処理である。

第２セキュリティ処理１０１ａは、無線部３２のセキュリティ管理部３２５で行われる。第２セキュリティ処理１０１ａの実行のため、制御部３１は、拡張層３２４を介さずに、直接、セキュリティ管理部３２５に、発信情報（活性要求）１０１を渡すことができる（図９参照）。このように、本実施形態では、無線部３２の拡張層３２４又はレイヤ７（Ｌ７）３２３からセキュリティ管理部３２５へアクセスできるほか、制御部３１からもセキュリティ管理部３２５へアクセスすることができる。

サーバ宛データである発信情報１０１には、センターサーバ２以外の宛先のデータであるサービスデータに施される第１セキュリティ処理１０３ａとは、異なるセキュリティ処理である第２セキュリティ処理１０１ａによってセキュリティが施される。したがって、第１セキュリティ処理１０３ａの実行に制限があっても、発信情報１０１に対して第２セキュリティ処理１０１ａを行うことができる。

第２セキュリティ処理１０１ａは、第１セキュリティ処理１０３ａに用いられる無線通信用のセキュリティ情報３２５ａとは異なる活性用セキュリティ情報３２５ｂを用いて行われる。活性用セキュリティ情報３２５ｂは、センターサーバ２と共有される共通鍵などを有して構成される。路側機３Ａによる第２セキュリティ処理１０１ａは、センターサーバ２によって検証される。第２セキュリティ処理１０１ａは、例えば、センターサーバ２と共有する共通鍵による暗号化、及び、路側機３Ａによる電子署名の付加などである。

無線部３２のセキュリティ管理部３２５は、ＳＡＭ情報が追加され第２セキュリティ処理１０１ａが施された発信情報１０１を制御部３１に戻す（ステップＳ１１０）。制御部３１は、その発信情報１０１をセンターサーバ２へ送信する。図８の手順では、発信情報１０１に第２セキュリティ処理１０１ａが施されているので、発信情報１０１の送信がよりセキュアになる。

センターサーバ２は、発信情報１０１を受信すると、ステップＳ１１４において、受信した発信情報１０１に施された第２セキュリティ処理１０１ａの検証１０１ｂを行う。第２セキュリティ処理１０１ａの検証１０１ｂは、例えば、復号化の成否の検証、及び発信情報１０１に付加されている電子署名の検証である。図９に示すように、第２セキュリティ処理１０１ａの検証１０１ｂは、センターサーバ２のセキュリティ管理部（ＳＡＭ）２１１におけるセキュリティ処理（受信側の第２セキュリティ処理）１０１ｂとして行われる。センターサーバ２のセキュリティ管理部２１１は、センターサーバ２の記憶部の耐タンパ領域に記憶されたセキュリティ情報（路側機３Ａ及び路側機３Ｂと共有する共通鍵など）を用いて、セキュリティ処理（受信側の第２セキュリティ処理）１０１ｂを行う。

センターサーバ２では、第２セキュリティ処理１０１ａの検証１０１ｂだけでなく、その他の発信情報（活性要求）１０１の適切さに関する検証を行っても良い。例えば、センターサーバ２の処理部２１は、発信情報１０１に含まれる路側機ＩＤ、路側機３Ａの無線部３２のＳＡＭの機器ＩＤを参照し、予めセンターサーバ２において登録されたＩＤであるか否かを確認することによって検証を行っても良い。また、処理部２１は、発信情報１０１に含まれるセキュリティ情報を示す情報（共通鍵テーブル５１のＩＤなど））を検証して、その情報（ＩＤ）が所定の値であるか否かを確認することによって検証を行っても良い。さらに、発信情報１０１に時刻情報が含まれる場合には、処理部２１は、発信情報１０１の時刻情報の確からしさの検証を行っても良い。処理部２１は、発信情報１０１が、適切なルータ７を経由して送信されたか否かを確認することで検証を行っても良い。

発信情報（活性要求）１０１の適切さの検証を行うことで、不適切な発信情報１０１に応答して、不適切な路側機３Ａに活性指示１０２を送信してしまうことを防止できる。

センターサーバ２の処理部２１は、第２セキュリティ処理の検証（ステップＳ１１４）などの発信情報１０１の適切さの検証の結果、発信情報１０１が適切であると判断すると、活性指示１０２を生成する（ステップＳ１１６）。活性指示は、センターサーバ２のＩＤ，時刻情報、アプリケーションＩＤ（活性指示コマンドを示すＩＤ）などを含む。

センターサーバ２の処理部２１は、生成した活性指示１０２にサーバセキュリティ処理１０２ａを施す（ステップＳ１１８；図９参照）。サーバセキュリティ処理１０２ａも、センターサーバ２と路側機３Ａとの間の通信のためのセキュリティ処理である。

センターサーバ２の処理部２１が行うサーバセキュリティ処理１０２ａは、センターサーバ２の記憶部の耐タンパ領域に記憶されたセキュリティ情報（路側機３Ａ及び路側機３Ｂと共有する共通鍵など）を用いて行われる。センターサーバ２によるサーバセキュリティ処理１０２ａは、路側機３Ａによって検証される。サーバセキュリティ処理１０２ａは、例えば、路側機３Ａ及び路側機３Ｂと共有する共通鍵による暗号化、及び、センターサーバ２による電子署名の付加などである。

処理部２１は、サーバセキュリティ処理１０２ａが施された活性指示１０２を、路側機３Ａへ送信する（ステップＳ１２０）。図８の手順では、活性指示１０２にサーバセキュリティ処理１０２ａが施されているので、活性指示１０２の送信がよりセキュアになる。

路側機３Ａの制御部３１は、活性指示１０２を受信すると、その活性指示１０２を無線部３２に渡す（ステップＳ１２２）。図９に示すように、無線部３２のセキュリティ管理部３２５は、活性指示１０２の適否の検証の一つとして、活性指示１０２に施されたサーバセキュリティ処理１０２ａの検証１０２ｂを行う（セキュリティ検証処理；ステップＳ１２４）。図９に示すように、サーバセキュリティ処理１０２ａの検証１０２ｂのため、制御部３１は、拡張層３２４を介さずに、直接、セキュリティ管理部３２５に活性指示１０２を渡すことができる（図９参照）。

サーバセキュリティ処理１０２ａの検証１０２ｂは、例えば、復号化の成否の検証、及び活性指示１０２に付加されている電子署名の検証である。サーバセキュリティ処理１０２ａの検証１０２ｂは、路側機３Ａのセキュリティ管理部３２５におけるセキュリティ処理（受信側の第２セキュリティ処理）１０２ｂとして行われる。路側機３Ａのセキュリティ管理部３２５は、路側機３Ａの記憶部の耐タンパ領域に記憶された活性用セキュリティ情報３２５ｂを用いて、セキュリティ処理１０２ｂを行う。

制御部３１又は無線部３２は、活性指示１０２の適否の検証のため、活性指示１０２のセキュリティ検証１０２ｂ以外のその他の検証を行っても良い。
活性指示１０２のセキュリティ検証１０２ｂなどの活性指示１０２の適切さの検証（活性指示１０２の適否の検証）が行われることで、偽サーバからの活性指示１０２によって盗難された路側機３Ａが活性状態Ａとなることを防止できる。つまり、路側機３Ａは、センターサーバ２からの活性指示の検証１０２ｂによって、センターサーバ２の認証を行っていることになるため、偽サーバからの活性指示を拒否して、盗難された路側機３Ａが活性状態Ａとなるのを防ぐことができる。

検証１０２ｂの結果、活性指示が適切であれば、準備モードＮＡにおける制限は解除され、運用モードＡとなる。

図１０は、図９の変形例を示している。図１０に示す路側機３Ａの無線部３２のセキュリティ管理部３２５は、第２セキュリティ処理１０１ａ及びサーバセキュリティ処理１０２ａの検証１０２ｂを、第１セキュリティ処理１０３ａに用いられる無線通信用セキュリティ情報３２５ａを用いて行う。すなわち、図１０に示す例の場合、第１セキュリティ処理１０３ａに用いられる無線通信用セキュリティ情報と第２セキュリティ処理１０１ａに用いられる情報は共通であり、セキュリティ管理部３２５は、活性用セキュリティ情報３２５ｂを保持する必要がない。図１０に示す例の場合、センターサーバ２のセキュリティ管理部２１１は、路側機３Ａの無線通信用セキュリティ情報３２５ａと同様のセキュリティ情報を保持する。図１０に関し特に説明しない点は、図９と同様である。

図１１は、図９の他の変形例を示している。図１１に示す路側機３Ａの制御部３１は、活性用セキュリティ管理部（活性用ＳＡＭ）３１２を備えている。図１１の制御部３１のアプリケーション３１１は、図８のステップＳ１０８において、発信情報１０１を無線部３２ではなく、活性用セキュリティ管理部３１２に与える。活性用セキュリティ管理部３１２は、受け取った発信情報１０１に、ＳＡＭ情報を追加するとともに、第２セキュリティ処理１０１ａを施す。ここでの第２セキュリティ処理１０１ａは、活性用セキュリティ情報３１２ａを用いて行われる。活性用セキュリティ情報３１２ａは、図９の活性用セキュリティ情報２３５ｂと同様に、路側機３Ａの記憶部の耐タンパ領域に記憶されている。また、サーバセキュリティ処理１０２ａの検証１０２ｂも、活性用セキュリティ管理部３１２にて行われる。図１１の例の場合、第２セキュリティ処理１０１ａ及びサーバセキュリティ処理１０２ａの検証１０２ｂのために、制御部３１が無線部３２にアクセスする必要がない。図１１に関し特に説明しない点は、図９と同様である。

［２．３ スタンドアローン路側機３Ｂ（車載器４Ａ，４Ｂ）の活性化のための処理］
以下、スタンドアローン路側機３Ｂが、運用モード（活性状態）Ａとなるための手順についての複数の例を説明する。以下の複数の例では、いずれも、サービスデータを含む無線パケット１０を生成する手順と、活性要求１０１などのサーバ宛データを含む無線パケット１０を生成する手順とは、異なっている。

［２．３．１ 第１例（第１セキュリティ処理なし・第２セキュリティ処理あり）］
図１２〜図１４は、スタンドアローン路側機３Ｂが、運用モード（活性状態）Ａとなるための手順の第１例を示している。図１２〜図１４に示す手順は、車載器４Ａ，４Ｂが、運用モードＡとなるための手順でもあり、以下の説明における、「路側機３Ｂ」は、「車載器４Ａ，４Ｂ」と読み替えることができる（第２例〜第４例についても同様）。

センターサーバ２と有線通信が行えないスタンドアローン路側機３Ｂが、運用モードＡとなるには、活性要求１０１を無線パケットとしてオンライン路側機３Ａへ送信し、そのオンライン路側機３Ａに、活性要求１０１をセンターサーバ２へ送信してもらう必要がある。

ここで、第１例では、路側機３Ｂは、第２セキュリティ処理１０１ａが可能であるものとする。また、第１例では、路側機３Ｂは、準備モードＮＡでは、「（１）無線送信（無線通信）が不可」の制限がかかっているものとする。例外として、サーバ宛データの無線送信は許容される。ただし、サーバ宛データの送信には、「（２）無線送信用の第１セキュリティ処理が不可」の制限がかかっているものとする。

つまり、第１例の路側機３Ｂは、準備モードＮＡにおいて、第１セキュリティ処理１０３ａが施されたサービスデータ（路車間通信データなど）を無線パケットとして送信することは禁止されている。ただし、サーバ宛データ（活性要求など）の送信のためには、第１セキュリティ処理１０３ａが行われずに生成された無線パケット１０を送信することは許可されている。なお、第１セキュリティ処理１０３ａが行われずに生成された無線パケット１０の送信は、データの種別にかかわらず許可しても良い。

路側機３Ｂが第１セキュリティ処理１０３ａが行われた無線パケットを無線送信すると、偽データとなって、車載器４Ａ，４Ｂが被害を受けるおそれがあるが、平文の無線パケットであれば、車載器４Ａ，４Ｂは、第１セキュリティ処理が施されていないことを認識して、その無線パケットを排除することができる。

これを利用して、第１例の路側機３Ｂは、図１２に示すように、活性要求１０１に第２セキュリティ処理１０１ａを施し、活性要求１０１をセキュアにするが、無線パケット１０の生成処理のための第１セキュリティ処理１０３ａは行わない。これにより、無線パケット１０には第１セキュリティ処理１０３ａによって生成されるセキュリティヘッダ１３が付与されない。この結果、無線パケット１０を受信した車載器４Ａ，４Ｂは、受信した無線パケット１０を平文として認識する。しかし、活性要求１０１自体は第２セキュリティ処理１０１ａによってセキュアである。この結果、活性要求１０１を、路側機３Ｂからセンターサーバ２までセキュアな状態で送信でき、活性要求１０１の盗聴を防止できる。

同様に、センターサーバ２は、活性指示１０２に、サーバセキュリティ処理１０２ａを施し、活性指示１０２をセキュアにするが、オンライン路側機３Ａは、無線パケット１０の生成のための第１セキュリティ処理１０３ａは行わない。活性指示１０２自体はサーバセキュリティ処理１０２ａによってセキュアであるので、活性指示１０２を、センターサーバ２から路側機３Ｂまでセキュアな状態で送信でき、活性指示１０２の盗聴を防止できる。

第１例の路側機３Ｂは、活性指示１０２を受信すると、活性化して運用モードＡとなり、第１セキュリティ処理１０３ａが施されたサービスデータ（路車間通信データなど）１０３の無線パケット１０を無線送信することができる。

図１３は、図１２に示す活性化手順の詳細を示している。なお、スタンドアローン路側機３Ｂの電源がＯＮになると（ステップＳ２００）、路側機３Ａ（の無線部３２）は、準備モード（非活性状態）ＮＡとなる（ステップＳ２０２）。
路側機３Ｂの電源がＯＮになると（ステップＳ２００）、路側機３Ｂの制御部３１（のアプリケーション３１１）は、サーバ宛データである発信情報（活性要求）１０１を生成する（ステップＳ２０４）。発信情報１０１は、路側機３ＢのＩＤ及びアプリケーションＩＤ（活性要求を示すＩＤ）などを含む。制御部３１は、生成した発信情報１０１を、無線部３２に与える（ステップＳ２０６）。無線部３２は、受け取った発信情報１０１に、ＳＡＭ情報を追加するとともに、第２セキュリティ処理１０１ａを施す（ステップＳ２０８；図１４参照）。追加されるＳＡＭ情報は、無線部３２のＳＡＭの機器ＩＤ、セキュリティ状態情報（路側機３Ｂが運用モードで使用することになるセキュリティ情報を示す情報（共通鍵テーブル５１のＩＤなど））などを含む。

図１４に示すように、第２セキュリティ処理１０１ａは、無線部３２のセキュリティ管理部３２５で行われる。第２セキュリティ処理の実行のため、制御部３１は、拡張層３２４を介さずに、直接、セキュリティ管理部３２５に、発信情報（活性要求）１０１を渡すことができる。

サーバ宛データである発信情報１０１に施される第２セキュリティ処理１０１ａは、センターサーバ２以外の宛先のデータであるサービスデータに施される第１セキュリティ処理１０３ａとは、異なっている。したがって、第１セキュリティ処理１０３ａの実行に制限があっても、第２セキュリティ処理１０１ａを行うことができる。

図１４に示す第２セキュリティ処理１０１ａは、図９に示す第２セキュリティ処理１０１ａと同様である。図１４に示す第２セキュリティ処理１０１ａは、図１０に示す第２セキュリティ処理１０１ａと同様であってもよいし、図１１に示す第２セキュリティ処理１０１ａと同様であってもよい。

無線部３２のセキュリティ管理部３２５は、ＳＡＭ情報が追加され第２セキュリティ処理１０１ａが施された発信情報１０１を制御部３１に戻す（ステップＳ２１０）。制御部３１は、その発信情報１０１を、無線送信のために無線部３２に渡す。無線部３２は、拡張層３２４、レイヤ７（Ｌ７）３２３、下位層３２２、及び物理層３２１の各層にて、無線送信処理（無線ヘッダ１１の生成）を行うことで、無線パケット１０を生成する無線通信処理を行い（ステップＳ２１４）、その無線パケット１０を無線送信する（ステップＳ２１８）。準備モードＮＡでは、無線送信のための第１セキュリティ処理１０３ａは禁止されているので、送信された無線パケット１０にセキュリティヘッダ１３は含まれない。

オンライン路側機３Ａの無線部３２は、スタンドアローン路側機３Ｂからの無線パケット１０を受信すると、物理層３２１から拡張層３２４までの無線通信処理(ステップＳ２２０)によって、その無線パケット１０に含まれる発信情報１０１を取り出す。オンライン路側機３Ａの無線部３２は、取り出した発信情報１０１を、オンライン路側機３Ａの制御部３１へ渡す（ステップＳ２２４）。オンライン路側機３Ａの制御部３１は、発信情報１０１をセンターサーバ２へ有線送信する（ステップＳ２２６）。発信情報１０１には、第２セキュリティ処理１０１ａが施されているので、発信情報１０１のセンターサーバ２への送信はセキュアである。

センターサーバ２は、発信情報１０１を受信すると、受信した発信情報１０１に施された第２セキュリティ処理１０１ａの検証１０１ｂを行う（ステップＳ２２８；図１４参照）。図１４に示す第２セキュリティ処理１０１ａの検証１０１ｂは、図９に示す第２セキュリティ処理１０１ａの検証１０１ｂと同様である。

センターサーバ２では、第２セキュリティ処理１０１ａの検証１０１ｂだけでなく、その他の発信情報（活性要求）１０１の適切さに関する検証を行っても良い。その他の発信情報（活性要求）１０１の適切さに関する検証は、図８及び図９に関する説明で述べた「その他の発信情報（活性要求）１０１の適切さに関する検証」と同様に行える。

発信情報（活性要求）１０１の適切さの検証を行うことで、不適切な発信情報１０１に応答して、不適切な路側機３Ｂに活性指示１０２を送信してしまうことを防止できる。

センターサーバ２の処理部２１は、第２セキュリティ処理の検証（ステップＳ２２８）などの発信情報１０１の適切さの検証の結果、発信情報１０１が適切であると判断すると、活性指示１０２を生成する（ステップＳ２３０）。活性指示は、センターサーバ２のＩＤ，時刻情報、アプリケーションＩＤ（活性指示コマンドを示すＩＤ）などを含む。

センターサーバ２の処理部２１は、生成した活性指示１０２にサーバセキュリティ処理１０２ａを施す（ステップＳ２３２；図１４参照）。サーバセキュリティ処理１０２ａも、センターサーバ２と路側機３Ａとの間の通信のためのセキュリティ処理である。このサーバセキュリティ処理１０２ａは、図９に示すサーバセキュリティ処理１０２ａと同様である。

処理部２１は、サーバセキュリティ処理１０２ａが施された活性指示１０２を、路側機３Ａへ送信する（ステップＳ２３４）。活性指示１０２にサーバセキュリティ処理１０２ａが施されているので、活性指示１０２の送信はセキュアである。

路側機３Ａの制御部３１は、活性指示１０２を受信すると、その活性指示１０２を無線部３２に渡す（ステップＳ２３６）。無線部３２は、拡張層３２４、レイヤ７（Ｌ７）３２３、下位層３２２、及び物理層３２１の各層にて、無線送信処理（無線ヘッダ１１の生成）を行うことで、無線パケット１０を生成する無線通信処理を行い（ステップＳ２４０）、その無線パケット１０を無線送信する（ステップＳ２４２）。路側機３Ｂでは、第１セキュリティ処理が禁止されているため、路側機３Ａも、第１セキュリティ処理を行わない。

スタンドアローン路側機３Ｂの無線部３２は、オンライン路側機３Ａからの無線パケット１０を受信すると、物理層３２１から拡張層３２４までの無線通信処理（ステップＳ２４４）によって、その無線パケット１０に含まれる活性指示１０２を取り出す。スタンドアローン路側機３Ｂの無線部３２は、取り出した活性指示１０２を、スタンドアローン路側機３Ｂの制御部３１へ渡す（ステップＳ２４８）。制御部３１は、活性指示１０２を受け取ると、その活性指示１０２を無線部３２のセキュリティ管理部３２５に渡す（ステップＳ２５０）。セキュリティ管理部３２５は、活性指示１０２に施されたサーバセキュリティ処理１０２ａの検証１０２ｂを行う（セキュリティ検証処理；ステップＳ２５２）。サーバセキュリティ処理１０２ａの検証１０２ｂのため、制御部３１は、拡張層３２４を介さずに、直接、セキュリティ管理部３２５に活性指示１０２を渡すことができる（図１４参照）。図１４に示す検証１０２ｂは、図９に示す検証１０２ｂと同様である。

スタンドアローン路側機３Ｂの無線部３２は、セキュリティ検証１０２ｂなどの検証の結果、受信した活性指示１０２が不適切であると判断した場合には、運用モード（活性状態）Ａへの遷移失敗と判断し（ステップＳ２５４）、準備モードＮＡのままとなる（ステップＳ２５６）。受信した活性指示１０２が適切である場合、無線部３２は、運用モード（活性状態）Ａとなり、準備モードにおける制限（第１セキュリティ処理不可）が解除される（ステップＳ２５８）。つまり、無線部３２によって第１セキュリティ処理１０３ａが施されたサービスデータ１０３の送信が可能となる。

その後、無線部３２は、活性状態Ａになれたか否かを示す活性可否応答を制御部３１に送る（ステップＳ２６０）。制御部１３４は、活性可否応答に基づいて、無線部３２が運用モードになるのに成功したか否かの可否判定を行う（ステップＳ２６２）。可否判定の結果、運用モードへの遷移が成功であると判定されると（ステップＳ２６４）、制御部３１は、サービスデータ（路車間通信用のデータ）となるアプリケーションデータの生成を開始する（ステップＳ２６４）。ステップＳ２６４において、成功と判定されない場合、ステップＳ２０４の手前まで戻る。なお、制御部３２がステップＳ２０４において発信情報を生成してから所定の時間を経過した場合（タイムアウト）や、ステップＳ２０４において発信情報を生成してから無線部３２によって送信されたパケット数が所定数をオーバした場合も、ステップＳ２６４において不成功と判定される。

運用モードＡになると、制御部３１は、生成したサービスデータを、無線部３２に与える（ステップＳ２６８）。図１４のステップＳ２６８ａに示すように、路側機３Ｂの制御部３１は、路側機３Ｂが運用モード（活性状態；Ａｃｔｉｖｅ）Ａになるまで、仮にサービスデータを生成しても、無線部３２に与えず、そのサービスデータは送信不可である。

無線部３２のＳＡＭ（セキュリティ管理部）３２５は、受け取ったサービスデータに無線送信用の第１セキュリティ処理（ＭＡＣ処理など；セキュリティヘッダ１３の生成）１０３ａを施す（ステップＳ２７０）。無線部３２は、第１セキュリティ処理１０３ａが施されたサービスデータに対して、その他の無線送信処理（無線ヘッダ１１の生成）を行い（ステップＳ２７２）、無線伝送路に無線パケットとして送信する（ステップＳ２７４）。路車間通信データの無線パケット１０であれば、その無線パケット１０は車載器４Ａ，４Ｂによって受信される。図１３のステップＳ２７４からステップＳ８２では、無線パケット１０が、路側機３Ａ，３Ｂ間の通信（路路間通信データ）の無線パケットである場合の処理を示している。送信された無線パケット１０は、路側機３Ａの無線部３２によって受信され、無線通信処理（ステップＳ２７６）とセキュリティ検証処理（ステップＳ２７８）が行われて、サービスデータが取り出される。取り出されたサービスデータは、無線部３２から制御部３１に与えられる（ステップＳ２７８）。制御部３１は、そのサービスデータがセンターサーバ宛であれば、サービスデータをセンターサーバ２へ送信する（ステップＳ２８２）。

［２．３．２ 第２例（第１セキュリティ処理あり・第２セキュリティ処理あり）］
図１５〜図１６は、スタンドアローン路側機３Ｂが、運用モード（活性状態）Ａとなるための手順の第２例を示している。

第２例では、路側機３Ｂは、第２セキュリティ処理１０１ａが可能であるものとする。また、第２例では、路側機３Ｂは、準備モードＮＡでは、「（１）無線送信（無線通信）が不可」の制限がかかっているものとする。例外として、サーバ宛データの無線送信は許容される。第２例では、第１例とは異なり、サーバ宛データの送信には、「（２）無線送信用の第１セキュリティ処理が不可」の制限はかかっていない。

つまり、第２例の路側機３Ｂは、準備モードＮＡにおいて、第１セキュリティ処理１０３ａが施されたサービスデータ（路車間通信データなど）を無線パケットとして送信することは禁止されている。ただし、サーバ宛データ（活性要求など）の送信のためには、第１セキュリティ処理１０３ａが行われて生成された無線パケット１０を送信することは許可されている。このように、第２例では、準備モードＮＡにおける制限は、送信可能なデータの種別となっている。

第２例では、図１５に示すように、活性要求１０１に第２セキュリティ処理１０１ａを施し、活性要求１０１をセキュアにし、さらに、無線パケット１０の生成処理のための第１セキュリティ処理１０１ｃ，１０１ｄを行う。すなわち、図１６に示すように、制御部３１が、第２セキュリティ処理１０１ａが施された発信情報１０１を、無線部３２に与えると、無線部の拡張層３２４は、第２セキュリティ処理１０１ａが施された発信情報１０１を再度、セキュリティ管理部３２５に与える。これにより、第１セキュリティ処理１０１ｃが行われる。第２セキュリティ処理１０１ａが施された発信情報１０１は、レイヤ７（Ｌ７）３２３からセキュリティ管理部３２５に与えられ、第１セキュリティ処理１０１ｄが行われても良い。

無線パケット１０を受信した路側機３Ａの無線部３２は、拡張層３２４からセキュリティ管理部３２５にアクセスすることによる第１セキュリティ処理１０１ｃの検証１０１ｅ、又は、レイヤ７（Ｌ７）３２３からセキュリティ管理部３２５にアクセスすることによる第１セキュリティ処理１０１ｄの検証１０１ｆを行う。検証１０１ｅ，１０１ｆの後、無線パケット１０から取り出された発信情報１０１は、制御部３１を介して、センターサーバ２に送信される。発信情報に施された第２セキュリティ処理１０１ａの検証１０１ｂは、センターサーバ２のセキュリティ管理部２１１によって行われる。

同様に、センターサーバ２は、活性指示１０２に、サーバセキュリティ処理１０２ａを施し、活性指示１０２をセキュアにし、さらに、オンライン路側機３Ａは、無線パケット１０の生成のための第１セキュリティ処理１０２ｃ，１０２ｄを行う。すなわち、図１６に示すように、センターサーバ２の処理部２１は、活性指示１０２にサーバセキュリティ処理１０２ａを施して、路側機３Ａへ送信する。路側機３Ａの無線部３２は、サーバセキュリティ処理１０２ａが施された活性指示１０２に更に第１セキュリティ処理１０２ｃ，１０２ｄを行い、無線パケット１０として送信する。

無線パケット１０を受信した路側機３Ｂの無線部３２のセキュリティ管理部３２５は、第１キュリティ処理１０２ｃ，１０２ｄの検証１０２ｅ，１０２ｆを行う。検証１０２ｅ，１０２ｆの後、無線パケット１０から取り出された活性指示１０２は、無線部３２から制御部３１に与えられる。制御部３１は、活性指示１０２をセキュリティ管理部３２５に与える。セキュリティ管理部３２５は、活性指示１０２に施されたサーバセキュリティ処理１０２ａの検証１０２ｂを行う。

以上のように第２例では、第２セキュリティ処理１０１ａ及びサーバセキュリティ処理１０２ａだけでなく、第１セキュリティ処理１０１ｃ，１０１ｄ，１０２ｃ，１０２ｄも用いられるため、センターサーバ２と路側機３Ｂとの間の通信を非常にセキュアにすることができる。なお、第２例において説明を省略した点については、第１例と同様である。

［２．３．３ 第３例（第１セキュリティ処理あり・第２セキュリティ処理なし）］
図１７〜図１８は、スタンドアローン路側機３Ｂが、運用モード（活性状態）Ａとなるための手順の第３例を示している。

第３例では、路側機３Ｂは、第１例及び第２例のような第２セキュリティ処理１０１ａを行う機能を有していないものとする。つまり、第３例では、センターサーバ２と路側機３Ｂとの間の通信のセキュリティ機能がないものとする。
また、第３例では、路側機３Ｂは、準備モードＮＡでは、「（１）無線送信（無線通信）が不可」の制限がかかっているものとする。例外として、サーバ宛データの無線送信は許容される。サーバ宛データの送信については、無線送信用の第１セキュリティ処理が可能である。

つまり、第３例の路側機３Ｂは、準備モードＮＡにおいて、第１セキュリティ処理１０３ａが施されたサービスデータ（路車間通信データなど）を無線パケットとして送信することは禁止されている。ただし図１７に示すように、サーバ宛データ（活性要求など）の送信のためには、第１セキュリティ処理１０３ａが行われて生成された無線パケット１０を送信することは許可されている。第３例では、第１セキュリティ処理１０３ａが行われて生成された無線パケット１０の送信は、基本的に禁止されているため、偽データの送信を抑制できる。

第３例では、第１例及び第２例のような第２セキュリティ処理１０１ａは行われないが、路側機３Ｂによって、第１セキュリティ処理が施されるため、路側機３Ａ，３Ｂ間の通信はセキュアである。
なお、センターサーバ２から送信される活性指示１０２についても、図１７に示すように、第１例及び第２例のようなサーバセキュリティ処理１０２ａは行われないしかし、路側機３Ａによって、第１セキュリティ処理が施されるため、路側機３Ａ，３Ｂ間の通信はセキュアである。
第３例の路側機３Ｂも、活性指示１０２を受信すると、活性化して運用モードＡとなり、第１セキュリティ処理１０３ａが施されたサービスデータ（路車間通信データなど）１０３の無線パケット１０を無線送信することができる。

図１８は、図１７に示す活性化手順の詳細を示している。図１８（第３例）の手順と図１３（第１例）の手順とで異なる点は、図１８のステップＳ２０８、Ｓ２１６、Ｓ２２２、Ｓ２３８、Ｓ２４６であり、さらに、図１８では、図１３のステップＳ２２８、Ｓ２３２、Ｓ２５２が存在しないこととである。図１８に関して説明を省略した点については、図１３と同様である。

図１８のステップＳ２０８では、図１３のステップＳ２０９と同様に、発信情報１０１に対するＳＡＭ情報の追加は行われるが、図１３のステップＳ２０８と異なり、第２セキュリティ処理１０１ａは行われない。したがって、制御部３１は、無線部３２から平文の発信情報１０１を戻してもらうと、その平文の発信情報１０１を、無線通信処理（ステップＳ２１４）のために無線部３２に渡す（ステップＳ２１２；図１９参照）。この無線通信処理の際に、拡張層３２４又はレイヤ７（Ｌ７）３２３は、発信情報１０１をセキュリティ管理部３２５に渡す。セキュリティ管理部３２５は、発信情報１０１に対する第１セキュリティ処理１０１ｃ，１０１ｄを行う（ステップＳ２１６；図１９参照）。第１セキュリティ処理１０１ｃ，１０１ｄが行われて生成された無線パケット１０は、オンライン路側機３Ａへ無線送信される（ステップＳ２１６）。この無線パケット１０の送信は、第１セキュリティ処理１０１ｃ，１０１ｄによってセキュアである。

オンライン路側機３Ａの無線部３２は、スタンドアローン路側機３Ｂからの無線パケット１０を受信すると、物理層３２１から拡張層３２４までの無線通信処理(ステップＳ２２０)によって、その無線パケット１０に含まれる発信情報１０１を取り出す。その無線通信処理の際、セキュリティ管理部３２５によって、路側機３Ｂによる第１セキュリティ処理１０１ｃ，１０１ｄのセキュリティ検証１０１ｅ，１０１ｆが行われる（ステップＳ２２２；図１９参照）。この検証１０１ｅ，１０１ｆにより、受信した発信情報（活性要求）１０１の適否を検証できる。検証１０１ｅ，１０１ｆは、セキュリティ検証以外の発信情報１０１の検証を含んでも良い。この検証１０１ｅ，１０１ｆにより、路側機３Ａが不適切な発信情報１０１をセンターサーバ２へ送信することを防止できる。

オンライン路側機３Ａの無線部３２は、取り出した発信情報１０１を、オンライン路側機３Ａの制御部３１へ渡す（ステップＳ２２４）。オンライン路側機３Ａの制御部３１は、発信情報１０１をセンターサーバ２へ有線送信する（ステップＳ２２６）。

センターサーバ２は、発信情報１０１を受信すると、活性指示１０２を生成する（ステップＳ２３０）。第３例のセンターサーバ２は、第２セキュリティ処理１０１ａの検証１０１ｂを行わずに活性指示１０２を生成するが、その他の発信情報（活性要求）１０１の適切さに関する検証を行ってから活性指示１０２を生成してもよい。その他の発信情報（活性要求）１０１の適切さに関する検証は、図８及び図９に関する説明で述べた「その他の発信情報（活性要求）１０１の適切さに関する検証」と同様に行える。

センターサーバ２は、発信情報１０１を受信したことに基づいて生成した活性指示１０２に対するサーバセキュリティ処理１０２ａは行わない。

路側機３Ａの制御部３１は、センターサーバ２から平文の活性指示１０２を受信すると（ステップＳ２３４）、その活性指示１０２、無線通信処理（ステップＳ２４０）のために無線部３２に渡す（ステップＳ２３６）。この無線通信処理の際に、拡張層３２４又はレイヤ７（Ｌ７）３２３は、活性指示１０２をセキュリティ管理部３２５に渡す、セキュリティ管理部３２５は、活性指示１０２に対する第１セキュリティ処理１０２ｃ，１０２ｄを行う（ステップＳ２３８；図１９参照））。第１セキュリティ処理１０２ｃ，１０２ｄが行われて生成された無線パケット１０は、スタンドアローン路側機３Ｂへ無線送信される（ステップＳ２４２）。この無線パケット１０の送信は、第１セキュリティ処理１０１ｃ，１０２ｄによってセキュアである。

スタンドアローン路側機３Ｂの無線部３２は、オンライン路側機３Ａからの無線パケット１０を受信すると、物理層３２１から拡張層３２４までの無線通信処理(ステップＳ２３３)によって、その無線パケット１０に含まれる活性指示１０２を取り出す。その無線通信処理の際、セキュリティ管理部３２５によって、路側機３Ａによる第１セキュリティ処理１０２ｃ，１０２ｃの検証１０２ｅ，１０２ｆが行われる（図１９参照）。検証１０１ｅ，１０１ｆを行うことで、路側機３Ｂが不適切な活性指示１０２（例えば、偽サーバからの活性指示）によって活性化することを防止することができる。

図１８のその後の処理は、図１３のステップＳ２５２のセキュリティ検証処理が図１８では行われないことを除き、図１３と同様である。

［２．３．４ 第４例（第１セキュリティ処理なし・第２セキュリティ処理なし）］
図２０は、スタンドアローン路側機３Ｂが、運用モード（活性状態）Ａとなるための手順の第４例を示している。

第４例では、第３例と同様に、路側機３Ｂは、第２セキュリティ処理１０１ａを行う機能を有していない。
また、 第４例では、路側機３Ｂは、準備モードＮＡでは、準備モードＮＡでは、「（１）無線送信（無線通信）が不可」の制限がかかっているものとする。例外として、サーバ宛データの無線送信は許容される。第４例では、第３例とは異なり、サーバ宛データの送信に、「（２）無線送信用の第１セキュリティ処理が不可」の制限がかかっている。

第４例では、準備モードＮＡで送信される無線パケット１０は、第１セキュリティ処理が行われて生成されたものではないので、この無線パケット１０を受信した車載器４Ａ，４Ｂは、無線パケット１０を排除することが可能である。第４例では、第２セキュリティ処理１０１ａも行われないので、活性要求１０１を含む無線パケット１０は、全くセキュリティ処理が施されていないものとなっている。同様に、活性指示１０２を含む無線パケット１０も、全くセキュリティ処理が施されていないものとなっている。第４例では、セキュリティ処理が必要ないので、路側機３Ａ，３Ｂ及びセンターサーバ２の処理負担を軽減できる。第４例では、「（３）無線通信の時間制限」又は「（４）無線通信のパケット数の制限」がかかっているのが好ましい。

［２．４ 車載器４Ｂの活性化のための処理］
図２１は、車載器４Ｂが、運用モード（活性状態）Ａとなるための手順を示している。車載器４Ｂは、前述のように、第２サーバ８と通信可能な第２無線部４２ｂを有している。
図２１の手順は、図１２〜図１４に示す手順と類似している。図２１の手順が、図１２〜図１４に示す手順と異なる点は、準備モードＮＡにおいて、発信情報（活性要求）１０１及び活性指示１０２の送受信が、車載器４Ｂの第１無線部４２ａではなく、第２無線部４２ｂによって行われる点である。

図１４における発信情報（活性要求）１０１の流れにおいては、準備モードＮＡにおいて、制御部３１が、第２セキュリティ処理１０１ａが施された発信情報１０１を、無線部３２（第１無線部４２ａ）に与えており、発信情報１０１を含む無線パケット１０は、無線部３２（第１無線部４２ａによって送信される。
これに対し、図２１における発信情報の流れにおいては、準備モードＮＡにおいて、御部３１が、第２セキュリティ処理１０１ａが施された発信情報１０１を、第２無線部４２ｂに与えており、発信情報１０１を含む無線パケット１０は、第２無線部４２ｂによって送信される。第２無線部４２ｂによって送信された無線パケット１０は、基地局９によって受信され、第２サーバ８に与えられる。図２１では、車載器４Ｂの活性化の処理に関しては、図１４のセンターサーバ２の役割を、第２サーバ８が果たす。

つまり、第２サーバ８は、そのセキュリティ管理部８１１によって、発信情報１０１の検証（第２セキュリティ処理１０１ａの検証１０１ｂ）を行い、活性指示１０２を生成し、その活性指示１０２に対するサーバセキュリティ処理１０２ａを行う。

活性指示１０２は、基地局９によって、無線パケットに含めて送信される。活性指示１０２を含む無線パケットを受信した第２無線部４２ｂは、受信した無線パケットから活性指示１０２を取り出し、制御部４１に与える。制御部４１は、第１無線部４２ａのセキュリティ管理部４２５に活性指示１０２を渡す。セキュリティ管理部４２５は、活性指示１０２のセキュリティ検証１０２ｂを行う。活性指示が適切であれば、車載器４Ｂは、運用モードＡに遷移する。これにより、準備モードＮＡにおける制限が解除される。

図２１では、車載器４Ｂにおける第２セキュリティ処理１０１ａ及びサーバセキュリティ処理１０２ａの検証１０２ｂには、無線通信用セキュリティ情報４２５ａが用いられる。車載器４Ｂにおける第２セキュリティ処理１０１ａ及びサーバセキュリティ処理１０２ａの検証１０２ｂに用いられるセキュリティ情報は、図１４に示す活性用セキュリティ情報３２５ｂであってもよい。第２サーバ８の記憶部（図示省略）の耐タンパ領域には、第２セキュリティ処理１０１ａの検証１０１ｂ及びサーバセキュリティ処理１０２ａに必要なセキュリティ情報が格納されている。

［３．付記］
上記実施の形態および変形例は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１ 通信システム
２ センターサーバ（第１サーバ）
３Ａ 路側機（オンライン路側機）
３Ｂ 路側機（スタンドアローン路側機）
４Ａ 車載器
４Ｂ 車載器
５ａ 通信回線
５ｂ インターネット
７ ルータ
８ 第２サーバ
９ 基地局
１０ 路車間通信データ（無線パケット）
１１ 無線ヘッダ
１２ アプリケーションデータ
１３ セキュリティヘッダ
１３ａ セキュリティレベルを示す情報
１３ｂ セキュリティ情報ＩＤ
１３ｃ ＭＡＣ
１３ｄ 公開鍵証明書
１３ｅ 電子署名
２１ 処理部
３１ 制御部
３２ 無線部
４１ 制御部
４２ 無線部
４２ａ 第１無線部
４２ｂ 第２無線部
５１ 共通鍵テーブル
８１ 処理部
１０１ 発信情報（活性要求）
１０２ 活性指示
２１１ セキュリティ管理部
３１１アプリケーション
３１２活性用セキュリティ管理部
３１２ａ 活性用セキュリティ情報
３２１ 物理層
３２２ 下位層
３２３ レイヤ７
３２４ 拡張層
３２５ セキュリティ管理部
３２５ａ 無線通信用セキュリティ情報
３２５ｂ 活性用セキュリティ情報
４２１ 物理層
４２２ 下位層
４２３ 拡張層
４２５ セキュリティ管理部
４２５ａ 無線通信用セキュリティ情報
５５１ 共通鍵テーブル
６００ 移動体通信網（ＩＴＳ情報通信システム以外の通信システム）
８１１ セキュリティ管理部
Ｔ 交通端末
ＮＡ 準備モード（非活性状態）
Ａ 運用モード（活性状態）

Claims (62)

1. サービスデータを含む無線パケットを無線送信する無線通信装置であって、
   サーバからの活性指示の受信前においては、無線送信用の第１セキュリティ処理が施されたサービスデータを含む無線パケットの送信処理には制限があり、前記活性指示を受信したことに基づいて、前記制限が解除されるよう構成されている
   無線通信装置。
2. 無線送信用の第１セキュリティ処理が施されたサービスデータを含む無線パケットの送信処理には前記制限がある状態において、前記活性指示の要求を前記サーバへ送信するよう構成されている
   請求項１に記載の無線通信装置。
3. 前記要求は、前記サーバによってセキュリティ検証される第２セキュリティ処理が前記無線通信装置によって施されている
   請求項２に記載の無線通信装置。
4. 前記要求は、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信されるとともに、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信され、
   前記要求は、前記第１セキュリティ処理が施されていない
   請求項３に記載の無線通信装置。
5. 前記サーバと前記無線通信装置とは有線接続されており、
   前記要求は、前記サーバへ有線送信される
   請求項２又は３記載の無線通信装置。
6. 前記第１セキュリティ処理に用いられるセキュリティ情報と、前記第２セキュリティ処理に用いられるセキュリティ情報とは、異なる
   請求項３又は４に記載の無線通信装置。
7. 前記第１セキュリティ処理に用いられるセキュリティ情報と、前記第２セキュリティ処理に用いられるセキュリティ情報とは、共通である
   請求項３又は４に記載の無線通信装置。
8. 前記要求は、セキュリティ処理が施されていない
   請求項２に記載の無線通信装置。
9. 前記要求は、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信されるとともに、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信され、
   前記要求は、前記第１セキュリティ処理が施されていない
   請求項８に記載の無線通信装置。
10. 前記要求は、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信されるとともに、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信され、
    前記要求は、前記第１セキュリティ処理が前記無線通信装置によって施されている
    請求項２又は３に記載の無線通信装置。
11. 前記活性指示を受信すると、前記活性指示の適否の検証を行って、適切であれば前記制限を解除するよう構成されている
    請求項１〜１０のいずれか１項に記載の無線通信装置。
12. 無線通信装置であって、
    サーバへ活性指示の要求を送信するよう構成されているとともに、サービスデータを含む無線パケットを無線送信するよう構成され、
    前記サービスデータを含む無線パケットは、前記要求に対する応答として前記サーバから送信された活性指示に基づいて前記無線通信装置が活性状態になると、前記サービスデータに無線送信用の第１セキュリティ処理が施された状態で送信可能となり、
    前記要求は、前記サーバによってセキュリティ検証される第２セキュリティ処理が前記無線通信装置によって施されている
    無線通信装置。
13. 前記第１セキュリティ処理に用いられるセキュリティ情報と、前記第２セキュリティ処理に用いられるセキュリティ情報とは、異なる
    請求項１２記載の無線通信装置。
14. 前記第１セキュリティ処理に用いられるセキュリティ情報と、前記第２セキュリティ処理に用いられるセキュリティ情報とは、共通である
    請求項１２記載の無線通信装置。
15. 無線通信装置であって、
    サーバへ活性指示の要求を送信するよう構成されているとともに、サービスデータを含む無線パケットを無線送信するよう構成され、
    前記サービスデータを含む無線パケットは、前記要求に対する応答として前記サーバから送信された活性指示に基づいて前記無線通信装置が活性状態になると、前記サービスデータに無線送信用の第１セキュリティ処理が施された状態で送信可能となり、
    前記要求は、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信され、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信され、
    前記要求は、前記無線通信装置によって前記第１セキュリティ処理が施されている
    無線通信装置。
16. 無線通信装置であって、
    サーバへ活性指示の要求を送信するよう構成されているとともに、サービスデータを含む無線パケットを無線送信するよう構成され、
    前記サービスデータを含む無線パケットは、前記要求に対する応答として前記サーバから送信された活性指示に基づいて前記無線通信装置が活性状態になると、前記サービスデータに無線送信用の第１セキュリティ処理が施された状態で送信可能となり、
    前記サーバと前記無線通信装置は有線接続されており、
    前記要求は、前記サーバへ有線送信される
    無線通信装置。
17. 無線通信装置であって、
    サーバへ活性指示の要求を送信するよう構成されているとともに、サービスデータを含む無線パケットを無線送信するよう構成され、
    前記サービスデータを含む無線パケットは、前記要求に対する応答として前記サーバから送信された活性指示に基づいて前記無線通信装置が活性状態になると、前記サービスデータに無線送信用の第１セキュリティ処理が施された状態で送信可能となり、
    前記要求は、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信され、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信され、
    前記要求は、セキュリティ処理が施されていない
    無線通信装置。
18. サービスデータを含む無線パケットを無線送信する無線通信装置であって、
    サーバ宛データを、サーバへ送信するよう構成され、
    前記サーバ宛データは、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信されるとともに、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信され、
    前記サーバ宛データは、前記サービスデータに施される無線送信用の第１セキュリティ処理は施されておらず、前記サーバによってセキュリティ検証される第２セキュリティ処理が前記無線通信装置によって施されている
    無線通信装置。
19. 前記第１セキュリティ処理に用いられるセキュリティ情報と、前記第２セキュリティ処理に用いられるセキュリティ情報とは、異なる
    請求項１８に記載の無線通信装置。
20. 前記第１セキュリティ処理に用いられるセキュリティ情報と、前記第２セキュリティ処理に用いられるセキュリティ情報とは、共通である
    請求項１８記載の無線通信装置。
21. サービスデータを含む無線パケットを無線送信する無線通信装置であって、
    サーバ宛データを、サーバへ送信するよう構成され、
    前記サーバ宛データは、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信されるとともに、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信され、
    前記サービスデータを含む無線パケットを生成する手順と、前記サーバ宛データを含む無線パケットを生成する手順と、は異なる
    無線通信装置。
22. 無線通信装置であって、
    サーバ宛データを、サーバへ送信するよう構成されているとともに、
    前記サーバ以外の宛先のデータには無線送信用の第１セキュリティ処理を行い、サーバ宛データには前記第１セキュリティ処理とは異なるサーバ宛データ用の第２セキュリティ処理を行うよう構成されている
    無線通信装置。
23. 前記第１セキュリティ処理に用いられるセキュリティ情報と、前記第２セキュリティ処理に用いられるセキュリティ情報とは、異なる
    請求項２２に記載の無線通信装置。
24. 前記第１セキュリティ処理に用いられるセキュリティ情報と、前記第２セキュリティ処理に用いられるセキュリティ情報とは、共通である
    請求項２２に記載の無線通信装置。
25. データを無線送信する無線通信装置であって、
    非活性状態及び活性状態の各状態での処理を行うよう構成され、
    前記非活性状態は、前記無線通信装置の起動後の初期状態であって、前記データの送信に関して制限がある状態であり、
    前記活性状態は、前記制限が解除された状態であり、
    前記活性状態は、前記非活性状態から遷移可能である
    無線通信装置。
26. 前記非活性状態から前記活性状態への遷移は、サーバからの活性指示を受信したことに基づいて生じる
    請求項２５記載の無線通信装置。
27. 前記非活性状態から前記活性状態への遷移は、無線送信されるデータに施されるセキュリティ処理に用いられるセキュリティ情報を、サーバから受信したことに基づいて生じる
    請求項２５に記載の無線通信装置。
28. 前記制限は、前記データの無線送信の禁止を含み、
    前記非活性状態では、前記活性指示の要求を前記サーバへ送信することは許容されている
    請求項２６に記載の無線通信装置。
29. 前記制限は、無線送信用の第１セキュリティ処理の禁止を含み、
    前記非活性状態では、前記サーバによってセキュリティ検証される第２セキュリティ処理が施されたデータを送信することは許容されている
    請求項２６又は２７に記載の無線通信装置。
30. 前記制限は、送信可能なデータ種別の制限を含む
    請求項２５〜２７のいずれか１項に記載の無線通信装置。
31. 前記制限は、送信が可能な時間の制限を含む
    請求項２５〜３０のいずれか１項に記載の無線通信装置。
32. 前記制限は、送信されるデータのセキュリティレベルが低いことを示す情報が前記データに付加されることである
    請求項２５〜３１のいずれか１項に記載の無線通信装置。
33. データを無線送信する無線通信装置であって、
    前記無線通信装置が起動してからサーバからの活性指示を受信するまでは、所定の条件を満たしている場合において、サーバ宛データの無線送信が可能である
    無線通信装置。
34. 前記所定の条件は、データの無線送信が許される所定の時間内であること、を含む
    請求項３３に記載の無線通信装置。
35. 前記所定の条件は、無線送信可能なデータ量で規定される条件を含む
    請求項３３又は３４に記載の無線通信装置。
36. 請求項２、１５、１６、１７、及び２８のいずれか１項に記載の無線通信装置から送信された前記要求を受信すると、前記要求の適否の検証を行って、適切であれば、前記無線通信装置へ前記活性指示を送信するよう構成されている
    サーバ。
37. サーバからの前記活性指示を受信すると、前記活性指示の適否の検証を行って、適切であれば前記制限を解除するよう構成されている
    請求項２に記載の無線通信装置。
38. 請求項３又は４に記載の無線通信装置から前記要求を含む無線パケットを受信すると、前記要求の適否の検証を行って、適切であれば、前記サーバへ前記要求を送信するよう構成されている
    無線通信装置。
39. 請求項３８に記載の無線通信装置から送信された前記要求を受信すると、前記活性指示を前記無線通信装置へ送信する
    サーバ。
40. 請求項３９の前記サーバから送信された前記活性指示を受信すると、無線送信用のセキュリティ処理が施された前記活性指示を含む無線パケットを無線送信するよう構成されている
    無線通信装置。
41. 請求項４０の無線通信装置から、前記活性指示を含む無線パケットを受信すると、前記活性指示に施された前記セキュリティ処理の検証を行って、前記セキュリティ処理が適切でなければ前記活性指示を受け入れないよう構成されている
    無線通信装置。
42. 前記無線通信装置は、移動局への無線パケット送信が可能な路側機である
    請求項１〜３５、３７、３８、４０、及び４１のいずれか１項に記載の無線通信装置。
43. 前記無線通信装置は、移動局である
    請求項１〜４、６〜９、１２〜１５、１７〜３５、及び４１のいずれか１項に記載の無線通信装置。
44. 高度道路交通システムの運用管理機関の第１サーバによって管理される路側機から送信されたデータを受信するとともに、他の移動局との間で無線通信をするための第１無線部と、
    前記運用管理機関とは異なる機関によって管理される第２サーバとの通信を行うために用いられる第２無線部と、
    を備え、
    前記第２サーバからの活性指示の受信前においては、他の移動局への無線送信用の第１セキュリティ処理が施されたサービスデータを含む無線パケットの送信処理には制限があり、前記活性指示を前記第２サーバから受信したことに基づいて、前記制限が解除されるよう構成されている
    移動局。
45. 他の移動局への無線送信用の第１セキュリティ処理が施されたサービスデータを含む無線パケットの送信処理には前記制限がある状態において、前記活性指示の要求を前記第２サーバへ送信するよう構成されている
    請求項４４に記載の移動局。
46. 前記要求は、前記第２サーバによってセキュリティ検証される第２セキュリティ処理が前記移動局によって施されている
    請求項４５に記載の移動局。
47. 前記運用管理機関とは異なる前記機関は、自動車メーカ又は車載器メーカである
    請求項４４〜４６のいずれか１項に記載の移動局。
48. サービスデータを含む無線パケットを無線送信する無線通信装置は、サーバからの活性指示を受信する前においては、無線送信用の第１セキュリティ処理が施されたサービスデータを含む無線パケットの送信処理には制限がある状態になり、
    前記無線通信装置は、前記活性指示を受信したことに基づいて、前記制限を解除する
    ことを含む方法。
49. サーバへ活性指示の要求を送信するよう構成されているとともに、サービスデータを含む無線パケットを無線送信するよう構成された無線通信装置が行う方法であって、
    前記無線通信装置は、前記要求に対する応答として前記サーバから送信された活性指示に基づいて活性状態になり、
    前記無線通信装置は、前記活性状態になると、前記サービスデータを含む無線パケットを、前記サービスデータに無線送信用の第１セキュリティ処理が施された状態で送信する、
    ことを含み、
    前記要求は、前記サーバによってセキュリティ検証される第２セキュリティ処理が前記無線通信装置によって施されている
    方法。
50. 無線通信装置が行う方法であって、
    サーバへ活性指示の要求を送信することと、
    サービスデータを含む無線パケットを無線送信することと、
    を含み、
    前記サービスデータを含む無線パケットは、前記要求に対する応答として前記サーバから送信された活性指示に基づいて前記無線通信装置が活性状態になると、前記サービスデータに無線送信用の第１セキュリティ処理が施された状態で送信され、
    前記要求は、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信され、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信され、
    前記要求は、前記無線通信装置によって前記第１セキュリティ処理が施されている
    方法。
51. 無線通信装置が行う方法であって、
    サーバへ活性指示の要求を送信することと、
    サービスデータを含む無線パケットを無線送信することと、
    を含み、
    前記サービスデータを含む無線パケットは、前記要求に対する応答として前記サーバから送信された活性指示に基づいて前記無線通信装置が活性状態になると、前記サービスデータに無線送信用の第１セキュリティ処理が施された状態で送信され、
    前記サーバと前記無線通信装置は有線接続されており、
    前記要求は、前記サーバへ有線送信される
    方法。
52. 無線通信装置が行う方法であって、
    サーバへ活性指示の要求を送信することと、
    サービスデータを含む無線パケットを無線送信することと、
    を含み、
    前記サービスデータを含む無線パケットは、前記要求に対する応答として前記サーバから送信された活性指示に基づいて前記無線通信装置が活性状態になると、前記サービスデータに無線送信用の第１セキュリティ処理が施された状態で送信され、
    前記要求は、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信され、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信され、
    前記要求は、セキュリティ処理が施されていない
    方法。
53. サービスデータを含む無線パケットを無線送信する無線通信装置が行う方法であって、
    サーバ宛データを、サーバへ送信することを含み、
    前記サーバ宛データは、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信されるとともに、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信され、
    前記サーバ宛データは、前記サービスデータに施される無線送信用の第１セキュリティ処理は施されておらず、前記サーバによってセキュリティ検証される第２セキュリティ処理が前記無線通信装置によって施されている
    方法。
54. サービスデータを含む無線パケットを無線送信する無線通信装置が行う方法であって、
    サービスデータを含む無線パケットを送信することと、
    サーバ宛データを、サーバへ送信することと、
    を含み、
    前記サーバ宛データは、前記無線通信装置から前記他の無線通信装置へ無線パケットに含めて送信されるとともに、前記他の無線通信装置によって前記無線パケットから取り出されて前記サーバへ送信され、
    前記サービスデータを含む無線パケットを生成する手順と、前記サーバ宛データを含む無線パケットを生成する手順と、は異なる
    方法。
55. 無線通信装置が行う方法であって、
    サーバ宛データを、サーバへ送信することと、
    前記サーバ以外の宛先のデータを無線送信することと、
    を含み
    前記サーバ以外の宛先のデータには無線送信用の第１セキュリティ処理が行われ、
    前記サーバ宛データには前記第１セキュリティ処理とは異なるサーバ宛データ用の第２セキュリティ処理が行われる
    方法。
56. データを無線送信する無線通信装置が行う方法であって、
    非活性状態及び活性状態の各状態での処理を行うことを含み、
    前記非活性状態は、前記無線通信装置の起動後の初期状態であって、前記データの送信に関して制限がある状態であり、
    前記活性状態は、前記制限が解除された状態であり、
    前記活性状態は、前記非活性状態から遷移可能である
    方法。
57. データを無線送信する無線通信装置が行う方法であって、
    前記無線通信装置が起動してからサーバからの活性指示を受信するまでは、所定の条件を満たしている場合において、サーバ宛データの無線送信を行う
    ことを含む方法。
58. サーバが、無線通信装置から、前記無線通信装置における通信の制限を解除するための活性指示の要求を受信し、
    前記サーバが、前記要求の適否の検証を行い、
    前記サーバが、前記要求が適切であれば、前記活性指示を前記無線通信装置へ送信する
    ことを含む方法。
59. 前記無線通信装置が、前記サーバからの前記活性指示を受信し、
    前記無線通信装置が、前記活性指示の適否の検証を行い、
    前記無線通信装置が、前記活性指示が適切であれば、前記制限を解除する
    ことを更に含む請求項５８に記載の方法。
60. 無線通信装置が、他の無線通信装置から、前記他の無線通信装置における通信の制限を解除するための活性指示の要求を含む無線パケットを受信し、
    前記無線通信装置が、前記要求の適否の検証を行い、
    前記無線通信装置が、前記要求が適切であれば、前記要求をサーバへ送信する
    ことを含む方法。
61. 前記サーバが、前記要求を受信すると、前記活性指示を前記無線通信装置へ送信する
    ことを更に含む請求項６０記載の方法。
62. 前記他の無線通信装置が、前記無線通信装置を介して、前記活性指示を受信し、
    前記他の無線通信装置が、前記他の無線通信装置によって前記活性指示に施されたセキュリティ処理の検証を行い、
    前記他の無線通信装置が、前記活性指示に施されたセキュリティ処理が適切であれば前記制限を解除する
    ことを更に含む請求項６１に記載の方法。

Images