JP2017046080A - 車載器、車載器プログラム、車車間通信支援装置および車車間通信支援プログラム - Google Patents

Abstract

【課題】他車両の車載器から送信されたメッセージを自車両の状態に応じた順番で処理できるようにする。
【解決手段】車車間通信部１１０が、他の車載器から送信されたメッセージを受信する。状態取得部１２０が、自車両の状態を識別する状態識別子を取得する。ポリシー取得部１３０が、ポリシーファイル１９１から、取得された状態識別子に対応付けられた優先順位ポリシーを選択する。ポリシー取得部１３０が、選択した優先順位ポリシーから、受信されたメッセージの種類を識別する種類識別子に対応付けられた優先順位を取得する。メッセージ書込み部１４１が、取得された優先順位に応じた順番で読み出されるように、受信されたメッセージをメッセージキュー１９２に挿入する。
【選択図】図１

Description

本発明は、車車間通信に関するものである。

Ｖ２Ｘ通信は、１００ｍｓ等の短い周期で数百台の車載器が行う通信である。Ｖ２Ｘは、Ｖｅｈｉｃｌｅ Ｔｏ Ｘの略称である。
セキュリティ上、Ｖ２Ｘ通信で受信する受信パケットの正当性を検証する必要がある。そして、受信パケットの正当性を検証するには、受信パケットに対する署名の検証と、証明書検証とを行う必要がある。証明書検証は、署名の検証に用いる公開鍵の正当性を検証することである。証明書検証は、車載器の証明書からルート認証局の証明書まで遡って各証明書を検証する必要があるため、負荷が大きい。
そのため、車載器には、すべての受信パケットを処理するために、大きな負荷が掛かる。

特許文献１には、受信パケットの内容に基づいてその受信パケットの重要度を判定し、判定した重要度に応じて受信パケットの検証の順番を決定することが開示されている。
この技術では、車載器で動作するアプリケーションプログラムと関係なく検証の順番が判断されるため、本来は先に検証すべき受信パケットの検証が後回しにされてしまう可能性がある。

特許文献１の場合、緊急車両のパケットは、必ず「緊急」と判定される。そのため、交差点で右折しようとする際に緊急車両が自車両の前方を直進していると、本来は優先すべき対向車等のパケットよりも、緊急車両のパケットの方が優先されてしまう。
また、新しいアプリケーションが追加された場合、および、優先順位が異なる複数のアプリケーションのそれぞれで緊急情報を必要とした場合、優先度の高いアプリケーションが必要とする緊急情報をリアルタイムに処理することができない。
また、車両の状態に応じてアプリケーションの優先度が変わる場合に対応することができない。

特許文献２には、証明書検証を外部の検証サーバに依頼し、検証が成功した場合に検証サーバからキャッシュ情報を取得することが開示されている。キャッシュ情報を取得した後、キャッシュ情報を用いて証明書検証を行うことにより、証明書検証の負荷が軽減する。
この技術では、パケットを受信してから証明書の検証要求を検証サーバに依頼するため、所望の時間内に証明書の検証結果を得ることができない可能性がある。
また、パケットを受信するまでは検証すべき証明書がわからないため、検証サーバに検証要求を予め送信することもできない。

特開２０１２−１０００２４号公報 国際公開２０１４／１０８９９３号

本発明は、他車両の車載器から送信されたメッセージを自車両の状態に応じた順番で処理できるようにすることを目的とする。

本発明の車載器は、自車両に搭載される車載器である。
前記車載器は、
他車両に搭載される他の車載器から送信されたメッセージを受信する車車間通信部と、
前記自車両の状態を識別する状態識別子を取得する状態取得部と、
メッセージの優先順位をメッセージの種類を識別する種類識別子に対応付けて含んだ優先順位ポリシーを状態識別子毎に有するポリシーファイルから、前記状態取得部によって取得された状態識別子に対応付けられた優先順位ポリシーを選択するポリシー選択部と、
選択された優先順位ポリシーから、受信されたメッセージの種類を識別する種類識別子に対応付けられた優先順位を取得する優先順位取得部と、
取得された優先順位に応じた順番で読み出されるように、前記受信されたメッセージをメッセージ記憶領域に書き込むメッセージ書込み部とを備える。

本発明によれば、他車両の車載器から送信されたメッセージを自車両の状態に応じた順番で処理することができる。

実施の形態１における車載器１００の構成図。 実施の形態１におけるメッセージ管理方法のフローチャート。 実施の形態１におけるメッセージ１０１の構成図。 実施の形態１における状態識別子ファイル１８１の構成図。 実施の形態１におけるポリシー取得部１３０の構成図。 実施の形態１におけるポリシーファイル１９１の構成図。 実施の形態１におけるポリシー取得処理（Ｓ１３０）のフローチャート。 実施の形態１におけるメッセージキュー１９２の構成図。 実施の形態１におけるメッセージ処理方法のフローチャート。 実施の形態１におけるメッセージ検証部１５０の構成図。 実施の形態１におけるメッセージ検証処理（Ｓ１５０）のフローチャート。 実施の形態１における電子証明書１０２の構成図。 実施の形態１における優先順位ポリシーの変更例を説明する図。 実施の形態１における優先順位ポリシーの変更例を説明する図。 実施の形態１における車載器１００の別の構成図。 実施の形態２における車車間通信システム２００の構成図。 実施の形態２における車車間通信支援装置３００の構成図。 実施の形態２における車車間通信支援装置３００に備わる通信装置９０４の構成図。 実施の形態２における車載器４００の構成図。 実施の形態２における車載器４００に備わる通信装置９０４の構成図。 実施の形態２における車車間通信支援方法およびメッセージ処理方法の概要を説明する図。 実施の形態２における車車間通信支援方法の前処理のフローチャート。 実施の形態２における走行予定情報２０１の構成図。 実施の形態２における車車間通信支援方法の前半のフローチャート。 実施の形態２における走行予定検証処理（Ｓ２２０）のフローチャート。 実施の形態２における車車間通信支援方法の後半のフローチャート。 実施の形態２における車車間通信支援方法の後半のフローチャート。 実施の形態２におけるメッセージ処理方法のフローチャート。 実施の形態２におけるメッセージ検証処理（Ｓ３２０）のフローチャート。 実施の形態２における動作タイミング調整方法のフローチャート。 実施の形態２における情報共有方法のフローチャート。 実施の形態２における車車間通信支援装置３００の別の構成図。 実施の形態２における車載器４００の別の構成図。

実施の形態１．
車両に搭載される車載器１００について、図１から図１６に基づいて説明する。
車載器１００が搭載された車両を自車両という。また、自車両とは別の車両を他車両といい、他車両に搭載された車載器を他の車載器という。

＊＊＊構成の説明＊＊＊
図１に基づいて、車載器１００の構成について説明する。
車載器１００は、プロセッサ９０１、メモリ９０３、通信装置９０４といったハードウェアを備えるコンピュータである。
プロセッサ９０１は、信号線９１０を介して他のハードウェアと接続されている。

プロセッサ９０１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）であり、他のハードウェアを制御する。具体的に、プロセッサ９０１はＣＰＵ、ＤＳＰまたはＧＰＵである。ＣＰＵはＣｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略称であり、ＤＳＰはＤｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒの略称であり、ＧＰＵはＧｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略称である。
メモリ９０３はデータを記憶する記憶装置である。具体的に、メモリ９０３はＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
通信装置９０４は、データを受信するレシーバ９０４１と、データを送信するトランスミッタ９０４２とを備える。具体的に、通信装置９０４は、通信チップまたはＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。レシーバ９０４１およびトランスミッタ９０４２は、他の車載器と通信する車車間通信部１１０として機能する。

メモリ９０３には、ポリシーファイル１９１、メッセージキュー１９２およびアプリケーションプログラム１９３などのデータが記憶される。さらに、メモリ９０３には、状態識別子ファイル１８１、証明書失効リスト１８２、通信履歴ファイル１８３、検証済証明書ファイル１８４およびルート証明書１８５などのデータが記憶される。各データの内容については後述する。
また、メモリ９０３には、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）が記憶されている。
さらに、メモリ９０３には、状態取得部１２０、ポリシー取得部１３０、メッセージ書込み部１４１、メッセージ読出し部１４２、メッセージ検証部１５０およびアプリケーション処理部１６０といった「部」の機能を実現するプログラムが記憶されている。「部」の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスクまたはフラッシュメモリ等の記憶媒体に記憶することができる。「部」の機能については後述する。

プロセッサ９０１は、ＯＳを実行しながら「部」の機能を実現するプログラムを実行する。つまり、「部」の機能を実現するプログラムは、メモリ９０３にロードされ、プロセッサ９０１によって実行される。
なお、車載器１００が複数のプロセッサ９０１を備えて、複数のプロセッサ９０１が「部」の機能を実現するプログラムを連携して実行してもよい。

「部」の処理の結果は、メモリ９０３、プロセッサ９０１内のレジスタまたはプロセッサ９０１内のキャッシュメモリに記憶される。「部」の処理の結果は、データ、情報、信号値または変数値といった形態で示される。

プロセッサ９０１とメモリ９０３とをまとめたハードウェアを「プロセッシングサーキットリ」という。
「部」は「工程」、「手順」または「処理」に読み替えてもよい。「部」の機能はファームウェアで実現してもよい。

＊＊＊動作の説明＊＊＊
車載器１００の動作はメッセージ管理方法およびメッセージ処理方法に相当する。また、メッセージ管理方法およびメッセージ処理方法は車載器プログラムに相当する。

図２に基づいて、メッセージ管理方法について説明する。
メッセージ管理方法は、他の車載器から送信されたメッセージ１０１が車載器１００に到達する度に実行される。

Ｓ１１０はメッセージ受信処理である。
Ｓ１１０において、車車間通信部１１０は、他の車載器から送信されたメッセージ１０１を受信する。具体的なメッセージ１０１は、Ｖ２Ｘ情報である。Ｖ２Ｘは、Ｖｅｈｉｃｌｅ Ｔｏ Ｘの略称である。

図３に、Ｖ２Ｘ情報であるメッセージ１０１について説明する。
メッセージ１０１は、証明書情報と、付属情報と、アプリケーションデータと、電子署名とを含んでいる。
証明書情報は、送信元の車載器の電子証明書を含む。また、各認証局の電子証明書が証明書情報に含まれる場合がある。各認証局のうちの１つは、送信元の車載器の電子証明書を発行した認証局である。
付属情報は、メッセージ１０１の種類を識別する種類識別子、メッセージ１０１が生成されたときの他の車載器の位置を示す位置情報、および、メッセージ１０１が生成された時刻などの情報を含む。
アプリケーションデータは、アプリケーションプログラム１９３の入力となるデータである。
電子署名は、メッセージ１０１に含まれる情報（電子署名を除く）のハッシュ値を送信元の車載器の秘密鍵を用いて暗号化したデータである。

図２に戻り、Ｓ１２０から説明を続ける。
Ｓ１２０は状態取得処理である。
Ｓ１２０において、状態取得部１２０は、自車両の状態を識別する状態識別子を取得する。
具体的に、状態識別子は、自車両の車載器１００で動作しているアプリケーションプログラムの種類によって特定される状態を識別する。

状態識別子は以下のように取得される。
状態取得部１２０は、動作しているアプリケーションプログラムのアプリケーション識別子をＯＳに要求し、ＯＳから応答されるアプリケーション識別子を受け取る。
そして、状態取得部１２０は、受け取ったアプリケーション識別子に対応付けられた状態識別子を状態識別子ファイル１８１から取得する。

図４に基づいて、状態識別子ファイル１８１の構成について説明する。
状態識別子ファイル１８１は、アプリケーション識別子と、アプリケーション識別子に対応付けられた状態識別子とを含んでいる。
ＯＳから受け取ったアプリケーション識別子がＡＰ０およびＡＰ１である場合、状態識別子ファイル１８１は、ＡＰ０およびＡＰ１に対応付けられた状態識別子ＳＴ０を状態識別子ファイル１８１から取得する。

図２に戻り、Ｓ１３０から説明を続ける。
Ｓ１３０はポリシー取得処理である。
Ｓ１３０において、ポリシー取得部１３０は、ポリシーファイル１９１から、自車両の状態と受信されたメッセージ１０１の種類とに対応する優先順位とアプリケーション識別子とを取得する。

図５に基づいて、ポリシー取得部１３０の機能構成について説明する。
ポリシー取得部１３０は、ポリシー選択部１３１と、優先順位取得部１３２と、アプリケーション識別子取得部１３３とを備える。各機能については後述する。

図６に基づいて、ポリシーファイル１９１の構成について説明する。
ポリシーファイル１９１は、自車両の状態を識別する状態識別子毎に優先順位ポリシーを有する。
各優先順位ポリシーは、メッセージの優先順位と、アプリケーション識別子とを、メッセージの種類を識別する種類識別子に対応付けて含んでいる。

図７に基づいて、ポリシー取得処理（Ｓ１３０）について説明する。
Ｓ１３１はポリシー選択処理である。
Ｓ１３１において、ポリシー選択部１３１は、Ｓ１２０で取得された状態識別子に対応付けられた優先順位ポリシー１９１Ｐをポリシーファイル１９１から選択する。

優先順位ポリシー１９１Ｐは以下のように選択される。
ポリシー選択部１３１は、Ｓ１２０で取得された状態識別子と同じ状態識別子をポリシーファイル１９１から選択する。
そして、ポリシー選択部１３１は、選択した状態識別子に対応付けられた優先順位ポリシー１９１Ｐをポリシーファイル１９１から選択する。

Ｓ１３２は優先順位取得処理である。
Ｓ１３２において、優先順位取得部１３２は、選択された優先順位ポリシー１９１Ｐから、受信されたメッセージ１０１の種類を識別する種類識別子に対応付けられた優先順位を取得する。

優先順位は以下のように取得される。
優先順位取得部１３２は、メッセージ１０１に含まれる付随情報から種類識別子を取得する。
次に、優先順位取得部１３２は、取得した種類識別子と同じ種類識別子を優先順位ポリシー１９１Ｐから選択する。
そして、優先順位取得部１３２は、選択した種類識別子に対応付けられた優先順位を優先順位ポリシー１９１Ｐから取得する。

Ｓ１３３はアプリケーション識別子取得処理である。
Ｓ１３３において、アプリケーション識別子取得部１３３は、選択された優先順位ポリシー１９１Ｐから、受信されたメッセージ１０１の種類を識別する種類識別子に対応付けられたアプリケーション識別子を取得する。

アプリケーション識別子は以下のように取得される。
アプリケーション識別子取得部１３３は、メッセージ１０１に含まれる付随情報から種類識別子を取得する。
次に、アプリケーション識別子取得部１３３は、取得した種類識別子と同じ種類識別子を優先順位ポリシー１９１Ｐから選択する。
そして、アプリケーション識別子取得部１３３は、選択した種類識別子に対応付けられたアプリケーション識別子を優先順位ポリシー１９１Ｐから取得する。

図２に戻り、Ｓ１４１から説明を続ける。
Ｓ１４１はメッセージ書込み処理である。
Ｓ１４１において、メッセージ書込み部１４１は、取得された優先順位と取得されたアプリケーション識別子と受信されたメッセージ１０１とをメッセージ記憶領域に書き込む。
具体的なメッセージ記憶領域は、メッセージキュー１９２である。メッセージキュー１９２は、読み出される順番に並べられた各メッセージが順番に読み出されるデータ構造を有する記憶領域である。

このとき、メッセージ書込み部１４１は、受信されたメッセージ１０１が受信されたメッセージ１０１の優先順位に応じた順番で読み出されるように、受信されたメッセージ１０１をメッセージキュー１９２に挿入する。

メッセージ１０１はメッセージキュー１９２に以下のように挿入される。ここで、メッセージキュー１９２に格納されているメッセージを格納済メッセージという。
メッセージ書込み部１４１は、メッセージ１０１よりも優先順位が低い格納済メッセージのうち、順番が最も早い格納済メッセージをメッセージキュー１９２から選択する。
そして、メッセージ書込み部１４１は、選択した格納済メッセージの前にメッセージ１０１を挿入する。

図８において、受信されたメッセージ１０１の優先順位が１である場合、メッセージ１０１は、優先順位が２であるメッセージＭ２の前に挿入される。その結果、メッセージ１０１が読み出される順番に２になり、メッセージＭ２以降の各メッセージの順番は１つずつ繰り下がる。

図２において、Ｓ１４１の後、メッセージ管理方法の手順は終了する。

図９に基づいて、メッセージ処理方法について説明する。
Ｓ１４２において、メッセージ読出し部１４２は、メッセージキュー１９２にメッセージ１０１が有るか判定する。
メッセージキュー１９２にメッセージ１０１が有る場合、処理はＳ１４３に進む。
メッセージキュー１９２にメッセージ１０１が無い場合、処理はＳ１４２に戻る。

Ｓ１４３はメッセージ読出し処理である。
Ｓ１４３において、メッセージ読出し部１４２は、メッセージ記憶領域から各メッセージ１０１の優先順位に応じた順番でメッセージ１０１を読み出す。
具体的に、メッセージ読出し部１４２は、読み出す順番のメッセージ１０１である先頭のメッセージと、先頭のメッセージに対応付けられたアプリケーション識別子とをメッセージ記憶領域から読み出す。
つまり、メッセージ読出し部１４２は、メッセージ記憶領域であるメッセージキュー１９２から先頭に格納されているメッセージ１０１と、そのメッセージ１０１に対応付けられたアプリケーション識別子とを読み出す。先頭に格納されているメッセージ１０１が読み出された後、そのメッセージ１０１の次に格納されていたメッセージ１０１が先頭のメッセージになる。

Ｓ１５０はメッセージ検証処理である。
Ｓ１５０において、メッセージ検証部１５０は、読み出されたメッセージ１０１が正当なメッセージであるか検証する。

図１０に基づいて、メッセージ検証部１５０の機能構成について説明する。
メッセージ検証部１５０は、有効期間判定部１５１と、失効判定部１５２と、リプレイ攻撃判定部１５３と、検証済判定部１５４と、証明書検証部１５５と、署名検証部１５６とを備える。各機能については後述する。

図１１に基づいて、メッセージ検証処理（Ｓ１５０）について説明する。
Ｓ１５１において、有効期間判定部１５１は、メッセージ１０１に含まれる証明書情報から、メッセージ１０１を送信した車載器の電子証明書１０２を取得する。取得された電子証明書１０２を、送信元の電子証明書１０２という。

図１２に基づいて、電子証明書１０２の構成について説明する。
電子証明書１０２は、バージョン情報、シリアル番号、署名アルゴリズム情報、発行者名、有効期間、所有者名、公開鍵情報、電子署名などを含む。
バージョン情報は、電子証明書１０２のフォーマットのバージョンを特定する。
シリアル番号は、電子証明書１０２を識別する。
署名アルゴリズムは、電子署名を生成するアルゴリズムを特定する。
発行者名は、電子証明書１０２を発行した認証局を識別する。
所有者名は、電子証明書１０２が発行された者、つまり、車載器を識別する。
公開鍵情報は、電子証明書１０２が発行された車載器の公開鍵を含む。
電子署名は、電子証明書１０２に含まれる情報（電子署名を除く）から得られるハッシュ値を電子証明書１０２を発行した認証局の秘密鍵で暗号化したデータである。

図１１に戻り、Ｓ１５１の説明を続ける。
有効期間判定部１５１は、送信元の電子証明書１０２から有効期間を取得し、ＯＳから現在日時を取得する。
そして、有効期間判定部１５１は、現在日時が送信元の電子証明書１０２の有効期間内の日時であるか判定する。
現在日時が送信元の電子証明書１０２の有効期間内の日時である場合、処理はＳ１５２に進む。
現在日時が送信元の電子証明書１０２の有効期間内の日時でない場合、メッセージ検証処理（Ｓ１５０）は終了する。この場合、メッセージ１０１は正当なメッセージではない。

Ｓ１５２において、失効判定部１５２は、送信元の電子証明書１０２からシリアル番号を取得する。
そして、失効判定部１５２は、送信元の電子証明書１０２から取得したシリアル番号が証明書失効リスト１８２に含まれているか判定する。証明書失効リスト１８２は、失効した電子証明書のシリアル番号の一覧である。証明書失効リスト１８２の略称はＣＲＬである。
送信元の電子証明書１０２から取得したシリアル番号が証明書失効リスト１８２に含まれている場合、送信元の電子証明書１０２は失効している。
送信元の電子証明書１０２が失効していない場合、処理はＳ１５３に進む。
送信元の電子証明書１０２が失効している場合、メッセージ検証処理（Ｓ１５０）は終了する。この場合、メッセージ１０１は正当なメッセージではない。

Ｓ１５３において、リプレイ攻撃判定部１５３は、メッセージ１０１を入力としてハッシュ関数を演算して、メッセージ１０１のハッシュ値を算出する。そして、リプレイ攻撃判定部１５３は、メッセージ１０１が受信された受信日時に対応付けてメッセージ１０１のハッシュ値を通信履歴ファイル１８３に登録する。通信履歴ファイル１８３は、受信日時に対応付けて、受信日時に受信されたメッセージのハッシュ値を含んでいる。
次に、リプレイ攻撃判定部１５３は、通信履歴ファイル１８３に含まれるハッシュ値のうち、メッセージ１０１のハッシュ値と同じで、且つ、検証期間内の受信日時に対応付けられているハッシュ値の数を数える。検証期間は、現在日時から検証時間を遡った日時から現在日時までの期間である。検証時間は予め決められた時間である。
そして、リプレイ攻撃判定部１５３は、該当するハッシュ値の数がリプレイ閾値より多いか判定する。リプレイ閾値は予め決められた値である。該当するハッシュ値の数がリプレイ閾値より多い場合、同じメッセージ１０１が繰り返し送信されるリプレイ攻撃を受けていると判断することができる。
リプレイ攻撃を受けていない場合、処理はＳ１５４に進む。
リプレイ攻撃を受けている場合、メッセージ検証処理（Ｓ１５０）は終了する。この場合、メッセージ１０１は正当なメッセージではない。

Ｓ１５４において、検証済判定部１５４は、送信元の電子証明書１０２を入力としてハッシュ関数を演算して、送信元の電子証明書１０２のハッシュ値を算出する。
そして、検証済判定部１５４は、送信元の電子証明書１０２のハッシュ値が通信履歴ファイル１８３に含まれているか判定する。通信履歴ファイル１８３は、正当な電子証明書であることが検証された電子証明書のハッシュ値を含んでいる。
送信元の電子証明書１０２のハッシュ値が通信履歴ファイル１８３に含まれている場合、送信元の電子証明書１０２は、正当な電子証明書であることが既に検証された電子証明書である。
送信元の電子証明書１０２が正当な電子証明書であることが既に検証された電子証明書である場合、処理はＳ１５６に進む。
送信元の電子証明書１０２が正当な電子証明書であることが既に検証された電子証明書でない場合、処理はＳ１５５に進む。

Ｓ１５５において、証明書検証部１５５は、メッセージ１０１に含まれる証明書情報から、送信元の電子証明書１０２を発行した認証局の電子証明書１０２を取得する。そして、証明書検証部１５５は、認証局の電子証明書１０２から、認証局の公開鍵を取得する。
次に、証明書検証部１５５は、送信元の電子証明書１０２から電子署名を取得し、取得した電子署名を認証局の公開鍵を用いて復号する。Ｓ１５５において、この電子署名を復号して得られた値を署名復号値という。
次に、証明書検証部１５５は、送信元の電子証明書１０２に含まれる情報（電子署名を除く）を入力としてハッシュ関数を演算して、送信元の電子証明書１０２のハッシュ値を算出する。
そして、証明書検証部１５５は、送信元の電子証明書１０２のハッシュ値が署名復号値と同じ値であるか判定する。
送信元の電子証明書１０２のハッシュ値が署名復号値と同じ値である場合、送信元の電子証明書１０２に含まれる電子署名は正しい署名である。

送信元の電子証明書１０２に含まれる電子署名が正しい署名である場合、証明書検証部１５５は、認証局の電子証明書１０２に含まれる電子署名が正しい署名であるか検証する。検証方法は、送信元の電子証明書１０２に含まれる電子署名を検証する方法と同様である。

ルートの認証局まで認証局を遡って、各認証局の電子証明書１０２に含まれる電子署名が正しい署名であることが検証された場合、送信元の電子証明書１０２は正当な電子証明書である。
なお、ルートの認証局によって発行された電子証明書１０２とルート証明書１８５とのそれぞれに含まれる電子署名は、ルート証明書１８５に含まれる公開鍵を用いて検証される。ルート証明書１８５は、ルートの認証局の電子証明書である。

送信元の電子証明書１０２が正当な電子証明書である場合、証明書検証部１５５は、送信元の電子証明書１０２のハッシュ値を検証済証明書ファイル１８４に登録する。そして、処理はＳ１５６に進む。
送信元の電子証明書１０２が正当な電子証明書でない場合、メッセージ検証処理（Ｓ１５０）は終了する。この場合、メッセージ１０１は正当なメッセージではない。

Ｓ１５６において、署名検証部１５６は、メッセージ１０１から電子署名を取得し、送信元の電子証明書１０２から公開鍵を取得する。そして、署名検証部１５６は、電子署名を公開鍵を用いて復号する。Ｓ１５６において、この電子署名を復号して得られる値を署名復号値という。
次に、署名検証部１５６は、メッセージ１０１に含まれる情報（電子署名を除く）を入力としてハッシュ関数を演算して、メッセージ１０１のハッシュ値を算出する。
そして、署名検証部１５６は、メッセージ１０１のハッシュ値が署名復号値と同じ値であるか判定する。
メッセージ１０１のハッシュ値が署名復号値と同じ値である場合、メッセージ１０１に含まれる電子署名は正当な電子署名である。
メッセージ１０１に含まれる電子署名が正当な電子署名である場合、メッセージ検証処理（Ｓ１５０）は終了する。この場合、メッセージ１０１は正当なメッセージである。
メッセージ１０１に含まれる電子署名が正当な電子署名でない場合、メッセージ検証処理（Ｓ１５０）は終了する。この場合、メッセージ１０１は正当なメッセージでない。

図９に戻り、Ｓ１５９から説明を続ける。
メッセージ１０１が正当なメッセージであることが検証された場合、処理はＳ１６０に進む。
メッセージ１０１が正当なメッセージであることが検証されなかった場合、メッセージ１０１は破棄されて、メッセージ処理方法の手順は終了する。

Ｓ１６０はアプリケーション処理である。
Ｓ１６０において、アプリケーション処理部１６０は、Ｓ１４３で読み出されたアプリケーション識別子で識別されるアプリケーションプログラム１９３を実行することによって、Ｓ１４３で読み出されたメッセージ１０１に含まれるアプリケーションデータを処理する。

アプリケーションデータは以下のように処理される。
アプリケーション処理部１６０は、メッセージ１０１からアプリケーションデータを取得する。
そして、アプリケーション処理部１６０は、アプリケーション識別子とアプリケーションデータとを指定して、アプリケーションプログラム１９３の実行をＯＳに要求する。
Ｓ１６０の後、メッセージ処理方法の手順は終了する。

＊＊＊実施の形態の効果の説明＊＊＊
実施の形態１では、自車両の状態に応じて動的にポリシーを変更し、かつ、ポリシーに従ってキューの操作を行う。これにより、自車両の状態およびアプリケーションの優先度を考慮して、受信パケットの検証および処理の順番を制御することができる。
また、実施の形態１では、状態別のポリシーを予め用意しておく。これにより、自車両の状態が変化したときにポリシーを生成する必要がないため、車載器の負荷を軽減することができる。

図１３および図１４に基づいて、優先順位ポリシーの変更例について説明する。図１３および図１４において、自車両を中心とする点線の円は、自車両に搭載された車載器の通信範囲を示している。また、緊急車両を中心とする点線の円は、緊急車両に搭載された車載器の通信範囲を示している。
図１３において、当初想定していた経路では、自車両は次の交差点を右折する必要がある。しかし、右折した先には、緊急車両が停車している。
図１４において、交差点を右折した自車両の車載器は、緊急車両の車載器から緊急車両メッセージを受信する。
自車両の車載器において、常時動作している自動運転プログラムは、緊急車両メッセージに基づいて、通り抜けができないと判定する。そして、自動運転プログラムは、迂回経路を探索する。自動運転プログラムは、車両の自動運転を制御するためのアプリケーションプログラムである。
迂回経路を探索した自動運転プログラムは、停止時迂回プログラムを起動する。停止時迂回プログラムは、カーナビゲーションシステムを介して、走行経路が当初予定していた経路から迂回経路に変更されたことを車両内の人に知らせるためのアプリケーションプログラムである。
その結果、自車両の状態は、停止時迂回プログラムが動作している状態に切り替わる。
停止時迂回プログラムが動作していない通常時のポリシーでは、他車両の車載器から送信される他車両メッセージよりも緊急車両メッセージの方が優先順位が高い。しかし、停止時迂回プログラムが動作している状態のポリシーでは、緊急車両メッセージよりも他車両メッセージの方が優先順位が高い。
したがって、自車両の車載器は、緊急車両メッセージよりも他車両メッセージを優先して処理する。これにより、迂回経路において緊急車両メッセージよりも重要なメッセージである他車両メッセージが優先して処理されるため、迂回先にいる他車両との衝突事故を防ぐこと等が可能になる。

＊＊＊他の構成＊＊＊
自車両の状態は、自車両の車載器１００で動作しているアプリケーションプログラムの種類以外の情報によって特定されてもよい。具体的には、自車両の状態は、プロセッサ９０１の使用率またはメモリ９０３の空き容量など、自車両の車載器１００の負荷によって特定されてもよい。
また、自車両の状態は、車両の位置、車両の速度または車両の周辺の情報によって特定されてもよい。車両の周辺の情報は、車両に搭載されたセンサがセンシングを行うことによって得られるセンシング情報である。
さらに、自車両の状態は、優先順位を判定しようとしているメッセージ、もしくは、過去に受信されたメッセージ、を送信した車両とは別の車両から受信されたメッセージによって特定されてもよい。過去に受信されたメッセージは、優先順位を判定しようとしているメッセージよりも前に受信されたメッセージである。
ここで、車両の周辺の情報が自車両の状態を特定する情報として用いられた場合に選択されるポリシーの例について説明する。他車両が近くに存在するというメッセージを受信したとしても、センシングの結果、他車両が存在するという位置に物体が存在しないことを確認できた場合には、そのメッセージの優先順位を下げるポリシーが選択される。このとき、優先順位取得部がポリシーに従って優先順位を判定する。このように、自車両の状態を特定する情報を用いて、受信されたメッセージの確からしさを確認するポリシーを用いることで、不正なメッセージの検証に伴う車載器の負荷を軽減することもできる。

メッセージ書込み部１４１は、メッセージ１０１を識別するメッセージ識別子をメッセージキュー１９２に挿入し、メッセージ１０１をメッセージキュー１９２とは別の記憶領域に書き込んでもよい。
この場合、メッセージ読出し部１４２は、メッセージキュー１９２から先頭に格納されているメッセージ識別子を読み出し、読み出したメッセージ識別子で識別されるメッセージ１０１をメッセージキュー１９２とは別の記憶領域から読み出す。

車載器１００の機能は、ハードウェアで実現してもよい。
図１５に、車載器１００の機能がハードウェアで実現される場合の構成を示す。
車載器１００は、処理回路９９０を備える。処理回路９９０はプロセッシングサーキットリともいう。
処理回路９９０は、状態取得部１２０、ポリシー取得部１３０、メッセージ書込み部１４１、メッセージ読出し部１４２、メッセージ検証部１５０、アプリケーション処理部１６０および記憶部９８０といった「部」の機能を実現する専用の電子回路である。
具体的には、処理回路９９０は、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＡＳＩＣ、ＦＰＧＡまたはこれらの組み合わせである。ＧＡはＧａｔｅ Ａｒｒａｙの略称であり、ＡＳＩＣはＡｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略称であり、ＦＰＧＡはＦｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略称である。
なお、車載器１００が複数の処理回路９９０を備えて、複数の処理回路９９０が「部」の機能を連携して実現してもよい。

車載器１００の機能は、ソフトウェアとハードウェアとの組み合わせで実現してもよい。つまり、一部の「部」の機能をソフトウェアで実現し、残りの「部」の機能をハードウェアで実現してもよい。

実施の形態２．
複数の車両のそれぞれの車載器が互いに通信を行う車車間通信システム２００について、図１６から図３３に基づいて説明する。但し、実施の形態１と重複する説明は省略する。

＊＊＊構成の説明＊＊＊
図１６に基づいて、車車間通信システム２００の構成について説明する。
車車間通信システム２００は、車両に搭載された車載器４００と、道路の周囲に設置された路側機２１０と、車載器間の通信を支援する車車間通信支援装置３００とを備える。
車車間通信支援装置３００はサーバ装置として機能し、車載器４００はクライアント装置として機能する。
車載器４００、路側機２１０および車車間通信支援装置３００は、互いに無線で通信を行う。

図１７に基づいて、車車間通信支援装置３００の構成について説明する。
車車間通信支援装置３００は、実施の形態１で説明した車載器１００と同じく、プロセッサ９０１、メモリ９０３、通信装置９０４といったハードウェアを備えるコンピュータである。
プロセッサ９０１は、信号線９１０を介して他のハードウェアと接続されている。

メモリ９０３には、検証済証明書ファイル３９１、走行スケジュールファイル３９２および動作タイミングファイル３９３などのデータが記憶される。さらに、メモリ９０３には、電子証明書ファイル３８１、サーバ秘密鍵３８２および証明書失効リスト１８２などのデータが記憶される。各データの内容については後述する。
また、メモリ９０３には、ＯＳが記憶されている。
さらに、メモリ９０３には、走行予定検証部３１２、走行スケジュール取得部３１３、動作タイミング特定部３２１、動作タイミング判定部３２２、相手識別子特定部３３１、検証済相手情報抽出部３３２、参照情報生成部３３３および走行スケジュール更新部３４２といった「部」の機能を実現するプログラムが記憶されている。「部」の機能を実現するプログラムは、各種の記憶媒体に記憶することができる。「部」の機能については後述する。

プロセッサ９０１は、ＯＳを実行しながら「部」の機能を実現するプログラムを実行する。つまり、「部」の機能を実現するプログラムは、メモリ９０３にロードされ、プロセッサ９０１によって実行される。
なお、車車間通信支援装置３００が複数のプロセッサ９０１を備えて、複数のプロセッサ９０１が「部」の機能を実現するプログラムを連携して実行してもよい。

図１８に基づいて、車車間通信支援装置３００に備わる通信装置９０４の構成について説明する。
車車間通信支援装置３００の通信装置９０４は、実施の形態１で説明した車載器１００の通信装置９０４と同じく、レシーバ９０４１とトランスミッタ９０４２とを備える。
レシーバ９０４１は、走行予定情報受信部３１１および検知情報受信部３４１として機能する。走行予定情報受信部３１１および検知情報受信部３４１の機能については後述する。
トランスミッタ９０４２は、検証済相手情報送信部３３４として機能する。検証済相手情報送信部３３４の機能については後述する。

図１９に基づいて、車載器４００の構成について説明する。
車載器４００は、実施の形態１で説明した車載器１００と同じく、プロセッサ９０１、メモリ９０３、通信装置９０４といったハードウェアを備えるコンピュータである。
プロセッサ９０１は、信号線９１０を介して他のハードウェアと接続されている。

メモリ９０３には、検証済相手ファイル４９１、車載器秘密鍵４８１、車載器証明書４８２およびサーバ証明書４８３などのデータが記憶される。これらのデータの内容については後述する。さらに、メモリ９０３には、実施の形態１で説明した各種のデータが記憶される。
また、メモリ９０３には、ＯＳが記憶されている。
さらに、メモリ９０３には、走行予定情報生成部４１１、参照情報検証部４２２、検証済相手情報蓄積部４２３、検証済相手情報共有部４３０、メッセージ検証部１５０およびアプリケーション処理部１６０といった「部」の機能を実現するプログラムが記憶されている。「部」の機能を実現するプログラムは、各種の記憶媒体に記憶することができる。「部」の機能については後述する。

プロセッサ９０１は、ＯＳを実行しながら「部」の機能を実現するプログラムを実行する。つまり、「部」の機能を実現するプログラムは、メモリ９０３にロードされ、プロセッサ９０１によって実行される。
なお、車載器４００が複数のプロセッサ９０１を備えて、複数のプロセッサ９０１が「部」の機能を実現するプログラムを連携して実行してもよい。

図２０に基づいて、車載器４００に備わる通信装置９０４の構成について説明する。
車載器４００の通信装置９０４は、実施の形態１で説明した車載器１００の通信装置９０４と同じく、レシーバ９０４１とトランスミッタ９０４２とを備える。
レシーバ９０４１は、検証済相手情報受信部４２１として機能する。さらに、レシーバ９０４１は、車車間通信部１１０の受信部として機能する。検証済相手情報受信部４２１の機能については後述する。
トランスミッタ９０４２は、走行予定情報送信部４１２として機能する。さらに、トランスミッタ９０４２は、車車間通信部１１０の送信部として機能する。走行予定情報送信部４１２の機能については後述する。

＊＊＊動作の説明＊＊＊
車車間通信システム２００の動作は車車間通信方法に相当し、車車間通信支援装置３００の動作は車車間通信支援方法に相当し、車載器４００の動作はメッセージ処理方法に相当する。また、車車間通信支援方法は車車間通信支援プログラムに相当し、メッセージ処理方法は車載器プログラムに相当する。

図２１に基づいて、車車間通信支援方法およびメッセージ処理方法の概要について説明する。
（１）において、車載器４００は、自車両が走行する予定の経路と特定する走行予定情報２０１を送信し、車車間通信支援装置３００が走行予定情報２０１を受信する。
次に、車車間通信支援装置３００は、走行予定情報２０１に基づいて、車載器４００の通信範囲に入ることが予定される他の車載器について、他の車載器の電子証明書が検証が不要な電子証明書であることを特定する検証済相手情報２０２を生成する。
そして、車車間通信支援装置３００は検証済相手情報２０２を送信し、車載器４００が検証済相手情報２０２を受信する。

その後、他の車載器が車載器４００の通信範囲に入った際、他の車載器はメッセージ１０１を送信し、車載器４００がメッセージ１０１を受信する。
このメッセージ１０１に含まれる他の車載器の電子証明書は検証済相手情報２０２で特定される電子証明書であるため、車載器４００は、他の車載器の電子証明書を検証せずに、他の車載器の電子証明書を用いてメッセージ１０１を検証する。
そして、メッセージ１０１が正当なメッセージである場合、車載器４００は、メッセージ１０１を処理する。

（２）において、車載器４００は、車載器識別子を含んだ情報を発信している。
路側機２１０の通信範囲に車載器４００が進入した場合、路側機２１０は、車載器４００から発信される情報を受信することによって、車載器４００を検知する。
そして、路側機２１０は、検知時刻、路側機位置情報および車載器識別子などを含んだ検知情報２０３を車車間通信支援装置３００に送信する。
検知情報は、路側機２１０によって車載器４００が検知された時刻である。検知情報には、車載器４００の走行予定情報が含まれてもよい。
路側機位置情報は、路側機２１０の位置を特定する情報である。
車載器識別子は、路側機２１０によって検知された車載器４００の車載器識別子である。

車車間通信支援装置３００は、検知情報２０３を受信し、検知情報２０３に基づいて走行スケジュールを更新し、更新した走行スケジュールに基づいて動作タイミングを更新する。

図２２に基づいて、車車間通信支援方法の前処理について説明する。
Ｓ２０１は走行予定情報生成処理である。
Ｓ２０１において、車載器４００の走行予定情報生成部４１１は、走行予定情報２０１を生成する。

図２３に基づいて、走行予定情報２０１の構成について説明する。
走行予定情報２０１は、車載器識別子、走行スケジュール、車載器証明書４８２および走行予定署名を含んでいる。
車載器識別子は、車載器４００を識別する。
走行スケジュールは、車載器４００を搭載した車両が走行する予定の経路を示すデータである。走行スケジュールは、現在地、目的地、現在地から目的地までの走行経路、走行経路の各地点を通過する予定の時刻などの情報を含む。
車載器証明書４８２は、車載器４００の電子証明書である。
走行予定署名は、走行予定情報２０１に付加される電子署名である。

図２２に戻り、Ｓ２０１の説明を続ける。
走行予定情報２０１は以下のように生成される。
走行予定情報生成部４１１は、車両に搭載されたカーナビゲーションシステムから、走行スケジュールを取得する。
次に、走行予定情報生成部４１１は、車載器４００のメモリ９０３から、車載器識別子、車載器証明書４８２および車載器秘密鍵４８１を取得する。
次に、走行予定情報生成部４１１は、車載器識別子と走行スケジュールと車載器証明書４８２とを含んだ走行予定情報２０１を生成する。
次に、走行予定情報生成部４１１は、生成した走行予定情報２０１を入力としてハッシュ関数を演算して、走行予定情報２０１のハッシュ値を算出する。
次に、走行予定情報生成部４１１は、走行予定情報２０１のハッシュ値を車載器秘密鍵４８１を用いて暗号化する。
そして、走行予定情報生成部４１１は、暗号化したハッシュ値を走行予定署名として走行予定情報２０１に付加する。

Ｓ２０２は走行予定情報送信処理である。
Ｓ２０２において、車載器４００の走行予定情報送信部４１２は、走行予定情報２０１を車車間通信支援装置３００に送信する。
Ｓ２０２の後、車車間通信支援方法の前処理は終了する。

図２４に基づいて、車車間通信支援方法の前半について説明する。
Ｓ２１０は走行予定情報受信処理である。
Ｓ２１０において、走行予定情報受信部３１１は、車載器４００から送信された走行予定情報２０１を受信する。

Ｓ２２０は走行予定検証処理である。
Ｓ２２０において、走行予定検証部３１２は、走行予定情報２０１が正当な情報であるか検証する。

図２５に基づいて、走行予定検証処理（Ｓ２２０）について説明する。
Ｓ２２１において、走行予定検証部３１２は、電子証明書ファイル３８１および証明書失効リスト１８２を用いて、走行予定情報２０１に含まれる車載器証明書４８２が正当な電子証明書であるか検証する。電子証明書ファイル３８１は、各認証局の電子証明書を含んでもよい。
検証方法は、実施の形態１において図１１で説明したＳ１５１、Ｓ１５２およびＳ１５５と同様である。ただし、車車間通信支援装置３００が、証明書の失効状況の確認および証明書の検証を、外部のサーバに依頼することによって行ってもよい。この場合、車車間通信支援装置３００が、ＯＣＰＳ（Ｏｎｌｉｎｅ Ｃｅｒｔｉｆｉｃａｔｅ Ｓｔａｔｕｓ Ｐｒｏｔｏｃｏｌ）またはＤＶＣＳ（Ｄａｔａ Ｖａｌｉｄａｔｉｏｎ ａｎｄ Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ｓｅｒｖｅｒ Ｐｒｏｔｏｃｏｌｓ）などを利用して、外部のサーバと通信する。
車載器証明書４８２が正当な電子証明書である場合、処理はＳ２２２に進む。
車載器証明書４８２が正当な電子証明書でない場合、走行予定検証処理（Ｓ２２０）は終了する。この場合、走行予定情報２０１は正当な情報ではない。

Ｓ２２２において、走行予定検証部３１２は、車載器証明書４８２を入力としてハッシュ関数を演算して、車載器証明書４８２のハッシュ値を算出する。Ｓ２２２において、車載器証明書４８２のハッシュ値を検証済証明書情報という。
次に、走行予定検証部３１２は、走行予定情報２０１から車載器識別子を取得する。
そして、走行予定検証部３１２は、車載器識別子に対応付けて検証済証明書情報を検証済証明書ファイル３９１に登録する。同じ車載器識別子に対応付けられた検証済証明書情報が検証済証明書ファイル３９１に登録されている場合、登録されている検証済証明書情報は、今回の検証済証明書情報に更新される。
検証済証明書ファイル３９１は、正当な電子証明書であることが検証された電子証明書を特定する検証済証明書情報を車載器識別子に対応付けて含んだファイルである。

Ｓ２２３において、走行予定検証部３１２は、車載器証明書４８２を用いて、走行予定情報２０１を検証する。

走行予定情報２０１は以下のように検証される。
走行予定検証部３１２は、走行予定情報２０１から走行予定署名を取得し、車載器証明書４８２から車載器４００の公開鍵を取得する。
次に、走行予定検証部３１２は、車載器４００の公開鍵を用いて、走行予定署名を復号する。Ｓ２２０において、走行予定署名を復号した値を署名復号値という。
次に、走行予定検証部３１２は、走行予定情報２０１に含まれる情報（走行予定署名を除く）を入力としてハッシュ関数を演算して、走行予定情報２０１のハッシュ値を算出する。
そして、走行予定検証部３１２は、走行予定情報２０１のハッシュ値が署名復号値と同じであるか判定する。
走行予定情報２０１のハッシュ値が署名復号値と同じである場合、走行予定情報２０１は正当な情報である。
Ｓ２２３の後、走行予定検証処理（Ｓ２２０）は終了する。

図２４に戻り、Ｓ２２９から説明を続ける。
走行予定情報２０１が正当な情報である場合、処理はＳ２３０に進む。
走行予定情報２０１が正当な情報でない場合、走行予定情報２０１は破棄されて、車車間通信支援方法の前半は終了する。

Ｓ２３０は走行スケジュール取得処理である。
Ｓ２３０において、走行スケジュール取得部３１３は、走行予定情報２０１から車載器識別子と走行スケジュールとを取得する。
そして、走行スケジュール取得部３１３は、車載器識別子に対応付けて走行スケジュールを走行スケジュールファイル３９２に登録する。
走行スケジュールファイル３９２は、走行スケジュールを車載器毎に車載器識別子に対応付けて含んだファイルである。

Ｓ２４０は動作タイミング特定処理である。
Ｓ２４０において、走行予定情報２０１を送信した車載器４００、つまり、走行予定情報２０１に含まれる車載器識別子で識別される車載器４００を、対象の車載器４００という。
動作タイミング特定部３２１は、対象の車載器４００の走行スケジュールを用いて、動作タイミングを特定する。動作タイミングは、対象の車載器４００を搭載した車両が、走行中の道路から別の道路に進入するタイミングである。
そして、動作タイミング特定部３２１は、特定した動作タイミングを、対象の車載器４００の車載器識別子に対応付けて動作タイミングファイル３９３に登録する。
動作タイミングファイル３９３は、動作タイミングを車載器毎に車載器識別子に対応付けて示すファイルである。

動作タイミングは以下のように特定される。
動作タイミング特定部３２１は、対象の車載器４００の走行スケジュールを、走行予定情報２０１または走行スケジュールファイル３９２から取得する。
次に、動作タイミング特定部３２１は、対象の車載器４００の走行スケジュールに示される走行経路から、右左折、高速道路への進入または高速道路からの退出を行う地点を特定する。
そして、動作タイミング特定部３２１は、特定した各地点を通過する予定の時刻を、対象の車載器４００の走行スケジュールから取得する。取得された各時刻が動作タイミングである。
Ｓ２４０の後、車車間通信支援方法の前半は終了する。

図２６に基づいて、車車間通信支援方法の後半について説明する。
Ｓ２５０は動作タイミング判定処理である。
Ｓ２５０において、動作タイミング判定部３２２は、動作タイミングになったか判定する。

動作タイミングは以下のように判定される。
動作タイミング判定部３２２は、ＯＳから現在日時を取得する。
次に、動作タイミング判定部３２２は、動作タイミングファイル３９３に示される各動作タイミングを現在日時と比較する。
そして、動作タイミング判定部３２２は、現在日時と同じ日時を示す動作タイミングがある場合、動作タイミングになったと判定する。なお、動作タイミング判定部３２２は、現在日時と動作タイミングが示す日時との時間差が許容時間より短い場合、動作タイミングが現在日時と同じ日時を示すと判定する。許容時間は予め決められた時間である。

動作タイミングになった場合、動作タイミング判定部３２２は、現在日時と同じ日時を示す動作タイミングに対応付けられた車載器識別子を動作タイミングファイル３９３から取得する。そして、処理はＳ２６０に進む。
動作タイミングになっていない場合、処理はＳ２５０に戻る。

Ｓ２６０〜Ｓ２８０において、Ｓ２５０で取得された車載識別子で識別される車載器４００を対象の車載器４００という。

Ｓ２６０は相手識別子特定処理である。
Ｓ２６０において、相手識別子特定部３３１は、走行スケジュールファイル３９２を用いて、対象の車載器４００の通信範囲に入ることが予定される車載器の車載器識別子を、相手識別子として特定する。

相手識別子は以下のように特定される。
相手識別子特定部３３１は、現在日時から保留時間が経過した日時である対象日時を算出する。保留時間は予め決められた時間である。
相手識別子特定部３３１は、対象の車載器４００の車載器識別子に対応付けられた走行スケジュールを走行スケジュールファイル３９２から取得する。
次に、相手識別子特定部３３１は、対象の車載器４００の走行スケジュールに示される走行経路から、対象の車載器４００が搭載された車両が対象日時に通過することが予定される地点の座標値を取得する。Ｓ２６０において、この地点を対象の車載器４００の予定地点という。
次に、相手識別子特定部３３１は、他の車載器のそれぞれの走行スケジュールに示される走行経路から、他の車載器が搭載された車両が対象日時に通過することが予定される地点の座標値を取得する。Ｓ２６０において、この座標値を他の車載器の予定地点という。
次に、相手識別子特定部３３１は、各他の車載器の予定地点から、対象の車載器４００の予定地点を中心とする通信範囲の中に含まれる予定地点を選択する。通信範囲は、車載器４００が通信することが可能な範囲として予め決められた大きさの範囲である。
そして、相手識別子特定部３３１は、選択した予定地点が特定された走行スケジュールを選択し、選択した走行スケジュールに対応付けられた車載器識別子を走行スケジュールファイル３９２から取得する。この取得した車載器識別子が相手識別子である。

Ｓ２７０は検証済相手情報抽出処理である。
Ｓ２７０において、検証済相手情報抽出部３３２は、検証済証明書ファイル３９１から、特定された相手識別子と同じ車載器識別子に対応付けられた検証済証明書情報を、検証済相手情報として抽出する。

検証済相手情報は以下のように抽出される。
検証済相手情報抽出部３３２は、相手識別子と同じ車載器識別子を検証済証明書ファイル３９１から選択する。
そして、検証済相手情報抽出部３３２は、選択した車載器識別子に対応付けられた検証済証明書情報を検証済証明書ファイル３９１から抽出する。この抽出した検証済証明書情報が検証済相手情報である。

Ｓ２８１は参照情報生成処理である。
Ｓ２８１において、参照情報生成部３３３は、車載器識別子と検証済相手情報とを含んだ参照情報を生成する。
次に、参照情報生成部３３３は、参照情報を入力としてハッシュ関数を演算して、参照情報のハッシュ値を算出する。
次に、参照情報生成部３３３は、参照情報のハッシュ値をサーバ秘密鍵３８２を用いて暗号化する。参照情報のハッシュ値を暗号化して得られる電子署名を参照署名という。
そして、参照情報生成部３３３は、参照情報に参照署名を付加する。

Ｓ２８２は検証済相手情報送信処理である。
Ｓ２８２において、検証済相手情報送信部３３４は、Ｓ２７０で抽出された検証済相手情報２０２を、検証が不要な電子証明書を特定する情報として、対象の車載器４００に送信する。
具体的に、検証済相手情報送信部３３４は、検証済相手情報２０２を含んだ参照情報を対象の車載器４００に送信する。
Ｓ２８２の後、処理はＳ２５０に戻る。

図２７に基づいて、車車間通信支援方法の後処理について説明する。
Ｓ２９１は検証済相手情報受信処理である。
Ｓ２９１において、検証済相手情報受信部４２１は、車車間通信支援装置３００から送信された検証済相手情報２０２を受信する。車車間通信支援装置３００は、上記のように、正当な電子証明書であることが検証された電子証明書のうち通信相手となる車載器の電子証明書を特定する検証済相手情報２０２を送信する。
具体的に、検証済相手情報受信部４２１は、車車間通信支援装置３００から送信された参照情報を受信する。参照情報には、車載器識別子と検証済相手情報２０２と参照署名とが含まれている。

Ｓ２９２は参照情報検証処理である。
Ｓ２９２において、参照情報検証部４２２は、参照情報が正当な情報であるか検証する。

参照情報は以下のように検証される。
参照情報検証部４２２は、参照情報から参照署名を取得し、サーバ証明書４８３から車車間通信支援装置３００の公開鍵を取得する。サーバ証明書４８３は、車車間通信支援装置３００の電子証明書である。
次に、参照情報検証部４２２は、車車間通信支援装置３００の電子証明書を用いて、参照署名を復号する。Ｓ２９２において、参照署名を復号して得られる値を署名復号値という。
次に、参照情報検証部４２２は、参照情報に含まれる情報（参照署名を除く）を入力としてハッシュ関数を演算して、参照情報のハッシュ値を算出する。
そして、参照情報検証部４２２は、参照情報のハッシュ値が署名復号値と同じであるか判定する。
参照情報のハッシュ値が署名復号値である場合、参照情報は正当な情報である。

参照情報が正当な情報である場合、処理はＳ２９３に進む。
参照情報が正当な情報でない場合、参照情報は破棄されて、車車間通信支援方法の後処理は終了する。

Ｓ２９３は検証済相手情報蓄積処理である。
Ｓ２９３において、検証済相手情報蓄積部４２３は、検証済相手情報２０２を蓄積する。

検証済相手情報２０２は以下のように蓄積される。
検証済相手情報蓄積部４２３は、参照情報から車載識別子と検証済相手情報２０２とを取得する。
そして、検証済相手情報蓄積部４２３は、車載識別子に対応付けて検証済相手情報２０２を検証済相手ファイル４９１に登録する。同じ車載識別子に対応付けられた検証済相手情報２０２が検証済相手ファイル４９１に登録されている場合、登録されている検証済相手情報２０２は、今回の検証済相手情報２０２に更新される。
Ｓ２９３の後、車車間通信支援方法の後処理は終了する。

図２８に基づいて、メッセージ処理方法について説明する。
Ｓ３１０はメッセージ受信処理である。
Ｓ３１０において、車車間通信部１１０は、他の車載器から、電子証明書とアプリケーションデータと電子署名とを受信する。
具体的に、車車間通信部１１０は、実施の形態１で説明したメッセージ１０１を受信する。実施の形態１で説明したように、メッセージ１０１は、証明書情報、付属情報、アプリケーションデータおよび電子署名を含んだＶ２Ｘ情報である。

Ｓ３２０はメッセージ検証処理である。
Ｓ３２０において、メッセージ検証部１５０は、受信されたメッセージ１０１が正当なメッセージであるか検証する。
メッセージ検証部１５０は、実施の形態１で説明したように、有効期間判定部１５１、失効判定部１５２、リプレイ攻撃判定部１５３、検証済判定部１５４、証明書検証部１５５および署名検証部１５６を備える。

図２９に基づいて、メッセージ検証処理（Ｓ３２０）について説明する。
メッセージ検証処理（Ｓ３２０）は、実施の形態１で説明したメッセージ検証処理（Ｓ１５０）に、Ｓ３２１を追加した処理である。

Ｓ３２１は第２の検証済判定処理である。
Ｓ３２１において、検証済判定部１５４は、受信された電子証明書が検証済相手情報２０２で特定される電子証明書であるか判定する。
具体的に、検証済判定部１５４は、Ｓ１５４で算出した送信元の電子証明書１０２のハッシュ値が検証済相手ファイル４９１に含まれているか判定する。
送信元の電子証明書１０２のハッシュ値が検証済相手ファイル４９１に含まれている場合、送信元の電子証明書１０２は、検証済相手情報２０２で特定される電子証明書である。つまり、送信元の電子証明書１０２は、正当な電子証明書であることが既に検証された電子証明書である。
送信元の電子証明書１０２が正当な電子証明書であることが既に検証された電子証明書である場合、処理はＳ１５６に進む。
送信元の電子証明書１０２が正当な電子証明書であることが既に検証された電子証明書でない場合、処理はＳ１５５に進む。

図２８に戻り、Ｓ３２９から説明を続ける。
メッセージ１０１が正当なメッセージであることが検証された場合、処理はＳ３３０に進む。
メッセージ１０１が正当なメッセージであることが検証されなかった場合、メッセージ１０１は破棄されて、メッセージ処理方法の手順は終了する。

Ｓ３３０はアプリケーション処理である。
Ｓ３３０において、アプリケーション処理部１６０は、受信されたアプリケーションデータを処理する。

アプリケーションデータは以下のように処理される。
アプリケーション処理部１６０は、メッセージ１０１からアプリケーションデータを取得する。
そして、アプリケーション処理部１６０は、アプリケーションデータを指定して、アプリケーションプログラム１９３の実行をＯＳに要求する。
Ｓ３３０の後、メッセージ処理方法の手順は終了する。

図３０に基づいて、車載器４００が搭載された車両の実際の走行に応じて動作タイミングを調整する動作タイミング調整方法について説明する。
動作タイミング調整方法は、路側機２１０から送信された検知情報２０３が車車間通信支援装置３００に到達する度に実行される。

Ｓ４１１は検知情報受信処理である。
Ｓ４１１において、検知情報受信部３４１は、検知時刻と路側機位置情報と車載器識別子とを含んだ検知情報２０３を受信する。具体的に、路側機位置情報は、路側機２１０の座標値である。

Ｓ４１２は走行スケジュール更新処理である。
Ｓ４１２において、走行スケジュール更新部３４２は、受信された検知時刻と、受信された路側機位置情報によって特定される位置とに基づいて、受信された車載器識別子に対応付けられた走行スケジュールを更新する。

走行スケジュールは以下のように更新される。
走行スケジュール更新部３４２は、検知情報２０３から検知時刻と路側機位置情報と車載器識別子とを取得する。
次に、走行スケジュール更新部３４２は、取得した車載器識別子に対応付けられた走行スケジュールを走行スケジュールファイル３９２から選択する。
次に、走行スケジュール更新部３４２は、選択した走行スケジュールから、路側機位置情報によって特定される位置を通過する予定時刻を選択する。
次に、走行スケジュール更新部３４２は、選択した予定時刻と検知時刻との時刻差を算出する。
そして、走行スケジュール更新部３４２は、路側機位置情報によって特定される位置から目的地までの経路の各地点の予定時刻を時刻差に応じて更新する。具体的に、走行スケジュール更新部３４２は、各地点の予定時刻を時刻差だけずらした時刻に更新する。

Ｓ４１３は動作タイミング特定処理である。
Ｓ４１３において、動作タイミング特定部３２１は、更新後の走行スケジュールを用いて、動作タイミングを特定する。
動作タイミングを特定する方法は、Ｓ２４０と同じである。

Ｓ４１４は、動作タイミング更新処理である。
Ｓ４１４は、動作タイミング特定部３２１は、検知情報２０３から取得した車載器識別子と同じ車載器識別子に対応付けられた動作タイミングを動作タイミングファイル３９３から選択する。
そして、動作タイミング特定部３２１は、選択した動作タイミングを、更新後の走行スケジュールを用いて特定した動作タイミングに更新する。
Ｓ４４０の後、動作タイミング調整方法の手順は終了する。

図３１に基づいて、他の車載器と検証済相手情報を共有する情報共有方法について説明する。
情報共有方法は、車載器４００の通信範囲に他の車載器が入った際に実行される。

Ｓ４２１は検証済相手情報送信処理である。
Ｓ４２１において、車車間通信部１１０は、蓄積された各検証済相手情報を、検証が不要な電子証明書を特定する情報として、他の車載器に送信する。

蓄積された各検証済相手情報は以下のように送信される。
検証済相手情報共有部４３０は、検証済相手ファイル４９１から各検証済相手情報を取得する。
次に、検証済相手情報共有部４３０は、各検証済相手情報を含んだメッセージ１０１を生成する。具体的に、各検証済相手情報は、メッセージ１０１の付属情報の一部としてメッセージ１０１に含められる。
そして、車車間通信部１１０は、各検証済相手情報を含んだメッセージ１０１を他の車載器に送信する。

Ｓ４２２は検証済相手情報受信処理である。
Ｓ４２２において、車車間通信部１１０は、他の車載器から送信されたメッセージ１０１を受信する。このメッセージ１０１には、他の車載器の検証済相手ファイル４９１に蓄積されている各検証済相手情報が含まれる。

Ｓ４２３は検証済相手情報追加処理である。
Ｓ４２３において、検証済相手情報共有部４３０は、受信されたメッセージ１０１が正当なメッセージであるか検証する。メッセージ１０１の検証方法は、Ｓ３２０と同様である。
そして、メッセージ１０１が正当なメッセージである場合、検証済相手情報共有部４３０は、メッセージ１０１に含まれる各検証済相手情報を検証済相手ファイル４９１に追加する。
Ｓ４２３の後、情報共有方法の手順は終了する。

＊＊＊実施の形態の効果の説明＊＊＊
実施の形態２では、車車間通信支援装置３００が検証済証明書情報を適当なタイミングで車載器４００に提供する。そして、車載器４００は、他の車載器から受信したメッセージ１０１に含まれる証明書が検証済証明書情報によって特定される証明書である場合、証明書検証を省略する。これにより、車載器４００がメッセージ１０１を処理するために必要な負荷および時間を抑えることができる。

＊＊＊他の構成＊＊＊
車車間通信支援装置３００は専用のサーバ装置ではなく、路側機２１０または他の車載器が車車間通信支援装置３００として機能してもよい。

走行予定情報２０１には、走行スケジュールの代わりに、座標値、座標値、姿勢角、速度、加速度などの車両の情報と、現在地から目的地までの走行経路を示す情報とを、走行スケジュールを算出するための情報として含んでもよい。車両の情報は、車両に搭載された測位装置、慣性計測装置、速度計または加速度計などから取得することができる。
この場合、走行スケジュール取得部３１３は、これらの情報を用いて、走行経路の各地点を通過する予定の時刻を算出する。また、走行スケジュールは、車車間通信支援装置３００以外の装置によって算出されてもよい。

動作タイミングは、定期的なタイミングであってよい。つまり、動作タイミング判定部３２２は、所定時間が経過する度に、動作タイミングになったと判定してもよい。

検証済証明書情報は、電子証明書のハッシュ値以外の情報であってもよい。具体的に、検証済証明書情報は、電子証明書の全体または電子証明書のシリアル番号であってもよい。この場合、他の車載器の電子証明書が検証済証明書情報によって特定される電子証明書と同じであるか否かは、電子証明書の全体または電子証明書のシリアル番号を比較して判定することができる。
検証済証明書情報は、路側機から配信されてもよい。

検知情報２０３に含まれる路側機位置情報は、路側機２１０の座標値以外の情報であってもよい。具体的には、路側機位置情報は路側機識別子であってもよい。その場合、路側機２１０の座標値は、路側機識別子に対応付けて路側機２１０の座標値を含んだ路側機情報ファイルを用いて特定される。つまり、路側機位置情報に含まれる路側機識別子と同じ路側機識別子に対応付けられた座標値が路側機情報ファイルから取得される。路側機情報ファイルは、車車間通信支援装置３００のメモリ９０３に予め記憶される。

走行予定情報２０１は、複数の走行経路のそれぞれの走行スケジュールを含んでもよい。この場合、走行スケジュール更新部３４２は、検知情報２０３に含まれる路側機位置情報によって特定される位置を含んだ走行経路の走行スケジュールを更新し、複数の走行経路のうちの残りの走行経路の走行スケジュールを削除する。

車車間通信支援装置３００と車載器４００と路側機２１０とのそれぞれの通信において、データは暗号化されてもよい。また、通信路自体が保護されていてもよい。

車車間通信支援装置３００と車載器４００との通信は、路側機２１０または他の車載器を経由して行われてもよい。

車車間通信支援装置３００は、正当な電子証明書でないと判定した電子証明書を特定する不正証明書情報を、検証が不要な電子証明書を特定する情報として車載器４００に送信してもよい。
不正証明書情報を受信した車載器４００は、他の車載器の電子証明書が不正証明書情報によって特定された電子証明書である場合、電子証明書の検証、メッセージ１０１の署名の検証およびメッセージ１０１の処理を行わずに、メッセージ１０１を破棄する。

車載器４００は、他の車載器の電子証明書がいずれの検証済証明書情報によって特定される電子証明書とも異なる場合、電子証明書の検証、メッセージ１０１の署名の検証およびメッセージ１０１の処理を行わずに、メッセージ１０１を破棄してもよい。

車載器４００は、未処理のメッセージ１０１が複数ある場合、メッセージ１０１毎に他の車載器の電子証明書がいずれかの検証済証明書情報によって特定される電子証明書であるか判定する。
そして、車載器４００は、いずれかの検証済証明書情報によって特定された電子証明書から先に、電子証明書の検証、メッセージ１０１の署名の検証およびメッセージ１０１の処理を行ってもよい。

車車間通信支援装置３００の機能は、ハードウェアで実現してもよい。
図３２に、車車間通信支援装置３００の機能がハードウェアで実現される場合の構成を示す。
車車間通信支援装置３００は、処理回路９９０を備える。処理回路９９０はプロセッシングサーキットリともいう。
処理回路９９０は、走行予定検証部３１２、走行スケジュール取得部３１３、動作タイミング特定部３２１、動作タイミング判定部３２２、相手識別子特定部３３１、検証済相手情報抽出部３３２、参照情報生成部３３３、走行スケジュール更新部３４２および記憶部９８０といった「部」の機能を実現する専用の電子回路である。
なお、車車間通信支援装置３００が複数の処理回路９９０を備えて、複数の処理回路９９０が「部」の機能を連携して実現してもよい。
車車間通信支援装置３００の機能は、ソフトウェアとハードウェアとの組み合わせで実現してもよい。つまり、一部の「部」の機能をソフトウェアで実現し、残りの「部」の機能をハードウェアで実現してもよい。

車載器４００の機能は、ハードウェアで実現してもよい。
図３３に、車載器４００の機能がハードウェアで実現される場合の構成を示す。
車載器４００は、処理回路９９０を備える。処理回路９９０はプロセッシングサーキットリともいう。
処理回路９９０は、走行予定情報生成部４１１、参照情報検証部４２２、検証済相手情報蓄積部４２３、検証済相手情報共有部４３０、メッセージ検証部１５０、アプリケーション処理部１６０および記憶部９８０といった「部」の機能を実現する専用の電子回路である。
なお、車載器４００が複数の処理回路９９０を備えて、複数の処理回路９９０が「部」の機能を連携して実現してもよい。
車載器４００の機能は、ソフトウェアとハードウェアとの組み合わせで実現してもよい。つまり、一部の「部」の機能をソフトウェアで実現し、残りの「部」の機能をハードウェアで実現してもよい。

各実施の形態は、好ましい形態の例示であり、本発明の技術的範囲を制限することを意図するものではない。各実施の形態は、部分的に実施してもよいし、他の形態と組み合わせて実施してもよい。
具体的に、実施の形態２で説明した車載器４００は、実施の形態１で説明した車載器１００のように、自車両の状態に応じた順番で各メッセージ１０１を処理してもよい。
フローチャート等を用いて説明した処理手順は、処理手順の一例であり、本発明の技術的範囲を制限することを意図するものではない。

１００ 車載器、１０１ メッセージ、１０２ 電子証明書、１１０ 車車間通信部、１２０ 状態取得部、１３０ ポリシー取得部、１３１ ポリシー選択部、１３２ 優先順位取得部、１３３ アプリケーション識別子取得部、１４１ メッセージ書込み部、１４２ メッセージ読出し部、１５０ メッセージ検証部、１５１ 有効期間判定部、１５２ 失効判定部、１５３ リプレイ攻撃判定部、１５４ 検証済判定部、１５５ 証明書検証部、１５６ 署名検証部、１６０ アプリケーション処理部、１８１ 状態識別子ファイル、１８２ 証明書失効リスト、１８３ 通信履歴ファイル、１８４ 検証済証明書ファイル、１８５ ルート証明書、１９１ ポリシーファイル、１９１Ｐ 優先順位ポリシー、１９２ メッセージキュー、１９３ アプリケーションプログラム、２００ 車車間通信システム、２０１ 走行予定情報、２０２ 検証済相手情報、２０３ 検知情報、２１０ 路側機、３００ 車車間通信支援装置、３１１ 走行予定情報受信部、３１２ 走行予定検証部、３２１ 動作タイミング特定部、３２２ 動作タイミング判定部、３３１ 相手識別子特定部、３３２ 検証済相手情報抽出部、３３３ 参照情報生成部、３３４ 検証済相手情報送信部、３４１ 検知情報受信部、３４２ 走行スケジュール更新部、３８１ 電子証明書ファイル、３８２ サーバ秘密鍵、３９１ 検証済証明書ファイル、３９２ 走行スケジュールファイル、３９３ 動作タイミングファイル、４００ 車載器、４１１ 走行予定情報生成部、４１２ 走行予定情報送信部、４２１ 検証済相手情報受信部、４２２ 参照情報検証部、４２３ 検証済相手情報蓄積部、４３０ 検証済相手情報共有部、４８１ 車載器秘密鍵、４８２ 車載器証明書、４８３ サーバ証明書、４９１ 検証済相手ファイル、９０１ プロセッサ、９０３ メモリ、９０４ 通信装置、９０４１ レシーバ、９０４２ トランスミッタ、９１０ 信号線、９８０ 記憶部、９９０ 処理回路。

Claims (17)

1. 自車両に搭載される車載器であって、
   他車両に搭載される他の車載器から送信されたメッセージを受信する車車間通信部と、
   前記自車両の状態を識別する状態識別子を取得する状態取得部と、
   メッセージの優先順位をメッセージの種類を識別する種類識別子に対応付けて含んだ優先順位ポリシーを状態識別子毎に有するポリシーファイルから、前記状態取得部によって取得された状態識別子に対応付けられた優先順位ポリシーを選択するポリシー選択部と、
   選択された優先順位ポリシーから、受信されたメッセージの種類を識別する種類識別子に対応付けられた優先順位を取得する優先順位取得部と、
   取得された優先順位に応じた順番で読み出されるように、前記受信されたメッセージをメッセージ記憶領域に書き込むメッセージ書込み部と
   を備える車載器。
2. 前記状態識別子は、動作しているアプリケーションプログラムの種類によって特定される状態を識別する
   請求項１に記載の車載器。
3. 各メッセージは、アプリケーションデータを含み、
   前記車載器は、
   前記メッセージ記憶領域から各メッセージの優先順位に応じた順番でメッセージを読み出すメッセージ読出し部と、
   読み出されたメッセージに含まれるアプリケーションデータを処理するアプリケーション処理部と
   を備える請求項１に記載の車載器。
4. 前記優先順位ポリシーは、アプリケーション識別子を種類識別子に対応付けて含み、
   前記車載器は、
   前記選択された優先順位ポリシーから、前記受信されたメッセージの種類を識別する種類識別子に対応付けられたアプリケーション識別子を取得するアプリケーション識別子取得部を備え、
   前記メッセージ書込み部は、取得されたアプリケーション識別子を、前記受信されたメッセージに対応付けて、前記メッセージ記憶領域に書き込み、
   前記メッセージ読出し部は、読み出す順番のメッセージである先頭のメッセージと、前記先頭のメッセージに対応付けられたアプリケーション識別子とを前記メッセージ記憶領域から読み出し、
   前記アプリケーション処理部は、読み出されたアプリケーション識別子で識別されるアプリケーションプログラムを実行することによって、読み出されたメッセージに含まれるアプリケーションデータを処理する
   請求項３に記載の車載器。
5. 他車両に搭載される他の車載器から送信されたメッセージを受信する車車間通信処理と、
   自車両の状態を識別する状態識別子を取得する状態取得処理と、
   メッセージの優先順位をメッセージの種類を識別する種類識別子に対応付けて含んだ優先順位ポリシーを状態識別子毎に有するポリシーファイルから、前記状態取得処理によって取得された状態識別子に対応付けられた優先順位ポリシーを選択するポリシー選択処理と、
   選択された優先順位ポリシーから、受信されたメッセージの種類を識別する種類識別子に対応付けられた優先順位を取得する優先順位取得処理と、
   取得された優先順位に応じた順番で読み出されるように、前記受信されたメッセージをメッセージ記憶領域に書き込むメッセージ書込み処理と
   をコンピュータに実行させるための車載器プログラム。
6. 車載器を搭載した車両が走行する予定の経路を示す走行スケジュールを車載器毎に車載器識別子に対応付けて含んだ走行スケジュールファイルを用いて、対象の車載器の通信範囲に入ることが予定される車載器の車載器識別子を、相手識別子として特定する相手識別子特定部と、
   正当な電子証明書であることが検証された電子証明書を特定する検証済証明書情報を車載器識別子に対応付けて含んだ検証済証明書ファイルから、特定された相手識別子と同じ車載器識別子に対応付けられた検証済証明書情報を、検証済相手情報として抽出する検証済相手情報抽出部と、
   抽出された検証済相手情報を、検証が不要な電子証明書を特定する情報として、前記対象の車載器に送信する検証済相手情報送信部と
   を備える車車間通信支援装置。
7. 前記対象の車載器の走行スケジュールを用いて、前記対象の車載器を搭載した車両が走行中の道路から別の道路に進入するタイミングを動作タイミングとして特定する動作タイミング特定部を備え、
   前記相手識別子特定部は、特定された動作タイミングになった後に前記相手識別子を特定する
   請求項６に記載の車車間通信支援装置。
8. 路側機によって車載器が検知された検知時刻と、前記路側機の位置を特定する路側機位置情報と、前記路側機によって検知された車載器の車載器識別子とを受信する検知情報受信部と、
   受信された検知時刻と、受信された路側機位置情報によって特定される位置とに基づいて、受信された車載器識別子に対応付けられた走行スケジュールを更新する走行スケジュール更新部と
   を備える請求項６に記載の車車間通信支援装置。
9. 正当な電子証明書であることが検証された電子証明書のうち通信相手となる車載器の電子証明書を特定する検証済相手情報を送信する車車間通信支援装置から、前記検証済相手情報を受信する検証済相手情報受信部と、
   他の車載器から、電子証明書とアプリケーションデータと電子署名とを受信する車車間通信部と、
   受信された電子証明書が前記検証済相手情報で特定される電子証明書であるか判定する検証済判定部と、
   受信された電子証明書が前記検証済相手情報で特定される電子証明書でないと判定された場合、受信された電子証明書が正当な電子証明書であるか検証する証明書検証部と、
   受信された電子証明書が前記検証済相手情報で特定される電子証明書であると判定された場合と、受信された電子証明書が正当な電子証明書であることが検証された場合に、受信された電子証明書を用いて、受信された電子署名が正しい電子署名であるか検証する署名検証部と、
   受信された電子署名が正しい電子署名であることが検証された場合、受信されたアプリケーションデータを処理するアプリケーション処理部と
   を備える車載器。
10. 前記検証済相手情報が受信された場合、前記検証済相手情報を蓄積する検証済相手情報蓄積部を備え、
    前記車車間通信部は、蓄積された各検証済相手情報を、検証が不要な電子証明書を特定する情報として、前記他の車載器に送信する
    請求項９に記載の車載器。
11. 車載器を搭載した車両が走行する予定の経路を示す走行スケジュールを車載器毎に車載器識別子に対応付けて含んだ走行スケジュールファイルを用いて、対象の車載器の通信範囲に入ることが予定される車載器の車載器識別子を、相手識別子として特定する相手識別子特定処理と、
    正当な電子証明書であることが検証された電子証明書を特定する検証済証明書情報を車載器識別子に対応付けて含んだ検証済証明書ファイルから、特定された相手識別子と同じ車載器識別子に対応付けられた検証済証明書情報を、検証済相手情報として抽出する検証済相手情報抽出処理と、
    抽出された検証済相手情報を、検証が不要な電子証明書を特定する情報として、前記対象の車載器に送信する検証済相手情報送信処理と
    をコンピュータに実行させるための車車間通信支援プログラム。
12. 正当な電子証明書であることが検証された電子証明書のうち通信相手となる車載器の電子証明書を特定する検証済相手情報を送信する車車間通信支援装置から、前記検証済相手情報を受信する検証済相手情報受信処理と、
    他の車載器から、電子証明書とアプリケーションデータと電子署名とを受信する車車間通信処理と、
    受信された電子証明書が前記検証済相手情報で特定される電子証明書であるか判定する検証済判定処理と、
    受信された電子証明書が前記検証済相手情報で特定される電子証明書でないと判定された場合、受信された電子証明書が正当な電子証明書であるか検証する証明書検証処理と、
    受信された電子証明書が前記検証済相手情報で特定される電子証明書であると判定された場合と、受信された電子証明書が正当な電子証明書であることが検証された場合に、受信された電子証明書を用いて、受信された電子署名が正しい電子署名であるか検証する署名検証処理と、
    受信された電子署名が正しい電子署名であることが検証された場合、受信されたアプリケーションデータを処理するアプリケーション処理と
    をコンピュータに実行させるための車載器プログラム。
13. 自車両に搭載される車載器であって、
    他車両に搭載される他の車載器から送信されたメッセージを受信する車車間通信部と、
    前記自車両の状態を取得する状態取得部と、
    優先順位ポリシーから、受信されたメッセージの内容と前記自車両の状態とに対応付けられた優先順位を取得する優先順位取得部と、
    取得された優先順位に応じた順番で読み出されるように、前記受信されたメッセージまたは前記受信されたメッセージのメッセージ識別子をメッセージ記憶領域に書き込むメッセージ書込み部と
    を備える車載器。
14. 前記優先順位ポリシーは、前記自車両の状態と前記受信されたメッセージの内容とを用いて、前記受信されたメッセージが示す内容の確からしさを確認することを条件に優先順位を定めることを含む
    請求項１３に記載の車載器。
15. 前記状態取得部は、前記自車両のセンシング情報を取得し、
    前記優先順位ポリシーは、前記受信されたメッセージと前記自車両のセンシング情報とを用いて、前記受信されたメッセージが示す位置に存在することを条件に優先順位を定めることを含む
    請求項１４に記載の車載器。
16. 前記状態取得部は、前記自車両のセンシング情報と過去に受信されたメッセージもしくは前記受信されたメッセージを送信した車両以外から受信されたメッセージとを取得し、
    前記優先順位ポリシーは、前記受信されたメッセージと前記自車両のセンシング情報と前記過去に受信されたメッセージもしくは前記受信されたメッセージを送信した車両以外から受信されたメッセージとを用いて、前記受信されたメッセージが示す位置に存在することを条件に優先順位を定めることを含む
    請求項１４に記載の車載器。
17. 前記優先順位ポリシーは、前記車両の状態として前記車載器のメッセージ検証の処理負荷を条件に優先順位を定めることを含む
    請求項１３に記載の車載器。

Images