JP2019149707A - 検証装置および検証システム - Google Patents

Abstract

【課題】ネットワークに非接続の第１装置の正規性や、第１装置と通信可能に接続される第２装置の正規性を検証することができる検証装置および検証システムを提供する。【解決手段】検証システム１００において、検証装置２１は、送信部と、検証部とを備える。送信部は、第１装置２０を識別する第１識別値に基づいて算出される第１検証値を情報センタ１０へ送信する。検証部は、送信された第１検証値と情報センタに予め登録された登録第１識別値に基づいて算出されるセンタ第１検証値とを比較した比較結果とに基づき、第１装置２０の正規性を検証する。【選択図】図１

Description

本発明は、検証装置および検証システムに関する。

従来、例えば電気自動車などの車両において、搭載された蓄電池への充電は、車両用の充電スタンドに接続されることで行われる（例えば特許文献１参照）。

従来技術に係る充電スタンドにあっては、車両の車載装置と通信可能に接続されるとともに、インターネットなどのネットワークを介して情報センタと通信可能に接続される。これにより、充電スタンドは、例えば、車載装置の正規性を示す証明書情報を取得し、かかる証明書情報の有効性などをネットワークを介して情報センタと通信して確認することで、車載装置の正規性を検証している。

特開２０１４−０３９３９１号公報

しかしながら、近年、ネットワークに接続されていない充電スタンド、いわゆるスタンドアローン型の充電スタンドが提案されている。かかる充電スタンドの場合、ネットワークを用いて情報センタとの通信ができないために車載装置の正規性の検証や、充電スタンドが備えるスタンド制御装置の正規性の検証を行うことができないという不具合が生じるおそれがあった。

なお、上記した不具合は、充電スタンドに限らず、ネットワークに接続されていない第１装置（例えば家電の制御装置）と、第１装置と通信可能に接続される第２装置（例えば携帯端末装置）との間でも起こり得る。

本発明は、上記に鑑みてなされたものであって、ネットワークに非接続の第１装置の正規性や、第１装置と通信可能に接続される第２装置の正規性を検証することができる検証装置および検証システムを提供することを目的とする。

上記課題を解決し、目的を達成するために、本発明に係る検証装置は、ネットワークに非接続の第１装置、および、前記第１装置と通信可能に接続されるとともに前記ネットワークを介して情報センタと通信可能に接続される第２装置の少なくともいずれかに設けられる。検証装置は、送信部と、検証部とを備える。送信部は、前記第１装置を識別する第１識別値に基づいて算出される第１検証値、および、前記第２装置を識別する第２識別値に基づいて算出される第２検証値の少なくともいずれかを前記情報センタへ送信する。検証部は、前記送信部によって前記第１検証値が送信される場合、送信された前記第１検証値と前記情報センタに予め登録された登録第１識別値に基づいて算出されるセンタ第１検証値とを比較した比較結果と、前記送信部によって前記第２検証値が送信される場合、送信された前記第２検証値と前記情報センタに予め登録された登録第２識別値に基づいて算出されるセンタ第２検証値とを比較した比較結果とに基づき、前記第１装置および前記第２装置の少なくともいずれかの正規性を検証する。

本発明によれば、ネットワークに非接続の第１装置の正規性や、第１装置と通信可能に接続される第２装置の正規性を検証することができる。

図１は、実施形態に係る検証装置による検証方法の概要を示す図である。 図２は、検証システムの構成例を示すブロック図である。 図３は、情報センタの構成例を示すブロック図である。 図４は、スタンド情報ＤＢの一例を示す図である。 図５は、車両情報ＤＢの一例を示す図である。 図６は、スタンド制御装置の構成例を示すブロック図である。 図７は、スタンド情報ＤＢの一例を示す図である。 図８は、車載装置の構成例を示すブロック図である。 図９は、車両情報ＤＢの一例を示す図である。 図１０は、検証システムにおいて実行される処理手順を示すシーケンス図（その１）である。 図１１は、検証システムにおいて実行される処理手順を示すシーケンス図（その２）である。 図１２は、検証システムにおいて実行される処理手順を示すシーケンス図（その３）である。 図１３は、検証システムにおいて実行される処理手順を示すシーケンス図（その４）である。

以下、添付図面を参照して、本願の開示する検証装置および検証システムの実施形態を詳細に説明する。なお、以下に示す実施形態によりこの発明が限定されるものではない。

＜１．検証装置による検証方法の概要＞
以下では先ず、実施形態に係る検証装置による検証方法の概要について図１を参照して説明する。図１は、実施形態に係る検証装置による検証方法の概要を示す図である。

図１に示すように、検証システム１００は、情報センタ１０と、充電スタンドＳＴに設けられるスタンド制御装置２０と、車両Ｃに搭載される車載装置３０とを備える。なお、ここでは、理解の便宜のため、スタンド制御装置２０の正規性を検証する場合を例にとって説明する。

情報センタ１０は、充電スタンドＳＴのスタンド制御装置２０や車両Ｃの車載装置３０の正規性を検証するための各種の情報等を管理するセンタサーバである。情報センタ１０は、ネットワークＮを介して車載装置３０と通信自在に接続される。

スタンド制御装置２０は、充電スタンドＳＴを制御する制御装置である。スタンド制御装置２０は、ネットワークＮとは接続されないように構成される、言い換えると、ネットワークＮに非接続の装置である。従って、充電スタンドＳＴは、いわゆるスタンドアローン型の充電スタンドである。

但し、スタンド制御装置２０は、車載装置３０とは通信可能に接続される。詳しくは、スタンド制御装置２０と車載装置３０とは、例えばＷｉＦｉ（登録商標）やＢｌｕｅｔｏｏｔｈ（登録商標）などの近距離通信を介して相互に通信することができる。

車載装置３０が搭載される車両Ｃは、例えば、電気自動車などの車両である。従って、車両Ｃには、車両Ｃを駆動させる駆動源（例えばモータなど）へ供給される電力を蓄える蓄電池３６が設けられる。そして、車載装置３０には、かかる蓄電池３６と充電スタンドＳＴとの間の充電を制御する装置などが含まれる。

上記したスタンド制御装置２０には検証装置２１が設けられるとともに、車載装置３０には検証装置３１が設けられる。なお、ここでは、スタンド制御装置２０および車載装置３０のそれぞれに検証装置が設けられるようにしたが、これに限定されるものではなく、検証装置は、スタンド制御装置２０および車載装置３０のいずれかに設けられるようにしてもよい。

また、上記したスタンド制御装置２０の正規性の検証は、例えば、充電スタンドＳＴによる蓄電池３６の充電が開始される前に行われるが、これに限られず、充電中や充電後に行われてもよい。また、スタンド制御装置２０の正規性の検証は、車載装置３０の検証装置３１で行われる。

ここで、スタンド制御装置２０の正規性の検証が行われる前に、事前処理が行われる。具体的には、情報センタ１０に、登録第１識別値が予め登録される（ステップＳ１）。

登録第１識別値は、例えば、スタンド制御装置２０を識別する第１識別値であり、詳しくは、認証局２００（図２参照）などによって正規性が担保された状態の充電スタンドＳＴのスタンド制御装置２０から得られる、スタンド制御装置２０の識別値である。なお、登録第１識別値については、図４を参照して後述する。

上記した事前処理が完了すると、スタンド制御装置２０の検証装置２１は、スタンド制御装置２０を識別する第１識別値に基づいて第１検証値を算出する（ステップＳ２）。

なお、ステップＳ２で用いられる第１識別値は、正規性が担保された状態のスタンド制御装置２０から得られる識別値ではなく、正規性が不明な状態のスタンド制御装置２０の識別値である。

検証装置２１は、かかる第１識別値に基づいて第１検証値を算出する。なお、第１検証値は、例えば第１識別値とスタンド制御装置２０で生成された乱数とにハッシュ関数を掛け合わせることで得られる検証値（ハッシュ値）であるが、これについては後述する。

次いで、検証装置２１は、かかる第１検証値や乱数などを含む情報を車載装置３０へ送信する（ステップＳ３）。車載装置３０の検証装置３１は、送信された第１検証値や乱数などを含む情報をネットワークＮを介して情報センタ１０へ送信する（ステップＳ４）。

このように、本実施形態にあっては、ネットワークＮに非接続のスタンド制御装置２０で算出された第１検証値等を含む情報を、車載装置３０を中継することで、情報センタ１０へ送信することが可能となる。

第１検証値や乱数などを含む情報が送信された情報センタ１０は、事前処理で予め登録された登録第１識別値に基づいてセンタ第１検証値を算出する（ステップＳ５）。なお、センタ第１検証値は、例えば登録第１識別値と、送信された情報に含まれる乱数とにハッシュ関数を掛け合わせることで得られる検証値（ハッシュ値）であるが、これについては後述する。

そして、情報センタ１０は、送信された第１検証値と算出されたセンタ第１検証値とを比較する（ステップＳ６）。ここで、例えば、スタンド制御装置２０が正規である場合、ステップＳ２の第１識別値は、事前登録された登録第１識別値と同じであるため、これらから得られる第１検証値およびセンタ第１検証値も同じ値になるはずである。

情報センタ１０は、第１検証値とセンタ第１検証値との比較結果を車載装置３０へ送信する（ステップＳ７）。そして、検証装置３１は、送信された比較結果に基づき、スタンド制御装置２０の正規性を検証する（ステップＳ８）。

詳しくは、検証装置３１は、第１検証値とセンタ第１検証値とが同じ値であるという比較結果の場合、スタンド制御装置２０が正規であると判定する。一方、検証装置３１は、第１検証値とセンタ第１検証値とが異なる値であるという比較結果の場合、例えば、スタンド制御装置２０内の情報の漏洩や改竄などが発生し、充電スタンドＳＴのなりすましなどの事象が起こっている可能性があるため、スタンド制御装置２０が正規ではないと判定する。

このように、本実施形態に係る検証装置３１は、スタンド制御装置２０（第１装置の一例）を識別する第１識別値に基づいて算出される第１検証値を情報センタ１０へ送信する。そして、検証装置３１は、送信された第１検証値と情報センタ１０に予め登録された登録第１識別値に基づいて算出されるセンタ第１検証値とを比較した比較結果に基づき、スタンド制御装置２０の正規性を検証するようにした。

これにより、ネットワークＮに非接続のスタンド制御装置２０の正規性を検証することができる。なお、上記したスタンド制御装置２０の正規性の検証と同様な手順で、車載装置３０や情報センタ１０の正規性の検証を行うことができるが、これらについては、図２以降を参照して説明する。

＜２．検証システム＞
次に、実施形態に係る検証システム１００の構成について、図２を用いて説明する。図２は、検証システム１００の構成例を示すブロック図である。なお、図２や後述するブロック図では、本実施形態の特徴を説明するために必要な構成要素のみを機能ブロックで表しており、一般的な構成要素についての記載を省略している。

換言すれば、図２等のブロック図に図示される各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。例えば、各機能ブロックの分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することが可能である。

図２に示すように、検証システム１００は、情報センタ１０と、スタンド制御装置２０と、車載装置３０とを備える。なお、図２に示す検証システム１００は、あくまでも例示であって限定されるものではない。すなわち、例えば、検証システム１００は、情報センタ１０、スタンド制御装置２０および車載装置３０のうちの一つまたは二つが除去されて構成されてもよい。

また、ネットワークＮには、認証局２００が通信自在に接続される。認証局２００は、例えば、スタンド制御装置２０や車載装置３０の正規性が確認された場合に、スタンド制御装置２０等に対し、正規性を示す証明書情報などを発行することができる。

また、認証局２００は、例えばなりすましなどの事象により、スタンド制御装置２０や車載装置３０の正規性が失われた場合、正規性が失われたスタンド制御装置２０等に対して発行していた証明書情報を失効させることもできる。

なお、図２に示す例では、情報センタ１０と認証局２００とを別のブロックで示したが、これに限定されるものではなく、例えば、情報センタ１０が認証局２００として機能し、証明書情報の発行や失効などを行ってもよい。また、図２では、スタンド制御装置２０、車載装置３０を一つずつ示したが、これは例示であって限定されるものではなく、複数であってもよい。

また、スタンド制御装置２０が設けられる充電スタンドＳＴ（図１参照）は、例えば、車両Ｃの蓄電池３６（図１参照）と非接触で充電可能な非接触型充電スタンドを用いることができるが、これに限定されるものではない。なお、充電スタンドＳＴは、車両Ｃ用の外部充電装置の一例である。

次いで、上記した情報センタ１０、スタンド制御装置２０および車載装置３０の構成について具体的に説明する。

＜３．情報センタ＞
図３は、情報センタ１０の構成例を示すブロック図である。図３に示すように、情報センタ１０は、通信部１２と、制御部１３と、記憶部１４とを備える。

＜３．１．通信部＞
通信部１２は、ネットワークＮ（図１，２参照）に双方向通信可能に接続する通信インターフェイスであり、車載装置３０や認証局２００等との間で情報の送受信を行う。

＜３．２．記憶部＞
記憶部１４は、不揮発性メモリやハードディスクドライブ、データフラッシュといった記憶デバイスで構成される記憶部であり、スタンド情報データベース（以下「ＤＢ」と記載する）１４ａと、車両情報ＤＢ１４ｂと、鍵情報ＤＢ１４ｃとを備える。

スタンド情報ＤＢ１４ａは、スタンド制御装置２０の正規性を検証する際に用いられる各種の情報が登録される。図４は、スタンド情報ＤＢ１４ａの一例を示す図である。

図４に示すように、スタンド情報ＤＢ１４ａには、「スタンドＩＤ」および「登録第１識別値」のそれぞれの情報が含まれ、これらの情報は互いに関連付けられている。

「スタンドＩＤ」は、充電スタンドＳＴのスタンド制御装置２０毎に割り当てられる識別情報である。「登録第１識別値」は、上記したように事前処理で登録され、詳しくは、認証局２００（図２参照）などによって正規性が担保された状態のスタンド制御装置２０から得られる、スタンド制御装置２０の識別値である。

例えば、「登録第１識別値」は、スタンドＩＤと、スタンド制御装置２０が有するプログラムのプログラムソースコードとにハッシュ関数を掛け合わせることで得られる識別値（ハッシュ値）を用いることができる。

図４の例では、スタンド情報ＤＢ１４ａのスタンドＩＤ「Ａ１」は、登録第１識別値が「Ｂ１」であることを示している。

図３の説明に戻ると、車両情報ＤＢ１４ｂは、車載装置３０の正規性を検証する際に用いられる各種の情報が登録される。図５は、車両情報ＤＢ１４ｂの一例を示す図である。

図５に示すように、車両情報ＤＢ１４ｂには、「車両ＩＤ」および「登録第２識別値」のそれぞれの情報が含まれ、これらの情報は互いに関連付けられている。

「車両ＩＤ」は、車両Ｃの車載装置３０毎に割り当てられる識別情報である。「登録第２識別値」は、登録第１識別値と同様に、事前処理で登録される。詳しくは、「登録第２識別値」は、認証局２００（図２参照）などによって正規性が担保された状態の車載装置３０から得られる、車載装置３０の識別値である。

例えば、「登録第２識別値」は、車両ＩＤと、車載装置３０が有するプログラムのプログラムソースコードとにハッシュ関数を掛け合わせることで得られる識別値（ハッシュ値）を用いることができる。

図５の例では、車両情報ＤＢ１４ｂの車両ＩＤ「Ｃ１」は、登録第２識別値が「Ｄ１」であることを示している。

なお、上記した車載装置３０が有するプログラムや、スタンド制御装置２０が有するプログラムとしては、例えば、通信用のプログラムや認証用のプログラムなどを用いることができるが、これらに限定されるものではない。

図３の説明に戻ると、鍵情報ＤＢ１４ｃには、スタンド制御装置２０や車載装置３０の正規性を検証する際に用いられる情報を暗号化したり、復号したりする鍵の情報が含まれる。

例えば、鍵情報ＤＢ１４ｃには、秘密鍵および公開鍵の情報が含まれるが、これに限られない。また、かかる公開鍵の情報は、事前処理として、スタンド制御装置２０および車載装置３０に登録されるものとする。

＜３．３．制御部＞
制御部１３は、取得部１３ａと、生成部１３ｂと、算出部１３ｃと、比較部１３ｄと、送信部１３ｅとを備える。

＜３．３．１．取得部＞
取得部１３ａは、スタンド制御装置２０の正規性を検証する際、スタンド情報ＤＢ１４ａを読み出し、検証するスタンド制御装置２０の「スタンドＩＤ」に対応する「登録第１識別値」の情報を取得して算出部１３ｃへ出力する。なお、情報センタ１０には、スタンド制御装置２０から車載装置３０を介して「スタンドＩＤ」が送信され、取得部１３ａでは、送信された「スタンドＩＤ」に基づいて「登録第１識別値」を取得するものとする。

また、取得部１３ａは、車載装置３０の正規性を検証する際、車両情報ＤＢ１４ｂを読み出し、検証する車載装置３０の「車両ＩＤ」に対応する「登録第２識別値」の情報を取得して算出部１３ｃへ出力する。なお、情報センタ１０には、車載装置３０から「車両ＩＤ」が送信され、取得部１３ａでは、送信された「車両ＩＤ」に基づいて「登録第２識別値」を取得するものとする。

また、後述するように、スタンド制御装置２０において情報センタ１０の正規性を検証する際、情報センタ１０には、スタンド制御装置２０から車載装置３０を介して「スタンドＩＤ」が送信される。このとき、取得部１３ａは、スタンド情報ＤＢ１４ａを読み出し、送信された「スタンドＩＤ」に対応する「登録第１識別値」の情報を取得して算出部１３ｃへ出力する。

同様に後述するが、車載装置３０において情報センタ１０の正規性を検証する際、情報センタ１０には、車載装置３０から「車両ＩＤ」が送信される。このとき、取得部１３ａは、車両情報ＤＢ１４ｂを読み出し、送信された「車両ＩＤ」に対応する「登録第２識別値」の情報を取得して算出部１３ｃへ出力する。

＜３．３．２．生成部＞
生成部１３ｂは、センタ第１検証値やセンタ第２検証値（後述）を算出する際に用いられる「乱数」を生成する。生成部１３ｂは、生成した「乱数」を算出部１３ｃおよび送信部１３ｅへ出力する。

なお、後に記載するように、スタンド制御装置２０や車載装置３０も「乱数」を生成する生成部を備えるが、各生成部によって生成される「乱数」は互いに異なる値とされる。

＜３．３．３．算出部＞
次に、算出部１３ｃについて説明する。後述するように、スタンド制御装置２０の正規性を検証する際、情報センタ１０には、スタンド制御装置２０から車載装置３０を介して、スタンド制御装置２０で算出された「第１検証値」と、スタンド制御装置２０で生成され算出に用いられた「乱数」とが暗号化されて送信される。なお、かかる暗号化は、事前処理でスタンド制御装置２０に登録されている公開鍵によってなされる。

このとき、算出部１３ｃは、鍵情報ＤＢ１４ｃから秘密鍵を読み出し、暗号化されて送信された「第１検証値」と「乱数」とを秘密鍵で復号する。算出部１３ｃは、復号された「第１検証値」を比較部１３ｄへ出力する。また、算出部１３ｃは、復号された「乱数」、言い換えると、スタンド制御装置２０で生成された「乱数」と、取得部１３ａから出力された「登録第１識別値」とにハッシュ関数を掛け合わせることで、「センタ第１検証値（ハッシュ値）」を算出する。算出部１３ｃは、算出された「センタ第１検証値」を比較部１３ｄへ出力する。

同様に後述するが、車載装置３０の正規性を検証する際、情報センタ１０には、車載装置３０から、車載装置３０で算出された「第２検証値」と、車載装置３０で生成され算出に用いられた「乱数」とが暗号化されて送信される。なお、かかる暗号化は、事前処理で車載装置３０に登録されている公開鍵によってなされる。

このとき、算出部１３ｃは、鍵情報ＤＢ１４ｃから秘密鍵を読み出し、暗号化されて送信された「第２検証値」と「乱数」とを秘密鍵で復号する。算出部１３ｃは、復号された「第２検証値」を比較部１３ｄへ出力する。また、算出部１３ｃは、復号された「乱数」、言い換えると、車載装置３０で生成された「乱数」と、取得部１３ａから出力された「登録第２識別値」とにハッシュ関数を掛け合わせることで、「センタ第２検証値（ハッシュ値）」を算出する。算出部１３ｃは、算出された「センタ第２検証値」を比較部１３ｄへ出力する。

また、スタンド制御装置２０において情報センタ１０の正規性を検証する際、算出部１３ｃは、取得部１３ａから出力される「登録第１識別値」と、生成部１３ｂで生成された「乱数」とにハッシュ関数を掛け合わせることで、「センタ第１検証値（ハッシュ値）」を算出する。算出部１３ｃは、算出された「センタ第１検証値」を送信部１３ｅへ出力する。

また、車載装置３０において情報センタ１０の正規性を検証する際、算出部１３ｃは、取得部１３ａから出力される「登録第２識別値」と、生成部１３ｂで生成された「乱数」とにハッシュ関数を掛け合わせることで、「センタ第２検証値（ハッシュ値）」を算出する。算出部１３ｃは、算出された「センタ第２検証値」を送信部１３ｅへ出力する。

＜３．３．４．比較部＞
スタンド制御装置２０の正規性を検証する際、比較部１３ｄには、スタンド制御装置２０で算出されて送信された「第１検証値」と、算出部１３ｃで算出された「センタ第１検証値」とが入力される。比較部１３ｄは、かかる「第１検証値」と「センタ第１検証値」とを比較し、比較結果を送信部１３ｅへ送信する。

車載装置３０の正規性を検証する際、比較部１３ｄには、車載装置３０で算出されて送信された「第２検証値」と、算出部１３ｃで算出された「センタ第２検証値」とが入力される。比較部１３ｄは、かかる「第２検証値」と「センタ第２検証値」とを比較し、比較結果を送信部１３ｅへ送信する。

＜３．３．５．送信部＞
スタンド制御装置２０の正規性を検証する際、送信部１３ｅは、鍵情報ＤＢ１４ｃから秘密鍵を読み出し、「第１検証値」と「センタ第１検証値」との比較結果を秘密鍵で暗号化し、通信部１２およびネットワークＮを介して車載装置３０へ送信する。なお、後述するように、車載装置３０は、暗号化された比較結果に基づいてスタンド制御装置２０の正規性を検証する。

車載装置３０の正規性を検証する際、送信部１３ｅは、鍵情報ＤＢ１４ｃから秘密鍵を読み出し、「第２検証値」と「センタ第２検証値」との比較結果を秘密鍵で暗号化し、通信部１２およびネットワークＮを介して車載装置３０へ送信する。なお、後述するように、車載装置３０は、暗号化された比較結果をスタンド制御装置２０へ送信する。

スタンド制御装置２０において情報センタ１０の正規性を検証する際、送信部１３ｅは、鍵情報ＤＢ１４ｃから秘密鍵を読み出す。そして、送信部１３ｅは、算出部１３ｃで算出された「センタ第１検証値」と、生成部１３ｂで生成された「乱数」とを秘密鍵で暗号化し、通信部１２およびネットワークＮを介して車載装置３０へ送信する。なお、後述するように、車載装置３０は、暗号化された「センタ第１検証値」等をスタンド制御装置２０へ送信する。

車載装置３０において情報センタ１０の正規性を検証する際、送信部１３ｅは、鍵情報ＤＢ１４ｃから秘密鍵を読み出す。そして、送信部１３ｅは、算出部１３ｃで算出された「センタ第２検証値」と、生成部１３ｂで生成された「乱数」とを秘密鍵で暗号化し、通信部１２およびネットワークＮを介して車載装置３０へ送信する。なお、後述するように、車載装置３０は、暗号化された「センタ第２検証値」等に基づいて情報センタ１０の正規性を検証する。

＜４．スタンド制御装置＞
次に、スタンド制御装置２０について説明する。図６は、スタンド制御装置２０の構成例を示すブロック図である。図６に示すように、スタンド制御装置２０は、検証装置２１を備える。検証装置２１は、通信部２２と、制御部２３と、記憶部２４とを備える。

＜４．１．通信部＞
通信部２２は、通信インターフェイスであり、ネットワークＮを用いずに、近距離通信を用いて車載装置３０との間で情報の送受信を行う。

＜４．２．記憶部＞
記憶部２４は、不揮発性メモリやハードディスクドライブ、データフラッシュといった記憶デバイスで構成される記憶部であり、スタンド情報ＤＢ２４ａと、鍵情報ＤＢ２４ｂとを備える。

スタンド情報ＤＢ２４ａは、スタンド制御装置２０や情報センタ１０の正規性を検証する際に用いられる各種の情報が登録される。図７は、スタンド情報ＤＢ２４ａの一例を示す図である。

図７に示すように、スタンド情報ＤＢ２４ａには、「スタンドＩＤ」および「プログラムソースコード」のそれぞれの情報が含まれ、これらの情報は互いに関連付けられている。

「スタンドＩＤ」は、スタンド制御装置２０毎に割り当てられる識別情報である。「プログラムソースコード」は、上記したように、スタンド制御装置２０が有するプログラムのプログラムソースコードを示す情報である。図７の例では、スタンド情報ＤＢ２４ａのスタンドＩＤ「Ａ１」は、プログラムソースコードが「Ｅ１」であることを示している。以下、プログラムソースコードを「ＰＧソース」と記載する場合がある。

図６の説明に戻ると、鍵情報ＤＢ２４ｂには、スタンド制御装置２０や情報センタ１０の正規性を検証する際に用いられる情報を暗号化したり、復号したりする鍵の情報が含まれる。例えば、鍵情報ＤＢ２４ｂには、事前処理において、公開鍵の情報が登録される。

＜４．３．制御部＞
制御部２３は、取得部２３ａと、生成部２３ｂと、算出部２３ｃと、送信部２３ｅと、検証部２３ｆとを備える。

＜４．３．１．取得部＞
取得部２３ａは、スタンド制御装置２０の正規性を検証する際、スタンド情報ＤＢ２４ａを読み出し、「スタンドＩＤ」と「ＰＧソース」の情報を取得して算出部２３ｃへ出力する。

また、スタンド制御装置２０において情報センタ１０の正規性を検証する際、取得部２３ａは、「スタンドＩＤ」の情報を送信部２４ｅへ、「スタンドＩＤ」と「ＰＧソース」の情報を算出部２３ｃへ出力する。

＜４．３．２．生成部＞
生成部２３ｂは、第１検証値を算出する際に用いられる「乱数」を生成する。生成部２３ｂは、生成した「乱数」を算出部２３ｃおよび送信部２３ｅへ出力する。

＜４．３．３．算出部＞
スタンド制御装置２０の正規性を検証する際、算出部２３ｃは、「スタンドＩＤ」と「ＰＧソース」とにハッシュ関数を掛け合わせることで、「第１識別値（ハッシュ値）」を算出する。そして、算出部２３ｃは、算出された「第１識別値」と「乱数」とにハッシュ関数を掛け合わせることで、「第１検証値（ハッシュ値）」を算出し、算出された「第１検証値」を送信部２３ｅへ出力する。

＜４．３．４．送信部＞
スタンド制御装置２０の正規性を検証する際、送信部２３ｅは、鍵情報ＤＢ２４ｂから公開鍵を読み出し、算出部２３ｃで算出された「第１検証値」と、スタンド制御装置２０で生成され算出に用いられた「乱数」とを公開鍵で暗号化し、車載装置３０へ送信する。なお、車載装置３０は、暗号化された「第１検証値」および「乱数」を情報センタ１０へ送信する。

スタンド制御装置２０において情報センタ１０の正規性を検証する際、送信部２３ｅは、「スタンドＩＤ」を車載装置３０へ送信する。なお、車載装置３０は、「スタンドＩＤ」を情報センタ１０へ送信する。

＜４．３．５．検証部＞
検証部２３ｆは、車載装置３０の正規性や情報センタ１０の正規性の検証を行う。例えば、検証部２３ｆは、暗号化された「第２検証値」と「センタ第２検証値」との比較結果が車載装置３０から送信された場合、鍵情報ＤＢ２４ｂから読み出した公開鍵で復号する。そして、検証部２３ｆは、「第２検証値」と「センタ第２検証値」との比較結果に基づいて、車載装置３０の正規性の検証を行う。

例えば、検証部２３ｆは、「第２検証値」と「センタ第２検証値」とが同じ値であるという比較結果の場合、車載装置３０が正規であると判定し、異なる値であるという比較結果の場合、例えば、車載装置３０が正規ではないと判定する。

このように、検証部２３ｆは、第２識別値と車載装置３０で生成された乱数とに基づいて算出される第２検証値と、登録第２識別値と車載装置３０で生成された乱数とに基づいて算出されるセンタ第２検証値とを比較した比較結果に基づき、車載装置３０の正規性を検証するようにした。これにより、車載装置３０の正規性を精度よく検証することができる。

また、検証部２３ｆは、算出部２３ｃによって算出された「第１検証値」と「センタ第１検証値」とを比較し、その比較結果に基づき、情報センタ１０の正規性を検証する。例えば、検証部２３ｆは、「第１検証値」と「センタ第１検証値」とが同じ値であるという比較結果の場合、情報センタ１０が正規であると判定し、異なる値であるという比較結果の場合、例えば、情報センタ１０が正規ではないと判定する。これにより、情報センタ１０の正規性を精度よく検証することができる。

＜５．車載装置＞
次に、車載装置３０について説明する。図８は、車載装置３０の構成例を示すブロック図である。図８に示すように、車載装置３０は、検証装置３１を備える。検証装置３１は、通信部３２と、制御部３３と、記憶部３４とを備える。

＜５．１．通信部＞
通信部３２は、通信インターフェイスであり、ネットワークＮを介して情報センタ１０や認証局２００等との間で情報の送受信を行う。また、通信部３２は、ネットワークＮを用いずに、近距離通信を用いてスタンド制御装置２０との間で情報の送受信を行う。

＜５．２．記憶部＞
記憶部３４は、不揮発性メモリやハードディスクドライブ、データフラッシュといった記憶デバイスで構成される記憶部であり、車両情報ＤＢ３４ａと、鍵情報ＤＢ３４ｂとを備える。

車両情報ＤＢ３４ａは、車載装置３０や情報センタ１０の正規性を検証する際に用いられる各種の情報が登録される。図９は、車両情報ＤＢ３４ａの一例を示す図である。

図９に示すように、車両情報ＤＢ３４ａには、「車両ＩＤ」および「プログラムソースコード」のそれぞれの情報が含まれ、これらの情報は互いに関連付けられている。

「車両ＩＤ」は、車載装置３０毎に割り当てられる識別情報である。「プログラムソースコード」は、上記したように、車載装置３０が有するプログラムのプログラムソースコードを示す情報である。図９の例では、車両情報ＤＢ３４ａの車両ＩＤ「Ｃ１」は、プログラムソースコードが「Ｇ１」であることを示している。

図８の説明に戻ると、鍵情報ＤＢ３４ｂには、車載装置３０や情報センタ１０の正規性を検証する際に用いられる情報を暗号化したり、復号したりする鍵の情報が含まれる。例えば、鍵情報ＤＢ３４ｂには、事前処理において、公開鍵の情報が登録される。

＜５．３．制御部＞
制御部３３は、取得部３３ａと、生成部３３ｂと、算出部３３ｃと、送信部３３ｅと、検証部３３ｆとを備える。

＜５．３．１．取得部＞
取得部３３ａは、車載装置３０の正規性を検証する際、車両情報ＤＢ３４ａを読み出し、「車両ＩＤ」と「ＰＧソース」の情報を取得して算出部３３ｃへ出力する。

また、車載装置３０において情報センタ１０の正規性を検証する際、取得部３３ａは、「車両ＩＤ」の情報を送信部３３ｅへ、「車両ＩＤ」と「ＰＧソース」の情報を算出部３３ｃへ出力する。

＜５．３．２．生成部＞
生成部３３ｂは、第２検証値を算出する際に用いられる「乱数」を生成する。生成部３３ｂは、生成した「乱数」を算出部３３ｃおよび送信部３３ｅへ出力する。

＜５．３．３．算出部＞
車載装置３０の正規性を検証する際、算出部３３ｃは、「車両ＩＤ」と「ＰＧソース」とにハッシュ関数を掛け合わせることで、「第２識別値（ハッシュ値）」を算出する。そして、算出部３３ｃは、算出された「第２識別値」と「乱数」とにハッシュ関数を掛け合わせることで、「第２検証値（ハッシュ値）」を算出し、算出された「第２検証値」を送信部３３ｅへ出力する。

＜５．３．４．送信部＞
車載装置３０の正規性を検証する際、送信部３３ｅは、鍵情報ＤＢ３４ｂから公開鍵を読み出し、算出部３３ｃで算出された「第２検証値」と、車載装置３０で生成され算出に用いられた「乱数」とを公開鍵で暗号化し、情報センタ１０へ送信する。

車載装置３０において情報センタ１０の正規性を検証する際、送信部３３ｅは、「車両ＩＤ」を情報センタ１０へ送信する。

＜５．３．５．検証部＞
検証部３３ｆは、スタンド制御装置２０の正規性や情報センタ１０の正規性の検証を行う。例えば、検証部３３ｆは、暗号化された「第１検証値」と「センタ第１検証値」との比較結果が情報センタ１０から送信された場合、鍵情報ＤＢ３４ｂから読み出した公開鍵で復号する。そして、検証部３３ｆは、「第１検証値」と「センタ第１検証値」との比較結果に基づいて、スタンド制御装置２０の正規性の検証を行う。

例えば、検証部３３ｆは、「第１検証値」と「センタ第１検証値」とが同じ値であるという比較結果の場合、スタンド制御装置２０が正規であると判定し、異なる値であるという比較結果の場合、例えば、スタンド制御装置２０が正規ではないと判定する。

このように、検証部３３ｆは、送信された第１検証値と、登録第１識別値とスタンド制御装置２０で生成された乱数とに基づいて算出されるセンタ第１検証値とを比較した比較結果に基づき、スタンド制御装置２０の正規性を検証するようにした。これにより、スタンド制御装置２０の正規性を精度よく検証することができる。

また、検証部３３ｆは、算出部３３ｃによって算出された「第２検証値」と「センタ第２検証値」とを比較し、その比較結果に基づき、情報センタ１０の正規性を検証する。例えば、検証部３３ｆは、「第２検証値」と「センタ第２検証値」とが同じ値であるという比較結果の場合、情報センタ１０が正規であると判定し、異なる値であるという比較結果の場合、例えば、情報センタ１０が正規ではないと判定する。これにより、情報センタ１０の正規性を精度よく検証することができる。

＜６．スタンド制御装置において情報センタの正規性を検証する制御処理＞
次に、スタンド制御装置２０において情報センタ１０の正規性を検証する制御処理の具体的な処理手順について図１０を用いて説明する。図１０は、検証システム１００において実行される処理手順を示すシーケンス図である。なお、以下のシーケンス図の説明では、上記した事前処理が完了しているものとする。

図１０に示すように、スタンド制御装置２０は、「スタンドＩＤ」を車載装置３０へ送信する（ステップＳ１０１）。次いで、車載装置３０は、スタンド制御装置２０から送信された「スタンドＩＤ」を情報センタ１０へ送信する（ステップＳ１０２）。

次に、情報センタ１０は、「乱数」を生成し（ステップＳ１０３）、「乱数」と事前処理で登録されている「登録第１識別値」とに基づいて「センタ第１検証値」を算出する（ステップＳ１０４）。

次に、情報センタ１０は、「センタ第１検証値」と「乱数」とを暗号化し（ステップＳ１０５）、暗号化された「センタ第１検証値」と「乱数」とを車載装置３０へ送信する（ステップＳ１０６）。

車載装置３０は、暗号化された「センタ第１検証値」と「乱数」とをスタンド制御装置２０へ送信する（ステップＳ１０７）。そして、スタンド制御装置２０は、暗号化された「センタ第１検証値」と「乱数」とを復号する（ステップＳ１０８）。

次に、スタンド制御装置２０は、スタンド制御装置２０で算出された「第１識別値」と復号された「乱数」とに基づいて「第１検証値」を算出する（ステップＳ１０９）。次に、スタンド制御装置２０は、算出された「第１検証値」と、情報センタ１０から送信された「センタ第１検証値」とを比較する（ステップＳ１１０）。そして、スタンド制御装置２０は、「第１検証値」と「センタ第１検証値」との比較結果に基づいて、情報センタ１０の正規性を検証する（ステップＳ１１１）。

このように、本実施形態に係るスタンド制御装置２０は、算出された第１検証値とセンタ第１検証値とを比較した比較結果に基づき、情報センタ１０の正規性を検証することができる。

＜７．車載装置において情報センタの正規性を検証する制御処理＞
次に、車載装置３０において情報センタ１０の正規性を検証する制御処理の具体的な処理手順について図１１を用いて説明する。図１１は、検証システム１００において実行される処理手順を示すシーケンス図である。

図１１に示すように、車載装置３０は、「車両ＩＤ」を情報センタ１０へ送信する（ステップＳ２０１）。次に、情報センタ１０は、「乱数」を生成し（ステップＳ２０２）、「乱数」と事前処理で登録されている「登録第２識別値」とに基づいて「センタ第２検証値」を算出する（ステップＳ２０３）。

次に、情報センタ１０は、「センタ第２検証値」と「乱数」とを暗号化し（ステップＳ２０４）、暗号化された「センタ第２検証値」と「乱数」とを車載装置３０へ送信する（ステップＳ２０５）。

車載装置３０は、暗号化された「センタ第２検証値」と「乱数」とを復号する（ステップＳ２０６）。次に、車載装置３０は、車載装置３０で算出された「第２識別値」と復号された「乱数」とに基づいて「第２検証値」を算出する（ステップ２０７）。次に、車載装置３０は、算出された「第２検証値」と、情報センタ１０から送信された「センタ第２検証値」とを比較する（ステップＳ２０８）。そして、車載装置３０は、「第２検証値」と「センタ第２検証値」との比較結果に基づいて、情報センタ１０の正規性を検証する（ステップＳ２０９）。

このように、本実施形態に係る車載装置３０は、算出された第２検証値とセンタ第２検証値とを比較した比較結果に基づき、情報センタ１０の正規性を検証することができる。

＜８．スタンド制御装置の正規性を検証する制御処理＞
次に、スタンド制御装置２０の正規性を検証する制御処理の具体的な処理手順について図１２を用いて説明する。図１２は、検証システム１００において実行される処理手順を示すシーケンス図である。

図１２に示すように、スタンド制御装置２０は、「乱数」を生成し（ステップＳ３０１）、「乱数」とスタンド制御装置２０で算出された「第１識別値」とに基づいて「第１検証値」を算出する（ステップＳ３０２）。

次に、スタンド制御装置２０は、「第１検証値」と「乱数」とを暗号化し（ステップＳ３０３）、暗号化された「第１検証値」と「乱数」とを車載装置３０へ送信する（ステップＳ３０４）。

車載装置３０は、暗号化された「第１検証値」と「乱数」とを情報センタ１０へ送信する（ステップＳ３０５）。次いで、情報センタ１０は、暗号化された「第１検証値」と「乱数」とを復号する（ステップＳ３０６）。

次に、情報センタ１０は、復号された「乱数」と、事前処理で登録された「登録第１識別値」とに基づいて「センタ第１検証値」を算出する（ステップＳ３０７）。情報センタ１０は、算出された「センタ第１検証値」と、送信された「第１検証値」とを比較する（ステップＳ３０８）。そして、情報センタ１０は、比較結果を暗号化し（ステップＳ３０９）、車載装置３０へ送信する（ステップＳ３１０）。

次いで、車載装置３０は、比較結果を復号し（ステップＳ３１１）、復号された「第１検証値」と「センタ第１検証値」との比較結果に基づいて、スタンド制御装置２０の正規性を検証する（ステップＳ３１２）。

＜９．車載装置の正規性を検証する制御処理＞
次に、車載装置３０の正規性を検証する制御処理の具体的な処理手順について図１３を用いて説明する。図１３は、検証システム１００において実行される処理手順を示すシーケンス図である。

図１３に示すように、車載装置３０は、「乱数」を生成し（ステップＳ４０１）、「乱数」と車載装置３０で算出された「第２識別値」とに基づいて「第２検証値」を算出する（ステップＳ４０２）。

次に、車載装置３０は、「第２検証値」と「乱数」とを暗号化し（ステップＳ４０３）、暗号化された「第２検証値」と「乱数」とを情報センタ１０へ送信する（ステップＳ４０４）。

次いで、情報センタ１０は、暗号化された「第２検証値」と「乱数」とを復号する（ステップＳ４０５）。次に、情報センタ１０は、復号された「乱数」と、事前処理で登録された「登録第２識別値」とに基づいて「センタ第２検証値」を算出する（ステップＳ４０６）。

情報センタ１０は、算出された「センタ第２検証値」と、送信された「第２検証値」とを比較する（ステップＳ４０７）。そして、情報センタ１０は、比較結果を暗号化し（ステップＳ４０８）、車載装置３０へ送信する（ステップＳ４０９）。車載装置３０は、暗号化された比較結果をスタンド制御装置２０へ送信する（ステップＳ４１０）。

次いで、スタンド制御装置２０は、比較結果を復号し（ステップＳ４１１）、復号された「第２検証値」と「センタ第２検証値」との比較結果に基づいて、車載装置３０の正規性を検証する（ステップＳ４１２）。

上述してきたように、実施形態に係る検証装置２１，３１は、ネットワークＮに非接続のスタンド制御装置２０（第１装置の一例）、および、スタンド制御装置２０と通信可能に接続されるとともにネットワークＮを介して情報センタ１０と通信可能に接続される車載装置３０（第２装置の一例）の少なくともいずれかに設けられる。

検証装置２１，３１は、送信部２３ｅ，３３ｅと、検証部２３ｆ，３３ｆとを備える。送信部２３ｅ，３３ｅは、スタンド制御装置２０を識別する第１識別値に基づいて算出される第１検証値、および、車載装置３０を識別する第２識別値に基づいて算出される第２検証値の少なくともいずれかを情報センタ１０へ送信する。

検証部２３ｆ，３３ｆは、送信部２３ｅ，３３ｅによって第１検証値が送信される場合、送信された第１検証値と情報センタ１０に予め登録された登録第１識別値に基づいて算出されるセンタ第１検証値とを比較した比較結果と、送信部２３ｅ，３３ｅによって第２検証値が送信される場合、送信された第２検証値と情報センタ１０に予め登録された登録第２識別値に基づいて算出されるセンタ第２検証値とを比較した比較結果とに基づき、スタンド制御装置２０および車載装置３０の少なくともいずれかの正規性を検証する。これにより、ネットワークＮに非接続のスタンド制御装置２０の正規性や、スタンド制御装置２０と通信可能に接続される車載装置３０の正規性を検証することができる。

なお、上記した実施形態において、スタンド制御装置２０を第１装置の一例としたが、これに限定されるものではなく、例えば家電の制御装置など、ネットワークＮに接続されていない装置であれば、その他の装置であってもよい。また、車載装置３０を第２装置の一例としたが、これに限定されるものではなく、例えば携帯端末装置など、第１装置と通信可能に接続されるとともにネットワークＮを介して情報センタと通信可能に接続される装置であれば、その他の装置であってもよい。

さらなる効果や変形例は、当業者によって容易に導き出すことができる。このため、本発明のより広範な態様は、以上のように表しかつ記述した特定の詳細および代表的な実施形態に限定されるものではない。したがって、添付の特許請求の範囲およびその均等物によって定義される総括的な発明の概念の精神または範囲から逸脱することなく、様々な変更が可能である。

１０ 情報センタ
２０ スタンド制御装置（第１装置の一例）
２１，３１ 検証装置
２３ｅ，３３ｅ 送信部
２３ｆ，３３ｆ 検証部
３０ 車載装置（第２装置の一例）
１００ 検証システム
Ｎ ネットワーク

Claims (7)

1. ネットワークに非接続の第１装置、および、前記第１装置と通信可能に接続されるとともに前記ネットワークを介して情報センタと通信可能に接続される第２装置の少なくともいずれかに設けられる検証装置であって、
   前記第１装置を識別する第１識別値に基づいて算出される第１検証値、および、前記第２装置を識別する第２識別値に基づいて算出される第２検証値の少なくともいずれかを前記情報センタへ送信する送信部と、
   前記送信部によって前記第１検証値が送信される場合、送信された前記第１検証値と前記情報センタに予め登録された登録第１識別値に基づいて算出されるセンタ第１検証値とを比較した比較結果と、前記送信部によって前記第２検証値が送信される場合、送信された前記第２検証値と前記情報センタに予め登録された登録第２識別値に基づいて算出されるセンタ第２検証値とを比較した比較結果とに基づき、前記第１装置および前記第２装置の少なくともいずれかの正規性を検証する検証部と
   を備えることを特徴とする検証装置。
2. 前記送信部は、
   前記第１識別値と前記第１装置で生成された乱数とに基づいて算出される前記第１検証値を送信し、
   前記検証部は、
   前記送信部によって送信された前記第１検証値と、前記登録第１識別値と前記第１装置で生成された前記乱数とに基づいて算出される前記センタ第１検証値とを比較した比較結果に基づき、前記第１装置の正規性を検証すること
   を特徴とする請求項１に記載の検証装置。
3. 前記第２装置を識別する第２識別値に基づいて前記第２検証値を算出する算出部
   をさらに備え、
   前記検証部は、
   前記算出部によって算出された前記第２検証値と前記センタ第２検証値とを比較した比較結果に基づき、前記情報センタの正規性を検証すること
   を特徴とする請求項２に記載の検証装置。
4. 前記検証部は、
   前記第２識別値と前記第２装置で生成された乱数とに基づいて算出される前記第２検証値と、前記登録第２識別値と前記第２装置で生成された前記乱数とに基づいて算出される前記センタ第２検証値とを比較した比較結果に基づき、前記第２装置の正規性を検証すること
   を特徴とする請求項１に記載の検証装置。
5. 前記第１装置を識別する第１識別値に基づいて前記第１検証値を算出する算出部
   をさらに備え、
   前記検証部は、
   前記算出部によって算出された前記第１検証値と前記センタ第１検証値とを比較した比較結果に基づき、前記情報センタの正規性を検証すること
   を特徴とする請求項４に記載の検証装置。
6. 前記第１装置は、
   車両用の外部充電装置に設けられる制御装置であり、
   前記第２装置は、
   蓄電池を備えた車両に搭載される車載装置であること
   を特徴とする請求項１〜５のいずれか一つに記載の検証装置。
7. ネットワークに非接続の第１装置と、
   前記第１装置と通信可能に接続されるとともに前記ネットワークを介して情報センタと通信可能に接続される第２装置と
   を備え、
   請求項１〜６のいずれか一つに記載の検証装置が、前記第１装置および前記第２装置の少なくともいずれかに設けられること
   を特徴とする検証システム。

Images