JP2019161434A - 乗物データ管理システム、及び乗物データ管理方法 - Google Patents

Abstract

【課題】ユーザーが乗物のデータを能動的に提供可能にする。【解決手段】復号可能に暗号化されたデータを送信するデータサーバー１０に、車両２から収集した収集データ１８を送信する車載端末４と、ユーザー端末７と、暗号化された前記収集データ１８の復号可否を前記ユーザー端末７に問合せる需要家端末１２と、前記収集データ１８の復号鍵１５を管理するＩＤ管理端末１１と、を備え、前記ＩＤ管理端末１１は、前記復号可否の問合せに対する復号許可が前記ユーザー端末７に入力された場合に、前記復号鍵１５を前記需要家端末１２に送信する車両データ管理システム１を構成した。【選択図】図１

Description

本発明は、乗物データ管理システム、及び乗物データ管理方法に関する。

車両の車両運行状態を特定可能なデータをサーバーに送信し、当該データをサーバーが解析することで、車両不調や故障原因の探求を容易にする技術が知られている（例えば、特許文献１参照）。
また、車両において採取されたデータを、外部の情報端末に提供するシステムにおいて、外部の情報端末が保持する暗証番号が所定の暗証番号と一致する場合に、車両から外部の情報端末にデータを提供する技術も知られている（例えば、特許文献２参照）。

特開２００２−３２３４０９号公報 特開２００４−１９６２５１号公報

特許文献２の技術によれば、暗証番号を保持する外部の情報端末にのみ車両のデータが提供される。
しかしながら、車両のデータの提供先が複数存在する場合に、ユーザーが提供先を個々に把握し能動的にデータを提供することは困難であった。

本発明は、ユーザーが車両等の乗物のデータを能動的に提供できる乗物データ管理システム、及び乗物データ管理方法を提供することを目的とする。

本発明は、復号可能に暗号化されたデータを送信するデータサーバーに、乗物の乗物データを送信する送信端末と、ユーザーが操作可能なユーザー端末と、前記データサーバーから送信される前記乗物データの復号可否を前記ユーザー端末に問合せる需要家端末と、前記データサーバーから送信される前記乗物データの復号のためのデータを管理する管理端末と、を備え、前記管理端末は、前記復号可否の問合せに対する復号許可が前記ユーザーの操作によって前記ユーザー端末に入力された場合に、前記乗物データを復号するためのデータを前記需要家端末に送信する、ことを特徴とする乗物データ管理システムを提供する。

本発明は、上記乗物データ管理システムにおいて、前記管理端末は、前記乗物データを復号するためのデータを既に受信している前記需要家端末に、前記乗物データの復号を不可にする信号を送信する送信部を備えることを特徴とする。

本発明は、上記乗物データ管理システムにおいて、前記データサーバーは、前記乗物データに含まれるデータ項目のリストを生成するリスト生成部を備えることを特徴とする。

本発明は、上記乗物データ管理システムにおいて、前記乗物は車両であり、前記乗物データに含まれるデータ項目は、時刻、前記乗物のイグニッションキーのオンオフのサイクル回数、燃費、電力消費量、残電気量、車速、乗物の位置情報のうちの少なくともいずれか１つを含むことを特徴とする。

本発明は、上記乗物データ管理システムにおいて、前記データサーバーは、前記乗物データのデータ項目ごとに、復号のためのデータを異ならせていることを特徴とする。

本発明は、上記乗物データ管理システムにおいて、前記乗物は車両であり、前記乗物データは、前記乗物のイグニッションキーのオフからオンまでの期間を単位としてデータ化されていることを特徴とする。

本発明は、復号可能に暗号化されたデータを送信するデータサーバーに、乗物の乗物データを送信する送信端末と、ユーザーが操作可能なユーザー端末と、復号可能な前記乗物データを前記データサーバーから受信する需要家端末と、を備えた乗物データ管理システムの乗物データ管理方法であって、前記データサーバーから送信される前記乗物データの復号のためのデータを管理端末に管理させるステップと、前記データサーバーから受信した乗物データの復号可否を前記ユーザー端末に前記需要家端末から問合せるステップと、前記復号可否の問合せに対する復号許可が前記ユーザーの操作によって前記ユーザー端末に入力された場合に、前記乗物データを復号するためのデータを前記需要家端末に前記管理端末から送信するステップとを備えることを特徴とする。

本発明によれば、ユーザーが乗物のデータを能動的に提供できる。

本発明の実施形態に係る車両データ管理システムの構成を模式的に示す図である。 車両に設けられた車載システムの構成を車載端末の機能的構成とともに模式的に示す図である。 ユーザー端末の機能的構成を示す図である。 データサーバーの機能的構成を示すブロック図である。 ＩＤ管理端末の機能的構成を示す図である。 車両データのデータ収集時の車両データ管理システムの動作を示すシーケンス図である。 需要家が収集データを利用するときの車両データ管理システムの動作を示すシーケンス図である。 回答画面の一例を示す図である。 データ項目の提供許可をユーザーが取り消すときの車両データ管理システム１の動作を示すシーケンス図である。

以下、図面を参照して本発明の実施形態について説明する。
図１は、本実施形態に係る車両データ管理システム１の構成を模式的に示す図である。
車両データ管理システム１は、複数の車両２の各々に搭載された車載端末４と、ユーザーＵが所持するユーザー端末７と、データサーバー１０と、ＩＤ管理端末１１と、複数の需要家端末１２と、を備え、これらが電気通信回線１６に通信可能に接続される。電気通信回線１６は、移動体通信を提供する移動体通信網（例えば携帯電話網）と、広域通信を提供する例えばインターネットと、を含む通信回線である。

車両２は、内燃機関エンジン、ハイブリッドエンジン、電動モーターなどの原動機の動力により走行する車である。本実施形態では、車両２は四輪自動車であるが、二輪自動車などの他の自動車でもよいし、自動車に限らず鉄道車両などの他の車でもよい。
車載端末４は、車両２に搭載された情報処理装置であり、車両２から各種の車両データを収集する機能を有した車載情報収集装置として構成されている。車載端末４は、収集された車両データの群を収集データ１８として電気通信回線１６を介してデータサーバー１０に送信する。
ユーザー端末７は、ユーザーＵが所持し、当該ユーザーＵが操作可能な端末であって、電気通信回線１６を通じて通信可能な通信端末である。ユーザー端末７の具体例としては、例えば携帯電話機や、スマートフォン、モバイルＰＣ、携帯型ミュージックプレーヤー、スマートウォッチなどが挙げられる。

データサーバー１０は、車載端末４の各々から送信される収集データ１８を、電気通信回線１６を介して受信し、これらの収集データ１８を管理する。またデータサーバー１０は、需要家端末１２からデータ送信要求１９を、電気通信回線１６を介して受信する。データ送信要求１９は、所定の収集データ１８の送信をデータサーバー１０に要求するデータである。データサーバー１０は、データ送信要求１９を受信した場合、当該データ送信要求１９によって要求されている収集データ１８を当該需要家端末１２に電気通信回線１６を介して送信する。データの送信時には、データサーバー１０は、所定の復号鍵１５で復号可能に暗号化した状態で収集データ１８を送信する。これにより、需要家端末１２はデータサーバー１０から収集データ１８を取得しただけでは、復号鍵１５を取得しない限り、収集データ１８を復号化できないようになっている。

ＩＤ管理端末１１は、電気通信回線１６に通信可能に接続された通信端末であり、ユーザー端末７、及び需要家端末１２を管理する。またＩＤ管理端末１１は、データサーバー１０が送信する収集データ１８を復号するための復号鍵１５を管理する。さらに、ＩＤ管理端末１１は、ユーザー端末７から受信した提供可否回答７０に基づき、復号鍵１５を需要家端末１２に送信する。提供可否回答７０は、需要家へのデータ提供をユーザーＵが許可するか否かを示したデータである。

需要家端末１２の各々は、収集データ１８を各種の目的で利用する需要家が当該データの配信を、電気通信回線１６を介して受けるための通信端末である。需要家端末１２には、ユーザー操作入力装置（例えばキーボードやタッチパネルディスプレイ）、表示装置、電気通信回線１６に通信接続可能な通信装置を備えた、一般的なコンピューター（いわゆるＰＣ）が用いられる。需要家は、例えば、車両２に関連するサービスを提供する会社や団体であり、例えば車両２の製造会社や、車両２の販売店、車両整備会社などが挙げられる。
また需要家がデータサーバー１０の収集データ１８を利用する場合、当該収集データ１８を送信した車載端末４のユーザーＵに、データ提供の可否を問い合せる問合わせメッセージ７１が需要家端末１２から送信される。この問合せメッセージ７１の回答として上記提供可否回答７０がユーザー端末７からＩＤ管理端末１１に送信される。

次いで、車両データ管理システム１の各部の構成を詳述する。

図２は、車両２に設けられた車載システムの構成を車載端末４の機能的構成とともに模式的に示す図である。
車載システムは、ＣＡＮ（Controller Area Network）２０と、複数の電子制御ユニット２２と、車載端末４と、を備える。

ＣＡＮ２０は、車両用ネットワーク（車載ネットワークとも呼ばれる）の一例であり、ＣＡＮ２０には電子制御ユニット２２、及び車載端末４が接続され、これら電子制御ユニット２２、及び車載端末４がＣＡＮ通信プロトコルにしたがって通信する。
電子制御ユニット２２は、いわゆる「ＥＣＵ」と称される電子回路ユニットである。車両２が備える電子制御ユニット２２としては、例えば、エンジンを含むパワートレインの動作を制御する電子回路ユニット、変速機を制御する電子回路ユニット、及び電装品を制御する電子回路ユニットなどが挙げられる。電装品には、例えばワイパー、ドアロック、ルームライト、ウィンカー、テールランプなどが挙げられる。
電子制御ユニット２２の各々には固有の識別情報が割り当てられており、車載端末４が、これらの識別情報を用いて個々の電子制御ユニット２２と通信可能になっている。

車載端末４は、制御部３０と、位置検出部３２と、計時部３４と、ＣＡＮインターフェース部３６と、無線通信部３８と、を備える。
制御部３０は、ＣＰＵやＭＰＵ等のプロセッサと、ＲＡＭやＲＯＭ等のメモリデバイスと、を備え、プロセッサが所定のコンピュータープログラムにしたがって動作することで、車載端末４の各部を制御する。
位置検出部３２は、ＧＰＳ等の測位装置を備え、現在位置（経度・緯度の情報）を検出する。
計時部３４は、計時回路を備え、現在時刻、及び日時を計時する。
ＣＡＮインターフェース部３６は、ＣＡＮ２０に接続するためのインターフェースである。
無線通信部３８は、電気通信回線１６に無線接続して通信する無線通信デバイスを備える。

また制御部３０は、コンピュータープログラムを実行することで、データ収集制御部４０、及び収集データ送信制御部４２の機能を実現する。

データ収集制御部４０は、ＣＡＮインターフェース部３６を介して電子制御ユニット２２の各々と通信し、これらの電子制御ユニット２２からデータを取得することで、車両２から各種のデータを収集する。収集されたデータは、制御部３０が備えるメモリデバイスや、車載端末４に設けられた記憶装置（ＨＤＤやＳＤＤなどのディスクドライブ）に格納される。

データ収集制御部４０は、車両２のイグニッションキーがオンからオフになるまでの期間を１ドライブの単位とし、収集されたデータを、１ドライブ単位ごとに収集データ１８としてデータ化する。この収集データ１８には、１ドライブの期間における任意のタイミングでの走行時間、走行距離、燃費、イグニッションオン、及びオフの各々の場所と日時、車両２で生じた故障を識別する故障コード、ワーニングランプの点灯、故障コードが発生したタイミング又はワーニングランプが点灯したタイミングの前後数秒間の車両状態情報、車種などが含まれる。車両状態情報は、車両２の状態を示す情報であり、電子制御ユニット２２の各々から取得可能な各種情報である。また、車両２が電動自動車、又はハイブリッド自動車である場合、収集データ１８には、走行に伴う電力消費量や、バッテリーの残電気量なども含まれる。
収集データ１８の情報は、位置検出部３２、計時部３４、及び電子制御ユニット２２の各々から得られるデータから直接、或いは、当該データをデータ収集制御部４０が解析、加工することで得られる。１ドライブ分の収集データ１８は、例えばイグニッションキーがオフになるオフタイミングでデータ収集制御部４０によって生成されメモリデバイス等に格納される。収集データ１８が１ドライブごとに生成されるため、ある期間における収集データ１８の生成数に基づいて、当該ある期間におけるイグニッションキーのオンオフのサイクル回数も特定可能になっている。

なお、データ収集制御部４０は、これらの情報の他にも、任意の情報を収集してもよい。
位置検出装置を有するナビゲーション装置などの他の車載装置や電子制御ユニット２２がＣＡＮ２０に接続されている場合、データ収集制御部４０は、それらの車載装置や電子制御ユニット２２から現在位置を取得してもよい。

収集データ送信制御部４２は、所定の送信タイミングで、収集データ１８をメモリデバイス等から読み出し、無線通信部３８の通信により、この収集データ１８をデータサーバー１０に送信する。収集データ１８は、上述の通り、１ドライブごとのデータとして記録されており、収集データ１８の送信時には、未送信状態の収集データ１８が全て送信される。送信タイミングは任意であり、イグニッションキーのオンタイミングやオフタイミングといった特定のタイミング、或いは車載端末４が動作可能な任意のタイミングに収集データ１８が送信される。

図３は、ユーザー端末７の機能的構成を示す図である。
ユーザー端末７は、制御部４３と、無線通信部４４と、ユーザーインターフェース部４５と、を備える。
制御部４３は、ＣＰＵやＭＰＵ等のプロセッサと、ＲＡＭやＲＯＭ等のメモリデバイスと、を備え、プロセッサが所定のコンピュータープログラムにしたがって動作することで、ユーザー端末７の各部を制御する。また制御部４３は、アプリケーションプログラムを実行することで、各種のアプリケーションサービスをユーザーＵに提供する。このアプリケーションサービスには、電子メールの送受信サービスや、ＳＮＳ（Social Networking Service）サービス、プッシュ型配信メッセージの受信サービス等が挙げられる。
無線通信部４４は、電気通信回線１６に無線接続して通信する無線通信デバイスを備える。
ユーザーインターフェース部４５は、ユーザー操作を入力可能にする入力装置としての機能、及び、各種操作画面やメッセージ等を表示するＧＵＩ（Graphical User Interface）の表示装置としての機能を備えるものであり、タッチパネルディスプレイ４６を備える。

図４は、データサーバー１０の機能的構成を示すブロック図である。
データサーバー１０は、収集データ管理部５０と、リスト配信部５２と、データ要求処理部５４と、を備えている。
データサーバー１０には、ＣＰＵやＭＰＵなどのプロセッサと、ＲＯＭやＲＡＭなどのメモリデバイスと、ＨＤＤやＳＳＤなどのデータ格納装置と、電気通信回線１６に接続可能な通信デバイスと、を備えたサーバーコンピューターが用いられている。そしてプロセッサがメモリデバイスに記憶されているソフトウェアプログラムを実行することで、図４に示す各機能が実現される。なお、データサーバー１０の各機能が複数台のサーバーコンピューターに分けて実現されてもよい。

収集データ管理部５０は、車載端末４の各々から通信デバイスで受信した収集データ１８を管理するものであり、データ暗号化部５５と、収集データ蓄積部５６と、リスト生成部５７と、を備えている。
データ暗号化部５５は、公開鍵方式、又は共通鍵方式（本実施形態では公開鍵方式）に基づき、暗号鍵１３（本実施形態では公開鍵方式における「公開鍵」）を用いて収集データ１８をデータ項目５８Ａごとに暗号化する。データ項目５８Ａは、需要家に提供されるデータの項目を示す情報であり、収集データ１８に含まれる全て、又は一部のデータの項目がデータ項目５８Ａとなる。なお、データ項目５８Ａには、収集データ１８に含まれるデータを分析や解析して得られるデータの項目を含めることもできる。係る分析や解析は、データサーバー１０やその他の任意のコンピューターで適宜に実行可能である。

またデータ暗号化部５５は、暗号化に際し、ユーザーＵ、及びデータ項目５８Ａごとに異なる暗号鍵１３を用いており、暗号化されたデータ項目５８Ａのデータを復号するための復号鍵１５（本実施形態では、公開鍵方式における「秘密鍵」）は、ＩＤ管理端末１１によって管理されている。

収集データ蓄積部５６は、データ暗号化部５５によって暗号化された収集データ１８をデータ格納装置に蓄積し、リスト生成部５７は、暗号化された収集データ１８の上記データ項目５８Ａに基づいて提供データリスト５８を生成する。提供データリスト５８は、需要家に提供される上述のデータ項目５８Ａの一覧を示すものである。

リスト配信部５２は、需要家端末１２からのリスト配信要求７２を受信すると、提供データリスト５８を需要家端末１２に通信デバイスから配信する。需要家は、提供データリスト５８に基づいて、どのようなデータが利用可能かを把握できる。なお、提供データリスト５８の配信はプッシュ型の配信でもよい。

データ要求処理部５４は、需要家端末１２からデータ送信要求１９を受信した場合に、データ送信要求１９で要求されている収集データ１８を暗号化状態のまま、需要者が需要家端末１２を用いて取得可能に配信する。データの配信形態は任意であり、例えば、電子メールによる送信、ＦＴＰによる転送、所定のＷＥＢサイトからのダウンロード、需要家に紐付いたクラウドストレージへのアップロード、といった配信形態が挙げられる。

図５はＩＤ管理端末１１の機能的構成を示す図である。
ＩＤ管理端末１１は、ユーザー管理部６０と、需要家管理部６１と、データ提供可否取得部６２と、復号鍵送信部６３と、取消要求取得部６４と、無効化要求送信部６５と、を備えている。
ＩＤ管理端末１１には、ＣＰＵやＭＰＵなどのプロセッサと、ＲＯＭやＲＡＭなどのメモリデバイスと、ＨＤＤやＳＳＤなどのデータ格納装置と、電気通信回線１６に接続可能な通信デバイスと、を備えたコンピューターが用いられている。そしてプロセッサがメモリデバイスに記憶されているソフトウェアプログラムを実行することで、図５に示す各機能が実現される。

ユーザー管理部６０は、ユーザー管理データベース６６に基づいて、ユーザーＵに係る情報を管理する。ユーザー管理データベース６６は、データ格納装置に格納されたデータである。このユーザー管理データベース６６には、ユーザー情報６６Ａと、ユーザー端末情報６６Ｂと、車載端末情報６６Ｃと、提供データ項目情報６６Ｄと、復号鍵情報６６Ｅと、が対応付けて記録されている。
ユーザー情報６６ＡはユーザーＵに関する各種情報（氏名や年齢、性別など）であり、ユーザー端末情報６６Ｂはユーザー端末７に関する各種情報であり、車載端末情報６６Ｃは車載端末４に関する各種情報である。ユーザー情報６６Ａ及びユーザー端末情報６６Ｂのいずれかには、ユーザー端末７を操作してユーザーＵがメッセージ等を、電気通信回線１６を通じて取得可能なアドレス情報が含まれている。
提供データ項目情報６６Ｄは、車載端末４から受信した収集データ１８のうち、需要家への提供対象となる上記データ項目５８Ａを示す情報である。
復号鍵情報６６Ｅは、各データ項目５８Ａのデータを復号するための復号鍵１５の情報である。

需要家管理部６１は、需要家管理データベース６７に基づいて、需要家に係る各種情報を管理する。需要家管理データベース６７は、需要家情報６７Ａと、配信先情報６７Ｂと、を紐付けて管理するデータであり、データ格納装置に格納されている。
需要家情報６７Ａは、需要家に関する各種情報（例えば名称、連絡先など）である。配信先情報６７Ｂは、データサーバー１０が蓄積している収集データ１８のデータ配信先を示す情報である。上述のように、データ配信手法は、需要家が需要家端末１２を用いてデータを取得可能な手法であれば任意である。配信先情報には、配信手法に基づいて、データの送信先となるアドレスが格納される。

データ提供可否取得部６２は、提供可否回答７０をユーザー端末７から電気通信回線１６を通じて取得する。提供可否回答７０は、ユーザーＵが指定した需要家に対する所定のデータ項目５８Ａのデータ提供を、ユーザーＵが許可するか否かを示したデータである。

復号鍵送信部６３は、ユーザーＵが所定のデータ項目５８Ａのデータ提供を許可した場合に、許可されたデータ項目５８Ａの各復号鍵１５を需要家端末１２に送信する。
これにより需要家は、データサーバー１０から別途に取得されている収集データ１８を、需要家端末１２を操作して復号鍵１５を用いて復号化することで、ユーザーＵによって許可されたデータ項目５８Ａの各々のデータを利用可能になる。

取消要求取得部６４は、取消要求７３をユーザー端末７から電気通信回線１６を通じて取得する。取消要求７３は、ユーザーＵが指定した需要家に既に許可されているデータ項目５８Ａの全て、又は一部について、当該許可の取消を要求するデータである。
ユーザーＵは、何らかの理由により、データ提供を過去に許可した需要家に対するデータ提供に不都合を感じた場合や、ユーザーＵが誤って許可してしまった場合などには、取消要求７３をユーザー端末７から送信することで、データ項目５８Ａ単位で許可の取消を要求できる。

なお、ユーザーＵによる取消要求７３の送信操作を容易にするためのアプリケーションプログラムがユーザー端末７にインストールされている。
例えば、アプリケーションプログラムは、ユーザー端末７が過去に受信した問合せメッセージ７１の履歴と問合せメッセージ７１に対する提供可否回答７０の履歴とを記憶する機能、ユーザーＵがデータ提供を許可している需要家とデータ項目５８Ａとを表示する機能、許可の取消対象の需要家とデータ項目５８ＡとをユーザーＵが選択可能にする機能、及び、取消対象に選択された需要家とデータ項目５８Ａとについて取消要求７３をＩＤ管理端末１１に送信する機能、をユーザー端末７に実現させるコンピュータープログラムである。

無効化要求送信部６５は、取消要求取得部６４によって取消要求７３が取得された場合、この取消要求７３によって指定されている需要家端末１２に復号鍵無効化要求７４を送信する。復号鍵無効化要求７４は、取消要求７３において、ユーザーＵが許可の取消を要求しているデータ項目５８Ａの復号鍵１５の消去又は無効化を需要家端末１２に要求するデータである。需要家端末１２が、復号鍵無効化要求７４に基づいて、既に取得済みの復号鍵１５を消去又は無効化することで、それ以後、復号化が不可能になる。これにより、ユーザーＵの指定した需要家においては、当該ユーザーＵからのデータ取得がデータ項目５８Ａ単位で不能になる。

なお、需要家端末１２における復号鍵１５の秘匿性を確保するために、需要家端末１２には、復号鍵１５を用いて復号化する専用のアプリケーションプログラムがインストールされ、需要家端末１２は、この専用のアプリケーションプログラム以外のプログラムが復号鍵１５を読取、コピー、及び転送不能に記憶している。

図６は、車両データのデータ収集時の車両データ管理システム１の動作を示すシーケンス図である。
なお、ＩＤ管理端末１１のユーザー管理データベース６６、及び需要家管理データベース６７には、ユーザーＵや需要家の各種情報が既に登録されているものとする。

車載端末４は、ＣＡＮ２０に接続された電子制御ユニット２２の各々から各種のデータを収集する（ステップＳ１）。データの収集動作は、少なくとも車両２のイグニッションキーがオンの間、継続的に行われる。その後、イグニッションキーオフになり、１ドライブの期間が終了した場合（ステップＳ２：ＹＥＳ）、車載端末４は、１ドライブ期間の間に収集したデータを１つに纏めた収集データ１８にデータ化し、データサーバー１０に送信する（ステップＳ３）。

上述の通り、収集データ１８には、車両２の情報（故障コードや、ワーニングランプの点灯履歴、車両状態情報など）が含まれており、これらの情報が自動で収集され、データサーバー１０に送信され蓄積される。これらの収集データ１８を需要家が利用可能になることで、需要家は、この収集データ１８に基づいて、車両２の現状把握や、故障発生時の原因分析などを効率的に行うことができるようになる。

データサーバー１０は、車載端末４から収集データ１８を受信した場合（ステップＳ４：ＹＥＳ）、収集データ管理部５０が収集データ１８をデータ項目５８Ａごとに異なる暗号鍵１３で暗号化して蓄積する（ステップＳ５）。その後、データサーバー１０は、暗号化された各データ項目５８Ａを復号化するための復号鍵１５をＩＤ管理端末１１に送信する（ステップＳ６）。またデータサーバー１０は、収集データ１８のデータ項目５８Ａに基づいて、提供データリスト５８を生成する（ステップＳ７）。このステップＳ７において、既に提供データリスト５８が存在する場合には、データサーバー１０は、既存の提供データリスト５８を必要に応じて更新する。

一方、ＩＤ管理端末１１は、データサーバー１０から復号鍵１５を受信した場合（ステップＳ８：ＹＥＳ）、ユーザー管理部６０がユーザー管理データベース６６に、データ項目５８Ａごとの復号鍵１５をユーザーＵと対応付けて登録する（ステップＳ９）。

以上の処理により、車載端末４では、１ドライブごとに収集データ１８が収集され、この収集データ１８が暗号化されてデータサーバー１０に蓄積される。また、収集データ１８の復号化に必要な復号鍵１５がＩＤ管理端末１１で管理される。

なお、データサーバー１０は、ステップＳ４で受信した収集データ１８の各データ項目５８Ａを過去に受信し、それらのデータ項目５８Ａを既に暗号化している場合、ステップＳ５では、そのときに用いた暗号鍵１３で暗号化を行う。この場合において、ＩＤ管理端末１１には、過去の暗号化に伴って復号鍵１５が既に送信されているため、ステップＳ６の処理は不要である。

図７は、需要家が収集データ１８を利用するときの車両データ管理システム１の動作を示すシーケンス図である。
需要家は、どのようなデータが利用可能かを把握したい場合、需要家端末１２を操作して、データサーバー１０に提供データリスト５８のリスト配信要求７２を送信する（ステップＳ２０）。データサーバー１０は、リスト配信要求７２を受信した場合（ステップＳ２１：ＹＥＳ）、リスト生成部５７で生成された提供データリスト５８をリスト配信部５２が配信する（ステップＳ２２）。この配信態様は、需要家が需要家端末１２を操作して提供データリスト５８を取得し閲覧可能な配信態様であれば任意である。

需要家は、提供データリスト５８が配信された場合には（ステップＳ２３：ＹＥＳ）、需要家端末１２を操作して提供データリスト５８を受信し、需要家端末１２の表示装置に提供データリスト５８が表示される（ステップＳ２４）。

なお、需要家が提供データリスト５８を既に取得している等の理由で、提供データリスト５８を新たに取得する必要が無い場合は、ステップＳ２０〜Ｓ２４の処理は省略される。また、データサーバー１０は、リスト配信要求７２の有無にかかわらず、最新の提供データリスト５８を適宜のタイミングで需要家端末１２にプッシュ配信してもよい。

さて、需要家がデータ項目５８Ａのデータの利用を所望する場合、需要家は需要家端末１２を操作し、データサーバー１０に対してデータ送信要求１９を送信する（ステップＳ２５）。
データサーバー１０は、データ送信要求１９を受信した場合（ステップＳ２６：ＹＥＳ）、要求された収集データ１８を、需要家が需要家端末１２を操作して取得可能に送信する（ステップＳ２７）。

ここで、データ送信要求１９では、需要家が利用を所望するデータが収集データ１８単位（すなわち１ドライブ単位）で指定可能になっており、ステップＳ２７において、データサーバー１０は、データ送信要求１９の指定に基づいて該当する収集データ１８を送信する。収集データ１８の指定の態様は任意であり、例えば、需要家が指定した期間（例えば寒気や夏期、雨期など）、或いは地域（例えば寒冷地や山間部、都市部、平野部など）での走行によって収集された収集データ１８という指定態様や、特定の車種の収集データ１８という指定態様、特定の年齢層のユーザーＵの収集データ１８という指定態様が可能である。

需要家端末１２は、データサーバー１０から収集データ１８を受信した場合（ステップＳ２８：ＹＥＳ）、この収集データ１８の所望のデータ項目５８Ａを復号化するための有効な復号鍵１５を既に有しているか否かを判断する（ステップＳ２９）。需要家端末１２は、有効な復号鍵１５を既に有している場合（ステップＳ２９：ＹＥＳ）、その復号鍵１５を用いて収集データ１８を復号化し、所望のデータ項目５８Ａのデータを得る（ステップＳ３９）。

一方、需要家端末１２は、有効な復号鍵１５を未だ有していない場合（ステップＳ２９：ＮＯ）、この収集データ１８を送信した車載端末４のユーザーＵからデータ提供の許可を得るべく、問合せメッセージ７１を送信する（ステップＳ３０）。この問合せメッセージ７１は、ユーザーＵがユーザー端末７を操作して受信可能な送信形態で送信される。かかる送信形態としては、例えば電子メールやＳＮＳメッセージ、ユーザー端末７で実行されているアプリケーションプログラムで受信可能なプッシュ型メッセージ通知などが用いられる。

なお、ステップＳ３０において、需要家端末１２は、ユーザーＵへの問合せメッセージ７１の送信先をＩＤ管理端末１１から取得している。ＩＤ管理端末１１にあっては、需要家端末１２から問合せメッセージ７１の送信先の問合せを受けた場合、ユーザー管理データベース６６のユーザー情報６６Ａを参照して、送信先を需要家端末１２に返信する。
また、ステップＳ３０においては、需要家端末１２は、複数のユーザーＵについて有効な復号鍵１５を有していない場合、それぞれのユーザーＵに問合せメッセージ７１を送信する。

ユーザー端末７は問合せメッセージ７１を受信した場合（ステップＳ３１：ＹＥＳ）、問合せメッセージ７１に対して回答するための回答画面４７をタッチパネルディスプレイ４６に表示する（ステップＳ３２）。

図８は、回答画面４７の一例を示す図である。
回答画面４７には、提供先表示エリア８０と、提供内容表示エリア８２と、回答エリア８４とが設けられている。
提供先表示エリア８０は、収集データ１８の提供の許可を求めている需要家を表示するエリアである。提供内容表示エリア８２は、提供先に提供される（需要家が利用を望んでいる）収集データ１８の１又は複数のデータ項目５８Ａを表示するエリアである。また提供内容表示エリア８２には、提供を許可するデータ項目５８ＡをユーザーＵが選択可能にするチェックボックス８５が設けられている。回答エリア８４は、データ提供に同意するか否かをユーザーＵが回答するためのエリアであり、ユーザー操作可能な「はい」ボタン８４Ａと、「いいえ」ボタン８４Ｂとが設けられている。

そしてユーザーＵは、収集データ１８の提供先、及び提供内容を回答画面４７の表示から把握し、データ提供を許可する場合は、許可対象のデータ項目５８Ａをチェックボックス８５のチェックによって選択し、回答エリア８４の「はい」ボタン８４Ａを操作する。またデータ提供を一切許可しない場合、ユーザーＵは「いいえ」ボタン８４Ｂを操作する。

図７に戻り、ユーザー端末７は、回答エリア８４の操作によってユーザーＵの回答が入力された場合（ステップＳ３３：ＹＥＳ）、回答内容を示す提供可否回答７０をＩＤ管理端末１１に送信する（ステップＳ３４）。ユーザーＵがデータ提供を許可している場合には、提供可否回答７０には、データ提供先（需要家）と、データ提供が許可されたデータ項目５８Ａを示す許可情報とが格納される。ユーザーＵがデータ提供を一切許可していない場合には、その旨を示す不許可情報が許可情報に代えて格納される。

ＩＤ管理端末１１は、提供可否回答７０をユーザー端末７から受信した場合（ステップＳ３５：ＹＥＳ）、その提供可否回答７０に、許可情報が格納されているか否かを判断する（ステップＳ３６）。許可情報が格納されていた場合（ステップＳ３６：ＹＥＳ）、ＩＤ管理端末１１は、そのデータ項目５８Ａを復号するための復号鍵１５を、ユーザー管理データベース６６を参照して取得し、データ提供先となる需要家の需要家端末１２に復号鍵１５を送信する（ステップＳ３７）。
一方、許可情報が格納されていなかった場合（ステップＳ３６：ＮＯ）、ＩＤ管理端末１１は復号鍵１５の送信は行わない。この場合、ＩＤ管理端末１１は、ユーザーＵによりデータ提供が許可されなかった旨を需要家端末１２に送信してもよい。

需要家端末１２は、ＩＤ管理端末１１から復号鍵１５を受信した場合（ステップＳ３８：ＹＥＳ）、ステップＳ２５で受信した収集データ１８を、その復号鍵１５を用いて復号化する（ステップＳ３９）。
これにより、需要家は、所望のデータ項目５８Ａのデータを利用可能となる。

図９は、データ項目５８Ａの提供許可をユーザーＵが取り消すときの車両データ管理システム１の動作を示すシーケンス図である。
ユーザーＵは、過去のデータ提供許可を取り消す場合、ユーザー端末７を操作して、取消要求７３をＩＤ管理端末１１に送信する（ステップＳ５０）。この取消要求７３には、取消対象の需要家（データ提供先）と、データ項目５８Ａと、が含まれている。

ＩＤ管理端末１１は、取消要求７３を受信した場合（ステップＳ５１：ＹＥＳ）、この取消要求７３が示す取消対象の需要家の需要家端末１２に対し、復号鍵無効化要求７４を送信する（ステップＳ５２）。この復号鍵無効化要求７４には、取消対象のユーザーＵの収集データ１８を特定可能な情報（例えば収集データ１８を一意に特定する情報）と、その収集データ１８のデータ項目５８Ａとが含まれている。

需要家端末１２は、復号鍵無効化要求７４を受信した場合（ステップＳ５３：ＹＥＳ）、この復号鍵無効化要求７４が示す収集データ１８のデータ項目５８Ａに対応する復号鍵１５を無効化又は削除する（ステップＳ５４）。
これにより、それ以後、ユーザーＵの収集データ１８について、ユーザーＵが指定したデータ項目５８Ａのデータの復号化が不可能になる。

以上説明したように、本実施形態によれば、次の効果を奏する。

本実施形態では、データサーバー１０から送信される収集データ１８の復号のための復号鍵１５をＩＤ管理端末１１が管理し、また需要家端末１２がデータサーバー１０から受信した収集データ１８の復号可否を問合せる問合せメッセージ７１をユーザー端末７に送信する。そして、この問合せメッセージ７１に対する復号許可がユーザーＵの操作によってユーザー端末７に入力された場合に、収集データ１８を復号するための復号鍵１５を需要家端末１２にＩＤ管理端末１１が送信する。
これにより、収集データ１８を利用する需要家は、必ずユーザーＵに許可を求め、ユーザーＵが許可した需要家のみが復号鍵１５を取得可能になるため、ユーザーＵは、自身が意図した需要家にのみ能動的に収集データ１８を提供し、利用させることができる。

本実施形態では、ＩＤ管理端末１１は、復号鍵１５を既に受信している需要家端末１２に、当該復号鍵１５を無効化、又は破棄し、収集データ１８の復号を不可にすることを要求する信号である復号鍵無効化要求７４を送信する。
これにより、ユーザーＵは、データ提供を過去に許可した需要家に対するデータ提供に不都合を感じた場合や、誤ってデータ提供を許可してしまった場合でも、需要家側での収集データ１８の復号を不能にし、利用不能にできる。

本実施形態では、データサーバー１０は、収集データ１８に含まれるデータ項目５８Ａを示す提供データリスト５８を生成するリスト生成部５７を備える。
この提供データリスト５８により、需要家は、利用可能なデータ項目５８Ａを容易に把握できる。

本実施形態では、収集データ１８に含まれるデータ項目５８Ａは、時刻、車両のイグニッションキーのオンオフのサイクル回数、燃費、電力消費量、残電気量、車速、車両の位置情報のうちの少なくともいずれか１つを含む。
これにより、需要家は、車両２に固有のデータをデータサーバー１０から取得し、ユーザーＵの許可の下、利用することができる。

本実施形態では、データサーバー１０は、収集データ１８のデータ項目５８Ａごとに、復号のための復号鍵１５を異ならせている。
これにより、ユーザーＵは、需要家ごとに、収集データ１８が含むデータ項目５８Ａの単位で任意に利用の許可を与えることができる、また需要家側では、データ項目５８Ａの単位でしかデータを復号化できないため、収集データ１８の全体を１つの復号鍵１５で復号可能にする構成に比べ、セキュリティを確保できる。

本実施形態では、収集データ１８は、車両２のイグニッションキーのオフからオンまでの期間を単位としてデータ化されている。
すなわち、イグニッションキーのオフからオンまでの期間、すなわち１回のドライブ期間（乗車・運転期間）を単位とし、そのドライブ期間における任意タイミングのデータ群が１つの収集データ１８にデータ化される。
これにより、需要家は、ドライブ期間単位で収集データ１８を取得でき、また、そのドライブ期間の間に収集された任意のタイミングのデータ群のうち、所望のデータ項目５８Ａのデータを利用できる。

上述した実施形態は、あくまでも本発明の一態様の例示であり、本発明の主旨を逸脱しない範囲において任意に変形、及び応用が可能である。

例えば、車載端末４は、ユーザーＵが所持するユーザー端末７から当該ユーザーＵに関する個人情報を取得し、収集データ１８に含めてもよい。ユーザーＵに関する情報は、例えば性別や年齢、趣味・興味に関する情報などである。車載端末４がユーザー端末７からデータを取得する手法には、例えばケーブル接続や無線通信接続などの任意の手法を用いることができる。
ユーザーＵの個人情報が収集データ１８に含められることで、需要家は、収集データ１８に基づいて、どのようなユーザーＵが、どのような車両２を、どのように利用しているかを把握し、マーケティングに活かすことができる。

また例えば、データ提供に対してユーザーＵに需要家から与えられる対価を、問合せメッセージ７１に含め、回答画面４７において、当該対価をユーザーＵに提示することもできる。
これにより、需要家は、提供されるデータ項目５８Ａに見合った対価をユーザーＵに提示して、データ提供の許可を得易くできる。

また例えば、車載端末４は、ユーザー端末７の機能を備えてもよい。すなわち、需要家端末１２が送信した問合せメッセージ７１は車載端末４によって受信される。この車載端末４には、ユーザー操作を入力する入力装置、及び、各種情報を表示する表示装置が設けられ、この表示装置に回答画面４７が表示され、ユーザーＵは入力装置から回答を入力する。そして、車載端末４が当該回答に基づき提供可否回答７０をＩＤ管理端末１１に送信する。

また例えば、車載端末４は、データサーバー１０が備えるデータ暗号化部５５の機能を備え、データ暗号化部５５によって収集データ１８を暗号化した状態でデータサーバー１０に送信し、この収集データ１８をデータサーバー１０が復号してもよい。この場合において、車載端末４が暗号に用いる暗号鍵には、データサーバー１０から事前に取得した公開鍵を用いることができる。

また例えば、スマートフォンやタブレットＰＣ等の他の情報処理装置がデータ通信可能に車載端末４と接続される場合、当該情報処理装置が、収集データ１８の送信に係る車載端末４の一部又は全部の機能（例えば収集データ送信制御部４２、無線通信部３８など）を備えてもよい。
なお、車載端末４と同様に、情報処理装置は、いわゆるコンピューターを有し、ユーザー操作入力装置（例えばキーボードやタッチパネルディスプレイ）、表示装置（液晶パネルや有機ＥＬパネル）、ＣＰＵやＭＰＵなどのプロセッサ、ＲＡＭやＲＯＭなどのメモリデバイス、ＨＤＤやＳＳＤなどのストレージ装置、周辺機器の接続インターフェース回路、電気通信回線１６に無線接続する無線通信装置などを備える。この場合において、情報処理装置が上記ユーザー端末７であっても良いことは勿論である。

また例えば、データサーバー１０における収集データ１８の蓄積には、ブロックチェーン技術を用いこともできる。
具体的には、１つの収集データ１８を１ブロックとしたブロックチェーンデータが車載端末４ごとに規定され、データサーバー１０は、ある車載端末４から収集データ１８を受信するごとに、その車載端末４のブロックチェーンデータの末端に、その収集データ１８を連結する。収集データ１８の蓄積にブロックチェーン技術を用いることで、個々の収集データ１８の信頼性が高められる。また、収集データ１８のブロックチェーンデータは、複数のサーバーコンピューターによって分散記憶されてもよく、これにより、収集データ１８のバックアップが容易となり、また消失リスクを低減できる。さらに、ブロックチェーンデータに新たな収集データ１８が連結されるごとに、複数のコンピューターの間でブロックチェーンデータの正当性の確認が行われるので、収集データの改ざんが防止される。
ここで、本変形例では、１ブロックを暗号化するための暗号鍵が上記暗号鍵１３に相当し、ブロックチェーンデータを復号化するための復号鍵が上記復号鍵１５に相当する。すなわち、本変形例では、ユーザーＵごとに、異なる復号鍵１５で収集データ１８が復号可能に暗号化される。
なお、収集データ１８のデータ項目５８Ａごとに異なる復号鍵１５を用いて更に暗号化を施し、データ項目５８Ａごとに異なる復号鍵１５で復号可能にしてもよい。

また例えば、データサーバー１０がＩＤ管理端末１１の機能を備えてもよい。

本発明は、車両２に限らず、例えば飛行機や船舶、自走式装置といった任意の乗物に適用することができる。

１ 車両データ管理システム
２ 車両（乗物）
４ 車載端末（送信端末）
７ ユーザー端末
１０ データサーバー
１１ ＩＤ管理端末（管理端末）
１２ 需要家端末
１３ 暗号鍵
１５ 復号鍵
１８ 収集データ（乗物データ）
４０ データ収集制御部
４２ 収集データ送信制御部
４５ ユーザーインターフェース部
４６ タッチパネルディスプレイ
４７ 回答画面
５０ 収集データ管理部
５２ リスト配信部
５４ データ要求処理部
５５ データ暗号化部
５６ 収集データ蓄積部
５７ リスト生成部
５８ 提供データリスト
５８Ａ データ項目
６０ ユーザー管理部
６１ 需要家管理部
６２ データ提供可否取得部
６３ 復号鍵送信部
６４ 取消要求取得部
６５ 無効化要求送信部
６６ ユーザー管理データベース
６７ 需要家管理データベース

本発明は、上記乗物データ管理システムにおいて、前記乗物は車両であり、前記乗物データは、前記乗物のイグニッションキーのオンからオフまでの期間を単位としてデータ化されていることを特徴とする。

本実施形態では、収集データ１８は、車両２のイグニッションキーのオンからオフまでの期間を単位としてデータ化されている。
すなわち、イグニッションキーのオンからオフまでの期間、すなわち１回のドライブ期間（乗車・運転期間）を単位とし、そのドライブ期間における任意タイミングのデータ群が１つの収集データ１８にデータ化される。
これにより、需要家は、ドライブ期間単位で収集データ１８を取得でき、また、そのドライブ期間の間に収集された任意のタイミングのデータ群のうち、所望のデータ項目５８Ａのデータを利用できる。

Claims (7)

1. 復号可能に暗号化されたデータを送信するデータサーバーに、乗物の乗物データを送信する送信端末と、
   ユーザーが操作可能なユーザー端末と、
   前記データサーバーから送信される前記乗物データの復号可否を前記ユーザー端末に問合せる需要家端末と、
   前記データサーバーから送信される前記乗物データの復号のためのデータを管理する管理端末と、を備え、
   前記管理端末は、
   前記復号可否の問合せに対する復号許可が前記ユーザーの操作によって前記ユーザー端末に入力された場合に、前記乗物データを復号するためのデータを前記需要家端末に送信する、
   ことを特徴とする乗物データ管理システム。
2. 前記管理端末は、
   前記乗物データを復号するためのデータを既に受信している前記需要家端末に、前記乗物データの復号を不可にする信号を送信する送信部を備える
   ことを特徴とする請求項１記載の乗物データ管理システム。
3. 前記データサーバーは、
   前記乗物データに含まれるデータ項目のリストを生成するリスト生成部を備える
   ことを特徴とする請求項１から２に記載の乗物データ管理システム。
4. 前記乗物は車両であり、
   前記乗物データに含まれるデータ項目は、
   時刻、前記乗物のイグニッションキーのオンオフのサイクル回数、燃費、電力消費量、残電気量、車速、乗物の位置情報のうちの少なくともいずれか１つを含む
   ことを特徴とする請求項１〜３のいずれかに記載の乗物データ管理システム。
5. 前記データサーバーは、
   前記乗物データのデータ項目ごとに、復号のためのデータを異ならせている
   ことを特徴とする請求項１〜４のいずれかに記載の乗物データ管理システム。
6. 前記乗物は車両であり、
   前記乗物データは、前記乗物のイグニッションキーのオフからオンまでの期間を単位としてデータ化されている
   ことを特徴とする請求項１〜５のいずれかに記載の乗物データ管理システム。
7. 復号可能に暗号化されたデータを送信するデータサーバーに、乗物の乗物データを送信する送信端末と、
   ユーザーが操作可能なユーザー端末と、
   復号可能な前記乗物データを前記データサーバーから受信する需要家端末と、を備えた乗物データ管理システムの乗物データ管理方法であって、
   前記データサーバーから送信される前記乗物データの復号のためのデータを管理端末に管理させるステップと、
   前記データサーバーから受信した乗物データの復号可否を前記ユーザー端末に前記需要家端末から問合せるステップと、
   前記復号可否の問合せに対する復号許可が前記ユーザーの操作によって前記ユーザー端末に入力された場合に、前記乗物データを復号するためのデータを前記需要家端末に前記管理端末から送信するステップと
   を備えることを特徴とする乗物データ管理方法。

Images