JP2019192953A - 車両向けサービス提供システム、車載装置およびコマンド送信方法 - Google Patents

車両向けサービス提供システム、車載装置およびコマンド送信方法 Download PDF

Info

Publication number
JP2019192953A
JP2019192953A JP2018079609A JP2018079609A JP2019192953A JP 2019192953 A JP2019192953 A JP 2019192953A JP 2018079609 A JP2018079609 A JP 2018079609A JP 2018079609 A JP2018079609 A JP 2018079609A JP 2019192953 A JP2019192953 A JP 2019192953A
Authority
JP
Japan
Prior art keywords
vehicle
command
information server
push
unit
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2018079609A
Other languages
English (en)
Other versions
JP6973262B2 (ja
Inventor
中川　真志
Shinji Nakagawa
真志 中川
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Toyota Motor Corp
Original Assignee
Toyota Motor Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Toyota Motor Corp filed Critical Toyota Motor Corp
Priority to JP2018079609A priority Critical patent/JP6973262B2/ja
Priority to CN201910292413.4A priority patent/CN110392036B/zh
Priority to US16/385,459 priority patent/US11218456B2/en
Publication of JP2019192953A publication Critical patent/JP2019192953A/ja
Application granted granted Critical
Publication of JP6973262B2 publication Critical patent/JP6973262B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/55—Push-based network services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0863—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving passwords or one-time passwords

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Traffic Control Systems (AREA)
  • Information Transfer Between Computers (AREA)
  • Selective Calling Equipment (AREA)

Abstract

【課題】車両に対して任意のタイミングでコマンドを送信することができ且つコマンド実行のセキュリティを確保した車両向けサービス提供システムを提供する。【解決手段】車両向けサービス提供システム１００は、車載装置１０と、車両情報サーバ２０と、車両情報サーバ２０から車載装置１０へのコマンドの送信を仲介するプッシュ情報サーバ３０とを備える。コマンドには予めコマンドごとに規定されたセキュリティレベルが設定される。車両情報サーバ２０は、コマンドに対しセキュリティレベルに対応した暗号化を行い、プッシュ情報サーバ３０に送信を依頼する。車載装置１０は、プッシュ情報サーバ３０との間でコマンドを待受ける。車載装置１０は、受信した暗号化されたコマンドを復号し、コマンドに予め設定されたセキュリティレベル以上のセキュリティレベルに対応する暗号化がされていた場合のみ、コマンドを実行する。【選択図】図１

Description

本発明は、車両向けサービス提供システム、車載装置およびコマンド送信方法に関する。
車載装置を用いて、ネットワークを介して車両と情報センタとの間でサービスの提供を行うシステムが提案されている。そのようなシステムが提供するサービスとしては、遠隔地からのドアロック等の車両操作、燃料残量などの車両状態の確認等の、車両のリモート制御等が含まれている。
例えば、特許文献１は、異なる車両に共通のサービスを提供するため、車載装置に情報を提供する情報提供システムにおいて、搭載された車両の車型ごとに異なる車載装置の作動に関する制御情報を保持する通信局を設けている。特許文献１の車載装置は、車載装置のＩＤと、搭載された車両の車型とを、通信局に送信して登録する。通信局は、車載装置からの要求に応じて、車載装置から受信した車型に対応した制御情報を、車載装置に送信している。
また、従来、ネットワークに接続された車両内の制御装置等のセキュリティを確保するための種々の提案がなされている。
例えば、特許文献２は、車両用途に限定されないが、コンピュータネットワークを介して、装置に組み込まれたコンピュータ（組込み機器）にアクセスしようとする機器（クライアント）がある場合の安全を確保したアクセス方法について開示している。特許文献２によれば、クライアントは組込み機器に対して、セキュリティブローカを介してアクセスする。また、ネットワーク上にトラストマネージャを設け、このトラストマネージャが、クライアントおよびセキュリティブローカの有効性および相互に接続が認可されるかを判断した後、クライアントとセキュリティブローカとの接続を確立するようにしている。
また、特許文献３は、不正な車載ＥＣＵが車載ネットワークに接続された結果、車載ネットワークが攻撃されるという危険性に対応する車載ネットワークシステムについて開示するものである。この車載ネットワークシステムでは、通信規約発行装置を設け、車両外部に対して秘匿された車両独自プロトコルを定義した定義データを、この通信規約発行装置から各ＥＣＵに配信する。通信規約発行装置は、全ＥＣＵに対して配信した定義データに関連した一斉動作要求をブロードキャストして、この一斉動作要求に従わないＥＣＵを不正ＥＣＵの可能性があるものと判断して警告を発する。
特許文献４は、車両の遠隔に位置するセンタから、車両の搭乗者による車両状態の把握、および、車載機器の操作を支援する車両遠隔支援システムに関する。特許文献４は、センタからの要求により自動的に車両からセンタへの情報の送信が行われることを、セキュリティ上問題があるとし、車両の搭乗者の承諾操作がなければ、情報センタから車両の遠隔操作が行われないようにしている。
特開２００７−１５５０３号公報 特開２００８−５１０２０５号公報 特開２０１３−１６８８６５号公報 特開２０１７−４１１６号公報
遠隔地から、車両にメッセージを送信し、または、車両の制御装置を操作することができるシステムでは、遠隔地の情報センタから任意のタイミングでメッセージまたは操作命令を送ることができることが好ましい。例えば、情報センタが目的地の変更を車載装置に伝えるような場合、そのような情報は情報が発生したタイミングで車両に伝達されることが望ましい。これに対して、特許文献１の情報提供システムでは、車両ユーザが情報センタに遠隔操作を要求したとき、情報センタが車両に対して操作命令を送信するようになっている。したがって、特許文献１の情報提供システムでは、情報センタ側から任意のタイミングでメッセージを送信することができない。特許文献２から４に開示されたシステムおよび方法においても、いずれも、情報センタ等の外部から、任意のタイミングで車載装置に対して情報を送信することについては開示していない。
また、車両に対して遠隔地からの操作を行う装置は、車両のナビゲーション装置に登録された目的地を変更すること、車両の空調装置の温度設定を変更すること、および、車載装置のアプリケーションを更新することなど、車両内の制御装置に関わる操作をすることが想定される。そのような場合、外部の不正な第３者からの不正なコマンドを受信して、車両の制御装置が不正に操作されることは許されない。
また、今日、インターネットなどのネットワークを介して外部から種々の情報を自由に取得できるようになっている。車両内においても、ユーザがインターネットに接続して、目的地の情報を取得したり、周辺の飲食店の情報を検索したりするなどのニーズがある。しかし、車載装置をインターネットに接続可能とすることによって、外部からネットワークを介して車載装置に不正な情報送信を受け、その結果車両の制御装置に影響が及ぶことは許容できない。
特許文献１は、このような通信のセキュリティを確保する方法については開示していなかった。特許文献２に記載のアクセス方法では、一度外部の機器と組込み機器との間での接続が認可されると、その後の外部機器から組込み機器へのアクセスは許容される。このため、外部機器から受け取る制御情報の内容に応じてセキュリティを設定することはできなかった。また、特許文献３の車載ネットワークシステムは、車両内のＥＵＣ間の通信のセキュリティを確保することを対象としている。このため、外部ネットワークからの不正な制御命令への対応はできなかった。さらに、特許文献４の車両遠隔支援システムは、車両の搭乗者が情報センタからのアクセスの許諾を判断するので、センタから多数のコマンドが車載装置に対して送信されてくるような場合には、搭乗者による操作が煩雑になる虞がある。
かかる事情に鑑みてなされた本発明の目的は、車両に対して任意のタイミングでコマンドを送信することができ、且つ、車両側でコマンドに応じてセキュリティを確保しながら各コマンドを実行することができる車両向けサービス提供システム、該車両向けサービス提供システムに含まれる車載装置、および、コマンド送信方法を提供することにある。
上記課題を解決するため、本開示の車両向けサービス提供システムは、車両に搭載され、該車両内の制御装置に作用するコマンドを受け付け可能な車載装置と、前記車載装置に対して、前記コマンドを送信可能な車両情報サーバと、前記車両情報サーバから前記車載装置への前記コマンドの送信を仲介するプッシュ情報サーバとを備える。前記車載装置、前記車両情報サーバおよび前記プッシュ情報サーバは、それぞれ通信ネットワークに接続される。前記コマンドには予めコマンドごとに規定されたセキュリティレベルが設定される。前記車両情報サーバは、前記コマンドに対し前記セキュリティレベルに対応した暗号化を行い、該暗号化されたコマンドの送信を前記プッシュ情報サーバに依頼する。前記車載装置は、前記プッシュ情報サーバからのみ前記暗号化されたコマンドを受信するように、前記プッシュ情報サーバからのコマンドを待受ける。前記車載装置は、前記プッシュ情報サーバを経由して前記車両情報サーバから前記暗号化されたコマンドを受信し、受信した前記暗号化されたコマンドを復号する。前記車載装置は、該コマンドに予め設定された前記セキュリティレベル以上のセキュリティレベルに対応する暗号化がされていた場合のみ、前記コマンドを実行する。
さらに、本開示に係る車両向けサービス提供システムにおいて、前記車両情報サーバは、前記車載装置からの要求を受けることなく、所定の条件に基づいて前記コマンドを生成して前記車載装置に対して送信可能であることを特徴とする。
さらに、本開示に係る車両向けサービス提供システムにおいて、前記車載装置は、前記コマンドの受信、復号および実行を行う第１処理部と、前記車両情報サーバまたは他のサーバとの間で前記車両内の制御装置に作用しない通信のみを行う第２処理部とを備えることを特徴とする。
さらに、本開示に係る車両向けサービス提供システムにおいて、前記セキュリティレベルは、２以上にレベル分けされていることを特徴とする。
さらに、本開示に係る車両向けサービス提供システムにおいて、前記車載装置は、前記車両情報サーバに対して、前記車両内の前記制御装置に作用する要求を送信可能に構成され、前記車両情報サーバは、前記車載装置からの前記要求を受信したとき、該要求に対応する前記コマンドを前記車載装置に送信可能に構成されることを特徴とする。
さらに、本開示に係る車両向けサービス提供システムは、携帯端末を備え、該携帯端末は、前記車両情報サーバに対して、前記車両内の前記制御装置に作用する要求を送信可能に構成され、前記車両情報サーバは、前記車載装置からの前記要求を受信したとき、該要求に対応する前記コマンドを前記車載装置に送信可能に構成されることを特徴とする。
さらに、本開示に係る車両向けサービス提供システムにおいて、前記車両情報サーバは、前記車載装置に対して、２つ以上の前記コマンドを１つの送信単位として送信可能であり、該送信単位に対して、該送信単位に含まれるコマンドの中で最もセキュリティレベルが高いコマンドのセキュリティレベルに対応した暗号化を行うことを特徴とする。
上記課題を解決するため、本開示の車載装置は、車両に搭載された車載装置であって、外部の車両情報サーバにより生成された、前記車両内の制御装置に作用するコマンドであって、セキュリティレベルに対応した暗号化が行われたコマンドを受け付け可能な第１処理部を備える。前記セキュリティレベルは、前記コマンドに対し予めコマンドごとに規定されたものである。前記第１処理部は、プッシュ待受部と、復号部と、セキュリティ判定部と、コマンド実行部とを含む。前記プッシュ待受部は、通信ネットワークで接続されたプッシュ情報サーバからのコマンドを待受け、前記プッシュ情報サーバを経由して前記車両情報サーバから前記暗号化されたコマンドを受信する。前記復号部は、受信した前記暗号化されたコマンドを復号する。前記セキュリティ判定部は、前記コマンドに予め設定された前記セキュリティレベル以上のセキュリティレベルに対応する暗号化がされていた場合のみ、前記コマンドを実行可能と判定する。前記コマンド実行部は、実行可能とされた前記コマンドを実行する。前記第１処理部は、前記プッシュ情報サーバからのみ前記暗号化されたコマンドを受信可能に構成されることを特徴とする。
さらに、本開示に係る車載装置は、前記車両情報サーバまたは他のサーバとの間で前記車両内の制御装置に作用しない通信のみを行う第２処理部をさらに備えることを特徴とする。
上記課題を解決するため、本開示のコマンド送信方法は、それぞれ通信ネットワークに接続された、車載装置、車両情報サーバおよびプッシュ情報サーバを含む車両向けサービス提供システムにおける、前記車両情報サーバから前記車載装置へのコマンド送信方法であって、前記車載装置が、前記プッシュ情報サーバから、車両内の制御装置に作用するコマンドの受信を待受けるステップと、前記車両情報サーバが、送信するコマンドに対し予めコマンドごとに規定されたセキュリティレベルに対応した暗号化を行い、該暗号化されたコマンドの送信を前記プッシュ情報サーバに依頼するステップと、前記プッシュ情報サーバが、前記暗号化されたコマンドを前記車載装置に送信するステップと、前記車載装置が、受信した前記暗号化されたコマンドを復号し、該コマンドに予め設定された前記セキュリティレベル以上のセキュリティレベルに対応する暗号化がされていた場合のみ、前記コマンドを実行するステップとを含むことを特徴とする。
本発明によれば、車両に対して任意のタイミングでコマンドを送信することができ、且つ、車両側でコマンドに応じたセキュリティを確保しながら各コマンドを実行することができる車両向けサービス提供システム、該車両向けサービス提供システムに含まれる車載装置、および、コマンド送信方法を提供することができる。
一実施形態に係る車両向けサービス提供システムの概略構成を示すブロック図である。 図１の車載機の概略構成を示すブロック図である。 図１の車両情報サーバの概略構成を示すブロック図である。 コマンドの構成の一例を示す図である。 図１のプッシュ情報サーバの概略構成を示すブロック図である。 情報センタまたはユーザ端末を起点とするコマンド送信のフローを示す図である。 車載機を起点とするアプリケーションインストールのフローを示す図である。
以下、本開示の一実施形態について、図面を参照して説明する。
（車両向けサービス提供システムの全体構成）
本開示の車両向けサービス提供システム１００について、図１を参照して説明をする。車両向けサービス提供システム１００は、車載機１０（車載装置）、車両情報サーバ２０およびプッシュ情報サーバ３０を含んで構成される。車載機１０は車両１に搭載される。車両情報サーバ２０は、情報センタ２に配置することができる。プッシュ情報サーバ３０はブローカ３と呼ばれるセンタに配置されることができる。プッシュ情報サーバ３０は、車両情報サーバ２０と同じ情報センタ２に配置してもよい。
車両１、情報センタ２およびブローカ３は、それぞれ、第１記憶部１１、第２記憶部２１および第３記憶部３１を有する。第１記憶部１１、第２記憶部２１および第３記憶部３１は、半導体記憶装置、磁気記憶装置、光記憶装置を含む。半導体記憶装置は、フラッシュメモリを用いたＳＳＤ（Solid State Drive）等が含まれる。磁気記憶装置は、磁気テープ、フロッピー（登録商標）ディスク、ハードディスク等およびこれらの駆動装置が含まれる。光記憶装置は、例えばＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disc）、およびブルーレイ（Blu-ray(登録商標)）等およびこれらの駆動装置が含まれる。第１記憶部１１、第２記憶部２１および第３記憶部３１は、データベース管理システムにより管理されたデータベースであってよい。データベースには、リレーショナルデータベース（ＲＤＢ：Relational Database）、オブジェクト・リレーショナル・データベース（ＯＲＤＢ：Object-Relational Database）、ならびに、キー・バリュー型およびカラムストア型等のＮｏＳＱＬデータベース等を含む。第１記憶部１１、第２記憶部２１および第３記憶部３１は、それぞれ、車載機１０、車両情報サーバ２０およびプッシュ情報サーバ３０に内蔵されてよい。第１記憶部１１、第２記憶部２１および第３記憶部３１は、それぞれ、車載機１０、車両情報サーバ２０およびプッシュ情報サーバ３０とは別のハードウェアに搭載されたデータベースであってもよい。以下では、第１記憶部１１、第２記憶部２１および第３記憶部３１は、それぞれ、車載機１０、車両情報サーバ２０およびプッシュ情報サーバ３０に内蔵されているものとして説明する。
車載機１０、車両情報サーバ２０、および、プッシュ情報サーバ３０は、インターネットなどの通信ネットワーク５を介して接続される。なお、通信ネットワーク５は、インターネットに限られず、閉域網またはＶＰＮ（Virtual Private Network）等としてもよい。
車両向けサービス提供システム１００は、さらに車両外ユーザ４の有するユーザ端末４０を含むことができる。ここで、車両１に搭乗していない状態の利用者のことを、「車両外ユーザ４」とよぶ。また、車両１に搭乗中の利用者を含む一般的な意味での利用者のことを、単に「ユーザ」とよぶ。運転前に、ユーザ端末４０を使用して、運転の目的地を設定する運転者は、車両外ユーザ４である。通信ネットワーク５には、インターネットのサイト等種々の外部サーバ６が接続されてよい。以下に、車両向けサービス提供システム１００の各部を詳細に説明する。
車両１は、車載機１０に加え、通信機１２、複数の制御装置１３、ならびに、車載機１０および各制御装置１３間を接続する車両内通信回線１４を備える。本願において、車両１には乗用車、トラック、バス、大型・小型特殊自動車等を含むが、これらに限られない。車両１には、将来的に実現される種々のタイプの車両を含む。例えば、車両１は、自動運転車両、無人運転車両、水陸両用車両、および、空陸両用車両等を含む。
車載機１０は、通信機１２を介して外部との情報の送受信が可能な車載情報端末である。車載機１０は、ダッシュボードの中、車室内の任意の場所、および、ラゲッジルーム等を含む種々の場所に配置することができる。車載機１０は、これらの場所に分散して配置されてよい。
車載機１０は、情報センタ２の車両情報サーバ２０から、ブローカ３のプッシュ情報サーバ３０を経由して制御装置１３に作用するコマンドを受け付けることができる。本願において、「作用」は、装置の起動および制御を含む、何らかの影響を与える動作を意味する。車載機１０は、車両情報サーバ２０との間で送受信するデータを管理する。また、車載機１０は、車両１上の制御装置１３の状態を取得し、操作することができる。さらに、車載機１０は、通信ネットワーク５上に接続された外部サーバ６からＨＴＴＰ（Hypertext Transfer Protocol）およびＨＴＴＰＳ（Hypertext Transfer Protocol Secure）などのプロトコルにより情報を取得するウェブブラウザの機能を有してよい。なお、本開示において、コマンドは、車載機１０側からのリクエストに対して返される応答ではなく、車両情報サーバ２０から非同期に発せられる車載機１０への指示であって、受信した車載機１０による何らかの動作を求めるものである。
通信機１２は、通信ネットワーク５に対して車載機１０を無線接続する無線通信機である。図１に図示の例では、通信機１２は、車載機１０とは別体で構成される。通信機１２は、車両内通信回線１４に接続されてもよい。また、通信機１２は、車載機１０と一体として構成することもできる。車載機１０から通信ネットワーク５に接続する方法としては、第３世代移動通信システム（３Ｇ）、ＬＴＥ（Long Term Evolution）等の第４世代移動通信システム（４Ｇ）、第５世代移動通信システム（５Ｇ）、Ｗｉ−Ｆｉ（登録商標）、ＷｉＭＡＸ（Worldwide Interoperability for Microwave Access）、および、専用狭域通信（ＤＳＲＣ：Dedicated Short Range Communication）等による方法を挙げることができるが、これらに限られない。通信機１２は、送信信号をプロトコル処理してベースバンド信号とし、これを無線通信周波数帯域内の高周波電気信号に変調する。また、通信機１２は、外部からアンテナを介して受信した高周波電気信号をベースバンド信号に復調して、プロトコル処理をする。通信機１２は、種々の変調方式を用いることができる。変調方式には、振幅変調（ＡＳＫ：:Amplitude Shift Keying）、位相変調（ＰＳＫ：(Phase Shift Keying）、周波数変調（ＦＳＫ：Frequency Shift Keying）、直角位相振幅変調（ＱＡＭ：Quadrature Amplitude Modulation）、および、直交周波数分割多重変調（ＯＦＤＭ：Orthogonal Frequency-Division Multiplexing）等の種々の方式が含まれうる。通信機１２は、高周波ＩＣおよびベースバンドＬＳＩ等のＩＣを含んで構成されてよい。
制御装置１３は、車両１上の各装備を制御する電子制御装置（ＥＣＵ：Electronic Control Unit）である。車両１上の装備には、エンジン、モーター、ブレーキ、トランスミッション、電子キー、パワーウィンドウ、エアコン、ランプ、ミラー、カーオーディオ、ナビゲーションシステム、ならびに、各種センサおよびレーダを含む安全システム等を含むが、これらに限られない。各電子制御装置は、ＣＡＮ（Controller Area Network）（登録商標）などの車両内通信回線１４を介して相互に接続される。車両内通信回線１４に接続される各制御装置１３は、車両内通信回線１４に不正なフレームが送信された場合等のセキュリティ対策として、内部に認証用または暗号化のため鍵を有することができる。制御装置１３は、この鍵を用いて通信用の暗号鍵を生成することができる。
車両内通信回線１４は、車両１内の制御装置１３等の機器を高速で接続する通信回線である。車両内通信回線１４は、電子制御装置等のＣＡＮの各ノードを接続するＣＡＮバスとすることができる。車両内通信回線１４は、ＣＡＮに限られず、ＬＩＮ（Local Interconnect Network）、ＦｌｅｘＲａｙ（登録商標）、車載Ｅｔｈｅｒｎｅｔ（登録商標）、および、ＭＯＳＴ（Media Oriented System Transport）等の通信回線とすることができる。また、車両内通信回線１４は、バス型に限られず、スター型、リング型等種々のトポロジの配線を採用しうる。
（車載機の構成）
車載機１０について、図２を参照してさらに説明する。車載機１０は、第１記憶部１１と第１情報処理部１５と表示装置１９とを含む。
車載機１０の第１記憶部１１は、車載機１０、特に、後述する外部連携部１７が動作するための種々の情報を格納している。第１記憶部１１は、通信用のＩＤとして自車両（車両１）の車両ＩＤ、情報センタ２のＩＤ、ブローカ３のＩＤ、複数の通信用の暗号鍵、コマンドごとの予め規定されたセキュリティレベル等の情報を保持する。車両１の車両ＩＤ、情報センタ２のＩＤおよびブローカ３のＩＤは、それぞれ、車載機１０のＩＤ、車両情報サーバ２０のＩＤ、プッシュ情報サーバ３０のＩＤと言い換えることができる。
車両１のＩＤは、例えば、車両１の製造時等に車両１に割り当てることができる。情報センタ２のＩＤは、車両１の製造時に予め決定することができる。または、情報センタ２のＩＤは、車両１のユーザが情報センタ２と契約する際に取得してもよい。ブローカ３のＩＤは、予め車両１の製造時に決定することができる。ブローカ３のＩＤは、車両１のユーザが情報センタ２と契約する際に情報センタ２から取得してよい。あるいは、ブローカ３のＩＤは、ユーザが情報センタ２と契約した後初めてサービスを使用する前に、車載機１０が適当なタイミングで、車両情報サーバ２０にアクセスして取得してよい。ブローカ３は、情報センタ２により信用が保証されたブローカ３である。
第１情報処理部１５は、外部情報閲覧部１６（第２処理部）、外部連携部１７（第１処理部）、１つ以上の機能実行部１８の各機能ブロックを含む。第１情報処理部１５は、単一の、または、複数のプロセッサとメモリとを含んで構成される。プロセッサには、特定のプログラムを読み込ませることにより、プログラムされた機能を実行する汎用プロセッサおよび、特定の処理に特化した専用プロセッサが含まれる。専用プロセッサとしては、ＤＳＰ（Digital Signal Processor）、ＡＳＩＣ（Application Specific Integrated Circuit）およびＦＰＧＡ（Field-Programmable Gate Array）等を採用しうる。メモリは、プロセッサの実行するプログラム、および、プロセッサによる演算中の情報等を記憶することができる。メモリとプロセッサとは、データバスおよび制御バス等のバスラインで接続される。メモリは、ＲＯＭ（read only memory）、ＲＡＭ（Random Access Memory）、フラッシュメモリ、等を含みうる。ＲＡＭにはＤＲＡＭ（Dynamic Random Access Memory）とＳＲＡＭ（Static Random Access Memory）とが含まれる。
外部情報閲覧部１６は、通信ネットワーク５を介してインターネットのサイト等外部サーバ６に接続して、その表示および操作機能をユーザに提供する。外部情報閲覧部１６は、ＨＴＴＰおよびＨＴＴＰＳ等のプロトコルに対応し、外部サーバ６から情報を取得する。外部サーバ６から取得した情報は、表示装置１９を用いて表示することができる。外部情報閲覧部１６は、インターネット上でのサイト閲覧に使用されるウェブブラウザとすることができる。
外部情報閲覧部１６（第２処理部）は、公知の方法により第１情報処理部１５の他の部分から論理的に分離される。公知の方法としては、仮想化によるＣＰＵ等の資源の分離が含まれる。外部情報閲覧部１６は、第１情報処理部１５の他の部分から独立した仮想マシン上で実現することができる。また、外部情報閲覧部１６は、車載機１０の外部連携部１７および機能実行部１８とは直接連携しない。外部情報閲覧部１６は、車両情報サーバ２０または他の外部サーバ６との間で車両１内の制御装置１３に直接作用しない通信のみを行う。すなわち、外部情報閲覧部１６は、独立したインターネット閲覧用端末のように動作する。そのため、仮に、外部情報閲覧部１６を用いて不正なソフトウェアがダウンロードされた場合、または、外部情報閲覧部１６が外部からの攻撃を受けた場合でも、第１情報処理部１５の他の部分は影響を受けない。したがって、ユーザは、制御装置１３の安全を確保しながら、外部サーバ６に対して自由な情報閲覧をすることができる。
外部連携部１７（第１処理部）は、ブローカ３のプッシュ情報サーバ３０を介して、車両情報サーバ２０からのみ暗号化されたコマンドを受信する。外部連携部１７は、プッシュ情報サーバ３０以外の外部からの情報の受信を受け付けない。車両情報サーバ２０から外部連携部１７へ送信されるコマンドは、プッシュ方式により任意のタイミングで送信される。すなわち、外部連携部１７が、車両情報サーバ２０に対してリクエストを送信して車両情報サーバ２０がこれに応答する形式ではなく、車両情報サーバ２０を起点として非同期に外部連携部１７へのコマンドが送信される。本開示において、送信用の情報が発生したとき、受信側からのリクエストに応答する形式ではなく、送信側が発生した情報を非同期で送信する送信形態を「プッシュ送信」とよぶ。外部連携部１７は、受信したコマンドを復号し、セキュリティを判定して問題が無ければ、コマンドを実行する。コマンドの実行は、各制御装置１３に対応した機能実行部１８にコマンドの内容を受け渡すことによって行う。
外部連携部１７は、プッシュ待受部１７１、復号部１７２、セキュリティ判定部１７３およびコマンド実行部１７４の各機能ブロックを含む。外部連携部１７を構成する各機能ブロックは、結合、分離および組み換えが可能である。外部連携部１７の各機能ブロックが行う処理は、外部連携部１７または車載機１０が実行するものと言い換えることができる。
プッシュ待受部１７１は、通信ネットワーク５で接続されたプッシュ情報サーバ３０に車両１の識別情報である車両ＩＤを送信し、プッシュ情報サーバ３０からのコマンドを待受けるプッシュ待受け状態になることができる。プッシュ待受部１７１は、プッシュ待受状態のとき、プッシュ情報サーバ３０を経由して車両情報サーバ２０から暗号化されたコマンドを受信することができる。プッシュ待受部１７１は、プッシュ情報サーバ３０との間で安全な通信を行うための接続を確立して待受け状態となる。ひとたび接続が確立すると、プッシュ待受部１７１は、接続を維持したままプッシュ情報サーバ３０から複数のプッシュ送信を断続的に受信することができる。また、プッシュ待受部１７１は、車載機１０が処理を終了するとき、プッシュ待受け状態を解除し、プッシュ情報サーバ３０に対してプッシュ待受け状態の終了を通知する。プッシュ待受部１７１は、車両１のＡＣＣ電源（アクセサリー電源）がオフになったことをトリガとして、プッシュ待受け状態を解除してよい。
なお、プッシュ情報サーバ３０からプッシュ待受部１７１へのプッシュ送信の実現方法としては、公知の方法を用いることができる。公知の方法としては、例えば、ＨＴＴＰサーバとクライアントの間で利用されるＳＳＥ（Server-Sent Event）またはＷｅｂＳｏｃｋｅｔに類似した技術を採用しうる。また、ロングポーリング（Long Polling）のような疑似的なプッシュ機構を利用することもできる。この場合、プッシュ待受部１７１が、プッシュ情報サーバ３０に対してリクエストを送信し、プッシュ情報サーバ３０は送信コマンドが発生するまでレスポンスを留保する。
車両情報サーバ２０から送信されるコマンドは、コマンドの種別に応じて予め規定されたセキュリティレベルに応じた暗号化がなされている。復号部１７２は、プッシュ待受部１７１で受信した暗号化されたコマンドを復号する。このため、復号部１７２は、コマンドを復号するための通信用の暗号鍵を有する。
セキュリティ判定部１７３は、セキュリティレベルに応じた認証を行う。すなわち、セキュリティ判定部１７３は、コマンドに予め設定されたセキュリティレベル以上のセキュリティレベルに対応する暗号化がなされていた場合のみ、コマンドを実行可能と判定する。
コマンド実行部１７４は、セキュリティ判定部１７３で実行可能と判定されたコマンドについて、機能実行部１８に受け渡して、機能実行部１８の機能を実行させる。
機能実行部１８は、車両情報サーバ２０からのコマンドに従って、対応する制御装置１３の操作を行う。機能実行部１８は、一つまたは複数の制御装置１３に対応する。例えば、ナビゲーションシステムの制御装置１３に対応する機能実行部１８は、車両情報サーバ２０から目的地変更を通知するコマンドを受けて、ナビゲーションシステムの表示画面上での表示または音声により、目的地の変更をユーザに知らせる。また、例えば、シートを制御する制御装置１３に対応する機能実行部１８は、車両情報サーバ２０から、シートの前後位置、傾き、座面高さ、ベンチレーションの強さ等を調整するコマンドを受けて、シートの位置および姿勢等を調整する。各機能実行部１８は、対応する制御装置１３に応じて固有のコマンドを有する。
表示装置１９は、第１情報処理部１５からの画像信号に基づいて表示画像を表示する表示装置である。表示装置１９は、例えば、液晶ディスプレイ（ＬＣＤ:Liquid Crystal Display）、有機ＥＬ（Electro-Luminescence）ディスプレイ、無機ＥＬディスプレイ、プラズマディスプレイ（ＰＤＰ：Plasma Display Panel）、電界放出ディスプレイ（ＦＥＤ：Field Emission Display）、電気泳動ディスプレイ、ツイストボールディスプレイ等の種々のディスプレイを採用しうる。表示装置１９の表示面は、情報を入力するためのタッチパネルと一体として構成されうる。タッチパネルは、表示装置１９の表示内容と連動して入力を受け付ける。タッチパネルとしては、静電容量方式、抵抗膜方式、表面弾性波方式等種々の方式のものを採用しうる。
暗号鍵は、車載機１０が車両情報サーバ２０と通信を行うための暗号化に用いる鍵である。車両情報サーバ２０は、車載機１０の暗号鍵に対応した鍵を有する。暗号鍵は、共通鍵暗号方式を使用する場合の共通鍵であってもよく、公開鍵暗号方式を使用する場合の秘密鍵であってもよい。車両１に固有の鍵の情報が、情報センタ２との間で共有されてよい。車載機１０は、制御装置１３が有する鍵に基づいて通信用の暗号鍵を生成してよい。情報センタ２は、車両１の有する鍵の情報を予め取得しておいてよい。または、車載機１０と車両情報サーバ２０との間では、安全を確保した方法で暗号鍵の交換が行われてよい。暗号鍵は、セキュリティレベルに応じて複数用意される。暗号鍵は、セキュリティレベルに応じて、鍵の長さが異なってよい。
（情報センタの構成）
情報センタ２は、車両１の車載機１０に対して、遠隔地から種々のサービスを提供する。情報センタ２は、車載機１０とデータの送受信を行うことができる。情報センタ２が提供するサービスには、車両１の制御装置１３に対する操作を伴うものを含む。情報センタ２は、車載機１０に対して制御装置１３に作用する操作を行う場合、安全の確保されたブローカ３のプッシュ情報サーバ３０を介してコマンドを送信する。情報センタ２は、車両情報サーバ２０、通信機構２２、ポータルサーバ２３、および、契約管理サーバ２４を含む。情報センタ２の各構成要素は、ＬＡＮ２６等により接続される。
車両情報サーバ２０は、車両１の状態を管理し、車載機１０のユーザの要求に応じて車両１へコマンドを送信する。車両１の状態は、車両１の有する装備、車両１において実行できる機能、インストール可能なアプリケーション等の情報を含む。また、車両１の状態は、車両情報サーバ２０が車両１に提供するサービスに関連した情報を含む。例えば、車両情報サーバ２０が、リアルタイムで車両１のナビゲーションを支援する場合、車両１の状態には、車両１の現在地および目的地の情報が含まれる。
通信機構２２は、通信ネットワーク５とＬＡＮ２６とを相互接続する。通信機構２２は、有線または無線により通信ネットワーク５に接続される。通信機構２２が有線によりネットワークに接続される場合、通信機構２２は、ＯＮＵ（Optical Network Unit）、ＤＳＵ（Digital Service Unit）、ケーブルモデム、または、ＡＤＳＬモデム等の通信機およびルーター等を含む。通信機構２２が無線によりネットワークに接続される場合、通信機構２２は、無線通信機およびアンテナ等を含む。通信機構２２は、通信ネットワーク５を介して車両１またはユーザ端末４０からの要求を受信することができる。また、通信機構２２は、車両情報サーバ２０からの送信コマンドをプッシュ情報サーバ３０へ中継することができる。
ポータルサーバ２３は、車両情報サーバ２０および契約管理サーバ２４等のバックエンドのシステムからの情報を統合して、車載機１０のユーザおよびユーザ端末４０の車両外ユーザ４に対して表示する。ポータルサーバ２３は、外部情報閲覧部１６およびユーザ端末４０から、通常のウェブサイトと同様にＨＴＴＰおよびＨＴＴＰＳ等のプロトコルによりアクセスすることが可能である。ポータルサーバ２３は、通常のウェブサイトと同様のリクエスト−レスポンス型の情報提供をすることができる。
また、ポータルサーバ２３は、ユーザが車載機１０に対して制御装置１３に作用するような操作を要求するための、ユーザインタフェースとしても機能する。すなわち、車載機１０のユーザおよびユーザ端末４０を操作する車両外ユーザ４は、インターネットのウェブサイトと同様のユーザインタフェースを用いて、車載機１０への特定の機能の起動および特定のアプリケーションのインストール等の操作を要求することができる。ポータルサーバ２３の提供する画面上で、制御装置１３に作用するような操作が要求されると、ポータルサーバ２３は、その操作要求を車両情報サーバ２０の後述するプッシュ要求受付部２７１に引き渡す。
契約管理サーバ２４は、契約者ごとの契約内容を管理する。契約者にはユーザＩＤが割り当てられる。契約管理サーバ２４は、ユーザＩＤと車両ＩＤとを関連付けて管理する。例えば、車両外ユーザ４がユーザ端末４０を用いて、車両情報サーバ２０のサービスを利用しようとするとき、ユーザ端末４０から車両情報サーバ２０にはユーザＩＤが通知される。車両情報サーバ２０は、契約管理サーバ２４に問い合わせることによって、ユーザＩＤと車両ＩＤとを関連付けることができる。
また、契約管理サーバ２４は、車両情報サーバ２０に対して、契約上の利用可能な機能、および、イントール可能なアプリケーションの情報等を提供する。例えば、車載機１０のユーザが、ポータルサーバ２３の画面からアプリケーションのインストールを選択したとき、車両情報サーバ２０は、ユーザがそのアプリケーションを利用可能か否か契約管理サーバ２４に問い合わせをする。そのアプリケーションが、契約上利用できない場合、契約管理サーバ２４は、その旨を車両情報サーバ２０に通知する。車両情報サーバ２０は、ポータルサーバ２３の画面上で、「このアプリケーションはインストールできません」のような表示を行う。
契約管理サーバ２４は、契約情報を管理するための第４記憶部２５を有する。第４記憶部２５には、契約者情報を管理するデータベースであってよい。各契約者の情報には、ユーザＩＤ、車両ＩＤ、ユーザ端末４０を使用する時のパスワード等の認証情報、契約者個人情報、契約期限、使用可能な機能およびインストール可能なアプリケーションを含む契約内容等の情報が格納される。
（車両情報サーバの構成）
次に、図３を参照して、車両情報サーバ２０についてさらに説明する。
車両情報サーバ２０は、第２記憶部２１と第２情報処理部２７とを含む。
車両情報サーバ２０の第２記憶部２１は、第２情報処理部２７が動作するための種々の情報を格納している。第２記憶部２１は、車両情報サーバ２０に登録される車両１ごとの車両ＩＤ、各車両１が使用するブローカ３のＩＤ、各車両１に設定されるそれぞれ複数の通信用の暗号鍵、コマンドごとの予め規定されたセキュリティレベル等の情報を保持する。通信用の暗号鍵の情報は、各車両１との間で共有される。暗号鍵は、共通鍵暗号方式を使用する場合の共通鍵であってもよく、公開鍵暗号方式を使用する場合の車載機１０から提供される公開鍵であってもよい。
さらに、第２記憶部２１は、車両情報サーバ２０に登録されている各車両１の状態を格納する。車両１の状態は、各車両１の現在地、目的地、保有する装備、実行中の機能、実行可能な機能、搭載中のアプリケーション等の情報を含む。
第２情報処理部２７は、第１情報処理部１５と同様に、単一の、または、複数のプロセッサとメモリとを含んで構成される。第２情報処理部２７は、プッシュ要求受付部２７１、コマンド生成部２７２、暗号化部２７３、プッシュ送信依頼部２７４、および、車両情報管理部２７５の各機能ブロックを含む。第２情報処理部２７を構成する各機能ブロックは、結合、分離および組み換えが可能である。第２情報処理部２７の各機能ブロックが行う処理は、第２情報処理部２７または車両情報サーバ２０が実行するものと言い換えることができる。
プッシュ要求受付部２７１は、車載機１０の制御装置１３の操作要求、および、車両情報サーバ２０に対する問い合わせ要求等の要求を、ポータルサーバ２３、車両情報管理部２７５、および、ユーザ端末４０等から受け付ける。
コマンド生成部２７２は、制御装置１３の操作要求に従って、コマンドを生成することができる。高頻度でコマンドが発生する場合、コマンドは、例えば、図４に示すように、複数のコマンドをまとめて１つの送信単位とすることができる。図４のコマンド構成は、一例である。コマンドは、１つずつ順次送信してもよい。図４において、「セキュリティレベル」は個別のコマンドのセキュリティレベルであり、「全体セキュリティレベル」は、一つの送信単位に含まれる複数のコマンドの中で、最高のセキュリティレベルである。
コマンドのセキュリティレベルは、各コマンドに予め設定され、車載機１０および車両情報サーバ２０の間で共有されている。コマンドのセキュリティレベルは、車両１のセキュリティに対する重要度に基づいて、２以上のレベルにレベル分けされる。例えば、セキュリティレベルは、セキュリティレベルが低い方から順に、Ｌｖ０〜Ｌｖ３までの４段階とすることができる。例えば、Ｌｖ０は、制御装置１３からの情報の読み出しのみを行う。例えば、Ｌｖ１は、制御装置１３の起動操作のみを行う。例えば、Ｌｖ２は、制御装置１３の特定の動作を起動させる。例えば、Ｌｖ３は、車両１内の他のＥＣＵへの通信を含む動作をさせる。また、セキュリティレベルは、制御装置１３の種類に応じて個別に設定できる。例えば、車両１の制動に関わる制御装置１３を操作するコマンドは、常に最高のセキュリティレベルとすることができる。
例えば、図４において、１つの送信単位の中に、３つのコマンドが含まれる場合、図４の「コマンド数」には、１つの送信単位に含まれるコマンドの数「３」が入力される。ＴＴＬ以下の構成要素は、それぞれのコマンドについて繰り返される。「全体セキュリティレベル」は、３つのコマンドの「セキュリティレベル」が、それぞれ、Ｌｖ０、Ｌｖ１、およびＬｖ３の場合は、最高レベルである「Ｌｖ３」となる。
図４のコマンド構成は、１つの送信単位の全体に、改変または破損が無いことを検証するためのハッシュ値「ハッシュ」を含む。さらに、図４のコマンド構成は、各コマンドに改変または破損がないことを検証するための「コマンドハッシュ」を含む。「コマンドペイロード」は、各機能実行部１８に受け渡されるコマンドの本体である。
暗号化部２７３は、コマンド生成部２７２で生成されたコマンドに対して、「全体セキュリティレベル」に設定されたセキュリティレベルに対応した暗号化を行うことができる。例えば、全体セキュリティレベルがＬｖ０の場合は、暗号化を行わず、全体セキュリティレベルＬｖ１〜Ｌｖ３の場合は、全体セキュリティレベルが高いほど解読が困難に暗号化をすることができる。例えば、暗号化は、全体セキュリティレベルが高いほど、長い暗号鍵を使用してよい。
プッシュ送信依頼部２７４は、暗号化部２７３により暗号化されたコマンドを、プッシュ情報サーバ３０に送信して、プッシュ送信を依頼することができる。プッシュ送信依頼部２７４は、コマンドとともに、車両１の車両ＩＤに対応するプッシュ情報サーバ３０に対して、車両情報サーバ２０のＩＤと送信先の車両１の車両ＩＤを送信する。
車両情報管理部２７５は、車両情報サーバ２０に登録された各車両１の状態を管理する。車両情報管理部２７５は、ユーザにより車両情報サーバ２０に登録されているサービスを管理する。車両情報管理部２７５は、自己の管理する情報およびサービスに関して、所定の条件に基づいて、プッシュ要求受付部２７１に対して、車載機１０の制御装置１３の操作を要求してよい。例えば、ナビゲーションシステムを使用するユーザが、渋滞を回避するサービスを受ける場合を想定する。車両情報管理部２７５は、外部の情報源から渋滞情報を取得することができる。車両１に搭載されるナビゲーションシステムの案内する経路上に渋滞が発生した場合、車両情報管理部２７５は、ナビゲーションシステムの制御装置１３に対して経路変更をさせるための操作を要求してよい。
（ブローカの構成）
ブローカ３は、情報センタ２の車両情報サーバ２０から受け渡されたコマンドを、車両１の車載機１０に対して、プッシュ送信するプッシュサービスを提供する。ブローカ３は、プッシュ情報サーバ３０を含む。以下に、図５を参照して、プッシュ情報サーバ３０について説明する。
プッシュ情報サーバ３０は、車両情報サーバ２０から車載機１０へのコマンドの送信を仲介する。プッシュ情報サーバ３０は、第３記憶部３１と第３情報処理部３２とを含む。
プッシュ情報サーバ３０の第３記憶部３１は、第３情報処理部３２が動作するための種々の情報を格納している。第３記憶部３１は、プッシュ送信を受ける車両１ごとの車両ＩＤ、車両ＩＤと関連付けられた車両情報サーバ２０のＩＤ、各車両１の車載機１０の状態を保持する。車載機１０の状態には、プッシュ待受け状態とプッシュ受信不能状態とを含む。
第３情報処理部３２は、第１情報処理部１５と同様に、単一の、または、複数のプロセッサとメモリとを含んで構成される。第３情報処理部３２は、プッシュ受付部３２１、プッシュ送信部３２２および車載機状態管理部３２３の各機能ブロックを含む。第３情報処理部３２を構成する各機能ブロックは、結合、分離および組み換えが可能である。第３情報処理部３２の各機能ブロックが行う処理は、第３情報処理部３２またはプッシュ情報サーバ３０が実行するものと言い換えることができる。
プッシュ受付部３２１は、車両情報サーバ２０のプッシュ送信依頼部２７４から送信されるコマンドの送信依頼を受け付ける。プッシュ受付部３２１は、コマンドを送信した車両情報サーバ２０のＩＤを確認し、コマンドの送信依頼が、登録された車両情報サーバ２０からのものであるとき、プッシュ送信部３２２に受け渡す。
車載機状態管理部３２３は、第３記憶部３１と連携して、プッシュ情報サーバ３０からのプッシュ送信を受ける各車載機１０の状態を管理する。車載機１０の状態としては、プッシュ待受け状態とプッシュ受信不能状態の２つの状態が含まれる。プッシュ待受け状態は、車載機１０のプッシュ待受部１７１とプッシュ送信部３２２との間にプッシュ送信用の接続が確立され、いつでもコマンドを受信可能な状態である。プッシュ受信不能状態とは、車載機１０のプッシュ待受部１７１に対してプッシュ送信ができない状態である。プッシュ受信不能状態は、例えば、車両１のＡＣＣ電源がオフになっているときなど、車載機１０のプッシュ待受部１７１とプッシュ送信部３２２との間でのプッシュ送信用の接続が確立されていない状態である。車両１ごとの状態は、第３記憶部３１に記憶される。
プッシュ送信部３２２は、コマンドの送信先の車載機１０がプッシュ待受け状態のとき、プッシュ受付部３２１から受け渡されたコマンドを車載機１０のプッシュ待受部１７１にプッシュ送信する。プッシュ送信部３２２は、コマンドの送信先の車載機１０がプッシュ受信不能状態のとき、プッシュ受付部３２１から受け渡されたコマンドを一時的に第３記憶部３１に格納し、車載機１０がプッシュ待受け状態になるのを待つことができる。プッシュ送信部３２２は、所定時間経過後も車載機１０がプッシュ待受け状態にならない場合、車両情報サーバ２０に対して時間超過による送信失敗を通知し、コマンドを破棄してよい。
（ユーザ端末）
車両外ユーザ４は、ユーザ端末４０を用いて車両１の情報を取得すること、車両１へ情報を送信すること、および、車両１の一部の機能を遠隔操作すること等ができる。例えば、車両外ユーザ４は、ユーザ端末４０を用いて、車両情報サーバ２０上のサービスにアクセスし、車両１を使用した移動スケジュールの設定、変更、および、車両１の駐車場への入庫予約等をすることができる。車両情報サーバ２０は、必要な場合、目的地の設定、変更などを、プッシュ送信を用いて、車載機１０のナビゲーションシステムに伝えることができる。
車両外ユーザ４のユーザ端末４０は、通信ネットワーク５に接続可能な種々の端末を用いることができる。ユーザ端末４０は、汎用のスマートフォンおよび携帯型情報端末等の携帯端末としうる。ユーザ端末４０は、パソコン、およびワークステーション等、および、情報センタ２のサービスを利用するための専用端末としてもよい。ユーザ端末４０は、ウェブブラウザまたは専用のアプリケーションを用いて情報センタ２に接続することができる。ユーザ端末４０と情報センタ２との間の通信は、ＳＳＬ（Secure Socket Layer）等の暗号化された通信を用いてよい。ユーザ端末４０には、ユーザＩＤが格納される。
（コマンド送信フロー１）
以下に、図６のフロー図を参照して、車両向けサービス提供システム１００における情報センタ２の車両情報サーバ２０から車両１の車載機１０へのコマンド送信方法について説明する。前述のように、車載機１０は、車両情報サーバ２０から信用できることが保証されたブローカ３に接続する。
車両１のＡＣＣ電源起動後、車載機１０は、ブローカ３のプッシュ情報サーバ３０に、自己の車両ＩＤとプッシュ送信を待受け状態であることを通知する（ステップＳ１０１）。車載機１０は、プッシュ情報サーバ３０へ車両ＩＤと待受け状態であることを送信したとき、プッシュ待受け状態となる（ステップＳ１０２）。
一方、ブローカ３のプッシュ情報サーバ３０は車載機１０から車両ＩＤを受け取り（ステップＳ１０３）、いつでもプッシュ送信が可能なプッシュ送信待機状態となる（ステップＳ１０４）。プッシュ情報サーバ３０は、各車両ＩＤに対応する車両１が、プッシュ待受け状態か否かを管理する。
この状態で、プッシュ情報サーバ３０は、情報センタ２の車両情報サーバ２０からのコマンドを、任意のタイミングで受け取ることができる。コマンドは、車両１の搭乗者であるユーザによる車載機１０の操作、情報センタ２の車両情報サーバ２０における推論、または、ユーザ端末４０への車両外ユーザ４の操作等をトリガとして生成される。図６のフロー図では、車両情報サーバ２０およびユーザ端末４０をコマンド生成の起点とする処理について説明する。
一例において、車両情報サーバ２０が、車載機１０へのメッセージの送信または車載機１０の制御を要求する（ステップＳ１０５ａ）。車両情報サーバ２０は、所定の条件に基づき、登録されている情報から推論して、自ら車載機１０に通知または制御のための要求を生成することがある。例えば、ユーザが車両情報サーバ２０にスケジュールを登録していた場合に、目的地までの経路上に渋滞が発生したという情報を取得したとする。この場合、車両情報サーバ２０は、車載機１０に経路変更をすべきとのメッセージを通知する要求を生成してよい。また、車両情報サーバ２０にユーザの快適な気温および湿度等の条件を設定しておいた場合を想定する。この場合、走行中の車両１の経路上で急激な天候の変動が発生しているという情報を取得したとき、車両情報サーバ２０は、エアコンの設定をユーザの快適な気温および湿度に応じて調整する要求を生成することができる。
また、他の例において、車両外ユーザ４がユーザ端末４０を用いて、車両１に対して作用するアクションを選択することがある（ステップＳ１０５ｂ）。例えば、車両外ユーザ４は、別のユーザが車両１を運転中に、ユーザ端末４０を利用して、車両１を運転するユーザの予定がキャンセルされたことを入力することがある。そのような場合、ユーザ端末４０は、ユーザに音声により目的地の変更を知らせるための要求を生成することができる。
ステップＳ１０５ａまたはステップＳ１０５ｂにより、車載機１０への要求が発生すると、車両情報サーバ２０は、適切なコマンドを生成し、生成したコマンドを暗号化する（ステップＳ１０６）。前述のように、コマンドは、複数のコマンドを一つの送信単位として生成しうる。各コマンドは、予めセキュリティレベル（Ｌｖ０，Ｌｖ１，Ｌｖ２，Ｌｖ３等）が規定されている。車両情報サーバ２０は、各コマンドのセキュリティレベルに対応して、コマンドを暗号化する。車両情報サーバ２０は、複数のコマンドを一つの送信単位として纏めて送信するとき、一送信単位のコマンドに対し最もセキュリティレベルが高いコマンドに対応する暗号化を行う。
一例として、コマンドは、図４に示したように構成される。最もセキュリティレベルが高いコマンドのセキュリティレベルが、全体セキュリティレベルとなる。送信できるコマンドのセキュリティレベルは、情報センタ２ごとに制限をかけることができる。例えば、ある情報センタ２は、２番目に高いセキュリティレベルＬｖ２のコマンドまでしか送信できないように設定しうる。図４において、ハッシュ値と基準時刻以降のペイロードを暗号化することができる。
次に、車両情報サーバ２０は、プッシュ送信待受け状態にあるブローカ３のプッシュ情報サーバ３０に対して、コマンド送信を依頼する（ステップＳ１０７）。車両情報サーバ２０は、コマンドとともに車両ＩＤと自己（車両情報サーバ２０）のＩＤとを送信する。プッシュ情報サーバ３０は、この送信依頼を受け付ける（ステップＳ１０８）。
プッシュ情報サーバ３０は、第３記憶部３１を参照して、受け取った車両ＩＤの車両１の車載機１０の状態を参照し、プッシュ待受け状態であれば、一送信単位のコマンドを送信する（ステップＳ１０９）。なお、車載機１０がプッシュ受信不能状態の場合、プッシュ情報サーバ３０は、第３記憶部３１にコマンドを一時的に格納して、車載機１０がプッシュ待受け状態になるまで待ってよい。さらに、車載機１０が所定時間以上プッシュ受信不能状態の場合、プッシュ情報サーバ３０は、車両情報サーバ２０に対して時間超過により送信に失敗した旨を通知し、コマンドを破棄してよい。
車載機１０の外部連携部１７は、一送信単位のコマンドを、プッシュ情報サーバ３０側からのプッシュ送信により受信する（ステップＳ１１０）。コマンドの受信後、車載機１０の外部連携部１７は、コマンドの待受け状態を継続してよい。あるいは、車載機１０は、コマンドの待受け状態を一旦終了し、その後再び、プッシュ情報サーバ３０に車両ＩＤと待受け状態であることを通知して、プッシュ待受け状態となってよい。
車載機１０の外部連携部１７は、プッシュ情報サーバ３０から受信したコマンドを復号する（ステップＳ１１１）。復号は全体セキュリティレベルに対応した暗号鍵を用いて行う。
車載機１０の外部連携部１７は、復号された各コマンドについてセキュリティを判定する（ステップＳ１１２）。具体的には、車載機１０の外部連携部１７は、各コマンドのセキュリティレベルに誤りがないことを確認する。セキュリティレベルに誤りがあれば、外部連携部１７は、そのコマンドは実行できないと判定する。さらに、外部連携部は、復号されたコマンドの中に、全体セキュリティレベルよりも高いセキュリティレベルのコマンドが含まれる場合、そのコマンドを実行できないものと判定する。車載機１０の外部連携部１７は、全体セキュリティレベル以下のセキュリティレベルに対応する暗号化がされている場合のみ、コマンドを実行可能と判定する。例えば、セキュリティレベルＬｖ２のコマンドまでしか生成が許されない車両情報サーバ２０から、不正に生成されたセキュリティレベルＬｖ３のコマンドを受信した場合、車載機１０はこのコマンドを実行しない。このようにすることにより、権限のない車両情報サーバ２０から不正なコマンドを受けて、制御装置１３が操作される危険を低減することができる。また、何らかの方法で、プッシュ情報サーバ３０になりすました他者から、車載機１０の外部連携部１７に対して不正なコマンドを送信された場合でも、セキュリティレベルの高いコマンドに対応する暗号鍵が他者に知られない限り、安全性を確保することができる。
車載機１０の外部連携部１７において、実行可能と判断されたコマンドは、車載機１０の各機能実行部１８において実行される（ステップＳ１１３）。例えば、ナビゲーションシステムの目的地変更を通知するコマンドまたはナビゲーションシステムの目的地を変更するコマンドは、ナビゲーションシステムの制御装置１３に対応する機能実行部１８において実行される。例えば、エアコンの温度を変更するコマンドは、エアコンの制御装置１３に対応する機能実行部１８において実行される。各機能実行部１８は、対応する制御装置１３に制御情報を送信して、機能を起動し必要な動作をさせることができる。
車載機１０は、車両１の運転者がＡＣＣ電源スイッチをオフにしたとき、ＡＣＣ−ＯＦＦ信号を受信することができる（ステップＳ１１４）。車載機１０は、ＡＣＣ電源装置から車両内通信回線１４を介してＡＣＣ−ＯＦＦ信号を受信するように構成することができる。車載機１０は、ＡＣＣ−ＯＦＦ信号を受信しないとき、再びステップＳ１０２のプッシュ待受け状態となることができる。図６では、簡単のため、ステップＳ１１４からステップＳ１０２への分岐を省略している。
ステップＳ１１４において、車載機１０の外部連携部１７は、ＡＣＣ−ＯＦＦ信号を受信した後、ブローカ３のプッシュ情報サーバ３０に、車両ＩＤとプッシュ待受けの終了を通知する（ステップＳ１１５）。プッシュ情報サーバ３０は、車載機１０からプッシュ待受け終了の通知を受けると、第３記憶部３１で管理する車両１の状態をプッシュ受信不能状態に変更し、車載機１０に対するプッシュ送信待機状態を終了する（ステップＳ１１６）。
（コマンド送信フロー２）
次に、図７を参照して、ユーザの車載機１０に対する操作をトリガとする処理の一例を説明する。図７の例では、車両１の搭乗者が、車載機１０の外部情報閲覧部１６を用いて、車両情報サーバ２０から制御装置１３の操作に関わるアプリケーションを機能実行部１８へインストールする。図７のフローは、基本的に図６のステップＳ１０１−Ｓ１１３の部分に相当する。
ステップＳ２０１からＳ２０４は、図６のステップＳ１０１からＳ１０４と同様である。車載機１０のプッシュ待受部１７１がプッシュ待受け状態にあるとき、車両１の搭乗者が外部情報閲覧部１６を用いて、情報センタ２のポータルサーバ２３にアクセスし、車両情報サーバ２０内のアプリケーションの車載機１０へのインストールを選択する（ステップＳ２０５）。この場合、通常のウェブサイトとは異なり、情報センタ２は、外部情報閲覧部１６からのアプリケーションインストールのリクエストに対して、アプリケーションのファイルを直接転送しない。
ポータルサーバ２３上で、インストールするアプリケーションが選択されると、ポータルサーバ２３から車両情報サーバ２０に対して、問い合わせ要求コマンドの生成および暗号化が指示される（ステップＳ２０６）。「問い合わせ要求」とは、車載機１０が車両情報サーバ２０に対してインストールするアプリケーションはあるか否かを問い合わせることを、車両情報サーバ２０が車載機１０に対して要求するものである。暗号化に関しては、ステップＳ１０６と同様である。
次に、車両情報サーバ２０は、プッシュ送信待受け状態にあるブローカ３のプッシュ情報サーバ３０に対して、問い合わせ要求コマンドの送信を依頼する（ステップＳ２０７）。プッシュ情報サーバ３０は、この問い合わせ要求コマンドの送信依頼を受け付ける（ステップＳ２０８）。
問い合わせ要求コマンドは、車載機１０へプッシュ送信され、復号およびセキュリティ判定等の処理がなされる（ステップＳ２０９−Ｓ２１２）。
ステップＳ２１３において、車載機１０の外部連携部１７から問い合わせ要求コマンドを受け取った機能実行部１８が、問い合わせ要求コマンドを実行する。この場合、機能実行部１８は、アプリケーションをインストールする機能を実行する。機能実行部１８は、情報センタ２の車両情報サーバ２０に対して、インストールするアプリケーションがあるかを問い合わせる（Ｓ２１３）。機能実行部１８から車両情報サーバ２０への問い合わせは、プッシュ情報サーバ３０を介さず、直接行われてよい。車両情報サーバ２０は、問い合わせを受信し（ステップＳ２１４）、インストールするアプリケーションがあることを応答する（ステップＳ２１５）。機能実行部１８は、この応答を受信する（ステップＳ２１６）。その後、インストールするアプリケーションのダウンロードが実行される（ステップＳ２１７）。アプリケーションのダウンロードは、車載機１０と車両情報サーバ２０との間で、通信ネットワーク５を介して直接行ってよい。アプリケーションのダウンロードは、ＦＴＰ（File Transfer Protocol）等の方法を用いて行ってよい。
ステップＳ２１３からＳ２１７の処理は、図６のステップＳ１１３の処理に対応する。以降の処理の流れは、図６のステップＳ１１４以降と同様である。
以上のように、図７に示した例では、車載機１０の他の部分とは論理的に分離された外部情報閲覧部１６（ウェブブラウザ）のユーザインタフェースを使用しながら、機能実行部１８へのアプリケーションのインストールが可能になる。
なお、ユーザの車載機１０に対する操作をトリガとする処理は、上記のものに限られない。例えば、車両１を運転することのあるユーザが複数いるとき、各ユーザは、自分に適したシートの設定を車両情報サーバ２０に登録しておくことができる。シートの設定には、シートの前後の位置、背もたれの傾き、座面高さ、硬さ、ならびに、換気、ヒータおよびマッサージ機能の設定等を含む。車両１を運転するユーザは、車載機１０から自分が運転者であることを入力することによって、車両情報サーバ２０に対してシート設定を自分に適したものに調整することを要求することができる。要求を受けた車両情報サーバ２０は、プッシュ情報サーバ３０を経由して、シート設定を調整するコマンドを車載機１０へプッシュ送信する。
図６および図７を用いて説明した本明細書で開示される方法は、車載機１０、車両情報サーバ２０およびプッシュ情報サーバ３０の何れか１つ以上に含まれるプロセッサがプログラムに従って実行することができる。そのようなプログラムは、非一時的なコンピュータ可読媒体において記憶されることが可能である。非一時的なコンピュータ可読媒体の例としては、ハードディスク、ＲＡＭ、ＲＯＭ、フラッシュメモリ、ＣＤ−ＲＯＭ、光記憶デバイス、磁気記憶デバイス等を含むが、これらに限定されない。
（効果）
以上のように、本車両向けサービス提供システム１００によれば、情報センタ２の車両情報サーバ２０から、安全性の保証されたブローカ３のプッシュ情報サーバ３０を介してのみ、車載機１０へコマンドを送信することができる。また、プッシュ情報サーバ３０を設けたことにより、車両情報サーバ２０で生成されたコマンドは、車両１に対して任意のタイミングで送信することができる。これにより、制御装置１３に作用する操作等を必要なタイミングで行うことができる。
また、プッシュ情報サーバ３０からのプッシュ送信によらないで、車載機１０の外部連携部１７へ接続することは禁止されているので、情報センタ２以外の外部から車両１の制御装置１３が操作されることに対する安全性を高めることができる。さらに、車両情報サーバ２０で、コマンドのセキュリティレベルに応じて暗号化がなされ、コマンドのセキュリティレベル以下のセキュリティレベルで暗号化されたコマンドは実行されない。これにより、コマンドの安全性またはコマンドにより制御される制御装置１３の重要性に応じて、セキュリティレベルを設定し、コマンドに応じたセキュリティを確保することができる。
さらに、車両情報サーバ２０と車載機１０との間は、複数のコマンドを一つの送信単位にまとめて送信できるので、多数のコマンドを同時に送信することが可能になる。また、プッシュ情報サーバ３０と車載機１０との間は、一度プッシュ送信用の接続が確立されると、継続してプッシュ送信が可能なため、非同期で多頻度のプッシュ送信が可能になる。したがって、本車両向けサービス提供システム１００によれば、高頻度・大容量のプッシュ送信が可能になる。
また、車両情報サーバ２０から車載機１０へ大量のデータ送信が発生する場合は、図７に示した例のように、車両情報サーバ２０から車載機１０へ、問い合わせを要求するコマンドをプッシュ情報サーバ３０経由でプッシュ送信することができる。これにより、以降のデータ送信は、車載機１０と車両情報サーバ２０との間で直接的に行うことができるので、安全性と効率性を確保できる。
さらに、外部サーバ６の情報閲覧をする外部情報閲覧部１６と、車両１内の制御装置１３と連携する外部連携部１７とが論理的に分離されているので、外部連携部１７が外部情報閲覧部１６の影響を受けない。すなわち、仮にユーザが外部情報閲覧部１６により、インターネット上の悪意のあるソフトウェアにアクセスしたとしても、その影響は外部連携部１７および機能実行部１８などの、外部情報閲覧部１６の外部には及ばない。これにより、外部情報閲覧部１６では自由に外部サーバ６の情報を閲覧でき、同時に、外部情報閲覧部１６を介しての外部サーバ６から外部連携部１７への接続が防御されるので、制御装置１３に対するセキュリティを維持することができる。
また、外部情報閲覧部１６または車両外ユーザ４のユーザ端末４０で操作した内容を、車両情報サーバ２０を介して安全かつ効率的にプッシュ送信をすることができるので、車両１内からまたは遠隔地から、安全を確保しながら非同期で制御装置１３を操作することが可能になる。
なお、本発明は、上記実施の形態にのみ限定されるものではなく、幾多の変形または変更が可能である。例えば、各手段、各ステップ等に含まれる機能、各機能ブロック等は論理的に矛盾しないように再配置可能であり、複数の手段またはステップ等を１つに組み合わせたり、あるいは分割したりすることが可能である。
例えば、情報センタ２に含まれるサーバの構成は例示である。情報センタ２は、車両情報サーバ２０、ポータルサーバ２３および契約管理サーバ２４以外のサーバを含んでよい。また、車両情報サーバ２０が、ポータルサーバ２３および契約管理サーバ２４の一方または双方の機能を取り込んでもよい。さらに、通信機構２２が車両情報サーバ２０に内蔵されてもよい。
図６において、ＡＣＣ電源がオフの場合、車載機１０は処理を終了するものとした。しかし、ＡＣＣオフであっても車載機１０の一部または全部の機能は稼働してよい。車載機１０の一部の機能が稼働している場合、車両外ユーザ４はユーザ端末４０を用いて車両１を操作してよい。例えば、車両外ユーザ４は、ユーザ端末４０から車両１のロックがかかっているかを確認し、ロックがかかっていない場合は、ロックをするというような操作も可能である。また、車両外ユーザ４は、車両停止中にユーザ端末４０からナビゲーションシステムの目的地を事前に設定することが可能である。
１ 車両
２ ブローカ
３ 情報センタ
４ 車両外ユーザ
５ 通信ネットワーク
６ 外部サーバ
１０ 車載機（車載装置）
１１ 第１記憶部
１２ 通信機
１３ 制御装置
１４ 車両内通信回線
１５ 第１情報処理部
１６ 外部情報閲覧部（第２処理部）
１７ 外部連携部（第１処理部）
１８ 機能実行部
１９ 表示装置
２０ 車両情報サーバ
２１ 第２記憶部
２２ 通信機構
２３ ポータルサーバ
２４ 契約管理サーバ
２５ 第４記憶部
２６ ＬＡＮ回線
２７ 第２情報処理部
３０ プッシュ情報サーバ
３１ 第３記憶部
３２ 第３情報処理部
４０ ユーザ端末
１００ 車両向けサービス提供システム
１７１ プッシュ待受部
１７２ 復号部
１７３ セキュリティ判定部
１７４ コマンド実行部
２７１ プッシュ要求受付部
２７２ コマンド生成部
２７３ 暗号化部
２７４ プッシュ送信依頼部
２７５ 車両情報管理部
３２１ プッシュ受付部
３２２ プッシュ送信部
３２３ 車載機状態管理部

Claims (10)

  1. 車両に搭載され、該車両内の制御装置に作用するコマンドを受け付け可能な車載装置と、
    前記車載装置に対して、前記コマンドを送信可能な車両情報サーバと、
    前記車両情報サーバから前記車載装置への前記コマンドの送信を仲介するプッシュ情報サーバと、
    を備え、
    前記車載装置、前記車両情報サーバおよび前記プッシュ情報サーバは、それぞれ通信ネットワークに接続され、
    前記コマンドには予めコマンドごとに規定されたセキュリティレベルが設定され、
    前記車両情報サーバは、前記コマンドに対し前記セキュリティレベルに対応した暗号化を行い、該暗号化されたコマンドの送信を前記プッシュ情報サーバに依頼し、
    前記車載装置は、前記プッシュ情報サーバからのみ前記暗号化されたコマンドを受信するように、前記プッシュ情報サーバからのコマンドを待受け、前記プッシュ情報サーバを経由して前記車両情報サーバから前記暗号化されたコマンドを受信し、受信した前記暗号化されたコマンドを復号し、該コマンドに予め設定された前記セキュリティレベル以上のセキュリティレベルに対応する暗号化がされていた場合のみ、前記コマンドを実行する、
    車両向けサービス提供システム。
  2. 前記車両情報サーバは、前記車載装置からの要求を受けることなく、所定の条件に基づいて前記コマンドを生成して前記車載装置に対して送信可能である、請求項１に記載の車両向けサービス提供システム。
  3. 前記車載装置は、前記コマンドの受信、復号および実行を行う第１処理部と、前記車両情報サーバまたは他のサーバとの間で前記車両内の制御装置に作用しない通信のみを行う第２処理部とを備える請求項１または２に記載の車両向けサービス提供システム。
  4. 前記セキュリティレベルは、２以上にレベル分けされていることを特徴とする請求項１乃至３のいずれか一項に記載の車両向けサービス提供システム。
  5. 前記車載装置は、前記車両情報サーバに対して、前記車両内の前記制御装置に作用する要求を送信可能に構成され、
    前記車両情報サーバは、前記車載装置からの前記要求を受信したとき、該要求に対応する前記コマンドを前記車載装置に送信可能に構成される請求項１乃至４のいずれか一項に記載の車両向けサービス提供システム。
  6. 携帯端末を備え、該携帯端末は、前記車両情報サーバに対して、前記車両内の前記制御装置に作用する要求を送信可能に構成され、
    前記車両情報サーバは、前記車載装置からの前記要求を受信したとき、該要求に対応する前記コマンドを前記車載装置に送信可能に構成される請求項１乃至４のいずれか一項に記載の車両向けサービス提供システム。
  7. 前記車両情報サーバは、前記車載装置に対して、２つ以上の前記コマンドを１つの送信単位として送信可能であり、該送信単位に対して、該送信単位に含まれるコマンドの中で最もセキュリティレベルが高いコマンドのセキュリティレベルに対応した暗号化を行う、請求項１乃至６のいずれか一項に記載の車両向けサービス提供システム。
  8. 車両に搭載された車載装置であって、
    外部の車両情報サーバにより生成された、前記車両内の制御装置に作用するコマンドであって、セキュリティレベルに対応した暗号化が行われたコマンドを受け付け可能な第１処理部を備え、
    前記セキュリティレベルは、前記コマンドに対し予めコマンドごとに規定されたものであり、
    前記第１処理部は、
    通信ネットワークで接続されたプッシュ情報サーバからのコマンドを待受け、前記プッシュ情報サーバを経由して前記車両情報サーバから前記暗号化されたコマンドを受信するプッシュ待受部と、
    受信した前記暗号化されたコマンドを復号する復号部と、
    前記コマンドに予め設定された前記セキュリティレベル以上のセキュリティレベルに対応する暗号化がされていた場合のみ、前記コマンドを実行可能と判定するセキュリティ判定部と、
    実行可能とされた前記コマンドを実行するコマンド実行部と
    を含み、
    前記第１処理部は、前記プッシュ情報サーバからのみ前記暗号化されたコマンドを受信可能に構成された車載装置。
  9. 前記車両情報サーバまたは他のサーバとの間で前記車両内の制御装置に作用しない通信のみを行う第２処理部をさらに備える請求項８に記載の車載装置。
  10. それぞれ通信ネットワークに接続された、車載装置、車両情報サーバおよびプッシュ情報サーバを含む車両向けサービス提供システムにおける、前記車両情報サーバから前記車載装置へのコマンド送信方法であって、
    前記車載装置が、前記プッシュ情報サーバから、車両内の制御装置に作用するコマンドの受信を待受けるステップと、
    前記車両情報サーバが、送信するコマンドに対し予めコマンドごとに規定されたセキュリティレベルに対応した暗号化を行い、該暗号化されたコマンドの送信を前記プッシュ情報サーバに依頼するステップと、
    前記プッシュ情報サーバが、前記暗号化されたコマンドを前記車載装置に送信するステップと、
    前記車載装置が、受信した前記暗号化されたコマンドを復号し、該コマンドに予め設定された前記セキュリティレベル以上のセキュリティレベルに対応する暗号化がされていた場合のみ、前記コマンドを実行するステップと、
    を含むコマンド送信方法。
JP2018079609A 2018-04-18 2018-04-18 車両向けサービス提供システム、車載装置およびコマンド送信方法 Active JP6973262B2 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2018079609A JP6973262B2 (ja) 2018-04-18 2018-04-18 車両向けサービス提供システム、車載装置およびコマンド送信方法
CN201910292413.4A CN110392036B (zh) 2018-04-18 2019-04-12 面向车辆的服务提供系统、车载装置和命令传送方法
US16/385,459 US11218456B2 (en) 2018-04-18 2019-04-16 Vehicle-oriented service providing system, in-vehicle device, and command transmission method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2018079609A JP6973262B2 (ja) 2018-04-18 2018-04-18 車両向けサービス提供システム、車載装置およびコマンド送信方法

Publications (2)

Publication Number Publication Date
JP2019192953A true JP2019192953A (ja) 2019-10-31
JP6973262B2 JP6973262B2 (ja) 2021-11-24

Family

ID=68238296

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2018079609A Active JP6973262B2 (ja) 2018-04-18 2018-04-18 車両向けサービス提供システム、車載装置およびコマンド送信方法

Country Status (3)

Country Link
US (1) US11218456B2 (ja)
JP (1) JP6973262B2 (ja)
CN (1) CN110392036B (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022118578A1 (ja) 2020-12-03 2022-06-09 株式会社デンソー 情報送信方法及び通信装置
CN115048154A (zh) * 2022-07-06 2022-09-13 北斗星通智联科技有限责任公司 车载配置信息管理方法、装置、系统及存储介质
WO2023218910A1 (ja) * 2022-05-13 2023-11-16 株式会社デンソー 車載通信機及びプッシュサーバ
JP7470879B2 (ja) 2020-12-28 2024-04-18 キーファクター， インコーポレイテッド 遠隔証明機関管理

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102019005601A1 (de) * 2018-08-13 2020-02-13 Löwenstein Medical Technology S.A. Verfahren zur sicheren Kommunikation in einem Beatmungssystem
CN112087508B (zh) * 2020-09-03 2023-04-07 中国第一汽车股份有限公司 一种车辆功能的远程控制方法、装置、系统及存储介质
US20220379927A1 (en) * 2021-05-25 2022-12-01 At&T Intellectual Property I, L.P. Connected systems based on contextually aware dynamic visual indicators
EP4266628A3 (en) * 2022-04-18 2023-11-01 Carrier Corporation Obfuscating data in controller area network messages for transport refrigeration units

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009059186A (ja) * 2007-08-31 2009-03-19 Casio Comput Co Ltd データ管理装置及びプログラム
JP2013530440A (ja) * 2010-04-26 2013-07-25 オーセンテイフイ・インコーポレーテツド アイフォン（商標）及び他のスマート・モバイル通信装置を用いる安全で効率的なログイン及びトランザクション認証
WO2013111282A1 (ja) * 2012-01-25 2013-08-01 トヨタ自動車株式会社 車両遠隔操作情報提供装置、車載遠隔操作情報取得装置及びこれらの装置を備えた車両遠隔操作システム
JP2013171378A (ja) * 2012-02-20 2013-09-02 Denso Corp 車両用データ通信認証システム及び車両用ゲートウェイ装置

Family Cites Families (30)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2329499B (en) * 1997-09-19 2001-05-30 Ibm Method for controlling access to electronically provided services and system for implementing such method
EP1022875B1 (en) * 1999-01-25 2005-06-01 Nippon Telegraph and Telephone Corporation Push network
US6907470B2 (en) * 2000-06-29 2005-06-14 Hitachi, Ltd. Communication apparatus for routing or discarding a packet sent from a user terminal
JP4839705B2 (ja) 2005-07-06 2011-12-21 トヨタ自動車株式会社 情報提供システム及び情報提供方法
US7614080B2 (en) 2005-12-28 2009-11-03 Panasonic Electric Works Co., Ltd. Systems and methods for providing secure access to embedded devices using a trust manager and a security broker
US20070192830A1 (en) * 2006-02-15 2007-08-16 O'connor Dennis M Security module having access limited based upon security level of code seeking access
US20080127322A1 (en) * 2006-11-28 2008-05-29 Azaleos Corporation Solicited remote control in an interactive management system
JP4594969B2 (ja) * 2007-08-28 2010-12-08 株式会社バッファロー 無線ｌａｎ用アクセスポイント、プログラムおよび記録媒体
US20090300595A1 (en) * 2008-05-30 2009-12-03 Ise Corporation System and Method for Remotely Updating Control Software in a Vehicle With an Electric Drive System
JP5651615B2 (ja) 2012-02-16 2015-01-14 日立オートモティブシステムズ株式会社 車載ネットワークシステム
JP5973224B2 (ja) * 2012-05-10 2016-08-23 株式会社東海理化電機製作所 電子キー登録方法
CN103529823B (zh) * 2013-10-17 2016-04-06 北奔重型汽车集团有限公司 一种用于汽车诊断系统的安全访问控制方法
US9558128B2 (en) * 2014-10-27 2017-01-31 Seagate Technology Llc Selective management of security data
US9494935B2 (en) * 2014-11-13 2016-11-15 Toyota Motor Engineering & Manufacturing North America, Inc. Remote operation of autonomous vehicle in unexpected environment
JP6652326B2 (ja) * 2015-04-14 2020-02-19 クラリオン株式会社 コンテンツ起動制御装置、コンテンツ起動方法、およびコンテンツ起動システム
JP2017004116A (ja) 2015-06-05 2017-01-05 トヨタ自動車株式会社 車両用遠隔支援システム
US9916151B2 (en) * 2015-08-25 2018-03-13 Ford Global Technologies, Llc Multiple-stage secure vehicle software updating
US20170150361A1 (en) * 2015-11-20 2017-05-25 Faraday&Future Inc. Secure vehicle network architecture
CN107181722A (zh) * 2016-03-11 2017-09-19 比亚迪股份有限公司 车辆安全通信方法、装置、车辆多媒体系统及车辆
CN107181725A (zh) * 2016-03-11 2017-09-19 比亚迪股份有限公司 车辆安全通信方法、装置、车辆多媒体系统及车辆
FR3053864B1 (fr) * 2016-07-05 2018-08-17 Alstom Transport Technologies Procede de mise a jour d'une pluralite de vehicules et ensemble forme d'une pluralite de vehicules ferroviaires et d'un systeme de gestion associe
CN107483393B (zh) * 2016-11-22 2020-06-02 宝沃汽车（中国）有限公司 车联网的通信方法、服务器及通信系统
CN106853810A (zh) * 2016-12-29 2017-06-16 北京车和家信息技术有限责任公司 车辆远程控制的方法、装置、车身控制模块、车辆及系统
US10484466B2 (en) * 2017-02-01 2019-11-19 Panasonic Avionics Corporation Methods and systems for communicating messages to passengers on a transportation vehicle
CN106850638B (zh) * 2017-02-14 2020-03-24 中车株洲电力机车研究所有限公司 一种车载设备访问控制方法及系统
US10325592B2 (en) * 2017-02-15 2019-06-18 GM Global Technology Operations LLC Enhanced voice recognition task completion
US10783165B2 (en) * 2017-05-17 2020-09-22 International Business Machines Corporation Synchronizing multiple devices
JP6902630B2 (ja) * 2017-07-31 2021-07-14 デジパーツ, インコーポレーテッドDigiparts, Inc. リアルタイム車両管制サービスのためのコネクテッドゲートウェイサーバシステム
KR102555906B1 (ko) * 2018-01-08 2023-07-17 현대자동차주식회사 차량에 대한 원격서비스 제공방법 및 그 시스템
US20190230206A1 (en) * 2018-01-23 2019-07-25 Ford Global Technologies, Llc Extending mobile-to-vehicle apis to the cloud

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009059186A (ja) * 2007-08-31 2009-03-19 Casio Comput Co Ltd データ管理装置及びプログラム
JP2013530440A (ja) * 2010-04-26 2013-07-25 オーセンテイフイ・インコーポレーテツド アイフォン（商標）及び他のスマート・モバイル通信装置を用いる安全で効率的なログイン及びトランザクション認証
WO2013111282A1 (ja) * 2012-01-25 2013-08-01 トヨタ自動車株式会社 車両遠隔操作情報提供装置、車載遠隔操作情報取得装置及びこれらの装置を備えた車両遠隔操作システム
JP2013171378A (ja) * 2012-02-20 2013-09-02 Denso Corp 車両用データ通信認証システム及び車両用ゲートウェイ装置

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022118578A1 (ja) 2020-12-03 2022-06-09 株式会社デンソー 情報送信方法及び通信装置
JP7470879B2 (ja) 2020-12-28 2024-04-18 キーファクター， インコーポレイテッド 遠隔証明機関管理
US11973751B2 (en) 2020-12-28 2024-04-30 Keyfactor, Inc. Remote certificate authority management
WO2023218910A1 (ja) * 2022-05-13 2023-11-16 株式会社デンソー 車載通信機及びプッシュサーバ
CN115048154A (zh) * 2022-07-06 2022-09-13 北斗星通智联科技有限责任公司 车载配置信息管理方法、装置、系统及存储介质
CN115048154B (zh) * 2022-07-06 2024-05-03 北斗星通智联科技有限责任公司 车载配置信息管理方法、装置、系统及存储介质

Also Published As

Publication number Publication date
US11218456B2 (en) 2022-01-04
CN110392036A (zh) 2019-10-29
CN110392036B (zh) 2022-01-11
US20190327212A1 (en) 2019-10-24
JP6973262B2 (ja) 2021-11-24

Similar Documents

Publication Publication Date Title
JP6973262B2 (ja) 車両向けサービス提供システム、車載装置およびコマンド送信方法
CN107528821B (zh) 用于远程信息处理控制单元的数据更新的系统和方法
CN106487778B (zh) 车载网络服务器远程信息处理系统和方法
CN107786683B (zh) 移动装置网络地址服务器更新
US9755851B2 (en) Method and apparatus for plug-in wireless safety devices
US20220131842A1 (en) Trusted platform protection in an autonomous vehicle
CN106240522B (zh) 自主车辆防盗
CN109842862B (zh) 在车辆中建立安全短程无线通信连接
CN107145324B (zh) 用于连接的应用安全的安全隧道
EP3694179A1 (en) Proxy for access of a vehicle component
US8863256B1 (en) System and method for enabling secure transactions using flexible identity management in a vehicular environment
US8930041B1 (en) Methods of operation for plug-in wireless safety device
US20180326947A1 (en) Operating a key fob in a car sharing system
US10652742B2 (en) Hybrid authentication of vehicle devices and/or mobile user devices
US20160164881A1 (en) Remote vehicle application permission control and monitoring
JP2008523743A (ja) 車両内の少なくとも一つのモバイル端末の、アップデート装置を利用した利用システム
CN109905356B (zh) 基于可用信用或数据余额将系留设备引导至车载存储登陆页面的系统和方法
JP5879451B1 (ja) 車両を管理するシステム及び方法
WO2019035275A1 (ja) 車両保安システム及び車両保安方法
JP2015505434A (ja) セキュリティ上安全な電子機器
JP2016208494A (ja) 車両を管理するシステム及び方法
US20170297529A1 (en) Vehicle Computer System for Authorizing Insurance and Registration Policy
KR20150089697A (ko) 모바일 단말을 이용한 스마트 카 보안 시스템 및 그 방법
US20220070758A1 (en) Data and connectivity management systems and methods thereof
US20230015693A1 (en) Restoration of corrupted keys in a secure storage system

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20201124

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20210630

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20210727

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20210819

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20211005

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20211018

R151 Written notification of patent or utility model registration

Ref document number: 6973262

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R151