JP2022067937A - セキュアコンポーネント、車両部品、車両、コンピュータプログラム、管理システム、情報処理方法及び管理方法 - Google Patents

Abstract

【課題】車両部品を有効に保護することができるセキュアコンポーネント、車両部品、車両、コンピュータプログラム、管理システム、情報処理方法及び管理方法を提供する。
【解決手段】セキュアコンポーネントは、車両に用いられる車両部品に搭載されるセキュアコンポーネントであって、車両に用いられる他の車両部品に搭載される他のセキュアコンポーネントとの間で情報の送受信を行う通信部と、通信部を介して他のセキュアコンポーネントと相互認証を行う認証部と、相互認証対象と前記認証部による相互認証結果を対応付けた相互認証情報を記憶する第１記憶部とを備える。
【選択図】図１

Description

本発明は、セキュアコンポーネント、車両部品、車両、コンピュータプログラム、管理システム、情報処理方法及び管理方法に関する。

自転車等の車両の盗難に対する技術的な対抗策の立案は多い。特許文献１には、防犯登録情報をオンラインで保存しておく一方、自転車に貼る防犯登録ステッカーにバーコードを印字しておき、当該バーコードを携帯端末で読み取ることにより、防犯登録情報を検索することができる検索装置が開示されている。

また、特許文献２には、自転車の鍵を電子錠とし、携帯端末を用いて近距離無線通信で電子錠を解除することができる自転車シェアリングシステムが開示されている。

特開２００３－２５６９６０号公報 特開２０１５－１１３６８６号公報

一方でスポーツ自転車の流行に伴って、高級自転車が普及しつつある。高級自転車は、自動車やバイク等と同様に、部品単位で取引されることが多いため、これらの車両部品についても盗難に遭う可能性が高い。しかし、特許文献１、２の装置やシステムでは、自転車の盗難については考慮されているが、車両部品に対する保護は有効には機能しない。

本発明は、斯かる事情に鑑みてなされたものであり、車両部品を有効に保護することができるセキュアコンポーネント、車両部品、車両、コンピュータプログラム、管理システム、情報処理方法及び管理方法を提供することを目的とする。

本発明の実施の形態に係るセキュアコンポーネントは、車両に用いられる車両部品に搭載されるセキュアコンポーネントであって、前記車両に用いられる他の車両部品に搭載される他のセキュアコンポーネントとの間で情報の送受信を行う通信部と、前記通信部を介して前記他のセキュアコンポーネントと相互認証を行う認証部と、相互認証対象と前記認証部による相互認証結果を対応付けた相互認証情報を記憶する第１記憶部とを備える。

本発明の実施の形態に係る車両部品は、前述のセキュアコンポーネントを備える。

本発明の実施の形態に係る車両部品は、車両に用いられる第１の車両部品に搭載される第１のセキュアコンポーネント、及び前記車両に用いられる第２の車両部品に搭載される第２のセキュアコンポーネントそれぞれとの間で情報の送受信を行う通信部と、前記通信部を介して前記第１のセキュアコンポーネントと前記第２のセキュアコンポーネントとの間の相互認証を仲介する認証仲介部とを備える。

本発明の実施の形態に係る車両は、前述の車両部品を複数備える。

本発明の実施の形態に係るコンピュータプログラムは、コンピュータに、車両に用いられる車両部品に搭載されるセキュアコンポーネントとの間で情報の送受信を行い、前記セキュアコンポーネントと相互認証を行い、相互認証対象と相互認証結果を対応付けた相互認証情報を記憶する、処理を実行させる。

本発明の実施の形態に係る情報処理方法は、車両に用いられる複数の車両部品それぞれに搭載されるセキュアコンポーネントの間で相互認証を行い、各セキュアコンポーネントは、相互認証対象と相互認証結果を対応付けた相互認証情報を記憶する。

本発明の実施の形態に係る管理システムは、前述の車両と、前記車両が備える複数の車両部品それぞれに搭載されたセキュアコンポーネントとの間で秘匿通信路を開設可能なサーバとを備え、前記サーバは、前記秘匿通信路を介して、相互認証に基づいて前記複数の両部品及び前記車両の少なくとも一方を管理する。

本発明の実施の形態に係る管理方法は、前述の車両が備える複数の車両部品それぞれに搭載されたセキュアコンポーネントとの間で秘匿通信路を開設可能なサーバは、前記秘匿通信路を介して、相互認証に基づいて前記複数の両部品及び前記車両の少なくとも一方を管理する。

本発明によれば、車両部品が予め定められた適切な組み合わせで接続されているかを検証するので、盗品等の混入を防止することができ、車両部品を有効に保護することができる。

本実施の形態の情報処理システムの構成の一例を示す模式図である。 ディレイラー、バッテリー、前ホイールに埋め込まれたセキュアエレメント、後ホイールに埋め込まれたセキュアエレメント及びフレームに埋め込まれたセキュアエレメントの構成の一例を示す模式図である。 公開鍵のTrustChainの作成手順の一例を示す模式図である。 電動部品間のコマンド授受フローの一例を示す模式図である。 電動部品－非電動部品間のコマンド授受フローの一例を示す模式図である。 非電動部品－非電動部品間のコマンド授受フローの一例を示す模式図である。 電動部品手動でコマンドを授受する場合の相互認証のフローの一例を示す模式図である。 非電動部品間でコマンドを授受する場合の相互認証のフローの一例を示す模式図である。 相互認証完了時の部品動作制御のフローの一例を示す模式図である。 秘匿通信路による相互認証リストの更新のフローの一例を示す模式図である。 シフター以外の部品の更新後の相互認証リストの一例を示す模式図である。 秘匿通信機能による機能停止のフローの一例を示す模式図である。 シフター以外の部品内のセキュアエレメントの無効化の一例を示す模式図である。 秘匿通信路経由の場合の一時的な相互認証の無効化のフローの一例を示す模式図である。 シフター以外の部品内のセキュアエレメントの一時的な相互認証の無効化の一例を示す模式図である。 入力Ｉ／Ｆ経由の場合の一時的な相互認証の無効化のフローの一例を示す模式図である。 シフター以外の部品内のセキュアエレメントの一時的な相互認証の無効化の一例を示す模式図である。 本実施の形態の管理システムの構成の一例を示す模式図である。

以下、本発明をその実施の形態を示す図面に基づいて説明する。図１は本実施の形態の情報処理システムの構成の一例を示す模式図である。情報処理システムは、車両としての自転車１００、自転車管理サーバ２００、及び自転車部品ＤＢ２５０を備える。以下では、車両として自転車を例に挙げて説明するが、車両は自転車に限定されるものではなく、自動二輪車（バイク）、自動車なども含む。自転車１００と自転車管理サーバ２００は、無線ネットワーク又は有線ネットワーク経由で通信を行うことができる。自転車管理サーバ２００は、複数のサーバで分散してもよく、また、自転車部品ＤＢ２５０を自転車管理サーバ２００内に格納してもよい。

自転車１００は、セキュアエレメントを埋め込んだ複数の部品（車両部品）を備える。以下では、セキュアコンポーネントの例としてセキュアエレメントを挙げて説明するが、セキュアコンポーネントは、セキュアエレメントに限定されるものではなく、ＳｏＣ（System on Chip）上で、例えば、ＣＰＵ仮想化支援技術（例えば、ＴｒｕｓｔＺｏｎｅ（登録商標））と称される技術を用いることによって、ＳｏＣ内で区分されたトラステッド実行環境（ＴＥＥとも称する）でもよく、あるいはＩＣタグでもよい。

一般的な（安価な）自転車の場合、自転車は全て力学的な機構で動作している（ワイヤーでギアチェンジを伝達する等）が、レース用途などの高価な自転車の場合、一部の機能が電動化されている場合もある（電動コンポ）。本実施の形態では、主として、この電動コンポを具備する構成を前提に説明するが、電動コンポ以外の部品（フレームやホイール等）についてもセキュアエレメントを埋め込んであり、電動コンポ部品（電動部品とも称する）と通信可能な信号線が接続されている。なお、電動コンポ以外の部品のセキュアエレメントへの給電は電動部品から行われる。なお、便宜上、実際に自転車を構成する部品の一部を省略しているが、図に示す部品と同一のメカニズムで動作する。

自転車１００は、シフター１０、ディレイラー２０、バッテリー３０、前ホイールに埋め込まれたセキュアエレメント４０、後ホイールに埋め込まれたセキュアエレメント５０、及びフレームに埋め込まれたセキュアエレメント６０を備える。

シフター１０は、変速指示装置であり、自転車１００のギアチェンジをハンドル部分から指示するための装置である。シフター１０は、セキュアエレメント１１、制御部１２、相互認証仲介部１３、ネットワーク通信部１４、シフター操作部１５、及び入力Ｉ／Ｆを備える。セキュアエレメント１１は、相互認証部１６、部品証明書１７、秘匿通信部１８、及び相互認証リスト１９を備える。

本実施例では、シフター１０に自転車通信におけるコア機能を組み込んでいる。コア機能は、ネットワーク通信部１４、相互認証部１６、及び入力Ｉ／Ｆで構成される。ネットワーク通信部１４は、自転車１００が外部ネットワークと通信するための機能を備える。相互認証部１６は、非電動部品間で相互認証を行う際に認証を仲介する機能を備える。入力Ｉ／Ｆは、ユーザが相互認証の開始やネットワーク通信を指示するための機能を備える。非電動部品の相互認証や外部ネットワークとの通信を行う際は、これらのコア機能が通信を仲介する。なお、本実施例では、シフター１０がコア機能を備えているが、サイクルコンピュータ、スマートフォン等の他の機器がコア機能を備えてもよい。

図２はディレイラー２０、バッテリー３０、前ホイールに埋め込まれたセキュアエレメント４０、後ホイールに埋め込まれたセキュアエレメント５０、及びフレームに埋め込まれたセキュアエレメント６０の構成の一例を示す模式図である。ディレイラー２０は、外装変速機であり、シフター１０からの指示に応じて実際にギアをチェンジする機構である。ディレイラー２０は、セキュアエレメント２１、ディレイラー制御部２２、ディレイラー駆動部２３、相互認証部２４、部品証明書２５、相互認証リスト２６、及び秘匿通信部２７を備える。

バッテリー３０は、電動部品に給電するための電池である。バッテリー３０は、セキュアエレメント３１、バッテリー制御部３２、バッテリー３３、相互認証部３４、部品証明書３５、秘匿通信部３６、及び相互認証リスト３７を備える。

前ホイールは、自転車の前方の車輪である。前ホイールに埋め込まれたセキュアエレメント４０は、相互認証部４１、部品証明書４２、相互認証リスト４３、及び秘匿通信部４４を備える。

後ホイールは、自転車の後方の車輪である。後ホイールに埋め込まれたセキュアエレメント５０は、相互認証部５１、部品証明書５２、相互認証リスト５３、及び秘匿通信部５４を備える。

フレームは、自転車の車体部であり、各部品を組み込んで完成車化するための基本部品である。フレームに埋め込まれたセキュアエレメント６０は、相互認証部６１、部品証明書６２、相互認証リスト６３、及び秘匿通信部６４を備える。

次に、各部品に組み込まれているセキュアエレメントについて、シフター１０に組み込まれたセキュアエレメント１１を例に挙げて説明する。なお、他のセキュアエレメントも同様であるので、他のセキュアエレメントの説明は省略する。

相互認証部１６は、他の部品に組み込まれているセキュアエレメントと相互認証するための機能を備える。部品証明書１７は、セキュアエレメントが組み込まれている部品の製造情報（ＩＤ等）と、部品個別の公開鍵、公開鍵署名を格納したデータセットである。秘匿通信部１８は、自転車管理サーバ２００とセキュアエレメント１１が秘匿通信を行うための機能を備える。相互認証リスト１９は、相互認証情報を表し、相互認証を行うべき部品と、当該部品に対して相互認証が完了しているか否かを示すフラグ（相互認証フラグ）のリストである。相互認証情報は、相互認証対象と相互認証結果を対応付けた情報である。

セキュアエレメント１１が使用する鍵は、公開鍵（「部品公開鍵」とも称する）、秘密鍵（「部品秘密鍵」とも称する）、秘匿通信鍵、ＣＡ公開鍵である。公開鍵は、相互認証時に署名を検証するための鍵である。公開鍵は、他の部品のセキュアエレメントに配布することで、自身の生成署名を検証させるために用いる。秘密鍵は、相互認証時に署名を生成するための鍵である。秘匿通信鍵は、自転車管理サーバ２００とセキュアエレメントが秘匿通信を行うための鍵である。ＣＡ公開鍵は、公開鍵に署名したＣＡ（Certificate Authority）が公開している鍵であり、公開鍵証明書を用いて配布された公開鍵を検証するための鍵である。本実施例の公開鍵証明書は、部品公開鍵、及び部品情報に対してＣＡが持つＣＡ秘密鍵により署名を行ったデータを含む。これにより、製造元を詐称した不正な部品が偽の公開鍵や部品情報を使用したとしても、ＣＡ秘密鍵の秘密性により当該データが不正であることを検知することができる。

図３は公開鍵のTrustChainの作成手順の一例を示す模式図である。以下、図中の各処理を＃１～＃９として説明する。

＃１（部品情報の生成）：部品工場は、セキュアエレメントを埋め込む対象となる部品名、ＩＤ等の情報を１件分の部品情報として生成する。

＃２（部品情報の提供）：部品工場は、生成した部品情報をセキュアエレメント工場へ提供する。

＃３（部品用鍵ペアの生成）：セキュアエレメント工場は、新たに鍵ペアを生成し、受領した部品情報に対応する鍵ペアとする。

＃４（ＣＳＲの生成）：セキュアエレメント工場は、生成した部品公開鍵、部品情報をまとめ、ＣＳＲ（Certificate Signing Request）としてＣＡに送る。

＃５（ＣＡ秘密鍵による署名生成）：ＣＡは、自身が保持する秘密鍵を用いて、部品公開鍵、部品情報全体に対する署名を生成する。

＃６（署名の返送）：ＣＡは、生成した署名をセキュアエレメント工場へ返送する。

＃７（部品証明書の生成）：セキュアエレメント工場は、部品情報、公開鍵（部品公開鍵）、公開鍵署名を組み合わせて部品証明書を生成する。

＃８（セキュアエレメントへの書き込み）：セキュアエレメント工場は、部品証明書、ＣＡから取得したＣＡ公開鍵、及び部品に対応した部品秘密鍵をセキュアエレメントに書き込む。

＃９（セキュアエレメントの提供）：セキュアエレメント工場は、書き込みが完了したセキュアエレメントを部品工場に提供する。部品工場は、当該セキュアエレメントを部品に組み込む（埋め込む）。

なお、TrustChainの作成手順は、必ずしも図３に例示する順序で実施する必要はない。公開鍵、署名、ＩＤ等の詐称が困難となるように種々の手順を使用することができる。

自転車管理サーバ２００は、部品ＤＢアクセス部２１０、ネットワーク通信部２２０、及び秘匿通信部２３０を備える。ネットワーク通信部２２０は、自転車１００とネットワーク通信を行うための機能を備える。部品ＤＢアクセス部２１０は、自転車部品ＤＢ２５０にアクセスし、鍵の読み出し、更新等を行う機能を備える。秘匿通信部２３０は、秘匿通信鍵を用いて、自転車１００の各部品に組み込まれたセキュアエレメントと秘匿通信路を開設するための機能を備える。

自転車部品ＤＢ２５０は、自転車のフレーム毎に部品のＩＤで完成車の構成をレコード表現する自転車テーブル２５１、各ＩＤに紐づく部品の公開鍵、秘密鍵、秘匿通信鍵を格納している。自転車部品ＤＢ２５０の構成は、図１の例に限定されるものではない。例えば、部品の公開鍵を、部品メーカごと等、分散保持してもよい。

次に、本実施の形態の情報処理システムの処理について説明する。

本実施例では、各部品を組み付けた後、ユーザの指示により部品間で相互認証処理が実行され、実行結果が各セキュアエレメントの相互認証リストに記録されるように構成することができる。相互認証時の部品の組み合わせについては、（１）電動部品－電動部品、（２）電動部品－非電動部品、（３）非電動部品－非電動部品、の３通りのパターンが存在する。電動部品－電動部品の組み合わせは、一方の電動部品から他方の電動部品にコマンドを送信して相互認証する。電動部品－非電動部品の組み合わせは、電動部品から非電動部品にコマンドを送信して相互認証する。非電動部品－非電動部品の組み合わせは、相互認証仲介部１３から、双方の非電動部品にコマンドを送信して相互認証する。以下、各パターンの相互認証処理について説明する。

図４は電動部品間のコマンド授受フローの一例を示す模式図である。以下、図中の各処理を＃１～＃１１として説明する。

＃１（ユーザの相互認証指示）：ユーザは、シフター１０に対して相互認証指示を入力する。ユーザの指示はシフター１０の制御部１２に伝達される。

＃２（シフター１０側のセキュアエレメント１１への相互認証開始指示）：制御部１２は、ユーザの入力をトリガとして、自身のセキュアエレメント１１に対して相互認証コマンドの生成を指示する。

＃３（コマンドの生成）：セキュアエレメント１１は、制御部１２の生成指示を受けて、相互認証を行うコマンドを生成する。このとき、相互認証を必要とする部品を相互認証リスト１９から検索し、認証が完了していない部品に対してコマンドを生成する。図４の例では、バッテリー３０以外の部品に対する認証は完了（符号Ｏで示す）しているものとし、バッテリー３０に対するコマンドを生成するとする。

＃４（制御部１２へのコマンドの送出）：セキュアエレメント１１は、生成したコマンドを制御部１２へ送出する。このとき、コマンドの送信先（ここでは、バッテリー３０）も合わせて制御部１２へ通知する。

＃５（バッテリー３０へのコマンドの送出）：制御部１２は、セキュアエレメント１１が生成したコマンドを、セキュアエレメント１１が特定した送信先へ送信する。ここでは、送信先はバッテリー３０であるので、制御部１２は、コマンドをバッテリー３０へ送信する。バッテリー３０のバッテリー制御部３２は、制御部１２から相互認証コマンドを受信する。

＃６（バッテリー３０側のセキュアエレメント３１へのコマンドの送出）：バッテリー制御部３２は、自身のセキュアエレメント３１に対して、受信した相互認証コマンドを渡す。

＃７（コマンド処理＋レスポンス生成）：バッテリー３０のセキュアエレメント３１は、受信した相互認証コマンドを処理し、レスポンスを生成する。

＃８（レスポンスの出力）：セキュアエレメント３１は、レスポンスをバッテリー制御部３２へ渡す。

＃９（シフター１０へのレスポンスの返送）：バッテリー制御部３２は、受信したレスポンスをシフター１０へ返送する。

＃１０（シフター１０側のセキュアエレメント１１へのレスポンスの返送）：シフター１０の制御部１２は、バッテリー制御部３２から受信したレスポンスをセキュアエレメント１１へ返送する。

＃１１（レスポンスの処理及び次コマンドの生成）：セキュアエレメント１１は、制御部１２から受信したレスポンスを処理する。必要であれば、後続のコマンドを生成し、相互認証処理が完了するまで、コマンド授受を繰り返すことができる。

図５は電動部品－非電動部品間のコマンド授受フローの一例を示す模式図である。電動部品としてディレイラー２０を挙げ、非電動部品として後ホイールを挙げて説明する。以下、図中の各処理を＃１～＃１１として説明する。

＃１（ユーザの相互認証指示）：ユーザは、シフター１０に対して相互認証指示を入力する。ユーザの指示はシフター１０の制御部１２に伝達される。

＃２（ディレイラー２０への相互認証指示）：シフター１０の制御部１２は、ディレイラー２０に対して、ディレイラー２０自身の相互認証を実施するよう指示する。

＃３（ディレイラー制御部２２の指示受信）：ディレイラー制御部２２は、シフター１０から相互認証を実施する旨の指示を受信する。

＃４（ディレイラー２０側のセキュアエレメント２１へのコマンド生成指示）：ディレイラー制御部２２は、自身のセキュアエレメント２１に対して相互認証コマンドの生成を指示する。

＃５（コマンドの生成）：セキュアエレメント２１は、ディレイラー制御部２２の生成指示を受けて、相互認証を行うコマンドを生成する。このとき、相互認証を必要とする部品を相互認証リスト２６から検索し、認証が完了していない部品に対してコマンドを生成する。図５の例では、後ホイール以外の部品に対する認証は完了（符号Ｏで示す）しているものとし、後ホイールに対するコマンドを生成するとする。

＃６（ディレイラー制御部２２へのコマンドの送出）：セキュアエレメント２１は、生成したコマンドをディレイラー制御部２２へ送出する。このとき、コマンドの送信先（ここでは、後ホイール）も合わせてディレイラー制御部２２へ通知する。

＃７（後ホイールのセキュアエレメント５０へのコマンドの送出）：ディレイラー制御部２２は、セキュアエレメント２１が生成したコマンドを、セキュアエレメント２１が特定した送信先へ送信する。ここでは、送信先は後ホイールであるので、ディレイラー制御部２２は、コマンドを後ホイールへ送信する。後ホイールのセキュアエレメント５０は、ディレイラー制御部２２から相互認証コマンドを受信する。

＃８（コマンド処理＋レスポンス生成）：後ホイールのセキュアエレメント５０は、受信した相互認証コマンドを処理し、レスポンスを生成する。

＃９（レスポンスの出力）：後ホイールのセキュアエレメント５０は、レスポンスをディレイラー制御部２２へ渡す。

＃１０（ディレイラー２０側のセキュアエレメント２１へのレスポンスの返送）：ディレイラー制御部２２は、セキュアエレメント５０から受信したレスポンスを自身のセキュアエレメント２１へ返送する。

＃１１（レスポンスの処理及び次コマンドの生成）：セキュアエレメント２１は、ディレイラー制御部２２から受信したレスポンスを処理する。必要であれば、後続のコマンドを生成し、相互認証処理が完了するまで、コマンド授受を繰り返すことができる。

上述のように、非電動部品のセキュアエレメントは、電動部品のセキュアエレメントと異なり、部品の制御部を介さずに直接接続されており、電動部品の制御部が、非電動部品のセキュアエレメントに直接コマンドを授受する形になる。

図６は非電動部品－非電動部品間のコマンド授受フローの一例を示す模式図である。非電動部品間の相互認証においては、非電動部品に内蔵されているセキュアエレメントが能動通信機能を持たないことから、電動部品によるコマンド仲介機能を用いて相互認証を行うことができる。ここでは、シフター１０の相互認証仲介部１３を介して前ホイールとフレームが相互認証する手順を説明する。以下、図中の各処理を＃１～＃１５として説明する。

＃１（ユーザの相互認証指示）：ユーザは、シフター１０に対して相互認証指示を入力する。ユーザの指示はシフター１０の制御部１２に伝達される。

＃２（相互認証仲介部１３へのコマンド生成指示）：シフター１０の制御部１２は、相互認証仲介部１３に対して、非電動部品間の相互認証を仲介するよう指示する。

＃３（相互認証指示コマンドの生成）：相互認証仲介部１３は、相互認証を仲介すべき非電動部品を２つ特定した上で、両部品を相互認証するためのコマンド（相互認証指示コマンド）を生成する。ここでは、非電動部品である前ホイールとフレームを特定した上で、前ホイール→フレームの順にコマンドを送ることを決定し、まず前ホイールに対する相互認証指示コマンドを生成する。

＃４（相互認証指示コマンドの出力）：相互認証仲介部１３は、前ホイールに対する相互認証指示コマンドを、コマンド送信先（前ホイール）とともにシフター１０の制御部１２に渡す。

＃５（セキュアエレメント４０へのコマンドの送出）：シフター１０の制御部１２は、前ホイールのセキュアエレメント４０に対して相互認証指示コマンドを送出する。

＃６（相互認証指示コマンドの処理）：前ホイールのセキュアエレメント４０は、相互認証指示コマンドを受け取ると、当該相互認証指示コマンドを処理し、相互認証仲介部１３又はフレームのセキュアエレメント６０に転送すべきレスポンスを生成する。

＃７（相互認証指示レスポンスの送出）：前ホイールのセキュアエレメント４０は、シフター１０の制御部１２にレスポンスを送出する。

＃８（相互認証仲介部１３への転送）：シフター１０の制御部１２は、相互認証仲介部１３にレスポンスを転送する。

＃９（レスポンスの処理と相互認証指示コマンドの生成）：相互認証仲介部１３は、受信したレスポンスを解析し、レスポンスから得た情報を元に、フレームに対する相互認証指示コマンドを生成する。

＃１０（相互認証指示コマンドの出力）：相互認証仲介部１３は、フレームに対する相互認証指示コマンドを、コマンド送信先（フレーム）とともにシフター１０の制御部１２に渡す。

＃１１（セキュアエレメント６０へのコマンドの送出）：シフター１０の制御部１２は、フレームのセキュアエレメント６０に対して相互認証指示コマンドを送出する。

＃１２（相互認証指示コマンドの処理）：フレームのセキュアエレメント４０は、相互認証指示コマンドを受け取ると、当該相互認証指示コマンドを処理し、相互認証仲介部１３又は前ホイールのセキュアエレメント４０に転送すべきレスポンスを生成する。

＃１３（相互認証指示レスポンスの送出）：フレームのセキュアエレメント６０は、シフター１０の制御部１２にレスポンスを送出する。

＃１４（相互認証仲介部１３への転送）：シフター１０の制御部１２は、相互認証仲介部１３にレスポンスを転送する。

＃１５（レスポンスの処理と相互認証指示コマンドの生成）：相互認証仲介部１３は、受信したレスポンスを解析する。後続のコマンドが必要な場合は、再度前ホイールに対する相互認証指示コマンドを生成し、相互認証が完了するまで処理を繰り返すことができる。

相互認証仲介部１３が、相互認証を仲介する際の部品の特定や順序については適宜決定することができる。例えば、（１）自身のセキュアエレメントや、他の部品内のセキュアエレメントの相互認証リストを参照し、（２）各相互認証リストの突き合わせを行った上で、相互認証が必要な部品のペアをリストにし、（３）当該リストの上から順番に相互認証を実施する等、種々の応用が考えられる。

図４～図６に示したフローに基づけば、電動部品、非電動部品の組み合わせに関係なく、自転車１００の各部品内のセキュアエレメント間でコマンドの授受と情報交換を行うことが可能である。

相互認証で用いる具体的な暗号アルゴリズム等は、適宜決定して用いることができるが、本実施例では、部品公開鍵、証明書、秘密鍵、及びＣＡ公開鍵による非対称鍵を用いた相互認証を例として挙げて説明する。以下では、コマンドの授受に基づいて相互認証を行うための方法を説明する。

図７は電動部品主導でコマンドを授受する場合の相互認証のフローの一例を示す模式図である。ここでは、電動部品－電動部品の間、あるいは電動部品－非電動部品の間のように電動部品主導でコマンドを授受する場合の処理について説明する。電動部品としてディレイラー２０を挙げ、非電動部品として後ホイールを挙げて説明する。以下、図中の各処理を＃１～＃１５として説明する。

＃１（ディレイラー制御部２２からのコマンド生成指示）：ディレイラー制御部２２は、ディレイラー２０側のセキュアエレメント２１に、相互認証コマンドの生成を指示する。

＃２（署名対象データ列の生成）：ディレイラー２０のセキュアエレメント２１は、相互認証コマンドの生成指示を受けると、署名対象データとして、ディレイラー２０のＩＤと自身が生成した乱数を連結したデータ列を用意する。

＃３（秘密鍵による署名）：セキュアエレメント２１は、自身の秘密鍵を用いて、署名対象データに対する署名を生成する。

＃４（コマンド送信データの生成）：セキュアエレメント２１は、ＩＤ、乱数、署名に加え、自身の部品公開鍵と公開鍵署名を連結し、コマンド送信データを生成する。

＃５（コマンドの送信）：セキュアエレメント２１は、ディレイラー制御部２２を介してコマンドを後ホイール側のセキュアエレメント５０に送信する。

＃６（ＣＡ公開鍵による部品公開鍵署名検証）：後ホイールのセキュアエレメント５０は、コマンドを受信すると、自身が保持するＣＡ公開鍵を用いて、コマンド内の部品公開鍵の署名検証を行う。署名検証に失敗した場合、コマンド内の部品公開鍵は信頼できないため、相互認証リスト５３内のＩＤで指定された部品の相互認証フラグを未認証（符号×で表す）に更新して、ここで処理を終了する。

＃７（部品公開鍵による署名検証）：後ホイールのセキュアエレメント５０は、署名検証に成功した部品公開鍵を用いて、コマンドデータ（ＩＤ＋乱数）に対する署名検証を行う。署名検証に失敗した場合、コマンドに改ざんの可能性があるため、相互認証リスト５３内のＩＤで指定された部品の相互認証フラグを未認証（符号×で表す）に更新して、ここで処理を終了する。

＃８（相互認証リスト５３の相互認証フラグ更新）：後ホイールのセキュアエレメント５０は、処理＃６及び＃７の両署名検証に成功した場合、自身の相互認証リスト５３を検索し、コマンドで指定されたＩＤの部品の相互認証フラグを更新する。ここでは、ディレイラー２０の相互認証フラグを認証完了として更新する（符号×→Ｏで表す）。なお、指定されたＩＤが見つからない場合、当該コマンドは相互認証リストに含まれない部品のものであるため、相互認証フラグを更新せず、ここで処理を終了する。

＃９（署名対象データ列の生成）：後ホイールのセキュアエレメント５０は、署名対象データとして、後ホイールのＩＤと自身が生成した乱数を連結したデータ列を用意する。

＃１０（秘密鍵による署名）：セキュアエレメント５０は、自身の秘密鍵を用いて、署名対象データに対する署名を生成する。

＃１１（レスポンス返送データの生成）：セキュアエレメント５０は、ＩＤ、乱数、署名に加え、自身の部品公開鍵と公開鍵署名を連結し、レスポンス返送データを生成する。

＃１２（レスポンスの送信）：セキュアエレメント５０は、ディレイラー制御部２２を介してレスポンスをディレイラー２０のセキュアエレメント２１に送信する。

＃１３（ＣＡ公開鍵による部品公開鍵署名検証）：ディレイラー２０のセキュアエレメント２１は、レスポンスを受信すると、自身が保持するＣＡ公開鍵を用いて、レスポンス内の部品公開鍵の署名検証を行う。署名検証に失敗した場合、レスポンス内の部品公開鍵は信頼できないため、相互認証リスト２６内のＩＤで指定された部品の相互認証フラグを未認証（符号×で表す）に更新して、ここで処理を終了する。

＃１４（部品公開鍵による署名検証）：ディレイラー２０のセキュアエレメント２１は、署名検証に成功した部品公開鍵を用いて、レスポンスデータ（ＩＤ＋乱数）に対する署名検証を行う。署名検証に失敗した場合、レスポンスに改ざんの可能性があるため、相互認証リスト２６内のＩＤで指定された部品の相互認証フラグを未認証（符号×で表す）に更新して、ここで処理を終了する。

＃１５（相互認証リスト２６の相互認証フラグ更新）：ディレイラー２０のセキュアエレメント２１は、処理＃１３及び＃１４の両署名検証に成功した場合、自身の相互認証リスト２６を検索し、レスポンスで指定されたＩＤの部品の相互認証フラグを更新する。ここでは、後ホイールの相互認証フラグを認証完了として更新する（符号×→Ｏで表す）。なお、指定されたＩＤが見つからない場合、当該レスポンスは相互認証リストに含まれない部品のものであるため、相互認証フラグを更新せず、ここで処理を終了する。

図８は非電動部品間でコマンドを授受する場合の相互認証のフローの一例を示す模式図である。ここでは、非電動部品として、前ホイールとフレームを例に挙げて説明する。以下、図中の各処理を＃１～＃２６として説明する。

＃１（シフター１０の制御部１２からのコマンド生成指示）：シフター１０の制御部１２は、相互認証仲介部１３に、相互認証コマンドの生成を指示する。

＃２（コマンドの生成）：相互認証仲介部１３は、相互認証を行う部品を選択し、相互認証用コマンドを生成する。ここでは、前ホイールとフレーム間の認証を仲介することとし、前ホイールに対して送る相互認証コマンドを生成する。

＃３（コマンドの返送）：相互認証仲介部１３は、シフター１０の制御部１２に対し、コマンド送信先（前ホイール）とコマンドを返送する。

＃４（セキュアエレメント４０へのコマンドの送信）：シフター１０の制御部１２は、前ホイール側のセキュアエレメント４０にコマンドを送信する。

＃５（署名対象データ列の生成）：前ホイールのセキュアエレメント４０は、署名対象データとして、前ホイールのＩＤと自身が生成した乱数を連結したデータ列を用意する。

＃６（秘密鍵による署名）：セキュアエレメント４０は、自身の秘密鍵を用いて、署名対象データに対する署名を生成する。

＃７（レスポンス送信データの生成）：セキュアエレメント４０は、ＩＤ、乱数、署名に加え、自身の部品公開鍵と公開鍵署名を連結し、レスポンス送信データを生成する。

＃８（レスポンスの送信）：セキュアエレメント４０は、シフター１０の制御部１２にレスポンスを送信する。

＃９（相互認証仲介部１３への返送）：シフター１０の制御部１２は、相互認証仲介部１３にレスポンスを返送する。

＃１０（レスポンスの処理とコマンドの生成）：相互認証仲介部１３は、受信したレスポンスを解析するとともに、当該レスポンスのデータを、フレームに送るコマンドのコマンドデータとして設定してコマンドを生成する。

＃１１（コマンドの返送）：相互認証仲介部１３は、シフター１０の制御部１２に対し、コマンド送信先（ここでは、フレーム）とコマンドを返送する。

＃１２（セキュアエレメント４０へのコマンドの送信）：シフター１０の制御部１２は、フレームのセキュアエレメント６０にコマンドを送信する。

＃１３（ＣＡ公開鍵による部品公開鍵署名検証）：フレームのセキュアエレメント６０は、コマンドを受信すると、自身が保持するＣＡ公開鍵を用いて、コマンド内の部品公開鍵の署名検証を行う。署名検証に失敗した場合、コマンド内の部品公開鍵は信頼できないため、相互認証リスト６３内のＩＤで指定された部品の相互認証フラグを未認証（符号×で表す）に更新して、ここで処理を終了する。

＃１４（部品公開鍵による署名検証）：セキュアエレメント６０は、署名検証に成功した部品公開鍵を用いて、コマンドデータ（ＩＤ＋乱数）に対する署名検証を行う。署名検証に失敗した場合、コマンドに改ざんの可能性があるため、相互認証リスト６３内のＩＤで指定された部品の相互認証フラグを未認証（符号×で表す）に更新して、ここで処理を終了する。

＃１５（相互認証リスト６３の相互認証フラグ更新）：セキュアエレメント６０は、処理＃１３及び＃１４の両署名検証に成功した場合、自身の相互認証リスト６３を検索し、コマンドで指定されたＩＤの部品の相互認証フラグを更新する。ここでは、前ホイールの相互認証フラグを認証完了として更新する（符号×→Ｏで表す）。なお、指定されたＩＤが見つからない場合、当該コマンドは相互認証リストに含まれない部品のものであるため、相互認証フラグを更新せず、ここで処理を終了する。

＃１６（署名対象データ列の生成）：セキュアエレメント６０は、署名対象データとして、フレームのＩＤと自身が生成した乱数を連結したデータ列を用意する。

＃１７（秘密鍵による署名）：セキュアエレメント６０は、自身の秘密鍵を用いて、署名対象データに対する署名を生成する。

＃１８（レスポンス送信データの生成）：セキュアエレメント６０は、ＩＤ、乱数、署名に加え、自身の部品公開鍵と公開鍵署名を連結し、レスポンス送信データを生成する。

＃１９（レスポンスの送信）：セキュアエレメント６０は、シフター１０の制御部１２にレスポンスを送信する。

＃２０（相互認証仲介部１３への返送）：シフター１０の制御部１２は、相互認証仲介部１３にレスポンスを返送する。

＃２１（レスポンスの処理とコマンドの生成）：相互認証仲介部１３は、受信したレスポンスを解析するとともに、当該レスポンスのデータを、前ホイールに送るコマンドのコマンドデータとして設定してコマンドを生成する。

＃２２（コマンドの返送）：相互認証仲介部１３は、シフター１０の制御部１２に対し、コマンド送信先（ここでは、前ホイール）とコマンドを返送する。

＃２３（セキュアエレメント４０へのコマンドの送信）：シフター１０の制御部１２は、前ホイールのセキュアエレメント４０にコマンドを送信する。

＃２４（ＣＡ公開鍵による部品公開鍵署名検証）：前ホイールのセキュアエレメント４０は、コマンドを受信すると、自身が保持するＣＡ公開鍵を用いて、コマンド内の部品公開鍵の署名検証を行う。署名検証に失敗した場合、コマンド内の部品公開鍵は信頼できないため、相互認証リスト４３内のＩＤで指定された部品の相互認証フラグを未認証（符号×で表す）に更新して、ここで処理を終了する。

＃２５（部品公開鍵による署名検証）：セキュアエレメント４０は、署名検証に成功した部品公開鍵を用いて、コマンドデータ（ＩＤ＋乱数）に対する署名検証を行う。署名検証に失敗した場合、コマンドに改ざんの可能性があるため、相互認証リスト４３内のＩＤで指定された部品の相互認証フラグを未認証（符号×で表す）に更新して、ここで処理を終了する。

＃２６（相互認証リスト４３の相互認証フラグ更新）：セキュアエレメント４０は、処理＃２４及び＃２５の両署名検証に成功した場合、自身の相互認証リスト４３を検索し、コマンドで指定されたＩＤの部品の相互認証フラグを更新する。ここでは、フレームの相互認証フラグを認証完了として更新する（符号×→Ｏで表す）。なお、指定されたＩＤが見つからない場合、当該コマンドは相互認証リストに含まれない部品のものであるため、相互認証フラグを更新せず、ここで処理を終了する。

上述のように、セキュアコンポーネントは、車両に用いられる他の部品に搭載される他のセキュアコンポーネントとの間で情報の送受信を行う通信部を介して他のセキュアコンポーネントと相互認証を行い、相互認証情報を記憶する。セキュアコンポーネントを搭載する部品間でセキュアコンポーネントによる相互認証を行うので、各部品が予め定められた適切な組み合わせで、通信部を経由して接続されているかを検証することができ、車両に用いられる部品に盗品等が混入することを防止することができ、部品を有効に保護することができる。

また、セキュアコンポーネントは、他のセキュアコンポーネントが相互認証用の秘密鍵で暗号化した演算結果を受信し、受信した演算結果を相互認証用の公開鍵で復号した復号結果に基づいて相互認証を行う。各セキュアコンポーネントは、個別の公開鍵と秘密鍵を保持している。これにより、部品間で片側認証ではなく相互認証を実現できる。

また、セキュアコンポーネントは、車両に用いられる所定の部品に搭載される所定のセキュアコンポーネントとの相互認証情報を記憶し、所定のセキュアコンポーネントとの相互認証が完了している場合、自身が搭載される部品の動作許可を出力する。例えば、部品Ａのセキュアコンポーネントに記憶した相互認証情報が、１又は複数の所定の部品との相互認証が完了している場合、当該部品Ａの動作を許可し、相互認証が完了していない場合（失敗時）には、当該部品Ａの動作を許可しない。これにより、盗品等を組み合わせた不適切な構成の車両を動作させないことで、盗品の部品としての実効性を喪失させ、間接的に盗難を抑制することができる。

電動部品主導でコマンドを授受して相互認証を行う場合、一方のセキュアエレメントがコマンドを生成し、他方のセキュアエレメントが生成されたコマンドに応答してレスポンスを返送する形式になっていたが、非電動部品間の相互認証を、相互認証仲介部１３経由で行う場合は、相互認証仲介部１３が各セキュアエレメントに対するコマンドを個別に生成し、生成したコマンドを用いて両セキュアエレメントの情報交換を促す形式となっている。

図９は相互認証完了時の部品動作制御のフローの一例を示す模式図である。各部品の相互認証が完了した場合、電動部品に関しては、例えば、動作開始時にセキュアエレメントに対して動作可否を問い合わせ、セキュアエレメントより動作が許可された場合にのみ動作するように回路や機能を構成することができる。以下、シフター１０を例として説明する。また、図中の各処理を＃１～＃４として説明する。

＃１（動作可否の問い合わせ）：シフター１０の制御部１２は、セキュアエレメント１１に対し、自身の動作可否について問い合わせを行う。問い合わせは、例えば、所定のコマンドを送信すればよい。

＃２（相互認証リスト１９の確認）：セキュアエレメント１１は、相互認証リスト１９を確認し、自身が相互認証を行うべき全ての部品に対して相互認証が完了していることを確認する。ここでは、相互認証リスト１９には、シフター１０以外の部品として、フレーム、ディレイラー２０、前ホイール、後ホイール、及びバッテリー３０がリストアップされているので、相互認証を行うべき部品は、フレーム、ディレイラー２０、前ホイール、後ホイール、及びバッテリー３０となる。なお、使用の態様に応じては、相互認証リストにリストアップされている全部品ではなく、一部の部品を相互認証すべき部品であると動的に設定してもよい。

＃３（動作可否の返信）：セキュアエレメント１１は、相互認証リスト１９内の全ての部品に対する相互認証が完了している場合、動作可として、レスポンスの返送を行う。一部、または全部の部品に対する認証が完了していない（未認証）場合、動作不可として、レスポンスの返送を行う。

＃４（動作開始）：制御部１２は、動作可の返信を受けた場合のみ、自身の機能を動作するように制御する。

非電動部品に対しては、部品単独で動作可否を制御するのが難しい場合もあるが、動作開始時のユーザ入力に応じ、電動部品から給電して物理的なロックを解除する等のメカニズムを用いてもよく、あるいは非電動部品の機能と密接に関連する、あるいは連動するような電動部品を代替的に制御する構成でもよい。

前述のような部品動作制御のメカニズムが自転車に適用されると、盗難者が自転車の一部の部品を詐取して販売したとしても、他の部品と組み合わせて（盗難された部品が混入した状態で）利用することができず、部品レベルでの盗難を抑止することができる。

一方で、自転車の所有者自身の意志で部品を交換したい場合や、整備士等による正規の手段で部品を交換するケースも当然想定される。このようなユースケースを経ても自転車が正常に動作できる必要がある。以下では、このようなケースに対応するための機能について説明する。

図１０は秘匿通信路による相互認証リストの更新のフローの一例を示す模式図である。以下、一例として、正規の手段でフレームを交換した場合について説明する。また、図中の各処理を＃１～＃１２として説明する。

＃１（部品の交換）：ユーザ（自転車の所有者、整備士など）は、自転車の部品を新しい部品に交換する。ここでは、Ｂ社のフレームＥをＦ社のフレームＶに交換する。

＃２（自転車部品ＤＢ２５０の更新）：ユーザは、自転車管理サーバ２００の管理者に連絡し、自転車部品ＤＢ２５０の内容の更新を依頼する。管理者は依頼を受けて自転車部品ＤＢ２５０を更新する。ここでは、当該自転車１００の自転車テーブル２５１内の車体ＩＤを、Ｂ社フレームＥのＩＤ：２４６２４６からＦ社フレームＶのＩＤ：１４７１４７に更新するとともに、対応する鍵ペア等（公開鍵、公開鍵署名、秘密鍵、秘匿通信鍵）も更新される。

＃３（相互認証リストの更新指示）：ユーザは、入力Ｉ／Ｆから、部品交換に伴う相互認証リストの更新指示をシフター１０に入力する。

＃４（制御部１２への通知）：入力Ｉ／Ｆは、相互認証リストの更新指示を制御部１２に通知する。

＃５（相互認証リスト更新対象の調査）：制御部１２は、相互認証リストの更新対象となる部品を、自身に内蔵されたセキュアエレメント１１から取得する。

＃６（相互認証リスト更新依頼）：制御部１２は、ネットワーク通信部１４を介して、自転車管理サーバ２００に対して相互認証リストの更新依頼を送信する。このとき、相互認証リストの更新対象となる部品リストも合わせて送信する。

＃７（更新対象部品の秘匿通信鍵取得）：自転車管理サーバ２００は、相互認証リストの更新対象となる部品リストを参照し、当該部品リストの部品のうち、交換された部品以外の部品について、一つずつ秘匿通信路を開設して更新する。ここでは、まず、シフター１０の相互認証リスト１９を更新することとし、シフター１０の秘匿通信鍵を取得する。

＃８（秘匿通信路の開設指示）：自転車管理サーバ２００は、秘匿通信部２３０に対し、部品の秘匿通信鍵を渡し、秘匿通信路の開設を指示する。

＃９（更新対象部品との秘匿通信路開設）：自転車管理サーバ２００の秘匿通信部２３０は、シフター１０の秘匿通信鍵を用いて、シフター１０内部のセキュアエレメント１１内の秘匿通信部１８と秘匿通信路を開設する（これにより、自転車管理サーバ２００、シフター１０のネットワーク通信部１４、制御部１２を経由して通信する）。

＃１０（相互認証リストの更新）：自転車管理サーバ２００は、開設された秘匿通信路経由で、セキュアエレメント１１の相互認証リスト１９にアクセスし、交換された部品の部品ＩＤを更新する。ここでは、フレームが交換されているため、部品種別がフレームの部品ＩＤが、２４６２４６から１４７１４７に更新する。

＃１１（他の部品の相互認証リストの更新）：以降、残りの部品について、自転車１００内の通信路を介し、処理＃６～＃９を繰り返して相互認証リスト２６、３７、４３、５３を更新する。ここでは、交換されたフレームと、前述の処理で更新済みのシフター１０以外の部品について、自転車管理サーバ２００と各セキュアエレメント間で個別の秘匿通信路を開設し、同様にフレームの部品ＩＤを更新する。

＃１２（交換した部品の相互認証リストの書き込み）：最後に、自転車管理サーバ２００は、交換した部品（フレーム）と秘匿通信路を開設し、当該部品が相互認証を行うべき部品をリスト化した相互認証リスト６３を書き込む。

図１１はシフター１０以外の部品の更新後の相互認証リストの一例を示す模式図である。図に示すように、ディレイラー２０のセキュアエレメント２１、バッテリー３０のセキュアエレメント３１、前ホイールのセキュアエレメント４０、後ホイールのセキュアエレメント５０それぞれの相互認証リスト２６、３７、４３、５３内の部品種別がフレームの部品ＩＤが、２４６２４６から１４７１４７に更新されている。また、新しく交換されたフレームのセキュアエレメント６０に相互認証リスト６３が書き込まれている。

自動車部品ＤＢ２５０の更新手段については、ユーザの正当性を確認できる手段であれば、どのような方式を用いてもよい。例えば、電話で連絡する、ＷｅｂＩ／Ｆで更新フォームを提出する等、種々の方法を用いることができる。

上述のような、相互認証リストの運用を行うことで、部品単位における盗難リスクを抑止することができる。以下では、自転車がそのまま盗難された場合の対応策について説明する。これにより、部品の盗難のみならず完成車の盗難リスクも抑止することができる。

図１２は秘匿通信機能による機能停止のフローの一例を示す模式図である。以下では、図中の各処理を＃１～＃８として説明する。

＃１（管理者への連絡）：ユーザは、自転車管理サーバ２００の管理者に対して、自転車（完成車）が盗難された旨を連絡する。

＃２（秘匿通信鍵取得指示）：管理者は、自転車管理サーバ２００に対し、自転車部品ＤＢ２５０から対応する自転車の秘匿通信鍵を取得するように指示する。

＃３（秘匿通信鍵の取得）：自転車管理サーバ２００の部品ＤＢアクセス部２１０は、自転車部品ＤＢ２５０から対応する自転車の秘匿通信鍵を取得する。

＃４（秘匿通信路の開設指示）：管理者は、自転車管理サーバ２００に対し、秘匿通信路の開設を指示する。ここでは、まず、シフター１０との秘匿通信路の開設を指示する。

＃５（秘匿通信路の開設）：自転車管理サーバ２００は、自転車１００のシフター１０内のセキュアエレメント１１に対してネットワーク経由で秘匿通信路を開設する。

＃６（相互認証フラグの無効化）：自転車管理サーバ２００は、秘匿通信路を介して、シフター１０内のセキュアエレメント１１内の相互認証リスト１９について、全ての部品の相互認証フラグを未認証（符号×で表す）に更新する。

＃７（相互認証のブロック）：自転車管理サーバ２００は、秘匿通信路を介して、セキュアエレメント１１の相互認証機能が常時失敗するように、内部状態を変更する。ここでは、相互認証に用いる鍵ペアを無効な値に更新することで相互認証に失敗するようにする。

＃８（他のセキュアエレメントに対する無効化）：以降、自転車管理サーバ２００は、他のセキュアエレメントに対しても秘匿通信路を介して、相互認証フラグの無効化と、相互認証に用いる鍵ペアを無効な値に更新することで相互認証処理のブロックを行う。

図１３はシフター１０以外の部品内のセキュアエレメントの無効化の一例を示す模式図である。図に示すように、ディレイラー２０のセキュアエレメント２１、バッテリー３０のセキュアエレメント３１、前ホイールのセキュアエレメント４０、後ホイールのセキュアエレメント５０それぞれの相互認証リスト２６、３７、４３、５３内の全ての部品の相互認証フラグが未認証（符号×で表す）に更新されている。また、相互認証に用いる鍵ペアが無効な値に更新されている。

相互認証のブロックについては、盗難車において相互認証が成功しないようにセキュアエレメントの内部状態を変更すればよい。本実施例では、鍵ペアの無効化を行っているが、別途内部状態をセキュアエレメント内に持ち、当該内部状態の変更によって相互認証が常時失敗するように構成してもよい。

自転車の場合、常時通電されているとは限らない。例えば、通電の瞬間にネットワーク通信を強制的に実施して、自転車管理サーバ２００からの通知を強制受信してもよく、あるいは、動作中に一定間隔でネットワーク通信を行ってもよい。このように構成すれば、盗難者の意志に関係なく自転車の機能を停止させることができる。

また、盗難車といえども突然機能を停止させた場合、交通事故の原因となる等、重篤な影響をもたらす恐れがあるため、一定時間停車したことを判定した上で自転車の機能を無効化してもよい。これにより、交通に配慮した自転車を実現できる。

一方で自転車が盗難された場合でも、自転車の機能を停止させることが適切ではない状況も存在する。例えば、衆人環視の状態で盗難リスクが少なく、機能の停止を極力回避したい場合（例えば、自転車レースなど）、緊急時や急用等の理由で、盗難された自転車（認証されていない自転車）であっても使用を継続したい場合（例えば、速やかに移動したい場合など）等が含まれる。このように、盗難リスクが低い、または許容を余儀なくされる場合、自転車の部品間の相互認証機能を一時的に無効化する（相互認証処理が不要）ことができる。以下、この点について説明する。

図１４は秘匿通信路経由の場合の一時的な相互認証の無効化のフローの一例を示す模式図である。以下では、図中の各処理を＃１～＃７として説明する。

＃１（管理者への連絡）：ユーザは、自転車管理サーバ２００の管理者に対して、一時的に相互認証機能を無効化するよう依頼する。

＃２（秘匿通信鍵取得指示）：管理者は、自転車管理サーバ２００に対し、自転車部品ＤＢ２５０から対応する自転車の秘匿通信鍵を取得するように指示する。

＃３（秘匿通信鍵の取得）：自転車管理サーバ２００の部品ＤＢアクセス部２１０は、自転車部品ＤＢ２５０から対応する自転車の秘匿通信鍵を取得する。

＃４（秘匿通信路の開設指示）：管理者は、自転車管理サーバ２００に対し、秘匿通信路の開設を指示する。ここでは、まず、シフター１０との秘匿通信路の開設を指示する。

＃５（秘匿通信路の開設）：自転車管理サーバ２００は、自転車１００のシフター１０内のセキュアエレメント１１に対してネットワーク経由で秘匿通信路を開設する。

＃６（相互認証リストの削除）：自転車管理サーバ２００は、秘匿通信路を介して、シフター１０内の相互認証リスト１９の各部品指定を削除する。図では便宜上、部品名に取消線を付加している。

＃７（他のセキュアエレメントの相互認証リストの削除）：以降、自転車管理サーバ２００は、他のセキュアエレメントに対しても同様に相互認証リストの各部品指定を削除する。

図１５はシフター１０以外の部品内のセキュアエレメントの一時的な相互認証の無効化の一例を示す模式図である。図に示すように、ディレイラー２０のセキュアエレメント２１、バッテリー３０のセキュアエレメント３１、前ホイールのセキュアエレメント４０、後ホイールのセキュアエレメント５０それぞれの相互認証リスト２６、３７、４３、５３内の各部品指定が削除されている。図では便宜上、部品名に取消線を付加している。

ここで、相互認証リストが空の場合、各セキュアエレメントの相互認証部１６、２４、３４、４１、５１、６１は、相互認証処理を行わずに部品の動作を可能にする。これにより、例えば、自転車レースの実施に当たっては、レース開始前に自転車の各部品の相互認証リストを空にし、レース終了後に再度相互認証リストの中身を書き込む（部品指定する）ことにより、レース中の部品交換等にも対応可能となる。一方で、緊急時の場合など、自転車管理サーバ２００から秘匿通信路の開設ができない場合には、例えば、自転車の入力Ｉ／Ｆに緊急ボタン等を設けておき、緊急ボタンを操作することで一時的に動作可能にすることができる。以下、この点について説明する。

図１６は入力Ｉ／Ｆ経由の場合の一時的な相互認証の無効化のフローの一例を示す模式図である。以下では、図中の各処理を＃１～＃５として説明する。

＃１（一時的な相互認証無効化の指示）：ユーザは、自転車１００の入力Ｉ／Ｆから、一時的な相互認証無効化を指示する。

＃２（制御部１２への通知）：自転車１００の入力Ｉ／Ｆは、相互認証無効化の指示をシフター１０の制御部１２へ通知する。

＃３（セキュアエレメントへの相互認証無効化の指示）：制御部１２は、自身のセキュアエレメント１１に一時的な相互認証無効化を指示する。

＃４（相互認証リストの削除）：セキュアエレメント１１は、相互認証リスト１９の各部品指定を削除する。図では便宜上、部品名に取消線を付加している。

＃５（他のセキュアエレメントの相互認証リストの削除）：以降、制御部１２は、他のセキュアエレメントに対しても同様に相互認証リストの各部品指定を削除する。

図１７はシフター１０以外の部品内のセキュアエレメントの一時的な相互認証の無効化の一例を示す模式図である。図に示すように、ディレイラー２０のセキュアエレメント２１、バッテリー３０のセキュアエレメント３１、前ホイールのセキュアエレメント４０、後ホイールのセキュアエレメント５０それぞれの相互認証リスト２６、３７、４３、５３内の各部品指定が削除されている。図では便宜上、部品名に取消線を付加している。

一時的に相互認証を無効化する機能は、自転車盗難防止機能の効果を弱めるので、実際の適用に当たっては、無効化の回数を一定回数に制限するなど、盗難リスクと緊急利用時の自転車の機能停止のリスクのトレードオフを考慮した構成とすることが望ましい。

なお、自転車の各部品にＩＣタグを付与して、自転車本体と部品とを一義的に識別する方法も考えられるが、自転車本体と部品とを紐付けるだけでは、部品のトレーサビリティを確保することができても、盗難車や盗難部品を入手した第三者は、何の問題もなく盗品を使い続けることができ、盗難に対して有効な抑止とはならない。一方で本実施の形態によれば、相互認証がされていない部品（未認証の部品）が存在する場合、自転車の機能が停止され、動作不可となるので、盗難に対して有効な抑止となる。

本実施例では、車両の例として自転車を挙げて説明したが、自転車の部品は上述の例の部品に限定されるものではなく、他の部品も同様に適用することができる。また、車両は自転車に限定されるものではなく、自動二輪車（オートバイ）や自動車にも適用することができる。自動二輪車の場合、部品としては、例えば、ホイール、マフラー、灯火類、ハンドル、フレーム、バッテリー、シート等の外装部品などを含む。自動車の場合には、ホイール、バッテリー、充電器、ステアリング、車載カメラなどを含む。

図１８は本実施の形態の管理システムの構成の一例を示す模式図である。以下では、車両の例として自動車の場合について説明するが、自動車に限定されなくてもよい。管理システムは、車両・車両部品管理サーバ３００、複数の車両４００を備える。なお、図では３台の車両を図示しているが、車両の台数は３台に限定されるものではなく。各車両４００には、それぞれにセキュアエレメントを搭載した車両部品４１０、４２０、４３０、４４０が搭載されている。なお、図では、便宜上４個の車両部品を図示しているが、車両部品の数は４個に限定されない。また、車両部品４１０～４４０は、各車両４００で同一の部品である必要はない。車両の車種等に応じて車両部品が異なっていてもよい。車両・車両部品管理サーバ３００と、各車両部品に搭載されたセキュアエレメントとの間は秘匿通信路を開設することができる。

車両・車両部品管理サーバ３００は、車両部品ＤＢアクセス部３１０、ネットワーク通信部３２０、及び秘匿通信部３３０を備える。車両部品ＤＢアクセス部３１０、ネットワーク通信部３２０、及び秘匿通信部３３０は、それぞれ自転車管理サーバ２００の部品ＤＢアクセス部２１０、ネットワーク通信部２２０、及び秘匿通信部２３０と同様の機能を備えるものであり、詳細な説明は省略する。

各車両４００の車両部品４１０～４４０は、上述の情報処理システムの場合と同様に、セキュアコンポーネントによる相互認証、車両部品の機能の作動又は停止を行うことができる。すなわち、車両・車両部品管理サーバ３００は、秘匿通信路を介して、セキュアコンポーネントによる相互認証、車両部品の機能の作動又は停止、相互認証の一時的無効化又は有効化、相互認証に用いる鍵や証明書等の更新などの包括的な管理を行うことができる。これにより、車両に用いられる車両部品に盗品等が混入することを防止することができ、車両部品を有効に保護することができる。

近年、自動車業界を始めとして、モビリティ技術の発展に大きな関心が集まっている。モビリティとは、自動車に限らず、公共交通も含めた移動全般に関わるアクティビティを指すが、特にＭａａＳ（Mobility as a Service）と称される概念が注目されている。ＭａａＳは、ＩＣＴ（Information and Communication Technology）を利用して交通をクラウド化し、全ての交通手段によるモビリティを一つのサービスと捉え、シームレスに繋ぐことを特徴としている。社会にＭａａＳの概念が浸透していくと、例えば、自動運転による自動車の配車、交通手段の最適化、様々な交通手段（自動車、バス、電車、二輪車など）に関する移動情報をビッグデータとして利用するような新たなサービスが創設され、これらの移動手段に用いられる部品（車両部品）の重要性が益々高まることが予想される。本実施の形態によれば、このような新しいサービスに対して、有用な管理システム又は管理方法を提供することができる。

本実施の形態のセキュアコンポーネントは、車両に用いられる車両部品に搭載されるセキュアコンポーネントであって、前記車両に用いられる他の車両部品に搭載される他のセキュアコンポーネントとの間で情報の送受信を行う通信部と、前記通信部を介して前記他のセキュアコンポーネントと相互認証を行う認証部と、相互認証対象と前記認証部による相互認証結果を対応付けた相互認証情報を記憶する第１記憶部とを備える。

本実施の形態のコンピュータプログラムは、コンピュータに、車両に用いられる車両部品に搭載されるセキュアコンポーネントとの間で情報の送受信を行い、前記セキュアコンポーネントと相互認証を行い、相互認証対象と相互認証結果を対応付けた相互認証情報を記憶する、処理を実行させる。

本実施の形態の情報処理方法は、車両に用いられる複数の車両部品それぞれに搭載されるセキュアコンポーネントの間で相互認証を行い、各セキュアコンポーネントは、相互認証対象と相互認証結果を対応付けた相互認証情報を記憶する。

セキュアコンポーネントは、車両に用いられる他の車両部品に搭載される他のセキュアコンポーネントとの間で情報の送受信を行う通信部を介して他のセキュアコンポーネントと相互認証を行い、相互認証対象と相互認証結果を対応付けた相互認証情報を記憶する。相互認証対象は、セキュアコンポーネント又はセキュアコンポーネントを搭載する車両部品である。セキュアコンポーネントを搭載する車両部品間でセキュアコンポーネントによる相互認証を行うので、各車両部品が予め定められた適切な組み合わせで、通信部を経由して接続されているかを検証することができ、車両に用いられる車両部品に盗品等が混入することを防止することができ、車両部品を有効に保護することができる。

本実施の形態のセキュアコンポーネントにおいて、前記通信部は、前記他のセキュアコンポーネントが相互認証用の秘密鍵で暗号化した演算結果を受信し、前記認証部は、前記演算結果を相互認証用の公開鍵で復号した復号結果に基づいて相互認証を行う。

セキュアコンポーネントは、他のセキュアコンポーネントが相互認証用の秘密鍵で暗号化した演算結果を受信し、受信した演算結果を相互認証用の公開鍵で復号した復号結果に基づいて相互認証を行う。各セキュアコンポーネントは、個別の公開鍵と秘密鍵を保持している。これにより、車両部品間で片側認証ではなく相互認証を実現できる。

本実施の形態のセキュアコンポーネントにおいて、前記第１記憶部は、前記車両に用いられる所定の車両部品に搭載される所定のセキュアコンポーネントとの相互認証情報を記憶し、前記所定のセキュアコンポーネントとの相互認証が完了している場合、自身が搭載される車両部品の動作許可を出力する出力部を備える。

セキュアコンポーネントは、車両に用いられる所定の車両部品に搭載される所定のセキュアコンポーネントとの相互認証情報を記憶し、所定のセキュアコンポーネントとの相互認証が完了している場合、自身が搭載される車両部品の動作許可を出力する。例えば、車両部品Ａのセキュアコンポーネントに記憶した相互認証情報が、１又は複数の所定の車両部品との相互認証が完了している場合、当該車両部品Ａの動作を許可し、相互認証が完了していない場合（失敗時）には、当該車両部品Ａの動作を許可しない。これにより、盗品等を組み合わせた不適切な構成の車両を動作させないことで、盗品の車両部品としての実効性を喪失させ、間接的に盗難を抑制することができる。

本実施の形態のセキュアコンポーネントは、外部サーバとの間で開設された秘匿通信路を介して、前記第１記憶部に記憶した相互認証情報を更新可能とする。

セキュアコンポーネントは、外部サーバとの間で開設された秘匿通信路を介して、記憶した相互認証情報を更新可能とする。例えば、正規の手段で車両部品を交換した場合、当該車両部品に対応させた相互認証情報に更新することができるようにする。これにより、整備士やメーカによる正当な車両部品の流用に対し、適切な相互認証を行うための手段を提供することができる。

本実施の形態のセキュアコンポーネントは、外部サーバとの間で開設された秘匿通信路を介して、前記相互認証に用いる鍵及び証明書の少なくとも一方を更新可能とする。

セキュアコンポーネントは、外部サーバとの間で開設された秘匿通信路を介して、相互認証に用いる鍵及び証明書の少なくとも一方を更新可能とする。これにより、車両が盗難された場合、遠隔から車両部品間の相互認証ができないようにすることができ、盗難を抑止することができる。

本実施の形態のセキュアコンポーネントは、自身が搭載される車両部品を一意に特定可能な車両部品情報、相互認証用の公開鍵及び公開鍵署名を含む車両部品証明書を記憶する第２記憶部を備える。

セキュアコンポーネントは、自身が搭載される車両部品を一意に特定可能な車両部品情報、相互認証用の公開鍵及び公開鍵署名を含む車両部品証明書を記憶する。例えば、相互認証に用いる鍵を非対称鍵（公開鍵＋証明書＋秘密鍵）とし、証明書に部品の製造証明書としての情報を書き込むことにより、公開鍵の証明手段と同時に、車両部品の素性を事後的に確認するための手段を提供できる。

セキュアコンポーネントを搭載する車両部品同士が非電動部品であっても、セキュアコンポーネント間の相互認証を実現できる。

本実施の形態のセキュアコンポーネントは、セキュアエレメント、トラステッド実行環境又はＩＣタグのいずれか１つを備える。

セキュアコンポーネントは、セキュアエレメント、トラステッド実行環境又はＩＣタグのいずれか１つを備える。すなわち、セキュアコンポーネントは、耐タンパ性を有するセキュリティチップであるセキュアエレメントでもよく、ＳｏＣ（System on Chip）上で、例えば、ＣＰＵ仮想化支援技術（例えば、ＴｒｕｓｔＺｏｎｅ（登録商標））と称される技術を用いることによって、ＳｏＣ内で区分されたトラステッド実行環境（ＴＥＥとも称する）でもよく、あるいはＩＣタグでもよい。これにより、車両や車両部品などの種類に応じて適切なセキュアコンポーネントを構成することができる。

本実施の形態の車両部品は、前述のセキュアコンポーネントを備える。

車両部品は、セキュアコンポーネントを備えるので、車両部品間の相互認証をセキュアコンポーネント間の相互認証により行うことができ、各車両部品が予め定められた適切な組み合わせで接続されているかを検証することができ、車両に用いられる車両部品に盗品等が混入することを防止することができ、車両部品を有効に保護することができる。

本実施の形態の車両部品は、前記セキュアコンポーネントが出力する動作許可に基づいて、動作可能である。

本実施の形態の情報処理方法は、前記複数の車両部品は、それぞれが搭載するセキュアコンポーネントに記憶された相互認証情報に基づいて、動作可否が決定される。

車両部品は、セキュアコンポーネントが出力する動作許可に基づいて、動作可能である。セキュアコンポーネントによって、必要な相互認証が完了している場合にのみ車両部品は動作可能であるので、盗品等を組み合わせた不適切な構成の車両を動作させないことで、盗品の車両部品としての実効性を喪失させ、間接的に盗難を抑制することができる。

本実施の形態の車両部品は、前記セキュアコンポーネントと外部サーバとの間に開設される秘匿通信路を介して前記外部サーバから受信した指示に基づいて、前記セキュアコンポーネントによる相互認証機能を一時的に無効化する。

車両部品は、セキュアコンポーネントと外部サーバとの間に開設される秘匿通信路を介して、外部サーバから受信した指示に基づいて、セキュアコンポーネントによる相互認証機能を一時的に無効化する。相互認証機能を一時的に無効化することにより、相互認証無しで車両の動作を可能にするので、衆人環視の状態で盗難リスクが少ない場合や、緊急時や急用等の理由で盗難リスクを許容又は余儀なくされる場合に対応することができる。

本実施の形態の車両部品は、前記セキュアコンポーネントと外部サーバとの間に開設される秘匿通信路を介して、前記外部サーバからの機能停止指示に基づいて、動作を停止可能である。

車両部品は、セキュアコンポーネントと外部サーバとの間に開設される秘匿通信路を介して、外部サーバからの機能停止指示に基づいて、動作を停止可能である。車両が盗難された場合に、遠隔で車両部品の動作を停止させることができ、盗難車は車両を使用することができない。これにより、盗難を抑止することができる。

本実施の形態の車両部品は、前記車両に設けられた受付部からのユーザ指示に基づいて、動作を一時的に有効化する。

車両部品は、車両に設けられた受付部からのユーザ指示に基づいて、動作を一時的に有効化する。無効化された車両部品に対して所定のユーザ指示を行うことで、一時的に部品機能を有効化し、車両としての使用を許可する。これにより、災害発生時や、不測の事態で車両が利用できなくなった場合に、安全な場所に移動するための救済手段を提供することができる。

本実施の形態の車両部品は、車両に用いられる第１の車両部品に搭載される第１のセキュアコンポーネント、及び前記車両に用いられる第２の車両部品に搭載される第２のセキュアコンポーネントそれぞれとの間で情報の送受信を行う通信部と、前記通信部を介して前記第１のセキュアコンポーネントと前記第２のセキュアコンポーネントとの間の相互認証を仲介する認証仲介部とを備える。

第１の車両部品に搭載される第１のセキュアコンポーネントと、第２の車両部品に搭載される第２のセキュアコンポーネントとが相互認証することができない場合（例えば、第１の車両部品及び第２の車両部品が、実際に部品を動作させるための制御機構や動作機構を備える電動部品と異なり、これらの機構を具備しない非電動部品である場合）、電動部品に備えられた認証仲介部が、相互認証の仲介を行うことにより、第１のセキュアコンポーネントと第２のセキュアコンポーネントとの相互認証を実現する。セキュアコンポーネントを搭載する車両部品同士が非電動部品であっても、セキュアコンポーネント間の相互認証を実現できるので、各車両部品が予め定められた適切な組み合わせで、通信部を経由して接続されているかを検証することができ、車両に用いられる車両部品に盗品等が混入することを防止することができ、車両部品を有効に保護することができる。

本実施の形態の車両部品において、前記第１の車両部品及び第２の車両部品それぞれは、非電動部品を含む。

本実施の形態の車両は、前述の車両部品を複数備える。

車両は、車両部品を複数備える。これにより、盗品等の混入を防止できる車両を実現することができる。

本実施の形態の管理システムは、前述の車両と、前記車両が備える複数の車両部品それぞれに搭載されたセキュアコンポーネントとの間で秘匿通信路を開設可能なサーバとを備え、前記サーバは、前記秘匿通信路を介して、相互認証に基づいて前記複数の車両部品及び前記車両の少なくとも一方を管理する。

本実施の形態の管理方法は、前述の車両が備える複数の車両部品それぞれに搭載されたセキュアコンポーネントとの間で秘匿通信路を開設可能なサーバは、前記秘匿通信路を介して、相互認証に基づいて前記複数の車両部品及び前記車両の少なくとも一方を管理する。

サーバは、各セキュアコンポーネントとの間の秘匿通信路を介して、セキュアコンポーネントによる相互認証、車両部品の機能の作動又は停止、相互認証の一時的無効化又は有効化、相互認証に用いる鍵や証明書等の更新などの管理を行うことができる。これにより、車両に用いられる車両部品に盗品等が混入することを防止することができ、車両部品を有効に保護することができる。

１０ シフター
１１ セキュアエレメント
１２ 制御部
１３ 相互認証仲介部
１４ ネットワーク通信部
１５ シフター操作部
１６ 相互認証部
１７ 部品証明書
１８ 秘匿通信部
１９ 相互認証リスト
２０ ディレイラー
２１ セキュアエレメント
２２ ディレイラー制御部
２３ ディレイラー駆動部
２４ 相互認証部
２５ 部品証明書
２６ 相互認証リスト
２７ 秘匿通信部
３０ バッテリー
３１ セキュアエレメント
３２ バッテリー制御部
３３ バッテリー
３４ 相互認証部
３５ 部品証明書
３６ 秘匿通信部
３７ 相互認証リスト
４０ セキュアエレメント
４１ 相互認証部
４２ 部品証明書
４３ 相互認証リスト
４４ 秘匿通信部
５０ セキュアエレメント
５１ 相互認証部
５２ 部品証明書
５３ 相互認証リスト
５４ 秘匿通信部
６０ セキュアエレメント
６１ 相互認証部
６２ 部品証明書
６３ 相互認証リスト
６４ 秘匿通信部
１００ 自転車
２００ 自転車管理サーバ
２１０ 部品ＤＢアクセス部
２２０ ネットワーク通信部
２３０ 秘匿通信部
２５０ 自転車部品ＤＢ
２５１ 自転車テーブル

Claims (20)

1. 車両に用いられる車両部品に搭載されるセキュアコンポーネントであって、
   前記車両に用いられる他の車両部品に搭載される他のセキュアコンポーネントとの間で情報の送受信を行う通信部と、
   前記通信部を介して前記他のセキュアコンポーネントと相互認証を行う認証部と、
   相互認証対象と前記認証部による相互認証結果を対応付けた相互認証情報を記憶する第１記憶部と
   を備える、
   セキュアコンポーネント。
2. 前記通信部は、
   前記他のセキュアコンポーネントが相互認証用の秘密鍵で暗号化した演算結果を受信し、
   前記認証部は、
   前記演算結果を相互認証用の公開鍵で復号した復号結果に基づいて相互認証を行う、
   請求項１に記載のセキュアコンポーネント。
3. 前記第１記憶部は、
   前記車両に用いられる所定の車両部品に搭載される所定のセキュアコンポーネントとの相互認証情報を記憶し、
   前記所定のセキュアコンポーネントとの相互認証が完了している場合、自身が搭載される車両部品の動作許可を出力する出力部を備える請求項１又は請求項２に記載のセキュアコンポーネント。
4. 外部サーバとの間で開設された秘匿通信路を介して、前記第１記憶部に記憶した相互認証情報を更新可能とする、
   請求項１から請求項３のいずれか一項に記載のセキュアコンポーネント。
5. 外部サーバとの間で開設された秘匿通信路を介して、前記相互認証に用いる鍵及び証明書の少なくとも一方を更新可能とする、
   請求項１から請求項４のいずれか一項に記載のセキュアコンポーネント。
6. 自身が搭載される車両部品を一意に特定可能な車両部品情報、相互認証用の公開鍵及び公開鍵署名を含む車両部品証明書を記憶する第２記憶部を備える、
   請求項１から請求項５のいずれか一項に記載のセキュアコンポーネント。
7. セキュアエレメント、トラステッド実行環境又はＩＣタグのいずれか１つを備える、
   請求項１から請求項６のいずれか一項に記載のセキュアコンポーネント。
8. 請求項１から請求項７のいずれか一項に記載のセキュアコンポーネントを備える、
   車両部品。
9. 前記セキュアコンポーネントが出力する動作許可に基づいて、動作可能である、
   請求項８に記載の車両部品。
10. 前記セキュアコンポーネントと外部サーバとの間に開設される秘匿通信路を介して前記外部サーバから受信した指示に基づいて、前記セキュアコンポーネントによる相互認証機能を一時的に無効化する、
    請求項８又は請求項９に記載の車両部品。
11. 前記セキュアコンポーネントと外部サーバとの間に開設される秘匿通信路を介して、前記外部サーバからの機能停止指示に基づいて、動作を停止可能である、
    請求項８から請求項１０のいずれか一項に記載の車両部品。
12. 前記車両に設けられた受付部からのユーザ指示に基づいて、動作を一時的に有効化する、
    請求項９に記載の車両部品。
13. 車両に用いられる第１の車両部品に搭載される第１のセキュアコンポーネント、及び前記車両に用いられる第２の車両部品に搭載される第２のセキュアコンポーネントそれぞれとの間で情報の送受信を行う通信部と、
    前記通信部を介して前記第１のセキュアコンポーネントと前記第２のセキュアコンポーネントとの間の相互認証を仲介する認証仲介部と
    を備える、
    車両部品。
14. 前記第１の車両部品及び第２の車両部品それぞれは、非電動部品を含む、
    請求項１３に記載の車両部品。
15. 請求項８から請求項１４のいずれか一項に記載の車両部品を複数備える、
    車両。
16. コンピュータに、
    車両に用いられる車両部品に搭載されるセキュアコンポーネントとの間で情報の送受信を行い、
    前記セキュアコンポーネントと相互認証を行い、
    相互認証対象と相互認証結果を対応付けた相互認証情報を記憶する、
    処理を実行させるコンピュータプログラム。
17. 車両に用いられる複数の車両部品それぞれに搭載されるセキュアコンポーネントの間で相互認証を行い、
    各セキュアコンポーネントは、相互認証対象と相互認証結果を対応付けた相互認証情報を記憶する、
    情報処理方法。
18. 前記複数の車両部品は、それぞれが搭載するセキュアコンポーネントに記憶された相互認証情報に基づいて、動作可否が決定される、
    請求項１７に記載の情報処理方法。
19. 請求項１５に記載された車両と、
    前記車両が備える複数の車両部品それぞれに搭載されたセキュアコンポーネントとの間で秘匿通信路を開設可能なサーバと
    を備え、
    前記サーバは、
    前記秘匿通信路を介して、相互認証に基づいて前記複数の車両部品及び前記車両の少なくとも一方を管理する、
    管理システム。
20. 請求項１５に記載された車両が備える複数の車両部品それぞれに搭載されたセキュアコンポーネントとの間で秘匿通信路を開設可能なサーバは、
    前記秘匿通信路を介して、相互認証に基づいて前記複数の車両部品及び前記車両の少なくとも一方を管理する、
    管理方法。

Images