JP2023180073A - サーバ装置、データ変更方法、プログラム、およびデータ変更システム - Google Patents

Abstract

【課題】リアルタイムに通信できない場合であっても、セキュアにデータの変更ができるサーバ装置等を提供することを目的とする。【解決手段】サーバ装置１０は、移動体に設置された電子装置２０のデータを変更する場合に、データを変更するための変更データに電子署名を付与し（Ｓ３）、電子装置２０がネットワーク３と接続可能か否かを判定し（Ｓ４）、電子装置２０がネットワーク３と接続不可の場合、電子署名を付与した変更データを、電子装置２０に直接、接続可能な中継装置である診断装置４０に送信する（Ｓ６）。【選択図】図７

Description

本発明は、サーバ装置、データ変更方法、プログラム、およびデータ変更システムの技術分野に関する。

非接触ＩＣカードやスマートフォン等を利用して車両のドアの解錠・施錠やエンジンの始動を行うデジタルキーなど、車両が外部と認証する機能を持つ場合、鍵や証明書のデータが車両内のＥＣＵ（Electronic Control Unit）に格納されている。これらのデータを後から更新する場合、不正な書き込みを防止するため、認証やセキュアメッセージを用いて、正しい権限を持った相手からのデータであることを確認する必要がある。例えば、特許文献１には、目的サイトへのアクセス要求に応答して、コンピューティングデバイスが、目的サイトから現在のデジタル証明書を受信し、目的サイトに関する以前に受信したデジタル証明書、証明書審査サービスから受信した確認証明書、ならびにデジタル証明書および／または目的サイトの付加的な特性に基づいて、現在のデジタル証明書が本物であるか不正なものであるかを判定する不正デジタル証明書の自動検出が開示されている。

特開２０１９－１３００９号公報

従来の方式では、ネットワークに接続されていることが前提となっているが、車両等がリアルタイムに通信できるとは限らず、リアルタイムに通信ができない状況では、相互にデータをやり取りする認証ができず、セキュアにデータの更新の実施が難しいという問題点がある。

そこで、本発明は、上記問題等に鑑みてなされたものであり、リアルタイムに通信できない場合であっても、セキュアにデータの変更ができるサーバ装置、データ変更方法、プログラム、およびデータ変更システムを提供することを目的とする。

上記課題を解決するために、請求項１に記載の発明は、移動体に設置された電子装置のデータを変更する場合に、前記データを変更するための変更データに電子署名を付与する付与手段と、前記電子装置がネットワークと接続可能か否かを判定する判定手段と、前記電子装置が前記ネットワークと接続不可の場合、前記電子署名を付与した前記変更データを、前記電子装置に直接、接続可能な中継装置に送信する送信手段と、を備えることを特徴とする。

請求項２に記載の発明は、請求項１に記載のサーバ装置において、前記電子装置のデータを変更するか否かを判定する判定手段を、更に備えることを特徴とする。

請求項３に記載の発明は、請求項１または請求項２に記載のサーバ装置において、前記変更データが、前記電子装置において実行されるコマンドであって、前記データを変更するためのコマンドを含むことを特徴とする。

請求項４に記載の発明は、請求項１または請求項２に記載のサーバ装置において、前記電子装置における前記変更データの検証に、前記電子署名が使用されることを特徴とする。

請求項５に記載の発明は、付与手段が、移動体に設置された電子装置のデータを変更する場合に、前記データを変更するための変更データに電子署名を付与する付与ステップと、判定手段が、前記電子装置がネットワークと接続可能か否かを判定する判定ステップと、送信手段が、前記電子装置が前記ネットワークと接続不可の場合、前記電子署名を付与した前記変更データを、前記電子装置に直接、接続可能な中継装置に送信する送信ステップと、を含むことを特徴とする。

請求項６に記載の発明は、コンピュータを、移動体に設置された電子装置のデータを変更する場合に、前記データを変更するための変更データに電子署名を付与する付与手段、前記電子装置がネットワークと接続可能か否かを判定する判定手段、および、前記電子装置が前記ネットワークと接続不可の場合、前記電子署名を付与した前記変更データを、前記電子装置に直接、接続可能な中継装置に送信する送信手段として機能させることを特徴とする。

請求項７に記載の発明は、移動体に設置された電子装置と、前記電子装置のデータの変更を管理するサーバ装置と、前記電子装置に直接、接続可能な中継装置と、を備えたデータ変更システムにおいて、前記サーバ装置が、前記電子装置のデータを変更する場合に、前記データを変更するための変更データに電子署名を付与する付与手段と、前記電子装置がネットワークと接続可能か否かを判定する判定手段と、前記電子装置が前記ネットワークと接続不可の場合、前記電子署名を付与した前記変更データを、前記中継装置に送信する送信手段と、を有することを特徴とする。

本発明によれば、移動体に設置された電子装置のデータを変更する場合に、データを変更するための変更データに電子署名を付与し、電子装置がネットワークと接続可能か否かを判定し、電子装置がネットワークと接続不可の場合、電子署名を付与した変更データを、電子装置に直接、接続可能な中継装置に送信するので、リアルタイムに通信できない場合であっても、電子装置に直接、接続した中継装置から、電子署名を付与した変更データを送信し、電子署名を検証後に、変更データに基づき、電子装置内のデータをセキュアに変更ができる。

本実施形態に係るデータ変更システムの概要構成例を示す図である。 図１のデータ管理サーバ装置の概要構成例を示す図である。 図２のデータ管理サーバ装置のデータベースの一例を示す図である。 電子装置の概要構成例を示す図である。 ビークルサーバ装置の概要構成例を示す図である。 診断装置の概要構成例を示す図である。 データ管理サーバ装置の動作の一例を示すフローチャートである。 データ変更システムにおける変更用データセットの流れの一例を示す模式図である。 ビークルサーバ装置または診断装置の動作の一例を示すフローチャートである。 電子装置の動作の一例を示すフローチャートである。

以下、図面を参照して本発明の実施形態について詳細に説明する。以下に説明する実施形態は、車両の内部に設置された電子装置内のデータの変更を行うデータ変更システムに対して本発明を適用した場合の実施の形態である。なお、車両は、移動体の一例であり、２輪自動車、４輪自動車、または自転車等である。

［１．データ変更システムＳの概要構成］
まず、図１等を参照して、本実施形態に係るデータ変更システムＳの概要構成について説明する。図１は、本実施形態に係るデータ変更システムＳの概要構成例を示す図である。

図１に示すように、データ変更システムＳは、データ管理サーバ装置１０と、車両Ｃに搭載された電子装置２０と、電子装置２０とネットワーク３を介して通信を行うビークルサーバ装置３０と、車両Ｃに直接接続して車両Ｃの種々の電子システムを診断する診断装置４０と、を含んで構成される。なお、車両Ｃは、移動体の一例であり、２輪自動車、４輪自動車、または自転車等である。車両Ｃは、ネットワーク３を介しての無線通信機能を有する車両と、有しない車両とがある。

データ管理サーバ装置１０、電子装置２０、および、ビークルサーバ装置３０、例えばインターネット等により構成されるネットワーク３に接続されている。データ管理サーバ装置１０およびビークルサーバ装置３０は、ネットワーク３を介して通信可能になっている。ビークルサーバ装置３０および電子装置２０は、ネットワーク３および無線基地局５を介して、無線通信可能になっている。電子装置２０は、ビークルサーバ装置３０を介さず、ネットワーク３を介して、データ管理サーバ装置１０と直接、通信を行ってもよい。ネットワーク３は、公開鍵基盤(PKI：public key infrastructure)に接続している。

なお、特定の車両Ｃが、外部との無線通信機能を備えていなく、この車両Ｃの電子装置２０が、ネットワーク３に接続できないこともある。また、車両Ｃが、ネットワーク３を介しての無線通信機能を有していても、通信環境により、電子装置２０が、リアルタイムに、外部と通信できないこともある。

データ管理サーバ装置１０は、例えば、車両Ｃに搭載された電子装置２０等の特定の機器に提供可能な特定のアプリケーション、データ等を管理するためのサーバである。

電子装置２０は、例えば、車両Ｃに設けられているＥＣＵ（Electronic Control Unit）等の制御装置、ｅＳＥ（embedded Secure Element）を有した機器である。電子装置２０は、車両Ｃに設けられているナビゲーション装置、ドライブレコーダ等の電子機器、決済サービス等の各種サービスを提供する機器でもよい。電子装置２０は、車両Ｃ用のデジタルキーでもよい。

ここで、データ管理サーバ装置１０が電子装置２０に提供する電子装置のデータの一例として、ＥＣＵに格納する暗号鍵等の鍵のデータや電子証明書のデータ、ナビゲーション用の地図データ、ＥＣＵ用の制御用のデータ、これらの更新用のデータ等が挙げられる。また、データ管理サーバ装置１０が電子装置２０に提供するアプリケーション（電子装置のデータの一例）として、ＥＣＵ用の制御用のプログラム、ナビゲーション用のプログラム、決済サービス等の各種サービスの利用に要するソフトウェア等が挙げられる。

ビークルサーバ装置３０は、例えば、ネットワーク３を介して電子装置２０に接続して、電子装置２０において変更するデータを提供するサーバである。

診断装置４０は、例えば、車両Ｃの点検の際に、車検の際に、車両Ｃの電子システムを診断する携帯型のコンピュータである。診断装置４０は、車両診断ポート（例えば、ＯＢＤ（On Board Diagnostics）－ＩＩ）等を通じて、車両Ｃの電子装置２０と直接、接続可能である。電子装置２０に直接、接続可能な中継装置の一例である。診断装置４０と電子装置２０との接続は、有線の他に、近距離無線通信により直接接続されてもよい。近距離無線通信には、例えば、ＮＦＣ（Near Field Communication）、Bluetooth（登録商標）、またはＵＷＢ（Ultra Wide Band）の技術が用いられる。

なお、データ管理サーバ装置１０と診断装置４０とは、ローカルエリアネットワーク等により、接続される。なお、診断装置４０が、ネットワーク３に接続して、データ管理サーバ装置１０とデータの送受信を行ってもよい。診断装置４０は、車両Ｃの点検を行う事業所毎や、修理担当者毎にあってもよい。

次に、データ管理サーバ装置１０の概要構成例について説明する。図２は、データ管理サーバ装置１０の概要構成例を示す図である。図３は、データ管理サーバ装置１０のデータベースの一例を示す図である。

図２に示すように、データ管理サーバ装置１０は、通信部１１と、記憶部１２と、表示部１３と、操作部１４と、システム制御部１５と、入出力インターフェース部１６とを備えている。そして、システム制御部１５と入出力インターフェース部１６とは、システムバス１７を介して接続されている。

通信部１１は、ネットワーク３に接続してビークルサーバ装置３０等との通信状態を制御したり、ローカルエリアネットワークに接続して、診断装置４０等とデータの送受信を行ったりする。

記憶部１２は、例えば、ハードディスクドライブ、ソリッドステートドライブ等により構成されている。記憶部１２には、図３に示すように、各車両Ｃに割り当てられたビークルＩＤと、電子証明書の証明書ＩＤと、電子証明書の期限と、が関連付けられたデータベースが構築されている。なお、電子証明書であるデジタル証明書には、公開鍵、公開鍵に対応する秘密鍵の所有者の識別名、認証局の情報等が含まれている。ビークルＩＤは、電子装置２０に割り当てられた電子装置ＩＤでもよい。また、記憶部１２には、ビークルＩＤと、電子装置ＩＤとは、関連付けて記憶されている。

また、記憶部１２には、更新が必要なデータやアプリケーションを特定するデータＩＤと、電子装置２０に含まれるデータやアプリケーションのバージョン情報と、最新のバージョン情報と、電子装置ＩＤまたはビークルＩＤに関連付けられて、記憶されている。記憶部１２には、変更するデータに対して付与する電子署名の情報（秘密鍵、公開鍵等）が記憶されている。また、記憶部１２には、各電子装置２０において実行可能なコマンドに関する情報が電子装置ＩＤまたはビークルＩＤに関連付けられて記憶されている。

記憶部１２には、オペレーティングシステムおよびアプリケーションが記憶される。アプリケーションには、相互認証処理プログラム等が含まれる。また、記憶部１２には、ビークルサーバ装置３０、診断装置４０等とのセキュアチャネルを確立するための相互認証処理に用いられる認証用データ（例えば、セキュアチャネル暗号鍵、セキュアチャネルＭＡＣ鍵、およびデータ暗号鍵を含む鍵セット）が格納される。

記憶部１２は、ビークルＩＤまたは電子装置ＩＤに関連付けられて、車両Ｃの電子装置２０がネットワーク３と接続可能な機能を有するか否かの情報を記憶している。記憶部１２は、ビークルＩＤまたは電子装置ＩＤに関連付けられて、ネットワーク３を介して接続するための電子装置２０のネットワークアドレス等を記憶している。

表示部１３は、例えば、液晶表示素子または有機ＥＬ（Electro Luminescence）素子等によって構成されている。操作部１４は、例えば、キーボードおよびマウス等によって構成されている。

システム制御部１５は、例えば、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）、およびＲＯＭ（Read Only Memory）と、を有する。システム制御部１５は、ＣＰＵが、ＲＯＭや、ＲＡＭや、記憶部１２に記憶された各種プログラムを読み出して実行する。例えば、システム制御部１５は、相互認証処理プログラムに従って、電子装置２０およびビークルサーバ装置３０との間でセキュアセッション確立のための相互認証処理を実行する。システム制御部１５は、認証後、変更用のデータ等を、電子装置２０またはビークルサーバ装置３０に送信する。データ管理サーバ装置１０は、コンピュータとして機能し、システム制御部１５が、プログラムに従って、様々な演算や処理を行う。

入出力インターフェース部１６は、通信部１１および記憶部１２等とシステム制御部１５とのインターフェースである。

次に、電子装置２０の概要構成例について説明する。図４は、電子装置２０の概要構成例を示す図である。図４に示すように、電子装置２０は、通信部２１、記憶部２２、および制御部２３等を備えて構成される。

通信部２１は、無線基地局５およびネットワーク３を介して、ビークルサーバ装置３０と通信を行う。通信部２１は、無線基地局５と通信を行うためのアンテナを有してよし、無線基地局５と無線通信できる機器を介して、無線基地局５と通信を行ってもよい。

記憶部２２は、例えば、不揮発性メモリ（ＮＶＭ（Nonvolatile Memory））である。記憶部１２には、電子証明書のデータ、ＥＣＵ用の制御用のデータ等が記憶されている。記憶部１２には、オペレーティングシステム（ＯＳ）およびアプリケーションが記憶される。アプリケーションには、相互認証処理プログラム等が含まれる。

また、記憶部２２には、セキュアチャネルを確立するための相互認証処理に用いられる認証用データが、鍵装置に関連付けられて格納される。かかる認証用データは、例えば、セキュアチャネル暗号鍵、セキュアチャネルＭＡＣ（Message Authentication Code）鍵、およびデータ暗号鍵を含む鍵セットである。また、記憶部２２には、変更するデータに対して付与された電子署名の情報（公開鍵、秘密鍵等）が記憶されている。

制御部２３は、ＣＰＵ、ＲＡＭ、およびＲＯＭ等を備えて構成される。制御部２３は、相互認証処理プログラムに従って、ビークルサーバ装置３０、診断装置４０等との認証を行う。制御部２３は、認証後に、データ更新のコマンドを受信したり、実施したりして、電子証明書等のデータの更新を行う。

次に、ビークルサーバ装置３０の概要構成例について説明する。図５は、ビークルサーバ装置３０の概要構成例を示す図である。

図５に示すように、コンピュータの一例のビークルサーバ装置３０は、通信部３１と、記憶部３２と、表示部３３と、操作部３４と、システム制御部３５と、入出力インターフェース部３６とを備えている。そして、システム制御部３５と入出力インターフェース部３６とは、システムバス３７を介して接続されている。なお、これらの構成は、データ管理サーバ装置１０における通信部１１、記憶部１２等とほぼ同様であるので、説明を省略する。以下に説明する診断装置４０の概要構成例についても同様である。

システム制御部３５は、記憶部３２に記憶された相互認証処理プログラムに従って、電子装置２０との認証を行う。電子装置２０を認証後に、データ更新のコマンド等を電子装置２０に送信する。

次に、診断装置４０の概要構成例について説明する。図６は、診断装置４０の概要構成例を示す図である。

図６に示すように、コンピュータの一例の診断装置４０は、通信部４１と、記憶部４２と、表示部４３と、操作部４４と、システム制御部４５と、入出力インターフェース部４６とを備えている。そして、システム制御部４５と入出力インターフェース部４６とは、システムバス４７を介して接続されている。

通信部４１は、ローカルエリアネットワーク等に接続して、データ管理サーバ装置１０等との通信状態を制御する。また、通信部４１は、車両Ｃの車両診断ポートに接続して、車両Ｃの電子装置２０の通信状態を制御する。通信部４１は、近距離無線通信の機能を有し、車両Ｃの電子装置２０の通信状態を制御してもよい。

記憶部４２は、電子装置２０用のデータ更新のコマンド等を記憶する。システム制御部４５は、記憶部４２に記憶された相互認証処理プログラムに従って、電子装置２０との認証を行う。電子装置２０を認証後に、データ更新のコマンド等を電子装置２０に送信する。

［２．データ変更システムＳの動作］
次に、データ変更システムＳの動作について図を用いて説明する。なお、電子装置２０の変更対象のデータの一例である電子証明書の更新を例として、データ変更システムＳの動作について説明する。

（２．１ データ管理サーバ装置１０の動作）
まず、データ管理サーバ装置１０の動作について説明する。図７は、データ管理サーバ装置１０の動作の一例を示すフローチャートである。図８は、データ変更システムＳにおける変更用データセットの流れの一例を示す模式図である。

図７に示すように、データ管理サーバ装置１０は、電子証明書の期限切れか否かを判定する（ステップＳ１）。具体的には、システム制御部１５は、記憶部１２のデータベースを参照して、各車両Ｃの各電子装置２０の電子証明書の期限の情報と、現在の日付とを比較して、電子証明書が期限切れか否か、期限が迫っているか否かを判定する。システム制御部１５は、電子証明書の期限切れ／期限が迫っている電子装置２０の電子装置ＩＤまたはビークルＩＤを抽出する。このように、データ管理サーバ装置１０は、電子装置のデータを変更するか否かを判定する判定手段の一例として機能する。

電子証明書が期限切れでない場合（ステップＳ１：ＮＯ）、データ管理サーバ装置１０は、処理を終了する。

電子証明書が期限切れの場合（ステップＳ１：ＹＥＳ）、データ管理サーバ装置１０は、変更用データセットを生成する（ステップＳ２）。具体的には、システム制御部１５は、電子装置ＩＤまたはビークルＩＤに基づき、記憶部１２のデータベースを参照して、証明書ＩＤを抽出する。システム制御部１５は、抽出した証明書ＩＤに基づき、対応する電子証明書の情報を抽出し、電子証明書の情報を更新するための変更用データセットを生成する。変更用データセットは、データを変更するための変更データの一例である。生成する変更用データセットは、変更用のデータのみでもよいし、電子装置２０で実行されるデータ変更用のコマンドのみでもよいし、このデータ変更用のコマンドと変更用のデータと組み合わせでもよい。データを変更するためのコマンドの一例である電子装置２０で実行されるコマンドは、単独のコマンド、複数のコマンドが組み合わさったコマンドセットでもよい。

次に、データ管理サーバ装置１０は、変更用データセットに署名を付与する（ステップＳ３）。具体的には、システム制御部１５は、記憶部１２のデータベースを参照して、電子署名の秘密鍵を取得する。システム制御部１５は、所定のハッシュ関数による変更用データセットのハッシュ値に、秘密鍵を適用して電子署名を生成し、変更用データセットに添付し、電子署名付きの変更用データセットを生成する。この電子署名は、車両Ｃの電子装置２０に搭載されている認証局（ＣＡ：Certification Authority）の公開鍵に対応した、ＣＡの秘密鍵により作成される。なお、このＣＡ鍵セットはデータ変更の専用のものでなくともよく、例えば、データ管理サーバ装置１０とのネットワーク通信認証にて利用するためのものを流用してもよい。また、電子署名はコマンドごとに生成して添付してもよい。これによりコマンド単位での検証が可能となる。

このように、データ管理サーバ装置１０は、移動体に設置された電子装置のデータを変更する場合に、データを変更するための変更データに電子署名を付与する付与手段の一例として機能する。

次に、データ管理サーバ装置１０は、ネットワーク通信可能か否かを判定する（ステップＳ４）。具体的には、システム制御部１５は、ビークルＩＤに基づき、記憶部１２を参照して、車両Ｃがネットワーク３と接続可能な機能を有するか否かを判定する。また、システム制御部１５は、ビークルサーバ装置３０を介して、ビークルＩＤに対応する車両Ｃとの通信が、現在可能か否かを判定してもよい。このように、データ管理サーバ装置１０は、電子装置がネットワークと接続可能か否かを判定する判定手段の一例として機能する。

ネットワーク通信可能の場合（ステップＳ４：ＹＥＳ）、データ管理サーバ装置１０は、ビークルサーバ装置３０に変更用データセットを送信する（ステップＳ５）。データ管理サーバ装置１０は、ビークルサーバ装置３０と相互認証を行い、セキュアチャネルを確立した後、図８に示すように、システム制御部１５は、対象の電子装置２０を特定するための電子装置ＩＤまたはビークルＩＤ等共に、電子署名を添付した変更用データセットを、ビークルサーバ装置３０に送信する。システム制御部１５は、対象の電子装置２０とのセキュアチャネルを確立するための情報、電子装置２０のネットワークアドレス等も、ビークルサーバ装置３０に送信する。

なお、ビークルサーバ装置３０が、特定の電子装置２０の更新データを受け取ったあと、電子装置２０に送信可能か否かを判定してもよい。ビークルサーバ装置３０が、ネットワーク通信可能か否かを判定して、可の場合、電子装置２０に電子署名を添付した変更用データセットを送信し、不可の場合、データ管理サーバ装置１０に、不可の旨を通知する。また、データ管理サーバ装置１０が、ビークルサーバ装置３０を介さずに、電子装置２０に署名を添付した変更用データセットを、電子装置２０に送信してよい。

ネットワーク通信不可の場合（ステップＳ４：ＮＯ）、データ管理サーバ装置１０は、診断装置４０に変更用データセットを送信する（ステップＳ６）。データ管理サーバ装置１０は、診断装置４０と相互認証を行い、セキュアチャネルを確立した後、図８に示すように、システム制御部１５は、対象の電子装置２０を特定するための電子装置ＩＤまたはビークルＩＤ等共に、署名を添付した変更用データセットを、診断装置４０に送信する。システム制御部１５は、対象の電子装置２０とのセキュアチャネルを確立するための情報や、期限情報等も、診断装置４０に送信する。このように、データ管理サーバ装置１０は、電子装置がネットワークと接続不可の場合、電子署名を付与した前記変更データを、電子装置に直接、接続可能な中継装置に送信する送信手段の一例として機能する。

（２．２ ビークルサーバ装置３０または診断装置４０の動作）
次に、ビークルサーバ装置３０または診断装置４０において、対象の電子装置２０へ変更用データセットを送信する動作について説明する。図９は、ビークルサーバ装置３０または診断装置４０の動作の一例を示すフローチャートである。なお、ビークルサーバ装置３０または診断装置４０において、対象の電子装置２０への変更用データセットの送信の動作は、基本的に同じなので、ここでは診断装置４０について主に説明する。

まず、診断装置４０は、データ管理サーバ装置１０と接続するために、ローカルエリアネットワーク等に接続する。

図９に示すように、診断装置４０は、変更用データセットを受信したか否かを判定する（ステップＳ１０）。具体的には、システム制御部４５は、ステップＳ６で、データ管理サーバ装置１０と相互認証を行い、セキュアチャネルを確立した後、データ管理サーバ装置１０から、変更用データセットを受信したか否かを判定する。

次に、システム制御部４５は、記憶部４２に、対象の電子装置２０の電子装置ＩＤまたはビークルＩＤ等共に関連付けて、電子署名を添付した変更用データセット、対象の電子装置２０とのセキュアチャネルを確立用の鍵の情報等を記憶する。ビークルサーバ装置３０の場合は、システム制御部３５は、記憶部３２に、対象の電子装置２０の電子装置ＩＤまたはビークルＩＤ等共に関連付けて、署名を添付した変更用データセット、対象の電子装置２０とのセキュアチャネルを確立用の鍵の情報、電子装置２０のネットワークアドレス等を記憶する。

変更用データセットを受信してない場合（ステップＳ１０：ＮＯ）、診断装置４０は、処理を終了する。

次に、診断装置４０は、電子装置２０と接続したか否かを判定する（ステップＳ１１）。車検等の検査で運ばれてきた車両Ｃの車両診断ポートに、診断装置４０が直接接続される。システム制御部４５は、車両Ｃの電子装置２０と、通信が接続したか否かを判定する。なお、診断装置４０と電子装置２０とは、有線により、または、近距離無線通信により直接接続されてもよい。ビークルサーバ装置３０の場合は、システム制御部３５が、ネットワーク３を介して、接続を試み、車両Ｃの電子装置２０と、通信が接続したか否かを判定する。

接続してない場合（ステップＳ１１：ＮＯ）、診断装置４０は、電子装置２０との接続を待つ。

接続した場合（ステップＳ１１：ＹＥＳ）、診断装置４０は、変更用データセットを対象車両Ｃの電子装置２０に送信する（ステップＳ１２）。具体的には、システム制御部４５は、車両Ｃの電子装置２０と相互認証を行い、セキュアチャネルを確立した後、図８に示すように、電子署名を添付した変更用データセットを、診断装置４０に送信する。情報漏洩の危険が少ない場所での接続の場合では、相互認証の処理は省かれてもよい。ビークルサーバ装置３０の場合は、システム制御部３５が、ネットワーク３を介して、変更用データセットを対象車両Ｃの電子装置２０に送信する。

（２．３ 電子装置２０の動作）
次に、電子装置２０においてデータを更新する動作について説明する。図１０は、電子装置２０の動作の一例を示すフローチャートである。なお、ビークルサーバ装置３０または診断装置４０から変更用データセットを受信した場合、電子装置２０においてデータを更新する動作は、基本的に同じなので、診断装置４０から変更用データセットを受信した場合について主に説明する。

図１０に示すように、電子装置２０は、変更用データセットを受信した否かを判定する（ステップＳ２０）。具体的には、制御部２３は、ステップＳ１２で、診断装置４０と相互認証を行い、セキュアチャネルを確立した後、データ管理サーバ装置１０から、電子署名を添付した変更用データセットを受信したか否かを判定する。

変更用データセットを受信しなかった場合（ステップＳ２０：ＮＯ）、電子装置２０は、処理を終了する。例えば、このとき、電子装置２０は、診断装置４０に変更用データセットを受信しなかった旨の情報を送信し、診断装置４０が、表示部４３に表示させてもよい。

変更用データセットを受信した場合（ステップＳ２０：ＹＥＳ）、電子装置２０は、署名検証に成功したか否かを判定する（ステップＳ２１）。具体的には、制御部２３は、電子署名と変更用データセットとに分ける。制御部２３は、あらかじめ保持しているＣＡ公開鍵により電子署名を復号する。制御部２３は、変更用データセットのハッシュ値と、復号された電子署名とを比較して、一致すれば、署名検証に成功したと判定する。

署名検証に失敗した場合（ステップＳ２１：ＮＯ）、電子装置２０は、処理を終了する。例えば、このとき、電子装置２０は、診断装置４０に署名検証に失敗の旨の情報を送信し、診断装置４０が、表示部４３に表示させてもよい。

署名検証に成功した場合（ステップＳ２１：ＹＥＳ）、電子装置２０は、電子証明書の更新用コマンドを実行し電子証明書を更新する（ステップＳ２２）。具体的には、制御部２３は、変更用データセットの中の電子証明書の更新用コマンドを実行し、記憶部２２に記憶されている電子証明書のデータを更新する。制御部２３は、コマンドセットを実行することで、電子証明書に含まれる鍵情報を変更等する。なお、更新する電子証明書の鍵等の情報を更新用コマンド自体が含んでよいし、変更用データセットの中に別体で含ませてよい。

データの変更が、プログラムやアプリの更新の場合、変更用データセットは、最新版のプログラム等と、プログラム更新の処理を起動させるコマンドセットと、を含んでもよい。データの変更が、地図データのようにデータ量が多いとき、変更用データセットは、地図データを更新の処理を起動させるコマンドセットのみで、地図データは、別途、診断装置４０からダウンロードしてもよい。

以上説明したように、上記実施形態によれば、車両Ｃに設置された電子装置２０における電子証明書等のデータを変更する場合に、データを変更するための変更データに電子署名を付与し、電子装置２０がネットワーク３と接続可能か否かを判定し、電子装置２０がネットワークと３接続不可の場合、電子署名を付与した変更データを、電子装置２０に直接、接続可能な診断装置４０に送信するので、リアルタイムに通信できない場合であっても、電子装置２０に直接、接続した診断装置４０から、電子署名を付与した変更データを送信し、電子署名を検証後に、変更データに基づき、電子装置２０内のデータをセキュアに変更ができる。

電子装置のデータを変更するか否かを判定する判定手段を、更に備える場合、変更な必要な電子装置２０のみを特定して、電子証明書を更新等のデータの変更を、電子装置２０毎に一元に管理できる。

変更データが、電子装置において実行されるコマンドであって、データを変更するためのコマンドを含む場合、電子署名を検証後に、データを変更するためのコマンドに基づき、電子装置２０内のデータをセキュアに変更ができる。

電子装置２０における変更データの検証に、電子署名が使用される場合、電子装置２０において、不正にデータの改ざん等を防止できる。

３ ネットワーク
１０ データ管理サーバ装置（サーバ装置）
２０ 電子装置
４０ 診断装置（中継装置）

Claims (7)

1. 移動体に設置された電子装置のデータを変更する場合に、前記データを変更するための変更データに電子署名を付与する付与手段と、
   前記電子装置がネットワークと接続可能か否かを判定する判定手段と、
   前記電子装置が前記ネットワークと接続不可の場合、前記電子署名を付与した前記変更データを、前記電子装置に直接、接続可能な中継装置に送信する送信手段と、
   を備えることを特徴とするサーバ装置。
2. 請求項１に記載のサーバ装置において、
   前記電子装置のデータを変更するか否かを判定する判定手段を、更に備えることを特徴とするサーバ装置。
3. 請求項１または請求項２に記載のサーバ装置において、
   前記変更データが、前記電子装置において実行されるコマンドであって、前記データを変更するためのコマンドを含むことを特徴とするサーバ装置。
4. 請求項１または請求項２に記載のサーバ装置において、
   前記電子装置における前記変更データの検証に、前記電子署名が使用されることを特徴とするサーバ装置。
5. 付与手段が、移動体に設置された電子装置のデータを変更する場合に、前記データを変更するための変更データに電子署名を付与する付与ステップと、
   判定手段が、前記電子装置がネットワークと接続可能か否かを判定する判定ステップと、
   送信手段が、前記電子装置が前記ネットワークと接続不可の場合、前記電子署名を付与した前記変更データを、前記電子装置に直接、接続可能な中継装置に送信する送信ステップと、
   を含むことを特徴とするデータ変更方法。
6. コンピュータを、
   移動体に設置された電子装置のデータを変更する場合に、前記データを変更するための変更データに電子署名を付与する付与手段、
   前記電子装置がネットワークと接続可能か否かを判定する判定手段、および、
   前記電子装置が前記ネットワークと接続不可の場合、前記電子署名を付与した前記変更データを、前記電子装置に直接、接続可能な中継装置に送信する送信手段として機能させることを特徴とするプログラム。
7. 移動体に設置された電子装置と、前記電子装置のデータの変更を管理するサーバ装置と、前記電子装置に直接、接続可能な中継装置と、を備えたデータ変更システムにおいて、
   前記サーバ装置が、
   前記電子装置のデータを変更する場合に、前記データを変更するための変更データに電子署名を付与する付与手段と、
   前記電子装置がネットワークと接続可能か否かを判定する判定手段と、
   前記電子装置が前記ネットワークと接続不可の場合、前記電子署名を付与した前記変更データを、前記中継装置に送信する送信手段と、
   を有することを特徴とするデータ変更システム。

Images