JP2023180314A - 充電制御装置、および充電制御方法 - Google Patents

Abstract

【課題】バッテリーを搭載した装置への充電のための認証において、充電を受ける装置と充電設備との間の不都合を極力抑制する。【解決手段】制御部は、バッテリーを充電する外部の充電装置との間で第１の認証手続を実施することと、第１の認証手続において異常が検知された場合に、検知された異常の種類に応じて第１の認証手続または第１の認証手続に代わる第２の認証手続が実施されるように設定することと、を実行する。【選択図】図１

Description

本発明は、充電制御装置、および充電制御方法に関するものである。

外部から電源をつないで走行用バッテリーに充電できる車両（以下、電動車という）として、バッテリー式電気自動車（Battery Electric Vehicle、ＢＥＶ車）、プラグインハイブリッド（ＰＨＶ）車等が知られている。また、走行用バッテリーへの充電における課金方式として、主に外部認証方式（External Identification Means（ＥＩＭ））とプラ
グ＆チャージ（Plug and Charge（ＰｎＣ））が提案されている。

外部認証方式の場合、車両の使用者が、現金、電子マネー、プリペイドカード、クレジットカードなどを用いて、充電器の設置場所または充電器本体で、課金に対する支払いを実施する。一方、ＰｎＣでは、充電スタンドに設置された充電機器のプラグを車両に接続すると課金及び充電が可能となる。

特開２０１６－１３１４３２号公報

しかし、ＰｎＣによる課金および充電のサービスの開始後の初期段階では、電動車等のバッテリーを搭載した装置と充電設備との間の認証方式の互換性、認証情報の有効性、契約の有効性等の不備に起因して様々な事象が起こり得る。開示される実施の形態の側面は、バッテリーを搭載した装置への充電のための認証において、充電を受ける装置と充電設備との間の不都合を極力抑制する。

本開示の実施の形態は、バッテリーを搭載した装置に設けられる充電制御装置によって例示される。本充電制御装置は、制御部を備える。この制御部は、バッテリーを充電する外部の充電装置との間で第１の認証手続を実施することと、第１の認証手続において異常が検知された場合に、検知された異常の種類に応じて前記第１の認証手続または前記第１の認証手続に代わる第２の認証手続が実施されるように設定することと、を実行する。

バッテリーを搭載した装置への充電のための認証において、充電を受ける装置と充電設備との間の不都合が極力抑制される。

図１は、本実施の形態の充電システムの構成を例示する図である。 図２は、証明書チェーンと認証局の関係を例示する図である。 図３は、充電システムのハードウェアの構成を例示する図である。 図４は、電動車の充電制御装置と充電設備との間のＰｎＣでの課金処理までの手順を例示するシーケンス図である。 図５は、電動車が充電設備にＶ２Ｇ ＲＯＯＴ証明書を通知して異常が検知されたときの処理例である。 図６は、充電設備において、証明書チェーンの有効性が確認でなかった場合の電動車の充電制御装置による処理例である。 図７は、電動車の充電制御装置が充電設備に、Contract証明書を要求して異常が検出されたときの処理例である。

以下、図面を参照して、一実施の形態に係る充電システムおよび充電制御方法を説明する。
（構成）
図１は、本実施の形態の充電システムの構成を例示する図である。本充電システムは、電動車１と、電動車１のバッテリー（二次電池、蓄電池ともいう）に電力を供給する充電設備（Electric Vehicle Supply Equipment、ＥＶＳＶ）２を有する。なお、図１では、
認証局ＣＡ１、ＣＡ２および中間認証局（ＳＵＢ－ＣＡ１１、ＳＵＢ－ＣＡ１２、ＳＵＢ－ＣＡ２１、ＳＵＢ－ＣＡ２２）と、Original Equipment Manufacturer（ＯＥＭ）サー
バ５も記載されている。認証局ＣＡ１、ＣＡ２は、Vehicle to Grid（Ｖ２Ｇ ＲＯＯＴ
）証明書等の証明書を発行する。ＯＥＭサーバ５は、電動車１の製造元または販売元による電動車１への証明書の提供等を実行する。

本充電システムによる処理の前提として、電動車１が製造元または販売元から出荷されるときに、電動車１の記憶装置（例えば図３の外部記憶部１３）には、少なくとも１つの認証局ＣＡ１が発行するＶ２Ｇ ＲＯＯＴ証明書が保存されている。また、電動車１は、ＯＥＭサーバ５にアクセスすることで、Ｖ２Ｇ ＲＯＯＴ証明書を更新することができる。また、電動車１は、ＯＥＭサーバ５にアクセスすることで、認証局ＣＡ１以外の認証局ＣＡ２が発行するＶ２Ｇ ＲＯＯＴ証明書を取得することができる。なお、認証局の数が、２つに限定される訳ではない。

一方、充電設備２には、少なくとも１つの認証局ＣＡ１が発行するＶ２Ｇ ＲＯＯＴ証明書と、このＶ２Ｇ ＲＯＯＴ証明書に関連付けられる証明書チェーンが保存される。証明書チェーンは、例えば、Charge Point Operator SUB-Certificate Authorities 11（ＣＰＯ ＳＵＢ－ＣＡ１１）、ＣＰＯ ＳＵＢ－ＣＡ１２、ＥＶＳＶ Ｌｅａｆ証明書等を含む。

第１の認証手続として、ＰｎＣと呼ばれる手順では、充電設備２のプラグ２Ｂが電動車１の接続部（受電部ともいう）に挿入されると、充電設備２と電動車１との間で認証が実施される。そして、認証後に電動車１への充電と、充電に対する課金が実施される。ＰｎＣのため、電動車１と、充電設備２は、それぞれ、Ｖ２Ｇ ＲＯＯＴ証明書を記憶装置に保存している。なお、充電設備２は、充電設備２からアクセス可能なコンピュータ上に保存されたＶ２Ｇ ＲＯＯＴ証明書を参照するようにしてもよい。ＰｎＣは、第１の課金方式ということもできる。

ＰｎＣでは、プラグ２Ｂによる充電設備２と電動車１との接続後、ユーザのＶ２Ｇ ＲＯＯＴ証明書が充電設備２に通知される（矢印Ｐ１）。そして、ユーザのＶ２Ｇ ＲＯＯＴ証明書が、充電設備２側に保存された事業者のＶ２Ｇ ＲＯＯＴ証明書によって認証される。この認証が完了すると、Ｖ２Ｇ ＲＯＯＴ証明書に関連付けされた階層的な構成を有する事業者の証明書チェーンが電動車１に応答される（矢印Ｐ２）。矢印Ｐ１と矢印Ｐ２による通信手順は、Transport Layer Security（ＴＬＳ）ハンドシェークと呼ばれる。Ｖ２Ｇ ＲＯＯＴ証明書は、電動車１と充電設備２との間の通信の安全を確保するための第１の証明書ということができる。

証明書チェーンは、認証局の階層に対応する。図１のように、各認証局ＣＡ１、ＣＡ２等は、下位の認証局である中間認証局（ＳＵＢ－ＣＡ１１、ＳＵＢ－ＣＡ１２、ＳＵＢ－
ＣＡ２１、ＳＵＢ－ＣＡ２２等）を持つことができる。最上位にある認証局ＣＡ１、ＣＡ２はＲＯＯＴ認証局と呼ばれ、Ｖ２Ｇ ＲＯＯＴ証明書を発行する。また、下位の中間認証局の認証局証明書（ＣＰＯ ＳＵＢ－ＣＡ１１証明書等）は、上位の認証局によって署名がされる。図１の例の証明書チェーンでは、ＣＰＯ ＳＵＢ－ＣＡ１１証明書、ＣＰＯ
ＳＵＢ－ＣＡ１２証明書、ＥＶＳＶ Ｌｅａｆ証明書が例示されている。図１の例では、証明書チェーンには、少なくとも１つのＣＰＯ ＳＵＢ－ＣＡ１１証明書等と、ＥＶＳＶ Ｌｅａｆ証明書が含まれる。

電動車１は、ユーザのＶ２Ｇ ＲＯＯＴ証明書を基に証明書チェーンを上位から下位に順に認証することで、最終的には、ＥＶＳＶ Ｌｅａｆ証明書を認証できる。電動車１は、ＥＶＳＶ Ｌｅａｆ証明書の認証に成功すると、充電設備２との通信に使用する秘密鍵を得ることができ、以降は秘密鍵による通信が実施される。これにより、ＴＬＳハンドシェークが完了する。

ＴＬＳハンドシェークの完了後は、秘密鍵を用いたＶ２Ｇ通信が実行される。Ｖ２Ｇ通信では、電動車１からの要求（Ｐ３）と、充電設備２からの応答（Ｐ４）が相互に送信され、充電と課金が実施される。このＶ２Ｇ通信では、充電の他、例えば、課金の詳細が定義されたContract証明書が充電設備２から電動車１に応答される。Contract証明書は、電動車１が充電設備２から充電を受けるための第２の証明書ということができる。

なお、電動車への充電においては、上記のようなＰｎＣによる通信以外に、第２の認証手続として、ＥＩＭを提示することによる外部認証方式の手順も可能である。外部認証方式は、例えば、クレジットカード、ＱＲコード（登録商標）、ＲＦＩＤ等により、課金情報を授受する処理である。ＥＩＭを提示することによる外部認証方式は、第２の課金方式ということもできる。

図２は、証明書チェーンと認証局ＣＡ１の関係を例示する図である。図２では、下位の認証局であるＳＵＢ－ＣＡ１１、ＳＵＢ－ＣＡ１２および証明書の有効性を応答する機関のコンピュータであるOnline Certificate Status Protocol（ＯＣＳＰ）レスポンダも記載されている。

本実施の形態では、充電設備２は充電事業会社によって提供される。充電事業会社は、充電設備２により、電動車１への充電サービスを実施する事業者である。ただし、充電事業会社は、電力を提供する電力事業者であって、一方、充電設備２は、電力事業者以外の他の事業者により提供されてもよい。ここで、他の事業者は、例えば、電力を提供する事業者から電力の供給を受け、充電設備２を運用する事業者である。

充電設備２には、認証局ＣＡ１および中間認証局（ＳＵＢ－ＣＡ１１、ＳＵＢ－ＣＡ１２等）から、証明書チェーンが提供される。なお、中間認証局の数が２局に限定される訳ではない。証明書チェーンは、Ｖ２Ｇ ＲＯＯＴ証明書、ＣＰＯ ＳＵＢ－ＣＡ１１証明書、ＣＰＯ ＳＵＢ－ＣＡ１２証明書、ＥＶＳＶ Ｌｅａｆ証明書等を含む。証明書チェーンは、充電設備２に内蔵される記憶装置に保存されてもよい。また、証明書チェーンは、充電設備２が接続されるコンピュータに保存されてもよい。証明書チェーンが保存されるコンピュータは、充電設備２が設置されるサイト、例えば、充電スタンド、充電ステーションと呼ばれる場所に設けられてもよい。また、証明書チェーンが保存されるコンピュータは、充電設備２が設置されるサイトとネットワークで接続される事業者の管理コンピュータ等に保存されてもよい。充電設備２は、このようなコンピュータまたは管理コンピュータと連携して、電動車１との間でＶ２Ｇの通信において、証明書チェーンを用いて、電動車１への充電と課金を実行すればよい。図１に例示した電動車１は、このような証明書チェーンを有する事業者の充電設備２にアクセスし、ＰｎＣによる充電を受けることが
できる。

認証局ＣＡ１および中間認証局（ＳＵＢ－ＣＡ１１、ＳＵＢ－ＣＡ１２等）が発行する証明書は、事情により失効される場合がある。例えば、証明書が不正使用される可能性が生じたときに、認証局ＣＡ１および中間認証局（ＳＵＢ－ＣＡ１１、ＳＵＢ－ＣＡ１２等）のいずれかは、発行済みの証明書のいずれかを失効させることで、証明書チェーン全体の有効性をなくすことができる。このような失効した証明書は、失効リストとして公衆ネットワーク、例えば、インターネット上に公開される。

ＯＣＳＰレスポンダは、証明書チェーンの有効性を確認する事業者、または、事業者のコンピュータである。例えば、ＯＣＳＰレスポンダは、証明書チェーンを有する事業者のコンピュータからの確認要求に対して、証明書の有効性を確認し、応答を事業者のコンピュータに返す。以下、事業者のコンピュータを単に事業者ともいう。ＯＣＳＰレスポンダは、公衆ネットワーク上の失効リストにアクセスするか、または、認証局および中間認証局（ＳＵＢ－ＣＡ１１、ＳＵＢ－ＣＡ１２等）のデータベース等にアクセスして、証明書の有効性を確認する。

したがって、充電事業会社、充電設備を運用する事業者等は、証明書チェーンの確認を要すると判断されるとき、または、定期的に、ＯＣＳＰレスポンダに対して、それぞれの証明書の確認要求を行い、確認結果の応答を受ける。このような手順により、充電事業会社、充電設備を運用する事業者等は、証明書チェーンの有効性を認識し、把握できる。

図３は、充電システムのハードウェアの構成を例示する図である。上述のように、本充電システムは、電動車１と、電動車１に搭載されたバッテリー１９を充電する充電設備２とによって例示される。電動車１は、充電制御装置１０と、充電制御装置１０によって制御されるバッテリー１９とを有している。

充電制御装置１０は、ＣＰＵ１１と、主記憶部１２と、外部インターフェース（Ｉ／Ｆ）に接続される外部機器を有し、プログラムにより情報処理を実行する。外部機器としては、外部記憶部１３、外部通信部１６Ａを例示できる。さらに、外部機器として、電力線通信部１６Ｂが例示される。ＣＰＵ１１と主記憶部１２を合わせて制御部ということができる。充電制御装置１０が電動車１等の車両に搭載される場合には、制御部は、Electronic Control Unit（ＥＣＵ）とも呼ばれる。

ＣＰＵ１１は、主記憶部１２に実行可能に展開されたコンピュータプログラムを実行し、充電制御装置１０の機能を提供する。主記憶部１２は、単にメモリとも呼ばれ、ＣＰＵ１１が実行するコンピュータプログラム、ＣＰＵ１１が処理するデータ等を記憶する。ＣＰＵ１１はプロセッサとも呼ばれる。

主記憶部１２は、Dynamic Random Access Memory（ＤＲＡＭ）、Static Random Access
Memory（ＳＲＡＭ）、Read Only Memory（ＲＯＭ）等である。さらに、外部記憶部１３
は、例えば、主記憶部１２を補助する記憶領域として使用され、ＣＰＵ１１が実行するコンピュータプログラム、ＣＰＵ１１が処理するデータ等を記憶する。外部記憶部１３は、ハードディスクドライブ、Solid State Drive（ＳＳＤ）等である。

外部通信部１６Ａは、公衆ネットワーク上の他の装置とデータを授受する。例えば、ＣＰＵ１１は、外部通信部１６Ａを通じて公衆ネットワーク上の事業者のコンピュータと通信する。外部通信部１６Ａは、携帯電話網にアクセスする無線通信装置であってもよい。また、外部通信部１６Ａは、無線(Local Area Network)ＬＡＮにアクセスする通信装置であってもよい。

電力線通信部１６Ｂは、電力線通信部２６Ｂと信号を送受信する。すなわち、電力線通信部１６Ｂは、充電設備２とPower Line Communications（ＰＬＣ）を実行する。なお、
電力線通信部１６Ｂは内部にＣＰＵと、メモリと、入出力インターフェース、通信インターフェース等を有してもよい。本実施の形態では、充電制御装置１０は、外部通信部１６Ａまたは電力線通信部１６Ｂにより、充電設備２と通信し、充電の要求および課金処理を実行する。

また、充電制御装置１０は、さらに、表示部、操作部を有してもよい。表示部は、例えば、液晶ディスプレイ、エレクトロルミネッセンスパネル等である。操作部は、例えば、キーボード、ポインティングデバイス等である。

充電設備２の構成は、電動車１の充電制御装置１０と同様である。充電設備２は、ＣＰＵ２１と、主記憶部２２と、外部インターフェース（Ｉ／Ｆ）に接続される外部機器を有し、プログラムにより情報処理を実行する。外部機器としては、外部記憶部２３、外部通信部２６ＡおよびＥＩＭリーダ２Ａを例示できる。さらに、外部機器として、電力線通信部２６Ｂが例示される。充電設備２のうち、ＥＩＭリーダ２Ａ以外の構成は、電動車１の充電制御装置１０と同様であるので、その説明を省略する。

ＥＩＭリーダ２Ａは、クレジットカード等のＩＣカードから、接触または非接触で情報を読み取るカードリーダ、ＱＲコード（登録商標）を読み取る画像読み取り装置、ＲＦＩＤリーダ等である。

電動車１の充電制御装置１０と充電設備２は、電源回路２９のプラグがバッテリー１９を充電する電力回路に接続されると、例えば、電力線通信部１６Ｂ、２６Ｂによって相互に通信し、ＴＬＳ認証およびＶ２Ｇ通信を実行する。電動車１の充電制御装置１０と充電設備２は、ＴＬＳ認証およびＶ２Ｇ通信により、相互に認証し、電動車１のバッテリー１９への充電と、充電に対する課金処理を実行する。ただし、電動車１の充電制御装置１０と充電設備２は、電源回路２９のプラグがバッテリー１９を充電する電力回路に接続されると、外部通信部１６Ａ、２６Ａを介して通信するようにしてもよい。

（処理手順）
図４は、電動車１の充電制御装置１０と充電設備２との間のＰｎＣでの課金処理までの手順を例示するシーケンス図である。図４の手順は、充電設備２のプラグ２Ｂが電動車１の受電部に接続されたときに開始する。この手順は、ＴＬＳハンドシェークと、ハンドシェーク後のＶ２Ｇ通信とを含む。

ＴＬＳハンドシェークでは、電動車１は、自身が有するＶ２Ｇ ＲＯＯＴ証明書を充電設備２に通知する。一方、充電設備２は、電動車１から受けたＶ２Ｇ ＲＯＯＴ証明書を含むメッセージに対する応答を返す。ＴＬＳハンドシェークでは、電動車１から充電設備２への要求と、充電設備２から電動車１への応答によって、最終的には、電動車１と充電設備２が互いに秘密鍵を共有する。そして、秘密鍵を用いて、以降のＶ２Ｇ通信が実行される。

ここで、ＰｎＣにおいて生じ得る問題点を例示する。ここでは、ＴＬＳハンドシェークおよびその後のＶ２Ｇ通信において、充電のための通信セッションが停止する事象の発生が想定される。まず、ＴＬＳハンドシェークにおいて生じ得る問題点を例示する。

（１）充電設備２が電動車１から通知されたＶ２Ｇ ＲＯＯＴ証明書と同一のＶ２Ｇ ＲＯＯＴ証明書を検出できず、その結果、通信セッションが停止することが想定される。
これは、電動車１が保持するＶ２Ｇ ＲＯＯＴ証明書を発行した認証局と、充電設備２または充電設備２が参照可能な事業者のコンピュータが保持するＶ２Ｇ ＲＯＯＴ証明書を発行した認証局とが異なる場合である。Ｖ２Ｇ ＲＯＯＴ証明書を発行する認証局は複数存在する。このため、電動車１が保持するＶ２Ｇ ＲＯＯＴ証明書を発行した認証局と同一の認証局から、充電設備２または充電設備２が参照可能な事業者のコンピュータがＶ２Ｇ ＲＯＯＴ証明書の発行を受けているとは限らない。このような場合には、充電設備２は、ＴＬＳによるハンドシェークを続行できず、通信セッションが停止する。なお、電動車１から通知されたＶ２Ｇ ＲＯＯＴ証明書の有効期限が切れている場合等においても、充電設備２は、ＴＬＳによるハンドシェークを続行できず、通信セッションが停止する。

（２）充電設備２が電動車１から通知されたＶ２Ｇ ＲＯＯＴ証明書と同一のＶ２Ｇ ＲＯＯＴ証明書を検出できない場合にさらに次のことが想定される。すなわち、このような場合、充電設備２が、電動車１から通知されたＶ２Ｇ ＲＯＯＴ証明書とは異なるＶ２Ｇ ＲＯＯＴ証明書に関連付けられた証明書チェーンを電動車１に送信することが想定される。この場合、電動車１が充電設備２から送信された証明書チェーンの異常を検出し、通信セッションが停止する。

（３）充電設備２がオフライン時にＯＣＳＰ応答が得られず、証明書チェーンの有効期限または有効性の検証ができない場合が想定される。充電設備２は、例えば、定期的にＯＣＳＰレスポンダに対して証明書チェーンの有効期限または有効性の検証を依頼している。例えば、電動車１から通知されたＶ２Ｇ ＲＯＯＴ証明書に関連付けられた証明書チェーンのいずれかの証明書に対して有効期限の検証がなされていない場合があり得る。このとき、充電設備２または充電設備２に接続される事業者のコンピュータが、ＯＣＳＰレスポンダと通信できないオフライン状態であると、証明書チェーンが失効していないことを示すＯＣＳＰ応答を得ることができない。このような場合には、充電設備２は、ＴＬＳによるハンドシェークを続行できず、通信セッションが停止する。

次に、Ｖ２Ｇ通信において生じ得る問題点を例示する。これは、第１の証明書であるＶ２Ｇ ＲＯＯＴ証明書およびこれに関連付けられた証明書チェーンによって充電制御装置１０と充電設備２との間の通信の安全が確保された後の処理における問題である。なお、Ｖ２Ｇ ＲＯＯＴ証明書は、充電制御装置１０と充電設備２との間の通信の安全を確保するための証明書の一例ということができる。

（４）Ｖ２Ｇ通信において、Contract証明書が電動車１に提供されない場合に、通信セッションが停止することが想定される。Ｖ２Ｇ通信では、図４のようなメッセージの交換により、充電制御および課金処理がなされる。例えば、電動車１が充電設備２にServiceDiscoveryReqを送信し、充電設備２はServiceDiscoveryResによって、電動車１に提供可能なサービスのリストを返信する。また、電動車１が充電設備２にServiceDetailReqを送信し、充電設備２はServiceDetailResによって、電動車１にサービスの詳細を通知する。

また、電動車１が充電設備２にCertificateInstallationReqによって、充電設備２に、現時点で有効な契約の証明書（Contract証明書）を発行するように求める。これに対して、充電設備２は電動車１に、CertificateInstallationResによってContract証明書を返信する。Contract証明書は、電力を供給する事業者（モビリティサービス提供事業者という）と電動車１のユーザとの間の契約の詳細を示す契約書である。そして、電動車１が充電設備２にPaymentDetailReqによって、例えば、Contract証明書を指定して、課金の仕方を要求する。この要求に対して、充電設備２は、PaymentDetailResによって電動車１へ応答する。

Contract証明書は、電動車１が事前に電動車１の製造元、販売元のコンピュータ、また
は電力を供給するモビリティサービス提供事業者に発行を求めることも可能である。ただし、図４の例では、電動車１が充電を受けるときに、充電設備２にContract証明書の発行を要求する手順を例示している。この場合、電動車１は、充電設備２に対して、電動車１の製造元、販売元から発行された証明書（ＯＥＭ プロビジョニング証明書）を提示する。充電設備２は、電動車１から通知されたＯＥＭ プロビジョニング証明書に関連付けられた有効なContract証明書を有している場合には、Contract証明書を電動車１に提供できる。

しかしながら、充電設備２または充電設備２が参照可能な事業者のコンピュータが、ＯＥＭ プロビジョニング証明書に関連付けられた有効なContract証明書を保持していない場合、Ｖ２Ｇ通信のセッションが停止する。有効なContract証明書を保持していない場合とは、例えば、そのContract証明書の有効期限が到来している場合、ＯＥＭ プロビジョニング証明書への電子署名が無効な場合、そのContract証明書に対する電子署名が無効な場合等である。このような場合には、充電設備２は、Contract証明書を電動車１に提供できないので、通信セッションが停止する。なお、図４で例示されたAuthorizationRes, AuthorizationReqについては、ＩＳＯ－１５１１８に定義されているので、その説明を省略する。

以下、上記（１）乃至（４）の問題に対応する電動車１の充電制御装置１０による処理を例示する。図５は、電動車１が充電設備２にＶ２Ｇ ＲＯＯＴ証明書を通知して異常が検知されたときの処理例である。すなわち、図５は、電動車１が有するＶ２Ｇ ＲＯＯＴ証明書に起因する異常停止検出時の処理である。このような場合、電動車１の充電制御装置１０は、電動車１のＶ２Ｇ ＲＯＯＴ証明書の有効性検証を実施する（Ｓ１）。より具体的には、充電制御装置１０は、電動車１の製造元または販売元のコンピュータであるＯＥＭサーバ５に対してＯＣＳＰ要求を送信し、Ｖ２Ｇ ＲＯＯＴ証明書の有効性を確認する。なお、ここでは、充電制御装置１０は、外部通信部１６Ａによりネットワーク上のＯＥＭサーバ５にアクセスする。

そして、充電制御装置１０は、自身が保持するＶ２Ｇ ＲＯＯＴ証明書が有効か否かを判定する（Ｓ２）。充電制御装置１０が保持するＶ２Ｇ ＲＯＯＴ証明書が有効でない場合、充電制御装置１０は、ＯＥＭサーバ５にＶ２Ｇ ＲＯＯＴ証明書の更新を要求する（Ｓ３）。Ｖ２Ｇ ＲＯＯＴ証明書が更新されることで、異常は解消する。したがって、ＯＥＭサーバ５は、第１の証明書であるＶ２Ｇ ＲＯＯＴ証明書の発行が可能なネットワーク上の管理装置の一例ということができる。

一方、Ｓ２の判定で、自身が保持するＶ２Ｇ ＲＯＯＴ証明書が有効である場合、充電制御装置１０は、充電設備２から証明書チェーンを受信しているか否かを判定する（Ｓ４）。Ｓ２の判定で、充電制御装置１０が保持するＶ２Ｇ ＲＯＯＴ証明書が有効である場合には、異常は、充電制御装置１０が保持するＶ２Ｇ ＲＯＯＴ証明書と充電設備２が保持するＶ２Ｇ ＲＯＯＴ証明書が整合しないことに起因するものであると想定できる。このような場合で、充電制御装置１０が充電設備から証明書チェーンを受信している場合、ＯＥＭサーバ５に、当該証明書チェーンに対応するＶ２Ｇ ＲＯＯＴ証明書を取得するため、更新を要求する（Ｓ５）。

すなわち、電動車１と充電設備２とで、それぞれが保有するＶ２Ｇ ＲＯＯＴ証明書に不一致があっても、充電設備２から電動車１に、充電設備２が有するＶ２Ｇ ＲＯＯＴ証明書に関連付けられた証明書チェーンが返信される場合がある。この場合には、電動車１の充電制御装置１０は、充電設備２から送付された証明書チェーンに対応するＶ２Ｇ ＲＯＯＴ証明書の発行元の認証局を認識できる。そこで、電動車１は、電動車１の製造元または販売元のコンピュータであるＯＥＭサーバ５から、証明書チェーンに対応するＶ２Ｇ
ＲＯＯＴ証明書を取得することで、異常が解消する。この場合、証明書チェーンは、充電設備２が保持するＶ２Ｇ ＲＯＯＴ証明書を特定する情報の一例ということができる。また、Ｓ５の処理は、充電設備２が保持するＶ２Ｇ ＲＯＯＴ証明書に整合するＶ２Ｇ ＲＯＯＴ証明書をＯＥＭサーバ５に発行させる処理の一例ということができる。

Ｓ４の判定で、充電制御装置１０は、充電設備２から証明書チェーンを受信していない場合、充電制御装置１０は、直ちに異常を解消する情報がない。すなわち、この場合は、異常が、充電制御装置１０が保持するＶ２Ｇ ＲＯＯＴ証明書と充電設備２が保持するＶ２Ｇ ＲＯＯＴ証明書が整合しない場合である。かつ、この場合は、充電制御装置１０が、充電設備２が保持するＶ２Ｇ ＲＯＯＴ証明書を特定する情報を充電設備２から取得できない場合である。

そこで、このような場合には、充電制御装置１０は、充電設備２のMedia Access Control（ＭＡＣ）アドレスを記憶する（Ｓ６）。このＭＡＣアドレスは、ＰｎＣによる課金で問題が生じる充電設備２を識別情報である。そこで、次回以降の充電において、充電制御装置１０が記憶したＭＡＣアドレスと、次回の充電において、接続先の充電設備２のＭＡＣアドレスが一致するか否かを判定する（Ｓ７）。充電制御装置１０が記憶したＭＡＣアドレスと、次回の接続先の充電設備２のＭＡＣアドレスが一致する場合、充電制御装置１０は、次回の接続先の充電設備２では、ＰｎＣによる課金で問題が生じると判断できる。そこで、充電制御装置１０は、第１の認証手続であるＰｎＣによる充電ではなく、これに代わるＥＩＭによる認証モード（外部認証方式）での充電動作に切り替える（Ｓ８）。これによって、充電制御装置１０は、ＰｎＣによる充電での異常の発生を抑制できる。ＥＩＭによる認証モードは、第２の認証手続ということができる。

一方、充電制御装置１０が記憶したＭＡＣアドレスと、次回接続先の充電設備のＭＡＣアドレスが一致しない場合、充電制御装置１０はＰｎＣによる充電動作を実施すればよい（Ｓ９）。以上から、図５の処理は、第１の認証手続であるＰｎＣにおいて異常が検知されたときに、異常の種類に応じてＰｎＣまたはＰｎＣに代わる第２の認証手続であるＥＩＭによる認証モードが実施されるように設定する処理の一例ということができる。

図６は、充電設備２において、証明書チェーンの有効性が確認でなかった場合の電動車１の充電制御装置１０による処理例である。すなわち、充電設備２から返信された証明書チェーンにＯＣＳＰ応答による有効性の確認結果が添付されていない場合、充電制御装置１０は、図６の処理を実行すればよい。

この処理では、充電制御装置１０は、充電設備２から返信された証明書チェーンの全証明書を電動車１の現在時刻を基に失効していないか、検証する（Ｓ１１）。そして、充電制御装置１０は、証明書チェーンのすべての証明書が有効か否かを判定する（Ｓ１２）。証明書チェーンのすべての証明書が有効である場合、充電制御装置１０は、通常のＰｎＣ動作を継続すればよい（Ｓ１３）。

一方、証明書チェーンのいずれかの証明書が失効している場合、充電制御装置１０は、当該証明書チェーンによってＴＬＳのハンドシェークを続行できない。この場合の異常は、充電設備２に起因するものであり、電動車１の充電制御装置１０は解決困難である。すなわち、この場合の異常は、充電設備２に保持された証明書が有効でないことに起因するとといえる。そこで、充電制御装置１０は、充電設備２のＭＡＣアドレスを記憶する（Ｓ１４）。このＭＡＣアドレスは、ＰｎＣによる課金で問題が生じる充電設備２の識別情報である。

そして、次回以降の充電において、充電制御装置１０が記憶したＭＡＣアドレスと、次
回の接続先の充電設備のＭＡＣアドレスが一致するか否かを判定する（Ｓ１５）。充電制御装置１０が記憶したＭＡＣアドレスと、次回の接続先の充電設備２のＭＡＣアドレスが一致する場合、充電制御装置１０は、次回の接続先の充電設備では、ＰｎＣによる課金で問題が生じると判断できる。そこで、充電制御装置１０は、第１の認証手続としてのＰｎＣによる充電ではなく、これに代わる２の認証手続であるＥＩＭによる認証モードでの充電動作に切り替える（Ｓ１６）。これによって、充電制御装置１０は、ＰｎＣによる充電での異常の発生を抑制できる。

一方、充電制御装置１０が記憶したＭＡＣアドレスと、次回接続先の充電設備のＭＡＣアドレスが一致しない場合、充電制御装置１０はＰｎＣによる充電動作を実施すればよい（Ｓ１７）。以上から、図６の処理は、第１の認証手続であるＰｎＣにおいて異常が検知されたときに、異常の種類に応じてＰｎＣまたはＰｎＣに代わる第２の認証手続であるＥＩＭによる認証モードが実施されるように設定する処理の一例ということができる。

図７は、電動車１の充電制御装置１０が充電設備２に、Contract証明書を要求して異常が検出されたときの処理例である。これは、図４で述べたように、第１の証明書であるＶ２Ｇ ＲＯＯＴ証明書およびこれに関連付けられた証明書チェーンによって充電制御装置１０と充電設備２との間の通信の安全が確保された後の処理である。図１で述べたように、Contract証明書は、電動車１が充電設備２から充電を受けるための第２の証明書ということができる。また、電動車１の充電制御装置１０が充電設備２に、Contract証明書を要求する場合とは、充電制御装置１０が充電設備２から充電を受けるためのContract 証明
書を有していない場合である。

この場合、電動車１の充電制御装置１０は充電設備２にContract証明書のインストールを要求する（Ｓ２１）。そして、充電制御装置１０は、正常にContract証明書を取得できたか否かを判定する（Ｓ２２）。充電制御装置１０が正常にContract証明書を取得できた場合には、処理をＳ２５に進め、通常のＰｎＣ動作を継続する。

一方、充電設備２または充電設備２が参照可能な事業者のコンピュータが、有効なContract証明書を保持していない場合がある。この場合には、充電設備２は、充電制御装置１０に異常を通知する。この場合には、充電制御装置１０はContract証明書を取得できない。

充電設備２から異常が通知されると、充電制御装置１０は、電動車１の製造元または販売元のコンピュータであるＯＥＭサーバ５に対してContract証明書のインストールを要求する（Ｓ２３）。ＯＥＭサーバ５は、第２の証明書であるContract証明書の発行が可能なネットワーク上の管理装置の一例ということができる。そして、充電制御装置１０は、ＯＥＭサーバ５からContract証明書のインストールが可能であるか否かを判定する（Ｓ２４）。Contract証明書のインストールが可能である場合、充電制御装置１０は、ＯＥＭサーバ５からContract証明書をインストールし、通常のＰｎＣ動作を継続する（Ｓ２５）。

一方、Contract証明書のインストールが可能でない場合、充電制御装置１０は、Contract証明書の証明書ＩＤを記憶する（Ｓ２６）。証明書ＩＤは、第２の証明書であるContract証明書の識別情報ということができる。

Contract証明書のインストールができない場合とは、例えば、Contract証明書を発行する事業者（モビリティサービス提供事業者）とユーザとの間で情報が共有されていない場合等である。これは、Contract証明書発行の準備が整っていない場合ということができる。そこで、充電制御装置１０は、次回、充電設備２との接続時に、Ｓ２６で記憶した証明書ＩＤで特定されるContract証明書が未更新のままか否かを再度判定する（Ｓ２７）。Ｓ
２７の処理は、次回以降の充電において、有効なContract証明書が取得できているか否かを判定する処理の一例である。Contract証明書が未更新のままの場合、充電制御装置１０は、第１の認証手続に代わる第２の認証手続であるＥＩＭ認証モードでの充電動作を実行する（Ｓ２８）。これにより、充電制御装置１０は、Contract証明書がないこと、または、未更新であることによる充電動作の異常を回避できる。一方、Contract証明書が更新済みの場合、充電制御装置１０は、第１の認証手続であるＰｎＣでの充電動作を実行する（Ｓ２９）。以上から、図７の処理は、第１の認証手続であるＰｎＣにおいて異常が検知されたときに、異常の種類に応じてＰｎＣまたはＰｎＣに代わる第２の認証手続であるＥＩＭによる認証モードが実施されるように設定する処理の一例ということができる。

（実施の形態の効果）
ＰｎＣでの充電動作では、現状多くの課題が存在すると想定される。例えば、電動車１と充電設備２との間で、証明書の互換性がなく通信セッションが停止してしまうという事象が起こり得る。このような事象としては、例えば、車両が保持しているＶ２Ｇ Ｒｏｏｔ証明書を充電設備２が見つけられない、充電設備２が証明書提供のサービスに対応していない、電動車１に保持されている証明書が無効になっている、といった問題が考えられる。このような場合、通信セッションが停止してしまうが、再度、電動車１が同一の充電設備２と接続したときに、問題の根本原因が解決していない限り同じ事象が繰り返し発生することが考えられる。本実施の形態によれば、事象の種類、あるいは、問題の種類に応じて、このような事象が繰り返し発生することを回避することが可能となる。

より具体的には、電動車１の充電制御装置１０は、まず、充電設備２との間でＰｎＣによる充電と課金の動作（第１の認証手続）を実施する。そして、異常が検知されたときに、電動車１の充電制御装置１０は、異常の種類に応じて第１の認証手続または第１の認証手続に代わる第２の認証手続が実施されるように設定する。ここで、第２の認証手続は、例えば、ＥＩＭによる外部認証方式での認証手続である。このため、充電制御装置１０は、異常の種類に応じて、適切に、次回の充電における異常の発生を回避できる。

さらに具体的には、充電制御装置１０は、第１の証明書であるＶ２Ｇ ＲＯＯＴ証明書が有効でないことに起因する異常の場合には、Ｖ２Ｇ ＲＯＯＴ証明書の発行が可能なネットワーク上のＯＥＭサーバ５に有効なＶ２Ｇ ＲＯＯＴ証明書を発行させる。また、Ｖ２Ｇ ＲＯＯＴ証明書が充電設備２の保持するＶ２Ｇ ＲＯＯＴ証明書と整合しないことに起因する異常が発生した場合は、充電制御装置１０は以下のように処理する。

まず、充電制御装置１０が、充電設備２が保持するＶ２Ｇ ＲＯＯＴ証明書を特定する情報を充電設備２から取得できた場合には、充電制御装置１０は、ＯＥＭサーバ５にＶ２Ｇ ＲＯＯＴ証明書を管理装置としてのＯＥＭサーバ５に発行させる。ここで、証明書を特定する情報とは、充電設備２が保持するＶ２Ｇ ＲＯＯＴ証明書に関連付けされる証明書チェーンである。これにより、充電設備２が保持するＶ２Ｇ ＲＯＯＴ証明書が取得さえると、充電制御装置１０は、ＰｎＣによって充電の処理を受けることができる。

一方、充電制御装置１０が、充電設備２が保持するＶ２Ｇ ＲＯＯＴ証明書を特定する情報を充電設備２から取得できない場合には、充電制御装置１０は、充電設備２の識別情報であるＭＡＣアドレスを記憶する。これにより、充電制御装置１０は、次回以降の充電において、充電設備２との間で第１の認証手続であるＰｎＣに代わる第２の認証手続として、ＥＩＭによる認証モードが実施されるように設定する。したがって、充電制御装置１０は、異常の種類に応じて、適切に、次回の充電における異常の発生を回避できる。

さらに、異常が充電設備２に保持された証明書チェーンが有効でないことに起因する場合には、充電制御装置１０は、充電設備２との間で第１の認証手続であるＰｎＣに代わる
第２の認証手続としてＥＩＭによる認証モードが実施されるように設定する。したがって、充電制御装置１０は、異常の種類に応じて、適切に、次回の充電における異常の発生を回避できる。

ところで、第１の証明書であるＶ２Ｇ ＲＯＯＴ証明書は充電設備２との間の通信の安全を確保するための証明書である。充電制御装置１０は、第１の証明書であるＶ２Ｇ ＲＯＯＴ証明書によって充電装置との間の通信の安全が確保された後に、Contract証明書によってＶ２Ｇ通信により、充電の処理を受ける。しかし、充電制御装置１０がContract証明書を有していない場合があり得る。この場合、充電制御装置１０は充電設備２にContract証明書を要求してもよい。しかし、充電設備２が有効なContract証明書を充電制御装置１０に提供できない場合もあり得る。この場合には、充電制御装置１０はContract証明書の発行が可能なネットワーク上の管理装置であるＯＥＭサーバ５に有効なContract証明書を要求する。このようにして、充電制御装置１０が有効なContract証明書を取得できた場合には、ＰｎＣによって充電の処理を受けることができる。

しかし、充電制御装置１０は、有効なContract証明書を取得できない場合には、そのContract証明書の識別情報を記憶しておき、次回以降の充電において、有効なContract証明書が取得されているか否かを判定する。そして、有効なContract証明書が取得できていない場合には、充電制御装置１０は、充電設備２との間で第１の認証手続であるＰｎＣに代えて、第２の認証手続として、ＥＩＭによる認証モードでの充電動作を実施させる。このようにして、充電制御装置１０は、異常の種類に応じて、適切に、次回の充電における異常の発生を回避できる。

（コンピュータが読み取り可能な記録媒体）
コンピュータその他の機械、装置（以下、コンピュータ等）に上記いずれかの機能を実現させるプログラムをコンピュータ等が読み取り可能な記録媒体に記録することができる。そして、コンピュータ等に、この記録媒体のプログラムを読み込ませて実行させることにより、その機能を提供させることができる。

ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読み取ることができる記録媒体をいう。このような記録媒体のうちコンピュータ等から取り外し可能なものとしては、例えばフレキシブルディスク、光磁気ディスク、ＣＤ－ＲＯＭ、ＣＤ－Ｒ／Ｗ、ＤＶＤ、ブルーレイディスク、ＤＡＴ、８ｍｍテープ、フラッシュメモリなどのメモリカード等がある。また、コンピュータ等に固定された記録媒体としてハードディスク、ＲＯＭ（リードオンリーメモリ）等がある。さらに、ＳＳＤ（Solid State Drive）は、コンピュータ等から取り外し可能な記録媒体としても、コンピュータ
等に固定された記録媒体としても利用可能である。

１ 電動車
２ 充電設備
５ ＯＥＭサーバ
１０ 充電制御装置
１１、２１ ＣＰＵ
１２、２２ 主記憶部
１３、２３ 外部記憶部
１６Ａ、２６Ａ 外部通信部
１６Ｂ、２６Ｂ 電力線通信部
１９ バッテリー
２９ 電源回路
２Ａ ＥＩＭリーダ
２Ｂ プラグ

Claims (12)

1. バッテリーを搭載した装置に設けられる充電制御装置であって、
   前記バッテリーを充電する外部の充電装置との間で第１の認証手続を実施することと、
   前記第１の認証手続において異常が検知された場合に、前記異常の種類に応じて前記第１の認証手続または前記第１の認証手続に代わる第２の認証手続を実施することと、を実行する制御部を備える充電制御装置。
2. 証明書を記憶する記憶装置をさらに備え、
   前記制御部は
   前記異常が前記記憶装置に記憶された第１の証明書が有効でないことに起因する場合には、前記第１の証明書の発行が可能なネットワーク上の管理装置に有効な第１の証明書を発行させて前記第１の認証手続を実施し、
   前記異常が前記第１の証明書と前記充電装置の保持する証明書とが整合しないことに起因する場合で、かつ、前記充電装置の保持する証明書を特定する情報を前記充電装置から取得できた場合には、前記充電装置の保持する証明書に整合する前記第１の証明書を前記管理装置に発行させて前記第１の認証手続を実施すること、を実行する請求項１に記載の充電制御装置。
3. 前記制御部は、
   前記異常が前記第１の証明書と前記充電装置の保持する証明書とが整合しないことに起因する場合で、かつ、前記充電装置の保持する証明書を特定する情報を前記充電装置から取得できない場合には、次回以降の充電において、前記充電装置との間で前記第１の認証手続に代わる前記第２の認証手続が実施されるように前記充電装置の識別情報を記憶することを実行する請求項２に記載の充電制御装置。
4. 前記制御部は、
   前記異常が前記充電装置に保持された証明書が有効でないことに起因する場合には、前記充電装置との間で前記第１の認証手続に代わる前記第２の認証手続が実施されるように前記充電装置の識別情報を記憶することを実行する請求項１に記載の充電制御装置。
5. 前記第１の証明書は前記充電装置との間の通信の安全を確保するための証明書であり、
   前記制御部は、前記第１の証明書によって前記充電装置との間の通信の安全が確保された後に、前記充電装置から充電を受けるための第２の証明書を有していない場合には、前記管理装置に前記第２の証明書の発行を要求し、
   前記要求に対して、前記管理装置から前記第２の証明書が取得できた場合には、前記充電装置との間で前記第１の認証手続を実施する請求項２に記載の充電制御装置。
6. 前記制御部は、
   前記要求に対して、前記管理装置から前記第２の証明書が取得できない場合には、前記第２の証明書の識別情報を記憶しておき、次回以降の充電において、前記第２の証明書が取得できているか否かを判定し、前記第２の証明書を取得できていない場合には、前記充電装置との間で前記第１の認証手続に代えて、前記第２の認証手続を実施する請求項５に記載の充電制御装置。
7. バッテリーを搭載した装置に設けられる充電制御装置が、
   前記バッテリーを充電する外部の充電装置との間で第１の認証手続を実施することと、
   前記第１の認証手続において異常が検知された場合に、前記異常の種類に応じて前記第１の認証手続または前記第１の認証手続に代わる第２の認証手続を実施することと、を実行する充電制御方法。
8. 前記充電制御装置は、
   前記異常が前記充電制御装置に記憶された第１の証明書が有効でないことに起因する場合には、前記第１の証明書の発行が可能なネットワーク上の管理装置に有効な第１の証明書を発行させて前記第１の認証手続を実施し、
   前記異常が前記第１の証明書と前記充電装置の保持する証明書とが整合しないことに起因する場合で、かつ、前記充電装置の保持する証明書を特定する情報を前記充電装置から取得できた場合には、前記充電装置の保持する証明書に整合する前記第１の証明書を前記管理装置に発行させて前記第１の認証手続を実施すること、を実行する請求項７に記載の充電制御方法。
9. 前記充電制御装置は、
   前記異常が前記第１の証明書と前記充電装置の保持する証明書とが整合しない場合で、かつ、前記充電装置の保持する証明書を特定する情報を前記充電装置から取得できない場合には、次回以降の充電において、前記充電装置との間で前記第１の認証手続に代わる前記第２の認証手続が実施されるように前記充電装置の識別情報を記憶することを実行する請求項８に記載の充電制御方法。
10. 前記充電制御装置は、
    前記異常が前記充電装置に保持された証明書が有効でないことに起因する場合には、前記充電装置との間で前記第１の認証手続に代わる前記第２の認証手続が実施されるように前記充電装置の識別情報を記憶することを実行する請求項７に記載の充電制御方法。
11. 前記第１の証明書は前記充電装置との間の通信の安全を確保するための証明書であり、
    前記充電制御装置は、前記第１の証明書によって前記充電装置との間の通信の安全が確保された後に、前記充電装置から充電を受けるための第２の証明書を有していない場合には、前記装置に前記第２の証明書の発行を要求し、
    前記要求に対して、前記管理装置から前記第２の証明書が取得できた場合には、前記充電装置との間で前記第１の認証手続を実施する請求項８に記載の充電制御方法。
12. 前記充電制御装置は、
    前記要求に対して、前記管理装置から前記第２の証明書が取得できない場合には、前記第２の証明書の識別情報を記憶しておき、次回以降の充電において、前記第２の証明書が取得できているか否かを判定し、前記第２の証明書を取得できていない場合には、前記充電装置との間で前記第１の認証手続に代えて、前記第２の認証手続を実施する請求項１１に記載の充電制御方法。

Images