JP6069039B2 - ゲートウェイ装置及びサービス提供システム - Google Patents

Description

開示される主題は、車両内の電子制御装置（以下、ＥＣＵ）に記憶された情報に対する不正なアクセスを防止する装置、システム及びその方法に関する。

従来、エンジン等を制御する車両用ＥＣＵには、データの書き換えが可能な不揮発性メモリに制御情報を格納したものがある。このような制御情報は市場に供給後でも書き換え可能となっている。ＥＣＵは、ディーラが所持するリプログラミング用機器のような専用の書き換え装置（以下、書き換え専用装置）を用いて不揮発性メモリに格納される制御情報を書き換えることができるため、書き換え専用装置自体が盗まれた場合、書き換え専用装置内部の情報が盗まれた場合、または、偽の装置によって正当な書き換え専用装置になりすまされた場合には、制御情報への不正なアクセスを防止できないという問題があった。

このような問題に対して、書き換え専用装置または書き換え専用装置の内部情報が盗まれた場合であっても、ＥＣＵ内の制御情報への不正なアクセスを防止するシステムについては、特許文献１（段落００２０）に記載されている。

また、上記ＥＣＵを備えた車載ネットワークにゲートウェイを導入することにより、偽の装置のなりすましによる、ＥＣＵへの不正なアクセスを防止するシステムについては、特許文献２（段落００１３）に記載されている。

特開２００１−２２５７０６号公報 特開２００５−３４３４３０号公報

今後はスマートフォンのような通信機能付き情報処理装置やインターネット上のサーバなど（以下、外部接続装置）によるＥＣＵに記憶された情報へのアクセスが想定される。外部接続装置によるＥＣＵに記憶された情報へのアクセスは、自動車メーカやディーラだけでなく、盗難防止や安全走行の補助などを目的にした様々なサービス提供元にも安全走行に影響を及ぼさない範囲で開放される可能性がある。

このため、サービス提供元ごとに権限を設定し、設定した権限に応じてアクセスを制御（許可、または、拒否）することが必要となる。しかし、特許文献１と特許文献２では、複数のサービス提供元を区別してアクセス可能範囲を設定する機能を有していない。

本明細書では、以上の問題に鑑みなされたものであり、ネットワークに接続された装置に記憶された情報に対する他の装置からのアクセスに対して、当該他の装置、または、その装置の利用者に設定された権限に応じて、当該情報へのアクセス可否を制御する、ゲートウェイ装置、システム、及び、その方法が開示される。制御に際しては、アクセスの種類（例えば、読み出し、または、書き込み）別に制御することが望ましい。

情報を記憶している装置とは、例えば、車載ネットワークに接続された車両用の電子制御装置（ＥＣＵ）であり、他の装置とは、車載ネットワークに接続された車外ネットワークを介して、上記ＥＣＵにアクセスしようとする、上述のような様々なサービス提供元に設置された装置である。

具体的には、アクセス元となる、車外ネットワークに接続されたサービス提供元の装置ごとに、各ＥＣＵや、それぞれに記憶されている個々の情報に対するアクセス可否を、アクセス種別を含めて制御できる車両情報中継制御システム及びその方法が開示される。

より具体的には、モータの制御や情報を記憶する処理装置に対するアクセス判定制御を実行するゲートウェイを設置し、サービス提供元サイトにユーザからの依頼に応じて、処理装置の制御情報の読み出しサービス及び書き換えサービスを提供するサービス提供サーバを設置し、自動車メーカサイトにアクセスコントロールリスト（以下、ＡＣＬ）を管理するＡＣＬ管理サーバを設置する。ＡＣＬ管理サーバは、サービス提供元ごとにアクセス可能な範囲（処理装置や、アクセスの種別、アクセス可能な情報を定めたＡＣＬ及びＡＣＬの変更（内容の変更、または、追加、削除）可否を判定するためのＡＣＬ変更判定情報を管理し、サービス利用時においてＡＣＬをゲートウェイに送信する。なお、ユーザはサービス提供元にサービスの実行を依頼するために、スマートフォンのような通信機能付き情報処理装置を利用する。

まず、サービス提供元のサービス提供サーバはゲートウェイにアクセスする前に、ＡＣＬ管理サーバから提供可能なサービス内容を取得しておく。

サービス申込内容登録時、ユーザが所有する通信機能付き情報処理装置は、ゲートウェイから自動車の識別子として、例えばVehicle Identification Number（以下、ＶＩＮ）を取得し、サービス提供元にＶＩＮ、ユーザ情報、提供してもらいたいサービス内容の新規登録や変更（追加、または、削除を含む）の依頼をサービス提供サーバに送信する。

サービス提供サーバはＡＣＬ管理サーバに、サービスの提供許可内容の変更を依頼する。

ＡＣＬ管理サーバは、サービス提供サーバから依頼された内容と、ＡＣＬ変更判定情報と、を比較し、依頼されたサービス提供に必要な処理装置へのアクセスの可否を判定する。サービス提供元のアクセス可能範囲がＡＣＬ変更判定情報で定められている場合、ＡＣＬ管理サーバは、ＡＣＬを変更する。サービス提供元のアクセス可能範囲がＡＣＬ変更判定情報で定められていない場合、ＡＣＬ管理サーバは、ＡＣＬを変更せずにサービス提供サーバにエラーを通知する。

ユーザが提供を希望するサービスがサービス提供サーバに登録済みの場合、サービス提供サーバは、ユーザが所有する通信機能付き情報処理装置から送信されたサービス実行依頼にもとづいて、ゲートウェイにアクセス指示情報を通知する。

ゲートウェイは、サービス提供サーバからアクセス指示情報を受信すると、ＡＣＬ管理サーバからＡＣＬを取得する。サービス提供サーバから依頼されたサービス提供に必要な処理装置へのアクセスがＡＣＬにて認められている場合、ゲートウェイは依頼されたサービスを実行し、実行結果をサービス提供サーバに通知する。サービス提供に必要なアクセスがＡＣＬにて認められていない場合、ゲートウェイはサービス提供サーバにエラーを通知する。

また、ＡＣＬ管理サーバは、変更したＡＣＬを、有効期限を付与して通信機能付き情報処理装置へ送信しても良い。また、サービス提供サーバは、ゲートウェイと通信できない場合に、アクセス指示情報を、通信機能付き情報処理装置へ送信しても良い。

これらの処理により、電波が届かずにゲートウェイがサービス提供サーバ及びＡＣＬ管理サーバに接続できないが、通信機能付き情報処理装置が、ゲートウェイとBluetooth（登録商標）通信やUniversal Serial Bus（以下、ＵＳＢ）接続のようなサーバを介さない近距離通信が可能な場合、通信機能付き情報処理装置は、サービス実行依頼時に、送信されたアクセス指示情報を、ゲートウェイへ送信する。

ゲートウェイは、受信したアクセス指示情報を保持するとともに、ＡＣＬを通信機能付き情報処理装置から取得する。ゲートウェイが既にＡＣＬを保持している場合、ゲートウェイは各ＡＣＬの有効期限と変更日時を比較し、有効期限内かつ変更日時が最新のＡＣＬを用いてアクセス制御するとともに、アクセス実行指示情報に基づいてサービスを実行する。ゲートウェイがＡＣＬを保持していない場合、ゲートウェイは通信機能付き情報処理装置から取得したＡＣＬの有効期限を確認する。有効期限内であればＡＣＬとしてアクセス制御に利用し、アクセス実行指示情報に基づいてサービスを実行する。有効期限外であればエラーを通知する。

通信機能付き情報処理装置とのローカル通信も確立できない場合、ゲートウェイはＡＣＬを保持しているかを確認する。ＡＣＬを保持している場合、ゲートウェイは有効期限を確認し、ＡＣＬの有効期限が有効期限内であればＡＣＬとしてアクセス制御に利用し、有効期限外であればエラーを通知する。ＡＣＬを保持していない場合、ゲートウェイはエラーを通知する。

開示によれば、情報への外部装置からの正当なアクセスであっても、当該装置、または、その装置の利用者に応じて、アクセス可能な情報の範囲を制御できる。

ゲートウェイ及びそれを含む車載ネットワークシステムの構成を例示する。 ゲートウェイと車両外装置の連携のための全体システムの構成を例示する。 提供可能サービス取得処理シーケンスを例示する。 ＶＩＮ取得処理シーケンスを例示する。 申込内容登録処理シーケンスを例示する。 サービス利用時における処理シーケンスを例示する。 ＶＩＮ取得を実現するための通信機能付き情報処理装置における概要処理フローチャートを例示する。 申込内容登録及びＡＣＬ変更を実現するための通信機能付き情報処理装置における概要処理フローチャートを例示する。 サービス利用を実現するための通信機能付き情報処理装置における概略処理フローチャートを例示する。 ＶＩＮ取及びアクセス判定制御を実現するためのゲートウェイにおける概略処理フローチャートを例示する。 提供可能サービス登録を実現するためのサービス提供サーバにおける概要処理フローチャートを例示する。 申込内容登録及びサービス実行依頼を実現するためのサービス提供サーバにおける概要処理フローチャートを例示する。 ＡＣＬ取得、提供可能サービス取得、及びＡＣＬ変更を実現するためのＡＣＬ管理サーバにおける概要処理フローチャートを例示する。 サービス情報管理部におけるサービス提供依頼元情報のテーブル構成を例示する。 サービス情報管理部におけるアクセス指示情報のテーブル構成を例示する。 サービス情報管理部におけるサービス内容一覧のテーブル構成を例示する。 ＡＣＬ管理部におけるＡＣＬ取得依頼元情報のテーブル構成を例示する。 ＡＣＬ管理部におけるサービス提供元情報のテーブル構成を例示する。 ＡＣＬ管理部におけるアクセス内容一覧のテーブル構成を例示する。 ＡＣＬ管理部におけるＡＣＬ変更判定情報のテーブル構成を例示する。 ＡＣＬ管理部における変更判定ＡＣＬのテーブル構成を例示する。 アクセス制御管理部における判定用ＡＣＬのテーブル構成を例示する。 アクセス制御管理部におけるアクセス依頼元情報のテーブル構成を例示する。 アクセス制御管理部におけるアクセス先変換情報のテーブル構成を例示する。 アクセス制御管理部におけるアクセス実行指示情報のテーブル構成を例示する。 アクセス情報管理部におけるユーザ情報のテーブル構成を例示する アクセス情報管理部における取得済アクセス指示情報のテーブル構成を例示する。 アクセス情報管理部における取得済ＡＣＬのテーブル構成を例示する 通信機能付き情報処理装置に新たに更新するサービス内容の表示画面を例示する。 ＡＣＬ管理サーバと通信できない場合におけるゲートウェイにおける概要処理フローチャートを例示する。 アクセス判定制御をＡＣＬ管理サーバで行う場合のサービス利用時における処理シーケンスを例示する。

以下、図面を用いて実施の形態を詳細に説明する。

以下の実施形態では、本車両情報中継制御システムにより、サービス提供元ごとの権限に応じてアクセス可能な範囲をＡＣＬとして設定し、サービス提供元を区別してＥＣＵに対するアクセス範囲のきめ細やかな制御を可能とし、さらに、自動車メーカのＡＣＬ管理サーバがＡＣＬ変更判定情報を用いてＡＣＬを変更及び削除し、車載ネットワークシステム特有の管理者不在状況においてもアクセス可能範囲の安全な管理を可能とする車両情報中継制御システム及び方法の例を用いる。なお、各装置間の通信網においてはＳＳＬプロトコル、データ暗号化、データ認証等による安全な通信を利用することが好ましい。

[第１実施形態]
第一の実施形態として、サービス利用時にゲートウェイ装置（以下、単にゲートウェイという）１１がＡＣＬ管理サーバ４と通信可能である場合を想定する。

図１は本発明の実施形態におけるゲートウェイ及びそれを含む車載ネットワークシステムの構成を示す。

自動車１の車載ネットワークには、ゲートウェイ１１が接続され、ゲートウェイ１１には、さらにびＥＣＵ１７が接続されている。

ゲートウェイ１１は、（１）車載ネットワークと車外ネットワーク間のメッセージの送受信を司る通信部１２、（２）車外ネットワークからのアクセスに対して判定用ＡＣＬ１５１及びアクセス先変換情報１５３を用いてアクセス可否を判定し、制御情報アクセス部１６へ、許可されたアクセスを指示するアクセス実行指示情報１５４を送信する制御情報転送制御部１３、（３）後述する判定用ＡＣＬ１５１、アクセス依頼元情報１５２、アクセス先変換情報１５３、アクセス実行指示情報１５４を耐タンパ領域に保持するアクセス制御管理部１５、（４）車外ネットワークからＡＣＬ及びアクセス指示を取得し、アクセス制御管理部１５で保持されている判定用ＡＣＬ１５１、および／または、アクセス実行指示情報１５４を更新するとともに、車外ネットワークからＶＩＮ取得依頼を受信したとき、アクセス依頼元情報１５２を用いて認証するアクセス制御管理更新部１４、（５）制御情報転送制御部１３から受信したアクセス実行指示情報１５４をＥＣＵ１７に送信するとともに、ＥＣＵ１７から受信したメッセージを制御情報転送制御部１３に送信する制御情報アクセス部１６を有する。

なお、ゲートウェイ１１は、データやプログラムを一時的に保持することが可能なメモリと、プログラムを実行制御するＣＰＵと、その他必要なハードウェアと、（いずれも図示していない）を有し、ＣＰＵがメモリに格納されたプログラムを実行し、ハードウェアと連携して動作することにより、上記（１）〜（５）に示す各処理部を実現する。

ここで、通信部１２としては、携帯電話網、無線ＬＡＮを使ったデータ通信チップやカード、ＵＳＢポート等を利用することが想定される。

アクセス制御管理更新部１４は、車外ネットワークからＥＣＵ１７に対するアクセスを受信したとき、車外ネットワーク上でＡＣＬを管理するサーバからＡＣＬを取得するとともに判定用ＡＣＬ１５１を更新する。また、アクセス依頼元情報１５２及びアクセス先変換情報１５３に変更があった場合にそれらを更新する。

制御情報転送制御部１３は、アクセス依頼元情報１５２を用いて認証処理を行うとともに、車外ネットワークから受信したアクセス指示をアクセス実行指示情報１５４に格納し、判定用ＡＣＬ１５１とアクセス先変換情報１５３を用いてＥＣＵ１７へのアクセス権限を判定し、車外ネットワークから受信したアクセス指示の転送制御を行う。

図２はゲートウェイと車両外装置の連携のための全体システムの構成を示す。自動車１の車載ネットワークに接続されたゲートウェイ１１、通信機能付き情報処理装置２、サービス提供サーバ３、ＡＣＬ管理サーバ４が通信網５を介して接続されている。

図１５に、アクセス制御管理部１５で格納されている判定用ＡＣＬ１５１及びアクセス依頼元情報１５２のテーブル構成の一例を示す。

アクセス制御管理更新部１４は、車外ネットワークからのメッセージを受信するとＡＣＬ管理サーバ４からＡＣＬ４６５を取得し、アクセス制御管理部１５に判定用ＡＣＬ１５１として格納する。制御情報転送制御部１３は、車外ネットワークからのアクセス可否判定に判定用ＡＣＬ１５１を利用する。ＶＩＮ１５１１は、自動車を識別するための固有値である。ユーザＩＤ１５１２は、サービス登録者を識別するための固有値である。サービス提供元１５１３は、サービス提供元を識別するための固有値である。

書き換え可能内容１５１４には、サービス提供元が書き換え処理可能なＥＣＵの属性が設定される。例えば、情報系、走行系などのＥＣＵの種類が設定される。読み出し可能内容１５１５には、同様に、サービス提供元が読み出し処理可能な属性が設定される。変更日時１５１６は、サービス提供元ごとにおけるＡＣＬの変更日時である。有効期限１５１７は、判定用ＡＣＬ１５１をアクセス判定制御に用いることができる有効期限である。

なお、書き換え可能内容１５１４及び読み出し可能内容１５１５にはＥＣＵの種類ではなく、ＥＣＵまたはＥＣＵの機能ごとに定められているAutomotive Safety Integrity（以下、ＡＳＩＬ。ＡＳＩＬとは、ＩＥＣ６１５０８においてシステムまたは装置の安全性能を表す尺度が、自動車向けに改訂されたものである。）を設定してもよい。例えば、サービス提供元ＩＤが「ＡＡ１」の書き換え可能内容１５１４にレベル「Ａ」及び「Ｂ」を設定し、読み出し可能内容１５１５に、「Ａ」、「Ｂ」、「Ｃ」を設定する場合、サービス提供元ＩＤが「ＡＡ１」のサービス提供元は、ＡＳＩＬが「Ａ」及び「Ｂ」のＥＣＵに対する書き換えが可能であるとともに、ＡＳＩＬが「Ａ」、「Ｂ」、「Ｃ」のＥＣＵに対する読み出しが可能であることを示す。

アクセス制御管理更新部１４は、通信機能付き情報処理装置２からのＶＩＮ取得依頼時の認証にアクセス依頼元情報１５２を利用する。ユーザＩＤ１５２１は、通信機能付き情報処理装置２を所有するユーザを識別するための固有値である。ユーザＰＡＳＳ１５２２は、ユーザＩＤ１５２１に対して一意に定められた固有値である。端末ＩＤ１５２３は、通信機能付き情報処理装置２各々を識別するための固有値である。

ここで、アクセス依頼元情報１５２は、自動車メーカがユーザとの契約時に初期登録しておき、以降の追加、変更、削除等の更新処理は、登録されているユーザまたは自動車メーカの権限においてどちらが行ってもよいものとする。

図１６に、アクセス先変換情報１５３及びアクセス実行指示情報１５４のテーブル構成の一例を示す。

アクセス先変換情報１５３は、サービス提供サーバ３から受信したアクセス指示に含まれるＣＡＮ−ＩＤと、判定用ＡＣＬ１５１に設定されている属性種別と、を対応づける情報である。属性種別１５３１は、車載ネットワークに接続されているＥＣＵの種別である。ＣＡＮ−ＩＤ１５３２は、各ＥＣＵのアクセス先を識別するための固有値である。

なお、書き換え可能内容１５１４及び読み出し可能内容１５１５に設定する属性は、ＥＣＵごとではなく、その機能ごとに設定しても良い。その場合、アクセス先変換情報１５３において、属性は、ＣＡＮ−ＩＤ１５３２ではなく、各機能を特定可能な固有値と対応づけられる。

ここで、アクセス先変換情報１５３は、自動車メーカがユーザとの契約時に初期登録しておき、以降の追加、変更、削除等の更新処理は、登録されているユーザまたは自動車メーカの権限においてどちらが行ってもよいものとする。

アクセス制御管理更新部１４は、サービス提供サーバ３から受信したアクセス指示情報とＣＡＮ−ＩＤの組み合わせを一時的にアクセス実行指示情報１５４に格納する。
サービス提供元ＩＤ１５４１は、アクセス指示の送信元であるサービス提供元を識別するための固有値である。ＶＩＮ１５４２は、アクセス指示の送信先であるゲートウェイ１１が搭載された自動車のＶＩＮである。ユーザＩＤ１５４３は、ＶＩＮ１５４２の自動車の所有者を識別する固有値である。指示コマンド１５４４は、ＥＣＵに送信するコマンドである。ＣＡＮ−ＩＤ１５４５は、指示コマンド１５４４を送信するＥＣＵを識別するための固有値である。

通信機能付き情報処理装置２は、（１）ゲートウェイ１１や、サービス提供サーバ３や、ＡＣＬ管理サーバ４とのメッセージの送受信を司る通信部２１、（２）ユーザの操作内容や受信した処理結果を画面に表示する画面表示部２２、（３）ゲートウェイ１１に対するＶＩＮ取得依頼、サービス提供サーバ３に対するサービス登録依頼、ユーザ関連情報２５１の登録を行うとともに、サービス提供サーバ３またはゲートウェイ１１にサービス実行を依頼するアプリケーション２３、（４）ユーザ関連情報２５１、取得済アクセス指示情報２５２、取得済ＡＣＬ２５３を耐タンパ領域で保持するアクセス情報管理部２５、を有する。

なお、通信機能付き情報処理装置２は、データやプログラムを一時的に保持することが可能なメモリと、プログラムを実行制御するＣＰＵと、その他必要なハードウェアと、（いずれも図示していない）を有し、ＣＰＵがメモリに格納されたプログラムを実行し、ハードウェアと連携して動作することにより、上記（１）〜（４）に示す各処理部を実現する。

図１７（ａ）に、アクセス情報管理部２５に保持されているユーザ関連情報２５１、図１７（ｂ）に取得済アクセス指示情報２５２、図１７（ｃ）に取得済ＡＣＬ２５３のテーブル構成の一例を示す。

アプリケーション２３は、ゲートウェイ１１、サービス提供サーバ３でのユーザ認証時に入力する情報及びゲートウェイ１１から取得したＶＩＮをユーザ関連情報２５１に格納する。端末ＩＤ２５１１は、ユーザが所有する通信機能付き情報処理装置２を識別するための固有値である。ユーザＩＤ２５１２は、自動車１の所有者であるユーザを識別するための固有値である。ユーザ名２５１３は、ユーザＩＤ２５１２に紐付けられたユーザの名前である。ＶＩＮ２５１４は、ユーザＩＤ２５１２に該当するユーザが所有する自動車のＶＩＮである。

アプリケーション２３は、サービス提供サーバ３と通信できない状況においてもゲートウェイ１１でのアクセス判定制御を実現するために、サービス登録時にサービス提供サーバ３からアクセス指示情報３４２、及びサービス内容一覧３４３から指示コマンド３４２４に紐づくＣＡＮ−ＩＤ３４３３を取得し、取得済アクセス指示情報２５２として格納する。ＶＩＮ２５２１は、ユーザＩＤ２５１２が所有する自動車１のＶＩＮである。サービス提供元ＩＤ２５２２は、ユーザＩＤ２５１２が登録したサービス提供元を識別する固有値である。ＣＡＮ−ＩＤ２５２３は、指示コマンド２５２４の送信先ＥＣＵを識別するための固有値である。指示コマンド２５２４は、ＥＣＵに送信するコマンドである。

アプリケーション２３は、ＡＣＬ変更時にＡＣＬ管理サーバ４のＡＣＬ４６５からユーザＩＤをキーとしたレコードを取得し、取得済ＡＣＬ２５３として格納する。ＶＩＮ２５３１は、ユーザＩＤ２５１２が所有する自動車１のＶＩＮである。サービス提供元ＩＤ２５３２は、ゲートウェイ１１にアクセスするサービス提供元を識別するための固有値である。書き換え可能内容２５３３は、サービス提供元ＩＤ２５３２が書き換え可能なＥＣＵの範囲である。読み出し可能内容２５３４は、サービス提供元ＩＤ２５３２が読み出し可能なＥＣＵの範囲である。変更日時２５３５は、ＡＣＬ４６５の各レコードを変更した日時である。有効期限２５３６は、取得済ＡＣＬ２５３の有効期限である。

サービス提供サーバ３は、（１）ゲートウェイ１１や、通信機能付き情報処理装置２や、ＡＣＬ管理サーバ４とのメッセージの送受信を司る通信部３１、（２）サービス提供依頼元に関する情報をサービス提供依頼元情報３４１に登録するとともに、サービス提供依頼元を認証するサービス提供依頼元認証部３２、（３）アクセス指示内容を取得し、ゲートウェイ１１へ送信するアクセス指示制御部３３、（４）ＡＣＬ管理サーバに対する提供可能なサービスの取得依頼及びＡＣＬの変更依頼、通信機能付き情報処理装置２に対する取得したサービスの提供を行う提供可能サービス登録部３５、（５）サービス提供依頼元情報３４１、アクセス指示情報３４２を保持するサービス情報管理部３４を有する。

なお、サービス提供サーバ３は、データやプログラムを一時的に保持することが可能なメモリと、プログラムを実行制御するＣＰＵと、その他必要なハードウェアと、（いずれも図示していない）を有し、ＣＰＵがメモリに格納されたプログラムを実行し、ハードウェアと連携して動作することにより、上記（１）〜（５）に示す各処理部を実現する。

図１２（ａ）、図１２（ｂ）、図１２（ｃ）に、それぞれサービス情報管理部３４に保持されているサービス提供依頼元情報３４１、アクセス指示情報３４２、サービス内容一覧３４３のテーブル構成の一例を示す。

サービス提供依頼元認証部３２は、サービス提供を依頼する通信機能付き情報処理装置２の認証時にサービス提供依頼元情報３４１を利用する。ユーザＩＤ３４１１は、サービス提供を依頼するユーザを識別するための固有値である。ユーザ名３４１２は、ユーザＩＤ３４１１に紐づいたユーザの名前である。ユーザＰＡＳＳ３４１３は、ユーザの正当性を確認するためにユーザＩＤ３４１１に紐づいたユーザのパスワードである。ＶＩＮ３４１４は、ユーザＩＤ３４１１のユーザが所有する自動車のＶＩＮである。メーカ３４１５は、ＶＩＮ３４１４のメーカである。車種３４１６は、ＶＩＮ３４１４の自動車の種類である。車色３４１７は、ＶＩＮ３４１４の自動車の色である。車両Ｎｏ．３４１８は、ＶＩＮ３４１４の自動車のナンバーである。

アクセス指示制御部３３は、通信機能付き情報処理装置２からサービス実行依頼を受信したとき、アクセス指示情報３４２の該当レコードと、指示コマンド３４２４に紐づくＣＡＮ−ＩＤ３４３３と、をゲートウェイ１１に送信する。ゲートウェイ１１では、アクセス指示情報３４２の該当レコードと、指示コマンド３４２４に紐づくＣＡＮ−ＩＤ３４３３と、をアクセス実行指示情報１５４のレコードとして保持する。

サービス提供元ＩＤ３４２１は、アクセス指示情報３４２を管理するサービス提供元を識別するための固有値である。ＶＩＮ３４２２は、アクセス指示情報の送信先ゲートウェイが搭載された自動車のＶＩＮである。ユーザＩＤ３４２３は、サービス実行を依頼したユーザを識別するための固有値である。指示コマンド３４２４を送信するアクセス先を識別するための固有値である。指示コマンド３４２４は、ＥＣＵ１７に対する制御コマンドである。

提供可能サービス登録部３５は、通信機能付き情報処理装置２から提供可能サービス取得依頼を受信したとき、サービス内容一覧３４３を通信機能付き情報処理装置２に送信する。指示コマンド３４３１は、ＥＣＵ１７に対する制御コマンドである。指示種類３４３２は、指示コマンドの種類として、「読み出し」、「書き換え」を区別するものである。ＣＡＮ−ＩＤ３４３３は、指示コマンド３４２４の送信先ＥＣＵを識別するための固有値である。サービス内容３４３４は、指示コマンド３４３１のサービス内容である。属性種別３４３５は、ＣＡＮ−ＩＤ３４３３で送信先となるＥＣＵの属性である。サービス内容一覧３４３は、サービス提供サーバ３が、ＡＣＬ管理サーバ４に対して提供可能サービスの送信を依頼する時に、ＡＣＬ管理サーバ４から取得する。

ＡＣＬ管理サーバ４は、（１）ゲートウェイ１１及びサービス提供サーバ３とメッセージの送受信を司る通信部４１、（２）サービス提供サーバ３からのＡＣＬ変更依頼を受信したとき、サービス提供元情報４６２を参照して変更依頼元を認証するとともに、ゲートウェイ１１からのＡＣＬ取得依頼を受信したとき、ＡＣＬ取得依頼元情報４６１を参照して取得依頼元を認証する依頼元認証部４２、（３）サービス提供サーバ３からの提供可能サービス取得依頼を受信したとき、アクセス内容一覧４６３から該当するサービスを取得する提供可能サービス取得部４３、（４）ＡＣＬ４６５を取得するＡＣＬ取得部４４、（５）ＡＣＬ変更依頼を受信したとき、ＡＣＬ変更判定情報４６４を参照して変更可否を判定するとともにＡＣＬ４６５を変更するＡＣＬ変更判定部４５、（６）ＡＣＬ取得依頼元情報４６１、サービス提供元情報４６２、アクセス内容一覧４６３、ＡＣＬ変更判定情報４６４、ＡＣＬ４６５を保持するＡＣＬ管理部４６を有する。

なお、ＡＣＬ管理サーバ４は、データやプログラムを一時的に保持することが可能なメモリ、プログラムを実行制御するＣＰＵを有する。

なお、ＡＣＬ管理サーバ４は、データやプログラムを一時的に保持することが可能なメモリと、プログラムを実行制御するＣＰＵと、その他必要なハードウェアと、（いずれも図示していない）を有し、ＣＰＵがメモリに格納されたプログラムを実行し、ハードウェアと連携して動作することにより、上記（１）〜（６）に示す各処理部を実現する。

図１３（ａ）、図１３（ｂ）、図１３（ｃ）に、それぞれＡＣＬ管理部４６で保持されているＡＣＬ取得依頼元情報４６１、サービス提供元情報４６２、アクセス内容一覧４６３のテーブル構成の一例を示す。

依頼元認証部４２は、ＡＣＬ取得を依頼するゲートウェイ１１の認証時にＡＣＬ取得依頼元情報４６１を利用する。ユーザＩＤ４６１１は、ＡＣＬを取得可能なゲートウェイ１１が搭載された自動車１の所有者を識別するための固有値である。ユーザＰＡＳＳ４６１２は、ユーザＩＤ４６１１に紐づいた一意的な固有値である。ＶＩＮ４６１３は、ユーザＩＤ４６１１が所有する自動車１のＶＩＮである。例えば、ＡＣＬ取得依頼元情報４６１で保持される情報は、自動車メーカがユーザとの契約時に設定してもよい。

依頼元認証部４２は、ＡＣＬ変更を依頼するサービス提供サーバ３の認証時にサービス提供元情報４６２を利用する。サービス提供元ＩＤ４６２１は、ＡＣＬを変更可能なサービス提供元を識別するための固有値である。サービス提供元ＰＡＳＳ４６２２は、サービス提供元ＩＤ４６２１に紐づいた一意的な固有値である。サービス提供元種別４６２３は、サービス提供元ＩＤ４６２１の業種である。例えば、サービス提供元情報４６２で保持される情報は、自動車メーカがサービス提供元との契約時に設定してもよい。

提供可能サービス取得部４３は、サービス提供サーバ３からの提供可能サービス取得を依頼されたとき、ＡＣＬ変更判定情報４６４を用いてサービス提供元ＩＤ４６４１に紐づくアクセス可能属性をキーに、アクセス内容一覧４６３の中から該当レコードをサービス提供サーバ３に送信する。指示種類４６３１は、指示コマンドの種類として、「読み出し」、「書き換え」を区別するものである。属性種別４６３２は、ＣＡＮ−ＩＤ４６３３で送信先となるＥＣＵの属性である。ＣＡＮ−ＩＤ４６３３は、指示コマンド４６３４の送信先ＥＣＵを識別するための固有値である。

図１４（ａ）と図１４（ｂ）に、それぞれＡＣＬ管理部４６で保持されているＡＣＬ変更判定情報４６４、ＡＣＬ４６５のテーブル構成の一例を示す。

ＡＣＬ変更判定部４５は、サービス提供サーバ３からＡＣＬ変更を依頼されたとき、変更判定の基準としてＡＣＬ変更判定情報４６４を利用する。サービス提供元ＩＤ４６４１は、自動車メーカにサービス提供許可を得たサービス提供元を識別するための固有値である。サービス提供元ごとのアクセス可能属性４６４２は、サービス提供元ＩＤ４６４１がアクセス可能な書換え対象及び読み出し対象の範囲である。なお、サービス提供元ごとの可能属性４６４２は、属性ではなくＡＳＩＬを用いて制限してもよい。例えば、サービス提供元ＩＤ「ＡＡ１」が、書き換え対象としてＡＳＩＬが「Ａ」のＥＣＵ、読み出し対象としてＡＳＩＬが「Ａ」及び「Ｂ」のＥＣＵに対してアクセス可能と制限してもよい。

ＡＣＬ取得部４４は、ゲートウェイ１１からのＡＣＬ取得依頼を受信したとき、ＡＣＬ４６５を取得してゲートウェイ１１に送信する。ＶＩＮ４６５１は、ＡＣＬ取得を依頼するゲートウェイ１１が搭載された自動車１のＶＩＮである。ユーザＩＤ４６５２は、ＡＣＬ取得を依頼するゲートウェイ１１が搭載された自動車１の所有者を識別するための固有値である。サービス提供元ＩＤ４６５３は、ゲートウェイ１１にアクセスするサービス提供元を識別するための固有値である。書き換え可能内容４６５４は、サービス提供元ＩＤ４６５３が書き換え可能なＥＣＵの範囲である。読み出し可能内容４６５５は、サービス提供元ＩＤ４６５３が読み出し可能なＥＣＵの範囲である。変更日時４６５６は、ＡＣＬ４６５の各レコードを変更した日時である。

図３（ａ）は、サービス提供サーバ３がＡＣＬ管理サーバ４から提供可能なサービスを取得する概要処理シーケンスを示す。

ステップ３０１では、提供可能サービス登録部３５は提供可能サービス取得依頼をＡＣＬ管理サーバ４に送信する。

ステップ４０１では、依頼元認証部４２はサービス提供元情報４６２を参照し、サービス提供サーバ３の認証処理を実行する。

ステップ４０２では、提供可能サービス取得部４３はＡＣＬ変更判定情報４６４から、サービス提供元が提供可能なサービスを取得する。

ステップ４０３では、提供可能サービス取得部４３は上記ステップ４０２で取得した提供可能サービスをサービス提供サーバ３に送信する。

ステップ３０２では、アクセス指示制御部３３は受信した提供可能サービスをアクセス指示情報３４２に登録する。

以上のステップにより、サービス提供サーバ３は提供可能なサービスを取得できる。

図３（ｂ）は、通信機能付き情報処理装置２がゲートウェイ１１からＶＩＮを取得する概要処理シーケンスを示す。

ステップ２０１では、アプリケーション２３はＶＩＮ取得依頼をゲートウェイ１１に送信する。

ステップ１０１では、アクセス制御管理更新部１４は依頼元の通信機能付き情報処理装置の認証処理を実行する。

ステップ１０２では、制御情報転送制御部１３は判定用ＡＣＬに保持されているＶＩＮ１５１１を取得する。

ステップ１０３では、制御情報転送制御部１３は上記ステップ１０２で取得したＶＩＮを通信機能付き情報処理装置２に送信する。

ステップ２０２では、アプリケーション２３は受信したＶＩＮをユーザ関連情報２５１に登録する。なお、ユーザ関連情報２５１は耐タンパ領域であることが好ましい。

以上のステップにより、通信機能付き情報処理装置２はゲートウェイ１１からＶＩＮを取得できる。

図３（ｃ）は、サービスの初期登録における概要処理シーケンスを示す。

ステップ２０３では、アプリケーション２３はサービス提供サーバ３にサービス提供依頼を送信する。

ステップ３０３では、提供可能サービス登録部３５はサービス内容一覧３４３からサービス内容３４３４を取得する。

ステップ３０４では、提供可能サービス登録部３５はステップ３０３で取得したサービス内容一覧３４３を通信機能付き情報処理装置２に送信する。

ステップ２０４では、アプリケーション２３は画面表示部２２を用いて申込内容を通信機能付き情報処理装置２の画面に表示する。

図１８に、上記ステップ２０４において通信機能付き情報処理装置２が表示する画面の一例を示す。

ユーザ名２２０１には、サービスを申し込むユーザ名を入力する。例えば、ユーザがタッチパネルを用いてユーザ名２２０１を入力してもよいし、ユーザ関連情報２５１から取得したユーザ名２５１３を入力してもよい。

メーカ２２０２は、サービス提供元が契約しているメーカを入力する。例えば、メーカをプルダウンで表示し、ユーザが所有する自動車のメーカを選択して入力してもよい。

車種２２０３は、メーカ２２０２が販売する車種を入力する。例えば、車種をプルダウンで表示し、ユーザが該当する車種を選択して入力してもよい。

車色２２０４は、車種２２０３として販売されている車色を入力する。例えば、車色をプルダウンで表示し、ユーザが該当する車色を選択して入力してもよい。

車両Ｎｏ．２２０５は、ユーザが所有する自動車の車両Ｎｏ．を入力する。例えば、ユーザがタッチパネルを用いて入力してもよいし、ユーザ関連情報２５１に予め保持しておき、ユーザ関連情報２５１から該当する車両Ｎｏ．を取得して入力してもよい。

書き換え可能内容２２０６は、サービス提供サーバ３が提供可能な書き換え可能内容を入力する。例えば、ラジオボタンを用いてサービス提供サーバ３から受信したサービス内容一覧３４３をもとに、書き換え可能内容を入力してもよい。

読み出し可能内容２２０７は、サービス提供サーバ３が提供可能な読み出し可能内容を入力する。例えば、ラジオボタンを用いてサービス提供サーバ３から受信したサービス内容一覧３４３をもとに、提供可能な読み出し可能内容を入力してもよい。

登録確認ボタン２２０８は、上記２２０１から上記２２０７までの内容をサービス提供サーバ３に送信するためのボタンである。

ステップ２０５では、アプリケーション２３はステップ２０４で入力した申込内容として、ユーザ名２２０１、メーカ２２０２、車種２２０３、車色２２０４、車両Ｎｏ．２２０５に加えて、ユーザ名に対応するユーザＩＤ２５１２、ＶＩＮ２５１４、書き換え可能内容及び読み出し可能内容として選択された項目に対応する指示コマンド３４３１をサービス提供サーバ３に送信する。

ステップ３０５では、サービス提供依頼元認証部３２及びアクセス指示制御部３３は受信した申込内容をサービス提供依頼元情報３４１及びアクセス指示情報３４２のレコードに格納する。

ステップ３０６では、提供可能サービス登録部３５はＡＣＬ管理サーバ４に、申し込みのあったユーザＩＤ３４１１、ユーザＰＡＳＳ３４１３、ＶＩＮ３４１４を送信し、該当するＡＣＬの変更を依頼する。

ステップ４０４では、依頼元認証部４２はＡＣＬの変更を依頼するサービス提供サーバ３の認証処理を実行する。

ステップ４０５では、ＡＣＬ変更判定部４５はＡＣＬ変更判定情報４６４を用いて、変更依頼された内容の正当性を判定する。

ステップ４０６では、ＡＣＬ変更判定部４５は上記ステップ４０５で正当性が認められた内容に従ってＡＣＬ４６５を変更する。

ステップ４０７では、ＡＣＬ変更判定部４５はサービス提供サーバ３に、ＡＣＬ変更完了通知を送信する。

ステップ４０８では、ＡＣＬ変更判定部４５は通信機能付き情報処理装置２に申込内容登録完了通知を送信する。

ステップ２０６では、アプリケーション２３は画面表示部２２を用いて申込完了画面を表示する。

以上のステップにより、通信機能付き情報処理装置２はサービス提供の初期登録を完了できる。

図４は、通信機能付き情報処理装置２を用いたサービス利用時における概要処理シーケンスを示す。

ステップ２０９では、アプリケーション２３はサービス提供サーバ３にサービス実行依頼を送信する。

ステップ３０７では、サービス提供依頼元認証部３２はサービス提供依頼元情報３４１を用いて通信機能付き情報処理装置２の認証処理を実行する。

ステップ３０８では、アクセス指示制御部３３はアクセス指示情報３４２から上記ステップ３０７で認証されたユーザＩＤに紐づくレコードを取得する。

ステップ３０９では、アクセス指示制御部３３は上記ステップ３０８で取得したアクセス指示情報３４２のレコードに加えて、指示コマンド３４２４に紐づくＣＡＮ−ＩＤ３４３３をゲートウェイ１１に送信する。

ステップ１０４では、アクセス制御管理更新部１４は受信した、アクセス指示情報３４２のレコードと、指示コマンド３４２４に紐づくＣＡＮ−ＩＤ３４３３と、をアクセス実行指示情報１５４に格納する。

ステップ１０５では、アクセス制御管理更新部１４はＡＣＬ管理サーバ４にＶＩＮ１５１１、ユーザＩＤ１５１２、およびユーザＩＤに紐づくユーザＰＡＳＳ１５２２を送信する。アクセス制御管理更新部１４は、ステップ３０９において、アクセス指示制御部３３から、アクセス指示情報通知を受信した後に、ＡＣＬ管理サーバ４に対して、ＡＣＬ取得依頼を送信するので、その時点での最新のＡＣＬの取得が可能になる。

ステップ４０９では、依頼元認証部４２はＡＣＬ取得依頼元情報４６１を用いてゲートウェイ１１の認証処理を実行する。

ステップ４１０では、ＡＣＬ取得部４４はＡＣＬ４６５から上記ステップ４０９で認証されたゲートウェイ１１が搭載された自動車のＶＩＮに紐づいたレコードを取得する。

ステップ４１１では、ＡＣＬ取得部４４は上記ステップ４１０で取得したＡＣＬ４６５のレコードをゲートウェイ１１に送信する。

ステップ１０６では、アクセス制御管理更新部１４は受信したＡＣＬ４６５のレコードにて、判定用ＡＣＬ１５１のレコードを更新する。

ステップ１０７では、制御情報転送制御部１３は上記ステップ１０４で格納したアクセス実行指示情報１５４のＣＡＮ−ＩＤ３４２５をもとに、アクセス先変換情報１５３からアクセス先の属性を特定し、判定用ＡＣＬ１５１を用いて特定したアクセス先属性へのアクセス可否を判定し、制御情報アクセス部１６が該当するＥＣＵへ指示コマンドを送信するとともにＥＣＵからの応答を受信する。

ステップ１０８では、制御情報転送制御部１３は制御情報アクセス部１６から受信したＥＣＵからの応答をサービス提供サーバ３に送信する。例えば、自動車のドアの鍵状態を確認するための指示コマンド「ｒｅａｄＫｅｙＬｏｃｋ」を、ＥＣＵに送信した場合の応答としては、自動車のドアの鍵状態を返すことを想定する。

ステップ３１０では、アクセス指示制御部３３は受信したサービス実行結果通知を通信機能付き情報処理装置２に送信する。

ステップ２１０では、アプリケーション２３は画面表示部２２を用いて受信したサービス実行結果を画面に表示する。

以上のステップにより、通信機能付き情報処理装置２はサービスを利用できる。

図５は、通信機能付き情報処理装置２のステップ２０１からステップ２０２までの概要処理フローを示す。

ステップ２００１では、アプリケーション２３は、Bluetooth通信またはＵＳＢ接続を用いてゲートウェイ１１に接続する。ここで、Bluetooth用の通信アドレスは、例えば、ユーザが自動車メーカとの契約時に発行してもらい、通信機能付き情報処理装置２の耐タンパ領域に保持してもよい。

ステップ２００２では、アプリケーション２３は端末ＩＤ、ユーザＩＤ、パスワードをゲートウェイ１１に送信する。このとき、端末ＩＤ及びユーザＩＤは、ユーザ関連情報２５１から取得してもユーザがタッチパネルを用いて入力してもよい。

ステップ２００３では、アクセス制御管理更新部１４は上記ステップ２００２で送信した情報をもとにユーザ認証処理を実行する。アプリケーション２３は、ユーザ認証が成功した場合はステップ２００４に進み、ユーザ認証が失敗した場合はステップ２００７に進む。

ステップ２００４では、アプリケーション２３はゲートウェイ１１からＶＩＮを取得する。

ステップ２００５では、アプリケーション２３は取得したＶＩＮをユーザ関連情報２５１のＶＩＮ２５１４に登録する。

ステップ２００６では、アプリケーション２３は画面表示部２２を用いてＶＩＮの登録完了を画面に表示する。

ステップ２００７では、アプリケーション２３はユーザ認証に失敗したエラー情報をゲートウェイ１１から受信する。

ステップ２００８では、アプリケーション２３は画面表示部２２を用いてエラー画面を表示する。

以上のステップにより、通信機能付き情報処理装置２はゲートウェイ１１からＶＩＮを取得できる。

図６は、通信機能付き情報処理装置２のステップ２０３から２０６までの概要処理フローを示す。

ステップ２００９では、アプリケーション２３はサービス提供サーバ３に接続する。ここで、サービス提供サーバ３への接続方法として、例えば、ブラウザを用いてサービス提供サーバ３のＷｅｂページに接続してもよいし、サービス提供サーバ３が配布するアプリケーションを起動して接続してもよい。

ステップ２０１０では、アプリケーション２３はサービス提供サーバ３に、ユーザＩＤ、ユーザ名、ユーザのパスワード（ＰＡＳＳ）、ＶＩＮ、メーカ、車種、車色、車両Ｎｏ、サービス内容として書き換え可能内容及び読み出し可能内容を送信する。

ステップ２０１１では、アプリケーション２３は上記ステップ３０６からステップ４０７までの処理待ち中である。アプリケーション２３はＡＣＬ変更処理が成功した場合はステップ２０１２に進み、ＡＣＬ変更処理が失敗した場合は上記ステップ２００７に進む。

ステップ２０１２では、アプリケーション２３はＡＣＬ管理サーバ４からＡＣＬ変更完了通知を受信する。

ステップ２０１３では、アプリケーション２３は画面表示部２２を用いて申込内容登録完了を画面に表示する。

以上のステップにより、通信機能付き情報処理装置２はサービス提供の初期登録を完了できる。

図７は、図４に示すステップ２０９からステップ２１０までの、通信機能付き情報処理装置２の詳細な処理フローを示す。

ステップ２０１４では、アプリケーション２３はサービス利用時にサービス提供サーバ３に接続する。ここで、サービス提供サーバ３への接続方法としては、例えば、ブラウザを用いてサービス提供サーバ３のＷｅｂページに接続してもよいし、サービス提供サーバ３が配布するアプリケーションを起動して接続してもよい。

ステップ２０１５では、アプリケーション２３はサービス提供サーバ３にユーザＩＤとパスワードを送信する。例えば、ユーザＩＤとしてユーザ関連情報２５１のユーザＩＤ２５１２を取得して送信してもよい。また、パスワードとして、上記ステップ２０１０で入力したパスワードを、メモリ上で保持しておきサービス提供サーバ３に送信するパスワードとして送信してもよい。

ステップ２０１６では、サービス提供依頼元認証部３２は上記ステップ２０１５で送信されたユーザＩＤ及びパスワードをもとに認証処理を実行する。アプリケーション２３はユーザ認証が成功した場合はステップ２０１７に進み、ユーザ認証が失敗した場合は上記ステップ２００７に進む。

ステップ２０１７では、アプリケーション２３は上記ステップ３０８からステップ１０８までの処理待ち中である。

ステップ２０１８では、アプリケーション２３はサービス提供サーバ３からサービス実行結果を受信する。

ステップ２０１９では、アプリケーション２３は受信したサービス実行結果を画面に表示する。

以上のステップにより、アプリケーション２３はサービスを利用できる。

図８は、図３と図４のステップ１０１からステップ１０８までの、ゲートウェイ１１の詳細な処理フローを示す。

ステップ１００１では、アクセス制御管理更新部１４は処理依頼待ち中である。

ステップ１００２では、アクセス制御管理更新部１４は処理依頼があった場合はステップ１００３に進み、処理依頼がない場合はステップ１００１に進む。

ステップ１００３では、アクセス制御管理更新部１４は、受信した処理依頼がサービス実行依頼処理の場合はステップ１００４に進み、依頼のあった処理がＶＩＮ取得依頼処理の場合はステップ１０１６に進む。例えば、アクセス制御管理更新部１４は、依頼処理メッセージに処理内容を示す識別子を含めておいて処理判定してもよい。

ステップ１００４では、アクセス制御管理更新部１４は受信したアクセス指示情報をアクセス実行指示情報１５４に格納しておく。

ステップ１００５では、アクセス制御管理更新部１４はＡＣＬ管理サーバ４に接続する。例えば、自動車メーカが契約時にゲートウェイ１１のメモリ上に通信アドレスを設定してもよい。

ステップ１００６では、アクセス制御管理更新部１４はＡＣＬ管理サーバ４への接続待ち中である。接続に成功した場合はステップ１００７に進み、接続に失敗した場合はステップ１０１３に進む。

ステップ１００７では、アクセス制御管理更新部１４はＡＣＬ管理サーバ４にＶＩＮ１５１１を送信する。

ステップ１００８では、ＡＣＬ管理サーバ４が車両認証を実行中である。車両認証に成功した場合はステップ１００９に進み、車両認証に失敗した場合はステップ１０１４に進む。

ステップ１００９では、アクセス制御管理更新部１４はＡＣＬ管理サーバ４からＡＣＬ４６５を受信するとともに、判定用ＡＣＬ１５１として格納する。

ステップ１０１０では、アクセス制御管理更新部１４は上記ステップ１００４において格納していたアクセス実行指示情報１５４を取得する。

ステップ１０１１では、制御情報転送制御部１３は判定用ＡＣＬを用いてアクセス可否を判定する。アクセスが許可された場合はステップ１０１２に進み、アクセスが拒否された場合はステップ１０１４に進む。

ステップ１０１２では、制御情報転送制御部１３はアクセス指示情報に保持されている指示コマンドを実行する。

ステップ１０１３では、アクセス制御管理更新部１４は接続を開始してからの時間を計測し、予め設定していた時間を経過した場合はステップ１０１４に進み、設定していた時間内の場合はステップ１００５に進む。

ステップ１０１４では、アクセス制御管理更新部１４は上記ステップ１００４で格納したアクセス指示情報を削除する。

ステップ１０１５では、制御情報転送制御部１３はエラー情報を作成する。

ステップ１０１６では、アクセス制御管理更新部１４は通信機能付き情報処理装置２から受信したユーザＩＤ及びユーザＰＡＳＳをもとにユーザ認証を実行する。ユーザ認証に成功した場合はステップ１０１７に進み、ユーザ認証に失敗した場合はステップ１０１４に進む。

ステップ１０１７では、制御情報転送制御部１３は判定用ＡＣＬ１５１のＶＩＮ１５１１を取得する。

ステップ１０１８では、制御情報転送制御部１３は上記ステップ１００２で依頼元に、上記ステップ１０１２、ステップ１０１５、ステップ１０１７のいずれかの処理結果を送信する。

以上のステップにより、ゲートウェイ１１はＶＩＮ取得処理及びサービス実行依頼処理を実現できる。

図９は、図３と図４のステップ３０１からステップ３０２までの、サービス提供サーバ３の詳細な処理フローを示す。

ステップ３００１では、提供可能サービス登録部３５はＡＣＬ管理サーバ４に接続する。例えば、提供可能サービス登録部３５は自動車メーカとの契約時に配布された通信アドレスを用いてＡＣＬ管理サーバ４に接続してもよい。

ステップ３００２では、提供可能サービス登録部３５はＡＣＬ管理サーバ４に、サービス提供元ＩＤ３４２１及びサービス提供元ＩＤ３４２１に紐づくパスワードを送信する。例えば、提供可能サービス登録部３５は自動車メーカとの契約時に、サービス提供元ＩＤ及びパスワードの登録を済ませておけばよい。

ステップ３００３では、ＡＣＬ管理サーバ４が上記ステップ４０１及びステップ４０２を実行中である。サービス提供サーバ３は、ＡＣＬ管理サーバ４によるサービス提供元認証に成功した場合はステップ３００４に進み、サービス提供元認証に失敗した場合はステップ３００５に進む。

ステップ３００４では、アクセス指示制御部３３はＡＣＬ管理サーバ４から受信した提供可能サービスをアクセス指示情報３４２に登録する。

ステップ３００５では、アクセス指示制御部３３はＡＣＬ管理サーバ４からエラー情報を受信し、提供可能サービス取得処理を終了する。

以上のステップにより、サービス提供サーバ３は提供可能サービス取得処理を実現できる。

図１０は、図３と図４のステップ３０３からステップ３１０までの、サービス提供サーバ３の詳細な処理フローを示す。

ステップ３００６では、提供可能サービス登録部３５は処理待ち中である。

ステップ２００７では、提供可能サービス登録部３５は処理依頼があった場合はステップ３００８に進み、処理依頼がない場合はステップ３００６に進む。

ステップ３００８では、提供可能サービス登録部３５は、受信した処理依頼がサービス実行依頼処理の場合はステップ３００９に進み、受信した処理依頼が申込内容登録依頼処理の場合はステップ３０１５に進む。例えば、提供可能サービス登録部３５は、依頼処理メッセージに処理内容を示す識別子を含めておいて処理判定してもよい。

ステップ３００９では、サービス提供依頼元３２は、通信機能付き情報処理装置２が上記ステップ２０１５で送信したユーザＩＤ及びユーザＰＡＳＳと、サービス提供依頼元情報３４１に保持されるユーザＩＤ３４１１及びユーザＰＡＳＳ３４１３を用いてユーザ認証処理を実行する。サービス提供依頼元３２は、ユーザ認証が成功した場合はステップ３０１０に進み、ユーザ認証が失敗した場合はステップ３０１４に進む。

ステップ３０１０では、アクセス指示制御部３３はアクセス指示情報３４２から上記ステップ３００９で認証されたユーザに紐づくレコードを取得する。

ステップ３０１１では、アクセス指示制御部３３はゲートウェイ１１に接続する。例えば、アクセス指示制御部３３はユーザが所有する自動車のＶＩＮをもとにＡＣＬ管理サーバ４から当該ＶＩＮに対応するゲートウェイ１１の通信用アドレスを取得してもよいし、ステップ３０１８において通信機能付き情報処理装置２からの申込内容登録時にゲートウェイ１１の通信用アドレスを取得してもよい。

ステップ３０１２では、アクセス指示制御部３３はゲートウェイ１１に、上記ステップ３０１０で取得したアクセス指示情報を送信する。

ステップ３０１３では、アクセス指示制御部３３はゲートウェイ１１からアクセス制御結果を受信する。

ステップ３０１４では、サービス提供依頼元３２はエラー情報を作成する。

ステップ３０１５では、アクセス指示制御部３３は通信機能付き情報処理装置２に、ステップ３０１３、またはステップ３０１４の処理結果を送信する。

ステップ３０１６では、提供可能サービス登録部３５はサービス内容一覧３４３から提供可能サービスを取得する。

ステップ３０１７では、提供可能サービス登録部３５は通信機能付き情報処理装置２に上記ステップ３０１６で取得した提供可能サービスを送信する。

ステップ３０１８では、アクセス指示制御部３３は通信機能付き情報処理装置２から受信したユーザＩＤ、ユーザ名、ユーザのパスワード（ＰＡＳＳ）、ＶＩＮ、メーカ、車種、車色、車両Ｎｏ、サービス内容として書き換え可能内容及び読み出し可能内容をアクセス指示情報３４２のレコードとして格納する。

ステップ３０１９では、アクセス指示制御部３３はＡＣＬ管理サーバ４に接続する。例えば、アクセス指示制御部３３は自動車メーカとの契約時に配布された通信アドレスを用いてＡＣＬ管理サーバ４に接続してもよい。

ステップ３０２０では、アクセス指示制御部３３はＡＣＬ管理サーバ４にサービス提供元ＩＤ及び申込依頼のあったアクセス先の属性種別を送信する。

ステップ３０２１では、ＡＣＬ管理サーバ４がステップ４０４〜ステップ４０６までの処理を実行中である。アクセス指示制御部３３は、ＡＣＬ４６５の変更に成功した場合はステップ３０２２に進み、ＡＣＬ４６５の変更に失敗した場合は上記ステップ３００５に進む。

ステップ３０２２では、アクセス指示制御部３３はＡＣＬ管理サーバ４からＡＣＬ変更完了通知を受信する。

以上のステップにより、サービス提供サーバ３は申込内容登録処理及びサービス実行処理を実現できる。

図１１は、図３と図４のステップ４０１からステップ４１１までの、ＡＣＬ管理サーバ４の詳細な処理フローを示す。

ステップ４００１では、依頼元認証部４２は処理待ち中である。

ステップ４００２では、依頼元認証部４２は、処理依頼がある場合はステップ４００３に進み、処理依頼がない場合はステップ４００１に進む。

ステップ４００３では、依頼元認証部４２はＡＣＬ取得依頼元情報４６１またはサービス提供元情報４６２を用いて、ゲートウェイ１１の車両認証処理またはサービス提供サーバ３のサービス提供元認証を実行する。

ステップ４００４では、依頼元認証部４２は、受信した処理依頼がＡＣＬ変更処理の場合はステップ４００５に進み、受信した処理依頼が提供可能サービス取得処理の場合はステップ４００７に進み、受信した処理依頼がＡＣＬ取得処理の場合はステップ４００８に進む。例えば、ＡＣＬ管理サーバ４は、依頼処理メッセージに処理内容を示す識別子を含めておいて処理判定してもよい。

ステップ４００５では、ＡＣＬ変更判定部４５はサービス提供サーバ３から受信したサービス提供元ＩＤ及び属性種別と、ＡＣＬ変更判定情報４６４を用いてＡＣＬ変更判定処理を実行する。ＡＣＬ変更判定部４５は、ＡＣＬ変更判定に成功した場合はステップ４００６に進み、ＡＣＬ変更判定に失敗した場合はステップ４００９に進む。

ステップ４００６では、ＡＣＬ変更判定部４５はサービス提供サーバ３から受信したＶＩＮ、ユーザＩＤ、サービス提供元ＩＤ、書き換え可能内容、読み出し可能内容、変更日時をＡＣＬ４６５のレコードとして格納する。

ステップ４００７では、提供可能サービス取得部４３はサービス提供サーバ３のサービス提供元ＩＤに、指示種類、ＣＡＮ−ＩＤ、指示コマンド、サービス内容、属性種別を送信する。

ステップ４００８では、ＡＣＬ取得部４４はゲートウェイ１１が搭載された自動車のＶＩＮをもとにＡＣＬ４６５のレコードを取得する。

ステップ４００９では、ＡＣＬ変更判定部４５はエラー情報をもとにエラー情報を作成する。

ステップ４０１０では、ＡＣＬ変更判定部４５、提供可能サービス取得部４３、ＡＣＬ取得部４４のいずれかが、それぞれ上記ステップ４００６または上記ステップ４００７、上記ステップ４００８、上記ステップ４００９のいずれかの処理結果を処理依頼元に送信する。

以上のステップにより、ＡＣＬ管理サーバ４はＡＣＬ変更処理、提供可能サービス取得処理、ＡＣＬ取得処理を実現できる。

上述の車両情報中継制御システムでは、サービス提供元ごとの権限に応じてアクセス可能な範囲をＡＣＬとして設定する。これにより、ゲートウェイ１１がサービス提供元を区別して、各ＥＣＵ１７へのアクセス範囲を細かく制御できる。

さらに、ＡＣＬ管理サーバ４が、ＡＣＬ変更判定情報４６４を用いて、アクセス可能範囲が設定されたＡＣＬ１５１を変更、または、削除する。これにより、車載ネットワークシステム特有の管理者不在状況でもアクセス可能範囲を安全に管理できる。

[第２実施形態]
第二の実施形態として、ゲートウェイ１１がサービス利用時にサービス提供サーバ３及びＡＣＬ管理サーバ４と通信できない場合を想定する。

第二の実施形態では、アプリケーション２３は、サービス申込内容登録時にサービス提供サーバ３からアクセス指示情報３４２及びＣＡＮ−ＩＤ３４３３を取得し、取得済アクセス指示情報２５２のレコードとして格納する。また、アプリケーション２３は、ＡＣＬ変更完了時にＡＣＬ管理サーバ４から有効期限が付与されたＡＣＬ４６５のレコードを取得し、取得済ＡＣＬ２５３のレコードとして格納しておく。サービス利用時に、アプリケーション２３はゲートウェイ１１に取得済アクセス指示情報２５２及びユーザＩＤ２５１２のレコードを送信し、アクセス制御管理更新部１４は、受信したレコードをアクセス実行指示情報１５４のレコードとして格納する。アクセス制御管理更新部１４は、通信機能付き情報処理装置２とローカル通信が可能な場合、取得済ＡＣＬ２５３を通信機能付き情報処理装置２から取得し、判定用ＡＣＬ１５１のレコードとして格納することにより、アクセス判定を制御するとともに、アクセス実行指示情報に基づいてサービスを実行する。

第二の実施形態の処理シーケンスは、第一の実施形態の図３（ａ）、図３（ｂ）、図３（ｃ）、図４と同様に、提供可能サービス通知処理、ＶＩＮ取得処理、サービス初期登録処理、サービス利用処理から構成される。

第二の実施形態における提供可能サービス通知処理は、第一の実施形態の図３（ａ）の上記ステップ３０１からステップ３０２と同様である。

第二の実施形態におけるＶＩＮ取得処理は、第一の実施形態の図３（ｂ）の上記ステップ２０１からステップ２０２と同様である。

第二の実施形態におけるサービス初期登録処理は、第一の実施形態の図３（ｃ）の上記ステップ２０３からステップ２０５、ステップ３０６からステップ４０７までは同様である。

上記ステップ３０５については、サービス提供依頼元認証部３２及びアクセス指示制御部３３は申込内容登録時に通信機能付き情報処理装置２にＣＡＮ−ＩＤ３４３３及びアクセス指示情報３４２のレコードを送信する。アプリケーション２３は、受信したレコードを取得済アクセス指示情報２５２に格納する。

上記ステップ４０８については、ＡＣＬ変更判定部４５は通信機能付き情報処理装置２に申込内容登録完了通知を送信するとともに、ＡＣＬ４６５にて管理する当該ユーザのレコードを送信する。

上記ステップ２０６については、アプリケーション２３は画面表示部２２を用いてＡＣＬ管理サーバ４から受信した申込内容登録完了通知を画面に表示するとともに、ＡＣＬ４６５のレコードを取得済ＡＣＬ２５３のレコードとして格納する。

第二の実施形態におけるサービス利用処理は、第一の実施形態の図４の上記ステップ１０４、及び上記ステップ１０６からステップ２１０とは同様である。

上記ステップ２０９において、アプリケーション２３は、ゲートウェイ１１に実行依頼するサービスに応じた取得済アクセス指示情報２５２のレコードを送信し、上記ステップ１０４に進む。

上記ステップ１０５において、アクセス制御管理更新部１４はＡＣＬ管理サーバ４に接続を試みるが接続できない想定である。第二の実施形態では、図８の上記ステップ１０１３で経過時間が制限時間外になった場合、図１９のステップ１０１９に進む。

ステップ１０１９では、アクセス制御管理更新部１４は通信機能付き情報処理装置２に接続する。例えば、アクセス制御管理更新部１４が通信機能付き情報処理装置２の通信アドレスをＶＩＮ取得処理時にアクセス依頼元情報１５２に保持してもよい。

ステップ１０２０では、アクセス制御管理更新部１４は、通信機能付き情報処理装置への接続に成功した場合はステップ１０２１に進み、接続に失敗した場合は上記ステップ１０１３に進む。

ステップ１０２１では、制御情報転送制御部１３は通信機能付き情報処理装置２から取得済ＡＣＬ２５３を取得してメモリで保持する。

ステップ１０２２では、制御情報転送制御部１３は既に保持中の判定用ＡＣＬ１５１があるかを確認する。保持中の判定用ＡＣＬ１５１がある場合はステップ１０２３に進み、保持中の判定用ＡＣＬ１５１がない場合はステップ１０２４に進む。

ステップ１０２３では、制御情報転送制御部１３は、上記ステップ１０２１で取得した取得済ＡＣＬ２５３の変更日時２５３５と既に保持していた判定用ＡＣＬ１５１の変更日時１５１６を比較し、変更日時の新しいＡＣＬを選択する。

ステップ１０２４では、制御情報転送制御部１３は、上記ステップ１０２２から進んできた場合は取得済ＡＣＬ２５３の有効期限２５３７の有効期限を判定し、上記ステップ１０２４から進んできた場合は取得済ＡＣＬ２５３または判定用ＡＣＬ１５１の変更日時が新しいＡＣＬの有効期限２５３７または有効期限１５１７の有効期限を判定する。有効期限内である場合は上記ステップ１００９に進み、有効期限外である場合は上記ステップ１０１４に進む。

以上のステップにより、ゲートウェイ１１がサービス利用時にＡＣＬ管理サーバ４と通信できない場合でも、ゲートウェイ１１はアクセス判定を制御できる。

本実施形態においても、第１実施形態と同様の効果が得られる。加えて、サービスの利用環境として、ゲートウェイ１１がサービス利用時にサービス提供サーバ３及びＡＣＬ管理サーバ４と通信できない場合においても、第１実施形態と同様の効果が得られるという効果がある。

[第３実施形態]
第三の実施形態として、制御情報転送制御部をＡＣＬ管理サーバ４に配置した場合を想定する。

第三の実施形態の処理シーケンスは、第一の実施形態の図３（ａ）、図３（ｂ）、図３（ｃ）、図４と同様に、提供可能サービス通知処理、ＶＩＮ取得処理、サービス初期登録処理、サービス利用処理から構成される。

第三の実施形態における提供可能サービス通知処理は、第一の実施形態の図３（ａ）の上記ステップ３０１からステップ３０２と同様である。

第三の実施形態におけるＶＩＮ取得処理は、第一の実施形態の図３（ｂ）の上記ステップ２０１からステップ２０２と同様である。

第三の実施形態におけるサービス初期登録処理は、第一の実施形態の図３（ｃ）の上記ステップ２０３からステップ２０６と同様である。

第三の実施形態におけるサービス利用処理は、第一の実施形態の図４の上記ステップ２０９からステップ３０８、上記ステップ４０９からステップ４１０、上記ステップ２１０とは同様である。

図２０に、第三の実施形態におけるサービス利用処理の概要処理シーケンスを示す。

ステップ３１１では、アクセス指示制御部３３は、ＡＣＬ管理サーバ４にアクセス指示情報３４２のレコード及び属性種別３４３５を送信する。

ステップ４１２では、ＡＣＬ変更判定部４５は、受信したアクセス指示情報３４２のレコード及び指示コマンドに紐づいた属性種別３４３５と、ＡＣＬ４６５を比較してサービス提供サーバ３のアクセス可否を判定する。

ステップ４１３では、ＡＣＬ変更判定部４５は、アクセスを許可できる場合はゲートウェイ１１に、アクセス指示情報３４２の指示コマンド３４２４及びＣＡＮ−ＩＤ３４３３を送信し、アクセスを許可できない場合はサービス提供サーバ３にアクセス拒否通知を送信する。

ステップ１０９では、アクセス制御管理更新部１４はＡＣＬ管理サーバ４の認証処理を実行する。例えば、ゲートウェイ１１は、自動車メーカが契約時にゲートウェイ１１のメモリ上にＡＣＬ管理サーバのＩＤ及びパスワードを保持させておく。上記ステップ４１３において、ＡＣＬ変更判定部４５がＡＣＬ管理サーバのＩＤ及びパスワードを送信し、アクセス制御管理更新部１４は予め保持していたＩＤ及びパスワードを用いて認証処理を実行する。

ステップ１１０では、制御情報転送制御部１３は受信したＣＡＮ−ＩＤに対して指示コマンド３４２４を送信することによりサービスを実行する。

ステップ１１１では、制御情報転送制御部１３は上記ステップ１１０のサービス実行結果をＡＣＬ管理サーバ４に送信する。

ステップ４１４では、ＡＣＬ変更判定部４５はサービス提供サーバ３に受信したサービス実行結果を送信する。

ステップ３１０では、アクセス指示制御部３３は通信機能付き情報処理装置２に受信したサービス実行結果を送信する。

以上のステップにより、実施形態３では、ＡＣＬ管理サーバ４に制御情報転送制御を配置した場合のサービス利用を実現できる。

本実施形態においても、第１実施形態と同様の効果が得られる。加えて、システムにおける機能配置として、制御情報転送制御部をＡＣＬ管理サーバ４に配置した場合においても、第１実施形態と同様の効果が得られるという効果がある。

１：自動車
１１：ゲートウェイ
２：通信機能付き情報処理装置
３：サービス提供サーバ
４：ＡＣＬ管理サーバ
５：通信網

Claims (7)

1. 内部ネットワークに接続された処理装置に対する外部ネットワークからのアクセスを制御するゲートウェイ装置であって、
   アクセス実行指示の前記ゲートウェイ装置に対する送信元であるサービス提供装置と接続され、前記サービス提供装置は前記外部ネットワークを介して前記アクセス実行指示をサービス享受装置から受信し、
   制御情報転送制御部と、アクセス制御管理更新部と、制御情報アクセス部と、を備え、
   前記アクセス制御管理更新部は、前記サービス提供装置からアクセス実行指示を受信したら、前記サービス享受装置の属性と、前記サービス提供装置の属性と、前記処理装置の属性と、の組み合わせに基づく、前記アクセス実行指示の実行可否を示す前記アクセス実行指示の判定用情報を取得し、
   前記制御情報転送制御部は、前記判定用情報を用いて、前記アクセス実行指示の実行可否を判定し、前記制御情報アクセス部へ、アクセス可と判定したアクセス実行指示を送信し、
   前記制御情報アクセス部は、受信した前記アクセス実行指示を前記処理装置に送信し、前記アクセス実行指示に対する結果メッセージを、前記制御情報転送制御部に送信し、
   前記制御情報転送制御部は、前記結果メッセージを、前記アクセス実行指示の送信元に送信することを特徴とするゲートウェイ装置。
2. 請求項１に記載のゲートウェイ装置において、
   前記アクセス制御管理更新部は、当該ゲートウェイ装置が、前記外部ネットワークからアクセス実行指示を受信した後に、前記外部ネットワークに接続された判定用情報管理装置に対して、前記判定用情報の取得依頼を送信し、前記判定用情報を取得することを特徴とするゲートウェイ装置。
3. 請求項２に記載のゲートウェイ装置において、
   前記アクセス制御管理更新部は、前記判定用情報管理装置から、前記判定用情報を取得できない場合、予め、前記判定用情報管理装置から前記判定用情報を受信し保持している他の情報処理装置に対して、前記判定用情報の取得依頼を送信し、前記判定用情報を取得することを特徴とするゲートウェイ装置。
4. サービス享受装置とサービス提供装置と、サービス実行管理装置と、サービス実行判定情報管理装置と、を備えるサービス提供システムであって、
   前記サービス実行管理装置には、内部ネットワークを介して、一つ以上の処理装置と接続されており、
   前記サービス享受装置は、前記サービス提供装置にサービス実行依頼を送信し、
   前記サービス提供装置は、前記サービス実行依頼に基づくアクセス実行指示を、外部ネットワークを介して、前記サービス実行管理装置へ送信し、
   前記サービス実行管理装置は、前記サービス提供装置からアクセス実行指示を受信したら、前記外部ネットワークを介して、前記サービス実行判定情報管理装置へ、前記アクセス実行指示の判定用情報の取得依頼を送信し、
   前記サービス実行判定情報管理装置は、前記判定用情報を、前記サービス実行管理装置へ送信し、
   前記サービス実行管理装置は、受信した前記判定用情報を用いて、前記アクセス実行指示の実行可否を判定し、アクセス可と判定したアクセス実行指示を、前記内部ネットワークを介して、前記処理装置へ送信し、前記アクセス実行指示に基づく実行結果を、前記外部ネットワークを介して、前記サービス提供装置へ送信し、
   前記サービス提供装置は、受信した前記実行結果を前記サービス享受装置へ送信するシステムであり、
   前記判定用情報は、前記サービス享受装置の属性と、前記サービス提供装置の属性と、前記処理装置の属性と、の組み合わせに基づく、前記アクセス実行指示の実行可否を示すことを特徴とするサービス提供システム。
5. 請求項４に記載のサービス提供システムにおいて、
   前記判定用情報は、前記処理装置に対してあらかじめ定められたドメインを前記属性として用いることを特徴とするサービス提供システム。
6. 請求項４または５に記載のサービス提供システムにおいて、
   前記サービス享受装置は、前記サービス提供装置へ、サービス申込内容登録依頼を送信し、
   前記サービス提供装置は、前記サービス申込内容登録依頼に基づく、前記判定用情報の変更依頼を、前記サービス実行判定情報管理装置へ送信し、
   前記サービス実行判定情報管理装置は、
   前記変更依頼に基づき、前記判定用情報を変更した場合は、前記判定用情報に含まれる前記サービス享受装置に係る部分を前記サービス享受装置へ送信することを特徴とするサービス提供システム。
7. 請求項６に記載のサービス提供システムにおいて、
   前記サービス実行管理装置は、前記サービス実行判定情報管理装置から、前記判定用情報を取得できない場合、前記サービス享受装置へ、前記アクセス実行指示の判定用情報の取得依頼を送信し、
   前記サービス享受装置は、前記サービス実行判定情報管理装置から取得した前記判定用情報を前記サービス実行管理装置へ送信し、
   前記サービス実行管理装置は、前記サービス享受装置から受信した前記判定用情報を用いて、前記アクセス実行指示の実行可否を判定することを特徴とするサービス提供システム。

Images