JP6928146B1

JP6928146B1 - 車載器およびセキュリティ機能制御プログラム

Info

Publication number: JP6928146B1
Application number: JP2020088571A
Authority: JP
Inventors: 謙悟横山
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2020-05-21
Filing date: 2020-05-21
Publication date: 2021-09-01
Anticipated expiration: 2040-05-21
Also published as: JP2021184122A

Abstract

【課題】ＥＴＣシステムを利用するためのセキュリティ機能を、簡単に切り替えられる車載器を得る。【解決手段】ＥＴＣセキュリティ機能部１１２に、ＥＴＣシステムに用いられる複数のセキュリティ方式に対応した複数のセキュリティ機能を有するとともに、車載器固有ＩＤ部１１１に、セキュリティ方式ごとに付与された車載器固有ＩＤを有し、セキュリティ方式識別部１０９が、車載器のセットアップ時に用いられるセットアップカードから読み出された車載器固有ＩＤと、自身の車載器固有ＩＤ部１１１の保有する車載器固有ＩＤが一致した場合に、セットアップカードに格納されたセキュリティ方式識別情報に基づき、有効化させるセキュリティ方式を識別して、セキュリティ機能有効化部１１０が、この識別されたセキュリティ方式に対応したセキュリティ機能を有効化するようにした。【選択図】図１

Description

本願は、車載器およびセキュリティ機能制御プログラムに関するものである。

近年、有料道路の自動料金収受としてＥＴＣ（道路自動料金収受：ＥｌｅｃｔｒｏｎｉｃＴｏｌｌＣｏｌｌｅｃｔｉｏｎ、登録商標）システムが広く普及している。このＥＴＣシステムでは、料金所に設置された路側機と車両に設置された車載器との間で、無線通信によって料金収受に必要な情報を交換しており、料金収受に必要な情報は暗号化されている。
一般的に、計算機能力の進歩、あるいは暗号解読手法の進歩にともない、暗号アルゴリズムは危殆化するものとされている。この暗号アルゴリズムの危殆化により、サービスまたはシステムのセキュリティが低下することを防ぐため、新しい暗号アルゴリズムに切り替えていくことが必要と考えられている。
このため、ＥＴＣシステムにおいても、現行の暗号アルゴリズムは、将来的に危殆化するものと考えられ、将来、現行のセキュリティ機能をより高いセキュリティ機能へと移行することが想定される。

セキュリティ上、新旧２つのセキュリティ機能を同時に動作可能とすることは好ましくない。セキュリティ機能の移行にあたり、路車間でセキュリティ機能のアンマッチが起こり、正常な通信が行われない事態を避けるためには、すべての路側機を新セキュリティ機能にも対応させた上で、新セキュリティ機能のみに対応した車載器を市場に投入していくことが考えられる。
これは、多数のユーザがいる車載器とは違い、ＥＴＣにおける路側システムは、特定の道路事業者の管理下にあり、統制が効くため、セキュリティ機能を厳重に管理することが可能であるからである。

新セキュリティ機能への移行期間が経過すれば、路側システムは、新セキュリティ機能のみで動作することになる。新セキュリティ機能への移行期間が経過しても、従来のセキュリティ機能のＥＴＣ車載器を使用し続けるユーザがいると、料金所において、路側システムと車載器の間で、セキュリティ機能のアンマッチが起こり、正常な通信が行われず、ＥＴＣレーンの開閉バーが開かないことで、事故を誘発する恐れがある。このため、ＥＴＣ車載器のセキュリティ機能の移行は、非常に重要である。
なお、ユーザが、ＥＴＣを利用するためには、車載器をセットアップしておく必要があり、車検証に記載されている車種区分、ナンバープレートなどの車両情報、または路車間の通信用鍵などが、格納されたＩＣ（ＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）カード（セットアップカードという）を車載器に挿入することで、これらの情報が車載器内部に格納され、路側機との暗号化通信が可能となる。

特許文献１には、有料道路通行料金の課金を行うための車両課金区分を車載器にセットアップする方法が記載されている。ここでは、ＥＴＣのシステム管理者が、車載器固有の情報毎にセットアップ用暗号鍵を準備し、これに基づき、車載器製造者によって車載器毎にセットアップ用暗号鍵を格納するよう製造された車載器と、同じくこれに基づきセットアップ者によって車載器固有の情報に基づいたセットアップ用暗号鍵が格納されたセットアップカードを用い、車載器とセットアップカードとの間で認証を行わせる。
これにより、セットアップカードに格納されている車両課金区分、ナンバープレートなどの車両情報、または路車間通信用の暗号鍵などを車載器に転送することができるようになる。

また、特許文献２は、既存のＥＴＣセットアップシステムを利用し、ＥＴＣ以外のサービスを受けるためのアプリケーションプログラムとセキュリティプログラムを有する車載器において、ＥＴＣ以外のサービスを受けるためのアプリケーションプログラムとセキュリティプログラムを有効化できるようにしている。
また、特許文献３は、複数のアプリケーションそれぞれに対応した複数のセキュリティ方式を有するセキュリティモジュールを搭載した車載器において、アプリケーションの終了時に、セキュリティモジュールに設定されているセキュリティ方式を所定の条件に応じて切り替えておくことで、次回アプリケーション実行時に、セキュリティ方式を切り替えるために要する時間を軽減するようにしている。これにより、限られた路車間通信時間を有効に使用する。

特許第３９５８５１４号公報（第５〜８頁、第１図）特開２００４−１３９３８０号公報（第１２〜１４頁、第３図）特許第３８６６２５４号公報（第４〜６頁、第１図）

路車間通信は、路側機と車載器の相互接続性が確保されていることが前提であるため、そのセキュリティ機能は規格化されている。つまり、路側機を新セキュリティ機能にも対応させ始める時点で、車載器に必要とされる新セキュリティ機能も規格化されており、すべての路側機を新セキュリティ機能にも対応させることを待たずして、新セキュリティ機能に対応した車載器を製造することは可能である。
しかしながら、セキュリティ上、新旧２つのセキュリティ機能を同時に動作可能とすることは好ましくなく、車載器は、新旧どちらかのセキュリティ機能のみで動作する必要がある。

また、市場に何千万台とある車載器のセキュリティ機能を新しいセキュリティ機能に移行することは容易ではない。従来のセキュリティ機能のみに対応した車載器のユーザが、新セキュリティ機能に対応した車載器に買い替えることで、セキュリティ機能を移行していくことはできる。しかし、ユーザに対し車載器を購入する負担を発生させることは、セキュリティ機能を移行する上で大きな障害になる恐れがある。
また、ユーザが車両を買い替える際に、新セキュリティ機能に対応した車載器を購入することも考えられる。この場合、車両の買い替え時期まで車載器のセキュリティ機能が切り替らず、セキュリティ機能の移行が進まないという問題がある。

特許文献１に記載されたものは、車両課金区分、路車間通信用の暗号鍵などを車載器に格納するものであって、車載器が路側機と通信する際の暗号アルゴリズム等のセキュリティ機能を切り替えることについては何ら言及されていない。
また、特許文献２に記載されたものでは、既存のＥＴＣセットアップシステムを利用し、ＥＴＣ以外のサービスを受けるためのアプリケーションプログラムとセキュリティプログラムを有する車載器において、ＥＴＣ以外のサービスを受けるためのアプリケーションプログラムとセキュリティプログラムを有効化することはできる。
しかしながら、特許文献２では、ＥＴＣという単一のサービスにおいて、車載器が路側機と通信する際の暗号アルゴリズム等のセキュリティ機能を切り替えることについては何ら言及されていない。
さらに、特許文献３に記載されたものでは、複数のアプリケーションそれぞれに対応した複数のセキュリティ方式を切り替えることはできるが、ＥＴＣという単一のアプリケーション内の複数のセキュリティ方式を切り替えることについては何ら言及されていない。

本願は、上記のような課題を解決するための技術を開示するものであり、ＥＴＣシステムを利用するためのセキュリティ機能を、簡単に切り替えられる車載器およびセキュリティ機能制御プログラムを提供することを目的とする。

本願に開示される車載器は、ＥＴＣシステムに用いられる車載器であって、複数のセキュリティ方式に対応した複数のセキュリティ機能を有するセキュリティ機能部、セキュリティ方式ごとに付与された車載器固有ＩＤを有する車載器固有ＩＤ部、車載器のセットアップ時に用いられるセットアップカードの情報に基づき、複数のセキュリティ方式のうち、有効化させるセキュリティ方式を識別するセキュリティ方式識別部、このセキュリティ方式識別部によって識別されたセキュリティ方式に対応したセキュリティ機能を有効化するセキュリティ機能有効化部を備え、セットアップカードは、セキュリティ方式を識別するためのセキュリティ方式識別情報を含む車載器固有ＩＤを格納しており、セキュリティ方式識別部は、セットアップカードから読み出された車載器固有ＩＤと、車載器固有ＩＤ部の保有する車載器固有ＩＤが一致した場合に、セットアップカードに格納されたセキュリティ方式識別情報に基づき、有効化させるセキュリティ方式を識別するようにしたものである。

本願に開示される車載器によれば、ＥＴＣシステムを利用するためのセキュリティ機能を、簡単に切り替えることができる。

実施の形態１による車載器の構成を示すブロック図である。実施の形態１による車載器を識別するための車載器固有ＩＤの内容を示す図である。実施の形態１による車載器のセキュリティ方式制御を実施する際の動作を示すフローチャートである。実施の形態２による車載器のセキュリティ方式制御を実施する際の動作を示すフローチャートである。実施の形態１、２による車載器のハードウェア構成を示す図である。

実施の形態１．
以下、実施の形態１について、図を用いて説明する。
図１は、実施の形態１による車載器の構成を示すブロック図である。
図１において、車載器１００は、ＥＴＣシステムに用いられ、有料道路の料金収受のために道路上に設置された路側機と通信し、データの授受を行う。車載器１００は、全体の制御を行うＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）１０１を中心に、通信回路１０２、電源回路１０３、カードＩ／Ｆ（ｉｎｔｅｒｆａｃｅ）１０４が接続されている。
通信回路１０２には、アンテナ１０５が接続されている。電源回路１０３には、外部の電源１０６が接続されている。カードＩ／Ｆ１０４には、セットアップカード１０７またはＥＴＣカードが接続される。
セットアップカード１０７は、車載器のセットアップ時に用いられ、車載器を識別するための車載器固有ＩＤ（ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）１０８を格納している。この車載器固有ＩＤ１０８には、セキュリティ方式を識別するためのセキュリティ方式識別情報が含まれている。

ＣＰＵ１０１は、次のように構成されている。
セキュリティ方式識別部１０９は、セットアップカード１０７から読み出した車載器固有ＩＤ１０８と、自身の有する車載器固有ＩＤ部１１１の各車載器固有ＩＤとを照合し、一致した場合に、セットアップカード１０７から読み出した車載器固有ＩＤに含まれるセキュリティ方式識別情報に応じて、有効化するセキュリティ方式を選定する。
セキュリティ機能有効化部１１０は、セキュリティ方式識別部１０９によって選定されたセキュリティ方式に基づき、セキュリティ機能を有効化する。
車載器固有ＩＤ部１１１は、セキュリティ方式ごとに付与された車載器固有ＩＤを保有する。すなわち、複数の車載器固有ＩＤを保有し、ＩＤ１およびＩＤ２は、各車載器固有ＩＤを示している。
ＥＴＣセキュリティ機能部１１２（セキュリティ機能部）は、複数のセキュリティ方式にそれぞれ対応した複数のセキュリティ機能を有する。車載器固有ＩＤ部１１１は、このセキュリティ方式の数と同数の車載器固有ＩＤを有することとする。セキュリティ方式１、セキュリティ方式２は、各セキュリティ方式のセキュリティ機能を示している。

図２は、実施の形態１による車載器を識別するための車載器固有ＩＤの内容を示す図である。
図２は、車載器固有ＩＤ部１１１の有する、セキュリティ方式ごとに付与された各車載器固有ＩＤの内容を示している。各車載器固有ＩＤは、それぞれ、有効化するセキュリティ方式を示すセキュリティ方式識別情報と、車載器毎にユニークな車載器識別情報とを有する。
従って、各車載器固有ＩＤは、セキュリティ方式識別情報（図２では、１０、１１）が異なるものの、車載器識別情報（図２では、１２３−４５６７８９０１−２３４５６７）は同値である。

次に、動作について説明する。
実施の形態１の車載器１００によるセキュリティ機能制御を実施する際の動作について、図３を用いて説明する。
まず、ＣＰＵ１０１は、カードＩ／Ｆ１０４を介して、セットアップカード１０７が車載器１００に挿入されたことを検知して、セットアップカード１０７との通信を開始し、セットアップカードに格納された車載器固有ＩＤ１０８を読み出す（ステップＳ１０１、第一のステップ）。

次いで、セキュリティ方式識別部１０９は、セットアップカード１０７から読み出した車載器固有ＩＤ１０８と、自身の有する車載器固有ＩＤ部１１１の各車載器固有ＩＤとを照合する（ステップＳ１０２）。
セットアップカード１０７から読み出した車載器固有ＩＤ１０８が、自身の有する車載器固有ＩＤ部１１１のいずれの車載器固有ＩＤとも一致しない場合は、セキュリティ方式の選定およびセキュリティ機能の有効化を実施せずに処理を終了する。

セットアップカード１０７から読み出した車載器固有ＩＤ１０８が、自身の有する車載器固有ＩＤ部１１１のいずれかの車載器固有ＩＤと一致した場合は、車載器固有ＩＤ１０８に含まれるセキュリティ方式識別情報に応じて、有効化するセキュリティ方式を選定する（ステップＳ１０３、第二のステップ）。
次に、セキュリティ機能有効化部１１０が、セキュリティ方式識別部１０９によって選定されたセキュリティ方式に基づき、ＥＴＣセキュリティ機能部１１２の対応するセキュリティ機能を有効化する（ステップＳ１０４、第三のステップ）。

実施の形態１によれば、セットアップカード１０７に格納された車載器固有ＩＤ１０８に含まれるセキュリティ方式識別情報によって、車載器１００のセットアップ時に複数のセキュリティ方式から有効化すべきセキュリティ方式を決定することができる。
このため、すべての路側機が、複数のセキュリティ機能に対応していない状況でも、車載器を市場に投入することができ、市場投入後に再セットアップすることによって車載器のセキュリティ機能を切り替えることができる。

実施の形態２．
実施の形態１は、セットアップカード１０７に格納された車載器固有ＩＤ１０８に含まれるセキュリティ方式識別情報によって、車載器１００のセットアップ時に、複数のセキュリティ方式から有効化すべきセキュリティ方式を決定することができる。
しかしながら、新しいセキュリティ機能が有効化された状態で、古いセキュリティ方式の有効化が指定された場合、古いセキュリティ機能を有効化してしまうという問題がある。
つまり、新セキュリティ機能に移行した車載器が、セットアップ作業者の誤りによって旧セキュリティ車載器に戻ってしまい、セキュリティ機能の移行の障害となる恐れがある。

この問題を防止するために、実施の形態２は、車載器が有する複数のセキュリティ方式に優先度を設け、セキュリティ機能有効化部１１０は、既に有効化されているセキュリティ方式よりも優先度の低いセキュリティ方式を有効化しないようにした。
なお、実施の形態２の車載器の構成および車載器固有ＩＤの内容は、実施の形態１と同様である。すなわち、図１および図２と同じであり、その説明を省略する。

次に、動作について説明する。
実施の形態２の車載器１００によるセキュリティ機能制御を実施する際の動作について、図４を用いて説明する。
なお、図４において、ステップＳ２０１〜ステップＳ２０３は、図３のステップＳ１０１〜ステップＳ１０３と同じ処理であり、その説明を省略する。

ステップＳ２０３で、有効化するセキュリティ方式を選定した後、セキュリティ機能有効化部１１０は、有効化されているセキュリティ方式の有無を確認する（ステップＳ２０４）。
ステップＳ２０４で、有効化されているセキュリティ方式がない場合は、セキュリティ方式識別部１０９が選定したセキュリティ方式に基づき、セキュリティ機能を有効化する（ステップＳ２０６）。

ステップＳ２０４で、有効化されているセキュリティ方式がある場合は、セキュリティ機能有効化部１１０は、予め定めている優先度に基づき、有効化されているセキュリティ方式とセキュリティ方式識別部１０９が選定したセキュリティ方式とを比較する（ステップＳ２０５）。

ステップＳ２０５で、選定されたセキュリティ方式の優先度が、有効化されているセキュリティ方式の優先度よりも低い場合は、選定されたセキュリティ方式に対応したセキュリティ機能の有効化を実施せずに処理を終了する。
選定したセキュリティ方式の優先度が、有効化されているセキュリティ方式の優先度よりも低くない場合は、セキュリティ機能有効化部１１０は、セキュリティ方式識別部１０９が選定したセキュリティ方式に基づき、該当するセキュリティ機能を有効化する（ステップＳ２０６）。

実施の形態２によれば、車載器１００が有する複数のセキュリティ方式に優先度を設け、既に有効化されているセキュリティ方式よりも優先度の低いセキュリティ方式のセキュリティ機能を有効化しない構成としたので、例えば、新しいセキュリティ方式が有効化された状態で、古いセキュリティ方式の有効化が指定された場合において、古いセキュリティ方式が有効化されないようにすることができる。
すなわち、新セキュリティ機能に移行した車載器が、セットアップ作業者の誤りによって旧セキュリティ機能の車載器に戻ってしまうことを防ぐことができ、セキュリティ機能の移行を推進することができる。

なお、車載器１００は、ハードウェアの一例を図５に示すように、プロセッサ１０００と記憶装置１００１から構成される。記憶装置は図示していないが、ランダムアクセスメモリ等の揮発性記憶装置と、フラッシュメモリ等の不揮発性の補助記憶装置とを具備する。また、フラッシュメモリの代わりにハードディスクの補助記憶装置を具備してもよい。プロセッサ１０００は、記憶装置１００１から入力されたプログラムを実行する。この場合、補助記憶装置から揮発性記憶装置を介してプロセッサ１０００にプログラムが入力される。また、プロセッサ１０００は、演算結果等のデータを記憶装置１００１の揮発性記憶装置に出力してもよいし、揮発性記憶装置を介して補助記憶装置にデータを保存してもよい。

本開示は、様々な例示的な実施の形態及び実施例が記載されているが、１つ、または複数の実施の形態に記載された様々な特徴、態様、及び機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。
従って、例示されていない無数の変形例が、本願明細書に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合、さらには、少なくとも１つの構成要素を抽出し、他の実施の形態の構成要素と組み合わせる場合が含まれるものとする。

１００車載器、１０１ＣＰＵ、１０２通信回路、１０３電源回路、
１０４カードＩ／Ｆ、１０５アンテナ、１０６電源、
１０７セットアップカード、１０８車載器固有ＩＤ、
１０９セキュリティ方式識別部、１１０セキュリティ機能有効化部、
１１１車載器固有ＩＤ部、１１２ＥＴＣセキュリティ機能部、
１０００プロセッサ、１００１記憶装置

Claims

ＥＴＣシステムに用いられる車載器であって、
複数のセキュリティ方式に対応した複数のセキュリティ機能を有するセキュリティ機能部、
上記セキュリティ方式ごとに付与された車載器固有ＩＤを有する車載器固有ＩＤ部、
上記車載器のセットアップ時に用いられるセットアップカードの情報に基づき、上記複数のセキュリティ方式のうち、有効化させるセキュリティ方式を識別するセキュリティ方式識別部、
このセキュリティ方式識別部によって識別されたセキュリティ方式に対応したセキュリティ機能を有効化するセキュリティ機能有効化部を備え、
上記セットアップカードは、上記セキュリティ方式を識別するためのセキュリティ方式識別情報を含む車載器固有ＩＤを格納しており、
上記セキュリティ方式識別部は、上記セットアップカードから読み出された上記車載器固有ＩＤと、上記車載器固有ＩＤ部の保有する車載器固有ＩＤが一致した場合に、上記セットアップカードに格納されたセキュリティ方式識別情報に基づき、有効化させるセキュリティ方式を識別することを特徴とする車載器。
上記複数のセキュリティ方式に優先度を設け、
上記セキュリティ機能有効化部は、既に有効化されているセキュリティ方式がある場合に、当該セキュリティ方式より優先度の低いセキュリティ方式を有効化しないことを特徴とする請求項１に記載の車載器。
ＥＴＣシステムで用いられるセキュリティ方式を識別するためのセキュリティ方式識別情報を含む車載器固有ＩＤを格納したセットアップカードから、上記車載器固有ＩＤを読み出す第一のステップ、
この第一のステップにより読み出された上記車載器固有ＩＤと、自身が保有する車載器固有ＩＤが一致した場合に、上記セットアップカードに格納されたセキュリティ方式識別情報に基づき、有効化するセキュリティ方式を識別する第二のステップ、
この第二のステップによって識別されたセキュリティ方式のセキュリティ機能を有効化する第三のステップを含み、
上記第一、第二および第三の各ステップをコンピュータにより実行させることを特徴とするセキュリティ機能制御プログラム。