JP7400680B2 - 認証管理方法、認証管理プログラム及び利用者認証管理装置 - Google Patents
認証管理方法、認証管理プログラム及び利用者認証管理装置 Download PDFInfo
- Publication number
- JP7400680B2 JP7400680B2 JP2020165367A JP2020165367A JP7400680B2 JP 7400680 B2 JP7400680 B2 JP 7400680B2 JP 2020165367 A JP2020165367 A JP 2020165367A JP 2020165367 A JP2020165367 A JP 2020165367A JP 7400680 B2 JP7400680 B2 JP 7400680B2
- Authority
- JP
- Japan
- Prior art keywords
- authentication
- user
- level
- terminal
- vehicle
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000007726 management method Methods 0.000 title claims description 136
- 230000006870 function Effects 0.000 claims description 118
- 230000001815 facial effect Effects 0.000 claims description 4
- 238000010295 mobile communication Methods 0.000 claims description 4
- 238000000034 method Methods 0.000 description 56
- 230000008569 process Effects 0.000 description 41
- 238000013475 authorization Methods 0.000 description 17
- 238000010586 diagram Methods 0.000 description 10
- 230000008859 change Effects 0.000 description 5
- 238000004891 communication Methods 0.000 description 4
- 238000004590 computer program Methods 0.000 description 2
- 238000011161 development Methods 0.000 description 2
- 238000005516 engineering process Methods 0.000 description 2
- 230000004913 activation Effects 0.000 description 1
- 230000001174 ascending effect Effects 0.000 description 1
- 230000001186 cumulative effect Effects 0.000 description 1
- 238000013523 data management Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004044 response Effects 0.000 description 1
- 239000004065 semiconductor Substances 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/105—Multiple levels of security
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
- H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
- H04L2463/082—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying multi-factor authentication
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Lock And Its Accessories (AREA)
Description
本開示は、利用者の認証状態を管理する技術に関する。
特許文献１には、ドアの解錠時にアンサーバック音が出力される車両で用いられ、ユーザに携帯される携帯端末と、車両で用いられる車両側装置とを含む車両認証システムが開示される。この車両認証システムでは、車両側装置が、メモリに記憶された制御プログラムを実行することで車両での認証に関する各種の処理を実行する。
しかしながら、認証デバイスを認証する認証端末と、ドアの開錠及びアンサーバック音の出力といった車載アプリケーションが同一の開発プロジェクトにおいて設計、開発されるとは限らない。
ユーザの認証状態を一元管理するサーバを設置し、認証過程とアプリケーション側の認証要求を概念的に分離する場合がある。サーバは、所定の統一形式で表現される認証状態を生成するので、アプリケーションは認証情報が必要な場合、個々の認証関連機器ではなく、サーバに対して認証状態の通知を要求する。又、認証関連機器は認証状態が生成できるように認証結果をサーバに通知するように設計されれば良く、アプリケーションの認証要求は考慮不要となる。
車両のアプリケーションは、認証されていれば誰が実行しても良いアプリケーションと、利用者を限定したいアプリケーションがある。そのため、認証状態は複数のセキュリティレベルが設定され、適切にセキュリティが確保される必要がある。
本開示の目的は、認証状態の一元管理を実現しつつ、車両用アプリケーションの実行に対してセキュリティを確保できる認証管理方法、認証管理プログラム及び利用者認証管理装置を提供することにある。
本開示の一態様によれば、認証管理方法は、車両に搭載された電子制御装置により、認証レベルと認証要素を定めた認証ルールを記憶することと、前記電子制御装置により、車両の利用者を識別するアイデンティティ情報を記憶することと、前記電子制御装置により、車両機能を制御する車両用アプリケーションから認証状態更新の要求を受信することと、前記電子制御装置により、利用者又は利用者の所持する認証デバイスを認証する認証端末に利用者又は認証デバイスの認証を要求することと、前記電子制御装置により、認証端末による認証結果、認証ルール、アイデンティティ情報に基づき、認証状態を生成することと、前記電子制御装置により、生成した認証状態を車両用アプリケーションに通知すること、を備える。記憶される認証ルールは、セキュリティレベルに応じて複数の認証レベルを定め、少なくとも１つの認証レベルでの認証要素は、物理セキュリティを伴うハードウェア暗号モジュールによる所持認証を含む。
更に本開示の別の態様によれば、認証管理プログラムは、車両に搭載された電子制御装置に、認証レベルと認証要素を定めた認証ルールを記憶することと、車両の利用者を識別するアイデンティティ情報を記憶することと、車両機能を制御する車両用アプリケーションから認証状態更新の要求を受信することと、利用者又は利用者の所持する認証デバイスを認証する認証端末に利用者又は認証デバイスの認証を要求することと、認証端末による認証結果、認証ルール、アイデンティティ情報に基づき、認証状態を生成することと、生成した認証状態を車両用アプリケーションに通知すること、を実行させる。記憶される認証ルールは、セキュリティレベルに応じて複数の認証レベルを定め、少なくとも１つの認証レベルでの認証要素は、物理セキュリティを伴うハードウェア暗号モジュールによる所持認証を含む。
更に本開示の別の態様によれば、車両に搭載された利用者認証管理装置は、認証レベルと認証要素を定めた認証ルールを記憶する第１記憶部（７２）と、車両の利用者を識別するアイデンティティ情報を記憶する第２記憶部（７１）と、車両機能を制御する車両用アプリケーションから認証状態更新の要求を受信し、利用者又は利用者の所持する認証デバイスを認証する認証端末に利用者又は認証デバイスの認証を要求し、認証端末による認証結果、認証ルール、アイデンティティ情報に基づき、認証状態を生成し、生成した認証状態を車両用アプリケーションに通知する、認証制御部（７３）を備える。記憶される認証ルールは、セキュリティレベルに応じて複数の認証レベルを定め、少なくとも１つの認証レベルでの認証要素は、物理セキュリティを伴うハードウェア暗号モジュールによる所持認証を含む。
本開示の構成によれば、車両の利用者又は利用者の保持する認証デバイスを認証する認証過程と車両機能を制御する車両用アプリケーションによる認証状態の更新過程の間に認証管理装置を加えた認証状態管理システムにおいて、物理セキュリティを伴うハードウェア暗号モジュールによる所持認証を認証要素とすることで、認証管理装置による認証状態の一元管理とセキュリティ確保を実現できる。
以下、本開示の実施形態について、図面を参照して説明する。
本開示の一例による利用者認証システム１の構成について図１を用いて説明する。
図１は、利用者認証システム１の概要構成を示すブロック図である。利用者認証システム１は、第１ＥＣＵ２、サーバ３、認証端末４、第２ＥＣＵ５を含む。第１ＥＣＵ２と認証端末４と第２ＥＣＵ５は車載ネットワーク６で通信可能に接続される。第１ＥＣＵ２とサーバ３は、無線通信可能に接続される。第２ＥＣＵ５とサーバ３は、無線通信可能に接続される。尚、図１では、サーバ３と第１ＥＣＵ２又は第２ＥＣＵ５が通信しているように記載しているが、車両においては第１ＥＣＵ２又は第２ＥＣＵ５は共通の通信モジュール（図示せず）を用いて外部と無線通信しても良い。更に、図１では、サーバ３は便宜上、１つのサーバ３として記載しているが、複数のサーバ３であっても良い。ＥＣＵは、プロセッサ、メモリ、I／O、これらを接続するバスを備え、メモリに記憶された制御プログラムを実行することで各種の処理を実行する。尚、メモリは、コンピュータによって読み取り可能なプログラム及びデータを非一時的に格納する非遷移的実体的記憶媒体（non-transitory tangible storage medium）である。又、非遷移的実体的記憶媒体は、半導体メモリ又は磁気ディスク等によって実現される。ＥＣＵは電子制御装置に対応する。
本開示の一例による利用者認証システム１の構成について図１を用いて説明する。
図１は、利用者認証システム１の概要構成を示すブロック図である。利用者認証システム１は、第１ＥＣＵ２、サーバ３、認証端末４、第２ＥＣＵ５を含む。第１ＥＣＵ２と認証端末４と第２ＥＣＵ５は車載ネットワーク６で通信可能に接続される。第１ＥＣＵ２とサーバ３は、無線通信可能に接続される。第２ＥＣＵ５とサーバ３は、無線通信可能に接続される。尚、図１では、サーバ３と第１ＥＣＵ２又は第２ＥＣＵ５が通信しているように記載しているが、車両においては第１ＥＣＵ２又は第２ＥＣＵ５は共通の通信モジュール（図示せず）を用いて外部と無線通信しても良い。更に、図１では、サーバ３は便宜上、１つのサーバ３として記載しているが、複数のサーバ３であっても良い。ＥＣＵは、プロセッサ、メモリ、I／O、これらを接続するバスを備え、メモリに記憶された制御プログラムを実行することで各種の処理を実行する。尚、メモリは、コンピュータによって読み取り可能なプログラム及びデータを非一時的に格納する非遷移的実体的記憶媒体（non-transitory tangible storage medium）である。又、非遷移的実体的記憶媒体は、半導体メモリ又は磁気ディスク等によって実現される。ＥＣＵは電子制御装置に対応する。
第１ＥＣＵ２は、ＣＰＵ２１とメモリ２２を備える。メモリ２２は、認証管理プログラムを記憶しており、第１ＥＣＵ２が認証管理プログラムを実行することで、利用者認証管理装置７の機能が実現する。実施形態では、利用者認証管理装置７をソフトウェアとして記載するが、利用者認証管理装置７の一部或いは全部はハードウェアとして構成されても良い。
サーバ３の構成と機能について説明する。サーバ３は、例えば、車外に設置されるデータ管理センタが相当する。サーバ３は、クラウド或いはセンタとも呼ぶ。
サーバ３は、利用者管理機能、認証ルール管理機能、認可ポリシー管理機能を備える。尚、それぞれの機能は、別のデータ管理センタに構成されても良いし、１つのデータ管理センタに構成されても良い。
サーバ３は、利用者管理機能、認証ルール管理機能、認可ポリシー管理機能を備える。尚、それぞれの機能は、別のデータ管理センタに構成されても良いし、１つのデータ管理センタに構成されても良い。
利用者管理機能は、利用者情報及び利用者属性定義を管理する。具体的には、利用者管理機能は、利用者ＩＤの発行と利用者ＩＤの削除ができる。利用者管理機能は、利用者属性定義の登録と、利用者属性定義の変更ができる。尚、利用者管理機能は、車両への初期データ配信時、利用者属性定義を利用者認証管理装置７に送信し設定する。
認証ルール管理機能は、認証ルールを管理する。具体的には、認証ルール管理機能は、認証ルールの登録と、認証ルールの変更ができる。認証ルール管理機能は、車両への初期データ配信時、認証ルールを利用者認証管理装置７に送信し設定する。
認可ポリシー管理機能は、認可ポリシーを管理する。より具体的には、認可ポリシー管理機能は、認可ポリシーの登録と、認可ポリシーの変更ができる。認可ポリシー管理機能は、車両への初期データ配信時、認可ポリシーを各機能制御アプリに設定する。機能制御アプリは、車両機能を制御する車両用アプリケーションに相当する。認可ポリシーは、例えば、機能制御アプリの実行に必要な認証レベルと利用者属性を指定する。例えば、機能制御アプリＸの機能Ｘ１を実行するための認可ポリシーとして、認証レベル＝レベル１、利用者属性＝所有者、家族、が指定される。
認証端末４について以下に説明する。
認証端末４は、利用者や端末を認証するための認証情報を管理する。認証端末４は、デバイスのセンシング結果から利用者や端末の認証を行う。認証端末４は、利用者認証管理装置７から認証の要求を受けた場合、デバイスのセンシングを行い、認証結果を利用者認証管理装置７に通知する。認証結果は、認証成立又は認証不成立を示す情報が含まれる。例えば、認証端末４は、認証成立した場合、認証端末４の認証情報と紐づく管理ＩＤを送信し、認証不成立の場合、認証端末４の認証情報と紐づく管理ＩＤを送信しないように構成される。
認証端末４は、利用者や端末を認証するための認証情報を管理する。認証端末４は、デバイスのセンシング結果から利用者や端末の認証を行う。認証端末４は、利用者認証管理装置７から認証の要求を受けた場合、デバイスのセンシングを行い、認証結果を利用者認証管理装置７に通知する。認証結果は、認証成立又は認証不成立を示す情報が含まれる。例えば、認証端末４は、認証成立した場合、認証端末４の認証情報と紐づく管理ＩＤを送信し、認証不成立の場合、認証端末４の認証情報と紐づく管理ＩＤを送信しないように構成される。
認証端末４には、スマートフォン鍵認証、Ｆｏｂ鍵認証、顔認証、パスワード認証のそれぞれで用いられる通信端末、入力端末装置が含まれる。図１は便宜上、１つの認証端末４が記載されるが、複数でも良い。尚、Ｆｏｂ鍵認証は、Ｆｏｂ鍵９１と認証端末４の間で実施される認証である。スマートフォン鍵認証は、スマートフォン９２と認証端末４の間で実施される認証である。パスワード認証は、認証端末４へのパスワードの入力により実施される認証である。顔認証は、顔と認証端末４の間で実施される認証である。Ｆｏｂ鍵９１及びスマートフォン９２は、認証デバイスの一例である。
図２は、利用者認証管理装置７を含む論理アーキテクチャ２００を例示する。車両において、ＯＳ（オペレーティングソフトウェア）９０上で、利用者認証管理装置７、管理装置Ｘ３０、管理装置Ｙ４０等のミドルウェアが動作する。尚、管理装置は、ミドルウェア、コーディネータ、管理モジュール、マネージャ等と呼ばれる。第１アプリケーション５０、第２アプリケーション６０、第３アプリケーション７０、第４アプリケーション８０は、１つ又は複数の管理装置の提供するサービスを利用して動作し、アプリケーション（アプリとも呼ぶ）ごとの機能を提供する。尚、ＯＳ９０は仮想ＯＳでも良い。又、アプリケーション、管理装置、ＯＳは、同じ電子制御装置により実行されても良いし、異なる電子制御装置により実行されても良い。図２は、例示であり、ＯＳ、管理装置、アプリケーションの数は限定されない。
図３を参照して、利用者認証管理装置７を説明する。図３は、利用者認証管理装置７の構成を示すブロック図である。
利用者認証管理装置７は、利用者記憶部７１と、認証ルール記憶部７２と、認証状態管理部７３とを備える。認証ルール記憶部７２は第１記憶部に相当し、利用者記憶部７１は第２記憶部に相当し、認証状態管理部７３は認証制御部に相当する。
利用者認証管理装置７は、利用者記憶部７１と、認証ルール記憶部７２と、認証状態管理部７３とを備える。認証ルール記憶部７２は第１記憶部に相当し、利用者記憶部７１は第２記憶部に相当し、認証状態管理部７３は認証制御部に相当する。
認証ルール記憶部７２は、認証ルールを管理する。認証ルール記憶部７２は、サーバ３から認証ルールを設定されるように構成される。認証ルール記憶部７２は、利用者認証管理装置７内の他の機能ブロック（例えば、認証状態管理部７３）に認証ルールを通知する。
認証ルールについて、以下に説明する。図５は、認証ルールを例示する図である。図６は、認証要素を認証方法の対応を例示する図である。認証ルール記憶部７２は、図５に例示する認証レベルと認証要素のテーブルと、図６に例示する認証要素と認証方法のテーブルとを、認証ルールとして記憶する。尚、本実施形態では、図５と図６を記載しているが、認証レベルごとに認証方法を指定すれば、単一のテーブルとすることもできる。
認証ルールは、認証要素の組合せによる認証レベルを決定するルールを規定する。認証要素には、例えば、記憶認証、所持認証、生体認証がある。記憶認証の認証方法は、例えば、パスワード認証である。所持認証の認証方法は、例えば、スマートフォン鍵認証（スマホ鍵認証）とＦｏｂ鍵認証である。生体認証の認証方法は、例えば、顔認証である。
認証ルールは、複数の情報セキュリティレベルが設定される。認証ルールは、例えば、情報セキュリティレベルが低い順に、認証レベル１、認証レベル２、認証レベル３が設定される。例えば、アメリカ国立標準技術研究所の電子的認証に関するガイドラインに基づくか、或いは類似する認証レベルが設定されても良い。つまり、認証ルールは、認証レベルごとに単一又は複数の認証要素を定められる。例えば、セキュリティレベルが最下位の認証レベル（認証レベル１）は単一の認証要素とされ、セキュリティレベルが最下位より上位の認証レベルは複数の認証要素とされ、セキュリティレベルが最上位の認証レベルは複数の認証要素であり、且つ、物理セキュリティを備えたハードウェア暗号モジュールを採用する。ハードウェア暗号モジュールは、ハードウェアセキュリティモジュールとも呼ばれ、例えば、ハードウェア内で鍵を保管し暗号化機能や署名機能の全部又は一部を有する装置である。
認証レベル１（レベル１とも呼ぶ）は、第１認証要素が指定される。尚、第１認証要素は、例えば、記憶認証と所持認証が採用される。認証レベル１では、記憶認証又は所持認証のどちらか一方で認証レベルが満たされる。
認証レベル２（レベル２とも呼ぶ）は、第１認証要素と第２認証要素が指定される。レベル２では、例えば、所持認証（第１認証要素）と記憶認証（第２認証要素）、或いは、所持認証（第１認証要素）と生体認証（第２認証要素）が採用される。認証レベル２では、（１）Ｆｏｂ鍵認証又はスマホ鍵認証とパスワード認証、或いは（２）Ｆｏｂ鍵認証又はスマホ鍵認証と顔認証、のどちらかで認証レベルが満たされる。
認証レベル３（レベル３とも呼ぶ）は、第１認証要素と第２認証要素が指定される。レベル３では、例えば、所持認証（第１認証要素）と記憶認証（第２認証要素）、或いは、所持認証（第１認証要素）と生体認証（第２認証要素）が採用される。認証レベル３では、（１）スマホ鍵認証とパスワード認証、或いは（２）スマホ鍵認証と顔認証、のどちらかで認証レベルが満たされる。
レベル２とレベル３では、所持認証に求められる要件が異なる。具体的には、レベル３での所持認証では、物理セキュリティを備えたハードウェア暗号モジュールであることが必要である。レベル３の所持認証は、例えば、スマホ鍵認証が相当する。換言すると、スマホ鍵認証は、物理セキュリティを備えたハードウェア暗号モジュールに対応する。
レベル２とレベル３では、認証ルールを満たすには、第１認証要素と第２認証要素で同一の利用者である必要がある。例えば、第１認証要素と第２認証要素のそれぞれで認証された利用者が車両の所有者である場合は、認証ルールが満たされる。第１認証要素で認証された利用者が車両の所有者で、第２認証要素のそれぞれで認証された利用者が所有者の家族の場合は、認証ルールは未充足とされる。
利用者記憶部７１について説明する。
利用者記憶部７１は、利用者属性定義とアイデンティティ情報を記憶し、管理する。利用者属性定義は、サーバ３から設定し更新できる。アイデンティティ情報は、サーバ３或いは認証端末４（例えば、スマートフォン）から登録、更新できる。利用者記憶部７１は、利用者認証管理装置７内の他の機能ブロック（例えば、認証状態管理部７３）にアイデンティティ情報を通知できる。
利用者記憶部７１は、利用者属性定義とアイデンティティ情報を記憶し、管理する。利用者属性定義は、サーバ３から設定し更新できる。アイデンティティ情報は、サーバ３或いは認証端末４（例えば、スマートフォン）から登録、更新できる。利用者記憶部７１は、利用者認証管理装置７内の他の機能ブロック（例えば、認証状態管理部７３）にアイデンティティ情報を通知できる。
利用者属性定義について説明する。利用者属性定義は、車両を利用できる利用者（ユーザ）の属性を指定する。利用者属性は、例えば、所有者、家族、ゲスト、サービス提供業者、がある。利用者属性により示される情報が属性情報である。
アイデンティティ情報について説明する。図４は、アイデンティティ情報を例示する。アイデンティティ情報は、利用者ごとに、利用者情報、各認証端末４の認証情報と紐づく情報（認証端末４の管理ＩＤ）を含む。尚、利用者情報は、利用者ＩＤと利用者属性を含む利用者を識別する情報である。言い換えると、利用者情報は、利用者識別情報と属性情報を含む。アイデンティティ情報は利用者記憶部７１に蓄積され、認証端末４による認証期間が過ぎても保存され続けても良い。或いは、アイデンティティ情報は利用者記憶部７１に蓄積され、認証端末４による認証期間が過ぎると自動的に削除されても良い。
認証状態管理部７３の機能を説明する。
認証状態管理部７３は、利用者認証状態（認証状態とも呼ぶ）を生成する。認証状態管理部７３は、機能制御アプリから利用者認証状態の更新を要求された場合、各認証端末４に認証を要求する。認証状態管理部７３は、認証端末４の認証結果、認証ルール、アイデンティティ情報に基づいて利用者認証状態を生成する。認証状態管理部７３は、生成した利用者認証状態を機能制御アプリに通知する。
認証状態管理部７３は、利用者認証状態（認証状態とも呼ぶ）を生成する。認証状態管理部７３は、機能制御アプリから利用者認証状態の更新を要求された場合、各認証端末４に認証を要求する。認証状態管理部７３は、認証端末４の認証結果、認証ルール、アイデンティティ情報に基づいて利用者認証状態を生成する。認証状態管理部７３は、生成した利用者認証状態を機能制御アプリに通知する。
利用者認証状態は、例えば、利用者ＩＤ（利用者識別情報とも呼ぶ）、利用者属性、認証レベルに関する情報を含む。利用者認証状態は、認証エリアに関する情報を含んでも良い。認証状態管理部７３により生成された利用者認証状態は機能制御アプリに送信される。
機能制御アプリ（アプリケーション、又はアプリとも呼ぶ）は、車両の機能の実行可否を判定し、機能を実行する。機能制御アプリは、例えば、第２ＥＣＵ５のメモリ５２に記憶されたプログラムであり、ＣＰＵ５１がプログラムを実行することで、機能制御アプリは実行される。尚、機能制御アプリは、他の記憶媒体に記憶されても良い。更に、機能制御アプリのプログラムは、ＣＰＵ２１により実行されても良いし、他のＣＰＵにより実行されても良い。機能制御アプリは一部或いは全部がハードウェアとして構成されても良い。本実施形態では、説明の便宜上、利用者認証管理装置７と機能制御アプリが異なるＥＣＵ又はＣＰＵにおいて、実行されているように記載しているが、同一ＥＣＵ又はＣＰＵにおいて実行されても良い。
機能制御アプリは、サーバ３により認可ポリシーを設定できる。
機能制御アプリは、利用者認証管理装置７に最新の利用者認証状態を要求する。尚、利用者認証管理装置７に認証状態の更新を要求するタイミングは、機能制御アプリごとに設定可能である。機能制御アプリは、実行されるたびに認証状態の更新を要求しても良いし、所定時間ごとに認証状態の更新を要求しても良い。機能制御アプリは、利用者認証管理装置７に認証状態を要求する際、認証レベル、利用者属性、認証エリアに関する情報を通知しても良い。或いは、機能制御アプリは、利用者認証管理装置７に認証状態を要求する際、認証レベルと利用者属性に関する情報を通知しても良い。機能制御アプリは、更新された認証状態を認証状態管理部７３より受信すると、認証状態と認可ポリシーに基づいて、機能の実行可否を判断する。
機能制御アプリは、利用者認証管理装置７に最新の利用者認証状態を要求する。尚、利用者認証管理装置７に認証状態の更新を要求するタイミングは、機能制御アプリごとに設定可能である。機能制御アプリは、実行されるたびに認証状態の更新を要求しても良いし、所定時間ごとに認証状態の更新を要求しても良い。機能制御アプリは、利用者認証管理装置７に認証状態を要求する際、認証レベル、利用者属性、認証エリアに関する情報を通知しても良い。或いは、機能制御アプリは、利用者認証管理装置７に認証状態を要求する際、認証レベルと利用者属性に関する情報を通知しても良い。機能制御アプリは、更新された認証状態を認証状態管理部７３より受信すると、認証状態と認可ポリシーに基づいて、機能の実行可否を判断する。
尚、機能制御アプリは、車両の機能を制御するあらゆるアプリケーションを含む。機能制御アプリが対象とする車両の制御は、例えば、ドアロックの施解錠、トランク（ラゲッジスペース）の施解錠、ＩＧ－ＯＮ、スライドドアの開閉、ナビのパーソナライズ、オーディオのパーソナライズがある。
以下、利用者認証管理装置７の実施する、認証状態生成処理を説明する。図７は、利用者認証管理装置７による認証状態を生成するフローチャートである。認証状態生成処理は、例えば、所定の間隔で実行されている。
Ｓ１００では、機能制御アプリから認証状態の更新の要求を受信したか判定する。認証状態の更新の要求を受信した場合は、Ｓ１０１に進む。認証状態の更新の要求を受信したと判定しない場合は、認証状態生成処理は終了する。
Ｓ１０１では、利用者記憶部７１に保存されたアイデンティティ情報を読み込む。
Ｓ１０２では、認証ルール記憶部７２に保存された認証ルールを取得する。認証状態の更新要求に含まれる属性情報、認証レベルの情報に基づいて、認証を要求すべき認証端末４の管理ＩＤを取得する。
Ｓ１０２では、認証ルール記憶部７２に保存された認証ルールを取得する。認証状態の更新要求に含まれる属性情報、認証レベルの情報に基づいて、認証を要求すべき認証端末４の管理ＩＤを取得する。
Ｓ１０３では、認証端末４に対して認証を要求する。尚、機能制御アプリの実行権限のある利用者が複数いる場合は、アイデンティティ情報に登録された、機能制御アプリを実行する権限の設定された全ての利用者について、各利用者と紐づけされた認証端末４の管理ＩＤを同時にそれぞれの認証端末４に送信し、最初に認証成立を通知した認証端末４により認証レベルが充足されるか判定しても良い。
Ｓ１０４では、それぞれの認証端末４から送信された認証結果を受信する。認証結果は、認証成立又は認証不成立を示す情報が含まれる。或いは、認証結果は認証が成立した場合のみ送信され、認証が不成立の場合は送信されなくても良い。
Ｓ１０５では、Ｓ１０２で読みだした認証ルールと受信した認証結果に基づいて、認証レベルが満たされたか否か判定される。認証レベルが満たされていない場合は、Ｓ１０４に戻り更に認証結果の受信を待つ。認証レベルが満たされたと判定した場合は、Ｓ１０６に進む。
Ｓ１０６では、更新された認証状態を生成する。認証状態は、利用者ＩＤ，利用者属性と認証レベルに関する情報を少なくとも含む。そして、生成した認証状態を機能制御アプリに通知する。尚、更新された認証状態の情報は、Ｓ１００で認証状態の更新を要求した機能制御アプリのみに通知されても良いし、他のアクティブ又は全ての機能制御アプリに通知されても良い。認証状態を通知すると、認証状態生成処理は終了する。
図８は、認証端末４による認証結果を送信するフローチャートである。認証端末４による認証プロセスは認証端末４の種類によって異なるので、本実施形態ではその概要のみを説明する。認証プロセスは、認証端末４の制御装置により所定の周期で実行される。或いは、認証プロセスは、利用者認証管理装置７から認証を要求された場合に開始しても良い。或いは、利用者が認証端末４を操作した場合に開始しても良い。
Ｓ２００では、認証を要求されたか判定される。認証を要求されたと判定しない場合、認証プロセスは終了する。認証を要求されたと判定した場合、Ｓ２０１に進む。
Ｓ２０１では、認証端末４ごとに定められた手順と方法に従い、認証が実施される。
Ｓ２０２では、認証結果を利用者認証管理装置７に通知する。認証結果は、認証成立又は認証不成立を示す情報が含まれる。或いは、認証結果は認証が成立した場合のみ通知され、認証が不成立の場合は通知されなくても良い。認証成立した場合、認証端末４は、認証結果として、認証を実施した認証端末４の管理ＩＤを通知する。認証結果を送信すると、認証プロセスは終了する。
Ｓ２０１では、認証端末４ごとに定められた手順と方法に従い、認証が実施される。
Ｓ２０２では、認証結果を利用者認証管理装置７に通知する。認証結果は、認証成立又は認証不成立を示す情報が含まれる。或いは、認証結果は認証が成立した場合のみ通知され、認証が不成立の場合は通知されなくても良い。認証成立した場合、認証端末４は、認証結果として、認証を実施した認証端末４の管理ＩＤを通知する。認証結果を送信すると、認証プロセスは終了する。
図９は、機能制御アプリによる機能の実行可否を判定するフローチャートである。図９の認証状態更新処理は、利用者が機能制御アプリの機能の実行を要求したときに開始する。
Ｓ３００では、認証状態の更新が必要か否か判定される。認証状態の更新が必要な否かは機能制御アプリにより異なる。例えば、利用者が機能制御アプリの機能を実行しようとするごとに最新の認証状態を要求し、認証状態の更新を要求しても良い。或いは、所定時間経過ごとに機能制御アプリは認証状態の更新を要求しても良い。或いは、機能制御アプリの累積起動時間が所定の時間を超えた場合に、認証状態の更新を要求しても良い。認証状態の更新が必要と判定すると、Ｓ３０１に進む。認証状態の更新が不要と判定すると、認証状態更新処理は終了する。
Ｓ３００では、認証状態の更新が必要か否か判定される。認証状態の更新が必要な否かは機能制御アプリにより異なる。例えば、利用者が機能制御アプリの機能を実行しようとするごとに最新の認証状態を要求し、認証状態の更新を要求しても良い。或いは、所定時間経過ごとに機能制御アプリは認証状態の更新を要求しても良い。或いは、機能制御アプリの累積起動時間が所定の時間を超えた場合に、認証状態の更新を要求しても良い。認証状態の更新が必要と判定すると、Ｓ３０１に進む。認証状態の更新が不要と判定すると、認証状態更新処理は終了する。
Ｓ３０１では、認証状態の更新を利用者認証管理装置７に要求する。
Ｓ３０２では、利用者認証管理装置７から、更新された認証状態を通知されたか判定する。更新された認証状態を受信していない場合、Ｓ３０２を繰り返す。更新された認証状態を通知された場合は、Ｓ３０３に進む。
Ｓ３０３では、Ｓ３０２で通知された最新の認証状態と認可ポリシーに基づいて、利用者に実行を要求された機能を実行するか否かを判定し、処理を終了する。
Ｓ３０２では、利用者認証管理装置７から、更新された認証状態を通知されたか判定する。更新された認証状態を受信していない場合、Ｓ３０２を繰り返す。更新された認証状態を通知された場合は、Ｓ３０３に進む。
Ｓ３０３では、Ｓ３０２で通知された最新の認証状態と認可ポリシーに基づいて、利用者に実行を要求された機能を実行するか否かを判定し、処理を終了する。
（変形例）
図１０は、利用者認証管理装置７により実行される認証状態生成処理の変形例である。変形例では、機能制御アプリの実行権限のある利用者が複数いるか否かを判定する。以下、図７で説明した認証状態生成処理とは異なる点を主に説明する。
Ｓ１０１のあと、Ｓ１１０では、アイデンティティ情報と機能制御アプリにより指定された属性情報から、複数の利用者が存在するか否か判定する。利用者が単独の場合は、Ｓ１０２に進む。利用者が複数存在する場合は、Ｓ１１１に進み、所定の条件に従い、最初に認証を要求する利用者を選定する。所定の条件は、例えば、所有者、家族、ゲスト、サービス提供者の順でも良いし、管理ＩＤの昇順でも良いし、利用者が設定する順序でも良い。
Ｓ１０２からＳ１０５は、上述の認証状態生成処理と同様である。
Ｓ１０５で、受信した認証結果では認証レベルを充足しないと判定した場合、Ｓ１１２に進む。
図１０は、利用者認証管理装置７により実行される認証状態生成処理の変形例である。変形例では、機能制御アプリの実行権限のある利用者が複数いるか否かを判定する。以下、図７で説明した認証状態生成処理とは異なる点を主に説明する。
Ｓ１０１のあと、Ｓ１１０では、アイデンティティ情報と機能制御アプリにより指定された属性情報から、複数の利用者が存在するか否か判定する。利用者が単独の場合は、Ｓ１０２に進む。利用者が複数存在する場合は、Ｓ１１１に進み、所定の条件に従い、最初に認証を要求する利用者を選定する。所定の条件は、例えば、所有者、家族、ゲスト、サービス提供者の順でも良いし、管理ＩＤの昇順でも良いし、利用者が設定する順序でも良い。
Ｓ１０２からＳ１０５は、上述の認証状態生成処理と同様である。
Ｓ１０５で、受信した認証結果では認証レベルを充足しないと判定した場合、Ｓ１１２に進む。
Ｓ１１２では、認証結果を未だ受信していない認証端末４があるか否か判定する。Ｓ１０３では、認証を各認証端末４に要求にしているので、Ｓ１１２では認証を要求した認証端末４のそれぞれから認証結果を受信したか否か判定する。認証結果を受信していない認証端末４があると判定すると、Ｓ１０４に進み、認証結果の受信を待つ。認証結果を受信していない認証端末４がないと判定すると、Ｓ１１１に進む。この場合のＳ１１１では、認証をまだ要求していない利用者について、認証端末４の管理ＩＤを送信する利用者が選定される。
（具体例）
以下、ユーザが車両の機能制御アプリＸを起動し機能Ｘ１を実行しようとする際の認証過程を例示する。
尚、車両がディーラー（自動車販売業者）から所有者（利用者）に引き渡される前に、認証ルール記憶部７２には初期の認証ルールが設定され、利用者記憶部７１には初期の利用者属性定義が設定されているとする。利用者ＩＤは、例えば、ディーラーにて予め登録されているとする。所有者に対しては、パスワード、Ｆｏｂ鍵、スマートフォン鍵（スマホ鍵とも呼ぶ）、顔認証が登録されているとする。所有者の家族に対しては、パスワード、スマホ鍵、顔認証が登録されているとする。
以下、ユーザが車両の機能制御アプリＸを起動し機能Ｘ１を実行しようとする際の認証過程を例示する。
尚、車両がディーラー（自動車販売業者）から所有者（利用者）に引き渡される前に、認証ルール記憶部７２には初期の認証ルールが設定され、利用者記憶部７１には初期の利用者属性定義が設定されているとする。利用者ＩＤは、例えば、ディーラーにて予め登録されているとする。所有者に対しては、パスワード、Ｆｏｂ鍵、スマートフォン鍵（スマホ鍵とも呼ぶ）、顔認証が登録されているとする。所有者の家族に対しては、パスワード、スマホ鍵、顔認証が登録されているとする。
（ケース１）
利用者が一人であって、機能制御アプリＸに含まれる機能Ｘ１を実行する際の認証過程について説明する。具体的には、所有者が、運転席ドア（車外）で機能制御アプリＸを実行して機能Ｘ１を利用しようと操作した場合を説明する。
利用者が一人であって、機能制御アプリＸに含まれる機能Ｘ１を実行する際の認証過程について説明する。具体的には、所有者が、運転席ドア（車外）で機能制御アプリＸを実行して機能Ｘ１を利用しようと操作した場合を説明する。
所有者の操作に応じて、機能制御アプリＸは認証状態の更新を要求するとする。機能制御アプリＸは、認可ポリシーを参照し、実行が許可される利用者属性と必要な認証レベルを特定する。例えば、認可ポリシーが、機能Xが所有者と家族に許可され、認可に必要な認証レベルがレベル１とされているとする。機能制御アプリＸは、利用者属性、認証レベル、認証エリアの情報を認証状態管理部７３に送信する。
最新の認証状態を要求された認証状態管理部７３は、利用者記憶部７１のアイデンティティ情報を参照し、利用者属性として登録されている利用者の個別認証の管理ＩＤを取得する。個別認証の管理ＩＤとは、パスワード認証、Ｆｏｂ鍵認証、スマホ鍵認証、顔認証のそれぞれの認証手段について、対応するデバイスの認証情報と紐づく管理ＩＤである。
尚、アイデンティティ情報を参照する際、認証状態管理部７３は、認証レベルに基づき、認証に使用可能な認証端末４を識別しても良い。例えば、認証レベルがレベル１の場合、認証要素は第１認証要素のみで、パスワード認証、Ｆｏｂ鍵認証、スマホ鍵認証が採用される。アイデンティティ情報は、例えば、利用者ＩＤごとに、利用者属性、個別の認証デバイスの管理ＩＤを含む情報である。認証デバイスの管理ＩＤは、デバイス識別情報に対応する。
認証状態管理部７３は、認証を各認証端末４に要求する。認証を要求する場合、認証端末４に対して、認証端末４に対応する認証デバイスの管理ＩＤを送信しても良い。又、認証ルールに指定されていない認証端末４、利用者属性に対しては、認証の要求は送信されない。例えば、アイデンティティ情報に所有者と家族が登録されていれば、所有者について、パスワード認証、Ｆｏｂ鍵認証、スマホ鍵認証を要求する。又、家族について、パスワード認証、スマホ鍵認証を要求する。家族がＦｏｂ鍵を所持していない、つまり、アイデンティティ情報に家族のＦｏｂ鍵は登録されていないので、家族について、Ｆｏｂ鍵認証は要求されない。認証を要求された各認証端末４は、それぞれの方法に従い認証を実施する。
それぞれの認証端末４は、認証結果を順次、認証状態管理部７３に送信する。認証が成功した場合は、例えば、認証成功した管理ＩＤと認証エリアの情報が送信される。認証が不成立の場合は、例えば、認証エリアの情報のみが送信される。又は、認証が不成立の場合は、認証不成立との情報が送信される。
それぞれの認証端末４から認証結果を受信した認証状態管理部７３は、認証結果と認証ルールに基づいて、認証ルールに指定された認証レベルを満たしたか否かを判定する。例えば、認証レベルがレベル１の場合は、パスワード認証、Ｆｏｂ鍵認証、スマホ鍵認証が設定されている。よって、３つの認証手段のうちの１つについて、認証成立との認証結果を受信した時点で認証レベルを満たしたと判定する。
認証状態管理部７３は、認証ルールに指定された認証レベルを満たしていると判定すると、認証状態を生成する。認証状態は、利用者ＩＤ、利用者属性、認証レベルの情報を含む。加えて、認証状態は、認証エリアの情報を含んでも良い。生成された認証状態は、機能制御アプリＸに通知される。例えば、機能制御アプリＸに通知される認証状態は、利用者ＩＤ、利用者属性＝所有者、認証エリア＝運転席ドア、認証レベル＝レベル１、となる。認証状態を受信した機能制御アプリＸは、受信した利用者認証状態と認可ポリシーに基づいて、機能Ｘ１を実行しても良いか否かを判定する。
機能Ｘ１を実行可能と判定すると、機能制御アプリＸは機能Ｘ１を実行する。 機能Ｘ１を実行不可と判定すると、機能制御アプリＸは機能Ｘ１を実行しない。尚、機能制御アプリＸは、機能Ｘ１を実行する場合、或いは、機能Ｘ１を実行しない場合、その旨を、例えば、機能Ｘ１の実行を指示した利用者に通知しても良い。
（ケース２）
利用者が複数いて、認証要素が同じ場合、利用者が機能制御アプリＸの機能Ｘ１を実行する際の認証過程について説明する。ケース１と相違するステップを主に説明する。
利用者が複数いて、認証要素が同じ場合、利用者が機能制御アプリＸの機能Ｘ１を実行する際の認証過程について説明する。ケース１と相違するステップを主に説明する。
機能制御アプリＸから認証状態の更新の要求を受けた認証状態管理部７３は、アイデンティティ情報を参照し、複数の利用者が登録されている場合は、各認証手段に対して、アイデンティティ情報に記録された複数の個別認証の管理ＩＤを送信する。それぞれの認証端末４に個別認証の管理ＩＤを送信する際、利用者属性に優先度設けておき、例えば、所有者に対応する管理ＩＤを先に認証端末４に送信しても良い。或いは、登録されている個別認証の管理ＩＤをいっせいに送信しても良い。所有者に対応する管理ＩＤを先に認証端末４に送信する場合は、以降の認証処理はケース１と同様になる。もし、最初の利用者の認証では認証レベルが充足されなかった場合は、次の利用者（例えば、家族）について認証を実施する。登録されている個別認証の管理ＩＤをいっせいに送信する場合は、それぞれの認証手段は最初に認証成功した管理ＩＤを認証結果として送信する。或いは、認証手段は個々の管理ＩＤに対する認証結果を順次、認証状態管理部７３に通知しても良い。
例えば、認証レベル１で利用者属性として所有者と家族が設定される場合、パスワード認証、Ｆｏｂ鍵認証、スマホ鍵認証が実施され、そのうち最も早く認証レベルに達した認証手段について、利用者、利用者属性、認証レベルを含む認証状態が生成される。
（ケース３）
利用者が複数いて、認証要素が異なる場合、利用者が機能制御アプリに含まれる機能を実行する際の認証過程について説明する。ケース１及びケース２と相違するステップを主に説明する。
利用者が複数いて、認証要素が異なる場合、利用者が機能制御アプリに含まれる機能を実行する際の認証過程について説明する。ケース１及びケース２と相違するステップを主に説明する。
機能制御アプリＸから認証状態の更新の要求を受けた認証状態管理部７３は、アイデンティティ情報を参照し、複数の利用者が登録されている場合は、各認証手段に対して、アイデンティティ情報に記録された複数の個別認証の管理ＩＤを送信する。それぞれの認証端末４に個別認証の管理ＩＤを送信する際、登録されている個別認証の管理ＩＤをいっせいに送信したとする。この場合、それぞれの認証手段は最初に認証成功した管理ＩＤを認証結果として送信する。認証状態管理部７３は、指定された認証レベルが満たされた時点で認証状態を生成する点は上記ケースと同様である。
例えば、認証レベル１で属性情報として所有者と家族が設定される場合、認証状態管理は、アイデンティティ情報に登録されている所有者と家族の個別認証の管理ＩＤを対応する認証端末４に送信し認証を要求する。第１の認証端末４（例えば、Ｆｏｂ鍵認証）では、所有者の保持するＦｏｂ鍵が認証され、第２の認証端末４（例えば、スマホ鍵認証）では家族のスマートフォンが認証されたとする。この場合は、Ｆｏｂ鍵の認証端末４から、所有者について認証成立の認証結果が送信され、スマホ鍵の認証端末４からは家族について認証成立の認証結果が通知される。認証レベル１では、Ｆｏｂ鍵の認証端末４から認証結果を受信した時点で、認証レベルに到達するので、利用者ＩＤ、利用者属性＝所有者、認証エリア＝運転席ドア、認証レベル＝レベル１を含む認証状態が生成され、機能制御アプリＸに通知される。尚、スマホ鍵の認証端末４から認証成立の認証結果が通知された時点で、利用者ＩＤ、利用者属性＝家族、認証エリア＝運転席ドア、認証レベル＝レベル１を含む認証状態が生成され、機能制御アプリＸに通知されても良い。
（ケース４）
利用者が一人で、認証レベルが高い場合、利用者が機能制御アプリに含まれる機能を実行する際の認証過程について説明する。ケース１と相違するステップを主に説明する。
認証ルールは、第１認証要素と第２認証要素の両方で認証される必要があることを規定する。
認証を要求された個別の認証端末４は、各々認証を実施し、認証結果を認証状態管理部７３に通知する。
認証状態管理部７３は、受信した認証結果が認証レベルを満たすと認証状態を生成する。
利用者が一人で、認証レベルが高い場合、利用者が機能制御アプリに含まれる機能を実行する際の認証過程について説明する。ケース１と相違するステップを主に説明する。
認証ルールは、第１認証要素と第２認証要素の両方で認証される必要があることを規定する。
認証を要求された個別の認証端末４は、各々認証を実施し、認証結果を認証状態管理部７３に通知する。
認証状態管理部７３は、受信した認証結果が認証レベルを満たすと認証状態を生成する。
例えば、認証レベル３で利用者属性として所有者と家族が設定される場合、認証レベル３では、第１認証要素としてスマホ鍵認証が、第２認証要素として、パスワード或いは顔認証が指定されている。よって、アイデンティティ情報にＦｏｂ鍵の管理ＩＤが登録されていても認証に使用されない。認証状態管理部７３は、例えば、顔認証の認証結果とスマホ鍵認証の認証結果を受信すると、認証レベルに達したと判定し、認証状態を通知する。
（まとめ）
本開示は、例えば、以下のように纏めることができる。
認証管理方法、認証レベルと認証要素を定めた認証ルールを記憶することと、車両の利用者を識別するアイデンティティ情報を記憶することと、車両機能を制御する車両用アプリケーションから認証状態更新の要求を受信することと、利用者又は利用者の所持する認証デバイスを認証する認証端末に利用者又は認証デバイスの認証を要求することと、認証端末による認証結果、認証ルール、アイデンティティ情報に基づき、認証状態を生成することと、生成した認証状態を車両用アプリケーションに通知すること、を備える。記憶される認証ルールは、セキュリティレベルに応じて複数の認証レベルを定め、少なくとも１つの認証レベルでの認証要素は、物理セキュリティを伴うハードウェア暗号モジュールによる所持認証を含む。
本開示は、例えば、以下のように纏めることができる。
認証管理方法、認証レベルと認証要素を定めた認証ルールを記憶することと、車両の利用者を識別するアイデンティティ情報を記憶することと、車両機能を制御する車両用アプリケーションから認証状態更新の要求を受信することと、利用者又は利用者の所持する認証デバイスを認証する認証端末に利用者又は認証デバイスの認証を要求することと、認証端末による認証結果、認証ルール、アイデンティティ情報に基づき、認証状態を生成することと、生成した認証状態を車両用アプリケーションに通知すること、を備える。記憶される認証ルールは、セキュリティレベルに応じて複数の認証レベルを定め、少なくとも１つの認証レベルでの認証要素は、物理セキュリティを伴うハードウェア暗号モジュールによる所持認証を含む。
認証管理プログラムは、車両に搭載された電子制御装置に、認証レベルと認証要素を定めた認証ルールを記憶することと、車両の利用者を識別するアイデンティティ情報を記憶することと、車両機能を制御する車両用アプリケーションから認証状態更新の要求を受信することと、利用者又は利用者の所持する認証デバイスを認証する認証端末に利用者又は認証デバイスの認証を要求することと、認証端末による認証結果、認証ルール、アイデンティティ情報に基づき、認証状態を生成することと、生成した認証状態を車両用アプリケーションに通知すること、を実行させる。記憶される認証ルールは、セキュリティレベルに応じて複数の認証レベルを定め、少なくとも１つの認証レベルでの認証要素は、物理セキュリティを伴うハードウェア暗号モジュールによる所持認証を含む。
更には、コンピュータ読み取り可能な非遷移的記憶媒体が、認証管理プログラムを記憶しても良い。
更には、コンピュータ読み取り可能な非遷移的記憶媒体が、認証管理プログラムを記憶しても良い。
車両に搭載された利用者認証管理装置は、認証レベルと認証要素を定めた認証ルールを記憶する第１記憶部と、車両の利用者を識別するアイデンティティ情報を記憶する第２記憶部と、車両機能を制御する車両用アプリケーションから認証状態更新の要求を受信し、利用者又は利用者の所持する認証デバイスを認証する認証端末に利用者又は認証デバイスの認証を要求し、認証端末による認証結果、認証ルール、アイデンティティ情報に基づき、認証状態を生成し、生成した認証状態を車両用アプリケーションに通知する、認証制御部を備える。記憶される認証ルールは、セキュリティレベルに応じて複数の認証レベルを定め、少なくとも１つの認証レベルでの認証要素は、物理セキュリティを伴うハードウェア暗号モジュールによる所持認証を含む。
更に、利用者認証管理装置の記憶する認証ルールは、認証レベルごとに単一又は複数の認証要素を定めても良い。セキュリティレベルが最上位の認証レベルは複数の認証要素であり、且つ、物理セキュリティを伴うハードウェア暗号モジュールによる所持認証を含んでも良い。セキュリティレベルが最下位の認証レベルは単一の認証要素でも良い。
更に、利用者認証管理装置の記憶する認証レベルは、３段階に設定されてもよ。セキュリティレベルが最下位の認証レベルは、記憶認証とされても良い。セキュリティレベルが中位の認証レベルは、（ａ）所持認証と記憶認証、又は、（ｂ）所持認証と生体認証、のどちらかとされても良い。セキュリティレベルが最上位の認証レベルは、（ａ）物理セキュリティを伴うハードウェア暗号モジュールによる所持認証と記憶認証、又は、（ｂ）物理セキュリティを伴うハードウェア暗号モジュールによる所持認証と生体認証、のどちらかとされても良い。
更に、利用者認証管理装置において、記憶認証は、パスワード認証であり、所持認証は、Ｆｏｂ鍵認証又は携帯通信端末による鍵認証であり、生体認証は、顔認証であり、物理セキュリティを伴うハードウェア暗号モジュールによる所持認証は、携帯通信端末による鍵認証でも良い。
更に、第１記憶部に記憶される認証ルールは、サーバからの通知により設定され、第１記憶部は、認証制御部に認証ルールを通知しても良い。
更に、第１記憶部に記憶される認証ルールは、サーバからの通知により設定され、第１記憶部は、認証制御部に認証ルールを通知しても良い。
更に、アイデンティティ情報は、利用者に固有の利用者識別情報、利用者の属性を示す属性情報、認証デバイスの認証情報と紐づいた識別情報であるデバイス識別情報を含み、第２記憶部に記憶されるアイデンティティ情報は、サーバ又は認証端末からの通知により変更されても良い。
更に、認証制御部は、車両用アプリケーションから認証状態更新の要求を受信すると、アイデンティティ情報を参照し、デバイス識別情報に対応する認証端末へ認証を要求し、認証端末より受信した認証結果が認証ルールを満たす場合、認証状態を生成しても良い。
更に、認証制御部は、車両用アプリケーションからの認証状態更新の要求に基づき、アイデンティティ情報を参照し、デバイス識別情報に対応する認証端末へ認証を要求し、複数の利用者について、認証端末へ認証を要求する場合、最初に認証ルールを満たした利用者に対する認証状態を生成しても良い。
更に、認証制御部は、車両用アプリケーションからの認証状態更新の要求に基づき、アイデンティティ情報を参照し、デバイス識別情報に対応する認証端末へ認証を要求し、複数の利用者について、認証端末へ認証を要求する場合、当該認証の結果、第１認証要素にて第１利用者が認証成功した場合、第１利用者の認証状態を生成し、第１認証要素とは異なる第２認証要素にて第２利用者が認証成功した場合、第２利用者の認証状態を更に生成しても良い。
本開示の構成によれば、車両の利用者又は利用者の保持する認証デバイスを認証する認証過程と車両機能を制御する車両用アプリケーションによる認証状態の更新過程の間に認証管理装置を加えた認証状態管理システムにおいて、物理セキュリティを伴うハードウェア暗号モジュールによる所持認証を認証要素とすることで、認証管理装置による認証状態の一元管理とセキュリティ確保を実現できる。
認証過程と車両用アプリケーションを概念的に分離することで、車両における認証手段を新たに開発又は変更しても、車両用アプリケーションは変更不要となる。又、車両用アプリケーションを新たに開発又は変更しても、車両における認証手段は変更不要となる。認証過程と車両用アプリケーションの双方を変更することが不要となるので、開発コストは低減される。車両の利用者にとっては、新たな認証方法又は車両用アプリケーションが選択、使用できることから利便性が向上する。加えて、認証レベルによっては、物理セキュリティを伴うハードウェア暗号モジュールを採用することからセキュリティを確保し、第３者が不正に車両用アプリケーションの機能を実行することを効果的に防ぐことができる。
本開示に記載の制御部及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリを構成することによって提供された専用コンピュータにより、実現されても良い。或いは、本開示に記載の制御部及びその手法は、一つ以上の専用ハードウェア論理回路によってプロセッサを構成することによって提供された専用コンピュータにより、実現されても良い。もしくは、本開示に記載の制御部及びその手法は、一つ乃至は複数の機能を実行するようにプログラムされたプロセッサ及びメモリと一つ以上のハードウェア論理回路によって構成されたプロセッサとの組み合わせにより構成された一つ以上の専用コンピュータにより、実現されても良い。又、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されていても良い。
図面中、７は利用者認証管理装置、７１は利用者記憶部（第２記憶部）、７２は認証ルール記憶部（第１記憶部）、７３は認証状態管理部（認証制御部）である。
Claims (12)
- 車両に搭載された電子制御装置により、認証レベルと認証要素を定めた認証ルールを記憶することと、
前記電子制御装置により、車両の利用者を識別するアイデンティティ情報を記憶することと、
前記電子制御装置により、車両機能を制御する車両用アプリケーションから認証状態更新の要求を受信することと、
前記電子制御装置により、前記利用者又は前記利用者の所持する認証デバイスを認証する認証端末に前記利用者又は前記認証デバイスの認証を要求することと、
前記電子制御装置により、前記認証端末による認証結果、前記認証ルール、前記アイデンティティ情報に基づき、認証状態を生成することと、
前記電子制御装置により、前記生成した認証状態を前記車両用アプリケーションに通知すること、を備える認証管理方法であって、
前記記憶される認証ルールは、セキュリティレベルに応じて複数の認証レベルを定め、少なくとも１つの認証レベルでの認証要素は、物理セキュリティを伴うハードウェア暗号モジュールによる所持認証を含む、認証管理方法。 - 車両に搭載された電子制御装置に、
認証レベルと認証要素を定めた認証ルールを記憶することと、
車両の利用者を識別するアイデンティティ情報を記憶することと、
車両機能を制御する車両用アプリケーションから認証状態更新の要求を受信することと、
前記利用者又は前記利用者の所持する認証デバイスを認証する認証端末に前記利用者又は前記認証デバイスの認証を要求することと、
前記認証端末による認証結果、前記認証ルール、前記アイデンティティ情報に基づき、認証状態を生成することと、
前記生成した認証状態を前記車両用アプリケーションに通知すること、を実行させる認証管理プログラムであって、
前記記憶される認証ルールは、セキュリティレベルに応じて複数の認証レベルを定め、少なくとも１つの認証レベルでの認証要素は、物理セキュリティを伴うハードウェア暗号モジュールによる所持認証を含む、認証管理プログラム。 - 請求項２に記載の認証管理プログラムを記憶するコンピュータ読み取り可能な非遷移的記憶媒体。
- 車両に搭載された利用者認証管理装置であって、
認証レベルと認証要素を定めた認証ルールを記憶する第１記憶部（７２）と、
車両の利用者を識別するアイデンティティ情報を記憶する第２記憶部（７１）と、
車両機能を制御する車両用アプリケーションから認証状態更新の要求を受信し、前記利用者又は前記利用者の所持する認証デバイスを認証する認証端末に前記利用者又は前記認証デバイスの認証を要求し、前記認証端末による認証結果、前記認証ルール、前記アイデンティティ情報に基づき、認証状態を生成し、前記生成した認証状態を前記車両用アプリケーションに通知する、認証制御部（７３）を備える利用者認証管理装置であって、
前記記憶される認証ルールは、セキュリティレベルに応じて複数の認証レベルを定め、少なくとも１つの認証レベルでの認証要素は、物理セキュリティを伴うハードウェア暗号モジュールによる所持認証を含む、利用者認証管理装置。 - 前記記憶される認証ルールは、
前記認証レベルごとに単一又は複数の認証要素を定め、
セキュリティレベルが最上位の認証レベルは複数の認証要素であり、且つ、前記物理セキュリティを伴うハードウェア暗号モジュールによる所持認証を含み、
セキュリティレベルが最下位の認証レベルは単一の認証要素である、請求項４に記載の利用者認証管理装置。 - 前記認証レベルは、３段階に設定され、
前記セキュリティレベルが最下位の認証レベルは、記憶認証とされ、
前記セキュリティレベルが中位の認証レベルは、所持認証と記憶認証、又は、所持認証と生体認証、のどちらかとされ、
前記セキュリティレベルが最上位の認証レベルは、物理セキュリティを伴うハードウェア暗号モジュールによる所持認証と記憶認証、又は、物理セキュリティを伴うハードウェア暗号モジュールによる所持認証と生体認証、のどちらかとされる、請求項４又は５に記載の利用者認証管理装置。 - 前記記憶認証は、パスワード認証であり、
前記所持認証は、Ｆｏｂ鍵認証又は携帯通信端末による鍵認証であり、
前記生体認証は、顔認証であり、
前記物理セキュリティを伴うハードウェア暗号モジュールによる所持認証は、携帯通信端末による鍵認証である、請求項６に記載の利用者認証管理装置。 - 前記第１記憶部に記憶される前記認証ルールは、サーバからの通知により設定され、
前記第１記憶部は、前記認証制御部に前記認証ルールを通知する、請求項４から７の何れか一項に記載の利用者認証管理装置。 - 前記アイデンティティ情報は、利用者に固有の利用者識別情報、利用者の属性を示す属性情報、認証デバイスの認証情報と紐づいた識別情報であるデバイス識別情報を含み、
前記第２記憶部に記憶されるアイデンティティ情報は、サーバ又は認証端末からの通知により変更される、請求項４から８の何れか一項に記載の利用者認証管理装置。 - 前記認証制御部は、
前記車両用アプリケーションから前記認証状態更新の要求を受信すると、前記アイデンティティ情報を参照し、前記デバイス識別情報に対応する認証端末へ認証を要求し、
前記認証端末より受信した前記認証結果が前記認証ルールを満たす場合、前記認証状態を生成する、請求項９に記載の利用者認証管理装置。 - 前記認証制御部は、
前記車両用アプリケーションからの認証状態更新の要求に基づき、前記アイデンティティ情報を参照し、前記デバイス識別情報に対応する認証端末へ認証を要求し、
複数の利用者について、前記認証端末へ認証を要求する場合、最初に前記認証ルールを満たした利用者に対する認証状態を生成する、請求項９に記載の利用者認証管理装置。 - 前記認証制御部は、
前記車両用アプリケーションからの認証状態更新の要求に基づき、前記アイデンティティ情報を参照し、前記デバイス識別情報に対応する認証端末へ認証を要求し、
複数の利用者について、前記認証端末へ認証を要求する場合、当該認証の結果、第１認証要素にて第１利用者が認証成功した場合、前記第１利用者の認証状態を生成し、前記第１認証要素とは異なる第２認証要素にて第２利用者が認証成功した場合、第２利用者の認証状態を更に生成する、請求項９に記載の利用者認証管理装置。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2020165367A JP7400680B2 (ja) | 2020-09-30 | 2020-09-30 | 認証管理方法、認証管理プログラム及び利用者認証管理装置 |
| US17/486,980 US20220103568A1 (en) | 2020-09-30 | 2021-09-28 | Authentication management method, authentication management program, and user authentication management device |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2020165367A JP7400680B2 (ja) | 2020-09-30 | 2020-09-30 | 認証管理方法、認証管理プログラム及び利用者認証管理装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2022057228A JP2022057228A (ja) | 2022-04-11 |
| JP7400680B2 true JP7400680B2 (ja) | 2023-12-19 |
Family
ID=80821618
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2020165367A Active JP7400680B2 (ja) | 2020-09-30 | 2020-09-30 | 認証管理方法、認証管理プログラム及び利用者認証管理装置 |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US20220103568A1 (ja) |
| JP (1) | JP7400680B2 (ja) |
Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2009286343A (ja) | 2008-05-30 | 2009-12-10 | Fujitsu Ten Ltd | 遠隔車両制御システム、乗員認証装置および遠隔車両制御方法 |
| JP2015529168A (ja) | 2012-09-28 | 2015-10-05 | インテル コーポレイション | マルチファクタセキュリティのためのモバイルデバイス及びキーフォブペアリング |
| JP2017199124A (ja) | 2016-04-26 | 2017-11-02 | ヤフー株式会社 | 推定プログラム、推定装置及び推定方法 |
| US20180103022A1 (en) | 2016-10-10 | 2018-04-12 | Honda Motor Co., Ltd. | System and method for providing access to a vehicle and enabling data off-boarding |
| WO2020075317A1 (ja) | 2018-10-10 | 2020-04-16 | 株式会社ＭｏｒｉＸ | 認証システム及びこれに用いるスマートフォンケース |
| JP2020069966A (ja) | 2018-11-01 | 2020-05-07 | 株式会社デンソー | 車両認証システム、携帯端末、及び制御プログラム |
-
2020
- 2020-09-30 JP JP2020165367A patent/JP7400680B2/ja active Active
-
2021
- 2021-09-28 US US17/486,980 patent/US20220103568A1/en active Pending
Patent Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2009286343A (ja) | 2008-05-30 | 2009-12-10 | Fujitsu Ten Ltd | 遠隔車両制御システム、乗員認証装置および遠隔車両制御方法 |
| JP2015529168A (ja) | 2012-09-28 | 2015-10-05 | インテル コーポレイション | マルチファクタセキュリティのためのモバイルデバイス及びキーフォブペアリング |
| JP2017199124A (ja) | 2016-04-26 | 2017-11-02 | ヤフー株式会社 | 推定プログラム、推定装置及び推定方法 |
| US20180103022A1 (en) | 2016-10-10 | 2018-04-12 | Honda Motor Co., Ltd. | System and method for providing access to a vehicle and enabling data off-boarding |
| WO2020075317A1 (ja) | 2018-10-10 | 2020-04-16 | 株式会社ＭｏｒｉＸ | 認証システム及びこれに用いるスマートフォンケース |
| JP2020069966A (ja) | 2018-11-01 | 2020-05-07 | 株式会社デンソー | 車両認証システム、携帯端末、及び制御プログラム |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2022057228A (ja) | 2022-04-11 |
| US20220103568A1 (en) | 2022-03-31 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US20200007676A1 (en) | Device locator disable authentication | |
| US8984291B2 (en) | Access to a computing environment by computing devices | |
| KR101471379B1 (ko) | 플랫폼 자원들의 도메인-인증 제어 | |
| KR102426930B1 (ko) | 차량 공유를 위한 이동통신 단말의 디지털 키를 관리하는 방법 및 이를 이용한 키 서버 | |
| JP6247618B2 (ja) | アクセス制御システムにおける匿名の決定 | |
| JP2017531112A5 (ja) | ||
| JP5373062B2 (ja) | システム管理コマンドを提供するシステム及び方法 | |
| CN108605034B (zh) | 无线固件更新 | |
| JP2003524252A (ja) | デジタル署名を用いたプログラムによるリソースへのアクセス制御 | |
| CN111868726B (zh) | 电子设备和电子设备的数字钥匙供应方法 | |
| KR20190133558A (ko) | 디지털 키를 저장하기 위한 방법 및 전자 디바이스 | |
| WO2015019104A2 (en) | Access and control authorisation system | |
| CN111404993B (zh) | 一种数字钥匙共享方法、装置及设备 | |
| CN111247521B (zh) | 将多用户设备远程锁定为用户集合 | |
| CN112513844A (zh) | 用于处理和认证数字密钥的安全元件及其操作方法 | |
| KR20210069473A (ko) | 사용자에 대한 인증을 통해 유저 데이터에 대한 권한을 부여하는 시큐리티 프로세서 및 이를 포함하는 컴퓨팅 시스템 | |
| US20230294638A1 (en) | System for managing access to a vehicle by a service provider that is to provide a service associated with the vehicle | |
| JP7400680B2 (ja) | 認証管理方法、認証管理プログラム及び利用者認証管理装置 | |
| CN111625808A (zh) | 用于车辆辅助动态多因素认证的方法和设备 | |
| CN109076337B (zh) | 用于用户与移动终端设备和另一个实体的安全交互方法 | |
| KR102625023B1 (ko) | 보안 데이터 처리 | |
| US20210240804A1 (en) | Authentication system | |
| KR102366869B1 (ko) | 디지털 키 서비스 확장 및 제공 시스템 및 방법 | |
| JP2022023532A (ja) | シェアリングシステム及びシェアリング方法 | |
| KR100614309B1 (ko) | 접근 제어 및 서비스 제어 방법 및 그 시스템 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20230111 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20230831 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20230912 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20231025 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20231107 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20231120 |
|
| R151 | Written notification of patent or utility model registration |
Ref document number: 7400680 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R151 |