JP7480689B2 - 通信制御方法及び通信装置 - Google Patents

Description

この明細書による開示は、車載ＥＣＵの車外通信を制御する情報送信方法及び通信装置に関する。

特許文献１には、車両に搭載される電子制御装置の外部ネットワークとの車外通信を可能にする情報処理装置が開示されている。特許文献１の情報処理装置では、電子制御装置と外部ネットワークとの車外通信をプロキシ部が代わって実施するため、セキュリティが好適に確保され得る。

特開２０１４－１６５６４１号公報

特許文献１のような車両に搭載されるプロキシ部は、処理性能が確保され難い。故に、プロキシ部によって車外通信のセキュリティ水準が確保されても、プロキシ部がボトルネックとなり、車外通信のネットワーク性能の確保が難しくなり得た。

本開示は、ネットワーク性能とセキュリティ水準確保との両立を可能にする通信制御方法及び通信装置の提供を目的とする。

上記目的を達成するため、開示された一つの態様は、車載ＥＣＵ（４０）と車両（Ａｕ）の外部との間で行われる車外通信を制御する通信制御方法であって、少なくとも一つのプロセッサ（１１）にて実行される処理に、車載ＥＣＵによる特定接続先（ＳＣＤ）との車外通信に必要となる接続用情報を車載ＥＣＵに代わって準備し（Ｓ１６～Ｓ１８）、接続用情報を用いての特定接続先に限定した車外通信を車載ＥＣＵに許可する（Ｓ１９）、というステップを含む通信制御方法とされる。

また開示された一つの態様は、車載ＥＣＵ（４０）と車両（Ａｕ）の外部との間で行われる車外通信を制御する通信装置であって、車載ＥＣＵによる特定接続先（ＳＣＤ）との車外通信に必要となる接続用情報を車載ＥＣＵに代わって準備する情報準備部（２１ａ）と、接続用情報を用いての特定接続先に限定した車外通信を車載ＥＣＵに許可する許可設定部（２１ｂ）と、を備える通信装置とされる。

これらの態様では、特定接続先への車外通信に必要な接続用情報が準備され、車載ＥＣＵに提供され得る。故に、車載ＥＣＵは、信頼性の確保が十分でない接続先との車外通信を実施しなくても、準備された接続用情報を用いることで、特定接続先との車外通信を実施できる。したがって、ネットワーク性能とセキュリティ水準確保との両立が可能になる。

尚、上記及び特許請求の範囲等における括弧内の参照番号は、後述する実施形態における具体的な構成との対応関係の一例を示すものにすぎず、技術的範囲を何ら制限するものではない。

本開示の第一実施形態による通信処理システムの全体像を示す図である。 ＡＣＰエンジンをＡＣＰクラウドに同期させる同期処理の詳細を示すシーケンス図である。 車載ＥＣＵをアプリサーバに接続させる接続処理の詳細を示すシーケンス図である。 本開示の第二実施形態による通信処理システムの全体像を示す図である。 第二実施形態による接続処理の詳細を示すシーケンス図である。 本開示の第三実施形態による通信処理システムの全体像を示す図である。 第三実施形態による接続処理の詳細を示すシーケンス図である。 本開示の第四実施形態による通信処理システムの全体像を示す図である。 第四実施形態による接続処理の詳細を示すシーケンス図である。

以下、本開示の複数の実施形態を図面に基づいて説明する。尚、各実施形態において対応する構成要素には同一の符号を付すことにより、重複する説明を省略する場合がある。各実施形態において構成の一部分のみを説明している場合、当該構成の他の部分については、先行して説明した他の実施形態の構成を適用することができる。また、各実施形態の説明において明示している構成の組み合わせばかりではなく、特に組み合わせに支障が生じなければ、明示していなくても複数の実施形態の構成同士を部分的に組み合わせることができる。そして、複数の実施形態及び変形例に記述された構成同士の明示されていない組み合わせも、以下の説明によって開示されているものとする。

（第一実施形態）
図１に示す本開示の第一実施形態による通信処理システムは、車両Ａｕの外部の通信ネットワークと車載ＥＣＵ４０との間で行われる車外通信を制御することにより、車載ＥＣＵ４０によるセキュアな車外通信を可能にする。通信処理システムには、ＡＣＰクラウド１１０ａ及びＡＣＰエンジン１０ａを含んでなるオートモーティブ無線通信プラットフォーム１００が採用されている。オートモーティブ無線通信プラットフォーム１００は、車両Ａｕ毎の単位で、全ての車載ＥＣＵ４０があたかも車外のネットワークに常時接続されているような擬似的な常時接続を実現する。以下、通信処理システムを構成するクラウドシステム及び車載システム等の詳細を順に説明する。

クラウドシステムは、通信処理システムのうちで、車両Ａｕの外部に設けられた構成群である。クラウドシステムには、アプリサーバ１４０、第３者サーバ１６０及びクラウドサーバ１１０が含まれている。アプリサーバ１４０、第３者サーバ１６０及びクラウドサーバ１１０は、それぞれ車外の通信ネットワークであるＷＡＮ（Wide Area Network）１５０に通信可能に接続されている。

アプリサーバ１４０は、車載ＥＣＵ４０の実質的な接続先となる。アプリサーバ１４０は、車載ＥＣＵ４０との間でアプリ通信を実施する。第一実施形態では、アプリサーバ１４０及び車載ＥＣＵ４０間のアプリ通信を、後述するプロキシ部１２８が中継する。アプリサーバ１４０は、ＴＬＳ（Transport Layer Security）サーバ１４１を有している。ＴＬＳサーバ１４１は、車載ＥＣＵ４０（後述するＴＬＳ接続クライアント４４）と連携し、ＴＬＳの構築に関連する処理を実行する。ＴＬＳの構築により、車載ＥＣＵ４０及びアプリサーバ１４０間での暗号化されたアプリ通信が可能になる。

第３者サーバ１６０は、例えばＮＴＰ（Network Time Protocol）サーバ１６０ａ、ＤＮＳ（Domain Name System）サーバ１６０ｂ及び証明書有効性管理サーバ１６０ｃ等である（図２参照）。ＮＴＰサーバ１６０ａは、現在時刻を示す時刻情報を他のノードに配信するサーバ装置である。ＤＮＳサーバ１６０ｂは、名前解決情報を他のノードに提供するサーバ装置である。ＤＮＳサーバ１６０ｂは、具体的には、ドメインネーム（例えば、Abc.coｍ）に紐づくＩＰアドレス（例えば、123.23.123.123）を、名前解決情報としてドメインネームの送信元に返信する。証明書有効性管理サーバ１６０ｃは、証明書有効性情報を他のノードに提供するサーバ装置である。ＮＴＰサーバ１６０ａ、ＤＮＳサーバ１６０ｂ及び証明書有効性管理サーバ１６０ｃを管理する管理者は、クラウドサーバ１１０を管理する管理者とは異なる管理者（第３者）である。

クラウドサーバ１１０は、複数のアプリサーバ１４０とＷＡＮ１５０を介して接続されている。クラウドサーバ１１０は、車両Ａｕに搭載された車載通信機１０との間で、移動体通信網を介した無線通信によって情報をやり取りできる。クラウドサーバ１１０は、移動体通信網のような携帯電話回線だけでなく、Ｗｉ－Ｆｉ（登録商標）及びＶ２Ｘ等の無線通信によっても、車載通信機１０と通信可能である。クラウドサーバ１１０では、オートモーティブ無線通信プラットフォーム１００のクラウド側の機能を実現するＡＣＰクラウド１１０ａが動作する。ＡＣＰクラウド１１０ａは、車載ＥＣＵ４０からアプリサーバ１４０へのアクセスに必要となる情報（以下、接続用情報）の少なくとも一部を入手し、入手した接続用情報を車載通信機１０に提供する。

尚、ＷＡＮ１５０を介してクラウドサーバ１１０と接続される車載通信機１０は、複数であってよい。即ち、クラウドサーバ１１０は、多数の車両Ａｕの中から一つ又は複数の車両Ａｕを選択し、この車両Ａｕに搭載される車載通信機１０に接続用情報を提供する。こうしたクラウドサーバ１１０のセキュリティ等の信頼性は、アプリサーバ１４０及び第３者サーバ１６０の信頼性よりも確保される傾向にある。これは、車両Ａｕの開発プロセスの中で車載通信機１０と一体になったシステムとして車両ライフサイクルを鑑みたセキュリティ開発が実施されるためである。

クラウドサーバ１１０は、プロセッサ１１１、ＲＡＭ１１２及び記憶媒体１１３等を主体として含む演算処理装置である。クラウドサーバ１１０は、記憶媒体１１３に記憶されたプログラムをプロセッサ１１１によって実行することで、ＡＣＰクラウド１１０ａの機能を実現する。クラウドサーバ１１０は、ＡＣＰクラウド１１０ａの機能部として、名前解決情報取得部１２６、証明書有効情報取得部１２７、名前解決情報提供部１２３、証明書有効情報提供部１２４、接続可否管理部１２１及びプロキシ部１２８を備える。

名前解決情報取得部１２６は、ＤＮＳサーバ１６０ｂから名前解決情報を取得する。具体的に、名前解決情報取得部１２６は、個々の車載ＥＣＵ４０に許可する特定の接続先（以下、特定接続先）ＳＣＤを示す名前解決情報を取得する。証明書有効情報取得部１２７は、証明書有効性管理サーバ１６０ｃから証明書有効情報を取得する。具体的に、証明書有効情報取得部１２７は、特定接続先ＳＣＤについての証明書有効情報を取得する。

名前解決情報提供部１２３は、名前解決情報取得部１２６によって取得された名前解決情報を、ＡＣＰエンジン１０ａに提供する。証明書有効情報提供部１２４は、証明書有効情報取得部１２７によって取得された証明書有効情報を、ＡＣＰエンジン１０ａに提供する。

接続可否管理部１２１には、個々の車載ＥＣＵ４０に紐づく特定接続先ＳＣＤを指定する指定情報が設定されている。指定情報は、クラウドサーバ１１０の信頼できる管理者、車両Ａｕを提供するカーメーカー、オートモーティブ無線通信プラットフォーム１００のプラットフォーマー等によって接続可否管理部１２１に設定される。接続可否管理部１２１は、指定情報に基づく特定接続先ＳＣＤについての接続用情報の取得を、名前解決情報取得部１２６及び証明書有効情報取得部１２７に実施させる。接続可否管理部１２１は、名前解決情報及び証明書有効情報を、名前解決情報提供部１２３及び証明書有効情報提供部１２４によってＡＣＰエンジン１０ａに提供し、ＡＣＰクラウド１１０ａとＡＣＰエンジン１０ａとの間で接続用情報を同期させる。接続可否管理部１２１は、ＡＣＰクラウド１１０ａ及びＡＣＰエンジン１０ａ間にて共有される接続用情報を管理する。

プロキシ部１２８は、第一実施形態において、特定接続先ＳＣＤに設定されている。車載ＥＣＵ４０は、アプリサーバ１４０の代理として、プロキシ部１２８との通信を実施する。プロキシ部１２８は、車載ＥＣＵ４０を認証し、認証した車載ＥＣＵ４０に代わり、プロキシ部１２８がアプリサーバ１４０に接続可能にする。車載ＥＣＵ４０は、プロキシ部１２８を経由してのみ、アプリサーバ１４０とデータ送受信ができるようになる。こうした認証処理によれば、正しい車両Ａｕ（車載ＥＣＵ４０）であるかを認証する処理方法のアプリサーバ開発者への開示が不要になる。

車載システムは、通信処理システムのうちで、車両Ａｕの内部に設けられた構成群である。車載システムには、車載通信機１０及び一つ又は複数の車載ＥＣＵ４０が含まれている。車載通信機１０及び各車載ＥＣＵ４０は、それぞれ車内の通信ネットワークである車内ＬＡＮ（Local Area Network）５０通信可能に接続されている。車内ＬＡＮ５０は、Ｅｔｈｅｒｎｅｔ（登録商標）等を主体とするＩＰネットワークである。車載通信機１０及び車載ＥＣＵ４０の一部は、例えばＵＳＢ等の接続形態で直接的又は間接的に車内ＬＡＮ５０に接続されていてもよい。

車載通信機１０は、ＴＣＵ（Telematics Control Unit）又はＤＣＭ（Data Communication Module）等と呼称され、車載システムと外部との無線通信を可能にする。車載通信機１０は、例えば駐車中等、車両Ａｕの主電源、具体的には、所謂イグニッションがオフ状態である場合でも、無線通信が可能な状態が継続され、ネットワークに接続されたオンラインの状態を維持する。車載通信機１０では、オートモーティブ無線通信プラットフォーム１００の車両側の機能を実現するＡＣＰエンジン１０ａが動作する。ＡＣＰエンジン１０ａは、エンドＥＣＵ（車載ＥＣＵ４０）に車外通信を許可する特定接続先ＳＣＤを、プロキシ部１２８（又はアプリサーバ１４０）に限定する。

車載通信機１０は、プロセッサ１１、ＲＡＭ１２及び記憶媒体１３等を有するマイクロコントローラを主体として含む制御装置である。車載通信機１０は、記憶媒体１３に記憶されたプログラム（通信制御プログラム）をプロセッサ１１によって実行することで、ＡＣＰエンジン１０ａの機能を実現する。車載通信機１０は、ＡＣＰエンジン１０ａの機能部として、接続可否管理部２１、同期部３６、代替サーバ部３５、車内ＦＷ部２８及び車外ＦＷ部２９を備える。

接続可否管理部２１は、各車載ＥＣＵ４０がどこに接続してよいかを管理する。接続可否管理部２１は、ＡＣＰクラウド１１０ａの接続可否管理部１２１と連携し、特定接続先ＳＣＤに関連する情報の同期を実施する。これにより、接続可否管理部２１は、各車載ＥＣＵ４０に接続を許可される特定接続先ＳＣＤを、車外のＡＣＰクラウド１１０ａから設定及び管理することを可能にする。接続可否管理部２１は、情報準備部２１ａ及び許可設定部２１ｂをサブ機能部として含む。

情報準備部２１ａは、車載ＥＣＵ４０による特定接続先ＳＣＤとの車外通信に必要となる接続用情報を、車載ＥＣＵ４０に代わって準備する。情報準備部２１ａは、同期部３６と連携し、車外通信によって接続用情報を取得する。情報準備部２１ａは、接続用情報をＡＣＰクラウド１１０ａから取得してもよく、第３者サーバ１６０から直接的に取得してもよい。第一実施形態の情報準備部２１ａは、名前解決情報及び証明書有効情報をＡＣＰクラウド１１０ａから入手し、時刻情報をＮＴＰサーバ１６０ａから入手する。情報準備部２１ａは、同期部３６によって取得した接続用情報を、代替サーバ部３５にセットする。

許可設定部２１ｂは、情報準備部２１ａによって準備された接続用情報を用いての特定接続先ＳＣＤに限定した車外通信を、車載ＥＣＵ４０に許可する。許可設定部２１ｂは、車外の第３者サーバ１６０に替えて、代替サーバ部３５から接続用情報を取得するように、車載ＥＣＵ４０（宛先サーバ設定部４１）の設定を行う。許可設定部２１ｂは、車載ＥＣＵ４０に接続が許可される車外の接続先を、名前解決情報で特定する。名前解決情報は、特定接続先ＳＣＤのＩＰアドレスであり、車載ＥＣＵ４０に紐づく特定接続先ＳＣＤを指定する指定情報を兼ねる。第一実施形態の許可設定部２１ｂは、プロキシ部１２８への接続のみを車載ＥＣＵ４０に許可する。

具体的に、許可設定部２１ｂは、車載ＥＣＵ４０からＡＣＰエンジン１０ａへの名前解決のためのアクセスについての応答を制限する。許可設定部２１ｂは、車載ＥＣＵ４０とデータ送受信を許可するアプリサーバ１４０又はプロキシ部１２８のドメイン名に対してのみ、プロキシ部１２８のＩＰアドレスとその接続に係る情報を応答しないようにする。ここでの接続に係る情報は、プロキシ部１２８への接続要求時にその要求パケットの盗聴を防ぐため暗号化されたパケットを、プロキシ部１２８が復号できるようにする公開鍵を含んでいる。許可設定部２１ｂは、車外ＦＷ部２９と連携し、車載ＥＣＵ４０による車外通信を、プロキシ部１２８宛の通信しか通さないようにする。

同期部３６は、接続可否管理部２１と連携し、ＡＣＰエンジン１０ａとＡＣＰクラウド１１０ａとの同期、言い替えると、ＡＣＰエンジン１０ａと第３者サーバ１６０との情報共有を実施する。同期部３６は、時刻取得部２５、名前解決情報取得部２６、証明書有効情報取得部２７をサブ機能部として含む。時刻取得部２５は、第３者サーバ１６０であるＮＴＰサーバ１６０ａとの同期により、時刻情報を取得する。名前解決情報取得部２６は、ＡＣＰクラウド１１０ａの名前解決情報取得部１２６との同期により、名前解決情報を取得する。証明書有効情報取得部２７は、ＡＣＰクラウド１１０ａの証明書有効情報取得部１２７との同期により、証明書有効情報を取得する。

代替サーバ部３５は、第３者サーバ１６０に替わって車載ＥＣＵ４０に接続用情報を提供する。代替サーバ部３５は、車載ＥＣＵ４０による車外へのセキュア接続に必要な手順のうち、各第３者サーバ１６０との信号授受を代理し、各第３者サーバ１６０に替わって車載ＥＣＵ４０からの要求に応答する。

代替サーバ部３５は、時刻配信サーバ２２、名前解決サーバ２３及び証明書有効性管理サーバ２４をサブ機能部として含む。時刻配信サーバ２２は、時刻取得部２５によって取得された時刻情報を保持する。時刻配信サーバ２２は、車載ＥＣＵ４０からの要求に応じて、ＮＴＰサーバ１６０ａに替わり時刻情報を車載ＥＣＵ４０に同期させる。名前解決サーバ２３は、名前解決情報取得部２６によって取得された名前解決情報を保持する。名前解決サーバ２３は、車載ＥＣＵ４０からの要求に応じて、ＤＮＳサーバ１６０ｂに替わり名前解決情報を車載ＥＣＵ４０に同期させる。証明書有効性管理サーバ２４は、証明書有効情報取得部２７によって取得された証明書有効情報を保持する。証明書有効性管理サーバ２４は、車載ＥＣＵ４０からの要求に応じて、証明書有効性管理サーバ１６０ｃに替わり証明書有効情報を車載ＥＣＵ４０に同期させる。

車内ＦＷ（Firewall）部２８は、ＡＣＰエンジン１０ａにおいて、車内ＬＡＮ５０との接続部分に設けられている。ＡＣＰエンジン１０ａと車内ＬＡＮ５０との通信は、必ず車内ＦＷ部２８を通過する。車内ＦＷ部２８は、車内ＬＡＮ５０からＡＣＰエンジン１０ａへの車内通信及びＡＣＰエンジン１０ａから車内ＬＡＮ５０への車内通信について、所定の基準に基づき不正と判断した通信を遮断する。

車外ＦＷ部２９は、ＡＣＰエンジン１０ａにおいて、ＷＡＮ１５０との接続部分に設けられている。ＡＣＰエンジン１０ａとＷＡＮ１５０との通信は、必ず車外ＦＷ部２９を通過する。車外ＦＷ部２９は、車載システム及びＷＡＮ１５０間の車外通信のうちで、所定の基準に基づき不正と判断した通信を遮断する。車外ＦＷ部２９は、車載ＥＣＵ４０からＷＡＮ１５０への車外通信を制限できる。具体的に、車外ＦＷ部２９は、車載ＥＣＵ４０が車外通信できる接続先を、特定接続先ＳＣＤのみに制限する。一例として、車外ＦＷ部２９は、許可設定部２１ｂより取得する名前解決情報のＩＰアドレスを用いて、最低限の制限ルールにより、アクセス可能な接続先をプロキシ部１２８（又はアプリサーバ１４０）に限定する。

尚、車載システムを構成する複数の車載ＥＣＵ４０のうちの一部は、車外通信の制御するＡＣＰエンジン１０ａの仕組みを使わなくてもよい。車載ＥＣＵ４０毎にＩＰアドレスが異なるため、ＡＣＰエンジン１０ａは、車外通信を制御する仕組みを適用する車載ＥＣＵ４０と、適用しない車載ＥＣＵ４０とを識別ができる。さらに、アプリをポート番号で一意に識別できるシステム構成の場合、ＡＣＰエンジン１０ａは、同じＩＰアドレスの車載ＥＣＵ４０上でも、適用するアプリと適用しないアプリとを識別することができる。そのため、ＡＣＰエンジン１０ａは、適用する車載ＥＣＵ４０と適用しない車載ＥＣＵ４０とを、車載システムに共存させることができる。

車載ＥＣＵ４０は、車両Ａｕに搭載される制御装置であり、マイクロコントローラを主体として含む。車載ＥＣＵ４０は、車載システムにおけるエンドＥＣＵに相当する。車載ＥＣＵ４０は、ボディ系のＥＣＵ、車両制御系のＥＣＵ、ＡＤＡＳ系又は自動運転系のＥＣＵ、ＨＭＩ系のＥＣＵのいずれであってもよい。車載ＥＣＵ４０は、一つ又は複数のアプリケーション４０ａを実行可能である。アプリケーション４０ａは、アプリサーバ１４０との間でのアプリ通信の実施により、車両Ａｕのユーザに種々のサービスを提供する。車載ＥＣＵ４０は、車載通信機１０とは異なり、車両Ａｕの電源がオフ状態である場合には、消費電力抑制のため原則的にオフ状態とされる。

尚、複数の車載ＥＣＵ４０のうちの一部には、アプリケーション４０ａが実装されなくてもよい。また、車載通信機１０は、車載ＥＣＵ４０を兼ねる構成として車載システムに設けられ、アプリケーション４０ａを実行可能であってもよい。

車載ＥＣＵ４０は、ＡＣＰエンジン１０ａとアプリケーション４０ａとの間にてデータの中継処理を行う機能部として、宛先サーバ設定部４１、鍵管理デバイス４２及びＴＬＳ接続クライアント４４を備える。宛先サーバ設定部４１は、時刻情報、名前解決情報及び証明書有効情報の同期先を、ＡＣＰエンジン１０ａのＩＰアドレスに設定する。鍵管理デバイス４２は、ハード的に他の回路部から独立した構成として車載ＥＣＵ４０設けられている。鍵管理デバイス４２は、単独のＩＣとして設けられていてもよく、一つのＩＣの中で他の回路部からハード的に分離されていてもよい。宛先サーバ設定部４１は、鍵自体へのアクセス及び鍵を用いた演算等、特定の手段でしか実施できないように独立し管理できる。鍵管理デバイス４２は、特定接続先ＳＣＤの認証に用いる鍵情報を管理する。ＴＬＳ接続クライアント４４は、鍵管理デバイス４２にて管理された鍵情報を用いて、特定接続先ＳＣＤであるプロキシ部１２８が正規のアクセス先であるか否かを認証する。特定接続先ＳＣＤの認証（サーバ認証）とサーバ側による車載ＥＣＵ４０の認証（クライアント認証）とが完了すると、車載ＥＣＵ４０及びプロキシ部１２８間のセキュア接続が構築される。

次に、本開示の通信制御方法を実現するために通信処理システムにて実施される各処理の詳細を、図２及び図３に基づき、図１を参照しつつ、以下説明する。

図２に示す同期処理では、ＡＣＰクラウド１１０ａとＡＣＰエンジン１０ａとの同期が実施される。同期処理によれば、ＡＣＰエンジン１０ａに接続用情報が準備された状態となる。

同期処理のＳ１１では、時刻取得部２５とＮＴＰサーバ１６０ａとの間で、時刻情報の同期が実施される。Ｓ１２では、ＡＣＰクラウド１１０ａが、ＡＣＰクラウド１１０ａの接続可否管理部１２１に、各車両Ａｕの各車載ＥＣＵ４０について、接続を許可する特定接続先ＳＣＤを設定する。Ｓ１２において、ＡＣＰクラウド１１０ａは、多数の車載ＥＣＵ４０のそれぞれに指定情報を紐づけ、車載ＥＣＵ４０毎の特定接続先ＳＣＤを指定する。

Ｓ１３では、接続可否管理部１２１が、接続用情報を取得する。Ｓ１４では、ＤＮＳサーバ１６０ｂと名前解決情報取得部１２６との間で、名前解決情報が共有される。Ｓ１５では、証明書有効性管理サーバ１６０ｃと証明書有効情報取得部１２７との間で、証明書有効情報が共有される。尚、第３者サーバ１６０からの取得に替えて、ＡＣＰクラウド１１０ａの管理者が、ＡＣＰクラウド１１０ａに各接続用情報を提供してもよい。

Ｓ１６では、ＡＣＰクラウド１１０ａからＡＣＰエンジン１０ａへの接続用情報の提供が実施される。Ｓ１６では、予め設定されたＡＣＰクラウド１１０ａとの車外通信により、ＡＣＰエンジン１０ａは、ＡＣＰクラウド１１０ａによって管理された接続用情報を取得する。Ｓ１７では、ＡＣＰエンジン１０ａの接続可否管理部２１が、接続用情報を入手する。Ｓ１６及びＳ１７によれば、名前解決情報提供部１２３及び証明書有効情報提供部１２４と、名前解決情報取得部２６及び証明書有効情報取得部２７との間で、名前解決情報及び証明書有効情報が同期される。名前解決情報は、車載ＥＣＵ４０に紐づく指定情報を兼ねており、車載ＥＣＵ４０に車外通信を許可する特定接続先ＳＣＤのＩＰアドレスである。

Ｓ１８では、Ｓ１１及びＳ１６での車外通信によって取得された接続用情報が、代替サーバ部３５に設定される。代替サーバ部３５は、上述したように、車内ＬＡＮ５０を介した車内通信により、車載ＥＣＵ４０が車外接続を行うことなく、車載ＥＣＵ４０に接続用情報を提供できる。その結果、車載ＥＣＵ４０による特定接続先ＳＣＤとの車外通信に必要となる接続用情報が、車載ＥＣＵ４０に代わって接続可否管理部２１により準備される。

Ｓ１９では、接続可否管理部２１が、接続用情報を用いての特定接続先ＳＣＤに限定した車外通信を車載ＥＣＵ４０に許可する。第一実施形態では、車載ＥＣＵ４０からアプリサーバ１４０への車外通信を中継するプロキシ部１２８が、車載ＥＣＵ４０の特定接続先ＳＣＤとして設定される。Ｓ１９では、指定情報の示すＩＰアドレスへの車外通信が許可されるよう、車外ＦＷ部２９のフィルタリング設定が変更される。

図３に示す接続処理では、車載ＥＣＵ４０とプロキシ部１２８との間に暗号通信経路が構築される。暗号通信経路を流れるアプリ通信の内容は、相互認証された車載ＥＣＵ４０及びプロキシ部１２８しか把握できない。即ち、ＡＣＰエンジン１０ａは、アプリ通信の内容を把握できない。

Ｓ３１では、車載ＥＣＵ４０における初期処理として、宛先サーバ設定部４１が、接続用情報を取得するアクセス先をＡＣＰエンジン１０ａの代替サーバ部３５に設定する。

Ｓ３２では、時刻情報の有無を把握し、時刻情報がない場合には、ＡＣＰエンジン１０ａの時刻配信サーバ２２への車内通信によって時刻情報を取得する。Ｓ３３では、ＡＣＰエンジン１０ａの名前解決サーバ２３への車内通信によって名前解決情報を取得する。同期処理によってＡＣＰエンジン１０ａには予め各情報が準備されているため、Ｓ３２及びＳ３３では、第３者サーバ１６０への車外通信が実施されなくてもよい（破線の矢印参照）。

Ｓ３４では、プロキシ部１２８への接続要求、いわゆるＴＬＳネゴシエーションを実施する。Ｓ３５では、ＡＣＰエンジン１０ａの証明書有効性管理サーバ２４に対し、証明書有効情報の失効確認を実施する。Ｓ３５でも、第３者サーバ１６０への車外通信が省略されてよい（破線の矢印参照）。Ｓ３６では、鍵管理デバイス４２に管理された鍵情報を用いて、特定接続先ＳＣＤであるプロキシ部１２８と車載ＥＣＵ４０との相互認証、即ち、サーバ認証及びクライアント認証処理が実施される。Ｓ３７では、認証情報及び鍵交換が実施される。これにより、車載ＥＣＵ４０及びプロキシ部１２８間におけるＴＬＳ構築が完了する。このとき、プロキシ部１２８及びアプリサーバ１４０間では、ＴＬＳ構築を行う一連の接続シーケンスが完了される。その結果、Ｓ３８及びＳ３９では、車載ＥＣＵ４０及びプロキシ部１２８並びにプロキシ部１２８及びアプリサーバ１４０の暗号経路上で、車載ＥＣＵ４０上のアプリケーション４０ａと対応するアプリサーバ１４０との間のデータ送受信が開始される。

ここまで説明した第一実施形態では、信頼性の確保が十分な特定接続先ＳＣＤへの車外通信に必要な接続用情報が予めＡＣＰエンジン１０ａに準備され、ＡＣＰエンジン１０ａから車載ＥＣＵ４０に提供され得る。故に、車載ＥＣＵ４０は、信頼性の確保が十分でない接続先、具体的には、第３者サーバ１６０や第３者が開発及び提供するアプリサーバ１４０との車外通信を実施しなくてもよくなる。即ち、車載ＥＣＵ４０は、ＡＣＰエンジン１０ａに準備された接続用情報を用いることで、特定接続先ＳＣＤとの車外通信を実施できる。したがって、ネットワーク性能とセキュリティ水準確保との両立が可能になる。

より詳しく説明すると、プロキシ機能を持ったＥＣＵ（以下、プロキシＥＣＵ）によって車載ＥＣＵによる車外通信を全て代替する比較例では、特にプロキシＥＣＵでプロキシ中継処理を行う車載用プロセッサの処理能力が低くなる。これにより、スループットの制限及び通信遅延が生じ易い。仮に、信頼できるクラウド上のプロキシサーバとの車外通信のみ、車載ＥＣＵが直接実施できるように比較例を改良しようとしても、信頼できるクラウド上のプロキシサーバとのセキュア接続には、信頼性が不十分な第３者サーバ１６０への接続が必要となる。一方、上記の第一実施形態では、信頼性が不十分な第３者サーバ１６０との車外通信を、ＡＣＰエンジン１０ａが車載ＥＣＵ４０に代わって実施し、セキュア接続に必要な接続用情報を車載ＥＣＵ４０に応答できる。その結果、信頼性が不十分な接続を排除しつつ車内へのプロキシＥＣＵの配置を不要とすることができ、ネットワーク性能とセキュリティ水準確保とが両立され得る。

加えて第一実施形態の車載通信機１０は、車外通信によって取得した接続用情報を代替サーバ部３５に設定する。そして、代替サーバ部３５から車載ＥＣＵ４０に車内通信によって接続用情報を提供する。このように、代替サーバ部３５に接続用情報が準備されていれば、車載通信機１０と第３者サーバ１６０との車外通信の省略が可能になる（図３ 破線矢印参照）。故に、車載ＥＣＵ４０による車外通信の速やかな開始と、第３者サーバ１６０のなりすましによる車載ＥＣＵ４０への攻撃リスクの抑制とが可能になる。

また第一実施形態のＡＣＰエンジン１０ａは、予め設定されたＡＣＰクラウド１１０ａとの車外通信により、接続可否管理部１２１によって信頼性が管理された接続用情報を取得する。以上によれば、リスクのいっそうの低減が実現される。

さらに第一実施形態のＡＣＰエンジン１０ａは、車載ＥＣＵ４０に紐づく特定接続先ＳＣＤを指定する指定情報として、ＡＣＰクラウド１１０ａから名前解決情報を取得する。接続可否管理部２１は、名前解決情報の示す特定接続先ＳＣＤへの車外通信が許可されるように、車外ＦＷ部２９の設定を変更する。以上によれば、車載ＥＣＵ４０に許可する接続先が、ＡＣＰクラウド１１０ａ側から管理可能になる。

加えて第一実施形態では、車外通信を中継するプロキシ部１２８が特定接続先ＳＣＤとして設定される。故に、車載ＥＣＵ４０の接続先が、厳格に管理されたＡＣＰクラウド１１０ａに限定される。以上によれば、アプリサーバ１４０に起因するセキュリティリスクのいっそうの低減が可能になる。尚、第一実施形態では、ＡＣＰクラウド１１０ａが「接続管理部」に相当し、車載通信機１０が「通信装置」に相当する。

（第二実施形態）
図４及び図５に示す本開示の第二実施形態は、第一実施形態の変形例である。第二実施形態の通信処理システムでは、プロキシ部１２８がＡＣＰクラウド１１０ａから省略されている。加えて第二実施形態では、車載ＥＣＵ４０による認証処理が、ＡＣＰエンジン１０ａによって代行される。以下、第二実施形態におけるＡＣＰエンジン１０ａ及び車載ＥＣＵ４０の詳細と、同期処理及び接続処理（図５参照）の詳細とを、順に説明する。

ＡＣＰエンジン１０ａは、暗号通信部３１、鍵管理デバイス３２及び認証処理部３３を有する。暗号通信部３１は、車内ＬＡＮ５０を通じた車内通信を暗号化する。暗号通信部３１は、車載ＥＣＵ４０の暗号通信部４５との間で、ＥＣＵ間の暗号通信を可能にする。

鍵管理デバイス３２は、第一実施形態の鍵管理デバイス４２（図１参照）と実質同一の構成である。鍵管理デバイス３２は、特定接続先ＳＣＤの認証に用いる鍵情報を保管している。鍵管理デバイス３２は、ハード的に他の回路部から独立した構成（Hardware Security Module，ＨＳＭ）として車載通信機１０に設けられている。鍵管理デバイス３２は、外部から乱数を与え、内部に持っている秘密の鍵情報と演算した結果を外部に返す処理により、鍵情報をデバイス外部に出すことなく、署名検証及び署名付与による認証処理が実施できる。

認証処理部３３は、車載ＥＣＵ４０からの認証移譲に基づき、車載ＥＣＵ４０の通信先となるアプリサーバ１４０を認証する。認証処理部３３は、車載通信機１０に実装された既存の演算リソースを利用して、アプリサーバ１４０の認証処理を実施できる。尚、図４では、情報準備部２１ａ（図１参照）及び許可設定部２１ｂ（図１参照）の図示が省略されている。

車載ＥＣＵ４０は、鍵管理デバイス４２（図１参照）に替えて、暗号通信部４５を有している。鍵管理デバイス４２の省略により、車載ＥＣＵ４０の構成が簡素化されている。暗号通信部４５は、ＡＣＰエンジン１０ａの暗号通信部３１と連携して、ＡＣＰエンジン１０ａ及び車載ＥＣＵ４０間の暗号化された通信を可能にする。暗号通信部４５は、認証処理部３３にて実施された演算結果に基づく認証情報を、暗号化された車内通信によって車載ＥＣＵ４０から取得する。

ここで、第二実施形態では、認証処理が車載ＥＣＵ４０から車載通信機１０に移譲されているため、悪意ある者に認証情報を盗まれてしまうと、正規のクライアントに偽装した不正な通信が可能になってしまう。こうした盗聴対策として、車載ＥＣＵ４０及びＡＣＰエンジン１０ａ間の通信の暗号化が必要となる。一例として、各暗号通信部３１，４５は、車両Ａｕのドアのアンロック等と同等の暗号通信を行い、認証情報を守る。

第二実施形態の同期処理（図２参照）は、全体として第一実施形態と実質的に同一である。第二実施形態では、車載ＥＣＵ４０の特定接続先ＳＣＤがアプリサーバ１４０であるため、ＡＣＰエンジン１０ａは、接続用情報の準備処理（図２ Ｓ１６～Ｓ１８参照）にて、アプリサーバ１４０のＩＰアドレスを名前解決情報として取得する。さらに、車外ＦＷ部２９のフィルタリング設定は、名前解決情報に基づき、車載ＥＣＵ４０からアプリサーバ１４０への接続を通過させる設定に変更される（図２ Ｓ１９参照）。

第二実施形態の接続処理において、Ｓ３１～Ｓ３５の処理は、第一実施形態と実質同一である。但し、Ｓ３４では、車載ＥＣＵ４０とアプリサーバ１４０との間でＴＬＳネゴシエーションが実施される。第二実施形態でも、接続用情報は、ＡＣＰエンジン１０ａの代替サーバ部３５から車載ＥＣＵ４０に提供される。これにより、ＡＣＰエンジン１０ａから第３者サーバ１６０への車外アクセスが省略される。

Ｓ２３６では、車載ＥＣＵ４０からＡＣＰエンジン１０ａへの認証処理の移譲及び要求が行われる。認証処理の移譲及び要求に関連する通信は、各暗号通信部３１，４５によって暗号化される。

Ｓ２３７では、鍵管理デバイス３２によって管理された鍵情報を用いた認証処理が、１０ａの認証処理部３３によって実施される。Ｓ２３７では、サーバ認証処理及びクライアント認証処理の署名のための処理が実施される。

Ｓ２３８では、Ｓ２３７による認証情報を、ＡＣＰエンジン１０ａが認証処理の要求元である車載ＥＣＵ４０に提供する。Ｓ２３８での認証情報の送信は、各暗号通信部３１，４５によって暗号化される。

Ｓ２３９では、ＡＣＰエンジン１０ａから受け取った認証情報が、車載ＥＣＵ４０からアプリサーバ１４０に渡される。さらに、公開鍵の交換が実施される。これにより、アプリサーバ１４０での認証が完了し、車載ＥＣＵ４０及びアプリサーバ１４０間でのＴＬＳが構築される。その結果、Ｓ２４０にて、暗号化されたアプリ通信が開始される。

ここまで説明した第二実施形態では、ＡＣＰエンジン１０ａによって準備され接続用情報が車載ＥＣＵ４０に提供されるため、車載ＥＣＵ４０から第３者サーバ１６０への車外通信及び車内へのプロキシＥＣＵの配置が省略され得る。故に、第一実施形態と同様の効果を奏し、ネットワーク性能とセキュリティ水準確保との両立が可能になる。

加えて第二実施形態では、鍵管理デバイス３２にて管理された鍵情報を用いて特定接続先ＳＣＤが認証され、当該認証結果に基づく認証情報が車載ＥＣＵ４０に提供される。このように、車載ＥＣＵ４０からＡＣＰエンジン１０ａへの認証移譲が実施されれば、各車載ＥＣＵ４０の鍵管理デバイス４２（図１参照）が不要になる。鍵管理デバイス３２，４２となるＨＳＭは、鍵情報を管理運用する基盤が必要であり、登録及び廃棄等の運用が大変であるために、高コストとなる。故に、車載システムに必要となるセキュリティコストの総額が、鍵管理デバイス３２の集約によって低減される。さらに、車載ＥＣＵ４０の演算処理能力が低く、例えば非対称鍵暗号やビット長の長い暗号のような高負荷な演算を伴う認証処理を、ＡＣＰエンジン１０ａに移譲することによって、ＡＣＰエンジン１０ａ同等のセキュア接続水準確保が実現される。尚、第二実施形態では、鍵管理デバイス３２が「鍵管理部」に相当する。

（第三実施形態）
図６及び図７に示す本開示の第三実施形態は、第一実施形態の別の変形例である。第三実施形態では、第二実施形態と同様に、車載ＥＣＵ４０の特定接続先ＳＣＤがアプリサーバ１４０に設定されている。これにより、接続処理のＳ３４では、車載ＥＣＵ４０とアプリサーバ１４０との間でＴＬＳネゴシエーションが実施される。さらに、Ｓ３６では、車載ＥＣＵ４０及びアプリサーバ１４０間での相互認証が実施される。そして、Ｓ３７では、認証情報及び鍵情報が車載ＥＣＵ４０及びアプリサーバ１４０間で交換される。これにより、アプリサーバ１４０での認証が完了し、車載ＥＣＵ４０及びアプリサーバ１４０間でのＴＬＳが構築されることで、Ｓ３８にて、暗号化されたアプリ通信が開始される。

ここまで説明した第三実施形態でも、ＡＣＰエンジン１０ａによって準備された接続用情報が車載ＥＣＵ４０に提供されるため、車載ＥＣＵ４０から第３者サーバ１６０への車外通信が省略され得る。故に、第一実施形態と同様の効果を奏し、ネットワーク性能とセキュリティ水準確保との両立が可能になる。

（第四実施形態）
図８及び図９に示す本開示の第四実施形態は、第二実施形態の変形例である。第四実施形態のＡＣＰクラウド１１０ａは、認証処理部１２９を有する。認証処理部１２９は、アプリサーバ１４０にアクセスする車載ＥＣＵ４０を、アプリサーバ１４０に代わって認証する。以下、第四実施形態の接続処理の詳細を説明する。尚、第四実施形態の同期処理のＳ３１～Ｓ３５及びＳ２３６～Ｓ２３８の処理は、第一及び第二実施形態と実質同一である。

接続処理のＳ４３９では、車載ＥＣＵ４０がアプリサーバ１４０との通信を実施する。Ｓ４３９にて、車載ＥＣＵ４０及びアプリサーバ１４０は、認証情報及び鍵情報を交換する。

Ｓ４４０では、アプリサーバ１４０から認証処理部１２９に認証処理の代行が依頼される。具体的に、Ｓ４４０では、アプリサーバ１４０から認証処理部１２９への認証処理の移譲及び要求が行われる。認証処理部１２９は、アプリサーバ１４０からの要求に基づき、アプリサーバ１４０に送信された認証情報を用いて、車載ＥＣＵ４０の認証処理を実施する。認証処理部１２９は、認証情報を要求元であるアプリサーバ１４０に提供する。Ｓ４４１では、Ｓ４４０にて取得する認証情報に基づき、アプリサーバ１４０及び車載ＥＣＵ４０間のＴＬＳが構築される。これにより、暗号化されたアプリ通信が開始される。

ここまで説明した第四実施形態でも、ＡＣＰエンジン１０ａによって準備された接続用情報が車載ＥＣＵ４０に提供されるため、車載ＥＣＵ４０から第３者サーバ１６０への車外通信が省略され得る。故に、第二実施形態と同様の効果を奏し、ネットワーク性能とセキュリティ水準確保との両立が可能になる。

加えて第四実施形態では、認証処理部１２９がアプリサーバ１４０に代わって車載ＥＣＵ４０を認証する。故に、正しい車載ＥＣＵ４０であるかを認証する認証情報及び仕様情報を、多数のアプリサーバ１４０に渡す必要が無くなる。その結果、車載ＥＣＵ４０からアプリサーバ１４０へのアクセスのセキュリティ水準確保が確保され易くなる。

（他の実施形態）
以上、本開示の複数の実施形態について説明したが、本開示は、上記実施形態に限定して解釈されるものではなく、本開示の要旨を逸脱しない範囲内において種々の実施形態及び組み合わせに適用することができる。

上記第一実施形態による通信制御システムは、特定接続先ＳＣＤをプロキシ部１２８に設定することにより、通信のボトルネックが解消され得る。故に、例えば制御系の車載ＥＣＵ４０等、セキュリティリスクが相対的に高い特定の車載ＥＣＵ４０のみのが、プロキシ部１２８に接続される対象とされてよい。こうした第一実施形態は、極低遅延の保証を不要とするユースケースを想定した形態である。

上記第二実施形態では、認証処理のＡＣＰエンジン１０ａへの集約により、セキュリティ対策コストの総額が低減でき、低性能プロセッサを主体とする車載ＥＣＵ４０でもセキュリティ水準が確保される。故に、セキュリティリスクが相対的に高い車載ＥＣＵ４０や、低性能プロセッサを主体とする車載ＥＣＵ４０に車外通信を実施させるユースケースに、第二実施形態は好適となる。

上記第三実施形態は、上記比較例の構成からの変更が少なくできる。そのため、セキュリティリスクが相対的に高い車載ＥＣＵ４０に車外通信を実施させるユースケースに、第三実施形態は好適となる。

上記第四実施形態では、車両Ａｕを認証する仕組み及び機能をサーバ開発事業者等、及び多数のサーバに提供することが不要になる。また第四実施形態は、遠隔制御のような極低遅延の保証が必要なユースケースに好適となる。一例として、いわゆるモバイルエッジコンピューティングと呼ばれるセルラのコアネットワーク内に、ＴＬＳ終端サーバ（アプリサーバに相当）を配置し、低遅延接続を実現することが可能になる。こうしたシステム構成では、インターネットに出ないため、低遅延化が達成され得る。一方、コアネットワークを構成するエリア単位でサーバ設置が必要となり、且つ、コアネットワーク事業者（インフラ事業者）の管轄になり、他ユーザと共有されることも想定されるため、車両Ａｕのセキュリティ管理が難しくなる。こうしたネットワークにも、本開示の通信制御システムは、好適となる。

上記実施形態の変形例１では、ＡＣＰクラウド１１０ａからＡＣＰエンジン１０ａへ渡す接続用情報に、有効期限が設定される。ＡＣＰクラウド１１０ａは、有効期限内に接続用情報の照会がない場合、ＡＣＰエンジン１０ａに提供した接続用情報を無効にする。例えば、レンタカーの返却日時を想定して、有効期限が設定される。以上の機能をもった端末と接続されるクラウドサーバ１１０が、車両Ａｕ、車載ＥＣＵ４０及びアプリケーション４０ａ毎に許可する接続用情報を個別に管理及び更新する。

上記実施形態の変形例２では、ＡＣＰエンジン１０ａから車載ＥＣＵ４０への接続用情報の提供にあたり、ＡＣＰエンジン１０ａも第３者サーバ１６０へのアクセスをしない構成とされる。ＡＣＰエンジン１０ａは、車載ＥＣＵ４０への接続用情報を、全てＡＣＰクラウド１１０ａから取得する。

上記実施形態では、第３者サーバ１６０へ問合せするＤＮＳのパケットに、車載ＥＣＵ４０の接続先のドメイン名が平文で含まれている。故に、車両Ａｕからの車外通信が傍受された場合も、この車両Ａｕのアクセスするドメイン名が特定されるリスクがある。そこで、上記実施形態の変形例３では、ＡＣＰエンジン１０ａ及びＡＣＰクラウド１１０ａ間の暗号通信経路上で、上記のやりとりが実施される。これにより、車載ＥＣＵ４０の接続先を車外から傍受することが困難となる。こうした機能をもつ端末と接続されるクラウドサーバ１１０が第３者サーバ１６０にアクセスする。その結果、セキュリティ対策含む時代進化に伴い、第３者サーバ１６０の仕様変更、並びに認証方式変更及び追加等に、車載ＥＣＵ４０の変更又は更新を実施しなくても、即座に追従することができるシステムが提供される。

上記実施形態の変形例４では、代替サーバ部３５がＡＣＰエンジン１０ａから省略されている。変形例１のＡＣＰエンジン１０ａは、車載ＥＣＵ４０からの要求に基づき、第３者サーバ１６０又はＡＣＰクラウド１１０ａから接続用情報を逐次取得する。

上記実施形態の変形例５では、ＡＣＰエンジン１０ａが、第３者サーバ１６０から接続用情報を取得し、代替サーバ部３５に設定する。即ち、ＡＣＰクラウド１１０ａでは、接続可否管理部１２１による接続用情報の提供機能が省略されている。こうした変形例５では、各車載ＥＣＵ４０に特定接続先ＳＣＤを指定する接続可否管理部１２１も省略される。

上記実施形態の鍵管理デバイスは、上述したように、ＩＣ自体が他のハードから分離している形態、同一のＩＣ内で他のハード部分から分離されている形態等であってよい。さらに、鍵管理デバイスは、権限管理及び署名等のソフトウェア的に分離されている形態であってもよい。

上記実施形態にて、車載通信機１０及びクラウドサーバ１１０によって提供されていた各機能は、ソフトウェア及びそれを実行するハードウェア、ソフトウェアのみ、ハードウェアのみ、あるいはそれらの複合的な組合せによっても提供可能である。さらに、こうした機能がハードウェアとしての電子回路によって提供される場合、各機能は、多数の論理回路を含むデジタル回路、又はアナログ回路によっても提供可能である。

上記実施形態にて、各プロセッサ１１，１１１は、それぞれＲＡＭ１２，１１２と結合された演算処理のためのハードウェアであり、本開示による情報送信方法を実現するコンピュータの主体構成である。各プロセッサ１１，１１１は、ＣＰＵ（Central Processing Unit）等の演算コアを少なくとも一つ含む構成である。プロセッサ１１，１１１を含む処理回路は、ＦＰＧＡ（Field-Programmable Gate Array）及びＡＳＩＣ（Application-Specific Integrated Circuit）を主体とした構成であってもよい。

記憶媒体１３，１１３は、不揮発性の記憶媒体を含む構成である。各記憶媒体１３，１１３には、各プロセッサ１１，１１１によって実行され、上記の通信制御方法を実現するたえの種々のプログラム（通信制御プログラム）が格納されている。こうした記憶媒体１３，１１３の形態は、適宜変更されてよい。例えば記憶媒体１３，１１３は、回路基板上に設けられた構成に限定されず、メモリカード等の形態で提供され、スロット部に挿入されて、車載通信機１０及びクラウドサーバ１１０の処理回路に電気的に接続される構成であってよい。さらに、記憶媒体１３，１１３は、プログラムのコピー基となる光学ディスク及びのハードディスクドライブ等であってもよい。

本開示に記載の制御部及びその手法は、コンピュータプログラムにより具体化された一つ乃至は複数の機能を実行するようにプログラムされたプロセッサを構成する専用コンピュータにより、実現されてもよい。あるいは、本開示に記載の装置及びその手法は、専用ハードウェア論理回路により、実現されてもよい。もしくは、本開示に記載の装置及びその手法は、コンピュータプログラムを実行するプロセッサと一つ以上のハードウェア論理回路との組み合わせにより構成された一つ以上の専用コンピュータにより、実現されてもよい。また、コンピュータプログラムは、コンピュータにより実行されるインストラクションとして、コンピュータ読み取り可能な非遷移有形記録媒体に記憶されていてもよい。

Ａｕ 車両、ＳＣＤ 特定接続先、１０ 車載通信機（通信装置）、１１，１１１ プロセッサ、２１ａ 情報準備部、２１ｂ 許可設定部、３２ 鍵管理デバイス（鍵管理部）、３５ 代替サーバ部、４０ 車載ＥＣＵ、１１０ａ ＡＣＰクラウド（接続管理部）、１２８ プロキシ部、１２９ 認証処理部、

Claims (8)

1. 車載ＥＣＵ（４０）と車両（Ａｕ）の外部との間で行われる車外通信を制御する通信制御方法であって、
   少なくとも一つのプロセッサ（１１）にて実行される処理に、
   前記車載ＥＣＵによる特定接続先（ＳＣＤ）との前記車外通信に必要となる接続用情報を前記車載ＥＣＵに代わって準備し（Ｓ１６～Ｓ１８）、
   前記接続用情報を用いての前記特定接続先に限定した前記車外通信を前記車載ＥＣＵに許可する（Ｓ１９）、
   というステップを含む通信制御方法。
2. 前記接続用情報を準備するステップでは、車内通信によって前記車載ＥＣＵに前記接続用情報を提供する代替サーバ部（３５）に、前記車外通信によって取得した前記接続用情報を設定する請求項１に記載の通信制御方法。
3. 前記接続用情報を準備するステップでは、予め設定された接続管理部（１１０ａ）との前記車外通信により、前記接続管理部によって管理された前記接続用情報を取得する請求項１又は２に記載の通信制御方法。
4. 前記車載ＥＣＵに紐づく前記特定接続先を指定する指定情報を前記接続管理部から取得する（Ｓ１７）、というステップをさらに含み、
   前記車外通信を許可するステップでは、前記指定情報の示す前記特定接続先への前記車外通信を、前記車載ＥＣＵに許可する請求項３に記載の通信制御方法。
5. 鍵管理部（３２）にて管理された鍵情報を用いて前記特定接続先を認証し（Ｓ２３７）、
   前記特定接続先の認証結果に基づく認証情報を、前記車載ＥＣＵに提供する（Ｓ２３８）、
   というステップをさらに含む請求項１～４のいずれか一項に記載の通信制御方法。
6. 前記車外通信を許可するステップでは、前記車外通信を中継するプロキシ部（１２８）を前記特定接続先として設定する請求項１～５のいずれか一項に記載の通信制御方法。
7. 前記特定接続先にアクセスする前記車載ＥＣＵを、認証処理部（１２９）が前記特定接続先に代わって認証する（Ｓ４４０）、というステップをさらに含む請求項１～５のいずれか一項に記載の通信制御方法。
8. 車載ＥＣＵ（４０）と車両（Ａｕ）の外部との間で行われる車外通信を制御する通信装置であって、
   前記車載ＥＣＵによる特定接続先（ＳＣＤ）との前記車外通信に必要となる接続用情報を前記車載ＥＣＵに代わって準備する情報準備部（２１ａ）と、
   前記接続用情報を用いての前記特定接続先に限定した前記車外通信を前記車載ＥＣＵに許可する許可設定部（２１ｂ）と、
   を備える通信装置。

Images