JPWO2019224912A1 - 車両通信装置、車両アクセス制御システム、管理装置、車両アクセス制御方法、および車両アクセス制御プログラム - Google Patents

Abstract

車両通信装置（１００）は、車両に搭載された車載機能を提供する。補助記憶装置（１６０）は、車載機能の実行に用いられる車載機能情報を暗号化した暗号化データ（１０６）を記憶する。暗号化データ（１０６）には、復号条件が埋め込まれている。制御部（１０４）は、ユーザから、車載機能の使用を要求するアクセス要求を受け付ける。アクセス要求は、ユーザの属性を表すアクセス権情報が埋め込まれたユーザ秘密鍵を含む。復号部（１０２）は、アクセス要求に含まれるユーザ秘密鍵を用いて、アクセス権情報が復号条件に合致する場合に暗号化データ（１０６）から復号結果として車載機能情報（１０５）を得る。メモリ（１５０）は、復号部（１０２）により得られた車載機能情報（１０５）を記憶する。

Description

本発明は、車両通信装置、車両アクセス制御システム、管理装置、車両アクセス制御方法、および車両アクセス制御プログラムに関する。特に、車載システムの車載機能に対するアクセス制御を行う車両通信装置、車両アクセス制御システム、管理装置、車両アクセス制御方法、および車両アクセス制御プログラムに関する。

従来、カーナビゲーションシステムまたは自動運転システムといった様々な車載システムが存在する。これらの車載システムでは、第三者が、車載機能を悪用して、車両に攻撃する手法が知られている。よって、許可されていない人物による不正な車載機能の利用を抑制することが求められている。
特許文献１では、携帯端末から車両データを要求したときにアクセスリストを参照し、その結果によりデータの出力の許可あるいは不許可を決定する技術が開示されている。

特開２０１６−０４５８６０号公報

特許文献１の技術では、アクセスリストを利用しているので、アクセスリストを書き換えるといった不正な攻撃が行われた場合に、車両に対する攻撃を防ぐことができない。

本発明は、不正なユーザによる車載機能の利用を効率的に防止し、車載システムの安全性および利便性を向上させることを目的とする。

本発明に係る車両通信装置は、車両に搭載された車載機能を提供する車両通信装置において、
前記車載機能の実行に用いられる車載機能情報を暗号化した暗号化データであって、復号条件が埋め込まれた暗号化データを記憶する補助記憶装置と、
前記車載機能を使用するユーザから、前記車載機能の使用を要求するアクセス要求であって、前記ユーザの属性を表すアクセス権情報が埋め込まれたユーザ秘密鍵を含むアクセス要求を受け付ける制御部と、
前記アクセス要求に含まれる前記ユーザ秘密鍵を用いて、前記アクセス権情報が前記復号条件に合致する場合に前記暗号化データから復号結果として前記車載機能情報を得る復号部と、
前記復号部により得られた前記車載機能情報を記憶するメモリとを備えた。

本発明に係る車両通信装置によれば、復号部が、ユーザの属性情報であるアクセス権情報が埋め込まれたユーザ秘密鍵を用いて、アクセス権情報が復号条件に合致する場合に暗号化データから復号結果として車載機能情報を得る。よって、不正なユーザによる車載機能の利用を効率的に防止し、安全性および利便性を向上させることができる。

実施の形態１に係る車両アクセス制御システムの構成図。 実施の形態１に係る車両通信装置の構成図。 実施の形態１に係る車両の構成図。 実施の形態１に係る管理装置の構成図。 実施の形態１に係るＩＣカードの構成図。 実施の形態１に係るマスタ鍵データベースの詳細例。 実施の形態１に係るユーザ管理データベースの詳細例。 実施の形態１に係る復号条件データベースの詳細例。 実施の形態１に係る車両アクセス制御処理のフロー図。 実施の形態１に係る暗号鍵生成処理のフロー図。 実施の形態１に係る暗号化処理のフロー図。 実施の形態１に係るアクセス制御処理のフロー図。 実施の形態１に係るアクセス制御前処理のフロー図。 実施の形態１に係るアクセス制御後処理のフロー図。 実施の形態１に係るログ出力処理のフロー図。 実施の形態１に係るデータ復号処理のフロー図。 実施の形態１に係るユーザ管理処理のフロー図。 実施の形態１に係る新規ユーザ登録処理のフロー図。 実施の形態１に係る復号条件変更処理のフロー図。 実施の形態１に係る既存ユーザ情報変更処理のフロー図。 実施の形態１の変形例に係るアクセス制御前処理のフロー図。 実施の形態２に係る管理装置の構成図。

以下、本発明の実施の形態について、図を用いて説明する。なお、各図中、同一または相当する部分には、同一符号を付している。実施の形態の説明において、同一または相当する部分については、説明を適宜省略または簡略化する。

実施の形態１．
＊＊＊構成の説明＊＊＊
図１を用いて、本実施の形態に係る車両アクセス制御システム１０の構成について説明する。
車両アクセス制御システム１０は、１つの管理装置３００と、１つ以上のベンダサーバ８００と、１つ以上の車両２００と、ユーザ５００ごとのＩＣカード６００とを備える。ＩＣカード６００は、ユーザ５００を識別するためのデバイス７００の例である。ＩＣはＩｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略である。ただし、車両アクセス制御システム１０は、その他の構成を備えても構わないし、各構成の数は１つまたは複数であっても構わない。
車両２００と管理装置３００とベンダサーバ８００とはネットワーク４００を介して通信を行う。ネットワーク４００の具体例は、インターネットである。

車両２００は、互いに通信する少なくとも２つ以上の電子制御装置を搭載する。電子制御装置はＥＣＵと呼ばれる。以下において、電子制御装置をＥＣＵと呼ぶ。車両２００は、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ ａｒｅａ ｎｅｔｗｏｒｋ）、あるいは、ＦｌｅｘＲａｙといった通信プロトコルに準拠した車載ネットワークを備える。車両２００に搭載された複数のＥＣＵは、この車載ネットワークを介して互いに通信する。また、車両２００は、車両通信装置１００を備える。車両通信装置１００は、複数の電子制御装置の各電子制御装置と通信する。車両２００は、車両システムともいう。また、車両通信装置１００は、具体的には、車両２００のゲートウェイ装置である。車両通信装置１００は、車載装置あるいは車載システムともいう。

ベンダサーバ８００は、ベンダにより管理されるサーバ装置である。ベンダは、車体、車載コンポーネント、あるいは、車向けサービスごとに存在する。車載コンポーネントは、車体を構成する内部のＥＣＵあるいは車載装置といったコンポーネントである。よって、ベンダサーバ８００は複数存在する。ベンダサーバ８００は、更新ソフトウェアを提供する。更新ソフトウェアは、機能の追加、機能の変更、あるいは、不具合の修正のための最新のソフトウェアである。車両２００では、更新ソフトウェアおよび更新データをダウンロードして現状のプログラムを更新あるいは変更することで、車両内のプログラムが最新の状態になる。

ＩＣカード６００は、管理装置３００によって生成されたユーザＩＤ（ＩＤｅｎｔｉｆｉｅｒ）およびユーザ秘密鍵といった利用者認証情報を記憶する。ただし、ＩＣカード６００は、ＩＣカード６００と同等の機能を備えるその他のデバイス７００でもよい。具体的には、ＩＣカード６００は、スマートフォンあるいはタブレットといった携帯端末７３０、または、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）型トークン７５０で置換えられてもよい。以下では、デバイス７００の例としてＩＣカード６００を用いて説明する。

図２を用いて、本実施の形態に係る車両通信装置１００の構成について説明する。
車両通信装置１００は、車両に搭載された車載機能を提供する装置である。車両通信装置１００は、ユーザの属性に基づいて生成されたユーザ秘密鍵を用いたアクセス権付き復号処理を行う。ユーザは、車載機能を使用する者であり、車載機能の使用希望者である。
車両通信装置１００は、正規のユーザである使用希望者に対して、暗号化データ１０６を車載機能情報１０５に復号し、車載機能を使用可能な状態にする。車載機能情報１０５は、車載機能の実行に用いられる情報である。ここで、車載機能情報１０５には、車載機能を使用可能にする車載機能プログラムおよびデータが含まれる。

車両通信装置１００は、コンピュータである。車両通信装置１００は、プロセッサ１４０を備えるとともに、メモリ１５０、補助記憶装置１６０、通信部１７０、表示部１８０、および入力装置１９０といった他のハードウェアを備える。プロセッサ１４０は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

プロセッサ１４０は、演算処理を行うＩＣである。プロセッサ１４０の具体例は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

メモリ１５０は、データを一時的に記憶する記憶装置である。メモリ１５０の具体例は、ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、あるいはＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
補助記憶装置１６０は、データを保管する記憶装置である。補助記憶装置１６０の具体例は、ＨＤＤである。また、補助記憶装置１６０は、ＳＤ（登録商標）メモリカード、ＣＦ、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤといった可搬記憶媒体であってもよい。なお、ＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略語である。ＳＤ（登録商標）は、Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌの略語である。ＣＦは、ＣｏｍｐａｃｔＦｌａｓｈ（登録商標）の略語である。ＤＶＤは、Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋの略語である。
メモリ１５０には、復号部１０２により復号された車載機能情報１０５が一時的に記憶される。
補助記憶装置１６０には、暗号化データ１０６、マスタ公開鍵１０７、復号条件データ１０８、およびログデータ１０９が記憶される。

通信部１７０は、通信を行う装置であり、レシーバとトランスミッタとを備える。具体的には、通信部１７０は通信チップまたはＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。
表示部１８０は、画像を表示する表示装置である。具体的には、表示部１８０は液晶ディスプレイあるいはタッチパネルである。表示部１８０はモニタともいう。入力装置１９０および表示部１８０は、車両通信装置１００への入力を受け付ける受付部として機能する。

車両通信装置１００は、機能要素として、暗号化部１０１と復号部１０２と切替部１０３と制御部１０４を備える。暗号化部１０１は、アクセス権付き暗号化部ともいう。復号部１０２は、アクセス権付き復号部ともいう。暗号化部１０１と復号部１０２と切替部１０３と制御部１０４の機能はソフトウェアで実現される。
補助記憶装置１６０には、暗号化部１０１と復号部１０２と切替部１０３と制御部１０４の機能を実現する車両アクセス制御プログラムが記憶されている。車両アクセス制御プログラムは、メモリ１５０にロードされて、プロセッサ１４０によって実行される。
さらに、補助記憶装置１６０にはＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）が記憶されている。ＯＳの少なくとも一部は、メモリ１５０にロードされて、プロセッサ１４０によって実行される。
つまり、プロセッサ１４０は、ＯＳを実行しながら、車両アクセス制御プログラムを実行する。

車両アクセス制御プログラムにより利用、処理または出力されるデータ、情報、信号値および変数値は、メモリ１５０、補助記憶装置１６０、または、プロセッサ１４０内のレジスタあるいはキャッシュメモリに記憶される。
なお、車両通信装置１００が複数のプロセッサ１４０を備えて、複数のプロセッサ１４０が車両アクセス制御プログラムを連携して実行してもよい。また、暗号化部１０１および復号部１０２は、暗号演算専用プロセッサを用いて実行してもよい。
メモリ１５０は、車両通信装置１００で使用、生成、入出力または送受信されるデータが記憶される。ただし、メモリ１５０以外の記憶機器を用いて、車両通信装置１００で使用、生成、入出力または送受信されるデータを記憶してもよい。

暗号化部１０１と復号部１０２と切替部１０３と制御部１０４の各部の「部」を「処理」、「手順」あるいは「工程」に読み替えてもよい。また暗号化処理と復号処理と切替処理と制御処理の「処理」を「プログラム」、「プログラムプロダクト」または「プログラムを記録したコンピュータ読取可能な記憶媒体」に読み替えてもよい。
車両アクセス制御プログラムは、上記の各部の「部」を「処理」、「手順」あるいは「工程」に読み替えた各処理、各手順あるいは各工程を、コンピュータに実行させる。また、車両アクセス制御方法は、車両通信装置１００が車両アクセス制御プログラムを実行することにより行われる方法である。
車両アクセス制御プログラムは、コンピュータ読取可能な記録媒体に格納されて提供されてもよい。また、車両アクセス制御プログラムは、プログラムプロダクトとして提供されてもよい。

図３を用いて、本実施の形態に係る車両２００の構成について説明する。
車両２００には、互いに通信する少なくとも２つ以上のＥＣＵ２０２が搭載されている。少なくとも２つ以上のＥＣＵ２０２は、ＣＡＮあるいはＦｌｅｘＲａｙといった通信プロトコルに準拠した車載ネットワーク２０１を介して、互いに接続される。

図４を用いて、本実施の形態に係る管理装置３００の構成について説明する。
管理装置３００は、プロセッサ３１０、メモリ３３０、通信部３５０、および鍵書込み部３７０といったハードウェアを備えるコンピュータである。プロセッサ３１０、メモリ３３０、および通信部３５０のハードウェア構成は、車両通信装置１００のプロセッサ１４０、メモリ１５０、および通信部１７０と同様である。ただし、車両通信装置１００は組み込み機器向けのコンピュータであるのに対し、管理装置３００はサーバとしての機能を果たすコンピュータである。よって、管理装置３００は車両通信装置１００よりはるかに計算能力の高いコンピュータである。

プロセッサ３１０は、暗号鍵生成部３０１と暗号処理部３０２と管理部３０３を備える。暗号鍵生成部３０１は、アクセス権付き暗号処理に必要な複数の鍵を生成する。暗号鍵生成部３０１は、アクセス権付き暗号鍵生成部ともいう。暗号鍵生成部３０１は、マスタ鍵生成部３１２とユーザ秘密鍵生成部３１３を備える。マスタ鍵生成部３１２は、マスタ鍵生成を行う。ユーザ秘密鍵生成部３１３は、ユーザ秘密鍵生成を行う。
暗号処理部３０２は、暗号化部３１５と復号部３１６を備える。暗号化部３１５は、アクセス権付き暗号化を行う。復号部３１６は、アクセス権付き復号処理を行う。暗号処理部３０２は、アクセス権付き暗号処理部ともいう。
管理部３０３は、ユーザ管理処理を行う。

メモリ３３０には、マスタ鍵データベース３３１とユーザ管理データベース３３２と復号条件データベース３３３が記憶される。
通信部３５０は、ネットワーク４００を介してベンダサーバ８００および車両通信装置１００と通信する。
鍵書込み部３７０は、ユーザ秘密鍵生成部３１３が生成したユーザ秘密鍵といった情報をＩＣカード６００に書き込む。

図５を用いて、本実施の形態に係るＩＣカード６００の構成について説明する。
ＩＣカード６００は、プロセッサ６１０と、メモリ６２０と、通信部６３０とを備える。通信部６３０はＩＣカード６００で使用するデータを通信する。プロセッサ６１０、メモリ６２０、および通信部６３０のハードウェア構成は、車両通信装置１００のプロセッサ１４０、メモリ１５０、および通信部１７０と同様である。
プロセッサ６１０は、復号部６０１を備える。復号部６０１は、アクセス権付き復号部ともいう。
メモリ６２０は、ＩＣカード６００で使用するデータを記憶する。具体的には、メモリ６２０はユーザＩＤ６０３、アクセス権情報６０４、およびユーザ秘密鍵６０５を記憶する。
通信部６３０は、ＩＣカード６００で使用するデータを通信する。具体的には、通信部６３０は、ＩＣカード６００の発行時あるいは更新の際に、管理装置３００からユーザＩＤ６０３とアクセス権情報６０４とユーザ秘密鍵６０５を受信する。また、通信部６３０は、車両通信装置１００との間で車両アクセス制御に必要な送受信を行う。

図６は、本実施の形態に係るマスタ鍵データベース３３１の詳細を示した例である。
マスタ鍵データベース３３１には、複数のマスタ鍵セット３９０が含まれる。マスタ鍵セット３９０は、マスタ公開鍵３９１とマスタ秘密鍵３９２とマスタ鍵ＩＤ３９３のセットである。
図７は、本実施の形態に係るユーザ管理データベース３３２の詳細を示した例である。
ユーザ管理データベース３３２には、行番号、ユーザＩＤ、登録日時、アクセス権情報、マスタ鍵ＩＤ、鍵ＩＤ、および鍵ＩＤに紐付けられたユーザ秘密鍵といったユーザ管理データ３９５が含まれる。発行したユーザＩＤに対する鍵ＩＤ、ユーザ秘密鍵を生成するために用いられたマスタ鍵に紐付けるマスタ鍵ＩＤ、鍵データを管理装置上で登録、更新あるいは失効といったライフサイクルを一元管理するために用いられる。また、ユーザ管理データ３９５は、ユーザのアクセス権情報およびユーザ秘密鍵についても、そのＩＤ、登録日時および鍵データの情報を含んでいる。すなわち、ユーザ管理データベース３３２は、ユーザ秘密鍵の登録と管理を行うためにも用いられる。

アクセス権情報は、ユーザの権限を表す情報である。具体的には、アクセス権情報は、車の所有者である、所有者ではないが家族である、ディーラーの社員である、ディーラーの契約社員である、サプライヤである、あるいは、Ａである、Ｂであるの他にも、Ａ且つＢであるというように、ユーザに係る複数の属性情報を設定することができる。すなわち、アクセス権情報、すなわち属性情報は複数設定することが可能である。

図８は、本実施の形態に係る復号条件データベース３３３の詳細を示した例である。
復号条件データベース３３３は、暗号化されたデータを復号する復号条件を表す復号条件データ３９４を含む。復号条件データベース３３３は、複数の復号条件データ３９４を含む。復号条件データ３９４には、復号条件ＩＤと、ヘッダ情報と、少なくとも１つの属性情報とが設定されている。復号条件データベース３３３には、ユーザＩＤ、登録日時、属性情報、鍵ＩＤ、ユーザ秘密鍵といった情報を含んでいる。

＊＊＊動作の説明＊＊＊
車両アクセス制御システム１０による車両アクセス制御方法について説明する。車両アクセス制御システム１０の動作は車両アクセス制御方法に相当する。また、車両アクセス制御方法の手順は車両アクセス制御プログラムによる処理の手順に相当する。

＜車両アクセス制御処理＞
図９を用いて、本実施の形態に係る車両アクセス制御処理の手順について説明する。
車両アクセス制御処理は、暗号鍵生成処理と、暗号化処理と、アクセス制御処理と、ログ出力処理と、ユーザ管理処理とを有する。

ステップＳ１００の暗号鍵生成処理において、管理装置３００の暗号鍵生成部３０１は、マスタ公開鍵、マスタ秘密鍵、およびユーザ秘密鍵といった暗号鍵の生成を行う。そして、管理装置３００は、暗号鍵の設定、格納、および配布を行う。管理装置３００は、ユーザＩＤを発行する処理として、生成した暗号鍵をＩＣカードあるいは管理装置３００のデータベースに書き込む。ステップＳ１００は、システムの運用稼動前であり、ユーザの新規登録時に実施される処理である。具体的には、ステップＳ１００は、車両２００および車両通信装置１００の製造時、ユーザへのＩＣカード提供時、あるいは、車載機能の更新時に実施される。

ステップＳ２００の暗号化処理において、管理装置３００の暗号化部３１５は、車両の機能である車載機能の実行に用いられる車載機能情報を暗号化データとして暗号化する。暗号化部３１５は、暗号化データに復号条件を埋め込んで暗号化する。具体的には、暗号化部３１５は、車載機能に用いられる車載機能プログラムおよびデータの暗号化を実行する。管理装置３００は、暗号化した車載機能プログラムおよびデータを、管理装置３００あるいは車両２００に記憶する。
車載機能の例として、デバッグ機能あるいはカーシェアリング機能がある。デバッグ機能といった車載機能に用いられる車載機能プログラムおよびデータについては、暗号化データが予め車両２００にダウンロードされる。一方、カーシェアリング機能といった車載機能に用いられる車載機能プログラムおよびデータについては、車載機能の使用時に、暗号化データがベンダサーバ８００あるいは管理装置３００から車両２００にダウンロードされる。
ステップＳ２００は、車両２００および車両通信装置１００の製造時、あるいは車載機能の更新時に実施される。

ステップＳ３００のアクセス制御処理において、車両通信装置１００は、ユーザからのアクセス要求を受け付け、アクセス権付き復号処理を行う。ステップＳ３００は、車両２００が製品として市場で販売された後、所有者あるいはその他のユーザによる使用時に実施される。

ステップＳ４００のログ出力処理において、車両通信装置１００は、ユーザからのアクセス要求を受け付け、ステップＳ３００を実行したのち、アクセス権付き暗号化処理を行う。ステップＳ４００は、車両２００が製品として市場で販売された後、保守および修理、あるいは不具合解析といった処理を担当するディーラーおよびサプライヤによる使用時に実施される処理である。なお、所有者を含む一般ユーザは、通常、ログ出力処理を実施する必要がないため、実施する権限が与えられない。

ステップＳ５００のユーザ管理処理において、管理装置３００の管理部３０３は、ユーザの新規追加あるいは失効の際に必要な処理を行う。また、管理部３０３は、カードを再発行する際にはステップＳ１００からの処理を実施するように制御する。

ここで、アクセス権付き暗号方式について説明する。
アクセス権付き暗号方式で用いるユーザ秘密鍵６０５は、復号を可能とする条件である復号条件を満たす属性に関連付けて生成される。アクセス権付き暗号方式は、ユーザ秘密鍵６０５を用いて復号することができるように、データを暗号化する暗号方式である。ここで、復号条件とは、復号可能者が有する属性に関する条件である。復号可能者は、暗号化されたデータを復号することが許可された者、すなわち復号可能グループに属する者である。
アクセス権付き暗号方式の一例として「関数型暗号」と呼ばれる暗号方式がある。関数型暗号では、復号可能者の属性を表す属性値を用いた論理式を復号条件として指定することができる。具体的には、「属性値ａ ＡＮＤ 属性値ｂ」「属性値ａ ＯＲ 属性値ｂ」といった論理式を復号条件として指定することができる。以下、復号条件を示すデータをアクセス権情報６０４という。

＜＜暗号鍵生成処理＞＞
図１０を用いて、本実施の形態に係るステップＳ１００の暗号鍵生成処理の手順について説明する。
ステップＳ１０１において、マスタ鍵生成部３１２は、マスタ公開鍵３９１とマスタ秘密鍵３９２の鍵ペアを生成する。そして、マスタ鍵生成部３１２は、その鍵ペアに対してマスタ鍵ＩＤ３９３を付与する。マスタ公開鍵３９１とマスタ秘密鍵３９２の鍵ペアと、マスタ鍵ＩＤ３９３とのセットをマスタ鍵セット３９０という。
ステップＳ１０２において、マスタ鍵生成部３１２は、マスタ鍵セット３９０をマスタ鍵データベース３３１に登録し、マスタ鍵データベース３３１を更新する。
ステップＳ１０３において、ユーザ秘密鍵生成部３１３は、ユーザ管理データベース３３２から、ユーザ毎のアクセス権情報を取得する。ユーザ秘密鍵生成部３１３は、マスタ秘密鍵３９２を用いて、ユーザ毎のアクセス権情報に基づいたユーザ秘密鍵を生成する。具体的には、ユーザ秘密鍵生成部３１３は、ユーザのアクセス権情報を埋め込んだユーザ秘密鍵をユーザ毎に生成する。
ステップＳ１０４において、ユーザ秘密鍵生成部３１３は、ユーザ管理データベース３３２にユーザ秘密鍵を登録し、ユーザ管理データベース３３２を更新する。
ステップＳ１０５において、鍵書込み部３７０により、ユーザ秘密鍵がＩＣカードに書き込まれることで、ユーザ秘密鍵がユーザに配布される。具体的には、鍵書込み部３７０は、ユーザＩＤとアクセス権情報とユーザ秘密鍵を、ユーザＩＤ６０３とアクセス権情報６０４とユーザ秘密鍵６０５としてＩＣカード６００に書き込む。

＜＜暗号化処理＞＞
図１１を用いて、本実施の形態に係るステップＳ２００の暗号化処理の手順について説明する。
ステップＳ２０１において、管理装置３００の管理部３０３は、通信部３５０により、ネットワーク４００を経由、あるいはメディアを用いて、ベンダサーバ８００から車載機能情報を取得する。そして、暗号処理部３０２は、管理部３０３から車載機能情報を取得する。車載機能情報には、車載機能を使用可能にする車載機能プログラムおよびデータを含む。
ステップＳ２０２において、暗号化部３１５は、メモリ３３０からマスタ公開鍵３９１と復号条件データベース３３３を取得する。暗号化部３１５は、マスタ公開鍵３９１と復号条件データベース３３３を用いて車載機能情報を暗号化する。暗号化部３１５は、暗号化した車載機能情報を暗号化データ１０６として生成する。具体的には、暗号化部３１５は、復号条件データベース３３３から、車載機能情報を暗号化する際に埋め込む復号条件データ３９４を取得する。そして、暗号化部３１５は、マスタ公開鍵３９１を用いて、復号条件データ３９４を埋め込んで暗号化した車載機能情報を暗号化データ１０６として生成する。
ステップＳ２０３において、管理部３０３は、暗号化データ１０６を車両通信装置１００に配布する。具体的には、管理部３０３は、通信部３５０によりネットワーク４００を介して、暗号化データ１０６を車両通信装置１００に書き込む。通信部３５０は、車両通信装置１００に暗号化データ１０６を送信する。

ステップＳ２００の暗号化処理は、車両の製品ライフサイクルにおいて、車両および車両通信装置の製造時、車載機能プログラムの更新時、あるいはサービス提供時といった時点に実施される。
ステップＳ２００の暗号化処理を製造時に実施した後、車に搭載されている車載機能プログラムが更新される場合、ステップＳ２００の暗号化処理が改めて実施される。あるいは、ＩＣカードを再度発行するといった再暗号化が必要な場合は、ステップＳ２００の暗号化処理が改めて実施される。なお、ステップＳ２０３が、ステップＳ２０２のすぐ後に実施されるとは限らない。暗号化データ１０６が管理装置３００あるいはベンダサーバ８００に保管され、必要に応じて車両通信装置１００にダウンロードされる形態もある。

＜＜アクセス制御処理＞＞
図１２を用いて、本実施の形態に係るステップＳ３００のアクセス制御処理の手順について説明する。
ステップＳ３１０において、車両通信装置１００は、アクセス制御前処理を実行する。車両通信装置１００は、ユーザから車載機能に対するアクセス要求を受け付ける。そして、車両通信装置１００は、アクセス権付き復号処理を実行する。
まず、アクセス制御前処理の概要について説明する。
車両通信装置の補助記憶装置１６０には、車載機能の実行に用いられる車載機能情報を暗号化した暗号化データ１０６が記憶されている。暗号化データ１０６には、復号条件が埋め込まれている。
制御部１０４は、車載機能を使用するユーザから、車載機能の使用を要求するアクセス要求を受け付ける。アクセス要求には、ユーザの属性を表すアクセス権情報が埋め込まれたユーザ秘密鍵が含まれる。制御部１０４は、ユーザにより、ユーザ秘密鍵が記憶されたデバイス７００、すなわちＩＣカード６００に接続されることにより、アクセス要求を受け付ける。
復号部１０２は、アクセス要求に含まれるユーザ秘密鍵を用いて、アクセス権情報が復号条件に合致する場合に暗号化データ１０６から復号結果として車載機能情報１０５を得る。
そして、車両通信装置１００に設けられたメモリ１５０に、復号部１０２により得られた車載機能情報１０５を記憶する。
切替部１０３は、復号部１０２により得られた車載機能情報１０５を用いて、車載機能を実行可能にする。

図１３を用いて、実施の形態に係るアクセス制御前処理の手順について説明する。
ステップＳ３１１において、車両通信装置１００には、ユーザによりＩＣカード６００が接続される。車両２００を直接操作するユーザが、そのユーザが所有するＩＣカード６００を車両通信装置１００に接続する。ここで、車両２００を直接操作するユーザとは、具体的には、保守あるいは整備に関係する操作を実施する場合には、ディーラーあるいはサプライヤもしくはそれに準ずる組織に所属する者である。接続方法は、接触あるいは非接触を問わないが、通信路および通信プロトコルはセキュリティ上の保護がなされている。
ステップＳ３１２において、入力装置１９０あるいは表示部１８０は、ユーザから、使用対象の車載機能の指定を受け付ける。あるいは予め使用対象の車載機能が固定で決まっており指定する必要がない場合には、ステップＳ３１２はスキップする。
ステップＳ３１３において、車両通信装置１００の制御部１０４は、ＩＣカード６００から、セキュリティ上の保護がなされた通信路を介した安全な受け渡しによりユーザ秘密鍵６０５を取得する。
ステップＳ３１５において、車両通信装置１００の復号部１０２は、ユーザ秘密鍵６０５を用いて、指定の車載機能に相当する暗号化データ１０６の復号を行う。
ステップＳ３２０において、制御部１０４は、暗号化データ１０６を復号できたか否かを判定する。具体的には、復号部１０２は、ユーザ秘密鍵６０５に埋め込まれたユーザのアクセス権情報が、暗号化データ１０６に埋め込まれた復号条件に合致した場合に、復号結果として車載機能情報１０５を得る。制御部１０４は、復号部１０２により車載機能情報１０５が得られた場合に復号できたと判定する。一方、制御部１０４は、復号部１０２により車載機能情報１０５が得られない場合に復号できなかったと判定する。復号できた場合は、ステップＳ３２５に進む。復号できた場合には、復号部１０２により得られた車載機能情報１０５はメモリ１５０に記憶される。復号できなかった場合、処理を終了する。
ステップＳ３２５において、切替部１０３は、復号部１０２により得られた車載機能情報１０５を用いて、車載機能を実行可能にする。切替部１０３は、車載機能をプログラムに組込み、車載機能を実行可能な状態にする。

次に、図１２に戻り、説明を続ける。
ここで、ステップＳ３３０からステップＳ３５０の処理の概要について説明する。
制御部１０４は、ユーザによる車載機能の使用が終了したと判定すると、車載機能情報１０５をメモリ１５０から消去し、ユーザによる車載機能の使用を不可とする。また、制御部１０４は、ユーザにより車載機能が使用中であると判定すると、車載機能の利用可能期間であるか否かを判定する。そして、制御部１０４は、車載機能の利用可能期間外であると判定すると、車載機能情報１０５をメモリ１５０から消去し、ユーザによる車載機能の使用を不可とする。

ステップＳ３３０において、制御部１０４は、車載機能が利用可能か否かを判定し、利用可能であれば、ステップＳ３３１に進む。制御部１０４により車載機能が利用可能でないと判定されると、処理を終了する。
ステップＳ３３１において、車載機能がユーザにより利用される。
ステップＳ３４０において、ユーザの利用が終了したことが確認されると、ステップＳ３６０に進む。ユーザが利用中であれば、ステップＳ３５０に進む。
ステップＳ３５０において、制御部１０４は、現在日時が利用可能期間外か否かを判定し、現在日時が利用可能期間外であれば、ステップＳ３６０に進む。現在日時が利用可能期間外でなければ、ステップＳ３４０に戻り、再度、車載機能の利用が終了したか否かを判定する。利用可能期間は、車載機能ごとに予め決められた期間である。具体的には、利用可能期間は、利用開始を基点とした所定時間、あるいは、予め設定された日時の期間である。利用可能期間を設けることで、車載機能が不必要に長い期間に渡って有効化されることが抑制される。
ステップＳ３６０において、車両通信装置１００は、アクセス権制御後処理を実行する。

図１４を用いて、実施の形態に係るアクセス制御後処理の手順について説明する。
ステップＳ３６１において、制御部１０４は、プログラムに組み込んだ車載機能を消去し、車載機能が実行不可能な状態にする。

＜＜ログ出力処理＞＞
図１５を用いて、本実施の形態に係るステップＳ４００のログ出力処理の手順について説明する。
ステップＳ３１０は、図１２で説明したステップＳ３１０と同様である。ステップＳ３１０により、車両２００を直接操作するユーザに対して、車載機能の一つであるログ出力機能が有効になる。車両２００を直接操作するユーザとは、上述したように、保守あるいは整備に関係する操作を実施する場合には、ディーラーあるいはサプライヤもしくはそれに準ずる組織に所属する者である。なお、所有者を含む一般ユーザは、通常、ログ出力処理を実施する必要がないため、実施する権限が与えられない。

ステップＳ４２０において、車両通信装置１００の暗号化部１０１は、マスタ公開鍵１０７と復号条件データ１０８を取得し、ログデータ１０９を暗号化し暗号化データ１０６を生成する。
ステップＳ４３０において、車両通信装置１００の出力機器は、ログの暗号化データ１０６をＵＳＢスティックといった記憶メディアに書き込む。これにより、ユーザは暗号化されたログの暗号化データ１０６を取得することができる。また、ユーザは、ログの暗号化データ１０６が格納された記憶メディアを車両外に取り出すことができる。

ステップＳ３６０は、図１２で説明したステップＳ３６０と同様である。ステップＳ３６０において、制御部１０４は、プログラムに組み込んだ車載機能、すなわちログ出力機能を消去し、ログ出力機能が実行不可能な状態にする。なお、ステップＳ３６０はステップＳ４２０の後であれば、ステップＳ４３０より前に実施されてもよい。
次に、ステップＳ４４０において、ログの暗号化データ１０６に対してデータ復号処理が実行される。

図１６を用いて、本実施の形態に係るステップＳ４４０のデータ復号処理の手順について説明する。ここでは、ログビューアーといった開発用環境を備えた専用ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）が、データ復号処理を実行するものとする。
ステップＳ４４１において、ユーザによりＩＣカード６００が専用ＰＣに接続される。
ステップＳ４４２において、復号部６０１が、ユーザ秘密鍵６０５を取得し、暗号化データ１０６をログデータ１０９に復号する。正常に復号できた場合、ステップＳ４４４において、専用ＰＣにログデータ１０９を出力する。これにより、ユーザはログデータを参照することができる。正常に復号できない場合、処理を終了する。復号する処理は、機能の実施場所が異なるだけでステップＳ３１５と同様である。専用ＰＣは車両通信装置１００あるいはＩＣカード６００より計算能力の高いコンピュータのため、問題なく処理することが可能である。なお、復号処理は、ＩＣカードより計算能力の高いスマートフォンあるいはタブレットで実行されてもよい。

＜＜ユーザ管理処理＞＞
図１７を用いて、本実施の形態に係るステップＳ５００のユーザ管理処理の手順について説明する。
ステップＳ５０１において、管理部３０３は、新規ユーザの追加を行うか否かを判定する。新規にユーザを追加して登録を行う場合には、ステップＳ５１０に進む。
ステップＳ５０２において、管理部３０３は、既存ユーザの無効化あるいは有効化を行うか否かを判定する。すなわち、管理部３０３は、既存ユーザの復号条件を変更するか否かを判定する。既存ユーザの復号条件を変更する場合には、ステップＳ５２０に進む。これにより、これまで使用を許可されていた特定の属性あるいは人物だけに対して、機能使用の権限を失効させることができる。
ステップＳ５０３において、管理部３０３は、既存ユーザのアクセス権情報を変更するか否かを判定する。既存ユーザのアクセス権情報を変更する場合には、ステップＳ５３０に進む。

図１８を用いて、本実施の形態に係るステップＳ５１０の新規ユーザ登録処理の手順について説明する。
ステップＳ５１１において、管理部３０３は、ユーザ管理データベース３３２に、新規ユーザのユーザ管理データ３９５を生成する。
そして、ステップＳ１０３において、ユーザ秘密鍵生成部３１３は、マスタ秘密鍵３９２を用いて、新規ユーザのアクセス権情報に基づいたユーザ秘密鍵を生成する。ステップＳ１０４において、ユーザ秘密鍵生成部３１３は、新規ユーザのユーザ管理データ３９５にユーザ秘密鍵を登録して更新する。ステップＳ１０５において、鍵書込み部３７０は、ユーザＩＤとアクセス権情報とユーザ秘密鍵を、ユーザＩＤ６０３とアクセス権情報６０４とユーザ秘密鍵６０５としてＩＣカード６００に書き込む。ステップＳ１０３からステップＳ１０５は、図１０と同様である。
ステップＳ５１５において、ＩＣカード６００が新規ユーザに配布される。なお、既存の車両アクセス制御システム１０に新規ユーザを追加する場合、管理装置３００のユーザ管理データベース３３２への登録と新しいＩＣカード６００の発行が必要である。しかし、車両２００および車両通信装置１００のデータに対する変更は一切必要としない。

図１９を用いて、本実施の形態に係るステップＳ５２０の復号条件変更処理の手順について説明する。
ステップＳ５２１において、管理部３０３は、暗号対象に対する復号条件を変えるために、復号条件データ３９４を変更し、復号条件データベース３３３を更新する。
ステップＳ２０１において、管理部３０３は、復号条件変更に応じて再暗号化を行うために、ベンダサーバ８００から車載機能情報を取得する。車載機能情報と復号条件との対応付けは、管理装置３００により管理される。ステップＳ２０２において、暗号処理部３０２が、マスタ公開鍵３９１と変更後の復号条件データ３９４とを用いて、車載機能情報を暗号化し、暗号化データ１０６として生成する。暗号化データ１０６には、復号条件データ３９４により表された復号条件が埋め込まれる。ステップＳ２０３において、管理部３０３は、通信部３５０により、暗号化データ１０６を車両通信装置１００に書き込む。ステップＳ２０１からステップＳ２０３は、図１１と同様である。
ステップＳ５２３において、管理部３０３は、ステップＳ５２１の更新にともない車両２００の復号条件データ１０８にも変更が必要か否かを判定する。車両２００の復号条件データ１０８にも変更が必要な場合には、ステップＳ５２４において、管理部３０３は、復号条件データ３９４を復号条件データ１０８として車両通信装置１００に書込む。

図２０を用いて、本実施の形態に係るステップＳ５３０の既存ユーザ情報変更処理の手順について説明する。
ステップＳ５３１において、管理部３０３は、ユーザ管理データ３９５のアクセス権情報を変更する。
ステップＳ５３２において、ユーザ秘密鍵生成部３１３は、マスタ秘密鍵３９２と変更したアクセス権情報を用いて、ユーザ秘密鍵６０５を生成する。
ステップＳ１０４において、ユーザ秘密鍵生成部３１３は、ユーザ管理データ３９５にユーザ秘密鍵を登録し、ユーザ管理データベース３３２を更新する。ステップＳ１０４は、図１０と同様である。
ステップＳ５３４において、鍵書込み部３７０は、ＩＣカード６００にアクセス権情報６０４とユーザ秘密鍵６０５を書き込み、ＩＣカード６００を更新する。
ステップＳ５３５において、更新後のＩＣカード６００が既存ユーザに配布される。

＊＊＊他の構成＊＊＊
＜変形例１＞
図２１は、本実施の形態の変形例に係るステップＳ３１０ａのアクセス制御処理の手順を示す図である。
本実施の形態では、ステップＳ３１０のアクセス制御前処理において、車載機能情報の復号処理を車両通信装置１００の復号部１０２で実施している。変形例として、ＩＣカード６００の復号部６０１が、車載機能情報の復号処理を実行してもよい。
図２１のアクセス制御処理では、図１３のステップＳ３１３とステップＳ３１５とステップＳ３２０に替わり、ステップＳ３１４とステップＳ３１６とステップＳ３２０ａを有する。また、ステップＳ３２０ａとステップＳ３２５の間に、ステップＳ３２１を有する。
ステップＳ３１４において、ＩＣカード６００が、車両通信装置１００から指定の車載機能に相当する暗号化データ１０６を取得する。
ステップＳ３１６において、ＩＣカード６００の復号部６０１は、暗号化データ１０６を復号する。
ステップＳ３２０ａにおいて、ＩＣカード６００が復号できたか否かを判定し、復号できた場合は、ステップＳ３２１に進む。復号できなかった場合、処理を終了する。
ステップＳ３２１において、車両通信装置１００が、ＩＣカード６００から復号後の車載機能情報１０５を取得する。その他の処理は、図１３と同様である。

車両通信装置１００とＩＣカード６００間のデータ通信は、セキュリティ上の保護がなされた通信路を介し安全な受け渡しにより行われる。ユーザ秘密鍵６０５はＩＣカード６００内に存在する。計算能力が充分であれば、復号処理はＩＣカード６００あるいは、車両通信装置１００のどちらで実施してもよい。また、復号処理を他の装置に委譲する復号委譲方式を用いれば、ＩＣカード６００と車両通信装置１００との両者の計算リソースを使って復号処理を実施してもよい。

＜変形例２＞
本実施の形態では、車両通信装置１００と管理装置３００との各装置の構成要素の機能がソフトウェアで実現されるが、変形例として、車両通信装置１００と管理装置３００との各装置の構成要素の機能がハードウェアで実現されてもよい。すなわち、車両通信装置１００と管理装置３００との各装置は、プロセッサの替わりに電子回路を備えていてもよい。以下では、車両通信装置１００と管理装置３００との各装置を単に各装置という。
電子回路は、各装置の構成要素の機能を実現する専用の電子回路である。
電子回路は、具体的には、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＡＳＩＣ、または、ＦＰＧＡである。ＧＡは、Ｇａｔｅ Ａｒｒａｙの略語である。ＡＳＩＣは、Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略語である。ＦＰＧＡは、Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略語である。
各装置の構成要素の機能は、１つの電子回路で実現されてもよいし、複数の電子回路に分散して実現されてもよい。
別の変形例として、各装置の構成要素の一部の機能が電子回路で実現され、残りの機能がソフトウェアで実現されてもよい。

プロセッサと電子回路の各々は、プロセッシングサーキットリとも呼ばれる。つまり、各装置の構成要素の機能は、プロセッシングサーキットリにより実現される。

＊＊＊本実施の形態の効果の説明＊＊＊
車載システムにおいて、第三者が車載装置に搭載された車載機能を悪用して車両に攻撃する手法が知られている。車載機能のうちのデバッグ機能は、プログラムの実行およびメモリへのアクセスを可能にする。このため、デバッグ機能は、攻撃者にとって効率的なアタック経路であり、リスクの高い攻撃となり得る。そこで、許可されていない人物による不正な車載機能の利用を抑制することが求められている。具体例として、特別な入力操作により特殊モードへ遷移した後に、ユーザには開示していない限定機能へのアクセスが可能になるといった仕組みがある。この仕組みは、操作を知れば誰でも使用することが可能になる。よって、この仕組みは、セキュリティを考慮した車両アクセス制御とはいえない。
ここで、通常の技術を用いてユーザに応じた車載機能への車両アクセス制御を実現しようとすると、まずユーザを識別して認証する必要がある。このため、全ユーザをリスト化したデータベースが必要になる。そのデータベースは、車両内に持つ方法と、あるいはクラウド上のサーバであるクラウドサーバに持つ方法の２通りが考えられる。２通りの方法のそれぞれには、以下のような問題がある。
（１）車両にデータベースを持たせると、ユーザの追加あるいは失効に応じてデータベースの情報を変更するという更新を、全車両に対して行う必要がある。データベースのサイズは考慮しない、および、更新はソフトウェア更新と併せて実施可能、とした場合でも、運用が困難である。
（２）クラウドサーバにデータベースを持たせると、データベースの更新といった運用は（１）に比べて容易になる。しかし、利用の都度、クラウドサーバとの通信が必要となる。よって、ＴＡＴ（Ｔｕｒｎ Ａｒｏｕｎｄ Ｔｉｍｅ）が長くなる。また、常にネットワーク環境があるとは限らず、ネットワーク環境がなければ利用できないため利便性が悪い。

本実施の形態に係る車両アクセス制御システム１０によれば、ユーザ管理データベースは管理装置が管理する。よって、本実施の形態に係る車両アクセス制御システム１０によれば、上述の（１），（２）のような問題を解決したできる。また、本実施の形態に係る車両アクセス制御システム１０によれば、許可されていない人物による不正な車載機能の利用を抑制することができる。すなわち、許可された人物にのみ、許可された車載機能の利用をさせることができる。よって、本実施の形態に係る車両アクセス制御システム１０によれば、車載システムの安全性および利便性を向上させることができる。

本実施の形態に係る車両アクセス制御システム１０によれば、暗号化データは車両通信装置に格納されるが、車載機能情報は車両通信装置に格納されない。そのため、車載機能情報は外部からの攻撃者あるいは悪意のある第三者から保護される。また、権限をもたない人物による車載機能の利用を抑制することができる。権限をもたない者とは、許可されない属性の者であり、攻撃者あるいは悪意のある第三者を含む者である。すなわち、許可された属性以外の者である。よって、本実施の形態に係る車両アクセス制御システム１０によれば、車両通信装置において安全性を確実に向上させることができる。

さらに、本実施の形態に係る車両アクセス制御システム１０による効果について説明する。
車両通信装置において、ユーザがデバッグ機能を使うとき、その人物が持つユーザ秘密鍵が復号可能者の属性に相当する場合に限り、暗号化された状態で格納されている車載機能のプログラムが復号される。すなわち、ユーザが持つユーザ秘密鍵が復号可能者の属性に相当する場合に限り、ユーザは目的のデバッグ機能を使用できる。そのため、復号条件に合致しない属性のユーザ、および、正しいユーザ秘密鍵を持たない第三者あるいは攻撃者は、デバッグ機能を使うことができないため、デバッグ機能を悪用した攻撃を防ぐことができる。

対象のデバッグ機能は通常は暗号化されている。よって、本実施の形態に係る車両アクセス制御システム１０によれば、第三者のリバースエンジニアリングによる解析を極めて困難にすることができる。
また、本実施の形態に係る車両アクセス制御システム１０では、車両通信装置のアクセス権暗号化機能を利用することで、許可された人物のみがログの内容を閲覧できるようにログを暗号化する。車両から車外へ出力するデータに対してアクセス権を付けることができる。

なお、ユーザに応じて機能利用を許可する、あるいは、許可しない、という権限を分けるようにしたい車載機能として、デバッグ機能は一例であって、デバッグ機能だけに限らず適用が可能である。アクセスを制限する対象となる車載機能は、車両通信装置が有する機能であれば何でもよい。それゆえ、車両を複数のユーザがシェアするような利用形態あるいはサービスにおいて、ユーザに応じた車載機能を提供することができる。ユーザがシェアするような利用形態には、具体例として、カーレンタル、あるいはカーシェアリングといったサービスがある。

「関数型暗号」では、暗号文とその暗号文を復号する鍵とに属性情報あるいはアクセス権限を制御する条件文を組み込むことができる。このため、ユーザの属性の判別あるいは認証を実施する際に必要であったデータベースが不要である。よって、本実施の形態に係る車両アクセス制御システム１０では、データベースの更新に伴うメンテナンスコストを削減することができる。

ユーザを識別する方式として、ＩＣカードの他にも車載システムに接続可能なスマートフォン、ＰＣタブレット、あるいはＵＳＢ型トークンといった技術を用いることができる。よって、本実施の形態に係る車両アクセス制御システム１０では、車載システムへの要件に応じて複数の選択肢からユーザを識別する方式を選択することができる。

本実施の形態は、車以外に、空調、複写機あるいは複合機、入退場管理、工場、発電プラント、鉄道、および衛星といったシステムに適用できる。これらのシステムにおいても、デバッグ機能および保守機能が車載システムと同様に搭載されており、その使用が許されるのは特定の人物に限られるべきであることは車載システムと同様である。また、デバッグ機能に限らずに適用が可能であることも同様である。

実施の形態２．
本実施の形態では、主に、実施の形態１と異なる点について説明する。なお、実施の形態１と同様の構成には同一の符号を付し、その説明を省略する場合がある。

近年、ＯＴＡ（Ｏｖｅｒ Ｔｈｅ Ａｉｒ）によりソフトウェアを更新して、不具合を修正したり機能追加したりする技術が実施されている。この技術は、自動車においても標準的になりつつある。よって、自動車には、ＯＴＡによりソフトウェアを更新するソフトウェア更新機能が搭載されている場合が多い。
実施の形態１では、予め車両通信装置１００のメモリ内に存在する車載機能プログラムをアクセス制御の対象にしている。車載機能プログラムは上述したように車載機能情報の例である。この車載機能プログラムも、上記ＯＴＡにより必要に応じて適宜ソフトウェア更新が実施される。この場合、暗号化されておくべき車載機能プログラムは、ユーザが使用する以前に暗号化された状態で車両通信装置１００のメモリ内に存在している。したがって、車載機能プログラムは基本的に固定であって、車載機能プログラムの更新のときに、管理装置３００からネットワーク経由で更新プログラムがダウンロードされる。管理装置３００は、鍵生成、あるいは、ユーザＩＤおよび鍵の配布といった鍵およびユーザの管理を実施する。鍵およびユーザの管理以外には、ユーザのアクセス要求に対するアクセス制御処理の実施に管理装置３００が直接関与することはない。

本実施の形態では、実施の形態１で実現する動作に加えて、管理装置３００がユーザの要求に応じてサービスを提供する。すなわち、本実施の形態では、実施の形態１で実現する動作に加えて、管理装置３００がオンデマンドでサービスを提供する。そのため、暗号化された車載機能プログラムは、車両通信装置１００に予め記憶されているだけでなく、ユーザが使用しようするときになってはじめて、ネットワークを介して車両２００にダウンロードされる場合もある。

図２２は、本実施の形態に係る管理装置３００ａの構成を示す図である。
図２２の管理装置３００ａでは、図４の管理装置３００の構成に加え、暗号化部３１５で暗号化された車載機能情報を、暗号化データ１０６として記憶する補助記憶装置３４０を備える。
本実施の形態では、車両通信装置１００の制御部１０４は、アクセス要求を受け付けると、管理装置３００から暗号化データ１０６をダウンロードする。

実施の形態１と異なる点は、以下の点である。
アクセス権付き暗号化された車載機能プログラムは、管理装置３００、ベンダサーバ８００、あるいはサービスを提供するベンダサーバ装置に記憶されている。必要に応じて管理装置３００で暗号化された車載機能プログラムが管理装置３００から車両２００にダウンロードされ、車両通信装置１００に記憶される。もしくは、アクセス権付き暗号化がされていない平文の車載機能プログラムがベンダサーバ８００にあり、管理装置３００で平文の車載機能プログラムに対してアクセス権付き暗号化処理が実施される。その後、アクセス権付き暗号化データが管理装置３００から車両２００にダウンロードされ、車両通信装置１００に記憶される。アクセス権付き暗号化データが車両通信装置１００に記憶された後、それ以降の処理は、実施の形態１と同様である。

本実施の形態に係る車両アクセス制御システム１０の構成は、実施の形態１と同様である。ただし、本実施の形態では、オンデマンドで管理装置３００から車両２００へ暗号化データをダウンロードする。このため、車両アクセス制御システム１０の構成には、車両２００と管理装置３００といったサーバとが連携したクラウド型連携サービスに基づく各種サービスを提供するクラウドサーバが加わる。このクラウドサーバは、ベンダサーバ８００と同様である。

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態に係る車両アクセス制御システム１０によれば、管理装置３００といったサーバと連携したサービスを提供することができ、更に付加価値をつけることができる。具体例としては、複数の車を複数のユーザで使用するカーシェアリングの場合において、車を変えても使用者に応じた機能およびサービスを提供することができる。それにより、ユーザは異なる車（ハードウェア）を選んでも、提供されるデータ、機能、およびサービス（ソフトウェア）をユーザに応じて変えることができる。つまり、ユーザが異なるハードウェアを選んでも、提供されるソフトウェアをユーザに応じて変えることができる。それにより、ユーザはいつも一定のサービスを使用できるので、常に自家用車のような感覚で使うことができるという顕著かつ新たな効果が得られる。

ユーザ毎に異なるデータの例として、音楽データ、ナビ情報、およびアドレス帳といった個人のデータがある。本実施の形態に係る車両アクセス制御システム１０によれば、それらをクラウドからダウンロードしてくることで利用可能になる。そういった個人のデータには、完全に個々のデータ、あるいは、共有可能なデータがある。これらのデータに対するアクセス制御についても、アクセス権付き暗号化を用いることで、暗号化データ量を削減し暗号化処理に要する時間を短縮できる。これは、暗号化データをユーザ数だけ生成するのではなく共用できる場合があるからである。また、漏洩防止とプライバシ保護の効果が得られる。

また、カーシェアリングあるいはカーレンタルのサービスでは、料金に応じて提供するデータ、機能、あるいはサービスを変えることができる。よって、オプション料金を払えば運転補助機能、あるいは快適系機能の利用が可能になるような操作を実現することができる。運転補助機能の具体例には、自動パーキング、あるいは自動運転といった機能がある。快適系機能の具体例には、マッサージ機能椅子といった機能がある。ここでも、アクセス権付き暗号化データは１つ生成すればよく、ユーザの持つ鍵に応じて、復号処理が制御される。よって、属性情報の定義において、料金に応じて、プレミアム、レギュラー、およびエコノミーといったランク付けを属性情報に付与することで様々な組み合わせの復号条件に適用できる。このように、車載機能に対する車両アクセス制御を実現することが可能になる。
以上のように、サービス内容に応じた車両をそれぞれ別に用意する必要がないため管理およびメンテナンスを含めシステム全体のコストを削減することができる。また車両通信装置１００は共通化が図れるため車両製造のコストを下げることができる。

以上の実施の形態１および２では、車両アクセス制御システムの各装置の各部を独立した機能ブロックとして説明した。しかし、車両アクセス制御システムの各装置の構成は、上述した実施の形態のような構成でなくてもよい。車両アクセス制御システムの各装置の機能ブロックは、上述した実施の形態で説明した機能を実現することができれば、どのような構成でもよい。
また、実施の形態１および２のうち、複数の部分を組み合わせて実施しても構わない。あるいは、これらの実施の形態のうち、１つの部分を実施しても構わない。その他、これら実施の形態を、全体としてあるいは部分的に、どのように組み合わせて実施しても構わない。
すなわち、実施の形態１および２では、各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。

なお、上述した実施の形態は、本質的に好ましい例示であって、本発明の範囲、本発明の適用物の範囲、および本発明の用途の範囲を制限することを意図するものではない。上述した実施の形態は、必要に応じて種々の変更が可能である。

１０ 車両アクセス制御システム、１００ 車両通信装置、１０１ 暗号化部、１０２ 復号部、１０３ 切替部、１０４ 制御部、１０５ 車載機能情報、１０６ 暗号化データ、１０７ マスタ公開鍵、１０８ 復号条件データ、１０９ ログデータ、１４０，３１０，６１０ プロセッサ、１５０，３３０，６２０ メモリ、１６０ 補助記憶装置、１７０，３５０，６３０ 通信部、１８０ 表示部、１９０ 入力装置、２００ 車両、２０１ 車載ネットワーク、２０２ ＥＣＵ、３００ 管理装置、３０１ 暗号鍵生成部、３０２ 暗号処理部、３０３ 管理部、３１２ マスタ鍵生成部、３１３ ユーザ秘密鍵生成部、３１５ 暗号化部、３１６ 復号部、３３１ マスタ鍵データベース、３３２ ユーザ管理データベース、３３３ 復号条件データベース、３７０ 鍵書込み部、３９０ マスタ鍵セット、３９１ マスタ公開鍵、３９２ マスタ秘密鍵、３９３ マスタ鍵ＩＤ、３９４ 復号条件データ、３９５ ユーザ管理データ、４００ ネットワーク、５００ ユーザ、６００ ＩＣカード、６０１ 復号部、６０３ ユーザＩＤ、６０４ アクセス権情報、６０５ ユーザ秘密鍵、７００ デバイス、７３０ 携帯端末、７５０ ＵＳＢ型トークン、８００ ベンダサーバ。

Claims (12)

1. 車両に搭載された車載機能を提供する車両通信装置において、
   前記車載機能の実行に用いられる車載機能情報を暗号化した暗号化データであって、復号条件が埋め込まれた暗号化データを記憶する補助記憶装置と、
   前記車載機能を使用するユーザから、前記車載機能の使用を要求するアクセス要求であって、前記ユーザの属性を表すアクセス権情報が埋め込まれたユーザ秘密鍵を含むアクセス要求を受け付ける制御部と、
   前記アクセス要求に含まれる前記ユーザ秘密鍵を用いて、前記アクセス権情報が前記復号条件に合致する場合に前記暗号化データから復号結果として前記車載機能情報を得る復号部と、
   前記復号部により得られた前記車載機能情報を記憶するメモリと
   を備えた車両通信装置。
2. 前記制御部は、
   前記ユーザによる前記車載機能の使用が終了したと判定すると、前記車載機能情報を前記メモリから消去し、前記ユーザによる前記車載機能の使用を不可とする請求項１に記載の車両通信装置。
3. 前記制御部は、
   前記ユーザにより前記車載機能が使用中であると判定すると、前記車載機能の利用可能期間であるか否かを判定し、前記車載機能の利用可能期間外であると判定すると、前記車載機能情報を前記メモリから消去し、前記ユーザによる前記車載機能の使用を不可とする請求項２に記載の車両通信装置。
4. 前記制御部は、
   前記ユーザにより前記ユーザ秘密鍵が記憶されたデバイスに接続されることにより、前記アクセス要求を受け付ける請求項１から３のいずれか１項に記載の車両通信装置。
5. 前記車両通信装置は、
   前記復号部により得られた前記車載機能情報を用いて、前記車載機能を実行可能にする切替部を備えた請求項１から４のいずれか１項に記載の車両通信装置。
6. 車両の機能である車載機能の実行に用いられる車載機能情報を暗号化データとして暗号化する暗号化部であって、前記暗号化データに復号条件を埋め込んで暗号化する暗号化部と、
   前記暗号化データを記憶する補助記憶装置と、
   前記車載機能を使用するユーザから、前記車載機能の使用を要求するアクセス要求であって、前記ユーザの属性を表すアクセス権情報が埋め込まれたユーザ秘密鍵を含むアクセス要求を受け付ける制御部と、
   前記アクセス要求に含まれる前記ユーザ秘密鍵を用いて、前記アクセス権情報が前記復号条件に合致する場合に前記暗号化データから復号結果として前記車載機能情報を得る復号部と、
   前記復号部により得られた前記車載機能情報を用いて、前記車載機能を実行可能にする切替部と
   を備えた車両アクセス制御システム。
7. 前記車両アクセス制御システムは、
   前記車両に搭載された車両通信装置と、前記車両通信装置とネットワークを介して通信する管理装置とを有し、
   前記暗号化部は、前記管理装置に備えられ、
   前記補助記憶装置と前記制御部と前記復号部と前記切替部は、前記車両通信装置に備えられた請求項６に記載の車両アクセス制御システム。
8. 前記車両アクセス制御システムは、
   前記車両に搭載された車両通信装置と、前記車両通信装置とネットワークを介して通信する管理装置とを有し、
   前記暗号化部と前記補助記憶装置は、前記管理装置に備えられ、
   前記制御部と前記復号部と前記切替部は、前記車両通信装置に備えられた請求項６に記載の車両アクセス制御システム。
9. 前記制御部は、
   前記アクセス要求を受け付けると、前記管理装置から前記暗号化データをダウンロードする請求項８に記載の車両アクセス制御システム。
10. 車両に搭載された車載機能を提供する車両通信装置であって、前記車載機能を使用するユーザから前記車載機能の使用を要求するアクセス要求を受け付ける車両通信装置と通信する管理装置において、
    暗号化されたデータを復号する復号条件を含む復号条件データベースと、
    前記車載機能の実行に用いられる車載機能情報を暗号化データとして暗号化する暗号化部であって、前記暗号化データに前記復号条件を埋め込んで暗号化する暗号化部と、
    前記車両通信装置に前記暗号化データを送信する通信部と
    を備え、
    前記車両通信装置は、
    前記ユーザの属性を表すアクセス権情報が埋め込まれたユーザ秘密鍵を含むアクセス要求を受け付け、前記アクセス要求に含まれる前記ユーザ秘密鍵を用いて、前記アクセス権情報が前記復号条件に合致する場合に前記暗号化データから復号結果として前記車載機能情報を得る管理装置。
11. 暗号化部が、車両の機能である車載機能の実行に用いられる車載機能情報を、復号条件を埋め込んで暗号化データとして暗号化し、
    制御部が、前記車載機能を使用するユーザから、前記車載機能の使用を要求するアクセス要求であって、前記ユーザの属性を表すアクセス権情報が埋め込まれたユーザ秘密鍵を含むアクセス要求を受け付け、
    復号部が、前記アクセス要求に含まれる前記ユーザ秘密鍵を用いて、前記アクセス権情報が前記復号条件に合致する場合に前記暗号化データから復号結果として前記車載機能情報を得て、
    切替部が、前記復号部により得られた前記車載機能情報を用いて、前記車載機能を実行可能にする車両アクセス制御方法。
12. 車両の機能である車載機能の実行に用いられる車載機能情報を暗号化データとして暗号化する暗号化処理であって、前記暗号化データに復号条件を埋め込んで暗号化する暗号化処理と、
    前記車載機能を使用するユーザから、前記車載機能の使用を要求するアクセス要求であって、前記ユーザの属性を表すアクセス権情報が埋め込まれたユーザ秘密鍵を含むアクセス要求を受け付ける制御処理と、
    前記アクセス要求に含まれる前記ユーザ秘密鍵を用いて、前記アクセス権情報が前記復号条件に合致する場合に前記暗号化データから復号結果として前記車載機能情報を得る復号処理と、
    前記復号処理により得られた前記車載機能情報を用いて、前記車載機能を実行可能にする切替処理と
    をコンピュータに実行させる車両アクセス制御プログラム。

Images