WO2016031149A1 - 車両用データ変換装置及び車両用データ出力方法 - Google Patents

車両用データ変換装置及び車両用データ出力方法 Download PDF

Info

Publication number
WO2016031149A1
WO2016031149A1 PCT/JP2015/003964 JP2015003964W WO2016031149A1 WO 2016031149 A1 WO2016031149 A1 WO 2016031149A1 JP 2015003964 W JP2015003964 W JP 2015003964W WO 2016031149 A1 WO2016031149 A1 WO 2016031149A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
vehicle
storage unit
vehicle data
data processing
Prior art date
Application number
PCT/JP2015/003964
Other languages
English (en)
French (fr)
Inventor
朋子 児玉
稔 岡田
Original Assignee
株式会社デンソー
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社デンソー filed Critical 株式会社デンソー
Priority to ES15835224T priority Critical patent/ES2839204T3/es
Priority to US15/503,846 priority patent/US10599854B2/en
Priority to EP15835224.5A priority patent/EP3188068B1/en
Publication of WO2016031149A1 publication Critical patent/WO2016031149A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/008—Registering or indicating the working of vehicles communicating information to a remotely located station
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle

Definitions

  • the present disclosure relates to a vehicular data conversion device and a vehicular data output method for outputting data from the inside of the vehicle to the outside of the vehicle.
  • the user management table stores user identification information, authentication information, and usable function information.
  • user authentication information is registered by the user registration deleting unit, user authentication is performed.
  • the apparatus can be used only for the function permitted to be used by the user.
  • vehicle information used inside a vehicle is requested from outside the vehicle, and vehicle data is used outside the vehicle.
  • vehicle data is used outside the vehicle.
  • highly confidential vehicle data can be directly accessed from outside the vehicle, highly important vehicle data may be directly manipulated from outside the vehicle, or read vehicle data may be misused.
  • the user authentication technique described in Patent Document 1 it is not sufficient for improving the security performance of vehicle data.
  • An object of the present disclosure is to provide a vehicular data conversion device and a vehicular data output method capable of enhancing the security of the vehicular data stored in the vehicle.
  • a vehicle data conversion device stores an acquisition unit that acquires vehicle data from within a vehicle, and a data processing method for output outside the vehicle according to a classification level corresponding to the vehicle data acquired by the acquisition unit.
  • a first storage unit that outputs the vehicle data converted according to the data processing method stored in the first storage unit. Furthermore, according to an example of the present disclosure, a vehicle data output method is provided.
  • the vehicle data conversion device and the vehicle data output method the vehicle data is acquired from the vehicle, and the vehicle data converted according to the data processing method stored in the first storage unit corresponding to the vehicle data is obtained. Since it outputs, the security of the vehicle data memorize
  • FIG. 1 is a block diagram schematically showing an electrical configuration of a vehicle data transmission / reception system in the first embodiment.
  • FIG. 2 is a block diagram schematically showing the electrical configuration of the vehicle data processing device
  • FIG. 3 is an explanatory diagram showing the contents of the access control list for an example of the classification of vehicle data and the data processing method.
  • FIG. 4 is a sequence diagram schematically showing the overall flow.
  • FIG. 5 is a flowchart schematically showing the processing contents of the data processing apparatus
  • FIG. 6 is a flowchart schematically showing the contents of the data processing process and the data update process
  • FIG. 1 is a block diagram schematically showing an electrical configuration of a vehicle data transmission / reception system in the first embodiment.
  • FIG. 2 is a block diagram schematically showing the electrical configuration of the vehicle data processing device
  • FIG. 3 is an explanatory diagram showing the contents of the access control list for an example of the classification of vehicle data and the data processing method.
  • FIG. 4 is a sequence diagram schematically showing the overall flow.
  • FIG. 7 is a diagram showing an example of mask data for resolution calculation processing.
  • FIG. 8 is a flowchart schematically showing the contents of the data update control process.
  • FIG. 9 is a block diagram schematically showing the electrical configuration of the vehicle data transmission / reception system in the second embodiment,
  • FIG. 10 is a flowchart schematically showing the processing contents of the data processing device,
  • FIG. 11 is a flowchart schematically showing the contents of data processing in the third embodiment.
  • FIG. 12A is a diagram showing the contents of an access control list for an example of a person or application classification and a data processing method;
  • FIG. 12B is a diagram illustrating the contents of an access control list for an example of a person or application classification and a data processing method.
  • FIG. 1 a schematic configuration of the vehicle transmission / reception system 1 will be described with reference to FIG.
  • a large number of ECUs 3 and 4 are installed in the vehicle 2, and these ECUs 3 and 4 are connected through an in-vehicle LAN (Local Area Network) 5.
  • these ECU3, 4 acquires sensor information from the sensor (not shown) installed in the vehicle 2, and drives actuators (not shown), such as a motor, based on this sensor information.
  • actuators not shown
  • these many ECUs 3 and 4 can realize higher performance technology than the conventional one.
  • PHV Plug-in Hybrid Vehicle
  • an in-vehicle ECU 3, 4 is accessed through a communication network 7 (for example, a mobile phone network or a wired communication network) in which a center device 6 outside the vehicle is provided outside the vehicle.
  • a communication network 7 for example, a mobile phone network or a wired communication network
  • a center device 6 outside the vehicle is provided outside the vehicle.
  • mobile terminals 8 such as tablet terminals installed inside and outside the vehicle can access vehicle data using the outside communication 9.
  • wireless LAN, short-range wireless communication for example, Bluetooth (registered trademark) or the like is used.
  • the ECU 4 for security measures is connected to the in-vehicle LAN 5.
  • the ECU 4 is hereinafter referred to as a data processing device 4.
  • FIG. 2 is a block diagram schematically showing the electrical configuration of the data processing apparatus.
  • the data processing device 4 is an ECU that performs processing as needed when vehicle data is requested from outside the vehicle and determines whether or not unprocessed or processed vehicle data can be output outside the vehicle. It has become. This processing indicates a process of limiting the resolution of data accuracy, changing the data update cycle, changing the data encryption method according to the level of confidentiality, and the like. Only the data that the data processing device 4 determines to be output to the outside of the vehicle can be output to the outside of the vehicle through the communication device. As a result, highly confidential information such as control contents in the vehicle is prevented from being grasped from outside the vehicle.
  • the data processing device 4 includes a CAN (Controller Area Network) controller (transceiver) 11, a communication controller (transceiver) 12 for connection outside the vehicle, and a microcomputer (microcomputer) 13.
  • the CAN controller 11 performs communication connection with the in-vehicle network 5 by CAN, for example.
  • the microcomputer 13 is connected to the CAN controller 11 by the CAN driver 14 and is connected to communication with another ECU 3 connected to the in-vehicle network 5.
  • CAN is an example of a network standard that can be used for in-vehicle devices and related devices.
  • the microcomputer 13 mainly includes a communication module (Com) 15, a data storage unit 16 for holding various data, an information control unit 17 as a conversion unit, and an access control list storage unit for storing an access control list L (see FIG. 3). (Equivalent to the first storage unit) 18 and an external connection stack (equivalent to an output unit) 19 are provided, and the application 100 can use data processed by the information control unit 17.
  • Com communication module
  • Data storage unit 16 for holding various data
  • an information control unit 17 as a conversion unit
  • an access control list storage unit for storing an access control list L (see FIG. 3).
  • an external connection stack equivalent to an output unit
  • the access control list storage unit 18 is composed of, for example, a volatile memory or a nonvolatile memory, and stores an access control list L.
  • the access control list storage unit 18 can be rewritten by the information control unit 17.
  • the data storage unit 16 is configured by, for example, a register, and is divided into an in-vehicle communication buffer (equivalent to an acquisition unit) 16a and an out-of-vehicle communication buffer (equivalent to a second storage unit) 16b.
  • the unit of the CAN data frame 16c is 1 to 8 bytes.
  • the data of the frame 16c is divided into individual data and received from the in-vehicle network 5. It is updated regularly by a signal.
  • in-vehicle communication may be connected by communication using LIN.
  • the data format of the frame 16c and the in-vehicle communication buffer 16a handled below the communication module 15 can be the same as that shown in FIG. 2 in both CAN and LIN.
  • the vehicle data acquired from the in-vehicle network 5 is periodically stored in the in-vehicle communication buffer 16a.
  • the information control unit 17 stores the access control list L stored in the access control list storage unit 18 (see FIG. 3). ),
  • the stored vehicle data is processed and stored in the external communication buffer 16b as necessary.
  • the out-of-vehicle communication buffer 16b may be prepared for the data defined in the data update cycle, which will be described later, for the classification defined in the access control list L for each stored data in the in-vehicle communication buffer 16a. .
  • the vehicle connection stack 19 collectively stores data held in the vehicle communication buffer 16b.
  • the microcomputer 13 is connected to the communication controller 12 for connection outside the vehicle by the communication driver 20 for connection outside the vehicle, and the communication controller 12 for connection outside the vehicle is connected to the communication network 7 outside the vehicle through, for example, the wireless communication module 21.
  • the microcomputer 13 of the data processing device 4 can be connected to the communication network 7 and can perform communication processing with an external center device 6 or a device such as the portable terminal 8.
  • classification of vehicle data will be described. As described above, there are, for example, several thousand to several tens of thousands of vehicle data handled in one vehicle, but these vehicle data are classified into several types in advance, and corresponding to the security level according to this classification. A classification level is determined. Here, an example in which the classification levels I to IV are divided from the lowest to the highest confidentiality and importance (security level) will be described.
  • the vehicle data of the classification level I is information that can be directly confirmed by the vehicle user, for example.
  • meter display information for example, speedometer information
  • the meter display information is data processed for meter display by the ECU 3 installed in the vehicle 2, the meter display information itself has the lowest sensitivity and importance, and the classification level. I is set.
  • the classification level I vehicle data is grouped according to this type.
  • the classification level II vehicle data is, for example, sensor information such as a retrofit sensor by the user of the vehicle 2.
  • sensor information such as a retrofit sensor by the user of the vehicle 2.
  • the external navigation device has various road information (latitude / longitude information, ground surface gradient values).
  • road information latitude / longitude information, ground surface gradient values.
  • Such information may be output to various ECUs 3 through the in-vehicle network 5.
  • Various types of information output from such external devices are set to classification level II with relatively low confidentiality and importance.
  • These classification level II vehicle data are also grouped according to this type.
  • the classification level III vehicle data is, for example, information from an assembly module assembled in advance in the vehicle 2.
  • a vehicle-attached navigation system (not shown) provides various types of information such as road information (latitude / longitude information, estimated slope value of the ground surface) to various ECUs 3 through the in-vehicle network 5 in the same manner as the external navigation device described above. Output.
  • raw data from various sensors such as a vehicle speed sensor, a rainfall sensor, and various pressure sensors (both not shown) have relatively high sensitivity and importance, and are set to classification level III.
  • These classification level III vehicle data are also grouped according to this type.
  • the vehicle data of classification level IV is, for example, raw information of estimated values depending on the estimation logic.
  • vehicle data for example, the estimated torque of the axle or the raw data of the estimated gradient value of the ground surface can be cited as an example.
  • information is information that depends on the know-how possessed by the supplier of the assembly module of the vehicle 2, and if such information is output to the outside, the estimation logic is in accordance with the raw information of the estimated value. It can also expose the know-how. For this reason, such data is set to classification level IV with the highest sensitivity and importance.
  • the vehicle data of these classification levels IV are also grouped according to this type.
  • the access control list L stores the data processing method when the vehicle data is output outside the vehicle corresponding to the vehicle data acquired from inside the vehicle according to the level of importance of the data and the level of confidentiality.
  • FIG. 3 schematically shows the contents of the access control list L when data is transferred inside and outside the vehicle.
  • data processing methods related to data resolution, update timing, and encryption method are described according to the above-described classification levels I to IV.
  • the data processing methods are not limited to these three types, and one or two of the above-described processing methods, or various other data processing methods can be used.
  • the access control list storage unit 18 stores a data processing method so as to increase the security level of the vehicle data as the classification level increases (I ⁇ II ⁇ III ⁇ IV). Yes.
  • the access control list storage unit 18 stores, for example, that the raw data itself can be output at the classification level I as data resolution, whereas the raw data is truncated at the classification level II. A so-called rounding process is stored.
  • the access control list storage unit 18 stores processing for increasing the resolution to A1 times for the raw data at the classification level III.
  • the update timing is not limited at the classification levels I and II, but the classification level III stores that output processing is performed only at the update period A2 (> basic period).
  • the encryption method it is stored that the encryption is not performed at the classification level I, whereas the encryption methods having high security such as RSA (registered trademark) and AES are adopted at the classification levels II and III. It is remembered.
  • the access control list storage unit 18 stores that data is not output in the classification level IV. As described above, the access control list storage unit 18 stores data processing methods corresponding to the respective classification levels I to IV.
  • FIG. 4 shows an overall schematic operation sequence diagram. Note that the processing by the data processing device 4 in FIG. 4 mainly shows processing performed by the microcomputer 13.
  • the center device 6 or the mobile terminal 8 wants to acquire the vehicle data in the vehicle 2, device authentication registration is performed in advance.
  • the portable terminal 8 authenticates and registers the portable terminal 8 in the in-vehicle data processing device 4, first, the portable terminal 8 requests connection to the data processing device 4 (S1). At this time, the mobile terminal 8 transmits the device ID and security code (device ID security code) of the mobile terminal 8 to the data processing device 4 to request authentication, and the data processing device 4 receives the device ID and the security code.
  • the authentication data corresponding to is returned to the portable terminal 8 to complete the device registration (S2).
  • the method of the authentication procedure of the portable terminal 8 is not limited to this method.
  • the data type (data ID) for requesting data is transmitted to the data processing device 4 together with the device ID.
  • the data processing device 4 confirms the device ID of the portable terminal 8 (S4), and after confirming the data ID (S5), can output data at the classification level described in the access control list L (S6a: YES). Is permitted to output the vehicle data (S6b). Conversely, when this condition is not satisfied (S6a: NO), the data processing device 4 does not permit the output of vehicle data (S6c).
  • the data processing device 4 When the data processing device 4 permits the output of the vehicle data, the data processing device 4 processes the data as necessary, and outputs the processed data to the portable terminal while controlling the communication timing (S7). Then, the portable terminal 8 can perform data processing using this data (S8). Similar processing is performed when the center device 6 connects to the data processing device 4 and requests data (S11 to S18).
  • the microcomputer 13 in the data processing device 4 takes out data from the in-vehicle network 5 in units of frames (T1) and copies the data to the in-vehicle communication buffer 16a (T2).
  • the information control unit 17 performs data processing (T3) and copies the data to the vehicle communication buffer 16b (T4).
  • T3 data processing
  • T4 vehicle communication buffer 16b
  • the contents of this data processing are schematically shown in FIG.
  • the information control unit 17 reads the data processing method from the access control list L in the access control list storage unit 18 (U1), calculates the resolution (U2), and is stored in the access control list L.
  • the encryption processing is stored (U3), and the data is written (U4).
  • a data alteration detection process corresponding to the classification levels I to IV may be performed between these data processing processes.
  • the certainty may be confirmed by giving a certificate. If the stored value of the in-vehicle communication buffer 16a is different between the previous data and the current data, the amount of change is Detection may be based on whether or not the threshold level is exceeded, or may be detected using an error detection code such as a checksum. Then, the reliability of data stored in the in-vehicle communication buffer 16a or the out-of-vehicle communication buffer 16b can be improved.
  • FIG. 7 shows mask data for resolution calculation processing according to the data classification level. For the digit “1” of the mask data, processing for validating the data is performed, and for the digit “0”, the processing for invalidating the data by masking is performed. That is, data processing can be performed with only the upper digits valid and the lower digits invalid.
  • the mask data shown in FIG. 7 shows data to be masked in binary units. However, the mask data is not limited to this, and is performed in decimal units (for example, “truncated after decimal point” shown in classification level II of FIG. 3). You can also. As described above, in this embodiment, the data processing device 4 performs data processing in advance before data is requested from the outside.
  • the information control unit 17 performs data processing in step T3 in FIG. 5 and copies the data to the external communication buffer 16b in step T4.
  • the copied data is, for example, every predetermined basic period (for example, 1 msec). It is determined whether or not update processing is performed, and update processing is performed as necessary.
  • the contents of the data update control process performed by the information control unit 17 are schematically shown in FIG.
  • the information control unit 17 refers to the in-vehicle communication buffer 16a, and determines whether or not data updated at any time exists in the in-vehicle communication buffer 16a (V1).
  • the information control unit 17 determines that the update target data exists (V1: YES)
  • the information control unit 17 increments an update time counter (not shown) corresponding to all the update target data to be updated (V2), and the target access is performed. It is determined whether or not the level (classification level) has update control (V3).
  • the update time counter is prepared in advance in the microcomputer 13 corresponding to each update target data, for example.
  • the information control unit 17 determines whether or not the time indicated by the update time counter of the target data has passed the update cycle. (V4). When it is determined that the update period or more has elapsed, the information control unit 17 updates the data in the vehicle communication buffer 16b (V5) and sets the update time counter to 0 (V6). These processes of V3 to V6 are performed for all data to be updated (V7: YES).
  • the update target data is updated in the external communication buffer 16b as needed according to the update timing corresponding to the classification levels I to IV held in the access control list L.
  • the data classified into the classification levels I and II are all updated data regardless of the contents of the update counter.
  • the data is updated immediately in synchronization with the CAN data update cycle, and the data classified into the classification level III is the update counter update cycle A2 (> basic cycle: for example, 100 ms fixed cycle). Will be updated accordingly.
  • the data update timing can be changed and controlled according to the security level.
  • the timing at which the center device 6 or the portable terminal 8 outside the vehicle requests transmission of data into the vehicle 2 does not coincide with the desired timing for the configuration inside the vehicle 2 (ECU 3, 4).
  • the data processing device 4 causes the out-of-vehicle communication buffer 16b to update the processed data in advance in accordance with the update cycle of the update counter corresponding to the security level.
  • the vehicle data can be immediately output in response to this transmission request in accordance with the security level of the individual data. .
  • step T4 the microcomputer 13 in the data processing device 4 processes the data by the information control unit 17 and copies the data to the external communication buffer 16b. As shown in FIG. Although update control is performed, it is determined whether or not there is a data transmission request at that time (T5). If there is a data transmission request (T5: YES), data is acquired from the vehicle communication buffer 16b and the vehicle connection stack 19 is obtained. (T6). Then, the microcomputer 13 performs the encryption processing stored in step U3 and writes it from the vehicle connection stack 19 to the vehicle connection communication controller 12 (T7), and the vehicle connection communication controller 12 passes through the wireless communication module 21 and the like. Data is output to the transmission request source device such as the external portable terminal 8 or the center device 6 (T8).
  • the transmission request source device such as the external portable terminal 8 or the center device 6 (T8).
  • the data can be output to the external device that is the transmission request source.
  • Specific examples will be described below.
  • the wheel speed information is communicated through the in-vehicle network 5 and is periodically stored in the in-vehicle communication buffer 16a.
  • the information control unit 17 reads the data processing method stored in the access control list L from the access control list storage unit 18.
  • the information control unit 17 determines that the wheel speed information acquired through the in-vehicle network 5 is, for example, data classified into the classification level III, and determines the data processing method stored in the access control list L as the access control list storage unit 18. Read from.
  • the 10-fold resolution means, for example, that the data is a decimal number “50.23”, “50.35”, “51.23”, “51.20”, “51.25”, “50.10. ”,“ 50.33 ”,“ 50.40 ”,“ 50.45 ”,“ 51.10 ”,“ 51.21 ”,“ 51.00 ”, the second decimal place is rounded down, and“ 50 .2 ”,“ 50.3 ”,“ 51.2 ”,“ 51.2 ”,“ 51.2 ”,“ 50.1 ”,“ 50.3 ”,“ 50.4 ”,“ 50.4 ” ”,“ 51.1 ”,“ 51.2 ”, and“ 51.0 ”. Note that rounding off may be performed.
  • the center device 6 makes a data transmission request after receiving authentication from the data processing device 4 in the vehicle.
  • the data processing device 4 acquires data from the vehicle communication buffer 16 b and transmits the data to the center device 6 through the wireless communication module 21.
  • the center device 6 can receive “50.2” and “51.2” data from the data processing device 4.
  • Specific example 2 describes a case where portable terminal 8 requests engine water temperature data communicated through in-vehicle network 5, for example.
  • Engine water temperature data is communicated through the in-vehicle network 5 and is periodically stored in the in-vehicle communication buffer 16a.
  • the information control unit 17 reads the data processing method stored in the access control list storage unit 18 from the access control list L.
  • the “data resolution” of the engine water temperature information is rounded down, the “update timing” is unlimited, and the encryption is RSA.
  • the information control unit 17 discards the engine water temperature data after the decimal point and stores it in the vehicle communication buffer 16b.
  • the mobile terminal 8 makes a data transmission request after receiving authentication from the data processing device 4 in the vehicle.
  • the data processing device 4 accepts the transmission request, the data of the engine water temperature stored in the vehicle communication buffer 16 b is encrypted by RSA and transmitted to the portable terminal 8 through the wireless communication module 21. Then, the portable terminal 8 can receive engine water temperature data from the data processing device 4.
  • the access control list storage unit 18 stores the data processing method for vehicle output according to the classification levels I to IV, and the data processing device 4 stores the classification level I.
  • the post-conversion data converted based on the data processing method according to IV is output from the outside connection stack 19. Thereby, the security property of the vehicle data memorize
  • a vehicle device development company may define vehicle data as a new parameter during development of the device and develop the vehicle data using the vehicle data.
  • the security level can be secured by classifying the vehicle data into the classification levels I to IV.
  • Security policies may differ between these many development companies.
  • the vehicle data is grouped at the classification levels I to IV, and the information control unit 17 is one of the classification levels I to IV of the access control list L stored in the access control list storage unit 18.
  • the vehicle data can be changed and set. As a result, even if the security policies of the development companies are different from each other, the security level can be changed to meet the demands of these development companies, and it is possible to flexibly respond to these policies.
  • the external communication buffer 16b stores pre-processed converted data and outputs the converted data when the vehicle data is requested from the outside, the data transmission is requested from the outside. Can respond immediately.
  • the external communication buffer 16b stores the converted data processed in advance for each of the vehicle data classification levels I to IV at an update timing stored in the access control list L of the access control list storage unit 18. For this reason, even if the update cycle is synchronized with the data update cycle by CAN, even if the update cycle is larger than the basic cycle, the converted data can be prepared in advance in the vehicle communication buffer 16b. It is possible to respond immediately when data transmission is requested from the outside.
  • the microcomputer 13 changes the data update timing in accordance with the data update cycle to, for example, the update cycle A2, and outputs the data by desynchronizing the internal update timing of the vehicle data and the output timing of the vehicle data. For this reason, it is difficult to estimate the cycle of vehicle control, the control timing of the actuator by the ECU 3, and the like from the outside.
  • (Second Embodiment) 9 to 10 show a second embodiment.
  • the second embodiment a configuration in which the external communication buffer 16b is not provided is shown.
  • the data processing device 4 before the data processing device 4 receives a transmission request from a device such as the mobile terminal 8 or the center device 6, the data processing device 4 processes the data in advance and stores it in the external communication buffer 16b. Indicated.
  • the data processing device 104 when the data processing device 104 receives a transmission request from the device 8 or 6, the data processing device 104 processes the data.
  • a data processing device 104 shown in FIG. 9 instead of the data processing device 4 of FIG. 1 includes an in-vehicle communication buffer 16a as a data storage unit 116 instead of the data storage unit 16, but includes an out-of-vehicle communication buffer 16b. Absent.
  • the microcomputer 13 in the data processing device 104 takes out the data in frame units through the in-vehicle network 5 (W1) and copies the data to the in-vehicle communication buffer 16a (W2). Up to this point, the processing is the same as the processing in steps T1 and T2 shown in FIG. 5, but the microcomputer 13 stands by without processing the data in advance.
  • the information control unit 17 in the data processing device 104 acquires data from the in-vehicle communication buffer 16a (W4) and performs data processing (W5).
  • the contents of this data processing process are the same as the process of FIG.
  • the data after the data processing is directly stored in the outside connection stack 19.
  • the microcomputer 13 writes data from the external connection stack 19 to the external connection communication controller 12 (W6), and the external connection communication controller 12 transmits the external portable terminal 8 or the center device 6 through the wireless communication module 21 or the like.
  • Data is output to the requesting device (W7). In this way, when data is requested, the data can be output to the transmission requesting device 6 or 8.
  • the microcomputer 13 converts the vehicle data according to the data processing method described in the access control list L when the vehicle data is requested from the outside. Even in such a case, the data processing method of the vehicle data can be changed according to the classification levels I to IV, and the security level of the vehicle data can be changed according to the classification levels I to IV. Thereby, there exists an effect similar to the above-mentioned embodiment.
  • FIG. 11 to 12B show a third embodiment.
  • the third embodiment shows a mode in which security measures are taken for each data transmission request source or each application classification.
  • the form in which the security measures are changed for each of the vehicle data classification levels I to IV is shown.
  • Make security measures changeable for each data transmission request source or application use case.
  • An application is embedded in an external device such as the portable terminal 8 or the center device 6, and the data processing device 4 in the vehicle can be accessed from outside the vehicle by operating this application.
  • This access source changes according to information (terminal information, device information) such as ID attributes of the mobile terminal 8 or center device 6, personal information (privacy information) of the owner, application used, etc.
  • the ID information of the transmission request source is pre-registered before the data transmission request (see FIG. 4 and the description thereof).
  • the access right (accessibility, security countermeasure method (data processing method)) is set for each of these devices, for each application, for each application user (user), or for each application developer, good.
  • the security level (classification level) is kept low for the operator of the center device 6, and the borrower of the portable terminal 8 (for example, a service provider such as a home delivery company) ),
  • the security level (classification level) should be increased.
  • the security level is preferably increased.
  • classification may be performed in a plurality of dimensions according to the classification levels I to IV shown in the first embodiment and the classification level of a person or application.
  • FIG. 12A shows an overview of classification levels
  • FIG. 12B shows a form classified in a plurality of dimensions.
  • the contents shown in FIGS. 12A and 12B are stored as the access control list L in the access control list storage unit 18.
  • the vertical axis represents the classification levels I to IV described in the first embodiment, and the horizontal axis represents the application classification levels X to Z.
  • the classification levels I to IV on the vertical axis are levels obtained by subdividing the individual levels into two (in the vertical axis in FIG. 12B, the classification level marked with “_1” is the security level low, and “_2” is The attached classification level indicates a high security level).
  • the horizontal axis classification level X is ID information of a person with relatively high authority to handle data, such as the owner of the mobile terminal 8 or the trusted operator of the center device 6. Assigned to. Further, the classification level Y on the horizontal axis is assigned to ID information such as a person with relatively high reliability, although the authority such as the vehicle body dealer (dealer) does not have the authority. The classification level Z on the horizontal axis is assigned to ID information of a specific service provider such as a borrower of the mobile terminal 8 or a home delivery company, and is assigned to ID information of a person who is less reliable than the owner, for example.
  • the horizontal axis classification level X is an application that requires personal authentication (for example, an application that requires a login password), and the classification levels Y and Z can be used by, for example, ordinary people Assigned to other applications. Also, these classifications may be divided for each group of persons or for each group of applications.
  • the security level of the classification level X is set to be low, and the security level of the classification level Z is set to be high. This may keep security low when vehicle data is requested from a highly reliable person or application, and security is ensured when vehicle data is requested from a low reliability person or application. This is because it needs to be kept high.
  • FIG. 11 schematically shows the data processing method by the data processing device 4, the data processing device acquires the data request source (device ID) and the target data name (data ID) (X1).
  • the data classification levels I to IV and X to Z are acquired from the access control list L shown in 12B (X2), the resolution is calculated according to the classification level described in the access control list L (X3), and encryption processing is performed (X4).
  • the microcomputer 13 in the data processing device 4 transmits the processed vehicle data to the data request source.
  • the post-conversion data processed in advance may be prepared in the vehicle communication buffer 16b as shown in the first embodiment, or the vehicle communication buffer 16b may be prepared as shown in the second embodiment. If a data transmission request is accepted from the outside without being provided, data conversion processing may be performed and transmitted to the data request source. In this way, the processing of this embodiment is realized.
  • the access control list storage unit 18 stores a data processing method in the access control list L for each application that requests vehicle data or each application group that classifies the application, information is stored.
  • the controller 17 can convert and process the vehicle data by dividing the data processing method for each application or its group. Thereby, security can be improved.
  • the information control unit 17 divides the data processing method for each user or group. Vehicle data can be converted and processed. Thereby, security can be improved.
  • the access control list storage unit 18 stores data processing methods in a plurality of dimensions for each of the classification levels I to IV shown in the first embodiment and for each application or group thereof, for example, Security can be improved compared to the processing of the first embodiment.
  • the access control list storage unit 18 stores data processing methods in a plurality of dimensions for each of the classification levels I to IV shown in the first embodiment and for each user or group, for example, Security can be improved compared to the processing of the first embodiment.
  • the external communication buffer 16b stores post-conversion data processed in advance for each application that requests vehicle data or an application group in which the application is classified, it responds immediately when data transmission is requested from the outside. be able to.
  • the external communication buffer 16b stores post-conversion data that has been processed in advance for each user or group that requests vehicle data, it can respond immediately when an external data transmission request is made.
  • the access control list storage unit 18 has shown the form of storing the data processing method itself according to the classification levels I to IV, but stores the ID information of the data processing method according to these classification levels I to IV, etc. Details of the data processing method may be stored separately. This content is also included in the “data processing method” of the present disclosure.
  • an intrusion sensor (not shown) may be installed in the vehicle 2 in preparation for theft.
  • the sensor information of the intrusion sensor is accumulated in the in-vehicle communication buffer 16a through the in-vehicle network 5.
  • the microcomputer 13 may be applied to a mode in which vehicle data is independently output to the external center device 6. Even in such a case, the effect shown in the above-described embodiment is obtained.
  • the configuration of each embodiment described above can be applied individually or in combination.
  • the data processing devices 4 and 104 correspond to the vehicle data conversion device of the present disclosure
  • the in-vehicle communication buffer 16a corresponds to the acquisition unit
  • the out-of-vehicle communication buffer 16b corresponds to the second storage unit
  • the information control unit 17 corresponds to the conversion unit
  • the access control list storage unit 18 corresponds to the first storage unit
  • the external connection stack 19 corresponds to the output unit.
  • each step is expressed as, for example, S1, U1, T1, V1, W1, X1.
  • each step can be divided into a plurality of sub-steps, while a plurality of steps can be combined into one step.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Medical Informatics (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)
  • Small-Scale Networks (AREA)
  • Traffic Control Systems (AREA)

Abstract

　車両用データ変換装置は、車両内から車両データを取得する取得部（１６ａ）と、取得部により取得される車両データに対応した分類レベルに応じた車外出力用のデータ処理方法を記憶する第１記憶部（１８）と、第１記憶部により記憶されたデータ処理方法に応じて変換された車両データを出力する出力部（１９）と、を備える。

Description

車両用データ変換装置及び車両用データ出力方法 関連出願の相互参照
　本出願は、２０１４年８月２６日に出願された日本国特許出願２０１４－１７１５４６号に基づくものであり、ここにその記載内容を参照により援用する。
　本開示は、車内から車外へデータ出力する車両用データ変換装置及び車両用データ出力方法に関する。
　例えば、個々のユーザが使用可能な装置を制限する手段として、ユーザを役職、所属などの属性により分類し、この分類に応じて装置の使用を制限する技術が開発されている（例えば、特許文献１参照）。この特許文献１記載の技術によれば、ユーザ管理テーブルがユーザの識別情報、認証情報、使用可能な機能情報を記憶しており、ユーザ登録削除手段によりユーザ認証情報が登録されると、ユーザ認証手段が装置の正当なユーザであると判断した場合、当該ユーザに利用許可した機能のみ装置を使用できるようにしている。
　本願発明者らは下記を見出した。
　近年、例えば車内で用いられる車両情報を車外から要求し、車外において車両データを活用することが行われている。しかしながら、車外から機密性の高い車両データに直接アクセスできてしまうと、車外から重要性の高い車両データが直接操作されたり、読み出された車両データが悪用されたりするおそれがある。例えば、特許文献１記載のユーザ認証技術を適用したとしても、車両データのセキュリティ性能を高める上では不十分である。
日本国公開特許公報２００６－３４４１２８号
　本開示の目的は、車内に記憶される車両データのセキュリティ性を高めることができるようにした車両用データ変換装置及び車両用データ出力方法を提供することにある。
　本開示の一例に係る車両用データ変換装置は、車両内から車両データを取得する取得部と、取得部により取得される車両データに対応した分類レベルに応じた車外出力用のデータ処理方法を記憶する第１記憶部と、第１記憶部により記憶されたデータ処理方法に応じて変換された車両データを出力する出力部と、を備える。さらに、本開示の一例によれば、車両用データ出力方法が提供される。
　車両用データ変換装置及び車両用データ出力方法によれば、車両内から車両データを取得し、車両データに対応して第１記憶部に記憶されたデータ処理方法に応じて変換された車両データを出力するため、車内に記憶される車両データのセキュリティ性を高めることができる。
　本開示についての上記および他の目的、特徴や利点は、添付の図面を参照した下記の詳細な説明から、より明確になる。添付図面において
図１は、第１実施形態における車両データの送受信システムの電気的構成を概略的に示すブロック図であり、 図２は、車両データ処理装置の電気的構成を概略的に示すブロック図であり、 図３は、車両データの分類とデータ処理方法の一例についてアクセス制御リストの内容を表す説明図であり、 図４は、全体の流れを概略的に示すシーケンス図であり、 図５は、データ処理装置の処理内容を概略的に示すフローチャートであり、 図６は、データ加工処理、データ更新処理の内容を概略的に示すフローチャートであり、 図７は、分解能演算処理用のマスクデータの例を示す図であり、 図８は、データ更新制御処理の内容を概略的に示すフローチャートであり、 図９は、第２実施形態における車両データの送受信システムの電気的構成を概略的に示すブロック図であり、 図１０は、データ処理装置の処理内容を概略的に示すフローチャートであり、 図１１は、第３実施形態におけるデータ加工処理の内容を概略的に示すフローチャートであり、 図１２Ａは、人物又はアプリケーションの分類とデータ処理方法の一例についてアクセス制御リストの内容を表す図であり、 図１２Ｂは、人物又はアプリケーションの分類とデータ処理方法の一例についてアクセス制御リストの内容を表す図である。
　以下、車両用データ変換装置及び車両用データ出力方法の幾つかの実施形態について図面を参照しながら説明する。各実施形態において同一又は類似の動作を行う構成については、同一又は類似の符号を付して必要に応じて説明を省略する。
　（第１実施形態）
　まず図１を参照し、車両用送受信システム１の概略構成について説明する。図１に示すように、車両２内には多数のＥＣＵ３、４が設置されており、これらのＥＣＵ３、４が車内ＬＡＮ（Local Area Network）５を通じて接続されている。そして、これらのＥＣＵ３、４は、車両２内に設置されたセンサ（図示せず）からセンサ情報を取得し、このセンサ情報に基づいてモータなどのアクチュエータ（図示せず）を駆動する。このとき、車両環境性能、安全性、快適性、エコロジー技術などの発展などの影響から、これらの多数のＥＣＵ３、４は、従来に比較してより高性能な技術を実現可能になっている。１台の車両内で扱われる車両データは数千～数万個存在するが、この車両データは、日々の車両制御に係る技術進化（例えばＰＨＶ（Plug-in Hybrid Vehicle）化）に応じて随時内容が更新される。
　近年では、図１に示すように、例えば車外のセンタ装置６が車外に整備された車外の通信網７（例えば携帯電話網など、有線通信網を含んでも良い）を通じて車内のＥＣＵ３、４にアクセスして車内で用いられる車両データを要求し、センタ装置６がこの車両データを活用するシステムも開発されつつある。また、近年の近距離無線通信技術、無線ＬＡＮ技術などの発展に伴い、車内外に設置されるタブレット端末などの携帯端末８が、車外通信９を用いて車両データをアクセス可能になってきている。この車外通信９の方式は、無線ＬＡＮ、近距離無線通信（例えばＢｌｕｅｔｏｏｔｈ（登録商標）)などが用いられる。しかし、これらのセンタ装置６または携帯端末８が、車内に保持された機密性の高い車両データに直接アクセスできてしまうと、これらの装置６、８が重要性の高い車両データを直接操作したり、読出された車両データが悪用されたりする虞がある。このため、本実施形態では、図１に示すように、セキュリティ対策用のＥＣＵ４が車内ＬＡＮ５に接続されている。以下、セキュリティ対策用のＥＣＵ４を他のＥＣＵ３と区別して表すため、以下では、このＥＣＵ４をデータ処理装置４と称する。
　図２を参照しながら、車両用データ変換装置としてのデータ処理装置４の概略構成について説明する。図２にデータ処理装置の電気的構成をブロック図により概略的に示す。このデータ処理装置４は、車外から車両データが要求されたときなどに必要に応じて加工処理を行い、非処理又は処理後の車両データを車外に出力して良いか否かを判定するＥＣＵとなっている。この加工処理とは、データ精度の分解能を制限したり、データの更新周期を変更したり、データの暗号化方式を機密性の高低に応じて変更したりする処理等を示す。このデータ処理装置４が、車外に出力して良いと判定したデータのみを通信装置を通じて車外に出力可能とする。これにより、車内の制御内容などの機密性の高い情報を車外から把握されないようにする。
　データ処理装置４は、ＣＡＮ（Controller Area Network）コントローラ（トランシーバ）１１と、車外接続用通信コントローラ（トランシーバ）１２と、マイクロコンピュータ（マイコン）１３と、を備えている。ＣＡＮコントローラ１１は、例えばＣＡＮにより車内ネットワーク５との通信接続を行う。マイコン１３はＣＡＮドライバ１４によりＣＡＮコントローラ１１と接続し、車内ネットワーク５に接続される他のＥＣＵ３との間で通信接続する。ＣＡＮは、車載機器にも利用可能なネットワークの規格と関連機器の一例である。
　マイコン１３は、主に、コミュニケーションモジュール（Ｃｏｍ）１５、各種データを保持するデータ記憶部１６、変換部としての情報制御部１７、アクセス制御リストＬ（図３参照）を記憶するアクセス制御リスト記憶部（第１記憶部相当）１８、及び、車外接続用スタック（出力部相当）１９を備え、アプリケーション１００は情報制御部１７により加工されたデータを利用できるようになっている。
　アクセス制御リスト記憶部１８は、例えば揮発性メモリ又は不揮発性メモリにより構成されアクセス制御リストＬが記憶される。このアクセス制御リスト記憶部１８は、情報制御部１７が記憶内容を書換可能になっている。本実施形態において、データ記憶部１６は、例えばレジスタにより構成され、車内通信用バッファ（取得部相当）１６ａ及び車外通信用バッファ（第２記憶部相当）１６ｂに分けて設けられる。データ記憶部１６の中の車内通信用バッファ１６ａは、ＣＡＮデータのフレーム１６ｃの単位を１～８バイトとされており、このフレーム１６ｃのデータは個別のデータに分けて、車内ネットワーク５からの受信信号によって定期的に更新されるようになっている。
　ここで、本実施形態では、車内通信にＣＡＮを用いた形態を示すが、車内通信はＬＩＮを用いて通信接続しても良い。なお、コミュニケーションモジュール１５より下層で扱うフレーム１６ｃ及び車内通信用バッファ１６ａのデータフォーマットは、ＣＡＮにおいてもＬＩＮにおいても共通として図２に示した構成を用いることができる。
　車内通信用バッファ１６ａには、車内ネットワーク５から取得される車両データが定期的に記憶されるが、情報制御部１７は、アクセス制御リスト記憶部１８に記憶されたアクセス制御リストＬ（図３参照）に基づいて、記憶された車両データを加工し、必要に応じて車外通信用バッファ１６ｂに保持させる。車外通信用バッファ１６ｂは、後述するデータの更新周期が定義されたデータについては、車内通信用バッファ１６ａの個々の記憶データに対しアクセス制御リストＬに定義された分類分だけ用意しておくと良い。
　車外接続用スタック１９は、車外通信用バッファ１６ｂに保持されるデータをまとめて記憶する。マイコン１３は、車外接続用通信ドライバ２０により車外接続用通信コントローラ１２と接続し、車外接続用通信コントローラ１２は、例えば無線通信モジュール２１などを通じて車外の通信網７に接続する。これにより、データ処理装置４のマイコン１３は通信網７に通信接続でき、外部のセンタ装置６または携帯端末８などの機器と通信処理できる。
　ここで、車両データの分類について説明する。前述したように、１台の車両内で扱われる車両データは例えば数千～数万個存在するが、これらの車両データは予め数種類に分類されており、この分類に応じてセキュリティレベルに対応した分類レベルが決定される。ここでは、機密度、重要度（セキュリティレベル）の低いほうから高いほうにかけて分類レベルＩ～ＩＶに分けた例を説明する。
　分類レベルＩの車両データは、例えば車両ユーザが直接確認可能な情報としている。例えばユーザが、車内の計器板を視認することで得られるメータ表示情報（例えば、スピードメータ情報）などである。ここで、これらのメータ表示情報は、車両２内に設置されたＥＣＵ３によりメータ表示用に加工されたデータであるため、このメータ表示情報自体については、機密度、重要度が最も低く、分類レベルＩに設定されている。分類レベルＩの車両データは、この種別に応じてグルーピングされている。
　分類レベルＩＩの車両データは、例えば車両２のユーザによる後付センサなどのセンサ情報としている。例えば、車両２のユーザが車体を購入した後、ナビゲーション装置（図示せず）を車両２内に外付けした場合、この外付けナビゲーション装置は各種道路情報（緯度経度情報、地表面の勾配値）などの情報について車内ネットワーク５を通じて各種ＥＣＵ３に出力する場合もある。このような外付け機器から出力される各種情報は、機密度、重要度も比較的低く分類レベルＩＩに設定されている。これらの分類レベルＩＩの車両データもまた、この種別に応じてグルーピングされている。
　分類レベルＩＩＩの車両データは、例えば予め車両２に組付けられた組付モジュールによる情報としている。車両組付型のナビゲーションシステム（図示せず）は、前述の外付けナビゲーション装置とほぼ同様に各種道路情報（緯度経度情報、地表面の推定勾配値）などの情報について車内ネットワーク５を通じて各種ＥＣＵ３に出力する。また、車速センサ、雨量センサ、各種圧力センサなどの各種センサ（何れも図示せず）の生データは、機密度、重要度も比較的高くなり分類レベルＩＩＩに設定されている。これらの分類レベルＩＩＩの車両データもまた、この種別に応じてグルーピングされている。
　分類レベルＩＶの車両データは、例えば推定ロジックに依存する推定値の生情報としている。このような車両データとしては、例えば車軸の推定トルク、または、地表面の推定勾配値の生データを一例として挙げることができる。このような情報は、車両２の組付モジュールのサプライヤが所持するノウハウに依存する情報となっており、このような情報が外部出力されてしまうと、推定値の生情報に応じて推定ロジックのノウハウを暴露してしまうことにもなりうる。このため、このようなデータを機密度、重要度を最も高くした分類レベルＩＶに設定している。これらの分類レベルＩＶの車両データもまた、この種別に応じてグルーピングされている。
　次に、アクセス制御リスト記憶部１８に記憶されるアクセス制御リストＬの内容を説明する。アクセス制御リストＬは、車両内から取得された車両データに対応して車両外に車両データが出力されるときのデータ処理方法を、データの重要度の高低、機密性の高低に応じて記憶するリストを示しており、図３に車内外でデータ転送する際のアクセス制御リストＬの内容を概略的に示している。
　アクセス制御リストＬには、例えば、前述の分類レベルＩ～ＩＶに応じて、データ分解能、更新タイミング、暗号化方式に係るデータ処理方法が記されている。なお、このデータ処理方法は、この３種類に限られるものではなく、前述した処理方法のうちの１又は２つ、又は、これ以外にもその他、各種のデータ処理方法を用いることができる。
　図３に示すように、アクセス制御リスト記憶部１８には、前述の分類レベルが上がる（Ｉ→ＩＩ→ＩＩＩ→ＩＶ）に従って、車両データのセキュリティレベルを高くするようにデータ処理方法が記憶されている。アクセス制御リスト記憶部１８には、例えばデータの分解能として、分類レベルＩでは生データそのものを出力可能であることが記憶されているのに対し、分類レベルＩＩにおいて生データに対し小数点以下を切り捨てるという所謂丸め込み処理を行うことが記憶されている。
　また、アクセス制御リスト記憶部１８には、分類レベルＩＩＩにおいて生データに対し分解能をＡ１倍にする処理を行うことが記憶されている。また、更新タイミングについても、分類レベルＩ、ＩＩでは制限ないのに対し、分類レベルＩＩＩでは更新周期Ａ２（＞基本周期）でしか出力処理しないことが記憶されている。さらに、暗号化方式についても、分類レベルＩでは暗号化なしと記憶されているのに対し、分類レベルＩＩ、ＩＩＩではＲＳＡ（登録商標）、ＡＥＳ、とセキュリティの高い暗号化方式を採用することが記憶されている。また、アクセス制御リスト記憶部１８には、分類レベルＩＶではそもそもデータを出力処理しないことが記憶されている。このようにアクセス制御リスト記憶部１８には、各分類レベルＩ～ＩＶに応じたデータ処理方法が記憶されている。
　次に、例えば、車外の装置となるセンタ装置６又は携帯端末８が、車外ネットワークを通じて車内ネットワーク５に流れる車両データにアクセスし、車両データを要求する場合の動作手順について、図４を参照しながら説明する。図４には全体の概略的な動作シーケンス図を示している。なお、図４中のデータ処理装置４による処理は主にマイコン１３が行う処理を示している。
　まず、センタ装置６又は携帯端末８が、車両２内の車両データを取得したい場合には、事前に機器認証登録が行われる。携帯端末８のユーザが、その携帯端末８を車内のデータ処理装置４に認証登録する場合、まず、携帯端末８がデータ処理装置４に接続要求する（Ｓ１）。このとき、携帯端末８は、データ処理装置４に対し、当該携帯端末８の機器ＩＤとセキュリティコード（機器ＩＤセキュリティコード）を送信して認証要求し、データ処理装置４が、機器ＩＤ及びセキュリティコードに応じた認証データを携帯端末８に返信して機器登録を完了する（Ｓ２）。なお、携帯端末８の認証手順の方式はこの方式に限られるものではない。
　そして、携帯端末８が車両データを送信要求するときには（Ｓ３）、機器ＩＤと共にデータ要求するデータ種類（データＩＤ）をデータ処理装置４に送信する。データ処理装置４は、携帯端末８の機器ＩＤを確認し（Ｓ４）、データＩＤを確認した（Ｓ５）後に、アクセス制御リストＬに記載の分類レベルでデータ出力可である（Ｓ６ａ：ＹＥＳ）ことを条件として車両データを出力許可する（Ｓ６ｂ）。逆に、データ処理装置４は、この条件を満たさない場合には（Ｓ６ａ：ＮＯ）、車両データの出力を許可しない（Ｓ６ｃ）。
　データ処理装置４は、車両データを出力許可した場合には、必要に応じてデータ加工処理し、通信タイミング制御しながら処理後のデータを携帯端末に出力する（Ｓ７）。すると、携帯端末８は、このデータを用いてデータ処理できる（Ｓ８）。センタ装置６が、データ処理装置４に接続してデータ要求する場合にも同様の処理が行われる（Ｓ１１～Ｓ１８）。
　次に、データ処理装置４の内部処理について、図５～図７を参照して説明する。データ処理装置４内のマイコン１３は、車内ネットワーク５からデータをフレーム単位で取り出し（Ｔ１）、車内通信用バッファ１６ａへデータコピーする（Ｔ２）。情報制御部１７がデータ加工処理して（Ｔ３）、車外通信用バッファ１６ｂへデータコピーしておく（Ｔ４）。このデータ加工処理の内容を図６に概略的に示す。図６に示すように、情報制御部１７は、アクセス制御リスト記憶部１８内のアクセス制御リストＬからデータ処理方法を読み出し（Ｕ１）、分解能演算し（Ｕ２）、アクセス制御リストＬに記憶された暗号化処理を施すことを記憶し（Ｕ３）、データを書き込む（Ｕ４）。なお、これらのデータ加工処理の合間に、分類レベルＩ～ＩＶに応じたデータ改竄検知処理を行うようにしても良い。このデータ改竄検知処理は、証明書を付与することで確からしさを確認しても良いし、車内通信用バッファ１６ａの記憶値が前回データと今回データとで異なっている場合に、その変化量が閾値レベルを超えているか否かで検知しても良いし、チェックサムなどのエラー検出符号を用いて検知しても良い。すると、車内通信用バッファ１６ａ又は車外通信用バッファ１６ｂ内に蓄積されるデータ信頼性を向上できる。
　図７に、データ分類レベルに応じた分解能演算処理用のマスクデータを示している。マスクデータが「１」の桁はデータをそのまま有効とする処理を行い、「０」の桁はデータをマスクし無効とする処理を行う。すなわち、上位桁のみ有効とし下位桁を無効としてデータ加工処理できる。この図７に示すマスクデータは、２進数単位でマスクするデータを示しているが、これに限られず、１０進数単位（例えば図３の分類レベルＩＩに示す「小数点以下切り捨て」など）で行うこともできる。このように、本実施形態では、データ処理装置４が外部からデータ要求される前に事前にデータ加工処理を行う。
　情報制御部１７は、図５のステップＴ３においてデータ加工処理を行い、ステップＴ４において車外通信用バッファ１６ｂにデータをコピーするが、このコピーされたデータについて例えば所定の基本周期（例えば１ｍ秒）毎に更新処理するか否かの判断を行い必要に応じて更新処理する。この情報制御部１７が行うデータ更新制御処理の内容を図８に概略的に示している。
　図８に示すように、情報制御部１７は、車内通信用バッファ１６ａを参照し、随時更新されるデータが車内通信用バッファ１６ａ内に存在するか否かを判定する（Ｖ１）。情報制御部１７は、更新対象データが存在すると判定すると（Ｖ１：ＹＥＳ）、その更新対象となる全ての更新対象データに対応した更新時間カウンタ（図示せず）をインクリメントし（Ｖ２）、対象アクセスレベル（分類レベル）に更新制御があるか否かを判定する（Ｖ３）。なお更新時間カウンタは、例えば個々の更新対象データに対応してマイコン１３内に予め用意される。
　ここで、情報制御部１７は、対象アクセスレベル（分類レベル）に更新制御ありと判定した場合には、このある対象データの更新時間カウンタの示す時間が更新周期を経過したか否かを判定する（Ｖ４）。情報制御部１７は、更新周期以上経過したと判定したときには、車外通信用バッファ１６ｂのデータを更新し（Ｖ５）、更新時間カウンタを０とする（Ｖ６）。これらのＶ３～Ｖ６の処理は、更新対象となる全てのデータを対象として行われる（Ｖ７：ＹＥＳ）。
　これにより、更新対象データは、アクセス制御リストＬに保持された分類レベルＩ～ＩＶに対応した更新タイミングに応じて、随時、車外通信用バッファ１６ｂに更新されることになる。図３のアクセス制御リストＬに示される例で説明すると、分類レベルＩ、ＩＩに分類されたデータは、更新対象となるデータについて、全て更新カウンタの内容に関わらず、この図８に示すルーチンが行われることで、ＣＡＮデータの更新周期に同期して直ぐにデータが更新されることになり、分類レベルＩＩＩに分類されたデータは、更新カウンタの更新周期Ａ２（＞基本周期：例えば１００ｍｓ固定周期）に応じて更新されることになる。これにより、データの更新タイミングをセキュリティレベルに応じて変更制御できる。
　例えば、車外のセンタ装置６又は携帯端末８が車両２内にデータを送信要求するタイミングが、車両２内の構成（ＥＣＵ３、４）にとって望ましいタイミングに合致することはない。このため、データ処理装置４は、このセキュリティレベルに応じた更新カウンタの更新周期に応じて車外通信用バッファ１６ｂに予め加工後のデータを更新させる。これにより、センタ装置６又は携帯端末８がどのようなタイミングでデータを送信要求してきたとしても、この送信要求に対し、個々のデータのセキュリティレベルに応じて車両データを即座に出力できるようになる。
　図５に示すように、データ処理装置４内のマイコン１３は、ステップＴ４において、情報制御部１７がデータ加工処理して車外通信用バッファ１６ｂへデータコピーしておき、図８に示すようにデータ更新制御するが、そのときにデータ送信要求があるか否かを判定し（Ｔ５）、データ送信要求があると（Ｔ５：ＹＥＳ）、車外通信用バッファ１６ｂからデータを取得し車外接続用スタック１９に格納する（Ｔ６）。そして、マイコン１３は、ステップＵ３において記憶された暗号化処理を施して車外接続用スタック１９から車外接続用通信コントローラ１２に書込み（Ｔ７）、車外接続用通信コントローラ１２は無線通信モジュール２１などを通じて、外部の携帯端末８又はセンタ装置６など送信要求元の装置にデータを出力する（Ｔ８）。このようにして、データ要求されたときには送信要求元の外部装置にデータを出力できる。
（具体例１）
　以下、具体例を説明する。例えば、車外のセンタ装置６が車内ネットワーク５内の多重バスを通じて通信される車輪速情報を定期的に提供するように要求した場合について説明する。車輪速情報は車内ネットワーク５を通じて通信されており、定期的に車内通信用バッファ１６ａに記憶される。情報制御部１７は、アクセス制御リストＬに記憶されたデータ処理方法をアクセス制御リスト記憶部１８から読込む。情報制御部１７は、車内ネットワーク５を通じて取得した車輪速情報について例えば分類レベルＩＩＩに分類されているデータであると判定し、アクセス制御リストＬに記憶されたデータ処理方法をアクセス制御リスト記憶部１８から読込む。ここでは、例えば、車輪速情報の「データの分解能」として１０倍の分解能、「更新タイミング」として車内ネットワークを通じて１０（＝Ａ２）回受信したら１回提供する更新周期、という情報であるとする。
　ここで、１０倍の分解能とは、例えばデータが１０進数で「５０．２３」、「５０．３５」、「５１．２３」、「５１．２０」、「５１．２５」、「５０．１０」、「５０．３３」、「５０．４０」、「５０．４５」、「５１．１０」、「５１．２１」、「５１．００」のとき、小数点２ケタ目を切り捨てし、「５０．２」、「５０．３」、「５１．２」、「５１．２」、「５１．２」、「５０．１」、「５０．３」、「５０．４」、「５０．４」、「５１．１」、「５１．２」、「５１．０」を出力することを意味する。なお、４捨５入処理するものであっても良い。また、データ１０回受信したら１回提供する場合には、最初のデータである「５０．２」と、１１回目のデータである「５１．２」とを車外通信用バッファ１６ｂに出力する。センタ装置６は、車内のデータ処理装置４に認証を受けた後、データ送信要求を行う。データ処理装置４は、送信要求を受け付けると、車外通信用バッファ１６ｂからデータを取得し、無線通信モジュール２１を通じてセンタ装置６に送信する。すると、センタ装置６は、データ処理装置４から「５０．２」、「５１．２」のデータを受信できる。
（具体例２）
　具体例２は、例えば携帯端末８が車内ネットワーク５を通じて通信されるエンジン水温のデータを要求した場合について説明する。エンジン水温のデータは車内ネットワーク５を通じて通信されており、定期的に車内通信用バッファ１６ａに記憶される。情報制御部１７は、アクセス制御リスト記憶部１８に記憶されたデータ処理方法をアクセス制御リストＬから読込む。ここでは、例えば、エンジン水温の情報の「データの分解能」として小数点以下切り捨て、「更新タイミング」として制限なし、暗号化はＲＳＡ、という情報とする。情報制御部１７は、エンジン水温データを小数点以下切り捨てて車外通信用バッファ１６ｂに記憶させる。
　携帯端末８は、車内のデータ処理装置４に認証を受けた後、データ送信要求を行う。データ処理装置４は送信要求を受け付けると、車外通信用バッファ１６ｂに記憶されているエンジン水温のデータをＲＳＡで暗号化処理し、無線通信モジュール２１を通じて携帯端末８に送信する。すると、携帯端末８は、データ処理装置４からエンジン水温のデータを受信できる。
　以上説明したように、本実施形態によれば、アクセス制御リスト記憶部１８は車外出力用のデータ処理方法を分類レベルＩ～ＩＶに応じて記憶しており、データ処理装置４はこの分類レベルＩ～ＩＶに応じたデータ処理方法に基づいて変換された変換後データを車外接続用スタック１９から出力している。これにより、車内に記憶される車両データのセキュリティ性を高めることができる。
　例えば、車両毎又は車両データ毎に、セキュリティ対策を設定すると、設定工数だけでなく、品質確保にも莫大な工数を要してしまうが、本実施形態では、車両データの種別に応じて分類された一群のデータグループ毎に管理しており、これらを分類レベルＩ～ＩＶに分けて管理している。
　このため、新たなセキュリティポリシーが策定された場合であっても、車両データに対して個別にセキュリティレベルを設定変更する必要がなくなる。また、車両データを追加する場合であっても、予め分類された一群の分類レベルＩ～ＩＶ内に属させる設定を行うだけで対応できる。
　車両用装置の開発企業は、当該装置を開発する中で車両データを新たにパラメータとして定義し、当該車両データを用いて開発を行うこともある。この中で、本実施形態に示したように、車両データを分類レベルＩ～ＩＶに分類することでセキュリティレベルを確保することができるが、多数の開発企業が開発に参加する中で、これらのセキュリティ方針がこれらの多数の開発企業間で異なることがある。
　そこで、本実施形態によれば、車両データを分類レベルＩ～ＩＶにおいてグルーピングし、情報制御部１７が、アクセス制御リスト記憶部１８に記憶されたアクセス制御リストＬの分類レベルＩ～ＩＶの何れかに車両データを変更設定可能にされている。これにより、開発企業ごとにセキュリティ方針が互いに異なっていたとしても、これらの開発企業の要望に合わせたセキュリティレベルに変更できるようになり、これらの方針に合わせて柔軟に対応できる。
　車外通信用バッファ１６ｂは予め処理された変換後データを記憶しており、外部から車両データが要求されたときに変換後データを出力しているため、外部からデータ送信要求されたときであっても即座に対応できる。
　また、車外通信用バッファ１６ｂは、車両データの分類レベルＩ～ＩＶ毎に予め処理された変換後データをアクセス制御リスト記憶部１８のアクセス制御リストＬに記憶される更新タイミングで記憶する。このため、更新周期が、ＣＡＮによるデータ更新周期と同期していても、その基本周期より大きい更新周期Ａ２となっていたとしても、変換後データを車外通信用バッファ１６ｂに予め用意することができ、外部からデータ送信要求されたときに即座に対応できる。
　また、マイコン１３は、データの更新周期に応じてデータ更新タイミングを変更して例えば更新周期Ａ２とし、車両データの内部更新タイミングと車両データの出力タイミングとを非同期化してデータ出力している。このため、車両制御の周期、ＥＣＵ３によるアクチュエータの制御タイミングなどを外部から推定しにくくできる。
　また、車両データの属性に応じてデータ加工処理しているため、車両の制御内容などの機密性、セキュリティ性の高い情報を車外から把握されないようにすることができる。
　（第２実施形態）
　図９～図１０は第２実施形態を示す。第２実施形態では車外通信用バッファ１６ｂを設けることなく構成した形態を示す。第１実施形態では、データ処理装置４が携帯端末８又はセンタ装置６などの装置から送信要求を受け付ける前に、データ処理装置４がデータを予め加工処理し車外通信用バッファ１６ｂに記憶させる形態を示した。第２実施形態では、データ処理装置１０４が装置８又は６から送信要求を受け付けるときに、データ処理装置１０４がデータを加工処理する形態を示す。
　図１のデータ処理装置４に代えて図９に示すデータ処理装置１０４は、データ記憶部１６に代わるデータ記憶部１１６として車内通信用バッファ１６ａを備えているが、車外通信用バッファ１６ｂを備えていない。図５に代わる図１０にフローチャートを示すように、データ処理装置１０４内のマイコン１３は、車内ネットワーク５を通じてデータをフレーム単位で取り出し（Ｗ１）、車内通信用バッファ１６ａにデータコピーする（Ｗ２）ところまでは、図５に示すステップＴ１、Ｔ２の処理と同様であるが、マイコン１３は、ここで予めデータを加工処理することなく待機する。
　データ処理装置１０４内の情報制御部１７は、データ送信要求があったときに（Ｗ３：ＹＥＳ）、車内通信用バッファ１６ａからデータを取得し（Ｗ４）、データ加工処理を行う（Ｗ５）。このデータ加工処理の内容は、図６の処理と同様であるため説明を省略する。このデータ加工処理後のデータは、車外接続用スタック１９に直接格納される。そして、マイコン１３は、車外接続用スタック１９から車外接続用通信コントローラ１２に書き込み（Ｗ６）、車外接続用通信コントローラ１２は無線通信モジュール２１などを通じて、外部の携帯端末８又はセンタ装置６などの送信要求元の装置にデータを出力する（Ｗ７）。このようにして、データ要求されたときには送信要求元の装置６又は８にデータを出力できる。
　以上説明したように、本実施形態によれば、マイコン１３は、外部から車両データが要求されたときにアクセス制御リストＬに記載されたデータ処理方法に応じて車両データを変換している。このような場合であっても、分類レベルＩ～ＩＶに応じて車両データのデータ処理方法を変更することができ、車両データのセキュリティレベルを分類レベルＩ～ＩＶに応じて変更できる。これにより、前述実施形態と同様の効果を奏する。
　（第３実施形態）
　図１１～図１２Ｂは第３実施形態を示す。第３実施形態では、データの送信要求元、または、アプリケーション分類ごとにセキュリティ対策を施す形態を示す。第１実施形態では車両データの分類レベルＩ～ＩＶ毎にセキュリティ対策を変更した形態を示したが、本実施形態では、これに加えて、データの送信要求元、または、アプリケーションのユースケースごとに、セキュリティ対策を変更可能にする。
　携帯端末８又はセンタ装置６などの外部装置には、アプリケーションが組込まれており、このアプリケーションが動作することで車外から車内のデータ処理装置４にアクセス可能になる。このアクセス元は、その携帯端末８やセンタ装置６のＩＤ属性などの情報（端末情報、デバイス情報）、その所持者の個人情報（プライバシ情報）、使用アプリケーションなど、に応じて変化するが、前述実施形態に示したように、送信要求元のＩＤ情報はデータ送信要求前に事前登録される（図４及びその説明参照）。
　この場合、アクセス権（アクセス可否、セキュリティ対策方法（データ処理方法））をこれらのデバイス毎、アプリケーション毎、アプリケーションの利用者（使用者）毎、又は、アプリケーションの開発者毎、に設定しても良い。また、これらのユーザの例えば開発者の職種、所属などのグループ毎、又は／及び、アプリケーションの例えばカテゴリ、ジャンルなどのグループ毎に設定しても良い。
　例えば、データ要求元をセンタ装置６とした場合、このセンタ装置６のオペレータに対しては、セキュリティレベル（分類レベル）を低く保ち、携帯端末８の借受人（例えば、宅配業者などのサービス提供業者）に対しては、セキュリティレベル（分類レベル）を高くすると良い。
　また、別の観点を考慮したとき、データ要求元をセンタ装置６のデバイスとし、センタ装置６と車両２との間の通信網７のセキュリティ（秘匿性等）が十分確保されている場合、逆に、センタ装置６に対してはセキュリティレベル（分類レベル）を低く保ち、データ要求元が携帯端末８のデバイスであったときに、車外通信９のセキュリティが十分確保されていないときには、逆に携帯端末８に対してはセキュリティレベル（分類レベル）を高くすると良い。
　このとき、さらに細かくセキュリティ対策する場合、第１実施形態に示した分類レベルＩ～ＩＶと、人物又はアプリケーションの分類レベル等とで複数次元的に分類しても良い。図１２Ａには分類レベルの概要を示しており、図１２Ｂには、複数次元的に分類した形態を示している。これらの図１２Ａ及び図１２Ｂに示す内容は、アクセス制御リスト記憶部１８にアクセス制御リストＬとして記憶されている。
　縦軸には、第１実施形態で説明した分類レベルＩ～ＩＶを示しており、横軸にはアプリケーションの分類レベルＸ～Ｚを示している。ただし、縦軸の分類レベルＩ～ＩＶは個々のレベルが２つに細分化されたレベル（図１２Ｂ中の縦軸において、「＿１」が付された分類レベルはセキュリティレベル低、「＿２」が付された分類レベルはセキュリティレベル高）を示している。
　横軸を人物の分類と考慮すれば、この横軸の分類レベルＸは、例えば携帯端末８のオーナー、センタ装置６の信頼されたオペレータなど、データを扱う権限が比較的高い人物等のＩＤ情報に割り当てられる。また、横軸の分類レベルＹは、車体販売業者（ディーラー）など所有者ほどの権限は有していないものの、比較的信頼性の高い人物等のＩＤ情報に割り当てられる。また、横軸の分類レベルＺは、携帯端末８の借入者、宅配業者などの特定サービス提供業者のＩＤ情報に対し割り当てられ、例えばオーナーに比較すると信頼性の低い人のＩＤ情報に割り当てられる。
　また、横軸をアプリケーション分類と考慮すれば、横軸の分類レベルＸは個人認証の必要なアプリケーション（例えばログインパスワード必要なアプリケーション）などであり、分類レベルＹ、Ｚは例えば一般人が誰でも使用可能なアプリケーション、などに割り当てられる。また、これらの分類は、人物のグループ毎、または、アプリケーションのグループ毎に分けても良い。
　この図１２Ｂの２次元セキュリティレベルに示すように、分類レベルＸのセキュリティレベルを低い傾向とし、分類レベルＺのセキュリティレベルを高い傾向として設定している。これは、信頼性の高い人物またはアプリケーションから車両データが送信要求された場合にはセキュリティを低く保っても良く、信頼性の低い人物またはアプリケーションから車両データが送信要求された場合には、セキュリティを高く保つ必要があるためである。
　図１１にデータ処理装置４によるデータ処理方法を概略的に示すように、データ処理装置は、データ要求元（機器ＩＤ）、対象データ名（データＩＤ）を取得すると（Ｘ１）、図１２Ａ、図１２Ｂに示すアクセス制御リストＬからデータの分類レベルＩ～ＩＶ、Ｘ～Ｚを取得し（Ｘ２）、アクセス制御リストＬに記載された分類レベルに応じて、分解能演算し（Ｘ３）、暗号化処理を行う（Ｘ４）。そして、データ処理装置４中のマイコン１３は、この加工後の車両データをデータ要求元に対して送信する。この場合、第１実施形態に示したように車外通信用バッファ１６ｂに予め処理された変換後データを用意しておいても良いし、第２実施形態に示したように車外通信用バッファ１６ｂを設けず外部からデータ送信要求を受け付けたときにデータ変換処理してデータ要求元に送信しても良い。このようにして、本実施形態の処理を実現する。
　本実施形態によれば、アクセス制御リスト記憶部１８が、車両データを要求するアプリケーションまたは当該アプリケーションを分類したアプリケーショングループ毎にアクセス制御リストＬ内にデータ処理方法を記憶している場合には、情報制御部１７はこのアプリケーションまたはそのグループ毎にデータ処理方法を分けて車両データを変換、加工することができる。これによりセキュリティ性を高めることができる。
　また、アクセス制御リスト記憶部１８が、車両データを使用するユーザまたはそのグループ毎にデータ処理方法を記憶している場合には、情報制御部１７はこのユーザまたはそのグループ毎にデータ処理方法を分けて車両データを変換、加工することができる。これによりセキュリティ性を高めることができる。
　また、アクセス制御リスト記憶部１８が、第１実施形態に示した分類レベルＩ～ＩＶ毎で、且つ、アプリケーション又はそのグループ毎にデータ処理方法を複数次元的に記憶している場合には、例えば第１実施形態の処理に比較してセキュリティ性を高めることができる。
　また、アクセス制御リスト記憶部１８が、第１実施形態に示した分類レベルＩ～ＩＶ毎で、且つ、ユーザ又はそのグループ毎にデータ処理方法を複数次元的に記憶している場合には、例えば第１実施形態の処理に比較してセキュリティ性を高めることができる。
　車外通信用バッファ１６ｂが、車両データを要求するアプリケーションまたはそのアプリケーションを分類したアプリケーショングループ毎に予め処理された変換後データを記憶する場合には、外部からデータ送信要求されたときに即座に対応することができる。
　車外通信用バッファ１６ｂが、車両データを要求するユーザまたはそのグループ毎に予め処理された変換後データを記憶する場合には、外部からデータ送信要求されたときに即座に対応することができる。
　（他の実施形態）
　本開示は前述の実施形態に限定されるものではなく、例えば、以下に示す変形又は拡張が可能である。
　アクセス制御リスト記憶部１８は、分類レベルＩ～ＩＶに応じたデータ処理方法そのものを記憶する形態を示したが、これらの分類レベルＩ～ＩＶに応じたデータ処理方法のＩＤ情報などを記憶しこれらのデータ処理方法の詳細は別途記憶されていても良い。本開示の「データ処理方法」にはこの内容も含まれるものである。
　例えば、車両２内には盗難に備えて侵入センサ（図示せず）が設置されることもある。このような場合、この侵入センサのセンサ情報は車内ネットワーク５を通じて車内通信用バッファ１６ａに蓄積される。車両２に設置された侵入センサ（図示せず）による例えば侵入検知に係る内部イベントが発生すると、マイコン１３が車両データを外部のセンタ装置６に自主的に出力する形態に適用しても良い。このような場合でも前述形態に示した効果を奏する。前述した各実施形態の構成は個別又は組み合わせて適用できる。
　データ処理装置４、１０４は、本開示の車両用データ変換装置に対応し、車内通信用バッファ１６ａは取得部に対応し、車外通信用バッファ１６ｂは第２記憶部に対応し、情報制御部１７は変換部に対応し、アクセス制御リスト記憶部１８は第１記憶部に対応し、車外接続用スタック１９は出力部に対応する。
　この出願に記載されるフローチャート、あるいは、フローチャートの処理は、複数のステップ（あるいはセクションと言及される）から構成され、各ステップは、たとえば、Ｓ１、Ｕ１、Ｔ１、Ｖ１、Ｗ１、Ｘ１と表現される。さらに、各ステップは、複数のサブステップに分割されることができる、一方、複数のステップが合わさって一つのステップにすることも可能である。
　以上、車両用データ変換装置及び車両用データ出力方法の実施形態、構成、態様を例示したが、本開示に係わる実施形態、構成、態様は、上述した各実施形態、各構成、各態様に限定されるものではない。例えば、異なる実施形態、構成、態様にそれぞれ開示された技術的部を適宜組み合わせて得られる実施形態、構成、態様についても本開示に係わる実施形態、構成、態様の範囲に含まれる。

 

Claims (14)

  1. 　車両内から車両データを取得する取得部（１６ａ）と、
    　前記取得部により取得される車両データに対応した分類レベルに応じた車外出力用のデータ処理方法を記憶する第１記憶部（１８）と、
    　前記第１記憶部により記憶されたデータ処理方法に応じて変換された車両データを出力する出力部（１９）と、を備える車両用データ変換装置。
  2. 　前記第１記憶部は、前記車両データに応じて分類されたグループ毎にデータ処理方法を記憶する請求項１記載の車両用データ変換装置。
  3. 　前記第１記憶部は、セキュリティ方針変更に応じて前記車両データに対応したデータ処理方法を変更設定可能である請求項１または２記載の車両用データ変換装置。
  4. 　前記第１記憶部は、前記車両データを要求するアプリケーションまたは当該アプリケーションを分類したアプリケーショングループ毎にデータ処理方法を記憶する請求項１記載の車両用データ変換装置。
  5. 　前記第１記憶部は、前記車両データを使用するユーザまたはそのグループ毎にデータ処理方法を記憶する請求項１又は４記載の車両用データ変換装置。
  6. 　前記第１記憶部は、前記車両データに応じて分類された分類レベル毎で、且つ、前記車両データを要求するアプリケーション又は当該アプリケーションを分類したアプリケーショングループ毎にデータ処理方法を記憶する請求項１記載の車両用データ変換装置。
  7. 　前記第１記憶部は、前記車両データに応じて分類された分類レベル毎で、且つ、前記車両データを使用するユーザのグループ毎にデータ処理方法を記憶する請求項１又は６記載の車両用データ変換装置。
  8. 　前記第１記憶部は、前記データ処理方法として、前記車両データの分解能処理方法、データの更新周期、データの暗号化方法、データの改竄検知、の何れか、または、これらの何れか２つ以上の組合せの方法を記憶する請求項１～７の何れか一項に記載の車両用データ変換装置。
  9. 　前記第１記憶部に記憶された前記データ処理方法により予め処理された変換後データを記憶する第２記憶部（１６ｂ）をさらに備え、
    　前記出力部は、外部から車両データが要求されたときに前記第２記憶部に記憶された変換後データを出力する請求項１記載の車両用データ変換装置。
  10. 　前記第２記憶部は、前記車両データを要求するアプリケーション又は当該アプリケーションを分類したアプリケーショングループ毎に予め処理された変換後データを記憶する請求項９記載の車両用データ変換装置。
  11. 　前記第２記憶部は、前記車両データを使用するユーザまたはそのグループ毎に予め処理された変換後データを記憶する請求項９記載の車両用データ変換装置。
  12. 　前記第１記憶部は、前記データ処理方法として分類レベルに応じた更新タイミングを記憶するものであり、
    　前記第２記憶部は、前記車両データの分類レベル毎に予め処理された変換後データを前記第１記憶部に記憶される更新タイミングで記憶する請求項９記載の車両用データ変換装置。
  13. 　外部から車両データが要求されたときに前記第１記憶部に記憶されたデータ処理方法に応じて変換する変換部（１７）をさらに備える請求項１～８の何れか一項に記載の車両用データ変換装置。
  14. 　車両内から車両データを取得し、
    　前記車両データに対応して予め第１記憶部に記憶されたデータ処理方法に応じて変換された車両データを出力する車両用データ出力方法。

     
PCT/JP2015/003964 2014-08-26 2015-08-06 車両用データ変換装置及び車両用データ出力方法 WO2016031149A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
ES15835224T ES2839204T3 (es) 2014-08-26 2015-08-06 Dispositivo de conversión de datos de un vehículo y método de salida de datos de un vehículo
US15/503,846 US10599854B2 (en) 2014-08-26 2015-08-06 Vehicular data conversion apparatus and vehicular data output method
EP15835224.5A EP3188068B1 (en) 2014-08-26 2015-08-06 Vehicular data conversion device and vehicular data output method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2014-171546 2014-08-26
JP2014171546A JP2016045860A (ja) 2014-08-26 2014-08-26 車両用データ変換装置及び車両用データ出力方法

Publications (1)

Publication Number Publication Date
WO2016031149A1 true WO2016031149A1 (ja) 2016-03-03

Family

ID=55399069

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2015/003964 WO2016031149A1 (ja) 2014-08-26 2015-08-06 車両用データ変換装置及び車両用データ出力方法

Country Status (5)

Country Link
US (1) US10599854B2 (ja)
EP (1) EP3188068B1 (ja)
JP (1) JP2016045860A (ja)
ES (1) ES2839204T3 (ja)
WO (1) WO2016031149A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107585115A (zh) * 2016-07-08 2018-01-16 现代自动车株式会社 车辆、包括该车辆的车辆系统以及车辆系统的控制方法

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20170150361A1 (en) * 2015-11-20 2017-05-25 Faraday&Future Inc. Secure vehicle network architecture
JP6870273B2 (ja) * 2016-10-25 2021-05-12 住友電気工業株式会社 通信制御装置、スイッチ装置、車外通信装置、通信制御方法および通信制御プログラム
KR102304709B1 (ko) 2017-03-03 2021-09-23 현대자동차주식회사 V2x 통신 메시지에 대하여 적응적 보안 레벨을 적용하는 방법 및 장치
JP6743763B2 (ja) 2017-05-31 2020-08-19 株式会社デンソー 記録制御装置
KR101882194B1 (ko) * 2018-06-12 2018-08-27 현대자동차주식회사 차량, 이를 포함하는 차량 시스템, 및 차량 시스템의 제어방법
US10827356B2 (en) * 2018-08-29 2020-11-03 Continental Teves Ag & Co. Ohg Electronic device, vehicle system and method for safeguarding wireless data communication
CN109542971A (zh) * 2018-11-29 2019-03-29 北京车联天下信息技术有限公司 车辆数据处理方法、装置和可读存储介质
DE102019003893A1 (de) * 2019-06-03 2020-12-03 Daimler Ag Verfahren zur Übermittlung von Informationen
JP2023170483A (ja) * 2022-05-19 2023-12-01 株式会社デンソー 電子制御装置、車両情報提供方法及び車両情報提供プログラム
CN115604029B (zh) * 2022-11-29 2023-04-07 广州万协通信息技术有限公司 安全芯片的车辆信息管理方法及安全芯片装置

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005252458A (ja) * 2004-03-02 2005-09-15 Toyota Motor Corp 車両遠隔操作システム及び通信局装置
JP2009037486A (ja) * 2007-08-02 2009-02-19 Casio Comput Co Ltd サーバベース・コンピューティング・システムのサーバ装置、及びプログラム
WO2011152042A1 (ja) * 2010-05-31 2011-12-08 三洋電機株式会社 端末装置および基地局装置

Family Cites Families (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3982848B2 (ja) 1995-10-19 2007-09-26 富士通株式会社 セキュリティレベル制御装置及びネットワーク通信システム
JP2004328239A (ja) * 2003-04-23 2004-11-18 Denso Corp 無線通信システム、車載通信端末およびセンター通信端末
US7162389B2 (en) * 2003-12-01 2007-01-09 Fujitsu-Ten Limited Evaluation device for control unit, simulator, and evaluation system
US7119705B2 (en) * 2004-10-30 2006-10-10 Delphi Technologies, Inc. Shielded capacitive load cell apparatus responsive to weight applied to a vehicle seat
JP4907880B2 (ja) 2005-02-23 2012-04-04 株式会社エヌ・ティ・ティ・ドコモ 携帯情報端末およびデータ保護方法
JP4622627B2 (ja) 2005-03-30 2011-02-02 ブラザー工業株式会社 通信装置、通信システム及びプログラム
JP2006344128A (ja) 2005-06-10 2006-12-21 Canon Inc 画像処理装置
JP2007048047A (ja) 2005-08-10 2007-02-22 Nec Infrontia Corp データ出力制御方法及びシステム
US20070273205A1 (en) * 2006-05-22 2007-11-29 Denso Corporation Communication system for use in data communications between power generator and external unit
US20090146802A1 (en) * 2006-05-22 2009-06-11 Searete Llc, A Limited Liability Corporation Of The State Of Delaware Converting raw data t representative information for indicators or actuators
US8261202B2 (en) * 2008-06-25 2012-09-04 Honeywell International Inc. Systems and methods for providing a common time manipulation service to desktop applications
US20110175594A1 (en) * 2010-01-19 2011-07-21 Hitachi, Ltd. Apparatus for measuring the magnitude of an electric field
JP5692578B2 (ja) 2011-01-25 2015-04-01 日本精機株式会社 車両情報取得装置及び車両情報取得方法
JP5783103B2 (ja) * 2012-03-23 2015-09-24 株式会社デンソー 車両用データ通信システム及び車両用データ通信装置
DE102013101508A1 (de) 2012-02-20 2013-08-22 Denso Corporation Datenkommunikationsauthentifizierungssystem für ein Fahrzeug, Netzkopplungsvorrichtung für ein Fahrzeug, Datenkommunikationssystem für ein Fahrzeug und Datenkommunikationsvorrichtung für ein Fahrzeug
JPWO2013136742A1 (ja) * 2012-03-14 2015-08-03 パナソニックＩｐマネジメント株式会社 車載通話装置
JP5729337B2 (ja) 2012-03-21 2015-06-03 株式会社デンソー 車両用認証装置、及び車両用認証システム
CN104205084B (zh) * 2012-03-30 2018-05-22 英特尔公司 从基于处理器的设备收集数据
JP6036845B2 (ja) * 2012-12-05 2016-11-30 トヨタ自動車株式会社 車両用ネットワークの認証システム及び車両用ネットワークの認証方法
JP5712995B2 (ja) * 2012-12-20 2015-05-07 トヨタ自動車株式会社 通信システム、通信装置及び通信方法
US9223989B2 (en) * 2013-03-18 2015-12-29 International Business Machines Corporation Approval of content updates

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005252458A (ja) * 2004-03-02 2005-09-15 Toyota Motor Corp 車両遠隔操作システム及び通信局装置
JP2009037486A (ja) * 2007-08-02 2009-02-19 Casio Comput Co Ltd サーバベース・コンピューティング・システムのサーバ装置、及びプログラム
WO2011152042A1 (ja) * 2010-05-31 2011-12-08 三洋電機株式会社 端末装置および基地局装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3188068A4 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107585115A (zh) * 2016-07-08 2018-01-16 现代自动车株式会社 车辆、包括该车辆的车辆系统以及车辆系统的控制方法
CN107585115B (zh) * 2016-07-08 2022-05-31 现代自动车株式会社 车辆、包括该车辆的车辆系统以及车辆系统的控制方法

Also Published As

Publication number Publication date
EP3188068A4 (en) 2017-09-06
ES2839204T3 (es) 2021-07-05
JP2016045860A (ja) 2016-04-04
US10599854B2 (en) 2020-03-24
EP3188068A1 (en) 2017-07-05
US20170270305A1 (en) 2017-09-21
EP3188068B1 (en) 2020-10-21

Similar Documents

Publication Publication Date Title
WO2016031149A1 (ja) 車両用データ変換装置及び車両用データ出力方法
US10850684B2 (en) Vehicle secure messages based on a vehicle private key
CN109791566B (zh) 控制加密车载数据访问的系统和方法
EP3403246B1 (en) A device and method for collecting user-based insurance data in vehicles
CN109890004B (zh) 具有增强的隐私的安全的车辆数据管理
JP2019201423A (ja) 不正検知ルール更新方法、不正検知電子制御ユニット及び車載ネットワークシステム
CN105490803A (zh) 分配用于管理对ecu的访问的秘密密钥
US20140189814A1 (en) Method for vehicle communication, interface module, vehicle diagnosis interface, user communication terminal, data network system and diagnosis and control network
CN104170313B (zh) 增强隐私性的车辆数据分发
US9281942B2 (en) Password encryption for controlling access to electronic control units
WO2019035275A1 (ja) 車両保安システム及び車両保安方法
US20140032045A1 (en) Vehicle Communication System, Access Data Device, and Telematics Communication System
JP2012203428A (ja) 認証システム及び認証方法
US20150310451A1 (en) Vehicle driver tracking and reporting
CN111741049A (zh) 用于安全车辆部件通信的设备、系统和方法
JP7412506B2 (ja) 不正検知ルール更新方法、不正検知電子制御ユニット及び車載ネットワークシステム
US8954006B2 (en) Computer to vehicle wireless link
CN104875715A (zh) 用于peps车辆的车队操作的存储器管理
CN109196817B (zh) 通信系统以及车载通信装置
EP2490395A1 (en) Method and system for access control for near field communication
CN111831985A (zh) 利用身份识别设备提供车队系统的方法和装置
JP6669154B2 (ja) 車両用データ変換装置及び車両用データ出力方法
CN107451921A (zh) 用于授权保险和注册保险单的车辆计算机系统
CN114039771B (zh) 一种数据处理方法、装置、系统、电子设备及存储介质
WO2021177670A1 (ko) 차량 생성 데이터를 수집 및 관리하는 방법 및 시스템

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15835224

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 15503846

Country of ref document: US

REEP Request for entry into the european phase

Ref document number: 2015835224

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2015835224

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE