WO2021039622A1 - 認証方法、認証システム及び認証装置 - Google Patents

認証方法、認証システム及び認証装置 Download PDF

Info

Publication number
WO2021039622A1
WO2021039622A1 PCT/JP2020/031591 JP2020031591W WO2021039622A1 WO 2021039622 A1 WO2021039622 A1 WO 2021039622A1 JP 2020031591 W JP2020031591 W JP 2020031591W WO 2021039622 A1 WO2021039622 A1 WO 2021039622A1
Authority
WO
WIPO (PCT)
Prior art keywords
vehicle
certificate
external device
authentication
communication
Prior art date
Application number
PCT/JP2020/031591
Other languages
English (en)
French (fr)
Inventor
良浩 氏家
松島　秀樹
藤原　睦
Original Assignee
パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ filed Critical パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ
Priority to CN202080007417.4A priority Critical patent/CN113348124A/zh
Priority to JP2021508008A priority patent/JP7490636B2/ja
Priority to EP20857326.1A priority patent/EP4024244A4/en
Publication of WO2021039622A1 publication Critical patent/WO2021039622A1/ja
Priority to US17/381,397 priority patent/US11966458B2/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W60/00—Drive control systems specially adapted for autonomous road vehicles
    • B60W60/001—Planning or execution of driving tasks
    • B60W60/0015—Planning or execution of driving tasks specially adapted for safety
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W30/00—Purposes of road vehicle drive control systems not related to the control of a particular sub-unit, e.g. of systems using conjoint control of vehicle sub-units
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W60/00—Drive control systems specially adapted for autonomous road vehicles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/84—Vehicles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/48—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for in-vehicle communication

Definitions

  • This disclosure relates to an authentication method, an authentication system and an authentication device in an automatic driving system.
  • the driving of automobiles has been shifting from driving by humans to driving by a driving system that adopts automatic driving.
  • the electronic control unit hereinafter, ECU: Electronic Control Unit
  • ECU Electronic Control Unit
  • the automatic driving system is roughly divided into three configurations.
  • the three configurations determine the optimum traveling route and traveling speed based on the information from the cognitive unit that acquires information such as traffic conditions by means of sensors or communications for measuring the surrounding environment, and the information from the cognitive unit.
  • It is a control unit that operates the accelerator, brake, steering, etc. based on the judgment result of the judgment unit and the judgment unit.
  • research and development are continuously being promoted in order to realize more advanced automatic driving, and the technological evolution is remarkable. Since it is inevitable that the development of a vehicle will take a long time for several years in general, a method of realizing a cognitive unit and a judgment unit as separate external devices is being studied. By connecting an external device that is separate from the vehicle equipped with parts that realize a more advanced automatic driving system to a vehicle that already has an automatic driving system, it is possible to always realize the latest automatic driving system. Become.
  • Non-Patent Document 1 the automatic operation level is defined in 6 stages of 0-5, and the responsibility is defined according to each level.
  • an object of the present disclosure to provide an authentication method or the like that can appropriately determine the automatic driving level of the entire automatic driving system when an external device is attached to the vehicle.
  • the authentication method includes automatic driving including a vehicle and an external device that communicates with the vehicle and provides a function for the vehicle to perform automatic driving.
  • An authentication method in the system wherein the vehicle holds a first certificate for proving the validity of the vehicle, and the external device is a second certificate for proving the validity of the external device. The certificate is held, and the authentication method is based on the result of device authentication between the vehicle and the external device using the first certificate and the second certificate, and the vehicle and the external device. It is characterized by activating a third certificate to prove the validity of the combination with the device.
  • FIG. 1 is a diagram showing an example of the overall configuration of the automatic driving system according to the first embodiment.
  • FIG. 2 is a diagram showing an example of the configuration of the ECU according to the first embodiment.
  • FIG. 3 is a diagram showing an example of the configuration of the automatic operation ECU according to the first embodiment.
  • FIG. 4 is a diagram showing an example of the configuration of the communication ECU on the vehicle side in the first embodiment.
  • FIG. 5 is a diagram showing an example of the format of the public key certificate.
  • FIG. 6 is a diagram showing an example of the format of the certificate table according to the first embodiment.
  • FIG. 7 is a diagram showing an example of the configuration of the communication ECU on the external device side in the first embodiment.
  • FIG. 1 is a diagram showing an example of the overall configuration of the automatic driving system according to the first embodiment.
  • FIG. 2 is a diagram showing an example of the configuration of the ECU according to the first embodiment.
  • FIG. 3 is a diagram showing an example of the configuration of the automatic operation E
  • FIG. 8 is a sequence diagram showing an example of the operation of authentication between the vehicle and the external device in the first embodiment.
  • FIG. 9 is a flowchart showing an example of the operation of validating the public key certificate in the first embodiment.
  • FIG. 10 is a flowchart showing an example of the operation of invalidating the public key certificate in the first embodiment.
  • FIG. 11 is a flowchart showing an example of the operation of validating the public key certificate in the modified example of the first embodiment.
  • FIG. 12 is a flowchart showing an example of an operation of invalidating the public key certificate in the modified example of the first embodiment.
  • FIG. 13 is a diagram showing an example of the overall configuration of the automatic driving system according to the second embodiment.
  • FIG. 14 is a diagram showing an example of the configuration of the communication ECU on the vehicle side in the second embodiment.
  • FIG. 15 is a diagram showing an example of the configuration of the V2X communication ECU according to the second embodiment.
  • FIG. 16 is a diagram showing an example of the configuration of the server according to the second embodiment.
  • FIG. 17 is a diagram showing an example of the format of the certificate table according to the second embodiment.
  • FIG. 18 is a sequence diagram showing an example of an operation of issuing a public key certificate according to the second embodiment.
  • FIG. 19 is a sequence diagram showing an example of an operation of invalidating the public key certificate according to the second embodiment.
  • FIG. 20 is a sequence diagram showing an example of an operation of issuing a public key certificate in a modified example of the second embodiment.
  • FIG. 21 is a sequence diagram showing an example of an operation of invalidating the public key certificate in the modified example of the second embodiment.
  • FIG. 22 is a diagram showing an example of the overall configuration of the automatic driving system according to the third embodiment.
  • FIG. 23 is a diagram showing an example of the configuration of the communication ECU on the vehicle side in the third embodiment.
  • FIG. 24 is a diagram showing an example of the configuration of the communication ECU on the external device side in the third embodiment.
  • FIG. 25 is a sequence diagram showing an example of the operation of issuing the public key certificate according to the third embodiment.
  • FIG. 26 is a sequence diagram showing an example of the operation of invalidating the public key certificate in the third embodiment.
  • FIG. 27 is a sequence diagram showing an example of an operation of issuing a public key certificate in a modified example of the third embodiment.
  • FIG. 28 is a sequence diagram showing an example of an operation of invalidating the public key certificate in the modified example of the third embodiment.
  • the authentication method in one embodiment of the present disclosure includes automatic driving including a vehicle and an external device that communicates with the vehicle and provides a function for the vehicle to perform automatic driving.
  • An authentication method in the system wherein the vehicle holds a first certificate for proving the validity of the vehicle, and the external device is a second certificate for proving the validity of the external device. The certificate is held, and the authentication method is based on the result of device authentication between the vehicle and the external device using the first certificate and the second certificate, and the vehicle and the external device. It is characterized by activating a third certificate to prove the validity of the combination with the device.
  • the device authentication between the vehicle and the external device is performed, and if the device authentication is successful, the autonomous driving system is included in the autonomous driving system as a result of the device authentication. It is possible to recognize the combination of a legitimate vehicle and a legitimate external device. For example, an autonomous driving system holds a third certificate for each combination of vehicle and external device, and each third certificate corresponds to the autonomous driving level of the entire autonomous driving system for each combination. There is. Therefore, the autonomous driving system activates the third certificate corresponding to the recognized combination and the autonomous driving level corresponding to the activated third certificate, that is, the automatic when the vehicle and the external device are combined. It is possible to recognize the automatic driving level of the entire driving system. In this way, it is possible to appropriately determine the automatic driving level of the entire automatic driving system when the external device is attached to the vehicle, and the system as a whole can maintain a safe state.
  • the authentication method further outputs information on the automatic driving level of the entire automatic driving system when the vehicle and the external device are combined, which corresponds to the activated third certificate. May be a feature.
  • the third certificate corresponding to at least one of the vehicle ID of the vehicle and the device ID of the external device obtained as a result of the device authentication is validated. May be a feature.
  • the third certificate corresponding to the vehicle ID or the device ID can be validated.
  • the third certificate may be characterized in that it is issued when the vehicle is manufactured and is held in advance in the vehicle.
  • the third certificate is valid for combinations other than the specific combination. It is possible to limit the conversion, and the system as a whole can be maintained in a safer state.
  • the automatic driving system may further include a server, and the third certificate may be sent from the server to the vehicle or the external device when the device authentication is performed.
  • the activation of the third certificate may be characterized in that the third certificate is activated when the traveling state of the vehicle satisfies a specific condition.
  • the third certificate can be activated only when the running condition of the vehicle satisfies a specific condition. For example, it is possible to enable the vehicle at a timing when the traveling state of the vehicle does not affect the driver, and to maintain the convenience.
  • the traveling state of the vehicle satisfying the specific condition may be characterized in that the vehicle is stopped.
  • an external device is not attached to a moving vehicle, so that an external device is attached to a vehicle while driving, in other words, device authentication is performed while driving, which causes some abnormality. It may be. Therefore, by validating the third certificate only when the vehicle is stopped, it is possible to prevent the third certificate from being validated in a state where an abnormality may have occurred. In addition, it is possible to suppress malfunctions such as accidentally validating the third certificate while the vehicle is running.
  • the state of the vehicle and the external device is monitored, and the third certificate is invalidated in response to the change in the state.
  • the third certificate is invalidated depending on the condition of the vehicle and external devices. It is possible to set the automatic operation level appropriately.
  • the state is a communication state between the vehicle and the external device, and in the invalidation of the third certificate, when the communication state becomes abnormal, the third certificate is used. It may be characterized by invalidating.
  • the third method depends on the communication status between the vehicle and the external device, which affects the automatic driving level. It is possible to invalidate the certificate and set the automatic driving level appropriately.
  • the monitoring of the state may be characterized in that the state is monitored when the traveling state of the vehicle satisfies a specific condition.
  • the traveling state of the vehicle satisfying the specific condition may be characterized in that the vehicle is stopped.
  • the authentication system in one embodiment of the present disclosure is an authentication system in an automatic driving system including a vehicle and an external device that communicates with the vehicle and provides a function for the vehicle to perform automatic driving.
  • the vehicle holds a first certificate to prove the validity of the vehicle
  • the external device holds a second certificate to prove the validity of the external device.
  • the authentication system is valid for the combination of the vehicle and the external device based on the result of device authentication between the vehicle and the external device using the first certificate and the second certificate. It is characterized by having a management unit that activates a third certificate for certifying the sex.
  • the authentication device is provided in the vehicle in the automatic driving system including the vehicle and an external device that communicates with the vehicle and provides a function for the vehicle to perform automatic traveling.
  • An authentication device the authentication device holds a holding unit that holds a first certificate for proving the validity of the vehicle, and a second certificate for proving the validity of the external device.
  • the authentication device includes the vehicle, an external device that communicates with the vehicle and provides a function for the vehicle to perform automatic traveling, and the external device in the automatic driving system.
  • the authentication device includes a holding unit that holds a second certificate for proving the validity of the external device, and a first certificate for proving the validity of the vehicle.
  • FIG. 1 is a diagram showing an example of the overall configuration of the automatic operation system 1000 according to the first embodiment.
  • the automatic driving system 1000 is composed of a vehicle 1001 and an external device 1002 that operates in connection with the vehicle 1001.
  • the vehicle 1001 includes ECUs 1100a, 1100b, 1100c and 1100d connected by various in-vehicle networks, cameras 1010, brakes 1011 and steering wheels 1012 and accelerators 1013, which are controlled by each ECU, and ECUs 1100a to 1100d, respectively. It is composed of an automatic driving ECU 1200 that communicates and controls related to automatic driving, and a communication ECU 1300 that communicates with the automatic driving ECU 1200 via an in-vehicle network.
  • the ECUs 1100a to 1100d realize control of the vehicle by transmitting and receiving communication messages to and from each other through the in-vehicle network.
  • Ethernet registered trademark
  • CAN registered trademark
  • Control Area Network Controller Area Network
  • the automatic driving ECU 1200 communicates with other ECUs through the in-vehicle network, and makes judgments and control instructions necessary for automatic driving.
  • the communication ECU 1300 communicates with the external device 1002 and transmits / receives a message to / from the external device 1002 and another ECU in the vehicle 1001.
  • the external device 1002 is a device that communicates with the vehicle 1001 and provides one or more functions for the vehicle 1001 to perform automatic driving (for example, steering and acceleration / deceleration instructions).
  • the external device 1002 includes an ECU 1100e, a Peripheral 1014 that is a control target of the ECU 1100e, and a communication ECU 1400 that communicates with the ECU 1100e via an in-vehicle network.
  • the ECU 1100e exchanges communication messages through the in-vehicle network, like the ECU 1100a and the like. Ethernet or the like is used for the in-vehicle network.
  • the communication ECU 1400 communicates with the vehicle 1001 and transmits / receives messages to / from the vehicle 1001 and other ECUs in the external device 1002.
  • FIG. 2 is a diagram showing an example of the configuration of the ECU 1100a according to the first embodiment.
  • the ECU 1100a is composed of a communication unit 1101 and a message conversion unit 1102. Since the ECU 1100b, the ECU 1100c, the ECU 1100d, and the ECU 1100e have the same configuration, the description thereof will be omitted here.
  • the communication unit 1101 communicates with an external ECU or various sensors through the in-vehicle network.
  • the communication unit 1101 notifies the message conversion unit 1102 of the received message or sensor value.
  • the communication unit 1101 transmits the message notified by the message conversion unit 1102 to another ECU or various sensors.
  • the message conversion unit 1102 converts the sensor values of the various sensors notified by the communication unit 1101 based on the format of the vehicle-mounted network, and transmits the sensor values to other ECUs via the communication unit 1101. Further, the message conversion unit 1102 converts the communication message received from the communication unit 1101 into sensor values or setting information, and transmits the communication message to various sensors via the communication unit 1101.
  • FIG. 3 is a diagram showing an example of the configuration of the automatic operation ECU 1200 according to the first embodiment.
  • the automatic operation ECU 1200 is composed of a communication unit 1201, a determination unit 1202, and an automatic operation level management unit 1203.
  • the communication unit 1201 communicates with another ECU via the vehicle-mounted network, and notifies the determination unit 1202 and the automatic operation level management unit 1203 of the received message. Further, the communication unit 1201 transmits the message notified from the determination unit 1202 to another ECU.
  • the determination unit 1202 acquires various sensor values from the received message notified from the communication unit 1201 and transmits necessary control instructions to other ECUs via the communication unit 1201.
  • the automatic operation level management unit 1203 manages the current automatic operation level by acquiring the information of the current certificate from the message notified from the communication unit 1201 and notifies the judgment unit 1202.
  • the determination unit 1202 can operate according to the current automatic operation level. For example, the type of sensor used or the amount of data may be changed according to the current level of automatic operation.
  • FIG. 4 is a diagram showing an example of the configuration of the communication ECU 1300 on the vehicle 1001 side according to the first embodiment.
  • the communication ECU 1300 is composed of a communication unit 1301, an authentication processing unit 1302, an authentication information holding unit 1303, a certificate management unit 1304, and a certificate holding unit 1305.
  • the communication ECU 1300 is an example of an authentication device included in the vehicle 1001 in the automatic driving system 1000.
  • the communication unit 1301 communicates with the external device 1002.
  • the communication unit 1301 communicates with the external device 1002 by wire.
  • the communication unit 1301 communicates with the automatic driving ECU 1200 in the vehicle 1001 via the in-vehicle network.
  • the communication unit 1301 may perform communication with a server or the like.
  • the communication unit 1301 notifies the authentication processing unit 1302 and the certificate management unit 1304 of the communication message received from the external device 1002.
  • the communication unit 1301 receives a notification from the authentication processing unit 1302 and transmits a communication message to the external device 1002.
  • the communication unit 1301 outputs information on the automatic driving level of the entire automatic driving system 1000 when the vehicle 1001 and the external device 1002 are combined, which corresponds to the activated third certificate. This is an example of the output unit.
  • the authentication processing unit 1302 communicates with the external device 1002 via the communication unit 1301 and performs authentication processing of the external device 1002.
  • the authentication processing unit 1302 is an example of an authentication unit that authenticates the external device 1002 by using a second certificate for proving the validity of the external device 1002. Further, the authentication processing unit 1302 acquires the information required for the authentication processing from the authentication information holding unit 1303. In addition, the authentication processing unit 1302 notifies the certificate management unit 1304 of the result of the authentication processing.
  • the authentication information holding unit 1303 holds a key pair of a private key and a public key certificate.
  • the authentication information holding unit 1303 is an example of a holding unit that holds a first certificate for proving the validity of the vehicle 1001.
  • the public key certificate held by the authentication information holding unit 1303 is an example of the first certificate.
  • the private key and the public key certificate are embedded in the authentication information holding unit 1303 at the time of shipment of the vehicle 1001.
  • FIG. 5 is a diagram showing an example of the format of the public key certificate.
  • the public key certificate consists of version, issuer, start and end of validity period, automatic operation level, certificate ID, signature of certificate authority, etc.
  • the public key certificate does not have to include the automatic driving level.
  • the certificate holding unit 1305 holds the public key certificate group and the certificate table.
  • the public key certificate held by the certificate holding unit 1305 is an example of a third certificate for proving the validity of the combination of the vehicle 1001 and the external device 1002.
  • the certificate holding unit 1305 obtains a third certificate (that is, a third certificate group) for each various combination of the vehicle 1001 and the external device 1002. Hold.
  • the third certificate group is issued when the vehicle 1001 is manufactured and is held in advance in the vehicle 1001.
  • the third certificate group is embedded in the certificate holding unit 1305 at the time of shipment of the vehicle 1001.
  • Each of the third certificate groups corresponds to the automatic driving level of the entire automatic driving system 1000 when the external device 1002 is attached to the vehicle 1001.
  • FIG. 6 is a diagram showing an example of the format of the certificate table in the first embodiment.
  • Each row in the certificate table corresponds to each third certificate.
  • each row in the certificate table contains the certificate ID of the third certificate, the automated driving level corresponding to the third certificate, the device ID corresponding to the third certificate, and the third certificate. It is composed of the state of. The state of each third certificate is rewritten as valid or invalid according to the current state.
  • the certificate management unit 1304 is an example of a management unit that validates a third certificate using the authentication result of the authentication processing unit 1302.
  • the certificate management unit 1304 uses the authentication result notified from the authentication processing unit 1302 and the certificate table held in the certificate holding unit 1305 to authenticate from among the third certificate group held in advance.
  • the third certificate according to the result is notified to the authentication information holding unit 1303 and stored in the authentication information holding unit 1303.
  • the notified third certificate is registered in the authentication information holding unit 1303, and the third certificate is activated.
  • the certificate management unit 1304 deletes the third certificate stored in the authentication information holding unit 1303 based on the communication processing result from the communication unit 1301.
  • the registration of the third certificate in the authentication information holding unit 1303 is canceled, and the activated third certificate is invalidated.
  • the details of the process of validating and revoking the third certificate will be described later.
  • FIG. 7 is a diagram showing an example of the configuration of the communication ECU 1400 on the external device 1002 side in the first embodiment.
  • the communication ECU 1400 is composed of a communication unit 1401, an authentication processing unit 1402, and an authentication information holding unit 1403.
  • the communication unit 1401 communicates with the vehicle 1001. For example, the communication unit 1401 communicates with the vehicle 1001 by wire. Further, the communication unit 1401 communicates with the ECU 1100e in the external device 1002 via the in-vehicle network. The communication unit 1401 notifies the authentication processing unit 1402 of the communication message received from the vehicle 1001. Further, the communication unit 1401 receives a notification from the authentication processing unit 1402 and transmits a communication message to the vehicle 1001.
  • the authentication processing unit 1402 communicates with the vehicle 1001 via the communication unit 1401 and performs the authentication processing of the vehicle 1001.
  • the authentication processing unit 1402 is an example of an authentication unit that authenticates the vehicle 1001 by using the first certificate for proving the validity of the vehicle 1001. Further, the authentication processing unit 1402 acquires the information required for the authentication processing from the authentication information holding unit 1403.
  • the authentication information holding unit 1403 holds a key pair of a private key and a public key certificate.
  • the authentication information holding unit 1403 is an example of a holding unit that holds a second certificate for proving the validity of the external device 1002.
  • the public key certificate held by the authentication information holding unit 1403 is an example of the second certificate.
  • the private key and the public key certificate are embedded in the authentication information holding unit 1403 at the time of shipment of the external device 1002. Since the format of the public key certificate (second certificate) is the same as that of FIG. 5, for example, the description thereof will be omitted here.
  • FIG. 8 is a sequence diagram showing an example of the operation of authentication between the vehicle 1001 and the external device 1002 in the first embodiment.
  • the external device 1002 executes a connection request to the vehicle 1001 (S1101). At this time, the external device 1002 also transmits the device ID of the external device 1002 and the public key certificate (that is, the second certificate).
  • the vehicle 1001 verifies the signature of the public key certificate received from the external device 1002 (S1102). If the verification is not successful (N in S1102), the vehicle 1001 notifies the external device 1002 of an error and ends the process.
  • the vehicle 1001 If the verification is successful (Y in S1102), the vehicle 1001 generates a random number and transmits the generated random number to the external device 1002 together with the vehicle ID of the vehicle 1001 and the public key certificate (that is, the first certificate) (that is, the first certificate). S1103).
  • the external device 1002 receives the random number and the public key certificate, and verifies the signature of the public key certificate received from the vehicle 1001 (S1104). If the verification is not successful (N in S1104), the external device 1002 notifies the vehicle 1001 of an error and ends the process.
  • the external device 1002 When the verification is successful (Y in S1104), the external device 1002 generates a signature from the random number received from the vehicle 1001 and the private key of the external device 1002 (S1105).
  • the external device 1002 generates a random number and transmits the generated random number to the vehicle 1001 together with the signature generated in S1105 (S1106).
  • the vehicle 1001 receives the signature and the random number, and verifies the signature using the public key certificate received in S1101 (S1107). If the signature verification is not successful (N in S1107), the vehicle 1001 notifies the external device 1002 of an error and ends the process.
  • the vehicle 1001 When the signature verification is successful (Y in S1107), the vehicle 1001 generates a signature from the random number received in S1107 and the private key of the vehicle 1001, and transmits the generated signature to the external device 1002 (S1108).
  • the external device 1002 receives the signature and verifies the signature using the public key certificate received in S1104 (S1109). If the signature verification is not successful (N in S1109), the external device 1002 notifies the vehicle 1001 of an error and ends the process.
  • the vehicle 1001 registers the device ID of the external device 1002 as the connection destination, and the external device 1002 registers the vehicle ID of the vehicle 1001 as the connection destination (S1110).
  • the vehicle ID of the legitimate vehicle 1001 and the device ID of the legitimate external device 1002 are obtained.
  • the device ID is an identifier for identifying the external device 1002, and its format is not particularly limited. For example, it may be a MAC (Media Access Control) address or the like, and each manufacturer sets it individually. It may be an identifier to be used.
  • the vehicle ID is an identifier for identifying the vehicle 1001, and its format is not particularly limited. For example, it may be a MAC address or the like, or it may be an identifier individually set by each manufacturer. Good.
  • FIG. 9 is a flowchart showing an example of the operation of validating the public key certificate (third certificate) in the first embodiment.
  • the certificate management unit 1304 determines whether or not the registered device ID can be acquired (S1201). If the registered device ID does not exist, the certificate management unit 1304 cannot acquire the device ID (N in S1201), and ends the process as an error. Here, it is assumed that the authentication process shown in FIG. 8 is completed and the device ID is registered.
  • the certificate management unit 1304 When the device ID can be acquired (Y in S1201), the certificate management unit 1304 confirms whether the acquired device ID exists in the certificate table (S1202). If the acquired device ID does not exist in the certificate table (N in S1202), the certificate management unit 1304 ends the process as an error.
  • the certificate management unit 1304 changes the third certificate corresponding to the acquired device ID (Y in S1202) to "valid" (S1203). Specifically, the certificate management unit 1304 collates the acquired device ID with the certificate table, and notifies the authentication information holding unit 1403 of the third certificate of the certificate ID of the line corresponding to the device ID. Then, the state of the line corresponding to the device ID is changed to "valid". For example, when the external device 1002 having the device ID "XXX" is attached to the vehicle 1001 and the device authentication is completed, the certificate management unit 1304 acquires the device ID "XXX” and certifies the device ID "XXX”. By collating with the table, as shown in FIG.
  • the third certificate corresponding to at least one of the vehicle ID of the vehicle 1001 and the device ID of the external device 1002 obtained as a result of the device authentication between the vehicle 1001 and the external device 1002 is validated.
  • the third certificate corresponding to the device ID of the external device 1002 is validated.
  • the communication unit 1301 outputs information regarding the automatic operation level of the entire automatic operation system 1000 corresponding to the activated third certificate (S1204).
  • the automatic driving level of the entire automatic driving system 1000 is the automatic driving level of the automatic driving system 1000 when the vehicle 1001 and the external device 1002 are combined.
  • the automatic driving level is displayed on the display provided in the vehicle 1001 or the monitoring room for monitoring the vehicle 1001, or the manual driving is not required. It may be information for.
  • the information regarding the automatic operation level of the entire automatic operation system 1000 may be information for causing the automatic operation ECU 1200 to perform automatic operation according to the automatic operation level of the entire automatic operation system 1000.
  • FIG. 10 is a flowchart showing an example of an operation of invalidating the public key certificate (third certificate) in the first embodiment.
  • the certificate management unit 1304 monitors the communication status between the vehicle 1001 and the external device 1002 via the communication unit 1301 (S1301).
  • the certificate management unit 1304 determines whether or not an abnormality has occurred in the communication state between the vehicle 1001 and the external device 1002 (S1302). If no communication error has occurred (N in S1302), the certificate management unit 1304 ends the process.
  • the certificate management unit 1304 increments the error counter (S1303) when a communication error has occurred (Y in S1302).
  • the certificate management unit 1304 determines whether the error counter is equal to or higher than the threshold value (S1304). If the error counter is less than the threshold value (N in S1304), the process returns to S1302.
  • the threshold value is not particularly limited and may be set as appropriate.
  • the certificate management unit 1304 invalidates the activated third certificate (S1305). That is, the certificate management unit 1304 invalidates the activated third certificate when the communication abnormality between the vehicle 1001 and the external device 1002 continues for a certain period of time or more. For example, the certificate management unit 1304 invalidates the third certificate by deleting the third certificate stored in the authentication information holding unit 1303. At that time, the certificate management unit 1304 changes the state of the third certificate in the certificate table to "invalid".
  • the certificate management unit 1304 resets the error counter (S1306).
  • the certificate management unit 1304 deletes the device ID of the connection destination (S1307).
  • the certificate management unit 1304 monitors the state of the vehicle 1001 and the external device 1002, and invalidates the third certificate according to the change in the state.
  • the state of the vehicle 1001 and the external device 1002 is the communication state between the vehicle 1001 and the external device 1002, and the certificate management unit 1304 is in the third state when the communication state becomes abnormal. Invalidate the certificate.
  • a third certificate is installed in advance in addition to the first certificate of the vehicle 1001 and the second certificate of the external device 1002, and the vehicle 1001 and the vehicle 1001 are installed.
  • FIG. 11 is a flowchart showing an example of an operation of validating the public key certificate (third certificate) in the modified example of the first embodiment.
  • the third certificate is validated when the traveling state of the vehicle 1001 satisfies a specific condition.
  • the same steps as those in the first embodiment are assigned the same numbers, and the description thereof will be omitted.
  • the certificate management unit 1304 determines whether the running state of the vehicle 1001 is stopped before the third certificate is activated. (S1205).
  • the certificate management unit 1304 interrupts and ends the activation process of the third certificate, and when the vehicle 1001 is stopped (Y in S1205). ), Validate the third certificate (S1203).
  • FIG. 12 is a flowchart showing an example of an operation of invalidating the public key certificate (third certificate) in the modified example of the first embodiment.
  • the traveling state of the vehicle 1001 satisfies a specific condition
  • the state of the vehicle 1001 and the external device 1002 for example, the communication state between the vehicle 1001 and the external device 1002
  • the third certificate is revoked accordingly.
  • the same steps as those in the first embodiment are assigned the same numbers, and the description thereof will be omitted.
  • the certificate management unit 1304 determines whether or not the running state of the vehicle 1001 is stopped (S1308). When the vehicle 1001 is not stopped (N in S1308), the certificate management unit 1304 interrupts and ends the invalidation process of the third certificate, and when the vehicle 1001 is stopped (Y in S1308). ), Monitor the communication status (S1301), and continue the invalidation process.
  • a third certificate is installed in advance in addition to the first certificate of the vehicle 1001 and the second certificate of the external device 1002, and the vehicle When the vehicle 1001 and the external device 1002 operate together by switching the validity and invalidity of the third certificate based on the running state of the vehicle 1001 in addition to the communication result between the 1001 and the external device 1002. It is possible to determine the appropriate level of automatic driving and ensure safety.
  • the external device 1002 may have the function of the communication ECU 1300 of the vehicle 1001. That is, the third certificate group may be pre-installed in the external device 1002, and the validity and invalidity of the third certificate may be switched by the external device 1002. In this case, since the third certificate is validated in the external device 1002 and the device ID of the external device 1002 itself is fixed, the third certificate corresponding to the vehicle ID of the vehicle 1001 is validated. In this case as well, the same effect is achieved.
  • FIG. 13 is a diagram showing an example of the overall configuration of the automatic operation system 2000 according to the second embodiment.
  • the automatic driving system 2000 is composed of a vehicle 2001, an external device 1002 that operates in connection with the vehicle 2001, and a server 2600 that communicates with the vehicle 2001 in V2X.
  • the vehicle 2001 includes ECUs 1100a, 1100b, 1100c and 1100d connected by various in-vehicle networks, cameras 1010, brakes 1011 and steering wheels 1012 and accelerators 1013, which are controlled by each ECU, and ECUs 1100a to 1100d, respectively. It is composed of an automatic driving ECU 1200 that communicates and controls related to automatic driving, a communication ECU 2300 that communicates with the automatic driving ECU 1200 and the V2X communication ECU 2500 via an in-vehicle network, and a V2X communication ECU 2500 that communicates with the server 2600 in V2X.
  • an automatic driving ECU 1200 that communicates and controls related to automatic driving
  • a communication ECU 2300 that communicates with the automatic driving ECU 1200 and the V2X communication ECU 2500 via an in-vehicle network
  • a V2X communication ECU 2500 that communicates with the server 2600 in V2X.
  • the communication ECU 2300 communicates with the external device 1002 and transmits / receives a message to / from the external device 1002 and other ECUs in the vehicle 2001. Further, the communication ECU 2300 communicates with the server 2600 via the V2X communication ECU 2500, and a public key certificate (third certificate) corresponding to a new automatic driving level when the external device 1002 is attached to the vehicle 2001. ) Is sent and received to enable the message.
  • the V2X communication ECU 2500 communicates with the server 2600, and transmits / receives a message between the server 2600 and the communication ECU 2300 in the vehicle 2001.
  • the server 2600 communicates with the vehicle 2001, and according to the authentication result between the vehicle 2001 and the external device 1002, the public key certificate corresponding to the new automatic driving level when the external device 1002 is attached to the vehicle 2001 ( Issue a third certificate).
  • FIG. 14 is a diagram showing an example of the configuration of the communication ECU 2300 on the vehicle 2001 side in the second embodiment.
  • the communication ECU 2300 is composed of a communication unit 2301, an authentication processing unit 1302, an authentication information holding unit 1303, and a certificate management unit 2304.
  • the communication ECU 2300 is an example of an authentication device included in the vehicle 2001 in the automatic driving system 2000. Note that the same configuration as in the first embodiment is given the same number, and the following description will be omitted.
  • the communication unit 2301 communicates with the external device 1002. For example, the communication unit 2301 communicates with the external device 1002 by wire. Further, the communication unit 2301 communicates with the automatic driving ECU 1200 and the V2X communication ECU 2500 in the vehicle 2001 via the in-vehicle network. The communication unit 2301 notifies the authentication processing unit 1302 and the certificate management unit 2304 of the communication message received from the external device 1002 and the server 2600. Further, the communication unit 2301 receives a notification from the authentication processing unit 1302 and the certificate management unit 2304, and transmits a communication message to the external device 1002 and the server 2600.
  • the certificate management unit 2304 is an example of a management unit that validates a third certificate by using the authentication result of the authentication processing unit 1302.
  • the certificate management unit 2304 uses the authentication result notified from the authentication processing unit 1302 to pass the public key certificate (third certificate) corresponding to the new automatic operation level issued by the server 2600 via the communication unit 2301. It is acquired from the server 2600 and stored in the authentication information holding unit 1303. As a result, the third certificate is registered in the authentication information holding unit 1303, and the third certificate is validated on the vehicle 2001 side. Further, the certificate management unit 2304 deletes the third certificate of the authentication information holding unit 1303 based on the communication processing result from the communication unit 2301. As a result, the registration of the third certificate in the authentication information holding unit 1303 is canceled, and the third certificate that has been validated on the vehicle 2001 side is invalidated.
  • FIG. 15 is a diagram showing an example of the configuration of the V2X communication ECU 2500 according to the second embodiment.
  • the V2X communication ECU 2500 is composed of a communication unit 2501 and a message conversion unit 2502.
  • the communication unit 2501 communicates with the communication ECU 2300 through the in-vehicle network. In addition, the communication unit 2501 wirelessly communicates with the server 2600 through V2X communication. The communication unit 2501 notifies the message conversion unit 2502 of the received message. Further, the communication unit 2501 transmits the message notified by the message conversion unit 2502 to the communication ECU 2300 or the server 2600.
  • the message conversion unit 2502 converts the message received from the server 2600 via the communication unit 2501 based on the format of the vehicle-mounted network, and transmits the message to the communication ECU 2300 via the communication unit 2501. Further, the message conversion unit 2502 transmits the communication message received from the communication ECU 2300 via the communication unit 2501 to the server 2600 via the communication unit 2501.
  • FIG. 16 is a diagram showing an example of the configuration of the server 2600 according to the second embodiment.
  • the server 2600 is composed of a communication unit 2601, an authentication processing unit 2602, an authentication information holding unit 2603, a certificate management unit 2604, and a certificate holding unit 2605.
  • the server 2600 is an example of an authentication system in the automatic driving system 2000.
  • the communication unit 2601 carries out V2X communication with the vehicle 2001.
  • the communication unit 2601 notifies the authentication processing unit 2602 and the certificate management unit 2604 of the public key certificate (first certificate and second certificate) received from the vehicle 2001.
  • the communication unit 2601 receives a notification from the authentication processing unit 2602 and the certificate management unit 2604, and transmits a communication message to the vehicle 2001.
  • the communication unit 2601 is an example of an output unit that outputs information on the automatic driving level of the entire automatic driving system 2000 when the vehicle 2001 and the external device 1002 are combined, which corresponds to the activated third certificate. ..
  • the authentication processing unit 2602 communicates with the vehicle 2001 via the communication unit 2601 and performs signature verification processing of the public key certificate (first certificate and second certificate) notified from the vehicle 2001. In addition, the authentication processing unit 2602 acquires the information required for the signature verification process from the authentication information holding unit 2603. In addition, the authentication processing unit 2602 notifies the certificate management unit 2604 of the result of the signature verification processing.
  • the authentication information holding unit 2603 holds the key pair of the private key of the certificate authority and the public key certificate. Since an example of the configuration of the public key certificate is the same as that in FIG. 5, the description thereof is omitted here.
  • the certificate holding unit 2605 holds the certificate table.
  • FIG. 17 is a diagram showing an example of the format of the certificate table in the second embodiment.
  • Each row in the certificate table corresponds to each third certificate.
  • each row in the certificate table contains a combination of the certificate ID of the third certificate, the autonomous driving level to which the third certificate applies, and the vehicle ID and device ID corresponding to the third certificate. It consists of the state of the third certificate. The state of each third certificate is rewritten as valid or invalid according to the current state.
  • the certificate management unit 2604 is a management unit that validates the third certificate based on the result of device authentication between the vehicle 2001 and the external device 1002 using the first certificate and the second certificate. This is an example.
  • the certificate management unit 2604 proves the validity of the combination of the vehicle 2001 and the external device 1002 by using the authentication result notified from the authentication processing unit 2602 and the certificate table held in the certificate holding unit 2605.
  • a third certificate for this purpose is newly issued, notified to the vehicle 2001 via the communication unit 2601, and stored in the authentication information holding unit 2603. As a result, the notified third certificate is registered in the authentication information holding unit 2603, and the third certificate is activated on the server 2600 side.
  • the certificate management unit 2604 deletes the third certificate stored in the authentication information holding unit 2603 based on the invalidation instruction from the communication unit 2301. As a result, the registration of the third certificate in the authentication information holding unit 2603 is canceled, and the third certificate that has been validated on the server 2600 side is invalidated.
  • FIG. 18 is a sequence diagram showing an example of the operation of issuing the public key certificate (third certificate) in the second embodiment.
  • the vehicle 2001 determines whether or not the registered device ID can be acquired (S2201). If the vehicle 2001 does not have the registered device ID, the device ID cannot be acquired (N in S2201), and the authentication process is not completed, so the process ends. Here, it is assumed that the authentication process shown in FIG. 8 is completed and the device ID is registered.
  • the vehicle 2001 can acquire the device ID of the external device 1002 (Y in S2201)
  • the acquired device ID is the vehicle ID of the vehicle 2001, the public key certificate of the vehicle 2001 (first certificate), and the acquired device ID. It is transmitted to the server 2600 together with the public key certificate (second certificate) of the external device 1002.
  • the server 2600 receives the device ID of the external device 1002, the vehicle ID of the vehicle 2001, and the two types of public key certificates, and verifies the signatures of the two types of public key certificates received (S2202). If the verification is not successful (N in S2202), the server 2600 notifies the vehicle 2001 of an error and ends the process.
  • the server 2600 confirms whether or not the combination of the device ID and the vehicle ID received in S2202 exists in the certificate table (S2203). If the combination of the received device ID and the vehicle ID does not exist in the certificate table (N in S2203), the server 2600 notifies the vehicle 2001 to that effect and ends the process as an error.
  • the server 2600 issues a third certificate corresponding to the acquired combination and transmits it to the vehicle 2001 (S2204). Specifically, the certificate management unit 2604 of the server 2600 collates the acquired combination of the device ID and the vehicle ID with the certificate table, and obtains the third certificate of the certificate ID of the row corresponding to the combination. Notify the authentication information holding unit 2603 and change the state of the line corresponding to the combination to "valid".
  • the certificate management unit 2604 will perform the device ID "XXX” and the vehicle ID "XXX”. Acquires "AAA”, collates the combination of the device ID "XXX” and the vehicle ID "AAA” with the certificate table, and corresponds to the device ID "XXX” and the vehicle ID "AAA” as shown in FIG.
  • the third certificate of the line certificate ID "1" is notified to the authentication information holding unit 2603, and the state of the line corresponding to the device ID "XXX” and the vehicle ID "AAA” is changed to "valid".
  • the vehicle ID of the vehicle 2001 and the third certificate corresponding to the device ID of the external device 1002 obtained as a result of the device authentication between the vehicle 2001 and the external device 1002 are validated. Then, the third certificate activated on the server 2600 side is transmitted to the vehicle 2001.
  • Vehicle 2001 stores a third certificate issued by server 2600 (S2205).
  • a third certificate is stored in the authentication information holding unit 1303 in the communication ECU 2300 of the vehicle 2001, whereby the third certificate is also valid on the vehicle 2001 side.
  • the server 2600 outputs information on the automatic driving level of the entire automatic driving system 2000 when the vehicle 2001 and the external device 1002 are combined, which corresponds to the activated third certificate.
  • the vehicle 2001 for example, the communication unit 2301
  • the vehicle 2001 outputs information on the automatic driving level of the entire automatic driving system 2000 when the vehicle 2001 and the external device 1002 are combined, which corresponds to the activated third certificate. You may.
  • FIG. 19 is a sequence diagram showing an example of an operation of invalidating the public key certificate (third certificate) in the second embodiment.
  • the vehicle 2001 determines whether the error counter is equal to or higher than the threshold value (S2304), and if the error counter is equal to or higher than the threshold value (Y in S2304), the issued public key certificate (third certificate) is used by the server 2600. By notifying to, an invalidation instruction for invalidating the third certificate on the server 2600 is given. If the error counter does not exceed the threshold value (N in S2304), the process returns to S1302.
  • the vehicle 2001 and the server 2600 invalidate the third certificate held by each (S2305).
  • the certificate management unit 2304 in the communication ECU 2300 of the vehicle 2001 invalidates the third certificate by deleting the third certificate stored in the authentication information holding unit 1303.
  • the certificate management unit 2604 of the server 2600 invalidates the third certificate by deleting the third certificate stored in the authentication information holding unit 2603.
  • the certificate management unit 2604 changes the state of the third certificate in the certificate table to "invalid".
  • the automatic driving system 2000 includes the server 2600, and the third certificate is sent from the server 2600 to the vehicle 2001 when the device authentication is performed.
  • the third certificate can be activated or invalidated at any time, but the timing of activation or invalidation depends on the traveling state of the vehicle 2001. It may be controlled. This will be described as a modified example of the second embodiment. The same points as in the second embodiment will be omitted.
  • FIG. 20 is a sequence diagram showing an example of an operation of issuing a public key certificate (third certificate) in the modified example of the second embodiment.
  • a third certificate is issued when the traveling state of the vehicle 2001 satisfies a specific condition.
  • the same steps as in the second embodiment are assigned the same numbers, and the description thereof will be omitted.
  • FIG. 21 is a sequence diagram showing an example of an operation of invalidating the public key certificate (third certificate) in the modified example of the second embodiment.
  • the traveling state of the vehicle 2001 satisfies a specific condition
  • the state of the vehicle 2001 and the external device 1002 for example, the communication state
  • the third certificate is obtained according to the communication state. Is invalidated.
  • the steps similar to those of the first and second embodiments are assigned the same numbers, and the description thereof will be omitted.
  • the vehicle 2001 determines whether or not the running state of the vehicle 2001 is stopped (S2308).
  • the invalidation process of the third certificate is interrupted and terminated, and when the vehicle 2001 is stopped (Y in S2308), the communication status is monitored. (S1301), and the invalidation process is continued.
  • FIG. 22 is a diagram showing an example of the overall configuration of the automatic operation system 3000 according to the third embodiment.
  • the automatic driving system 3000 is composed of a vehicle 3001, an external device 3002 that operates in connection with the vehicle 3001, and a server 2600 that communicates with the external device 3002 in V2X.
  • the vehicle 3001 includes ECUs 1100a, 1100b, 1100c and 1100d connected by various in-vehicle networks, cameras 1010, brakes 1011 and steering wheels 1012 and accelerators 1013, which are controlled by each ECU, and ECUs 1100a to 1100d, respectively. It is composed of an automatic driving ECU 1200 that communicates and controls related to automatic driving, and a communication ECU 3300 that communicates with the automatic driving ECU 1200 via an in-vehicle network.
  • the communication ECU 3300 communicates with the external device 3002 and transmits / receives a message to / from the external device 3002 and other ECUs in the vehicle 3001.
  • the external device 3002 includes an ECU 1100e, a peripheral 1014 controlled by the ECU 1100e, a communication ECU 3400 that communicates with the ECU 1100e and the V2X communication ECU 2500 via an in-vehicle network, and a V2X communication ECU 2500 that communicates with the server 2600 in V2X. Ru.
  • the communication ECU 3400 communicates with the vehicle 3001 and transmits / receives a message to / from the vehicle 3001 and other ECUs in the external device 3002. Further, the communication ECU 3400 communicates with the server 2600 via the V2X communication ECU 2500, and a public key certificate (third certificate) corresponding to a new automatic driving level when the external device 3002 is attached to the vehicle 3001. ) Is sent and received to enable the message.
  • a public key certificate third certificate
  • FIG. 23 is a diagram showing an example of the configuration of the communication ECU 3300 on the vehicle 3001 side in the third embodiment.
  • the communication ECU 3300 is composed of a communication unit 3301, an authentication processing unit 3302, and an authentication information holding unit 1303. Note that the same configuration as in the first embodiment is given the same number, and the following description will be omitted.
  • the communication unit 3301 communicates with the external device 3002. For example, the communication unit 3301 communicates with the external device 3002 by wire. Further, the communication unit 3301 communicates with the automatic driving ECU 1200 in the vehicle 3001 via the in-vehicle network. The communication unit 3301 notifies the authentication processing unit 3302 of the communication message received from the external device 3002. Further, the communication unit 3301 receives a notification from the authentication processing unit 3302 and transmits a communication message to the external device 3002.
  • the authentication processing unit 3302 communicates with the external device 3002 via the communication unit 3301 and performs authentication processing of the external device 3002. Further, the authentication processing unit 3302 acquires the information required for the authentication processing from the authentication information holding unit 1303.
  • FIG. 24 is a diagram showing an example of the configuration of the communication ECU 3400 on the external device 3002 side according to the third embodiment.
  • the communication ECU 3400 is composed of a communication unit 3401, an authentication processing unit 3402, an authentication information holding unit 1403, and a certificate management unit 3404.
  • the communication ECU 3400 is an example of an authentication device included in the external device 3002 in the automatic operation system 3000. Note that the same configuration as in the first embodiment is given the same number, and the following description will be omitted.
  • the communication unit 3401 communicates with the vehicle 3001. For example, the communication unit 3401 communicates with the vehicle 3001 by wire. Further, the communication unit 3401 communicates with the ECU 1100e and the V2X communication ECU 2500 in the external device 3002 via the in-vehicle network. The communication unit 3401 notifies the authentication processing unit 3402 and the certificate management unit 3404 of the communication message received from the vehicle 3001 and the server 2600. Further, the communication unit 3401 receives a notification from the authentication processing unit 3402 and the certificate management unit 3404, and transmits a communication message to the vehicle 3001 and the server 2600.
  • the authentication processing unit 3402 communicates with the vehicle 3001 via the communication unit 3401 to perform the authentication processing of the vehicle 3001.
  • the authentication processing unit 3402 is an example of an authentication unit that authenticates the vehicle 3001 by using the first certificate for proving the validity of the vehicle 3001. Further, the authentication processing unit 3402 acquires the information required for the authentication processing from the authentication information holding unit 1403. In addition, the authentication processing unit 3402 notifies the certificate management unit 3404 of the result of the authentication processing.
  • the certificate management unit 3404 is an example of a management unit that validates a third certificate by using the authentication result of the authentication processing unit 3402.
  • the certificate management unit 3404 uses the authentication result notified from the authentication processing unit 3402 to issue a public key certificate (third certificate) corresponding to the new automatic operation level issued by the server 2600 to the communication unit 3401. It is acquired from the server 2600 via the system and stored in the authentication information holding unit 1403.
  • the third certificate is registered in the authentication information holding unit 1403, and the third certificate is validated on the external device 3002 side.
  • the certificate management unit 3404 deletes the third certificate of the authentication information holding unit 1403 based on the communication processing result from the communication unit 3401. As a result, the registration of the third certificate in the authentication information holding unit 1403 is canceled, and the third certificate that has been validated on the external device 3002 side is invalidated.
  • FIG. 25 is a sequence diagram showing an example of the operation of issuing the public key certificate (third certificate) in the third embodiment.
  • the external device 3002 determines whether or not the registered vehicle ID can be acquired (S3201). If the external device 3002 does not have the registered vehicle ID, the vehicle ID cannot be acquired (N in S3201), and the authentication process is not completed, so the process ends. Here, it is assumed that the authentication process shown in FIG. 8 is completed and the vehicle ID is registered.
  • the external device 3002 can acquire the vehicle ID of the vehicle 3001 (Y in S3201), the acquired vehicle ID is used as the device ID of the external device 3002 and the public key certificate (first certificate) of the vehicle 3001. , Is transmitted to the server 2600 together with the public key certificate (second certificate) of the external device 3002.
  • the server 2600 receives the device ID of the external device 3002, the vehicle ID of the vehicle 3001, and the two types of public key certificates, and verifies the signatures of the two types of public key certificates received (S3202). If the verification is not successful (N in S3202), the server 2600 notifies the external device 3002 of an error and ends the process.
  • the server 2600 confirms whether or not the combination of the device ID and the vehicle ID received in S3202 exists in the certificate table (S3203). If the combination of the received device ID and the vehicle ID does not exist in the certificate table (N in S3203), the server 2600 notifies the external device 3002 to that effect and ends the process as an error.
  • the server 2600 issues a third certificate corresponding to the acquired combination and transmits it to the external device 3002 ( S3204).
  • the external device 3002 stores the third certificate issued by the server 2600 (S3205).
  • the third certificate is stored in the authentication information holding unit 1403 in the communication ECU 3400 of the external device 3002, whereby the third certificate is validated on the external device 3002 side as well.
  • the server 2600 outputs information on the automatic driving level of the entire automatic driving system 3000 when the vehicle 3001 and the external device 3002 are combined, which corresponds to the activated third certificate.
  • the external device 3002 for example, the communication unit 3401
  • the communication unit 3401 provides information on the automatic driving level of the entire automatic driving system 3000 when the vehicle 3001 and the external device 3002 are combined, which corresponds to the activated third certificate. It may be output.
  • FIG. 26 is a sequence diagram showing an example of an operation of invalidating the public key certificate (third certificate) in the third embodiment.
  • the external device 3002 monitors the communication status with the vehicle 3001 (S3301).
  • the external device 3002 determines whether or not an abnormality has occurred in the communication state with the vehicle 3001 (S3302). If no communication abnormality has occurred (N in S3302), the external device 3002 ends the process.
  • the external device 3002 increments the error counter (S3303) when a communication error has occurred (Y in S3302).
  • the external device 3002 determines whether the error counter is equal to or higher than the threshold value (S3304), and if the error counter is equal to or higher than the threshold value (Y in S3304), the issued public key certificate (third certificate) is used as the server. By notifying the 2600, an invalidation instruction for invalidating the third certificate on the server 2600 is given. If the error counter does not exceed the threshold value (N in S3304), the process returns to S3302.
  • the external device 3002 and the server 2600 invalidate the third certificate held by each (S3305).
  • the certificate management unit 3404 in the communication ECU 3400 of the external device 3002 invalidates the third certificate by deleting the third certificate stored in the authentication information holding unit 1403.
  • the external device 3002 resets the error counter (S3306).
  • the external device 3002 deletes the vehicle ID of the connection destination (S3307).
  • the automatic operation system 3000 includes the server 2600, and the third certificate is sent from the server 2600 to the external device 3002 when the device authentication is performed.
  • a third certificate different from the first certificate of the vehicle 3001 and the second certificate of the external device 3002 is issued and issued by the server 2600.
  • the third certificate is managed in the external device 3002. Then, by switching the validity and invalidity of the third certificate based on the communication result between the vehicle 3001 and the external device 3002, appropriate automatic driving when the vehicle 3001 and the external device 3002 operate integrally is performed. It is possible to judge the level and ensure safety.
  • the third certificate can be activated or invalidated at any time, but the timing of activation or invalidation depends on the traveling state of the vehicle 3001. It may be controlled. This will be described as a modification of the third embodiment. The same points as in the third embodiment will be omitted.
  • FIG. 27 is a sequence diagram showing an example of an operation of issuing a public key certificate (third certificate) in the modified example of the third embodiment.
  • a third certificate is issued when the traveling state of the vehicle 3001 satisfies a specific condition.
  • the same steps as in the third embodiment are assigned the same numbers, and the description thereof will be omitted.
  • the running state of the vehicle 3001 satisfying a specific condition is stopped, and the running state of the vehicle 3001 is stopped before the external device 3002 starts the process of validating the third certificate. Whether or not it is determined (S3206).
  • the external device 3002 does not start the process for validating the third certificate and ends the process.
  • the external device 3002 starts a process for validating the third certificate when the vehicle 3001 is stopped (Y in S3206).
  • FIG. 28 is a sequence diagram showing an example of an operation of invalidating the public key certificate (third certificate) in the modified example of the third embodiment.
  • the traveling state of the vehicle 3001 satisfies a specific condition
  • the states of the vehicle 3001 and the external device 3002 for example, the communication state
  • the third certificate is obtained according to the communication state. Is invalidated.
  • the same steps as in the third embodiment are assigned the same numbers, and the description thereof will be omitted.
  • the external device 3002 determines whether or not the traveling state of the vehicle 3001 is stopped (S3308). When the vehicle 3001 is not stopped (N in S3308), the external device 3002 interrupts the invalidation process of the third certificate and ends, and when the vehicle 3001 is stopped (Y in S3308), The communication status is monitored (S3301), and the invalidation process is continued.
  • a third certificate different from the first certificate of the vehicle 3001 and the second certificate of the external device 3002 is issued and issued by the server 2600.
  • the third certificate is managed in the external device 3002. Then, by switching the validity and invalidity of the third certificate based on the running state of the vehicle 3001 in addition to the communication result between the vehicle 3001 and the external device 3002, the vehicle 3001 and the external device 3002 are integrated. It is possible to determine the appropriate level of automatic operation when operating, and to ensure safety.
  • Ethernet and CAN protocols are used as the in-vehicle network, but the present invention is not limited to this.
  • CAN-FD CAN with Flexible Data Rate
  • LIN Local Interconnect Network
  • MOST registered trademark
  • Media Oriented Systems Transport or the like
  • the in-vehicle network may have a network configuration in which these networks are combined as a sub-network.
  • the newly activated third certificate is managed by either the vehicle side or the external device side. Not limited to. Both the vehicle side and the external device side may have the same third certificate, or the types of certificates held by the vehicle side or the external device side may be divided according to the application.
  • the communication ECU in charge of communication between the vehicle and the external device includes a certificate management unit that performs authentication processing and certificate management.
  • the certificate management unit may be separately included in the dedicated ECU for certificate management, or may be included in the automatic operation ECU or other ECU.
  • the V2X communication ECU may include a certificate management unit.
  • the communication ECU determines an abnormality, but the configuration is not limited to this.
  • the communication content may be mirrored to another ECU, and the other ECU may determine the abnormality.
  • the separate ECU may be physically different from the communication ECU, or may be logically different.
  • an application is provided that builds a virtual environment on a multifunctional ECU called a central gateway, zone ECU, or domain controller, and monitors the communication status on one of the virtual operating systems (hereinafter, OS). Is also good.
  • OS virtual operating systems
  • a similar virtual environment may be constructed on the communication ECU, and the communication status may be monitored from an OS different from the OS in charge of communication.
  • the communication state between the vehicle and the external device is set as the state of the vehicle and the external device, but the present invention is not limited to this.
  • the present invention is not limited to this.
  • the server plays the role of a certificate authority that newly issues a public key certificate (third certificate), but the configuration is not limited to this.
  • the server may simply acquire a certificate issued by another certificate authority in advance, store it, and send it to the vehicle or an external device at the timing.
  • the combination of the vehicle and the external device is determined using the certificate table, and the automatic driving level is determined.
  • the automatic driving system as a whole is automatically combined in advance in the certificate.
  • the driving level may be incorporated. That is, it may be possible that information similar to the certificate table is already incorporated in the certificate, and the automatic operation level of the entire automatic operation system can be determined without referring to the certificate table.
  • the running state of the vehicle is determined, but this may be determined by a specific ECU, and the other ECU may acquire the running state via the in-vehicle network.
  • Each ECU may independently determine the running state.
  • the state such as accessory ON, ignition ON, low speed running or high speed running may be determined.
  • the activation may be performed only in a specific traveling state other than the stopped state such as parking or traveling, or the activation may be permitted only in a state other than the ignition ON state even during parking. Further, the activation may be performed at the timing of a change in the traveling state such as from traveling to stopping, from stopping to parking, and the like.
  • invalidation may be performed only in a specific running state other than when the vehicle is stopped, such as while parking or running. Further, the invalidation may be performed at the timing of a change in the running state, such as when the vehicle is stopped to running, or from low speed running to high speed running.
  • the third certificate is invalidated, that is, the automatic driving level is changed based on the communication result, but the driver is notified at the timing of the change. You may do so.
  • the ECU having a display device such as an infotainment system or a meter indicating the speed may be notified, and a pop-up display or an icon for the driver may be displayed at the timing of the change, or these may be turned off or changed. ..
  • Each device and system in the above embodiment is specifically a computer system composed of a microprocessor, a ROM, a RAM, a hard disk unit, a display unit, a keyboard, a mouse, and the like.
  • a computer program is recorded in the RAM or the hard disk unit.
  • Each device and system achieves its function by operating the microprocessor according to a computer program.
  • a computer program is configured by combining a plurality of instruction codes indicating commands to a computer in order to achieve a predetermined function.
  • Each device and system in the above embodiment may be composed of a part or all of the constituent elements of one system LSI (Large Scale Integration: large-scale integrated circuit).
  • the system LSI is an ultra-multifunctional LSI manufactured by integrating a plurality of components on one chip, and specifically, is a computer system including a microprocessor, a ROM, a RAM, and the like. .. A computer program is recorded in the RAM. The system LSI achieves its function by operating the microprocessor according to the computer program.
  • each part of each of the above-mentioned devices and components constituting the system may be individually integrated into one chip, or may be integrated into one chip so as to include a part or all of them.
  • the system LSI may also be referred to as an IC, LSI, super LSI or ultra LSI depending on the degree of integration. Further, the method of making an integrated circuit is not limited to LSI, and may be realized by a dedicated circuit or a general-purpose processor.
  • An FPGA Field Programmable Gate Array
  • a reconfigurable processor that can reconfigure the connection and settings of the circuit cells inside the LSI may be used.
  • Some or all of the components constituting each of the above devices may be composed of an IC card or a single module that can be attached to and detached from each device.
  • An IC card or module is a computer system composed of a microprocessor, ROM, RAM, and the like.
  • the IC card or module may include the above-mentioned super multifunctional LSI.
  • the microprocessor operates according to a computer program, the IC card or module achieves its function. This IC card or this module may have tamper resistance.
  • the present disclosure may be an authentication method.
  • the authentication method is a method in an automatic driving system including a vehicle and an external device that communicates with the vehicle and provides a function for the vehicle to perform automatic driving.
  • the vehicle holds a first certificate to prove the validity of the vehicle
  • the external device holds a second certificate to prove the validity of the external device.
  • the authentication method is executed by a computer, and the validity of the combination of the vehicle and the external device is determined based on the result of the device authentication between the vehicle and the external device using the first certificate and the second certificate. It includes a process of validating a third certificate for proof (eg, S1201 through S1203 in FIG. 9).
  • the present disclosure may be a computer program in which the authentication method is realized by a computer, or may be a digital signal composed of the computer program.
  • the present disclosure also describes non-temporary recording media capable of computer-readable computer programs or digital signals, such as flexible disks, hard disks, CD-ROMs, MOs, DVDs, DVD-ROMs, DVD-RAMs, BDs (Blue- It may be realized as being recorded in a ray (registered trademark) Disc) or a semiconductor memory. Further, the present disclosure may be a digital signal recorded on these recording media.
  • non-temporary recording media capable of computer-readable computer programs or digital signals, such as flexible disks, hard disks, CD-ROMs, MOs, DVDs, DVD-ROMs, DVD-RAMs, BDs (Blue- It may be realized as being recorded in a ray (registered trademark) Disc) or a semiconductor memory. Further, the present disclosure may be a digital signal recorded on these recording media.
  • a computer program or a digital signal may be transmitted via a telecommunication line, a wireless or wired communication line, a network represented by the Internet, data broadcasting, or the like.
  • the present disclosure is a computer system including a microprocessor and a memory, and the memory may record the above-mentioned computer program, and the microprocessor may operate according to the computer program.
  • another independent computer system executes the program or digital signal by recording the program or digital signal on a recording medium and transferring it, or by transferring the program or digital signal via a network or the like. May be.
  • the present disclosure is applicable to an autonomous driving system that includes a vehicle and an external device that communicates with the vehicle and provides a function for the vehicle to perform autonomous driving.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Mechanical Engineering (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Automation & Control Theory (AREA)
  • Transportation (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Human Computer Interaction (AREA)
  • Computing Systems (AREA)
  • Traffic Control Systems (AREA)
  • Lock And Its Accessories (AREA)

Abstract

車両と、車両と通信し、車両が自動走行を実施するための機能を提供する外部装置と、を含む自動運転システムにおける認証方法であって、車両は、車両の正当性を証明するための第一の証明書を保持し、外部装置は、外部装置の正当性を証明するための第二の証明書を保持し、認証方法は、第一の証明書と第二の証明書とを用いた、車両と外部装置との機器認証の結果に基づいて、車両と外部装置との組み合わせの正当性を証明するための第三の証明書を有効化する処理（Ｓ１２０１～Ｓ１２０３）を含む。

Description

認証方法、認証システム及び認証装置
　本開示は、自動運転システムにおける認証方法、認証システム及び認証装置に関する。
　近年、自動車の運転は、これまでの人による運転から、自動運転を採用した運転システムによる運転へのシフトが進んでいる。自動運転を採用した運転システム（以下、自動運転システム）では、各種センサの値からステアリング、ブレーキ及びアクセルなどの操作を全て電子制御ユニット（以下、ＥＣＵ：Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）が行う。これにより、ヒューマンエラーによる交通事故件数の減少、及び、排ガスなどによる環境汚染の抑制などが期待されている。
　一般に、自動運転システムは大きく３つの構成に分割される。３つの構成は、周囲の環境を計測するためのセンサ又は通信などにより、交通状況などの情報を取得する認知部、認知部からの情報に基づいて、最適な走行経路及び走行速度などを決定する判断部、判断部の判断結果に基づいて、アクセル、ブレーキ及びステアリングなどを操作する制御部である。この中で、特に認知部及び判断部に関する技術分野は、より高度な自動運転を実現するため、継続的に研究開発が進められており、技術の進化が著しくなっている。車両の開発は、一般に複数年に亘り、長期化することが避けられないため、認知部及び判断部を別体の外部装置として実現する方法が検討されている。既に自動運転システムを搭載した車両に、更に高度な自動運転システムを実現する部品を搭載した車両とは別体の外部装置を接続することで、常に最新の自動運転システムを実現することが可能となる。
　しかし、自動運転システムの完全な自動化を実現する過程においては、運転者及びＥＣＵによる操舵が混在するケースが存在することが想定されており、その責任の所在については多くの議論がなされている。例えば、非特許文献１では、自動運転レベルを０－５の６段階で規定し、それぞれのレベルに応じて、責任を定義している。
ＳＡＥ－Ｊ３０１６＿２０１８０６：Ｔａｘｏｎｏｍｙ　ａｎｄ　Ｄｅｆｉｎｉｔｉｏｎｓ　ｆｏｒ　Ｔｅｒｍｓ　Ｒｅｌａｔｅｄ　ｔｏ　Ｄｒｉｖｉｎｇ　Ａｕｔｏｍａｔｉｏｎ　Ｓｙｓｔｅｍｓ　ｆｏｒ　Ｏｎ－Ｒｏａｄ　Ｍｏｔｏｒ　Ｖｅｈｉｃｌｅ
　このような自動運転レベルに対応する場合、現在車両がどの自動運転レベルにいるのかが非常に重要となる。しかし、先述の別体の外部装置が存在する自動運転システムでは、外部装置が装着されることで更に高度な自動運転システムが実現されることから、自動運転レベルが、装着される外部装置に応じて変化し得る。すなわち、車両に外部装置が装着された際の自動運転レベルを適切に判断することが必要となる。
　そこで本開示は、上記課題を解決するため、車両に外部装置が装着された際の自動運転システム全体の自動運転レベルを適切に判断することができる認証方法等を提供することを目的とする。
　上記目的を達成するために、本開示の一態様である認証方法は、車両と、前記車両と通信し、前記車両が自動走行を実施するための機能を提供する外部装置と、を含む自動運転システムにおける認証方法であって、前記車両は、前記車両の正当性を証明するための第一の証明書を保持し、前記外部装置は、前記外部装置の正当性を証明するための第二の証明書を保持し、前記認証方法は、前記第一の証明書と前記第二の証明書とを用いた、前記車両と前記外部装置との機器認証の結果に基づいて、前記車両と前記外部装置との組み合わせの正当性を証明するための第三の証明書を有効化することを特徴とする。
　本開示によれば、車両に外部装置が装着された際の自動運転システム全体の自動運転レベルを適切に判断することができる。その結果、より安全な自動運転システムを提供することが可能となる。
図１は、実施の形態１における自動運転システムの全体構成の一例を示す図である。 図２は、実施の形態１におけるＥＣＵの構成の一例を示す図である。 図３は、実施の形態１における自動運転ＥＣＵの構成の一例を示す図である。 図４は、実施の形態１における車両側の通信ＥＣＵの構成の一例を示す図である。 図５は、公開鍵証明書のフォーマットの一例を示す図である。 図６は、実施の形態１における証明書テーブルのフォーマットの一例を示す図である。 図７は、実施の形態１における外部装置側の通信ＥＣＵの構成の一例を示す図である。 図８は、実施の形態１における車両と外部装置との認証の動作の一例を示すシーケンス図である。 図９は、実施の形態１における公開鍵証明書を有効化する動作の一例を示すフローチャートである。 図１０は、実施の形態１における公開鍵証明書を無効化する動作の一例を示すフローチャートである。 図１１は、実施の形態１の変形例における公開鍵証明書を有効化する動作の一例を示すフローチャートである。 図１２は、実施の形態１の変形例における公開鍵証明書を無効化する動作の一例を示すフローチャートである。 図１３は、実施の形態２における自動運転システムの全体構成の一例を示す図である。 図１４は、実施の形態２における車両側の通信ＥＣＵの構成の一例を示す図である。 図１５は、実施の形態２におけるＶ２Ｘ通信ＥＣＵの構成の一例を示す図である。 図１６は、実施の形態２におけるサーバの構成の一例を示す図である。 図１７は、実施の形態２における証明書テーブルのフォーマットの一例を示す図である。 図１８は、実施の形態２における公開鍵証明書を発行する動作の一例を示すシーケンス図である。 図１９は、実施の形態２における公開鍵証明書を無効化する動作の一例を示すシーケンス図である。 図２０は、実施の形態２の変形例における公開鍵証明書を発行する動作の一例を示すシーケンス図である。 図２１は、実施の形態２の変形例における公開鍵証明書を無効化する動作の一例を示すシーケンス図である。 図２２は、実施の形態３における自動運転システムの全体構成の一例を示す図である。 図２３は、実施の形態３における車両側の通信ＥＣＵの構成の一例を示す図である。 図２４は、実施の形態３における外部装置側の通信ＥＣＵの構成の一例を示す図である。 図２５は、実施の形態３における公開鍵証明書を発行する動作の一例を示すシーケンス図である。 図２６は、実施の形態３における公開鍵証明書を無効化する動作の一例を示すシーケンス図である。 図２７は、実施の形態３の変形例における公開鍵証明書を発行する動作の一例を示すシーケンス図である。 図２８は、実施の形態３の変形例における公開鍵証明書を無効化する動作の一例を示すシーケンス図である。
　上記課題を解決するために、本開示の一実施態様における認証方法は、車両と、前記車両と通信し、前記車両が自動走行を実施するための機能を提供する外部装置と、を含む自動運転システムにおける認証方法であって、前記車両は、前記車両の正当性を証明するための第一の証明書を保持し、前記外部装置は、前記外部装置の正当性を証明するための第二の証明書を保持し、前記認証方法は、前記第一の証明書と前記第二の証明書とを用いた、前記車両と前記外部装置との機器認証の結果に基づいて、前記車両と前記外部装置との組み合わせの正当性を証明するための第三の証明書を有効化することを特徴とする。
　自動運転システムにおける車両に外部装置が装着される場合、車両と外部装置との機器認証が行われ、機器認証が成功した場合、自動運転システムは、機器認証の結果として、自動運転システムに含まれる正当な車両と正当な外部装置との組み合わせを認識することができる。例えば、自動運転システムは、車両と外部装置との組み合わせ毎に第三の証明書を保持しており、各第三の証明書は、組み合わせ毎の自動運転システム全体の自動運転レベルに対応している。したがって、自動運転システムは、認識した組み合わせに対応する第三の証明書を有効化し、有効化した第三の証明書に対応する自動運転レベル、すなわち、車両と外部装置とを組み合わせたときの自動運転システム全体の自動運転レベルを認識することができる。このようにして、車両に外部装置が装着された際の自動運転システム全体の自動運転レベルを適切に判断することが可能となり、システム全体として、安全な状態を維持することができる。
　また、前記認証方法は、さらに、有効化された前記第三の証明書に対応する、前記車両と前記外部装置とを組み合わせたときの前記自動運転システム全体の自動運転レベルに関する情報を出力することを特徴としてもよい。
　これにより、自動運転システム全体の自動運転レベルを車両の乗員又は管理者などに通知したり、自動運転システム全体の自動運転レベルに応じた自動運転をしたりすることが可能となる。
　また、前記第三の証明書の有効化では、前記機器認証の結果として得られる前記車両の車両ＩＤ及び前記外部装置の機器ＩＤの少なくとも一方に対応する前記第三の証明書を有効化することを特徴としてもよい。
　このように、正当な車両の車両ＩＤ又は正当な外部装置の機器ＩＤを取得することで、当該車両ＩＤ又は当該機器ＩＤに対応する第三の証明書を有効化することができる。
　また、前記第三の証明書は、前記車両が製造されるときに発行され、前記車両に予め保持されていることを特徴としてもよい。
　これにより、外部の通信装置などを省略して、車両において素早く証明書の有効化が可能となる。また、特定の車両と特定の外部装置との特定の組み合わせについてのみ予め第三の証明書を発行しておくことで、当該特定の組み合わせ以外の組み合わせに対しては、第三の証明書の有効化を制限することが可能となり、システム全体として、さらに安全な状態を維持することができる。
　また、前記自動運転システムは、さらに、サーバを含み、前記第三の証明書は、前記機器認証が行われるときに前記サーバから前記車両又は前記外部装置へ送付されることを特徴としてもよい。
　これにより、予め発行しておいた証明書を保持するための記憶領域を車両等に設けなくてもよく、記憶領域を節約することが可能となる。また、車両と外部装置との新たな組み合わせについての第三の証明書の追加が容易となる。
　また、前記第三の証明書の有効化では、前記車両の走行状態が特定の条件を満たす場合に、前記第三の証明書を有効化することを特徴としてもよい。
　これにより、車両の走行状態が特定の条件を満たす場合にのみ第三の証明書を有効化することができる。例えば、車両の走行状態が運転者にとって影響ないタイミングに有効化し、利便性を落とさないことが可能となる。
　また、前記特定の条件を満たす前記車両の走行状態は、停車中であることを特徴としてもよい。
　通常、走行中の車両に外部装置が装着されることはないため、走行中において車両に外部装置が装着される、言い換えると、走行中において機器認証が行われるということは、何かしらの異常が発生している可能性がある。したがって、車両が停車中の場合にのみ第三の証明書を有効化することで、異常が発生している可能性がある状態で、第三の証明書が有効化されることを抑制できる。また、車両の走行中に誤って第三の証明書が有効化してしまうなどの誤動作を抑制することが可能となる。
　また、さらに、前記車両及び前記外部装置の状態を監視し、前記状態の変化に応じて、前記第三の証明書を無効化することを特徴としてもよい。
　車両及び外部装置の状態によっては、自動運転レベルを自動運転システム全体のものから車両単独のものに戻したほうがよい場合があるため、車両及び外部装置の状態に応じて第三の証明書を無効化して、適切に自動運転レベルを設定することが可能となる。
　また、前記状態は、前記車両と前記外部装置との間の通信状態であり、前記第三の証明書の無効化では、前記通信状態が異常となった場合に、前記第三の証明書を無効化することを特徴としてもよい。
　車両と外部装置との間で通信異常が発生した場合、車両及び外部装置を含む自動運転システムが正しく機能しないため、自動運転レベルに影響する車両と外部装置との通信状態に応じて第三の証明書を無効化して、適切に自動運転レベルを設定することが可能となる。
　また、前記状態の監視では、前記車両の走行状態が特定の条件を満たす場合に前記状態を監視することを特徴としてもよい。
　これにより、車両の走行状態が変化した際に、第三の証明書の無効化処理の必要性をチェックすることで、運転者の安全性を担保することが可能となる。
　また、前記特定の条件を満たす前記車両の走行状態は、停車中であることを特徴としてもよい。
　これにより、第三の証明書の無効化処理を車両が停車中の場合に限ることで、処理負荷を軽減する事が可能となる。
　また、本開示の一実施態様における認証システムは、車両と、前記車両と通信し、前記車両が自動走行を実施するための機能を提供する外部装置と、を含む自動運転システムにおける認証システムであって、前記車両は、前記車両の正当性を証明するための第一の証明書を保持し、前記外部装置は、前記外部装置の正当性を証明するための第二の証明書を保持し、前記認証システムは、前記第一の証明書と前記第二の証明書とを用いた、前記車両と前記外部装置との機器認証の結果に基づいて、前記車両と前記外部装置との組み合わせの正当性を証明するための第三の証明書を有効化する管理部を備えることを特徴とする。
　これにより、車両に外部装置が装着された際の自動運転システム全体の自動運転レベルを適切に判断することができる認証システムを提供することが可能となる。
　また、本開示の一実施態様における認証装置は、車両と、前記車両と通信し、前記車両が自動走行を実施するための機能を提供する外部装置と、を含む自動運転システムにおける前記車両が備える認証装置であって、前記認証装置は、前記車両の正当性を証明するための第一の証明書を保持する保持部と、前記外部装置の正当性を証明するための第二の証明書を用いて、前記外部装置を認証する認証部と、前記認証の結果を用いて、前記車両と前記外部装置との組み合わせの正当性を証明するための第三の証明書を有効化する管理部と、を備えることを特徴とする。
　これにより、車両に外部装置が装着された際の自動運転システム全体の自動運転レベルを適切に判断することができる認証装置を提供することが可能となる。また、車両への不正な外部装置の装着を防止することができ、誤って自動運転レベルを引き上げることなく安全な状態を維持することが可能となる。
　また、本開示の一実施態様における認証装置は、車両と、前記車両と通信し、前記車両が自動走行を実施するための機能を提供する外部装置と、を含む自動運転システムにおける前記外部装置が備える認証装置であって、前記認証装置は、前記外部装置の正当性を証明するための第二の証明書を保持する保持部と、前記車両の正当性を証明するための第一の証明書を用いて、前記車両を認証する認証部と、前記認証の結果を用いて、前記車両と前記外部装置との組み合わせの正当性を証明するための第三の証明書を有効化する管理部と、を備えることを特徴とする。
　これにより、車両に外部装置が装着された際の自動運転システム全体の自動運転レベルを適切に判断することができる認証装置を提供することが可能となる。また、外部装置の不正な車両への装着を防止することができ、誤って自動運転レベルを引き上げることなく安全な状態を維持することが可能となる。
　以下、図面を参照しながら、本開示の実施の形態に関わる認証方法等について説明する。なお、以下で説明する実施の形態は、いずれも本開示の好ましい一具体例を示す。つまり、以下の実施の形態で示される数値、構成要素、構成要素の配置及び接続形態、ステップ、並びに、ステップの順序などは、本開示の一例であり、本開示を限定する主旨ではない。本開示は、請求の範囲の記載に基づいて特定される。したがって、以下の実施の形態における構成要素のうち、本開示の最上位概念を示す独立請求項に記載されていない構成要素は、本開示の課題を達成するために必ずしも必要ではないが、より好ましい形態を構成する構成要素として説明される。
　（実施の形態１）
　［１．システムの構成］
　ここでは、本開示の実施の形態として、自動運転システム１０００について図面を参照しながら説明する。
　［１．１　自動運転システム１０００の全体構成］
　図１は、実施の形態１における自動運転システム１０００の全体構成の一例を示す図である。
　自動運転システム１０００は、車両１００１と、それと接続されて動作する外部装置１００２と、によって構成される。
　例えば、車両１００１は、各種車載ネットワークにて接続される、ＥＣＵ１１００ａ、１１００ｂ、１１００ｃ及び１１００ｄと、各ＥＣＵの制御対象であるカメラ１０１０、ブレーキ１０１１、ハンドル１０１２及びアクセル１０１３と、ＥＣＵ１１００ａ～１１００ｄのそれぞれと通信して自動運転に関わる制御を行う自動運転ＥＣＵ１２００と、自動運転ＥＣＵ１２００と車載ネットワークを介して通信する通信ＥＣＵ１３００と、から構成される。
　ＥＣＵ１１００ａ～１１００ｄは、車載ネットワークを通じて、通信メッセージを互いに送受信することで、車両の制御を実現する。車載ネットワークには、Ｅｔｈｅｒｎｅｔ（登録商標）又はＣＡＮ（登録商標）（Ｃｏｎｔｒｏｌｌｅｒ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）などが使用される。
　自動運転ＥＣＵ１２００は、他のＥＣＵと車載ネットワークを通じて通信を行い、自動運転に必要となる判断と制御指示を行う。
　通信ＥＣＵ１３００は、外部装置１００２と通信を行い、外部装置１００２及び車両１００１内の他のＥＣＵとのメッセージの送受信を実施する。
　外部装置１００２は、車両１００１と通信し、車両１００１が自動走行（例えば、操舵及び加減速指示など）を実施するための１以上の機能を提供する装置である。例えば、外部装置１００２は、ＥＣＵ１１００ｅと、ＥＣＵ１１００ｅの制御対象であるＬｉｄａｒ１０１４と、ＥＣＵ１１００ｅと車載ネットワークを介して通信する通信ＥＣＵ１４００と、から構成される。
　ＥＣＵ１１００ｅは、ＥＣＵ１１００ａなどと同様、車載ネットワークを通じて、通信メッセージをやり取りする。車載ネットワークには、Ｅｔｈｅｒｎｅｔなどが使用される。
　通信ＥＣＵ１４００は、車両１００１と通信を行い、車両１００１及び外部装置１００２内の他のＥＣＵとのメッセージの送受信を実施する。
　［１．２　ＥＣＵ１１００ａの構成図］
　図２は、実施の形態１におけるＥＣＵ１１００ａの構成の一例を示す図である。
　例えば、ＥＣＵ１１００ａは、通信部１１０１と、メッセージ変換部１１０２と、から構成される。なお、ＥＣＵ１１００ｂ、ＥＣＵ１１００ｃ、ＥＣＵ１１００ｄ及びＥＣＵ１１００ｅも同様の構成であるので、ここでは説明を省略する。
　通信部１１０１は、車載ネットワークを通じて、外部のＥＣＵ又は各種センサと通信を行う。通信部１１０１は、受信したメッセージ又はセンサ値をメッセージ変換部１１０２に通知する。また、通信部１１０１は、メッセージ変換部１１０２より通知されたメッセージを他のＥＣＵ又は各種センサに送信する。
　メッセージ変換部１１０２は、通信部１１０１より通知された各種センサのセンサ値を車載ネットワークのフォーマットに基づき変換し、通信部１１０１を介して、他のＥＣＵへ送信する。また、メッセージ変換部１１０２は、通信部１１０１より受信した通信メッセージをセンサ値又は設定情報に変換し、通信部１１０１を介して、各種センサに送信する。
　［１．３　自動運転ＥＣＵ１２００の構成図］
　図３は、実施の形態１における自動運転ＥＣＵ１２００の構成の一例を示す図である。
　例えば、自動運転ＥＣＵ１２００は、通信部１２０１と、判断部１２０２と、自動運転レベル管理部１２０３と、から構成される。
　通信部１２０１は、他のＥＣＵと車載ネットワークを介して通信し、受信メッセージを判断部１２０２及び自動運転レベル管理部１２０３に通知する。また、通信部１２０１は、判断部１２０２から通知されたメッセージを他のＥＣＵへと送信する。
　判断部１２０２は、通信部１２０１から通知された受信メッセージより、各種センサ値を取得し、通信部１２０１を介して必要な制御指示を他のＥＣＵへ送信する。
　自動運転レベル管理部１２０３は、通信部１２０１より通知されたメッセージの中から、現在の証明書の情報を取得することで、現在の自動運転レベルを管理し、判断部１２０２へと通知する。判断部１２０２は、現在の自動運転レベルに応じた動作をすることができる。例えば、現在の自動運転レベルに応じて、使用されるセンサの種類又はデータ量などが変えられてもよい。
　［１．４　車両１００１側の通信ＥＣＵ１３００の構成図］
　図４は、実施の形態１における車両１００１側の通信ＥＣＵ１３００の構成の一例を示す図である。
　例えば、通信ＥＣＵ１３００は、通信部１３０１と、認証処理部１３０２と、認証情報保持部１３０３と、証明書管理部１３０４と、証明書保持部１３０５と、から構成される。通信ＥＣＵ１３００は、自動運転システム１０００における車両１００１が備える認証装置の一例である。
　通信部１３０１は、外部装置１００２との通信を実施する。例えば、通信部１３０１は、外部装置１００２と有線で通信を行う。また、通信部１３０１は、車両１００１内の自動運転ＥＣＵ１２００と、車載ネットワークを介して通信する。また、通信部１３０１は、サーバ等との通信を行ってもよい。通信部１３０１は、外部装置１００２より受けた通信メッセージを、認証処理部１３０２及び証明書管理部１３０４に通知する。また、通信部１３０１は、認証処理部１３０２より通知を受け、外部装置１００２へと通信メッセージを送信する。詳細は後述するが、通信部１３０１は、有効化された第三の証明書に対応する、車両１００１と外部装置１００２とを組み合わせたときの自動運転システム１０００全体の自動運転レベルに関する情報を出力する出力部の一例である。
　認証処理部１３０２は、通信部１３０１を介して外部装置１００２と通信し、外部装置１００２の認証処理を行う。認証処理部１３０２は、外部装置１００２の正当性を証明するための第二の証明書を用いて、外部装置１００２を認証する認証部の一例である。また、認証処理部１３０２は、認証処理に必要となる情報を、認証情報保持部１３０３より取得する。また、認証処理部１３０２は、認証処理の結果を証明書管理部１３０４に通知する。
　認証情報保持部１３０３は、秘密鍵と公開鍵証明書の鍵ペアを保持する。認証情報保持部１３０３は、車両１００１の正当性を証明するための第一の証明書を保持する保持部の一例である。認証情報保持部１３０３が保持する公開鍵証明書は、第一の証明書の一例である。秘密鍵と公開鍵証明書は、車両１００１の出荷時に認証情報保持部１３０３に埋め込まれる。
　図５は公開鍵証明書のフォーマットの一例を示す図である。
　公開鍵証明書は、バージョン、発行者、有効期間の開始と終了、自動運転レベル、証明書ＩＤ及び認証局の署名などから構成される。なお、公開鍵証明書には、自動運転レベルが含まれていなくてもよい。
　証明書保持部１３０５は、公開鍵証明書群と証明書テーブルとを保持する。証明書保持部１３０５が保持する公開鍵証明書は、車両１００１と外部装置１００２との組み合わせの正当性を証明するための第三の証明書の一例である。車両１００１及び外部装置１００２には様々な種類が存在し、証明書保持部１３０５は、車両１００１と外部装置１００２との様々な組み合わせ毎の第三の証明書（すなわち第三の証明書群）を保持する。実施の形態１では、第三の証明書群は、車両１００１が製造されるときに発行され、車両１００１に予め保持されている。例えば、第三の証明書群は、車両１００１の出荷時に証明書保持部１３０５に埋め込まれる。第三の証明書群のそれぞれは、車両１００１に外部装置１００２が装着されたときの自動運転システム１０００全体の自動運転レベルに対応している。
　図６は、実施の形態１における証明書テーブルのフォーマットの一例を示す図である。証明書テーブルにおける各行は、各第三の証明書に対応する。例えば、証明書テーブルの各行は、第三の証明書の証明書ＩＤと、第三の証明書に対応する自動運転レベルと、第三の証明書に対応する機器ＩＤと、第三の証明書の状態と、から構成される。なお、各第三の証明書の状態は、現在の状態に応じて、有効と無効とが書き換えられる。
　証明書管理部１３０４は、認証処理部１３０２の認証の結果を用いて第三の証明書を有効化する管理部の一例である。証明書管理部１３０４は、認証処理部１３０２から通知される認証結果と、証明書保持部１３０５に保持される証明書テーブルを用いて、予め保持していた第三の証明書群のうちから認証結果に応じた第三の証明書を認証情報保持部１３０３へ通知し、認証情報保持部１３０３に保存する。これにより、通知された第三の証明書が認証情報保持部１３０３に登録され、当該第三の証明書が有効化される。また、証明書管理部１３０４は、通信部１３０１からの通信処理結果に基づいて、認証情報保持部１３０３に保存された第三の証明書を削除する。これにより、認証情報保持部１３０３への第三の証明書の登録が解除され、有効化されていた第三の証明書が無効化される。第三の証明書の有効化及び無効化の処理の詳細については後述する。
　［１．５　外部装置１００２側の通信ＥＣＵ１４００の構成図］
　図７は、実施の形態１における外部装置１００２側の通信ＥＣＵ１４００の構成の一例を示す図である。
　通信ＥＣＵ１４００は、通信部１４０１と、認証処理部１４０２と、認証情報保持部１４０３と、から構成される。
　通信部１４０１は、車両１００１との通信を実施する。例えば、通信部１４０１は、車両１００１と有線で通信を行う。また、通信部１４０１は、外部装置１００２内のＥＣＵ１１００ｅと、車載ネットワークを介して通信する。通信部１４０１は、車両１００１より受けた通信メッセージを認証処理部１４０２に通知する。また、通信部１４０１は、認証処理部１４０２より通知を受け、車両１００１へと通信メッセージを送信する。
　認証処理部１４０２は、通信部１４０１を介して車両１００１と通信し、車両１００１の認証処理を行う。認証処理部１４０２は、車両１００１の正当性を証明するための第一の証明書を用いて、車両１００１を認証する認証部の一例である。また、認証処理部１４０２は、認証処理に必要となる情報を、認証情報保持部１４０３より取得する。
　認証情報保持部１４０３は、秘密鍵と公開鍵証明書の鍵ペアを保持する。認証情報保持部１４０３は、外部装置１００２の正当性を証明するための第二の証明書を保持する保持部の一例である。認証情報保持部１４０３が保持する公開鍵証明書は、第二の証明書の一例である。秘密鍵と公開鍵証明書は、外部装置１００２の出荷時に認証情報保持部１４０３に埋め込まれる。公開鍵証明書（第二の証明書）のフォーマットは、例えば図５と同様であるため、ここでは説明を省略する。
　［１．６　認証シーケンスの一例］
　次に、車両１００１に外部装置１００２が装着されたときに、車両１００１側の通信ＥＣＵ１３００と外部装置１００２側の通信ＥＣＵ１４００との間で行われる相互認証について、図８を用いて説明する。
　図８は、実施の形態１における車両１００１と外部装置１００２との認証の動作の一例を示すシーケンス図である。
　外部装置１００２は、車両１００１に対し、接続要求を実施する（Ｓ１１０１）。このとき、外部装置１００２は、外部装置１００２の機器ＩＤ及び公開鍵証明書（すなわち第二の証明書）も合わせて送信する。
　車両１００１は、外部装置１００２から受信した公開鍵証明書の署名を検証する（Ｓ１１０２）。車両１００１は、検証が成功しない場合（Ｓ１１０２でＮ）、外部装置１００２へエラーを通知して処理を終了する。
　車両１００１は、検証が成功した場合（Ｓ１１０２でＹ）、乱数を生成し、生成した乱数を車両１００１の車両ＩＤと公開鍵証明書（すなわち第一の証明書）とともに外部装置１００２へ送信する（Ｓ１１０３）。
　外部装置１００２は、乱数と公開鍵証明書を受信し、車両１００１から受信した公開鍵証明書の署名を検証する（Ｓ１１０４）。外部装置１００２は、検証が成功しない場合（Ｓ１１０４でＮ）、車両１００１へエラーを通知して処理を終了する。
　外部装置１００２は、検証が成功した場合（Ｓ１１０４でＹ）、車両１００１から受信した乱数と外部装置１００２の秘密鍵から署名を生成する（Ｓ１１０５）。
　外部装置１００２は、乱数を生成し、生成した乱数をＳ１１０５で生成した署名とともに車両１００１へ送信する（Ｓ１１０６）。
　車両１００１は、署名と乱数を受信し、Ｓ１１０１で受信した公開鍵証明書を用いて署名の検証を行う（Ｓ１１０７）。車両１００１は、署名の検証が成功しない場合（Ｓ１１０７でＮ）、外部装置１００２へエラーを通知して処理を終了する。
　車両１００１は、署名の検証が成功した場合（Ｓ１１０７でＹ）、Ｓ１１０７で受信した乱数と車両１００１の秘密鍵から署名を生成し、生成した署名を外部装置１００２へ送信する（Ｓ１１０８）。
　外部装置１００２は、署名を受信し、Ｓ１１０４で受信した公開鍵証明書を用いて署名の検証を行う（Ｓ１１０９）。外部装置１００２は、署名の検証が成功しない場合（Ｓ１１０９でＮ）、車両１００１へエラーを通知して処理を終了する。
　Ｓ１１０９で検証が成功した場合、車両１００１は、外部装置１００２の機器ＩＤを接続先として登録し、外部装置１００２は、車両１００１の車両ＩＤを接続先として登録する（Ｓ１１１０）。このように、車両１００１と外部装置１００２との機器認証の結果として、正当な車両１００１の車両ＩＤ及び正当な外部装置１００２の機器ＩＤが得られる。
　なお、機器ＩＤとは、外部装置１００２を識別するための識別子であり、その形式は特に限定されず、例えば、ＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ）アドレスなどであってもよいし、各メーカーが個別に設定する識別子であってもよい。また、車両ＩＤとは、車両１００１を識別するための識別子であり、その形式は特に限定されず、例えば、ＭＡＣアドレスなどであってもよいし、各メーカーが個別に設定する識別子であってもよい。
　［１．７　証明書を有効化する際のフローチャートの一例］
　次に、車両１００１内で保持する、自動運転レベルに応じた第三の証明書の有効化について、図９を用いて説明する。
　図９は、実施の形態１における公開鍵証明書（第三の証明書）を有効化する動作の一例を示すフローチャートである。
　証明書管理部１３０４は、登録されている機器ＩＤを取得できるか否かを判定する（Ｓ１２０１）。証明書管理部１３０４は、登録された機器ＩＤが存在しなければ、機器ＩＤを取得できず（Ｓ１２０１でＮ）、エラーとして処理を終了する。ここでは、図８での認証処理が完了し、機器ＩＤが登録されているとする。
　証明書管理部１３０４は、機器ＩＤを取得できた場合（Ｓ１２０１でＹ）、取得した機器ＩＤが、証明書テーブルに存在するかどうかを確認する（Ｓ１２０２）。証明書管理部１３０４は、取得した機器ＩＤが証明書テーブルに存在しない場合（Ｓ１２０２でＮ）、エラーとして処理を終了する。
　証明書管理部１３０４は、取得した機器ＩＤが証明書テーブルに存在する場合、（Ｓ１２０２でＹ、）取得した機器ＩＤに対応する第三の証明書を「有効」に変更する（Ｓ１２０３）。具体的には、証明書管理部１３０４は、取得した機器ＩＤを証明書テーブルに照合して、当該機器ＩＤに対応する行の証明書ＩＤの第三の証明書を認証情報保持部１４０３へ通知し、当該機器ＩＤに対応する行の状態を「有効」に変更する。例えば、機器ＩＤが「ＸＸＸ」の外部装置１００２が車両１００１に装着されて機器認証が完了した場合、証明書管理部１３０４は、機器ＩＤ「ＸＸＸ」を取得し、機器ＩＤ「ＸＸＸ」を証明書テーブルに照合して、図６に示されるように、機器ＩＤ「ＸＸＸ」に対応する行の証明書ＩＤ「１」の第三の証明書を認証情報保持部１４０３へ通知し、機器ＩＤ「ＸＸＸ」に対応する行の状態を「有効」に変更する。
　このように、車両１００１と外部装置１００２との機器認証の結果として得られる車両１００１の車両ＩＤ及び外部装置１００２の機器ＩＤの少なくとも一方に対応する第三の証明書が有効化される。ここでは、車両１００１において第三の証明書が有効化され、車両１００１自身の車両ＩＤは固定であるため、外部装置１００２の機器ＩＤに対応する第三の証明書が有効化される。
　そして、通信部１３０１は、有効化された第三の証明書に対応する、自動運転システム１０００全体の自動運転レベルに関する情報を出力する（Ｓ１２０４）。自動運転システム１０００全体の自動運転レベルは、車両１００１と外部装置１００２とを組み合わせたときの自動運転システム１０００の自動運転レベルである。自動運転システム１０００全体の自動運転レベルに関する情報は、車両１００１又は車両１００１を監視する監視室等に設けられたディスプレイに自動運転レベルを表示したり、手動運転が不要であることを表示したりするための情報であってもよい。また、自動運転システム１０００全体の自動運転レベルに関する情報は、自動運転ＥＣＵ１２００に自動運転システム１０００全体の自動運転レベルに応じた自動運転をさせるための情報であってもよい。
　［１．８　証明書を無効化する際のフローチャートの一例］
　次に、車両１００１内で保持する、自動運転レベルに応じた第三の証明書の無効化について、図１０を用いて説明する。
　図１０は、実施の形態１における公開鍵証明書（第三の証明書）を無効化する動作の一例を示すフローチャートである。
　証明書管理部１３０４は、通信部１３０１を介して車両１００１と外部装置１００２との通信状態を監視する（Ｓ１３０１）。
　証明書管理部１３０４は、車両１００１と外部装置１００２との通信状態に異常が発生しているか否かを判定する（Ｓ１３０２）。証明書管理部１３０４は、通信異常が発生していない場合は（Ｓ１３０２でＮ）、処理を終了する。
　証明書管理部１３０４は、通信異常が発生している場合は（Ｓ１３０２でＹ）、エラーカウンタをインクリメントする（Ｓ１３０３）。
　証明書管理部１３０４は、エラーカウンタが閾値以上かどうかを判定する（Ｓ１３０４）。エラーカウンタが閾値未満である場合は（Ｓ１３０４でＮ）、Ｓ１３０２へ戻る。閾値は、特に限定されず、適宜設定されてもよい。
　証明書管理部１３０４は、エラーカウンタが閾値以上である場合は（Ｓ１３０４でＹ）、有効化された第三の証明書を無効化する（Ｓ１３０５）。つまり、証明書管理部１３０４は、一定時間以上、車両１００１と外部装置１００２との通信異常が続いている場合に、有効化された第三の証明書を無効化する。例えば、証明書管理部１３０４は、認証情報保持部１３０３に保存されていた第三の証明書を削除することで、当該第三の証明書を無効化する。また、その際に、証明書管理部１３０４は、証明書テーブルにおける当該第三の証明書の状態を「無効」に変更する。
　証明書管理部１３０４は、エラーカウンタをリセットする（Ｓ１３０６）。
　証明書管理部１３０４は、接続先の機器ＩＤを削除する（Ｓ１３０７）。
　このように、証明書管理部１３０４は、車両１００１及び外部装置１００２の状態を監視し、当該状態の変化に応じて、第三の証明書を無効化する。具体的には、車両１００１及び外部装置１００２の状態は、車両１００１と外部装置１００２との間の通信状態であり、証明書管理部１３０４は、通信状態が異常となった場合に、第三の証明書を無効化する。
　［１．９　実施の形態１の効果］
　実施の形態１で示した自動運転システム１０００では、車両１００１の第一の証明書及び外部装置１００２の第二の証明書とは別に、予め第三の証明書をインストールしておき、車両１００１と外部装置１００２との通信結果に基づいて、第三の証明書の有効及び無効を切り替えることで、車両１００１と外部装置１００２とが一体となって動作する際の適切な自動運転レベルを判断でき、安全性を担保することが可能となる。
　（実施の形態１の変形例）
　実施の形態１で示した自動運転システム１０００では、第三の証明書の有効化又は無効化をいつでも行うことが可能であるが、走行状態に応じて有効化又は無効化するタイミングが制御されてもよい。これについて、実施の形態１の変形例として説明する。なお、実施の形態１と同様の点については説明を省略する。
　［１．１０　証明書を有効化する際のフローチャートの一例］
　図１１は、実施の形態１の変形例における公開鍵証明書（第三の証明書）を有効化する動作の一例を示すフローチャートである。実施の形態１の変形例では、車両１００１の走行状態が特定の条件を満たす場合に、第三の証明書が有効化される。なお、実施の形態１と同様のステップは、同一の番号を付与し、説明は省略する。
　例えば、特定の条件を満たす車両１００１の走行状態は、停車中であり、証明書管理部１３０４は、第三の証明書を有効化する前に、車両１００１の走行状態が停車中であるか否かを判定する（Ｓ１２０５）。証明書管理部１３０４は、車両１００１が停車中でない場合（Ｓ１２０５でＮ）、第三の証明書の有効化処理を中断して終了し、車両１００１が停車中である場合には（Ｓ１２０５でＹ）、第三の証明書を有効化する（Ｓ１２０３）。
　［１．１１　証明書を無効化する際のフローチャートの一例］
　図１２は、実施の形態１の変形例における公開鍵証明書（第三の証明書）を無効化する動作の一例を示すフローチャートである。実施の形態１の変形例では、車両１００１の走行状態が特定の条件を満たす場合に、車両１００１及び外部装置１００２の状態（例えば車両１００１と外部装置１００２との通信状態）が監視され、通信状態に応じて第三の証明書が無効化される。なお、実施の形態１と同様のステップは、同一の番号を付与し、説明は省略する。
　証明書管理部１３０４は、車両１００１の走行状態が停車中であるか否かを判定する（Ｓ１３０８）。証明書管理部１３０４は、車両１００１が停車中でない場合（Ｓ１３０８でＮ）、第三の証明書の無効化処理を中断して終了し、車両１００１が停車中である場合には（Ｓ１３０８でＹ）、通信状態を監視し（Ｓ１３０１）、無効化処理を継続する。
　［１．１２　実施の形態１の変形例の効果］
　実施の形態１の変形例で示した自動運転システム１０００では、車両１００１の第一の証明書及び外部装置１００２の第二の証明書とは別に予め第三の証明書をインストールしておき、車両１００１と外部装置１００２との通信結果に加えて車両１００１の走行状態に基づいて、第三の証明書の有効及び無効を切り替えることで、車両１００１と外部装置１００２が一体となって動作する際の適切な自動運転レベルを判断でき、安全性を担保することが可能となる。
　なお、車両１００１の通信ＥＣＵ１３００が有する機能を、外部装置１００２が有していてもよい。すなわち、第三の証明書群が外部装置１００２に予めインストールされていてもよく、外部装置１００２によって第三の証明書の有効及び無効が切り替えられてもよい。この場合、外部装置１００２において第三の証明書が有効化され、外部装置１００２自身の機器ＩＤは固定であるため、車両１００１の車両ＩＤに対応する第三の証明書が有効化される。なお、この場合にも、同様の効果が奏される。
　（実施の形態２）
　［２．システムの構成］
　次に、本開示の実施の形態２として、自動運転システム２０００について図面を参照しながら説明する。
　［２．１　自動運転システム２０００の全体構成］
　図１３は、実施の形態２における自動運転システム２０００の全体構成の一例を示す図である。
　自動運転システム２０００は、車両２００１と、それと接続されて動作する外部装置１００２と、車両２００１とＶ２Ｘ通信するサーバ２６００と、によって構成される。
　なお、実施の形態１と同一の構成要素は、同一の番号を付与し、説明を省略する。
　例えば、車両２００１は、各種車載ネットワークにて接続される、ＥＣＵ１１００ａ、１１００ｂ、１１００ｃ及び１１００ｄと、各ＥＣＵの制御対象であるカメラ１０１０、ブレーキ１０１１、ハンドル１０１２及びアクセル１０１３と、ＥＣＵ１１００ａ～１１００ｄのそれぞれと通信して自動運転に関わる制御を行う自動運転ＥＣＵ１２００と、車載ネットワークを介して自動運転ＥＣＵ１２００及びＶ２Ｘ通信ＥＣＵ２５００と通信する通信ＥＣＵ２３００と、サーバ２６００とＶ２Ｘ通信するＶ２Ｘ通信ＥＣＵ２５００と、から構成される。
　通信ＥＣＵ２３００は、外部装置１００２と通信を行い、外部装置１００２及び車両２００１内の他のＥＣＵとのメッセージの送受信を実施する。また、通信ＥＣＵ２３００は、Ｖ２Ｘ通信ＥＣＵ２５００を介して、サーバ２６００と通信を行い、車両２００１に外部装置１００２が装着された際の新たな自動運転レベルに対応した公開鍵証明書（第三の証明書）の有効化に必要となるメッセージの送受信を行う。
　Ｖ２Ｘ通信ＥＣＵ２５００は、サーバ２６００と通信を行い、サーバ２６００と、車両２００１内の通信ＥＣＵ２３００とのメッセージの送受信を実施する。
　サーバ２６００は、車両２００１と通信を行い、車両２００１と外部装置１００２との認証結果に応じて、車両２００１に外部装置１００２が装着された際の新たな自動運転レベルに対応した公開鍵証明書（第三の証明書）を発行する。
　［２．２　車両２００１側の通信ＥＣＵ２３００の構成図］
　図１４は、実施の形態２における車両２００１側の通信ＥＣＵ２３００の構成の一例を示す図である。
　例えば、通信ＥＣＵ２３００は、通信部２３０１と、認証処理部１３０２と、認証情報保持部１３０３と、証明書管理部２３０４と、から構成される。通信ＥＣＵ２３００は、自動運転システム２０００における車両２００１が備える認証装置の一例である。なお、実施の形態１と同様の構成は同一の番号を付与し、以降の説明を省略する。
　通信部２３０１は、外部装置１００２との通信を実施する。例えば、通信部２３０１は、外部装置１００２と有線で通信を行う。また、通信部２３０１は、車両２００１内の自動運転ＥＣＵ１２００及びＶ２Ｘ通信ＥＣＵ２５００と、車載ネットワークを介して通信する。通信部２３０１は、外部装置１００２及びサーバ２６００より受けた通信メッセージを、認証処理部１３０２と証明書管理部２３０４とに通知する。また、通信部２３０１は、認証処理部１３０２及び証明書管理部２３０４より通知を受け、外部装置１００２及びサーバ２６００へと通信メッセージを送信する。
　証明書管理部２３０４は、認証処理部１３０２の認証の結果を用いて、第三の証明書を有効化する管理部の一例である。証明書管理部２３０４は、認証処理部１３０２から通知される認証結果を用いてサーバ２６００において発行された新たな自動運転レベルに対応した公開鍵証明書（第三の証明書）を通信部２３０１経由でサーバ２６００から取得し、認証情報保持部１３０３に保存する。これにより、第三の証明書が認証情報保持部１３０３に登録され、車両２００１側において当該第三の証明書が有効化される。また、証明書管理部２３０４は、通信部２３０１からの通信処理結果に基づいて、認証情報保持部１３０３の第三の証明書を削除する。これにより、認証情報保持部１３０３への第三の証明書の登録が解除され、車両２００１側において有効化されていた第三の証明書が無効化される。
　［２．３　Ｖ２Ｘ通信ＥＣＵ２５００の構成図］
　図１５は、実施の形態２におけるＶ２Ｘ通信ＥＣＵ２５００の構成の一例を示す図である。Ｖ２Ｘ通信ＥＣＵ２５００は、通信部２５０１と、メッセージ変換部２５０２と、から構成される。
　通信部２５０１は、車載ネットワークを通じて、通信ＥＣＵ２３００と通信を行う。また、通信部２５０１は、Ｖ２Ｘ通信を通じて、サーバ２６００と無線で通信を行う。通信部２５０１は、受信したメッセージをメッセージ変換部２５０２に通知する。また、通信部２５０１は、メッセージ変換部２５０２より通知されたメッセージを通信ＥＣＵ２３００又はサーバ２６００に送信する。
　メッセージ変換部２５０２は、通信部２５０１を介してサーバ２６００から受信したメッセージを車載ネットワークのフォーマットに基づき変換し、通信部２５０１を介して、通信ＥＣＵ２３００へ送信する。また、メッセージ変換部２５０２は、通信部２５０１を介して通信ＥＣＵ２３００から受信した通信メッセージを、通信部２５０１を介して、サーバ２６００に送信する。
　［２．４　サーバ２６００の構成図］
　図１６は、実施の形態２におけるサーバ２６００の構成の一例を示す図である。
　サーバ２６００は、通信部２６０１と、認証処理部２６０２と、認証情報保持部２６０３と、証明書管理部２６０４と、証明書保持部２６０５と、から構成される。サーバ２６００は、自動運転システム２０００における認証システムの一例である。
　通信部２６０１は、車両２００１とＶ２Ｘ通信を実施する。また、通信部２６０１は、車両２００１より受けた公開鍵証明書（第一の証明書及び第二の証明書）を、認証処理部２６０２と証明書管理部２６０４とに通知する。また、通信部２６０１は、認証処理部２６０２及び証明書管理部２６０４より通知を受け、車両２００１へと通信メッセージを送信する。通信部２６０１は、有効化された第三の証明書に対応する、車両２００１と外部装置１００２とを組み合わせたときの自動運転システム２０００全体の自動運転レベルに関する情報を出力する出力部の一例である。
　認証処理部２６０２は、通信部２６０１を介して、車両２００１と通信し、車両２００１より通知される公開鍵証明書（第一の証明書及び第二の証明書）の署名検証処理を行う。また、認証処理部２６０２は、署名検証処理に必要となる情報を、認証情報保持部２６０３より取得する。また、認証処理部２６０２は、署名検証処理の結果を証明書管理部２６０４に通知する。
　認証情報保持部２６０３は、認証局の秘密鍵と公開鍵証明書の鍵ペアを保持する。公開鍵証明書の構成の一例は、図５と同様のため、ここでは説明を省略する。
　証明書保持部２６０５は、証明書テーブルを保持する。
　図１７は、実施の形態２における証明書テーブルのフォーマットの一例を示す図である。証明書テーブルにおける各行は、各第三の証明書に対応する。例えば、証明書テーブルの各行は、第三の証明書の証明書ＩＤと、第三の証明書が該当する自動運転レベルと、第三の証明書に対応する車両ＩＤ及び機器ＩＤの組み合わせと、第三の証明書の状態と、から構成される。なお、各第三の証明書の状態は、現在の状態に応じて、有効と無効とが書き換えられる。
　証明書管理部２６０４は、第一の証明書と第二の証明書とを用いた、車両２００１と外部装置１００２との機器認証の結果に基づいて、第三の証明書を有効化する管理部の一例である。証明書管理部２６０４は、認証処理部２６０２から通知される認証結果と、証明書保持部２６０５に保持される証明書テーブルを用いて、車両２００１と外部装置１００２との組み合わせの正当性を証明するための第三の証明書を新たに発行し、通信部２６０１を介して車両２００１へ通知して、認証情報保持部２６０３に保存する。これにより、通知された第三の証明書が認証情報保持部２６０３に登録され、サーバ２６００側において当該第三の証明書が有効化される。また、証明書管理部２６０４は、通信部２３０１からの無効化指示に基づいて、認証情報保持部２６０３に保存された第三の証明書を削除する。これにより、認証情報保持部２６０３への第三の証明書の登録が解除され、サーバ２６００側において有効化されていた第三の証明書が無効化される。
　［２．５　証明書を発行する際のシーケンスの一例］
　次に、車両２００１と外部装置１００２との相互認証の後に行われる、サーバ２６００による自動運転レベルに応じた第三の証明書の発行について、図１８を用いて説明する。サーバ２６００によって発行された第三の証明書は、車両２００１内で保持されて有効化される。
　図１８は、実施の形態２における公開鍵証明書（第三の証明書）を発行する動作の一例を示すシーケンス図である。
　車両２００１は、登録されている機器ＩＤを取得できるか否かを判定する（Ｓ２２０１）。車両２００１は、登録されている機器ＩＤがなければ、機器ＩＤを取得できず（Ｓ２２０１でＮ）、認証処理が完了していないということなので、処理を終了する。ここでは、図８での認証処理が完了し、機器ＩＤが登録されているとする。
　車両２００１は、外部装置１００２の機器ＩＤを取得できた場合（Ｓ２２０１でＹ）、取得した機器ＩＤを、車両２００１の車両ＩＤと、車両２００１の公開鍵証明書（第一の証明書）と、外部装置１００２の公開鍵証明書（第二の証明書）と共に、サーバ２６００へ送信する。
　サーバ２６００は、外部装置１００２の機器ＩＤ、車両２００１の車両ＩＤ及び２種類の公開鍵証明書を受信し、受信した２種類の公開鍵証明書の署名を検証する（Ｓ２２０２）。サーバ２６００は、検証が成功しない場合（Ｓ２２０２でＮ）、車両２００１へエラーを通知して処理を終了する。
　サーバ２６００は、検証が成功した場合（Ｓ２２０２でＹ）、Ｓ２２０２にて受信した機器ＩＤと車両ＩＤとの組み合わせが、証明書テーブルに存在するかどうかを確認する（Ｓ２２０３）。サーバ２６００は、受信した機器ＩＤと車両ＩＤとの組み合わせが証明書テーブルに存在しない場合（Ｓ２２０３でＮ）、車両２００１へその旨を通知して、エラーとして処理を終了する。
　サーバ２６００は、受信した機器ＩＤと車両ＩＤとの組み合わせが証明書テーブルに存在する場合（Ｓ２２０３でＹ）、取得した組み合わせに対応する第三の証明書を発行し、車両２００１に送信する（Ｓ２２０４）。具体的には、サーバ２６００の証明書管理部２６０４は、取得した機器ＩＤ及び車両ＩＤの組み合わせを証明書テーブルに照合して、当該組み合わせに対応する行の証明書ＩＤの第三の証明書を認証情報保持部２６０３へ通知し、当該組み合わせに対応する行の状態を「有効」に変更する。例えば、機器ＩＤが「ＸＸＸ」の外部装置１００２が、車両ＩＤが「ＡＡＡ」の車両２００１に装着されて機器認証が完了した場合、証明書管理部２６０４は、機器ＩＤ「ＸＸＸ」及び車両ＩＤ「ＡＡＡ」を取得し、機器ＩＤ「ＸＸＸ」及び車両ＩＤ「ＡＡＡ」の組み合わせを証明書テーブルに照合して、図１７に示されるように、機器ＩＤ「ＸＸＸ」及び車両ＩＤ「ＡＡＡ」に対応する行の証明書ＩＤ「１」の第三の証明書を認証情報保持部２６０３へ通知し、機器ＩＤ「ＸＸＸ」及び車両ＩＤ「ＡＡＡ」に対応する行の状態を「有効」に変更する。このように、車両２００１と外部装置１００２との機器認証の結果として得られる車両２００１の車両ＩＤ及び外部装置１００２の機器ＩＤに対応する第三の証明書が有効化される。そして、サーバ２６００側において有効化された第三の証明書が車両２００１に送信される。
　車両２００１は、サーバ２６００によって発行された第三の証明書を保存する（Ｓ２２０５）。例えば、車両２００１の通信ＥＣＵ２３００における認証情報保持部１３０３に第三の証明書が保存され、これにより、車両２００１側においても当該第三の証明書が有効化される。
　また、図示していないが、サーバ２６００は、有効化された第三の証明書に対応する、車両２００１と外部装置１００２とを組み合わせたときの自動運転システム２０００全体の自動運転レベルに関する情報を出力する。なお、車両２００１（例えば通信部２３０１）が、有効化された第三の証明書に対応する、車両２００１と外部装置１００２とを組み合わせたときの自動運転システム２０００全体の自動運転レベルに関する情報を出力してもよい。
　［２．６　証明書を無効化する際のシーケンスの一例］
　次に、車両２００１とサーバ２６００とで保持する、自動運転レベルに応じた第三の証明書の無効化について、図１９を用いて説明する。なお、実施の形態１と同様のステップには同一の番号を付与し、説明は省略する。
　図１９は、実施の形態２における公開鍵証明書（第三の証明書）を無効化する動作の一例を示すシーケンス図である。
　車両２００１は、エラーカウンタが閾値以上かどうかを判定し（Ｓ２３０４）、エラーカウンタが閾値以上である場合は（Ｓ２３０４でＹ）、発行された公開鍵証明書（第三の証明書）をサーバ２６００へ通知することで、当該第三の証明書をサーバ２６００において無効化させるための無効化指示を行う。エラーカウンタが閾値を超えていない場合は（Ｓ２３０４でＮ）、Ｓ１３０２へ戻る。
　エラーカウンタが閾値以上である場合は（Ｓ２３０４でＹ）、車両２００１及びサーバ２６００は、それぞれが保持する当該第三の証明書を無効化する（Ｓ２３０５）。例えば、車両２００１の通信ＥＣＵ２３００における証明書管理部２３０４は、認証情報保持部１３０３に保存されていた第三の証明書を削除することで、当該第三の証明書を無効化する。また、サーバ２６００の証明書管理部２６０４は、認証情報保持部２６０３に保存されていた第三の証明書を削除することで、当該第三の証明書を無効化する。また、証明書管理部２６０４は、証明書テーブルにおける当該第三の証明書の状態を「無効」に変更する。
　以上のように、実施の形態２では、自動運転システム２０００は、サーバ２６００を含み、第三の証明書は、機器認証が行われるときにサーバ２６００から車両２００１へ送付される。
　［２．７　実施の形態２の効果］
　実施の形態２で示した自動運転システム２０００では、車両２００１の第一の証明書及び外部装置１００２の第二の証明書とは別の第三の証明書が、サーバ２６００により発行され、発行された第三の証明書が車両２００１内で管理される。そして、車両２００１と外部装置１００２との通信結果に基づいて、第三の証明書の有効及び無効を切り替えることで、車両２００１と外部装置１００２とが一体となって動作する際の適切な自動運転レベルを判断でき、安全性を担保することが可能となる。
　（実施の形態２の変形例）
　実施の形態２で示した自動運転システム２０００では、第三の証明書の有効化又は無効化をいつでも行うことが可能であるが、車両２００１の走行状態に応じて有効化又は無効化するタイミングが制御されてもよい。これについて、実施の形態２の変形例として説明する。なお、実施の形態２と同様の点については説明を省略する。
　［２．８　証明書を発行する際のシーケンスの一例］
　図２０は、実施の形態２の変形例における公開鍵証明書（第三の証明書）を発行する動作の一例を示すシーケンス図である。実施の形態２の変形例では、車両２００１の走行状態が特定の条件を満たす場合に、第三の証明書が発行される。なお、実施の形態２と同様のステップは、同一の番号を付与し、説明は省略する。
　例えば、特定の条件を満たす車両２００１の走行状態は、停車中であり、車両２００１は、第三の証明書を有効化する処理を開始する前に、車両２００１の走行状態が停車中であるか否かを判定する（Ｓ２２０６）。車両２００１は、停車中でない場合（Ｓ２２０６でＮ）、第三の証明書を有効化するための処理を開始せず、処理を終了する。車両２００１は、停車中である場合に（Ｓ２２０６でＹ）、第三の証明書を有効化するための処理を開始する。
　［２．９　証明書を無効化する際のシーケンスの一例］
　図２１は、実施の形態２の変形例における公開鍵証明書（第三の証明書）を無効化する動作の一例を示すシーケンス図である。実施の形態２の変形例では、車両２００１の走行状態が特定の条件を満たす場合に、車両２００１及び外部装置１００２の状態（例えば通信状態）が監視され、通信状態に応じて第三の証明書が無効化される。なお、実施の形態１及び２と同様のステップは、同一の番号を付与し、説明は省略する。
　車両２００１は、車両２００１の走行状態が停車中であるか否かを判定する（Ｓ２３０８）。車両２００１は、停車中でない場合（Ｓ２３０８でＮ）、第三の証明書の無効化処理を中断して終了し、車両２００１が停車中である場合には（Ｓ２３０８でＹ）、通信状態を監視し（Ｓ１３０１）、無効化処理を継続する。
　［２．１０　実施の形態２の変形例の効果］
　実施の形態２で示した自動運転システム２０００では、車両２００１の第一の証明書及び外部装置１００２の第二の証明書とは別の第三の証明書が、サーバ２６００により発行され、発行された第三の証明書が車両２００１内で管理される。そして、車両２００１と外部装置１００２との通信結果に加えて車両２００１の走行状態に基づいて、第三の証明書の有効及び無効を切り替えることで、車両２００１と外部装置１００２とが一体となって動作する際の適切な自動運転レベルを判断でき、安全性を担保することが可能となる。
　（実施の形態３）
　［３．システムの構成］
　次に、本開示の実施の形態３として、自動運転システム３０００について図面を参照しながら説明する。
　［３．１　自動運転システム３０００の全体構成］
　図２２は、実施の形態３における自動運転システム３０００の全体構成の一例を示す図である。
　自動運転システム３０００は、車両３００１と、それと接続されて動作する外部装置３００２と、外部装置３００２とＶ２Ｘ通信するサーバ２６００と、によって構成される。
　なお、実施の形態１及び２と同一の構成要素は、同一の番号を付与し、説明を省略する。
　例えば、車両３００１は、各種車載ネットワークにて接続される、ＥＣＵ１１００ａ、１１００ｂ、１１００ｃ及び１１００ｄと、各ＥＣＵの制御対象であるカメラ１０１０、ブレーキ１０１１、ハンドル１０１２及びアクセル１０１３と、ＥＣＵ１１００ａ～１１００ｄのそれぞれと通信して自動運転に関わる制御を行う自動運転ＥＣＵ１２００と、車載ネットワークを介して自動運転ＥＣＵ１２００と通信する通信ＥＣＵ３３００と、から構成される。
　通信ＥＣＵ３３００は、外部装置３００２と通信を行い、外部装置３００２及び車両３００１内の他のＥＣＵとのメッセージの送受信を実施する。
　例えば、外部装置３００２は、ＥＣＵ１１００ｅと、ＥＣＵ１１００ｅの制御対象であるＬｉｄａｒ１０１４と、車載ネットワークを介してＥＣＵ１１００ｅ及びＶ２Ｘ通信ＥＣＵ２５００と通信する通信ＥＣＵ３４００と、サーバ２６００とＶ２Ｘ通信するＶ２Ｘ通信ＥＣＵ２５００と、から構成される。
　通信ＥＣＵ３４００は、車両３００１と通信を行い、車両３００１及び外部装置３００２内の他のＥＣＵとのメッセージの送受信を実施する。また、通信ＥＣＵ３４００は、Ｖ２Ｘ通信ＥＣＵ２５００を介して、サーバ２６００と通信を行い、車両３００１に外部装置３００２が装着された際の新たな自動運転レベルに対応した公開鍵証明書（第三の証明書）の有効化に必要となるメッセージの送受信を行う。
　［３．２　車両３００１側の通信ＥＣＵ３３００の構成図］
　図２３は、実施の形態３における車両３００１側の通信ＥＣＵ３３００の構成の一例を示す図である。
　例えば、通信ＥＣＵ３３００は、通信部３３０１と、認証処理部３３０２と、認証情報保持部１３０３と、から構成される。なお、実施の形態１と同様の構成は同一の番号を付与し、以降の説明を省略する。
　通信部３３０１は、外部装置３００２との通信を実施する。例えば、通信部３３０１は、外部装置３００２と有線で通信を行う。また、通信部３３０１は、車両３００１内の自動運転ＥＣＵ１２００と、車載ネットワークを介して通信する。通信部３３０１は、外部装置３００２より受けた通信メッセージを認証処理部３３０２に通知する。また、通信部３３０１は、認証処理部３３０２より通知を受け、外部装置３００２へと通信メッセージを送信する。
　認証処理部３３０２は、通信部３３０１を介して外部装置３００２と通信し、外部装置３００２の認証処理を行う。また、認証処理部３３０２は、認証処理に必要となる情報を、認証情報保持部１３０３より取得する。
　［３．３　外部装置３００２側の通信ＥＣＵ３４００の構成図］
　図２４は、実施の形態３における外部装置３００２側の通信ＥＣＵ３４００の構成の一例を示す図である。
　通信ＥＣＵ３４００は、通信部３４０１と、認証処理部３４０２と、認証情報保持部１４０３と、証明書管理部３４０４と、から構成される。通信ＥＣＵ３４００は、自動運転システム３０００における外部装置３００２が備える認証装置の一例である。なお、実施の形態１と同様の構成は同一の番号を付与し、以降の説明を省略する。
　通信部３４０１は、車両３００１との通信を実施する。例えば、通信部３４０１は、車両３００１と有線で通信を行う。また、通信部３４０１は、外部装置３００２内のＥＣＵ１１００ｅ及びＶ２Ｘ通信ＥＣＵ２５００と、車載ネットワークを介して通信する。通信部３４０１は、車両３００１及びサーバ２６００より受けた通信メッセージを、認証処理部３４０２及び証明書管理部３４０４に通知する。また、通信部３４０１は、認証処理部３４０２及び証明書管理部３４０４より通知を受け、車両３００１及びサーバ２６００へと通信メッセージを送信する。
　認証処理部３４０２は、通信部３４０１を介して車両３００１と通信し、車両３００１の認証処理を行う。認証処理部３４０２は、車両３００１の正当性を証明するための第一の証明書を用いて、車両３００１を認証する認証部の一例である。また、認証処理部３４０２は、認証処理に必要となる情報を、認証情報保持部１４０３より取得する。また、認証処理部３４０２は、認証処理の結果を証明書管理部３４０４に通知する。
　証明書管理部３４０４は、認証処理部３４０２の認証の結果を用いて、第三の証明書を有効化する管理部の一例である。証明書管理部３４０４は、認証処理部３４０２から通知される認証結果を用いて、サーバ２６００において発行された新たな自動運転レベルに対応した公開鍵証明書（第三の証明書）を通信部３４０１経由でサーバ２６００から取得し、認証情報保持部１４０３に保存する。これにより、第三の証明書が認証情報保持部１４０３に登録され、外部装置３００２側において当該第三の証明書が有効化される。また、証明書管理部３４０４は、通信部３４０１からの通信処理結果に基づいて、認証情報保持部１４０３の第三の証明書を削除する。これにより、認証情報保持部１４０３への第三の証明書の登録が解除され、外部装置３００２側において有効化されていた第三の証明書が無効化される。
　［３．４　証明書を発行する際のシーケンスの一例］
　次に、車両３００１と外部装置３００２との相互認証の後に行われる、サーバ２６００による自動運転レベルに応じた第三の証明書の発行について、図２５を用いて説明する。サーバ２６００によって発行された第三の証明書は、外部装置３００２内で保持されて有効化される。
　図２５は、実施の形態３における公開鍵証明書（第三の証明書）を発行する動作の一例を示すシーケンス図である。
　外部装置３００２は、登録されている車両ＩＤを取得できるか否かを判定する（Ｓ３２０１）。外部装置３００２は、登録されている車両ＩＤがなければ、車両ＩＤを取得できず（Ｓ３２０１でＮ）、認証処理が完了していないということなので、処理を終了する。ここでは、図８での認証処理が完了し、車両ＩＤが登録されているとする。
　外部装置３００２は、車両３００１の車両ＩＤを取得できた場合（Ｓ３２０１でＹ）、取得した車両ＩＤを、外部装置３００２の機器ＩＤと、車両３００１の公開鍵証明書（第一の証明書）と、外部装置３００２の公開鍵証明書（第二の証明書）と共に、サーバ２６００へ送信する。
　サーバ２６００は、外部装置３００２の機器ＩＤ、車両３００１の車両ＩＤ及び２種類の公開鍵証明書を受信し、受信した２種類の公開鍵証明書の署名を検証する（Ｓ３２０２）。サーバ２６００は、検証が成功しない場合（Ｓ３２０２でＮ）、外部装置３００２へエラーを通知して処理を終了する。
　サーバ２６００は、検証が成功した場合（Ｓ３２０２でＹ）、Ｓ３２０２にて受信した機器ＩＤと車両ＩＤとの組み合わせが、証明書テーブルに存在するかどうかを確認する（Ｓ３２０３）。サーバ２６００は、受信した機器ＩＤと車両ＩＤとの組み合わせが証明書テーブルに存在しない場合（Ｓ３２０３でＮ）、外部装置３００２へその旨を通知して、エラーとして処理を終了する。
　サーバ２６００は、受信した機器ＩＤと車両ＩＤとの組み合わせが証明書テーブルに存在する場合（Ｓ３２０３でＹ）、取得した組み合わせに対応する第三の証明書を発行し、外部装置３００２に送信する（Ｓ３２０４）。
　外部装置３００２は、サーバ２６００によって発行された第三の証明書を保存する（Ｓ３２０５）。例えば、外部装置３００２の通信ＥＣＵ３４００における認証情報保持部１４０３に第三の証明書が保存され、これにより、外部装置３００２側においても当該第三の証明書が有効化される。
　また、図示していないが、サーバ２６００は、有効化された第三の証明書に対応する、車両３００１と外部装置３００２とを組み合わせたときの自動運転システム３０００全体の自動運転レベルに関する情報を出力する。なお、外部装置３００２（例えば通信部３４０１）が、有効化された第三の証明書に対応する、車両３００１と外部装置３００２とを組み合わせたときの自動運転システム３０００全体の自動運転レベルに関する情報を出力してもよい。
　［３．５　証明書を無効化するシーケンスの一例］
　次に、外部装置３００２とサーバ２６００とで保持する自動運転レベルに応じた第三の証明書の無効化について、図２６を用いて説明する。
　図２６は、実施の形態３における公開鍵証明書（第三の証明書）を無効化する動作の一例を示すシーケンス図である。
　外部装置３００２は、車両３００１との通信状態を監視する（Ｓ３３０１）。
　外部装置３００２は、車両３００１との通信状態に異常が発生しているか否かを判定する（Ｓ３３０２）。外部装置３００２は、通信異常が発生していない場合は（Ｓ３３０２でＮ）、処理を終了する。
　外部装置３００２は、通信異常が発生している場合は（Ｓ３３０２でＹ）、エラーカウンタをインクリメントする（Ｓ３３０３）。
　外部装置３００２は、エラーカウンタが閾値以上かどうかを判定し（Ｓ３３０４）、エラーカウンタが閾値以上である場合は（Ｓ３３０４でＹ）、発行された公開鍵証明書（第三の証明書）をサーバ２６００へ通知することで、当該第三の証明書をサーバ２６００において無効化させるための無効化指示を行う。エラーカウンタが閾値を超えていない場合は（Ｓ３３０４でＮ）、Ｓ３３０２へ戻る。
　エラーカウンタが閾値以上である場合は（Ｓ３３０４でＹ）、外部装置３００２及びサーバ２６００は、それぞれが保持する当該第三の証明書を無効化する（Ｓ３３０５）。例えば、外部装置３００２の通信ＥＣＵ３４００における証明書管理部３４０４は、認証情報保持部１４０３に保存されていた第三の証明書を削除することで、当該第三の証明書を無効化する。
　外部装置３００２は、エラーカウンタをリセットする（Ｓ３３０６）。
　外部装置３００２は、接続先の車両ＩＤを削除する（Ｓ３３０７）。
　以上のように、実施の形態３では、自動運転システム３０００は、サーバ２６００を含み、第三の証明書は、機器認証が行われるときにサーバ２６００から外部装置３００２へ送付される。
　［３．６　実施の形態３の効果］
　実施の形態３で示した自動運転システム３０００では、車両３００１の第一の証明書及び外部装置３００２の第二の証明書とは別の第三の証明書が、サーバ２６００により発行され、発行された第三の証明書が外部装置３００２内で管理される。そして、車両３００１と外部装置３００２との通信結果に基づいて、第三の証明書の有効及び無効を切り替えることで、車両３００１と外部装置３００２とが一体となって動作する際の適切な自動運転レベルを判断でき、安全性を担保することが可能となる。
　（実施の形態３の変形例）
　実施の形態３で示した自動運転システム３０００では、第三の証明書の有効化又は無効化をいつでも行うことが可能であるが、車両３００１の走行状態に応じて有効化又は無効化するタイミングが制御されてもよい。これについて、実施の形態３の変形例として説明する。なお、実施の形態３と同様の点については説明を省略する。
　［３．７　証明書を発行する際のシーケンスの一例］
　図２７は、実施の形態３の変形例における公開鍵証明書（第三の証明書）を発行する動作の一例を示すシーケンス図である。実施の形態３の変形例では、車両３００１の走行状態が特定の条件を満たす場合に、第三の証明書が発行される。なお、実施の形態３と同様のステップは、同一の番号を付与し、説明は省略する。
　例えば、特定の条件を満たす車両３００１の走行状態は、停車中であり、外部装置３００２は、第三の証明書を有効化する処理を開始する前に、車両３００１の走行状態が停車中であるか否かを判定する（Ｓ３２０６）。外部装置３００２は、車両３００１が停車中でない場合（Ｓ３２０６でＮ）、第三の証明書を有効化するための処理を開始せず、処理を終了する。外部装置３００２は、車両３００１が停車中である場合に（Ｓ３２０６でＹ）、第三の証明書を有効化するための処理を開始する。
　［３．８　証明書を無効化するシーケンスの一例］
　図２８は、実施の形態３の変形例における公開鍵証明書（第三の証明書）を無効化する動作の一例を示すシーケンス図である。実施の形態３の変形例では、車両３００１の走行状態が特定の条件を満たす場合に、車両３００１及び外部装置３００２の状態（例えば通信状態）が監視され、通信状態に応じて第三の証明書が無効化される。なお、実施の形態３と同様のステップは、同一の番号を付与し、説明は省略する。
　外部装置３００２は、車両３００１の走行状態が停車中であるか否かを判定する（Ｓ３３０８）。外部装置３００２は、車両３００１が停車中でない場合（Ｓ３３０８でＮ）、第三の証明書の無効化処理を中断して終了し、車両３００１が停車中である場合には（Ｓ３３０８でＹ）、通信状態を監視し（Ｓ３３０１）、無効化処理を継続する。
　［３．９　実施の形態３の変形例の効果］
　実施の形態３で示した自動運転システム３０００では、車両３００１の第一の証明書及び外部装置３００２の第二の証明書とは別の第三の証明書が、サーバ２６００により発行され、発行された第三の証明書が外部装置３００２内で管理される。そして、車両３００１と外部装置３００２との通信結果に加えて車両３００１の走行状態に基づいて、第三の証明書の有効及び無効を切り替えることで、車両３００１と外部装置３００２とが一体となって動作する際の適切な自動運転レベルを判断でき、安全性を担保することが可能となる。
　（その他の変形例）
　なお、本開示を上記各実施の形態に基づいて説明してきたが、本開示は、上記各実施の形態に限定されないのはもちろんである。以下のような場合も本開示に含まれる。
　（１）上記の実施の形態では、車載ネットワークとしてＥｔｈｅｒｎｅｔ、ＣＡＮプロトコルが用いられていたが、これに限るものではない。例えば、車載ネットワークとしてＣＡＮ－ＦＤ（ＣＡＮ　ｗｉｔｈ　Ｆｒｅｘｉｂｌｅ　Ｄａｔａ　Ｒａｔｅ）、ＬＩＮ（Ｌｏｃａｌ　Ｉｎｔｅｒｃｏｎｎｅｃｔ　Ｎｅｔｗｏｒｋ）又はＭＯＳＴ（登録商標）（Ｍｅｄｉａ　Ｏｒｉｅｎｔｅｄ　Ｓｙｓｔｅｍｓ　Ｔｒａｎｓｐｏｒｔ）などが用いられてもよい。あるいは、車載ネットワークは、これらのネットワークをサブネットワークとして組み合わせたネットワーク構成であってもよい。
　（２）上記実施の形態では、いずれの形態においても新たに有効化された第三の証明書を、車両側あるいは外部装置側のいずれかで管理する構成の例となっているが、この例には限定されない。車両側及び外部装置側の双方共同じ第三の証明書を持つこととしても良いし、車両側あるいは外部装置側で持つ証明書の種類を用途に応じて分けても良い。
　（３）上記実施の形態では、車両と外部装置との通信を担当する通信ＥＣＵに、認証処理及び証明書の管理を行う証明書管理部が含まれる例を記載しているが、この構成には限定されない。証明書管理部は、別途、証明書管理の専用ＥＣＵに含まれていても良いし、自動運転ＥＣＵ又はその他のＥＣＵに含まれるとしても良い。更に、上記実施の形態２及び３では、Ｖ２Ｘ通信ＥＣＵに証明書管理部が含まれるとしてもよい。
　（４）上記実施の形態では、通信ＥＣＵが異常を判定するとなっているが、この構成に限定されない。別ＥＣＵへ通信内容をミラーリングし、別ＥＣＵが異常を判定するとしても良い。また、別ＥＣＵは通信ＥＣＵと物理的に別であっても良いし、論理的に別であってもよい。例えば、セントラルゲートウェイ、ゾーンＥＣＵ又はドメインコントローラと呼ばれるような多機能ＥＣＵ上に仮想環境を構築し、その一つの仮想オペレーティングシステム（以下、ＯＳ）上に通信状態をモニタリングするようなアプリケーションが設けられても良い。また、通信ＥＣＵ上に同様の仮想環境を構築し、通信を担当するＯＳとは別のＯＳから通信状態をモニタリングするとしてもよい。
　（５）上記実施の形態では、車両及び外部装置の状態として車両と外部装置との通信状態を実施例としているが、これに限定されない。例えば実施の形態３において、外部装置自体の故障が発生した場合に自らそれを検知し、車両又はサーバに通知するとしても良い。
　（６）上記実施の形態２及び３では、サーバが新規に公開鍵証明書（第三の証明書）を発行する認証局の役割を担っているが、この構成には限定されない。例えば、サーバは、予め別の認証局によって発行された証明書を事前に取得して、保管しておき、タイミングに合わせて車両又は外部装置に送付するだけでも良い。
　（７）上記実施の形態では、証明書テーブルを用いて、車両と外部装置との組み合わせが判断され、自動運転レベルが判定されるが、予め証明書内に組み合わせ後の自動運転システム全体の自動運転レベルが組み込まれていても良い。つまり、証明書テーブルに類するような情報が、既に証明書に組み込まれており、証明書テーブルを参照することなく、自動運転システム全体の自動運転レベルを判断できるとしても良い。
　（８）上記実施の形態の変形例では、車両の走行状態が判定されるが、これは特定のＥＣＵが判定し、他のＥＣＵは車載ネットワークを介して走行状態を取得するとしても良いし、各ＥＣＵが独自に走行状態を判定するとしても良い。また走行中、停車中又は駐車中といった走行状態以外にもアクセサリーＯＮ、イグニッションＯＮ、低速走行中又は高速走行中などの状態を判定するとしても良い。
　（９）上記実施の形態の変形例では、停車中にのみ第三の証明書を有効化する例を示しているが、これには限定されない。例えば、駐車中又は走行中など、停車中とは別の特定の走行状態でのみ有効化を行うとしても良いし、駐車中でもイグニッションＯＮの状態以外の状態でのみ有効化を許可するとしても良い。また、走行中から停車中、停車中から駐車中など、走行状態の変化のタイミングで有効化を実施するとしても良い。
　（１０）上記実施の形態の変形例では、停車中にのみ第三の証明書を無効化する例を示しているが、これには限定されない。例えば、駐車中又は走行中など、停車中とは別の特定の走行状態でのみ無効化を行うとしても良い。また、停車中から走行中、低速走行中から高速走行中など、走行状態の変化のタイミングで無効化を実施するとしても良い。
　（１１）上記実施の形態の変形例では、通信結果に基づいて、第三の証明書を無効化、すなわち、自動運転レベルを変更しているが、変更のタイミングで運転者にその旨を通知するとしても良い。インフォテイメントシステム又は速度を示すメータなど、表示装置を持つＥＣＵへ通知をして、変更のタイミングで運転者に向けたポップアップ表示若しくはアイコンを出す、又は、これらを消す若しくは変更するなどしても良い。
　（１２）上記の実施の形態における各装置及びシステムは、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード及びマウスなどから構成されるコンピュータシステムである。ＲＡＭ又はハードディスクユニットには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、各装置及びシステムは、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。
　（１３）上記の実施の形態における各装置及びシステムは、構成する構成要素の一部又は全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ　Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ及びＲＡＭなどを含んで構成されるコンピュータシステムである。ＲＡＭには、コンピュータプログラムが記録されている。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。
　また、上記の各装置及びシステムを構成する構成要素の各部は、個別に１チップ化されていても良いし、一部又はすべてを含むように１チップ化されてもよい。
　また、システムＬＳＩは、集積度の違いにより、ＩＣ、ＬＳＩ、スーパーＬＳＩ又はウルトラＬＳＩと呼称されることもある。また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用しても良い。
　さらには、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。
　（１４）上記の各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしてもよい。ＩＣカード又はモジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。ＩＣカード又はモジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、ＩＣカード又はモジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしてもよい。
　（１５）本開示は、認証方法であるとしてもよい。
　例えば、認証方法は、車両と、車両と通信し、車両が自動走行を実施するための機能を提供する外部装置と、を含む自動運転システムにおける方法である。車両は、車両の正当性を証明するための第一の証明書を保持し、外部装置は、外部装置の正当性を証明するための第二の証明書を保持する。認証方法は、コンピュータにより実行され、第一の証明書と第二の証明書とを用いた、車両と外部装置との機器認証の結果に基づいて、車両と外部装置との組み合わせの正当性を証明するための第三の証明書を有効化する処理（例えば、図９のＳ１２０１からＳ１２０３）を含む。
　また、本開示は、認証方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、コンピュータプログラムからなるデジタル信号であるとしてもよい。
　また、本開示は、コンピュータプログラム又はデジタル信号をコンピュータ読み取り可能な非一時的な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標）　Ｄｉｓｃ）又は半導体メモリなどに記録したものとして実現されてもよい。また、本開示は、これらの記録媒体に記録されているデジタル信号であるとしてもよい。
　また、本開示は、コンピュータプログラム又はデジタル信号を、電気通信回線、無線若しくは有線通信回線、インターネットを代表とするネットワーク又はデータ放送等を経由して伝送するものとしてもよい。
　また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、メモリは、上記コンピュータプログラムを記録しており、マイクロプロセッサは、コンピュータプログラムにしたがって動作するとしてもよい。
　また、プログラム若しくはデジタル信号を記録媒体に記録して移送することにより、又は、プログラム若しくはデジタル信号をネットワーク等を経由して移送することにより、独立した他のコンピュータシステムがプログラム若しくはデジタル信号を実施するとしてもよい。
　（１６）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。
　本開示は、車両と、車両と通信し、車両が自動走行を実施するための機能を提供する外部装置とを含む自動運転システムに適用できる。
　１０００、２０００、３０００　自動運転システム
　１００１、２００１、３００１　車両
　１００２、３００２　外部装置
　１０１０　カメラ
　１０１１　ブレーキ
　１０１２　ハンドル
　１０１３　アクセル
　１０１４　Ｌｉｄａｒ
　１１００ａ、１１００ｂ、１１００ｃ、１１００ｄ、１１００ｅ　ＥＣＵ
　１１０１、１２０１、１３０１、１４０１、２３０１、２５０１、２６０１、３３０１、３４０１　通信部
　１１０２、２５０２　メッセージ変換部
　１２００　自動運転ＥＣＵ
　１２０２　判断部
　１２０３　自動運転レベル管理部
　１３００、１４００、２３００、３３００、３４００　通信ＥＣＵ
　１３０２、１４０２、２６０２、３３０２、３４０２　認証処理部
　１３０３、１４０３、２６０３　認証情報保持部
　１３０４、２３０４、２６０４、３４０４　証明書管理部
　１３０５、２６０５　証明書保持部
　２５００　Ｖ２Ｘ通信ＥＣＵ
　２６００　サーバ

Claims (14)

  1. 　車両と、
    　前記車両と通信し、前記車両が自動走行を実施するための機能を提供する外部装置と、を含む自動運転システムにおける認証方法であって、
    　前記車両は、前記車両の正当性を証明するための第一の証明書を保持し、
    　前記外部装置は、前記外部装置の正当性を証明するための第二の証明書を保持し、
    　前記認証方法は、前記第一の証明書と前記第二の証明書とを用いた、前記車両と前記外部装置との機器認証の結果に基づいて、前記車両と前記外部装置との組み合わせの正当性を証明するための第三の証明書を有効化することを特徴とする、
    　認証方法。
  2. 　前記認証方法は、さらに、有効化された前記第三の証明書に対応する、前記車両と前記外部装置とを組み合わせたときの前記自動運転システム全体の自動運転レベルに関する情報を出力することを特徴とする、
    　請求項１記載の認証方法。
  3. 　前記第三の証明書の有効化では、前記機器認証の結果として得られる前記車両の車両ＩＤ及び前記外部装置の機器ＩＤの少なくとも一方に対応する前記第三の証明書を有効化することを特徴とする、
    　請求項１又は２記載の認証方法。
  4. 　前記第三の証明書は、前記車両が製造されるときに発行され、前記車両に予め保持されていることを特徴とする、
    　請求項１～３のいずれか１項に記載の認証方法。
  5. 　前記自動運転システムは、さらに、サーバを含み、
    　前記第三の証明書は、前記機器認証が行われるときに前記サーバから前記車両又は前記外部装置へ送付されることを特徴とする、
    　請求項１～３のいずれか１項に記載の認証方法。
  6. 　前記第三の証明書の有効化では、前記車両の走行状態が特定の条件を満たす場合に、前記第三の証明書を有効化することを特徴とする、
    　請求項１～５のいずれか１項に記載の認証方法。
  7. 　前記特定の条件を満たす前記車両の走行状態は、停車中であることを特徴とする、
    　請求項６記載の認証方法。
  8. 　さらに、
    　前記車両及び前記外部装置の状態を監視し、
    　前記状態の変化に応じて、前記第三の証明書を無効化することを特徴とする、
    　請求項１～７のいずれか１項に記載の認証方法。
  9. 　前記状態は、前記車両と前記外部装置との間の通信状態であり、
    　前記第三の証明書の無効化では、前記通信状態が異常となった場合に、前記第三の証明書を無効化することを特徴とする、
    　請求項８記載の認証方法。
  10. 　前記状態の監視では、前記車両の走行状態が特定の条件を満たす場合に前記状態を監視することを特徴とする、
    　請求項８又は９記載の認証方法。
  11. 　前記特定の条件を満たす前記車両の走行状態は、停車中であることを特徴とする、
    　請求項１０記載の認証方法。
  12. 　車両と、
    　前記車両と通信し、前記車両が自動走行を実施するための機能を提供する外部装置と、を含む自動運転システムにおける認証システムであって、
    　前記車両は、前記車両の正当性を証明するための第一の証明書を保持し、
    　前記外部装置は、前記外部装置の正当性を証明するための第二の証明書を保持し、
    　前記認証システムは、前記第一の証明書と前記第二の証明書とを用いた、前記車両と前記外部装置との機器認証の結果に基づいて、前記車両と前記外部装置との組み合わせの正当性を証明するための第三の証明書を有効化する管理部を備えることを特徴とする、
    　認証システム。
  13. 　車両と、
    　前記車両と通信し、前記車両が自動走行を実施するための機能を提供する外部装置と、を含む自動運転システムにおける前記車両が備える認証装置であって、
    　前記認証装置は、
    　前記車両の正当性を証明するための第一の証明書を保持する保持部と、
    　前記外部装置の正当性を証明するための第二の証明書を用いて、前記外部装置を認証する認証部と、
    　前記認証の結果を用いて、前記車両と前記外部装置との組み合わせの正当性を証明するための第三の証明書を有効化する管理部と、を備えることを特徴とする、
    　認証装置。
  14. 　車両と、
    　前記車両と通信し、前記車両が自動走行を実施するための機能を提供する外部装置と、を含む自動運転システムにおける前記外部装置が備える認証装置であって、
    　前記認証装置は、
    　前記外部装置の正当性を証明するための第二の証明書を保持する保持部と、
    　前記車両の正当性を証明するための第一の証明書を用いて、前記車両を認証する認証部と、
    　前記認証の結果を用いて、前記車両と前記外部装置との組み合わせの正当性を証明するための第三の証明書を有効化する管理部と、を備えることを特徴とする、
    　認証装置。
PCT/JP2020/031591 2019-08-30 2020-08-21 認証方法、認証システム及び認証装置 WO2021039622A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN202080007417.4A CN113348124A (zh) 2019-08-30 2020-08-21 认证方法、认证系统以及认证装置
JP2021508008A JP7490636B2 (ja) 2019-08-30 2020-08-21 認証方法、認証システム及び認証装置
EP20857326.1A EP4024244A4 (en) 2019-08-30 2020-08-21 AUTHENTICATION METHOD, AUTHENTICATION SYSTEM AND AUTHENTICATION DEVICE
US17/381,397 US11966458B2 (en) 2019-08-30 2021-07-21 Authentication method, authentication system, and authentication device

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019-158644 2019-08-30
JP2019158644 2019-08-30

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/381,397 Continuation US11966458B2 (en) 2019-08-30 2021-07-21 Authentication method, authentication system, and authentication device

Publications (1)

Publication Number Publication Date
WO2021039622A1 true WO2021039622A1 (ja) 2021-03-04

Family

ID=74685546

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/031591 WO2021039622A1 (ja) 2019-08-30 2020-08-21 認証方法、認証システム及び認証装置

Country Status (5)

Country Link
US (1) US11966458B2 (ja)
EP (1) EP4024244A4 (ja)
JP (1) JP7490636B2 (ja)
CN (1) CN113348124A (ja)
WO (1) WO2021039622A1 (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016006603A (ja) * 2014-06-20 2016-01-14 住友電気工業株式会社 駐車管理システム、管理装置、及び駐車管理方法
US20180351941A1 (en) * 2017-06-05 2018-12-06 Amazon Technologies, Inc. Secure device-to-device process for granting access to a physical space
JP2019026067A (ja) * 2017-07-31 2019-02-21 日立オートモティブシステムズ株式会社 自律運転制御装置、自律移動車及び自律移動車制御システム
JP2019071572A (ja) * 2017-10-10 2019-05-09 ローベルト ボッシュ ゲゼルシャフト ミット ベシュレンクテル ハフツング 制御装置及び制御方法

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20220188765A9 (en) * 1999-11-09 2022-06-16 John Simms Automated delivery system and method
US8996876B2 (en) * 2010-03-02 2015-03-31 Liberty Plugins, Inc. Method and system for using a smart phone for electrical vehicle charging
US9166958B2 (en) * 2012-07-17 2015-10-20 Texas Instruments Incorporated ID-based control unit-key fob pairing
WO2014200496A1 (en) * 2013-06-13 2014-12-18 Intel Corporation Secure pairing for communication across devices
US10064240B2 (en) * 2013-09-12 2018-08-28 The Boeing Company Mobile communication device and method of operating thereof
JP6372809B2 (ja) * 2013-12-16 2018-08-15 パナソニックＩｐマネジメント株式会社 認証システム、認証方法および認証装置
US10163177B2 (en) * 2014-07-31 2018-12-25 Emmett Farris System and method for controlling drone delivery or pick up during a delivery or pick up phase of drone operation
EP3412514B1 (en) * 2014-11-12 2019-12-04 Panasonic Intellectual Property Corporation of America Update management method, update management device, and control program
KR20160146254A (ko) * 2015-06-12 2016-12-21 에스케이플래닛 주식회사 무인 택배함을 이용한 관심상품 선행 배송 서비스 제공 장치 및 그 방법, 그리고 컴퓨터 프로그램이 기록된 기록매체
US10286558B1 (en) * 2016-04-19 2019-05-14 Boston Incubator Center, LLC Autonomous robotic vehicles for mobile storage and trash collection applications
US10210333B2 (en) * 2016-06-30 2019-02-19 General Electric Company Secure industrial control platform
US11062052B2 (en) * 2018-07-13 2021-07-13 Bank Of America Corporation System for provisioning validated sanitized data for application development

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016006603A (ja) * 2014-06-20 2016-01-14 住友電気工業株式会社 駐車管理システム、管理装置、及び駐車管理方法
US20180351941A1 (en) * 2017-06-05 2018-12-06 Amazon Technologies, Inc. Secure device-to-device process for granting access to a physical space
JP2019026067A (ja) * 2017-07-31 2019-02-21 日立オートモティブシステムズ株式会社 自律運転制御装置、自律移動車及び自律移動車制御システム
JP2019071572A (ja) * 2017-10-10 2019-05-09 ローベルト ボッシュ ゲゼルシャフト ミット ベシュレンクテル ハフツング 制御装置及び制御方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP4024244A4 *

Also Published As

Publication number Publication date
JP7490636B2 (ja) 2024-05-27
EP4024244A4 (en) 2022-10-19
JPWO2021039622A1 (ja) 2021-03-04
US20210349981A1 (en) 2021-11-11
US11966458B2 (en) 2024-04-23
CN113348124A (zh) 2021-09-03
EP4024244A1 (en) 2022-07-06

Similar Documents

Publication Publication Date Title
JP7334312B2 (ja) 更新管理方法、更新管理装置及び制御プログラム
JP7170780B2 (ja) 不正検知ルール更新方法、不正検知電子制御ユニット及び車載ネットワークシステム
US11985150B2 (en) Cybersecurity on a controller area network in a vehicle
JP6713415B2 (ja) 鍵管理方法、車載ネットワークシステム及び鍵管理装置
CN110406485B (zh) 非法检测方法及车载网络系统
CN111934966B (zh) 不正常检测电子控制单元、车载网络系统以及不正常检测方法
US11165851B2 (en) System and method for providing security to a communication network
US11947953B2 (en) Vehicle electronic control system, progress screen display control method and computer program product
JP2021083125A (ja) ゲートウェイ装置、方法及び車載ネットワークシステム
KR20150024710A (ko) Ａｕｔｏｓａｒ 기반 통신방법 및 통신장치
US11941384B2 (en) Vehicle master device, rewrite target group administration method, computer program product and data structure of specification data
JP7412506B2 (ja) 不正検知ルール更新方法、不正検知電子制御ユニット及び車載ネットワークシステム
JP7116204B2 (ja) 更新管理方法、更新管理装置及び制御プログラム
JP7485106B2 (ja) 車両、車載制御装置、情報処理装置、車両用ネットワークシステム、アプリケーションプログラムの提供方法、及びプログラム
KR102109125B1 (ko) Ａｕｔｏｓａｒ 기반 차량 ｅｃｕ 상태 관리 방법
WO2021039622A1 (ja) 認証方法、認証システム及び認証装置
JP6874102B2 (ja) 不正検知電子制御ユニット、車載ネットワークシステム及び不正検知方法
JP6864759B2 (ja) 不正検知方法および車載ネットワークシステム
JP5556417B2 (ja) 車載ゲートウェイ装置
WO2018179630A1 (ja) 情報処理装置、情報処理方法及びプログラム
WO2021241415A1 (ja) 異常検知システム及び異常検知方法
JP2006148459A (ja) データ記録システム

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2021508008

Country of ref document: JP

Kind code of ref document: A

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20857326

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2020857326

Country of ref document: EP

Effective date: 20220330